# Úřední věstník L 333/2022

| | ISSN 1977-0626 |
| --- | --- |
| Úřední věstník
  Evropské unie | L 333 |
| | |
| České vydání | Právní předpisy | Ročník 6527. prosince 2022 |

ISSN 1977-0626

Úřední věstník

Evropské unie

L 333

České vydání

Právní předpisy

Ročník 6527. prosince 2022

---

| Obsah | | I   Legislativní akty | Strana |
| --- | --- | --- | --- |
| | | NAŘÍZENÍ |
| | * | Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (
  1
  ) | 1 |
| | | SMĚRNICE |
| | * | Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2) (
  1
  ) | 80 |
| | * | Směrnice Evropského parlamentu a Rady (EU) 2022/2556 ze dne 14. prosince 2022, kterou se mění směrnice 2009/65/ES, 2009/138/ES, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 a (EU) 2016/2341, pokud jde o digitální provozní odolnost finančního sektoru (
  1
  ) | 153 |
| | * | Směrnice Evropského parlamentu a Rady (EU) 2022/2557 ze dne 14. prosince 2022 o odolnosti kritických subjektů a o zrušení směrnice Rady 2008/114/ES (
  1
  ) | 164 |

Obsah

I   Legislativní akty

Strana

NAŘÍZENÍ

*

Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (
  1
  )

1

1

SMĚRNICE

*

Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2) (
  1
  )

1

80

*

Směrnice Evropského parlamentu a Rady (EU) 2022/2556 ze dne 14. prosince 2022, kterou se mění směrnice 2009/65/ES, 2009/138/ES, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 a (EU) 2016/2341, pokud jde o digitální provozní odolnost finančního sektoru (
  1
  )

1

153

*

Směrnice Evropského parlamentu a Rady (EU) 2022/2557 ze dne 14. prosince 2022 o odolnosti kritických subjektů a o zrušení směrnice Rady 2008/114/ES (
  1
  )

1

164

| | |
| --- | --- |
| | (1)   Text s významem pro EHP. |

---

(1)   Text s významem pro EHP.

1

| CS | Akty, jejichž název není vytištěn tučně, se vztahují ke každodennímu řízení záležitostí v zemědělství a obecně platí po omezenou dobu.
  Názvy všech ostatních aktů jsou vytištěny tučně a předchází jim hvězdička. |
| --- | --- |

CS

Akty, jejichž název není vytištěn tučně, se vztahují ke každodennímu řízení záležitostí v zemědělství a obecně platí po omezenou dobu.

Názvy všech ostatních aktů jsou vytištěny tučně a předchází jim hvězdička.

---

I Legislativní akty

NAŘÍZENÍ

| 27.12.2022 | CS | Úřední věstník Evropské unie | L 333/1 |
| --- | --- | --- | --- |

27.12.2022

CS

Úřední věstník Evropské unie

L 333/1

---

NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2022/2554

ze dne 14. prosince 2022

o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011

(Text s významem pro EHP)

EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,

s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy,

s ohledem na návrh Evropské komise,

po postoupení návrhu legislativního aktu vnitrostátním parlamentům,

s ohledem na stanovisko Evropské centrální banky (1),

s ohledem na stanovisko Evropského hospodářského a sociálního výboru (2),

v souladu s řádným legislativním postupem (3),

vzhledem k těmto důvodům:

| (1) | V digitálním věku podporují informační a komunikační technologie (IKT) složité systémy používané pro každodenní činnosti. Udržují v chodu klíčová odvětví našich ekonomik, včetně finančního sektoru, a zlepšují fungování vnitřního trhu. Vyšší míra digitalizace a vzájemné propojenosti rovněž násobí riziko v oblasti IKT, kvůli němuž se celá společnost, a zejména finanční systém, stávají zranitelnějšími vůči kybernetickým hrozbám nebo narušením v oblasti IKT. I když všudypřítomné používání systémů IKT a vysoká míra digitalizace a propojení dnes tvoří základní charakteristiku činnosti finančních subjektů Unie, jejich digitální odolnost je nutné ještě lépe řešit a začlenit do jejich širších provozních rámců. |
| --- | --- |

(1)

V digitálním věku podporují informační a komunikační technologie (IKT) složité systémy používané pro každodenní činnosti. Udržují v chodu klíčová odvětví našich ekonomik, včetně finančního sektoru, a zlepšují fungování vnitřního trhu. Vyšší míra digitalizace a vzájemné propojenosti rovněž násobí riziko v oblasti IKT, kvůli němuž se celá společnost, a zejména finanční systém, stávají zranitelnějšími vůči kybernetickým hrozbám nebo narušením v oblasti IKT. I když všudypřítomné používání systémů IKT a vysoká míra digitalizace a propojení dnes tvoří základní charakteristiku činnosti finančních subjektů Unie, jejich digitální odolnost je nutné ještě lépe řešit a začlenit do jejich širších provozních rámců.

| (2) | Používání IKT získalo v posledních desetiletích při poskytování finančních služeb klíčovou úlohu, a to do té míry, že dnes má zásadní význam při provádění obvyklých běžných funkcí všech finančních subjektů. Digitalizace se nyní týká například plateb, které se stále více přesouvají od hotovostních a papírových metod k používání digitálních řešení, a rovněž clearingu a vypořádání cenných papírů, elektronického a algoritmického obchodování, operací půjčování a financování, sdíleného financování, úvěrového hodnocení, správy pohledávek a činnosti provozních útvarů. Vzhledem k používání IKT se proměnilo rovněž pojišťovnictví, od vzniku zprostředkovatelů pojištění nabízejících své služby online s využitím technologií v pojišťovnictví až po digitální uzavírání pojištění. Finanční sektor nejenže se digitalizoval jako celek, ale v důsledku digitalizace se rovněž prohloubila jeho vzájemná propojení a závislosti a rovněž propojení a závislosti mezi ním a poskytovateli infrastruktury a služeb z řad třetích stran. |
| --- | --- |

(2)

Používání IKT získalo v posledních desetiletích při poskytování finančních služeb klíčovou úlohu, a to do té míry, že dnes má zásadní význam při provádění obvyklých běžných funkcí všech finančních subjektů. Digitalizace se nyní týká například plateb, které se stále více přesouvají od hotovostních a papírových metod k používání digitálních řešení, a rovněž clearingu a vypořádání cenných papírů, elektronického a algoritmického obchodování, operací půjčování a financování, sdíleného financování, úvěrového hodnocení, správy pohledávek a činnosti provozních útvarů. Vzhledem k používání IKT se proměnilo rovněž pojišťovnictví, od vzniku zprostředkovatelů pojištění nabízejících své služby online s využitím technologií v pojišťovnictví až po digitální uzavírání pojištění. Finanční sektor nejenže se digitalizoval jako celek, ale v důsledku digitalizace se rovněž prohloubila jeho vzájemná propojení a závislosti a rovněž propojení a závislosti mezi ním a poskytovateli infrastruktury a služeb z řad třetích stran.

| (3) | Evropská rada pro systémová rizika (ESRB) ve své zprávě z roku 2020 zabývající se systémovými kybernetickými riziky potvrdila, jak stávající vysoká míra vzájemného propojení finančních subjektů, finančních trhů a infrastruktur finančních trhů, a zejména vzájemná závislost jejich systémů IKT, by mohla potenciálně představovat systémovou zranitelnost, protože se kybernetické incidenty vzniklé v jednom místě mohou bez omezení geografickými hranicemi rychle rozšířit z kteréhokoliv z přibližně 22 000 finančních subjektů Unie na celý finanční systém. Závažná narušení IKT, k nimž dochází ve finančním sektoru, nedopadají pouze na izolované finanční subjekty. Rovněž usnadňují šíření lokalizovaných zranitelností napříč finančními přenosovými kanály a potenciálně vytvářejí negativní důsledky pro stabilitu finančního systému Unie, neboť vedou například k hromadným výběrům hotovosti a celkové ztrátě jistoty a důvěry na finančních trzích. |
| --- | --- |

(3)

Evropská rada pro systémová rizika (ESRB) ve své zprávě z roku 2020 zabývající se systémovými kybernetickými riziky potvrdila, jak stávající vysoká míra vzájemného propojení finančních subjektů, finančních trhů a infrastruktur finančních trhů, a zejména vzájemná závislost jejich systémů IKT, by mohla potenciálně představovat systémovou zranitelnost, protože se kybernetické incidenty vzniklé v jednom místě mohou bez omezení geografickými hranicemi rychle rozšířit z kteréhokoliv z přibližně 22 000 finančních subjektů Unie na celý finanční systém. Závažná narušení IKT, k nimž dochází ve finančním sektoru, nedopadají pouze na izolované finanční subjekty. Rovněž usnadňují šíření lokalizovaných zranitelností napříč finančními přenosovými kanály a potenciálně vytvářejí negativní důsledky pro stabilitu finančního systému Unie, neboť vedou například k hromadným výběrům hotovosti a celkové ztrátě jistoty a důvěry na finančních trzích.

| (4) | Riziko v oblasti IKT v poslední době přitahuje pozornost mezinárodních, unijních a vnitrostátních tvůrců politik, regulátorů a standardizačních orgánů, které se snaží o zlepšení digitální odolnosti, stanovení norem a koordinaci regulatorních a dohledových činností. Na mezinárodní úrovni se Basilejský výbor pro bankovní dohled, Výbor pro platební styk a tržní infrastrukturu, Rada pro finanční stabilitu, Institut pro finanční stabilitu a rovněž skupiny G7 a G20 zaměřují na to, aby příslušným orgánům a účastníkům trhu v různých jurisdikcích poskytly nástroje pro posílení odolnosti jejich finančních systémů. Tato práce je rovněž motivována potřebou řádně zohlednit riziko v oblasti IKT v kontextu vysoce propojeného globálního finančního systému a usilovat o větší konzistentnost příslušných osvědčených postupů. |
| --- | --- |

(4)

Riziko v oblasti IKT v poslední době přitahuje pozornost mezinárodních, unijních a vnitrostátních tvůrců politik, regulátorů a standardizačních orgánů, které se snaží o zlepšení digitální odolnosti, stanovení norem a koordinaci regulatorních a dohledových činností. Na mezinárodní úrovni se Basilejský výbor pro bankovní dohled, Výbor pro platební styk a tržní infrastrukturu, Rada pro finanční stabilitu, Institut pro finanční stabilitu a rovněž skupiny G7 a G20 zaměřují na to, aby příslušným orgánům a účastníkům trhu v různých jurisdikcích poskytly nástroje pro posílení odolnosti jejich finančních systémů. Tato práce je rovněž motivována potřebou řádně zohlednit riziko v oblasti IKT v kontextu vysoce propojeného globálního finančního systému a usilovat o větší konzistentnost příslušných osvědčených postupů.

| (5) | Přes cílené politické a legislativní iniciativy na unijní i vnitrostátní úrovni představuje riziko v oblasti IKT problém pro provozní odolnost, výkonnost a stabilitu finančního systému Unie. Reformy, které následovaly po finanční krizi z roku 2008, primárně posílily finanční odolnost finančního sektoru Unie a zaměřovaly se na zajištění konkurenceschopnosti a stability Unie z hlediska ekonomiky, obezřetnosti a chování trhu. Přestože jsou bezpečnost IKT a digitální odolnost součástí operačního rizika, regulatorní agenda se jim po finanční krizi věnovala méně, přičemž byly rozvíjeny pouze v některých oblastech strategického a regulatorního rámce finančních služeb Unie nebo jen v několika málo členských státech. |
| --- | --- |

(5)

Přes cílené politické a legislativní iniciativy na unijní i vnitrostátní úrovni představuje riziko v oblasti IKT problém pro provozní odolnost, výkonnost a stabilitu finančního systému Unie. Reformy, které následovaly po finanční krizi z roku 2008, primárně posílily finanční odolnost finančního sektoru Unie a zaměřovaly se na zajištění konkurenceschopnosti a stability Unie z hlediska ekonomiky, obezřetnosti a chování trhu. Přestože jsou bezpečnost IKT a digitální odolnost součástí operačního rizika, regulatorní agenda se jim po finanční krizi věnovala méně, přičemž byly rozvíjeny pouze v některých oblastech strategického a regulatorního rámce finančních služeb Unie nebo jen v několika málo členských státech.

| (6) | Ve svém sdělení ze dne 8. března 2018 nazvaném „Akční plán pro finanční technologie: Za konkurenceschopnější a inovativnější evropský finanční sektor“ Komise zdůraznila, že je nanejvýš důležité zlepšit odolnost finančního sektoru Unie, mimo jiné z provozního hlediska, aby byla zajištěna jeho technologická bezpečnost a správné fungování, jeho rychlé zotavení z narušení a incidentů souvisejících s IKT a aby v konečném důsledku mohly být finanční služby efektivně a bezproblémově poskytovány v celé Unii, a to i v krizových situacích, a aby byla současně zachována důvěra spotřebitelů a trhu. |
| --- | --- |

(6)

Ve svém sdělení ze dne 8. března 2018 nazvaném „Akční plán pro finanční technologie: Za konkurenceschopnější a inovativnější evropský finanční sektor“ Komise zdůraznila, že je nanejvýš důležité zlepšit odolnost finančního sektoru Unie, mimo jiné z provozního hlediska, aby byla zajištěna jeho technologická bezpečnost a správné fungování, jeho rychlé zotavení z narušení a incidentů souvisejících s IKT a aby v konečném důsledku mohly být finanční služby efektivně a bezproblémově poskytovány v celé Unii, a to i v krizových situacích, a aby byla současně zachována důvěra spotřebitelů a trhu.

| (7) | V dubnu 2019 Evropský orgán dohledu (Evropský orgán pro bankovnictví) (EBA) zřízený nařízením Evropského parlamentu a Rady (EU) č. 1093/2010 (4), Evropský orgán dohledu (Evropský orgán pro pojišťovnictví a zaměstnanecké penzijní pojištění) (EIOPA) zřízený nařízením Evropského parlamentu a Rady (EU) č. 1094/2010 (5) a Evropský orgán dohledu (Evropský orgán pro cenné papíry a trhy) (ESMA) zřízený nařízením Evropského parlamentu a Rady (EU) č. 1095/2010 (6) (společně označovány jako „evropské orgány dohledu“) společně vydaly technické doporučení, ve kterém vyzvaly k jednotnému přístupu k riziku v oblasti IKT ve finančním sektoru a doporučily odpovídajícím způsobem posílit digitální provozní odolnost odvětví finančních služeb prostřednictvím iniciativy Unie zaměřené na toto odvětví. |
| --- | --- |

(7)

V dubnu 2019 Evropský orgán dohledu (Evropský orgán pro bankovnictví) (EBA) zřízený nařízením Evropského parlamentu a Rady (EU) č. 1093/2010 (4), Evropský orgán dohledu (Evropský orgán pro pojišťovnictví a zaměstnanecké penzijní pojištění) (EIOPA) zřízený nařízením Evropského parlamentu a Rady (EU) č. 1094/2010 (5) a Evropský orgán dohledu (Evropský orgán pro cenné papíry a trhy) (ESMA) zřízený nařízením Evropského parlamentu a Rady (EU) č. 1095/2010 (6) (společně označovány jako „evropské orgány dohledu“) společně vydaly technické doporučení, ve kterém vyzvaly k jednotnému přístupu k riziku v oblasti IKT ve finančním sektoru a doporučily odpovídajícím způsobem posílit digitální provozní odolnost odvětví finančních služeb prostřednictvím iniciativy Unie zaměřené na toto odvětví.

| (8) | Finanční sektor Unie je upraven jednotným souborem pravidel a řídí jej Evropský systém dohledu nad finančním trhem. Nicméně ustanovení zabývající se digitální provozní odolností a bezpečností IKT nejsou dosud plně nebo konzistentně harmonizována, přestože je digitální provozní odolnost klíčová pro zajištění finanční stability a integrity trhu v digitálním věku a není o nic méně důležitá než například společné normy pro obezřetnost nebo chování na trhu. Proto je třeba vypracovat jednotný soubor pravidel a systém dohledu, aby byla rovněž zahrnuta digitální provozní odolnost, a to posílením mandátů příslušných orgánů s cílem umožnit jim vykonávat dohled nad řízením rizika v oblasti IKT ve finančním sektoru, aby byla chráněna integrita a efektivnost vnitřního trhu a bylo usnadněno jeho řádné fungování. |
| --- | --- |

(8)

Finanční sektor Unie je upraven jednotným souborem pravidel a řídí jej Evropský systém dohledu nad finančním trhem. Nicméně ustanovení zabývající se digitální provozní odolností a bezpečností IKT nejsou dosud plně nebo konzistentně harmonizována, přestože je digitální provozní odolnost klíčová pro zajištění finanční stability a integrity trhu v digitálním věku a není o nic méně důležitá než například společné normy pro obezřetnost nebo chování na trhu. Proto je třeba vypracovat jednotný soubor pravidel a systém dohledu, aby byla rovněž zahrnuta digitální provozní odolnost, a to posílením mandátů příslušných orgánů s cílem umožnit jim vykonávat dohled nad řízením rizika v oblasti IKT ve finančním sektoru, aby byla chráněna integrita a efektivnost vnitřního trhu a bylo usnadněno jeho řádné fungování.

| (9) | Legislativní nesrovnalosti a nevyrovnané vnitrostátní regulatorní nebo dohledové přístupy, pokud jde o riziko v oblasti IKT, jsou příčinou překážek fungování vnitřního trhu s finančními službami a brání bezproblémovému výkonu svobody usazování a poskytování služeb finančním subjektům s přeshraniční působností. Rovněž by mohlo docházet k narušení hospodářské soutěže mezi finančními subjekty stejného typu působícími v různých členských státech. Je tomu tak zejména v oblastech, kde byla harmonizace Unie velmi omezená, jako u testování digitální provozní odolnosti, nebo v oblastech, kde chybí, například při sledování rizika v oblasti IKT spojeného s třetími stranami. Rozdíly vyplývající z předpokládaného vývoje na vnitrostátní úrovni by mohly vytvářet další překážky fungování vnitřního trhu na úkor účastníků trhu a finanční stability. |
| --- | --- |

(9)

Legislativní nesrovnalosti a nevyrovnané vnitrostátní regulatorní nebo dohledové přístupy, pokud jde o riziko v oblasti IKT, jsou příčinou překážek fungování vnitřního trhu s finančními službami a brání bezproblémovému výkonu svobody usazování a poskytování služeb finančním subjektům s přeshraniční působností. Rovněž by mohlo docházet k narušení hospodářské soutěže mezi finančními subjekty stejného typu působícími v různých členských státech. Je tomu tak zejména v oblastech, kde byla harmonizace Unie velmi omezená, jako u testování digitální provozní odolnosti, nebo v oblastech, kde chybí, například při sledování rizika v oblasti IKT spojeného s třetími stranami. Rozdíly vyplývající z předpokládaného vývoje na vnitrostátní úrovni by mohly vytvářet další překážky fungování vnitřního trhu na úkor účastníků trhu a finanční stability.

| (10) | V důsledku toho, že ustanovení týkající se rizika v oblasti IKT byla na unijní úrovni řešena pouze částečně, v současnosti existují mezery či přesahy ve významných oblastech, jako jsou hlášení incidentů souvisejících s IKT a testování digitální provozní odolnosti, a nesrovnalosti vyplývající z nových rozdílných vnitrostátních pravidel nebo nákladově neefektivního používání překrývajících se pravidel. Poškozuje to zejména intenzivního uživatele IKT, jakým je finanční sektor, protože technologická rizika neznají hranice a finanční sektor poskytuje své služby ve velké míře přeshraničně jak v rámci Unie, tak mimo ni. Jednotlivé finanční subjekty fungující na přeshraničním základě nebo vlastnící několik oprávnění (například jeden finanční subjekt může mít bankovní licenci a oprávnění pro investiční podnik a platební instituci, přičemž je mohly vydat různé příslušné orgány v jednom či několika členských státech) čelí provozním problémům při řešení rizika v oblasti IKT a zmírňování negativních dopadů incidentů souvisejících s IKT vlastními silami a jednotným nákladově efektivním způsobem. |
| --- | --- |

(10)

V důsledku toho, že ustanovení týkající se rizika v oblasti IKT byla na unijní úrovni řešena pouze částečně, v současnosti existují mezery či přesahy ve významných oblastech, jako jsou hlášení incidentů souvisejících s IKT a testování digitální provozní odolnosti, a nesrovnalosti vyplývající z nových rozdílných vnitrostátních pravidel nebo nákladově neefektivního používání překrývajících se pravidel. Poškozuje to zejména intenzivního uživatele IKT, jakým je finanční sektor, protože technologická rizika neznají hranice a finanční sektor poskytuje své služby ve velké míře přeshraničně jak v rámci Unie, tak mimo ni. Jednotlivé finanční subjekty fungující na přeshraničním základě nebo vlastnící několik oprávnění (například jeden finanční subjekt může mít bankovní licenci a oprávnění pro investiční podnik a platební instituci, přičemž je mohly vydat různé příslušné orgány v jednom či několika členských státech) čelí provozním problémům při řešení rizika v oblasti IKT a zmírňování negativních dopadů incidentů souvisejících s IKT vlastními silami a jednotným nákladově efektivním způsobem.

| (11) | Protože jednotný soubor pravidel není doprovázen uceleným rámcem pro riziko v oblasti IKT nebo operační riziko, je nutná harmonizace klíčových požadavků na provozní digitální odolnost pro všechny finanční subjekty. Rozvoj schopností v oblasti IKT a celková odolnost finančních subjektů založená na těchto klíčových požadavcích by pomohly zachovat stabilitu a integritu finančních trhů Unie a tím přispět k zajištění vysoké úrovně ochrany investorů a spotřebitelů v Unii. Jelikož cílem tohoto nařízení je přispět k bezproblémovému fungování vnitřního trhu, mělo by vycházet z ustanovení článku 114 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“), jak je vykládáno v souladu s konzistentní judikaturou Soudního dvora Evropské unie (dále jen „Soudní dvůr“). |
| --- | --- |

(11)

Protože jednotný soubor pravidel není doprovázen uceleným rámcem pro riziko v oblasti IKT nebo operační riziko, je nutná harmonizace klíčových požadavků na provozní digitální odolnost pro všechny finanční subjekty. Rozvoj schopností v oblasti IKT a celková odolnost finančních subjektů založená na těchto klíčových požadavcích by pomohly zachovat stabilitu a integritu finančních trhů Unie a tím přispět k zajištění vysoké úrovně ochrany investorů a spotřebitelů v Unii. Jelikož cílem tohoto nařízení je přispět k bezproblémovému fungování vnitřního trhu, mělo by vycházet z ustanovení článku 114 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“), jak je vykládáno v souladu s konzistentní judikaturou Soudního dvora Evropské unie (dále jen „Soudní dvůr“).

| (12) | Cílem tohoto nařízení je konsolidovat a aktualizovat požadavky na riziko v oblasti IKT jako součást požadavků na operační riziko, které byly až dosud řešeny v různých právních aktech Unie samostatně. Tyto akty se sice zabývají hlavními kategoriemi finančního rizika (například úvěrovým rizikem, tržním rizikem, úvěrovým rizikem protistrany a rizikem likvidity, rizikem chování trhu), ale v době svého přijetí komplexně nepostihly všechny složky provozní odolnosti. Pravidla týkající se operačního rizika, jsou-li dále rozpracována prostřednictvím těchto právních aktů Unie, často upřednostňují při řešení tohoto rizika tradiční kvantitativní přístup (konkrétně stanovení kapitálových požadavků na krytí rizika v oblasti IKT) namísto kvalitativních pravidel zaměřených na schopnosti ochrany, detekce, omezení šíření, obnovy a nápravy v souvislosti s incidenty souvisejícími s IKT nebo na schopnosti hlášení a digitálního testování. Tyto akty byly primárně určeny k pokrytí a aktualizaci základních pravidel obezřetnostního dohledu, integrity trhu nebo chování na něm. Vzhledem ke konsolidaci a aktualizaci různých pravidel týkajících se rizika v oblasti IKT by všechna ustanovení zabývající se digitálním rizikem ve finančním sektoru měla být poprvé a konzistentně shrnuta v jediném legislativním aktu. Toto nařízení tudíž zaplňuje mezery či napravuje nesrovnalosti v některých z těchto předchozích právních aktů, včetně v nich použité terminologie, a výslovně odkazuje na riziko v oblasti IKT prostřednictvím pravidel zaměřených na schopnosti řízení rizika v oblasti IKT, hlášení incidentů, testování provozní odolnosti a sledování rizika v oblasti IKT spojeného s třetími stranami. Tímto nařízením by se tudíž rovněž mělo zvýšit povědomí o riziku v oblasti IKT a mělo by se v něm uznat, že incidenty související s IKT a nedostatečná provozní odolnost mohou ohrozit finanční stabilitu finančních subjektů. |
| --- | --- |

(12)

Cílem tohoto nařízení je konsolidovat a aktualizovat požadavky na riziko v oblasti IKT jako součást požadavků na operační riziko, které byly až dosud řešeny v různých právních aktech Unie samostatně. Tyto akty se sice zabývají hlavními kategoriemi finančního rizika (například úvěrovým rizikem, tržním rizikem, úvěrovým rizikem protistrany a rizikem likvidity, rizikem chování trhu), ale v době svého přijetí komplexně nepostihly všechny složky provozní odolnosti. Pravidla týkající se operačního rizika, jsou-li dále rozpracována prostřednictvím těchto právních aktů Unie, často upřednostňují při řešení tohoto rizika tradiční kvantitativní přístup (konkrétně stanovení kapitálových požadavků na krytí rizika v oblasti IKT) namísto kvalitativních pravidel zaměřených na schopnosti ochrany, detekce, omezení šíření, obnovy a nápravy v souvislosti s incidenty souvisejícími s IKT nebo na schopnosti hlášení a digitálního testování. Tyto akty byly primárně určeny k pokrytí a aktualizaci základních pravidel obezřetnostního dohledu, integrity trhu nebo chování na něm. Vzhledem ke konsolidaci a aktualizaci různých pravidel týkajících se rizika v oblasti IKT by všechna ustanovení zabývající se digitálním rizikem ve finančním sektoru měla být poprvé a konzistentně shrnuta v jediném legislativním aktu. Toto nařízení tudíž zaplňuje mezery či napravuje nesrovnalosti v některých z těchto předchozích právních aktů, včetně v nich použité terminologie, a výslovně odkazuje na riziko v oblasti IKT prostřednictvím pravidel zaměřených na schopnosti řízení rizika v oblasti IKT, hlášení incidentů, testování provozní odolnosti a sledování rizika v oblasti IKT spojeného s třetími stranami. Tímto nařízením by se tudíž rovněž mělo zvýšit povědomí o riziku v oblasti IKT a mělo by se v něm uznat, že incidenty související s IKT a nedostatečná provozní odolnost mohou ohrozit finanční stabilitu finančních subjektů.

| (13) | Finanční subjekty by měly při řešení rizika v oblasti IKT uplatňovat stejný přístup a stejná pravidla založená na zásadách s přihlédnutím ke své velikosti a celkovému rizikovému profilu a k povaze, rozsahu a složitosti svých služeb, činností a operací. Konzistentnost přispívá ke zvýšení důvěry ve finanční systém a zachování jeho stability, zejména v době velké závislosti na systémech, platformách a infrastrukturách IKT, které jsou spojeny se zvýšenými digitálními riziky. Dodržování základní kybernetické hygieny by rovněž mělo zabránit vysokým nákladům v ekonomice, protože minimalizuje dopad a náklady způsobené narušením v oblasti IKT. |
| --- | --- |

(13)

Finanční subjekty by měly při řešení rizika v oblasti IKT uplatňovat stejný přístup a stejná pravidla založená na zásadách s přihlédnutím ke své velikosti a celkovému rizikovému profilu a k povaze, rozsahu a složitosti svých služeb, činností a operací. Konzistentnost přispívá ke zvýšení důvěry ve finanční systém a zachování jeho stability, zejména v době velké závislosti na systémech, platformách a infrastrukturách IKT, které jsou spojeny se zvýšenými digitálními riziky. Dodržování základní kybernetické hygieny by rovněž mělo zabránit vysokým nákladům v ekonomice, protože minimalizuje dopad a náklady způsobené narušením v oblasti IKT.

| (14) | Nařízení pomáhá snižovat složitost právních předpisů, posiluje konvergenci dohledu a zvyšuje právní jistotu, přičemž současně rovněž přispívá ke snížení nákladů na dodržování předpisů, zejména u finančních subjektů působících přeshraničně, a omezuje narušení hospodářské soutěže. Výběr nařízení pro vytvoření společného rámce digitální provozní odolnosti finančních subjektů je proto nejvhodnější způsob, jak zaručit homogenní a jednotné využívání všech složek řízení rizika v oblasti IKT ve finančním sektoru Unie. |
| --- | --- |

(14)

Nařízení pomáhá snižovat složitost právních předpisů, posiluje konvergenci dohledu a zvyšuje právní jistotu, přičemž současně rovněž přispívá ke snížení nákladů na dodržování předpisů, zejména u finančních subjektů působících přeshraničně, a omezuje narušení hospodářské soutěže. Výběr nařízení pro vytvoření společného rámce digitální provozní odolnosti finančních subjektů je proto nejvhodnější způsob, jak zaručit homogenní a jednotné využívání všech složek řízení rizika v oblasti IKT ve finančním sektoru Unie.

| (15) | Směrnice Evropského parlamentu a Rady (EU) 2016/1148 (7) byla prvním horizontálním rámcem pro kybernetickou bezpečnost přijatým na unijní úrovni, přičemž se vztahuje rovněž na tři druhy finančních subjektů, konkrétně na úvěrové instituce, obchodní systémy a ústřední protistrany. Protože však směrnice (EU) 2016/1148 stanovila na vnitrostátní úrovni mechanismus identifikace provozovatelů základních služeb, v praxi byly do oblasti její působnosti zahrnuty pouze některé úvěrové instituce, obchodní systémy a ústřední protistrany identifikované členskými státy, které tudíž musí splňovat požadavky na bezpečnost IKT a hlášení incidentů stanovené v uvedené směrnici. Směrnice Evropského parlamentu a Rady (EU) 2022/2555 (8) stanoví jednotné kritérium pro určení subjektů, které spadají do oblasti její působnosti (pravidlo velikosti), přičemž do její oblasti působnosti patří rovněž tři druhy finančních subjektů. |
| --- | --- |

(15)

Směrnice Evropského parlamentu a Rady (EU) 2016/1148 (7) byla prvním horizontálním rámcem pro kybernetickou bezpečnost přijatým na unijní úrovni, přičemž se vztahuje rovněž na tři druhy finančních subjektů, konkrétně na úvěrové instituce, obchodní systémy a ústřední protistrany. Protože však směrnice (EU) 2016/1148 stanovila na vnitrostátní úrovni mechanismus identifikace provozovatelů základních služeb, v praxi byly do oblasti její působnosti zahrnuty pouze některé úvěrové instituce, obchodní systémy a ústřední protistrany identifikované členskými státy, které tudíž musí splňovat požadavky na bezpečnost IKT a hlášení incidentů stanovené v uvedené směrnici. Směrnice Evropského parlamentu a Rady (EU) 2022/2555 (8) stanoví jednotné kritérium pro určení subjektů, které spadají do oblasti její působnosti (pravidlo velikosti), přičemž do její oblasti působnosti patří rovněž tři druhy finančních subjektů.

| (16) | Protože však toto nařízení zvyšuje zavedením požadavků na řízení rizika v oblasti IKT a hlášení incidentů souvisejících s IKT, které jsou přísnější než požadavky stanovené v současném právu Unie v oblasti finančních služeb, úroveň harmonizace různých složek digitální odolnosti, tato vyšší úroveň představuje lepší harmonizaci i ve srovnání s požadavky uvedenými ve směrnici (EU) 2022/2555. Proto toto nařízení představuje lex specialis, pokud jde o směrnici (EU) 2022/2555. Současně je zásadní zachovat pevný vztah mezi finančním sektorem a horizontálním rámcem Unie pro kybernetickou bezpečnost, jak je v současnosti stanoven ve směrnici (EU) 2022/2555, aby byla zajištěna konzistentnost se strategiemi kybernetické bezpečnosti přijatými členskými státy a byla umožněna informovanost orgánů finančního dohledu o kybernetických incidentech dopadajících na jiná odvětví, na něž se uvedená směrnice vztahuje. |
| --- | --- |

(16)

Protože však toto nařízení zvyšuje zavedením požadavků na řízení rizika v oblasti IKT a hlášení incidentů souvisejících s IKT, které jsou přísnější než požadavky stanovené v současném právu Unie v oblasti finančních služeb, úroveň harmonizace různých složek digitální odolnosti, tato vyšší úroveň představuje lepší harmonizaci i ve srovnání s požadavky uvedenými ve směrnici (EU) 2022/2555. Proto toto nařízení představuje lex specialis, pokud jde o směrnici (EU) 2022/2555. Současně je zásadní zachovat pevný vztah mezi finančním sektorem a horizontálním rámcem Unie pro kybernetickou bezpečnost, jak je v současnosti stanoven ve směrnici (EU) 2022/2555, aby byla zajištěna konzistentnost se strategiemi kybernetické bezpečnosti přijatými členskými státy a byla umožněna informovanost orgánů finančního dohledu o kybernetických incidentech dopadajících na jiná odvětví, na něž se uvedená směrnice vztahuje.

| (17) | V souladu s čl. 4 odst. 2 Smlouvy o Evropské unii, a aniž je dotčen soudní přezkum Soudním dvorem, by tímto nařízením neměla být dotčena odpovědnost členských států ve vztahu k základním funkcím státu, které se týkají veřejné bezpečnosti, obrany a ochrany národní bezpečnosti, například pokud jde o poskytování informací, které by byly v rozporu s ochranou národní bezpečnosti. |
| --- | --- |

(17)

V souladu s čl. 4 odst. 2 Smlouvy o Evropské unii, a aniž je dotčen soudní přezkum Soudním dvorem, by tímto nařízením neměla být dotčena odpovědnost členských států ve vztahu k základním funkcím státu, které se týkají veřejné bezpečnosti, obrany a ochrany národní bezpečnosti, například pokud jde o poskytování informací, které by byly v rozporu s ochranou národní bezpečnosti.

| (18) | S cílem umožnit meziodvětvové učení a účinně čerpat ze zkušeností jiných odvětví při řešení kybernetických hrozeb by finanční subjekty uvedené ve směrnici (EU) 2022/2555 měly zůstat součástí „ekosystému“ uvedené směrnice (například skupina pro spolupráci a týmy pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“). Evropské orgány dohledu a vnitrostátní příslušné orgány by rovněž měly být schopny účastnit se politických diskusí o strategii a technických činností skupiny pro spolupráci v rámci uvedené směrnice a vyměňovat si informace a dále spolupracovat s jednotnými kontaktními místy určenými nebo zřízenými v souladu s uvedenou směrnicí. Příslušné orgány podle tohoto nařízení by měly rovněž konzultovat týmy CSIRT a spolupracovat s nimi. Příslušné orgány by rovněž měly mít možnost požádat o technické poradenství příslušné orgány určené nebo zřízené v souladu se směrnicí (EU) 2022/2555 a uzavírat ujednání o spolupráci, jejichž cílem je zabezpečit účinné a rychle reagující koordinační mechanismy. |
| --- | --- |

(18)

S cílem umožnit meziodvětvové učení a účinně čerpat ze zkušeností jiných odvětví při řešení kybernetických hrozeb by finanční subjekty uvedené ve směrnici (EU) 2022/2555 měly zůstat součástí „ekosystému“ uvedené směrnice (například skupina pro spolupráci a týmy pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“). Evropské orgány dohledu a vnitrostátní příslušné orgány by rovněž měly být schopny účastnit se politických diskusí o strategii a technických činností skupiny pro spolupráci v rámci uvedené směrnice a vyměňovat si informace a dále spolupracovat s jednotnými kontaktními místy určenými nebo zřízenými v souladu s uvedenou směrnicí. Příslušné orgány podle tohoto nařízení by měly rovněž konzultovat týmy CSIRT a spolupracovat s nimi. Příslušné orgány by rovněž měly mít možnost požádat o technické poradenství příslušné orgány určené nebo zřízené v souladu se směrnicí (EU) 2022/2555 a uzavírat ujednání o spolupráci, jejichž cílem je zabezpečit účinné a rychle reagující koordinační mechanismy.

| (19) | Vzhledem k silným vzájemným vazbám mezi digitální odolností a fyzickou odolností finančních subjektů je v tomto nařízení a směrnici Evropského parlamentu a Rady (EU) 2022/2557 (9) nezbytný soudržný přístup, pokud jde o odolnost kritických subjektů. Vzhledem k tomu, že fyzická odolnost finančních subjektů je uceleným způsobem řešena v rámci povinností týkajících se řízení rizika v oblasti IKT a hlášení, na něž se vztahuje toto nařízení, neměly by se povinnosti stanovené v kapitolách III a IV směrnice (EU) 2022/2557 vztahovat na finanční subjekty spadající do oblasti působnosti uvedené směrnice. |
| --- | --- |

(19)

Vzhledem k silným vzájemným vazbám mezi digitální odolností a fyzickou odolností finančních subjektů je v tomto nařízení a směrnici Evropského parlamentu a Rady (EU) 2022/2557 (9) nezbytný soudržný přístup, pokud jde o odolnost kritických subjektů. Vzhledem k tomu, že fyzická odolnost finančních subjektů je uceleným způsobem řešena v rámci povinností týkajících se řízení rizika v oblasti IKT a hlášení, na něž se vztahuje toto nařízení, neměly by se povinnosti stanovené v kapitolách III a IV směrnice (EU) 2022/2557 vztahovat na finanční subjekty spadající do oblasti působnosti uvedené směrnice.

| (20) | Poskytovatelé cloudových služeb jsou jednou z kategorií digitálních infrastruktur upravených směrnicí (EU) 2022/2555. Unijní rámec dohledu vytvořený tímto nařízením (dále jen „rámec dohledu“) se vztahuje na všechny kritické poskytovatele služeb IKT z řad třetích stran, včetně poskytovatelů cloudových služeb, pokud poskytují služby IKT finančním subjektům, a měl by být považován za doplnění dohledu podle směrnice (EU) 2022/2555. Kromě toho by se měl rámec dohledu vytvořený tímto nařízením vztahovat i na poskytovatele cloudových služeb, neboť v Unii neexistuje horizontální rámec, kterým se zřizuje orgán pro digitální dohled. |
| --- | --- |

(20)

Poskytovatelé cloudových služeb jsou jednou z kategorií digitálních infrastruktur upravených směrnicí (EU) 2022/2555. Unijní rámec dohledu vytvořený tímto nařízením (dále jen „rámec dohledu“) se vztahuje na všechny kritické poskytovatele služeb IKT z řad třetích stran, včetně poskytovatelů cloudových služeb, pokud poskytují služby IKT finančním subjektům, a měl by být považován za doplnění dohledu podle směrnice (EU) 2022/2555. Kromě toho by se měl rámec dohledu vytvořený tímto nařízením vztahovat i na poskytovatele cloudových služeb, neboť v Unii neexistuje horizontální rámec, kterým se zřizuje orgán pro digitální dohled.

| (21) | Aby zůstala zajištěna úplná kontrola nad rizikem v oblasti IKT, musí mít finanční subjekty k dispozici komplexní schopnosti umožňující silné a účinné řízení rizika v oblasti IKT a specifické mechanismy a politiky pro zvládnutí všech incidentů souvisejících s IKT a pro hlášení závažných incidentů souvisejících s IKT. Podobně by finanční subjekty měly mít zavedeny politiky pro testování systémů, kontrol a procesů v oblasti IKT, jakož i pro řízení rizika v oblasti IKT spojeného s třetími stranami. Je třeba zvýšit základní úroveň digitální provozní odolnosti finančních subjektů a současně umožnit proporcionální uplatňování požadavků na určité finanční subjekty, zejména mikropodniky, jakož i finanční subjekty, na něž se vztahuje zjednodušený rámec pro řízení rizika v oblasti IKT. Aby se usnadnil účinný dohled nad institucemi zaměstnaneckého penzijního pojištění, který je přiměřený a řeší potřebu snížit administrativní zátěž příslušných orgánů, měly by příslušné vnitrostátní předpisy o dohledu nad těmito finančními subjekty zohledňovat jejich velikost a celkový rizikový profil, jakož i povahu, rozsah a složitost jejich služeb, činností a operací, a to i v případě překročení příslušných prahových hodnot stanovených v článku 5 směrnice Evropského parlamentu a Rady (EU) 2016/2341 (10). Činnosti v oblasti dohledu by se měly zaměřit především na potřebu řešit vážná rizika spojená s řízením rizika v oblasti IKT konkrétního subjektu.
  Příslušné orgány by rovněž měly zachovávat obezřetný, ale přiměřený přístup, pokud jde o dohled nad institucemi zaměstnaneckého penzijního pojištění, které v souladu s článkem 31 směrnice (EU) 2016/2341 zadávají významnou část své hlavní činnosti, jako je správa aktiv, pojistně-matematické výpočty, účetnictví a správa údajů, poskytovatelům služeb. |
| --- | --- |

(21)

Aby zůstala zajištěna úplná kontrola nad rizikem v oblasti IKT, musí mít finanční subjekty k dispozici komplexní schopnosti umožňující silné a účinné řízení rizika v oblasti IKT a specifické mechanismy a politiky pro zvládnutí všech incidentů souvisejících s IKT a pro hlášení závažných incidentů souvisejících s IKT. Podobně by finanční subjekty měly mít zavedeny politiky pro testování systémů, kontrol a procesů v oblasti IKT, jakož i pro řízení rizika v oblasti IKT spojeného s třetími stranami. Je třeba zvýšit základní úroveň digitální provozní odolnosti finančních subjektů a současně umožnit proporcionální uplatňování požadavků na určité finanční subjekty, zejména mikropodniky, jakož i finanční subjekty, na něž se vztahuje zjednodušený rámec pro řízení rizika v oblasti IKT. Aby se usnadnil účinný dohled nad institucemi zaměstnaneckého penzijního pojištění, který je přiměřený a řeší potřebu snížit administrativní zátěž příslušných orgánů, měly by příslušné vnitrostátní předpisy o dohledu nad těmito finančními subjekty zohledňovat jejich velikost a celkový rizikový profil, jakož i povahu, rozsah a složitost jejich služeb, činností a operací, a to i v případě překročení příslušných prahových hodnot stanovených v článku 5 směrnice Evropského parlamentu a Rady (EU) 2016/2341 (10). Činnosti v oblasti dohledu by se měly zaměřit především na potřebu řešit vážná rizika spojená s řízením rizika v oblasti IKT konkrétního subjektu.

Příslušné orgány by rovněž měly zachovávat obezřetný, ale přiměřený přístup, pokud jde o dohled nad institucemi zaměstnaneckého penzijního pojištění, které v souladu s článkem 31 směrnice (EU) 2016/2341 zadávají významnou část své hlavní činnosti, jako je správa aktiv, pojistně-matematické výpočty, účetnictví a správa údajů, poskytovatelům služeb.

| (22) | Prahové hodnoty a taxonomie pro hlášení incidentů souvisejících s IKT se na vnitrostátní úrovni významně liší. Zatímco je možné společné pozice dosáhnout příslušnou prací Agentury Evropské unie pro kybernetickou bezpečnost (ENISA) zřízené nařízením Evropského parlamentu a Rady (EU) 2019/881 (11) a skupiny pro spolupráci podle směrnice (EU) 2022/2555, mohou u ostatních finančních subjektů stále existovat či vznikat různé přístupy ke stanovení prahových hodnot a použití taxonomií. Kvůli těmto rozdílům existuje množství požadavků, které musí finanční subjekty dodržovat, zejména při fungování v několika členských státech a v rámci finanční skupiny. Takové rozdíly mohou navíc omezovat vytváření dalších jednotných nebo centralizovaných unijních mechanismů urychlujících proces hlášení a podporujících rychlou a bezproblémovou výměnu informací mezi příslušnými orgány, která je zásadní pro řešení rizika v oblasti IKT v případě rozsáhlých útoků s potenciálně systémovými dopady. |
| --- | --- |

(22)

Prahové hodnoty a taxonomie pro hlášení incidentů souvisejících s IKT se na vnitrostátní úrovni významně liší. Zatímco je možné společné pozice dosáhnout příslušnou prací Agentury Evropské unie pro kybernetickou bezpečnost (ENISA) zřízené nařízením Evropského parlamentu a Rady (EU) 2019/881 (11) a skupiny pro spolupráci podle směrnice (EU) 2022/2555, mohou u ostatních finančních subjektů stále existovat či vznikat různé přístupy ke stanovení prahových hodnot a použití taxonomií. Kvůli těmto rozdílům existuje množství požadavků, které musí finanční subjekty dodržovat, zejména při fungování v několika členských státech a v rámci finanční skupiny. Takové rozdíly mohou navíc omezovat vytváření dalších jednotných nebo centralizovaných unijních mechanismů urychlujících proces hlášení a podporujících rychlou a bezproblémovou výměnu informací mezi příslušnými orgány, která je zásadní pro řešení rizika v oblasti IKT v případě rozsáhlých útoků s potenciálně systémovými dopady.

| (23) | Aby se snížila administrativní zátěž a potenciálně zdvojené povinnosti hlášení pro některé finanční subjekty, měly by se požadavky na hlášení incidentů podle směrnice Evropského parlamentu a Rady (EU) 2015/2366 (12) přestat vztahovat na poskytovatele platebních služeb, kteří spadají do oblasti působnosti tohoto nařízení. V důsledku toho by úvěrové instituce, instituce elektronických peněz, platební instituce a poskytovatelé služeb informování o účtu uvedení v čl. 33 odst. 1 uvedené směrnice měli ode dne použitelnosti tohoto nařízení hlásit podle tohoto nařízení všechny provozní nebo bezpečnostní incidenty související s platbami, které byly dříve oznamovány podle uvedené směrnice, bez ohledu na to, zda se tyto incidenty týkají IKT. |
| --- | --- |

(23)

Aby se snížila administrativní zátěž a potenciálně zdvojené povinnosti hlášení pro některé finanční subjekty, měly by se požadavky na hlášení incidentů podle směrnice Evropského parlamentu a Rady (EU) 2015/2366 (12) přestat vztahovat na poskytovatele platebních služeb, kteří spadají do oblasti působnosti tohoto nařízení. V důsledku toho by úvěrové instituce, instituce elektronických peněz, platební instituce a poskytovatelé služeb informování o účtu uvedení v čl. 33 odst. 1 uvedené směrnice měli ode dne použitelnosti tohoto nařízení hlásit podle tohoto nařízení všechny provozní nebo bezpečnostní incidenty související s platbami, které byly dříve oznamovány podle uvedené směrnice, bez ohledu na to, zda se tyto incidenty týkají IKT.

| (24) | Aby mohly příslušné orgány plnit úkoly v oblasti dohledu požadováním úplného přehledu o povaze, četnosti, významu a dopadu incidentů souvisejících s IKT a aby se zlepšila výměna informací mezi relevantními veřejnými orgány, včetně donucovacích orgánů a orgánů příslušných k řešení krize, mělo by toto nařízení stanovit spolehlivý režim hlášení incidentů souvisejících s IKT, v jehož rámci by se relevantní požadavky zaměřily na stávající mezery v právu v oblasti finančních služeb, a odstranit stávající překrytí a zdvojení s cílem snížit náklady. Je nutné harmonizovat režim hlášení incidentů souvisejících s IKT tím, že všechny finanční subjekty budou muset podávat hlášení svým příslušným orgánům na základě jednotného zjednodušeného rámce stanoveného v tomto nařízení. Kromě toho by měly evropské orgány dohledu mít pravomoc dále upřesnit relevantní prvky rámce pro hlášení incidentů souvisejících s IKT, jako jsou taxonomie, časové rámce, soubory údajů, vzory a platné prahové hodnoty. Aby byl zajištěn plný soulad se směrnicí (EU) 2022/2555, mělo by být finančním subjektům umožněno dobrovolně oznamovat vážné kybernetické hrozby relevantnímu příslušnému orgánu, pokud se domnívají, že kybernetická hrozba je relevantní pro finanční systém, uživatele služeb nebo klienty. |
| --- | --- |

(24)

Aby mohly příslušné orgány plnit úkoly v oblasti dohledu požadováním úplného přehledu o povaze, četnosti, významu a dopadu incidentů souvisejících s IKT a aby se zlepšila výměna informací mezi relevantními veřejnými orgány, včetně donucovacích orgánů a orgánů příslušných k řešení krize, mělo by toto nařízení stanovit spolehlivý režim hlášení incidentů souvisejících s IKT, v jehož rámci by se relevantní požadavky zaměřily na stávající mezery v právu v oblasti finančních služeb, a odstranit stávající překrytí a zdvojení s cílem snížit náklady. Je nutné harmonizovat režim hlášení incidentů souvisejících s IKT tím, že všechny finanční subjekty budou muset podávat hlášení svým příslušným orgánům na základě jednotného zjednodušeného rámce stanoveného v tomto nařízení. Kromě toho by měly evropské orgány dohledu mít pravomoc dále upřesnit relevantní prvky rámce pro hlášení incidentů souvisejících s IKT, jako jsou taxonomie, časové rámce, soubory údajů, vzory a platné prahové hodnoty. Aby byl zajištěn plný soulad se směrnicí (EU) 2022/2555, mělo by být finančním subjektům umožněno dobrovolně oznamovat vážné kybernetické hrozby relevantnímu příslušnému orgánu, pokud se domnívají, že kybernetická hrozba je relevantní pro finanční systém, uživatele služeb nebo klienty.

| (25) | Některá finanční pododvětví vypracovala požadavky na testování digitální provozní odolnosti, jež stanoví rámce, které nejsou vždy plně sladěny. To vede k potenciálnímu zdvojení nákladů pro finanční subjekty s přeshraniční působností a činí vzájemné uznávání výsledků testování digitální provozní odolnosti složitým, což následně může vést k fragmentaci vnitřního trhu. |
| --- | --- |

(25)

Některá finanční pododvětví vypracovala požadavky na testování digitální provozní odolnosti, jež stanoví rámce, které nejsou vždy plně sladěny. To vede k potenciálnímu zdvojení nákladů pro finanční subjekty s přeshraniční působností a činí vzájemné uznávání výsledků testování digitální provozní odolnosti složitým, což následně může vést k fragmentaci vnitřního trhu.

| (26) | Dále, nebude-li požadováno testování IKT, zůstanou nezjištěny zranitelnosti, jež povedou k vystavení finančního subjektu riziku v oblasti IKT, a v konečném důsledku vznikne vyšší riziko pro stabilitu a integritu finančního sektoru. Bez zásahu Unie by bylo testování digitální provozní odolnosti nadále nekonzistentní a neexistoval by systém vzájemného uznávání výsledků testování IKT v různých jurisdikcích. Protože je rovněž nepravděpodobné, že by další finanční pododvětví přijala schémata testování ve smysluplném rozsahu, promarnily by potenciální výhody rámce testování, pokud jde o odhalení zranitelností a rizik v oblasti IKT a schopnosti testování bezpečnosti a zachování provozu, které přispívají k rostoucí důvěře klientů, dodavatelů a obchodních partnerů. K odstranění uvedených přesahů, rozdílů a mezer je nutné stanovit pravidla pro režim koordinovaného testování, což usnadní vzájemné uznávání pokročilého testování u finančních subjektů splňujících kritéria stanovená tímto nařízením. |
| --- | --- |

(26)

Dále, nebude-li požadováno testování IKT, zůstanou nezjištěny zranitelnosti, jež povedou k vystavení finančního subjektu riziku v oblasti IKT, a v konečném důsledku vznikne vyšší riziko pro stabilitu a integritu finančního sektoru. Bez zásahu Unie by bylo testování digitální provozní odolnosti nadále nekonzistentní a neexistoval by systém vzájemného uznávání výsledků testování IKT v různých jurisdikcích. Protože je rovněž nepravděpodobné, že by další finanční pododvětví přijala schémata testování ve smysluplném rozsahu, promarnily by potenciální výhody rámce testování, pokud jde o odhalení zranitelností a rizik v oblasti IKT a schopnosti testování bezpečnosti a zachování provozu, které přispívají k rostoucí důvěře klientů, dodavatelů a obchodních partnerů. K odstranění uvedených přesahů, rozdílů a mezer je nutné stanovit pravidla pro režim koordinovaného testování, což usnadní vzájemné uznávání pokročilého testování u finančních subjektů splňujících kritéria stanovená tímto nařízením.

| (27) | Závislost finančních subjektů na používání služeb IKT je zčásti vyvolána jejich potřebou přizpůsobit se rozvíjející se konkurenční digitální globální ekonomice, zvýšit efektivitu svých činností a uspokojit poptávku spotřebitelů. Povaha a rozsah této závislosti se v posledních letech nepřetržitě vyvíjí, přičemž se tím snižují náklady finančního zprostředkování, umožňuje rozšíření obchodní činnosti a škálovatelnost využívání finančních aktivit a současně se nabízí celá řada nástrojů IKT pro řízení složitých vnitřních procesů. |
| --- | --- |

(27)

Závislost finančních subjektů na používání služeb IKT je zčásti vyvolána jejich potřebou přizpůsobit se rozvíjející se konkurenční digitální globální ekonomice, zvýšit efektivitu svých činností a uspokojit poptávku spotřebitelů. Povaha a rozsah této závislosti se v posledních letech nepřetržitě vyvíjí, přičemž se tím snižují náklady finančního zprostředkování, umožňuje rozšíření obchodní činnosti a škálovatelnost využívání finančních aktivit a současně se nabízí celá řada nástrojů IKT pro řízení složitých vnitřních procesů.

| (28) | Toto rozsáhlé využívání služeb IKT dokládají složitá smluvní ujednání, přičemž se finanční subjekty často potýkají s potížemi při sjednávání smluvních podmínek přizpůsobených obezřetnostním normám nebo jiným regulatorním požadavkům, jež se na ně vztahují, nebo jinak při vymáhání konkrétních práv, jako jsou práva na přístup nebo práva týkající se auditů, a to i tehdy, když jsou tato práva začleněna do jejich smluvních ujednání. Kromě toho mnoho těchto smluvních ujednání neobsahuje dostatečné pojistky umožňující plnohodnotné sledování subdodavatelských procesů, což snižuje schopnost finančního subjektu posoudit související rizika. Dále protože poskytovatelé služeb IKT z řad třetích stran často nabízejí standardizované služby různým druhům klientů, nemusí taková smluvní ujednání vždy přiměřeně ošetřovat individuální nebo konkrétní požadavky aktérů finančního sektoru. |
| --- | --- |

(28)

Toto rozsáhlé využívání služeb IKT dokládají složitá smluvní ujednání, přičemž se finanční subjekty často potýkají s potížemi při sjednávání smluvních podmínek přizpůsobených obezřetnostním normám nebo jiným regulatorním požadavkům, jež se na ně vztahují, nebo jinak při vymáhání konkrétních práv, jako jsou práva na přístup nebo práva týkající se auditů, a to i tehdy, když jsou tato práva začleněna do jejich smluvních ujednání. Kromě toho mnoho těchto smluvních ujednání neobsahuje dostatečné pojistky umožňující plnohodnotné sledování subdodavatelských procesů, což snižuje schopnost finančního subjektu posoudit související rizika. Dále protože poskytovatelé služeb IKT z řad třetích stran často nabízejí standardizované služby různým druhům klientů, nemusí taková smluvní ujednání vždy přiměřeně ošetřovat individuální nebo konkrétní požadavky aktérů finančního sektoru.

| (29) | Přestože právo Unie v oblasti finančních služeb obsahují určitá obecná pravidla o externím zajištění služeb, není sledování smluvního rozměru v právu Unie plně zakotveno. Vzhledem k absenci jasných a přesných unijních norem vztahujících se na smluvní ujednání uzavřená s poskytovateli služeb IKT z řad třetích stran není externí zdroj rizika v oblasti IKT vyřešen komplexně. Je proto nezbytné stanovit určité klíčové zásady, jimiž se budou řídit finanční subjekty v případě řízení rizika v oblasti IKT spojeného s třetími stranami a které jsou obzvláště důležité, pokud finanční subjekty využívají poskytovatele služeb IKT z řad třetích stran na podporu svých zásadních nebo důležitých funkcí. Tyto zásady by měly být doplněny souborem základních smluvních práv ve vztahu k několika prvkům plnění a ukončení smluvních ujednání s cílem poskytnout určité minimální záruky na podporu schopnosti finančních subjektů účinně sledovat veškeré riziko v oblasti IKT vznikající na úrovni poskytovatelů služeb z řad třetích stran. Tyto zásady doplňují odvětvové právní předpisy použitelné na externí zajištění služeb. |
| --- | --- |

(29)

Přestože právo Unie v oblasti finančních služeb obsahují určitá obecná pravidla o externím zajištění služeb, není sledování smluvního rozměru v právu Unie plně zakotveno. Vzhledem k absenci jasných a přesných unijních norem vztahujících se na smluvní ujednání uzavřená s poskytovateli služeb IKT z řad třetích stran není externí zdroj rizika v oblasti IKT vyřešen komplexně. Je proto nezbytné stanovit určité klíčové zásady, jimiž se budou řídit finanční subjekty v případě řízení rizika v oblasti IKT spojeného s třetími stranami a které jsou obzvláště důležité, pokud finanční subjekty využívají poskytovatele služeb IKT z řad třetích stran na podporu svých zásadních nebo důležitých funkcí. Tyto zásady by měly být doplněny souborem základních smluvních práv ve vztahu k několika prvkům plnění a ukončení smluvních ujednání s cílem poskytnout určité minimální záruky na podporu schopnosti finančních subjektů účinně sledovat veškeré riziko v oblasti IKT vznikající na úrovni poskytovatelů služeb z řad třetích stran. Tyto zásady doplňují odvětvové právní předpisy použitelné na externí zajištění služeb.

| (30) | V současné době je patrné, že pokud jde o sledování rizika v oblasti IKT spojeného s třetími stranami a závislosti na poskytovatelích služeb IKT z řad třetích stran, chybí určitá jednotnost a sbližování. Přes úsilí o vyřešení externího zajištění služeb, jako jsou pokyny EBA pro externí služby z roku 2019 a pokyny ESMA pro spolupráci s externími poskytovateli cloudových služeb, neřeší právo Unie dostatečně širší problém potírání systémového rizika, které může vzniknout při vystavení finančního sektoru omezenému počtu kritických poskytovatelů služeb IKT z řad třetích stran. Skutečnost, že chybí pravidla na úrovni Unie, ještě zhoršuje absence vnitrostátních pravidel týkajících se oprávnění a nástrojů, které umožňují orgánům finančního dohledu správně pochopit závislosti na třetích stranách v oblasti IKT a adekvátně sledovat rizika vyplývající z koncentrace závislostí na třetích stranách v oblasti IKT. |
| --- | --- |

(30)

V současné době je patrné, že pokud jde o sledování rizika v oblasti IKT spojeného s třetími stranami a závislosti na poskytovatelích služeb IKT z řad třetích stran, chybí určitá jednotnost a sbližování. Přes úsilí o vyřešení externího zajištění služeb, jako jsou pokyny EBA pro externí služby z roku 2019 a pokyny ESMA pro spolupráci s externími poskytovateli cloudových služeb, neřeší právo Unie dostatečně širší problém potírání systémového rizika, které může vzniknout při vystavení finančního sektoru omezenému počtu kritických poskytovatelů služeb IKT z řad třetích stran. Skutečnost, že chybí pravidla na úrovni Unie, ještě zhoršuje absence vnitrostátních pravidel týkajících se oprávnění a nástrojů, které umožňují orgánům finančního dohledu správně pochopit závislosti na třetích stranách v oblasti IKT a adekvátně sledovat rizika vyplývající z koncentrace závislostí na třetích stranách v oblasti IKT.

| (31) | S přihlédnutím k potenciálnímu systémovému riziku souvisejícímu s rostoucí praxí externího poskytování služeb a koncentrací závislosti na třetích stranách v oblasti IKT a s ohledem na nedostatečné vnitrostátní mechanismy, pokud jde o poskytování přiměřených nástrojů orgánům finančního dohledu za účelem kvantifikace, kvalifikace a nápravy důsledků rizika v oblasti IKT, které se objevuje u kritických poskytovatelů služeb IKT z řad třetích stran, je nezbytné vytvořit vhodný rámec dohledu, který umožní nepřetržité sledování činností poskytovatelů služeb IKT z řad třetích stran, jež jsou pro finanční subjekty kritickými poskytovateli služeb IKT z řad třetích stran, a současně zabezpečí, že bude zachována důvěryhodnost a bezpečnost jiných zákazníků, než jsou finanční subjekty. Ačkoli poskytování služeb IKT v rámci skupiny s sebou nese specifická rizika a přínosy, nemělo by být automaticky považováno za méně rizikové než poskytování služeb IKT poskytovateli mimo finanční skupinu, a proto by mělo podléhat stejnému regulačnímu rámci. Pokud jsou však služby IKT poskytovány v rámci téže finanční skupiny, finanční subjekty by mohly mít vyšší úroveň kontroly nad poskytovateli v rámci skupiny, což by mělo být zohledněno v celkovém posouzení rizik. |
| --- | --- |

(31)

S přihlédnutím k potenciálnímu systémovému riziku souvisejícímu s rostoucí praxí externího poskytování služeb a koncentrací závislosti na třetích stranách v oblasti IKT a s ohledem na nedostatečné vnitrostátní mechanismy, pokud jde o poskytování přiměřených nástrojů orgánům finančního dohledu za účelem kvantifikace, kvalifikace a nápravy důsledků rizika v oblasti IKT, které se objevuje u kritických poskytovatelů služeb IKT z řad třetích stran, je nezbytné vytvořit vhodný rámec dohledu, který umožní nepřetržité sledování činností poskytovatelů služeb IKT z řad třetích stran, jež jsou pro finanční subjekty kritickými poskytovateli služeb IKT z řad třetích stran, a současně zabezpečí, že bude zachována důvěryhodnost a bezpečnost jiných zákazníků, než jsou finanční subjekty. Ačkoli poskytování služeb IKT v rámci skupiny s sebou nese specifická rizika a přínosy, nemělo by být automaticky považováno za méně rizikové než poskytování služeb IKT poskytovateli mimo finanční skupinu, a proto by mělo podléhat stejnému regulačnímu rámci. Pokud jsou však služby IKT poskytovány v rámci téže finanční skupiny, finanční subjekty by mohly mít vyšší úroveň kontroly nad poskytovateli v rámci skupiny, což by mělo být zohledněno v celkovém posouzení rizik.

| (32) | Jak se rizika v oblasti IKT stávají stále složitějšími a sofistikovanějšími, závisí správná opatření pro detekci a prevenci rizika v oblasti IKT ve značné míře na pravidelném sdílení operativních informací o hrozbách a zranitelnosti mezi finančními subjekty. Sdílení informací přispívá k vytváření zvýšeného povědomí o kybernetických hrozbách. To zase zlepšuje kapacitu finančních subjektů zabránit tomu, aby se z hrozeb staly skutečné incidenty související s IKT, a umožňuje těmto subjektům účinněji omezit dopad incidentů souvisejících s IKT a rychleji se z nich zotavit. Vzhledem k absenci pokynů na úrovni Unie se zdá, že tomuto sdílení operativních informací brání několik faktorů, zejména nejistota ohledně jejich kompatibility s předpisy pro ochranu osobních údajů, antimonopolními předpisy a předpisy upravujícími odpovědnost. |
| --- | --- |

(32)

Jak se rizika v oblasti IKT stávají stále složitějšími a sofistikovanějšími, závisí správná opatření pro detekci a prevenci rizika v oblasti IKT ve značné míře na pravidelném sdílení operativních informací o hrozbách a zranitelnosti mezi finančními subjekty. Sdílení informací přispívá k vytváření zvýšeného povědomí o kybernetických hrozbách. To zase zlepšuje kapacitu finančních subjektů zabránit tomu, aby se z hrozeb staly skutečné incidenty související s IKT, a umožňuje těmto subjektům účinněji omezit dopad incidentů souvisejících s IKT a rychleji se z nich zotavit. Vzhledem k absenci pokynů na úrovni Unie se zdá, že tomuto sdílení operativních informací brání několik faktorů, zejména nejistota ohledně jejich kompatibility s předpisy pro ochranu osobních údajů, antimonopolními předpisy a předpisy upravujícími odpovědnost.

| (33) | Pochybnosti týkající se druhu informací, které je možné sdílet s ostatními účastníky trhu nebo jinými orgány nevykonávajícími dohled (například ENISA u analytických údajů nebo Europol pro účely vymáhání práva), navíc vedou k neposkytování užitečných informací. Rozsah a kvalita sdílení informací zůstávají tudíž v současné době omezené a roztříštěné a příslušné výměny informací probíhají většinou na místní úrovni (prostřednictvím vnitrostátních iniciativ) a bez konzistentních celounijních dohod o sdílení informací přizpůsobených požadavkům integrovaného finančního systému. Je proto důležité tyto komunikační kanály posílit. |
| --- | --- |

(33)

Pochybnosti týkající se druhu informací, které je možné sdílet s ostatními účastníky trhu nebo jinými orgány nevykonávajícími dohled (například ENISA u analytických údajů nebo Europol pro účely vymáhání práva), navíc vedou k neposkytování užitečných informací. Rozsah a kvalita sdílení informací zůstávají tudíž v současné době omezené a roztříštěné a příslušné výměny informací probíhají většinou na místní úrovni (prostřednictvím vnitrostátních iniciativ) a bez konzistentních celounijních dohod o sdílení informací přizpůsobených požadavkům integrovaného finančního systému. Je proto důležité tyto komunikační kanály posílit.

| (34) | Finanční subjekty by měly být vybízeny, aby si vzájemně vyměňovaly operativní informace o kybernetických hrozbách a kolektivně využívaly svých individuálních znalostí a praktických zkušeností na strategické, taktické a provozní úrovni, a zlepšily tak své schopnosti adekvátního posuzování a sledování kybernetických hrozeb, obrany před nimi a reakce na ně, a to zapojením do ujednání o sdílení informací. Je proto nezbytné umožnit, aby na úrovni Unie vznikly mechanismy ujednání o dobrovolném sdílení informací, které při zavedení v důvěryhodných prostředích pomohou komunitě finančního sektoru bránit se a společně reagovat na kybernetické hrozby rychlým omezením šíření rizika v oblasti IKT a zabráněním potenciálnímu šíření nákazy finančními kanály. Tyto mechanismy by měly být v souladu s platnými pravidly práva Unie v oblasti hospodářské soutěže, jak jsou vymezena ve sdělení Komise ze dne 14. ledna 2011 nazvaném „Pokyny k použitelnosti článku 101 Smlouvy o fungování Evropské unie na dohody o horizontální spolupráci“, jakož i s pravidly Unie pro ochranu údajů, zejména s nařízením Evropského parlamentu a Rady (EU) 2016/679 (13). Měly by fungovat na základě použití jednoho nebo více právních základů stanovených v článku 6 uvedeného nařízení, například v souvislosti se zpracováním osobních údajů, které je nezbytné pro účely oprávněného zájmu správce nebo třetí strany, jak je uvedeno v čl. 6 odst. 1 písm. f) uvedeného nařízení, jakož i v souvislosti se zpracováním osobních údajů nezbytných pro splnění právní povinnosti správce, které je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, jak je uvedeno v čl. 6 odst. 1 písm. c) a e) uvedeného nařízení. |
| --- | --- |

(34)

Finanční subjekty by měly být vybízeny, aby si vzájemně vyměňovaly operativní informace o kybernetických hrozbách a kolektivně využívaly svých individuálních znalostí a praktických zkušeností na strategické, taktické a provozní úrovni, a zlepšily tak své schopnosti adekvátního posuzování a sledování kybernetických hrozeb, obrany před nimi a reakce na ně, a to zapojením do ujednání o sdílení informací. Je proto nezbytné umožnit, aby na úrovni Unie vznikly mechanismy ujednání o dobrovolném sdílení informací, které při zavedení v důvěryhodných prostředích pomohou komunitě finančního sektoru bránit se a společně reagovat na kybernetické hrozby rychlým omezením šíření rizika v oblasti IKT a zabráněním potenciálnímu šíření nákazy finančními kanály. Tyto mechanismy by měly být v souladu s platnými pravidly práva Unie v oblasti hospodářské soutěže, jak jsou vymezena ve sdělení Komise ze dne 14. ledna 2011 nazvaném „Pokyny k použitelnosti článku 101 Smlouvy o fungování Evropské unie na dohody o horizontální spolupráci“, jakož i s pravidly Unie pro ochranu údajů, zejména s nařízením Evropského parlamentu a Rady (EU) 2016/679 (13). Měly by fungovat na základě použití jednoho nebo více právních základů stanovených v článku 6 uvedeného nařízení, například v souvislosti se zpracováním osobních údajů, které je nezbytné pro účely oprávněného zájmu správce nebo třetí strany, jak je uvedeno v čl. 6 odst. 1 písm. f) uvedeného nařízení, jakož i v souvislosti se zpracováním osobních údajů nezbytných pro splnění právní povinnosti správce, které je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, jak je uvedeno v čl. 6 odst. 1 písm. c) a e) uvedeného nařízení.

| (35) | Aby se zachovala vysoká úroveň digitální provozní odolnosti celého finančního sektoru a zároveň držel krok s technologickým vývojem, mělo by se toto nařízení zabývat rizikem vyplývajícím ze všech druhů služeb IKT. Za tímto účelem by definice služeb IKT v kontextu tohoto nařízení měla být chápána široce a měla by zahrnovat digitální a datové služby průběžně poskytované prostřednictvím systémů IKT jednomu nebo více interním nebo externím uživatelům. Tato definice by měla například zahrnovat tzv. služby „over the top“, které spadají do kategorie služeb elektronických komunikací. Měla by vyloučit pouze omezenou kategorii tradičních analogových telefonních služeb, které jsou kvalifikovány jako služby veřejné komutované telefonní sítě (PSTN), služby pevné sítě, služby tradičního analogového telefonního systému (POTS) nebo telefonní služby pevné linky. |
| --- | --- |

(35)

Aby se zachovala vysoká úroveň digitální provozní odolnosti celého finančního sektoru a zároveň držel krok s technologickým vývojem, mělo by se toto nařízení zabývat rizikem vyplývajícím ze všech druhů služeb IKT. Za tímto účelem by definice služeb IKT v kontextu tohoto nařízení měla být chápána široce a měla by zahrnovat digitální a datové služby průběžně poskytované prostřednictvím systémů IKT jednomu nebo více interním nebo externím uživatelům. Tato definice by měla například zahrnovat tzv. služby „over the top“, které spadají do kategorie služeb elektronických komunikací. Měla by vyloučit pouze omezenou kategorii tradičních analogových telefonních služeb, které jsou kvalifikovány jako služby veřejné komutované telefonní sítě (PSTN), služby pevné sítě, služby tradičního analogového telefonního systému (POTS) nebo telefonní služby pevné linky.

