# Dziennik Urzędowy L 333/2022

| | ISSN 1977-0766 |
| --- | --- |
| Dziennik Urzędowy
  Unii Europejskiej | L 333 |
| | |
| Wydanie polskie | Legislacja | Rocznik 6527 grudnia 2022 |

ISSN 1977-0766

Dziennik Urzędowy

Unii Europejskiej

L 333

Wydanie polskie

Legislacja

Rocznik 6527 grudnia 2022

---

| Spis treści | | I   Akty ustawodawcze | Strona |
| --- | --- | --- | --- |
| | | ROZPORZĄDZENIA |
| | * | Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (
  1
  ) | 1 |
| | | DYREKTYWY |
| | * | Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (
  1
  ) | 80 |
| | * | Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2556 z dnia 14 grudnia 2022 r. w sprawie zmiany dyrektyw 2009/65/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 oraz (UE) 2016/2341 w odniesieniu do operacyjnej odporności cyfrowej sektora finansowego (
  1
  ) | 153 |
| | * | Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych i uchylająca dyrektywę Rady 2008/114/WE (
  1
  ) | 164 |

Spis treści

I   Akty ustawodawcze

Strona

ROZPORZĄDZENIA

*

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (
  1
  )

1

1

DYREKTYWY

*

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (
  1
  )

1

80

*

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2556 z dnia 14 grudnia 2022 r. w sprawie zmiany dyrektyw 2009/65/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 oraz (UE) 2016/2341 w odniesieniu do operacyjnej odporności cyfrowej sektora finansowego (
  1
  )

1

153

*

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych i uchylająca dyrektywę Rady 2008/114/WE (
  1
  )

1

164

| | |
| --- | --- |
| | (1)   Tekst mający znaczenie dla EOG. |

---

(1)   Tekst mający znaczenie dla EOG.

1

| PL | Akty, których tytuły wydrukowano zwykłą czcionką, odnoszą się do bieżącego zarządzania sprawami rolnictwa i generalnie zachowują ważność przez określony czas.
  Tytuły wszystkich innych aktów poprzedza gwiazdka, a drukuje się je czcionką pogrubioną. |
| --- | --- |

PL

Akty, których tytuły wydrukowano zwykłą czcionką, odnoszą się do bieżącego zarządzania sprawami rolnictwa i generalnie zachowują ważność przez określony czas.

Tytuły wszystkich innych aktów poprzedza gwiazdka, a drukuje się je czcionką pogrubioną.

---

I Akty ustawodawcze

ROZPORZĄDZENIA

| 27.12.2022 | PL | Dziennik Urzędowy Unii Europejskiej | L 333/1 |
| --- | --- | --- | --- |

27.12.2022

PL

Dziennik Urzędowy Unii Europejskiej

L 333/1

---

ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2022/2554

z dnia 14 grudnia 2022 r.

w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011

(Tekst mający znaczenie dla EOG)

PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 114,

uwzględniając wniosek Komisji Europejskiej,

po przekazaniu projektu aktu ustawodawczego parlamentom narodowym,

uwzględniając opinię Europejskiego Banku Centralnego (1),

uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego (2),

stanowiąc zgodnie ze zwykłą procedurą ustawodawczą (3),

a także mając na uwadze, co następuje:

| (1) | W epoce cyfrowej technologie informacyjno-komunikacyjne (ICT) stanowią wsparcie dla złożonych systemów wykorzystywanych w codziennych działaniach. ICT napędzają naszą gospodarkę w najważniejszych sektorach, w tym w sektorze finansowym, oraz wzmacniają funkcjonowanie rynku wewnętrznego. Większy zakres cyfryzacji i wzajemnych powiązań zwiększa również ryzyko związane z ICT, przez co całe społeczeństwo – i w szczególności system finansowy – staje się bardziej podatne na cyberzagrożenia lub zakłócenia w funkcjonowaniu ICT. Chociaż powszechne korzystanie z systemów ICT i wysoki stopień cyfryzacji oraz łączności to obecnie podstawowe cechy działań podmiotów finansowych w Unii, ich odporność cyfrowa nie jest jeszcze odpowiednio uwzględniona w ich szerszych ramach operacyjnych ani włączona do tych ram. |
| --- | --- |

(1)

W epoce cyfrowej technologie informacyjno-komunikacyjne (ICT) stanowią wsparcie dla złożonych systemów wykorzystywanych w codziennych działaniach. ICT napędzają naszą gospodarkę w najważniejszych sektorach, w tym w sektorze finansowym, oraz wzmacniają funkcjonowanie rynku wewnętrznego. Większy zakres cyfryzacji i wzajemnych powiązań zwiększa również ryzyko związane z ICT, przez co całe społeczeństwo – i w szczególności system finansowy – staje się bardziej podatne na cyberzagrożenia lub zakłócenia w funkcjonowaniu ICT. Chociaż powszechne korzystanie z systemów ICT i wysoki stopień cyfryzacji oraz łączności to obecnie podstawowe cechy działań podmiotów finansowych w Unii, ich odporność cyfrowa nie jest jeszcze odpowiednio uwzględniona w ich szerszych ramach operacyjnych ani włączona do tych ram.

| (2) | W minionych dziesięcioleciach korzystanie z ICT zaczęło odgrywać zasadniczą rolę, jeżeli chodzi o świadczenie usług finansowych, do tego stopnia, że obecnie ICT mają krytyczne znaczenie dla wykonywania typowych codziennych funkcji wszystkich podmiotów finansowych. Cyfryzacja obejmuje teraz na przykład płatności, w przypadku których w coraz większym stopniu przechodzi się od metod gotówkowych i papierowych do stosowania rozwiązań cyfrowych, a także rozliczanie i rozrachunek papierów wartościowych, handel elektroniczny i algorytmiczny, operacje udzielania pożyczek i finansowania, finansowanie peer-to-peer, rating kredytowy, obsługę roszczeń i działalność back–office. Sektor ubezpieczeń również uległ przeobrażeniom w związku z korzystaniem z ICT, czego przykładem jest pojawienie się pośredników ubezpieczeniowych oferujących swoje usługi przez internet i prowadzących działalność przy użyciu technologii ubezpieczeniowej (InsurTech) oraz zawieranie ubezpieczeń w formie cyfrowej. Finanse nie tylko stały się w dużej mierze cyfrowe w całym sektorze, ale cyfryzacja wzmocniła również wzajemne połączenia i zależności w ramach sektora finansowego oraz z infrastrukturą zewnętrzną i zewnętrznymi dostawcami usług. |
| --- | --- |

(2)

W minionych dziesięcioleciach korzystanie z ICT zaczęło odgrywać zasadniczą rolę, jeżeli chodzi o świadczenie usług finansowych, do tego stopnia, że obecnie ICT mają krytyczne znaczenie dla wykonywania typowych codziennych funkcji wszystkich podmiotów finansowych. Cyfryzacja obejmuje teraz na przykład płatności, w przypadku których w coraz większym stopniu przechodzi się od metod gotówkowych i papierowych do stosowania rozwiązań cyfrowych, a także rozliczanie i rozrachunek papierów wartościowych, handel elektroniczny i algorytmiczny, operacje udzielania pożyczek i finansowania, finansowanie peer-to-peer, rating kredytowy, obsługę roszczeń i działalność back–office. Sektor ubezpieczeń również uległ przeobrażeniom w związku z korzystaniem z ICT, czego przykładem jest pojawienie się pośredników ubezpieczeniowych oferujących swoje usługi przez internet i prowadzących działalność przy użyciu technologii ubezpieczeniowej (InsurTech) oraz zawieranie ubezpieczeń w formie cyfrowej. Finanse nie tylko stały się w dużej mierze cyfrowe w całym sektorze, ale cyfryzacja wzmocniła również wzajemne połączenia i zależności w ramach sektora finansowego oraz z infrastrukturą zewnętrzną i zewnętrznymi dostawcami usług.

| (3) | W sprawozdaniu z 2020 r. dotyczącym systemowego ryzyka w cyberprzestrzeni Europejska Rada ds. Ryzyka Systemowego (ERRS) potwierdziła, że istniejący wysoki poziom wzajemnych powiązań między podmiotami finansowymi, rynkami finansowymi i infrastrukturami rynku finansowego, a w szczególności współzależności między ich systemami ICT mogą stanowić podatność o charakterze systemowym, ponieważ lokalne cyberincydenty mogłyby szybko rozprzestrzenić się z każdego z około 22 000 unijnych podmiotów finansowych na cały system finansowy, bez żadnych przeszkód związanych z granicami geograficznymi. Poważne naruszenia związane z ICT występujące w sektorze finansowym nie dotyczą wyłącznie samych podmiotów finansowych. Naruszenia te zwiększają również ryzyko rozpowszechnienia lokalnych podatności we wszystkich kanałach oddziaływania finansowego oraz potencjalnie wywołują negatywne konsekwencje dla stabilności unijnego systemu finansowego, takie jak utrata płynności i ogólna utrata pewności i zaufania w odniesieniu do rynków finansowych. |
| --- | --- |

(3)

W sprawozdaniu z 2020 r. dotyczącym systemowego ryzyka w cyberprzestrzeni Europejska Rada ds. Ryzyka Systemowego (ERRS) potwierdziła, że istniejący wysoki poziom wzajemnych powiązań między podmiotami finansowymi, rynkami finansowymi i infrastrukturami rynku finansowego, a w szczególności współzależności między ich systemami ICT mogą stanowić podatność o charakterze systemowym, ponieważ lokalne cyberincydenty mogłyby szybko rozprzestrzenić się z każdego z około 22 000 unijnych podmiotów finansowych na cały system finansowy, bez żadnych przeszkód związanych z granicami geograficznymi. Poważne naruszenia związane z ICT występujące w sektorze finansowym nie dotyczą wyłącznie samych podmiotów finansowych. Naruszenia te zwiększają również ryzyko rozpowszechnienia lokalnych podatności we wszystkich kanałach oddziaływania finansowego oraz potencjalnie wywołują negatywne konsekwencje dla stabilności unijnego systemu finansowego, takie jak utrata płynności i ogólna utrata pewności i zaufania w odniesieniu do rynków finansowych.

| (4) | W ostatnich latach ryzyko związane z ICT przyciągnęło uwagę międzynarodowych, unijnych i krajowych decydentów, organów regulacyjnych i podmiotów normalizacyjnych, które starają się zwiększyć odporność cyfrową, określić standardy i koordynować prace regulacyjne lub nadzorcze w tym zakresie. Na szczeblu międzynarodowym Bazylejski Komitet Nadzoru Bankowego, Komitet ds. Systemów Płatności i Rozrachunku, Rada Stabilności Finansowej, Instytut Stabilności Finansowej, a także grupa G-7 i grupa G-20 dążą do zapewnienia właściwym organom i podmiotom gospodarczym z różnych jurysdykcji narzędzi mających na celu wzmocnienie odporności ich systemów finansowych. Prace te wynikały również z potrzeby należytego uwzględnienia ryzyka związanego z ICT w kontekście ściśle połączonego wzajemnie, globalnego systemu finansowego i dążenia do zapewnienia większej spójności odpowiednich najlepszych praktyk. |
| --- | --- |

(4)

W ostatnich latach ryzyko związane z ICT przyciągnęło uwagę międzynarodowych, unijnych i krajowych decydentów, organów regulacyjnych i podmiotów normalizacyjnych, które starają się zwiększyć odporność cyfrową, określić standardy i koordynować prace regulacyjne lub nadzorcze w tym zakresie. Na szczeblu międzynarodowym Bazylejski Komitet Nadzoru Bankowego, Komitet ds. Systemów Płatności i Rozrachunku, Rada Stabilności Finansowej, Instytut Stabilności Finansowej, a także grupa G-7 i grupa G-20 dążą do zapewnienia właściwym organom i podmiotom gospodarczym z różnych jurysdykcji narzędzi mających na celu wzmocnienie odporności ich systemów finansowych. Prace te wynikały również z potrzeby należytego uwzględnienia ryzyka związanego z ICT w kontekście ściśle połączonego wzajemnie, globalnego systemu finansowego i dążenia do zapewnienia większej spójności odpowiednich najlepszych praktyk.

| (5) | Pomimo unijnych i krajowych ukierunkowanych polityk i inicjatyw ustawodawczych ryzyko związane z ICT nadal stanowi wyzwanie dla odporności operacyjnej, wydajności i stabilności unijnego systemu finansowego. Reformy, które przeprowadzono po kryzysie finansowym z 2008 r., doprowadziły przede wszystkim do wzmocnienia odporności finansowej unijnego sektora finansowego, a także miały na celu zabezpieczenie konkurencyjności i stabilności Unii z punktu widzenia gospodarki, standardów ostrożnościowych i zasad postępowania na rynku. Chociaż bezpieczeństwo ICT i odporność cyfrowa są częścią ryzyka operacyjnego, elementy te były w mniejszym stopniu przedmiotem agendy regulacyjnej po kryzysie finansowym i rozwijały się tylko w niektórych obszarach unijnej polityki dotyczącej usług finansowych oraz otoczenia regulacyjnego lub jedynie w niektórych państwach członkowskich. |
| --- | --- |

(5)

Pomimo unijnych i krajowych ukierunkowanych polityk i inicjatyw ustawodawczych ryzyko związane z ICT nadal stanowi wyzwanie dla odporności operacyjnej, wydajności i stabilności unijnego systemu finansowego. Reformy, które przeprowadzono po kryzysie finansowym z 2008 r., doprowadziły przede wszystkim do wzmocnienia odporności finansowej unijnego sektora finansowego, a także miały na celu zabezpieczenie konkurencyjności i stabilności Unii z punktu widzenia gospodarki, standardów ostrożnościowych i zasad postępowania na rynku. Chociaż bezpieczeństwo ICT i odporność cyfrowa są częścią ryzyka operacyjnego, elementy te były w mniejszym stopniu przedmiotem agendy regulacyjnej po kryzysie finansowym i rozwijały się tylko w niektórych obszarach unijnej polityki dotyczącej usług finansowych oraz otoczenia regulacyjnego lub jedynie w niektórych państwach członkowskich.

| (6) | W swoim komunikacie z dnia 8 marca 2018 r. zatytułowanym „Plan działania w zakresie technologii finansowej: w kierunku bardziej konkurencyjnego i innowacyjnego europejskiego sektora finansowego” Komisja podkreśliła podstawowe znaczenie zwiększenia odporności unijnego sektora finansowego, w tym z operacyjnego punktu widzenia, dla zapewnienia jego bezpieczeństwa technologicznego oraz sprawnego funkcjonowania, szybkiego przywracania sprawności po naruszeniach i incydentach związanych z ICT, umożliwiając ostatecznie skuteczne i sprawne świadczenie usług finansowych w całej Unii, w tym w sytuacjach skrajnych, przy jednoczesnej ochronie konsumenta oraz utrzymaniu zaufania i pewności w odniesieniu do rynku. |
| --- | --- |

(6)

W swoim komunikacie z dnia 8 marca 2018 r. zatytułowanym „Plan działania w zakresie technologii finansowej: w kierunku bardziej konkurencyjnego i innowacyjnego europejskiego sektora finansowego” Komisja podkreśliła podstawowe znaczenie zwiększenia odporności unijnego sektora finansowego, w tym z operacyjnego punktu widzenia, dla zapewnienia jego bezpieczeństwa technologicznego oraz sprawnego funkcjonowania, szybkiego przywracania sprawności po naruszeniach i incydentach związanych z ICT, umożliwiając ostatecznie skuteczne i sprawne świadczenie usług finansowych w całej Unii, w tym w sytuacjach skrajnych, przy jednoczesnej ochronie konsumenta oraz utrzymaniu zaufania i pewności w odniesieniu do rynku.

| (7) | W kwietniu 2019 r. Europejski Urząd Nadzoru (Europejski Urząd Nadzoru Bankowego), (EUNB), ustanowiony rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 1093/2010 (4), Europejski Urząd Nadzoru (Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych), (EIOPA), ustanowiony rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 1094/2010 (5), oraz Europejski Urząd Nadzoru (Europejski Urząd Nadzoru Giełd i Papierów Wartościowych), (ESMA) ustanowiony rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 1095/2010 (6), (wspólnie znane jako „Europejskie Urzędy Nadzoru” lub „EUN”) opublikowały wspólnie zalecenia techniczne, w których wezwały do przyjęcia spójnego podejścia do ryzyka związanego z ICT w sektorze finansów, oraz zaleciły wzmocnienie, w sposób proporcjonalny, operacyjnej odporności cyfrowej sektora usług finansowych za pomocą unijnej inicjatywy sektorowej. |
| --- | --- |

(7)

W kwietniu 2019 r. Europejski Urząd Nadzoru (Europejski Urząd Nadzoru Bankowego), (EUNB), ustanowiony rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 1093/2010 (4), Europejski Urząd Nadzoru (Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych), (EIOPA), ustanowiony rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 1094/2010 (5), oraz Europejski Urząd Nadzoru (Europejski Urząd Nadzoru Giełd i Papierów Wartościowych), (ESMA) ustanowiony rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 1095/2010 (6), (wspólnie znane jako „Europejskie Urzędy Nadzoru” lub „EUN”) opublikowały wspólnie zalecenia techniczne, w których wezwały do przyjęcia spójnego podejścia do ryzyka związanego z ICT w sektorze finansów, oraz zaleciły wzmocnienie, w sposób proporcjonalny, operacyjnej odporności cyfrowej sektora usług finansowych za pomocą unijnej inicjatywy sektorowej.

| (8) | Unijny sektor finansowy jest regulowany za pomocą jednolitego zbioru przepisów i podlega Europejskiemu Systemowi Nadzoru Finansowego. Przepisy dotyczące operacyjnej odporności cyfrowej i bezpieczeństwa ICT nie zostały jednak jeszcze w pełni lub spójnie zharmonizowane, mimo że operacyjna odporność cyfrowa ma zasadnicze znaczenie dla zapewnienia stabilności finansowej i integralności rynku w epoce cyfrowej i nie jest mniej ważna niż na przykład wspólne standardy ostrożnościowe lub zasady postępowania na rynku. Należy zatem rozbudować jednolity zbiór przepisów i system nadzoru, tak aby uwzględniały również operacyjną odporność cyfrową, poprzez wzmocnienie mandatów właściwych organów w celu umożliwienia im sprawowania nadzoru w zakresie zarządzania ryzykiem ICT w sektorze finansowym w celu ochrony integralności i efektywności rynku wewnętrznego oraz ułatwieniu jego należytego funkcjonowania. |
| --- | --- |

(8)

Unijny sektor finansowy jest regulowany za pomocą jednolitego zbioru przepisów i podlega Europejskiemu Systemowi Nadzoru Finansowego. Przepisy dotyczące operacyjnej odporności cyfrowej i bezpieczeństwa ICT nie zostały jednak jeszcze w pełni lub spójnie zharmonizowane, mimo że operacyjna odporność cyfrowa ma zasadnicze znaczenie dla zapewnienia stabilności finansowej i integralności rynku w epoce cyfrowej i nie jest mniej ważna niż na przykład wspólne standardy ostrożnościowe lub zasady postępowania na rynku. Należy zatem rozbudować jednolity zbiór przepisów i system nadzoru, tak aby uwzględniały również operacyjną odporność cyfrową, poprzez wzmocnienie mandatów właściwych organów w celu umożliwienia im sprawowania nadzoru w zakresie zarządzania ryzykiem ICT w sektorze finansowym w celu ochrony integralności i efektywności rynku wewnętrznego oraz ułatwieniu jego należytego funkcjonowania.

| (9) | Rozbieżności legislacyjne i niejednolite krajowe podejścia regulacyjne lub nadzorcze do ryzyka związanego z ICT powodują powstanie przeszkód dla funkcjonowania rynku wewnętrznego usług finansowych, utrudniając sprawne korzystanie ze swobody przedsiębiorczości i swobody świadczenia usług podmiotom finansowym prowadzącym działalność transgraniczną. Może zostać również zakłócona konkurencja między tego samego rodzaju podmiotami finansowymi działającymi w różnych państwach członkowskich. Dzieje się tak w przypadku obszarów, w których unijna harmonizacja jest bardzo ograniczona – takich jak testowanie operacyjnej odporności cyfrowej – lub nie istnieje – takich jak monitorowanie ryzyka ze strony zewnętrznych dostawców usług ICT. Rozbieżności wynikające ze zmian planowanych na szczeblu krajowym mogłyby spowodować dalsze przeszkody dla funkcjonowania rynku wewnętrznego ze szkodą dla uczestników rynku i dla stabilności finansowej. |
| --- | --- |

(9)

Rozbieżności legislacyjne i niejednolite krajowe podejścia regulacyjne lub nadzorcze do ryzyka związanego z ICT powodują powstanie przeszkód dla funkcjonowania rynku wewnętrznego usług finansowych, utrudniając sprawne korzystanie ze swobody przedsiębiorczości i swobody świadczenia usług podmiotom finansowym prowadzącym działalność transgraniczną. Może zostać również zakłócona konkurencja między tego samego rodzaju podmiotami finansowymi działającymi w różnych państwach członkowskich. Dzieje się tak w przypadku obszarów, w których unijna harmonizacja jest bardzo ograniczona – takich jak testowanie operacyjnej odporności cyfrowej – lub nie istnieje – takich jak monitorowanie ryzyka ze strony zewnętrznych dostawców usług ICT. Rozbieżności wynikające ze zmian planowanych na szczeblu krajowym mogłyby spowodować dalsze przeszkody dla funkcjonowania rynku wewnętrznego ze szkodą dla uczestników rynku i dla stabilności finansowej.

| (10) | Dotychczasowe częściowe tylko uwzględnienie przepisów dotyczących ryzyka związanego z ICT na szczeblu Unii powoduje braki lub nakładanie się przepisów w istotnych obszarach, takich jak zgłaszanie incydentów związanych z ICT i testowanie operacyjnej odporności cyfrowej, oraz niespójności wynikające z wprowadzanych rozbieżnych przepisów krajowych lub nieefektywnego kosztowo stosowania nakładających się przepisów. Ma to szczególnie szkodliwy wpływ na użytkowników intensywnie wykorzystujących ICT, takich jak w sektorze finansowym, ponieważ ryzyko związane z technologią nie zna granic państwowych, a sektor finansowy wprowadza swoje usługi na szeroką, transgraniczną skalę w Unii i poza nią. Indywidualne podmioty finansowe prowadzące działalność transgraniczną lub posiadające kilka zezwoleń (np. jeden podmiot finansowy może posiadać zezwolenia na prowadzenie działalności bankowej, jako firma inwestycyjna i jako instytucja płatnicza, przy czym każde z nich może być wydane przez różne właściwe organy w jednym lub w kliku państwach członkowskich) stają przed wyzwaniami operacyjnymi przy samodzielnym zwalczaniu ryzyka związanego z ICT oraz łagodzeniu negatywnego wpływu incydentów związanych z ICT w spójny, opłacalny sposób. |
| --- | --- |

(10)

Dotychczasowe częściowe tylko uwzględnienie przepisów dotyczących ryzyka związanego z ICT na szczeblu Unii powoduje braki lub nakładanie się przepisów w istotnych obszarach, takich jak zgłaszanie incydentów związanych z ICT i testowanie operacyjnej odporności cyfrowej, oraz niespójności wynikające z wprowadzanych rozbieżnych przepisów krajowych lub nieefektywnego kosztowo stosowania nakładających się przepisów. Ma to szczególnie szkodliwy wpływ na użytkowników intensywnie wykorzystujących ICT, takich jak w sektorze finansowym, ponieważ ryzyko związane z technologią nie zna granic państwowych, a sektor finansowy wprowadza swoje usługi na szeroką, transgraniczną skalę w Unii i poza nią. Indywidualne podmioty finansowe prowadzące działalność transgraniczną lub posiadające kilka zezwoleń (np. jeden podmiot finansowy może posiadać zezwolenia na prowadzenie działalności bankowej, jako firma inwestycyjna i jako instytucja płatnicza, przy czym każde z nich może być wydane przez różne właściwe organy w jednym lub w kliku państwach członkowskich) stają przed wyzwaniami operacyjnymi przy samodzielnym zwalczaniu ryzyka związanego z ICT oraz łagodzeniu negatywnego wpływu incydentów związanych z ICT w spójny, opłacalny sposób.

| (11) | Biorąc pod uwagę, że do jednolitego zbioru przepisów nie dołączono kompleksowych ram dotyczących ICT lub ryzyka operacyjnego, konieczna jest dalsza harmonizacja najważniejszych wymogów w zakresie operacyjnej odporności cyfrowej dla wszystkich podmiotów finansowych. Zdolności w zakresie ICT i ogólna odporność, rozwijane przez podmioty finansowe – na podstawie tych najważniejszych wymogów – w celu przetrwania przestojów operacyjnych, przyczyniłyby się do ochrony stabilności i integralności unijnych rynków finansowych, a tym samym do zapewnienia wysokiego poziomu ochrony inwestorów i konsumentów w Unii. Biorąc pod uwagę, że niniejsze rozporządzenie ma na celu przyczynienie się do sprawnego funkcjonowania rynku wewnętrznego, powinno ono opierać się na przepisach art. 114 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) zgodnie z jego wykładnią przyjętą w świetle utrwalonego orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej (zwanego dalej „Trybunałem Sprawiedliwości”). |
| --- | --- |

(11)

Biorąc pod uwagę, że do jednolitego zbioru przepisów nie dołączono kompleksowych ram dotyczących ICT lub ryzyka operacyjnego, konieczna jest dalsza harmonizacja najważniejszych wymogów w zakresie operacyjnej odporności cyfrowej dla wszystkich podmiotów finansowych. Zdolności w zakresie ICT i ogólna odporność, rozwijane przez podmioty finansowe – na podstawie tych najważniejszych wymogów – w celu przetrwania przestojów operacyjnych, przyczyniłyby się do ochrony stabilności i integralności unijnych rynków finansowych, a tym samym do zapewnienia wysokiego poziomu ochrony inwestorów i konsumentów w Unii. Biorąc pod uwagę, że niniejsze rozporządzenie ma na celu przyczynienie się do sprawnego funkcjonowania rynku wewnętrznego, powinno ono opierać się na przepisach art. 114 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) zgodnie z jego wykładnią przyjętą w świetle utrwalonego orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej (zwanego dalej „Trybunałem Sprawiedliwości”).

| (12) | Niniejsze rozporządzenie ma na celu konsolidację i aktualizację wymogów dotyczących ryzyka związanego z ICT jako części wymogów dotyczących ryzyka operacyjnego zawartych dotychczas osobno w różnych unijnych aktach prawnych. Chociaż te akty prawne obejmowały główne kategorie ryzyka finansowego (np. ryzyko kredytowe, ryzyko rynkowe, ryzyko kredytowe kontrahenta i ryzyko płynności, ryzyko związane z postępowaniem na rynku), nie uwzględniono w nich – w momencie ich przyjęcia – w sposób kompleksowy wszystkich elementów odporności operacyjnej. Przepisy dotyczące ryzyka operacyjnego, jeżeli zostały szerzej rozwinięte w tych unijnych aktach prawnych, często sprzyjały tradycyjnemu ilościowemu podejściu do zwalczania ryzyka (polegającemu na określeniu wymogu kapitałowego na potrzeby pokrycia ryzyka związanego z ICT), a nie ukierunkowanym przepisom jakościowym dotyczącym zdolności w zakresie ochrony, wykrywania, powstrzymywania, przywracania sprawności i odbudowy w odniesieniu do incydentów związanych z ICT lub zdolności w zakresie sprawozdawczości i testowania cyfrowego. Te akty prawne miały przede wszystkim obejmować i aktualizować podstawowe przepisy dotyczące nadzoru ostrożnościowego, integralności rynku lub postępowania na rynku. Poprzez konsolidację i aktualizację różnych przepisów dotyczących ryzyka związanego z ICT, wszystkie przepisy dotyczące ryzyka cyfrowego w sektorze finansowym powinny zostać po raz pierwszy zebrane w spójny sposób w jednym akcie ustawodawczym. Niniejsze rozporządzenie wypełnia braki lub eliminuje niespójności w niektórych z poprzednich aktów prawnych, w tym związane ze stosowaną w nich terminologią, oraz wyraźnie odnosi się do ryzyka związanego z ICT za pośrednictwem ukierunkowanych przepisów w sprawie zdolności w zakresie zarządzania ryzykiem związanym z ICT, zgłaszania incydentów, testowania odporności operacyjnej oraz monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT. Zatem niniejsze rozporządzenie powinno również zwiększyć świadomość na temat ryzyka związanego z ICT i potwierdzić, że incydenty związane z ICT i brak odporności operacyjnej mogą zagrozić dobrej kondycji finansowej podmiotów finansowych. |
| --- | --- |

(12)

Niniejsze rozporządzenie ma na celu konsolidację i aktualizację wymogów dotyczących ryzyka związanego z ICT jako części wymogów dotyczących ryzyka operacyjnego zawartych dotychczas osobno w różnych unijnych aktach prawnych. Chociaż te akty prawne obejmowały główne kategorie ryzyka finansowego (np. ryzyko kredytowe, ryzyko rynkowe, ryzyko kredytowe kontrahenta i ryzyko płynności, ryzyko związane z postępowaniem na rynku), nie uwzględniono w nich – w momencie ich przyjęcia – w sposób kompleksowy wszystkich elementów odporności operacyjnej. Przepisy dotyczące ryzyka operacyjnego, jeżeli zostały szerzej rozwinięte w tych unijnych aktach prawnych, często sprzyjały tradycyjnemu ilościowemu podejściu do zwalczania ryzyka (polegającemu na określeniu wymogu kapitałowego na potrzeby pokrycia ryzyka związanego z ICT), a nie ukierunkowanym przepisom jakościowym dotyczącym zdolności w zakresie ochrony, wykrywania, powstrzymywania, przywracania sprawności i odbudowy w odniesieniu do incydentów związanych z ICT lub zdolności w zakresie sprawozdawczości i testowania cyfrowego. Te akty prawne miały przede wszystkim obejmować i aktualizować podstawowe przepisy dotyczące nadzoru ostrożnościowego, integralności rynku lub postępowania na rynku. Poprzez konsolidację i aktualizację różnych przepisów dotyczących ryzyka związanego z ICT, wszystkie przepisy dotyczące ryzyka cyfrowego w sektorze finansowym powinny zostać po raz pierwszy zebrane w spójny sposób w jednym akcie ustawodawczym. Niniejsze rozporządzenie wypełnia braki lub eliminuje niespójności w niektórych z poprzednich aktów prawnych, w tym związane ze stosowaną w nich terminologią, oraz wyraźnie odnosi się do ryzyka związanego z ICT za pośrednictwem ukierunkowanych przepisów w sprawie zdolności w zakresie zarządzania ryzykiem związanym z ICT, zgłaszania incydentów, testowania odporności operacyjnej oraz monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT. Zatem niniejsze rozporządzenie powinno również zwiększyć świadomość na temat ryzyka związanego z ICT i potwierdzić, że incydenty związane z ICT i brak odporności operacyjnej mogą zagrozić dobrej kondycji finansowej podmiotów finansowych.

| (13) | Podmioty finansowe powinny przyjąć to samo podejście i stosować się do tych samych, opartych na zasadach przepisów podczas zwalczania ryzyka związanego z ICT, uwzględniając przy tym swoją wielkość i ogólny profil ryzyka oraz charakter, skalę i stopień złożoności realizowanych usług, działań i operacji. Spójność przyczynia się do wzmocnienia zaufania do systemu finansowego oraz ochrony jego stabilności, zwłaszcza w czasach dużej zależności od systemów, platform i infrastruktur ICT, co powoduje większe ryzyko cyfrowe. Przestrzeganie zasad podstawowej higieny cyberbezpieczeństwa powinno również pozwolić uniknąć obciążania gospodarki znacznymi kosztami dzięki zminimalizowaniu wpływu i kosztów zakłóceń funkcjonowania ICT. |
| --- | --- |

(13)

Podmioty finansowe powinny przyjąć to samo podejście i stosować się do tych samych, opartych na zasadach przepisów podczas zwalczania ryzyka związanego z ICT, uwzględniając przy tym swoją wielkość i ogólny profil ryzyka oraz charakter, skalę i stopień złożoności realizowanych usług, działań i operacji. Spójność przyczynia się do wzmocnienia zaufania do systemu finansowego oraz ochrony jego stabilności, zwłaszcza w czasach dużej zależności od systemów, platform i infrastruktur ICT, co powoduje większe ryzyko cyfrowe. Przestrzeganie zasad podstawowej higieny cyberbezpieczeństwa powinno również pozwolić uniknąć obciążania gospodarki znacznymi kosztami dzięki zminimalizowaniu wpływu i kosztów zakłóceń funkcjonowania ICT.

| (14) | Rozporządzenie pomaga ograniczyć stopień złożoności regulacyjnej, wspiera spójność w zakresie nadzoru, zwiększa pewność prawa, a także przyczynia się do ograniczenia kosztów przestrzegania przepisów, zwłaszcza dla podmiotów finansowych prowadzących działalność transgraniczną, i do zmniejszenia zakłóceń konkurencji. W związku z tym wybór rozporządzenia na potrzeby ustanowienia wspólnych ram operacyjnej odporności cyfrowej podmiotów finansowych wydaje się najbardziej odpowiednim sposobem zagwarantowania jednolitego i spójnego stosowania wszystkich elementów zarządzania ryzykiem związanym z ICT przez unijny sektor finansowy. |
| --- | --- |

(14)

Rozporządzenie pomaga ograniczyć stopień złożoności regulacyjnej, wspiera spójność w zakresie nadzoru, zwiększa pewność prawa, a także przyczynia się do ograniczenia kosztów przestrzegania przepisów, zwłaszcza dla podmiotów finansowych prowadzących działalność transgraniczną, i do zmniejszenia zakłóceń konkurencji. W związku z tym wybór rozporządzenia na potrzeby ustanowienia wspólnych ram operacyjnej odporności cyfrowej podmiotów finansowych wydaje się najbardziej odpowiednim sposobem zagwarantowania jednolitego i spójnego stosowania wszystkich elementów zarządzania ryzykiem związanym z ICT przez unijny sektor finansowy.

| (15) | Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 (7) stanowiła pierwsze horyzontalne ramy w zakresie cyberbezpieczeństwa obowiązujące na szczeblu Unii, mające też zastosowanie do trzech rodzajów podmiotów finansowych, a mianowicie instytucji kredytowych, systemów obrotu i kontrahentów centralnych. Jednak biorąc pod uwagę, że w dyrektywie (UE) 2016/1148 określono mechanizm identyfikacji na szczeblu krajowym operatorów usług kluczowych, jedynie niektóre instytucje kredytowe i systemy obrotu oraz niektórzy kontrahenci centralni zidentyfikowani przez państwa członkowskie są w praktyce objęci jej zakresem stosowania, a zatem mają obowiązek spełniać określone w niej wymogi w zakresie bezpieczeństwa ICT i zgłaszania incydentów. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (8) ustanawia jednolite kryterium określania podmiotów objętych jej zakresem stosowania (zasada limitu wielkości), przy czym obejmuje nim też wspomniane trzy rodzaje podmiotów finansowych. |
| --- | --- |

(15)

Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 (7) stanowiła pierwsze horyzontalne ramy w zakresie cyberbezpieczeństwa obowiązujące na szczeblu Unii, mające też zastosowanie do trzech rodzajów podmiotów finansowych, a mianowicie instytucji kredytowych, systemów obrotu i kontrahentów centralnych. Jednak biorąc pod uwagę, że w dyrektywie (UE) 2016/1148 określono mechanizm identyfikacji na szczeblu krajowym operatorów usług kluczowych, jedynie niektóre instytucje kredytowe i systemy obrotu oraz niektórzy kontrahenci centralni zidentyfikowani przez państwa członkowskie są w praktyce objęci jej zakresem stosowania, a zatem mają obowiązek spełniać określone w niej wymogi w zakresie bezpieczeństwa ICT i zgłaszania incydentów. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 (8) ustanawia jednolite kryterium określania podmiotów objętych jej zakresem stosowania (zasada limitu wielkości), przy czym obejmuje nim też wspomniane trzy rodzaje podmiotów finansowych.

| (16) | Niemniej jednak biorąc pod uwagę, że niniejsze rozporządzenie zwiększa poziom harmonizacji różnych elementów odporności cyfrowej poprzez wprowadzenie wymogów w zakresie zarządzania ryzykiem związanym z ICT i zgłaszania incydentów związanych z ICT, które to wymogi są bardziej rygorystyczne w porównaniu z wymogami określonymi w obecnych unijnych przepisach dotyczących usług finansowych, ten wyższy poziom zapewnia zwiększoną harmonizację również w porównaniu z wymogami określonymi w dyrektywie (UE) 2022/2555. W związku z tym niniejsze rozporządzenie stanowi lex specialis względem dyrektywy (UE) 2022/2555. Jednocześnie, utrzymanie silnego związku między sektorem finansowym a unijnymi horyzontalnymi ramami w zakresie cyberbezpieczeństwa, określonymi obecnie w dyrektywie (UE) 2022/2555, ma zasadnicze znaczenie dla zapewnienia spójności z przyjętymi przez państwa członkowskie strategiami w zakresie cyberbezpieczeństwa oraz umożliwienia organom nadzoru finansowego uzyskania informacji na temat cyberincydentów wpływających na inne sektory objęte tą dyrektywą. |
| --- | --- |

(16)

Niemniej jednak biorąc pod uwagę, że niniejsze rozporządzenie zwiększa poziom harmonizacji różnych elementów odporności cyfrowej poprzez wprowadzenie wymogów w zakresie zarządzania ryzykiem związanym z ICT i zgłaszania incydentów związanych z ICT, które to wymogi są bardziej rygorystyczne w porównaniu z wymogami określonymi w obecnych unijnych przepisach dotyczących usług finansowych, ten wyższy poziom zapewnia zwiększoną harmonizację również w porównaniu z wymogami określonymi w dyrektywie (UE) 2022/2555. W związku z tym niniejsze rozporządzenie stanowi lex specialis względem dyrektywy (UE) 2022/2555. Jednocześnie, utrzymanie silnego związku między sektorem finansowym a unijnymi horyzontalnymi ramami w zakresie cyberbezpieczeństwa, określonymi obecnie w dyrektywie (UE) 2022/2555, ma zasadnicze znaczenie dla zapewnienia spójności z przyjętymi przez państwa członkowskie strategiami w zakresie cyberbezpieczeństwa oraz umożliwienia organom nadzoru finansowego uzyskania informacji na temat cyberincydentów wpływających na inne sektory objęte tą dyrektywą.

| (17) | Zgodnie z art. 4 ust. 2 Traktatu o Unii Europejskiej i bez uszczerbku dla kontroli sądowej sprawowanej przez Trybunał Sprawiedliwości niniejsze rozporządzenie nie powinno mieć wpływu na odpowiedzialność państw członkowskich w zakresie podstawowych funkcji państwa dotyczących bezpieczeństwa publicznego, obronności i ochrony bezpieczeństwa narodowego, np. jeżeli chodzi o przekazywanie informacji stojących w sprzeczności z ochroną bezpieczeństwa narodowego. |
| --- | --- |

(17)

Zgodnie z art. 4 ust. 2 Traktatu o Unii Europejskiej i bez uszczerbku dla kontroli sądowej sprawowanej przez Trybunał Sprawiedliwości niniejsze rozporządzenie nie powinno mieć wpływu na odpowiedzialność państw członkowskich w zakresie podstawowych funkcji państwa dotyczących bezpieczeństwa publicznego, obronności i ochrony bezpieczeństwa narodowego, np. jeżeli chodzi o przekazywanie informacji stojących w sprzeczności z ochroną bezpieczeństwa narodowego.

| (18) | Aby umożliwić międzysektorowy proces uczenia się i skutecznie czerpać z doświadczeń innych sektorów podczas reagowania na cyberzagrożenia, podmioty finansowe, o których mowa w dyrektywie (UE) 2022/2555, powinny pozostać częścią „ekosystemu” tej dyrektywy (np. Grupa Współpracy i zespoły reagowania na incydenty bezpieczeństwa komputerowego (CSIRT)). EUN i właściwe organy krajowe powinny być w stanie uczestniczyć w dyskusjach na temat strategicznej polityki i technicznych pracach grupy współpracy na mocy tej dyrektywy oraz wymieniać informacje i dalej współpracować z pojedynczymi punktami kontaktowymi wyznaczonymi lub ustanowionymi zgodnie z tą dyrektywą. Właściwe organy zgodnie z niniejszym rozporządzeniem powinny również prowadzić konsultacje i współpracować z CSIRT. Właściwe organy powinny też mieć możliwość zwrócenia się o zalecenia techniczne do właściwych organów wyznaczonych lub ustanowionych zgodnie dyrektywą (UE) 2022/2555 i opracowania ustaleń dotyczących współpracy, służących zapewnieniu skutecznych i szybkich mechanizmów koordynacji działań. |
| --- | --- |

(18)

Aby umożliwić międzysektorowy proces uczenia się i skutecznie czerpać z doświadczeń innych sektorów podczas reagowania na cyberzagrożenia, podmioty finansowe, o których mowa w dyrektywie (UE) 2022/2555, powinny pozostać częścią „ekosystemu” tej dyrektywy (np. Grupa Współpracy i zespoły reagowania na incydenty bezpieczeństwa komputerowego (CSIRT)). EUN i właściwe organy krajowe powinny być w stanie uczestniczyć w dyskusjach na temat strategicznej polityki i technicznych pracach grupy współpracy na mocy tej dyrektywy oraz wymieniać informacje i dalej współpracować z pojedynczymi punktami kontaktowymi wyznaczonymi lub ustanowionymi zgodnie z tą dyrektywą. Właściwe organy zgodnie z niniejszym rozporządzeniem powinny również prowadzić konsultacje i współpracować z CSIRT. Właściwe organy powinny też mieć możliwość zwrócenia się o zalecenia techniczne do właściwych organów wyznaczonych lub ustanowionych zgodnie dyrektywą (UE) 2022/2555 i opracowania ustaleń dotyczących współpracy, służących zapewnieniu skutecznych i szybkich mechanizmów koordynacji działań.

| (19) | Ze względu na silne powiązania między cyfrową i fizyczną odpornością podmiotów finansowych, w niniejszym rozporządzeniu i w dyrektywie Parlamentu Europejskiego i Rady (UE) 2022/2557 (9) należy zastosować spójne podejście do kwestii odporności podmiotów krytycznych. Z uwagi na to, że w przewidzianych w niniejszym rozporządzeniu obowiązkach w zakresie zarządzania ryzykiem związanym z ICT i w zakresie zgłaszania incydentów kompleksowo zajęto się kwestią fizycznej odporności podmiotów finansowych, obowiązki ustanowione w rozdziałach III i IV dyrektywy (UE) 2022/2557 nie powinny mieć zastosowania do podmiotów finansowych objętych zakresem stosowania tej dyrektywy. |
| --- | --- |

(19)

Ze względu na silne powiązania między cyfrową i fizyczną odpornością podmiotów finansowych, w niniejszym rozporządzeniu i w dyrektywie Parlamentu Europejskiego i Rady (UE) 2022/2557 (9) należy zastosować spójne podejście do kwestii odporności podmiotów krytycznych. Z uwagi na to, że w przewidzianych w niniejszym rozporządzeniu obowiązkach w zakresie zarządzania ryzykiem związanym z ICT i w zakresie zgłaszania incydentów kompleksowo zajęto się kwestią fizycznej odporności podmiotów finansowych, obowiązki ustanowione w rozdziałach III i IV dyrektywy (UE) 2022/2557 nie powinny mieć zastosowania do podmiotów finansowych objętych zakresem stosowania tej dyrektywy.

| (20) | Dostawcy usług chmurowych stanowią jedną z kategorii infrastruktury cyfrowej objętej dyrektywą (UE) 2022/2555. Unijne ramy nadzoru (zwane dalej „ramami nadzoru”) ustanowione niniejszym rozporządzeniem mają zastosowanie do wszystkich kluczowych zewnętrznych dostawców usług ICT, w tym dostawców usług chmurowych, jeżeli świadczą oni usługi ICT na rzecz podmiotów finansowych; należy zatem uznać, że stanowią one uzupełnienie nadzoru sprawowanego zgodnie z dyrektywą (UE) 2022/2555. Ponadto, wobec braku unijnych horyzontalnych ram ustanawiających organ nadzoru cyfrowego, ramy nadzoru ustanowione w niniejszym rozporządzeniu powinny obejmować dostawców usług chmurowych. |
| --- | --- |

(20)

Dostawcy usług chmurowych stanowią jedną z kategorii infrastruktury cyfrowej objętej dyrektywą (UE) 2022/2555. Unijne ramy nadzoru (zwane dalej „ramami nadzoru”) ustanowione niniejszym rozporządzeniem mają zastosowanie do wszystkich kluczowych zewnętrznych dostawców usług ICT, w tym dostawców usług chmurowych, jeżeli świadczą oni usługi ICT na rzecz podmiotów finansowych; należy zatem uznać, że stanowią one uzupełnienie nadzoru sprawowanego zgodnie z dyrektywą (UE) 2022/2555. Ponadto, wobec braku unijnych horyzontalnych ram ustanawiających organ nadzoru cyfrowego, ramy nadzoru ustanowione w niniejszym rozporządzeniu powinny obejmować dostawców usług chmurowych.

| (21) | Aby zachować pełną kontrolę nad ryzykiem związanym z ICT, podmioty finansowe muszą posiadać kompleksowe umiejętności umożliwiające solidne i skuteczne zarządzanie ryzykiem związanym z ICT, wraz z konkretnymi mechanizmami oraz strategiami dotyczącymi obsługi wszystkich incydentów związanych z ICT oraz zgłaszania najpoważniejszych z nich. Podmioty finansowe powinny również dysponować strategiami na potrzeby testowania systemów, kontroli i procesów ICT, a także zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT. Należy podwyższyć podstawowy poziom operacyjnej odporności cyfrowej w odniesieniu do podmiotów finansowych, umożliwiając jednocześnie proporcjonalne stosowanie wymogów w odniesieniu do niektórych podmiotów finansowych, zwłaszcza mikroprzedsiębiorstw, a także podmiotów finansowych objętych uproszczonymi ramami zarządzania ryzykiem związanym z ICT. Aby ułatwić skuteczny nadzór nad instytucjami pracowniczych programów emerytalnych, który jest proporcjonalny i uwzględnia potrzebę zmniejszenia obciążeń administracyjnych dla właściwych organów, w odniesieniu do takich podmiotów finansowych w odpowiednich krajowych mechanizmach nadzoru należy uwzględnić wielkość tych podmiotów i ich ogólny profil ryzyka oraz charakter, skalę i stopień złożoności realizowanych usług, działań i operacji, nawet w przypadku gdy przekroczone zostały odpowiednie progi określone w art. 5 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/2341 (10). W szczególności działania nadzorcze powinny się koncentrować przede wszystkim na konieczności zwalczania poważnych zagrożeń w kontekście zarządzania ryzykiem związanym z ICT w odniesieniu do poszczególnych podmiotów.
  Właściwe organy powinny również zachować ostrożne, lecz proporcjonalnego podejście w kwestii nadzoru nad instytucjami pracowniczych programów emerytalnych, które – zgodnie z art. 31 dyrektywy (UE) 2016/2341 – zlecają usługodawcom w drodze outsourcingu znaczną część swojej podstawowej działalności, m.in. zarządzanie aktywami, obliczenia aktuarialne, księgowość i zarządzanie danymi. |
| --- | --- |

(21)

Aby zachować pełną kontrolę nad ryzykiem związanym z ICT, podmioty finansowe muszą posiadać kompleksowe umiejętności umożliwiające solidne i skuteczne zarządzanie ryzykiem związanym z ICT, wraz z konkretnymi mechanizmami oraz strategiami dotyczącymi obsługi wszystkich incydentów związanych z ICT oraz zgłaszania najpoważniejszych z nich. Podmioty finansowe powinny również dysponować strategiami na potrzeby testowania systemów, kontroli i procesów ICT, a także zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT. Należy podwyższyć podstawowy poziom operacyjnej odporności cyfrowej w odniesieniu do podmiotów finansowych, umożliwiając jednocześnie proporcjonalne stosowanie wymogów w odniesieniu do niektórych podmiotów finansowych, zwłaszcza mikroprzedsiębiorstw, a także podmiotów finansowych objętych uproszczonymi ramami zarządzania ryzykiem związanym z ICT. Aby ułatwić skuteczny nadzór nad instytucjami pracowniczych programów emerytalnych, który jest proporcjonalny i uwzględnia potrzebę zmniejszenia obciążeń administracyjnych dla właściwych organów, w odniesieniu do takich podmiotów finansowych w odpowiednich krajowych mechanizmach nadzoru należy uwzględnić wielkość tych podmiotów i ich ogólny profil ryzyka oraz charakter, skalę i stopień złożoności realizowanych usług, działań i operacji, nawet w przypadku gdy przekroczone zostały odpowiednie progi określone w art. 5 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/2341 (10). W szczególności działania nadzorcze powinny się koncentrować przede wszystkim na konieczności zwalczania poważnych zagrożeń w kontekście zarządzania ryzykiem związanym z ICT w odniesieniu do poszczególnych podmiotów.

Właściwe organy powinny również zachować ostrożne, lecz proporcjonalnego podejście w kwestii nadzoru nad instytucjami pracowniczych programów emerytalnych, które – zgodnie z art. 31 dyrektywy (UE) 2016/2341 – zlecają usługodawcom w drodze outsourcingu znaczną część swojej podstawowej działalności, m.in. zarządzanie aktywami, obliczenia aktuarialne, księgowość i zarządzanie danymi.

| (22) | Progi i taksonomie dotyczące zgłaszania incydentów związanych z ICT różnią się znacznie na szczeblu krajowym. Chociaż płaszczyznę porozumienia można osiągnąć dzięki odpowiednim pracom podejmowanym przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) ustanowioną rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2019/881 (11) i grupę współpracy zgodnie z dyrektywą (UE) 2022/2555, rozbieżne podejścia do ustalania progów i stosowania taksonomii nadal istnieją lub mogą pojawić się w przypadku pozostałych podmiotów finansowych. Ze względu na te rozbieżności wprowadzono liczne wymogi, które podmioty finansowe muszą spełnić, zwłaszcza w sytuacji, gdy prowadzą działalność w kilku unijnych państwach członkowskich i gdy są częścią grupy finansowej. Ponadto takie rozbieżności mogą utrudniać tworzenie dalszych jednolitych lub scentralizowanych unijnych mechanizmów przyspieszających proces zgłaszania oraz wspierających szybką i sprawną wymianę informacji między właściwymi organami, co ma zasadnicze znaczenie dla zwalczania ryzyka związanego z ICT w przypadku ataków na wielką skalę, które mogą mieć konsekwencje systemowe. |
| --- | --- |

(22)

Progi i taksonomie dotyczące zgłaszania incydentów związanych z ICT różnią się znacznie na szczeblu krajowym. Chociaż płaszczyznę porozumienia można osiągnąć dzięki odpowiednim pracom podejmowanym przez Agencję Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) ustanowioną rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2019/881 (11) i grupę współpracy zgodnie z dyrektywą (UE) 2022/2555, rozbieżne podejścia do ustalania progów i stosowania taksonomii nadal istnieją lub mogą pojawić się w przypadku pozostałych podmiotów finansowych. Ze względu na te rozbieżności wprowadzono liczne wymogi, które podmioty finansowe muszą spełnić, zwłaszcza w sytuacji, gdy prowadzą działalność w kilku unijnych państwach członkowskich i gdy są częścią grupy finansowej. Ponadto takie rozbieżności mogą utrudniać tworzenie dalszych jednolitych lub scentralizowanych unijnych mechanizmów przyspieszających proces zgłaszania oraz wspierających szybką i sprawną wymianę informacji między właściwymi organami, co ma zasadnicze znaczenie dla zwalczania ryzyka związanego z ICT w przypadku ataków na wielką skalę, które mogą mieć konsekwencje systemowe.

| (23) | Aby zmniejszyć obciążenie administracyjne i potencjalnie powielające się obowiązki w zakresie zgłaszania incydentów w odniesieniu do niektórych podmiotów finansowych, obowiązek zgłaszania incydentów zgodnie z dyrektywą Parlamentu Europejskiego i Rady (UE) 2015/2366 (12) nie powinien mieć zastosowania do dostawców usług płatniczych, którzy są objęci zakresem stosowania niniejszego rozporządzenia. W związku z tym instytucje kredytowe, instytucje pieniądza elektronicznego, instytucje płatnicze i dostawcy świadczący usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 tej dyrektywy, powinni zgłaszać od daty stosowania niniejszego rozporządzenia – zgodnie z niniejszym rozporządzeniem – wszelkie incydenty operacyjne lub incydenty w zakresie bezpieczeństwa związane z płatnościami, które wcześniej były zgłaszane zgodnie z tą dyrektywą, niezależnie od tego, czy są one związane z ICT. |
| --- | --- |

(23)

Aby zmniejszyć obciążenie administracyjne i potencjalnie powielające się obowiązki w zakresie zgłaszania incydentów w odniesieniu do niektórych podmiotów finansowych, obowiązek zgłaszania incydentów zgodnie z dyrektywą Parlamentu Europejskiego i Rady (UE) 2015/2366 (12) nie powinien mieć zastosowania do dostawców usług płatniczych, którzy są objęci zakresem stosowania niniejszego rozporządzenia. W związku z tym instytucje kredytowe, instytucje pieniądza elektronicznego, instytucje płatnicze i dostawcy świadczący usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 tej dyrektywy, powinni zgłaszać od daty stosowania niniejszego rozporządzenia – zgodnie z niniejszym rozporządzeniem – wszelkie incydenty operacyjne lub incydenty w zakresie bezpieczeństwa związane z płatnościami, które wcześniej były zgłaszane zgodnie z tą dyrektywą, niezależnie od tego, czy są one związane z ICT.

| (24) | Aby umożliwić właściwym organom wykonywanie zadań nadzorczych poprzez uzyskanie pełnego przeglądu charakteru, częstotliwości, znaczenia i skutków incydentów związanych z ICT oraz aby wzmocnić wymianę informacji między właściwymi organami publicznymi, w tym organami ścigania i organami ds. restrukturyzacji i uporządkowanej likwidacji, w niniejszym rozporządzeniu należy ustanowić solidny system zgłaszania incydentów związanych z ICT przewidujący odpowiednie wymogi, które wyeliminowałyby obecne luki w przepisach dotyczących usług finansowych, oraz usunąć istniejące pokrywające się i dublujące przepisy w celu obniżenia kosztów. Podstawowe znaczenie ma harmonizacja systemu zgłaszania incydentów związanych z ICT poprzez zobowiązanie wszystkich podmiotów finansowych do zgłaszania ich właściwym organom za pomocą jednolitych usprawnionych ram, zgodnie z niniejszym rozporządzeniem. Ponadto należy przyznać EUN uprawnienia do doprecyzowania istotnych elementów na potrzeby ram zgłaszania incydentów związanych z ICT, takich jak taksonomia, ramy czasowe, zbiory danych, wzory i mające zastosowanie progi. Aby zapewnić pełną zgodność z dyrektywą (UE) 2022/2555, podmioty finansowe powinny mieć możliwość dobrowolnego zgłaszania znaczących cyberzagrożeń odpowiedniemu właściwemu organowi, jeżeli uznają dane cyberzagrożenie za istotne dla systemu finansowego, użytkowników usług lub klientów. |
| --- | --- |

(24)

Aby umożliwić właściwym organom wykonywanie zadań nadzorczych poprzez uzyskanie pełnego przeglądu charakteru, częstotliwości, znaczenia i skutków incydentów związanych z ICT oraz aby wzmocnić wymianę informacji między właściwymi organami publicznymi, w tym organami ścigania i organami ds. restrukturyzacji i uporządkowanej likwidacji, w niniejszym rozporządzeniu należy ustanowić solidny system zgłaszania incydentów związanych z ICT przewidujący odpowiednie wymogi, które wyeliminowałyby obecne luki w przepisach dotyczących usług finansowych, oraz usunąć istniejące pokrywające się i dublujące przepisy w celu obniżenia kosztów. Podstawowe znaczenie ma harmonizacja systemu zgłaszania incydentów związanych z ICT poprzez zobowiązanie wszystkich podmiotów finansowych do zgłaszania ich właściwym organom za pomocą jednolitych usprawnionych ram, zgodnie z niniejszym rozporządzeniem. Ponadto należy przyznać EUN uprawnienia do doprecyzowania istotnych elementów na potrzeby ram zgłaszania incydentów związanych z ICT, takich jak taksonomia, ramy czasowe, zbiory danych, wzory i mające zastosowanie progi. Aby zapewnić pełną zgodność z dyrektywą (UE) 2022/2555, podmioty finansowe powinny mieć możliwość dobrowolnego zgłaszania znaczących cyberzagrożeń odpowiedniemu właściwemu organowi, jeżeli uznają dane cyberzagrożenie za istotne dla systemu finansowego, użytkowników usług lub klientów.

| (25) | Wymogi w zakresie testowania operacyjnej odporności cyfrowej zostały opracowane w niektórych podsektorach finansowych i określają ramy, które nie zawsze są w pełni dostosowane. Prowadzi to do potencjalnego dublowania kosztów transgranicznych podmiotów finansowych i komplikuje wzajemne uznawanie wyników testowania operacyjnej odporności cyfrowej, co z kolei może spowodować fragmentację rynku wewnętrznego. |
| --- | --- |

(25)

Wymogi w zakresie testowania operacyjnej odporności cyfrowej zostały opracowane w niektórych podsektorach finansowych i określają ramy, które nie zawsze są w pełni dostosowane. Prowadzi to do potencjalnego dublowania kosztów transgranicznych podmiotów finansowych i komplikuje wzajemne uznawanie wyników testowania operacyjnej odporności cyfrowej, co z kolei może spowodować fragmentację rynku wewnętrznego.

| (26) | Dodatkowo, w przypadku braku wymogu testowania w zakresie ICT, podatności pozostają niewykryte i powodują narażenie podmiotów finansowych na ryzyko związane z ICT, a ostatecznie stwarzają większe ryzyko dla stabilności i integralności sektora finansowego. Bez interwencji Unii testowanie operacyjnej odporności cyfrowej pozostałoby niejednolite i nie istniałby system wzajemnego uznawania wyników testowania w zakresie ICT między różnymi jurysdykcjami. Ponadto, biorąc pod uwagę, że prawdopodobieństwo przyjęcia przez inne podsektory finansowe systemów testowania na szeroką skalę jest niewielkie, ominęłyby je potencjalne korzyści wynikające z ram testowania, takie jak ujawnianie podatności i zagrożeń w zakresie ICT oraz testowanie zdolności obronnych i ciągłości działania, co przyczynia się do zwiększenia zaufania konsumentów, dostawców i partnerów biznesowych. Aby zlikwidować te pokrywające się przepisy oraz rozbieżności i luki w przepisach, należy wprowadzić przepisy dotyczące skoordynowanego systemu testowania, ułatwiając tym samym wzajemne uznawanie zaawansowanego testowania w odniesieniu do podmiotów finansowych, które spełniają kryteria określone w niniejszym rozporządzeniu. |
| --- | --- |

(26)

Dodatkowo, w przypadku braku wymogu testowania w zakresie ICT, podatności pozostają niewykryte i powodują narażenie podmiotów finansowych na ryzyko związane z ICT, a ostatecznie stwarzają większe ryzyko dla stabilności i integralności sektora finansowego. Bez interwencji Unii testowanie operacyjnej odporności cyfrowej pozostałoby niejednolite i nie istniałby system wzajemnego uznawania wyników testowania w zakresie ICT między różnymi jurysdykcjami. Ponadto, biorąc pod uwagę, że prawdopodobieństwo przyjęcia przez inne podsektory finansowe systemów testowania na szeroką skalę jest niewielkie, ominęłyby je potencjalne korzyści wynikające z ram testowania, takie jak ujawnianie podatności i zagrożeń w zakresie ICT oraz testowanie zdolności obronnych i ciągłości działania, co przyczynia się do zwiększenia zaufania konsumentów, dostawców i partnerów biznesowych. Aby zlikwidować te pokrywające się przepisy oraz rozbieżności i luki w przepisach, należy wprowadzić przepisy dotyczące skoordynowanego systemu testowania, ułatwiając tym samym wzajemne uznawanie zaawansowanego testowania w odniesieniu do podmiotów finansowych, które spełniają kryteria określone w niniejszym rozporządzeniu.

| (27) | Zależność podmiotów finansowych od korzystania z usług ICT wynika częściowo z ich potrzeby dostosowania się do powstającej konkurencyjnej globalnej gospodarki cyfrowej, zwiększenia skuteczności ich działalności oraz zaspokojenia potrzeb konsumentów. Charakter i zakres takiej zależności stale zmieniał się w ostatnich latach, co przyczyniło się do obniżenia kosztów pośrednictwa finansowego, umożliwienia rozszerzania działalności i skalowalności w ramach prowadzenia działalności finansowej, przy jednoczesnym zapewnieniu szerokiego zakresu narzędzi ICT służących zarządzaniu złożonymi procesami wewnętrznymi. |
| --- | --- |

(27)

Zależność podmiotów finansowych od korzystania z usług ICT wynika częściowo z ich potrzeby dostosowania się do powstającej konkurencyjnej globalnej gospodarki cyfrowej, zwiększenia skuteczności ich działalności oraz zaspokojenia potrzeb konsumentów. Charakter i zakres takiej zależności stale zmieniał się w ostatnich latach, co przyczyniło się do obniżenia kosztów pośrednictwa finansowego, umożliwienia rozszerzania działalności i skalowalności w ramach prowadzenia działalności finansowej, przy jednoczesnym zapewnieniu szerokiego zakresu narzędzi ICT służących zarządzaniu złożonymi procesami wewnętrznymi.

| (28) | O takim intensywnym korzystaniu z usług ICT świadczą złożone ustalenia umowne, przy czym podmioty finansowe często napotykają trudności podczas negocjacji warunków umownych, które byłyby dostosowane do standardów ostrożnościowych lub innych wymogów regulacyjnych, którym podlegają, lub podczas innego rodzaju egzekwowania konkretnych praw, takich jak prawa dostępu lub prawa do audytu, nawet jeżeli te ostatnie są zapisane w umowach. Ponadto w wielu tych ustaleniach umownych nie przewidziano wystarczających gwarancji umożliwiających pełnoprawne monitorowanie procesów podwykonawstwa, pozbawiając tym samym podmioty finansowe możliwości oceny powiązanych zagrożeń. Ponadto biorąc pod uwagę, że zewnętrzni dostawcy usług ICT często świadczą wystandaryzowane usługi na rzecz różnego rodzaju klientów, takie ustalenia umowne nie zawsze odpowiednio uwzględniają indywidualne lub szczególne potrzeby podmiotów sektora finansowego. |
| --- | --- |

(28)

O takim intensywnym korzystaniu z usług ICT świadczą złożone ustalenia umowne, przy czym podmioty finansowe często napotykają trudności podczas negocjacji warunków umownych, które byłyby dostosowane do standardów ostrożnościowych lub innych wymogów regulacyjnych, którym podlegają, lub podczas innego rodzaju egzekwowania konkretnych praw, takich jak prawa dostępu lub prawa do audytu, nawet jeżeli te ostatnie są zapisane w umowach. Ponadto w wielu tych ustaleniach umownych nie przewidziano wystarczających gwarancji umożliwiających pełnoprawne monitorowanie procesów podwykonawstwa, pozbawiając tym samym podmioty finansowe możliwości oceny powiązanych zagrożeń. Ponadto biorąc pod uwagę, że zewnętrzni dostawcy usług ICT często świadczą wystandaryzowane usługi na rzecz różnego rodzaju klientów, takie ustalenia umowne nie zawsze odpowiednio uwzględniają indywidualne lub szczególne potrzeby podmiotów sektora finansowego.

| (29) | Chociaż unijne przepisy dotyczące usług finansowych zawierają kilka ogólnych przepisów dotyczących outsourcingu, monitorowanie wymiaru umownego nie jest w pełni zakorzenione w unijnym prawodawstwie. Z uwagi na brak wyraźnych i dostosowanych do potrzeb standardów unijnych, które miałyby zastosowanie do ustaleń umownych zawieranych z zewnętrznymi dostawcami usług ICT, nie można kompleksowo uwzględnić zewnętrznego źródła ryzyka związanego z ICT. W związku z tym konieczne jest określenie pewnych najważniejszych zasad mających wyznaczać kierunek zarządzania przez podmioty finansowe ryzykiem ze strony zewnętrznych dostawców usług ICT, które to zasady mają szczególne znaczenie w przypadku, gdy podmioty finansowe korzystają z zewnętrznych dostawców usług ICT w celu wspierania ich krytycznych lub istotnych funkcji. Zasadom tym powinien towarzyszyć zestaw podstawowych praw umownych związanych z kilkoma elementami związanymi z wykonywaniem i wypowiadaniem ustaleń umownych w celu zapisania pewnych minimalnych zabezpieczeń w celu wzmocnienia zdolności podmiotów finansowych do skutecznego monitorowania wszystkich zagrożeń w zakresie ICT powstających na poziomie zewnętrznych dostawców usług. Zasady te stanowią uzupełnienie przepisów sektorowych mających zastosowanie do outsourcingu. |
| --- | --- |

(29)

Chociaż unijne przepisy dotyczące usług finansowych zawierają kilka ogólnych przepisów dotyczących outsourcingu, monitorowanie wymiaru umownego nie jest w pełni zakorzenione w unijnym prawodawstwie. Z uwagi na brak wyraźnych i dostosowanych do potrzeb standardów unijnych, które miałyby zastosowanie do ustaleń umownych zawieranych z zewnętrznymi dostawcami usług ICT, nie można kompleksowo uwzględnić zewnętrznego źródła ryzyka związanego z ICT. W związku z tym konieczne jest określenie pewnych najważniejszych zasad mających wyznaczać kierunek zarządzania przez podmioty finansowe ryzykiem ze strony zewnętrznych dostawców usług ICT, które to zasady mają szczególne znaczenie w przypadku, gdy podmioty finansowe korzystają z zewnętrznych dostawców usług ICT w celu wspierania ich krytycznych lub istotnych funkcji. Zasadom tym powinien towarzyszyć zestaw podstawowych praw umownych związanych z kilkoma elementami związanymi z wykonywaniem i wypowiadaniem ustaleń umownych w celu zapisania pewnych minimalnych zabezpieczeń w celu wzmocnienia zdolności podmiotów finansowych do skutecznego monitorowania wszystkich zagrożeń w zakresie ICT powstających na poziomie zewnętrznych dostawców usług. Zasady te stanowią uzupełnienie przepisów sektorowych mających zastosowanie do outsourcingu.

| (30) | Obecnie oczywiste jest, że nie ma wystarczającej jednorodności i spójności w monitorowaniu ryzyka ze strony zewnętrznych dostawców usług ICT oraz zależności od zewnętrznych dostawców usług ICT. Pomimo działań odnoszących się do outsourcingu, m.in. w postaci wytycznych EUNB w sprawie outsourcingu z 2019 r. oraz zaleceń ESMA w sprawie outsourcingu zlecanego dostawcom usług chmurowych z 2021 r., w unijnych przepisach niewystarczającą uwagę poświęca się szerszemu problemowi przeciwdziałania ryzyku systemowemu, które może powstać w wyniku kontaktu sektora finansowego z ograniczoną liczbą kluczowych zewnętrznych dostawców usług ICT. Ten brak przepisów na szczeblu unijnym jest spotęgowany brakiem krajowych przepisów dotyczących kompetencji i narzędzi umożliwiających organom nadzoru finansowego osiągnięcie właściwego zrozumienia zależności od zewnętrznych dostawców usług ICT i odpowiednie monitorowanie zagrożeń wynikających z koncentracji zależności od zewnętrznych dostawców usług ICT. |
| --- | --- |

(30)

Obecnie oczywiste jest, że nie ma wystarczającej jednorodności i spójności w monitorowaniu ryzyka ze strony zewnętrznych dostawców usług ICT oraz zależności od zewnętrznych dostawców usług ICT. Pomimo działań odnoszących się do outsourcingu, m.in. w postaci wytycznych EUNB w sprawie outsourcingu z 2019 r. oraz zaleceń ESMA w sprawie outsourcingu zlecanego dostawcom usług chmurowych z 2021 r., w unijnych przepisach niewystarczającą uwagę poświęca się szerszemu problemowi przeciwdziałania ryzyku systemowemu, które może powstać w wyniku kontaktu sektora finansowego z ograniczoną liczbą kluczowych zewnętrznych dostawców usług ICT. Ten brak przepisów na szczeblu unijnym jest spotęgowany brakiem krajowych przepisów dotyczących kompetencji i narzędzi umożliwiających organom nadzoru finansowego osiągnięcie właściwego zrozumienia zależności od zewnętrznych dostawców usług ICT i odpowiednie monitorowanie zagrożeń wynikających z koncentracji zależności od zewnętrznych dostawców usług ICT.

| (31) | Biorąc pod uwagę potencjalne ryzyko systemowe spowodowane rozpowszechnieniem się praktyk dotyczących outsourcingu oraz koncentracją zewnętrznych dostawców usług ICT, a także mając na uwadze niewystarczający charakter krajowych mechanizmów, by zapewnić organom nadzoru finansowego odpowiednie narzędzia umożliwiające określanie ilościowo i jakościowo konsekwencji ryzyka związanego z ICT występującego u kluczowych zewnętrznych dostawców usług ICT, a także łagodzenie tych konsekwencji, konieczne jest ustanowienie odpowiednich ram nadzoru umożliwiających stałe monitorowanie działań zewnętrznych dostawców usług ICT będących kluczowymi zewnętrznymi dostawcami usług ICT dla podmiotów finansowych, z zapewnieniem poufności i bezpieczeństwa klientom innym niż podmioty finansowe. Choć świadczenie usług ICT wewnątrz grupy wiąże się z konkretnym ryzykiem i konkretnymi korzyściami, nie należy go automatycznie uznawać za mniej ryzykowne niż świadczenie usług ICT przez dostawców spoza grupy finansowej, a tym samym powinno ono być objęte tymi samymi ramami regulacyjnymi. Niemniej jednak w przypadku gdy usługi ICT są świadczone w ramach tej samej grupy finansowej, podmioty finansowe mogą mieć większą kontrolę nad dostawcami wewnątrz grupy, co należy uwzględnić w ogólnej ocenie ryzyka. |
| --- | --- |

(31)

Biorąc pod uwagę potencjalne ryzyko systemowe spowodowane rozpowszechnieniem się praktyk dotyczących outsourcingu oraz koncentracją zewnętrznych dostawców usług ICT, a także mając na uwadze niewystarczający charakter krajowych mechanizmów, by zapewnić organom nadzoru finansowego odpowiednie narzędzia umożliwiające określanie ilościowo i jakościowo konsekwencji ryzyka związanego z ICT występującego u kluczowych zewnętrznych dostawców usług ICT, a także łagodzenie tych konsekwencji, konieczne jest ustanowienie odpowiednich ram nadzoru umożliwiających stałe monitorowanie działań zewnętrznych dostawców usług ICT będących kluczowymi zewnętrznymi dostawcami usług ICT dla podmiotów finansowych, z zapewnieniem poufności i bezpieczeństwa klientom innym niż podmioty finansowe. Choć świadczenie usług ICT wewnątrz grupy wiąże się z konkretnym ryzykiem i konkretnymi korzyściami, nie należy go automatycznie uznawać za mniej ryzykowne niż świadczenie usług ICT przez dostawców spoza grupy finansowej, a tym samym powinno ono być objęte tymi samymi ramami regulacyjnymi. Niemniej jednak w przypadku gdy usługi ICT są świadczone w ramach tej samej grupy finansowej, podmioty finansowe mogą mieć większą kontrolę nad dostawcami wewnątrz grupy, co należy uwzględnić w ogólnej ocenie ryzyka.

| (32) | W związku z tym, że ryzyka związane z ICT stają się coraz bardziej złożone i zaawansowane, solidne środki wykrywania ryzyka w zakresie ICT i zapobiegania mu zależą w dużej mierze od regularnej wymiany analiz zagrożeń i podatności między podmiotami finansowymi. Wymiana informacji przyczynia się do zwiększania świadomości na temat cyberzagrożeń. To z kolei wzmacnia zdolność podmiotów finansowych do zapobiegania przekształcaniu się cyberzagrożeń w realne incydenty związane z ICT oraz umożliwia podmiotom finansowym skuteczniejsze ograniczanie skutków incydentów związanych z ICT oraz szybsze przywracanie sprawności. Wydaje się, że wobec braku wytycznych na szczeblu Unii szereg czynników ogranicza taką wymianę analiz, zwłaszcza niepewność co do zgodności z ochroną danych osobowych, przepisami antymonopolowymi i zasadami dotyczącymi odpowiedzialności. |
| --- | --- |

(32)

W związku z tym, że ryzyka związane z ICT stają się coraz bardziej złożone i zaawansowane, solidne środki wykrywania ryzyka w zakresie ICT i zapobiegania mu zależą w dużej mierze od regularnej wymiany analiz zagrożeń i podatności między podmiotami finansowymi. Wymiana informacji przyczynia się do zwiększania świadomości na temat cyberzagrożeń. To z kolei wzmacnia zdolność podmiotów finansowych do zapobiegania przekształcaniu się cyberzagrożeń w realne incydenty związane z ICT oraz umożliwia podmiotom finansowym skuteczniejsze ograniczanie skutków incydentów związanych z ICT oraz szybsze przywracanie sprawności. Wydaje się, że wobec braku wytycznych na szczeblu Unii szereg czynników ogranicza taką wymianę analiz, zwłaszcza niepewność co do zgodności z ochroną danych osobowych, przepisami antymonopolowymi i zasadami dotyczącymi odpowiedzialności.

| (33) | Ponadto wątpliwości dotyczące rodzaju informacji, które można udostępnić innym uczestnikom rynku lub organom innym niż organy nadzoru (takim jak ENISA, w przypadku wkładu analitycznego, lub Europol – w celu egzekwowania prawa), skutkują wstrzymaniem przekazywania przydatnych informacji. W związku z tym obecnie zakres i jakość wymiany informacji pozostają ograniczone i podzielone, a istotne wymiany przeprowadzane są w większości lokalnie (za pośrednictwem inicjatyw krajowych) oraz bez żadnych spójnych ogólnounijnych ustaleń w zakresie wymiany informacji dostosowanych do potrzeb zintegrowanego systemu finansowego. Trzeba zatem wzmocnić te kanały komunikacyjne. |
| --- | --- |

(33)

Ponadto wątpliwości dotyczące rodzaju informacji, które można udostępnić innym uczestnikom rynku lub organom innym niż organy nadzoru (takim jak ENISA, w przypadku wkładu analitycznego, lub Europol – w celu egzekwowania prawa), skutkują wstrzymaniem przekazywania przydatnych informacji. W związku z tym obecnie zakres i jakość wymiany informacji pozostają ograniczone i podzielone, a istotne wymiany przeprowadzane są w większości lokalnie (za pośrednictwem inicjatyw krajowych) oraz bez żadnych spójnych ogólnounijnych ustaleń w zakresie wymiany informacji dostosowanych do potrzeb zintegrowanego systemu finansowego. Trzeba zatem wzmocnić te kanały komunikacyjne.

| (34) | Należy zachęcać podmioty finansowe, by wymieniały między sobą informacje i analizy na temat cyberzagrożeń oraz by wspólnie wykorzystywały swoją indywidualną wiedzę i praktyczne doświadczenie na szczeblu strategicznym, taktycznym i operacyjnym w celu wzmocnienia ich zdolności w zakresie odpowiedniego oceniania i monitorowania cyberzagrożeń, obrony przed cyberzagrożeniami i reagowania na cyberzagrożenia poprzez udział w rozwiązaniach mających na celu wymianę informacji. W związku z tym konieczne jest umożliwienie powstania na szczeblu Unii mechanizmów ustaleń dotyczących dobrowolnej wymiany informacji, które – pod warunkiem wdrożenia w zaufanych środowiskach – pomogłyby społeczności sektora finansowego zapobiegać cyberzagrożeniom i wspólnie na nie reagować poprzez szybkie ograniczenie rozpowszechnienia ryzyka związanego z ICT i utrudnienie wystąpienia potencjalnego efektu domina we wszystkich kanałach finansowych. Mechanizmy te powinny być zgodne z mającymi zastosowanie unijnymi zasadami prawa konkurencji określonymi w komunikacie Komisji z dnia 14 stycznia 2011 r. zatytułowanym „Wytyczne w sprawie stosowania art. 101 Traktatu o funkcjonowaniu Unii Europejskiej do horyzontalnych porozumień kooperacyjnych”, a także z unijnymi przepisami o ochronie danych, w szczególności z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (13). Powinny one działać w oparciu o co najmniej jedną z podstaw prawnych ustanowionych w art. 6 tego rozporządzenia, np. w kontekście przetwarzania danych osobowych, które jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, o czym jest mowa w art. 6 ust. 1 lit. f) tego rozporządzenia, a także w kontekście przetwarzania danych osobowych niezbędnych do wypełnienia obowiązku prawnego ciążącego na administratorze, niezbędnych do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, o czym mowa, odpowiednio, w art. 6 ust. 1 lit. c) i e) tego rozporządzenia. |
| --- | --- |

(34)

Należy zachęcać podmioty finansowe, by wymieniały między sobą informacje i analizy na temat cyberzagrożeń oraz by wspólnie wykorzystywały swoją indywidualną wiedzę i praktyczne doświadczenie na szczeblu strategicznym, taktycznym i operacyjnym w celu wzmocnienia ich zdolności w zakresie odpowiedniego oceniania i monitorowania cyberzagrożeń, obrony przed cyberzagrożeniami i reagowania na cyberzagrożenia poprzez udział w rozwiązaniach mających na celu wymianę informacji. W związku z tym konieczne jest umożliwienie powstania na szczeblu Unii mechanizmów ustaleń dotyczących dobrowolnej wymiany informacji, które – pod warunkiem wdrożenia w zaufanych środowiskach – pomogłyby społeczności sektora finansowego zapobiegać cyberzagrożeniom i wspólnie na nie reagować poprzez szybkie ograniczenie rozpowszechnienia ryzyka związanego z ICT i utrudnienie wystąpienia potencjalnego efektu domina we wszystkich kanałach finansowych. Mechanizmy te powinny być zgodne z mającymi zastosowanie unijnymi zasadami prawa konkurencji określonymi w komunikacie Komisji z dnia 14 stycznia 2011 r. zatytułowanym „Wytyczne w sprawie stosowania art. 101 Traktatu o funkcjonowaniu Unii Europejskiej do horyzontalnych porozumień kooperacyjnych”, a także z unijnymi przepisami o ochronie danych, w szczególności z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (13). Powinny one działać w oparciu o co najmniej jedną z podstaw prawnych ustanowionych w art. 6 tego rozporządzenia, np. w kontekście przetwarzania danych osobowych, które jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, o czym jest mowa w art. 6 ust. 1 lit. f) tego rozporządzenia, a także w kontekście przetwarzania danych osobowych niezbędnych do wypełnienia obowiązku prawnego ciążącego na administratorze, niezbędnych do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, o czym mowa, odpowiednio, w art. 6 ust. 1 lit. c) i e) tego rozporządzenia.

| (35) | Aby utrzymać wysoki poziom operacyjnej odporności cyfrowej całego sektora finansowego, a jednocześnie dotrzymać kroku rozwojowi technologicznemu, niniejsze rozporządzenie powinno zwalczać ryzyko wynikające ze wszystkich rodzajów usług ICT. W tym celu definicję usług ICT w kontekście niniejszego rozporządzenia należy rozumieć szeroko jako obejmującą usługi cyfrowe i usługi w zakresie danych świadczone w sposób ciągły za pośrednictwem systemów ICT na rzecz co najmniej jednego użytkownika wewnętrznego lub zewnętrznego. Definicja ta powinna na przykład obejmować tzw. usługi OTT, które należą do kategorii usług łączności elektronicznej. Powinna wyłączać jedynie ograniczoną kategorię tradycyjnych usług telefonii analogowej kwalifikujących się jako usługi publicznej komutowanej sieci telefonicznej (PSTN), usługi z wykorzystaniem linii naziemnej, podstawowej usługi telefonicznej (POTS) lub usługi telefonii stacjonarnej. |
| --- | --- |

(35)

Aby utrzymać wysoki poziom operacyjnej odporności cyfrowej całego sektora finansowego, a jednocześnie dotrzymać kroku rozwojowi technologicznemu, niniejsze rozporządzenie powinno zwalczać ryzyko wynikające ze wszystkich rodzajów usług ICT. W tym celu definicję usług ICT w kontekście niniejszego rozporządzenia należy rozumieć szeroko jako obejmującą usługi cyfrowe i usługi w zakresie danych świadczone w sposób ciągły za pośrednictwem systemów ICT na rzecz co najmniej jednego użytkownika wewnętrznego lub zewnętrznego. Definicja ta powinna na przykład obejmować tzw. usługi OTT, które należą do kategorii usług łączności elektronicznej. Powinna wyłączać jedynie ograniczoną kategorię tradycyjnych usług telefonii analogowej kwalifikujących się jako usługi publicznej komutowanej sieci telefonicznej (PSTN), usługi z wykorzystaniem linii naziemnej, podstawowej usługi telefonicznej (POTS) lub usługi telefonii stacjonarnej.

| (36) | Niezależnie od szerokiego zakresu stosowania przewidzianego w niniejszym rozporządzeniu, stosując zasady dotyczące operacyjnej odporności cyfrowej, należy uwzględniać istotne różnice między podmiotami finansowymi pod względem ich wielkości i ogólnego profilu ryzyka. Co do zasady, rozdzielając zasoby i zdolności na wdrażanie ram zarządzania ryzykiem związanym z ICT, podmioty finansowe powinny należycie dostosować swoje potrzeby związane z ICT do swojej wielkości i ogólnego profilu ryzyka oraz charakteru, skali i stopnia złożoności realizowanych usług, działań i operacji, natomiast właściwe organy powinny nadal oceniać i weryfikować podejście do takiego rozdziału. |
| --- | --- |

(36)

Niezależnie od szerokiego zakresu stosowania przewidzianego w niniejszym rozporządzeniu, stosując zasady dotyczące operacyjnej odporności cyfrowej, należy uwzględniać istotne różnice między podmiotami finansowymi pod względem ich wielkości i ogólnego profilu ryzyka. Co do zasady, rozdzielając zasoby i zdolności na wdrażanie ram zarządzania ryzykiem związanym z ICT, podmioty finansowe powinny należycie dostosować swoje potrzeby związane z ICT do swojej wielkości i ogólnego profilu ryzyka oraz charakteru, skali i stopnia złożoności realizowanych usług, działań i operacji, natomiast właściwe organy powinny nadal oceniać i weryfikować podejście do takiego rozdziału.

| (37) | Dostawcy świadczący usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 dyrektywy (UE) 2015/2366, są wyraźnie włączeni do zakresu stosowania niniejszego rozporządzenia, z uwzględnieniem szczególnego charakteru ich działalności i wynikającego z niej ryzyka. Dodatkowo instytucje pieniądza elektronicznego i instytucje płatnicze, zwolnione zgodnie z art. 9 ust. 1 dyrektywy Parlamentu Europejskiego i Rady 2009/110/WE (14) oraz art. 32 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/2366, zostają włączone do zakresu stosowania niniejszego rozporządzenia, nawet jeżeli nie udzielono im zezwolenia na emisję pieniądza elektronicznego lub nie udzielono im zezwolenia na świadczenie i wykonywanie usług płatniczych zgodnie z dyrektywą (UE) 2015/2366. Niemniej jednak instytucje świadczące żyro pocztowe, o których mowa w art. 2 ust. 5 pkt 3) dyrektywy Parlamentu Europejskiego i Rady 2013/36/UE (15), są wyłączone z zakresu stosowania niniejszego rozporządzenia. Właściwymi organami instytucji płatniczych zwolnionych zgodnie z dyrektywą (UE) 2015/2366, instytucji pieniądza elektronicznego zwolnionych zgodnie z dyrektywą 2009/110/WE i dostawców świadczących usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 dyrektywy (UE) 2015/2366, są właściwe organy wyznaczone zgodnie z art. 22 dyrektywy (UE) 2015/2366. |
| --- | --- |

(37)

Dostawcy świadczący usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 dyrektywy (UE) 2015/2366, są wyraźnie włączeni do zakresu stosowania niniejszego rozporządzenia, z uwzględnieniem szczególnego charakteru ich działalności i wynikającego z niej ryzyka. Dodatkowo instytucje pieniądza elektronicznego i instytucje płatnicze, zwolnione zgodnie z art. 9 ust. 1 dyrektywy Parlamentu Europejskiego i Rady 2009/110/WE (14) oraz art. 32 ust. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/2366, zostają włączone do zakresu stosowania niniejszego rozporządzenia, nawet jeżeli nie udzielono im zezwolenia na emisję pieniądza elektronicznego lub nie udzielono im zezwolenia na świadczenie i wykonywanie usług płatniczych zgodnie z dyrektywą (UE) 2015/2366. Niemniej jednak instytucje świadczące żyro pocztowe, o których mowa w art. 2 ust. 5 pkt 3) dyrektywy Parlamentu Europejskiego i Rady 2013/36/UE (15), są wyłączone z zakresu stosowania niniejszego rozporządzenia. Właściwymi organami instytucji płatniczych zwolnionych zgodnie z dyrektywą (UE) 2015/2366, instytucji pieniądza elektronicznego zwolnionych zgodnie z dyrektywą 2009/110/WE i dostawców świadczących usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 dyrektywy (UE) 2015/2366, są właściwe organy wyznaczone zgodnie z art. 22 dyrektywy (UE) 2015/2366.

| (38) | Ponieważ większe podmioty finansowe mogą korzystać z większych zasobów i są w stanie szybko przeznaczyć środki finansowe na opracowanie struktur zarządzania i stworzenie szeregu strategii korporacyjnych, wymóg tworzenia bardziej złożonych rozwiązań w zakresie zarządzania należy nałożyć wyłącznie na podmioty finansowe, które nie są mikroprzedsiębiorstwami w rozumieniu niniejszego rozporządzenia. Podmioty takie są lepiej przygotowane w szczególności do ustanowienia specjalnych stanowisk w strukturach zarządzania w celu nadzorowania ustaleń umownych z zewnętrznymi dostawcami usług ICT lub w celu zarządzania kryzysowego, do organizowania zarządzania w zakresie ryzyka związanego z ICT zgodnie z modelem trzech linii obrony lub do ustanowienia wewnętrznego modelu zarządzania ryzykiem i kontroli ryzyka oraz do poddania swoich ram zarządzania ryzykiem związanym z ICT audytowi wewnętrznemu. |
| --- | --- |

(38)

Ponieważ większe podmioty finansowe mogą korzystać z większych zasobów i są w stanie szybko przeznaczyć środki finansowe na opracowanie struktur zarządzania i stworzenie szeregu strategii korporacyjnych, wymóg tworzenia bardziej złożonych rozwiązań w zakresie zarządzania należy nałożyć wyłącznie na podmioty finansowe, które nie są mikroprzedsiębiorstwami w rozumieniu niniejszego rozporządzenia. Podmioty takie są lepiej przygotowane w szczególności do ustanowienia specjalnych stanowisk w strukturach zarządzania w celu nadzorowania ustaleń umownych z zewnętrznymi dostawcami usług ICT lub w celu zarządzania kryzysowego, do organizowania zarządzania w zakresie ryzyka związanego z ICT zgodnie z modelem trzech linii obrony lub do ustanowienia wewnętrznego modelu zarządzania ryzykiem i kontroli ryzyka oraz do poddania swoich ram zarządzania ryzykiem związanym z ICT audytowi wewnętrznemu.

| (39) | Niektóre podmioty finansowe korzystają ze zwolnień lub są objęte bardzo łagodnymi ramami regulacyjnymi na mocy odpowiednich przepisów sektorowych prawa Unii. Takie podmioty finansowe obejmują zarządzających alternatywnymi funduszami inwestycyjnymi, o których mowa w art. 3 ust. 2 dyrektywy Parlamentu Europejskiego i Rady 2011/61/UE (16), zakłady ubezpieczeń i zakłady reasekuracji, o których mowa w art. 4 dyrektywy Parlamentu Europejskiego i Rady 2009/138/WE (17), oraz instytucje pracowniczych programów emerytalnych, które obsługują programy emerytalne liczące łącznie nie więcej niż 15 uczestników. W świetle tych zwolnień włączenie takich podmiotów finansowych do zakresu stosowania niniejszego rozporządzenia nie byłoby proporcjonalne. Dodatkowo w niniejszym rozporządzeniu uznaje się specyfikę struktury rynku pośrednictwa ubezpieczeniowego, w związku z czym pośrednicy ubezpieczeniowi, pośrednicy reasekuracyjni i pośrednicy oferujący ubezpieczenia uzupełniające kwalifikujący się jako mikroprzedsiębiorstwa, czy małe lub średnie przedsiębiorstwa, nie powinni podlegać niniejszemu rozporządzeniu. |
| --- | --- |

(39)

Niektóre podmioty finansowe korzystają ze zwolnień lub są objęte bardzo łagodnymi ramami regulacyjnymi na mocy odpowiednich przepisów sektorowych prawa Unii. Takie podmioty finansowe obejmują zarządzających alternatywnymi funduszami inwestycyjnymi, o których mowa w art. 3 ust. 2 dyrektywy Parlamentu Europejskiego i Rady 2011/61/UE (16), zakłady ubezpieczeń i zakłady reasekuracji, o których mowa w art. 4 dyrektywy Parlamentu Europejskiego i Rady 2009/138/WE (17), oraz instytucje pracowniczych programów emerytalnych, które obsługują programy emerytalne liczące łącznie nie więcej niż 15 uczestników. W świetle tych zwolnień włączenie takich podmiotów finansowych do zakresu stosowania niniejszego rozporządzenia nie byłoby proporcjonalne. Dodatkowo w niniejszym rozporządzeniu uznaje się specyfikę struktury rynku pośrednictwa ubezpieczeniowego, w związku z czym pośrednicy ubezpieczeniowi, pośrednicy reasekuracyjni i pośrednicy oferujący ubezpieczenia uzupełniające kwalifikujący się jako mikroprzedsiębiorstwa, czy małe lub średnie przedsiębiorstwa, nie powinni podlegać niniejszemu rozporządzeniu.

| (40) | Ponieważ podmioty, o których mowa w art. 2 ust. 5 pkt 4–23 dyrektywy 2013/36/UE, są wyłączone z zakresu stosowania tej dyrektywy, państwa członkowskie powinny w związku z tym mieć możliwość podjęcia decyzji o zwolnieniu takich podmiotów mających siedzibę na ich odpowiednich terytoriach z zakresu stosowania niniejszego rozporządzenia. |
| --- | --- |

(40)

Ponieważ podmioty, o których mowa w art. 2 ust. 5 pkt 4–23 dyrektywy 2013/36/UE, są wyłączone z zakresu stosowania tej dyrektywy, państwa członkowskie powinny w związku z tym mieć możliwość podjęcia decyzji o zwolnieniu takich podmiotów mających siedzibę na ich odpowiednich terytoriach z zakresu stosowania niniejszego rozporządzenia.

| (41) | Analogicznie, aby dostosować niniejsze rozporządzenie do zakresu stosowania dyrektywy Parlamentu Europejskiego i Rady 2014/65/UE (18), z zakresu stosowania niniejszego rozporządzenia należy wyłączyć osoby fizyczne i prawne, o których mowa w art. 2 i 3 tej dyrektywy, które posiadają zezwolenie na świadczenie usług inwestycyjnych bez konieczności uzyskiwania zezwolenia na mocy dyrektywy 2014/65/UE. Niemniej jednak w art. 2 dyrektywy 2014/65/UE wyłącza się z zakresu stosowania tej dyrektywy podmioty, które kwalifikują się jako podmioty finansowe do celów niniejszego rozporządzenia, takie jak centralne depozyty papierów wartościowych, przedsiębiorstwa zbiorowego inwestowania lub zakłady ubezpieczeń i zakłady reasekuracji. Wyłączenie osób i podmiotów, o których mowa w art. 2 i 3 tej dyrektywy, z zakresu stosowania niniejszego rozporządzenia nie powinno obejmować tych centralnych depozytów papierów wartościowych, przedsiębiorstw zbiorowego inwestowania ani zakładów ubezpieczeń czy reasekuracji. |
| --- | --- |

(41)

Analogicznie, aby dostosować niniejsze rozporządzenie do zakresu stosowania dyrektywy Parlamentu Europejskiego i Rady 2014/65/UE (18), z zakresu stosowania niniejszego rozporządzenia należy wyłączyć osoby fizyczne i prawne, o których mowa w art. 2 i 3 tej dyrektywy, które posiadają zezwolenie na świadczenie usług inwestycyjnych bez konieczności uzyskiwania zezwolenia na mocy dyrektywy 2014/65/UE. Niemniej jednak w art. 2 dyrektywy 2014/65/UE wyłącza się z zakresu stosowania tej dyrektywy podmioty, które kwalifikują się jako podmioty finansowe do celów niniejszego rozporządzenia, takie jak centralne depozyty papierów wartościowych, przedsiębiorstwa zbiorowego inwestowania lub zakłady ubezpieczeń i zakłady reasekuracji. Wyłączenie osób i podmiotów, o których mowa w art. 2 i 3 tej dyrektywy, z zakresu stosowania niniejszego rozporządzenia nie powinno obejmować tych centralnych depozytów papierów wartościowych, przedsiębiorstw zbiorowego inwestowania ani zakładów ubezpieczeń czy reasekuracji.

| (42) | Na mocy przepisów sektorowych prawa Unii niektóre podmioty finansowe – ze względu na ich wielkość lub świadczone usługi – są objęte łagodniejszymi wymogami lub zwolnieniami. Ta kategoria podmiotów finansowych obejmuje małe i niepowiązane wzajemnie firmy inwestycyjne oraz małe instytucje pracowniczych programów emerytalnych, które mogą być wyłączone z zakresu stosowania dyrektywy (UE) 2016/2341 na warunkach określonych w art. 5 tej dyrektywy przez odnośne państwa członkowskie i które obsługują programy emerytalne liczące łącznie nie więcej niż 100 uczestników, a także instytucje zwolnionych na mocy dyrektywy 2013/36/UE. W związku z tym zgodnie z zasadą proporcjonalności oraz w celu zachowania ducha przepisów sektorowych prawa Unii te podmioty finansowe również należy objąć uproszczonymi ramami zarządzania ryzykiem związanym z ICT na mocy niniejszego rozporządzenia. Regulacyjne standardy techniczne, które mają zostać opracowane przez EUN, nie powinny zmieniać proporcjonalnego charakteru ram zarządzania ryzykiem związanym z ICT obejmujących te podmioty finansowe. Ponadto, zgodnie z zasadą proporcjonalności, uproszczone ramy zarządzania ryzykiem związanym z ICT na mocy niniejszego rozporządzenia powinny też obejmować instytucje płatnicze, o których mowa w art. 32 ust. 1 dyrektywy (UE) 2015/2366, i instytucje pieniądza elektronicznego, o których mowa w art. 9 dyrektywy 2009/110/WE, zwolnione zgodnie z krajowymi przepisami transponującymi te unijne akty prawne, przy czym instytucje płatnicze i instytucje pieniądza elektronicznego, które nie zostały zwolnione zgodnie z odpowiednimi krajowymi przepisami transponującymi przepisy sektorowe prawa Unii, powinny przestrzegać ogólnych ram ustanowionych w niniejszym rozporządzeniu. |
| --- | --- |

(42)

Na mocy przepisów sektorowych prawa Unii niektóre podmioty finansowe – ze względu na ich wielkość lub świadczone usługi – są objęte łagodniejszymi wymogami lub zwolnieniami. Ta kategoria podmiotów finansowych obejmuje małe i niepowiązane wzajemnie firmy inwestycyjne oraz małe instytucje pracowniczych programów emerytalnych, które mogą być wyłączone z zakresu stosowania dyrektywy (UE) 2016/2341 na warunkach określonych w art. 5 tej dyrektywy przez odnośne państwa członkowskie i które obsługują programy emerytalne liczące łącznie nie więcej niż 100 uczestników, a także instytucje zwolnionych na mocy dyrektywy 2013/36/UE. W związku z tym zgodnie z zasadą proporcjonalności oraz w celu zachowania ducha przepisów sektorowych prawa Unii te podmioty finansowe również należy objąć uproszczonymi ramami zarządzania ryzykiem związanym z ICT na mocy niniejszego rozporządzenia. Regulacyjne standardy techniczne, które mają zostać opracowane przez EUN, nie powinny zmieniać proporcjonalnego charakteru ram zarządzania ryzykiem związanym z ICT obejmujących te podmioty finansowe. Ponadto, zgodnie z zasadą proporcjonalności, uproszczone ramy zarządzania ryzykiem związanym z ICT na mocy niniejszego rozporządzenia powinny też obejmować instytucje płatnicze, o których mowa w art. 32 ust. 1 dyrektywy (UE) 2015/2366, i instytucje pieniądza elektronicznego, o których mowa w art. 9 dyrektywy 2009/110/WE, zwolnione zgodnie z krajowymi przepisami transponującymi te unijne akty prawne, przy czym instytucje płatnicze i instytucje pieniądza elektronicznego, które nie zostały zwolnione zgodnie z odpowiednimi krajowymi przepisami transponującymi przepisy sektorowe prawa Unii, powinny przestrzegać ogólnych ram ustanowionych w niniejszym rozporządzeniu.

| (43) | Analogicznie podmioty finansowe, które kwalifikują się jako mikroprzedsiębiorstwa lub są objęte uproszczonymi ramami zarządzania ryzykiem związanym z ICT na mocy niniejszego rozporządzenia, nie powinny być zobowiązane do ustanowienia funkcji polegającej na monitorowaniu uzgodnień zawartych z zewnętrznymi dostawcami usług ICT w sprawie korzystania z usług ICT; do wyznaczenia członka kadry kierowniczej wyższego szczebla jako odpowiedzialnego za nadzorowanie związanej z tym ekspozycji na ryzyko i odpowiedniej dokumentacji; do powierzenia obowiązku zarządzania ryzykiem związanym z ICT i sprawowania nadzoru nad nim przez funkcję kontroli i zapewnienia odpowiedniego stopnia niezależności takiej funkcji kontroli w celu uniknięcia konfliktów interesów; do dokumentowania uproszczonych ram zarządzania ryzykiem związanym z ICT; poddawania ich przeglądowi co najmniej raz w roku; do ich regularnego poddawania audytowi wewnętrznemu; do przeprowadzania dogłębnych ocen po istotnych zmianach w ich infrastrukturze sieci i systemów informatycznych oraz powiązanych procedurach, do regularnego przeprowadzania analiz ryzyka w odniesieniu do dotychczasowych systemów ICT, do poddawania wdrażania planów reagowania i przywracania sprawności ICT niezależnym wewnętrznym przeglądom audytowym, do posiadania funkcji zarządzania w sytuacji kryzysowej, do rozszerzenia zakresu testowania ciągłości działania oraz planów reagowania i przywracania sprawności w celu uwzględnienia scenariuszy pracy awaryjnej obejmujących przełączanie się z podstawowej infrastruktury ICT na urządzenia redundantne, do zgłaszania właściwym organom, na ich żądanie, szacunkowych łącznych rocznych kosztów i strat spowodowanych poważnymi incydentami związanymi z ICT, do utrzymywania nadmiarowych zdolności w zakresie ICT, do informowania właściwych organów krajowych o zmianach wdrożonych w następstwie przeglądów przeprowadzonych po wystąpieniu incydentu związanego z ICT, do ciągłego monitorowania odpowiednich zmian technologicznych, do ustanowienia kompleksowego programu testowania operacyjnej odporności cyfrowej stanowiącego integralną część ram zarządzania ryzykiem związanym z ICT przewidzianych w niniejszym rozporządzeniu ani do przyjęcia strategii dotyczącej ryzyka ze strony zewnętrznych dostawców usług ICT i dokonywania jej regularnego przeglądu. Dodatkowo mikroprzedsiębiorstwa powinny być zobowiązane do oceny potrzeby utrzymywania takich nadmiarowych zdolności w zakresie ICT wyłącznie w oparciu o ich profil ryzyka. Mikroprzedsiębiorstwa powinny korzystać z bardziej elastycznego systemu w odniesieniu do programów testowania operacyjnej odporności cyfrowej. Rozważając rodzaj i częstotliwość przeprowadzanych testów, mikroprzedsiębiorstwa powinny odpowiednio wyważyć cel polegający na utrzymaniu wysokiej operacyjnej odporności cyfrowej, dostępne zasoby i ich ogólny profil ryzyka. Mikroprzedsiębiorstwa i podmioty finansowe objęte uproszczonymi ramami zarządzania ryzykiem związanym z ICT na mocy niniejszego rozporządzenia powinny być zwolnione z obowiązku przeprowadzania zaawansowanego testowania narzędzi, systemów i procesów ICT z wykorzystaniem testów penetracyjnych pod kątem wyszukiwania zagrożeń (TLPT), jako że taki obowiązek powinien dotyczyć wyłącznie podmiotów finansowych spełniających kryteria określone w niniejszym rozporządzeniu. Ze względu na swoje ograniczone możliwości mikroprzedsiębiorstwa powinny mieć możliwość uzgodnienia z zewnętrznym dostawcą usług ICT, że przysługujące danemu podmiotowi finansowemu prawa dostępu, kontroli i audytu zostaną przekazane niezależnemu podmiotowi trzeciemu, który zostanie wyznaczony przez zewnętrznego dostawcę usług ICT, pod warunkiem że dany podmiot finansowy będzie mógł w dowolnym momencie zwrócić się do odpowiedniego niezależnego podmiotu trzeciego o wszystkie istotne informacje na temat wyników zewnętrznego dostawcy usług ICT i o poświadczenie tych wyników. |
| --- | --- |

(43)

Analogicznie podmioty finansowe, które kwalifikują się jako mikroprzedsiębiorstwa lub są objęte uproszczonymi ramami zarządzania ryzykiem związanym z ICT na mocy niniejszego rozporządzenia, nie powinny być zobowiązane do ustanowienia funkcji polegającej na monitorowaniu uzgodnień zawartych z zewnętrznymi dostawcami usług ICT w sprawie korzystania z usług ICT; do wyznaczenia członka kadry kierowniczej wyższego szczebla jako odpowiedzialnego za nadzorowanie związanej z tym ekspozycji na ryzyko i odpowiedniej dokumentacji; do powierzenia obowiązku zarządzania ryzykiem związanym z ICT i sprawowania nadzoru nad nim przez funkcję kontroli i zapewnienia odpowiedniego stopnia niezależności takiej funkcji kontroli w celu uniknięcia konfliktów interesów; do dokumentowania uproszczonych ram zarządzania ryzykiem związanym z ICT; poddawania ich przeglądowi co najmniej raz w roku; do ich regularnego poddawania audytowi wewnętrznemu; do przeprowadzania dogłębnych ocen po istotnych zmianach w ich infrastrukturze sieci i systemów informatycznych oraz powiązanych procedurach, do regularnego przeprowadzania analiz ryzyka w odniesieniu do dotychczasowych systemów ICT, do poddawania wdrażania planów reagowania i przywracania sprawności ICT niezależnym wewnętrznym przeglądom audytowym, do posiadania funkcji zarządzania w sytuacji kryzysowej, do rozszerzenia zakresu testowania ciągłości działania oraz planów reagowania i przywracania sprawności w celu uwzględnienia scenariuszy pracy awaryjnej obejmujących przełączanie się z podstawowej infrastruktury ICT na urządzenia redundantne, do zgłaszania właściwym organom, na ich żądanie, szacunkowych łącznych rocznych kosztów i strat spowodowanych poważnymi incydentami związanymi z ICT, do utrzymywania nadmiarowych zdolności w zakresie ICT, do informowania właściwych organów krajowych o zmianach wdrożonych w następstwie przeglądów przeprowadzonych po wystąpieniu incydentu związanego z ICT, do ciągłego monitorowania odpowiednich zmian technologicznych, do ustanowienia kompleksowego programu testowania operacyjnej odporności cyfrowej stanowiącego integralną część ram zarządzania ryzykiem związanym z ICT przewidzianych w niniejszym rozporządzeniu ani do przyjęcia strategii dotyczącej ryzyka ze strony zewnętrznych dostawców usług ICT i dokonywania jej regularnego przeglądu. Dodatkowo mikroprzedsiębiorstwa powinny być zobowiązane do oceny potrzeby utrzymywania takich nadmiarowych zdolności w zakresie ICT wyłącznie w oparciu o ich profil ryzyka. Mikroprzedsiębiorstwa powinny korzystać z bardziej elastycznego systemu w odniesieniu do programów testowania operacyjnej odporności cyfrowej. Rozważając rodzaj i częstotliwość przeprowadzanych testów, mikroprzedsiębiorstwa powinny odpowiednio wyważyć cel polegający na utrzymaniu wysokiej operacyjnej odporności cyfrowej, dostępne zasoby i ich ogólny profil ryzyka. Mikroprzedsiębiorstwa i podmioty finansowe objęte uproszczonymi ramami zarządzania ryzykiem związanym z ICT na mocy niniejszego rozporządzenia powinny być zwolnione z obowiązku przeprowadzania zaawansowanego testowania narzędzi, systemów i procesów ICT z wykorzystaniem testów penetracyjnych pod kątem wyszukiwania zagrożeń (TLPT), jako że taki obowiązek powinien dotyczyć wyłącznie podmiotów finansowych spełniających kryteria określone w niniejszym rozporządzeniu. Ze względu na swoje ograniczone możliwości mikroprzedsiębiorstwa powinny mieć możliwość uzgodnienia z zewnętrznym dostawcą usług ICT, że przysługujące danemu podmiotowi finansowemu prawa dostępu, kontroli i audytu zostaną przekazane niezależnemu podmiotowi trzeciemu, który zostanie wyznaczony przez zewnętrznego dostawcę usług ICT, pod warunkiem że dany podmiot finansowy będzie mógł w dowolnym momencie zwrócić się do odpowiedniego niezależnego podmiotu trzeciego o wszystkie istotne informacje na temat wyników zewnętrznego dostawcy usług ICT i o poświadczenie tych wyników.

| (44) | Ponieważ jedynie od podmiotów finansowych objętych zaawansowanym testowaniem odporności cyfrowej powinno wymagać się przeprowadzenia testów penetracyjnych pod kątem wyszukiwania zagrożeń, procesy administracyjne i koszty finansowe związane z przeprowadzeniem takich testów powinny być ponoszone przez niewielki odsetek podmiotów finansowych. |
| --- | --- |

(44)

Ponieważ jedynie od podmiotów finansowych objętych zaawansowanym testowaniem odporności cyfrowej powinno wymagać się przeprowadzenia testów penetracyjnych pod kątem wyszukiwania zagrożeń, procesy administracyjne i koszty finansowe związane z przeprowadzeniem takich testów powinny być ponoszone przez niewielki odsetek podmiotów finansowych.

| (45) | Aby zapewnić pełną zgodność i ogólną spójność między strategiami biznesowymi poszczególnych podmiotów finansowych a zarządzaniem ryzykiem związanym z ICT, należy zobowiązać organy zarządzające tych podmiotów finansowych do utrzymania kluczowej i aktywnej roli w kierowaniu i dostosowywaniu ram zarządzania ryzykiem związanym z ICT oraz ogólnej strategii w zakresie operacyjnej odporności cyfrowej. W podejściu, które przyjmą organy zarządzające, należy nie tylko skoncentrować się na środkach zapewniających odporność systemów ICT, ale także uwzględnić ludzi i procesy poprzez zestaw polityk, w których na każdym szczeblu struktury korporacyjnej i w odniesieniu do wszystkich pracowników buduje się świadomość czynników ryzyka w cyberprzestrzeni i zaangażowanie na rzecz ścisłego przestrzegania zasad w zakresie higieny cyberbezpieczeństwa na wszystkich szczeblach. Ostateczna odpowiedzialność organu zarządzającego za zarządzanie w zakresie ryzyka związanego z ICT podmiotu finansowego powinna stanowić nadrzędną zasadę w tym kompleksowym podejściu, przekładającą się dodatkowo na ciągłe zaangażowanie organu zarządzającego w kontrolę monitorowania zarządzania w zakresie ryzyka związanego z ICT. |
| --- | --- |

(45)

Aby zapewnić pełną zgodność i ogólną spójność między strategiami biznesowymi poszczególnych podmiotów finansowych a zarządzaniem ryzykiem związanym z ICT, należy zobowiązać organy zarządzające tych podmiotów finansowych do utrzymania kluczowej i aktywnej roli w kierowaniu i dostosowywaniu ram zarządzania ryzykiem związanym z ICT oraz ogólnej strategii w zakresie operacyjnej odporności cyfrowej. W podejściu, które przyjmą organy zarządzające, należy nie tylko skoncentrować się na środkach zapewniających odporność systemów ICT, ale także uwzględnić ludzi i procesy poprzez zestaw polityk, w których na każdym szczeblu struktury korporacyjnej i w odniesieniu do wszystkich pracowników buduje się świadomość czynników ryzyka w cyberprzestrzeni i zaangażowanie na rzecz ścisłego przestrzegania zasad w zakresie higieny cyberbezpieczeństwa na wszystkich szczeblach. Ostateczna odpowiedzialność organu zarządzającego za zarządzanie w zakresie ryzyka związanego z ICT podmiotu finansowego powinna stanowić nadrzędną zasadę w tym kompleksowym podejściu, przekładającą się dodatkowo na ciągłe zaangażowanie organu zarządzającego w kontrolę monitorowania zarządzania w zakresie ryzyka związanego z ICT.

| (46) | Co więcej, zasada pełnej i ostatecznej odpowiedzialności organu zarządzającego za zarządzanie ryzykiem związanym z ICT podmiotu finansowego idzie w parze z koniecznością zabezpieczenia poziomu inwestycji związanych z ICT oraz ogólnego budżetu podmiotu finansowego, tak aby podmiot ten mógł osiągnąć wysoki poziom operacyjnej odporności cyfrowej. |
| --- | --- |

(46)

Co więcej, zasada pełnej i ostatecznej odpowiedzialności organu zarządzającego za zarządzanie ryzykiem związanym z ICT podmiotu finansowego idzie w parze z koniecznością zabezpieczenia poziomu inwestycji związanych z ICT oraz ogólnego budżetu podmiotu finansowego, tak aby podmiot ten mógł osiągnąć wysoki poziom operacyjnej odporności cyfrowej.

| (47) | W niniejszym rozporządzeniu, inspirowanym odpowiednimi międzynarodowymi, krajowymi i sektorowymi najlepszymi praktykami, wytycznymi, zaleceniami i podejściami w zakresie zarządzania ryzykiem w cyberprzestrzeni, promuje się zestaw zasad ułatwiających ustanowienie ogólnej struktury zarządzania ryzykiem związanym z ICT. Tym samym, dopóki podstawowe możliwości wprowadzane przez podmioty finansowe odpowiadają różnym funkcjom w ramach zarządzania ryzykiem związanym z ICT (identyfikacja, ochrona i zapobieganie, wykrywanie, reagowanie i przywracanie sprawności, uczenie się i rozwój oraz komunikacja) określonym w niniejszym rozporządzeniu, podmioty finansowe powinny zachować swobodę korzystania z modeli zarządzania ryzykiem związanym z ICT, dla których opracowano inne ramy lub kategorie. |
| --- | --- |

(47)

W niniejszym rozporządzeniu, inspirowanym odpowiednimi międzynarodowymi, krajowymi i sektorowymi najlepszymi praktykami, wytycznymi, zaleceniami i podejściami w zakresie zarządzania ryzykiem w cyberprzestrzeni, promuje się zestaw zasad ułatwiających ustanowienie ogólnej struktury zarządzania ryzykiem związanym z ICT. Tym samym, dopóki podstawowe możliwości wprowadzane przez podmioty finansowe odpowiadają różnym funkcjom w ramach zarządzania ryzykiem związanym z ICT (identyfikacja, ochrona i zapobieganie, wykrywanie, reagowanie i przywracanie sprawności, uczenie się i rozwój oraz komunikacja) określonym w niniejszym rozporządzeniu, podmioty finansowe powinny zachować swobodę korzystania z modeli zarządzania ryzykiem związanym z ICT, dla których opracowano inne ramy lub kategorie.

| (48) | Aby nadążyć za zmieniającym się krajobrazem cyberzagrożeń, podmioty finansowe powinny na bieżąco aktualizować systemy ICT, które muszą być niezawodne i posiadać zdolność nie tylko do zagwarantowania przetwarzania danych niezbędnych do świadczenia ich usług, ale również do zapewnienia wystarczającej odporności technologicznej pozwalającej podmiotom finansowym na odpowiednie zaspokajanie dodatkowych potrzeb w zakresie przetwarzania danych, jakie mogą wynikać z trudnych warunków rynkowych lub innych niekorzystnych sytuacji. |
| --- | --- |

(48)

Aby nadążyć za zmieniającym się krajobrazem cyberzagrożeń, podmioty finansowe powinny na bieżąco aktualizować systemy ICT, które muszą być niezawodne i posiadać zdolność nie tylko do zagwarantowania przetwarzania danych niezbędnych do świadczenia ich usług, ale również do zapewnienia wystarczającej odporności technologicznej pozwalającej podmiotom finansowym na odpowiednie zaspokajanie dodatkowych potrzeb w zakresie przetwarzania danych, jakie mogą wynikać z trudnych warunków rynkowych lub innych niekorzystnych sytuacji.

| (49) | Aby umożliwić podmiotom finansowym szybkie i sprawne rozwiązywanie incydentów związanych z ICT, w szczególności cyberataków, poprzez ograniczenie szkód i priorytetowe traktowanie wznowienia działalności i działań naprawczych, konieczne jest opracowanie skutecznych planów ciągłości działania i planów przywracania sprawności zgodnie z ich politykami tworzenia kopii zapasowych. Takie wznowienie działalności nie powinno jednak w żaden sposób zagrażać integralności i bezpieczeństwu sieci i systemów informatycznych lub dostępności, autentyczności, integralności czy poufności danych. |
| --- | --- |

(49)

Aby umożliwić podmiotom finansowym szybkie i sprawne rozwiązywanie incydentów związanych z ICT, w szczególności cyberataków, poprzez ograniczenie szkód i priorytetowe traktowanie wznowienia działalności i działań naprawczych, konieczne jest opracowanie skutecznych planów ciągłości działania i planów przywracania sprawności zgodnie z ich politykami tworzenia kopii zapasowych. Takie wznowienie działalności nie powinno jednak w żaden sposób zagrażać integralności i bezpieczeństwu sieci i systemów informatycznych lub dostępności, autentyczności, integralności czy poufności danych.

| (50) | Choć niniejsze rozporządzenie pozwala podmiotom finansowym na określenie w sposób elastyczny zakładanego czasu przywrócenia systemów i akceptowalny poziom utraty danych, a tym samym na wyznaczanie go poprzez pełne uwzględnienie charakteru i krytyczności danych funkcji oraz wszelkich szczególnych potrzeb biznesowych, powinno jednak nakładać na te podmioty wymóg przeprowadzenia oceny potencjalnego ogólnego wpływu na efektywność rynku przy określaniu takich celów. |
| --- | --- |

(50)

Choć niniejsze rozporządzenie pozwala podmiotom finansowym na określenie w sposób elastyczny zakładanego czasu przywrócenia systemów i akceptowalny poziom utraty danych, a tym samym na wyznaczanie go poprzez pełne uwzględnienie charakteru i krytyczności danych funkcji oraz wszelkich szczególnych potrzeb biznesowych, powinno jednak nakładać na te podmioty wymóg przeprowadzenia oceny potencjalnego ogólnego wpływu na efektywność rynku przy określaniu takich celów.

| (51) | Inicjatorzy cyberataków zwykle dążą do osiągnięcia zysków finansowych bezpośrednio u źródła, narażając tym samym podmioty finansowe na poważne konsekwencje. Aby zapobiec niedostępności lub utracie integralności systemów ICT, a tym samym by uniknąć naruszeń poufnych danych i uszkodzeń fizycznej infrastruktury ICT, należy znacznie usprawnić i uprościć procedurę zgłaszania przez podmioty finansowe poważnych incydentów związanych z ICT. Procedurę zgłaszania incydentów związanych z ICT należy ujednolicić: wszystkie podmioty finansowe powinny być zobowiązane do zgłaszania tych incydentów bezpośrednio do swoich odpowiednich właściwych organów. W przypadku gdy nadzór nad podmiotem finansowym sprawuje więcej niż jeden właściwy organ krajowy, państwa członkowskie powinny wyznaczyć jeden właściwy organ do celów takich zgłoszeń. Instytucje kredytowe sklasyfikowane jako istotne zgodnie z art. 6 ust. 4 rozporządzenia Rady (UE) nr 1024/2013 (19) powinny przekazywać takie zgłoszenia właściwym organom krajowym, które następnie powinny przekazać stosowne sprawozdanie Europejskiemu Bankowi |Centralnemu (EBC). |
| --- | --- |

(51)

Inicjatorzy cyberataków zwykle dążą do osiągnięcia zysków finansowych bezpośrednio u źródła, narażając tym samym podmioty finansowe na poważne konsekwencje. Aby zapobiec niedostępności lub utracie integralności systemów ICT, a tym samym by uniknąć naruszeń poufnych danych i uszkodzeń fizycznej infrastruktury ICT, należy znacznie usprawnić i uprościć procedurę zgłaszania przez podmioty finansowe poważnych incydentów związanych z ICT. Procedurę zgłaszania incydentów związanych z ICT należy ujednolicić: wszystkie podmioty finansowe powinny być zobowiązane do zgłaszania tych incydentów bezpośrednio do swoich odpowiednich właściwych organów. W przypadku gdy nadzór nad podmiotem finansowym sprawuje więcej niż jeden właściwy organ krajowy, państwa członkowskie powinny wyznaczyć jeden właściwy organ do celów takich zgłoszeń. Instytucje kredytowe sklasyfikowane jako istotne zgodnie z art. 6 ust. 4 rozporządzenia Rady (UE) nr 1024/2013 (19) powinny przekazywać takie zgłoszenia właściwym organom krajowym, które następnie powinny przekazać stosowne sprawozdanie Europejskiemu Bankowi |Centralnemu (EBC).

| (52) | Bezpośrednie zgłaszanie incydentów powinno umożliwić organom nadzoru finansowego natychmiastowy dostęp do informacji na temat poważnych incydentów związanych z ICT. Organy nadzoru finansowego powinny z kolei przekazywać szczegółowe informacje na temat takich poważnych incydentów związanych z ICT organom publicznym spoza sektora finansowego (takim jak właściwe organy i pojedyncze punkty kontaktowe na mocy dyrektywy (UE) 2022/2555, krajowe organy ochrony danych i organom ścigania w przypadku poważnych incydentów o charakterze przestępczym związanych z ICT), aby zwiększyć wiedzę takich organów o takich incydentach oraz – w przypadku CSIRT – ułatwić szybką pomoc, której można udzielić podmiotom finansowym, stosownie do przypadku. Dodatkowo państwa członkowskie powinny mieć możliwość określenia, że to same podmioty finansowe powinny przekazywać takie informacje organom publicznym spoza obszaru usług finansowych. Te przepływy informacji powinny umożliwić podmiotom finansowym szybkie korzystanie z wszelkich istotnych informacji technicznych, porad dotyczących środków zaradczych oraz działań następczych ze strony takich organów. Informacje na temat poważnych incydentów związanych z ICT powinny być wzajemnie przekazywane: organy sprawujące nadzór finansowy powinny przekazywać podmiotowi finansowemu wszelkie niezbędne informacje zwrotne lub wytyczne, natomiast EUN powinny udostępniać zanonimizowane dane na temat cyberzagrożeń i podatności związanych z danym incydentem, aby wspomóc szerzej pojętą zbiorową obronę. |
| --- | --- |

(52)

Bezpośrednie zgłaszanie incydentów powinno umożliwić organom nadzoru finansowego natychmiastowy dostęp do informacji na temat poważnych incydentów związanych z ICT. Organy nadzoru finansowego powinny z kolei przekazywać szczegółowe informacje na temat takich poważnych incydentów związanych z ICT organom publicznym spoza sektora finansowego (takim jak właściwe organy i pojedyncze punkty kontaktowe na mocy dyrektywy (UE) 2022/2555, krajowe organy ochrony danych i organom ścigania w przypadku poważnych incydentów o charakterze przestępczym związanych z ICT), aby zwiększyć wiedzę takich organów o takich incydentach oraz – w przypadku CSIRT – ułatwić szybką pomoc, której można udzielić podmiotom finansowym, stosownie do przypadku. Dodatkowo państwa członkowskie powinny mieć możliwość określenia, że to same podmioty finansowe powinny przekazywać takie informacje organom publicznym spoza obszaru usług finansowych. Te przepływy informacji powinny umożliwić podmiotom finansowym szybkie korzystanie z wszelkich istotnych informacji technicznych, porad dotyczących środków zaradczych oraz działań następczych ze strony takich organów. Informacje na temat poważnych incydentów związanych z ICT powinny być wzajemnie przekazywane: organy sprawujące nadzór finansowy powinny przekazywać podmiotowi finansowemu wszelkie niezbędne informacje zwrotne lub wytyczne, natomiast EUN powinny udostępniać zanonimizowane dane na temat cyberzagrożeń i podatności związanych z danym incydentem, aby wspomóc szerzej pojętą zbiorową obronę.

| (53) | Chociaż wszystkie podmioty finansowe powinny być objęte wymogiem zgłaszania incydentów, przewiduje się, że wymóg ten nie będzie wszystkich ich obciążać w ten sam sposób. Odpowiednie progi w zakresie istotności i ramy czasowe zgłaszania incydentów powinny być należycie dostosowane, w kontekście aktów delegowanych opartych na regulacyjnych standardach technicznych, które mają zostać opracowane przez EUN, tak by uwzględniać jedynie poważne incydenty związane z ICT. Dodatkowo przy określaniu ram czasowych do celów obowiązków w zakresie zgłaszania incydentów należy uwzględnić specyfikę podmiotów finansowych. |
| --- | --- |

(53)

Chociaż wszystkie podmioty finansowe powinny być objęte wymogiem zgłaszania incydentów, przewiduje się, że wymóg ten nie będzie wszystkich ich obciążać w ten sam sposób. Odpowiednie progi w zakresie istotności i ramy czasowe zgłaszania incydentów powinny być należycie dostosowane, w kontekście aktów delegowanych opartych na regulacyjnych standardach technicznych, które mają zostać opracowane przez EUN, tak by uwzględniać jedynie poważne incydenty związane z ICT. Dodatkowo przy określaniu ram czasowych do celów obowiązków w zakresie zgłaszania incydentów należy uwzględnić specyfikę podmiotów finansowych.

| (54) | Niniejsze rozporządzenie powinno nakładać na instytucje kredytowe, instytucje płatnicze, dostawców świadczących usługę dostępu do informacji o rachunku i instytucje pieniądza elektronicznego wymóg zgłaszania wszelkich incydentów operacyjnych lub w zakresie bezpieczeństwa związanych z płatnościami, które wcześniej były zgłaszane na mocy dyrektywy (UE) 2015/2366, niezależnie od tego, czy są one związane z ICT. |
| --- | --- |

(54)

Niniejsze rozporządzenie powinno nakładać na instytucje kredytowe, instytucje płatnicze, dostawców świadczących usługę dostępu do informacji o rachunku i instytucje pieniądza elektronicznego wymóg zgłaszania wszelkich incydentów operacyjnych lub w zakresie bezpieczeństwa związanych z płatnościami, które wcześniej były zgłaszane na mocy dyrektywy (UE) 2015/2366, niezależnie od tego, czy są one związane z ICT.

| (55) | EUN należy powierzyć zadanie polegające na ocenie możliwości i warunków ewentualnej centralizacji zgłoszeń dotyczących incydentów związanych z ICT na szczeblu Unii. Taka centralizacja mogłaby obejmować jeden unijny węzeł informacyjny na potrzeby zgłaszania poważnych incydentów związanych z ICT, który by otrzymywał odpowiednie zgłoszenia bezpośrednio i automatycznie powiadamiał właściwe organy krajowe albo który by służył jedynie jako centralne miejsce do przekazywania odpowiednich zgłoszeń przez właściwe organy krajowe i tym samym pełnił funkcję koordynującą. EUN należy powierzyć zadanie polegające na przygotowaniu, w porozumieniu z EBC i ENISA, wspólnego sprawozdania badającego możliwość ustanowienia takiego jednego unijnego węzła informacyjnego. |
| --- | --- |

(55)

EUN należy powierzyć zadanie polegające na ocenie możliwości i warunków ewentualnej centralizacji zgłoszeń dotyczących incydentów związanych z ICT na szczeblu Unii. Taka centralizacja mogłaby obejmować jeden unijny węzeł informacyjny na potrzeby zgłaszania poważnych incydentów związanych z ICT, który by otrzymywał odpowiednie zgłoszenia bezpośrednio i automatycznie powiadamiał właściwe organy krajowe albo który by służył jedynie jako centralne miejsce do przekazywania odpowiednich zgłoszeń przez właściwe organy krajowe i tym samym pełnił funkcję koordynującą. EUN należy powierzyć zadanie polegające na przygotowaniu, w porozumieniu z EBC i ENISA, wspólnego sprawozdania badającego możliwość ustanowienia takiego jednego unijnego węzła informacyjnego.

| (56) | W celu osiągnięcia wysokiego poziomu operacyjnej odporności cyfrowej oraz zgodnie zarówno z odpowiednimi standardami międzynarodowymi (np. określonymi przez G-7 podstawowymi elementami dotyczącymi testów penetracyjnych pod kątem wyszukiwania zagrożeń), jak i ramami stosowanymi w Unii, takimi jak TIBER–EU, podmioty finansowe powinny regularnie testować swoje systemy ICT i personel wykonujący obowiązki związane z ICT pod kątem skuteczności ich zdolności w zakresie zapobiegania, wykrywania, reagowania i przywracania sprawności, aby wykrywać i eliminować potencjalne podatności w zakresie ICT. Aby odzwierciedlić różnice istniejące między różnymi podsektorami finansowymi i w ramach tych podsektorów w zakresie gotowości podmiotów finansowych do reagowania w obszarze cyberbezpieczeństwa, testowanie powinno obejmować szeroki zakres narzędzi i działań, począwszy od oceny podstawowych wymogów (np. oceny podatności i skanowanie pod tym kątem, analizy otwartego oprogramowania, oceny bezpieczeństwa sieci, analizy braków, fizyczne kontrole bezpieczeństwa, kwestionariusze i rozwiązania w zakresie oprogramowania skanującego, w miarę możliwości przeglądy kodu źródłowego, testy scenariuszowe, testy kompatybilności, testy wydajności lub testy kompleksowe) aż po bardziej zaawansowane testowanie przy użyciu TLPT. Takie zaawansowane testowanie powinno być wymagane jedynie w przypadku podmiotów finansowych wystarczająco zaawansowanych z punktu widzenia ICT, aby były w stanie przeprowadzić takie testy. Wymagane w niniejszym rozporządzeniu testowanie operacyjnej odporności cyfrowej powinno być zatem bardziej rygorystyczne dla podmiotów finansowych spełniających kryteria określone w niniejszym rozporządzeniu (np. dużych systemowych i zaawansowanych z punktu widzenia ICT instytucji kredytowych, giełd papierów wartościowych, centralnych depozytów papierów wartościowych oraz kontrahentów centralnych) niż dla innych podmiotów finansowych. Jednocześnie testowanie operacyjnej odporności cyfrowej przy użyciu TLPT powinno mieć większe znaczenie w przypadku podmiotów finansowych prowadzących działalność w podstawowych podsektorach usług finansowych i odgrywających rolę systemową (np. płatności, bankowość oraz systemy rozliczeń i rozrachunku), a mniejsze w przypadku innych podsektorów (np. podmiotów zarządzających aktywami oraz agencji ratingowych itp.). |
| --- | --- |

(56)

W celu osiągnięcia wysokiego poziomu operacyjnej odporności cyfrowej oraz zgodnie zarówno z odpowiednimi standardami międzynarodowymi (np. określonymi przez G-7 podstawowymi elementami dotyczącymi testów penetracyjnych pod kątem wyszukiwania zagrożeń), jak i ramami stosowanymi w Unii, takimi jak TIBER–EU, podmioty finansowe powinny regularnie testować swoje systemy ICT i personel wykonujący obowiązki związane z ICT pod kątem skuteczności ich zdolności w zakresie zapobiegania, wykrywania, reagowania i przywracania sprawności, aby wykrywać i eliminować potencjalne podatności w zakresie ICT. Aby odzwierciedlić różnice istniejące między różnymi podsektorami finansowymi i w ramach tych podsektorów w zakresie gotowości podmiotów finansowych do reagowania w obszarze cyberbezpieczeństwa, testowanie powinno obejmować szeroki zakres narzędzi i działań, począwszy od oceny podstawowych wymogów (np. oceny podatności i skanowanie pod tym kątem, analizy otwartego oprogramowania, oceny bezpieczeństwa sieci, analizy braków, fizyczne kontrole bezpieczeństwa, kwestionariusze i rozwiązania w zakresie oprogramowania skanującego, w miarę możliwości przeglądy kodu źródłowego, testy scenariuszowe, testy kompatybilności, testy wydajności lub testy kompleksowe) aż po bardziej zaawansowane testowanie przy użyciu TLPT. Takie zaawansowane testowanie powinno być wymagane jedynie w przypadku podmiotów finansowych wystarczająco zaawansowanych z punktu widzenia ICT, aby były w stanie przeprowadzić takie testy. Wymagane w niniejszym rozporządzeniu testowanie operacyjnej odporności cyfrowej powinno być zatem bardziej rygorystyczne dla podmiotów finansowych spełniających kryteria określone w niniejszym rozporządzeniu (np. dużych systemowych i zaawansowanych z punktu widzenia ICT instytucji kredytowych, giełd papierów wartościowych, centralnych depozytów papierów wartościowych oraz kontrahentów centralnych) niż dla innych podmiotów finansowych. Jednocześnie testowanie operacyjnej odporności cyfrowej przy użyciu TLPT powinno mieć większe znaczenie w przypadku podmiotów finansowych prowadzących działalność w podstawowych podsektorach usług finansowych i odgrywających rolę systemową (np. płatności, bankowość oraz systemy rozliczeń i rozrachunku), a mniejsze w przypadku innych podsektorów (np. podmiotów zarządzających aktywami oraz agencji ratingowych itp.).

| (57) | Podmioty finansowe prowadzące działalność transgraniczną i korzystające ze swobody przedsiębiorczości lub swobody świadczenia usług w Unii powinny spełniać jeden zestaw wymogów w zakresie zaawansowanego testowania (np. TLPT) w swoim macierzystym państwie członkowskim, a testowanie to powinno obejmować infrastrukturę ICT we wszystkich jurysdykcjach, w których dana transgraniczna grupa finansowa prowadzi działalność w Unii, co pozwoli takim transgranicznym grupom finansowym ponosić koszty przeprowadzenia testów związanych z ICT tylko w jednej jurysdykcji. |
| --- | --- |

(57)

Podmioty finansowe prowadzące działalność transgraniczną i korzystające ze swobody przedsiębiorczości lub swobody świadczenia usług w Unii powinny spełniać jeden zestaw wymogów w zakresie zaawansowanego testowania (np. TLPT) w swoim macierzystym państwie członkowskim, a testowanie to powinno obejmować infrastrukturę ICT we wszystkich jurysdykcjach, w których dana transgraniczna grupa finansowa prowadzi działalność w Unii, co pozwoli takim transgranicznym grupom finansowym ponosić koszty przeprowadzenia testów związanych z ICT tylko w jednej jurysdykcji.

| (58) | Aby wykorzystać wiedzę fachową zdobytą już przez niektóre właściwe organy, w szczególności w odniesieniu do wdrażania ram TIBER–EU, niniejsze rozporządzenie powinno umożliwiać państwom członkowskim wyznaczenie jednego organu publicznego jako odpowiedzialnego w sektorze finansowym na szczeblu krajowym za wszelkie kwestie dotyczące TLPT lub powinno umożliwiać właściwym organom – w przypadku braku takiego wyznaczenia – przekazanie wykonywania zadań związanych z TLPT innemu krajowemu właściwemu organowi finansowemu. |
| --- | --- |

(58)

Aby wykorzystać wiedzę fachową zdobytą już przez niektóre właściwe organy, w szczególności w odniesieniu do wdrażania ram TIBER–EU, niniejsze rozporządzenie powinno umożliwiać państwom członkowskim wyznaczenie jednego organu publicznego jako odpowiedzialnego w sektorze finansowym na szczeblu krajowym za wszelkie kwestie dotyczące TLPT lub powinno umożliwiać właściwym organom – w przypadku braku takiego wyznaczenia – przekazanie wykonywania zadań związanych z TLPT innemu krajowemu właściwemu organowi finansowemu.

| (59) | Z uwagi na to, że niniejsze rozporządzenie nie nakłada na podmioty finansowe wymogu objęcia wszystkich krytycznych lub istotnych funkcji pojedynczym testem penetracyjnym pod kątem wyszukiwania zagrożeń, podmioty te powinny mieć możliwość określenia, które z tych funkcji i jaką ich liczbę należy objąć zakresem takiego testu. |
| --- | --- |

(59)

Z uwagi na to, że niniejsze rozporządzenie nie nakłada na podmioty finansowe wymogu objęcia wszystkich krytycznych lub istotnych funkcji pojedynczym testem penetracyjnym pod kątem wyszukiwania zagrożeń, podmioty te powinny mieć możliwość określenia, które z tych funkcji i jaką ich liczbę należy objąć zakresem takiego testu.

| (60) | Testowanie zbiorcze w rozumieniu niniejszego rozporządzenia – z udziałem kilku podmiotów finansowych w TLPT i w odniesieniu do którego zewnętrzny dostawca usług ICT może zawrzeć ustalenia umowne bezpośrednio z testerem zewnętrznym – powinno być dozwolone jedynie w przypadku, gdy można racjonalnie przewidywać, że jakość lub bezpieczeństwo usług świadczonych przez zewnętrznego dostawcę usług ICT na rzecz klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia lub poufność danych związanych z takimi usługami będą zagrożone. Testowanie zbiorcze powinno też podlegać zabezpieczeniom (kierowanie przez jeden wyznaczony podmiot finansowy, określenie liczby uczestniczących podmiotów finansowych), aby zapewnić poddanie uczestniczących podmiotów finansowych rygorystycznym testom spełniającym cele TLPT zgodnie z niniejszym rozporządzeniem. |
| --- | --- |

(60)

Testowanie zbiorcze w rozumieniu niniejszego rozporządzenia – z udziałem kilku podmiotów finansowych w TLPT i w odniesieniu do którego zewnętrzny dostawca usług ICT może zawrzeć ustalenia umowne bezpośrednio z testerem zewnętrznym – powinno być dozwolone jedynie w przypadku, gdy można racjonalnie przewidywać, że jakość lub bezpieczeństwo usług świadczonych przez zewnętrznego dostawcę usług ICT na rzecz klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia lub poufność danych związanych z takimi usługami będą zagrożone. Testowanie zbiorcze powinno też podlegać zabezpieczeniom (kierowanie przez jeden wyznaczony podmiot finansowy, określenie liczby uczestniczących podmiotów finansowych), aby zapewnić poddanie uczestniczących podmiotów finansowych rygorystycznym testom spełniającym cele TLPT zgodnie z niniejszym rozporządzeniem.

| (61) | Aby wykorzystać zasoby wewnętrzne dostępne na poziomie przedsiębiorstwa, niniejsze rozporządzenie powinno umożliwiać korzystanie z wewnętrznych testerów do celów przeprowadzania TLPT, pod warunkiem że uzyskano zgodę od organu nadzoru, nie występuje konflikt interesów i że TLTP są przeprowadzane naprzemiennie przez testerów wewnętrznych i zewnętrznych (okresowo – zmiana co trzy testy), przy czym dostawcy analiz zagrożeń wykorzystywanych w ramach TLPT zawsze muszą być podmiotem zewnętrznym względem danego podmiotu finansowego. Pełną odpowiedzialność za prowadzenie TLPT powinien ponosić podmiot finansowy. Potwierdzenia wydawane przez odpowiednie organy powinny służyć wyłącznie do celów wzajemnego uznawania i nie powinny wykluczać działań następczych niezbędnych, by wyeliminować ryzyko związane z ICT, na które dany podmiot finansowy jest narażony, nie powinny też być postrzegane jako potwierdzenie przez organ nadzoru zdolności podmiotu finansowego w zakresie zarządzania ryzykiem związanym z ICT i jego łagodzenia. |
| --- | --- |

(61)

Aby wykorzystać zasoby wewnętrzne dostępne na poziomie przedsiębiorstwa, niniejsze rozporządzenie powinno umożliwiać korzystanie z wewnętrznych testerów do celów przeprowadzania TLPT, pod warunkiem że uzyskano zgodę od organu nadzoru, nie występuje konflikt interesów i że TLTP są przeprowadzane naprzemiennie przez testerów wewnętrznych i zewnętrznych (okresowo – zmiana co trzy testy), przy czym dostawcy analiz zagrożeń wykorzystywanych w ramach TLPT zawsze muszą być podmiotem zewnętrznym względem danego podmiotu finansowego. Pełną odpowiedzialność za prowadzenie TLPT powinien ponosić podmiot finansowy. Potwierdzenia wydawane przez odpowiednie organy powinny służyć wyłącznie do celów wzajemnego uznawania i nie powinny wykluczać działań następczych niezbędnych, by wyeliminować ryzyko związane z ICT, na które dany podmiot finansowy jest narażony, nie powinny też być postrzegane jako potwierdzenie przez organ nadzoru zdolności podmiotu finansowego w zakresie zarządzania ryzykiem związanym z ICT i jego łagodzenia.

| (62) | Aby zapewnić należyte monitorowanie ryzyka ze strony zewnętrznych dostawców usług ICT w sektorze finansowym, konieczne jest ustanowienie zbioru opartych na zasadach przepisów regulujących monitorowanie przez podmioty finansowe ryzyka występującego w kontekście funkcji zlecanych zewnętrznym dostawcom usług ICT, zwłaszcza w odniesieniu do usług ICT wspierających krytyczne lub istotne funkcje, oraz, w bardziej ogólnym zakresie, w kontekście wszelkich zależności od zewnętrznych dostawców usług ICT. |
| --- | --- |

(62)

Aby zapewnić należyte monitorowanie ryzyka ze strony zewnętrznych dostawców usług ICT w sektorze finansowym, konieczne jest ustanowienie zbioru opartych na zasadach przepisów regulujących monitorowanie przez podmioty finansowe ryzyka występującego w kontekście funkcji zlecanych zewnętrznym dostawcom usług ICT, zwłaszcza w odniesieniu do usług ICT wspierających krytyczne lub istotne funkcje, oraz, w bardziej ogólnym zakresie, w kontekście wszelkich zależności od zewnętrznych dostawców usług ICT.

| (63) | Aby sprostać stopniowi złożoności różnych źródeł ryzyka związanego z ICT, uwzględniając przy tym dużą liczbę i różnorodność dostawców rozwiązań technologicznych umożliwiających sprawne świadczenie usług finansowych, niniejsze rozporządzenie powinno obejmować wielu różnych zewnętrznych dostawców usług ICT, w tym dostawców usług chmurowych, oprogramowania, usług analizy danych i dostawców usług przetwarzania danych. Analogicznie, z uwagi na to, że podmioty finansowe powinny skutecznie i spójnie określać wszystkie rodzaje ryzyka i nimi zarządzać, m.in. w kontekście usług ICT zamawianych w ramach grupy finansowej, należy doprecyzować, że przedsiębiorstwa, które są częścią grupy finansowej i świadczą usługi ICT głównie na rzecz swojej jednostki dominującej lub na rzecz jednostek zależnych lub oddziałów swojej jednostki dominującej, jak również podmioty finansowe świadczące usługi ICT na rzecz innych podmiotów finansowych także powinny być uznawane za zewnętrznych dostawców usług ICT na mocy niniejszego rozporządzenia. Ponadto w związku ze zmieniającym się rynkiem usług płatniczych, który jest coraz bardziej zależny od złożonych rozwiązań technicznych, oraz w świetle pojawiających się rodzajów usług płatniczych i rozwiązań związanych z płatnościami, uczestnicy ekosystemu usług płatniczych prowadzący działania przetwarzania płatności lub obsługujący infrastrukturę płatniczą również powinni być uznawani za zewnętrznych dostawców usług ICT na mocy niniejszego rozporządzenia, z wyjątkiem banków centralnych prowadzących systemy płatności lub systemy rozrachunku papierów wartościowych oraz organów publicznych świadczących usługi związane z ICT w kontekście pełnienia funkcji państwa. |
| --- | --- |

(63)

Aby sprostać stopniowi złożoności różnych źródeł ryzyka związanego z ICT, uwzględniając przy tym dużą liczbę i różnorodność dostawców rozwiązań technologicznych umożliwiających sprawne świadczenie usług finansowych, niniejsze rozporządzenie powinno obejmować wielu różnych zewnętrznych dostawców usług ICT, w tym dostawców usług chmurowych, oprogramowania, usług analizy danych i dostawców usług przetwarzania danych. Analogicznie, z uwagi na to, że podmioty finansowe powinny skutecznie i spójnie określać wszystkie rodzaje ryzyka i nimi zarządzać, m.in. w kontekście usług ICT zamawianych w ramach grupy finansowej, należy doprecyzować, że przedsiębiorstwa, które są częścią grupy finansowej i świadczą usługi ICT głównie na rzecz swojej jednostki dominującej lub na rzecz jednostek zależnych lub oddziałów swojej jednostki dominującej, jak również podmioty finansowe świadczące usługi ICT na rzecz innych podmiotów finansowych także powinny być uznawane za zewnętrznych dostawców usług ICT na mocy niniejszego rozporządzenia. Ponadto w związku ze zmieniającym się rynkiem usług płatniczych, który jest coraz bardziej zależny od złożonych rozwiązań technicznych, oraz w świetle pojawiających się rodzajów usług płatniczych i rozwiązań związanych z płatnościami, uczestnicy ekosystemu usług płatniczych prowadzący działania przetwarzania płatności lub obsługujący infrastrukturę płatniczą również powinni być uznawani za zewnętrznych dostawców usług ICT na mocy niniejszego rozporządzenia, z wyjątkiem banków centralnych prowadzących systemy płatności lub systemy rozrachunku papierów wartościowych oraz organów publicznych świadczących usługi związane z ICT w kontekście pełnienia funkcji państwa.

| (64) | Podmiot finansowy powinien przez cały czas ponosić pełną odpowiedzialność za wypełnianie swoich obowiązków określonych w niniejszym rozporządzeniu. Podmioty finansowe powinny stosować proporcjonalne podejście do monitorowania zagrożeń występujących na poziomie zewnętrznego dostawcy usług ICT i odpowiednio uwzględnić charakter, skalę, stopień złożoności i znaczenie swoich zależności w zakresie ICT, krytyczność lub znaczenie usług, procesów lub funkcji objętych ustaleniami umownymi, a ostatecznie na podstawie starannej oceny wszelkiego potencjalnego wpływu na ciągłość i jakość usług finansowych na szczeblu indywidualnym i grupowym, w zależności od przypadku. |
| --- | --- |

(64)

Podmiot finansowy powinien przez cały czas ponosić pełną odpowiedzialność za wypełnianie swoich obowiązków określonych w niniejszym rozporządzeniu. Podmioty finansowe powinny stosować proporcjonalne podejście do monitorowania zagrożeń występujących na poziomie zewnętrznego dostawcy usług ICT i odpowiednio uwzględnić charakter, skalę, stopień złożoności i znaczenie swoich zależności w zakresie ICT, krytyczność lub znaczenie usług, procesów lub funkcji objętych ustaleniami umownymi, a ostatecznie na podstawie starannej oceny wszelkiego potencjalnego wpływu na ciągłość i jakość usług finansowych na szczeblu indywidualnym i grupowym, w zależności od przypadku.

| (65) | Takie monitorowanie należy prowadzić zgodnie ze strategicznym podejściem do ryzyka ze strony zewnętrznych dostawców usług ICT sformalizowanym poprzez przyjęcie przez organ zarządzający podmiotu finansowego specjalnej strategii dotyczącej ryzyka ze strony zewnętrznych dostawców usług ICT, opartej na ciągłym badaniu wszystkich takich zależności od zewnętrznych dostawców usług ICT. Aby zwiększyć świadomość organów sprawujących nadzór co do zależności od zewnętrznych dostawców usług ICT, a także w celu dalszego wspierania prac prowadzonych w kontekście ram nadzoru ustanowionych w niniejszym rozporządzeniu, wszystkie podmioty finansowe powinny być zobowiązane do prowadzenia rejestru informacji obejmującego wszystkie ustalenia umowne dotyczące korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT. Organy sprawujące nadzór finansowy powinny mieć możliwość żądania dostępu do pełnego rejestru lub określonych jego części, i tym samym uzyskania podstawowych informacji umożliwiających lepsze zrozumienie zależności podmiotów finansowych w obszarze ICT. |
| --- | --- |

(65)

Takie monitorowanie należy prowadzić zgodnie ze strategicznym podejściem do ryzyka ze strony zewnętrznych dostawców usług ICT sformalizowanym poprzez przyjęcie przez organ zarządzający podmiotu finansowego specjalnej strategii dotyczącej ryzyka ze strony zewnętrznych dostawców usług ICT, opartej na ciągłym badaniu wszystkich takich zależności od zewnętrznych dostawców usług ICT. Aby zwiększyć świadomość organów sprawujących nadzór co do zależności od zewnętrznych dostawców usług ICT, a także w celu dalszego wspierania prac prowadzonych w kontekście ram nadzoru ustanowionych w niniejszym rozporządzeniu, wszystkie podmioty finansowe powinny być zobowiązane do prowadzenia rejestru informacji obejmującego wszystkie ustalenia umowne dotyczące korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT. Organy sprawujące nadzór finansowy powinny mieć możliwość żądania dostępu do pełnego rejestru lub określonych jego części, i tym samym uzyskania podstawowych informacji umożliwiających lepsze zrozumienie zależności podmiotów finansowych w obszarze ICT.

| (66) | Gruntowna analiza poprzedzająca zawarcie umowy powinna mieć miejsce przed formalnym dokonaniem ustaleń umownych i powinna się koncentrować w szczególności na takich elementach, jak krytyczność lub znaczenie usług wspieranych w ramach planowanej umowy w zakresie ICT, niezbędne zgody organów nadzoru lub inne warunki, możliwe powiązane ryzyko koncentracji; należy ją przeprowadzić z zastosowaniem należytej staranności w procesie selekcji i oceny zewnętrznych dostawców usług ICT oraz dokonać oceny potencjalnych konfliktów interesów. W przypadku ustaleń umownych dotyczących krytycznych lub istotnych funkcji podmioty finansowe powinny brać pod uwagę fakt, czy zewnętrzni dostawcy usług ICT stosują najbardziej aktualne i najwyższe standardy bezpieczeństwa informacji. Wypowiedzenie ustaleń umownych mogłoby być spowodowane wystąpieniem co najmniej szeregu okoliczności wskazujących na braki po stronie zewnętrznego dostawcy usług ICT, w szczególności poważnych naruszeń przepisów lub warunków umownych, okoliczności ujawniających potencjalne zmiany w wykonywaniu funkcji przewidzianych w warunkach umownych, dowodów na słabości danego zewnętrznego dostawcy usług ICT w ogólnym zarządzaniu ryzykiem związanym z ICT, lub okoliczności wskazujących na niezdolność odpowiedniego właściwego organu do sprawowania nadzoru nad danym podmiotem finansowym. |
| --- | --- |

(66)

Gruntowna analiza poprzedzająca zawarcie umowy powinna mieć miejsce przed formalnym dokonaniem ustaleń umownych i powinna się koncentrować w szczególności na takich elementach, jak krytyczność lub znaczenie usług wspieranych w ramach planowanej umowy w zakresie ICT, niezbędne zgody organów nadzoru lub inne warunki, możliwe powiązane ryzyko koncentracji; należy ją przeprowadzić z zastosowaniem należytej staranności w procesie selekcji i oceny zewnętrznych dostawców usług ICT oraz dokonać oceny potencjalnych konfliktów interesów. W przypadku ustaleń umownych dotyczących krytycznych lub istotnych funkcji podmioty finansowe powinny brać pod uwagę fakt, czy zewnętrzni dostawcy usług ICT stosują najbardziej aktualne i najwyższe standardy bezpieczeństwa informacji. Wypowiedzenie ustaleń umownych mogłoby być spowodowane wystąpieniem co najmniej szeregu okoliczności wskazujących na braki po stronie zewnętrznego dostawcy usług ICT, w szczególności poważnych naruszeń przepisów lub warunków umownych, okoliczności ujawniających potencjalne zmiany w wykonywaniu funkcji przewidzianych w warunkach umownych, dowodów na słabości danego zewnętrznego dostawcy usług ICT w ogólnym zarządzaniu ryzykiem związanym z ICT, lub okoliczności wskazujących na niezdolność odpowiedniego właściwego organu do sprawowania nadzoru nad danym podmiotem finansowym.

| (67) | Aby zaradzić skutkom systemowym koncentracji ryzyka ze strony zewnętrznych dostawców usług ICT, niniejsze rozporządzenie promuje zrównoważone rozwiązania poprzez elastyczne i stopniowe podejście do takiego ryzyka koncentracji, ponieważ nałożenie jakichkolwiek sztywnych limitów lub ścisłych ograniczeń może utrudniać prowadzenie działalności gospodarczej i ograniczać swobodę zawierania umów. Podmioty finansowe powinny dokładnie oceniać swoje planowane ustalenia umowne w celu określenia prawdopodobieństwa wystąpienia takiego ryzyka, w tym poprzez dogłębną analizę ustaleń dotyczących podwykonawstwa, zwłaszcza w przypadku zawierania ich z zewnętrznymi dostawcami usług ICT mającymi siedzibę w państwie trzecim. Na tym etapie oraz w celu osiągnięcia odpowiedniej równowagi między koniecznością zachowania swobody zawierania umów a koniecznością zagwarantowania stabilności finansowej, nie uważa się za właściwe określenia zasad w odniesieniu do sztywnych limitów i ograniczeń dotyczących ekspozycji wobec zewnętrznych dostawców usług ICT. W kontekście ram nadzoru wiodący organ nadzorczy wyznaczony zgodnie z niniejszym rozporządzeniem powinien – w odniesieniu do kluczowych zewnętrznych dostawców usług ICT zwracać szczególną uwagę na pełne zrozumienie skali współzależności, wykrywać konkretne przypadki, w których wysoki poziom koncentracji kluczowych zewnętrznych dostawców usług ICT w Unii może stanowić zagrożenie dla stabilności i integralności systemu finansowego Unii, i utrzymywać dialog z kluczowymi zewnętrznymi dostawcami usług ICT w przypadku stwierdzenia takiego konkretnego zagrożenia. |
| --- | --- |

(67)

Aby zaradzić skutkom systemowym koncentracji ryzyka ze strony zewnętrznych dostawców usług ICT, niniejsze rozporządzenie promuje zrównoważone rozwiązania poprzez elastyczne i stopniowe podejście do takiego ryzyka koncentracji, ponieważ nałożenie jakichkolwiek sztywnych limitów lub ścisłych ograniczeń może utrudniać prowadzenie działalności gospodarczej i ograniczać swobodę zawierania umów. Podmioty finansowe powinny dokładnie oceniać swoje planowane ustalenia umowne w celu określenia prawdopodobieństwa wystąpienia takiego ryzyka, w tym poprzez dogłębną analizę ustaleń dotyczących podwykonawstwa, zwłaszcza w przypadku zawierania ich z zewnętrznymi dostawcami usług ICT mającymi siedzibę w państwie trzecim. Na tym etapie oraz w celu osiągnięcia odpowiedniej równowagi między koniecznością zachowania swobody zawierania umów a koniecznością zagwarantowania stabilności finansowej, nie uważa się za właściwe określenia zasad w odniesieniu do sztywnych limitów i ograniczeń dotyczących ekspozycji wobec zewnętrznych dostawców usług ICT. W kontekście ram nadzoru wiodący organ nadzorczy wyznaczony zgodnie z niniejszym rozporządzeniem powinien – w odniesieniu do kluczowych zewnętrznych dostawców usług ICT zwracać szczególną uwagę na pełne zrozumienie skali współzależności, wykrywać konkretne przypadki, w których wysoki poziom koncentracji kluczowych zewnętrznych dostawców usług ICT w Unii może stanowić zagrożenie dla stabilności i integralności systemu finansowego Unii, i utrzymywać dialog z kluczowymi zewnętrznymi dostawcami usług ICT w przypadku stwierdzenia takiego konkretnego zagrożenia.

| (68) | Aby regularnie oceniać i monitorować zdolność zewnętrznego dostawcy usług ICT do bezpiecznego świadczenia usług na rzecz podmiotu finansowego bez negatywnego wpływu na operacyjną odporność cyfrową tego podmiotu, należy ujednolicić kilka najważniejszych elementów umownych z zewnętrznymi dostawcami usług ICT. Takie ujednolicenie powinno obejmować minimum obszarów mających kluczowe znaczenie dla umożliwienia pełnego monitorowania zagrożeń, które mogłyby się pojawić ze strony zewnętrznego dostawcy usług ICT, przez podmiot finansowy w kontekście konieczności zapewnienia odporności cyfrowej tego podmiotu finansowego ze względu na jego głębokie uzależnienie od stabilności, funkcjonalności, dostępności i bezpieczeństwa otrzymywanych usług ICT. |
| --- | --- |

(68)

Aby regularnie oceniać i monitorować zdolność zewnętrznego dostawcy usług ICT do bezpiecznego świadczenia usług na rzecz podmiotu finansowego bez negatywnego wpływu na operacyjną odporność cyfrową tego podmiotu, należy ujednolicić kilka najważniejszych elementów umownych z zewnętrznymi dostawcami usług ICT. Takie ujednolicenie powinno obejmować minimum obszarów mających kluczowe znaczenie dla umożliwienia pełnego monitorowania zagrożeń, które mogłyby się pojawić ze strony zewnętrznego dostawcy usług ICT, przez podmiot finansowy w kontekście konieczności zapewnienia odporności cyfrowej tego podmiotu finansowego ze względu na jego głębokie uzależnienie od stabilności, funkcjonalności, dostępności i bezpieczeństwa otrzymywanych usług ICT.

| (69) | Renegocjując ustalenia umowne w celu dostosowania ich do wymogów niniejszego rozporządzenia, podmioty finansowe i zewnętrzni dostawcy usług ICT powinni zapewnić, by ustalenia te obejmowały najważniejsze postanowienia umowne, jak przewidziano w niniejszym rozporządzeniu. |
| --- | --- |

(69)

Renegocjując ustalenia umowne w celu dostosowania ich do wymogów niniejszego rozporządzenia, podmioty finansowe i zewnętrzni dostawcy usług ICT powinni zapewnić, by ustalenia te obejmowały najważniejsze postanowienia umowne, jak przewidziano w niniejszym rozporządzeniu.

| (70) | Określona w niniejszym rozporządzeniu definicja „krytycznej lub istotnej funkcji” obejmuje definicję „funkcji krytycznych” określoną w art. 2 ust. 1 pkt 35 dyrektywy Parlamentu Europejskiego i Rady 2014/59/UE (20). W związku z tym funkcje uznawane za krytyczne zgodnie z dyrektywą 2014/59/UE są ujęte w definicji funkcji krytycznych w rozumieniu niniejszego rozporządzenia. |
| --- | --- |

(70)

Określona w niniejszym rozporządzeniu definicja „krytycznej lub istotnej funkcji” obejmuje definicję „funkcji krytycznych” określoną w art. 2 ust. 1 pkt 35 dyrektywy Parlamentu Europejskiego i Rady 2014/59/UE (20). W związku z tym funkcje uznawane za krytyczne zgodnie z dyrektywą 2014/59/UE są ujęte w definicji funkcji krytycznych w rozumieniu niniejszego rozporządzenia.

| (71) | Niezależnie od tego czy funkcje wspierane przez usługi ICT mają charakter krytyczny lub istotny, w ustaleniach umownych należy w szczególności zawrzeć specyfikację kompletnych opisów funkcji i usług, miejsc, w których takie funkcje i usługi są świadczone i w których mają być przetwarzane dane, jak również wskazanie opisów gwarantowanych poziomów usług. Innymi elementami o podstawowym znaczeniu dla umożliwienia podmiotowi finansowemu monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT są: postanowienia umowne określające sposób, w jaki zewnętrzny dostawca usług ICT zapewnia dostęp, dostępność, integralność, bezpieczeństwo i ochronę danych osobowych, przepisy ustanawiające odpowiednie gwarancje umożliwiające dostęp do danych, ich odzyskiwanie i zwrot w przypadku niewypłacalności, rozwiązania, zaprzestania działalności gospodarczej zewnętrznego dostawcy usług ICT, a także przepisy nakładające na zewnętrznych dostawców usług ICT wymóg udzielania pomocy w przypadku incydentów związanych ze świadczonymi usługami ICT bez dodatkowych kosztów lub za opłatą określoną ex ante; przepisy dotyczące obowiązku pełnej współpracy zewnętrznego dostawcy usług ICT z właściwymi organami i organami ds. restrukturyzacji i uporządkowanej likwidacji podmiotu finansowego; oraz przepisy dotyczące praw do wypowiedzenia umowy i związane z tym minimalne okresy wypowiedzenia ustaleń umownych, zgodnie oczekiwaniami właściwych organów i organów ds. restrukturyzacji i uporządkowanej likwidacji. |
| --- | --- |

(71)

Niezależnie od tego czy funkcje wspierane przez usługi ICT mają charakter krytyczny lub istotny, w ustaleniach umownych należy w szczególności zawrzeć specyfikację kompletnych opisów funkcji i usług, miejsc, w których takie funkcje i usługi są świadczone i w których mają być przetwarzane dane, jak również wskazanie opisów gwarantowanych poziomów usług. Innymi elementami o podstawowym znaczeniu dla umożliwienia podmiotowi finansowemu monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT są: postanowienia umowne określające sposób, w jaki zewnętrzny dostawca usług ICT zapewnia dostęp, dostępność, integralność, bezpieczeństwo i ochronę danych osobowych, przepisy ustanawiające odpowiednie gwarancje umożliwiające dostęp do danych, ich odzyskiwanie i zwrot w przypadku niewypłacalności, rozwiązania, zaprzestania działalności gospodarczej zewnętrznego dostawcy usług ICT, a także przepisy nakładające na zewnętrznych dostawców usług ICT wymóg udzielania pomocy w przypadku incydentów związanych ze świadczonymi usługami ICT bez dodatkowych kosztów lub za opłatą określoną ex ante; przepisy dotyczące obowiązku pełnej współpracy zewnętrznego dostawcy usług ICT z właściwymi organami i organami ds. restrukturyzacji i uporządkowanej likwidacji podmiotu finansowego; oraz przepisy dotyczące praw do wypowiedzenia umowy i związane z tym minimalne okresy wypowiedzenia ustaleń umownych, zgodnie oczekiwaniami właściwych organów i organów ds. restrukturyzacji i uporządkowanej likwidacji.

| (72) | W uzupełnieniu takich postanowień umownych i z myślą o zapewnieniu, aby podmioty finansowe zachowały pełną kontrolę nad wszelkimi wydarzeniami ze strony podmiotu zewnętrznego, które mogą mieć negatywny wpływ na ich bezpieczeństwo w obszarze ICT, w umowach na świadczenie usług ICT wspierających krytyczne lub istotne funkcje należy również przewidzieć następujące elementy: specyfikację pełnych opisów gwarantowanych poziomów usług wraz z dokładnymi ilościowymi i jakościowymi celami w zakresie wyników, aby umożliwić bez zbędnej zwłoki odpowiednie działania naprawcze w przypadku nieosiągnięcia uzgodnionych gwarantowanych poziomów usług; odpowiednie okresy wypowiedzenia i obowiązki zewnętrznego dostawcy usług ICT w zakresie zgłaszania incydentów w przypadku wydarzeń, które mogą mieć istotny wpływ na zdolność skutecznego świadczenia przez tego dostawcę odnośnych usług ICT; wymóg wobec zewnętrznego dostawcy usług ICT, by wdrażał i testował plany awaryjne w związku z prowadzoną działalnością oraz posiadał środki, narzędzia i polityki w zakresie bezpieczeństwa ICT, które umożliwiają bezpieczne świadczenie usług, oraz by uczestniczył w przeprowadzanych przez podmiot finansowy TLPT i w pełni współpracował w tym zakresie. |
| --- | --- |

(72)

W uzupełnieniu takich postanowień umownych i z myślą o zapewnieniu, aby podmioty finansowe zachowały pełną kontrolę nad wszelkimi wydarzeniami ze strony podmiotu zewnętrznego, które mogą mieć negatywny wpływ na ich bezpieczeństwo w obszarze ICT, w umowach na świadczenie usług ICT wspierających krytyczne lub istotne funkcje należy również przewidzieć następujące elementy: specyfikację pełnych opisów gwarantowanych poziomów usług wraz z dokładnymi ilościowymi i jakościowymi celami w zakresie wyników, aby umożliwić bez zbędnej zwłoki odpowiednie działania naprawcze w przypadku nieosiągnięcia uzgodnionych gwarantowanych poziomów usług; odpowiednie okresy wypowiedzenia i obowiązki zewnętrznego dostawcy usług ICT w zakresie zgłaszania incydentów w przypadku wydarzeń, które mogą mieć istotny wpływ na zdolność skutecznego świadczenia przez tego dostawcę odnośnych usług ICT; wymóg wobec zewnętrznego dostawcy usług ICT, by wdrażał i testował plany awaryjne w związku z prowadzoną działalnością oraz posiadał środki, narzędzia i polityki w zakresie bezpieczeństwa ICT, które umożliwiają bezpieczne świadczenie usług, oraz by uczestniczył w przeprowadzanych przez podmiot finansowy TLPT i w pełni współpracował w tym zakresie.

| (73) | Umowy na świadczenie usług ICT wspierających krytyczne lub istotne funkcje powinny również zawierać przepisy umożliwiające korzystanie z praw dostępu kontroli i audytu przez podmiot finansowy lub wyznaczoną osobę trzecią oraz prawa do sporządzania kopii jako kluczowych instrumentów bieżącego monitorowania przez podmioty finansowe wyników zewnętrznego dostawcy usług ICT w połączeniu z pełną współpracą tego ostatniego podczas kontroli. Analogicznie właściwemu organowi podmiotu finansowego powinno przysługiwać, na podstawie otrzymanych zawiadomień, podobne prawo do kontroli i audytu zewnętrznego dostawcy usług ICT, z zastrzeżeniem ochrony informacji poufnych. |
| --- | --- |

(73)

Umowy na świadczenie usług ICT wspierających krytyczne lub istotne funkcje powinny również zawierać przepisy umożliwiające korzystanie z praw dostępu kontroli i audytu przez podmiot finansowy lub wyznaczoną osobę trzecią oraz prawa do sporządzania kopii jako kluczowych instrumentów bieżącego monitorowania przez podmioty finansowe wyników zewnętrznego dostawcy usług ICT w połączeniu z pełną współpracą tego ostatniego podczas kontroli. Analogicznie właściwemu organowi podmiotu finansowego powinno przysługiwać, na podstawie otrzymanych zawiadomień, podobne prawo do kontroli i audytu zewnętrznego dostawcy usług ICT, z zastrzeżeniem ochrony informacji poufnych.

| (74) | W takich ustaleniach umownych należy również przewidzieć specjalne strategie wyjścia umożliwiające w szczególności obowiązkowe okresy przejściowe, w których zewnętrzni dostawcy usług ICT powinni nadal świadczyć odpowiednie usługi, aby zmniejszyć ryzyko zakłóceń na poziomie podmiotu finansowego lub umożliwić temu ostatniemu skuteczne przejście do korzystania z innych zewnętrznych dostawców usług ICT lub, alternatywnie, skorzystanie z rozwiązań dostępnych w ramach struktury wewnętrznej, stosownie do stopnia złożoności świadczonej usługi ICT. Co więcej, podmioty finansowe objęte zakresem stosowania dyrektywy 2014/59/UE powinny zapewnić, by odpowiednie umowy na usługi ICT były solidne i w pełni egzekwowalne w przypadku restrukturyzacji i uporządkowanej likwidacji tych podmiotów finansowych. W związku z tym zgodnie z oczekiwaniami organów ds. restrukturyzacji i uporządkowanej likwidacji te podmioty finansowe powinny zapewnić, by odpowiednie umowy na usługi ICT wykazywały się odpornością na wypadek restrukturyzacji i uporządkowanej likwidacji. Dopóki te podmioty finansowe wypełniają swoje zobowiązania płatnicze, powinny zapewnić, by odpowiednie umowy dotyczące usług ITC – oprócz innych wymogów – zawierały też klauzule o niemożności ich wypowiedzenia, zawieszenia i modyfikacji z powodu restrukturyzacji lub uporządkowanej likwidacji. |
| --- | --- |

(74)

W takich ustaleniach umownych należy również przewidzieć specjalne strategie wyjścia umożliwiające w szczególności obowiązkowe okresy przejściowe, w których zewnętrzni dostawcy usług ICT powinni nadal świadczyć odpowiednie usługi, aby zmniejszyć ryzyko zakłóceń na poziomie podmiotu finansowego lub umożliwić temu ostatniemu skuteczne przejście do korzystania z innych zewnętrznych dostawców usług ICT lub, alternatywnie, skorzystanie z rozwiązań dostępnych w ramach struktury wewnętrznej, stosownie do stopnia złożoności świadczonej usługi ICT. Co więcej, podmioty finansowe objęte zakresem stosowania dyrektywy 2014/59/UE powinny zapewnić, by odpowiednie umowy na usługi ICT były solidne i w pełni egzekwowalne w przypadku restrukturyzacji i uporządkowanej likwidacji tych podmiotów finansowych. W związku z tym zgodnie z oczekiwaniami organów ds. restrukturyzacji i uporządkowanej likwidacji te podmioty finansowe powinny zapewnić, by odpowiednie umowy na usługi ICT wykazywały się odpornością na wypadek restrukturyzacji i uporządkowanej likwidacji. Dopóki te podmioty finansowe wypełniają swoje zobowiązania płatnicze, powinny zapewnić, by odpowiednie umowy dotyczące usług ITC – oprócz innych wymogów – zawierały też klauzule o niemożności ich wypowiedzenia, zawieszenia i modyfikacji z powodu restrukturyzacji lub uporządkowanej likwidacji.

| (75) | Ponadto dobrowolne stosowanie standardowych klauzul umownych opracowanych przez organy publiczne lub instytucje unijne, w szczególności stosowanie klauzul umownych opracowanych przez Komisję na potrzeby usług chmurowych może zapewnić dodatkowy komfort podmiotom finansowym i zewnętrznym dostawcom usług ICT poprzez zwiększenie poziomu pewności prawa w zakresie korzystania z usług chmurowych przez sektor finansowy, z zachowaniem pełnej zgodności z wymogami i oczekiwaniami określonymi w unijnych przepisach dotyczących usług finansowych. Prace służące opracowaniu standardowych klauzul umownych opierają się na środkach przewidzianych już w Planie działania w zakresie technologii finansowej z 2018 r., w którym zapowiedziano, że Komisja zamierza wspierać i ułatwiać opracowywanie standardowych klauzul umownych dotyczących korzystania z usług chmurowych na zasadzie outsourcingu przez podmioty finansowe, czerpiąc z międzysektorowych wysiłków zainteresowanych podmiotów świadczących usługi chmurowe, które Komisja ułatwiła dzięki zaangażowaniu sektora finansowego. |
| --- | --- |

(75)

Ponadto dobrowolne stosowanie standardowych klauzul umownych opracowanych przez organy publiczne lub instytucje unijne, w szczególności stosowanie klauzul umownych opracowanych przez Komisję na potrzeby usług chmurowych może zapewnić dodatkowy komfort podmiotom finansowym i zewnętrznym dostawcom usług ICT poprzez zwiększenie poziomu pewności prawa w zakresie korzystania z usług chmurowych przez sektor finansowy, z zachowaniem pełnej zgodności z wymogami i oczekiwaniami określonymi w unijnych przepisach dotyczących usług finansowych. Prace służące opracowaniu standardowych klauzul umownych opierają się na środkach przewidzianych już w Planie działania w zakresie technologii finansowej z 2018 r., w którym zapowiedziano, że Komisja zamierza wspierać i ułatwiać opracowywanie standardowych klauzul umownych dotyczących korzystania z usług chmurowych na zasadzie outsourcingu przez podmioty finansowe, czerpiąc z międzysektorowych wysiłków zainteresowanych podmiotów świadczących usługi chmurowe, które Komisja ułatwiła dzięki zaangażowaniu sektora finansowego.

| (76) | Aby wesprzeć ujednolicenie i poprawę efektywności podejść w zakresie nadzoru w odniesieniu do ryzyka ze strony zewnętrznych dostawców usług ICT w sektorze finansowym oraz wzmocnić operacyjną odporność cyfrową podmiotów finansowych, które w przypadku usług ICT wspierających świadczenie usług finansowych polegają na kluczowych zewnętrznych dostawcach usług ICT, a tym samym przyczynić się do utrzymania stabilności systemu finansowego Unii oraz integralności wewnętrznego rynku usług finansowych, kluczowi zewnętrzni dostawcy usług ICT powinni być objęci unijnymi ramami nadzoru. Choć ustanowienie ram nadzoru jest uzasadnione z uwagi na wartość dodaną działań na szczeblu Unii oraz nieodłączną rolę i specyfikę korzystania z usług ICT w świadczeniu usług finansowych, należy jednocześnie przypomnieć, że rozwiązanie to wydaje się odpowiednie jedynie w kontekście niniejszego rozporządzenia, które dotyczy konkretnie operacyjnej odporności cyfrowej w sektorze finansowym. Niemniej jednak takich ram nadzoru nie należy uznawać za nowy model unijnego nadzoru w innych obszarach usług i działań finansowych. |
| --- | --- |

(76)

Aby wesprzeć ujednolicenie i poprawę efektywności podejść w zakresie nadzoru w odniesieniu do ryzyka ze strony zewnętrznych dostawców usług ICT w sektorze finansowym oraz wzmocnić operacyjną odporność cyfrową podmiotów finansowych, które w przypadku usług ICT wspierających świadczenie usług finansowych polegają na kluczowych zewnętrznych dostawcach usług ICT, a tym samym przyczynić się do utrzymania stabilności systemu finansowego Unii oraz integralności wewnętrznego rynku usług finansowych, kluczowi zewnętrzni dostawcy usług ICT powinni być objęci unijnymi ramami nadzoru. Choć ustanowienie ram nadzoru jest uzasadnione z uwagi na wartość dodaną działań na szczeblu Unii oraz nieodłączną rolę i specyfikę korzystania z usług ICT w świadczeniu usług finansowych, należy jednocześnie przypomnieć, że rozwiązanie to wydaje się odpowiednie jedynie w kontekście niniejszego rozporządzenia, które dotyczy konkretnie operacyjnej odporności cyfrowej w sektorze finansowym. Niemniej jednak takich ram nadzoru nie należy uznawać za nowy model unijnego nadzoru w innych obszarach usług i działań finansowych.

| (77) | Ramy nadzoru powinny mieć zastosowanie wyłącznie do kluczowych zewnętrznych dostawców usług ICT. Należy zatem wprowadzić mechanizm wyznaczania, aby uwzględnić wymiar i charakter zależności sektora finansowego od takich zewnętrznych dostawców usług ICT. Mechanizm ten powinien obejmować zestaw kryteriów ilościowych i jakościowych, które określałyby parametry krytyczności jako podstawę do objęcia ramami nadzoru. Aby zapewnić dokładność tej oceny i niezależnie od struktury organizacyjnej zewnętrznego dostawcy usług ICT, takie kryteria powinny – w przypadku zewnętrznego dostawcy usług ICT będącego częścią szerszej grupy – uwzględniać całą strukturę grupy tego zewnętrznego dostawcy usług ICT. Z jednej strony kluczowi zewnętrzni dostawcy usług ICT, którzy nie zostali automatycznie wyznaczeni na podstawie wspomnianych wyżej kryteriów, powinni mieć możliwość dobrowolnego przystąpienia do ram nadzoru, natomiast z drugiej strony ci zewnętrzni dostawcy usług ICT, których objęto już ramami mechanizmu nadzoru wspierającymi realizację zadań Europejskiego Systemu Banków Centralnych, o których mowa w art. 127 ust. 2 TFUE, powinni zostać zwolnieni. |
| --- | --- |

(77)

Ramy nadzoru powinny mieć zastosowanie wyłącznie do kluczowych zewnętrznych dostawców usług ICT. Należy zatem wprowadzić mechanizm wyznaczania, aby uwzględnić wymiar i charakter zależności sektora finansowego od takich zewnętrznych dostawców usług ICT. Mechanizm ten powinien obejmować zestaw kryteriów ilościowych i jakościowych, które określałyby parametry krytyczności jako podstawę do objęcia ramami nadzoru. Aby zapewnić dokładność tej oceny i niezależnie od struktury organizacyjnej zewnętrznego dostawcy usług ICT, takie kryteria powinny – w przypadku zewnętrznego dostawcy usług ICT będącego częścią szerszej grupy – uwzględniać całą strukturę grupy tego zewnętrznego dostawcy usług ICT. Z jednej strony kluczowi zewnętrzni dostawcy usług ICT, którzy nie zostali automatycznie wyznaczeni na podstawie wspomnianych wyżej kryteriów, powinni mieć możliwość dobrowolnego przystąpienia do ram nadzoru, natomiast z drugiej strony ci zewnętrzni dostawcy usług ICT, których objęto już ramami mechanizmu nadzoru wspierającymi realizację zadań Europejskiego Systemu Banków Centralnych, o których mowa w art. 127 ust. 2 TFUE, powinni zostać zwolnieni.

| (78) | Analogicznie podmioty finansowe, które świadczą usługi ICT na rzecz innych podmiotów finansowych, powinny być zwolnione z ram nadzoru – choć należą do kategorii zewnętrznych dostawców usług ICT na mocy niniejszego rozporządzenia – ponieważ podlegają już mechanizmom nadzorczym ustanowionym przez odpowiednie unijne przepisy dotyczące usług finansowych. W stosownych przypadkach w kontekście działań nadzorczych właściwe organy powinny też uwzględniać ryzyko związane z ICT dla podmiotów finansowych, które jest stwarzane przez podmioty finansowe świadczące usługi ICT. Podobnie ze względu na mechanizmy monitorowania ryzyka istniejące na poziomie grupy to samo zwolnienie powinno zostać wprowadzone względem zewnętrznych dostawców usług ICT świadczących usługi głównie na rzecz podmiotów w ramach swojej grupy. Zewnętrzni dostawcy usług ICT świadczący usługi wyłącznie w jednym państwie członkowskim na rzecz podmiotów finansowych działających tylko w tym państwie członkowskim również powinni zostać zwolnieni z mechanizmu wyznaczania ze względu na ich ograniczoną działalność i brak skutków transgranicznych. |
| --- | --- |

(78)

Analogicznie podmioty finansowe, które świadczą usługi ICT na rzecz innych podmiotów finansowych, powinny być zwolnione z ram nadzoru – choć należą do kategorii zewnętrznych dostawców usług ICT na mocy niniejszego rozporządzenia – ponieważ podlegają już mechanizmom nadzorczym ustanowionym przez odpowiednie unijne przepisy dotyczące usług finansowych. W stosownych przypadkach w kontekście działań nadzorczych właściwe organy powinny też uwzględniać ryzyko związane z ICT dla podmiotów finansowych, które jest stwarzane przez podmioty finansowe świadczące usługi ICT. Podobnie ze względu na mechanizmy monitorowania ryzyka istniejące na poziomie grupy to samo zwolnienie powinno zostać wprowadzone względem zewnętrznych dostawców usług ICT świadczących usługi głównie na rzecz podmiotów w ramach swojej grupy. Zewnętrzni dostawcy usług ICT świadczący usługi wyłącznie w jednym państwie członkowskim na rzecz podmiotów finansowych działających tylko w tym państwie członkowskim również powinni zostać zwolnieni z mechanizmu wyznaczania ze względu na ich ograniczoną działalność i brak skutków transgranicznych.