| (36) | Bez ohledu na širokou platnost uvedenou v tomto nařízení by mělo používání pravidel pro digitální provozní odolnost zohledňovat výrazné rozdíly ve velikosti a celkovém rizikovém profilu jednotlivých finančních subjektů. Obecným principem při rozdělování zdrojů a schopností na realizaci rámce pro řízení rizika v oblasti IKT by mělo být, že finanční subjekty správně vyváží své požadavky na IKT podle své velikosti a celkového rizikového profilu a povahy, rozsahu a složitosti svých služeb, činnosti a provozu, zatímco příslušné orgány budou nadále hodnotit a revidovat způsob tohoto rozdělení. |
| --- | --- |

(36)

Bez ohledu na širokou platnost uvedenou v tomto nařízení by mělo používání pravidel pro digitální provozní odolnost zohledňovat výrazné rozdíly ve velikosti a celkovém rizikovém profilu jednotlivých finančních subjektů. Obecným principem při rozdělování zdrojů a schopností na realizaci rámce pro řízení rizika v oblasti IKT by mělo být, že finanční subjekty správně vyváží své požadavky na IKT podle své velikosti a celkového rizikového profilu a povahy, rozsahu a složitosti svých služeb, činnosti a provozu, zatímco příslušné orgány budou nadále hodnotit a revidovat způsob tohoto rozdělení.

| (37) | Poskytovatelé služeb informování o účtu uvedení v čl. 33 odst. 1 směrnice (EU) 2015/2366 jsou výslovně zahrnuti do oblasti působnosti tohoto nařízení s přihlédnutím ke zvláštní povaze jejich činností a rizikům, která z nich vyplývají. Kromě toho do oblasti působnosti tohoto nařízení spadají instituce elektronických peněz a platební instituce vyňaté podle čl. 9 odst. 1 směrnice Evropského parlamentu a Rady 2009/110/ES (14) a čl. 32 odst. 1 směrnice (EU) 2015/2366, i v případě, že jim nebylo v souladu se směrnicí 2009/110/ES uděleno povolení k vydávání elektronických peněz nebo pokud jim nebylo v souladu se směrnicí (EU) 2015/2366 uděleno povolení k poskytování a provádění platebních služeb. Z oblasti působnosti tohoto nařízení jsou však vyňaty poštovní žirové instituce uvedené v čl. 2 odst. 5 bodu 3 směrnice Evropského parlamentu a Rady 2013/36/EU (15). Příslušným orgánem v případě platebních institucí vyňatých podle směrnice (EU) 2015/2366, institucí elektronických peněz vyňatých podle směrnice 2009/110/ES a poskytovatelů služeb informování o účtu uvedených v čl. 33 odst. 1 směrnice (EU) 2015/2366 by měl být příslušný orgán určený v souladu s článkem 22 směrnice (EU) 2015/2366. |
| --- | --- |

(37)

Poskytovatelé služeb informování o účtu uvedení v čl. 33 odst. 1 směrnice (EU) 2015/2366 jsou výslovně zahrnuti do oblasti působnosti tohoto nařízení s přihlédnutím ke zvláštní povaze jejich činností a rizikům, která z nich vyplývají. Kromě toho do oblasti působnosti tohoto nařízení spadají instituce elektronických peněz a platební instituce vyňaté podle čl. 9 odst. 1 směrnice Evropského parlamentu a Rady 2009/110/ES (14) a čl. 32 odst. 1 směrnice (EU) 2015/2366, i v případě, že jim nebylo v souladu se směrnicí 2009/110/ES uděleno povolení k vydávání elektronických peněz nebo pokud jim nebylo v souladu se směrnicí (EU) 2015/2366 uděleno povolení k poskytování a provádění platebních služeb. Z oblasti působnosti tohoto nařízení jsou však vyňaty poštovní žirové instituce uvedené v čl. 2 odst. 5 bodu 3 směrnice Evropského parlamentu a Rady 2013/36/EU (15). Příslušným orgánem v případě platebních institucí vyňatých podle směrnice (EU) 2015/2366, institucí elektronických peněz vyňatých podle směrnice 2009/110/ES a poskytovatelů služeb informování o účtu uvedených v čl. 33 odst. 1 směrnice (EU) 2015/2366 by měl být příslušný orgán určený v souladu s článkem 22 směrnice (EU) 2015/2366.

| (38) | Protože větší finanční subjekty by mohly využívat více prostředků a mohou rychle přidělovat finance na rozvoj řídicích struktur a vytvářet různé podnikové strategie, měly by mít povinnost zřizovat komplexnější systémy správy a řízení pouze ty finanční subjekty, které nejsou ve smyslu tohoto nařízení považovány za mikropodniky. Tyto subjekty jsou lépe vybaveny pro vytváření specializovaných vedoucích funkcí pro dohled nad ujednáními s poskytovateli služeb IKT z řad třetích stran nebo pro zvládání krizového řízení, k organizaci svého řízení rizika souvisejícího s IKT podle tří linií modelu obrany nebo k zavedení modelu interního řízení rizika a kontroly a předložení svých rámců pro řízení rizika v oblasti IKT vnitřnímu auditu. |
| --- | --- |

(38)

Protože větší finanční subjekty by mohly využívat více prostředků a mohou rychle přidělovat finance na rozvoj řídicích struktur a vytvářet různé podnikové strategie, měly by mít povinnost zřizovat komplexnější systémy správy a řízení pouze ty finanční subjekty, které nejsou ve smyslu tohoto nařízení považovány za mikropodniky. Tyto subjekty jsou lépe vybaveny pro vytváření specializovaných vedoucích funkcí pro dohled nad ujednáními s poskytovateli služeb IKT z řad třetích stran nebo pro zvládání krizového řízení, k organizaci svého řízení rizika souvisejícího s IKT podle tří linií modelu obrany nebo k zavedení modelu interního řízení rizika a kontroly a předložení svých rámců pro řízení rizika v oblasti IKT vnitřnímu auditu.

| (39) | Některé finanční subjekty využívají výjimky nebo se na ně podle příslušných odvětvových právních předpisů Unie vztahuje velmi zjednodušený regulační rámec. Tyto finanční subjekty zahrnují správce alternativních investičních fondů uvedené v čl. 3 odst. 2 směrnice Evropského parlamentu a Rady 2011/61/EU (16), pojišťovny a zajišťovny uvedené v článku 4 směrnice Evropského parlamentu a Rady 2009/138/ES (17) a instituce zaměstnaneckého penzijního pojištění, které provozují penzijní plány, které dohromady nemají více než 15 účastníků. S ohledem na tyto výjimky by nebylo přiměřené zahrnout tyto finanční subjekty do oblasti působnosti tohoto nařízení. Kromě toho toto nařízení uznává specifika struktury trhu zprostředkování pojištění, v důsledku čehož by se toto nařízení nemělo vztahovat na zprostředkovatele pojištění, zprostředkovatele zajištění a zprostředkovatele doplňkového pojištění kvalifikované jako mikropodniky nebo malé nebo střední podniky. |
| --- | --- |

(39)

Některé finanční subjekty využívají výjimky nebo se na ně podle příslušných odvětvových právních předpisů Unie vztahuje velmi zjednodušený regulační rámec. Tyto finanční subjekty zahrnují správce alternativních investičních fondů uvedené v čl. 3 odst. 2 směrnice Evropského parlamentu a Rady 2011/61/EU (16), pojišťovny a zajišťovny uvedené v článku 4 směrnice Evropského parlamentu a Rady 2009/138/ES (17) a instituce zaměstnaneckého penzijního pojištění, které provozují penzijní plány, které dohromady nemají více než 15 účastníků. S ohledem na tyto výjimky by nebylo přiměřené zahrnout tyto finanční subjekty do oblasti působnosti tohoto nařízení. Kromě toho toto nařízení uznává specifika struktury trhu zprostředkování pojištění, v důsledku čehož by se toto nařízení nemělo vztahovat na zprostředkovatele pojištění, zprostředkovatele zajištění a zprostředkovatele doplňkového pojištění kvalifikované jako mikropodniky nebo malé nebo střední podniky.

| (40) | Vzhledem k tomu, že subjekty uvedené v čl. 2 odst. 5 bodech 4 až 23 směrnice 2013/36/EU jsou vyňaty z oblasti působnosti uvedené směrnice, měly by mít členské státy možnost vyloučit z oblasti působnosti tohoto nařízení subjekty usazené na jejich území. |
| --- | --- |

(40)

Vzhledem k tomu, že subjekty uvedené v čl. 2 odst. 5 bodech 4 až 23 směrnice 2013/36/EU jsou vyňaty z oblasti působnosti uvedené směrnice, měly by mít členské státy možnost vyloučit z oblasti působnosti tohoto nařízení subjekty usazené na jejich území.

| (41) | Obdobně v zájmu sladění tohoto nařízení s oblastí působnosti směrnice Evropského parlamentu a Rady 2014/65/EU (18) je rovněž vhodné vyloučit z oblasti působnosti tohoto nařízení fyzické a právnické osoby uvedené v článcích 2 a 3 uvedené směrnice, které mohou poskytovat investiční služby, aniž by musely získat povolení podle směrnice 2014/65/EU. Článek 2 směrnice 2014/65/EU však z oblasti působnosti uvedené směrnice rovněž vylučuje subjekty, které jsou pro účely tohoto nařízení považovány za finanční subjekty, jako jsou centrální depozitáře cenných papírů, subjekty kolektivního investování nebo pojišťovny a zajišťovny. Vyloučení osob a subjektů podle článků 2 a 3 uvedené směrnice z oblasti působnosti tohoto nařízení by nemělo tyto centrální depozitáře cenných papírů, subjekty kolektivního investování nebo pojišťovny a zajišťovny zahrnovat. |
| --- | --- |

(41)

Obdobně v zájmu sladění tohoto nařízení s oblastí působnosti směrnice Evropského parlamentu a Rady 2014/65/EU (18) je rovněž vhodné vyloučit z oblasti působnosti tohoto nařízení fyzické a právnické osoby uvedené v článcích 2 a 3 uvedené směrnice, které mohou poskytovat investiční služby, aniž by musely získat povolení podle směrnice 2014/65/EU. Článek 2 směrnice 2014/65/EU však z oblasti působnosti uvedené směrnice rovněž vylučuje subjekty, které jsou pro účely tohoto nařízení považovány za finanční subjekty, jako jsou centrální depozitáře cenných papírů, subjekty kolektivního investování nebo pojišťovny a zajišťovny. Vyloučení osob a subjektů podle článků 2 a 3 uvedené směrnice z oblasti působnosti tohoto nařízení by nemělo tyto centrální depozitáře cenných papírů, subjekty kolektivního investování nebo pojišťovny a zajišťovny zahrnovat.

| (42) | Některé finanční subjekty podléhají podle odvětvových právních předpisů Unie mírnějším požadavkům nebo výjimkám z důvodů spojených s jejich velikostí nebo službami, které poskytují. Tato kategorie finančních subjektů zahrnuje malé a nepropojené investiční podniky, malé instituce zaměstnaneckého penzijního pojištění, které mohou být dotčeným členským státem vyloučeny z oblasti působnosti směrnice (EU) 2016/2341 za podmínek stanovených v článku 5 uvedené směrnice a provozují penzijní plány, které dohromady nemají více než 100 účastníků, jakož i instituce vyňaté podle směrnice 2013/36/EU. Proto je v souladu se zásadou proporcionality a v zájmu zachování smyslu odvětvových právních předpisů Unie rovněž vhodné podrobit tyto finanční subjekty zjednodušenému rámci pro řízení rizika v oblasti IKT podle tohoto nařízení. Přiměřenost rámce pro řízení rizika v oblasti IKT, který se vztahuje na tyto finanční subjekty, by neměla být měněna regulačními technickými normami, které mají být vypracovány evropskými orgány dohledu. Kromě toho je v souladu se zásadou proporcionality vhodné, aby se na platební instituce uvedené v čl. 32 odst. 1 směrnice (EU) 2015/2366 a na instituce elektronických peněz uvedené v článku 9 směrnice 2009/110/ES vyňaté v souladu s vnitrostátním právem provádějícím tyto právní akty Unie vztahoval zjednodušený rámec pro řízení rizika v oblasti IKT podle tohoto nařízení, zatímco platební instituce a instituce elektronických peněz, které nebyly vyňaty v souladu s vnitrostátním právem provádějícím odvětvové právní předpisy Unie, by měly dodržovat obecný rámec stanovený tímto nařízením. |
| --- | --- |

(42)

Některé finanční subjekty podléhají podle odvětvových právních předpisů Unie mírnějším požadavkům nebo výjimkám z důvodů spojených s jejich velikostí nebo službami, které poskytují. Tato kategorie finančních subjektů zahrnuje malé a nepropojené investiční podniky, malé instituce zaměstnaneckého penzijního pojištění, které mohou být dotčeným členským státem vyloučeny z oblasti působnosti směrnice (EU) 2016/2341 za podmínek stanovených v článku 5 uvedené směrnice a provozují penzijní plány, které dohromady nemají více než 100 účastníků, jakož i instituce vyňaté podle směrnice 2013/36/EU. Proto je v souladu se zásadou proporcionality a v zájmu zachování smyslu odvětvových právních předpisů Unie rovněž vhodné podrobit tyto finanční subjekty zjednodušenému rámci pro řízení rizika v oblasti IKT podle tohoto nařízení. Přiměřenost rámce pro řízení rizika v oblasti IKT, který se vztahuje na tyto finanční subjekty, by neměla být měněna regulačními technickými normami, které mají být vypracovány evropskými orgány dohledu. Kromě toho je v souladu se zásadou proporcionality vhodné, aby se na platební instituce uvedené v čl. 32 odst. 1 směrnice (EU) 2015/2366 a na instituce elektronických peněz uvedené v článku 9 směrnice 2009/110/ES vyňaté v souladu s vnitrostátním právem provádějícím tyto právní akty Unie vztahoval zjednodušený rámec pro řízení rizika v oblasti IKT podle tohoto nařízení, zatímco platební instituce a instituce elektronických peněz, které nebyly vyňaty v souladu s vnitrostátním právem provádějícím odvětvové právní předpisy Unie, by měly dodržovat obecný rámec stanovený tímto nařízením.

| (43) | Obdobně by se po finančních subjektech, které jsou považovány za mikropodniky nebo se na ně vztahuje zjednodušený rámec pro řízení rizika v oblasti IKT podle tohoto nařízení, nemělo požadovat, aby vytvořily funkci sledování ujednání o využívání služeb IKT uzavřených s poskytovateli z řad třetích stran nebo pověřily jednoho vedoucího pracovníka jako osobu odpovědnou za dohled nad expozicí souvisejícím rizikům a příslušnou dokumentací; pověřily odpovědností za řízení a kontrolu rizika v oblasti IKT kontrolní funkci a zajistily odpovídající nezávislost této kontrolní funkce, aby nedocházelo ke střetům zájmů; zdokumentovaly a přezkoumaly rámec pro řízení rizika v oblasti IKT alespoň jednou ročně; pravidelně prováděly interní audit rámce pro řízení rizika v oblasti IKT; prováděly hloubková posouzení po velkých změnách svých infrastruktur sítí a informačních systémů a procesů, pravidelně analyzovaly rizika původních systémů IKT; prováděly nezávislý interní audit provádění plánů reakce a obnovy v oblasti IKT; zavedly funkci řízení krizí, rozšířily testování zachování provozu a plány reakce a obnovy tak, aby zahrnovaly i scénáře přepnutí mezi primární infrastrukturou IKT a redundantními zařízeními; na žádost oznamovaly příslušným orgánům odhad souhrnných ročních nákladů a ztrát způsobených závažnými incidenty souvisejícími s IKT, udržovaly rezervní kapacity IKT; informovaly příslušné vnitrostátní orgány o změnách v návaznosti na přezkumy realizované po incidentech souvisejících s IKT; nepřetržitě sledovaly relevantní technologický vývoj, zavedly ucelený program testování digitální provozní odolnosti jako nedílnou součást rámce pro řízení rizika v oblasti IKT stanoveného v tomto nařízení nebo přijaly a pravidelně revidovaly strategii týkající se rizika v oblasti IKT spojeného s třetími stranami. Kromě toho by se od mikropodniků mělo pouze vyžadovat, aby posoudily potřebu zachovat tyto nadbytečné kapacity IKT na základě svého rizikového profilu. Mikropodniky by měly mít prospěch z flexibilnějšího režimu, pokud jde o programy testování digitální provozní odolnosti. Při zvažování druhu a četnosti testů, které mají být prováděny, by měly náležitě vyvážit cíl zachování vysoké digitální provozní odolnosti, dostupné zdroje a svůj celkový rizikový profil. Mikropodniky a finanční subjekty, na něž se vztahuje zjednodušený rámec pro řízení rizika v oblasti IKT podle tohoto nařízení, by měly být osvobozeny od požadavku provádět pokročilé testování nástrojů, systémů a procesů IKT na základě penetračního testování na základě hrozeb, neboť by se mělo požadovat, aby takové testování prováděly pouze finanční subjekty splňující kritéria stanovená tímto nařízením. Vzhledem ke svým omezeným možnostem by měly mít mikropodniky možnost dohodnout se s poskytovatelem služeb IKT z řad třetích stran na přenesení práv finančního subjektu na přístup, kontrolu a audit na nezávislou třetí stranu, kterou určí poskytovatel služeb IKT z řad třetích stran, za předpokladu, že finanční subjekt může kdykoli požádat příslušnou nezávislou třetí stranu o veškeré relevantní informace a ujištění o výkonnosti poskytovatele služeb IKT z řad třetích stran. |
| --- | --- |

(43)

Obdobně by se po finančních subjektech, které jsou považovány za mikropodniky nebo se na ně vztahuje zjednodušený rámec pro řízení rizika v oblasti IKT podle tohoto nařízení, nemělo požadovat, aby vytvořily funkci sledování ujednání o využívání služeb IKT uzavřených s poskytovateli z řad třetích stran nebo pověřily jednoho vedoucího pracovníka jako osobu odpovědnou za dohled nad expozicí souvisejícím rizikům a příslušnou dokumentací; pověřily odpovědností za řízení a kontrolu rizika v oblasti IKT kontrolní funkci a zajistily odpovídající nezávislost této kontrolní funkce, aby nedocházelo ke střetům zájmů; zdokumentovaly a přezkoumaly rámec pro řízení rizika v oblasti IKT alespoň jednou ročně; pravidelně prováděly interní audit rámce pro řízení rizika v oblasti IKT; prováděly hloubková posouzení po velkých změnách svých infrastruktur sítí a informačních systémů a procesů, pravidelně analyzovaly rizika původních systémů IKT; prováděly nezávislý interní audit provádění plánů reakce a obnovy v oblasti IKT; zavedly funkci řízení krizí, rozšířily testování zachování provozu a plány reakce a obnovy tak, aby zahrnovaly i scénáře přepnutí mezi primární infrastrukturou IKT a redundantními zařízeními; na žádost oznamovaly příslušným orgánům odhad souhrnných ročních nákladů a ztrát způsobených závažnými incidenty souvisejícími s IKT, udržovaly rezervní kapacity IKT; informovaly příslušné vnitrostátní orgány o změnách v návaznosti na přezkumy realizované po incidentech souvisejících s IKT; nepřetržitě sledovaly relevantní technologický vývoj, zavedly ucelený program testování digitální provozní odolnosti jako nedílnou součást rámce pro řízení rizika v oblasti IKT stanoveného v tomto nařízení nebo přijaly a pravidelně revidovaly strategii týkající se rizika v oblasti IKT spojeného s třetími stranami. Kromě toho by se od mikropodniků mělo pouze vyžadovat, aby posoudily potřebu zachovat tyto nadbytečné kapacity IKT na základě svého rizikového profilu. Mikropodniky by měly mít prospěch z flexibilnějšího režimu, pokud jde o programy testování digitální provozní odolnosti. Při zvažování druhu a četnosti testů, které mají být prováděny, by měly náležitě vyvážit cíl zachování vysoké digitální provozní odolnosti, dostupné zdroje a svůj celkový rizikový profil. Mikropodniky a finanční subjekty, na něž se vztahuje zjednodušený rámec pro řízení rizika v oblasti IKT podle tohoto nařízení, by měly být osvobozeny od požadavku provádět pokročilé testování nástrojů, systémů a procesů IKT na základě penetračního testování na základě hrozeb, neboť by se mělo požadovat, aby takové testování prováděly pouze finanční subjekty splňující kritéria stanovená tímto nařízením. Vzhledem ke svým omezeným možnostem by měly mít mikropodniky možnost dohodnout se s poskytovatelem služeb IKT z řad třetích stran na přenesení práv finančního subjektu na přístup, kontrolu a audit na nezávislou třetí stranu, kterou určí poskytovatel služeb IKT z řad třetích stran, za předpokladu, že finanční subjekt může kdykoli požádat příslušnou nezávislou třetí stranu o veškeré relevantní informace a ujištění o výkonnosti poskytovatele služeb IKT z řad třetích stran.

| (44) | Protože provádění penetračních testů na základě hrozeb bude požadováno pouze u finančních subjektů označených pro účely pokročilého testování digitální odolnosti, měly by se administrativní postupy a finanční náklady související s těmito testy týkat malého procenta finančních subjektů. |
| --- | --- |

(44)

Protože provádění penetračních testů na základě hrozeb bude požadováno pouze u finančních subjektů označených pro účely pokročilého testování digitální odolnosti, měly by se administrativní postupy a finanční náklady související s těmito testy týkat malého procenta finančních subjektů.

| (45) | Aby byla zajištěna úplná harmonizace a celková konzistentnost obchodních strategií finančních subjektů na jedné straně a provádění řízení rizika v oblasti IKT na straně druhé, je třeba po vedoucích orgánech finančních subjektů požadovat, aby si zachovávaly klíčovou a aktivní úlohu při řízení a přizpůsobování rámce pro řízení rizika v oblasti IKT a celkové strategie digitální provozní odolnosti. Přístup vedoucích orgánů by se neměl zaměřovat pouze na prostředky k zajištění odolnosti systémů IKT, ale měl by prostřednictvím souboru politik zahrnovat rovněž osoby a procesy, které na každé úrovni podniku a pro všechny zaměstnance utvářejí silné povědomí o kybernetických rizicích a závazek k dodržování striktní kybernetické hygieny na všech úrovních. Nejvýznamnějším úkolem vedoucího orgánu při řízení rizika finančního subjektu v oblasti IKT by měl být zastřešující princip tohoto uceleného přístupu dále vyjádřeného prostřednictvím nepřetržitého angažování vedoucího orgánu při kontrole sledování řízení rizika v oblasti IKT. |
| --- | --- |

(45)

Aby byla zajištěna úplná harmonizace a celková konzistentnost obchodních strategií finančních subjektů na jedné straně a provádění řízení rizika v oblasti IKT na straně druhé, je třeba po vedoucích orgánech finančních subjektů požadovat, aby si zachovávaly klíčovou a aktivní úlohu při řízení a přizpůsobování rámce pro řízení rizika v oblasti IKT a celkové strategie digitální provozní odolnosti. Přístup vedoucích orgánů by se neměl zaměřovat pouze na prostředky k zajištění odolnosti systémů IKT, ale měl by prostřednictvím souboru politik zahrnovat rovněž osoby a procesy, které na každé úrovni podniku a pro všechny zaměstnance utvářejí silné povědomí o kybernetických rizicích a závazek k dodržování striktní kybernetické hygieny na všech úrovních. Nejvýznamnějším úkolem vedoucího orgánu při řízení rizika finančního subjektu v oblasti IKT by měl být zastřešující princip tohoto uceleného přístupu dále vyjádřeného prostřednictvím nepřetržitého angažování vedoucího orgánu při kontrole sledování řízení rizika v oblasti IKT.

| (46) | Kromě toho zásada plné a konečné odpovědnosti vedoucího orgánu za řízení rizika finančního subjektu v oblasti IKT jde ruku v ruce s potřebou zabezpečit míru investic souvisejících s IKT a celkový rozpočet finančního subjektu, který by mu umožnil dosáhnout vysoké úrovně digitální provozní odolnosti. |
| --- | --- |

(46)

Kromě toho zásada plné a konečné odpovědnosti vedoucího orgánu za řízení rizika finančního subjektu v oblasti IKT jde ruku v ruce s potřebou zabezpečit míru investic souvisejících s IKT a celkový rozpočet finančního subjektu, který by mu umožnil dosáhnout vysoké úrovně digitální provozní odolnosti.

| (47) | Toto nařízení, které je inspirováno příslušnými mezinárodními, vnitrostátními a odvětvovými osvědčenými postupy, pokyny, doporučeními a přístupy k řízení kybernetického rizika, podporuje soubor zásad usnadňujících celkovou strukturalizaci řízení rizika v oblasti IKT. V důsledku toho, pokud existují hlavní schopnosti, které finanční subjekty zavedly s cílem řešit různé funkce řízení rizika v oblasti IKT (identifikace, ochrana a prevence, detekce, reakce a obnova, poučení a vývoj a komunikace), uvedené v tomto nařízení, měly by finanční subjekty nadále volně používat modely řízení rizika v oblasti IKT s různými rámci nebo kategoriemi. |
| --- | --- |

(47)

Toto nařízení, které je inspirováno příslušnými mezinárodními, vnitrostátními a odvětvovými osvědčenými postupy, pokyny, doporučeními a přístupy k řízení kybernetického rizika, podporuje soubor zásad usnadňujících celkovou strukturalizaci řízení rizika v oblasti IKT. V důsledku toho, pokud existují hlavní schopnosti, které finanční subjekty zavedly s cílem řešit různé funkce řízení rizika v oblasti IKT (identifikace, ochrana a prevence, detekce, reakce a obnova, poučení a vývoj a komunikace), uvedené v tomto nařízení, měly by finanční subjekty nadále volně používat modely řízení rizika v oblasti IKT s různými rámci nebo kategoriemi.

| (48) | Aby finanční subjekty udržely krok s vývojem v oblasti kybernetických hrozeb, měly by udržovat aktualizované systémy IKT, které budou spolehlivé a schopné zaručit nejen zpracování údajů požadovaných k realizaci jejich služeb, ale které budou mít rovněž dostatečnou technologickou odolnost umožňující finančním subjektům adekvátně se vypořádat s dalšími požadavky na zpracování, které se mohou objevit v důsledku napjatých podmínek na trhu nebo jiných nepříznivých situací. |
| --- | --- |

(48)

Aby finanční subjekty udržely krok s vývojem v oblasti kybernetických hrozeb, měly by udržovat aktualizované systémy IKT, které budou spolehlivé a schopné zaručit nejen zpracování údajů požadovaných k realizaci jejich služeb, ale které budou mít rovněž dostatečnou technologickou odolnost umožňující finančním subjektům adekvátně se vypořádat s dalšími požadavky na zpracování, které se mohou objevit v důsledku napjatých podmínek na trhu nebo jiných nepříznivých situací.

| (49) | Účinné plány zachování provozu a plány obnovy jsou nutné k tomu, aby mohly finanční subjekty neprodleně a rychle řešit incidenty související s IKT, zejména kybernetické útoky, prostřednictvím omezení škod a upřednostnění obnovy činností a opatření k obnově činností, a to v souladu se svými záložními postupy. Toto obnovení by však v žádném případě nemělo ohrozit integritu a bezpečnost sítí a informačních systémů ani dostupnost, hodnověrnost, integritu nebo důvěrnost údajů. |
| --- | --- |

(49)

Účinné plány zachování provozu a plány obnovy jsou nutné k tomu, aby mohly finanční subjekty neprodleně a rychle řešit incidenty související s IKT, zejména kybernetické útoky, prostřednictvím omezení škod a upřednostnění obnovy činností a opatření k obnově činností, a to v souladu se svými záložními postupy. Toto obnovení by však v žádném případě nemělo ohrozit integritu a bezpečnost sítí a informačních systémů ani dostupnost, hodnověrnost, integritu nebo důvěrnost údajů.

| (50) | I když toto nařízení umožňuje, aby finanční subjekty flexibilně stanovily své cíle, pokud jde o dobu obnovy a bod dosažení obnovy, tedy aby stanovily tyto cíle s úplným zohledněním povahy a významu relevantních funkcí a všech konkrétních provozních potřeb, mělo by po nich nicméně vyžadovat, aby při stanovování těchto cílů provedly posouzení potenciálního celkového dopadu na tržní efektivitu. |
| --- | --- |

(50)

I když toto nařízení umožňuje, aby finanční subjekty flexibilně stanovily své cíle, pokud jde o dobu obnovy a bod dosažení obnovy, tedy aby stanovily tyto cíle s úplným zohledněním povahy a významu relevantních funkcí a všech konkrétních provozních potřeb, mělo by po nich nicméně vyžadovat, aby při stanovování těchto cílů provedly posouzení potenciálního celkového dopadu na tržní efektivitu.

| (51) | Šiřitelé kybernetických útoků mají tendenci usilovat o finanční zisky přímo u zdroje, čímž vystavují finanční subjekty závažným důsledkům. Aby se předešlo ztrátě integrity systémů IKT či jejich nedostupnosti, a tudíž se zabránilo prolomení důvěrných údajů nebo poškození fyzické infrastruktury IKT, je třeba výrazně zlepšit a zjednodušit hlášení závažných incidentů souvisejících s IKT finančními subjekty. Hlášení incidentů souvisejících s IKT by mělo být pro všechny finanční subjekty harmonizováno prostřednictvím zavedení požadavku, aby podávaly hlášení přímo svým relevantním příslušným orgánům. Pokud finanční subjekt podléhá dohledu více než jednoho příslušného vnitrostátního orgánu, měly by členské státy určit jediný příslušný orgán, jemuž bude takové hlášení určeno. Úvěrové instituce klasifikované jako významné v souladu s čl. 6 odst. 4 nařízení Rady (EU) č. 1024/2013 (19) by měly tato hlášení předkládat vnitrostátním příslušným orgánům, které by měly zprávu následně předat Evropské centrální bance (ECB). |
| --- | --- |

(51)

Šiřitelé kybernetických útoků mají tendenci usilovat o finanční zisky přímo u zdroje, čímž vystavují finanční subjekty závažným důsledkům. Aby se předešlo ztrátě integrity systémů IKT či jejich nedostupnosti, a tudíž se zabránilo prolomení důvěrných údajů nebo poškození fyzické infrastruktury IKT, je třeba výrazně zlepšit a zjednodušit hlášení závažných incidentů souvisejících s IKT finančními subjekty. Hlášení incidentů souvisejících s IKT by mělo být pro všechny finanční subjekty harmonizováno prostřednictvím zavedení požadavku, aby podávaly hlášení přímo svým relevantním příslušným orgánům. Pokud finanční subjekt podléhá dohledu více než jednoho příslušného vnitrostátního orgánu, měly by členské státy určit jediný příslušný orgán, jemuž bude takové hlášení určeno. Úvěrové instituce klasifikované jako významné v souladu s čl. 6 odst. 4 nařízení Rady (EU) č. 1024/2013 (19) by měly tato hlášení předkládat vnitrostátním příslušným orgánům, které by měly zprávu následně předat Evropské centrální bance (ECB).

| (52) | Přímé hlášení by mělo orgánům finančního dohledu umožnit získat okamžitý přístup k informacím o závažných incidentech souvisejících s IKT. Orgány finančního dohledu by však na oplátku měly podrobné informace o závažných incidentech souvisejících s IKT poskytnout veřejným nefinančním orgánům (jako jsou příslušné orgány a jednotná kontaktní místa podle směrnice (EU) 2022/2555, vnitrostátní úřady pro ochranu osobních údajů a v případě závažných incidentů souvisejících s IKT trestní povahy donucovací orgány), aby se posílilo povědomí těchto orgánů o takových incidentech a aby se v případě týmů CSIRT usnadnila rychlá pomoc, kterou je možné finančním subjektům případně poskytnout. Členské státy by navíc měly mít možnost stanovit, že finanční subjekty by měly tyto informace poskytovat veřejným orgánům mimo oblast finančních služeb samy. Tyto informační toky by měly finančním subjektům umožnit rychle využít veškerých relevantních technických vstupů, poradenství ohledně nápravy a následných opatření ze strany těchto orgánů. Informace o závažných incidentech souvisejících s IKT by měly být poskytovány vzájemně: orgány finančního dohledu by měly finančnímu subjektu poskytovat veškerou nezbytnou zpětnou vazbu nebo pokyny a evropské orgány dohledu by měly sdílet anonymizované údaje o kybernetických hrozbách a zranitelnostech týkající se daného incidentu, aby pomohly širší společné obraně. |
| --- | --- |

(52)

Přímé hlášení by mělo orgánům finančního dohledu umožnit získat okamžitý přístup k informacím o závažných incidentech souvisejících s IKT. Orgány finančního dohledu by však na oplátku měly podrobné informace o závažných incidentech souvisejících s IKT poskytnout veřejným nefinančním orgánům (jako jsou příslušné orgány a jednotná kontaktní místa podle směrnice (EU) 2022/2555, vnitrostátní úřady pro ochranu osobních údajů a v případě závažných incidentů souvisejících s IKT trestní povahy donucovací orgány), aby se posílilo povědomí těchto orgánů o takových incidentech a aby se v případě týmů CSIRT usnadnila rychlá pomoc, kterou je možné finančním subjektům případně poskytnout. Členské státy by navíc měly mít možnost stanovit, že finanční subjekty by měly tyto informace poskytovat veřejným orgánům mimo oblast finančních služeb samy. Tyto informační toky by měly finančním subjektům umožnit rychle využít veškerých relevantních technických vstupů, poradenství ohledně nápravy a následných opatření ze strany těchto orgánů. Informace o závažných incidentech souvisejících s IKT by měly být poskytovány vzájemně: orgány finančního dohledu by měly finančnímu subjektu poskytovat veškerou nezbytnou zpětnou vazbu nebo pokyny a evropské orgány dohledu by měly sdílet anonymizované údaje o kybernetických hrozbách a zranitelnostech týkající se daného incidentu, aby pomohly širší společné obraně.

| (53) | Přestože by se hlášení incidentů mělo vyžadovat po všech finančních subjektech, neočekává se, že tento požadavek ovlivní všechny subjekty stejným způsobem. Příslušné prahové hodnoty významnosti, jakož i lhůty pro hlášení by měly být řádně upraveny v kontextu aktů v přenesené pravomoci založených na regulačních technických normách, které vypracují evropské orgány dohledu, a to tak, aby se vztahovaly pouze na závažné incidenty související s IKT. Při stanovování lhůt pro povinnost hlášení by navíc měla být zohledněna specifika finančních subjektů. |
| --- | --- |

(53)

Přestože by se hlášení incidentů mělo vyžadovat po všech finančních subjektech, neočekává se, že tento požadavek ovlivní všechny subjekty stejným způsobem. Příslušné prahové hodnoty významnosti, jakož i lhůty pro hlášení by měly být řádně upraveny v kontextu aktů v přenesené pravomoci založených na regulačních technických normách, které vypracují evropské orgány dohledu, a to tak, aby se vztahovaly pouze na závažné incidenty související s IKT. Při stanovování lhůt pro povinnost hlášení by navíc měla být zohledněna specifika finančních subjektů.

| (54) | Toto nařízení by mělo vyžadovat, aby úvěrové instituce, platební instituce, poskytovatelé služeb informování o účtu a instituce elektronických peněz hlásili všechny provozní nebo bezpečnostní incidenty související s platbami – dříve hlášené podle směrnice (EU) 2015/2366 – bez ohledu na povahu incidentu z hlediska IKT. |
| --- | --- |

(54)

Toto nařízení by mělo vyžadovat, aby úvěrové instituce, platební instituce, poskytovatelé služeb informování o účtu a instituce elektronických peněz hlásili všechny provozní nebo bezpečnostní incidenty související s platbami – dříve hlášené podle směrnice (EU) 2015/2366 – bez ohledu na povahu incidentu z hlediska IKT.

| (55) | Evropské orgány dohledu by měly být pověřeny posouzením proveditelnosti a podmínek možné centralizace hlášení incidentů souvisejících s IKT na úrovni Unie. Tato centralizace by mohla sestávat z jednotného centra EU pro hlášení závažných incidentů souvisejících s IKT, které bude buď přímo přijímat příslušná hlášení a automaticky informovat příslušné vnitrostátní orgány, nebo bude soustřeďovat příslušná hlášení zasílaná příslušnými vnitrostátními orgány, a plnit tak úlohu koordinátora. Evropské orgány dohledu by měly být pověřeny, aby společně s ECB a ENISA vypracovaly společnou zprávu zabývající se proveditelností vytvoření jednotného centra EU. |
| --- | --- |

(55)

Evropské orgány dohledu by měly být pověřeny posouzením proveditelnosti a podmínek možné centralizace hlášení incidentů souvisejících s IKT na úrovni Unie. Tato centralizace by mohla sestávat z jednotného centra EU pro hlášení závažných incidentů souvisejících s IKT, které bude buď přímo přijímat příslušná hlášení a automaticky informovat příslušné vnitrostátní orgány, nebo bude soustřeďovat příslušná hlášení zasílaná příslušnými vnitrostátními orgány, a plnit tak úlohu koordinátora. Evropské orgány dohledu by měly být pověřeny, aby společně s ECB a ENISA vypracovaly společnou zprávu zabývající se proveditelností vytvoření jednotného centra EU.

| (56) | Aby finanční subjekty dosáhly vysoké úrovně digitální provozní odolnosti a fungovaly v souladu s příslušnými mezinárodními normami (například základními prvky skupiny G7 pro penetrační testování na základě hrozeb) i s rámci uplatňovanými v Unii, jako je například TIBER–EU, měly by pravidelně testovat své systémy IKT a personál zodpovědný za IKT na efektivitu jejich prostředků prevence, detekce, reakce a obnovy, aby byly zjištěny a odstraněny potenciální zranitelnosti IKT. Aby se zohlednily rozdíly vyskytující se napříč různými finančními pododvětvími a v jejich rámci, pokud jde o úroveň připravenosti finančních subjektů v oblasti kybernetické bezpečnosti, mělo by testování zahrnovat širokou škálu nástrojů a opatření od posouzení základních požadavků (například posouzení a zjišťování zranitelnosti, analýzy otevřených zdrojů, posouzení bezpečnosti sítí, analýzy nedostatků, přezkumy fyzické bezpečnosti, dotazníky a antivirová softwarová řešení, přezkumy zdrojových kódů, pokud jsou proveditelné, testy založené na scénářích, testování kompatibility, testování výkonu nebo testování mezi koncovými body) až po pokročilejší testování prostřednictvím penetračního testování na základě hrozeb. Taková pokročilá testování by měla být vyžadována pouze u finančních subjektů dostatečně vyspělých z hlediska IKT, aby je mohly přiměřeně provést. Testování digitální provozní odolnosti vyžadované tímto nařízením by tedy mělo být pro některé finanční subjekty splňující kritéria stanovená v tomto nařízení (například pro systémové a v oblasti IKT vyspělé úvěrové instituce, burzy, centrální depozitáře cenných papírů a ústřední protistrany) náročnější než pro jiné finanční subjekty. Současně by testování digitální provozní odolnosti prostřednictvím penetračního testování na základě hrozeb mělo být vhodnější pro finanční subjekty, které vykonávají činnost v pododvětvích hlavních finančních služeb a hrají systémovou roli (například platby, bankovnictví a clearing a vypořádání), a méně vhodné pro jiná pododvětví (například správci aktiv a ratingové agentury). |
| --- | --- |

(56)

Aby finanční subjekty dosáhly vysoké úrovně digitální provozní odolnosti a fungovaly v souladu s příslušnými mezinárodními normami (například základními prvky skupiny G7 pro penetrační testování na základě hrozeb) i s rámci uplatňovanými v Unii, jako je například TIBER–EU, měly by pravidelně testovat své systémy IKT a personál zodpovědný za IKT na efektivitu jejich prostředků prevence, detekce, reakce a obnovy, aby byly zjištěny a odstraněny potenciální zranitelnosti IKT. Aby se zohlednily rozdíly vyskytující se napříč různými finančními pododvětvími a v jejich rámci, pokud jde o úroveň připravenosti finančních subjektů v oblasti kybernetické bezpečnosti, mělo by testování zahrnovat širokou škálu nástrojů a opatření od posouzení základních požadavků (například posouzení a zjišťování zranitelnosti, analýzy otevřených zdrojů, posouzení bezpečnosti sítí, analýzy nedostatků, přezkumy fyzické bezpečnosti, dotazníky a antivirová softwarová řešení, přezkumy zdrojových kódů, pokud jsou proveditelné, testy založené na scénářích, testování kompatibility, testování výkonu nebo testování mezi koncovými body) až po pokročilejší testování prostřednictvím penetračního testování na základě hrozeb. Taková pokročilá testování by měla být vyžadována pouze u finančních subjektů dostatečně vyspělých z hlediska IKT, aby je mohly přiměřeně provést. Testování digitální provozní odolnosti vyžadované tímto nařízením by tedy mělo být pro některé finanční subjekty splňující kritéria stanovená v tomto nařízení (například pro systémové a v oblasti IKT vyspělé úvěrové instituce, burzy, centrální depozitáře cenných papírů a ústřední protistrany) náročnější než pro jiné finanční subjekty. Současně by testování digitální provozní odolnosti prostřednictvím penetračního testování na základě hrozeb mělo být vhodnější pro finanční subjekty, které vykonávají činnost v pododvětvích hlavních finančních služeb a hrají systémovou roli (například platby, bankovnictví a clearing a vypořádání), a méně vhodné pro jiná pododvětví (například správci aktiv a ratingové agentury).

| (57) | Finanční subjekty, které působí přeshraničně a vykonávají své právo usadit se nebo právo poskytovat služby v rámci Unie, by měly ve svém domovském členském státě splňovat jednotný soubor požadavků na pokročilé testování (například penetrační testování na základě hrozeb), které by mělo zahrnovat infrastruktury IKT ve všech jurisdikcích, kde přeshraniční finanční skupina v rámci Unie působí, což takovým přeshraničním finančním skupinám umožní mít náklady na testování související s IKT pouze v jedné jurisdikci. |
| --- | --- |

(57)

Finanční subjekty, které působí přeshraničně a vykonávají své právo usadit se nebo právo poskytovat služby v rámci Unie, by měly ve svém domovském členském státě splňovat jednotný soubor požadavků na pokročilé testování (například penetrační testování na základě hrozeb), které by mělo zahrnovat infrastruktury IKT ve všech jurisdikcích, kde přeshraniční finanční skupina v rámci Unie působí, což takovým přeshraničním finančním skupinám umožní mít náklady na testování související s IKT pouze v jedné jurisdikci.

| (58) | S cílem využít odborných znalostí, které již některé příslušné orgány získaly, zejména pokud jde o provádění rámce TIBER–EU, by toto nařízení mělo členským státům umožnit, aby na vnitrostátní úrovni určily jediný veřejný orgán jako odpovědný za všechny záležitosti penetračního testování na základě hrozeb ve finančním sektoru nebo aby v případě, že k takovému určení nedojde, pověřily prováděním úkolů souvisejících s penetračním testováním na základě hrozeb jiný vnitrostátní příslušný finanční orgán. |
| --- | --- |

(58)

S cílem využít odborných znalostí, které již některé příslušné orgány získaly, zejména pokud jde o provádění rámce TIBER–EU, by toto nařízení mělo členským státům umožnit, aby na vnitrostátní úrovni určily jediný veřejný orgán jako odpovědný za všechny záležitosti penetračního testování na základě hrozeb ve finančním sektoru nebo aby v případě, že k takovému určení nedojde, pověřily prováděním úkolů souvisejících s penetračním testováním na základě hrozeb jiný vnitrostátní příslušný finanční orgán.

| (59) | Vzhledem k tomu, že toto nařízení nevyžaduje, aby finanční subjekty pokrývaly všechny zásadní nebo důležité funkce v rámci jediného penetračního testu na základě hrozeb, měly by mít finanční subjekty možnost určit, které zásadní nebo důležité funkce by do rozsahu tohoto testování měly být zahrnuty a kolik by jich mělo být. |
| --- | --- |

(59)

Vzhledem k tomu, že toto nařízení nevyžaduje, aby finanční subjekty pokrývaly všechny zásadní nebo důležité funkce v rámci jediného penetračního testu na základě hrozeb, měly by mít finanční subjekty možnost určit, které zásadní nebo důležité funkce by do rozsahu tohoto testování měly být zahrnuty a kolik by jich mělo být.

| (60) | Společné testování ve smyslu tohoto nařízení – zahrnující zapojení několika finančních subjektů do penetračního testování na základě hrozeb, kdy poskytovatel služeb IKT z řad třetích stran může přímo uzavřít smluvní ujednání s externím subjektem provádějícím testování – by se mělo umožnit pouze tehdy, pokud se odůvodněně předpokládá, že by to nemělo nepříznivý dopad na kvalitu nebo bezpečnost služeb IKT poskytovaných poskytovatelem z řad třetích stran zákazníkům, kteří nejsou subjekty spadajícími do oblasti působnosti tohoto nařízení, nebo na důvěrnost údajů souvisejících s těmito službami. Společné testování by mělo podléhat zárukám (řízení jedním určeným finančním subjektem, kalibrace zapojených finančních subjektů) s cílem zajistit důkladné testování zapojených finančních subjektů, které splňuje cíle penetračního testování na základě hrozeb podle tohoto nařízení. |
| --- | --- |

(60)

Společné testování ve smyslu tohoto nařízení – zahrnující zapojení několika finančních subjektů do penetračního testování na základě hrozeb, kdy poskytovatel služeb IKT z řad třetích stran může přímo uzavřít smluvní ujednání s externím subjektem provádějícím testování – by se mělo umožnit pouze tehdy, pokud se odůvodněně předpokládá, že by to nemělo nepříznivý dopad na kvalitu nebo bezpečnost služeb IKT poskytovaných poskytovatelem z řad třetích stran zákazníkům, kteří nejsou subjekty spadajícími do oblasti působnosti tohoto nařízení, nebo na důvěrnost údajů souvisejících s těmito službami. Společné testování by mělo podléhat zárukám (řízení jedním určeným finančním subjektem, kalibrace zapojených finančních subjektů) s cílem zajistit důkladné testování zapojených finančních subjektů, které splňuje cíle penetračního testování na základě hrozeb podle tohoto nařízení.

| (61) | Aby bylo možné využít interních zdrojů dostupných na úrovni podniku, mělo by toto nařízení pro účely provádění penetračního testování na základě hrozeb umožnit používání interních subjektů za předpokladu, že orgán dohledu souhlasí, že nedochází ke střetům zájmů a že se pravidelně mění používání interních a externích subjektů provádějících testování (jeden ze tří testů), a zároveň by se mělo vyžadovat, aby poskytovatel operativních informací o hrozbách byl v rámci penetračního testování vždy externí subjekt, který není součástí daného finančního subjektu. Odpovědnost za provádění penetračního testování na základě hrozeb by měl plně nést finanční subjekt. Osvědčení vydávaná orgány by měla být výhradně pro účely vzájemného uznávání a neměla by vylučovat jakákoli následná opatření potřebná k řešení rizika v oblasti IKT, jemuž je finanční subjekt vystaven, ani by neměla být chápána jako potvrzení ze strany orgánů dohledu o schopnostech finančního subjektu řídit a snižovat rizika v oblasti IKT. |
| --- | --- |

(61)

Aby bylo možné využít interních zdrojů dostupných na úrovni podniku, mělo by toto nařízení pro účely provádění penetračního testování na základě hrozeb umožnit používání interních subjektů za předpokladu, že orgán dohledu souhlasí, že nedochází ke střetům zájmů a že se pravidelně mění používání interních a externích subjektů provádějících testování (jeden ze tří testů), a zároveň by se mělo vyžadovat, aby poskytovatel operativních informací o hrozbách byl v rámci penetračního testování vždy externí subjekt, který není součástí daného finančního subjektu. Odpovědnost za provádění penetračního testování na základě hrozeb by měl plně nést finanční subjekt. Osvědčení vydávaná orgány by měla být výhradně pro účely vzájemného uznávání a neměla by vylučovat jakákoli následná opatření potřebná k řešení rizika v oblasti IKT, jemuž je finanční subjekt vystaven, ani by neměla být chápána jako potvrzení ze strany orgánů dohledu o schopnostech finančního subjektu řídit a snižovat rizika v oblasti IKT.

| (62) | Za účelem zajištění řádného sledování rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru je nutné stanovit soubor pravidel založených na zásadách jako vodítko pro finanční subjekty, pokud sledují riziko, které vzniká v souvislosti s funkcemi externě zajišťovanými poskytovateli služeb IKT z řad třetích stran, a to zejména v případě služeb IKT podporujících zásadní nebo důležité funkce, jakož i obecněji v kontextu závislostí na všech třetích stranách v oblasti IKT. |
| --- | --- |

(62)

Za účelem zajištění řádného sledování rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru je nutné stanovit soubor pravidel založených na zásadách jako vodítko pro finanční subjekty, pokud sledují riziko, které vzniká v souvislosti s funkcemi externě zajišťovanými poskytovateli služeb IKT z řad třetích stran, a to zejména v případě služeb IKT podporujících zásadní nebo důležité funkce, jakož i obecněji v kontextu závislostí na všech třetích stranách v oblasti IKT.

| (63) | Aby bylo možné řešit složitost různých zdrojů rizika v oblasti IKT a zároveň zohlednit množství a rozmanitost poskytovatelů technologických řešení, která umožňují bezproblémové poskytování finančních služeb, mělo by se toto nařízení vztahovat na širokou škálu poskytovatelů služeb IKT z řad třetích stran, včetně poskytovatelů cloudových služeb, softwaru, služeb analýzy dat a poskytovatelů služeb datových center. Podobně vzhledem k tomu, že by finanční subjekty měly účinně a jednotně identifikovat a řídit všechny druhy rizika, a to i v souvislosti se službami IKT pořízenými v rámci finanční skupiny, mělo by být vyjasněno, že podniky, které jsou součástí finanční skupiny a poskytují služby IKT převážně svému mateřskému podniku nebo dceřiným podnikům či pobočkám svého mateřského podniku, jakož i finanční subjekty poskytující služby IKT jiným finančním subjektům, by měly být rovněž považovány za poskytovatele služeb IKT z řad třetích stran podle tohoto nařízení. A konečně s ohledem na vyvíjející se trh platebních služeb, který je stále závislejší na složitých technických řešeních, a s ohledem na nově se objevující druhy platebních služeb a řešení související s platbami by účastníci ekosystému platebních služeb, kteří poskytují činnosti zpracování plateb nebo provozují platební infrastruktury, měli být rovněž považováni za poskytovatele služeb IKT z řad třetích stran podle tohoto nařízení, s výjimkou centrálních bank při provozování platebních systémů nebo systémů vypořádání obchodů s cennými papíry a veřejných orgánů při poskytování služeb souvisejících s IKT v kontextu státní správy. |
| --- | --- |

(63)

Aby bylo možné řešit složitost různých zdrojů rizika v oblasti IKT a zároveň zohlednit množství a rozmanitost poskytovatelů technologických řešení, která umožňují bezproblémové poskytování finančních služeb, mělo by se toto nařízení vztahovat na širokou škálu poskytovatelů služeb IKT z řad třetích stran, včetně poskytovatelů cloudových služeb, softwaru, služeb analýzy dat a poskytovatelů služeb datových center. Podobně vzhledem k tomu, že by finanční subjekty měly účinně a jednotně identifikovat a řídit všechny druhy rizika, a to i v souvislosti se službami IKT pořízenými v rámci finanční skupiny, mělo by být vyjasněno, že podniky, které jsou součástí finanční skupiny a poskytují služby IKT převážně svému mateřskému podniku nebo dceřiným podnikům či pobočkám svého mateřského podniku, jakož i finanční subjekty poskytující služby IKT jiným finančním subjektům, by měly být rovněž považovány za poskytovatele služeb IKT z řad třetích stran podle tohoto nařízení. A konečně s ohledem na vyvíjející se trh platebních služeb, který je stále závislejší na složitých technických řešeních, a s ohledem na nově se objevující druhy platebních služeb a řešení související s platbami by účastníci ekosystému platebních služeb, kteří poskytují činnosti zpracování plateb nebo provozují platební infrastruktury, měli být rovněž považováni za poskytovatele služeb IKT z řad třetích stran podle tohoto nařízení, s výjimkou centrálních bank při provozování platebních systémů nebo systémů vypořádání obchodů s cennými papíry a veřejných orgánů při poskytování služeb souvisejících s IKT v kontextu státní správy.

| (64) | Za dodržování svých povinností podle tohoto nařízení by měl vždy zůstat plně odpovědný finanční subjekt. Finanční subjekty by měly uplatňovat proporcionální přístup ke sledování rizik vznikajících na úrovni poskytovatelů služeb IKT z řad třetích stran, a to řádným přihlédnutím k povaze, rozsahu, složitosti a významu své závislosti související s IKT, významu či důležitosti služeb, procesů nebo funkcí regulovaných smluvními ujednáními a nakonec na základě pečlivého posouzení všech potenciálních dopadů na kontinuitu a kvalitu finančních služeb na individuální úrovni a případně na úrovni skupiny. |
| --- | --- |

(64)

Za dodržování svých povinností podle tohoto nařízení by měl vždy zůstat plně odpovědný finanční subjekt. Finanční subjekty by měly uplatňovat proporcionální přístup ke sledování rizik vznikajících na úrovni poskytovatelů služeb IKT z řad třetích stran, a to řádným přihlédnutím k povaze, rozsahu, složitosti a významu své závislosti související s IKT, významu či důležitosti služeb, procesů nebo funkcí regulovaných smluvními ujednáními a nakonec na základě pečlivého posouzení všech potenciálních dopadů na kontinuitu a kvalitu finančních služeb na individuální úrovni a případně na úrovni skupiny.

| (65) | Toto sledování by se mělo řídit strategickým přístupem k riziku v oblasti IKT spojeným s třetími stranami formalizovaným prostřednictvím specializované strategie pro riziko v oblasti IKT spojené s třetími stranami přijaté vedoucím orgánem finančního subjektu, která bude založena na nepřetržité kontrole všech takových závislostí na třetích stranách v oblasti IKT. V zájmu zvýšení povědomí orgánů dohledu o závislosti na třetích stranách v oblasti IKT a s cílem dále podpořit práci v souvislosti s rámcem dohledu zřízeným tímto nařízením by všechny finanční subjekty měly mít povinnost vést registr informací se všemi smluvními ujednáními o využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran. Orgány finančního dohledu by měly mít možnost požádat o registr v plném rozsahu nebo požádat o jeho konkrétní části, a získat tak nezbytné informace pro širší pochopení závislostí finančních subjektů na IKT. |
| --- | --- |

(65)

Toto sledování by se mělo řídit strategickým přístupem k riziku v oblasti IKT spojeným s třetími stranami formalizovaným prostřednictvím specializované strategie pro riziko v oblasti IKT spojené s třetími stranami přijaté vedoucím orgánem finančního subjektu, která bude založena na nepřetržité kontrole všech takových závislostí na třetích stranách v oblasti IKT. V zájmu zvýšení povědomí orgánů dohledu o závislosti na třetích stranách v oblasti IKT a s cílem dále podpořit práci v souvislosti s rámcem dohledu zřízeným tímto nařízením by všechny finanční subjekty měly mít povinnost vést registr informací se všemi smluvními ujednáními o využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran. Orgány finančního dohledu by měly mít možnost požádat o registr v plném rozsahu nebo požádat o jeho konkrétní části, a získat tak nezbytné informace pro širší pochopení závislostí finančních subjektů na IKT.

| (66) | Základem formálního uzavření smluvních ujednání by měla být důkladná analýza před uzavřením smlouvy, přičemž by se měla zaměřit zejména na prvky, jak jsou služby podporované zamýšlenou smlouvou o IKT zásadní nebo důležité, nezbytná schválení orgánů dohledu nebo jiné podmínky, možné riziko koncentrace, které s sebou nese, jakož i uplatňování náležité péče v procesu výběru a posuzování poskytovatelů služeb IKT z řad třetích stran a posuzování potenciálních střetů zájmů. U smluvních ujednání týkajících se zásadních nebo důležitých funkcí by finanční subjekty měly zvážit, zda poskytovatelé služeb IKT z řad třetích stran uplatňují aktuální a nejvyšší normy bezpečnosti informací. K ukončení smluvních ujednání by mohlo docházet na základě alespoň série okolností ukazujících na nedostatky vzniklé na úrovni poskytovatele služeb IKT z řad třetích stran, zejména na významné porušení právních předpisů nebo smluvních podmínek, okolnosti odhalující potenciální změnu v plnění funkcí poskytovaných na základě smluvních ujednání, důkazy o slabých stránkách poskytovatele služeb IKT z řad třetích stran v jeho celkovém řízení rizika v oblasti IKT nebo okolnosti naznačující, že relevantní příslušný orgán není schopen vykonávat účinný dohled nad finančním subjektem. |
| --- | --- |

(66)

Základem formálního uzavření smluvních ujednání by měla být důkladná analýza před uzavřením smlouvy, přičemž by se měla zaměřit zejména na prvky, jak jsou služby podporované zamýšlenou smlouvou o IKT zásadní nebo důležité, nezbytná schválení orgánů dohledu nebo jiné podmínky, možné riziko koncentrace, které s sebou nese, jakož i uplatňování náležité péče v procesu výběru a posuzování poskytovatelů služeb IKT z řad třetích stran a posuzování potenciálních střetů zájmů. U smluvních ujednání týkajících se zásadních nebo důležitých funkcí by finanční subjekty měly zvážit, zda poskytovatelé služeb IKT z řad třetích stran uplatňují aktuální a nejvyšší normy bezpečnosti informací. K ukončení smluvních ujednání by mohlo docházet na základě alespoň série okolností ukazujících na nedostatky vzniklé na úrovni poskytovatele služeb IKT z řad třetích stran, zejména na významné porušení právních předpisů nebo smluvních podmínek, okolnosti odhalující potenciální změnu v plnění funkcí poskytovaných na základě smluvních ujednání, důkazy o slabých stránkách poskytovatele služeb IKT z řad třetích stran v jeho celkovém řízení rizika v oblasti IKT nebo okolnosti naznačující, že relevantní příslušný orgán není schopen vykonávat účinný dohled nad finančním subjektem.

| (67) | Za účelem řešení systémového dopadu rizika koncentrace třetích stran v oblasti IKT podporuje toto nařízení vyvážené řešení prostřednictvím flexibilního a postupného přístupu k tomuto riziku koncentrace, neboť stanovení jakýchkoli pevných mezních hodnot nebo přísných omezení by mohlo bránit podnikání a omezovat smluvní svobodu. Finanční subjekty by měly důkladně vyhodnocovat svá plánovaná smluvní ujednání, aby identifikovaly pravděpodobnost vzniku takového rizika, včetně využití hloubkových analýz subdodavatelských ujednání, zejména budou-li uzavírány s poskytovateli služeb IKT z řad třetích stran usazenými ve třetí zemi. V této fázi a s ohledem na dosažení spravedlivé rovnováhy mezi nutným zachováním smluvní svobody a nutným zajištěním finanční stability není považováno za vhodné stanovit pro expozici třetím stranám v oblasti IKT pravidla v podobě striktních mezních hodnot a omezení. V kontextu rámce dohledu by hlavní orgán dohledu jmenovaný podle tohoto nařízení měl s ohledem na kritické poskytovatele služeb IKT z řad třetích stran věnovat zvláštní pozornost úplnému pochopení rozsahu vzájemných závislostí, objevení konkrétních míst, kde je pravděpodobné, že vysoká koncentrace kritických poskytovatelů služeb IKT z řad třetích stran v Unii může ohrozit stabilitu a integritu jejího finančního systému, a udržovat dialog s kritickými poskytovateli služeb IKT z řad třetích stran, u nichž je toto konkrétní riziko identifikováno. |
| --- | --- |

(67)

Za účelem řešení systémového dopadu rizika koncentrace třetích stran v oblasti IKT podporuje toto nařízení vyvážené řešení prostřednictvím flexibilního a postupného přístupu k tomuto riziku koncentrace, neboť stanovení jakýchkoli pevných mezních hodnot nebo přísných omezení by mohlo bránit podnikání a omezovat smluvní svobodu. Finanční subjekty by měly důkladně vyhodnocovat svá plánovaná smluvní ujednání, aby identifikovaly pravděpodobnost vzniku takového rizika, včetně využití hloubkových analýz subdodavatelských ujednání, zejména budou-li uzavírány s poskytovateli služeb IKT z řad třetích stran usazenými ve třetí zemi. V této fázi a s ohledem na dosažení spravedlivé rovnováhy mezi nutným zachováním smluvní svobody a nutným zajištěním finanční stability není považováno za vhodné stanovit pro expozici třetím stranám v oblasti IKT pravidla v podobě striktních mezních hodnot a omezení. V kontextu rámce dohledu by hlavní orgán dohledu jmenovaný podle tohoto nařízení měl s ohledem na kritické poskytovatele služeb IKT z řad třetích stran věnovat zvláštní pozornost úplnému pochopení rozsahu vzájemných závislostí, objevení konkrétních míst, kde je pravděpodobné, že vysoká koncentrace kritických poskytovatelů služeb IKT z řad třetích stran v Unii může ohrozit stabilitu a integritu jejího finančního systému, a udržovat dialog s kritickými poskytovateli služeb IKT z řad třetích stran, u nichž je toto konkrétní riziko identifikováno.

| (68) | Za účelem pravidelného hodnocení a sledování schopnosti poskytovatele služeb IKT z řad třetích stran bezpečně poskytovat služby finančnímu subjektu bez nepříznivých dopadů na digitální provozní odolnost finančního subjektu by mělo být několik klíčových smluvních prvků s poskytovateli služeb IKT z řad třetích stran harmonizováno. Taková harmonizace by se měla týkat alespoň oblastí, které jsou klíčové pro to, aby finanční subjekt mohl plně sledovat rizika, která by mohl způsobit poskytovatel služeb IKT z řad třetích stran, a to z hlediska potřeby finančního subjektu zabezpečit svoji digitální odolnost, protože ta velmi závisí na stabilitě, funkčnosti, dostupnosti a bezpečnosti služeb IKT, které mu jsou poskytovány. |
| --- | --- |

(68)

Za účelem pravidelného hodnocení a sledování schopnosti poskytovatele služeb IKT z řad třetích stran bezpečně poskytovat služby finančnímu subjektu bez nepříznivých dopadů na digitální provozní odolnost finančního subjektu by mělo být několik klíčových smluvních prvků s poskytovateli služeb IKT z řad třetích stran harmonizováno. Taková harmonizace by se měla týkat alespoň oblastí, které jsou klíčové pro to, aby finanční subjekt mohl plně sledovat rizika, která by mohl způsobit poskytovatel služeb IKT z řad třetích stran, a to z hlediska potřeby finančního subjektu zabezpečit svoji digitální odolnost, protože ta velmi závisí na stabilitě, funkčnosti, dostupnosti a bezpečnosti služeb IKT, které mu jsou poskytovány.

| (69) | V rámci nového sjednávání smluvních ujednání s cílem dosáhnout souladu s požadavky tohoto nařízení by finanční subjekty a poskytovatelé služeb IKT z řad třetích stran měli zajistit pokrytí klíčových smluvních ustanovení, jak je stanoveno v tomto nařízení. |
| --- | --- |

(69)

V rámci nového sjednávání smluvních ujednání s cílem dosáhnout souladu s požadavky tohoto nařízení by finanční subjekty a poskytovatelé služeb IKT z řad třetích stran měli zajistit pokrytí klíčových smluvních ustanovení, jak je stanoveno v tomto nařízení.

| (70) | Definice „zásadní nebo důležitá funkce“ stanovená v tomto nařízení by měla zahrnovat „zásadní funkce“ uvedené v čl. 2 odst. 1 bodě 35 směrnice Evropského parlamentu a Rady 2014/59/EU (20). Obdobně jsou funkce považované za zásadní podle směrnice 2014/59/EU zahrnuty do definice zásadních funkcí ve smyslu tohoto nařízení. |
| --- | --- |

(70)

Definice „zásadní nebo důležitá funkce“ stanovená v tomto nařízení by měla zahrnovat „zásadní funkce“ uvedené v čl. 2 odst. 1 bodě 35 směrnice Evropského parlamentu a Rady 2014/59/EU (20). Obdobně jsou funkce považované za zásadní podle směrnice 2014/59/EU zahrnuty do definice zásadních funkcí ve smyslu tohoto nařízení.

| (71) | Bez ohledu na to, jak jsou funkce podporované službami IKT zásadní nebo důležité, měla by smluvní ujednání zejména obsahovat specifikace úplných popisů funkcí a služeb, míst, kde jsou dotčené funkce poskytovány a kde budou zpracovávána data, a rovněž popisy úrovní služeb. Mezi další zásadní prvky umožňující finančnímu subjektu sledovat riziko v oblasti IKT spojené s třetími stranami patří: smluvní ustanovení, která upřesňují, jak poskytovatel služeb IKT z řad třetích stran zajišťuje přístupnost, dostupnost, integritu, bezpečnost a ochranu osobních údajů, ustanovení obsahující relevantní záruky umožňující přístup k údajům, obnovu a navrácení údajů v případě platební neschopnosti, řešení krize nebo ukončení obchodní činnosti poskytovatele služeb IKT z řad třetích stran, jakož i ustanovení požadující, aby poskytovatel služeb IKT z řad třetích stran poskytl pomoc v případě incidentů v oblasti IKT v souvislosti s poskytovanými službami, a to bez dodatečných nákladů nebo za cenu určenou následně; ustanovení o povinnosti poskytovatele služeb IKT z řad třetích stran plně spolupracovat s příslušnými orgány a orgány příslušnými k řešení krize finančního subjektu; a ustanovení o právech na ukončení smlouvy a související minimální výpovědní lhůtě pro ukončení smluvních ujednání v souladu s očekáváními příslušných orgánů a orgánů příslušných k řešení krize. |
| --- | --- |

(71)

Bez ohledu na to, jak jsou funkce podporované službami IKT zásadní nebo důležité, měla by smluvní ujednání zejména obsahovat specifikace úplných popisů funkcí a služeb, míst, kde jsou dotčené funkce poskytovány a kde budou zpracovávána data, a rovněž popisy úrovní služeb. Mezi další zásadní prvky umožňující finančnímu subjektu sledovat riziko v oblasti IKT spojené s třetími stranami patří: smluvní ustanovení, která upřesňují, jak poskytovatel služeb IKT z řad třetích stran zajišťuje přístupnost, dostupnost, integritu, bezpečnost a ochranu osobních údajů, ustanovení obsahující relevantní záruky umožňující přístup k údajům, obnovu a navrácení údajů v případě platební neschopnosti, řešení krize nebo ukončení obchodní činnosti poskytovatele služeb IKT z řad třetích stran, jakož i ustanovení požadující, aby poskytovatel služeb IKT z řad třetích stran poskytl pomoc v případě incidentů v oblasti IKT v souvislosti s poskytovanými službami, a to bez dodatečných nákladů nebo za cenu určenou následně; ustanovení o povinnosti poskytovatele služeb IKT z řad třetích stran plně spolupracovat s příslušnými orgány a orgány příslušnými k řešení krize finančního subjektu; a ustanovení o právech na ukončení smlouvy a související minimální výpovědní lhůtě pro ukončení smluvních ujednání v souladu s očekáváními příslušných orgánů a orgánů příslušných k řešení krize.

| (72) | Kromě těchto smluvních ustanovení a s cílem zajistit, aby finanční subjekty měly i nadále plnou kontrolu nad veškerým vývojem na úrovni třetích stran, který by mohl ohrozit jejich bezpečnost IKT, by smlouvy o poskytování služeb IKT podporujících zásadní nebo důležité funkce měly rovněž obsahovat: upřesnění popisů úrovní úplné služby doplněné o přesné kvantitativní i kvalitativní výkonnostní cíle, aby bylo možné neprodleně přijmout vhodné kroky k nápravě, nejsou-li sjednané úrovně služeb splněny; příslušné lhůty pro oznámení a povinnosti hlášení poskytovatelů služeb IKT z řad třetích stran v případě vývoje s potenciálním vážným dopadem na schopnost poskytovatelů služeb IKT z řad třetích stran zajišťovat příslušné služby IKT; požadavek, aby poskytovatel služeb IKT z řad třetích stran zavedl a otestoval plány zachování provozu a měl bezpečnostní opatření, nástroje a politiky v oblasti IKT umožňující bezpečné poskytování služeb a aby se podílel na penetračním testu na základě hrozeb prováděném finančním subjektem a plně na něm spolupracoval. |
| --- | --- |

(72)

Kromě těchto smluvních ustanovení a s cílem zajistit, aby finanční subjekty měly i nadále plnou kontrolu nad veškerým vývojem na úrovni třetích stran, který by mohl ohrozit jejich bezpečnost IKT, by smlouvy o poskytování služeb IKT podporujících zásadní nebo důležité funkce měly rovněž obsahovat: upřesnění popisů úrovní úplné služby doplněné o přesné kvantitativní i kvalitativní výkonnostní cíle, aby bylo možné neprodleně přijmout vhodné kroky k nápravě, nejsou-li sjednané úrovně služeb splněny; příslušné lhůty pro oznámení a povinnosti hlášení poskytovatelů služeb IKT z řad třetích stran v případě vývoje s potenciálním vážným dopadem na schopnost poskytovatelů služeb IKT z řad třetích stran zajišťovat příslušné služby IKT; požadavek, aby poskytovatel služeb IKT z řad třetích stran zavedl a otestoval plány zachování provozu a měl bezpečnostní opatření, nástroje a politiky v oblasti IKT umožňující bezpečné poskytování služeb a aby se podílel na penetračním testu na základě hrozeb prováděném finančním subjektem a plně na něm spolupracoval.

| (73) | Smlouvy o poskytování služeb IKT podporujících zásadní nebo důležité funkce by měly rovněž obsahovat ustanovení poskytující finančnímu subjektu nebo určené třetí straně práva na přístup, kontrolu a audit a právo pořizovat si kopie, což jsou společně s úplnou spoluprací poskytovatele služeb IKT z řad třetích stran klíčové nástroje průběžného sledování plnění těchto poskytovatelů služeb. Podobně by měl příslušný orgán finančního subjektu mít právo provést po předchozím oznámení kontrolu a audit poskytovatele služeb IKT z řad třetích stran, s výhradou ochrany důvěrných informací. |
| --- | --- |

(73)

Smlouvy o poskytování služeb IKT podporujících zásadní nebo důležité funkce by měly rovněž obsahovat ustanovení poskytující finančnímu subjektu nebo určené třetí straně práva na přístup, kontrolu a audit a právo pořizovat si kopie, což jsou společně s úplnou spoluprací poskytovatele služeb IKT z řad třetích stran klíčové nástroje průběžného sledování plnění těchto poskytovatelů služeb. Podobně by měl příslušný orgán finančního subjektu mít právo provést po předchozím oznámení kontrolu a audit poskytovatele služeb IKT z řad třetích stran, s výhradou ochrany důvěrných informací.

| (74) | Taková smluvní ujednání by měla rovněž stanovit specializované strategie ukončení smluvního vztahu umožňující zejména povinná přechodná období, během nichž by měli poskytovatelé služeb IKT z řad třetích stran nadále poskytovat příslušné služby s cílem snížit riziko narušení na úrovni finančního subjektu nebo mu podle složitosti poskytované služby IKT umožnit začít účinně využívat jiného poskytovatele služeb IKT z řad třetích stran, případně změnit interní řešení. Finanční subjekty spadající do oblasti působnosti směrnice 2014/59/EU by navíc měly zajistit, aby příslušné smlouvy týkající se služeb IKT byly v případě řešení krize těchto finančních subjektů spolehlivé a plně vymahatelné. Tyto finanční subjekty by měly v souladu s předpoklady orgánů příslušných k řešení krize zajistit, aby byly příslušné smlouvy týkající se služeb IKT odolné vůči takovým krizím. Pokud tyto finanční subjekty nadále plní své platební povinnosti, měly by mimo jiné zajistit, aby příslušné smlouvy týkající se služeb IKT obsahovaly doložky o neukončení, nepozastavení a nezměněném stavu z důvodu restrukturalizace nebo řešení krize. |
| --- | --- |

(74)

Taková smluvní ujednání by měla rovněž stanovit specializované strategie ukončení smluvního vztahu umožňující zejména povinná přechodná období, během nichž by měli poskytovatelé služeb IKT z řad třetích stran nadále poskytovat příslušné služby s cílem snížit riziko narušení na úrovni finančního subjektu nebo mu podle složitosti poskytované služby IKT umožnit začít účinně využívat jiného poskytovatele služeb IKT z řad třetích stran, případně změnit interní řešení. Finanční subjekty spadající do oblasti působnosti směrnice 2014/59/EU by navíc měly zajistit, aby příslušné smlouvy týkající se služeb IKT byly v případě řešení krize těchto finančních subjektů spolehlivé a plně vymahatelné. Tyto finanční subjekty by měly v souladu s předpoklady orgánů příslušných k řešení krize zajistit, aby byly příslušné smlouvy týkající se služeb IKT odolné vůči takovým krizím. Pokud tyto finanční subjekty nadále plní své platební povinnosti, měly by mimo jiné zajistit, aby příslušné smlouvy týkající se služeb IKT obsahovaly doložky o neukončení, nepozastavení a nezměněném stavu z důvodu restrukturalizace nebo řešení krize.

| (75) | Kromě toho by dobrovolné použití standardních smluvních doložek vypracovaných veřejnými orgány nebo orgány Unie, zejména použití standardních smluvních doložek vypracovaných Komisí pro cloudové služby, mohlo dále zjednodušit situaci finančních subjektů a poskytovatelů služeb IKT z řad třetích stran, protože se zvýší jejich úroveň právní jistoty ohledně využívání cloudových služeb ve finančním sektoru v úplném souladu s požadavky a předpoklady stanovenými v právu Unie v oblasti finančních služeb. Vypracování standardních smluvních doložek vychází z opatření již předjímaných v akčním plánu pro finanční technologie z roku 2018, kde byl oznámen záměr Komise podporovat a usnadňovat vypracovávání standardních smluvních doložek pro používání externích cloudových služeb finančními subjekty, přičemž čerpá z práce meziodvětvových zúčastněných subjektů cloudových služeb, kterou Komise umožnila za přispění finančního sektoru. |
| --- | --- |

(75)

Kromě toho by dobrovolné použití standardních smluvních doložek vypracovaných veřejnými orgány nebo orgány Unie, zejména použití standardních smluvních doložek vypracovaných Komisí pro cloudové služby, mohlo dále zjednodušit situaci finančních subjektů a poskytovatelů služeb IKT z řad třetích stran, protože se zvýší jejich úroveň právní jistoty ohledně využívání cloudových služeb ve finančním sektoru v úplném souladu s požadavky a předpoklady stanovenými v právu Unie v oblasti finančních služeb. Vypracování standardních smluvních doložek vychází z opatření již předjímaných v akčním plánu pro finanční technologie z roku 2018, kde byl oznámen záměr Komise podporovat a usnadňovat vypracovávání standardních smluvních doložek pro používání externích cloudových služeb finančními subjekty, přičemž čerpá z práce meziodvětvových zúčastněných subjektů cloudových služeb, kterou Komise umožnila za přispění finančního sektoru.

| (76) | S cílem podpořit konvergenci a účinnost v souvislosti s přístupy k dohledu při řešení rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru, jakož i posílit digitální provozní odolnost finančních subjektů, které se při poskytování služeb IKT podporujících poskytování finančních služeb spoléhají na kritické poskytovatele služeb IKT z řad třetích stran, a pomoci tak zachovat stabilitu finančního systému Unie a integritu vnitřního trhu s finančními službami, by měli kritičtí poskytovatelé služeb IKT z řad třetích stran podléhat unijnímu rámci dohledu. I když je zřízení rámce dohledu odůvodněno přidanou hodnotou přijetí opatření na úrovni Unie a inherentní úlohou a zvláštnostmi využívání služeb IKT při poskytování finančních služeb, mělo by být zároveň připomenuto, že toto řešení se jeví jako vhodné pouze v kontextu tohoto nařízení, které se konkrétně zabývá digitální provozní odolností ve finančním sektoru. Tento rámec dohledu by však neměl být považován za nový model dohledu Unie v oblasti finančních služeb a činností. |
| --- | --- |

(76)

S cílem podpořit konvergenci a účinnost v souvislosti s přístupy k dohledu při řešení rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru, jakož i posílit digitální provozní odolnost finančních subjektů, které se při poskytování služeb IKT podporujících poskytování finančních služeb spoléhají na kritické poskytovatele služeb IKT z řad třetích stran, a pomoci tak zachovat stabilitu finančního systému Unie a integritu vnitřního trhu s finančními službami, by měli kritičtí poskytovatelé služeb IKT z řad třetích stran podléhat unijnímu rámci dohledu. I když je zřízení rámce dohledu odůvodněno přidanou hodnotou přijetí opatření na úrovni Unie a inherentní úlohou a zvláštnostmi využívání služeb IKT při poskytování finančních služeb, mělo by být zároveň připomenuto, že toto řešení se jeví jako vhodné pouze v kontextu tohoto nařízení, které se konkrétně zabývá digitální provozní odolností ve finančním sektoru. Tento rámec dohledu by však neměl být považován za nový model dohledu Unie v oblasti finančních služeb a činností.

| (77) | Rámec dohledu by se měl vztahovat pouze na kritické poskytovatele služeb IKT z řad třetích stran. Proto by měl existovat mechanismus určování, který by zohlednil rozměr a povahu závislosti finančního sektoru na těchto poskytovatelích služeb IKT z řad třetích stran. Tento mechanismus by měl zahrnovat soubor kvantitativních a kvalitativních kritérií pro stanovení parametrů kritičnosti jako základu pro začlenění do rámce dohledu. Aby byla zajištěna přesnost tohoto posouzení a bez ohledu na organizační strukturu poskytovatele služeb IKT z řad třetích stran, měla by tato kritéria v případě poskytovatele služeb IKT z řad třetích stran, který je součástí širší skupiny, zohlednit celou strukturu skupiny poskytovatele služeb IKT z řad třetích stran. Na jedné straně by kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří nebudou automaticky určeni na základě použití výše uvedených kritérií, měli mít možnost zapojit se do rámce dohledu dobrovolně, na straně druhé by poskytovatelé služeb IKT z řad třetích stran, na něž se již vztahují rámce mechanismů dohledu podporující plnění úkolů na úrovni Evropského systému centrálních bank podle čl. 127 odst. 2 Smlouvy o fungování EU, by z něj měli být následně vyňati. |
| --- | --- |

(77)

Rámec dohledu by se měl vztahovat pouze na kritické poskytovatele služeb IKT z řad třetích stran. Proto by měl existovat mechanismus určování, který by zohlednil rozměr a povahu závislosti finančního sektoru na těchto poskytovatelích služeb IKT z řad třetích stran. Tento mechanismus by měl zahrnovat soubor kvantitativních a kvalitativních kritérií pro stanovení parametrů kritičnosti jako základu pro začlenění do rámce dohledu. Aby byla zajištěna přesnost tohoto posouzení a bez ohledu na organizační strukturu poskytovatele služeb IKT z řad třetích stran, měla by tato kritéria v případě poskytovatele služeb IKT z řad třetích stran, který je součástí širší skupiny, zohlednit celou strukturu skupiny poskytovatele služeb IKT z řad třetích stran. Na jedné straně by kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří nebudou automaticky určeni na základě použití výše uvedených kritérií, měli mít možnost zapojit se do rámce dohledu dobrovolně, na straně druhé by poskytovatelé služeb IKT z řad třetích stran, na něž se již vztahují rámce mechanismů dohledu podporující plnění úkolů na úrovni Evropského systému centrálních bank podle čl. 127 odst. 2 Smlouvy o fungování EU, by z něj měli být následně vyňati.

| (78) | Podobně by finanční subjekty poskytující služby IKT jiným finančním subjektům, ačkoli patří do kategorie poskytovatelů služeb IKT z řad třetích stran podle tohoto nařízení, měly být rovněž vyňaty z rámce dohledu, neboť již podléhají mechanismům dohledu stanoveným příslušným právem Unie v oblasti finančních služeb. Příslušné orgány by případně měly v rámci svých dohledových činností zohlednit riziko v oblasti IKT, které pro finanční subjekty představují finanční subjekty poskytující služby IKT. Stejně tak by vzhledem ke stávajícím mechanismům sledování rizika na úrovni skupiny měla být stejná výjimka zavedena pro poskytovatele služeb IKT z řad třetích stran, kteří poskytují služby převážně subjektům své vlastní skupiny. Poskytovatelé služeb IKT z řad třetích stran, kteří poskytují služby IKT pouze v jednom členském státě finančním subjektům, které působí pouze v tomto členském státě, by měli být rovněž vyňati z mechanismu určování z toho důvodu, že jejich činnosti jsou omezené a mají nedostatečný přeshraniční dopad. |
| --- | --- |

(78)

Podobně by finanční subjekty poskytující služby IKT jiným finančním subjektům, ačkoli patří do kategorie poskytovatelů služeb IKT z řad třetích stran podle tohoto nařízení, měly být rovněž vyňaty z rámce dohledu, neboť již podléhají mechanismům dohledu stanoveným příslušným právem Unie v oblasti finančních služeb. Příslušné orgány by případně měly v rámci svých dohledových činností zohlednit riziko v oblasti IKT, které pro finanční subjekty představují finanční subjekty poskytující služby IKT. Stejně tak by vzhledem ke stávajícím mechanismům sledování rizika na úrovni skupiny měla být stejná výjimka zavedena pro poskytovatele služeb IKT z řad třetích stran, kteří poskytují služby převážně subjektům své vlastní skupiny. Poskytovatelé služeb IKT z řad třetích stran, kteří poskytují služby IKT pouze v jednom členském státě finančním subjektům, které působí pouze v tomto členském státě, by měli být rovněž vyňati z mechanismu určování z toho důvodu, že jejich činnosti jsou omezené a mají nedostatečný přeshraniční dopad.

| (79) | Digitální transformace v oblasti finančních služeb přinesla nebývalou míru využívání a spoléhání se na služby IKT. Jelikož se stalo nemyslitelným poskytovat finanční služby bez využití cloudových služeb, softwarových řešení a služeb souvisejících s daty, stal se finanční ekosystém Unie ze své podstaty závislým na některých službách IKT poskytovaných poskytovateli služeb IKT. Někteří z těchto poskytovatelů, inovátoři ve vývoji a používání technologií založených na IKT, hrají při poskytování finančních služeb významnou úlohu nebo jsou již do hodnotového řetězce finančních služeb začleněni. Získali tak zásadní postavení pro stabilitu a integritu finančního systému Unie. Tato rozšířená závislost na službách poskytovaných kritickými poskytovateli služeb IKT z řad třetích stran ve spojení se vzájemnou závislostí informačních systémů různých účastníků trhu vytváří přímé a potenciálně závažné riziko pro systém finančních služeb Unie a pro kontinuitu poskytování finančních služeb, pokud by byli kritičtí poskytovatelé služeb IKT z řad třetích stran ovlivněni provozními narušeními nebo závažnými kybernetickými incidenty. Kybernetické incidenty mají charakteristickou schopnost množit se a šířit se v celém finančním systému výrazně rychleji než jiné druhy rizika monitorované ve finančním sektoru a mohou se rozšířit napříč odvětvími i za zeměpisnými hranicemi. Mají potenciál stát se systémovou krizí, pokud došlo k narušení důvěry ve finanční systém v důsledku narušení funkcí podporujících reálnou ekonomiku nebo značných finančních ztrát, které dosáhly úrovně, kterou finanční systém není schopen zvládnout nebo která vyžaduje zavedení rozsáhlých opatření pro absorpci otřesů. Aby se zabránilo těmto scénářům, a tím i ohrožení finanční stability a integrity Unie, je nezbytné zajistit sbližování postupů dohledu týkajících se rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru, zejména prostřednictvím nových pravidel umožňujících dohled Unie nad kritickými poskytovateli služeb IKT z řad třetích stran. |
| --- | --- |

(79)

Digitální transformace v oblasti finančních služeb přinesla nebývalou míru využívání a spoléhání se na služby IKT. Jelikož se stalo nemyslitelným poskytovat finanční služby bez využití cloudových služeb, softwarových řešení a služeb souvisejících s daty, stal se finanční ekosystém Unie ze své podstaty závislým na některých službách IKT poskytovaných poskytovateli služeb IKT. Někteří z těchto poskytovatelů, inovátoři ve vývoji a používání technologií založených na IKT, hrají při poskytování finančních služeb významnou úlohu nebo jsou již do hodnotového řetězce finančních služeb začleněni. Získali tak zásadní postavení pro stabilitu a integritu finančního systému Unie. Tato rozšířená závislost na službách poskytovaných kritickými poskytovateli služeb IKT z řad třetích stran ve spojení se vzájemnou závislostí informačních systémů různých účastníků trhu vytváří přímé a potenciálně závažné riziko pro systém finančních služeb Unie a pro kontinuitu poskytování finančních služeb, pokud by byli kritičtí poskytovatelé služeb IKT z řad třetích stran ovlivněni provozními narušeními nebo závažnými kybernetickými incidenty. Kybernetické incidenty mají charakteristickou schopnost množit se a šířit se v celém finančním systému výrazně rychleji než jiné druhy rizika monitorované ve finančním sektoru a mohou se rozšířit napříč odvětvími i za zeměpisnými hranicemi. Mají potenciál stát se systémovou krizí, pokud došlo k narušení důvěry ve finanční systém v důsledku narušení funkcí podporujících reálnou ekonomiku nebo značných finančních ztrát, které dosáhly úrovně, kterou finanční systém není schopen zvládnout nebo která vyžaduje zavedení rozsáhlých opatření pro absorpci otřesů. Aby se zabránilo těmto scénářům, a tím i ohrožení finanční stability a integrity Unie, je nezbytné zajistit sbližování postupů dohledu týkajících se rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru, zejména prostřednictvím nových pravidel umožňujících dohled Unie nad kritickými poskytovateli služeb IKT z řad třetích stran.

| (80) | Rámec dohledu do značné míry závisí na míře spolupráce mezi hlavním orgánem dohledu a kritickým poskytovatelem služeb IKT z řad třetích stran, který poskytuje finančním subjektům služby ovlivňující nabídku finančních služeb. Úspěšný dohled závisí mimo jiné na schopnosti hlavního orgánu dohledu účinně provádět úkoly v oblasti sledování a kontroly s cílem posoudit pravidla, kontroly a procesy používané kritickými poskytovateli služeb IKT z řad třetích stran a posoudit potenciální kumulativní dopad jejich činností na finanční stabilitu a integritu finančního systému. Zároveň je zásadní, aby se kritičtí poskytovatelé služeb IKT z řad třetích stran řídili doporučeními hlavního orgánu dohledu a zabývali se jeho obavami. Vzhledem k tomu, že nedostatečná spolupráce kritického poskytovatele služeb IKT z řad třetích stran poskytujícího služby, jež ovlivňují nabídku finančních služeb, jako je odmítnutí přístupu do jeho prostor nebo poskytnutí informací, by v konečném důsledku zbavila hlavní orgán dohledu jeho základních nástrojů pro posuzování rizika v oblasti IKT spojeného s třetími stranami a mohla by mít nepříznivý dopad na finanční stabilitu a integritu finančního systému, je rovněž nezbytné stanovit přiměřený sankční režim. |
| --- | --- |

(80)

Rámec dohledu do značné míry závisí na míře spolupráce mezi hlavním orgánem dohledu a kritickým poskytovatelem služeb IKT z řad třetích stran, který poskytuje finančním subjektům služby ovlivňující nabídku finančních služeb. Úspěšný dohled závisí mimo jiné na schopnosti hlavního orgánu dohledu účinně provádět úkoly v oblasti sledování a kontroly s cílem posoudit pravidla, kontroly a procesy používané kritickými poskytovateli služeb IKT z řad třetích stran a posoudit potenciální kumulativní dopad jejich činností na finanční stabilitu a integritu finančního systému. Zároveň je zásadní, aby se kritičtí poskytovatelé služeb IKT z řad třetích stran řídili doporučeními hlavního orgánu dohledu a zabývali se jeho obavami. Vzhledem k tomu, že nedostatečná spolupráce kritického poskytovatele služeb IKT z řad třetích stran poskytujícího služby, jež ovlivňují nabídku finančních služeb, jako je odmítnutí přístupu do jeho prostor nebo poskytnutí informací, by v konečném důsledku zbavila hlavní orgán dohledu jeho základních nástrojů pro posuzování rizika v oblasti IKT spojeného s třetími stranami a mohla by mít nepříznivý dopad na finanční stabilitu a integritu finančního systému, je rovněž nezbytné stanovit přiměřený sankční režim.

| (81) | V této souvislosti by potřebu hlavního orgánu dohledu ukládat penále s cílem přimět kritické poskytovatele služeb IKT z řad třetích stran k dodržování povinností týkajících se transparentnosti a přístupu stanovených v tomto nařízení neměly ohrozit obtíže způsobené vymáháním těchto penále ve vztahu ke kritickým poskytovatelům služeb IKT z řad třetích stran usazeným ve třetích zemích. V zájmu zajištění vymahatelnosti těchto sankcí a umožnění rychlého zavedení postupů, které respektují práva kritických poskytovatelů služeb IKT z řad třetích stran na obhajobu v souvislosti s mechanismem určování a vydáváním doporučení, by tito kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří poskytují finančním subjektům služby ovlivňující nabídku finančních služeb, měli být povinni udržovat přiměřenou obchodní přítomnost v Unii. Vzhledem k povaze dohledu a neexistenci srovnatelných ujednání v jiných jurisdikcích neexistují žádné vhodné alternativní mechanismy zajišťující tento cíl prostřednictvím účinné spolupráce s orgány dohledu ve finančním sektoru ve třetích zemích v souvislosti se sledováním dopadu digitálních provozních rizik představovaných systémovými poskytovateli služeb IKT z řad třetích stran, kteří jsou považováni za kritické poskytovatele služeb IKT z řad třetích stran usazené ve třetích zemích. S cílem nadále poskytovat svoje služby IKT finančním subjektům v Unii by poskytovatel služeb IKT z řad třetích stran usazený ve třetí zemi, který byl určen jako kritický podle tohoto nařízení, měl do 12 měsíců od takového určení přijmout veškerá nezbytná opatření k tomu, aby zabezpečil svoje začlenění v Unii, a to založením dceřiného podniku, jak je uvedeno v acquis Unie, konkrétně ve směrnici Evropského parlamentu a Rady 2013/34/EU (21). |
| --- | --- |

(81)

V této souvislosti by potřebu hlavního orgánu dohledu ukládat penále s cílem přimět kritické poskytovatele služeb IKT z řad třetích stran k dodržování povinností týkajících se transparentnosti a přístupu stanovených v tomto nařízení neměly ohrozit obtíže způsobené vymáháním těchto penále ve vztahu ke kritickým poskytovatelům služeb IKT z řad třetích stran usazeným ve třetích zemích. V zájmu zajištění vymahatelnosti těchto sankcí a umožnění rychlého zavedení postupů, které respektují práva kritických poskytovatelů služeb IKT z řad třetích stran na obhajobu v souvislosti s mechanismem určování a vydáváním doporučení, by tito kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří poskytují finančním subjektům služby ovlivňující nabídku finančních služeb, měli být povinni udržovat přiměřenou obchodní přítomnost v Unii. Vzhledem k povaze dohledu a neexistenci srovnatelných ujednání v jiných jurisdikcích neexistují žádné vhodné alternativní mechanismy zajišťující tento cíl prostřednictvím účinné spolupráce s orgány dohledu ve finančním sektoru ve třetích zemích v souvislosti se sledováním dopadu digitálních provozních rizik představovaných systémovými poskytovateli služeb IKT z řad třetích stran, kteří jsou považováni za kritické poskytovatele služeb IKT z řad třetích stran usazené ve třetích zemích. S cílem nadále poskytovat svoje služby IKT finančním subjektům v Unii by poskytovatel služeb IKT z řad třetích stran usazený ve třetí zemi, který byl určen jako kritický podle tohoto nařízení, měl do 12 měsíců od takového určení přijmout veškerá nezbytná opatření k tomu, aby zabezpečil svoje začlenění v Unii, a to založením dceřiného podniku, jak je uvedeno v acquis Unie, konkrétně ve směrnici Evropského parlamentu a Rady 2013/34/EU (21).

| (82) | Požadavek na založení dceřiného podniku v Unii by neměl kritickému poskytovateli služeb IKT z řad třetích stran bránit v poskytování služeb IKT a související technické podpory ze zařízení a infrastruktury nacházejících se mimo Unii. Toto nařízení neukládá povinnost lokalizace údajů, neboť nevyžaduje uchovávání nebo zpracování údajů v Unii. |
| --- | --- |

(82)

Požadavek na založení dceřiného podniku v Unii by neměl kritickému poskytovateli služeb IKT z řad třetích stran bránit v poskytování služeb IKT a související technické podpory ze zařízení a infrastruktury nacházejících se mimo Unii. Toto nařízení neukládá povinnost lokalizace údajů, neboť nevyžaduje uchovávání nebo zpracování údajů v Unii.

| (83) | Kritičtí poskytovatelé služeb IKT z řad třetích stran by měli mít možnost poskytovat služby IKT odkudkoli na světě, nikoli nezbytně nebo výhradně z prostor nacházejících se v Unii. Činnosti v oblasti dohledu by měly být nejprve prováděny v prostorách nacházejících se v Unii a prostřednictvím interakce se subjekty nacházejícími se v Unii, včetně dceřiných podniků založených kritickými poskytovateli služeb IKT z řad třetích stran podle tohoto nařízení. Tato opatření v rámci Unie by však mohla být nedostatečná k tomu, aby hlavnímu orgánu dohledu umožnila plně a účinně plnit jeho povinnosti podle tohoto nařízení. Hlavní orgán dohledu by proto měl mít rovněž možnost vykonávat své příslušné pravomoci dohledu ve třetích zemích. Výkon těchto pravomocí ve třetích zemích by měl hlavnímu orgánu dohledu umožnit přezkoumat zařízení, z nichž jsou služby IKT nebo služby technické podpory kritickým poskytovatelem služeb IKT z řad třetích stran skutečně poskytovány nebo spravovány, a měl by hlavnímu orgánu dohledu poskytnout komplexní a provozní pochopení řízení rizika v oblasti IKT kritického poskytovatele služeb IKT z řad třetích stran. Možnost, aby hlavní orgán dohledu jakožto agentura Unie vykonával pravomoci mimo území Unie, by měla být řádně vymezena odpovídajícími podmínkami, zejména souhlasem dotčeného kritického poskytovatele služeb IKT z řad třetích stran. Podobně by měly být o výkonu činností hlavního orgánu dohledu na území třetí země informovány relevantní orgány této země a neměly by proti němu mít námitky. K zajištění účinného provádění, a aniž jsou dotčeny příslušné pravomoci orgánů Unie a členských států, je však třeba tyto pravomoci rovněž plně zakotvit v ujednáních o správní spolupráci uzavíraných s relevantními orgány dotčené třetí země. Toto nařízení by proto mělo evropským orgánům dohledu umožnit uzavírat ujednání o správní spolupráci s relevantními orgány třetích zemí, které by jinak neměly vytvářet právní závazky vůči Unii a jejím členským státům. |
| --- | --- |

(83)

Kritičtí poskytovatelé služeb IKT z řad třetích stran by měli mít možnost poskytovat služby IKT odkudkoli na světě, nikoli nezbytně nebo výhradně z prostor nacházejících se v Unii. Činnosti v oblasti dohledu by měly být nejprve prováděny v prostorách nacházejících se v Unii a prostřednictvím interakce se subjekty nacházejícími se v Unii, včetně dceřiných podniků založených kritickými poskytovateli služeb IKT z řad třetích stran podle tohoto nařízení. Tato opatření v rámci Unie by však mohla být nedostatečná k tomu, aby hlavnímu orgánu dohledu umožnila plně a účinně plnit jeho povinnosti podle tohoto nařízení. Hlavní orgán dohledu by proto měl mít rovněž možnost vykonávat své příslušné pravomoci dohledu ve třetích zemích. Výkon těchto pravomocí ve třetích zemích by měl hlavnímu orgánu dohledu umožnit přezkoumat zařízení, z nichž jsou služby IKT nebo služby technické podpory kritickým poskytovatelem služeb IKT z řad třetích stran skutečně poskytovány nebo spravovány, a měl by hlavnímu orgánu dohledu poskytnout komplexní a provozní pochopení řízení rizika v oblasti IKT kritického poskytovatele služeb IKT z řad třetích stran. Možnost, aby hlavní orgán dohledu jakožto agentura Unie vykonával pravomoci mimo území Unie, by měla být řádně vymezena odpovídajícími podmínkami, zejména souhlasem dotčeného kritického poskytovatele služeb IKT z řad třetích stran. Podobně by měly být o výkonu činností hlavního orgánu dohledu na území třetí země informovány relevantní orgány této země a neměly by proti němu mít námitky. K zajištění účinného provádění, a aniž jsou dotčeny příslušné pravomoci orgánů Unie a členských států, je však třeba tyto pravomoci rovněž plně zakotvit v ujednáních o správní spolupráci uzavíraných s relevantními orgány dotčené třetí země. Toto nařízení by proto mělo evropským orgánům dohledu umožnit uzavírat ujednání o správní spolupráci s relevantními orgány třetích zemí, které by jinak neměly vytvářet právní závazky vůči Unii a jejím členským státům.

| (84) | Pro usnadnění komunikace s hlavním orgánem dohledu a zajištění odpovídajícího zastoupení by kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří jsou součástí skupiny, měli určit jednu právnickou osobu jako své koordinační místo. |
| --- | --- |

(84)

Pro usnadnění komunikace s hlavním orgánem dohledu a zajištění odpovídajícího zastoupení by kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří jsou součástí skupiny, měli určit jednu právnickou osobu jako své koordinační místo.

| (85) | Rámec dohledu se netýká pravomoci členských států provádět vlastní úkoly v oblasti dohledu nebo sledování, pokud jde o poskytovatele služeb IKT z řad třetích stran, kteří nejsou podle tohoto nařízení určeni jako kritičtí, ovšem kteří jsou považováni za významné na vnitrostátní úrovni. |
| --- | --- |

(85)

Rámec dohledu se netýká pravomoci členských států provádět vlastní úkoly v oblasti dohledu nebo sledování, pokud jde o poskytovatele služeb IKT z řad třetích stran, kteří nejsou podle tohoto nařízení určeni jako kritičtí, ovšem kteří jsou považováni za významné na vnitrostátní úrovni.

| (86) | Aby se využilo vícevrstvé institucionální architektury v oblasti finančních služeb, měl by Společný výbor evropských orgánů dohledu nadále zajišťovat v souladu se svými úkoly v oblasti kybernetické bezpečnosti meziodvětvovou koordinaci ohledně všech záležitostí týkajících se rizika v oblasti IKT. Měl by mu pomáhat nový podvýbor (Fórum dohledu), který bude provádět přípravné práce jak pro individuální rozhodnutí určená kritickým poskytovatelům služeb IKT z řad třetích stran, tak pro vydávání kolektivních doporučení, zejména ohledně porovnávání testování programů dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran, a současně bude identifikovat osvědčené postupy pro řešení otázek rizika koncentrace IKT. |
| --- | --- |

(86)

Aby se využilo vícevrstvé institucionální architektury v oblasti finančních služeb, měl by Společný výbor evropských orgánů dohledu nadále zajišťovat v souladu se svými úkoly v oblasti kybernetické bezpečnosti meziodvětvovou koordinaci ohledně všech záležitostí týkajících se rizika v oblasti IKT. Měl by mu pomáhat nový podvýbor (Fórum dohledu), který bude provádět přípravné práce jak pro individuální rozhodnutí určená kritickým poskytovatelům služeb IKT z řad třetích stran, tak pro vydávání kolektivních doporučení, zejména ohledně porovnávání testování programů dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran, a současně bude identifikovat osvědčené postupy pro řešení otázek rizika koncentrace IKT.

| (87) | Aby se zajistilo, že na úrovni Unie bude na kritické poskytovatele služeb IKT z řad třetích stran dohlíženo přiměřeně a účinně, toto nařízení stanoví, že jako hlavní orgán dohledu by mohl být určen kterýkoli ze tří evropských orgánů dohledu. Individuální přidělení kritického poskytovatele služeb IKT z řad třetích stran jednomu ze tří evropských orgánů dohledu by mělo být výsledkem posouzení převahy finančních subjektů působících ve finančních sektorech, za něž má tento evropský orgán dohledu odpovědnost. Tento přístup by měl vést k vyváženému rozdělení úkolů a povinností mezi tři evropské orgány dohledu v souvislosti s výkonem funkcí dohledu a měl by co nejlépe využívat lidské zdroje a technické odborné znalosti, které jsou k dispozici v každém ze tří evropských orgánů dohledu. |
| --- | --- |

(87)

Aby se zajistilo, že na úrovni Unie bude na kritické poskytovatele služeb IKT z řad třetích stran dohlíženo přiměřeně a účinně, toto nařízení stanoví, že jako hlavní orgán dohledu by mohl být určen kterýkoli ze tří evropských orgánů dohledu. Individuální přidělení kritického poskytovatele služeb IKT z řad třetích stran jednomu ze tří evropských orgánů dohledu by mělo být výsledkem posouzení převahy finančních subjektů působících ve finančních sektorech, za něž má tento evropský orgán dohledu odpovědnost. Tento přístup by měl vést k vyváženému rozdělení úkolů a povinností mezi tři evropské orgány dohledu v souvislosti s výkonem funkcí dohledu a měl by co nejlépe využívat lidské zdroje a technické odborné znalosti, které jsou k dispozici v každém ze tří evropských orgánů dohledu.

| (88) | Hlavním orgánům dohledu by měly být uděleny nezbytné pravomoci k provádění šetření a kontrol v prostorách a na místech kritických poskytovatelů služeb IKT z řad třetích stran, aby získaly úplné a aktualizované informace. Tyto pravomoci by měly hlavnímu orgánu dohledu umožnit reálně pochopit druh, rozměr a dopad rizika v oblasti IKT spojeného s třetími stranami pro finanční subjekty a konečně i pro finanční systém Unie. Pověření evropských orgánů dohledu úlohou hlavního dohledu je nutným předpokladem k pochopení a řešení systémového rozměru rizika v oblasti IKT ve finančním sektoru. Vliv kritických poskytovatelů služeb IKT z řad třetích stran na finanční sektor Unie a potenciální problémy způsobené souvisejícím rizikem koncentrace IKT si žádají přijetí kolektivního přístupu na úrovni Unie. Souběžné provádění několika auditů a přístupových práv realizované ze strany početných příslušných orgánů samostatně, s nízkou či žádnou vzájemnou koordinací by orgánům dohledu ve finančním sektoru bránilo získat úplný a komplexní přehled o riziku v oblasti IKT spojeném s třetími stranami v Unii a současně by rovněž pro kritické poskytovatele služeb IKT z řad třetích stran vytvářelo nadbytečnost, zatížení a složitost, pokud by se na ně tyto četné požadavky sledování a kontroly vztahovaly. |
| --- | --- |

(88)

Hlavním orgánům dohledu by měly být uděleny nezbytné pravomoci k provádění šetření a kontrol v prostorách a na místech kritických poskytovatelů služeb IKT z řad třetích stran, aby získaly úplné a aktualizované informace. Tyto pravomoci by měly hlavnímu orgánu dohledu umožnit reálně pochopit druh, rozměr a dopad rizika v oblasti IKT spojeného s třetími stranami pro finanční subjekty a konečně i pro finanční systém Unie. Pověření evropských orgánů dohledu úlohou hlavního dohledu je nutným předpokladem k pochopení a řešení systémového rozměru rizika v oblasti IKT ve finančním sektoru. Vliv kritických poskytovatelů služeb IKT z řad třetích stran na finanční sektor Unie a potenciální problémy způsobené souvisejícím rizikem koncentrace IKT si žádají přijetí kolektivního přístupu na úrovni Unie. Souběžné provádění několika auditů a přístupových práv realizované ze strany početných příslušných orgánů samostatně, s nízkou či žádnou vzájemnou koordinací by orgánům dohledu ve finančním sektoru bránilo získat úplný a komplexní přehled o riziku v oblasti IKT spojeném s třetími stranami v Unii a současně by rovněž pro kritické poskytovatele služeb IKT z řad třetích stran vytvářelo nadbytečnost, zatížení a složitost, pokud by se na ně tyto četné požadavky sledování a kontroly vztahovaly.

| (89) | Vzhledem k významnému dopadu určení za kritického poskytovatele by toto nařízení mělo zajistit, aby práva kritických poskytovatelů služeb IKT z řad třetích stran byla dodržována po celou dobu provádění rámce dohledu. Před tím, než budou tito poskytovatelé určeni jako kritičtí poskytovatelé, by měli mít například právo předložit hlavnímu orgánu dohledu odůvodněné prohlášení obsahující veškeré relevantní informace pro účely posouzení týkajícího se jejich určení. Vzhledem k tomu, že hlavnímu orgánu dohledu by měla být svěřena pravomoc předkládat doporučení ohledně rizika v oblasti IKT a vhodných nápravných prostředků, včetně práva nesouhlasit s některými smluvními ujednáními, která v konečném důsledku dopadají na stabilitu finančního subjektu či finančního systému, kritičtí poskytovatelé služeb IKT z řad třetích stran by rovněž měli mít možnost podat před dokončením těchto doporučení vysvětlení, pokud jde o očekávaný dopad řešení navrhovaných v doporučeních na zákazníky, kteří jsou subjekty, jež nespadají do oblasti působnosti tohoto nařízení, a navrhnout řešení s cílem zmírnit rizika. Kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří s doporučeními nesouhlasí, by rovněž měli mít možnost předložit odůvodněné vysvětlení svého záměru doporučení neuznat. Není-li takové odůvodněné vysvětlení předloženo nebo je-li považováno za nedostatečné, měl by hlavní orgán dohledu vydat veřejné oznámení, v němž stručně popíše záležitost týkající se nesouladu. |
| --- | --- |

(89)

Vzhledem k významnému dopadu určení za kritického poskytovatele by toto nařízení mělo zajistit, aby práva kritických poskytovatelů služeb IKT z řad třetích stran byla dodržována po celou dobu provádění rámce dohledu. Před tím, než budou tito poskytovatelé určeni jako kritičtí poskytovatelé, by měli mít například právo předložit hlavnímu orgánu dohledu odůvodněné prohlášení obsahující veškeré relevantní informace pro účely posouzení týkajícího se jejich určení. Vzhledem k tomu, že hlavnímu orgánu dohledu by měla být svěřena pravomoc předkládat doporučení ohledně rizika v oblasti IKT a vhodných nápravných prostředků, včetně práva nesouhlasit s některými smluvními ujednáními, která v konečném důsledku dopadají na stabilitu finančního subjektu či finančního systému, kritičtí poskytovatelé služeb IKT z řad třetích stran by rovněž měli mít možnost podat před dokončením těchto doporučení vysvětlení, pokud jde o očekávaný dopad řešení navrhovaných v doporučeních na zákazníky, kteří jsou subjekty, jež nespadají do oblasti působnosti tohoto nařízení, a navrhnout řešení s cílem zmírnit rizika. Kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří s doporučeními nesouhlasí, by rovněž měli mít možnost předložit odůvodněné vysvětlení svého záměru doporučení neuznat. Není-li takové odůvodněné vysvětlení předloženo nebo je-li považováno za nedostatečné, měl by hlavní orgán dohledu vydat veřejné oznámení, v němž stručně popíše záležitost týkající se nesouladu.

| (90) | Příslušné orgány by měly do svých funkcí, pokud jde o obezřetnostní dohled nad finančními subjekty, náležitě zahrnout úkol ověřování věcného dodržování doporučení vydaných hlavním orgánem dohledu. Příslušné orgány by měly mít možnost požadovat, aby finanční subjekty přijaly dodatečná opatření k řešení rizik identifikovaných v doporučeních hlavního orgánu dohledu, a měly by za tímto účelem včas vydávat oznámení. Pokud hlavní orgán dohledu vydá doporučení kritickým poskytovatelům služeb IKT z řad třetích stran, nad nimiž je vykonáván dohled podle směrnice (EU) 2022/2555, měly by mít příslušné orgány možnost dobrovolně a před přijetím dalších opatření konzultovat příslušné orgány podle uvedené směrnice s cílem podpořit koordinovaný přístup k jednání s dotčenými kritickými poskytovateli služeb IKT z řad třetích stran. |
| --- | --- |

(90)

Příslušné orgány by měly do svých funkcí, pokud jde o obezřetnostní dohled nad finančními subjekty, náležitě zahrnout úkol ověřování věcného dodržování doporučení vydaných hlavním orgánem dohledu. Příslušné orgány by měly mít možnost požadovat, aby finanční subjekty přijaly dodatečná opatření k řešení rizik identifikovaných v doporučeních hlavního orgánu dohledu, a měly by za tímto účelem včas vydávat oznámení. Pokud hlavní orgán dohledu vydá doporučení kritickým poskytovatelům služeb IKT z řad třetích stran, nad nimiž je vykonáván dohled podle směrnice (EU) 2022/2555, měly by mít příslušné orgány možnost dobrovolně a před přijetím dalších opatření konzultovat příslušné orgány podle uvedené směrnice s cílem podpořit koordinovaný přístup k jednání s dotčenými kritickými poskytovateli služeb IKT z řad třetích stran.

| (91) | Výkon dohledu by se měl řídit třemi provozními zásadami, jejichž cílem je zajistit: a) úzkou koordinaci mezi evropskými orgány dohledu v jejich úlohách hlavního orgánu dohledu prostřednictvím společné sítě dohledu, b) soulad s rámcem stanoveným směrnicí (EU) 2022/2555 (prostřednictvím dobrovolné konzultace se subjekty na základě uvedené směrnice s cílem zabránit zdvojování opatření zaměřených na kritické poskytovatele služeb IKT z řad třetích stran a c) uplatňování náležité péče s cílem minimalizovat potenciální riziko narušení služeb poskytovaných kritickými poskytovateli služeb IKT z řad třetích stran zákazníkům, kteří jsou subjekty nespadajícími do oblasti působnosti tohoto nařízení. |
| --- | --- |

(91)

Výkon dohledu by se měl řídit třemi provozními zásadami, jejichž cílem je zajistit: a) úzkou koordinaci mezi evropskými orgány dohledu v jejich úlohách hlavního orgánu dohledu prostřednictvím společné sítě dohledu, b) soulad s rámcem stanoveným směrnicí (EU) 2022/2555 (prostřednictvím dobrovolné konzultace se subjekty na základě uvedené směrnice s cílem zabránit zdvojování opatření zaměřených na kritické poskytovatele služeb IKT z řad třetích stran a c) uplatňování náležité péče s cílem minimalizovat potenciální riziko narušení služeb poskytovaných kritickými poskytovateli služeb IKT z řad třetích stran zákazníkům, kteří jsou subjekty nespadajícími do oblasti působnosti tohoto nařízení.

| (92) | Rámec dohledu by neměl nahrazovat ani žádným způsobem či podílem zastupovat povinnost finančních subjektů samostatně řídit rizika spojená s poskytovateli služeb IKT z řad třetích stran, včetně povinnosti průběžně sledovat smluvní ujednání uzavřená s kritickými poskytovateli služeb IKT z řad třetích stran. Obdobně by rámec dohledu neměl ovlivňovat úplnou odpovědnost finančních subjektů za dodržování a splnění všech právních povinností stanovených v tomto nařízení a v příslušném právu v oblasti finančních služeb. |
| --- | --- |

(92)

Rámec dohledu by neměl nahrazovat ani žádným způsobem či podílem zastupovat povinnost finančních subjektů samostatně řídit rizika spojená s poskytovateli služeb IKT z řad třetích stran, včetně povinnosti průběžně sledovat smluvní ujednání uzavřená s kritickými poskytovateli služeb IKT z řad třetích stran. Obdobně by rámec dohledu neměl ovlivňovat úplnou odpovědnost finančních subjektů za dodržování a splnění všech právních povinností stanovených v tomto nařízení a v příslušném právu v oblasti finančních služeb.

| (93) | Aby se předešlo zdvojením a přesahům, neměly by příslušné orgány samostatně přijímat žádná opatření zaměřená na sledování rizik kritických poskytovatelů služeb ICT z řad třetích stran a měly by v tomto ohledu spoléhat pouze na příslušné posouzení hlavním orgánem dohledu. Veškerá opatření by se v každém případě měla předem koordinovat a odsouhlasit s hlavním orgánem dohledu v kontextu provádění úkolů v rámci dohledu. |
| --- | --- |

(93)

Aby se předešlo zdvojením a přesahům, neměly by příslušné orgány samostatně přijímat žádná opatření zaměřená na sledování rizik kritických poskytovatelů služeb ICT z řad třetích stran a měly by v tomto ohledu spoléhat pouze na příslušné posouzení hlavním orgánem dohledu. Veškerá opatření by se v každém případě měla předem koordinovat a odsouhlasit s hlavním orgánem dohledu v kontextu provádění úkolů v rámci dohledu.

| (94) | Aby se podpořilo sbližování na mezinárodní úrovni, pokud jde o využívání osvědčených postupů při přezkumu a sledování řízení digitálního rizika poskytovatelů služeb IKT z řad třetích stran, měly by být evropské orgány dohledu vybízeny k uzavírání dohod o spolupráci s relevantními orgány dohledu a regulačními orgány třetích zemí. |
| --- | --- |

(94)

Aby se podpořilo sbližování na mezinárodní úrovni, pokud jde o využívání osvědčených postupů při přezkumu a sledování řízení digitálního rizika poskytovatelů služeb IKT z řad třetích stran, měly by být evropské orgány dohledu vybízeny k uzavírání dohod o spolupráci s relevantními orgány dohledu a regulačními orgány třetích zemí.

| (95) | Aby se využilo zvláštních kompetencí, technických dovedností a odborných znalostí pracovníků specializujících se na operační riziko a riziko v oblasti IKT v rámci příslušných orgánů, tří evropských orgánů dohledu a na dobrovolném základě i příslušných orgánů podle směrnice (EU) 2022/2555, měl by hlavní orgán dohledu čerpat z vnitrostátních schopností a znalostí v oblasti dohledu a vytvořit specializované kontrolní týmy pro jednotlivé kritické poskytovatele služeb IKT z řad třetích stran, a to seskupením meziodvětvových týmů na podporu příprav i provádění dohledových činností, včetně všeobecných šetření a kontrol kritických poskytovatelů služeb IKT z řad třetích stran na místě, jakož i veškerých nezbytných následných opatření. |
| --- | --- |

(95)

Aby se využilo zvláštních kompetencí, technických dovedností a odborných znalostí pracovníků specializujících se na operační riziko a riziko v oblasti IKT v rámci příslušných orgánů, tří evropských orgánů dohledu a na dobrovolném základě i příslušných orgánů podle směrnice (EU) 2022/2555, měl by hlavní orgán dohledu čerpat z vnitrostátních schopností a znalostí v oblasti dohledu a vytvořit specializované kontrolní týmy pro jednotlivé kritické poskytovatele služeb IKT z řad třetích stran, a to seskupením meziodvětvových týmů na podporu příprav i provádění dohledových činností, včetně všeobecných šetření a kontrol kritických poskytovatelů služeb IKT z řad třetích stran na místě, jakož i veškerých nezbytných následných opatření.

| (96) | Zatímco náklady vyplývající z úkolů v oblasti dohledu by byly plně financovány z poplatků vybíraných od kritických poskytovatelů služeb IKT z řad třetích stran, je pravděpodobné, že evropským orgánům dohledu vzniknou před spuštěním rámce dohledu náklady na zavedení specializovaných systémů IKT podporujících budoucí dohled, neboť specializované systémy IKT by musely být vyvinuty a zavedeny předem. Toto nařízení proto stanoví model hybridního financování, v jehož rámci by byl rámec dohledu jako takový plně financován z poplatků, zatímco rozvoj systémů IKT evropských orgánů dohledu by byl financován z příspěvků Unie a příslušných vnitrostátních orgánů. |
| --- | --- |

(96)

Zatímco náklady vyplývající z úkolů v oblasti dohledu by byly plně financovány z poplatků vybíraných od kritických poskytovatelů služeb IKT z řad třetích stran, je pravděpodobné, že evropským orgánům dohledu vzniknou před spuštěním rámce dohledu náklady na zavedení specializovaných systémů IKT podporujících budoucí dohled, neboť specializované systémy IKT by musely být vyvinuty a zavedeny předem. Toto nařízení proto stanoví model hybridního financování, v jehož rámci by byl rámec dohledu jako takový plně financován z poplatků, zatímco rozvoj systémů IKT evropských orgánů dohledu by byl financován z příspěvků Unie a příslušných vnitrostátních orgánů.

| (97) | Příslušné orgány by měly mít všechny požadované kontrolní, vyšetřovací a sankční pravomoci, aby zajistily řádný výkon svých povinností podle tohoto nařízení. V zásadě by měly zveřejňovat oznámení o uložených správních sankcích. Finanční subjekty a poskytovatelé služeb IKT z řad třetích stran mohou být usazeni v různých členských státech a podléhat dohledu různých příslušných orgánů, a proto by uplatňování tohoto nařízení mělo být na jedné straně usnadněno úzkou spoluprací mezi relevantními příslušnými orgány, včetně ECB, pokud jde o zvláštní úkoly, které jí svěřuje nařízení (EU) č. 1024/2013, a na straně druhé konzultacemi s evropskými orgány dohledu prostřednictvím vzájemné výměny informací a poskytování pomoci v souvislosti s příslušnou činností dohledu. |
| --- | --- |

(97)

Příslušné orgány by měly mít všechny požadované kontrolní, vyšetřovací a sankční pravomoci, aby zajistily řádný výkon svých povinností podle tohoto nařízení. V zásadě by měly zveřejňovat oznámení o uložených správních sankcích. Finanční subjekty a poskytovatelé služeb IKT z řad třetích stran mohou být usazeni v různých členských státech a podléhat dohledu různých příslušných orgánů, a proto by uplatňování tohoto nařízení mělo být na jedné straně usnadněno úzkou spoluprací mezi relevantními příslušnými orgány, včetně ECB, pokud jde o zvláštní úkoly, které jí svěřuje nařízení (EU) č. 1024/2013, a na straně druhé konzultacemi s evropskými orgány dohledu prostřednictvím vzájemné výměny informací a poskytování pomoci v souvislosti s příslušnou činností dohledu.

| (98) | Za účelem další kvantifikace a kvalifikace kritérií pro určení poskytovatelů služeb IKT z řad třetích stran za kritické poskytovatele a harmonizace poplatků souvisejících s dohledem by měla být na Komisi přenesena pravomoc přijímat akty v souladu s článkem 290 Smlouvy o fungování EU s cílem doplnit toto nařízení tím, že se dále upřesní systémový dopad, který by mělo selhání nebo výpadek provozu poskytovatele služeb IKT z řad třetích stran na finanční subjekty, kterým poskytuje služby IKT, počet globálních systémově významných institucí (G-SVI) nebo jiných systémově významných institucí (J-SVI), jež využívají daného poskytovatele služeb IKT z řad třetích stran, počet poskytovatelů služeb IKT z řad třetích stran působících na daném trhu, náklady na migraci dat a pracovních úkolů v oblasti IKT při přechodu k jinému poskytovateli služeb IKT z řad třetích stran, jakož i výše poplatků souvisejících s dohledem a způsob jejich platby. Je obzvláště důležité, aby Komise vedla v rámci přípravné činnosti odpovídající konzultace, a to i na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů (22). Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci by Evropský parlament a Rada měly obdržet veškeré dokumenty současně s odborníky z členských států a jejich odborníci by měli mít automaticky přístup na zasedání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci. |
| --- | --- |

(98)

Za účelem další kvantifikace a kvalifikace kritérií pro určení poskytovatelů služeb IKT z řad třetích stran za kritické poskytovatele a harmonizace poplatků souvisejících s dohledem by měla být na Komisi přenesena pravomoc přijímat akty v souladu s článkem 290 Smlouvy o fungování EU s cílem doplnit toto nařízení tím, že se dále upřesní systémový dopad, který by mělo selhání nebo výpadek provozu poskytovatele služeb IKT z řad třetích stran na finanční subjekty, kterým poskytuje služby IKT, počet globálních systémově významných institucí (G-SVI) nebo jiných systémově významných institucí (J-SVI), jež využívají daného poskytovatele služeb IKT z řad třetích stran, počet poskytovatelů služeb IKT z řad třetích stran působících na daném trhu, náklady na migraci dat a pracovních úkolů v oblasti IKT při přechodu k jinému poskytovateli služeb IKT z řad třetích stran, jakož i výše poplatků souvisejících s dohledem a způsob jejich platby. Je obzvláště důležité, aby Komise vedla v rámci přípravné činnosti odpovídající konzultace, a to i na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů (22). Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci by Evropský parlament a Rada měly obdržet veškeré dokumenty současně s odborníky z členských států a jejich odborníci by měli mít automaticky přístup na zasedání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci.

| (99) | Konzistentní harmonizaci požadavků stanovených tímto nařízením by měly zajišťovat regulační technické normy. Evropské orgány dohledu by jako orgány disponující vysoce odbornými znalostmi měly vypracovat návrhy regulačních technických norem, které neobsahují politická rozhodnutí, a měly by je předložit Komisi. Regulační technické normy by měly být vypracovány v oblastech řízení rizika v oblasti IKT, hlášení závažných incidentů souvisejících s IKT, testování, jakož i ve vztahu ke klíčovým požadavkům na řádné sledování rizika v oblasti IKT spojeného s třetími stranami. Komise a evropské orgány dohledu by měly zajistit, aby tyto normy a požadavky mohly všechny finanční subjekty uplatňovat způsobem, který je přiměřený jejich velikosti a celkovému rizikovému profilu a povaze, rozsahu a složitosti jejich služeb, činností a operací. Komisi by měla být svěřena pravomoc přijímat tyto regulační technické normy prostřednictvím aktů v přenesené pravomoci podle článku 290 Smlouvy o fungování EU a v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010. |
| --- | --- |

(99)

Konzistentní harmonizaci požadavků stanovených tímto nařízením by měly zajišťovat regulační technické normy. Evropské orgány dohledu by jako orgány disponující vysoce odbornými znalostmi měly vypracovat návrhy regulačních technických norem, které neobsahují politická rozhodnutí, a měly by je předložit Komisi. Regulační technické normy by měly být vypracovány v oblastech řízení rizika v oblasti IKT, hlášení závažných incidentů souvisejících s IKT, testování, jakož i ve vztahu ke klíčovým požadavkům na řádné sledování rizika v oblasti IKT spojeného s třetími stranami. Komise a evropské orgány dohledu by měly zajistit, aby tyto normy a požadavky mohly všechny finanční subjekty uplatňovat způsobem, který je přiměřený jejich velikosti a celkovému rizikovému profilu a povaze, rozsahu a složitosti jejich služeb, činností a operací. Komisi by měla být svěřena pravomoc přijímat tyto regulační technické normy prostřednictvím aktů v přenesené pravomoci podle článku 290 Smlouvy o fungování EU a v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

| (100) | Aby se usnadnila srovnatelnost hlášení o závažných incidentech souvisejících s IKT a závažných provozních nebo bezpečnostních incidentech spojených s platbami a rovněž zajistila transparentnost smluvních ujednání pro používání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran, měly by evropské orgány dohledu vypracovat návrhy prováděcích technických norem, jimiž se stanoví standardizované vzory, formuláře a postupy, které budou finanční subjekty používat pro hlášení závažných incidentů souvisejících s IKT a závažných provozních nebo bezpečnostních incidentů spojených s platbami, a rovněž standardizované vzory pro registr informací. Při vypracovávání těchto norem by evropské orgány dohledu měly zohlednit velikost a celkový rizikový profil finančního subjektu a povahu, rozsah a složitost jeho služeb, činností a operací. Komisi by měla být svěřena pravomoc přijímat tyto prováděcí technické normy podle článku 291 Smlouvy o fungování EU a v souladu s článkem 15 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010. |
| --- | --- |

(100)

Aby se usnadnila srovnatelnost hlášení o závažných incidentech souvisejících s IKT a závažných provozních nebo bezpečnostních incidentech spojených s platbami a rovněž zajistila transparentnost smluvních ujednání pro používání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran, měly by evropské orgány dohledu vypracovat návrhy prováděcích technických norem, jimiž se stanoví standardizované vzory, formuláře a postupy, které budou finanční subjekty používat pro hlášení závažných incidentů souvisejících s IKT a závažných provozních nebo bezpečnostních incidentů spojených s platbami, a rovněž standardizované vzory pro registr informací. Při vypracovávání těchto norem by evropské orgány dohledu měly zohlednit velikost a celkový rizikový profil finančního subjektu a povahu, rozsah a složitost jeho služeb, činností a operací. Komisi by měla být svěřena pravomoc přijímat tyto prováděcí technické normy podle článku 291 Smlouvy o fungování EU a v souladu s článkem 15 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

| (101) | Protože již byly další požadavky specifikovány akty v přenesené pravomoci a prováděcími akty vycházejícími z technických regulačních a prováděcích technických norem v nařízeních Evropského parlamentu a Rady (ES) č. 1060/2009 (23), (EU) č. 648/2012 (24), (EU) č. 600/2014 (25) a (EU) č. 909/2014 (26), je vhodné pověřit evropské orgány dohledu, buď samostatně, nebo společně prostřednictvím společného výboru, předložením regulačních a prováděcích technických norem Komisi za účelem přijetí aktů v přenesené pravomoci a prováděcích aktů, jež provádějí a aktualizují stávající pravidla pro řízení rizika v oblasti IKT. |
| --- | --- |

(101)

Protože již byly další požadavky specifikovány akty v přenesené pravomoci a prováděcími akty vycházejícími z technických regulačních a prováděcích technických norem v nařízeních Evropského parlamentu a Rady (ES) č. 1060/2009 (23), (EU) č. 648/2012 (24), (EU) č. 600/2014 (25) a (EU) č. 909/2014 (26), je vhodné pověřit evropské orgány dohledu, buď samostatně, nebo společně prostřednictvím společného výboru, předložením regulačních a prováděcích technických norem Komisi za účelem přijetí aktů v přenesené pravomoci a prováděcích aktů, jež provádějí a aktualizují stávající pravidla pro řízení rizika v oblasti IKT.

| (102) | Jelikož toto nařízení, společně se směrnicí Evropského parlamentu a Rady (EU) 2022/2556 (27), obsahuje konsolidaci ustanovení o řízení rizika v oblasti IKT z několika nařízení a směrnic unijního práva o finančních službách, včetně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014 a (EU) č. 909/2014 a nařízení Evropského parlamentu a Rady (EU) 2016/1011 (28), je třeba za účelem zajištění úplné konzistentnosti tato nařízení změnit tak, aby se vyjasnilo, že použitelná ustanovení o riziku v oblasti IKT jsou uvedena v tomto nařízení. |
| --- | --- |

(102)

Jelikož toto nařízení, společně se směrnicí Evropského parlamentu a Rady (EU) 2022/2556 (27), obsahuje konsolidaci ustanovení o řízení rizika v oblasti IKT z několika nařízení a směrnic unijního práva o finančních službách, včetně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014 a (EU) č. 909/2014 a nařízení Evropského parlamentu a Rady (EU) 2016/1011 (28), je třeba za účelem zajištění úplné konzistentnosti tato nařízení změnit tak, aby se vyjasnilo, že použitelná ustanovení o riziku v oblasti IKT jsou uvedena v tomto nařízení.

| (103) | V důsledku toho je třeba upravit oblast působnosti příslušných článků o operačním riziku, na jejichž základě zmocnění uvedená v nařízeních (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014 (EU) č. 909/2014 a (EU) 2016/1011 umožnila přijetí aktů v přenesené pravomoci a prováděcích aktů, tak aby byla do tohoto nařízení převzata všechna ustanovení týkající se aspektů digitální provozní odolnosti, jež jsou nyní součástí uvedených nařízení. |
| --- | --- |

(103)

V důsledku toho je třeba upravit oblast působnosti příslušných článků o operačním riziku, na jejichž základě zmocnění uvedená v nařízeních (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014 (EU) č. 909/2014 a (EU) 2016/1011 umožnila přijetí aktů v přenesené pravomoci a prováděcích aktů, tak aby byla do tohoto nařízení převzata všechna ustanovení týkající se aspektů digitální provozní odolnosti, jež jsou nyní součástí uvedených nařízení.

| (104) | Potenciální systémové kybernetické riziko spojené s využíváním infrastruktur IKT, které umožňují provoz platebních systémů a poskytování činností zpracování plateb, by mělo být na úrovni Unie řádně řešeno prostřednictvím harmonizovaných pravidel digitální odolnosti. Za tímto účelem by Komise měla urychleně posoudit potřebu přezkumu oblasti působnosti tohoto nařízení a zároveň uvést tento přezkum do souladu s výsledkem komplexního přezkumu plánovaného podle směrnice (EU) 2015/2366. Četné rozsáhlé útoky v posledním desetiletí ukazují, že jsou platební systémy vystavené kybernetickým hrozbám. Platební systémy a činnosti zpracování plateb získaly díky ústřednímu postavení v řetězci platebních služeb a prokázání silného propojení s celkovým finančním systémem zásadní význam pro fungování finančních trhů Unie. Kybernetické útoky na tyto systémy mohou způsobit závažná narušení provozu s přímým dopadem na klíčové ekonomické funkce jako usnadnění plateb a nepřímým dopadem na související ekonomické procesy. Dokud nebude na úrovni Unie zaveden harmonizovaný režim a dohled nad provozovateli platebních systémů a zpracovateli, mohou se členské státy za účelem uplatňování podobných tržních postupů inspirovat požadavky na digitální provozní odolnost stanovenými v tomto nařízení při uplatňování pravidel na provozovatele platebních systémů a zpracovatele, nad nimiž je vykonáván dohled v rámci jejich vlastní jurisdikce. |
| --- | --- |

(104)

Potenciální systémové kybernetické riziko spojené s využíváním infrastruktur IKT, které umožňují provoz platebních systémů a poskytování činností zpracování plateb, by mělo být na úrovni Unie řádně řešeno prostřednictvím harmonizovaných pravidel digitální odolnosti. Za tímto účelem by Komise měla urychleně posoudit potřebu přezkumu oblasti působnosti tohoto nařízení a zároveň uvést tento přezkum do souladu s výsledkem komplexního přezkumu plánovaného podle směrnice (EU) 2015/2366. Četné rozsáhlé útoky v posledním desetiletí ukazují, že jsou platební systémy vystavené kybernetickým hrozbám. Platební systémy a činnosti zpracování plateb získaly díky ústřednímu postavení v řetězci platebních služeb a prokázání silného propojení s celkovým finančním systémem zásadní význam pro fungování finančních trhů Unie. Kybernetické útoky na tyto systémy mohou způsobit závažná narušení provozu s přímým dopadem na klíčové ekonomické funkce jako usnadnění plateb a nepřímým dopadem na související ekonomické procesy. Dokud nebude na úrovni Unie zaveden harmonizovaný režim a dohled nad provozovateli platebních systémů a zpracovateli, mohou se členské státy za účelem uplatňování podobných tržních postupů inspirovat požadavky na digitální provozní odolnost stanovenými v tomto nařízení při uplatňování pravidel na provozovatele platebních systémů a zpracovatele, nad nimiž je vykonáván dohled v rámci jejich vlastní jurisdikce.

| (105) | Jelikož cíle tohoto nařízení, totiž dosažení vysoké úrovně digitální provozní odolnosti u regulovaných finančních subjektů, nemůže být dosaženo uspokojivě členskými státy, jelikož je nutná harmonizace různých pravidel v unijním a vnitrostátním právu, ale spíše jej z důvodu rozsahu a účinků tohoto nařízení může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje toto nařízení rámec toho, co je nezbytné pro dosažení tohoto cíle. |
| --- | --- |

(105)

Jelikož cíle tohoto nařízení, totiž dosažení vysoké úrovně digitální provozní odolnosti u regulovaných finančních subjektů, nemůže být dosaženo uspokojivě členskými státy, jelikož je nutná harmonizace různých pravidel v unijním a vnitrostátním právu, ale spíše jej z důvodu rozsahu a účinků tohoto nařízení může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje toto nařízení rámec toho, co je nezbytné pro dosažení tohoto cíle.

| (106) | Evropský inspektor ochrany údajů byl konzultován v souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (29) a dne 10. května 2021 vydal své stanovisko (30), |
| --- | --- |

(106)

Evropský inspektor ochrany údajů byl konzultován v souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (29) a dne 10. května 2021 vydal své stanovisko (30),

PŘIJALY TOTO NAŘÍZENÍ:

KAPITOLA I

Obecná ustanovení

Článek 1

Předmět

1.   Za účelem dosažení vysoké společné úrovně digitální provozní odolnosti stanoví toto nařízení následující jednotné požadavky týkající se bezpečnosti sítí a informačních systémů podporujících obchodní procesy finančních subjektů:

| a) | požadavky vztahující se na finanční subjekty týkající se:






  i) | řízení rizika v oblasti informačních a komunikačních technologií (IKT); |
| --- | --- | --- |

a)

požadavky vztahující se na finanční subjekty týkající se:

i)

řízení rizika v oblasti informačních a komunikačních technologií (IKT);

| ii) | hlášení závažných incidentů souvisejících s IKT a dobrovolné oznamování významných kybernetických hrozeb příslušným orgánům; |
| --- | --- |

ii)

hlášení závažných incidentů souvisejících s IKT a dobrovolné oznamování významných kybernetických hrozeb příslušným orgánům;

| iii) | hlášení závažných provozních nebo bezpečnostních incidentů souvisejících s platbami příslušným orgánům ze strany finančních subjektů uvedených v čl. 2 odst. 1 písm. a) až d); |
| --- | --- |

iii)

hlášení závažných provozních nebo bezpečnostních incidentů souvisejících s platbami příslušným orgánům ze strany finančních subjektů uvedených v čl. 2 odst. 1 písm. a) až d);

| iv) | testování digitální provozní odolnosti; |
| --- | --- |

iv)

testování digitální provozní odolnosti;

| v) | sdílení operativních a jiných informací souvisejících s kybernetickými hrozbami a zranitelnostmi; |
| --- | --- |

v)

sdílení operativních a jiných informací souvisejících s kybernetickými hrozbami a zranitelnostmi;

| vi) | opatření pro řádné řízení rizika v oblasti IKT spojeného s třetími stranami; |
| --- | --- |

vi)

opatření pro řádné řízení rizika v oblasti IKT spojeného s třetími stranami;

| b) | požadavky týkající se smluvních ujednání uzavřených mezi poskytovateli služeb IKT z řad třetích stran a finančními subjekty; |
| --- | --- |

b)

požadavky týkající se smluvních ujednání uzavřených mezi poskytovateli služeb IKT z řad třetích stran a finančními subjekty;

| c) | pravidla pro stanovení a fungování rámce dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran při poskytování služeb finančním subjektům; |
| --- | --- |

c)

pravidla pro stanovení a fungování rámce dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran při poskytování služeb finančním subjektům;

| d) | pravidla spolupráce mezi příslušnými orgány a pravidla pro dohled a vymáhání ze strany příslušných orgánů v souvislosti se všemi otázkami upravenými tímto nařízením. |
| --- | --- |

d)

pravidla spolupráce mezi příslušnými orgány a pravidla pro dohled a vymáhání ze strany příslušných orgánů v souvislosti se všemi otázkami upravenými tímto nařízením.

2.   Ve vztahu k finančním subjektům určeným jako základní nebo důležité subjekty podle vnitrostátních předpisů provádějících článek 3 směrnice (EU) 2022/2555 se toto nařízení pro účely článku 4 uvedené směrnice považuje za odvětvový právní akt Unie.

3.   Tímto nařízením není dotčena odpovědnost členských států, pokud jde o základní funkce státu týkající se veřejné bezpečnosti, obrany a národní bezpečnosti v souladu s právem Unie.

Článek 2

Oblast působnosti

1.   Aniž jsou dotčeny odstavce 3 a 4, vztahuje se toto nařízení na tyto subjekty:

| a) | úvěrové instituce; |
| --- | --- |

a)

úvěrové instituce;

| b) | platební instituce, včetně platebních institucí vyňatých podle směrnice (EU) 2015/2366; |
| --- | --- |

b)

platební instituce, včetně platebních institucí vyňatých podle směrnice (EU) 2015/2366;

| c) | poskytovatele služeb informování o účtu; |
| --- | --- |

c)

poskytovatele služeb informování o účtu;

| d) | instituce elektronických peněz, včetně institucí elektronických peněz vyňatých podle směrnice 2009/110/ES; |
| --- | --- |

d)

instituce elektronických peněz, včetně institucí elektronických peněz vyňatých podle směrnice 2009/110/ES;

| e) | investiční podniky; |
| --- | --- |

e)

investiční podniky;

| f) | poskytovatele služeb souvisejících s kryptoaktivy, kterým bylo uděleno povolení podle nařízení Evropského parlamentu a Rady o trzích s kryptoaktivy a o změně nařízení (EU) č. 1093/2010 a (EU) č. 1095/2010 a směrnic 2013/36/EU a (EU) 2019/1937 („nařízení o trzích s kryptoaktivy“), a vydavatele tokenů vázaných na aktiva; |
| --- | --- |

f)

poskytovatele služeb souvisejících s kryptoaktivy, kterým bylo uděleno povolení podle nařízení Evropského parlamentu a Rady o trzích s kryptoaktivy a o změně nařízení (EU) č. 1093/2010 a (EU) č. 1095/2010 a směrnic 2013/36/EU a (EU) 2019/1937 („nařízení o trzích s kryptoaktivy“), a vydavatele tokenů vázaných na aktiva;

| g) | centrální depozitáře cenných papírů; |
| --- | --- |

g)

centrální depozitáře cenných papírů;

| h) | ústřední protistrany; |
| --- | --- |

h)

ústřední protistrany;

| i) | obchodní systémy; |
| --- | --- |

i)

obchodní systémy;

| j) | registry obchodních údajů; |
| --- | --- |

j)

registry obchodních údajů;

| k) | správce alternativních investičních fondů; |
| --- | --- |

k)

správce alternativních investičních fondů;

| l) | správcovské společnosti; |
| --- | --- |

l)

správcovské společnosti;

| m) | poskytovatele služeb hlášení údajů; |
| --- | --- |

m)

poskytovatele služeb hlášení údajů;

| n) | pojišťovny a zajišťovny; |
| --- | --- |

n)

pojišťovny a zajišťovny;

| o) | zprostředkovatele pojištění, zprostředkovatele zajištění a zprostředkovatele doplňkového pojištění; |
| --- | --- |

o)

zprostředkovatele pojištění, zprostředkovatele zajištění a zprostředkovatele doplňkového pojištění;

| p) | instituce zaměstnaneckého penzijního pojištění; |
| --- | --- |

p)

instituce zaměstnaneckého penzijního pojištění;

| q) | ratingové agentury; |
| --- | --- |

q)

ratingové agentury;

| r) | správce kritických referenčních hodnot; |
| --- | --- |

r)

správce kritických referenčních hodnot;

| s) | poskytovatele služeb skupinového financování; |
| --- | --- |

s)

poskytovatele služeb skupinového financování;

| t) | registry sekuritizací; |
| --- | --- |

t)

registry sekuritizací;

| u) | poskytovatele služeb IKT z řad třetích stran. |
| --- | --- |

u)

poskytovatele služeb IKT z řad třetích stran.

2.   Subjekty uvedené v odst. 1 písm. a) až t) jsou pro účely tohoto nařízení souhrnně nazývány „finančními subjekty“.

3.   Toto nařízení se nevztahuje na:

| a) | správce alternativních investičních fondů podle čl. 3 odst. 2 směrnice 2011/61/EU; |
| --- | --- |

a)

správce alternativních investičních fondů podle čl. 3 odst. 2 směrnice 2011/61/EU;

| b) | pojišťovny a zajišťovny podle článku 4 směrnice 2009/138/ES; |
| --- | --- |

b)

pojišťovny a zajišťovny podle článku 4 směrnice 2009/138/ES;

| c) | instituce zaměstnaneckého penzijního pojištění, které provozují penzijní plány, které dohromady nemají více než 15 účastníků; |
| --- | --- |

c)

instituce zaměstnaneckého penzijního pojištění, které provozují penzijní plány, které dohromady nemají více než 15 účastníků;

| d) | fyzické nebo právnické osoby vyňaté podle článků 2 a 3 směrnice 2014/65/EU; |
| --- | --- |

d)

fyzické nebo právnické osoby vyňaté podle článků 2 a 3 směrnice 2014/65/EU;

| e) | zprostředkovatele pojištění, zprostředkovatele zajištění a zprostředkovatele doplňkového pojištění, kteří jsou mikropodniky, malými nebo středními podniky; |
| --- | --- |

e)

zprostředkovatele pojištění, zprostředkovatele zajištění a zprostředkovatele doplňkového pojištění, kteří jsou mikropodniky, malými nebo středními podniky;

| f) | žirové instituce poštovních úřadů podle čl. 2 odst. 5 bodu 3 směrnice 2013/36/EU. |
| --- | --- |

f)

žirové instituce poštovních úřadů podle čl. 2 odst. 5 bodu 3 směrnice 2013/36/EU.

4.   Členské státy mohou z oblasti působnosti tohoto nařízení vyloučit subjekty uvedené v čl. 2 odst. 5 bodech 4 až 23 směrnice 2013/36/EU, které se nacházejí na jejich území. Pokud členský stát této možnosti využije, uvědomí o tom i o veškerých následných změnách Komisi. Komise tyto informace zveřejní na svých internetových stránkách nebo jinými snadno dostupnými prostředky.