| (79) | Transformacja cyfrowa zachodząca w usługach finansowych doprowadziła do bezprecedensowego poziomu wykorzystania usług ICT i uzależnienia się od nich. Ponieważ świadczenie usług finansowych bez korzystania z usług chmurowych, rozwiązań w zakresie oprogramowania i usług związanych z danymi nie jest już możliwe, unijny ekosystem finansowy stał się wewnętrznie współzależny od pewnych usług ICT świadczonych przez dostawców usług ICT. Niektórzy z tych dostawców, innowacyjni w opracowywaniu i stosowaniu technologii opartych na ICT, odgrywają znaczącą rolę w świadczeniu usług finansowych lub zostali włączeni do łańcucha wartości usług finansowych. Tym samym mają teraz kluczowe znaczenie dla stabilności i integralności unijnego systemu finansowego. Ta powszechna zależność od usług świadczonych przez kluczowych zewnętrznych dostawców usług ICT, w połączeniu ze współzależnością systemów informacyjnych różnych podmiotów gospodarczych, tworzy bezpośrednie i potencjalnie poważne ryzyko dla unijnego systemu usług finansowych i dla ciągłości świadczenia usług finansowych, gdyby kluczowych zewnętrznych dostawców usług ICT dotknęły zakłócenia operacyjne lub poważne cyberincydenty. Cyberincydenty charakteryzują się wyjątkową zdolnością do zwielokrotniania i rozprzestrzeniania się w całym systemie finansowym w znacznie szybszym tempie niż inne rodzaje ryzyka monitorowane w sektorze finansowym oraz mogą mieć zasięg międzysektorowy i wykraczać poza granice geograficzne. Mogą przekształcić się w kryzys systemowy, w którym zaufanie do systemu finansowego zostanie podkopane w wyniku zakłócenia funkcji wspierających gospodarkę realną lub w związku ze znacznymi stratami finansowymi, i osiągnąć poziom, na którym system finansowy nie będzie w stanie przetrwać lub będzie wymagać uruchomienia poważnych środków amortyzacji wstrząsów. Aby zapobiec urzeczywistnieniu tych scenariuszy, a przez to zagrożeniu stabilności finansowej i integralności Unii, należy zapewnić spójność praktyk nadzorczych dotyczących ryzyka ze strony zewnętrznych dostawców usług ICT w sektorze finansów, w szczególności poprzez nowe przepisy umożliwiające unijny nadzór nad kluczowymi zewnętrznymi dostawcami usług ICT. |
| --- | --- |

(79)

Transformacja cyfrowa zachodząca w usługach finansowych doprowadziła do bezprecedensowego poziomu wykorzystania usług ICT i uzależnienia się od nich. Ponieważ świadczenie usług finansowych bez korzystania z usług chmurowych, rozwiązań w zakresie oprogramowania i usług związanych z danymi nie jest już możliwe, unijny ekosystem finansowy stał się wewnętrznie współzależny od pewnych usług ICT świadczonych przez dostawców usług ICT. Niektórzy z tych dostawców, innowacyjni w opracowywaniu i stosowaniu technologii opartych na ICT, odgrywają znaczącą rolę w świadczeniu usług finansowych lub zostali włączeni do łańcucha wartości usług finansowych. Tym samym mają teraz kluczowe znaczenie dla stabilności i integralności unijnego systemu finansowego. Ta powszechna zależność od usług świadczonych przez kluczowych zewnętrznych dostawców usług ICT, w połączeniu ze współzależnością systemów informacyjnych różnych podmiotów gospodarczych, tworzy bezpośrednie i potencjalnie poważne ryzyko dla unijnego systemu usług finansowych i dla ciągłości świadczenia usług finansowych, gdyby kluczowych zewnętrznych dostawców usług ICT dotknęły zakłócenia operacyjne lub poważne cyberincydenty. Cyberincydenty charakteryzują się wyjątkową zdolnością do zwielokrotniania i rozprzestrzeniania się w całym systemie finansowym w znacznie szybszym tempie niż inne rodzaje ryzyka monitorowane w sektorze finansowym oraz mogą mieć zasięg międzysektorowy i wykraczać poza granice geograficzne. Mogą przekształcić się w kryzys systemowy, w którym zaufanie do systemu finansowego zostanie podkopane w wyniku zakłócenia funkcji wspierających gospodarkę realną lub w związku ze znacznymi stratami finansowymi, i osiągnąć poziom, na którym system finansowy nie będzie w stanie przetrwać lub będzie wymagać uruchomienia poważnych środków amortyzacji wstrząsów. Aby zapobiec urzeczywistnieniu tych scenariuszy, a przez to zagrożeniu stabilności finansowej i integralności Unii, należy zapewnić spójność praktyk nadzorczych dotyczących ryzyka ze strony zewnętrznych dostawców usług ICT w sektorze finansów, w szczególności poprzez nowe przepisy umożliwiające unijny nadzór nad kluczowymi zewnętrznymi dostawcami usług ICT.

| (80) | Ramy nadzoru w dużej mierze zależą od stopnia współpracy między wiodącym organem nadzorczym i kluczowym zewnętrznym dostawcą usług ICT, który dostarcza podmiotom finansowym usługi mające wpływ na świadczenie usług finansowych. Skuteczny nadzór opiera się m.in. na zdolności wiodącego organu nadzorczego do skutecznego przeprowadzania misji monitorujących i kontroli w celu oceny zasad, mechanizmów kontroli i procesów stosowanych przez kluczowych zewnętrznych dostawców usług ICT, a także potencjalnego skumulowanego wpływu ich działań na stabilność finansową i integralność systemu finansowego. Jednocześnie podstawowe znaczenie ma to, by kluczowi zewnętrzni dostawcy usług ICT stosowali się do zaleceń wiodącego organu nadzorczego i reagowali na jego uwagi. Ponieważ brak współpracy ze strony kluczowych zewnętrznych dostawców usług ICT dostarczających usługi mające wpływ na świadczenie usług finansowych, np. odmowa udzielenia dostępu do ich pomieszczeń lub przedłożenia informacji, ostatecznie skutkowałby sytuacją, w której wiodący organ nadzorczy zostałby pozbawiony podstawowych narzędzi umożliwiających ocenę ryzyka ze strony zewnętrznych dostawców usług ICT, i mógłby mieć negatywny wpływ na stabilność finansową i integralność systemu finansowego, należy też przewidzieć adekwatny system kar. |
| --- | --- |

(80)

Ramy nadzoru w dużej mierze zależą od stopnia współpracy między wiodącym organem nadzorczym i kluczowym zewnętrznym dostawcą usług ICT, który dostarcza podmiotom finansowym usługi mające wpływ na świadczenie usług finansowych. Skuteczny nadzór opiera się m.in. na zdolności wiodącego organu nadzorczego do skutecznego przeprowadzania misji monitorujących i kontroli w celu oceny zasad, mechanizmów kontroli i procesów stosowanych przez kluczowych zewnętrznych dostawców usług ICT, a także potencjalnego skumulowanego wpływu ich działań na stabilność finansową i integralność systemu finansowego. Jednocześnie podstawowe znaczenie ma to, by kluczowi zewnętrzni dostawcy usług ICT stosowali się do zaleceń wiodącego organu nadzorczego i reagowali na jego uwagi. Ponieważ brak współpracy ze strony kluczowych zewnętrznych dostawców usług ICT dostarczających usługi mające wpływ na świadczenie usług finansowych, np. odmowa udzielenia dostępu do ich pomieszczeń lub przedłożenia informacji, ostatecznie skutkowałby sytuacją, w której wiodący organ nadzorczy zostałby pozbawiony podstawowych narzędzi umożliwiających ocenę ryzyka ze strony zewnętrznych dostawców usług ICT, i mógłby mieć negatywny wpływ na stabilność finansową i integralność systemu finansowego, należy też przewidzieć adekwatny system kar.

| (81) | W tym kontekście trudności związane z egzekwowaniem tych kar pieniężnych od kluczowych zewnętrznych dostawców usług ICT mających siedzibę w państwach trzecich nie mogą uniemożliwiać nałożenia przez wiodący organ nadzorczy kar pieniężnych w celu zmuszenia kluczowych zewnętrznych dostawców usług ICT do wypełnienia obowiązków w zakresie przejrzystości i dostępu określonych w niniejszym rozporządzeniu. Aby zapewnić możliwość wyegzekwowania takich kar oraz umożliwić szybkie uruchomienie procedur gwarantujących prawa kluczowych zewnętrznych dostawców usług ICT do obrony w kontekście mechanizmu wyznaczania i wydawania zaleceń, kluczowi zewnętrzni dostawcy usług ICT świadczący usługi podmiotom finansowym mające wpływ na świadczenie usług finansowych powinni być zobowiązani do utrzymywania odpowiedniej obecności biznesowej w Unii. Ze względu na charakter nadzoru i brak porównywalnych ustaleń w innych jurysdykcjach nie istnieją odpowiednie alternatywne mechanizmy zapewniające osiągnięcie tego celu poprzez skuteczną współpracę z organami nadzoru finansowego w państwach trzecich w odniesieniu do monitorowania wpływu cyfrowego ryzyka operacyjnego ze strony systemowych zewnętrznych dostawców usług ICT kwalifikujących się jako kluczowi zewnętrzni dostawcy usług ICT mający siedzibę w państwach trzecich. W związku z tym, aby móc dalej świadczyć usługi ICT na rzecz podmiotów finansowych w Unii, zewnętrzni dostawcy usług ICT mający siedzibę w państwach trzecich, wyznaczeni jako kluczowi zgodnie z niniejszym rozporządzeniem powinni w ciągu 12 miesięcy od takiego wyznaczenia podjąć wszelkie działania niezbędne do uzyskania zdolności prawnej wewnątrz Unii w drodze ustanowienia jednostki zależnej, zgodnie z definicją zawartą w unijnym dorobku prawnym, a mianowicie w dyrektywie Parlamentu Europejskiego i Rady 2013/34/UE (21). |
| --- | --- |

(81)

W tym kontekście trudności związane z egzekwowaniem tych kar pieniężnych od kluczowych zewnętrznych dostawców usług ICT mających siedzibę w państwach trzecich nie mogą uniemożliwiać nałożenia przez wiodący organ nadzorczy kar pieniężnych w celu zmuszenia kluczowych zewnętrznych dostawców usług ICT do wypełnienia obowiązków w zakresie przejrzystości i dostępu określonych w niniejszym rozporządzeniu. Aby zapewnić możliwość wyegzekwowania takich kar oraz umożliwić szybkie uruchomienie procedur gwarantujących prawa kluczowych zewnętrznych dostawców usług ICT do obrony w kontekście mechanizmu wyznaczania i wydawania zaleceń, kluczowi zewnętrzni dostawcy usług ICT świadczący usługi podmiotom finansowym mające wpływ na świadczenie usług finansowych powinni być zobowiązani do utrzymywania odpowiedniej obecności biznesowej w Unii. Ze względu na charakter nadzoru i brak porównywalnych ustaleń w innych jurysdykcjach nie istnieją odpowiednie alternatywne mechanizmy zapewniające osiągnięcie tego celu poprzez skuteczną współpracę z organami nadzoru finansowego w państwach trzecich w odniesieniu do monitorowania wpływu cyfrowego ryzyka operacyjnego ze strony systemowych zewnętrznych dostawców usług ICT kwalifikujących się jako kluczowi zewnętrzni dostawcy usług ICT mający siedzibę w państwach trzecich. W związku z tym, aby móc dalej świadczyć usługi ICT na rzecz podmiotów finansowych w Unii, zewnętrzni dostawcy usług ICT mający siedzibę w państwach trzecich, wyznaczeni jako kluczowi zgodnie z niniejszym rozporządzeniem powinni w ciągu 12 miesięcy od takiego wyznaczenia podjąć wszelkie działania niezbędne do uzyskania zdolności prawnej wewnątrz Unii w drodze ustanowienia jednostki zależnej, zgodnie z definicją zawartą w unijnym dorobku prawnym, a mianowicie w dyrektywie Parlamentu Europejskiego i Rady 2013/34/UE (21).

| (82) | Wymóg utworzenia jednostki zależnej w Unii nie powinien uniemożliwiać kluczowemu zewnętrznemu dostawcy usług ICT świadczenia usług ICT i powiązanego wsparcia technicznego z obiektów i infrastruktury znajdującej się poza Unią. Niniejsze rozporządzenie nie nakłada obowiązku lokalizacji danych, ponieważ nie nakłada wymogu, by czynności przechowywania i przetwarzania danych były przeprowadzane w Unii. |
| --- | --- |

(82)

Wymóg utworzenia jednostki zależnej w Unii nie powinien uniemożliwiać kluczowemu zewnętrznemu dostawcy usług ICT świadczenia usług ICT i powiązanego wsparcia technicznego z obiektów i infrastruktury znajdującej się poza Unią. Niniejsze rozporządzenie nie nakłada obowiązku lokalizacji danych, ponieważ nie nakłada wymogu, by czynności przechowywania i przetwarzania danych były przeprowadzane w Unii.

| (83) | Kluczowi zewnętrzni dostawcy usług ICT powinni mieć możliwość świadczenia usług ICT z dowolnego miejsca na świecie, niekoniecznie lub nie tylko z obiektów znajdujących się w Unii. Działania nadzorcze powinny być prowadzone w pierwszej kolejności w obiektach znajdujących się w Unii i poprzez kontakty z podmiotami znajdującymi się w Unii, w tym w jednostkach zależnych ustanowionych przez kluczowych zewnętrznych dostawców usług ICT zgodnie z niniejszym rozporządzeniem. Niemniej jednak takie działania wewnątrz Unii mogą być niewystarczające, by wiodący organ nadzorczy mógł w pełni i skutecznie wykonywać swoje obowiązki wynikające z niniejszego rozporządzenia. Wiodący organ nadzorczy powinien zatem mieć również możliwość wykonywania swoich odpowiednich uprawnień nadzorczych w państwach trzecich. Wykonywanie tych uprawnień w państwach trzecich powinno umożliwić wiodącemu organowi nadzorczemu zbadanie obiektów, z których kluczowy zewnętrzny dostawca usług ICT faktycznie świadczy usługi ICT lub usługi wsparcia technicznego lub nimi zarządza, i powinno pozwolić wiodącemu organowi nadzorczemu na kompleksowy ogląd i zrozumienie – pod kątem operacyjnym – sposobu, w jaki dany dostawca usług ICT zarządza ryzykiem związanym z ICT. Możliwość wykonywania przez wiodący organ nadzorczy – jako agencję unijną – uprawnień poza terytorium Unii powinna być należycie ustrukturyzowana i obwarowana stosownymi warunkami, w szczególności chodzi tu o zgodę ze strony danego kluczowego zewnętrznego dostawcy usług ICT. Podobnie odpowiednie organy państwa trzeciego powinny być poinformowane i nie wyrażać sprzeciwu w odniesieniu do działań wiodącego organu nadzorczego wykonywanych na ich terytorium. Aby jednak zapewnić skuteczne wdrożenie i bez uszczerbku dla odpowiednich kompetencji instytucji Unii i państw członkowskich, takie uprawnienia muszą też być w pełni zakorzenione w porozumieniach o współpracy administracyjnej zawartych z odpowiednimi organami danego państwa trzeciego. Niniejsze rozporządzenie powinno zatem umożliwić EUN zawieranie porozumień o współpracy administracyjnej z odpowiednimi organami państw trzecich, które w żaden sposób nie powinny tworzyć zobowiązań prawnych w odniesieniu do Unii i jej państw członkowskich. |
| --- | --- |

(83)

Kluczowi zewnętrzni dostawcy usług ICT powinni mieć możliwość świadczenia usług ICT z dowolnego miejsca na świecie, niekoniecznie lub nie tylko z obiektów znajdujących się w Unii. Działania nadzorcze powinny być prowadzone w pierwszej kolejności w obiektach znajdujących się w Unii i poprzez kontakty z podmiotami znajdującymi się w Unii, w tym w jednostkach zależnych ustanowionych przez kluczowych zewnętrznych dostawców usług ICT zgodnie z niniejszym rozporządzeniem. Niemniej jednak takie działania wewnątrz Unii mogą być niewystarczające, by wiodący organ nadzorczy mógł w pełni i skutecznie wykonywać swoje obowiązki wynikające z niniejszego rozporządzenia. Wiodący organ nadzorczy powinien zatem mieć również możliwość wykonywania swoich odpowiednich uprawnień nadzorczych w państwach trzecich. Wykonywanie tych uprawnień w państwach trzecich powinno umożliwić wiodącemu organowi nadzorczemu zbadanie obiektów, z których kluczowy zewnętrzny dostawca usług ICT faktycznie świadczy usługi ICT lub usługi wsparcia technicznego lub nimi zarządza, i powinno pozwolić wiodącemu organowi nadzorczemu na kompleksowy ogląd i zrozumienie – pod kątem operacyjnym – sposobu, w jaki dany dostawca usług ICT zarządza ryzykiem związanym z ICT. Możliwość wykonywania przez wiodący organ nadzorczy – jako agencję unijną – uprawnień poza terytorium Unii powinna być należycie ustrukturyzowana i obwarowana stosownymi warunkami, w szczególności chodzi tu o zgodę ze strony danego kluczowego zewnętrznego dostawcy usług ICT. Podobnie odpowiednie organy państwa trzeciego powinny być poinformowane i nie wyrażać sprzeciwu w odniesieniu do działań wiodącego organu nadzorczego wykonywanych na ich terytorium. Aby jednak zapewnić skuteczne wdrożenie i bez uszczerbku dla odpowiednich kompetencji instytucji Unii i państw członkowskich, takie uprawnienia muszą też być w pełni zakorzenione w porozumieniach o współpracy administracyjnej zawartych z odpowiednimi organami danego państwa trzeciego. Niniejsze rozporządzenie powinno zatem umożliwić EUN zawieranie porozumień o współpracy administracyjnej z odpowiednimi organami państw trzecich, które w żaden sposób nie powinny tworzyć zobowiązań prawnych w odniesieniu do Unii i jej państw członkowskich.

| (84) | Aby ułatwić komunikację z wiodącym organem nadzorczym i zapewnić odpowiednią reprezentację, kluczowi zewnętrzni dostawcy usług ICT będący częścią grupy powinni wyznaczyć jedną osobę prawną jako swój punkt koordynacyjny. |
| --- | --- |

(84)

Aby ułatwić komunikację z wiodącym organem nadzorczym i zapewnić odpowiednią reprezentację, kluczowi zewnętrzni dostawcy usług ICT będący częścią grupy powinni wyznaczyć jedną osobę prawną jako swój punkt koordynacyjny.

| (85) | Ramy nadzoru powinny pozostawać bez uszczerbku dla kompetencji państw członkowskich, jeżeli chodzi o prowadzenie własnych misji w zakresie sprawowania nadzoru lub monitorowania w odniesieniu do zewnętrznych dostawców usług ICT, których nie wyznaczono jako kluczowych na mocy niniejszego rozporządzenia, ale którzy są uznawani za istotnych na szczeblu krajowym. |
| --- | --- |

(85)

Ramy nadzoru powinny pozostawać bez uszczerbku dla kompetencji państw członkowskich, jeżeli chodzi o prowadzenie własnych misji w zakresie sprawowania nadzoru lub monitorowania w odniesieniu do zewnętrznych dostawców usług ICT, których nie wyznaczono jako kluczowych na mocy niniejszego rozporządzenia, ale którzy są uznawani za istotnych na szczeblu krajowym.

| (86) | Aby wykorzystać wielowarstwową strukturę instytucjonalną w obszarze usług finansowych, Wspólny Komitet EUN powinien nadal zapewniać ogólną międzysektorową koordynację w odniesieniu do wszystkich kwestii dotyczących ryzyka związanego z ICT, zgodnie ze swoimi zadaniami w zakresie cyberbezpieczeństwa. Powinien być wspierany przez nowy podkomitet (zwany dalej „forum nadzoru”), który będzie prowadził prace przygotowawcze zarówno w zakresie indywidualnych decyzji skierowanych do kluczowych zewnętrznych dostawców usług ICT, jak i wydawania zbiorowych zaleceń, w szczególności w odniesieniu do analizy porównawczej programów dotyczących sprawowania nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT, a także określania najlepszych praktyk w zakresie rozwiązywania problemów związanych z ryzykiem koncentracji w obszarze ICT. |
| --- | --- |

(86)

Aby wykorzystać wielowarstwową strukturę instytucjonalną w obszarze usług finansowych, Wspólny Komitet EUN powinien nadal zapewniać ogólną międzysektorową koordynację w odniesieniu do wszystkich kwestii dotyczących ryzyka związanego z ICT, zgodnie ze swoimi zadaniami w zakresie cyberbezpieczeństwa. Powinien być wspierany przez nowy podkomitet (zwany dalej „forum nadzoru”), który będzie prowadził prace przygotowawcze zarówno w zakresie indywidualnych decyzji skierowanych do kluczowych zewnętrznych dostawców usług ICT, jak i wydawania zbiorowych zaleceń, w szczególności w odniesieniu do analizy porównawczej programów dotyczących sprawowania nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT, a także określania najlepszych praktyk w zakresie rozwiązywania problemów związanych z ryzykiem koncentracji w obszarze ICT.

| (87) | Aby zapewnić odpowiedni i skuteczny nadzór nad kluczowymi zewnętrznymi dostawcami usług ICT na szczeblu Unii, w niniejszym rozporządzeniu przewidziano, że dowolny z trzech EUN może zostać wyznaczony jako wiodący organ nadzorczy. Przypisanie poszczególnych kluczowych zewnętrznych dostawców usług ICT jednemu z trzech EUN powinno być oparte na ocenie tego, w którym sektorze finansowym dane podmioty finansowe przeważają i któremu z EUN sektor ten podlega. Podejście to powinno prowadzić do zrównoważonego podziału zadań i obowiązków między trzema EUN w kontekście sprawowania funkcji nadzorczych oraz powinno możliwie najlepiej wykorzystywać zasoby kadrowe i specjalistyczną wiedzę techniczną dostępne w każdym z trzech EUN. |
| --- | --- |

(87)

Aby zapewnić odpowiedni i skuteczny nadzór nad kluczowymi zewnętrznymi dostawcami usług ICT na szczeblu Unii, w niniejszym rozporządzeniu przewidziano, że dowolny z trzech EUN może zostać wyznaczony jako wiodący organ nadzorczy. Przypisanie poszczególnych kluczowych zewnętrznych dostawców usług ICT jednemu z trzech EUN powinno być oparte na ocenie tego, w którym sektorze finansowym dane podmioty finansowe przeważają i któremu z EUN sektor ten podlega. Podejście to powinno prowadzić do zrównoważonego podziału zadań i obowiązków między trzema EUN w kontekście sprawowania funkcji nadzorczych oraz powinno możliwie najlepiej wykorzystywać zasoby kadrowe i specjalistyczną wiedzę techniczną dostępne w każdym z trzech EUN.

| (88) | Wiodącym organom nadzorczym należy powierzyć niezbędne uprawnienia do prowadzenia dochodzeń, przeprowadzania kontroli na miejscu i kontroli zdalnych w obiektach i lokalizacjach kluczowych zewnętrznych dostawców usług ICT oraz uzyskiwania pełnych i aktualnych informacji. Uprawnienia te powinny umożliwić wiodącym organom nadzorczym uzyskanie rzeczywistego wglądu w rodzaj, wymiar i wpływ ryzyka ze strony zewnętrznych dostawców usług ICT dla podmiotów finansowych i ostatecznie dla systemu finansowego Unii. Powierzenie EUN roli wiodących organów nadzorczych jest jednym z warunków wstępnych do zrozumienia i wyeliminowania systemowego wymiaru ryzyka związanego z ICT w sektorze finansów. Wpływ kluczowych zewnętrznych dostawców usług ICT na unijny sektor finansowy oraz potencjalne problemy wynikające z powiązanym ryzykiem koncentracji w obszarze ICT wymagają przyjęcia wspólnego podejścia na szczeblu Unii. Jednoczesne przeprowadzanie licznych audytów i korzystanie z praw dostępu, wykonywane osobno przez szereg właściwych organów, przy niewielkiej lub braku jakiejkolwiek koordynacji pomiędzy nimi, uniemożliwiłoby organom nadzoru finansowego uzyskanie pełnego i kompleksowego przeglądu ryzyka ze strony zewnętrznych dostawców usług ICT w Unii, powodując też przy tym redundancję, obciążenie i złożoność na poziomie kluczowych zewnętrznych dostawców usług ICT, gdyby zostali oni objęci dużą liczbą wniosków o monitorowanie i kontrolę. |
| --- | --- |

(88)

Wiodącym organom nadzorczym należy powierzyć niezbędne uprawnienia do prowadzenia dochodzeń, przeprowadzania kontroli na miejscu i kontroli zdalnych w obiektach i lokalizacjach kluczowych zewnętrznych dostawców usług ICT oraz uzyskiwania pełnych i aktualnych informacji. Uprawnienia te powinny umożliwić wiodącym organom nadzorczym uzyskanie rzeczywistego wglądu w rodzaj, wymiar i wpływ ryzyka ze strony zewnętrznych dostawców usług ICT dla podmiotów finansowych i ostatecznie dla systemu finansowego Unii. Powierzenie EUN roli wiodących organów nadzorczych jest jednym z warunków wstępnych do zrozumienia i wyeliminowania systemowego wymiaru ryzyka związanego z ICT w sektorze finansów. Wpływ kluczowych zewnętrznych dostawców usług ICT na unijny sektor finansowy oraz potencjalne problemy wynikające z powiązanym ryzykiem koncentracji w obszarze ICT wymagają przyjęcia wspólnego podejścia na szczeblu Unii. Jednoczesne przeprowadzanie licznych audytów i korzystanie z praw dostępu, wykonywane osobno przez szereg właściwych organów, przy niewielkiej lub braku jakiejkolwiek koordynacji pomiędzy nimi, uniemożliwiłoby organom nadzoru finansowego uzyskanie pełnego i kompleksowego przeglądu ryzyka ze strony zewnętrznych dostawców usług ICT w Unii, powodując też przy tym redundancję, obciążenie i złożoność na poziomie kluczowych zewnętrznych dostawców usług ICT, gdyby zostali oni objęci dużą liczbą wniosków o monitorowanie i kontrolę.

| (89) | Ze względu na to, że dla konkretnego dostawcy fakt bycia wyznaczonym jako kluczowy zewnętrzny dostawca usług ICT niesie za sobą poważne konsekwencje, niniejsze rozporządzenie powinno zapewniać przestrzeganie praw kluczowych zewnętrznych dostawców usług ICT w całym okresie wdrażania ram nadzoru. Zanim dostawcy zostaną wyznaczeni jako kluczowi, powinni oni przykładowo mieć prawo przedłożyć wiodącemu organowi nadzorczemu uzasadnione oświadczenie zawierające wszelkie istotne informacje na potrzeby oceny związanej z ich wyznaczeniem. W związku z tym, że wiodący organ nadzorczy powinien być uprawniony do przedstawiania zaleceń w zakresie ryzyka związanego z ICT oraz odpowiednich środków zaradczych, w tym prawa do sprzeciwiania się określonym ustaleniom umownym, które ostatecznie wpływają na stabilność podmiotu finansowego lub systemu finansowego, przed finalizacją tych zaleceń kluczowi dostawcy usług ICT również powinni mieć możliwość przedstawienia wyjaśnień dotyczących spodziewanego wpływu rozwiązań proponowanych w tych zaleceniach na klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia i zaproponowania rozwiązań służących łagodzeniu ryzyka. Kluczowi dostawcy usług ICT, którzy nie zgadzają się z zaleceniami, również przedstawić uzasadnione wyjaśnienie powodów, dla których nie zamierzają przyjąć danego zalecenia. W przypadku gdy nieprzedstawienia takiego uzasadnienia lub uznania przedstawionego uzasadnienia za niewystarczające, wiodący organ nadzorczy powinien wydać publiczne ogłoszenie opisujące zwięźle kwestię niezgodności. |
| --- | --- |

(89)

Ze względu na to, że dla konkretnego dostawcy fakt bycia wyznaczonym jako kluczowy zewnętrzny dostawca usług ICT niesie za sobą poważne konsekwencje, niniejsze rozporządzenie powinno zapewniać przestrzeganie praw kluczowych zewnętrznych dostawców usług ICT w całym okresie wdrażania ram nadzoru. Zanim dostawcy zostaną wyznaczeni jako kluczowi, powinni oni przykładowo mieć prawo przedłożyć wiodącemu organowi nadzorczemu uzasadnione oświadczenie zawierające wszelkie istotne informacje na potrzeby oceny związanej z ich wyznaczeniem. W związku z tym, że wiodący organ nadzorczy powinien być uprawniony do przedstawiania zaleceń w zakresie ryzyka związanego z ICT oraz odpowiednich środków zaradczych, w tym prawa do sprzeciwiania się określonym ustaleniom umownym, które ostatecznie wpływają na stabilność podmiotu finansowego lub systemu finansowego, przed finalizacją tych zaleceń kluczowi dostawcy usług ICT również powinni mieć możliwość przedstawienia wyjaśnień dotyczących spodziewanego wpływu rozwiązań proponowanych w tych zaleceniach na klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia i zaproponowania rozwiązań służących łagodzeniu ryzyka. Kluczowi dostawcy usług ICT, którzy nie zgadzają się z zaleceniami, również przedstawić uzasadnione wyjaśnienie powodów, dla których nie zamierzają przyjąć danego zalecenia. W przypadku gdy nieprzedstawienia takiego uzasadnienia lub uznania przedstawionego uzasadnienia za niewystarczające, wiodący organ nadzorczy powinien wydać publiczne ogłoszenie opisujące zwięźle kwestię niezgodności.

| (90) | Właściwe organy powinny mieć za zadanie sprawdzenie tego, czy zalecenia wydane przez wiodący organ nadzorczy w ramach jego funkcji dotyczących nadzoru ostrożnościowego nad podmiotami finansowymi są przestrzegane pod kątem merytorycznym. Właściwe organy powinny mieć możliwość wymagania od podmiotów finansowych, by te podjęły dodatkowe środki w celu zwalczania ryzyka stwierdzonego w zaleceniach wiodącego organu nadzorczego, oraz we właściwym czasie powinny wydać stosowne zawiadomienia. W przypadku gdy wiodący organ nadzorczy kieruje zalecenia do kluczowych zewnętrznych dostawców usług ICT, którzy podlegają nadzorowi na mocy dyrektywy (UE) 2022/2555, właściwe organy powinny mieć możliwość skonsultowania się, na zasadzie dobrowolności i przed przyjęciem dodatkowych środków, z właściwymi organami na mocy tej dyrektywy w celu przyjęcia skoordynowanego podejścia do danych kluczowych zewnętrznych dostawców usług ICT. |
| --- | --- |

(90)

Właściwe organy powinny mieć za zadanie sprawdzenie tego, czy zalecenia wydane przez wiodący organ nadzorczy w ramach jego funkcji dotyczących nadzoru ostrożnościowego nad podmiotami finansowymi są przestrzegane pod kątem merytorycznym. Właściwe organy powinny mieć możliwość wymagania od podmiotów finansowych, by te podjęły dodatkowe środki w celu zwalczania ryzyka stwierdzonego w zaleceniach wiodącego organu nadzorczego, oraz we właściwym czasie powinny wydać stosowne zawiadomienia. W przypadku gdy wiodący organ nadzorczy kieruje zalecenia do kluczowych zewnętrznych dostawców usług ICT, którzy podlegają nadzorowi na mocy dyrektywy (UE) 2022/2555, właściwe organy powinny mieć możliwość skonsultowania się, na zasadzie dobrowolności i przed przyjęciem dodatkowych środków, z właściwymi organami na mocy tej dyrektywy w celu przyjęcia skoordynowanego podejścia do danych kluczowych zewnętrznych dostawców usług ICT.

| (91) | Sprawowanie nadzoru powinno opierać się na trzech zasadach operacyjnych mających na celu zapewnienie: a) ścisłej koordynacji pomiędzy EUN działającymi jako wiodący organ nadzorczy, poprzez wspólną sieć nadzoru, b) spójności z ramami ustanowionymi dyrektywą (UE) 2022/2555 (poprzez dobrowolne konsultacje z organami na mocy tej dyrektywy w celu uniknięcia powielania środków ukierunkowanych na kluczowych zewnętrznych dostawców usług ICT), oraz c) staranności w celu zminimalizowania potencjalnego ryzyka zakłócenia usług świadczonych przez kluczowych dostawców usług ICT na rzecz klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia. |
| --- | --- |

(91)

Sprawowanie nadzoru powinno opierać się na trzech zasadach operacyjnych mających na celu zapewnienie: a) ścisłej koordynacji pomiędzy EUN działającymi jako wiodący organ nadzorczy, poprzez wspólną sieć nadzoru, b) spójności z ramami ustanowionymi dyrektywą (UE) 2022/2555 (poprzez dobrowolne konsultacje z organami na mocy tej dyrektywy w celu uniknięcia powielania środków ukierunkowanych na kluczowych zewnętrznych dostawców usług ICT), oraz c) staranności w celu zminimalizowania potencjalnego ryzyka zakłócenia usług świadczonych przez kluczowych dostawców usług ICT na rzecz klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia.

| (92) | Ramy nadzoru nie powinny zastępować, ani w żaden sposób lub w żadnej części stanowić zamiennika obowiązku zarządzania przez podmioty finansowe ryzykiem wynikającym z korzystania z zewnętrznych dostawców usług ICT, w tym obowiązku bieżącego monitorowania ustaleń umownych uzgodnionych z kluczowymi zewnętrznymi dostawcami usług ICT. Analogicznie ramy nadzoru nie powinny mieć wpływu na pełną odpowiedzialność podmiotów finansowych za przestrzeganie i wywiązywanie się ze wszystkich zobowiązań prawnych ustanowionych w niniejszym rozporządzeniu i w odpowiednich przepisach dotyczących usług finansowych. |
| --- | --- |

(92)

Ramy nadzoru nie powinny zastępować, ani w żaden sposób lub w żadnej części stanowić zamiennika obowiązku zarządzania przez podmioty finansowe ryzykiem wynikającym z korzystania z zewnętrznych dostawców usług ICT, w tym obowiązku bieżącego monitorowania ustaleń umownych uzgodnionych z kluczowymi zewnętrznymi dostawcami usług ICT. Analogicznie ramy nadzoru nie powinny mieć wpływu na pełną odpowiedzialność podmiotów finansowych za przestrzeganie i wywiązywanie się ze wszystkich zobowiązań prawnych ustanowionych w niniejszym rozporządzeniu i w odpowiednich przepisach dotyczących usług finansowych.

| (93) | Aby uniknąć powielania i nakładania się działań, właściwe organy powinny powstrzymać się od samodzielnego podejmowania jakichkolwiek środków mających na celu monitorowanie ryzyka ze strony kluczowych zewnętrznych dostawców usług ICT i w tym względzie powinny opierać się na ocenie odpowiednich wiodących organów nadzorczych. W każdym przypadku wszelkie środki należy uprzednio skoordynować i uzgodnić z danymi wiodącymi organami nadzorczymi w kontekście wykonywania zadań objętych ramami nadzoru. |
| --- | --- |

(93)

Aby uniknąć powielania i nakładania się działań, właściwe organy powinny powstrzymać się od samodzielnego podejmowania jakichkolwiek środków mających na celu monitorowanie ryzyka ze strony kluczowych zewnętrznych dostawców usług ICT i w tym względzie powinny opierać się na ocenie odpowiednich wiodących organów nadzorczych. W każdym przypadku wszelkie środki należy uprzednio skoordynować i uzgodnić z danymi wiodącymi organami nadzorczymi w kontekście wykonywania zadań objętych ramami nadzoru.

| (94) | Aby wspierać ujednolicenie na szczeblu międzynarodowym stosowania najlepszych praktyk, które mają być stosowane przy dokonywaniu przeglądu i monitorowaniu cyfrowego zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT, należy zachęcać EUN do zawierania porozumień o współpracy z odpowiednimi organami nadzoru i organami regulacyjnymi państw trzecich. |
| --- | --- |

(94)

Aby wspierać ujednolicenie na szczeblu międzynarodowym stosowania najlepszych praktyk, które mają być stosowane przy dokonywaniu przeglądu i monitorowaniu cyfrowego zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT, należy zachęcać EUN do zawierania porozumień o współpracy z odpowiednimi organami nadzoru i organami regulacyjnymi państw trzecich.

| (95) | Aby wykorzystać szczególne kompetencje, umiejętności techniczne i wiedzę pracowników specjalizujących się w ryzyku operacyjnym i ryzyku związanym z ICT w ramach właściwych organów, trzy EUN oraz – na zasadzie dobrowolności – właściwe organy na mocy dyrektywy (UE) 2022/2555 i wiodący organ nadzorczy powinny korzystać z umiejętności i wiedzy poszczególnych krajów w zakresie nadzoru i ustanowić specjalne zespoły ds. kontroli dla każdego z poszczególnych kluczowych zewnętrznych dostawców usług ICT, łącząc multidyscyplinarne zespoły w celu wspierania zarówno przygotowania, jak i realizacji działań nadzorczych, w tym dochodzeń ogólnych i kontroli u kluczowych zewnętrznych dostawców usług ICT, a także z myślą o wszelkich niezbędnych działaniach następczych. |
| --- | --- |

(95)

Aby wykorzystać szczególne kompetencje, umiejętności techniczne i wiedzę pracowników specjalizujących się w ryzyku operacyjnym i ryzyku związanym z ICT w ramach właściwych organów, trzy EUN oraz – na zasadzie dobrowolności – właściwe organy na mocy dyrektywy (UE) 2022/2555 i wiodący organ nadzorczy powinny korzystać z umiejętności i wiedzy poszczególnych krajów w zakresie nadzoru i ustanowić specjalne zespoły ds. kontroli dla każdego z poszczególnych kluczowych zewnętrznych dostawców usług ICT, łącząc multidyscyplinarne zespoły w celu wspierania zarówno przygotowania, jak i realizacji działań nadzorczych, w tym dochodzeń ogólnych i kontroli u kluczowych zewnętrznych dostawców usług ICT, a także z myślą o wszelkich niezbędnych działaniach następczych.

| (96) | Choć koszty wynikające z zadań nadzorczych byłyby w pełni finansowane z opłat pobieranych od kluczowych zewnętrznych dostawców usług ICT, EUN prawdopodobnie poniosą, przed rozpoczęciem obowiązywania ram nadzoru, koszty wdrożenia specjalnych systemów ICT wspierających przyszły nadzór, ponieważ specjalne systemy ICT musiałyby zostać wcześniej opracowane i wdrożone. W związku z tym niniejsze rozporządzenie przewiduje model finansowania hybrydowego, w ramach którego ramy nadzoru jako takie byłyby w całości finansowane z opłat, a opracowywanie systemów ICT w EUN byłoby finansowane ze środków unijnych i wkładów wnoszonych przez właściwe organy krajowe. |
| --- | --- |

(96)

Choć koszty wynikające z zadań nadzorczych byłyby w pełni finansowane z opłat pobieranych od kluczowych zewnętrznych dostawców usług ICT, EUN prawdopodobnie poniosą, przed rozpoczęciem obowiązywania ram nadzoru, koszty wdrożenia specjalnych systemów ICT wspierających przyszły nadzór, ponieważ specjalne systemy ICT musiałyby zostać wcześniej opracowane i wdrożone. W związku z tym niniejsze rozporządzenie przewiduje model finansowania hybrydowego, w ramach którego ramy nadzoru jako takie byłyby w całości finansowane z opłat, a opracowywanie systemów ICT w EUN byłoby finansowane ze środków unijnych i wkładów wnoszonych przez właściwe organy krajowe.

| (97) | Właściwe organy powinny posiadać wszelkie wymagane uprawnienia w zakresie sprawowania nadzoru, prowadzenia dochodzeń i nakładania kar, aby zapewnić prawidłowe wykonywanie obowiązków spoczywających na nich na mocy niniejszego rozporządzenia. Powinny one co do zasady publikować zawiadomienia o nakładanych karach administracyjnych. Ponieważ podmioty finansowe i zewnętrzni dostawcy usług ICT mogą mieć siedziby w różnych państwach członkowskich oraz podlegać nadzorowi różnych właściwych organów, należy ułatwić stosowanie niniejszego rozporządzenia, z jednej strony, poprzez ścisłą współpracę pomiędzy odpowiednimi właściwymi organami, w tym EBC w zakresie zadań szczególnych powierzonych mu na mocy rozporządzenia Rady (UE) nr 1024/2013, oraz, z drugiej strony, poprzez konsultacje z EUN w drodze wzajemnej wymiany informacji i dzięki zapewnieniu pomocy w kontekście odpowiedniej działalności nadzorczej. |
| --- | --- |

(97)

Właściwe organy powinny posiadać wszelkie wymagane uprawnienia w zakresie sprawowania nadzoru, prowadzenia dochodzeń i nakładania kar, aby zapewnić prawidłowe wykonywanie obowiązków spoczywających na nich na mocy niniejszego rozporządzenia. Powinny one co do zasady publikować zawiadomienia o nakładanych karach administracyjnych. Ponieważ podmioty finansowe i zewnętrzni dostawcy usług ICT mogą mieć siedziby w różnych państwach członkowskich oraz podlegać nadzorowi różnych właściwych organów, należy ułatwić stosowanie niniejszego rozporządzenia, z jednej strony, poprzez ścisłą współpracę pomiędzy odpowiednimi właściwymi organami, w tym EBC w zakresie zadań szczególnych powierzonych mu na mocy rozporządzenia Rady (UE) nr 1024/2013, oraz, z drugiej strony, poprzez konsultacje z EUN w drodze wzajemnej wymiany informacji i dzięki zapewnieniu pomocy w kontekście odpowiedniej działalności nadzorczej.

| (98) | W celu dalszego ilościowego i jakościowego określenia kryteriów wyznaczania kluczowych zewnętrznych dostawców usług ICT oraz ujednolicenia opłat z tytułu nadzoru, należy przekazać Komisji uprawnienia do przyjmowania aktów zgodnie z art. 290 TFUE, aby uzupełnić niniejsze rozporządzenie w odniesieniu do bardziej szczegółowego określenia skutków systemowych, jakie awaria lub przestój operacyjny zewnętrznego dostawcy usług ICT mogłyby mieć dla podmiotów finansowych, na rzecz których świadczy usługi, liczby globalnych instytucji o znaczeniu systemowym lub innych instytucji o znaczeniu systemowym, które polegają na danym zewnętrznym dostawcy usług ICT, liczby zewnętrznych dostawców usług ICT działających na danym rynku, kosztów migracji danych i nakładów pracy w zakresie ICT do innych zewnętrznych dostawców usług ICT, a także wysokości opłat z tytułu nadzoru oraz sposobu ich uiszczania. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby były one prowadzone zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa (22). W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te powinny otrzymywać wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji powinni systematycznie brać udział w posiedzeniach grup eksperckich Komisji zajmujących się przygotowaniem aktów delegowanych. |
| --- | --- |

(98)

W celu dalszego ilościowego i jakościowego określenia kryteriów wyznaczania kluczowych zewnętrznych dostawców usług ICT oraz ujednolicenia opłat z tytułu nadzoru, należy przekazać Komisji uprawnienia do przyjmowania aktów zgodnie z art. 290 TFUE, aby uzupełnić niniejsze rozporządzenie w odniesieniu do bardziej szczegółowego określenia skutków systemowych, jakie awaria lub przestój operacyjny zewnętrznego dostawcy usług ICT mogłyby mieć dla podmiotów finansowych, na rzecz których świadczy usługi, liczby globalnych instytucji o znaczeniu systemowym lub innych instytucji o znaczeniu systemowym, które polegają na danym zewnętrznym dostawcy usług ICT, liczby zewnętrznych dostawców usług ICT działających na danym rynku, kosztów migracji danych i nakładów pracy w zakresie ICT do innych zewnętrznych dostawców usług ICT, a także wysokości opłat z tytułu nadzoru oraz sposobu ich uiszczania. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby były one prowadzone zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa (22). W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te powinny otrzymywać wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji powinni systematycznie brać udział w posiedzeniach grup eksperckich Komisji zajmujących się przygotowaniem aktów delegowanych.

| (99) | Regulacyjne standardy techniczne powinny zapewniać spójną harmonizację wymogów ustanowionych w niniejszym rozporządzeniu. Opracowanie projektów regulacyjnych standardów technicznych, które nie wymagają podejmowania decyzji politycznych, w celu przedłożenia Komisji, należy powierzyć EUN działającym jako organy dysponujące wysokim poziomem wiedzy specjalistycznej. Należy opracować regulacyjne standardy techniczne w dziedzinie zarządzania ryzykiem związanym z ICT, zgłaszania poważnych incydentów związanych z ICT, testowania i w odniesieniu do najważniejszych wymogów dotyczących należytego monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT. Komisja i EUN powinny zapewnić, aby wspomniane standardy i wymogi mogły być stosowane przez wszystkie podmioty finansowe w sposób proporcjonalny do ich wielkości i ogólnego profilu ryzyka oraz charakteru, skali i stopnia złożoności ich usług, działań i operacji. Komisja powinna być uprawniona do przyjmowania tych regulacyjnych standardów technicznych w drodze aktów delegowanych zgodnie z art. 290 TFUE oraz zgodnie z art. 10–14 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010. |
| --- | --- |

(99)

Regulacyjne standardy techniczne powinny zapewniać spójną harmonizację wymogów ustanowionych w niniejszym rozporządzeniu. Opracowanie projektów regulacyjnych standardów technicznych, które nie wymagają podejmowania decyzji politycznych, w celu przedłożenia Komisji, należy powierzyć EUN działającym jako organy dysponujące wysokim poziomem wiedzy specjalistycznej. Należy opracować regulacyjne standardy techniczne w dziedzinie zarządzania ryzykiem związanym z ICT, zgłaszania poważnych incydentów związanych z ICT, testowania i w odniesieniu do najważniejszych wymogów dotyczących należytego monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT. Komisja i EUN powinny zapewnić, aby wspomniane standardy i wymogi mogły być stosowane przez wszystkie podmioty finansowe w sposób proporcjonalny do ich wielkości i ogólnego profilu ryzyka oraz charakteru, skali i stopnia złożoności ich usług, działań i operacji. Komisja powinna być uprawniona do przyjmowania tych regulacyjnych standardów technicznych w drodze aktów delegowanych zgodnie z art. 290 TFUE oraz zgodnie z art. 10–14 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

| (100) | W celu ułatwienia porównywalności sprawozdań dotyczących poważnych incydentów związanych z ICT i poważnych incydentów operacyjnych lub poważnych incydentów w zakresie bezpieczeństwa związanych z płatnościami oraz w celu zapewnienia przejrzystości w zakresie ustaleń umownych dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT, EUN powinny opracować projekty wykonawczych standardów technicznych ustanawiających standardowe wzory, formularze i procedury dla podmiotów finansowych na potrzeby zgłaszania poważnych incydentów związanych z ICT i poważnych incydentów operacyjnych lub poważnych incydentów w zakresie bezpieczeństwa związanych z płatnościami, jak również standardowych wzorów na potrzeby rejestrowania informacji. Przy opracowywaniu tych standardów EUN powinny brać pod uwagę wielkość i ogólny profil ryzyka danego podmiotu finansowego oraz charakter, skalę i stopień złożoności jego usług, działań i operacji. Komisja powinna być uprawniona do przyjmowania tych wykonawczych standardów technicznych w drodze aktów wykonawczych zgodnie z art. 291 TFUE oraz zgodnie z art. 15 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 oraz (UE) nr 1095/2010. |
| --- | --- |

(100)

W celu ułatwienia porównywalności sprawozdań dotyczących poważnych incydentów związanych z ICT i poważnych incydentów operacyjnych lub poważnych incydentów w zakresie bezpieczeństwa związanych z płatnościami oraz w celu zapewnienia przejrzystości w zakresie ustaleń umownych dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT, EUN powinny opracować projekty wykonawczych standardów technicznych ustanawiających standardowe wzory, formularze i procedury dla podmiotów finansowych na potrzeby zgłaszania poważnych incydentów związanych z ICT i poważnych incydentów operacyjnych lub poważnych incydentów w zakresie bezpieczeństwa związanych z płatnościami, jak również standardowych wzorów na potrzeby rejestrowania informacji. Przy opracowywaniu tych standardów EUN powinny brać pod uwagę wielkość i ogólny profil ryzyka danego podmiotu finansowego oraz charakter, skalę i stopień złożoności jego usług, działań i operacji. Komisja powinna być uprawniona do przyjmowania tych wykonawczych standardów technicznych w drodze aktów wykonawczych zgodnie z art. 291 TFUE oraz zgodnie z art. 15 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 oraz (UE) nr 1095/2010.

| (101) | Ponieważ dalsze wymogi określono już w aktach delegowanych i wykonawczych opartych na regulacyjnych i wykonawczych standardach technicznych w rozporządzeniach Parlamentu Europejskiego i Rady (WE) nr 1060/2009 (23), (UE) nr 648/2012 (24), (UE) nr 600/2014 (25) i (UE) nr 909/2014 (26), należy upoważnić EUN, indywidualnie albo wspólnie za pośrednictwem Wspólnego Komitetu, do przedłożenia Komisji regulacyjnych i wykonawczych standardów technicznych w celu przyjęcia aktów delegowanych i wykonawczych przenoszących i aktualizujących istniejące przepisy dotyczące zarządzania ryzykiem związanym z ICT. |
| --- | --- |

(101)

Ponieważ dalsze wymogi określono już w aktach delegowanych i wykonawczych opartych na regulacyjnych i wykonawczych standardach technicznych w rozporządzeniach Parlamentu Europejskiego i Rady (WE) nr 1060/2009 (23), (UE) nr 648/2012 (24), (UE) nr 600/2014 (25) i (UE) nr 909/2014 (26), należy upoważnić EUN, indywidualnie albo wspólnie za pośrednictwem Wspólnego Komitetu, do przedłożenia Komisji regulacyjnych i wykonawczych standardów technicznych w celu przyjęcia aktów delegowanych i wykonawczych przenoszących i aktualizujących istniejące przepisy dotyczące zarządzania ryzykiem związanym z ICT.

| (102) | Ponieważ niniejsze rozporządzenie, wraz z dyrektywą Parlamentu Europejskiego i Rady (UE) 2022/2556 (27), pociąga za sobą konsolidację przepisów dotyczących zarządzania ryzykiem związanym z ICT obejmujących wiele rozporządzeń i dyrektyw z unijnego dorobku prawnego w zakresie usług finansowych, w tym rozporządzeń (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014 i (UE) nr 909/2014 oraz rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/1011 (28), w celu zapewnienia pełnej spójności należy zmienić te rozporządzenia, aby wyjaśnić, że mające zastosowanie przepisy dotyczące ryzyka związanego z ICT ustanowiono w niniejszym rozporządzeniu. |
| --- | --- |

(102)

Ponieważ niniejsze rozporządzenie, wraz z dyrektywą Parlamentu Europejskiego i Rady (UE) 2022/2556 (27), pociąga za sobą konsolidację przepisów dotyczących zarządzania ryzykiem związanym z ICT obejmujących wiele rozporządzeń i dyrektyw z unijnego dorobku prawnego w zakresie usług finansowych, w tym rozporządzeń (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014 i (UE) nr 909/2014 oraz rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/1011 (28), w celu zapewnienia pełnej spójności należy zmienić te rozporządzenia, aby wyjaśnić, że mające zastosowanie przepisy dotyczące ryzyka związanego z ICT ustanowiono w niniejszym rozporządzeniu.

| (103) | W związku z tym zakres odpowiednich artykułów związanych z ryzykiem operacyjnym, na mocy których powierzono uprawnienia ustanowione w rozporządzeniach (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014 (UE) nr 909/2014 oraz (UE) 2016/1011 do przyjmowania aktów delegowanych i wykonawczych, należy zawęzić z myślą o przeniesieniu do niniejszego rozporządzenia wszystkich przepisów obejmujących aspekty operacyjnej odporności cyfrowej stanowiących obecnie część tych rozporządzeń. |
| --- | --- |

(103)

W związku z tym zakres odpowiednich artykułów związanych z ryzykiem operacyjnym, na mocy których powierzono uprawnienia ustanowione w rozporządzeniach (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014 (UE) nr 909/2014 oraz (UE) 2016/1011 do przyjmowania aktów delegowanych i wykonawczych, należy zawęzić z myślą o przeniesieniu do niniejszego rozporządzenia wszystkich przepisów obejmujących aspekty operacyjnej odporności cyfrowej stanowiących obecnie część tych rozporządzeń.

| (104) | Potencjalne systemowe ryzyko w cyberprzestrzeni związane z wykorzystywaniem infrastruktury ICT umożliwiającej funkcjonowanie systemów płatniczych i prowadzenie działań w zakresie przetwarzania płatności powinno być należycie uwzględnione na szczeblu Unii poprzez zharmonizowane przepisy dotyczące odporności cyfrowej. W tym celu Komisja powinna szybko ocenić potrzebę dokonania przeglądu zakresu stosowania niniejszego rozporządzenia, dostosowując taki przegląd do wyniku kompleksowego przeglądu przewidzianego na mocy dyrektywy (UE) 2015/2366. Liczne ataki na wielką skalę w ostatnim dziesięcioleciu pokazują, że systemy płatności są narażone na cyberzagrożenia. Systemy płatnicze i działania w zakresie przetwarzania płatności, które zostały umieszczone w centrum łańcucha usług płatniczych i wykazują silne powiązania z ogólnym systemem finansowym, mają obecnie podstawowe znaczenie dla funkcjonowania unijnych rynków finansowych. Cyberataki na takie systemy mogą powodować poważne zakłócenia w działalności operacyjnej i mieć bezpośredni wpływ na najważniejsze funkcje gospodarcze, takie jak uproszczenie płatności, oraz pośrednie skutki dla powiązanych procesów gospodarczych. Do czasu wprowadzenia na szczeblu Unii zharmonizowanego systemu oraz nadzoru nad operatorami systemów płatniczych i podmiotami prowadzącymi czynności przetwarzania, państwa członkowskie mogą, przy stosowaniu przepisów wobec operatorów systemów płatniczych i podmiotów prowadzących czynności przetwarzania podlegających nadzorowi w ramach ich jurysdykcji – z myślą o stosowaniu podobnych praktyk rynkowych – inspirować się wymogami w zakresie operacyjnej odporności cyfrowej ustanowionymi w niniejszym rozporządzeniu. |
| --- | --- |

(104)

Potencjalne systemowe ryzyko w cyberprzestrzeni związane z wykorzystywaniem infrastruktury ICT umożliwiającej funkcjonowanie systemów płatniczych i prowadzenie działań w zakresie przetwarzania płatności powinno być należycie uwzględnione na szczeblu Unii poprzez zharmonizowane przepisy dotyczące odporności cyfrowej. W tym celu Komisja powinna szybko ocenić potrzebę dokonania przeglądu zakresu stosowania niniejszego rozporządzenia, dostosowując taki przegląd do wyniku kompleksowego przeglądu przewidzianego na mocy dyrektywy (UE) 2015/2366. Liczne ataki na wielką skalę w ostatnim dziesięcioleciu pokazują, że systemy płatności są narażone na cyberzagrożenia. Systemy płatnicze i działania w zakresie przetwarzania płatności, które zostały umieszczone w centrum łańcucha usług płatniczych i wykazują silne powiązania z ogólnym systemem finansowym, mają obecnie podstawowe znaczenie dla funkcjonowania unijnych rynków finansowych. Cyberataki na takie systemy mogą powodować poważne zakłócenia w działalności operacyjnej i mieć bezpośredni wpływ na najważniejsze funkcje gospodarcze, takie jak uproszczenie płatności, oraz pośrednie skutki dla powiązanych procesów gospodarczych. Do czasu wprowadzenia na szczeblu Unii zharmonizowanego systemu oraz nadzoru nad operatorami systemów płatniczych i podmiotami prowadzącymi czynności przetwarzania, państwa członkowskie mogą, przy stosowaniu przepisów wobec operatorów systemów płatniczych i podmiotów prowadzących czynności przetwarzania podlegających nadzorowi w ramach ich jurysdykcji – z myślą o stosowaniu podobnych praktyk rynkowych – inspirować się wymogami w zakresie operacyjnej odporności cyfrowej ustanowionymi w niniejszym rozporządzeniu.

| (105) | Ponieważ cel niniejszego rozporządzenia, a mianowicie osiągnięcie wysokiego poziomu operacyjnej odporności cyfrowej w odniesieniu do regulowanych podmiotów finansowych, nie może zostać w wystarczającym stopniu osiągnięty przez państwa członkowskie, gdyż wymaga harmonizacji wielu różnych przepisów w prawie Unii i prawie krajowym, natomiast ze względu na skalę i skutki osiągnięcie tego celu może być bardziej skuteczne na szczeblu unijnym, Unia może przyjąć środki zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia tego celu. |
| --- | --- |

(105)

Ponieważ cel niniejszego rozporządzenia, a mianowicie osiągnięcie wysokiego poziomu operacyjnej odporności cyfrowej w odniesieniu do regulowanych podmiotów finansowych, nie może zostać w wystarczającym stopniu osiągnięty przez państwa członkowskie, gdyż wymaga harmonizacji wielu różnych przepisów w prawie Unii i prawie krajowym, natomiast ze względu na skalę i skutki osiągnięcie tego celu może być bardziej skuteczne na szczeblu unijnym, Unia może przyjąć środki zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsze rozporządzenie nie wykracza poza to, co jest konieczne do osiągnięcia tego celu.

| (106) | Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (29) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię dnia 10 maja 2021 r. (30), |
| --- | --- |

(106)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (29) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię dnia 10 maja 2021 r. (30),

PRZYJMUJĄ NINIEJSZE ROZPORZĄDZENIE:

ROZDZIAŁ I

Przepisy ogólne

Artykuł 1

Przedmiot

1.   W celu osiągnięcia wysokiego wspólnego poziomu operacyjnej odporności cyfrowej w niniejszym rozporządzeniu ustanawia się następujące jednolite wymogi dotyczące bezpieczeństwa sieci i systemów informatycznych wspierających procesy biznesowe podmiotów finansowych:

| a) | wymogi mające zastosowanie do podmiotów finansowych w odniesieniu do:






  (i) | zarządzania ryzykiem związanym z wykorzystaniem technologii informacyjno-komunikacyjnych (ICT); |
| --- | --- | --- |

a)

wymogi mające zastosowanie do podmiotów finansowych w odniesieniu do:

(i)

zarządzania ryzykiem związanym z wykorzystaniem technologii informacyjno-komunikacyjnych (ICT);

| (ii) | zgłaszania poważnych incydentów związanych z ICT właściwym organom oraz dobrowolnego informowania ich o znaczących cyberzagrożeniach; |
| --- | --- |

(ii)

zgłaszania poważnych incydentów związanych z ICT właściwym organom oraz dobrowolnego informowania ich o znaczących cyberzagrożeniach;

| (iii) | zgłaszania właściwym organom przez podmioty finansowe, o których mowa w art. 2 ust. 1 lit. a)–d), poważnych incydentów operacyjnych lub poważnych incydentów bezpieczeństwa związanych z płatnościami; |
| --- | --- |

(iii)

zgłaszania właściwym organom przez podmioty finansowe, o których mowa w art. 2 ust. 1 lit. a)–d), poważnych incydentów operacyjnych lub poważnych incydentów bezpieczeństwa związanych z płatnościami;

| (iv) | testowania operacyjnej odporności cyfrowej; |
| --- | --- |

(iv)

testowania operacyjnej odporności cyfrowej;

| (v) | wymiany informacji i analiz w związku z cyberzagrożeniami i podatnościami w tym obszarze; |
| --- | --- |

(v)

wymiany informacji i analiz w związku z cyberzagrożeniami i podatnościami w tym obszarze;

| (vi) | środków na rzecz należytego zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT; |
| --- | --- |

(vi)

środków na rzecz należytego zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT;

| b) | wymogi w odniesieniu do ustaleń umownych zawartych między zewnętrznymi dostawcami usług ICT a podmiotami finansowymi; |
| --- | --- |

b)

wymogi w odniesieniu do ustaleń umownych zawartych między zewnętrznymi dostawcami usług ICT a podmiotami finansowymi;

| c) | zasady dotyczące ustanowienia i funkcjonowania ram nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT świadczącymi usługi na rzecz podmiotów finansowych; |
| --- | --- |

c)

zasady dotyczące ustanowienia i funkcjonowania ram nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT świadczącymi usługi na rzecz podmiotów finansowych;

| d) | zasady współpracy między właściwymi organami oraz zasady nadzoru i egzekwowania przepisów przez właściwe organy w odniesieniu do wszystkich kwestii objętych niniejszym rozporządzeniem. |
| --- | --- |

d)

zasady współpracy między właściwymi organami oraz zasady nadzoru i egzekwowania przepisów przez właściwe organy w odniesieniu do wszystkich kwestii objętych niniejszym rozporządzeniem.

2.   W odniesieniu do podmiotów finansowych zidentyfikowanych jako podmioty kluczowe lub ważne zgodnie z przepisami krajowymi transponującymi art. 3 dyrektywy (UE) 2022/2555 niniejsze rozporządzenie uznaje się za sektorowy akt prawny Unii do celów art. 4 tej dyrektywy.

3.   Niniejsze rozporządzenie pozostaje bez uszczerbku dla odpowiedzialności państw członkowskich w zakresie podstawowych funkcji państwa dotyczących bezpieczeństwa publicznego, obronności i bezpieczeństwa narodowego zgodnie prawem Unii.

Artykuł 2

Zakres stosowania

1.   Bez uszczerbku dla ust. 3 i 4 niniejsze rozporządzenie ma zastosowanie do następujących podmiotów:

| a) | instytucji kredytowych; |
| --- | --- |

a)

instytucji kredytowych;

| b) | instytucji płatniczych, w tym instytucji płatniczych zwolnionych zgodnie z dyrektywą (UE) 2015/2366; |
| --- | --- |

b)

instytucji płatniczych, w tym instytucji płatniczych zwolnionych zgodnie z dyrektywą (UE) 2015/2366;

| c) | dostawców świadczących usługę dostępu do informacji o rachunku; |
| --- | --- |

c)

dostawców świadczących usługę dostępu do informacji o rachunku;

| d) | instytucji pieniądza elektronicznego, w tym instytucji pieniądza elektronicznego zwolnionych zgodnie z dyrektywą 2009/110/WE; |
| --- | --- |

d)

instytucji pieniądza elektronicznego, w tym instytucji pieniądza elektronicznego zwolnionych zgodnie z dyrektywą 2009/110/WE;

| e) | firm inwestycyjnych; |
| --- | --- |

e)

firm inwestycyjnych;

| f) | dostawców usług w zakresie kryptoaktywów, którzy uzyskali zezwolenie na mocy rozporządzenia Parlamentu Europejskiego i Rady w sprawie rynków kryptoaktywów oraz zmieniającego rozporządzenia (UE) nr 1093/2010 i (UE) nr 1095/2010 oraz dyrektywy 2013/36/UE i (UE) 2019/1937 (zwanego dalej „rozporządzeniem w sprawie rynków kryptoaktywów”) i emitentów tokenów powiązanych z aktywami; |
| --- | --- |

f)

dostawców usług w zakresie kryptoaktywów, którzy uzyskali zezwolenie na mocy rozporządzenia Parlamentu Europejskiego i Rady w sprawie rynków kryptoaktywów oraz zmieniającego rozporządzenia (UE) nr 1093/2010 i (UE) nr 1095/2010 oraz dyrektywy 2013/36/UE i (UE) 2019/1937 (zwanego dalej „rozporządzeniem w sprawie rynków kryptoaktywów”) i emitentów tokenów powiązanych z aktywami;

| g) | centralnych depozytów papierów wartościowych; |
| --- | --- |

g)

centralnych depozytów papierów wartościowych;

| h) | kontrahentów centralnych; |
| --- | --- |

h)

kontrahentów centralnych;

| i) | systemów obrotu; |
| --- | --- |

i)

systemów obrotu;

| j) | repozytoriów transakcji; |
| --- | --- |

j)

repozytoriów transakcji;

| k) | zarządzających alternatywnymi funduszami inwestycyjnymi; |
| --- | --- |

k)

zarządzających alternatywnymi funduszami inwestycyjnymi;

| l) | spółek zarządzających; |
| --- | --- |

l)

spółek zarządzających;

| m) | dostawców usług w zakresie udostępniania informacji; |
| --- | --- |

m)

dostawców usług w zakresie udostępniania informacji;

| n) | zakładów ubezpieczeń i zakładów reasekuracji; |
| --- | --- |

n)

zakładów ubezpieczeń i zakładów reasekuracji;

| o) | pośredników ubezpieczeniowych, pośredników reasekuracyjnych i pośredników oferujących ubezpieczenia uzupełniające; |
| --- | --- |

o)

pośredników ubezpieczeniowych, pośredników reasekuracyjnych i pośredników oferujących ubezpieczenia uzupełniające;

| p) | instytucji pracowniczych programów emerytalnych; |
| --- | --- |

p)

instytucji pracowniczych programów emerytalnych;

| q) | agencji ratingowych; |
| --- | --- |

q)

agencji ratingowych;

| r) | administratorów kluczowych wskaźników referencyjnych; |
| --- | --- |

r)

administratorów kluczowych wskaźników referencyjnych;

| s) | dostawców usług finansowania społecznościowego; |
| --- | --- |

s)

dostawców usług finansowania społecznościowego;

| t) | repozytoriów sekurytyzacji; |
| --- | --- |

t)

repozytoriów sekurytyzacji;

| u) | zewnętrznych dostawców usług ICT. |
| --- | --- |

u)

zewnętrznych dostawców usług ICT.

2.   Do celów niniejszego rozporządzenia podmioty, o których mowa w ust. 1 lit. a)–t), są wspólnie określane jako „podmioty finansowe”.

3.   Niniejsze rozporządzenie nie ma zastosowania do:

| a) | zarządzających alternatywnymi funduszami inwestycyjnymi, o których mowa w art. 3 ust. 2 dyrektywy 2011/61/UE; |
| --- | --- |

a)

zarządzających alternatywnymi funduszami inwestycyjnymi, o których mowa w art. 3 ust. 2 dyrektywy 2011/61/UE;

| b) | zakładów ubezpieczeń i zakładów reasekuracji, o których mowa w art. 4 dyrektywy 2009/138/WE; |
| --- | --- |

b)

zakładów ubezpieczeń i zakładów reasekuracji, o których mowa w art. 4 dyrektywy 2009/138/WE;

| c) | instytucji pracowniczych programów emerytalnych, które obsługują programy emerytalne liczące łącznie nie więcej niż 15 uczestników; |
| --- | --- |

c)

instytucji pracowniczych programów emerytalnych, które obsługują programy emerytalne liczące łącznie nie więcej niż 15 uczestników;

| d) | osób fizycznych lub prawnych zwolnionych zgodnie z art. 2 i 3 dyrektywy 2014/65/UE; |
| --- | --- |

d)

osób fizycznych lub prawnych zwolnionych zgodnie z art. 2 i 3 dyrektywy 2014/65/UE;

| e) | pośredników ubezpieczeniowych, pośredników reasekuracyjnych i pośredników oferujących ubezpieczenia uzupełniające będących mikroprzedsiębiorstwami, małymi lub średnimi przedsiębiorstwami; |
| --- | --- |

e)

pośredników ubezpieczeniowych, pośredników reasekuracyjnych i pośredników oferujących ubezpieczenia uzupełniające będących mikroprzedsiębiorstwami, małymi lub średnimi przedsiębiorstwami;

| f) | instytucji świadczących żyro pocztowe, o których mowa w art. 2 ust. 5 pkt 3 dyrektywy 2013/36/UE. |
| --- | --- |

f)

instytucji świadczących żyro pocztowe, o których mowa w art. 2 ust. 5 pkt 3 dyrektywy 2013/36/UE.

4.   Państwa członkowskie mogą wyłączyć z zakresu stosowania niniejszego rozporządzenia podmioty, o których mowa w art. 2 ust. 5 pkt 4–23 dyrektywy 2013/36/UE, mające siedzibę na ich odpowiednich terytoriach. Jeżeli państwo członkowskie korzysta z takiej możliwości, informuje o tym Komisję oraz o wszelkich późniejszych zmianach w tym względzie. Komisja podaje te informacje do wiadomości publicznej na swojej stronie internetowej lub za pomocą innych łatwo dostępnych środków.

Artykuł 3

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

| 1) | „operacyjna odporność cyfrowa” oznacza zdolność podmiotu finansowego do budowania, gwarantowania i weryfikowania swojej operacyjnej integralności i niezawodności przez zapewnianie, bezpośrednio albo pośrednio – korzystając z usług zewnętrznych dostawców usług ICT – pełnego zakresu możliwości w obszarze ICT niezbędnych do zapewnienia bezpieczeństwa sieci i systemów informatycznych, z których korzysta podmiot finansowy i które wspierają ciągłe świadczenie usług finansowych oraz ich jakość, w tym w trakcie zakłóceń; |
| --- | --- |

1)

„operacyjna odporność cyfrowa” oznacza zdolność podmiotu finansowego do budowania, gwarantowania i weryfikowania swojej operacyjnej integralności i niezawodności przez zapewnianie, bezpośrednio albo pośrednio – korzystając z usług zewnętrznych dostawców usług ICT – pełnego zakresu możliwości w obszarze ICT niezbędnych do zapewnienia bezpieczeństwa sieci i systemów informatycznych, z których korzysta podmiot finansowy i które wspierają ciągłe świadczenie usług finansowych oraz ich jakość, w tym w trakcie zakłóceń;

| 2) | „sieci i systemy informatyczne” oznaczają sieci i systemy informatyczne zdefiniowane w art. 6 pkt 1 dyrektywy (UE) 2022/2555; |
| --- | --- |

2)

„sieci i systemy informatyczne” oznaczają sieci i systemy informatyczne zdefiniowane w art. 6 pkt 1 dyrektywy (UE) 2022/2555;

| 3) | „dotychczasowy system ICT” oznacza system ICT, którego cykl życia dobiegł końca (koniec okresu użytkowania), którego ze względów technologicznych i komercyjnych nie można zmodernizować ani naprawić, lub który nie jest już obsługiwany przez dostawcę lub zewnętrznego dostawcę usług ICT, ale który nadal jest wykorzystywany i wspiera funkcje danego podmiotu finansowego; |
| --- | --- |

3)

„dotychczasowy system ICT” oznacza system ICT, którego cykl życia dobiegł końca (koniec okresu użytkowania), którego ze względów technologicznych i komercyjnych nie można zmodernizować ani naprawić, lub który nie jest już obsługiwany przez dostawcę lub zewnętrznego dostawcę usług ICT, ale który nadal jest wykorzystywany i wspiera funkcje danego podmiotu finansowego;

| 4) | „bezpieczeństwo sieci i systemów informatycznych” oznacza bezpieczeństwo sieci i systemów informatycznych zdefiniowane w art. 6 pkt 2 dyrektywy (UE) 2022/2555; |
| --- | --- |

4)

„bezpieczeństwo sieci i systemów informatycznych” oznacza bezpieczeństwo sieci i systemów informatycznych zdefiniowane w art. 6 pkt 2 dyrektywy (UE) 2022/2555;

| 5) | „ryzyko związane z ICT” oznacza każdą dającą się racjonalnie określić okoliczność związaną z użytkowaniem sieci i systemów informatycznych, która – jeżeli dojdzie do jej urzeczywistnienia – może zagrozić bezpieczeństwu sieci i systemów informatycznych, dowolnego narzędzia lub procesu zależnego od technologii, bezpieczeństwu operacji i procesów lub świadczeniu usług poprzez wywoływanie negatywnych skutków w środowisku cyfrowym lub fizycznym; |
| --- | --- |

5)

„ryzyko związane z ICT” oznacza każdą dającą się racjonalnie określić okoliczność związaną z użytkowaniem sieci i systemów informatycznych, która – jeżeli dojdzie do jej urzeczywistnienia – może zagrozić bezpieczeństwu sieci i systemów informatycznych, dowolnego narzędzia lub procesu zależnego od technologii, bezpieczeństwu operacji i procesów lub świadczeniu usług poprzez wywoływanie negatywnych skutków w środowisku cyfrowym lub fizycznym;

| 6) | „zasoby informacyjne” oznaczają zbiór informacji, w formie materialnej albo niematerialnej, który jest wart ochrony; |
| --- | --- |

6)

„zasoby informacyjne” oznaczają zbiór informacji, w formie materialnej albo niematerialnej, który jest wart ochrony;

| 7) | „zasób ICT” oznacza oprogramowanie lub zasoby komputerowe w sieci i systemach informatycznych wykorzystywanych przez dany podmiot finansowy; |
| --- | --- |

7)

„zasób ICT” oznacza oprogramowanie lub zasoby komputerowe w sieci i systemach informatycznych wykorzystywanych przez dany podmiot finansowy;

| 8) | „incydent związany z ICT” oznacza pojedyncze zdarzenie lub serię powiązanych ze sobą zdarzeń, nieplanowanych przez dany podmiot finansowy, które zagrażają bezpieczeństwu sieci i systemów informatycznych i mają negatywny wpływ na dostępność, autentyczność, integralność lub poufność danych lub na usługi świadczone przez ten podmiot finansowy; |
| --- | --- |

8)

„incydent związany z ICT” oznacza pojedyncze zdarzenie lub serię powiązanych ze sobą zdarzeń, nieplanowanych przez dany podmiot finansowy, które zagrażają bezpieczeństwu sieci i systemów informatycznych i mają negatywny wpływ na dostępność, autentyczność, integralność lub poufność danych lub na usługi świadczone przez ten podmiot finansowy;

| 9) | „incydent operacyjny lub incydent w zakresie bezpieczeństwa związany z płatnościami” oznacza zdarzenie lub serię powiązanych ze sobą zdarzeń, nieplanowanych przez podmioty finansowe, o których mowa w art. 2 ust. 1 lit. a)–d), związanych z ICT lub nie, które mają negatywny wpływ na dostępność, autentyczność, integralność lub poufność danych związanych z płatnościami lub świadczonych usług związanych z płatnościami realizowanymi przez dany podmiot finansowy; |
| --- | --- |

9)

„incydent operacyjny lub incydent w zakresie bezpieczeństwa związany z płatnościami” oznacza zdarzenie lub serię powiązanych ze sobą zdarzeń, nieplanowanych przez podmioty finansowe, o których mowa w art. 2 ust. 1 lit. a)–d), związanych z ICT lub nie, które mają negatywny wpływ na dostępność, autentyczność, integralność lub poufność danych związanych z płatnościami lub świadczonych usług związanych z płatnościami realizowanymi przez dany podmiot finansowy;

| 10) | „poważny incydent związany z ICT” oznacza incydent związany z ICT o dużym negatywnym wpływie na sieci i systemy informatyczne, które wspierają krytyczne lub istotne funkcje podmiotu finansowego; |
| --- | --- |

10)

„poważny incydent związany z ICT” oznacza incydent związany z ICT o dużym negatywnym wpływie na sieci i systemy informatyczne, które wspierają krytyczne lub istotne funkcje podmiotu finansowego;

| 11) | „poważny incydent operacyjny lub poważny incydent w zakresie bezpieczeństwa związany z płatnościami” oznacza incydent operacyjny lub incydent w zakresie bezpieczeństwa związany z płatnościami o dużym negatywnym wpływie na świadczone usługi związane z płatnościami; |
| --- | --- |

11)

„poważny incydent operacyjny lub poważny incydent w zakresie bezpieczeństwa związany z płatnościami” oznacza incydent operacyjny lub incydent w zakresie bezpieczeństwa związany z płatnościami o dużym negatywnym wpływie na świadczone usługi związane z płatnościami;

| 12) | „cyberzagrożenie” oznacza cyberzagrożenie zdefiniowane w art. 2 pkt 8 rozporządzenia (UE) 2019/881; |
| --- | --- |

12)

„cyberzagrożenie” oznacza cyberzagrożenie zdefiniowane w art. 2 pkt 8 rozporządzenia (UE) 2019/881;

| 13) | „znaczące cyberzagrożenie” oznacza cyberzagrożenie, którego charakterystyka techniczna wskazuje, że potencjalnie może spowodować poważny incydent związany z ICT lub poważny incydent operacyjny lub poważny incydent w zakresie bezpieczeństwa związany z płatnościami; |
| --- | --- |

13)

„znaczące cyberzagrożenie” oznacza cyberzagrożenie, którego charakterystyka techniczna wskazuje, że potencjalnie może spowodować poważny incydent związany z ICT lub poważny incydent operacyjny lub poważny incydent w zakresie bezpieczeństwa związany z płatnościami;

| 14) | „cyberatak” oznacza złośliwy incydent związany z ICT wywołany przez próbę zniszczenia, ujawnienia, zmiany, dezaktywacji, kradzieży lub uzyskania nieuprawnionego dostępu do składnika aktywów lub jego nieuprawnionego wykorzystania przez jakiegokolwiek agresora; |
| --- | --- |

14)

„cyberatak” oznacza złośliwy incydent związany z ICT wywołany przez próbę zniszczenia, ujawnienia, zmiany, dezaktywacji, kradzieży lub uzyskania nieuprawnionego dostępu do składnika aktywów lub jego nieuprawnionego wykorzystania przez jakiegokolwiek agresora;

| 15) | „analiza zagrożeń” oznacza informacje, które zostały zagregowane, przekształcone, przeanalizowane, zinterpretowane lub wzbogacone w celu zapewnienia niezbędnego kontekstu na potrzeby podejmowania decyzji i umożliwienia odpowiedniego i wystarczającego zrozumienia w celu złagodzenia skutków incydentu związanego z ICT lub cyberzagrożenia, w tym informacje dotyczące technicznych szczegółów cyberataku, osób odpowiedzialnych za atak oraz ich sposobu działania i motywacji; |
| --- | --- |

15)

„analiza zagrożeń” oznacza informacje, które zostały zagregowane, przekształcone, przeanalizowane, zinterpretowane lub wzbogacone w celu zapewnienia niezbędnego kontekstu na potrzeby podejmowania decyzji i umożliwienia odpowiedniego i wystarczającego zrozumienia w celu złagodzenia skutków incydentu związanego z ICT lub cyberzagrożenia, w tym informacje dotyczące technicznych szczegółów cyberataku, osób odpowiedzialnych za atak oraz ich sposobu działania i motywacji;

| 16) | „podatność” oznacza słabość, wrażliwość lub wadę zasobu, systemu, procesu lub kontroli, które można wykorzystać; |
| --- | --- |

16)

„podatność” oznacza słabość, wrażliwość lub wadę zasobu, systemu, procesu lub kontroli, które można wykorzystać;

| 17) | „testy penetracyjne pod kątem wyszukiwania zagrożeń (TLPT)” oznaczają ramy naśladujące taktykę, techniki i procedury stosowane w rzeczywistości przez agresorów uznanych za stanowiących rzeczywiste cyberzagrożenie, które zapewniają kontrolowane, dostosowane do konkretnych zagrożeń, oparte na analizie zagrożeń (red team) testy działających na bieżąco krytycznych systemów produkcji podmiotu finansowego; |
| --- | --- |

17)

„testy penetracyjne pod kątem wyszukiwania zagrożeń (TLPT)” oznaczają ramy naśladujące taktykę, techniki i procedury stosowane w rzeczywistości przez agresorów uznanych za stanowiących rzeczywiste cyberzagrożenie, które zapewniają kontrolowane, dostosowane do konkretnych zagrożeń, oparte na analizie zagrożeń (red team) testy działających na bieżąco krytycznych systemów produkcji podmiotu finansowego;

red team

| 18) | „ryzyko ze strony zewnętrznych dostawców usług ICT” oznacza ryzyko związane z ICT, które może wystąpić w przypadku podmiotu finansowego w związku z korzystaniem przez niego z usług ICT świadczonych przez zewnętrznych dostawców usług ICT lub przez ich podwykonawców, w tym w drodze uzgodnień dotyczących outsourcingu; |
| --- | --- |

18)

„ryzyko ze strony zewnętrznych dostawców usług ICT” oznacza ryzyko związane z ICT, które może wystąpić w przypadku podmiotu finansowego w związku z korzystaniem przez niego z usług ICT świadczonych przez zewnętrznych dostawców usług ICT lub przez ich podwykonawców, w tym w drodze uzgodnień dotyczących outsourcingu;

| 19) | „zewnętrzny dostawca usług ICT” oznacza przedsiębiorstwo świadczące usługi ICT; |
| --- | --- |

19)

„zewnętrzny dostawca usług ICT” oznacza przedsiębiorstwo świadczące usługi ICT;

| 20) | „dostawca usług ICT wewnątrz grupy” oznacza przedsiębiorstwo, które jest częścią grupy finansowej i które świadczy głównie usługi ICT na rzecz podmiotów finansowych należących do tej samej grupy lub podmiotów finansowych należących do tego samego systemu ochrony instytucjonalnej, w tym ich jednostek dominujących, jednostek zależnych, oddziałów lub innych podmiotów będących wspólną własnością lub pod wspólną kontrolą; |
| --- | --- |

20)

„dostawca usług ICT wewnątrz grupy” oznacza przedsiębiorstwo, które jest częścią grupy finansowej i które świadczy głównie usługi ICT na rzecz podmiotów finansowych należących do tej samej grupy lub podmiotów finansowych należących do tego samego systemu ochrony instytucjonalnej, w tym ich jednostek dominujących, jednostek zależnych, oddziałów lub innych podmiotów będących wspólną własnością lub pod wspólną kontrolą;

| 21) | „usługi ICT” oznaczają usługi cyfrowe i usługi w zakresie danych świadczone w sposób ciągły za pośrednictwem systemów ICT na rzecz co najmniej jednego użytkownika wewnętrznego lub zewnętrznego, łącznie ze sprzętem komputerowym jako usługą i usługami w zakresie sprzętu komputerowego obejmującymi zapewnianie wsparcia technicznego za pośrednictwem aktualizacji oprogramowania lub oprogramowania układowego przez dostawcę sprzętu, z wyłączeniem tradycyjnych usług telefonii analogowej; |
| --- | --- |

21)

„usługi ICT” oznaczają usługi cyfrowe i usługi w zakresie danych świadczone w sposób ciągły za pośrednictwem systemów ICT na rzecz co najmniej jednego użytkownika wewnętrznego lub zewnętrznego, łącznie ze sprzętem komputerowym jako usługą i usługami w zakresie sprzętu komputerowego obejmującymi zapewnianie wsparcia technicznego za pośrednictwem aktualizacji oprogramowania lub oprogramowania układowego przez dostawcę sprzętu, z wyłączeniem tradycyjnych usług telefonii analogowej;

| 22) | „krytyczna lub istotna funkcja” oznacza funkcję, której zakłócenie w sposób istotny wpłynęłoby na wyniki finansowe podmiotu finansowego, na bezpieczeństwo lub ciągłość usług i działalności tego podmiotu lub której zaprzestanie lub wadliwe lub zakończone niepowodzeniem działanie w sposób istotny wpłynęłoby na dalsze wypełnianie przez podmiot finansowy warunków i obowiązków wynikających z udzielonego mu zezwolenia lub jego innych obowiązków wynikających z obowiązujących przepisów dotyczących usług finansowych; |
| --- | --- |

22)

„krytyczna lub istotna funkcja” oznacza funkcję, której zakłócenie w sposób istotny wpłynęłoby na wyniki finansowe podmiotu finansowego, na bezpieczeństwo lub ciągłość usług i działalności tego podmiotu lub której zaprzestanie lub wadliwe lub zakończone niepowodzeniem działanie w sposób istotny wpłynęłoby na dalsze wypełnianie przez podmiot finansowy warunków i obowiązków wynikających z udzielonego mu zezwolenia lub jego innych obowiązków wynikających z obowiązujących przepisów dotyczących usług finansowych;

| 23) | „kluczowy zewnętrzny dostawca usług ICT” oznacza zewnętrznego dostawcę usług ICT wyznaczonego zgodnie z art. 31; |
| --- | --- |

23)

„kluczowy zewnętrzny dostawca usług ICT” oznacza zewnętrznego dostawcę usług ICT wyznaczonego zgodnie z art. 31;

| 24) | „zewnętrzny dostawca usług ICT z siedzibą w państwie trzecim” oznacza zewnętrznego dostawcę usług ICT, który jest osobą prawną mającą siedzibę w państwie trzecim i który zawarł z podmiotem finansowym ustalenie umowne o świadczenie usług ICT; |
| --- | --- |

24)

„zewnętrzny dostawca usług ICT z siedzibą w państwie trzecim” oznacza zewnętrznego dostawcę usług ICT, który jest osobą prawną mającą siedzibę w państwie trzecim i który zawarł z podmiotem finansowym ustalenie umowne o świadczenie usług ICT;

| 25) | „jednostka zależna” oznacza jednostkę zależną w rozumieniu art. 2 pkt 10 i art. 22 dyrektywy 2013/34/UE; |
| --- | --- |

25)

„jednostka zależna” oznacza jednostkę zależną w rozumieniu art. 2 pkt 10 i art. 22 dyrektywy 2013/34/UE;

| 26) | „grupa” oznacza grupę zdefiniowaną w art. 2 pkt 11 dyrektywy 2013/34/UE; |
| --- | --- |

26)

„grupa” oznacza grupę zdefiniowaną w art. 2 pkt 11 dyrektywy 2013/34/UE;

| 27) | „jednostka dominująca” oznacza jednostkę dominującą w rozumieniu art. 2 pkt 9 i art. 22 dyrektywy 2013/34/UE; |
| --- | --- |

27)

„jednostka dominująca” oznacza jednostkę dominującą w rozumieniu art. 2 pkt 9 i art. 22 dyrektywy 2013/34/UE;

| (28) | „podwykonawca usług ICT z siedzibą w państwie trzecim” oznacza podwykonawcę usług ICT, który jest osobą prawną mającą siedzibę w państwie trzecim i który zawarł ustalenie umowne z zewnętrznym dostawcą usług ICT albo z zewnętrznym dostawcą usług ICT mającym siedzibę w państwie trzecim; |
| --- | --- |

(28)

„podwykonawca usług ICT z siedzibą w państwie trzecim” oznacza podwykonawcę usług ICT, który jest osobą prawną mającą siedzibę w państwie trzecim i który zawarł ustalenie umowne z zewnętrznym dostawcą usług ICT albo z zewnętrznym dostawcą usług ICT mającym siedzibę w państwie trzecim;

| 29) | „ryzyko koncentracji w obszarze ICT” oznacza ekspozycję na poszczególnych lub wielu powiązanych ze sobą kluczowych zewnętrznych dostawców usług ICT, która prowadzi do takiego stopnia uzależnienia od takich dostawców, że niedostępność, awaria lub innego rodzaju braki po stronie tych ostatnich mogą potencjalnie zagrozić zdolności podmiotu finansowego do wypełniania krytycznych lub istotnych funkcji lub przyczynić się do poniesienia przez ten podmiot innego rodzaju negatywnych skutków, w tym dużych strat, lub zagrozić stabilności finansowej Unii jako całości; |
| --- | --- |

29)

„ryzyko koncentracji w obszarze ICT” oznacza ekspozycję na poszczególnych lub wielu powiązanych ze sobą kluczowych zewnętrznych dostawców usług ICT, która prowadzi do takiego stopnia uzależnienia od takich dostawców, że niedostępność, awaria lub innego rodzaju braki po stronie tych ostatnich mogą potencjalnie zagrozić zdolności podmiotu finansowego do wypełniania krytycznych lub istotnych funkcji lub przyczynić się do poniesienia przez ten podmiot innego rodzaju negatywnych skutków, w tym dużych strat, lub zagrozić stabilności finansowej Unii jako całości;

| 30) | „organ zarządzający” oznacza organ zarządzający zdefiniowany w art. 4 ust. 1 pkt 36 dyrektywy 2014/65/UE, art. 3 ust. 1 pkt 7 dyrektywy 2013/36/UE, art. 2 ust. 1 lit. s) dyrektywy 2009/65/WE (31), art. 2 ust. 1 pkt 45 rozporządzenia (UE) nr 909/2014, art. 3 ust. 1 pkt 20 rozporządzenia (UE) 2016/1011, oraz w odpowiednim przepisie rozporządzenia w sprawie rynków kryptoaktywów lub równorzędne osoby, które faktycznie zarządzają podmiotem lub pełnią kluczowe funkcje zgodnie z odpowiednimi przepisami unijnymi lub krajowymi; |
| --- | --- |

30)

„organ zarządzający” oznacza organ zarządzający zdefiniowany w art. 4 ust. 1 pkt 36 dyrektywy 2014/65/UE, art. 3 ust. 1 pkt 7 dyrektywy 2013/36/UE, art. 2 ust. 1 lit. s) dyrektywy 2009/65/WE (31), art. 2 ust. 1 pkt 45 rozporządzenia (UE) nr 909/2014, art. 3 ust. 1 pkt 20 rozporządzenia (UE) 2016/1011, oraz w odpowiednim przepisie rozporządzenia w sprawie rynków kryptoaktywów lub równorzędne osoby, które faktycznie zarządzają podmiotem lub pełnią kluczowe funkcje zgodnie z odpowiednimi przepisami unijnymi lub krajowymi;

31

| 31) | „instytucja kredytowa” oznacza instytucję kredytową zdefiniowaną w art. 4 ust. 1 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 (32); |
| --- | --- |

31)

„instytucja kredytowa” oznacza instytucję kredytową zdefiniowaną w art. 4 ust. 1 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 (32);

32

| 32) | „instytucja zwolniona zgodnie z dyrektywą 2013/36/UE” oznacza podmiot, o którym mowa w art. 2 ust. 5 pkt 4–23 dyrektywy 2013/36/UE; |
| --- | --- |

32)

„instytucja zwolniona zgodnie z dyrektywą 2013/36/UE” oznacza podmiot, o którym mowa w art. 2 ust. 5 pkt 4–23 dyrektywy 2013/36/UE;

| 33) | „firma inwestycyjna” oznacza firmę inwestycyjną zdefiniowaną w art. 4 ust. 1 pkt 1 dyrektywy 2014/65/UE; |
| --- | --- |

33)

„firma inwestycyjna” oznacza firmę inwestycyjną zdefiniowaną w art. 4 ust. 1 pkt 1 dyrektywy 2014/65/UE;

| 34) | „mała i niepowiązana wzajemnie firma inwestycyjna” oznacza firmę inwestycyjną, która spełnia warunki określone w art. 12 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/2033 (33); |
| --- | --- |

34)

„mała i niepowiązana wzajemnie firma inwestycyjna” oznacza firmę inwestycyjną, która spełnia warunki określone w art. 12 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/2033 (33);

33

| 35) | „instytucja płatnicza” oznacza instytucję płatniczą zdefiniowaną w art. 4 pkt 4 dyrektywy (UE) 2015/2366; |
| --- | --- |

35)

„instytucja płatnicza” oznacza instytucję płatniczą zdefiniowaną w art. 4 pkt 4 dyrektywy (UE) 2015/2366;

| 36) | „instytucja płatnicza zwolniona zgodnie z dyrektywą (UE) 2015/2366” oznacza instytucję płatniczą zwolnioną zgodnie z art. 32 ust. 1 dyrektywy (UE) 2015/2366; |
| --- | --- |

36)

„instytucja płatnicza zwolniona zgodnie z dyrektywą (UE) 2015/2366” oznacza instytucję płatniczą zwolnioną zgodnie z art. 32 ust. 1 dyrektywy (UE) 2015/2366;

| 37) | „dostawca świadczący usługę dostępu do informacji o rachunku” oznacza dostawcę świadczącego usługę dostępu do informacji o rachunku, o którym mowa w art. 33 ust. 1 dyrektywy (UE) 2015/2366; |
| --- | --- |

37)

„dostawca świadczący usługę dostępu do informacji o rachunku” oznacza dostawcę świadczącego usługę dostępu do informacji o rachunku, o którym mowa w art. 33 ust. 1 dyrektywy (UE) 2015/2366;

| 38) | „instytucja pieniądza elektronicznego” oznacza instytucję pieniądza elektronicznego zdefiniowaną w art. 2 pkt 1 dyrektywy Parlamentu Europejskiego i Rady 2009/110/WE; |
| --- | --- |

38)

„instytucja pieniądza elektronicznego” oznacza instytucję pieniądza elektronicznego zdefiniowaną w art. 2 pkt 1 dyrektywy Parlamentu Europejskiego i Rady 2009/110/WE;

| 39) | „instytucja pieniądza elektronicznego zwolniona zgodnie z dyrektywą 2009/110/WE” oznacza instytucję pieniądza elektronicznego korzystającą z wyłączenia, o którym mowa w art. 9 ust. 1 dyrektywy 2009/110/WE; |
| --- | --- |

39)

„instytucja pieniądza elektronicznego zwolniona zgodnie z dyrektywą 2009/110/WE” oznacza instytucję pieniądza elektronicznego korzystającą z wyłączenia, o którym mowa w art. 9 ust. 1 dyrektywy 2009/110/WE;

| 40) | „kontrahent centralny” oznacza CCP zdefiniowanego w art. 2 pkt 1 rozporządzenia (UE) nr 648/2012; |
| --- | --- |

40)

„kontrahent centralny” oznacza CCP zdefiniowanego w art. 2 pkt 1 rozporządzenia (UE) nr 648/2012;

| 41) | „repozytorium transakcji” oznacza repozytorium transakcji zdefiniowane w art. 2 pkt 2 rozporządzenia (UE) nr 648/2012; |
| --- | --- |

41)

„repozytorium transakcji” oznacza repozytorium transakcji zdefiniowane w art. 2 pkt 2 rozporządzenia (UE) nr 648/2012;

| 42) | „centralny depozyt papierów wartościowych” oznacza centralny depozyt papierów wartościowych zdefiniowany w art. 2 ust. 1 pkt 1 rozporządzenia (UE) nr 909/2014; |
| --- | --- |

42)

„centralny depozyt papierów wartościowych” oznacza centralny depozyt papierów wartościowych zdefiniowany w art. 2 ust. 1 pkt 1 rozporządzenia (UE) nr 909/2014;

| 43) | „system obrotu” oznacza system obrotu zdefiniowany w art. 4 ust. 1 pkt 24 dyrektywy 2014/65/UE; |
| --- | --- |

43)

„system obrotu” oznacza system obrotu zdefiniowany w art. 4 ust. 1 pkt 24 dyrektywy 2014/65/UE;

| 44) | „zarządzający alternatywnymi funduszami inwestycyjnymi” oznacza zarządzającego alternatywnymi funduszami inwestycyjnymi zdefiniowanego w art. 4 ust. 1 lit. b) dyrektywy 2011/61/UE; |
| --- | --- |

44)

„zarządzający alternatywnymi funduszami inwestycyjnymi” oznacza zarządzającego alternatywnymi funduszami inwestycyjnymi zdefiniowanego w art. 4 ust. 1 lit. b) dyrektywy 2011/61/UE;

| 45) | „spółka zarządzająca” oznacza spółkę zarządzającą zdefiniowaną w art. 2 ust. 1 lit. b) dyrektywy 2009/65/WE; |
| --- | --- |

45)

„spółka zarządzająca” oznacza spółkę zarządzającą zdefiniowaną w art. 2 ust. 1 lit. b) dyrektywy 2009/65/WE;

| 46) | „dostawca usług w zakresie udostępniania informacji” oznacza dostawcę usług w zakresie udostępniania informacji w rozumieniu rozporządzenia (UE) nr 600/2014, zgodnie z art. 2 ust. 1 pkt 34–36 tego rozporządzenia; |
| --- | --- |

46)

„dostawca usług w zakresie udostępniania informacji” oznacza dostawcę usług w zakresie udostępniania informacji w rozumieniu rozporządzenia (UE) nr 600/2014, zgodnie z art. 2 ust. 1 pkt 34–36 tego rozporządzenia;

| 47) | „zakład ubezpieczeń” oznacza zakład ubezpieczeń zdefiniowany w art. 13 pkt 1 dyrektywy 2009/138/WE; |
| --- | --- |

47)

„zakład ubezpieczeń” oznacza zakład ubezpieczeń zdefiniowany w art. 13 pkt 1 dyrektywy 2009/138/WE;

| 48) | „zakład reasekuracji” oznacza zakład reasekuracji zdefiniowany w art. 13 pkt 4 dyrektywy 2009/138/WE; |
| --- | --- |

48)

„zakład reasekuracji” oznacza zakład reasekuracji zdefiniowany w art. 13 pkt 4 dyrektywy 2009/138/WE;

| 49) | „pośrednik ubezpieczeniowy” oznacza pośrednika ubezpieczeniowego zdefiniowanego w art. 2 ust. 1 pkt 3 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/97 (34); |
| --- | --- |

49)

„pośrednik ubezpieczeniowy” oznacza pośrednika ubezpieczeniowego zdefiniowanego w art. 2 ust. 1 pkt 3 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/97 (34);

34

| 50) | „pośrednik oferujący ubezpieczenia uzupełniające” oznacza pośrednika oferującego ubezpieczenia uzupełniające zdefiniowanego w art. 2 ust. 1 pkt 4 dyrektywy (UE) 2016/97; |
| --- | --- |

50)

„pośrednik oferujący ubezpieczenia uzupełniające” oznacza pośrednika oferującego ubezpieczenia uzupełniające zdefiniowanego w art. 2 ust. 1 pkt 4 dyrektywy (UE) 2016/97;

| 51) | „pośrednik reasekuracyjny” oznacza pośrednika reasekuracyjnego zdefiniowanego w art. 2 ust. 1 pkt 5 dyrektywy (UE) 2016/97; |
| --- | --- |

51)

„pośrednik reasekuracyjny” oznacza pośrednika reasekuracyjnego zdefiniowanego w art. 2 ust. 1 pkt 5 dyrektywy (UE) 2016/97;

| 52) | „instytucja pracowniczych programów emerytalnych” oznacza instytucję pracowniczych programów emerytalnych zdefiniowaną w art. 6 pkt 1 dyrektywy (UE) 2016/2341; |
| --- | --- |

52)

„instytucja pracowniczych programów emerytalnych” oznacza instytucję pracowniczych programów emerytalnych zdefiniowaną w art. 6 pkt 1 dyrektywy (UE) 2016/2341;

| 53) | „mała instytucja pracowniczych programów emerytalnych” oznacza instytucję pracowniczych programów emerytalnych, która obsługuje programy emerytalne liczące łącznie nie więcej niż 100 uczestników; |
| --- | --- |

53)

„mała instytucja pracowniczych programów emerytalnych” oznacza instytucję pracowniczych programów emerytalnych, która obsługuje programy emerytalne liczące łącznie nie więcej niż 100 uczestników;

| 54) | „agencja ratingowa” oznacza agencję ratingową zdefiniowaną w art. 3 ust. 1 lit. b) rozporządzenia (WE) nr 1060/2009; |
| --- | --- |

54)

„agencja ratingowa” oznacza agencję ratingową zdefiniowaną w art. 3 ust. 1 lit. b) rozporządzenia (WE) nr 1060/2009;

| 55) | „dostawca usług w zakresie kryptoaktywów” oznacza dostawcę usług w zakresie kryptoaktywów zdefiniowanego w odpowiednim przepisie rozporządzenia w sprawie rynków kryptoaktywów; |
| --- | --- |

55)

„dostawca usług w zakresie kryptoaktywów” oznacza dostawcę usług w zakresie kryptoaktywów zdefiniowanego w odpowiednim przepisie rozporządzenia w sprawie rynków kryptoaktywów;

| 56) | „emitent tokenów powiązanych z aktywami” oznacza emitenta tokenów powiązanych z aktywami zdefiniowanego w odpowiednim przepisie rozporządzenia w sprawie rynków kryptoaktywów; |
| --- | --- |

56)

„emitent tokenów powiązanych z aktywami” oznacza emitenta tokenów powiązanych z aktywami zdefiniowanego w odpowiednim przepisie rozporządzenia w sprawie rynków kryptoaktywów;

| 57) | „administrator kluczowych wskaźników referencyjnych” oznacza administratora kluczowych wskaźników referencyjnych zdefiniowanych w art. 3 pkt 25 rozporządzenia (UE) 2016/1011; |
| --- | --- |

57)

„administrator kluczowych wskaźników referencyjnych” oznacza administratora kluczowych wskaźników referencyjnych zdefiniowanych w art. 3 pkt 25 rozporządzenia (UE) 2016/1011;

| 58) | „dostawca usług finansowania społecznościowego” oznacza dostawcę usług finansowania społecznościowego zdefiniowanego w art. 2 ust. 1 lit. e) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2020/1503 (35); |
| --- | --- |

58)

„dostawca usług finansowania społecznościowego” oznacza dostawcę usług finansowania społecznościowego zdefiniowanego w art. 2 ust. 1 lit. e) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2020/1503 (35);

35

| 59) | „repozytorium sekurytyzacji” oznacza repozytorium sekurytyzacji zdefiniowane w art. 2 pkt 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/2402 (36); |
| --- | --- |

59)

„repozytorium sekurytyzacji” oznacza repozytorium sekurytyzacji zdefiniowane w art. 2 pkt 23 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/2402 (36);

36

| 60) | „mikroprzedsiębiorstwo” oznacza podmiot finansowy inny niż system obrotu, kontrahent centralny, repozytorium transakcji lub centralny depozyt papierów wartościowych, który zatrudnia mniej niż 10 osób i którego roczny obrót lub bilans roczny nie przekracza 2 mln EUR; |
| --- | --- |

60)

„mikroprzedsiębiorstwo” oznacza podmiot finansowy inny niż system obrotu, kontrahent centralny, repozytorium transakcji lub centralny depozyt papierów wartościowych, który zatrudnia mniej niż 10 osób i którego roczny obrót lub bilans roczny nie przekracza 2 mln EUR;

| 61) | „wiodący organ nadzorczy” oznacza Europejski Urząd Nadzoru wyznaczony zgodnie z art. 31 ust. 1 lit. b) niniejszego rozporządzenia; |
| --- | --- |

61)

„wiodący organ nadzorczy” oznacza Europejski Urząd Nadzoru wyznaczony zgodnie z art. 31 ust. 1 lit. b) niniejszego rozporządzenia;

| 62) | „Wspólny Komitet” oznacza komitet, o którym mowa w art. 54 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 oraz (UE) nr 1095/2010; |
| --- | --- |

62)

„Wspólny Komitet” oznacza komitet, o którym mowa w art. 54 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 oraz (UE) nr 1095/2010;

| 63) | „małe przedsiębiorstwo” oznacza podmiot finansowy zatrudniający co najmniej 10 osób, ale mniej niż 50 osób, którego roczny obrót lub bilans roczny przekracza 2 mln EUR, ale nie przekracza 10 mln EUR; |
| --- | --- |

63)

„małe przedsiębiorstwo” oznacza podmiot finansowy zatrudniający co najmniej 10 osób, ale mniej niż 50 osób, którego roczny obrót lub bilans roczny przekracza 2 mln EUR, ale nie przekracza 10 mln EUR;

| 64) | „średnie przedsiębiorstwo” oznacza podmiot finansowy niebędący małym przedsiębiorstwem, zatrudniający mniej niż 250 osób i którego roczny obrót nie przekracza 50 mln EUR lub którego bilans roczny nie przekracza 43 mln EUR; |
| --- | --- |

64)

„średnie przedsiębiorstwo” oznacza podmiot finansowy niebędący małym przedsiębiorstwem, zatrudniający mniej niż 250 osób i którego roczny obrót nie przekracza 50 mln EUR lub którego bilans roczny nie przekracza 43 mln EUR;

| 65) | „organ publiczny” oznacza każdy rząd lub inny podmiot administracji publicznej, w tym krajowe banki centralne. |
| --- | --- |

65)

„organ publiczny” oznacza każdy rząd lub inny podmiot administracji publicznej, w tym krajowe banki centralne.

Artykuł 4

Zasada proporcjonalności

1.   Podmioty finansowe stosują przepisy ustanowione w rozdziale II zgodnie z zasadą proporcjonalności, biorąc pod uwagę swoją wielkość i ogólny profil ryzyka oraz charakter, skalę i stopień złożoności swoich usług, działań i operacji.

2.   Dodatkowo podmioty finansowe stosują rozdział III, IV i rozdział V sekcja I w sposób proporcjonalny do swojej wielkości i ogólnego profilu ryzyka oraz charakteru, skali i stopnia złożoności swoich usług, działań i operacji, jak szczegółowo przewidziano w odpowiednich przepisach tych rozdziałów.

3.   Właściwe organy analizują stosowanie zasady proporcjonalności przez podmioty finansowe przy dokonywaniu przeglądu spójności ram zarządzania ryzykiem związanym z ICT na podstawie sprawozdań przedkładanych na żądanie właściwych organów zgodnie z art. 6 ust. 5 i art. 16 ust. 2.

ROZDZIAŁ II

Zarządzanie ryzykiem związanym z ICT

Sekcja I

Artykuł 5

Zarządzanie i organizacja

1.   Podmioty finansowe posiadają wewnętrzne ramy zarządzania i kontroli, które zapewniają skuteczne i ostrożne zarządzanie wszystkimi rodzajami ryzyka związanego z ICT, zgodnie z art. 6 ust. 4, w celu osiągnięcia wysokiego poziomu operacyjnej odporności cyfrowej.

2.   Organ zarządzający podmiotu finansowego określa, zatwierdza i nadzoruje wdrażanie wszystkich ustaleń dotyczących ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6 ust. 1, oraz ponosi odpowiedzialność za ich wdrażanie.

Do celów akapitu pierwszego organ zarządzający:

| a) | ponosi ostateczną odpowiedzialność za zarządzanie ryzykiem związanym z ICT podmiotu finansowego; |
| --- | --- |

a)

ponosi ostateczną odpowiedzialność za zarządzanie ryzykiem związanym z ICT podmiotu finansowego;

| b) | wprowadza polityki mające zapewnić utrzymanie wysokich standardów dostępności, autentyczności, integralności i poufności danych; |
| --- | --- |

b)

wprowadza polityki mające zapewnić utrzymanie wysokich standardów dostępności, autentyczności, integralności i poufności danych;

| c) | ustala wyraźne role i obowiązki w odniesieniu do wszystkich funkcji związanych z ICT i ustanawia odpowiednie rozwiązania w zakresie zarządzania, aby zapewnić skuteczną i terminową komunikację, współpracę i koordynację przy wykonywaniu tych funkcji; |
| --- | --- |

c)

ustala wyraźne role i obowiązki w odniesieniu do wszystkich funkcji związanych z ICT i ustanawia odpowiednie rozwiązania w zakresie zarządzania, aby zapewnić skuteczną i terminową komunikację, współpracę i koordynację przy wykonywaniu tych funkcji;

| d) | ponosi pełną odpowiedzialność za określenie i zatwierdzenie strategii operacyjnej odporności cyfrowej, o czym mowa w art. 6 ust. 8, w tym za określenie odpowiedniego poziomu tolerancji ryzyka związanego z ICT danego podmiotu finansowego, o czym mowa w art. 6 ust. 8 lit. b); |
| --- | --- |

d)

ponosi pełną odpowiedzialność za określenie i zatwierdzenie strategii operacyjnej odporności cyfrowej, o czym mowa w art. 6 ust. 8, w tym za określenie odpowiedniego poziomu tolerancji ryzyka związanego z ICT danego podmiotu finansowego, o czym mowa w art. 6 ust. 8 lit. b);

| e) | zatwierdza i nadzoruje wdrażanie strategii na rzecz ciągłości działania podmiotu finansowego w zakresie ICT oraz planów reagowania i przywracania sprawności ICT, o których mowa odpowiednio w art. 11 ust. 1 i 3 i które mogą być przyjmowane jako specjalna strategia szczegółowa stanowiąca integralną część ogólnej strategii na rzecz ciągłości działania oraz planu reagowania i przywracania sprawności danego podmiotu finansowego, oraz okresowo dokonuje przeglądu wdrażania tej strategii i tych planów; |
| --- | --- |

e)

zatwierdza i nadzoruje wdrażanie strategii na rzecz ciągłości działania podmiotu finansowego w zakresie ICT oraz planów reagowania i przywracania sprawności ICT, o których mowa odpowiednio w art. 11 ust. 1 i 3 i które mogą być przyjmowane jako specjalna strategia szczegółowa stanowiąca integralną część ogólnej strategii na rzecz ciągłości działania oraz planu reagowania i przywracania sprawności danego podmiotu finansowego, oraz okresowo dokonuje przeglądu wdrażania tej strategii i tych planów;

| f) | zatwierdza plany podmiotu finansowego dotyczące wewnętrznych audytów ICT, audyty ICT i ich istotne zmiany i okresowo dokonuje ich przeglądu; |
| --- | --- |

f)

zatwierdza plany podmiotu finansowego dotyczące wewnętrznych audytów ICT, audyty ICT i ich istotne zmiany i okresowo dokonuje ich przeglądu;

| g) | przydziela odpowiedni budżet w celu zaspokojenia potrzeb podmiotu finansowego w zakresie operacyjnej odporności cyfrowej w odniesieniu do wszystkich rodzajów zasobów, w tym odpowiednich programów zwiększania świadomości w zakresie bezpieczeństwa ICT oraz szkoleń w zakresie operacyjnej odporności cyfrowej, o których mowa w art. 13 ust. 6, i umiejętności ICT dla wszystkich pracowników, i okresowo dokonuje jego przeglądu; |
| --- | --- |

g)

przydziela odpowiedni budżet w celu zaspokojenia potrzeb podmiotu finansowego w zakresie operacyjnej odporności cyfrowej w odniesieniu do wszystkich rodzajów zasobów, w tym odpowiednich programów zwiększania świadomości w zakresie bezpieczeństwa ICT oraz szkoleń w zakresie operacyjnej odporności cyfrowej, o których mowa w art. 13 ust. 6, i umiejętności ICT dla wszystkich pracowników, i okresowo dokonuje jego przeglądu;

| h) | zatwierdza politykę podmiotu finansowego w zakresie ustaleń dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT i okresowo dokonuje jej przeglądu; |
| --- | --- |

h)

zatwierdza politykę podmiotu finansowego w zakresie ustaleń dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT i okresowo dokonuje jej przeglądu;

| i) | wprowadza na szczeblu przedsiębiorstwa kanały dokonywania zgłoszeń umożliwiające uzyskiwanie odpowiednich informacji na temat:






  (i) | ustaleń zawartych z zewnętrznymi dostawcami usług ICT w sprawie korzystania z usług ICT, |
| --- | --- | --- |

i)

wprowadza na szczeblu przedsiębiorstwa kanały dokonywania zgłoszeń umożliwiające uzyskiwanie odpowiednich informacji na temat:

(i)

ustaleń zawartych z zewnętrznymi dostawcami usług ICT w sprawie korzystania z usług ICT,

| (ii) | wszelkich planowanych istotnych zmian dotyczących zewnętrznych dostawców usług ICT, |
| --- | --- |

(ii)

wszelkich planowanych istotnych zmian dotyczących zewnętrznych dostawców usług ICT,

| (iii) | potencjalnego wpływu takich zmian na krytyczne lub istotne funkcje objęte tymi ustaleniami, w tym streszczenia analizy ryzyka w celu oceny wpływu tych zmian, oraz co najmniej na temat poważnych incydentów związanych z ICT i ich wpływu jak również na temat środków reagowania, środków przywracania sprawności i środków naprawczych. |
| --- | --- |

(iii)

potencjalnego wpływu takich zmian na krytyczne lub istotne funkcje objęte tymi ustaleniami, w tym streszczenia analizy ryzyka w celu oceny wpływu tych zmian, oraz co najmniej na temat poważnych incydentów związanych z ICT i ich wpływu jak również na temat środków reagowania, środków przywracania sprawności i środków naprawczych.

3.   Podmioty finansowe inne niż mikroprzedsiębiorstwa ustanawiają funkcję w celu monitorowania ustaleń zawartych z zewnętrznymi dostawcami usług ICT w sprawie korzystania z usług ICT lub wyznaczają członka kadry kierowniczej wyższego szczebla jako odpowiedzialnego za nadzorowanie związanej z tym ekspozycji na ryzyko i odpowiedniej dokumentacji.

4.   Członkowie organu zarządzającego podmiotu finansowego aktywnie aktualizują wiedzę i umiejętności wystarczające do zrozumienia i oceny ryzyka związanego z ICT i jego wpływu na operacje podmiotu finansowego, w tym poprzez regularny udział w specjalnych szkoleniach, współmiernych do zarządzanego ryzyka związanego z ICT.

Sekcja II

Artykuł 6

Ramy zarządzania ryzykiem związanym z ICT

1.   Podmioty finansowe dysponują – jako częścią swojego ogólnego systemu zarządzania ryzykiem – solidnymi, kompleksowymi i dobrze udokumentowanymi ramami zarządzania ryzykiem związanym z ICT, które umożliwiają im szybkie, skuteczne i kompleksowe reagowanie na ryzyko związane z ICT oraz zapewnienie wysokiego poziomu operacyjnej odporności cyfrowej.

2.   Ramy zarządzania ryzykiem związanym z ICT obejmują co najmniej strategie, polityki, procedury, protokoły i narzędzia ICT niezbędne do należytej i odpowiedniej ochrony wszystkich odpowiednich zasobów informacyjnych i zasobów ICT, w tym oprogramowania i sprzętu komputerowego, serwerów, a także wszystkich odpowiednich elementów fizycznych i infrastruktury, takich jak obiekty, ośrodki przetwarzania danych i wyznaczone obszary wrażliwe, w celu zapewnienia odpowiedniej ochrony wszystkich zasobów informacyjnych i zasobów ICT przed ryzykiem, w tym przed uszkodzeniem i nieuprawnionym dostępem lub użytkowaniem.

3.   Podmioty finansowe minimalizują wpływ ryzyka związanego z ICT, wdrażając odpowiednie strategie, polityki, procedury, protokoły i narzędzia ICT, zgodnie ze swoimi ramami zarządzania ryzykiem związanym z ICT. Dostarczają one właściwym organom, na ich żądanie, pełnych i aktualnych informacji na temat ryzyka związanego z ICT oraz swoich ram zarządzania ryzykiem związanym z ICT.

4.   Podmioty finansowe inne niż mikroprzedsiębiorstwa powierzają obowiązek zarządzania ryzykiem związanym z ICT i nadzór nad nim funkcji kontroli oraz zapewniają odpowiedni poziom niezależności takiej funkcji kontroli w celu uniknięcia konfliktów interesów. Podmioty finansowe zapewniają odpowiednie rozdzielenie i niezależność funkcji zarządzania ryzykiem związanym z ICT, funkcji kontroli oraz funkcji audytu wewnętrznego, zgodnie z modelem trzech linii obrony lub wewnętrznym modelem zarządzania ryzykiem i kontroli ryzyka.

5.   Ramy zarządzania ryzykiem związanym z ICT są dokumentowane i poddawane przeglądowi co najmniej raz w roku, lub okresowo w przypadku mikroprzedsiębiorstw, a także w przypadku wystąpienia poważnych incydentów związanych z ICT oraz zgodnie z instrukcjami nadzorczymi lub wnioskami wynikającymi z odpowiednich testów lub procesów audytu operacyjnej odporności cyfrowej. Są one stale ulepszane na podstawie wniosków płynących z wdrażania i monitorowania. Sprawozdanie z przeglądu ram zarządzania ryzykiem związanym z ICT przedkłada się właściwemu organowi na jego żądanie.

6.   Ramy zarządzania ryzykiem związanym z ICT podmiotów finansowych innych niż mikroprzedsiębiorstwa są regularnie poddawane audytowi wewnętrznemu przeprowadzanemu przez audytorów zgodnie z planami tych podmiotów finansowych dotyczącymi audytów. Audytorzy ci posiadają wystarczającą wiedzę, umiejętności i wiedzę fachową w zakresie ryzyka związanego z ICT oraz mają odpowiednią niezależność. Częstotliwość i przedmiot audytów ICT są współmierne do ryzyka związanego z ICT danego podmiotu finansowego.

7.   W oparciu o wnioski z przeglądu audytowego, podmioty finansowe ustanawiają formalny proces działań następczych, w tym zasady terminowej weryfikacji oraz wdrażania środków zaradczych w następstwie krytycznych ustaleń audytu ICT.

8.   Ramy zarządzania ryzykiem związanym z ICT obejmują strategię operacyjnej odporności cyfrowej, w której określono sposób wdrażania tych ram. W tym celu strategia operacyjnej odporności cyfrowej zawiera metody przeciwdziałania ryzyku związanemu z ICT i osiągania szczególnych celów w dziedzinie ICT poprzez:

| a) | wyjaśnienie, w jaki sposób ramy zarządzania ryzykiem związanym z ICT wspierają strategię biznesową i cele biznesowe podmiotu finansowego; |
| --- | --- |

a)

wyjaśnienie, w jaki sposób ramy zarządzania ryzykiem związanym z ICT wspierają strategię biznesową i cele biznesowe podmiotu finansowego;

| b) | ustalenie limitu tolerancji ryzyka w odniesieniu do ryzyka związanego z ICT, zgodnie z gotowością podmiotu finansowego do podejmowania ryzyka, oraz analizę tolerancji wpływu zakłóceń w funkcjonowaniu ICT; |
| --- | --- |

b)

ustalenie limitu tolerancji ryzyka w odniesieniu do ryzyka związanego z ICT, zgodnie z gotowością podmiotu finansowego do podejmowania ryzyka, oraz analizę tolerancji wpływu zakłóceń w funkcjonowaniu ICT;

| c) | określenie jasnych celów w zakresie bezpieczeństwa informacji, w tym najważniejszych wskaźników efektywności i kluczowych wskaźników ryzyka; |
| --- | --- |

c)

określenie jasnych celów w zakresie bezpieczeństwa informacji, w tym najważniejszych wskaźników efektywności i kluczowych wskaźników ryzyka;

| d) | objaśnienie referencyjnej architektury ICT oraz wszelkich zmian niezbędnych do osiągnięcia konkretnych celów biznesowych; |
| --- | --- |

d)

objaśnienie referencyjnej architektury ICT oraz wszelkich zmian niezbędnych do osiągnięcia konkretnych celów biznesowych;

| e) | przedstawienie poszczególnych mechanizmów wprowadzonych w celu wykrywania incydentów związanych z ICT, zapobiegania ich skutkom i ochrony przed nimi; |
| --- | --- |

e)

przedstawienie poszczególnych mechanizmów wprowadzonych w celu wykrywania incydentów związanych z ICT, zapobiegania ich skutkom i ochrony przed nimi;

| f) | dokumentowanie obecnej sytuacji w zakresie operacyjnej odporności cyfrowej na podstawie liczby zgłoszonych poważnych incydentów związanych z ICT oraz skuteczności środków zapobiegawczych; |
| --- | --- |

f)

dokumentowanie obecnej sytuacji w zakresie operacyjnej odporności cyfrowej na podstawie liczby zgłoszonych poważnych incydentów związanych z ICT oraz skuteczności środków zapobiegawczych;

| g) | wdrożenie testowania operacyjnej odporności cyfrowej, zgodnie z rozdziałem IV niniejszego rozporządzenia; |
| --- | --- |

g)

wdrożenie testowania operacyjnej odporności cyfrowej, zgodnie z rozdziałem IV niniejszego rozporządzenia;

| h) | przedstawienie strategii komunikacji w przypadku incydentów związanych z ICT, których ujawnienie jest wymagane zgodnie z art. 14. |
| --- | --- |

h)

przedstawienie strategii komunikacji w przypadku incydentów związanych z ICT, których ujawnienie jest wymagane zgodnie z art. 14.

9.   Podmioty finansowe mogą, w kontekście strategii operacyjnej odporności cyfrowej, o której mowa w ust. 8, określić całościową strategię obejmującą wielu dostawców ICT, na poziomie grupy lub podmiotu, przedstawiając w niej kluczowe zależności od zewnętrznych dostawców usług ICT i wyjaśniając przesłanki łączenia zamówień u różnych zewnętrznych dostawców usług ICT.

10.   Podmioty finansowe mogą, zgodnie z unijnym i krajowym prawem sektorowym, zlecić w drodze outsourcingu zadania związane ze sprawdzaniem zgodności z wymogami dotyczącymi zarządzania ryzykiem związanym z ICT przedsiębiorstwom wewnątrz grupy lub przedsiębiorstwom zewnętrznym. W przypadku takiego outsourcingu podmiot finansowy pozostaje w pełni odpowiedzialny za sprawdzanie zgodności z wymogami dotyczącymi zarządzania ryzykiem związanym z ICT.

Artykuł 7

Systemy, protokoły i narzędzia ICT

Aby wyeliminować ryzyko związane z ICT i nim zarządzać, podmioty finansowe wykorzystują i utrzymują zaktualizowane systemy, protokoły i narzędzia ICT, które:

| a) | są odpowiednie do skali operacji wspierających prowadzenie ich działalności, zgodnie z zasadą proporcjonalności, o której mowa w art. 4; |
| --- | --- |

a)

są odpowiednie do skali operacji wspierających prowadzenie ich działalności, zgodnie z zasadą proporcjonalności, o której mowa w art. 4;

| b) | są wiarygodne; |
| --- | --- |

b)

są wiarygodne;

| c) | mają wystarczającą zdolność do dokładnego przetwarzania danych niezbędnych do prowadzenia działalności i terminowego świadczenia usług oraz do obsługi wolumenów zleceń, komunikatów lub transakcji występujących w okresach szczytowego obciążenia, w zależności od potrzeb, w tym w przypadku wprowadzenia nowej technologii; |
| --- | --- |

c)

mają wystarczającą zdolność do dokładnego przetwarzania danych niezbędnych do prowadzenia działalności i terminowego świadczenia usług oraz do obsługi wolumenów zleceń, komunikatów lub transakcji występujących w okresach szczytowego obciążenia, w zależności od potrzeb, w tym w przypadku wprowadzenia nowej technologii;

| d) | są odporne pod względem technologicznym, aby odpowiednio poradzić sobie z dodatkowymi potrzebami w zakresie przetwarzania informacji wymaganymi w skrajnych warunkach rynkowych lub w innych niekorzystnych sytuacjach. |
| --- | --- |

d)

są odporne pod względem technologicznym, aby odpowiednio poradzić sobie z dodatkowymi potrzebami w zakresie przetwarzania informacji wymaganymi w skrajnych warunkach rynkowych lub w innych niekorzystnych sytuacjach.

Artykuł 8

Identyfikacja

1.   W kontekście ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6 ust. 1, podmioty finansowe identyfikują, klasyfikują i odpowiednio dokumentują wszystkie wspierane przez ICT funkcje biznesowe, zadania i obowiązki, zasoby informacyjne i zasoby ICT wspierające te funkcje oraz ich zadania i zależności w odniesieniu do ryzyka związanego z ICT. Podmioty finansowe dokonują w miarę potrzeb, a co najmniej raz w roku, przeglądu adekwatności tej klasyfikacji i wszelkiej stosownej dokumentacji.

2.   Podmioty finansowe na bieżąco identyfikują wszystkie źródła ryzyka związanego z ICT, w szczególności ekspozycję na ryzyko w odniesieniu do innych podmiotów finansowych i pochodzące od tych podmiotów, oraz oceniają cyberzagrożenia i podatności w obszarze ICT istotne dla ich funkcji biznesowych wspieranych przez ICT, zasobów informacyjnych i zasobów ICT. Podmioty finansowe dokonują regularnie, a co najmniej raz w roku, przeglądu scenariuszy ryzyka, które mają na nie wpływ.

3.   Podmioty finansowe inne niż mikroprzedsiębiorstwa przeprowadzają ocenę ryzyka przy każdej większej zmianie w infrastrukturze sieci i systemów informatycznych, w procesach lub procedurach mających wpływ na ich funkcje biznesowe wspierane przez ICT, zasoby informacyjne lub zasoby ICT.

4.   Podmioty finansowe wskazują wszystkie zasoby informacyjne i zasoby ICT, w tym zasoby zdalne, zasoby sieciowe i sprzęt komputerowy, oraz ewidencjonują te z nich, które są uznawane za krytyczne. Podmioty finansowe ewidencjonują konfigurację zasobów informacyjnych i zasobów ICT oraz powiązania i współzależności między poszczególnymi zasobami informacyjnymi i zasobami ICT.

5.   Podmioty finansowe wskazują i dokumentują wszystkie procesy, które zależą od zewnętrznych dostawców usług ICT, oraz wskazują wzajemne powiązania z zewnętrznymi dostawcami usług ICT, którzy świadczą usługi wspierające krytyczne lub istotne funkcje.

6.   Do celów ust. 1, 4 i 5 podmioty finansowe utrzymują odpowiednie wykazy, które są aktualizowane okresowo i przy każdej większej zmianie, o której mowa w ust. 3.

7.   Podmioty finansowe inne niż mikroprzedsiębiorstwa regularnie, a co najmniej raz w roku, przeprowadzają szczegółową ocenę ryzyka związanego z ICT w odniesieniu do wszystkich dotychczasowych systemów ICT, i w każdym przypadku przed połączeniem i po połączeniu technologii, aplikacji lub systemów.

Artykuł 9

Ochrona i zapobieganie

1.   Na potrzeby odpowiedniej ochrony systemów ICT oraz w celu organizacji środków reagowania podmioty finansowe stale monitorują i kontrolują bezpieczeństwo i funkcjonowanie systemów i narzędzi ICT oraz minimalizują wpływ ryzyka związanego z ICT na systemy ICT, wdrażając odpowiednie narzędzia, polityki i procedury w zakresie bezpieczeństwa ICT.

2.   Podmioty finansowe opracowują, pozyskują i wdrażają polityki, procedury, protokoły i narzędzia w zakresie bezpieczeństwa ICT, których celem jest zapewnienie odporności, ciągłości działania i dostępności systemów ICT, w szczególności tych, które wspierają krytyczne lub istotne funkcje, oraz utrzymanie wysokich standardów dostępności, autentyczności, integralności i poufności danych, zarówno gdy są przechowywane, jak i wykorzystywane lub przesyłane.

3.   Aby osiągnąć cele, o których mowa w ust. 2, podmioty finansowe stosują rozwiązania i procesy ICT, które są odpowiednie, zgodnie z art. 4. Te rozwiązania i procesy ICT:

| a) | zapewniają bezpieczeństwo środków przekazywania danych; |
| --- | --- |

a)

zapewniają bezpieczeństwo środków przekazywania danych;

| b) | minimalizują ryzyko uszkodzenia lub utraty danych, nieuprawnionego dostępu i usterek technicznych, które mogą utrudniać prowadzenie działalności gospodarczej; |
| --- | --- |

b)

minimalizują ryzyko uszkodzenia lub utraty danych, nieuprawnionego dostępu i usterek technicznych, które mogą utrudniać prowadzenie działalności gospodarczej;

| c) | zapobiegają brakowi dostępności, osłabianiu autentyczności i integralności, naruszeniom poufności i utracie danych; |
| --- | --- |

c)

zapobiegają brakowi dostępności, osłabianiu autentyczności i integralności, naruszeniom poufności i utracie danych;

| d) | zapewniają ochronę danych przed ryzykiem związanym z zarządzaniem danymi, w tym ryzykiem związanym z niewłaściwym administrowaniem, przetwarzaniem i błędem ludzkim. |
| --- | --- |

d)

zapewniają ochronę danych przed ryzykiem związanym z zarządzaniem danymi, w tym ryzykiem związanym z niewłaściwym administrowaniem, przetwarzaniem i błędem ludzkim.

4.   W kontekście ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6 ust. 1, podmioty finansowe:

| a) | opracowują i dokumentują politykę bezpieczeństwa informacji określającą zasady ochrony dostępności, autentyczności, integralności oraz poufności danych, zasobów informacyjnych i zasobów ICT, w tym, w stosownych przypadkach danych, zasobów informacyjnych i zasobów ICT swoich klientów; |
| --- | --- |

a)

opracowują i dokumentują politykę bezpieczeństwa informacji określającą zasady ochrony dostępności, autentyczności, integralności oraz poufności danych, zasobów informacyjnych i zasobów ICT, w tym, w stosownych przypadkach danych, zasobów informacyjnych i zasobów ICT swoich klientów;

| b) | zgodnie z podejściem opartym na analizie ryzyka ustalają należyte zarządzanie siecią i infrastrukturą z wykorzystaniem odpowiednich technik, metod i protokołów, które mogą obejmować wdrażanie zautomatyzowanych mechanizmów izolowania zasobów informacyjnych na wypadek cyberataków; |
| --- | --- |

b)

zgodnie z podejściem opartym na analizie ryzyka ustalają należyte zarządzanie siecią i infrastrukturą z wykorzystaniem odpowiednich technik, metod i protokołów, które mogą obejmować wdrażanie zautomatyzowanych mechanizmów izolowania zasobów informacyjnych na wypadek cyberataków;

| c) | wdrażają polityki ograniczające fizyczny lub logiczny dostęp do zasobów informacyjnych i zasobów ICT do tego, co jest wymagane jedynie do uzasadnionych i zatwierdzonych funkcji i działań, oraz ustanawiają w tym celu zestaw polityk, procedur i kontroli dotyczących praw zarządzania dostępem i zapewniających należyte zarządzanie tymi prawami; |
| --- | --- |

c)

wdrażają polityki ograniczające fizyczny lub logiczny dostęp do zasobów informacyjnych i zasobów ICT do tego, co jest wymagane jedynie do uzasadnionych i zatwierdzonych funkcji i działań, oraz ustanawiają w tym celu zestaw polityk, procedur i kontroli dotyczących praw zarządzania dostępem i zapewniających należyte zarządzanie tymi prawami;

| d) | wdrażają polityki i protokoły dotyczące silnych mechanizmów uwierzytelniania, oparte na odpowiednich standardach i specjalnych systemach kontroli oraz środkach ochrony kluczy kryptograficznych, dzięki którym dane szyfruje się na podstawie wyników zatwierdzonych procesów klasyfikacji danych i oceny ryzyka związanego z ICT; |
| --- | --- |

d)

wdrażają polityki i protokoły dotyczące silnych mechanizmów uwierzytelniania, oparte na odpowiednich standardach i specjalnych systemach kontroli oraz środkach ochrony kluczy kryptograficznych, dzięki którym dane szyfruje się na podstawie wyników zatwierdzonych procesów klasyfikacji danych i oceny ryzyka związanego z ICT;

| e) | wdrażają udokumentowane polityki, procedury i kontrole w zakresie zarządzania zmianą w systemach ICT, w tym zmianami w oprogramowaniu, sprzęcie komputerowym, komponentach oprogramowania sprzętowego, parametrach systemowych lub parametrach bezpieczeństwa, które opierają się na podejściu opartym na ocenie ryzyka i stanowią integralną część ogólnego procesu zarządzania zmianami w podmiocie finansowym, w celu zapewnienia rejestrowania, testowania, oceniania, zatwierdzania, wdrażania i weryfikowania w sposób kontrolowany wszystkich zmian w systemach ICT; |
| --- | --- |

e)

wdrażają udokumentowane polityki, procedury i kontrole w zakresie zarządzania zmianą w systemach ICT, w tym zmianami w oprogramowaniu, sprzęcie komputerowym, komponentach oprogramowania sprzętowego, parametrach systemowych lub parametrach bezpieczeństwa, które opierają się na podejściu opartym na ocenie ryzyka i stanowią integralną część ogólnego procesu zarządzania zmianami w podmiocie finansowym, w celu zapewnienia rejestrowania, testowania, oceniania, zatwierdzania, wdrażania i weryfikowania w sposób kontrolowany wszystkich zmian w systemach ICT;

| f) | mają odpowiednią i kompleksową udokumentowaną politykę dotyczącą poprawek i aktualizacji. |
| --- | --- |

f)

mają odpowiednią i kompleksową udokumentowaną politykę dotyczącą poprawek i aktualizacji.

Do celów akapitu pierwszego lit. b) podmioty finansowe projektują infrastrukturę przyłączeniową do sieci w sposób umożliwiający jej natychmiastowe wydzielenie lub segmentację w celu zminimalizowania efektu zarażania i zapobiegania mu, zwłaszcza w przypadku wzajemnie powiązanych procesów finansowych.

Do celów akapitu pierwszego lit. e) proces zarządzania zmianami ICT jest zatwierdzany przez właściwe struktury kierownicze i opiera się na specjalnych protokołach.

Artykuł 10

Wykrywanie

1.   Podmioty finansowe dysponują mechanizmami pozwalającymi na szybkie wykrywanie nietypowych działań, zgodnie z art. 17, w tym problemów związanych z wydajnością sieci ICT i incydentów związanych z ICT, oraz na identyfikację potencjalnych istotnych pojedynczych punktów awarii.

Wszystkie mechanizmy wykrywania, o których mowa w akapicie pierwszym, są regularnie testowane zgodnie z art. 25.

2.   Mechanizmy wykrywania, o których mowa w ust. 1, umożliwiają wielopoziomową kontrolę, określają progi alarmowe i kryteria uruchamiania i inicjowania procesów reagowania na incydenty związane z ICT, łącznie z automatycznymi mechanizmami ostrzegawczymi dla odpowiednich pracowników odpowiedzialnych za reagowanie na incydenty związane z ICT.

3.   Podmioty finansowe przeznaczają wystarczające zasoby i zdolności na monitorowanie działalności użytkowników, występowania nieprawidłowości w zakresie ICT oraz incydentów związanych z ICT, w szczególności cyberataków.

4.   Dostawcy usług w zakresie udostępniania informacji dodatkowo posiadają systemy umożliwiające skuteczną kontrolę raportów z transakcji pod kątem kompletności, wykrywanie przeoczeń i oczywistych błędów oraz żądanie ponownego przesłania takich sprawozdań.

Artykuł 11

Reagowanie i przywracania sprawności

1.   W kontekście ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6 ust. 1, oraz w oparciu o wymogi dotyczące identyfikacji określone w art. 8, podmioty finansowe wprowadzają kompleksową strategię na rzecz ciągłości działania w zakresie ICT, która może zostać przyjęta jako specjalna odrębna strategia stanowiąca integralną część ogólnej strategii na rzecz operacyjnej ciągłości działania podmiotu finansowego.

2.   Podmioty finansowe realizują strategię na rzecz ciągłości działania w zakresie ICT poprzez specjalne, odpowiednie i udokumentowane ustalenia, plany, procedury i mechanizmy, których celem jest:

| a) | zapewnienie ciągłości pełnienia przez podmiot finansowy jego krytycznych lub istotnych funkcji; |
| --- | --- |

a)

zapewnienie ciągłości pełnienia przez podmiot finansowy jego krytycznych lub istotnych funkcji;

| b) | szybkie, właściwe i skuteczne reagowanie na wszystkie incydenty związane z ICT i ich rozwiązywanie w sposób ograniczający szkody i nadający priorytet wznowieniu działań i działaniom mającym na celu przywrócenie systemów; |
| --- | --- |

b)

szybkie, właściwe i skuteczne reagowanie na wszystkie incydenty związane z ICT i ich rozwiązywanie w sposób ograniczający szkody i nadający priorytet wznowieniu działań i działaniom mającym na celu przywrócenie systemów;

| c) | bezzwłoczne uruchamianie specjalnych planów umożliwiających zastosowanie środków, procesów i technologii ograniczających rozprzestrzenianie się, dostosowanych do każdego rodzaju incydentu związanego z ICT i zapobiegających dalszym szkodom, jak również dostosowanych do potrzeb procedur reagowania i przywracania sprawności, które to procedury zostały ustanowione zgodnie z art. 12; |
| --- | --- |

c)

bezzwłoczne uruchamianie specjalnych planów umożliwiających zastosowanie środków, procesów i technologii ograniczających rozprzestrzenianie się, dostosowanych do każdego rodzaju incydentu związanego z ICT i zapobiegających dalszym szkodom, jak również dostosowanych do potrzeb procedur reagowania i przywracania sprawności, które to procedury zostały ustanowione zgodnie z art. 12;

| d) | szacowanie wstępnych skutków, szkód i strat; |
| --- | --- |

d)

szacowanie wstępnych skutków, szkód i strat;

| e) | określanie działań w zakresie komunikacji i zarządzania kryzysowego, które zapewniają przekazywanie aktualnych informacji wszystkim odpowiednim pracownikom wewnętrznym i zewnętrznym interesariuszom zgodnie z art. 14 i zgłaszanie ich właściwym organom zgodnie z art. 19. |
| --- | --- |

e)

określanie działań w zakresie komunikacji i zarządzania kryzysowego, które zapewniają przekazywanie aktualnych informacji wszystkim odpowiednim pracownikom wewnętrznym i zewnętrznym interesariuszom zgodnie z art. 14 i zgłaszanie ich właściwym organom zgodnie z art. 19.

3.   W kontekście ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6 ust. 1, podmioty finansowe wdrażają powiązane z ich działalnością plany reagowania i przywracania sprawności ICT, które w przypadku podmiotów finansowych innych niż mikroprzedsiębiorstwa podlegają niezależnym wewnętrznym przeglądom audytowym.

4.   Podmioty finansowe wprowadzają, utrzymują i okresowo testują odpowiednie plany ciągłości działania w zakresie ICT, w szczególności w odniesieniu do krytycznych lub istotnych funkcji zlecanych w drodze outsourcingu zewnętrznym dostawcom usług ICT lub będących przedmiotem ustaleń z tymi dostawcami.

5.   Jako część ogólnej strategii na rzecz ciągłości działania podmioty finansowe przeprowadzają analizę wpływu na działalność (BIA) swojego narażenia na poważne zakłócenia działalności gospodarczej. W ramach BIA podmioty finansowe oceniają potencjalny wpływ poważnych zakłóceń w działalności gospodarczej przy użyciu kryteriów ilościowych i jakościowych, z wykorzystaniem danych wewnętrznych i zewnętrznych oraz analizy scenariuszowej, stosownie do przypadku. BIA uwzględnia krytyczność zidentyfikowanych i zgrupowanych funkcji biznesowych, procesów wsparcia, zależności od zewnętrznych dostawców usług i zasobów informacyjnych, oraz ich współzależności. Podmioty finansowe zapewniają, by zasoby ICT i usługi ICT były projektowane i wykorzystywane z zachowaniem pełnej zgodności z BIA, w szczególności jeśli chodzi o odpowiednie zapewnienie redundancji wszystkich krytycznych komponentów.

6.   W ramach kompleksowego zarządzania ryzykiem związanym z ICT podmioty finansowe:

| a) | co najmniej raz w roku oraz po wprowadzeniu istotnych zmian w systemach ICT wspierających krytyczne lub istotne funkcje testują plany ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT w odniesieniu do systemów ICT wspierających wszystkie funkcje; |
| --- | --- |

a)

co najmniej raz w roku oraz po wprowadzeniu istotnych zmian w systemach ICT wspierających krytyczne lub istotne funkcje testują plany ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT w odniesieniu do systemów ICT wspierających wszystkie funkcje;

| b) | testują plany działań informacyjnych na wypadek wystąpienia sytuacji kryzysowej ustanowione zgodnie z art. 14. |
| --- | --- |

b)

testują plany działań informacyjnych na wypadek wystąpienia sytuacji kryzysowej ustanowione zgodnie z art. 14.

Do celów akapitu pierwszego lit. a) podmioty finansowe inne niż mikroprzedsiębiorstwa uwzględniają w planach testowania scenariusze cyberataków i pracy awaryjnej w trakcie przełączania się z głównej infrastruktury ICT na nadmiarowe zdolności w zakresie ICT, kopie zapasowe i urządzenia redundantne, które są konieczne do wypełniania obowiązków określonych w art. 12.

Podmioty finansowe dokonują regularnych przeglądów swojej strategii na rzecz ciągłości działania w zakresie ICT oraz planów przywracania sprawności ICT, uwzględniając wyniki testów przeprowadzonych zgodnie z akapitem pierwszym oraz zalecenia wynikające z kontroli audytowych lub przeglądów nadzorczych.

7.   Podmioty finansowe inne niż mikroprzedsiębiorstwa posiadają funkcję zarządzania w sytuacji kryzysowej, w której – w przypadku uruchomienia ich planów ciągłości działania w zakresie ICT lub planów reagowania i przywracania sprawności ICT – określono między innymi. jasne procedury zarządzania wewnętrznymi i zewnętrznymi działaniami informacyjnymi na wypadek wystąpienia sytuacji kryzysowej zgodnie z art. 14.

8.   W przypadku uruchomienia planów ciągłości działania w zakresie ICT i planów reagowania i przywracania sprawności ICT podmioty finansowe prowadzą łatwo dostępną ewidencję działań prowadzonych przed wystąpieniem zakłóceń i w trakcie ich wystąpienia.

9.   Centralne depozyty papierów wartościowych dostarczają właściwym organom kopie wyników testów ciągłości działania w zakresie ICT lub podobnych testów.

10.   Podmioty finansowe inne niż mikroprzedsiębiorstwa zgłaszają właściwym organom, na żądanie, szacunkowe łączne roczne koszty i straty spowodowane poważnymi incydentami związanymi z ICT.

11.   Zgodnie z art. 16 rozporządzenia (UE) nr 1093/2010, rozporządzenia (UE) nr 1094/2010 i rozporządzenia (UE) nr 1095/2010 do dnia 17 lipca 2024 r. EUN, za pośrednictwem Wspólnego Komitetu, opracowują wspólne wytyczne w sprawie szacowania łącznych rocznych kosztów i strat, o których mowa w ust. 10.

Artykuł 12

Polityki i procedury tworzenia kopii zapasowych oraz metody i procedury przywracania i odzyskiwania danych

1.   W celu zapewnienia przywrócenia systemów ICT i danych przy minimalnej przerwie, ograniczonych zakłóceniach i stratach, w kontekście ram zarządzania ryzykiem związanym z ICT podmioty finansowe opracowują i dokumentują:

| a) | polityki i procedury tworzenia kopii zapasowych, w których określono zakres danych, które obejmuje kopia zapasowa, oraz minimalną częstotliwość tworzenia kopii zapasowej, w oparciu o krytyczność informacji lub poziom poufności danych; |
| --- | --- |

a)

polityki i procedury tworzenia kopii zapasowych, w których określono zakres danych, które obejmuje kopia zapasowa, oraz minimalną częstotliwość tworzenia kopii zapasowej, w oparciu o krytyczność informacji lub poziom poufności danych;

| b) | procedury i metody przywracania i odzyskiwania danych. |
| --- | --- |

b)

procedury i metody przywracania i odzyskiwania danych.

2.   Podmioty finansowe ustanawiają systemy tworzenia kopii zapasowych, które mogą być uruchamiane zgodnie z politykami i procedurami tworzenia kopii zapasowych oraz procedurami i metodami przywracania i odzyskiwania danych. Uruchomienie systemów tworzenia kopii zapasowych nie może zagrażać bezpieczeństwu sieci i systemów informatycznych ani dostępności, autentyczności, integralności ani poufności danych. Procedury tworzenia kopii zapasowych a także procedury i metody przywracania i odzyskiwania danych są testowane okresowo.

3.   Przywracając dane z kopii zapasowych przy użyciu własnych systemów, podmioty finansowe korzystają z systemów ICT, które są oddzielone fizycznie i logicznie od ich głównego systemu ICT. Systemy ICT są zabezpieczone przed wszelkim nieupoważnionym dostępem lub uszkodzeniem w zakresie ICT i umożliwiają terminowe przywrócenie usług w razie potrzeby przy wykorzystaniu kopii zapasowych danych i systemów.

W przypadku kontrahentów centralnych plany przywracania sprawności umożliwiają odzyskanie wszystkich transakcji realizowanych w chwili wystąpienia zakłócenia, tak aby umożliwić kontrahentowi centralnemu dalsze niezawodne prowadzenie działalności oraz ukończenie rozrachunku w wyznaczonym terminie.

Dostawcy usług w zakresie udostępniania informacji dodatkowo utrzymują odpowiednie zasoby i dysponują urządzeniami służącymi do tworzenia kopii zapasowych i przywracania danych, by móc przez cały czas oferować i utrzymywać swoje usługi.

4.   Podmioty finansowe inne niż mikroprzedsiębiorstwa utrzymują nadmiarowe zdolności w zakresie ICT posiadające zasoby, zdolności i funkcje, które są odpowiednie do zaspokojenia potrzeb biznesowych. Mikroprzedsiębiorstwa oceniają potrzebę utrzymywania takich nadmiarowych zdolności w zakresie ICT wyłącznie w oparciu o swój profil ryzyka.

5.   Centralne depozyty papierów wartościowych utrzymują co najmniej jedną zapasową lokalizację przetwarzania danych, wyposażoną w odpowiednie zasoby, zdolności, funkcje i personel do zaspokojenia potrzeb biznesowych.

Zapasowa lokalizacja przetwarzania danych:

| a) | znajduje się w takiej odległości geograficznej od głównego miejsca przetwarzania danych, która zapewnia posiadanie odmiennego profilu ryzyka i zapobiega oddziaływaniu na nią zdarzenia, które wpłynęło na główne miejsce przetwarzania danych; |
| --- | --- |

a)

znajduje się w takiej odległości geograficznej od głównego miejsca przetwarzania danych, która zapewnia posiadanie odmiennego profilu ryzyka i zapobiega oddziaływaniu na nią zdarzenia, które wpłynęło na główne miejsce przetwarzania danych;

| b) | może zapewnić ciągłość krytycznych lub istotnych funkcji identycznie jak w przypadku głównego miejsca przetwarzania danych lub świadczyć usługi na poziomie niezbędnym do zapewnienia realizacji przez podmiot finansowy operacji krytycznych w ramach celów związanych z przywracaniem sprawności; |
| --- | --- |

b)

może zapewnić ciągłość krytycznych lub istotnych funkcji identycznie jak w przypadku głównego miejsca przetwarzania danych lub świadczyć usługi na poziomie niezbędnym do zapewnienia realizacji przez podmiot finansowy operacji krytycznych w ramach celów związanych z przywracaniem sprawności;

| c) | jest niezwłocznie dostępna dla personelu podmiotu finansowego, aby zapewnić ciągłość krytycznych lub istotnych funkcji, w przypadku gdy główne miejsce przetwarzania danych stanie się niedostępne. |
| --- | --- |

c)

jest niezwłocznie dostępna dla personelu podmiotu finansowego, aby zapewnić ciągłość krytycznych lub istotnych funkcji, w przypadku gdy główne miejsce przetwarzania danych stanie się niedostępne.

6.   Określając zakładany czas przywrócenia systemów oraz akceptowalny poziom utraty danych w odniesieniu do każdej funkcji, podmioty finansowe biorą pod uwagę, czy jest to krytyczna lub istotna funkcja, oraz potencjalny ogólny wpływ na efektywność rynku. Takie zakładane czasy przywrócenia systemów zapewniają osiągnięcie uzgodnionych gwarantowanych poziomów usług w scenariuszach warunków skrajnych.

7.   Podczas przywracania sprawności po incydencie związanym z ICT podmioty finansowe przeprowadzają niezbędne kontrole, w tym wszelkie wielokrotne kontrole i uzgodnienia, w celu zapewnienia najwyższego poziomu integralności danych. Kontrole te przeprowadza się również podczas odtwarzania danych pochodzących od interesariuszy zewnętrznych, aby zapewnić spójność wszystkich danych między systemami.

Artykuł 13

Uczenie się i rozwój

1.   Podmioty finansowe dysponują zdolnościami i personelem umożliwiającymi im gromadzenie informacji na temat podatności oraz cyberzagrożeń, incydentów związanych z ICT, w szczególności cyberataków, oraz analizę ich prawdopodobnego wpływu na operacyjną odporność cyfrową podmiotów finansowych.

2.   Podmioty finansowe przeprowadzają przeglądy incydentów związanych z ICT przeprowadzonych po ich wystąpieniu, gdy taki poważny incydent związany z ICT spowoduje zakłócenia w ich głównej działalności, analizując przyczyny zakłócenia i identyfikując wymagane ulepszenia operacji ICT lub strategii na rzecz ciągłości działania w zakresie ICT, o której mowa w art. 11.

Podmioty finansowe inne niż mikroprzedsiębiorstwa informują właściwe organy, na żądanie, o zmianach wprowadzonych w następstwie przeglądów incydentów związanych z ICT przeprowadzonych po ich wystąpieniu, o których mowa w akapicie pierwszym.

W ramach przeglądów incydentów związanych z ICT, przeprowadzanych po ich wystąpieniu, o których mowa w akapicie pierwszym, bada się, czy przestrzegano ustalonych procedur i czy podjęte działania były skuteczne, w tym pod względem:

| a) | szybkości reagowania na ostrzeżenia dotyczące bezpieczeństwa i określania skutków incydentów związanych z ICT oraz ich dotkliwości; |
| --- | --- |

a)

szybkości reagowania na ostrzeżenia dotyczące bezpieczeństwa i określania skutków incydentów związanych z ICT oraz ich dotkliwości;

| b) | jakości i szybkości przeprowadzania analizy śledczej, w stosownych przypadkach; |
| --- | --- |

b)

jakości i szybkości przeprowadzania analizy śledczej, w stosownych przypadkach;

| c) | skuteczności eskalacji incydentów w podmiocie finansowym; |
| --- | --- |

c)

skuteczności eskalacji incydentów w podmiocie finansowym;

| d) | skuteczności komunikacji wewnętrznej i zewnętrznej. |
| --- | --- |

d)

skuteczności komunikacji wewnętrznej i zewnętrznej.

3.   W procesie oceny ryzyka związanego z ICT należycie uwzględnia się na bieżąco wnioski z testów operacyjnej odporności cyfrowej przeprowadzonych zgodnie z art. 26 i 27 oraz z rzeczywistych incydentów związanych z ICT, w szczególności cyberataków, wraz z wyzwaniami związanymi z uruchomieniem planów ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT, a także z odpowiednimi informacjami wymienianymi z kontrahentami i ocenianymi podczas przeglądów nadzorczych. Ustalenia te stanowią podstawę stosownych przeglądów odpowiednich elementów ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6 ust. 1.

4.   Podmioty finansowe monitorują skuteczność wdrażania swojej strategii operacyjnej odporności cyfrowej określonej w art. 6 ust. 8. Ewidencjonują one zmiany ryzyka związanego z ICT w czasie, analizują częstotliwość, rodzaje, skalę i zmiany incydentów związanych z ICT, w szczególności cyberataków i ich wzorców, w celu zrozumienia poziomu narażenia na ryzyko związane z ICT, w szczególności w odniesieniu do krytycznych lub istotnych funkcji, oraz zwiększenia dojrzałości i gotowości danego podmiotu finansowego do działania w cyberprzestrzeni.

5.   Kadra kierownicza ds. ICT składa organowi zarządzającemu co najmniej raz w roku sprawozdanie z ustaleń, o których mowa w ust. 3, i przedstawia zalecenia.

6.   Podmioty finansowe w ramach swoich programów szkoleniowych dla personelu przygotowują obowiązkowe moduły obejmujące programy zwiększania świadomości w zakresie bezpieczeństwa ICT oraz szkolenia w zakresie operacyjnej odporności cyfrowej. Skierowane są one do wszystkich pracowników oraz do kadry kierowniczej wyższego szczebla, a ich poziom złożoności jest współmierny do funkcji pełnionych przez te osoby. W stosownych przypadkach podmioty finansowe obejmują też zewnętrznych dostawców usług ICT swoimi odnośnymi systemami szkoleń zgodnie z art. 30 ust. 2 lit. i).

7.   Podmioty finansowe inne niż mikroprzedsiębiorstwa na bieżąco monitorują zmiany technologiczne, również aby zrozumieć możliwy wpływ wdrażania takich nowych technologii na wymogi bezpieczeństwa ICT i operacyjną odporność cyfrową. Śledzą one rozwój najnowszych procesów zarządzania ryzykiem związanym z ICT, aby skutecznie przeciwdziałać dotychczasowym lub nowym formom cyberataków.

Artykuł 14

Komunikacja

1.   W kontekście ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6 ust. 1, podmioty finansowe posiadają plany działań informacyjnych na wypadek wystąpienia sytuacji kryzysowej umożliwiające odpowiedzialne ujawnianie, co najmniej, poważnych incydentów związanych z ICT lub podatności klientom i kontrahentom, a także, w stosownych przypadkach, opinii publicznej.

2.   W kontekście ram zarządzania ryzykiem związanym z ICT podmioty finansowe realizują politykę komunikacyjną dla pracowników wewnętrznych i interesariuszy zewnętrznych. W polityce komunikacyjnej skierowanej do pracowników uwzględnia się potrzebę rozróżnienia między pracownikami zaangażowanymi w zarządzanie ryzykiem związanym z ICT, w szczególności pracownikami odpowiedzialnymi za reagowanie i przywracanie sprawności, a pracownikami, których należy informować.

3.   Co najmniej jednej osobie w podmiocie finansowym powierza się zadanie wdrożenia strategii komunikacyjnej w zakresie incydentów związanych z ICT i w tym celu pełni ona funkcję osoby ds. kontaktów z opinią publiczną i mediami.

Artykuł 15

Dalsza harmonizacja narzędzi, metod, procesów i polityk zarządzania ryzykiem związanym z ICT

EUN, za pośrednictwem Wspólnego Komitetu i w porozumieniu z Agencją Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), opracowują wspólne projekty regulacyjnych standardów technicznych w celu:

| a) | doprecyzowania elementów, które należy uwzględnić w politykach, procedurach, protokołach i narzędziach w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2, w celu zapewnienia bezpieczeństwa sieci, odpowiednich zabezpieczeń przed włamaniami i wykorzystaniem danych niezgodnie z przeznaczeniem, zachowania dostępności, autentyczności, integralności oraz poufności danych, w tym technik kryptograficznych, oraz zagwarantowania dokładnego i szybkiego przesyłania danych bez poważnych zakłóceń i zbędnych opóźnień; |
| --- | --- |

a)

doprecyzowania elementów, które należy uwzględnić w politykach, procedurach, protokołach i narzędziach w zakresie bezpieczeństwa ICT, o których mowa w art. 9 ust. 2, w celu zapewnienia bezpieczeństwa sieci, odpowiednich zabezpieczeń przed włamaniami i wykorzystaniem danych niezgodnie z przeznaczeniem, zachowania dostępności, autentyczności, integralności oraz poufności danych, w tym technik kryptograficznych, oraz zagwarantowania dokładnego i szybkiego przesyłania danych bez poważnych zakłóceń i zbędnych opóźnień;

| b) | doprecyzowania elementów kontroli praw zarządzania dostępem, o których mowa w art. 9 ust. 4 lit. c), oraz związanej z nimi polityki zasobów ludzkich określającej prawa dostępu, procedury przyznawania i cofania praw, monitorowanie nietypowych zachowań w odniesieniu do ryzyka związanego z ICT za pomocą odpowiednich wskaźników, w tym dotyczących wzorców wykorzystania sieci, godzin, działalności informatycznej i nieznanych urządzeń; |
| --- | --- |

b)

doprecyzowania elementów kontroli praw zarządzania dostępem, o których mowa w art. 9 ust. 4 lit. c), oraz związanej z nimi polityki zasobów ludzkich określającej prawa dostępu, procedury przyznawania i cofania praw, monitorowanie nietypowych zachowań w odniesieniu do ryzyka związanego z ICT za pomocą odpowiednich wskaźników, w tym dotyczących wzorców wykorzystania sieci, godzin, działalności informatycznej i nieznanych urządzeń;

| c) | doprecyzowania elementów określonych w art. 10 ust. 1 umożliwiających szybkie wykrywanie nietypowych działań oraz określonych w art. 10 ust. 2 kryteriów uruchamiania procesów wykrywania incydentów związanych z ICT i reagowania na nie; |
| --- | --- |

c)

doprecyzowania elementów określonych w art. 10 ust. 1 umożliwiających szybkie wykrywanie nietypowych działań oraz określonych w art. 10 ust. 2 kryteriów uruchamiania procesów wykrywania incydentów związanych z ICT i reagowania na nie;

| d) | doprecyzowania elementów strategii na rzecz ciągłości działania w zakresie ICT, o której mowa w art. 11 ust. 1; |
| --- | --- |

d)

doprecyzowania elementów strategii na rzecz ciągłości działania w zakresie ICT, o której mowa w art. 11 ust. 1;

| e) | doprecyzowania testowania planów ciągłości działania w zakresie ICT, o których mowa w art. 11 ust. 6, aby zapewnić, by w ramach takiego testowania w należyty sposób uwzględniono scenariusze, w których jakość pełnienia krytycznej lub istotnej funkcji pogarsza się do niedopuszczalnego poziomu lub funkcja ta przestaje być pełniona, a także w należyty sposób uwzględniono potencjalny wpływ niewypłacalności lub innych rodzajów awarii któregokolwiek z odnośnych zewnętrznych dostawców usług ICT oraz, w stosownych przypadkach, ryzyko polityczne w jurysdykcjach odnośnych dostawców; |
| --- | --- |

e)

doprecyzowania testowania planów ciągłości działania w zakresie ICT, o których mowa w art. 11 ust. 6, aby zapewnić, by w ramach takiego testowania w należyty sposób uwzględniono scenariusze, w których jakość pełnienia krytycznej lub istotnej funkcji pogarsza się do niedopuszczalnego poziomu lub funkcja ta przestaje być pełniona, a także w należyty sposób uwzględniono potencjalny wpływ niewypłacalności lub innych rodzajów awarii któregokolwiek z odnośnych zewnętrznych dostawców usług ICT oraz, w stosownych przypadkach, ryzyko polityczne w jurysdykcjach odnośnych dostawców;

| f) | doprecyzowania elementów planów reagowania i przywracania sprawności ICT, o których mowa w art. 11 ust. 3; |
| --- | --- |

f)

doprecyzowania elementów planów reagowania i przywracania sprawności ICT, o których mowa w art. 11 ust. 3;

| g) | doprecyzowania treści i formatu sprawozdania z przeglądu ram zarządzania ryzykiem związanym z ICT, o którym mowa w art. 6 ust. 5. |
| --- | --- |

g)

doprecyzowania treści i formatu sprawozdania z przeglądu ram zarządzania ryzykiem związanym z ICT, o którym mowa w art. 6 ust. 5.

Opracowując te projekty regulacyjnych standardów technicznych, EUN biorą pod uwagę wielkość i ogólny profil ryzyka podmiotu finansowego oraz charakter, skalę i stopień złożoności jego usług, działań i operacji, a jednocześnie należycie uwzględniają szczególne cechy wynikające z wyjątkowego charakteru działalności w różnych sektorach usług finansowych.

EUN przedkładają Komisji te projekty regulacyjnych standardów technicznych do dnia 17 stycznia 2024 r.

Komisja jest uprawniona do uzupełnienia niniejszego rozporządzenia w drodze przyjmowania regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 10–14 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

Artykuł 16

Uproszczone ramy zarządzania ryzykiem związanym z ICT

1.   Art. 5–15 niniejszego rozporządzenia nie mają zastosowania do małych i niepowiązanych wzajemnie firm inwestycyjnych, instytucji płatniczych zwolnionych zgodnie z dyrektywą (UE) 2015/2366; instytucji zwolnionych zgodnie z dyrektywą 2013/36/UE, w odniesieniu do których państwa członkowskie podjęły decyzję o niewykorzystywaniu możliwości, o której mowa w art. 2 ust. 4 niniejszego rozporządzenia; instytucji pieniądza elektronicznego zwolnionych zgodnie z dyrektywą 2009/110/WE; oraz małych instytucji pracowniczych programów emerytalnych.

Bez uszczerbku dla akapitu pierwszego, podmioty finansowe wymienione w akapicie pierwszym:

| a) | wprowadzają i utrzymują prawidłowe i udokumentowane ramy zarządzania ryzykiem związanym z ICT, które wyszczególniają mechanizmy i środki mające na celu szybkie, skuteczne i kompleksowe zarządzanie ryzykiem związanym z ICT, w tym w celu ochrony odpowiednich elementów fizycznych i infrastruktury; |
| --- | --- |

a)

wprowadzają i utrzymują prawidłowe i udokumentowane ramy zarządzania ryzykiem związanym z ICT, które wyszczególniają mechanizmy i środki mające na celu szybkie, skuteczne i kompleksowe zarządzanie ryzykiem związanym z ICT, w tym w celu ochrony odpowiednich elementów fizycznych i infrastruktury;

| b) | stale monitorują bezpieczeństwo i funkcjonowanie wszystkich systemów ICT; |
| --- | --- |

b)

stale monitorują bezpieczeństwo i funkcjonowanie wszystkich systemów ICT;

| c) | minimalizują wpływ ryzyka związanego z ICT poprzez stosowanie prawidłowych, odpornych i zaktualizowanych systemów, protokołów i narzędzi ICT, które są odpowiednie do wspierania realizacji ich działań i świadczenia usług i odpowiednio chronią dostępność, autentyczność, integralność oraz poufność danych w sieci i systemach informatycznych; |
| --- | --- |

c)

minimalizują wpływ ryzyka związanego z ICT poprzez stosowanie prawidłowych, odpornych i zaktualizowanych systemów, protokołów i narzędzi ICT, które są odpowiednie do wspierania realizacji ich działań i świadczenia usług i odpowiednio chronią dostępność, autentyczność, integralność oraz poufność danych w sieci i systemach informatycznych;

| d) | umożliwiają szybką identyfikację i wykrywanie źródeł ryzyka związanego z ICT i nieprawidłowości w sieci i systemach informatycznych oraz szybkie reagowanie na incydenty związane z ICT; |
| --- | --- |

d)

umożliwiają szybką identyfikację i wykrywanie źródeł ryzyka związanego z ICT i nieprawidłowości w sieci i systemach informatycznych oraz szybkie reagowanie na incydenty związane z ICT;

| e) | określają najważniejsze zależności od zewnętrznych dostawców usług ICT; |
| --- | --- |

e)

określają najważniejsze zależności od zewnętrznych dostawców usług ICT;

| f) | zapewniają ciągłość krytycznych lub istotnych funkcji poprzez plany ciągłości działania oraz środki reagowania i przywracania sprawności, które obejmują co najmniej środki tworzenia kopii zapasowych i środki przywracania danych; |
| --- | --- |

f)

zapewniają ciągłość krytycznych lub istotnych funkcji poprzez plany ciągłości działania oraz środki reagowania i przywracania sprawności, które obejmują co najmniej środki tworzenia kopii zapasowych i środki przywracania danych;

| g) | regularnie testują plany i środki, o których mowa w lit. f), a także skuteczność działań wdrożonych zgodnie z lit. a) i c); |
| --- | --- |

g)

regularnie testują plany i środki, o których mowa w lit. f), a także skuteczność działań wdrożonych zgodnie z lit. a) i c);

| h) | wdrażają, stosownie do przypadku, odpowiednie wnioski operacyjne wynikające z testów, o których mowa w lit. g), oraz wnioski z analiz przeprowadzonych po wystąpieniu incydentu do procesu oceny ryzyka związanego z ICT i opracowują, stosownie do potrzeb i profilu ryzyka związanego z ICT, programy zwiększania świadomości w zakresie bezpieczeństwa ICT oraz szkoleń w zakresie operacyjnej odporności cyfrowej dla pracowników i kadry zarządzającej. |
| --- | --- |

h)

wdrażają, stosownie do przypadku, odpowiednie wnioski operacyjne wynikające z testów, o których mowa w lit. g), oraz wnioski z analiz przeprowadzonych po wystąpieniu incydentu do procesu oceny ryzyka związanego z ICT i opracowują, stosownie do potrzeb i profilu ryzyka związanego z ICT, programy zwiększania świadomości w zakresie bezpieczeństwa ICT oraz szkoleń w zakresie operacyjnej odporności cyfrowej dla pracowników i kadry zarządzającej.

2.   Ramy zarządzania ryzykiem związanym z ICT, o których mowa w ust. 1 akapit drugi lit. a), są udokumentowane oraz poddawane przeglądowi okresowo i po wystąpieniu poważnych incydentów związanych z ICT, zgodnie z instrukcjami nadzorczymi. Są one stale ulepszane na podstawie wniosków płynących z wdrażania i monitorowania. Sprawozdanie z przeglądu ram zarządzania ryzykiem związanym z ICT przedkłada się właściwemu organowi na jego żądanie.

3.   EUN, za pośrednictwem Wspólnego Komitetu i w porozumieniu z ENISA, opracowują wspólne projekty regulacyjnych standardów technicznych w celu:

| a) | doprecyzowania elementów, jakie należy ująć w ramach zarządzania ryzykiem związanym z ICT, o którym mowa w ust. 1 akapit drugi lit. a); |
| --- | --- |

a)

doprecyzowania elementów, jakie należy ująć w ramach zarządzania ryzykiem związanym z ICT, o którym mowa w ust. 1 akapit drugi lit. a);

| b) | doprecyzowania elementów związanych z systemami, protokołami i narzędziami, aby zminimalizować wpływ ryzyka związanego z ICT, o którym mowa w ust. 1 akapit drugi lit. c), w celu zapewnienia bezpieczeństwa sieci, odpowiednim zabezpieczeniu przed włamaniami i wykorzystaniem danych niezgodnie z przeznaczeniem oraz zachowania dostępności, autentyczności, integralności i poufności danych; |
| --- | --- |

b)

doprecyzowania elementów związanych z systemami, protokołami i narzędziami, aby zminimalizować wpływ ryzyka związanego z ICT, o którym mowa w ust. 1 akapit drugi lit. c), w celu zapewnienia bezpieczeństwa sieci, odpowiednim zabezpieczeniu przed włamaniami i wykorzystaniem danych niezgodnie z przeznaczeniem oraz zachowania dostępności, autentyczności, integralności i poufności danych;

| c) | doprecyzowania elementów planów ciągłości działania w zakresie ICT, o których mowa w ust. 1 akapit drugi lit. f); |
| --- | --- |

c)

doprecyzowania elementów planów ciągłości działania w zakresie ICT, o których mowa w ust. 1 akapit drugi lit. f);

| d) | doprecyzowania przepisów dotyczących testowania planów ciągłości działania oraz zapewnienia skuteczności kontroli, o których mowa w ust. 1 akapit drugi lit. g) oraz zapewnienia, by w ramach takiego testowania w należyty sposób uwzględniono scenariusze, w których jakość pełnienia krytycznej lub istotnej funkcji pogarsza się do niedopuszczalnego poziomu lub funkcja ta przestaje być pełniona; |
| --- | --- |

d)

doprecyzowania przepisów dotyczących testowania planów ciągłości działania oraz zapewnienia skuteczności kontroli, o których mowa w ust. 1 akapit drugi lit. g) oraz zapewnienia, by w ramach takiego testowania w należyty sposób uwzględniono scenariusze, w których jakość pełnienia krytycznej lub istotnej funkcji pogarsza się do niedopuszczalnego poziomu lub funkcja ta przestaje być pełniona;

| e) | doprecyzowania treści i formatu sprawozdania z przeglądu ram zarządzania ryzykiem związanym z ICT, o którym mowa w ust. 2. |
| --- | --- |

e)

doprecyzowania treści i formatu sprawozdania z przeglądu ram zarządzania ryzykiem związanym z ICT, o którym mowa w ust. 2.

Opracowując te projekty regulacyjnych standardów technicznych, EUN biorą pod uwagę wielkość i ogólny profil ryzyka podmiotu finansowego oraz charakter, skalę i stopień złożoności jego usług, działań i operacji.

EUN przedkładają Komisji te projekty regulacyjnych standardów technicznych do dnia 17 stycznia 2024 r.

Komisja jest uprawniona do uzupełnienia niniejszego rozporządzenia w drodze przyjmowania regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 10–14 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

ROZDZIAŁ III

Zarządzanie incydentami związanymi z ICT, ich klasyfikacja i zgłaszanie

Artykuł 17

Proces zarządzania incydentami związanymi z ICT

1.   Podmioty finansowe określają, ustanawiają i wdrażają proces zarządzania incydentami związanymi z ICT w celu wykrywania incydentów związanych z ICT, zarządzania nimi i ich zgłaszania.

2.   Podmioty finansowe rejestrują wszystkie incydenty związane z ICT i znaczące cyberzagrożenia. Podmioty finansowe ustanawiają odpowiednie procedury i procesy mające zapewnić spójne i zintegrowane monitorowanie incydentów związanych z ICT i obsługa takich incydentów oraz działania następcze w związku z takimi incydentami, aby zapewnić zidentyfikowanie, udokumentowanie i wyeliminowanie podstawowych przyczyn, co ma zapobiec występowaniu takich incydentów.

3.   Proces zarządzania incydentami związanymi z ICT, o którym mowa w ust. 1, obejmuje:

| a) | wprowadzenie wskaźników wczesnego ostrzegania; |
| --- | --- |

a)

wprowadzenie wskaźników wczesnego ostrzegania;

| b) | ustanowienie procedur identyfikowania, śledzenia, rejestrowania, kategoryzowania i klasyfikowania incydentów związanych z ICT według ich priorytetu i dotkliwości oraz krytyczności usług, na które incydenty te mają wpływ, zgodnie z kryteriami określonymi w art. 18 ust. 1; |
| --- | --- |

b)

ustanowienie procedur identyfikowania, śledzenia, rejestrowania, kategoryzowania i klasyfikowania incydentów związanych z ICT według ich priorytetu i dotkliwości oraz krytyczności usług, na które incydenty te mają wpływ, zgodnie z kryteriami określonymi w art. 18 ust. 1;

| c) | przydzielenie ról i obowiązków, które należy wprowadzić w przypadku różnych rodzajów incydentów związanych z ICT i odnośnych scenariuszy; |
| --- | --- |

c)

przydzielenie ról i obowiązków, które należy wprowadzić w przypadku różnych rodzajów incydentów związanych z ICT i odnośnych scenariuszy;

| d) | określenie planów działań informacyjnych skierowanych do pracowników, interesariuszy zewnętrznych i mediów zgodnie z art. 14 oraz planów powiadamiania klientów, planów dotyczących wewnętrznych procedur eskalacji, w tym skarg klientów związanych z ICT, jak również, w stosownych przypadkach, dostarczania informacji podmiotom finansowym działającym jako kontrahenci; |
| --- | --- |

d)

określenie planów działań informacyjnych skierowanych do pracowników, interesariuszy zewnętrznych i mediów zgodnie z art. 14 oraz planów powiadamiania klientów, planów dotyczących wewnętrznych procedur eskalacji, w tym skarg klientów związanych z ICT, jak również, w stosownych przypadkach, dostarczania informacji podmiotom finansowym działającym jako kontrahenci;

| e) | zapewnienie zgłaszania co najmniej poważnych incydentów związanych z ICT właściwej kadrze kierowniczej wyższego szczebla oraz informowanie organu zarządzającego co najmniej o poważnych incydentach związanych z ICT wraz z wyjaśnieniem wpływu, reakcji i dodatkowych kontroli, które należy ustanowić w wyniku takich incydentów związanych z ICT; |
| --- | --- |

e)

zapewnienie zgłaszania co najmniej poważnych incydentów związanych z ICT właściwej kadrze kierowniczej wyższego szczebla oraz informowanie organu zarządzającego co najmniej o poważnych incydentach związanych z ICT wraz z wyjaśnieniem wpływu, reakcji i dodatkowych kontroli, które należy ustanowić w wyniku takich incydentów związanych z ICT;

| f) | ustanowienie procedur reagowania na incydenty związane z ICT w celu złagodzenia wpływu i zapewnienia przywrócenia operacyjności i bezpieczeństwa usług w rozsądnym terminie. |
| --- | --- |

f)

ustanowienie procedur reagowania na incydenty związane z ICT w celu złagodzenia wpływu i zapewnienia przywrócenia operacyjności i bezpieczeństwa usług w rozsądnym terminie.

Artykuł 18

Klasyfikacja incydentów związanych z ICT i cyberzagrożeń

1.   Podmioty finansowe dokonują klasyfikacji incydentów związanych z ICT i określają ich wpływ na podstawie następujących kryteriów:

| a) | liczba lub znaczenie klientów lub kontrahentów finansowych oraz, w stosownych przypadkach, kwota lub liczba transakcji, których dotyczy incydent związany z ICT, oraz to, czy taki incydent spowodował skutki reputacyjne; |
| --- | --- |

a)

liczba lub znaczenie klientów lub kontrahentów finansowych oraz, w stosownych przypadkach, kwota lub liczba transakcji, których dotyczy incydent związany z ICT, oraz to, czy taki incydent spowodował skutki reputacyjne;

| b) | czas trwania incydentu związanego z ICT, w tym przerwa w świadczeniu usług; |
| --- | --- |

b)

czas trwania incydentu związanego z ICT, w tym przerwa w świadczeniu usług;

| c) | zasięg geograficzny incydentu związanego z ICT, w szczególności jeżeli dotyczy on więcej niż dwóch państw członkowskich; |
| --- | --- |

c)

zasięg geograficzny incydentu związanego z ICT, w szczególności jeżeli dotyczy on więcej niż dwóch państw członkowskich;

| d) | utrata danych w wyniku incydentu związanego z ICT w kontekście dostępności, autentyczności, integralności lub poufności danych; |
| --- | --- |

d)

utrata danych w wyniku incydentu związanego z ICT w kontekście dostępności, autentyczności, integralności lub poufności danych;

| e) | krytyczność usług, których dotyczy incydent związany z ICT, w tym transakcji i operacji podmiotu finansowego; |
| --- | --- |

e)

krytyczność usług, których dotyczy incydent związany z ICT, w tym transakcji i operacji podmiotu finansowego;

| f) | skutki gospodarcze incydentu związanego z ICT, w szczególności bezpośrednie i pośrednie koszty i straty, zarówno w kategoriach bezwzględnych, jak i względnych. |
| --- | --- |

f)

skutki gospodarcze incydentu związanego z ICT, w szczególności bezpośrednie i pośrednie koszty i straty, zarówno w kategoriach bezwzględnych, jak i względnych.

2.   Podmioty finansowe klasyfikują cyberzagrożenia jako znaczące na podstawie krytyczności usług zagrożonych, w tym narażonych transakcji i operacji podmiotu finansowego, liczby lub znaczenia klientów lub kontrahentów finansowych oraz zasięgu geograficznego zagrożonych obszarów.

3.   EUN, za pośrednictwem Wspólnego Komitetu i w porozumieniu z EBC i ENISA, opracowują wspólne projekty regulacyjnych standardów technicznych określające następujące elementy:

| a) | kryteria określone w ust. 1, w tym progi istotności do celów ustalania poważnych incydentów związanych z ICT lub, stosownie do przypadku, poważnych incydentów operacyjnych lub poważnych incydentów bezpieczeństwa związanych z płatnościami, które podlegają obowiązkowi zgłaszania określonemu w art. 19 ust. 1; |
| --- | --- |

a)

kryteria określone w ust. 1, w tym progi istotności do celów ustalania poważnych incydentów związanych z ICT lub, stosownie do przypadku, poważnych incydentów operacyjnych lub poważnych incydentów bezpieczeństwa związanych z płatnościami, które podlegają obowiązkowi zgłaszania określonemu w art. 19 ust. 1;

| b) | kryteria, które mają być stosowane przez właściwe organy do celów oceny znaczenia poważnych incydentów związanych z ICT lub, stosownie do przypadku, poważnych incydentów operacyjnych lub poważnych incydentów bezpieczeństwa związanych z płatnościami dla właściwych organów w innych państwach członkowskich, oraz szczegółowe informacje dotyczące zgłaszania poważnych incydentów związanych z ICT lub, stosownie do przypadku, poważnych incydentów operacyjnych lub poważnych incydentów bezpieczeństwa związanych z płatnościami, które mają być udostępniane innym właściwym organom zgodnie z art. 19 ust. 6 lub 7; |
| --- | --- |

b)

kryteria, które mają być stosowane przez właściwe organy do celów oceny znaczenia poważnych incydentów związanych z ICT lub, stosownie do przypadku, poważnych incydentów operacyjnych lub poważnych incydentów bezpieczeństwa związanych z płatnościami dla właściwych organów w innych państwach członkowskich, oraz szczegółowe informacje dotyczące zgłaszania poważnych incydentów związanych z ICT lub, stosownie do przypadku, poważnych incydentów operacyjnych lub poważnych incydentów bezpieczeństwa związanych z płatnościami, które mają być udostępniane innym właściwym organom zgodnie z art. 19 ust. 6 lub 7;

| c) | kryteria określone w ust. 2 niniejszego artykułu, w tym wysokie progi istotności do celów ustalania znaczących cyberzagrożeń. |
| --- | --- |

c)

kryteria określone w ust. 2 niniejszego artykułu, w tym wysokie progi istotności do celów ustalania znaczących cyberzagrożeń.

4.   Opracowując wspólne projekty regulacyjnych standardów technicznych, o których mowa w ust. 3 niniejszego artykułu, EUN biorą pod uwagę kryteria określone w art. 4 ust. 2, a także standardy międzynarodowe, wytyczne i specyfikacje opracowane i opublikowane przez ENISA, w tym, w stosownych przypadkach, specyfikacje dotyczące innych sektorów gospodarki. Do celów stosowania kryteriów określonych w art. 4 ust. 2 EUN należycie uwzględniają konieczność zaangażowania przez mikroprzedsiębiorstwa oraz małe i średnie przedsiębiorstwa wystarczających zasobów i zdolności, by zapewnić sprawne zarządzanie incydentami związanymi z ICT.

EUN przedkładają Komisji te wspólne projekty regulacyjnych standardów technicznych do dnia 17 stycznia 2024 r.

Komisja jest uprawniona do uzupełnienia niniejszego rozporządzenia w drodze przyjmowania regulacyjnych standardów technicznych, o których mowa w ust. 3, zgodnie z art. 10–14 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

Artykuł 19

Zgłaszanie poważnych incydentów związanych z ICT i dobrowolne powiadamianie o znaczących cyberzagrożeniach

1.   Podmioty finansowe zgłaszają poważne incydenty związane z ICT odpowiedniemu właściwemu organowi, o którym mowa w art. 46, zgodnie z ust. 4 niniejszego artykułu.

W przypadku gdy nadzór nad podmiotem finansowym sprawuje więcej niż jeden właściwy organ krajowy, o którym mowa w art. 46, państwa członkowskie wyznaczają jeden właściwy organ jako odpowiedni właściwy organ odpowiedzialny za wykonywanie funkcji i obowiązków przewidzianych w tym artykule.

Instytucje kredytowe sklasyfikowane jako istotne zgodnie z art. 6 ust. 4 rozporządzenia (UE) nr 1024/2013 zgłaszają poważne incydenty związane z ICT odpowiedniemu właściwemu organowi krajowemu wyznaczonemu zgodnie z art. 4 dyrektywy 2013/36/UE, który niezwłocznie przekazuje EBC takie sprawozdania.