Článek 3

Definice

Pro účely tohoto nařízení se rozumí:

| 1) | „digitální provozní odolností“ schopnost finančního subjektu budovat, zajišťovat a revidovat svoji provozní integritu a spolehlivost prostřednictvím zajištění, ať již přímo, či nepřímo s využitím služeb poskytovaných poskytovateli služeb IKT z řad třetích stran, veškerých schopností souvisejících s IKT nezbytných k řešení otázek bezpečnosti sítí a informačních systémů, které finanční subjekt používá a které přispívají k nepřetržitému poskytování finančních služeb a k jejich kvalitě, mimo jiné i během narušení; |
| --- | --- |

1)

„digitální provozní odolností“ schopnost finančního subjektu budovat, zajišťovat a revidovat svoji provozní integritu a spolehlivost prostřednictvím zajištění, ať již přímo, či nepřímo s využitím služeb poskytovaných poskytovateli služeb IKT z řad třetích stran, veškerých schopností souvisejících s IKT nezbytných k řešení otázek bezpečnosti sítí a informačních systémů, které finanční subjekt používá a které přispívají k nepřetržitému poskytování finančních služeb a k jejich kvalitě, mimo jiné i během narušení;

| 2) | „sítí a informačním systémem“ síť a informační systém ve smyslu čl. 6 bodu 1 směrnice (EU) 2022/2555; |
| --- | --- |

2)

„sítí a informačním systémem“ síť a informační systém ve smyslu čl. 6 bodu 1 směrnice (EU) 2022/2555;

| 3) | „původním systémem IKT“ systém IKT, který dosáhl konce svého životního cyklu (konec životnosti), který není vhodný pro modernizaci nebo opravy z technologických nebo obchodních důvodů nebo který již není podporován svým dodavatelem nebo poskytovatelem služeb IKT z řad třetích stran, ale který je stále používán a podporuje funkce finančního subjektu; |
| --- | --- |

3)

„původním systémem IKT“ systém IKT, který dosáhl konce svého životního cyklu (konec životnosti), který není vhodný pro modernizaci nebo opravy z technologických nebo obchodních důvodů nebo který již není podporován svým dodavatelem nebo poskytovatelem služeb IKT z řad třetích stran, ale který je stále používán a podporuje funkce finančního subjektu;

| 4) | „bezpečností sítí a informačních systémů“ bezpečnost sítí a informačních systémů ve smyslu čl. 6 bodu 2 směrnice (EU) 2022/2555; |
| --- | --- |

4)

„bezpečností sítí a informačních systémů“ bezpečnost sítí a informačních systémů ve smyslu čl. 6 bodu 2 směrnice (EU) 2022/2555;

| 5) | „rizikem v oblasti IKT“ veškeré rozumně rozpoznatelné okolnosti související s používáním sítí a informačních systémů, které, pokud by k nim došlo, mohou narušit bezpečnost sítí a informačních systémů, jakéhokoli na technologiích závislého nástroje nebo postupu, operací a procesů nebo poskytování služeb vznikem nepříznivých dopadů v digitálním nebo fyzickém prostředí; |
| --- | --- |

5)

„rizikem v oblasti IKT“ veškeré rozumně rozpoznatelné okolnosti související s používáním sítí a informačních systémů, které, pokud by k nim došlo, mohou narušit bezpečnost sítí a informačních systémů, jakéhokoli na technologiích závislého nástroje nebo postupu, operací a procesů nebo poskytování služeb vznikem nepříznivých dopadů v digitálním nebo fyzickém prostředí;

| 6) | „informačním aktivem“ soubor informací, v hmotné i nehmotné formě, které je potřeba chránit; |
| --- | --- |

6)

„informačním aktivem“ soubor informací, v hmotné i nehmotné formě, které je potřeba chránit;

| 7) | „aktivem v oblasti IKT“ softwarové nebo hardwarové aktivum v síti a informačních systémech používané finančním subjektem; |
| --- | --- |

7)

„aktivem v oblasti IKT“ softwarové nebo hardwarové aktivum v síti a informačních systémech používané finančním subjektem;

| 8) | „incidentem souvisejícím s IKT“ jediná událost nebo řada propojených událostí, které finanční subjekt neplánoval a které ohrožují bezpečnost sítí a informačních systémů a mají nepříznivý dopad na dostupnost, hodnověrnost, integritu nebo důvěrnost údajů nebo na služby, které finanční subjekt poskytuje; |
| --- | --- |

8)

„incidentem souvisejícím s IKT“ jediná událost nebo řada propojených událostí, které finanční subjekt neplánoval a které ohrožují bezpečnost sítí a informačních systémů a mají nepříznivý dopad na dostupnost, hodnověrnost, integritu nebo důvěrnost údajů nebo na služby, které finanční subjekt poskytuje;

| 9) | „provozním nebo bezpečnostním incidentem souvisejícím s platbami“ jediná událost nebo řada propojených událostí, které finanční subjekty uvedené v čl. 2 odst. 1 písm. a) až d) neplánovaly a které mají nepříznivý dopad na dostupnost, hodnověrnost, integritu nebo důvěrnost údajů souvisejících s platbami nebo na služby související s platbami, které finanční subjekt poskytuje, a to bez ohledu na to, zda souvisí s IKT či nikoli; |
| --- | --- |

9)

„provozním nebo bezpečnostním incidentem souvisejícím s platbami“ jediná událost nebo řada propojených událostí, které finanční subjekty uvedené v čl. 2 odst. 1 písm. a) až d) neplánovaly a které mají nepříznivý dopad na dostupnost, hodnověrnost, integritu nebo důvěrnost údajů souvisejících s platbami nebo na služby související s platbami, které finanční subjekt poskytuje, a to bez ohledu na to, zda souvisí s IKT či nikoli;

| 10) | „závažným incidentem souvisejícím s IKT“ incident související s IKT, který má velký nepříznivý dopad na síť a informační systémy využívané k zajištění zásadních nebo důležitých funkcí finančního subjektu; |
| --- | --- |

10)

„závažným incidentem souvisejícím s IKT“ incident související s IKT, který má velký nepříznivý dopad na síť a informační systémy využívané k zajištění zásadních nebo důležitých funkcí finančního subjektu;

| 11) | „závažným provozním nebo bezpečnostním incidentem souvisejícím s platbami“ provozní nebo bezpečnostní incident související s platbami, který má velký nepříznivý dopad na poskytované služby související s platbami; |
| --- | --- |

11)

„závažným provozním nebo bezpečnostním incidentem souvisejícím s platbami“ provozní nebo bezpečnostní incident související s platbami, který má velký nepříznivý dopad na poskytované služby související s platbami;

| 12) | „kybernetickou hrozbou“ kybernetická hrozba ve smyslu čl. 2 bodu 8 nařízení (EU) 2019/881; |
| --- | --- |

12)

„kybernetickou hrozbou“ kybernetická hrozba ve smyslu čl. 2 bodu 8 nařízení (EU) 2019/881;

| 13) | „významnou kybernetickou hrozbou“ kybernetická hrozba, jejíž technické vlastnosti naznačují, že by mohla vést k závažnému incidentu souvisejícímu s IKT nebo k závažnému provoznímu nebo bezpečnostnímu incidentu souvisejícímu s platbami; |
| --- | --- |

13)

„významnou kybernetickou hrozbou“ kybernetická hrozba, jejíž technické vlastnosti naznačují, že by mohla vést k závažnému incidentu souvisejícímu s IKT nebo k závažnému provoznímu nebo bezpečnostnímu incidentu souvisejícímu s platbami;

| 14) | „kybernetickým útokem“ zlovolný incident související s IKT způsobený jakýmkoli aktérem hrozby s cílem zničit, odhalit, pozměnit, deaktivovat či odcizit aktivum nebo k němu získat neoprávněný přístup či ho neoprávněně využívat; |
| --- | --- |

14)

„kybernetickým útokem“ zlovolný incident související s IKT způsobený jakýmkoli aktérem hrozby s cílem zničit, odhalit, pozměnit, deaktivovat či odcizit aktivum nebo k němu získat neoprávněný přístup či ho neoprávněně využívat;

| 15) | „operativními informacemi o hrozbách“ informace, které byly shromážděny, zpracovány, analyzovány, interpretovány nebo rozšířeny tak, aby poskytovaly nezbytné souvislosti pro rozhodování a umožňovaly relevantní a dostatečné pochopení s cílem zmírnit dopad incidentu souvisejícího s IKT nebo kybernetické hrozby, včetně technických údajů o kybernetickém útoku, osobách odpovědných za útok a jejich modu operandi a motivaci; |
| --- | --- |

15)

„operativními informacemi o hrozbách“ informace, které byly shromážděny, zpracovány, analyzovány, interpretovány nebo rozšířeny tak, aby poskytovaly nezbytné souvislosti pro rozhodování a umožňovaly relevantní a dostatečné pochopení s cílem zmírnit dopad incidentu souvisejícího s IKT nebo kybernetické hrozby, včetně technických údajů o kybernetickém útoku, osobách odpovědných za útok a jejich modu operandi a motivaci;

modu operandi

| 16) | „zranitelností“ slabina, citlivost nebo chyba aktiva, systému, procesu nebo kontroly, jichž může být využito; |
| --- | --- |

16)

„zranitelností“ slabina, citlivost nebo chyba aktiva, systému, procesu nebo kontroly, jichž může být využito;

| 17) | „penetračním testováním na základě hrozeb“ rámec napodobující taktiku, techniky a postupy skutečných aktérů hrozeb vnímaných jako skutečné kybernetické hrozby, který poskytuje řízené, individualizované a na operativních informacích založené (metoda „červeného týmu“) testování kritických systémů finančního subjektu za provozu; |
| --- | --- |

17)

„penetračním testováním na základě hrozeb“ rámec napodobující taktiku, techniky a postupy skutečných aktérů hrozeb vnímaných jako skutečné kybernetické hrozby, který poskytuje řízené, individualizované a na operativních informacích založené (metoda „červeného týmu“) testování kritických systémů finančního subjektu za provozu;

| 18) | „rizikem v oblasti IKT spojeným s třetími stranami“ riziko pro finanční subjekt v oblasti IKT, které může vzniknout v souvislosti s jeho využíváním služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran nebo jejich subdodavateli, a to i prostřednictvím dohod o externím zajištění služeb; |
| --- | --- |

18)

„rizikem v oblasti IKT spojeným s třetími stranami“ riziko pro finanční subjekt v oblasti IKT, které může vzniknout v souvislosti s jeho využíváním služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran nebo jejich subdodavateli, a to i prostřednictvím dohod o externím zajištění služeb;

| 19) | „poskytovatelem služeb IKT z řad třetích stran“ podnik poskytující služby IKT; |
| --- | --- |

19)

„poskytovatelem služeb IKT z řad třetích stran“ podnik poskytující služby IKT;

| 20) | „poskytovatelem služeb IKT v rámci skupiny“ podnik, který je součástí finanční skupiny a poskytuje služby IKT převážně finančním subjektům v rámci téže skupiny nebo finančním subjektům v rámci téhož institucionálního systému ochrany, včetně jejich mateřským podniků, dceřiných podniků nebo poboček či dalších subjektů, které mají stejného majitele nebo jsou pod jeho kontrolou; |
| --- | --- |

20)

„poskytovatelem služeb IKT v rámci skupiny“ podnik, který je součástí finanční skupiny a poskytuje služby IKT převážně finančním subjektům v rámci téže skupiny nebo finančním subjektům v rámci téhož institucionálního systému ochrany, včetně jejich mateřským podniků, dceřiných podniků nebo poboček či dalších subjektů, které mají stejného majitele nebo jsou pod jeho kontrolou;

| 21) | „službami IKT“ digitální a datové služby poskytované prostřednictvím systémů IKT průběžně jednomu nebo více interním nebo externím uživatelům, včetně hardwaru jako služby a hardwarových služeb, které zahrnují poskytování technické podpory prostřednictvím aktualizací softwaru nebo firmwaru poskytovatelem hardwaru, s výjimkou tradičních analogových telefonních služeb; |
| --- | --- |

21)

„službami IKT“ digitální a datové služby poskytované prostřednictvím systémů IKT průběžně jednomu nebo více interním nebo externím uživatelům, včetně hardwaru jako služby a hardwarových služeb, které zahrnují poskytování technické podpory prostřednictvím aktualizací softwaru nebo firmwaru poskytovatelem hardwaru, s výjimkou tradičních analogových telefonních služeb;

| 22) | „zásadní nebo důležitou funkcí“ funkce, jejíž narušení by významně narušilo finanční výkonnost finančního subjektu nebo řádný průběh nebo kontinuitu jeho služeb a činností nebo jejíž přerušení či chybný nebo neúspěšný průběh by významně narušily dodržování podmínek a povinností finančního subjektu vyplývajících z jeho povolení nebo jeho dalších povinností na základě platného práva v oblasti finančních služeb; |
| --- | --- |

22)

„zásadní nebo důležitou funkcí“ funkce, jejíž narušení by významně narušilo finanční výkonnost finančního subjektu nebo řádný průběh nebo kontinuitu jeho služeb a činností nebo jejíž přerušení či chybný nebo neúspěšný průběh by významně narušily dodržování podmínek a povinností finančního subjektu vyplývajících z jeho povolení nebo jeho dalších povinností na základě platného práva v oblasti finančních služeb;

| 23) | „kritickým poskytovatelem služeb IKT z řad třetích stran“ poskytovatel služeb IKT z řad třetích stran určený jako kritický v souladu s článkem 31; |
| --- | --- |

23)

„kritickým poskytovatelem služeb IKT z řad třetích stran“ poskytovatel služeb IKT z řad třetích stran určený jako kritický v souladu s článkem 31;

| 24) | „poskytovatelem služeb IKT z řad třetích stran usazeným ve třetí zemi“ poskytovatel služeb IKT z řad třetích stran, který je právnickou osobou usazenou ve třetí zemi a který uzavřel smluvní ujednání s finančním subjektem na poskytování služeb IKT; |
| --- | --- |

24)

„poskytovatelem služeb IKT z řad třetích stran usazeným ve třetí zemi“ poskytovatel služeb IKT z řad třetích stran, který je právnickou osobou usazenou ve třetí zemi a který uzavřel smluvní ujednání s finančním subjektem na poskytování služeb IKT;

| 25) | „dceřiným podnikem“ dceřiný podnik ve smyslu čl. 2 bodu 10 a článku 22 směrnice 2013/34/EU; |
| --- | --- |

25)

„dceřiným podnikem“ dceřiný podnik ve smyslu čl. 2 bodu 10 a článku 22 směrnice 2013/34/EU;

| 26) | „skupinou“ skupina ve smyslu čl. 2 bodu 11 směrnice 2013/34/EU; |
| --- | --- |

26)

„skupinou“ skupina ve smyslu čl. 2 bodu 11 směrnice 2013/34/EU;

| 27) | „mateřským podnikem“ mateřský podnik ve smyslu čl. 2 bodu 9 a článku 22 směrnice 2013/34/EU; |
| --- | --- |

27)

„mateřským podnikem“ mateřský podnik ve smyslu čl. 2 bodu 9 a článku 22 směrnice 2013/34/EU;

| 28) | „subdodavatelem IKT usazeným ve třetí zemi“ subdodavatel IKT, který je právnickou osobou usazenou ve třetí zemi a který uzavřel smluvní ujednání buď s poskytovatelem služeb IKT z řad třetích stran, nebo s poskytovatelem služeb IKT z řad třetích stran usazeným ve třetí zemi; |
| --- | --- |

28)

„subdodavatelem IKT usazeným ve třetí zemi“ subdodavatel IKT, který je právnickou osobou usazenou ve třetí zemi a který uzavřel smluvní ujednání buď s poskytovatelem služeb IKT z řad třetích stran, nebo s poskytovatelem služeb IKT z řad třetích stran usazeným ve třetí zemi;

| 29) | „rizikem koncentrace IKT“ expozice vůči jednomu či několika propojeným kritickým poskytovatelům služeb IKT z řad třetích stran vytvářející takovou míru závislosti na těchto poskytovatelích, že jejich nedostupnost, selhání nebo jiná nedostatečnost mohou potenciálně ohrozit schopnost finančního subjektu poskytovat zásadní nebo důležité funkce nebo způsobit, že utrpí jinou újmu, včetně vysokých ztrát, nebo ohrozit finanční stabilitu celé Unie; |
| --- | --- |

29)

„rizikem koncentrace IKT“ expozice vůči jednomu či několika propojeným kritickým poskytovatelům služeb IKT z řad třetích stran vytvářející takovou míru závislosti na těchto poskytovatelích, že jejich nedostupnost, selhání nebo jiná nedostatečnost mohou potenciálně ohrozit schopnost finančního subjektu poskytovat zásadní nebo důležité funkce nebo způsobit, že utrpí jinou újmu, včetně vysokých ztrát, nebo ohrozit finanční stabilitu celé Unie;

| 30) | „vedoucím orgánem“ vedoucí orgán ve smyslu čl. 4 odst. 1 bodu 36 směrnice 2014/65/EU, čl. 3 odst. 1 bodu 7 směrnice 2013/36/EU, čl. 2 odst. 1 písm. s) směrnice Evropského parlamentu a Rady 2009/65/ES (31), čl. 2 odst. 1 bodu 45 nařízení (EU) č. 909/2014, čl. 3 odst. 1 bodu 20 nařízení (EU) 2016/1011 a příslušného ustanovení nařízení o trzích s kryptoaktivy nebo rovnocenné osoby, které skutečně řídí subjekt nebo zastávají klíčové funkce podle příslušného unijního nebo vnitrostátního práva; |
| --- | --- |

30)

„vedoucím orgánem“ vedoucí orgán ve smyslu čl. 4 odst. 1 bodu 36 směrnice 2014/65/EU, čl. 3 odst. 1 bodu 7 směrnice 2013/36/EU, čl. 2 odst. 1 písm. s) směrnice Evropského parlamentu a Rady 2009/65/ES (31), čl. 2 odst. 1 bodu 45 nařízení (EU) č. 909/2014, čl. 3 odst. 1 bodu 20 nařízení (EU) 2016/1011 a příslušného ustanovení nařízení o trzích s kryptoaktivy nebo rovnocenné osoby, které skutečně řídí subjekt nebo zastávají klíčové funkce podle příslušného unijního nebo vnitrostátního práva;

31

| 31) | „úvěrovou institucí“ úvěrová instituce ve smyslu čl. 4 odst. 1 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 575/2013 (32); |
| --- | --- |

31)

„úvěrovou institucí“ úvěrová instituce ve smyslu čl. 4 odst. 1 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 575/2013 (32);

32

| 32) | „úvěrovou institucí vyňatou podle směrnice 2013/36/EU“ subjekt uvedený v čl. 2 odst. 5 bodech 4 až 23 směrnice 2013/36/EU; |
| --- | --- |

32)

„úvěrovou institucí vyňatou podle směrnice 2013/36/EU“ subjekt uvedený v čl. 2 odst. 5 bodech 4 až 23 směrnice 2013/36/EU;

| 33) | „investičním podnikem“ investiční podnik ve smyslu čl. 4 odst. 1 bodu 1 směrnice 2014/65/EU; |
| --- | --- |

33)

„investičním podnikem“ investiční podnik ve smyslu čl. 4 odst. 1 bodu 1 směrnice 2014/65/EU;

| 34) | „malým a nepropojeným investičním podnikem“ investiční podnik, který splňuje podmínky stanovené v čl. 12 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2019/2033 (33); |
| --- | --- |

34)

„malým a nepropojeným investičním podnikem“ investiční podnik, který splňuje podmínky stanovené v čl. 12 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2019/2033 (33);

33

| 35) | „platební institucí“ platební instituce ve smyslu čl. 4 bodu 4 směrnice (EU) 2015/2366; |
| --- | --- |

35)

„platební institucí“ platební instituce ve smyslu čl. 4 bodu 4 směrnice (EU) 2015/2366;

| 36) | „platební institucí vyňatou podle směrnice (EU) 2015/2366“ platební instituce vyňatá podle čl. 32 odst. 1 směrnice (EU) 2015/2366; |
| --- | --- |

36)

„platební institucí vyňatou podle směrnice (EU) 2015/2366“ platební instituce vyňatá podle čl. 32 odst. 1 směrnice (EU) 2015/2366;

| 37) | „poskytovatelem služeb informování o účtu“ poskytovatel služeb informování o účtu ve smyslu čl. 33 odst. 1 směrnice (EU) 2015/2366; |
| --- | --- |

37)

„poskytovatelem služeb informování o účtu“ poskytovatel služeb informování o účtu ve smyslu čl. 33 odst. 1 směrnice (EU) 2015/2366;

| 38) | „institucí elektronických peněz“ instituce elektronických peněz ve smyslu čl. 2 bodu 1 směrnice 2009/110/ES; |
| --- | --- |

38)

„institucí elektronických peněz“ instituce elektronických peněz ve smyslu čl. 2 bodu 1 směrnice 2009/110/ES;

| 39) | „institucí elektronických peněz vyňatou podle směrnice 2009/110/ES“ instituce elektronických peněz, na niž se podle čl. 9 odst. 1 směrnice 2009/110/ES vztahuje výjimka; |
| --- | --- |

39)

„institucí elektronických peněz vyňatou podle směrnice 2009/110/ES“ instituce elektronických peněz, na niž se podle čl. 9 odst. 1 směrnice 2009/110/ES vztahuje výjimka;

| 40) | „ústřední protistranou“ ústřední protistrana ve smyslu čl. 2 bodu 1 nařízení (EU) č. 648/2012; |
| --- | --- |

40)

„ústřední protistranou“ ústřední protistrana ve smyslu čl. 2 bodu 1 nařízení (EU) č. 648/2012;

| 41) | „registrem obchodních údajů“ registr obchodních údajů ve smyslu čl. 2 bodu 2 nařízení (EU) č. 648/2012; |
| --- | --- |

41)

„registrem obchodních údajů“ registr obchodních údajů ve smyslu čl. 2 bodu 2 nařízení (EU) č. 648/2012;

| 42) | „centrálním depozitářem cenných papírů“ centrální depozitář cenných papírů ve smyslu čl. 2 odst. 1 bodu 1 nařízení (EU) č. 909/2014; |
| --- | --- |

42)

„centrálním depozitářem cenných papírů“ centrální depozitář cenných papírů ve smyslu čl. 2 odst. 1 bodu 1 nařízení (EU) č. 909/2014;

| 43) | „obchodním systémem“ obchodní systém ve smyslu čl. 4 odst. 1 bodu 24 směrnice 2014/65/EU; |
| --- | --- |

43)

„obchodním systémem“ obchodní systém ve smyslu čl. 4 odst. 1 bodu 24 směrnice 2014/65/EU;

| 44) | „správcem alternativních investičních fondů“ správce alternativních investičních fondů ve smyslu čl. 4 odst. 1 písm. b) směrnice 2011/61/EU; |
| --- | --- |

44)

„správcem alternativních investičních fondů“ správce alternativních investičních fondů ve smyslu čl. 4 odst. 1 písm. b) směrnice 2011/61/EU;

| 45) | „správcovskou společností“ správcovská společnost ve smyslu čl. 2 odst. 1 písm. b) směrnice 2009/65/ES; |
| --- | --- |

45)

„správcovskou společností“ správcovská společnost ve smyslu čl. 2 odst. 1 písm. b) směrnice 2009/65/ES;

| 46) | „poskytovatelem služeb hlášení údajů“ poskytovatel služeb hlášení údajů ve smyslu nařízení (EU) č. 600/2014, uvedený v čl. 2 odst. 1 bodech 34 až 36 daného nařízení; |
| --- | --- |

46)

„poskytovatelem služeb hlášení údajů“ poskytovatel služeb hlášení údajů ve smyslu nařízení (EU) č. 600/2014, uvedený v čl. 2 odst. 1 bodech 34 až 36 daného nařízení;

| 47) | „pojišťovnou“ pojišťovna ve smyslu čl. 13 bodu 1 směrnice 2009/138/ES; |
| --- | --- |

47)

„pojišťovnou“ pojišťovna ve smyslu čl. 13 bodu 1 směrnice 2009/138/ES;

| 48) | „zajišťovnou“ zajišťovna ve smyslu čl. 13 bodu 4 směrnice 2009/138/ES; |
| --- | --- |

48)

„zajišťovnou“ zajišťovna ve smyslu čl. 13 bodu 4 směrnice 2009/138/ES;

| 49) | „zprostředkovatelem pojištění“ zprostředkovatel pojištění ve smyslu čl. 2 odst. 1 bodu 3 směrnice Evropského parlamentu a Rady (EU) 2016/97 (34); |
| --- | --- |

49)

„zprostředkovatelem pojištění“ zprostředkovatel pojištění ve smyslu čl. 2 odst. 1 bodu 3 směrnice Evropského parlamentu a Rady (EU) 2016/97 (34);

34

| 50) | „zprostředkovatelem doplňkového pojištění“ zprostředkovatel doplňkového pojištění ve smyslu čl. 2 odst. 1 bodu 4 směrnice (EU) 2016/97; |
| --- | --- |

50)

„zprostředkovatelem doplňkového pojištění“ zprostředkovatel doplňkového pojištění ve smyslu čl. 2 odst. 1 bodu 4 směrnice (EU) 2016/97;

| 51) | „zprostředkovatelem zajištění“ zprostředkovatel zajištění ve smyslu čl. 2 odst. 1 bodu 5 směrnice (EU) 2016/97; |
| --- | --- |

51)

„zprostředkovatelem zajištění“ zprostředkovatel zajištění ve smyslu čl. 2 odst. 1 bodu 5 směrnice (EU) 2016/97;

| 52) | „institucí zaměstnaneckého penzijního pojištění“ instituce zaměstnaneckého penzijního pojištění ve smyslu čl. 6 bodu 1 směrnice (EU) 2016/2341; |
| --- | --- |

52)

„institucí zaměstnaneckého penzijního pojištění“ instituce zaměstnaneckého penzijního pojištění ve smyslu čl. 6 bodu 1 směrnice (EU) 2016/2341;

| 53) | „malou institucí zaměstnaneckého penzijního pojištění“ instituce zaměstnaneckého penzijního pojištění, která provozuje penzijní plány, které dohromady mají méně než 100 účastníků; |
| --- | --- |

53)

„malou institucí zaměstnaneckého penzijního pojištění“ instituce zaměstnaneckého penzijního pojištění, která provozuje penzijní plány, které dohromady mají méně než 100 účastníků;

| 54) | „ratingovou agenturou“ ratingová agentura ve smyslu čl. 3 odst. 1 písm. b) nařízení (ES) č. 1060/2009; |
| --- | --- |

54)

„ratingovou agenturou“ ratingová agentura ve smyslu čl. 3 odst. 1 písm. b) nařízení (ES) č. 1060/2009;

| 55) | „poskytovatelem služeb souvisejících s kryptoaktivy“ poskytovatel služeb souvisejících s kryptoaktivy ve smyslu příslušného ustanovení nařízení o trzích s kryptoaktivy; |
| --- | --- |

55)

„poskytovatelem služeb souvisejících s kryptoaktivy“ poskytovatel služeb souvisejících s kryptoaktivy ve smyslu příslušného ustanovení nařízení o trzích s kryptoaktivy;

| 56) | „vydavatelem tokenů vázaných na aktiva“ vydavatel tokenů vázaných na aktiva ve smyslu příslušného ustanovení nařízení o trzích s kryptoaktivy; |
| --- | --- |

56)

„vydavatelem tokenů vázaných na aktiva“ vydavatel tokenů vázaných na aktiva ve smyslu příslušného ustanovení nařízení o trzích s kryptoaktivy;

| 57) | „správcem kritických referenčních hodnot“ správce kritických referenčních hodnot ve smyslu čl. 3 odst. 1 bodu 25 nařízení E (EU) 2016/1011; |
| --- | --- |

57)

„správcem kritických referenčních hodnot“ správce kritických referenčních hodnot ve smyslu čl. 3 odst. 1 bodu 25 nařízení E (EU) 2016/1011;

| 58) | „poskytovatelem služeb skupinového financování“ poskytovatel služeb skupinového financování ve smyslu čl. 2 odst. 1 písm. e) nařízení Evropského parlamentu a Rady (EU) 2020/1503 (35); |
| --- | --- |

58)

„poskytovatelem služeb skupinového financování“ poskytovatel služeb skupinového financování ve smyslu čl. 2 odst. 1 písm. e) nařízení Evropského parlamentu a Rady (EU) 2020/1503 (35);

35

| 59) | „registrem sekuritizací“ registr sekuritizací ve smyslu čl. 2 bodu 23 nařízení Evropského parlamentu a Rady (EU) 2017/2402 (36); |
| --- | --- |

59)

„registrem sekuritizací“ registr sekuritizací ve smyslu čl. 2 bodu 23 nařízení Evropského parlamentu a Rady (EU) 2017/2402 (36);

36

| 60) | „mikropodnikem“ finanční subjekt jiný než obchodní systém, ústřední protistrana, registr obchodních údajů nebo centrální depozitář cenných papírů, který zaměstnává méně než 10 osob a jehož roční obrat nebo celková roční bilanční suma nepřekračuje 2 miliony EUR; |
| --- | --- |

60)

„mikropodnikem“ finanční subjekt jiný než obchodní systém, ústřední protistrana, registr obchodních údajů nebo centrální depozitář cenných papírů, který zaměstnává méně než 10 osob a jehož roční obrat nebo celková roční bilanční suma nepřekračuje 2 miliony EUR;

| 61) | „hlavním orgánem dohledu“ evropský orgán dohledu jmenovaný v souladu s čl. 31 odst. 1 písm. b) tohoto nařízení; |
| --- | --- |

61)

„hlavním orgánem dohledu“ evropský orgán dohledu jmenovaný v souladu s čl. 31 odst. 1 písm. b) tohoto nařízení;

| 62) | „společným výborem“ výbor uvedený v článku 54 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010; |
| --- | --- |

62)

„společným výborem“ výbor uvedený v článku 54 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010;

| 63) | „malým podnikem“ finanční subjekt, který zaměstnává nejméně 10 osob, avšak méně než 50 osob, a jehož roční obrat nebo celková roční bilanční suma překračuje 2 miliony EUR, avšak nepřekračuje 10 milionů EUR; |
| --- | --- |

63)

„malým podnikem“ finanční subjekt, který zaměstnává nejméně 10 osob, avšak méně než 50 osob, a jehož roční obrat nebo celková roční bilanční suma překračuje 2 miliony EUR, avšak nepřekračuje 10 milionů EUR;

| 64) | „středním podnikem“ finanční subjekt, který není malým podnikem a zaměstnává méně než 250 osob a jehož roční obrat nepřekračuje 50 milionů EUR nebo jehož roční bilanční suma nepřekračuje 43 milionů EUR; |
| --- | --- |

64)

„středním podnikem“ finanční subjekt, který není malým podnikem a zaměstnává méně než 250 osob a jehož roční obrat nepřekračuje 50 milionů EUR nebo jehož roční bilanční suma nepřekračuje 43 milionů EUR;

| 65) | „veřejným orgánem“ jakýkoli ústřední orgán nebo jiný subjekt veřejné správy, včetně národních centrálních bank. |
| --- | --- |

65)

„veřejným orgánem“ jakýkoli ústřední orgán nebo jiný subjekt veřejné správy, včetně národních centrálních bank.

Článek 4

Zásada proporcionality

1.   Finanční subjekty uplatňují pravidla stanovená v kapitole II v souladu se zásadou proporcionality a s přihlédnutím ke své velikosti a celkovému rizikovému profilu a povaze, rozsahu a složitosti svých služeb, činností a operací.

2.   Kromě toho je uplatňování kapitol III, IV a V oddílu I finančními subjekty přiměřené jejich velikosti a celkovému rizikovému profilu a povaze, rozsahu a složitosti jejich služeb, činností a operací, jak je konkrétně stanoveno v příslušných pravidlech uvedených kapitol.

3.   Příslušné orgány zváží uplatňování zásady proporcionality finančními subjekty při přezkumu soudržnosti rámce pro řízení rizika v oblasti IKT na základě zpráv předložených na žádost příslušných orgánů podle čl. 6 odst. 5 a čl. 16 odst. 2.

KAPITOLA II

Řízení rizika v oblasti IKT

Oddíl I

Článek 5

Řízení a organizace

1.   Finanční subjekty mají zaveden interní řídicí a kontrolní rámec, který zajistí účinné a obezřetné řízení rizika v oblasti IKT v souladu s čl. 6 odst. 4 s cílem dosáhnout vysoké úrovně digitální provozní odolnosti.

2.   Vedoucí orgán finančního subjektu stanoví a schvaluje veškerá opatření související s rámcem pro řízení rizika v oblasti IKT podle čl. 6 odst. 1, dohlíží na jejich provádění a odpovídá za něj.

Pro účely prvního pododstavce vedoucí orgán:

| a) | nese konečnou odpovědnost za řízení rizika finančního subjektu v oblasti IKT; |
| --- | --- |

a)

nese konečnou odpovědnost za řízení rizika finančního subjektu v oblasti IKT;

| b) | zavádí postupy a strategie, jejichž cílem je zajistit zachování přísných norem v oblasti dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů; |
| --- | --- |

b)

zavádí postupy a strategie, jejichž cílem je zajistit zachování přísných norem v oblasti dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů;

| c) | stanoví jasné úlohy a povinnosti pro všechny funkce související s IKT a zavádí vhodné mechanismy řízení s cílem zajistit účinnou a včasnou komunikaci, spolupráci a koordinaci mezi uvedenými funkcemi; |
| --- | --- |

c)

stanoví jasné úlohy a povinnosti pro všechny funkce související s IKT a zavádí vhodné mechanismy řízení s cílem zajistit účinnou a včasnou komunikaci, spolupráci a koordinaci mezi uvedenými funkcemi;

| d) | nese celkovou odpovědnost za stanovení a schválení strategie digitální provozní odolnosti podle čl. 6 odst. 8, včetně stanovení přiměřené přípustné odchylky rizika v oblasti IKT u finančního subjektu podle čl. 6 odst. 8 písm. b); |
| --- | --- |

d)

nese celkovou odpovědnost za stanovení a schválení strategie digitální provozní odolnosti podle čl. 6 odst. 8, včetně stanovení přiměřené přípustné odchylky rizika v oblasti IKT u finančního subjektu podle čl. 6 odst. 8 písm. b);

| e) | schvaluje provádění politiky zachování provozu IKT finančního subjektu a plány reakce a obnovy v oblasti IKT uvedené v čl. 11 odst. 1 a 3, které mohou být přijaty jako zvláštní konkrétní politika tvořící nedílnou součást celkové politiky zachování provozu a plánu reakce a obnovy finančního subjektu, dohlíží na ně a pravidelně je přezkoumává; |
| --- | --- |

e)

schvaluje provádění politiky zachování provozu IKT finančního subjektu a plány reakce a obnovy v oblasti IKT uvedené v čl. 11 odst. 1 a 3, které mohou být přijaty jako zvláštní konkrétní politika tvořící nedílnou součást celkové politiky zachování provozu a plánu reakce a obnovy finančního subjektu, dohlíží na ně a pravidelně je přezkoumává;

| f) | schvaluje a pravidelně přezkoumává plány interních auditů IKT, které finanční subjekt vypracovává, audity IKT a jejich podstatné změny; |
| --- | --- |

f)

schvaluje a pravidelně přezkoumává plány interních auditů IKT, které finanční subjekt vypracovává, audity IKT a jejich podstatné změny;

| g) | přiděluje a pravidelně přezkoumává odpovídající rozpočtové prostředky na pokrytí potřeb finančního subjektu v oblasti digitální provozní odolnosti s ohledem na všechny typy zdrojů, včetně relevantních programů zvyšování povědomí o bezpečnosti v oblasti IKT a školení o digitální provozní odolnosti uvedených v čl. 13 odst. 6 a dovedností v oblasti IKT pro všechny zaměstnance; |
| --- | --- |

g)

přiděluje a pravidelně přezkoumává odpovídající rozpočtové prostředky na pokrytí potřeb finančního subjektu v oblasti digitální provozní odolnosti s ohledem na všechny typy zdrojů, včetně relevantních programů zvyšování povědomí o bezpečnosti v oblasti IKT a školení o digitální provozní odolnosti uvedených v čl. 13 odst. 6 a dovedností v oblasti IKT pro všechny zaměstnance;

| h) | schvaluje a pravidelně přezkoumává strategii finančního subjektu pro režimy využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran; |
| --- | --- |

h)

schvaluje a pravidelně přezkoumává strategii finančního subjektu pro režimy využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran;

| i) | na úrovni podniku zavede kanály pro oznamování, které mu umožní být řádně informován:






  i) | o ujednáních o využívání služeb IKT uzavřených s poskytovateli služeb IKT z řad třetích stran; |
| --- | --- | --- |

i)

na úrovni podniku zavede kanály pro oznamování, které mu umožní být řádně informován:

i)

o ujednáních o využívání služeb IKT uzavřených s poskytovateli služeb IKT z řad třetích stran;

| ii) | o veškerých relevantních plánovaných podstatných změnách týkajících se poskytovatelů služeb IKT z řad třetích stran; |
| --- | --- |

ii)

o veškerých relevantních plánovaných podstatných změnách týkajících se poskytovatelů služeb IKT z řad třetích stran;

| iii) | o potenciálním dopadu těchto změn na zásadní nebo důležité funkce, které jsou předmětem těchto ujednání, včetně shrnutí analýzy rizik s cílem posoudit dopad těchto změn, a alespoň o závažných incidentech souvisejících s IKT a jejich dopadu, jakož i o opatřeních týkajících se reakce a obnovy a o nápravných opatřeních. |
| --- | --- |

iii)

o potenciálním dopadu těchto změn na zásadní nebo důležité funkce, které jsou předmětem těchto ujednání, včetně shrnutí analýzy rizik s cílem posoudit dopad těchto změn, a alespoň o závažných incidentech souvisejících s IKT a jejich dopadu, jakož i o opatřeních týkajících se reakce a obnovy a o nápravných opatřeních.

3.   Finanční subjekty, jiné než mikropodniky, vytvoří funkci s cílem sledovat ujednání o využívání služeb IKT uzavřená s poskytovateli z řad třetích stran nebo pověří jednoho vedoucího pracovníka jako osobu odpovědnou za dohled nad expozicí souvisejícím rizikům a příslušnou dokumentací.

4.   Členové vedoucího orgánu finančního subjektu aktivně usilují o dostatečné a aktuální znalosti a dovednosti k pochopení a hodnocení rizika v oblasti IKT a jeho dopadů na fungování finančního subjektu, mimo jiné pravidelným absolvováním specifického školení úměrného riziku v oblasti IKT, jež je předmětem řízení.

Oddíl II

Článek 6

Rámec pro řízení rizika v oblasti IKT

1.   Finanční subjekty mají spolehlivý, ucelený a dobře zdokumentovaný rámec pro řízení rizika v oblasti IKT jako součást svého celkového systému řízení rizika, který jim umožňuje řešit toto riziko rychle, účinně a komplexně a zajistit vysokou míru digitální provozní odolnosti.

2.   Rámec pro řízení rizika v oblasti IKT obsahuje přinejmenším strategie, politiky, postupy, protokoly a nástroje IKT, jež jsou nezbytné pro řádnou a přiměřenou ochranu všech informačních aktiv a aktiv v oblasti IKT, včetně počítačového softwaru, hardwaru, serverů a rovněž všech relevantních fyzických součástí a infrastruktur, jako jsou místnosti, datová centra a citlivé určené prostory, aby byla zajištěna vhodná ochrana všech informačních aktiv a aktiv v oblasti IKT před riziky, včetně poškození a neoprávněného přístupu nebo použití.

3.   Finanční subjekty v souladu se svým rámcem pro řízení rizika v oblasti IKT minimalizují dopad rizika v oblasti IKT zaváděním vhodných strategií, politik, postupů, protokolů a nástrojů. Poskytují úplné a aktualizované informace o riziku v oblasti IKT a o svém rámci pro řízení rizika v oblasti IKT na žádost příslušných orgánů.

4.   Finanční subjekty, jiné než mikropodniky, pověří odpovědností za řízení a kontrolu rizika v oblasti IKT kontrolní funkci a zajistí odpovídající úroveň nezávislosti této kontrolní funkce, aby nedocházelo ke střetům zájmů. Finanční subjekty zajistí náležité oddělení a nezávislost vedoucích funkcí, kontrolních funkcí a interních auditních funkcí v oblasti rizika IKT podle modelu tří linií obrany nebo interního modelu řízení a kontroly rizika.

5.   Rámec pro řízení rizika v oblasti IKT se zdokumentuje a reviduje alespoň jednou ročně nebo pravidelně v případě mikropodniků a rovněž po výskytu závažného incidentu souvisejícího s IKT a na základě pokynů dohledu nebo závěrů vyvozených na základě příslušných testů či auditů digitální provozní odolnosti. Je průběžně zdokonalován na základě zkušeností z jeho provádění a sledování. Zpráva o přezkumu rámce pro řízení rizika v oblasti IKT se na žádost předkládá příslušnému orgánu.

6.   Rámec pro řízení rizika v oblasti IKT finančních subjektů, jiných než mikropodniky, podléhá pravidelnému internímu auditu prováděnému auditory v souladu s plánem auditu finančních subjektů. Tito auditoři mají dostatečné znalosti, dovednosti a odborné znalosti, pokud jde o riziko v oblasti IKT, jakož i přiměřenou nezávislost. Četnost a zaměření auditů IKT odpovídají riziku finančního subjektu v oblasti IKT.

7.   Na základě závěrů z interního auditu zavedou finanční subjekty formální následný postup, včetně pravidel pro včasné ověření a nápravu kritických zjištění auditu IKT.

8.   Rámec pro řízení rizika v oblasti IKT zahrnuje strategii digitální provozní odolnosti, v níž se stanoví způsob jeho uplatňování. Za tímto účelem zahrnuje strategie digitální provozní odolnosti metody řešení rizika v oblasti IKT a plnění specifických cílů v oblasti IKT, a to formou:

| a) | vysvětlení, jak rámec pro řízení rizika v oblasti IKT podporuje obchodní strategii a cíle finančního subjektu; |
| --- | --- |

a)

vysvětlení, jak rámec pro řízení rizika v oblasti IKT podporuje obchodní strategii a cíle finančního subjektu;

| b) | stanovení přípustné odchylky rizika v oblasti IKT podle ochoty finančního subjektu podstupovat riziko a analýzy tolerance dopadů narušení v oblasti IKT; |
| --- | --- |

b)

stanovení přípustné odchylky rizika v oblasti IKT podle ochoty finančního subjektu podstupovat riziko a analýzy tolerance dopadů narušení v oblasti IKT;

| c) | stanovení jasných cílů v oblasti bezpečnosti informací, včetně klíčových ukazatelů výkonnosti a klíčových ukazatelů k měření rizika; |
| --- | --- |

c)

stanovení jasných cílů v oblasti bezpečnosti informací, včetně klíčových ukazatelů výkonnosti a klíčových ukazatelů k měření rizika;

| d) | vysvětlení referenční architektury IKT a veškerých změn potřebných k dosažení specifických obchodních cílů; |
| --- | --- |

d)

vysvětlení referenční architektury IKT a veškerých změn potřebných k dosažení specifických obchodních cílů;

| e) | uvedení různých mechanismů zavedených za účelem detekce incidentů souvisejících s IKT, prevence jejich dopadů a ochrany před nimi; |
| --- | --- |

e)

uvedení různých mechanismů zavedených za účelem detekce incidentů souvisejících s IKT, prevence jejich dopadů a ochrany před nimi;

| f) | doložení stávající situace v oblasti digitální provozní odolnosti na základě počtu hlášených závažných incidentů souvisejících s IKT a účinnosti preventivních opatření; |
| --- | --- |

f)

doložení stávající situace v oblasti digitální provozní odolnosti na základě počtu hlášených závažných incidentů souvisejících s IKT a účinnosti preventivních opatření;

| g) | zavedení testování digitální provozní odolnosti v souladu s kapitolou IV tohoto nařízení; |
| --- | --- |

g)

zavedení testování digitální provozní odolnosti v souladu s kapitolou IV tohoto nařízení;

| h) | nastínění komunikační strategie v případě incidentů souvisejících s IKT, jejichž zveřejnění je vyžadováno v souladu s článkem 14. |
| --- | --- |

h)

nastínění komunikační strategie v případě incidentů souvisejících s IKT, jejichž zveřejnění je vyžadováno v souladu s článkem 14.

9.   Finanční subjekty mohou v kontextu strategie digitální provozní odolnosti uvedené v odstavci 8 definovat ucelenou strategii více dodavatelů IKT, a to na úrovni skupiny nebo subjektu, v níž budou uvedeny klíčové závislosti na poskytovatelích služeb IKT z řad třetích stran a vysvětleny důvody kombinovaného využívání poskytovatelů služeb IKT z řad třetích stran.

10.   Finanční subjekty mohou v souladu s unijními a vnitrostátními odvětvovými právními předpisy externě zadat úkoly ověřování souladu s požadavky na řízení rizika v oblasti IKT podnikům uvnitř skupiny nebo externím podnikům. V případě takového externího zadání nese za ověřování souladu s požadavky na řízení rizika v oblasti IKT i nadále plnou odpovědnost finanční subjekt.

Článek 7

Systémy, protokoly a nástroje IKT

Za účelem řešení a řízení rizika v oblasti IKT finanční subjekty používají a udržují aktualizované systémy, protokoly a nástroje IKT, které jsou:

| a) | přiměřené rozsahu operací podporujících provádění jejich činností v souladu se zásadou proporcionality uvedenou v článku 4; |
| --- | --- |

a)

přiměřené rozsahu operací podporujících provádění jejich činností v souladu se zásadou proporcionality uvedenou v článku 4;

| b) | spolehlivé; |
| --- | --- |

b)

spolehlivé;

| c) | vybaveny dostatečnou kapacitou ke správnému zpracování dat potřebných k výkonu činností a včasnému poskytování služeb a k realizaci vysokých objemů objednávek, zpráv nebo transakcí podle potřeby, a to i v případě zavádění nové technologie; |
| --- | --- |

c)

vybaveny dostatečnou kapacitou ke správnému zpracování dat potřebných k výkonu činností a včasnému poskytování služeb a k realizaci vysokých objemů objednávek, zpráv nebo transakcí podle potřeby, a to i v případě zavádění nové technologie;

| d) | technologicky odolné, aby podle potřeby adekvátně zvládaly další požadavky na zpracování informací za napjatých tržních podmínek či v jiných nepříznivých situacích. |
| --- | --- |

d)

technologicky odolné, aby podle potřeby adekvátně zvládaly další požadavky na zpracování informací za napjatých tržních podmínek či v jiných nepříznivých situacích.

Článek 8

Identifikace

1.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty identifikují, klasifikují a náležitě zdokumentují veškeré obchodní funkce, úlohy a povinnosti podporované IKT, informační aktiva a aktiva v oblasti IKT podporující tyto funkce a jejich úlohy a závislosti ve vztahu k rizikům v oblasti IKT. Finanční subjekty podle potřeby a alespoň jednou ročně přezkoumají přiměřenost této klasifikace a veškeré příslušné dokumentace.

2.   Finanční subjekty nepřetržitě identifikují všechny zdroje rizika v oblasti IKT, zejména rizika vzájemné expozice s jinými finančními subjekty, a vyhodnocují kybernetické hrozby a zranitelnosti IKT relevantní pro jejich obchodní funkce podporované IKT, informační aktiva a aktiva v oblasti IKT. Finanční subjekty pravidelně, přinejmenším však jednou ročně, revidují scénáře rizik, které jsou pro ně relevantní.

3.   Finanční subjekty, jiné než mikropodniky, vyhodnocují rizika po každé velké změně v infrastruktuře sítě a informačního systému a v procesech nebo postupech ovlivňujících jejich podnikové funkce podporované IKT, informační aktiva či aktiva v oblasti IKT.

4.   Finanční subjekty identifikují všechna informační aktiva a aktiva v oblasti IKT, včetně těch na vzdálených pracovištích, síťové zdroje a hardwarové vybavení a evidují ta, která jsou považovaná za kritická. Evidují konfiguraci informačních aktiv a aktiv v oblasti IKT a propojení a vzájemné závislosti různých informačních aktiv a aktiv v oblasti IKT.

5.   Finanční subjekty identifikují a dokumentují veškeré procesy závislé na poskytovatelích služeb IKT z řad třetích stran a identifikují vzájemná propojení s poskytovateli služeb IKT z řad třetích stran, kteří poskytují služby podporující zásadní nebo důležité funkce.

6.   Pro účely odstavců 1, 4 a 5 vedou finanční subjekty příslušné soupisy a pravidelně je aktualizují pokaždé, když dojde k jakékoli velké změně podle odstavce 3.

7.   Finanční subjekty jiné než mikropodniky pravidelně, přinejmenším však jednou ročně, provádějí zvláštní posouzení rizika v oblasti IKT u všech původních systémů IKT, a to vždy před propojením a po propojení technologií, aplikací nebo systémů.

Článek 9

Ochrana a prevence

1.   Pro účely odpovídající ochrany systémů IKT a s ohledem na organizaci opatření reakce finanční subjekty nepřetržitě sledují a kontrolují bezpečnost a fungování systémů a nástrojů IKT a minimalizují dopad rizika v oblasti IKT na systémy IKT prostřednictvím zavedení vhodných nástrojů, politik a postupů v oblasti bezpečnosti IKT.

2.   Finanční subjekty navrhují, opatřují a uplatňují politiky, postupy, protokoly a nástroje v oblasti bezpečnosti IKT, jejichž účelem je zajistit odolnost, kontinuitu provozu a dostupnost systémů IKT, zejména těch, které podporují zásadní nebo důležité funkce, a udržet vysoké standardy dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů během jejich uchovávání, používání i přenosu.

3.   K dosažení cílů uvedených v odstavci 2 využívají finanční subjekty řešení a procesy IKT, které jsou vhodné v souladu s článkem 4. Tato řešení a procesy IKT:

| a) | zajišťují bezpečnost prostředků pro přenos dat; |
| --- | --- |

a)

zajišťují bezpečnost prostředků pro přenos dat;

| b) | minimalizují riziko poškození nebo ztráty dat, neoprávněného přístupu a technických závad, jež mohou narušovat výkon obchodní činnosti; |
| --- | --- |

b)

minimalizují riziko poškození nebo ztráty dat, neoprávněného přístupu a technických závad, jež mohou narušovat výkon obchodní činnosti;

| c) | předcházejí narušení dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů a jejich ztrátě; |
| --- | --- |

c)

předcházejí narušení dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů a jejich ztrátě;

| d) | zajišťují ochranu údajů před riziky vyplývajícími ze špatné správy údajů, včetně nekvalitní správy, rizik souvisejících se zpracováním a chyb způsobených lidským faktorem. |
| --- | --- |

d)

zajišťují ochranu údajů před riziky vyplývajícími ze špatné správy údajů, včetně nekvalitní správy, rizik souvisejících se zpracováním a chyb způsobených lidským faktorem.

4.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty:

| a) | vypracují a zdokumentují politiku zabezpečení informací vymezující pravidla na ochranu dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, informačních aktiv a aktiv v oblasti IKT, případně včetně uvedených aktiv jejich zákazníků; |
| --- | --- |

a)

vypracují a zdokumentují politiku zabezpečení informací vymezující pravidla na ochranu dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, informačních aktiv a aktiv v oblasti IKT, případně včetně uvedených aktiv jejich zákazníků;

| b) | zavedou vhodné řízení sítí a infrastruktury na základě rizika využívající odpovídajících technik, metod a protokolů, které mohou zahrnovat zavedení automatizovaných mechanismů pro izolaci dotčených informačních aktiv v případě kybernetických útoků; |
| --- | --- |

b)

zavedou vhodné řízení sítí a infrastruktury na základě rizika využívající odpovídajících technik, metod a protokolů, které mohou zahrnovat zavedení automatizovaných mechanismů pro izolaci dotčených informačních aktiv v případě kybernetických útoků;

| c) | uplatňují politiky omezující fyzický nebo logický přístup k informačním aktivům a aktivům v oblasti IKT na minimum nezbytné pro výkon oprávněných a schválených funkcí a činností a za tímto účelem vytvoří soubor politik, postupů a kontrol, který se zabývá přístupovými právy, a zajistí jejich řádnou správu; |
| --- | --- |

c)

uplatňují politiky omezující fyzický nebo logický přístup k informačním aktivům a aktivům v oblasti IKT na minimum nezbytné pro výkon oprávněných a schválených funkcí a činností a za tímto účelem vytvoří soubor politik, postupů a kontrol, který se zabývá přístupovými právy, a zajistí jejich řádnou správu;

| d) | zavedou politiky a protokoly pro silné ověřovací mechanismy založené na příslušných normách a systémech speciálních kontrol a opatření na ochranu kryptografických klíčů, jimiž jsou zašifrována data, na základě výsledků schválené klasifikace dat a procesů posuzování rizika v oblasti IKT; |
| --- | --- |

d)

zavedou politiky a protokoly pro silné ověřovací mechanismy založené na příslušných normách a systémech speciálních kontrol a opatření na ochranu kryptografických klíčů, jimiž jsou zašifrována data, na základě výsledků schválené klasifikace dat a procesů posuzování rizika v oblasti IKT;

| e) | zavedou zdokumentované politiky, postupy a kontroly pro řízení změn IKT, včetně změn softwarových, hardwarových a firmwarových komponentů, systémů nebo parametrů zabezpečení, vycházející z posouzení rizik a tvořící nedílnou součást celkových postupů finančního subjektu pro řízení změn, s cílem zajistit, aby všechny změny systémů IKT byly řízeně zaznamenány, otestovány, vyhodnoceny, schváleny, zavedeny a ověřeny; |
| --- | --- |

e)

zavedou zdokumentované politiky, postupy a kontroly pro řízení změn IKT, včetně změn softwarových, hardwarových a firmwarových komponentů, systémů nebo parametrů zabezpečení, vycházející z posouzení rizik a tvořící nedílnou součást celkových postupů finančního subjektu pro řízení změn, s cílem zajistit, aby všechny změny systémů IKT byly řízeně zaznamenány, otestovány, vyhodnoceny, schváleny, zavedeny a ověřeny;

| f) | mají odpovídající a komplexní zdokumentované politiky pro dočasné opravy a aktualizace. |
| --- | --- |

f)

mají odpovídající a komplexní zdokumentované politiky pro dočasné opravy a aktualizace.

Pro účely prvního pododstavce písm. b) finanční subjekty navrhnou infrastrukturu připojení k síti umožňující jeho okamžité přerušení nebo segmentaci s cílem minimalizovat šíření krize a zabránit jejímu vzniku, zejména u vzájemně propojených finančních procesů.

Pro účely prvního pododstavce písm. e) jsou postupy řízení změn v oblasti IKT schvalovány příslušnými liniemi vedení a platí pro ně specifické protokoly.

Článek 10

Detekce

1.   Finanční subjekty mají zavedeny mechanismy včasné detekce neobvyklých aktivit podle článku 17, včetně problémů s fungováním sítě IKT a incidentů souvisejících s IKT, a mechanismy identifikace potenciálních významných kritických míst.

Všechny detekční mechanismy uvedené v prvním pododstavci se pravidelně testují v souladu s článkem 25.

2.   Detekční mechanismy uvedené v odstavci 1 umožňují vícestupňovou kontrolu, stanoví prahové hodnoty a kritéria výstrah pro spuštění a zahájení postupů reakce na incidenty související s IKT, mimo jiné automatické výstražné mechanismy pro příslušné pracovníky odpovědné za reakce na incidenty související s IKT.

3.   Finanční subjekty věnují dostatečné zdroje a schopnosti na sledování aktivity uživatelů a výskytu anomálií IKT a incidentů souvisejících s IKT, zejména kybernetických útoků.

4.   Poskytovatelé služeb hlášení údajů kromě toho zavedou systémy umožňující účinně kontrolovat úplnost obchodních zpráv, zjišťovat chybějící údaje a zjevné chyby a požadovat nové zaslání těchto zpráv.

Článek 11

Reakce a obnova

1.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 a na základě požadavků na identifikaci uvedených v článku 8 finanční subjekty zavedou ucelenou politiku zachování provozu IKT, která může být přijata jako specifická politika tvořící nedílnou součást celkové politiky zachování provozu finančního subjektu.

2.   Finanční subjekty uplatňují politiku zachování provozu IKT prostřednictvím specializovaných, vhodných a zdokumentovaných úprav, plánů, postupů a mechanismů zaměřených na:

| a) | zajištění kontinuity zásadních nebo důležitých funkcí finančního subjektu; |
| --- | --- |

a)

zajištění kontinuity zásadních nebo důležitých funkcí finančního subjektu;

| b) | rychlou, vhodnou a účinnou reakci na všechny incidenty související s IKT a jejich vyřešení, a to tak, aby byly omezeny škody a byla prioritně obnovena činnost a aktivována opatření na obnovu; |
| --- | --- |

b)

rychlou, vhodnou a účinnou reakci na všechny incidenty související s IKT a jejich vyřešení, a to tak, aby byly omezeny škody a byla prioritně obnovena činnost a aktivována opatření na obnovu;

| c) | neprodlenou aktivaci specializovaných plánů uvádějících do chodu izolační opatření, procesy a technologie odpovídající různým typům incidentů souvisejících s IKT a zamezující dalším škodám, jakož i přizpůsobené postupy reakce a obnovy v souladu s článkem 12; |
| --- | --- |

c)

neprodlenou aktivaci specializovaných plánů uvádějících do chodu izolační opatření, procesy a technologie odpovídající různým typům incidentů souvisejících s IKT a zamezující dalším škodám, jakož i přizpůsobené postupy reakce a obnovy v souladu s článkem 12;

| d) | odhad předběžných dopadů, škod a ztrát; |
| --- | --- |

d)

odhad předběžných dopadů, škod a ztrát;

| e) | zavedení opatření v oblasti komunikace a krizového řízení, která zajistí předání aktualizovaných informací všem příslušným interním zaměstnancům a externím zainteresovaným stranám podle článku 14 a jejich oznámení příslušným orgánům v souladu s článkem 19. |
| --- | --- |

e)

zavedení opatření v oblasti komunikace a krizového řízení, která zajistí předání aktualizovaných informací všem příslušným interním zaměstnancům a externím zainteresovaným stranám podle článku 14 a jejich oznámení příslušným orgánům v souladu s článkem 19.

3.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty uplatňují související plány reakce a obnovy v oblasti IKT, které u finančních subjektů, jiných než mikropodniky, podléhají nezávislému internímu auditu.

4.   Finanční subjekty zavedou, udržují a pravidelně testují odpovídající plány zachování provozu IKT, zejména s ohledem na zásadní nebo důležité funkce zajišťované externě nebo nasmlouvané prostřednictvím ujednání s poskytovateli služeb IKT z řad třetích stran.

5.   V rámci celkové politiky zachování provozu provádějí finanční subjekty analýzu dopadu na činnost, pokud jde o jejich expozice vůči závažným narušením činnosti. V rámci analýzy dopadu na činnost finanční subjekty posoudí potenciální dopad závažných narušení činnosti pomocí kvantitativních a kvalitativních kritérií, případně s využitím interních a externích dat a analýzy scénářů. Analýza dopadu na činnost zohlední, jak zásadní jsou určené a zmapované obchodní funkce, podpůrné procesy, závislosti na třetích stranách a informační aktiva a jejich vzájemné závislosti. Finanční subjekty zajistí, aby aktiva v oblasti IKT a služby IKT byly navrhovány a využívány v plném souladu s analýzou dopadu na činnost, zejména s ohledem na odpovídající zajištění redundance všech zásadních složek.

6.   V rámci svého komplexního řízení rizika v oblasti IKT finanční subjekty:

| a) | alespoň jednou ročně testují plány zachování provozu IKT a plány reakce a obnovy v oblasti IKT v souvislosti se systémy IKT podporujícími všechny funkce, jakož i v případě jakýchkoli podstatných změn systémů IKT podporujících zásadní nebo důležité funkce; |
| --- | --- |

a)

alespoň jednou ročně testují plány zachování provozu IKT a plány reakce a obnovy v oblasti IKT v souvislosti se systémy IKT podporujícími všechny funkce, jakož i v případě jakýchkoli podstatných změn systémů IKT podporujících zásadní nebo důležité funkce;

| b) | testují plány krizové komunikace zavedené podle článku 14. |
| --- | --- |

b)

testují plány krizové komunikace zavedené podle článku 14.

Pro účely prvního pododstavce písm. a) finanční subjekty, jiné než mikropodniky, zahrnou do plánů testování scénáře kybernetických útoků a přechodu z primární infrastruktury IKT na rezervní kapacitu, záložní a rezervní zařízení nutná ke splnění povinností stanovených v článku 12.

Finanční subjekty pravidelně přezkoumávají svoji politiku zachování provozu IKT a plány reakce a obnovy v oblasti IKT, přičemž zohlední výsledky testů provedených v souladu s prvním pododstavcem a doporučeními vyplývajícími z auditních kontrol nebo přezkumů provedených orgány dohledu.

7.   Finanční subjekty, jiné než mikropodniky, zavedou funkci řízení krizí, jež v případě aktivace jejich plánů zachování provozu IKT nebo plánů reakce a obnovy v oblasti IKT stanoví mimo jiné jednoznačné postupy pro řízení interní a externí krizové komunikace podle článku 14.

8.   Finanční subjekty vedou snadno dostupné záznamy činnosti před výpadky a během výpadků po aktivaci plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT.

9.   Centrální depozitáři cenných papírů poskytnou příslušným orgánům kopie výsledků testů zachování provozu IKT nebo podobných cvičení.

10.   Finanční subjekty, jiné než mikropodniky, oznamují příslušným orgánům na jejich žádost odhad souhrnných ročních nákladů a ztrát způsobených závažnými incidenty souvisejícími s IKT.

11.   V souladu s článkem 16 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010 vypracují evropské orgány dohledu prostřednictvím společného výboru do 17. července 2024 společné pokyny pro odhad souhrnných ročních nákladů a ztrát uvedených v odstavci 10.

Článek 12

Politiky a postupy zálohování, postupy a metody obnovy

1.   Pro účely zajištění obnovy systémů IKT a dat s minimální odstávkou, omezenými výpadky fungování a ztrátami finanční subjekty jako součást svého rámce pro řízení rizika v oblasti IKT vypracují a zdokumentují:

| a) | politiky a postupy zálohování uvádějící rozsah dat, která se zálohují, a minimální frekvenci zálohování, a to na základě významu informací nebo úrovně důvěrnosti dat; |
| --- | --- |

a)

politiky a postupy zálohování uvádějící rozsah dat, která se zálohují, a minimální frekvenci zálohování, a to na základě významu informací nebo úrovně důvěrnosti dat;

| b) | postupy a metody obnovy. |
| --- | --- |

b)

postupy a metody obnovy.

2.   Finanční subjekty zřídí záložní systémy, které lze aktivovat v souladu s politikami a postupy zálohování, jakož i postupy a metodami obnovy provozu. Aktivace záložních systémů nesmí ohrozit bezpečnost sítí a informačních systémů ani dostupnost, hodnověrnost, integritu nebo důvěrnost údajů. Pravidelně se provádí testování postupů zálohování a postupů a metod obnovy.

3.   Při obnově zálohových dat pomocí vlastních systémů finanční subjekty použijí systémy IKT, které jsou fyzicky a logicky odděleny od zdrojového systému IKT. Systémy IKT jsou bezpečně chráněny před jakýmkoli neoprávněným přístupem nebo poškozením IKT a podle potřeby umožňují včasnou obnovu služeb s využitím datových a systémových záloh.

V případě ústředních protistran plány obnovy umožňují obnovit všechny obchody k okamžiku přerušení, aby ústřední protistrana mohla nadále s jistotou fungovat a dokončit vypořádání ve stanovený den.

Poskytovatelé služeb hlášení údajů navíc udržují přiměřené zdroje a mají k dispozici záložní zařízení a zařízení k obnově provozu, aby mohly kdykoli nabízet a udržovat své služby.

4.   Finanční subjekty, jiné než mikropodniky, udržují rezervní kapacity IKT vybavené náležitými zdroji, schopnostmi a funkcemi pro zajištění potřeb jejich činnosti. Mikropodniky posuzují potřebu zachovat tyto nadbytečné kapacity IKT na základě svého rizikového profilu.

5.   Centrální depozitáři cenných papírů provozují alespoň jedno sekundární místo zpracování vybavené náležitými zdroji, schopnostmi, funkcemi a personálem pro zajištění potřeb jejich činnosti.

Sekundární místo zpracování:

| a) | se nachází v takové geografické vzdálenosti od primárního místa zpracování, aby bylo zajištěno, že má odlišný profil a aby se zabránilo, že se jej dotkne událost, která zasáhla primární místo; |
| --- | --- |

a)

se nachází v takové geografické vzdálenosti od primárního místa zpracování, aby bylo zajištěno, že má odlišný profil a aby se zabránilo, že se jej dotkne událost, která zasáhla primární místo;

| b) | dokáže zajistit kontinuitu zásadních nebo důležitých funkcí stejně jako primární místo, nebo poskytovat úroveň služeb nezbytnou k zajištění provádění zásadních operací finančního subjektu v rámci cílů pro obnovu; |
| --- | --- |

b)

dokáže zajistit kontinuitu zásadních nebo důležitých funkcí stejně jako primární místo, nebo poskytovat úroveň služeb nezbytnou k zajištění provádění zásadních operací finančního subjektu v rámci cílů pro obnovu;

| c) | je ihned přístupné pro pracovníky finančního subjektu zajišťující kontinuitu zásadních nebo důležitých funkcí v případě, že primární místo zpracování přestane být dostupné. |
| --- | --- |

c)

je ihned přístupné pro pracovníky finančního subjektu zajišťující kontinuitu zásadních nebo důležitých funkcí v případě, že primární místo zpracování přestane být dostupné.

6.   Při stanovení cílové doby a okamžiku obnovy provozu jednotlivých funkcí finanční subjekty zohlední, zda se jedná o zásadní nebo důležitou funkci, a potenciální celkový dopad na tržní efektivitu. Tyto časové cíle zajistí dodržení sjednaných úrovní služeb při extrémních scénářích.

7.   Při obnově provozu po incidentu souvisejícím s IKT finanční subjekty provádějí nezbytné kontroly, včetně veškerých násobných kontrol a sesouhlasení dat s cílem zajistit nejvyšší možnou úroveň integrity dat. Tyto kontroly se provádějí rovněž při obnově dat od externích zainteresovaných stran, aby byla zajištěna konzistentnost všech dat v obou systémech.

Článek 13

Poučení a rozvoj

1.   Finanční subjekty disponují prostředky a pracovníky, aby mohly shromažďovat informace o zranitelnostech a kybernetických hrozbách a o incidentech souvisejících s IKT, zejména kybernetických útocích, a analyzovat jejich pravděpodobný dopad na svoji digitální provozní odolnost.

2.   Finanční subjekty zavedou přezkumy po incidentech souvisejících s IKT poté, co závažný incident související s IKT naruší jejich hlavní činnosti, přičemž analyzují příčiny narušení a určí potřebná zlepšení operací IKT nebo v rámci politiky zachování provozu IKT uvedené v článku 11.

Finanční subjekty, jiné než mikropodniky, na žádost sdělí příslušným orgánům změny, které byly provedeny v návaznosti na přezkumy incidentů souvisejících s IKT uvedené v prvním pododstavci.

Přezkumy po incidentech souvisejících s IKT podle prvního pododstavce stanoví, zda byly dodrženy zavedené postupy a zda byla přijatá opatření účinná, a to i ve vztahu k:

| a) | rychlosti reakce na bezpečnostní výstrahy a stanovení dopadu incidentů souvisejících s IKT a jejich závažnosti; |
| --- | --- |

a)

rychlosti reakce na bezpečnostní výstrahy a stanovení dopadu incidentů souvisejících s IKT a jejich závažnosti;

| b) | kvalitě a rychlosti provádění forenzní analýzy, je-li to považováno za vhodné; |
| --- | --- |

b)

kvalitě a rychlosti provádění forenzní analýzy, je-li to považováno za vhodné;

| c) | efektivitě eskalace incidentů v rámci finančního subjektu; |
| --- | --- |

c)

efektivitě eskalace incidentů v rámci finančního subjektu;

| d) | efektivitě interní a externí komunikace. |
| --- | --- |

d)

efektivitě interní a externí komunikace.

3.   Poučení vyvozená z testování digitální provozní odolnosti provedeného v souladu s články 26 a 27 a ze skutečných incidentů souvisejících s IKT, zejména kybernetických útoků, a dále z problémů v souvislosti s aktivací plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT a relevantních informací vyměňovaných s protistranami a vyhodnocovaných během přezkumů orgány dohledu se náležitě a průběžně začleňují do postupu posuzování rizika v oblasti IKT. Tato zjištění tvoří základ pro odpovídající přezkumy příslušných složek rámce pro řízení rizik v oblasti IKT uvedeného v čl. 6 odst. 1.

4.   Finanční subjekty sledují účinnost uplatňování své strategie digitální provozní odolnosti podle čl. 6 odst. 8. Evidují vývoj rizika v oblasti IKT v čase, analyzují četnost, druhy, rozsah a vývoj incidentů souvisejících s IKT, zejména kybernetických útoků a jejich vzorců, aby bylo možné pochopit míru expozice vůči riziku v oblasti IKT, zejména ve vztahu k zásadním nebo důležitým funkcím, a zvýšit kybernetickou vyspělost a připravenost finančního subjektu.

5.   Vedoucí pracovníci odpovídající za IKT minimálně jednou ročně hlásí vedoucímu orgánu zjištění podle odstavce 3 a předloží doporučení.

6.   Finanční subjekty vypracují jako povinné moduly svých osnov pro školení zaměstnanců programy zvyšování povědomí o bezpečnosti v oblasti IKT a školení o digitální provozní odolnosti. Tyto programy a školení se vztahují na všechny zaměstnance a na vedoucí pracovníky a musí mít úroveň složitosti úměrnou výkonu jejich funkcí. Finanční subjekty případně zahrnou do svých příslušných školicích programů rovněž poskytovatele služeb IKT z řad třetích stran v souladu s čl. 30 odst. 2 písm. i).

7.   Finanční subjekty, jiné než mikropodniky, průběžně sledují relevantní technologický vývoj, mimo jiné s cílem pochopit možný dopad zavádění nových technologií na požadavky na bezpečnost IKT a digitální provozní odolnost. Drží krok s nejnovějšími postupy řízení rizika v oblasti IKT, aby účinně bojovaly se stávajícími či novými formami kybernetických útoků.

Článek 14

Komunikace

1.   Jako součást rámce pro řízení rizika v oblasti IKT uvedeného v čl. 6 odst. 1 finanční subjekty zavedou krizové komunikační plány umožňující odpovědné informování klientů, protistran a případně veřejnosti alespoň o závažných incidentech souvisejících s IKT nebo zranitelnostech.

2.   Jako součást rámce pro řízení rizika v oblasti IKT finanční subjekty uplatňují komunikační strategie pro interní zaměstnance a externí zainteresované strany. Komunikační politiky pro zaměstnance zohledňují nutnost rozlišovat mezi pracovníky podílejícími se na řízení rizika v oblasti IKT, zejména pracovníky odpovědnými za reakci a obnovu, a pracovníky, které je nutné informovat.

3.   Uplatňováním komunikační strategie pro incidenty související s IKT a plněním funkce styku s veřejností a médii pro tyto účely je pověřena alespoň jedna osoba v rámci finančního subjektu.

Článek 15

Další harmonizace nástrojů, metod, postupů a politik řízení rizika v oblasti IKT

Evropské orgány dohledu prostřednictvím společného výboru a za konzultace s Agenturou Evropské unie pro kybernetickou bezpečnost (ENISA) vypracují společné návrhy regulačních technických norem s cílem:

| a) | dále upřesnit prvky, které mají být začleněny do strategií, politik, postupů, protokolů a nástrojů zabezpečení IKT uvedených v čl. 9 odst. 2 v zájmu zajištění bezpečnosti sítí, zavedení vhodných ochranných opatření proti vniknutí a zneužití údajů, zachování dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, včetně kryptografických technik, a zaručení přesného a rychlého přenosu dat bez vážných narušení a zbytečných prodlev; |
| --- | --- |

a)

dále upřesnit prvky, které mají být začleněny do strategií, politik, postupů, protokolů a nástrojů zabezpečení IKT uvedených v čl. 9 odst. 2 v zájmu zajištění bezpečnosti sítí, zavedení vhodných ochranných opatření proti vniknutí a zneužití údajů, zachování dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, včetně kryptografických technik, a zaručení přesného a rychlého přenosu dat bez vážných narušení a zbytečných prodlev;

| b) | dále rozvinout složky kontrol správy přístupových práv uvedených v čl. 9 odst. 4 písm. c) a související politiku v oblasti lidských zdrojů stanovící přístupová práva, postupy udělování a odebírání těchto práv, sledování neobvyklého chování v souvislosti s rizikem v oblasti IKT pomocí vhodných ukazatelů, včetně ukazatelů vzorců, doby, aktivit IT a neznámých zařízení při používání sítě; |
| --- | --- |

b)

dále rozvinout složky kontrol správy přístupových práv uvedených v čl. 9 odst. 4 písm. c) a související politiku v oblasti lidských zdrojů stanovící přístupová práva, postupy udělování a odebírání těchto práv, sledování neobvyklého chování v souvislosti s rizikem v oblasti IKT pomocí vhodných ukazatelů, včetně ukazatelů vzorců, doby, aktivit IT a neznámých zařízení při používání sítě;

| c) | dále rozvinout mechanismy uvedené v čl. 10 odst. 1 umožňující rychle detekovat neobvyklé aktivity a kritéria uvedená v čl. 10 odst. 2 pro spuštění procesů detekce a reakce v případě incidentů souvisejících s IKT; |
| --- | --- |

c)

dále rozvinout mechanismy uvedené v čl. 10 odst. 1 umožňující rychle detekovat neobvyklé aktivity a kritéria uvedená v čl. 10 odst. 2 pro spuštění procesů detekce a reakce v případě incidentů souvisejících s IKT;

| d) | dále upřesnit složky politiky zachování provozu IKT uvedené v čl. 11 odst. 1; |
| --- | --- |

d)

dále upřesnit složky politiky zachování provozu IKT uvedené v čl. 11 odst. 1;

| e) | dále upřesnit testování plánů zachování provozu IKT podle čl. 11 odst. 6, aby se zajistilo, že toto testování řádně zohledňuje scénáře, za nichž se kvalita poskytování zásadních nebo důležitých funkcí zhoršuje na nepřijatelnou úroveň nebo toto poskytování selhává, a potenciální dopad platební neschopnosti či jiných selhání jakéhokoli poskytovatele služeb IKT z řad třetích stran a v příslušných případech politická rizika v jurisdikcích příslušných poskytovatelů; |
| --- | --- |

e)

dále upřesnit testování plánů zachování provozu IKT podle čl. 11 odst. 6, aby se zajistilo, že toto testování řádně zohledňuje scénáře, za nichž se kvalita poskytování zásadních nebo důležitých funkcí zhoršuje na nepřijatelnou úroveň nebo toto poskytování selhává, a potenciální dopad platební neschopnosti či jiných selhání jakéhokoli poskytovatele služeb IKT z řad třetích stran a v příslušných případech politická rizika v jurisdikcích příslušných poskytovatelů;

| f) | dále upřesnit složky plánů reakce a obnovy v oblasti IKT uvedených v čl. 11 odst. 3; |
| --- | --- |

f)

dále upřesnit složky plánů reakce a obnovy v oblasti IKT uvedených v čl. 11 odst. 3;

| g) | dále upřesnit obsah a formát zprávy o přezkumu rámce pro řízení rizika v oblasti IKT podle čl. 6 odst. 5. |
| --- | --- |

g)

dále upřesnit obsah a formát zprávy o přezkumu rámce pro řízení rizika v oblasti IKT podle čl. 6 odst. 5.

Při vypracovávání těchto návrhů regulačních technických norem evropské orgány dohledu zohlední velikost a celkový rizikový profil finančního subjektu a povahu, rozsah a složitost jeho služeb, činností a operací, přičemž náležitě zohlední veškeré specifické rysy vyplývající z odlišné povahy činností v různých odvětvích finančních služeb.

Evropské orgány dohledu předloží tyto návrhy regulačních technických norem Komisi do 17. ledna 2024.

Na Komisi je přenesena pravomoc doplnit toto nařízení přijetím regulačních technických norem uvedených v prvním pododstavci v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

Článek 16

Zjednodušený rámec pro řízení rizika v oblasti IKT

1.   Články 5 až 15 tohoto nařízení se nepoužijí na malé a nepropojené investiční podniky, platební instituce vyňaté podle směrnice (EU) 2015/2366, instituce vyňaté podle směrnice 2013/36/EU, u nichž se členské státy rozhodly neuplatnit možnost uvedenou v čl. 2 odst. 4 tohoto nařízení, instituce elektronických peněz vyňaté podle směrnice 2009/110/ES a malé instituce zaměstnaneckého penzijního pojištění.

Aniž je dotčen první pododstavec, subjekty uvedené v prvním pododstavci:

| a) | zavedou a udržují spolehlivý a zdokumentovaný rámec pro řízení rizika v oblasti IKT, který podrobně popisuje mechanismy a opatření zaměřené na rychlé, účinné a komplexní řízení rizika v oblasti IKT, včetně ochrany příslušných fyzických součástí a infrastruktur; |
| --- | --- |

a)

zavedou a udržují spolehlivý a zdokumentovaný rámec pro řízení rizika v oblasti IKT, který podrobně popisuje mechanismy a opatření zaměřené na rychlé, účinné a komplexní řízení rizika v oblasti IKT, včetně ochrany příslušných fyzických součástí a infrastruktur;

| b) | průběžně sledují bezpečnost a fungování všech systémů IKT; |
| --- | --- |

b)

průběžně sledují bezpečnost a fungování všech systémů IKT;

| c) | minimalizují dopad rizika v oblasti IKT používáním spolehlivých, odolných a aktualizovaných systémů, protokolů a nástrojů IKT, které jsou vhodné pro podporu výkonu jejich činností a poskytování služeb a které odpovídajícím způsobem chrání dostupnost, hodnověrnost, integritu a důvěrnost údajů v síti a informačních systémech; |
| --- | --- |

c)

minimalizují dopad rizika v oblasti IKT používáním spolehlivých, odolných a aktualizovaných systémů, protokolů a nástrojů IKT, které jsou vhodné pro podporu výkonu jejich činností a poskytování služeb a které odpovídajícím způsobem chrání dostupnost, hodnověrnost, integritu a důvěrnost údajů v síti a informačních systémech;

| d) | umožní rychlou identifikaci a detekci zdrojů rizik a anomálií v síti a informačních systémech a urychlené řešení incidentů souvisejících s IKT; |
| --- | --- |

d)

umožní rychlou identifikaci a detekci zdrojů rizik a anomálií v síti a informačních systémech a urychlené řešení incidentů souvisejících s IKT;

| e) | určí klíčové závislosti na poskytovatelích služeb IKT z řad třetích stran; |
| --- | --- |

e)

určí klíčové závislosti na poskytovatelích služeb IKT z řad třetích stran;

| f) | zajistí zachování provozu zásadních nebo důležitých funkcí prostřednictvím plánů zachování provozu a opatření v oblasti reakce a obnovy, které zahrnují alespoň opatření týkající se zálohování a obnovy; |
| --- | --- |

f)

zajistí zachování provozu zásadních nebo důležitých funkcí prostřednictvím plánů zachování provozu a opatření v oblasti reakce a obnovy, které zahrnují alespoň opatření týkající se zálohování a obnovy;

| g) | pravidelně testují plány a opatření uvedené v písmenu f), jakož i účinnost kontrol prováděných v souladu s písmeny a) a c); |
| --- | --- |

g)

pravidelně testují plány a opatření uvedené v písmenu f), jakož i účinnost kontrol prováděných v souladu s písmeny a) a c);

| h) | podle potřeby provedou příslušné provozní závěry vyplývající z testů uvedených v písmenu g) a z analýzy po incidentu do postupu posuzování rizik v oblasti IKT a v souladu s potřebami a rizikovým profilem v oblasti IKT vypracují pro zaměstnance a vedení programy zvyšování povědomí o bezpečnosti v oblasti IKT a školení týkající se digitální provozní odolnosti. |
| --- | --- |

h)

podle potřeby provedou příslušné provozní závěry vyplývající z testů uvedených v písmenu g) a z analýzy po incidentu do postupu posuzování rizik v oblasti IKT a v souladu s potřebami a rizikovým profilem v oblasti IKT vypracují pro zaměstnance a vedení programy zvyšování povědomí o bezpečnosti v oblasti IKT a školení týkající se digitální provozní odolnosti.

2.   Rámec pro řízení rizika v oblasti IKT uvedený v odst. 1 druhém pododstavci písm. a) je zdokumentován a přezkoumáván pravidelně a při výskytu závažných incidentů souvisejících s IKT v souladu s pokyny pro dohled. Je průběžně zdokonalován na základě zkušeností z jeho provádění a sledování. Zpráva o přezkumu rámce pro řízení rizika v oblasti IKT se na žádost poskytne příslušnému orgánu.

3.   Evropské orgány dohledu prostřednictvím společného výboru a za konzultace s ENISA vypracují společné návrhy regulačních technických norem s cílem:

| a) | dále upřesnit prvky, které mají být zahrnuty do rámce pro řízení rizika v oblasti IKT uvedeného v odst. 1 druhém pododstavci písm. a); |
| --- | --- |

a)

dále upřesnit prvky, které mají být zahrnuty do rámce pro řízení rizika v oblasti IKT uvedeného v odst. 1 druhém pododstavci písm. a);

| b) | dále upřesnit prvky týkající se systémů, protokolů a nástrojů k minimalizaci dopadu rizika v oblasti IKT uvedeného v odst. 1 druhém pododstavci písm. c) v zájmu zajištění bezpečnosti sítí, zavedení vhodných ochranných opatření proti vniknutí a zneužití dat a zachování dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů; |
| --- | --- |

b)

dále upřesnit prvky týkající se systémů, protokolů a nástrojů k minimalizaci dopadu rizika v oblasti IKT uvedeného v odst. 1 druhém pododstavci písm. c) v zájmu zajištění bezpečnosti sítí, zavedení vhodných ochranných opatření proti vniknutí a zneužití dat a zachování dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů;

| c) | dále upřesnit prvky plánů zachování provozu IKT uvedené v odst. 1 druhém pododstavci písm. f); |
| --- | --- |

c)

dále upřesnit prvky plánů zachování provozu IKT uvedené v odst. 1 druhém pododstavci písm. f);

| d) | dále upřesnit pravidla týkající se testování plánů zachování provozu a zajistit účinnost kontrol uvedených v odst. 1 druhém pododstavci písm. g) a zabezpečit, aby toto testování řádně zohlednilo scénáře, v nichž se kvalita poskytování zásadní nebo důležité funkce zhorší na nepřijatelnou úroveň nebo selže; |
| --- | --- |

d)

dále upřesnit pravidla týkající se testování plánů zachování provozu a zajistit účinnost kontrol uvedených v odst. 1 druhém pododstavci písm. g) a zabezpečit, aby toto testování řádně zohlednilo scénáře, v nichž se kvalita poskytování zásadní nebo důležité funkce zhorší na nepřijatelnou úroveň nebo selže;

| e) | dále upřesnit obsah a formát zprávy o přezkumu rámce pro řízení rizika v oblasti IKT podle odstavce 2. |
| --- | --- |

e)

dále upřesnit obsah a formát zprávy o přezkumu rámce pro řízení rizika v oblasti IKT podle odstavce 2.

Při vypracovávání těchto návrhů regulačních technických norem evropské orgány dohledu zohlední velikost a celkový rizikový profil finančního subjektu a povahu, rozsah a složitost jeho služeb, činností a operací.

Evropské orgány dohledu předloží tyto návrhy regulačních technických norem Komisi do 17. ledna 2024.

Na Komisi je přenesena pravomoc doplnit toto nařízení přijetím regulačních technických norem uvedených v prvním pododstavci v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

KAPITOLA III

Řízení, klasifikace a hlášení incidentů souvisejících s IKT

Článek 17

Proces řízení incidentů souvisejících s IKT

1.   Finanční subjekty vymezí, zavedou a uplatňují proces řízení incidentů souvisejících s IKT za účelem detekce, řízení a hlášení incidentů souvisejících s IKT.

2.   Finanční subjekty zaznamenávají veškeré incidenty související s IKT a závažné kybernetické hrozby. Finanční subjekty zavedou vhodné postupy a procesy zajišťující konzistentní a integrované sledování, řešení a následná opatření pro incidenty související s IKT, aby byla zajištěna identifikace, zdokumentování a řešení jejich hlavních příčin, a zabránilo se tak výskytu těchto incidentů.

3.   Proces řízení incidentů souvisejících s IKT uvedený v odstavci 1:

| a) | zavede ukazatele včasného varování; |
| --- | --- |

a)

zavede ukazatele včasného varování;

| b) | stanoví postupy k identifikaci, sledování, evidenci, kategorizaci a klasifikaci incidentů souvisejících s IKT podle jejich priority a závažnosti a podle toho, jak zásadní jsou zasažené služby v souladu s kritérii vymezenými v čl. 18 odst. 1; |
| --- | --- |

b)

stanoví postupy k identifikaci, sledování, evidenci, kategorizaci a klasifikaci incidentů souvisejících s IKT podle jejich priority a závažnosti a podle toho, jak zásadní jsou zasažené služby v souladu s kritérii vymezenými v čl. 18 odst. 1;

| c) | přiřadí úlohy a odpovědnosti, které je třeba aktivovat u různých typů a scénářů incidentů souvisejících s IKT; |
| --- | --- |

c)

přiřadí úlohy a odpovědnosti, které je třeba aktivovat u různých typů a scénářů incidentů souvisejících s IKT;

| d) | stanoví plány komunikace pro zaměstnance, externí zainteresované strany a média podle článku 14 a pro informování klientů, postupy interní eskalace, včetně stížností klientů souvisejících s IKT, a případně rovněž pro poskytování informací finančním subjektům jednajícím jako protistrany; |
| --- | --- |

d)

stanoví plány komunikace pro zaměstnance, externí zainteresované strany a média podle článku 14 a pro informování klientů, postupy interní eskalace, včetně stížností klientů souvisejících s IKT, a případně rovněž pro poskytování informací finančním subjektům jednajícím jako protistrany;

| e) | zajistí, aby byly přinejmenším závažné incidenty související s IKT hlášeny příslušným vedoucím pracovníkům, a přinejmenším o závažných incidentech souvisejících s IKT informuje vedoucí orgán s vysvětlením dopadů, reakce a dalších kontrol, jež budou zavedeny v důsledku takových incidentů souvisejících s IKT; |
| --- | --- |

e)

zajistí, aby byly přinejmenším závažné incidenty související s IKT hlášeny příslušným vedoucím pracovníkům, a přinejmenším o závažných incidentech souvisejících s IKT informuje vedoucí orgán s vysvětlením dopadů, reakce a dalších kontrol, jež budou zavedeny v důsledku takových incidentů souvisejících s IKT;

| f) | zavede postupy reakce na incidenty související s IKT ke zmírnění dopadů a zajistí, aby služby byly včas a bezpečně obnoveny. |
| --- | --- |

f)

zavede postupy reakce na incidenty související s IKT ke zmírnění dopadů a zajistí, aby služby byly včas a bezpečně obnoveny.

Článek 18

Klasifikace incidentů souvisejících s IKT a kybernetických hrozeb

1.   Finanční subjekty klasifikují incidenty související s IKT a stanoví jejich dopad podle těchto kritérií:

| a) | počet nebo význam dotčených klientů nebo finančních protistran a případně výše nebo počet transakcí dotčených incidentem souvisejícím s IKT, a zda incident související s IKT poškodil dobrou pověst; |
| --- | --- |

a)

počet nebo význam dotčených klientů nebo finančních protistran a případně výše nebo počet transakcí dotčených incidentem souvisejícím s IKT, a zda incident související s IKT poškodil dobrou pověst;

| b) | doba trvání incidentu souvisejícího s IKT, včetně doby odstávky služby; |
| --- | --- |

b)

doba trvání incidentu souvisejícího s IKT, včetně doby odstávky služby;

| c) | územní rozsah, pokud jde o oblasti dotčené incidentem souvisejícím s IKT, zejména má-li incident dopad na více než dva členské státy; |
| --- | --- |

c)

územní rozsah, pokud jde o oblasti dotčené incidentem souvisejícím s IKT, zejména má-li incident dopad na více než dva členské státy;

| d) | ztráty údajů, které incident související s IKT způsobil, pokud jde o dostupnost, hodnověrnost, integritu nebo důvěrnost údajů; |
| --- | --- |

d)

ztráty údajů, které incident související s IKT způsobil, pokud jde o dostupnost, hodnověrnost, integritu nebo důvěrnost údajů;

| e) | význam dotčených služeb, včetně transakcí a operací finančního subjektu; |
| --- | --- |

e)

význam dotčených služeb, včetně transakcí a operací finančního subjektu;

| f) | ekonomický dopad incidentu souvisejícího s IKT, zejména přímé a nepřímé náklady a ztráty, v absolutním i relativním vyjádření. |
| --- | --- |

f)

ekonomický dopad incidentu souvisejícího s IKT, zejména přímé a nepřímé náklady a ztráty, v absolutním i relativním vyjádření.

2.   Finanční subjekty klasifikují kybernetické hrozby jako závažné na základě toho, jak zásadní jsou ohrožené služby, včetně transakcí a operací finančních subjektů, jaký je počet nebo význam klientů nebo finančních protistran a územní rozsah ohrožených oblastí.

3.   Evropské orgány dohledu prostřednictvím společného výboru a za konzultace s ECB a ENISA vypracují společné návrhy regulačních technických norem, v nichž jsou dále upřesněna:

| a) | kritéria stanovená v odstavci 1, včetně prahových hodnot významnosti pro stanovení závažných incidentů souvisejících s IKT, nebo případně závažných provozních či bezpečnostních incidentů souvisejících s platbami, na něž se vztahuje povinnost hlášení podle čl. 19 odst. 1; |
| --- | --- |

a)

kritéria stanovená v odstavci 1, včetně prahových hodnot významnosti pro stanovení závažných incidentů souvisejících s IKT, nebo případně závažných provozních či bezpečnostních incidentů souvisejících s platbami, na něž se vztahuje povinnost hlášení podle čl. 19 odst. 1;

| b) | kritéria, která příslušné orgány použijí pro účely posouzení relevantnosti závažných incidentů souvisejících s IKT, nebo případně závažných provozních či bezpečnostních incidentů souvisejících s platbami, pro příslušné orgány v jiných členských státech, a údaje v hlášeních závažných incidentů souvisejících s IKT, nebo případně závažných provozních či bezpečnostních incidentů souvisejících s platbami, které budou sdíleny s dalšími příslušnými orgány podle čl. 19 odst. 6 a 7; |
| --- | --- |

b)

kritéria, která příslušné orgány použijí pro účely posouzení relevantnosti závažných incidentů souvisejících s IKT, nebo případně závažných provozních či bezpečnostních incidentů souvisejících s platbami, pro příslušné orgány v jiných členských státech, a údaje v hlášeních závažných incidentů souvisejících s IKT, nebo případně závažných provozních či bezpečnostních incidentů souvisejících s platbami, které budou sdíleny s dalšími příslušnými orgány podle čl. 19 odst. 6 a 7;

| c) | kritéria stanovená v odstavci 2 tohoto článku, včetně vysokých prahových hodnot významnosti pro určování závažných kybernetických hrozeb. |
| --- | --- |

c)

kritéria stanovená v odstavci 2 tohoto článku, včetně vysokých prahových hodnot významnosti pro určování závažných kybernetických hrozeb.

4.   Evropské orgány dohledu při vypracování společných návrhů regulačních technických norem podle odstavce 3 tohoto článku přihlédnou ke kritériím vymezeným v čl. 4 odst. 2, jakož i k mezinárodním normám, pokynům a specifikacím vypracovaným a zveřejněným ENISA, včetně případných specifikací pro jiná hospodářská odvětví. Pro účely uplatňování kritérií stanovených v čl. 4 odst. 2 evropské orgány dohledu řádně zváží, zda je třeba, aby mikropodniky a malé a střední podniky mobilizovaly dostatečné zdroje a schopnosti k zajištění rychlého řešení incidentů souvisejících s IKT.

Evropské orgány dohledu předloží tyto společné návrhy regulačních technických norem Komisi do 17. ledna 2024.

Na Komisi je přenesena pravomoc doplnit toto nařízení přijetím regulačních technických norem uvedených v odstavci 3 v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

Článek 19

Hlášení závažných incidentů souvisejících s IKT a dobrovolné oznamování významných kybernetických hrozeb

1.   Finanční subjekty hlásí závažné incidenty související s IKT relevantním příslušným orgánům uvedeným v článku 46 v souladu s odstavcem 4 tohoto článku.

Pokud finanční subjekt podléhá dohledu více než jednoho vnitrostátního příslušného orgánu uvedeného v článku 46, určí členské státy jediný příslušný orgán jako relevantní příslušný orgán odpovědný za výkon funkcí a povinností stanovených v tomto článku.

Úvěrové instituce klasifikované v souladu s čl. 6 odst. 4 nařízení (EU) č. 1024/2013 jako významné hlásí závažné incidenty související s IKT relevantnímu vnitrostátnímu příslušnému orgánu určenému v souladu s článkem 4 směrnice 2013/36/EU, který danou zprávu neprodleně předává ECB.

Pro účely prvního pododstavce finanční subjekty vypracují pomocí vzorů uvedených v článku 20 na základě shromáždění a analýzy všech relevantních informací prvotní oznámení a zprávy uvedené v odstavci 4 tohoto článku a předloží je příslušnému orgánu. V případě, že z technických důvodů není možné předložit prvotní oznámení za použití uvedeného vzoru, předají finanční subjekty oznámení příslušnému orgánu alternativními prostředky.

Prvotní oznámení a zprávy uvedené v odstavci 4 obsahují veškeré informace nezbytné k tomu, aby příslušný orgán stanovil významnost závažného incidentu souvisejícího s IKT a posoudil možné přeshraniční dopady.

Aniž je dotčeno hlášení finančního subjektu relevantnímu příslušnému orgánu podle prvního pododstavce, členské státy mohou dále určit, že některé nebo všechny finanční subjekty podají prvotní oznámení a všechny zprávy uvedené v odstavci 4 tohoto článku za použití vzorů uvedených v článku 20 příslušným orgánům nebo týmům pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“) určeným nebo zřízeným v souladu se směrnicí (EU) 2022/2555.

2.   Finanční subjekty mohou relevantnímu příslušnému orgánu dobrovolně oznamovat významné kybernetické hrozby, pokud se domnívají, že hrozba je relevantní pro finanční systém, uživatele služeb nebo klienty. Relevantní příslušný orgán může tyto informace poskytnout jiným relevantním orgánům uvedeným v odstavci 6.

Úvěrové instituce klasifikované v souladu s čl. 6 odst. 4 nařízení (EU) č. 1024/2013 jako významné mohou dobrovolně oznamovat významné kybernetické hrozby relevantnímu vnitrostátnímu příslušnému orgánu určenému v souladu s článkem 4 směrnice 2013/36/EU, který dané oznámení neprodleně předává ECB.

Členské státy mohou stanovit, že finanční subjekty mohou dobrovolné oznámení podle prvního pododstavce rovněž předat týmům CSIRT určeným nebo zřízeným v souladu se směrnicí (EU) 2022/2555.

3.   Dojde-li k závažnému incidentu souvisejícímu s IKT a má-li tento incident dopad na finanční zájmy klientů, finanční subjekty bez zbytečného prodlení, jakmile se o incidentu dozvědí, informují své klienty o tomto závažném incidentu souvisejícím s IKT a o veškerých opatřeních přijatých ke zmírnění nepříznivých dopadů tohoto incidentu.

V případě významné kybernetické hrozby informují finanční subjekty případně své klienty, kteří by mohli být hrozbou dotčeni, o vhodných ochranných opatřeních, která mohou tito klienti případně přijmout.

4.   Finanční subjekty ve lhůtách stanovených v souladu s čl. 20 prvním pododstavcem písm. a) bodem ii) předloží relevantnímu příslušnému orgánu:

| a) | prvotní oznámení; |
| --- | --- |

a)

prvotní oznámení;

| b) | průběžnou zprávu po prvotním oznámení uvedeném v písmeni a), jakmile se stav původního incidentu významným způsobem změní nebo jakmile se na základě nových dostupných informací změní řešení závažného incidentu souvisejícího s IKT, po níž případně následují aktualizovaná oznámení pokaždé, když je k dispozici příslušná aktualizace stavu, jakož i na zvláštní žádost příslušného orgánu; |
| --- | --- |

b)

průběžnou zprávu po prvotním oznámení uvedeném v písmeni a), jakmile se stav původního incidentu významným způsobem změní nebo jakmile se na základě nových dostupných informací změní řešení závažného incidentu souvisejícího s IKT, po níž případně následují aktualizovaná oznámení pokaždé, když je k dispozici příslušná aktualizace stavu, jakož i na zvláštní žádost příslušného orgánu;

| c) | závěrečnou zprávu po dokončení analýzy hlavní příčiny bez ohledu na to, zda již byla uplatněna zmírňující opatření, a poté, co jsou k dispozici skutečné číselné údaje o dopadech, které nahradí odhady. |
| --- | --- |

c)

závěrečnou zprávu po dokončení analýzy hlavní příčiny bez ohledu na to, zda již byla uplatněna zmírňující opatření, a poté, co jsou k dispozici skutečné číselné údaje o dopadech, které nahradí odhady.

5.   Finanční subjekty mohou v souladu s unijními a vnitrostátními odvětvovými právními předpisy externě zadat zajištění povinného hlášení podle tohoto článku poskytovateli služeb z řad třetích stran. V případě takového externího zadání nese za plnění požadavku hlášení incidentů i nadále plnou odpovědnost finanční subjekt.

6.   Po obdržení prvotního oznámení a každé zprávy podle odstavce 4 poskytne příslušný orgán včas podrobnosti o závažném incidentu souvisejícím s IKT těmto příjemcům, a to na základě jejich příslušných pravomocí:

| a) | EBA, ESMA či EIOPA; |
| --- | --- |

a)

EBA, ESMA či EIOPA;

| b) | ECB v případě finančních subjektů uvedených v čl. 2 odst. 1 písm. a), b) a d); |
| --- | --- |

b)

ECB v případě finančních subjektů uvedených v čl. 2 odst. 1 písm. a), b) a d);

| c) | příslušným orgánům, jednotným kontaktním místům nebo týmům CSIRT určeným nebo zřízeným v souladu se směrnicí (EU) 2022/2555; |
| --- | --- |

c)

příslušným orgánům, jednotným kontaktním místům nebo týmům CSIRT určeným nebo zřízeným v souladu se směrnicí (EU) 2022/2555;

| d) | orgánům příslušným k řešení krize uvedeným v článku 3 směrnice 2014/59/EU a Jednotnému výboru pro řešení krizí, pokud jde o subjekty uvedené v čl. 7 odst. 2 nařízení Evropského parlamentu a Rady (EU) č. 806/2014 (37) a subjekty a skupiny uvedené v čl. 7 odst. 4 písm. b) a odst. 5 nařízení (EU) č. 806/2014, pokud se tyto podrobnosti týkají incidentů, které představují riziko pro zajištění zásadních funkcí ve smyslu čl. 2 odst. 1 bodu 35 směrnice 2014/59/EU, a |
| --- | --- |

d)

orgánům příslušným k řešení krize uvedeným v článku 3 směrnice 2014/59/EU a Jednotnému výboru pro řešení krizí, pokud jde o subjekty uvedené v čl. 7 odst. 2 nařízení Evropského parlamentu a Rady (EU) č. 806/2014 (37) a subjekty a skupiny uvedené v čl. 7 odst. 4 písm. b) a odst. 5 nařízení (EU) č. 806/2014, pokud se tyto podrobnosti týkají incidentů, které představují riziko pro zajištění zásadních funkcí ve smyslu čl. 2 odst. 1 bodu 35 směrnice 2014/59/EU, a

| e) | jiným relevantním veřejným orgánům podle vnitrostátního práva. |
| --- | --- |

e)

jiným relevantním veřejným orgánům podle vnitrostátního práva.

7.   Po obdržení informací v souladu s odstavcem 6 EBA, ESMA nebo EIOPA a ECB za konzultace s ENISA a ve spolupráci s relevantním příslušným orgánem posoudí, zda je závažný incident související s IKT relevantní pro příslušné orgány v jiných členských státech. Na základě tohoto posouzení EBA, ESMA nebo EIOPA co nejdříve zašle odpovídající oznámení relevantním příslušným orgánům v jiných členských státech. ECB informuje o veškerých záležitostech relevantních pro platební systém členy Evropského systému centrálních bank. Na základě oznámení přijmou příslušné orgány podle potřeby veškerá opatření nezbytná k ochraně bezprostřední stability finančního systému.

8.   Oznámením, které má učinit ESMA podle odstavce 7 tohoto článku, není dotčena odpovědnost příslušného orgánu za urychlené předání podrobností o závažném incidentu souvisejícím s IKT relevantnímu orgánu v hostitelském členském státě, pokud centrální depozitář cenných papírů vykonává v hostitelském členském státě významnou přeshraniční činnost, daný závažný incident související s IKT bude mít pravděpodobně závažné důsledky pro finanční trhy hostitelského členského státu a pokud existují ujednání o spolupráci mezi příslušnými orgány týkající se dohledu nad finančními subjekty.

Článek 20

Harmonizace obsahu a vzorů hlášení

Evropské orgány dohledu prostřednictvím společného výboru a za konzultace s ENISA a ECB vypracují:

| a) | společné návrhy regulačních technických norem za účelem:






  i) | stanovení obsahu hlášení závažných incidentů souvisejících s IKT s cílem zohlednit kritéria stanovená v čl. 18 odst. 1 a zahrnout další prvky, jako jsou podrobnosti pro stanovení relevantnosti hlášení pro ostatní členské státy a zda se jedná o závažný provozní nebo bezpečnostní incident související s platbami, či nikoli; |
| --- | --- | --- |

a)

společné návrhy regulačních technických norem za účelem:

i)

stanovení obsahu hlášení závažných incidentů souvisejících s IKT s cílem zohlednit kritéria stanovená v čl. 18 odst. 1 a zahrnout další prvky, jako jsou podrobnosti pro stanovení relevantnosti hlášení pro ostatní členské státy a zda se jedná o závažný provozní nebo bezpečnostní incident související s platbami, či nikoli;

| ii) | stanovení lhůt pro prvotní oznámení a pro každou zprávu podle čl. 19 odst. 4; |
| --- | --- |

ii)

stanovení lhůt pro prvotní oznámení a pro každou zprávu podle čl. 19 odst. 4;

| iii) | vymezení obsahu oznámení o významných kybernetických hrozbách. |
| --- | --- |

iii)

vymezení obsahu oznámení o významných kybernetických hrozbách.

Při vypracovávání těchto návrhů regulačních technických norem evropské orgány dohledu zohlední velikost a celkový rizikový profil finančního subjektu a povahu, rozsah a složitost jeho služeb, činností a operací, a to zejména s cílem zajistit, aby pro účely tohoto pododstavce písm. a) bodu ii) mohly různé lhůty případně odrážet specifika finančních sektorů, aniž je dotčeno zachování jednotného přístupu k hlášení incidentů souvisejících s IKT podle tohoto nařízení a podle směrnice (EU) 2022/2555. Evropské orgány dohledu případně poskytnou odůvodnění, pokud se odchylují od přístupů přijatých v souvislosti s uvedenou směrnicí;

| b) | společné návrhy prováděcích technických norem s cílem vytvořit standardní formuláře, vzory a postupy, které finanční subjekty použijí k hlášení závažného incidentu souvisejícího s IKT a k oznámení významné kybernetické hrozby. |
| --- | --- |

b)

společné návrhy prováděcích technických norem s cílem vytvořit standardní formuláře, vzory a postupy, které finanční subjekty použijí k hlášení závažného incidentu souvisejícího s IKT a k oznámení významné kybernetické hrozby.

Evropské orgány dohledu předloží společné návrhy regulačních technických norem uvedené v prvním pododstavci písm. a) a společné návrhy prováděcích technických norem uvedené v prvním pododstavci písm. b) Komisi do 17. července 2024.

Na Komisi je přenesena pravomoc doplnit toto nařízení přijetím společných regulačních technických norem uvedených v prvním pododstavci písm. a) v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

Komisi je svěřena pravomoc přijímat společné prováděcí technické normy uvedené v prvním pododstavci písm. b) v souladu s článkem 15 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

Článek 21

Centralizace hlášení závažných incidentů souvisejících s IKT

1.   Evropské orgány dohledu prostřednictvím společného výboru a za konzultace s ECB a ENISA připraví společnou zprávu hodnotící proveditelnost další centralizace hlášení incidentů prostřednictvím vytvoření jednotného centra EU pro hlášení závažných incidentů souvisejících s IKT finančními subjekty. Ve společné zprávě se analyzují možnosti usnadnění toku hlášení incidentů souvisejících s IKT, snížení nákladů a podpory tematických analýz s cílem zlepšení sbližování dohledu.

2.   Společná zpráva uvedená v odstavci 1 obsahuje alespoň tyto prvky:

| a) | předpoklady pro vytvoření jednotného centra EU; |
| --- | --- |

a)

předpoklady pro vytvoření jednotného centra EU;

| b) | přínosy, omezení a rizika, včetně rizik spojených s vysokou koncentrací citlivých informací; |
| --- | --- |

b)

přínosy, omezení a rizika, včetně rizik spojených s vysokou koncentrací citlivých informací;

| c) | nezbytné schopnosti pro zajištění interoperability s ohledem na jiné relevantní systémy podávání zpráv; |
| --- | --- |

c)

nezbytné schopnosti pro zajištění interoperability s ohledem na jiné relevantní systémy podávání zpráv;

| d) | prvky provozního řízení; |
| --- | --- |

d)

prvky provozního řízení;

| e) | podmínky členství; |
| --- | --- |

e)

podmínky členství;

| f) | technická úprava přístupu finančních subjektů a vnitrostátních příslušných orgánů k jednotnému centru EU; |
| --- | --- |

f)

technická úprava přístupu finančních subjektů a vnitrostátních příslušných orgánů k jednotnému centru EU;

| g) | předběžné posouzení finančních nákladů, které s sebou ponese vytvoření provozní platformy podporující jednotné centrum EU, včetně nezbytných odborných znalostí. |
| --- | --- |

g)

předběžné posouzení finančních nákladů, které s sebou ponese vytvoření provozní platformy podporující jednotné centrum EU, včetně nezbytných odborných znalostí.

3.   Evropské orgány dohledu předloží zprávu uvedenou v odstavci 1 Evropskému parlamentu, Radě a Komisi do 17. ledna 2025.

Článek 22

Zpětná vazba orgánu dohledu

1.   Aniž jsou dotčeny technické vstupy, poradenství nebo náprava a následná navazující činnost, které mohou v souladu s vnitrostátním právem případně poskytnout týmy CSIRT podle směrnice (EU) 2022/2555 , příslušný orgán po obdržení prvotního oznámení a každé zprávy podle čl. 19 odst. 4 potvrdí jejich přijetí a může, je-li to možné, finančnímu subjektu zavčas poskytnout náležitou a přiměřenou zpětnou vazbu nebo obecné pokyny, zejména poskytnutím veškerých relevantních anonymizovaných informací a operativních informací o podobných hrozbách, a může projednat nápravu uplatněnou na úrovni daného finančního subjektu a možnosti, jak minimalizovat a zmírnit nepříznivý dopad na finanční sektor. Aniž je dotčena zpětná vazba orgánů dohledu, finanční subjekty jsou i nadále plně odpovědné za řešení incidentů souvisejících s IKT hlášených podle čl. 19 odst. 1 a za jejich důsledky.

2.   Evropské orgány dohledu každoročně anonymizovaně a souhrnně informují prostřednictvím společného výboru o závažných incidentech souvisejících s IKT, o nichž obdržely podrobné informace od příslušných orgánů v souladu s čl. 19 odst. 6, přičemž uvedou alespoň počet závažných incidentů souvisejících s IKT, jejich povahu a dopad na provoz finančních subjektů nebo klientů, přijatá nápravná opatření a vzniklé náklady.

Evropské orgány dohledu vydávají varování a statistiky na vysoké úrovni na podporu posuzování hrozeb a zranitelností v oblasti IKT.

Článek 23

Provozní nebo bezpečnostní incidenty související s platbami týkající se úvěrových institucí, platebních institucí, poskytovatelů služeb informování o účtu a institucí elektronických peněz

Požadavky stanovené v této kapitole se v případech, kdy se týkají úvěrových institucí, platebních institucí, poskytovatelů služeb informování o účtu a institucí elektronických peněz, vztahují rovněž na provozní nebo bezpečnostní incidenty související s platbami a na závažné provozní nebo bezpečnostní incidenty související s platbami.

KAPITOLA IV

Testování digitální provozní odolnosti

Článek 24

Obecné požadavky na provádění testování digitální provozní odolnosti

1.   Pro účely posuzování připravenosti na řešení incidentů souvisejících s IKT, identifikace slabých míst, vad a nedostatků v digitální provozní odolnosti a rychlého zavedení nápravných opatření finanční subjekty jiné než mikropodniky při zohlednění kritérií vymezených v čl. 4 odst. 2 vytvoří, udržují a aktualizují spolehlivý a ucelený program testování digitální provozní odolnosti jakožto nedílnou součást rámce pro řízení rizika v oblasti IKT uvedeného v článku 6.

2.   Tento program testování digitální provozní odolnosti obsahuje celou řadu hodnocení, testů, metodik, postupů a nástrojů, které se použijí v souladu s články 25 a 26.

3.   Při provádění programu testování digitální provozní odolnosti uvedeného v odstavci 1 tohoto článku finanční subjekty, jiné než mikropodniky, uplatňují přístup založený na posouzení rizik, přičemž zohlední kritéria vymezená v čl. 4 odst. 2 tím, že řádně zohlední vývoj rizika v oblasti IKT, jakákoli specifická rizika, jimž je či jimž by mohl být vystaven dotyčný finanční subjekt, význam informačních aktiv a poskytovaných služeb a rovněž jakékoli jiné faktory, které finanční subjekt považuje za vhodné.

4.   Finanční subjekty, jiné než mikropodniky, zajistí, aby testy prováděly interní či externí nezávislé subjekty. Pokud testy provádí interní subjekt, vyčlení finanční subjekty dostatečné zdroje a zajistí, aby během fáze návrhu a provádění testu nedocházelo ke střetům zájmů.

5.   Finanční subjekty, jiné než mikropodniky, vytvoří postupy a politiky pro stanovení priorit, klasifikaci a nápravu všech problémů zjištěných při provádění testů a vytvoří interní metodiky ověřování, jejichž prostřednictvím kontrolují, zda všechny zjištěné slabiny, nedostatky či vady byly plně odstraněny.

6.   Finanční subjekty, jiné než mikropodniky, zajistí, aby byly alespoň jednou ročně provedeny vhodné testy všech systémů a aplikací IKT podporujících zásadní nebo důležité funkce.

Článek 25

Testování nástrojů a systémů IKT

1.   Program testování digitální provozní odolnosti uvedený v článku 24 stanoví v souladu s kritérii vymezenými v čl. 4 odst. 2 provedení vhodných testů, jako jsou hodnocení a zjišťování zranitelnosti, analýzy otevřených zdrojů, posouzení bezpečnosti sítě, analýzy nedostatků, přezkumy fyzické bezpečnosti, dotazníky a antivirová softwarová řešení, v případě proveditelnosti přezkumy zdrojových kódů, testy založené na scénářích, testování kompatibility, testování výkonu, testování mezi koncovými body a penetrační testování.

2.   Centrální depozitáři cenných papírů a ústřední protistrany provádějí hodnocení zranitelnosti před každým použitím či opakovaným použitím nových nebo stávajících aplikací nebo prvků infrastruktury a služeb IKT podporujících zásadní nebo důležité funkce finančního subjektu.

3.   Mikropodniky provádějí testy uvedené v odstavci 1 tak, že kombinují přístup založený na posouzení rizik se strategickým plánováním testování IKT, přičemž náležitě zváží potřebu zachovat vyvážený přístup mezi rozsahem zdrojů a dobou, kterou je třeba věnovat testování IKT podle tohoto článku, na jedné straně a naléhavostí, druhem rizika, tím, jak zásadní jsou informační aktiva a poskytované služby, jakož i veškerými dalšími relevantními faktory, včetně schopnosti finančního subjektu podstupovat zvážená rizika na straně druhé.

Článek 26

Pokročilé testování nástrojů, systémů a procesů IKT s využitím penetračního testování na základě hrozeb

1.   Finanční subjekty, jiné než subjekty uvedené v čl. 16 odst. 1 prvním pododstavci a jiné než mikropodniky, které jsou určeny v souladu s odst. 8 třetím pododstavcem tohoto článku, provádějí alespoň jednou za tři roky pokročilé testování s využitím penetračního testování na základě hrozeb. Na základě rizikového profilu finančního subjektu a s přihlédnutím k provozním okolnostem může příslušný orgán v případě potřeby požádat finanční subjekt, aby tuto četnost snížil nebo zvýšil.

2.   Každý penetrační test na základě hrozeb pokrývá některé nebo všechny zásadní nebo důležité funkce finančního subjektu a provádí se za provozu na systémech skutečně využívaných k zajištění těchto funkcí.

Finanční subjekty identifikují všechny relevantní základní systémy, procesy a technologie IKT podporující zásadní nebo důležité funkce a služby IKT, včetně těch, které podporují zásadní nebo důležité funkce a jsou dodávané externě či nasmlouvané s poskytovateli služeb IKT z řad třetích stran.

Finanční subjekty posoudí, které zásadní nebo důležité funkce je třeba zahrnout do penetračního testování na základě hrozeb. Výsledek tohoto posouzení určí přesný rozsah penetračního testování na základě hrozeb a musí být potvrzen příslušnými orgány.

3.   Pokud jsou do rozsahu penetračního testování na základě hrozeb zahrnuti poskytovatelé služeb IKT z řad třetích stran, přijme finanční subjekt nezbytná opatření a záruky k zajištění účasti těchto poskytovatelů služeb IKT z řad třetích stran na penetračním testování na základě hrozeb a po celou dobu si ponechá plnou odpovědnost za zajištění souladu s tímto nařízením.

4.   Aniž je dotčen odst. 2 první a druhý pododstavec, pokud lze důvodně očekávat, že účast poskytovatelů služeb IKT z řad třetích stran na penetračním testování na základě hrozeb, jak je uvedena v odstavci 3, bude mít nepříznivý dopad na kvalitu nebo bezpečnost služeb, které poskytovatel služeb IKT z řad třetích stran poskytuje zákazníkům, kteří jsou subjekty mimo oblast působnosti tohoto nařízení, nebo na důvěrnost údajů souvisejících s takovými službami, finanční subjekt a poskytovatel služeb IKT z řad třetích stran se mohou písemně dohodnout, že poskytovatel služeb IKT z řad třetích stran uzavře smluvní ujednání přímo s externím subjektem provádějícím testování, aby bylo pod vedením jednoho vybraného finančního subjektu provedeno společné penetrační testování na základě hrozeb zahrnující několik finančních subjektů (dále jen „společné testování“), pro něž poskytovatel služeb IKT z řad třetích stran poskytuje služby IKT.

Toto společné testování se vztahuje na příslušný rozsah služeb IKT, které podporují zásadní nebo důležité funkce a jsou zadány příslušnému poskytovateli služeb IKT z řad třetích stran finančními subjekty. Společné testování se považuje za penetrační testování na základě hrozeb, které provádějí finanční subjekty účastnící se společného testování.

Počet finančních subjektů účastnících se společného testování musí být náležitě kalibrován s ohledem na složitost a druhy dotčených služeb.

5.   Finanční subjekty ve spolupráci s poskytovateli služeb IKT z řad třetích stran a dalšími zúčastněnými stranami, včetně subjektů provádějících testování, avšak s výjimkou příslušných orgánů, použijí účinné kontroly v rámci řízení rizik, aby zmírnily rizika jakéhokoliv případného dopadu na data, poškození aktiv a narušení zásadních nebo důležitých funkcí, služeb nebo operací u vlastního finančního subjektu, jeho protistran nebo celého finančního sektoru.

6.   Na konci testování a po schválení zpráv a plánů nápravných opatření finanční subjekt a v příslušných případech externí subjekt provádějící testování předloží orgánu určenému v souladu s odstavcem 9 nebo 10 souhrn příslušných zjištění, plánů nápravných opatření a dokumentaci prokazující, že penetrační testování na základě hrozeb bylo provedeno v souladu s požadavky.

7.   Orgány vydají finančním subjektům osvědčení o provedeném testu v souladu s požadavky, což doloží dokumentací, aby mohly příslušné orgány tyto penetrační testy na základě hrozeb vzájemně uznávat. Finanční subjekt o osvědčení, souhrnu příslušných zjištění a plánech nápravných opatření informuje relevantní příslušný orgán.

Aniž je dotčeno toto osvědčení, finanční subjekty jsou vždy plně odpovědné za dopady testů uvedených v odstavci 4.

8.   Finanční subjekty najímají subjekty provádějící testování pro účely provádění penetračního testování na základě hrozeb v souladu s článkem 27. Pokud finanční subjekty používají pro účely provádění penetračního testování na základě hrozeb interní subjekty, musí provedení vždy jednoho ze tří testů zadat externímu subjektu provádějícímu testování.

Úvěrové instituce, které jsou klasifikovány jako významné v souladu s čl. 6 odst. 4 nařízení (EU) č. 1024/2013, používají pouze externí subjekty provádějící testování v souladu s čl. 27 odst. 1 písm. a) až e).

Příslušné orgány určí finanční subjekty, které jsou povinny provádět penetrační testování na základě hrozeb, s přihlédnutím ke kritériím stanoveným v čl. 4 odst. 2, a to na základě posouzení:

| a) | faktorů souvisejících s dopady, zejména toho, jak rozsáhlý je dopad služeb, které finanční subjekt poskytuje, a činností, které provádí, na finanční sektor; |
| --- | --- |

a)

faktorů souvisejících s dopady, zejména toho, jak rozsáhlý je dopad služeb, které finanční subjekt poskytuje, a činností, které provádí, na finanční sektor;

| b) | případných hledisek finanční stability, včetně systémové povahy finančního subjektu na unijní nebo případně vnitrostátní úrovni; |
| --- | --- |

b)

případných hledisek finanční stability, včetně systémové povahy finančního subjektu na unijní nebo případně vnitrostátní úrovni;

| c) | konkrétního rizikového profilu v oblasti IKT, úrovně vyspělosti finančního subjektu v oblasti IKT nebo dotčených technologických prvků. |
| --- | --- |

c)

konkrétního rizikového profilu v oblasti IKT, úrovně vyspělosti finančního subjektu v oblasti IKT nebo dotčených technologických prvků.

9.   Členské státy mohou určit jediný veřejný orgán ve finančním sektoru, který bude na vnitrostátní úrovni odpovědný za záležitosti související s penetračním testováním na základě hrozeb ve finančním sektoru, a svěří mu za tímto účelem veškeré pravomoci a úkoly.

10.   Není-li určen veřejný orgán podle odstavce 9 tohoto článku, a aniž je dotčena pravomoc určit finanční subjekty, které mají provádět penetrační testování na základě hrozeb, může příslušný orgán pověřit výkonem některých nebo všech úkolů uvedených v tomto článku a v článku 27 jiný vnitrostátní orgán ve finančním sektoru.

11.   Evropské orgány dohledu po dohodě s ECB vypracují v souladu s rámcem TIBER–EU společné návrhy regulačních technických norem, který dále upřesní:

| a) | kritéria, která se použijí pro účely uplatňování odst. 8 druhého pododstavce; |
| --- | --- |

a)

kritéria, která se použijí pro účely uplatňování odst. 8 druhého pododstavce;

| b) | požadavky a normy, kterými se řídí využívání interních subjektů provádějících testování; |
| --- | --- |

b)

požadavky a normy, kterými se řídí využívání interních subjektů provádějících testování;

| c) | požadavky týkající se:






  i) | rozsahu penetračního testování na základě hrozeb uvedeného v odstavci 2; |
| --- | --- | --- |

c)

požadavky týkající se:

i)

rozsahu penetračního testování na základě hrozeb uvedeného v odstavci 2;

| ii) | metodiky a postupů testování pro jednotlivé fáze procesu testování; |
| --- | --- |

ii)

metodiky a postupů testování pro jednotlivé fáze procesu testování;

| iii) | výsledků a fáze ukončení testování a nápravy; |
| --- | --- |

iii)

výsledků a fáze ukončení testování a nápravy;

| d) | druh spolupráce v oblasti dohledu a jinou relevantní spolupráci, která je zapotřebí k provádění penetračního testování na základě hrozeb a pro usnadnění vzájemného uznávání těchto testů, pokud jde o finanční subjekty působící ve více než jednom členském státě, aby byla umožněna náležitá úroveň zapojení orgánů dohledu a flexibilní uplatňování, které zohlední specifičnosti finančních pododvětví nebo místních finančních trhů. |
| --- | --- |

d)

druh spolupráce v oblasti dohledu a jinou relevantní spolupráci, která je zapotřebí k provádění penetračního testování na základě hrozeb a pro usnadnění vzájemného uznávání těchto testů, pokud jde o finanční subjekty působící ve více než jednom členském státě, aby byla umožněna náležitá úroveň zapojení orgánů dohledu a flexibilní uplatňování, které zohlední specifičnosti finančních pododvětví nebo místních finančních trhů.

Při vypracovávání těchto návrhů regulačních technických norem evropské orgány dohledu náležitě zohlední veškeré specifické aspekty vyplývající z odlišné povahy činností v různých odvětvích finančních služeb.

Evropské orgány dohledu předloží tyto návrhy regulačních technických norem Komisi do 17. července 2024.

Na Komisi je přenesena pravomoc doplnit toto nařízení přijetím regulačních technických norem uvedených v prvním pododstavci v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

Článek 27

Požadavky na subjekty provádějící penetrační testování na základě hrozeb

1.   Finanční subjekty využijí k penetračnímu testování na základě hrozeb pouze subjekty provádějící testování, které:

| a) | jsou nejvhodnější a mají nejlepší pověst; |
| --- | --- |

a)

jsou nejvhodnější a mají nejlepší pověst;

| b) | disponují technickými a organizačními schopnostmi a prokáží specifické znalosti v oblasti operativních informací o hrozbách, penetračního testování a testování metodou „červeného týmu“; |
| --- | --- |

b)

disponují technickými a organizačními schopnostmi a prokáží specifické znalosti v oblasti operativních informací o hrozbách, penetračního testování a testování metodou „červeného týmu“;

| c) | jsou certifikovány akreditačním orgánem v členském státě nebo dodržují formální kodexy chování či etické rámce; |
| --- | --- |

c)

jsou certifikovány akreditačním orgánem v členském státě nebo dodržují formální kodexy chování či etické rámce;

| d) | předloží nezávislé potvrzení nebo auditní zprávu týkající se řádného řízení rizik v souvislosti s prováděním penetračního testování na základě hrozeb, včetně náležitého zabezpečení důvěrných informací finančního subjektu a prostředků nápravy rizik pro činnost finančního subjektu; |
| --- | --- |

d)

předloží nezávislé potvrzení nebo auditní zprávu týkající se řádného řízení rizik v souvislosti s prováděním penetračního testování na základě hrozeb, včetně náležitého zabezpečení důvěrných informací finančního subjektu a prostředků nápravy rizik pro činnost finančního subjektu;

| e) | jsou řádně a plně kryty příslušným pojištěním odpovědnosti za škody při výkonu povolání, včetně rizik pochybení a nedbalosti. |
| --- | --- |

e)

jsou řádně a plně kryty příslušným pojištěním odpovědnosti za škody při výkonu povolání, včetně rizik pochybení a nedbalosti.

2.   Finanční subjekty využívající interní subjekty provádějící testování zajistí, aby kromě požadavků uvedených v odstavci 1 byly splněny i tyto podmínky:

| a) | toto využití bylo schváleno relevantním příslušným orgánem nebo jediným veřejným orgánem určeným v souladu s čl. 26 odst. 9 a 10; |
| --- | --- |

a)

toto využití bylo schváleno relevantním příslušným orgánem nebo jediným veřejným orgánem určeným v souladu s čl. 26 odst. 9 a 10;

| b) | relevantní příslušný orgán ověřil, že daný finanční subjekt vyčlenil dostatečné zdroje a zajistil, aby během fáze návrhu a provádění testu nedocházelo ke střetům zájmů, a |
| --- | --- |

b)

relevantní příslušný orgán ověřil, že daný finanční subjekt vyčlenil dostatečné zdroje a zajistil, aby během fáze návrhu a provádění testu nedocházelo ke střetům zájmů, a

| c) | poskytovatel operativních informací o hrozbách je externí subjekt, který není součástí daného finančního subjektu. |
| --- | --- |

c)

poskytovatel operativních informací o hrozbách je externí subjekt, který není součástí daného finančního subjektu.

3.   Finanční subjekty zajistí, aby ve smlouvách uzavřených s externími subjekty provádějícími testování byla požadována řádná správa výsledků penetračního testování na základě hrozeb a aby jakékoli související zpracování údajů, včetně jakéhokoli vypracování, uložení, agregace, návrhu, hlášení, sdělení nebo zničení neohrozilo finanční subjekt.

KAPITOLA V

Řízení rizika v oblasti IKT spojeného s třetími stranami

Oddíl I

Hlavní zásady správného řízení rizika v oblasti IKT spojeného s třetími stranami

Článek 28

Obecné zásady

1.   Finanční subjekty řídí riziko v oblasti IKT spojené s třetími stranami jako nedílnou součást rizika v oblasti IKT ve svém rámci pro řízení rizika v oblasti IKT uvedeném v čl. 6 odst. 1 podle těchto zásad:

| a) | finanční subjekty, které uzavřely smluvní ujednání na využívání služeb IKT za účelem provádění svých obchodních operací, jsou vždy plně odpovědné za dodržení a splnění všech povinností vyplývajících z tohoto nařízení a platného práva v oblasti finančních služeb; |
| --- | --- |

a)

finanční subjekty, které uzavřely smluvní ujednání na využívání služeb IKT za účelem provádění svých obchodních operací, jsou vždy plně odpovědné za dodržení a splnění všech povinností vyplývajících z tohoto nařízení a platného práva v oblasti finančních služeb;

| b) | řízení rizika v oblasti IKT spojeného s třetími stranami provádějí finanční subjekty s ohledem na zásadu proporcionality a na:






  i) | povahu, rozsah, složitost a význam závislostí v oblasti IKT, |
| --- | --- | --- |

b)

řízení rizika v oblasti IKT spojeného s třetími stranami provádějí finanční subjekty s ohledem na zásadu proporcionality a na:

i)

povahu, rozsah, složitost a význam závislostí v oblasti IKT,

| ii) | rizika vyplývající ze smluvních ujednání o využívání služeb IKT uzavřených s poskytovateli služeb IKT z řad třetích stran se zohledněním toho, jak zásadní či důležité jsou příslušné služby, procesy nebo funkce a jaký je potenciální dopad na kontinuitu a dostupnost finančních služeb a činností na individuální úrovni i na úrovni skupiny. |
| --- | --- |

ii)

rizika vyplývající ze smluvních ujednání o využívání služeb IKT uzavřených s poskytovateli služeb IKT z řad třetích stran se zohledněním toho, jak zásadní či důležité jsou příslušné služby, procesy nebo funkce a jaký je potenciální dopad na kontinuitu a dostupnost finančních služeb a činností na individuální úrovni i na úrovni skupiny.

2.   Jakožto součást svého rámce pro řízení rizika v oblasti IKT finanční subjekty, jiné než subjekty uvedené v čl. 16 odst. 1 prvním pododstavci a jiné než mikropodniky, přijmou a pravidelně přezkoumávají strategii pro riziko v oblasti IKT spojené s třetími stranami, přičemž případně zohlední strategii více dodavatelů uvedenou v čl. 6 odst. 9. Strategie pro riziko v oblasti IKT spojené s třetími stranami obsahuje zásady využívání služeb IKT podporujících zásadní nebo důležité funkce poskytovaných poskytovateli služeb IKT z řad třetích stran a uplatňuje se na individuálním a případně subkonsolidovaném či konsolidovaném základě. Vedoucí orgán na základě posouzení celkového rizikového profilu finančního subjektu a rozsahu a složitosti obchodních služeb pravidelně přezkoumává rizika identifikovaná v souvislosti se smluvními ujednáními o využívání služeb IKT podporujících zásadní nebo důležité funkce.

3.   Jakožto součást svého rámce pro řízení rizika v oblasti IKT finanční subjekty na úrovni subjektu a na subkonsolidované a konsolidované úrovni vedou a aktualizují registr informací s ohledem na všechna smluvní ujednání o využívání služeb IKT poskytovaných poskytovateli služeb IKT z řad třetích stran.

Smluvní ujednání uvedená v prvním pododstavci se řádně zdokumentují, přičemž se rozlišuje mezi těmi, která se týkají služeb IKT podporujících zásadní nebo důležité funkce a těmi, která se jich netýkají.

Finanční subjekty alespoň jednou ročně nahlásí příslušným orgánům počet nových ujednání o využívání služeb IKT, kategorie poskytovatelů služeb IKT z řad třetích stran, druh smluvních ujednání a poskytované služby a funkce IKT.

Finanční subjekt zpřístupní příslušnému orgánu na jeho žádost úplný registr informací, nebo jeho konkrétní části, dle příslušného požadavku, a rovněž jakékoli informace považované za nezbytné k účinnému dohledu nad finančním subjektem.

Finanční subjekty včas informují příslušný orgán o jakémkoli plánovaném smluvním ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce, jakož i v případě, že se některá funkce stane zásadní nebo důležitou.

4.   Finanční subjekty před uzavřením smluvního ujednání o využívání služeb IKT:

| a) | posoudí, zda se smluvní ujednání týká využívání služeb IKT podporujících zásadní nebo důležité funkce; |
| --- | --- |

a)

posoudí, zda se smluvní ujednání týká využívání služeb IKT podporujících zásadní nebo důležité funkce;

| b) | posoudí, zda jsou splněny podmínky dohledu pro uzavření smlouvy; |
| --- | --- |

b)

posoudí, zda jsou splněny podmínky dohledu pro uzavření smlouvy;

| c) | identifikují a posoudí všechna relevantní rizika týkající se smluvního ujednání, včetně možnosti, kdy toto smluvní ujednání může přispívat k zesílení rizika koncentrace IKT uvedeného v článku 29; |
| --- | --- |

c)

identifikují a posoudí všechna relevantní rizika týkající se smluvního ujednání, včetně možnosti, kdy toto smluvní ujednání může přispívat k zesílení rizika koncentrace IKT uvedeného v článku 29;

| d) | s náležitou péčí přezkoumají potenciální poskytovatele služeb IKT z řad třetích stran a pomocí procesů výběru a vyhodnocení zajistí vhodnost poskytovatele služeb IKT z řad třetích stran; |
| --- | --- |

d)

s náležitou péčí přezkoumají potenciální poskytovatele služeb IKT z řad třetích stran a pomocí procesů výběru a vyhodnocení zajistí vhodnost poskytovatele služeb IKT z řad třetích stran;

| e) | identifikují a posoudí střety zájmů, které mohou smluvní ujednání způsobit. |
| --- | --- |

e)

identifikují a posoudí střety zájmů, které mohou smluvní ujednání způsobit.

5.   Finanční subjekty smí uzavírat smluvní ujednání pouze s poskytovateli služeb IKT z řad třetích stran, kteří splňují příslušné normy v oblasti bezpečnosti informací. Pokud se tato smluvní ujednání týkají zásadních nebo důležitých funkcí, finanční subjekty před uzavřením ujednání náležitě zváží, zda poskytovatelé služeb IKT z řad třetích stran uplatňují nejaktuálnější a nejkvalitnější normy bezpečnosti informací.

6.   Finanční subjekty při výkonu práv na přístup, kontrolu a audit u poskytovatele služeb IKT z řad třetích stran předem na základě přístupu založeného na posouzení rizik stanoví četnost auditů a kontrol, jakož i oblasti, které budou auditovány s využitím obecně uznávaných auditních standardů a v souladu se všemi pokyny orgánů dohledu pro využití a začlenění těchto auditních standardů.

Pokud se smluvní ujednání uzavřená s poskytovateli služeb IKT z řad třetích stran o využívání služeb IKT týkají technicky velmi složitých otázek, finanční subjekt ověří, že interní nebo externí auditoři nebo skupina auditorů disponují odpovídajícími dovednostmi a znalostmi pro účinné provedení příslušných auditů a posouzení.

7.   Finanční subjekty zajistí, aby smluvní ujednání o využívání služeb IKT bylo možné ukončit za kterékoli z těchto okolností:

| a) | poskytovatel služeb IKT z řad třetích stran zásadním způsobem poruší platné právní předpisy nebo smluvní podmínky; |
| --- | --- |

a)

poskytovatel služeb IKT z řad třetích stran zásadním způsobem poruší platné právní předpisy nebo smluvní podmínky;

| b) | sledováním rizika v oblasti IKT spojeného s třetími stranami se zjistí okolnosti, u nichž se má za to, že mohou změnit plnění funkcí poskytovaných prostřednictvím smluvního ujednání, včetně podstatných změn ovlivňujících dané ujednání nebo situaci poskytovatele služeb IKT z řad třetích stran; |
| --- | --- |

b)

sledováním rizika v oblasti IKT spojeného s třetími stranami se zjistí okolnosti, u nichž se má za to, že mohou změnit plnění funkcí poskytovaných prostřednictvím smluvního ujednání, včetně podstatných změn ovlivňujících dané ujednání nebo situaci poskytovatele služeb IKT z řad třetích stran;

| c) | v rámci celkového řízení rizika v oblasti IKT poskytovatele služeb IKT z řad třetích stran jsou zjištěna slabá místa, a to zejména s ohledem na zajištění dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, ať již osobních či jiných citlivých údajů, nebo jiných než osobních údajů; |
| --- | --- |

c)

v rámci celkového řízení rizika v oblasti IKT poskytovatele služeb IKT z řad třetích stran jsou zjištěna slabá místa, a to zejména s ohledem na zajištění dostupnosti, hodnověrnosti, integrity a důvěrnosti údajů, ať již osobních či jiných citlivých údajů, nebo jiných než osobních údajů;

| d) | příslušný orgán již nedokáže dále efektivně dohlížet na finanční subjekt v důsledku podmínek příslušného smluvního ujednání nebo okolností s ním souvisejících. |
| --- | --- |

d)

příslušný orgán již nedokáže dále efektivně dohlížet na finanční subjekt v důsledku podmínek příslušného smluvního ujednání nebo okolností s ním souvisejících.

8.   U služeb IKT podporujících zásadní nebo důležité funkce zavedou finanční subjekty strategie ukončení smluvního vztahu. Strategie ukončení smluvního vztahu zohlední rizika, jež mohou vzniknout na úrovni poskytovatelů služeb IKT z řad třetích stran, zejména jejich případné selhání, snížení kvality poskytovaných služeb a funkcí IKT, jakékoli narušení činnosti v důsledku nevhodného či chybného poskytování služeb IKT nebo jakéhokoli vážného rizika vznikajícího v souvislosti s řádným a nepřetržitým poskytováním příslušné služby IKT, nebo v případě ukončení smluvních ujednání s poskytovateli služeb IKT z řad třetích stran za kterékoli z okolností uvedených v odstavci 7.

Finanční subjekty zajistí, aby byly schopny ukončit smluvní ujednání, aniž by došlo k:

| a) | narušení jejich činností, |
| --- | --- |

a)

narušení jejich činností,

| b) | narušení dodržování regulatorních požadavků, |
| --- | --- |

b)

narušení dodržování regulatorních požadavků,

| c) | zhoršení kontinuity a kvality služeb, které poskytují klientům. |
| --- | --- |

c)

zhoršení kontinuity a kvality služeb, které poskytují klientům.

Plány ukončení smluvního vztahu musí být komplexní, zdokumentované a splňovat kritéria vymezená v čl. 4 odst. 2, musí být dostatečně otestovány a pravidelně přezkoumávány.

Finanční subjekty identifikují alternativní řešení a vypracují plány přechodu, které jim umožní odebrání nasmlouvaných služeb IKT a příslušných dat od poskytovatele služeb IKT z řad třetích stran a jejich bezpečný a integrovaný přenos k alternativnímu poskytovateli, nebo jejich začlenění v rámci vlastní organizace.

Finanční subjekty mají zavedena vhodná opatření pro nepředvídané události, aby byl zachován provoz, pokud by nastaly okolnosti uvedené v prvním pododstavci.

9.   Evropské orgány dohledu vypracují prostřednictvím společného výboru návrhy prováděcích technických norem, které stanoví standardní vzory pro účely registru informací uvedeného v odstavci 3, včetně informací společných všem smluvním ujednáním o využívání služeb IKT. Evropské orgány dohledu předloží tyto návrhy prováděcích technických norem Komisi do 17. ledna 2024.

Komisi je svěřena pravomoc přijímat prováděcí technické normy uvedené v prvním pododstavci v souladu s článkem 15 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

10.   Evropské orgány dohledu vypracují prostřednictvím společného výboru návrhy regulačních technických norem, které dále upřesní podrobný obsah politiky uvedené v odstavci 2 ve vztahu ke smluvním ujednáním o využívání služeb IKT podporujících zásadní nebo důležité funkce, poskytovaných poskytovateli služeb IKT z řad třetích stran.

Při vypracovávání těchto návrhů regulačních technických norem evropské orgány dohledu zohlední velikost a celkový rizikový profil finančního subjektu a povahu, rozsah a složitost jeho služeb, činností a operací. Evropské orgány dohledu předloží tyto návrhy regulačních technických norem Komisi do 17. ledna 2024.

Na Komisi je přenesena pravomoc doplnit toto nařízení přijetím regulačních technických norem uvedených v prvním pododstavci v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

Článek 29

Předběžné posouzení rizika koncentrace IKT na úrovni subjektu

1.   Finanční subjekty při identifikaci a posuzování rizik uvedených v čl. 28 odst. 4 písm. c) rovněž zohlední, zda by plánované uzavření smluvního ujednání souvisejícího se službami IKT podporujícími zásadní nebo důležité funkce způsobilo jakoukoli z těchto situací:

| a) | uzavření smlouvy s poskytovatelem služeb IKT z řad třetích stran, kterou není snadné nahradit; nebo |
| --- | --- |

a)

uzavření smlouvy s poskytovatelem služeb IKT z řad třetích stran, kterou není snadné nahradit; nebo

| b) | uzavření více smluvních ujednání týkajících se poskytování služeb IKT podporujících zásadní nebo důležité funkce se stejným poskytovatelem služeb IKT z řad třetích stran nebo s úzce propojenými poskytovateli služeb IKT z řad třetích stran. |
| --- | --- |

b)

uzavření více smluvních ujednání týkajících se poskytování služeb IKT podporujících zásadní nebo důležité funkce se stejným poskytovatelem služeb IKT z řad třetích stran nebo s úzce propojenými poskytovateli služeb IKT z řad třetích stran.

Finanční subjekty zváží přínosy a náklady alternativních řešení, například využití jiných poskytovatelů služeb IKT z řad třetích stran, přičemž zohlední, zda a jak předpokládaná řešení odpovídají požadavkům obchodní činnosti a cílům stanoveným v jejich strategii digitální odolnosti.

2.   Obsahují-li smluvní ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce možnost, aby poskytovatel služeb IKT z řad třetích stran zajišťoval služby IKT podporující zásadní nebo důležitou funkci prostřednictvím subdodávek od jiných poskytovatelů služeb IKT z řad třetích stran, finanční subjekty zváží výhody a rizika, jež mohou vzniknout v souvislosti s tímto využitím subdodavatele IKT, zejména je-li tento subdodavatel IKT usazen ve třetí zemi.

Týkají-li se smluvní ujednání služeb IKT podporujících zásadní nebo důležité funkce, finanční subjekty řádně zváží ustanovení insolvenčního práva, která se uplatní v případě úpadku poskytovatele služeb IKT z řad třetích stran, jakož i veškerá omezení, jež mohou vzniknout při naléhavé obnově dat finančního subjektu.

Pokud jsou smluvní ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce uzavřena s poskytovatelem služeb IKT z řad třetích stran usazeným ve třetí zemi, zváží finanční subjekty kromě aspektů uvedených v druhém pododstavci rovněž dodržování pravidel Unie pro ochranu údajů a účinné vymáhání práva v dané třetí zemi.

Pokud smluvní ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce stanoví subdodávky, finanční subjekty posoudí, zda a jak mohou potenciální dlouhé nebo složité subdodavatelské řetězce ovlivnit jejich schopnost plně sledovat nasmlouvané funkce a schopnost příslušných orgánů provádět v tomto ohledu účinný dohled nad finančním subjektem.

Článek 30

Hlavní smluvní ustanovení

1.   Práva a povinnosti finančního subjektu a poskytovatele služeb IKT z řad třetích stran jsou jasně rozděleny a stanoveny písemně. Úplná smlouva zahrnuje dohody o úrovni služeb a je vyhotovena v jednom písemném dokumentu, který musí být dostupný stranám v papírové podobě, nebo v podobě dokumentu v jiném formátu, který lze stáhnout, je trvalý a přístupný.