Do celów akapitu pierwszego podmioty finansowe – po zebraniu i przeanalizowaniu wszystkich istotnych informacji – sporządzają wstępne powiadomienia i sprawozdania, o których mowa w ust. 4 niniejszego artykułu, wykorzystując wzory, o których mowa w art. 20, i przedkładają je właściwemu organowi. W przypadku gdy brak technicznej możliwości nie pozwala na przedłożenie wstępnego powiadomienia z wykorzystaniem wzoru, podmioty finansowe powiadamiają o tym właściwy organ za pomocą alternatywnych środków.

Wstępne powiadomienie i sprawozdania, o których mowa w ust. 4, zawierają wszystkie informacje niezbędne właściwemu organowi do określenia znaczenia poważnego incydentu związanego z ICT oraz do oceny ewentualnych skutków transgranicznych.

Bez uszczerbku dla dokonywania przez podmioty finansowe zgłoszenia zgodnie z akapitem pierwszym do odpowiedniego właściwego organu, państwa członkowskie mogą dodatkowo postanowić, że niektóre lub wszystkie podmioty finansowe mają również przekazywać wstępne powiadomienie i poszczególne sprawozdania, o których mowa w ust. 4 niniejszego artykułu, z wykorzystaniem wzorów, o których mowa w art. 20, właściwym organom lub zespołom reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) wyznaczonym lub ustanowionym zgodnie z dyrektywą (UE) 2022/2555.

2.   Podmioty finansowe mogą dobrowolnie powiadomić odpowiedni właściwy organ o znaczących cyberzagrożeniach, jeżeli uznają dane zagrożenie za istotne dla systemu finansowego, użytkowników usług lub klientów. Odpowiedni właściwy organ może przekazać takie informacje innym odpowiednim organom, o których mowa w ust. 6.

Instytucje kredytowe sklasyfikowane jako istotne zgodnie z art. 6 ust. 4 rozporządzenia (UE) nr 1024/2013 mogą dobrowolnie powiadomić o znaczących cyberzagrożeniach odpowiedni właściwy organ krajowy wyznaczony zgodnie z art. 4 dyrektywy 2013/36/UE, który niezwłocznie przekazuje EBC takie powiadomienia.

Państwa członkowskie mogą postanowić, że te podmioty finansowe, które dobrowolnie przekazują takie powiadomienie zgodnie z akapitem pierwszym, mogą je również przekazać CSIRT wyznaczonym lub ustanowionymi zgodnie z dyrektywą (UE) 2022/2555

3.   W przypadku gdy wystąpi poważny incydent związany z ICT, który ma istotny wpływ na interesy finansowe klientów, podmioty finansowe bez zbędnej zwłoki, gdy tylko się o nim dowiedzą, informują swoich klientów o poważnym incydencie związanym z ICT oraz o środkach, które podjęto w celu złagodzenia negatywnych skutków takiego incydentu.

W przypadku znaczącego cyberzagrożenia podmioty finansowe, w stosownych przypadkach, informują swoich klientów, których może ono dotyczyć, o wszelkich odpowiednich środkach ochrony, których podjęcie klienci ci mogą rozważyć.

4.   W terminach, które zostaną określone zgodnie z art. 20 akapit pierwszy lit. a) ppkt (ii), podmioty finansowe przedkładają odpowiedniemu właściwemu organowi następujące dokumenty:

| a) | wstępne powiadomienie; |
| --- | --- |

a)

wstępne powiadomienie;

| b) | sprawozdanie śródokresowe po wstępnym powiadomieniu, o którym mowa w lit. a), jak tylko status pierwotnego incydentu ulegnie istotnej zmianie lub gdy w oparciu o nowe informacje zmienia się obsługa danego poważnego incydentu związanego z ICT; po tym sprawozdaniu, w stosownych przypadkach, składa się uaktualnione powiadomienia za każdym razem, gdy dostępna jest odpowiednia aktualizacja statusu, jak również na specjalny wniosek właściwego organu; |
| --- | --- |

b)

sprawozdanie śródokresowe po wstępnym powiadomieniu, o którym mowa w lit. a), jak tylko status pierwotnego incydentu ulegnie istotnej zmianie lub gdy w oparciu o nowe informacje zmienia się obsługa danego poważnego incydentu związanego z ICT; po tym sprawozdaniu, w stosownych przypadkach, składa się uaktualnione powiadomienia za każdym razem, gdy dostępna jest odpowiednia aktualizacja statusu, jak również na specjalny wniosek właściwego organu;

| c) | sprawozdanie końcowe, po zakończeniu analizy podstawowych przyczyn, niezależnie od tego, czy wdrożono już środki łagodzące skutki incydentu, oraz po udostępnieniu danych dotyczących rzeczywistego wpływu zastępujących dane szacunkowe. |
| --- | --- |

c)

sprawozdanie końcowe, po zakończeniu analizy podstawowych przyczyn, niezależnie od tego, czy wdrożono już środki łagodzące skutki incydentu, oraz po udostępnieniu danych dotyczących rzeczywistego wpływu zastępujących dane szacunkowe.

5.   Podmioty finansowe mogą zlecić w drodze outsourcingu, zgodnie z unijnym i krajowym prawem sektorowym, zadania związane z obowiązkami sprawozdawczymi na mocy niniejszego artykułu zewnętrznemu dostawcy usług. W przypadku takiego outsourcingu podmiot finansowy pozostaje w pełni odpowiedzialny za spełnienie wymogów dotyczących zgłaszania incydentów.

6.   Po otrzymaniu wstępnego powiadomienia i poszczególnych sprawozdań, o których mowa w ust. 4, właściwy organ w odpowiednim czasie przekazuje szczegółowe informacje na temat danego poważnego incydentu związanego z ICT następującym odbiorcom, z uwzględnieniem, stosownie do przypadku, ich odnośnych kompetencji:

| a) | EUNB, ESMA lub EIOPA; |
| --- | --- |

a)

EUNB, ESMA lub EIOPA;

| b) | EBC w przypadku podmiotów finansowych, o których mowa w art. 2 ust. 1 lit. a), b) i d); oraz |
| --- | --- |

b)

EBC w przypadku podmiotów finansowych, o których mowa w art. 2 ust. 1 lit. a), b) i d); oraz

| c) | właściwym organom, pojedynczym punktom kontaktowym lub CSIRT wyznaczonym lub ustanowionym zgodnie z dyrektywą (UE) 2022/2555; |
| --- | --- |

c)

właściwym organom, pojedynczym punktom kontaktowym lub CSIRT wyznaczonym lub ustanowionym zgodnie z dyrektywą (UE) 2022/2555;

| d) | organom ds. restrukturyzacji i uporządkowanej likwidacji, o których mowa w art. 3 dyrektywy 2014/59/UE, oraz Jednolitej Radzie ds. Restrukturyzacji i Uporządkowanej Likwidacji (SRB) w odniesieniu do podmiotów, o których mowa w art. 7 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 806/2014 (37), i w odniesieniu do podmiotów i grup, o których mowa w art. 7 ust. 4 lit. b) i ust. 5 tego rozporządzenia, jeżeli takie szczegółowe informacje dotyczą incydentów, które mogą zagrażać zapewnieniu funkcji krytycznych w rozumieniu art. 2 ust. 1 pkt 35 dyrektywy 2014/59/UE; oraz |
| --- | --- |

d)

organom ds. restrukturyzacji i uporządkowanej likwidacji, o których mowa w art. 3 dyrektywy 2014/59/UE, oraz Jednolitej Radzie ds. Restrukturyzacji i Uporządkowanej Likwidacji (SRB) w odniesieniu do podmiotów, o których mowa w art. 7 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 806/2014 (37), i w odniesieniu do podmiotów i grup, o których mowa w art. 7 ust. 4 lit. b) i ust. 5 tego rozporządzenia, jeżeli takie szczegółowe informacje dotyczą incydentów, które mogą zagrażać zapewnieniu funkcji krytycznych w rozumieniu art. 2 ust. 1 pkt 35 dyrektywy 2014/59/UE; oraz

| e) | innym odpowiednim organom publicznym zgodnie z prawem krajowym. |
| --- | --- |

e)

innym odpowiednim organom publicznym zgodnie z prawem krajowym.

7.   Po otrzymaniu informacji zgodnie z ust. 6 EUNB, ESMA lub EIOPA i EBC, w porozumieniu z ENISA i we współpracy z odpowiednim właściwym organem, oceniają, czy dany poważny incydent związany z ICT jest istotny dla właściwych organów w innych państwach członkowskich. Po dokonaniu tej oceny EUNB, ESMA lub EIOPA jak najszybciej powiadamiają o jej wynikach odpowiednie właściwe organy w innych państwach członkowskich. EBC powiadamia członków Europejskiego Systemu Banków Centralnych o kwestiach mających znaczenie dla systemu płatności. Na podstawie tego powiadomienia właściwe organy podejmują w stosownych przypadkach wszelkie niezbędne środki w celu ochrony bieżącej stabilności systemu finansowego.

8.   Powiadomienie, które ma zostać przekazane przez ESMA zgodnie z ust. 7 niniejszego artykułu, pozostaje bez uszczerbku dla spoczywającego na odnośnym właściwym organie obowiązku pilnego przekazania szczegółowych informacji na temat danego poważnego incydentu związanego z ICT odpowiedniemu organowi w przyjmującym państwie członkowskim, w którym centralny depozyt papierów wartościowych prowadzi znaczącą działalność transgraniczną, w którym incydent ten prawdopodobnie spowoduje poważne konsekwencje dla jego rynków finansowych i w którym istnieją ustalenia dotyczące współpracy między właściwymi organami w zakresie nadzoru nad podmiotami finansowymi.

Artykuł 20

Harmonizacja treści i wzorów zgłoszeń

EUN, za pośrednictwem Wspólnego Komitetu i w porozumieniu z ENISA i EBC, opracowują:

| a) | wspólne projekty regulacyjnych standardów technicznych w celu:






  (i) | ustalenia treści zgłoszeń dotyczących poważnych incydentów związanych z ICT, aby odzwierciedlić kryteria określone w art. 18 ust. 1 i włączyć dodatkowe elementy, takie jak szczegółowe informacje służące ustaleniu, czy zgłoszone zdarzenie jest istotne dla innych państw członkowskich i czy stanowi poważny incydent operacyjny lub poważny incydent w zakresie bezpieczeństwa związany z płatnościami; |
| --- | --- | --- |

a)

wspólne projekty regulacyjnych standardów technicznych w celu:

(i)

ustalenia treści zgłoszeń dotyczących poważnych incydentów związanych z ICT, aby odzwierciedlić kryteria określone w art. 18 ust. 1 i włączyć dodatkowe elementy, takie jak szczegółowe informacje służące ustaleniu, czy zgłoszone zdarzenie jest istotne dla innych państw członkowskich i czy stanowi poważny incydent operacyjny lub poważny incydent w zakresie bezpieczeństwa związany z płatnościami;

| (ii) | określenia terminów dotyczących wstępnego powiadomienia i poszczególnych sprawozdań, o których mowa w art. 19 ust. 4; |
| --- | --- |

(ii)

określenia terminów dotyczących wstępnego powiadomienia i poszczególnych sprawozdań, o których mowa w art. 19 ust. 4;

| (iii) | ustalenia treści powiadomienia o znaczących cyberzagrożeniach. |
| --- | --- |

(iii)

ustalenia treści powiadomienia o znaczących cyberzagrożeniach.

Opracowując te projekty regulacyjnych standardów technicznych, EUN biorą pod uwagę wielkość i ogólny profil ryzyka podmiotu finansowego oraz charakter, skalę i stopień złożoności jego usług, działań i operacji, w szczególności z myślą o zapewnieniu, by – do celów lit. a) ppkt (ii) niniejszego akapitu – różne terminy mogły odzwierciedlać, stosownie do przypadku, specyfikę poszczególnych sektorów finansowych, bez uszczerbku dla utrzymania spójnego podejścia do kwestii zgłaszania poważnych incydentów związanych z ICT zgodnie z niniejszym rozporządzeniem i dyrektywą (UE) 2022/2555. W stosownych przypadkach EUN przedstawiają uzasadnienie odstąpienia od podejścia przyjętego w kontekście tej dyrektywy;

| b) | wspólne projekty wykonawczych standardów technicznych w celu ustanowienia standardowych formularzy, wzorów i procedur stosowanych przez podmioty finansowe do celów zgłaszania poważnych incydentów związanych z ICT i powiadamiania o znaczących cyberzagrożeniach. |
| --- | --- |

b)

wspólne projekty wykonawczych standardów technicznych w celu ustanowienia standardowych formularzy, wzorów i procedur stosowanych przez podmioty finansowe do celów zgłaszania poważnych incydentów związanych z ICT i powiadamiania o znaczących cyberzagrożeniach.

EUN przedkładają Komisji wspólne projekty regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym lit. a), oraz wspólne projekty wykonawczych standardów technicznych, o których mowa w akapicie pierwszym lit. b), do dnia 17 lipca 2024 r.

Komisja jest uprawniona do uzupełnienia niniejszego rozporządzenia w drodze przyjmowania regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym lit. a), zgodnie z art. 10–14 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

Komisja jest uprawniona do przyjmowania wspólnych wykonawczych standardów technicznych, o których mowa w akapicie pierwszym lit. b), zgodnie z art. 15 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

Artykuł 21

Centralizacja zgłaszania poważnych incydentów związanych z ICT

1.   EUN, za pośrednictwem Wspólnego Komitetu oraz w porozumieniu z EBC i ENISA, przygotowują wspólne sprawozdanie, w którym oceniona zostanie wykonalność dalszej centralizacji zgłaszania incydentów poprzez ustanowienie jednego unijnego węzła informacyjnego na potrzeby zgłaszania poważnych incydentów związanych z ICT przez podmioty finansowe. We wspólnym sprawozdaniu zbadane zostają sposoby ułatwienia przepływu zgłoszeń incydentów związanych z ICT, ograniczenia związanych z nimi kosztów i wsparcia analiz tematycznych w celu zwiększenia konwergencji w zakresie nadzoru.

2.   Wspólne sprawozdanie, o którym mowa w ust. 1, obejmuje co najmniej:

| a) | warunki wstępne do utworzenia jednego unijnego węzła informacyjnego; |
| --- | --- |

a)

warunki wstępne do utworzenia jednego unijnego węzła informacyjnego;

| b) | korzyści, ograniczenia i rodzaje ryzyka, w tym ryzyko związane z dużą koncentracją informacji szczególnie chronionych; |
| --- | --- |

b)

korzyści, ograniczenia i rodzaje ryzyka, w tym ryzyko związane z dużą koncentracją informacji szczególnie chronionych;

| c) | zdolności niezbędne do zapewnienia interoperacyjności w odniesieniu do innych istotnych systemów sprawozdawczości; |
| --- | --- |

c)

zdolności niezbędne do zapewnienia interoperacyjności w odniesieniu do innych istotnych systemów sprawozdawczości;

| d) | elementy zarządzania operacyjnego; |
| --- | --- |

d)

elementy zarządzania operacyjnego;

| e) | warunki członkostwa; |
| --- | --- |

e)

warunki członkostwa;

| f) | ustalenia techniczne umożliwiające dostęp podmiotów finansowych i właściwych organów krajowych do jednego unijnego węzła informacyjnego; |
| --- | --- |

f)

ustalenia techniczne umożliwiające dostęp podmiotów finansowych i właściwych organów krajowych do jednego unijnego węzła informacyjnego;

| g) | wstępną ocenę kosztów finansowych poniesionych w związku z utworzeniem platformy operacyjnej wspierającej pojedynczy unijny węzeł informacyjny, w tym wymaganą wiedzę fachową. |
| --- | --- |

g)

wstępną ocenę kosztów finansowych poniesionych w związku z utworzeniem platformy operacyjnej wspierającej pojedynczy unijny węzeł informacyjny, w tym wymaganą wiedzę fachową.

3.   EUN przedkładają Parlamentowi Europejskiemu, Radzie i Komisji sprawozdanie, o którym mowa w ust. 1, do dnia 17 stycznia 2025 r.

Artykuł 22

Informacje zwrotne od organów nadzoru

1.   Bez uszczerbku dla informacji technicznych, porad lub środków zaradczych oraz działań następczych, które w stosownych przypadkach zgodnie z prawem krajowym CSIRT mogą zapewnić na mocy dyrektywy (UE) 2022/2555, właściwy organ – po otrzymaniu wstępnego powiadomienia i poszczególnych sprawozdań, o których mowa w art. 19 ust. 4 – potwierdza otrzymanie i, gdy jest to wykonalne, może w odpowiednim czasie przekazać danemu podmiotowi finansowemu odpowiednie i proporcjonalne informacje zwrotne lub wskazówki wysokiego poziomu w szczególności poprzez udostępnienie wszelkich istotnych zanonimizowanych informacji i analiz na temat podobnych zagrożeń, oraz może omówić środki zaradcze zastosowane na poziomie danego podmiotu finansowego oraz sposoby zminimalizowania i złagodzenia negatywnego wpływu we wszystkich sektorach finansowych. Bez uszczerbku dla otrzymanych informacji zwrotnych podmioty finansowe pozostają w pełni odpowiedzialne za obsługę incydentów związanych z ICT zgłoszonych zgodnie z art. 19 ust. 1 i za konsekwencje tych incydentów.

2.   EUN, za pośrednictwem Wspólnego Komitetu, składają corocznie, na podstawie zanonimizowanych i zbiorczych danych, sprawozdanie na temat poważnych incydentów związanych z ICT, na podstawie szczegółowych informacji przekazanych przez właściwe organy zgodnie z art. 19 ust. 6, określając co najmniej liczbę poważnych incydentów związanych z ICT, ich charakter i wpływ na operacje podmiotów finansowych lub klientów, podjęte działania naprawcze i poniesione koszty.

EUN wydają ostrzeżenia i opracowują dane statystyczne wysokiego poziomu w celu wsparcia oceny zagrożeń i podatności w obszarze ICT.

Artykuł 23

Incydenty operacyjne lub incydenty bezpieczeństwa związane z płatnościami dotyczące instytucji kredytowych, instytucji płatniczych, dostawców świadczących usługę dostępu do informacji o rachunku i instytucji pieniądza elektronicznego

Wymogi określone w niniejszym rozdziale mają również zastosowanie do incydentów operacyjnych lub incydentów bezpieczeństwa związanych z płatnościami oraz do poważnych incydentów operacyjnych lub poważnych incydentów bezpieczeństwa związanych z płatnościami, w przypadku gdy dotyczą one instytucji kredytowych, instytucji płatniczych, dostawców świadczących usługę dostępu do informacji o rachunku i instytucji pieniądza elektronicznego.

ROZDZIAŁ IV

Testowanie operacyjnej odporności cyfrowej

Artykuł 24

Ogólne wymogi dotyczące testowania operacyjnej odporności cyfrowej

1.   Do celów oceny gotowości do obsługi incydentów związanych z ICT, określania słabości, niedoskonałości i luk w zakresie operacyjnej odporności cyfrowej oraz niezwłocznego wdrażania środków naprawczych podmioty finansowe inne niż mikroprzedsiębiorstwa – biorąc pod uwagę kryteria określone w art. 4 ust. 2 – ustanawiają i utrzymują prawidłowy i kompleksowy program testowania operacyjnej odporności cyfrowej stanowiący integralną część ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6, oraz dokonują przeglądu tego programu.

2.   Program testowania operacyjnej odporności cyfrowej obejmuje szereg ocen, testów, metodyk, praktyk i narzędzi, które należy stosować zgodnie z art. 25 i 26.

3.   Podczas realizacji programu testowania operacyjnej odporności cyfrowej, o którym mowa w ust. 1 niniejszego artykułu, podmioty finansowe inne niż mikroprzedsiębiorstwa stosują podejście oparte na analizie ryzyka i biorą pod uwagę kryteria określone w art. 4 ust. 2, należycie uwzględniając zmieniające się środowisko ryzyka związanego z ICT, wszelkie szczególne rodzaje ryzyka, na które dany podmiot finansowy jest lub może być narażony, krytyczność zasobów informacyjnych i świadczonych usług, jak również wszelkie inne czynniki, które podmiot finansowy uzna za stosowne.

4.   Podmioty finansowe inne niż mikroprzedsiębiorstwa zapewniają, aby testy były przeprowadzane przez niezależne strony wewnętrzne lub zewnętrzne. W przypadku gdy testy są przeprowadzane przez testera wewnętrznego, podmioty finansowe przeznaczają wystarczające zasoby i zapewniają unikanie konfliktów interesów na wszystkich etapach projektowania i wykonywania testu.

5.   Podmioty finansowe inne niż mikroprzedsiębiorstwa ustanawiają procedury i zasady ustalania hierarchii, klasyfikowania i rozwiązywania wszystkich problemów ujawnionych w trakcie przeprowadzania testów oraz ustanawiają wewnętrzne metody zatwierdzania w celu dopilnowania, aby w pełni usunięto wszystkie stwierdzone słabości, niedoskonałości lub luki.

6.   Podmioty finansowe inne niż mikroprzedsiębiorstwa zapewniają, co najmniej raz w roku, przeprowadzenie odpowiednich testów wszystkich systemów i aplikacji ICT wspierających krytyczne lub istotne funkcje.

Artykuł 25

Testowanie narzędzi i systemów ICT

1.   Program testowania operacyjnej odporności cyfrowej, o którym mowa w art. 24, przewiduje, zgodnie z kryteriami określonymi w art. 4 ust. 2, przeprowadzenie odpowiednich testów, takich jak oceny podatności i skanowanie pod tym kątem, analizy otwartego oprogramowania, oceny bezpieczeństwa sieci, analizy braków, fizycznych kontroli bezpieczeństwa, kwestionariusze i rozwiązania w zakresie oprogramowania skanującego, przeglądy kodu źródłowego, gdy jest to wykonalne, testy scenariuszowe, testy kompatybilności, testy wydajności, testy kompleksowe i testy penetracyjne.

2.   Centralne depozyty papierów wartościowych i kontrahenci centralni przeprowadzają oceny podatności przed każdym wdrożeniem lub przeniesieniem nowych lub istniejących aplikacji i elementów infrastruktury oraz usług ICT wspierających krytyczne lub istotne funkcje danego podmiotu finansowego.

3.   Mikroprzedsiębiorstwa przeprowadzają testy, o których mowa w ust. 1, łącząc podejście oparte na analizie ryzyka ze strategicznym planowaniem testowania związanego z ICT i należycie uwzględniając potrzebę utrzymania równowagi między skalą zasobów i czasem, który należy przeznaczyć na testowanie związane z ICT przewidziane w niniejszym artykule, z jednej strony, a pilnością, rodzajem ryzyka, krytycznością zasobów informacyjnych i świadczonych usług, a także wszelkimi innymi istotnymi czynnikami, w tym zdolnością danego podmiotu finansowego do podejmowania świadomego ryzyka, z drugiej strony.

Artykuł 26

Zaawansowane testowanie narzędzi, systemów i procesów ICT z wykorzystaniem TLPT

1.   Podmioty finansowe inne niż podmioty, o których mowa w art. 16 ust. 1 akapit pierwszy, i inne niż mikroprzedsiębiorstwa, które określono zgodnie z ust. 8 akapit trzeci niniejszego artykułu, przeprowadzają nie rzadziej niż co trzy lata zaawansowane testy za pomocą TLPT. W oparciu o profil ryzyka danego podmiotu finansowego i z uwzględnieniem okoliczności operacyjnych właściwy organ może, w razie potrzeby, zwrócić się do tego podmiotu finansowego o zmniejszenie lub zwiększenie częstotliwości przeprowadzania tych testów.

2.   Każdy test penetracyjny pod kątem wyszukiwania zagrożeń obejmuje kilka krytycznych lub istotnych funkcji podmiotu finansowego lub wszystkie te funkcje i jest przeprowadzany na działających systemach produkcyjnych wspierających takie funkcje.

Podmioty finansowe określają wszystkie istotne bazowe systemy, procesy i technologie ICT wspierające krytyczne lub istotne funkcje oraz wszystkie usługi ICT, w tym systemy, procesy i technologie ICT wspierające krytyczne lub istotne funkcje i usługi zlecone w drodze outsourcingu zewnętrznym dostawcom usług ICT lub będące przedmiotem umowy z takimi dostawcami.

Podmioty finansowe oceniają, które krytyczne lub istotne funkcje należy objąć TLPT. Wynik tej oceny określa dokładny zakres TLPT i podlega zatwierdzeniu przez właściwe organy.

3.   W przypadku gdy zakres TLPT obejmuje zewnętrznych dostawców usług ICT, podmiot finansowy stosuje niezbędne środki i zabezpieczenia w celu zapewnienia udziału takich zewnętrznych dostawców usług ICT w TLPT i przez cały czas ponosi pełną odpowiedzialność za zapewnianie zgodności z niniejszym rozporządzeniem.

4.   Bez uszczerbku dla ust. 2 akapity pierwszy i drugi, w przypadku gdy można racjonalnie przewidywać, że udział zewnętrznego dostawcy usług ICT w TLPT, o czym mowa w ust. 3, będzie miał negatywny wpływ na jakość lub bezpieczeństwo usług świadczonych przez tego zewnętrznego dostawcę usług ICT na rzecz klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia lub na poufność danych związanych z takimi usługami, dany podmiot finansowy i dany zewnętrzny dostawca usług ICT mogą uzgodnić na piśmie, że ten zewnętrzny dostawca usług ICT zawrze ustalenia umowne bezpośrednio z testerem zewnętrznym w celu przeprowadzenia – pod kierownictwem jednego wyznaczonego podmiotu finansowego – zbiorczych TLPT z udziałem kilku podmiotów finansowych (testowania zbiorczego), na rzecz których dany zewnętrzny dostawca usług ICT świadczy usługi ICT.

Takie testowanie zbiorcze obejmuje odpowiedni zakres usług ICT wspierających krytyczne lub istotne funkcje będące przedmiotem zawartej przez te podmioty finansowe umowy z tym zewnętrznym dostawcą usług ICT. Testowanie zbiorcze uznaje się za TLPT przeprowadzone przez podmioty finansowe biorące udział w tym testowaniu zbiorczym.

Liczba podmiotów finansowych uczestniczących w testowaniu zbiorczym jest należycie dostosowana i uwzględnia stopień złożoności i rodzaj objętych nim usług.

5.   Podmioty finansowe – we współpracy z zewnętrznymi dostawcami usług ICT i innymi zaangażowanymi stronami, w tym testerami, ale z wyłączeniem właściwych organów – stosują skuteczne środki kontroli zarządzania ryzykiem w celu złagodzenia ryzyka potencjalnego wpływu na dane, szkód dla zasobów i zakłócenia krytycznych lub istotnych funkcji, usług lub operacji samego podmiotu finansowego, jego kontrahentów lub sektora finansowego.

6.   Na koniec testowania, po uzgodnieniu sprawozdań i planów naprawczych, podmiot finansowy i, w stosownych przypadkach, testerzy zewnętrzni przedstawiają organowi wyznaczonemu zgodnie z ust. 9 lub 10 podsumowanie najbardziej istotnych ustaleń, plany naprawcze i dokumentację wykazującą, że TLPT przeprowadzono zgodnie z wymogami.

7.   Organy przekazują podmiotom finansowym poświadczenie, że test został przeprowadzony zgodnie z wymogami potwierdzonymi w dokumentacji, aby umożliwić właściwym organom wzajemne uznawanie testów penetracyjnych pod kątem wyszukiwania zagrożeń. Podmiot finansowy powiadamia odpowiedni właściwy organ o poświadczeniu, podsumowaniu najbardziej istotnych ustaleń i planach naprawczych.

Bez uszczerbku dla takiego poświadczenia podmioty finansowe przez cały czas ponoszą pełną odpowiedzialność za skutki testów, o których mowa w ust. 4.

8.   Podmioty finansowe zawierają z testerami umowy, których przedmiotem jest przeprowadzenie TLPT, zgodnie z art. 27. W przypadku gdy podmioty finansowe korzystają z testerów wewnętrznych w celu przeprowadzenia TLPT, co trzy testy zlecają to zadanie testerom zewnętrznym.

Instytucje kredytowe sklasyfikowane jako istotne zgodnie z art. 6 ust. 4 rozporządzenia (UE) nr 1024/2013, korzystają wyłącznie z testerów zewnętrznych zgodnie z art. 27 ust. 1 lit. a)–e).

Właściwe organy określają podmioty finansowe, od których wymaga się, by przeprowadzały TLPT z uwzględnieniem kryteriów określonych w art. 4 ust. 2, w oparciu o ocenę następujących elementów:

| a) | czynników związanych z wpływem, w szczególności zakresu, w jakim świadczone usługi i działaniami podejmowane przez podmiot finansowy mają wpływ na sektor finansowy; |
| --- | --- |

a)

czynników związanych z wpływem, w szczególności zakresu, w jakim świadczone usługi i działaniami podejmowane przez podmiot finansowy mają wpływ na sektor finansowy;

| b) | ewentualnych obaw dotyczących stabilności finansowej, w tym systemowego charakteru podmiotu finansowego na poziomie unijnym lub krajowym, stosownie do przypadku; |
| --- | --- |

b)

ewentualnych obaw dotyczących stabilności finansowej, w tym systemowego charakteru podmiotu finansowego na poziomie unijnym lub krajowym, stosownie do przypadku;

| c) | specyficznego profilu ryzyka związanego z ICT, poziomu zaawansowania podmiotu finansowego pod względem ICT lub zastosowanych rozwiązań technologicznych. |
| --- | --- |

c)

specyficznego profilu ryzyka związanego z ICT, poziomu zaawansowania podmiotu finansowego pod względem ICT lub zastosowanych rozwiązań technologicznych.

9.   Państwa członkowskie mogą wyznaczyć jeden organ publiczny w sektorze finansowym, który będzie odpowiedzialny za kwestie związane z TLPT w sektorze finansowym na szczeblu krajowym, i powierzają mu wszelkie kompetencje i zadania w tym zakresie.

10.   W przypadku niewyznaczenia takiego organu zgodnie z ust. 9 niniejszego artykułu i bez uszczerbku dla uprawnienia do określenia podmiotów finansowych, które są zobowiązane do przeprowadzania TLPT, właściwy organ może przekazać wykonywanie niektórych lub wszystkich zadań, o których mowa w niniejszym artykule i w art. 26 i 27, innemu organowi krajowemu w sektorze finansowym.

11.   EUN, w porozumieniu z EBC, opracowują wspólne projekty regulacyjnych standardów technicznych zgodnie z ramami TIBER–EU, aby doprecyzować następujące elementy:

| a) | kryteria wykorzystywane do celów stosowania ust. 8 akapit drugi; |
| --- | --- |

a)

kryteria wykorzystywane do celów stosowania ust. 8 akapit drugi;

| b) | wymogi i standardy regulujące korzystanie z testerów wewnętrznych; |
| --- | --- |

b)

wymogi i standardy regulujące korzystanie z testerów wewnętrznych;

| c) | wymogi dotyczące:






  (i) | zakresu TLPT, o których mowa w ust. 2; |
| --- | --- | --- |

c)

wymogi dotyczące:

(i)

zakresu TLPT, o których mowa w ust. 2;

| (ii) | metodyki testowania i podejścia, które należy stosować na każdym konkretnym etapie procesu testowania; |
| --- | --- |

(ii)

metodyki testowania i podejścia, które należy stosować na każdym konkretnym etapie procesu testowania;

| (iii) | etapów testów odnoszących się do wyników, zamykania i środków naprawczych; |
| --- | --- |

(iii)

etapów testów odnoszących się do wyników, zamykania i środków naprawczych;

| d) | rodzaj współpracy w zakresie nadzoru i inne odpowiednie rodzaje współpracy potrzebne do przeprowadzenia TLPT i do ułatwienia wzajemnego uznawania takiego testowania w kontekście podmiotów finansowych, które działają w więcej niż jednym państwie członkowskim, aby umożliwić odpowiedni poziom zaangażowania organów nadzoru i elastyczne wdrażanie uwzględniające specyfikę podsektorów finansowych lub lokalnych rynków finansowych. |
| --- | --- |

d)

rodzaj współpracy w zakresie nadzoru i inne odpowiednie rodzaje współpracy potrzebne do przeprowadzenia TLPT i do ułatwienia wzajemnego uznawania takiego testowania w kontekście podmiotów finansowych, które działają w więcej niż jednym państwie członkowskim, aby umożliwić odpowiedni poziom zaangażowania organów nadzoru i elastyczne wdrażanie uwzględniające specyfikę podsektorów finansowych lub lokalnych rynków finansowych.

Opracowując te projekty regulacyjnych standardów technicznych, EUN należycie uwzględniają szczególne cechy wynikające z wyjątkowego charakteru działalności w różnych sektorach usług finansowych.

EUN przedkładają Komisji te projekty regulacyjnych standardów technicznych do dnia 17 lipca 2024 r.

Komisja jest uprawniona do uzupełnienia niniejszego rozporządzenia w drodze przyjmowania regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 10–14 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

Artykuł 27

Wymogi dotyczące testerów na potrzeby przeprowadzania TLPT

1.   W celu przeprowadzania TLPT podmioty finansowe korzystają wyłącznie z usług testerów, którzy:

| a) | są najbardziej odpowiedni do tego zadania i cieszą się największą renomą; |
| --- | --- |

a)

są najbardziej odpowiedni do tego zadania i cieszą się największą renomą;

| b) | posiadają zdolności techniczne i organizacyjne oraz wykazują się szczególną wiedzą fachową w zakresie analizy zagrożeń, testów penetracyjnych i testów z udziałem zespołów typu red team; |
| --- | --- |

b)

posiadają zdolności techniczne i organizacyjne oraz wykazują się szczególną wiedzą fachową w zakresie analizy zagrożeń, testów penetracyjnych i testów z udziałem zespołów typu red team;

| c) | posiadają certyfikat wydany przez jednostkę akredytującą w państwie członkowskim lub przystąpili do formalnych kodeksów postępowania lub ram etycznych; |
| --- | --- |

c)

posiadają certyfikat wydany przez jednostkę akredytującą w państwie członkowskim lub przystąpili do formalnych kodeksów postępowania lub ram etycznych;

| d) | przedstawiają niezależne zapewnienie lub sprawozdanie z audytu dotyczące należytego zarządzania ryzykiem związanym z przeprowadzaniem TLPT, w tym należytej ochrony poufnych informacji podmiotu finansowego i dochodzenia roszczeń z tytułu ryzyka biznesowego podmiotu finansowego; |
| --- | --- |

d)

przedstawiają niezależne zapewnienie lub sprawozdanie z audytu dotyczące należytego zarządzania ryzykiem związanym z przeprowadzaniem TLPT, w tym należytej ochrony poufnych informacji podmiotu finansowego i dochodzenia roszczeń z tytułu ryzyka biznesowego podmiotu finansowego;

| e) | są należycie i w pełni objęci odpowiednimi ubezpieczeniami od odpowiedzialności cywilnej z tytułu wykonywania zawodu, w tym od ryzyka uchybień i zaniedbań. |
| --- | --- |

e)

są należycie i w pełni objęci odpowiednimi ubezpieczeniami od odpowiedzialności cywilnej z tytułu wykonywania zawodu, w tym od ryzyka uchybień i zaniedbań.

2.   Korzystając z testerów wewnętrznych podmioty finansowe zapewniają, by poza wymogami ust. 1, spełnione były następujące warunki:

| a) | takie korzystanie z testerów wewnętrznych zostało zatwierdzone przez odpowiedni właściwy organ lub przez jeden organ publiczny wyznaczony zgodnie z art. 26 ust. 9 i 10; |
| --- | --- |

a)

takie korzystanie z testerów wewnętrznych zostało zatwierdzone przez odpowiedni właściwy organ lub przez jeden organ publiczny wyznaczony zgodnie z art. 26 ust. 9 i 10;

| b) | odpowiedni właściwy organ sprawdził, że dany podmiot finansowy dysponuje wystarczającymi zasobami przeznaczonymi na ten cel i że zapewnił unikanie konfliktów interesów na wszystkich etapach projektowania i wykonywania testu; oraz |
| --- | --- |

b)

odpowiedni właściwy organ sprawdził, że dany podmiot finansowy dysponuje wystarczającymi zasobami przeznaczonymi na ten cel i że zapewnił unikanie konfliktów interesów na wszystkich etapach projektowania i wykonywania testu; oraz

| c) | dostawca analizy zagrożeń jest podmiotem zewnętrznym względem danego podmiotu finansowego. |
| --- | --- |

c)

dostawca analizy zagrożeń jest podmiotem zewnętrznym względem danego podmiotu finansowego.

3.   Podmioty finansowe zapewniają, aby umowy zawarte z testerami zewnętrznymi wymagały należytego zarządzania wynikami TLPT oraz aby żadne przetwarzanie danych pochodzących z tych wyników, w tym generowanie, przechowywanie, agregowanie, sporządzanie, zgłaszanie, przekazywanie lub niszczenie, nie stwarzały ryzyka dla podmiotu finansowego.

ROZDZIAŁ V

Zarządzanie ryzykiem ze strony zewnętrznych dostawców usług ICT

Sekcja I

Najważniejsze zasady prawidłowego zarządzania ryzykiem ze strony zewnętrznych dostawców usług ICT

Artykuł 28

Zasady ogólne

1.   Podmioty finansowe zarządzają ryzykiem ze strony zewnętrznych dostawców usług ICT integralnym elementem ryzyka związanego z ICT wchodzącym w zakres ich ram zarządzania ryzykiem związanym z ICT, o których mowa w art. 6 ust. 1, oraz zgodnie z opisanymi poniżej zasadami:

| a) | podmioty finansowe, które zawarły ustalenia umowne dotyczące korzystania z usług ICT w celu prowadzenia działalności gospodarczej, przez cały czas ponoszą pełną odpowiedzialność za wypełnianie i wywiązywanie się ze wszystkich obowiązków wynikających z niniejszego rozporządzenia i mających zastosowanie przepisów dotyczących usług finansowych; |
| --- | --- |

a)

podmioty finansowe, które zawarły ustalenia umowne dotyczące korzystania z usług ICT w celu prowadzenia działalności gospodarczej, przez cały czas ponoszą pełną odpowiedzialność za wypełnianie i wywiązywanie się ze wszystkich obowiązków wynikających z niniejszego rozporządzenia i mających zastosowanie przepisów dotyczących usług finansowych;

| b) | zarządzanie przez podmioty finansowe ryzykiem ze strony zewnętrznych dostawców usług ICT odbywa się w świetle zasady proporcjonalności, z uwzględnieniem:






  (i) | charakteru, skali, stopnia złożoności i znaczenia zależności w zakresie ICT; |
| --- | --- | --- |

b)

zarządzanie przez podmioty finansowe ryzykiem ze strony zewnętrznych dostawców usług ICT odbywa się w świetle zasady proporcjonalności, z uwzględnieniem:

(i)

charakteru, skali, stopnia złożoności i znaczenia zależności w zakresie ICT;

| (ii) | ryzyka wynikającego z ustaleń umownych dotyczących korzystania z usług ICT zawartych z zewnętrznymi dostawcami usług ICT, biorąc pod uwagę krytyczność lub istotność danej usługi, procesu lub funkcji oraz potencjalny wpływ na ciągłość i dostępność usług finansowych i działalności finansowej, na poziomie indywidualnym i grupowym. |
| --- | --- |

(ii)

ryzyka wynikającego z ustaleń umownych dotyczących korzystania z usług ICT zawartych z zewnętrznymi dostawcami usług ICT, biorąc pod uwagę krytyczność lub istotność danej usługi, procesu lub funkcji oraz potencjalny wpływ na ciągłość i dostępność usług finansowych i działalności finansowej, na poziomie indywidualnym i grupowym.

2.   Jako część swoich ram zarządzania ryzykiem związanym z ICT podmioty finansowe inne niż podmioty, o których mowa w art. 16 ust. 1 akapit pierwszy, i inne niż mikroprzedsiębiorstwa przyjmują strategię dotyczącą ryzyka ze strony zewnętrznych dostawców usług ICT i regularnie dokonują jej przeglądu, uwzględniając, stosownie do przypadku, strategię obejmującą wielu dostawców, o której mowa w art. 6 ust. 9. Strategia dotycząca ryzyka ze strony zewnętrznych dostawców usług ICT obejmuje politykę korzystania z usług ICT wspierających krytyczne lub istotne funkcje świadczonych przez zewnętrznych dostawców usług ICT i ma zastosowanie na zasadzie indywidualnej oraz, w stosownych przypadkach, na zasadzie subskonsolidowanej i skonsolidowanej. Na podstawie oceny ogólnego profilu ryzyka danego podmiotu finansowego oraz skali i stopnia złożoności usług biznesowych organ zarządzający regularnie dokonuje przeglądu ryzyk zidentyfikowanych w odniesieniu do ustaleń umownych dotyczących korzystania z usług ICT wspierających krytyczne lub istotne funkcje.

3.   W kontekście swoich ram zarządzania ryzykiem związanym z ICT podmioty finansowe utrzymują i aktualizują na poziomie podmiotu oraz na poziomie subskonsolidowanym i skonsolidowanym rejestr informacji w odniesieniu do wszystkich ustaleń umownych dotyczących korzystania z usług ICT świadczonych przez zewnętrznych dostawców usług ICT.

Ustalenia umowne, o których mowa w akapicie pierwszym, są odpowiednio udokumentowane, z rozróżnieniem na ustalenia, które obejmują usługi ICT wspierające krytyczne lub istotne funkcje, oraz ustalenia, które takich funkcji nie wspierają.

Podmioty finansowe co najmniej raz w roku przedstawiają właściwym organom informacje na temat liczby nowych ustaleń dotyczących korzystania z usług ICT, kategorii zewnętrznych dostawców usług ICT, rodzaju ustaleń umownych oraz świadczonych usług ICT i obsługiwanych funkcji.

Podmioty finansowe udostępniają właściwemu organowi, na jego żądanie, pełny rejestr informacji lub, zgodnie z treścią takiego żądania, określone sekcje tego rejestru wraz ze wszelkimi informacjami uznanymi za niezbędne, aby umożliwić skuteczny nadzór nad danym podmiotem finansowym.

Podmioty finansowe informują w odpowiednim terminie właściwy organ o wszelkich planowanych ustaleniach umownych dotyczących korzystania z usług ICT wspierających krytyczne lub istotne funkcje oraz o tym, że dana funkcja stała się krytyczna lub istotna.

4.   Przed zawarciem ustalenia umownego dotyczącego korzystania z usług ICT podmioty finansowe:

| a) | oceniają, czy dane ustalenie umowne dotyczy korzystania z usług ICT wspierających krytyczną lub istotną funkcję; |
| --- | --- |

a)

oceniają, czy dane ustalenie umowne dotyczy korzystania z usług ICT wspierających krytyczną lub istotną funkcję;

| b) | oceniają, czy spełniono warunki nadzorcze dotyczące zawierania umów; |
| --- | --- |

b)

oceniają, czy spełniono warunki nadzorcze dotyczące zawierania umów;

| c) | określają i oceniają wszystkie rodzaje istotnego ryzyka związane z ustaleniem umownym, w tym możliwość, że takie ustalenie umowne może przyczynić się do zwiększenia ryzyka koncentracji w obszarze ICT, o czym mowa w art. 29; |
| --- | --- |

c)

określają i oceniają wszystkie rodzaje istotnego ryzyka związane z ustaleniem umownym, w tym możliwość, że takie ustalenie umowne może przyczynić się do zwiększenia ryzyka koncentracji w obszarze ICT, o czym mowa w art. 29;

| d) | dokładają należytej staranności w stosunku do potencjalnych zewnętrznych dostawców usług ICT i zapewniają, aby w trakcie całego procesu wyboru i oceny zewnętrzny dostawca usług ICT był odpowiedni; |
| --- | --- |

d)

dokładają należytej staranności w stosunku do potencjalnych zewnętrznych dostawców usług ICT i zapewniają, aby w trakcie całego procesu wyboru i oceny zewnętrzny dostawca usług ICT był odpowiedni;

| e) | identyfikują i oceniają konflikty interesów, które mogą wynikać z ustalenia umownego. |
| --- | --- |

e)

identyfikują i oceniają konflikty interesów, które mogą wynikać z ustalenia umownego.

5.   Podmioty finansowe mogą zawierać ustalenia umowne wyłącznie z zewnętrznymi dostawcami usług ICT, którzy przestrzegają odpowiednich standardów w zakresie bezpieczeństwa informacji. W przypadku gdy te ustalenia umowne dotyczą krytycznych lub istotnych funkcji, podmioty finansowe – przed zawarciem takich ustaleń umownych – należycie uwzględniają, czy zewnętrzni dostawcy usług ICT stosują najbardziej aktualne i najwyższe standardy bezpieczeństwa informacji.

6.   Korzystając z praw dostępu, kontroli i audytu w odniesieniu do zewnętrznego dostawcy usług ICT, podmioty finansowe, stosując podejście oparte na analizie ryzyka, określają z góry częstotliwość audytów i kontroli oraz obszary, które mają podlegać kontroli, przestrzegając powszechnie przyjętych standardów audytu zgodnie z wszelkimi instrukcjami nadzorczymi dotyczącymi stosowania i włączania takich standardów audytu.

W przypadku gdy ustalenia umowne dotyczące korzystania z usług ICT zawarte z zewnętrznymi dostawcami usług ICT wiążą się z wysokim stopniem złożoności technicznej, podmiot finansowy sprawdza, czy audytorzy – zarówno wewnętrzni, jak i zewnętrzni lub grupa audytorów – posiadają odpowiednie umiejętności i wiedzę umożliwiające skuteczne przeprowadzanie odpowiednich audytów i ocen.

7.   Podmioty finansowe zapewniają, aby ustalenia umowne dotyczące korzystania z usług ICT mogły być wypowiadane w którejkolwiek z następujących sytuacji:

| a) | poważne naruszenie przez zewnętrznego dostawcę usług ICT obowiązujących przepisów ustawowych, wykonawczych lub warunków umowy; |
| --- | --- |

a)

poważne naruszenie przez zewnętrznego dostawcę usług ICT obowiązujących przepisów ustawowych, wykonawczych lub warunków umowy;

| b) | zidentyfikowanie okoliczności w trakcie monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT, w przypadku których to okoliczności uznano, że mogą one zmienić wykonywanie funkcji przewidzianych w ustaleniu umownym, w tym istotne zmiany mające wpływ na ustalenie umowne lub sytuację zewnętrznego dostawcy usług ICT; |
| --- | --- |

b)

zidentyfikowanie okoliczności w trakcie monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT, w przypadku których to okoliczności uznano, że mogą one zmienić wykonywanie funkcji przewidzianych w ustaleniu umownym, w tym istotne zmiany mające wpływ na ustalenie umowne lub sytuację zewnętrznego dostawcy usług ICT;

| c) | wykazanie w przypadku zewnętrznego dostawcy usług ICT jego słabych stron w zakresie jego ogólnego zarządzania ryzykiem związanym z ICT, a w szczególności, jeżeli chodzi o sposób, w jaki zapewnia on dostępność, autentyczność, integralność i poufność danych, niezależnie od tego, czy chodzi o dane osobowe lub w inny sposób wrażliwe, czy też o dane nieosobowe; |
| --- | --- |

c)

wykazanie w przypadku zewnętrznego dostawcy usług ICT jego słabych stron w zakresie jego ogólnego zarządzania ryzykiem związanym z ICT, a w szczególności, jeżeli chodzi o sposób, w jaki zapewnia on dostępność, autentyczność, integralność i poufność danych, niezależnie od tego, czy chodzi o dane osobowe lub w inny sposób wrażliwe, czy też o dane nieosobowe;

| d) | gdy w wyniku warunków lub okoliczności związanych z danym ustaleniem umownym właściwy organ nie może już skutecznie nadzorować podmiotu finansowego. |
| --- | --- |

d)

gdy w wyniku warunków lub okoliczności związanych z danym ustaleniem umownym właściwy organ nie może już skutecznie nadzorować podmiotu finansowego.

8.   W odniesieniu do usług ICT wspierających krytyczne lub istotne funkcje podmioty finansowe wprowadzają strategie wyjścia. Strategie wyjścia uwzględniają ryzyko, które może pojawić się na poziomie zewnętrznych dostawców usług ICT, w szczególności ich możliwej awarii, pogorszenia jakości świadczonych usług ICT, wszelkich zakłóceń w działalności spowodowanych niewłaściwym lub nieudanym świadczeniem usług ICT lub jakiegokolwiek istotnego ryzyka związanego z odpowiednią i ciągłą realizacją danej usługi ICT lub w razie wypowiedzenia ustaleń umownych z zewnętrznymi dostawcami usług w związku z wystąpieniem którejkolwiek z okoliczności wymienionych w ust. 7.

Podmioty finansowe zapewniają sobie możliwość wycofania się z ustaleń umownych bez:

| a) | powodowania zakłóceń w swojej działalności; |
| --- | --- |

a)

powodowania zakłóceń w swojej działalności;

| b) | ograniczania zgodności z wymogami regulacyjnymi; |
| --- | --- |

b)

ograniczania zgodności z wymogami regulacyjnymi;

| c) | szkody dla ciągłości i jakości usług świadczonych na rzecz klientów. |
| --- | --- |

c)

szkody dla ciągłości i jakości usług świadczonych na rzecz klientów.

Plany wyjścia są kompleksowe, udokumentowane i, zgodnie z kryteriami określonymi w art. 4 ust. 2, wystarczająco przetestowane oraz podlegają okresowym przeglądom.

Podmioty finansowe określają rozwiązania alternatywne i opracowują plany przejściowe umożliwiające im odebranie usług ICT będących przedmiotem umowy oraz odpowiednich danych zewnętrznemu dostawcy usług ICT oraz bezpieczne i integralne przekazanie ich dostawcom alternatywnym lub ponowne włączenie ich do struktury wewnętrznej.

Podmioty finansowe wprowadzają odpowiednie środki awaryjne w celu utrzymania ciągłości działania na wypadek okoliczności, o których mowa w akapicie pierwszym.

9.   EUN, za pośrednictwem Wspólnego Komitetu, opracowują projekty wykonawczych standardów technicznych w celu ustanowienia standardowych wzorów na potrzeby rejestru informacji, o którym mowa w ust. 3, w tym informacji wspólnych dla wszystkich ustaleń umownych dotyczących korzystania z usług ICT. EUN przedkładają Komisji te projekty wykonawczych standardów technicznych do dnia 17 stycznia 2024 r.

Komisja jest uprawniona do przyjmowania wykonawczych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 15 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

10.   EUN, za pośrednictwem Wspólnego Komitetu, opracowują projekty regulacyjnych standardów technicznych w celu doprecyzowania szczegółowej treści polityki, o której mowa w ust. 2, w odniesieniu do ustaleń umownych dotyczących korzystania z usług ICT wspierających krytyczne lub istotne funkcje świadczonych przez zewnętrznych dostawców usług ICT.

Opracowując te projekty regulacyjnych standardów technicznych, EUN biorą pod uwagę wielkość i ogólny profil ryzyka podmiotu finansowego oraz charakter, skalę i stopień złożoności jego usług, działań i operacji. EUN przedkładają Komisji te projekty regulacyjnych standardów technicznych do dnia 17 stycznia 2024 r.

Komisja jest uprawniona do uzupełnienia niniejszego rozporządzenia w drodze przyjmowania regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 10–14 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

Artykuł 29

Wstępna ocena ryzyka koncentracji w obszarze ICT

1.   Dokonując identyfikacji i oceny ryzyka, o czym mowa w art. 28 ust. 4 lit. c), podmioty finansowe biorą również pod uwagę, czy zawarcie planowanego ustalenia umownego w związku z usługami ICT wspierającymi krytyczne lub istotne funkcje prowadziłoby do któregokolwiek z poniższych skutków:

| a) | zawarcia umowy z zewnętrznym dostawcą usług ICT, którego nie można łatwo zastąpić; lub |
| --- | --- |

a)

zawarcia umowy z zewnętrznym dostawcą usług ICT, którego nie można łatwo zastąpić; lub

| b) | posiadania wielu ustaleń umownych dotyczących świadczenia usług ICT wspierających krytyczne lub istotne funkcje z tym samym zewnętrznym dostawcą usług ICT lub z blisko powiązanymi zewnętrznymi dostawcami usług ICT. |
| --- | --- |

b)

posiadania wielu ustaleń umownych dotyczących świadczenia usług ICT wspierających krytyczne lub istotne funkcje z tym samym zewnętrznym dostawcą usług ICT lub z blisko powiązanymi zewnętrznymi dostawcami usług ICT.

Podmioty finansowe rozważają korzyści i koszty rozwiązań alternatywnych, takich jak korzystanie z usług różnych zewnętrznych dostawców usług ICT, biorąc pod uwagę, czy i w jaki sposób przewidywane rozwiązania odpowiadają potrzebom i celom biznesowym określonym w ich strategii odporności cyfrowej.

2.   W przypadku gdy ustalenia umowne dotyczące korzystania z usług ICT wspierających krytyczne lub istotne funkcje obejmują możliwość dalszego zlecania podwykonawstwa usług ICT wspierających krytyczne lub istotne funkcje przez zewnętrznego dostawcę usług ICT innym zewnętrznym dostawcom usług ICT, podmioty finansowe rozważają korzyści i ryzyka, które mogą wystąpić w związku z takim podwykonawstwem, w szczególności w przypadku podwykonawcy ICT mającego siedzibę w państwie trzecim.

W przypadku gdy ustalenia umowne dotyczą usług ICT wspierających krytyczne lub istotne funkcje, podmioty finansowe należycie uwzględniają przepisy prawa upadłościowego, które miałyby zastosowanie w przypadku upadłości zewnętrznego dostawcy usług ICT, a także wszelkie ograniczenia, które mogą powstać w związku z pilnym odzyskiwaniem danych podmiotu finansowego.

W przypadku gdy ustalenia umowne dotyczące korzystania z usług ICT wspierających krytyczne lub istotne funkcje są zawierane z zewnętrznym dostawcą usług ICT mającym siedzibę w państwie trzecim, podmioty finansowe – oprócz kwestii wymienionych w akapicie drugim – biorą pod uwagę również, czy w tym państwie trzecim przestrzega się unijnych przepisów o ochronie danych i skutecznie się je egzekwuje.

W przypadku gdy ustalenia umowne dotyczące korzystania z usług ICT wspierających krytyczne lub istotne funkcje przewidują zlecanie tych usług podwykonawcom, podmioty finansowe oceniają, czy i w jaki sposób potencjalnie długie lub złożone łańcuchy podwykonawstwa mogą wpływać na ich zdolność do pełnego monitorowania funkcji będących przedmiotem umowy oraz na zdolność właściwego organu do skutecznego nadzoru nad podmiotem finansowym w tym zakresie.

Artykuł 30

Najważniejsze postanowienia umowne

1.   Prawa i obowiązki podmiotu finansowego i zewnętrznego dostawcy usług ICT są wyraźnie przypisane i określone na piśmie. Całość umowy obejmuje klauzule o gwarantowanym poziomie usług i jest zawarta w jednym dokumencie mającym formę pisemną, który jest dostępny dla stron w wersji papierowej, lub w dokumencie w innym formacie umożliwiającym pobieranie, zapewniającym trwałość i dostęp.

2.   Ustalenia umowne dotyczące korzystania z usług ICT obejmują co najmniej następujące elementy:

| a) | jasny i kompletny opis wszystkich funkcji i usług ICT, które mają być świadczone przez zewnętrznego dostawcę usług ICT, ze wskazaniem, czy dozwolone jest podwykonawstwo usługi ICT wspierającej krytyczną lub istotną funkcję lub jej istotnych części, a jeżeli tak, to jakie warunki mają zastosowanie do takiego podwykonawstwa; |
| --- | --- |

a)

jasny i kompletny opis wszystkich funkcji i usług ICT, które mają być świadczone przez zewnętrznego dostawcę usług ICT, ze wskazaniem, czy dozwolone jest podwykonawstwo usługi ICT wspierającej krytyczną lub istotną funkcję lub jej istotnych części, a jeżeli tak, to jakie warunki mają zastosowanie do takiego podwykonawstwa;

| b) | miejsca, czyli regiony lub kraje, w których mają być świadczone funkcje i usługi ICT objęte umową lub podwykonawstwem oraz w których mają być przetwarzane dane, w tym miejsce przechowywania, a także wymóg, aby zewnętrzny dostawca usług ICT z wyprzedzeniem powiadomił podmiot finansowy, jeżeli przewiduje zmianę tych miejsc; |
| --- | --- |

b)

miejsca, czyli regiony lub kraje, w których mają być świadczone funkcje i usługi ICT objęte umową lub podwykonawstwem oraz w których mają być przetwarzane dane, w tym miejsce przechowywania, a także wymóg, aby zewnętrzny dostawca usług ICT z wyprzedzeniem powiadomił podmiot finansowy, jeżeli przewiduje zmianę tych miejsc;

| c) | postanowienia dotyczące dostępności, autentyczności, integralności i poufności w związku z ochroną danych, w tym danych osobowych; |
| --- | --- |

c)

postanowienia dotyczące dostępności, autentyczności, integralności i poufności w związku z ochroną danych, w tym danych osobowych;

| d) | postanowienia dotyczące zapewnienia dostępu, odzyskiwania i zwrotu w łatwo dostępnym formacie danych osobowych i nieosobowych przetwarzanych przez podmiot finansowy w przypadku niewypłacalności lub rozwiązania zewnętrznego dostawcy usług ICT lub zaprzestania przez niego działalności gospodarczej lub w przypadku wypowiedzenia ustaleń umownych; |
| --- | --- |

d)

postanowienia dotyczące zapewnienia dostępu, odzyskiwania i zwrotu w łatwo dostępnym formacie danych osobowych i nieosobowych przetwarzanych przez podmiot finansowy w przypadku niewypłacalności lub rozwiązania zewnętrznego dostawcy usług ICT lub zaprzestania przez niego działalności gospodarczej lub w przypadku wypowiedzenia ustaleń umownych;

| e) | opisy gwarantowanych poziomów usług, w tym ich aktualizacje i zmiany; |
| --- | --- |

e)

opisy gwarantowanych poziomów usług, w tym ich aktualizacje i zmiany;

| f) | obowiązek zapewnienia przez zewnętrznego dostawcę usług ICT pomocy podmiotowi finansowemu, bez dodatkowych opłat lub za opłatą określoną ex ante, w przypadku wystąpienia incydentu związanego z ICT dotyczącego usług ICT świadczonych na rzecz tego podmiotu finansowego; |
| --- | --- |

f)

obowiązek zapewnienia przez zewnętrznego dostawcę usług ICT pomocy podmiotowi finansowemu, bez dodatkowych opłat lub za opłatą określoną ex ante, w przypadku wystąpienia incydentu związanego z ICT dotyczącego usług ICT świadczonych na rzecz tego podmiotu finansowego;

| g) | obowiązek zewnętrznego dostawcy usług ICT do pełnej współpracy z właściwymi organami oraz organami przymusowej restrukturyzacji podmiotu finansowego, w tym z osobami przez nie wyznaczonymi; |
| --- | --- |

g)

obowiązek zewnętrznego dostawcy usług ICT do pełnej współpracy z właściwymi organami oraz organami przymusowej restrukturyzacji podmiotu finansowego, w tym z osobami przez nie wyznaczonymi;

| h) | prawa do wypowiedzenia umowy i związane z tym minimalne okresy wypowiedzenia ustaleń umownych, zgodnie z oczekiwaniami właściwych organów i organów ds. restrukturyzacji i uporządkowanej likwidacji; |
| --- | --- |

h)

prawa do wypowiedzenia umowy i związane z tym minimalne okresy wypowiedzenia ustaleń umownych, zgodnie z oczekiwaniami właściwych organów i organów ds. restrukturyzacji i uporządkowanej likwidacji;

| i) | warunki uczestnictwa zewnętrznych dostawców usług ICT w opracowanych przez podmioty finansowe programach zwiększania świadomości w zakresie bezpieczeństwa ICT i szkoleniach w zakresie operacyjnej odporności cyfrowej zgodnie z art. 13 ust. 6. |
| --- | --- |

i)

warunki uczestnictwa zewnętrznych dostawców usług ICT w opracowanych przez podmioty finansowe programach zwiększania świadomości w zakresie bezpieczeństwa ICT i szkoleniach w zakresie operacyjnej odporności cyfrowej zgodnie z art. 13 ust. 6.

3.   Ustalenia umowne dotyczące korzystania z usług ICT wspierających krytyczne lub istotne funkcje zawierają, oprócz elementów, o których mowa w ust. 2, co najmniej następujące elementy:

| a) | pełne opisy gwarantowanych poziomów usług, w tym ich aktualizacje i zmiany, wraz z dokładnymi ilościowymi i jakościowymi celami w zakresie wyników w ramach uzgodnionych gwarantowanych poziomów usług, aby umożliwić podmiotowi finansowemu skuteczne monitorowanie usług ICT oraz umożliwić bezzwłoczne podjęcie odpowiednich działań naprawczych w przypadku nieosiągnięcia uzgodnionych gwarantowanych poziomów usług; |
| --- | --- |

a)

pełne opisy gwarantowanych poziomów usług, w tym ich aktualizacje i zmiany, wraz z dokładnymi ilościowymi i jakościowymi celami w zakresie wyników w ramach uzgodnionych gwarantowanych poziomów usług, aby umożliwić podmiotowi finansowemu skuteczne monitorowanie usług ICT oraz umożliwić bezzwłoczne podjęcie odpowiednich działań naprawczych w przypadku nieosiągnięcia uzgodnionych gwarantowanych poziomów usług;

| b) | okresy wypowiedzenia i obowiązki sprawozdawcze zewnętrznego dostawcy usług ICT w stosunku do podmiotu finansowego, w tym powiadamianie o każdej zmianie, która może mieć istotny wpływ na zdolność skutecznego wykonywania przez tego dostawcę usług ICT wspierających krytyczne lub istotne funkcje z zachowaniem uzgodnionych gwarantowanych poziomów usług; |
| --- | --- |

b)

okresy wypowiedzenia i obowiązki sprawozdawcze zewnętrznego dostawcy usług ICT w stosunku do podmiotu finansowego, w tym powiadamianie o każdej zmianie, która może mieć istotny wpływ na zdolność skutecznego wykonywania przez tego dostawcę usług ICT wspierających krytyczne lub istotne funkcje z zachowaniem uzgodnionych gwarantowanych poziomów usług;

| c) | wymogi wobec zewnętrznego dostawcy usług ICT w zakresie wdrażania i testowania planów awaryjnych w związku z prowadzoną działalnością oraz posiadania środków, narzędzi i polityk w zakresie bezpieczeństwa ICT zapewniających odpowiedni poziom bezpieczeństwa świadczenia usług przez podmiot finansowy zgodnie z jego ramami regulacyjnymi; |
| --- | --- |

c)

wymogi wobec zewnętrznego dostawcy usług ICT w zakresie wdrażania i testowania planów awaryjnych w związku z prowadzoną działalnością oraz posiadania środków, narzędzi i polityk w zakresie bezpieczeństwa ICT zapewniających odpowiedni poziom bezpieczeństwa świadczenia usług przez podmiot finansowy zgodnie z jego ramami regulacyjnymi;

| d) | obowiązek uczestnictwa zewnętrznych dostawców usług ICT w TLPT danego podmiotu finansowego i ich pełnej współpracy w tym zakresie, o czym mowa w art. 26 i 27; |
| --- | --- |

d)

obowiązek uczestnictwa zewnętrznych dostawców usług ICT w TLPT danego podmiotu finansowego i ich pełnej współpracy w tym zakresie, o czym mowa w art. 26 i 27;

| e) | prawo do monitorowania na bieżąco wyników osiąganych przez zewnętrznego dostawcę usług ICT, które obejmuje:






  (i) | nieograniczone prawa dostępu, kontroli i audytu przez podmiot finansowy lub wyznaczoną osobę trzecią i przez właściwy organ oraz prawo sporządzania kopii odnośnej dokumentacji na miejscu, jeżeli mają one kluczowe znaczenie dla operacji zewnętrznego dostawcy usług ICT, przy czym skutecznego wykonywania tych praw nie utrudniają ani nie ograniczają inne ustalenia umowne ani polityka w zakresie wdrażania; |
| --- | --- | --- |

e)

prawo do monitorowania na bieżąco wyników osiąganych przez zewnętrznego dostawcę usług ICT, które obejmuje:

(i)

nieograniczone prawa dostępu, kontroli i audytu przez podmiot finansowy lub wyznaczoną osobę trzecią i przez właściwy organ oraz prawo sporządzania kopii odnośnej dokumentacji na miejscu, jeżeli mają one kluczowe znaczenie dla operacji zewnętrznego dostawcy usług ICT, przy czym skutecznego wykonywania tych praw nie utrudniają ani nie ograniczają inne ustalenia umowne ani polityka w zakresie wdrażania;

| (ii) | prawo do uzgodnienia alternatywnych poziomów zabezpieczenia w przypadku naruszenia praw innych klientów; |
| --- | --- |

(ii)

prawo do uzgodnienia alternatywnych poziomów zabezpieczenia w przypadku naruszenia praw innych klientów;

| (iii) | obowiązek zewnętrznego dostawcy usług ICT do pełnej współpracy podczas kontroli i audytów na miejscu przeprowadzanych przez właściwe organy, wiodący organ nadzorczy, podmiot finansowy lub wyznaczoną osobę trzecią; oraz |
| --- | --- |

(iii)

obowiązek zewnętrznego dostawcy usług ICT do pełnej współpracy podczas kontroli i audytów na miejscu przeprowadzanych przez właściwe organy, wiodący organ nadzorczy, podmiot finansowy lub wyznaczoną osobę trzecią; oraz

| (iv) | obowiązek przekazywania szczegółowych informacji na temat zakresu, mających zastosowanie procedur i częstotliwości takich kontroli i audytów; |
| --- | --- |

(iv)

obowiązek przekazywania szczegółowych informacji na temat zakresu, mających zastosowanie procedur i częstotliwości takich kontroli i audytów;

| f) | strategie wyjścia, w szczególności ustanowienie obowiązkowego odpowiedniego okresu przejściowego:






  (i) | podczas którego zewnętrzny dostawca usług ICT będzie nadal zapewniał odpowiednie funkcje lub usługi ICT w celu zmniejszenia ryzyka wystąpienia zakłóceń w funkcjonowaniu podmiotu finansowego lub w celu zapewnienia jego skutecznej uporządkowanej likwidacji i restrukturyzacji; |
| --- | --- | --- |

f)

strategie wyjścia, w szczególności ustanowienie obowiązkowego odpowiedniego okresu przejściowego:

(i)

podczas którego zewnętrzny dostawca usług ICT będzie nadal zapewniał odpowiednie funkcje lub usługi ICT w celu zmniejszenia ryzyka wystąpienia zakłóceń w funkcjonowaniu podmiotu finansowego lub w celu zapewnienia jego skutecznej uporządkowanej likwidacji i restrukturyzacji;

| (ii) | który umożliwi podmiotowi finansowemu migrację do innego zewnętrznego dostawcy usług ICT lub przejście na rozwiązania dostępne w ramach struktury wewnętrznej stosownie do stopnia złożoności świadczonej usługi. |
| --- | --- |

(ii)

który umożliwi podmiotowi finansowemu migrację do innego zewnętrznego dostawcy usług ICT lub przejście na rozwiązania dostępne w ramach struktury wewnętrznej stosownie do stopnia złożoności świadczonej usługi.

Na zasadzie odstępstwa od lit. e) zewnętrzny dostawca usług ICT i podmiot finansowy będący mikroprzedsiębiorstwem mogą uzgodnić, że przysługujące podmiotowi finansowemu prawa dostępu, kontroli i audytu mogą zostać przekazane niezależnej osobie trzeciej, wyznaczonej przez zewnętrznego dostawcę usług ICT, oraz że podmiot finansowy może w dowolnym momencie zażądać od tej osoby trzeciej informacji o wynikach zewnętrznego dostawcy usług ICT i poświadczenia tych wyników.

4.   Negocjując ustalenia umowne, podmioty finansowe i zewnętrzni dostawcy usług ICT rozważają zastosowanie standardowych klauzul umownych opracowanych przez organy publiczne dla określonych usług.

5.   EUN, za pośrednictwem Wspólnego Komitetu, opracowują projekty regulacyjnych standardów technicznych doprecyzowujących elementy, o których mowa w ust. 2 lit. a), które podmiot finansowy musi określić i ocenić, zlecając podwykonawstwo usług ICT wspierających krytyczne lub istotne funkcje.

Opracowując te projekty regulacyjnych standardów technicznych, EUN biorą pod uwagę wielkość i ogólny profil ryzyka podmiotu finansowego oraz charakter, skalę i stopień złożoności jego usług, działań i operacji.

EUN przedkładają Komisji te projekty regulacyjnych standardów technicznych do dnia 17 lipca 2024 r.

Komisja jest uprawniona do uzupełnienia niniejszego rozporządzenia w drodze przyjmowania regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 10–14 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

Sekcja II

Ramy nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT

Artykuł 31

Wyznaczenie kluczowych zewnętrznych dostawców usług ICT

1.   Za pośrednictwem Wspólnego Komitetu i na podstawie zalecenia forum nadzoru ustanowionego zgodnie z art. 32 ust. 1 EUN:

| a) | wyznaczają zewnętrznych dostawców usług ICT, którzy mają dla podmiotów finansowych kluczowe znaczenie, po przeprowadzeniu oceny uwzględniającej kryteria określone w ust. 2; |
| --- | --- |

a)

wyznaczają zewnętrznych dostawców usług ICT, którzy mają dla podmiotów finansowych kluczowe znaczenie, po przeprowadzeniu oceny uwzględniającej kryteria określone w ust. 2;

| b) | wyznaczają – jako wiodący organ nadzorczy w odniesieniu do każdego z kluczowych zewnętrznych dostawców usług ICT – EUN, który jest odpowiedzialny, zgodnie z rozporządzeniem (UE) nr 1093/2010, rozporządzeniem (UE) nr 1094/2010 lub rozporządzeniem (UE) nr 1095/2010, za podmioty finansowe mające wspólnie największą część łącznych aktywów wszystkich podmiotów finansowych korzystających z usług danego kluczowego zewnętrznego dostawcy usług ICT, wykazanych jako suma indywidualnych bilansów tych podmiotów finansowych. |
| --- | --- |

b)

wyznaczają – jako wiodący organ nadzorczy w odniesieniu do każdego z kluczowych zewnętrznych dostawców usług ICT – EUN, który jest odpowiedzialny, zgodnie z rozporządzeniem (UE) nr 1093/2010, rozporządzeniem (UE) nr 1094/2010 lub rozporządzeniem (UE) nr 1095/2010, za podmioty finansowe mające wspólnie największą część łącznych aktywów wszystkich podmiotów finansowych korzystających z usług danego kluczowego zewnętrznego dostawcy usług ICT, wykazanych jako suma indywidualnych bilansów tych podmiotów finansowych.

2.   Wyznaczenie, o którym mowa w ust. 1 lit. a), w odniesieniu do usług ICT świadczonych przez zewnętrznego dostawcę usług ICT opiera się na wszystkich następujących kryteriach:

| a) | systemowym wpływie na stabilność, ciągłość lub jakość świadczenia usług finansowych, w przypadku gdy dany zewnętrzny dostawca usług ICT musiałby sprostać awarii operacyjnej na dużą skalę w zakresie świadczenia swoich usług, biorąc pod uwagę liczbę podmiotów finansowych i łączną wartość aktywów podmiotów finansowych, na rzecz których dany zewnętrzny dostawca usług ICT świadczy usługi; |
| --- | --- |

a)

systemowym wpływie na stabilność, ciągłość lub jakość świadczenia usług finansowych, w przypadku gdy dany zewnętrzny dostawca usług ICT musiałby sprostać awarii operacyjnej na dużą skalę w zakresie świadczenia swoich usług, biorąc pod uwagę liczbę podmiotów finansowych i łączną wartość aktywów podmiotów finansowych, na rzecz których dany zewnętrzny dostawca usług ICT świadczy usługi;

| b) | systemowym charakterze lub znaczeniu podmiotów finansowych, które korzystają z usług danego zewnętrznego dostawcy usług ICT, ocenianym zgodnie z poniższymi parametrami:






  (i) | liczbą globalnych instytucji o znaczeniu systemowym lub innych instytucji o znaczeniu systemowym, które korzystają z usług danego zewnętrznego dostawcy usług ICT; |
| --- | --- | --- |

b)

systemowym charakterze lub znaczeniu podmiotów finansowych, które korzystają z usług danego zewnętrznego dostawcy usług ICT, ocenianym zgodnie z poniższymi parametrami:

(i)

liczbą globalnych instytucji o znaczeniu systemowym lub innych instytucji o znaczeniu systemowym, które korzystają z usług danego zewnętrznego dostawcy usług ICT;

| (ii) | współzależnością między globalnymi instytucjami o znaczeniu systemowym lub innymi instytucjami o znaczeniu systemowym, o których mowa w ppkt (i), a innymi podmiotami finansowymi, obejmującą sytuacje, w których globalne instytucje o znaczeniu systemowym lub inne instytucje o znaczeniu systemowym świadczą usługi w zakresie infrastruktury finansowej na rzecz innych podmiotów finansowych; |
| --- | --- |

(ii)

współzależnością między globalnymi instytucjami o znaczeniu systemowym lub innymi instytucjami o znaczeniu systemowym, o których mowa w ppkt (i), a innymi podmiotami finansowymi, obejmującą sytuacje, w których globalne instytucje o znaczeniu systemowym lub inne instytucje o znaczeniu systemowym świadczą usługi w zakresie infrastruktury finansowej na rzecz innych podmiotów finansowych;

| c) | zależności podmiotów finansowych od usług świadczonych przez danego zewnętrznego dostawcę usług ICT w odniesieniu do krytycznych lub istotnych funkcji podmiotów finansowych, które ostatecznie obejmują tego samego zewnętrznego dostawcę usług ICT, niezależnie od tego, czy podmioty finansowe korzystają z tych usług bezpośrednio czy pośrednio, w ramach umów dalszego podwykonawstwa; |
| --- | --- |

c)

zależności podmiotów finansowych od usług świadczonych przez danego zewnętrznego dostawcę usług ICT w odniesieniu do krytycznych lub istotnych funkcji podmiotów finansowych, które ostatecznie obejmują tego samego zewnętrznego dostawcę usług ICT, niezależnie od tego, czy podmioty finansowe korzystają z tych usług bezpośrednio czy pośrednio, w ramach umów dalszego podwykonawstwa;

| d) | stopniu substytucyjności zewnętrznego dostawcy usług ICT, biorąc pod uwagę następujące parametry:






  (i) | brak realnych alternatyw, nawet częściowych, ze względu na ograniczoną liczbę zewnętrznych dostawców usług ICT działających na określonym rynku lub udział w rynku danego zewnętrznego dostawcy usług ICT, bądź stopień złożoności technicznej lub zaawansowania technicznego, w tym w odniesieniu do jakiejkolwiek zastrzeżonej technologii, bądź szczególne cechy organizacji lub działalności tego dostawcy; |
| --- | --- | --- |

d)

stopniu substytucyjności zewnętrznego dostawcy usług ICT, biorąc pod uwagę następujące parametry:

(i)

brak realnych alternatyw, nawet częściowych, ze względu na ograniczoną liczbę zewnętrznych dostawców usług ICT działających na określonym rynku lub udział w rynku danego zewnętrznego dostawcy usług ICT, bądź stopień złożoności technicznej lub zaawansowania technicznego, w tym w odniesieniu do jakiejkolwiek zastrzeżonej technologii, bądź szczególne cechy organizacji lub działalności tego dostawcy;

| (ii) | trudności z częściową lub całkowitą migracją stosownych danych i nakładów pracy od danego zewnętrznego dostawcy usług ICT do innego zewnętrznego dostawcy usług ICT, ze względu na znaczące koszty finansowe, czas lub inne zasoby, które mogą wiązać się z procesem migracji, albo ze względu na zwiększone ryzyko związane z ICT lub inne ryzyko operacyjne, na które podmiot finansowy może być narażony w wyniku takiej migracji. |
| --- | --- |

(ii)

trudności z częściową lub całkowitą migracją stosownych danych i nakładów pracy od danego zewnętrznego dostawcy usług ICT do innego zewnętrznego dostawcy usług ICT, ze względu na znaczące koszty finansowe, czas lub inne zasoby, które mogą wiązać się z procesem migracji, albo ze względu na zwiększone ryzyko związane z ICT lub inne ryzyko operacyjne, na które podmiot finansowy może być narażony w wyniku takiej migracji.

3.   W przypadku gdy zewnętrzny dostawca usług ICT należy do grupy, kryteria, o których mowa w ust. 2, są uwzględniane w kontekście usług ICT świadczonych przez grupę jako całość.

4.   Kluczowi zewnętrzni dostawcy usług ICT będący częścią grupy wyznaczają jedną osobę prawną jako punkt koordynacyjny w celu zapewnienia odpowiedniej reprezentacji i komunikacji z wiodącym organem nadzorczym.

5.   Wiodący organ nadzorczy powiadamia zewnętrznego dostawcę usług ICT o wyniku oceny do celów wyznaczenia, o którym mowa w ust. 1 lit. a). W terminie 6 tygodni od daty powiadomienia zewnętrzny dostawca usług ICT może przedłożyć wiodącemu organowi nadzorczemu uzasadnione oświadczenie zawierające wszelkie istotne informacje na potrzeby tej oceny. Wiodący organ nadzorczy analizuje uzasadnione oświadczenie i może zażądać przedłożenia dodatkowych informacji w terminie 30 dni kalendarzowych od otrzymania takiego oświadczenia.

Po wyznaczeniu zewnętrznego dostawcy usług ICT jako kluczowego, EUN, za pośrednictwem Wspólnego Komitetu, powiadamia tego zewnętrznego dostawcę usług ICT o takim wyznaczeniu i o dacie, od której będzie on faktycznie podlegać działaniom nadzorczym. Data ta nie może być późniejsza niż miesiąc po powiadomieniu. Ten zewnętrzny dostawca usług ICT powiadamia o takim wyznaczeniu podmioty finansowe, na rzecz których świadczy usługi.

6.   Komisja jest uprawniona do przyjmowania aktu delegowanego zgodnie z art. 57 w celu uzupełnienia niniejszego rozporządzenia poprzez doprecyzowanie kryteriów, o których mowa w ust. 2 niniejszego artykułu do dnia 17 lipca 2024 r.

7.   Wyznaczenie, o którym mowa w ust. 1 lit. a), nie może być dokonane do czasu przyjęcia przez Komisję aktu delegowanego zgodnie z ust. 6.

8.   Wyznaczenie, o którym mowa w ust. 1 lit. a), nie ma zastosowania do:

| (i) | podmiotów finansowych świadczących usługi ICT na rzecz innych podmiotów finansowych; |
| --- | --- |

(i)

podmiotów finansowych świadczących usługi ICT na rzecz innych podmiotów finansowych;

| (ii) | zewnętrznych dostawców usług ICT, którzy podlegają ramom nadzoru ustanowionym na potrzeby wspierania realizacji zadań, o których mowa w art. 127 ust. 2 Traktatu o funkcjonowaniu Unii Europejskiej; |
| --- | --- |

(ii)

zewnętrznych dostawców usług ICT, którzy podlegają ramom nadzoru ustanowionym na potrzeby wspierania realizacji zadań, o których mowa w art. 127 ust. 2 Traktatu o funkcjonowaniu Unii Europejskiej;

| (iii) | dostawców usług ICT wewnątrz grupy; |
| --- | --- |

(iii)

dostawców usług ICT wewnątrz grupy;

| (iv) | zewnętrznych dostawców usług ICT świadczących usługi ICT wyłącznie w jednym państwie członkowskim na rzecz podmiotów finansowych działających tylko w tym państwie członkowskim. |
| --- | --- |

(iv)

zewnętrznych dostawców usług ICT świadczących usługi ICT wyłącznie w jednym państwie członkowskim na rzecz podmiotów finansowych działających tylko w tym państwie członkowskim.

9.   EUN, za pośrednictwem Wspólnego Komitetu, sporządzają, publikują i co roku aktualizują wykaz kluczowych zewnętrznych dostawców usług ICT na szczeblu Unii.

10.   Do celów ust. 1 lit. a) właściwe organy przekazują forum nadzoru ustanowionemu zgodnie z art. 32 sprawozdania w ujęciu rocznym i zagregowanym, o których mowa w art. 28 ust. 3 akapit trzeci. Forum nadzoru ocenia zależności podmiotów finansowych od zewnętrznych dostawców usług ICT na podstawie informacji uzyskanych od właściwych organów.

11.   Zewnętrzni dostawcy usług ICT, których nie uwzględniono w wykazie, o którym mowa w ust. 9, mogą zwrócić się z wnioskiem o wyznaczenie ich jako kluczowych zgodnie z ust. 1 lit. a).

Do celów akapitu pierwszego zewnętrzni dostawcy usług ICT składają umotywowany wniosek do EUNB, ESMA lub EIOPA, które, za pośrednictwem Wspólnego Komitetu, podejmują decyzję, czy wyznaczyć danego zewnętrznego dostawcę usług ICT jako kluczowego zgodnie z ust. 1 lit. a).

Decyzja, o której mowa w akapicie drugim, zostaje przyjęta i przekazana zewnętrznemu dostawcy usług ICT w terminie 6 miesięcy od otrzymania wniosku.

12.   Podmioty finansowe mogą korzystać z usług zewnętrznych dostawców usług ICT mających siedzibę w państwie trzecim i wyznaczonych jako kluczowi zgodnie z ust. 1 lit. a) wyłącznie wtedy, gdy ci zewnętrzni dostawcy usług ICT ustanowili w Unii swoją jednostkę zależną w ciągu 12 miesięcy od wyznaczenia.

13.   Kluczowy zewnętrzny dostawca usług ICT, o którym mowa w ust. 12, powiadamia wiodący organ nadzorczy o wszelkich zmianach w strukturze zarządzania jednostki zależnej ustanowionej w Unii.

Artykuł 32

Struktura ram nadzoru

1.   Zgodnie z art. 57 ust. 1 rozporządzenia (UE) nr 1093/2010, rozporządzenia (UE) nr 1094/2010 i rozporządzenia (UE) nr 1095/2010 Wspólny Komitet ustanawia forum nadzoru jako podkomitet na potrzeby wspierania prac Wspólnego Komitetu i wiodącego organu nadzorczego, o którym mowa w art. 31 ust. 1 lit. b), w obszarze ryzyka ze strony zewnętrznych dostawców usług ICT we wszystkich sektorach finansowych. Forum nadzoru sporządza projekty wspólnych stanowisk i projekty wspólnych aktów Wspólnego Komitetu w tym obszarze.

Forum nadzoru regularnie omawia istotne zmiany dotyczące ryzyka i podatności związanych z ICT oraz promuje spójne podejście przy monitorowaniu ryzyka ze strony zewnętrznych dostawców usług ICT na szczeblu Unii.

2.   Forum nadzoru co roku dokonuje zbiorowej oceny wyników i ustaleń z działań nadzorczych przeprowadzonych w odniesieniu do wszystkich kluczowych zewnętrznych dostawców usług ICT i promuje środki koordynacji mające na celu zwiększenie operacyjnej odporności cyfrowej podmiotów finansowych, propagowanie najlepszych praktyk w zakresie eliminowania ryzyka koncentracji w obszarze ICT oraz analizę czynników łagodzących przenoszenie ryzyka między sektorami.

3.   Forum nadzoru przedkłada kompleksowe wskaźniki referencyjne kluczowych zewnętrznych dostawców usług ICT, które mają zostać przyjęte przez Wspólny Komitet jako wspólne stanowiska EUN zgodnie z art. 56 akapit pierwszy rozporządzenia (UE) nr 1093/2010, rozporządzenia (UE) nr 1094/2010 i rozporządzenia (UE) nr 1095/2010.

4.   W skład forum nadzoru wchodzą:

| a) | przewodniczący poszczególnych EUN; |
| --- | --- |

a)

przewodniczący poszczególnych EUN;

| b) | po jednym przedstawicielu wysokiego szczebla z aktualnego personelu odpowiedniego właściwego organu, o którym mowa w art. 46, z każdego państwa członkowskiego; |
| --- | --- |

b)

po jednym przedstawicielu wysokiego szczebla z aktualnego personelu odpowiedniego właściwego organu, o którym mowa w art. 46, z każdego państwa członkowskiego;

| c) | jako obserwatorzy – dyrektorzy wykonawczy każdego z EUN oraz po jednym przedstawicielu z Komisji, ERRS, EBC i ENISA; |
| --- | --- |

c)

jako obserwatorzy – dyrektorzy wykonawczy każdego z EUN oraz po jednym przedstawicielu z Komisji, ERRS, EBC i ENISA;

| d) | w stosownych przypadkach, jako obserwatorzy – po jednym dodatkowym przedstawicielu właściwego organu, o którym mowa w art. 46, z każdego państwa członkowskiego; |
| --- | --- |

d)

w stosownych przypadkach, jako obserwatorzy – po jednym dodatkowym przedstawicielu właściwego organu, o którym mowa w art. 46, z każdego państwa członkowskiego;

| e) | w stosownych przypadkach, jako obserwatorzy – po jednym przedstawicielu właściwych organów wyznaczonych lub ustanowionych na mocy dyrektywy (UE) 2022/2555 jako odpowiedzialne za nadzór nad kluczowym lub ważnym podmiotem objętym zakresem stosowania tej dyrektywy, który został wyznaczony jako kluczowy zewnętrzny dostawca usług ICT. |
| --- | --- |

e)

w stosownych przypadkach, jako obserwatorzy – po jednym przedstawicielu właściwych organów wyznaczonych lub ustanowionych na mocy dyrektywy (UE) 2022/2555 jako odpowiedzialne za nadzór nad kluczowym lub ważnym podmiotem objętym zakresem stosowania tej dyrektywy, który został wyznaczony jako kluczowy zewnętrzny dostawca usług ICT.

W stosownych przypadkach forum nadzoru może zwrócić się o poradę do niezależnych ekspertów wyznaczonych zgodnie z ust. 6.

5.   Każde państwo członkowskie wyznacza odpowiedni właściwy organ, którego członkiem personelu jest przedstawiciel wysokiego szczebla, o którym mowa w ust. 4 akapit pierwszy lit. b), i informuje o tym wiodący organ nadzorczy.

EUN publikują na swoich stronach internetowych wykaz przedstawicieli wysokiego szczebla będących członkami personelu odpowiedniego właściwego organu wyznaczonych przez państwa członkowskie.

6.   Niezależni eksperci, o których mowa w ust. 4 akapit drugi, są wyznaczani przez forum nadzoru spośród grupy ekspertów wybranych po przeprowadzeniu publicznej i przejrzystej procedury składania wniosków.

Niezależni eksperci są wyznaczani na podstawie posiadanej wiedzy fachowej w dziedzinie stabilności finansowej, operacyjnej odporności cyfrowej i bezpieczeństwa ICT. Działają oni niezależnie i obiektywnie w wyłącznym interesie Unii jako całości i nie zwracają się o instrukcje do instytucji lub organów unijnych, rządu żadnego z państw członkowskich lub do innego podmiotu publicznego lub prywatnego ani nie przyjmują takich instrukcji.

7.   Zgodnie z art. 16 rozporządzenia (UE) nr 1093/2010, rozporządzenia (UE) nr 1094/2010 i rozporządzenia (UE) nr 1095/2010 EUN wydają – do celów niniejszej sekcji – wytyczne do dnia 17 lipca 2024 r. w zakresie współpracy między EUN i właściwymi organami dotyczące szczegółowych procedur i warunków podziału i wykonywania zadań między właściwymi organami i EUN oraz szczegółów wymiany informacji niezbędnych właściwym organom do zapewnienia działań następczych w związku z zaleceniami zgodnie z art. 35 ust. 1 lit. d) skierowanymi do kluczowych zewnętrznych dostawców usług ICT.

8.   Wymogi określone w niniejszej sekcji pozostają bez uszczerbku dla stosowania dyrektywy (UE) 2022/2555 i nie naruszają innych unijnych przepisów dotyczących nadzoru mających zastosowanie do dostawców usług chmurowych.

9.   EUN, za pośrednictwem Wspólnego Komitetu i na podstawie prac przygotowawczych przeprowadzonych przez forum nadzoru, co roku przedstawiają Parlamentowi Europejskiemu, Radzie i Komisji sprawozdanie na temat stosowania niniejszej sekcji.

Artykuł 33

Zadania wiodącego organu nadzorczego

1.   Wiodący organ nadzorczy, wyznaczony zgodnie z art. 31 ust. 1 lit. b), sprawuje nadzór nad przypisanymi mu kluczowymi zewnętrznymi dostawcami usług ICT i do celów wszelkich kwestii związanych z nadzorem jest głównym punktem kontaktowym dla tych kluczowych zewnętrznych dostawców usług ICT.

2.   Do celów ust. 1 wiodący organ nadzorczy ocenia, czy każdy z kluczowych zewnętrznych dostawców usług ICT wprowadził kompleksowe, solidne i skuteczne zasady, procedury, mechanizmy i ustalenia służące do zarządzania ryzykiem związanym z ICT, które dostawca ten może stanowić dla podmiotów finansowych.

Ocena, o której mowa w akapicie pierwszym, koncentruje się głównie na usługach ICT świadczonych przez kluczowego zewnętrznego dostawcę usług ICT wspierających krytyczne lub istotne funkcje podmiotów finansowych. Gdy istnieje potrzeba oceny wszystkich istotnych rodzajów ryzyka, ocena ta obejmuje usługi ICT wspierające funkcje inne niż krytyczne lub istotne.

3.   Ocena, o której mowa w ust. 2, obejmuje:

| a) | wymogi z zakresu ICT mające na celu zapewnienie w szczególności bezpieczeństwa, dostępności, ciągłości, skalowalności i jakości usług, które kluczowy zewnętrzny dostawca usług ICT świadczy na rzecz podmiotów finansowych, jak również możliwości utrzymania przez cały czas wysokich standardów dostępności, autentyczności, integralności lub poufności danych; |
| --- | --- |

a)

wymogi z zakresu ICT mające na celu zapewnienie w szczególności bezpieczeństwa, dostępności, ciągłości, skalowalności i jakości usług, które kluczowy zewnętrzny dostawca usług ICT świadczy na rzecz podmiotów finansowych, jak również możliwości utrzymania przez cały czas wysokich standardów dostępności, autentyczności, integralności lub poufności danych;

| b) | bezpieczeństwo fizyczne mające wpływ na zapewnienie bezpieczeństwa ICT, w tym bezpieczeństwo obiektów, urządzeń i ośrodków przetwarzania danych; |
| --- | --- |

b)

bezpieczeństwo fizyczne mające wpływ na zapewnienie bezpieczeństwa ICT, w tym bezpieczeństwo obiektów, urządzeń i ośrodków przetwarzania danych;

| c) | procesy zarządzania ryzykiem, w tym strategie zarządzania ryzykiem związanym z ICT, strategię na rzecz ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT; |
| --- | --- |

c)

procesy zarządzania ryzykiem, w tym strategie zarządzania ryzykiem związanym z ICT, strategię na rzecz ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT;

| d) | rozwiązania w zakresie zarządzania obejmujące strukturę organizacyjną z wyraźnymi, przejrzystymi i spójnymi obszarami odpowiedzialności i zasadami rozliczalności umożliwiającą skuteczne zarządzanie ryzykiem związanym z ICT; |
| --- | --- |

d)

rozwiązania w zakresie zarządzania obejmujące strukturę organizacyjną z wyraźnymi, przejrzystymi i spójnymi obszarami odpowiedzialności i zasadami rozliczalności umożliwiającą skuteczne zarządzanie ryzykiem związanym z ICT;

| e) | identyfikację i monitorowanie istotnych incydentów związanych z ICT oraz ich szybkie zgłaszanie podmiotom finansowym, zarządzanie tymi incydentami i zaradzanie tym incydentom, w szczególności cyberatakom; |
| --- | --- |

e)

identyfikację i monitorowanie istotnych incydentów związanych z ICT oraz ich szybkie zgłaszanie podmiotom finansowym, zarządzanie tymi incydentami i zaradzanie tym incydentom, w szczególności cyberatakom;

| f) | mechanizmy przenoszenia danych oraz możliwości przenoszenia aplikacji i ich interoperacyjność, które zapewniają skuteczne wykonywanie praw do odstąpienia od umowy przez podmioty finansowe; |
| --- | --- |

f)

mechanizmy przenoszenia danych oraz możliwości przenoszenia aplikacji i ich interoperacyjność, które zapewniają skuteczne wykonywanie praw do odstąpienia od umowy przez podmioty finansowe;

| g) | testowanie systemów, infrastruktury i kontroli ICT; |
| --- | --- |

g)

testowanie systemów, infrastruktury i kontroli ICT;

| h) | audyty ICT; |
| --- | --- |

h)

audyty ICT;

| i) | stosowanie odnośnych krajowych i międzynarodowych standardów mających zastosowanie do świadczenia usług ICT na rzecz podmiotów finansowych. |
| --- | --- |

i)

stosowanie odnośnych krajowych i międzynarodowych standardów mających zastosowanie do świadczenia usług ICT na rzecz podmiotów finansowych.

4.   Na podstawie oceny, o której mowa w ust. 2, i w koordynacji ze wspólną siecią nadzoru, o której mowa w art. 34 ust. 1, wiodący organ nadzorczy przyjmuje jasny, szczegółowy i uzasadniony indywidualny plan nadzoru dla każdego kluczowego zewnętrznego dostawcy usług ICT opisujący roczne cele w zakresie nadzoru i główne planowane działania nadzorcze. Co roku plan ten przekazuje się każdemu z kluczowych zewnętrznych dostawców usług ICT.

Przed przyjęciem planu nadzoru wiodący organ nadzorczy przekazuje projekt tego planu odnośnemu kluczowemu zewnętrznemu dostawcy usług ICT.

Po otrzymaniu projektu planu nadzoru kluczowy zewnętrzny dostawca usług ICT może w ciągu 15 dni kalendarzowych przedłożyć uzasadnione oświadczenie dokumentujące spodziewany wpływ na klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia i w stosownych przypadkach przedstawiające rozwiązania w celu złagodzenia ryzyka.

5.   Po przyjęciu rocznych planów nadzoru, o których mowa w ust. 4, i po powiadomieniu o nich kluczowych zewnętrznych dostawców usług ICT właściwe organy mogą stosować środki dotyczące kluczowych zewnętrznych dostawców usług ICT wyłącznie w porozumieniu z wiodącym organem nadzorczym.

Artykuł 34

Koordynacja operacyjna wiodących organów nadzorczych

1.   Aby zapewnić spójne podejście do działań nadzorczych i umożliwić stosowanie skoordynowanych ogólnych strategii nadzoru oraz spójnych podejść operacyjnych i metod pracy, trzy wiodące organy nadzorcze, wyznaczone zgodnie z art. 31 ust. 1 lit. b), ustanawiają wspólną sieć nadzoru w celu koordynacji swoich działań na etapach przygotowawczych i koordynacji prowadzenia działań nadzorczych nad odpowiednimi nadzorowanymi kluczowymi zewnętrznymi dostawcami usług ICT, a także w celu koordynacji kierunków działań, jakie mogą być konieczne zgodnie z art. 42.

2.   Do celów ust. 1 wiodący organ nadzorczy sporządza wspólny protokół nadzoru określający szczegółowe procedury, które należy stosować w celu prowadzenia bieżącej koordynacji oraz zapewnienia szybkiej wymiany informacji i szybkich reakcji. Protokół jest okresowo zmieniany w celu odzwierciedlenia potrzeb operacyjnych, w szczególności ewolucji praktycznych ustaleń nadzorczych.

3.   Wiodące organy nadzorcze mogą na zasadzie ad hoc zwrócić się do EBC i ENISA o zapewnienie doradztwa technicznego, podzielenie się praktycznymi doświadczeniami lub uczestnictwo w konkretnych posiedzeniach koordynacyjnych wspólnej sieci nadzoru.

Artykuł 35

Uprawnienia wiodącego organu nadzorczego

1.   Do celów wykonywania obowiązków określonych w niniejszej sekcji wiodący organ nadzorczy posiada w odniesieniu do kluczowych zewnętrznych dostawców usług ICT uprawnienia do:

| a) | występowania z wnioskiem o przekazanie wszystkich stosownych informacji i dokumentów zgodnie z art. 37; |
| --- | --- |

a)

występowania z wnioskiem o przekazanie wszystkich stosownych informacji i dokumentów zgodnie z art. 37;

| b) | prowadzenia ogólnych dochodzeń i kontroli zgodni, odpowiednio, z art. 38 i 39; |
| --- | --- |

b)

prowadzenia ogólnych dochodzeń i kontroli zgodni, odpowiednio, z art. 38 i 39;

| c) | występowania z wnioskiem o złożenie sprawozdań po zakończeniu działań nadzorczych, w których omówione są działania podjęte lub środki zaradcze wdrożone przez kluczowych zewnętrznych dostawców usług ICT w związku z zaleceniami, o których mowa w lit. d) niniejszego ustępu; |
| --- | --- |

c)

występowania z wnioskiem o złożenie sprawozdań po zakończeniu działań nadzorczych, w których omówione są działania podjęte lub środki zaradcze wdrożone przez kluczowych zewnętrznych dostawców usług ICT w związku z zaleceniami, o których mowa w lit. d) niniejszego ustępu;

| d) | wydawania zaleceń dotyczących obszarów, o których mowa w art. 33 ust. 3, odnoszących się w szczególności do:






  (i) | stosowania szczególnych wymogów lub procesów z zakresu bezpieczeństwa i jakości ICT, w szczególności w związku z wprowadzaniem poprawek, aktualizacji, szyfrowania i innych środków bezpieczeństwa, które wiodący organ nadzorczy uważa za istotne dla zapewnienia bezpieczeństwa ICT usług świadczonych na rzecz podmiotów finansowych; |
| --- | --- | --- |

d)

wydawania zaleceń dotyczących obszarów, o których mowa w art. 33 ust. 3, odnoszących się w szczególności do:

(i)

stosowania szczególnych wymogów lub procesów z zakresu bezpieczeństwa i jakości ICT, w szczególności w związku z wprowadzaniem poprawek, aktualizacji, szyfrowania i innych środków bezpieczeństwa, które wiodący organ nadzorczy uważa za istotne dla zapewnienia bezpieczeństwa ICT usług świadczonych na rzecz podmiotów finansowych;

| (ii) | korzystania z warunków i zasad, w tym ich technicznego wdrożenia, zgodnie z którymi kluczowi zewnętrzni dostawcy usług ICT świadczą usługi ICT na rzecz podmiotów finansowych, które wiodący organ nadzorczy uważa za istotne dla zapobiegania powstawaniu pojedynczych punktów awarii lub ich nasileniu lub dla minimalizowania potencjalnego wpływu systemowego na cały sektor finansowy Unii w przypadku ryzyka koncentracji w obszarze ICT; |
| --- | --- |

(ii)

korzystania z warunków i zasad, w tym ich technicznego wdrożenia, zgodnie z którymi kluczowi zewnętrzni dostawcy usług ICT świadczą usługi ICT na rzecz podmiotów finansowych, które wiodący organ nadzorczy uważa za istotne dla zapobiegania powstawaniu pojedynczych punktów awarii lub ich nasileniu lub dla minimalizowania potencjalnego wpływu systemowego na cały sektor finansowy Unii w przypadku ryzyka koncentracji w obszarze ICT;

| (iii) | wszelkiego planowanego podwykonawstwa, w przypadku którego wiodący organ nadzorczy uważa – po przeprowadzeniu analizy informacji zebranych zgodnie z art. 37 i 38 – że dalsze podwykonawstwo, w tym umowy podwykonawstwa, które kluczowi zewnętrzni dostawcy usług ICT zamierzają zawrzeć z innymi zewnętrznymi dostawcami usług ICT lub z podwykonawcami usług ICT z siedzibą w państwie trzecim, może wywołać ryzyko dla świadczenia usług przez podmiot finansowy lub ryzyko dla stabilności finansowej; |
| --- | --- |

(iii)

wszelkiego planowanego podwykonawstwa, w przypadku którego wiodący organ nadzorczy uważa – po przeprowadzeniu analizy informacji zebranych zgodnie z art. 37 i 38 – że dalsze podwykonawstwo, w tym umowy podwykonawstwa, które kluczowi zewnętrzni dostawcy usług ICT zamierzają zawrzeć z innymi zewnętrznymi dostawcami usług ICT lub z podwykonawcami usług ICT z siedzibą w państwie trzecim, może wywołać ryzyko dla świadczenia usług przez podmiot finansowy lub ryzyko dla stabilności finansowej;

| (iv) | odstąpienia od zawarcia umowy dalszego podwykonawstwa, jeżeli spełnione są łącznie poniższe warunki:






  — | przewidzianym podwykonawcą jest zewnętrzny dostawca usług ICT lub podwykonawca usług ICT z siedzibą w państwie trzecim, |
| --- | --- | --- |

(iv)

odstąpienia od zawarcia umowy dalszego podwykonawstwa, jeżeli spełnione są łącznie poniższe warunki:

—

przewidzianym podwykonawcą jest zewnętrzny dostawca usług ICT lub podwykonawca usług ICT z siedzibą w państwie trzecim,

| — | podwykonawstwo dotyczy krytycznej lub istotnej funkcji podmiotu finansowego, oraz |
| --- | --- |

—

podwykonawstwo dotyczy krytycznej lub istotnej funkcji podmiotu finansowego, oraz

| — | wiodący organ nadzorczy uważa, że korzystanie z takiego podwykonawstwa stwarza wyraźne i poważne ryzyko dla stabilności finansowej Unii lub podmiotów finansowych, w tym dla zdolności podmiotów finansowych do spełnienia wymogów w zakresie nadzoru. |
| --- | --- |

—

wiodący organ nadzorczy uważa, że korzystanie z takiego podwykonawstwa stwarza wyraźne i poważne ryzyko dla stabilności finansowej Unii lub podmiotów finansowych, w tym dla zdolności podmiotów finansowych do spełnienia wymogów w zakresie nadzoru.

Do celów ppkt (iv) niniejszej litery zewnętrzni dostawcy usług ICT przekazują wiodącemu organowi nadzorczemu informacje dotyczące podwykonawstwa, wykorzystując wzór, o którym mowa w art. 41 ust. 1 lit. b).

2.   Wykonując uprawnienia, o których mowa w niniejszym artykule, wiodący organ nadzorczy:

| a) | zapewnia regularną koordynację działań w ramach wspólnej sieci nadzoru, a w szczególności dąży do stosowania spójnych podejść, stosownie do przypadku, w odniesieniu do nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT; |
| --- | --- |

a)

zapewnia regularną koordynację działań w ramach wspólnej sieci nadzoru, a w szczególności dąży do stosowania spójnych podejść, stosownie do przypadku, w odniesieniu do nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT;

| b) | należycie uwzględnia ramy ustanowione dyrektywą (UE) 2022/2555 oraz, w razie potrzeby, konsultuje się z odpowiednimi właściwymi organami wyznaczonymi lub ustanowionymi zgodnie z tą dyrektywą, aby uniknąć powielania środków technicznych i organizacyjnych, które mogą mieć zastosowanie do kluczowych zewnętrznych dostawców usług ICT zgodnie z tą dyrektywą; |
| --- | --- |

b)

należycie uwzględnia ramy ustanowione dyrektywą (UE) 2022/2555 oraz, w razie potrzeby, konsultuje się z odpowiednimi właściwymi organami wyznaczonymi lub ustanowionymi zgodnie z tą dyrektywą, aby uniknąć powielania środków technicznych i organizacyjnych, które mogą mieć zastosowanie do kluczowych zewnętrznych dostawców usług ICT zgodnie z tą dyrektywą;

| c) | dążą do zminimalizowania, na ile to możliwe, ryzyka zakłócenia usług świadczonych przez kluczowych dostawców usług ICT na rzecz klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia. |
| --- | --- |

c)

dążą do zminimalizowania, na ile to możliwe, ryzyka zakłócenia usług świadczonych przez kluczowych dostawców usług ICT na rzecz klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia.

3.   Przed wykonaniem uprawnień, o których mowa w ust. 1, wiodący organ nadzorczy konsultuje się z forum nadzoru.

Przed wydaniem zaleceń zgodnie z ust. 1 lit. d) wiodący organ nadzorczy daje zewnętrznemu dostawcy usług ICT możliwość dostarczenia w terminie 30 dni kalendarzowych istotnych informacji dokumentujących spodziewany wpływ na klientów będących podmiotami nieobjętymi zakresem stosowania niniejszego rozporządzenia i w stosownych przypadkach przedstawiających rozwiązania w celu złagodzenia ryzyka.

4.   Wiodący organ nadzorczy informuje wspólną sieć nadzoru o wynikach wykonania uprawnień, o których mowa w ust. 1 lit. a) i b). Wiodący organ nadzorczy bez zbędnej zwłoki przekazuje sprawozdania, o których mowa w ust. 1 lit. c), wspólnej sieci nadzoru i właściwym organom podmiotów finansowych korzystających z usług ICT świadczonych przez tego kluczowego zewnętrznego dostawcę usług ICT.

5.   Kluczowi zewnętrzni dostawcy usług ICT współpracują w dobrej wierze z wiodącym organem nadzorczym i pomagają mu w wykonywaniu jego zadań.

6.   W przypadku całkowitego lub częściowego niezastosowania się do środków, które należy podjąć w związku z wykonaniem uprawnień na mocy ust. 1 lit. a), b) i c), oraz po upływie co najmniej 30 dni kalendarzowych od dnia, w którym kluczowy zewnętrzny dostawca usług ICT otrzymał powiadomienie o odpowiednich środkach, wiodący organ nadzorczy przyjmuje decyzję nakładającą okresową karę pieniężną, aby nakłonić kluczowego zewnętrznego dostawcę usług ICT do zastosowania się do tych środków.

7.   Okresowa kara pieniężna, o której mowa w ust. 6, jest nakładana za każdy dzień do czasu zastosowania się do środków i nie dłużej niż przez sześć miesięcy po powiadomieniu kluczowego zewnętrznego dostawcy usług ICT o decyzji nakładającej tę karę.

8.   Kwota okresowej kary pieniężnej, naliczana od dnia określonego w decyzji nakładającej okresową karę pieniężną, wynosi maksymalnie 1 % średniego dziennego światowego obrotu kluczowego zewnętrznego dostawcy usług ICT w poprzedzającym roku obrotowym. Ustalając kwoty okresowej kary pieniężnej, wiodący organ nadzorczy bierze pod uwagę następujące kryteria dotyczące niezastosowania się do środków, o których mowa w ust. 6:

| a) | wagę tego niezastosowania się i czas jego trwania; |
| --- | --- |

a)

wagę tego niezastosowania się i czas jego trwania;

| b) | kwestię, czy niezastosowanie się jest wynikiem działania umyślnego lub zaniedbania; |
| --- | --- |

b)

kwestię, czy niezastosowanie się jest wynikiem działania umyślnego lub zaniedbania;

| c) | poziom współpracy zewnętrznego dostawcy usług z wiodącym organem nadzorczym. |
| --- | --- |

c)

poziom współpracy zewnętrznego dostawcy usług z wiodącym organem nadzorczym.

Do celów akapitu pierwszego, aby zapewnić spójne podejście, wiodący organ nadzorczy podejmuje konsultacje ze wspólną siecią nadzoru.

9.   Okresowe kary pieniężne mają charakter administracyjny i podlegają egzekucji. Przebieg postępowania egzekucyjnego regulują przepisy dotyczące postępowania cywilnego obowiązujące w państwie członkowskim, na którego terytorium prowadzone są kontrole i udzielany jest dostęp. Do rozpatrywania skarg dotyczących nieprawidłowego przeprowadzania postępowania egzekucyjnego właściwe są sądy danego państwa członkowskiego. Kwoty okresowych kar pieniężnych stanowi przychód budżetu ogólnego Unii Europejskiej.

10.   Wiodący organ nadzorczy podaje do wiadomości publicznej każdą nałożoną okresową karę pieniężną, chyba że takie ujawnienie zagrażałoby poważnie rynkom finansowym lub wyrządziłoby nieproporcjonalną szkodę stronom, których dotyczy.

11.   Przed nałożeniem okresowej kary pieniężnej na podstawie ust. 6 wiodący organ nadzorczy zapewnia przedstawicielom kluczowego zewnętrznego dostawcy usług ICT, wobec którego toczy się postępowanie, możliwość bycia wysłuchanym w sprawie ustaleń i opiera swoją decyzję wyłącznie na ustaleniach, do których kluczowy zewnętrzny dostawca usług ICT objęty postępowaniem miał szansę się odnieść.

W postępowaniu w pełni przestrzega się prawa do obrony osób, których dotyczy postępowanie. Kluczowemu zewnętrznemu dostawcy usług ICT objętemu postępowaniem przysługuje prawo dostępu do akt sprawy, z zastrzeżeniem prawnie uzasadnionego interesu innych osób w zakresie ochrony ich tajemnicy handlowej. Prawo dostępu do akt sprawy nie obejmuje dostępu do informacji poufnych ani wewnętrznych dokumentów przygotowawczych wiodącego organu nadzorczego.

Artykuł 36

Wykonywanie uprawnień wiodącego organu nadzorczego poza Unią

1.   W przypadku gdy cele w zakresie nadzoru nie mogą zostać osiągnięte poprzez kontakty z jednostką zależną utworzoną do celów art. 31 ust. 12 lub poprzez działania nadzorcze prowadzone w obiektach znajdujących się w Unii, wiodący organ nadzorczy może – we wszystkich obiektach znajdujących się w państwie trzecim, które są własnością kluczowego zewnętrznego dostawcy usług ICT lub są wykorzystywane w dowolny sposób w celu świadczenia przez tego dostawcę usług na rzecz unijnych podmiotów finansowych w związku z jego działalnością gospodarczą, funkcjami lub usługami, w tym we wszystkich biurach ds. administracyjnych, biznesowych czy operacyjnych, odnośnych obiektach, terenach, budynkach lub innych nieruchomościach – wykonywać uprawnienia przewidziane w następujących przepisach:

| a) | w art. 35 ust. 1 lit. a); oraz |
| --- | --- |

a)

w art. 35 ust. 1 lit. a); oraz

| b) | w art. 35 ust. 1 lit. b), zgodnie z art. 38 ust. 2 lit. a), b) i d) oraz, odpowiednio, w art. 39 ust. 1 i ust. 2 lit. a). |
| --- | --- |

b)

w art. 35 ust. 1 lit. b), zgodnie z art. 38 ust. 2 lit. a), b) i d) oraz, odpowiednio, w art. 39 ust. 1 i ust. 2 lit. a).

Uprawnienia, o których mowa w akapicie pierwszym, mogą być wykonywane, o ile spełnione są wszystkie następujące warunki:

| (i) | wiodący organ nadzorczy uznaje przeprowadzenie kontroli w państwie trzecim za konieczne, by umożliwić mu pełne i skuteczne wykonywanie obowiązków wynikających z niniejszego rozporządzenia; |
| --- | --- |

(i)

wiodący organ nadzorczy uznaje przeprowadzenie kontroli w państwie trzecim za konieczne, by umożliwić mu pełne i skuteczne wykonywanie obowiązków wynikających z niniejszego rozporządzenia;

| (ii) | kontrola w państwie trzecim jest bezpośrednio związana ze świadczeniem usług ICT na rzecz podmiotów finansowych w Unii; |
| --- | --- |

(ii)

kontrola w państwie trzecim jest bezpośrednio związana ze świadczeniem usług ICT na rzecz podmiotów finansowych w Unii;

| (iii) | dany kluczowy dostawca usług ICT wyraża zgodę na przeprowadzenie kontroli w państwie trzecim; oraz |
| --- | --- |

(iii)

dany kluczowy dostawca usług ICT wyraża zgodę na przeprowadzenie kontroli w państwie trzecim; oraz

| (iv) | odpowiedni organ danego państwa trzeciego został o tym oficjalnie powiadomiony przez wiodący organ nadzorczy i nie zgłosił sprzeciwu. |
| --- | --- |

(iv)

odpowiedni organ danego państwa trzeciego został o tym oficjalnie powiadomiony przez wiodący organ nadzorczy i nie zgłosił sprzeciwu.

2.   Bez uszczerbku dla odpowiednich kompetencji instytucji unijnych oraz państw członkowskich, do celów ust. 1 EUNB, ESMA lub EIOPA zawierają porozumienia o współpracy administracyjnej z odpowiednimi organami państw trzecich, aby umożliwić sprawne przeprowadzenie w danym państwie trzecim kontroli przez wiodący organ nadzorczy i jego zespół wyznaczony do tego zadania w tym państwie trzecim. Te porozumienia o współpracy nie tworzą zobowiązań prawnych w odniesieniu do Unii i jej państw członkowskich ani nie uniemożliwiają państwom członkowskim i ich właściwym organom zawierania dwustronnych lub wielostronnych porozumień z tymi państwami trzecimi i ich odpowiednimi organami.

W tych porozumieniach o współpracy określa się co najmniej następujące elementy:

| a) | procedury koordynacji działań nadzorczych prowadzonych na mocy niniejszego rozporządzenia oraz wszelkich analogicznych działań w zakresie monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT w sektorze finansowym wykonywanych przez odpowiedni organ danego państwa trzeciego, w tym szczegółowe informacje dotyczące przekazywania zgody tego organu na prowadzenie przez wiodący organ nadzorczy i jego wyznaczony zespół na terytorium objętym jego jurysdykcją ogólnych dochodzeń i kontroli na miejscu, o których mowa w ust. 1 akapit pierwszy; |
| --- | --- |

a)

procedury koordynacji działań nadzorczych prowadzonych na mocy niniejszego rozporządzenia oraz wszelkich analogicznych działań w zakresie monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT w sektorze finansowym wykonywanych przez odpowiedni organ danego państwa trzeciego, w tym szczegółowe informacje dotyczące przekazywania zgody tego organu na prowadzenie przez wiodący organ nadzorczy i jego wyznaczony zespół na terytorium objętym jego jurysdykcją ogólnych dochodzeń i kontroli na miejscu, o których mowa w ust. 1 akapit pierwszy;

| b) | mechanizm przekazywania wszelkich istotnych informacji między EUNB, ESMA lub EIOPA oraz odpowiednim organem danego państwa trzeciego, w szczególności w związku z informacjami, o które wiodący organ nadzorczy może się zwrócić zgodnie z art. 37; |
| --- | --- |

b)

mechanizm przekazywania wszelkich istotnych informacji między EUNB, ESMA lub EIOPA oraz odpowiednim organem danego państwa trzeciego, w szczególności w związku z informacjami, o które wiodący organ nadzorczy może się zwrócić zgodnie z art. 37;

| c) | mechanizmy szybkiego powiadamiania przez odpowiedni organ danego państwa trzeciego EUNB, ESMA lub EIOPA o przypadkach, w których uznaje się, że zewnętrzny dostawca usług ICT mający siedzibę w państwie trzecim i wyznaczony jako krytyczny zgodnie z art. 31 ust. 1 lit. a), naruszył mające zastosowanie przepisy tego państwa trzeciego podczas świadczenia usług na rzecz podmiotów finansowych w tym państwie trzecim, a także o podjętych środkach zaradczych i zastosowanych sankcjach; |
| --- | --- |

c)

mechanizmy szybkiego powiadamiania przez odpowiedni organ danego państwa trzeciego EUNB, ESMA lub EIOPA o przypadkach, w których uznaje się, że zewnętrzny dostawca usług ICT mający siedzibę w państwie trzecim i wyznaczony jako krytyczny zgodnie z art. 31 ust. 1 lit. a), naruszył mające zastosowanie przepisy tego państwa trzeciego podczas świadczenia usług na rzecz podmiotów finansowych w tym państwie trzecim, a także o podjętych środkach zaradczych i zastosowanych sankcjach;

| d) | regularne przekazywanie aktualnych informacji na temat zmian regulacyjnych lub nadzorczych w zakresie monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT dla instytucji finansowych w danym państwie trzecim; |
| --- | --- |

d)

regularne przekazywanie aktualnych informacji na temat zmian regulacyjnych lub nadzorczych w zakresie monitorowania ryzyka ze strony zewnętrznych dostawców usług ICT dla instytucji finansowych w danym państwie trzecim;

| e) | szczegółowe informacje umożliwiające, w razie potrzeby, udział jednego przedstawiciela odpowiedniego organu państwa trzeciego w kontrolach prowadzonych przez wiodący organ nadzorczy i wyznaczony zespół. |
| --- | --- |

e)

szczegółowe informacje umożliwiające, w razie potrzeby, udział jednego przedstawiciela odpowiedniego organu państwa trzeciego w kontrolach prowadzonych przez wiodący organ nadzorczy i wyznaczony zespół.

3.   W przypadku gdy wiodący organ nadzorczy nie jest w stanie przeprowadzić działań nadzorczych poza Unią, o czym mowa w ust. 1 i 2, organ ten:

| a) | wykonuje swoje uprawnienia na mocy art. 35 w oparciu o wszystkie dostępne mu fakty i dokumenty; |
| --- | --- |

a)

wykonuje swoje uprawnienia na mocy art. 35 w oparciu o wszystkie dostępne mu fakty i dokumenty;

| b) | dokumentuje i wyjaśnia wszelkie konsekwencje niemożności przeprowadzenia planowanych działań nadzorczych, o których mowa w niniejszym artykule. |
| --- | --- |

b)

dokumentuje i wyjaśnia wszelkie konsekwencje niemożności przeprowadzenia planowanych działań nadzorczych, o których mowa w niniejszym artykule.

Potencjalne konsekwencje, o których mowa w lit. b) niniejszego ustępu, są uwzględniane w zaleceniach wydawanych przez wiodący organ nadzorczy zgodnie z art. 35 ust. 1 lit. d).

Artykuł 37

Wniosek o udzielenie informacji

1.   Wiodący organ nadzorczy może w drodze zwykłego wniosku lub decyzji zobowiązać kluczowych zewnętrznych dostawców usług ICT do przekazania wszelkich informacji, które są niezbędne dla wiodącego organu nadzorczego do wykonywania jego obowiązków wynikających z niniejszego rozporządzenia, w tym wszystkich stosownych dokumentów przedsiębiorstwa lub dokumentów operacyjnych, umów, dokumentacji strategii, sprawozdań z audytu dotyczącego bezpieczeństwa ICT, sprawozdań z incydentów związanych z ICT, jak również wszelkich informacji na temat stron, którym kluczowy zewnętrzny dostawca usług ICT zlecał w drodze outsourcingu funkcje lub działania operacyjne.

2.   Wysyłając zwykły wniosek o przekazanie informacji, o którym mowa w ust. 1, wiodący organ nadzorczy:

| a) | odwołuje się do niniejszego artykułu jako podstawy prawnej wniosku; |
| --- | --- |

a)

odwołuje się do niniejszego artykułu jako podstawy prawnej wniosku;

| b) | podaje cel tego wniosku; |
| --- | --- |

b)

podaje cel tego wniosku;

| c) | określa, jakie informacje są wymagane; |
| --- | --- |

c)

określa, jakie informacje są wymagane;

| d) | wskazuje termin przekazania informacji; |
| --- | --- |

d)

wskazuje termin przekazania informacji;

| e) | informuje przedstawiciela kluczowego zewnętrznego dostawcy usług ICT, do którego zwraca się z wnioskiem o informacje, że nie jest on zobowiązany do ich przekazania, lecz w przypadku dobrowolnej odpowiedzi na wniosek przekazane informacje nie mogą być niezgodne z prawdą ani mylące. |
| --- | --- |

e)

informuje przedstawiciela kluczowego zewnętrznego dostawcy usług ICT, do którego zwraca się z wnioskiem o informacje, że nie jest on zobowiązany do ich przekazania, lecz w przypadku dobrowolnej odpowiedzi na wniosek przekazane informacje nie mogą być niezgodne z prawdą ani mylące.

3.   Wzywając w drodze decyzji do przekazania informacji zgodnie z ust. 1, wiodący organ nadzorczy:

| a) | odwołuje się do niniejszego artykułu jako podstawy prawnej wniosku; |
| --- | --- |

a)

odwołuje się do niniejszego artykułu jako podstawy prawnej wniosku;

| b) | podaje cel tego wniosku; |
| --- | --- |

b)

podaje cel tego wniosku;

| c) | określa, jakie informacje są wymagane; |
| --- | --- |

c)

określa, jakie informacje są wymagane;

| d) | wskazuje termin przekazania informacji; |
| --- | --- |

d)

wskazuje termin przekazania informacji;

| e) | wskazuje okresowe kary pieniężne przewidziane w art. 35 ust. 6, w przypadku gdy przekazane wymagane informacje są niekompletne lub jeżeli takie informacje nie zostaną dostarczone w terminie, o którym mowa w lit. d) niniejszego ustępu; |
| --- | --- |

e)

wskazuje okresowe kary pieniężne przewidziane w art. 35 ust. 6, w przypadku gdy przekazane wymagane informacje są niekompletne lub jeżeli takie informacje nie zostaną dostarczone w terminie, o którym mowa w lit. d) niniejszego ustępu;

| f) | informuje o prawie do odwołania od decyzji do Komisji Odwoławczej EUN i prawie do zaskarżenia tej decyzji do Trybunału Sprawiedliwości Unii Europejskiej (Trybunał Sprawiedliwości) zgodnie z art. 60 i 61 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010. |
| --- | --- |

f)

informuje o prawie do odwołania od decyzji do Komisji Odwoławczej EUN i prawie do zaskarżenia tej decyzji do Trybunału Sprawiedliwości Unii Europejskiej (Trybunał Sprawiedliwości) zgodnie z art. 60 i 61 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

4.   Przedstawiciele kluczowych zewnętrznych dostawców usług ICT przekazują wymagane informacje. Prawnicy należycie upoważnieni do działania mogą przekazać informacje w imieniu swoich klientów. Kluczowy zewnętrzny dostawca usług ICT pozostaje w pełni odpowiedzialny, jeżeli przekazane informacje są niepełne, niezgodne z prawdą lub mylące.

5.   Wiodący organ nadzorczy niezwłocznie przekazuje kopię decyzji, w której wzywa do przekazania informacji, organom właściwym dla podmiotów finansowych, które korzystają z usług danych kluczowych zewnętrznych dostawców usług ICT, oraz wspólnej sieci nadzoru.

Artykuł 38

Dochodzenia ogólne

1.   W celu wykonywania swoich obowiązków wynikających z niniejszego rozporządzenia wiodący organ nadzorczy, przy wsparciu wspólnego zespołu ds. kontroli, o którym mowa w art. 40 ust. 1, może, w razie potrzeby, prowadzić dochodzenia względem kluczowych zewnętrznych dostawców usług ICT.

2.   Wiodący organ nadzorczy jest uprawniony do:

| a) | wglądu w dokumenty, dane, procedury i wszelkie inne materiały istotne z punktu widzenia realizacji swoich zadań, niezależnie od nośnika, na jakim są one przechowywane; |
| --- | --- |

a)

wglądu w dokumenty, dane, procedury i wszelkie inne materiały istotne z punktu widzenia realizacji swoich zadań, niezależnie od nośnika, na jakim są one przechowywane;

| b) | wykonania lub uzyskania uwierzytelnionych kopii lub wyciągów z takich dokumentów, danych, udokumentowanych procedur i z wszelkich innych materiałów; |
| --- | --- |

b)

wykonania lub uzyskania uwierzytelnionych kopii lub wyciągów z takich dokumentów, danych, udokumentowanych procedur i z wszelkich innych materiałów;

| c) | wzywania przedstawicieli kluczowego zewnętrznego dostawcy usług ICT w celu złożenia przez nich ustnych lub pisemnych wyjaśnień na temat faktów lub dokumentów związanych z przedmiotem i celem dochodzenia oraz do zaprotokołowania odpowiedzi; |
| --- | --- |

c)

wzywania przedstawicieli kluczowego zewnętrznego dostawcy usług ICT w celu złożenia przez nich ustnych lub pisemnych wyjaśnień na temat faktów lub dokumentów związanych z przedmiotem i celem dochodzenia oraz do zaprotokołowania odpowiedzi;

| d) | przesłuchiwania wszelkich innych osób fizycznych lub prawnych, które wyrażą na to zgodę, w celu zebrania informacji dotyczących przedmiotu dochodzenia; |
| --- | --- |

d)

przesłuchiwania wszelkich innych osób fizycznych lub prawnych, które wyrażą na to zgodę, w celu zebrania informacji dotyczących przedmiotu dochodzenia;

| e) | żądania rejestrów połączeń telefonicznych i przesyłu danych. |
| --- | --- |

e)

żądania rejestrów połączeń telefonicznych i przesyłu danych.

3.   Urzędnicy wiodącego organu nadzorczego i inne osoby upoważnione przez ten organ do prowadzenia dochodzeń, o których mowa w ust. 1, wykonują swoje uprawnienia po przedstawieniu pisemnego upoważnienia określającego przedmiot i cel dochodzenia.

W upoważnieniu tym wskazuje się również okresowe kary pieniężne przewidziane w art. 35 ust. 6, nakładane w przypadku, gdy wymagane dokumenty, dane, udokumentowane procedury lub inne materiały lub odpowiedzi na pytania zadane przedstawicielom zewnętrznego dostawcy usług ICT nie zostaną przekazane bądź udzielone lub są niepełne.

4.   Przedstawiciele kluczowego zewnętrznego dostawcy usług ICT mają obowiązek poddać się dochodzeniom na mocy decyzji wiodącego organu nadzorczego. W decyzji określa się przedmiot i cel dochodzenia, okresowe kary pieniężne przewidziane w art. 35 ust. 6 i środki odwoławcze dostępne na mocy rozporządzenia (UE) nr 1093/2010, rozporządzenia (UE) nr 1094/2010 i rozporządzenia (UE) nr 1095/2010 oraz wskazuje się na prawo do zaskarżenia decyzji do Trybunału Sprawiedliwości.

5.   Z odpowiednim wyprzedzeniem przed rozpoczęciem dochodzenia wiodący organ nadzorczy informuje organy właściwe dla podmiotów finansowych, które korzystają z usług danego kluczowego zewnętrznego dostawcy usług ICT, o planowanym dochodzeniu i o tożsamości upoważnionych osób.

Wiodący organ nadzorczy przekazuje wspólnej sieci nadzoru wszystkie informacje otrzymane zgodnie z akapitem pierwszym.

Artykuł 39

Kontrole

1.   W celu wykonywania swoich obowiązków wynikających z niniejszego rozporządzenia wiodący organ nadzorczy, przy wsparciu wspólnych zespołów ds. kontroli, o których mowa w art. 40 ust. 1, może wejść do obiektów, na tereny lub do nieruchomości, które stanowią miejsce prowadzenia działalności gospodarczej zewnętrznych dostawców usług ICT, takich jak siedziby, centra operacyjne i lokale dodatkowe, oraz przeprowadzać w nich wszystkie niezbędne kontrole na miejscu, a także przeprowadzać kontrole zdalne.

Do celów wykonywania uprawnień, o których mowa w akapicie pierwszym, wiodący organ nadzorczy konsultuje się ze wspólną siecią nadzoru.

2.   Urzędnicy i inne osoby upoważnione przez wiodący organ nadzorczy do przeprowadzania kontroli na miejscu są uprawnieni do:

| a) | wejścia do wszelkich takich lokali, na teren lub do nieruchomości; oraz |
| --- | --- |

a)

wejścia do wszelkich takich lokali, na teren lub do nieruchomości; oraz

| b) | opieczętowania wszelkich takich lokali, ksiąg lub rejestrów na czas i w zakresie koniecznym do przeprowadzenia kontroli. |
| --- | --- |

b)

opieczętowania wszelkich takich lokali, ksiąg lub rejestrów na czas i w zakresie koniecznym do przeprowadzenia kontroli.

Urzędnicy i inne osoby upoważnione przez wiodący organ nadzorczy wykonują swoje uprawnienia po przedstawieniu pisemnego upoważnienia określającego przedmiot i cel kontroli oraz okresowe kary pieniężne przewidziane w art. 35 ust. 6, które podlegają nałożeniu w przypadku, gdy przedstawiciele odnośnych kluczowych zewnętrznych dostawców usług ICT nie poddadzą się kontroli.

3.   Z odpowiednim wyprzedzeniem przed rozpoczęciem kontroli wiodący organ nadzorczy informuje o niej organy właściwe dla podmiotów finansowych, które korzystają z usług danego zewnętrznego dostawcy usług ICT.

4.   Kontrole obejmują pełen zakres stosownych systemów, sieci, urządzeń, informacji i danych związanych z ICT wykorzystywanych do świadczenia usług ICT na rzecz podmiotów finansowych albo mających wpływ na świadczenie tych usług.

5.   Przed każdą planowaną kontrolą na miejscu wiodący organ nadzorczy powiadamia z odpowiednim wyprzedzeniem danego kluczowego zewnętrznego dostawcę usług ICT, chyba że takie powiadomienie jest niemożliwe ze względu na nadzwyczajną lub kryzysową sytuację, lub jeżeli prowadziłoby do sytuacji, w której kontrola lub audyt nie byłyby już skuteczne.

6.   Kluczowy zewnętrzny dostawca usług ICT jest zobowiązany poddać się kontrolom na miejscu określonym w decyzji wiodącego organu nadzorczego. W decyzji tej określa się przedmiot i cel kontroli, datę jej rozpoczęcia oraz okresowe kary pieniężne przewidziane w art. 35 ust. 6, środki odwoławcze dostępne na mocy rozporządzenia (UE) nr 1093/2010, rozporządzenia (UE) nr 1094/2010 i rozporządzenia (UE) nr 1095/2010 oraz prawo do zaskarżenia decyzji do Trybunału Sprawiedliwości.

7.   Jeżeli urzędnicy wiodącego organu nadzorczego i inne osoby upoważnione przez ten organ stwierdzą, że kluczowy zewnętrzny dostawca usług ICT sprzeciwia się kontroli zarządzonej na mocy niniejszego artykułu, wiodący organ nadzorczy informuje tego kluczowego zewnętrznego dostawcę usług ICT o konsekwencjach takiego sprzeciwu, w tym o możliwości żądania przez właściwe organy, by podmioty finansowe zakończyły stosunki umowne z tym kluczowym zewnętrznym dostawcą usług ICT.

Artykuł 40

Bieżący nadzór

1.   Przy przeprowadzaniu działań nadzorczych, w szczególności dochodzeń ogólnych lub kontroli, wiodący organ nadzorczy jest wspierany przez wspólny zespół ds. kontroli ustanowiony dla każdego z kluczowych zewnętrznych dostawców usług ICT.

2.   Wspólny zespół ds. kontroli, o którym mowa w ust. 1, składa się z pracowników:

| a) | EUN; |
| --- | --- |

a)

EUN;

| b) | odpowiednich właściwych organów nadzorujących podmioty finansowe, na rzecz których kluczowy zewnętrzny dostawca usług ICT świadczy usługi; |
| --- | --- |

b)

odpowiednich właściwych organów nadzorujących podmioty finansowe, na rzecz których kluczowy zewnętrzny dostawca usług ICT świadczy usługi;

| c) | na zasadzie dobrowolności – krajowego właściwego organu, o którym mowa w art. 32 ust. 4 lit. e); |
| --- | --- |

c)

na zasadzie dobrowolności – krajowego właściwego organu, o którym mowa w art. 32 ust. 4 lit. e);

| d) | na zasadzie dobrowolności – jednego z krajowych właściwych organów państwa członkowskiego, w którym dany kluczowy zewnętrzny dostawca usług ICT ma siedzibę. |
| --- | --- |

d)

na zasadzie dobrowolności – jednego z krajowych właściwych organów państwa członkowskiego, w którym dany kluczowy zewnętrzny dostawca usług ICT ma siedzibę.

Członkowie wspólnego zespołu badawczego mają wiedzę fachową z zakresu ICT i ryzyka operacyjnego. Prace wspólnego zespołu ds. kontroli podlegają koordynacji wyznaczonego pracownika wiodącego organu nadzorczego („koordynator wiodącego organu nadzorczego”).

3.   W terminie trzech miesięcy od zakończenia dochodzenia lub kontroli wiodący organ nadzorczy, po konsultacji z forum nadzoru, przyjmuje zalecenia, które mają być skierowane do kluczowego zewnętrznego dostawcy usług ICT zgodnie z uprawnieniami, o których mowa w art. 35.

4.   Zalecenia, o których mowa w ust. 3, bezzwłocznie przekazuje się kluczowemu zewnętrznemu dostawcy usług ICT oraz organom właściwym dla podmiotów finansowych, na rzecz których dostawca ten świadczy usługi ICT.

Do celów wykonania działań nadzorczych wiodący organ nadzorczy może uwzględnić wszelkie stosowne certyfikaty wydane przez stronę trzecią oraz sprawozdania z wewnętrznych lub zewnętrznych audytów dotyczących usług ICT świadczonych przez stronę trzecią udostępnione przez kluczowego zewnętrznego dostawcę usług ICT.

Artykuł 41

Harmonizacja warunków umożliwiających prowadzenie działań nadzorczych

1.   Za pośrednictwem Wspólnego Komitetu EUN opracowują projekty regulacyjnych standardów technicznych określających:

| a) | informacje, które zewnętrzny dostawca usług ICT ma zawrzeć w dobrowolnym wniosku o wyznaczenie go jako kluczowego na mocy art. 31 ust. 11; |
| --- | --- |

a)

informacje, które zewnętrzny dostawca usług ICT ma zawrzeć w dobrowolnym wniosku o wyznaczenie go jako kluczowego na mocy art. 31 ust. 11;

| b) | zakres, strukturę i format informacji, które zewnętrzni dostawcy usług ICT mają przedłożyć, ujawnić lub zgłosić zgodnie z art. 35 ust. 1, w tym wzór do celów przekazywania informacji na temat umów dalszego podwykonawstwa; |
| --- | --- |

b)

zakres, strukturę i format informacji, które zewnętrzni dostawcy usług ICT mają przedłożyć, ujawnić lub zgłosić zgodnie z art. 35 ust. 1, w tym wzór do celów przekazywania informacji na temat umów dalszego podwykonawstwa;

| c) | kryteria ustalania składu wspólnego zespołu ds. kontroli zapewniające zrównoważony udział pracowników EUN i odpowiednich właściwych organów, a także sposób ich wyznaczenia, zadania i ustalenia robocze; |
| --- | --- |

c)

kryteria ustalania składu wspólnego zespołu ds. kontroli zapewniające zrównoważony udział pracowników EUN i odpowiednich właściwych organów, a także sposób ich wyznaczenia, zadania i ustalenia robocze;

| d) | szczegóły przeprowadzonej przez właściwe organy oceny środków wprowadzonych przez kluczowych zewnętrznych dostawców usług ICT w następstwie zaleceń wydanych przez wiodący organ nadzorczy zgodnie z art. 42 ust. 3. |
| --- | --- |

d)

szczegóły przeprowadzonej przez właściwe organy oceny środków wprowadzonych przez kluczowych zewnętrznych dostawców usług ICT w następstwie zaleceń wydanych przez wiodący organ nadzorczy zgodnie z art. 42 ust. 3.

2.   EUN przedkładają Komisji te projekty regulacyjnych standardów technicznych do dnia 17 lipca 2024 r.

Komisji przekazuje się uprawnienie do uzupełnienia niniejszego rozporządzenia w drodze przyjmowania regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z procedurą określoną w art. 10–14 rozporządzeń (UE) nr 1093/2010, (UE) nr 1094/2010 i (UE) nr 1095/2010.

Artykuł 42

Działania następcze podejmowane przez właściwe organy

1.   W terminie 60 dni kalendarzowych od otrzymania zaleceń wydanych przez wiodący organ nadzorczy zgodnie z art. 31 ust. 1 lit. d) kluczowi zewnętrzni dostawcy usług ICT powiadamiają wiodący organ nadzorczy o tym, czy zamierzają zastosować się do tych zaleceń, albo przedstawiają uzasadnione wyjaśnienie powodów, dla których nie zamierzają przyjąć takich zaleceń. Wiodący organ nadzorczy niezwłocznie przekazuje tę informację właściwym organom dla odpowiednich podmiotów finansowych.

2.   Wiodący organ nadzorczy podaje do wiadomości publicznej informację o tym, że dany kluczowy zewnętrzny dostawca usług ICT nie przekazał mu powiadomienia zgodnie z ust. 1 lub że wyjaśnienie przekazane przez danego kluczowego dostawcę usług ICT nie zostało uznane za wystarczające. W informacji tej ujawnia się tożsamość kluczowego zewnętrznego dostawcy usług ICT oraz opisuje rodzaj i charakter niezgodności. Taka informacja ogranicza się do tego, co jest istotne i proporcjonalne do celów zapewnienia powszechnej wiedzy w tym zakresie, chyba że taka publikacja wyrządziłaby nieproporcjonalną szkodę zaangażowanym stronom lub poważnie zagroziła uporządkowanemu funkcjonowaniu i integralności rynków finansowych lub stabilności całego sytemu finansowego Unii lub jego części.

Wiodący organ nadzorczy powiadamia zewnętrznego dostawcę usług ICT o upublicznieniu tych informacji.

3.   Właściwe organy informują odpowiednie podmioty finansowe o ryzyku zidentyfikowanym w zaleceniach skierowanych do kluczowych zewnętrznych dostawców usług ICT zgodnie z art. 35 ust. 1 lit. d).

Zarządzając ryzykiem zewnętrznych dostawców usług ICT, podmioty finansowe uwzględniają ryzyka, o których mowa w akapicie pierwszym.

4.   W przypadku gdy właściwy organ uzna, że w ramach zarządzania ryzykiem zewnętrznych dostawców usług ICT podmiot finansowy nie uwzględnia szczególnych rodzajów ryzyka zidentyfikowanych w zaleceniach lub uwzględnia je w niewystarczający sposób, powiadamia ten podmiot finansowy o możliwości podjęcia decyzji w ciągu 60 dni kalendarzowych od otrzymania takiego powiadomienia, zgodnie z ust. 6, w związku z brakiem odpowiednich ustaleń umownych mających na celu zwalczanie takich rodzajów ryzyka.

5.   Po otrzymaniu sprawozdań, o których mowa w art. 35 ust. 1 lit. c), i przed podjęciem decyzji, o której mowa w ust. 6 niniejszego artykułu, właściwe organy mogą, na zasadzie dobrowolności, skonsultować się z właściwymi organami wyznaczonymi lub ustanowionymi zgodnie z dyrektywą (UE) 2022/2555 odpowiedzialnymi za nadzór nad kluczowym lub ważnym podmiotem objętym zakresem stosowania tej dyrektywy, który został wyznaczony jako kluczowy zewnętrzny dostawca usług ICT.

6.   Jako środek ostateczny, po powiadomieniu i, w stosownych przypadkach, konsultacjach w myśl ust. 4 i 5 niniejszego artykułu, zgodnie z art. 50 właściwe organy mogą podjąć decyzję nakazującą podmiotom finansowym tymczasowe zawieszenie, w części albo w całości, korzystania z usługi świadczonej przez kluczowego zewnętrznego dostawcę usług ICT lub jej wdrażania do czasu wyeliminowania ryzyka zidentyfikowanego w zaleceniach skierowanych do kluczowych zewnętrznych dostawców usług ICT. W razie potrzeby, właściwe organy mogą nakazać podmiotom finansowym wypowiedzenie, w części lub w całości, stosownych ustaleń umownych zawartych z kluczowymi zewnętrznymi dostawcami usług ICT.

7.   W przypadku gdy kluczowy zewnętrzny dostawca usług odmówi zatwierdzenia zaleceń, w oparciu o podejście odmienne od podejścia zalecanego przez wiodący organ nadzorczy, a takie odmienne podejście może mieć negatywny wpływ na dużą liczbę podmiotów finansowych lub znaczną część sektora finansowego, i gdy indywidualne ostrzeżenia wydane przez właściwe organy nie doprowadziły do przyjęcia spójnego podejścia łagodzącego potencjalne ryzyko dla stabilności finansowej, w stosownych przypadkach wiodący organ nadzorczy – po konsultacji z forum nadzoru – może wydać niewiążące i niejawne opinie na potrzeby właściwych organów w celu promowania spójnych i zbieżnych środków następczych w zakresie nadzoru.

8.   Po otrzymania sprawozdań, o których mowa w art. 35 ust. 1 lit. c), właściwe organy – podejmując decyzję, o której mowa w ust. 6 niniejszego artykułu, biorą pod uwagę rodzaj i skalę ryzyka, które nie zostało wyeliminowane przez kluczowego zewnętrznego dostawcę usług ICT, a także istotność braku zgodności, uwzględniając następujące kryteria:

| a) | wagę braku zgodności i czas jego trwania; |
| --- | --- |

a)

wagę braku zgodności i czas jego trwania;

| b) | kwestię, czy brak zgodności ujawnił poważne słabości w procedurach, systemach zarządzania, zarządzaniu ryzykiem i kontrolach wewnętrznych kluczowego zewnętrznego dostawcy usług ICT; |
| --- | --- |

b)

kwestię, czy brak zgodności ujawnił poważne słabości w procedurach, systemach zarządzania, zarządzaniu ryzykiem i kontrolach wewnętrznych kluczowego zewnętrznego dostawcy usług ICT;

| c) | kwestię, czy brak zgodności doprowadził do przestępstwa finansowego lub ułatwił przestępstwo finansowe lub jest w inny sposób związany z takim przestępstwem; |
| --- | --- |

c)

kwestię, czy brak zgodności doprowadził do przestępstwa finansowego lub ułatwił przestępstwo finansowe lub jest w inny sposób związany z takim przestępstwem;

| d) | kwestię, czy brak zgodności jest wynikiem działania umyślnego lub zaniedbania; |
| --- | --- |

d)

kwestię, czy brak zgodności jest wynikiem działania umyślnego lub zaniedbania;

| e) | kwestię, czy zawieszenie lub wypowiedzenie ustaleń umownych wprowadza ryzyko dla ciągłości działalności gospodarczej danego podmiotu finansowego pomimo wysiłków podejmowanych przez ten podmiot finansowy, by uniknąć zakłócenia w świadczeniu przez niego usług; |
| --- | --- |

e)

kwestię, czy zawieszenie lub wypowiedzenie ustaleń umownych wprowadza ryzyko dla ciągłości działalności gospodarczej danego podmiotu finansowego pomimo wysiłków podejmowanych przez ten podmiot finansowy, by uniknąć zakłócenia w świadczeniu przez niego usług;

| f) | w stosownych przypadkach opinię właściwych organów wyznaczonych lub ustanowionych zgodnie z dyrektywą (UE) 2022/2555 jako odpowiedzialne za nadzór nad kluczowym lub ważnym podmiotem objętym zakresem stosowania tej dyrektywy, którzy zostali wyznaczeni jako kluczowy zewnętrzny dostawca usług ICT, o którą zwrócono się na zasadzie dobrowolności zgodnie z ust. 5 niniejszego artykułu. |
| --- | --- |

f)

w stosownych przypadkach opinię właściwych organów wyznaczonych lub ustanowionych zgodnie z dyrektywą (UE) 2022/2555 jako odpowiedzialne za nadzór nad kluczowym lub ważnym podmiotem objętym zakresem stosowania tej dyrektywy, którzy zostali wyznaczeni jako kluczowy zewnętrzny dostawca usług ICT, o którą zwrócono się na zasadzie dobrowolności zgodnie z ust. 5 niniejszego artykułu.

Właściwe organy dają podmiotom finansowym odpowiednio dużo czasu na dostosowanie ustaleń umownych z kluczowymi zewnętrznymi dostawcami usług ICT, aby uniknąć szkodliwych skutków dla ich operacyjnej odporności cyfrowej i umożliwić im wdrożenie strategii wyjścia i planów przejściowych, o których mowa w art. 28.

9.   O decyzji określonej w ust. 6 niniejszego artykułu powiadamia się członków forum nadzoru, o którym mowa w art. 32 ust. 4 lit. a), b) i c), i wspólną sieć nadzoru.

Kluczowi zewnętrzni dostawcy usług ICT, których dotyczą decyzje przewidziane w ust. 6, w pełni współpracują z podmiotami finansowymi, na które decyzje te mają wpływ, w szczególności w kontekście procesu zawieszenia lub wypowiedzenia ich ustaleń umownych.

10.   Właściwe organy regularnie informują wiodący odpowiedni organ nadzorczy o podejściach i środkach, które zastosowały w ramach swoich zadań nadzorczych w odniesieniu do podmiotów finansowych, jak również o ustaleniach umownych zawartych z tymi podmiotami finansowymi, w przypadku gdy kluczowi zewnętrzni dostawcy usług ICT nie uznali, w części lub w całości, zaleceń skierowanych do nich przez dany wiodący organ nadzorczy.

11.   Wiodący organ nadzorczy może, na wniosek, przedstawić dalsze wyjaśnienia dotyczące wydanych zaleceń, aby ukierunkować właściwe organy w kwestii działań następczych.

Artykuł 43

Opłaty nadzorcze

1.   Zgodnie z aktem delegowanym, o którym mowa w ust. 2 niniejszego artykułu, wiodący organ nadzorczy pobiera od kluczowych zewnętrznych dostawców usług ICT opłaty, które w pełni pokrywają jego niezbędne wydatki związane z wykonywaniem zadań nadzorczych zgodnie z niniejszym rozporządzeniem, w tym zwrot wszelkich kosztów, które mogą zostać poniesione w wyniku prac prowadzonych przez wspólny zespół ds. kontroli, o którym mowa w art. 40, a także kosztów porad udzielanych przez niezależnych ekspertów, o czym mowa w art. 32 ust. 4 akapit drugi, w odniesieniu do kwestii objętych bezpośrednim nadzorem.

Wysokość opłaty pobieranej od kluczowego zewnętrznego dostawcy usług ICT pozwala na pokrycie wszystkich kosztów związanych z wypełnianiem obowiązków określonych w niniejszej sekcji oraz jest proporcjonalna do jego obrotów.

2.   Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 57 w celu uzupełnienia niniejszego rozporządzenia poprzez określenie wysokości opłat oraz sposobu ich uiszczania do dnia 17 lipca 2024 r.

Artykuł 44

Współpraca międzynarodowa

1.   Bez uszczerbku dla art. 36, EUNB, ESMA i EIOPA mogą zgodnie z art. 33, odpowiednio, rozporządzenia (UE) nr 1093/2010, rozporządzenia (UE) nr 1095/2010 i rozporządzenia (UE) nr 1094/2010 zawrzeć porozumienia administracyjne z organami regulacyjnymi i organami nadzoru państw trzecich, aby wspierać współpracę międzynarodową w obszarze ryzyka ze strony zewnętrznych dostawców usług ICT w różnych sektorach finansowych, w szczególności przez opracowanie najlepszych praktyk dotyczących przeglądu praktyk zarządzania ryzykiem związanym z ICT i przeglądu kontroli takiego ryzyka, środków łagodzących takie ryzyko i reakcji na incydenty związane z takim ryzykiem.

2.   EUN, za pośrednictwem Wspólnego Komitetu, co pięć lat przedkładają Parlamentowi Europejskiemu, Radzie i Komisji wspólne poufne sprawozdanie, w którym podsumowują ustalenia ze stosownych rozmów przeprowadzonych z organami państw trzecich, o których mowa w ust. 1, koncentrując się na ewolucji ryzyka ze strony zewnętrznych dostawców usług ICT i następstwach dla stabilności finansowej, integralności rynku, ochrony inwestorów i funkcjonowania rynku wewnętrznego.

ROZDZIAŁ VI

Ustalenia dotyczące wymiany informacji

Artykuł 45

Ustalenia dotyczące wymiany informacji o cyberzagrożeniu i wyników analiz takiego cyberzagrożenia

1.   Podmioty finansowe mogą wymieniać między sobą informacje o cyberzagrożeniu i wyniki analiz takiego cyberzagrożenia, w tym oznaki naruszenia integralności systemu, taktykę, techniki i procedury, ostrzeżenia dotyczące cyberbezpieczeństwa oraz narzędzia konfiguracji w zakresie, w jakim wymiana takich informacji i wyników analiz:

| a) | ma na celu zwiększenie operacyjnej odporności cyfrowej podmiotów finansowych, w szczególności poprzez zwiększanie świadomości w odniesieniu do cyberzagrożeń, ograniczanie lub utrudnianie rozprzestrzeniania się zdolności do stwarzania cyberzagrożeń, wspieranie możliwości obronnych, technik wykrywania zagrożenia, strategii jego minimalizowania lub etapów reagowania i przywracania sprawności; |
| --- | --- |

a)

ma na celu zwiększenie operacyjnej odporności cyfrowej podmiotów finansowych, w szczególności poprzez zwiększanie świadomości w odniesieniu do cyberzagrożeń, ograniczanie lub utrudnianie rozprzestrzeniania się zdolności do stwarzania cyberzagrożeń, wspieranie możliwości obronnych, technik wykrywania zagrożenia, strategii jego minimalizowania lub etapów reagowania i przywracania sprawności;

| b) | odbywa się w zaufanych społecznościach podmiotów finansowych; |
| --- | --- |

b)

odbywa się w zaufanych społecznościach podmiotów finansowych;

| c) | jest realizowana za pośrednictwem ustaleń dotyczących wymiany informacji, które chronią potencjalnie poufny charakter wymienianych informacji i które są regulowane przez zasady prowadzenia działalności z pełnym poszanowaniem tajemnicy przedsiębiorstwa, ochrony danych osobowych zgodnie z rozporządzeniem (UE) 2016/679 i wytycznych dotyczących polityki konkurencji. |
| --- | --- |

c)

jest realizowana za pośrednictwem ustaleń dotyczących wymiany informacji, które chronią potencjalnie poufny charakter wymienianych informacji i które są regulowane przez zasady prowadzenia działalności z pełnym poszanowaniem tajemnicy przedsiębiorstwa, ochrony danych osobowych zgodnie z rozporządzeniem (UE) 2016/679 i wytycznych dotyczących polityki konkurencji.

2.   Do celów ust. 1 lit. c) ustalenia dotyczące wymiany informacji określają warunki przystąpienia i w stosownych przypadkach przewidują szczegóły uczestnictwa organów publicznych i możliwości włączenia ich do ustaleń dotyczących wymiany informacji, szczegóły uczestnictwa zewnętrznych dostawców usług ICT, a także szczegóły elementów operacyjnych, w tym korzystania ze specjalnych platform informatycznych.

3.   Podmioty finansowe powiadamiają właściwe organy o swoim przystąpieniu do ustaleń dotyczących wymiany informacji, o których mowa w ust. 1, po zatwierdzeniu ich członkostwa lub, w stosownych przypadkach, o ustaniu ich członkostwa, gdy stanie się ono skuteczne.

ROZDZIAŁ VII

Właściwe organy

Artykuł 46

Właściwe organy

Bez uszczerbku dla przepisów dotyczących ram nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT, o których mowa w rozdziale V sekcja II niniejszego rozporządzenia, następujące właściwe organy zgodnie z uprawnieniami przyznanymi im na mocy odpowiednich aktów prawnych zapewniają przestrzeganie niniejszego rozporządzenia:

| a) | w odniesieniu do instytucji kredytowych i instytucji zwolnionych zgodnie z dyrektywą 2013/36/UE – właściwy organ wyznaczony zgodnie z art. 4 tej dyrektywy, a dla instytucji kredytowych sklasyfikowanych jako istotne zgodnie z art. 6 ust. 4 rozporządzenia (UE) nr 1024/2013 – EBC zgodnie z uprawnieniami i zadaniami przyznanymi na mocy tego rozporządzenia; |
| --- | --- |

a)

w odniesieniu do instytucji kredytowych i instytucji zwolnionych zgodnie z dyrektywą 2013/36/UE – właściwy organ wyznaczony zgodnie z art. 4 tej dyrektywy, a dla instytucji kredytowych sklasyfikowanych jako istotne zgodnie z art. 6 ust. 4 rozporządzenia (UE) nr 1024/2013 – EBC zgodnie z uprawnieniami i zadaniami przyznanymi na mocy tego rozporządzenia;

| b) | w odniesieniu do instytucji płatniczych, w tym instytucji płatniczych zwolnionych zgodnie z dyrektywą (UE) 2015/2366, instytucji pieniądza elektronicznego, w tym instytucji pieniądza elektronicznego zwolnionych zgodnie z dyrektywą 2009/110/WE i dostawców świadczących usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 dyrektywy (UE) 2015/2366 – właściwy organ wyznaczony zgodnie z art. 22 dyrektywy (UE) 2015/2366; |
| --- | --- |

b)

w odniesieniu do instytucji płatniczych, w tym instytucji płatniczych zwolnionych zgodnie z dyrektywą (UE) 2015/2366, instytucji pieniądza elektronicznego, w tym instytucji pieniądza elektronicznego zwolnionych zgodnie z dyrektywą 2009/110/WE i dostawców świadczących usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 dyrektywy (UE) 2015/2366 – właściwy organ wyznaczony zgodnie z art. 22 dyrektywy (UE) 2015/2366;

| c) | w odniesieniu do firm inwestycyjnych – właściwy organ wyznaczony zgodnie z art. 4 dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/2034 (38); |
| --- | --- |

c)

w odniesieniu do firm inwestycyjnych – właściwy organ wyznaczony zgodnie z art. 4 dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/2034 (38);

38

| d) | w odniesieniu do dostawców usług w zakresie kryptoaktywów, którzy uzyskali zezwolenie na mocy rozporządzenia w sprawie rynków kryptoaktywów i emitentów tokenów powiązanych z aktywami – właściwy organ wyznaczony zgodnie z odpowiednim przepisem tego rozporządzenia; |
| --- | --- |

d)

w odniesieniu do dostawców usług w zakresie kryptoaktywów, którzy uzyskali zezwolenie na mocy rozporządzenia w sprawie rynków kryptoaktywów i emitentów tokenów powiązanych z aktywami – właściwy organ wyznaczony zgodnie z odpowiednim przepisem tego rozporządzenia;

| e) | w odniesieniu do centralnych depozytów papierów wartościowych – właściwy organ wyznaczony zgodnie z art. 11 rozporządzenia (UE) nr 909/2014; |
| --- | --- |

e)

w odniesieniu do centralnych depozytów papierów wartościowych – właściwy organ wyznaczony zgodnie z art. 11 rozporządzenia (UE) nr 909/2014;

| f) | w odniesieniu do kontrahentów centralnych – właściwy organ wyznaczony zgodnie z art. 22 rozporządzenia (UE) nr 648/2012; |
| --- | --- |

f)

w odniesieniu do kontrahentów centralnych – właściwy organ wyznaczony zgodnie z art. 22 rozporządzenia (UE) nr 648/2012;

| g) | w odniesieniu do systemów obrotu i dostawców usług w zakresie udostępniania informacji – właściwy organ wyznaczony zgodnie z art. 67 dyrektywy 2014/65/UE i właściwy organ zdefiniowany w art. 2 ust. 1 pkt 18 rozporządzenia (UE) nr 600/2014; |
| --- | --- |

g)

w odniesieniu do systemów obrotu i dostawców usług w zakresie udostępniania informacji – właściwy organ wyznaczony zgodnie z art. 67 dyrektywy 2014/65/UE i właściwy organ zdefiniowany w art. 2 ust. 1 pkt 18 rozporządzenia (UE) nr 600/2014;

| h) | w odniesieniu do repozytoriów transakcji – właściwy organ wyznaczony zgodnie z art. 22 rozporządzenia (UE) nr 648/2012; |
| --- | --- |

h)

w odniesieniu do repozytoriów transakcji – właściwy organ wyznaczony zgodnie z art. 22 rozporządzenia (UE) nr 648/2012;

| i) | w odniesieniu do zarządzających alternatywnymi funduszami inwestycyjnymi – właściwy organ wyznaczony zgodnie z art. 44 dyrektywy 2011/61/UE; |
| --- | --- |

i)

w odniesieniu do zarządzających alternatywnymi funduszami inwestycyjnymi – właściwy organ wyznaczony zgodnie z art. 44 dyrektywy 2011/61/UE;

| j) | w odniesieniu do spółek zarządzających – właściwy organ wyznaczony zgodnie z art. 97 dyrektywy 2009/65/WE; |
| --- | --- |

j)

w odniesieniu do spółek zarządzających – właściwy organ wyznaczony zgodnie z art. 97 dyrektywy 2009/65/WE;

| k) | w odniesieniu do zakładów ubezpieczeń i zakładów reasekuracji – właściwy organ wyznaczony zgodnie z art. 30 dyrektywy 2009/138/WE; |
| --- | --- |

k)

w odniesieniu do zakładów ubezpieczeń i zakładów reasekuracji – właściwy organ wyznaczony zgodnie z art. 30 dyrektywy 2009/138/WE;

| l) | w odniesieniu do pośredników ubezpieczeniowych, pośredników reasekuracyjnych i pośredników oferujących ubezpieczenia uzupełniające – właściwy organ wyznaczony zgodnie z art. 12 dyrektywy (UE) 2016/97; |
| --- | --- |

l)

w odniesieniu do pośredników ubezpieczeniowych, pośredników reasekuracyjnych i pośredników oferujących ubezpieczenia uzupełniające – właściwy organ wyznaczony zgodnie z art. 12 dyrektywy (UE) 2016/97;

| m) | w odniesieniu do instytucji pracowniczych programów emerytalnych – właściwy organ wyznaczony zgodnie z art. 47 dyrektywy (UE) 2016/2341; |
| --- | --- |

m)

w odniesieniu do instytucji pracowniczych programów emerytalnych – właściwy organ wyznaczony zgodnie z art. 47 dyrektywy (UE) 2016/2341;

| n) | w odniesieniu do agencji ratingowych – właściwy organ wyznaczony zgodnie z art. 21 rozporządzenia (WE) nr 1060/2009; |
| --- | --- |

n)

w odniesieniu do agencji ratingowych – właściwy organ wyznaczony zgodnie z art. 21 rozporządzenia (WE) nr 1060/2009;

| o) | w odniesieniu do administratorów kluczowych wskaźników referencyjnych – właściwy organ wyznaczony zgodnie z art. 40 i 41 rozporządzenia (UE) 2016/1011; |
| --- | --- |

o)

w odniesieniu do administratorów kluczowych wskaźników referencyjnych – właściwy organ wyznaczony zgodnie z art. 40 i 41 rozporządzenia (UE) 2016/1011;

| p) | w odniesieniu do dostawców usług finansowania społecznościowego – właściwy organ wyznaczony zgodnie z art. 29 rozporządzenia (UE) 2020/1503; |
| --- | --- |

p)

w odniesieniu do dostawców usług finansowania społecznościowego – właściwy organ wyznaczony zgodnie z art. 29 rozporządzenia (UE) 2020/1503;

| q) | w odniesieniu do repozytoriów sekurytyzacji – właściwy organ wyznaczony zgodnie z art. 10 i art. 14 ust. 1 rozporządzenia (UE) 2017/2402. |
| --- | --- |

q)

w odniesieniu do repozytoriów sekurytyzacji – właściwy organ wyznaczony zgodnie z art. 10 i art. 14 ust. 1 rozporządzenia (UE) 2017/2402.

Artykuł 47

Współpraca ze strukturami i organami ustanowionymi na mocy dyrektywy (UE) 2022/2555

1.   Aby usprawnić współpracę i umożliwić wymianę informacji na temat nadzoru między właściwymi organami wyznaczonymi na mocy niniejszego rozporządzenia i grupą współpracy ustanowioną na mocy art. 14 dyrektywy (UE) 2022/2555 EUN i właściwe organy mogą uczestniczyć w czynnościach tej grupy w kwestiach, które dotyczą ich działań nadzorczych w odniesieniu do podmiotów finansowych. EUN i właściwe organy mogą zwrócić się o zaproszenie do udziału w czynnościach grupy współpracy w kwestiach, które dotyczą kluczowych lub ważnych podmiotów objętych zakresem stosowania dyrektywy (UE) 2022/2555 i które zostały wyznaczone jako kluczowi zewnętrzni dostawcy usług ICT zgodnie z art. 31 niniejszego rozporządzenia.

2.   W stosownych przypadkach właściwe organy mogą konsultować się i wymieniać informacje z pojedynczymi punktami kontaktowymi i CSIRT wyznaczonymi lub ustanowionymi zgodnie z dyrektywą (UE) 2022/2555.

3.   W stosownych przypadkach właściwe organy mogą zwrócić się o wszelkie istotne zalecenia techniczne i pomoc techniczną do właściwych organów wyznaczonych lub ustanowionych zgodnie z dyrektywą (UE) 2022/2555 i ustalić zasady dotyczące współpracy umożliwiające utworzenie skutecznych i szybkich mechanizmów koordynacji działań.

4.   Ustalenia, o których mowa w ust. 3 niniejszego artykułu, mogą m.in. określać procedury koordynacji działań nadzorczych i nadzoru prowadzonych w odniesieniu do kluczowego lub ważnego podmiotu objętego zakresem stosowania dyrektywy (UE) 2022/2555, który został wyznaczony jako kluczowy zewnętrzny dostawca usług ICT zgodnie z art. 31 niniejszego rozporządzenia, w tym na potrzeby prowadzenia – zgodnie z prawem krajowym – dochodzeń i kontroli na miejscu, a także na potrzeby mechanizmów wymiany informacji między właściwymi organami na mocy niniejszego rozporządzenia i właściwymi organami wyznaczonymi lub ustanowionymi zgodnie z tą dyrektywą, co obejmuje dostęp do informacji żądanych przez te organy.

Artykuł 48

Współpraca między organami

1.   Właściwe organy ściśle współpracują ze sobą oraz, w stosownych przypadkach, z wiodącym organem nadzorczym.

2.   Właściwe organy i wiodący organ nadzorczy wzajemnie wymieniają w sposób terminowy wszelkie istotne informacje dotyczące kluczowych zewnętrznych dostawców usług ICT, które to informacje są im niezbędne do wykonywania ich odpowiednich obowiązków wynikających z niniejszego rozporządzenia, w szczególności w odniesieniu do zidentyfikowanych rodzajów ryzyka, podejść i środków podjętych w ramach zadań nadzorczych wiodącego organu nadzorczego.

Artykuł 49

Ćwiczenia, komunikacja i współpraca między sektorami finansowymi

1.   EUN, za pośrednictwem Wspólnego Komitetu i we współpracy z właściwymi organami, krajowymi organami ds. restrukturyzacji i uporządkowanej likwidacji, o których mowa w art. 3 dyrektywy 2014/59/UE, EBC, Jednolitą Radą ds. Restrukturyzacji i Uporządkowanej Likwidacji na potrzeby uzyskiwania informacji dotyczących podmiotów objętych zakresem stosowania rozporządzenia (UE) nr 806/2014, ERRS i ENISA, stosownie do przypadku, mogą ustanowić mechanizmy umożliwiające wymianę skutecznych praktyk między sektorami finansowymi, aby zwiększyć świadomość o określonych sytuacjach i zidentyfikować wspólne dla sektorów finansowych podatności i rodzaje ryzyka w cyberprzestrzeni.

Mogą one przygotować ćwiczenia z zakresu zarządzania kryzysowego i sytuacji awaryjnych obejmujące scenariusze cyberataków w celu wypracowania kanałów komunikacyjnych i stopniowego umożliwiania skutecznej skoordynowanej reakcji na poziomie Unii w przypadku poważnego transgranicznego incydentu związanego z ICT lub powiązanego zagrożenia mającego systemowy wpływ na cały sektor finansowy Unii.

Ćwiczenia te mogą w stosownych przypadkach służyć również zbadaniu zależności sektora finansowego od innych sektorów gospodarki.

2.   Właściwe organy, EUN i EBC ściśle współpracują ze sobą i wymieniają się informacjami na potrzeby wykonywania swoich obowiązków zgodnie z art. 47–54. Ściśle koordynują one prowadzony przez siebie nadzór w celu identyfikowania naruszeń niniejszego rozporządzenia oraz stosowania wobec nich środków naprawczych, a także w celu opracowywania i promowania najlepszych praktyk, ułatwiania współpracy, promowania spójnej interpretacji oraz zapewniania ocen przekrojowych dotyczących odnośnych jurysdykcji w przypadku jakichkolwiek sporów.

Artykuł 50

Kary administracyjne i środki naprawcze

1.   Właściwe organy posiadają wszelkie uprawnienia do sprawowania nadzoru, prowadzenia dochodzeń i nakładania sankcji niezbędne do wykonywania swoich obowiązków wynikających z niniejszego rozporządzenia.

2.   Uprawnienia, o których mowa w ust. 1, obejmują co najmniej uprawnienia do:

| a) | dostępu do wszelkich dokumentów lub danych przechowywanych w jakiejkolwiek formie, które właściwy organ uważa za istotne z punktu widzenia wykonywania swoich obowiązków oraz do otrzymywania lub sporządzania ich kopii; |
| --- | --- |

a)

dostępu do wszelkich dokumentów lub danych przechowywanych w jakiejkolwiek formie, które właściwy organ uważa za istotne z punktu widzenia wykonywania swoich obowiązków oraz do otrzymywania lub sporządzania ich kopii;

| b) | przeprowadzania kontroli na miejscu lub dochodzeń, które obejmują m.in.:






  (i) | wzywanie przedstawicieli podmiotów finansowych w celu złożenia przez nich ustnych lub pisemnych wyjaśnień na temat faktów lub dokumentów związanych z przedmiotem i celem dochodzenia oraz do zaprotokołowania odpowiedzi; |
| --- | --- | --- |

b)

przeprowadzania kontroli na miejscu lub dochodzeń, które obejmują m.in.:

(i)

wzywanie przedstawicieli podmiotów finansowych w celu złożenia przez nich ustnych lub pisemnych wyjaśnień na temat faktów lub dokumentów związanych z przedmiotem i celem dochodzenia oraz do zaprotokołowania odpowiedzi;

| (ii) | przesłuchiwanie wszelkich innych osób fizycznych lub prawnych, które wyrażą na to zgodę, w celu zebrania informacji dotyczących przedmiotu dochodzenia; |
| --- | --- |

(ii)

przesłuchiwanie wszelkich innych osób fizycznych lub prawnych, które wyrażą na to zgodę, w celu zebrania informacji dotyczących przedmiotu dochodzenia;

| c) | wymagania zastosowania środków naprawczych w odniesieniu do naruszeń wymogów określonych w niniejszym rozporządzeniu. |
| --- | --- |

c)

wymagania zastosowania środków naprawczych w odniesieniu do naruszeń wymogów określonych w niniejszym rozporządzeniu.

3.   Bez uszczerbku dla prawa państw członkowskich do nakładania sankcji karnych zgodnie z art. 52, państwa członkowskie określają przepisy ustanawiające właściwe kary administracyjne i środki naprawcze w odniesieniu do naruszeń niniejszego rozporządzenia i zapewniają ich skuteczne stosowanie.

Te sankcje i środki muszą być skuteczne, proporcjonalne i odstraszające.

4.   Państwa członkowskie powierzają właściwym organom uprawnienie do stosowania kar administracyjnych lub środków naprawczych w przypadku naruszeń niniejszego rozporządzenia, obejmujących co najmniej:

| a) | wydanie nakazu zobowiązującego osobę fizyczną lub prawną do zaprzestania postępowania naruszającego niniejsze rozporządzenie oraz do powstrzymania się od ponownego podejmowania tego postępowania; |
| --- | --- |

a)

wydanie nakazu zobowiązującego osobę fizyczną lub prawną do zaprzestania postępowania naruszającego niniejsze rozporządzenie oraz do powstrzymania się od ponownego podejmowania tego postępowania;

| b) | wymaganie tymczasowego lub stałego zaprzestania wszelkiej praktyki lub postępowania, które właściwy organ uważa za sprzeczne z przepisami niniejszego rozporządzenia, oraz niedopuszczenie do ponownego podejmowania takiej praktyki lub postępowania; |
| --- | --- |

b)

wymaganie tymczasowego lub stałego zaprzestania wszelkiej praktyki lub postępowania, które właściwy organ uważa za sprzeczne z przepisami niniejszego rozporządzenia, oraz niedopuszczenie do ponownego podejmowania takiej praktyki lub postępowania;

| c) | podejmowanie wszelkiego rodzaju środków, w tym o charakterze pieniężnym, mających zapewnić dalsze przestrzeganie wymogów prawnych przez podmioty finansowe; |
| --- | --- |

c)

podejmowanie wszelkiego rodzaju środków, w tym o charakterze pieniężnym, mających zapewnić dalsze przestrzeganie wymogów prawnych przez podmioty finansowe;

| d) | wymaganie, w zakresie, w jakim zezwala na to prawo krajowe, udostępnienia istniejących rejestrów przesyłu danych będących w posiadaniu operatora telekomunikacyjnego, w przypadku gdy istnieje uzasadnione podejrzenie naruszenia niniejszego rozporządzenia oraz w przypadku gdy takie rejestry mogą mieć znaczenie dla dochodzenia w sprawie naruszeń niniejszego rozporządzenia; oraz |
| --- | --- |

d)

wymaganie, w zakresie, w jakim zezwala na to prawo krajowe, udostępnienia istniejących rejestrów przesyłu danych będących w posiadaniu operatora telekomunikacyjnego, w przypadku gdy istnieje uzasadnione podejrzenie naruszenia niniejszego rozporządzenia oraz w przypadku gdy takie rejestry mogą mieć znaczenie dla dochodzenia w sprawie naruszeń niniejszego rozporządzenia; oraz

| e) | wydanie publicznych ogłoszeń, w tym podanie do wiadomości publicznej informacji wskazującej tożsamość osoby fizycznej lub prawnej oraz charakter naruszenia. |
| --- | --- |

e)

wydanie publicznych ogłoszeń, w tym podanie do wiadomości publicznej informacji wskazującej tożsamość osoby fizycznej lub prawnej oraz charakter naruszenia.

5.   W przypadku gdy ust. 2 lit. c) i ust. 4 mają zastosowanie do osób prawnych, państwa członkowskie powierzają właściwym organom uprawnienie do stosowania kar administracyjnych i środków naprawczych, z zastrzeżeniem warunków przewidzianych w prawie krajowym, wobec członków organu zarządzającego oraz innych osób fizycznych, które w świetle prawa krajowego ponoszą odpowiedzialność za naruszenie.

6.   Państwa członkowskie zapewniają, aby każda decyzja nakładająca kary administracyjne lub środki naprawcze określone w ust. 2 lit. c) była właściwie uzasadniona i podlegała prawu do odwołania.

Artykuł 51

Wykonywanie uprawnień do nakładania kar administracyjnych i środków naprawczych

1.   Właściwe organy wykonują uprawnienia do nakładania kar administracyjnych i środków naprawczych, o których mowa w art. 50, zgodnie ze swoimi krajowymi ramami prawnymi, stosownie do sytuacji:

| a) | bezpośrednio; |
| --- | --- |

a)

bezpośrednio;

| b) | we współpracy z innymi organami; |
| --- | --- |

b)

we współpracy z innymi organami;

| c) | w drodze przekazania uprawnień innym organom, zachowując odpowiedzialność za wykonanie tych uprawnień; lub |
| --- | --- |

c)

w drodze przekazania uprawnień innym organom, zachowując odpowiedzialność za wykonanie tych uprawnień; lub

| d) | poprzez wnoszenie spraw do właściwych organów sądowych. |
| --- | --- |

d)

poprzez wnoszenie spraw do właściwych organów sądowych.

2.   Ustalając rodzaj i poziom kary administracyjnej lub środka naprawczego, które mają zostać nałożone na mocy art. 50, właściwe organy biorą pod uwagę zakres, w jakim dane naruszenie ma charakter umyślny lub jest wynikiem zaniedbania, a także wszystkie inne stosowne okoliczności, w tym również, w stosownych przypadkach:

| a) | istotność i wagę naruszenia oraz czas jego trwania; |
| --- | --- |

a)

istotność i wagę naruszenia oraz czas jego trwania;

| b) | stopień przyczynienia się osoby fizycznej lub prawnej do naruszenia; |
| --- | --- |

b)

stopień przyczynienia się osoby fizycznej lub prawnej do naruszenia;

| c) | sytuację finansową odpowiedzialnej osoby fizycznej lub prawnej; |
| --- | --- |

c)

sytuację finansową odpowiedzialnej osoby fizycznej lub prawnej;

| d) | skalę korzyści uzyskanych lub strat unikniętych przez odpowiedzialną osobę fizyczną lub prawną, o ile można je ustalić; |
| --- | --- |

d)

skalę korzyści uzyskanych lub strat unikniętych przez odpowiedzialną osobę fizyczną lub prawną, o ile można je ustalić;

| e) | straty poniesione przez osoby trzecie w wyniku naruszenia, o ile można je ustalić; |
| --- | --- |

e)

straty poniesione przez osoby trzecie w wyniku naruszenia, o ile można je ustalić;

| f) | poziom współpracy odpowiedzialnej osoby fizycznej lub prawnej z właściwym organem, bez uszczerbku dla konieczności zapewnienia wydania uzyskanych korzyści lub wyrównania strat unikniętych przez tę osobę fizyczną lub prawną; |
| --- | --- |

f)

poziom współpracy odpowiedzialnej osoby fizycznej lub prawnej z właściwym organem, bez uszczerbku dla konieczności zapewnienia wydania uzyskanych korzyści lub wyrównania strat unikniętych przez tę osobę fizyczną lub prawną;

| g) | uprzednie naruszenia popełnione przez odpowiedzialną osobę fizyczną lub prawną. |
| --- | --- |

g)

uprzednie naruszenia popełnione przez odpowiedzialną osobę fizyczną lub prawną.

Artykuł 52

Sankcje karne

1.   Państwa członkowskie mogą zadecydować o nieustanowieniu przepisów dotyczących kar administracyjnych lub środków naprawczych w odniesieniu do naruszeń, które podlegają sankcjom karnym na podstawie ich prawa krajowego.

2.   W przypadku gdy państwa członkowskie postanowiły ustanowić sankcje karne za naruszenia niniejszego rozporządzenia, zapewniają one wprowadzenie odpowiednich środków, tak aby właściwe organy miały wszystkie niezbędne uprawnienia do współdziałania z organami sądowymi, organami ścigania lub organami wymiaru sprawiedliwości w sprawach karnych w ramach ich jurysdykcji w celu otrzymywania szczegółowych informacji dotyczących dochodzeń lub postępowań karnych wszczętych w związku z naruszeniami niniejszego rozporządzenia oraz przekazywania takich informacji innym właściwym organom, a także EUNB, ESMA lub EIOPA w celu wypełnienia swoich obowiązków w zakresie współpracy do celów niniejszego rozporządzenia.

Artykuł 53

Obowiązki dotyczące powiadamiania

Państwa członkowskie powiadamiają Komisję, ESMA, EUNB oraz EIOPA o przepisach ustawowych, wykonawczych i administracyjnych wykonujących przepisy niniejszego rozdziału, w tym o wszelkich odpowiednich przepisach prawa karnego, do dnia 17 stycznia 2025 r. Państwa członkowskie bez zbędnej zwłoki powiadamiają Komisję, ESMA, EUNB i EIOPA o wszelkich późniejszych zmianach tych przepisów.

Artykuł 54

Publikowanie kar administracyjnych

1.   Właściwe organy bez zbędnej zwłoki publikują na swojej oficjalnej stronie internetowej każdą decyzję nakładającą kary administracyjne, wobec której, po tym jak adresat kary został powiadomiony o tej decyzji, nie zostało wniesione odwołanie.

2.   Publikacja, o której mowa w ust. 1, zawiera informacje na temat rodzaju i charakteru naruszenia oraz tożsamości osób odpowiedzialnych, a także informacje o nałożonych karach.

3.   Jeżeli po przeprowadzeniu indywidualnej oceny właściwy organ uzna, że publikacja tożsamości, w przypadku osób prawnych, lub tożsamości i danych osobowych, w przypadku osób fizycznych, byłaby nieproporcjonalna i m.in. rodziła ryzyko w zakresie ochrony danych osobowych, zagrażałaby stabilności rynków finansowych lub prowadzeniu toczącego się postępowania przygotowawczego w sprawie karnej lub wyrządziłaby nieproporcjonalną szkodę, o ile można ją ustalić, stronom, których dotyczy, przyjmuje on jedno z poniższych rozwiązań w stosunku do decyzji nakładającej karę administracyjną:

| a) | odracza jej publikację do momentu, kiedy wszystkie powody uzasadniające nieopublikowanie przestaną istnieć; |
| --- | --- |

a)

odracza jej publikację do momentu, kiedy wszystkie powody uzasadniające nieopublikowanie przestaną istnieć;

| b) | publikuje ją w formie zanonimizowanej zgodnie z prawem krajowym; lub |
| --- | --- |

b)

publikuje ją w formie zanonimizowanej zgodnie z prawem krajowym; lub

| c) | odstępuje od jej opublikowania, jeżeli możliwości określone w lit. a) i b) zostaną uznane za niewystarczające, aby zagwarantować brak jakiegokolwiek zagrożenia dla stabilności rynków finansowych, albo w przypadku gdy publikacja nie byłaby proporcjonalna do łagodnego wymiaru nałożonej kary. |
| --- | --- |

c)

odstępuje od jej opublikowania, jeżeli możliwości określone w lit. a) i b) zostaną uznane za niewystarczające, aby zagwarantować brak jakiegokolwiek zagrożenia dla stabilności rynków finansowych, albo w przypadku gdy publikacja nie byłaby proporcjonalna do łagodnego wymiaru nałożonej kary.

4.   W przypadku decyzji o publikacji informacji o karze administracyjnej w formie zanonimizowanej zgodnie z ust. 3 lit. b), opublikowanie odpowiednich danych może zostać odłożone w czasie.

5.   W przypadku gdy właściwy organ publikuje decyzję o nałożeniu kary administracyjnej, od której wniesiono odwołanie do odpowiedniego organu sądowego, właściwe organy niezwłocznie publikują na swojej oficjalnej stronie internetowej odpowiednią informację, a na dalszych etapach wszelkie późniejsze powiązane informacje o wyniku takiego odwołania. Publikuje się również wszelkie orzeczenia sądowe unieważniające decyzję o nałożeniu kary administracyjnej.

6.   Właściwe organy zapewniają, by publikacja, o której mowa w ust. 1–4, była dostępna na ich oficjalnej stronie internetowej jedynie przez okres, który jest konieczny do wdrożenia niniejszego artykułu. Okres ten nie może przekraczać pięciu lat po dokonaniu tej publikacji.

Artykuł 55

Tajemnica zawodowa

1.   Wszelkie poufne informacje otrzymywane, wymieniane lub przekazywane zgodnie z niniejszym rozporządzeniem podlegają warunkom zachowania tajemnicy zawodowej ustanowionym w ust. 2.

2.   Obowiązek zachowania tajemnicy zawodowej ma zastosowanie do wszystkich osób, które pracują lub pracowały dla właściwych organów zgodnie z niniejszym rozporządzeniem lub dla dowolnego organu lub przedsiębiorstwa rynkowego bądź osoby fizycznej lub prawnej, którym te właściwe organy przekazały swoje uprawnienia, włącznie z zatrudnionymi przez nie audytorami i ekspertami.

3.   Informacje objęte tajemnicą zawodową, w tym wymiana informacji pomiędzy właściwymi organami na mocy niniejszego rozporządzenia i właściwymi organami wyznaczonymi lub ustanowionymi zgodnie z dyrektywą (UE) 2022/2555, nie mogą zostać ujawnione jakiejkolwiek innej osobie ani jakiemukolwiek innemu organowi, z wyjątkiem przypadków określonych w prawie Unii lub prawie krajowym.

4.   Wszystkie informacje wymieniane między właściwymi organami zgodnie z niniejszym rozporządzeniem, które dotyczą warunków biznesowych lub operacyjnych oraz innych kwestii gospodarczych lub osobistych, uznaje się za informacje poufne i obejmuje się obowiązkiem zachowania tajemnicy zawodowej, z wyjątkiem przypadków gdy w momencie ich przekazania właściwy organ stwierdzi, że informacje te mogą być ujawnione lub ich ujawnienie jest niezbędne do celów postępowania sądowego.

Artykuł 56

Ochrona danych

1.   EUN i właściwe organy mogą przetwarzać dane osobowe wyłącznie wtedy, gdy jest to konieczne do celów wykonywania ich odpowiednich obowiązków i zadań zgodnie z niniejszym rozporządzeniem, w szczególności w zakresie dochodzeń, kontroli, wniosków o udzielenie informacji, komunikacji, publikacji, ewaluacji, weryfikacji, oceny i sporządzania planów nadzoru. Dane osobowe są przetwarzane zgodnie z rozporządzeniem (UE) 2016/679 lub rozporządzeniem (UE) 2018/1725, w zależności od tego, które z nich ma zastosowanie.

2.   O ile inne akty sektorowe nie stanowią inaczej, dane osobowe, o których mowa w ust. 1, są zatrzymywane do czasu wywiązania się z mających zastosowanie obowiązków nadzorczych i w każdym przypadku przez maksymalnie 15 lat, z wyjątkiem sytuacji, gdy toczy się postępowanie sądowe wymagające dalszego zatrzymania takich danych.

ROZDZIAŁ VIII

Akty delegowane

Artykuł 57

Wykonywanie przekazanych uprawnień

1.   Powierzenie Komisji uprawnień do przyjmowania aktów delegowanych podlega warunkom określonym w niniejszym artykule.

2.   Uprawnienia do przyjęcia aktów delegowanych, o których mowa w art. 31 ust. 6 i art. 43 ust. 2, powierza się Komisji na okres pięciu lat od dnia 17 stycznia 2024 r. Komisja sporządza sprawozdanie dotyczące przekazania uprawnień nie później niż dziewięć miesięcy przed końcem tego pięcioletniego okresu. Przekazanie uprawnień zostaje automatycznie przedłużone na takie same okresy, chyba że Parlament Europejski lub Rada sprzeciwią się takiemu przedłużeniu nie później niż trzy miesiące przed końcem każdego okresu.

3.   Parlament Europejski lub Rada mogą w dowolnym czasie odwołać przekazanie uprawnień, o którym mowa w art. 31 ust. 6 i art. 43 ust. 2. Decyzja o odwołaniu kończy przekazanie określonych w niej uprawnień. Decyzja o odwołaniu staje się skuteczna następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej lub w późniejszym terminie określonym w tej decyzji. Nie wpływa ona na ważność już obowiązujących aktów delegowanych.

4.   Przed przyjęciem aktu delegowanego Komisja konsultuje się z ekspertami wyznaczonymi przez każde państwo członkowskie zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa.

5.   Niezwłocznie po przyjęciu aktu delegowanego Komisja przekazuje go równocześnie Parlamentowi Europejskiemu i Radzie.

6.   Akt delegowany przyjęty zgodnie z art. 31 ust. 6 lub art. 43 ust. 2 wchodzi w życie tylko wówczas, gdy ani Parlament Europejski, ani Rada nie wyraziły sprzeciwu w terminie trzech miesięcy od przekazania tego aktu Parlamentowi Europejskiemu i Radzie, lub gdy, przed upływem tego terminu, zarówno Parlament Europejski, jak i Rada poinformowały Komisję, że nie wniosą sprzeciwu. Termin ten przedłuża się o trzy miesiące z inicjatywy Parlamentu Europejskiego lub Rady.

ROZDZIAŁ IX

Przepisy przejściowe i końcowe

Sekcja I

Artykuł 58

Klauzula przeglądowa

1.   Do dnia 17 stycznia 2028 r., po konsultacji z EUN i ERRS, stosownie do przypadku, Komisja przeprowadza przegląd i przedkłada Parlamentowi Europejskiemu i Radzie sprawozdanie, w stosownych przypadkach wraz z wnioskiem ustawodawczym. Przegląd ten obejmuje co najmniej:

| a) | kryteria wyznaczania kluczowych zewnętrznych dostawców usług ICT określonych zgodnie z art. 31 ust. 2; |
| --- | --- |

a)

kryteria wyznaczania kluczowych zewnętrznych dostawców usług ICT określonych zgodnie z art. 31 ust. 2;

| b) | dobrowolny charakter powiadamiania o znaczących cyberzagrożeniach, o których mowa w art. 19; |
| --- | --- |

b)

dobrowolny charakter powiadamiania o znaczących cyberzagrożeniach, o których mowa w art. 19;

| c) | system, o którym mowa w art. 31 ust. 12, i uprawnienia wiodącego organu nadzorczego przewidziane w art. 35 ust. 1 lit. d) ppkt (iv) tiret pierwsze z myślą o ocenie skuteczności tych przepisów, jeżeli chodzi o zapewnienie skutecznego nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT mającymi siedzibę w państwie trzecim oraz konieczności ustanowienia jednostki zależnej w Unii.
  Do celów akapitu pierwszego niniejszej litery przegląd obejmuje analizę systemu, o którym mowa w art. 31 ust. 12, w tym warunków dostępu unijnych podmiotów finansowych do usług z państw trzecich oraz dostępności takich usług na rynku unijnym, i uwzględnia dalsze zmiany na rynkach usług objętych niniejszym rozporządzeniem, praktyczne doświadczenia podmiotów finansowych i organów nadzoru finansowego w zakresie, odpowiednio, stosowania tego systemu i nadzoru nad nim oraz wszelkie istotne zmiany regulacyjne i nadzorcze zachodzące na poziomie międzynarodowym; |
| --- | --- |

c)

system, o którym mowa w art. 31 ust. 12, i uprawnienia wiodącego organu nadzorczego przewidziane w art. 35 ust. 1 lit. d) ppkt (iv) tiret pierwsze z myślą o ocenie skuteczności tych przepisów, jeżeli chodzi o zapewnienie skutecznego nadzoru nad kluczowymi zewnętrznymi dostawcami usług ICT mającymi siedzibę w państwie trzecim oraz konieczności ustanowienia jednostki zależnej w Unii.

Do celów akapitu pierwszego niniejszej litery przegląd obejmuje analizę systemu, o którym mowa w art. 31 ust. 12, w tym warunków dostępu unijnych podmiotów finansowych do usług z państw trzecich oraz dostępności takich usług na rynku unijnym, i uwzględnia dalsze zmiany na rynkach usług objętych niniejszym rozporządzeniem, praktyczne doświadczenia podmiotów finansowych i organów nadzoru finansowego w zakresie, odpowiednio, stosowania tego systemu i nadzoru nad nim oraz wszelkie istotne zmiany regulacyjne i nadzorcze zachodzące na poziomie międzynarodowym;

| d) | zasadność włączenia do zakresu stosowania niniejszego rozporządzenia podmiotów finansowych, o których mowa w art. 2 ust. 3 lit. e), wykorzystujących zautomatyzowane systemy sprzedaży, w świetle zmian dotyczących stosowania takich systemów, jakie mogą zajść na rynku w przyszłości; |
| --- | --- |

d)

zasadność włączenia do zakresu stosowania niniejszego rozporządzenia podmiotów finansowych, o których mowa w art. 2 ust. 3 lit. e), wykorzystujących zautomatyzowane systemy sprzedaży, w świetle zmian dotyczących stosowania takich systemów, jakie mogą zajść na rynku w przyszłości;

| e) | funkcjonowanie i skuteczność wspólnej sieci nadzoru, jeżeli chodzi o wspieranie spójności nadzoru i efektywności wymiany informacji w kontekście ram nadzoru. |
| --- | --- |

e)

funkcjonowanie i skuteczność wspólnej sieci nadzoru, jeżeli chodzi o wspieranie spójności nadzoru i efektywności wymiany informacji w kontekście ram nadzoru.

2.   W związku z przeglądem dyrektywy (UE) 2015/2366 Komisja ocenia potrzebę zwiększenia cyberodporności systemów płatniczych i działań przetwarzania płatności oraz zasadność rozszerzenia zakresu stosowania niniejszego rozporządzenia na operatorów systemów płatniczych i podmioty prowadzące czynności przetwarzania. W świetle tej oceny, w ramach przeglądu dyrektywy (UE) 2015/2366, Komisja przedkłada Parlamentowi Europejskiemu i Radzie sprawozdanie nie później niż do dnia 17 lipca 2023 r.

Na podstawie tego sprawozdania z przeglądu i po konsultacji z EUN, EBC i ERRS Komisja może przedłożyć, w stosownych przypadkach i w ramach wniosku ustawodawczego, który może przyjąć zgodnie z art. 108 akapit drugi dyrektywy (UE) 2015/2366, propozycję służącą zapewnieniu, by wszyscy operatorzy systemów płatniczych i podmioty prowadzące czynności przetwarzania płatności byli objęci odpowiednim nadzorem, uwzględniając przy tym istniejący nadzór sprawowany przez bank centralny.

3.   Do dnia 17 stycznia 2026 r., po konsultacji z EUN i Komitetem Europejskich Organów Nadzoru Audytowego, Komisja przeprowadza przegląd i przedkłada Parlamentowi Europejskiemu i Radzie sprawozdanie, w stosownych przypadkach wraz z wnioskiem ustawodawczym, w sprawie zasadności wprowadzenia wzmocnionych wymogów dla biegłych rewidentów i firm audytorskich, jeżeli chodzi o operacyjną odporność cyfrową, poprzez włączenie biegłych rewidentów i firm audytorskich do zakresu stosowania niniejszego rozporządzenia lub poprzez zmiany w dyrektywie Parlamentu Europejskiego i Rady 2006/43/WE (39).

Sekcja II

Zmiany

Artykuł 59

Zmiany w rozporządzeniu (WE) nr 1060/2009

W rozporządzeniu (WE) nr 1060/2009 wprowadza się następujące zmiany:

| 1) | załącznik I sekcja A pkt 4 akapit pierwszy otrzymuje brzmienie:

  „Agencja ratingowa posiada solidne procedury administracyjne i księgowe, mechanizmy kontroli wewnętrznej, skuteczne procedury oceny ryzyka i skuteczne rozwiązania w zakresie kontroli i bezpieczeństwa zarządzania systemami ICT zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*1).

  (*1)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;" |
| --- | --- |

1)

załącznik I sekcja A pkt 4 akapit pierwszy otrzymuje brzmienie:

„Agencja ratingowa posiada solidne procedury administracyjne i księgowe, mechanizmy kontroli wewnętrznej, skuteczne procedury oceny ryzyka i skuteczne rozwiązania w zakresie kontroli i bezpieczeństwa zarządzania systemami ICT zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*1).

*1

(*1)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;"

*1

| 2) | załącznik III pkt 12 otrzymuje brzmienie:






  „12. | Agencja ratingowa narusza art. 6 ust. 2, w związku z przepisami załącznika I sekcja A pkt 4, jeżeli nie posiada solidnych procedur administracyjnych lub księgowych, mechanizmów kontroli wewnętrznej, skutecznych procedur oceny ryzyka lub skutecznych rozwiązań w zakresie kontroli lub bezpieczeństwa do celów zarządzania systemami ICT zgodnie z rozporządzeniem (UE) 2022/2554; lub nie wdrożyła lub nie utrzymuje procedur decyzyjnych lub struktur organizacyjnych wymaganych w tym ustępie.”. |
| --- | --- | --- |

2)

załącznik III pkt 12 otrzymuje brzmienie:

„12.

Agencja ratingowa narusza art. 6 ust. 2, w związku z przepisami załącznika I sekcja A pkt 4, jeżeli nie posiada solidnych procedur administracyjnych lub księgowych, mechanizmów kontroli wewnętrznej, skutecznych procedur oceny ryzyka lub skutecznych rozwiązań w zakresie kontroli lub bezpieczeństwa do celów zarządzania systemami ICT zgodnie z rozporządzeniem (UE) 2022/2554; lub nie wdrożyła lub nie utrzymuje procedur decyzyjnych lub struktur organizacyjnych wymaganych w tym ustępie.”.

Artykuł 60

Zmiany w rozporządzeniu (UE) nr 648/2012

W rozporządzeniu (UE) nr 648/2012 wprowadza się następujące zmiany:

| 1) | w art. 26 wprowadza się następujące zmiany:






  a) | ust. 3 otrzymuje brzmienie:

  „3.   CCP utrzymuje i stosuje strukturę organizacyjną zapewniającą ciągłość działania oraz prawidłowe funkcjonowanie w zakresie świadczenia usług i prowadzenia działalności. Stosuje odpowiednie i proporcjonalne systemy, zasoby i procedury, w tym systemy ICT zarządzane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*2)



  (*2)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;" |
| --- | --- | --- |

1)

w art. 26 wprowadza się następujące zmiany:

a)

ust. 3 otrzymuje brzmienie:

„3.   CCP utrzymuje i stosuje strukturę organizacyjną zapewniającą ciągłość działania oraz prawidłowe funkcjonowanie w zakresie świadczenia usług i prowadzenia działalności. Stosuje odpowiednie i proporcjonalne systemy, zasoby i procedury, w tym systemy ICT zarządzane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*2)

(*2)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;"

*2

| b) | uchyla się ust. 6; |
| --- | --- |

b)

uchyla się ust. 6;

| 2) | w art. 34 wprowadza się następujące zmiany:






  a) | ust. 1 otrzymuje brzmienie:

  „1.   CCP ustanawia, wprowadza i utrzymuje odpowiednią strategię na rzecz ciągłości działania oraz plan przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej, które obejmują strategię na rzecz ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT wprowadzone i wdrożone zgodnie z rozporządzeniem (UE) 2022/2554, służące zapewnieniu zachowania pełnionych funkcji, szybkiego przywrócenie działalności i wywiązywanie się z obowiązków CCP.”; |
| --- | --- | --- |

2)

w art. 34 wprowadza się następujące zmiany:

a)

ust. 1 otrzymuje brzmienie:

„1.   CCP ustanawia, wprowadza i utrzymuje odpowiednią strategię na rzecz ciągłości działania oraz plan przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej, które obejmują strategię na rzecz ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT wprowadzone i wdrożone zgodnie z rozporządzeniem (UE) 2022/2554, służące zapewnieniu zachowania pełnionych funkcji, szybkiego przywrócenie działalności i wywiązywanie się z obowiązków CCP.”;

| b) | ust. 3 akapit pierwszy otrzymuje brzmienie:

  „3.   W celu zapewnienia spójnego stosowania niniejszego artykułu ESMA, po konsultacji z członkami ESBC, opracowuje projekt regulacyjnych standardów technicznych określających minimalny zakres i minimalne wymogi dotyczące strategii na rzecz ciągłości działania oraz planu przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej, z wyjątkiem strategii na rzecz ciągłości działania w zakresie ICT i planów przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej w zakresie ICT.”; |
| --- | --- |

b)

ust. 3 akapit pierwszy otrzymuje brzmienie:

„3.   W celu zapewnienia spójnego stosowania niniejszego artykułu ESMA, po konsultacji z członkami ESBC, opracowuje projekt regulacyjnych standardów technicznych określających minimalny zakres i minimalne wymogi dotyczące strategii na rzecz ciągłości działania oraz planu przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej, z wyjątkiem strategii na rzecz ciągłości działania w zakresie ICT i planów przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej w zakresie ICT.”;

| 3) | art. 56 ust. 3 akapit pierwszy otrzymuje brzmienie:

  „3.   W celu zapewnienia spójnego stosowania niniejszego artykułu ESMA opracowuje projekty regulacyjnych standardów technicznych określających szczegółowe informacje, inne niż informacje w przypadku wymogów w zakresie zarządzania ryzykiem związanym z ICT, dotyczące wniosku o rejestrację, o którym mowa w ust. 1.”; |
| --- | --- |

3)

art. 56 ust. 3 akapit pierwszy otrzymuje brzmienie:

„3.   W celu zapewnienia spójnego stosowania niniejszego artykułu ESMA opracowuje projekty regulacyjnych standardów technicznych określających szczegółowe informacje, inne niż informacje w przypadku wymogów w zakresie zarządzania ryzykiem związanym z ICT, dotyczące wniosku o rejestrację, o którym mowa w ust. 1.”;

| 4) | art. 79 ust. 1 i 2 otrzymują brzmienie:

  „1.   Repozytorium transakcji określa źródła ryzyka operacyjnego i minimalizuje je również dzięki opracowaniu odpowiednich systemów, kontroli i procedur, w tym systemów ICT zarządzanych zgodnie z rozporządzeniem (UE) 2022/2554.


  2.   Repozytorium transakcji ustanawia, wprowadza i utrzymuje odpowiednią strategię na rzecz ciągłości działania oraz plan przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej, które obejmują strategię na rzecz ciągłości działania w zakresie ICT i plany reagowania i przywracania sprawności ICT ustanowione zgodnie z rozporządzeniem (UE) 2022/2554, służące zapewnieniu zachowania pełnionych funkcji, szybkiego przywrócenia działalności i wywiązywania się z obowiązków repozytorium transakcji.”; |
| --- | --- |

4)

art. 79 ust. 1 i 2 otrzymują brzmienie:

„1.   Repozytorium transakcji określa źródła ryzyka operacyjnego i minimalizuje je również dzięki opracowaniu odpowiednich systemów, kontroli i procedur, w tym systemów ICT zarządzanych zgodnie z rozporządzeniem (UE) 2022/2554.

2.   Repozytorium transakcji ustanawia, wprowadza i utrzymuje odpowiednią strategię na rzecz ciągłości działania oraz plan przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej, które obejmują strategię na rzecz ciągłości działania w zakresie ICT i plany reagowania i przywracania sprawności ICT ustanowione zgodnie z rozporządzeniem (UE) 2022/2554, służące zapewnieniu zachowania pełnionych funkcji, szybkiego przywrócenia działalności i wywiązywania się z obowiązków repozytorium transakcji.”;

| 5) | w art. 80 uchyla się ust. 1. |
| --- | --- |

5)

w art. 80 uchyla się ust. 1.

| 6) | w załączniku I sekcja II wprowadza się następujące zmiany:






  a) | lit. a) i b) otrzymują brzmienie:






  „a) | repozytorium transakcji narusza art. 79 ust. 1, jeżeli nie identyfikuje źródeł ryzyka operacyjnego lub nie minimalizuje tego ryzyka poprzez opracowywanie odpowiednich systemów, mechanizmów kontroli i procedur, w tym systemów ICT zarządzanych zgodnie z rozporządzeniem (UE) 2022/2554; |
| --- | --- | --- | --- |

6)

w załączniku I sekcja II wprowadza się następujące zmiany:

a)

lit. a) i b) otrzymują brzmienie:

„a)

repozytorium transakcji narusza art. 79 ust. 1, jeżeli nie identyfikuje źródeł ryzyka operacyjnego lub nie minimalizuje tego ryzyka poprzez opracowywanie odpowiednich systemów, mechanizmów kontroli i procedur, w tym systemów ICT zarządzanych zgodnie z rozporządzeniem (UE) 2022/2554;

| b) | repozytorium transakcji narusza art. 79 ust. 2, jeżeli nie ustanawia, nie wprowadza ani nie utrzymuje odpowiedniej strategii na rzecz ciągłości działania i planu przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej ustanowionych zgodnie z rozporządzeniem (UE) 2022/2554, które służą zapewnieniu zachowania pełnionych funkcji, szybkiego przywrócenia działalności i wywiązywania się z obowiązków repozytorium transakcji.”; |
| --- | --- |

b)

repozytorium transakcji narusza art. 79 ust. 2, jeżeli nie ustanawia, nie wprowadza ani nie utrzymuje odpowiedniej strategii na rzecz ciągłości działania i planu przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej ustanowionych zgodnie z rozporządzeniem (UE) 2022/2554, które służą zapewnieniu zachowania pełnionych funkcji, szybkiego przywrócenia działalności i wywiązywania się z obowiązków repozytorium transakcji.”;

| b) | uchyla się lit. c); |
| --- | --- |

b)

uchyla się lit. c);

| 7) | w załączniku III wprowadza się następujące zmiany:






  a) | w sekcji II wprowadza się następujące zmiany:






  (i) | lit. c) otrzymuje brzmienie:






  „c) | CCP Tier II narusza art. 26 ust. 3, jeżeli nie utrzymuje ani nie stosuje struktury organizacyjnej zapewniającej ciągłość działania oraz prawidłowe funkcjonowanie w zakresie świadczenia usług i prowadzenia działalności lub jeżeli nie stosuje odpowiednich i proporcjonalnych systemów, zasobów lub procedur, w tym systemów ICT zarządzanych zgodnie z rozporządzeniem (UE) 22022/2554”; |
| --- | --- | --- | --- | --- |

7)

w załączniku III wprowadza się następujące zmiany:

a)

w sekcji II wprowadza się następujące zmiany:

(i)

lit. c) otrzymuje brzmienie:

„c)

CCP Tier II narusza art. 26 ust. 3, jeżeli nie utrzymuje ani nie stosuje struktury organizacyjnej zapewniającej ciągłość działania oraz prawidłowe funkcjonowanie w zakresie świadczenia usług i prowadzenia działalności lub jeżeli nie stosuje odpowiednich i proporcjonalnych systemów, zasobów lub procedur, w tym systemów ICT zarządzanych zgodnie z rozporządzeniem (UE) 22022/2554”;

| (ii) | uchyla się lit. f); |
| --- | --- |

(ii)

uchyla się lit. f);

| b) | sekcja III lit. a) otrzymuje brzmienie:






  „a) | CCP Tier II narusza art. 34 ust. 1, jeżeli nie ustanawia, nie wprowadza ani nie utrzymuje odpowiedniej strategii na rzecz ciągłości działania lub planu reagowania i przywracania sprawności utworzonych zgodnie z rozprowadzeniem (UE) 2022/2554, które służą zapewnieniu zachowania pełnionych funkcji, szybkiego przywrócenia działalności i wywiązywania się z obowiązków CCP, przy czym taki plan musi pozwalać co najmniej na odzyskanie wszystkich transakcji realizowanych w chwili wystąpienia zakłócenia, tak aby umożliwić CCP dalsze niezawodne prowadzenie działalności oraz ukończenie rozrachunku w wyznaczonym terminie;”. |
| --- | --- | --- |

b)

sekcja III lit. a) otrzymuje brzmienie:

„a)

CCP Tier II narusza art. 34 ust. 1, jeżeli nie ustanawia, nie wprowadza ani nie utrzymuje odpowiedniej strategii na rzecz ciągłości działania lub planu reagowania i przywracania sprawności utworzonych zgodnie z rozprowadzeniem (UE) 2022/2554, które służą zapewnieniu zachowania pełnionych funkcji, szybkiego przywrócenia działalności i wywiązywania się z obowiązków CCP, przy czym taki plan musi pozwalać co najmniej na odzyskanie wszystkich transakcji realizowanych w chwili wystąpienia zakłócenia, tak aby umożliwić CCP dalsze niezawodne prowadzenie działalności oraz ukończenie rozrachunku w wyznaczonym terminie;”.

Artykuł 61

Zmiany w rozporządzeniu (UE) nr 909/2014

W art. 45 rozporządzenia (UE) nr 909/2014 wprowadza się następujące zmiany:

| 1) | ust. 1 otrzymuje brzmienie:

  „1.   CDPW identyfikuje źródła ryzyka operacyjnego, zarówno wewnętrzne, jak i zewnętrzne, oraz minimalizuje ich wpływ również poprzez stosowanie odpowiednich narzędzi i procesów ICT oraz strategii w zakresie ICT ustanowionych i zarządzanych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*3), a także poprzez stosowanie wszelkich innych stosownych narzędzi, mechanizmów kontroli i procedur w odniesieniu do innych rodzajów ryzyka operacyjnego, w tym dla wszystkich systemów rozrachunku papierów wartościowych, które prowadzi.


  (*3)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;" |
| --- | --- |

1)

ust. 1 otrzymuje brzmienie:

„1.   CDPW identyfikuje źródła ryzyka operacyjnego, zarówno wewnętrzne, jak i zewnętrzne, oraz minimalizuje ich wpływ również poprzez stosowanie odpowiednich narzędzi i procesów ICT oraz strategii w zakresie ICT ustanowionych i zarządzanych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*3), a także poprzez stosowanie wszelkich innych stosownych narzędzi, mechanizmów kontroli i procedur w odniesieniu do innych rodzajów ryzyka operacyjnego, w tym dla wszystkich systemów rozrachunku papierów wartościowych, które prowadzi.

(*3)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;"

*3

| 2) | uchyla się ust. 2; |
| --- | --- |

2)

uchyla się ust. 2;

| 3) | ust. 3 i 4 otrzymują brzmienie:

  „3.   W odniesieniu do świadczonych przez siebie usług oraz dla każdego prowadzonego przez siebie systemu rozrachunku papierów wartościowych CDPW ustanawia, wprowadza i utrzymuje odpowiednią strategię na rzecz ciągłości działania oraz plan przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej, które obejmują strategię na rzecz ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT ustanowione zgodnie z rozporządzeniem (UE) 2022/2554, aby zapewnić zachowanie swoich usług, szybkie przywrócenie działalności i wywiązywanie się z obowiązków CDPW w przypadku zdarzeń stwarzających poważne ryzyko zakłócenia działalności.


  4.   Plan, o którym mowa w ust. 3, pozwala na przywrócenie wszystkich transakcji i pozycji uczestników istniejących w momencie wystąpienia zakłócenia, tak aby umożliwić uczestnikom CDPW dalsze działanie z zachowaniem pewności oraz ukończenie rozrachunku w wyznaczonym terminie, w tym poprzez zapewnienie, by najważniejsze systemy informatyczne mogły wznowić operacje od momentu wystąpienia zakłócenia, jak przewidziano w art. 12 ust. 5 i 7 rozporządzenia (UE) 2022/2554”; |
| --- | --- |

3)

ust. 3 i 4 otrzymują brzmienie:

„3.   W odniesieniu do świadczonych przez siebie usług oraz dla każdego prowadzonego przez siebie systemu rozrachunku papierów wartościowych CDPW ustanawia, wprowadza i utrzymuje odpowiednią strategię na rzecz ciągłości działania oraz plan przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej, które obejmują strategię na rzecz ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT ustanowione zgodnie z rozporządzeniem (UE) 2022/2554, aby zapewnić zachowanie swoich usług, szybkie przywrócenie działalności i wywiązywanie się z obowiązków CDPW w przypadku zdarzeń stwarzających poważne ryzyko zakłócenia działalności.

4.   Plan, o którym mowa w ust. 3, pozwala na przywrócenie wszystkich transakcji i pozycji uczestników istniejących w momencie wystąpienia zakłócenia, tak aby umożliwić uczestnikom CDPW dalsze działanie z zachowaniem pewności oraz ukończenie rozrachunku w wyznaczonym terminie, w tym poprzez zapewnienie, by najważniejsze systemy informatyczne mogły wznowić operacje od momentu wystąpienia zakłócenia, jak przewidziano w art. 12 ust. 5 i 7 rozporządzenia (UE) 2022/2554”;

| 4) | ust. 6 otrzymuje brzmienie:

  „6.   CDPW identyfikuje i monitoruje ryzyka dla jego działalności, które mogą stwarzać najważniejsi uczestnicy prowadzonych przez niego systemów rozrachunku papierów wartościowych oraz dostawcy usług i mediów, a także inne CDPW lub inne infrastruktury rynkowe, oraz zarządza tymi ryzykami. Na żądanie przedstawia on właściwym i odpowiednim organom informacje dotyczące wszelkich takich zidentyfikowanych ryzyk. Niezwłocznie informuje on także właściwy organ i odpowiednie organy o wszelkich incydentach operacyjnych, innych niż w odniesieniu do ryzyka związanego z ICT, wynikających z takich ryzyk.”; |
| --- | --- |

4)

ust. 6 otrzymuje brzmienie:

„6.   CDPW identyfikuje i monitoruje ryzyka dla jego działalności, które mogą stwarzać najważniejsi uczestnicy prowadzonych przez niego systemów rozrachunku papierów wartościowych oraz dostawcy usług i mediów, a także inne CDPW lub inne infrastruktury rynkowe, oraz zarządza tymi ryzykami. Na żądanie przedstawia on właściwym i odpowiednim organom informacje dotyczące wszelkich takich zidentyfikowanych ryzyk. Niezwłocznie informuje on także właściwy organ i odpowiednie organy o wszelkich incydentach operacyjnych, innych niż w odniesieniu do ryzyka związanego z ICT, wynikających z takich ryzyk.”;

| 5) | ust. 7 akapit pierwszy otrzymuje brzmienie:

  „7.   EUNGiPW opracowuje, w ścisłej współpracy z członkami ESBC, projekty regulacyjnych standardów technicznych w celu określenia ryzyk operacyjnych, o których mowa w ust. 1 i 6, innych niż ryzyka związane z ICT, metod testowania, eliminowania lub minimalizacji tych ryzyk, w tym strategii na rzecz ciągłości działania i planów przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej, o których mowa w ust. 3 i 4, oraz metod ich oceny.”. |
| --- | --- |

5)

ust. 7 akapit pierwszy otrzymuje brzmienie:

„7.   EUNGiPW opracowuje, w ścisłej współpracy z członkami ESBC, projekty regulacyjnych standardów technicznych w celu określenia ryzyk operacyjnych, o których mowa w ust. 1 i 6, innych niż ryzyka związane z ICT, metod testowania, eliminowania lub minimalizacji tych ryzyk, w tym strategii na rzecz ciągłości działania i planów przywracania sprawności po wystąpieniu sytuacji nadzwyczajnej, o których mowa w ust. 3 i 4, oraz metod ich oceny.”.

Artykuł 62

Zmiany w rozporządzeniu (UE) nr 600/2014

W rozporządzeniu (UE) nr 600/2014 wprowadza się następujące zmiany:

| 1) | w art. 27 g wprowadza się następujące zmiany:






  a) | ust. 4 otrzymuje brzmienie:






  „4. | Zatwierdzony podmiot publikujący spełnia wymogi dotyczące bezpieczeństwa sieci i systemów informatycznych określone w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2022/2554 (*4). |
| --- | --- | --- | --- |

1)

w art. 27 g wprowadza się następujące zmiany:

a)

ust. 4 otrzymuje brzmienie:

„4.

Zatwierdzony podmiot publikujący spełnia wymogi dotyczące bezpieczeństwa sieci i systemów informatycznych określone w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2022/2554 (*4).

*4

(*4)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;"

*4

| b) | ust. 8 lit. c) otrzymuje brzmienie:






  „c) | konkretne wymogi organizacyjne określone w ust. 3 i 5.”; |
| --- | --- | --- |

b)

ust. 8 lit. c) otrzymuje brzmienie:

„c)

konkretne wymogi organizacyjne określone w ust. 3 i 5.”;

| 2) | w art. 27h wprowadza się następujące zmiany:






  a) | ust. 5 otrzymuje brzmienie:

  „5.   Dostawca informacji skonsolidowanych spełnia wymogi dotyczące bezpieczeństwa sieci i systemów informatycznych określone w rozporządzeniu (UE) 2022/2554.”; |
| --- | --- | --- |

2)

w art. 27h wprowadza się następujące zmiany:

a)

ust. 5 otrzymuje brzmienie:

„5.   Dostawca informacji skonsolidowanych spełnia wymogi dotyczące bezpieczeństwa sieci i systemów informatycznych określone w rozporządzeniu (UE) 2022/2554.”;

| b) | ust. 8 lit. e) otrzymuje brzmienie:






  „e) | konkretne wymogi organizacyjne określone w ust. 4.”; |
| --- | --- | --- |

b)

ust. 8 lit. e) otrzymuje brzmienie:

„e)

konkretne wymogi organizacyjne określone w ust. 4.”;

| 3) | w art. 27i wprowadza się następujące zmiany:






  a) | ust. 3 otrzymuje brzmienie:

  „3.   Zatwierdzony mechanizm sprawozdawczy spełnia wymogi dotyczące bezpieczeństwa sieci i systemów informatycznych określone w rozporządzeniu (UE) 2022/2554.”; |
| --- | --- | --- |

3)

w art. 27i wprowadza się następujące zmiany:

a)

ust. 3 otrzymuje brzmienie:

„3.   Zatwierdzony mechanizm sprawozdawczy spełnia wymogi dotyczące bezpieczeństwa sieci i systemów informatycznych określone w rozporządzeniu (UE) 2022/2554.”;

| b) | ust. 5 lit. b) otrzymuje brzmienie:






  „b) | konkretne wymogi organizacyjne określone w ust. 2 i 4.”. |
| --- | --- | --- |

b)

ust. 5 lit. b) otrzymuje brzmienie:

„b)

konkretne wymogi organizacyjne określone w ust. 2 i 4.”.

Artykuł 63

Zmiany w rozporządzeniu (UE) 2016/1011

W art. 6 rozporządzenia (UE) 2016/1011 dodaje się ustęp w brzmieniu:

| „6. | „W przypadku kluczowych wskaźników referencyjnych administrator stosuje solidne procedury administracyjne i księgowe, mechanizmy kontroli wewnętrznej, skuteczne procedury oceny ryzyka i skuteczne rozwiązania w zakresie kontroli i bezpieczeństwa zarządzania systemami ICT zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*5) |
| --- | --- |

„6.

„W przypadku kluczowych wskaźników referencyjnych administrator stosuje solidne procedury administracyjne i księgowe, mechanizmy kontroli wewnętrznej, skuteczne procedury oceny ryzyka i skuteczne rozwiązania w zakresie kontroli i bezpieczeństwa zarządzania systemami ICT zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*5)

*5

Artykuł 64

Wejście w życie i stosowanie

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Dzienniku Urzędowym Unii Europejskiej

Niniejsze rozporządzenie stosuje się od dnia 17 stycznia 2025 r.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Sporządzono w Strasburgu dnia 14 grudnia 2022 r.

W imieniu Parlamentu Europejskiego

Przewodnicząca

R. METSOLA

W imieniu Rady

Przewodniczący

M. BEK

---

(1)  
  Dz.U. C 343 z 26.8.2021, s. 1.

1

(2)  
  Dz.U. C 155 z 30.4.2021, s. 38.

2

(3)  Stanowisko Parlamentu Europejskiego z dnia 10 listopada 2022 r. (dotychczas nieopublikowane w Dzienniku Urzędowym) oraz decyzja Rady z dnia 28 listopada 2022 r.

3

(4)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1093/2010 z dnia 24 listopada 2010 r. w sprawie ustanowienia Europejskiego Urzędu Nadzoru (Europejskiego Urzędu Nadzoru Bankowego), zmiany decyzji nr 716/2009/WE oraz uchylenia decyzji Komisji 2009/78/WE (Dz.U. L 331 z 15.12.2010, s. 12).

4

(5)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1094/2010 z dnia 24 listopada 2010 r. w sprawie ustanowienia Europejskiego Urzędu Nadzoru (Europejskiego Urzędu Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych), zmiany decyzji nr 716/2009/WE i uchylenia decyzji Komisji 2009/79/WE (Dz.U. L 331 z 15.12.2010, s. 48).

5

(6)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1095/2010 z dnia 24 listopada 2010 r. w sprawie ustanowienia Europejskiego Urzędu Nadzoru (Europejskiego Urzędu Nadzoru Giełd i Papierów Wartościowych), zmiany decyzji nr 716/2009/WE i uchylenia decyzji Komisji 2009/77/WE (Dz.U. L 331 z 15.12.2010, s. 84).

6

(7)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz.U. L 194 z 19.7.2016, s. 1).

7

(8)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (zob. s. 80 niniejszego Dziennika Urzędowego).

8

(9)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych i uchylenia dyrektywy Rady 2008/114/WE (zob. s. 164 niniejszego Dziennika Urzędowego)..

9

(10)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/2341 z dnia 14 grudnia 2016 r. w sprawie działalności instytucji pracowniczych programów emerytalnych oraz nadzoru nad takimi instytucjami (IORP) (Dz.U. L 354 z 23.12.2016, s. 37).

10

(11)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/881 z dnia 17 kwietnia 2019 r. w sprawie ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno-komunikacyjnych oraz uchylenia rozporządzenia (UE) nr 526/2013 (akt o cyberbezpieczeństwie) (Dz.U. L 151 z 7.6.2019, s. 15).

11

(12)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366 z dnia 25 listopada 2015 r. w sprawie usług płatniczych w ramach rynku wewnętrznego, zmieniająca dyrektywy 2002/65/WE, 2009/110/WE, 2013/36/UE i rozporządzenie (UE) nr 1093/2010 oraz uchylająca dyrektywę 2007/64/WE (Dz.U. L 337 z 23.12.2015, s. 35).

12

(13)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1).

13

(14)  Dyrektywa Parlamentu Europejskiego i Rady 2009/110/WE z dnia 16 września 2009 r. w sprawie podejmowania i prowadzenia działalności przez instytucje pieniądza elektronicznego oraz nadzoru ostrożnościowego nad ich działalnością, zmieniająca dyrektywy 2005/60/WE i 2006/48/WE oraz uchylająca dyrektywę 2000/46/WE (Dz.U. L 267 z 10.10.2009, s. 7).

14

(15)  Dyrektywa Parlamentu Europejskiego i Rady 2013/36/UE z dnia 26 czerwca 2013 r. w sprawie warunków dopuszczenia instytucji kredytowych do działalności oraz nadzoru ostrożnościowego nad instytucjami kredytowymi, zmieniająca dyrektywę 2002/87/WE i uchylająca dyrektywy 2006/48/WE oraz 2006/49/WE (Dz.U. L 176 z 27.6.2013, s. 338).

15

(16)  Dyrektywa Parlamentu Europejskiego i Rady 2011/61/UE z dnia 8 czerwca 2011 r. w sprawie zarządzających alternatywnymi funduszami inwestycyjnymi i zmiany dyrektyw 2003/41/WE i 2009/65/WE oraz rozporządzeń (WE) nr 1060/2009 i (UE) nr 1095/2010 (Dz.U. L 174 z 1.7.2011, s. 1).

16

(17)  Dyrektywa Parlamentu Europejskiego i Rady 2009/138/WE z dnia 25 listopada 2009 r. w sprawie podejmowania i prowadzenia działalności ubezpieczeniowej i reasekuracyjnej (Wypłacalność II) (Dz.U. L 335 z 17.12.2009, s. 1).

17

(18)  Dyrektywa Parlamentu Europejskiego i Rady 2014/65/UE z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniająca dyrektywę 2002/92/WE i dyrektywę 2011/61/UE (Dz.U. L 173 z 12.6.2014, s. 349).

18

(19)  Rozporządzenie Rady (UE) nr 1024/2013 z dnia 15 października 2013 r. powierzające Europejskiemu Bankowi Centralnemu szczególne zadania w odniesieniu do polityki związanej z nadzorem ostrożnościowym nad instytucjami kredytowymi (Dz.U. L 287 z 29.10.2013, s. 63).

19

(20)  Dyrektywa Parlamentu Europejskiego i Rady 2014/59/UE z dnia 15 maja 2014 r. ustanawiająca ramy na potrzeby prowadzenia działań naprawczych oraz restrukturyzacji i uporządkowanej likwidacji w odniesieniu do instytucji kredytowych i firm inwestycyjnych oraz zmieniająca dyrektywę Rady 82/891/EWG i dyrektywy Parlamentu Europejskiego i Rady 2001/24/WE, 2002/47/WE, 2004/25/WE, 2005/56/WE, 2007/36/WE, 2011/35/UE, 2012/30/UE i 2013/36/EU oraz rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1093/2010 i (UE) nr 648/2012 (Dz.U. L 173 z 12.6.2014, s. 190).

20

(21)  Dyrektywa Parlamentu Europejskiego i Rady 2013/34/UE z dnia 26 czerwca 2013 r. w sprawie rocznych sprawozdań finansowych, skonsolidowanych sprawozdań finansowych i powiązanych sprawozdań niektórych rodzajów jednostek, zmieniająca dyrektywę Parlamentu Europejskiego i Rady 2006/43/WE oraz uchylająca dyrektywy Rady 78/660/EWG i 83/349/EWG (Dz.U. L 182 z 29.6.2013, s. 19).

21

(22)  
  Dz.U. L 123 z 12.5.2016, s. 1.

22

(23)  Rozporządzenie Parlamentu Europejskiego i Rady (WE) nr 1060/2009 z dnia 16 września 2009 r. w sprawie agencji ratingowych (Dz.U. L 302 z 17.11.2009, s. 1).

23

(24)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 648/2012 z dnia 4 lipca 2012 r. w sprawie instrumentów pochodnych będących przedmiotem obrotu poza rynkiem regulowanym, kontrahentów centralnych i repozytoriów transakcji (Dz.U. L 201 z 27.7.2012, s. 1).

24

(25)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 600/2014 z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniające rozporządzenie (UE) nr 648/2012 (Dz.U. L 173 z 12.6.2014, s. 84).

25

(26)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 909/2014 z dnia 23 lipca 2014 r. w sprawie usprawnienia rozrachunku papierów wartościowych w Unii Europejskiej i w sprawie centralnych depozytów papierów wartościowych, zmieniające dyrektywy 98/26/WE i 2014/65/UE oraz rozporządzenie (UE) nr 236/2012 (Dz.U. L 257 z 28.8.2014, s. 1).

26

(27)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2556 z dnia 14 grudnia 2022 r. zmieniająca dyrektywy 2009/65/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 oraz (UE) 2016/2341 w odniesieniu do operacyjnej odporności cyfrowej sektora finansowego (zob. s. 153 niniejszego Dziennika Urzędowego).

27

(28)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/1011 z dnia 8 czerwca 2016 r. w sprawie indeksów stosowanych jako wskaźniki referencyjne w instrumentach finansowych i umowach finansowych lub do pomiaru wyników funduszy inwestycyjnych i zmieniające dyrektywy 2008/48/WE i 2014/17/UE oraz rozporządzenie (UE) nr 596/2014 (Dz.U. L 171 z 29.6.2016, s. 1).

28

(29)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39).

29

(30)  
  Dz.U. C 229 z 15.6.2021, s. 16.

30

(31)  Dyrektywa Parlamentu Europejskiego i Rady 2009/65/WE z dnia 13 lipca 2009 r. w sprawie koordynacji przepisów ustawowych, wykonawczych i administracyjnych odnoszących się do przedsiębiorstw zbiorowego inwestowania w zbywalne papiery wartościowe (UCITS) (Dz.U. L 302 z 17.11.2009, s. 32).

31

(32)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz.U. L 176 z 27.6.2013, s. 1).

32

(33)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/2033 z dnia 27 listopada 2019 r. w sprawie wymogów ostrożnościowych dla firm inwestycyjnych oraz zmieniające rozporządzenia (UE) nr 1093/2010, (UE) nr 575/2013, (UE) nr 600/2014 i (UE) nr 806/2014 (Dz.U. L 314 z 5.12.2019, s. 1).

33

(34)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/97 z dnia 20 stycznia 2016 r. w sprawie dystrybucji ubezpieczeń (Dz.U. L 26 z 2.2.2016, s. 19).

34

(35)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2020/1503 z dnia 7 października 2020 r. w sprawie europejskich dostawców usług finansowania społecznościowego dla przedsięwzięć gospodarczych oraz zmieniające rozporządzenie (UE) 2017/1129 i dyrektywę (UE) 2019/1937 (Dz.U. L 347 z 20.10.2020, s. 1).

35

(36)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/2402 z dnia 12 grudnia 2017 r. w sprawie ustanowienia ogólnych ram dla sekurytyzacji oraz utworzenia szczególnych ram dla prostych, przejrzystych i standardowych sekurytyzacji, a także zmieniające dyrektywy 2009/65/WE, 2009/138/WE i 2011/61/UE oraz rozporządzenia (WE) nr 1060/2009 i (UE) nr 648/2012 (Dz.U. L 347 z 28.12.2017, s. 35).

36

(37)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 806/2014 z dnia 15 lipca 2014 r. ustanawiające jednolite zasady i jednolitą procedurę restrukturyzacji i uporządkowanej likwidacji instytucji kredytowych i niektórych firm inwestycyjnych w ramach jednolitego mechanizmu restrukturyzacji i uporządkowanej likwidacji oraz jednolitego funduszu restrukturyzacji i uporządkowanej likwidacji oraz zmieniające rozporządzenie (UE) nr 1093/2010 (Dz.U. L 225 z 30.7.2014, s. 1).

37

(38)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/2034 z dnia 27 listopada 2019 r. w sprawie nadzoru ostrożnościowego nad firmami inwestycyjnymi oraz zmieniająca dyrektywy 2002/87/WE, 2009/65/WE, 2011/61/UE, 2013/36/UE, 2014/59/UE i 2014/65/UE (Dz.U. L 314 z 5.12.2019, s. 64).

38

(39)  Dyrektywa 2006/43/WE Parlamentu Europejskiego i Rady z dnia 17 maja 2006 r. w sprawie ustawowych badań rocznych sprawozdań finansowych i skonsolidowanych sprawozdań finansowych, zmieniająca dyrektywy Rady 78/660/EWG i 83/349/EWG oraz uchylająca dyrektywę Rady 84/253/EWG (Dz.U. L 157 z 9.6.2006, s. 87).

39

---

DYREKTYWY

| 27.12.2022 | PL | Dziennik Urzędowy Unii Europejskiej | L 333/80 |
| --- | --- | --- | --- |

27.12.2022

PL

Dziennik Urzędowy Unii Europejskiej

L 333/80

---

DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2022/2555

z dnia 14 grudnia 2022 r.

w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2)

(Tekst mający znaczenie dla EOG)

PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 114,

uwzględniając wniosek Komisji Europejskiej,

po przekazaniu projektu aktu ustawodawczego parlamentom narodowym,

uwzględniając opinię Europejskiego Banku Centralnego (1),

uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego (2),

po konsultacji z Komitetem Regionów,

stanowiąc zgodnie ze zwykłą procedurą ustawodawczą (3),

a także mając na uwadze, co następuje:

| (1) | Celem dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 (4) było zbudowanie zdolności w zakresie cyberbezpieczeństwa w całej Unii, łagodzenie zagrożeń dla sieci i systemów informatycznych wykorzystywanych do celów świadczenia usług kluczowych w kluczowych sektorach oraz zapewnienie ciągłości takich usług w przypadku wystąpienia incydentów, a tym samym przyczynienie się do bezpieczeństwa Unii oraz do sprawnego funkcjonowania jej gospodarki i społeczeństwa. |
| --- | --- |

(1)

Celem dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 (4) było zbudowanie zdolności w zakresie cyberbezpieczeństwa w całej Unii, łagodzenie zagrożeń dla sieci i systemów informatycznych wykorzystywanych do celów świadczenia usług kluczowych w kluczowych sektorach oraz zapewnienie ciągłości takich usług w przypadku wystąpienia incydentów, a tym samym przyczynienie się do bezpieczeństwa Unii oraz do sprawnego funkcjonowania jej gospodarki i społeczeństwa.

| (2) | Od momentu wejścia w życie dyrektywy (UE) 2016/1148 poczyniono znaczne postępy w podnoszeniu poziomu cyberodporności Unii. Przegląd tej dyrektywy pokazał, że stanowiła ona katalizator zmian w instytucjonalnym i regulacyjnym podejściu do cyberbezpieczeństwa w Unii oraz spowodowała znaczącą zmianę w sposobie myślenia. Dzięki tej dyrektywie utworzono ramy krajowe w zakresie bezpieczeństwa sieci i systemów informatycznych poprzez przyjęcie krajowych strategii w zakresie bezpieczeństwa sieci i systemów informatycznych i określenie krajowych zdolności oraz wdrożenie środków regulacyjnych obejmujących niezbędną infrastrukturę i podmioty wskazane przez poszczególne państwa członkowskie. Dyrektywa (UE) 2016/1148 przyczyniła się także do współpracy na poziomie Unii dzięki ustanowieniu Grupy Współpracy oraz sieci krajowych zespołów reagowania na incydenty bezpieczeństwa komputerowego. Pomimo tych osiągnięć przegląd dyrektywy (UE) 2016/1148 ujawnił tkwiące w niej braki, które uniemożliwiają skuteczne zaradzenie obecnym i pojawiającym się wyzwaniom w zakresie cyberbezpieczeństwa. |
| --- | --- |

(2)

Od momentu wejścia w życie dyrektywy (UE) 2016/1148 poczyniono znaczne postępy w podnoszeniu poziomu cyberodporności Unii. Przegląd tej dyrektywy pokazał, że stanowiła ona katalizator zmian w instytucjonalnym i regulacyjnym podejściu do cyberbezpieczeństwa w Unii oraz spowodowała znaczącą zmianę w sposobie myślenia. Dzięki tej dyrektywie utworzono ramy krajowe w zakresie bezpieczeństwa sieci i systemów informatycznych poprzez przyjęcie krajowych strategii w zakresie bezpieczeństwa sieci i systemów informatycznych i określenie krajowych zdolności oraz wdrożenie środków regulacyjnych obejmujących niezbędną infrastrukturę i podmioty wskazane przez poszczególne państwa członkowskie. Dyrektywa (UE) 2016/1148 przyczyniła się także do współpracy na poziomie Unii dzięki ustanowieniu Grupy Współpracy oraz sieci krajowych zespołów reagowania na incydenty bezpieczeństwa komputerowego. Pomimo tych osiągnięć przegląd dyrektywy (UE) 2016/1148 ujawnił tkwiące w niej braki, które uniemożliwiają skuteczne zaradzenie obecnym i pojawiającym się wyzwaniom w zakresie cyberbezpieczeństwa.

| (3) | Wraz z szybko postępującą transformacją cyfrową i siecią wzajemnych połączeń w społeczeństwie, w tym w kontekście wymiany transgranicznej, sieci i systemy informatyczne stały się zasadniczym elementem codziennego życia. Zmiana ta doprowadziła do ewolucji krajobrazu cyberzagrożeń, przynosząc nowe wyzwania, które wymagają dostosowanych, skoordynowanych i innowacyjnych reakcji we wszystkich państwach członkowskich. Liczba, skala, zaawansowanie, częstotliwość oraz wpływ incydentów stają się coraz większe i stanowią poważne zagrożenie dla funkcjonowania sieci i systemów informatycznych. W rezultacie incydenty mogą utrudniać prowadzenie działalności gospodarczej na rynku wewnętrznym, powodować straty finansowe, podważać zaufanie użytkowników oraz powodować poważne szkody dla gospodarki i społeczeństwa Unii. Dlatego gotowość i skuteczność w obszarze cyberbezpieczeństwa stają się coraz ważniejsze dla prawidłowego funkcjonowania rynku wewnętrznego niż kiedykolwiek wcześniej. Ponadto w wielu sektorach krytycznych cyberbezpieczeństwo należy do kluczowych czynników umożliwiających udany przebieg transformacji cyfrowej i pełne wykorzystanie ekonomicznych i społecznych korzyści wynikających z cyfryzacji. |
| --- | --- |

(3)

Wraz z szybko postępującą transformacją cyfrową i siecią wzajemnych połączeń w społeczeństwie, w tym w kontekście wymiany transgranicznej, sieci i systemy informatyczne stały się zasadniczym elementem codziennego życia. Zmiana ta doprowadziła do ewolucji krajobrazu cyberzagrożeń, przynosząc nowe wyzwania, które wymagają dostosowanych, skoordynowanych i innowacyjnych reakcji we wszystkich państwach członkowskich. Liczba, skala, zaawansowanie, częstotliwość oraz wpływ incydentów stają się coraz większe i stanowią poważne zagrożenie dla funkcjonowania sieci i systemów informatycznych. W rezultacie incydenty mogą utrudniać prowadzenie działalności gospodarczej na rynku wewnętrznym, powodować straty finansowe, podważać zaufanie użytkowników oraz powodować poważne szkody dla gospodarki i społeczeństwa Unii. Dlatego gotowość i skuteczność w obszarze cyberbezpieczeństwa stają się coraz ważniejsze dla prawidłowego funkcjonowania rynku wewnętrznego niż kiedykolwiek wcześniej. Ponadto w wielu sektorach krytycznych cyberbezpieczeństwo należy do kluczowych czynników umożliwiających udany przebieg transformacji cyfrowej i pełne wykorzystanie ekonomicznych i społecznych korzyści wynikających z cyfryzacji.

| (4) | Podstawę prawną dyrektywy (UE) 2016/1148 stanowił art. 114 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE), którego celem jest ustanowienie i zapewnienie funkcjonowania rynku wewnętrznego przez usprawnienie środków służących zbliżeniu przepisów krajowych. Wymogi w zakresie cyberbezpieczeństwa nałożone na podmioty świadczące usługi lub prowadzące działalność kluczową z ekonomicznego punktu widzenia różnią się znacznie – swoim rodzajem i poziomem szczegółowości, a także metodami nadzoru – w zależności od państwa członkowskiego. Rozbieżności te pociągają za sobą dodatkowe koszty i powodują trudności dla podmiotów, które oferują towary lub usługi transgranicznie. Wymogi nałożone przez jedno państwo członkowskie, które różnią się od wymogów nałożonych przez inne państwo członkowskie lub nawet są z nimi sprzeczne, mogą w istotny sposób wpływać na taką transgraniczną działalność. Ponadto ewentualne nieodpowiednie zaprojektowanie lub wdrożenie wymogów dotyczących cyberbezpieczeństwa prawdopodobnie wywrze negatywny wpływ na poziom cyberbezpieczeństwa innych państw członkowskich, w szczególności z uwagi na intensywność wymiany transgranicznej. Z przeglądu dyrektywy (UE) 2016/1148 wynika, że istnieją znaczne rozbieżności w jej wdrażaniu przez państwa członkowskie, w tym pod względem jej zakresu, którego ustalenie w znacznej mierze pozostawiono do uznania państw członkowskich. W dyrektywie (UE) 2016/1148 zapewniono państwom członkowskim bardzo duży margines swobody także w odniesieniu do wdrażania ustanowionych w niej obowiązków dotyczących bezpieczeństwa i zgłaszania incydentów. W rezultacie obowiązki te zostały wdrożone na poziomie krajowym w bardzo różny sposób. Podobne rozbieżności we wdrażaniu wystąpiły w odniesieniu do przepisów dyrektywy (UE) 2016/1148 dotyczących nadzoru i egzekwowania prawa. |
| --- | --- |

(4)

Podstawę prawną dyrektywy (UE) 2016/1148 stanowił art. 114 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE), którego celem jest ustanowienie i zapewnienie funkcjonowania rynku wewnętrznego przez usprawnienie środków służących zbliżeniu przepisów krajowych. Wymogi w zakresie cyberbezpieczeństwa nałożone na podmioty świadczące usługi lub prowadzące działalność kluczową z ekonomicznego punktu widzenia różnią się znacznie – swoim rodzajem i poziomem szczegółowości, a także metodami nadzoru – w zależności od państwa członkowskiego. Rozbieżności te pociągają za sobą dodatkowe koszty i powodują trudności dla podmiotów, które oferują towary lub usługi transgranicznie. Wymogi nałożone przez jedno państwo członkowskie, które różnią się od wymogów nałożonych przez inne państwo członkowskie lub nawet są z nimi sprzeczne, mogą w istotny sposób wpływać na taką transgraniczną działalność. Ponadto ewentualne nieodpowiednie zaprojektowanie lub wdrożenie wymogów dotyczących cyberbezpieczeństwa prawdopodobnie wywrze negatywny wpływ na poziom cyberbezpieczeństwa innych państw członkowskich, w szczególności z uwagi na intensywność wymiany transgranicznej. Z przeglądu dyrektywy (UE) 2016/1148 wynika, że istnieją znaczne rozbieżności w jej wdrażaniu przez państwa członkowskie, w tym pod względem jej zakresu, którego ustalenie w znacznej mierze pozostawiono do uznania państw członkowskich. W dyrektywie (UE) 2016/1148 zapewniono państwom członkowskim bardzo duży margines swobody także w odniesieniu do wdrażania ustanowionych w niej obowiązków dotyczących bezpieczeństwa i zgłaszania incydentów. W rezultacie obowiązki te zostały wdrożone na poziomie krajowym w bardzo różny sposób. Podobne rozbieżności we wdrażaniu wystąpiły w odniesieniu do przepisów dyrektywy (UE) 2016/1148 dotyczących nadzoru i egzekwowania prawa.

| (5) | Wszystkie te rozbieżności pociągają za sobą fragmentację rynku wewnętrznego i mogą szkodliwie wpływać na jego funkcjonowanie, oddziałując w szczególności na transgraniczne świadczenie usług i poziom cyberodporności ze względu na stosowanie zróżnicowanych środków. Ostatecznie rozbieżności te mogą prowadzić do większej podatności niektórych państw członkowskich na cyberzagrożenia, co może wywołać reperkusje dla całej Unii. Celem niniejszej dyrektywy jest wyeliminowanie takich rozbieżności między państwami członkowskimi, w szczególności przez określenie przepisów minimalnych dotyczących funkcjonowania skoordynowanych ram regulacyjnych, ustanowienie mechanizmów skutecznej współpracy między odpowiedzialnymi organami w poszczególnych państwach członkowskich, zaktualizowanie wykazu sektorów i działań podlegających obowiązkom w zakresie cyberbezpieczeństwa oraz wprowadzenie skutecznych środków naprawczych i środków egzekwowania, które są kluczowe dla skutecznego egzekwowania tych obowiązków. Dyrektywę (UE) 2016/1148 należy zatem uchylić i zastąpić niniejszą dyrektywą. |
| --- | --- |

(5)

Wszystkie te rozbieżności pociągają za sobą fragmentację rynku wewnętrznego i mogą szkodliwie wpływać na jego funkcjonowanie, oddziałując w szczególności na transgraniczne świadczenie usług i poziom cyberodporności ze względu na stosowanie zróżnicowanych środków. Ostatecznie rozbieżności te mogą prowadzić do większej podatności niektórych państw członkowskich na cyberzagrożenia, co może wywołać reperkusje dla całej Unii. Celem niniejszej dyrektywy jest wyeliminowanie takich rozbieżności między państwami członkowskimi, w szczególności przez określenie przepisów minimalnych dotyczących funkcjonowania skoordynowanych ram regulacyjnych, ustanowienie mechanizmów skutecznej współpracy między odpowiedzialnymi organami w poszczególnych państwach członkowskich, zaktualizowanie wykazu sektorów i działań podlegających obowiązkom w zakresie cyberbezpieczeństwa oraz wprowadzenie skutecznych środków naprawczych i środków egzekwowania, które są kluczowe dla skutecznego egzekwowania tych obowiązków. Dyrektywę (UE) 2016/1148 należy zatem uchylić i zastąpić niniejszą dyrektywą.

| (6) | Wraz z uchyleniem dyrektywy (UE) 2016/1148 należy rozszerzyć zakres stosowania przepisów przez poszczególne sektory na większą część gospodarki, aby zapewnić całościowe uwzględnienie sektorów i usług mających istotne znaczenie dla kluczowych rodzajów działalności społecznej i gospodarczej na rynku wewnętrznym. W szczególności niniejsza dyrektywa ma na celu wyeliminowanie niedociągnięć wynikających z rozróżnienia operatorów usług kluczowych i dostawców usług cyfrowych, które okazało się nieaktualne, ponieważ nie odzwierciedla znaczenia danych sektorów lub usług dla działalności społecznej i gospodarczej na rynku wewnętrznym. |
| --- | --- |

(6)

Wraz z uchyleniem dyrektywy (UE) 2016/1148 należy rozszerzyć zakres stosowania przepisów przez poszczególne sektory na większą część gospodarki, aby zapewnić całościowe uwzględnienie sektorów i usług mających istotne znaczenie dla kluczowych rodzajów działalności społecznej i gospodarczej na rynku wewnętrznym. W szczególności niniejsza dyrektywa ma na celu wyeliminowanie niedociągnięć wynikających z rozróżnienia operatorów usług kluczowych i dostawców usług cyfrowych, które okazało się nieaktualne, ponieważ nie odzwierciedla znaczenia danych sektorów lub usług dla działalności społecznej i gospodarczej na rynku wewnętrznym.

| (7) | Na podstawie dyrektywy (UE) 2016/1148 państwa członkowskie były odpowiedzialne za identyfikację podmiotów spełniających kryteria pozwalające na uznanie ich za operatorów usług kluczowych. Aby wyeliminować znaczne rozbieżności pod tym względem między państwami członkowskimi oraz zapewnić wszystkim podmiotom objętym regulacją pewność prawa w odniesieniu do środków zarządzania ryzykiem w cyberbezpieczeństwie i do obowiązków dotyczących zgłaszania incydentów, należy ustanowić jednolite kryterium określające, które podmioty są objęte zakresem stosowania niniejszej dyrektywy. Kryterium to powinno przewidywać stosowanie zasady wielkościowej przewidującej, że zakres stosowania niniejszej dyrektywy obejmuje wszystkie podmioty, które kwalifikują się jako średnie przedsiębiorstwa na podstawie art. 2 załącznika do zalecenia Komisji 2003/361/WE (5) lub które przekraczają pułapy dla średnich przedsiębiorstw określone w ust. 1 tego artykułu oraz które działają w sektorach objętych tą dyrektywą lub świadczą objęte nią rodzaje usług lub prowadzą objętą nią działalność. Państwa członkowskie powinny również zapewnić objęcie zakresem niniejszej dyrektywy niektórych małych przedsiębiorstw i mikroprzedsiębiorstw zgodnie z definicją w art. 2 ust. 2 i 3 tego załącznika, które spełniają szczególne kryteria wskazujące na kluczową rolę dla społeczeństwa, gospodarki lub konkretnych sektorów lub rodzajów usług. |
| --- | --- |

(7)

Na podstawie dyrektywy (UE) 2016/1148 państwa członkowskie były odpowiedzialne za identyfikację podmiotów spełniających kryteria pozwalające na uznanie ich za operatorów usług kluczowych. Aby wyeliminować znaczne rozbieżności pod tym względem między państwami członkowskimi oraz zapewnić wszystkim podmiotom objętym regulacją pewność prawa w odniesieniu do środków zarządzania ryzykiem w cyberbezpieczeństwie i do obowiązków dotyczących zgłaszania incydentów, należy ustanowić jednolite kryterium określające, które podmioty są objęte zakresem stosowania niniejszej dyrektywy. Kryterium to powinno przewidywać stosowanie zasady wielkościowej przewidującej, że zakres stosowania niniejszej dyrektywy obejmuje wszystkie podmioty, które kwalifikują się jako średnie przedsiębiorstwa na podstawie art. 2 załącznika do zalecenia Komisji 2003/361/WE (5) lub które przekraczają pułapy dla średnich przedsiębiorstw określone w ust. 1 tego artykułu oraz które działają w sektorach objętych tą dyrektywą lub świadczą objęte nią rodzaje usług lub prowadzą objętą nią działalność. Państwa członkowskie powinny również zapewnić objęcie zakresem niniejszej dyrektywy niektórych małych przedsiębiorstw i mikroprzedsiębiorstw zgodnie z definicją w art. 2 ust. 2 i 3 tego załącznika, które spełniają szczególne kryteria wskazujące na kluczową rolę dla społeczeństwa, gospodarki lub konkretnych sektorów lub rodzajów usług.

| (8) | Wyłączenie podmiotów administracji publicznej z zakresu stosowania niniejszej dyrektywy powinno mieć zastosowanie do podmiotów, które prowadzą działalność głównie w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności, lub egzekwowania prawa, w tym działania związane z zapobieganiem przestępstwom, prowadzeniem postępowań w ich sprawie, wykrywaniem ich i ściganiem. Jednakże podmioty administracji publicznej, których działalność jedynie w niewielkim stopniu wiąże się z tymi obszarami, nie są wyłączone z zakresu stosowania niniejszej dyrektywy. Do celów niniejszej dyrektywy podmioty posiadające kompetencje regulacyjne nie są uznawane za prowadzące działalność w obszarze egzekwowania prawa i dlatego nie są wyłączone z tej przyczyny z zakresu stosowania niniejszej dyrektywy. Podmioty administracji publicznej ustanowione wspólnie z państwem trzecim zgodnie z umową międzynarodową są wyłączone z zakresu stosowania niniejszej dyrektywy. Niniejsza dyrektywa nie ma zastosowania do misji dyplomatycznych i konsularnych państw członkowskich w państwach trzecich ani do ich sieci i systemów informatycznych, o ile takie systemy znajdują się na terenie misji lub są eksploatowane na potrzeby użytkowników w państwie trzecim. |
| --- | --- |

(8)

Wyłączenie podmiotów administracji publicznej z zakresu stosowania niniejszej dyrektywy powinno mieć zastosowanie do podmiotów, które prowadzą działalność głównie w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności, lub egzekwowania prawa, w tym działania związane z zapobieganiem przestępstwom, prowadzeniem postępowań w ich sprawie, wykrywaniem ich i ściganiem. Jednakże podmioty administracji publicznej, których działalność jedynie w niewielkim stopniu wiąże się z tymi obszarami, nie są wyłączone z zakresu stosowania niniejszej dyrektywy. Do celów niniejszej dyrektywy podmioty posiadające kompetencje regulacyjne nie są uznawane za prowadzące działalność w obszarze egzekwowania prawa i dlatego nie są wyłączone z tej przyczyny z zakresu stosowania niniejszej dyrektywy. Podmioty administracji publicznej ustanowione wspólnie z państwem trzecim zgodnie z umową międzynarodową są wyłączone z zakresu stosowania niniejszej dyrektywy. Niniejsza dyrektywa nie ma zastosowania do misji dyplomatycznych i konsularnych państw członkowskich w państwach trzecich ani do ich sieci i systemów informatycznych, o ile takie systemy znajdują się na terenie misji lub są eksploatowane na potrzeby użytkowników w państwie trzecim.

| (9) | Państwa członkowskie powinny móc stosować niezbędne środki zapewniające ochronę podstawowych interesów bezpieczeństwa narodowego, gwarantujące porządek publiczny i bezpieczeństwo publiczne oraz umożliwiające zapobieganie przestępstwom, prowadzenie postępowań w ich sprawie, ich wykrywanie i ściganie. W tym celu państwa członkowskie powinny móc zwolnić określone podmioty, które prowadzą działania w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym zapobieganie przestępstwom, prowadzenie postępowań w ich sprawie, ich wykrywanie i ściganie, z niektórych obowiązków określonych w niniejszej dyrektywie w odniesieniu do tych działań. Jeżeli dany podmiot świadczy usługi wyłącznie na rzecz podmiotu administracji publicznej, który jest wyłączony z zakresu stosowania niniejszej dyrektywy, państwa członkowskie powinny móc zwolnić ten podmiot z niektórych obowiązków określonych w niniejszej dyrektywie w odniesieniu do tych usług. Ponadto żadne państwo członkowskie nie powinno mieć obowiązku udzielania informacji, których ujawnienie jest sprzeczne z podstawowymi interesami jego bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności. W tym kontekście należy wziąć pod uwagę unijne lub krajowe przepisy o ochronie informacji niejawnych, umowy dotyczące zachowania poufności oraz nieformalne porozumienia dotyczące zachowania poufności, takie jak kod poufności TLP (Traffic Light Protocol). Kod poufności TLP należy rozumieć jako narzędzie służące informowaniu o ograniczeniach w dalszym rozpowszechnianiu informacji. Jest on wykorzystywany w niemal wszystkich zespołach reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) oraz w niektórych centrach analizy i wymiany informacji. |
| --- | --- |

(9)

Państwa członkowskie powinny móc stosować niezbędne środki zapewniające ochronę podstawowych interesów bezpieczeństwa narodowego, gwarantujące porządek publiczny i bezpieczeństwo publiczne oraz umożliwiające zapobieganie przestępstwom, prowadzenie postępowań w ich sprawie, ich wykrywanie i ściganie. W tym celu państwa członkowskie powinny móc zwolnić określone podmioty, które prowadzą działania w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym zapobieganie przestępstwom, prowadzenie postępowań w ich sprawie, ich wykrywanie i ściganie, z niektórych obowiązków określonych w niniejszej dyrektywie w odniesieniu do tych działań. Jeżeli dany podmiot świadczy usługi wyłącznie na rzecz podmiotu administracji publicznej, który jest wyłączony z zakresu stosowania niniejszej dyrektywy, państwa członkowskie powinny móc zwolnić ten podmiot z niektórych obowiązków określonych w niniejszej dyrektywie w odniesieniu do tych usług. Ponadto żadne państwo członkowskie nie powinno mieć obowiązku udzielania informacji, których ujawnienie jest sprzeczne z podstawowymi interesami jego bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności. W tym kontekście należy wziąć pod uwagę unijne lub krajowe przepisy o ochronie informacji niejawnych, umowy dotyczące zachowania poufności oraz nieformalne porozumienia dotyczące zachowania poufności, takie jak kod poufności TLP (Traffic Light Protocol). Kod poufności TLP należy rozumieć jako narzędzie służące informowaniu o ograniczeniach w dalszym rozpowszechnianiu informacji. Jest on wykorzystywany w niemal wszystkich zespołach reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) oraz w niektórych centrach analizy i wymiany informacji.

| (10) | Mimo iż niniejsza dyrektywa ma zastosowanie do podmiotów prowadzących działalność w zakresie wytwarzania energii elektrycznej w elektrowniach jądrowych, niektóre rodzaje takiej działalności mogą być powiązane z bezpieczeństwem narodowym. W takim przypadku państwo członkowskie powinno móc wykonywać swoje obowiązki dotyczące ochrony bezpieczeństwa narodowego w odniesieniu do tej działalności, w tym działalności w łańcuchu wartości sektora jądrowego, zgodnie z Traktatami. |
| --- | --- |

(10)

Mimo iż niniejsza dyrektywa ma zastosowanie do podmiotów prowadzących działalność w zakresie wytwarzania energii elektrycznej w elektrowniach jądrowych, niektóre rodzaje takiej działalności mogą być powiązane z bezpieczeństwem narodowym. W takim przypadku państwo członkowskie powinno móc wykonywać swoje obowiązki dotyczące ochrony bezpieczeństwa narodowego w odniesieniu do tej działalności, w tym działalności w łańcuchu wartości sektora jądrowego, zgodnie z Traktatami.

| (11) | Niektóre podmioty prowadzą działania w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym zapobieganie przestępstwom, prowadzenie postępowań w ich sprawie, wykrywanie ich i ściganie, a jednocześnie świadczą usługi zaufania. Dostawców usług zaufania, którzy są objęci zakresem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 (6), należy objąć zakresem stosowania niniejszej dyrektywy, aby zapewnić poziom wymogów bezpieczeństwa i nadzoru identyczny z określonym wcześniej w tym rozporządzeniu w odniesieniu do dostawców usług zaufania. W związku z wyłączeniem niektórych konkretnych usług z zakresu stosowania rozporządzenia (UE) nr 910/2014 niniejsza dyrektywa nie powinna mieć zastosowania do świadczenia usług zaufania wykorzystywanych wyłącznie w obrębie zamkniętych systemów wynikających z prawa krajowego lub z porozumień zawartych przez określoną grupę uczestników. |
| --- | --- |

(11)

Niektóre podmioty prowadzą działania w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym zapobieganie przestępstwom, prowadzenie postępowań w ich sprawie, wykrywanie ich i ściganie, a jednocześnie świadczą usługi zaufania. Dostawców usług zaufania, którzy są objęci zakresem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 (6), należy objąć zakresem stosowania niniejszej dyrektywy, aby zapewnić poziom wymogów bezpieczeństwa i nadzoru identyczny z określonym wcześniej w tym rozporządzeniu w odniesieniu do dostawców usług zaufania. W związku z wyłączeniem niektórych konkretnych usług z zakresu stosowania rozporządzenia (UE) nr 910/2014 niniejsza dyrektywa nie powinna mieć zastosowania do świadczenia usług zaufania wykorzystywanych wyłącznie w obrębie zamkniętych systemów wynikających z prawa krajowego lub z porozumień zawartych przez określoną grupę uczestników.

| (12) | Operatorzy świadczący usługi pocztowe zdefiniowani w dyrektywie Parlamentu Europejskiego i Rady 97/67/WE (7), w tym dostawcy usług kurierskich, powinni podlegać niniejszej dyrektywie, jeżeli świadczą usługi na co najmniej jednym z etapów łańcucha doręczania przesyłek pocztowych, a w szczególności przyjmowania, sortowania, transportu lub doręczania, w tym odbioru przesyłek, przy uwzględnieniu stopnia ich zależności od sieci i systemów informatycznych. Usługi transportowe, które nie są świadczone w związku z jednym z wymienionych etapów, powinny być wyłączone z zakresu usług pocztowych. |
| --- | --- |

(12)

Operatorzy świadczący usługi pocztowe zdefiniowani w dyrektywie Parlamentu Europejskiego i Rady 97/67/WE (7), w tym dostawcy usług kurierskich, powinni podlegać niniejszej dyrektywie, jeżeli świadczą usługi na co najmniej jednym z etapów łańcucha doręczania przesyłek pocztowych, a w szczególności przyjmowania, sortowania, transportu lub doręczania, w tym odbioru przesyłek, przy uwzględnieniu stopnia ich zależności od sieci i systemów informatycznych. Usługi transportowe, które nie są świadczone w związku z jednym z wymienionych etapów, powinny być wyłączone z zakresu usług pocztowych.

| (13) | Zważywszy na intensyfikację i coraz większe wyrafinowanie cyberzagrożeń, państwa członkowskie powinny starać się zapewnić osiągnięcie wysokiego poziomu cyberbezpieczeństwa przez podmioty wyłączone z zakresu stosowania niniejszej dyrektywy oraz wspierać wdrażanie równoważnych środków zarządzania ryzykiem w cyberbezpieczeństwie, które odzwierciedlają wrażliwy charakter tych podmiotów. |
| --- | --- |

(13)

Zważywszy na intensyfikację i coraz większe wyrafinowanie cyberzagrożeń, państwa członkowskie powinny starać się zapewnić osiągnięcie wysokiego poziomu cyberbezpieczeństwa przez podmioty wyłączone z zakresu stosowania niniejszej dyrektywy oraz wspierać wdrażanie równoważnych środków zarządzania ryzykiem w cyberbezpieczeństwie, które odzwierciedlają wrażliwy charakter tych podmiotów.

| (14) | Do przetwarzania danych osobowych na podstawie niniejszej dyrektywy mają zastosowanie unijne przepisy dotyczące ochrony danych oraz unijne przepisy dotyczące prywatności. W szczególności niniejsza dyrektywa nie narusza rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (8) i dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady (9). Niniejsza dyrektywa nie powinna zatem wpływać między innymi na zadania i uprawnienia organów właściwych do spraw monitorowania zgodności z obowiązującymi unijnymi przepisami dotyczącymi ochrony danych i unijnymi przepisami dotyczącymi ochrony prywatności. |
| --- | --- |

(14)

Do przetwarzania danych osobowych na podstawie niniejszej dyrektywy mają zastosowanie unijne przepisy dotyczące ochrony danych oraz unijne przepisy dotyczące prywatności. W szczególności niniejsza dyrektywa nie narusza rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (8) i dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady (9). Niniejsza dyrektywa nie powinna zatem wpływać między innymi na zadania i uprawnienia organów właściwych do spraw monitorowania zgodności z obowiązującymi unijnymi przepisami dotyczącymi ochrony danych i unijnymi przepisami dotyczącymi ochrony prywatności.

| (15) | Podmioty, które są objęte zakresem stosowania niniejszej dyrektywy w celu przestrzegania środków zarządzania ryzykiem w cyberbezpieczeństwie i obowiązków dotyczących zgłaszania incydentów, należy podzielić na dwie kategorie – podmioty kluczowe i podmioty ważne, w zależności od tego, jak bardzo ich znaczenie jest zasadnicze dla ich sektorów lub dla rodzaju świadczonych przez nie usług, a także od ich wielkości. W związku z tym właściwe organy powinny w stosownych przypadkach należycie uwzględniać odpowiednie sektorowe oszacowania ryzyka lub wskazówki. Należy zróżnicować systemy nadzoru i egzekwowania między tymi dwiema kategoriami podmiotów, aby zapewnić odpowiednią równowagę między wymogami i obowiązkami związanymi z ryzykiem a obciążeniem administracyjnym wynikającym z nadzoru nad zgodnością z przepisami. |
| --- | --- |

(15)

Podmioty, które są objęte zakresem stosowania niniejszej dyrektywy w celu przestrzegania środków zarządzania ryzykiem w cyberbezpieczeństwie i obowiązków dotyczących zgłaszania incydentów, należy podzielić na dwie kategorie – podmioty kluczowe i podmioty ważne, w zależności od tego, jak bardzo ich znaczenie jest zasadnicze dla ich sektorów lub dla rodzaju świadczonych przez nie usług, a także od ich wielkości. W związku z tym właściwe organy powinny w stosownych przypadkach należycie uwzględniać odpowiednie sektorowe oszacowania ryzyka lub wskazówki. Należy zróżnicować systemy nadzoru i egzekwowania między tymi dwiema kategoriami podmiotów, aby zapewnić odpowiednią równowagę między wymogami i obowiązkami związanymi z ryzykiem a obciążeniem administracyjnym wynikającym z nadzoru nad zgodnością z przepisami.

| (16) | Stosując art. 6 ust. 2 załącznika do zalecenia 2003/361/WE, państwa członkowskie mogą uwzględnić stopień niezależności podmiotu w stosunku do jego przedsiębiorstw partnerskich lub powiązanych, aby uniknąć uznawania podmiotów, które mają przedsiębiorstwa partnerskie lub które są przedsiębiorstwami powiązanymi, za podmioty kluczowe lub ważne, gdyby było to nieproporcjonalne. W szczególności państwa członkowskie mogą uwzględnić fakt, że dany podmiot jest niezależny od przedsiębiorstw partnerskich lub powiązanych pod względem sieci i systemów informatycznych, z których korzysta przy świadczeniu usług, a także pod względem świadczonych przez siebie usług. Na tej podstawie, w stosownych przypadkach, państwa członkowskie mogą uznać, że taki podmiot nie kwalifikuje się jako średnie przedsiębiorstwo na podstawie art. 2 załącznika do zalecenia 2003/361/WE, ani nie przekracza określonych dla średniego przedsiębiorstwa pułapów, określonych w ust. 1 tego artykułu, jeżeli po uwzględnieniu stopnia niezależności tego podmiotu nie zostałby on uznany za kwalifikujący się jako średnie przedsiębiorstwo lub przekraczający te pułapy, w przypadku gdy uwzględniono tylko jego własne dane. Nie wpływa to na określone w niniejszej dyrektywie obowiązki przedsiębiorstw partnerskich i powiązanych, które są objęte zakresem jej stosowania. |
| --- | --- |

(16)

Stosując art. 6 ust. 2 załącznika do zalecenia 2003/361/WE, państwa członkowskie mogą uwzględnić stopień niezależności podmiotu w stosunku do jego przedsiębiorstw partnerskich lub powiązanych, aby uniknąć uznawania podmiotów, które mają przedsiębiorstwa partnerskie lub które są przedsiębiorstwami powiązanymi, za podmioty kluczowe lub ważne, gdyby było to nieproporcjonalne. W szczególności państwa członkowskie mogą uwzględnić fakt, że dany podmiot jest niezależny od przedsiębiorstw partnerskich lub powiązanych pod względem sieci i systemów informatycznych, z których korzysta przy świadczeniu usług, a także pod względem świadczonych przez siebie usług. Na tej podstawie, w stosownych przypadkach, państwa członkowskie mogą uznać, że taki podmiot nie kwalifikuje się jako średnie przedsiębiorstwo na podstawie art. 2 załącznika do zalecenia 2003/361/WE, ani nie przekracza określonych dla średniego przedsiębiorstwa pułapów, określonych w ust. 1 tego artykułu, jeżeli po uwzględnieniu stopnia niezależności tego podmiotu nie zostałby on uznany za kwalifikujący się jako średnie przedsiębiorstwo lub przekraczający te pułapy, w przypadku gdy uwzględniono tylko jego własne dane. Nie wpływa to na określone w niniejszej dyrektywie obowiązki przedsiębiorstw partnerskich i powiązanych, które są objęte zakresem jej stosowania.

| (17) | Państwa członkowskie powinny mieć możliwość decydowania, że za podmioty kluczowe należy uznać podmioty zidentyfikowane przed wejściem w życie niniejszej dyrektywy jako operatorzy usług kluczowych zgodnie z dyrektywą (UE) 2016/1148. |
| --- | --- |

(17)

Państwa członkowskie powinny mieć możliwość decydowania, że za podmioty kluczowe należy uznać podmioty zidentyfikowane przed wejściem w życie niniejszej dyrektywy jako operatorzy usług kluczowych zgodnie z dyrektywą (UE) 2016/1148.

| (18) | W celu zapewnienia przejrzystego przeglądu podmiotów objętych zakresem stosowania niniejszej dyrektywy, państwa członkowskie powinny utworzyć wykaz podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen. W tym celu państwa członkowskie powinny zobowiązać podmioty do przekazywania właściwym organom co najmniej następujących informacji: nazwy, adresu i aktualnych danych kontaktowych, w tym adresów poczty elektronicznej, zakresów adresów IP i numerów telefonicznych podmiotu oraz, w stosownych przypadkach, odpowiedniego sektora i podsektora, o których mowa w załącznikach, a także, w stosownych przypadkach, wykazu państw członkowskich, w których dany podmiot świadczy usługi objęte zakresem stosowania niniejszej dyrektywy. W tym celu Komisja, z pomocą Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), powinna bez zbędnej zwłoki podać wytyczne i wzory na potrzeby obowiązku przekazywania informacji. Aby ułatwić utworzenie i aktualizację wykazu podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen, państwa członkowskie powinny móc ustanowić mechanizmy krajowe umożliwiające podmiotom samodzielną rejestrację. Jeżeli rejestry istnieją na poziomie krajowym, państwa członkowskie mogą decydować o odpowiednich mechanizmach umożliwiających identyfikację podmiotów objętych zakresem stosowania niniejszej dyrektywy. |
| --- | --- |

(18)

W celu zapewnienia przejrzystego przeglądu podmiotów objętych zakresem stosowania niniejszej dyrektywy, państwa członkowskie powinny utworzyć wykaz podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen. W tym celu państwa członkowskie powinny zobowiązać podmioty do przekazywania właściwym organom co najmniej następujących informacji: nazwy, adresu i aktualnych danych kontaktowych, w tym adresów poczty elektronicznej, zakresów adresów IP i numerów telefonicznych podmiotu oraz, w stosownych przypadkach, odpowiedniego sektora i podsektora, o których mowa w załącznikach, a także, w stosownych przypadkach, wykazu państw członkowskich, w których dany podmiot świadczy usługi objęte zakresem stosowania niniejszej dyrektywy. W tym celu Komisja, z pomocą Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), powinna bez zbędnej zwłoki podać wytyczne i wzory na potrzeby obowiązku przekazywania informacji. Aby ułatwić utworzenie i aktualizację wykazu podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen, państwa członkowskie powinny móc ustanowić mechanizmy krajowe umożliwiające podmiotom samodzielną rejestrację. Jeżeli rejestry istnieją na poziomie krajowym, państwa członkowskie mogą decydować o odpowiednich mechanizmach umożliwiających identyfikację podmiotów objętych zakresem stosowania niniejszej dyrektywy.

| (19) | Państwa członkowskie powinny być odpowiedzialne za poinformowanie Komisji co najmniej o liczbie podmiotów kluczowych i ważnych dla każdego sektora i podsektora, o których mowa w załącznikach, a także przekazanie jej odpowiednich informacji o liczbie zidentyfikowanych podmiotów i o tym, na podstawie którego przepisu – spośród ustanowionych w niniejszej dyrektywie – zostały one zidentyfikowane oraz rodzaju świadczonej przez te podmioty usługi. Zachęca się państwa członkowskie, aby wymieniały z Komisją informacje o podmiotach kluczowych i ważnych oraz – w przypadku incydentu dotyczącego cyberbezpieczeństwa na dużą skalę – odpowiednie informacje takie jak nazwa danego podmiotu. |
| --- | --- |

(19)

Państwa członkowskie powinny być odpowiedzialne za poinformowanie Komisji co najmniej o liczbie podmiotów kluczowych i ważnych dla każdego sektora i podsektora, o których mowa w załącznikach, a także przekazanie jej odpowiednich informacji o liczbie zidentyfikowanych podmiotów i o tym, na podstawie którego przepisu – spośród ustanowionych w niniejszej dyrektywie – zostały one zidentyfikowane oraz rodzaju świadczonej przez te podmioty usługi. Zachęca się państwa członkowskie, aby wymieniały z Komisją informacje o podmiotach kluczowych i ważnych oraz – w przypadku incydentu dotyczącego cyberbezpieczeństwa na dużą skalę – odpowiednie informacje takie jak nazwa danego podmiotu.

| (20) | Komisja powinna, we współpracy z Grupą Współpracy i po konsultacji z odpowiednimi zainteresowanymi stronami, podać wytyczne dotyczące wdrażania kryteriów mających zastosowanie do mikroprzedsiębiorstw i małych przedsiębiorstw, do celów oceny, czy są one objęte zakresem stosowania niniejszej dyrektywy. Komisja powinna też zapewnić, aby mikroprzedsiębiorstwa i małe przedsiębiorstwa objęte zakresem stosowania niniejszej dyrektywy otrzymywały odpowiednie wytyczne. Komisja powinna – z pomocą państw członkowskich – udostępniać mikroprzedsiębiorstwom i małym przedsiębiorstwom informacje w tym zakresie. |
| --- | --- |

(20)

Komisja powinna, we współpracy z Grupą Współpracy i po konsultacji z odpowiednimi zainteresowanymi stronami, podać wytyczne dotyczące wdrażania kryteriów mających zastosowanie do mikroprzedsiębiorstw i małych przedsiębiorstw, do celów oceny, czy są one objęte zakresem stosowania niniejszej dyrektywy. Komisja powinna też zapewnić, aby mikroprzedsiębiorstwa i małe przedsiębiorstwa objęte zakresem stosowania niniejszej dyrektywy otrzymywały odpowiednie wytyczne. Komisja powinna – z pomocą państw członkowskich – udostępniać mikroprzedsiębiorstwom i małym przedsiębiorstwom informacje w tym zakresie.

| (21) | Komisja może wydawać wytyczne, aby pomóc państwom członkowskim w prawidłowym wdrażaniu przepisów niniejszej dyrektywy dotyczących zakresu jej stosowania oraz w ocenie proporcjonalności środków do zastosowania na podstawie niniejszej dyrektywy, w szczególności w odniesieniu do podmiotów o złożonych modelach biznesowych lub środowiskach operacyjnych, gdzie podmiot może jednocześnie spełniać kryteria bycia podmiotem kluczowym i podmiotem ważnym lub może jednocześnie prowadzić działania, z których jedne są objęte zakresem stosowania niniejszej dyrektywy, a inne są z niego wyłączone. |
| --- | --- |

(21)

Komisja może wydawać wytyczne, aby pomóc państwom członkowskim w prawidłowym wdrażaniu przepisów niniejszej dyrektywy dotyczących zakresu jej stosowania oraz w ocenie proporcjonalności środków do zastosowania na podstawie niniejszej dyrektywy, w szczególności w odniesieniu do podmiotów o złożonych modelach biznesowych lub środowiskach operacyjnych, gdzie podmiot może jednocześnie spełniać kryteria bycia podmiotem kluczowym i podmiotem ważnym lub może jednocześnie prowadzić działania, z których jedne są objęte zakresem stosowania niniejszej dyrektywy, a inne są z niego wyłączone.

| (22) | Niniejsza dyrektywa określa poziom odniesienia dla środków zarządzania ryzykiem w cyberbezpieczeństwie i dla obowiązków dotyczących zgłaszania incydentów w sektorach, które wchodzą w zakres jej stosowania. Aby uniknąć fragmentacji przepisów o cyberbezpieczeństwie zawartych w aktach prawnych Unii, jeżeli kolejne sektorowe akty prawne Unii regulujące środki zarządzania ryzykiem w cyberbezpieczeństwie i obowiązki w zakresie zgłaszania incydentów zostaną uznane za niezbędne do zapewnienia wysokiego poziomu cyberbezpieczeństwa w całej Unii, Komisja powinna ocenić, czy takie przepisy można określić w akcie wykonawczym na podstawie niniejszej dyrektywy. Gdyby taki akt wykonawczy nie był odpowiedni do tego celu, do zapewnienia wysokiego poziomu cyberbezpieczeństwa w całej Unii można wykorzystać sektorowe akty prawne Unii, przy pełnym uwzględnieniu specyfiki i złożoności danych sektorów. W związku z tym niniejsza dyrektywa nie stanowi przeszkody dla przyjęcia kolejnych sektorowych aktów prawnych Unii regulujących środki zarządzania ryzykiem w cyberbezpieczeństwie i obowiązki w zakresie zgłaszania incydentów, należycie uwzględniających potrzebę kompleksowych i spójnych ram dotyczących cyberbezpieczeństwa. Niniejsza dyrektywa nie narusza istniejących uprawnień wykonawczych, które powierzono Komisji w wielu sektorach, w tym w sektorach transportu i energetyki. |
| --- | --- |

(22)

Niniejsza dyrektywa określa poziom odniesienia dla środków zarządzania ryzykiem w cyberbezpieczeństwie i dla obowiązków dotyczących zgłaszania incydentów w sektorach, które wchodzą w zakres jej stosowania. Aby uniknąć fragmentacji przepisów o cyberbezpieczeństwie zawartych w aktach prawnych Unii, jeżeli kolejne sektorowe akty prawne Unii regulujące środki zarządzania ryzykiem w cyberbezpieczeństwie i obowiązki w zakresie zgłaszania incydentów zostaną uznane za niezbędne do zapewnienia wysokiego poziomu cyberbezpieczeństwa w całej Unii, Komisja powinna ocenić, czy takie przepisy można określić w akcie wykonawczym na podstawie niniejszej dyrektywy. Gdyby taki akt wykonawczy nie był odpowiedni do tego celu, do zapewnienia wysokiego poziomu cyberbezpieczeństwa w całej Unii można wykorzystać sektorowe akty prawne Unii, przy pełnym uwzględnieniu specyfiki i złożoności danych sektorów. W związku z tym niniejsza dyrektywa nie stanowi przeszkody dla przyjęcia kolejnych sektorowych aktów prawnych Unii regulujących środki zarządzania ryzykiem w cyberbezpieczeństwie i obowiązki w zakresie zgłaszania incydentów, należycie uwzględniających potrzebę kompleksowych i spójnych ram dotyczących cyberbezpieczeństwa. Niniejsza dyrektywa nie narusza istniejących uprawnień wykonawczych, które powierzono Komisji w wielu sektorach, w tym w sektorach transportu i energetyki.

| (23) | Jeżeli sektorowy akt prawny Unii zawiera przepisy wymagające od podmiotów kluczowych lub ważnych, aby przyjęły środki zarządzania ryzykiem w cyberbezpieczeństwie lub zgłaszały poważne incydenty, i jeżeli wymogi te są co najmniej równoważne pod względem skutku obowiązkom określonym w niniejszej dyrektywie, wówczas te przepisy, w tym dotyczące nadzoru i egzekwowania prawa, powinny mieć zastosowanie do takich podmiotów. Jeżeli sektorowy akt prawny Unii nie obejmuje wszystkich podmiotów w danym sektorze wchodzących w zakres stosowania niniejszej dyrektywy, odnośne przepisy niniejszej dyrektywy powinny nadal mieć zastosowanie do podmiotów nieobjętych tym aktem. |
| --- | --- |

(23)

Jeżeli sektorowy akt prawny Unii zawiera przepisy wymagające od podmiotów kluczowych lub ważnych, aby przyjęły środki zarządzania ryzykiem w cyberbezpieczeństwie lub zgłaszały poważne incydenty, i jeżeli wymogi te są co najmniej równoważne pod względem skutku obowiązkom określonym w niniejszej dyrektywie, wówczas te przepisy, w tym dotyczące nadzoru i egzekwowania prawa, powinny mieć zastosowanie do takich podmiotów. Jeżeli sektorowy akt prawny Unii nie obejmuje wszystkich podmiotów w danym sektorze wchodzących w zakres stosowania niniejszej dyrektywy, odnośne przepisy niniejszej dyrektywy powinny nadal mieć zastosowanie do podmiotów nieobjętych tym aktem.

| (24) | Jeżeli przepisy sektorowego aktu prawnego Unii wymagają, aby podmioty kluczowe lub ważne spełniały obowiązki w zakresie zgłaszania incydentów, które są co najmniej równoważne pod względem skutku obowiązkom w zakresie zgłaszania incydentów określonym w niniejszej dyrektywie, należy zapewnić spójność i skuteczność postępowania w przypadku zgłoszeń incydentów. W tym celu przepisy dotyczące zgłaszania incydentów sektorowego aktu prawnego Unii powinny zapewniać CSIRT, właściwym organom lub pojedynczym punktom kontaktowym do spraw cyberbezpieczeństwa (pojedynczym punktom kontaktowym) na podstawie niniejszej dyrektywy natychmiastowy dostęp do zgłoszeń incydentów zgodnie z sektorowym aktem prawnym Unii. W szczególności taki natychmiastowy dostęp można zapewnić, jeżeli zgłoszenia incydentów są przekazywane bez zbędnej zwłoki CSIRT, właściwemu organowi lub pojedynczemu punktowi kontaktowemu) na podstawie niniejszej dyrektywy. W stosownych przypadkach państwa członkowskie powinny wprowadzić mechanizm automatycznego i bezpośredniego zgłaszania incydentów, zapewniający systematyczną i natychmiastową wymianę informacji z CSIRT, właściwymi organami lub pojedynczymi punktami kontaktowymi dotyczącą postępowania w przypadku takich zgłoszeń incydentów. W celu uproszczenia zgłaszania incydentów oraz wdrożenia mechanizm automatycznego i bezpośredniego zgłaszania incydentów, państwa członkowskie mogą, zgodnie z sektorowym aktem prawnym Unii, korzystać z pojedynczego punktu zgłaszania incydentów. |
| --- | --- |

(24)

Jeżeli przepisy sektorowego aktu prawnego Unii wymagają, aby podmioty kluczowe lub ważne spełniały obowiązki w zakresie zgłaszania incydentów, które są co najmniej równoważne pod względem skutku obowiązkom w zakresie zgłaszania incydentów określonym w niniejszej dyrektywie, należy zapewnić spójność i skuteczność postępowania w przypadku zgłoszeń incydentów. W tym celu przepisy dotyczące zgłaszania incydentów sektorowego aktu prawnego Unii powinny zapewniać CSIRT, właściwym organom lub pojedynczym punktom kontaktowym do spraw cyberbezpieczeństwa (pojedynczym punktom kontaktowym) na podstawie niniejszej dyrektywy natychmiastowy dostęp do zgłoszeń incydentów zgodnie z sektorowym aktem prawnym Unii. W szczególności taki natychmiastowy dostęp można zapewnić, jeżeli zgłoszenia incydentów są przekazywane bez zbędnej zwłoki CSIRT, właściwemu organowi lub pojedynczemu punktowi kontaktowemu) na podstawie niniejszej dyrektywy. W stosownych przypadkach państwa członkowskie powinny wprowadzić mechanizm automatycznego i bezpośredniego zgłaszania incydentów, zapewniający systematyczną i natychmiastową wymianę informacji z CSIRT, właściwymi organami lub pojedynczymi punktami kontaktowymi dotyczącą postępowania w przypadku takich zgłoszeń incydentów. W celu uproszczenia zgłaszania incydentów oraz wdrożenia mechanizm automatycznego i bezpośredniego zgłaszania incydentów, państwa członkowskie mogą, zgodnie z sektorowym aktem prawnym Unii, korzystać z pojedynczego punktu zgłaszania incydentów.

| (25) | Sektorowe akty prawne Unii, które przewidują środki zarządzania ryzykiem w cyberbezpieczeństwie lub obowiązki w zakresie zgłaszania incydentów, które są co najmniej równoważne pod względem skutku obowiązkom określonym w niniejszej dyrektywie, mogą przewidywać, że właściwe organy na podstawie takich aktów wykonują swoje uprawnienia dotyczące nadzoru i egzekwowania prawa w odniesieniu do takich środków lub obowiązków z pomocą właściwych organów na podstawie niniejszej dyrektywy. Odpowiednie właściwe organy mogą w tym celu przyjąć ustalenia dotyczące współpracy. W takich ustaleniach dotyczących współpracy można określić między innymi procedury dotyczące koordynacji działań nadzorczych, w tym procedury dochodzeń i kontroli na miejscu zgodnie z prawem krajowym, oraz mechanizm wymiany między właściwymi organami istotnych informacji na temat nadzoru i egzekwowania prawa, obejmujący dostęp do informacji związanych z cyberprzestrzenią, o które właściwe organy zwracają się na podstawie niniejszej dyrektywy. |
| --- | --- |

(25)

Sektorowe akty prawne Unii, które przewidują środki zarządzania ryzykiem w cyberbezpieczeństwie lub obowiązki w zakresie zgłaszania incydentów, które są co najmniej równoważne pod względem skutku obowiązkom określonym w niniejszej dyrektywie, mogą przewidywać, że właściwe organy na podstawie takich aktów wykonują swoje uprawnienia dotyczące nadzoru i egzekwowania prawa w odniesieniu do takich środków lub obowiązków z pomocą właściwych organów na podstawie niniejszej dyrektywy. Odpowiednie właściwe organy mogą w tym celu przyjąć ustalenia dotyczące współpracy. W takich ustaleniach dotyczących współpracy można określić między innymi procedury dotyczące koordynacji działań nadzorczych, w tym procedury dochodzeń i kontroli na miejscu zgodnie z prawem krajowym, oraz mechanizm wymiany między właściwymi organami istotnych informacji na temat nadzoru i egzekwowania prawa, obejmujący dostęp do informacji związanych z cyberprzestrzenią, o które właściwe organy zwracają się na podstawie niniejszej dyrektywy.

| (26) | Jeżeli sektorowe akty prawne Unii zobowiązują lub motywują podmioty do zgłaszania poważnych cyberzagrożeń, państwa członkowskie powinny również zachęcać do przekazywania informacji o poważnych cyberzagrożeniach CSIRT, właściwym organom lub pojedynczym punktom kontaktowym na podstawie niniejszej dyrektywy, tak by organy te miały lepszy obraz cyberzagrożeń i mogły skutecznie i terminowo reagować w przypadku wystąpienia poważnych cyberzagrożeń. |
| --- | --- |

(26)

Jeżeli sektorowe akty prawne Unii zobowiązują lub motywują podmioty do zgłaszania poważnych cyberzagrożeń, państwa członkowskie powinny również zachęcać do przekazywania informacji o poważnych cyberzagrożeniach CSIRT, właściwym organom lub pojedynczym punktom kontaktowym na podstawie niniejszej dyrektywy, tak by organy te miały lepszy obraz cyberzagrożeń i mogły skutecznie i terminowo reagować w przypadku wystąpienia poważnych cyberzagrożeń.

| (27) | Przyszłe sektorowe akty prawne Unii powinny należycie uwzględniać definicje oraz ramy nadzoru i egzekwowania prawa określone w niniejszej dyrektywie. |
| --- | --- |

(27)

Przyszłe sektorowe akty prawne Unii powinny należycie uwzględniać definicje oraz ramy nadzoru i egzekwowania prawa określone w niniejszej dyrektywie.

| (28) | Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (10) należy uznać za sektorowy akt prawny Unii powiązany z niniejszą dyrektywą w odniesieniu do podmiotów finansowych. Zamiast przepisów niniejszej dyrektywy zastosowanie powinny mieć przepisy rozporządzenia (UE) 2022/2554 dotyczące zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi (ICT), zarządzania incydentami związanymi z ICT, a w szczególności zgłaszania poważnych incydentów związanych z ICT, a także testowania operacyjnej odporności cyfrowej, mechanizmów wymiany informacji oraz ryzyka związanego z zewnętrznymi dostawcami ICT. Do podmiotów finansowych objętych rozporządzeniem (UE) 2022/2554 państwa członkowskie nie powinny zatem stosować przepisów niniejszej dyrektywy dotyczących zarządzania ryzykiem w cyberbezpieczeństwie i obowiązków w zakresie zgłaszania incydentów oraz nadzoru i egzekwowania prawa. Jednocześnie istotne jest, aby utrzymać silne relacje i skuteczną wymianę informacji z sektorem finansowym na podstawie niniejszej dyrektywy. W tym celu rozporządzenie (UE) 2022/2554 umożliwia Europejskim Urzędom Nadzoru oraz właściwym organom na podstawie tego rozporządzenia udział w działaniach Grupy Współpracy oraz wymianę informacji i współpracę z pojedynczymi punktami kontaktowymi, a także z CSIRT i właściwymi organami na podstawie niniejszej dyrektywy. Właściwe organy na podstawie rozporządzenia (UE) 2022/2554 powinny także przekazywać dane na temat poważnych incydentów związanych z ICT i, w odpowiednich przypadkach, poważnych cyberzagrożeń także CSIRT, właściwym organom lub pojedynczym punktom kontaktowym na podstawie niniejszej dyrektywy. Można to osiągnąć przez zapewnienie natychmiastowego dostępu do zgłoszeń incydentów i ich bezpośrednie przekazywanie bezpośrednio lub za pośrednictwem pojedynczego punktu. Ponadto państwa członkowskie powinny w dalszym ciągu uwzględniać sektor finansowy w swoich strategiach cyberbezpieczeństwa, a CSIRT mogą objąć go swoimi działaniami. |
| --- | --- |

(28)

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (10) należy uznać za sektorowy akt prawny Unii powiązany z niniejszą dyrektywą w odniesieniu do podmiotów finansowych. Zamiast przepisów niniejszej dyrektywy zastosowanie powinny mieć przepisy rozporządzenia (UE) 2022/2554 dotyczące zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi (ICT), zarządzania incydentami związanymi z ICT, a w szczególności zgłaszania poważnych incydentów związanych z ICT, a także testowania operacyjnej odporności cyfrowej, mechanizmów wymiany informacji oraz ryzyka związanego z zewnętrznymi dostawcami ICT. Do podmiotów finansowych objętych rozporządzeniem (UE) 2022/2554 państwa członkowskie nie powinny zatem stosować przepisów niniejszej dyrektywy dotyczących zarządzania ryzykiem w cyberbezpieczeństwie i obowiązków w zakresie zgłaszania incydentów oraz nadzoru i egzekwowania prawa. Jednocześnie istotne jest, aby utrzymać silne relacje i skuteczną wymianę informacji z sektorem finansowym na podstawie niniejszej dyrektywy. W tym celu rozporządzenie (UE) 2022/2554 umożliwia Europejskim Urzędom Nadzoru oraz właściwym organom na podstawie tego rozporządzenia udział w działaniach Grupy Współpracy oraz wymianę informacji i współpracę z pojedynczymi punktami kontaktowymi, a także z CSIRT i właściwymi organami na podstawie niniejszej dyrektywy. Właściwe organy na podstawie rozporządzenia (UE) 2022/2554 powinny także przekazywać dane na temat poważnych incydentów związanych z ICT i, w odpowiednich przypadkach, poważnych cyberzagrożeń także CSIRT, właściwym organom lub pojedynczym punktom kontaktowym na podstawie niniejszej dyrektywy. Można to osiągnąć przez zapewnienie natychmiastowego dostępu do zgłoszeń incydentów i ich bezpośrednie przekazywanie bezpośrednio lub za pośrednictwem pojedynczego punktu. Ponadto państwa członkowskie powinny w dalszym ciągu uwzględniać sektor finansowy w swoich strategiach cyberbezpieczeństwa, a CSIRT mogą objąć go swoimi działaniami.

| (29) | Aby uniknąć luk w obowiązkach lub powielania obowiązków dotyczących cyberbezpieczeństwa nałożonych na podmioty w sektorze lotnictwa, organy krajowe na podstawie rozporządzeń Parlamentu Europejskiego i Rady (WE) nr 300/2008 (11) i (UE) 2018/1139 (12) oraz właściwe organy na podstawie niniejszej dyrektywy powinny współpracować przy wdrażaniu środków zarządzania ryzykiem w cyberbezpieczeństwie oraz przy nadzorowaniu przestrzegania tych środków na poziomie krajowym. Spełnienie przez podmiot wymogów bezpieczeństwa określonych w rozporządzeniach (WE) nr 300/2008 i (UE) 2018/1139 oraz w odpowiednich aktach delegowanych i wykonawczych przyjętych na podstawie tych rozporządzeń może zostać uznane przez właściwe organy na podstawie niniejszej dyrektywy za spełnienie odpowiednich wymogów określonych w niniejszej dyrektywie. |
| --- | --- |

(29)

Aby uniknąć luk w obowiązkach lub powielania obowiązków dotyczących cyberbezpieczeństwa nałożonych na podmioty w sektorze lotnictwa, organy krajowe na podstawie rozporządzeń Parlamentu Europejskiego i Rady (WE) nr 300/2008 (11) i (UE) 2018/1139 (12) oraz właściwe organy na podstawie niniejszej dyrektywy powinny współpracować przy wdrażaniu środków zarządzania ryzykiem w cyberbezpieczeństwie oraz przy nadzorowaniu przestrzegania tych środków na poziomie krajowym. Spełnienie przez podmiot wymogów bezpieczeństwa określonych w rozporządzeniach (WE) nr 300/2008 i (UE) 2018/1139 oraz w odpowiednich aktach delegowanych i wykonawczych przyjętych na podstawie tych rozporządzeń może zostać uznane przez właściwe organy na podstawie niniejszej dyrektywy za spełnienie odpowiednich wymogów określonych w niniejszej dyrektywie.

| (30) | Zważywszy na powiązania między cyberbezpieczeństwem a bezpieczeństwem fizycznym podmiotów, należy zapewnić spójność podejścia między dyrektywą Parlamentu Europejskiego i Rady (UE) 2022/2557 (13) a niniejszą dyrektywą. W tym celu podmioty zidentyfikowane jako podmioty krytyczne na mocy dyrektywy (UE) 2022/2557 powinny być uznawane za podmioty kluczowe na podstawie niniejszej dyrektywy. Ponadto każde państwo członkowskie powinno zapewnić, aby w jego krajowej strategii dotyczącej cyberbezpieczeństwa przewidziano ramy polityki umożliwiające zwiększoną koordynację w obrębie tego państwa członkowskiego między jego właściwymi organami na podstawie niniejszej dyrektywy i tymi na podstawie dyrektywy (UE) 2022/2557 w kontekście wymiany informacji na temat ryzyka, cyberzagrożeń i incydentów, a także ryzyka, cyberzagrożeń i incydentów poza cyberprzestrzenią, a także wykonywania zadań nadzorczych. Właściwe organy na podstawie niniejszej dyrektywy i te na podstawie dyrektywy (UE) 2022/2557 powinny ze sobą współpracować i wymieniać się informacjami bez zbędnej zwłoki, w szczególności w odniesieniu do identyfikacji podmiotów krytycznych, ryzyka, zagrożenia i incydentów w cyberprzestrzeni oraz ryzyka, zagrożeń i incydentów poza cyberprzestrzenią wpływających na podmioty krytyczne, co obejmuje środki dotyczące cyberbezpieczeństwa i środki fizyczne stosowane przez podmioty krytyczne, a także wyniki działań nadzorczych przeprowadzonych wobec takich podmiotów.
  Ponadto aby usprawnić działania nadzorcze między właściwymi organami na podstawie niniejszej dyrektywy oraz tymi na podstawie dyrektywy (UE) 2022/2557 oraz zminimalizować obciążenie administracyjne podmiotów, których to dotyczy, te właściwe organy powinny starać się zharmonizować wzory zgłoszeń incydentów i procesy nadzorcze. W stosownych przypadkach właściwe organy działające na podstawie dyrektywy (UE) 2022/2557 powinny móc zwrócić się do właściwych organów na podstawie niniejszej dyrektywy, aby wykonały swoje uprawnienia nadzorcze i wykonawcze w stosunku do podmiotu, który został zidentyfikowany jako podmiot krytyczny na podstawie dyrektywy (UE) 2022/2557. Właściwe organy na podstawie niniejszej dyrektywy i te na podstawie dyrektywy (UE) 2022/2557 powinny, w miarę możliwości w czasie rzeczywistym, współpracować i prowadzić wymianę informacji w tym celu. |
| --- | --- |

(30)

Zważywszy na powiązania między cyberbezpieczeństwem a bezpieczeństwem fizycznym podmiotów, należy zapewnić spójność podejścia między dyrektywą Parlamentu Europejskiego i Rady (UE) 2022/2557 (13) a niniejszą dyrektywą. W tym celu podmioty zidentyfikowane jako podmioty krytyczne na mocy dyrektywy (UE) 2022/2557 powinny być uznawane za podmioty kluczowe na podstawie niniejszej dyrektywy. Ponadto każde państwo członkowskie powinno zapewnić, aby w jego krajowej strategii dotyczącej cyberbezpieczeństwa przewidziano ramy polityki umożliwiające zwiększoną koordynację w obrębie tego państwa członkowskiego między jego właściwymi organami na podstawie niniejszej dyrektywy i tymi na podstawie dyrektywy (UE) 2022/2557 w kontekście wymiany informacji na temat ryzyka, cyberzagrożeń i incydentów, a także ryzyka, cyberzagrożeń i incydentów poza cyberprzestrzenią, a także wykonywania zadań nadzorczych. Właściwe organy na podstawie niniejszej dyrektywy i te na podstawie dyrektywy (UE) 2022/2557 powinny ze sobą współpracować i wymieniać się informacjami bez zbędnej zwłoki, w szczególności w odniesieniu do identyfikacji podmiotów krytycznych, ryzyka, zagrożenia i incydentów w cyberprzestrzeni oraz ryzyka, zagrożeń i incydentów poza cyberprzestrzenią wpływających na podmioty krytyczne, co obejmuje środki dotyczące cyberbezpieczeństwa i środki fizyczne stosowane przez podmioty krytyczne, a także wyniki działań nadzorczych przeprowadzonych wobec takich podmiotów.

Ponadto aby usprawnić działania nadzorcze między właściwymi organami na podstawie niniejszej dyrektywy oraz tymi na podstawie dyrektywy (UE) 2022/2557 oraz zminimalizować obciążenie administracyjne podmiotów, których to dotyczy, te właściwe organy powinny starać się zharmonizować wzory zgłoszeń incydentów i procesy nadzorcze. W stosownych przypadkach właściwe organy działające na podstawie dyrektywy (UE) 2022/2557 powinny móc zwrócić się do właściwych organów na podstawie niniejszej dyrektywy, aby wykonały swoje uprawnienia nadzorcze i wykonawcze w stosunku do podmiotu, który został zidentyfikowany jako podmiot krytyczny na podstawie dyrektywy (UE) 2022/2557. Właściwe organy na podstawie niniejszej dyrektywy i te na podstawie dyrektywy (UE) 2022/2557 powinny, w miarę możliwości w czasie rzeczywistym, współpracować i prowadzić wymianę informacji w tym celu.

| (31) | Podmioty należące do sektora infrastruktury cyfrowej opierają się zasadniczo na sieciach i systemach informatycznych, w związku z czym obowiązki nałożone na te podmioty na mocy niniejszej dyrektywy powinny w kompleksowy sposób odnosić się do bezpieczeństwa fizycznego takich systemów, w ramach środków zarządzania ryzykiem w cyberbezpieczeństwie stosowanych przez te podmioty i ich obowiązków w zakresie zgłaszania incydentów. Ponieważ kwestie te są objęte niniejszą dyrektywą, obowiązki określone w rozdziałach III, IV i VI dyrektywy (UE) 2022/2557 nie mają zastosowania do takich podmiotów. |
| --- | --- |

(31)

Podmioty należące do sektora infrastruktury cyfrowej opierają się zasadniczo na sieciach i systemach informatycznych, w związku z czym obowiązki nałożone na te podmioty na mocy niniejszej dyrektywy powinny w kompleksowy sposób odnosić się do bezpieczeństwa fizycznego takich systemów, w ramach środków zarządzania ryzykiem w cyberbezpieczeństwie stosowanych przez te podmioty i ich obowiązków w zakresie zgłaszania incydentów. Ponieważ kwestie te są objęte niniejszą dyrektywą, obowiązki określone w rozdziałach III, IV i VI dyrektywy (UE) 2022/2557 nie mają zastosowania do takich podmiotów.

| (32) | Utrzymywanie i zachowanie wiarygodnego, odpornego i bezpiecznego systemu nazw domen (DNS) należy do kluczowych czynników umożliwiających utrzymanie integralności internetu oraz ma istotne znaczenie dla jego nieprzerwanego i stabilnego działania, od którego zależą gospodarka cyfrowa i społeczeństwo cyfrowe. Dlatego niniejsza dyrektywa powinna mieć zastosowanie do rejestrów nazw domen najwyższego poziomu (TLD) i do dostawców usług DNS, których należy rozumieć jako podmioty dostarczające dostępne publicznie rekurencyjne usługi rozpoznawania nazw domen dla użytkowników końcowych internetu lub autorytatywne usługi rozpoznawania nazw domen na użytek osób trzecich. Niniejsza dyrektywa nie powinna mieć zastosowania do głównych serwerów nazw (ang. root name servers). |
| --- | --- |

(32)

Utrzymywanie i zachowanie wiarygodnego, odpornego i bezpiecznego systemu nazw domen (DNS) należy do kluczowych czynników umożliwiających utrzymanie integralności internetu oraz ma istotne znaczenie dla jego nieprzerwanego i stabilnego działania, od którego zależą gospodarka cyfrowa i społeczeństwo cyfrowe. Dlatego niniejsza dyrektywa powinna mieć zastosowanie do rejestrów nazw domen najwyższego poziomu (TLD) i do dostawców usług DNS, których należy rozumieć jako podmioty dostarczające dostępne publicznie rekurencyjne usługi rozpoznawania nazw domen dla użytkowników końcowych internetu lub autorytatywne usługi rozpoznawania nazw domen na użytek osób trzecich. Niniejsza dyrektywa nie powinna mieć zastosowania do głównych serwerów nazw (ang. root name servers).

| (33) | Usługi chmurowe powinny obejmować usługi cyfrowe umożliwiające administrowanie na żądanie skalowalnym i elastycznym zbiorem rozproszonych zasobów obliczeniowych do wspólnego wykorzystywania oraz szeroki dostęp zdalny do tego zbioru, w tym gdy takie zasoby są rozmieszczone w kilku lokalizacjach. Zasoby obliczeniowe obejmują zasoby takie jak sieci, serwery lub inna infrastruktura, systemy operacyjne, oprogramowanie, pamięć masowa, aplikacje i usługi. Do modeli usług chmurowych należą m.in. infrastruktura jako usługa (IaaS), platforma jako usługa (PaaS), oprogramowanie jako usługa (SaaS) oraz sieć jako usługa (NaaS). Modele rozmieszczenia usług chmurowych powinny obejmować chmury prywatne, zbiorowe, publiczne i hybrydowe. Modele usług chmurowych i modele rozmieszczenia oznaczają to samo co usługi i modele ich realizacji zdefiniowane w normie ISO/IEC 17788:2014. Zdolność użytkowników usług chmurowych do jednostronnego zapewnienia sobie możliwości obliczeniowych, takich jak czas serwera lub magazyn sieciowy, bez żadnej interakcji z udziałem człowieka ze strony dostawcy usług chmurowych można określić jako administrowanie na żądanie.
  Terminu „szeroki dostęp zdalny” używa się do opisu sytuacji, gdy zasoby chmurowe są udostępniane przez sieć, a dostęp do nich jest możliwy za pośrednictwem mechanizmów sprzyjających wykorzystywaniu różnorodnych platform typu thin client lub thick client, w tym telefonów komórkowych, tabletów, laptopów oraz stacji roboczych. Termin „skalowalne” odnosi się do zasobów komputerowych, które są elastycznie przydzielane przez dostawcę usługi niezależnie od położenia geograficznego zasobów w reakcji na fluktuacje zapotrzebowania. Terminu „elastyczny zbiór” używa się do opisu zasobów obliczeniowych, które są dostarczane i uwalniane według zapotrzebowania, aby szybko zwiększać i zmniejszać dostępne zasoby w zależności od obciążenia. Terminu „wspólnie wykorzystywane” używa się do opisu zasobów obliczeniowych udostępnianych wielu użytkownikom, którzy dzielą wspólny dostęp do usługi, jednak przetwarzanie odbywa się oddzielnie dla każdego z użytkowników, choć usługa jest świadczona z tego samego sprzętu elektronicznego. Terminu „rozproszone” używa się do opisu zasobów obliczeniowych zlokalizowanych na różnych komputerach lub urządzeniach połączonych w sieć, które komunikują się ze sobą i koordynują swoją pracę przez przekazywanie komunikatów. |
| --- | --- |

(33)

Usługi chmurowe powinny obejmować usługi cyfrowe umożliwiające administrowanie na żądanie skalowalnym i elastycznym zbiorem rozproszonych zasobów obliczeniowych do wspólnego wykorzystywania oraz szeroki dostęp zdalny do tego zbioru, w tym gdy takie zasoby są rozmieszczone w kilku lokalizacjach. Zasoby obliczeniowe obejmują zasoby takie jak sieci, serwery lub inna infrastruktura, systemy operacyjne, oprogramowanie, pamięć masowa, aplikacje i usługi. Do modeli usług chmurowych należą m.in. infrastruktura jako usługa (IaaS), platforma jako usługa (PaaS), oprogramowanie jako usługa (SaaS) oraz sieć jako usługa (NaaS). Modele rozmieszczenia usług chmurowych powinny obejmować chmury prywatne, zbiorowe, publiczne i hybrydowe. Modele usług chmurowych i modele rozmieszczenia oznaczają to samo co usługi i modele ich realizacji zdefiniowane w normie ISO/IEC 17788:2014. Zdolność użytkowników usług chmurowych do jednostronnego zapewnienia sobie możliwości obliczeniowych, takich jak czas serwera lub magazyn sieciowy, bez żadnej interakcji z udziałem człowieka ze strony dostawcy usług chmurowych można określić jako administrowanie na żądanie.

Terminu „szeroki dostęp zdalny” używa się do opisu sytuacji, gdy zasoby chmurowe są udostępniane przez sieć, a dostęp do nich jest możliwy za pośrednictwem mechanizmów sprzyjających wykorzystywaniu różnorodnych platform typu thin client lub thick client, w tym telefonów komórkowych, tabletów, laptopów oraz stacji roboczych. Termin „skalowalne” odnosi się do zasobów komputerowych, które są elastycznie przydzielane przez dostawcę usługi niezależnie od położenia geograficznego zasobów w reakcji na fluktuacje zapotrzebowania. Terminu „elastyczny zbiór” używa się do opisu zasobów obliczeniowych, które są dostarczane i uwalniane według zapotrzebowania, aby szybko zwiększać i zmniejszać dostępne zasoby w zależności od obciążenia. Terminu „wspólnie wykorzystywane” używa się do opisu zasobów obliczeniowych udostępnianych wielu użytkownikom, którzy dzielą wspólny dostęp do usługi, jednak przetwarzanie odbywa się oddzielnie dla każdego z użytkowników, choć usługa jest świadczona z tego samego sprzętu elektronicznego. Terminu „rozproszone” używa się do opisu zasobów obliczeniowych zlokalizowanych na różnych komputerach lub urządzeniach połączonych w sieć, które komunikują się ze sobą i koordynują swoją pracę przez przekazywanie komunikatów.

| (34) | Zważywszy na pojawianie się innowacyjnych technologii i nowych modeli biznesowych, oczekuje się, że w odpowiedzi na zmieniające się potrzeby klientów nowe modele usług chmurowych i modele rozmieszczenia zaistnieją na rynku wewnętrznym. W tym kontekście usługi chmurowe mogą być świadczone w sposób wysoce rozproszony, jeszcze bliżej miejsca generowania lub gromadzenia danych, co będzie wiązać się z przejściem od modelu tradycyjnego do modelu wysoce rozproszonego (przetwarzanie danych na obrzeżach sieci). |
| --- | --- |

(34)

Zważywszy na pojawianie się innowacyjnych technologii i nowych modeli biznesowych, oczekuje się, że w odpowiedzi na zmieniające się potrzeby klientów nowe modele usług chmurowych i modele rozmieszczenia zaistnieją na rynku wewnętrznym. W tym kontekście usługi chmurowe mogą być świadczone w sposób wysoce rozproszony, jeszcze bliżej miejsca generowania lub gromadzenia danych, co będzie wiązać się z przejściem od modelu tradycyjnego do modelu wysoce rozproszonego (przetwarzanie danych na obrzeżach sieci).

| (35) | Usługi oferowane przez dostawców usług ośrodka przetwarzania danych nie zawsze muszą być świadczone w postaci usług chmurowych. Przetwarzanie danych nie zawsze musi zatem stanowić element infrastruktury usług chmurowych. W celu zarządzania ogółem ryzyka dla bezpieczeństwa sieci i systemów informatycznych niniejsza dyrektywa powinna zatem obejmować dostawców usług ośrodka przetwarzania danych niebędących usługami chmurowymi. Do celów niniejszej dyrektywy termin „usługa ośrodka przetwarzania danych” powinien obejmować świadczenie usługi, w skład której wchodzą struktury lub grupy struktur służące scentralizowanemu hostingowi, wzajemnym połączeniom i eksploatacji sprzętu informatycznego i sieciowego służącego do przechowywania, przetwarzania i transportu danych wraz z całością obiektów i infrastruktury zapewniających dystrybucję energii elektrycznej i kontrolę środowiskową. Terminu „usługa ośrodka przetwarzania danych” nie należy stosować w odniesieniu do wewnętrznych, korporacyjnych ośrodków przetwarzania danych będących własnością danego podmiotu i eksploatowanych przez niego na własne potrzeby. |
| --- | --- |

(35)

Usługi oferowane przez dostawców usług ośrodka przetwarzania danych nie zawsze muszą być świadczone w postaci usług chmurowych. Przetwarzanie danych nie zawsze musi zatem stanowić element infrastruktury usług chmurowych. W celu zarządzania ogółem ryzyka dla bezpieczeństwa sieci i systemów informatycznych niniejsza dyrektywa powinna zatem obejmować dostawców usług ośrodka przetwarzania danych niebędących usługami chmurowymi. Do celów niniejszej dyrektywy termin „usługa ośrodka przetwarzania danych” powinien obejmować świadczenie usługi, w skład której wchodzą struktury lub grupy struktur służące scentralizowanemu hostingowi, wzajemnym połączeniom i eksploatacji sprzętu informatycznego i sieciowego służącego do przechowywania, przetwarzania i transportu danych wraz z całością obiektów i infrastruktury zapewniających dystrybucję energii elektrycznej i kontrolę środowiskową. Terminu „usługa ośrodka przetwarzania danych” nie należy stosować w odniesieniu do wewnętrznych, korporacyjnych ośrodków przetwarzania danych będących własnością danego podmiotu i eksploatowanych przez niego na własne potrzeby.

| (36) | Działania badawcze odgrywają kluczową rolę w rozwoju nowych produktów i procesów. Wiele z tych działań jest prowadzonych przez podmioty, które udostępniają, rozpowszechniają lub wykorzystują wyniki swoich badań do celów handlowych. Podmioty te mogą zatem być ważnymi uczestnikami łańcuchów wartości, co sprawia, że bezpieczeństwo ich sieci i systemów informatycznych stanowi integralną część ogólnego cyberbezpieczeństwa rynku wewnętrznego. Organizacje badawcze należy rozumieć jako obejmujące podmioty, które koncentrują zasadniczą część swojej działalności na prowadzeniu badań stosowanych lub eksperymentalnych prac rozwojowych w rozumieniu Podręcznika Frascati Organizacji Współpracy Gospodarczej i Rozwoju z 2015 r.: Wytyczne dotyczące gromadzenia i prezentowania danych z badań i eksperymentalnych prac rozwojowych z myślą o wykorzystaniu ich wyników do celów handlowych, takich jak wytwarzanie lub rozwój produktu lub procesu, świadczenie usługi lub jego wprowadzanie do obrotu. |
| --- | --- |

(36)

Działania badawcze odgrywają kluczową rolę w rozwoju nowych produktów i procesów. Wiele z tych działań jest prowadzonych przez podmioty, które udostępniają, rozpowszechniają lub wykorzystują wyniki swoich badań do celów handlowych. Podmioty te mogą zatem być ważnymi uczestnikami łańcuchów wartości, co sprawia, że bezpieczeństwo ich sieci i systemów informatycznych stanowi integralną część ogólnego cyberbezpieczeństwa rynku wewnętrznego. Organizacje badawcze należy rozumieć jako obejmujące podmioty, które koncentrują zasadniczą część swojej działalności na prowadzeniu badań stosowanych lub eksperymentalnych prac rozwojowych w rozumieniu Podręcznika Frascati Organizacji Współpracy Gospodarczej i Rozwoju z 2015 r.: Wytyczne dotyczące gromadzenia i prezentowania danych z badań i eksperymentalnych prac rozwojowych z myślą o wykorzystaniu ich wyników do celów handlowych, takich jak wytwarzanie lub rozwój produktu lub procesu, świadczenie usługi lub jego wprowadzanie do obrotu.

| (37) | Coraz większe współzależności wynikają z coraz bardziej transgranicznej i współzależnej sieci świadczenia usług, wykorzystującej kluczową infrastrukturę w całej Unii w sektorach takich jak energetyka, transport, infrastruktura cyfrowa, woda pitna i ścieki, zdrowie, niektóre aspekty administracji publicznej, a także przestrzeni kosmicznej, jeżeli chodzi o świadczenie niektórych usług zależnych od naziemnej infrastruktury, która jest własnością państw członkowskich albo podmiotów prywatnych oraz jest przez nie zarządzana i obsługiwana, a zatem nieobejmującej infrastruktury, która jest własnością Unii lub podmiotów działających w jej imieniu lub jest zarządzana lub obsługiwana przez Unię lub podmioty działające w jej imieniu w ramach jej programu kosmicznego. Wspomniane współzależności oznaczają, że każde zakłócenie, nawet początkowo ograniczające się do jednego podmiotu lub jednego sektora, może wywołać szerzej zakrojony efekt kaskadowy, którego potencjalne negatywne skutki dla świadczenia usług na całym rynku wewnętrznym mogą być dalekosiężne i długotrwałe. Nasilone cyberataki podczas pandemii COVID-19 uwydatniły podatność coraz bardziej współzależnych społeczeństw w obliczu ryzyka o niskim prawdopodobieństwie wystąpienia. |
| --- | --- |

(37)

Coraz większe współzależności wynikają z coraz bardziej transgranicznej i współzależnej sieci świadczenia usług, wykorzystującej kluczową infrastrukturę w całej Unii w sektorach takich jak energetyka, transport, infrastruktura cyfrowa, woda pitna i ścieki, zdrowie, niektóre aspekty administracji publicznej, a także przestrzeni kosmicznej, jeżeli chodzi o świadczenie niektórych usług zależnych od naziemnej infrastruktury, która jest własnością państw członkowskich albo podmiotów prywatnych oraz jest przez nie zarządzana i obsługiwana, a zatem nieobejmującej infrastruktury, która jest własnością Unii lub podmiotów działających w jej imieniu lub jest zarządzana lub obsługiwana przez Unię lub podmioty działające w jej imieniu w ramach jej programu kosmicznego. Wspomniane współzależności oznaczają, że każde zakłócenie, nawet początkowo ograniczające się do jednego podmiotu lub jednego sektora, może wywołać szerzej zakrojony efekt kaskadowy, którego potencjalne negatywne skutki dla świadczenia usług na całym rynku wewnętrznym mogą być dalekosiężne i długotrwałe. Nasilone cyberataki podczas pandemii COVID-19 uwydatniły podatność coraz bardziej współzależnych społeczeństw w obliczu ryzyka o niskim prawdopodobieństwie wystąpienia.

| (38) | Z uwagi na różnice w krajowych strukturach zarządzania oraz aby zabezpieczyć obowiązujące już ustalenia sektorowe lub unijne organy nadzorcze i regulacyjne, państwa członkowskie powinny móc wyznaczyć lub ustanowić co najmniej jeden właściwy organ odpowiedzialny za cyberbezpieczeństwo i zadania nadzorcze na podstawie niniejszej dyrektywy. |
| --- | --- |

(38)

Z uwagi na różnice w krajowych strukturach zarządzania oraz aby zabezpieczyć obowiązujące już ustalenia sektorowe lub unijne organy nadzorcze i regulacyjne, państwa członkowskie powinny móc wyznaczyć lub ustanowić co najmniej jeden właściwy organ odpowiedzialny za cyberbezpieczeństwo i zadania nadzorcze na podstawie niniejszej dyrektywy.

| (39) | Aby ułatwić współpracę i komunikację transgraniczną między organami oraz umożliwić skuteczne wprowadzenie w życie niniejszej dyrektywy, niezbędne jest, by każde państwo członkowskie wyznaczyło pojedynczy punkt kontaktowy odpowiedzialny za koordynację kwestii związanych z bezpieczeństwem sieci i systemów informatycznych oraz współpracą transgraniczną na poziomie Unii. |
| --- | --- |

(39)

Aby ułatwić współpracę i komunikację transgraniczną między organami oraz umożliwić skuteczne wprowadzenie w życie niniejszej dyrektywy, niezbędne jest, by każde państwo członkowskie wyznaczyło pojedynczy punkt kontaktowy odpowiedzialny za koordynację kwestii związanych z bezpieczeństwem sieci i systemów informatycznych oraz współpracą transgraniczną na poziomie Unii.

| (40) | Pojedyncze punkty kontaktowe powinny zapewniać skuteczną współpracę transgraniczną z właściwymi organami innych państw członkowskich oraz, w stosownych przypadkach, z Komisją i ENISA. Pojedynczym punktom kontaktowym należy zatem powierzyć zadanie przekazywania zgłoszeń poważnych incydentów mających skutki transgraniczne pojedynczym punktom kontaktowym innych państw członkowskich, których dany incydent dotyczy, na wniosek CSIRT lub właściwego organu. Na poziomie krajowym pojedyncze punkty kontaktowe powinny umożliwiać sprawną współpracę międzysektorową z innymi właściwymi organami. Pojedyncze punkty kontaktowe mogłyby być również odbierać stosowne informacje na temat incydentów dotyczących podmiotów finansowych przekazywane przez właściwe organy na mocy rozporządzenia (UE) 2022/2554 i powinny być w stanie przekazywać te informacje, stosownie do przypadku, CSIRT lub właściwym organom na podstawie niniejszej dyrektywy. |
| --- | --- |

(40)

Pojedyncze punkty kontaktowe powinny zapewniać skuteczną współpracę transgraniczną z właściwymi organami innych państw członkowskich oraz, w stosownych przypadkach, z Komisją i ENISA. Pojedynczym punktom kontaktowym należy zatem powierzyć zadanie przekazywania zgłoszeń poważnych incydentów mających skutki transgraniczne pojedynczym punktom kontaktowym innych państw członkowskich, których dany incydent dotyczy, na wniosek CSIRT lub właściwego organu. Na poziomie krajowym pojedyncze punkty kontaktowe powinny umożliwiać sprawną współpracę międzysektorową z innymi właściwymi organami. Pojedyncze punkty kontaktowe mogłyby być również odbierać stosowne informacje na temat incydentów dotyczących podmiotów finansowych przekazywane przez właściwe organy na mocy rozporządzenia (UE) 2022/2554 i powinny być w stanie przekazywać te informacje, stosownie do przypadku, CSIRT lub właściwym organom na podstawie niniejszej dyrektywy.

| (41) | Państwa członkowskie powinny być odpowiednio wyposażone, zarówno pod względem zdolności technicznych, jak i możliwości organizacyjnych, aby zapobiegać incydentom i ryzyku, wykrywać je, reagować na nie i przywracać normalne działanie po ich wystąpieniu oraz łagodzić ich skutki. Państwa członkowskie powinny zatem ustanowić lub wyznaczyć co najmniej jeden CSIRT na podstawie niniejszej dyrektywy oraz zapewnić im odpowiednie zasoby i możliwości techniczne. CSIRT powinny spełniać wymogi określone w niniejszej dyrektywie, aby zagwarantować efektywne i kompatybilne zdolności w zakresie postępowania z incydentami i ryzykiem oraz zapewnić skuteczną współpracę na poziomie Unii. Państwa członkowskie powinny móc wyznaczyć jako CSIRT również istniejące zespoły reagowania na incydenty komputerowe (CERT). Aby zwiększyć zaufanie między podmiotami a CSIRT, jeżeli dany CSIRT funkcjonuje w ramach właściwego organu, państwa członkowskie powinny móc rozważyć funkcjonalne rozdzielenie zadań operacyjnych wykonywanych przez CSIRT – w szczególności odnoszących się do przekazywania informacji i do wspomagania podmiotów – od działań nadzorczych właściwych organów. |
| --- | --- |

(41)

Państwa członkowskie powinny być odpowiednio wyposażone, zarówno pod względem zdolności technicznych, jak i możliwości organizacyjnych, aby zapobiegać incydentom i ryzyku, wykrywać je, reagować na nie i przywracać normalne działanie po ich wystąpieniu oraz łagodzić ich skutki. Państwa członkowskie powinny zatem ustanowić lub wyznaczyć co najmniej jeden CSIRT na podstawie niniejszej dyrektywy oraz zapewnić im odpowiednie zasoby i możliwości techniczne. CSIRT powinny spełniać wymogi określone w niniejszej dyrektywie, aby zagwarantować efektywne i kompatybilne zdolności w zakresie postępowania z incydentami i ryzykiem oraz zapewnić skuteczną współpracę na poziomie Unii. Państwa członkowskie powinny móc wyznaczyć jako CSIRT również istniejące zespoły reagowania na incydenty komputerowe (CERT). Aby zwiększyć zaufanie między podmiotami a CSIRT, jeżeli dany CSIRT funkcjonuje w ramach właściwego organu, państwa członkowskie powinny móc rozważyć funkcjonalne rozdzielenie zadań operacyjnych wykonywanych przez CSIRT – w szczególności odnoszących się do przekazywania informacji i do wspomagania podmiotów – od działań nadzorczych właściwych organów.

| (42) | Zadaniem CSIRT jest obsługa incydentów. Obejmuje ono przetwarzanie dużych ilości danych, w niektórych przypadkach danych szczególnie chronionych. Państwa członkowskie powinny zapewnić, aby CSIRT dysponowały infrastrukturą służącą do wymiany i przetwarzania informacji, a także odpowiednio wyposażonym personelem, co zapewni poufność i wiarygodność ich operacji. CSIRT mogłyby również przyjąć kodeksy postępowania w tym zakresie. |
| --- | --- |

(42)

Zadaniem CSIRT jest obsługa incydentów. Obejmuje ono przetwarzanie dużych ilości danych, w niektórych przypadkach danych szczególnie chronionych. Państwa członkowskie powinny zapewnić, aby CSIRT dysponowały infrastrukturą służącą do wymiany i przetwarzania informacji, a także odpowiednio wyposażonym personelem, co zapewni poufność i wiarygodność ich operacji. CSIRT mogłyby również przyjąć kodeksy postępowania w tym zakresie.

| (43) | Jeżeli chodzi o dane osobowe, CSIRT powinny być w stanie zapewnić zgodnie z rozporządzeniem (UE) 2016/679 – na wniosek kluczowego lub ważnego podmiotu, proaktywne skanowanie sieci i systemów informatycznych wykorzystywanych przez te podmioty do świadczenia usług. W odpowiednim przypadku państwa członkowskie powinny dążyć do zapewnienia równego poziomu zdolności technicznych wszystkich sektorowych CSIRT. Państwa członkowskie powinny móc zwrócić się do ENISA o pomoc przy tworzeniu CSIRT. |
| --- | --- |

(43)

Jeżeli chodzi o dane osobowe, CSIRT powinny być w stanie zapewnić zgodnie z rozporządzeniem (UE) 2016/679 – na wniosek kluczowego lub ważnego podmiotu, proaktywne skanowanie sieci i systemów informatycznych wykorzystywanych przez te podmioty do świadczenia usług. W odpowiednim przypadku państwa członkowskie powinny dążyć do zapewnienia równego poziomu zdolności technicznych wszystkich sektorowych CSIRT. Państwa członkowskie powinny móc zwrócić się do ENISA o pomoc przy tworzeniu CSIRT.

| (44) | CSIRT powinny mieć zdolność do monitorowania – na wniosek podmiotu kluczowego lub ważnego –jego aktywów połączonych z internetem, zarówno w należących do niego obiektach, jak i poza nimi, aby zidentyfikować i zrozumieć ogólne ryzyko organizacyjne tego podmiotu związane z nowo zidentyfikowanymi naruszeniami bezpieczeństwa w łańcuchach dostaw lub z podatnościami krytycznymi. Podmiot należy zachęcać do informowania CSIRT o tym, czy korzysta z uprzywilejowanego interfejsu zarządzania, ponieważ mogłoby to wpłynąć na szybkość podejmowania działań łagodzących. |
| --- | --- |

(44)

CSIRT powinny mieć zdolność do monitorowania – na wniosek podmiotu kluczowego lub ważnego –jego aktywów połączonych z internetem, zarówno w należących do niego obiektach, jak i poza nimi, aby zidentyfikować i zrozumieć ogólne ryzyko organizacyjne tego podmiotu związane z nowo zidentyfikowanymi naruszeniami bezpieczeństwa w łańcuchach dostaw lub z podatnościami krytycznymi. Podmiot należy zachęcać do informowania CSIRT o tym, czy korzysta z uprzywilejowanego interfejsu zarządzania, ponieważ mogłoby to wpłynąć na szybkość podejmowania działań łagodzących.

| (45) | Z uwagi na znaczenie współpracy międzynarodowej w dziedzinie cyberbezpieczeństwa CSIRT powinny móc uczestniczyć w międzynarodowych sieciach współpracy, niezależnie od współpracy w sieci CSIRT ustanowionej na mocy niniejszej dyrektywy. Dlatego w celu wykonywania swoich zadań CSIRT i właściwe organy powinny mieć możliwość wymiany informacji, w tym danych osobowych, z krajowymi zespołami reagowania na incydenty bezpieczeństwa komputerowego lub z właściwymi organami państw trzecich, pod warunkiem że spełnione są warunki określone w unijnym prawie dotyczącym ochrony danych w odniesieniu do przekazywania danych osobowych do państw trzecich, między innymi warunki określone w art. 49 rozporządzenia (UE) 2016/679. |
| --- | --- |

(45)

Z uwagi na znaczenie współpracy międzynarodowej w dziedzinie cyberbezpieczeństwa CSIRT powinny móc uczestniczyć w międzynarodowych sieciach współpracy, niezależnie od współpracy w sieci CSIRT ustanowionej na mocy niniejszej dyrektywy. Dlatego w celu wykonywania swoich zadań CSIRT i właściwe organy powinny mieć możliwość wymiany informacji, w tym danych osobowych, z krajowymi zespołami reagowania na incydenty bezpieczeństwa komputerowego lub z właściwymi organami państw trzecich, pod warunkiem że spełnione są warunki określone w unijnym prawie dotyczącym ochrony danych w odniesieniu do przekazywania danych osobowych do państw trzecich, między innymi warunki określone w art. 49 rozporządzenia (UE) 2016/679.

| (46) | Zasadnicze znaczenie ma zapewnienie zasobów do realizacji celów niniejszej dyrektywy oraz do umożliwienia właściwym organom i CSIRT wykonywania ustanowionych w niej zadań. Państwa członkowskie mogą wprowadzić na poziomie krajowym mechanizm finansowania, aby pokryć niezbędne wydatki związane z wykonywaniem zadań przez podmioty publiczne odpowiedzialne za cyberbezpieczeństwo w danym państwie członkowskim na podstawie niniejszej dyrektywy. Taki mechanizm powinien być zgodny z prawem Unii, proporcjonalny i niedyskryminujący, a także powinien uwzględniać różne podejścia do świadczenia bezpiecznych usług. |
| --- | --- |

(46)

Zasadnicze znaczenie ma zapewnienie zasobów do realizacji celów niniejszej dyrektywy oraz do umożliwienia właściwym organom i CSIRT wykonywania ustanowionych w niej zadań. Państwa członkowskie mogą wprowadzić na poziomie krajowym mechanizm finansowania, aby pokryć niezbędne wydatki związane z wykonywaniem zadań przez podmioty publiczne odpowiedzialne za cyberbezpieczeństwo w danym państwie członkowskim na podstawie niniejszej dyrektywy. Taki mechanizm powinien być zgodny z prawem Unii, proporcjonalny i niedyskryminujący, a także powinien uwzględniać różne podejścia do świadczenia bezpiecznych usług.

| (47) | Sieć CSIRT powinna nadal przyczyniać się do zwiększania zaufania i pewności oraz do wspierania szybkiej i skutecznej współpracy operacyjnej między państwami członkowskimi. W celu zacieśnienia współpracy operacyjnej na szczeblu Unii sieć CSIRT powinna rozważyć zaproszenie do udziału w jej pracach organów i agencji Unii zaangażowanych w politykę cyberbezpieczeństwa, takich jak Europol. |
| --- | --- |

(47)

Sieć CSIRT powinna nadal przyczyniać się do zwiększania zaufania i pewności oraz do wspierania szybkiej i skutecznej współpracy operacyjnej między państwami członkowskimi. W celu zacieśnienia współpracy operacyjnej na szczeblu Unii sieć CSIRT powinna rozważyć zaproszenie do udziału w jej pracach organów i agencji Unii zaangażowanych w politykę cyberbezpieczeństwa, takich jak Europol.

| (48) | W celu osiągnięcia i utrzymania wysokiego poziomu cyberbezpieczeństwa krajowe strategie cyberbezpieczeństwa wymagane na podstawie niniejszej dyrektywy powinny składać się ze spójnych ram określających strategiczne cele i priorytety w obszarze cyberbezpieczeństwa oraz sposób zarządzania służący ich osiągnięciu. Strategie te mogą składać się z jednego lub większej liczby aktów ustawodawczych lub nieustawodawczych. |
| --- | --- |

(48)

W celu osiągnięcia i utrzymania wysokiego poziomu cyberbezpieczeństwa krajowe strategie cyberbezpieczeństwa wymagane na podstawie niniejszej dyrektywy powinny składać się ze spójnych ram określających strategiczne cele i priorytety w obszarze cyberbezpieczeństwa oraz sposób zarządzania służący ich osiągnięciu. Strategie te mogą składać się z jednego lub większej liczby aktów ustawodawczych lub nieustawodawczych.

| (49) | Polityka cyberhigieny stanowi podstawę pozwalającą chronić infrastrukturę sieci i systemów informatycznych, bezpieczeństwo sprzętu, oprogramowania i aplikacji internetowych oraz dane przedsiębiorstw lub użytkowników końcowych wykorzystywane przez podmioty. Polityka cyberhigieny obejmująca wspólny podstawowy zestaw praktyk – w tym aktualizacje oprogramowania i sprzętu, zmianę haseł, zarządzanie nowymi instalacjami, ograniczanie kont dostępu na poziomie administratora oraz tworzenie kopii zapasowych danych – umożliwia utworzenie proaktywnych ram gotowości oraz zapewnienie ogólnego bezpieczeństwa i ochrony w razie incydentów lub cyberzagrożeń. ENISA powinna monitorować i analizować politykę państw członkowskich dotyczącą cyberhigieny. |
| --- | --- |

(49)

Polityka cyberhigieny stanowi podstawę pozwalającą chronić infrastrukturę sieci i systemów informatycznych, bezpieczeństwo sprzętu, oprogramowania i aplikacji internetowych oraz dane przedsiębiorstw lub użytkowników końcowych wykorzystywane przez podmioty. Polityka cyberhigieny obejmująca wspólny podstawowy zestaw praktyk – w tym aktualizacje oprogramowania i sprzętu, zmianę haseł, zarządzanie nowymi instalacjami, ograniczanie kont dostępu na poziomie administratora oraz tworzenie kopii zapasowych danych – umożliwia utworzenie proaktywnych ram gotowości oraz zapewnienie ogólnego bezpieczeństwa i ochrony w razie incydentów lub cyberzagrożeń. ENISA powinna monitorować i analizować politykę państw członkowskich dotyczącą cyberhigieny.

| (50) | Świadomość zagadnień cyberbezpieczeństwa i cyberhigiena mają zasadnicze znaczenie dla podniesienia poziomu cyberbezpieczeństwa w Unii, w szczególności w świetle rosnącej liczby urządzeń podłączonych do internetu, które są coraz częściej wykorzystywane w cyberatakach. Należy dołożyć starań, aby zwiększyć ogólną świadomość ryzyka związanego z takimi urządzeniami, zaś oceny na poziomie Unii mogłyby pomóc w zapewnieniu wspólnego rozumienia takich zagrożeń na rynku wewnętrznym. |
| --- | --- |

(50)

Świadomość zagadnień cyberbezpieczeństwa i cyberhigiena mają zasadnicze znaczenie dla podniesienia poziomu cyberbezpieczeństwa w Unii, w szczególności w świetle rosnącej liczby urządzeń podłączonych do internetu, które są coraz częściej wykorzystywane w cyberatakach. Należy dołożyć starań, aby zwiększyć ogólną świadomość ryzyka związanego z takimi urządzeniami, zaś oceny na poziomie Unii mogłyby pomóc w zapewnieniu wspólnego rozumienia takich zagrożeń na rynku wewnętrznym.

| (51) | Państwa członkowskie powinny zachęcać do korzystania z innowacyjnych technologii, w tym sztucznej inteligencji, których stosowanie mogłoby poprawić wykrywanie cyberataków i zapobieganie im, umożliwiając skuteczniejsze przekierowywanie zasobów na cyberataki. W krajowych strategiach cyberbezpieczeństwa państwa członkowskie powinny zatem zachęcać do działań badawczo-rozwojowych mających ułatwiać korzystanie z takich technologii, w szczególności technologii związanych z automatycznymi lub półautomatycznymi narzędziami w dziedzinie cyberbezpieczeństwa, oraz, w stosownych przypadkach, wymianę danych potrzebnych do szkolenia użytkowników takiej technologii i do jej doskonalenia. Stosowanie innowacyjnych technologii, w tym sztucznej inteligencji, powinno być zgodne z unijnymi przepisami o ochronie danych, w tym z zasadami ochrony danych zakładającymi dokładność danych, minimalizację danych, uczciwość i przejrzystość oraz z wymogami bezpieczeństwa danych, takimi jak najnowocześniejsze dostępne szyfrowanie. Należy w pełni wykorzystywać wymogi dotyczące uwzględniania ochrony danych w fazie projektowania, a które zostały określone jako domyślne w rozporządzeniu (UE) 2016/679 |
| --- | --- |

(51)

Państwa członkowskie powinny zachęcać do korzystania z innowacyjnych technologii, w tym sztucznej inteligencji, których stosowanie mogłoby poprawić wykrywanie cyberataków i zapobieganie im, umożliwiając skuteczniejsze przekierowywanie zasobów na cyberataki. W krajowych strategiach cyberbezpieczeństwa państwa członkowskie powinny zatem zachęcać do działań badawczo-rozwojowych mających ułatwiać korzystanie z takich technologii, w szczególności technologii związanych z automatycznymi lub półautomatycznymi narzędziami w dziedzinie cyberbezpieczeństwa, oraz, w stosownych przypadkach, wymianę danych potrzebnych do szkolenia użytkowników takiej technologii i do jej doskonalenia. Stosowanie innowacyjnych technologii, w tym sztucznej inteligencji, powinno być zgodne z unijnymi przepisami o ochronie danych, w tym z zasadami ochrony danych zakładającymi dokładność danych, minimalizację danych, uczciwość i przejrzystość oraz z wymogami bezpieczeństwa danych, takimi jak najnowocześniejsze dostępne szyfrowanie. Należy w pełni wykorzystywać wymogi dotyczące uwzględniania ochrony danych w fazie projektowania, a które zostały określone jako domyślne w rozporządzeniu (UE) 2016/679

| (52) | Narzędzia i aplikacje z zakresu cyberbezpieczeństwa oparte na oprogramowaniu otwartym mogą przyczyniać się do zwiększenia otwartości i pozytywnie wpływać na skuteczność innowacji przemysłowych. Standardy otwarte ułatwiają interoperacyjność między narzędziami bezpieczeństwa, z korzyścią dla bezpieczeństwa zainteresowanych stron z branży. Narzędzia i aplikacje z zakresu cyberbezpieczeństwa oparte na otwartym oprogramowaniu mogą umożliwić pozyskanie szerszej społeczności programistów, umożliwiając dywersyfikację dostawców. Otwarte oprogramowanie może prowadzić do bardziej przejrzystego procesu weryfikacji narzędzi związanych z cyberbezpieczeństwem oraz do kierowanego przez społeczność procesu wykrywania podatności. Państwa członkowskie powinny zatem móc promować wykorzystywanie otwartego oprogramowania i otwartych standardów przez prowadzenie polityki związanej z wykorzystywaniem otwartych danych i otwartego oprogramowania na zasadzie bezpieczeństwa dzięki przejrzystości. Polityka wspierająca wprowadzenie i zrównoważone wykorzystywanie narzędzi z zakresu cyberbezpieczeństwa opartych na otwartym oprogramowaniu ma szczególne znaczenie dla małych i średnich przedsiębiorstw ponoszących znaczne koszty wdrożenia, które można by zminimalizować przez ograniczenie zapotrzebowania na konkretne aplikacje lub narzędzia. |
| --- | --- |

(52)

Narzędzia i aplikacje z zakresu cyberbezpieczeństwa oparte na oprogramowaniu otwartym mogą przyczyniać się do zwiększenia otwartości i pozytywnie wpływać na skuteczność innowacji przemysłowych. Standardy otwarte ułatwiają interoperacyjność między narzędziami bezpieczeństwa, z korzyścią dla bezpieczeństwa zainteresowanych stron z branży. Narzędzia i aplikacje z zakresu cyberbezpieczeństwa oparte na otwartym oprogramowaniu mogą umożliwić pozyskanie szerszej społeczności programistów, umożliwiając dywersyfikację dostawców. Otwarte oprogramowanie może prowadzić do bardziej przejrzystego procesu weryfikacji narzędzi związanych z cyberbezpieczeństwem oraz do kierowanego przez społeczność procesu wykrywania podatności. Państwa członkowskie powinny zatem móc promować wykorzystywanie otwartego oprogramowania i otwartych standardów przez prowadzenie polityki związanej z wykorzystywaniem otwartych danych i otwartego oprogramowania na zasadzie bezpieczeństwa dzięki przejrzystości. Polityka wspierająca wprowadzenie i zrównoważone wykorzystywanie narzędzi z zakresu cyberbezpieczeństwa opartych na otwartym oprogramowaniu ma szczególne znaczenie dla małych i średnich przedsiębiorstw ponoszących znaczne koszty wdrożenia, które można by zminimalizować przez ograniczenie zapotrzebowania na konkretne aplikacje lub narzędzia.

| (53) | W miastach usługi użyteczności publicznej w coraz większym stopniu łączą się z sieciami cyfrowymi, aby poprawić sieci cyfrowe transportu miejskiego, usprawnić zaopatrzenie w wodę i unieszkodliwianie odpadów oraz zwiększyć efektywność oświetlenia i ogrzewania budynków. Te cyfrowe usługi użyteczności publicznej są narażone na cyberataki, a skuteczny cyberatak grozi obywatelom szkodami na dużą skalę ze względu na wzajemne powiązanie tych usług. W ramach krajowych strategii cyberbezpieczeństwa państwa członkowskie powinny opracować politykę uwzględniającą rozwój takich połączonych z siecią lub inteligentnych miast oraz ich potencjalny wpływ na społeczeństwo. |
| --- | --- |

(53)

W miastach usługi użyteczności publicznej w coraz większym stopniu łączą się z sieciami cyfrowymi, aby poprawić sieci cyfrowe transportu miejskiego, usprawnić zaopatrzenie w wodę i unieszkodliwianie odpadów oraz zwiększyć efektywność oświetlenia i ogrzewania budynków. Te cyfrowe usługi użyteczności publicznej są narażone na cyberataki, a skuteczny cyberatak grozi obywatelom szkodami na dużą skalę ze względu na wzajemne powiązanie tych usług. W ramach krajowych strategii cyberbezpieczeństwa państwa członkowskie powinny opracować politykę uwzględniającą rozwój takich połączonych z siecią lub inteligentnych miast oraz ich potencjalny wpływ na społeczeństwo.

| (54) | W ostatnich latach Unia doświadcza gwałtownego wzrostu liczby cyberataków z użyciem oprogramowania typu ''ransomware'', w których złośliwe oprogramowanie szyfruje dane i systemy oraz domaga się okupu za ich odblokowanie. Coraz większa częstotliwość i dotkliwość cyberataków z użyciem oprogramowania typu „ransomware” może wynikać z szeregu czynników, takich jak różne wzorce ataków, przestępcze modele biznesowe typu „oprogramowanie wymuszające okup jako usługa” i kryptowaluty, żądania okupu oraz wzrost liczby ataków w łańcuchu dostaw. W ramach krajowych strategii cyberbezpieczeństwa państwa członkowskie powinny opracować politykę odnoszącą się do wzrostu liczby cyberataków z wykorzystaniem oprogramowania typu „ransomware”. |
| --- | --- |

(54)

W ostatnich latach Unia doświadcza gwałtownego wzrostu liczby cyberataków z użyciem oprogramowania typu ''ransomware'', w których złośliwe oprogramowanie szyfruje dane i systemy oraz domaga się okupu za ich odblokowanie. Coraz większa częstotliwość i dotkliwość cyberataków z użyciem oprogramowania typu „ransomware” może wynikać z szeregu czynników, takich jak różne wzorce ataków, przestępcze modele biznesowe typu „oprogramowanie wymuszające okup jako usługa” i kryptowaluty, żądania okupu oraz wzrost liczby ataków w łańcuchu dostaw. W ramach krajowych strategii cyberbezpieczeństwa państwa członkowskie powinny opracować politykę odnoszącą się do wzrostu liczby cyberataków z wykorzystaniem oprogramowania typu „ransomware”.

| (55) | Partnerstwa publiczno-prywatne (PPP) w dziedzinie cyberbezpieczeństwa mogą stanowić właściwe ramy służące wymianie wiedzy, dzieleniu się dobrymi praktykami oraz osiągnięciu wspólnego poziomu porozumienia wśród zainteresowanych stron. Państwa członkowskie powinny promować politykę wspierającą tworzenie PPP w dziedzinie cyberbezpieczeństwa. W ramach takiej polityki należy sprecyzować między innymi zakres i zainteresowane strony, model zarządzania, dostępne warianty finansowania oraz interakcje między uczestniczącymi zainteresowanymi stronami w odniesieniu do PPP. PPP mogą wykorzystywać wiedzę specjalistyczną podmiotów z sektora prywatnego, aby pomagać właściwym organom w opracowywaniu usług i procesów zgodnie z najnowszym stanem wiedzy, obejmujących wymianę informacji, wczesne ostrzeganie, ćwiczenia w zakresie cyberzagrożeń i incydentów, zarządzanie kryzysowe i planowanie odporności. |
| --- | --- |

(55)

Partnerstwa publiczno-prywatne (PPP) w dziedzinie cyberbezpieczeństwa mogą stanowić właściwe ramy służące wymianie wiedzy, dzieleniu się dobrymi praktykami oraz osiągnięciu wspólnego poziomu porozumienia wśród zainteresowanych stron. Państwa członkowskie powinny promować politykę wspierającą tworzenie PPP w dziedzinie cyberbezpieczeństwa. W ramach takiej polityki należy sprecyzować między innymi zakres i zainteresowane strony, model zarządzania, dostępne warianty finansowania oraz interakcje między uczestniczącymi zainteresowanymi stronami w odniesieniu do PPP. PPP mogą wykorzystywać wiedzę specjalistyczną podmiotów z sektora prywatnego, aby pomagać właściwym organom w opracowywaniu usług i procesów zgodnie z najnowszym stanem wiedzy, obejmujących wymianę informacji, wczesne ostrzeganie, ćwiczenia w zakresie cyberzagrożeń i incydentów, zarządzanie kryzysowe i planowanie odporności.

| (56) | W krajowych strategiach cyberbezpieczeństwa państwa członkowskie powinny uwzględniać szczególne potrzeby małych i średnich przedsiębiorstw związane z cyberbezpieczeństwem. W całej Unii małe i średnie przedsiębiorstwa stanowią znaczny odsetek rynku przemysłu oraz gospodarki i często mają trudności, by dostosować się do nowych praktyk biznesowych w coraz bardziej cyfrowym świecie i do środowiska cyfrowego, z pracownikami pracującymi z domów, a działalnością gospodarczą w coraz większym stopniu prowadzoną w internecie. Niektóre małe i średnie przedsiębiorstwa mierzą się ze szczególnymi wyzwaniami w zakresie cyberbezpieczeństwa, takimi jak niska świadomość zagadnień cyberbezpieczeństwa, brak zdalnych zabezpieczeń informatycznych, wysokie koszty rozwiązań dotyczących cyberbezpieczeństwa oraz zwiększony poziom zagrożeń, np. oprogramowanie wymuszające okup, w związku z czym powinny otrzymywać wskazówki i pomoc. Małe i średnie przedsiębiorstwa coraz częściej stają się celem ataków w łańcuchu dostaw ze względu na ich niewystarczający poziom zarządzania ryzykiem w cyberbezpieczeństwie i zarządzania w razie ataków oraz fakt, że mają one ograniczony dostęp do zasobów na potrzeby bezpieczeństwa. Takie ataki w łańcuchu dostaw wpływają nie tylko na małe i średnie przedsiębiorstwa i działalność każdego z nich z osobna, lecz także mogą mieć efekt kaskadowy w postaci większych ataków na zaopatrywane przez nie podmioty. Państwa członkowskie powinny, za pośrednictwem krajowych strategii cyberbezpieczeństwa, pomagać małym i średnim przedsiębiorstwom w reagowaniu na wyzwania dotyczące łańcuchów dostaw. Państwa członkowskie powinny posiadać punkt kontaktowy dla małych i średnich przedsiębiorstw na szczeblu krajowym lub regionalnym, który zapewniałby wskazówki i pomoc małym i średnim przedsiębiorstwom albo kierowałby je do właściwych organów udzielających wskazówek i pomocy w sprawach związanych z cyberbezpieczeństwem. Państwa członkowskie zachęca się również, aby oferowały usługi takie jak konfiguracja stron internetowych i funkcje logowania małym przedsiębiorstwom i mikroprzedsiębiorstwom, które nie posiadają tych zdolności. |
| --- | --- |

(56)

W krajowych strategiach cyberbezpieczeństwa państwa członkowskie powinny uwzględniać szczególne potrzeby małych i średnich przedsiębiorstw związane z cyberbezpieczeństwem. W całej Unii małe i średnie przedsiębiorstwa stanowią znaczny odsetek rynku przemysłu oraz gospodarki i często mają trudności, by dostosować się do nowych praktyk biznesowych w coraz bardziej cyfrowym świecie i do środowiska cyfrowego, z pracownikami pracującymi z domów, a działalnością gospodarczą w coraz większym stopniu prowadzoną w internecie. Niektóre małe i średnie przedsiębiorstwa mierzą się ze szczególnymi wyzwaniami w zakresie cyberbezpieczeństwa, takimi jak niska świadomość zagadnień cyberbezpieczeństwa, brak zdalnych zabezpieczeń informatycznych, wysokie koszty rozwiązań dotyczących cyberbezpieczeństwa oraz zwiększony poziom zagrożeń, np. oprogramowanie wymuszające okup, w związku z czym powinny otrzymywać wskazówki i pomoc. Małe i średnie przedsiębiorstwa coraz częściej stają się celem ataków w łańcuchu dostaw ze względu na ich niewystarczający poziom zarządzania ryzykiem w cyberbezpieczeństwie i zarządzania w razie ataków oraz fakt, że mają one ograniczony dostęp do zasobów na potrzeby bezpieczeństwa. Takie ataki w łańcuchu dostaw wpływają nie tylko na małe i średnie przedsiębiorstwa i działalność każdego z nich z osobna, lecz także mogą mieć efekt kaskadowy w postaci większych ataków na zaopatrywane przez nie podmioty. Państwa członkowskie powinny, za pośrednictwem krajowych strategii cyberbezpieczeństwa, pomagać małym i średnim przedsiębiorstwom w reagowaniu na wyzwania dotyczące łańcuchów dostaw. Państwa członkowskie powinny posiadać punkt kontaktowy dla małych i średnich przedsiębiorstw na szczeblu krajowym lub regionalnym, który zapewniałby wskazówki i pomoc małym i średnim przedsiębiorstwom albo kierowałby je do właściwych organów udzielających wskazówek i pomocy w sprawach związanych z cyberbezpieczeństwem. Państwa członkowskie zachęca się również, aby oferowały usługi takie jak konfiguracja stron internetowych i funkcje logowania małym przedsiębiorstwom i mikroprzedsiębiorstwom, które nie posiadają tych zdolności.

| (57) | W ramach krajowych strategii cyberbezpieczeństwa będących częścią szerszej strategii obronnej państwa członkowskie powinny przyjąć politykę promowania aktywnej cyberobrony. W przeciwieństwie do działania reaktywnego aktywna cyberobrona polega na aktywnym zapobieganiu naruszeniom bezpieczeństwa sieci, ich wykrywaniu, monitorowaniu, analizowaniu i ograniczaniu, w połączeniu z wykorzystaniem zdolności rozmieszczonych w sieci, która padła ofiarą ataku, i poza tą siecią. Może to obejmować bezpłatne usługi lub narzędzia, w tym kontrole samoobsługowe, narzędzia wykrywania i usługi usuwania oferowane przez państwa członkowskie niektórym podmiotom. Zdolność do szybkiego i automatycznego przekazywania i rozumienia informacji i analiz dotyczących zagrożeń, do ostrzegania o aktywności w cyberprzestrzeni i do reagowania ma krytyczne znaczenie dla spójności wysiłków na rzecz skutecznego zapobiegania atakom na sieci i systemy informatyczne, ich wykrywania, eliminowania i blokowania. Aktywna cyberobrona opiera się na strategii, która wyklucza środki ofensywne. |
| --- | --- |

(57)

W ramach krajowych strategii cyberbezpieczeństwa będących częścią szerszej strategii obronnej państwa członkowskie powinny przyjąć politykę promowania aktywnej cyberobrony. W przeciwieństwie do działania reaktywnego aktywna cyberobrona polega na aktywnym zapobieganiu naruszeniom bezpieczeństwa sieci, ich wykrywaniu, monitorowaniu, analizowaniu i ograniczaniu, w połączeniu z wykorzystaniem zdolności rozmieszczonych w sieci, która padła ofiarą ataku, i poza tą siecią. Może to obejmować bezpłatne usługi lub narzędzia, w tym kontrole samoobsługowe, narzędzia wykrywania i usługi usuwania oferowane przez państwa członkowskie niektórym podmiotom. Zdolność do szybkiego i automatycznego przekazywania i rozumienia informacji i analiz dotyczących zagrożeń, do ostrzegania o aktywności w cyberprzestrzeni i do reagowania ma krytyczne znaczenie dla spójności wysiłków na rzecz skutecznego zapobiegania atakom na sieci i systemy informatyczne, ich wykrywania, eliminowania i blokowania. Aktywna cyberobrona opiera się na strategii, która wyklucza środki ofensywne.

| (58) | Ponieważ wykorzystywanie podatności sieci i systemów informatycznych może powodować znaczące zakłócenia i szkody, ważnym czynnikiem w ograniczaniu ryzyka jest szybkie identyfikowanie takich podatności i ich eliminowanie. Podmioty, które opracowują takie sieci i systemy informatyczne lub administrują nimi, powinny zatem ustanowić odpowiednie procedury postępowania w przypadku wykrycia takich podatności. Ponieważ podatności często są wykrywane i ujawniane przez osoby trzecie, producent lub dostawca produktów ICT lub usług ICT również powinien wprowadzić niezbędne procedury regulujące odbieranie od osób trzecich informacji na temat podatności. W tym względzie normy międzynarodowe ISO/IEC 30111 i ISO/IEC 29147 zawierają wskazówki odnoszące się do postępowania w przypadku podatności i do ujawniania podatności. Wzmocnienie koordynacji między zgłaszającymi osobami fizycznymi i osobami prawnymi a producentami lub dostawcami produktów ICT lub usług ICT jest szczególnie ważne, aby usprawnić dobrowolne zasady ramowe dotyczące ujawniania podatności. Skoordynowane ujawnianie podatności to ustrukturyzowany proces, w ramach którego podatności są zgłaszane producentowi lub dostawcy potencjalnie podatnych produktów ICT lub usług ICT w sposób umożliwiający im zdiagnozowanie i wyeliminowanie danej podatności, zanim dotyczące jej szczegółowe informacje zostaną ujawnione osobom trzecim lub podane do wiadomości publicznej. Skoordynowane ujawnianie podatności powinno także obejmować koordynację między zgłaszającymi osobami fizycznymi lub osobami prawnymi a producentem lub dostawcą potencjalnie podatnych produktów ICT lub usług ICT w odniesieniu do harmonogramu eliminowania podatności i podawania ich do wiadomości publicznej. |
| --- | --- |

(58)

Ponieważ wykorzystywanie podatności sieci i systemów informatycznych może powodować znaczące zakłócenia i szkody, ważnym czynnikiem w ograniczaniu ryzyka jest szybkie identyfikowanie takich podatności i ich eliminowanie. Podmioty, które opracowują takie sieci i systemy informatyczne lub administrują nimi, powinny zatem ustanowić odpowiednie procedury postępowania w przypadku wykrycia takich podatności. Ponieważ podatności często są wykrywane i ujawniane przez osoby trzecie, producent lub dostawca produktów ICT lub usług ICT również powinien wprowadzić niezbędne procedury regulujące odbieranie od osób trzecich informacji na temat podatności. W tym względzie normy międzynarodowe ISO/IEC 30111 i ISO/IEC 29147 zawierają wskazówki odnoszące się do postępowania w przypadku podatności i do ujawniania podatności. Wzmocnienie koordynacji między zgłaszającymi osobami fizycznymi i osobami prawnymi a producentami lub dostawcami produktów ICT lub usług ICT jest szczególnie ważne, aby usprawnić dobrowolne zasady ramowe dotyczące ujawniania podatności. Skoordynowane ujawnianie podatności to ustrukturyzowany proces, w ramach którego podatności są zgłaszane producentowi lub dostawcy potencjalnie podatnych produktów ICT lub usług ICT w sposób umożliwiający im zdiagnozowanie i wyeliminowanie danej podatności, zanim dotyczące jej szczegółowe informacje zostaną ujawnione osobom trzecim lub podane do wiadomości publicznej. Skoordynowane ujawnianie podatności powinno także obejmować koordynację między zgłaszającymi osobami fizycznymi lub osobami prawnymi a producentem lub dostawcą potencjalnie podatnych produktów ICT lub usług ICT w odniesieniu do harmonogramu eliminowania podatności i podawania ich do wiadomości publicznej.

| (59) | Komisja, ENISA i państwa członkowskie powinny nadal wspierać dostosowanie do norm międzynarodowych i istniejących dobrych praktyk branżowych w dziedzinie zarządzania ryzykiem w cyberbezpieczeństwie, na przykład w takich dziedzinach jak oceny bezpieczeństwa łańcucha dostaw, wymiana informacji i ujawnianie podatności. |
| --- | --- |

(59)

Komisja, ENISA i państwa członkowskie powinny nadal wspierać dostosowanie do norm międzynarodowych i istniejących dobrych praktyk branżowych w dziedzinie zarządzania ryzykiem w cyberbezpieczeństwie, na przykład w takich dziedzinach jak oceny bezpieczeństwa łańcucha dostaw, wymiana informacji i ujawnianie podatności.

| (60) | Państwa członkowskie we współpracy z ENISA powinny podjąć działania w celu ułatwienia skoordynowanego ujawniania podatności przez ustanowienie odpowiedniej polityki krajowej. W ramach polityki krajowej państwa członkowskie powinny w miarę możliwości dążyć do wyeliminowania problemów, z którymi mierzą się osoby prowadzące badania kwestii podatności, w tym ich potencjalnego narażenia na odpowiedzialność karną, zgodnie prawem krajowym. W związku z tym, że osoby fizyczne i prawne wyszukujące podatności mogą w niektórych państwach członkowskich być narażone na odpowiedzialność karną i cywilną, zachęca się państwa członkowskie do przyjęcia wytycznych przewidujących odstąpienie od postępowania cywilnego lub karnego wobec osób prowadzących badania kwestii podatności i bezpieczeństwa informacji oraz zwolnienie ich z odpowiedzialności cywilnej lub karnej za te działania. |
| --- | --- |

(60)

Państwa członkowskie we współpracy z ENISA powinny podjąć działania w celu ułatwienia skoordynowanego ujawniania podatności przez ustanowienie odpowiedniej polityki krajowej. W ramach polityki krajowej państwa członkowskie powinny w miarę możliwości dążyć do wyeliminowania problemów, z którymi mierzą się osoby prowadzące badania kwestii podatności, w tym ich potencjalnego narażenia na odpowiedzialność karną, zgodnie prawem krajowym. W związku z tym, że osoby fizyczne i prawne wyszukujące podatności mogą w niektórych państwach członkowskich być narażone na odpowiedzialność karną i cywilną, zachęca się państwa członkowskie do przyjęcia wytycznych przewidujących odstąpienie od postępowania cywilnego lub karnego wobec osób prowadzących badania kwestii podatności i bezpieczeństwa informacji oraz zwolnienie ich z odpowiedzialności cywilnej lub karnej za te działania.

| (61) | Państwa członkowskie powinny wyznaczyć jeden ze swoich CSIRT do pełnienia roli koordynatora, występującego w razie potrzeby w charakterze zaufanego pośrednika między zgłaszającymi osobami fizycznymi lub prawnymi a producentami lub dostawcami produktów ICT lub usług ICT, na które podatność może mieć wpływ. Zadania CSIRT wyznaczonego do roli koordynacyjnej powinny obejmować identyfikację danych podmiotów i kontaktowanie się z nimi, udzielanie pomocy osobom fizycznym i prawnym zgłaszającym podatność, negocjowanie harmonogramu ujawniania oraz zarządzanie podatnościami, których skutki dotykają wielu podmiotów (wielostronne skoordynowane ujawnianie podatności). Jeżeli zgłoszona podatność może mieć znaczący wpływ na podmioty w więcej niż jednym państwie członkowskim, CSIRT wyznaczone na koordynatorów powinny w stosownych przypadkach współpracować w ramach sieci CSIRT. |
| --- | --- |

(61)

Państwa członkowskie powinny wyznaczyć jeden ze swoich CSIRT do pełnienia roli koordynatora, występującego w razie potrzeby w charakterze zaufanego pośrednika między zgłaszającymi osobami fizycznymi lub prawnymi a producentami lub dostawcami produktów ICT lub usług ICT, na które podatność może mieć wpływ. Zadania CSIRT wyznaczonego do roli koordynacyjnej powinny obejmować identyfikację danych podmiotów i kontaktowanie się z nimi, udzielanie pomocy osobom fizycznym i prawnym zgłaszającym podatność, negocjowanie harmonogramu ujawniania oraz zarządzanie podatnościami, których skutki dotykają wielu podmiotów (wielostronne skoordynowane ujawnianie podatności). Jeżeli zgłoszona podatność może mieć znaczący wpływ na podmioty w więcej niż jednym państwie członkowskim, CSIRT wyznaczone na koordynatorów powinny w stosownych przypadkach współpracować w ramach sieci CSIRT.

| (62) | Dostęp do prawidłowych i terminowych informacji na temat podatności dotyczących produktów ICT i usług ICT pozwala usprawnić zarządzanie ryzykiem w cyberbezpieczeństwie. Ważnym narzędziem dla podmiotów i użytkowników ich usług, ale również dla właściwych organów i CSIRT są źródła publicznie dostępnych informacji na temat podatności. Z tego powodu ENISA powinna ustanowić europejską bazę danych dotyczących podatności, w której podmioty, niezależnie czy są objęte zakresem stosowania niniejszej dyrektywy oraz ich dostawcy sieci i systemów informatycznych, jak również właściwe organy i CSIRT, mogłyby na zasadzie dobrowolności ujawniać i rejestrować publicznie znane podatności, aby umożliwić użytkownikom wprowadzanie odpowiednich środków ograniczających ryzyko. Celem tej bazy danych jest reagowanie na wyjątkowe wyzwania wynikające z ryzyka dla podmiotów unijnych. Ponadto ENISA powinna ustanowić właściwą procedurę dotyczącą procesu publikacji, aby dać podmiotom czas na zastosowanie środków ograniczających ich podatność i najnowocześniejszych dostępnych środków zarządzania ryzykiem w cyberbezpieczeństwie, a także zbiorów danych nadających się do odczytu maszynowego i odpowiednich interfejsów. Aby wspierać kulturę ujawniania podatności, ujawnianie nie powinno mieć negatywnych skutków dla zgłaszającej osoby fizycznej lub osoby prawnej. |
| --- | --- |

(62)

Dostęp do prawidłowych i terminowych informacji na temat podatności dotyczących produktów ICT i usług ICT pozwala usprawnić zarządzanie ryzykiem w cyberbezpieczeństwie. Ważnym narzędziem dla podmiotów i użytkowników ich usług, ale również dla właściwych organów i CSIRT są źródła publicznie dostępnych informacji na temat podatności. Z tego powodu ENISA powinna ustanowić europejską bazę danych dotyczących podatności, w której podmioty, niezależnie czy są objęte zakresem stosowania niniejszej dyrektywy oraz ich dostawcy sieci i systemów informatycznych, jak również właściwe organy i CSIRT, mogłyby na zasadzie dobrowolności ujawniać i rejestrować publicznie znane podatności, aby umożliwić użytkownikom wprowadzanie odpowiednich środków ograniczających ryzyko. Celem tej bazy danych jest reagowanie na wyjątkowe wyzwania wynikające z ryzyka dla podmiotów unijnych. Ponadto ENISA powinna ustanowić właściwą procedurę dotyczącą procesu publikacji, aby dać podmiotom czas na zastosowanie środków ograniczających ich podatność i najnowocześniejszych dostępnych środków zarządzania ryzykiem w cyberbezpieczeństwie, a także zbiorów danych nadających się do odczytu maszynowego i odpowiednich interfejsów. Aby wspierać kulturę ujawniania podatności, ujawnianie nie powinno mieć negatywnych skutków dla zgłaszającej osoby fizycznej lub osoby prawnej.

| (63) | Choć istnieją podobne rejestry podatności lub bazy danych dotyczących podatności, są one prowadzone i obsługiwane przez podmioty, które nie mają miejsca prowadzenia działalności w Unii. Europejska baza danych dotyczących podatności obsługiwana przez ENISA zapewniłaby lepszą przejrzystość w odniesieniu do procesu publikacji poprzedzającego publiczne ujawnienie podatności, a także odporność w przypadku zakłócenia lub przerwy w świadczeniu podobnych usług. Aby w miarę możliwości uniknąć powielania podejmowanych działań i dążyć do komplementarności, ENISA powinna zbadać możliwość zawarcia umów o ustrukturyzowanej współpracy z podobnymi rejestrami lub bazami danych podlegającymi jurysdykcji państw trzecich. ENISA powinna w szczególności zbadać możliwość ścisłej współpracy z operatorami systemu wspólnych podatności i zagrożeń (CVE). |
| --- | --- |

(63)