2.   Smluvní ujednání o využívání služeb IKT obsahují přinejmenším tyto prvky:

| a) | srozumitelný a úplný popis všech funkcí a služeb IKT dodávaných poskytovatelem služeb IKT z řad třetích stran s uvedením, zda je povoleno zajišťování služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatných součástí subdodavatelem, a v kladném případě podmínky, kterými se toto využití subdodavatele řídí; |
| --- | --- |

a)

srozumitelný a úplný popis všech funkcí a služeb IKT dodávaných poskytovatelem služeb IKT z řad třetích stran s uvedením, zda je povoleno zajišťování služeb IKT podporujících zásadní nebo důležité funkce nebo jejich podstatných součástí subdodavatelem, a v kladném případě podmínky, kterými se toto využití subdodavatele řídí;

| b) | místa, konkrétně regiony nebo země, kde mají být nasmlouvané nebo subdodavatelem zajišťované funkce a služby IKT poskytovány a kde mají být zpracovávána data, včetně místa jejich uchovávání, a povinnost poskytovatele služeb IKT z řad třetích stran oznámit finančnímu subjektu předem, plánuje-li změnu těchto míst; |
| --- | --- |

b)

místa, konkrétně regiony nebo země, kde mají být nasmlouvané nebo subdodavatelem zajišťované funkce a služby IKT poskytovány a kde mají být zpracovávána data, včetně místa jejich uchovávání, a povinnost poskytovatele služeb IKT z řad třetích stran oznámit finančnímu subjektu předem, plánuje-li změnu těchto míst;

| c) | ustanovení týkající se dostupnosti, hodnověrnosti, integrity a důvěrnosti, pokud jde o ochranu údajů, včetně osobních údajů; |
| --- | --- |

c)

ustanovení týkající se dostupnosti, hodnověrnosti, integrity a důvěrnosti, pokud jde o ochranu údajů, včetně osobních údajů;

| d) | ustanovení o zajištění přístupu, obnovy a vrácení ve snadno přístupném formátu osobních a jiných než osobních údajů zpracovávaných finančním subjektem v případě platební neschopnosti, řešení krize nebo přerušení činností poskytovatele služeb IKT z řad třetích stran nebo v případě ukončení smluvních ujednání; |
| --- | --- |

d)

ustanovení o zajištění přístupu, obnovy a vrácení ve snadno přístupném formátu osobních a jiných než osobních údajů zpracovávaných finančním subjektem v případě platební neschopnosti, řešení krize nebo přerušení činností poskytovatele služeb IKT z řad třetích stran nebo v případě ukončení smluvních ujednání;

| e) | popis úrovně služeb, včetně aktualizací a revizí; |
| --- | --- |

e)

popis úrovně služeb, včetně aktualizací a revizí;

| f) | povinnost poskytovatele služeb IKT z řad třetích stran poskytnout finančnímu subjektu pomoc bez dodatečných nákladů nebo za náklady, které jsou stanoveny ex ante, dojde-li k incidentu v oblasti IKT, který souvisí se službou IKT poskytovanou finančnímu subjektu; |
| --- | --- |

f)

povinnost poskytovatele služeb IKT z řad třetích stran poskytnout finančnímu subjektu pomoc bez dodatečných nákladů nebo za náklady, které jsou stanoveny ex ante, dojde-li k incidentu v oblasti IKT, který souvisí se službou IKT poskytovanou finančnímu subjektu;

| g) | povinnost poskytovatele služeb IKT z řad třetích stran plně spolupracovat s příslušnými orgány a s orgány příslušnými k řešení krize finančního subjektu, včetně osob jimi jmenovaných; |
| --- | --- |

g)

povinnost poskytovatele služeb IKT z řad třetích stran plně spolupracovat s příslušnými orgány a s orgány příslušnými k řešení krize finančního subjektu, včetně osob jimi jmenovaných;

| h) | práva na ukončení smlouvy a související minimální výpovědní lhůty pro ukončení smluvních ujednání v souladu s očekáváními příslušných orgánů a orgánů příslušných k řešení krize; |
| --- | --- |

h)

práva na ukončení smlouvy a související minimální výpovědní lhůty pro ukončení smluvních ujednání v souladu s očekáváními příslušných orgánů a orgánů příslušných k řešení krize;

| i) | podmínky pro účast poskytovatele služeb IKT z řad třetích stran na programech zvyšování povědomí o bezpečnosti v oblasti IKT a školeních o digitální provozní odolnosti finančních subjektů v souladu s čl. 13 odst. 6. |
| --- | --- |

i)

podmínky pro účast poskytovatele služeb IKT z řad třetích stran na programech zvyšování povědomí o bezpečnosti v oblasti IKT a školeních o digitální provozní odolnosti finančních subjektů v souladu s čl. 13 odst. 6.

3.   Smluvní ujednání o využívání služeb IKT podporujících zásadní nebo důležité funkce zahrnují kromě prvků uvedených v odstavci 2 alespoň:

| a) | úplný popis úrovně služeb, včetně jejich aktualizací a revizí, a přesné kvalitativní i kvantitativní výkonnostní cíle v rámci sjednaných úrovní služeb umožňující účinné sledování služeb IKT finančním subjektem a neprodlené přijetí vhodných kroků k nápravě, nejsou-li sjednané úrovně služeb splněny; |
| --- | --- |

a)

úplný popis úrovně služeb, včetně jejich aktualizací a revizí, a přesné kvalitativní i kvantitativní výkonnostní cíle v rámci sjednaných úrovní služeb umožňující účinné sledování služeb IKT finančním subjektem a neprodlené přijetí vhodných kroků k nápravě, nejsou-li sjednané úrovně služeb splněny;

| b) | výpovědní lhůty a povinnosti hlášení poskytovatele služeb IKT z řad třetích stran finančnímu subjektu, včetně oznámení jakéhokoli vývoje, který by mohl mít významný dopad na schopnost poskytovatele služeb IKT z řad třetích stran účinně poskytovat služby IKT podporující zásadní nebo důležité funkce v souladu se sjednanými úrovněmi služeb; |
| --- | --- |

b)

výpovědní lhůty a povinnosti hlášení poskytovatele služeb IKT z řad třetích stran finančnímu subjektu, včetně oznámení jakéhokoli vývoje, který by mohl mít významný dopad na schopnost poskytovatele služeb IKT z řad třetích stran účinně poskytovat služby IKT podporující zásadní nebo důležité funkce v souladu se sjednanými úrovněmi služeb;

| c) | povinnosti poskytovatele služeb IKT z řad třetích stran uplatňovat a testovat plány zachování provozu a mít bezpečnostní opatření, nástroje a politiky v oblasti IKT, jež zajistí odpovídající úroveň bezpečnosti poskytování služeb finančním subjektem v souladu s jeho regulačním rámcem; |
| --- | --- |

c)

povinnosti poskytovatele služeb IKT z řad třetích stran uplatňovat a testovat plány zachování provozu a mít bezpečnostní opatření, nástroje a politiky v oblasti IKT, jež zajistí odpovídající úroveň bezpečnosti poskytování služeb finančním subjektem v souladu s jeho regulačním rámcem;

| d) | povinnost poskytovatele služeb IKT z řad třetích stran účastnit se penetračního testování na základě hrozeb finančního subjektu a plně na něm spolupracovat, jak je uvedeno v článcích 26 a 27; |
| --- | --- |

d)

povinnost poskytovatele služeb IKT z řad třetích stran účastnit se penetračního testování na základě hrozeb finančního subjektu a plně na něm spolupracovat, jak je uvedeno v článcích 26 a 27;

| e) | právo nepřetržitě sledovat výsledky poskytovatele služeb IKT z řad třetích stran, které zahrnuje:






  i) | neomezené právo na přístup, kontrolu a audit vykonávané finančním subjektem nebo určenou třetí stranou a příslušným orgánem a právo pořizovat kopie příslušné dokumentace na místě, pokud jsou zásadní z hlediska provozu poskytovatele služeb IKT z řad třetích stran, přičemž účinný výkon těchto práv nesmí být znemožňován či omezován jinými smluvními ujednáními nebo prováděcími politikami; |
| --- | --- | --- |

e)

právo nepřetržitě sledovat výsledky poskytovatele služeb IKT z řad třetích stran, které zahrnuje:

i)

neomezené právo na přístup, kontrolu a audit vykonávané finančním subjektem nebo určenou třetí stranou a příslušným orgánem a právo pořizovat kopie příslušné dokumentace na místě, pokud jsou zásadní z hlediska provozu poskytovatele služeb IKT z řad třetích stran, přičemž účinný výkon těchto práv nesmí být znemožňován či omezován jinými smluvními ujednáními nebo prováděcími politikami;

| ii) | právo sjednat alternativní úroveň záruky, budou-li dotčena práva jiných klientů; |
| --- | --- |

ii)

právo sjednat alternativní úroveň záruky, budou-li dotčena práva jiných klientů;

| iii) | povinnost poskytovatele služeb IKT z řad třetích stran plně spolupracovat při kontrolách na místě a auditech prováděných příslušnými orgány, hlavním orgánem dohledu, finančním subjektem nebo určenou třetí stranou, a |
| --- | --- |

iii)

povinnost poskytovatele služeb IKT z řad třetích stran plně spolupracovat při kontrolách na místě a auditech prováděných příslušnými orgány, hlavním orgánem dohledu, finančním subjektem nebo určenou třetí stranou, a

| iv) | povinnost poskytnout podrobnosti o rozsahu, postupech, které je třeba uplatňovat, a četnosti těchto kontrol a auditů; |
| --- | --- |

iv)

povinnost poskytnout podrobnosti o rozsahu, postupech, které je třeba uplatňovat, a četnosti těchto kontrol a auditů;

| f) | strategie ukončení smluvního vztahu, zejména stanovení povinného přiměřeného přechodného období:






  i) | během kterého bude poskytovatel služeb IKT z řad třetích stran za účelem snížení rizika výpadku u finančního subjektu nebo zajištění účinného řešení a restrukturalizace nadále poskytovat příslušné funkce nebo služby IKT; |
| --- | --- | --- |

f)

strategie ukončení smluvního vztahu, zejména stanovení povinného přiměřeného přechodného období:

i)

během kterého bude poskytovatel služeb IKT z řad třetích stran za účelem snížení rizika výpadku u finančního subjektu nebo zajištění účinného řešení a restrukturalizace nadále poskytovat příslušné funkce nebo služby IKT;

| ii) | umožňujícího finančnímu subjektu přejít k jinému poskytovateli služeb IKT z řad třetích stran, nebo přistoupit k vlastnímu řešení odpovídajícímu složitosti poskytované služby. |
| --- | --- |

ii)

umožňujícího finančnímu subjektu přejít k jinému poskytovateli služeb IKT z řad třetích stran, nebo přistoupit k vlastnímu řešení odpovídajícímu složitosti poskytované služby.

Odchylně od písmene e) se poskytovatel služeb IKT z řad třetích stran a finanční subjekt, který je mikropodnikem, mohou dohodnout, že práva finančního subjektu na přístup, kontrolu a audit mohou být přenesena na nezávislou třetí stranu určenou poskytovatelem služeb IKT z řad třetích stran a že finanční subjekt může od této třetí strany kdykoli požadovat informace a ujištění o výkonu poskytovatele služeb IKT z řad třetích stran.

4.   Finanční subjekty a poskytovatelé služeb IKT z řad třetích stran při vyjednávání o smluvních ujednáních zváží použití standardních smluvních doložek vypracovaných veřejnými orgány pro konkrétní služby.

5.   Evropské orgány dohledu vypracují prostřednictvím společného výboru návrhy regulačních technických norem k dalšímu upřesnění prvků uvedených v odst. 2 písm. a), které musí finanční subjekt určit a posoudit při subdodávkách služeb IKT podporujících zásadní nebo důležité funkce.

Při vypracovávání těchto návrhů regulačních technických norem evropské orgány dohledu zohlední velikost a celkový rizikový profil finančního subjektu a povahu, rozsah a složitost jeho služeb, činností a operací.

Evropské orgány dohledu předloží tyto návrhy regulačních technických norem Komisi do 17. července 2024.

Na Komisi je přenesena pravomoc doplnit toto nařízení přijetím regulačních technických norem uvedených v prvním pododstavci v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

Oddíl II

Rámec dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran

Článek 31

Určení kritických poskytovatelů služeb IKT z řad třetích stran

1.   Evropské orgány dohledu prostřednictvím společného výboru a na základě doporučení fóra dohledu zřízeného podle čl. 32 odst. 1:

| a) | určí poskytovatele služeb IKT z řad třetích stran, kteří jsou kritičtí pro finanční subjekty, a to na základě posouzení, v jehož rámci zohlední kritéria podle odstavce 2; |
| --- | --- |

a)

určí poskytovatele služeb IKT z řad třetích stran, kteří jsou kritičtí pro finanční subjekty, a to na základě posouzení, v jehož rámci zohlední kritéria podle odstavce 2;

| b) | jmenují hlavním orgánem dohledu pro jednotlivé kritické poskytovatele služeb IKT z řad třetích stran evropský orgán dohledu, který je v souladu s nařízeními (EU) č. 1093/2010, (EU) č. 1094/2010 nebo (EU) č. 1095/2010 odpovědný za finanční subjekty, jež mají dohromady největší podíl celkových aktiv z hodnoty celkových aktiv všech finančních subjektů, které využívají služeb příslušného kritického poskytovatele služeb IKT z řad třetích stran, jak je doloženo souhrnem jednotlivých účetních závěrek daných finančních subjektů. |
| --- | --- |

b)

jmenují hlavním orgánem dohledu pro jednotlivé kritické poskytovatele služeb IKT z řad třetích stran evropský orgán dohledu, který je v souladu s nařízeními (EU) č. 1093/2010, (EU) č. 1094/2010 nebo (EU) č. 1095/2010 odpovědný za finanční subjekty, jež mají dohromady největší podíl celkových aktiv z hodnoty celkových aktiv všech finančních subjektů, které využívají služeb příslušného kritického poskytovatele služeb IKT z řad třetích stran, jak je doloženo souhrnem jednotlivých účetních závěrek daných finančních subjektů.

2.   Určení uvedené v odst. 1 písm. a) vychází ze všech následujících kritérií ve vztahu ke službám IKT poskytovaným poskytovatelem služeb IKT z řad třetích stran:

| a) | systémový dopad na stabilitu, kontinuitu nebo kvalitu poskytování finančních služeb v případě, že bude příslušný poskytovatel služeb IKT z řad třetích stran čelit rozsáhlému provoznímu výpadku poskytování svých služeb, přičemž se zohlední počet finančních subjektů a celková hodnota aktiv finančních subjektů, kterým příslušný poskytovatel služeb IKT z řad třetích stran poskytuje své služby; |
| --- | --- |

a)

systémový dopad na stabilitu, kontinuitu nebo kvalitu poskytování finančních služeb v případě, že bude příslušný poskytovatel služeb IKT z řad třetích stran čelit rozsáhlému provoznímu výpadku poskytování svých služeb, přičemž se zohlední počet finančních subjektů a celková hodnota aktiv finančních subjektů, kterým příslušný poskytovatel služeb IKT z řad třetích stran poskytuje své služby;

| b) | systémová povaha či význam finančních subjektů, které spoléhají na příslušného poskytovatele služeb IKT z řad třetích stran, na základě posouzení podle následujících parametrů:






  i) | počet globálních systémově významných institucí (G-SVI) nebo jiných systémově významných institucí (J-SVI), které spoléhají na daného poskytovatele služeb IKT z řad třetích stran; |
| --- | --- | --- |

b)

systémová povaha či význam finančních subjektů, které spoléhají na příslušného poskytovatele služeb IKT z řad třetích stran, na základě posouzení podle následujících parametrů:

i)

počet globálních systémově významných institucí (G-SVI) nebo jiných systémově významných institucí (J-SVI), které spoléhají na daného poskytovatele služeb IKT z řad třetích stran;

| ii) | vzájemná závislost mezi G-SVI nebo J-SVI uvedenými v bodě i) a dalšími finančními subjekty, včetně situací, kdy G-SVI nebo J-SVI poskytují služby finanční infrastruktury dalším finančním subjektům; |
| --- | --- |

ii)

vzájemná závislost mezi G-SVI nebo J-SVI uvedenými v bodě i) a dalšími finančními subjekty, včetně situací, kdy G-SVI nebo J-SVI poskytují služby finanční infrastruktury dalším finančním subjektům;

| c) | spoléhání finančních subjektů na služby dodávané příslušným poskytovatelem služeb IKT z řad třetích stran v souvislosti se zásadními nebo důležitými funkcemi finančních subjektů, které v konečném důsledku zahrnují zapojení stejného poskytovatele služeb IKT z řad třetích stran bez ohledu na to, zda finanční subjekty využívají tyto služby přímo či nepřímo prostřednictvím subdodavatelských ujednání; |
| --- | --- |

c)

spoléhání finančních subjektů na služby dodávané příslušným poskytovatelem služeb IKT z řad třetích stran v souvislosti se zásadními nebo důležitými funkcemi finančních subjektů, které v konečném důsledku zahrnují zapojení stejného poskytovatele služeb IKT z řad třetích stran bez ohledu na to, zda finanční subjekty využívají tyto služby přímo či nepřímo prostřednictvím subdodavatelských ujednání;

| d) | míra nahraditelnosti poskytovatele služeb IKT z řad třetích stran s přihlédnutím k těmto parametrům:






  i) | nedostatek, i částečný, reálných alternativ vzhledem k omezenému počtu poskytovatelů služeb IKT z řad třetích stran aktivně působících na konkrétním trhu, podíl příslušného poskytovatele služeb IKT z řad třetích stran na trhu nebo technická složitost či sofistikovanost služeb, též v souvislosti s jakoukoli chráněnou technologií, nebo specifické vlastnosti organizace či činnosti poskytovatele služeb IKT z řad třetích stran; |
| --- | --- | --- |

d)

míra nahraditelnosti poskytovatele služeb IKT z řad třetích stran s přihlédnutím k těmto parametrům:

i)

nedostatek, i částečný, reálných alternativ vzhledem k omezenému počtu poskytovatelů služeb IKT z řad třetích stran aktivně působících na konkrétním trhu, podíl příslušného poskytovatele služeb IKT z řad třetích stran na trhu nebo technická složitost či sofistikovanost služeb, též v souvislosti s jakoukoli chráněnou technologií, nebo specifické vlastnosti organizace či činnosti poskytovatele služeb IKT z řad třetích stran;

| ii) | potíže související s částečnou či úplnou migrací relevantních dat a pracovních úkolů při přechodu od příslušného poskytovatele služeb IKT z řad třetích stran k jinému poskytovateli služeb IKT z řad třetích stran buď kvůli vysokým finančním nákladům, času nebo jiným zdrojům, jež může proces migrace vyžadovat, nebo kvůli zvýšenému riziku v oblasti IKT či jiným operačním rizikům, jimž může být finanční subjekt během této migrace vystaven. |
| --- | --- |

ii)

potíže související s částečnou či úplnou migrací relevantních dat a pracovních úkolů při přechodu od příslušného poskytovatele služeb IKT z řad třetích stran k jinému poskytovateli služeb IKT z řad třetích stran buď kvůli vysokým finančním nákladům, času nebo jiným zdrojům, jež může proces migrace vyžadovat, nebo kvůli zvýšenému riziku v oblasti IKT či jiným operačním rizikům, jimž může být finanční subjekt během této migrace vystaven.

3.   Je-li poskytovatel služeb IKT z řad třetích stran součástí skupiny, kritéria uvedená v odstavci 2 se uplatňují na služby IKT poskytované danou skupinou jako celkem.

4.   Kritičtí poskytovatelé služeb IKT z řad třetích stran, kteří jsou součástí skupiny, určí jednu právnickou osobu jako koordinátora, aby bylo zajištěno odpovídající zastoupení a komunikace s hlavním orgánem dohledu.

5.   Hlavní orgán dohledu oznámí poskytovateli služeb IKT z řad třetích stran výsledek posouzení vedoucího k určení podle odst. 1 písm. a). Do šesti týdnů ode dne oznámení může poskytovatel služeb IKT z řad třetích stran předložit hlavnímu orgánu dohledu odůvodněné prohlášení s veškerými relevantními informacemi pro účely posouzení. Hlavní orgán dohledu odůvodněné prohlášení zváží a může požádat o předložení doplňujících informací do 30 kalendářních dnů od jeho obdržení.

Poté, co byl některý poskytovatel služeb IKT z řad třetích stran určen jako kritický, evropské orgány dohledu prostřednictvím společného výboru oznámí tuto skutečnost a počáteční datum, od kterého se na něj budou vztahovat činnosti v oblasti dohledu, tomuto poskytovateli. Toto počáteční datum nastane do jednoho měsíce po oznámení. O tom, že byl určen jako kritický, informuje daný poskytovatel služeb IKT z řad třetích stran finanční subjekty, kterým poskytuje služby.

6.   Komisi je svěřena pravomoc přijmout do 17. července 2024 akt v přenesené pravomoci v souladu s článkem 57, kterým toto nařízení doplní dalším upřesněním kritérií uvedených v odstavci 2 tohoto článku.

7.   Určování podle odst. 1 písm. a) se neuskuteční, dokud Komise nepřijme akt v přenesené pravomoci podle odstavce 6.

8.   Určování podle odst. 1 písm. a) se nevztahuje na:

| i) | finanční subjekty poskytující služby IKT jiným finančním subjektům; |
| --- | --- |

i)

finanční subjekty poskytující služby IKT jiným finančním subjektům;

| ii) | poskytovatele služeb IKT z řad třetích stran, kteří podléhají rámci dohledu stanovenému pro účely podpory úkolů uvedených v čl. 127 odst. 2 Smlouvy o fungování EU; |
| --- | --- |

ii)

poskytovatele služeb IKT z řad třetích stran, kteří podléhají rámci dohledu stanovenému pro účely podpory úkolů uvedených v čl. 127 odst. 2 Smlouvy o fungování EU;

| iii) | poskytovatele služeb IKT v rámci skupiny; |
| --- | --- |

iii)

poskytovatele služeb IKT v rámci skupiny;

| iv) | poskytovatele služeb IKT z řad třetích stran, kteří poskytují služby IKT pouze v jednom členském státě finančním subjektům, jež působí pouze v daném členském státě. |
| --- | --- |

iv)

poskytovatele služeb IKT z řad třetích stran, kteří poskytují služby IKT pouze v jednom členském státě finančním subjektům, jež působí pouze v daném členském státě.

9.   Evropské orgány dohledu prostřednictvím společného výboru vypracují, zveřejní a každoročně aktualizují seznam kritických poskytovatelů služeb IKT z řad třetích stran na úrovni Unie.

10.   Příslušné orgány pro účely odst. 1 písm. a) každoročně a na agregovaném základě zašlou zprávy podle čl. 28 odst. 3 třetího pododstavce fóru dohledu vytvořenému v souladu s článkem 32. Fórum dohledu posoudí na základě informací obdržených od příslušných orgánů závislost finančních subjektů na třetích stranách poskytujících služby IKT.

11.   Poskytovatelé služeb IKT z řad třetích stran, kteří nejsou uvedeni na seznamu podle odstavce 9, mohou požádat o to, aby byli určeni jakožto kritičtí podle odst. 1 písm. a).

Poskytovatel služeb IKT z řad třetích stran pro účely prvního pododstavce předloží odůvodněnou žádost EBA, ESMA nebo EIOPA, které prostřednictvím společného výboru rozhodnou, zda tohoto poskytovatele služeb IKT z řad třetích stran určí jakožto kritického podle odst. 1 písm. a).

Rozhodnutí uvedené ve druhém pododstavci se přijme a oznámí dotčenému poskytovateli služeb IKT z řad třetích stran do šesti měsíců od obdržení žádosti.

12.   Finanční subjekty mohou využívat služby poskytovatele služeb IKT z řad třetích stran usazeného ve třetí zemi, který byl určen za kritického podle odst. 1 písm. a), pouze pokud tento poskytovatel založí dceřiný podnik v Unii do 12 měsíců od daného určení.

13.   Kritický poskytovatel služeb IKT z řad třetích stran uvedený v odstavci 12 oznámí hlavnímu orgánu dohledu jakékoli změny ve struktuře vedení svého dceřiného podniku založeného v Unii.

Článek 32

Struktura rámce dohledu

1.   Společný výbor v souladu s čl. 57 odst. 1 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010 vytvoří fórum dohledu jako podvýbor pro účely podpory pracovních úkolů společného výboru a hlavního orgánu dohledu podle čl. 31 odst. 1 písm. b), co se týče rizika v oblasti IKT spojeného s třetími stranami ve všech finančních odvětvích. Fórum dohledu připravuje návrhy společných stanovisek a společných aktů společného výboru v této oblasti.

Fórum dohledu pravidelně jedná o relevantním vývoji v oblasti rizika a zranitelností v oblasti IKT a podporuje soudržný přístup ke sledování rizika v oblasti IKT spojeného s třetími stranami na úrovni Unie.

2.   Fórum dohledu provede každý rok společné posouzení výsledků a zjištění dohledových činností prováděných pro všechny kritické poskytovatele služeb IKT z řad třetích stran a podporuje koordinační opatření ke zvýšení digitální provozní odolnosti finančních subjektů a osvědčené postupy pro řešení rizika koncentrace IKT a zkoumá zmírňující opatření u šíření rizika mezi odvětvími.

3.   Fórum dohledu předloží komplexní referenční hodnoty pro kritické poskytovatele služeb IKT z řad třetích stran, které společný výbor schválí jako společná stanoviska evropských orgánů dohledu v souladu s čl. 56 prvním pododstavcem nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

4.   Fórum dohledu tvoří:

| a) | předsedové evropských orgánů dohledu; |
| --- | --- |

a)

předsedové evropských orgánů dohledu;

| b) | jeden zástupce na vysoké úrovni z řad stávajících zaměstnanců relevantního příslušného orgánu uvedeného v článku 46 z každého členského státu; |
| --- | --- |

b)

jeden zástupce na vysoké úrovni z řad stávajících zaměstnanců relevantního příslušného orgánu uvedeného v článku 46 z každého členského státu;

| c) | výkonní ředitelé jednotlivých evropských orgánů dohledu a po jednom zástupci z Komise, ESRB, ECB a ENISA jako pozorovatelé; |
| --- | --- |

c)

výkonní ředitelé jednotlivých evropských orgánů dohledu a po jednom zástupci z Komise, ESRB, ECB a ENISA jako pozorovatelé;

| d) | případně jeden další zástupce příslušného orgánu uvedeného v článku 46 z každého členského státu jako pozorovatel; |
| --- | --- |

d)

případně jeden další zástupce příslušného orgánu uvedeného v článku 46 z každého členského státu jako pozorovatel;

| e) | případně jakožto pozorovatel jeden zástupce příslušných orgánů určených nebo zřízených v souladu se směrnicí (EU) 2022/2555, které jsou odpovědné za dohled nad zásadním nebo důležitým subjektem podléhajícím uvedené směrnici, který byl určen jako kritický poskytovatel služeb IKT z řad třetích stran. |
| --- | --- |

e)

případně jakožto pozorovatel jeden zástupce příslušných orgánů určených nebo zřízených v souladu se směrnicí (EU) 2022/2555, které jsou odpovědné za dohled nad zásadním nebo důležitým subjektem podléhajícím uvedené směrnici, který byl určen jako kritický poskytovatel služeb IKT z řad třetích stran.

Fórum dohledu může ve vhodných případech požádat o radu nezávislé odborníky jmenované v souladu s odstavcem 6.

5.   Každý členský stát určí relevantní příslušný orgán, z řad jehož zaměstnanců je určen zástupce na vysoké úrovni podle odst. 4 prvního pododstavce písm. b), a informuje o tom hlavní orgán dohledu.

Evropské orgány dohledu zveřejní na svých internetových stránkách seznam zástupců na vysoké úrovni z řad stávajících zaměstnanců relevantních příslušných orgánů určených členskými státy.

6.   Nezávislé odborníky uvedené v odst. 4 druhém pododstavci jmenuje fórum dohledu ze skupiny odborníků vybraných na základě veřejného a transparentního postupu výběru uchazečů.

Tito nezávislí odborníci jsou jmenováni na základě svých odborných znalostí v oblasti finanční stability, digitální provozní odolnosti a otázek bezpečnosti IKT. Jednají nezávisle a objektivně ve výlučném zájmu Unie jako celku a nevyžadují ani nepřijímají pokyny od orgánů či institucí Unie, od vlád členských států ani od jiných veřejných či soukromých subjektů.

7.   V souladu s článkem 16 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010 evropské orgány dohledu do 17. července 2024 vydají pro účely tohoto oddílu pokyny pro spolupráci mezi evropskými orgány dohledu a příslušnými orgány týkající se podrobných postupů a podmínek pro rozdělování a výkon úkolů mezi příslušnými orgány a evropskými orgány dohledu a podrobností o výměně informací, jež příslušné orgány potřebují k zajištění dodržování doporučení podle čl. 35 odst. 1 písm. d) určených kritickým poskytovatelům služeb IKT z řad třetích stran.

8.   Požadavky stanovenými v tomto oddíle není dotčeno uplatňování směrnice (EU) 2022/2555 ani dalších předpisů Unie týkajících se dohledu nad poskytovateli cloudových služeb.

9.   Evropské orgány dohledu prostřednictvím společného výboru a na základě přípravných prací realizovaných fórem dohledu každoročně předkládají Evropskému parlamentu, Radě a Komisi zprávu o uplatňování tohoto oddílu.

Článek 33

Úkoly hlavního orgánu dohledu

1.   Hlavní orgán dohledu jmenovaný v souladu s čl. 31 odst. 1 písm. b) vykonává dohled nad přidělenými kritickými poskytovateli služeb IKT z řad třetích stran a je pro účely všech záležitostí souvisejících s dohledem hlavním kontaktním místem pro tyto kritické poskytovatele služeb IKT z řad třetích stran.

2.   Pro účely odstavce 1 hlavní orgán dohledu posoudí, zda jednotliví kritičtí poskytovatelé služeb IKT z řad třetích stran zavedli komplexní, jasná a účinná pravidla, postupy, mechanismy a ujednání pro řízení rizika v oblasti IKT, které mohou představovat pro finanční subjekty.

Posouzení uvedené v prvním pododstavci se zaměří především na služby IKT poskytované kritickým poskytovatelem služeb IKT z řad třetích stran, které podporují zásadní nebo důležité funkce finančních subjektů. Je-li to nezbytné pro řešení všech relevantních rizik, toto posouzení se rozšíří na služby IKT podporující jiné než zásadní nebo důležité funkce.

3.   Posouzení uvedené v odstavci 2 se vztahuje na:

| a) | požadavky v oblasti IKT k zajištění zejména bezpečnosti, dostupnosti, kontinuity, škálovatelnosti a kvality služeb, které kritický poskytovatel služeb IKT z řad třetích stran dodává finančním subjektům, jakož i schopnost nepřetržitě dodržovat vysoké standardy pro dostupnost, hodnověrnost, integritu a důvěrnost, údajů; |
| --- | --- |

a)

požadavky v oblasti IKT k zajištění zejména bezpečnosti, dostupnosti, kontinuity, škálovatelnosti a kvality služeb, které kritický poskytovatel služeb IKT z řad třetích stran dodává finančním subjektům, jakož i schopnost nepřetržitě dodržovat vysoké standardy pro dostupnost, hodnověrnost, integritu a důvěrnost, údajů;

| b) | fyzické zabezpečení přispívající k zajištění bezpečnosti v oblasti IKT, včetně zabezpečení prostor, zařízení a datových center; |
| --- | --- |

b)

fyzické zabezpečení přispívající k zajištění bezpečnosti v oblasti IKT, včetně zabezpečení prostor, zařízení a datových center;

| c) | procesy řízení rizika, včetně politik pro řízení rizika v oblasti IKT, politiky zachování provozu IKT a plánů reakce a obnovy v oblasti IKT; |
| --- | --- |

c)

procesy řízení rizika, včetně politik pro řízení rizika v oblasti IKT, politiky zachování provozu IKT a plánů reakce a obnovy v oblasti IKT;

| d) | systém správy a řízení, včetně organizační struktury s jasným, transparentním a konzistentním rozdělením odpovědnosti a pravidly odpovědnosti umožňující účinné řízení rizika v oblasti IKT; |
| --- | --- |

d)

systém správy a řízení, včetně organizační struktury s jasným, transparentním a konzistentním rozdělením odpovědnosti a pravidly odpovědnosti umožňující účinné řízení rizika v oblasti IKT;

| e) | identifikaci, sledování a rychlé hlášení významných incidentů souvisejících s IKT finančním subjektům a řízení a řešení těchto incidentů, zejména kybernetických útoků; |
| --- | --- |

e)

identifikaci, sledování a rychlé hlášení významných incidentů souvisejících s IKT finančním subjektům a řízení a řešení těchto incidentů, zejména kybernetických útoků;

| f) | mechanismus pro přenositelnost dat a přenositelnost a interoperabilitu aplikací, který zajistí účinný výkon práv finančních subjektů na vypovězení smlouvy; |
| --- | --- |

f)

mechanismus pro přenositelnost dat a přenositelnost a interoperabilitu aplikací, který zajistí účinný výkon práv finančních subjektů na vypovězení smlouvy;

| g) | testování systémů, infrastruktury a kontrol v oblasti IKT; |
| --- | --- |

g)

testování systémů, infrastruktury a kontrol v oblasti IKT;

| h) | audity v oblasti IKT; |
| --- | --- |

h)

audity v oblasti IKT;

| i) | použití příslušných vnitrostátních a mezinárodních norem vztahujících se na poskytování služeb IKT daného kritického poskytovatele služeb IKT z řad třetích stran finančním subjektům. |
| --- | --- |

i)

použití příslušných vnitrostátních a mezinárodních norem vztahujících se na poskytování služeb IKT daného kritického poskytovatele služeb IKT z řad třetích stran finančním subjektům.

4.   Na základě posouzení uvedeného v odstavci 2 a v koordinaci se společnou sítí dohledu uvedenou v čl. 34 odst. 1 přijme hlavní orgán dohledu jasný, podrobný a odůvodněný individuální plán dohledu popisující roční cíle v oblasti dohledu a hlavní opatření v oblasti dohledu plánovaná pro každého kritického poskytovatele služeb IKT z řad třetích stran. Tento plán je každoročně předkládán kritickému poskytovateli služeb IKT z řad třetích stran.

Před přijetím plánu dohledu hlavní orgán dohledu předloží jeho návrh kritickému poskytovateli služeb IKT z řad třetích stran.

Po obdržení návrhu plánu dohledu může kritický poskytovatel služeb IKT z řad třetích stran do 15 kalendářních dnů předložit odůvodněné prohlášení dokládající očekávaný dopad na zákazníky, kteří jsou subjekty mimo oblast působnosti tohoto nařízení, a případně formulovat řešení ke zmírnění rizik.

5.   Po přijetí ročních plánů dohledu uvedených v odstavci 4 a jejich oznámení kritickým poskytovatelům služeb IKT z řad třetích stran mohou příslušné orgány přijímat opatření týkající se takových kritických poskytovatelů služeb IKT z řad třetích stran pouze po dohodě s hlavním orgánem dohledu.

Článek 34

Operativní koordinace mezi hlavními orgány dohledu

1.   Za účelem zajištění jednotného přístupu k dohledovým činnostem a umožnění koordinovaných obecných strategií dohledu a soudržných operativních přístupů a metodik práce tři hlavní orgány dohledu jmenované v souladu s čl. 31 odst. 1 písm. b) zřídí společnou síť dohledu, aby mohly mezi sebou koordinovat činnost v přípravných fázích a koordinovat provádění dohledu nad svými příslušnými kritickými poskytovateli služeb IKT z řad třetích stran, jakož i během jakýchkoli kroků, které může být nutno učinit podle článku 42.

2.   Pro účely odstavce 1 vypracují hlavní orgány dohledu společný protokol o dohledu, který stanoví podrobné postupy pro provádění každodenní koordinace a pro zajištění rychlých výměn a reakcí. Protokol je pravidelně revidován tak, aby odrážel operativní potřeby, zejména vývoj praktických opatření v oblasti dohledu.

3.   Hlavní orgány dohledu mohou příležitostně vyzvat ECB a ENISA, aby poskytly technické poradenství, sdílely praktické zkušenosti nebo se účastnily zvláštních koordinačních zasedání společné sítě dohledu.

Článek 35

Pravomoci hlavního orgánu dohledu

1.   Pro účely plnění povinností stanovených v tomto oddíle má hlavní orgán dohledu tyto pravomoci, pokud jde o kritické poskytovatele služeb IKT z řad třetích stran:

| a) | požádat o veškeré relevantní informace a dokumentaci podle článku 37; |
| --- | --- |

a)

požádat o veškeré relevantní informace a dokumentaci podle článku 37;

| b) | provádět obecná šetření podle článku 38 a kontroly podle článku 39; |
| --- | --- |

b)

provádět obecná šetření podle článku 38 a kontroly podle článku 39;

| c) | po dokončení činností dohledu požadovat zprávy, v nichž je uvedeno, jaké kroky či jakou nápravu učinili kritičtí poskytovatelé služeb IKT z řad třetích stran v souvislosti s doporučeními uvedenými v písmenu d) tohoto odstavce; |
| --- | --- |

c)

po dokončení činností dohledu požadovat zprávy, v nichž je uvedeno, jaké kroky či jakou nápravu učinili kritičtí poskytovatelé služeb IKT z řad třetích stran v souvislosti s doporučeními uvedenými v písmenu d) tohoto odstavce;

| d) | vydávat doporučení v oblastech uvedených v čl. 33 odst. 3, zejména pokud jde o:






  i) | použití specifických požadavků či procesů v oblasti bezpečnosti a kvality IKT, zejména s ohledem na provádění dočasných oprav, aktualizací, šifrování a dalších bezpečnostních opatření, která hlavní orgán dohledu považuje za relevantní pro zajištění bezpečnosti služeb IKT poskytovaných finančním subjektům; |
| --- | --- | --- |

d)

vydávat doporučení v oblastech uvedených v čl. 33 odst. 3, zejména pokud jde o:

i)

použití specifických požadavků či procesů v oblasti bezpečnosti a kvality IKT, zejména s ohledem na provádění dočasných oprav, aktualizací, šifrování a dalších bezpečnostních opatření, která hlavní orgán dohledu považuje za relevantní pro zajištění bezpečnosti služeb IKT poskytovaných finančním subjektům;

| ii) | použití smluvních podmínek, včetně jejich technického provádění, za nichž kritičtí poskytovatelé služeb IKT z řad třetích stran poskytují tyto služby finančním subjektům a které hlavní orgán dohledu považuje za relevantní pro prevenci vzniku kritických míst, jejich rozšíření nebo pro minimalizaci možného systémového dopadu na celý finanční sektor Unie v případě rizika koncentrace IKT; |
| --- | --- |

ii)

použití smluvních podmínek, včetně jejich technického provádění, za nichž kritičtí poskytovatelé služeb IKT z řad třetích stran poskytují tyto služby finančním subjektům a které hlavní orgán dohledu považuje za relevantní pro prevenci vzniku kritických míst, jejich rozšíření nebo pro minimalizaci možného systémového dopadu na celý finanční sektor Unie v případě rizika koncentrace IKT;

| iii) | veškeré plánované subdodávky, pokud se hlavní orgán dohledu domnívá, že další subdodávky, včetně subdodavatelských ujednání, která kritičtí poskytovatelé služeb IKT z řad třetích stran hodlají uzavřít s poskytovateli služeb IKT z řad třetích stran nebo se subdodavateli IKT usazenými ve třetí zemi, mohou představovat rizika pro poskytování služeb finančním subjektem nebo ohrozit finanční stabilitu, a to na základě posouzení informací shromážděných v souladu s články 37 a 38; |
| --- | --- |

iii)

veškeré plánované subdodávky, pokud se hlavní orgán dohledu domnívá, že další subdodávky, včetně subdodavatelských ujednání, která kritičtí poskytovatelé služeb IKT z řad třetích stran hodlají uzavřít s poskytovateli služeb IKT z řad třetích stran nebo se subdodavateli IKT usazenými ve třetí zemi, mohou představovat rizika pro poskytování služeb finančním subjektem nebo ohrozit finanční stabilitu, a to na základě posouzení informací shromážděných v souladu s články 37 a 38;

| iv) | neuzavírání dalších ujednání o subdodávkách, jsou-li splněny tyto kumulativní podmínky:






  — | plánovaný subdodavatel je poskytovatelem služeb IKT z řad třetích stran nebo subdodavatelem IKT usazeným ve třetí zemi; |
| --- | --- | --- |

iv)

neuzavírání dalších ujednání o subdodávkách, jsou-li splněny tyto kumulativní podmínky:

—

plánovaný subdodavatel je poskytovatelem služeb IKT z řad třetích stran nebo subdodavatelem IKT usazeným ve třetí zemi;

| — | subdodávky se týkají zásadní nebo důležité funkce finančního subjektu, a |
| --- | --- |

—

subdodávky se týkají zásadní nebo důležité funkce finančního subjektu, a

| — | hlavní orgán dohledu se domnívá, že využívání takových subdodávek představuje jasné a závažné riziko pro finanční stabilitu Unie nebo pro finanční subjekty, včetně schopnosti finančních subjektů plnit požadavky v oblasti dohledu. |
| --- | --- |

—

hlavní orgán dohledu se domnívá, že využívání takových subdodávek představuje jasné a závažné riziko pro finanční stabilitu Unie nebo pro finanční subjekty, včetně schopnosti finančních subjektů plnit požadavky v oblasti dohledu.

Pro účely bodu iv) tohoto písmene předají poskytovatelé služeb IKT z řad třetích stran hlavnímu orgánu dohledu informace týkající se subdodávek a použijí k tomu šablonu uvedenou v čl. 41 odst. 1 písm. b).

2.   Při výkonu pravomocí uvedených v tomto článku hlavní orgán dohledu:

| a) | zajišťuje pravidelnou koordinaci v rámci společné sítě dohledu, a zejména v příslušných případech usiluje o jednotné přístupy, pokud jde o dohled nad kritickými poskytovateli služeb IKT z řad třetích stran; |
| --- | --- |

a)

zajišťuje pravidelnou koordinaci v rámci společné sítě dohledu, a zejména v příslušných případech usiluje o jednotné přístupy, pokud jde o dohled nad kritickými poskytovateli služeb IKT z řad třetích stran;

| b) | náležitě zohlední rámec stanovený směrnicí (EU) 2022/2555 a v případě potřeby konzultuje s relevantními příslušnými orgány určenými nebo zřízenými v souladu s uvedenou směrnicí, aby se zabránilo zdvojování technických a organizačních opatření, která by se mohla podle uvedené směrnice vztahovat na kritické poskytovatele služeb IKT z řad třetích stran; |
| --- | --- |

b)

náležitě zohlední rámec stanovený směrnicí (EU) 2022/2555 a v případě potřeby konzultuje s relevantními příslušnými orgány určenými nebo zřízenými v souladu s uvedenou směrnicí, aby se zabránilo zdvojování technických a organizačních opatření, která by se mohla podle uvedené směrnice vztahovat na kritické poskytovatele služeb IKT z řad třetích stran;

| c) | usiluje o co největší minimalizaci rizika narušení služeb poskytovaných kritickými poskytovateli služeb IKT z řad třetích stran zákazníkům, kteří nejsou subjekty spadajícími do oblasti působnosti tohoto nařízení. |
| --- | --- |

c)

usiluje o co největší minimalizaci rizika narušení služeb poskytovaných kritickými poskytovateli služeb IKT z řad třetích stran zákazníkům, kteří nejsou subjekty spadajícími do oblasti působnosti tohoto nařízení.

3.   Hlavní orgán dohledu před výkonem svých pravomocí podle odstavce 1 konzultuje fórum dohledu.

Před vydáním doporučení v souladu s odst. 1 písm. d) poskytne hlavní orgán dohledu poskytovateli služeb IKT z řad třetích stran příležitost poskytnout do 30 kalendářních dnů relevantní informace dokládající očekávaný dopad na zákazníky, kteří nejsou subjekty spadajícími do oblasti působnosti tohoto nařízení, a případně navrhovat řešení ke zmírnění rizik.

4.   Hlavní orgán dohledu informuje společnou síť dohledu o výsledku výkonu pravomocí uvedených v odst. 1 písm. a) a b). Hlavní orgán dohledu předá zprávy uvedené v odst. 1 písm. c) bez zbytečného odkladu společné síti dohledu a příslušným orgánům finančních subjektů využívajících služby IKT daného kritického poskytovatele služeb IKT z řad třetích stran.

5.   Kritičtí poskytovatelé služeb IKT z řad třetích stran v dobré víře spolupracují s hlavním orgánem dohledu a pomáhají mu při plnění jeho úkolů.

6.   Pokud kritický poskytovatel služeb IKT z řad třetích stran zcela nebo částečně neučiní opatření, která jsou od něj vyžadována v souvislosti s výkonem pravomocí podle odst. 1 písm. a), b) a c), přijme hlavní orgán dohledu po uplynutí lhůty nejméně 30 kalendářních dnů ode dne, kdy kritický poskytovatel služeb IKT z řad třetích stran obdržel oznámení o příslušných opatřeních, rozhodnutí o uložení penále, aby kritického poskytovatele služeb IKT z řad třetích stran přiměl daná opatření dodržovat.

7.   Penále uvedené v odstavci 6 se ukládá na denním základě, dokud není dosaženo souladu s danými opatřeními, avšak nejdéle po dobu šesti měsíců od vyrozumění kritického poskytovatele služeb IKT z řad třetích stran o rozhodnutí uložit penále.

8.   Výše penále vypočítaná ode dne uvedeného v rozhodnutí o uložení penále činí až 1 % průměrného denního celosvětového obratu kritického poskytovatele služeb IKT z řad třetích stran za předchozí účetní období. Při stanovení výše penále zohlední hlavní orgán dohledu tato kritéria týkající se nedodržení opatření uvedených v odstavci 6:

| a) | závažnost a délku trvání nedodržování opatření; |
| --- | --- |

a)

závažnost a délku trvání nedodržování opatření;

| b) | zda k nedodržení opatření došlo úmyslně nebo z nedbalosti; |
| --- | --- |

b)

zda k nedodržení opatření došlo úmyslně nebo z nedbalosti;

| c) | míru spolupráce poskytovatele služeb IKT z řad třetích stran s hlavním orgánem dohledu. |
| --- | --- |

c)

míru spolupráce poskytovatele služeb IKT z řad třetích stran s hlavním orgánem dohledu.

Pro účely prvního pododstavce vede hlavní orgán dohledu v zájmu zajištění jednotného přístupu konzultace se společnou sítí dohledu.

9.   Penále mají správní povahu a jsou vymahatelná. Výkon rozhodnutí se řídí předpisy občanského procesního práva toho členského státu, na jehož území se mají uskutečnit kontroly a přístup. Ohledně stížností souvisejících s nesprávným výkonem rozhodnutí jsou příslušné soudy dotčeného členského státu. Částky penále jsou příjmem souhrnného rozpočtu Evropské unie.

10.   Hlavní orgán dohledu zveřejní každé uložené penále, ledaže by toto zveřejnění vážně ohrozilo finanční trhy nebo způsobilo zúčastněným stranám nepřiměřenou škodu.

11.   Hlavní orgán dohledu před uložením penále podle odstavce 6 umožní zástupcům kritického poskytovatele služeb IKT z řad třetích stran, jehož se řízení týká, vyjádřit se k jeho zjištěním a svá rozhodnutí založí pouze na zjištěních, k nimž měl kritický poskytovatel služeb IKT z řad třetích stran, jehož se řízení týká, možnost se vyjádřit.

V průběhu řízení musí být plně respektováno právo účastníků řízení na obhajobu. Kritický poskytovatel služeb IKT z řad třetích stran, jehož se řízení týká, má právo nahlížet do spisu, s výhradou oprávněného zájmu jiných osob na ochraně jejich obchodního tajemství. Právo nahlížet do spisu se nevztahuje na důvěrné informace ani na interní přípravné dokumenty hlavního orgánu dohledu.

Článek 36

Výkon pravomocí hlavního orgánu dohledu mimo Unii

1.   Nelze-li cílů v oblasti dohledu dosáhnout na základě komunikace s dceřiným podnikem založeným pro účely čl. 31 odst. 12 nebo na základě výkonu činností dohledu v prostorách nacházejících se v Unii, může hlavní orgán dohledu vykonávat v jakýchkoli prostorách nacházejících se ve třetí zemi, které jsou kritickým poskytovatelem služeb IKT z řad třetích stran vlastněny nebo jakýmkoli způsobem využívány pro účely poskytování služeb finančním subjektům v Unii v souvislosti s jeho obchodními operacemi, funkcemi nebo službami, včetně jakýchkoli správních, obchodních nebo provozně kancelářských prostor, objektů, pozemků, budov nebo jiných nemovitostí, pravomoci uvedené v:

| a) | čl. 35 odst. 1 písm. a) a |
| --- | --- |

a)

čl. 35 odst. 1 písm. a) a

| b) | čl. 35 odst. 1 písm. b), v souladu s čl. 38 odst. 2 písm. a), b) a d) a čl. 39 odst. 1 a odst. 2 písm. a). |
| --- | --- |

b)

čl. 35 odst. 1 písm. b), v souladu s čl. 38 odst. 2 písm. a), b) a d) a čl. 39 odst. 1 a odst. 2 písm. a).

Pravomoci uvedené v prvním pododstavci mohou být vykonávány, pokud jsou splněny všechny tyto podmínky:

| i) | hlavní orgán dohledu považuje provedení kontroly ve třetí zemi za nezbytné, aby mohl plně a účinně plnit své povinnosti podle tohoto nařízení; |
| --- | --- |

i)

hlavní orgán dohledu považuje provedení kontroly ve třetí zemi za nezbytné, aby mohl plně a účinně plnit své povinnosti podle tohoto nařízení;

| ii) | kontrola ve třetí zemi přímo souvisí s poskytováním služeb IKT finančním subjektům v Unii; |
| --- | --- |

ii)

kontrola ve třetí zemi přímo souvisí s poskytováním služeb IKT finančním subjektům v Unii;

| iii) | dotčený kritický poskytovatel služeb IKT z řad třetích stran s provedením kontroly ve třetí zemi souhlasí a |
| --- | --- |

iii)

dotčený kritický poskytovatel služeb IKT z řad třetích stran s provedením kontroly ve třetí zemi souhlasí a

| iv) | relevantní orgán dotčené třetí země byl hlavním orgánem dohledu oficiálně informován a nevznesl žádné námitky. |
| --- | --- |

iv)

relevantní orgán dotčené třetí země byl hlavním orgánem dohledu oficiálně informován a nevznesl žádné námitky.

2.   Aniž jsou dotčeny příslušné pravomoci orgánů Unie a členských států, uzavřou EBA, ESMA nebo EIOPA pro účely odstavce 1 ujednání o správní spolupráci s relevantním orgánem třetí země s cílem umožnit hladké provádění kontrol v dotčené třetí zemi ze strany hlavního orgánu dohledu a jeho určeného týmu pro účely jeho poslání v dané třetí zemi. Tato ujednání o spolupráci nezakládají právní závazky vůči Unii a jejím členským státům ani členským státům a jejich příslušným orgánům nebrání v uzavírání dvoustranných nebo mnohostranných ujednání s těmito třetími zeměmi a jejich relevantními orgány.

Tato ujednání o spolupráci stanoví alespoň tyto prvky:

| a) | postupy pro koordinaci činností dohledu prováděných podle tohoto nařízení a jakékoli obdobné sledování rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru prováděné relevantním orgánem dotčené třetí země, včetně podrobností pro předání souhlasu tohoto orgánu, který umožní hlavnímu orgánu dohledu a jeho určenému týmu provádět obecná šetření a kontroly na místě, jak je uvedeno v odst. 1 prvním pododstavci, na území, jež spadá do jeho jurisdikce; |
| --- | --- |

a)

postupy pro koordinaci činností dohledu prováděných podle tohoto nařízení a jakékoli obdobné sledování rizika v oblasti IKT spojeného s třetími stranami ve finančním sektoru prováděné relevantním orgánem dotčené třetí země, včetně podrobností pro předání souhlasu tohoto orgánu, který umožní hlavnímu orgánu dohledu a jeho určenému týmu provádět obecná šetření a kontroly na místě, jak je uvedeno v odst. 1 prvním pododstavci, na území, jež spadá do jeho jurisdikce;

| b) | mechanismus pro předávání veškerých relevantních informací mezi EBA, ESMA nebo EIOPA a relevantním orgánem dotčené třetí země, zejména v souvislosti s informacemi, které si může hlavní orgán dohledu vyžádat podle článku 37; |
| --- | --- |

b)

mechanismus pro předávání veškerých relevantních informací mezi EBA, ESMA nebo EIOPA a relevantním orgánem dotčené třetí země, zejména v souvislosti s informacemi, které si může hlavní orgán dohledu vyžádat podle článku 37;

| c) | mechanismy, jejichž prostřednictvím bude relevantní orgán dotčené třetí země EBA, ESMA nebo EIOPA neprodleně oznamovat případy, kdy se má za to, že poskytovatel služeb IKT z řad třetích stran usazený ve třetí zemi, který byl určen za kritického v souladu s čl. 31 odst. 1 písm. a), porušil požadavky, které musí dodržovat podle použitelného práva dotčené třetí země při poskytování služeb finančním institucím v této třetí zemi, jakož i učiněná náprava a uplatněné sankce; |
| --- | --- |

c)

mechanismy, jejichž prostřednictvím bude relevantní orgán dotčené třetí země EBA, ESMA nebo EIOPA neprodleně oznamovat případy, kdy se má za to, že poskytovatel služeb IKT z řad třetích stran usazený ve třetí zemi, který byl určen za kritického v souladu s čl. 31 odst. 1 písm. a), porušil požadavky, které musí dodržovat podle použitelného práva dotčené třetí země při poskytování služeb finančním institucím v této třetí zemi, jakož i učiněná náprava a uplatněné sankce;

| d) | pravidelné předávání aktuálních informací o vývoji v oblasti regulace nebo dohledu, pokud jde o sledování rizika v oblasti IKT spojeného se třetími stranami u finančních institucí v dotčené třetí zemi; |
| --- | --- |

d)

pravidelné předávání aktuálních informací o vývoji v oblasti regulace nebo dohledu, pokud jde o sledování rizika v oblasti IKT spojeného se třetími stranami u finančních institucí v dotčené třetí zemi;

| e) | podrobnosti umožňující v případě potřeby účast jednoho zástupce relevantního orgánu třetí země na kontrolách prováděných hlavním orgánem dohledu a určeným týmem. |
| --- | --- |

e)

podrobnosti umožňující v případě potřeby účast jednoho zástupce relevantního orgánu třetí země na kontrolách prováděných hlavním orgánem dohledu a určeným týmem.

3.   Pokud není schopen provádět kontrolní činnosti uvedené v odstavcích 1 a 2 mimo Unii, hlavní orgán dohledu:

| a) | vykonává své pravomoci podle článku 35 na základě všech skutečností a dokumentů, které má k dispozici; |
| --- | --- |

a)

vykonává své pravomoci podle článku 35 na základě všech skutečností a dokumentů, které má k dispozici;

| b) | zdokumentuje a vysvětlí veškeré důsledky toho, že není schopen provádět plánované činnosti dohledu podle tohoto článku. |
| --- | --- |

b)

zdokumentuje a vysvětlí veškeré důsledky toho, že není schopen provádět plánované činnosti dohledu podle tohoto článku.

Možné důsledky uvedené v písmenu b) tohoto odstavce se zohlední v doporučeních hlavního orgánu dohledu vydaných podle čl. 35 odst. 1 písm. d).

Článek 37

Žádost o informace

1.   Hlavní orgán dohledu může prostou žádostí nebo rozhodnutím požádat kritické poskytovatele služeb IKT z řad třetích stran, aby poskytly veškeré informace nezbytné pro výkon povinností hlavního orgánu dohledu podle tohoto nařízení, včetně všech relevantních obchodních nebo provozních dokladů, smluv, politik, dokumentace, zpráv z auditů bezpečnosti IKT, zpráv o hlášení incidentů souvisejících s IKT a rovněž všech informací týkajících se stran, jimž kritický poskytovatel služeb IKT z řad třetích stran externě zadal zajišťování provozních funkcí nebo činností.

2.   V případě prosté žádosti o informace podle odstavce 1 hlavní orgán dohledu:

| a) | odkáže na tento článek jako na právní základ žádosti; |
| --- | --- |

a)

odkáže na tento článek jako na právní základ žádosti;

| b) | uvede účel žádosti; |
| --- | --- |

b)

uvede účel žádosti;

| c) | upřesní, jaké informace jsou požadovány; |
| --- | --- |

c)

upřesní, jaké informace jsou požadovány;

| d) | stanoví lhůtu, v níž mají být informace poskytnuty; |
| --- | --- |

d)

stanoví lhůtu, v níž mají být informace poskytnuty;

| e) | upozorní zástupce kritického poskytovatele služeb IKT z řad třetích stran, od něhož informace žádá, že nemá povinnost informace poskytnout, avšak rozhodne-li se na žádost dobrovolně odpovědět, nesmějí být poskytnuté informace nepravdivé nebo zavádějící. |
| --- | --- |

e)

upozorní zástupce kritického poskytovatele služeb IKT z řad třetích stran, od něhož informace žádá, že nemá povinnost informace poskytnout, avšak rozhodne-li se na žádost dobrovolně odpovědět, nesmějí být poskytnuté informace nepravdivé nebo zavádějící.

3.   V případě žádosti o poskytnutí informací podle odstavce 1 na základě rozhodnutí hlavní orgán dohledu:

| a) | odkáže na tento článek jako na právní základ žádosti; |
| --- | --- |

a)

odkáže na tento článek jako na právní základ žádosti;

| b) | uvede účel žádosti; |
| --- | --- |

b)

uvede účel žádosti;

| c) | upřesní, jaké informace jsou požadovány; |
| --- | --- |

c)

upřesní, jaké informace jsou požadovány;

| d) | stanoví lhůtu, v níž mají být informace poskytnuty; |
| --- | --- |

d)

stanoví lhůtu, v níž mají být informace poskytnuty;

| e) | upozorní na penále stanovené v čl. 35 odst. 6, pokud budou požadované informace poskytnuty neúplné nebo pokud nebudou tyto informace poskytnuty ve lhůtě stanovené v písmenu d) tohoto odstavce; |
| --- | --- |

e)

upozorní na penále stanovené v čl. 35 odst. 6, pokud budou požadované informace poskytnuty neúplné nebo pokud nebudou tyto informace poskytnuty ve lhůtě stanovené v písmenu d) tohoto odstavce;

| f) | upozorní na možnost odvolat se proti rozhodnutí k odvolacímu senátu ESA a nechat rozhodnutí přezkoumat Soudním dvorem Evropské unie (dále jen „Soudní dvůr“) v souladu s články 60 a 61 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010. |
| --- | --- |

f)

upozorní na možnost odvolat se proti rozhodnutí k odvolacímu senátu ESA a nechat rozhodnutí přezkoumat Soudním dvorem Evropské unie (dále jen „Soudní dvůr“) v souladu s články 60 a 61 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

4.   Zástupci kritických poskytovatelů služeb IKT z řad třetích stran jsou povinni požadované informace poskytnout. Informace za své klienty mohou sdělit řádně zmocnění právní zástupci. Kritický poskytovatel služeb IKT z řad třetích stran však nese i nadále plnou odpovědnost, jsou-li poskytnuté informace neúplné, nepravdivé či zavádějící.

5.   Hlavní orgán dohledu neprodleně předá kopii rozhodnutí o předložení informací příslušným orgánům finančních subjektů využívajících služeb příslušných kritických poskytovatelů služeb IKT z řad třetích stran a společné síti dohledu.

Článek 38

Obecná šetření

1.   Aby mohl plnit své povinnosti podle tohoto nařízení, může hlavní orgán dohledu s pomocí společného kontrolního týmu uvedeného v čl. 40 odst. 1 provádět v případě potřeby šetření kritických poskytovatelů služeb IKT z řad třetích stran.

2.   Hlavní orgán dohledu má pravomoc:

| a) | zkoumat záznamy, údaje, postupy a jakékoli jiné materiály, které jsou relevantní pro plnění jeho úkolů, a to bez ohledu na nosič, na němž jsou uchovávány; |
| --- | --- |

a)

zkoumat záznamy, údaje, postupy a jakékoli jiné materiály, které jsou relevantní pro plnění jeho úkolů, a to bez ohledu na nosič, na němž jsou uchovávány;

| b) | pořizovat nebo získávat ověřené kopie takových záznamů, údajů, zdokumentovaných postupů a jakýchkoli jiných materiálů nebo výpisy z nich; |
| --- | --- |

b)

pořizovat nebo získávat ověřené kopie takových záznamů, údajů, zdokumentovaných postupů a jakýchkoli jiných materiálů nebo výpisy z nich;

| c) | předvolat zástupce kritického poskytovatele služeb IKT z řad třetích stran a požádat jej o ústní nebo písemné vysvětlení skutečností nebo dokumentů, které se týkají předmětu a účelu šetření, a odpovědi zaznamenat; |
| --- | --- |

c)

předvolat zástupce kritického poskytovatele služeb IKT z řad třetích stran a požádat jej o ústní nebo písemné vysvětlení skutečností nebo dokumentů, které se týkají předmětu a účelu šetření, a odpovědi zaznamenat;

| d) | vyslechnout jakoukoli jinou fyzickou nebo právnickou osobu, které s tím souhlasí, za účelem získání informací souvisejících s předmětem šetření; |
| --- | --- |

d)

vyslechnout jakoukoli jinou fyzickou nebo právnickou osobu, které s tím souhlasí, za účelem získání informací souvisejících s předmětem šetření;

| e) | požadovat výpisy telefonních hovorů a datových přenosů. |
| --- | --- |

e)

požadovat výpisy telefonních hovorů a datových přenosů.

3.   Úředníci hlavního orgánu dohledu a další osoby tímto orgánem pověřené pro účely šetření podle odstavce 1 vykonávají své pravomoci po předložení písemného pověření, v němž je uveden předmět a účel šetření.

V tomto pověření se rovněž uvede penále podle čl. 35 odst. 6, nebudou-li předloženy požadované záznamy, údaje, zdokumentované postupy nebo jakékoliv jiné materiály nebo odpovědi na otázky položené zástupcům poskytovatele služeb IKT z řad třetích stran, nebo nebudou-li úplné.

4.   Zástupci kritických poskytovatelů služeb IKT z řad třetích stran se musí šetření nařízenému rozhodnutím hlavního orgánu dohledu podrobit. V rozhodnutí musí být uvedeny předmět a účel šetření, penále stanovené v čl. 35 odst. 6, opravné prostředky, které jsou k dispozici podle nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010, a právo na přezkum rozhodnutí Soudním dvorem.

5.   Hlavní orgán dohledu s dostatečným předstihem před zahájením šetření informuje příslušné orgány finančních subjektů využívajících služby IKT tohoto kritického poskytovatele služeb IKT z řad třetích stran o zamýšleném šetření a o totožnosti pověřených osob.

Hlavní orgán dohledu sdělí společné síti dohledu veškeré informace předané podle prvního pododstavce.

Článek 39

Kontroly

1.   Aby mohl plnit své povinnosti podle tohoto nařízení, může hlavní orgán dohledu s pomocí společného kontrolního týmu uvedeného v čl. 40 odst. 1 vstupovat do všech prostor, na všechny pozemky nebo do všech budov využívaných k podnikatelské činnosti poskytovatelů služeb IKT z řad třetích stran, jako jsou jejich sídla, provozní střediska, druhotná pracoviště, a provádět v nich všechny nezbytné kontroly na místě a rovněž může provádět kontroly na dálku.

Pro účely výkonu pravomocí uvedených v prvním pododstavci konzultuje hlavní orgán dohledu společnou síť dohledu.

2.   Úředníci a jiné osoby zmocněné hlavním orgánem dohledu k provedení kontroly na místě mají pravomoc:

| a) | vstupovat do všech takových prostor, na všechny pozemky a do všech budov využívaných k podnikatelské činnosti, a |
| --- | --- |

a)

vstupovat do všech takových prostor, na všechny pozemky a do všech budov využívaných k podnikatelské činnosti, a

| b) | zapečetit veškeré takové podnikatelské prostory, účetní knihy nebo záznamy po dobu a v rozsahu, které jsou pro kontrolu nezbytné. |
| --- | --- |

b)

zapečetit veškeré takové podnikatelské prostory, účetní knihy nebo záznamy po dobu a v rozsahu, které jsou pro kontrolu nezbytné.

Úředníci a jiné osoby zmocněné hlavním orgánem dohledu své pravomoci vykonávají po předložení písemného pověření uvádějícího předmět a účel kontroly a penále podle čl. 35 odst. 6 pro případ, že se zástupci dotčených kritických poskytovatelů služeb IKT z řad třetích stran kontrole nepodrobí.

3.   Hlavní orgán dohledu informuje s dostatečným předstihem před zahájením kontroly příslušné orgány finančních subjektů využívajících tohoto poskytovatele služeb IKT z řad třetích stran.

4.   Kontroly se týkají všech relevantních systémů IKT, sítí, zařízení, informací a dat používaných nebo přispívajících k poskytování služeb IKT finančním subjektům.

5.   Hlavní orgán dohledu před jakoukoliv plánovanou kontrolou na místě zašle kritickým poskytovatelům služeb IKT z řad třetích stran oznámení v dostatečném předstihu, ledaže takové oznámení není možné v důsledku naléhavé nebo krizové situace, nebo pokud by způsobilo, že by již kontrola nebo audit nebyly účinné.

6.   Kritický poskytovatel služeb IKT z řad třetích stran se podrobí kontrolám na místě nařízeným rozhodnutím hlavního orgánu dohledu. V rozhodnutí musí být uvedeny předmět a účel kontroly, datum, kdy má být kontrola zahájena, penále stanovené v čl. 35 odst. 6, opravné prostředky, které jsou k dispozici podle nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010, a dále právo na přezkum rozhodnutí Soudním dvorem.

7.   Jestliže úředníci nebo jiné osoby pověřené hlavním orgánem dohledu zjistí, že se kritický poskytovatel služeb IKT z řad třetích stran odmítá podrobit kontrole nařízené podle tohoto článku, hlavní orgán dohledu informuje kritického poskytovatele služeb IKT z řad třetích stran o důsledcích tohoto odmítnutí, včetně skutečnosti, že příslušné orgány dotčených finančních subjektů mohou od finančních subjektů vyžadovat, aby ukončily smluvní ujednání uzavřená s tímto kritickým poskytovatelem služeb IKT z řad třetích stran.

Článek 40

Průběžný dohled

1.   Hlavnímu orgánu dohledu je při provádění činností dohledu, a zejména obecných šetření nebo kontrol, nápomocen společný kontrolní tým vytvořený pro každého kritického poskytovatele služeb IKT z řad třetích stran.

2.   Společný kontrolní tým uvedený v odstavci 1 tvoří pracovníci:

| a) | evropských orgánů dohledu; |
| --- | --- |

a)

evropských orgánů dohledu;

| b) | relevantních příslušných orgánů vykonávajících dohled nad finančními subjekty, jimž daný kritický poskytovatel služeb IKT z řad třetích stran poskytuje své služby; |
| --- | --- |

b)

relevantních příslušných orgánů vykonávajících dohled nad finančními subjekty, jimž daný kritický poskytovatel služeb IKT z řad třetích stran poskytuje své služby;

| c) | vnitrostátního příslušného orgánu uvedeného v čl. 32 odst. 4 písm. e), a to na dobrovolném základě; |
| --- | --- |

c)

vnitrostátního příslušného orgánu uvedeného v čl. 32 odst. 4 písm. e), a to na dobrovolném základě;

| d) | jednoho vnitrostátního příslušného orgánu z členského státu, v němž je kritický poskytovatel služeb IKT z řad třetích stran usazen, a to na dobrovolném základě. |
| --- | --- |

d)

jednoho vnitrostátního příslušného orgánu z členského státu, v němž je kritický poskytovatel služeb IKT z řad třetích stran usazen, a to na dobrovolném základě.

Členové společného kontrolního týmu mají odborné znalosti v oboru IKT a v oblasti operačního rizika. Práci společného kontrolního týmu koordinuje určený pracovník hlavního orgánu dohledu („koordinátor hlavního orgánu dohledu“).

3.   Hlavní orgán dohledu do tří měsíců po dokončení šetření nebo kontroly a po konzultaci s fórem dohledu přijme doporučení, která budou adresována kritickému poskytovateli služeb IKT z řad třetích stran podle pravomocí uvedených v článku 35.

4.   Doporučení uvedená v odstavci 3 se neprodleně sdělí kritickému poskytovateli služeb IKT z řad třetích stran a příslušným orgánům finančních subjektů, jimž služby IKT poskytuje.

Pro účely plnění činností dohledu může hlavní orgán dohledu přihlédnout ke všem relevantním osvědčením třetích stran a interním nebo externím auditním zprávám třetích stran v oblasti IKT předloženým kritickým poskytovatelem služeb IKT z řad třetích stran.

Článek 41

Harmonizace podmínek umožňujících provádění činností dohledu

1.   Evropské orány dohledu prostřednictvím společného výboru vypracují návrhy regulačních technických norem, které stanoví:

| a) | informace, jež mají být předloženy v žádosti o dobrovolnou účast poskytovatelem služeb IKT z řad třetích stran, jenž má být podle čl. 31 odst. 11 určen za kritického; |
| --- | --- |

a)

informace, jež mají být předloženy v žádosti o dobrovolnou účast poskytovatelem služeb IKT z řad třetích stran, jenž má být podle čl. 31 odst. 11 určen za kritického;

| b) | obsah, strukturu a formát informací, jež mají poskytovatelé služeb IKT z řad třetích stran předložit, zpřístupnit nebo oznámit podle čl. 35 odst. 1, včetně šablony pro poskytování informací o ujednáních o subdodávkách; |
| --- | --- |

b)

obsah, strukturu a formát informací, jež mají poskytovatelé služeb IKT z řad třetích stran předložit, zpřístupnit nebo oznámit podle čl. 35 odst. 1, včetně šablony pro poskytování informací o ujednáních o subdodávkách;

| c) | kritéria pro určení složení společného kontrolního týmu zajišťující vyváženou účast pracovníků evropských orgánů dohledu a relevantních příslušných orgánů, jejich určení, úkoly a organizaci práce; |
| --- | --- |

c)

kritéria pro určení složení společného kontrolního týmu zajišťující vyváženou účast pracovníků evropských orgánů dohledu a relevantních příslušných orgánů, jejich určení, úkoly a organizaci práce;

| d) | podrobnosti o vyhodnocení opatření přijatých kritickými poskytovateli služeb IKT z řad třetích stran na základě doporučení hlavního orgánu dohledu podle čl. 42 odst. 3 příslušnými orgány. |
| --- | --- |

d)

podrobnosti o vyhodnocení opatření přijatých kritickými poskytovateli služeb IKT z řad třetích stran na základě doporučení hlavního orgánu dohledu podle čl. 42 odst. 3 příslušnými orgány.

2.   Evropské orgány dohledu předloží tyto návrhy regulačních technických norem Komisi do 17. července 2024.

Na Komisi je přenesena pravomoc doplnit toto nařízení přijetím regulačních technických norem uvedených v odstavci 1 v souladu s články 10 až 14 nařízení (EU) č. 1093/2010, (EU) č. 1094/2010 a (EU) č. 1095/2010.