Choć istnieją podobne rejestry podatności lub bazy danych dotyczących podatności, są one prowadzone i obsługiwane przez podmioty, które nie mają miejsca prowadzenia działalności w Unii. Europejska baza danych dotyczących podatności obsługiwana przez ENISA zapewniłaby lepszą przejrzystość w odniesieniu do procesu publikacji poprzedzającego publiczne ujawnienie podatności, a także odporność w przypadku zakłócenia lub przerwy w świadczeniu podobnych usług. Aby w miarę możliwości uniknąć powielania podejmowanych działań i dążyć do komplementarności, ENISA powinna zbadać możliwość zawarcia umów o ustrukturyzowanej współpracy z podobnymi rejestrami lub bazami danych podlegającymi jurysdykcji państw trzecich. ENISA powinna w szczególności zbadać możliwość ścisłej współpracy z operatorami systemu wspólnych podatności i zagrożeń (CVE).

| (64) | Grupa Współpracy powinna wspierać i ułatwiać współpracę strategiczną i wymianę informacji między państwami członkowskimi, a także zwiększać wśród nich zaufanie i pewność. Co dwa lata Grupa Współpracy powinna opracowywać program prac. Program ten powinien obejmować działania, które mają zostać podjęte przez Grupę Współpracy z myślą o realizacji jej celów i zadań. Aby uniknąć potencjalnych zakłóceń w pracy Grupy Współpracy, ramy czasowe opracowania pierwszego programu prac wprowadzonego na podstawie niniejszej dyrektywy należy zharmonizować z ramami czasowymi ostatniego programu prac opracowanego na podstawie dyrektywy (UE) 2016/1148. |
| --- | --- |

(64)

Grupa Współpracy powinna wspierać i ułatwiać współpracę strategiczną i wymianę informacji między państwami członkowskimi, a także zwiększać wśród nich zaufanie i pewność. Co dwa lata Grupa Współpracy powinna opracowywać program prac. Program ten powinien obejmować działania, które mają zostać podjęte przez Grupę Współpracy z myślą o realizacji jej celów i zadań. Aby uniknąć potencjalnych zakłóceń w pracy Grupy Współpracy, ramy czasowe opracowania pierwszego programu prac wprowadzonego na podstawie niniejszej dyrektywy należy zharmonizować z ramami czasowymi ostatniego programu prac opracowanego na podstawie dyrektywy (UE) 2016/1148.

| (65) | Opracowując wytyczne, Grupa Współpracy powinna stale ewidencjonować rozwiązania i doświadczenia krajowe, oceniać wpływ wyników prac Grupy Współpracy na podejścia krajowe, omawiać wyzwania w zakresie wdrażania i formułować konkretne zalecenia – w szczególności dotyczące łatwiejszej harmonizacji aktów transponujących niniejszą dyrektywę w państwach członkowskich – które należy uwzględnić w ramach lepszego wdrażania istniejących przepisów. Grupa Współpracy mogłaby też ewidencjonować rozwiązania krajowe, aby promować kompatybilność rozwiązań w dziedzinie cyberbezpieczeństwa mających zastosowanie do każdego z poszczególnych sektorów w całej Unii. Jest to szczególnie istotne dla sektorów o charakterze międzynarodowym lub transgranicznym. |
| --- | --- |

(65)

Opracowując wytyczne, Grupa Współpracy powinna stale ewidencjonować rozwiązania i doświadczenia krajowe, oceniać wpływ wyników prac Grupy Współpracy na podejścia krajowe, omawiać wyzwania w zakresie wdrażania i formułować konkretne zalecenia – w szczególności dotyczące łatwiejszej harmonizacji aktów transponujących niniejszą dyrektywę w państwach członkowskich – które należy uwzględnić w ramach lepszego wdrażania istniejących przepisów. Grupa Współpracy mogłaby też ewidencjonować rozwiązania krajowe, aby promować kompatybilność rozwiązań w dziedzinie cyberbezpieczeństwa mających zastosowanie do każdego z poszczególnych sektorów w całej Unii. Jest to szczególnie istotne dla sektorów o charakterze międzynarodowym lub transgranicznym.

| (66) | Grupa Współpracy powinna pozostać elastycznym forum i być w stanie reagować na zmieniające się i nowe priorytety i wyzwania dotyczące polityki, przy jednoczesnym uwzględnieniu dostępności zasobów. Mogłaby ona organizować regularne wspólne spotkania z odpowiednimi zainteresowanymi stronami z sektora prywatnego z całej Unii, aby omawiać działania realizowane przez Grupę Współpracy oraz zbierać dane i informacje na temat pojawiających się wyzwań dotyczących polityki. Ponadto Grupa Współpracy powinna prowadzić regularne oceny aktualnej sytuacji związanej z cyberzagrożeniami lub incydentami, np. obejmującymi wykorzystanie oprogramowania typu „ransomware”. Aby zacieśnić współpracę na szczeblu unijnym, Grupa Współpracy powinna rozważyć zaproszenie do uczestnictwa w swoich pracach właściwych instytucji, organów, urzędów i agencji Unii zaangażowanych w politykę cyberbezpieczeństwa, takich jak Parlament Europejski, Europol, Europejska Rada Ochrony Danych, Agencja Unii Europejskiej ds. Bezpieczeństwa Lotniczego ustanowiona rozporządzeniem (UE) 2018/1139 oraz Agencja Unii Europejskiej ds. Programu Kosmicznego ustanowiona rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/696 (14). |
| --- | --- |

(66)

Grupa Współpracy powinna pozostać elastycznym forum i być w stanie reagować na zmieniające się i nowe priorytety i wyzwania dotyczące polityki, przy jednoczesnym uwzględnieniu dostępności zasobów. Mogłaby ona organizować regularne wspólne spotkania z odpowiednimi zainteresowanymi stronami z sektora prywatnego z całej Unii, aby omawiać działania realizowane przez Grupę Współpracy oraz zbierać dane i informacje na temat pojawiających się wyzwań dotyczących polityki. Ponadto Grupa Współpracy powinna prowadzić regularne oceny aktualnej sytuacji związanej z cyberzagrożeniami lub incydentami, np. obejmującymi wykorzystanie oprogramowania typu „ransomware”. Aby zacieśnić współpracę na szczeblu unijnym, Grupa Współpracy powinna rozważyć zaproszenie do uczestnictwa w swoich pracach właściwych instytucji, organów, urzędów i agencji Unii zaangażowanych w politykę cyberbezpieczeństwa, takich jak Parlament Europejski, Europol, Europejska Rada Ochrony Danych, Agencja Unii Europejskiej ds. Bezpieczeństwa Lotniczego ustanowiona rozporządzeniem (UE) 2018/1139 oraz Agencja Unii Europejskiej ds. Programu Kosmicznego ustanowiona rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/696 (14).

| (67) | Właściwe organy i CSIRT powinny móc uczestniczyć w programach wymiany dla urzędników z innych państw członkowskich – w konkretnych ramach i, w stosownych przypadkach, pod warunkiem posiadania poświadczenia bezpieczeństwa przez urzędników uczestniczących w takich programach wymiany – z myślą o usprawnieniu współpracy i zwiększeniu zaufania między państwami członkowskimi. Właściwe organy powinny podejmować działania niezbędne do zapewnienia urzędnikom z innych państw członkowskich możliwości skutecznego angażowania się w działalność przyjmującego właściwego organu lub przyjmującego CSIRT. |
| --- | --- |

(67)

Właściwe organy i CSIRT powinny móc uczestniczyć w programach wymiany dla urzędników z innych państw członkowskich – w konkretnych ramach i, w stosownych przypadkach, pod warunkiem posiadania poświadczenia bezpieczeństwa przez urzędników uczestniczących w takich programach wymiany – z myślą o usprawnieniu współpracy i zwiększeniu zaufania między państwami członkowskimi. Właściwe organy powinny podejmować działania niezbędne do zapewnienia urzędnikom z innych państw członkowskich możliwości skutecznego angażowania się w działalność przyjmującego właściwego organu lub przyjmującego CSIRT.

| (68) | Państwa członkowskie powinny wnosić wkład w ustanowienie unijnych ram reagowania w sytuacji kryzysu cybernetycznego, o których mowa w zaleceniu Komisji (UE) 2017/1584 (15), poprzez istniejące sieci współpracy, w szczególności Europejska sieć organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa (EU-CyCLONe), sieć CSIRT i Grupę Współpracy. EU-CyCLONe i sieć CSIRT powinny współpracować w oparciu o uzgodnienia proceduralne, które określają szczegóły tej współpracy i unikać powielania zadań. W regulaminie EU-CyCLONe należy bardziej szczegółowo określić tryb funkcjonowania tej sieci, w tym role sieci, sposoby współpracy, interakcje z innymi odpowiednimi podmiotami i wzory formularzy na potrzeby wymiany informacji, a także środki komunikacji. W odniesieniu do zarządzania kryzysowego na szczeblu unijnym odpowiednie strony powinny opierać się na zintegrowanych uzgodnieniach UE dotyczących reagowania na szczeblu politycznym w sytuacjach kryzysowych na podstawie decyzji wykonawczej Rady (UE) 2018/1993 (16) (uzgodnienia IPCR). W tym celu Komisja powinna wykorzystywać międzysektorowy proces koordynacji na wysokim szczeblu w sytuacji kryzysowej ARGUS. Jeżeli sytuacja kryzysowa wiąże się z istotnymi kwestiami z zakresu polityki zewnętrznej lub wspólnej polityki bezpieczeństwa i obrony, należy uruchomić mechanizm reagowania kryzysowego Europejskiej Służby Działań Zewnętrznych. |
| --- | --- |

(68)

Państwa członkowskie powinny wnosić wkład w ustanowienie unijnych ram reagowania w sytuacji kryzysu cybernetycznego, o których mowa w zaleceniu Komisji (UE) 2017/1584 (15), poprzez istniejące sieci współpracy, w szczególności Europejska sieć organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa (EU-CyCLONe), sieć CSIRT i Grupę Współpracy. EU-CyCLONe i sieć CSIRT powinny współpracować w oparciu o uzgodnienia proceduralne, które określają szczegóły tej współpracy i unikać powielania zadań. W regulaminie EU-CyCLONe należy bardziej szczegółowo określić tryb funkcjonowania tej sieci, w tym role sieci, sposoby współpracy, interakcje z innymi odpowiednimi podmiotami i wzory formularzy na potrzeby wymiany informacji, a także środki komunikacji. W odniesieniu do zarządzania kryzysowego na szczeblu unijnym odpowiednie strony powinny opierać się na zintegrowanych uzgodnieniach UE dotyczących reagowania na szczeblu politycznym w sytuacjach kryzysowych na podstawie decyzji wykonawczej Rady (UE) 2018/1993 (16) (uzgodnienia IPCR). W tym celu Komisja powinna wykorzystywać międzysektorowy proces koordynacji na wysokim szczeblu w sytuacji kryzysowej ARGUS. Jeżeli sytuacja kryzysowa wiąże się z istotnymi kwestiami z zakresu polityki zewnętrznej lub wspólnej polityki bezpieczeństwa i obrony, należy uruchomić mechanizm reagowania kryzysowego Europejskiej Służby Działań Zewnętrznych.

| (69) | Zgodnie z załącznikiem do zalecenia (UE) 2017/1584 incydent w cyberbezpieczeństwie na dużą skalę powinien oznaczać incydent, który powoduje poziom zakłóceń przekraczający zdolność danego państwa członkowskiego do reakcji lub który ma znaczący wpływ na co najmniej dwa państwa członkowskie. W zależności od przyczyny i wpływu incydenty na dużą skalę mogą przerodzić się w prawdziwe kryzysy uniemożliwiające prawidłowe funkcjonowanie rynku wewnętrznego lub stanowiące poważne zagrożenie dla bezpieczeństwa publicznego i ryzyko dla bezpieczeństwa podmiotów lub obywateli w kilku państwach członkowskich lub w całej Unii. Biorąc pod uwagę szeroki zakres oraz, w większości przypadków, transgraniczny charakter takich incydentów, państwa członkowskie i odpowiednie instytucje, organy, urzędy i agencje Unii powinny współpracować na poziomie technicznym, operacyjnym i politycznym w celu odpowiedniej koordynacji reakcji w całej Unii. |
| --- | --- |

(69)

Zgodnie z załącznikiem do zalecenia (UE) 2017/1584 incydent w cyberbezpieczeństwie na dużą skalę powinien oznaczać incydent, który powoduje poziom zakłóceń przekraczający zdolność danego państwa członkowskiego do reakcji lub który ma znaczący wpływ na co najmniej dwa państwa członkowskie. W zależności od przyczyny i wpływu incydenty na dużą skalę mogą przerodzić się w prawdziwe kryzysy uniemożliwiające prawidłowe funkcjonowanie rynku wewnętrznego lub stanowiące poważne zagrożenie dla bezpieczeństwa publicznego i ryzyko dla bezpieczeństwa podmiotów lub obywateli w kilku państwach członkowskich lub w całej Unii. Biorąc pod uwagę szeroki zakres oraz, w większości przypadków, transgraniczny charakter takich incydentów, państwa członkowskie i odpowiednie instytucje, organy, urzędy i agencje Unii powinny współpracować na poziomie technicznym, operacyjnym i politycznym w celu odpowiedniej koordynacji reakcji w całej Unii.

| (70) | Incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę na poziomie Unii wymagają skoordynowanych działań w celu zapewnienia szybkiej i skutecznej reakcji ze względu na wysoki stopień współzależności między sektorami i państwami członkowskimi. Dostępność sieci i systemów informatycznych odpornych na cyberzagrożenia oraz dostępność, poufność i integralność danych mają zasadnicze znaczenie dla bezpieczeństwa Unii oraz dla ochrony jej obywateli, przedsiębiorstw i instytucji przed incydentami i cyberzagrożeniami, a także dla zwiększenia zaufania osób fizycznych i organizacji do zdolności Unii do promowania i ochrony globalnej, otwartej, wolnej, stabilnej i bezpiecznej cyberprzestrzeni opartej na prawach człowieka, podstawowych wolnościach, demokracji i praworządności. |
| --- | --- |

(70)

Incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę na poziomie Unii wymagają skoordynowanych działań w celu zapewnienia szybkiej i skutecznej reakcji ze względu na wysoki stopień współzależności między sektorami i państwami członkowskimi. Dostępność sieci i systemów informatycznych odpornych na cyberzagrożenia oraz dostępność, poufność i integralność danych mają zasadnicze znaczenie dla bezpieczeństwa Unii oraz dla ochrony jej obywateli, przedsiębiorstw i instytucji przed incydentami i cyberzagrożeniami, a także dla zwiększenia zaufania osób fizycznych i organizacji do zdolności Unii do promowania i ochrony globalnej, otwartej, wolnej, stabilnej i bezpiecznej cyberprzestrzeni opartej na prawach człowieka, podstawowych wolnościach, demokracji i praworządności.

| (71) | EU-CyCLONe powinna pośredniczyć między poziomem technicznym i politycznym podczas incydentów i sytuacji kryzysowych w cyberbezpieczeństwie na dużą skalę oraz zacieśnić współpracę na szczeblu operacyjnym i wspierać proces decyzyjny na szczeblu politycznym. We współpracy z Komisją, uwzględniając kompetencje Komisji w dziedzinie zarządzania kryzysowego, EU-CyCLONe powinna opierać się na ustaleniach sieci CSIRT i wykorzystywać własne zdolności do sporządzania analizy skutków incydentów i sytuacji kryzysowych w cyberbezpieczeństwie na dużą skalę. |
| --- | --- |

(71)

EU-CyCLONe powinna pośredniczyć między poziomem technicznym i politycznym podczas incydentów i sytuacji kryzysowych w cyberbezpieczeństwie na dużą skalę oraz zacieśnić współpracę na szczeblu operacyjnym i wspierać proces decyzyjny na szczeblu politycznym. We współpracy z Komisją, uwzględniając kompetencje Komisji w dziedzinie zarządzania kryzysowego, EU-CyCLONe powinna opierać się na ustaleniach sieci CSIRT i wykorzystywać własne zdolności do sporządzania analizy skutków incydentów i sytuacji kryzysowych w cyberbezpieczeństwie na dużą skalę.

| (72) | Cyberataki mają charakter transgraniczny, a poważne incydenty mogą zakłócać i uszkadzać krytyczną infrastrukturę informatyczną, od której zależy sprawne funkcjonowanie rynku wewnętrznego. Zalecenie (UE) 2017/1584 odnosi się do roli wszystkich właściwych podmiotów. Ponadto Komisja odpowiada, w ramach Unijnego Mechanizmu Ochrony Ludności ustanowionego decyzją Parlamentu Europejskiego i Rady nr 1313/2013/UE (17), za ogólne działania dotyczące gotowości, w tym zarządzanie Centrum Koordynacji Reagowania Kryzysowego i wspólnym systemem łączności i informacji w sytuacjach nadzwyczajnych, utrzymywanie i dalszy rozwój zdolności w zakresie świadomości i analizy sytuacyjnej oraz tworzenie zdolności do mobilizacji i wysyłania zespołów ekspertów w razie wniosku o pomoc ze strony państwa członkowskiego lub państwa trzeciego oraz zarządzanie tymi zdolnościami. Komisja odpowiada też za przedstawianie sprawozdań analitycznych dotyczących uzgodnień IPCR na podstawie decyzji wykonawczej (UE) 2018/1993, w tym w odniesieniu do analizy sytuacyjnej i gotowości w zakresie cyberbezpieczeństwa, a także do analizy sytuacyjnej i reagowania kryzysowego w następujących obszarach: rolnictwo, niekorzystne warunki pogodowe, mapowanie i prognozowanie konfliktów, systemy wczesnego ostrzegania w przypadku klęsk żywiołowych, stany zagrożenia zdrowia, nadzór nad chorobami zakaźnymi, zdrowie roślin, incydenty chemiczne, bezpieczeństwo żywności i pasz, zdrowie zwierząt, migracja, cła, zagrożenia jądrowe i radiologiczne i energetyka. |
| --- | --- |

(72)

Cyberataki mają charakter transgraniczny, a poważne incydenty mogą zakłócać i uszkadzać krytyczną infrastrukturę informatyczną, od której zależy sprawne funkcjonowanie rynku wewnętrznego. Zalecenie (UE) 2017/1584 odnosi się do roli wszystkich właściwych podmiotów. Ponadto Komisja odpowiada, w ramach Unijnego Mechanizmu Ochrony Ludności ustanowionego decyzją Parlamentu Europejskiego i Rady nr 1313/2013/UE (17), za ogólne działania dotyczące gotowości, w tym zarządzanie Centrum Koordynacji Reagowania Kryzysowego i wspólnym systemem łączności i informacji w sytuacjach nadzwyczajnych, utrzymywanie i dalszy rozwój zdolności w zakresie świadomości i analizy sytuacyjnej oraz tworzenie zdolności do mobilizacji i wysyłania zespołów ekspertów w razie wniosku o pomoc ze strony państwa członkowskiego lub państwa trzeciego oraz zarządzanie tymi zdolnościami. Komisja odpowiada też za przedstawianie sprawozdań analitycznych dotyczących uzgodnień IPCR na podstawie decyzji wykonawczej (UE) 2018/1993, w tym w odniesieniu do analizy sytuacyjnej i gotowości w zakresie cyberbezpieczeństwa, a także do analizy sytuacyjnej i reagowania kryzysowego w następujących obszarach: rolnictwo, niekorzystne warunki pogodowe, mapowanie i prognozowanie konfliktów, systemy wczesnego ostrzegania w przypadku klęsk żywiołowych, stany zagrożenia zdrowia, nadzór nad chorobami zakaźnymi, zdrowie roślin, incydenty chemiczne, bezpieczeństwo żywności i pasz, zdrowie zwierząt, migracja, cła, zagrożenia jądrowe i radiologiczne i energetyka.

| (73) | Unia może, w stosownych przypadkach, zawierać umowy międzynarodowe, zgodnie z art. 218 TFUE, z państwami trzecimi lub organizacjami międzynarodowymi, umożliwiając i organizując ich udział w niektórych działaniach Grupy Współpracy, sieci CSIRT oraz EU-CyCLONe. Umowy takie powinny gwarantować interesy Unii i odpowiednią ochronę danych. Nie powinno to wykluczać prawa państw członkowskich do współpracy z państwami trzecimi przy zarządzaniu podatnościami i zarządzaniu ryzykiem w cyberbezpieczeństwie, ułatwianiu zgłaszania i ogólnej wymianie informacji zgodnie z prawem Unii. |
| --- | --- |

(73)

Unia może, w stosownych przypadkach, zawierać umowy międzynarodowe, zgodnie z art. 218 TFUE, z państwami trzecimi lub organizacjami międzynarodowymi, umożliwiając i organizując ich udział w niektórych działaniach Grupy Współpracy, sieci CSIRT oraz EU-CyCLONe. Umowy takie powinny gwarantować interesy Unii i odpowiednią ochronę danych. Nie powinno to wykluczać prawa państw członkowskich do współpracy z państwami trzecimi przy zarządzaniu podatnościami i zarządzaniu ryzykiem w cyberbezpieczeństwie, ułatwianiu zgłaszania i ogólnej wymianie informacji zgodnie z prawem Unii.

| (74) | Aby ułatwić skuteczne wdrażanie niniejszej dyrektywy między innymi w odniesieniu do zarządzania podatnościami, środków zarządzania ryzykiem w cyberprzestrzeni, obowiązków w zakresie zgłaszania incydentów oraz mechanizmów wymiany informacji na temat cyberbezpieczeństwa, państwa członkowskie mogą współpracować z państwami trzecimi i podejmować działania uznane za odpowiednie do tego celu, obejmujące wymianę informacji dotyczących cyberzagrożeń, incydentów, podatności, narzędzi i metod, taktyki, technik i procedur, gotowości i ćwiczeń dotyczących zarządzania kryzysowego w dziedzinie cyberbezpieczeństwa, szkolenia, budowania zaufania i ustrukturyzowanych mechanizmów wymiany informacji. |
| --- | --- |

(74)

Aby ułatwić skuteczne wdrażanie niniejszej dyrektywy między innymi w odniesieniu do zarządzania podatnościami, środków zarządzania ryzykiem w cyberprzestrzeni, obowiązków w zakresie zgłaszania incydentów oraz mechanizmów wymiany informacji na temat cyberbezpieczeństwa, państwa członkowskie mogą współpracować z państwami trzecimi i podejmować działania uznane za odpowiednie do tego celu, obejmujące wymianę informacji dotyczących cyberzagrożeń, incydentów, podatności, narzędzi i metod, taktyki, technik i procedur, gotowości i ćwiczeń dotyczących zarządzania kryzysowego w dziedzinie cyberbezpieczeństwa, szkolenia, budowania zaufania i ustrukturyzowanych mechanizmów wymiany informacji.

| (75) | Należy wprowadzić oceny wzajemne aby pomóc w wyciąganiu wniosków ze wspólnych doświadczeń, wzmocnić wzajemne zaufanie i osiągnąć wysoki wspólny poziom cyberbezpieczeństwa. Efektem ocen wzajemnych mogą być wartościowe spostrzeżenia i zalecenia służące wzmocnieniu ogólnych zdolności w zakresie cyberbezpieczeństwa, tworzące kolejną funkcjonalną ścieżkę wymiany dobrych praktyk między państwami członkowskimi i przyczyniające się do zwiększenia poziomu dojrzałości państw członkowskich w dziedzinie cyberbezpieczeństwa. Ponadto w ocenach wzajemnych należy uwzględniać wyniki podobnych mechanizmów, takich jak system oceny wzajemnej sieci CSIRT, oraz należy zapewniać wartość dodaną i unikać powielania działań. Stosowanie ocen wzajemnych powinno pozostawać bez uszczerbku dla unijnych lub krajowych przepisów dotyczących ochrony informacji poufnych lub niejawnych. |
| --- | --- |

(75)

Należy wprowadzić oceny wzajemne aby pomóc w wyciąganiu wniosków ze wspólnych doświadczeń, wzmocnić wzajemne zaufanie i osiągnąć wysoki wspólny poziom cyberbezpieczeństwa. Efektem ocen wzajemnych mogą być wartościowe spostrzeżenia i zalecenia służące wzmocnieniu ogólnych zdolności w zakresie cyberbezpieczeństwa, tworzące kolejną funkcjonalną ścieżkę wymiany dobrych praktyk między państwami członkowskimi i przyczyniające się do zwiększenia poziomu dojrzałości państw członkowskich w dziedzinie cyberbezpieczeństwa. Ponadto w ocenach wzajemnych należy uwzględniać wyniki podobnych mechanizmów, takich jak system oceny wzajemnej sieci CSIRT, oraz należy zapewniać wartość dodaną i unikać powielania działań. Stosowanie ocen wzajemnych powinno pozostawać bez uszczerbku dla unijnych lub krajowych przepisów dotyczących ochrony informacji poufnych lub niejawnych.

| (76) | Grupa Współpracy powinna ustanowić metodykę oceny własnej dla państw członkowskich, starając się uwzględnić takie czynniki jak: poziom wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie i obowiązków sprawozdawczych, poziom zdolności i skuteczność wykonywania zadań przez właściwe organy, zdolności operacyjne CSIRT, poziom wdrożenia wzajemnej pomocy, poziom wdrożenia mechanizmów wymiany informacji o cyberbezpieczeństwie lub szczególne kwestie o charakterze transgranicznym lub międzysektorowym. Należy zachęcać państwa członkowskie, aby regularnie przeprowadzały ocenę własną oraz przedstawiały i omawiały wyniki swojej oceny własnej na forum Grupy Współpracy. |
| --- | --- |

(76)

Grupa Współpracy powinna ustanowić metodykę oceny własnej dla państw członkowskich, starając się uwzględnić takie czynniki jak: poziom wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie i obowiązków sprawozdawczych, poziom zdolności i skuteczność wykonywania zadań przez właściwe organy, zdolności operacyjne CSIRT, poziom wdrożenia wzajemnej pomocy, poziom wdrożenia mechanizmów wymiany informacji o cyberbezpieczeństwie lub szczególne kwestie o charakterze transgranicznym lub międzysektorowym. Należy zachęcać państwa członkowskie, aby regularnie przeprowadzały ocenę własną oraz przedstawiały i omawiały wyniki swojej oceny własnej na forum Grupy Współpracy.

| (77) | Odpowiedzialność za zapewnienie bezpieczeństwa sieci i systemów informatycznych w dużym stopniu spoczywa na podmiotach kluczowych i ważnych. Należy wspierać i rozwijać kulturę zarządzania ryzykiem, obejmującą szacowanie ryzyka i wdrażanie środków zarządzania ryzykiem w cyberbezpieczeństwie odpowiednich dla danego ryzyka. |
| --- | --- |

(77)

Odpowiedzialność za zapewnienie bezpieczeństwa sieci i systemów informatycznych w dużym stopniu spoczywa na podmiotach kluczowych i ważnych. Należy wspierać i rozwijać kulturę zarządzania ryzykiem, obejmującą szacowanie ryzyka i wdrażanie środków zarządzania ryzykiem w cyberbezpieczeństwie odpowiednich dla danego ryzyka.

| (78) | Środki zarządzania ryzykiem w cyberbezpieczeństwie powinny uwzględniać stopień zależności podmiotu kluczowego lub ważnego od sieci i systemów informatycznych i obejmować środki mające na celu identyfikację ryzyka wystąpienia incydentów, zapobieganie incydentom, wykrywanie ich, reagowanie na nie i przywracanie normalnego działanie po ich wystąpieniu oraz łagodzenie ich skutków. Bezpieczeństwo sieci i systemów informatycznych powinno obejmować bezpieczeństwo danych przechowywanych, przekazywanych i przetwarzanych. Środki zarządzania ryzykiem w cyberbezpieczeństwie powinny umożliwiać analizę systemową z uwzględnieniem czynnika ludzkiego, aby dawać kompletny obraz bezpieczeństwa sieci i systemu informatycznego. |
| --- | --- |

(78)

Środki zarządzania ryzykiem w cyberbezpieczeństwie powinny uwzględniać stopień zależności podmiotu kluczowego lub ważnego od sieci i systemów informatycznych i obejmować środki mające na celu identyfikację ryzyka wystąpienia incydentów, zapobieganie incydentom, wykrywanie ich, reagowanie na nie i przywracanie normalnego działanie po ich wystąpieniu oraz łagodzenie ich skutków. Bezpieczeństwo sieci i systemów informatycznych powinno obejmować bezpieczeństwo danych przechowywanych, przekazywanych i przetwarzanych. Środki zarządzania ryzykiem w cyberbezpieczeństwie powinny umożliwiać analizę systemową z uwzględnieniem czynnika ludzkiego, aby dawać kompletny obraz bezpieczeństwa sieci i systemu informatycznego.

| (79) | Ponieważ zagrożenia bezpieczeństwa sieci i systemów informatycznych mogą mieć różne źródła, środki zarządzania ryzykiem w cyberbezpieczeństwie powinny opierać się na podejściu uwzględniającym wszystkie zagrożenia, mającym na celu ochronę sieci i systemów informatycznych oraz środowiska fizycznego tych systemów przed zdarzeniami takimi jak kradzież, pożar, powódź, awaria telekomunikacyjna bądź awaria zasilania lub nieuprawniony dostęp fizyczny do infrastruktury związanej z informacjami i przetwarzaniem informacji należącej do podmiotu kluczowego lub ważnego, jej uszkodzenie i ingerencja w nią, które to zdarzenia mogłyby naruszyć dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych lub też usług oferowanych przez sieci i systemy informatyczne lub dostępnych za pośrednictwem sieci i systemów informatycznych. Środki zarządzania ryzykiem w cyberbezpieczeństwie powinny zatem dotyczyć również bezpieczeństwa fizycznego i środowiskowego sieci i systemów informatycznych przez włączenie środków ochrony takich systemów przed awariami, błędem ludzkim, złośliwymi działaniami lub zjawiskami naturalnymi, zgodnie z normami europejskimi i międzynarodowymi, takimi jak normy zawarte w serii ISO/IEC 27000. W związku z tym w ramach swoich środków zarządzania ryzykiem w cyberbezpieczeństwie podmioty kluczowe i ważne powinny zająć się również bezpieczeństwem zasobów ludzkich i prowadzić odpowiednią politykę kontroli dostępu. Środki te powinny być zgodne z dyrektywą (UE) 2022/2557. |
| --- | --- |

(79)

Ponieważ zagrożenia bezpieczeństwa sieci i systemów informatycznych mogą mieć różne źródła, środki zarządzania ryzykiem w cyberbezpieczeństwie powinny opierać się na podejściu uwzględniającym wszystkie zagrożenia, mającym na celu ochronę sieci i systemów informatycznych oraz środowiska fizycznego tych systemów przed zdarzeniami takimi jak kradzież, pożar, powódź, awaria telekomunikacyjna bądź awaria zasilania lub nieuprawniony dostęp fizyczny do infrastruktury związanej z informacjami i przetwarzaniem informacji należącej do podmiotu kluczowego lub ważnego, jej uszkodzenie i ingerencja w nią, które to zdarzenia mogłyby naruszyć dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych lub też usług oferowanych przez sieci i systemy informatyczne lub dostępnych za pośrednictwem sieci i systemów informatycznych. Środki zarządzania ryzykiem w cyberbezpieczeństwie powinny zatem dotyczyć również bezpieczeństwa fizycznego i środowiskowego sieci i systemów informatycznych przez włączenie środków ochrony takich systemów przed awariami, błędem ludzkim, złośliwymi działaniami lub zjawiskami naturalnymi, zgodnie z normami europejskimi i międzynarodowymi, takimi jak normy zawarte w serii ISO/IEC 27000. W związku z tym w ramach swoich środków zarządzania ryzykiem w cyberbezpieczeństwie podmioty kluczowe i ważne powinny zająć się również bezpieczeństwem zasobów ludzkich i prowadzić odpowiednią politykę kontroli dostępu. Środki te powinny być zgodne z dyrektywą (UE) 2022/2557.

| (80) | W celu wykazania zgodności ze środkami zarządzania ryzykiem w cyberbezpieczeństwie i w razie braku odpowiednich europejskich programów certyfikacji cyberbezpieczeństwa przyjętych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2019/881 (18) państwa członkowskie powinny, w porozumieniu z Grupą Współpracy i Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa, promować stosowanie odpowiednich norm europejskich i międzynarodowych przez podmioty kluczowe i ważne lub mogą wymagać od podmiotów korzystania z certyfikowanych produktów ICT, usług ICT i procesów ICT. |
| --- | --- |

(80)

W celu wykazania zgodności ze środkami zarządzania ryzykiem w cyberbezpieczeństwie i w razie braku odpowiednich europejskich programów certyfikacji cyberbezpieczeństwa przyjętych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2019/881 (18) państwa członkowskie powinny, w porozumieniu z Grupą Współpracy i Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa, promować stosowanie odpowiednich norm europejskich i międzynarodowych przez podmioty kluczowe i ważne lub mogą wymagać od podmiotów korzystania z certyfikowanych produktów ICT, usług ICT i procesów ICT.

| (81) | Aby uniknąć nakładania nieproporcjonalnie dużych obciążeń finansowych i administracyjnych na podmioty kluczowe i ważne, środki zarządzania ryzykiem w cyberbezpieczeństwie powinny być proporcjonalne do ryzyka, jakie zagraża danym sieciom i systemom informatycznym, przy czym należy uwzględniać najnowszy stan wiedzy na temat takich środków oraz, w stosownych przypadkach, normy europejskie i międzynarodowe, a także koszt ich wdrożenia. |
| --- | --- |

(81)

Aby uniknąć nakładania nieproporcjonalnie dużych obciążeń finansowych i administracyjnych na podmioty kluczowe i ważne, środki zarządzania ryzykiem w cyberbezpieczeństwie powinny być proporcjonalne do ryzyka, jakie zagraża danym sieciom i systemom informatycznym, przy czym należy uwzględniać najnowszy stan wiedzy na temat takich środków oraz, w stosownych przypadkach, normy europejskie i międzynarodowe, a także koszt ich wdrożenia.

| (82) | Środki zarządzania ryzykiem w cyberbezpieczeństwie powinny być proporcjonalne do stopnia narażenia podmiotu kluczowego lub ważnego na ryzyko oraz do wpływu społecznego i gospodarczego, jaki wywarłby incydent. Przy ustanawianiu środków zarządzania ryzykiem w cyberprzestrzeni dostosowanych do podmiotów kluczowych i ważnych należy odpowiednio uwzględnić odmienne czynniki narażenia na ryzyko w przypadku podmiotów kluczowych i ważnych, takie jak krytyczność danego podmiotu, ryzyko, w tym ryzyko społeczne, na które jest on narażony, wielkość podmiotu oraz prawdopodobieństwo wystąpienia incydentów i ich dotkliwość, w tym ich skutki społeczne i gospodarcze. |
| --- | --- |

(82)

Środki zarządzania ryzykiem w cyberbezpieczeństwie powinny być proporcjonalne do stopnia narażenia podmiotu kluczowego lub ważnego na ryzyko oraz do wpływu społecznego i gospodarczego, jaki wywarłby incydent. Przy ustanawianiu środków zarządzania ryzykiem w cyberprzestrzeni dostosowanych do podmiotów kluczowych i ważnych należy odpowiednio uwzględnić odmienne czynniki narażenia na ryzyko w przypadku podmiotów kluczowych i ważnych, takie jak krytyczność danego podmiotu, ryzyko, w tym ryzyko społeczne, na które jest on narażony, wielkość podmiotu oraz prawdopodobieństwo wystąpienia incydentów i ich dotkliwość, w tym ich skutki społeczne i gospodarcze.

| (83) | Podmioty kluczowe i ważne powinny zapewniać bezpieczeństwo sieci i systemów informatycznych, których używają w swojej działalności. Systemy te to przede wszystkim prywatne sieci i systemy informatyczne, którymi zarządza własny personel informatyczny podmiotów kluczowych i ważnych lub w których zapewnienie bezpieczeństwa zlecono na zewnątrz. Środki zarządzania ryzykiem w cyberbezpieczeństwie i obowiązki dotyczące zgłaszania incydentów określone w niniejszej dyrektywie powinny mieć zastosowanie do właściwych podmiotów kluczowych i ważnych bez względu na to, czy te podmioty zapewniają utrzymanie swoich sieci i systemów informatycznych, czy też zlecają ich utrzymanie na zewnątrz. |
| --- | --- |

(83)

Podmioty kluczowe i ważne powinny zapewniać bezpieczeństwo sieci i systemów informatycznych, których używają w swojej działalności. Systemy te to przede wszystkim prywatne sieci i systemy informatyczne, którymi zarządza własny personel informatyczny podmiotów kluczowych i ważnych lub w których zapewnienie bezpieczeństwa zlecono na zewnątrz. Środki zarządzania ryzykiem w cyberbezpieczeństwie i obowiązki dotyczące zgłaszania incydentów określone w niniejszej dyrektywie powinny mieć zastosowanie do właściwych podmiotów kluczowych i ważnych bez względu na to, czy te podmioty zapewniają utrzymanie swoich sieci i systemów informatycznych, czy też zlecają ich utrzymanie na zewnątrz.

| (84) | Zważywszy na ich transgraniczny charakter, dostawcy usług DNS, podmioty świadczące usługi rejestracji nazw domen dla TLD, dostawcy usług chmurowych, dostawcy usług ośrodka przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie bezpieczeństwa, dostawcy internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych, oraz dostawcy usług zaufania powinni podlegać daleko idącej harmonizacji na poziomie Unii. Wdrażanie środków zarządzania ryzykiem w cyberbezpieczeństwie w odniesieniu do tych podmiotów należy zatem ułatwić za pomocą aktu wykonawczego. |
| --- | --- |

(84)

Zważywszy na ich transgraniczny charakter, dostawcy usług DNS, podmioty świadczące usługi rejestracji nazw domen dla TLD, dostawcy usług chmurowych, dostawcy usług ośrodka przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie bezpieczeństwa, dostawcy internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych, oraz dostawcy usług zaufania powinni podlegać daleko idącej harmonizacji na poziomie Unii. Wdrażanie środków zarządzania ryzykiem w cyberbezpieczeństwie w odniesieniu do tych podmiotów należy zatem ułatwić za pomocą aktu wykonawczego.

| (85) | Zaradzenie ryzyku wynikającemu z łańcucha dostaw danego podmiotu i jego powiązań z dostawcami – takimi jak dostawcy usług przechowywania i przetwarzania danych lub dostawcy usług zarządzanych w zakresie bezpieczeństwa oraz edytorzy oprogramowania – jest szczególnie istotne z uwagi na częstość incydentów, w których podmioty są ofiarami cyberataków i w których agresorzy są w stanie złamać zabezpieczenia sieci i systemów informatycznych danego podmiotu, wykorzystując podatności występujące w produktach i usługach osób trzecich. Dlatego podmioty kluczowe i ważne powinny oceniać i uwzględniać ogólną jakość i odporność produktów i usług oraz środków zarządzania ryzykiem w cyberbezpieczeństwie stanowiący ich część, a także praktyki dotyczące cyberbezpieczeństwa stosowane przez dostawców produktów i usług, w tym ich procedury bezpiecznego opracowywania. Podmioty kluczowe i ważne należy w szczególności zachęcać, aby włączały środki zarządzania ryzykiem w cyberbezpieczeństwie do ustaleń umownych z bezpośrednimi dostawcami i usługodawcami. Podmioty te mogłyby rozważyć ryzyko pochodzące od dostawców i usługodawców z innych poziomów. |
| --- | --- |

(85)

Zaradzenie ryzyku wynikającemu z łańcucha dostaw danego podmiotu i jego powiązań z dostawcami – takimi jak dostawcy usług przechowywania i przetwarzania danych lub dostawcy usług zarządzanych w zakresie bezpieczeństwa oraz edytorzy oprogramowania – jest szczególnie istotne z uwagi na częstość incydentów, w których podmioty są ofiarami cyberataków i w których agresorzy są w stanie złamać zabezpieczenia sieci i systemów informatycznych danego podmiotu, wykorzystując podatności występujące w produktach i usługach osób trzecich. Dlatego podmioty kluczowe i ważne powinny oceniać i uwzględniać ogólną jakość i odporność produktów i usług oraz środków zarządzania ryzykiem w cyberbezpieczeństwie stanowiący ich część, a także praktyki dotyczące cyberbezpieczeństwa stosowane przez dostawców produktów i usług, w tym ich procedury bezpiecznego opracowywania. Podmioty kluczowe i ważne należy w szczególności zachęcać, aby włączały środki zarządzania ryzykiem w cyberbezpieczeństwie do ustaleń umownych z bezpośrednimi dostawcami i usługodawcami. Podmioty te mogłyby rozważyć ryzyko pochodzące od dostawców i usługodawców z innych poziomów.

| (86) | Wśród dostawców usług szczególnie ważną rolę w pomaganiu podmiotom w działaniach mających na celu zapobieganie incydentom, wykrywanie ich, reagowanie na nie lub przywracanie normalnego działania po ich wystąpieniu odgrywają dostawcy usług zarządzanych w zakresie bezpieczeństwa zajmujący się obszarami takimi jak reagowanie na incydenty, testy penetracyjne, audyty bezpieczeństwa i doradztwo. Dostawcy usług zarządzanych w zakresie bezpieczeństwa również sami padają jednak ofiarą cyberataków, a ponieważ ich działalność jest ściśle zintegrowana z operacjami podmiotów, stanowią oni szczególne ryzyko. Dlatego przy wyborze dostawcy usług zarządzanych w zakresie bezpieczeństwa podmioty kluczowe i ważne powinny dochować szczególnej staranności. |
| --- | --- |

(86)

Wśród dostawców usług szczególnie ważną rolę w pomaganiu podmiotom w działaniach mających na celu zapobieganie incydentom, wykrywanie ich, reagowanie na nie lub przywracanie normalnego działania po ich wystąpieniu odgrywają dostawcy usług zarządzanych w zakresie bezpieczeństwa zajmujący się obszarami takimi jak reagowanie na incydenty, testy penetracyjne, audyty bezpieczeństwa i doradztwo. Dostawcy usług zarządzanych w zakresie bezpieczeństwa również sami padają jednak ofiarą cyberataków, a ponieważ ich działalność jest ściśle zintegrowana z operacjami podmiotów, stanowią oni szczególne ryzyko. Dlatego przy wyborze dostawcy usług zarządzanych w zakresie bezpieczeństwa podmioty kluczowe i ważne powinny dochować szczególnej staranności.

| (87) | Właściwe organy, w kontekście swoich zadań nadzorczych, mogą również korzystać z usług cyberbezpieczeństwa takich jak audyty bezpieczeństwa, testy penetracyjne lub reagowanie na incydenty. |
| --- | --- |

(87)

Właściwe organy, w kontekście swoich zadań nadzorczych, mogą również korzystać z usług cyberbezpieczeństwa takich jak audyty bezpieczeństwa, testy penetracyjne lub reagowanie na incydenty.

| (88) | Podmioty kluczowe i ważne powinny również ograniczać ryzyko wynikające z ich interakcji i powiązań z innymi zainteresowanymi stronami w szerszym ekosystemie, w tym w związku z przeciwdziałaniem szpiegostwu przemysłowemu i ochroną tajemnic handlowych. W szczególności podmioty te powinny wprowadzać odpowiednie środki zapewniające, aby ich współpraca z instytucjami akademickimi i badawczymi przebiegała zgodnie z ich polityką cyberbezpieczeństwa i z uwzględnieniem dobrych praktyk dotyczących ogólnie bezpiecznego dostępu do informacji i ich rozpowszechniania, a w szczególności ochrony własności intelektualnej. Podobnie, zważywszy na znaczenie i wartość danych dla działalności podmiotów, jeżeli podmioty kluczowe i ważne wykorzystują usługi przekształcania danych i analizy danych oferowane przez osoby trzecie, wówczas podmioty te powinny stosować odpowiednie środki zarządzania ryzykiem w cyberbezpieczeństwie. |
| --- | --- |

(88)

Podmioty kluczowe i ważne powinny również ograniczać ryzyko wynikające z ich interakcji i powiązań z innymi zainteresowanymi stronami w szerszym ekosystemie, w tym w związku z przeciwdziałaniem szpiegostwu przemysłowemu i ochroną tajemnic handlowych. W szczególności podmioty te powinny wprowadzać odpowiednie środki zapewniające, aby ich współpraca z instytucjami akademickimi i badawczymi przebiegała zgodnie z ich polityką cyberbezpieczeństwa i z uwzględnieniem dobrych praktyk dotyczących ogólnie bezpiecznego dostępu do informacji i ich rozpowszechniania, a w szczególności ochrony własności intelektualnej. Podobnie, zważywszy na znaczenie i wartość danych dla działalności podmiotów, jeżeli podmioty kluczowe i ważne wykorzystują usługi przekształcania danych i analizy danych oferowane przez osoby trzecie, wówczas podmioty te powinny stosować odpowiednie środki zarządzania ryzykiem w cyberbezpieczeństwie.

| (89) | Podmioty kluczowe i ważne powinny przyjąć szeroki wachlarz podstawowych praktyk dotyczących cyberhigieny, takich jak zasady zerowego zaufania, aktualizacje oprogramowania, konfiguracja urządzeń, segmentacja sieci, zarządzanie tożsamością i dostępem lub świadomość użytkowników, organizować szkolenia dla pracowników oraz szerzyć wiedzę na temat cyberzagrożeń, phishingu lub technik inżynierii społecznej. Ponadto podmioty te powinny ocenić własne zdolności w zakresie cyberbezpieczeństwa i w stosownych przypadkach dążyć do integracji technologii poprawiających cyberbezpieczeństwo, takich jak systemy oparte na sztucznej inteligencji lub uczeniu maszynowym, aby poprawić swoje zdolności oraz wzmocnić bezpieczeństwo sieci i systemów informatycznych. |
| --- | --- |

(89)

Podmioty kluczowe i ważne powinny przyjąć szeroki wachlarz podstawowych praktyk dotyczących cyberhigieny, takich jak zasady zerowego zaufania, aktualizacje oprogramowania, konfiguracja urządzeń, segmentacja sieci, zarządzanie tożsamością i dostępem lub świadomość użytkowników, organizować szkolenia dla pracowników oraz szerzyć wiedzę na temat cyberzagrożeń, phishingu lub technik inżynierii społecznej. Ponadto podmioty te powinny ocenić własne zdolności w zakresie cyberbezpieczeństwa i w stosownych przypadkach dążyć do integracji technologii poprawiających cyberbezpieczeństwo, takich jak systemy oparte na sztucznej inteligencji lub uczeniu maszynowym, aby poprawić swoje zdolności oraz wzmocnić bezpieczeństwo sieci i systemów informatycznych.

| (90) | Aby w większym stopniu ograniczyć kluczowe ryzyka w łańcuchu dostaw i pomóc podmiotom kluczowym i ważnym działającym w sektorach objętych niniejszą dyrektywą w odpowiednim zarządzaniu ryzykiem związanym z łańcuchami dostaw i dostawcami, Grupa Współpracy, we współpracy z Komisją i ENISA oraz, w stosownych przypadkach, po konsultacji z właściwymi zainteresowanymi stronami, w tym z przemysłu, powinna przeprowadzić skoordynowane oszacowanie ryzyka dla bezpieczeństwa krytycznych łańcuchów dostaw, jak miało to miejsce w przypadku sieci 5G w następstwie zalecenia Komisji (UE) 2019/534 (19), w celu identyfikacji w każdym sektorze krytycznych usług ICT, systemów ICT lub produktów ICT, istotnych zagrożeń i podatności. W takich skoordynowanych oszacowaniach ryzyka dla bezpieczeństwa należy określić środki, plany ograniczania ryzyka i najlepsze praktyki dotyczące przeciwdziałania krytycznym zależnościom, potencjalnym pojedynczym punktom awarii, zagrożeniom, podatnościom i innemu ryzyku związanemu z łańcuchem dostaw, a także zbadać sposoby dalszego zachęcania podmiotów kluczowych i ważnych do ich szerszego stosowania. Potencjalne pozatechniczne czynniki ryzyka, takie jak nadmierny wpływ państwa trzeciego na dostawców i usługodawców, w szczególności w przypadku alternatywnych modeli zarządzania, obejmują ukryte podatności lub backdoory oraz potencjalne systemowe zakłócenia dostaw, w szczególności w przypadku blokady technologicznej lub zależności od dostawcy. |
| --- | --- |

(90)

Aby w większym stopniu ograniczyć kluczowe ryzyka w łańcuchu dostaw i pomóc podmiotom kluczowym i ważnym działającym w sektorach objętych niniejszą dyrektywą w odpowiednim zarządzaniu ryzykiem związanym z łańcuchami dostaw i dostawcami, Grupa Współpracy, we współpracy z Komisją i ENISA oraz, w stosownych przypadkach, po konsultacji z właściwymi zainteresowanymi stronami, w tym z przemysłu, powinna przeprowadzić skoordynowane oszacowanie ryzyka dla bezpieczeństwa krytycznych łańcuchów dostaw, jak miało to miejsce w przypadku sieci 5G w następstwie zalecenia Komisji (UE) 2019/534 (19), w celu identyfikacji w każdym sektorze krytycznych usług ICT, systemów ICT lub produktów ICT, istotnych zagrożeń i podatności. W takich skoordynowanych oszacowaniach ryzyka dla bezpieczeństwa należy określić środki, plany ograniczania ryzyka i najlepsze praktyki dotyczące przeciwdziałania krytycznym zależnościom, potencjalnym pojedynczym punktom awarii, zagrożeniom, podatnościom i innemu ryzyku związanemu z łańcuchem dostaw, a także zbadać sposoby dalszego zachęcania podmiotów kluczowych i ważnych do ich szerszego stosowania. Potencjalne pozatechniczne czynniki ryzyka, takie jak nadmierny wpływ państwa trzeciego na dostawców i usługodawców, w szczególności w przypadku alternatywnych modeli zarządzania, obejmują ukryte podatności lub backdoory oraz potencjalne systemowe zakłócenia dostaw, w szczególności w przypadku blokady technologicznej lub zależności od dostawcy.

| (91) | W świetle specyfiki danego sektora w skoordynowanych oszacowaniach ryzyka dla bezpieczeństwa krytycznych łańcuchów dostaw należy uwzględnić zarówno czynniki techniczne, jak i – w stosownych przypadkach – pozatechniczne, w tym te określone w zaleceniu (UE) 2019/534, w unijnym skoordynowanym oszacowaniu ryzyka dotyczącym cyberbezpieczeństwa sieci 5G oraz w unijnym zestawie narzędzi na potrzeby cyberbezpieczeństwa sieci 5G uzgodnionym przez Grupę Współpracy. Aby zidentyfikować łańcuchy dostaw, które należy poddać skoordynowanemu oszacowaniu ryzyka dla bezpieczeństwa, należy wziąć pod uwagę następujące kryteria: (i) zakres, w jakim podmioty kluczowe i ważne wykorzystują konkretne krytyczne usługi ICT, systemy ICT lub produkty ICT i są od nich zależne; (ii) znaczenie konkretnych krytycznych usług ICT, systemów ICT lub produktów ICT dla wykonywania krytycznych lub wrażliwych funkcji, w tym przetwarzania danych osobowych; (iii) dostępność alternatywnych usług ICT, systemów ICT lub produktów ICT; (iv) odporność całego łańcucha dostaw usług ICT, systemów ICT lub produktów ICT, w ciągu ich cyklu życia, na zdarzenia powodujące zakłócenia; (v) w przypadku pojawiających się usług ICT, systemów ICT lub produktów ICT – ich potencjalne przyszłe znaczenie dla działalności podmiotów. Ponadto szczególny nacisk należy położyć na usługi ICT, systemy ICT lub produkty ICT podlegające specjalnym wymogom pochodzącym z państw trzecich. |
| --- | --- |

(91)

W świetle specyfiki danego sektora w skoordynowanych oszacowaniach ryzyka dla bezpieczeństwa krytycznych łańcuchów dostaw należy uwzględnić zarówno czynniki techniczne, jak i – w stosownych przypadkach – pozatechniczne, w tym te określone w zaleceniu (UE) 2019/534, w unijnym skoordynowanym oszacowaniu ryzyka dotyczącym cyberbezpieczeństwa sieci 5G oraz w unijnym zestawie narzędzi na potrzeby cyberbezpieczeństwa sieci 5G uzgodnionym przez Grupę Współpracy. Aby zidentyfikować łańcuchy dostaw, które należy poddać skoordynowanemu oszacowaniu ryzyka dla bezpieczeństwa, należy wziąć pod uwagę następujące kryteria: (i) zakres, w jakim podmioty kluczowe i ważne wykorzystują konkretne krytyczne usługi ICT, systemy ICT lub produkty ICT i są od nich zależne; (ii) znaczenie konkretnych krytycznych usług ICT, systemów ICT lub produktów ICT dla wykonywania krytycznych lub wrażliwych funkcji, w tym przetwarzania danych osobowych; (iii) dostępność alternatywnych usług ICT, systemów ICT lub produktów ICT; (iv) odporność całego łańcucha dostaw usług ICT, systemów ICT lub produktów ICT, w ciągu ich cyklu życia, na zdarzenia powodujące zakłócenia; (v) w przypadku pojawiających się usług ICT, systemów ICT lub produktów ICT – ich potencjalne przyszłe znaczenie dla działalności podmiotów. Ponadto szczególny nacisk należy położyć na usługi ICT, systemy ICT lub produkty ICT podlegające specjalnym wymogom pochodzącym z państw trzecich.

| (92) | Aby uprościć obowiązki nałożone na dostawców publicznych sieci łączności elektronicznej lub publicznie dostępnych usług łączności elektronicznej oraz dostawców usług zaufania w odniesieniu do bezpieczeństwa ich sieci i systemów informatycznych, a także zapewnić tym podmiotom i właściwym organom na podstawie odpowiednio dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/1972 (20) oraz rozporządzenia (UE) nr 910/2014 możliwość korzystania z ram prawnych ustanowionych na podstawie niniejszej dyrektywy, co obejmuje wyznaczanie CSIRT odpowiedzialnego za obsługę incydentów oraz uczestnictwo właściwych organów w działaniach Grupy Współpracy i w sieci CSIRT, podmioty te powinny być objęte zakresem stosowania niniejszej dyrektywy. W związku z tym należy uchylić odpowiednie przepisy określone w rozporządzeniu (UE) nr 910/2014 i w dyrektywie (UE) 2018/1972, na których podstawie na te rodzaje podmiotów nałożono wymogi w zakresie bezpieczeństwa i zgłaszania incydentów. Przepisy dotyczące obowiązków w zakresie zgłaszania incydentów określone w niniejszej dyrektywie nie powinny naruszać rozporządzenia (UE) 2016/679 i dyrektywy 2002/58/WE. |
| --- | --- |

(92)

Aby uprościć obowiązki nałożone na dostawców publicznych sieci łączności elektronicznej lub publicznie dostępnych usług łączności elektronicznej oraz dostawców usług zaufania w odniesieniu do bezpieczeństwa ich sieci i systemów informatycznych, a także zapewnić tym podmiotom i właściwym organom na podstawie odpowiednio dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/1972 (20) oraz rozporządzenia (UE) nr 910/2014 możliwość korzystania z ram prawnych ustanowionych na podstawie niniejszej dyrektywy, co obejmuje wyznaczanie CSIRT odpowiedzialnego za obsługę incydentów oraz uczestnictwo właściwych organów w działaniach Grupy Współpracy i w sieci CSIRT, podmioty te powinny być objęte zakresem stosowania niniejszej dyrektywy. W związku z tym należy uchylić odpowiednie przepisy określone w rozporządzeniu (UE) nr 910/2014 i w dyrektywie (UE) 2018/1972, na których podstawie na te rodzaje podmiotów nałożono wymogi w zakresie bezpieczeństwa i zgłaszania incydentów. Przepisy dotyczące obowiązków w zakresie zgłaszania incydentów określone w niniejszej dyrektywie nie powinny naruszać rozporządzenia (UE) 2016/679 i dyrektywy 2002/58/WE.

| (93) | Obowiązki dotyczące cyberbezpieczeństwa określone w niniejszej dyrektywie należy uznać za uzupełniające względem wymogów nałożonych na dostawców usług zaufania na podstawie rozporządzenia (UE) nr 910/2014. Dostawcy usług zaufania powinni być zobowiązani do podjęcia wszelkich odpowiednich i proporcjonalnych środków w celu zarządzania ryzykiem, na jakie narażone są ich usługi, w tym w odniesieniu do klientów i ufających stron trzecich, oraz do zgłaszania incydentów na podstawie niniejszej dyrektywy. Takie obowiązki w zakresie cyberbezpieczeństwa i zgłaszania incydentów powinny również dotyczyć fizycznej ochrony świadczonych usług. Wymogi dotyczące dostawców kwalifikowanych usług zaufania określone w art. 24 rozporządzenia (UE) nr 910/2014 nadal mają zastosowanie. |
| --- | --- |

(93)

Obowiązki dotyczące cyberbezpieczeństwa określone w niniejszej dyrektywie należy uznać za uzupełniające względem wymogów nałożonych na dostawców usług zaufania na podstawie rozporządzenia (UE) nr 910/2014. Dostawcy usług zaufania powinni być zobowiązani do podjęcia wszelkich odpowiednich i proporcjonalnych środków w celu zarządzania ryzykiem, na jakie narażone są ich usługi, w tym w odniesieniu do klientów i ufających stron trzecich, oraz do zgłaszania incydentów na podstawie niniejszej dyrektywy. Takie obowiązki w zakresie cyberbezpieczeństwa i zgłaszania incydentów powinny również dotyczyć fizycznej ochrony świadczonych usług. Wymogi dotyczące dostawców kwalifikowanych usług zaufania określone w art. 24 rozporządzenia (UE) nr 910/2014 nadal mają zastosowanie.

| (94) | Państwa członkowskie mogą powierzyć rolę właściwych organów do spraw usług zaufania organom nadzorczym na podstawie rozporządzenia (UE) nr 910/2014, aby zapewnić ciągłość obecnych praktyk oraz wykorzystać wiedzę i doświadczenie zdobyte podczas stosowania tego rozporządzenia. W takim przypadku, właściwe organy działające na podstawie niniejszej dyrektywy powinny ściśle i terminowo współpracować z tymi organami nadzorczymi przez wymianę odpowiednich informacji, aby zapewnić skuteczny nadzór nad dostawcami usług zaufania i przestrzeganie przez nich wymogów określonych w niniejszej dyrektywie i w rozporządzeniu (UE) nr 910/2014. W stosownych przypadkach CSIRT lub właściwy organ na podstawie niniejszej dyrektywy powinien niezwłocznie poinformować organ nadzorczy na podstawie rozporządzenia (UE) nr 910/2014 o każdym zgłoszonym poważnym cyberzagrożeniu lub incydencie mającym wpływ na usługi zaufania, a także o każdym przypadku naruszenia niniejszej dyrektywy przez dostawcę usług zaufania. W celu zgłoszeń państwa członkowskie mogą korzystać, w stosownych przypadkach, z pojedynczego punktu zgłaszania utworzonego w celu zapewnienia wspólnego i automatycznego zgłaszania incydentów zarówno organowi nadzorczemu na podstawie rozporządzenia (UE) nr 910/2014, jak i CSIRT lub właściwemu organowi na podstawie niniejszej dyrektywy. |
| --- | --- |

(94)

Państwa członkowskie mogą powierzyć rolę właściwych organów do spraw usług zaufania organom nadzorczym na podstawie rozporządzenia (UE) nr 910/2014, aby zapewnić ciągłość obecnych praktyk oraz wykorzystać wiedzę i doświadczenie zdobyte podczas stosowania tego rozporządzenia. W takim przypadku, właściwe organy działające na podstawie niniejszej dyrektywy powinny ściśle i terminowo współpracować z tymi organami nadzorczymi przez wymianę odpowiednich informacji, aby zapewnić skuteczny nadzór nad dostawcami usług zaufania i przestrzeganie przez nich wymogów określonych w niniejszej dyrektywie i w rozporządzeniu (UE) nr 910/2014. W stosownych przypadkach CSIRT lub właściwy organ na podstawie niniejszej dyrektywy powinien niezwłocznie poinformować organ nadzorczy na podstawie rozporządzenia (UE) nr 910/2014 o każdym zgłoszonym poważnym cyberzagrożeniu lub incydencie mającym wpływ na usługi zaufania, a także o każdym przypadku naruszenia niniejszej dyrektywy przez dostawcę usług zaufania. W celu zgłoszeń państwa członkowskie mogą korzystać, w stosownych przypadkach, z pojedynczego punktu zgłaszania utworzonego w celu zapewnienia wspólnego i automatycznego zgłaszania incydentów zarówno organowi nadzorczemu na podstawie rozporządzenia (UE) nr 910/2014, jak i CSIRT lub właściwemu organowi na podstawie niniejszej dyrektywy.

| (95) | W stosownych przypadkach i aby uniknąć niepotrzebnych zakłóceń, przy transpozycji niniejszej dyrektywy należy uwzględniać istniejące wytyczne krajowe przyjęte w celu transpozycji przepisów art. 40 i 41 dyrektywy (UE) 2018/1972 dotyczących środków bezpieczeństwa, bazując na wiedzy i umiejętnościach już zdobytych w związku z dyrektywą (UE) 2018/1972 w odniesieniu do środków bezpieczeństwa i zgłaszania incydentów. ENISA może również opracować wskazówki dotyczące wymogów dotyczących bezpieczeństwa i obowiązku zgłaszania incydentów dla dostawców publicznych sieci łączności elektronicznej lub publicznie dostępnych usług łączności elektronicznej, aby ułatwić harmonizację i proces przejścia oraz zminimalizować zakłócenia. Państwa członkowskie na mocy dyrektywy (UW) 2018/1972 mogą powierzyć rolę właściwych organów do spraw łączności elektronicznej krajowym organom regulacyjnym, aby zapewnić ciągłość obecnych praktyk oraz wykorzystać wiedzę i doświadczenie zdobyte w wyniku wdrożenia tej dyrektywy. |
| --- | --- |

(95)

W stosownych przypadkach i aby uniknąć niepotrzebnych zakłóceń, przy transpozycji niniejszej dyrektywy należy uwzględniać istniejące wytyczne krajowe przyjęte w celu transpozycji przepisów art. 40 i 41 dyrektywy (UE) 2018/1972 dotyczących środków bezpieczeństwa, bazując na wiedzy i umiejętnościach już zdobytych w związku z dyrektywą (UE) 2018/1972 w odniesieniu do środków bezpieczeństwa i zgłaszania incydentów. ENISA może również opracować wskazówki dotyczące wymogów dotyczących bezpieczeństwa i obowiązku zgłaszania incydentów dla dostawców publicznych sieci łączności elektronicznej lub publicznie dostępnych usług łączności elektronicznej, aby ułatwić harmonizację i proces przejścia oraz zminimalizować zakłócenia. Państwa członkowskie na mocy dyrektywy (UW) 2018/1972 mogą powierzyć rolę właściwych organów do spraw łączności elektronicznej krajowym organom regulacyjnym, aby zapewnić ciągłość obecnych praktyk oraz wykorzystać wiedzę i doświadczenie zdobyte w wyniku wdrożenia tej dyrektywy.

| (96) | Zważywszy na rosnące znaczenie usług łączności interpersonalnej niewykorzystujących numerów zdefiniowanych w dyrektywie (UE) 2018/1972, należy zapewnić, aby usługi te podlegały również odpowiednim wymogom w zakresie bezpieczeństwa z uwagi na ich szczególny charakter i istotną rolę w gospodarce. Ponieważ obszar podatny na ataki stale się rozszerza, usługi łączności interpersonalnej niewykorzystujące numerów, takie jak komunikatory, stają się powszechnymi wektorami ataku. Cyberprzestępcy wykorzystują platformy do komunikacji i nakłaniania ofiar do otwierania niezabezpieczonych stron internetowych, co zwiększa prawdopodobieństwo incydentów związanych z wykorzystaniem danych osobowych, a tym samym naruszających bezpieczeństwo sieci i systemów informatycznych. Dostawcy usług łączności interpersonalnej niewykorzystujących numerów powinni zatem również zapewniać poziom bezpieczeństwa sieci i systemów informatycznych odpowiedni do stwarzanego ryzyka. Zważywszy, że dostawcy usług łączności interpersonalnej niewykorzystujących numerów zazwyczaj nie sprawują rzeczywistej kontroli nad transmisją sygnałów w sieciach, stopień ryzyka zachodzącego w przypadku takich usług można uznać za niższy pod pewnymi względami niż w przypadku tradycyjnych usług łączności elektronicznej. To samo ma zastosowanie do dostawców usług łączności interpersonalnej zgodnie z definicją w dyrektywie (UE) 2018/1972 wykorzystujących numery, którzy nie sprawują rzeczywistej kontroli nad transmisją sygnałów. |
| --- | --- |

(96)

Zważywszy na rosnące znaczenie usług łączności interpersonalnej niewykorzystujących numerów zdefiniowanych w dyrektywie (UE) 2018/1972, należy zapewnić, aby usługi te podlegały również odpowiednim wymogom w zakresie bezpieczeństwa z uwagi na ich szczególny charakter i istotną rolę w gospodarce. Ponieważ obszar podatny na ataki stale się rozszerza, usługi łączności interpersonalnej niewykorzystujące numerów, takie jak komunikatory, stają się powszechnymi wektorami ataku. Cyberprzestępcy wykorzystują platformy do komunikacji i nakłaniania ofiar do otwierania niezabezpieczonych stron internetowych, co zwiększa prawdopodobieństwo incydentów związanych z wykorzystaniem danych osobowych, a tym samym naruszających bezpieczeństwo sieci i systemów informatycznych. Dostawcy usług łączności interpersonalnej niewykorzystujących numerów powinni zatem również zapewniać poziom bezpieczeństwa sieci i systemów informatycznych odpowiedni do stwarzanego ryzyka. Zważywszy, że dostawcy usług łączności interpersonalnej niewykorzystujących numerów zazwyczaj nie sprawują rzeczywistej kontroli nad transmisją sygnałów w sieciach, stopień ryzyka zachodzącego w przypadku takich usług można uznać za niższy pod pewnymi względami niż w przypadku tradycyjnych usług łączności elektronicznej. To samo ma zastosowanie do dostawców usług łączności interpersonalnej zgodnie z definicją w dyrektywie (UE) 2018/1972 wykorzystujących numery, którzy nie sprawują rzeczywistej kontroli nad transmisją sygnałów.

| (97) | Rynek wewnętrzny jest bardziej niż kiedykolwiek uzależniony od funkcjonowania internetu. Usługi niemal wszystkich podmiotów kluczowych i ważnych zależą od usług świadczonych przez internet. Aby zapewnić sprawne świadczenie usług przez podmioty kluczowe i ważne, wszyscy dostawcy publicznych sieci łączności elektronicznej powinni dysponować odpowiednimi środkami zarządzania ryzykiem w cyberbezpieczeństwie i zgłaszać poważne incydenty w tym zakresie. Państwa członkowskie powinny zapewnić utrzymanie bezpieczeństwa publicznych sieci łączności elektronicznej oraz ochronę ich żywotnych interesów bezpieczeństwa przed sabotażem i szpiegostwem. Ponieważ łączność międzynarodowa wzmacnia i przyspiesza konkurencyjną cyfryzację Unii i jej gospodarki, incydenty mające wpływ na podmorskie kable komunikacyjne powinny być zgłaszane CSIRT lub, w stosownych przypadkach, właściwemu organowi. Krajowe strategie cyberbezpieczeństwa powinny, w stosownych przypadkach, uwzględniać cyberbezpieczeństwo podmorskich kabli komunikacyjnych i obejmować mapowanie potencjalnych zagrożeń cyberbezpieczeństwa oraz środki łagodzące w celu zapewnienia najwyższego poziomu ich ochrony. |
| --- | --- |

(97)

Rynek wewnętrzny jest bardziej niż kiedykolwiek uzależniony od funkcjonowania internetu. Usługi niemal wszystkich podmiotów kluczowych i ważnych zależą od usług świadczonych przez internet. Aby zapewnić sprawne świadczenie usług przez podmioty kluczowe i ważne, wszyscy dostawcy publicznych sieci łączności elektronicznej powinni dysponować odpowiednimi środkami zarządzania ryzykiem w cyberbezpieczeństwie i zgłaszać poważne incydenty w tym zakresie. Państwa członkowskie powinny zapewnić utrzymanie bezpieczeństwa publicznych sieci łączności elektronicznej oraz ochronę ich żywotnych interesów bezpieczeństwa przed sabotażem i szpiegostwem. Ponieważ łączność międzynarodowa wzmacnia i przyspiesza konkurencyjną cyfryzację Unii i jej gospodarki, incydenty mające wpływ na podmorskie kable komunikacyjne powinny być zgłaszane CSIRT lub, w stosownych przypadkach, właściwemu organowi. Krajowe strategie cyberbezpieczeństwa powinny, w stosownych przypadkach, uwzględniać cyberbezpieczeństwo podmorskich kabli komunikacyjnych i obejmować mapowanie potencjalnych zagrożeń cyberbezpieczeństwa oraz środki łagodzące w celu zapewnienia najwyższego poziomu ich ochrony.

| (98) | Aby zagwarantować bezpieczeństwo publicznych sieci łączności elektronicznej i publicznie dostępnych usług łączności elektronicznej, należy promować korzystanie z technologii szyfrowania, w szczególności szyfrowania end-to-end, a także koncepcje bezpieczeństwa skoncentrowane na danych, takie jak kartografia, segmentacja, tagowanie, polityka dostępu i zarządzanie dostępem oraz automatyczne decyzje o dostępie. W razie konieczności korzystanie z szyfrowania, w szczególności szyfrowania end-to-end, należy uczynić obowiązkowym dla dostawców publicznych sieci łączności elektronicznej i publicznie dostępnych usług łączności elektronicznej zgodnie z zasadami uwzględniania bezpieczeństwa i prywatności w sposób domyślny i na etapie projektowania do celów niniejszej dyrektywy. Korzystanie z szyfrowania end-to-end należy pogodzić z uprawnieniami państw członkowskich do tego, by zapewniać ochronę swoich podstawowych interesów związanych z bezpieczeństwem oraz bezpieczeństwa publicznego, a także umożliwiać zapobieganie przestępstwom, prowadzenie postępowań w ich sprawie oraz ich wykrywanie i ściganie zgodnie z prawem Unii. Nie powinno to jednak osłabiać szyfrowania end-to-end, które jest technologią kluczową dla skutecznej ochrony danych oraz dla prywatności i bezpieczeństwa łączności. |
| --- | --- |

(98)

Aby zagwarantować bezpieczeństwo publicznych sieci łączności elektronicznej i publicznie dostępnych usług łączności elektronicznej, należy promować korzystanie z technologii szyfrowania, w szczególności szyfrowania end-to-end, a także koncepcje bezpieczeństwa skoncentrowane na danych, takie jak kartografia, segmentacja, tagowanie, polityka dostępu i zarządzanie dostępem oraz automatyczne decyzje o dostępie. W razie konieczności korzystanie z szyfrowania, w szczególności szyfrowania end-to-end, należy uczynić obowiązkowym dla dostawców publicznych sieci łączności elektronicznej i publicznie dostępnych usług łączności elektronicznej zgodnie z zasadami uwzględniania bezpieczeństwa i prywatności w sposób domyślny i na etapie projektowania do celów niniejszej dyrektywy. Korzystanie z szyfrowania end-to-end należy pogodzić z uprawnieniami państw członkowskich do tego, by zapewniać ochronę swoich podstawowych interesów związanych z bezpieczeństwem oraz bezpieczeństwa publicznego, a także umożliwiać zapobieganie przestępstwom, prowadzenie postępowań w ich sprawie oraz ich wykrywanie i ściganie zgodnie z prawem Unii. Nie powinno to jednak osłabiać szyfrowania end-to-end, które jest technologią kluczową dla skutecznej ochrony danych oraz dla prywatności i bezpieczeństwa łączności.

| (99) | Aby zagwarantować bezpieczeństwo oraz przeciwdziałać nadużyciom i manipulacjom w publicznych sieciach łączności elektronicznej i w publicznie dostępnych usługach łączności elektronicznej, należy promować stosowanie interoperacyjnych bezpiecznych standardów routingu w celu zapewnienia integralności i niezawodności funkcji routingu w całym środowisku dostawców usług dostępu do internetu. |
| --- | --- |

(99)

Aby zagwarantować bezpieczeństwo oraz przeciwdziałać nadużyciom i manipulacjom w publicznych sieciach łączności elektronicznej i w publicznie dostępnych usługach łączności elektronicznej, należy promować stosowanie interoperacyjnych bezpiecznych standardów routingu w celu zapewnienia integralności i niezawodności funkcji routingu w całym środowisku dostawców usług dostępu do internetu.

| (100) | Aby zagwarantować funkcjonalność i integralność internetu oraz promować bezpieczeństwo i odporność DNS, należy zachęcać właściwe zainteresowane strony, w tym unijne podmioty w sektorze prywatnym, dostawców publicznie dostępnych usług łączności elektronicznej, w szczególności dostawców usług dostępu do internetu, a także dostawców wyszukiwarek internetowych do przyjęcia strategii dywersyfikacji rozwiązywania nazw DNS. Państwa członkowskie powinny również sprzyjać rozwijaniu i korzystaniu z publicznej i bezpiecznej europejskiej usługi resolwera DNS. |
| --- | --- |

(100)

Aby zagwarantować funkcjonalność i integralność internetu oraz promować bezpieczeństwo i odporność DNS, należy zachęcać właściwe zainteresowane strony, w tym unijne podmioty w sektorze prywatnym, dostawców publicznie dostępnych usług łączności elektronicznej, w szczególności dostawców usług dostępu do internetu, a także dostawców wyszukiwarek internetowych do przyjęcia strategii dywersyfikacji rozwiązywania nazw DNS. Państwa członkowskie powinny również sprzyjać rozwijaniu i korzystaniu z publicznej i bezpiecznej europejskiej usługi resolwera DNS.

| (101) | W niniejszej dyrektywie określono wieloetapowe podejście do zgłaszania poważnych incydentów, aby zapewnić odpowiednią równowagę między szybkim zgłaszaniem, które pomaga zahamować potencjalne rozprzestrzenianie się poważnych incydentów i pozwala podmiotom kluczowym i ważnym zwrócić się o pomoc, a szczegółowym zgłaszaniem, które umożliwia wyciągnięcie cennych wniosków z poszczególnych incydentów i z czasem poprawia cyberodporność poszczególnych podmiotów i całych sektorów. W tym względzie niniejsza dyrektywa powinna obejmować zgłaszanie incydentów, które – w oparciu o wstępną ocenę przeprowadzoną przez dany podmiot – mogą doprowadzić do dotkliwych zakłóceń operacyjnych w usługach bądź do strat finansowych tego podmiotu lub dotknąć inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe lub niemajątkowe. W takiej ocenie wstępnej należy wziąć pod uwagę między innymi sieci i systemy informatyczne, których dotyczy incydent, a w szczególności ich znaczenie dla świadczenia usług danego podmiotu, dotkliwość i charakterystykę techniczną cyberzagrożenia oraz bazowe podatności, które są wykorzystywane, a także doświadczenia podmiotu z podobnymi incydentami. Wskaźniki takie jak zakres skutków dla funkcjonowania usługi, czas trwania incydentu lub liczba dotkniętych nim odbiorców usług mogą odegrać ważną rolę w ustaleniu, czy zakłócenie operacyjne usługi jest dotkliwe. |
| --- | --- |

(101)

W niniejszej dyrektywie określono wieloetapowe podejście do zgłaszania poważnych incydentów, aby zapewnić odpowiednią równowagę między szybkim zgłaszaniem, które pomaga zahamować potencjalne rozprzestrzenianie się poważnych incydentów i pozwala podmiotom kluczowym i ważnym zwrócić się o pomoc, a szczegółowym zgłaszaniem, które umożliwia wyciągnięcie cennych wniosków z poszczególnych incydentów i z czasem poprawia cyberodporność poszczególnych podmiotów i całych sektorów. W tym względzie niniejsza dyrektywa powinna obejmować zgłaszanie incydentów, które – w oparciu o wstępną ocenę przeprowadzoną przez dany podmiot – mogą doprowadzić do dotkliwych zakłóceń operacyjnych w usługach bądź do strat finansowych tego podmiotu lub dotknąć inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe lub niemajątkowe. W takiej ocenie wstępnej należy wziąć pod uwagę między innymi sieci i systemy informatyczne, których dotyczy incydent, a w szczególności ich znaczenie dla świadczenia usług danego podmiotu, dotkliwość i charakterystykę techniczną cyberzagrożenia oraz bazowe podatności, które są wykorzystywane, a także doświadczenia podmiotu z podobnymi incydentami. Wskaźniki takie jak zakres skutków dla funkcjonowania usługi, czas trwania incydentu lub liczba dotkniętych nim odbiorców usług mogą odegrać ważną rolę w ustaleniu, czy zakłócenie operacyjne usługi jest dotkliwe.

| (102) | Jeżeli podmioty kluczowe lub ważne dowiedzą się o poważnym incydencie, powinny mieć obowiązek wydania wczesnego ostrzeżenia bez zbędnej zwłoki, a w każdym razie w ciągu 24 godzin. Po tym wczesnym ostrzeżeniu powinno nastąpić zgłoszenie incydentu. Dane podmioty powinny przekazać zgłoszenie incydentu bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od powzięcia informacji o poważnym incydencie, aby w szczególności zaktualizować informacje zawarte we wczesnym ostrzeżeniu oraz wstępnie ocenić poważny incydent, w tym jego dotkliwość i skutki, a także oznaki naruszenia integralności systemu, jeśli występują. Sprawozdanie końcowe należy złożyć nie później niż miesiąc po zgłoszeniu incydentu. Wczesne ostrzeżenie powinno zawierać tylko informacje niezbędne do tego, by powiadomić CSIRT lub, w stosownych przypadkach, właściwy organ o wystąpieniu incydentu i umożliwić danemu podmiotowi zwrócenie się o pomoc w razie potrzeby. Takie wczesne ostrzeżenie, w stosownych przypadkach, powinno wskazywać, czy istnieje podejrzenie, że poważny incydent jest spowodowany czynami niezgodnymi z prawem lub popełnionymi w złym zamiarze, oraz czy może on mieć skutki transgraniczne. Państwa członkowskie powinny zapewnić, aby obowiązek takiego wczesnego ostrzeżenia lub późniejszego zgłoszenia incydentu nie powodował przekierowania zasobów podmiotu zgłaszającego przeznaczonych na obsługę incydentów, które powinno być traktowane priorytetowo, tak by zapobiec sytuacji, w której obowiązki dotyczące zgłaszania incydentów powodowałyby przekierowanie zasobów przeznaczonych na reagowanie na poważne incydenty albo w inny sposób utrudniałyby działania danego podmiotu w tym zakresie. Jeżeli incydent trwa w chwili składania sprawozdania końcowego, państwa członkowskie powinny zapewnić, aby dane podmioty przedstawiły w tym czasie sprawozdanie z postępów, a sprawozdanie końcowe w ciągu jednego miesiąca od rozwiązania przez nie poważnego incydentu. |
| --- | --- |

(102)

Jeżeli podmioty kluczowe lub ważne dowiedzą się o poważnym incydencie, powinny mieć obowiązek wydania wczesnego ostrzeżenia bez zbędnej zwłoki, a w każdym razie w ciągu 24 godzin. Po tym wczesnym ostrzeżeniu powinno nastąpić zgłoszenie incydentu. Dane podmioty powinny przekazać zgłoszenie incydentu bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od powzięcia informacji o poważnym incydencie, aby w szczególności zaktualizować informacje zawarte we wczesnym ostrzeżeniu oraz wstępnie ocenić poważny incydent, w tym jego dotkliwość i skutki, a także oznaki naruszenia integralności systemu, jeśli występują. Sprawozdanie końcowe należy złożyć nie później niż miesiąc po zgłoszeniu incydentu. Wczesne ostrzeżenie powinno zawierać tylko informacje niezbędne do tego, by powiadomić CSIRT lub, w stosownych przypadkach, właściwy organ o wystąpieniu incydentu i umożliwić danemu podmiotowi zwrócenie się o pomoc w razie potrzeby. Takie wczesne ostrzeżenie, w stosownych przypadkach, powinno wskazywać, czy istnieje podejrzenie, że poważny incydent jest spowodowany czynami niezgodnymi z prawem lub popełnionymi w złym zamiarze, oraz czy może on mieć skutki transgraniczne. Państwa członkowskie powinny zapewnić, aby obowiązek takiego wczesnego ostrzeżenia lub późniejszego zgłoszenia incydentu nie powodował przekierowania zasobów podmiotu zgłaszającego przeznaczonych na obsługę incydentów, które powinno być traktowane priorytetowo, tak by zapobiec sytuacji, w której obowiązki dotyczące zgłaszania incydentów powodowałyby przekierowanie zasobów przeznaczonych na reagowanie na poważne incydenty albo w inny sposób utrudniałyby działania danego podmiotu w tym zakresie. Jeżeli incydent trwa w chwili składania sprawozdania końcowego, państwa członkowskie powinny zapewnić, aby dane podmioty przedstawiły w tym czasie sprawozdanie z postępów, a sprawozdanie końcowe w ciągu jednego miesiąca od rozwiązania przez nie poważnego incydentu.

| (103) | W stosownych przypadkach podmioty kluczowe i ważne powinny niezwłocznie informować odbiorców swoich usług o działaniach lub środkach zaradczych, które mogą oni podjąć, aby ograniczyć ryzyko wynikające z poważnego cyberzagrożenia. W stosownych przypadkach, a w szczególności gdy prawdopodobne jest wystąpienie poważnego cyberzagrożenia, podmioty te powinny poinformować również odbiorców swoich usług o samym zagrożeniu. Wymóg informowania tych odbiorców o poważnych cyberzagrożeniach powinien być spełniany na zasadzie najlepszych starań, lecz nie powinien zwalniać tych podmiotów z obowiązku zastosowania na własny koszt odpowiednich i natychmiastowych środków w celu zapobieżenia lub zaradzenia takim zagrożeniom oraz przywrócenia normalnego poziomu bezpieczeństwa danej usługi. Informacji na temat poważnych cyberzagrożeń należy udzielać bezpłatnie i powinny one być zredagowane w przystępnym języku. |
| --- | --- |

(103)

W stosownych przypadkach podmioty kluczowe i ważne powinny niezwłocznie informować odbiorców swoich usług o działaniach lub środkach zaradczych, które mogą oni podjąć, aby ograniczyć ryzyko wynikające z poważnego cyberzagrożenia. W stosownych przypadkach, a w szczególności gdy prawdopodobne jest wystąpienie poważnego cyberzagrożenia, podmioty te powinny poinformować również odbiorców swoich usług o samym zagrożeniu. Wymóg informowania tych odbiorców o poważnych cyberzagrożeniach powinien być spełniany na zasadzie najlepszych starań, lecz nie powinien zwalniać tych podmiotów z obowiązku zastosowania na własny koszt odpowiednich i natychmiastowych środków w celu zapobieżenia lub zaradzenia takim zagrożeniom oraz przywrócenia normalnego poziomu bezpieczeństwa danej usługi. Informacji na temat poważnych cyberzagrożeń należy udzielać bezpłatnie i powinny one być zredagowane w przystępnym języku.

| (104) | Dostawcy publicznych sieci łączności elektronicznej lub publicznie dostępnych usług łączności elektronicznej powinni uwzględniać bezpieczeństwo na etapie projektowania i domyślnie oraz informować odbiorców swoich usług o poważnych cyberzagrożeniach i o środkach, które odbiorcy mogą zastosować w celu ochrony bezpieczeństwa swoich urządzeń i połączeń, na przykład przez wykorzystanie szczególnych rodzajów oprogramowania lub technologii szyfrowania. |
| --- | --- |

(104)

Dostawcy publicznych sieci łączności elektronicznej lub publicznie dostępnych usług łączności elektronicznej powinni uwzględniać bezpieczeństwo na etapie projektowania i domyślnie oraz informować odbiorców swoich usług o poważnych cyberzagrożeniach i o środkach, które odbiorcy mogą zastosować w celu ochrony bezpieczeństwa swoich urządzeń i połączeń, na przykład przez wykorzystanie szczególnych rodzajów oprogramowania lub technologii szyfrowania.

| (105) | Proaktywne podejście do cyberzagrożeń jest istotnym elementem zarządzania ryzykiem w cyberbezpieczeństwie, które powinny umożliwiać właściwym organom skuteczne zapobieganie przeradzaniu się cyberzagrożeń w incydenty mogące spowodować znaczne szkody majątkowe lub niemajątkowe. W związku z tym zgłaszanie cyberzagrożeń ma kluczowe znaczenie. Dlatego zachęca się podmioty do dobrowolnego zgłaszania cyberzagrożeń. |
| --- | --- |

(105)

Proaktywne podejście do cyberzagrożeń jest istotnym elementem zarządzania ryzykiem w cyberbezpieczeństwie, które powinny umożliwiać właściwym organom skuteczne zapobieganie przeradzaniu się cyberzagrożeń w incydenty mogące spowodować znaczne szkody majątkowe lub niemajątkowe. W związku z tym zgłaszanie cyberzagrożeń ma kluczowe znaczenie. Dlatego zachęca się podmioty do dobrowolnego zgłaszania cyberzagrożeń.

| (106) | Aby uprościć zgłaszanie informacji wymaganych na podstawie niniejszej dyrektywy, a także zmniejszyć obciążenie administracyjne podmiotów, państwa członkowskie powinny zapewnić środki techniczne, takie jak pojedynczy punkt zgłaszania incydentów, systemy zautomatyzowane, formularze internetowe, interfejsy przyjazne dla użytkowników, szablony, specjalne platformy do użytku podmiotów – bez względu na to, czy są one objęte zakresem stosowania niniejszej dyrektywy – na potrzeby przekazywania odpowiednich informacji, które należy zgłosić. Finansowanie unijne wspierające wdrażanie niniejszej dyrektywy, w szczególności w ramach programu „Cyfrowa Europa” ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/694 (21), mogłoby obejmować wsparcie dla pojedynczych punktów zgłaszania incydentów. Ponadto podmioty znajdują się często w sytuacji, w której konkretny incydent, ze względu na jego cechy, należy zgłosić różnym organom w wyniku istnienia obowiązków w zakresie zgłaszania przewidzianych w różnych instrumentach prawnych. Takie przypadki powodują dodatkowe obciążenie administracyjne, a ponadto mogą rodzić niepewność dotyczącą formatu i procedur dokonywania takich zgłoszeń. Jeżeli utworzony został pojedynczy punkt zgłaszania incydentów, państwa członkowskie zachęca się również do korzystania z tego pojedynczego punktu zgłaszania incydentów bezpieczeństwa zgodnie z wymogami innych unijnych aktów prawnych, takich jak rozporządzenie (UE) 2016/679 i dyrektywa 2002/58/WE. Korzystanie z takiego pojedynczego punktu zgłaszania incydentów bezpieczeństwa na podstawie rozporządzenia (UE) 2016/679 i dyrektywy 2002/58/WE nie powinno mieć wpływu na stosowanie przepisów rozporządzenia (UE) 2016/679 i dyrektywy 2002/58/WE, w szczególności przepisów dotyczących niezależności organów, o których mowa w tych aktach. ENISA, we współpracy z Grupą Współpracy, powinna opracować wspólne wzory zgłoszeń w formie wytycznych służących ułatwieniu i usprawnieniu przekazywania informacji, które należy zgłosić na podstawie prawa Unii oraz zmniejszeniu obciążenia administracyjnego podmiotów zgłaszających. |
| --- | --- |

(106)

Aby uprościć zgłaszanie informacji wymaganych na podstawie niniejszej dyrektywy, a także zmniejszyć obciążenie administracyjne podmiotów, państwa członkowskie powinny zapewnić środki techniczne, takie jak pojedynczy punkt zgłaszania incydentów, systemy zautomatyzowane, formularze internetowe, interfejsy przyjazne dla użytkowników, szablony, specjalne platformy do użytku podmiotów – bez względu na to, czy są one objęte zakresem stosowania niniejszej dyrektywy – na potrzeby przekazywania odpowiednich informacji, które należy zgłosić. Finansowanie unijne wspierające wdrażanie niniejszej dyrektywy, w szczególności w ramach programu „Cyfrowa Europa” ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/694 (21), mogłoby obejmować wsparcie dla pojedynczych punktów zgłaszania incydentów. Ponadto podmioty znajdują się często w sytuacji, w której konkretny incydent, ze względu na jego cechy, należy zgłosić różnym organom w wyniku istnienia obowiązków w zakresie zgłaszania przewidzianych w różnych instrumentach prawnych. Takie przypadki powodują dodatkowe obciążenie administracyjne, a ponadto mogą rodzić niepewność dotyczącą formatu i procedur dokonywania takich zgłoszeń. Jeżeli utworzony został pojedynczy punkt zgłaszania incydentów, państwa członkowskie zachęca się również do korzystania z tego pojedynczego punktu zgłaszania incydentów bezpieczeństwa zgodnie z wymogami innych unijnych aktów prawnych, takich jak rozporządzenie (UE) 2016/679 i dyrektywa 2002/58/WE. Korzystanie z takiego pojedynczego punktu zgłaszania incydentów bezpieczeństwa na podstawie rozporządzenia (UE) 2016/679 i dyrektywy 2002/58/WE nie powinno mieć wpływu na stosowanie przepisów rozporządzenia (UE) 2016/679 i dyrektywy 2002/58/WE, w szczególności przepisów dotyczących niezależności organów, o których mowa w tych aktach. ENISA, we współpracy z Grupą Współpracy, powinna opracować wspólne wzory zgłoszeń w formie wytycznych służących ułatwieniu i usprawnieniu przekazywania informacji, które należy zgłosić na podstawie prawa Unii oraz zmniejszeniu obciążenia administracyjnego podmiotów zgłaszających.

| (107) | W razie podejrzenia, że incydent ma związek z poważnymi przestępstwami w rozumieniu prawa Unii lub prawa krajowego, państwa członkowskie powinny zachęcać podmioty kluczowe i ważne, w oparciu o mające zastosowanie przepisy z zakresu postępowania karnego zgodnie z prawem Unii, do zgłaszania odpowiednim organom ścigania incydentów noszących znamiona poważnego przestępstwa. W stosownych przypadkach i bez uszczerbku dla przepisów o ochronie danych osobowych mających zastosowanie do Europolu pożądane jest, aby koordynację między właściwymi organami i organami ścigania z różnych państw członkowskich ułatwiały Europejskie Centrum ds. Walki z Cyberprzestępczością (EC3) oraz ENISA. |
| --- | --- |

(107)

W razie podejrzenia, że incydent ma związek z poważnymi przestępstwami w rozumieniu prawa Unii lub prawa krajowego, państwa członkowskie powinny zachęcać podmioty kluczowe i ważne, w oparciu o mające zastosowanie przepisy z zakresu postępowania karnego zgodnie z prawem Unii, do zgłaszania odpowiednim organom ścigania incydentów noszących znamiona poważnego przestępstwa. W stosownych przypadkach i bez uszczerbku dla przepisów o ochronie danych osobowych mających zastosowanie do Europolu pożądane jest, aby koordynację między właściwymi organami i organami ścigania z różnych państw członkowskich ułatwiały Europejskie Centrum ds. Walki z Cyberprzestępczością (EC3) oraz ENISA.

| (108) | W wielu przypadkach istnieje niebezpieczeństwo naruszenia danych osobowych w wyniku incydentów. W tym kontekście właściwe organy powinny współpracować oraz wymieniać się informacjami dotyczącymi wszystkich istotnych kwestii z organami, o których mowa w rozporządzeniu (UE) 2016/679 i dyrektywie 2002/58/WE. |
| --- | --- |

(108)

W wielu przypadkach istnieje niebezpieczeństwo naruszenia danych osobowych w wyniku incydentów. W tym kontekście właściwe organy powinny współpracować oraz wymieniać się informacjami dotyczącymi wszystkich istotnych kwestii z organami, o których mowa w rozporządzeniu (UE) 2016/679 i dyrektywie 2002/58/WE.

| (109) | Prowadzenie prawidłowych i kompletnych baz danych dotyczących rejestracji nazw domen (dane WHOIS) oraz zapewnienie zgodnego z prawem dostępu do takich danych jest niezbędne do zapewnienia bezpieczeństwa, stabilności i odporności DNS, co z kolei przyczynia się do wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii. W tym konkretnym celu rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny być zobowiązane do przetwarzania niektórych danych niezbędnych do osiągnięcia tego celu. Takie przetwarzanie powinno stanowić obowiązek prawny w rozumieniu art. 6 ust. 1 lit. c) rozporządzenia (UE) 2016/679. Obowiązek ten pozostaje bez uszczerbku dla możliwości gromadzenia danych dotyczących rejestracji nazw domen do innych celów, na przykład na podstawie ustaleń umownych lub wymogów prawnych ustanowionych w innych przepisach prawa Unii lub prawa krajowego. Obowiązek ten ma na celu stworzenie kompletnego i dokładnego zbioru danych rejestracyjnych i nie powinien skutkować gromadzeniem tych samych danych wielokrotnie. Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny ze sobą współpracować, aby uniknąć powielania tego zadania. |
| --- | --- |

(109)

Prowadzenie prawidłowych i kompletnych baz danych dotyczących rejestracji nazw domen (dane WHOIS) oraz zapewnienie zgodnego z prawem dostępu do takich danych jest niezbędne do zapewnienia bezpieczeństwa, stabilności i odporności DNS, co z kolei przyczynia się do wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii. W tym konkretnym celu rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny być zobowiązane do przetwarzania niektórych danych niezbędnych do osiągnięcia tego celu. Takie przetwarzanie powinno stanowić obowiązek prawny w rozumieniu art. 6 ust. 1 lit. c) rozporządzenia (UE) 2016/679. Obowiązek ten pozostaje bez uszczerbku dla możliwości gromadzenia danych dotyczących rejestracji nazw domen do innych celów, na przykład na podstawie ustaleń umownych lub wymogów prawnych ustanowionych w innych przepisach prawa Unii lub prawa krajowego. Obowiązek ten ma na celu stworzenie kompletnego i dokładnego zbioru danych rejestracyjnych i nie powinien skutkować gromadzeniem tych samych danych wielokrotnie. Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny ze sobą współpracować, aby uniknąć powielania tego zadania.

| (110) | Dostępność danych dotyczących rejestracji nazw domen dla wnioskodawców ubiegających się o prawnie uzasadniony dostęp, a także możliwość uzyskania przez nich szybkiego dostępu do tych danych mają zasadnicze znaczenie dla zapobiegania nadużywaniu DNS i zwalczania ich, a także dla zapobiegania incydentom oraz ich wykrywania i reagowania na nie. Przez wnioskodawcę ubiegającego się o prawnie uzasadniony dostęp należy rozumieć osobę fizyczną lub prawną występującą z wnioskiem na podstawie prawa Unii lub prawa krajowego. Mogą to być organy właściwe na mocy niniejszej dyrektywy oraz organy właściwe na mocy prawa Unii lub prawa krajowego do spraw zapobiegania przestępstwom, prowadzenia postępowań w ich sprawie, wykrywania ich i ścigania, a także CERT lub CSIRT. Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny być zobowiązane umożliwić wnioskodawcom ubiegającym się o prawnie uzasadniony dostęp uzyskanie zgodnego z prawem dostępu do konkretnych danych dotyczących rejestracji nazw domen niezbędnych do celów wniosku o uzyskanie dostępu zgodnie z prawem Unii i prawem krajowym. Do wniosku osób ubiegających się o prawnie uzasadniony dostęp należy dołączyć uzasadnienie pozwalające ocenić konieczność dostępu do danych. |
| --- | --- |

(110)

Dostępność danych dotyczących rejestracji nazw domen dla wnioskodawców ubiegających się o prawnie uzasadniony dostęp, a także możliwość uzyskania przez nich szybkiego dostępu do tych danych mają zasadnicze znaczenie dla zapobiegania nadużywaniu DNS i zwalczania ich, a także dla zapobiegania incydentom oraz ich wykrywania i reagowania na nie. Przez wnioskodawcę ubiegającego się o prawnie uzasadniony dostęp należy rozumieć osobę fizyczną lub prawną występującą z wnioskiem na podstawie prawa Unii lub prawa krajowego. Mogą to być organy właściwe na mocy niniejszej dyrektywy oraz organy właściwe na mocy prawa Unii lub prawa krajowego do spraw zapobiegania przestępstwom, prowadzenia postępowań w ich sprawie, wykrywania ich i ścigania, a także CERT lub CSIRT. Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny być zobowiązane umożliwić wnioskodawcom ubiegającym się o prawnie uzasadniony dostęp uzyskanie zgodnego z prawem dostępu do konkretnych danych dotyczących rejestracji nazw domen niezbędnych do celów wniosku o uzyskanie dostępu zgodnie z prawem Unii i prawem krajowym. Do wniosku osób ubiegających się o prawnie uzasadniony dostęp należy dołączyć uzasadnienie pozwalające ocenić konieczność dostępu do danych.

| (111) | W celu zapewnienia dostępności prawidłowych i kompletnych danych dotyczących rejestracji nazw domen rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny gromadzić dane dotyczące rejestracji nazw domen oraz zapewniać ich integralność i dostępność. W szczególności rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny ustanowić polityki i procedury na potrzeby gromadzenia i utrzymywania prawidłowych i kompletnych danych dotyczących rejestracji nazw domen, a także przeciwdziałać powstawaniu nieprawidłowych danych rejestracyjnych i poprawiać je zgodnie z unijnymi przepisami o ochronie danych. W tych politykach i procedurach należy w miarę możliwości uwzględniać normy opracowane przez struktury zarządzania z udziałem wielu zainteresowanych stron na poziomie międzynarodowym. Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny przyjąć i stosować wyważone procedury weryfikacji danych dotyczących rejestracji nazw domen. Procedury te powinny odzwierciedlać najlepsze praktyki stosowane w branży oraz, w miarę możliwości, postępy w dziedzinie identyfikacji elektronicznej. Wśród przykładów procedur weryfikacji można wymienić kontrole ex ante przeprowadzane w momencie rejestracji oraz kontrole ex post przeprowadzane po rejestracji. Rejestry nazw TLD oraz podmioty świadczące usługi rejestracji nazw domen powinny w szczególności zweryfikować co najmniej jeden ze sposobów kontaktu z rejestrującym. |
| --- | --- |

(111)

W celu zapewnienia dostępności prawidłowych i kompletnych danych dotyczących rejestracji nazw domen rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny gromadzić dane dotyczące rejestracji nazw domen oraz zapewniać ich integralność i dostępność. W szczególności rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny ustanowić polityki i procedury na potrzeby gromadzenia i utrzymywania prawidłowych i kompletnych danych dotyczących rejestracji nazw domen, a także przeciwdziałać powstawaniu nieprawidłowych danych rejestracyjnych i poprawiać je zgodnie z unijnymi przepisami o ochronie danych. W tych politykach i procedurach należy w miarę możliwości uwzględniać normy opracowane przez struktury zarządzania z udziałem wielu zainteresowanych stron na poziomie międzynarodowym. Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny przyjąć i stosować wyważone procedury weryfikacji danych dotyczących rejestracji nazw domen. Procedury te powinny odzwierciedlać najlepsze praktyki stosowane w branży oraz, w miarę możliwości, postępy w dziedzinie identyfikacji elektronicznej. Wśród przykładów procedur weryfikacji można wymienić kontrole ex ante przeprowadzane w momencie rejestracji oraz kontrole ex post przeprowadzane po rejestracji. Rejestry nazw TLD oraz podmioty świadczące usługi rejestracji nazw domen powinny w szczególności zweryfikować co najmniej jeden ze sposobów kontaktu z rejestrującym.

| (112) | Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny być zobowiązane podawać do wiadomości publicznej dane dotyczące rejestracji nazw domen nieobjęte zakresem stosowania unijnych przepisów o ochronie danych, takie jak dane dotyczące osób prawnych, zgodnie z preambułą rozporządzenia (UE) 2016/679. W przypadku osób prawnych rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny podawać do wiadomości publicznej co najmniej nazwę rejestrującego i kontaktowy numer telefonu. Należy również podawać kontaktowy adres poczty elektronicznej, pod warunkiem że nie zawiera on żadnych danych osobowych, tak jak w przypadku aliasów poczty elektronicznej lub skrzynek funkcyjnych. Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny ponadto umożliwiać wnioskodawcom ubiegającym się o prawnie uzasadniony dostęp uzyskanie takiego dostępu do konkretnych danych dotyczących rejestracji nazw domen, odnoszących się do osób fizycznych, zgodnie z unijnymi przepisami o ochronie danych. Państwa członkowskie powinny wymagać, aby rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen odpowiadały bez zbędnej zwłoki na wnioski o ujawnienie danych dotyczących rejestracji nazw domen składane przez wnioskodawców ubiegających się o prawnie uzasadniony dostęp. Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny ustanowić polityki i procedury na potrzeby publikacji i ujawniania danych rejestracyjnych, w tym umowy o gwarantowanym poziomie usług regulujące rozpatrywanie wniosków o dostęp składanych przez wnioskodawców ubiegających się o prawnie uzasadniony dostęp. W tych politykach i procedurach należy w miarę możliwości uwzględnić wskazówki i normy opracowane przez struktury zarządzania z udziałem wielu zainteresowanych stron na poziomie międzynarodowym. Procedura uzyskiwania dostępu może obejmować wykorzystanie interfejsu, portalu lub innego narzędzia technicznego w celu zapewnienia skutecznego systemu umożliwiającego składanie wniosków o dostęp do danych rejestracyjnych i uzyskiwanie do nich dostępu. W celu promowania zharmonizowanych praktyk na całym rynku wewnętrznym Komisja może, bez uszczerbku dla kompetencji Europejskiej Rady Ochrony Danych, podać wytyczne dotyczące takich procedur, uwzględniające w miarę możliwości normy opracowane przez struktury zarządzania z udziałem wielu zainteresowanych stron na poziomie międzynarodowym. Państwa członkowskie powinny zapewnić, aby każdy rodzaj dostępu do danych osobowych i nieosobowych dotyczących rejestracji domen był bezpłatny. |
| --- | --- |

(112)

Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny być zobowiązane podawać do wiadomości publicznej dane dotyczące rejestracji nazw domen nieobjęte zakresem stosowania unijnych przepisów o ochronie danych, takie jak dane dotyczące osób prawnych, zgodnie z preambułą rozporządzenia (UE) 2016/679. W przypadku osób prawnych rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny podawać do wiadomości publicznej co najmniej nazwę rejestrującego i kontaktowy numer telefonu. Należy również podawać kontaktowy adres poczty elektronicznej, pod warunkiem że nie zawiera on żadnych danych osobowych, tak jak w przypadku aliasów poczty elektronicznej lub skrzynek funkcyjnych. Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny ponadto umożliwiać wnioskodawcom ubiegającym się o prawnie uzasadniony dostęp uzyskanie takiego dostępu do konkretnych danych dotyczących rejestracji nazw domen, odnoszących się do osób fizycznych, zgodnie z unijnymi przepisami o ochronie danych. Państwa członkowskie powinny wymagać, aby rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen odpowiadały bez zbędnej zwłoki na wnioski o ujawnienie danych dotyczących rejestracji nazw domen składane przez wnioskodawców ubiegających się o prawnie uzasadniony dostęp. Rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen powinny ustanowić polityki i procedury na potrzeby publikacji i ujawniania danych rejestracyjnych, w tym umowy o gwarantowanym poziomie usług regulujące rozpatrywanie wniosków o dostęp składanych przez wnioskodawców ubiegających się o prawnie uzasadniony dostęp. W tych politykach i procedurach należy w miarę możliwości uwzględnić wskazówki i normy opracowane przez struktury zarządzania z udziałem wielu zainteresowanych stron na poziomie międzynarodowym. Procedura uzyskiwania dostępu może obejmować wykorzystanie interfejsu, portalu lub innego narzędzia technicznego w celu zapewnienia skutecznego systemu umożliwiającego składanie wniosków o dostęp do danych rejestracyjnych i uzyskiwanie do nich dostępu. W celu promowania zharmonizowanych praktyk na całym rynku wewnętrznym Komisja może, bez uszczerbku dla kompetencji Europejskiej Rady Ochrony Danych, podać wytyczne dotyczące takich procedur, uwzględniające w miarę możliwości normy opracowane przez struktury zarządzania z udziałem wielu zainteresowanych stron na poziomie międzynarodowym. Państwa członkowskie powinny zapewnić, aby każdy rodzaj dostępu do danych osobowych i nieosobowych dotyczących rejestracji domen był bezpłatny.

| (113) | Podmioty objęte zakresem stosowania niniejszej dyrektywy należy uznać za podlegające jurysdykcji państwa członkowskiego, w którym mają miejsce prowadzenia działalności. Jednak dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej należy uznać za podlegających jurysdykcji państwa członkowskiego, w którym świadczą usługi. Należy uznać, że dostawcy usług DNS, rejestry nazw TLD, podmioty świadczące usługi rejestracji nazw domen, dostawcy usług chmurowych, dostawcy usług ośrodka przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie bezpieczeństwa, a także dostawcy internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych podlegają jurysdykcji państwa członkowskiego, w którym mają główne miejsce prowadzenia działalności w Unii. Podmioty administracji publicznej powinny podlegać jurysdykcji państwa członkowskiego, które je ustanowiło. Jeżeli podmiot świadczy usługi lub ma miejsce prowadzenia działalności w więcej niż jednym państwie członkowskim, powinien podlegać odrębnej i równoczesnej jurysdykcji każdego z tych państw członkowskich. Właściwe organy tych państw członkowskich powinny ze sobą współpracować, zapewniać sobie wzajemną pomoc oraz, w stosownych przypadkach, prowadzić wspólne działania nadzorcze. W przypadku gdy państwa członkowskie sprawują jurysdykcję, nie powinny one nakładać środków egzekwowania przepisów lub kar za to samo zachowanie więcej niż jeden raz, zgodnie z zasadą ne bis in idem. |
| --- | --- |

(113)

Podmioty objęte zakresem stosowania niniejszej dyrektywy należy uznać za podlegające jurysdykcji państwa członkowskiego, w którym mają miejsce prowadzenia działalności. Jednak dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej należy uznać za podlegających jurysdykcji państwa członkowskiego, w którym świadczą usługi. Należy uznać, że dostawcy usług DNS, rejestry nazw TLD, podmioty świadczące usługi rejestracji nazw domen, dostawcy usług chmurowych, dostawcy usług ośrodka przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie bezpieczeństwa, a także dostawcy internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych podlegają jurysdykcji państwa członkowskiego, w którym mają główne miejsce prowadzenia działalności w Unii. Podmioty administracji publicznej powinny podlegać jurysdykcji państwa członkowskiego, które je ustanowiło. Jeżeli podmiot świadczy usługi lub ma miejsce prowadzenia działalności w więcej niż jednym państwie członkowskim, powinien podlegać odrębnej i równoczesnej jurysdykcji każdego z tych państw członkowskich. Właściwe organy tych państw członkowskich powinny ze sobą współpracować, zapewniać sobie wzajemną pomoc oraz, w stosownych przypadkach, prowadzić wspólne działania nadzorcze. W przypadku gdy państwa członkowskie sprawują jurysdykcję, nie powinny one nakładać środków egzekwowania przepisów lub kar za to samo zachowanie więcej niż jeden raz, zgodnie z zasadą ne bis in idem.

| (114) | Aby uwzględnić transgraniczny charakter usług i działalności dostawców usług DNS, rejestrów nazw TLD, podmiotów świadczących usługi rejestracji nazw domen, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, a także dostawców internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych, takie podmioty powinny podlegać jurysdykcji wyłącznie jednego państwa członkowskiego. Jurysdykcja powinna należeć do państwa członkowskiego, w którym dany podmiot ma główne miejsce prowadzenia działalności w Unii. Kryterium miejsca prowadzenia działalności do celów niniejszej dyrektywy oznacza faktyczne prowadzenie działalności poprzez stabilne struktury. Forma prawna takich struktur, niezależnie od tego, czy chodzi o oddział czy podmiot zależny mający osobowość prawną, nie jest w tym względzie czynnikiem decydującym. Spełnienie tego kryterium nie powinno zależeć od tego, czy sieci i systemy informatyczne są fizycznie zlokalizowane w danym miejscu; fizyczne położenie i wykorzystanie takich systemów nie stanowią same w sobie takiego głównego miejsca prowadzenia działalności i nie są zatem przesądzającymi kryteriami pozwalającymi ustalić główne miejsce prowadzenia działalności. Należy uznać, że główne miejsce prowadzenia działalności znajduje się w państwie członkowskim, w którym głównie podejmuje się w Unii decyzje związane ze środkami zarządzania ryzykiem w cyberbezpieczeństwie. Będzie ono zazwyczaj odpowiadać miejscu centralnej administracji podmiotów w Unii. Jeżeli nie można ustalić takiego państwa członkowskiego lub jeżeli takich decyzji nie podejmuje się w Unii, należy uznać, że główne miejsce prowadzenia działalności znajduje się w państwie członkowskim, w którym prowadzone są działania w zakresie cyberbezpieczeństwa. Jeżeli nie można ustalić takiego państwa członkowskiego, należy uznać, że główne miejsce prowadzenia działalności znajduje się w państwie członkowskim, w którym dany podmiot prowadzi działalność z największą liczbą pracowników w Unii. Jeżeli usługi świadczy grupa przedsiębiorstw, za główne miejsce prowadzenia działalności grupy przedsiębiorstw należy uznać główne miejsce prowadzenia działalności przedsiębiorstwa sprawującego kontrolę. |
| --- | --- |

(114)

Aby uwzględnić transgraniczny charakter usług i działalności dostawców usług DNS, rejestrów nazw TLD, podmiotów świadczących usługi rejestracji nazw domen, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, a także dostawców internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych, takie podmioty powinny podlegać jurysdykcji wyłącznie jednego państwa członkowskiego. Jurysdykcja powinna należeć do państwa członkowskiego, w którym dany podmiot ma główne miejsce prowadzenia działalności w Unii. Kryterium miejsca prowadzenia działalności do celów niniejszej dyrektywy oznacza faktyczne prowadzenie działalności poprzez stabilne struktury. Forma prawna takich struktur, niezależnie od tego, czy chodzi o oddział czy podmiot zależny mający osobowość prawną, nie jest w tym względzie czynnikiem decydującym. Spełnienie tego kryterium nie powinno zależeć od tego, czy sieci i systemy informatyczne są fizycznie zlokalizowane w danym miejscu; fizyczne położenie i wykorzystanie takich systemów nie stanowią same w sobie takiego głównego miejsca prowadzenia działalności i nie są zatem przesądzającymi kryteriami pozwalającymi ustalić główne miejsce prowadzenia działalności. Należy uznać, że główne miejsce prowadzenia działalności znajduje się w państwie członkowskim, w którym głównie podejmuje się w Unii decyzje związane ze środkami zarządzania ryzykiem w cyberbezpieczeństwie. Będzie ono zazwyczaj odpowiadać miejscu centralnej administracji podmiotów w Unii. Jeżeli nie można ustalić takiego państwa członkowskiego lub jeżeli takich decyzji nie podejmuje się w Unii, należy uznać, że główne miejsce prowadzenia działalności znajduje się w państwie członkowskim, w którym prowadzone są działania w zakresie cyberbezpieczeństwa. Jeżeli nie można ustalić takiego państwa członkowskiego, należy uznać, że główne miejsce prowadzenia działalności znajduje się w państwie członkowskim, w którym dany podmiot prowadzi działalność z największą liczbą pracowników w Unii. Jeżeli usługi świadczy grupa przedsiębiorstw, za główne miejsce prowadzenia działalności grupy przedsiębiorstw należy uznać główne miejsce prowadzenia działalności przedsiębiorstwa sprawującego kontrolę.

| (115) | W przypadku gdy dostawca publicznych sieci łączności elektronicznej lub dostawca publicznie dostępnych usług łączności elektronicznej świadczy publicznie dostępną rekurencyjną usługę DNS jedynie w ramach usługi dostępu do internetu, dany podmiot należy uznać za podlegający jurysdykcji wszystkich państw członkowskich, w których świadczy usługi. |
| --- | --- |

(115)

W przypadku gdy dostawca publicznych sieci łączności elektronicznej lub dostawca publicznie dostępnych usług łączności elektronicznej świadczy publicznie dostępną rekurencyjną usługę DNS jedynie w ramach usługi dostępu do internetu, dany podmiot należy uznać za podlegający jurysdykcji wszystkich państw członkowskich, w których świadczy usługi.

| (116) | Jeżeli dostawca usług DNS, rejestr nazw TLD, podmiot świadczący usługi rejestracji nazw domen, dostawca usług chmurowych, dostawca usług ośrodka przetwarzania danych, dostawca sieci dostarczania treści, dostawca usług zarządzanych, dostawca usług zarządzanych w zakresie bezpieczeństwa, a także dostawca internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych, który nie ma miejsca prowadzenia działalności w Unii, oferuje usługi w Unii, powinien on wyznaczyć przedstawiciela. Aby stwierdzić, czy podmiot oferuje usługi w Unii, należy ustalić, czy dany podmiot zamierza oferować usługi osobom w co najmniej jednym państwie członkowskim. Należy uznać, że do stwierdzenia takiego zamiaru nie wystarczy sama dostępność w Unii strony internetowej lub adresu poczty elektronicznej i innych danych kontaktowych podmiotu lub pośrednika ani posługiwanie się językiem powszechnie stosowanym w państwie trzecim, w którym podmiot ma miejsce prowadzenia działalności. Jednakże czynniki takie jak posługiwanie się językiem lub walutą powszechnie stosowanymi w jednym lub większej liczbie państw członkowskich oraz możliwość zamówienia usług w tym języku lub wzmianka o klientach lub użytkownikach znajdujących się w Unii, mogą potwierdzać oczywistość zamiaru oferowania przez podmiot usług w Unii. Przedstawiciel powinien występować w imieniu podmiotu, a właściwe organy lub CSIRT powinny móc zwracać się do przedstawiciela. Przedstawiciel powinien zostać wyznaczony wyraźnie za pomocą udzielonego przez podmiot pisemnego upoważnienia do występowania w jego imieniu w zakresie jego obowiązków ustanowionych w niniejszej dyrektywie, w tym zgłaszania incydentów. |
| --- | --- |

(116)

Jeżeli dostawca usług DNS, rejestr nazw TLD, podmiot świadczący usługi rejestracji nazw domen, dostawca usług chmurowych, dostawca usług ośrodka przetwarzania danych, dostawca sieci dostarczania treści, dostawca usług zarządzanych, dostawca usług zarządzanych w zakresie bezpieczeństwa, a także dostawca internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych, który nie ma miejsca prowadzenia działalności w Unii, oferuje usługi w Unii, powinien on wyznaczyć przedstawiciela. Aby stwierdzić, czy podmiot oferuje usługi w Unii, należy ustalić, czy dany podmiot zamierza oferować usługi osobom w co najmniej jednym państwie członkowskim. Należy uznać, że do stwierdzenia takiego zamiaru nie wystarczy sama dostępność w Unii strony internetowej lub adresu poczty elektronicznej i innych danych kontaktowych podmiotu lub pośrednika ani posługiwanie się językiem powszechnie stosowanym w państwie trzecim, w którym podmiot ma miejsce prowadzenia działalności. Jednakże czynniki takie jak posługiwanie się językiem lub walutą powszechnie stosowanymi w jednym lub większej liczbie państw członkowskich oraz możliwość zamówienia usług w tym języku lub wzmianka o klientach lub użytkownikach znajdujących się w Unii, mogą potwierdzać oczywistość zamiaru oferowania przez podmiot usług w Unii. Przedstawiciel powinien występować w imieniu podmiotu, a właściwe organy lub CSIRT powinny móc zwracać się do przedstawiciela. Przedstawiciel powinien zostać wyznaczony wyraźnie za pomocą udzielonego przez podmiot pisemnego upoważnienia do występowania w jego imieniu w zakresie jego obowiązków ustanowionych w niniejszej dyrektywie, w tym zgłaszania incydentów.

| (117) | Aby zapewnić jasny obraz dostawców usług DNS, rejestrów nazw TLD, podmiotów świadczących usługi rejestracji nazw domen, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, a także dostawców internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych, świadczących w całej Unii usługi podlegające zakresowi stosowania niniejszej dyrektywy, ENISA powinna utworzyć i prowadzić rejestr takich podmiotów, w oparciu o informacje otrzymane przez państwa członkowskie, w stosownych przypadkach za pośrednictwem mechanizmów krajowych ustanowionych dla podmiotów celem ich rejestracji. Pojedyncze punkty kontaktowe powinny przekazywać ENISA informacje i powiadamiać ją o wszelkich ich zmianach. W celu zapewnienia dokładności i kompletności informacji, które powinny być zawarte w tym rejestrze, państwa członkowskie mogą przekazywać ENISA informacje na temat tych podmiotów dostępne we wszelkich rejestrach krajowych. ENISA i państwa członkowskie powinny podjąć środki w celu ułatwienia interoperacyjności takich rejestrów i zapewnić jednocześnie ochronę informacji poufnych lub niejawnych. ENISA powinna ustanowić odpowiednie protokoły klasyfikacji informacji i zarządzania informacjami, aby zapewnić bezpieczeństwo i poufność ujawnianych informacji oraz ograniczyć dostęp do takich informacji, ich przechowywanie i przekazywanie docelowym użytkownikom. |
| --- | --- |

(117)

Aby zapewnić jasny obraz dostawców usług DNS, rejestrów nazw TLD, podmiotów świadczących usługi rejestracji nazw domen, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, a także dostawców internetowych platform handlowych, wyszukiwarek internetowych oraz platform usług sieci społecznościowych, świadczących w całej Unii usługi podlegające zakresowi stosowania niniejszej dyrektywy, ENISA powinna utworzyć i prowadzić rejestr takich podmiotów, w oparciu o informacje otrzymane przez państwa członkowskie, w stosownych przypadkach za pośrednictwem mechanizmów krajowych ustanowionych dla podmiotów celem ich rejestracji. Pojedyncze punkty kontaktowe powinny przekazywać ENISA informacje i powiadamiać ją o wszelkich ich zmianach. W celu zapewnienia dokładności i kompletności informacji, które powinny być zawarte w tym rejestrze, państwa członkowskie mogą przekazywać ENISA informacje na temat tych podmiotów dostępne we wszelkich rejestrach krajowych. ENISA i państwa członkowskie powinny podjąć środki w celu ułatwienia interoperacyjności takich rejestrów i zapewnić jednocześnie ochronę informacji poufnych lub niejawnych. ENISA powinna ustanowić odpowiednie protokoły klasyfikacji informacji i zarządzania informacjami, aby zapewnić bezpieczeństwo i poufność ujawnianych informacji oraz ograniczyć dostęp do takich informacji, ich przechowywanie i przekazywanie docelowym użytkownikom.

| (118) | Gdy dochodzi do wymiany, zgłoszenia lub innego rodzaju udostępnienia na podstawie niniejszej dyrektywy informacji, które są niejawne zgodnie z prawem Unii lub prawem krajowym, należy stosować odpowiednie przepisy dotyczące postępowania z informacjami niejawnymi. Ponadto ENISA powinna dysponować infrastrukturą, procedurami i zasadami umożliwiającymi przetwarzanie informacji szczególnie chronionych i niejawnych zgodnie z obowiązującymi przepisami bezpieczeństwa w zakresie ochrony informacji niejawnych UE. |
| --- | --- |

(118)

Gdy dochodzi do wymiany, zgłoszenia lub innego rodzaju udostępnienia na podstawie niniejszej dyrektywy informacji, które są niejawne zgodnie z prawem Unii lub prawem krajowym, należy stosować odpowiednie przepisy dotyczące postępowania z informacjami niejawnymi. Ponadto ENISA powinna dysponować infrastrukturą, procedurami i zasadami umożliwiającymi przetwarzanie informacji szczególnie chronionych i niejawnych zgodnie z obowiązującymi przepisami bezpieczeństwa w zakresie ochrony informacji niejawnych UE.

| (119) | Biorąc pod uwagę, że cyberzagrożenia stają się coraz bardziej złożone i zaawansowane, skuteczne wykrywanie takich zagrożeń i środki zapobiegania im zależą w dużej mierze od regularnej wymiany między podmiotami danych wywiadowczych na temat zagrożeń i podatności. Wymiana informacji przyczynia się do większej świadomości na temat cyberzagrożeń, co z kolei zwiększa zdolność podmiotów do zapobiegania przeradzaniu się takich zagrożeń w incydenty oraz umożliwia podmiotom skuteczniejsze ograniczanie skutków incydentów oraz sprawniejsze przywracanie normalnego działania. Wydaje się, że wobec braku wytycznych na poziomie Unii różne czynniki, w szczególności niepewność co do zgodności z regułami konkurencji i przepisami dotyczącymi odpowiedzialności, ograniczają taką wymianę danych wywiadowczych. |
| --- | --- |

(119)

Biorąc pod uwagę, że cyberzagrożenia stają się coraz bardziej złożone i zaawansowane, skuteczne wykrywanie takich zagrożeń i środki zapobiegania im zależą w dużej mierze od regularnej wymiany między podmiotami danych wywiadowczych na temat zagrożeń i podatności. Wymiana informacji przyczynia się do większej świadomości na temat cyberzagrożeń, co z kolei zwiększa zdolność podmiotów do zapobiegania przeradzaniu się takich zagrożeń w incydenty oraz umożliwia podmiotom skuteczniejsze ograniczanie skutków incydentów oraz sprawniejsze przywracanie normalnego działania. Wydaje się, że wobec braku wytycznych na poziomie Unii różne czynniki, w szczególności niepewność co do zgodności z regułami konkurencji i przepisami dotyczącymi odpowiedzialności, ograniczają taką wymianę danych wywiadowczych.

| (120) | Należy zachęcać podmioty do wspólnego wykorzystywania ich indywidualnej wiedzy i praktycznego doświadczenia na szczeblu strategicznym, taktycznym i operacyjnym – a państwa członkowskie powinny im w tym pomagać – w celu wzmocnienia zdolności podmiotów w zakresie odpowiedniego zapobiegania incydentom, wykrywania ich, reagowania na nie lub przywracania normalnego działania lub łagodzenia skutków incydentów. Należy zatem umożliwić powstawanie na poziomie Unii mechanizmów dobrowolnej wymiany informacji o cyberbezpieczeństwie. W tym celu państwa członkowskie powinny aktywnie wspierać podmioty, takie jak podmioty świadczące usługi i prowadzące badania w zakresie cyberbezpieczeństwa, jak również odpowiednie podmioty nieobjęte zakresem niniejszej dyrektywy, i zachęcać je do uczestnictwa w takich mechanizmach wymiany informacji o cyberbezpieczeństwie. Mechanizmy te należy ustanowić zgodnie z unijnymi regułami konkurencji i unijnymi przepisami o ochronie danych. |
| --- | --- |

(120)

Należy zachęcać podmioty do wspólnego wykorzystywania ich indywidualnej wiedzy i praktycznego doświadczenia na szczeblu strategicznym, taktycznym i operacyjnym – a państwa członkowskie powinny im w tym pomagać – w celu wzmocnienia zdolności podmiotów w zakresie odpowiedniego zapobiegania incydentom, wykrywania ich, reagowania na nie lub przywracania normalnego działania lub łagodzenia skutków incydentów. Należy zatem umożliwić powstawanie na poziomie Unii mechanizmów dobrowolnej wymiany informacji o cyberbezpieczeństwie. W tym celu państwa członkowskie powinny aktywnie wspierać podmioty, takie jak podmioty świadczące usługi i prowadzące badania w zakresie cyberbezpieczeństwa, jak również odpowiednie podmioty nieobjęte zakresem niniejszej dyrektywy, i zachęcać je do uczestnictwa w takich mechanizmach wymiany informacji o cyberbezpieczeństwie. Mechanizmy te należy ustanowić zgodnie z unijnymi regułami konkurencji i unijnymi przepisami o ochronie danych.

| (121) | Przetwarzanie danych osobowych, w zakresie, w jakim jest to konieczne i proporcjonalne do zapewnienia bezpieczeństwa sieci i systemów informatycznych przez podmioty kluczowe i ważne można uznać za zgodne z prawem na podstawie tego, że takie przetwarzanie jest zgodne z obowiązkiem prawnym, któremu podlega administrator, zgodnie z wymogami art. 6 ust. 1 lit. c) i art. 6 ust. 3 rozporządzenia (UE) 2016/679. Przetwarzanie danych osobowych może być również konieczne ze względu na uzasadnione interesy podmiotów kluczowych i ważnych, a także dostawców technologii i usług w zakresie bezpieczeństwa działających w imieniu tych podmiotów, zgodnie z art. 6 ust. 1 lit. f) rozporządzenia (UE) 2016/679, w tym w przypadku gdy takie przetwarzanie jest niezbędne w związku z mechanizmami wymiany informacji o cyberbezpieczeństwie lub do dobrowolnego zgłaszania odpowiednich informacji zgodnie z niniejszą dyrektywą. Środki związane z zapobieganiem incydentom, ich wykrywaniem i identyfikacją, ograniczaniem ich zasięgu i ich analizowaniem oraz reagowaniem na nie, środki zwiększające świadomość konkretnych cyberzagrożeń, wymianę informacji w kontekście usuwania oraz skoordynowanego ujawniania podatności, dobrowolną wymianę informacji na temat tych incydentów, a także na temat cyberzagrożeń i podatności, oznak naruszenia integralności systemu, taktyk, technik i procedur, ostrzeżeń dotyczących cyberbezpieczeństwa i narzędzi konfiguracji mogą wymagać przetwarzania pewnych kategorii danych osobowych, takich jak adresy IP, ujednolicone formaty adresowania zasobów (URL), nazwy domen, adresy poczty elektronicznej oraz znaczniki czasu, w przypadku gdy ujawniane są w nich dane osobowe. Przetwarzanie danych osobowych przez właściwe organy, pojedyncze punkty kontaktowe i CSIRT może stanowić obowiązek prawny lub może zostać uznane za niezbędne do wykonania zadania w interesie publicznym lub sprawowania władzy publicznej powierzonej administratorowi na podstawie art. 6 ust. 1 lit. c) lub e) i art. 6 ust. 3 rozporządzenia (UE) 2016/679 lub do realizacji uzasadnionego interesu podmiotów kluczowych i ważnych, o którym mowa w art. 6 ust. 1 lit. f) tego rozporządzenia. Ponadto w prawie krajowym można ustanowić przepisy umożliwiające właściwym organom, pojedynczym punktom kontaktowym i CSIRT – w zakresie, w jakim jest to konieczne i proporcjonalne do zapewnienia bezpieczeństwa sieci i systemów informatycznych podmiotów kluczowych i ważnych – przetwarzanie szczególnych kategorii danych osobowych zgodnie z art. 9 rozporządzenia (UE) 2016/679, w szczególności poprzez ustanowienie odpowiednich i konkretnych środków ochrony praw podstawowych i interesów osób fizycznych, w tym ograniczeń technicznych w zakresie ponownego wykorzystywania takich danych oraz stosowania najnowocześniejszych środków bezpieczeństwa i ochrony prywatności, takich jak pseudonimizacja lub szyfrowanie, jeżeli anonimizacja może mieć znaczący wpływ na zamierzony cel. |
| --- | --- |

(121)

Przetwarzanie danych osobowych, w zakresie, w jakim jest to konieczne i proporcjonalne do zapewnienia bezpieczeństwa sieci i systemów informatycznych przez podmioty kluczowe i ważne można uznać za zgodne z prawem na podstawie tego, że takie przetwarzanie jest zgodne z obowiązkiem prawnym, któremu podlega administrator, zgodnie z wymogami art. 6 ust. 1 lit. c) i art. 6 ust. 3 rozporządzenia (UE) 2016/679. Przetwarzanie danych osobowych może być również konieczne ze względu na uzasadnione interesy podmiotów kluczowych i ważnych, a także dostawców technologii i usług w zakresie bezpieczeństwa działających w imieniu tych podmiotów, zgodnie z art. 6 ust. 1 lit. f) rozporządzenia (UE) 2016/679, w tym w przypadku gdy takie przetwarzanie jest niezbędne w związku z mechanizmami wymiany informacji o cyberbezpieczeństwie lub do dobrowolnego zgłaszania odpowiednich informacji zgodnie z niniejszą dyrektywą. Środki związane z zapobieganiem incydentom, ich wykrywaniem i identyfikacją, ograniczaniem ich zasięgu i ich analizowaniem oraz reagowaniem na nie, środki zwiększające świadomość konkretnych cyberzagrożeń, wymianę informacji w kontekście usuwania oraz skoordynowanego ujawniania podatności, dobrowolną wymianę informacji na temat tych incydentów, a także na temat cyberzagrożeń i podatności, oznak naruszenia integralności systemu, taktyk, technik i procedur, ostrzeżeń dotyczących cyberbezpieczeństwa i narzędzi konfiguracji mogą wymagać przetwarzania pewnych kategorii danych osobowych, takich jak adresy IP, ujednolicone formaty adresowania zasobów (URL), nazwy domen, adresy poczty elektronicznej oraz znaczniki czasu, w przypadku gdy ujawniane są w nich dane osobowe. Przetwarzanie danych osobowych przez właściwe organy, pojedyncze punkty kontaktowe i CSIRT może stanowić obowiązek prawny lub może zostać uznane za niezbędne do wykonania zadania w interesie publicznym lub sprawowania władzy publicznej powierzonej administratorowi na podstawie art. 6 ust. 1 lit. c) lub e) i art. 6 ust. 3 rozporządzenia (UE) 2016/679 lub do realizacji uzasadnionego interesu podmiotów kluczowych i ważnych, o którym mowa w art. 6 ust. 1 lit. f) tego rozporządzenia. Ponadto w prawie krajowym można ustanowić przepisy umożliwiające właściwym organom, pojedynczym punktom kontaktowym i CSIRT – w zakresie, w jakim jest to konieczne i proporcjonalne do zapewnienia bezpieczeństwa sieci i systemów informatycznych podmiotów kluczowych i ważnych – przetwarzanie szczególnych kategorii danych osobowych zgodnie z art. 9 rozporządzenia (UE) 2016/679, w szczególności poprzez ustanowienie odpowiednich i konkretnych środków ochrony praw podstawowych i interesów osób fizycznych, w tym ograniczeń technicznych w zakresie ponownego wykorzystywania takich danych oraz stosowania najnowocześniejszych środków bezpieczeństwa i ochrony prywatności, takich jak pseudonimizacja lub szyfrowanie, jeżeli anonimizacja może mieć znaczący wpływ na zamierzony cel.

| (122) | Aby wzmocnić uprawnienia i środki nadzorcze, które pomagają zapewnić faktyczną zgodność z przepisami, w niniejszej dyrektywie należy przewidzieć minimalny wykaz działań i środków nadzorczych, za pomocą których właściwe organy mogą sprawować nadzór nad podmiotami kluczowymi i ważnymi. Ponadto w niniejszej dyrektywie należy wprowadzić rozróżnienie systemów nadzoru mających zastosowanie do podmiotów kluczowych i podmiotów ważnych w celu zapewnienia sprawiedliwej równowagi pod względem obowiązków zarówno po stronie tych podmiotów, jak i właściwych organów. W związku z tym podmioty kluczowe powinny być objęte kompleksowym systemem nadzoru ex ante i ex post, natomiast podmioty ważne należy objąć uproszczonym systemem nadzoru wyłącznie ex post. Od podmiotów ważnych nie należy zatem wymagać, aby systematycznie dokumentowały przestrzeganie środków zarządzania ryzykiem w cyberbezpieczeństwie, natomiast właściwe organy powinny sprawować nadzór w oparciu o podejście reaktywne w trybie ex post, a zatem nie powinny mieć ogólnego obowiązku prowadzenia nadzoru nad tymi podmiotami. Nadzór ex post nad podmiotami ważnymi może być uruchamiany w oparciu o przekazane właściwym organom dowody, wskazówki lub informacje, gdy na ich podstawie organy te uznają, że zachodzi możliwość naruszenia niniejszej dyrektywy. Takie dowody, wskazówki lub informacje mogą na przykład być w rodzaju tych, jakie są przekazywane właściwym organom przez inne organy, podmioty, obywateli, media lub inne źródła, lub mogą to być informacje dostępne publicznie lub mogą one wynikać z innych działań prowadzonych przez właściwe organy podczas wykonywania ich zadań. |
| --- | --- |

(122)

Aby wzmocnić uprawnienia i środki nadzorcze, które pomagają zapewnić faktyczną zgodność z przepisami, w niniejszej dyrektywie należy przewidzieć minimalny wykaz działań i środków nadzorczych, za pomocą których właściwe organy mogą sprawować nadzór nad podmiotami kluczowymi i ważnymi. Ponadto w niniejszej dyrektywie należy wprowadzić rozróżnienie systemów nadzoru mających zastosowanie do podmiotów kluczowych i podmiotów ważnych w celu zapewnienia sprawiedliwej równowagi pod względem obowiązków zarówno po stronie tych podmiotów, jak i właściwych organów. W związku z tym podmioty kluczowe powinny być objęte kompleksowym systemem nadzoru ex ante i ex post, natomiast podmioty ważne należy objąć uproszczonym systemem nadzoru wyłącznie ex post. Od podmiotów ważnych nie należy zatem wymagać, aby systematycznie dokumentowały przestrzeganie środków zarządzania ryzykiem w cyberbezpieczeństwie, natomiast właściwe organy powinny sprawować nadzór w oparciu o podejście reaktywne w trybie ex post, a zatem nie powinny mieć ogólnego obowiązku prowadzenia nadzoru nad tymi podmiotami. Nadzór ex post nad podmiotami ważnymi może być uruchamiany w oparciu o przekazane właściwym organom dowody, wskazówki lub informacje, gdy na ich podstawie organy te uznają, że zachodzi możliwość naruszenia niniejszej dyrektywy. Takie dowody, wskazówki lub informacje mogą na przykład być w rodzaju tych, jakie są przekazywane właściwym organom przez inne organy, podmioty, obywateli, media lub inne źródła, lub mogą to być informacje dostępne publicznie lub mogą one wynikać z innych działań prowadzonych przez właściwe organy podczas wykonywania ich zadań.

| (123) | Wykonywanie zadań nadzorczych przez właściwe organy nie powinno niepotrzebnie utrudniać działalności prowadzonej przez dany podmiot. W przypadku gdy właściwe organy wykonują zadania nadzorcze w odniesieniu do podmiotów niezbędnych, w tym prowadzenie kontroli na miejscu i nadzoru zdalnego, badanie naruszeń niniejszej dyrektywy, przeprowadzanie audytów bezpieczeństwa lub skanowanie bezpieczeństwa, powinny one minimalizować wpływ tych czynności na działalność gospodarczą danego podmiotu. |
| --- | --- |

(123)

Wykonywanie zadań nadzorczych przez właściwe organy nie powinno niepotrzebnie utrudniać działalności prowadzonej przez dany podmiot. W przypadku gdy właściwe organy wykonują zadania nadzorcze w odniesieniu do podmiotów niezbędnych, w tym prowadzenie kontroli na miejscu i nadzoru zdalnego, badanie naruszeń niniejszej dyrektywy, przeprowadzanie audytów bezpieczeństwa lub skanowanie bezpieczeństwa, powinny one minimalizować wpływ tych czynności na działalność gospodarczą danego podmiotu.

| (124) | Podczas sprawowania nadzoru ex ante właściwe organy powinny mieć możliwość decydowania w proporcjonalny sposób o hierarchii priorytetów w stosowaniu działań i środków nadzorczych, którymi dysponują. Oznacza to, że właściwe organy mogą decydować o takim priorytetowym traktowaniu, stosując metodyki nadzorcze zgodne z podejściem opartym na analizie ryzyka. W szczególności metodyki takie mogłyby obejmować kryteria lub wartości odniesienia dotyczące klasyfikacji podmiotów ważnych pod względem kategorii ryzyka oraz odpowiednie działania i środki nadzorcze zalecane w zależności od kategorii ryzyka, takie jak stosowanie, częstotliwość lub rodzaj kontroli na miejscu, ukierunkowanych audytów bezpieczeństwa lub skanów bezpieczeństwa, rodzaj wymaganych informacji oraz poziom szczegółowości tych informacji. Takim metodykom nadzorczym mogłyby również towarzyszyć programy prac i mogłyby one podlegać regularnym ocenom i przeglądom, w tym w odniesieniu do takich aspektów jak przydział zasobów i potrzeby. W odniesieniu do podmiotów administracji publicznej uprawnienia nadzorcze powinny być wykonywane zgodnie z krajowymi ramami ustawodawczymi i instytucjonalnymi. |
| --- | --- |

(124)

Podczas sprawowania nadzoru ex ante właściwe organy powinny mieć możliwość decydowania w proporcjonalny sposób o hierarchii priorytetów w stosowaniu działań i środków nadzorczych, którymi dysponują. Oznacza to, że właściwe organy mogą decydować o takim priorytetowym traktowaniu, stosując metodyki nadzorcze zgodne z podejściem opartym na analizie ryzyka. W szczególności metodyki takie mogłyby obejmować kryteria lub wartości odniesienia dotyczące klasyfikacji podmiotów ważnych pod względem kategorii ryzyka oraz odpowiednie działania i środki nadzorcze zalecane w zależności od kategorii ryzyka, takie jak stosowanie, częstotliwość lub rodzaj kontroli na miejscu, ukierunkowanych audytów bezpieczeństwa lub skanów bezpieczeństwa, rodzaj wymaganych informacji oraz poziom szczegółowości tych informacji. Takim metodykom nadzorczym mogłyby również towarzyszyć programy prac i mogłyby one podlegać regularnym ocenom i przeglądom, w tym w odniesieniu do takich aspektów jak przydział zasobów i potrzeby. W odniesieniu do podmiotów administracji publicznej uprawnienia nadzorcze powinny być wykonywane zgodnie z krajowymi ramami ustawodawczymi i instytucjonalnymi.

| (125) | Właściwe organy powinny zapewnić, aby ich zadania nadzorcze w odniesieniu do podmiotów kluczowych i ważnych wykonywali wyszkoleni specjaliści, którzy powinni mieć umiejętności niezbędne do wykonywania tych zadań, w szczególności jeśli chodzi o prowadzenie kontroli na miejscu i nadzoru zdalnego, w tym identyfikacji słabych punktów w bazach danych, sprzęcie, zaporach sieciowych, szyfrowaniu i sieciach. Te kontrole i ten nadzór powinny być prowadzone w sposób obiektywny. |
| --- | --- |

(125)

Właściwe organy powinny zapewnić, aby ich zadania nadzorcze w odniesieniu do podmiotów kluczowych i ważnych wykonywali wyszkoleni specjaliści, którzy powinni mieć umiejętności niezbędne do wykonywania tych zadań, w szczególności jeśli chodzi o prowadzenie kontroli na miejscu i nadzoru zdalnego, w tym identyfikacji słabych punktów w bazach danych, sprzęcie, zaporach sieciowych, szyfrowaniu i sieciach. Te kontrole i ten nadzór powinny być prowadzone w sposób obiektywny.

| (126) | W należycie uzasadnionych przypadkach, gdy właściwy organ wie o poważnym cyberzagrożeniu lub o nadchodzącym ryzyku, powinien on mieć możliwość podjęcia natychmiastowej decyzji o środkach egzekwowania przepisów, aby zapobiec incydentowi lub zareagować na incydent. |
| --- | --- |

(126)

W należycie uzasadnionych przypadkach, gdy właściwy organ wie o poważnym cyberzagrożeniu lub o nadchodzącym ryzyku, powinien on mieć możliwość podjęcia natychmiastowej decyzji o środkach egzekwowania przepisów, aby zapobiec incydentowi lub zareagować na incydent.

| (127) | W celu zapewnienia skutecznego egzekwowania przepisów należy ustanowić minimalny wykaz uprawnień do egzekwowania, które mogą zostać wykonane w przypadku naruszenia przewidzianych w niniejszej dyrektywie środków zarządzania ryzykiem w cyberbezpieczeństwie oraz obowiązków w zakresie zgłaszania incydentów, określając jasne i spójne ramy dotyczące takiego egzekwowania w całej Unii. Należy odpowiednio uwzględniać charakter, wagę oraz czas trwania naruszenia niniejszej dyrektywy, wyrządzone szkody majątkowe i niemajątkowe, to, czy naruszenie było umyślne lub wynikało z niedbalstwa, działania podjęte, aby zapobiec szkodom majątkowym lub niemajątkowym lub je ograniczyć, stopień odpowiedzialności lub mające znaczenie wcześniejsze naruszenia, stopień współpracy z właściwym organem oraz inne okoliczności obciążające lub łagodzące. Środki egzekwowania przepisów, w tym administracyjne kary pieniężne, powinny być proporcjonalne, a ich nakładanie powinno przebiegać z zastrzeżeniem odpowiednich gwarancji proceduralnych zgodnych z ogólnymi zasadami prawa Unii i z Kartą praw podstawowych Unii Europejskiej („Karta”), w tym prawa do skutecznego środka prawnego i do rzetelnego procesu sądowego, domniemania niewinności oraz prawa do obrony. |
| --- | --- |

(127)

W celu zapewnienia skutecznego egzekwowania przepisów należy ustanowić minimalny wykaz uprawnień do egzekwowania, które mogą zostać wykonane w przypadku naruszenia przewidzianych w niniejszej dyrektywie środków zarządzania ryzykiem w cyberbezpieczeństwie oraz obowiązków w zakresie zgłaszania incydentów, określając jasne i spójne ramy dotyczące takiego egzekwowania w całej Unii. Należy odpowiednio uwzględniać charakter, wagę oraz czas trwania naruszenia niniejszej dyrektywy, wyrządzone szkody majątkowe i niemajątkowe, to, czy naruszenie było umyślne lub wynikało z niedbalstwa, działania podjęte, aby zapobiec szkodom majątkowym lub niemajątkowym lub je ograniczyć, stopień odpowiedzialności lub mające znaczenie wcześniejsze naruszenia, stopień współpracy z właściwym organem oraz inne okoliczności obciążające lub łagodzące. Środki egzekwowania przepisów, w tym administracyjne kary pieniężne, powinny być proporcjonalne, a ich nakładanie powinno przebiegać z zastrzeżeniem odpowiednich gwarancji proceduralnych zgodnych z ogólnymi zasadami prawa Unii i z Kartą praw podstawowych Unii Europejskiej („Karta”), w tym prawa do skutecznego środka prawnego i do rzetelnego procesu sądowego, domniemania niewinności oraz prawa do obrony.

| (128) | Niniejsza dyrektywa nie wymaga od państw członkowskich ustanowienia odpowiedzialności karnej lub cywilnej osób fizycznych odpowiedzialnych za zapewnienie, aby podmiot przestrzegał niniejszej dyrektywy, za szkody poniesione przez osoby trzecie w wyniku naruszenia niniejszej dyrektywy. |
| --- | --- |

(128)

Niniejsza dyrektywa nie wymaga od państw członkowskich ustanowienia odpowiedzialności karnej lub cywilnej osób fizycznych odpowiedzialnych za zapewnienie, aby podmiot przestrzegał niniejszej dyrektywy, za szkody poniesione przez osoby trzecie w wyniku naruszenia niniejszej dyrektywy.

| (129) | Aby zapewnić skuteczne egzekwowanie obowiązków przewidzianych w niniejszej dyrektywie, każdy właściwy organ powinien być uprawniony do nakładania lub żądania nałożenia administracyjnych kar pieniężnych. |
| --- | --- |

(129)

Aby zapewnić skuteczne egzekwowanie obowiązków przewidzianych w niniejszej dyrektywie, każdy właściwy organ powinien być uprawniony do nakładania lub żądania nałożenia administracyjnych kar pieniężnych.

| (130) | W przypadku nałożenia administracyjnej kary pieniężnej na podmiot będący przedsiębiorstwem, przez przedsiębiorstwo należy rozumieć do tych celów przedsiębiorstwo zgodnie z art. 101 i 102 TFUE. W przypadku nałożenia administracyjnej kary pieniężnej na osobę niebędącą przedsiębiorstwem, właściwy organ, ustalając właściwą wysokość kary pieniężnej, powinien brać pod uwagę ogólny poziom dochodów w danym państwie członkowskim oraz sytuację ekonomiczną tej osoby. Państwa członkowskie powinny określić, czy i w jakim zakresie administracyjnym karom pieniężnym powinny podlegać organy publiczne. Nałożenie administracyjnej kary pieniężnej nie wpływa na korzystanie przez właściwe organy z innych uprawnień ani na nakładanie innych kar przewidzianych w przepisach krajowych transponujących niniejszą dyrektywę. |
| --- | --- |

(130)

W przypadku nałożenia administracyjnej kary pieniężnej na podmiot będący przedsiębiorstwem, przez przedsiębiorstwo należy rozumieć do tych celów przedsiębiorstwo zgodnie z art. 101 i 102 TFUE. W przypadku nałożenia administracyjnej kary pieniężnej na osobę niebędącą przedsiębiorstwem, właściwy organ, ustalając właściwą wysokość kary pieniężnej, powinien brać pod uwagę ogólny poziom dochodów w danym państwie członkowskim oraz sytuację ekonomiczną tej osoby. Państwa członkowskie powinny określić, czy i w jakim zakresie administracyjnym karom pieniężnym powinny podlegać organy publiczne. Nałożenie administracyjnej kary pieniężnej nie wpływa na korzystanie przez właściwe organy z innych uprawnień ani na nakładanie innych kar przewidzianych w przepisach krajowych transponujących niniejszą dyrektywę.

| (131) | Państwa członkowskie powinny mieć możliwość ustanawiania przepisów przewidujących sankcje karne za naruszenie przepisów krajowych transponujących niniejszą dyrektywę. Jednak nałożenie sankcji karnych za naruszenie takich przepisów krajowych oraz nałożenie powiązanych kar administracyjnych nie powinno prowadzić do naruszenia zasady ne bis in idem, zgodnie z wykładnią Trybunału Sprawiedliwości Unii Europejskiej. |
| --- | --- |

(131)

Państwa członkowskie powinny mieć możliwość ustanawiania przepisów przewidujących sankcje karne za naruszenie przepisów krajowych transponujących niniejszą dyrektywę. Jednak nałożenie sankcji karnych za naruszenie takich przepisów krajowych oraz nałożenie powiązanych kar administracyjnych nie powinno prowadzić do naruszenia zasady ne bis in idem, zgodnie z wykładnią Trybunału Sprawiedliwości Unii Europejskiej.

| (132) | W sytuacjach, w których niniejsza dyrektywa nie harmonizuje kar administracyjnych, lub w razie potrzeby w innych przypadkach, na przykład w razie poważnego naruszenia niniejszej dyrektywy, państwa członkowskie powinny wdrożyć system przewidujący skuteczne, proporcjonalne i odstraszające kary. Charakter takich kar oraz to, czy są to sankcje karne czy kary administracyjne, należy określić w prawie krajowym. |
| --- | --- |

(132)

W sytuacjach, w których niniejsza dyrektywa nie harmonizuje kar administracyjnych, lub w razie potrzeby w innych przypadkach, na przykład w razie poważnego naruszenia niniejszej dyrektywy, państwa członkowskie powinny wdrożyć system przewidujący skuteczne, proporcjonalne i odstraszające kary. Charakter takich kar oraz to, czy są to sankcje karne czy kary administracyjne, należy określić w prawie krajowym.

| (133) | Aby jeszcze bardziej wzmocnić skuteczność i odstraszający charakter środków egzekwowania przepisów mających zastosowanie do naruszeń niniejszej dyrektywy, właściwe organy powinny być uprawnione do tymczasowego zawieszenia certyfikacji lub zezwolenia dotyczących części lub całości odpowiednich usług świadczonych przez podmiot niezbędny lub prowadzonej przezeń działalności oraz do żądania nałożenia tymczasowego zakazu sprawowania funkcji zarządczych przez osobę fizyczną wykonującą obowiązki zarządcze na poziomie dyrektora generalnego lub przedstawiciela prawnego. Z uwagi na dotkliwość takich kar i ich wpływ na działalność podmiotów, a ostatecznie na użytkowników, takie tymczasowe zawieszenia lub zakazy należy wyłącznie stosować proporcjonalnie do powagi naruszenia i z uwzględnieniem okoliczności danej sprawy, w tym tego, czy naruszenie było umyślne czy też wynikało z niedbalstwa, oraz działań podjętych, aby zapobiec szkodom majątkowym lub niemajątkowym lub je ograniczyć. Takie tymczasowe zawieszenia lub zakazy należy stosować wyłącznie w ostateczności, tj. po wyczerpaniu innych stosownych środków egzekwowania przepisów przewidzianych w niniejszej dyrektywie, i wyłącznie dopóki podmioty, których to dotyczy, nie podejmą niezbędnych działań w celu usunięcia nieprawidłowości lub nie spełnią wymagań właściwego organu, z których tytułu zastosowano takie tymczasowe zawieszenia lub zakazy. Nakładanie takich tymczasowych zawieszeń lub zakazów powinno stosować się z zastrzeżeniem odpowiednich gwarancji proceduralnych zgodnych z ogólnymi zasadami prawa Unii i z Kartą, w tym prawa do skutecznego środka prawnego i do rzetelnego procesu sądowego, domniemania niewinności oraz prawa do obrony. |
| --- | --- |

(133)

Aby jeszcze bardziej wzmocnić skuteczność i odstraszający charakter środków egzekwowania przepisów mających zastosowanie do naruszeń niniejszej dyrektywy, właściwe organy powinny być uprawnione do tymczasowego zawieszenia certyfikacji lub zezwolenia dotyczących części lub całości odpowiednich usług świadczonych przez podmiot niezbędny lub prowadzonej przezeń działalności oraz do żądania nałożenia tymczasowego zakazu sprawowania funkcji zarządczych przez osobę fizyczną wykonującą obowiązki zarządcze na poziomie dyrektora generalnego lub przedstawiciela prawnego. Z uwagi na dotkliwość takich kar i ich wpływ na działalność podmiotów, a ostatecznie na użytkowników, takie tymczasowe zawieszenia lub zakazy należy wyłącznie stosować proporcjonalnie do powagi naruszenia i z uwzględnieniem okoliczności danej sprawy, w tym tego, czy naruszenie było umyślne czy też wynikało z niedbalstwa, oraz działań podjętych, aby zapobiec szkodom majątkowym lub niemajątkowym lub je ograniczyć. Takie tymczasowe zawieszenia lub zakazy należy stosować wyłącznie w ostateczności, tj. po wyczerpaniu innych stosownych środków egzekwowania przepisów przewidzianych w niniejszej dyrektywie, i wyłącznie dopóki podmioty, których to dotyczy, nie podejmą niezbędnych działań w celu usunięcia nieprawidłowości lub nie spełnią wymagań właściwego organu, z których tytułu zastosowano takie tymczasowe zawieszenia lub zakazy. Nakładanie takich tymczasowych zawieszeń lub zakazów powinno stosować się z zastrzeżeniem odpowiednich gwarancji proceduralnych zgodnych z ogólnymi zasadami prawa Unii i z Kartą, w tym prawa do skutecznego środka prawnego i do rzetelnego procesu sądowego, domniemania niewinności oraz prawa do obrony.

| (134) | Aby zapewnić wypełnianie przez podmioty obowiązków określonych w niniejszej dyrektywie, państwa członkowskie powinny współpracować ze sobą i pomagać sobie nawzajem w zakresie środków nadzoru i egzekwowania przepisów, w szczególności w przypadku gdy podmiot świadczy usługi w więcej niż jednym państwie członkowskim lub gdy jego sieci i systemy informatyczne znajdują się w państwie członkowskim innym niż państwo, w którym świadczy usługi. Udzielając pomocy, właściwy organ, do którego skierowano wniosek, powinien podjąć środki nadzoru lub egzekwowania przepisów zgodnie z prawem krajowym. W celu zapewnienia sprawnego funkcjonowania wzajemnej pomocy na mocy niniejszej dyrektywy właściwe organy powinny wykorzystywać Grupę Współpracy jako forum do omawiania spraw i konkretnych wniosków o pomoc. |
| --- | --- |

(134)

Aby zapewnić wypełnianie przez podmioty obowiązków określonych w niniejszej dyrektywie, państwa członkowskie powinny współpracować ze sobą i pomagać sobie nawzajem w zakresie środków nadzoru i egzekwowania przepisów, w szczególności w przypadku gdy podmiot świadczy usługi w więcej niż jednym państwie członkowskim lub gdy jego sieci i systemy informatyczne znajdują się w państwie członkowskim innym niż państwo, w którym świadczy usługi. Udzielając pomocy, właściwy organ, do którego skierowano wniosek, powinien podjąć środki nadzoru lub egzekwowania przepisów zgodnie z prawem krajowym. W celu zapewnienia sprawnego funkcjonowania wzajemnej pomocy na mocy niniejszej dyrektywy właściwe organy powinny wykorzystywać Grupę Współpracy jako forum do omawiania spraw i konkretnych wniosków o pomoc.

| (135) | W celu zapewnienia skutecznego nadzoru i egzekwowania przepisów, w szczególności w sytuacjach o wymiarze transgranicznym, państwo członkowskie, które otrzymało wniosek o wzajemną pomoc, powinny – nie wykraczając poza zakres tego wniosku – podjąć odpowiednie środki nadzoru i egzekwowania przepisów w stosunku do podmiotu, który jest przedmiotem wniosku i który świadczy usługi lub ma sieć i system informatyczny na terytorium tego państwa członkowskiego. |
| --- | --- |

(135)

W celu zapewnienia skutecznego nadzoru i egzekwowania przepisów, w szczególności w sytuacjach o wymiarze transgranicznym, państwo członkowskie, które otrzymało wniosek o wzajemną pomoc, powinny – nie wykraczając poza zakres tego wniosku – podjąć odpowiednie środki nadzoru i egzekwowania przepisów w stosunku do podmiotu, który jest przedmiotem wniosku i który świadczy usługi lub ma sieć i system informatyczny na terytorium tego państwa członkowskiego.

| (136) | Niniejszą dyrektywą należy ustanowić reguły współpracy między właściwymi organami i organami nadzorczymi na mocy rozporządzenia (UE) 2016/679 w celu reagowania na naruszenia niniejszej dyrektywy związane z danymi osobowymi. |
| --- | --- |

(136)

Niniejszą dyrektywą należy ustanowić reguły współpracy między właściwymi organami i organami nadzorczymi na mocy rozporządzenia (UE) 2016/679 w celu reagowania na naruszenia niniejszej dyrektywy związane z danymi osobowymi.

| (137) | Celem niniejszej dyrektywy powinno być zapewnienie wysokiego poziomu odpowiedzialności za środki zarządzania ryzykiem w cyberbezpieczeństwie oraz obowiązki w zakresie zgłaszania incydentów na poziomie podmiotów kluczowych i ważnych. W związku z tym organy zarządzające podmiotów kluczowych i ważnych powinny zatwierdzić środki zarządzania ryzykiem w cyberbezpieczeństwie oraz nadzorować ich stosowanie. |
| --- | --- |

(137)

Celem niniejszej dyrektywy powinno być zapewnienie wysokiego poziomu odpowiedzialności za środki zarządzania ryzykiem w cyberbezpieczeństwie oraz obowiązki w zakresie zgłaszania incydentów na poziomie podmiotów kluczowych i ważnych. W związku z tym organy zarządzające podmiotów kluczowych i ważnych powinny zatwierdzić środki zarządzania ryzykiem w cyberbezpieczeństwie oraz nadzorować ich stosowanie.

| (138) | W celu zapewnienia wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii na podstawie niniejszej dyrektywy należy przekazać Komisji uprawnienia do przyjmowania aktów zgodnie z art. 290 TFUE w odniesieniu do uzupełnienia niniejszej dyrektywy poprzez określenie, które kategorie podmiotów kluczowych i ważnych mają być zobowiązane do korzystania z niektórych certyfikowanych produktów ICT, usług ICT i procesów ICT lub uzyskania certyfikacji na podstawie europejskiego systemu certyfikacji cyberbezpieczeństwa. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby konsultacje te prowadzone były zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa (22). W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te otrzymują wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji mogą systematycznie brać udział w posiedzeniach grup eksperckich Komisji zajmujących się przygotowaniem aktów delegowanych. |
| --- | --- |

(138)

W celu zapewnienia wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii na podstawie niniejszej dyrektywy należy przekazać Komisji uprawnienia do przyjmowania aktów zgodnie z art. 290 TFUE w odniesieniu do uzupełnienia niniejszej dyrektywy poprzez określenie, które kategorie podmiotów kluczowych i ważnych mają być zobowiązane do korzystania z niektórych certyfikowanych produktów ICT, usług ICT i procesów ICT lub uzyskania certyfikacji na podstawie europejskiego systemu certyfikacji cyberbezpieczeństwa. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby konsultacje te prowadzone były zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa (22). W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te otrzymują wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji mogą systematycznie brać udział w posiedzeniach grup eksperckich Komisji zajmujących się przygotowaniem aktów delegowanych.

| (139) | W celu zapewnienia jednolitych warunków wykonywania niniejszej dyrektywy należy powierzyć Komisji uprawnienia wykonawcze do określenia ustaleń proceduralnych niezbędnych do funkcjonowania Grupy Współpracy oraz wymogów technicznych, metodologicznych i sektorowych dotyczących środków zarządzania ryzykiem w cyberbezpieczeństwie, oraz do doprecyzowania rodzaju zgłaszanych informacji, formatu i procedury powiadamiania o incydencie, cyberzagrożeniu i potencjalnym zdarzeniu dla cyberbezpieczeństwa oraz komunikatów o poważnych cyberzagrożeniach, a także doprecyzowania przypadków, w których incydent należy uznać za poważny. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011 (23). |
| --- | --- |

(139)

W celu zapewnienia jednolitych warunków wykonywania niniejszej dyrektywy należy powierzyć Komisji uprawnienia wykonawcze do określenia ustaleń proceduralnych niezbędnych do funkcjonowania Grupy Współpracy oraz wymogów technicznych, metodologicznych i sektorowych dotyczących środków zarządzania ryzykiem w cyberbezpieczeństwie, oraz do doprecyzowania rodzaju zgłaszanych informacji, formatu i procedury powiadamiania o incydencie, cyberzagrożeniu i potencjalnym zdarzeniu dla cyberbezpieczeństwa oraz komunikatów o poważnych cyberzagrożeniach, a także doprecyzowania przypadków, w których incydent należy uznać za poważny. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011 (23).

| (140) | Komisja powinna okresowo dokonywać przeglądu niniejszej dyrektywy, po konsultacji z zainteresowanymi stronami, w szczególności w celu sprawdzenia, czy właściwe jest zaproponowanie zmian w świetle zmieniających się warunków społecznych, politycznych, technologicznych lub rynkowych. W ramach tych przeglądów Komisja powinna ocenić znaczenie wielkości danych podmiotów oraz sektorów, podsektorów i rodzajów podmiotu, o którym mowa w załącznikach do niniejszej dyrektywy, dla funkcjonowania gospodarki i społeczeństwa w kontekście cyberbezpieczeństwa. Komisja powinna ocenić między innymi, czy dostawcy objęci zakresem niniejszej dyrektywy wyznaczeni jako bardzo duże platformy internetowe w rozumieniu art. 33 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2065 (24) mogą zostać wskazani jako podmioty kluczowe na mocy niniejszej dyrektywy. |
| --- | --- |

(140)

Komisja powinna okresowo dokonywać przeglądu niniejszej dyrektywy, po konsultacji z zainteresowanymi stronami, w szczególności w celu sprawdzenia, czy właściwe jest zaproponowanie zmian w świetle zmieniających się warunków społecznych, politycznych, technologicznych lub rynkowych. W ramach tych przeglądów Komisja powinna ocenić znaczenie wielkości danych podmiotów oraz sektorów, podsektorów i rodzajów podmiotu, o którym mowa w załącznikach do niniejszej dyrektywy, dla funkcjonowania gospodarki i społeczeństwa w kontekście cyberbezpieczeństwa. Komisja powinna ocenić między innymi, czy dostawcy objęci zakresem niniejszej dyrektywy wyznaczeni jako bardzo duże platformy internetowe w rozumieniu art. 33 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2065 (24) mogą zostać wskazani jako podmioty kluczowe na mocy niniejszej dyrektywy.

| (141) | Niniejsza dyrektywa przydziela ENISA nowe zadania, zwiększając tym samym jej rolę, i może również spowodować, że ENISA będzie zobowiązana do wykonywania obecnych zadań powierzonych jej na mocy rozporządzenia (UE) 2019/881 na wyższym niż dotychczas poziomie. Aby zapewnić ENISA niezbędne zasoby finansowe i ludzkie do realizacji obecnych i nowych zadań, a także do tego, by mogła sprostać wykonaniu tych zadań na wyższym poziomie wynikającym z jej zwiększonej roli, należy odpowiednio zwiększyć jej budżet. Ponadto aby zapewnić efektywne wykorzystanie zasobów, ENISA powinna mieć większą elastyczność w wewnętrznym przydzielaniu zasobów w celu skutecznej realizacji zadań i spełnienia oczekiwań. |
| --- | --- |

(141)

Niniejsza dyrektywa przydziela ENISA nowe zadania, zwiększając tym samym jej rolę, i może również spowodować, że ENISA będzie zobowiązana do wykonywania obecnych zadań powierzonych jej na mocy rozporządzenia (UE) 2019/881 na wyższym niż dotychczas poziomie. Aby zapewnić ENISA niezbędne zasoby finansowe i ludzkie do realizacji obecnych i nowych zadań, a także do tego, by mogła sprostać wykonaniu tych zadań na wyższym poziomie wynikającym z jej zwiększonej roli, należy odpowiednio zwiększyć jej budżet. Ponadto aby zapewnić efektywne wykorzystanie zasobów, ENISA powinna mieć większą elastyczność w wewnętrznym przydzielaniu zasobów w celu skutecznej realizacji zadań i spełnienia oczekiwań.

| (142) | Ponieważ cel niniejszej dyrektywy, a mianowicie osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii, nie może zostać osiągnięty w sposób wystarczający przez państwa członkowskie, natomiast ze względu na skutki działania możliwe jest lepsze jego osiągnięcie na poziomie Unii, może ona podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsza dyrektywa nie wykracza poza to, co jest konieczne do osiągnięcia tych celów. |
| --- | --- |

(142)

Ponieważ cel niniejszej dyrektywy, a mianowicie osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii, nie może zostać osiągnięty w sposób wystarczający przez państwa członkowskie, natomiast ze względu na skutki działania możliwe jest lepsze jego osiągnięcie na poziomie Unii, może ona podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsza dyrektywa nie wykracza poza to, co jest konieczne do osiągnięcia tych celów.

| (143) | Niniejsza dyrektywa nie narusza praw podstawowych i jest zgodna z zasadami uznanymi w Karcie, w szczególności dotyczącymi prawa do poszanowania życia prywatnego i komunikowania się, ochrony danych osobowych, wolności prowadzenia działalności gospodarczej, prawa własności, prawa do skutecznego środka prawnego i rzetelnego procesu sądowego, domniemania niewinności oraz prawa do obrony. Prawo do skutecznego środka prawnego dotyczy także odbiorców usług świadczonych przez podmioty kluczowe i ważne. Niniejszą dyrektywę należy wprowadzać w życie zgodnie z tymi prawami i zasadami, |
| --- | --- |

(143)

Niniejsza dyrektywa nie narusza praw podstawowych i jest zgodna z zasadami uznanymi w Karcie, w szczególności dotyczącymi prawa do poszanowania życia prywatnego i komunikowania się, ochrony danych osobowych, wolności prowadzenia działalności gospodarczej, prawa własności, prawa do skutecznego środka prawnego i rzetelnego procesu sądowego, domniemania niewinności oraz prawa do obrony. Prawo do skutecznego środka prawnego dotyczy także odbiorców usług świadczonych przez podmioty kluczowe i ważne. Niniejszą dyrektywę należy wprowadzać w życie zgodnie z tymi prawami i zasadami,

| (144) | Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (25) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 11 marca 2021 r. (26), |
| --- | --- |

(144)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (25) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 11 marca 2021 r. (26),

PRZYJMUJĄ NINIEJSZĄ DYREKTYWĘ:

ROZDZIAŁ I

PRZEPISY OGÓLNE

Artykuł 1

Przedmiot

1.   Niniejszą dyrektywą ustanawia się środki mające na celu osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii, aby poprawić funkcjonowanie rynku wewnętrznego.

2.   W tym celu niniejsza dyrektywa określa:

| a) | obowiązki państw członkowskich dotyczące przyjęcia krajowych strategii cyberbezpieczeństwa oraz wyznaczenia lub powołania właściwych organów, organów ds. zarządzania kryzysowego w cyberbezpieczeństwie, pojedynczych punktów kontaktowych ds. cyberbezpieczeństwa (pojedyncze punkty kontaktowe) oraz zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT); |
| --- | --- |

a)

obowiązki państw członkowskich dotyczące przyjęcia krajowych strategii cyberbezpieczeństwa oraz wyznaczenia lub powołania właściwych organów, organów ds. zarządzania kryzysowego w cyberbezpieczeństwie, pojedynczych punktów kontaktowych ds. cyberbezpieczeństwa (pojedyncze punkty kontaktowe) oraz zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT);

| b) | środki zarządzania ryzykiem w cyberbezpieczeństwie oraz obowiązki w zakresie zgłaszania incydentów spoczywające na podmiotach w rodzaju tych, o których mowa w załączniku I lub II, jak również na podmiotach zidentyfikowanych jako podmioty o charakterze krytycznym na podstawie dyrektywy (UE) 2022/2557; |
| --- | --- |

b)

środki zarządzania ryzykiem w cyberbezpieczeństwie oraz obowiązki w zakresie zgłaszania incydentów spoczywające na podmiotach w rodzaju tych, o których mowa w załączniku I lub II, jak również na podmiotach zidentyfikowanych jako podmioty o charakterze krytycznym na podstawie dyrektywy (UE) 2022/2557;

| c) | zasady i obowiązki w zakresie wymiany informacji o cyberbezpieczeństwie; |
| --- | --- |

c)

zasady i obowiązki w zakresie wymiany informacji o cyberbezpieczeństwie;

| d) | obowiązki w zakresie nadzoru i egzekwowania przepisów spoczywające na państwach członkowskich. |
| --- | --- |

d)

obowiązki w zakresie nadzoru i egzekwowania przepisów spoczywające na państwach członkowskich.

Artykuł 2

Zakres

1.   Niniejsza dyrektywa ma zastosowanie do podmiotów publicznych lub prywatnych w rodzaju tych, o których mowa w załączniku I lub II, które kwalifikują się jako średnie przedsiębiorstwa na podstawie art. 2 załącznika do zalecenia 2003/361/WE lub które przekraczają pułapy dla średnich przedsiębiorstw określone w ust. 1 tego artykułu oraz które świadczą usługi lub prowadzą działalność w Unii.

Art. 3 ust. 4 załącznika do tego zalecenia nie ma zastosowania do celów niniejszej dyrektywy.

2.   Niniejsza dyrektywa ma również zastosowanie do podmiotów w rodzaju tych, o których mowa w załączniku I lub II, w przypadku gdy:

| a) | usługi świadczone są przez:






  (i) | dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej; |
| --- | --- | --- |

a)

usługi świadczone są przez:

(i)

dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej;

| (ii) | dostawców usług zaufania; |
| --- | --- |

(ii)

dostawców usług zaufania;

| (iii) | rejestry nazw domen najwyższego poziomu, oraz dostawców usług systemów nazw domen; |
| --- | --- |

(iii)

rejestry nazw domen najwyższego poziomu, oraz dostawców usług systemów nazw domen;

| b) | podmiot jest jedynym w danym państwie członkowskim dostawcą usługi, która ma kluczowe znaczenie dla utrzymania krytycznej działalności społecznej lub gospodarczej; |
| --- | --- |

b)

podmiot jest jedynym w danym państwie członkowskim dostawcą usługi, która ma kluczowe znaczenie dla utrzymania krytycznej działalności społecznej lub gospodarczej;

| c) | zakłócenie usługi świadczonej przez podmiot mogłoby mieć znaczący wpływ na porządek publiczny, bezpieczeństwo publiczne lub zdrowie publiczne; |
| --- | --- |

c)

zakłócenie usługi świadczonej przez podmiot mogłoby mieć znaczący wpływ na porządek publiczny, bezpieczeństwo publiczne lub zdrowie publiczne;

| d) | zakłócenie usługi świadczonej przez podmiot mogłoby prowadzić do powstania poważnego ryzyka systemowego, w szczególności w sektorach, w których takie zakłócenie mogłoby mieć wpływ transgraniczny; |
| --- | --- |

d)

zakłócenie usługi świadczonej przez podmiot mogłoby prowadzić do powstania poważnego ryzyka systemowego, w szczególności w sektorach, w których takie zakłócenie mogłoby mieć wpływ transgraniczny;

| e) | podmiot ma charakter krytyczny ze względu na jego szczególne znaczenie na poziomie krajowym lub regionalnym dla konkretnego sektora lub rodzaju usługi lub dla innych współzależnych sektorów w państwie członkowskim; |
| --- | --- |

e)

podmiot ma charakter krytyczny ze względu na jego szczególne znaczenie na poziomie krajowym lub regionalnym dla konkretnego sektora lub rodzaju usługi lub dla innych współzależnych sektorów w państwie członkowskim;

| f) | podmiot jest podmiotem administracji publicznej:






  (i) | na poziomie rządu centralnego, zdefiniowanym przez państwo członkowskie, zgodnie z prawem krajowym; lub |
| --- | --- | --- |

f)

podmiot jest podmiotem administracji publicznej:

(i)

na poziomie rządu centralnego, zdefiniowanym przez państwo członkowskie, zgodnie z prawem krajowym; lub

| (ii) | na poziomie regionalnym, zdefiniowanym przez państwo członkowskie zgodnie z prawem krajowym, który zgodnie z oceną opartą na analizie ryzyka świadczy usługi, których zakłócenie mogłoby mieć znaczący wpływ na krytyczną działalność społeczną lub gospodarczą. |
| --- | --- |

(ii)

na poziomie regionalnym, zdefiniowanym przez państwo członkowskie zgodnie z prawem krajowym, który zgodnie z oceną opartą na analizie ryzyka świadczy usługi, których zakłócenie mogłoby mieć znaczący wpływ na krytyczną działalność społeczną lub gospodarczą.

3.   Niniejsza dyrektywa ma zastosowanie do podmiotów zidentyfikowanych jako podmioty mające charakter krytyczny na mocy dyrektywy (UE) 2022/2557, niezależnie od ich wielkości.

4.   Niniejsza dyrektywa ma zastosowanie do podmiotów świadczących usługi rejestracji nazw domen, niezależnie od ich wielkości.

5.   Państwa członkowskie mogą postanowić, że niniejsza dyrektywa ma zastosowanie do:

| a) | podmiotów administracji publicznej na poziomie lokalnym; |
| --- | --- |

a)

podmiotów administracji publicznej na poziomie lokalnym;

| b) | instytucji edukacyjnych, zwłaszcza gdy prowadzą one działalność badawczą o krytycznym znaczeniu. |
| --- | --- |

b)

instytucji edukacyjnych, zwłaszcza gdy prowadzą one działalność badawczą o krytycznym znaczeniu.

6.   Niniejsza dyrektywa pozostaje bez uszczerbku dla spoczywającego na państwach członkowskich obowiązku ochrony bezpieczeństwa narodowego oraz dla ich uprawnień do zabezpieczania innych podstawowych funkcji państwa, w tym zapewniania integralności terytorialnej państwa i utrzymywania porządku publicznego.

7.   Niniejsza dyrektywa nie ma zastosowania do podmiotów administracji publicznej, które prowadzą działalność w dziedzinach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym zapobiegania im, prowadzenia postępowań w sprawie przestępstw, ich wykrywania oraz ścigania.

8.   Państwa członkowskie mogą zwolnić określone podmioty, które prowadzą działania w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym zapobieganie przestępstwom, prowadzenie postępowań w ich sprawie, wykrywanie ich i ściganie, lub które świadczą usługi wyłącznie na rzecz podmiotów administracji publicznej, o których mowa w ust. 7 niniejszego artykułu, z obowiązków ustanowionych w art. 21 lub 23 w odniesieniu do tych działań lub tych usług. W takich przypadkach środki nadzoru i egzekwowania przepisów, o których mowa w rozdziale VII, nie mają zastosowania do tej konkretnej działalności lub tych usług. W przypadku gdy podmioty prowadzą działalność lub świadczą usługi wyłącznie w rodzaju tych, o których mowa w niniejszym ustępie, państwa członkowskie mogą również podjąć decyzję o zwolnieniu tych podmiotów z obowiązków określonych w art. 3 i 27.

9.   Ust. 7 i 8 nie mają zastosowania w przypadku, gdy podmiot działa jako dostawca usług zaufania.

10.   Niniejsza dyrektywa nie ma zastosowania do podmiotów, które państwa członkowskie zwolniły z zakresu stosowania rozporządzenia (UE) 2022/2554 zgodnie z art. 2 ust. 4 tego rozporządzenia.

11.   Obowiązki ustanowione w niniejszej dyrektywie nie wiążą się z dostarczaniem informacji, których ujawnienie byłoby sprzeczne z podstawowymi interesami państw członkowskich w zakresie bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności.

12.   Niniejszą dyrektywę stosuje się bez uszczerbku dla rozporządzenia (UE) 2016/679, dyrektywy 2002/58/WE, dyrektyw Parlamentu Europejskiego i Rady 2011/93/UE (27) i 2013/40/UE (28) oraz dyrektywy (UE) 2022/2557.

13.   Bez uszczerbku dla art. 346 TFUE informacje, które są poufne zgodnie z przepisami unijnymi lub krajowymi, takimi jak przepisy dotyczące tajemnicy przedsiębiorstwa, podlegają wymianie z Komisją i innymi odpowiednimi organami zgodnie z niniejszą dyrektywą tylko wtedy, gdy wymiana taka jest niezbędna do stosowania niniejszej dyrektywy. Informacje podlegające wymianie ogranicza się do tego, co jest istotne dla celów takiej wymiany i proporcjonalne do jej celów. Podczas wymiany informacji zachowuje się poufność tych informacji oraz chroni się bezpieczeństwo i interesy handlowe danych podmiotów.

14.   Podmioty, właściwe organy, pojedyncze punkty kontaktowe i CSIRT przetwarzają dane osobowe w zakresie niezbędnym do celów niniejszej dyrektywy i zgodnie z rozporządzeniem (UE) 2016/679, w szczególności takie przetwarzanie odbywa się na podstawie jego art. 6.

Przetwarzanie danych osobowych na mocy niniejszej dyrektywy przez dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej odbywa się zgodnie z unijnymi przepisami o ochronie danych i unijnym prawem dotyczącym prywatności, w szczególności dyrektywą 2002/58/WE.

Artykuł 3

Podmioty kluczowe i ważne

1.   Do celów niniejszej dyrektywy następujące podmioty uznaje się za podmioty kluczowe:

| a) | podmioty w rodzaju tych, o których mowa w załączniku I, przekraczające pułapy dla średnich przedsiębiorstw, określone w art. 2 ust. 1 załącznika do zalecenia 2003/361/WE; |
| --- | --- |

a)

podmioty w rodzaju tych, o których mowa w załączniku I, przekraczające pułapy dla średnich przedsiębiorstw, określone w art. 2 ust. 1 załącznika do zalecenia 2003/361/WE;

| b) | kwalifikowanych dostawców usług zaufania i rejestry nazw domen najwyższego poziomu, a także dostawców usług DNS, niezależnie od ich wielkości; |
| --- | --- |

b)

kwalifikowanych dostawców usług zaufania i rejestry nazw domen najwyższego poziomu, a także dostawców usług DNS, niezależnie od ich wielkości;

| c) | dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej, które kwalifikują się jako średnie przedsiębiorstwa na podstawie art. 2 załącznika do zalecenia 2003/361/WE; |
| --- | --- |

c)

dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej, które kwalifikują się jako średnie przedsiębiorstwa na podstawie art. 2 załącznika do zalecenia 2003/361/WE;

| d) | podmioty administracji publicznej, o których mowa w art. 2 ust. 2 lit. f) ppkt (i); |
| --- | --- |

d)

podmioty administracji publicznej, o których mowa w art. 2 ust. 2 lit. f) ppkt (i);

| e) | inne podmioty w rodzaju tych, o których mowa w załączniku I lub II, które zostały wskazane przez państwo członkowskie jako podmioty kluczowe zgodnie z art. 2 ust. 2 lit. b)–e); |
| --- | --- |

e)

inne podmioty w rodzaju tych, o których mowa w załączniku I lub II, które zostały wskazane przez państwo członkowskie jako podmioty kluczowe zgodnie z art. 2 ust. 2 lit. b)–e);

| f) | podmioty wskazane jako podmioty krytyczne na podstawie dyrektywy (UE) 2022/2557, o których mowa w art. 2 ust. 3 niniejszej dyrektywy; |
| --- | --- |

f)

podmioty wskazane jako podmioty krytyczne na podstawie dyrektywy (UE) 2022/2557, o których mowa w art. 2 ust. 3 niniejszej dyrektywy;

| g) | jeżeli państwo członkowskie tak postanowi, podmioty, które to państwo członkowskie wskazało przed 16 stycznia 2023 r. jako operatorów usług kluczowych zgodnie z dyrektywą (UE) 2016/1148 lub prawem krajowym. |
| --- | --- |

g)

jeżeli państwo członkowskie tak postanowi, podmioty, które to państwo członkowskie wskazało przed 16 stycznia 2023 r. jako operatorów usług kluczowych zgodnie z dyrektywą (UE) 2016/1148 lub prawem krajowym.

2.   Do celów niniejszej dyrektywy podmioty w rodzaju tych, o których mowa w załączniku I lub II, które nie kwalifikują się jako podmioty kluczowe zgodnie z ust. 1 niniejszego artykułu, uznaje się za podmioty ważne. Odnosi się to również do podmiotów, które zostały wskazane przez państwa członkowskie jako podmioty ważne zgodnie z art. 2 ust. 2 lit. b)–e).

3.   Do dnia 17 kwietnia 2025 r. państwa członkowskie ustanawiają wykaz podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen. Państwa członkowskie regularnie, i nie rzadziej niż co dwa lata po wyżej wymienionej dacie, dokonują przeglądu i – w stosownych przypadkach – aktualizacji tego wykazu.

4.   W celu ustanowienia wykazu, o którym mowa w ust. 3, państwa członkowskie wymagają od podmiotów, o których mowa w tym ustępie, przedłożenia właściwym organom co najmniej następujących informacji:

| a) | nazwy podmiotu; |
| --- | --- |

a)

nazwy podmiotu;

| b) | adresu i aktualnych danych kontaktowych, w tym adresów poczty elektronicznej, zakresów adresów IP i numerów telefonów; |
| --- | --- |

b)

adresu i aktualnych danych kontaktowych, w tym adresów poczty elektronicznej, zakresów adresów IP i numerów telefonów;

| c) | w stosownych przypadkach, odpowiedniego sektora i podsektora, o których mowa w załączniku I lub II; oraz |
| --- | --- |

c)

w stosownych przypadkach, odpowiedniego sektora i podsektora, o których mowa w załączniku I lub II; oraz

| d) | w stosownych przypadkach, wykazu państw członkowskich, w których świadczą one usługi objęte zakresem stosowania niniejszej dyrektywy. |
| --- | --- |

d)

w stosownych przypadkach, wykazu państw członkowskich, w których świadczą one usługi objęte zakresem stosowania niniejszej dyrektywy.

Podmioty, o których mowa w ust. 3, niezwłocznie powiadamiają o zmianach danych przedłożonych zgodnie z akapitem pierwszym niniejszego ustępu, a w każdym razie w terminie dwóch tygodni od dnia, w którym nastąpiła zmiana.

Komisja, z pomocą Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), bez zbędnej zwłoki podaje wytyczne i wzory dokumentów związane z obowiązkami ustanowionymi w niniejszym ustępie.

Państwa członkowskie mogą ustanowić krajowe mechanizmy umożliwiające podmiotom samodzielną rejestrację.

5.   Do dnia 17 kwietnia 2025 r., a następnie co dwa lata właściwe organy powiadamiają:

| a) | Komisję i Grupę Współpracy o liczbie podmiotów kluczowych i ważnych wymienionych w wykazie zgodnie z ust. 3 dla każdego sektora i podsektora, o których mowa w załączniku I lub II; oraz |
| --- | --- |

a)

Komisję i Grupę Współpracy o liczbie podmiotów kluczowych i ważnych wymienionych w wykazie zgodnie z ust. 3 dla każdego sektora i podsektora, o których mowa w załączniku I lub II; oraz

| b) | Komisję o istotnych informacjach na temat liczby podmiotów kluczowych i ważnych wskazanych na podstawie art. 2 ust. 2 lit. b)–e), sektora i podsektora, o których mowa w załączniku I lub II i do których podmioty te należą, rodzaju świadczonej przez nie usługi oraz przepisu spośród tych ustanowionych na podstawie art. 2 ust. 2 lit. b)–e), na podstawie którego zostały one wskazane. |
| --- | --- |

b)

Komisję o istotnych informacjach na temat liczby podmiotów kluczowych i ważnych wskazanych na podstawie art. 2 ust. 2 lit. b)–e), sektora i podsektora, o których mowa w załączniku I lub II i do których podmioty te należą, rodzaju świadczonej przez nie usługi oraz przepisu spośród tych ustanowionych na podstawie art. 2 ust. 2 lit. b)–e), na podstawie którego zostały one wskazane.

6.   Do dnia 17 kwietnia 2025 r. i na wniosek Komisji państwa członkowskie mogą zgłaszać Komisji nazwy podmiotów kluczowych i ważnych, o których mowa w ust. 5 lit. b).

Artykuł 4

Sektorowe akty prawne Unii

1.   W przypadku gdy na podstawie sektorowych aktów prawnych Unii wymaga się od podmiotów kluczowych lub ważnych przyjęcia środków zarządzania ryzykiem w cyberbezpieczeństwie lub zgłaszania poważnych incydentów i w przypadku gdy wymogi te są co najmniej równoważne pod względem skutku obowiązkom określonym w niniejszej dyrektywie, nie stosuje się do takich podmiotów odpowiednich przepisów niniejszej dyrektywy, w tym przepisów dotyczących nadzoru i egzekwowania przepisów określonych w rozdziale VII. Jeżeli sektorowe akty prawne Unii nie obejmują wszystkich podmiotów w konkretnym sektorze, objętych zakresem stosowania niniejszej dyrektywy, odpowiednie przepisy niniejszej dyrektywy nadal mają zastosowanie do podmiotów nieobjętych tymi sektorowymi aktami prawnymi Unii.

2.   Wymogi, o których mowa w ust. 1 niniejszego artykułu, uznaje się za równoważne pod względem skutku obowiązkom określonym w niniejszej dyrektywie, jeżeli:

| a) | środki zarządzania ryzykiem w cyberbezpieczeństwie są co najmniej równoważne pod względem skutku środkom określonym w art. 21 ust. 1 i 2; lub |
| --- | --- |

a)

środki zarządzania ryzykiem w cyberbezpieczeństwie są co najmniej równoważne pod względem skutku środkom określonym w art. 21 ust. 1 i 2; lub

| b) | sektorowy akt prawny Unii przewiduje natychmiastowy dostęp CSIRT, właściwych organów lub pojedynczych punktów kontaktowych na mocy niniejszej dyrektywy do zgłoszeń incydentów – w stosownych przypadkach automatycznie i bezpośrednio, oraz w przypadkach, gdy wymogi dotyczące zgłaszania poważnych incydentów są co najmniej równoważne pod względem skutku wymogom określonym w art. 23 ust. 1–6 niniejszej dyrektywy. |
| --- | --- |

b)

sektorowy akt prawny Unii przewiduje natychmiastowy dostęp CSIRT, właściwych organów lub pojedynczych punktów kontaktowych na mocy niniejszej dyrektywy do zgłoszeń incydentów – w stosownych przypadkach automatycznie i bezpośrednio, oraz w przypadkach, gdy wymogi dotyczące zgłaszania poważnych incydentów są co najmniej równoważne pod względem skutku wymogom określonym w art. 23 ust. 1–6 niniejszej dyrektywy.

3.   Komisja do dnia 17 lipca 2023 r. podaje wytyczne wyjaśniające stosowanie ust. 1 i 2. Komisja regularnie dokonuje przeglądu tych wytycznych. Przygotowując te wytyczne, Komisja bierze pod uwagę uwagi Grupy Współpracy i ENISA.

Artykuł 5

Harmonizacja minimalna

Niniejsza dyrektywa nie uniemożliwia państwom członkowskim przyjęcia lub utrzymania przepisów zapewniających wyższy poziom cyberbezpieczeństwa, pod warunkiem że takie przepisy są spójne z obowiązkami państw członkowskich, ustanowionymi w prawie Unii.

Artykuł 6

Definicje

Do celów niniejszej dyrektywy stosuje się następujące definicje:

| 1) | „sieci i systemy informatyczne” oznaczają:






  a) | sieć łączności elektronicznej zdefiniowaną w art. 2 pkt 1 dyrektywy (UE) 2018/1972; |
| --- | --- | --- |

1)

„sieci i systemy informatyczne” oznaczają:

a)

sieć łączności elektronicznej zdefiniowaną w art. 2 pkt 1 dyrektywy (UE) 2018/1972;

| b) | urządzenie lub grupę wzajemnie połączonych lub powiązanych urządzeń, z których co najmniej jedno, na podstawie programu, automatycznie przetwarza dane cyfrowe; lub |
| --- | --- |

b)

urządzenie lub grupę wzajemnie połączonych lub powiązanych urządzeń, z których co najmniej jedno, na podstawie programu, automatycznie przetwarza dane cyfrowe; lub

| c) | dane cyfrowe przechowywane, przetwarzane, pobierane lub przekazywane przez elementy określone w lit. a) i b) w celu ich eksploatacji, użycia, ochrony i utrzymania; |
| --- | --- |

c)

dane cyfrowe przechowywane, przetwarzane, pobierane lub przekazywane przez elementy określone w lit. a) i b) w celu ich eksploatacji, użycia, ochrony i utrzymania;

| 2) | „bezpieczeństwo sieci i systemów informatycznych” oznacza odporność sieci i systemów informatycznych, przy danym poziomie zaufania, na wszelkie zdarzenia, które mogą naruszyć dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych lub usług oferowanych przez te sieci i systemy informatyczne lub dostępnych za ich pośrednictwem; |
| --- | --- |

2)

„bezpieczeństwo sieci i systemów informatycznych” oznacza odporność sieci i systemów informatycznych, przy danym poziomie zaufania, na wszelkie zdarzenia, które mogą naruszyć dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych lub usług oferowanych przez te sieci i systemy informatyczne lub dostępnych za ich pośrednictwem;

| 3) | „cyberbezpieczeństwo” oznacza cyberbezpieczeństwo zdefiniowane w art. 2 pkt 1 rozporządzenia (UE) 2019/881; |
| --- | --- |

3)

„cyberbezpieczeństwo” oznacza cyberbezpieczeństwo zdefiniowane w art. 2 pkt 1 rozporządzenia (UE) 2019/881;

| 4) | „krajowa strategia cyberbezpieczeństwa” oznacza spójne ramy państwa członkowskiego określające strategiczne cele i priorytety w obszarze cyberbezpieczeństwa oraz środki służące ich realizacji w tym państwie członkowskim; |
| --- | --- |

4)

„krajowa strategia cyberbezpieczeństwa” oznacza spójne ramy państwa członkowskiego określające strategiczne cele i priorytety w obszarze cyberbezpieczeństwa oraz środki służące ich realizacji w tym państwie członkowskim;

| 5) | „potencjalne zdarzenie dla cyberbezpieczeństwa” oznacza zdarzenie, które mogło naruszyć dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych lub usług oferowanych przez sieci i systemy informatyczne lub dostępnych za ich pośrednictwem, któremu udało się jednak zapobiec lub które jednak nie wystąpiło; |
| --- | --- |

5)

„potencjalne zdarzenie dla cyberbezpieczeństwa” oznacza zdarzenie, które mogło naruszyć dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych lub usług oferowanych przez sieci i systemy informatyczne lub dostępnych za ich pośrednictwem, któremu udało się jednak zapobiec lub które jednak nie wystąpiło;

| 6) | „incydent” oznacza zdarzenie naruszające dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych lub usług oferowanych przez sieci i systemy informatyczne lub dostępnych za ich pośrednictwem; |
| --- | --- |

6)

„incydent” oznacza zdarzenie naruszające dostępność, autentyczność, integralność lub poufność przechowywanych, przekazywanych lub przetwarzanych danych lub usług oferowanych przez sieci i systemy informatyczne lub dostępnych za ich pośrednictwem;

| 7) | „incydent w cyberbezpieczeństwie na dużą skalę” oznacza incydent, który powoduje zakłócenia na poziomie przekraczającym zdolność państwa członkowskiego do reagowania na ten incydent lub który wywiera znaczące skutki w co najmniej dwóch państwach członkowskich; |
| --- | --- |

7)

„incydent w cyberbezpieczeństwie na dużą skalę” oznacza incydent, który powoduje zakłócenia na poziomie przekraczającym zdolność państwa członkowskiego do reagowania na ten incydent lub który wywiera znaczące skutki w co najmniej dwóch państwach członkowskich;

| 8) | „obsługa incydentu” oznacza działania i procedury mające na celu zapobieżenie incydentowi, wykrywanie i analizowanie go, ograniczanie jego zasięgu lub reagowanie na niego i przywrócenie normalnego działania; |
| --- | --- |

8)

„obsługa incydentu” oznacza działania i procedury mające na celu zapobieżenie incydentowi, wykrywanie i analizowanie go, ograniczanie jego zasięgu lub reagowanie na niego i przywrócenie normalnego działania;

| 9) | „ryzyko” oznacza możliwość wystąpienia strat lub zakłóceń spowodowanych incydentem, wyrażoną jako wypadkową wielkości takiej straty lub takich zakłóceń oraz prawdopodobieństwo wystąpienia takiego incydentu; |
| --- | --- |

9)

„ryzyko” oznacza możliwość wystąpienia strat lub zakłóceń spowodowanych incydentem, wyrażoną jako wypadkową wielkości takiej straty lub takich zakłóceń oraz prawdopodobieństwo wystąpienia takiego incydentu;

| 10) | „cyberzagrożenie” oznacza cyberzagrożenie zdefiniowane w art. 2 pkt 8 rozporządzenia (UE) 2019/881; |
| --- | --- |

10)

„cyberzagrożenie” oznacza cyberzagrożenie zdefiniowane w art. 2 pkt 8 rozporządzenia (UE) 2019/881;

| 11) | „poważne cyberzagrożenie” oznacza cyberzagrożenie, co do którego można założyć w oparciu o jego charakterystykę techniczną, że może wywrzeć znaczący wpływ na sieć i systemy informatyczne danego podmiotu lub użytkowników, korzystających z usług tego podmiotu, powodując i znaczne szkody majątkowe lub niemajątkowe; |
| --- | --- |

11)

„poważne cyberzagrożenie” oznacza cyberzagrożenie, co do którego można założyć w oparciu o jego charakterystykę techniczną, że może wywrzeć znaczący wpływ na sieć i systemy informatyczne danego podmiotu lub użytkowników, korzystających z usług tego podmiotu, powodując i znaczne szkody majątkowe lub niemajątkowe;

| 12) | „produkt ICT” oznacza produkt ICT zdefiniowany w art. 2 pkt 12 rozporządzenia (UE) 2019/881; |
| --- | --- |

12)

„produkt ICT” oznacza produkt ICT zdefiniowany w art. 2 pkt 12 rozporządzenia (UE) 2019/881;

| 13) | „usługa ICT” oznacza usługę ICT zdefiniowaną w art. 2 pkt 13 rozporządzenia (UE) 2019/881; |
| --- | --- |

13)

„usługa ICT” oznacza usługę ICT zdefiniowaną w art. 2 pkt 13 rozporządzenia (UE) 2019/881;

| 14) | „proces ICT” oznacza proces ICT zdefiniowany w art. 2 pkt 14 rozporządzenia (UE) 2019/881; |
| --- | --- |

14)

„proces ICT” oznacza proces ICT zdefiniowany w art. 2 pkt 14 rozporządzenia (UE) 2019/881;

| 15) | „podatność” oznacza słabość, wrażliwość lub wadę produktów ICT lub usług ICT, które to cechy mogą zostać wykorzystane w wyniku cyberzagrożenia; |
| --- | --- |

15)

„podatność” oznacza słabość, wrażliwość lub wadę produktów ICT lub usług ICT, które to cechy mogą zostać wykorzystane w wyniku cyberzagrożenia;

| 16) | „norma” oznacza normę zdefiniowaną w art. 2 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1025/2012 (29); |
| --- | --- |

16)

„norma” oznacza normę zdefiniowaną w art. 2 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1025/2012 (29);

29

| 17) | „specyfikacja techniczna” oznacza specyfikację techniczną zdefiniowaną w art. 2 pkt 4 rozporządzenia (UE) nr 1025/2012; |
| --- | --- |

17)

„specyfikacja techniczna” oznacza specyfikację techniczną zdefiniowaną w art. 2 pkt 4 rozporządzenia (UE) nr 1025/2012;

| 18) | „punkt wymiany ruchu internetowego” oznacza obiekt sieciowy, który umożliwia połączenie międzysystemowe pomiędzy więcej niż dwoma niezależnymi sieciami (systemami autonomicznymi), głównie w celu ułatwienia wymiany ruchu internetowego; punkt wymiany ruchu internetowego zapewnia połączenie międzysystemowe wyłącznie systemów autonomicznych i nie wymaga, aby ruch internetowy między jakąkolwiek parą uczestniczących systemów autonomicznych przechodził przez jakikolwiek trzeci system autonomiczny, ani nie powoduje zmian w tym ruchu, ani w inny sposób w niego nie ingeruje; |
| --- | --- |

18)

„punkt wymiany ruchu internetowego” oznacza obiekt sieciowy, który umożliwia połączenie międzysystemowe pomiędzy więcej niż dwoma niezależnymi sieciami (systemami autonomicznymi), głównie w celu ułatwienia wymiany ruchu internetowego; punkt wymiany ruchu internetowego zapewnia połączenie międzysystemowe wyłącznie systemów autonomicznych i nie wymaga, aby ruch internetowy między jakąkolwiek parą uczestniczących systemów autonomicznych przechodził przez jakikolwiek trzeci system autonomiczny, ani nie powoduje zmian w tym ruchu, ani w inny sposób w niego nie ingeruje;

| 19) | „system nazw domen” lub „DNS” oznacza hierarchiczny rozproszony system nazw, który umożliwia identyfikację usług i zasobów internetowych, pozwalając urządzeniom użytkowników końcowych na korzystanie z usług routingu internetowego i usług łączności w celu dotarcia do tych usług i zasobów; |
| --- | --- |

19)

„system nazw domen” lub „DNS” oznacza hierarchiczny rozproszony system nazw, który umożliwia identyfikację usług i zasobów internetowych, pozwalając urządzeniom użytkowników końcowych na korzystanie z usług routingu internetowego i usług łączności w celu dotarcia do tych usług i zasobów;

| 20) | „dostawca usług DNS” oznacza podmiot świadczący:






  a) | dostępne publicznie rekurencyjne usługi rozpoznawania nazw domen na rzecz użytkowników końcowych internetu; lub |
| --- | --- | --- |

20)

„dostawca usług DNS” oznacza podmiot świadczący:

a)

dostępne publicznie rekurencyjne usługi rozpoznawania nazw domen na rzecz użytkowników końcowych internetu; lub

| b) | autorytatywne usługi rozpoznawania nazw domen do użytku osób trzecich, z wyjątkiem głównych serwerów nazw; |
| --- | --- |

b)

autorytatywne usługi rozpoznawania nazw domen do użytku osób trzecich, z wyjątkiem głównych serwerów nazw;

| 21) | „rejestr nazw domen najwyższego poziomu” lub „rejestr nazw TLD” oznacza podmiot, któremu powierzono konkretną domenę najwyższego poziomu (TLD) i który odpowiada za zarządzanie nią, w tym za rejestrację nazw domen w ramach TLD oraz za jej techniczne funkcjonowanie, w tym za obsługę jej serwerów nazw, utrzymanie jej baz danych oraz dystrybucję plików strefowych TLD we wszystkich serwerach nazw, bez względu na to, czy którekolwiek z tych działań jest wykonywane przez sam podmiot czy zlecane na zewnątrz, ale z wyłączeniem sytuacji, w których rejestr wykorzystuje nazwy TDL wyłącznie do własnego użytku; |
| --- | --- |

21)

„rejestr nazw domen najwyższego poziomu” lub „rejestr nazw TLD” oznacza podmiot, któremu powierzono konkretną domenę najwyższego poziomu (TLD) i który odpowiada za zarządzanie nią, w tym za rejestrację nazw domen w ramach TLD oraz za jej techniczne funkcjonowanie, w tym za obsługę jej serwerów nazw, utrzymanie jej baz danych oraz dystrybucję plików strefowych TLD we wszystkich serwerach nazw, bez względu na to, czy którekolwiek z tych działań jest wykonywane przez sam podmiot czy zlecane na zewnątrz, ale z wyłączeniem sytuacji, w których rejestr wykorzystuje nazwy TDL wyłącznie do własnego użytku;

| 22) | „podmiot świadczący usługi rejestracji nazw domen” oznacza rejestratora lub agenta działającego w imieniu rejestratorów, np. dostawcę lub odsprzedawcę usług w zakresie rejestracji prywatności lub serwerów proxy; |
| --- | --- |

22)

„podmiot świadczący usługi rejestracji nazw domen” oznacza rejestratora lub agenta działającego w imieniu rejestratorów, np. dostawcę lub odsprzedawcę usług w zakresie rejestracji prywatności lub serwerów proxy;

| 23) | „usługa cyfrowa” oznacza usługę zdefiniowaną w art. 1 ust. 1 lit. b) dyrektywy (UE) 2015/1535 Parlamentu Europejskiego i Rady (30); |
| --- | --- |

23)

„usługa cyfrowa” oznacza usługę zdefiniowaną w art. 1 ust. 1 lit. b) dyrektywy (UE) 2015/1535 Parlamentu Europejskiego i Rady (30);

30

| 24) | „usługa zaufania” oznacza usługę zaufania zdefiniowaną w art. 3 pkt 16 rozporządzenia (UE) nr 910/2014; |
| --- | --- |

24)

„usługa zaufania” oznacza usługę zaufania zdefiniowaną w art. 3 pkt 16 rozporządzenia (UE) nr 910/2014;

| 25) | „dostawca usług zaufania” oznacza dostawcę usług zaufania zdefiniowanego w art. 3 pkt 19 rozporządzenia (UE) nr 910/2014; |
| --- | --- |

25)

„dostawca usług zaufania” oznacza dostawcę usług zaufania zdefiniowanego w art. 3 pkt 19 rozporządzenia (UE) nr 910/2014;

| 26) | „kwalifikowana usługa zaufania” oznacza kwalifikowaną usługę zaufania zdefiniowaną w art. 3 pkt 17 rozporządzenia (UE) nr 910/2014; |
| --- | --- |

26)

„kwalifikowana usługa zaufania” oznacza kwalifikowaną usługę zaufania zdefiniowaną w art. 3 pkt 17 rozporządzenia (UE) nr 910/2014;

| 27) | „kwalifikowany dostawca usług zaufania” oznacza kwalifikowanego dostawcę usług zaufania zdefiniowanego w art. 3 pkt 20 rozporządzenia (UE) nr 910/2014; |
| --- | --- |

27)

„kwalifikowany dostawca usług zaufania” oznacza kwalifikowanego dostawcę usług zaufania zdefiniowanego w art. 3 pkt 20 rozporządzenia (UE) nr 910/2014;

| 28) | „internetowa platforma handlowa” oznacza internetową platformę handlową zdefiniowaną w art. 2 lit. n) dyrektywy 2005/29/WE Parlamentu Europejskiego i Rady (31); |
| --- | --- |

28)

„internetowa platforma handlowa” oznacza internetową platformę handlową zdefiniowaną w art. 2 lit. n) dyrektywy 2005/29/WE Parlamentu Europejskiego i Rady (31);

31

| 29) | „wyszukiwarka internetowa” oznacza wyszukiwarkę internetową zdefiniowaną w art. 2 pkt 5 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/1150 (32); |
| --- | --- |

29)

„wyszukiwarka internetowa” oznacza wyszukiwarkę internetową zdefiniowaną w art. 2 pkt 5 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/1150 (32);

32

| 30) | „usługa chmurowa” oznacza usługę cyfrową umożliwiającą administrowanie na żądanie skalowalnym i elastycznym zbiorem zasobów obliczeniowych do wspólnego wykorzystywania oraz szeroki dostęp zdalny do tego zbioru, w tym również gdy takie zasoby są rozproszone w kilku lokalizacjach; |
| --- | --- |

30)

„usługa chmurowa” oznacza usługę cyfrową umożliwiającą administrowanie na żądanie skalowalnym i elastycznym zbiorem zasobów obliczeniowych do wspólnego wykorzystywania oraz szeroki dostęp zdalny do tego zbioru, w tym również gdy takie zasoby są rozproszone w kilku lokalizacjach;

| 31) | „usługa ośrodka przetwarzania danych” oznacza usługę obejmującą struktury lub grupy struktur przeznaczone do scentralizowanego hostingu, zapewniania wzajemnego połączenia i eksploatacji sprzętu IT i sieciowego służącego do świadczenia usług przechowywania, przetwarzania i transportu danych wraz ze wszystkimi obiektami i całą infrastrukturą, zapewniającymi dystrybucję energii elektrycznej i kontrolę środowiskową; |
| --- | --- |

31)

„usługa ośrodka przetwarzania danych” oznacza usługę obejmującą struktury lub grupy struktur przeznaczone do scentralizowanego hostingu, zapewniania wzajemnego połączenia i eksploatacji sprzętu IT i sieciowego służącego do świadczenia usług przechowywania, przetwarzania i transportu danych wraz ze wszystkimi obiektami i całą infrastrukturą, zapewniającymi dystrybucję energii elektrycznej i kontrolę środowiskową;

| 32) | „sieć dostarczania treści” oznacza sieć rozproszonych geograficznie serwerów służących zapewnieniu wysokiej i łatwej dostępności treści i usług cyfrowych lub ich szybkiego dostarczania na rzecz użytkowników internetu w imieniu dostawców treści i usług; |
| --- | --- |

32)

„sieć dostarczania treści” oznacza sieć rozproszonych geograficznie serwerów służących zapewnieniu wysokiej i łatwej dostępności treści i usług cyfrowych lub ich szybkiego dostarczania na rzecz użytkowników internetu w imieniu dostawców treści i usług;

| 33) | „platforma usług sieci społecznościowych” oznacza platformę umożliwiającą użytkownikom końcowym łączenie się i komunikowanie ze sobą, a także udostępnianie i odkrywanie treści przy użyciu wielu urządzeń, w szczególności za pośrednictwem czatów, postów, filmów wideo i rekomendacji; |
| --- | --- |

33)

„platforma usług sieci społecznościowych” oznacza platformę umożliwiającą użytkownikom końcowym łączenie się i komunikowanie ze sobą, a także udostępnianie i odkrywanie treści przy użyciu wielu urządzeń, w szczególności za pośrednictwem czatów, postów, filmów wideo i rekomendacji;

| 34) | „przedstawiciel” oznacza osobę fizyczną lub prawną mającą miejsce zamieszkania lub miejsce prowadzenia działalności w Unii, wyraźnie wyznaczoną do występowania w imieniu dostawcy usług DNS, rejestru nazw TLD, podmiotu świadczącego usługi rejestracji nazw domen, dostawcy usług chmurowych, dostawcy usług ośrodka przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie bezpieczeństwa lub dostawcy internetowej platformy handlowej, wyszukiwarki internetowej lub platformy usług sieci społecznościowych, niemających miejsca prowadzenia działalności w Unii, do której właściwy organ krajowy lub CSIRT może się zwrócić zamiast do samego podmiotu w związku z obowiązkami tego podmiotu przewidzianymi w niniejszej dyrektywie; |
| --- | --- |

34)

„przedstawiciel” oznacza osobę fizyczną lub prawną mającą miejsce zamieszkania lub miejsce prowadzenia działalności w Unii, wyraźnie wyznaczoną do występowania w imieniu dostawcy usług DNS, rejestru nazw TLD, podmiotu świadczącego usługi rejestracji nazw domen, dostawcy usług chmurowych, dostawcy usług ośrodka przetwarzania danych, dostawcy sieci dostarczania treści, dostawcy usług zarządzanych, dostawcy usług zarządzanych w zakresie bezpieczeństwa lub dostawcy internetowej platformy handlowej, wyszukiwarki internetowej lub platformy usług sieci społecznościowych, niemających miejsca prowadzenia działalności w Unii, do której właściwy organ krajowy lub CSIRT może się zwrócić zamiast do samego podmiotu w związku z obowiązkami tego podmiotu przewidzianymi w niniejszej dyrektywie;

| 35) | „podmiot administracji publicznej” oznacza podmiot uznany za taki w danym państwie członkowskim zgodnie z prawem krajowym, z wyłączeniem sądownictwa, parlamentów lub banków centralnych, spełniający następujące kryteria:






  a) | został utworzony w celu zaspokajania potrzeb leżących w interesie ogólnym i nie ma charakteru przemysłowego ani handlowego; |
| --- | --- | --- |

35)

„podmiot administracji publicznej” oznacza podmiot uznany za taki w danym państwie członkowskim zgodnie z prawem krajowym, z wyłączeniem sądownictwa, parlamentów lub banków centralnych, spełniający następujące kryteria:

a)

został utworzony w celu zaspokajania potrzeb leżących w interesie ogólnym i nie ma charakteru przemysłowego ani handlowego;

| b) | ma osobowość prawną lub zgodnie z przepisami jest uprawniony do działania w imieniu innego podmiotu mającego osobowość prawną; |
| --- | --- |

b)

ma osobowość prawną lub zgodnie z przepisami jest uprawniony do działania w imieniu innego podmiotu mającego osobowość prawną;

| c) | jest finansowany w przeważającej części przez państwo, władze regionalne lub inne podmioty prawa publicznego, jego zarząd podlega nadzorowi ze strony tych organów lub podmiotów albo ponad połowa członków jego organu administrującego, zarządzającego lub nadzorczego została wyznaczona przez państwo, władze regionalne lub przez inne podmioty prawa publicznego; |
| --- | --- |

c)

jest finansowany w przeważającej części przez państwo, władze regionalne lub inne podmioty prawa publicznego, jego zarząd podlega nadzorowi ze strony tych organów lub podmiotów albo ponad połowa członków jego organu administrującego, zarządzającego lub nadzorczego została wyznaczona przez państwo, władze regionalne lub przez inne podmioty prawa publicznego;

| d) | jest uprawniony do kierowania do osób fizycznych lub prawnych decyzji administracyjnych lub regulacyjnych mających wpływ na ich prawa w transgranicznym przepływie osób, towarów, usług lub kapitału; |
| --- | --- |

d)

jest uprawniony do kierowania do osób fizycznych lub prawnych decyzji administracyjnych lub regulacyjnych mających wpływ na ich prawa w transgranicznym przepływie osób, towarów, usług lub kapitału;

| 36) | „publiczna sieć łączności elektronicznej” oznacza publiczną sieć łączności elektronicznej zdefiniowaną w art. 2 pkt 8 dyrektywy (UE) 2018/1972; |
| --- | --- |

36)

„publiczna sieć łączności elektronicznej” oznacza publiczną sieć łączności elektronicznej zdefiniowaną w art. 2 pkt 8 dyrektywy (UE) 2018/1972;

| 37) | „usługa łączności elektronicznej” oznacza usługę łączności elektronicznej zdefiniowaną w art. 2 pkt 4 dyrektywy (UE) 2018/1972; |
| --- | --- |

37)

„usługa łączności elektronicznej” oznacza usługę łączności elektronicznej zdefiniowaną w art. 2 pkt 4 dyrektywy (UE) 2018/1972;

| 38) | „podmiot” oznacza osobę fizyczną lub prawną utworzoną i uznawaną za taką na podstawie prawa krajowego obowiązującego w miejscu, w którym osoba ta ma miejsce prowadzenia działalności, która może – działając we własnym imieniu – wykonywać prawa i podlegać obowiązkom; |
| --- | --- |

38)

„podmiot” oznacza osobę fizyczną lub prawną utworzoną i uznawaną za taką na podstawie prawa krajowego obowiązującego w miejscu, w którym osoba ta ma miejsce prowadzenia działalności, która może – działając we własnym imieniu – wykonywać prawa i podlegać obowiązkom;

| 39) | „dostawca usług zarządzanych” oznacza podmiot, który świadczy usługi związane z instalacją, eksploatacją lub konserwacją produktów, sieci, infrastruktury, aplikacji ICT lub innych sieci i systemów informatycznych lub z zarządzaniem nimi, poprzez pomoc lub aktywną administrację prowadzoną u klientów lub zdalnie; |
| --- | --- |

39)

„dostawca usług zarządzanych” oznacza podmiot, który świadczy usługi związane z instalacją, eksploatacją lub konserwacją produktów, sieci, infrastruktury, aplikacji ICT lub innych sieci i systemów informatycznych lub z zarządzaniem nimi, poprzez pomoc lub aktywną administrację prowadzoną u klientów lub zdalnie;

| 40) | „dostawca usług zarządzanych w zakresie bezpieczeństwa” oznacza dostawcę usług zarządzanych, który prowadzi działania związane z zarządzaniem ryzykiem w zakresie cyberbezpieczeństwa lub zapewnia pomoc dla tych działań; |
| --- | --- |

40)

„dostawca usług zarządzanych w zakresie bezpieczeństwa” oznacza dostawcę usług zarządzanych, który prowadzi działania związane z zarządzaniem ryzykiem w zakresie cyberbezpieczeństwa lub zapewnia pomoc dla tych działań;

| 41) | „organizacja badawcza” oznacza podmiot, którego głównym celem jest prowadzenie badań stosowanych lub eksperymentalnych prac rozwojowych z myślą o wykorzystaniu wyników tych badań do celów komercyjnych, z wyłączeniem instytucji edukacyjnych. |
| --- | --- |

41)

„organizacja badawcza” oznacza podmiot, którego głównym celem jest prowadzenie badań stosowanych lub eksperymentalnych prac rozwojowych z myślą o wykorzystaniu wyników tych badań do celów komercyjnych, z wyłączeniem instytucji edukacyjnych.

ROZDZIAŁ II

SKOORDYNOWANE RAMY W ZAKRESIE CYBERBEZPIECZEŃSTWA

Artykuł 7

Krajowa strategia cyberbezpieczeństwa

1.   Każde państwo członkowskie przyjmuje krajową strategię cyberbezpieczeństwa, która przewiduje cele strategiczne, zasoby kluczowe do osiągnięcia tych celów i odpowiednie środki z zakresu polityk publicznych i regulacji, z myślą o osiągnięciu i utrzymaniu wysokiego poziomu cyberbezpieczeństwa. Krajowa strategia cyberbezpieczeństwa zawiera:

| a) | cele i priorytety strategii cyberbezpieczeństwa państwa członkowskiego obejmujące w szczególności sektory, o których mowa w załącznikach I II; |
| --- | --- |

a)

cele i priorytety strategii cyberbezpieczeństwa państwa członkowskiego obejmujące w szczególności sektory, o których mowa w załącznikach I II;

| b) | ramy zarządzania służące realizacji celów i priorytetów, o których mowa w lit. a) niniejszego ustępu, w tym polityki, o których mowa w ust. 2; |
| --- | --- |

b)

ramy zarządzania służące realizacji celów i priorytetów, o których mowa w lit. a) niniejszego ustępu, w tym polityki, o których mowa w ust. 2;

| c) | ramy zarządzania wyjaśniające role i obowiązki zainteresowanych stron na szczeblu krajowym, stanowiące podstawę współpracy i koordynacji na szczeblu krajowym między właściwymi organami, pojedynczymi punktami kontaktowymi i CSIRT na mocy niniejszej dyrektywy, a także koordynacji i współpracy między tymi podmiotami a właściwymi organami na podstawie sektorowych aktów prawnych Unii; |
| --- | --- |

c)

ramy zarządzania wyjaśniające role i obowiązki zainteresowanych stron na szczeblu krajowym, stanowiące podstawę współpracy i koordynacji na szczeblu krajowym między właściwymi organami, pojedynczymi punktami kontaktowymi i CSIRT na mocy niniejszej dyrektywy, a także koordynacji i współpracy między tymi podmiotami a właściwymi organami na podstawie sektorowych aktów prawnych Unii;

| d) | mechanizm służący określeniu istotnych zasobów i szacowanie ryzyka w tym państwie członkowskim; |
| --- | --- |

d)

mechanizm służący określeniu istotnych zasobów i szacowanie ryzyka w tym państwie członkowskim;

| e) | wskazanie środków zapewniających gotowość na wypadek incydentów, zdolność reagowania na nie i przywracanie normalnego działania, z uwzględnieniem współpracy pomiędzy sektorami publicznym i prywatnym; |
| --- | --- |

e)

wskazanie środków zapewniających gotowość na wypadek incydentów, zdolność reagowania na nie i przywracanie normalnego działania, z uwzględnieniem współpracy pomiędzy sektorami publicznym i prywatnym;

| f) | wykaz poszczególnych organów i zainteresowanych stron zaangażowanych we wdrażanie krajowej strategii cyberbezpieczeństwa; |
| --- | --- |

f)

wykaz poszczególnych organów i zainteresowanych stron zaangażowanych we wdrażanie krajowej strategii cyberbezpieczeństwa;

| g) | ramy polityki na rzecz ściślejszej koordynacji między właściwymi organami na mocy niniejszej dyrektywy a właściwymi organami na mocy dyrektywy (UE) 2022/2557 do celu wymiany informacji na temat ryzyka, cyberzagrożeń i incydentów, a także ryzyka, zagrożeń i incydentów poza cyberprzestrzenią oraz wykonywania zadań nadzorczych, stosownie do przypadku; |
| --- | --- |

g)

ramy polityki na rzecz ściślejszej koordynacji między właściwymi organami na mocy niniejszej dyrektywy a właściwymi organami na mocy dyrektywy (UE) 2022/2557 do celu wymiany informacji na temat ryzyka, cyberzagrożeń i incydentów, a także ryzyka, zagrożeń i incydentów poza cyberprzestrzenią oraz wykonywania zadań nadzorczych, stosownie do przypadku;

| h) | plan, zawierający kluczowe środki do podniesienia ogólnego poziomu wiedzy obywateli o cyberbezpieczeństwie. |
| --- | --- |

h)

plan, zawierający kluczowe środki do podniesienia ogólnego poziomu wiedzy obywateli o cyberbezpieczeństwie.

2.   W ramach krajowej strategii cyberbezpieczeństwa państwa członkowskie w szczególności przyjmują polityki:

| a) | dotyczące cyberbezpieczeństwa w łańcuchu dostaw produktów ICT i usług ICT wykorzystywanych przez podmioty do świadczenia usług; |
| --- | --- |

a)

dotyczące cyberbezpieczeństwa w łańcuchu dostaw produktów ICT i usług ICT wykorzystywanych przez podmioty do świadczenia usług;

| b) | dotyczące uwzględniania w zamówieniach publicznych wymogów związanych z cyberbezpieczeństwem w odniesieniu do produktów ICT i usług ICT oraz specyfikacji tych wymogów na potrzeby takich zamówień, w tym w odniesieniu do certyfikacji cyberbezpieczeństwa, szyfrowania oraz wykorzystywania produktów z zakresu cyberbezpieczeństwa opartych na otwartym oprogramowaniu; |
| --- | --- |

b)

dotyczące uwzględniania w zamówieniach publicznych wymogów związanych z cyberbezpieczeństwem w odniesieniu do produktów ICT i usług ICT oraz specyfikacji tych wymogów na potrzeby takich zamówień, w tym w odniesieniu do certyfikacji cyberbezpieczeństwa, szyfrowania oraz wykorzystywania produktów z zakresu cyberbezpieczeństwa opartych na otwartym oprogramowaniu;

| c) | dotyczące zarządzania podatnościami, obejmującą promowanie i ułatwianie skoordynowanego ujawniania podatności na podstawie art. 12 ust. 1; |
| --- | --- |

c)

dotyczące zarządzania podatnościami, obejmującą promowanie i ułatwianie skoordynowanego ujawniania podatności na podstawie art. 12 ust. 1;

| d) | związane z utrzymywaniem ogólnej dostępności, integralności i poufności publicznego rdzenia otwartego internetu, w tym, w stosownych przypadkach, cyberbezpieczeństwa podmorskich kabli komunikacyjnych; |
| --- | --- |

d)

związane z utrzymywaniem ogólnej dostępności, integralności i poufności publicznego rdzenia otwartego internetu, w tym, w stosownych przypadkach, cyberbezpieczeństwa podmorskich kabli komunikacyjnych;

| e) | promującą rozwój i integrację odpowiednich zaawansowanych technologii służących wdrożeniu najnowocześniejszych środków zarządzania ryzykiem w cyberbezpieczeństwie; |
| --- | --- |

e)

promującą rozwój i integrację odpowiednich zaawansowanych technologii służących wdrożeniu najnowocześniejszych środków zarządzania ryzykiem w cyberbezpieczeństwie;

| f) | promujące i rozwijające kształcenie i szkolenie w dziedzinie cyberbezpieczeństwa, umiejętności z zakresu cyberbezpieczeństwa, podnoszenia świadomości oraz inicjatyw badawczo-rozwojowych, a także wytyczne dotyczące dobrych praktyk i kontroli w zakresie cyberhigieny, skierowane do obywateli, zainteresowanych stron i podmiotów; |
| --- | --- |

f)

promujące i rozwijające kształcenie i szkolenie w dziedzinie cyberbezpieczeństwa, umiejętności z zakresu cyberbezpieczeństwa, podnoszenia świadomości oraz inicjatyw badawczo-rozwojowych, a także wytyczne dotyczące dobrych praktyk i kontroli w zakresie cyberhigieny, skierowane do obywateli, zainteresowanych stron i podmiotów;

| g) | wspierające instytucje akademickie i naukowe, w opracowywaniu, usprawnianiu i propagowaniu wprowadzania narzędzi z zakresu cyberbezpieczeństwa oraz bezpiecznej infrastruktury sieciowej; |
| --- | --- |

g)

wspierające instytucje akademickie i naukowe, w opracowywaniu, usprawnianiu i propagowaniu wprowadzania narzędzi z zakresu cyberbezpieczeństwa oraz bezpiecznej infrastruktury sieciowej;

| h) | obejmującą właściwe procedury oraz odpowiednie narzędzia służące wymianie informacji mające na celu wspieranie dobrowolnej wymiany informacji o cyberbezpieczeństwie między podmiotami zgodnie z prawem Unii; |
| --- | --- |

h)

obejmującą właściwe procedury oraz odpowiednie narzędzia służące wymianie informacji mające na celu wspieranie dobrowolnej wymiany informacji o cyberbezpieczeństwie między podmiotami zgodnie z prawem Unii;

| i) | wzmacniające podstawowy poziom cyberodporności i cyberhigieny małych i średnich przedsiębiorstw, w szczególności tych wyłączonych z zakresu stosowania niniejszej dyrektywy, poprzez zapewnienie łatwo dostępnych wytycznych i pomocy w zakresie ich szczególnych potrzeb; |
| --- | --- |

i)

wzmacniające podstawowy poziom cyberodporności i cyberhigieny małych i średnich przedsiębiorstw, w szczególności tych wyłączonych z zakresu stosowania niniejszej dyrektywy, poprzez zapewnienie łatwo dostępnych wytycznych i pomocy w zakresie ich szczególnych potrzeb;

| j) | propagujące aktywną cyberochronę. |
| --- | --- |

j)

propagujące aktywną cyberochronę.

3.   Państwa członkowskie przekazują Komisji krajowe strategie cyberbezpieczeństwa w terminie trzech miesięcy od ich przyjęcia. Państwa członkowskie mogą wyłączyć z takich zgłoszeń informacje, które odnoszą się do ich bezpieczeństwa narodowego.

4.   Państwa członkowskie regularnie, co najmniej co pięć lat, przeprowadzają na podstawie kluczowych wskaźników skuteczności ocenę krajowych strategii cyberbezpieczeństwa i w razie potrzeby je aktualizują. ENISA pomaga państwom członkowskim, na ich wniosek, w opracowaniu lub aktualizacji krajowej strategii cyberbezpieczeństwa i kluczowych wskaźników skuteczności działania stosowanych do oceny tej strategii w celu dostosowania jej do wymogów i obowiązków ustanowionych w niniejszej dyrektywie.

Artykuł 8

Właściwe organy i pojedyncze punkty kontaktowe

1.   Każde państwo członkowskie wyznacza lub ustanawia co najmniej jeden właściwy organ odpowiedzialny za cyberbezpieczeństwo oraz za zadania nadzorcze, o których mowa w rozdziale VII (właściwe organy).

2.   Właściwe organy, o których mowa w ust. 1, monitorują wdrażanie niniejszej dyrektywy na poziomie krajowym.

3.   Każde państwo członkowskie wyznacza lub ustanawia pojedynczy punkt kontaktowy. W przypadku gdy państwo członkowskie wyznacza lub ustanawia tylko jeden właściwy organ zgodnie z ust. 1, ten właściwy organ jest również pojedynczym punktem kontaktowym dla tego państwa członkowskiego.

4.   Każdy pojedynczy punkt kontaktowy pełni funkcję łącznikową w celu zapewnienia transgranicznej współpracy organów ze swojego państwa członkowskiego z odpowiednimi organami w innych państwach członkowskich, a w stosownym przypadku z Komisją i ENISA, a także w celu zapewnienia międzysektorowej współpracy z innymi właściwymi organami krajowymi w swoim państwie członkowskim.

5.   Państwa członkowskie zapewniają swoim właściwym organom i pojedynczym punktom kontaktowym odpowiednie zasoby, aby mogły one efektywnie i skutecznie wykonywać powierzone im zadania i tym samym realizować cele niniejszej dyrektywy.

6.   Każde państwo członkowskie bez zbędnej zwłoki przekazuje Komisji dane identyfikacyjne właściwego organu, o którym mowa w ust. 1, i pojedynczego punktu kontaktowego, o którym mowa w ust. 3, oraz powiadamia ją o zadaniach tych organów i o późniejszych zmianach w tym zakresie. Każde państwo członkowskie podaje dane identyfikacyjne właściwego organu do wiadomości publicznej. Komisja udostępnia publicznie wykaz pojedynczych punktów kontaktowych.

Artykuł 9

Krajowe ramy zarządzania kryzysowego w cyberbezpieczeństwie

1.   Każde państwo członkowskie wyznacza lub ustanawia co najmniej jeden właściwy organ odpowiedzialny za zarządzanie incydentami i zarządzanie kryzysowe w cyberbezpieczeństwie na dużą skalę (organy ds. zarządzania kryzysowego w cyberbezpieczeństwie). Państwa członkowskie zapewniają tym organom odpowiednie zasoby, aby mogły one efektywnie i skutecznie wykonywać powierzone im zadania. Państwa członkowskie zapewniają spójność z istniejącymi ogólnymi krajowymi ramami zarządzania kryzysowego.

2.   Jeżeli państwo członkowskie wyznaczy lub ustanowi więcej niż jeden organ ds. zarządzania kryzysowego w cyberbezpieczeństwie zgodnie z ust. 1, jasno wskazuje, który z tych organów ma pełnić rolę koordynatora zarządzania incydentami i zarządzania kryzysowego w cyberbezpieczeństwie na dużą skalę.

3.   Każde państwo członkowskie określa zdolności, zasoby i procedury, które można wykorzystać w razie sytuacji kryzysowej do celów niniejszej dyrektywy.

4.   Każde państwo członkowskie przyjmuje krajowy plan reagowania na incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę, w którym określa cele i tryb zarządzania incydentami i zarządzania kryzysowego w cyberbezpieczeństwie na dużą skalę. W planie tym określa się w szczególności:

| a) | cele krajowych środków i działań służących w zakresie gotowości; |
| --- | --- |

a)

cele krajowych środków i działań służących w zakresie gotowości;

| b) | zadania i obowiązki organów ds. zarządzania kryzysowego w cyberbezpieczeństwie; |
| --- | --- |

b)

zadania i obowiązki organów ds. zarządzania kryzysowego w cyberbezpieczeństwie;

| c) | procedury zarządzania kryzysowego w cyberprzestrzeni, w tym ich włączenie do ogólnych krajowych ram zarządzania kryzysowego, oraz kanały wymiany informacji; |
| --- | --- |

c)

procedury zarządzania kryzysowego w cyberprzestrzeni, w tym ich włączenie do ogólnych krajowych ram zarządzania kryzysowego, oraz kanały wymiany informacji;

| d) | krajowe środki w zakresie gotowości, w tym ćwiczenia i szkolenia; |
| --- | --- |

d)

krajowe środki w zakresie gotowości, w tym ćwiczenia i szkolenia;

| e) | odpowiednie zainteresowane strony publiczne i prywatne oraz infrastrukturę; |
| --- | --- |

e)

odpowiednie zainteresowane strony publiczne i prywatne oraz infrastrukturę;

| f) | krajowe procedury i ustalenia między odpowiednimi organami i instytucjami krajowymi mające na celu zapewnienie efektywnego uczestnictwa danego państwa członkowskiego w skoordynowanym zarządzaniu incydentami i zarządzaniu kryzysowym w cyberbezpieczeństwie na dużą skalę na poziomie Unii oraz efektywnego wsparcia ze strony danego państwa członkowskiego dla tego rodzaju skoordynowanego zarządzania. |
| --- | --- |

f)

krajowe procedury i ustalenia między odpowiednimi organami i instytucjami krajowymi mające na celu zapewnienie efektywnego uczestnictwa danego państwa członkowskiego w skoordynowanym zarządzaniu incydentami i zarządzaniu kryzysowym w cyberbezpieczeństwie na dużą skalę na poziomie Unii oraz efektywnego wsparcia ze strony danego państwa członkowskiego dla tego rodzaju skoordynowanego zarządzania.

5.   W terminie trzech miesięcy od wyznaczenia lub ustanowienia organu ds. zarządzania kryzysowego w cyberbezpieczeństwie, o którym mowa w ust. 1, każde państwo członkowskie przekazuje Komisji dane indentyfikacyjne swojego organu oraz powiadamia ją o późniejszych zmianach w tym zakresie. Państwa członkowskie przedkładają Komisji i europejskiej sieci organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa (EU-CyCLONe) ważne informacje związane z wymogami określonymi w ust. 4, dotyczące krajowych planów reagowania na incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę w terminie trzech miesięcy od daty przyjęcia tych planów. Państwa członkowskie mogą wyłączyć niektóre informacje, jeżeli i w zakresie w jakim jest to kluczowe z punktu widzenia ich bezpieczeństwa narodowego.

Artykuł 10

Zespoły reagowania na incydenty bezpieczeństwa komputerowego (CSIRT)

1.   Każde państwo członkowskie wyznacza lub ustanawia co najmniej jeden CSIRT. CSIRT można wyznaczyć lub ustanowić w ramach właściwego organu. CSIRT spełniają wymogi określone w art. 11 ust. 1, obejmują co najmniej sektory, podsektory i rodzaje podmiotów, o których mowa w załącznikach I i II, i są odpowiedzialne za obsługę incydentów zgodnie z wyraźnie określoną procedurą.

2.   Państwa członkowskie zapewniają, aby każdy CSIRT dysponował odpowiednimi zasobami, tak aby mógł skutecznie realizować swoje zadania określone w art. 11 ust. 3.

3.   Państwa członkowskie zapewniają, aby każdy CSIRT miał do dyspozycji odpowiednią, bezpieczną i odporną infrastrukturę komunikacyjno-informacyjną do wymiany informacji z podmiotami kluczowymi i ważnymi oraz innymi odpowiednimi zainteresowanymi stronami. W tym celu państwa członkowskie zapewniają, aby każdy CSIRT uczestniczył we wdrażaniu bezpiecznych narzędzi wymiany informacji.

4.   CSIRT współpracują z sektorowymi i międzysektorowymi społecznościami podmiotów kluczowych i ważnych oraz, w odpowiednich przypadkach, wymieniają z nimi stosowne informacje zgodnie z art. 29.

5.   CSIRT biorą udział w ocenie wzajemnej organizowanej zgodnie z art. 19.

6.   Państwa członkowskie zapewniają skuteczną, efektywną i bezpieczną współpracę swoich CSIRT w sieci CSIRT.

7.   CSIRT mogą nawiązać stosunki współpracy z krajowymi zespołami reagowania na incydenty bezpieczeństwa komputerowego z państw trzecich. W ramach takich stosunków współpracy państwa członkowskie wspierają skuteczną, efektywną i bezpieczną wymianę informacji z tymi krajowymi zespołami reagowania na incydenty bezpieczeństwa komputerowego z państw trzecich, z wykorzystaniem odpowiednich protokołów wymiany informacji, w tym kodu poufności TLP. CSIRT mogą wymieniać ważne informacje z krajowymi zespołami reagowania na incydenty bezpieczeństwa komputerowego z państw trzecich, w tym dane osobowe zgodnie z unijnymi przepisami o ochronie danych.

8.   CSIRT mogą współpracować z krajowymi zespołami reagowania na incydenty bezpieczeństwa komputerowego z państw trzecich lub równoważnymi organami z państw trzecich, w szczególności w celu zapewnienia im pomocy w zakresie cyberbezpieczeństwa.

9.   Każde państwo członkowskie bez zbędnej zwłoki powiadamia Komisję o danych identyfikacyjnych CSIRT, o którym mowa w ust. 1 niniejszego artykułu, i CSIRT wyznaczonego na koordynatora zgodnie z art. 12 ust. 1, o ich odpowiednich zadaniach w odniesieniu do podmiotów kluczowych i ważnych oraz o późniejszych zmianach w tym zakresie.

10.   Państwa członkowskie mogą zwrócić się do ENISA o pomoc przy rozwijaniu CSIRT.

Artykuł 11

Wymogi dotyczące CSIRT, ich zdolności techniczne i zadania

1.   CSIRT spełniają następujące wymogi:

| a) | CSIRT zapewniają wysoką dostępność swoich kanałów komunikacji poprzez takie ich ukształtowanie, aby wyłączenie jednego elementu systemu nie uniemożliwiało przesłania informacji do adresata, oraz dysponują różnymi kanałami, za pomocą których zawsze można się z nimi skontaktować i za pomocą których one same mogą się kontaktować z innymi podmiotami; jasno określają one kanały komunikacji i informują o nich podmioty będące w ich właściwości oraz współpracujących partnerów; |
| --- | --- |

a)

CSIRT zapewniają wysoką dostępność swoich kanałów komunikacji poprzez takie ich ukształtowanie, aby wyłączenie jednego elementu systemu nie uniemożliwiało przesłania informacji do adresata, oraz dysponują różnymi kanałami, za pomocą których zawsze można się z nimi skontaktować i za pomocą których one same mogą się kontaktować z innymi podmiotami; jasno określają one kanały komunikacji i informują o nich podmioty będące w ich właściwości oraz współpracujących partnerów;

| b) | pomieszczenia CSIRT oraz wspierające systemy informatyczne muszą być zlokalizowane w bezpiecznych miejscach; |
| --- | --- |

b)

pomieszczenia CSIRT oraz wspierające systemy informatyczne muszą być zlokalizowane w bezpiecznych miejscach;

| c) | CSIRT dysponują odpowiednim systemem zarządzania w zakresie kierowanych do nich zgłoszeń oraz ich przekierowywania, w szczególności w celu ułatwienia skutecznego i efektywnego dalszego przekazywania danej sprawy; |
| --- | --- |

c)

CSIRT dysponują odpowiednim systemem zarządzania w zakresie kierowanych do nich zgłoszeń oraz ich przekierowywania, w szczególności w celu ułatwienia skutecznego i efektywnego dalszego przekazywania danej sprawy;

| d) | CSIRT zapewniają poufność i wiarygodność swoich działań; |
| --- | --- |

d)

CSIRT zapewniają poufność i wiarygodność swoich działań;

| e) | CSIRT dysponują odpowiednio licznym personelem, aby zapewnić nieprzerwaną dostępność ich usług, oraz zapewniają odpowiednie przeszkolenie personelu; |
| --- | --- |

e)

CSIRT dysponują odpowiednio licznym personelem, aby zapewnić nieprzerwaną dostępność ich usług, oraz zapewniają odpowiednie przeszkolenie personelu;

| f) | CSIRT dysponują systemami redundantnymi i rezerwowym miejscem pracy w celu zapewnienia ciągłości ich usług. |
| --- | --- |

f)

CSIRT dysponują systemami redundantnymi i rezerwowym miejscem pracy w celu zapewnienia ciągłości ich usług.

CSIRT mogą uczestniczyć w międzynarodowych sieciach współpracy.

2.   Państwa członkowskie zapewniają, aby ich CSIRT wspólnie miały zdolności techniczne niezbędne do realizacji zadań, o których mowa w ust. 3. Państwa członkowskie zapewniają ich CSIRT zasoby gwarantujące odpowiedni poziom zatrudnienia, aby umożliwić CSIRT rozwój ich zdolności technicznych.

3.   CSIRT mają następujące zadania:

| a) | monitorowanie i analizowanie cyberzagrożeń, podatności i incydentów na poziomie krajowym oraz, na wniosek, udzielanie pomocy danym podmiotom kluczowym i ważnym w zakresie monitorowania ich sieci i systemów informatycznych w czasie rzeczywistym lub zbliżonym do rzeczywistego; |
| --- | --- |

a)

monitorowanie i analizowanie cyberzagrożeń, podatności i incydentów na poziomie krajowym oraz, na wniosek, udzielanie pomocy danym podmiotom kluczowym i ważnym w zakresie monitorowania ich sieci i systemów informatycznych w czasie rzeczywistym lub zbliżonym do rzeczywistego;

| b) | wczesne ostrzeganie i alarmowanie danych podmiotów kluczowych i ważnych oraz właściwych organów i innych zainteresowanych stron o cyberzagrożeniach, podatnościach i incydentach, a także kierowanie do nich ogłoszeń oraz przekazywanie im informacji dotyczących cyberzagrożeń, podatności i incydentów, w miarę możliwości w czasie zbliżonym do rzeczywistego; |
| --- | --- |

b)

wczesne ostrzeganie i alarmowanie danych podmiotów kluczowych i ważnych oraz właściwych organów i innych zainteresowanych stron o cyberzagrożeniach, podatnościach i incydentach, a także kierowanie do nich ogłoszeń oraz przekazywanie im informacji dotyczących cyberzagrożeń, podatności i incydentów, w miarę możliwości w czasie zbliżonym do rzeczywistego;

| c) | reagowanie na incydenty i w stosownych przypadkach udzielanie pomocy danym podmiotom kluczowym i ważnym; |
| --- | --- |

c)

reagowanie na incydenty i w stosownych przypadkach udzielanie pomocy danym podmiotom kluczowym i ważnym;

| d) | gromadzenie i analizowanie danych kryminalistycznych i zapewnianie dynamicznej analizy ryzyka i incydentów oraz świadomości sytuacyjnej w zakresie cyberbezpieczeństwa; |
| --- | --- |

d)

gromadzenie i analizowanie danych kryminalistycznych i zapewnianie dynamicznej analizy ryzyka i incydentów oraz świadomości sytuacyjnej w zakresie cyberbezpieczeństwa;

| e) | przeprowadzanie, na wniosek podmiotu kluczowego lub ważnego, aktywnego skanowania sieci i systemów informatycznych danego podmiotu w celu wykrycia podatności o potencjalnym znaczącym wpływie; |
| --- | --- |

e)

przeprowadzanie, na wniosek podmiotu kluczowego lub ważnego, aktywnego skanowania sieci i systemów informatycznych danego podmiotu w celu wykrycia podatności o potencjalnym znaczącym wpływie;

| f) | uczestnictwo w sieci CSIRT oraz udzielanie wzajemnej pomocy innym członkom sieci CSIRT na ich wniosek, w miarę własnych zdolności i kompetencji; |
| --- | --- |

f)

uczestnictwo w sieci CSIRT oraz udzielanie wzajemnej pomocy innym członkom sieci CSIRT na ich wniosek, w miarę własnych zdolności i kompetencji;

| g) | w stosownych przypadkach działanie w charakterze koordynatora w celu skoordynowanego ujawniania podatności na podstawie art. 12 ust. 1; |
| --- | --- |

g)

w stosownych przypadkach działanie w charakterze koordynatora w celu skoordynowanego ujawniania podatności na podstawie art. 12 ust. 1;

| h) | udział we wdrażaniu bezpiecznych narzędzi wymiany informacji zgodnie z art. 10 ust. 3. |
| --- | --- |

h)

udział we wdrażaniu bezpiecznych narzędzi wymiany informacji zgodnie z art. 10 ust. 3.

CSIRT mogą prowadzić aktywne, nieinwazyjne skanowanie publicznie dostępnych sieci i systemów informatycznych podmiotów kluczowych i ważnych. Takie skanowanie przeprowadza się w celu wykrycia sieci i systemów informatycznych podatnych na zagrożenia lub skonfigurowanych bez właściwego zabezpieczenia i poinformowania o tym podmiotów, których to dotyczy. Takie skanowanie nie może mieć negatywnego wpływu na funkcjonowanie usług świadczonych przez te podmioty.

Wykonując zadania, o których mowa w akapicie pierwszym, CSIRT mogą priorytetowo traktować niektóre zadania na podstawie podejścia opartego na analizie ryzyka.

4.   CSIRT nawiązują współpracę z odpowiednimi zainteresowanymi stronami w sektorze prywatnym w celu realizacji celów niniejszej dyrektywy.

5.   Aby ułatwić współpracę, o której mowa w ust. 4, CSIRT promują przyjmowanie i stosowanie wspólnych lub znormalizowanych praktyk, systemów klasyfikacji i systematyki związanych z:

| a) | procedurami obsługi incydentu; |
| --- | --- |

a)

procedurami obsługi incydentu;

| b) | zarządzaniem kryzysowym; oraz |
| --- | --- |

b)

zarządzaniem kryzysowym; oraz

| c) | skoordynowanym ujawnianiem podatności na mocy art. 12 ust. 1. |
| --- | --- |

c)

skoordynowanym ujawnianiem podatności na mocy art. 12 ust. 1.

Artykuł 12

Skoordynowane ujawnianie podatności i europejska baza danych dotyczących podatności

1.   Każde państwo członkowskie wyznacza jeden spośród swoich CSIRT na koordynatora na potrzeby skoordynowanego ujawniania podatności. CSIRT wyznaczony na koordynatora działa w charakterze zaufanego pośrednika, w razie konieczności ułatwiając interakcję między osobą fizyczną lub prawną zgłaszającą podatność a producentem lub dostawcą potencjalnie podatnych produktów ITC lub usług ICT, na wniosek którejkolwiek ze stron. Zadania CSIRT wyznaczonego na koordynatora obejmują:

| a) | identyfikację danych podmiotów i kontaktowanie się z nimi; |
| --- | --- |

a)

identyfikację danych podmiotów i kontaktowanie się z nimi;

| b) | udzielanie pomocy osobom fizycznym lub prawnym zgłaszającym podatność; oraz |
| --- | --- |

b)

udzielanie pomocy osobom fizycznym lub prawnym zgłaszającym podatność; oraz

| c) | negocjowanie harmonogramu ujawniania oraz zarządzanie podatnościami, których skutki mają wpływ na wiele podmiotów. |
| --- | --- |

c)

negocjowanie harmonogramu ujawniania oraz zarządzanie podatnościami, których skutki mają wpływ na wiele podmiotów.

Państwa członkowskie zapewniają, aby osoby fizyczne lub prawne mogły zgłaszać anonimowo, jeśli o to wystąpią, podatność wyznaczonemu na koordynatora CSIRT. CSIRT wyznaczony na koordynatora zapewnia przeprowadzenie z należytą starannością działań podjętych w związku ze zgłoszoną podatnością oraz zapewnia anonimowość osoby fizycznej lub prawnej zgłaszającej podatność. Jeżeli zgłoszona podatność może mieć znaczący wpływ na podmioty w więcej niż jednym państwie członkowskim, CSIRT wyznaczony na koordynatora każdego państwa członkowskiego, którego podatność dotyczy, współpracuje, w stosownych przypadkach z innymi CSIRT wyznaczonymi na koordynatorów w ramach sieci CSIRT.

2.   ENISA opracowuje i prowadzi, po konsultacji z Grupą Współpracy, europejską bazę danych dotyczącą podatności. W tym celu ENISA ustanawia i utrzymuje odpowiednie systemy informatyczne, polityki i procedury oraz przyjmuje środki techniczne i organizacyjne niezbędne do zapewnienia bezpieczeństwa i integralności europejskiej bazy danych dotyczącej podatności, w szczególności aby umożliwić podmiotom, niezależnie od tego czy są objęte zakresem stosowania niniejszej dyrektywy oraz ich dostawcom sieci i systemów informatycznych ujawnianie i rejestrowanie – na zasadzie dobrowolności – znanych publicznie podatności występujących w produktach ICT lub usługach ICT. Wszystkie zainteresowane strony otrzymują dostęp do informacji na temat podatności zawartych w europejskiej bazie danych dotyczącej podatności. Baza danych zawiera:

| a) | informacje opisujące podatność; |
| --- | --- |

a)

informacje opisujące podatność;

| b) | produkty ICT lub usługi ICT, których dotyczy podatność, oraz dotkliwość podatności z punktu widzenia okoliczności, w jakich może ona zostać wykorzystana; |
| --- | --- |

b)

produkty ICT lub usługi ICT, których dotyczy podatność, oraz dotkliwość podatności z punktu widzenia okoliczności, w jakich może ona zostać wykorzystana;

| c) | dostępność powiązanych aktualizacji, a w razie braku dostępnych aktualizacji – wytyczne podane przez właściwe organy lub CSIRT, skierowane do użytkowników produktów ICT i usług ICT, których dotyczy podatność, na temat sposobów ograniczania ryzyka wynikającego z ujawnionych podatności. |
| --- | --- |

c)

dostępność powiązanych aktualizacji, a w razie braku dostępnych aktualizacji – wytyczne podane przez właściwe organy lub CSIRT, skierowane do użytkowników produktów ICT i usług ICT, których dotyczy podatność, na temat sposobów ograniczania ryzyka wynikającego z ujawnionych podatności.

Artykuł 13

Współpraca na poziomie krajowym

1.   Jeżeli właściwe organy, pojedynczy punkt kontaktowy i CSIRT z tego samego państwa członkowskiego są odrębne względem siebie, współpracują one ze sobą przy wypełnianiu obowiązków określonych w niniejszej dyrektywie.

2.   Państwa członkowskie zapewniają, aby ich CSIRT lub, w stosownych przypadkach, ich właściwe organy odbierały zgłoszenia o poważnych incydentach zgodnie z art. 23 oraz incydentach, cyberzagrożeniach i potencjalnych zdarzeniach dla cyberbezpieczeństwa zgodnie z art. 30.

3.   Państwa członkowskie zapewniają, aby ich CSIRT lub, w stosownych przypadkach, właściwe organy informowały ich pojedyncze punkty kontaktowe o zgłoszeniach incydentów, cyberzagrożeń i potencjalnych zdarzeń dla cyberbezpieczeństwa dokonywanych na podstawie niniejszej dyrektywy.

4.   Aby zapewnić skuteczne wykonywanie zadań i obowiązków właściwych organów, pojedynczych punktów kontaktowych i CSIRT, państwa członkowskie zapewniają w miarę możliwości odpowiednią współpracę między tymi podmiotami a organami ścigania, organami ochrony danych, organami krajowymi na mocy rozporządzeń (WE) nr 300/2008 i (UE) 2018/1139, organami nadzoru na mocy rozporządzenia (UE) nr 910/2014, właściwymi organami na mocy rozporządzenia (UE) 2022/2554, krajowymi organami regulacyjnymi na mocy dyrektywy (UE) 2018/1972, właściwymi organami na mocy dyrektywy (UE) 2022/2557, a także właściwymi organami na mocy innych sektorowych aktów prawnych Unii w tym państwie członkowskim.

5.   Państwa członkowskie zapewniają, aby ich właściwe organy na mocy niniejszej dyrektywy oraz ich właściwe organy na mocy dyrektywy (UE) 2022/2557 współpracowały i regularnie wymieniały się informacjami dotyczącymi identyfikacji podmiotów krytycznych, ryzyka, cyberzagrożeń i incydentów, a także ryzyka, zagrożeń i incydentów poza cyberprzestrzenią mających wpływ na podmioty kluczowe wskazane jako podmioty krytyczne na podstawie dyrektywy (UE) 2022/2557, oraz na temat środków podjętych w odpowiedzi na takie ryzyko, zagrożenia i incydenty. Państwa członkowskie zapewniają również, aby ich właściwe organy na mocy niniejszej dyrektywy oraz ich właściwe organy na mocy rozporządzenia (UE) nr 910/2014, rozporządzenia (UE) 2022/2554 i dyrektywy (UE) 2018/1972 regularnie wymieniały się odpowiednimi informacjami, w tym dotyczącymi poważnych incydentów i cyberzagrożeń.

6.   Państwa członkowskie upraszczają za pomocą środków technicznych sprawozdawczość dotyczącą zgłoszeń, o których mowa w art. 23 i 30.

ROZDZIAŁ III

WSPÓŁPRACA NA POZIOMIE UNIJNYM I MIĘDZYNARODOWYM

Artykuł 14

Grupa Współpracy

1.   Aby wspierać i ułatwiać strategiczną współpracę i wymianę informacji między państwami członkowskimi, a także aby zwiększać zaufanie między nimi, ustanawia się Grupę Współpracy.

2.   Grupa Współpracy wykonuje swoje zadania na podstawie dwuletnich programów prac, o których mowa w ust. 7.

3.   Grupa Współpracy składa się z przedstawicieli państw członkowskich, Komisji i ENISA. W działaniach Grupy Współpracy uczestniczy w charakterze obserwatora Europejska Służba Działań Zewnętrznych. Europejskie Urzędy Nadzoru i organy właściwe na mocy rozporządzenia (UE) 2022/2554 mogą uczestniczyć w działaniach Grupy Współpracy zgodnie z art. 47 ust. 1 tego rozporządzenia.

W stosownych przypadkach Grupa Współpracy może zapraszać Parlament Europejski i przedstawicieli odpowiednich zainteresowanych stron do udziału w swoich pracach.

Komisja zapewnia obsługę sekretariatu.

4.   Grupa Współpracy ma następujące zadania:

| a) | udzielanie wskazówek właściwym organom w związku z transpozycją i wdrażaniem niniejszej dyrektywy; |
| --- | --- |

a)

udzielanie wskazówek właściwym organom w związku z transpozycją i wdrażaniem niniejszej dyrektywy;

| b) | udzielanie wskazówek właściwym organom w związku z tworzeniem i wdrażaniem polityki skoordynowanego ujawniania podatności, o którym mowa w art. 7 ust. 2 lit. c); |
| --- | --- |

b)

udzielanie wskazówek właściwym organom w związku z tworzeniem i wdrażaniem polityki skoordynowanego ujawniania podatności, o którym mowa w art. 7 ust. 2 lit. c);

| c) | wymianę najlepszych praktyk i informacji w związku z wdrażaniem niniejszej dyrektywy, w tym w odniesieniu do cyberzagrożeń, incydentów, podatności, potencjalnych zdarzeń dla cyberbezpieczeństwa, inicjatyw na rzecz podnoszenia świadomości, szkoleń, ćwiczeń i umiejętności, budowania zdolności, norm i specyfikacji technicznych, a także wskazywania podmiotów kluczowych i ważnych na podstawie art. 2 ust. 2 lit. b)–e); |
| --- | --- |

c)

wymianę najlepszych praktyk i informacji w związku z wdrażaniem niniejszej dyrektywy, w tym w odniesieniu do cyberzagrożeń, incydentów, podatności, potencjalnych zdarzeń dla cyberbezpieczeństwa, inicjatyw na rzecz podnoszenia świadomości, szkoleń, ćwiczeń i umiejętności, budowania zdolności, norm i specyfikacji technicznych, a także wskazywania podmiotów kluczowych i ważnych na podstawie art. 2 ust. 2 lit. b)–e);

| d) | wymianę porad i współpraca z Komisją w zakresie nowych inicjatyw dotyczących polityki cyberbezpieczeństwa oraz całościowej spójności sektorowych wymogów dotyczących cyberbezpieczeństwa; |
| --- | --- |

d)

wymianę porad i współpraca z Komisją w zakresie nowych inicjatyw dotyczących polityki cyberbezpieczeństwa oraz całościowej spójności sektorowych wymogów dotyczących cyberbezpieczeństwa;

| e) | wymianę porad i współpraca z Komisją w zakresie projektów aktów delegowanych lub wykonawczych przyjmowanych na podstawie niniejszej dyrektywy; |
| --- | --- |

e)

wymianę porad i współpraca z Komisją w zakresie projektów aktów delegowanych lub wykonawczych przyjmowanych na podstawie niniejszej dyrektywy;

| f) | wymianę najlepszych praktyk i informacji z odpowiednimi instytucjami, organami, urzędami i agencjami Unii; |
| --- | --- |

f)

wymianę najlepszych praktyk i informacji z odpowiednimi instytucjami, organami, urzędami i agencjami Unii;

| g) | wymianę opinii na temat wdrażania sektorowych aktów prawnych Unii zawierających przepisy dotyczące cyberbezpieczeństwa; |
| --- | --- |

g)

wymianę opinii na temat wdrażania sektorowych aktów prawnych Unii zawierających przepisy dotyczące cyberbezpieczeństwa;

| h) | w stosownych przypadkach omawianie sprawozdań z oceny wzajemnej, o których mowa w art. 19 ust. 9, oraz formułowanie wniosków i zaleceń; |
| --- | --- |

h)

w stosownych przypadkach omawianie sprawozdań z oceny wzajemnej, o których mowa w art. 19 ust. 9, oraz formułowanie wniosków i zaleceń;

| i) | prowadzenie skoordynowanych oszacowań ryzyka dla bezpieczeństwa krytycznych łańcuchów dostaw zgodnie z art. 22 ust. 1; |
| --- | --- |

i)

prowadzenie skoordynowanych oszacowań ryzyka dla bezpieczeństwa krytycznych łańcuchów dostaw zgodnie z art. 22 ust. 1;

| j) | omawianie przypadków wzajemnej pomocy, w tym doświadczeń ze wspólnych transgranicznych działań nadzorczych, o których mowa w art. 37, i wyników tych działań; |
| --- | --- |

j)

omawianie przypadków wzajemnej pomocy, w tym doświadczeń ze wspólnych transgranicznych działań nadzorczych, o których mowa w art. 37, i wyników tych działań;

| k) | na wniosek co najmniej jednego zainteresowanego państwa członkowskiego – omawianie konkretnych wniosków o wzajemną pomoc, o której mowa w art. 37; |
| --- | --- |

k)

na wniosek co najmniej jednego zainteresowanego państwa członkowskiego – omawianie konkretnych wniosków o wzajemną pomoc, o której mowa w art. 37;

| l) | zapewnianie sieci CSIRT i EU-CyCLONe wskazówek strategicznych dotyczących konkretnych pojawiających się kwestii; |
| --- | --- |

l)

zapewnianie sieci CSIRT i EU-CyCLONe wskazówek strategicznych dotyczących konkretnych pojawiających się kwestii;

| m) | wymianę opinii na temat polityki działań następczych po incydentach i sytuacjach kryzysowych w cyberbezpieczeństwie na dużą skalę, na podstawie doświadczeń zdobytych w sieci CSIRT i EU-CyCLONe; |
| --- | --- |

m)

wymianę opinii na temat polityki działań następczych po incydentach i sytuacjach kryzysowych w cyberbezpieczeństwie na dużą skalę, na podstawie doświadczeń zdobytych w sieci CSIRT i EU-CyCLONe;

| n) | wkład w rozwój zdolności w zakresie cyberbezpieczeństwa w całej Unii przez ułatwianie wymiany urzędników krajowych w programie budowania zdolności z udziałem pracowników właściwych organów lub CSIRT; |
| --- | --- |

n)

wkład w rozwój zdolności w zakresie cyberbezpieczeństwa w całej Unii przez ułatwianie wymiany urzędników krajowych w programie budowania zdolności z udziałem pracowników właściwych organów lub CSIRT;

| o) | organizowanie regularnych wspólnych spotkań z odpowiednimi prywatnymi zainteresowanymi stronami z całej Unii w celu omawiania działań Grupy Współpracy i zbierania informacji o pojawiających się wyzwaniach politycznych; |
| --- | --- |

o)

organizowanie regularnych wspólnych spotkań z odpowiednimi prywatnymi zainteresowanymi stronami z całej Unii w celu omawiania działań Grupy Współpracy i zbierania informacji o pojawiających się wyzwaniach politycznych;

| p) | omawianie działań podjętych w związku z ćwiczeniami z zakresu cyberbezpieczeństwa, w tym pracy wykonanej przez ENISA; |
| --- | --- |

p)

omawianie działań podjętych w związku z ćwiczeniami z zakresu cyberbezpieczeństwa, w tym pracy wykonanej przez ENISA;

| q) | ustalenie metodyki i aspektów organizacyjnych ocen wzajemnych, o których mowa w art. 19 ust. 1, a także – z pomocą Komisji i ENISA – określenie zgodnie z art. 19 ust. 5 metodyki oceny własnej dla państw członkowskich oraz – we współpracy z Komisją i ENISA – opracowanie zgodnie z art. 19 ust. 6 kodeksów postępowania jako podstawy metod pracy wyznaczonych ekspertów ds. cyberbezpieczeństwa; |
| --- | --- |

q)

ustalenie metodyki i aspektów organizacyjnych ocen wzajemnych, o których mowa w art. 19 ust. 1, a także – z pomocą Komisji i ENISA – określenie zgodnie z art. 19 ust. 5 metodyki oceny własnej dla państw członkowskich oraz – we współpracy z Komisją i ENISA – opracowanie zgodnie z art. 19 ust. 6 kodeksów postępowania jako podstawy metod pracy wyznaczonych ekspertów ds. cyberbezpieczeństwa;

| r) | przygotowywanie – na potrzeby przeglądu, o którym mowa w art. 40 – sprawozdań z doświadczeń zdobytych na poziomie strategicznym i w ocenach wzajemnych; |
| --- | --- |

r)

przygotowywanie – na potrzeby przeglądu, o którym mowa w art. 40 – sprawozdań z doświadczeń zdobytych na poziomie strategicznym i w ocenach wzajemnych;

| s) | omawianie i regularne ocenianie sytuacji pod względem cyberzagrożeń lub incydentów, na przykład w postaci oprogramowania typu „ransomware”. |
| --- | --- |

s)

omawianie i regularne ocenianie sytuacji pod względem cyberzagrożeń lub incydentów, na przykład w postaci oprogramowania typu „ransomware”.

Grupa Współpracy przedkłada Komisji, Parlamentowi Europejskiemu i Radzie sprawozdania, o których mowa w akapicie pierwszym lit. r).

5.   Państwa członkowskie zapewniają efektywną, skuteczną i bezpieczną współpracę swoich przedstawicieli w Grupie Współpracy.

6.   Grupa Współpracy może zwracać się do sieci CSIRT o sporządzenie sprawozdania technicznego na wybrane tematy.

7.   Do 1 lutego 2024 r., a następnie co dwa lata Grupa Współpracy opracowuje program prac przedstawiający działania, które należy podjąć, by osiągnąć jej cele i wykonać jej zadania.

8.   Komisja może przyjąć akty wykonawcze określające ustalenia proceduralne kluczowe do funkcjonowania Grupy Współpracy.

Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 39 ust. 2.

Komisja dzieli się poradami i współpracuje z Grupą Współpracy, tworząc projekty aktów wykonawczych, o których mowa w akapicie pierwszym niniejszego ustępu, zgodnie z ust. 4 lit. e).

9.   Grupa Współpracy spotyka się regularnie, w każdym razie co najmniej raz w roku, z Grupą ds. Odporności Podmiotów Krytycznych utworzoną na podstawie dyrektywy (UE) 2022/2557, by propagować i ułatwiać współpracę strategiczną i wymianę informacji.

Artykuł 15

Sieć CSIRT

1.   Ustanawia się sieć krajowych CSIRT, aby przyczyniać się do wzrostu wzajemnego zaufania oraz promować szybką i skuteczną współpracę operacyjną między państwami członkowskimi.

2.   Sieć CSIRT składa się z przedstawicieli CSIRT wyznaczonych lub utworzonych zgodnie z art. 10 oraz zespołu reagowania na incydenty komputerowe w instytucjach, organach i agencjach Unii (CERT-EU). Komisja uczestniczy w pracach sieci CSIRT jako obserwator. ENISA zapewnia sekretariat oraz aktywnie wspiera współpracę między CSIRT.

3.   Do zadań sieci CSIRT należy:

| a) | wymiana informacji na temat zdolności CSIRT; |
| --- | --- |

a)

wymiana informacji na temat zdolności CSIRT;

| b) | ułatwianie udostępniania, przekazywania i wymiany między CSIRT technologii i odpowiednich środków, polityki, narzędzi, procesów, dobrych praktyk i ram; |
| --- | --- |

b)

ułatwianie udostępniania, przekazywania i wymiany między CSIRT technologii i odpowiednich środków, polityki, narzędzi, procesów, dobrych praktyk i ram;

| c) | wymiana stosownych informacji na temat incydentów, potencjalnych zdarzeń dla cyberbezpieczeństwa, cyberzagrożeń, ryzyka i podatności; |
| --- | --- |

c)

wymiana stosownych informacji na temat incydentów, potencjalnych zdarzeń dla cyberbezpieczeństwa, cyberzagrożeń, ryzyka i podatności;

| d) | wymiana informacji o publikacjach i rekomendacjach dotyczących cyberbezpieczeństwa; |
| --- | --- |

d)

wymiana informacji o publikacjach i rekomendacjach dotyczących cyberbezpieczeństwa;

| e) | zapewnienie interoperacyjności w specyfikacjach i protokołach wymiany informacji; |
| --- | --- |

e)

zapewnienie interoperacyjności w specyfikacjach i protokołach wymiany informacji;

| f) | na wniosek członka sieci CSIRT, na którego potencjalnie może mieć wpływ incydent – wymiana i omówienie informacji o tym incydencie i związanych z nim cyberzagrożeniach, ryzyku i podatnościach; |
| --- | --- |

f)

na wniosek członka sieci CSIRT, na którego potencjalnie może mieć wpływ incydent – wymiana i omówienie informacji o tym incydencie i związanych z nim cyberzagrożeniach, ryzyku i podatnościach;

| g) | na wniosek członka sieci CSIRT – omówienie oraz, w miarę możliwości, wdrożenie skoordynowanej reakcji na incydent wykryty w granicach jurysdykcji danego państwa członkowskiego; |
| --- | --- |

g)

na wniosek członka sieci CSIRT – omówienie oraz, w miarę możliwości, wdrożenie skoordynowanej reakcji na incydent wykryty w granicach jurysdykcji danego państwa członkowskiego;

| h) | pomaganie państwom członkowskim w reagowaniu na incydenty transgraniczne zgodnie z niniejszą dyrektywą; |
| --- | --- |

h)

pomaganie państwom członkowskim w reagowaniu na incydenty transgraniczne zgodnie z niniejszą dyrektywą;

| i) | współpraca i wymiana dobrych praktyk z CSIRT wyznaczonymi na koordynatorów zgodnie z art. 12 ust. 1 oraz pomaganie im w związku z zarządzaniem skoordynowanym ujawnianiem podatności mogących mieć znaczny wpływ na podmioty w więcej niż jednym państwie członkowskim; |
| --- | --- |

i)

współpraca i wymiana dobrych praktyk z CSIRT wyznaczonymi na koordynatorów zgodnie z art. 12 ust. 1 oraz pomaganie im w związku z zarządzaniem skoordynowanym ujawnianiem podatności mogących mieć znaczny wpływ na podmioty w więcej niż jednym państwie członkowskim;

| j) | omawianie i wskazywanie dalszych form współpracy operacyjnej, w tym w związku z:






  (i) | kategoriami cyberzagrożeń i incydentów; |
| --- | --- | --- |

j)

omawianie i wskazywanie dalszych form współpracy operacyjnej, w tym w związku z:

(i)

kategoriami cyberzagrożeń i incydentów;

| (ii) | wczesnym ostrzeganiem; |
| --- | --- |

(ii)

wczesnym ostrzeganiem;

| (iii) | wzajemną pomocą; |
| --- | --- |

(iii)

wzajemną pomocą;

| (iv) | zasadami i trybem koordynacji w reagowaniu na ryzyka i incydenty transgraniczne; |
| --- | --- |

(iv)

zasadami i trybem koordynacji w reagowaniu na ryzyka i incydenty transgraniczne;

| (v) | wkładem w krajowy plan reagowania na incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę, o którym mowa w art. 9 ust. 4, na wniosek państwa członkowskiego; |
| --- | --- |

(v)

wkładem w krajowy plan reagowania na incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę, o którym mowa w art. 9 ust. 4, na wniosek państwa członkowskiego;

| k) | informowanie Grupy Współpracy o działaniach sieci i o dalszych formach współpracy operacyjnej omawianych zgodnie z lit. j) oraz występowanie w razie potrzeby o wskazówki w tym zakresie; |
| --- | --- |

k)

informowanie Grupy Współpracy o działaniach sieci i o dalszych formach współpracy operacyjnej omawianych zgodnie z lit. j) oraz występowanie w razie potrzeby o wskazówki w tym zakresie;

| l) | omawianie wniosków z ćwiczeń z zakresu cyberbezpieczeństwa, w tym ćwiczeń organizowanych przez ENISA; |
| --- | --- |

l)

omawianie wniosków z ćwiczeń z zakresu cyberbezpieczeństwa, w tym ćwiczeń organizowanych przez ENISA;

| m) | na wniosek danego CSIRT – omawianie jego zdolności i gotowości; |
| --- | --- |

m)

na wniosek danego CSIRT – omawianie jego zdolności i gotowości;

| n) | współpraca i wymiana informacji z regionalnymi i unijnymi centrami monitorowania bezpieczeństwa (SOC) w celu poprawy wspólnej świadomości sytuacyjnej pod kątem incydentów i cyberzagrożeń w całej Unii; |
| --- | --- |

n)

współpraca i wymiana informacji z regionalnymi i unijnymi centrami monitorowania bezpieczeństwa (SOC) w celu poprawy wspólnej świadomości sytuacyjnej pod kątem incydentów i cyberzagrożeń w całej Unii;

| o) | w stosownych przypadkach omawianie sprawozdań z oceny wzajemnej, o których mowa w art. 19 ust. 9; |
| --- | --- |

o)

w stosownych przypadkach omawianie sprawozdań z oceny wzajemnej, o których mowa w art. 19 ust. 9;

| p) | podawanie wytycznych mających ułatwić konwergencję praktyk operacyjnych w stosowaniu przepisów niniejszego artykułu dotyczących współpracy operacyjnej. |
| --- | --- |

p)

podawanie wytycznych mających ułatwić konwergencję praktyk operacyjnych w stosowaniu przepisów niniejszego artykułu dotyczących współpracy operacyjnej.

4.   Na potrzeby przeglądu, o którym mowa w art. 40, sieć CSIRT do 17 stycznia 2025 r., a następnie co dwa lata ocenia postępy we współpracy operacyjnej i przyjmuje sprawozdanie. Sprawozdanie to zawiera w szczególności wnioski i zalecenia wynikające z ocen wzajemnych, o których mowa w art. 19, przeprowadzanych w odniesieniu do krajowych CSIRT. Sprawozdanie to przedkłada się Grupie Współpracy.

5.   Sieć CSIRT przyjmuje swój regulamin.

6.   Sieć CSIRT i EU-CyCLONe uzgadniają procedury i współpracują na ich podstawie.

Artykuł 16

Europejska sieć organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa (EU-CyCLONe)

1.   Ustanawia się EU-CyCLONe, aby pomagać w skoordynowanym zarządzaniu na szczeblu operacyjnym incydentami i zarządzaniu kryzysowym w cyberbezpieczeństwie na dużą skalę oraz zapewniać regularną wymianę odpowiednich informacji między państwami członkowskimi a instytucjami, organami, urzędami i agencjami Unii.

2.   EU-CyCLONe składa się z przedstawicieli organów państw członkowskich ds. zarządzania kryzysowego w cyberbezpieczeństwie, a jeśli potencjalny lub trwający incydent w cyberbezpieczeństwie na dużą skalę ma lub może mieć znaczny wpływ na usługi i działania objęte zakresem stosowania niniejszej dyrektywy – także Komisji. W pozostałych przypadkach Komisja uczestniczy w działaniach EU-CyCLONe jako obserwator.

ENISA zapewnia obsługę sekretariatu EU-CyCLONe i pomaga w bezpiecznej wymianie informacji, a także dostarcza narzędzia kluczowe do wsparcia współpracy między państwami członkowskimi przez zapewnienie bezpiecznej wymiany informacji.

W stosownych przypadkach EU-CyCLONe może zapraszać przedstawicieli odpowiednich zainteresowanych stron, by uczestniczyli w jej pracach w charakterze obserwatorów.

3.   EU-CyCLONe ma następujące zadania:

| a) | podnoszenie poziomu gotowości do zarządzania incydentami i zarządzania kryzysowego w cyberbezpieczeństwie na dużą skalę; |
| --- | --- |

a)

podnoszenie poziomu gotowości do zarządzania incydentami i zarządzania kryzysowego w cyberbezpieczeństwie na dużą skalę;

| b) | rozwijanie wspólnej świadomości sytuacyjnej pod kątem incydentów i sytuacji kryzysowych w cyberbezpieczeństwie na dużą skalę; |
| --- | --- |

b)

rozwijanie wspólnej świadomości sytuacyjnej pod kątem incydentów i sytuacji kryzysowych w cyberbezpieczeństwie na dużą skalę;

| c) | ocenę konsekwencji i wpływu istotnych incydentów i sytuacji kryzysowych w cyberbezpieczeństwie na dużą skalę oraz proponowanie możliwych środków ograniczających ryzyko; |
| --- | --- |

c)

ocenę konsekwencji i wpływu istotnych incydentów i sytuacji kryzysowych w cyberbezpieczeństwie na dużą skalę oraz proponowanie możliwych środków ograniczających ryzyko;

| d) | koordynowanie zarządzania incydentami i zarządzania kryzysowego w cyberbezpieczeństwie na dużą skalę oraz wspieranie procesu decyzyjnego na szczeblu politycznym w odniesieniu do takich incydentów i sytuacji kryzysowych; |
| --- | --- |

d)

koordynowanie zarządzania incydentami i zarządzania kryzysowego w cyberbezpieczeństwie na dużą skalę oraz wspieranie procesu decyzyjnego na szczeblu politycznym w odniesieniu do takich incydentów i sytuacji kryzysowych;

| e) | na wniosek zainteresowanego państwa członkowskiego – omawianie krajowych planów reagowania na incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę, o których mowa w art. 9 ust. 4. |
| --- | --- |

e)

na wniosek zainteresowanego państwa członkowskiego – omawianie krajowych planów reagowania na incydenty i sytuacje kryzysowe w cyberbezpieczeństwie na dużą skalę, o których mowa w art. 9 ust. 4.

4.   EU-CyCLONe przyjmuje swój regulamin.

5.   EU-CyCLONe regularnie składa Grupie Współpracy sprawozdania na temat zarządzania incydentami i zarządzania kryzysowego w cyberbezpieczeństwie na dużą skalę, a także na temat tendencji w tej dziedzinie, koncentrując się zwłaszcza na ich wpływie na podmioty kluczowe i ważne.

6.   EU-CyCLONe współpracuje z siecią CSIRT na podstawie uzgodnionych ustaleń proceduralnych określonych w art. 15 ust. 6.

7.   Do dnia 17 lipca 2024 r., a następnie co 18 miesięcy EU-CyCLONe przedkłada Parlamentowi Europejskiemu i Radzie sprawozdanie, w którym ocenia swoją pracę.

Artykuł 17

Współpraca międzynarodowa

Unia może w stosownych przypadkach zawierać zgodnie z art. 218 TFUE umowy międzynarodowe z państwami trzecimi lub organizacjami międzynarodowymi, umożliwiające i organizujące ich udział w niektórych działaniach Grupy Współpracy oraz sieci CSIRT i EU-CyCLONe. Umowy takie są zgodne z unijnymi przepisami o ochronie danych.

Artykuł 18

Sprawozdanie o stanie cyberbezpieczeństwa w Unii

1.   Co dwa lata ENISA przyjmuje we współpracy z Komisją i Grupą Współpracy sprawozdanie o stanie cyberbezpieczeństwa w Unii oraz przedkłada i przedstawia to sprawozdanie Parlamentowi Europejskiemu. Sprawozdanie udostępnia się m.in. jako dane nadające się do odczytu maszynowego i zawiera ono następujące elementy:

| a) | oszacowanie ryzyka w cyberbezpieczeństwie na poziomie Unii, z uwzględnieniem krajobrazu cyberzagrożeń; |
| --- | --- |

a)

oszacowanie ryzyka w cyberbezpieczeństwie na poziomie Unii, z uwzględnieniem krajobrazu cyberzagrożeń;

| b) | ocenę rozwoju zdolności w zakresie cyberbezpieczeństwa w sektorach publicznym i prywatnym w całej Unii; |
| --- | --- |

b)

ocenę rozwoju zdolności w zakresie cyberbezpieczeństwa w sektorach publicznym i prywatnym w całej Unii;

| c) | ocenę ogólnego poziomu wiedzy o cyberbezpieczeństwie i cyberhigienie wśród obywateli i podmiotów, w tym małych i średnich przedsiębiorstw; |
| --- | --- |

c)

ocenę ogólnego poziomu wiedzy o cyberbezpieczeństwie i cyberhigienie wśród obywateli i podmiotów, w tym małych i średnich przedsiębiorstw;

| d) | zbiorczą ocenę wyników ocen wzajemnych, o których mowa w art. 19; |
| --- | --- |

d)

zbiorczą ocenę wyników ocen wzajemnych, o których mowa w art. 19;

| e) | zbiorczą ocenę poziomu dojrzałości zdolności i zasobów w zakresie cyberbezpieczeństwa w całej Unii, w tym na poziomie sektorowym, a także stopnia wzajemnego dostosowania krajowych strategii cyberbezpieczeństwa państw członkowskich. |
| --- | --- |

e)

zbiorczą ocenę poziomu dojrzałości zdolności i zasobów w zakresie cyberbezpieczeństwa w całej Unii, w tym na poziomie sektorowym, a także stopnia wzajemnego dostosowania krajowych strategii cyberbezpieczeństwa państw członkowskich.

2.   Sprawozdanie zawiera konkretne zalecenia polityczne dotyczące usuwania braków i zwiększenia poziomu cyberbezpieczeństwa w całej Unii oraz streszczenie ustaleń za dany okres zawartych w raportach technicznych o stanie cyberbezpieczeństwa w UE dotyczących incydentów i cyberzagrożeń, przygotowanych przez ENISA zgodnie z art. 7 ust. 6 rozporządzenia (UE) 2019/881.

3.   We współpracy z Komisją, Grupą Współpracy i siecią CSIRT ENISA opracowuje metodykę zbiorczej oceny, o której mowa w ust. 1 lit. e), w tym odpowiednie zmienne – np. wskaźniki ilościowe i jakościowe.

Artykuł 19

Oceny wzajemne

1.   Do 17 stycznia 2025 r. Grupa Współpracy ustala – z pomocą Komisji i ENISA oraz, w stosownych przypadkach, sieci CSIRT – metodykę i aspekty organizacyjne ocen wzajemnych, by wyciągać wnioski ze wspólnych doświadczeń, zwiększać wzajemne zaufanie, osiągnąć wysoki wspólny poziom cyberbezpieczeństwa, a także zwiększać kluczowe do wdrożenia niniejszej dyrektywy zdolności państw członkowskich w zakresie cyberbezpieczeństwa i doskonalić ich politykę w tej dziedzinie. Udział w ocenach wzajemnych jest dobrowolny. Oceny wzajemne przeprowadzą eksperci ds. cyberbezpieczeństwa. Ekspertów ds. cyberbezpieczeństwa wyznaczają co najmniej dwa państwa członkowskie inne niż państwo członkowskie poddawane ocenie.

Oceny wzajemne dotyczą co najmniej jednej z następujących kwestii:

| a) | stopień wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie oraz obowiązków dotyczących zgłaszania incydentów określonych w art. 21 i 23; |
| --- | --- |

a)

stopień wdrożenia środków zarządzania ryzykiem w cyberbezpieczeństwie oraz obowiązków dotyczących zgłaszania incydentów określonych w art. 21 i 23;

| b) | poziom zdolności, w tym dostępne zasoby finansowe, techniczne i ludzkie, oraz skuteczność wykonywania zadań przez właściwe organy; |
| --- | --- |

b)

poziom zdolności, w tym dostępne zasoby finansowe, techniczne i ludzkie, oraz skuteczność wykonywania zadań przez właściwe organy;

| c) | zdolność operacyjna CSIRT; |
| --- | --- |

c)

zdolność operacyjna CSIRT;

| d) | poziom wdrożenia wzajemnej pomocy, o której mowa w art. 37; |
| --- | --- |

d)

poziom wdrożenia wzajemnej pomocy, o której mowa w art. 37;

| e) | poziom wdrożenia ustaleń dotyczących mechanizmów wymiany informacji, o których mowa w art. 29; |
| --- | --- |

e)

poziom wdrożenia ustaleń dotyczących mechanizmów wymiany informacji, o których mowa w art. 29;

| f) | szczególne zagadnienia transgraniczne lub międzysektorowe. |
| --- | --- |

f)

szczególne zagadnienia transgraniczne lub międzysektorowe.

2.   Metodyka, o której mowa w ust. 1, obejmuje obiektywne, niedyskryminacyjne, sprawiedliwe i przejrzyste kryteria, na podstawie których państwa członkowskie wyznaczają ekspertów ds. cyberbezpieczeństwa uprawnionych do prowadzenia ocen wzajemnych. Komisja i ENISA uczestniczą w ocenach wzajemnych w charakterze obserwatorów.

3.   Państwa członkowskie mogą wskazać do oceny wzajemnej konkretne zagadnienia, o których mowa w ust. 1 lit. f).

4.   Przed rozpoczęciem oceny wzajemnej, o której mowa w ust. 1, państwa członkowskie powiadamiają uczestniczące państwa członkowskim o jej zakresie, w tym o konkretnych zagadnieniach wskazanych na podstawie ust. 3.

5.   Przed rozpoczęciem oceny wzajemnej państwa członkowskie mogą przeprowadzić ocenę własną aspektów poddawanych ocenie i przekazać jej wyniki wyznaczonym ekspertom ds. cyberbezpieczeństwa. Grupa Współpracy z pomocą Komisji i ENISA określa metodykę oceny własnej prowadzonej przez państwa członkowskie.

6.   Oceny wzajemne wiążą się z fizycznymi lub zdalnymi kontrolami na miejscu i zdalną wymianą informacji. Zgodnie z zasadą dobrej współpracy państwo członkowskie poddane ocenie wzajemnej dostarcza wyznaczonym ekspertom ds. cyberbezpieczeństwa informacji potrzebnych do oceny, bez uszczerbku dla unijnych lub krajowych przepisów o ochronie informacji poufnych lub niejawnych oraz dla zagwarantowania podstawowych funkcji państwa, takich jak bezpieczeństwo narodowe. Grupa Współpracy we współpracy z Komisją i ENISA opracowuje odpowiednie kodeksy postępowania jako podstawę metod pracy wyznaczonych ekspertów ds. cyberbezpieczeństwa. Informacje uzyskane w trakcie oceny wzajemnej wykorzystuje się wyłącznie na potrzeby tej oceny. Eksperci ds. cyberbezpieczeństwa uczestniczący w ocenie wzajemnej nie ujawniają osobom trzecim informacji szczególnie chronionych lub poufnych uzyskanych w trakcie tej oceny.

7.   Aspektów poddanych ocenie wzajemnej i ocenionych w danym państwie członkowskim nie poddaje się dalszej ocenie wzajemnej w tym państwie członkowskim przez dwa lata od zakończenia oceny wzajemnej, chyba że to państwo członkowskie zwróci się o przeprowadzenie takiej oceny lub zostanie ona uzgodniona na wniosek Grupy Współpracy.

8.   Państwa członkowskie zapewniają ujawnienie pozostałym państwom członkowskim, Grupie Współpracy, Komisji i ENISA – przed rozpoczęciem oceny wzajemnej – ryzyka konfliktu interesów dotyczącego wyznaczonych ekspertów ds. cyberbezpieczeństwa. Państwo członkowskie poddane ocenie wzajemnej może sprzeciwić się wyznaczeniu konkretnych ekspertów ds. cyberbezpieczeństwa z należycie uzasadnionych powodów, o których informuje się Grupę Współpracy.

9.   Eksperci ds. cyberbezpieczeństwa uczestniczący w ocenach wzajemnych sporządzają sprawozdania zawierające ustalenia i wnioski z tych ocen. Państwa członkowskie poddane ocenie wzajemnej mogą zgłaszać uwagi do projektów sprawozdań, które ich dotyczą, a uwagi te załącza się do sprawozdań. Sprawozdania te zawierają zalecenia umożliwiające poprawę w aspektach objętych oceną wzajemną. W stosownych przypadkach sprawozdania przedkłada się Grupie Współpracy i sieci CSIRT. Państwo członkowskie poddane ocenie wzajemnej może podjąć decyzję o podaniu do wiadomości publicznej sprawozdania z oceny wzajemnej lub jego zredagowanej wersji.

ROZDZIAŁ IV

ŚRODKI ZARZĄDZANIA RYZYKIEM W CYBERBEZPIECZEŃSTWIE I OBOWIĄZKI DOTYCZĄCE ZGŁASZANIA INCYDENTÓW

Artykuł 20

Zarządzanie

1.   Państwa członkowskie zapewniają, aby organy zarządzające podmiotów kluczowych i ważnych zatwierdzały środki zarządzania ryzykiem w cyberbezpieczeństwie przyjęte przez te podmioty w celu zapewnienia zgodności z art. 21, nadzorowały ich wdrażanie i mogły być pociągnięte do odpowiedzialności za naruszanie przez te podmioty tego artykułu.

Stosowanie niniejszego ustępu nie narusza przepisów krajowych dotyczących zasad odpowiedzialności instytucji publicznych oraz odpowiedzialności urzędników publicznych oraz urzędników wybranych lub mianowanych.

2.   Państwa członkowskie zapewniają, aby członkowie organu zarządzającego podmiotów kluczowych i ważnych mieli obowiązek odbywać regularne szkolenia w celu zdobycia wystarczającej wiedzy i umiejętności pozwalających im rozpoznać ryzyko i ocenić praktyki zarządzania ryzykiem w cyberbezpieczeństwie oraz ich wpływ na usługi świadczone przez dany podmiot, a także zachęcają podmioty kluczowe i ważne do oferowania podobnych szkoleń ich pracownikom.

Artykuł 21

Środki zarządzania ryzykiem w cyberbezpieczeństwie

1.   Państwa członkowskie zapewniają, aby podmioty kluczowe i ważne wprowadzały odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych wykorzystywanych przez te podmioty do prowadzenia działalności lub świadczenia usług oraz w celu zapobiegania wpływowi incydentów na odbiorców ich usług lub na inne usługi bądź minimalizowania takiego wpływu.

Przy uwzględnieniu najnowszego stanu wiedzy oraz, w stosownych przypadkach, odpowiednich norm europejskich i międzynarodowych, a także kosztów wdrożenia środki, o których mowa w akapicie pierwszym, zapewniają poziom bezpieczeństwa sieci i systemów informatycznych odpowiedni do istniejącego ryzyka. Oceniając proporcjonalność tych środków, należycie uwzględnia się stopień narażenia podmiotu na ryzyko, wielkość podmiotu i prawdopodobieństwo wystąpienia incydentów oraz ich dotkliwość, w tym ich skutki społeczne i gospodarcze.

2.   Środki, o których mowa w ust. 1, bazują na podejściu uwzględniającym wszystkie zagrożenia i mającym na celu ochronę sieci i systemów informatycznych oraz środowiska fizycznego tych systemów przed incydentami, i obejmują co najmniej następujące elementy:

| a) | politykę analizy ryzyka i bezpieczeństwa systemów informatycznych; |
| --- | --- |

a)

politykę analizy ryzyka i bezpieczeństwa systemów informatycznych;

| b) | obsługę incydentu; |
| --- | --- |

b)

obsługę incydentu;

| c) | ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzanie kryzysowe; |
| --- | --- |

c)

ciągłość działania, np. zarządzanie kopiami zapasowymi i przywracanie normalnego działania po wystąpieniu sytuacji nadzwyczajnej, i zarządzanie kryzysowe;

| d) | bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami; |
| --- | --- |

d)

bezpieczeństwo łańcucha dostaw, w tym aspekty związane z bezpieczeństwem dotyczące stosunków między każdym podmiotem a jego bezpośrednimi dostawcami lub usługodawcami;

| e) | bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie; |
| --- | --- |

e)

bezpieczeństwo w procesie nabywania, rozwoju i utrzymania sieci i systemów informatycznych, w tym postępowanie w przypadku podatności i ich ujawnianie;

| f) | polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie; |
| --- | --- |

f)

polityki i procedury służące ocenie skuteczności środków zarządzania ryzykiem w cyberbezpieczeństwie;

| g) | podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa; |
| --- | --- |

g)

podstawowe praktyki cyberhigieny i szkolenia w zakresie cyberbezpieczeństwa;

| h) | polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania; |
| --- | --- |

h)

polityki i procedury stosowania kryptografii i, w stosownych przypadkach, szyfrowania;

| i) | bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami; |
| --- | --- |

i)

bezpieczeństwo zasobów ludzkich, politykę kontroli dostępu i zarządzanie aktywami;

| j) | w stosownych przypadkach – stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych. |
| --- | --- |

j)

w stosownych przypadkach – stosowanie uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonych połączeń głosowych, tekstowych i wideo oraz zabezpieczonych systemów łączności wewnątrz podmiotu w sytuacjach nadzwyczajnych.

3.   Państwa członkowskie zapewniają, aby rozważając które ze środków, o których mowa w ust. 2 lit. d) niniejszego artykułu, są odpowiednie, podmioty uwzględniały podatności charakterystyczne dla każdego bezpośredniego dostawcy i usługodawcy oraz ogólną jakość produktów i praktyk cyberbezpieczeństwa dostawców i usługodawców, w tym ich procedury bezpiecznego opracowywania. Państwa członkowskie zapewniają również, aby rozważając, które ze środków, o których mowa w tej literze, są odpowiednie, podmioty musiały uwzględniać wyniki skoordynowanych oszacowań ryzyka dla bezpieczeństwa krytycznych łańcuchów dostaw przeprowadzonych zgodnie z art. 22 ust. 1.

4.   Państwa członkowskie zapewniają, aby podmiot, który stwierdzi, że nie spełnia środków określonych w ust. 2, bez zbędnej zwłoki wprowadził wszelkie istotne, odpowiednie i proporcjonalne środki naprawcze.

5.   Do 17 października 2024 r. Komisja przyjmuje akty wykonawcze określające wymogi techniczne i metodykę dotyczącą środków, o których mowa w ust. 2, w odniesieniu do dostawców usług DNS, rejestrów nazw TLD, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, dostawców internetowych platform handlowych, wyszukiwarek internetowych oraz platform sieci społecznościowych i dostawców usług zaufania.

Komisja może przyjąć akty wykonawcze określające wymogi techniczne i metodykę, a w razie potrzeby również wymogi sektorowe dotyczące środków, o których mowa w ust. 2, w odniesieniu do podmiotów kluczowych i ważnych innych niż te, o których mowa w akapicie pierwszym niniejszego ustępu.

Przygotowując akty wykonawcze, o których mowa w akapitach pierwszym i drugim niniejszego ustępu, Komisja na tyle, na ile to możliwe stosuje się do norm międzynarodowych i europejskich, a także odpowiednich specyfikacji technicznych. Komisja wymienia się poradami i wraz z Grupą Współpracy i ENISA współpracuje nad projektami aktów wykonawczych zgodnie z art. 14 ust. 4 lit. e).

Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 39 ust. 2.

Artykuł 22

Skoordynowane na poziomie Unii szacowanie ryzyka krytycznych łańcuchów dostaw

1.   Grupa Współpracy we współpracy z Komisją i ENISA może przeprowadzać skoordynowane szacowanie ryzyka dla bezpieczeństwa określonych krytycznych łańcuchów dostaw usług ICT, systemów ICT lub produktów ICT, z uwzględnieniem technicznych i, w stosownych przypadkach, pozatechnicznych czynników ryzyka.

2.   Po konsultacji z Grupą Współpracy i ENISA oraz w razie potrzeby z odpowiednimi zainteresowanymi stronami Komisja wskazuje konkretne krytyczne usługi ICT, systemy ICT lub produkty ICT, które można poddać skoordynowanemu oszacowaniu ryzyka dla bezpieczeństwa, o którym mowa w ust. 1.

Artykuł 23

Obowiązki w zakresie zgłaszania incydentów

1.   Każde państwo członkowskie zapewnia, aby podmioty kluczowe i ważne bez zbędnej zwłoki zgłaszały swojemu właściwemu CSIRT lub, jeżeli ma to zastosowanie, swojemu właściwemu organowi, zgodnie z ust. 4, incydent mający istotny wpływ na świadczenie przez nie usług, o którym mowa w ust. 3 (poważny incydent). W stosownych przypadkach dane podmioty bez zbędnej zwłoki powiadamiają odbiorców swoich usług o poważnych incydentach, które mogą mieć niekorzystny wpływ na świadczenie tych usług. Każde państwo członkowskie zapewnia, aby podmioty te zgłaszały m.in. informacje umożliwiające CSIRT lub, jeżeli ma to zastosowanie, właściwemu organowi ustalenie transgranicznego wpływu incydentu. Samo zgłoszenie nie nakłada na podmiot zgłaszający zwiększonej odpowiedzialności.

Jeżeli dane podmioty zgłoszą poważny incydent właściwemu organowi na podstawie akapitu pierwszego, państwo członkowskie zapewnia, aby ten właściwy organ po otrzymaniu zgłoszenia przekazał je CSIRT.

W razie wystąpienia transgranicznego lub międzysektorowego poważnego incydentu państwa członkowskie zapewniają, aby ich pojedyncze punkty kontaktowe w stosownym czasie otrzymały ważne informacje zgłoszone zgodnie z ust. 4.

2.   Jeżeli ma to zastosowanie, państwa członkowskie zapewniają, aby podmioty kluczowe i ważne bez zbędnej zwłoki powiadamiały odbiorców swoich usług, których potencjalnie dotyczy poważne cyberzagrożenie, o środkach zaradczych lub innych środkach, które ci odbiorcy mogą zastosować w reakcji na to zagrożenie. W stosownych przypadkach podmioty te informują również tych odbiorców o samym poważnym cyberzagrożeniu.

3.   Incydent uznaje się za poważny, jeżeli:

| a) | spowodował lub może spowodować dotkliwe zakłócenia operacyjne usług lub straty finansowe dla danego podmiotu; |
| --- | --- |

a)

spowodował lub może spowodować dotkliwe zakłócenia operacyjne usług lub straty finansowe dla danego podmiotu;

| b) | wpłynął lub jest w stanie wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe i niemajątkowe. |
| --- | --- |

b)

wpłynął lub jest w stanie wpłynąć na inne osoby fizyczne lub prawne, powodując znaczne szkody majątkowe i niemajątkowe.

4.   Państwa członkowskie zapewniają, aby do celów zgłoszenia na podstawie ust. 1 dane podmioty przedkładały CSIRT lub, jeżeli ma to zastosowanie, właściwemu organowi:

| a) | bez zbędnej zwłoki, a w każdym razie w ciągu 24 godzin od powzięcia wiedzy o poważnym incydencie – wczesne ostrzeżenie, w którym w stosownych przypadkach wskazuje się, czy poważny incydent został przypuszczalnie wywołany działaniem bezprawnym lub działaniem w złym zamiarze lub czy mógł wywrzeć wpływ transgraniczny; |
| --- | --- |

a)

bez zbędnej zwłoki, a w każdym razie w ciągu 24 godzin od powzięcia wiedzy o poważnym incydencie – wczesne ostrzeżenie, w którym w stosownych przypadkach wskazuje się, czy poważny incydent został przypuszczalnie wywołany działaniem bezprawnym lub działaniem w złym zamiarze lub czy mógł wywrzeć wpływ transgraniczny;

| b) | bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od powzięcia wiedzy o poważnym incydencie – zgłoszenie incydentu, w stosownych przypadkach z aktualizacją informacji, o których mowa w lit. a), i wskazaniem wstępnej oceny poważnego incydentu, w tym jego dotkliwości i skutków, a w stosownych przypadkach także wskaźników integralności systemu; |
| --- | --- |

b)

bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od powzięcia wiedzy o poważnym incydencie – zgłoszenie incydentu, w stosownych przypadkach z aktualizacją informacji, o których mowa w lit. a), i wskazaniem wstępnej oceny poważnego incydentu, w tym jego dotkliwości i skutków, a w stosownych przypadkach także wskaźników integralności systemu;

| c) | na wniosek CSIRT lub, jeżeli ma to zastosowanie, właściwego organu – sprawozdanie okresowe na temat odpowiednich aktualizacji statusu; |
| --- | --- |

c)

na wniosek CSIRT lub, jeżeli ma to zastosowanie, właściwego organu – sprawozdanie okresowe na temat odpowiednich aktualizacji statusu;

| d) | sprawozdanie końcowe nie później niż miesiąc po zgłoszeniu incydentu na podstawie lit. b), zawierające następujące elementy:






  (i) | szczegółowy opis incydentu, w tym jego dotkliwości i skutków; |
| --- | --- | --- |

d)

sprawozdanie końcowe nie później niż miesiąc po zgłoszeniu incydentu na podstawie lit. b), zawierające następujące elementy:

(i)

szczegółowy opis incydentu, w tym jego dotkliwości i skutków;

| (ii) | rodzaj zagrożenia lub pierwotną przyczynę, która prawdopodobnie była źródłem incydentu; |
| --- | --- |

(ii)

rodzaj zagrożenia lub pierwotną przyczynę, która prawdopodobnie była źródłem incydentu;

| (iii) | zastosowane i wdrażane środki ograniczające ryzyko; |
| --- | --- |

(iii)

zastosowane i wdrażane środki ograniczające ryzyko;

| (iv) | w stosownych przypadkach transgraniczne skutki incydentu; |
| --- | --- |

(iv)

w stosownych przypadkach transgraniczne skutki incydentu;

| e) | jeżeli incydent nie zakończył się w terminie składania sprawozdania końcowego, o którym mowa w lit. d), państwa członkowskie zapewniają, aby zainteresowane podmioty przedstawiły w tym momencie sprawozdanie z postępu prac, a sprawozdanie końcowe – w ciągu miesiąca od zakończenia przez nich obsługi incydentu. |
| --- | --- |

e)

jeżeli incydent nie zakończył się w terminie składania sprawozdania końcowego, o którym mowa w lit. d), państwa członkowskie zapewniają, aby zainteresowane podmioty przedstawiły w tym momencie sprawozdanie z postępu prac, a sprawozdanie końcowe – w ciągu miesiąca od zakończenia przez nich obsługi incydentu.

Na zasadzie odstępstwa od akapitu pierwszego lit. b) dostawca usług zaufania zgłasza poważne incydenty, które mają wpływ na świadczenie jego usług zaufania CSIRT lub, w stosownych przypadkach, właściwemu organowi, bez zbędnej zwłoki, a w każdym razie w ciągu 24 godzin od powzięcia informacji o takim poważnym incydencie.

5.   CSIRT lub właściwy organ bez zbędnej zwłoki i w miarę możliwości w ciągu 24 godzin od otrzymania wczesnego ostrzeżenia, o którym mowa w ust. 4 lit. a), odpowiada podmiotowi zgłaszającemu, w tym przekazuje mu wstępne informacje zwrotne na temat poważnego incydentu oraz, na wniosek podmiotu, wytyczne lub porady operacyjne dotyczące wdrożenia możliwych środków ograniczających ryzyko. Jeżeli CSIRT nie jest pierwszym odbiorcą zgłoszenia, o którym mowa w ust. 1, wytyczne przedstawia właściwy organ we współpracy z CSIRT. Na wniosek zainteresowanego podmiotu CSIRT zapewnia dodatkowe wsparcie techniczne. Jeżeli zachodzi podejrzenie, że poważny incydent ma cechy przestępstwa, CSIRT lub właściwy organ przedstawia również wytyczne dotyczące zgłaszania poważnego incydentu organom ścigania.

6.   W stosownych przypadkach, zwłaszcza gdy poważny incydent dotyczy co najmniej dwóch państw członkowskich, CSIRT, właściwy organ lub pojedynczy punkt kontaktowy bez zbędnej zwłoki informują o tym poważnym incydencie pozostałe państwa członkowskie, których on dotyczy, i ENISA. Takie informacje obejmują informacje otrzymane zgodnie z ust. 4. W działaniach tych CSIRT, właściwy organ lub pojedynczy punkt kontaktowy zgodnie z prawem Unii lub prawem krajowym chronią bezpieczeństwo i interesy handlowe podmiotu oraz poufność przekazanych informacji.

7.   Jeżeli świadomość społeczeństwa jest niezbędna, żeby zapobiec wystąpieniu poważnego incydentu lub poradzić sobie z trwającym poważnym incydentem, lub jeżeli ujawnienie poważnego incydentu z innych względów leży w interesie publicznym, CSIRT państwa członkowskiego lub, jeżeli ma to zastosowanie, jego właściwy organ, a w stosownych przypadkach CSIRT lub właściwe organy innych zainteresowanych państw członkowskich mogą, po konsultacji z zainteresowanym podmiotem, poinformować społeczeństwo o poważnym incydencie lub zobowiązać do tego ten podmiot.

8.   Na wniosek CSIRT lub właściwego organu pojedynczy punkt kontaktowy przekazuje zgłoszenia otrzymane zgodnie z ust. 1 pojedynczym punktom kontaktowym w innych państwach członkowskich, których dotyczy incydent.

9.   Pojedynczy punkt kontaktowy co trzy miesiące przedkłada ENISA sprawozdanie podsumowujące zawierające zanonimizowane i zagregowane dane o poważnych incydentach, incydentach, cyberzagrożeniach i potencjalnych zdarzeniach dla cyberbezpieczeństwa zgłoszonych zgodnie z ust. 1 niniejszego artykułu oraz art. 30. Aby przyczynić się do dostarczania porównywalnych informacji, ENISA może przyjąć wytyczne techniczne dotyczące parametrów informacji, jakie należy zawrzeć w sprawozdaniu podsumowującym. Co sześć miesięcy ENISA informuje Grupę Współpracy i sieć CSIRT o ustaleniach wynikających z otrzymanych zgłoszeń.

10.   CSIRT lub, w stosownych przypadkach, właściwe organy przekazują właściwym organom zgodnie z dyrektywą (UE) 2022/2557 informacje o poważnych incydentach, incydentach, cyberzagrożeniach i potencjalnych zdarzeniach dla cyberbezpieczeństwa zgłoszonych zgodnie z ust. 1 niniejszego artykułu i z art. 30 przez podmioty wskazane jako podmioty krytyczne na mocy dyrektywy (UE) 2022/2557.

11.   Komisja może przyjąć akty wykonawcze doprecyzowujące rodzaj informacji, format i procedurę zgłoszenia składanego zgodnie z ust. 1 niniejszego artykułu i z art. 30 oraz powiadomienia składanych zgodnie z ust. 2 niniejszego artykułu.

Do dnia 17 października 2024 r. Komisja, w odniesieniu do dostawców usług DNS, rejestrów nazw TLD, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, jak również dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych, przyjmuje akty wykonawcze doprecyzowujące przypadki, w których incydent uznaje się za poważny zgodnie z ust. 3. Komisja może przyjąć takie akty wykonawcze w odniesieniu do innych podmiotów kluczowych i ważnych.

Komisja zgodnie z art. 14 ust. 4 lit. e) wymienia się poradami i współpracuje z Grupą Współpracy, tworząc projekty aktów wykonawczych, o których mowa w akapitach pierwszym i drugim niniejszego ustępu.

Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 39 ust. 2.

Artykuł 24

Stosowanie europejskich programów certyfikacji cyberbezpieczeństwa

1.   Aby wykazać zgodność ze szczególnymi wymogami art. 21, państwa członkowskie mogą wymagać od podmiotów kluczowych i ważnych stosowania konkretnych produktów ICT, usług ICT i procesów ICT opracowanych przez dany podmiot kluczowy lub ważny lub nabytych od osób trzecich, certyfikowanych zgodnie z europejskimi programami certyfikacji cyberbezpieczeństwa przyjętymi na podstawie art. 49 rozporządzenia (UE) 2019/881. Ponadto państwa członkowskie zachęcają podmioty kluczowe i ważne do korzystania z kwalifikowanych usług zaufania.

2.   Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 38 w celu uzupełnienia niniejszej dyrektywy przez określenie, od których kategorii podmiotów kluczowych i ważnych należy wymagać stosowania certyfikowanych produktów ICT, usług ICT i procesów ICT lub uzyskania certyfikacji dla swoich własnych produktów ICT, usług ICT i procesów ICT na podstawie europejskiego programu certyfikacji cyberbezpieczeństwa przyjętego zgodnie z art. 49 rozporządzenia (UE) 2019/881. Te akty delegowane przyjmuje się w razie stwierdzenia niewystarczających poziomów cyberbezpieczeństwa i określa się w nich termin wdrażania.

Przed przyjęciem takich aktów delegowanych Komisja przeprowadza ocenę skutków i prowadzi konsultacje zgodnie z art. 56 rozporządzenia (UE) 2019/881.

3.   Jeżeli do celów ust. 2 żaden z europejskich programów certyfikacji cyberbezpieczeństwa nie jest odpowiedni, Komisja może – po zasięgnięciu opinii Grupy Współpracy i Europejskiej Grupy ds. Certyfikacji Cyberbezpieczeństwa – zwrócić się do ENISA o przygotowanie propozycji programu zgodnie z art. 48 ust. 2 rozporządzenia (UE) 2019/881.

Artykuł 25

Normalizacja

1.   Aby wspierać spójne wdrażanie art. 21 ust. 1 i 2, państwa członkowskie, nie narzucając ani nie faworyzując stosowania określonego rodzaju technologii, zachęcają do stosowania europejskich i międzynarodowych norm i specyfikacji technicznych istotnych z punktu widzenia bezpieczeństwa sieci i systemów informatycznych.

2.   ENISA we współpracy z państwami członkowskimi i – w stosownych przypadkach – po zasięgnięciu opinii odpowiednich zainteresowanych stron opracowuje porady i wytyczne dotyczące obszarów technicznych, które należy wziąć pod uwagę w związku z ust.1, a także już istniejących norm, w tym norm krajowych, które pozwoliłyby uwzględnić te obszary.

ROZDZIAŁ V

JURYSDYKCJA I REJESTRACJA

Artykuł 26

Jurysdykcja i terytorialność

1.   Podmioty objęte zakresem stosowania niniejszej dyrektywy uznaje się za podlegające jurysdykcji państwa członkowskiego, w którym mają miejsce prowadzenia działalności, z następującymi wyjątkami:

| a) | dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej uznaje się za podlegających jurysdykcji państwa członkowskiego, w którym świadczą usługi; |
| --- | --- |

a)

dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej uznaje się za podlegających jurysdykcji państwa członkowskiego, w którym świadczą usługi;

| b) | dostawców usług DNS, rejestry nazw TLD, podmioty świadczące usługi rejestracji nazw domen, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, a także dostawców internetowych platform handlowych, wyszukiwarek internetowych lub platform usług sieci społecznościowych uznaje się za podlegających jurysdykcji państwa członkowskiego, w której mają główne miejsce prowadzenia działalności w Unii zgodnie z ust. 2; |
| --- | --- |

b)

dostawców usług DNS, rejestry nazw TLD, podmioty świadczące usługi rejestracji nazw domen, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, a także dostawców internetowych platform handlowych, wyszukiwarek internetowych lub platform usług sieci społecznościowych uznaje się za podlegających jurysdykcji państwa członkowskiego, w której mają główne miejsce prowadzenia działalności w Unii zgodnie z ust. 2;

| c) | podmioty administracji publicznej uznaje się za podlegające jurysdykcji państwa członkowskiego, które je ustanowiło. |
| --- | --- |

c)

podmioty administracji publicznej uznaje się za podlegające jurysdykcji państwa członkowskiego, które je ustanowiło.

2.   Do celów niniejszej dyrektywy uznaje się, że podmiot, o którym mowa w ust. 1 lit. b), ma swoje główne miejsce prowadzenia działalności w Unii w tym państwie członkowskim, w którym przeważnie podejmuje decyzje związane ze środkami zarządzania ryzykiem w cyberbezpieczeństwie. Jeżeli nie można ustalić takiego państwa członkowskiego lub jeżeli takich decyzji nie podejmuje się w Unii, uznaje się, że główne miejsce prowadzenia działalności znajduje się w państwie członkowskim, w którym prowadzone są działania w zakresie cyberbezpieczeństwa. Jeżeli nie można ustalić takiego państwa członkowskiego, uznaje się, że główne miejsce prowadzenia działalności znajduje się w państwie członkowskim, w którym dany podmiot ma miejsce prowadzenia działalności o największej liczbie pracowników w Unii.

3.   Jeżeli podmiot, o którym mowa w ust. 1 lit. b), nie ma miejsca prowadzenia działalności w Unii, ale oferuje usługi w Unii, wyznacza przedstawiciela w Unii. Przedstawiciel musi mieć miejsce prowadzenia działalności w jednym z tych państw członkowskich, w których oferowane są usługi. Uznaje się, że taki podmiot podlega jurysdykcji państwa członkowskiego, w którym przedstawiciel ma miejsce prowadzenia działalności. W razie niewyznaczenia przedstawiciela w Unii na podstawie niniejszego artykułu państwo członkowskie, w którym dany podmiot świadczy usługi, może podjąć wobec tego podmiotu działania prawne w związku z naruszeniem niniejszej dyrektywy.

4.   Wyznaczenie przedstawiciela przez podmiot, o którym mowa w ust. 1 lit. b), pozostaje bez uszczerbku dla działań, które mogą zostać podjęte przeciwko samemu podmiotowi.

5.   Państwa członkowskie, które otrzymały wniosek o wzajemną pomoc w odniesieniu do podmiotu, o którym mowa w ust. 1 lit. b), mogą – nie wykraczając poza zakres tego wniosku – zastosować odpowiednie środki nadzoru i egzekwowania przepisów w odniesieniu do danego podmiotu świadczącego usługi lub mającego sieć i system informatyczny na ich terytorium.

Artykuł 27

Rejestr podmiotów

1.   ENISA tworzy i prowadzi rejestr dostawców usługi DNS, rejestrów nazw TLD, dostawców usług chmurowych, dostawców usług ośrodka przetwarzania danych, dostawców sieci dostarczania treści, dostawców usług zarządzanych, dostawców usług zarządzanych w zakresie bezpieczeństwa, jak również dostawców internetowych platform handlowych, wyszukiwarek internetowych i platform usług sieci społecznościowych, na podstawie informacji otrzymanych z pojedynczych punktów kontaktowych, zgodnie z ust. 4. Na wniosek ENISA zezwala właściwym organom na dostęp do rejestru, w stosownych przypadkach zapewniając jednocześnie gwarancje niezbędne do ochrony poufności informacji.

2.   Do dnia 17 stycznia 2025 r. państwa członkowskie wymagają od podmiotów, o których mowa w ust. 1, przedłożenia właściwym organom następujących informacji:

| a) | nazwy podmiotu; |
| --- | --- |

a)

nazwy podmiotu;

| b) | odpowiedniego sektora, podsektora i rodzaju podmiotu, o których mowa w załączniku I lub II, w stosownych przypadkach; |
| --- | --- |

b)

odpowiedniego sektora, podsektora i rodzaju podmiotu, o których mowa w załączniku I lub II, w stosownych przypadkach;

| c) | adresu głównego miejsca prowadzenia działalności podmiotu oraz jego innych prawnych miejsc prowadzenia działalności w Unii lub – jeżeli nie ma on miejsca prowadzenia działalności w Unii – przedstawiciela wyznaczonego zgodnie z art. 26 ust. 3; |
| --- | --- |

c)

adresu głównego miejsca prowadzenia działalności podmiotu oraz jego innych prawnych miejsc prowadzenia działalności w Unii lub – jeżeli nie ma on miejsca prowadzenia działalności w Unii – przedstawiciela wyznaczonego zgodnie z art. 26 ust. 3;

| d) | aktualnych danych kontaktowych, w tym adresów poczty elektronicznej i numerów telefonów podmiotu oraz, w stosownych przypadkach, przedstawiciela wyznaczonego zgodnie z art. 26 ust. 3; |
| --- | --- |

d)

aktualnych danych kontaktowych, w tym adresów poczty elektronicznej i numerów telefonów podmiotu oraz, w stosownych przypadkach, przedstawiciela wyznaczonego zgodnie z art. 26 ust. 3;

| e) | państwa członkowskie, w których podmiot świadczy usługi; oraz |
| --- | --- |

e)

państwa członkowskie, w których podmiot świadczy usługi; oraz

| f) | zakresów IP podmiotu. |
| --- | --- |

f)

zakresów IP podmiotu.

3.   Państwa członkowskie zapewniają, aby podmioty, o których mowa w ust. 1, powiadamiały właściwy organ o zmianach w danych przedłożonych na podstawie ust. 2 niezwłocznie, a w każdym razie w ciągu trzech miesięcy od dnia, w którym nastąpiła zmiana.

4.   Po otrzymaniu informacji, o których mowa w ust. 2 i 3, z wyjątkiem informacji, o których mowa w ust. 2 lit. f), pojedynczy punkt kontaktowy danego państwa członkowskiego przekazuje te informacje, bez zbędnej zwłoki, ENISA.

5.   W stosownych przypadkach informacje, o których mowa w ust. 2 i 3 niniejszego artykułu, przedkłada się z wykorzystaniem mechanizmu krajowego, o którym mowa w art. 3 ust. 4 akapit czwarty.

Artykuł 28

Baza danych dotyczących rejestracji nazw domen

1.   By przyczynić się do bezpieczeństwa, stabilności i odporności DNS, państwa członkowskie wymagają by rejestrów nazw TLD i podmioty świadczące usługi rejestracji nazw domen gromadziły i zachowywały z należytą starannością w specjalnej bazie danych dokładne i kompletne dane dotyczące rejestracji nazw domen zgodnie z unijnymi przepisami o ochronie danych w odniesieniu do danych będących danymi osobowymi.

2.   Do celów ust. 1 państwa członkowskie wymagają, by baza danych dotycząca rejestracji nazw domen zawierała informacje kluczowe do zidentyfikowania posiadaczy nazw domen i punktów kontaktowych zarządzających nazwami domen TLD oraz do skontaktowania się z nimi. Informacje te obejmują:

| a) | nazwę domeny; |
| --- | --- |

a)

nazwę domeny;

| b) | datę rejestracji; |
| --- | --- |

b)

datę rejestracji;

| c) | imię i nazwisko lub nazwę osoby rejestrującej oraz adres poczty elektronicznej i numer telefonu; |
| --- | --- |

c)

imię i nazwisko lub nazwę osoby rejestrującej oraz adres poczty elektronicznej i numer telefonu;

| d) | adres poczty elektronicznej i numer telefonu, pod którymi można skontaktować się z punktem kontaktowym zarządzającym nazwą domeny, w przypadku gdy różnią się od adresu poczty elektronicznej i numeru telefonu osoby rejestrującej. |
| --- | --- |

d)

adres poczty elektronicznej i numer telefonu, pod którymi można skontaktować się z punktem kontaktowym zarządzającym nazwą domeny, w przypadku gdy różnią się od adresu poczty elektronicznej i numeru telefonu osoby rejestrującej.

3.   Państwa członkowskie wymagają, by rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen wdrożyły polityki i procedury, w tym procedury weryfikacji, służące zapewnieniu, aby bazy danych, o których mowa w ust. 1, zawierały dokładne i kompletne dane. Państwa członkowskie wymagają podania takich polityk i procedur do wiadomości publicznej.

4.   Państwa członkowskie wymagają, aby po rejestracji nazwy domeny rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen bez zbędnej zwłoki podawały do wiadomości publicznej dane dotyczące rejestracji nazwy domeny niebędące danymi osobowymi.

5.   Państwa członkowskie wymagają, by rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen na zgodny z prawem i należycie uzasadniony wniosek o prawnie uzasadniony dostęp udzielały dostępu do konkretnych danych dotyczących rejestracji nazw domen zgodnie z unijnymi przepisami o ochronie danych. Państwa członkowskie wymagają, by rejestry nazw TLD i podmioty świadczące usługi rejestracji nazw domen udzielały odpowiedzi bez zbędnej zwłoki, a w każdym razie w ciągu nie więcej niż 72 godzin od otrzymania wniosku o dostęp. Państwa członkowskie wymagają podania do wiadomości publicznej polityk i procedur ujawniania takich danych.

6.   Wypełnianie obowiązków określonych w ust. 1–5 nie prowadzi do powielania gromadzenia danych dotyczących rejestracji nazw domen. W tym celu państwa członkowskie wymagają wzajemnej współpracy od rejestrów nazw TLD i podmiotów świadczących usługi rejestracji nazw domen.

ROZDZIAŁ VI

WYMIANA INFORMACJI

Artykuł 29

Mechanizmy wymiany informacji na temat cyberbezpieczeństwa

1.   Państwa członkowskie zapewniają, aby podmioty objęte zakresem stosowania niniejszej dyrektywy, a w stosownych przypadkach również inne podmioty nieobjęte zakresem niniejszej dyrektywy mogły dobrowolnie wymieniać się odpowiednimi informacjami na temat cyberbezpieczeństwa, w tym informacjami o cyberzagrożeniach, potencjalnych zdarzeniach dla cyberbezpieczeństwa, podatnościach, technikach i procedurach, oznakach naruszenia integralności systemu, wrogich taktykach, a także informacjami o grupach przestępczych, ostrzeżeniami dotyczącymi cyberbezpieczeństwa i zaleceniami dotyczącymi konfiguracji narzędzi bezpieczeństwa mających wykrywać cyberataki, jeżeli wymiana takich informacji:

| a) | ma na celu zapobieganie incydentom, ich wykrywanie, reagowanie na nie, przywracanie normalnego działania po incydentach lub łagodzenie ich skutków; |
| --- | --- |

a)

ma na celu zapobieganie incydentom, ich wykrywanie, reagowanie na nie, przywracanie normalnego działania po incydentach lub łagodzenie ich skutków;

| b) | zwiększa poziom cyberbezpieczeństwa, zwłaszcza przez podnoszenie świadomości na temat cyberzagrożeń, ograniczanie lub utrudnianie rozprzestrzeniania się cyberzagrożeń, wspieranie różnorodnych zdolności do obrony przed nimi, eliminowanie i ujawnianie podatności, techniki wykrywania zagrożeń, ograniczania ich zasięgu i zapobiegania im, strategie ograniczania ryzyka, etapy reagowania i przywracania normalnego działania lub sprzyjanie współpracy między podmiotami publicznymi i prywatnymi w badaniach nad cyberzagrożeniami. |
| --- | --- |

b)

zwiększa poziom cyberbezpieczeństwa, zwłaszcza przez podnoszenie świadomości na temat cyberzagrożeń, ograniczanie lub utrudnianie rozprzestrzeniania się cyberzagrożeń, wspieranie różnorodnych zdolności do obrony przed nimi, eliminowanie i ujawnianie podatności, techniki wykrywania zagrożeń, ograniczania ich zasięgu i zapobiegania im, strategie ograniczania ryzyka, etapy reagowania i przywracania normalnego działania lub sprzyjanie współpracy między podmiotami publicznymi i prywatnymi w badaniach nad cyberzagrożeniami.

2.   Państwa członkowskie zapewniają, aby wymiana informacji odbywała się w społecznościach podmiotów kluczowych i ważnych, a w stosownych przypadkach również ich dostawców lub usługodawców. Wymianę taką prowadzi się za pośrednictwem mechanizmów wymiany informacji o cyberbezpieczeństwie ze względu na potencjalnie poufny charakter wymienianych informacji.

3.   Państwa członkowskie ułatwiają tworzenie mechanizmów wymiany informacji o cyberbezpieczeństwie, o których mowa w ust. 2 niniejszego artykułu. W mechanizmach tych można określić elementy operacyjne, w tym korzystanie ze specjalnych platform ICT i narzędzi automatyzacji, a także treści i warunki funkcjonowania mechanizmów wymiany informacji. Określając szczegóły udziału organów publicznych w tych mechanizmach, państwa członkowskie mogą ustalać warunki udostępniania informacji przez właściwe organy lub CSIRT. Państwa członkowskie oferują pomoc w stosowaniu takich mechanizmów zgodnie ze swoją polityką, o której mowa w art. 7 ust. 2 lit. h).

4.   Państwa członkowskie zapewniają, by podmioty kluczowe i ważne powiadamiały właściwe organy, że uczestniczą w mechanizmach wymiany informacji, o których mowa w ust. 2, gdy przystępują do tych mechanizmów, lub, w stosownych przypadkach, o wycofaniu się z takich mechanizmów, gdy wycofanie stanie się skuteczne.

5.   ENISA pomaga w tworzeniu mechanizmów wymiany informacji na temat cyberbezpieczeństwa, o których mowa w ust. 2, przez wymianę najlepszych praktyk i udzielanie wskazówek.

Artykuł 30

Dobrowolne zgłaszanie ważnych informacji

1.   Państwa członkowskie zapewniają, by w uzupełnieniu obowiązków zgłaszania, o których mowa w art. 23, następujące podmioty mogły dobrowolnie przekazywać zgłoszenia CSIRT lub, w stosownych przypadkach, właściwym organom:

| a) | podmioty kluczowe i ważne w przypadku incydentów, cyberzagrożeń i potencjalnych zdarzeń dla cyberbezpieczeństwa; |
| --- | --- |

a)

podmioty kluczowe i ważne w przypadku incydentów, cyberzagrożeń i potencjalnych zdarzeń dla cyberbezpieczeństwa;

| b) | podmioty inne niż te, o których mowa w lit. a), niezależnie od tego, czy są objęte zakresem stosowania niniejszej dyrektywy, w odniesieniu do poważnych incydentów, cyberzagrożeń oraz potencjalnych zdarzeń dla cyberbezpieczeństwa. |
| --- | --- |

b)

podmioty inne niż te, o których mowa w lit. a), niezależnie od tego, czy są objęte zakresem stosowania niniejszej dyrektywy, w odniesieniu do poważnych incydentów, cyberzagrożeń oraz potencjalnych zdarzeń dla cyberbezpieczeństwa.

2.   Państwa członkowskie rozpatrują zgłoszenia, o których mowa w ust. 1 niniejszego artykułu, zgodnie z procedurą określoną w art. 23. Państwa członkowskie mogą rozpatrywać zgłoszenia obowiązkowe priorytetowo względem zgłoszeń dobrowolnych.

W razie potrzeby CSIRT oraz, w stosownych przypadkach, właściwe organy przekazują pojedynczym punktom kontaktowym informacje o zgłoszeniach otrzymanych na podstawie niniejszego artykułu, zapewniając przy tym poufność i odpowiednią ochronę informacji przekazanych przez podmiot zgłaszający. Bez uszczerbku dla zapobiegania, prowadzenia postępowań, wykrywania i ścigania przestępstw dobrowolne zgłaszanie nie może powodować nałożenia na podmiot zgłaszający żadnych dodatkowych obowiązków, którym by nie podlegał, gdyby nie przekazał zgłoszenia.

ROZDZIAŁ VII

NADZÓR I EGZEKWOWANIE PRZEPISÓW

Artykuł 31

Ogólne aspekty nadzoru i egzekwowania przepisów

1.   Państwa członkowskie zapewniają, aby ich właściwe organy skutecznie monitorowały przestrzeganie niniejszej dyrektywy i stosowały środki niezbędne do zagwarantowania tego przestrzegania.

2.   Państwa członkowskie mogą zezwolić ich właściwym organom na wprowadzenie hierarchii priorytetów w odniesieniu do zadań nadzorczych. Taka hierarchia priorytetów bazuje na podejściu uwzględniającym analizę ryzyka. W tym celu, wykonując zadania nadzorcze określone w art. 32 i 33, właściwe organy mogą określić metodykę nadzorczą pozwalającą ustalić hierarchię priorytetów w tych zadaniach na podstawie podejścia uwzględniającego analizę ryzyka.

3.   Właściwe organy odpowiadając na incydenty, które doprowadziły do naruszeń danych osobowych, ściśle współpracują z organami nadzorczymi, na mocy rozporządzenia (UE) 2016/679, bez uszczerbku dla właściwości i zadań organów nadzorczych określonych w tym rozporządzeniu.

4.   Bez uszczerbku dla krajowych ram ustawodawczych i instytucjonalnych państwa członkowskie zapewniają, aby nadzorując przestrzeganie niniejszej dyrektywy przez podmioty administracji publicznej oraz nakładając środki egzekwowania przepisów w odniesieniu do naruszeń niniejszej dyrektywy, właściwe organy posiadały odpowiednie uprawnienia do podejmowania takich zadań w sposób niezależny pod względem operacyjnym wobec nadzorowanych podmiotów administracji publicznej. Państwa członkowskie mogą podjąć decyzję o nałożeniu na te podmioty odpowiednich, proporcjonalnych i skutecznych środków nadzoru i egzekwowania przepisów zgodnie z krajowymi ramami ustawodawczymi i instytucjonalnymi.

Artykuł 32

Środki nadzoru i egzekwowania przepisów dla podmiotów kluczowych

1.   Państwa członkowskie zapewniają, by środki nadzoru lub egzekwowania przepisów nakładane na podmioty kluczowe w odniesieniu do obowiązków określonych w niniejszej dyrektywie były skuteczne, proporcjonalne i odstraszające, stosownie do okoliczności każdego indywidualnego przypadku.

2.   Państwa członkowskie zapewniają, by wykonując uprawnienia nadzorcze wobec podmiotów kluczowych, właściwe organy były uprawnione do objęcia tych podmiotów co najmniej:

| a) | kontrolami na miejscu i nadzorem zdalnym, w tym wyrywkowymi kontrolami prowadzonymi przez przeszkolonych specjalistów; |
| --- | --- |

a)

kontrolami na miejscu i nadzorem zdalnym, w tym wyrywkowymi kontrolami prowadzonymi przez przeszkolonych specjalistów;

| b) | regularnymi ukierunkowanymi audytami bezpieczeństwa prowadzonymi przez niezależną instytucję lub właściwy organ; |
| --- | --- |

b)

regularnymi ukierunkowanymi audytami bezpieczeństwa prowadzonymi przez niezależną instytucję lub właściwy organ;

| c) | audytami doraźnymi, w tym w uzasadnionych przypadkach w związku z wystąpieniem poważnego incydentu lub z naruszeniem niniejszej dyrektywy przez podmiot kluczowy; |
| --- | --- |

c)

audytami doraźnymi, w tym w uzasadnionych przypadkach w związku z wystąpieniem poważnego incydentu lub z naruszeniem niniejszej dyrektywy przez podmiot kluczowy;

| d) | skanami bezpieczeństwa na podstawie obiektywnych, niedyskryminacyjnych, sprawiedliwych i przejrzystych kryteriów szacowania ryzyka, w razie potrzeby we współpracy z danym podmiotem; |
| --- | --- |

d)

skanami bezpieczeństwa na podstawie obiektywnych, niedyskryminacyjnych, sprawiedliwych i przejrzystych kryteriów szacowania ryzyka, w razie potrzeby we współpracy z danym podmiotem;

| e) | wnioskami o udzielenie informacji niezbędnych do oceny środków zarządzania ryzykiem w cyberbezpieczeństwie przyjętych przez dany podmiot, w tym udokumentowanej polityki cyberbezpieczeństwa, a także zgodności z obowiązkiem przedkładania informacji właściwym organom zgodnie z art. 27; |
| --- | --- |

e)

wnioskami o udzielenie informacji niezbędnych do oceny środków zarządzania ryzykiem w cyberbezpieczeństwie przyjętych przez dany podmiot, w tym udokumentowanej polityki cyberbezpieczeństwa, a także zgodności z obowiązkiem przedkładania informacji właściwym organom zgodnie z art. 27;

| f) | wnioskami o udzielenie dostępu do danych, dokumentów i informacji koniecznych do wykonywania ich zadań nadzorczych; |
| --- | --- |

f)

wnioskami o udzielenie dostępu do danych, dokumentów i informacji koniecznych do wykonywania ich zadań nadzorczych;

| g) | wnioskami o przedstawienie dowodów realizacji polityki cyberbezpieczeństwa, takich jak wyniki audytu bezpieczeństwa przeprowadzonego przez wykwalifikowanego audytora oraz odpowiednie dowody. |
| --- | --- |

g)

wnioskami o przedstawienie dowodów realizacji polityki cyberbezpieczeństwa, takich jak wyniki audytu bezpieczeństwa przeprowadzonego przez wykwalifikowanego audytora oraz odpowiednie dowody.

Ukierunkowane audyty bezpieczeństwa, o których mowa w akapicie pierwszym lit. b), opierają się na oszacowaniach ryzyka przeprowadzonych przez właściwy organ lub badany podmiot bądź na innych dostępnych informacjach dotyczących ryzyka.

Wyniki ukierunkowanych audytów bezpieczeństwa udostępnia się właściwemu organowi. Koszty takiego ukierunkowanego audytu bezpieczeństwa prowadzonego przez niezależną instytucję pokrywa podmiot poddawany audytowi, z wyjątkiem należycie uzasadnionych przypadków, gdy właściwy organ postanowi inaczej.

3.   Wykonując swoje uprawnienia na mocy ust. 2 lit. e), f) lub g), właściwe organy podają cel wniosku i określają informacje, o które wnoszą.

4.   Państwa członkowskie zapewniają, aby wykonując uprawnienia w zakresie egzekwowania przepisów wobec podmiotów kluczowych, ich właściwe organy były uprawnione co najmniej do:

| a) | wydawania ostrzeżeń dotyczących naruszeń przez dane podmioty niniejszej dyrektywy; |
| --- | --- |

a)

wydawania ostrzeżeń dotyczących naruszeń przez dane podmioty niniejszej dyrektywy;

| b) | wydawania wiążących poleceń – w tym dotyczących podjęcia środków niezbędnych do zapobieżenia incydentowi lub usunięcia jego skutków oraz określenia terminów wdrożenia takich środków i zgłoszenia ich wdrożenia – lub nakazów zobowiązujących dane podmioty do naprawienia stwierdzonych uchybień lub usunięcia naruszeń niniejszej dyrektywy; |
| --- | --- |

b)

wydawania wiążących poleceń – w tym dotyczących podjęcia środków niezbędnych do zapobieżenia incydentowi lub usunięcia jego skutków oraz określenia terminów wdrożenia takich środków i zgłoszenia ich wdrożenia – lub nakazów zobowiązujących dane podmioty do naprawienia stwierdzonych uchybień lub usunięcia naruszeń niniejszej dyrektywy;

| c) | nakazania danym podmiotom, by zaniechały postępowania naruszającego niniejszą dyrektywę i nie powtarzały takiego postępowania; |
| --- | --- |

c)

nakazania danym podmiotom, by zaniechały postępowania naruszającego niniejszą dyrektywę i nie powtarzały takiego postępowania;

| d) | nakazania danym podmiotom, by w określony sposób i w określonym terminie zapewniły zgodność swoich środków zarządzania ryzykiem w cyberbezpieczeństwie z art. 21 lub wypełniły obowiązki zgłaszania incydentów określone w art. 23; |
| --- | --- |

d)

nakazania danym podmiotom, by w określony sposób i w określonym terminie zapewniły zgodność swoich środków zarządzania ryzykiem w cyberbezpieczeństwie z art. 21 lub wypełniły obowiązki zgłaszania incydentów określone w art. 23;

| e) | nakazania danym podmiotom, by poinformowały osoby fizyczne lub prawne, w odniesieniu do których świadczą usługi lub prowadzą działania, a których potencjalnie dotyczy poważne cyberzagrożenie, o charakterze tego zagrożenia, a także o możliwych środkach ochronnych lub naprawczych, jakie te osoby fizyczne lub prawne mogą zastosować w reakcji na to zagrożenie; |
| --- | --- |

e)

nakazania danym podmiotom, by poinformowały osoby fizyczne lub prawne, w odniesieniu do których świadczą usługi lub prowadzą działania, a których potencjalnie dotyczy poważne cyberzagrożenie, o charakterze tego zagrożenia, a także o możliwych środkach ochronnych lub naprawczych, jakie te osoby fizyczne lub prawne mogą zastosować w reakcji na to zagrożenie;

| f) | nakazania danym podmiotom, by w rozsądnym terminie wdrożyły zalecenia wydane w wyniku audytu bezpieczeństwa; |
| --- | --- |

f)

nakazania danym podmiotom, by w rozsądnym terminie wdrożyły zalecenia wydane w wyniku audytu bezpieczeństwa;

| g) | wyznaczenia urzędnika monitorującego – ze ściśle określonymi zadaniami na oznaczony okres – do nadzorowania przestrzegania przez dane podmioty art. 21 i 23; |
| --- | --- |

g)

wyznaczenia urzędnika monitorującego – ze ściśle określonymi zadaniami na oznaczony okres – do nadzorowania przestrzegania przez dane podmioty art. 21 i 23;

| h) | nakazania danym podmiotom, by w określony sposób podały do wiadomości publicznej informacje o naruszeniach niniejszej dyrektywy; |
| --- | --- |

h)

nakazania danym podmiotom, by w określony sposób podały do wiadomości publicznej informacje o naruszeniach niniejszej dyrektywy;

| i) | nałożenia lub zwrócenia się o nałożenie przez właściwe organy lub sądy zgodnie z prawem krajowym administracyjnej kary pieniężnej zgodnie z art. 34 niezależnie od środków, o których mowa w lit. a)–h) niniejszego ustępu. |
| --- | --- |

i)

nałożenia lub zwrócenia się o nałożenie przez właściwe organy lub sądy zgodnie z prawem krajowym administracyjnej kary pieniężnej zgodnie z art. 34 niezależnie od środków, o których mowa w lit. a)–h) niniejszego ustępu.

5.   Jeżeli środki z zakresu egzekwowania przepisów zastosowane na podstawie ust. 4 lit. a)–d) i f) okażą się nieskuteczne, państwa członkowskie zapewniają, by ich właściwe organy były uprawnione do wyznaczenia terminu, do którego podmiot kluczowy jest zobowiązany podjąć działania konieczne do usunięcia uchybień lub zapewnienia zgodności z wymogami określonymi przez te organy. Jeżeli żądane działanie nie zostanie podjęte w wyznaczonym terminie, państwa członkowskie zapewniają, by właściwe organy były uprawnione do:

| a) | tymczasowego zawieszenia lub zwrócenia się do organu, który przyznał certyfikację lub udzielił zezwolenia, lub do sądu, zgodnie z prawem krajowym, o tymczasowe zawieszenie certyfikacji lub zezwolenia na niektóre lub wszystkie odpowiednie usługi świadczone bądź na część lub całość działalności prowadzonej przez podmiot kluczowy; |
| --- | --- |

a)

tymczasowego zawieszenia lub zwrócenia się do organu, który przyznał certyfikację lub udzielił zezwolenia, lub do sądu, zgodnie z prawem krajowym, o tymczasowe zawieszenie certyfikacji lub zezwolenia na niektóre lub wszystkie odpowiednie usługi świadczone bądź na część lub całość działalności prowadzonej przez podmiot kluczowy;

| b) | zwrócenia się do właściwych instytucji lub sądów, zgodnie z prawem krajowym, o nałożenie tymczasowego zakazu pełnienia funkcji zarządczych w tym podmiocie kluczowym na osobę fizyczną wykonującą obowiązki zarządcze na poziomie dyrektora generalnego lub przedstawiciela prawnego w tym podmiocie. |
| --- | --- |

b)

zwrócenia się do właściwych instytucji lub sądów, zgodnie z prawem krajowym, o nałożenie tymczasowego zakazu pełnienia funkcji zarządczych w tym podmiocie kluczowym na osobę fizyczną wykonującą obowiązki zarządcze na poziomie dyrektora generalnego lub przedstawiciela prawnego w tym podmiocie.

Tymczasowe zawieszenie lub zakaz pełnienia funkcji na podstawie niniejszego ustępu stosuje się tylko do czasu, gdy dany podmiot podejmie działania niezbędne do usunięcia uchybień lub spełnienia wymogów właściwego organu, w związku z którymi nałożono na niego środki egzekwowania przepisów. Takie tymczasowe zawieszenie lub zakaz stosuje się z zastrzeżeniem odpowiednich gwarancji proceduralnych zgodnych z ogólnymi zasadami prawa Unii i z Kartą, w tym prawa do skutecznej ochrony prawnej i do rzetelnego procesu sądowego, domniemania niewinności oraz prawa do obrony.

Środki egzekwowania przepisów określone w niniejszym ustępie nie mają zastosowania do podmiotów administracji publicznej objętych zakresem niniejszej dyrektywy.

6.   Państwa członkowskie zapewniają, aby każda osoba fizyczna odpowiedzialna za podmiot kluczowy lub działająca w charakterze przedstawiciela prawnego tego podmiotu na podstawie uprawnienia do jego reprezentowania, podejmowania decyzji w jego imieniu lub sprawowania nad nim kontroli była uprawniona do zapewnienia przestrzegania przez ten podmiot niniejszej dyrektywy. Państwa członkowskie zapewniają, by te osoby fizyczne mogły być pociągnięte do odpowiedzialności za niewywiązanie się z obowiązku zapewnienia przestrzegania niniejszej dyrektywy.

W odniesieniu do podmiotów administracji publicznej niniejszy ustęp pozostaje bez uszczerbku dla przepisów krajowych dotyczących odpowiedzialności urzędników publicznych oraz osób pełniących funkcję z wyboru lub powołania.

7.   Przyjmując środki egzekwowania przepisów, o których mowa w ust. 4 lub 5, właściwe organy przestrzegają prawa do obrony oraz biorą pod uwagę okoliczności każdego indywidualnego przypadku i należycie uwzględniają co najmniej:

| a) | wagę naruszenia i znaczenie naruszonych przepisów, przy czym za poważne należy uznać w każdym przypadku m.in. następujące naruszenia:






  (i) | powtarzające się naruszenia; |
| --- | --- | --- |

a)

wagę naruszenia i znaczenie naruszonych przepisów, przy czym za poważne należy uznać w każdym przypadku m.in. następujące naruszenia:

(i)

powtarzające się naruszenia;

| (ii) | niezgłoszenie lub nieusunięcie poważnych incydentów; |
| --- | --- |

(ii)

niezgłoszenie lub nieusunięcie poważnych incydentów;

| (iii) | nieusunięcie uchybień zgodnie z wiążącymi nakazami właściwych organów; |
| --- | --- |

(iii)

nieusunięcie uchybień zgodnie z wiążącymi nakazami właściwych organów;

| (iv) | utrudnianie prowadzenia audytów lub działań monitorujących nakazanych przez właściwy organ po stwierdzeniu naruszenia; |
| --- | --- |

(iv)

utrudnianie prowadzenia audytów lub działań monitorujących nakazanych przez właściwy organ po stwierdzeniu naruszenia;

| (v) | dostarczanie nieprawdziwych lub rażąco niedokładnych informacji w odniesieniu do środków zarządzania ryzykiem w cyberbezpieczeństwie lub obowiązków zgłaszania incydentów ustanowionych w art. 21 i 23; |
| --- | --- |

(v)

dostarczanie nieprawdziwych lub rażąco niedokładnych informacji w odniesieniu do środków zarządzania ryzykiem w cyberbezpieczeństwie lub obowiązków zgłaszania incydentów ustanowionych w art. 21 i 23;

| b) | czas trwania naruszenia; |
| --- | --- |

b)

czas trwania naruszenia;

| c) | istotne wcześniejsze naruszenia ze strony danego podmiotu; |
| --- | --- |

c)

istotne wcześniejsze naruszenia ze strony danego podmiotu;

| d) | spowodowane szkody majątkowe i niemajątkowe, w tym straty finansowe lub gospodarcze, wpływ na inne usługi i liczbę użytkowników, których dotyka incydent; |
| --- | --- |

d)

spowodowane szkody majątkowe i niemajątkowe, w tym straty finansowe lub gospodarcze, wpływ na inne usługi i liczbę użytkowników, których dotyka incydent;

| e) | umyślny lub nieumyślny charakter czynu ze strony sprawcy naruszenia; |
| --- | --- |

e)

umyślny lub nieumyślny charakter czynu ze strony sprawcy naruszenia;

| f) | środki zastosowane przez podmiot, aby zapobiec szkodom majątkowym i niemajątkowym lub je ograniczyć; |
| --- | --- |

f)

środki zastosowane przez podmiot, aby zapobiec szkodom majątkowym i niemajątkowym lub je ograniczyć;

| g) | stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji; |
| --- | --- |

g)

stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji;

| h) | stopień współpracy odpowiedzialnych osób fizycznych lub prawnych z właściwymi organami. |
| --- | --- |

h)

stopień współpracy odpowiedzialnych osób fizycznych lub prawnych z właściwymi organami.

8.   Właściwe organy przedstawiają szczegółowe uzasadnienie zastosowanych środków z zakresu egzekwowania przepisów. Zanim zastosują takie środki, właściwe organy powiadamiają dane podmioty o swoich wstępnych ustaleniach. Dają im one też rozsądny czas na przedstawienie uwag, z wyjątkiem należycie uzasadnionych przypadków, gdy utrudniłoby to natychmiastowe działanie w celu zapobieżenia incydentom lub reakcji na nie.

9.   Państwa członkowskie zapewniają, aby ich właściwe organy na mocy niniejszej dyrektywy informowały odpowiednie właściwe organy w tym samym państwie członkowskim na podstawie dyrektywy (UE) 2022/2557, gdy wykonują uprawnienia w zakresie nadzoru i egzekwowania przepisów, aby zapewnić przestrzeganie niniejszej dyrektywy przez podmiot uznany za krytyczny zgodnie z dyrektywą (UE) 2022/2557. W stosownych przypadkach właściwe organy na podstawie dyrektywy (UE) 2022/2557 mogą zwrócić się do właściwych organów na podstawie niniejszej dyrektywy o wykonanie ich uprawnień z zakresu nadzoru i egzekwowania przepisów w stosunku do podmiotu i wskazanego jako podmiot krytyczny na podstawie dyrektywy (UE) 2022/2557.

10.   Państwa członkowskie zapewniają, by ich właściwe organy zgodnie z niniejszą dyrektywą współpracowały z odpowiednimi właściwymi organami zainteresowanego państwa członkowskiego zgodnie z rozporządzeniem (UE) 2022/2554. W szczególności państwa członkowskie zapewniają, by ich właściwe organy na mocy niniejszej dyrektywy informowały forum nadzoru, ustanowione zgodnie z art. 32 ust. 1 rozporządzenia (UE) 2022/2554, gdy wykonują uprawnienia w zakresie nadzoru i egzekwowania przepisów, by zapewnić przestrzeganie niniejszej dyrektywy przez podmiot kluczowy, wyznaczony jako kluczowy dostawca usług ICT będący osobą trzecią zgodnie z art. 31 rozporządzenia (UE) 2022/2554.

Artykuł 33

Środki nadzoru i egzekwowania przepisów w odniesieniu do podmiotów ważnych

1.   W przypadku otrzymania dowodu, wskazania lub informacji, że podmiot ważny rzekomo nie stosuje się do niniejszej dyrektywy, w szczególności jej w art. 21 i 23, państwa członkowskie zapewniają, by w razie potrzeby właściwe organy podjęły działania w postaci środków nadzoru ex post. Państwa członkowskie zapewniają, aby środki te były skuteczne, proporcjonalne i odstraszające stosownie do okoliczności każdego indywidualnego przypadku.

2.   Państwa członkowskie zapewniają, by wykonując zadania nadzorcze wobec podmiotów ważnych, właściwe organy były uprawnione do objęcia tych podmiotów co najmniej:

| a) | kontrolami na miejscu i nadzorem zdalnym ex post prowadzonymi przez przeszkolonych specjalistów; |
| --- | --- |

a)

kontrolami na miejscu i nadzorem zdalnym ex post prowadzonymi przez przeszkolonych specjalistów;

| b) | ukierunkowanymi audytami bezpieczeństwa prowadzonymi przez niezależną instytucję lub właściwy organ; |
| --- | --- |

b)

ukierunkowanymi audytami bezpieczeństwa prowadzonymi przez niezależną instytucję lub właściwy organ;

| c) | skanami bezpieczeństwa na podstawie obiektywnych, niedyskryminacyjnych, sprawiedliwych i przejrzystych kryteriów szacowania ryzyka, w razie potrzeby we współpracy z danym podmiotem; |
| --- | --- |

c)

skanami bezpieczeństwa na podstawie obiektywnych, niedyskryminacyjnych, sprawiedliwych i przejrzystych kryteriów szacowania ryzyka, w razie potrzeby we współpracy z danym podmiotem;

| d) | wnioskami o udzielenie informacji niezbędnych do oceny ex post środków zarządzania ryzykiem w cyberbezpieczeństwie przyjętych przez dany podmiot, w tym udokumentowanej polityki cyberbezpieczeństwa, a także wypełnienia obowiązku przedłożenia informacji właściwym organom zgodnie z art. 27; |
| --- | --- |

d)

wnioskami o udzielenie informacji niezbędnych do oceny ex post środków zarządzania ryzykiem w cyberbezpieczeństwie przyjętych przez dany podmiot, w tym udokumentowanej polityki cyberbezpieczeństwa, a także wypełnienia obowiązku przedłożenia informacji właściwym organom zgodnie z art. 27;

| e) | wnioskami o udzielenie dostępu do danych, dokumentów i informacji koniecznych do wykonywania ich zadań nadzorczych; |
| --- | --- |

e)

wnioskami o udzielenie dostępu do danych, dokumentów i informacji koniecznych do wykonywania ich zadań nadzorczych;

| f) | wnioskami o przedstawienie dowodów realizacji polityki cyberbezpieczeństwa, takich jak wyniki audytu bezpieczeństwa przeprowadzonego przez wykwalifikowanego audytora oraz odpowiednie dowody. |
| --- | --- |

f)

wnioskami o przedstawienie dowodów realizacji polityki cyberbezpieczeństwa, takich jak wyniki audytu bezpieczeństwa przeprowadzonego przez wykwalifikowanego audytora oraz odpowiednie dowody.

Ukierunkowane audyty bezpieczeństwa, o których mowa w akapicie pierwszym lit. b), opierają się na oszacowaniach ryzyka przeprowadzonych przez właściwy organ lub badany podmiot bądź na innych dostępnych informacjach o ryzyku.

Wyniki ukierunkowanych audytów bezpieczeństwa udostępnia się właściwemu organowi. Koszty takiego ukierunkowanego audytu bezpieczeństwa prowadzonego przez niezależną instytucję pokrywa podmiot poddany audytowi, z wyjątkiem należycie uzasadnionych przypadków, gdy właściwy organ postanowi inaczej.

3.   Wykonując swoje uprawnienia na mocy ust. 2 lit. d), e) lub f), właściwe organy podają cel wniosku i określają informacje, o które wnoszą.

4.   Państwa członkowskie zapewniają, by wykonując uprawnienia w zakresie egzekwowania przepisów wobec podmiotów ważnych, właściwe organy były uprawnione co najmniej do:

| a) | wydawania ostrzeżeń dotyczących naruszania przez dane podmioty niniejszej dyrektywy; |
| --- | --- |

a)

wydawania ostrzeżeń dotyczących naruszania przez dane podmioty niniejszej dyrektywy;

| b) | przyjmowania wiążących poleceń lub nakazów zobowiązujących dane podmioty do naprawienia stwierdzonych uchybień lub usunięcia naruszenia niniejszej dyrektywy; |
| --- | --- |

b)

przyjmowania wiążących poleceń lub nakazów zobowiązujących dane podmioty do naprawienia stwierdzonych uchybień lub usunięcia naruszenia niniejszej dyrektywy;

| c) | nakazania danym podmiotom, by zaniechały postępowania, które narusza niniejszą dyrektywę i nie powtarzały tego postępowania; |
| --- | --- |

c)

nakazania danym podmiotom, by zaniechały postępowania, które narusza niniejszą dyrektywę i nie powtarzały tego postępowania;

| d) | nakazania danym podmiotom, by w określony sposób i w określonym terminie zapewniły zgodność swoich środków zarządzania ryzykiem w cyberbezpieczeństwie z art. 21 lub wypełniły obowiązki zgłaszania incydentów określone w art. 23; |
| --- | --- |

d)

nakazania danym podmiotom, by w określony sposób i w określonym terminie zapewniły zgodność swoich środków zarządzania ryzykiem w cyberbezpieczeństwie z art. 21 lub wypełniły obowiązki zgłaszania incydentów określone w art. 23;

| e) | nakazania danym podmiotom, by poinformowały osoby fizyczne lub prawne, w odniesieniu do których świadczą usługi lub prowadzą działania, a których potencjalnie dotyczy poważne cyberzagrożenie, o charakterze tego zagrożenia, a także o możliwych środkach ochronnych lub naprawczych, jakie te osoby fizyczne lub prawne mogą zastosować w reakcji na to zagrożenie; |
| --- | --- |

e)

nakazania danym podmiotom, by poinformowały osoby fizyczne lub prawne, w odniesieniu do których świadczą usługi lub prowadzą działania, a których potencjalnie dotyczy poważne cyberzagrożenie, o charakterze tego zagrożenia, a także o możliwych środkach ochronnych lub naprawczych, jakie te osoby fizyczne lub prawne mogą zastosować w reakcji na to zagrożenie;

| f) | nakazania danym podmiotom, by w rozsądnym terminie wdrożyły zalecenia wydane w wyniku audytu bezpieczeństwa; |
| --- | --- |

f)

nakazania danym podmiotom, by w rozsądnym terminie wdrożyły zalecenia wydane w wyniku audytu bezpieczeństwa;

| g) | nakazania danym podmiotom, by w określony sposób podały do wiadomości publicznej informacje o naruszeniach przez nie niniejszej dyrektywy; |
| --- | --- |

g)

nakazania danym podmiotom, by w określony sposób podały do wiadomości publicznej informacje o naruszeniach przez nie niniejszej dyrektywy;

| h) | zastosowania lub zwrócenia się o zastosowanie przez właściwe organy lub sądy, zgodnie z prawem krajowym, administracyjnej kary pieniężnej na podstawie art. 34 oprócz środków, o których mowa w lit. a)–g) niniejszego ustępu. |
| --- | --- |

h)

zastosowania lub zwrócenia się o zastosowanie przez właściwe organy lub sądy, zgodnie z prawem krajowym, administracyjnej kary pieniężnej na podstawie art. 34 oprócz środków, o których mowa w lit. a)–g) niniejszego ustępu.

5.   Art. 32 ust. 6, 7 i 8 stosuje się odpowiednio do środków nadzoru i egzekwowania przepisów określonych w niniejszym artykule w odniesieniu do podmiotów ważnych.

6.   Państwa członkowskie zapewniają, by ich właściwe organy zgodnie z niniejszą dyrektywą współpracowały z odpowiednimi właściwymi organami zainteresowanego państwa członkowskiego zgodnie z rozporządzeniem (UE) 2022/2554. W szczególności państwa członkowskie zapewniają, by ich właściwe organy na mocy niniejszej dyrektywy informowały forum nadzoru, ustanowione zgodnie z art. 32 ust. 1 rozporządzenia (UE) 2022/2554, gdy wykonują uprawnienia w zakresie nadzoru i egzekwowania przepisów, by zapewnić przestrzeganie niniejszej dyrektywy przez podmiot ważny, wyznaczony jako kluczowy dostawca usług ICT będący osobą trzecią zgodnie z art. 31 rozporządzenia (UE) 2022/2554.

Artykuł 34

Ogólne warunki nakładania administracyjnych kar pieniężnych na podmioty kluczowe i ważne

1.   Państwa członkowskie zapewniają, by administracyjne kary pieniężne nakładane na podmioty kluczowe i ważne zgodnie z niniejszym artykułem za naruszenia niniejszej dyrektywy były skuteczne, proporcjonalne i odstraszające, stosownie do okoliczności każdego indywidualnego przypadku.

2.   Administracyjne kary pieniężne nakłada się niezależnie od środków, o których mowa w art. 32 ust. 4 lit. a)–h), art. 32 ust. 5 i art. 33 ust. 4 lit. a)–g).

3.   Podejmując decyzję o nałożeniu administracyjnej kary pieniężnej i o jej wysokości, w każdym indywidualnym przypadku należycie uwzględnia się co najmniej elementy wymienione w art. 32 ust. 7.

4.   Państwa członkowskie zapewniają, by podmioty kluczowe dokonujące naruszeń art. 21 lub 23 podlegały zgodnie z ust. 2 i 3 niniejszego artykułu administracyjnym karom pieniężnym w maksymalnej wysokości co najmniej 10 000 000 EUR lub co najmniej 2 % łącznego rocznego światowego obrotu w poprzednim roku obrotowym przedsiębiorstwa, do którego należy podmiot kluczowy, przy czym zastosowanie ma kwota wyższa.

5.   Państwa członkowskie zapewniają, by podmioty ważne dokonujące naruszeń art. 21 lub 23 podlegały zgodnie z ust. 2 i 3 niniejszego artykułu administracyjnym karom pieniężnym w maksymalnej wysokości co najmniej 7 000 000 EUR lub 1,4 % łącznego rocznego światowego obrotu w poprzednim roku obrotowym przedsiębiorstwa, do którego należy podmiot ważny, przy czym zastosowanie ma kwota wyższa.

6.   Państwa członkowskie mogą przewidzieć uprawnienie do nakładania okresowych kar pieniężnych w celu przymuszenia podmiotu kluczowego lub ważnego do zaprzestania naruszenia niniejszej dyrektywy zgodnie z wcześniejszą decyzją właściwego organu.

7.   Bez uszczerbku dla uprawnień właściwych organów na mocy art. 32 i 33, każde państwo członkowskie może ustanowić przepisy określające, czy i w jakim zakresie administracyjne kary pieniężne można nakładać na podmioty administracji publicznej.

8.   Jeżeli system prawny danego państwa członkowskiego nie przewiduje administracyjnych kar pieniężnych, to państwo członkowskie zapewnia takie stosowanie niniejszego artykułu, by o nałożenie kary pieniężnej wnosił właściwy organ, a nakładał ją właściwy sąd krajowy, przy zapewnieniu skuteczności tych rozwiązań prawnych i równoważności ich skutku względem administracyjnej kary pieniężnej nakładanej przez właściwe organy. W każdym przypadku nakładane kary pieniężne muszą być skuteczne, proporcjonalne i odstraszające. Do dnia 17 października 2024 r. państwo członkowskie powiadamia Komisję o przepisach, które przyjęło zgodnie z niniejszym ustępem, oraz niezwłocznie powiadamia o późniejszych przepisach zmieniających lub zmianach mających na nie wpływ.

Artykuł 35

Naruszenia pociągające za sobą naruszenie ochrony danych osobowych

1.   Jeżeli w czasie nadzoru lub egzekwowania przepisów właściwe organy powzięły wiedzę, że naruszenie przez podmiot kluczowy lub ważny obowiązków określonych w art. 21 i 23 niniejszej dyrektywy może pociągać za sobą naruszenie ochrony danych osobowych zdefiniowane w art. 4 pkt 12 rozporządzenia (UE) 2016/679, które podlega zgłoszeniu na podstawie art. 33 tego rozporządzenia, bez zbędnej zwłoki informują o tym organy nadzorcze, o których mowa w art. 55 i 56 tego rozporządzenia.

2.   Jeżeli organy nadzorcze, o których mowa w art. 55 lub 56 rozporządzenia (UE) 2016/679, nałożą administracyjną karę pieniężną na podstawie art. 58 ust. 2 lit. i) tego rozporządzenia, właściwe organy nie nakładają na podstawie art. 34 niniejszej dyrektywy administracyjnej kary pieniężnej za naruszenie, o którym mowa w ust. 1 niniejszego artykułu, wynikające z tego samego zachowania, za które nałożono administracyjną karę pieniężną na podstawie art. 58 ust. 2 lit. i) rozporządzenia (UE) 2016/679. Właściwe organy mogą jednak zastosować środki egzekwowania przepisów, określone w art. 32 ust. 4 lit. a)–h), art. 32 ust. 5 i art. 33 ust. 4 lit. a)–g) niniejszej dyrektywy.

3.   Jeżeli organ nadzorczy właściwy na mocy rozporządzenia (UE) 2016/679 jest ustanowiony w innym państwie członkowskim niż właściwy organ, właściwy organ informuje organ nadzorczy ustanowiony w jego państwie członkowskim o naruszeniu ochrony danych osobowych, o którym mowa w ust. 1.

Artykuł 36

Kary

Państwa członkowskie ustanawiają przepisy dotyczące kar mających zastosowanie w przypadku naruszeń przepisów i środków krajowych przyjętych na podstawie niniejszej dyrektywy i wprowadzają wszelkie środki niezbędne do zapewnienia wykonywania tych sankcji. Przewidziane kary muszą być skuteczne, proporcjonalne i odstraszające. Państwa członkowskie najpóźniej do dnia 17 stycznia 2025 r. powiadamiają Komisję o tych przepisach i środkach, a następnie niezwłocznie powiadamiają ją o zmianach mających na nie wpływ.

Artykuł 37

Wzajemna pomoc

1.   Jeżeli podmiot świadczy usługi w więcej niż jednym państwie członkowskim lub świadczy usługi w co najmniej jednym państwie członkowskim, a jego sieć i systemy informatyczne są zlokalizowane w co najmniej jednym innym państwie członkowskim, właściwe organy zainteresowanych państw członkowskich współpracują ze sobą i udzielają sobie wzajemnie pomocy, odpowiednio do potrzeb. Współpraca ta obejmuje co najmniej następujące kwestie:

| a) | właściwe organy stosujące środki nadzoru lub egzekwowania przepisów w państwie członkowskim informują – za pośrednictwem pojedynczego punktu kontaktowego – właściwe organy w pozostałych zainteresowanych państwach członkowskich o zastosowanych środkach nadzoru i egzekwowania przepisów i konsultują się z tymi właściwymi organami w tej sprawie; |
| --- | --- |

a)

właściwe organy stosujące środki nadzoru lub egzekwowania przepisów w państwie członkowskim informują – za pośrednictwem pojedynczego punktu kontaktowego – właściwe organy w pozostałych zainteresowanych państwach członkowskich o zastosowanych środkach nadzoru i egzekwowania przepisów i konsultują się z tymi właściwymi organami w tej sprawie;

| b) | właściwy organ może zwrócić się do innego właściwego organu o zastosowanie środków nadzoru lub egzekwowania przepisów; |
| --- | --- |

b)

właściwy organ może zwrócić się do innego właściwego organu o zastosowanie środków nadzoru lub egzekwowania przepisów;

| c) | właściwy organ po otrzymaniu uzasadnionego wniosku od innego właściwego organu udziela temu innemu właściwemu organowi pomocy współmiernej do swoich zasobów, tak by można było skutecznie, wydajnie i spójnie wdrożyć środki nadzoru lub egzekwowania przepisów. |
| --- | --- |

c)

właściwy organ po otrzymaniu uzasadnionego wniosku od innego właściwego organu udziela temu innemu właściwemu organowi pomocy współmiernej do swoich zasobów, tak by można było skutecznie, wydajnie i spójnie wdrożyć środki nadzoru lub egzekwowania przepisów.

Wzajemna pomoc, o której mowa w akapicie pierwszym lit. c), może obejmować wnioski o udzielenie informacji i zastosowanie środków nadzoru, w tym wnioski o przeprowadzenie kontroli na miejscu lub nadzoru zewnętrznego lub ukierunkowanych audytów bezpieczeństwa. Właściwy organ, do którego skierowany jest wniosek o pomoc, nie może odmówić wykonania tego wniosku, chyba że zostanie ustalone, że organ ten nie jest organem właściwym do udzielenia pomocy, której dotyczy wniosek, że pomoc ta jest niewspółmierna do zadań nadzorczych właściwego organu lub że wniosek dotyczy informacji lub obejmuje działania, których ujawnienie lub wykonanie byłoby sprzeczne z podstawowymi interesami państwa członkowskiego w zakresie bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronnością. Zanim właściwy organ odmówi wykonania wniosku, zasięga opinii innych zainteresowanych właściwych organów, a na wniosek jednego z zainteresowanych państw członkowskich – także opinii Komisji i ENISA.

2.   W stosownych przypadkach i za obopólnym porozumieniem właściwe organy z różnych państw członkowskich mogą prowadzić wspólne działania nadzorcze.

ROZDZIAŁ VIII

AKTY DELEGOWANE I WYKONAWCZE

Artykuł 38

Wykonywanie przekazanych uprawnień

1.   Powierzenie Komisji uprawnień do przyjmowania aktów delegowanych podlega warunkom określonym w niniejszym artykule.

2.   Uprawnienia do przyjmowania aktów delegowanych, o których mowa w art. 24 ust. 2, powierza się Komisji na okres pięciu lat od 16 stycznia 2023 r.

3.   Przekazanie uprawnień, o którym mowa w art. 24 ust. 2, może zostać odwołane w dowolnym momencie przez Parlament Europejski lub przez Radę. Decyzja o odwołaniu kończy przekazanie określonych w niej uprawnień. Decyzja o odwołaniu staje się skuteczna następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej lub w późniejszym terminie określonym w tej decyzji. Nie wpływa ona na ważność już obowiązujących aktów delegowanych.

4.   Przed przyjęciem aktu delegowanego Komisja konsultuje się z ekspertami wyznaczonymi przez każde państwo członkowskie zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym w sprawie lepszego stanowienia prawa z dnia 13 kwietnia 2016 r.

5.   Niezwłocznie po przyjęciu aktu delegowanego Komisja przekazuje go równocześnie Parlamentowi Europejskiemu i Radzie.

6.   Akt delegowany przyjęty na podstawie art. 24 ust. 2 wchodzi w życie tylko wówczas, gdy ani Parlament Europejski, ani Rada nie wyraziły sprzeciwu w terminie dwóch miesięcy od przekazania tego aktu Parlamentowi Europejskiemu i Radzie, lub gdy, przed upływem tego terminu, zarówno Parlament Europejski, jak i Rada poinformowały Komisję, że nie wniosą sprzeciwu. Termin ten przedłuża się o dwa miesiące z inicjatywy Parlamentu Europejskiego lub Rady.