Článek 42

Následná opatření příslušných orgánů

1.   Kritičtí poskytovatelé služeb IKT z řad třetích stran do 60 kalendářních dnů od obdržení doporučení vydaných hlavním orgánem dohledu podle čl. 35 odst. 1 písm. d) buď oznámí hlavnímu orgánu dohledu svůj úmysl se těmito doporučeními řídit, nebo poskytnou odůvodněné vysvětlení, proč se těmito doporučeními řídit nebudou. Hlavní orgán dohledu tyto informace neprodleně předá příslušným orgánům dotčených finančních subjektů.

2.   Hlavní orgán dohledu zveřejní, jestliže mu kritický poskytovatel služeb IKT z řad třetích stran neoznámí svůj úmysl podle odstavce 1 nebo jestliže nepovažuje vysvětlení poskytnuté kritickým poskytovatelem služeb IKT z řad třetích stran za dostatečné. Zveřejněné informace zahrnují totožnost kritického poskytovatele služeb IKT z řad třetích stran, jakož i informace o druhu a povaze porušení. Tyto informace se omezí na to, co je relevantní a přiměřené pro účely zajištění informovanosti veřejnosti, ledaže by jejich zveřejnění mohlo zúčastněným stranám způsobit nepřiměřenou škodu nebo by mohlo vážně ohrozit řádné fungování a integritu finančních trhů nebo stabilitu celého finančního systému Unie nebo jeho části.

Hlavní orgán dohledu o tomto zveřejnění informuje poskytovatele služeb IKT z řad třetích stran.

3.   Příslušné orgány informují příslušné finanční subjekty o rizicích identifikovaných v doporučeních adresovaných kritickým poskytovatelům služeb IKT z řad třetích stran v souladu s čl. 35 odst. 1 písm. d).

Při řízení rizika v oblasti IKT spojeného se třetími stranami finanční subjekty zohlední rizika uvedená v prvním pododstavci.

4.   Pokud se příslušný orgán domnívá, že finanční subjekt v rámci svého řízení rizika v oblasti IKT spojeného se třetími stranami nezohledňuje nebo dostatečně neřeší konkrétní rizika identifikovaná v doporučeních, upozorní finanční subjekt na možnost přijmout do 60 kalendářních dnů od tohoto upozornění rozhodnutí podle odstavce 6, pokud neexistují vhodná smluvní ujednání zaměřená na řešení těchto rizik.

5.   Po obdržení zpráv uvedených v čl. 35 odst. 1 písm. c) a před přijetím rozhodnutí uvedeného v odstavci 6 tohoto článku mohou příslušné orgány dobrovolně konzultovat příslušné orgány určené nebo zřízené v souladu se směrnicí (EU) 2022/2555, které jsou odpovědné za dohled nad zásadním nebo důležitým subjektem podléhajícím uvedené směrnici, který byl určen jako kritický poskytovatel služeb IKT z řad třetích stran.

6.   Příslušné orgány mohou jako krajní opatření v návaznosti na upozornění a případně konzultaci podle odstavců 4 a 5 tohoto článku přijmout v souladu s článkem 50 rozhodnutí vyžadující, aby finanční subjekty částečně či úplně dočasně přestaly využívat služby poskytované kritickým poskytovatelem služeb IKT z řad třetích stran, dokud daný kritický poskytovatel služeb IKT z řad třetích stran neodstraní rizika identifikovaná v jemu adresovaných doporučeních. Je-li to nezbytné, mohou finanční subjekty požádat, aby zcela či zčásti ukončily příslušná smluvní ujednání uzavřená s dotčenými kritickými poskytovateli služeb IKT z řad třetích stran.

7.   Pokud kritický poskytovatel služeb IKT z řad třetích stran odmítne uznat doporučení, protože zaujal odlišný přístup od přístupu doporučeného hlavním orgánem dohledu, a tento odlišný přístup může mít nepříznivý dopad na velký počet finančních subjektů nebo na významnou část finančního sektoru a individuální varování vydaná příslušnými orgány nevedla k jednotným přístupům, jež by zmírnily potenciální riziko pro finanční stabilitu, může hlavní orgán dohledu po konzultaci s fórem dohledu vydat nezávazné a neveřejné stanovisko určené příslušným orgánům, aby případně podpořil jednotná a konvergentní následná opatření v oblasti dohledu.

8.   Po obdržení zpráv uvedených v čl. 35 odst. 1 písm. c) příslušné orgány při přijímání rozhodnutí podle odstavce 6 tohoto článku zohlední druh a rozsah rizika, které kritický poskytovatel služeb IKT z řad třetích stran neodstranil, a rovněž závažnost porušení povinností, přičemž přihlédnou k těmto kritériím:

| a) | závažnosti a délce trvání porušení předpisů; |
| --- | --- |

a)

závažnosti a délce trvání porušení předpisů;

| b) | zda porušení předpisů odhalilo závažná slabá místa v postupech, řídicích systémech, řízení rizik a interních kontrolách kritického poskytovatele služeb IKT z řad třetích stran; |
| --- | --- |

b)

zda porušení předpisů odhalilo závažná slabá místa v postupech, řídicích systémech, řízení rizik a interních kontrolách kritického poskytovatele služeb IKT z řad třetích stran;

| c) | zda porušení předpisů usnadnilo či umožnilo spáchání finančního trestného činu nebo zda lze takový trestný čin danému porušení jiným způsobem přičíst; |
| --- | --- |

c)

zda porušení předpisů usnadnilo či umožnilo spáchání finančního trestného činu nebo zda lze takový trestný čin danému porušení jiným způsobem přičíst;

| d) | zda k porušení předpisů došlo úmyslně nebo z nedbalosti; |
| --- | --- |

d)

zda k porušení předpisů došlo úmyslně nebo z nedbalosti;

| e) | zda pozastavení nebo ukončení smluvních ujednání představuje riziko pro kontinuitu činnosti finančního subjektu, bez ohledu na snahu finančního subjektu vyhnout se narušení poskytování svých služeb; |
| --- | --- |

e)

zda pozastavení nebo ukončení smluvních ujednání představuje riziko pro kontinuitu činnosti finančního subjektu, bez ohledu na snahu finančního subjektu vyhnout se narušení poskytování svých služeb;

| f) | v příslušných případech, jak stanoví odstavec 5 tohoto článku, dobrovolně vyžádané stanovisko příslušných orgánů určených nebo zřízených v souladu se směrnicí (EU) 2022/2555, které jsou odpovědné za dohled nad zásadním nebo důležitým subjektem podléhajícím uvedené směrnici, který byl určen jako kritický poskytovatel služeb IKT z řad třetích stran. |
| --- | --- |

f)

v příslušných případech, jak stanoví odstavec 5 tohoto článku, dobrovolně vyžádané stanovisko příslušných orgánů určených nebo zřízených v souladu se směrnicí (EU) 2022/2555, které jsou odpovědné za dohled nad zásadním nebo důležitým subjektem podléhajícím uvedené směrnici, který byl určen jako kritický poskytovatel služeb IKT z řad třetích stran.

Příslušné orgány poskytnou finančním subjektům nezbytnou lhůtu, aby mohly upravit smluvní ujednání s kritickými poskytovateli služeb IKT z řad třetích stran, a zabránit tak nepříznivým dopadům na jejich digitální provozní odolnost a zavést strategie ukončení smluvního vztahu a plány přechodu uvedené v článku 28.

9.   Rozhodnutí podle odstavce 6 tohoto článku se oznámí členům fóra dohledu uvedeného v čl. 32 odst. 4 písm. a) b) a c) a společné síti dohledu.

Kritičtí poskytovatelé služeb IKT z řad třetích stran, jichž se týkají rozhodnutí podle odstavce 6, plně spolupracují s dotčenými finančními subjekty, zejména v souvislosti s procesem pozastavení nebo ukončení jejich smluvních ujednání.

10.   Příslušné orgány pravidelně informují hlavní orgán dohledu o přístupech a opatřeních přijatých v rámci jejich úkolů v oblasti dohledu ve vztahu k finančním subjektům a rovněž o smluvních ujednáních uzavřených finančními subjekty v případech, kdy kritičtí poskytovatelé služeb IKT z řad třetích stran zcela či zčásti neuznaly doporučení hlavního orgánu dohledu.

11.   Hlavní orgán dohledu může na žádost poskytnout další vysvětlení k vydaným doporučením, aby příslušným orgánům poskytl vodítko pro následná opatření.

Článek 43

Poplatky za dohled

1.   Hlavní orgán dohledu účtuje v souladu s aktem v přenesené pravomoci uvedeným v odstavci 2 tohoto článku kritickým poskytovatelům služeb IKT z řad třetích stran poplatky, které plně pokrývají nezbytné výdaje hlavního orgánu dohledu v souvislosti s prováděním úkolů v oblasti dohledu podle tohoto nařízení, včetně náhrady veškerých nákladů, jež mohou vzniknout v důsledku práce vykonané společným kontrolním týmem uvedeným v článku 40, jakož i nákladů na poradenství poskytované nezávislými odborníky podle čl. 32 odst. 4 druhého pododstavce v souvislosti se záležitostmi spadajícími do působnosti činností přímého dohledu.

Výše poplatku účtovaného kritickému poskytovateli služeb IKT z řad třetích stran zahrnuje veškeré náklady spojené s plněním povinností stanovených v tomto oddíle a je úměrná jeho obratu.

2.   Komisi je svěřena pravomoc přijmout do 17. července 2024 v souladu s článkem 57 akt v přenesené pravomoci, kterým toto nařízení doplní stanovením výše poplatků a způsobu jejich úhrady.

Článek 44

Mezinárodní spolupráce

1.   Aniž je dotčen článek 36, EBA, ESMA a EIOPA mohou v souladu s článkem 33 nařízení (EU) č. 1093/2010, (EU) č. 1095/2010 a (EU) č. 1094/2010 pro účely posílení mezinárodní spolupráce ohledně rizika v oblasti IKT spojeného s třetími stranami v různých finančních sektorech uzavírat správní ujednání s regulačními orgány a orgány dohledu třetích zemí, a to zejména vypracováním osvědčených postupů pro přezkum postupů a kontrol souvisejících s řízením rizika v oblasti IKT, zmírňujících opatření a reakce na incidenty.

2.   Evropské orgány dohledu každých pět let předloží prostřednictvím společného výboru Evropskému parlamentu, Radě a Komisi společnou důvěrnou zprávu shrnující závěry z relevantních jednání s orgány třetích zemí podle odstavce 1, v níž se zaměří na vývoj rizika v oblasti IKT spojeného s třetími stranami a dopady na finanční stabilitu, integritu trhu, ochranu investorů a fungování vnitřního trhu.

KAPITOLA VI

Ujednání o sdílení informací

Článek 45

Ujednání o sdílení operativních a jiných informací o kybernetických hrozbách

1.   Finanční subjekty si mohou mezi sebou vyměňovat operativní a jiné informace o kybernetických hrozbách, včetně ukazatelů narušení, taktiky, technik a postupů, výstrah v oblasti kybernetické bezpečnosti a konfiguračních nástrojů, pokud se toto sdílení operativních a jiných informací:

| a) | zaměřuje na zlepšení digitální provozní odolnosti finančních subjektů, zejména zvyšováním povědomí o kybernetických hrozbách, omezením nebo zabráněním možností šíření těchto hrozeb podporou obranných schopností, techniky detekce hrozeb, zmírňující strategie nebo fáze reakce a obnovy; |
| --- | --- |

a)

zaměřuje na zlepšení digitální provozní odolnosti finančních subjektů, zejména zvyšováním povědomí o kybernetických hrozbách, omezením nebo zabráněním možností šíření těchto hrozeb podporou obranných schopností, techniky detekce hrozeb, zmírňující strategie nebo fáze reakce a obnovy;

| b) | odehrává v důvěryhodných komunitách finančních subjektů; |
| --- | --- |

b)

odehrává v důvěryhodných komunitách finančních subjektů;

| c) | provádí prostřednictvím ujednání o sdílení informací chránících potenciálně citlivou povahu sdílených informací, která se řídí pravidly chování plně respektujícími důvěrnou povahu obchodních informací, ochranu osobních údajů v souladu s nařízením (EU) 2016/679 a dodržování pokynů týkajících se hospodářské soutěže. |
| --- | --- |

c)

provádí prostřednictvím ujednání o sdílení informací chránících potenciálně citlivou povahu sdílených informací, která se řídí pravidly chování plně respektujícími důvěrnou povahu obchodních informací, ochranu osobních údajů v souladu s nařízením (EU) 2016/679 a dodržování pokynů týkajících se hospodářské soutěže.

2.   Pro účely odst. 1 písm. c) se v ujednání o sdílení informací stanoví podmínky účasti a případně podrobnosti o zapojení veřejných orgánů a jejich možné způsobilosti k účasti na ujednáních o sdílení informací, o zapojení poskytovatelů služeb IKT z řad třetích stran a o provozních prvcích, včetně použití specializovaných IT platforem.

3.   Finanční subjekty informují příslušné orgány o své účasti na ujednáních o sdílení informací uvedených v odstavci 1 po ověření jejich členství, nebo případně o ukončení členství, jakmile vstoupí v platnost.

KAPITOLA VII

Příslušné orgány

Článek 46

Příslušné orgány

Aniž jsou dotčena ustanovení o rámci dohledu pro kritické třetí strany poskytující služby IKT uvedená v kapitole V oddílu II tohoto nařízení, dodržování povinností stanovených tímto nařízením zajišťují v souladu se svými pravomocemi udělenými na základě příslušných právních aktů tyto příslušné orgány:

| a) | v případě úvěrových institucí a institucí vyňatých podle směrnice 2013/36/EU příslušný orgán určený v souladu s článkem 4 uvedené směrnice a v případě úvěrových institucí, které byly klasifikovány jako významné v souladu s čl. 6 odst. 4 nařízení (EU) č. 1024/2013, ECB v souladu s pravomocemi a úkoly jí svěřenými uvedeným nařízením; |
| --- | --- |

a)

v případě úvěrových institucí a institucí vyňatých podle směrnice 2013/36/EU příslušný orgán určený v souladu s článkem 4 uvedené směrnice a v případě úvěrových institucí, které byly klasifikovány jako významné v souladu s čl. 6 odst. 4 nařízení (EU) č. 1024/2013, ECB v souladu s pravomocemi a úkoly jí svěřenými uvedeným nařízením;

| b) | v případě platebních institucí, včetně platebních institucí vyňatých podle směrnice (EU) 2015/2366, institucí elektronických peněz, včetně institucí elektronických peněz vyňatých podle směrnice 2009/110/ES, a poskytovatelů služeb informování o účtu podle čl. 33 odst. 1 směrnice (EU) 2015/2366 příslušný orgán určený v souladu s článkem 22 směrnice (EU) 2015/2366; |
| --- | --- |

b)

v případě platebních institucí, včetně platebních institucí vyňatých podle směrnice (EU) 2015/2366, institucí elektronických peněz, včetně institucí elektronických peněz vyňatých podle směrnice 2009/110/ES, a poskytovatelů služeb informování o účtu podle čl. 33 odst. 1 směrnice (EU) 2015/2366 příslušný orgán určený v souladu s článkem 22 směrnice (EU) 2015/2366;

| c) | v případě investičních podniků příslušný orgán určený v souladu s článkem 4 směrnice Evropského parlamentu a Rady (EU) 2019/2034 (38); |
| --- | --- |

c)

v případě investičních podniků příslušný orgán určený v souladu s článkem 4 směrnice Evropského parlamentu a Rady (EU) 2019/2034 (38);

38

| d) | v případě poskytovatelů služeb souvisejících s kryptoaktivy, kteří mají povolení podle nařízení o trzích s kryptoaktivy, a vydavatelů tokenů vázaných na aktiva příslušný orgán určený v souladu s příslušným ustanovením uvedeného nařízení; |
| --- | --- |

d)

v případě poskytovatelů služeb souvisejících s kryptoaktivy, kteří mají povolení podle nařízení o trzích s kryptoaktivy, a vydavatelů tokenů vázaných na aktiva příslušný orgán určený v souladu s příslušným ustanovením uvedeného nařízení;

| e) | v případě centrálních depozitářů cenných papírů příslušný orgán určený v souladu s článkem 11 nařízení (EU) č. 909/2014; |
| --- | --- |

e)

v případě centrálních depozitářů cenných papírů příslušný orgán určený v souladu s článkem 11 nařízení (EU) č. 909/2014;

| f) | v případě ústředních protistran příslušný orgán určený v souladu s článkem 22 nařízení (EU) č. 648/2012; |
| --- | --- |

f)

v případě ústředních protistran příslušný orgán určený v souladu s článkem 22 nařízení (EU) č. 648/2012;

| g) | v případě obchodních systémů příslušný orgán určený v souladu s článkem 67 směrnice 2014/65/EU a v případě poskytovatelů služeb hlášení údajů příslušný orgán ve smyslu čl. 2 odst. 1 bodu 18 nařízení (EU) č. 600/2014; |
| --- | --- |

g)

v případě obchodních systémů příslušný orgán určený v souladu s článkem 67 směrnice 2014/65/EU a v případě poskytovatelů služeb hlášení údajů příslušný orgán ve smyslu čl. 2 odst. 1 bodu 18 nařízení (EU) č. 600/2014;

| h) | v případě registrů obchodních údajů příslušný orgán určený v souladu s článkem 22 nařízení (EU) č. 648/2012; |
| --- | --- |

h)

v případě registrů obchodních údajů příslušný orgán určený v souladu s článkem 22 nařízení (EU) č. 648/2012;

| i) | v případě správců alternativních investičních fondů příslušný orgán určený v souladu s článkem 44 směrnice 2011/61/EU; |
| --- | --- |

i)

v případě správců alternativních investičních fondů příslušný orgán určený v souladu s článkem 44 směrnice 2011/61/EU;

| j) | v případě správcovských společností příslušný orgán určený v souladu s článkem 97 směrnice 2009/65/ES; |
| --- | --- |

j)

v případě správcovských společností příslušný orgán určený v souladu s článkem 97 směrnice 2009/65/ES;

| k) | v případě pojišťoven a zajišťoven příslušný orgán určený v souladu s článkem 30 směrnice 2009/138/ES; |
| --- | --- |

k)

v případě pojišťoven a zajišťoven příslušný orgán určený v souladu s článkem 30 směrnice 2009/138/ES;

| l) | v případě zprostředkovatelů pojištění, zprostředkovatelů zajištění a zprostředkovatelů doplňkového pojištění příslušný orgán určený v souladu s článkem 12 směrnice (EU) 2016/97; |
| --- | --- |

l)

v případě zprostředkovatelů pojištění, zprostředkovatelů zajištění a zprostředkovatelů doplňkového pojištění příslušný orgán určený v souladu s článkem 12 směrnice (EU) 2016/97;

| m) | v případě institucí zaměstnaneckého penzijního pojištění příslušný orgán určený v souladu s článkem 47 směrnice (EU) 2016/2341; |
| --- | --- |

m)

v případě institucí zaměstnaneckého penzijního pojištění příslušný orgán určený v souladu s článkem 47 směrnice (EU) 2016/2341;

| n) | v případě ratingových agentur příslušný orgán určený v souladu s článkem 21 nařízení (ES) č. 1060/2009; |
| --- | --- |

n)

v případě ratingových agentur příslušný orgán určený v souladu s článkem 21 nařízení (ES) č. 1060/2009;

| o) | v případě správců kritických referenčních hodnot příslušný orgán určený v souladu s články 40 a 41 nařízení (EU) 2016/1011; |
| --- | --- |

o)

v případě správců kritických referenčních hodnot příslušný orgán určený v souladu s články 40 a 41 nařízení (EU) 2016/1011;

| p) | v případě poskytovatelů služeb skupinového financování příslušný orgán určený v souladu s článkem 29 nařízení (EU) 2020/1503; |
| --- | --- |

p)

v případě poskytovatelů služeb skupinového financování příslušný orgán určený v souladu s článkem 29 nařízení (EU) 2020/1503;

| q) | v případě registrů sekuritizací příslušný orgán určený v souladu s článkem 10 a čl. 14 odst. 1 nařízení (EU) 2017/2402. |
| --- | --- |

q)

v případě registrů sekuritizací příslušný orgán určený v souladu s článkem 10 a čl. 14 odst. 1 nařízení (EU) 2017/2402.

Článek 47

Spolupráce se strukturami a orgány zřízenými směrnicí (EU) 2022/2555

1.   Aby se usnadnila spolupráce a umožnila výměna v oblasti dohledu mezi příslušnými orgány určenými podle tohoto nařízení a skupinou pro spolupráci zřízenou podle článku 14 směrnice (EU) 2022/2555, mohou se evropské orgány dohledu a příslušné orgány podílet na činnosti skupiny pro spolupráci, pokud jde o záležitosti týkající se jejich činností dohledu ve vztahu k finančním subjektům. Evropské orgány dohledu a příslušné orgány mohou požádat o přizvání k účasti na činnosti skupiny pro spolupráci, pokud jde o záležitosti týkající se zásadních nebo důležitých subjektů podléhajících směrnici (EU) 2022/2555, které byly rovněž určeny za kritické poskytovatele služeb IKT z řad třetích stran podle článku 31 tohoto nařízení.

2.   Ve vhodných případech mohou příslušné orgány vést konzultace a sdílet informace s jednotnými kontaktními místy a týmy CSIRT určenými nebo zřízenými v souladu se směrnicí (EU) 2022/2555.

3.   Ve vhodných případech si mohou příslušné orgány vyžádat relevantní technické poradenství a pomoc příslušných orgánů určených nebo zřízených v souladu se směrnicí (EU) 2022/2555 a uzavřít ujednání o spolupráci s cílem umožnit zavedení účinných mechanismů pro koordinaci rychlé reakce.

4.   V ujednáních uvedených v odstavci 3 tohoto článku se mohou mimo jiné stanovit postupy pro koordinaci činností v oblasti dohledu a dozoru ve vztahu k zásadním nebo důležitým subjektům podléhajícím směrnici (EU) 2022/2555, které byly určeny za kritické poskytovatele služeb IKT z řad třetích stran podle článku 31 tohoto nařízení, a to i za účelem provádění šetření a kontroly na místě v souladu s vnitrostátním právem, jakož i za účelem mechanismů pro výměnu informací mezi příslušnými orgány podle tohoto nařízení a příslušnými orgány určenými nebo zřízenými v souladu se zmíněnou směrnicí, což zahrnuje i přístup k informacím, o něž dané určené nebo zřízené orgány požádaly.

Článek 48

Spolupráce mezi orgány

1.   Příslušné orgány úzce spolupracují mezi sebou navzájem a případně s hlavním orgánem dohledu.

2.   Příslušné orgány a hlavní orgán dohledu si včas vzájemně vymění veškeré relevantní informace týkající se kritických poskytovatelů služeb IK z řad třetích stran, které jsou nezbytné k tomu, aby mohly plnit své povinnosti podle tohoto nařízení, zejména pokud jde o zjištěná rizika, přístupy a opatření přijatá v rámci úkolů hlavního orgánu dohledu v oblasti dohledu.

Článek 49

Meziodvětvová cvičení, komunikace a spolupráce ve finančním sektoru

1.   Evropské orgány dohledu mohou prostřednictvím společného výboru a ve spolupráci s příslušnými orgány, orgány příslušnými k řešení krize podle článku 3 směrnice 2014/59/EU, ECB, Jednotným výborem pro řešení krizí, pokud jde o informace týkající se subjektů spadajících do oblasti působnosti nařízení (EU) č. 806/2014, ESRB a případně ENISA vytvářet mechanismy umožňující sdílení osvědčených postupů ve finančních odvětvích, které zlepší znalost situace a určí společné kybernetické zranitelnosti a rizika napříč odvětvími.

Mohou připravovat cvičení v oblastech krizového řízení a reakce na nepředvídané události zahrnující scénáře kybernetického útoku, jejichž cílem bude rozvoj komunikačních kanálů a postupné umožnění účinné koordinované reakce na úrovni Unie v případě závažného přeshraničního incidentu souvisejících s IKT nebo související hrozby se systémovým dopadem na finanční sektor Unie jako celek.

Tato cvičení mohou ve vhodných případech rovněž testovat závislosti finančního sektoru na jiných hospodářských odvětvích.

2.   Příslušné orgány, evropské orgány dohledu a ECB při plnění svých povinností podle článků 47 až 54 vzájemně úzce spolupracují a vyměňují si informace. Úzce koordinují svůj dohled za účelem zjišťování případů porušení tohoto nařízení a jejich nápravy, vypracování a prosazování osvědčených postupů, usnadňování spolupráce, prosazování jednotnosti výkladu a poskytování hodnocení napříč jurisdikcemi v případě jakékoli neshody.

Článek 50

Správní sankce a nápravná opatření

1.   Příslušné orgány mají všechny kontrolní, vyšetřovací a sankční pravomoci nezbytné k plnění svých povinností podle tohoto nařízení.

2.   Pravomoci podle odstavce 1 zahrnují přinejmenším tyto pravomoci:

| a) | mít přístup k jakémukoli dokumentu nebo údajům uloženým v jakékoli formě, které příslušný orgán považuje za relevantní pro výkon svých povinností, a obdržet nebo pořídit jejich kopii; |
| --- | --- |

a)

mít přístup k jakémukoli dokumentu nebo údajům uloženým v jakékoli formě, které příslušný orgán považuje za relevantní pro výkon svých povinností, a obdržet nebo pořídit jejich kopii;

| b) | provádět kontroly na místě nebo šetření, jež zahrnují mimo jiné možnost:






  i) | předvolat zástupce finančních subjektů a požádat je o ústní nebo písemné vysvětlení skutečností nebo dokumentů, které se týkají předmětu a účelu šetření, a odpovědi zaznamenat; |
| --- | --- | --- |

b)

provádět kontroly na místě nebo šetření, jež zahrnují mimo jiné možnost:

i)

předvolat zástupce finančních subjektů a požádat je o ústní nebo písemné vysvětlení skutečností nebo dokumentů, které se týkají předmětu a účelu šetření, a odpovědi zaznamenat;

| ii) | vyslechnout jakoukoli jinou fyzickou nebo právnickou osobu, které s tím souhlasí, za účelem získání informací souvisejících s předmětem šetření; |
| --- | --- |

ii)

vyslechnout jakoukoli jinou fyzickou nebo právnickou osobu, které s tím souhlasí, za účelem získání informací souvisejících s předmětem šetření;

| c) | požadovat opravná a nápravná opatření v případě porušení požadavků tohoto nařízení. |
| --- | --- |

c)

požadovat opravná a nápravná opatření v případě porušení požadavků tohoto nařízení.

3.   Aniž je dotčeno jejich právo ukládat trestní sankce podle článku 52, členské státy přijmou pravidla stanovící vhodné správní sankce a nápravná opatření pro případy porušení tohoto nařízení a zajistí jejich účinné uplatňování.

Tyto sankce a opatření musí být účinné, přiměřené a odrazující.

4.   Členské státy svěří příslušným orgánům pravomoc k uplatňování alespoň následujících správních sankcí nebo nápravných opatření v případech porušení tohoto nařízení:

| a) | vydat příkaz požadující, aby fyzická nebo právnická osoba ukončily jednání porušující toto nařízení nebo aby takové jednání neopakovaly; |
| --- | --- |

a)

vydat příkaz požadující, aby fyzická nebo právnická osoba ukončily jednání porušující toto nařízení nebo aby takové jednání neopakovaly;

| b) | požadovat dočasné nebo trvalé ukončení veškeré praxe nebo všech jednání, jež příslušné orgány považují za odporující ustanovením tohoto nařízení, a zabránit opakování této praxe nebo tohoto jednání; |
| --- | --- |

b)

požadovat dočasné nebo trvalé ukončení veškeré praxe nebo všech jednání, jež příslušné orgány považují za odporující ustanovením tohoto nařízení, a zabránit opakování této praxe nebo tohoto jednání;

| c) | přijmout jakákoliv opatření, včetně opatření peněžité povahy, zajišťující, že finanční subjekty budou nadále dodržovat požadavky právních předpisů; |
| --- | --- |

c)

přijmout jakákoliv opatření, včetně opatření peněžité povahy, zajišťující, že finanční subjekty budou nadále dodržovat požadavky právních předpisů;

| d) | v rozsahu povoleném vnitrostátním právem vyžadovat existující záznamy o datovém provozu uchovávané telekomunikačním operátorem, jestliže existuje důvodné podezření na porušení tohoto nařízení a jestliže tyto záznamy mohou být relevantními podklady pro vyšetřování porušení tohoto nařízení; a |
| --- | --- |

d)

v rozsahu povoleném vnitrostátním právem vyžadovat existující záznamy o datovém provozu uchovávané telekomunikačním operátorem, jestliže existuje důvodné podezření na porušení tohoto nařízení a jestliže tyto záznamy mohou být relevantními podklady pro vyšetřování porušení tohoto nařízení; a

| e) | vydávat veřejná oznámení, včetně veřejných prohlášení uvádějících totožnost fyzických či právnických osob a povahu jejich porušení. |
| --- | --- |

e)

vydávat veřejná oznámení, včetně veřejných prohlášení uvádějících totožnost fyzických či právnických osob a povahu jejich porušení.

5.   Pokud se odst. 2 písm. c) a odstavec 4 použijí na právnické osoby, svěří členské státy příslušným orgánům pravomoc uplatňovat správní sankce a nápravná opatření s výhradou podmínek stanovených ve vnitrostátním právu, na členy vedoucího orgánu a na další osoby, které nesou podle vnitrostátního práva odpovědnost za dané porušení.

6.   Členské státy zajistí, aby veškerá rozhodnutí o uložení správních sankcí nebo nápravných opatření uvedených v odst. 2 písm. c) byla řádně odůvodněna a aby bylo možné podat proti nim opravný prostředek.

Článek 51

Výkon pravomoci ukládat správní sankce a jiná nápravná opatření

1.   Příslušné orgány vykonávají pravomoc ukládat správní sankce a nápravná opatření podle článku 50 v souladu se svým vnitrostátním právním řádem v příslušných případech takto:

| a) | přímo; |
| --- | --- |

a)

přímo;

| b) | ve spolupráci s jinými orgány; |
| --- | --- |

b)

ve spolupráci s jinými orgány;

| c) | na svou odpovědnost přenesením pravomoci na jiné orgány nebo |
| --- | --- |

c)

na svou odpovědnost přenesením pravomoci na jiné orgány nebo

| d) | podáním návrhu příslušným soudním orgánům. |
| --- | --- |

d)

podáním návrhu příslušným soudním orgánům.

2.   Příslušné orgány při určování druhu a úrovně správní sankce nebo nápravného opatření uloženého podle článku 50 zohledňují, do jaké míry bylo porušení způsobeno úmyslně nebo z nedbalosti, a všechny ostatní relevantní okolnosti, případně včetně:

| a) | významu, závažnosti a doby trvání porušení; |
| --- | --- |

a)

významu, závažnosti a doby trvání porušení;

| b) | míry odpovědnosti fyzické nebo právnické osoby odpovědných za porušení; |
| --- | --- |

b)

míry odpovědnosti fyzické nebo právnické osoby odpovědných za porušení;

| c) | finanční síly odpovědné fyzické nebo právnické osoby; |
| --- | --- |

c)

finanční síly odpovědné fyzické nebo právnické osoby;

| d) | významu zisků nebo ztrát, kterých odpovědná fyzická nebo právnická osoba dosáhly nebo kterým předešla, pokud je možné je stanovit; |
| --- | --- |

d)

významu zisků nebo ztrát, kterých odpovědná fyzická nebo právnická osoba dosáhly nebo kterým předešla, pokud je možné je stanovit;

| e) | ztrát třetích stran způsobených porušením, pokud je lze stanovit; |
| --- | --- |

e)

ztrát třetích stran způsobených porušením, pokud je lze stanovit;

| f) | míry spolupráce odpovědné fyzické nebo právnické osoby s příslušným orgánem, aniž je dotčena nutnost zajistit vydání zisku realizovaného těmito osobami nebo ztrát, kterým se vyhnuly; |
| --- | --- |

f)

míry spolupráce odpovědné fyzické nebo právnické osoby s příslušným orgánem, aniž je dotčena nutnost zajistit vydání zisku realizovaného těmito osobami nebo ztrát, kterým se vyhnuly;

| g) | předchozích porušení ze strany odpovědné fyzické nebo právnické osoby. |
| --- | --- |

g)

předchozích porušení ze strany odpovědné fyzické nebo právnické osoby.

Článek 52

Trestní sankce

1.   Členské státy se mohou rozhodnout, že nestanoví správní sankce nebo nápravná opatření za ta porušení, na která se podle jejich vnitrostátního práva vztahují trestní sankce.

2.   Pokud se členské státy rozhodly stanovit za porušení tohoto nařízení trestní sankce, zajistí, aby byla zavedena vhodná opatření k tomu, aby příslušné orgány měly veškeré pravomoci nezbytné ke spolupráci se soudními orgány, orgány vedoucími trestní stíhání či jinými orgány činnými v trestním řízení v rámci své jurisdikce s cílem získat konkrétní informace týkající se trestního vyšetřování či řízení zahájeného pro porušení tohoto nařízení a poskytnout tyto informace ostatním příslušným orgánům a rovněž EBA, ESMA nebo EIOPA, aby mohly splnit svou povinnost spolupráce pro účely tohoto nařízení.

Článek 53

Oznamovací povinnost

Členské státy oznámí právní a správní předpisy k provedení této kapitoly, včetně případných relevantních trestněprávních ustanovení, Komisi a ESMA, EBA a EIOPA do 17. ledna 2025. Dále Komisi a ESMA, EBA a EIOPA neprodleně oznámí všechny jejich následné změny.

Článek 54

Uveřejnění správních sankcí

1.   Příslušné orgány uveřejňují na svých oficiálních internetových stránkách bez zbytečného odkladu všechna rozhodnutí o uložení správní sankce, proti nimž není možné podat opravný prostředek, jakmile je subjektu, jemuž byla sankce uložena, toto rozhodnutí oznámeno.

2.   Uveřejnění uvedené v odstavci 1 zahrnuje informace o druhu a povaze porušení, totožnosti odpovědných osob a uložených sankcích.

3.   Pokud se příslušný orgán na základě posouzení jednotlivých případů domnívá, že by uveřejnění totožnosti u právnických osob nebo totožnosti a osobních údajů u fyzických osob nebylo přiměřené, včetně rizik souvisejících s ochranou osobních údajů, že by ohrožovalo stabilitu finančních trhů nebo vedení probíhajícího vyšetřování trestného činu, nebo by způsobilo, pokud by bylo možné určit totožnost dotčených osob, těmto osobám nepřiměřené škody, přijme ohledně rozhodnutí o uložení správních sankcí některé z těchto řešení:

| a) | odloží jeho uveřejnění až do okamžiku, kdy pominou všechny důvody pro neuveřejnění; |
| --- | --- |

a)

odloží jeho uveřejnění až do okamžiku, kdy pominou všechny důvody pro neuveřejnění;

| b) | uveřejní je anonymně v souladu s vnitrostátním právem; nebo |
| --- | --- |

b)

uveřejní je anonymně v souladu s vnitrostátním právem; nebo

| c) | neuveřejní je, budou-li možnosti uvedené v písmenech a) a b) považovány za nedostatečné k zajištění toho, že nebude nijak ohrožena stabilita finančních trhů, nebo bude-li toto uveřejnění nepřiměřené mírné povaze ukládané sankce. |
| --- | --- |

c)

neuveřejní je, budou-li možnosti uvedené v písmenech a) a b) považovány za nedostatečné k zajištění toho, že nebude nijak ohrožena stabilita finančních trhů, nebo bude-li toto uveřejnění nepřiměřené mírné povaze ukládané sankce.

4.   V případě rozhodnutí uveřejnit správní sankci anonymně podle odst. 3 písm. b) může být uveřejnění příslušných údajů odloženo.

5.   Pokud příslušný orgán uveřejní rozhodnutí o uložení správní sankce, vůči němuž je podán opravný prostředek k příslušným soudním orgánům, příslušné orgány tuto informaci ihned uvedou na svých oficiálních internetových stránkách spolu s případnými následnými informacemi o výsledku řízení o tomto opravném prostředku zjištěných v pozdějších fázích. Rovněž se uveřejní jakékoli soudní rozhodnutí, kterým se rozhodnutí o uložení správní sankce ruší.

6.   Příslušné orgány zajistí, aby jakékoli uveřejnění podle odstavců 1 až 4 zůstalo na jejich oficiálních internetových stránkách pouze po dobu nezbytně nutnou k zajištění souladu s tímto článkem. Toto období nepřesáhne pět let od daného uveřejnění.

Článek 55

Profesní tajemství

1.   Na veškeré důvěrné informace obdržené, vyměněné nebo předané podle tohoto nařízení se vztahují podmínky profesního tajemství stanovené v odstavci 2.

2.   Povinnost zachovávat profesní tajemství se vztahuje na všechny osoby, které pracují nebo pracovaly pro příslušné orgány podle tohoto nařízení či jakýkoli orgán nebo podnik na trhu či pro fyzickou nebo právnickou osobu, na něž příslušné orgány přenesly své pravomoci, včetně auditorů a odborníků smluvně najatých těmito orgány.

3.   Informace, na něž se vztahuje profesní tajemství, včetně výměny informací mezi příslušnými orgány podle tohoto nařízení a příslušnými orgány určenými nebo zřízenými v souladu se směrnicí (EU) 2022/2555, nesmějí být sděleny žádné jiné osobě nebo orgánu, vyjma na základě ustanovení unijního či vnitrostátního práva.

4.   Veškeré informace vyměněné mezi příslušnými orgány podle tohoto nařízení, které se týkají obchodních nebo provozních podmínek a jiných ekonomických či osobních záležitostí, jsou považovány za důvěrné a podléhají profesnímu tajemství s výjimkou případů, kdy příslušný orgán v okamžiku jejich sdělení uvede, že informace mohou být zpřístupněny, nebo kdy je takovéto zpřístupnění nutné pro účely soudního řízení.

Článek 56

Ochrana údajů

1.   Evropské orgány dohledu a příslušné orgány mohou zpracovávat osobní údaje pouze tehdy, je-li to nezbytné pro účely plnění jejich příslušných povinností podle tohoto nařízení, zejména pro účely šetření, kontroly, žádosti o informace, komunikace, zveřejňování, hodnocení, ověřování, posuzování a vypracovávání plánů dohledu. Osobní údaje se zpracovávají v souladu s nařízením (EU) 2016/679 nebo případně nařízením (EU) 2018/1725.

2.   Není-li v jiných odvětvových aktech stanoveno jinak, osobní údaje uvedené v odstavci 1 se uchovávají až do splnění příslušných povinností dohledu a v každém případě po dobu nejvýše 15 let, s výjimkou případů, kdy soudní řízení vyžaduje další uchovávání těchto údajů.

KAPITOLA VIII

Akty v přenesené pravomoci

Článek 57

Výkon přenesené pravomoci

1.   Pravomoc přijímat akty v přenesené pravomoci je svěřena Komisi za podmínek stanovených v tomto článku.

2.   Pravomoc přijímat akty v přenesené pravomoci uvedená v čl. 31 odst. 6 a čl. 43 odst. 2 je svěřena Komisi na dobu pěti let od 17. ledna 2024. Komise vypracuje zprávu o výkonu přenesení pravomoci nejpozději devět měsíců před koncem tohoto pětiletého období. Přenesení pravomoci se automaticky prodlužuje o stejně dlouhá období, pokud Evropský parlament ani Rada nevysloví proti tomuto prodloužení námitku nejpozději tři měsíce před koncem každého z těchto období.

3.   Evropský parlament nebo Rada mohou přenesení pravomoci uvedené v čl. 31 odst. 6 a čl. 43 odst. 2 kdykoli zrušit. Rozhodnutím o zrušení se ukončuje přenesení pravomoci v něm určené. Rozhodnutí nabývá účinku prvním dnem po zveřejnění v Úředním věstníku Evropské unie, nebo k pozdějšímu dni, který je v něm upřesněn. Nedotýká se platnosti již platných aktů v přenesené pravomoci.

4.   Před přijetím aktu v přenesené pravomoci Komise vede konzultace s odborníky jmenovanými jednotlivými členskými státy v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů.

5.   Přijetí aktu v přenesené pravomoci Komise neprodleně oznámí současně Evropskému parlamentu a Radě.

6.   Akt v přenesené pravomoci přijatý podle čl. 31 odst. 6 a čl. 43 odst. 2 vstoupí v platnost pouze tehdy, pokud proti němu Evropský parlament ani Rada nevysloví námitky ve lhůtě tří měsíců ode dne, kdy jim byl tento akt oznámen, nebo pokud Evropský parlament i Rada před uplynutím této lhůty informují Komisi o tom, že námitky nevysloví. Z podnětu Evropského parlamentu nebo Rady se tato lhůta prodlouží o tři měsíce.

KAPITOLA IX

Přechodná a závěrečná ustanovení

Oddíl I

Článek 58

Ustanovení o přezkumu

1.   Do 17. ledna 2028 Komise po konzultaci s EBA, ESMA, EIOPA a případně ESRB provede přezkum a předloží zprávu Evropskému parlamentu a Radě, k níž případně připojí legislativní návrh. Tento přezkum zahrnuje alespoň:

| a) | kritéria pro určení kritických poskytovatelů služeb IKT z řad třetích stran v souladu s čl. 31 odst. 2; |
| --- | --- |

a)

kritéria pro určení kritických poskytovatelů služeb IKT z řad třetích stran v souladu s čl. 31 odst. 2;

| b) | dobrovolnou povahu oznamování významných kybernetických hrozeb podle článku 19; |
| --- | --- |

b)

dobrovolnou povahu oznamování významných kybernetických hrozeb podle článku 19;

| c) | režim uvedený v čl. 31 odst. 12 a pravomoci hlavního orgánu dohledu stanovené v čl. 35 odst. 1 písm. d) bodě iv) první odrážce, a to s cílem posoudit účinnost těchto ustanovení s ohledem na zajištění účinného dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran usazenými ve třetí zemi a nezbytnost založit dceřiný podnik v Unii.
  Pro účely prvního pododstavce tohoto písmene přezkum zahrnuje analýzu režimu uvedeného v čl. 31 odst. 12, včetně podmínek přístupu finančních subjektů Unie ke službám ze třetích zemí a dostupnosti těchto služeb na trhu Unie, a zohlední další vývoj na trzích služeb, na něž se vztahuje toto nařízení, praktické zkušenosti finančních subjektů a orgánů finančního dohledu, pokud jde o uplatňování tohoto režimu a dohled nad ním, a veškerý relevantní vývoj v oblasti regulace a dohledu na mezinárodní úrovni; |
| --- | --- |

c)

režim uvedený v čl. 31 odst. 12 a pravomoci hlavního orgánu dohledu stanovené v čl. 35 odst. 1 písm. d) bodě iv) první odrážce, a to s cílem posoudit účinnost těchto ustanovení s ohledem na zajištění účinného dohledu nad kritickými poskytovateli služeb IKT z řad třetích stran usazenými ve třetí zemi a nezbytnost založit dceřiný podnik v Unii.

Pro účely prvního pododstavce tohoto písmene přezkum zahrnuje analýzu režimu uvedeného v čl. 31 odst. 12, včetně podmínek přístupu finančních subjektů Unie ke službám ze třetích zemí a dostupnosti těchto služeb na trhu Unie, a zohlední další vývoj na trzích služeb, na něž se vztahuje toto nařízení, praktické zkušenosti finančních subjektů a orgánů finančního dohledu, pokud jde o uplatňování tohoto režimu a dohled nad ním, a veškerý relevantní vývoj v oblasti regulace a dohledu na mezinárodní úrovni;

| d) | vhodnost toho, aby byly do oblasti působnosti tohoto nařízení zahrnuty finanční subjekty uvedené v čl. 2 odst. 3 písm. e), které využívají automatizované systémy prodeje, s ohledem na budoucí vývoj na trhu, pokud jde o využívání těchto systémů; |
| --- | --- |

d)

vhodnost toho, aby byly do oblasti působnosti tohoto nařízení zahrnuty finanční subjekty uvedené v čl. 2 odst. 3 písm. e), které využívají automatizované systémy prodeje, s ohledem na budoucí vývoj na trhu, pokud jde o využívání těchto systémů;

| e) | fungování a účinnost společné sítě dohledu při podpoře soudržnosti dohledu a efektivnosti výměny informací v mezích rámce dohledu. |
| --- | --- |

e)

fungování a účinnost společné sítě dohledu při podpoře soudržnosti dohledu a efektivnosti výměny informací v mezích rámce dohledu.

2.   V souvislosti s přezkumem směrnice (EU) 2015/2366 Komise posoudí potřebu větší kybernetické odolnosti platebních systémů a činností zpracování plateb a vhodnost rozšíření oblasti působnosti tohoto nařízení na provozovatele platebních systémů a subjekty zapojené do činností zpracování plateb. Na základě tohoto posouzení předloží Komise Evropskému parlamentu a Radě zprávu v rámci přezkumu směrnice (EU) 2015/2366 do 17. července 2023.

Na základě této zprávy o přezkumu a po konzultaci evropských orgánů dohledu, ECB a ESRB může Komise ve vhodných případech a v rámci legislativního návrhu, který může přijmout podle čl. 108 druhého pododstavce směrnice (EU) 2015/2366, předložit návrh na zajištění toho, aby všichni provozovatelé platebních systémů a subjekty zapojené do činností zpracování plateb podléhali náležitému dohledu, a to při zohlednění stávajícího dohledu ze strany centrální banky.

3.   Do 17. ledna 2026 provede Komise po konzultaci s evropskými orgány dohledu a Výborem evropských orgánů dohledu nad auditem přezkum a předloží Evropskému parlamentu a Radě zprávu, k níž případně přiloží legislativní návrh týkající se vhodnosti přísnějších požadavků na statutární auditory a auditorské společnosti, pokud jde o digitální provozní odolnost, a to zahrnutím statutárních auditorů a auditorských společností do oblasti působnosti tohoto nařízení nebo změnou směrnice Evropského parlamentu a Rady 2006/43/ES (39).

Oddíl II

Změny

Článek 59

Změny nařízení (ES) č. 1060/2009

Nařízení (ES) č. 1060/2009 se mění takto:

| 1) | v příloze I oddílu A bodu 4 se první pododstavec nahrazuje tímto:

  „Ratingová agentura používá řádné administrativní a účetní postupy, mechanismy vnitřní kontroly, účinné postupy hodnocení rizik a účinná kontrolní a ochranná opatření pro řízení systémů IKT v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*1).

  (*1)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“;" |
| --- | --- |

1)

v příloze I oddílu A bodu 4 se první pododstavec nahrazuje tímto:

„Ratingová agentura používá řádné administrativní a účetní postupy, mechanismy vnitřní kontroly, účinné postupy hodnocení rizik a účinná kontrolní a ochranná opatření pro řízení systémů IKT v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*1).

*1

(*1)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“;"

*1

| 2) | v příloze III se bod 12 nahrazuje tímto:






  „12. | Ratingová agentura porušuje čl. 6 odst. 2 ve spojení s oddílem A bodem 4 přílohy I tím, že nemá řádné administrativní nebo účetní postupy, mechanismy vnitřní kontroly, účinné postupy hodnocení rizik a účinná kontrolní a ochranná opatření pro řízení systémů IKT v souladu s nařízením (EU) 2022/2554, nebo že nezavede a neudržuje rozhodovací postupy a organizační struktury, jak je vyžaduje zmíněný bod.“ |
| --- | --- | --- |

2)

v příloze III se bod 12 nahrazuje tímto:

„12.

Ratingová agentura porušuje čl. 6 odst. 2 ve spojení s oddílem A bodem 4 přílohy I tím, že nemá řádné administrativní nebo účetní postupy, mechanismy vnitřní kontroly, účinné postupy hodnocení rizik a účinná kontrolní a ochranná opatření pro řízení systémů IKT v souladu s nařízením (EU) 2022/2554, nebo že nezavede a neudržuje rozhodovací postupy a organizační struktury, jak je vyžaduje zmíněný bod.“

Článek 60

Změny nařízení (EU) č. 648/2012

Nařízení (EU) č. 648/2012 se mění takto:

| 1) | článek 26 se mění takto:






  a) | odstavec 3 se nahrazuje tímto:

  „3.   Ústřední protistrana musí mít a provozovat organizační strukturu, která zajišťuje nepřetržitý a řádný výkon jejích služeb a činností. Musí využívat vhodné a přiměřené systémy, zdroje a postupy, včetně systémů IKT řízených v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*2).


  (*2)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“;" |
| --- | --- | --- |

1)

článek 26 se mění takto:

a)

odstavec 3 se nahrazuje tímto:

„3.   Ústřední protistrana musí mít a provozovat organizační strukturu, která zajišťuje nepřetržitý a řádný výkon jejích služeb a činností. Musí využívat vhodné a přiměřené systémy, zdroje a postupy, včetně systémů IKT řízených v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*2).

(*2)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“;"

*2

| b) | odstavec 6 se zrušuje. |
| --- | --- |

b)

odstavec 6 se zrušuje.

| 2) | článek 34 se mění takto:






  a) | odstavec 1 se nahrazuje tímto:

  „1.   Ústřední protistrana zavede, provádí a udržuje vhodnou politiku zachování provozu a plán obnovy činnosti po havárii, který zahrnuje politiku zachování provozu IKT a plány reakce a obnovy v oblasti IKT zavedené a prováděné v souladu s nařízením (EU) 2022/2554, s cílem zajistit zachování svých funkcí, včasné obnovení operací a plnění povinností ústřední protistrany.“; |
| --- | --- | --- |

2)

článek 34 se mění takto:

a)

odstavec 1 se nahrazuje tímto:

„1.   Ústřední protistrana zavede, provádí a udržuje vhodnou politiku zachování provozu a plán obnovy činnosti po havárii, který zahrnuje politiku zachování provozu IKT a plány reakce a obnovy v oblasti IKT zavedené a prováděné v souladu s nařízením (EU) 2022/2554, s cílem zajistit zachování svých funkcí, včasné obnovení operací a plnění povinností ústřední protistrany.“;

| b) | v odstavci 3 se první pododstavec nahrazuje tímto:

  „3.   K zajištění jednotného uplatňování tohoto článku vypracuje ESMA po konzultaci s členy ESCB návrhy regulačních technických norem, které blíže určují minimální obsah politiky zachování provozu a plánu obnovy činnosti po havárii a požadavky na ně, vyjma politiky zachování provozu IKT a plánu obnovy činnosti po havárii IKT.“ |
| --- | --- |

b)

v odstavci 3 se první pododstavec nahrazuje tímto:

„3.   K zajištění jednotného uplatňování tohoto článku vypracuje ESMA po konzultaci s členy ESCB návrhy regulačních technických norem, které blíže určují minimální obsah politiky zachování provozu a plánu obnovy činnosti po havárii a požadavky na ně, vyjma politiky zachování provozu IKT a plánu obnovy činnosti po havárii IKT.“

| 3) | v čl. 56 odst. 3 se první pododstavec nahrazuje tímto:

  „3.   K zajištění jednotného uplatňování tohoto článku vypracuje ESMA návrhy regulačních technických norem, které blíže určují náležitosti žádosti o registraci uvedené v odstavci 1 kromě požadavků týkajících se řízení rizika v oblasti IKT.“ |
| --- | --- |

3)

v čl. 56 odst. 3 se první pododstavec nahrazuje tímto:

„3.   K zajištění jednotného uplatňování tohoto článku vypracuje ESMA návrhy regulačních technických norem, které blíže určují náležitosti žádosti o registraci uvedené v odstavci 1 kromě požadavků týkajících se řízení rizika v oblasti IKT.“

| 4) | v článku 79 se odstavce 1 a 2 nahrazují tímto:

  „1.   Registr obchodních údajů určí zdroje operačního rizika a minimalizuje je rovněž vypracováním vhodných systémů, kontrol a postupů, včetně systémů IKT řízených v souladu s nařízením (EU) 2022/2554.


  2.   Registr obchodních údajů stanoví, provádí a dodržuje adekvátní politiku zachování provozu a plán obnovy činnosti po havárii, včetně politiky zachování provozu IKT a plánů reakce a obnovy v oblasti IKT vypracovaných v souladu s nařízením (EU) 2022/2554, s cílem zajistit zachování svých funkcí, včasné obnovení operací a plnění svých povinností.“ |
| --- | --- |

4)

v článku 79 se odstavce 1 a 2 nahrazují tímto:

„1.   Registr obchodních údajů určí zdroje operačního rizika a minimalizuje je rovněž vypracováním vhodných systémů, kontrol a postupů, včetně systémů IKT řízených v souladu s nařízením (EU) 2022/2554.

2.   Registr obchodních údajů stanoví, provádí a dodržuje adekvátní politiku zachování provozu a plán obnovy činnosti po havárii, včetně politiky zachování provozu IKT a plánů reakce a obnovy v oblasti IKT vypracovaných v souladu s nařízením (EU) 2022/2554, s cílem zajistit zachování svých funkcí, včasné obnovení operací a plnění svých povinností.“

| 5) | v článku 80 se zrušuje odstavec 1. |
| --- | --- |

5)

v článku 80 se zrušuje odstavec 1.

| 6) | v příloze I se oddíl II mění takto:






  a) | písmena a) a b) se nahrazují tímto:






  „a) | registr obchodních údajů porušuje čl. 79 odst. 1 tím, že neurčí zdroje operačního rizika nebo nezajistí jejich minimalizaci vypracováním vhodných systémů, kontrol a postupů, včetně systémů IKT řízených v souladu s nařízením (EU) 2022/2554; |
| --- | --- | --- | --- |

6)

v příloze I se oddíl II mění takto:

a)

písmena a) a b) se nahrazují tímto:

„a)

registr obchodních údajů porušuje čl. 79 odst. 1 tím, že neurčí zdroje operačního rizika nebo nezajistí jejich minimalizaci vypracováním vhodných systémů, kontrol a postupů, včetně systémů IKT řízených v souladu s nařízením (EU) 2022/2554;

| b) | registr obchodních údajů porušuje čl. 79 odst. 2 tím, že nestanoví, neprovádí nebo nedodržuje adekvátní politiku zachování provozu a plán obnovy po havárii vypracované v souladu s nařízením (EU) 2022/2554 s cílem zajistit zachování svých funkcí, včasné obnovení operací a plnění svých povinností.“; |
| --- | --- |

b)

registr obchodních údajů porušuje čl. 79 odst. 2 tím, že nestanoví, neprovádí nebo nedodržuje adekvátní politiku zachování provozu a plán obnovy po havárii vypracované v souladu s nařízením (EU) 2022/2554 s cílem zajistit zachování svých funkcí, včasné obnovení operací a plnění svých povinností.“;

| b) | písmeno c) se zrušuje. |
| --- | --- |

b)

písmeno c) se zrušuje.

| 7) | příloha III se mění takto:






  a) | oddíl II se mění takto:






  i) | písmeno c) se nahrazuje tímto:






  „c) | ústřední protistrana tier 2 porušuje čl. 26 odst. 3 tím, že nemá nebo neprovozuje organizační strukturu, která zajišťuje nepřetržitý a řádný výkon jejích služeb a činností, nebo nevyužívá vhodné a přiměřené systémy, zdroje a postupy, včetně systémů IKT řízených v souladu s nařízením (EU) 2022/2554“; |
| --- | --- | --- | --- | --- |

7)

příloha III se mění takto:

a)

oddíl II se mění takto:

i)

písmeno c) se nahrazuje tímto:

„c)

ústřední protistrana tier 2 porušuje čl. 26 odst. 3 tím, že nemá nebo neprovozuje organizační strukturu, která zajišťuje nepřetržitý a řádný výkon jejích služeb a činností, nebo nevyužívá vhodné a přiměřené systémy, zdroje a postupy, včetně systémů IKT řízených v souladu s nařízením (EU) 2022/2554“;

| ii) | písmeno f) se zrušuje; |
| --- | --- |

ii)

písmeno f) se zrušuje;

| b) | v oddíle III se písmeno a) nahrazuje tímto:






  „a) | ústřední protistrana tier 2 porušuje čl. 34 odst. 1 tím, že nezavede, neprovádí nebo neudržuje adekvátní politiku zachování provozu a plán reakce a obnovy vypracovaný v souladu s nařízením (EU) 2022/2554 s cílem zajistit zachování svých funkcí, včasné obnovení operací a plnění povinností ústřední protistrany, který umožňuje alespoň obnovit všechny obchody k okamžiku přerušení, aby ústřední protistrana mohla nadále s jistotou fungovat a dokončit vypořádání ve stanovený den;“. |
| --- | --- | --- |

b)

v oddíle III se písmeno a) nahrazuje tímto:

„a)

ústřední protistrana tier 2 porušuje čl. 34 odst. 1 tím, že nezavede, neprovádí nebo neudržuje adekvátní politiku zachování provozu a plán reakce a obnovy vypracovaný v souladu s nařízením (EU) 2022/2554 s cílem zajistit zachování svých funkcí, včasné obnovení operací a plnění povinností ústřední protistrany, který umožňuje alespoň obnovit všechny obchody k okamžiku přerušení, aby ústřední protistrana mohla nadále s jistotou fungovat a dokončit vypořádání ve stanovený den;“.

Článek 61

Změny nařízení (EU) č. 909/2014

Článek 45 nařízení (EU) č. 909/2014 se mění takto:

| 1) | odstavec 1 se nahrazuje tímto:

  „1.   Centrální depozitář určí vnitřní i vnější zdroje operačního rizika a minimalizuje jejich dopad rovněž zaváděním vhodných nástrojů, procesů a politik IKT zavedených a řízených v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*3) a rovněž pomocí jakýchkoli jiných vhodných nástrojů, kontrol a postupů pro jiné druhy operačního rizika, mimo jiné pro všechny vypořádací systémy, které provozuje.


  (*3)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“
  " |
| --- | --- |

1)

odstavec 1 se nahrazuje tímto:

„1.   Centrální depozitář určí vnitřní i vnější zdroje operačního rizika a minimalizuje jejich dopad rovněž zaváděním vhodných nástrojů, procesů a politik IKT zavedených a řízených v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*3) a rovněž pomocí jakýchkoli jiných vhodných nástrojů, kontrol a postupů pro jiné druhy operačního rizika, mimo jiné pro všechny vypořádací systémy, které provozuje.

(*3)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“
  "

*3

| 2) | odstavec 2 se zrušuje. |
| --- | --- |

2)

odstavec 2 se zrušuje.

| 3) | odstavce 3 a 4 se nahrazují tímto:

  „3.   Pro služby, které poskytuje, jakož i pro každý vypořádací systém, který provozuje, centrální depozitář vypracuje, zavede a udržuje adekvátní politiku zachování provozu a plán obnovy provozu po havárii, včetně politiky zachování provozu IKT a plánů reakce a obnovy v oblasti IKT vypracovaných v souladu s nařízením (EU) 2022/2554, aby zajistil zachování služeb, včasnou obnovu provozu a plnění povinností centrálního depozitáře v případě událostí, které představují významné riziko narušení provozu.


  4.   Plán uvedený v odstavci 3 musí zajistit obnovení všech obchodů a pozic účastníků k okamžiku narušení provozu, aby mohli účastníci centrálního depozitáře s jistotou pokračovat v činnosti a dokončit vypořádání v plánovaný den, mimo jiné zajištěním toho, aby kritické systémy informačních technologií mohly obnovit provoz od okamžiku jeho narušení, jak je stanoveno v čl. 12 odst. 5 a 7 nařízení (EU) 2022/2554.“ |
| --- | --- |

3)

odstavce 3 a 4 se nahrazují tímto:

„3.   Pro služby, které poskytuje, jakož i pro každý vypořádací systém, který provozuje, centrální depozitář vypracuje, zavede a udržuje adekvátní politiku zachování provozu a plán obnovy provozu po havárii, včetně politiky zachování provozu IKT a plánů reakce a obnovy v oblasti IKT vypracovaných v souladu s nařízením (EU) 2022/2554, aby zajistil zachování služeb, včasnou obnovu provozu a plnění povinností centrálního depozitáře v případě událostí, které představují významné riziko narušení provozu.

4.   Plán uvedený v odstavci 3 musí zajistit obnovení všech obchodů a pozic účastníků k okamžiku narušení provozu, aby mohli účastníci centrálního depozitáře s jistotou pokračovat v činnosti a dokončit vypořádání v plánovaný den, mimo jiné zajištěním toho, aby kritické systémy informačních technologií mohly obnovit provoz od okamžiku jeho narušení, jak je stanoveno v čl. 12 odst. 5 a 7 nařízení (EU) 2022/2554.“

| 4) | odstavec 6 se nahrazuje tímto:

  „6.   Centrální depozitář určí, sleduje a řídí rizika, která by pro jeho provoz mohli představovat hlavní účastníci vypořádacích systémů, které provozuje, jakož i poskytovatelé služeb a technické infrastruktury, jiní centrální depozitáři nebo jiné subjekty tržní infrastruktury. Na žádost poskytne příslušným a dotčeným orgánům informace o každém takto určeném riziku. Centrální depozitář rovněž příslušný orgán a dotčené orgány neprodleně informuje o všech provozních incidentech z těchto rizik vyplývajících, kromě incidentů souvisejících s rizikem v oblasti IKT.“; |
| --- | --- |

4)

odstavec 6 se nahrazuje tímto:

„6.   Centrální depozitář určí, sleduje a řídí rizika, která by pro jeho provoz mohli představovat hlavní účastníci vypořádacích systémů, které provozuje, jakož i poskytovatelé služeb a technické infrastruktury, jiní centrální depozitáři nebo jiné subjekty tržní infrastruktury. Na žádost poskytne příslušným a dotčeným orgánům informace o každém takto určeném riziku. Centrální depozitář rovněž příslušný orgán a dotčené orgány neprodleně informuje o všech provozních incidentech z těchto rizik vyplývajících, kromě incidentů souvisejících s rizikem v oblasti IKT.“;

| 5) | v odstavci 7 se první pododstavec nahrazuje tímto:

  „7.   Orgán ESMA vypracuje v úzké spolupráci s členy ESCB návrhy regulačních technických norem upřesňujících operační rizika uvedená v odstavcích 1 a 6, kromě rizika v oblasti IKT, metody testování, řešení nebo minimalizace těchto rizik, včetně politik zachování provozu a plánu obnovy provozu po havárii uvedených v odstavcích 3 a 4, a metody jejich posuzování.“ |
| --- | --- |

5)

v odstavci 7 se první pododstavec nahrazuje tímto:

„7.   Orgán ESMA vypracuje v úzké spolupráci s členy ESCB návrhy regulačních technických norem upřesňujících operační rizika uvedená v odstavcích 1 a 6, kromě rizika v oblasti IKT, metody testování, řešení nebo minimalizace těchto rizik, včetně politik zachování provozu a plánu obnovy provozu po havárii uvedených v odstavcích 3 a 4, a metody jejich posuzování.“

Článek 62

Změny nařízení (EU) č. 600/2014

Nařízení (EU) č. 600/2014 se mění takto:

| 1) | článek 27 g se mění takto:






  a) | odstavec 4 se nahrazuje tímto:






  „4. | „Schválený systém pro uveřejňování splňuje požadavky týkající se bezpečnosti sítí a informačních systémů stanovené v nařízení Evropského parlamentu a Rady (EU) 2022/2554 (*4). |
| --- | --- | --- | --- |

1)

článek 27 g se mění takto:

a)

odstavec 4 se nahrazuje tímto:

„4.

„Schválený systém pro uveřejňování splňuje požadavky týkající se bezpečnosti sítí a informačních systémů stanovené v nařízení Evropského parlamentu a Rady (EU) 2022/2554 (*4).

*4

(*4)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“;"

*4

| b) | v odstavci 8 se písmeno c) nahrazuje tímto:






  „c) | konkrétní organizační požadavky stanovené v odstavcích 3 a 5.“ |
| --- | --- | --- |

b)

v odstavci 8 se písmeno c) nahrazuje tímto:

„c)

konkrétní organizační požadavky stanovené v odstavcích 3 a 5.“

| 2) | článek 27h se mění takto:






  a) | odstavec 5 se nahrazuje tímto:

  „5.   Schválený systém pro uveřejňování splňuje požadavky týkající se bezpečnosti sítí a informačních systémů stanovené v nařízení (EU) 2022/2554.“; |
| --- | --- | --- |

2)

článek 27h se mění takto:

a)

odstavec 5 se nahrazuje tímto:

„5.   Schválený systém pro uveřejňování splňuje požadavky týkající se bezpečnosti sítí a informačních systémů stanovené v nařízení (EU) 2022/2554.“;

| b) | v odstavci 8 se písmeno e) nahrazuje tímto:






  „e) | konkrétní organizační požadavky stanovené v odstavci 4.“ |
| --- | --- | --- |

b)

v odstavci 8 se písmeno e) nahrazuje tímto:

„e)

konkrétní organizační požadavky stanovené v odstavci 4.“

| 3) | článek 27i se mění takto:






  a) | odstavec 3 se nahrazuje tímto:

  „3.   Schválený mechanismus pro hlášení obchodů splňuje požadavky týkající se bezpečnosti sítí a informačních systémů stanovené v nařízení (EU) 2022/2554.“; |
| --- | --- | --- |

3)

článek 27i se mění takto:

a)

odstavec 3 se nahrazuje tímto:

„3.   Schválený mechanismus pro hlášení obchodů splňuje požadavky týkající se bezpečnosti sítí a informačních systémů stanovené v nařízení (EU) 2022/2554.“;

| b) | v odstavci 5 se písmeno b) nahrazuje tímto:






  „b) | konkrétní organizační požadavky stanovené v odstavcích 2 a 4.“ |
| --- | --- | --- |

b)

v odstavci 5 se písmeno b) nahrazuje tímto:

„b)

konkrétní organizační požadavky stanovené v odstavcích 2 a 4.“

Článek 63

Změny nařízení (EU) 2016/1011

V článku 6 nařízení (EU) 2016/1011 se doplňuje nový odstavec, který zní:

| „6. | U referenčních hodnot s kritickým významem administrátor používá řádné administrativní a účetní postupy, mechanismy vnitřní kontroly, účinné postupy hodnocení rizik a účinná kontrolní a ochranná opatření pro řízení systémů IKT v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*5). |
| --- | --- |

„6.

U referenčních hodnot s kritickým významem administrátor používá řádné administrativní a účetní postupy, mechanismy vnitřní kontroly, účinné postupy hodnocení rizik a účinná kontrolní a ochranná opatření pro řízení systémů IKT v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*5).

*5

Článek 64

Vstup v platnost a použitelnost

Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.

Úředním věstníku Evropské unie

Použije se ode dne 17. ledna 2025.

Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.

Ve Štrasburku dne 14. prosince 2022.

Za Evropský parlament

předsedkyně

R. METSOLA

Za Radu

předseda

M. BEK

---

(1)  
  Úř. věst. C 343, 26.8.2021, s. 1.

1

(2)  
  Úř. věst. C 155, 30.4.2021, s. 38.

2

(3)  Postoj Evropského parlamentu ze dne 10. listopadu 2022 (dosud nezveřejněný v Úředním věstníku) a rozhodnutí Rady ze dne 28. listopadu 2022.

3

(4)  Nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 ze dne 24. listopadu 2010 o zřízení Evropského orgánu dohledu (Evropského orgánu pro bankovnictví), o změně rozhodnutí č. 716/2009/ES a o zrušení rozhodnutí Komise 2009/78/ES (Úř. věst. L 331, 15.12.2010, s. 12).

4

(5)  Nařízení Evropského parlamentu a Rady (EU) č. 1094/2010 ze dne 24. listopadu 2010 o zřízení Evropského orgánu dohledu (Evropského orgánu pro pojišťovnictví a zaměstnanecké penzijní pojištění), o změně rozhodnutí č. 716/2009/ES a o zrušení rozhodnutí Komise 2009/79/ES (Úř. věst. L 331, 15.12.2010, s. 48).

5

(6)  Nařízení Evropského parlamentu a Rady (EU) č. 1095/2010 ze dne 24. listopadu 2010 o zřízení Evropského orgánu dohledu (Evropského orgánu pro cenné papíry a trhy), o změně rozhodnutí č. 716/2009/ES a o zrušení rozhodnutí Komise 2009/77/ES (Úř. věst. L 331, 15.12.2010, s. 84).

6

(7)  Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (Úř. věst. L 194, 19.7.2016, s. 1).

7

(8)  Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii, o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice o bezpečnosti sítí a informací 2) (viz strana 80 v tomto čísle Úředního věstníku).

8

(9)  Směrnice Evropského parlamentu a Rady (EU) 2022/2557 ze dne 14. prosince 2022 o odolnosti kritických subjektů a o zrušení směrnice Rady 2008/114/ES (viz strana 164 v tomto čísle Úředního věstníku).

9

(10)  Směrnice Evropského parlamentu a Rady (EU) 2016/2341 ze dne 14. prosince 2016 o činnostech institucí zaměstnaneckého penzijního pojištění (IZPP) a dohledu nad nimi (Úř. věst. L 354, 23.12.2016, s. 37).

10

(11)  Nařízení Evropského parlamentu a Rady (EU) 2019/881 ze dne 17. dubna 2019 o agentuře ENISA („Agentuře Evropské unie pro kybernetickou bezpečnost“), o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií a o zrušení nařízení (EU) č. 526/2013 („akt o kybernetické bezpečnosti“) (Úř. věst. L 151, 7.6.2019, s. 15).

11

(12)  Směrnice Evropského parlamentu a Rady (EU) 2015/2366 ze dne 25. listopadu 2015 o platebních službách na vnitřním trhu, kterou se mění směrnice 2002/65/ES, 2009/110/ES a 2013/36/EU a nařízení (EU) č. 1093/2010 a zrušuje směrnice 2007/64/ES (Úř. věst. L 337, 23.12.2015, s. 35).

12

(13)  Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).

13

(14)  Směrnice Evropského parlamentu a Rady 2009/110/ES ze dne 16. září 2009 o přístupu k činnosti institucí elektronických peněz, o jejím výkonu a o obezřetnostním dohledu nad touto činností, o změně směrnic 2005/60/ES a 2006/48/ES a o zrušení směrnice 2000/46/ES (Úř. věst. L 267, 10.10.2009, s. 7).

14

(15)  Směrnice Evropského parlamentu a Rady 2013/36/EU ze dne 26. června 2013 o přístupu k činnosti úvěrových institucí a o obezřetnostním dohledu nad úvěrovými institucemi, o změně směrnice 2002/87/ES a zrušení směrnic 2006/48/ES a 2006/49/ES (Úř. věst. L 176, 27.6.2013, s. 338).

15

(16)  Směrnice Evropského parlamentu a Rady 2011/61/EU ze dne 8. června 2011 o správcích alternativních investičních fondů a o změně směrnic 2003/41/ES a 2009/65/ES a nařízení (ES) č. 1060/2009 a (EU) č. 1095/2010 (Úř. věst. L 174, 1.7.2011, s. 1).