Artykuł 39

Procedura komitetowa

1.   Komisję wspomaga komitet. Komitet ten jest komitetem w rozumieniu rozporządzenia (UE) nr 182/2011.

2.   W przypadku odesłania do niniejszego ustępu stosuje się art. 5 rozporządzenia (UE) nr 182/2011.

3.   W przypadku gdy opinia komitetu ma zostać uzyskana w drodze procedury pisemnej, procedura ta kończy się bez osiągnięcia rezultatu, gdy – przed upływem terminu na wydanie opinii – zdecyduje o tym przewodniczący komitetu lub wniesie o to członek komitetu.

ROZDZIAŁ IX

PRZEPISY KOŃCOWE

Artykuł 40

Przegląd

Do dnia 17 października 2027 r., a następnie co 36 miesięcy Komisja przeprowadza przegląd funkcjonowania niniejszej dyrektywy i składa Parlamentowi Europejskiemu i Radzie sprawozdanie na ten temat. W sprawozdaniu ocenia się w szczególności znaczenie wielkości danych podmiotów oraz sektorów, podsektorów, rodzaju podmiotu, o którym mowa w załącznikach I i II, dla funkcjonowania gospodarki i społeczeństwa w kontekście cyberbezpieczeństwa. W tym celu oraz z myślą o dalszym rozwijaniu współpracy strategicznej i operacyjnej Komisja bierze pod uwagę sprawozdania Grupy Współpracy i sieci CSIRT na temat doświadczeń zdobytych na poziomie strategicznym i operacyjnym. Sprawozdaniu towarzyszy w razie potrzeby wniosek ustawodawczy.

Artykuł 41

Transpozycja

1.   Do dnia 17 października 2024 r. państwa członkowskie przyjmują i publikują przepisy niezbędne do wykonania niniejszej dyrektywy. Niezwłocznie powiadamiają one o tym Komisję.

Państwa członkowskie stosują te przepisy od dnia 18 października 2024 r.

2.   Przepisy, o których mowa w ust. 1, przyjęte przez państwa członkowskie zawierają odniesienie do niniejszej dyrektywy lub odniesienie takie towarzyszy ich urzędowej publikacji. Sposób dokonywania takiego odniesienia określany jest przez państwa członkowskie.

Artykuł 42

Zmiana rozporządzenia (UE) nr 910/2014

W rozporządzeniu (UE) nr 910/2014 uchyla się art. 19 ze skutkiem od dnia 18 października 2024 r.

Artykuł 43

Zmiana dyrektywy (UE) 2018/1972

W dyrektywie (UE) 2018/1972 uchyla się art. 40 i 41 ze skutkiem od dnia 18 października 2024 r.

Artykuł 44

Uchylenie

Dyrektywa (UE) 2016/1148 traci moc ze skutkiem od dnia 18 października 2024 r.

Odesłania do uchylonej dyrektywy uznaje się za odesłania do niniejszej dyrektywy i odczytuje się zgodnie z tabelą korelacji w załączniku III.

Artykuł 45

Wejście w życie

Niniejsza dyrektywa wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Dzienniku Urzędowym Unii Europejskiej

Artykuł 46

Adresaci

Niniejsza dyrektywa skierowana jest do państw członkowskich.

Sporządzono w Strasburgu dnia 14 grudnia 2022 r.

W imieniu Parlamentu Europejskiego

Przewodnicząca

R. METSOLA

W imieniu Rady

Przewodniczący

M. BEK

---

(1)  
  Dz.U. C 233 z 16.6.2022, s. 22.

1

(2)  
  Dz.U. C 286 z 16.7.2021, s. 170.

2

(3)  Stanowisko Parlamentu Europejskiego z dnia 10 listopada 2022 r. (dotychczas nieopublikowane w Dzienniku Urzędowym) oraz decyzja Rady z dnia 28 listopada 2022 r.

3

(4)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz.U. L 194 z 19.7.2016, s. 1).

4

(5)  Zalecenie Komisji 2003/361/WE z dnia 6 maja 2003 r. dotyczące definicji mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw (Dz.U. L 124 z 20.5.2003, s. 36).

5

(6)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylające dyrektywę 1999/93/WE (Dz.U. L 257 z 28.8.2014, s. 73).

6

(7)  Dyrektywa 97/67/WE Parlamentu Europejskiego i Rady z dnia 15 grudnia 1997 r. w sprawie wspólnych zasad rozwoju rynku wewnętrznego usług pocztowych Wspólnoty oraz poprawy jakości usług (Dz.U. L 15 z 21.1.1998, s. 14).

7

(8)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1).

8

(9)  Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U. L 201 z 31.7.2002, s. 37).

9

(10)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (zob. s. 1 niniejszego Dziennika Urzędowego).

10

(11)  Rozporządzenie Parlamentu Europejskiego i Rady (WE) nr 300/2008 z dnia 11 marca 2008 r. w sprawie wspólnych zasad w dziedzinie ochrony lotnictwa cywilnego i uchylające rozporządzenie (WE) nr 2320/2002 (Dz.U. L 97 z 9.4.2008, s. 72).

11

(12)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1139 z dnia 4 lipca 2018 r. w sprawie wspólnych zasad w dziedzinie lotnictwa cywilnego i utworzenia Agencji Unii Europejskiej ds. Bezpieczeństwa Lotniczego oraz zmieniające rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 2111/2005, (WE) nr 1008/2008, (UE) nr 996/2010, (UE) nr 376/2014 i dyrektywy Parlamentu Europejskiego i Rady 2014/30/UE i 2014/53/UE, a także uchylające rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 552/2004 i (WE) nr 216/2008 i rozporządzenie Rady (EWG) nr 3922/91 (Dz.U. L 212 z 22.8.2018, s. 1).

12

(13)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych i uchylająca dyrektywę Rady 2008/114/WE (zob. s. 164 niniejszego Dziennika Urzędowego).

13

(14)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/696 z dnia 28 kwietnia 2021 r. ustanawiające program kosmiczny Unii i Agencję Unii Europejskiej ds. Programu Kosmicznego oraz uchylające rozporządzenia (UE) nr 912/2010, (UE) nr 1285/2013, (UE) nr 377/2014 i decyzję nr 541/2014/UE (Dz.U. L 170 z 12.5.2021, s. 69).

14

(15)  Zalecenie Komisji (UE) 2017/1584 z dnia 13 września 2017 r. w sprawie skoordynowanego reagowania na incydenty i kryzysy cybernetyczne na dużą skalę (Dz.U. L239 z 19.9.2017, s. 36).

15

(16)  Decyzja wykonawcza Rady (UE) 2018/1993 z dnia 11 grudnia 2018 r. w sprawie zintegrowanych uzgodnień UE dotyczących reagowania na szczeblu politycznym w sytuacjach kryzysowych (Dz.U. L 320 z 17.12.2018, s. 28).

16

(17)  Decyzja Parlamentu Europejskiego i Rady nr 1313/2013/UE z dnia 17 grudnia 2013 r. w sprawie Unijnego Mechanizmu Ochrony Ludności (Dz.U. L 347 z 20.12.2013, s. 924).

17

(18)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/881 z dnia 17 kwietnia 2019 r. w sprawie ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno-komunikacyjnych oraz uchylenia rozporządzenia (UE) nr 526/2013 (akt o cyberbezpieczeństwie) (Dz.U. L 151 z 7.6.2019, s. 15).

18

(19)  Zalecenie Komisji (UE) 2019/534 z dnia 26 marca 2019 r. w sprawie cyberbezpieczeństwa sieci 5G (Dz.U. L 88 z 29.3.2019, s. 42).

19

(20)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2018/1972 z dnia 11 grudnia 2018 r. ustanawiająca Europejski kodeks łączności elektronicznej (Dz.U. L 321 z 17.12.2018, s. 36).

20

(21)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/694 z dnia 29 kwietnia 2021 r. ustanawiające program „Cyfrowa Europa” oraz uchylające decyzję (UE) 2015/2240 (Dz.U. L 166 z 11.5.2021, s. 1).

21

(22)  
  Dz.U. L 123 z 12.5.2016, s. 1.

22

(23)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 182/2011 z dnia 16 lutego 2011 r. ustanawiające przepisy i zasady ogólne dotyczące trybu kontroli przez państwa członkowskie wykonywania uprawnień wykonawczych przez Komisję (Dz.U. L 55 z 28.2.2011, s. 13).

23

(24)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2065 z dnia 19 października 2022 r. w sprawie jednolitego rynku usług cyfrowych i zmieniające dyrektywę 2000/31/WE (akt o usługach cyfrowych) (Dz.U. L 277 z 27.10.2022, s. 1).

24

(25)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39).

25

(26)  
  Dz.U. C 183 z 11.5.2021, s. 3.

26

(27)  Dyrektywa Parlamentu Europejskiego i Rady 2011/93/UE z dnia 13 grudnia 2011 r. w sprawie zwalczania niegodziwego traktowania w celach seksualnych i wykorzystywania seksualnego dzieci oraz pornografii dziecięcej, zastępująca decyzję ramową Rady 2004/68/WSiSW (Dz.U. L 335 z 17.12.2011, s. 1).

27

(28)  Dyrektywa Parlamentu Europejskiego i Rady 2013/40/UE z dnia 12 sierpnia 2013 r. dotycząca ataków na systemy informatyczne i zastępująca decyzję ramową Rady 2005/222/WSiSW (Dz.U. L 218 z 14.8.2013, s. 8).

28

(29)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1025/2012 z dnia 25 października 2012 r. w sprawie normalizacji europejskiej, zmieniające dyrektywy Rady 89/686/EWG i 93/15/EWG oraz dyrektywy Parlamentu Europejskiego i Rady 94/9/WE, 94/25/WE, 95/16/WE, 97/23/WE, 98/34/WE, 2004/22/WE, 2007/23/WE, 2009/23/WE i 2009/105/WE oraz uchylające decyzję Rady 87/95/EWG i decyzję Parlamentu Europejskiego i Rady nr 1673/2006/WE (Dz.U. L 316 z 14.11.2012, s. 12).

29

(30)  Dyrektywa (UE) 2015/1535 Parlamentu Europejskiego i Rady z dnia 9 września 2015 r. ustanawiająca procedurę udzielania informacji w dziedzinie przepisów technicznych oraz zasad dotyczących usług społeczeństwa informacyjnego (Dz.U. L 241 z 17.9.2015, s. 1).

30

(31)  Dyrektywa 2005/29/WE Parlamentu Europejskiego i Rady z dnia 11 maja 2005 r. dotycząca nieuczciwych praktyk handlowych stosowanych przez przedsiębiorstwa wobec konsumentów na rynku wewnętrznym oraz zmieniająca dyrektywę Rady 84/450/EWG, dyrektywy 97/7/WE, 98/27/WE i 2002/65/WE Parlamentu Europejskiego i Rady oraz rozporządzenie (WE) nr 2006/2004 Parlamentu Europejskiego i Rady (dyrektywa o nieuczciwych praktykach handlowych) (Dz.U. L 149 z 11.6.2005, s. 22).

31

(32)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/1150 z dnia 20 czerwca 2019 r. w sprawie propagowania sprawiedliwości i przejrzystości dla użytkowników biznesowych korzystających z usług pośrednictwa internetowego (Dz.U. L 186 z 11.7.2019, s. 57).

32

---

ZAŁĄCZNIK I

SEKTORY KLUCZOWE

| Sektor | Podsektor | Rodzaj podmiotu |
| --- | --- | --- |
| 1. | Energetyka |

Sektor

Podsektor

Rodzaj podmiotu

1.

Energetyka

| a) | energia elektryczna |
| --- | --- |

a)

energia elektryczna

| — | przedsiębiorstwa energetyczne zgodnie z definicją w art. 2 pkt 57 dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/944  (1), wykonujące funkcję dostaw zgodnie z definicją w art. 2 pkt 12 tej dyrektywy |
| --- | --- |

—

przedsiębiorstwa energetyczne zgodnie z definicją w art. 2 pkt 57 dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/944  (1), wykonujące funkcję dostaw zgodnie z definicją w art. 2 pkt 12 tej dyrektywy

| — | operatorzy systemów dystrybucyjnych zgodnie z definicją w art. 2 pkt 29 dyrektywy (UE) 2019/944 |
| --- | --- |

—

operatorzy systemów dystrybucyjnych zgodnie z definicją w art. 2 pkt 29 dyrektywy (UE) 2019/944

| — | operatorzy systemów przesyłowych zgodnie z definicją w art. 2 pkt 35 dyrektywy (UE) 2019/944 |
| --- | --- |

—

operatorzy systemów przesyłowych zgodnie z definicją w art. 2 pkt 35 dyrektywy (UE) 2019/944

| — | wytwórcy zgodnie z definicją w art. 2 pkt 38 dyrektywy (UE) 2019/944 |
| --- | --- |

—

wytwórcy zgodnie z definicją w art. 2 pkt 38 dyrektywy (UE) 2019/944

| — | wyznaczeni operatorzy rynku energii elektrycznej zgodnie z definicją w art. 2 pkt 8 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/943  (2) |
| --- | --- |

—

wyznaczeni operatorzy rynku energii elektrycznej zgodnie z definicją w art. 2 pkt 8 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/943  (2)

| — | uczestnicy rynku zgodnie z definicją w art. 2 pkt 25 rozporządzenia (UE) 2019/943 świadczący usługi agregacji, odpowiedzi odbioru lub magazynowania energii zgodnie z definicją w art. 2 pkt 18, 20 i 59 dyrektywy (UE) 2019/944 |
| --- | --- |

—

uczestnicy rynku zgodnie z definicją w art. 2 pkt 25 rozporządzenia (UE) 2019/943 świadczący usługi agregacji, odpowiedzi odbioru lub magazynowania energii zgodnie z definicją w art. 2 pkt 18, 20 i 59 dyrektywy (UE) 2019/944

| — | operatorzy punktów ładowania odpowiedzialni za zarządzanie punktem ładowania i jego obsługę, świadczący usługę ładowania użytkownikom końcowym, w tym w imieniu i na rzecz dostawcy usług w zakresie mobilności |
| --- | --- |

—

operatorzy punktów ładowania odpowiedzialni za zarządzanie punktem ładowania i jego obsługę, świadczący usługę ładowania użytkownikom końcowym, w tym w imieniu i na rzecz dostawcy usług w zakresie mobilności

| b) | system ciepłowniczy lub chłodniczy |
| --- | --- |

b)

system ciepłowniczy lub chłodniczy

| — | operatorzy systemów ciepłowniczych lub chłodniczych zgodnie z definicją w art. 2 pkt 19 dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/2001  (3) |
| --- | --- |

—

operatorzy systemów ciepłowniczych lub chłodniczych zgodnie z definicją w art. 2 pkt 19 dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/2001  (3)

| c) | ropa naftowa |
| --- | --- |

c)

ropa naftowa

| — | operatorzy ropociągów |
| --- | --- |

—

operatorzy ropociągów

| — | operatorzy instalacji służących do produkcji, rafinacji, przetwarzania, magazynowania i przesyłu ropy naftowej |
| --- | --- |

—

operatorzy instalacji służących do produkcji, rafinacji, przetwarzania, magazynowania i przesyłu ropy naftowej

| — | krajowe centrale zapasów zgodnie z definicją w art. 2 lit. f) dyrektywy Rady 2009/119/WE  (4) |
| --- | --- |

—

krajowe centrale zapasów zgodnie z definicją w art. 2 lit. f) dyrektywy Rady 2009/119/WE  (4)

| d) | gaz |
| --- | --- |

d)

gaz

| — | przedsiębiorstwa dostarczające gaz zgodnie z definicją w art. 2 pkt 8 dyrektywy Parlamentu Europejskiego i Rady 2009/73/WE  (5) |
| --- | --- |

—

przedsiębiorstwa dostarczające gaz zgodnie z definicją w art. 2 pkt 8 dyrektywy Parlamentu Europejskiego i Rady 2009/73/WE  (5)

| — | operatorzy systemów dystrybucyjnych zgodnie z definicją w art. 2 pkt 6 dyrektywy 2009/73/WE |
| --- | --- |

—

operatorzy systemów dystrybucyjnych zgodnie z definicją w art. 2 pkt 6 dyrektywy 2009/73/WE

| — | operatorzy systemów przesyłowych zgodnie z definicją w art. 2 pkt 4 dyrektywy 2009/73/WE |
| --- | --- |

—

operatorzy systemów przesyłowych zgodnie z definicją w art. 2 pkt 4 dyrektywy 2009/73/WE

| — | operatorzy systemów magazynowania zgodnie z definicją w art. 2 pkt 10 dyrektywy 2009/73/WE |
| --- | --- |

—

operatorzy systemów magazynowania zgodnie z definicją w art. 2 pkt 10 dyrektywy 2009/73/WE

| — | operatorzy systemów LNG zgodnie z definicją w art. 2 pkt 12 dyrektywy 2009/73/WE |
| --- | --- |

—

operatorzy systemów LNG zgodnie z definicją w art. 2 pkt 12 dyrektywy 2009/73/WE

| — | przedsiębiorstwa gazowe zgodnie z definicją w art. 2 pkt 1 dyrektywy 2009/73/WE |
| --- | --- |

—

przedsiębiorstwa gazowe zgodnie z definicją w art. 2 pkt 1 dyrektywy 2009/73/WE

| — | operatorzy instalacji służących do rafinacji i przetwarzania gazu ziemnego |
| --- | --- |

—

operatorzy instalacji służących do rafinacji i przetwarzania gazu ziemnego

| e) | wodór |
| --- | --- |

e)

wodór

| — | operatorzy instalacji służących do produkcji, magazynowania i przesyłu wodoru |
| --- | --- |

—

operatorzy instalacji służących do produkcji, magazynowania i przesyłu wodoru

| 2. | Transport |
| --- | --- |

2.

Transport

| a) | transport lotniczy |
| --- | --- |

a)

transport lotniczy

| — | przewoźnicy lotniczy zgodnie z definicją w art. 3 pkt 4 rozporządzenia (WE) nr 300/2008, wykorzystywani do celów komercyjnych |
| --- | --- |

—

przewoźnicy lotniczy zgodnie z definicją w art. 3 pkt 4 rozporządzenia (WE) nr 300/2008, wykorzystywani do celów komercyjnych

| — | zarządzający portem lotniczym zgodnie z definicją w art. 2 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2009/12/WE  (6), porty lotnicze zgodnie z definicją w art. 2 pkt 1 tej dyrektywy, w tym porty bazowe wymienione w sekcji 2 załącznika II do rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1315/2013  (7); oraz jednostki obsługujące urządzenia pomocnicze znajdujące się w portach lotniczych |
| --- | --- |

—

zarządzający portem lotniczym zgodnie z definicją w art. 2 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2009/12/WE  (6), porty lotnicze zgodnie z definicją w art. 2 pkt 1 tej dyrektywy, w tym porty bazowe wymienione w sekcji 2 załącznika II do rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1315/2013  (7); oraz jednostki obsługujące urządzenia pomocnicze znajdujące się w portach lotniczych

| — | operatorzy zarządzający ruchem lotniczym zapewniający służbę kontroli ruchu lotniczego (ATC) zgodnie z definicją w art. 2 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 549/2004  (8) |
| --- | --- |

—

operatorzy zarządzający ruchem lotniczym zapewniający służbę kontroli ruchu lotniczego (ATC) zgodnie z definicją w art. 2 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 549/2004  (8)

| b) | transport kolejowy |
| --- | --- |

b)

transport kolejowy

| — | zarządcy infrastruktury zgodnie z definicją w art. 3 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2012/34/UE  (9) |
| --- | --- |

—

zarządcy infrastruktury zgodnie z definicją w art. 3 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2012/34/UE  (9)

| — | przedsiębiorstwa kolejowe zgodnie z definicją w art. 3 pkt 1 dyrektywy 2012/34/UE, w tym operatorzy infrastruktury kolejowej zdefiniowanej w art. 3 pkt 12 tej dyrektywy |
| --- | --- |

—

przedsiębiorstwa kolejowe zgodnie z definicją w art. 3 pkt 1 dyrektywy 2012/34/UE, w tym operatorzy infrastruktury kolejowej zdefiniowanej w art. 3 pkt 12 tej dyrektywy

| c) | transport wodny |
| --- | --- |

c)

transport wodny

| — | armatorzy śródlądowego, morskiego i przybrzeżnego wodnego transportu pasażerów i towarów zgodnie z definicją dla transportu morskiego w załączniku I do rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 725/2004  (10), z wyłączeniem poszczególnych statków, na których prowadzą działalność ci armatorzy |
| --- | --- |

—

armatorzy śródlądowego, morskiego i przybrzeżnego wodnego transportu pasażerów i towarów zgodnie z definicją dla transportu morskiego w załączniku I do rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 725/2004  (10), z wyłączeniem poszczególnych statków, na których prowadzą działalność ci armatorzy

| — | organy zarządzające portami zgodnie z definicją w art. 3 pkt 1 dyrektywy Parlamentu Europejskiego i Rady 2005/65/WE  (11), w tym ich obiekty portowe zgodnie z definicją w art. 2 pkt 11 rozporządzenia (WE) nr 725/2004; oraz jednostki wykonujące prace i operujące sprzętem znajdującym się w tych portach |
| --- | --- |

—

organy zarządzające portami zgodnie z definicją w art. 3 pkt 1 dyrektywy Parlamentu Europejskiego i Rady 2005/65/WE  (11), w tym ich obiekty portowe zgodnie z definicją w art. 2 pkt 11 rozporządzenia (WE) nr 725/2004; oraz jednostki wykonujące prace i operujące sprzętem znajdującym się w tych portach

| — | operatorzy systemów ruchu statków (SRS) zgodnie z definicją w art. 3 lit. o) dyrektywy 2002/59/WE Parlamentu Europejskiego i Rady  (12) |
| --- | --- |

—

operatorzy systemów ruchu statków (SRS) zgodnie z definicją w art. 3 lit. o) dyrektywy 2002/59/WE Parlamentu Europejskiego i Rady  (12)

| d) | transport drogowy |
| --- | --- |

d)

transport drogowy

| — | organy administracji drogowej zgodnie z definicją w art. 2 pkt 12 rozporządzenia delegowanego Komisji (UE) 2015/962  (13) odpowiedzialne za zarządzanie ruchem drogowym, z wyłączeniem podmiotów publicznych, dla których zarządzanie ruchem lub obsługa inteligentnych systemów transportowych jest inną niż istotna częścią ich ogólnej działalności |
| --- | --- |

—

organy administracji drogowej zgodnie z definicją w art. 2 pkt 12 rozporządzenia delegowanego Komisji (UE) 2015/962  (13) odpowiedzialne za zarządzanie ruchem drogowym, z wyłączeniem podmiotów publicznych, dla których zarządzanie ruchem lub obsługa inteligentnych systemów transportowych jest inną niż istotna częścią ich ogólnej działalności

| — | operatorzy inteligentnych systemów transportowych zgodnie z definicją w art. 4 pkt 1 dyrektywy Parlamentu Europejskiego i Rady 2010/40/UE  (14) |
| --- | --- |

—

operatorzy inteligentnych systemów transportowych zgodnie z definicją w art. 4 pkt 1 dyrektywy Parlamentu Europejskiego i Rady 2010/40/UE  (14)

| 3. | Bankowość |
| --- | --- |

3.

Bankowość

instytucje kredytowe zgodnie z definicją w art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013  (15)

| 4. | Infrastruktura rynków finansowych |
| --- | --- |

4.

Infrastruktura rynków finansowych

| — | operatorzy systemów obrotu zgodnie z definicją w art. 4 pkt 24 dyrektywy Parlamentu Europejskiego i Rady 2014/65/UE  (16) |
| --- | --- |

—

operatorzy systemów obrotu zgodnie z definicją w art. 4 pkt 24 dyrektywy Parlamentu Europejskiego i Rady 2014/65/UE  (16)

| — | kontrahenci centralni (CCP) zgodnie z definicją w art. 2 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 648/2012  (17) |
| --- | --- |

—

kontrahenci centralni (CCP) zgodnie z definicją w art. 2 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 648/2012  (17)

| 5. | Opieka zdrowotna |
| --- | --- |

5.

Opieka zdrowotna

| — | świadczeniodawcy zgodnie z definicją w art. 3 lit. g) dyrektywy Parlamentu Europejskiego i Rady 2011/24/UE  (18) |
| --- | --- |

—

świadczeniodawcy zgodnie z definicją w art. 3 lit. g) dyrektywy Parlamentu Europejskiego i Rady 2011/24/UE  (18)

| — | laboratoria referencyjne UE, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2371  (19) |
| --- | --- |

—

laboratoria referencyjne UE, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2371  (19)

| — | podmioty prowadzące działalność badawczo-rozwojową w zakresie produktów leczniczych zdefiniowanych w art. 1 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2001/83/WE  (20) |
| --- | --- |

—

podmioty prowadzące działalność badawczo-rozwojową w zakresie produktów leczniczych zdefiniowanych w art. 1 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2001/83/WE  (20)

| — | podmioty produkujące podstawowe substancje farmaceutyczne oraz leki i pozostałe wyroby farmaceutyczne, o których mowa w sekcji C dział 21 klasyfikacji NACE Rev. 2 |
| --- | --- |

—

podmioty produkujące podstawowe substancje farmaceutyczne oraz leki i pozostałe wyroby farmaceutyczne, o których mowa w sekcji C dział 21 klasyfikacji NACE Rev. 2

| — | podmioty produkujące wyroby medyczne uznane za mające krytyczne znaczenie podczas danego stanu zagrożenia zdrowia publicznego („wykaz wyrobów medycznych o krytycznym znaczeniu w przypadku stanu zagrożenia zdrowia publicznego”) w rozumieniu art. 22 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/123  (21) |
| --- | --- |

—

podmioty produkujące wyroby medyczne uznane za mające krytyczne znaczenie podczas danego stanu zagrożenia zdrowia publicznego („wykaz wyrobów medycznych o krytycznym znaczeniu w przypadku stanu zagrożenia zdrowia publicznego”) w rozumieniu art. 22 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/123  (21)

| 6. | Woda pitna |
| --- | --- |

6.

Woda pitna

dostawcy i dystrybutorzy „wody przeznaczonej do spożycia przez ludzi” zdefiniowanej w art. 2 pkt 1 lit. a) dyrektywy Parlamentu Europejskiego i Rady (UE) 2020/2184  (22), z wyłączeniem dystrybutorów, dla których dystrybucja wody przeznaczonej do spożycia przez ludzi jest inną niż istotna częścią ich ogólnej działalności polegającej na dystrybucji innych produktów i towarów

| 7. | Ścieki |
| --- | --- |

7.

Ścieki

przedsiębiorstwa zbierające, odprowadzające lub oczyszczające ścieki komunalne, bytowe lub przemysłowe zgodnie z definicją w art. 2 pkt 1, 2 i 3 dyrektywy Rady 91/271/EWG  (23), z wyłączeniem przedsiębiorstw, dla których zbieranie, odprowadzanie lub oczyszczanie ścieków komunalnych, bytowych lub przemysłowych jest inną niż istotna częścią ich ogólnej działalności

| 8. | Infrastruktura cyfrowa |
| --- | --- |

8.

Infrastruktura cyfrowa

| — | dostawcy punktu wymiany ruchu internetowego |
| --- | --- |

—

dostawcy punktu wymiany ruchu internetowego

| — | dostawcy usług DNS, z wyłączeniem operatorów głównych serwerów nazw |
| --- | --- |

—

dostawcy usług DNS, z wyłączeniem operatorów głównych serwerów nazw

| — | rejestry nazw TLD |
| --- | --- |

—

rejestry nazw TLD

| — | dostawcy usług chmurowych |
| --- | --- |

—

dostawcy usług chmurowych

| — | dostawcy usług ośrodka przetwarzania danych |
| --- | --- |

—

dostawcy usług ośrodka przetwarzania danych

| — | dostawcy sieci dostarczania treści |
| --- | --- |

—

dostawcy sieci dostarczania treści

| — | dostawcy usług zaufania |
| --- | --- |

—

dostawcy usług zaufania

| — | dostawcy publicznych sieci łączności elektronicznej |
| --- | --- |

—

dostawcy publicznych sieci łączności elektronicznej

| — | dostawcy publicznie dostępnych usług łączności elektronicznej |
| --- | --- |

—

dostawcy publicznie dostępnych usług łączności elektronicznej

| 9. | Zarządzanie usługami ICT (między przedsiębiorstwami) |
| --- | --- |

9.

Zarządzanie usługami ICT (między przedsiębiorstwami)

| — | dostawcy usług zarządzanych |
| --- | --- |

—

dostawcy usług zarządzanych

| — | dostawcy usług zarządzanych w zakresie bezpieczeństwa |
| --- | --- |

—

dostawcy usług zarządzanych w zakresie bezpieczeństwa

| 10. | Podmioty administracji publicznej, |
| --- | --- |

10.

Podmioty administracji publicznej,

| — | podmioty administracji publicznej w ramach instytucji rządowych na szczeblu centralnym zdefiniowane przez państwo członkowskie zgodnie z prawem krajowym |
| --- | --- |

—

podmioty administracji publicznej w ramach instytucji rządowych na szczeblu centralnym zdefiniowane przez państwo członkowskie zgodnie z prawem krajowym

| — | podmioty administracji publicznej na szczeblu regionalnym zdefiniowane przez państwo członkowskie zgodnie z prawem krajowym |
| --- | --- |

—

podmioty administracji publicznej na szczeblu regionalnym zdefiniowane przez państwo członkowskie zgodnie z prawem krajowym

| 11. | Przestrzeń kosmiczna |
| --- | --- |

11.

Przestrzeń kosmiczna

operatorzy infrastruktury naziemnej należącej do, zarządzanej i obsługiwanej przez państwa członkowskie lub podmioty prywatne, które wspierają świadczenie usług kosmicznych, z wyjątkiem dostawców publicznych sieci łączności elektronicznej

---

(1)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/944 z dnia 5 czerwca 2019 r. w sprawie wspólnych zasad rynku wewnętrznego energii elektrycznej oraz zmieniająca dyrektywę 2012/27/UE (Dz.U. L 158 z 14.6.2019, s. 125).

(2)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/943 z dnia 5 czerwca 2019 r. w sprawie rynku wewnętrznego energii elektrycznej (Dz.U. L 158 z 14.6.2019, s. 54).

(3)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2018/2001 z dnia 11 grudnia 2018 r. w sprawie promowania stosowania energii ze źródeł odnawialnych (Dz.U. L 328 z 21.12.2018, s. 82).

(4)  Dyrektywa Rady 2009/119/WE z dnia 14 września 2009 r. nakładająca na państwa członkowskie obowiązek utrzymywania minimalnych zapasów ropy naftowej lub produktów ropopochodnych (Dz.U. L 265 z 9.10.2009, s. 9).

(5)  Dyrektywa Parlamentu Europejskiego i Rady 2009/73/WE z dnia 13 lipca 2009 r. dotycząca wspólnych zasad rynku wewnętrznego gazu ziemnego i uchylająca dyrektywę 2003/55/WE (Dz.U. L 211 z 14.8.2009, s. 94).

(6)  Dyrektywa Parlamentu Europejskiego i Rady 2009/12/WE z dnia 11 marca 2009 r. w sprawie opłat lotniskowych (Dz.U. L 70 z 14.3.2009, s. 11).

(7)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1315/2013 z dnia 11 grudnia 2013 r. w sprawie unijnych wytycznych dotyczących rozwoju transeuropejskiej sieci transportowej i uchylające decyzję nr 661/2010/UE (Dz.U. L 348 z 20.12.2013, s. 1).

(8)  Rozporządzenie (WE) nr 549/2004 Parlamentu Europejskiego i Rady z dnia 10 marca 2004 r. ustanawiające ramy tworzenia Jednolitej Europejskiej Przestrzeni Powietrznej (rozporządzenie ramowe) (Dz.U. L 96 z 31.3.2004, s. 1).

(9)  Dyrektywa Parlamentu Europejskiego i Rady 2012/34/UE z dnia 21 listopada 2012 r. w sprawie utworzenia jednolitego europejskiego obszaru kolejowego (Dz.U. L 343 z 14.12.2012, s. 32).

(10)  Rozporządzenie (WE) nr 725/2004 Parlamentu Europejskiego i Rady z dnia 31 marca 2004 r. w sprawie wzmocnienia ochrony statków i obiektów portowych (Dz.U. L 129 z 29.4.2004, s. 6).

(11)  Dyrektywa 2005/65/WE Parlamentu Europejskiego i Rady z dnia 26 października 2005 r. w sprawie wzmocnienia ochrony portów (Dz.U. L 310 z 25.11.2005, s. 28).

(12)  Dyrektywa 2002/59/WE Parlamentu Europejskiego i Rady z dnia 27 czerwca 2002 r. ustanawiająca wspólnotowy system monitorowania i informacji o ruchu statków i uchylająca dyrektywę Rady 93/75/EWG (Dz.U. L 208 z 5.8.2002, s. 10).

(13)  Rozporządzenie delegowane Komisji (UE) 2015/962 z dnia 18 grudnia 2014 r. uzupełniające dyrektywę Parlamentu Europejskiego i Rady 2010/40/UE w odniesieniu do świadczenia ogólnounijnych usług informacyjnych w czasie rzeczywistym dotyczących ruchu (Dz.U. L 157 z 23.6.2015, s. 21).

(14)  Dyrektywa Parlamentu Europejskiego i Rady 2010/40/UE z dnia 7 lipca 2010 r. w sprawie ram wdrażania inteligentnych systemów transportowych w obszarze transportu drogowego oraz interfejsów z innymi rodzajami transportu (Dz.U. L 207 z 6.8.2010, s. 1).

(15)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz.U. L 176 z 27.6.2013, s. 1).

(16)  Dyrektywa Parlamentu Europejskiego i Rady 2014/65/UE z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniająca dyrektywę 2002/92/WE i dyrektywę 2011/61/UE (Dz.U. L 173 z 12.6.2014, s. 349).

(17)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 648/2012 z dnia 4 lipca 2012 r. w sprawie instrumentów pochodnych będących przedmiotem obrotu poza rynkiem regulowanym, kontrahentów centralnych i repozytoriów transakcji (Dz.U. L 201 z 27.7.2012, s. 1).

(18)  Dyrektywa Parlamentu Europejskiego i Rady 2011/24/UE z dnia 9 marca 2011 r. w sprawie stosowania praw pacjentów w transgranicznej opiece zdrowotnej (Dz.U. L 88 z 4.4.2011, s. 45).

(19)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2371 z dnia 23 listopada 2022 r. w sprawie poważnych transgranicznych zagrożeń zdrowia oraz uchylające decyzję nr 1082/2013/UE (Dz.U. L 314 z 6.12.2022, s. 26).

(20)  Dyrektywa 2001/83/WE Parlamentu Europejskiego i Rady z dnia 6 listopada 2001 r. w sprawie wspólnotowego kodeksu odnoszącego się do produktów leczniczych stosowanych u ludzi (Dz.U. L 311 z 28.11.2001, s. 67).

(21)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/123 z dnia 25 stycznia 2022 r. w sprawie wzmocnienia roli Europejskiej Agencji Leków w zakresie gotowości na wypadek sytuacji kryzysowej i zarządzania kryzysowego w odniesieniu do produktów leczniczych i wyrobów medycznych (Dz.U. L 20 z 31.1.2022, s. 1).

(22)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2020/2184 z dnia 16 grudnia 2020 r. w sprawie jakości wody przeznaczonej do spożycia przez ludzi (Dz.U. L 435 z 23.12.2020, s. 1).

(23)  Dyrektywa Rady 91/271/EWG z dnia 21 maja 1991 r. dotycząca oczyszczania ścieków komunalnych (Dz.U. L 135 z 30.5.1991, s. 40).

---

ZAŁĄCZNIK II

SEKTORY WAŻNE

| Sektor | Podsektor | Rodzaj podmiotu |
| --- | --- | --- |
| 1. | Usługi pocztowe i kurierskie |

Sektor

Podsektor

Rodzaj podmiotu

1.

Usługi pocztowe i kurierskie

operatorzy świadczący usługi pocztowe zgodnie z definicją w art. 2 pkt 1a dyrektywy 97/67/WE, w tym dostawcy usług kurierskich

| 2. | Gospodarowanie odpadami |
| --- | --- |

2.

Gospodarowanie odpadami

przedsiębiorstwa zajmujące się gospodarowaniem odpadami zgodnie z definicją w art. 3 pkt 9 dyrektywy Parlamentu Europejskiego i Rady 2008/98/WE  (1), z wyłączeniem przedsiębiorstw, dla których gospodarowanie odpadami nie stanowi głównej działalności gospodarczej

| 3. | Produkcja, wytwarzanie i dystrybucja chemikaliów |
| --- | --- |

3.

Produkcja, wytwarzanie i dystrybucja chemikaliów

przedsiębiorstwa zajmujące się produkcją substancji oraz wytwarzaniem i dystrybucją substancji lub mieszanin, o których mowa w art. 3 pkt 9 i 14 rozporządzenia (WE) nr 1907/2006 Parlamentu Europejskiego i Rady  (2), a także przedsiębiorstwa zajmujące się wytwarzaniem z substancji lub mieszanin wyrobów zgodnie z definicją w art. 3 pkt 3 tego rozporządzenia

| 4. | Produkcja, przetwarzanie i dystrybucja żywności |
| --- | --- |

4.

Produkcja, przetwarzanie i dystrybucja żywności

przedsiębiorstwa spożywcze zgodnie z definicją w art. 3 pkt 2 rozporządzenia (WE) nr 178/2002 Parlamentu Europejskiego i Rady  (3), zajmujące się dystrybucją hurtową oraz przemysłowymi produkcją i przetwarzaniem

| 5. | Produkcja |
| --- | --- |

5.

Produkcja

| a) | produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro |
| --- | --- |

a)

produkcja wyrobów medycznych i wyrobów medycznych do diagnostyki in vitro

podmioty produkujące wyroby medyczne zdefiniowane w art. 2 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/745  (4) oraz podmioty produkujące wyroby medyczne do diagnostyki in vitro zdefiniowane w art. 2 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/746  (5), z wyjątkiem podmiotów produkujących wyroby medyczne wymienione w załączniku I pkt 5 tiret piąte niniejszej dyrektywy

| b) | produkcja komputerów, wyrobów elektronicznych i optycznych |
| --- | --- |

b)

produkcja komputerów, wyrobów elektronicznych i optycznych

przedsiębiorstwa prowadzące którykolwiek z rodzajów działalności gospodarczej, o których mowa w sekcji C dział 26 klasyfikacji NACE Rev. 2

| c) | produkcja urządzeń elektrycznych |
| --- | --- |

c)

produkcja urządzeń elektrycznych

przedsiębiorstwa prowadzące którykolwiek z rodzajów działalności gospodarczej, o których mowa w sekcji C dział 27 klasyfikacji NACE Rev. 2

| d) | produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana |
| --- | --- |

d)

produkcja maszyn i urządzeń, gdzie indziej niesklasyfikowana

przedsiębiorstwa prowadzące którykolwiek z rodzajów działalności gospodarczej, o których mowa w sekcji C dział 28 klasyfikacji NACE Rev. 2

| e) | produkcja pojazdów samochodowych, przyczep i naczep |
| --- | --- |

e)

produkcja pojazdów samochodowych, przyczep i naczep

przedsiębiorstwa prowadzące którykolwiek z rodzajów działalności gospodarczej, o których mowa w sekcji C dział 29 klasyfikacji NACE Rev. 2

| f) | produkcja pozostałego sprzętu transportowego |
| --- | --- |

f)

produkcja pozostałego sprzętu transportowego

przedsiębiorstwa prowadzące którykolwiek z rodzajów działalności gospodarczej, o których mowa w sekcji C dział 30 klasyfikacji NACE Rev. 2

| 6. | dostawcy usług cyfrowych |
| --- | --- |

6.

dostawcy usług cyfrowych

| — | dostawcy internetowych platform handlowych |
| --- | --- |

—

dostawcy internetowych platform handlowych

| — | dostawcy wyszukiwarek internetowych |
| --- | --- |

—

dostawcy wyszukiwarek internetowych

| — | dostawcy platform usług sieci społecznościowych |
| --- | --- |

—

dostawcy platform usług sieci społecznościowych

| 7. | Badania naukowe |
| --- | --- |

7.

Badania naukowe

organizacje badawcze

---

(1)  Dyrektywa Parlamentu Europejskiego i Rady 2008/98/WE z dnia 19 listopada 2008 r. w sprawie odpadów oraz uchylająca niektóre dyrektywy (Dz.U. L 312 z 22.11.2008, s. 3).

(2)  Rozporządzenie (WE) nr 1907/2006 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2006 r. w sprawie rejestracji, oceny, udzielania zezwoleń i stosowanych ograniczeń w zakresie chemikaliów (REACH), utworzenia Europejskiej Agencji Chemikaliów, zmieniające dyrektywę 1999/45/WE oraz uchylające rozporządzenie Rady (EWG) nr 793/93 i rozporządzenie Komisji (WE) nr 1488/94, jak również dyrektywę Rady 76/769/EWG i dyrektywy Komisji 91/155/EWG, 93/67/EWG, 93/105/WE i 2000/21/WE (Dz.U. L 396 z 30.12.2006, s. 1).

(3)  Rozporządzenie (WE) nr 178/2002 Parlamentu Europejskiego i Rady z dnia 28 stycznia 2002 r. ustanawiające ogólne zasady i wymagania prawa żywnościowego, powołujące Europejski Urząd ds. Bezpieczeństwa Żywności oraz ustanawiające procedury w zakresie bezpieczeństwa żywności (Dz.U. L 31 z 1.2.2002, s. 1).

(4)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/745 z dnia 5 kwietnia 2017 r. w sprawie wyrobów medycznych, zmiany dyrektywy 2001/83/WE, rozporządzenia (WE) nr 178/2002 i rozporządzenia (WE) nr 1223/2009 oraz uchylenia dyrektyw Rady 90/385/EWG i 93/42/EWG (Dz.U. L 117 z 5.5.2017, s. 1).

(5)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/746 z dnia 5 kwietnia 2017 r. w sprawie wyrobów medycznych do diagnostyki in vitro oraz uchylenia dyrektywy 98/79/WE i decyzji Komisji 2010/227/UE (Dz.U. L 117 z 5.5.2017, s. 176).

---

ZAŁĄCZNIK III

TABELA KORELACJI

| Dyrektywa (UE) 2016/1148 | Niniejsza dyrektywa |
| --- | --- |
| art. 1 ust. 1 | art. 1 ust. 1 |
| art. 1 ust. 2 | art. 1 ust. 2 |
| art. 1 ust. 3 | – |
| art. 1 ust. 4 | art. 2 ust. 12 |
| art. 1 ust. 5 | art. 2 ust. 13 |
| art. 1 ust. 6 | art. 2 ust. 6 i 11 |
| art. 1 ust. 7 | art. 2 ust. 4 |
| art. 2 | art. 2 ust. 14 |
| art. 3 | art. 5 |
| art. 4 | art. 6 |
| art. 5 | – |
| art. 6 | – |
| art. 7 ust. 1 | art. 7 ust. 1 i 2 |
| art. 7 ust. 2 | art. 7 ust. 4 |
| art. 7 ust. 3 | art. 7 ust. 3 |
| art. 8 ust. 1–5 | art. 8 ust. 1–5 |
| art. 8 ust. 6 | art. 13 ust. 4 |
| art. 8 ust. 7 | art. 8 ust. 6 |
| art. 9 ust. 1, 2 i 3 | art. 10 ust. 1, 2 i 3 |
| art. 9 ust. 4 | art. 10 ust. 9 |
| art. 9 ust. 5 | art. 10 ust. 19 |
| art. 10 ust. 1, 2 i 3 akapit pierwszy | art. 11 ust. 1–3 |
| Art. 10 ust. 3 akapit drugi | art. 23 ust. 9 |
| art. 11 ust. 1 | art. 14 ust. 1 i 2 |
| art. 11 ust. 2 | art. 14 ust. 3 |
| art. 11 ust. 3 | art. 14 ust. 4 i 6 akapit pierwszy lit. a)–q) i lit. s) oraz ust. 7 |
| art. 11 ust. 4 | art. 14 ust. 4 akapit pierwszy lit. r) i akapit drugi |
| art. 11 ust. 5 | art. 14 ust. 8 |
| art. 12 ust. 1–5 | art. 15 ust. 1–5 |
| art. 13 | art. 17 |
| art. 14 ust. 1 i 2 | art. 21 ust. 1–4 |
| art. 14 ust. 3 | art. 23 ust. 1 |
| art. 14 ust. 4 | art. 23 ust. 3 |
| art. 14 ust. 5 | art. 23 ust. 5, 6 i 8 |
| art. 14 ust. 6 | art. 23 ust. 7 |
| art. 14 ust. 7 | art. 23 ust. 11 |
| art. 15 ust. 1 | art. 31 ust. 1 |
| art. 15 ust. 2 akapit pierwszy lit. a) | art. 32 ust. 2 lit. e) |
| art. 15 ust. 2 akapit pierwszy lit. b) | art. 32 ust. 2 lit. g) |
| art. 15 ust. 2 akapit drugi | art. 32 ust. 3 |
| art. 15 ust. 3 | art. 32 ust. 4 lit. b) |
| art. 15 ust. 4 | art. 31 ust. 3 |
| art. 16 ust. 1 | art. 21 ust. 1–4 |
| art. 16 ust. 3 | art. 23 ust. 1 |
| art. 16 ust. 4 | art. 23 ust. 3 |
| art. 16 ust. 5 | – |
| art. 16 ust. 6 | art. 23 ust. 6 |
| art. 16 ust. 7 | art. 23 ust. 7 |
| art. 16 ust. 8 i 9 | art. 21 ust. 5 i art. 23 ust. 11 |
| art. 16 ust. 10 | – |
| art. 16 ust. 11 | art. 2 ust. 1, 2 i 3 |
| art. 17 ust. 1 | art. 33 ust. 1 |
| art. 17 ust. 2 lit. a) | art. 32 ust. 2 lit. e) |
| art. 17 ust. 2 lit. b) | art. 32 ust. 4 lit. b) |
| art. 17 ust. 3 | art. 37 ust. 1 lit. a) i b) |
| art. 18 ust. 1 | art. 26 ust. 1–2 |
| art. 18 ust. 2 | art. 26 ust. 3 |
| art. 18 ust. 3 | art. 26 ust. 4 |
| art. 19 | art. 25 |
| art. 20 | art. 30 |
| art. 21 | art. 36 |
| art. 22 | art. 39 |
| art. 23 | art. 40 |
| art. 24 | – |
| art. 25 | art. 41 |
| art. 26 | art. 45 |
| art. 27 | art. 46 |
| załącznik I pkt 1 | art. 11 ust. 1 |
| załącznik I pkt 2 lit. a) ppkt (i)–(iv) | art. 11 ust. 2 lit. a)–d) |
| załącznik I pkt 2 lit. a) ppkt (v) | art. 11 ust. 2 lit. f) |
| załącznik I pkt 2 lit. b) | art. 11 ust. 4 |
| załącznik I pkt 2 lit. c) ppkt (i) i(ii) | art. 11 ust. 5 lit. a) |
| załącznik II | załącznik I |
| załącznik III pkt 1, 2 | załącznik II pkt 6 |
| załącznik III pkt 3 | załącznik I pkt 8 |

Dyrektywa (UE) 2016/1148

Niniejsza dyrektywa

art. 1 ust. 1

art. 1 ust. 1

art. 1 ust. 2

art. 1 ust. 2

art. 1 ust. 3

–

art. 1 ust. 4

art. 2 ust. 12

art. 1 ust. 5

art. 2 ust. 13

art. 1 ust. 6

art. 2 ust. 6 i 11

art. 1 ust. 7

art. 2 ust. 4

art. 2

art. 2 ust. 14

art. 3

art. 5

art. 4

art. 6

art. 5

–

art. 6

–

art. 7 ust. 1

art. 7 ust. 1 i 2

art. 7 ust. 2

art. 7 ust. 4

art. 7 ust. 3

art. 7 ust. 3

art. 8 ust. 1–5

art. 8 ust. 1–5

art. 8 ust. 6

art. 13 ust. 4

art. 8 ust. 7

art. 8 ust. 6

art. 9 ust. 1, 2 i 3

art. 10 ust. 1, 2 i 3

art. 9 ust. 4

art. 10 ust. 9

art. 9 ust. 5

art. 10 ust. 19

art. 10 ust. 1, 2 i 3 akapit pierwszy

art. 11 ust. 1–3

Art. 10 ust. 3 akapit drugi

art. 23 ust. 9

art. 11 ust. 1

art. 14 ust. 1 i 2

art. 11 ust. 2

art. 14 ust. 3

art. 11 ust. 3

art. 14 ust. 4 i 6 akapit pierwszy lit. a)–q) i lit. s) oraz ust. 7

art. 11 ust. 4

art. 14 ust. 4 akapit pierwszy lit. r) i akapit drugi

art. 11 ust. 5

art. 14 ust. 8

art. 12 ust. 1–5

art. 15 ust. 1–5

art. 13

art. 17

art. 14 ust. 1 i 2

art. 21 ust. 1–4

art. 14 ust. 3

art. 23 ust. 1

art. 14 ust. 4

art. 23 ust. 3

art. 14 ust. 5

art. 23 ust. 5, 6 i 8

art. 14 ust. 6

art. 23 ust. 7

art. 14 ust. 7

art. 23 ust. 11

art. 15 ust. 1

art. 31 ust. 1

art. 15 ust. 2 akapit pierwszy lit. a)

art. 32 ust. 2 lit. e)

art. 15 ust. 2 akapit pierwszy lit. b)

art. 32 ust. 2 lit. g)

art. 15 ust. 2 akapit drugi

art. 32 ust. 3

art. 15 ust. 3

art. 32 ust. 4 lit. b)

art. 15 ust. 4

art. 31 ust. 3

art. 16 ust. 1

art. 21 ust. 1–4

art. 16 ust. 3

art. 23 ust. 1

art. 16 ust. 4

art. 23 ust. 3

art. 16 ust. 5

–

art. 16 ust. 6

art. 23 ust. 6

art. 16 ust. 7

art. 23 ust. 7

art. 16 ust. 8 i 9

art. 21 ust. 5 i art. 23 ust. 11

art. 16 ust. 10

–

art. 16 ust. 11

art. 2 ust. 1, 2 i 3

art. 17 ust. 1

art. 33 ust. 1

art. 17 ust. 2 lit. a)

art. 32 ust. 2 lit. e)

art. 17 ust. 2 lit. b)

art. 32 ust. 4 lit. b)

art. 17 ust. 3

art. 37 ust. 1 lit. a) i b)

art. 18 ust. 1

art. 26 ust. 1–2

art. 18 ust. 2

art. 26 ust. 3

art. 18 ust. 3

art. 26 ust. 4

art. 19

art. 25

art. 20

art. 30

art. 21

art. 36

art. 22

art. 39

art. 23

art. 40

art. 24

–

art. 25

art. 41

art. 26

art. 45

art. 27

art. 46

załącznik I pkt 1

art. 11 ust. 1

załącznik I pkt 2 lit. a) ppkt (i)–(iv)

art. 11 ust. 2 lit. a)–d)

załącznik I pkt 2 lit. a) ppkt (v)

art. 11 ust. 2 lit. f)

załącznik I pkt 2 lit. b)

art. 11 ust. 4

załącznik I pkt 2 lit. c) ppkt (i) i(ii)

art. 11 ust. 5 lit. a)

załącznik II

załącznik I

załącznik III pkt 1, 2

załącznik II pkt 6

załącznik III pkt 3

załącznik I pkt 8

---

| 27.12.2022 | PL | Dziennik Urzędowy Unii Europejskiej | L 333/153 |
| --- | --- | --- | --- |

27.12.2022

PL

Dziennik Urzędowy Unii Europejskiej

L 333/153

---

DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2022/2556

z dnia 14 grudnia 2022 r.

w sprawie zmiany dyrektyw 2009/65/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 oraz (UE) 2016/2341 w odniesieniu do operacyjnej odporności cyfrowej sektora finansowego

(Tekst mający znaczenie dla EOG)

PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 53 ust. 1 i art. 114,

uwzględniając wniosek Komisji Europejskiej,

po przekazaniu projektu aktu ustawodawczego parlamentom narodowym,

uwzględniając opinię Europejskiego Banku Centralnego (1),

uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego (2),

stanowiąc zgodnie ze zwykłą procedurą ustawodawczą (3),

a także mając na uwadze, co następuje:

| (1) | Unia musi odpowiednio i kompleksowo uwzględnić ryzyko cyfrowe dla wszystkich podmiotów finansowych w związku ze wzrostem wykorzystania technologii informacyjno-komunikacyjnych (ICT) na potrzeby świadczenia usług finansowych i korzystania z takich usług, przyczyniając się tym samym do wykorzystania potencjału finansów cyfrowych pod względem zwiększenia innowacyjności i promowania konkurencji w bezpiecznym środowisku cyfrowym. |
| --- | --- |

(1)

Unia musi odpowiednio i kompleksowo uwzględnić ryzyko cyfrowe dla wszystkich podmiotów finansowych w związku ze wzrostem wykorzystania technologii informacyjno-komunikacyjnych (ICT) na potrzeby świadczenia usług finansowych i korzystania z takich usług, przyczyniając się tym samym do wykorzystania potencjału finansów cyfrowych pod względem zwiększenia innowacyjności i promowania konkurencji w bezpiecznym środowisku cyfrowym.

| (2) | W swojej codziennej działalności podmioty finansowe w dużej mierze wykorzystują technologie cyfrowe. W związku z tym kwestią najwyższej wagi jest zapewnienie odporności operacyjnej ich operacji cyfrowych na ryzyko związane z ICT. Potrzeba zapewnienia odporności operacyjnej stała się jeszcze pilniejsza ze względu na rosnącą obecność przełomowych technologii na rynku, w szczególności technologii umożliwiających cyfrowe przedstawienia wartości lub praw, które można przenosić i przechowywać w formie elektronicznej z wykorzystaniem technologii rozproszonego rejestru lub podobnej technologii (kryptoaktywa), oraz rosnącą obecność usług związanych z takimi aktywami. |
| --- | --- |

(2)

W swojej codziennej działalności podmioty finansowe w dużej mierze wykorzystują technologie cyfrowe. W związku z tym kwestią najwyższej wagi jest zapewnienie odporności operacyjnej ich operacji cyfrowych na ryzyko związane z ICT. Potrzeba zapewnienia odporności operacyjnej stała się jeszcze pilniejsza ze względu na rosnącą obecność przełomowych technologii na rynku, w szczególności technologii umożliwiających cyfrowe przedstawienia wartości lub praw, które można przenosić i przechowywać w formie elektronicznej z wykorzystaniem technologii rozproszonego rejestru lub podobnej technologii (kryptoaktywa), oraz rosnącą obecność usług związanych z takimi aktywami.

| (3) | Na poziomie Unii wymogi dotyczące zarządzania ryzykiem związanym z ICT w sektorze finansowym są obecnie określone w dyrektywach Parlamentu Europejskiego i Rady 2009/65/WE (4), 2009/138/WE (5), 2011/61/UE (6), 2013/36/UE (7), 2014/59/UE (8), 2014/65/UE (9), (UE) 2015/2366 (10) i (UE) 2016/2341 (11).
  Wymogi te są różnorodne i czasami niekompletne. W niektórych przypadkach ryzyko związane z ICT uwzględniono wyłącznie w sposób pośredni – w ramach ryzyka operacyjnego, natomiast w innych przypadkach ryzyko takie w ogóle nie zostało uwzględnione. Problemom tym zaradzono, przyjmując rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (12).Należy zatem zmienić powyższe dyrektywy w celu zapewnienia spójności z tym rozporządzeniem. W niniejszej dyrektywie przyjęto szereg zmian, które są niezbędne do zapewnienia jasności prawa i spójności w zakresie stosowania przez podmioty finansowe – upoważnione i nadzorowane zgodnie z powyższymi dyrektywami – różnych wymogów w zakresie operacyjnej odporności cyfrowej, które są konieczne do prowadzenia działalności przez te podmioty i do świadczenia usług, co gwarantuje sprawne funkcjonowanie rynku wewnętrznego. Konieczne jest zapewnienie adekwatności tych wymogów do zmian na rynku, przy jednoczesnym wspieraniu proporcjonalności, w szczególności w odniesieniu do wielkości podmiotów finansowych i szczególnych systemów, którym podlegają, w celu zmniejszenia kosztów przestrzegania przepisów. |
| --- | --- |

(3)

Na poziomie Unii wymogi dotyczące zarządzania ryzykiem związanym z ICT w sektorze finansowym są obecnie określone w dyrektywach Parlamentu Europejskiego i Rady 2009/65/WE (4), 2009/138/WE (5), 2011/61/UE (6), 2013/36/UE (7), 2014/59/UE (8), 2014/65/UE (9), (UE) 2015/2366 (10) i (UE) 2016/2341 (11).

Wymogi te są różnorodne i czasami niekompletne. W niektórych przypadkach ryzyko związane z ICT uwzględniono wyłącznie w sposób pośredni – w ramach ryzyka operacyjnego, natomiast w innych przypadkach ryzyko takie w ogóle nie zostało uwzględnione. Problemom tym zaradzono, przyjmując rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 (12).Należy zatem zmienić powyższe dyrektywy w celu zapewnienia spójności z tym rozporządzeniem. W niniejszej dyrektywie przyjęto szereg zmian, które są niezbędne do zapewnienia jasności prawa i spójności w zakresie stosowania przez podmioty finansowe – upoważnione i nadzorowane zgodnie z powyższymi dyrektywami – różnych wymogów w zakresie operacyjnej odporności cyfrowej, które są konieczne do prowadzenia działalności przez te podmioty i do świadczenia usług, co gwarantuje sprawne funkcjonowanie rynku wewnętrznego. Konieczne jest zapewnienie adekwatności tych wymogów do zmian na rynku, przy jednoczesnym wspieraniu proporcjonalności, w szczególności w odniesieniu do wielkości podmiotów finansowych i szczególnych systemów, którym podlegają, w celu zmniejszenia kosztów przestrzegania przepisów.

| (4) | W obszarze usług bankowych w dyrektywie 2013/36/UE określa się obecnie wyłącznie ogólne zasady dotyczące zarządzania wewnętrznego i przepisy dotyczące ryzyka operacyjnego, zawierające wymogi w zakresie planów awaryjnych i planów utrzymania ciągłości działania, które w sposób pośredni służą jako podstawa do uwzględniania ryzyka związanego z ICT. Aby jednak uwzględnić ryzyko związane z ICT w sposób bezpośredni i jasny, należy zmienić wymogi dotyczące planów awaryjnych i planów utrzymania ciągłości działania w celu uwzględnienia również planów ciągłości działania oraz planów reagowania i przywracania sprawności w odniesieniu do ryzyka związanego z ICT, zgodnie z wymogami określonymi w rozporządzeniu (UE) 2022/2554. Ponadto ryzyko związane z ICT jest jedynie pośrednio uwzględniane, w ramach ryzyka operacyjnego, w procesie przeglądu i oceny nadzorczej (SREP), przeprowadzanym przez właściwe organy, a kryteria jego oceny są obecnie określone w wytycznych w sprawie oceny ryzyka technologii informacyjno-komunikacyjnych w ramach procesu przeglądu i oceny nadzorczej (SREP), wydanych przez Europejski Urząd Nadzoru (Europejskiego Urzędu Nadzoru Bankowego) (EUNB), ustanowiony rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 1093/2010 (13). W celu zapewnienia jasności prawa i zagwarantowania, że organy nadzoru bankowego skutecznie identyfikują ryzyko związane z ICT i monitorują zarządzanie nim przez podmioty finansowe, zgodnie z nowymi ramami dotyczącymi operacyjnej odporności cyfrowej, należy również zmienić zakres SREP, poprzez wyraźne odesłanie do wymogów określonych w rozporządzeniu (UE) 2022/2554 i objęcie nim w szczególności ryzyka ujawnionego w zgłoszeniach dotyczących poważnych incydentów związanych z ICT oraz w wynikach testowania operacyjnej odporności cyfrowej przeprowadzanego przez podmioty finansowe zgodnie z tym rozporządzeniem. |
| --- | --- |

(4)

W obszarze usług bankowych w dyrektywie 2013/36/UE określa się obecnie wyłącznie ogólne zasady dotyczące zarządzania wewnętrznego i przepisy dotyczące ryzyka operacyjnego, zawierające wymogi w zakresie planów awaryjnych i planów utrzymania ciągłości działania, które w sposób pośredni służą jako podstawa do uwzględniania ryzyka związanego z ICT. Aby jednak uwzględnić ryzyko związane z ICT w sposób bezpośredni i jasny, należy zmienić wymogi dotyczące planów awaryjnych i planów utrzymania ciągłości działania w celu uwzględnienia również planów ciągłości działania oraz planów reagowania i przywracania sprawności w odniesieniu do ryzyka związanego z ICT, zgodnie z wymogami określonymi w rozporządzeniu (UE) 2022/2554. Ponadto ryzyko związane z ICT jest jedynie pośrednio uwzględniane, w ramach ryzyka operacyjnego, w procesie przeglądu i oceny nadzorczej (SREP), przeprowadzanym przez właściwe organy, a kryteria jego oceny są obecnie określone w wytycznych w sprawie oceny ryzyka technologii informacyjno-komunikacyjnych w ramach procesu przeglądu i oceny nadzorczej (SREP), wydanych przez Europejski Urząd Nadzoru (Europejskiego Urzędu Nadzoru Bankowego) (EUNB), ustanowiony rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 1093/2010 (13). W celu zapewnienia jasności prawa i zagwarantowania, że organy nadzoru bankowego skutecznie identyfikują ryzyko związane z ICT i monitorują zarządzanie nim przez podmioty finansowe, zgodnie z nowymi ramami dotyczącymi operacyjnej odporności cyfrowej, należy również zmienić zakres SREP, poprzez wyraźne odesłanie do wymogów określonych w rozporządzeniu (UE) 2022/2554 i objęcie nim w szczególności ryzyka ujawnionego w zgłoszeniach dotyczących poważnych incydentów związanych z ICT oraz w wynikach testowania operacyjnej odporności cyfrowej przeprowadzanego przez podmioty finansowe zgodnie z tym rozporządzeniem.

| (5) | Operacyjna odporność cyfrowa jest niezbędna do zachowania krytycznych funkcji i głównych linii biznesowych podmiotu finansowego w przypadku jego restrukturyzacji i uporządkowanej likwidacji, a tym samym uniknięcia zakłóceń w gospodarce realnej i systemie finansowym. Poważne incydenty operacyjne mogą ograniczyć zdolność podmiotu finansowego do kontynuowania działalności i mogą zagrozić realizacji celów restrukturyzacji i uporządkowanej likwidacji. Niektóre ustalenia umowne dotyczące korzystania z usług ICT mają zasadnicze znaczenie dla zapewnienia ciągłości operacyjnej i dostarczenia niezbędnych danych w przypadku restrukturyzacji i uporządkowanej likwidacji. Aby dostosować się do celów unijnych ram odporności operacyjnej, należy odpowiednio zmienić dyrektywę 2014/59/UE w celu zapewnienia, by informacje dotyczące odporności operacyjnej były uwzględniane w kontekście planowania i oceny możliwości przeprowadzenia skutecznej restrukturyzacji i uporządkowanej likwidacji podmiotów finansowych. |
| --- | --- |

(5)

Operacyjna odporność cyfrowa jest niezbędna do zachowania krytycznych funkcji i głównych linii biznesowych podmiotu finansowego w przypadku jego restrukturyzacji i uporządkowanej likwidacji, a tym samym uniknięcia zakłóceń w gospodarce realnej i systemie finansowym. Poważne incydenty operacyjne mogą ograniczyć zdolność podmiotu finansowego do kontynuowania działalności i mogą zagrozić realizacji celów restrukturyzacji i uporządkowanej likwidacji. Niektóre ustalenia umowne dotyczące korzystania z usług ICT mają zasadnicze znaczenie dla zapewnienia ciągłości operacyjnej i dostarczenia niezbędnych danych w przypadku restrukturyzacji i uporządkowanej likwidacji. Aby dostosować się do celów unijnych ram odporności operacyjnej, należy odpowiednio zmienić dyrektywę 2014/59/UE w celu zapewnienia, by informacje dotyczące odporności operacyjnej były uwzględniane w kontekście planowania i oceny możliwości przeprowadzenia skutecznej restrukturyzacji i uporządkowanej likwidacji podmiotów finansowych.

| (6) | W dyrektywie 2014/65/UE określono bardziej rygorystyczne zasady dotyczące ryzyka związanego z ICT w odniesieniu do firm inwestycyjnych i systemów obrotu, które prowadzą handel algorytmiczny. Mniej szczegółowe wymogi mają zastosowanie do usług w zakresie udostępniania informacji i repozytoriów transakcji. Dyrektywa 2014/65/UE zawiera ponadto jedynie ograniczone odniesienia do mechanizmów kontroli i zabezpieczenia dotyczących systemów przetwarzania informacji oraz do wykorzystania odpowiednich systemów, zasobów i procedur w celu zapewnienia ciągłości i regularności świadczenia usług biznesowych. Ponadto dyrektywę tę należy dostosować do rozporządzenia (UE) 2022/2554 w odniesieniu do ciągłości i regularności świadczenia usług inwestycyjnych i prowadzenia działalności inwestycyjnych, odporności operacyjnej, zdolności systemów obrotu oraz skuteczności rozwiązań w zakresie ciągłości działania i zarządzania ryzykiem. |
| --- | --- |

(6)

W dyrektywie 2014/65/UE określono bardziej rygorystyczne zasady dotyczące ryzyka związanego z ICT w odniesieniu do firm inwestycyjnych i systemów obrotu, które prowadzą handel algorytmiczny. Mniej szczegółowe wymogi mają zastosowanie do usług w zakresie udostępniania informacji i repozytoriów transakcji. Dyrektywa 2014/65/UE zawiera ponadto jedynie ograniczone odniesienia do mechanizmów kontroli i zabezpieczenia dotyczących systemów przetwarzania informacji oraz do wykorzystania odpowiednich systemów, zasobów i procedur w celu zapewnienia ciągłości i regularności świadczenia usług biznesowych. Ponadto dyrektywę tę należy dostosować do rozporządzenia (UE) 2022/2554 w odniesieniu do ciągłości i regularności świadczenia usług inwestycyjnych i prowadzenia działalności inwestycyjnych, odporności operacyjnej, zdolności systemów obrotu oraz skuteczności rozwiązań w zakresie ciągłości działania i zarządzania ryzykiem.

| (7) | W dyrektywie (UE) 2015/2366 określono zasady szczególne dotyczące elementów kontroli bezpieczeństwa i ograniczania ryzyka w zakresie ICT na potrzeby uzyskania zezwolenia na świadczenie usług płatniczych. Te zasady dotyczące zezwoleń należy zmienić, aby dostosować je do rozporządzenia (UE) 2022/2554. Ponadto, aby zmniejszyć obciążenia administracyjne oraz uniknąć złożoności i powielania wymogów w zakresie sprawozdawczości, zawarte w tej dyrektywie przepisy dotyczące zgłaszania incydentów powinny przestać mieć zastosowanie do dostawców usług płatniczych, którzy są uregulowani w tej dyrektywie, i którzy także podlegają rozporządzeniu (UE) 2022/2554, umożliwiając tym samym tym dostawcom usług płatniczych korzystanie z jednolitego, w pełni zharmonizowanego mechanizmu zgłaszania incydentów w odniesieniu do wszystkich incydentów operacyjnych lub incydentów w zakresie bezpieczeństwa związanych z płatnościami, niezależnie od tego, czy takie incydenty są związane z ICT. |
| --- | --- |

(7)

W dyrektywie (UE) 2015/2366 określono zasady szczególne dotyczące elementów kontroli bezpieczeństwa i ograniczania ryzyka w zakresie ICT na potrzeby uzyskania zezwolenia na świadczenie usług płatniczych. Te zasady dotyczące zezwoleń należy zmienić, aby dostosować je do rozporządzenia (UE) 2022/2554. Ponadto, aby zmniejszyć obciążenia administracyjne oraz uniknąć złożoności i powielania wymogów w zakresie sprawozdawczości, zawarte w tej dyrektywie przepisy dotyczące zgłaszania incydentów powinny przestać mieć zastosowanie do dostawców usług płatniczych, którzy są uregulowani w tej dyrektywie, i którzy także podlegają rozporządzeniu (UE) 2022/2554, umożliwiając tym samym tym dostawcom usług płatniczych korzystanie z jednolitego, w pełni zharmonizowanego mechanizmu zgłaszania incydentów w odniesieniu do wszystkich incydentów operacyjnych lub incydentów w zakresie bezpieczeństwa związanych z płatnościami, niezależnie od tego, czy takie incydenty są związane z ICT.

| (8) | W dyrektywie 2009/138/WE i dyrektywie (UE) 2016/2341 częściowo uwzględniono ryzyko związane z ICT w przepisach ogólnych dotyczących zarządzania i zarządzania ryzykiem oraz przewidziano określenie niektórych wymogów w drodze aktów delegowanych ze szczególnym odniesieniem do ryzyka związanego z ICT albo bez takiego odniesienia. Podobnie jedynie bardzo ogólne zasady mają zastosowanie do zarządzających alternatywnymi funduszami inwestycyjnymi, którzy podlegają dyrektywie 2011/61/UE, oraz do spółek zarządzających, które podlegają dyrektywie 2009/65/WE. Dyrektywy te należy zatem dostosować do wymogów określonych w rozporządzeniu (UE) 2022/2554 w odniesieniu do zarządzania systemami i narzędziami ICT. |
| --- | --- |

(8)

W dyrektywie 2009/138/WE i dyrektywie (UE) 2016/2341 częściowo uwzględniono ryzyko związane z ICT w przepisach ogólnych dotyczących zarządzania i zarządzania ryzykiem oraz przewidziano określenie niektórych wymogów w drodze aktów delegowanych ze szczególnym odniesieniem do ryzyka związanego z ICT albo bez takiego odniesienia. Podobnie jedynie bardzo ogólne zasady mają zastosowanie do zarządzających alternatywnymi funduszami inwestycyjnymi, którzy podlegają dyrektywie 2011/61/UE, oraz do spółek zarządzających, które podlegają dyrektywie 2009/65/WE. Dyrektywy te należy zatem dostosować do wymogów określonych w rozporządzeniu (UE) 2022/2554 w odniesieniu do zarządzania systemami i narzędziami ICT.

| (9) | W wielu przypadkach dodatkowe wymogi dotyczące ryzyka związanego z ICT zostały już określone w aktach delegowanych i wykonawczych przyjętych na podstawie projektów regulacyjnych standardów technicznych i projektów wykonawczych standardów technicznych opracowanych przez właściwy Europejski Urząd Nadzoru. Ponieważ przepisy rozporządzenia (UE) 2022/2554 stanowią odtąd ramy prawne dotyczące ryzyka związanego z ICT w sektorze finansowym, należy zmienić niektóre umocowania dotyczące uprawnienia do przyjmowania aktów delegowanych i wykonawczych w dyrektywach 2009/65/WE, 2009/138/WE, 2011/61/UE i 2014/65/UE w celu usunięcia przepisów dotyczących ryzyka związanego z ICT z zakresu tych umocowań. |
| --- | --- |

(9)

W wielu przypadkach dodatkowe wymogi dotyczące ryzyka związanego z ICT zostały już określone w aktach delegowanych i wykonawczych przyjętych na podstawie projektów regulacyjnych standardów technicznych i projektów wykonawczych standardów technicznych opracowanych przez właściwy Europejski Urząd Nadzoru. Ponieważ przepisy rozporządzenia (UE) 2022/2554 stanowią odtąd ramy prawne dotyczące ryzyka związanego z ICT w sektorze finansowym, należy zmienić niektóre umocowania dotyczące uprawnienia do przyjmowania aktów delegowanych i wykonawczych w dyrektywach 2009/65/WE, 2009/138/WE, 2011/61/UE i 2014/65/UE w celu usunięcia przepisów dotyczących ryzyka związanego z ICT z zakresu tych umocowań.

| (10) | Aby zapewnić spójne wdrożenie nowych ram dotyczących operacyjnej odporności cyfrowej sektora finansowego, państwa członkowskie powinny stosować przepisy prawa krajowego transponujące niniejszą dyrektywę od dnia rozpoczęcia stosowania rozporządzenia (UE) 2022/2554. |
| --- | --- |

(10)

Aby zapewnić spójne wdrożenie nowych ram dotyczących operacyjnej odporności cyfrowej sektora finansowego, państwa członkowskie powinny stosować przepisy prawa krajowego transponujące niniejszą dyrektywę od dnia rozpoczęcia stosowania rozporządzenia (UE) 2022/2554.

| (11) | Dyrektywy 2009/65/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 i (UE) 2016/2341 zostały przyjęte na podstawie art. 53 ust. 1 lub art. 114 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) lub na obu tych podstawach. Zmiany określone w niniejszej dyrektywie zostały ujęte w jednym akcie ustawodawczym ze względu na wzajemne powiązania przedmiotu i celów tych zmian. W rezultacie niniejszą dyrektywę należy przyjąć na podstawie zarówno art. 53 ust. 1, jak i art. 114 TFUE. |
| --- | --- |

(11)

Dyrektywy 2009/65/WE, 2009/138/WE, 2011/61/UE, 2013/36/UE, 2014/59/UE, 2014/65/UE, (UE) 2015/2366 i (UE) 2016/2341 zostały przyjęte na podstawie art. 53 ust. 1 lub art. 114 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) lub na obu tych podstawach. Zmiany określone w niniejszej dyrektywie zostały ujęte w jednym akcie ustawodawczym ze względu na wzajemne powiązania przedmiotu i celów tych zmian. W rezultacie niniejszą dyrektywę należy przyjąć na podstawie zarówno art. 53 ust. 1, jak i art. 114 TFUE.

| (12) | Ponieważ cele niniejszej dyrektywy nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie, ponieważ wymagają one harmonizacji wymogów już zawartych w dyrektywach, natomiast ze względu na rozmiary, jak i skutki działania możliwe jest ich lepsze osiągnięcie na poziomie Unii, może ona podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsza dyrektywa nie wykracza poza to, co jest konieczne do osiągnięcia tych celów. |
| --- | --- |

(12)

Ponieważ cele niniejszej dyrektywy nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie, ponieważ wymagają one harmonizacji wymogów już zawartych w dyrektywach, natomiast ze względu na rozmiary, jak i skutki działania możliwe jest ich lepsze osiągnięcie na poziomie Unii, może ona podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsza dyrektywa nie wykracza poza to, co jest konieczne do osiągnięcia tych celów.

| (13) | Zgodnie ze wspólną deklaracją polityczną państw członkowskich i Komisji z dnia 28 września 2011 r. dotyczącą dokumentów wyjaśniających (14) państwa członkowskie zobowiązały się do złożenia, w uzasadnionych przypadkach, wraz z powiadomieniem o transpozycji, jednego lub większej liczby dokumentów wyjaśniających związki między elementami dyrektywy a odpowiadającymi im częściami krajowych instrumentów transpozycyjnych. W odniesieniu do niniejszej dyrektywy prawodawca uznaje, że przekazanie takich dokumentów jest uzasadnione, |
| --- | --- |

(13)

Zgodnie ze wspólną deklaracją polityczną państw członkowskich i Komisji z dnia 28 września 2011 r. dotyczącą dokumentów wyjaśniających (14) państwa członkowskie zobowiązały się do złożenia, w uzasadnionych przypadkach, wraz z powiadomieniem o transpozycji, jednego lub większej liczby dokumentów wyjaśniających związki między elementami dyrektywy a odpowiadającymi im częściami krajowych instrumentów transpozycyjnych. W odniesieniu do niniejszej dyrektywy prawodawca uznaje, że przekazanie takich dokumentów jest uzasadnione,

PRZYJMUJĄ NINIEJSZĄ DYREKTYWĘ:

Artykuł 1

Zmiany dyrektywy 2009/65/WE

W art. 12 dyrektywy 2009/65/WE wprowadza się następujące zmiany:

| 1) | ust. 1 akapit drugi lit. a) otrzymuje brzmienie:






  „a) | stosowała racjonalne procedury administracyjne i procedury księgowe, rozwiązania w zakresie kontroli i bezpieczeństwa na potrzeby elektronicznego przetwarzania danych, w tym w odniesieniu do sieci i systemów informatycznych utworzonych i zarządzanych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*1), a także odpowiednie wewnętrzne mechanizmy kontroli, w tym w szczególności zasady dotyczące osobistych transakcji dokonywanych przez jej pracowników lub utrzymania lub zarządzania inwestycjami w instrumenty finansowe w celu inwestowania na rachunek własny, zapewniając przynajmniej, aby każda transakcja, w którą zaangażowane są te UCITS, mogła być odtworzona, dostarczając informacji o jej pochodzeniu, stronach biorących w niej udział, jej charakterze oraz czasie i miejscu jej zawarcia, i aby aktywa UCITS zarządzanych przez spółkę zarządzającą były inwestowane zgodnie z regulaminami funduszy lub dokumentami założycielskimi oraz obowiązującymi przepisami prawnymi; |
| --- | --- | --- |

1)

ust. 1 akapit drugi lit. a) otrzymuje brzmienie:

„a)

stosowała racjonalne procedury administracyjne i procedury księgowe, rozwiązania w zakresie kontroli i bezpieczeństwa na potrzeby elektronicznego przetwarzania danych, w tym w odniesieniu do sieci i systemów informatycznych utworzonych i zarządzanych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*1), a także odpowiednie wewnętrzne mechanizmy kontroli, w tym w szczególności zasady dotyczące osobistych transakcji dokonywanych przez jej pracowników lub utrzymania lub zarządzania inwestycjami w instrumenty finansowe w celu inwestowania na rachunek własny, zapewniając przynajmniej, aby każda transakcja, w którą zaangażowane są te UCITS, mogła być odtworzona, dostarczając informacji o jej pochodzeniu, stronach biorących w niej udział, jej charakterze oraz czasie i miejscu jej zawarcia, i aby aktywa UCITS zarządzanych przez spółkę zarządzającą były inwestowane zgodnie z regulaminami funduszy lub dokumentami założycielskimi oraz obowiązującymi przepisami prawnymi;

*1

(*1)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L333, z 27.12.2022, s. 1).”;"

*1

| 2) | ust. 3 otrzymuje brzmienie:

  „3.   Bez uszczerbku dla art. 116 Komisja przyjmuje, w formie aktów delegowanych zgodnie z art. 112a, środki określające:






  a) | procedury i rozwiązania, o których mowa w ust. 1 akapit drugi lit. a), inne niż procedury i rozwiązania dotyczące sieci i systemów informatycznych; |
| --- | --- | --- |

2)

ust. 3 otrzymuje brzmienie:

„3.   Bez uszczerbku dla art. 116 Komisja przyjmuje, w formie aktów delegowanych zgodnie z art. 112a, środki określające:

a)

procedury i rozwiązania, o których mowa w ust. 1 akapit drugi lit. a), inne niż procedury i rozwiązania dotyczące sieci i systemów informatycznych;

| b) | struktury i wymogi organizacyjne w celu zminimalizowania konfliktów interesów, o których mowa w ust. 1 akapit drugi lit. b).”. |
| --- | --- |

b)

struktury i wymogi organizacyjne w celu zminimalizowania konfliktów interesów, o których mowa w ust. 1 akapit drugi lit. b).”.

Artykuł 2

Zmiany dyrektywy 2009/138/WE

W dyrektywie 2009/138/WE wprowadza się następujące zmiany:

| 1) | art. 41 ust. 4 otrzymuje brzmienie:

  „4.   Zakłady ubezpieczeń i zakłady reasekuracji podejmują rozsądne działania w celu zapewnienia ciągłości i regularności wykonywania swojej działalności, co obejmuje opracowanie planów awaryjnych. W tym celu zakład stosuje odpowiednie i współmierne systemy, zasoby i procedury oraz w szczególności ustanawia sieci i systemy informatyczne oraz zarządza nimi zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*2).


  (*2)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;" |
| --- | --- |

1)

art. 41 ust. 4 otrzymuje brzmienie:

„4.   Zakłady ubezpieczeń i zakłady reasekuracji podejmują rozsądne działania w celu zapewnienia ciągłości i regularności wykonywania swojej działalności, co obejmuje opracowanie planów awaryjnych. W tym celu zakład stosuje odpowiednie i współmierne systemy, zasoby i procedury oraz w szczególności ustanawia sieci i systemy informatyczne oraz zarządza nimi zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*2).

(*2)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;"

*2

| 2) | art. 50 ust. 1 lit. a) i b) otrzymują brzmienie:






  „a) | elementów systemów, o których mowa w art. 41, art. 44 – w szczególności obszarów wymienionych w art. 44 ust. 2 – oraz art. 46 i 47, innych niż elementy dotyczące zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi; |
| --- | --- | --- |

2)

art. 50 ust. 1 lit. a) i b) otrzymują brzmienie:

„a)

elementów systemów, o których mowa w art. 41, art. 44 – w szczególności obszarów wymienionych w art. 44 ust. 2 – oraz art. 46 i 47, innych niż elementy dotyczące zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi;

| b) | funkcji, o których mowa w art. 44, 46, 47 i 48, innych niż funkcje dotyczące zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi.”. |
| --- | --- |

b)

funkcji, o których mowa w art. 44, 46, 47 i 48, innych niż funkcje dotyczące zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi.”.

Artykuł 3

Zmiany dyrektywy 2011/61/UE

Art. 18 dyrektywy 2011/61/UE otrzymuje brzmienie:

„Artykuł 18

Zasady ogólne

1.   Państwa członkowskie wymagają, aby ZAFI stale korzystali z właściwych i odpowiednich zasobów ludzkich i technicznych, które są niezbędne do właściwego zarządzania AFI.

W szczególności właściwe organy rodzimego państwa członkowskiego ZAFI, uwzględniając również charakter AFI zarządzanego przez ZAFI, wymagają, aby ZAFI stosował racjonalne procedury administracyjne i księgowe, rozwiązania w zakresie kontroli i bezpieczeństwa na potrzeby elektronicznego przetwarzania danych, w tym w odniesieniu do sieci i systemów informatycznych utworzonych i zarządzanych zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*3), a także odpowiednie wewnętrzne mechanizmy kontroli, w tym w szczególności zasady dotyczące osobistych transakcji dokonywanych przez ich pracowników, lub posiadania inwestycji lub zarządzania nimi w celu inwestowania na własny rachunek, zapewniając przynajmniej, aby każda transakcja, w którą zaangażowane są AFI, mogła być odtworzona z dostarczeniem informacji o jej pochodzeniu, stronach biorących w niej udział, jej charakterze oraz czasie i miejscu jej zawarcia, oraz aby aktywa AFI zarządzanych przez ZAFI były inwestowane zgodnie z regulaminami lub dokumentami założycielskimi oraz obowiązującymi przepisami.

2.   Komisja przyjmuje, w drodze aktów delegowanych zgodnie z art. 56 i z zastrzeżeniem warunków art. 57 i 58, środki określające procedury i rozwiązania, o których mowa w ust. 1 niniejszego artykułu, inne niż procedury i rozwiązania dotyczące sieci i systemów informatycznych.

Artykuł 4

Zmiany dyrektywy 2013/36/UE

W dyrektywie 2013/36/UE wprowadza się następujące zmiany:

| 1) | art. 65 ust. 3 lit. a) pkt (vi) otrzymuje brzmienie:






  „(vi) | osoby trzecie, którym podmioty, o których mowa w ppkt (i)–(iv), zleciły na zasadzie outsourcingu funkcje lub działalność, w tym zewnętrzni dostawcy usług ICT, o których mowa w rozdziale V rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 (*4); |
| --- | --- | --- |

1)

art. 65 ust. 3 lit. a) pkt (vi) otrzymuje brzmienie:

„(vi)

osoby trzecie, którym podmioty, o których mowa w ppkt (i)–(iv), zleciły na zasadzie outsourcingu funkcje lub działalność, w tym zewnętrzni dostawcy usług ICT, o których mowa w rozdziale V rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 (*4);

*4

(*4)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;"

*4

| 2) | art. 74 ust. 1 akapit pierwszy otrzymuje brzmienie:

  „Instytucje muszą posiadać solidne zasady zarządzania obejmujące jasną strukturę organizacyjną z dobrze określonymi, przejrzystymi i spójnymi zakresami odpowiedzialności, skuteczne procedury służące identyfikacji ryzyka, na które te instytucje są lub mogą być narażone, zarządzania tym ryzykiem, monitorowania i zgłaszania go, odpowiednie mechanizmy kontroli wewnętrznej obejmujące należyte procedury administracyjne i księgowe, sieci i systemy informatyczne utworzone i zarządzane zgodnie z rozporządzeniem (UE) 2022/2554 oraz politykę i praktyki wynagrodzeń zgodne z zasadami należytego i skutecznego zarządzania ryzykiem i sprzyjające takiemu zarządzaniu.”; |
| --- | --- |

2)

art. 74 ust. 1 akapit pierwszy otrzymuje brzmienie:

„Instytucje muszą posiadać solidne zasady zarządzania obejmujące jasną strukturę organizacyjną z dobrze określonymi, przejrzystymi i spójnymi zakresami odpowiedzialności, skuteczne procedury służące identyfikacji ryzyka, na które te instytucje są lub mogą być narażone, zarządzania tym ryzykiem, monitorowania i zgłaszania go, odpowiednie mechanizmy kontroli wewnętrznej obejmujące należyte procedury administracyjne i księgowe, sieci i systemy informatyczne utworzone i zarządzane zgodnie z rozporządzeniem (UE) 2022/2554 oraz politykę i praktyki wynagrodzeń zgodne z zasadami należytego i skutecznego zarządzania ryzykiem i sprzyjające takiemu zarządzaniu.”;

| 3) | art. 85 ust. 2 otrzymuje brzmienie:

  „2.   Właściwe organy zapewniają, by instytucje posiadały odpowiednie strategie i plany awaryjne oraz strategie i plany ciągłości działania, w tym strategie i plany na rzecz ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT w odniesieniu do technologii, którą wykorzystują do przekazywania informacji, oraz by plany te były ustanawiane, zarządzane i testowane zgodnie z art. 11 rozporządzenia (UE) 2022/2554, aby instytucje te mogły nadal prowadzić działalność w przypadku poważnego zakłócenia działalności gospodarczej i ograniczyć straty ponoszone w wyniku takiego zakłócenia.”; |
| --- | --- |

3)

art. 85 ust. 2 otrzymuje brzmienie:

„2.   Właściwe organy zapewniają, by instytucje posiadały odpowiednie strategie i plany awaryjne oraz strategie i plany ciągłości działania, w tym strategie i plany na rzecz ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT w odniesieniu do technologii, którą wykorzystują do przekazywania informacji, oraz by plany te były ustanawiane, zarządzane i testowane zgodnie z art. 11 rozporządzenia (UE) 2022/2554, aby instytucje te mogły nadal prowadzić działalność w przypadku poważnego zakłócenia działalności gospodarczej i ograniczyć straty ponoszone w wyniku takiego zakłócenia.”;

| 4) | w art. 97 ust. 1 dodaje się literę w brzmieniu:






  „d) | ryzyka ujawnione podczas testowania operacyjnej odporności cyfrowej zgodnie z rozdziałem IV rozporządzenia (UE) 2022/2554.”. |
| --- | --- | --- |

4)

w art. 97 ust. 1 dodaje się literę w brzmieniu:

„d)

ryzyka ujawnione podczas testowania operacyjnej odporności cyfrowej zgodnie z rozdziałem IV rozporządzenia (UE) 2022/2554.”.

Artykuł 5

Zmiany dyrektywy 2014/59/UE

W dyrektywie 2014/59/UE wprowadza się następujące zmiany:

| 1) | w art. 10 wprowadza się następujące zmiany:






  a) | ust. 7 lit. c) otrzymuje brzmienie:






  „c) | wskazanie, w jaki sposób można w niezbędnym zakresie oddzielić prawnie i gospodarczo funkcje krytyczne i główne linie biznesowe od innych funkcji, tak aby zapewnić ciągłość i operacyjną odporność cyfrową z chwilą upadłości instytucji;”; |
| --- | --- | --- | --- |

1)

w art. 10 wprowadza się następujące zmiany:

a)

ust. 7 lit. c) otrzymuje brzmienie:

„c)

wskazanie, w jaki sposób można w niezbędnym zakresie oddzielić prawnie i gospodarczo funkcje krytyczne i główne linie biznesowe od innych funkcji, tak aby zapewnić ciągłość i operacyjną odporność cyfrową z chwilą upadłości instytucji;”;

| b) | ust. 7 lit. q) otrzymuje brzmienie:






  „q) | opis podstawowych operacji i systemów zapewniających ciągłość funkcjonowania procesów operacyjnych instytucji, w tym sieci i systemów informatycznych, o których mowa w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2022/2554 (*5); |
| --- | --- | --- |

b)

ust. 7 lit. q) otrzymuje brzmienie:

„q)

opis podstawowych operacji i systemów zapewniających ciągłość funkcjonowania procesów operacyjnych instytucji, w tym sieci i systemów informatycznych, o których mowa w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2022/2554 (*5);

*5

(*5)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;"

*5

| c) | w ust. 9 dodaje się akapit w brzmieniu:

  „Zgodnie z art. 10 rozporządzenia (UE) nr 1093/2010 EUNB prowadzi przegląd regulacyjnych standardów technicznych i w stosownych przypadkach aktualizuje je, między innymi w celu uwzględnienia przepisów rozdziału II rozporządzenia (UE) 2022/2554.”; |
| --- | --- |

c)

w ust. 9 dodaje się akapit w brzmieniu:

„Zgodnie z art. 10 rozporządzenia (UE) nr 1093/2010 EUNB prowadzi przegląd regulacyjnych standardów technicznych i w stosownych przypadkach aktualizuje je, między innymi w celu uwzględnienia przepisów rozdziału II rozporządzenia (UE) 2022/2554.”;

| 2) | w załączniku wprowadza się następujące zmiany:






  a) | w sekcji A pkt 16 otrzymuje brzmienie:






  „16) | uzgodnienia i środki niezbędne do utrzymania ciągłości funkcjonowania procedur operacyjnych instytucji, w tym sieci i systemów informatycznych utworzonych i zarządzanych zgodnie z rozporządzeniem (UE) 2022/2554;”; |
| --- | --- | --- | --- |

2)

w załączniku wprowadza się następujące zmiany:

a)

w sekcji A pkt 16 otrzymuje brzmienie:

„16)

uzgodnienia i środki niezbędne do utrzymania ciągłości funkcjonowania procedur operacyjnych instytucji, w tym sieci i systemów informatycznych utworzonych i zarządzanych zgodnie z rozporządzeniem (UE) 2022/2554;”;

| b) | w sekcji B wprowadza się następujące zmiany:






  (i) | pkt 14 otrzymuje brzmienie:






  „14) | wskazanie właścicieli systemów wymienionych w pkt 13, związanych z nimi umów o gwarantowanym poziomie usług, a także oprogramowania i systemów lub licencji, wraz ze schematem ich przyporządkowania do poszczególnych osób prawnych oraz powiązań z ich operacjami krytycznymi i głównymi liniami biznesowymi, jak również ze wskazaniem kluczowych zewnętrznych dostawców usług ICT zdefiniowanych w art. 3 pkt 23 rozporządzenia (UE) 2022/2554;”; |
| --- | --- | --- | --- |

b)

w sekcji B wprowadza się następujące zmiany:

(i)

pkt 14 otrzymuje brzmienie:

„14)

wskazanie właścicieli systemów wymienionych w pkt 13, związanych z nimi umów o gwarantowanym poziomie usług, a także oprogramowania i systemów lub licencji, wraz ze schematem ich przyporządkowania do poszczególnych osób prawnych oraz powiązań z ich operacjami krytycznymi i głównymi liniami biznesowymi, jak również ze wskazaniem kluczowych zewnętrznych dostawców usług ICT zdefiniowanych w art. 3 pkt 23 rozporządzenia (UE) 2022/2554;”;

| (ii) | dodaje się punkt w brzmieniu:






  „14a) | wyniki testowania operacyjnej odporności cyfrowej przeprowadzanego przez instytucje na podstawie rozporządzenia (UE) 2022/2554;”; |
| --- | --- | --- |

(ii)

dodaje się punkt w brzmieniu:

„14a)

wyniki testowania operacyjnej odporności cyfrowej przeprowadzanego przez instytucje na podstawie rozporządzenia (UE) 2022/2554;”;

| c) | w sekcji C wprowadza się następujące zmiany:






  (i) | pkt 4) otrzymuje brzmienie:






  „4) | stopień, w jakim zawarte przez instytucję umowy dotyczące świadczenia usług, w tym ustalenia umowne dotyczące korzystania z usług ICT, są solidne i w pełni egzekwowalne w razie restrukturyzacji i uporządkowanej likwidacji instytucji;”; |
| --- | --- | --- | --- |

c)

w sekcji C wprowadza się następujące zmiany:

(i)

pkt 4) otrzymuje brzmienie:

„4)

stopień, w jakim zawarte przez instytucję umowy dotyczące świadczenia usług, w tym ustalenia umowne dotyczące korzystania z usług ICT, są solidne i w pełni egzekwowalne w razie restrukturyzacji i uporządkowanej likwidacji instytucji;”;

| (ii) | dodaje się punkt w brzmieniu:






  „4a) | operacyjną odporność cyfrową sieci i systemów informatycznych wspierających funkcje krytyczne i główne linie biznesowe instytucji, z uwzględnieniem zgłoszeń dotyczących poważnych incydentów związanych z ICT oraz wyników testowania operacyjnej odporności cyfrowej na podstawie rozporządzenia (UE) 2022/2554;”. |
| --- | --- | --- |

(ii)

dodaje się punkt w brzmieniu:

„4a)

operacyjną odporność cyfrową sieci i systemów informatycznych wspierających funkcje krytyczne i główne linie biznesowe instytucji, z uwzględnieniem zgłoszeń dotyczących poważnych incydentów związanych z ICT oraz wyników testowania operacyjnej odporności cyfrowej na podstawie rozporządzenia (UE) 2022/2554;”.

Artykuł 6

Zmiany dyrektywy 2014/65/UE

W dyrektywie 2014/65/UE wprowadza się następujące zmiany:

| 1) | w art. 16 wprowadza się następujące zmiany:






  a) | ust. 4 otrzymuje brzmienie:

  „4.   Firma inwestycyjna podejmuje rozsądne działania mające na celu zapewnienie ciągłości i regularności świadczenia usług inwestycyjnych i prowadzenia działalności inwestycyjnej. W związku z tym firma inwestycyjna wprowadza odpowiednie i proporcjonalne systemy, w tym systemy oparte na technologiach informacyjno-komunikacyjnych (ICT) ustanowione i zarządzane zgodnie z art. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 (*6), a także odpowiednie i proporcjonalne zasoby i procedury.


  (*6)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;" |
| --- | --- | --- |

1)

w art. 16 wprowadza się następujące zmiany:

a)

ust. 4 otrzymuje brzmienie:

„4.   Firma inwestycyjna podejmuje rozsądne działania mające na celu zapewnienie ciągłości i regularności świadczenia usług inwestycyjnych i prowadzenia działalności inwestycyjnej. W związku z tym firma inwestycyjna wprowadza odpowiednie i proporcjonalne systemy, w tym systemy oparte na technologiach informacyjno-komunikacyjnych (ICT) ustanowione i zarządzane zgodnie z art. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2554 (*6), a także odpowiednie i proporcjonalne zasoby i procedury.

(*6)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;"

*6

| b) | ust. 5 akapity drugi i trzeci otrzymuje brzmienie:

  „Firma inwestycyjna musi posiadać należyte procedury administracyjne i rachunkowe, mechanizmy kontroli wewnętrznej i skuteczne procedury oceny ryzyka.
  Bez uszczerbku dla możliwości uzyskania przez właściwe organy dostępu do komunikacji zgodnie z niniejszą dyrektywą i rozporządzeniem (UE) nr 600/2014 firma inwestycyjna musi posiadać należyte mechanizmy bezpieczeństwa służące zapewnieniu – zgodnie z wymogami określonymi w rozporządzeniu (UE) 2022/2554 – bezpieczeństwa środków przekazu informacji i ich uwierzytelnianiu, minimalizowaniu ryzyka uszkodzenia danych oraz nieuprawnionego dostępu i zapobieganiu wyciekowi informacji, zapewniając w ten sposób poufność danych przez cały czas.”; |
| --- | --- |

b)

ust. 5 akapity drugi i trzeci otrzymuje brzmienie:

„Firma inwestycyjna musi posiadać należyte procedury administracyjne i rachunkowe, mechanizmy kontroli wewnętrznej i skuteczne procedury oceny ryzyka.

Bez uszczerbku dla możliwości uzyskania przez właściwe organy dostępu do komunikacji zgodnie z niniejszą dyrektywą i rozporządzeniem (UE) nr 600/2014 firma inwestycyjna musi posiadać należyte mechanizmy bezpieczeństwa służące zapewnieniu – zgodnie z wymogami określonymi w rozporządzeniu (UE) 2022/2554 – bezpieczeństwa środków przekazu informacji i ich uwierzytelnianiu, minimalizowaniu ryzyka uszkodzenia danych oraz nieuprawnionego dostępu i zapobieganiu wyciekowi informacji, zapewniając w ten sposób poufność danych przez cały czas.”;

| 2) | w art. 17 wprowadza się następujące zmiany:






  a) | ust. 1 otrzymuje brzmienie:

  „1.   Firma inwestycyjna prowadząca handel algorytmiczny musi posiadać skuteczne systemy i mechanizmy kontroli ryzyka odpowiednie dla prowadzonej działalności, aby zapewnić odporność i wystarczającą wydajność swoich systemów transakcyjnych zgodnie z wymogami określonymi w rozdziale II rozporządzenia (UE) 2022/2554 oraz zapewnić, aby podlegały one odpowiednim progom i limitom transakcyjnym oraz uniemożliwiały wysyłanie błędnych zleceń, a także aby nie dopuścić do sytuacji, w której sposób funkcjonowania systemu mógłby doprowadzić lub przyczynić się do powstania zaburzeń rynkowych.
  Taka firma musi posiadać również skuteczne systemy i mechanizmy kontroli ryzyka, aby zapewnić uniemożliwienie wykorzystania systemów transakcyjnych do celów sprzecznych z rozporządzeniem (UE) nr 596/2014 lub regulaminem systemu obrotu, do którego jest podłączona.
  Firma inwestycyjna musi posiadać skuteczne rozwiązania w zakresie ciągłości działania, aby sprostać wszelkim awariom swoich systemów transakcyjnych, w tym strategie i plany na rzecz ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT ustanowione zgodnie z art. 11 rozporządzenia (UE) 2022/2554, oraz zapewnia kompleksowe testowanie i właściwe monitorowanie swoich systemów, aby zapewnić spełnianie przez nie ogólnych wymogów określonych w niniejszym ustępie oraz wszelkich wymogów szczególnych określonych w rozdziałach II i IV rozporządzenia (UE) 2022/2554.”; |
| --- | --- | --- |

2)

w art. 17 wprowadza się następujące zmiany:

a)

ust. 1 otrzymuje brzmienie:

„1.   Firma inwestycyjna prowadząca handel algorytmiczny musi posiadać skuteczne systemy i mechanizmy kontroli ryzyka odpowiednie dla prowadzonej działalności, aby zapewnić odporność i wystarczającą wydajność swoich systemów transakcyjnych zgodnie z wymogami określonymi w rozdziale II rozporządzenia (UE) 2022/2554 oraz zapewnić, aby podlegały one odpowiednim progom i limitom transakcyjnym oraz uniemożliwiały wysyłanie błędnych zleceń, a także aby nie dopuścić do sytuacji, w której sposób funkcjonowania systemu mógłby doprowadzić lub przyczynić się do powstania zaburzeń rynkowych.

Taka firma musi posiadać również skuteczne systemy i mechanizmy kontroli ryzyka, aby zapewnić uniemożliwienie wykorzystania systemów transakcyjnych do celów sprzecznych z rozporządzeniem (UE) nr 596/2014 lub regulaminem systemu obrotu, do którego jest podłączona.

Firma inwestycyjna musi posiadać skuteczne rozwiązania w zakresie ciągłości działania, aby sprostać wszelkim awariom swoich systemów transakcyjnych, w tym strategie i plany na rzecz ciągłości działania w zakresie ICT oraz plany reagowania i przywracania sprawności ICT ustanowione zgodnie z art. 11 rozporządzenia (UE) 2022/2554, oraz zapewnia kompleksowe testowanie i właściwe monitorowanie swoich systemów, aby zapewnić spełnianie przez nie ogólnych wymogów określonych w niniejszym ustępie oraz wszelkich wymogów szczególnych określonych w rozdziałach II i IV rozporządzenia (UE) 2022/2554.”;

| b) | ust. 7 lit. a) otrzymuje brzmienie:






  „a) | szczegółowych wymogów organizacyjnych określonych w ust. 1–6, innych niż wymogi organizacyjne dotyczące zarządzania ryzykiem związanym z ICT, którym powinny podlegać firmy inwestycyjne świadczące różne usługi inwestycyjne, prowadzące różną działalność inwestycyjną, świadczące usługi dodatkowe lub ich kombinację, poprzez które szczegółowe uregulowania wymogów organizacyjnych z ust. 5 ustanawiają wymogi szczególne dla bezpośredniego dostępu do rynku oraz dla dostępu sponsorowanego w taki sposób, aby zapewnić przynajmniej równoważność kontroli stosowanych do dostępu sponsorowanego z kontrolami stosowanymi do bezpośredniego dostępu do rynku;”; |
| --- | --- | --- |

b)

ust. 7 lit. a) otrzymuje brzmienie:

„a)

szczegółowych wymogów organizacyjnych określonych w ust. 1–6, innych niż wymogi organizacyjne dotyczące zarządzania ryzykiem związanym z ICT, którym powinny podlegać firmy inwestycyjne świadczące różne usługi inwestycyjne, prowadzące różną działalność inwestycyjną, świadczące usługi dodatkowe lub ich kombinację, poprzez które szczegółowe uregulowania wymogów organizacyjnych z ust. 5 ustanawiają wymogi szczególne dla bezpośredniego dostępu do rynku oraz dla dostępu sponsorowanego w taki sposób, aby zapewnić przynajmniej równoważność kontroli stosowanych do dostępu sponsorowanego z kontrolami stosowanymi do bezpośredniego dostępu do rynku;”;

| 3) | w art. 47 ust. 1 wprowadza się następujące zmiany:






  a) | lit. b) otrzymuje brzmienie:






  „b) | odpowiednich zdolności do zarządzania ryzykiem, na które jest narażony, w tym do zarządzania ryzykiem związanym z ICT zgodnie z rozdziałem II rozporządzenia (UE) 2022/2554, do wdrażania odpowiednich mechanizmów i systemów na potrzeby ustalania istotnego ryzyka dla swojej działalności oraz wprowadzenia skutecznych środków ograniczania tego ryzyka;”; |
| --- | --- | --- | --- |

3)

w art. 47 ust. 1 wprowadza się następujące zmiany:

a)

lit. b) otrzymuje brzmienie:

„b)

odpowiednich zdolności do zarządzania ryzykiem, na które jest narażony, w tym do zarządzania ryzykiem związanym z ICT zgodnie z rozdziałem II rozporządzenia (UE) 2022/2554, do wdrażania odpowiednich mechanizmów i systemów na potrzeby ustalania istotnego ryzyka dla swojej działalności oraz wprowadzenia skutecznych środków ograniczania tego ryzyka;”;

| b) | uchyla się lit. c); |
| --- | --- |

b)

uchyla się lit. c);

| 4) | w art. 48 wprowadza się następujące zmiany:






  a) | ust. 1 otrzymuje brzmienie:

  „1.   Państwa członkowskie wymagają, aby rynek regulowany uzyskał i utrzymywał swoją odporność operacyjną zgodnie z wymogami określonymi w rozdziale II rozporządzenia (UE) 2022/2554 zapewniającą odporność jego systemów transakcyjnych, ich wystarczającą wydajność, aby móc obsłużyć znaczny wolumen zleceń i komunikatów w szczytowych okresach, zdolność zapewnienia prawidłowego obrotu w warunkach dużych napięć rynkowych, pełne przetestowanie mające zapewnić spełnienie tych warunków, a także objęcie skutecznymi rozwiązaniami w zakresie ciągłości działania, w tym strategią i planami na rzecz ciągłości działania w zakresie ICT oraz planami reagowania i przywracania sprawności ICT ustanowionymi zgodnie z art. 11 rozporządzenia (UE) 2022/2554, celem zapewnienia ciągłości świadczenia usług w przypadku wystąpienia jakichkolwiek awarii systemów transakcyjnych.”; |
| --- | --- | --- |

4)

w art. 48 wprowadza się następujące zmiany:

a)

ust. 1 otrzymuje brzmienie:

„1.   Państwa członkowskie wymagają, aby rynek regulowany uzyskał i utrzymywał swoją odporność operacyjną zgodnie z wymogami określonymi w rozdziale II rozporządzenia (UE) 2022/2554 zapewniającą odporność jego systemów transakcyjnych, ich wystarczającą wydajność, aby móc obsłużyć znaczny wolumen zleceń i komunikatów w szczytowych okresach, zdolność zapewnienia prawidłowego obrotu w warunkach dużych napięć rynkowych, pełne przetestowanie mające zapewnić spełnienie tych warunków, a także objęcie skutecznymi rozwiązaniami w zakresie ciągłości działania, w tym strategią i planami na rzecz ciągłości działania w zakresie ICT oraz planami reagowania i przywracania sprawności ICT ustanowionymi zgodnie z art. 11 rozporządzenia (UE) 2022/2554, celem zapewnienia ciągłości świadczenia usług w przypadku wystąpienia jakichkolwiek awarii systemów transakcyjnych.”;

| b) | ust. 6 otrzymuje brzmienie:

  „6.   Państwa członkowskie wymagają, aby rynek regulowany posiadał skuteczne systemy, procedury i mechanizmy, w tym nakładające na członków lub uczestników obowiązek przeprowadzania odpowiednich testów algorytmów i zapewnienia warunków ułatwiających prowadzenie takich testów – zgodnie z wymogami określonymi w rozdziałach II i IV rozporządzenia (UE) 2022/2554 – w celu zapewnienia, aby systemy handlu algorytmicznego nie mogły doprowadzić lub przyczynić się do powstania na rynku zakłóceń obrotu oraz w celu eliminowania wszelkich warunków powodujących zakłócenia obrotu, spowodowanych takimi systemami handlu algorytmicznego, w tym systemy umożliwiające ograniczenie wielkości wskaźnika niewykonanych zleceń do liczby transakcji, które członek lub uczestnik rynku może wprowadzić do systemu, spowolnienie napływu zleceń w przypadku ryzyka osiągnięcia przez system maksymalnej wydajności oraz ograniczenie i egzekwowanie minimalnej wielkości zmiany ceny, jakiej można dokonywać na rynku.”; |
| --- | --- |

b)

ust. 6 otrzymuje brzmienie:

„6.   Państwa członkowskie wymagają, aby rynek regulowany posiadał skuteczne systemy, procedury i mechanizmy, w tym nakładające na członków lub uczestników obowiązek przeprowadzania odpowiednich testów algorytmów i zapewnienia warunków ułatwiających prowadzenie takich testów – zgodnie z wymogami określonymi w rozdziałach II i IV rozporządzenia (UE) 2022/2554 – w celu zapewnienia, aby systemy handlu algorytmicznego nie mogły doprowadzić lub przyczynić się do powstania na rynku zakłóceń obrotu oraz w celu eliminowania wszelkich warunków powodujących zakłócenia obrotu, spowodowanych takimi systemami handlu algorytmicznego, w tym systemy umożliwiające ograniczenie wielkości wskaźnika niewykonanych zleceń do liczby transakcji, które członek lub uczestnik rynku może wprowadzić do systemu, spowolnienie napływu zleceń w przypadku ryzyka osiągnięcia przez system maksymalnej wydajności oraz ograniczenie i egzekwowanie minimalnej wielkości zmiany ceny, jakiej można dokonywać na rynku.”;

| c) | w ust. 12 wprowadza się następujące zmiany:






  (i) | lit. a) otrzymuje brzmienie:






  „a) | wymogi mające na celu zapewnienie odporności systemów transakcyjnych rynków regulowanych oraz ich odpowiedniej wydajności, z wyjątkiem wymogów związanych z operacyjną odpornością cyfrową;”; |
| --- | --- | --- | --- |

c)

w ust. 12 wprowadza się następujące zmiany:

(i)

lit. a) otrzymuje brzmienie:

„a)

wymogi mające na celu zapewnienie odporności systemów transakcyjnych rynków regulowanych oraz ich odpowiedniej wydajności, z wyjątkiem wymogów związanych z operacyjną odpornością cyfrową;”;

| (ii) | lit. g) otrzymuje brzmienie:






  „g) | wymogi mające zapewniać przeprowadzanie odpowiednich testów algorytmów, innych niż testowanie operacyjnej odporności cyfrowej, w celu zapewnienia, aby systemy handlu algorytmicznego obejmujące systemy handlu algorytmicznego o wysokiej częstotliwości nie mogły doprowadzić lub przyczynić się do powstania na rynku zakłóceń obrotu.”. |
| --- | --- | --- |

(ii)

lit. g) otrzymuje brzmienie:

„g)

wymogi mające zapewniać przeprowadzanie odpowiednich testów algorytmów, innych niż testowanie operacyjnej odporności cyfrowej, w celu zapewnienia, aby systemy handlu algorytmicznego obejmujące systemy handlu algorytmicznego o wysokiej częstotliwości nie mogły doprowadzić lub przyczynić się do powstania na rynku zakłóceń obrotu.”.

Artykuł 7

Zmiany dyrektywy (UE) 2015/2366

W dyrektywie (UE) 2015/2366 wprowadza się następujące zmiany:

| 1) | art. 3 lit. j) otrzymuje brzmienie:






  „j) | usług świadczonych przez dostawców usług technicznych, które wspierają świadczenie usług płatniczych, nie wchodząc jednak na żadnym etapie w posiadanie transferowanych środków pieniężnych; usługi te obejmują m.in. przetwarzanie i przechowywanie danych, usługi powiernicze i ochrony prywatności, uwierzytelnianie danych i podmiotów, technologie informacyjno-komunikacyjne (ICT), dostarczanie sieci informatycznych i komunikacyjnych, dostarczanie i konserwacja terminali i urządzeń wykorzystywanych na potrzeby usług płatniczych, z wyjątkiem usług inicjowania płatności i usług dostępu do informacji o rachunku;”; |
| --- | --- | --- |

1)

art. 3 lit. j) otrzymuje brzmienie:

„j)

usług świadczonych przez dostawców usług technicznych, które wspierają świadczenie usług płatniczych, nie wchodząc jednak na żadnym etapie w posiadanie transferowanych środków pieniężnych; usługi te obejmują m.in. przetwarzanie i przechowywanie danych, usługi powiernicze i ochrony prywatności, uwierzytelnianie danych i podmiotów, technologie informacyjno-komunikacyjne (ICT), dostarczanie sieci informatycznych i komunikacyjnych, dostarczanie i konserwacja terminali i urządzeń wykorzystywanych na potrzeby usług płatniczych, z wyjątkiem usług inicjowania płatności i usług dostępu do informacji o rachunku;”;

| 2) | w art. 5 ust. 1 wprowadza się następujące zmiany






  a) | w akapicie pierwszym wprowadza się następujące zmiany:






  (i) | lit. e) otrzymuje brzmienie:






  „e) | opis stosowanych przez wnioskodawcę zasad zarządzania i mechanizmów kontroli wewnętrznej, w tym procedur administracyjnych, procedur zarządzania ryzykiem i procedur księgowych, jak również ustaleń dotyczących korzystania z usług ICT zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*7), wykazujący, że te zasady zarządzania i mechanizmy kontroli wewnętrznej są proporcjonalne, właściwe, rzetelne i adekwatne; |
| --- | --- | --- | --- | --- |

2)

w art. 5 ust. 1 wprowadza się następujące zmiany

a)

w akapicie pierwszym wprowadza się następujące zmiany:

(i)

lit. e) otrzymuje brzmienie:

„e)

opis stosowanych przez wnioskodawcę zasad zarządzania i mechanizmów kontroli wewnętrznej, w tym procedur administracyjnych, procedur zarządzania ryzykiem i procedur księgowych, jak również ustaleń dotyczących korzystania z usług ICT zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*7), wykazujący, że te zasady zarządzania i mechanizmy kontroli wewnętrznej są proporcjonalne, właściwe, rzetelne i adekwatne;

*7

(*7)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (Dz.U. L 333 z 27.12.2022, s. 1).”;"

*7

| (ii) | lit. f) otrzymuje brzmienie:






  „f) | opis procedury wprowadzonej w celu monitorowania incydentów związanych z bezpieczeństwem i skarg klientów dotyczących bezpieczeństwa oraz postępowania i działań następczych w przypadku wystąpienia takich incydentów i skarg, łącznie z mechanizmem zgłaszania incydentów uwzględniającym obowiązki instytucji płatniczej dotyczące zgłaszania określone w rozdziale III rozporządzenia (UE) 2022/2554;”; |
| --- | --- | --- |

(ii)

lit. f) otrzymuje brzmienie:

„f)

opis procedury wprowadzonej w celu monitorowania incydentów związanych z bezpieczeństwem i skarg klientów dotyczących bezpieczeństwa oraz postępowania i działań następczych w przypadku wystąpienia takich incydentów i skarg, łącznie z mechanizmem zgłaszania incydentów uwzględniającym obowiązki instytucji płatniczej dotyczące zgłaszania określone w rozdziale III rozporządzenia (UE) 2022/2554;”;

| (iii) | lit. h) otrzymuje brzmienie:






  „h) | opis rozwiązań zapewniających ciągłość działania, w tym jasne określenie operacji krytycznych, skutecznej strategii i planów na rzecz ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT, a także procedury na potrzeby regularnego testowania i przeglądu adekwatności i skuteczności takich planów zgodnie z rozporządzeniem (UE) 2022/2554;”; |
| --- | --- | --- |

(iii)

lit. h) otrzymuje brzmienie:

„h)

opis rozwiązań zapewniających ciągłość działania, w tym jasne określenie operacji krytycznych, skutecznej strategii i planów na rzecz ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT, a także procedury na potrzeby regularnego testowania i przeglądu adekwatności i skuteczności takich planów zgodnie z rozporządzeniem (UE) 2022/2554;”;

| b) | akapit trzeci otrzymuje brzmienie:

  „Środki kontroli bezpieczeństwa i ograniczania ryzyka, o których mowa w akapicie pierwszym lit. j), wskazują sposób zapewniania wysokiego poziomu operacyjnej odporności cyfrowej zgodnie z rozdziałem II rozporządzenia (UE) 2022/2554, w szczególności w zakresie bezpieczeństwa technicznego i ochrony danych, w tym w odniesieniu do oprogramowania i systemów ICT stosowanych przez wnioskodawcę lub przedsiębiorstwa, którym zleca on w ramach outsourcingu całość lub część swoich operacji. Środki te obejmują również środki bezpieczeństwa określone w art. 95 ust. 1 niniejszej dyrektywy. Środki te uwzględniają wytyczne EUNB dotyczące środków bezpieczeństwa, o których mowa w art. 95 ust. 3 niniejszej dyrektywy, kiedy zostaną one przyjęte.”; |
| --- | --- |

b)

akapit trzeci otrzymuje brzmienie:

„Środki kontroli bezpieczeństwa i ograniczania ryzyka, o których mowa w akapicie pierwszym lit. j), wskazują sposób zapewniania wysokiego poziomu operacyjnej odporności cyfrowej zgodnie z rozdziałem II rozporządzenia (UE) 2022/2554, w szczególności w zakresie bezpieczeństwa technicznego i ochrony danych, w tym w odniesieniu do oprogramowania i systemów ICT stosowanych przez wnioskodawcę lub przedsiębiorstwa, którym zleca on w ramach outsourcingu całość lub część swoich operacji. Środki te obejmują również środki bezpieczeństwa określone w art. 95 ust. 1 niniejszej dyrektywy. Środki te uwzględniają wytyczne EUNB dotyczące środków bezpieczeństwa, o których mowa w art. 95 ust. 3 niniejszej dyrektywy, kiedy zostaną one przyjęte.”;

| 3) | art. 19 ust. 6 akapit drugi otrzymuje brzmienie:

  „Zlecanie w ramach outsourcingu ważnych funkcji operacyjnych, łącznie z systemami ICT, nie może odbywać się w sposób istotnie obniżający jakość kontroli wewnętrznej instytucji płatniczej oraz zdolność właściwych organów do monitorowania i odtworzenia przestrzegania przez instytucję płatniczą wszystkich obowiązków określonych w niniejszej dyrektywie.”; |
| --- | --- |

3)

art. 19 ust. 6 akapit drugi otrzymuje brzmienie:

„Zlecanie w ramach outsourcingu ważnych funkcji operacyjnych, łącznie z systemami ICT, nie może odbywać się w sposób istotnie obniżający jakość kontroli wewnętrznej instytucji płatniczej oraz zdolność właściwych organów do monitorowania i odtworzenia przestrzegania przez instytucję płatniczą wszystkich obowiązków określonych w niniejszej dyrektywie.”;

| 4) | w art. 95 ust. 1 dodaje się akapit w brzmieniu:

  „Akapit pierwszy pozostaje bez uszczerbku dla stosowania rozdziału II rozporządzenia (UE) 2022/2554 do:






  a) | dostawców usług płatniczych, o których mowa w art. 1 ust. 1 lit. a), b) i d) niniejszej dyrektywy; |
| --- | --- | --- |

4)

w art. 95 ust. 1 dodaje się akapit w brzmieniu:

„Akapit pierwszy pozostaje bez uszczerbku dla stosowania rozdziału II rozporządzenia (UE) 2022/2554 do:

a)

dostawców usług płatniczych, o których mowa w art. 1 ust. 1 lit. a), b) i d) niniejszej dyrektywy;

| b) | dostawców świadczących usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 niniejszej dyrektywy; |
| --- | --- |

b)

dostawców świadczących usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 niniejszej dyrektywy;

| c) | instytucji płatniczych zwolnionych zgodnie z art. 32 ust. 1 niniejszej dyrektywy; oraz |
| --- | --- |

c)

instytucji płatniczych zwolnionych zgodnie z art. 32 ust. 1 niniejszej dyrektywy; oraz

| d) | instytucji pieniądza elektronicznego korzystających z wyłączenia, o którym mowa w art. 9 ust. 1 dyrektywy 2009/110/WE.”; |
| --- | --- |

d)

instytucji pieniądza elektronicznego korzystających z wyłączenia, o którym mowa w art. 9 ust. 1 dyrektywy 2009/110/WE.”;

| 5) | w art. 96 dodaje się ustęp w brzmieniu:

  „7.   Państwa członkowskie zapewniają, aby ust. 1–5 niniejszego artykułu nie miały zastosowania do:






  a) | dostawców usług płatniczych, o których mowa w art. 1 ust. 1 lit. a), b) i d) niniejszej dyrektywy; |
| --- | --- | --- |

5)

w art. 96 dodaje się ustęp w brzmieniu:

„7.   Państwa członkowskie zapewniają, aby ust. 1–5 niniejszego artykułu nie miały zastosowania do:

a)

dostawców usług płatniczych, o których mowa w art. 1 ust. 1 lit. a), b) i d) niniejszej dyrektywy;

| b) | dostawców świadczących usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 niniejszej dyrektywy; |
| --- | --- |

b)

dostawców świadczących usługę dostępu do informacji o rachunku, o których mowa w art. 33 ust. 1 niniejszej dyrektywy;

| c) | instytucji płatniczych zwolnionych zgodnie z art. 32 ust. 1 niniejszej dyrektywy; oraz |
| --- | --- |

c)

instytucji płatniczych zwolnionych zgodnie z art. 32 ust. 1 niniejszej dyrektywy; oraz

| d) | instytucji pieniądza elektronicznego korzystających z wyłączenia, o którym mowa w art. 9 ust. 1 dyrektywy 2009/110/WE.”; |
| --- | --- |

d)

instytucji pieniądza elektronicznego korzystających z wyłączenia, o którym mowa w art. 9 ust. 1 dyrektywy 2009/110/WE.”;

| 6) | art. 98 ust. 5 otrzymuje brzmienie:

  „5.   EUNB, zgodnie z art. 10 rozporządzenia (UE) nr 1093/2010, dokonuje regularnego przeglądu i, w stosownych przypadkach, aktualizuje regulacyjne standardy techniczne w celu, między innymi, uwzględnienia innowacji i postępu technologicznego oraz przepisów rozdziału II rozporządzenia (UE) 2022/2554”. |
| --- | --- |

6)

art. 98 ust. 5 otrzymuje brzmienie:

„5.   EUNB, zgodnie z art. 10 rozporządzenia (UE) nr 1093/2010, dokonuje regularnego przeglądu i, w stosownych przypadkach, aktualizuje regulacyjne standardy techniczne w celu, między innymi, uwzględnienia innowacji i postępu technologicznego oraz przepisów rozdziału II rozporządzenia (UE) 2022/2554”.

Artykuł 8

Zmiany dyrektywy (UE) 2016/2341

Art. 21 ust. 5 dyrektywy (UE) 2016/2341 otrzymuje brzmienie:

„5.   Państwa członkowskie zapewniają, aby IORP podejmowały rozsądne działania w celu zapewnienia ciągłości i regularności prowadzenia swojej działalności, co obejmuje opracowanie planów awaryjnych. W tym celu IORP, w stosownych przypadkach, stosują odpowiednie i współmierne systemy, zasoby i procedury oraz w szczególności ustanawiają sieci i systemy informatyczne i zarządzają nimi zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (*8).

Artykuł 9

Transpozycja

1.   Państwa członkowskie przyjmują i publikują do dnia 17 stycznia 2025 r. przepisy niezbędne do wykonania niniejszej dyrektywy. Niezwłocznie powiadamiają o tym Komisję.

Państwa członkowskie stosują te przepisy od dnia 17 stycznia 2025 r.

Przepisy przyjęte przez państwa członkowskie zawierają odniesienie do niniejszej dyrektywy lub odniesienie takie towarzyszy ich urzędowej publikacji. Sposoby dokonywania takiego odniesienia określane są przez państwa członkowskie.

2.   Państwa członkowskie przekazują Komisji teksty najważniejszych przepisów prawa krajowego w dziedzinie objętej zakresem niniejszej dyrektywy.

Artykuł 10

Wejście w życie

Niniejsza dyrektywa wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Dzienniku Urzędowym Unii Europejskiej

Artykuł 11

Adresaci

Niniejsza dyrektywa skierowana jest do państw członkowskich.

Sporządzono w Strasburgu dnia 14 grudnia 2022 r.

W imieniu Parlamentu Europejskiego

Przewodnicząca

R. METSOLA

W imieniu Rady

Przewodniczący

M. BEK

---

(1)  
  Dz.U. C 343 z 26.8.2021, s. 1.

1

(2)  
  Dz.U. C 155 z 30.4.2021, s. 38.

2

(3)  Stanowisko Parlamentu Europejskiego z dnia 10 listopada 2022 r. (dotychczas nieopublikowane w Dzienniku Urzędowym) i decyzja Rady z dnia 28 listopada 2022 r.

3

(4)  Dyrektywa Parlamentu Europejskiego i Rady 2009/65/WE z dnia 13 lipca 2009 r. w sprawie koordynacji przepisów ustawowych, wykonawczych i administracyjnych odnoszących się do przedsiębiorstw zbiorowego inwestowania w zbywalne papiery wartościowe (UCITS) (Dz.U. L 302 z 17.11.2009, s. 32).

4

(5)  Dyrektywa Parlamentu Europejskiego i Rady 2009/138/WE z dnia 25 listopada 2009 r. w sprawie podejmowania i prowadzenia działalności ubezpieczeniowej i reasekuracyjnej (Wypłacalność II) (Dz.U. L 335 z 17.12.2009, s. 1).

5

(6)  Dyrektywa Parlamentu Europejskiego i Rady 2011/61/UE z dnia 8 czerwca 2011 r. w sprawie zarządzających alternatywnymi funduszami inwestycyjnymi i zmiany dyrektyw 2003/41/WE i 2009/65/WE oraz rozporządzeń (WE) nr 1060/2009 i (UE) nr 1095/2010 (Dz.U. L 174 z 1.7.2011, s. 1).

6

(7)  Dyrektywa Parlamentu Europejskiego i Rady 2013/36/UE z dnia 26 czerwca 2013 r. w sprawie warunków dopuszczenia instytucji kredytowych do działalności oraz nadzoru ostrożnościowego nad instytucjami kredytowymi, zmieniająca dyrektywę 2002/87/WE i uchylająca dyrektywy 2006/48/WE oraz 2006/49/WE (Dz.U. L 176 z 27.6.2013, s. 338).

7

(8)  Dyrektywa Parlamentu Europejskiego i Rady 2014/59/UE z dnia 15 maja 2014 r. ustanawiająca ramy na potrzeby prowadzenia działań naprawczych oraz restrukturyzacji i uporządkowanej likwidacji w odniesieniu do instytucji kredytowych i firm inwestycyjnych oraz zmieniająca dyrektywę Rady 82/891/EWG i dyrektywy Parlamentu Europejskiego i Rady 2001/24/WE, 2002/47/WE, 2004/25/WE, 2005/56/WE, 2007/36/WE, 2011/35/UE, 2012/30/UE i 2013/36/UE oraz rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1093/2010 i (UE) nr 648/2012 (Dz.U. L 173 z 12.6.2014, s. 190).

8

(9)  Dyrektywa Parlamentu Europejskiego i Rady 2014/65/UE z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniająca dyrektywę 2002/92/WE i dyrektywę 2011/61/UE (Dz.U. L 173 z 12.6.2014, s. 349).

9

(10)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2015/2366 z dnia 25 listopada 2015 r. w sprawie usług płatniczych w ramach rynku wewnętrznego, zmieniająca dyrektywy 2002/65/WE, 2009/110/WE, 2013/36/UE i rozporządzenie (UE) nr 1093/2010 oraz uchylająca dyrektywę 2007/64/WE (Dz.U. L 337 z 23.12.2015, s. 35).

10

(11)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/2341 z dnia 14 grudnia 2016 r. w sprawie działalności instytucji pracowniczych programów emerytalnych oraz nadzoru nad takimi instytucjami (IORP) (Dz.U. L 354 z 23.12.2016, s. 37).

11

(12)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (zob. s. 1 niniejszego Dziennika Urzędowego).

12

(13)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1093/2010 z dnia 24 listopada 2010 r. w sprawie ustanowienia Europejskiego Urzędu Nadzoru (Europejskiego Urzędu Nadzoru Bankowego), zmiany decyzji nr 716/2009/WE oraz uchylenia decyzji Komisji 2009/78/WE (Dz.U. L 331 z 15.12.2010, s. 12).

13

(14)  
  Dz.U. C 369 z 17.12.2011, s. 14.

14

---

| 27.12.2022 | PL | Dziennik Urzędowy Unii Europejskiej | L 333/164 |
| --- | --- | --- | --- |

27.12.2022

PL

Dziennik Urzędowy Unii Europejskiej

L 333/164

---

DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2022/2557

z dnia 14 grudnia 2022 r.

w sprawie odporności podmiotów krytycznych i uchylająca dyrektywę Rady 2008/114/WE

(Tekst mający znaczenie dla EOG)

PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 114,

uwzględniając wniosek Komisji Europejskiej,

po przekazaniu projektu aktu ustawodawczego parlamentom narodowym,

uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego (1),

uwzględniając opinię Komitetu Regionów (2),

stanowiąc zgodnie ze zwykłą procedurą ustawodawczą (3),

a także mając na uwadze, co następuje:

| (1) | Podmioty krytyczne, jako dostawcy usług kluczowych, odgrywają nieodzowną rolę w utrzymaniu niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej na rynku wewnętrznym w coraz bardziej współzależnej gospodarce Unii. Konieczne jest zatem określenie unijnych ram mających na celu zarówno zwiększenie odporności podmiotów krytycznych na rynku wewnętrznym poprzez ustanowienie zharmonizowanych przepisów określających minimalne standardy, jak i pomaganie tym podmiotom poprzez spójne i ukierunkowane środki wsparcia i nadzoru. |
| --- | --- |

(1)

Podmioty krytyczne, jako dostawcy usług kluczowych, odgrywają nieodzowną rolę w utrzymaniu niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej na rynku wewnętrznym w coraz bardziej współzależnej gospodarce Unii. Konieczne jest zatem określenie unijnych ram mających na celu zarówno zwiększenie odporności podmiotów krytycznych na rynku wewnętrznym poprzez ustanowienie zharmonizowanych przepisów określających minimalne standardy, jak i pomaganie tym podmiotom poprzez spójne i ukierunkowane środki wsparcia i nadzoru.

| (2) | Dyrektywa Rady 2008/114/WE (4) przewiduje procedurę wyznaczania w sektorach energii i transportu europejskiej infrastruktury krytycznej, której zakłócenie lub zniszczenie miałoby istotny wpływ transgraniczny na co najmniej dwa państwa członkowskie. Dyrektywa ta koncentruje się wyłącznie na ochronie takiej infrastruktury. Ocena dyrektywy 2008/114/WE przeprowadzona w 2019 r. wykazała jednak, że ze względu na w coraz większym stopniu wzajemnie powiązany i transgraniczny charakter operacji wykorzystujących infrastrukturę krytyczną środki ochronne związane wyłącznie z pojedynczymi składnikami infrastruktury są niewystarczające, aby zapobiec wszystkim zakłóceniom. Wobec tego niezbędna jest zmiana podejścia z myślą o zapewnieniu lepszego uwzględniania ryzyk, lepszego zdefiniowania i uspójnienia ról i obowiązków podmiotów krytycznych jako dostawców usług kluczowych dla funkcjonowania rynku wewnętrznego oraz przyjęcia unijnych przepisów na rzecz zwiększenia odporności podmiotów krytycznych. Podmioty krytyczne powinny być w stanie zwiększyć swoje zdolności do zapobiegania incydentom mogącym zakłócić świadczenie usług kluczowych, ochrony przed takimi incydentami i odpowiedzi na nie, stawiania im oporu, łagodzenia i absorbowania ich oraz adaptacji i odtworzenia po takich incydentach. |
| --- | --- |

(2)

Dyrektywa Rady 2008/114/WE (4) przewiduje procedurę wyznaczania w sektorach energii i transportu europejskiej infrastruktury krytycznej, której zakłócenie lub zniszczenie miałoby istotny wpływ transgraniczny na co najmniej dwa państwa członkowskie. Dyrektywa ta koncentruje się wyłącznie na ochronie takiej infrastruktury. Ocena dyrektywy 2008/114/WE przeprowadzona w 2019 r. wykazała jednak, że ze względu na w coraz większym stopniu wzajemnie powiązany i transgraniczny charakter operacji wykorzystujących infrastrukturę krytyczną środki ochronne związane wyłącznie z pojedynczymi składnikami infrastruktury są niewystarczające, aby zapobiec wszystkim zakłóceniom. Wobec tego niezbędna jest zmiana podejścia z myślą o zapewnieniu lepszego uwzględniania ryzyk, lepszego zdefiniowania i uspójnienia ról i obowiązków podmiotów krytycznych jako dostawców usług kluczowych dla funkcjonowania rynku wewnętrznego oraz przyjęcia unijnych przepisów na rzecz zwiększenia odporności podmiotów krytycznych. Podmioty krytyczne powinny być w stanie zwiększyć swoje zdolności do zapobiegania incydentom mogącym zakłócić świadczenie usług kluczowych, ochrony przed takimi incydentami i odpowiedzi na nie, stawiania im oporu, łagodzenia i absorbowania ich oraz adaptacji i odtworzenia po takich incydentach.

| (3) | Chociaż pewne środki istniejące na poziomie unijnym, takie jak europejski program ochrony infrastruktury krytycznej, i krajowym mają na celu wspieranie ochrony infrastruktury krytycznej w Unii, należy zrobić więcej, aby lepiej przygotować podmioty będące operatorami takiej infrastruktury do reagowania na ryzyko dla ich funkcjonowania, które mogłoby prowadzić do zakłóceń w świadczeniu usług kluczowych. Należy również zrobić więcej, aby lepiej przygotować takie podmioty na dynamiczny krajobraz zagrożeń, obejmujący m.in. ewoluujące zagrożenia hybrydowe i terrorystyczne, i na rosnące współzależności między infrastrukturą a sektorami. Ponadto istnieje zwiększone fizyczne ryzyko związane z klęskami żywiołowymi i zmianą klimatu, która zwiększa częstotliwość i skalę ekstremalnych zdarzeń pogodowych i wywołuje długoterminowe zmiany średnich warunków klimatycznych, co może ograniczyć zdolności, skuteczność i okres eksploatacji niektórych rodzajów infrastruktury, jeżeli nie zostaną wdrożone środki z zakresu przystosowania się do zmiany klimatu. Ponadto rynek wewnętrzny charakteryzuje się fragmentacją w zakresie identyfikacji podmiotów krytycznych, ponieważ odpowiednie sektory i kategorie podmiotów nie są spójnie uznawane za krytyczne we wszystkich państwach członkowskich. Niniejsza dyrektywa powinna zatem umocnić harmonizację w odniesieniu do sektorów i kategorii podmiotów objętych jej zakresem stosowania. |
| --- | --- |

(3)

Chociaż pewne środki istniejące na poziomie unijnym, takie jak europejski program ochrony infrastruktury krytycznej, i krajowym mają na celu wspieranie ochrony infrastruktury krytycznej w Unii, należy zrobić więcej, aby lepiej przygotować podmioty będące operatorami takiej infrastruktury do reagowania na ryzyko dla ich funkcjonowania, które mogłoby prowadzić do zakłóceń w świadczeniu usług kluczowych. Należy również zrobić więcej, aby lepiej przygotować takie podmioty na dynamiczny krajobraz zagrożeń, obejmujący m.in. ewoluujące zagrożenia hybrydowe i terrorystyczne, i na rosnące współzależności między infrastrukturą a sektorami. Ponadto istnieje zwiększone fizyczne ryzyko związane z klęskami żywiołowymi i zmianą klimatu, która zwiększa częstotliwość i skalę ekstremalnych zdarzeń pogodowych i wywołuje długoterminowe zmiany średnich warunków klimatycznych, co może ograniczyć zdolności, skuteczność i okres eksploatacji niektórych rodzajów infrastruktury, jeżeli nie zostaną wdrożone środki z zakresu przystosowania się do zmiany klimatu. Ponadto rynek wewnętrzny charakteryzuje się fragmentacją w zakresie identyfikacji podmiotów krytycznych, ponieważ odpowiednie sektory i kategorie podmiotów nie są spójnie uznawane za krytyczne we wszystkich państwach członkowskich. Niniejsza dyrektywa powinna zatem umocnić harmonizację w odniesieniu do sektorów i kategorii podmiotów objętych jej zakresem stosowania.

| (4) | Chociaż niektóre sektory gospodarki, takie jak sektory energii i transportu, są już regulowane sektorowymi aktami prawnymi Unii, te akty prawne zawierają przepisy dotyczące jedynie niektórych aspektów odporności podmiotów prowadzących działalność w tych sektorach. Aby podejść w sposób kompleksowy do kwestii odporności podmiotów, które są krytyczne dla prawidłowego funkcjonowania rynku wewnętrznego, niniejsza dyrektywa tworzy nadrzędne ramy dotyczące odporności podmiotów krytycznych na wszystkie zagrożenia, bez względu na to, czy są to zagrożenia naturalne czy spowodowane przez człowieka, przypadkowe czy zamierzone. |
| --- | --- |

(4)

Chociaż niektóre sektory gospodarki, takie jak sektory energii i transportu, są już regulowane sektorowymi aktami prawnymi Unii, te akty prawne zawierają przepisy dotyczące jedynie niektórych aspektów odporności podmiotów prowadzących działalność w tych sektorach. Aby podejść w sposób kompleksowy do kwestii odporności podmiotów, które są krytyczne dla prawidłowego funkcjonowania rynku wewnętrznego, niniejsza dyrektywa tworzy nadrzędne ramy dotyczące odporności podmiotów krytycznych na wszystkie zagrożenia, bez względu na to, czy są to zagrożenia naturalne czy spowodowane przez człowieka, przypadkowe czy zamierzone.

| (5) | Te rosnące współzależności między infrastrukturą a sektorami są rezultatem w coraz większym stopniu transgranicznej i współzależnej sieci świadczenia usług wykorzystującej kluczową infrastrukturę w całej Unii w sektorach energii, transportu, bankowości, wody pitnej, ścieków, produkcji, przetwarzania i dystrybucji żywności, zdrowia, w sektorze kosmicznym, w sektorach infrastruktury rynku finansowego i infrastruktury cyfrowej, a także w zakresie niektórych aspektów sektora administracji publicznej. Sektor kosmiczny jest objęty zakresem stosowania niniejszej dyrektywy w odniesieniu do świadczenia niektórych usług zależnych od naziemnej infrastruktury, której właścicielami, zarządcami i operatorami są państwa członkowskie lub podmioty prywatne; w związku z tym infrastruktura, której właścicielem jest, którą zarządza lub którą obsługuje Unia w ramach swojego programu kosmicznego lub jeśli odbywa się to w jej imieniu nie jest objęta zakresem stosowania niniejszej dyrektywy.
  Jeżeli chodzi o sektor energii, a w szczególności metody wytwarzania i przesyłania energii elektrycznej (w odniesieniu do dostaw energii elektrycznej), rozumie się, że w stosownych przypadkach wytwarzanie energii elektrycznej może obejmować części elektrowni jądrowych zajmujące się przesyłaniem energii elektrycznej, z wyłączeniem elementów wyraźnie jądrowych, które są objęte umowami międzynarodowymi i prawem Unii, w tym odpowiednimi aktami prawnymi Unii dotyczącymi energii jądrowej. Proces identyfikacji podmiotów krytycznych w sektorze spożywczym powinien odpowiednio odzwierciedlać charakter rynku wewnętrznego w tym sektorze oraz kompleksowe przepisy unijne dotyczące ogólnych zasad i wymogów prawa żywnościowego i w zakresie bezpieczeństwa żywności. Dlatego też, w celu zapewnienia proporcjonalnego podejścia oraz odpowiedniego odzwierciedlenia roli i znaczenia tych podmiotów na poziomie krajowym, podmioty krytyczne należy identyfikować jedynie spośród tych przedsiębiorstw spożywczych, które zajmują się wyłącznie logistyką, dystrybucją hurtową oraz produkcją przemysłową i przetwórstwem przemysłowym na dużą skalę i o znaczącym udziale w rynku na poziomie krajowym – przy czym nie ma znaczenia, czy działają one w celach zarobkowych czy nie i czy mają charakter publiczny czy prywatny. Współzależności te oznaczają, że jakiekolwiek zakłócenie usług kluczowych, nawet takie, które początkowo ogranicza się do jednego podmiotu lub jednego sektora, może wywołać efekt kaskadowy na szerszą skalę, potencjalnie prowadzący do daleko idącego i długoterminowego negatywnego wpływu na świadczenie usług na rynku wewnętrznym. Poważne kryzysy, takie jak pandemia COVID-19, uwidoczniają podatność naszych w coraz większym stopniu współzależnych społeczeństw na ryzyko o dużym wpływie i niskim prawdopodobieństwie. |
| --- | --- |

(5)

Te rosnące współzależności między infrastrukturą a sektorami są rezultatem w coraz większym stopniu transgranicznej i współzależnej sieci świadczenia usług wykorzystującej kluczową infrastrukturę w całej Unii w sektorach energii, transportu, bankowości, wody pitnej, ścieków, produkcji, przetwarzania i dystrybucji żywności, zdrowia, w sektorze kosmicznym, w sektorach infrastruktury rynku finansowego i infrastruktury cyfrowej, a także w zakresie niektórych aspektów sektora administracji publicznej. Sektor kosmiczny jest objęty zakresem stosowania niniejszej dyrektywy w odniesieniu do świadczenia niektórych usług zależnych od naziemnej infrastruktury, której właścicielami, zarządcami i operatorami są państwa członkowskie lub podmioty prywatne; w związku z tym infrastruktura, której właścicielem jest, którą zarządza lub którą obsługuje Unia w ramach swojego programu kosmicznego lub jeśli odbywa się to w jej imieniu nie jest objęta zakresem stosowania niniejszej dyrektywy.

Jeżeli chodzi o sektor energii, a w szczególności metody wytwarzania i przesyłania energii elektrycznej (w odniesieniu do dostaw energii elektrycznej), rozumie się, że w stosownych przypadkach wytwarzanie energii elektrycznej może obejmować części elektrowni jądrowych zajmujące się przesyłaniem energii elektrycznej, z wyłączeniem elementów wyraźnie jądrowych, które są objęte umowami międzynarodowymi i prawem Unii, w tym odpowiednimi aktami prawnymi Unii dotyczącymi energii jądrowej. Proces identyfikacji podmiotów krytycznych w sektorze spożywczym powinien odpowiednio odzwierciedlać charakter rynku wewnętrznego w tym sektorze oraz kompleksowe przepisy unijne dotyczące ogólnych zasad i wymogów prawa żywnościowego i w zakresie bezpieczeństwa żywności. Dlatego też, w celu zapewnienia proporcjonalnego podejścia oraz odpowiedniego odzwierciedlenia roli i znaczenia tych podmiotów na poziomie krajowym, podmioty krytyczne należy identyfikować jedynie spośród tych przedsiębiorstw spożywczych, które zajmują się wyłącznie logistyką, dystrybucją hurtową oraz produkcją przemysłową i przetwórstwem przemysłowym na dużą skalę i o znaczącym udziale w rynku na poziomie krajowym – przy czym nie ma znaczenia, czy działają one w celach zarobkowych czy nie i czy mają charakter publiczny czy prywatny. Współzależności te oznaczają, że jakiekolwiek zakłócenie usług kluczowych, nawet takie, które początkowo ogranicza się do jednego podmiotu lub jednego sektora, może wywołać efekt kaskadowy na szerszą skalę, potencjalnie prowadzący do daleko idącego i długoterminowego negatywnego wpływu na świadczenie usług na rynku wewnętrznym. Poważne kryzysy, takie jak pandemia COVID-19, uwidoczniają podatność naszych w coraz większym stopniu współzależnych społeczeństw na ryzyko o dużym wpływie i niskim prawdopodobieństwie.

| (6) | Podmioty zaangażowane w świadczenie usług kluczowych w coraz większym stopniu podlegają rozbieżnym wymaganiom nakładanym na nie na mocy prawa krajowego. Fakt, iż niektóre państwa członkowskie mają względem tych podmiotów mniej surowe wymagania w zakresie bezpieczeństwa, nie tylko prowadzi do zróżnicowania poziomów odporności, ale może też negatywnie wpływać na utrzymanie niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej w Unii oraz prowadzi do powstawania przeszkód dla prawidłowego funkcjonowania rynku wewnętrznego. Inwestorzy i przedsiębiorstwa mogą polegać na podmiotach krytycznych i im ufać, jeśli są one odporne, a niezawodność i zaufanie są fundamentami dobrze funkcjonującego rynku wewnętrznego. Podobne rodzaje podmiotów uznaje się za krytyczne w niektórych państwach członkowskich, a w innych państwach członkowskich nie mają one tego statusu, natomiast te zidentyfikowane jako krytyczne podlegają zróżnicowanym wymaganiom w poszczególnych państwach członkowskich. Prowadzi to do powstania dodatkowego i zbędnego obciążenia administracyjnego dla przedsiębiorstw prowadzących działalność transgraniczną, w szczególności dla przedsiębiorstw działających w państwach członkowskich o surowszych wymaganiach. Dlatego unijne ramy doprowadziłyby również do wyrównania warunków działania podmiotów krytycznych w całej Unii. |
| --- | --- |

(6)

Podmioty zaangażowane w świadczenie usług kluczowych w coraz większym stopniu podlegają rozbieżnym wymaganiom nakładanym na nie na mocy prawa krajowego. Fakt, iż niektóre państwa członkowskie mają względem tych podmiotów mniej surowe wymagania w zakresie bezpieczeństwa, nie tylko prowadzi do zróżnicowania poziomów odporności, ale może też negatywnie wpływać na utrzymanie niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej w Unii oraz prowadzi do powstawania przeszkód dla prawidłowego funkcjonowania rynku wewnętrznego. Inwestorzy i przedsiębiorstwa mogą polegać na podmiotach krytycznych i im ufać, jeśli są one odporne, a niezawodność i zaufanie są fundamentami dobrze funkcjonującego rynku wewnętrznego. Podobne rodzaje podmiotów uznaje się za krytyczne w niektórych państwach członkowskich, a w innych państwach członkowskich nie mają one tego statusu, natomiast te zidentyfikowane jako krytyczne podlegają zróżnicowanym wymaganiom w poszczególnych państwach członkowskich. Prowadzi to do powstania dodatkowego i zbędnego obciążenia administracyjnego dla przedsiębiorstw prowadzących działalność transgraniczną, w szczególności dla przedsiębiorstw działających w państwach członkowskich o surowszych wymaganiach. Dlatego unijne ramy doprowadziłyby również do wyrównania warunków działania podmiotów krytycznych w całej Unii.

| (7) | Konieczne jest wprowadzenie zharmonizowanych przepisów określających minimalne standardy, aby zapewnić świadczenie usług kluczowych na rynku wewnętrznym, zwiększyć odporność podmiotów krytycznych, a także usprawnić transgraniczną współpracę między właściwymi organami. Ważne jest, aby standardy te nie ulegały dezaktualizacji pod względem ich konstrukcji i wdrażania, a jednocześnie pozwalały na niezbędną elastyczność. Kluczowe znaczenie ma również poprawa zdolności podmiotów krytycznych do świadczenia usług kluczowych w obliczu różnego rodzaju zagrożeń. |
| --- | --- |

(7)

Konieczne jest wprowadzenie zharmonizowanych przepisów określających minimalne standardy, aby zapewnić świadczenie usług kluczowych na rynku wewnętrznym, zwiększyć odporność podmiotów krytycznych, a także usprawnić transgraniczną współpracę między właściwymi organami. Ważne jest, aby standardy te nie ulegały dezaktualizacji pod względem ich konstrukcji i wdrażania, a jednocześnie pozwalały na niezbędną elastyczność. Kluczowe znaczenie ma również poprawa zdolności podmiotów krytycznych do świadczenia usług kluczowych w obliczu różnego rodzaju zagrożeń.

| (8) | Aby osiągnąć wysoki poziom odporności, państwa członkowskie powinny zidentyfikować podmioty krytyczne, które będą podlegać szczególnym wymogom i nadzorowi i które będą otrzymywać szczególne wsparcie i wytyczne w przypadku wystąpienia wszystkich istotnych ryzyk. |
| --- | --- |

(8)

Aby osiągnąć wysoki poziom odporności, państwa członkowskie powinny zidentyfikować podmioty krytyczne, które będą podlegać szczególnym wymogom i nadzorowi i które będą otrzymywać szczególne wsparcie i wytyczne w przypadku wystąpienia wszystkich istotnych ryzyk.

| (9) | Biorąc pod uwagę znaczenie cyberbezpieczeństwa z punktu widzenia odporności podmiotów krytycznych oraz mając na względzie zachowanie spójności, należy zapewnić jednolite podejście w niniejszej dyrektywie i dyrektywie Parlamentu Europejskiego i Rady (UE) 2022/2555 (5). Ze względu na większą częstotliwość i szczególny charakter ryzyka w cyberprzestrzeni dyrektywą (UE) 2022/2555 nakłada się kompleksowe wymagania na dużą grupę podmiotów celem zapewnienia ich cyberbezpieczeństwa. Zważywszy, że w dyrektywie (UE) 2022/2555 w wystarczający sposób uregulowano kwestię cyberbezpieczeństwa, aspekty regulowane przez tę dyrektywę należy wykluczyć z zakresu stosowania niniejszej dyrektywy, bez uszczerbku dla szczególnych uregulowań dotyczących podmiotów w sektorze infrastruktury cyfrowej. |
| --- | --- |

(9)

Biorąc pod uwagę znaczenie cyberbezpieczeństwa z punktu widzenia odporności podmiotów krytycznych oraz mając na względzie zachowanie spójności, należy zapewnić jednolite podejście w niniejszej dyrektywie i dyrektywie Parlamentu Europejskiego i Rady (UE) 2022/2555 (5). Ze względu na większą częstotliwość i szczególny charakter ryzyka w cyberprzestrzeni dyrektywą (UE) 2022/2555 nakłada się kompleksowe wymagania na dużą grupę podmiotów celem zapewnienia ich cyberbezpieczeństwa. Zważywszy, że w dyrektywie (UE) 2022/2555 w wystarczający sposób uregulowano kwestię cyberbezpieczeństwa, aspekty regulowane przez tę dyrektywę należy wykluczyć z zakresu stosowania niniejszej dyrektywy, bez uszczerbku dla szczególnych uregulowań dotyczących podmiotów w sektorze infrastruktury cyfrowej.

| (10) | W przypadku gdy przepisy sektorowych aktów prawnych Unii nakładają na podmioty krytyczne wymóg zastosowania środków zwiększających ich odporność, i jeżeli wymogi te są uznawane przez państwa członkowskie za co najmniej równoważne odpowiadającym im obowiązkom przewidzianym w niniejszej dyrektywie, nie powinno się stosować odpowiednich przepisów niniejszej dyrektywy, co pozwoli uniknąć powielania działań i zbędnego obciążenia. W takim przypadku należy stosować odpowiednie przepisy takich innych aktów prawnych Unii. Jeżeli nie stosuje się odpowiednich przepisów niniejszej dyrektywy, przepisów określonych w niniejszej dyrektywie dotyczących nadzoru i egzekwowania przepisów również nie należy stosować. |
| --- | --- |

(10)

W przypadku gdy przepisy sektorowych aktów prawnych Unii nakładają na podmioty krytyczne wymóg zastosowania środków zwiększających ich odporność, i jeżeli wymogi te są uznawane przez państwa członkowskie za co najmniej równoważne odpowiadającym im obowiązkom przewidzianym w niniejszej dyrektywie, nie powinno się stosować odpowiednich przepisów niniejszej dyrektywy, co pozwoli uniknąć powielania działań i zbędnego obciążenia. W takim przypadku należy stosować odpowiednie przepisy takich innych aktów prawnych Unii. Jeżeli nie stosuje się odpowiednich przepisów niniejszej dyrektywy, przepisów określonych w niniejszej dyrektywie dotyczących nadzoru i egzekwowania przepisów również nie należy stosować.

| (11) | Niniejsza dyrektywa nie wpływa na kompetencje państw członkowskich i ich organów w zakresie autonomii administracyjnej, ani na ich obowiązek gwarantowania bezpieczeństwa narodowego i obronności lub ich uprawnienia do gwarantowania innych podstawowych funkcji państwa, w szczególności w zakresie bezpieczeństwa publicznego, integralności terytorialnej i utrzymywania porządku publicznego. Wyłączenie podmiotów administracji publicznej z zakresu stosowania niniejszej dyrektywy powinno mieć zastosowanie do podmiotów, które prowadzą działalność głównie w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw. Niemniej podmioty administracji publicznej, których działalność jest jedynie w niewielkim stopniu związana z tymi obszarami, powinny być objęte zakresem stosowania niniejszej dyrektywy. Do celów niniejszej dyrektywy podmioty posiadające kompetencje regulacyjne nie są uznawane za prowadzące działalność w obszarze egzekwowania prawa i w związku z tym nie są na tej podstawie wyłączone z zakresu jej stosowania. Podmioty administracji publicznej ustanowione wspólnie z państwem trzecim zgodnie z umową międzynarodową, są wyłączone z zakresu stosowania niniejszej dyrektywy. Niniejsza dyrektywa nie ma zastosowania do misji dyplomatycznych i konsularnych państw członkowskich w państwach trzecich.
  Niektóre podmioty krytyczne prowadzą działalność w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw, lub świadczą usługi wyłącznie na rzecz podmiotów administracji publicznej, które prowadzą działalność głównie w wymienionych obszarach. W świetle odpowiedzialności państw członkowskich za gwarantowanie bezpieczeństwa narodowego i obronności państwa członkowskie powinny mieć możliwość zdecydowania, że obowiązki podmiotów krytycznych ustanowione w niniejszej dyrektywie nie mają zastosowania, w całości lub w części, do tych podmiotów krytycznych, jeżeli świadczone przez nie usługi lub prowadzona przez nie działalność są głównie związane z obszarami bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw. Podmioty krytyczne, których usługi lub działalność są jedynie w niewielkim stopniu związane z tymi obszarami, powinny być objęte zakresem stosowania niniejszej dyrektywy. Żadne państwo członkowskie nie powinno mieć obowiązku udzielania informacji, których ujawnienie byłoby sprzeczne z podstawowymi interesami jego bezpieczeństwa narodowego. Istotne znaczenie mają w tym zakresie unijne lub krajowe przepisy dotyczące ochrony informacji niejawnych oraz umowy o zachowaniu poufności. |
| --- | --- |

(11)

Niniejsza dyrektywa nie wpływa na kompetencje państw członkowskich i ich organów w zakresie autonomii administracyjnej, ani na ich obowiązek gwarantowania bezpieczeństwa narodowego i obronności lub ich uprawnienia do gwarantowania innych podstawowych funkcji państwa, w szczególności w zakresie bezpieczeństwa publicznego, integralności terytorialnej i utrzymywania porządku publicznego. Wyłączenie podmiotów administracji publicznej z zakresu stosowania niniejszej dyrektywy powinno mieć zastosowanie do podmiotów, które prowadzą działalność głównie w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw. Niemniej podmioty administracji publicznej, których działalność jest jedynie w niewielkim stopniu związana z tymi obszarami, powinny być objęte zakresem stosowania niniejszej dyrektywy. Do celów niniejszej dyrektywy podmioty posiadające kompetencje regulacyjne nie są uznawane za prowadzące działalność w obszarze egzekwowania prawa i w związku z tym nie są na tej podstawie wyłączone z zakresu jej stosowania. Podmioty administracji publicznej ustanowione wspólnie z państwem trzecim zgodnie z umową międzynarodową, są wyłączone z zakresu stosowania niniejszej dyrektywy. Niniejsza dyrektywa nie ma zastosowania do misji dyplomatycznych i konsularnych państw członkowskich w państwach trzecich.

Niektóre podmioty krytyczne prowadzą działalność w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw, lub świadczą usługi wyłącznie na rzecz podmiotów administracji publicznej, które prowadzą działalność głównie w wymienionych obszarach. W świetle odpowiedzialności państw członkowskich za gwarantowanie bezpieczeństwa narodowego i obronności państwa członkowskie powinny mieć możliwość zdecydowania, że obowiązki podmiotów krytycznych ustanowione w niniejszej dyrektywie nie mają zastosowania, w całości lub w części, do tych podmiotów krytycznych, jeżeli świadczone przez nie usługi lub prowadzona przez nie działalność są głównie związane z obszarami bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw. Podmioty krytyczne, których usługi lub działalność są jedynie w niewielkim stopniu związane z tymi obszarami, powinny być objęte zakresem stosowania niniejszej dyrektywy. Żadne państwo członkowskie nie powinno mieć obowiązku udzielania informacji, których ujawnienie byłoby sprzeczne z podstawowymi interesami jego bezpieczeństwa narodowego. Istotne znaczenie mają w tym zakresie unijne lub krajowe przepisy dotyczące ochrony informacji niejawnych oraz umowy o zachowaniu poufności.

| (12) | Aby nie narażać na szwank bezpieczeństwa narodowego ani bezpieczeństwa i interesów handlowych podmiotów krytycznych, dostęp do informacji szczególnie chronionych, ich wymiana i postępowanie z nimi powinny odbywać się z zachowaniem ostrożności i zwróceniem szczególnej uwagi na wykorzystywane kanały transmisji i zdolności przechowywania. |
| --- | --- |

(12)

Aby nie narażać na szwank bezpieczeństwa narodowego ani bezpieczeństwa i interesów handlowych podmiotów krytycznych, dostęp do informacji szczególnie chronionych, ich wymiana i postępowanie z nimi powinny odbywać się z zachowaniem ostrożności i zwróceniem szczególnej uwagi na wykorzystywane kanały transmisji i zdolności przechowywania.

| (13) | W celu zapewnienia kompleksowego podejścia do odporności podmiotów krytycznych każde państwo członkowskie powinno dysponować strategią mającą na celu zwiększenie odporności podmiotów krytycznych (zwaną dalej „strategią”). Strategie powinny określać cele strategiczne i środki z zakresu polityki, które należy wdrożyć. Dla zachowania spójności i efektywności strategia powinna zostać opracowana w taki sposób, aby sprawnie zintegrować istniejące polityki, w miarę możliwości opierając się na odpowiednich istniejących strategiach krajowych i sektorowych, planach lub podobnych dokumentach. Aby wypracować kompleksowe podejście, państwa członkowskie powinny zapewnić, aby ich strategie przewidywały ramy polityczne umożliwiające zwiększoną koordynację między właściwymi organami na mocy niniejszej dyrektywy i właściwymi organami na mocy dyrektywy (UE) 2022/2555, w kontekście wymiany informacji na temat ryzyk w cyberprzestrzeni, cyberzagrożeń i cyberincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią oraz w kontekście wykonywania zadań nadzorczych. Przy określaniu swoich strategii państwa członkowskie powinny należycie uwzględnić hybrydowy charakter zagrożeń dotyczących podmiotów krytycznych. |
| --- | --- |

(13)

W celu zapewnienia kompleksowego podejścia do odporności podmiotów krytycznych każde państwo członkowskie powinno dysponować strategią mającą na celu zwiększenie odporności podmiotów krytycznych (zwaną dalej „strategią”). Strategie powinny określać cele strategiczne i środki z zakresu polityki, które należy wdrożyć. Dla zachowania spójności i efektywności strategia powinna zostać opracowana w taki sposób, aby sprawnie zintegrować istniejące polityki, w miarę możliwości opierając się na odpowiednich istniejących strategiach krajowych i sektorowych, planach lub podobnych dokumentach. Aby wypracować kompleksowe podejście, państwa członkowskie powinny zapewnić, aby ich strategie przewidywały ramy polityczne umożliwiające zwiększoną koordynację między właściwymi organami na mocy niniejszej dyrektywy i właściwymi organami na mocy dyrektywy (UE) 2022/2555, w kontekście wymiany informacji na temat ryzyk w cyberprzestrzeni, cyberzagrożeń i cyberincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią oraz w kontekście wykonywania zadań nadzorczych. Przy określaniu swoich strategii państwa członkowskie powinny należycie uwzględnić hybrydowy charakter zagrożeń dotyczących podmiotów krytycznych.

| (14) | Państwa członkowskie powinny przekazywać Komisji swoje strategie oraz ich istotne aktualizacje, w szczególności aby umożliwić Komisji ocenę prawidłowego stosowania niniejszej dyrektywy w odniesieniu do przyjętych na poziomie krajowym podejść politycznych do odporności podmiotów krytycznych. W razie potrzeby strategie te mogłyby być przekazywane jako informacje niejawne. Komisja powinna sporządzić sprawozdanie podsumowujące strategie przekazane przez państwa członkowskie, które w ramach prac Grupy ds. Odporności Podmiotów Krytycznych posłuży za podstawę wymiany informacji w celu identyfikowania najlepszych praktyk i kwestii będących przedmiotem wspólnego zainteresowania. Ze względu na wrażliwy charakter zagregowanych informacji zawartych w sprawozdaniu podsumowującym – niezależnie od tego, czy informacje te mają charakter niejawny – Komisja powinna przygotowywać sprawozdanie podsumowujące zwracając odpowiednią uwagę na bezpieczeństwo podmiotów krytycznych, państw członkowskich i Unii. Sprawozdanie podsumowujące i strategie powinny być chronione przed działaniami niezgodnymi z prawem lub działaniami w złym zamiarze i powinny być dostępne wyłącznie dla upoważnionych osób z myślą o realizowaniu celów niniejszej dyrektywy. Przekazywanie strategii i ich istotnych aktualizacji powinno również pomóc Komisji w zrozumieniu ewolucji podejść do odporności podmiotów krytycznych oraz wpisać się w proces monitorowania skutków i wartości dodanej niniejszej dyrektywy, która podlegać będzie regularnemu przeglądowi dokonywanemu przez Komisję. |
| --- | --- |

(14)

Państwa członkowskie powinny przekazywać Komisji swoje strategie oraz ich istotne aktualizacje, w szczególności aby umożliwić Komisji ocenę prawidłowego stosowania niniejszej dyrektywy w odniesieniu do przyjętych na poziomie krajowym podejść politycznych do odporności podmiotów krytycznych. W razie potrzeby strategie te mogłyby być przekazywane jako informacje niejawne. Komisja powinna sporządzić sprawozdanie podsumowujące strategie przekazane przez państwa członkowskie, które w ramach prac Grupy ds. Odporności Podmiotów Krytycznych posłuży za podstawę wymiany informacji w celu identyfikowania najlepszych praktyk i kwestii będących przedmiotem wspólnego zainteresowania. Ze względu na wrażliwy charakter zagregowanych informacji zawartych w sprawozdaniu podsumowującym – niezależnie od tego, czy informacje te mają charakter niejawny – Komisja powinna przygotowywać sprawozdanie podsumowujące zwracając odpowiednią uwagę na bezpieczeństwo podmiotów krytycznych, państw członkowskich i Unii. Sprawozdanie podsumowujące i strategie powinny być chronione przed działaniami niezgodnymi z prawem lub działaniami w złym zamiarze i powinny być dostępne wyłącznie dla upoważnionych osób z myślą o realizowaniu celów niniejszej dyrektywy. Przekazywanie strategii i ich istotnych aktualizacji powinno również pomóc Komisji w zrozumieniu ewolucji podejść do odporności podmiotów krytycznych oraz wpisać się w proces monitorowania skutków i wartości dodanej niniejszej dyrektywy, która podlegać będzie regularnemu przeglądowi dokonywanemu przez Komisję.

| (15) | Działania państw członkowskich mające na celu identyfikację podmiotów krytycznych i przyczynienie się do zapewniania ich odporności powinny być zgodne z podejściem opierającym się na analizie ryzyka skoncentrowanym na podmiotach najważniejszych dla pełnienia niezbędnych funkcji społecznych lub prowadzenia niezbędnej działalności gospodarczej. W celu zapewnienia takiego ukierunkowanego podejścia każde państwo członkowskie powinno przeprowadzić – w zharmonizowanych ramach – ocenę istotnych czynników ryzyka, naturalnych i spowodowanych przez człowieka, w tym tych o charakterze międzysektorowym lub transgranicznym, które mogą wpływać na świadczenie usług kluczowych, z uwzględnieniem wypadków, klęsk żywiołowych, stanów zagrożenia zdrowia publicznego, takich jak pandemie, oraz zagrożeń hybrydowych lub innych zagrożeń związanych z konfliktem, w tym przestępstw terrorystycznych, infiltracji przestępczej i sabotażu (zwaną dalej „oceną ryzyka państwa członkowskiego”). Przeprowadzając oceny ryzyka państw członkowskich, państwa członkowskie powinny uwzględnić inne ogólne lub sektorowe oceny ryzyka przeprowadzone na podstawie innych aktów prawnych Unii oraz powinny wziąć pod uwagę stopień zależności między sektorami, w tym sektorami w innych państwach członkowskich i w państwach trzecich. Wyniki ocen ryzyka państw członkowskich należy wykorzystać do celów identyfikacji podmiotów krytycznych i wspierania tych podmiotów w spełnianiu odnoszących się do nich wymogów dotyczących odporności. Niniejsza dyrektywa ma zastosowanie wyłącznie do państw członkowskich i podmiotów krytycznych prowadzących działalność w Unii. Niemniej jednak wiedza fachowa i wiedza ogólna wytworzona przez właściwe organy, w szczególności na podstawie ocen ryzyka, oraz przez Komisję, w szczególności w wyniku różnych form wsparcia i współpracy, może być wykorzystywana, w stosownych przypadkach i zgodnie z mającymi zastosowanie instrumentami prawnymi, z pożytkiem dla państw trzecich, szczególnie dla tych w bezpośrednim sąsiedztwie Unii, poprzez uwzględnienie jej w istniejącej współpracy na rzecz odporności. |
| --- | --- |

(15)

Działania państw członkowskich mające na celu identyfikację podmiotów krytycznych i przyczynienie się do zapewniania ich odporności powinny być zgodne z podejściem opierającym się na analizie ryzyka skoncentrowanym na podmiotach najważniejszych dla pełnienia niezbędnych funkcji społecznych lub prowadzenia niezbędnej działalności gospodarczej. W celu zapewnienia takiego ukierunkowanego podejścia każde państwo członkowskie powinno przeprowadzić – w zharmonizowanych ramach – ocenę istotnych czynników ryzyka, naturalnych i spowodowanych przez człowieka, w tym tych o charakterze międzysektorowym lub transgranicznym, które mogą wpływać na świadczenie usług kluczowych, z uwzględnieniem wypadków, klęsk żywiołowych, stanów zagrożenia zdrowia publicznego, takich jak pandemie, oraz zagrożeń hybrydowych lub innych zagrożeń związanych z konfliktem, w tym przestępstw terrorystycznych, infiltracji przestępczej i sabotażu (zwaną dalej „oceną ryzyka państwa członkowskiego”). Przeprowadzając oceny ryzyka państw członkowskich, państwa członkowskie powinny uwzględnić inne ogólne lub sektorowe oceny ryzyka przeprowadzone na podstawie innych aktów prawnych Unii oraz powinny wziąć pod uwagę stopień zależności między sektorami, w tym sektorami w innych państwach członkowskich i w państwach trzecich. Wyniki ocen ryzyka państw członkowskich należy wykorzystać do celów identyfikacji podmiotów krytycznych i wspierania tych podmiotów w spełnianiu odnoszących się do nich wymogów dotyczących odporności. Niniejsza dyrektywa ma zastosowanie wyłącznie do państw członkowskich i podmiotów krytycznych prowadzących działalność w Unii. Niemniej jednak wiedza fachowa i wiedza ogólna wytworzona przez właściwe organy, w szczególności na podstawie ocen ryzyka, oraz przez Komisję, w szczególności w wyniku różnych form wsparcia i współpracy, może być wykorzystywana, w stosownych przypadkach i zgodnie z mającymi zastosowanie instrumentami prawnymi, z pożytkiem dla państw trzecich, szczególnie dla tych w bezpośrednim sąsiedztwie Unii, poprzez uwzględnienie jej w istniejącej współpracy na rzecz odporności.

| (16) | W celu zapewnienia, aby wszystkie odpowiednie podmioty były objęte przewidzianymi w niniejszej dyrektywie wymogami w zakresie odporności, i w celu ograniczenia rozbieżności w tym zakresie należy wprowadzić zharmonizowane przepisy pozwalające na spójne identyfikowanie podmiotów krytycznych na terenie Unii, umożliwiając jednocześnie państwom członkowskim odpowiednie odzwierciedlenie roli i znaczenia tych podmiotów na poziomie krajowym. Stosując kryteria określone w niniejszej dyrektywie, każde państwo członkowskie powinno zidentyfikować podmioty, które świadczą co najmniej jedną usługę kluczową i które prowadzą działalność na jego terytorium i posiadają na tym terytorium infrastrukturę krytyczną. Należy uznać, że podmiot prowadzi działalność na terytorium tego państwa członkowskiego, w którym prowadzi działania niezbędne do świadczenia danej usługi kluczowej lub danych usług kluczowych, i na terytorium którego znajduje się jego infrastruktura krytyczna wykorzystywana do świadczenia tej usługi lub tych usług. Jeżeli w danym państwie członkowskim nie ma podmiotu spełniającego te kryteria, to państwo członkowskie nie powinno mieć obowiązku identyfikacji podmiotu krytycznego w odnośnym sektorze lub podsektorze. Przez wzgląd na skuteczność, efektywność, spójność oraz pewność prawa należy ustanowić odpowiednie przepisy dotyczące powiadamiania podmiotów, które zostały zidentyfikowane jako podmioty krytyczne. |
| --- | --- |

(16)

W celu zapewnienia, aby wszystkie odpowiednie podmioty były objęte przewidzianymi w niniejszej dyrektywie wymogami w zakresie odporności, i w celu ograniczenia rozbieżności w tym zakresie należy wprowadzić zharmonizowane przepisy pozwalające na spójne identyfikowanie podmiotów krytycznych na terenie Unii, umożliwiając jednocześnie państwom członkowskim odpowiednie odzwierciedlenie roli i znaczenia tych podmiotów na poziomie krajowym. Stosując kryteria określone w niniejszej dyrektywie, każde państwo członkowskie powinno zidentyfikować podmioty, które świadczą co najmniej jedną usługę kluczową i które prowadzą działalność na jego terytorium i posiadają na tym terytorium infrastrukturę krytyczną. Należy uznać, że podmiot prowadzi działalność na terytorium tego państwa członkowskiego, w którym prowadzi działania niezbędne do świadczenia danej usługi kluczowej lub danych usług kluczowych, i na terytorium którego znajduje się jego infrastruktura krytyczna wykorzystywana do świadczenia tej usługi lub tych usług. Jeżeli w danym państwie członkowskim nie ma podmiotu spełniającego te kryteria, to państwo członkowskie nie powinno mieć obowiązku identyfikacji podmiotu krytycznego w odnośnym sektorze lub podsektorze. Przez wzgląd na skuteczność, efektywność, spójność oraz pewność prawa należy ustanowić odpowiednie przepisy dotyczące powiadamiania podmiotów, które zostały zidentyfikowane jako podmioty krytyczne.

| (17) | Państwa członkowskie powinny przekazać Komisji, w sposób, który realizuje cele niniejszej dyrektywy, wykaz usług kluczowych, liczbę zidentyfikowanych podmiotów krytycznych w podziale na sektory i podsektory określone w załączniku, oraz w podziale na usługę kluczową świadczoną lub usługi kluczowe świadczone przez każdy taki podmiot, a także progi, o ile je zastosowano. Powinno być możliwe przedstawienie progów wprost lub w formie zagregowanej, co oznacza, że informacje te można uśrednić według obszaru geograficznego, roku, sektora, podsektora lub w inny sposób, a także, że mogą one zawierać informacje na temat zakresu przedstawionych wskaźników. |
| --- | --- |

(17)

Państwa członkowskie powinny przekazać Komisji, w sposób, który realizuje cele niniejszej dyrektywy, wykaz usług kluczowych, liczbę zidentyfikowanych podmiotów krytycznych w podziale na sektory i podsektory określone w załączniku, oraz w podziale na usługę kluczową świadczoną lub usługi kluczowe świadczone przez każdy taki podmiot, a także progi, o ile je zastosowano. Powinno być możliwe przedstawienie progów wprost lub w formie zagregowanej, co oznacza, że informacje te można uśrednić według obszaru geograficznego, roku, sektora, podsektora lub w inny sposób, a także, że mogą one zawierać informacje na temat zakresu przedstawionych wskaźników.

| (18) | Należy ustanowić kryteria umożliwiające określenie znaczenia skutku zakłócającego wywołanego przez incydent. Kryteria te powinny opierać się na kryteriach określonych w dyrektywie Parlamentu Europejskiego i Rady (UE) 2016/1148 (6) w celu wykorzystania starań, jakie państwa członkowskie włożyły w identyfikację operatorów usług kluczowych zdefiniowanych w tej dyrektywie, oraz doświadczenia zdobytego w tym zakresie. Poważne kryzysy, takie jak pandemia COVID-19, pokazały, jak ważne jest zapewnienie bezpieczeństwa łańcucha dostaw i jak jego zakłócenia mogą mieć negatywne wielosektorowe i transgraniczne skutki gospodarcze i społeczne. Dlatego też państwa członkowskie przy ustalaniu stopnia zależności innych sektorów i podsektorów od usługi kluczowej świadczonej przez podmiot krytyczny powinny również w miarę możliwości uwzględniać wpływ na łańcuch dostaw. |
| --- | --- |

(18)

Należy ustanowić kryteria umożliwiające określenie znaczenia skutku zakłócającego wywołanego przez incydent. Kryteria te powinny opierać się na kryteriach określonych w dyrektywie Parlamentu Europejskiego i Rady (UE) 2016/1148 (6) w celu wykorzystania starań, jakie państwa członkowskie włożyły w identyfikację operatorów usług kluczowych zdefiniowanych w tej dyrektywie, oraz doświadczenia zdobytego w tym zakresie. Poważne kryzysy, takie jak pandemia COVID-19, pokazały, jak ważne jest zapewnienie bezpieczeństwa łańcucha dostaw i jak jego zakłócenia mogą mieć negatywne wielosektorowe i transgraniczne skutki gospodarcze i społeczne. Dlatego też państwa członkowskie przy ustalaniu stopnia zależności innych sektorów i podsektorów od usługi kluczowej świadczonej przez podmiot krytyczny powinny również w miarę możliwości uwzględniać wpływ na łańcuch dostaw.

| (19) | Zgodnie z mającym zastosowanie prawem Unii i prawem krajowym, w tym z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2019/452 (7) ustanawiającym ramy monitorowania bezpośrednich inwestycji zagranicznych w Unii, należy dostrzec potencjalne zagrożenie, jakie wiąże się z zagranicznymi udziałami w infrastrukturze krytycznej w Unii, gdyż usługi, gospodarka, swoboda przemieszczania się i bezpieczeństwo obywateli Unii zależą od należytego funkcjonowania infrastruktur krytycznych. |
| --- | --- |

(19)

Zgodnie z mającym zastosowanie prawem Unii i prawem krajowym, w tym z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2019/452 (7) ustanawiającym ramy monitorowania bezpośrednich inwestycji zagranicznych w Unii, należy dostrzec potencjalne zagrożenie, jakie wiąże się z zagranicznymi udziałami w infrastrukturze krytycznej w Unii, gdyż usługi, gospodarka, swoboda przemieszczania się i bezpieczeństwo obywateli Unii zależą od należytego funkcjonowania infrastruktur krytycznych.

| (20) | Dyrektywa (UE) 2022/2555 zobowiązuje podmioty należące do sektora infrastruktury cyfrowej, które mogą być zidentyfikowane jako podmioty krytyczne na mocy niniejszej dyrektywy, do wprowadzania odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych, a także do zgłaszania znaczących incydentów i cyberzagrożeń. Ponieważ zagrożenia dla bezpieczeństwa sieci i systemów informatycznych mogą mieć różne źródła, dyrektywa (UE) 2022/2555 stosuje podejście uwzględniające wszystkie zagrożenia, które obejmuje odporność sieci i systemów informatycznych, a także ich fizycznych komponentów i ich środowiska fizycznego.
  Biorąc pod uwagę, że wymogi określone w tym zakresie w dyrektywie (UE) 2022/2555 są co najmniej równoważne odpowiadającym im obowiązkom określonym w niniejszej dyrektywie, obowiązki określone w art. 11 i rozdziałach III, IV i VI niniejszej dyrektywy nie powinny mieć zastosowania do podmiotów należących do sektora infrastruktury cyfrowej, tak aby uniknąć powielania działań i zbędnego obciążenia administracyjnego. Niemniej biorąc pod uwagę znaczenie usług świadczonych przez podmioty należące do sektora infrastruktury cyfrowej na rzecz podmiotów krytycznych należących do wszystkich innych sektorów, państwa członkowskie powinny identyfikować – na podstawie kryteriów i z wykorzystaniem procedury przewidzianych w niniejszej dyrektywie – podmioty należące do sektora infrastruktury cyfrowej jako podmioty krytyczne. W związku z tym powinny mieć zastosowanie określone w rozdziale II niniejszej dyrektywy strategie, oceny ryzyka państw członkowskich i środki wsparcia. Państwa członkowskie powinny mieć możliwość przyjęcia lub utrzymania przepisów prawa krajowego w celu osiągnięcia wyższego poziomu odporności tych podmiotów krytycznych, pod warunkiem że przepisy te są zgodne z mającym zastosowanie prawem Unii. |
| --- | --- |

(20)

Dyrektywa (UE) 2022/2555 zobowiązuje podmioty należące do sektora infrastruktury cyfrowej, które mogą być zidentyfikowane jako podmioty krytyczne na mocy niniejszej dyrektywy, do wprowadzania odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych, a także do zgłaszania znaczących incydentów i cyberzagrożeń. Ponieważ zagrożenia dla bezpieczeństwa sieci i systemów informatycznych mogą mieć różne źródła, dyrektywa (UE) 2022/2555 stosuje podejście uwzględniające wszystkie zagrożenia, które obejmuje odporność sieci i systemów informatycznych, a także ich fizycznych komponentów i ich środowiska fizycznego.

Biorąc pod uwagę, że wymogi określone w tym zakresie w dyrektywie (UE) 2022/2555 są co najmniej równoważne odpowiadającym im obowiązkom określonym w niniejszej dyrektywie, obowiązki określone w art. 11 i rozdziałach III, IV i VI niniejszej dyrektywy nie powinny mieć zastosowania do podmiotów należących do sektora infrastruktury cyfrowej, tak aby uniknąć powielania działań i zbędnego obciążenia administracyjnego. Niemniej biorąc pod uwagę znaczenie usług świadczonych przez podmioty należące do sektora infrastruktury cyfrowej na rzecz podmiotów krytycznych należących do wszystkich innych sektorów, państwa członkowskie powinny identyfikować – na podstawie kryteriów i z wykorzystaniem procedury przewidzianych w niniejszej dyrektywie – podmioty należące do sektora infrastruktury cyfrowej jako podmioty krytyczne. W związku z tym powinny mieć zastosowanie określone w rozdziale II niniejszej dyrektywy strategie, oceny ryzyka państw członkowskich i środki wsparcia. Państwa członkowskie powinny mieć możliwość przyjęcia lub utrzymania przepisów prawa krajowego w celu osiągnięcia wyższego poziomu odporności tych podmiotów krytycznych, pod warunkiem że przepisy te są zgodne z mającym zastosowanie prawem Unii.

| (21) | W prawie Unii dotyczącym usług finansowych ustanowiono kompleksowe wymagania względem podmiotów finansowych polegające na zarządzaniu wszystkimi czynnikami ryzyka, z jakimi się zmagają, w tym ryzykiem operacyjnym, oraz zapewnieniu ciągłości działania. Prawo to obejmuje rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 648/2012 (8), (UE) nr 575/2013 (9) i (UE) nr 600/2014 (10) oraz dyrektywy Parlamentu Europejskiego i Rady 2013/36/UE (11) i 2014/65/UE (12). Te ramy prawne uzupełnione są rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (13), w którym określono wymagania mające zastosowanie do podmiotów finansowych w zakresie zarządzania czynnikami ryzyka związanymi z technologiami informacyjno-komunikacyjnymi (ICT), w tym dotyczące ochrony fizycznej infrastruktury ICT. Zatem, ponieważ odporność tych podmiotów została kompleksowo uwzględniona, art. 11 i rozdziały III, IV i VI niniejszej dyrektywy nie powinny mieć do nich zastosowania, tak aby uniknąć powielania działań i zbędnego obciążenia administracyjnego.
  Niemniej biorąc pod uwagę znaczenie usług świadczonych przez podmioty w sektorze finansowym na rzecz podmiotów krytycznych należących do wszystkich innych sektorów, państwa członkowskie powinny identyfikować – na podstawie kryteriów i z wykorzystaniem procedury przewidzianych w niniejszej dyrektywie – podmioty z sektora finansowego jako podmioty krytyczne. Zatem zastosowanie powinny mieć określone w rozdziale II niniejszej dyrektywy strategie, oceny ryzyka państw członkowskich i środki wsparcia. Państwa członkowskie powinny mieć możliwość przyjęcia lub utrzymania przepisów prawa krajowego w celu osiągnięcia wyższego poziomu odporności tych podmiotów krytycznych, pod warunkiem że przepisy te są zgodne z mającym zastosowanie prawem Unii. |
| --- | --- |

(21)

W prawie Unii dotyczącym usług finansowych ustanowiono kompleksowe wymagania względem podmiotów finansowych polegające na zarządzaniu wszystkimi czynnikami ryzyka, z jakimi się zmagają, w tym ryzykiem operacyjnym, oraz zapewnieniu ciągłości działania. Prawo to obejmuje rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 648/2012 (8), (UE) nr 575/2013 (9) i (UE) nr 600/2014 (10) oraz dyrektywy Parlamentu Europejskiego i Rady 2013/36/UE (11) i 2014/65/UE (12). Te ramy prawne uzupełnione są rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (13), w którym określono wymagania mające zastosowanie do podmiotów finansowych w zakresie zarządzania czynnikami ryzyka związanymi z technologiami informacyjno-komunikacyjnymi (ICT), w tym dotyczące ochrony fizycznej infrastruktury ICT. Zatem, ponieważ odporność tych podmiotów została kompleksowo uwzględniona, art. 11 i rozdziały III, IV i VI niniejszej dyrektywy nie powinny mieć do nich zastosowania, tak aby uniknąć powielania działań i zbędnego obciążenia administracyjnego.

Niemniej biorąc pod uwagę znaczenie usług świadczonych przez podmioty w sektorze finansowym na rzecz podmiotów krytycznych należących do wszystkich innych sektorów, państwa członkowskie powinny identyfikować – na podstawie kryteriów i z wykorzystaniem procedury przewidzianych w niniejszej dyrektywie – podmioty z sektora finansowego jako podmioty krytyczne. Zatem zastosowanie powinny mieć określone w rozdziale II niniejszej dyrektywy strategie, oceny ryzyka państw członkowskich i środki wsparcia. Państwa członkowskie powinny mieć możliwość przyjęcia lub utrzymania przepisów prawa krajowego w celu osiągnięcia wyższego poziomu odporności tych podmiotów krytycznych, pod warunkiem że przepisy te są zgodne z mającym zastosowanie prawem Unii.

| (22) | Państwa członkowskie powinny wyznaczyć lub ustanowić organy odpowiedzialne za nadzór nad stosowaniem przepisów niniejszej dyrektywy i, w stosownych przypadkach, za ich egzekwowanie oraz zapewnić, aby organy te dysponowały odpowiednimi uprawnieniami i zasobami. Z uwagi na różnice pomiędzy krajowymi strukturami zarządzania, w celu zabezpieczenia obowiązujących ustaleń sektorowych lub działania unijnych organów nadzorczych i regulacyjnych, a także w celu unikania powielania działań, państwa członkowskie powinny móc wyznaczać lub ustanowić więcej niż jeden właściwy organ. W przypadku gdy państwa członkowskie wyznaczają lub ustanawiają więcej niż jeden właściwy organ, powinny one wyraźnie rozgraniczyć odpowiednie zadania tych organów oraz zapewnić, aby organy te współpracowały ze sobą w sposób płynny i skuteczny. Wszystkie właściwe organy powinny również współpracować w ujęciu bardziej ogólnym z innymi odpowiednimi organami, zarówno na poziomie Unii, jak i na poziomie krajowym. |
| --- | --- |

(22)

Państwa członkowskie powinny wyznaczyć lub ustanowić organy odpowiedzialne za nadzór nad stosowaniem przepisów niniejszej dyrektywy i, w stosownych przypadkach, za ich egzekwowanie oraz zapewnić, aby organy te dysponowały odpowiednimi uprawnieniami i zasobami. Z uwagi na różnice pomiędzy krajowymi strukturami zarządzania, w celu zabezpieczenia obowiązujących ustaleń sektorowych lub działania unijnych organów nadzorczych i regulacyjnych, a także w celu unikania powielania działań, państwa członkowskie powinny móc wyznaczać lub ustanowić więcej niż jeden właściwy organ. W przypadku gdy państwa członkowskie wyznaczają lub ustanawiają więcej niż jeden właściwy organ, powinny one wyraźnie rozgraniczyć odpowiednie zadania tych organów oraz zapewnić, aby organy te współpracowały ze sobą w sposób płynny i skuteczny. Wszystkie właściwe organy powinny również współpracować w ujęciu bardziej ogólnym z innymi odpowiednimi organami, zarówno na poziomie Unii, jak i na poziomie krajowym.

| (23) | W celu ułatwienia współpracy i komunikacji transgranicznej oraz umożliwienia skutecznego wdrożenia niniejszej dyrektywy każde państwo członkowskie powinno, bez uszczerbku dla wymogów wynikających z sektorowych aktów prawnych Unii, wyznaczyć jeden pojedynczy punkt kontaktowy – w stosownych przypadkach w ramach właściwego organu – odpowiedzialny za koordynację kwestii związanych z odpornością podmiotów krytycznych oraz współpracę transgraniczną na poziomie Unii (zwany dalej „pojedynczym punktem kontaktowym”). Każdy pojedynczy punkt kontaktowy powinien również w stosownych przypadkach pełnić funkcję łącznika pomiędzy właściwymi organami swojego państwa członkowskiego, pojedynczymi punktami kontaktowymi innych państw członkowskich oraz Grupą ds. Odporności Podmiotów Krytycznych, a także koordynować komunikację między tymi podmiotami. |
| --- | --- |

(23)

W celu ułatwienia współpracy i komunikacji transgranicznej oraz umożliwienia skutecznego wdrożenia niniejszej dyrektywy każde państwo członkowskie powinno, bez uszczerbku dla wymogów wynikających z sektorowych aktów prawnych Unii, wyznaczyć jeden pojedynczy punkt kontaktowy – w stosownych przypadkach w ramach właściwego organu – odpowiedzialny za koordynację kwestii związanych z odpornością podmiotów krytycznych oraz współpracę transgraniczną na poziomie Unii (zwany dalej „pojedynczym punktem kontaktowym”). Każdy pojedynczy punkt kontaktowy powinien również w stosownych przypadkach pełnić funkcję łącznika pomiędzy właściwymi organami swojego państwa członkowskiego, pojedynczymi punktami kontaktowymi innych państw członkowskich oraz Grupą ds. Odporności Podmiotów Krytycznych, a także koordynować komunikację między tymi podmiotami.

| (24) | Właściwe organy na podstawie niniejszej dyrektywy oraz właściwe organy na podstawie dyrektywy (UE) 2022/2555 powinny współpracować i wymieniać informacje w odniesieniu do ryzyk w cyberprzestrzeni, cyberzagrożeń i cyberincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią mających wpływ na podmioty krytyczne, a także w odniesieniu do odpowiednich środków podejmowanych przez właściwe organy na podstawie niniejszej dyrektywy i właściwe organy na podstawie dyrektywy (UE) 2022/2555 Ważne jest, aby państwa członkowskie zapewniły, by wymogi przewidziane w niniejszej dyrektywie i w dyrektywie (UE) 2022/2555 były wdrażane w sposób komplementarny oraz aby podmioty krytyczne nie podlegały obciążeniom administracyjnym wykraczającym poza to, co jest konieczne do osiągnięcia celów niniejszej dyrektywy i drugiej wspomnianej dyrektywy. |
| --- | --- |

(24)

Właściwe organy na podstawie niniejszej dyrektywy oraz właściwe organy na podstawie dyrektywy (UE) 2022/2555 powinny współpracować i wymieniać informacje w odniesieniu do ryzyk w cyberprzestrzeni, cyberzagrożeń i cyberincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią mających wpływ na podmioty krytyczne, a także w odniesieniu do odpowiednich środków podejmowanych przez właściwe organy na podstawie niniejszej dyrektywy i właściwe organy na podstawie dyrektywy (UE) 2022/2555 Ważne jest, aby państwa członkowskie zapewniły, by wymogi przewidziane w niniejszej dyrektywie i w dyrektywie (UE) 2022/2555 były wdrażane w sposób komplementarny oraz aby podmioty krytyczne nie podlegały obciążeniom administracyjnym wykraczającym poza to, co jest konieczne do osiągnięcia celów niniejszej dyrektywy i drugiej wspomnianej dyrektywy.

| (25) | Państwa członkowskie powinny wspierać podmioty krytyczne – w tym te, które kwalifikują się jako małe i średnie przedsiębiorstwa– we wzmacnianiu ich odporności, zgodnie z obowiązkami państw członkowskich przewidzianymi w niniejszej dyrektywie, bez uszczerbku dla własnej odpowiedzialności prawnej podmiotów krytycznych za zapewnienie takiej zgodności, a przy tym zapobiegać nakładaniu nadmiernego obciążenia administracyjnego. Państwa członkowskie mogłyby, w szczególności, opracować materiały zawierające wytyczne i metodyki, wspierać organizowanie ćwiczeń mających na celu sprawdzenie odporności podmiotów krytycznych oraz zapewnić doradztwo i szkolenia dla personelu podmiotów krytycznych. Jeżeli jest to konieczne i uzasadnione celami interesu publicznego, państwa członkowskie mogą zapewniać zasoby finansowe i powinny ułatwiać dobrowolną wymianę informacji i dobrych praktyk między podmiotami krytycznymi, bez uszczerbku dla zastosowania reguł konkurencji ustanowionych w Traktacie o funkcjonowaniu Unii Europejskiej (TFUE). |
| --- | --- |

(25)

Państwa członkowskie powinny wspierać podmioty krytyczne – w tym te, które kwalifikują się jako małe i średnie przedsiębiorstwa– we wzmacnianiu ich odporności, zgodnie z obowiązkami państw członkowskich przewidzianymi w niniejszej dyrektywie, bez uszczerbku dla własnej odpowiedzialności prawnej podmiotów krytycznych za zapewnienie takiej zgodności, a przy tym zapobiegać nakładaniu nadmiernego obciążenia administracyjnego. Państwa członkowskie mogłyby, w szczególności, opracować materiały zawierające wytyczne i metodyki, wspierać organizowanie ćwiczeń mających na celu sprawdzenie odporności podmiotów krytycznych oraz zapewnić doradztwo i szkolenia dla personelu podmiotów krytycznych. Jeżeli jest to konieczne i uzasadnione celami interesu publicznego, państwa członkowskie mogą zapewniać zasoby finansowe i powinny ułatwiać dobrowolną wymianę informacji i dobrych praktyk między podmiotami krytycznymi, bez uszczerbku dla zastosowania reguł konkurencji ustanowionych w Traktacie o funkcjonowaniu Unii Europejskiej (TFUE).

| (26) | W celu zwiększenia odporności podmiotów krytycznych zidentyfikowanych przez państwa członkowskie oraz w celu zmniejszenia obciążenia administracyjnego tych podmiotów krytycznych właściwe organy powinny w stosownych przypadkach konsultować się ze sobą w celu zapewnienia spójnego stosowania niniejszej dyrektywy. Konsultacje te powinno się rozpoczynać na wniosek dowolnego zainteresowanego właściwego organu i powinny one koncentrować się na zapewnieniu spójnego podejścia do wzajemnie powiązanych podmiotów krytycznych, które korzystają z infrastruktury krytycznej fizycznie połączonej na terytorium co najmniej dwóch państw członkowskich, należą do tych samych grup lub struktur przedsiębiorstw lub które zostały zidentyfikowane w jednym państwie członkowskim i świadczą usługi kluczowe na rzecz innych państw członkowskich lub w innych państwach członkowskich. |
| --- | --- |

(26)

W celu zwiększenia odporności podmiotów krytycznych zidentyfikowanych przez państwa członkowskie oraz w celu zmniejszenia obciążenia administracyjnego tych podmiotów krytycznych właściwe organy powinny w stosownych przypadkach konsultować się ze sobą w celu zapewnienia spójnego stosowania niniejszej dyrektywy. Konsultacje te powinno się rozpoczynać na wniosek dowolnego zainteresowanego właściwego organu i powinny one koncentrować się na zapewnieniu spójnego podejścia do wzajemnie powiązanych podmiotów krytycznych, które korzystają z infrastruktury krytycznej fizycznie połączonej na terytorium co najmniej dwóch państw członkowskich, należą do tych samych grup lub struktur przedsiębiorstw lub które zostały zidentyfikowane w jednym państwie członkowskim i świadczą usługi kluczowe na rzecz innych państw członkowskich lub w innych państwach członkowskich.

| (27) | W przypadku gdy przepisy prawa Unii lub prawa krajowego wymagają od podmiotów krytycznych dokonania oceny czynników ryzyka istotnych do celów niniejszej dyrektywy oraz wprowadzenia środków mających zapewnić im odporność, wymogi te należy odpowiednio uwzględnić do celów nadzoru przestrzegania niniejszej dyrektywy przez podmioty krytyczne. |
| --- | --- |

(27)

W przypadku gdy przepisy prawa Unii lub prawa krajowego wymagają od podmiotów krytycznych dokonania oceny czynników ryzyka istotnych do celów niniejszej dyrektywy oraz wprowadzenia środków mających zapewnić im odporność, wymogi te należy odpowiednio uwzględnić do celów nadzoru przestrzegania niniejszej dyrektywy przez podmioty krytyczne.

| (28) | Podmioty krytyczne powinny mieć wszechstronną wiedzę o istotnych czynnikach ryzyka, na które są narażone, oraz być zobowiązane je analizować. W tym celu powinny przeprowadzać oceny ryzyka, gdy tylko jest to konieczne ze względu na ich szczególne okoliczności oraz zmianę tych czynników ryzyka, a w każdym przypadku co cztery lata, w celu oceny wszystkich istotnych czynników ryzyka, które mogłyby zakłócić świadczenie ich usług kluczowych (zwane dalej „ocenami ryzyka podmiotu krytycznego”). W przypadku gdy podmioty krytyczne przeprowadziły inne oceny ryzyka lub sporządziły dokumenty zgodnie z obowiązkami wynikającymi z innych aktów prawnych, które to oceny ryzyka lub dokumenty są istotne dla ich oceny ryzyka podmiotu krytycznego, podmioty te powinny mieć możliwość wykorzystania tych ocen i dokumentów w celu spełnienia wymogów określonych w niniejszej dyrektywie w odniesieniu do ocen ryzyka podmiotów krytycznych. Właściwy organ powinien mieć możliwość uznania istniejącej oceny ryzyka przeprowadzonej przez podmiot krytyczny, która odnosi się do istotnych czynników ryzyka i istotnego stopnia zależności, za spełniającą – w całości lub w części – obowiązki określone w niniejszej dyrektywie. |
| --- | --- |

(28)

Podmioty krytyczne powinny mieć wszechstronną wiedzę o istotnych czynnikach ryzyka, na które są narażone, oraz być zobowiązane je analizować. W tym celu powinny przeprowadzać oceny ryzyka, gdy tylko jest to konieczne ze względu na ich szczególne okoliczności oraz zmianę tych czynników ryzyka, a w każdym przypadku co cztery lata, w celu oceny wszystkich istotnych czynników ryzyka, które mogłyby zakłócić świadczenie ich usług kluczowych (zwane dalej „ocenami ryzyka podmiotu krytycznego”). W przypadku gdy podmioty krytyczne przeprowadziły inne oceny ryzyka lub sporządziły dokumenty zgodnie z obowiązkami wynikającymi z innych aktów prawnych, które to oceny ryzyka lub dokumenty są istotne dla ich oceny ryzyka podmiotu krytycznego, podmioty te powinny mieć możliwość wykorzystania tych ocen i dokumentów w celu spełnienia wymogów określonych w niniejszej dyrektywie w odniesieniu do ocen ryzyka podmiotów krytycznych. Właściwy organ powinien mieć możliwość uznania istniejącej oceny ryzyka przeprowadzonej przez podmiot krytyczny, która odnosi się do istotnych czynników ryzyka i istotnego stopnia zależności, za spełniającą – w całości lub w części – obowiązki określone w niniejszej dyrektywie.

| (29) | Podmioty krytyczne powinny wprowadzać środki techniczne, środki bezpieczeństwa i środki organizacyjne odpowiednie i proporcjonalne do czynników ryzyka, na które są narażone, w celu zapobiegania incydentom, ochrony przed nimi, odpowiedzi na nie, stawiania im oporu, łagodzenia i absorbowania ich, adaptacji oraz odtworzenia po incydencie. Podmioty krytyczne powinny wprowadzać te środki zgodnie z niniejszą dyrektywą, przy czym szczegóły i zakres takich środków powinny w sposób odpowiedni i proporcjonalny odzwierciedlać poszczególne czynniki ryzyka rozpoznane przez każdy z podmiotów krytycznych w ramach jego oceny ryzyka podmiotu krytycznego oraz specyfikę takiego podmiotu. W celu promowania spójnego unijnego podejścia Komisja powinna, po konsultacji z Grupą ds. Odporności Podmiotów Krytycznych, przyjąć niewiążące wytyczne w celu doprecyzowania tych środków technicznych, środków bezpieczeństwa i środków organizacyjnych. Państwa członkowskie powinny zapewnić, by każdy podmiot krytyczny wyznaczył urzędnika łącznikowego lub jego odpowiednika jako punkt kontaktowy z właściwymi organami. |
| --- | --- |

(29)

Podmioty krytyczne powinny wprowadzać środki techniczne, środki bezpieczeństwa i środki organizacyjne odpowiednie i proporcjonalne do czynników ryzyka, na które są narażone, w celu zapobiegania incydentom, ochrony przed nimi, odpowiedzi na nie, stawiania im oporu, łagodzenia i absorbowania ich, adaptacji oraz odtworzenia po incydencie. Podmioty krytyczne powinny wprowadzać te środki zgodnie z niniejszą dyrektywą, przy czym szczegóły i zakres takich środków powinny w sposób odpowiedni i proporcjonalny odzwierciedlać poszczególne czynniki ryzyka rozpoznane przez każdy z podmiotów krytycznych w ramach jego oceny ryzyka podmiotu krytycznego oraz specyfikę takiego podmiotu. W celu promowania spójnego unijnego podejścia Komisja powinna, po konsultacji z Grupą ds. Odporności Podmiotów Krytycznych, przyjąć niewiążące wytyczne w celu doprecyzowania tych środków technicznych, środków bezpieczeństwa i środków organizacyjnych. Państwa członkowskie powinny zapewnić, by każdy podmiot krytyczny wyznaczył urzędnika łącznikowego lub jego odpowiednika jako punkt kontaktowy z właściwymi organami.

| (30) | W celu zapewnienia skuteczności i rozliczalności, podmioty krytyczne w planie zwiększania odporności lub dokumencie równoważnym lub dokumentach równoważnych z planem zwiększania odporności powinny opisać podejmowane przez siebie środki z zachowaniem poziomu szczegółowości, który w wystarczającym stopniu pozwala osiągnąć cele dotyczące skuteczności i rozliczalności, uwzględniając zidentyfikowane ryzyka oraz powinny wdrożyć ten plan. Jeśli podmiot krytyczny wprowadził już środki techniczne, środki bezpieczeństwa i środki organizacyjne oraz sporządził dokumenty na podstawie innych aktów prawnych, które to środki i dokumenty są istotne dla środków w zakresie zwiększania odporności na podstawie niniejszej dyrektywy, podmiot ten, aby uniknąć powielania działań, powinien mieć możliwość, wykorzystania tych środków i dokumentów w celu spełnienia wymogów dotyczących środków w zakresie odporności na podstawie niniejszej dyrektywy. Aby uniknąć powielania działań, właściwy organ powinien mieć możliwość uznania wprowadzonych przez podmiot krytyczny środków w zakresie odporności odnoszących się do obowiązku tego podmiotu w zakresie wprowadzania środków technicznych, środków bezpieczeństwa i środków organizacyjnych za zgodne – w całości lub w części – z wymogami niniejszej dyrektywy. |
| --- | --- |

(30)

W celu zapewnienia skuteczności i rozliczalności, podmioty krytyczne w planie zwiększania odporności lub dokumencie równoważnym lub dokumentach równoważnych z planem zwiększania odporności powinny opisać podejmowane przez siebie środki z zachowaniem poziomu szczegółowości, który w wystarczającym stopniu pozwala osiągnąć cele dotyczące skuteczności i rozliczalności, uwzględniając zidentyfikowane ryzyka oraz powinny wdrożyć ten plan. Jeśli podmiot krytyczny wprowadził już środki techniczne, środki bezpieczeństwa i środki organizacyjne oraz sporządził dokumenty na podstawie innych aktów prawnych, które to środki i dokumenty są istotne dla środków w zakresie zwiększania odporności na podstawie niniejszej dyrektywy, podmiot ten, aby uniknąć powielania działań, powinien mieć możliwość, wykorzystania tych środków i dokumentów w celu spełnienia wymogów dotyczących środków w zakresie odporności na podstawie niniejszej dyrektywy. Aby uniknąć powielania działań, właściwy organ powinien mieć możliwość uznania wprowadzonych przez podmiot krytyczny środków w zakresie odporności odnoszących się do obowiązku tego podmiotu w zakresie wprowadzania środków technicznych, środków bezpieczeństwa i środków organizacyjnych za zgodne – w całości lub w części – z wymogami niniejszej dyrektywy.

| (31) | Rozporządzeniami Parlamentu Europejskiego i Rady (WE) nr 725/2004 (14) i (WE) nr 300/2008 (15) oraz dyrektywą Parlamentu Europejskiego i Rady 2005/65/WE (16) ustanowiono wymagania mające zastosowanie do podmiotów w sektorach transportu lotniczego i transportu morskiego w celu zapobiegania incydentom powodowanym bezprawnymi czynami oraz stawiania oporu skutkom takich incydentów i ograniczania tych skutków. Chociaż środki wymagane zgodnie z niniejszą dyrektywą obejmują szerszy zakres czynników ryzyka, których dotyczą, i rodzajów środków, które należy wdrożyć, podmioty krytyczne w tych sektorach powinny odzwierciedlić w swoim planie zwiększania odporności lub równoważnych dokumentach środki wdrożone na podstawie wspomnianych innych aktów prawnych Unii. Podmioty krytyczne muszą również uwzględniać dyrektywę Parlamentu Europejskiego i Rady 2008/96/WE (17) wprowadzającą ocenę bezpieczeństwa ruchu drogowego obejmującą całą sieć w celu określenia zagrożeń związanych z wypadkami oraz ukierunkowane kontrole bezpieczeństwa ruchu drogowego w celu zidentyfikowania niebezpiecznych warunków, uszkodzeń i problemów, które zwiększają ryzyko wypadków i obrażeń, przeprowadzane w oparciu o wizje lokalne na istniejących drogach lub odcinkach dróg. Zapewnienie ochrony i odporności podmiotów krytycznych ma ogromne znaczenie dla sektora kolejowego, a podczas wdrażania środków w zakresie odporności zgodnie z niniejszą dyrektywą podmioty krytyczne zachęca się do odwoływania się do niewiążących wytycznych i dokumentów dotyczących dobrych praktyk opracowanych w kontekście działań sektorowych, takich jak unijna platforma bezpieczeństwa pasażerów w ruchu kolejowym utworzona decyzją Komisji 2018/C 232/03 (18). |
| --- | --- |

(31)

Rozporządzeniami Parlamentu Europejskiego i Rady (WE) nr 725/2004 (14) i (WE) nr 300/2008 (15) oraz dyrektywą Parlamentu Europejskiego i Rady 2005/65/WE (16) ustanowiono wymagania mające zastosowanie do podmiotów w sektorach transportu lotniczego i transportu morskiego w celu zapobiegania incydentom powodowanym bezprawnymi czynami oraz stawiania oporu skutkom takich incydentów i ograniczania tych skutków. Chociaż środki wymagane zgodnie z niniejszą dyrektywą obejmują szerszy zakres czynników ryzyka, których dotyczą, i rodzajów środków, które należy wdrożyć, podmioty krytyczne w tych sektorach powinny odzwierciedlić w swoim planie zwiększania odporności lub równoważnych dokumentach środki wdrożone na podstawie wspomnianych innych aktów prawnych Unii. Podmioty krytyczne muszą również uwzględniać dyrektywę Parlamentu Europejskiego i Rady 2008/96/WE (17) wprowadzającą ocenę bezpieczeństwa ruchu drogowego obejmującą całą sieć w celu określenia zagrożeń związanych z wypadkami oraz ukierunkowane kontrole bezpieczeństwa ruchu drogowego w celu zidentyfikowania niebezpiecznych warunków, uszkodzeń i problemów, które zwiększają ryzyko wypadków i obrażeń, przeprowadzane w oparciu o wizje lokalne na istniejących drogach lub odcinkach dróg. Zapewnienie ochrony i odporności podmiotów krytycznych ma ogromne znaczenie dla sektora kolejowego, a podczas wdrażania środków w zakresie odporności zgodnie z niniejszą dyrektywą podmioty krytyczne zachęca się do odwoływania się do niewiążących wytycznych i dokumentów dotyczących dobrych praktyk opracowanych w kontekście działań sektorowych, takich jak unijna platforma bezpieczeństwa pasażerów w ruchu kolejowym utworzona decyzją Komisji 2018/C 232/03 (18).

| (32) | Ryzyko, że pracownicy podmiotów krytycznych lub wykonawcy pracujący na rzecz podmiotów krytycznych nadużyją na przykład swoich praw dostępu w ramach organizacji podmiotu krytycznego w celu wyrządzenia szkody, budzi coraz większe obawy. Państwa członkowskie powinny zatem określić warunki, zgodnie z którymi podmioty krytyczne mogą – w należycie uzasadnionych przypadkach i z uwzględnieniem ocen ryzyka państw członkowskich– składać wnioski o sprawdzenie przeszłości osób należących do szczególnych kategorii ich personelu. Należy zapewnić, by odpowiednie organy oceniały takie wnioski w rozsądnym terminie i przetwarzały je zgodnie z prawem krajowym i procedurami krajowymi i z odpowiednim i mającym zastosowanie prawem Unii, w tym dotyczącym ochrony danych osobowych. W celu potwierdzenia tożsamości osoby podlegającej sprawdzeniu przeszłości państwa członkowskie powinny wymagać dowodu tożsamości, takiego jak paszport, krajowy dokument tożsamości lub cyfrowa forma identyfikacji, zgodnie z mającym zastosowanie prawem.
  Sprawdzenie przeszłości powinno obejmować sprawdzenie rejestrów karnych odnośnej osoby. Państwa członkowskie powinny wykorzystywać europejski system przekazywania informacji z rejestrów karnych zgodnie z procedurami określonymi w decyzji ramowej Rady 2009/315/WSiSW (19) oraz, w razie potrzeby i w stosownych przypadkach, w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2019/816 (20), w celu uzyskiwania informacji z rejestrów karnych innych państw członkowskich. Państwa członkowskie mogą również, w razie potrzeby i w stosownych przypadkach, opierać się na informacjach uzyskanych z systemu informacyjnego Schengen drugiej generacji (SIS II) ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1862 (21), danych wywiadowczych oraz na wszelkich innych dostępnych bezstronnych informacjach, które mogą być niezbędne do określenia, czy dana osoba jest odpowiednia do pracy na stanowisku, w odniesieniu do którego podmiot krytyczny zwrócił się o przeprowadzenie sprawdzenia przeszłości. |
| --- | --- |

(32)

Ryzyko, że pracownicy podmiotów krytycznych lub wykonawcy pracujący na rzecz podmiotów krytycznych nadużyją na przykład swoich praw dostępu w ramach organizacji podmiotu krytycznego w celu wyrządzenia szkody, budzi coraz większe obawy. Państwa członkowskie powinny zatem określić warunki, zgodnie z którymi podmioty krytyczne mogą – w należycie uzasadnionych przypadkach i z uwzględnieniem ocen ryzyka państw członkowskich– składać wnioski o sprawdzenie przeszłości osób należących do szczególnych kategorii ich personelu. Należy zapewnić, by odpowiednie organy oceniały takie wnioski w rozsądnym terminie i przetwarzały je zgodnie z prawem krajowym i procedurami krajowymi i z odpowiednim i mającym zastosowanie prawem Unii, w tym dotyczącym ochrony danych osobowych. W celu potwierdzenia tożsamości osoby podlegającej sprawdzeniu przeszłości państwa członkowskie powinny wymagać dowodu tożsamości, takiego jak paszport, krajowy dokument tożsamości lub cyfrowa forma identyfikacji, zgodnie z mającym zastosowanie prawem.

Sprawdzenie przeszłości powinno obejmować sprawdzenie rejestrów karnych odnośnej osoby. Państwa członkowskie powinny wykorzystywać europejski system przekazywania informacji z rejestrów karnych zgodnie z procedurami określonymi w decyzji ramowej Rady 2009/315/WSiSW (19) oraz, w razie potrzeby i w stosownych przypadkach, w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2019/816 (20), w celu uzyskiwania informacji z rejestrów karnych innych państw członkowskich. Państwa członkowskie mogą również, w razie potrzeby i w stosownych przypadkach, opierać się na informacjach uzyskanych z systemu informacyjnego Schengen drugiej generacji (SIS II) ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1862 (21), danych wywiadowczych oraz na wszelkich innych dostępnych bezstronnych informacjach, które mogą być niezbędne do określenia, czy dana osoba jest odpowiednia do pracy na stanowisku, w odniesieniu do którego podmiot krytyczny zwrócił się o przeprowadzenie sprawdzenia przeszłości.

| (33) | Powinien zostać ustanowiony mechanizm zgłaszania określonych incydentów, by umożliwić właściwym organom szybką i adekwatną odpowiedź na nie oraz uzyskanie kompleksowego obrazu skutków, charakteru, przyczyn i możliwych konsekwencji danego incydentu, którym zajmują się podmioty krytyczne. Podmioty krytyczne powinny niezwłocznie zgłaszać właściwym organom incydenty, które istotnie zakłócają lub mogą istotnie zakłócać świadczenie usług kluczowych. Podmioty krytyczne powinny dokonać zgłoszenia wstępnego nie później niż 24 godziny od uzyskania wiedzy o wystąpieniu incydentu – chyba że jest to niemożliwe z operacyjnego punktu widzenia. Wstępne zgłoszenie powinno zawierać jedynie informacje absolutnie niezbędne do tego, by poinformować właściwy organ o wystąpieniu incydentu i umożliwić podmiotowi krytycznemu zwrócenie się o wsparcie, jeśli zachodzi taka potrzeba. Zgłoszenie takie powinno w miarę możliwości wskazywać potencjalną przyczynę incydentu. Państwa członkowskie powinny zapewnić, aby wymóg dokonania wstępnego zgłoszenia nie powodował przekierowania zasobów podmiotu krytycznego z działań podejmowanych w reakcji na incydent, które to działania powinny mieć charakter priorytetowy. W stosownych przypadkach, po wstępnym zgłoszeniu należy przedłożyć szczegółowe sprawozdanie – nie później niż miesiąc od zaistnienia incydentu. Szczegółowe sprawozdanie powinno uzupełniać wstępne zgłoszenie i oferować pełniejsze podsumowanie dotyczące incydentu. |
| --- | --- |

(33)

Powinien zostać ustanowiony mechanizm zgłaszania określonych incydentów, by umożliwić właściwym organom szybką i adekwatną odpowiedź na nie oraz uzyskanie kompleksowego obrazu skutków, charakteru, przyczyn i możliwych konsekwencji danego incydentu, którym zajmują się podmioty krytyczne. Podmioty krytyczne powinny niezwłocznie zgłaszać właściwym organom incydenty, które istotnie zakłócają lub mogą istotnie zakłócać świadczenie usług kluczowych. Podmioty krytyczne powinny dokonać zgłoszenia wstępnego nie później niż 24 godziny od uzyskania wiedzy o wystąpieniu incydentu – chyba że jest to niemożliwe z operacyjnego punktu widzenia. Wstępne zgłoszenie powinno zawierać jedynie informacje absolutnie niezbędne do tego, by poinformować właściwy organ o wystąpieniu incydentu i umożliwić podmiotowi krytycznemu zwrócenie się o wsparcie, jeśli zachodzi taka potrzeba. Zgłoszenie takie powinno w miarę możliwości wskazywać potencjalną przyczynę incydentu. Państwa członkowskie powinny zapewnić, aby wymóg dokonania wstępnego zgłoszenia nie powodował przekierowania zasobów podmiotu krytycznego z działań podejmowanych w reakcji na incydent, które to działania powinny mieć charakter priorytetowy. W stosownych przypadkach, po wstępnym zgłoszeniu należy przedłożyć szczegółowe sprawozdanie – nie później niż miesiąc od zaistnienia incydentu. Szczegółowe sprawozdanie powinno uzupełniać wstępne zgłoszenie i oferować pełniejsze podsumowanie dotyczące incydentu.

| (34) | Proces normalizacji powinien pozostać procesem uzależnionym głównie od czynników rynkowych. Nadal mogą jednak zaistnieć sytuacje, w których należy wymagać przestrzegania określonych norm. Państwa członkowskie powinny zachęcać, gdy może to być przydatne, do stosowania europejskich i międzynarodowych norm i specyfikacji technicznych istotnych dla środków w zakresie bezpieczeństwa i w zakresie odporności mających zastosowanie do podmiotów krytycznych. |
| --- | --- |

(34)

Proces normalizacji powinien pozostać procesem uzależnionym głównie od czynników rynkowych. Nadal mogą jednak zaistnieć sytuacje, w których należy wymagać przestrzegania określonych norm. Państwa członkowskie powinny zachęcać, gdy może to być przydatne, do stosowania europejskich i międzynarodowych norm i specyfikacji technicznych istotnych dla środków w zakresie bezpieczeństwa i w zakresie odporności mających zastosowanie do podmiotów krytycznych.

| (35) | Podczas gdy podmioty krytyczne działają zazwyczaj jako element w coraz większym stopniu wzajemnie powiązanej sieci świadczenia usług i infrastruktury oraz często świadczą usługi kluczowe w więcej niż jednym państwie członkowskim, niektóre z tych podmiotów krytycznych mają szczególne znaczenie dla Unii i jej rynku wewnętrznego, ponieważ świadczą usługi kluczowe na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach członkowskich, i mogłyby zatem korzystać ze szczególnego wsparcia na poziomie Unii. Należy zatem ustanowić przepisy dotyczące misji doradczych w odniesieniu do takich podmiotów krytycznych o szczególnym znaczeniu europejskim. Przepisy te pozostają bez uszczerbku dla przepisów dotyczących nadzoru i egzekwowania przepisów przewidzianych w niniejszej dyrektywie. |
| --- | --- |

(35)

Podczas gdy podmioty krytyczne działają zazwyczaj jako element w coraz większym stopniu wzajemnie powiązanej sieci świadczenia usług i infrastruktury oraz często świadczą usługi kluczowe w więcej niż jednym państwie członkowskim, niektóre z tych podmiotów krytycznych mają szczególne znaczenie dla Unii i jej rynku wewnętrznego, ponieważ świadczą usługi kluczowe na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach członkowskich, i mogłyby zatem korzystać ze szczególnego wsparcia na poziomie Unii. Należy zatem ustanowić przepisy dotyczące misji doradczych w odniesieniu do takich podmiotów krytycznych o szczególnym znaczeniu europejskim. Przepisy te pozostają bez uszczerbku dla przepisów dotyczących nadzoru i egzekwowania przepisów przewidzianych w niniejszej dyrektywie.

| (36) | Na uzasadniony wniosek Komisji lub co najmniej jednego państwa członkowskiego, na rzecz którego lub w którym świadczona jest usługa kluczowa, w przypadkach gdy do zapewnienia podmiotowi krytycznemu doradztwa w zakresie wypełniania jego obowiązków zgodnie z niniejszą dyrektywą lub do oceny wypełniania tych obowiązków przez podmiot krytyczny o szczególnym znaczeniu europejskim niezbędne są dodatkowe informacje, państwo członkowskie, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny, powinno przekazać Komisji określone informacje, jak określono w niniejszej dyrektywie. Komisja powinna mieć możliwość zorganizowania misji doradczej – w porozumieniu z państwem członkowskim, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny – w celu oceny środków wdrożonych przez ten podmiot. Aby zapewnić prawidłowe powadzenie takich misji doradczych, należy ustanowić dodatkowe przepisy, w szczególności dotyczące organizacji i przebiegu misji doradczych, działań następczych, które należy podjąć, oraz obowiązków podmiotów krytycznych o szczególnym znaczeniu europejskim, których dotyczą misje. Misje doradcze należy – bez uszczerbku dla konieczności przestrzegania przepisów niniejszej dyrektywy przez państwo członkowskie, w którym prowadzi się misję doradczą, oraz przez podmiot krytyczny, którego ona dotyczy – prowadzić zgodnie ze szczegółowymi przepisami prawa tego państwa członkowskiego, na przykład dotyczącymi konkretnych warunków, które należy spełnić, aby uzyskać dostęp do odpowiednich budynków lub terenów lub dokumentów, oraz dotyczącymi środka zaskarżenia. O konkretną wiedzę ekspercką wymaganą na potrzeby takich misji doradczych można by w stosownych przypadkach wnosić za pośrednictwem Centrum Koordynacji Reagowania Kryzysowego ustanowionego decyzją Parlamentu Europejskiego i Rady nr 1313/2013/EU (22). |
| --- | --- |

(36)

Na uzasadniony wniosek Komisji lub co najmniej jednego państwa członkowskiego, na rzecz którego lub w którym świadczona jest usługa kluczowa, w przypadkach gdy do zapewnienia podmiotowi krytycznemu doradztwa w zakresie wypełniania jego obowiązków zgodnie z niniejszą dyrektywą lub do oceny wypełniania tych obowiązków przez podmiot krytyczny o szczególnym znaczeniu europejskim niezbędne są dodatkowe informacje, państwo członkowskie, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny, powinno przekazać Komisji określone informacje, jak określono w niniejszej dyrektywie. Komisja powinna mieć możliwość zorganizowania misji doradczej – w porozumieniu z państwem członkowskim, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny – w celu oceny środków wdrożonych przez ten podmiot. Aby zapewnić prawidłowe powadzenie takich misji doradczych, należy ustanowić dodatkowe przepisy, w szczególności dotyczące organizacji i przebiegu misji doradczych, działań następczych, które należy podjąć, oraz obowiązków podmiotów krytycznych o szczególnym znaczeniu europejskim, których dotyczą misje. Misje doradcze należy – bez uszczerbku dla konieczności przestrzegania przepisów niniejszej dyrektywy przez państwo członkowskie, w którym prowadzi się misję doradczą, oraz przez podmiot krytyczny, którego ona dotyczy – prowadzić zgodnie ze szczegółowymi przepisami prawa tego państwa członkowskiego, na przykład dotyczącymi konkretnych warunków, które należy spełnić, aby uzyskać dostęp do odpowiednich budynków lub terenów lub dokumentów, oraz dotyczącymi środka zaskarżenia. O konkretną wiedzę ekspercką wymaganą na potrzeby takich misji doradczych można by w stosownych przypadkach wnosić za pośrednictwem Centrum Koordynacji Reagowania Kryzysowego ustanowionego decyzją Parlamentu Europejskiego i Rady nr 1313/2013/EU (22).

| (37) | W celu wsparcia Komisji i ułatwienia współpracy między państwami członkowskimi oraz wymiany informacji, w tym najlepszych praktyk, na temat kwestii związanych z niniejszą dyrektywą należy ustanowić Grupę ds. Odporności Podmiotów Krytycznych jako grupę ekspercką Komisji. Państwa członkowskie powinny dokładać starań, aby zapewnić skuteczną i efektywną współpracę wyznaczonych przedstawicieli ich właściwych organów w ramach Grupy ds. Odporności Podmiotów Krytycznych, w tym w stosownych przypadkach poprzez wyznaczanie przedstawicieli posiadających poświadczenie bezpieczeństwa osobowego. Grupa ds. Odporności Podmiotów Krytycznych powinna rozpocząć wykonywanie swoich zadań jak najszybciej, tak aby zapewnić dodatkowe środki na rzecz odpowiedniej współpracy w okresie transpozycji niniejszej dyrektywy. Grupa ds. Odporności Podmiotów Krytycznych powinna współdziałać z innymi odpowiednimi sektorowymi grupami roboczymi ekspertów. |
| --- | --- |

(37)

W celu wsparcia Komisji i ułatwienia współpracy między państwami członkowskimi oraz wymiany informacji, w tym najlepszych praktyk, na temat kwestii związanych z niniejszą dyrektywą należy ustanowić Grupę ds. Odporności Podmiotów Krytycznych jako grupę ekspercką Komisji. Państwa członkowskie powinny dokładać starań, aby zapewnić skuteczną i efektywną współpracę wyznaczonych przedstawicieli ich właściwych organów w ramach Grupy ds. Odporności Podmiotów Krytycznych, w tym w stosownych przypadkach poprzez wyznaczanie przedstawicieli posiadających poświadczenie bezpieczeństwa osobowego. Grupa ds. Odporności Podmiotów Krytycznych powinna rozpocząć wykonywanie swoich zadań jak najszybciej, tak aby zapewnić dodatkowe środki na rzecz odpowiedniej współpracy w okresie transpozycji niniejszej dyrektywy. Grupa ds. Odporności Podmiotów Krytycznych powinna współdziałać z innymi odpowiednimi sektorowymi grupami roboczymi ekspertów.

| (38) | Grupa ds. Odporności Podmiotów Krytycznych powinna współpracować z Grupą Współpracy ustanowioną na podstawie dyrektywy (UE) 2022/2555 w celu wspierania kompleksowych ram dotyczących odporności podmiotów krytycznych w zakresie cyberbezpieczeństwa i ich odporności niezwiązanej z cyberbezpieczeństwem. Grupa ds. Odporności Podmiotów Krytycznych i Grupa Współpracy ustanowiona na podstawie dyrektywy (UE) 2022/2555 powinny prowadzić regularny dialog w celu promowania współpracy między właściwymi organami na podstawie niniejszej dyrektywy i właściwymi organami na podstawie dyrektywy (UE) 2022/2555 i ułatwiania wymiany informacji, w szczególności w zakresie tematów istotnych dla obu grup. |
| --- | --- |

(38)

Grupa ds. Odporności Podmiotów Krytycznych powinna współpracować z Grupą Współpracy ustanowioną na podstawie dyrektywy (UE) 2022/2555 w celu wspierania kompleksowych ram dotyczących odporności podmiotów krytycznych w zakresie cyberbezpieczeństwa i ich odporności niezwiązanej z cyberbezpieczeństwem. Grupa ds. Odporności Podmiotów Krytycznych i Grupa Współpracy ustanowiona na podstawie dyrektywy (UE) 2022/2555 powinny prowadzić regularny dialog w celu promowania współpracy między właściwymi organami na podstawie niniejszej dyrektywy i właściwymi organami na podstawie dyrektywy (UE) 2022/2555 i ułatwiania wymiany informacji, w szczególności w zakresie tematów istotnych dla obu grup.

| (39) | Aby osiągnąć cele niniejszej dyrektywy i bez uszczerbku dla odpowiedzialności prawnej państw członkowskich i podmiotów krytycznych za wywiązywanie się z ich odpowiednich obowiązków określonych w niniejszej dyrektywie, Komisja powinna – jeżeli uzna to za stosowne –wspierać właściwe organy i podmioty krytyczne w celu ułatwienia wypełniania ich odpowiednich obowiązków. Udzielając wsparcia państwom członkowskim i podmiotom krytycznym w wykonywaniu obowiązków na podstawie niniejszej dyrektywy, Komisja powinna korzystać z istniejących struktur i narzędzi, takich jak te dostępne w ramach Unijnego Mechanizmu Ochrony Ludności, ustanowionego decyzją nr 1313/2013/UE oraz Europejskiej Sieci Referencyjnej ds. Ochrony Infrastruktury Krytycznej. Ponadto Komisja powinna informować państwa członkowskie o zasobach dostępnych na poziomie Unii, na przykład w ramach Funduszu Bezpieczeństwa Wewnętrznego ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/1149 (23), programu „Horyzont Europa” ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/695 (24) lub innych instrumentów istotnych dla odporności podmiotów krytycznych. |
| --- | --- |

(39)

Aby osiągnąć cele niniejszej dyrektywy i bez uszczerbku dla odpowiedzialności prawnej państw członkowskich i podmiotów krytycznych za wywiązywanie się z ich odpowiednich obowiązków określonych w niniejszej dyrektywie, Komisja powinna – jeżeli uzna to za stosowne –wspierać właściwe organy i podmioty krytyczne w celu ułatwienia wypełniania ich odpowiednich obowiązków. Udzielając wsparcia państwom członkowskim i podmiotom krytycznym w wykonywaniu obowiązków na podstawie niniejszej dyrektywy, Komisja powinna korzystać z istniejących struktur i narzędzi, takich jak te dostępne w ramach Unijnego Mechanizmu Ochrony Ludności, ustanowionego decyzją nr 1313/2013/UE oraz Europejskiej Sieci Referencyjnej ds. Ochrony Infrastruktury Krytycznej. Ponadto Komisja powinna informować państwa członkowskie o zasobach dostępnych na poziomie Unii, na przykład w ramach Funduszu Bezpieczeństwa Wewnętrznego ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/1149 (23), programu „Horyzont Europa” ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/695 (24) lub innych instrumentów istotnych dla odporności podmiotów krytycznych.

| (40) | Państwa członkowskie powinny zapewnić, aby ich właściwe organy dysponowały pewnymi szczególnymi uprawnieniami umożliwiającymi im prawidłowe stosowanie i egzekwowanie przepisów niniejszej dyrektywy względem podmiotów krytycznych, jeżeli zgodnie z niniejszą dyrektywą podmioty te podlegają ich jurysdykcji. Uprawnienia te powinny obejmować w szczególności uprawnienie do prowadzenia inspekcji i audytów, uprawnienie do sprawowania nadzoru, uprawnienie do zobowiązania podmiotów krytycznych do przekazywania informacji i dowodów związanych ze środkami, które wdrożyły, aby wywiązać się ze swoich obowiązków, oraz w stosownych przypadkach uprawnienie do wydawania nakazów usunięcia skutków stwierdzonych naruszeń. Wydając takie nakazy, państwa członkowskie nie powinny wymagać środków wykraczających poza środki niezbędne i proporcjonalne do zapewnienia przestrzegania przepisów przez dane podmioty krytyczne, biorąc pod uwagę w szczególności powagę naruszenia oraz zdolność gospodarczą odnośnego podmiotu krytycznego. Mówiąc ogólniej, uprawnieniom tym powinny towarzyszyć odpowiednie i skuteczne zabezpieczenia przewidziane prawem krajowym i zgodne z Kartą praw podstawowych Unii Europejskiej. Dokonując oceny wypełniania przez podmiot krytyczny obowiązków określonych w niniejszej dyrektywie, właściwe organy na podstawie niniejszej dyrektywy powinny mieć możliwość zwrócenia się do właściwych organów na podstawie dyrektywy (UE) 2022/2555, by te ostatnie skorzystały ze swoich uprawnień w zakresie nadzoru i egzekwowania przepisów w odniesieniu do podmiotu na podstawie tej dyrektywy, który to podmiot został również zidentyfikowany jako podmiot krytyczny na podstawie niniejszej dyrektywy. W tym celu właściwe organy na podstawie niniejszej dyrektywy oraz właściwe organy na podstawie dyrektywy (UE) 2022/2555 powinny współpracować i wymieniać informacje. |
| --- | --- |

(40)

Państwa członkowskie powinny zapewnić, aby ich właściwe organy dysponowały pewnymi szczególnymi uprawnieniami umożliwiającymi im prawidłowe stosowanie i egzekwowanie przepisów niniejszej dyrektywy względem podmiotów krytycznych, jeżeli zgodnie z niniejszą dyrektywą podmioty te podlegają ich jurysdykcji. Uprawnienia te powinny obejmować w szczególności uprawnienie do prowadzenia inspekcji i audytów, uprawnienie do sprawowania nadzoru, uprawnienie do zobowiązania podmiotów krytycznych do przekazywania informacji i dowodów związanych ze środkami, które wdrożyły, aby wywiązać się ze swoich obowiązków, oraz w stosownych przypadkach uprawnienie do wydawania nakazów usunięcia skutków stwierdzonych naruszeń. Wydając takie nakazy, państwa członkowskie nie powinny wymagać środków wykraczających poza środki niezbędne i proporcjonalne do zapewnienia przestrzegania przepisów przez dane podmioty krytyczne, biorąc pod uwagę w szczególności powagę naruszenia oraz zdolność gospodarczą odnośnego podmiotu krytycznego. Mówiąc ogólniej, uprawnieniom tym powinny towarzyszyć odpowiednie i skuteczne zabezpieczenia przewidziane prawem krajowym i zgodne z Kartą praw podstawowych Unii Europejskiej. Dokonując oceny wypełniania przez podmiot krytyczny obowiązków określonych w niniejszej dyrektywie, właściwe organy na podstawie niniejszej dyrektywy powinny mieć możliwość zwrócenia się do właściwych organów na podstawie dyrektywy (UE) 2022/2555, by te ostatnie skorzystały ze swoich uprawnień w zakresie nadzoru i egzekwowania przepisów w odniesieniu do podmiotu na podstawie tej dyrektywy, który to podmiot został również zidentyfikowany jako podmiot krytyczny na podstawie niniejszej dyrektywy. W tym celu właściwe organy na podstawie niniejszej dyrektywy oraz właściwe organy na podstawie dyrektywy (UE) 2022/2555 powinny współpracować i wymieniać informacje.

| (41) | W celu skutecznego i spójnego stosowania niniejszej dyrektywy należy przekazać Komisji uprawnienia do przyjmowania aktów zgodnie z art. 290 TFUE w celu uzupełnienia niniejszej dyrektywy przez sporządzenie wykazu usług kluczowych. Wykaz ten powinien być wykorzystywany przez właściwe organy do celów przeprowadzania ocen ryzyka państw członkowskich oraz do identyfikacji podmiotów krytycznych zgodnie z niniejszą dyrektywą. Z uwagi na zastosowane w niniejszej dyrektywie podejście polegające na minimalnej harmonizacji wykaz ten nie jest wyczerpujący, a państwa członkowskie mogą go uzupełniać o dodatkowe usługi kluczowe na poziomie krajowym w celu uwzględnienia krajowej specyfiki w zakresie świadczenia usług kluczowych. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby konsultacje te prowadzone były zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa (25). W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te otrzymują wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji mogą systematycznie brać udział w posiedzeniach grup eksperckich Komisji zajmujących się przygotowaniem aktów delegowanych. |
| --- | --- |

(41)

W celu skutecznego i spójnego stosowania niniejszej dyrektywy należy przekazać Komisji uprawnienia do przyjmowania aktów zgodnie z art. 290 TFUE w celu uzupełnienia niniejszej dyrektywy przez sporządzenie wykazu usług kluczowych. Wykaz ten powinien być wykorzystywany przez właściwe organy do celów przeprowadzania ocen ryzyka państw członkowskich oraz do identyfikacji podmiotów krytycznych zgodnie z niniejszą dyrektywą. Z uwagi na zastosowane w niniejszej dyrektywie podejście polegające na minimalnej harmonizacji wykaz ten nie jest wyczerpujący, a państwa członkowskie mogą go uzupełniać o dodatkowe usługi kluczowe na poziomie krajowym w celu uwzględnienia krajowej specyfiki w zakresie świadczenia usług kluczowych. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby konsultacje te prowadzone były zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa (25). W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te otrzymują wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji mogą systematycznie brać udział w posiedzeniach grup eksperckich Komisji zajmujących się przygotowaniem aktów delegowanych.

| (42) | W celu zapewnienia jednolitych warunków wykonywania niniejszej dyrektywy należy powierzyć Komisji uprawnienia wykonawcze. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011 (26). |
| --- | --- |

(42)

W celu zapewnienia jednolitych warunków wykonywania niniejszej dyrektywy należy powierzyć Komisji uprawnienia wykonawcze. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011 (26).

| (43) | Ponieważ cele niniejszej dyrektywy – a mianowicie zapewnienie niezakłóconego świadczenia na rynku wewnętrznym usług kluczowych dla utrzymania niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej oraz zwiększenie odporności podmiotów krytycznych świadczących takie usługi – nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie, natomiast ze względu na skutki działań możliwe jest ich lepsze osiągnięcie na poziomie Unii, może ona podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym art. 5 niniejsza dyrektywa nie wykracza poza to, co jest konieczne do osiągnięcia tych celów. |
| --- | --- |

(43)

Ponieważ cele niniejszej dyrektywy – a mianowicie zapewnienie niezakłóconego świadczenia na rynku wewnętrznym usług kluczowych dla utrzymania niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej oraz zwiększenie odporności podmiotów krytycznych świadczących takie usługi – nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie, natomiast ze względu na skutki działań możliwe jest ich lepsze osiągnięcie na poziomie Unii, może ona podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym art. 5 niniejsza dyrektywa nie wykracza poza to, co jest konieczne do osiągnięcia tych celów.

| (44) | Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (27) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 11 sierpnia 2021 r. |
| --- | --- |

(44)

Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 (27) skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 11 sierpnia 2021 r.

| (45) | Należy zatem uchylić dyrektywę 2008/114/WE, |
| --- | --- |

(45)

Należy zatem uchylić dyrektywę 2008/114/WE,

PRZYJMUJĄ NINIEJSZĄ DYREKTYWĘ:

ROZDZIAŁ I

PRZEPISY OGÓLNE

Artykuł 1

Przedmiot i zakres stosowania

1.   W niniejszej dyrektywie ustanawia się:

| a) | obowiązki państw członkowskich polegające na przyjmowaniu konkretnych środków mających na celu zapewnienie niezakłóconego świadczenia na rynku wewnętrznym usług kluczowych dla utrzymania niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej, w ramach zakresu stosowania art. 114 TFUE, w szczególności obowiązki polegające na identyfikowaniu podmiotów krytycznych oraz wspieraniu podmiotów krytycznych w wypełnianiu przez nie nałożonych na nie obowiązków; |
| --- | --- |

a)

obowiązki państw członkowskich polegające na przyjmowaniu konkretnych środków mających na celu zapewnienie niezakłóconego świadczenia na rynku wewnętrznym usług kluczowych dla utrzymania niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej, w ramach zakresu stosowania art. 114 TFUE, w szczególności obowiązki polegające na identyfikowaniu podmiotów krytycznych oraz wspieraniu podmiotów krytycznych w wypełnianiu przez nie nałożonych na nie obowiązków;

| b) | obowiązki podmiotów krytycznych mające na celu zwiększenie ich odporności i zdolności do świadczenia usług, o których mowa w lit. a), na rynku wewnętrznym; |
| --- | --- |

b)

obowiązki podmiotów krytycznych mające na celu zwiększenie ich odporności i zdolności do świadczenia usług, o których mowa w lit. a), na rynku wewnętrznym;

| c) | przepisy:






  (i) | dotyczące nadzoru nad podmiotami krytycznymi; |
| --- | --- | --- |

c)

przepisy:

(i)

dotyczące nadzoru nad podmiotami krytycznymi;

| (ii) | dotyczące egzekwowania przepisów; |
| --- | --- |

(ii)

dotyczące egzekwowania przepisów;

| (iii) | w zakresie identyfikacji podmiotów krytycznych o szczególnym znaczeniu europejskim oraz w zakresie misji doradczych w celu oceny środków, które takie podmioty wdrożyły, aby wypełniać swoje obowiązki wynikające z Rozdziału III; |
| --- | --- |

(iii)

w zakresie identyfikacji podmiotów krytycznych o szczególnym znaczeniu europejskim oraz w zakresie misji doradczych w celu oceny środków, które takie podmioty wdrożyły, aby wypełniać swoje obowiązki wynikające z Rozdziału III;

| d) | wspólne procedury dotyczące współpracy i sprawozdawczości w zakresie stosowania niniejszej dyrektywy; |
| --- | --- |

d)

wspólne procedury dotyczące współpracy i sprawozdawczości w zakresie stosowania niniejszej dyrektywy;

| e) | środki mające na celu osiągnięcie wysokiego poziomu odporności podmiotów krytycznych, aby zapewnić świadczenie usług kluczowych w Unii oraz usprawnić funkcjonowanie rynku wewnętrznego. |
| --- | --- |

e)

środki mające na celu osiągnięcie wysokiego poziomu odporności podmiotów krytycznych, aby zapewnić świadczenie usług kluczowych w Unii oraz usprawnić funkcjonowanie rynku wewnętrznego.

2.   Niniejszej dyrektywy nie stosuje się do kwestii objętych dyrektywą (UE) 2022/2555, bez uszczerbku dla art. 8 niniejszej dyrektywy. Z uwagi na powiązanie między fizycznym bezpieczeństwem a cyberbezpieczeństwem podmiotów krytycznych państwa członkowskie zapewniają skoordynowane wdrażanie niniejszej dyrektywy i dyrektywy (UE) 2022/2555.

3.   Nie stosuje się odpowiednich przepisów niniejszej dyrektywy, w tym przepisów dotyczących nadzoru i egzekwowania przepisów przewidzianych w rozdziale VI, jeżeli w przepisach sektorowych aktów prawa Unii nałożono na podmioty krytyczne obowiązek zastosowania środków zwiększających ich odporność i jeżeli wymogi te są uznawane przez państwa członkowskie za co najmniej równoważne odpowiadającym im obowiązkom przewidzianym w niniejszej dyrektywie.

4.   Bez uszczerbku dla art. 346 TFUE informacje, które są poufne zgodnie z przepisami unijnymi lub krajowymi, takimi jak przepisy dotyczące tajemnicy przedsiębiorstwa, podlegają wymianie z Komisją i innymi odpowiednimi organami zgodnie z niniejszą dyrektywą tylko wtedy, gdy wymiana taka jest niezbędna do stosowania niniejszej dyrektywy. Informacje podlegające wymianie ograniczają się do tego, co jest istotne dla celów takiej wymiany i proporcjonalne do jej celów. Przy wymianie informacji należy chronić poufność oraz bezpieczeństwo i interesy handlowe podmiotów krytycznych, przy jednoczesnym poszanowaniu bezpieczeństwa państw członkowskich.

5.   Niniejsza dyrektywa pozostaje bez uszczerbku dla obowiązku państw członkowskich w zakresie gwarantowania bezpieczeństwa narodowego i obronności i ich uprawnień do gwarantowania innych podstawowych funkcji państwa, w tym zapewniania integralności terytorialnej państwa i utrzymywania porządku publicznego.

6.   Niniejszej dyrektywy nie stosuje się do podmiotów administracji publicznej, które prowadzą swoją działalność w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw.

7.   Państwa członkowskie mogą zdecydować, że art. 11 i rozdziałów III, IV i VI, w całości lub w części, nie stosuje się do konkretnych podmiotów krytycznych, które prowadzą działalność w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw, lub które świadczą usługi wyłącznie na rzecz podmiotów administracji publicznej, o których mowa w ust. 6 niniejszego artykułu,.

8.   Obowiązki ustanowione w niniejszej dyrektywie nie wiążą się z dostarczaniem informacji, których ujawnienie byłoby sprzeczne z podstawowymi interesami bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności państw członkowskich.

9.   Niniejsza dyrektywa pozostaje bez uszczerbku dla prawa Unii w sprawie ochrony danych osobowych, w szczególności rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (28) i dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady (29).

Artykuł 2

Definicje

Do celów niniejszej dyrektywy stosuje się następujące definicje:

| 1) | „podmiot krytyczny” oznacza podmiot publiczny lub prywatny zidentyfikowany przez państwo członkowskie zgodnie z art. 6 jako należący do jednej z kategorii wymienionych w trzeciej kolumnie tabeli w załączniku; |
| --- | --- |

1)

„podmiot krytyczny” oznacza podmiot publiczny lub prywatny zidentyfikowany przez państwo członkowskie zgodnie z art. 6 jako należący do jednej z kategorii wymienionych w trzeciej kolumnie tabeli w załączniku;

| 2) | „odporność” oznacza zdolność podmiotu krytycznego do zapobiegania incydentowi, ochrony przed nim, odpowiedzi na niego, stawiania mu oporu, łagodzenia i absorbowania incydentu oraz adaptacji i odtworzenia po incydencie; |
| --- | --- |

2)

„odporność” oznacza zdolność podmiotu krytycznego do zapobiegania incydentowi, ochrony przed nim, odpowiedzi na niego, stawiania mu oporu, łagodzenia i absorbowania incydentu oraz adaptacji i odtworzenia po incydencie;

| 3) | „incydent” oznacza każde zdarzenie, które może znacząco zakłócić lub które zakłóca świadczenie usługi kluczowej, w tym gdy wpływa ono na krajowe systemy chroniące praworządność; |
| --- | --- |

3)

„incydent” oznacza każde zdarzenie, które może znacząco zakłócić lub które zakłóca świadczenie usługi kluczowej, w tym gdy wpływa ono na krajowe systemy chroniące praworządność;

| 4) | „infrastruktura krytyczna” oznacza składnik, obiekt, sprzęt, sieć lub system lub część składnika, obiektu, sprzętu, sieci lub systemu, niezbędne do świadczenia usługi kluczowej; |
| --- | --- |

4)

„infrastruktura krytyczna” oznacza składnik, obiekt, sprzęt, sieć lub system lub część składnika, obiektu, sprzętu, sieci lub systemu, niezbędne do świadczenia usługi kluczowej;

| 5) | „usługa kluczowa” oznacza usługę, która ma decydujące znaczenie dla utrzymania niezbędnych funkcji społecznych, niezbędnej działalności gospodarczej, zdrowia i bezpieczeństwa publicznego lub środowiska; |
| --- | --- |

5)

„usługa kluczowa” oznacza usługę, która ma decydujące znaczenie dla utrzymania niezbędnych funkcji społecznych, niezbędnej działalności gospodarczej, zdrowia i bezpieczeństwa publicznego lub środowiska;

| 6) | „ryzyko” oznacza potencjalną stratę lub potencjalne zakłócenie spowodowane incydentem i ma być wyrażone jako wypadkowa skali takiej straty lub takiego zakłócenia oraz prawdopodobieństwa wystąpienia takiego incydentu; |
| --- | --- |

6)

„ryzyko” oznacza potencjalną stratę lub potencjalne zakłócenie spowodowane incydentem i ma być wyrażone jako wypadkowa skali takiej straty lub takiego zakłócenia oraz prawdopodobieństwa wystąpienia takiego incydentu;

| 7) | „ocena ryzyka ” oznacza ogólny proces mający na celu określenie charakteru i zakresu ryzyka poprzez identyfikację i analizę potencjalnych odpowiednich zagrożeń, podatności na zagrożenia i niebezpieczeństw, które mogłyby prowadzić do incydentu, oraz poprzez ocenę potencjalnej straty lub potencjalnego zakłócenia świadczenia usługi kluczowej spowodowanych tym incydentem; |
| --- | --- |

7)

„ocena ryzyka ” oznacza ogólny proces mający na celu określenie charakteru i zakresu ryzyka poprzez identyfikację i analizę potencjalnych odpowiednich zagrożeń, podatności na zagrożenia i niebezpieczeństw, które mogłyby prowadzić do incydentu, oraz poprzez ocenę potencjalnej straty lub potencjalnego zakłócenia świadczenia usługi kluczowej spowodowanych tym incydentem;

| 8) | „norma” oznacza normę zdefiniowaną w art. 2 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1025/2012 (30); |
| --- | --- |

8)

„norma” oznacza normę zdefiniowaną w art. 2 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1025/2012 (30);

30

| 9) | „specyfikacja techniczna” oznacza specyfikację techniczną zdefiniowaną w art. 2 pkt 4 rozporządzenia (UE) nr 1025/2012; |
| --- | --- |

9)

„specyfikacja techniczna” oznacza specyfikację techniczną zdefiniowaną w art. 2 pkt 4 rozporządzenia (UE) nr 1025/2012;

| 10) | „podmiot administracji publicznej” oznacza podmiot uznany za taki w danym państwie członkowskim zgodnie z prawem krajowym, z wyłączeniem sądownictwa, parlamentów lub banków centralnych, który spełnia następujące kryteria:






  a) | został utworzony w celu zaspokajania potrzeb leżących w interesie ogólnym i nie ma charakteru przemysłowego ani handlowego; |
| --- | --- | --- |

10)

„podmiot administracji publicznej” oznacza podmiot uznany za taki w danym państwie członkowskim zgodnie z prawem krajowym, z wyłączeniem sądownictwa, parlamentów lub banków centralnych, który spełnia następujące kryteria:

a)

został utworzony w celu zaspokajania potrzeb leżących w interesie ogólnym i nie ma charakteru przemysłowego ani handlowego;

| b) | posiada osobowość prawną lub zgodnie z prawem jest uprawniony do działania w imieniu innego podmiotu posiadającego osobowość prawną; |
| --- | --- |

b)

posiada osobowość prawną lub zgodnie z prawem jest uprawniony do działania w imieniu innego podmiotu posiadającego osobowość prawną;

| c) | jest finansowany w przeważającej części przez organy państwa lub inne podmioty prawa publicznego ze szczebla centralnego, jego zarząd podlega nadzorowi ze strony tych organów lub podmiotów lub ponad połowa członków jego organu administrującego, zarządzającego lub nadzorczego została wyznaczona przez organy państwa lub inne podmioty prawa publicznego ze szczebla centralnego; |
| --- | --- |

c)

jest finansowany w przeważającej części przez organy państwa lub inne podmioty prawa publicznego ze szczebla centralnego, jego zarząd podlega nadzorowi ze strony tych organów lub podmiotów lub ponad połowa członków jego organu administrującego, zarządzającego lub nadzorczego została wyznaczona przez organy państwa lub inne podmioty prawa publicznego ze szczebla centralnego;

| d) | jest uprawniony do kierowania do osób fizycznych lub prawnych decyzji administracyjnych lub regulacyjnych mających wpływ na ich prawa w transgranicznym przepływie osób, towarów, usług lub kapitału. |
| --- | --- |

d)

jest uprawniony do kierowania do osób fizycznych lub prawnych decyzji administracyjnych lub regulacyjnych mających wpływ na ich prawa w transgranicznym przepływie osób, towarów, usług lub kapitału.

Artykuł 3

Minimalna harmonizacja

Niniejsza dyrektywa nie uniemożliwia państwom członkowskim przyjmowania lub utrzymywania przepisów prawa krajowego w celu osiągnięcia wyższego poziomu odporności podmiotów krytycznych, pod warunkiem że takie przepisy są zgodne z obowiązkami państw członkowskich ustanowionymi w prawie Unii.

ROZDZIAŁ II

KRAJOWE RAMY DOTYCZĄCE ODPORNOŚCI PODMIOTÓW KRYTYCZNYCH

Artykuł 4

Strategia w zakresie odporności podmiotów krytycznych

1.   Po przeprowadzeniu konsultacji otwartych – w zakresie, w jakim jest to praktycznie możliwe – dla odpowiednich zainteresowanych stron każde państwo członkowskie przyjmuje w terminie do dnia 17 stycznia 2026 r. strategię mającą na celu zwiększenie odporności podmiotów krytycznych (zwaną dalej „strategią”). W strategii określa się, w oparciu o odpowiednie istniejące strategie krajowe i sektorowe, plany lub podobne dokumenty, cele strategiczne i środki polityczne służące osiągnięciu i utrzymaniu wysokiego poziomu odporności po stronie podmiotów krytycznych oraz obejmujące co najmniej sektory określone w załączniku.

2.   Każda strategia zawiera co najmniej następujące elementy:

| a) | cele strategiczne i priorytety służące zwiększeniu ogólnej odporności podmiotów krytycznych, biorąc pod uwagę transgraniczne i międzysektorowe zależności i współzależności; |
| --- | --- |

a)

cele strategiczne i priorytety służące zwiększeniu ogólnej odporności podmiotów krytycznych, biorąc pod uwagę transgraniczne i międzysektorowe zależności i współzależności;

| b) | ramy zarządzania służące osiągnięciu celów strategicznych i priorytetów, w tym opis ról i obowiązków poszczególnych organów, podmiotów krytycznych i innych stron zaangażowanych we wdrażanie strategii; |
| --- | --- |

b)

ramy zarządzania służące osiągnięciu celów strategicznych i priorytetów, w tym opis ról i obowiązków poszczególnych organów, podmiotów krytycznych i innych stron zaangażowanych we wdrażanie strategii;

| c) | opis środków niezbędnych do zwiększenia ogólnej odporności podmiotów krytycznych, w tym opis oceny ryzyka, o której mowa w art. 5; |
| --- | --- |

c)

opis środków niezbędnych do zwiększenia ogólnej odporności podmiotów krytycznych, w tym opis oceny ryzyka, o której mowa w art. 5;

| d) | opis procesu, w ramach którego identyfikuje się podmioty krytyczne; |
| --- | --- |

d)

opis procesu, w ramach którego identyfikuje się podmioty krytyczne;

| e) | opis procesu wspierania podmiotów krytycznych zgodnie z niniejszym rozdziałem, w tym środków służących zacieśnieniu współpracy między sektorem publicznym, z jednej strony, a sektorem prywatnym oraz podmiotami publicznymi i prywatnymi, z drugiej strony; |
| --- | --- |

e)

opis procesu wspierania podmiotów krytycznych zgodnie z niniejszym rozdziałem, w tym środków służących zacieśnieniu współpracy między sektorem publicznym, z jednej strony, a sektorem prywatnym oraz podmiotami publicznymi i prywatnymi, z drugiej strony;

| f) | wykaz głównych organów i odpowiednich zainteresowanych stron, innych niż podmioty krytyczne, zaangażowanych we wdrażanie strategii; |
| --- | --- |

f)

wykaz głównych organów i odpowiednich zainteresowanych stron, innych niż podmioty krytyczne, zaangażowanych we wdrażanie strategii;

| g) | ramy polityczne umożliwiające koordynację między właściwymi organami na podstawie niniejszej dyrektywy (zwanymi dalej „właściwymi organami”) oraz właściwymi organami na podstawie dyrektywy (UE) 2022/2555 na potrzeby wymiany informacji na temat ryzyk w cyberprzestrzeni, cyberzagrożeń i cyberincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią oraz wykonywania zadań nadzorczych; |
| --- | --- |

g)

ramy polityczne umożliwiające koordynację między właściwymi organami na podstawie niniejszej dyrektywy (zwanymi dalej „właściwymi organami”) oraz właściwymi organami na podstawie dyrektywy (UE) 2022/2555 na potrzeby wymiany informacji na temat ryzyk w cyberprzestrzeni, cyberzagrożeń i cyberincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią oraz wykonywania zadań nadzorczych;

| h) | opis już wprowadzonych środków mających na celu ułatwienie wypełniania obowiązków wynikających z rozdziału III niniejszej dyrektywy przez małe i średnie przedsiębiorstwa w rozumieniu załącznika do zalecenia Komisji 2003/361/WE (31), które to przedsiębiorstwa dane państwo członkowskie zidentyfikowało jako podmioty krytyczne. |
| --- | --- |

h)

opis już wprowadzonych środków mających na celu ułatwienie wypełniania obowiązków wynikających z rozdziału III niniejszej dyrektywy przez małe i średnie przedsiębiorstwa w rozumieniu załącznika do zalecenia Komisji 2003/361/WE (31), które to przedsiębiorstwa dane państwo członkowskie zidentyfikowało jako podmioty krytyczne.

Po przeprowadzeniu konsultacji otwartych – w zakresie w jakim jest to praktycznie możliwe – dla odpowiednich zainteresowanych stron państwa członkowskie aktualizują swoje strategie co najmniej raz na cztery lata.

3.   Państwa członkowskie przekazują Komisji swoje strategie i istotne aktualizacje tych strategii w terminie trzech miesięcy od ich przyjęcia.

Artykuł 5

Ocena ryzyka przeprowadzana przez państwa członkowskie

1.   Komisja jest uprawniona do przyjęcia aktu delegowanego zgodnie z art. 23 do dnia 17 listopada 2023 r. w celu uzupełnienia niniejszej dyrektywy przez ustanowienie niewyczerpującego wykazu usług kluczowych w sektorach i podsektorach, określonych w załączniku. Właściwe organy wykorzystują ten wykaz usług kluczowych do celu przeprowadzenia oceny ryzyka (zwanej dalej „oceną ryzyka państwa członkowskiego”) do dnia 17 stycznia 2026 r., a następnie w razie potrzeby, co najmniej raz na cztery lata. Właściwe organy wykorzystują oceny ryzyka państw członkowskich do celów identyfikacji podmiotów krytycznych zgodnie z art. 6 i udzielania pomocy tym podmiotom krytycznym we wprowadzaniu środków zgodnie z art. 13.

Oceny ryzyka państw członkowskich muszą uwzględniać istotne czynniki ryzyka, naturalne i spowodowane przez człowieka, w tym zagrożenia mające charakter międzysektorowy i transgraniczny, wypadki, klęski żywiołowe, stany zagrożenia zdrowia publicznego i zagrożenia hybrydowe lub inne zagrożenia związane z konfliktem, w tym przestępstwa terrorystyczne przewidziane w dyrektywie Parlamentu Europejskiego i Rady (UE) 2017/541 (32).

2.   Przeprowadzając oceny ryzyka państw członkowskich, państwa członkowskie biorą pod uwagę co najmniej:

| a) | ogólną ocenę ryzyka przeprowadzoną na podstawie art. 6 ust. 1 decyzji nr 1313/2013/UE; |
| --- | --- |

a)

ogólną ocenę ryzyka przeprowadzoną na podstawie art. 6 ust. 1 decyzji nr 1313/2013/UE;

| b) | inne istotne oceny ryzyka przeprowadzone zgodnie z wymogami właściwych sektorowych aktów prawnych Unii, w tym rozporządzeń Parlamentu Europejskiego i Rady (UE) 2017/1938 (33) i (UE) 2019/941 (34) oraz dyrektyw Parlamentu Europejskiego i Rady 2007/60/WE (35) i 2012/18/UE (36); |
| --- | --- |

b)

inne istotne oceny ryzyka przeprowadzone zgodnie z wymogami właściwych sektorowych aktów prawnych Unii, w tym rozporządzeń Parlamentu Europejskiego i Rady (UE) 2017/1938 (33) i (UE) 2019/941 (34) oraz dyrektyw Parlamentu Europejskiego i Rady 2007/60/WE (35) i 2012/18/UE (36);

| c) | istotne ryzyka wynikające ze stopnia wzajemnej zależności między sektorami określonymi w załączniku, w tym od stopnia ich zależności od podmiotów znajdujących się w innych państwach członkowskich i państwach trzecich, oraz wpływ, jaki znaczące zakłócenie w jednym sektorze może mieć na inne sektory, w tym wszelkie istotne czynniki ryzyka dla obywateli i rynku wewnętrznego; |
| --- | --- |

c)

istotne ryzyka wynikające ze stopnia wzajemnej zależności między sektorami określonymi w załączniku, w tym od stopnia ich zależności od podmiotów znajdujących się w innych państwach członkowskich i państwach trzecich, oraz wpływ, jaki znaczące zakłócenie w jednym sektorze może mieć na inne sektory, w tym wszelkie istotne czynniki ryzyka dla obywateli i rynku wewnętrznego;

| d) | wszelkie informacje na temat incydentów zgłoszonych zgodnie z art. 15. |
| --- | --- |

d)

wszelkie informacje na temat incydentów zgłoszonych zgodnie z art. 15.

Do celów akapitu pierwszego lit. c) państwa członkowskie współpracują w stosownych przypadkach z właściwymi organami innych państw członkowskich i właściwymi organami państw trzecich.

3.   Państwa członkowskie udostępniają, w stosownych przypadkach za pośrednictwem swoich pojedynczych punktów kontaktowych, odpowiednie elementy ocen ryzyka państw członkowskich podmiotom krytycznym, które zostały przez nie zidentyfikowane zgodnie z art. 6. Państwa członkowskie zapewniają, aby informacje przekazane podmiotom krytycznym pomagały im w przeprowadzaniu ich własnych ocen ryzyka, zgodnie z art. 12, oraz we wprowadzaniu środków służących zapewnieniu ich odporności, zgodnie z art. 13.

4.   W terminie trzech miesięcy od przeprowadzenia oceny ryzyka państwa członkowskiego dane państwo członkowskie przekazuje Komisji odpowiednie informacje dotyczące rodzajów ryzyka stwierdzonych na podstawie oceny ryzyka państwa członkowskiego oraz wyników tej oceny w odniesieniu do poszczególnych sektorów i podsektorów określonych w załączniku.

5.   Komisja – we współpracy z państwami członkowskimi – opracowuje dobrowolny wspólny formularz sprawozdawczy do celów wykonania ust. 4.

Artykuł 6

Identyfikowanie podmiotów krytycznych

1.   Do dnia 17 lipca 2026 r. każde państwo członkowskie identyfikuje podmioty krytyczne dla sektorów i podsektorów określonych w załączniku.

2.   Identyfikując podmioty krytyczne zgodnie z ust. 1, państwo członkowskie bierze pod uwagę wyniki swojej oceny ryzyka państwa członkowskiego i strategię oraz stosuje wszystkie następujące kryteria:

| a) | podmiot świadczy co najmniej jedną usługę kluczową; |
| --- | --- |

a)

podmiot świadczy co najmniej jedną usługę kluczową;

| b) | podmiot prowadzi działalność na terytorium tego państwa członkowskiego i jego infrastruktura krytyczna znajduje się na terytorium tego państwa członkowskiego; oraz |
| --- | --- |

b)

podmiot prowadzi działalność na terytorium tego państwa członkowskiego i jego infrastruktura krytyczna znajduje się na terytorium tego państwa członkowskiego; oraz

| c) | ustalono, zgodnie z art. 7 ust. 1, że incydent miałby istotne skutki zakłócające dla świadczenia przez podmiot co najmniej jednej usługi kluczowej lub dla świadczenia innych usług kluczowych w sektorach określonych w załączniku, które zależą od tej usługi kluczowej lub tych usług kluczowych. |
| --- | --- |

c)

ustalono, zgodnie z art. 7 ust. 1, że incydent miałby istotne skutki zakłócające dla świadczenia przez podmiot co najmniej jednej usługi kluczowej lub dla świadczenia innych usług kluczowych w sektorach określonych w załączniku, które zależą od tej usługi kluczowej lub tych usług kluczowych.

3.   Każde państwo członkowskie sporządza wykaz zidentyfikowanych podmiotów krytycznych zgodnie z ust. 2 i zapewnia, aby te podmioty krytyczne były powiadamiane o tym zidentyfikowaniu w terminie jednego miesiąca od jego dokonania. Państwa członkowskie informują te podmioty krytyczne o ich obowiązkach przewidzianych w rozdziałach III i IV oraz o dacie, począwszy od której obowiązki te mają do nich zastosowanie, bez uszczerbku dla art. 8. Państwa członkowskie informują podmioty krytyczne w sektorach określonych w pkt 3, 4 i 8 tabeli w załączniku, że nie spoczywają na nich obowiązki przewidziane w rozdziałach III i IV, chyba że środki krajowe stanowią inaczej.

W przypadku odnośnych podmiotów krytycznych rozdział III stosuje się po 10 miesiącach od daty powiadomienia, o którym mowa w akapicie pierwszym niniejszego ustępu.

4.   Państwa członkowskie zapewniają, aby ich właściwe organy na podstawie niniejszej dyrektywy przekazywały właściwym organom na podstawie dyrektywy (UE) 2022/2555 dane identyfikacyjne podmiotów krytycznych, które państwa te zidentyfikowały na podstawie niniejszego artykułu, w terminie jednego miesiąca od takiego zidentyfikowania. W stosownych przypadkach powiadomienie to zawiera informację, że odnośne podmioty krytyczne to podmioty z sektorów określonych w pkt 3, 4 i 8 tabeli w załączniku do niniejszej dyrektywy i że nie spoczywają na nich obowiązki przewidziane w rozdziałach III i IV niniejszej dyrektywy.

5.   W razie potrzeby, a w każdym przypadku co najmniej co cztery lata państwa członkowskie dokonują przeglądu wykazu zidentyfikowanych podmiotów krytycznych, o którym mowa w ust. 3, oraz, w stosownych przypadkach, aktualizują go. Jeżeli takie aktualizacje prowadzą do zidentyfikowania dodatkowych podmiotów krytycznych, w odniesieniu do tych dodatkowych podmiotów krytycznych stosuje się ust. 3 i 4. Ponadto państwa członkowskie zapewniają, aby podmioty, które wskutek takiej aktualizacji nie są już zidentyfikowane jako podmioty krytyczne, zostały w odpowiednim terminie powiadomione o tym fakcie oraz o facie, że od dnia otrzymania takiego powiadomienia nie podlegają już obowiązkom określonym w rozdziale III.

6.   Komisja we współpracy z państwami członkowskimi opracowuje zalecenia i niewiążące wytyczne, aby wesprzeć państwa członkowskie w identyfikowaniu podmiotów krytycznych.

Artykuł 7

Istotny skutek zakłócający

1.   Przy określaniu istotności skutku zakłócającego, o którym mowa w art. 6 ust. 2 lit. c), państwa członkowskie uwzględniają następujące kryteria:

| a) | liczbę użytkowników zależnych od usługi kluczowej świadczonej przez odnośny podmiot; |
| --- | --- |

a)

liczbę użytkowników zależnych od usługi kluczowej świadczonej przez odnośny podmiot;

| b) | stopień, w jakim inne sektory i podsektory określone w załączniku zależą od danej usługi kluczowej; |
| --- | --- |

b)

stopień, w jakim inne sektory i podsektory określone w załączniku zależą od danej usługi kluczowej;

| c) | wpływ, jaki incydenty – jeżeli chodzi o ich skalę i czas trwania – mogłyby mieć na działalność gospodarczą i społeczną, środowisko, bezpieczeństwo publiczne lub na zdrowie ludności; |
| --- | --- |

c)

wpływ, jaki incydenty – jeżeli chodzi o ich skalę i czas trwania – mogłyby mieć na działalność gospodarczą i społeczną, środowisko, bezpieczeństwo publiczne lub na zdrowie ludności;

| d) | udział podmiotu w rynku odnośnej usługi kluczowej lub odnośnych usług kluczowych; |
| --- | --- |

d)

udział podmiotu w rynku odnośnej usługi kluczowej lub odnośnych usług kluczowych;

| e) | obszar geograficzny, którego mógłby dotyczyć incydent, z uwzględnieniem wszelkiego wpływu transgranicznego, przy uwzględnieniu podatności na zagrożenia związanej ze stopniem odizolowania niektórych rodzajów obszarów geograficznych, takich jak regiony wyspiarskie, regiony oddalone lub obszary górskie; |
| --- | --- |

e)

obszar geograficzny, którego mógłby dotyczyć incydent, z uwzględnieniem wszelkiego wpływu transgranicznego, przy uwzględnieniu podatności na zagrożenia związanej ze stopniem odizolowania niektórych rodzajów obszarów geograficznych, takich jak regiony wyspiarskie, regiony oddalone lub obszary górskie;

| f) | znaczenie podmiotu w utrzymywaniu wystarczającego poziomu usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów świadczenia tej usługi kluczowej. |
| --- | --- |

f)

znaczenie podmiotu w utrzymywaniu wystarczającego poziomu usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów świadczenia tej usługi kluczowej.

2.   Po zidentyfikowaniu podmiotów krytycznych na podstawie art. 6 ust. 1, każde państwo członkowskie bez zbędnej zwłoki przekazuje Komisji następujące informacje:

| a) | wykaz usług kluczowych w danym państwie członkowskim, jeżeli istnieją dodatkowe usługi kluczowe w porównaniu do wykazu usług kluczowych, o którym mowa w art. 5 ust. 1; |
| --- | --- |

a)

wykaz usług kluczowych w danym państwie członkowskim, jeżeli istnieją dodatkowe usługi kluczowe w porównaniu do wykazu usług kluczowych, o którym mowa w art. 5 ust. 1;

| b) | liczbę podmiotów krytycznych zidentyfikowanych w każdym sektorze i podsektorze, określonych w załączniku, oraz zidentyfikowanych w odniesieniu do każdej z usług kluczowych; |
| --- | --- |

b)

liczbę podmiotów krytycznych zidentyfikowanych w każdym sektorze i podsektorze, określonych w załączniku, oraz zidentyfikowanych w odniesieniu do każdej z usług kluczowych;

| c) | wszelkie progi zastosowane w celu określenia co najmniej jednego spośród kryteriów określonych w ust. 1. |
| --- | --- |

c)

wszelkie progi zastosowane w celu określenia co najmniej jednego spośród kryteriów określonych w ust. 1.

Progi, o których mowa w akapicie pierwszym lit. c), można przedstawić wprost lub w formie zagregowanej.

Następnie państwa członkowskie przekazują informacje, o których mowa w akapicie pierwszym, w razie potrzeby i co najmniej raz na cztery lata.

3.   Komisja – po skonsultowaniu się z Grupą ds. Odporności Podmiotów Krytycznych, o której mowa w art. 19 – przyjmuje niewiążące wytyczne mające na celu ułatwienie stosowania kryteriów, o których mowa w ust. 1 niniejszego artykułu, biorąc pod uwagę informacje, o których mowa w ust. 2 niniejszego artykułu.

Artykuł 8

Podmioty krytyczne w sektorze bankowym, sektorze infrastruktury rynku finansowego oraz sektorze infrastruktury cyfrowej

Państwa członkowskie zapewniają, aby art. 11 i rozdziały III, IV i VI nie miały zastosowania w odniesieniu do podmiotów krytycznych, które zostały przez nie zidentyfikowane w sektorach określonych w pkt 3, 4 i 8 tabeli w załączniku. Państwa członkowskie mogą przyjąć lub utrzymać przepisy prawa krajowego w celu osiągnięcia wyższego poziomu odporności tych podmiotów krytycznych, pod warunkiem że przepisy te są zgodne z mającym zastosowanie prawem Unii.

Artykuł 9

Właściwe organy i pojedynczy punkt kontaktowy

1.   Każde państwo członkowskie wyznacza lub ustanawia co najmniej jeden właściwy organ odpowiedzialny za prawidłowe stosowanie i – w stosownych przypadkach – egzekwowanie przepisów określonych w niniejszej dyrektywie na poziomie krajowym.

W odniesieniu do podmiotów krytycznych w sektorach określonych w pkt 3 i 4 tabeli w załączniku do niniejszej dyrektywy, właściwymi organami są co do zasady właściwe organy, o których mowa w art. 46 rozporządzenia (UE) 2022/2554 W odniesieniu do podmiotów krytycznych w sektorze określonym w pkt 8 tabeli w załączniku do niniejszej dyrektywy, właściwymi organami są co do zasady właściwe organy na podstawie dyrektywy (UE) 2022/2555. Państwa członkowskie mogą wyznaczyć inny właściwy organ dla sektorów określonych w pkt 3, 4 i 8 tabeli w załączniku do niniejszej dyrektywy zgodnie z istniejącymi ramami krajowymi.

Jeżeli państwa członkowskie wyznaczą lub ustanowią więcej niż jeden właściwy organ, wyraźnie określają odpowiednie zadania każdego z przedmiotowych organów oraz zapewniają ich skuteczną współpracę w wypełnianiu ich zadań na mocy niniejszej dyrektywy, w tym w odniesieniu do wyznaczenia i działań pojedynczego punktu kontaktowego, o którym mowa w ust. 2.

2.   Każde państwo członkowskie wyznacza lub ustanawia jeden pojedynczy punkt kontaktowy, który wykonuje funkcję łącznikową w celu zapewnienia współpracy transgranicznej z pojedynczymi punktami kontaktowymi innych państw członkowskich i z Grupą ds. Odporności Podmiotów Krytycznych, o której mowa w art. 19 (zwany dalej „pojedynczym punktem kontaktowym”). W stosownych przypadkach państwo członkowskie wyznacza swój pojedynczy punkt kontaktowy w ramach właściwego organu. W stosownych przypadkach państwo członkowskie może postanowić, że jego pojedynczy punkt kontaktowy będzie wykonywał również funkcję łącznikową z Komisją i zapewniał współpracę z państwami trzecimi.

3.   W terminie do dnia 17 lipca 2028 r., a następnie co dwa lata, pojedyncze punkty kontaktowe przekazują Komisji oraz Grupie ds. Odporności Podmiotów Krytycznych, o której mowa w art. 19, sprawozdanie podsumowujące na temat otrzymanych zgłoszeń, w tym liczby zgłoszeń, charakteru zgłoszonych incydentów oraz działań podjętych zgodnie z art. 15 ust. 3.

Komisja, we współpracy z Grupą ds. Odporności Podmiotów Krytycznych, opracowuje wspólny formularz sprawozdawczy. Właściwe organy mogą dobrowolnie korzystać z tego wspólnego formularza sprawozdawczego do celów przedkładania sprawozdań podsumowujących, o których mowa w akapicie pierwszym.

4.   Każde państwo członkowskie zapewnia, aby jego właściwy organ i pojedynczy punkt kontaktowy posiadały uprawnienia oraz odpowiednie zasoby finansowe, ludzkie i techniczne, by w sposób skuteczny i wydajny wykonywać przydzielone im zadania.

5.   Każde państwo członkowskie zapewnia, aby jego właściwy organ – w stosownych przypadkach oraz zgodnie z prawem Unii i prawem krajowym – konsultował się oraz współpracował z innymi odpowiednimi organami krajowymi, w tym z organami, które zajmują się ochroną ludności, egzekwowaniem prawa i ochroną danych osobowych, oraz z podmiotami krytycznymi i odpowiednimi zainteresowanymi stronami.

6.   Każde państwo członkowskie zapewnia, aby jego właściwy organ na podstawie niniejszej dyrektywy współpracował i wymieniał się informacjami z właściwymi organami na podstawie dyrektywy (UE) 2022/2555 w zakresie ryzyk w cyberprzestrzeni, cyberzagrożeń i cyberincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią wpływających na podmioty krytyczne, w tym w odniesieniu do odpowiednich środków podjętych przez jego właściwy organ i właściwe organy na podstawie dyrektywy (UE) 2022/2555.

7.   W terminie trzech miesięcy od wyznaczenia lub ustanowienia właściwego organu i pojedynczego punktu kontaktowego każde państwo członkowskie powiadamia Komisję o ich danych identyfikacyjnych i o ich zadaniach i obowiązkach wynikających z niniejszej dyrektywy, o ich danych kontaktowych oraz o wszelkich późniejszych zmianach w tym zakresie. Państwa członkowskie informują Komisję, w przypadku gdy postanowiły wyznaczyć organ inny niż organy właściwe, o których mowa w ust. 1 akapit drugi, jako właściwe organy w odniesieniu do podmiotów krytycznych w sektorach określonych w pkt 3, 4 i 8 tabeli w załączniku. Każde państwo członkowskie podaje do publicznej wiadomości informację o danych identyfikacyjnych właściwego organu i pojedynczego punktu kontaktowego.

8.   Komisja podaje do wiadomości publicznej wykaz pojedynczych punktów kontaktowych.

Artykuł 10

Wsparcie państw członkowskich na rzecz podmiotów krytycznych

1.   Państwa członkowskie wspierają podmioty krytyczne w zwiększaniu ich odporności. Wsparcie to może obejmować opracowywanie materiałów zawierających wytyczne oraz metodyk, pomoc w organizacji ćwiczeń mających na celu sprawdzenie odporności tych podmiotów oraz zapewnianie doradztwa i szkoleń dla personelu podmiotów krytycznych. Bez uszczerbku dla mających zastosowanie przepisów dotyczących pomocy państwa, jeżeli jest to konieczne i uzasadnione celami interesu publicznego, państwa członkowskie mogą przekazywać zasoby finansowe podmiotom krytycznym.

2.   Każde państwo członkowskie zapewnia, aby jego właściwy organ współpracował z podmiotami krytycznymi z sektorów określonych w załączniku oraz aby prowadził z nimi wymianę informacji i dobrych praktyk.

3.   Państwa członkowskie ułatwiają dobrowolną wymianę informacji między podmiotami krytycznymi w odniesieniu do kwestii objętych niniejszą dyrektywą zgodnie z prawem Unii i prawem krajowym, w szczególności z przepisami dotyczącymi informacji niejawnych i szczególnie chronionych, konkurencji i ochrony danych osobowych.

Artykuł 11

Współpraca między państwami członkowskimi

1.   W stosownych przypadkach państwa członkowskie prowadzą wzajemne konsultacje dotyczące podmiotów krytycznych w celu zapewnienia spójnego stosowania niniejszej dyrektywy. Konsultacje takie odbywają się w szczególności w odniesieniu do podmiotów krytycznych, które:

| a) | korzystają z infrastruktury krytycznej, która jest fizycznie połączona na terytorium co najmniej dwóch państw członkowskich; |
| --- | --- |

a)

korzystają z infrastruktury krytycznej, która jest fizycznie połączona na terytorium co najmniej dwóch państw członkowskich;

| b) | są częścią struktur przedsiębiorstw połączonych lub powiązanych z podmiotami krytycznymi w innych państwach członkowskich; |
| --- | --- |

b)

są częścią struktur przedsiębiorstw połączonych lub powiązanych z podmiotami krytycznymi w innych państwach członkowskich;

| c) | zostały zidentyfikowane jako podmioty krytyczne w jednym państwie członkowskim i świadczą usługi kluczowe na rzecz innych państw członkowskich lub w innych państwach członkowskich. |
| --- | --- |

c)

zostały zidentyfikowane jako podmioty krytyczne w jednym państwie członkowskim i świadczą usługi kluczowe na rzecz innych państw członkowskich lub w innych państwach członkowskich.

2.   Konsultacje, o których mowa w ust. 1, mają na celu zwiększenie odporności podmiotów krytycznych oraz, w miarę możliwości, zmniejszenie ich obciążenia administracyjnego.

ROZDZIAŁ III

ODPORNOŚĆ PODMIOTÓW KRYTYCZNYCH

Artykuł 12

Ocena ryzyka przeprowadzana przez podmioty krytyczne

1.   Niezależnie od terminu określonego w art. 6 ust. 3 akapit drugi państwa członkowskie zapewniają przeprowadzenie oceny ryzyka przez podmioty krytyczne w terminie dziewięciu miesięcy po otrzymaniu powiadomienia, o którym mowa w art. 6 ust. 3, a następnie w razie potrzeby, co najmniej co cztery lata, na podstawie ocen ryzyka państw członkowskich i innych istotnych źródeł informacji, aby ocenić wszystkie istotne czynniki ryzyka, które mogłyby zakłócać świadczenie ich usług kluczowych (zwanej dalej „oceną ryzyka podmiotu krytycznego”).

2.   Oceny ryzyka podmiotów krytycznych obejmują wszystkie istotne naturalne i spowodowane przez człowieka czynniki ryzyka mogące prowadzić do incydentu, w tym czynniki ryzyka o charakterze międzysektorowym lub transgranicznym, wypadki, klęski żywiołowe, stany zagrożenia zdrowia publicznego i zagrożenia hybrydowe oraz inne zagrożenia związane z konfliktem, w tym przestępstwa terrorystyczne przewidziane w dyrektywie (UE) 2017/541. Ocena ryzyka podmiotu krytycznego musi uwzględniać stopień zależności innych sektorów określonych w załączniku od usługi kluczowej świadczonej przez podmiot krytyczny oraz stopień zależności tego podmiotu krytycznego od usług kluczowych świadczonych przez inne podmioty w takich innych sektorach, w tym w stosownych przypadkach w sąsiadujących państwach członkowskich i w państwach trzecich.

W przypadku gdy podmiot krytyczny przeprowadził inne oceny ryzyka lub sporządził dokumenty zgodnie z obowiązkami określonymi w innych aktach prawnych, które to oceny ryzyka lub dokumenty są istotne dla jego oceny ryzyka podmiotu krytycznego, podmiot ten może wykorzystać te oceny i dokumenty do spełnienia wymogów określonych w niniejszym artykule. Wykonując swoje funkcje nadzorcze, właściwy organ może uznać istniejącą ocenę ryzyka przeprowadzoną przez podmiot krytyczny, która odnosi się do czynników ryzyka i stopnia zależności, o których mowa w akapicie pierwszym niniejszego ustępu, za spełniającą –w całości lub w części – wymogi niniejszego artykułu.

Artykuł 13

Środki w zakresie odporności wprowadzane przez podmioty krytyczne

1.   Państwa członkowskie zapewniają, aby podmioty krytyczne wprowadzały odpowiednie i proporcjonalne środki techniczne, środki bezpieczeństwa i środki organizacyjne służące zapewnieniu ich odporności, w oparciu o odpowiednie informacje dostarczone przez państwa członkowskie dotyczące oceny ryzyka państwa członkowskiego oraz wyników oceny ryzyka podmiotu krytycznego, w tym środki niezbędne w celu:

| a) | zapobiegania incydentom, z należytym uwzględnieniem środków zmniejszania ryzyka związanego z katastrofami i przystosowania się do zmiany klimatu; |
| --- | --- |

a)

zapobiegania incydentom, z należytym uwzględnieniem środków zmniejszania ryzyka związanego z katastrofami i przystosowania się do zmiany klimatu;

| b) | zapewnienia odpowiedniej fizycznej ochrony ich budynków i terenów oraz infrastruktury krytycznej, z należytym uwzględnieniem na przykład zainstalowania ogrodzeń, budowy barier, narzędzi i procedur monitorowania terenu podlegającego ochronie, sprzętu do wykrywania i kontroli dostępu; |
| --- | --- |

b)

zapewnienia odpowiedniej fizycznej ochrony ich budynków i terenów oraz infrastruktury krytycznej, z należytym uwzględnieniem na przykład zainstalowania ogrodzeń, budowy barier, narzędzi i procedur monitorowania terenu podlegającego ochronie, sprzętu do wykrywania i kontroli dostępu;

| c) | odpowiedzi na incydenty, stawiania im oporu i łagodzenia ich skutków, z należytym uwzględnieniem wdrażania procedur i protokołów zarządzania ryzykiem i zarządzania kryzysowego, a także procedur ostrzegawczych; |
| --- | --- |

c)

odpowiedzi na incydenty, stawiania im oporu i łagodzenia ich skutków, z należytym uwzględnieniem wdrażania procedur i protokołów zarządzania ryzykiem i zarządzania kryzysowego, a także procedur ostrzegawczych;

| d) | odtworzenia po incydentach, z należytym uwzględnieniem środków na rzecz ciągłości działania oraz identyfikacji alternatywnych łańcuchów dostaw w celu przywrócenia świadczenia usługi kluczowej; |
| --- | --- |

d)

odtworzenia po incydentach, z należytym uwzględnieniem środków na rzecz ciągłości działania oraz identyfikacji alternatywnych łańcuchów dostaw w celu przywrócenia świadczenia usługi kluczowej;

| e) | zapewnienia odpowiedniego zarządzania bezpieczeństwem pracowników, z należytym uwzględnieniem środków takich jak ustanowienie kategorii personelu wykonującego funkcje krytyczne, ustanowienie praw dostępu do budynków i terenów, infrastruktury krytycznej i informacji szczególnie chronionych, ustanowienie procedur sprawdzenia przeszłości zgodnie z art. 14, wyznaczenie kategorii osób podlegających takim procedurom sprawdzenia przeszłości oraz określenie odpowiednich wymogów szkoleniowych i kwalifikacji; |
| --- | --- |

e)

zapewnienia odpowiedniego zarządzania bezpieczeństwem pracowników, z należytym uwzględnieniem środków takich jak ustanowienie kategorii personelu wykonującego funkcje krytyczne, ustanowienie praw dostępu do budynków i terenów, infrastruktury krytycznej i informacji szczególnie chronionych, ustanowienie procedur sprawdzenia przeszłości zgodnie z art. 14, wyznaczenie kategorii osób podlegających takim procedurom sprawdzenia przeszłości oraz określenie odpowiednich wymogów szkoleniowych i kwalifikacji;

| f) | zwiększania świadomości odpowiedniego personelu na temat środków, o których mowa w lit. a)–e), z należytym uwzględnieniem szkoleń, materiałów informacyjnych i ćwiczeń. |
| --- | --- |

f)

zwiększania świadomości odpowiedniego personelu na temat środków, o których mowa w lit. a)–e), z należytym uwzględnieniem szkoleń, materiałów informacyjnych i ćwiczeń.

Do celów akapitu pierwszego lit. e) państwa członkowskie zapewniają, aby podmioty krytyczne uwzględniały personel zewnętrznych dostawców usług przy określaniu kategorii personelu, który wykonuje funkcje krytyczne.

2.   Państwa członkowskie zapewniają, aby podmioty krytyczne posiadały i stosowały plan zwiększania odporności lub równoważny dokument lub równoważne dokumenty opisujące środki zastosowane na podstawie ust. 1. W przypadku gdy podmioty krytyczne sporządziły dokumenty lub zastosowały środki zgodnie z ustanowionymi w innych aktach prawnych obowiązkami, które są istotne dla środków określonych w ust. 1, podmioty te mogą skorzystać z tych dokumentów i środków do spełnienia wymogów określonych w niniejszym artykule. Wykonując swoje funkcje nadzorcze, właściwy organ może uznać istniejące środki w zakresie zwiększania odporności zastosowane przez podmiot krytyczny, które w odpowiedni i proporcjonalny sposób obejmują środki techniczne, środki bezpieczeństwa i środki organizacyjne, o których mowa w ust. 1, za spełniające – w całości lub w części – obowiązki wynikające z niniejszego artykułu.

3.   Państwa członkowskie zapewniają, aby każdy podmiot krytyczny wyznaczył urzędnika łącznikowego lub jego odpowiednika jako punkt kontaktowy z właściwymi organami.

4.   Na wniosek państwa członkowskiego, które zidentyfikowało podmiot krytyczny, oraz za zgodą zainteresowanego podmiotu krytycznego Komisja organizuje misje doradcze – zgodnie z ustaleniami określonymi w art. 18 ust. 6, 8 i 9 – w celu zapewnienia zainteresowanemu podmiotowi krytycznemu doradztwa w zakresie wypełniania przez niego obowiązków na podstawie rozdziału III. Misja doradcza zgłasza swoje ustalenia Komisji, danemu państwu członkowskiemu oraz zainteresowanemu podmiotowi krytycznemu.

5.   Po konsultacji z Grupą ds. Odporności Podmiotów Krytycznych, o której mowa w art. 19,Komisja przyjmuje niewiążące wytyczne w celu doprecyzowania środków technicznych, środków bezpieczeństwa i środków organizacyjnych, które można wprowadzić na podstawie ust. 1 niniejszego artykułu.

6.   Komisja przyjmuje akty wykonawcze w celu określenia niezbędnych specyfikacji technicznych i metodycznych związanych ze stosowaniem środków, o których mowa w ust. 1 niniejszego artykułu. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 24 ust. 2.

Artykuł 14

Sprawdzenie przeszłości

1.   Państwa członkowskie określają warunki, na podstawie których podmiot krytyczny może – w należycie uzasadnionych przypadkach i z uwzględnieniem oceny ryzyka państwa członkowskiego – składać wnioski o sprawdzenie przeszłości osób, które:

| a) | pełnią newralgiczne role w podmiocie krytycznym lub na jego rzecz, w szczególności w odniesieniu do odporności podmiotu krytycznego; |
| --- | --- |

a)

pełnią newralgiczne role w podmiocie krytycznym lub na jego rzecz, w szczególności w odniesieniu do odporności podmiotu krytycznego;

| b) | są upoważnione do posiadania bezpośredniego lub zdalnego dostępu do budynków i terenów podmiotu krytycznego, jego informacji lub systemów kontroli, w tym w związku z bezpieczeństwem podmiotu krytycznego; |
| --- | --- |

b)

są upoważnione do posiadania bezpośredniego lub zdalnego dostępu do budynków i terenów podmiotu krytycznego, jego informacji lub systemów kontroli, w tym w związku z bezpieczeństwem podmiotu krytycznego;

| c) | są brane pod uwagę przy rekrutacji na stanowiska objęte kryteriami, określonymi w lit. a) lub b). |
| --- | --- |

c)

są brane pod uwagę przy rekrutacji na stanowiska objęte kryteriami, określonymi w lit. a) lub b).

2.   Wnioski, o których mowa w ust. 1 niniejszego artykułu, są rozpatrywane w rozsądnym terminie i przetwarzane zgodnie z krajowymi przepisami i procedurami oraz z odpowiednim i mającym zastosowanie prawem Unii, w tym z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 i dyrektywą Parlamentu Europejskiego i Rady (UE) 2016/680 (37). Sprawdzanie przeszłości musi być proporcjonalne i ściśle ograniczone do tego, co jest konieczne. Przeprowadza się je wyłącznie w celu oceny potencjalnego ryzyka dla bezpieczeństwa odnośnego podmiotu krytycznego.

3.   W ramach sprawdzenia przeszłości, o którym mowa w ust. 1, dokonuje się co najmniej:

| a) | potwierdzenia tożsamość osoby, która podlega sprawdzeniu przeszłości; |
| --- | --- |

a)

potwierdzenia tożsamość osoby, która podlega sprawdzeniu przeszłości;

| b) | sprawdzenia rejestrów karnych tej osoby pod kątem przestępstw, które miałyby znaczenie dla danego stanowiska; |
| --- | --- |

b)

sprawdzenia rejestrów karnych tej osoby pod kątem przestępstw, które miałyby znaczenie dla danego stanowiska;

Podczas przeprowadzania sprawdzenia przeszłości państwa członkowskie wykorzystują europejski system przekazywania informacji z rejestrów karnych zgodnie z procedurami określonymi w decyzji ramowej 2009/315/WSiSW oraz, w razie potrzeby i w stosownych przypadkach, w rozporządzeniu (UE) 2019/816 w celu uzyskania informacji z rejestrów karnych prowadzonych przez inne państwa członkowskie. Organy centralne, o których mowa w art. 3 ust. 1 decyzji ramowej 2009/315/WSiSW oraz w art. 3 pkt 5 rozporządzenia (UE) 2019/816, udzielają odpowiedzi na wnioski o przekazanie takich informacji w terminie 10 dni roboczych od dnia otrzymania wniosku zgodnie z art. 8 ust. 1 decyzji ramowej 2009/315/WSiSW.

Artykuł 15

Zgłaszanie incydentów

1.   Państwa członkowskie zapewniają, aby podmioty krytyczne bez zbędnej zwłoki zgłaszały właściwemu organowi incydenty, które istotnie zakłócają lub mogą istotnie zakłócać świadczenie usług kluczowych. Państwa członkowskie zapewniają, aby podmioty krytyczne dokonały, chyba że jest to niemożliwe z operacyjnego punktu widzenia, zgłoszenia wstępnego –nie później niż 24 godziny od chwili uzyskania wiedzy o zaistnieniu incydentu, a następnie, w stosownych przypadkach, przedłożyły szczegółowe sprawozdanie w terminie nie dłuższym niż jeden miesiąc od zaistnienia incydentu. W celu określenia wagi zakłócenia uwzględnia się w szczególności następujące parametry:

| a) | liczba i odsetek użytkowników dotkniętych zakłóceniem; |
| --- | --- |

a)

liczba i odsetek użytkowników dotkniętych zakłóceniem;

| b) | czas trwania zakłócenia; |
| --- | --- |

b)

czas trwania zakłócenia;

| c) | obszar geograficzny, którego dotyczy zakłócenie, z uwzględnieniem tego, czy obszar jest geograficznie odizolowany. |
| --- | --- |

c)

obszar geograficzny, którego dotyczy zakłócenie, z uwzględnieniem tego, czy obszar jest geograficznie odizolowany.

W przypadku gdy incydent ma lub może mieć znaczący wpływ na ciągłość świadczenia usług kluczowych na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach członkowskich, właściwe organy państw członkowskich, których incydent ten dotyczy, powiadamiają o tym incydencie Komisję.

2.   Zgłoszenia, o których mowa w ust. 1 akapit pierwszy, muszą zawierać wszelkie dostępne informacje, których właściwy organ potrzebuje, aby zrozumieć charakter, przyczynę i ewentualne konsekwencje incydentu, w tym wszelkie dostępne informacje niezbędne do ustalenia, czy dany incydent ma wpływ transgraniczny. Zgłoszenia takie nie mogą narażać podmiotów krytycznych na zwiększoną odpowiedzialność.

3.   Na podstawie informacji przekazanych przez podmiot krytyczny w zgłoszeniu, o którym mowa w ust. 1, odpowiedni właściwy organ – za pośrednictwem pojedynczego punktu kontaktowego – informuje o tym incydencie pojedynczy punkt kontaktowy innego państwa członkowskiego, którego dotyczy incydent, jeżeli incydent ma lub może mieć istotny wpływ na podmioty krytyczne oraz na ciągłość świadczenia usług kluczowych na rzecz co najmniej jednego innego państwa członkowskiego lub w co najmniej jednym innym państwie członkowskim.

Pojedyncze punkty kontaktowe wysyłając i otrzymując informacje zgodnie z akapitem pierwszym traktują te informacje w sposób zapewniający zachowanie ich poufności zgodnie z prawem Unii lub prawem krajowym, chroniąc tym samym bezpieczeństwo i interesy handlowe danego podmiotu krytycznego.

4.   Jak najszybciej po otrzymaniu zgłoszenia, o którym mowa w ust. 1, zainteresowany właściwy organ przekazuje zainteresowanemu podmiotowi krytycznemu odpowiednie informacje zwrotne, w tym informacje, które mogą pomóc podmiotowi krytycznemu w skutecznej odpowiedzi na dany incydent. Państwa członkowskie informują opinię publiczną, jeżeli stwierdzą, że leży to w interesie publicznym.

Artykuł 16

Normy

Aby wspierać spójne wdrażanie niniejszej dyrektywy, państwa członkowskie zachęcają, w przypadkach gdy może to być przydatne i nie narzucając ani nie faworyzując stosowania określonego rodzaju technologii, do stosowania europejskich i międzynarodowych norm i specyfikacji technicznych istotnych dla środków w zakresie bezpieczeństwa i w zakresie odporności mających zastosowanie do podmiotów krytycznych.

ROZDZIAŁ IV

PODMIOTY KRYTYCZNE O SZCZEGÓLNYM ZNACZENIU EUROPEJSKIM

Artykuł 17

Identyfikowanie podmiotów krytycznych o szczególnym znaczeniu europejskim

1.   Podmiot uznaje się za podmiot krytyczny o szczególnym znaczeniu europejskim, w przypadku gdy:

| a) | zidentyfikowano go jako podmiot krytyczny na podstawie art. 6 ust. 1; |
| --- | --- |

a)

zidentyfikowano go jako podmiot krytyczny na podstawie art. 6 ust. 1;

| b) | świadczy on te same lub podobne usługi kluczowe na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach członkowskich; oraz |
| --- | --- |

b)

świadczy on te same lub podobne usługi kluczowe na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach członkowskich; oraz

| c) | powiadomiono go o tym fakcie na podstawie ust. 3 niniejszego artykułu. |
| --- | --- |

c)

powiadomiono go o tym fakcie na podstawie ust. 3 niniejszego artykułu.

2.   Państwa członkowskie zapewniają, aby po powiadomieniu, o którym mowa w art. 6 ust. 3, podmiot krytyczny poinformował swój właściwy organ o tym, czy świadczy usługi kluczowe na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach członkowskich. W takim przypadku państwa członkowskie zapewniają, aby podmiot krytyczny informował swój właściwy organ o usługach kluczowych, które świadczy na rzecz tych państw członkowskich lub w tych państwach członkowskich, a także o państwach członkowskich, na rzecz których lub w których świadczy takie usługi kluczowe. Państwa członkowskie bez zbędnej zwłoki przekazują Komisji dane identyfikacyjne takich podmiotów krytycznych oraz informacje, które podmioty krytyczne przekazują na podstawie niniejszego ustępu.

Komisja prowadzi konsultacje z właściwym organem państwa członkowskiego, które zidentyfikowało podmiot krytyczny, o którym mowa w akapicie pierwszym, właściwym organem innych zainteresowanych państw członkowskich oraz z odnośnym podmiotem krytycznym. W trakcie tych konsultacji każde państwo członkowskie informuje Komisję o tym, czy uważa, że usługi świadczone na jego rzecz przez podmiot krytyczny stanowią usługi kluczowe.

3.   Jeżeli na podstawie konsultacji, o których mowa w ust. 2 niniejszego artykułu, Komisja stwierdzi, że zainteresowany podmiot krytyczny świadczy usługi kluczowe na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach członkowskich, Komisja powiadamia ten podmiot krytyczny za pośrednictwem jego właściwego organu, że uznaje się go za podmiot krytyczny o szczególnym znaczeniu europejskim i informuje ten podmiot krytyczny o obowiązkach spoczywających na nim na podstawie niniejszego rozdziału oraz o dniu, od którego obowiązki te mają wobec niego zastosowanie. Po tym jak Komisja poinformuje właściwy organ o swojej decyzji o uznaniu danego podmiotu krytycznego za podmiot krytyczny o szczególnym znaczeniu europejskim, właściwy organ bez zbędnej zwłoki powiadamia o tym fakcie ten podmiot krytyczny.

4.   Niniejszy rozdział stosuje się do odnośnego podmiotu krytycznego o szczególnym znaczeniu europejskim, począwszy od dnia otrzymania powiadomienia, o którym mowa w ust. 3 niniejszego artykułu.

Artykuł 18

Misje doradcze

1.   Na wniosek państwa członkowskiego, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny zgodnie z art. 6 ust. 1, Komisja organizuje misję doradczą w celu oceny środków wprowadzonych przez ten podmiot krytyczny z myślą o wypełnianiu obowiązków spoczywających na nim na podstawie rozdziału III.

2.   Z własnej inicjatywy lub na wniosek co najmniej jednego państwa członkowskiego, na rzecz którego lub w którym świadczona jest usługa kluczowa, Komisja organizuje misję doradczą, o której mowa w ust. 1 niniejszego artykułu, pod warunkiem że zgodzi się na to państwo członkowskie, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny zgodnie z art. 6 ust. 1.

3.   Na uzasadniony wniosek Komisji lub co najmniej jednego państwa członkowskiego, na rzecz którego lub w którym świadczona jest usługa kluczowa, państwo członkowskie, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny zgodnie z art. 6 ust. 1, dostarcza Komisji:

| a) | odpowiednie części oceny ryzyka podmiotu krytycznego; |
| --- | --- |

a)

odpowiednie części oceny ryzyka podmiotu krytycznego;

| b) | wykaz odnośnych środków wprowadzonych zgodnie z art. 13; |
| --- | --- |

b)

wykaz odnośnych środków wprowadzonych zgodnie z art. 13;

| c) | informacje o działaniach z zakresu nadzoru lub egzekwowania przepisów, które zgodnie z art. 21 i 22 podjął wobec tego podmiotu krytycznego jego właściwy organ, w tym na temat przeprowadzonych ocen zgodności lub wydanych nakazów. |
| --- | --- |

c)

informacje o działaniach z zakresu nadzoru lub egzekwowania przepisów, które zgodnie z art. 21 i 22 podjął wobec tego podmiotu krytycznego jego właściwy organ, w tym na temat przeprowadzonych ocen zgodności lub wydanych nakazów.

4.   Misja doradcza przedkłada sprawozdanie ze swoich ustaleń Komisji, państwu członkowskiemu, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny zgodnie z art. 6 ust. 1, państwom członkowskim, na rzecz których lub w których świadczona jest usługa kluczowa, oraz podmiotowi krytycznemu, którego dotyczy misja, w terminie trzech miesięcy od zakończenia misji doradczej.

Państwa członkowskie, na rzecz których lub w których świadczona jest usługa kluczowa, analizują sprawozdanie, o którym mowa w akapicie pierwszym, i w stosownych przypadkach doradzają Komisji w kwestii tego, czy dany podmiot krytyczny o szczególnym znaczeniu europejskim wywiązuje się z obowiązków spoczywających na nim na podstawie rozdziału III, oraz – w stosownych przypadkach – w kwestii tego, jakie środki można wprowadzić, aby zwiększyć odporność tego podmiotu krytycznego.

Na podstawie porad, o których mowa w akapicie drugim niniejszego ustępu, Komisja przekazuje państwu członkowskiemu, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny zgodnie z art. 6 ust. 1, państwom członkowskim, na rzecz których lub w których świadczona jest usługa kluczowa, oraz temu podmiotowi krytycznemu swoją opinię na temat tego, czy ten podmiot krytyczny wywiązuje się z obowiązków spoczywających na nim na podstawie rozdziału III, oraz – w stosownych przypadkach – jakie środki można wprowadzić, aby zwiększyć odporność tego podmiotu krytycznego.

Państwo członkowskie, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny zgodnie z art. 6 ust. 1, zapewnia, by jego właściwy organ i odnośny podmiot krytyczny uwzględniły opinię, o której mowa w akapicie trzecim niniejszego ustępu, i przekazuje Komisji oraz państwom członkowskim, na rzecz których lub w których świadczona jest usługa kluczowa, informacje na temat środków, jakie podjęło na podstawie tej opinii.

5.   Każda misja doradcza składa się z ekspertów z państwa członkowskiego, w którym znajduje się podmiot krytyczny o szczególnym znaczeniu europejskim, ekspertów z państw członkowskich, na rzecz których lub w których świadczona jest usługa kluczowa, oraz z przedstawicieli Komisji. Te państwa członkowskie mogą proponować kandydatów do uczestnictwa w misji doradczej. Komisja, po konsultacji z państwem członkowskim, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny zgodnie z art. 6 ust. 1, wybiera i powołuje członków każdej misji doradczej zgodnie z ich kwalifikacjami zawodowymi, zapewniając, w miarę możliwości, aby reprezentowali wszystkie te państwa członkowskie w sposób zrównoważony pod względem geograficznym. W razie potrzeby członkowie misji doradczej muszą posiadać ważne i odpowiednie poświadczenie bezpieczeństwa osobowego. Komisja ponosi koszty związane z uczestnictwem w misjach doradczych.

Komisja organizuje program każdej misji doradczej po konsultacji z członkami danej misji doradczej oraz w porozumieniu z państwem członkowskim, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny zgodnie z art. 6 ust. 1.

6.   Komisja przyjmuje akt wykonawczy, w którym ustanawia przepisy dotyczące rozwiązań proceduralnych w zakresie wniosków o organizację misji doradczych, rozpatrywania takich wniosków, prowadzenia misji doradczych i opracowywania sprawozdań z tych misji oraz postępowania w zakresie przekazywania opinii Komisji, o której to opinii mowa w ust. 4 akapit trzeci niniejszego artykułu, i informowania o podjętych środkach, z należytym uwzględnieniem poufności i ochrony tajemnicy handlowej w zakresie odnośnych informacji. Ten akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 24 ust. 2.

7.   Państwa członkowskie zapewniają, aby podmioty krytyczne o szczególnym znaczeniu europejskim zapewniały misjom doradczym dostęp do informacji, systemów i obiektów związanych ze świadczeniem ich usług kluczowych, które są niezbędne do prowadzenia danej misji doradczej.

8.   Misje doradcze realizowane są zgodnie z obowiązującym prawem krajowym państwa członkowskiego, na terytorium którego się odbywają, z poszanowaniem odpowiedzialności tego państwa członkowskiego za bezpieczeństwo narodowe i ochronę jego interesów w zakresie bezpieczeństwa.

9.   Organizując misje doradcze, Komisja bierze pod uwagę sprawozdania z inspekcji przeprowadzonych przez Komisję na podstawie rozporządzeń (WE) nr 725/2004 i (WE) nr 300/2008 oraz sprawozdania z monitorowania przeprowadzonego przez Komisję na podstawie dyrektywy 2005/65/WE w odniesieniu do odnośnego podmiotu krytycznego.

10.   Komisja informuje Grupę ds. Odporności Podmiotów Krytycznych, o której mowa w art. 19, o każdym przypadku zorganizowania misji doradczej. Państwo członkowskie, na terenie którego odbyła się misja doradcza, oraz Komisja informują również Grupę ds. Odporności Podmiotów Krytycznych o głównych wnioskach misji doradczej i zebranych doświadczeniach w celu promowania wzajemnego uczenia się.

ROZDZIAŁ V

WSPÓŁPRACA I SPRAWOZDAWCZOŚĆ

Artykuł 19

Grupa ds. Odporności Podmiotów Krytycznych

1.   Niniejszym ustanawia się Grupę ds. Odporności Podmiotów Krytycznych. Grupa ds. Odporności Podmiotów Krytycznych wspiera Komisję i ułatwia współpracę między państwami członkowskimi oraz wymianę informacji na temat kwestii związanych z niniejszą dyrektywą.

2.   Grupa ds. Odporności Podmiotów Krytycznych składa się z przedstawicieli państw członkowskich i Komisji posiadających, w stosownych przypadkach, poświadczenie bezpieczeństwa osobowego. Jeżeli jest to istotne dla wykonywania powierzonych jej zadań, Grupa ds. Odporności Podmiotów Krytycznych może zaprosić do udziału w swoich pracach odpowiednie zainteresowane strony. Na wniosek Parlamentu Europejskiego Komisja może zaprosić ekspertów z Parlamentu Europejskiego do udziału w posiedzeniach Grupy ds. Odporności Podmiotów Krytycznych.

Grupie ds. Odporności Podmiotów Krytycznych przewodniczy przedstawiciel Komisji.

3.   Zadania Grupy ds. Odporności Podmiotów Krytycznych są następujące:

| a) | wspieranie Komisji w pomocy państwom członkowskim w zwiększaniu ich zdolności do zapewniania odporności podmiotów krytycznych zgodnie z niniejszą dyrektywą; |
| --- | --- |

a)

wspieranie Komisji w pomocy państwom członkowskim w zwiększaniu ich zdolności do zapewniania odporności podmiotów krytycznych zgodnie z niniejszą dyrektywą;

| b) | analizowanie strategii w celu określenia najlepszych praktyk w odniesieniu do tych strategii; |
| --- | --- |

b)

analizowanie strategii w celu określenia najlepszych praktyk w odniesieniu do tych strategii;

| c) | ułatwianie wymiany najlepszych praktyk w odniesieniu do identyfikacji podmiotów krytycznych przez państwa członkowskie zgodnie z art. 6 ust. 1, w tym w odniesieniu do transgranicznych i międzysektorowych zależności oraz czynników ryzyka i incydentów; |
| --- | --- |

c)

ułatwianie wymiany najlepszych praktyk w odniesieniu do identyfikacji podmiotów krytycznych przez państwa członkowskie zgodnie z art. 6 ust. 1, w tym w odniesieniu do transgranicznych i międzysektorowych zależności oraz czynników ryzyka i incydentów;

| d) | w stosownych przypadkach wnoszenie wkładu w przygotowywanie dokumentów dotyczących odporności na poziomie Unii odnośnie do kwestii związanych z niniejszą dyrektywą; |
| --- | --- |

d)

w stosownych przypadkach wnoszenie wkładu w przygotowywanie dokumentów dotyczących odporności na poziomie Unii odnośnie do kwestii związanych z niniejszą dyrektywą;

| e) | wnoszenie wkładu w przygotowywanie wytycznych, o których mowa w art. 7 ust. 3 i art. 13 ust. 5, oraz, na wniosek, wszelkich aktów delegowanych lub wykonawczych przyjętych zgodnie z niniejszą dyrektywą; |
| --- | --- |

e)

wnoszenie wkładu w przygotowywanie wytycznych, o których mowa w art. 7 ust. 3 i art. 13 ust. 5, oraz, na wniosek, wszelkich aktów delegowanych lub wykonawczych przyjętych zgodnie z niniejszą dyrektywą;

| f) | analizowanie sprawozdań podsumowujących, o których mowa w art. 9 ust. 3 z myślą o promowaniu wymiany najlepszych praktyk co do działań podejmowanych zgodnie z art. 15 ust. 3; |
| --- | --- |

f)

analizowanie sprawozdań podsumowujących, o których mowa w art. 9 ust. 3 z myślą o promowaniu wymiany najlepszych praktyk co do działań podejmowanych zgodnie z art. 15 ust. 3;

| g) | wymiana najlepszych praktyk dotyczących zgłaszania incydentów, o którym mowa w art. 15; |
| --- | --- |

g)

wymiana najlepszych praktyk dotyczących zgłaszania incydentów, o którym mowa w art. 15;

| h) | omawianie sprawozdań podsumowujących misji doradczych i zebranych doświadczeń zgodnie z art. 18 ust. 10; |
| --- | --- |

h)

omawianie sprawozdań podsumowujących misji doradczych i zebranych doświadczeń zgodnie z art. 18 ust. 10;

| i) | wymiana informacji i najlepszych praktyk dotyczących innowacji, badań i rozwoju w zakresie odporności podmiotów krytycznych zgodnie z niniejszą dyrektywą; |
| --- | --- |

i)

wymiana informacji i najlepszych praktyk dotyczących innowacji, badań i rozwoju w zakresie odporności podmiotów krytycznych zgodnie z niniejszą dyrektywą;

| j) | w stosownych przypadkach, wymiana informacji w sprawach dotyczących odporności podmiotów krytycznych z odpowiednimi instytucjami, organami i jednostkami organizacyjnymi Unii. |
| --- | --- |

j)

w stosownych przypadkach, wymiana informacji w sprawach dotyczących odporności podmiotów krytycznych z odpowiednimi instytucjami, organami i jednostkami organizacyjnymi Unii.

4.   W terminie do dnia 17 stycznia 2025 r., a następnie co dwa lata, Grupa ds. Odporności Podmiotów Krytycznych opracowuje program prac w odniesieniu do działań, jakie mają zostać podjęte na rzecz realizacji jej celów i zadań. Ten program prac musi być spójny z wymogami i celami niniejszej dyrektywy.

5.   Grupa ds. Odporności Podmiotów Krytycznych spotyka się regularnie, w każdym razie co najmniej raz w roku, z Grupą Współpracy ustanowioną na podstawie dyrektywy (UE) 2022/2555 w celu propagowania i ułatwiania współpracy i wymiany informacji.

6.   Komisja może przyjmować akty wykonawcze określające rozwiązania proceduralne niezbędne do funkcjonowania Grupy ds. Odporności Podmiotów Krytycznych, z poszanowaniem art. 1 ust. 4. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 24 ust. 2.

7.   Komisja przekazuje Grupie ds. Odporności Podmiotów Krytycznych sprawozdanie podsumowujące dotyczące informacji przekazanych przez państwa członkowskie zgodnie z art. 4 ust. 3 i art. 5 ust. 4 w terminie do dnia 17 stycznia 2027 r., a następnie w razie potrzeby i co najmniej raz na cztery lata.

Artykuł 20

Wsparcie Komisji na rzecz właściwych organów i podmiotów krytycznych

1.   Komisja wspiera w stosownych przypadkach państwa członkowskie i podmioty krytyczne w wypełnianiu ich obowiązków przewidzianych w niniejszej dyrektywie. Komisja przygotowuje ogólnounijny przegląd transgranicznych i międzysektorowych czynników ryzyka związanych ze świadczeniem usług kluczowych, organizuje misje doradcze, o których mowa w art. 13 ust. 4 i art. 18, oraz ułatwia wymianę informacji między państwami członkowskimi i ekspertami w całej Unii.

2.   Komisja uzupełnia działania państw członkowskich, o których mowa w art. 10, opracowując najlepsze praktyki, materiały zawierające wytyczne i metodyki oraz organizując transgraniczne działania szkoleniowe i ćwiczenia w celu sprawdzania odporności podmiotów krytycznych.

3.   Komisja informuje państwa członkowskie o dostępnych dla nich na poziomie Unii zasobach finansowych przeznaczonych na zwiększanie odporności podmiotów krytycznych.

ROZDZIAŁ VI

NADZÓR I EGZEKWOWANIE PRZEPISÓW

Artykuł 21

Nadzór i egzekwowanie przepisów

1.   W celu ocenienia, czy podmioty zidentyfikowane przez państwa członkowskie, zgodnie z art. 6 ust. 1, jako podmioty krytyczne wypełniają obowiązki ustanowione w niniejszej dyrektywie, państwa członkowskie zapewniają właściwym organom uprawnienia i środki do:

| a) | przeprowadzania kontroli na miejscu w zakresie infrastruktury krytycznej oraz budynków i terenów wykorzystywanych przez podmiot krytyczny do świadczenia usług kluczowych, oraz prowadzenia zdalnego nadzoru nad środkami stosowanymi przez podmioty krytyczne zgodnie z art. 13; |
| --- | --- |

a)

przeprowadzania kontroli na miejscu w zakresie infrastruktury krytycznej oraz budynków i terenów wykorzystywanych przez podmiot krytyczny do świadczenia usług kluczowych, oraz prowadzenia zdalnego nadzoru nad środkami stosowanymi przez podmioty krytyczne zgodnie z art. 13;

| b) | przeprowadzania lub zlecania audytów dotyczących podmiotów krytycznych. |
| --- | --- |

b)

przeprowadzania lub zlecania audytów dotyczących podmiotów krytycznych.

2.   Państwa członkowskie zapewniają właściwym organom uprawnienia i środki, gdy jest to konieczne w celu wykonywania przez nie ich zadań określonych w niniejszej dyrektywie, umożliwiające zobowiązanie podmiotów na podstawie dyrektywy (UE) 2022/2555 zidentyfikowanych przez państwa członkowskie, na podstawie niniejszej dyrektywy, jako podmioty krytyczne, do przekazania w rozsądnym terminie ustalonym przez te organy:

| a) | informacji koniecznych do oceny, czy działania podjęte przez te podmioty w celu zapewniania ich odporności spełniają wymogi określone w art. 13; |
| --- | --- |

a)

informacji koniecznych do oceny, czy działania podjęte przez te podmioty w celu zapewniania ich odporności spełniają wymogi określone w art. 13;

| b) | dowodów potwierdzających skuteczne wdrożenie tych środków, w tym wyników audytu przeprowadzonego na koszt tego podmiotu przez wybranego przez niego niezależnego i wykwalifikowanego audytora. |
| --- | --- |

b)

dowodów potwierdzających skuteczne wdrożenie tych środków, w tym wyników audytu przeprowadzonego na koszt tego podmiotu przez wybranego przez niego niezależnego i wykwalifikowanego audytora.

Zwracając się o przekazanie tych informacji, właściwe organy podają cel tego żądania i określają, jakie informacje są wymagane.

3.   Bez uszczerbku dla możliwości nakładania sankcji zgodnie z art. 22 właściwe organy mogą, po przeprowadzeniu działań nadzorczych, o których mowa w ust. 1 niniejszego artykułu, lub oceny informacji, o których mowa w ust. 2 niniejszego artykułu, nakazać odnośnym podmiotom krytycznym podjęcie koniecznych i proporcjonalnych działań w celu wyeliminowania wszelkiego stwierdzonego naruszenia niniejszej dyrektywy w rozsądnym terminie ustalonym przez te organy oraz poinformowanie tych organów o podjętych działaniach. Nakazy te musza uwzględniać w szczególności wagę naruszenia.

4.   Państwo członkowskie zapewnia, aby uprawnienia określone w ust. 1, 2 i 3 mogły być wykonywane wyłącznie z zastrzeżeniem odpowiednich gwarancji prawnych. Takie gwarancje muszą zapewniać w szczególności wykonywanie tych uprawnień w sposób obiektywny, przejrzysty i proporcjonalny oraz należyte zabezpieczenie praw i prawnie uzasadnionych interesów, takich jak ochrona tajemnicy przedsiębiorstwa i tajemnicy handlowej, podmiotów krytycznych, których to dotyczy, w tym prawa do bycia wysłuchanym, prawa do obrony oraz prawa do skutecznego środka odwoławczego przed niezależnym sądem.

5.   Państwa członkowskie zapewniają, aby w przypadku, gdy właściwy organ na podstawie niniejszej dyrektywy przeprowadza, zgodnie z niniejszym artykułem, ocenę spełniania przez podmiot krytyczny jego obowiązków, ten właściwy organ informował właściwe organy odnośnych państw członkowskich na podstawie dyrektywy (UE) 2022/2555 W tym celu państwa członkowskie zapewniają, aby właściwe organy na podstawie niniejszej dyrektywy mogły zwracać się do właściwych organów na podstawie dyrektywy (UE) 2022/2555 o skorzystanie przez nie z ich uprawnień w zakresie nadzoru i egzekwowania przepisów w odniesieniu do podmiotu na podstawie tej dyrektywy, który to podmiot został zidentyfikowany jako podmiot krytyczny na podstawie niniejszej dyrektywy. W tym celu państwa członkowskie zapewniają, by właściwe organy na podstawie niniejszej dyrektywy współpracowały i prowadziły wymianę informacji z właściwymi organami na podstawie dyrektywy (UE) 2022/2555.

Artykuł 22

Sankcje

Państwa członkowskie ustanawiają przepisy dotyczące sankcji mających zastosowanie w przypadku naruszeń przepisów krajowych przyjętych na podstawie niniejszej dyrektywy i podejmują wszelkie niezbędne środki w celu zapewnienia ich wykonywania. Przewidziane sankcje muszą być skuteczne, proporcjonalne i odstraszające. Państwa członkowskie powiadamiają Komisję o tych przepisach i środkach do dnia 17 października 2024 r., a także powiadamiają ją niezwłocznie o wszelkich późniejszych zmianach, które ich dotyczą.

ROZDZIAŁ VII

AKTY DELEGOWANE I AKTY WYKONAWCZE

Artykuł 23

Wykonywanie przekazanych uprawnień

1.   Powierzenie Komisji uprawnień do przyjmowania aktów delegowanych podlega warunkom określonym w niniejszym artykule.

2.   Uprawnienia do przyjmowania aktów delegowanych, o których mowa w art. 5 ust. 1, powierza się Komisji na okres pięciu lat od dnia 16 stycznia 2023 r.

3.   Przekazanie uprawnień, o którym mowa w art. 5 ust. 1, może zostać w dowolnym momencie odwołane przez Parlament Europejski lub przez Radę. Decyzja o odwołaniu kończy przekazanie określonych w niej uprawnień. Decyzja o odwołaniu staje się skuteczna następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej lub w późniejszym terminie określonym w tej decyzji. Nie wpływa ona na ważność już obowiązujących aktów delegowanych.

4.   Przed przyjęciem aktu delegowanego Komisja konsultuje się z ekspertami wyznaczonymi przez każde państwo członkowskie zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa.

5.   Niezwłocznie po przyjęciu aktu delegowanego Komisja przekazuje go równocześnie Parlamentowi Europejskiemu i Radzie.

6.   Akt delegowany przyjęty na podstawie art. 5 ust. 1 wchodzi w życie tylko wówczas, gdy ani Parlament Europejski, ani Rada nie wyraziły sprzeciwu w terminie dwóch miesięcy od przekazania tego aktu Parlamentowi Europejskiemu i Radzie, lub gdy, przed upływem tego terminu, zarówno Parlament Europejski, jak i Rada poinformowały Komisję, że nie wniosą sprzeciwu. Termin ten przedłuża się o dwa miesiące z inicjatywy Parlamentu Europejskiego lub Rady.

Artykuł 24

Procedura komitetowa

1.   Komisję wspomaga komitet. Komitet ten jest komitetem w rozumieniu rozporządzenia (UE) nr 182/2011.

2.   W przypadku odesłania do niniejszego ustępu stosuje się art. 5 rozporządzenia (UE) nr 182/2011.

ROZDZIAł VIII

PRZEPISY KOŃCOWE

Artykuł 25

Sprawozdawczość i przegląd

Do dnia 17 lipca 2027 r. Komisja składa Parlamentowi Europejskiemu i Radzie sprawozdanie, w którym ocenia, w jakim zakresie każde państwo członkowskie przyjęło środki niezbędne do wykonania niniejszej dyrektywy.

Komisja dokonuje okresowego przeglądu funkcjonowania niniejszej dyrektywy i składa Parlamentowi Europejskiemu i Radzie sprawozdanie na ten temat. Sprawozdanie to zawiera w szczególności ocenę wartości dodanej niniejszej dyrektywy, jej wpływ na zapewnienie odporności podmiotów krytycznych, oraz ocenę konieczności zmiany załącznika do niniejszej dyrektywy. Komisja składa pierwsze takie sprawozdanie do dnia 17 czerwca 2029 r. W celu składania sprawozdań na podstawie niniejszego artykułu Komisja uwzględnia odpowiednie dokumenty Grupy ds. Odporności Podmiotów Krytycznych.

Artykuł 26

Transpozycja

1.   Państwa członkowskie przyjmują i publikują do dnia 17 października 2024 r. przepisy niezbędne do wykonania niniejszej dyrektywy. Niezwłocznie powiadamiają o tym Komisję.

Państwa członkowskie stosują te przepisy od dnia 18 października 2024 r.

2.   Przyjęte przez państwa członkowskie przepisy, o których mowa w ust. 1, zawierają odniesienie do niniejszej dyrektywy lub odniesienie takie towarzyszy ich urzędowej publikacji. Sposób dokonywania takiego odniesienia określany jest przez państwa członkowskie.

Artykuł 27

Uchylenie dyrektywy 2008/114/WE

Dyrektywa 2008/114/WE traci moc ze skutkiem od dnia 18 października 2024 r.

Odesłania do uchylonej dyrektywy odczytuje się jako odesłania do niniejszej dyrektywy.

Artykuł 28

Wejście w życie

Niniejsza dyrektywa wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

w Dzienniku Urzędowym Unii Europejskiej

Artykuł 29

Adresaci

Niniejsza dyrektywa skierowana jest do państw członkowskich.

Sporządzono w Strasburgu dnia 14 grudnia 2022 r.

W imieniu Parlamentu Europejskiego

Przewodnicząca

R. METSOLA

W imieniu Rady

Przewodniczący

M. BEK

---

(1)  
  Dz.U. C 286 z 16.7.2021, s. 170.

1

(2)  
  Dz.U. C 440 z 29.10.2021, s. 99.

2

(3)  Stanowisko Parlamentu Europejskiego z dnia 22 listopada 2022 r. (dotychczas nieopublikowane w Dzienniku Urzędowym) oraz decyzja Rady z dnia 8 grudnia 2022 r.

3

(4)  Dyrektywa Rady 2008/114/WE z dnia 8 grudnia 2008 r. w sprawie rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej oraz oceny potrzeb w zakresie poprawy jej ochrony (Dz.U. L 345 z 23.12.2008, s. 75).

4

(5)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 r. w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, zmieniająca rozporządzenie (UE) nr 910/2014 i dyrektywę (UE) 2018/1972 oraz uchylająca dyrektywę (UE) 2016/1148 (dyrektywa NIS 2) (zob. s. 80 niniejszego Dziennika Urzędowego).

5

(6)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (Dz.U. L 194 z 19.7.2016, s. 1).

6

(7)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/452 z dnia 19 marca 2019 r. ustanawiające ramy monitorowania bezpośrednich inwestycji zagranicznych w Unii (Dz.U. L 79I z 21.3.2019, s. 1).

7

(8)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 648/2012 z dnia 4 lipca 2012 r. w sprawie instrumentów pochodnych będących przedmiotem obrotu poza rynkiem regulowanym, kontrahentów centralnych i repozytoriów transakcji (Dz.U. L 201 z 27.7.2012, s. 1).

8

(9)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniające rozporządzenie (UE) nr 648/2012 (Dz.U. L 176 z 27.6.2013, s. 1).

9

(10)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 600/2014 z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniające rozporządzenie (UE) nr 648/2012 (Dz.U. L 173 z 12.6.2014, s. 84).

10

(11)  Dyrektywa Parlamentu Europejskiego i Rady 2013/36/UE z dnia 26 czerwca 2013 r. w sprawie warunków dopuszczenia instytucji kredytowych do działalności oraz nadzoru ostrożnościowego nad instytucjami kredytowymi, zmieniająca dyrektywę 2002/87/WE i uchylająca dyrektywy 2006/48/WE oraz 2006/49/WE (Dz.U. L 176 z 27.6.2013, s. 338).

11

(12)  Dyrektywa Parlamentu Europejskiego i Rady 2014/65/UE z dnia 15 maja 2014 r. w sprawie rynków instrumentów finansowych oraz zmieniająca dyrektywę 2002/92/WE i dyrektywę 2011/61/UE (Dz.U. L 173 z 12.6.2014, s. 349).

12

(13)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 z dnia 14 grudnia 2022 r. w sprawie operacyjnej odporności cyfrowej sektora finansowego i zmieniające rozporządzenia (WE) nr 1060/2009, (UE) nr 648/2012, (UE) nr 600/2014, (UE) nr 909/2014 oraz (UE) 2016/1011 (zob. s. 1 niniejszego Dziennika Urzędowego).

13

(14)  Rozporządzenie (WE) nr 725/2004 Parlamentu Europejskiego i Rady z dnia 31 marca 2004 r. w sprawie wzmocnienia ochrony statków i obiektów portowych (Dz.U. L 129 z 29.4.2004, s. 6).

14

(15)  Rozporządzenie Parlamentu Europejskiego i Rady (WE) nr 300/2008 z dnia 11 marca 2008 r. w sprawie wspólnych zasad w dziedzinie ochrony lotnictwa cywilnego i uchylające rozporządzenie (WE) nr 2320/2002 (Dz.U. L 97 z 9.4.2008, s. 72).

15

(16)  Dyrektywa 2005/65/WE Parlamentu Europejskiego i Rady z dnia 26 października 2005 r. w sprawie wzmocnienia ochrony portów (Dz.U. L 310 z 25.11.2005, s. 28).

16

(17)  Dyrektywa Parlamentu Europejskiego i Rady 2008/96/WE z dnia 19 listopada 2008 r. w sprawie zarządzania bezpieczeństwem infrastruktury drogowej (Dz.U. L 319 z 29.11.2008, s. 59).

17

(18)  Decyzja Komisji z dnia 29 czerwca 2018 r. w sprawie utworzenia unijnej platformy bezpieczeństwa pasażerów w ruchu kolejowym, 2018/C 232/03 (Dz.U. C 232 z 3.7.2018, s. 10).

18

(19)  Decyzja ramowa Rady 2009/315/WSiSW z dnia 26 lutego 2009 r. w sprawie organizacji wymiany informacji pochodzących z rejestru karnego pomiędzy państwami członkowskimi oraz treści tych informacji (Dz.U. L 93 z 7.4.2009, s. 23).

19

(20)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/816 z dnia 17 kwietnia 2019 r. ustanawiające scentralizowany system służący do ustalania państw członkowskich posiadających informacje o wyrokach skazujących wydanych wobec obywateli państw trzecich i bezpaństwowców (ECRIS-TCN) na potrzeby uzupełnienia europejskiego systemu przekazywania informacji z rejestrów karnych oraz zmieniające rozporządzenie (UE) 2018/1726 (Dz.U. L 135 z 22.5.2019, s. 1).

20

(21)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1862 z dnia 28 listopada 2018 r. w sprawie utworzenia, funkcjonowania i użytkowania Systemu Informacyjnego Schengen (SIS) w dziedzinie współpracy policyjnej i współpracy wymiarów sprawiedliwości w sprawach karnych, zmiany i uchylenia decyzji Rady 2007/533/WSiSW oraz uchylenia rozporządzenia Parlamentu Europejskiego i Rady (WE) nr 1986/2006 i decyzji Komisji 2010/261/UE (Dz.U. L 312 z 7.12.2018, s. 56).

21

(22)  Decyzja Parlamentu Europejskiego i Rady nr 1313/2013/EU z dnia 17 grudnia 2013 r. w sprawie Unijnego Mechanizmu Ochrony Ludności (Dz.U. L 347 z 20.12.2013, s. 924).

22

(23)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/1149 z dnia 7 lipca 2021 r. ustanawiające Fundusz Bezpieczeństwa Wewnętrznego (Dz.U. L 251 z 15.7.2021, s. 94).

23

(24)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2021/695 z dnia 28 kwietnia 2021 r. ustanawiające program ramowy w zakresie badań naukowych i innowacji „Horyzont Europa” oraz zasady uczestnictwa i upowszechniania obowiązujące w tym programie oraz uchylające rozporządzenia (UE) nr 1290/2013 i (UE) nr 1291/2013 (Dz.U. L 170 z 12.5.2021, s. 1).

24

(25)  
  Dz.U. L 123 z 12.5.2016, s. 1.

25

(26)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 182/2011 z dnia 16 lutego 2011 r. ustanawiające przepisy i zasady ogólne dotyczące trybu kontroli przez państwa członkowskie wykonywania uprawnień wykonawczych przez Komisję (Dz.U. L 55 z 28.2.2011, s. 13).

26

(27)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. L 295 z 21.11.2018, s. 39).

27

(28)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. L 119 z 4.5.2016, s. 1).

28

(29)  Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzana danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U. L 201 z 31.7.2002, s. 37).

29

(30)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1025/2012 z dnia 25 października 2012 r. w sprawie normalizacji europejskiej, zmieniające dyrektywy Rady 89/686/EWG i 93/15/EWG oraz dyrektywy Parlamentu Europejskiego i Rady 94/9/WE, 94/25/WE, 95/16/WE, 97/23/WE, 98/34/WE, 2004/22/WE, 2007/23/WE, 2009/23/WE i 2009/105/WE oraz uchylające decyzję Rady 87/95/EWG i decyzję Parlamentu Europejskiego i Rady nr 1673/2006/WE (Dz.U. L 316 z 14.11.2012, s. 12).

30

(31)  Zalecenie Komisji 2003/361/WE z dnia 6 maja 2003 r. dotyczące definicji mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw (Dz.U. L 124 z 20.5.2003, s. 36).

31

(32)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2017/541 z dnia 15 marca 2017 r. w sprawie zwalczania terroryzmu i zastępująca decyzję ramową Rady 2002/475/WSiSW oraz zmieniająca decyzję Rady 2005/671/WSiSW (Dz.U. L 88 z 31.3.2017, s. 6).

32

(33)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2017/1938 z dnia 25 października 2017 r. dotyczące środków zapewniających bezpieczeństwo dostaw gazu ziemnego i uchylające rozporządzenie (UE) nr 994/2010 (Dz.U. L 280 z 28.10.2017, s. 1).

33

(34)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/941 z dnia 5 czerwca 2019 r. w sprawie gotowości na wypadek zagrożeń w sektorze energii elektrycznej i uchylające dyrektywę 2005/89/WE (Dz.U. L 158 z 14.6.2019, s. 1).

34

(35)  Dyrektywa 2007/60/WE Parlamentu Europejskiego i Rady z dnia 23 października 2007 r. w sprawie oceny ryzyka powodziowego i zarządzania nim (Dz.U. L 288 z 6.11.2007, s. 27).

35

(36)  Dyrektywa Parlamentu Europejskiego i Rady 2012/18/UE z dnia 4 lipca 2012 r. w sprawie kontroli zagrożeń poważnymi awariami związanymi z substancjami niebezpiecznymi, zmieniająca, a następnie uchylająca dyrektywę Rady 96/82/WE (Dz.U. L 197 z 24.7.2012, s. 1).

36

(37)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (Dz.U. L 119 z 4.5.2016, s. 89).

37

---

ZAŁĄCZNIK

SEKTORY, PODSEKTORY I KATEGORIE PODMIOTÓW

| Sektory | Podsektory | Kategorie podmiotów |
| --- | --- | --- |
| 1. | Energia |

Sektory

Podsektory

Kategorie podmiotów

1.

Energia

| a) | Energia elektryczna |
| --- | --- |

a)

Energia elektryczna

| — | Przedsiębiorstwa energetyczne zdefiniowane w art. 2 pkt 57 dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/944 (1), które wykonują funkcję „dostawy” zdefiniowaną w art. 2 pkt 12 tej dyrektywy |
| --- | --- |

—

Przedsiębiorstwa energetyczne zdefiniowane w art. 2 pkt 57 dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/944 (1), które wykonują funkcję „dostawy” zdefiniowaną w art. 2 pkt 12 tej dyrektywy

| — | Operatorzy systemów dystrybucyjnych zdefiniowani w art. 2 pkt 29 dyrektywy (UE) 2019/944 |
| --- | --- |

—

Operatorzy systemów dystrybucyjnych zdefiniowani w art. 2 pkt 29 dyrektywy (UE) 2019/944

| — | Operatorzy systemów przesyłowych zdefiniowani w art. 2 pkt 35 dyrektywy (UE) 2019/944 |
| --- | --- |

—

Operatorzy systemów przesyłowych zdefiniowani w art. 2 pkt 35 dyrektywy (UE) 2019/944

| — | Wytwórcy zdefiniowani w art. 2 pkt 38 dyrektywy (UE) 2019/944 |
| --- | --- |

—

Wytwórcy zdefiniowani w art. 2 pkt 38 dyrektywy (UE) 2019/944

| — | Wyznaczeni operatorzy rynku energii elektrycznej zdefiniowani w art. 2 pkt 8 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/943 (2) |
| --- | --- |

—

Wyznaczeni operatorzy rynku energii elektrycznej zdefiniowani w art. 2 pkt 8 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2019/943 (2)

| — | Uczestnicy rynku zdefiniowani w art. 2 pkt 25 rozporządzenia (UE) 2019/943, świadczący usługi w zakresie agregacji, odpowiedzi odbioru lub magazynowania energii zdefiniowane w art. 2 pkt 18, 20 i 59 dyrektywy (UE) 2019/944 |
| --- | --- |

—

Uczestnicy rynku zdefiniowani w art. 2 pkt 25 rozporządzenia (UE) 2019/943, świadczący usługi w zakresie agregacji, odpowiedzi odbioru lub magazynowania energii zdefiniowane w art. 2 pkt 18, 20 i 59 dyrektywy (UE) 2019/944

| b) | System ciepłowniczy i chłodniczy |
| --- | --- |

b)

System ciepłowniczy i chłodniczy

| — | Operatorzy systemów ciepłowniczych lub systemów chłodniczych zdefiniowanych w art. 2 pkt 19 dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/2001 (3) |
| --- | --- |

—

Operatorzy systemów ciepłowniczych lub systemów chłodniczych zdefiniowanych w art. 2 pkt 19 dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/2001 (3)

| c) | Ropa naftowa |
| --- | --- |

c)

Ropa naftowa

| — | Operatorzy ropociągów |
| --- | --- |

—

Operatorzy ropociągów

| — | Operatorzy instalacji służących do produkcji, rafinacji, przetwarzania ropy naftowej, magazynowania i przesyłu |
| --- | --- |

—

Operatorzy instalacji służących do produkcji, rafinacji, przetwarzania ropy naftowej, magazynowania i przesyłu

| — | Krajowe centrale zapasów zdefiniowane w art. 2 lit. f) dyrektywy Rady 2009/119/WE (4) |
| --- | --- |

—

Krajowe centrale zapasów zdefiniowane w art. 2 lit. f) dyrektywy Rady 2009/119/WE (4)

| d) | Gaz |
| --- | --- |

d)

Gaz

| — | Przedsiębiorstwa dostarczające gaz zdefiniowane w art. 2 pkt 8 dyrektywy Parlamentu Europejskiego i Rady 2009/73/WE (5) |
| --- | --- |

—

Przedsiębiorstwa dostarczające gaz zdefiniowane w art. 2 pkt 8 dyrektywy Parlamentu Europejskiego i Rady 2009/73/WE (5)

| — | Operatorzy systemów dystrybucyjnych zdefiniowani w art. 2 pkt 6 dyrektywy 2009/73/WE |
| --- | --- |

—

Operatorzy systemów dystrybucyjnych zdefiniowani w art. 2 pkt 6 dyrektywy 2009/73/WE

| — | Operatorzy systemów przesyłowych zdefiniowani w art. 2 pkt 4 dyrektywy 2009/73/WE |
| --- | --- |

—

Operatorzy systemów przesyłowych zdefiniowani w art. 2 pkt 4 dyrektywy 2009/73/WE

| — | Operatorzy systemów magazynowania zdefiniowani w art. 2 pkt 10 dyrektywy 2009/73/WE |
| --- | --- |

—

Operatorzy systemów magazynowania zdefiniowani w art. 2 pkt 10 dyrektywy 2009/73/WE

| — | Operatorzy systemów LNG zdefiniowani w art. 2 pkt 12 dyrektywy 2009/73/WE |
| --- | --- |

—

Operatorzy systemów LNG zdefiniowani w art. 2 pkt 12 dyrektywy 2009/73/WE

| — | Przedsiębiorstwa gazowe zdefiniowane w art. 2 pkt 1 dyrektywy 2009/73/WE |
| --- | --- |

—

Przedsiębiorstwa gazowe zdefiniowane w art. 2 pkt 1 dyrektywy 2009/73/WE

| — | Operatorzy instalacji służących do rafinacji i przetwarzania gazu ziemnego |
| --- | --- |

—

Operatorzy instalacji służących do rafinacji i przetwarzania gazu ziemnego

| e) | Wodór |
| --- | --- |

e)

Wodór

| — | Operatorzy produkcji, magazynowania i przesyłu wodoru |
| --- | --- |

—

Operatorzy produkcji, magazynowania i przesyłu wodoru

| 2. | Transport |
| --- | --- |

2.

Transport

| a) | Transport lotniczy |
| --- | --- |

a)

Transport lotniczy

| — | Przewoźnicy lotniczy zdefiniowani w art. 3 pkt 4 rozporządzenia (WE) nr 300/2008, wykorzystywani do celów handlowych |
| --- | --- |

—

Przewoźnicy lotniczy zdefiniowani w art. 3 pkt 4 rozporządzenia (WE) nr 300/2008, wykorzystywani do celów handlowych

| — | Zarządzający portem lotniczym zdefiniowani w art. 2 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2009/12/WE (6), porty lotnicze zdefiniowane w art. 2 pkt 1 tej dyrektywy, w tym porty lotnicze sieci bazowej wymienione w sekcji 2 załącznika II do rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1315/2013 (7), oraz jednostki obsługujące urządzenia pomocnicze znajdujące się w portach lotniczych |
| --- | --- |

—

Zarządzający portem lotniczym zdefiniowani w art. 2 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2009/12/WE (6), porty lotnicze zdefiniowane w art. 2 pkt 1 tej dyrektywy, w tym porty lotnicze sieci bazowej wymienione w sekcji 2 załącznika II do rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1315/2013 (7), oraz jednostki obsługujące urządzenia pomocnicze znajdujące się w portach lotniczych

| — | Operatorzy zarządzający ruchem lotniczym zapewniający służbę kontroli ruchu lotniczego (ATC) zdefiniowaną w art. 2 pkt 1 rozporządzenia (WE) nr 549/2004 Parlamentu Europejskiego i Rady (8) |
| --- | --- |

—

Operatorzy zarządzający ruchem lotniczym zapewniający służbę kontroli ruchu lotniczego (ATC) zdefiniowaną w art. 2 pkt 1 rozporządzenia (WE) nr 549/2004 Parlamentu Europejskiego i Rady (8)

| b) | Transport kolejowy |
| --- | --- |

b)

Transport kolejowy

| — | Zarządcy infrastruktury zdefiniowani w art. 3 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2012/34/UE (9) |
| --- | --- |

—

Zarządcy infrastruktury zdefiniowani w art. 3 pkt 2 dyrektywy Parlamentu Europejskiego i Rady 2012/34/UE (9)

| — | Przedsiębiorstwa kolejowe zdefiniowane w art. 3 pkt 1 dyrektywy 2012/34/UE oraz operatorzy obiektów infrastruktury usługowej zdefiniowani w art. 3 pkt 12 tej dyrektywy |
| --- | --- |

—

Przedsiębiorstwa kolejowe zdefiniowane w art. 3 pkt 1 dyrektywy 2012/34/UE oraz operatorzy obiektów infrastruktury usługowej zdefiniowani w art. 3 pkt 12 tej dyrektywy

| c) | Transport wodny |
| --- | --- |

c)

Transport wodny

| — | Armatorzy śródlądowego, morskiego i przybrzeżnego wodnego transportu pasażerów i towarów zdefiniowani w odniesieniu do transportu morskiego w załączniku I do rozporządzenia (WE) nr 725/2004, z wyłączeniem poszczególnych statków eksploatowanych przez tych armatorów |
| --- | --- |

—

Armatorzy śródlądowego, morskiego i przybrzeżnego wodnego transportu pasażerów i towarów zdefiniowani w odniesieniu do transportu morskiego w załączniku I do rozporządzenia (WE) nr 725/2004, z wyłączeniem poszczególnych statków eksploatowanych przez tych armatorów

| — | Organy zarządzające portami zdefiniowanymi w art. 3 pkt 1 dyrektywy 2005/65/WE, w tym ich obiekty portowe zdefiniowane w art. 2 pkt 11 rozporządzenia (WE) nr 725/2004, oraz podmioty wykonujące prace i operujące sprzętem znajdującym się w portach |
| --- | --- |

—

Organy zarządzające portami zdefiniowanymi w art. 3 pkt 1 dyrektywy 2005/65/WE, w tym ich obiekty portowe zdefiniowane w art. 2 pkt 11 rozporządzenia (WE) nr 725/2004, oraz podmioty wykonujące prace i operujące sprzętem znajdującym się w portach

| — | Operatorzy systemów ruchu statków SRS zdefiniowanych w art. 3 lit. o) dyrektywy 2002/59/WE (10) Parlamentu Europejskiego i Rady |
| --- | --- |

—

Operatorzy systemów ruchu statków SRS zdefiniowanych w art. 3 lit. o) dyrektywy 2002/59/WE (10) Parlamentu Europejskiego i Rady

| d) | Transport drogowy |
| --- | --- |

d)

Transport drogowy

| — | Organy administracji drogowej zdefiniowane w art. 2 pkt 12 rozporządzenia delegowanego Komisji (UE) 2015/962 (11), odpowiedzialne za zarządzanie ruchem drogowym, z wyłączeniem podmiotów publicznych, dla których zarządzanie ruchem lub obsługa inteligentnych systemów transportowych stanowią inną niż istotna część ich ogólnej działalności |
| --- | --- |

—

Organy administracji drogowej zdefiniowane w art. 2 pkt 12 rozporządzenia delegowanego Komisji (UE) 2015/962 (11), odpowiedzialne za zarządzanie ruchem drogowym, z wyłączeniem podmiotów publicznych, dla których zarządzanie ruchem lub obsługa inteligentnych systemów transportowych stanowią inną niż istotna część ich ogólnej działalności

| — | Operatorzy inteligentnych systemów transportowych zdefiniowanych w art. 4 pkt 1 dyrektywy Parlamentu Europejskiego i Rady 2010/40/UE (12) |
| --- | --- |

—

Operatorzy inteligentnych systemów transportowych zdefiniowanych w art. 4 pkt 1 dyrektywy Parlamentu Europejskiego i Rady 2010/40/UE (12)

| e) | Transport publiczny |
| --- | --- |

e)

Transport publiczny

| — | Podmioty świadczące usługi publiczne zdefiniowane w art. 2 lit. d) rozporządzenia (WE) nr 1370/2007 (13) Parlamentu Europejskiego i Rady |
| --- | --- |

—

Podmioty świadczące usługi publiczne zdefiniowane w art. 2 lit. d) rozporządzenia (WE) nr 1370/2007 (13) Parlamentu Europejskiego i Rady

| 3. | Bankowość |
| --- | --- |

3.

Bankowość

| — | Instytucje kredytowe zdefiniowane w art. 4 ust. 1 pkt 1 rozporządzenia (UE) nr 575/2013 |
| --- | --- |

—

Instytucje kredytowe zdefiniowane w art. 4 ust. 1 pkt 1 rozporządzenia (UE) nr 575/2013

| 4. | Infrastruktura rynków finansowych |
| --- | --- |

4.

Infrastruktura rynków finansowych

| — | Operatorzy systemów obrotu zdefiniowanych w art. 4 ust. 1 pkt 24 dyrektywy 2014/65/UE |
| --- | --- |

—

Operatorzy systemów obrotu zdefiniowanych w art. 4 ust. 1 pkt 24 dyrektywy 2014/65/UE

| — | Kontrahenci centralni (CCP) zdefiniowani w art. 2 pkt 1 rozporządzenia (UE) nr 648/2012 |
| --- | --- |

—

Kontrahenci centralni (CCP) zdefiniowani w art. 2 pkt 1 rozporządzenia (UE) nr 648/2012

| 5. | Zdrowie |
| --- | --- |

5.

Zdrowie

| — | Świadczeniodawcy zdefiniowani w art. 3 lit. g) dyrektywy Parlamentu Europejskiego i Rady 2011/24/UE (14) |
| --- | --- |

—

Świadczeniodawcy zdefiniowani w art. 3 lit. g) dyrektywy Parlamentu Europejskiego i Rady 2011/24/UE (14)

| — | Laboratoria referencyjne UE, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2371 (15) |
| --- | --- |

—

Laboratoria referencyjne UE, o których mowa w art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/2371 (15)

| — | Podmioty prowadzące działania badawczo-rozwojowe w zakresie produktów leczniczych zdefiniowanych w art. 1 pkt 2 dyrektywy 2001/83/WE Parlamentu Europejskiego i Rady (16) |
| --- | --- |

—

Podmioty prowadzące działania badawczo-rozwojowe w zakresie produktów leczniczych zdefiniowanych w art. 1 pkt 2 dyrektywy 2001/83/WE Parlamentu Europejskiego i Rady (16)

| — | Podmioty produkujące podstawowe substancje farmaceutyczne oraz leki i pozostałe wyroby farmaceutyczne, o których mowa w sekcji C dział 21 klasyfikacji NACE Rev. 2 |
| --- | --- |

—

Podmioty produkujące podstawowe substancje farmaceutyczne oraz leki i pozostałe wyroby farmaceutyczne, o których mowa w sekcji C dział 21 klasyfikacji NACE Rev. 2

| — | Podmioty produkujące wyroby medyczne, w odniesieniu do których uznano, że mają one krytyczne znaczenie podczas stanu zagrożenia zdrowia publicznego („wykaz wyrobów medycznych o krytycznym znaczeniu w przypadku stanu zagrożenia zdrowia publicznego”) w rozumieniu art. 22 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/123 (17) |
| --- | --- |

—

Podmioty produkujące wyroby medyczne, w odniesieniu do których uznano, że mają one krytyczne znaczenie podczas stanu zagrożenia zdrowia publicznego („wykaz wyrobów medycznych o krytycznym znaczeniu w przypadku stanu zagrożenia zdrowia publicznego”) w rozumieniu art. 22 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2022/123 (17)

| — | Podmioty posiadające pozwolenie na dystrybucję, o którym mowa w art. 79 dyrektywy 2001/83/WE |
| --- | --- |

—

Podmioty posiadające pozwolenie na dystrybucję, o którym mowa w art. 79 dyrektywy 2001/83/WE

| 6. | Woda pitna |
| --- | --- |

6.

Woda pitna

| — | Dostawcy i dystrybutorzy wody przeznaczonej do spożycia przez ludzi zdefiniowanej w art. 2 pkt 1 lit. a) dyrektywy Parlamentu Europejskiego i Rady (UE) 2020/2184 (18), z wyłączeniem dystrybutorów, dla których dystrybucja wody przeznaczonej do spożycia przez ludzi stanowi jedynie inną niż istotna część ich ogólnej działalności polegającej na dystrybucji innych produktów i towarów |
| --- | --- |

—

Dostawcy i dystrybutorzy wody przeznaczonej do spożycia przez ludzi zdefiniowanej w art. 2 pkt 1 lit. a) dyrektywy Parlamentu Europejskiego i Rady (UE) 2020/2184 (18), z wyłączeniem dystrybutorów, dla których dystrybucja wody przeznaczonej do spożycia przez ludzi stanowi jedynie inną niż istotna część ich ogólnej działalności polegającej na dystrybucji innych produktów i towarów

| 7. | Ścieki |
| --- | --- |

7.

Ścieki

| — | Przedsiębiorstwa zbierające, odprowadzające lub oczyszczające ścieki komunalne, ścieki bytowe i ścieki przemysłowe zdefiniowane w art. 2 pkt 1, 2 i 3 dyrektywy Rady 91/271/EWG (19), z wyłączeniem przedsiębiorstw, dla których zbieranie, odprowadzanie lub oczyszczanie ścieków komunalnych, ścieków bytowych i ścieków przemysłowych stanowi inną niż istotna część ich ogólnej działalności |
| --- | --- |

—

Przedsiębiorstwa zbierające, odprowadzające lub oczyszczające ścieki komunalne, ścieki bytowe i ścieki przemysłowe zdefiniowane w art. 2 pkt 1, 2 i 3 dyrektywy Rady 91/271/EWG (19), z wyłączeniem przedsiębiorstw, dla których zbieranie, odprowadzanie lub oczyszczanie ścieków komunalnych, ścieków bytowych i ścieków przemysłowych stanowi inną niż istotna część ich ogólnej działalności

| 8. | Infrastruktura cyfrowa |
| --- | --- |

8.

Infrastruktura cyfrowa

| — | Dostawcy punktów wymiany ruchu internetowego zdefiniowanych w art. 6 pkt 18 dyrektywy (UE) 2022/2555 |
| --- | --- |

—

Dostawcy punktów wymiany ruchu internetowego zdefiniowanych w art. 6 pkt 18 dyrektywy (UE) 2022/2555

| — | Dostawcy usług DNS zdefiniowani w art. 6 pkt 20 dyrektywy (UE) 2022/2555, z wyłączeniem operatorów głównych serwerów nazw |
| --- | --- |

—

Dostawcy usług DNS zdefiniowani w art. 6 pkt 20 dyrektywy (UE) 2022/2555, z wyłączeniem operatorów głównych serwerów nazw

| — | Rejestry nazw domen najwyższego poziomu zdefiniowane w art. 6 pkt 21 dyrektywy (UE) 2022/2555 |
| --- | --- |

—

Rejestry nazw domen najwyższego poziomu zdefiniowane w art. 6 pkt 21 dyrektywy (UE) 2022/2555

| — | Dostawcy usług chmurowych zdefiniowanych w art. 6 pkt 30 dyrektywy (UE) 2022/2555 |
| --- | --- |

—

Dostawcy usług chmurowych zdefiniowanych w art. 6 pkt 30 dyrektywy (UE) 2022/2555

| — | Dostawcy usług przetwarzania danych zdefiniowanych w art. 6 pkt 31 dyrektywy (UE) 2022/2555 |
| --- | --- |

—

Dostawcy usług przetwarzania danych zdefiniowanych w art. 6 pkt 31 dyrektywy (UE) 2022/2555

| — | Dostawcy sieci dostarczania treści/danych/zawartości zdefiniowanej w art. 6 pkt 32 dyrektywy (UE) 2022/2555 |
| --- | --- |

—

Dostawcy sieci dostarczania treści/danych/zawartości zdefiniowanej w art. 6 pkt 32 dyrektywy (UE) 2022/2555

| — | Dostawcy usług zaufania zdefiniowani w art. 3 pkt 19 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 (20) |
| --- | --- |

—

Dostawcy usług zaufania zdefiniowani w art. 3 pkt 19 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 (20)

| — | Dostawcy publicznych sieci łączności elektronicznej zdefiniowanych w art. 2 pkt 8 dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/1972 (21) |
| --- | --- |

—

Dostawcy publicznych sieci łączności elektronicznej zdefiniowanych w art. 2 pkt 8 dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/1972 (21)

| — | Dostawcy usług łączności elektronicznej zdefiniowani w art. 2 pkt 4 dyrektywy (UE) 2018/1972, o ile ich usługi są publicznie dostępne |
| --- | --- |

—

Dostawcy usług łączności elektronicznej zdefiniowani w art. 2 pkt 4 dyrektywy (UE) 2018/1972, o ile ich usługi są publicznie dostępne

| 9. | Administracja publiczna |
| --- | --- |

9.

Administracja publiczna

| — | Podmioty administracji publicznej w ramach instytucji rządowych na szczeblu centralnym zdefiniowane przez państwa członkowskie zgodnie z prawem krajowym |
| --- | --- |

—

Podmioty administracji publicznej w ramach instytucji rządowych na szczeblu centralnym zdefiniowane przez państwa członkowskie zgodnie z prawem krajowym

| 10. | Przestrzeń kosmiczna |
| --- | --- |

10.

Przestrzeń kosmiczna

| — | Operatorzy infrastruktury naziemnej będącej własnością państw członkowskich lub podmiotów prywatnych i przez nie zarządzanej i obsługiwanej, którzy wspierają świadczenie usług kosmicznych, z wyłączeniem dostawców publicznych sieci łączności elektronicznej zdefiniowanych w art. 2 pkt 8 dyrektywy (UE) 2018/1972 |
| --- | --- |

—

Operatorzy infrastruktury naziemnej będącej własnością państw członkowskich lub podmiotów prywatnych i przez nie zarządzanej i obsługiwanej, którzy wspierają świadczenie usług kosmicznych, z wyłączeniem dostawców publicznych sieci łączności elektronicznej zdefiniowanych w art. 2 pkt 8 dyrektywy (UE) 2018/1972

| 11. | Produkcja, przetwarzanie i dystrybucja żywności |
| --- | --- |

11.

Produkcja, przetwarzanie i dystrybucja żywności

| — | Przedsiębiorstwa spożywcze zdefiniowane w art. 3 pkt 2 rozporządzenia (WE) nr 178/2002 Parlamentu Europejskiego i Rady (22), zajmujące się wyłącznie logistyką i dystrybucją hurtową oraz produkcją przemysłową i przetwórstwem przemysłowym na dużą skalę |
| --- | --- |

—

Przedsiębiorstwa spożywcze zdefiniowane w art. 3 pkt 2 rozporządzenia (WE) nr 178/2002 Parlamentu Europejskiego i Rady (22), zajmujące się wyłącznie logistyką i dystrybucją hurtową oraz produkcją przemysłową i przetwórstwem przemysłowym na dużą skalę

---

(1)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/944 z dnia 5 czerwca 2019 r. w sprawie wspólnych zasad rynku wewnętrznego energii elektrycznej oraz zmieniająca dyrektywę 2012/27/UE (Dz.U. L 158 z 14.6.2019, s. 125).

(2)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/943 z dnia 5 czerwca 2019 r. w sprawie rynku wewnętrznego energii elektrycznej (Dz.U. L 158 z 14.6.2019, s. 54).

(3)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2018/2001 z dnia 11 grudnia 2018 r. w sprawie promowania stosowania energii ze źródeł odnawialnych (Dz.U. L 328 z 21.12.2018, s. 82).

(4)  Dyrektywa Rady 2009/119/WE z dnia 14 września 2009 r. nakładająca na państwa członkowskie obowiązek utrzymywania minimalnych zapasów ropy naftowej lub produktów ropopochodnych (Dz.U. L 265 z 9.10.2009, s. 9).

(5)  Dyrektywa Parlamentu Europejskiego i Rady 2009/73/WE z dnia 13 lipca 2009 r. dotycząca wspólnych zasad rynku wewnętrznego gazu ziemnego i uchylająca dyrektywę 2003/55/WE (Dz.U. L 211 z 14.8.2009, s. 94).

(6)  Dyrektywa Parlamentu Europejskiego i Rady 2009/12/WE z dnia 11 marca 2009 r. w sprawie opłat lotniskowych (Dz.U. L 70 z 14.3.2009, s. 11).

(7)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1315/2013 z dnia 11 grudnia 2013 r. w sprawie unijnych wytycznych dotyczących rozwoju transeuropejskiej sieci transportowej i uchylające decyzję nr 661/2010/UE (Dz.U. L 348 z 20.12.2013, s. 1).

(8)  Rozporządzenie (WE) nr 549/2004 Parlamentu Europejskiego i Rady z dnia 10 marca 2004 r. ustanawiające ramy tworzenia Jednolitej Europejskiej Przestrzeni Powietrznej (Rozporządzenie ramowe) (Dz.U. L 96 z 31.3.2004, s. 1).

(9)  Dyrektywa Parlamentu Europejskiego i Rady 2012/34/UE z dnia 21 listopada 2012 r. w sprawie utworzenia jednolitego europejskiego obszaru kolejowego (Dz.U. L 343 z 14.12.2012, s. 32).

(10)  Dyrektywa 2002/59/WE Parlamentu Europejskiego i Rady z dnia 27 czerwca 2002 r. ustanawiająca wspólnotowy system monitorowania i informacji o ruchu statków i uchylająca dyrektywę Rady 93/75/EWG (Dz.U. L 208 z 5.8.2002, s. 10).

(11)  Rozporządzenie delegowane Komisji (UE) 2015/962 z dnia 18 grudnia 2014 r. uzupełniające dyrektywę Parlamentu Europejskiego i Rady 2010/40/UE w odniesieniu do świadczenia ogólnounijnych usług informacyjnych w czasie rzeczywistym dotyczących ruchu (Dz.U. L 157 z 23.6.2015, s. 21).

(12)  Dyrektywa Parlamentu Europejskiego i Rady 2010/40/UE z dnia 7 lipca 2010 r. w sprawie ram wdrażania inteligentnych systemów transportowych w obszarze transportu drogowego oraz interfejsów z innymi rodzajami transportu (Dz.U. L 207 z 6.8.2010, s. 1).

(13)  Rozporządzenie (WE) nr 1370/2007 Parlamentu Europejskiego i Rady z dnia 23 października 2007 r. dotyczące usług publicznych w zakresie kolejowego i drogowego transportu pasażerskiego oraz uchylające rozporządzenia Rady (EWG) nr 1191/69 i (EWG) nr 1107/70 (Dz.U. L 315 z 3.12.2007, s. 1).

(14)  Dyrektywa Parlamentu Europejskiego i Rady 2011/24/UE z dnia 9 marca 2011 r. w sprawie stosowania praw pacjentów w transgranicznej opiece zdrowotnej (Dz.U. L 88 z 4.4.2011, s. 45).

(15)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2371 z dnia 23 listopada 2022 r. w sprawie poważnych transgranicznych zagrożeń zdrowia oraz uchylenia decyzji nr 1082/2013/UE (Dz.U. L 314 z 6.12.2022, s. 26).

(16)  Dyrektywa 2001/83/WE Parlamentu Europejskiego i Rady z dnia 6 listopada 2001 r. w sprawie wspólnotowego kodeksu odnoszącego się do produktów leczniczych stosowanych u ludzi (Dz.U. L 311 z 28.11.2001, s. 67).

(17)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/123 z dnia 25 stycznia 2022 r. w sprawie wzmocnienia roli Europejskiej Agencji Leków w zakresie gotowości na wypadek sytuacji kryzysowej i zarządzania kryzysowego w odniesieniu do produktów leczniczych i wyrobów medycznych (Dz.U. L 20 z 31.1.2022, s. 1).

(18)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2020/2184 z dnia 16 grudnia 2020 r. w sprawie jakości wody przeznaczonej do spożycia przez ludzi (Dz.U. L 435 z 23.12.2020, s. 1).

(19)  Dyrektywa Rady 91/271/EWG z dnia 21 maja 1991 r. dotycząca oczyszczania ścieków komunalnych (Dz.U. L 135 z 30.5.1991, s. 40).

(20)  Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylające dyrektywę 1999/93/WE (Dz.U. L 257 z 28.8.2014, s. 73).

(21)  Dyrektywa Parlamentu Europejskiego i Rady (UE) 2018/1972 z dnia 11 grudnia 2018 r. ustanawiająca Europejski kodeks łączności elektronicznej (Dz.U. L 321 z 17.12.2018, s. 36).

(22)  Rozporządzenie (WE) nr 178/2002 Parlamentu Europejskiego i Rady z dnia 28 stycznia 2002 r. ustanawiające ogólne zasady i wymagania prawa żywnościowego, powołujące Europejski Urząd ds. Bezpieczeństwa Żywności oraz ustanawiające procedury w zakresie bezpieczeństwa żywności (Dz.U. L 31 z 1.2.2002, s. 1).

---