16

(17)  Směrnice Evropského parlamentu a Rady 2009/138/ES ze dne 25. listopadu 2009 o přístupu k pojišťovací a zajišťovací činnosti a jejím výkonu (Solventnost II) (Úř. věst. L 335, 17.12.2009, s. 1).

17

(18)  Směrnice Evropského parlamentu a Rady 2014/65/EU ze dne 15. května 2014 o trzích finančních nástrojů a o změně směrnic 2002/92/ES a 2011/61/EU (Úř. věst. L 173, 12.6.2014, s. 349).

18

(19)  Nařízení Rady (EU) č. 1024/2013 ze dne 15. října 2013, kterým se Evropské centrální bance svěřují zvláštní úkoly týkající se politik, které se vztahují k obezřetnostnímu dohledu nad úvěrovými institucemi (Úř. věst. L 287, 29.10.2013, s. 63).

19

(20)  Směrnice Evropského parlamentu a Rady 2014/59/EU ze dne 15. května 2014, kterou se stanoví rámec pro ozdravné postupy a řešení krize úvěrových institucí a investičních podniků a kterou se mění směrnice Rady 82/891/EHS, směrnice Evropského parlamentu a Rady 2001/24/ES, 2002/47/ES, 2004/25/ES, 2005/56/ES, 2007/36/ES, 2011/35/EU, 2012/30/EU a 2013/36/EU a nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 a (EU) č. 648/2012 (Úř. věst. L 173, 12.6.2014, s. 190).

20

(21)  Směrnice Evropského parlamentu a Rady 2013/34/EU ze dne 26. června 2013 o ročních účetních závěrkách, konsolidovaných účetních závěrkách a souvisejících zprávách některých forem podniků, o změně směrnice Evropského parlamentu a Rady 2006/43/ES a o zrušení směrnic Rady 78/660/EHS a 83/349/EHS (Úř. věst. L 182, 29.6.2013, s. 19).

21

(22)  
  Úř. věst. L 123, 12.5.2016, s. 1.

22

(23)  Nařízení Evropského parlamentu a Rady (ES) č. 1060/2009 ze dne 16. září 2009 o ratingových agenturách (Úř. věst. L 302, 17.11.2009, s. 1).

23

(24)  Nařízení Evropského parlamentu a Rady (EU) č. 648/2012 ze dne 4. července 2012 o OTC derivátech, ústředních protistranách a registrech obchodních údajů (Úř. věst. L 201, 27.7.2012, s. 1).

24

(25)  Nařízení Evropského parlamentu a Rady (EU) č. 600/2014 ze dne 15. května 2014 o trzích finančních nástrojů a o změně nařízení (EU) č. 648/2012 (Úř. věst. L 173, 12.6.2014, s. 84).

25

(26)  Nařízení Evropského parlamentu a Rady (EU) č. 909/2014 ze dne 23. července 2014 o zlepšení vypořádání obchodů s cennými papíry v Evropské unii a centrálních depozitářích cenných papírů a o změně směrnic 98/26/ES a 2014/65/EU a nařízení (EU) č. 236/2012 (Úř. věst. L 257, 28.8.2014, s. 1).

26

(27)  Směrnice Evropského parlamentu a Rady (EU) 2022/2556 ze dne 14. prosince 2022, kterou se mění směrnice 2009/65/ES, 2009/138/ES, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 a (EU) 2016/2341, pokud jde o digitální provozní odolnost ve finančním sektoru (viz strana 153 v tomto čísle Úředního věstníku).

27

(28)  Nařízení Evropského parlamentu a Rady (EU) 2016/1011 ze dne 8. června 2016 o indexech, které jsou používány jako referenční hodnoty ve finančních nástrojích a finančních smlouvách nebo k měření výkonnosti investičních fondů, a o změně směrnic 2008/48/ES a 2014/17/EU a nařízení (EU) č. 596/2014 (Úř. věst. L 171, 29.6.2016, s. 1).

28

(29)  Nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (Úř. věst. L 295, 21.11.2018, s. 39).

29

(30)  
  Úř. věst. C 229, 15.6.2021, s. 16.

30

(31)  Směrnice Evropského parlamentu a Rady 2009/65/ES ze dne 13. července 2009 o koordinaci právních a správních předpisů týkajících se subjektů kolektivního investování do převoditelných cenných papírů (SKIPCP) (Úř. věst. L 302, 17.11.2009, s. 32).

31

(32)  Nařízení Evropského parlamentu a Rady (EU) č. 575/2013 ze dne 26. června 2013 o obezřetnostních požadavcích na úvěrové instituce a o změně nařízení (EU) č. 648/2012 (Úř. věst. L 176, 27.6.2013, s. 1).

32

(33)  Nařízení Evropského parlamentu a Rady (EU) 2019/2033 ze dne 27. listopadu 2019 o obezřetnostních požadavcích na investiční podniky a o změně nařízení (EU) č. 1093/2010, (EU) č. 575/2013, (EU) č. 600/2014 a (EU) č. 806/2014 (Úř. věst. L 314, 5.12.2019, s. 1).

33

(34)  Směrnice Evropského parlamentu a Rady (EU) 2016/97 ze dne 20. ledna 2016 o distribuci pojištění (Úř. věst. L 26, 2.2.2016, s. 19).

34

(35)  Nařízení Evropského parlamentu a Rady (EU) 2020/1503 ze dne 7. října 2020 o evropských poskytovatelích služeb skupinového financování pro podniky a o změně nařízení (EU) 2017/1129 a směrnice (EU) 2019/1937 (Úř. věst. L 347, 20.10.2020, s. 1).

35

(36)  Nařízení Evropského parlamentu a Rady (EU) 2017/2402 ze dne 12. prosince 2017, kterým se stanoví obecný rámec pro sekuritizaci a vytváří se zvláštní rámec pro jednoduchou, transparentní a standardizovanou sekuritizaci a kterým se mění směrnice 2009/65/ES, 2009/138/ES, 2011/61/EU a nařízení (ES) č. 1060/2009 a (EU) č. 648/2012 (Úř. věst. L 347, 28.12.2017, s. 35).

36

(37)  Nařízení Evropského parlamentu a Rady (EU) č. 806/2014 ze dne 15. července 2014, kterým se stanoví jednotná pravidla a jednotný postup pro řešení krize úvěrových institucí a některých investičních podniků v rámci jednotného mechanismu pro řešení krizí a Jednotného fondu pro řešení krizí a mění nařízení (EU) č. 1093/2010 (Úř. věst. L 225, 30.7.2014, s. 1).

37

(38)  Směrnice Evropského parlamentu a Rady (EU) 2019/2034 ze dne 27. listopadu 2019 o obezřetnostním dohledu nad investičními podniky a o změně směrnic 2002/87/ES, 2009/65/ES, 2011/61/EU, 2013/36/EU, 2014/59/EU a 2014/65/EU (Úř. věst. L 314, 5.12.2019, s. 64).

38

(39)  Směrnice Evropského parlamentu a Rady 2006/43/ES ze dne 17. května 2006 o povinném auditu ročních a konsolidovaných účetních závěrek, o změně směrnic Rady 78/660/EHS a 83/349/EHS a o zrušení směrnice Rady 84/253/EHS (Úř. věst. L 157, 9.6.2006, s. 87).

39

---

SMĚRNICE

| 27.12.2022 | CS | Úřední věstník Evropské unie | L 333/80 |
| --- | --- | --- | --- |

27.12.2022

CS

Úřední věstník Evropské unie

L 333/80

---

SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY (EU) 2022/2555

ze dne 14. prosince 2022

o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice NIS 2)

(Text s významem pro EHP)

EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,

s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy,

s ohledem na návrh Evropské komise,

po postoupení návrhu legislativního aktu vnitrostátním parlamentům,

s ohledem na stanovisko Evropské centrální banky (1),

s ohledem na stanovisko Evropského hospodářského a sociálního výboru (2),

po konzultaci s Výborem regionů,

v souladu s řádným legislativním postupem (3),

vzhledem k těmto důvodům:

| (1) | Cílem směrnice Evropského parlamentu a Rady (EU) 2016/1148 (4) bylo rozvíjet schopnosti v oblasti kybernetické bezpečnosti v Unii, zmírňovat hrozby pro sítě a informační systémy užívané k poskytování základních služeb v klíčových odvětvích a zajišťovat kontinuitu takových služeb v případě incidentů, a přispívat tak k bezpečnosti Unie a k účinnému fungování jejího hospodářství a společnosti. |
| --- | --- |

(1)

Cílem směrnice Evropského parlamentu a Rady (EU) 2016/1148 (4) bylo rozvíjet schopnosti v oblasti kybernetické bezpečnosti v Unii, zmírňovat hrozby pro sítě a informační systémy užívané k poskytování základních služeb v klíčových odvětvích a zajišťovat kontinuitu takových služeb v případě incidentů, a přispívat tak k bezpečnosti Unie a k účinnému fungování jejího hospodářství a společnosti.

| (2) | Od vstupu směrnice (EU) 2016/1148 v platnost bylo ve zvyšování úrovně kybernetické odolnosti Unie dosaženo významného pokroku. Z přezkumu uvedené směrnice vyplynulo, že posloužila jako katalyzátor institucionálního a regulačního přístupu ke kybernetické bezpečnosti v Unii a současně připravila půdu pro významnou změnu v myšlení. Uvedená směrnice zajistila dokončení národních rámců pro bezpečnost sítí a informačních systémů stanovením národních strategií pro bezpečnost sítí a informačních systémů a stanovením vnitrostátních schopností a prováděním regulačních opatření pokrývajících základní infrastruktury a subjekty určené každým členským státem. Směrnice (EU) 2016/1148 rovněž přispěla ke spolupráci na úrovni Unie vytvořením skupiny pro spolupráci a sítě vnitrostátních bezpečnostních týmů typu CSIRT. I přes tyto úspěchy odhalil přezkum směrnice (EU) 2016/1148 přirozené nedostatky, které jí brání v účinném řešení současných a vznikajících výzev v oblasti kybernetické bezpečnosti. |
| --- | --- |

(2)

Od vstupu směrnice (EU) 2016/1148 v platnost bylo ve zvyšování úrovně kybernetické odolnosti Unie dosaženo významného pokroku. Z přezkumu uvedené směrnice vyplynulo, že posloužila jako katalyzátor institucionálního a regulačního přístupu ke kybernetické bezpečnosti v Unii a současně připravila půdu pro významnou změnu v myšlení. Uvedená směrnice zajistila dokončení národních rámců pro bezpečnost sítí a informačních systémů stanovením národních strategií pro bezpečnost sítí a informačních systémů a stanovením vnitrostátních schopností a prováděním regulačních opatření pokrývajících základní infrastruktury a subjekty určené každým členským státem. Směrnice (EU) 2016/1148 rovněž přispěla ke spolupráci na úrovni Unie vytvořením skupiny pro spolupráci a sítě vnitrostátních bezpečnostních týmů typu CSIRT. I přes tyto úspěchy odhalil přezkum směrnice (EU) 2016/1148 přirozené nedostatky, které jí brání v účinném řešení současných a vznikajících výzev v oblasti kybernetické bezpečnosti.

| (3) | S rychlou digitální transformací a vzájemnou propojeností společnosti, včetně přeshraniční výměny, se sítě a informační systémy staly ústředním prvkem každodenního života. Tento vývoj vedl k prudkému rozšíření prostředí kybernetických hrozeb a přináší nové výzvy, které vyžadují přizpůsobené, koordinované a inovativní reakce ve všech členských státech. Počet, rozsah, sofistikovanost, četnost výskytu a dopad incidentů narůstají a představují značnou hrozbu pro fungování sítí a informačních systémů. V důsledku toho mohou incidenty brzdit provádění hospodářských činností na vnitřním trhu, způsobovat finanční ztráty, narušovat důvěru uživatelů a způsobovat velké škody hospodářství a společnosti Unie. Připravenost a účinnost v oblasti kybernetické bezpečnosti jsou dnes proto pro řádné fungování vnitřního trhu důležitější než kdy předtím. Kybernetická bezpečnost je navíc klíčovým faktorem, který mnoha kritickým odvětvím umožňuje úspěšně podstoupit digitální transformaci a plně využívat hospodářských, sociálních a udržitelných přínosů digitalizace. |
| --- | --- |

(3)

S rychlou digitální transformací a vzájemnou propojeností společnosti, včetně přeshraniční výměny, se sítě a informační systémy staly ústředním prvkem každodenního života. Tento vývoj vedl k prudkému rozšíření prostředí kybernetických hrozeb a přináší nové výzvy, které vyžadují přizpůsobené, koordinované a inovativní reakce ve všech členských státech. Počet, rozsah, sofistikovanost, četnost výskytu a dopad incidentů narůstají a představují značnou hrozbu pro fungování sítí a informačních systémů. V důsledku toho mohou incidenty brzdit provádění hospodářských činností na vnitřním trhu, způsobovat finanční ztráty, narušovat důvěru uživatelů a způsobovat velké škody hospodářství a společnosti Unie. Připravenost a účinnost v oblasti kybernetické bezpečnosti jsou dnes proto pro řádné fungování vnitřního trhu důležitější než kdy předtím. Kybernetická bezpečnost je navíc klíčovým faktorem, který mnoha kritickým odvětvím umožňuje úspěšně podstoupit digitální transformaci a plně využívat hospodářských, sociálních a udržitelných přínosů digitalizace.

| (4) | Právním základem směrnice (EU) 2016/1148 byl článek 114 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“), jehož cílem je vytvoření a fungování vnitřního trhu posílením opatření ke sbližování vnitrostátních předpisů. Požadavky kybernetické bezpečnosti kladené na subjekty poskytující služby nebo vykonávající hospodářsky významné činnosti se mezi členskými státy značně liší co do druhů požadavků, míry jejich podrobnosti a způsobu dohledu. Tyto rozdíly jsou spojeny s dalšími náklady a vytvářejí obtíže pro subjekty, které nabízejí přeshraničně zboží nebo služby. Požadavky, jež ukládá jeden členský stát a které se liší od požadavků, jež ukládá jiný členský stát, nebo jsou s nimi dokonce v rozporu, mohou tyto přeshraniční činnosti podstatně ovlivnit. Dále je pravděpodobné, že možná neadekvátní koncepce nebo provádění požadavků na kybernetickou bezpečnost v jednom členském státě může mít důsledky pro úroveň kybernetické bezpečnosti jiných členských států, zejména vzhledem k intenzitě přeshraniční výměny. Z přezkumu směrnice (EU) 2016/1148 vyplynuly velké rozdíly v jejím provádění členskými státy, a to i ve vztahu k její oblasti působnosti, jejíž vymezení bylo do značné míry ponecháno na uvážení členských států. Směrnice (EU) 2016/1148 rovněž dávala členským státům velmi široký prostor pro uvážení, pokud jde o provedení povinností v oblasti bezpečnosti a oznamování incidentů, které v ní byly stanoveny. Tyto povinnosti byly proto na úrovni členských států provedeny výrazně odlišnými způsoby. Podobné rozdíly existují v provádění ustanovení směrnice (EU) 2016/1148 týkající se dohledu a vymáhání. |
| --- | --- |

(4)

Právním základem směrnice (EU) 2016/1148 byl článek 114 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“), jehož cílem je vytvoření a fungování vnitřního trhu posílením opatření ke sbližování vnitrostátních předpisů. Požadavky kybernetické bezpečnosti kladené na subjekty poskytující služby nebo vykonávající hospodářsky významné činnosti se mezi členskými státy značně liší co do druhů požadavků, míry jejich podrobnosti a způsobu dohledu. Tyto rozdíly jsou spojeny s dalšími náklady a vytvářejí obtíže pro subjekty, které nabízejí přeshraničně zboží nebo služby. Požadavky, jež ukládá jeden členský stát a které se liší od požadavků, jež ukládá jiný členský stát, nebo jsou s nimi dokonce v rozporu, mohou tyto přeshraniční činnosti podstatně ovlivnit. Dále je pravděpodobné, že možná neadekvátní koncepce nebo provádění požadavků na kybernetickou bezpečnost v jednom členském státě může mít důsledky pro úroveň kybernetické bezpečnosti jiných členských států, zejména vzhledem k intenzitě přeshraniční výměny. Z přezkumu směrnice (EU) 2016/1148 vyplynuly velké rozdíly v jejím provádění členskými státy, a to i ve vztahu k její oblasti působnosti, jejíž vymezení bylo do značné míry ponecháno na uvážení členských států. Směrnice (EU) 2016/1148 rovněž dávala členským státům velmi široký prostor pro uvážení, pokud jde o provedení povinností v oblasti bezpečnosti a oznamování incidentů, které v ní byly stanoveny. Tyto povinnosti byly proto na úrovni členských států provedeny výrazně odlišnými způsoby. Podobné rozdíly existují v provádění ustanovení směrnice (EU) 2016/1148 týkající se dohledu a vymáhání.

| (5) | Všechny tyto rozdíly vyvolávají roztříštěnost vnitřního trhu a mohou mít škodlivý účinek na jeho fungování s tím, že ovlivňují zejména přeshraniční poskytování služeb a úroveň kybernetické odolnosti v důsledku uplatňování odlišných opatření. Tyto rozdíly by v konečném důsledku mohly vést k větší zranitelnosti některých členských států vůči kybernetickým hrozbám, které se mohou rozšířit na celou Unii. Cílem této směrnice je takové značné rozdíly mezi členskými státy odstranit, zejména stanovením minimálních pravidel upravujících fungování koordinovaného regulačního rámce, stanovením mechanismů účinné spolupráce příslušných orgánů v každém členském státě, aktualizací seznamu odvětví a činností, na něž se vztahují povinnosti v oblasti kybernetické bezpečnosti, a zavedením účinných nápravných a donucovacích opatření, jež jsou pro účinné vymáhání těchto povinností klíčové. Směrnice (EU) 2016/1148 by proto měla být zrušena a nahrazena touto směrnicí. |
| --- | --- |

(5)

Všechny tyto rozdíly vyvolávají roztříštěnost vnitřního trhu a mohou mít škodlivý účinek na jeho fungování s tím, že ovlivňují zejména přeshraniční poskytování služeb a úroveň kybernetické odolnosti v důsledku uplatňování odlišných opatření. Tyto rozdíly by v konečném důsledku mohly vést k větší zranitelnosti některých členských států vůči kybernetickým hrozbám, které se mohou rozšířit na celou Unii. Cílem této směrnice je takové značné rozdíly mezi členskými státy odstranit, zejména stanovením minimálních pravidel upravujících fungování koordinovaného regulačního rámce, stanovením mechanismů účinné spolupráce příslušných orgánů v každém členském státě, aktualizací seznamu odvětví a činností, na něž se vztahují povinnosti v oblasti kybernetické bezpečnosti, a zavedením účinných nápravných a donucovacích opatření, jež jsou pro účinné vymáhání těchto povinností klíčové. Směrnice (EU) 2016/1148 by proto měla být zrušena a nahrazena touto směrnicí.

| (6) | Se zrušením směrnice (EU) 2016/1148 by měla být oblast působnosti podle odvětví rozšířena na větší část ekonomiky, aby bylo zajištěno komplexní pokrytí odvětví a služeb, které mají zásadní význam pro klíčové společenské a hospodářské činnosti v rámci vnitřního trhu. Cílem této směrnice je zejména odstranit nedostatky v souvislosti s rozlišováním mezi provozovateli základních služeb a poskytovateli digitálních služeb, které se ukázalo jako zastaralé, neboť nezohledňuje důležitost odvětví nebo služeb z hlediska společenských a hospodářských činností na vnitřním trhu. |
| --- | --- |

(6)

Se zrušením směrnice (EU) 2016/1148 by měla být oblast působnosti podle odvětví rozšířena na větší část ekonomiky, aby bylo zajištěno komplexní pokrytí odvětví a služeb, které mají zásadní význam pro klíčové společenské a hospodářské činnosti v rámci vnitřního trhu. Cílem této směrnice je zejména odstranit nedostatky v souvislosti s rozlišováním mezi provozovateli základních služeb a poskytovateli digitálních služeb, které se ukázalo jako zastaralé, neboť nezohledňuje důležitost odvětví nebo služeb z hlediska společenských a hospodářských činností na vnitřním trhu.

| (7) | Podle směrnice (EU) 2016/1148 byly členské státy odpovědné za určení subjektů, které splňují kritéria pro zařazení mezi provozovatele základních služeb. S cílem odstranit značné rozdíly mezi členskými státy v tomto ohledu a zajistit právní jistotu pro všechny příslušné subjekty, pokud jde o opatření k řízení kybernetických bezpečnostních rizik a oznamovací povinnosti, by mělo být stanoveno jednotné kritérium, které určí subjekty, jež do oblasti působnosti této směrnice spadají. Toto kritérium by mělo spočívat v uplatnění pravidla velikostního omezení, podle kterého by do oblasti působnosti této směrnice spadaly všechny subjekty, které lze považovat za střední podniky podle článku 2 přílohy doporučení Komise 2003/361/ES (5), nebo které překračují stropy, jež jsou pro střední podniky stanoveny v odstavci 1 uvedeného článku a které působí v odvětvích nebo poskytují druhy služeb nebo vykonávají činnosti, na něž se vztahuje tato směrnice. Členské státy by měly rovněž stanovit, že do oblasti působnosti této směrnice spadají některé malé podniky a mikropodniky ve smyslu čl. 2 odst. 2 a 3 uvedené přílohy, které splňují zvláštní kritéria poukazující na klíčovou úlohu pro společnost, ekonomiku, nebo pro konkrétní odvětví či druhy služeb. |
| --- | --- |

(7)

Podle směrnice (EU) 2016/1148 byly členské státy odpovědné za určení subjektů, které splňují kritéria pro zařazení mezi provozovatele základních služeb. S cílem odstranit značné rozdíly mezi členskými státy v tomto ohledu a zajistit právní jistotu pro všechny příslušné subjekty, pokud jde o opatření k řízení kybernetických bezpečnostních rizik a oznamovací povinnosti, by mělo být stanoveno jednotné kritérium, které určí subjekty, jež do oblasti působnosti této směrnice spadají. Toto kritérium by mělo spočívat v uplatnění pravidla velikostního omezení, podle kterého by do oblasti působnosti této směrnice spadaly všechny subjekty, které lze považovat za střední podniky podle článku 2 přílohy doporučení Komise 2003/361/ES (5), nebo které překračují stropy, jež jsou pro střední podniky stanoveny v odstavci 1 uvedeného článku a které působí v odvětvích nebo poskytují druhy služeb nebo vykonávají činnosti, na něž se vztahuje tato směrnice. Členské státy by měly rovněž stanovit, že do oblasti působnosti této směrnice spadají některé malé podniky a mikropodniky ve smyslu čl. 2 odst. 2 a 3 uvedené přílohy, které splňují zvláštní kritéria poukazující na klíčovou úlohu pro společnost, ekonomiku, nebo pro konkrétní odvětví či druhy služeb.

| (8) | Vynětí subjektů veřejné správy z oblasti působnosti této směrnice by se mělo týkat subjektů, jež vykonávají svou činnost převážně v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo vymáhání práva, včetně prevence, vyšetřování, odhalování a stíhání trestných činů. Z oblasti působnosti této směrnice by však neměly být vyňaty subjekty veřejné správy, jejichž činnost s těmito oblastmi souvisí pouze okrajově. Subjekty s regulační pravomocí se pro účely této směrnice za subjekty vykonávající činnost v oblasti vymáhání práva nepovažují, a tudíž z oblasti působnosti této směrnice z tohoto důvodu vyňaty nejsou. Subjekty veřejné správy, které jsou zřízeny společně se třetí zemí v souladu s mezinárodní dohodou, jsou z oblasti působnosti této směrnice vyňaty. Tato směrnice se nevztahuje na diplomatické a konzulární mise členských států ve třetích zemích ani na jejich sítě a informační systémy, pokud jsou tyto systémy umístěny v prostorách mise nebo jsou provozovány pro uživatele ve třetí zemi. |
| --- | --- |

(8)

Vynětí subjektů veřejné správy z oblasti působnosti této směrnice by se mělo týkat subjektů, jež vykonávají svou činnost převážně v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo vymáhání práva, včetně prevence, vyšetřování, odhalování a stíhání trestných činů. Z oblasti působnosti této směrnice by však neměly být vyňaty subjekty veřejné správy, jejichž činnost s těmito oblastmi souvisí pouze okrajově. Subjekty s regulační pravomocí se pro účely této směrnice za subjekty vykonávající činnost v oblasti vymáhání práva nepovažují, a tudíž z oblasti působnosti této směrnice z tohoto důvodu vyňaty nejsou. Subjekty veřejné správy, které jsou zřízeny společně se třetí zemí v souladu s mezinárodní dohodou, jsou z oblasti působnosti této směrnice vyňaty. Tato směrnice se nevztahuje na diplomatické a konzulární mise členských států ve třetích zemích ani na jejich sítě a informační systémy, pokud jsou tyto systémy umístěny v prostorách mise nebo jsou provozovány pro uživatele ve třetí zemi.

| (9) | Členské státy by měly být schopny přijmout nezbytná opatření, aby zajistily ochranu základních zájmů národní bezpečnosti, ochranu veřejného pořádku a veřejné bezpečnosti a umožnily prevenci, vyšetřování, odhalování a stíhání trestných činů. Za tímto účelem by členské státy měly mít možnost vyjmout konkrétní subjekty, které vykonávají činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany, nebo vymáhání práva, včetně prevence, vyšetřování, odhalování a stíháním trestných činů, v souvislosti s uvedenými činnostmi z určitých povinností stanovených v této směrnici. Pokud subjekt poskytuje služby výhradně subjektu veřejné správy, který je vyňat z oblasti působnosti této směrnice, měly by mít členské státy možnost vyjmout uvedený subjekt z určitých povinností stanovených v této směrnici, pokud jde o tyto služby. Žádný členský stát by navíc neměl být povinen poskytovat informace, jejichž zpřístupnění by bylo v rozporu se základními zájmy jeho národní bezpečnosti, veřejné bezpečnosti či obrany. V uvedených souvislostech by měly být zohledněny vnitrostátní a unijní pravidla o ochraně utajovaných informací, dohody o zachování důvěrnosti údajů, nebo neformální dohody o zachování důvěrnosti, jako je například tzv. „TLP protokol“ (Traffic Light Protocol). TLP protokol je třeba chápat jako prostředek poskytování informací o jakýchkoli omezeních, pokud jde o další šíření informací. Používá se téměř ve všech týmech pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“) a některých střediscích pro sdílení a analýzu informací. |
| --- | --- |

(9)

Členské státy by měly být schopny přijmout nezbytná opatření, aby zajistily ochranu základních zájmů národní bezpečnosti, ochranu veřejného pořádku a veřejné bezpečnosti a umožnily prevenci, vyšetřování, odhalování a stíhání trestných činů. Za tímto účelem by členské státy měly mít možnost vyjmout konkrétní subjekty, které vykonávají činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany, nebo vymáhání práva, včetně prevence, vyšetřování, odhalování a stíháním trestných činů, v souvislosti s uvedenými činnostmi z určitých povinností stanovených v této směrnici. Pokud subjekt poskytuje služby výhradně subjektu veřejné správy, který je vyňat z oblasti působnosti této směrnice, měly by mít členské státy možnost vyjmout uvedený subjekt z určitých povinností stanovených v této směrnici, pokud jde o tyto služby. Žádný členský stát by navíc neměl být povinen poskytovat informace, jejichž zpřístupnění by bylo v rozporu se základními zájmy jeho národní bezpečnosti, veřejné bezpečnosti či obrany. V uvedených souvislostech by měly být zohledněny vnitrostátní a unijní pravidla o ochraně utajovaných informací, dohody o zachování důvěrnosti údajů, nebo neformální dohody o zachování důvěrnosti, jako je například tzv. „TLP protokol“ (Traffic Light Protocol). TLP protokol je třeba chápat jako prostředek poskytování informací o jakýchkoli omezeních, pokud jde o další šíření informací. Používá se téměř ve všech týmech pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“) a některých střediscích pro sdílení a analýzu informací.

| (10) | I když se tato směrnice vztahuje na subjekty vykonávající činnosti v oblasti výroby elektřiny v jaderných elektrárnách, některé z těchto činnosti mohou nicméně souviset s národní bezpečností. V takovém případě by měl být členský stát schopen vykonávat svou odpovědnost za ochranu národní bezpečnosti, pokud jde o tyto činnosti, včetně činností v rámci jaderného hodnotového řetězce, v souladu se Smlouvami. |
| --- | --- |

(10)

I když se tato směrnice vztahuje na subjekty vykonávající činnosti v oblasti výroby elektřiny v jaderných elektrárnách, některé z těchto činnosti mohou nicméně souviset s národní bezpečností. V takovém případě by měl být členský stát schopen vykonávat svou odpovědnost za ochranu národní bezpečnosti, pokud jde o tyto činnosti, včetně činností v rámci jaderného hodnotového řetězce, v souladu se Smlouvami.

| (11) | Některé subjekty vykonávají činnost v oblastech národní bezpečnosti, veřejné bezpečnosti, obrany nebo vymáhání práva, včetně prevence, vyšetřování, odhalování a stíhání trestných činů, a zároveň poskytují služby vytvářející důvěru. Poskytovatelé služeb vytvářejících důvěru, kteří spadají do oblasti působnosti nařízení Evropského parlamentu a Rady (EU) č. 910/2014 (6), by měli spadat i do oblasti působnosti této směrnice, aby byla zajištěna stejná úroveň bezpečnostních požadavků a dohledu, jaká byla stanovena v uvedeném nařízení pro poskytovatele služeb vytvářejících důvěru. V souladu s tím, že některé konkrétní služby jsou vyňaty z působnosti nařízení (EU) č. 910/2014, by se tato směrnice neměla vztahovat na poskytování služeb vytvářejících důvěru, které jsou používány výhradně v rámci uzavřených systémů vyplývajících z vnitrostátního práva nebo z dohod mezi určeným okruhem účastníků. |
| --- | --- |

(11)

Některé subjekty vykonávají činnost v oblastech národní bezpečnosti, veřejné bezpečnosti, obrany nebo vymáhání práva, včetně prevence, vyšetřování, odhalování a stíhání trestných činů, a zároveň poskytují služby vytvářející důvěru. Poskytovatelé služeb vytvářejících důvěru, kteří spadají do oblasti působnosti nařízení Evropského parlamentu a Rady (EU) č. 910/2014 (6), by měli spadat i do oblasti působnosti této směrnice, aby byla zajištěna stejná úroveň bezpečnostních požadavků a dohledu, jaká byla stanovena v uvedeném nařízení pro poskytovatele služeb vytvářejících důvěru. V souladu s tím, že některé konkrétní služby jsou vyňaty z působnosti nařízení (EU) č. 910/2014, by se tato směrnice neměla vztahovat na poskytování služeb vytvářejících důvěru, které jsou používány výhradně v rámci uzavřených systémů vyplývajících z vnitrostátního práva nebo z dohod mezi určeným okruhem účastníků.

| (12) | Poskytovatelé poštovních služeb ve smyslu směrnice Evropského parlamentu a Rady 97/67/ES (7), včetně poskytovatelů kurýrních doručovacích služeb, by měli této směrnici podléhat, pokud poskytují alespoň jeden z kroků v poštovním řetězci, zejména výběr, třídění, přepravu nebo dodání poštovních zásilek, včetně služeb souvisejících s vyzvedáváním, a současně by měla být zohledněna míra jejich závislosti na sítích a informačních systémech. Přepravní služby, které nejsou poskytovány ve spojení s některým z těchto kroků, by měly být vyňaty z oblasti působnosti poštovních služeb. |
| --- | --- |

(12)

Poskytovatelé poštovních služeb ve smyslu směrnice Evropského parlamentu a Rady 97/67/ES (7), včetně poskytovatelů kurýrních doručovacích služeb, by měli této směrnici podléhat, pokud poskytují alespoň jeden z kroků v poštovním řetězci, zejména výběr, třídění, přepravu nebo dodání poštovních zásilek, včetně služeb souvisejících s vyzvedáváním, a současně by měla být zohledněna míra jejich závislosti na sítích a informačních systémech. Přepravní služby, které nejsou poskytovány ve spojení s některým z těchto kroků, by měly být vyňaty z oblasti působnosti poštovních služeb.

| (13) | Jelikož kybernetické hrozby jsou stále intenzivnější a důmyslnější, měly by se členské státy snažit zajistit, aby subjekty, které jsou vyňaty z oblasti působnosti této směrnice, dosáhly vysoké úrovně kybernetické bezpečnosti, a měly by podporovat provádění rovnocenných opatření k řízení kybernetických bezpečnostních rizik, která zohledňují citlivou povahu těchto subjektů. |
| --- | --- |

(13)

Jelikož kybernetické hrozby jsou stále intenzivnější a důmyslnější, měly by se členské státy snažit zajistit, aby subjekty, které jsou vyňaty z oblasti působnosti této směrnice, dosáhly vysoké úrovně kybernetické bezpečnosti, a měly by podporovat provádění rovnocenných opatření k řízení kybernetických bezpečnostních rizik, která zohledňují citlivou povahu těchto subjektů.

| (14) | Na zpracování osobních údajů podle této směrnice se uplatní právo Unie v oblasti ochrany údajů a právo Unie v oblasti ochrany soukromí. Touto směrnicí není zejména dotčeno nařízení Evropského parlamentu a Rady (EU) 2016/679/ES (8) a směrnice Evropského parlamentu a Rady 2002/58/ES (9). Touto směrnicí by proto neměly být mimo jiné dotčeny úkoly a pravomoci orgánů příslušných ke sledování souladu s platným právem Unie v oblasti ochrany údajů a právem Unie v oblasti ochrany soukromí. |
| --- | --- |

(14)

Na zpracování osobních údajů podle této směrnice se uplatní právo Unie v oblasti ochrany údajů a právo Unie v oblasti ochrany soukromí. Touto směrnicí není zejména dotčeno nařízení Evropského parlamentu a Rady (EU) 2016/679/ES (8) a směrnice Evropského parlamentu a Rady 2002/58/ES (9). Touto směrnicí by proto neměly být mimo jiné dotčeny úkoly a pravomoci orgánů příslušných ke sledování souladu s platným právem Unie v oblasti ochrany údajů a právem Unie v oblasti ochrany soukromí.

| (15) | Subjekty spadající do oblasti působnosti této směrnice pro účely dodržování opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností by měly být zařazeny do dvou kategorií: základní subjekty a důležité subjekty, s přihlédnutím k míře kritické důležitosti, pokud jde o odvětví nebo druh služby, kterou poskytují, a také k jejich velikosti. V této souvislosti by se v případě potřeby měla náležitě zohlednit veškerá relevantní odvětvová posouzení rizik nebo pokyny příslušných orgánů. Dohledové a donucovací režimy pro tyto dvě kategorie subjektů by se měly odlišovat, aby byla zajištěna spravedlivá vyváženost mezi požadavky a povinnostmi založenými na riziku na jedné straně a správní zátěží vyplývající z dohledu nad dodržováním směrnice na druhé straně. |
| --- | --- |

(15)

Subjekty spadající do oblasti působnosti této směrnice pro účely dodržování opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností by měly být zařazeny do dvou kategorií: základní subjekty a důležité subjekty, s přihlédnutím k míře kritické důležitosti, pokud jde o odvětví nebo druh služby, kterou poskytují, a také k jejich velikosti. V této souvislosti by se v případě potřeby měla náležitě zohlednit veškerá relevantní odvětvová posouzení rizik nebo pokyny příslušných orgánů. Dohledové a donucovací režimy pro tyto dvě kategorie subjektů by se měly odlišovat, aby byla zajištěna spravedlivá vyváženost mezi požadavky a povinnostmi založenými na riziku na jedné straně a správní zátěží vyplývající z dohledu nad dodržováním směrnice na druhé straně.

| (16) | Má-li se zabránit tomu, aby subjekty, které mají partnerské podniky nebo které jsou přidruženými podniky, byly považovány za základní nebo důležité subjekty, kde by to bylo nepřiměřené, mohou členské státy při uplatňování čl. 6 odst. 2 přílohy doporučení 2003/361/ES zohlednit míru nezávislosti, v níž se subjekt ve vztahu ke svým partnerským nebo přidruženým podnikům nachází. Členské státy mohou zejména zohlednit skutečnost, že subjekt je na svém partnerovi nebo přidružených podnicích nezávislý z hlediska sítě a informačních systémů, které tento subjekt používá při poskytování svých služeb, a pokud jde o služby, které tento subjekt poskytuje. Členské státy pak mohou mít v příslušném případě za to, že takový subjekt nesplňuje kritéria pro střední podnik podle článku 2 přílohy doporučení 2003/361/ES nebo nepřekračuje stropy pro střední podniky stanovené v odstavci 1 uvedeného článku, jestliže by se po zohlednění stupně nezávislosti uvedeného subjektu tento subjekt nepovažoval za subjekt, který je středním podnikem nebo za subjekt, který tyto stropy překračuje, pokud by se zohlednily pouze jeho vlastní údaje. Povinnosti, které směrnice stanovuje partnerským a přidruženým podnikům, které do oblasti působnosti této směrnice spadají, zůstávají nedotčeny. |
| --- | --- |

(16)

Má-li se zabránit tomu, aby subjekty, které mají partnerské podniky nebo které jsou přidruženými podniky, byly považovány za základní nebo důležité subjekty, kde by to bylo nepřiměřené, mohou členské státy při uplatňování čl. 6 odst. 2 přílohy doporučení 2003/361/ES zohlednit míru nezávislosti, v níž se subjekt ve vztahu ke svým partnerským nebo přidruženým podnikům nachází. Členské státy mohou zejména zohlednit skutečnost, že subjekt je na svém partnerovi nebo přidružených podnicích nezávislý z hlediska sítě a informačních systémů, které tento subjekt používá při poskytování svých služeb, a pokud jde o služby, které tento subjekt poskytuje. Členské státy pak mohou mít v příslušném případě za to, že takový subjekt nesplňuje kritéria pro střední podnik podle článku 2 přílohy doporučení 2003/361/ES nebo nepřekračuje stropy pro střední podniky stanovené v odstavci 1 uvedeného článku, jestliže by se po zohlednění stupně nezávislosti uvedeného subjektu tento subjekt nepovažoval za subjekt, který je středním podnikem nebo za subjekt, který tyto stropy překračuje, pokud by se zohlednily pouze jeho vlastní údaje. Povinnosti, které směrnice stanovuje partnerským a přidruženým podnikům, které do oblasti působnosti této směrnice spadají, zůstávají nedotčeny.

| (17) | Členské státy by měly mít možnost rozhodnout, že subjekty určené před vstupem této směrnice v platnost jako provozovatelé základních služeb podle směrnice (EU) 2016/1148 mají být považovány za základní subjekty. |
| --- | --- |

(17)

Členské státy by měly mít možnost rozhodnout, že subjekty určené před vstupem této směrnice v platnost jako provozovatelé základních služeb podle směrnice (EU) 2016/1148 mají být považovány za základní subjekty.

| (18) | Má-li být zajištěn jasný přehled o subjektech spadajících do oblasti působnosti této směrnice, měly by členské státy vytvořit seznam základních a důležitých subjektů, jakož i subjektů poskytujících služby registrace jmen domén. Za tímto účelem by členské státy měly od subjektů vyžadovat, aby příslušným orgánům předkládaly alespoň následující informace: název, adresu a aktuální kontaktní údaje, a to i e-mailové adresy, rozsah IP adres a telefonní čísla, případně i s uvedením příslušného odvětví a pododvětví podle příloh, a v příslušných případech i seznam členských států, v nichž poskytují služby spadající do oblasti působnosti této směrnice. Komise by bez zbytečného odkladu měla za tímto účelem za pomoci Agentury Evropské unie pro kybernetickou bezpečnost (dále jen „ENISA“) poskytnout pokyny a šablony týkající se povinnosti předkládat informace. Pro snazší sestavování a aktualizaci seznamu základních a důležitých subjektů, jakož i subjektů poskytujících služby registrace jmen domén by měly mít členské státy možnost zavést vnitrostátní mechanismy pro registraci těchto subjektů. Existují-li registry na vnitrostátní úrovni, mohou členské státy rozhodnout o vhodných mechanismech k určení subjektů, které do oblasti působnosti této směrnice spadají. |
| --- | --- |

(18)

Má-li být zajištěn jasný přehled o subjektech spadajících do oblasti působnosti této směrnice, měly by členské státy vytvořit seznam základních a důležitých subjektů, jakož i subjektů poskytujících služby registrace jmen domén. Za tímto účelem by členské státy měly od subjektů vyžadovat, aby příslušným orgánům předkládaly alespoň následující informace: název, adresu a aktuální kontaktní údaje, a to i e-mailové adresy, rozsah IP adres a telefonní čísla, případně i s uvedením příslušného odvětví a pododvětví podle příloh, a v příslušných případech i seznam členských států, v nichž poskytují služby spadající do oblasti působnosti této směrnice. Komise by bez zbytečného odkladu měla za tímto účelem za pomoci Agentury Evropské unie pro kybernetickou bezpečnost (dále jen „ENISA“) poskytnout pokyny a šablony týkající se povinnosti předkládat informace. Pro snazší sestavování a aktualizaci seznamu základních a důležitých subjektů, jakož i subjektů poskytujících služby registrace jmen domén by měly mít členské státy možnost zavést vnitrostátní mechanismy pro registraci těchto subjektů. Existují-li registry na vnitrostátní úrovni, mohou členské státy rozhodnout o vhodných mechanismech k určení subjektů, které do oblasti působnosti této směrnice spadají.

| (19) | Odpovědností členských států by mělo být předložit Komisi alespoň počet základních a důležitých subjektů pro každé odvětví a pododvětví uvedené v přílohách a také příslušné informace o počtu určených subjektů, o tom, na základě kterého z postupů stanovených v této směrnici byly určeny, a o typu služby, již poskytují. Členské státy se vyzývají k výměně informací s Komisí o základních a důležitých subjektech a v případě rozsáhlého incidentu v oblasti kybernetické bezpečnosti také k výměně příslušných informací, například názvu dotčeného subjektu. |
| --- | --- |

(19)

Odpovědností členských států by mělo být předložit Komisi alespoň počet základních a důležitých subjektů pro každé odvětví a pododvětví uvedené v přílohách a také příslušné informace o počtu určených subjektů, o tom, na základě kterého z postupů stanovených v této směrnici byly určeny, a o typu služby, již poskytují. Členské státy se vyzývají k výměně informací s Komisí o základních a důležitých subjektech a v případě rozsáhlého incidentu v oblasti kybernetické bezpečnosti také k výměně příslušných informací, například názvu dotčeného subjektu.

| (20) | Komise by měla ve spolupráci se skupinou pro spolupráci a po konzultaci s relevantními zúčastněnými stranami poskytnout pokyny ohledně plnění kritérií platných pro mikropodniky a malé podniky za účelem posouzení toho, zda spadají do působnosti této směrnice. Komise by rovněž měla zajistit, že budou mikropodnikům a malým podnikům spadajícím do oblasti působnosti této směrnice poskytovány vhodné pokyny. V této souvislosti by Komise s pomocí členských států měla mikropodnikům a malým podnikům poskytovat informace. |
| --- | --- |

(20)

Komise by měla ve spolupráci se skupinou pro spolupráci a po konzultaci s relevantními zúčastněnými stranami poskytnout pokyny ohledně plnění kritérií platných pro mikropodniky a malé podniky za účelem posouzení toho, zda spadají do působnosti této směrnice. Komise by rovněž měla zajistit, že budou mikropodnikům a malým podnikům spadajícím do oblasti působnosti této směrnice poskytovány vhodné pokyny. V této souvislosti by Komise s pomocí členských států měla mikropodnikům a malým podnikům poskytovat informace.

| (21) | Komise může vydat pokyny s cílem pomoci členským státům provádět ustanovení této směrnice týkající se oblasti působnosti a vyhodnotit přiměřenost opatření, jež mají být podle této směrnice přijata, zejména pokud jde o subjekty s komplexními obchodními modely nebo podmínkami provozu, kdy určitý subjekt může současně splňovat kritéria stanovená pro základní i důležité subjekty nebo současně vykonávat činnosti, z nichž některé spadají do oblasti působnosti této směrnice, a některé jsou z ní vyňaty. |
| --- | --- |

(21)

Komise může vydat pokyny s cílem pomoci členským státům provádět ustanovení této směrnice týkající se oblasti působnosti a vyhodnotit přiměřenost opatření, jež mají být podle této směrnice přijata, zejména pokud jde o subjekty s komplexními obchodními modely nebo podmínkami provozu, kdy určitý subjekt může současně splňovat kritéria stanovená pro základní i důležité subjekty nebo současně vykonávat činnosti, z nichž některé spadají do oblasti působnosti této směrnice, a některé jsou z ní vyňaty.

| (22) | Tato směrnice stanoví základ pro opatření k řízení kybernetických bezpečnostních rizik a oznamovací povinnosti napříč odvětvími, jež spadají do oblasti její působnosti. Budou-li v zájmu zajištění vysoké úrovně kybernetické bezpečnosti v celé Unii považovány za nezbytné další odvětvové právní akty Unie týkající se opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností, měla by Komise posoudit, zda by mohla být taková další ustanovení stanovena v prováděcím aktu podle této směrnici, aby se zabránilo roztříštěnosti ustanovení o kybernetické bezpečnosti v rámci právních aktů Unie. V případě, že by tento prováděcí akt nebyl pro uvedený účel vhodný, mohly by k zajištění vysoké úrovně kybernetické bezpečnosti v celé Unii přispět odvětvové právní akty Unie při plném zohlednění specifik a složitosti dotčených odvětví. Tato směrnice za tímto účelem nebrání přijetí dalších odvětvových právních aktů Unie týkajících se opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností, které řádně zohlední potřebu komplexního a soudržného rámce pro kybernetickou bezpečnost. Touto směrnicí nejsou dotčeny stávající prováděcí pravomoci, jež byly Komisi svěřeny v řadě odvětví, včetně odvětví dopravy a energetiky. |
| --- | --- |

(22)

Tato směrnice stanoví základ pro opatření k řízení kybernetických bezpečnostních rizik a oznamovací povinnosti napříč odvětvími, jež spadají do oblasti její působnosti. Budou-li v zájmu zajištění vysoké úrovně kybernetické bezpečnosti v celé Unii považovány za nezbytné další odvětvové právní akty Unie týkající se opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností, měla by Komise posoudit, zda by mohla být taková další ustanovení stanovena v prováděcím aktu podle této směrnici, aby se zabránilo roztříštěnosti ustanovení o kybernetické bezpečnosti v rámci právních aktů Unie. V případě, že by tento prováděcí akt nebyl pro uvedený účel vhodný, mohly by k zajištění vysoké úrovně kybernetické bezpečnosti v celé Unii přispět odvětvové právní akty Unie při plném zohlednění specifik a složitosti dotčených odvětví. Tato směrnice za tímto účelem nebrání přijetí dalších odvětvových právních aktů Unie týkajících se opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností, které řádně zohlední potřebu komplexního a soudržného rámce pro kybernetickou bezpečnost. Touto směrnicí nejsou dotčeny stávající prováděcí pravomoci, jež byly Komisi svěřeny v řadě odvětví, včetně odvětví dopravy a energetiky.

| (23) | Pokud odvětvový právní akt Unie obsahuje ustanovení, jež vyžadují, aby základní nebo důležité subjekty přijaly opatření k řízení kybernetických bezpečnostních rizik nebo aby oznamovaly významné incidenty, a pokud je účinek těchto opatření alespoň rovnocenný účinku povinností stanovených v této směrnici, měla by se tato ustanovení, včetně těch o dohledu a vymáhání, na uvedené subjekty vztahovat. Pokud se odvětvový právní akt Unie nevztahuje na všechny subjekty v konkrétním odvětví, jež náleží do oblasti působnosti této směrnice, měla by se na subjekty, na něž se uvedený akt nevztahuje, vztahovat i nadále příslušná ustanovení této směrnice. |
| --- | --- |

(23)

Pokud odvětvový právní akt Unie obsahuje ustanovení, jež vyžadují, aby základní nebo důležité subjekty přijaly opatření k řízení kybernetických bezpečnostních rizik nebo aby oznamovaly významné incidenty, a pokud je účinek těchto opatření alespoň rovnocenný účinku povinností stanovených v této směrnici, měla by se tato ustanovení, včetně těch o dohledu a vymáhání, na uvedené subjekty vztahovat. Pokud se odvětvový právní akt Unie nevztahuje na všechny subjekty v konkrétním odvětví, jež náleží do oblasti působnosti této směrnice, měla by se na subjekty, na něž se uvedený akt nevztahuje, vztahovat i nadále příslušná ustanovení této směrnice.

| (24) | Pokud ustanovení odvětvového právního aktu Unie vyžadují, aby základní nebo důležité subjekty dodržovaly oznamovací povinnosti, jejichž účinky jsou přinejmenším rovnocenné jako u povinností stanovených v této směrnici, měla by být při vyřizování oznámení o incidentech zajištěna soudržnost a účinnost. Za tímto účelem by ustanovení o oznamování incidentů odvětvového unijního právního aktu měla týmům CSIRT, příslušným orgánům nebo jednotným kontaktním místům pro kybernetickou bezpečnost (dále jen „jednotná kontaktní místa“) podle této směrnice poskytnout k oznámením o incidentech, jež byla učiněna v souladu s odvětvovým právním aktem Unie, okamžitý přístup. Tento okamžitý přístup lze zajistit zejména tak, že oznámení o incidentech budou týmu CSIRT, příslušnému orgánu nebo jednotnému kontaktnímu místu podle této směrnice předávána bez zbytečného odkladu. Členské státy by měly v příslušných případech zavést mechanismus automatického a přímého oznamování, který zajistí při vyřizování těchto oznámení o incidentech systematické a okamžité sdílení informací s týmy CSIRT, příslušnými orgány nebo jednotnými kontaktními místy. Pro zjednodušení oznamování a zavedení mechanismu automatického a přímého oznamování by členské státy mohly v souladu s odvětvovým právním aktem Unie využít jednotné kontaktní místo. |
| --- | --- |

(24)

Pokud ustanovení odvětvového právního aktu Unie vyžadují, aby základní nebo důležité subjekty dodržovaly oznamovací povinnosti, jejichž účinky jsou přinejmenším rovnocenné jako u povinností stanovených v této směrnici, měla by být při vyřizování oznámení o incidentech zajištěna soudržnost a účinnost. Za tímto účelem by ustanovení o oznamování incidentů odvětvového unijního právního aktu měla týmům CSIRT, příslušným orgánům nebo jednotným kontaktním místům pro kybernetickou bezpečnost (dále jen „jednotná kontaktní místa“) podle této směrnice poskytnout k oznámením o incidentech, jež byla učiněna v souladu s odvětvovým právním aktem Unie, okamžitý přístup. Tento okamžitý přístup lze zajistit zejména tak, že oznámení o incidentech budou týmu CSIRT, příslušnému orgánu nebo jednotnému kontaktnímu místu podle této směrnice předávána bez zbytečného odkladu. Členské státy by měly v příslušných případech zavést mechanismus automatického a přímého oznamování, který zajistí při vyřizování těchto oznámení o incidentech systematické a okamžité sdílení informací s týmy CSIRT, příslušnými orgány nebo jednotnými kontaktními místy. Pro zjednodušení oznamování a zavedení mechanismu automatického a přímého oznamování by členské státy mohly v souladu s odvětvovým právním aktem Unie využít jednotné kontaktní místo.

| (25) | Odvětvové právní akty Unie, které stanovují opatření k řízení kybernetických bezpečnostních rizik nebo oznamovací povinnosti, jež mají přinejmenším rovnocenný účinek jako ty, které jsou stanoveny v této směrnici, by mohly stanovit, že příslušné orgány podle těchto aktů vykonávají své dohledové a vymáhací pravomoci ve vztahu k těmto opatřením nebo povinnostem za pomoci příslušných orgánů ve smyslu této směrnice. Dotčené příslušné orgány by za tímto účelem mohly uzavřít ujednání o spolupráci. Tato ujednání o spolupráci mohou mimo jiné stanovit postupy týkající se koordinace činností v oblasti dohledu, včetně postupů šetření a kontrol na místě v souladu s vnitrostátním právem a mechanismu pro výměnu příslušných informací o dohledu a vymáhání mezi příslušnými orgány, a to i pokud jde o přístup ke kybernetickým údajům, které si vyžádaly příslušné orgány ve smyslu této směrnice. |
| --- | --- |

(25)

Odvětvové právní akty Unie, které stanovují opatření k řízení kybernetických bezpečnostních rizik nebo oznamovací povinnosti, jež mají přinejmenším rovnocenný účinek jako ty, které jsou stanoveny v této směrnici, by mohly stanovit, že příslušné orgány podle těchto aktů vykonávají své dohledové a vymáhací pravomoci ve vztahu k těmto opatřením nebo povinnostem za pomoci příslušných orgánů ve smyslu této směrnice. Dotčené příslušné orgány by za tímto účelem mohly uzavřít ujednání o spolupráci. Tato ujednání o spolupráci mohou mimo jiné stanovit postupy týkající se koordinace činností v oblasti dohledu, včetně postupů šetření a kontrol na místě v souladu s vnitrostátním právem a mechanismu pro výměnu příslušných informací o dohledu a vymáhání mezi příslušnými orgány, a to i pokud jde o přístup ke kybernetickým údajům, které si vyžádaly příslušné orgány ve smyslu této směrnice.

| (26) | Pokud odvětvové právní akty Unie vyžadují nebo motivují subjekty k oznamování významných kybernetických hrozeb, měly by členské státy rovněž podporovat sdílení informací o významných kybernetických hrozbách s týmy CSIRT, příslušnými orgány nebo jednotnými kontaktními místy ve smyslu této směrnice, aby byly tyto orgány o bezpečnostních hrozbách na kybernetické scéně lépe informovány a mohly účinně a včas reagovat v případě, že se významné kybernetické hrozby naplní. |
| --- | --- |

(26)

Pokud odvětvové právní akty Unie vyžadují nebo motivují subjekty k oznamování významných kybernetických hrozeb, měly by členské státy rovněž podporovat sdílení informací o významných kybernetických hrozbách s týmy CSIRT, příslušnými orgány nebo jednotnými kontaktními místy ve smyslu této směrnice, aby byly tyto orgány o bezpečnostních hrozbách na kybernetické scéně lépe informovány a mohly účinně a včas reagovat v případě, že se významné kybernetické hrozby naplní.

| (27) | Budoucí odvětvové právní akty Unie by měly náležitě zohledňovat definice a rámec pro dohled a vymáhání stanovené v této směrnici. |
| --- | --- |

(27)

Budoucí odvětvové právní akty Unie by měly náležitě zohledňovat definice a rámec pro dohled a vymáhání stanovené v této směrnici.

| (28) | Nařízení Evropského parlamentu a Rady (EU) 2022/2554 (10) by mělo být považováno za odvětvový právní akt Unie ve vztahu k této směrnici, pokud jde o finanční subjekty. Ustanovení nařízení (EU) 2022/2554, která se týkají řízení rizik v oblasti informačních a komunikačních technologií (dále jen „IKT“), řešení incidentů souvisejících s IKT, a zejména oznamování incidentů, jakož i ustanovení týkající se testování digitální provozní odolnosti, ujednání o sdílení informací a rizik v oblasti IKT spojených s třetími stranami by měla platit místo ustanovení stanovených v této směrnici. Členské státy by proto neměly uplatňovat ustanovení této směrnice o řízení kybernetických bezpečnostních rizik a o oznamovacích povinnostech, a o dohledu a vymáhání vůči finančním subjektům, na něž se vztahuje nařízení (EU) 2022/2554. Zároveň je důležité zachovat s finančním odvětvím silný vztah a výměnu informací podle této směrnice. Za tím účelem nařízení (EU) 2022/2554 umožňuje, aby se evropské orgány dohledu a příslušné orgány podle uvedeného nařízení účastnily činností skupiny pro spolupráci a aby si vyměňovaly informace a spolupracovaly s jednotnými kontaktními místy, jakož i s týmy CSIRT a příslušnými orgány podle této směrnice. Příslušné orgány podle nařízení (EU) 2022/2554 by měly předávat rovněž údaje o významných incidentech týkajících se IKT a o významných kybernetických hrozbách týmům CSIRT, příslušným orgánům nebo jednotným kontaktním místům podle této směrnice. Toho lze dosáhnout poskytnutím okamžitého přístupu k oznámením o incidentu a jejich postoupením buď přímo, nebo prostřednictvím jednotného kontaktního místa. Členské státy by kromě toho měly odvětví financí nadále zahrnovat do svých strategií kybernetické bezpečnosti a týmy CSIRT mohou zahrnout finanční odvětví do svých činností. |
| --- | --- |

(28)

Nařízení Evropského parlamentu a Rady (EU) 2022/2554 (10) by mělo být považováno za odvětvový právní akt Unie ve vztahu k této směrnici, pokud jde o finanční subjekty. Ustanovení nařízení (EU) 2022/2554, která se týkají řízení rizik v oblasti informačních a komunikačních technologií (dále jen „IKT“), řešení incidentů souvisejících s IKT, a zejména oznamování incidentů, jakož i ustanovení týkající se testování digitální provozní odolnosti, ujednání o sdílení informací a rizik v oblasti IKT spojených s třetími stranami by měla platit místo ustanovení stanovených v této směrnici. Členské státy by proto neměly uplatňovat ustanovení této směrnice o řízení kybernetických bezpečnostních rizik a o oznamovacích povinnostech, a o dohledu a vymáhání vůči finančním subjektům, na něž se vztahuje nařízení (EU) 2022/2554. Zároveň je důležité zachovat s finančním odvětvím silný vztah a výměnu informací podle této směrnice. Za tím účelem nařízení (EU) 2022/2554 umožňuje, aby se evropské orgány dohledu a příslušné orgány podle uvedeného nařízení účastnily činností skupiny pro spolupráci a aby si vyměňovaly informace a spolupracovaly s jednotnými kontaktními místy, jakož i s týmy CSIRT a příslušnými orgány podle této směrnice. Příslušné orgány podle nařízení (EU) 2022/2554 by měly předávat rovněž údaje o významných incidentech týkajících se IKT a o významných kybernetických hrozbách týmům CSIRT, příslušným orgánům nebo jednotným kontaktním místům podle této směrnice. Toho lze dosáhnout poskytnutím okamžitého přístupu k oznámením o incidentu a jejich postoupením buď přímo, nebo prostřednictvím jednotného kontaktního místa. Členské státy by kromě toho měly odvětví financí nadále zahrnovat do svých strategií kybernetické bezpečnosti a týmy CSIRT mohou zahrnout finanční odvětví do svých činností.

| (29) | Má-li se zabránit rozdílům v povinnostech v oblasti kybernetické bezpečnosti uložených subjektům v odvětví letectví nebo jejich zdvojování, měly by vnitrostátní orgány podle nařízení Evropského parlamentu a Rady (ES) č. 300/2008 (11) a (EU) 2018/1139 (12) a příslušné orgány podle této směrnice spolupracovat při provádění opatření k řízení kybernetických bezpečnostních rizik a dohledu nad dodržováním těchto opatření na vnitrostátní úrovni. Soulad subjektu s bezpečnostními požadavky stanovenými v nařízeních (ES) č. 300/2008 a (EU) 2018/1139 a v příslušných aktech v přenesené pravomoci a prováděcích aktech přijatých podle uvedených nařízení by mohly příslušné orgány podle této směrnice považovat za soulad s odpovídajícími požadavky stanovenými v této směrnici. |
| --- | --- |

(29)

Má-li se zabránit rozdílům v povinnostech v oblasti kybernetické bezpečnosti uložených subjektům v odvětví letectví nebo jejich zdvojování, měly by vnitrostátní orgány podle nařízení Evropského parlamentu a Rady (ES) č. 300/2008 (11) a (EU) 2018/1139 (12) a příslušné orgány podle této směrnice spolupracovat při provádění opatření k řízení kybernetických bezpečnostních rizik a dohledu nad dodržováním těchto opatření na vnitrostátní úrovni. Soulad subjektu s bezpečnostními požadavky stanovenými v nařízeních (ES) č. 300/2008 a (EU) 2018/1139 a v příslušných aktech v přenesené pravomoci a prováděcích aktech přijatých podle uvedených nařízení by mohly příslušné orgány podle této směrnice považovat za soulad s odpovídajícími požadavky stanovenými v této směrnici.

| (30) | Vzhledem ke vzájemným vazbám mezi kybernetickou bezpečností a fyzickou bezpečností subjektů by měl být zajištěn soudržný přístup ke směrnici Evropského parlamentu a Rady (EU) 2022/2557 (13) a k této směrnici. Za tímto účelem by subjekty, které jsou určeny jakožto kritické subjekty podle směrnice (EU) 2022/2557, měly být považovány za základní subjekty podle této směrnice. Mimoto by každý členský stát měl zajistit, aby jeho národní strategie kybernetické bezpečnosti stanovila rámec politik pro posílení koordinace uvnitř uvedeného členského státu mezi jeho příslušnými orgány podle této směrnice a podle směrnice (EU) 2022/2557 v souvislosti se sdílením informací o rizicích, kybernetických hrozbách a incidentech a o jiných než kybernetických rizicích, hrozbách a incidentech a při výkonu úkolů dohledu. Příslušné orgány podle této směrnice a orgány příslušné podle směrnice (EU) 2022/2557 by měly spolupracovat a vyměňovat si informace bez zbytečného odkladu, zejména ve vztahu k určení kritických subjektů, rizik, kybernetických hrozeb a incidentů, jakož i ohledně jiných než kybernetických rizik, hrozeb nebo incidentů dotýkajících se kritických subjektů, včetně opatření v oblasti kybernetické bezpečnosti a fyzických opatření přijatých kritickými subjekty a výsledků činností v oblasti dohledu prováděných s ohledem na tyto subjekty.
  V zájmu zefektivnění činností v oblasti dohledu mezi příslušnými orgány podle této směrnice a podle směrnice (EU) 2022/2557 a v zájmu minimalizace administrativní zátěže pro dotčené subjekty by uvedené příslušné orgány dále měly usilovat o harmonizaci šablon pro oznamování incidentů a postupů v oblasti dohledu. Příslušné orgány podle směrnice (EU) 2022/2557 by případně měly mít možnost požádat příslušné orgány podle této směrnice, aby vykonávaly své dohledové a vymáhací pravomoci ve vztahu k subjektu, který je určen jakožto kritický subjekt podle směrnice (EU) 2022/2557. Příslušné orgány podle této směrnice a podle směrnice (EU) 2022/2022/2557 by za tímto účelem měly, pokud možno v reálném čase, spolupracovat a vyměňovat si informace. |
| --- | --- |

(30)

Vzhledem ke vzájemným vazbám mezi kybernetickou bezpečností a fyzickou bezpečností subjektů by měl být zajištěn soudržný přístup ke směrnici Evropského parlamentu a Rady (EU) 2022/2557 (13) a k této směrnici. Za tímto účelem by subjekty, které jsou určeny jakožto kritické subjekty podle směrnice (EU) 2022/2557, měly být považovány za základní subjekty podle této směrnice. Mimoto by každý členský stát měl zajistit, aby jeho národní strategie kybernetické bezpečnosti stanovila rámec politik pro posílení koordinace uvnitř uvedeného členského státu mezi jeho příslušnými orgány podle této směrnice a podle směrnice (EU) 2022/2557 v souvislosti se sdílením informací o rizicích, kybernetických hrozbách a incidentech a o jiných než kybernetických rizicích, hrozbách a incidentech a při výkonu úkolů dohledu. Příslušné orgány podle této směrnice a orgány příslušné podle směrnice (EU) 2022/2557 by měly spolupracovat a vyměňovat si informace bez zbytečného odkladu, zejména ve vztahu k určení kritických subjektů, rizik, kybernetických hrozeb a incidentů, jakož i ohledně jiných než kybernetických rizik, hrozeb nebo incidentů dotýkajících se kritických subjektů, včetně opatření v oblasti kybernetické bezpečnosti a fyzických opatření přijatých kritickými subjekty a výsledků činností v oblasti dohledu prováděných s ohledem na tyto subjekty.

V zájmu zefektivnění činností v oblasti dohledu mezi příslušnými orgány podle této směrnice a podle směrnice (EU) 2022/2557 a v zájmu minimalizace administrativní zátěže pro dotčené subjekty by uvedené příslušné orgány dále měly usilovat o harmonizaci šablon pro oznamování incidentů a postupů v oblasti dohledu. Příslušné orgány podle směrnice (EU) 2022/2557 by případně měly mít možnost požádat příslušné orgány podle této směrnice, aby vykonávaly své dohledové a vymáhací pravomoci ve vztahu k subjektu, který je určen jakožto kritický subjekt podle směrnice (EU) 2022/2557. Příslušné orgány podle této směrnice a podle směrnice (EU) 2022/2022/2557 by za tímto účelem měly, pokud možno v reálném čase, spolupracovat a vyměňovat si informace.

| (31) | Subjekty patřící do odvětví digitální infrastruktury jsou v zásadě založeny na sítích a informačních systémech, a proto by povinnosti uložené uvedeným subjektům touto směrnicí měly komplexně řešit fyzickou bezpečnost těchto systémů v rámci jejich opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností. Jelikož se na tyto záležitosti vztahuje tato směrnice, povinnosti stanovené v kapitolách III, IV a VI směrnice (EU) 2022/2557 se na tyto subjekty nevztahují. |
| --- | --- |

(31)

Subjekty patřící do odvětví digitální infrastruktury jsou v zásadě založeny na sítích a informačních systémech, a proto by povinnosti uložené uvedeným subjektům touto směrnicí měly komplexně řešit fyzickou bezpečnost těchto systémů v rámci jejich opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností. Jelikož se na tyto záležitosti vztahuje tato směrnice, povinnosti stanovené v kapitolách III, IV a VI směrnice (EU) 2022/2557 se na tyto subjekty nevztahují.

| (32) | Podpora a ochrana spolehlivého, odolného a bezpečného systému jmen domén jsou klíčovými faktory pro zachování integrity internetu a jsou nezbytné pro jeho nepřetržitý a stabilní provoz, na kterém závisí digitální ekonomika a společnost. Tato směrnice by se proto měla vztahovat na registry domén nejvyšší úrovně a provozovatele systému překladu jmen domén (dále jen „provozovatel DNS“) považované za subjekty poskytující veřejně dostupné rekurzívní služby pro překlad jmen domén pro koncové uživatele internetu nebo autoritativní služby pro překlad jmen domén pro použití třetími stranami. Tato směrnice by se neměla vztahovat na kořenové jmenné servery. |
| --- | --- |

(32)

Podpora a ochrana spolehlivého, odolného a bezpečného systému jmen domén jsou klíčovými faktory pro zachování integrity internetu a jsou nezbytné pro jeho nepřetržitý a stabilní provoz, na kterém závisí digitální ekonomika a společnost. Tato směrnice by se proto měla vztahovat na registry domén nejvyšší úrovně a provozovatele systému překladu jmen domén (dále jen „provozovatel DNS“) považované za subjekty poskytující veřejně dostupné rekurzívní služby pro překlad jmen domén pro koncové uživatele internetu nebo autoritativní služby pro překlad jmen domén pro použití třetími stranami. Tato směrnice by se neměla vztahovat na kořenové jmenné servery.

| (33) | Služby cloud computingu by měly zahrnovat digitální služby, které umožňují správu na vyžádání a široký dálkový přístup k rozšiřitelnému a přizpůsobitelnému úložišti distribuovaných výpočetních zdrojů, které je možno sdílet, včetně případů, kdy tyto zdroje mají několik různých umístění. Výpočetní zdroje zahrnují zdroje, jako jsou sítě, servery nebo jiná infrastruktura, operační systémy, software, úložiště, aplikace a služby. Modely služeb cloud computingu zahrnují mimo jiné infrastrukturu jako službu (IaaS), platformu jako službu (PaaS), software jako službu (SaaS) a síť jako službu (NaaA). Modely zavádění cloud computingu by měly zahrnovat soukromý, komunitní, veřejný a hybridní cloud. Služby a modely zavádění cloud computingu mají tentýž význam jako podmínky poskytování služeb a modely zavádění definované podle normy ISO/IEC 17788:2014. Schopnost uživatele cloud computingu jednostranně vlastními silami využívat výpočetní potenciál, jako je výpočetní čas serveru nebo ukládání na síti, bez jakékoli interakce poskytovatele služeb cloud computingu s člověkem, by bylo možné popsat jako správu na vyžádání.
  Pojem „široký dálkový přístup“ se používá k popsání toho, že cloudová kapacita je poskytována po síti a přístup k ní se uskutečňuje prostřednictvím mechanismu podporujícího použití heterogenních platforem s tenkými nebo tlustými klienty, včetně mobilních telefonů, tabletů, laptopů a pracovních stanic. Pojem „rozšiřitelný“ poukazuje na skutečnost, že v zájmu pokrytí nerovnoměrné poptávky jsou výpočetní zdroje přidělovány poskytovatelem cloudových služeb flexibilně, bez ohledu na zeměpisnou polohu zdrojů. Pojem „přizpůsobitelné úložiště“ označuje skutečnost, že výpočetní zdroje jsou poskytovány a uvolňovány na základě poptávky, aby bylo možno urychleně zvyšovat i snižovat dostupné zdroje se zřetelem na zatížení. Pojmem „které je možno sdílet“ se rozumí, že tyto výpočetní zdroje jsou poskytovány vícero uživatelům, kteří k dané službě sdílejí společný přístup, avšak zpracování probíhá pro každého uživatele odděleně, byť je služba poskytována z téhož elektronického zařízení. Pojem „distribuovaný“ označuje ty výpočetní zdroje, které se nacházejí na různých sítově propojených počítačích nebo zařízeních a které mezi sebou komunikují a koordinují prostřednictvím předávání zpráv. |
| --- | --- |

(33)

Služby cloud computingu by měly zahrnovat digitální služby, které umožňují správu na vyžádání a široký dálkový přístup k rozšiřitelnému a přizpůsobitelnému úložišti distribuovaných výpočetních zdrojů, které je možno sdílet, včetně případů, kdy tyto zdroje mají několik různých umístění. Výpočetní zdroje zahrnují zdroje, jako jsou sítě, servery nebo jiná infrastruktura, operační systémy, software, úložiště, aplikace a služby. Modely služeb cloud computingu zahrnují mimo jiné infrastrukturu jako službu (IaaS), platformu jako službu (PaaS), software jako službu (SaaS) a síť jako službu (NaaA). Modely zavádění cloud computingu by měly zahrnovat soukromý, komunitní, veřejný a hybridní cloud. Služby a modely zavádění cloud computingu mají tentýž význam jako podmínky poskytování služeb a modely zavádění definované podle normy ISO/IEC 17788:2014. Schopnost uživatele cloud computingu jednostranně vlastními silami využívat výpočetní potenciál, jako je výpočetní čas serveru nebo ukládání na síti, bez jakékoli interakce poskytovatele služeb cloud computingu s člověkem, by bylo možné popsat jako správu na vyžádání.

Pojem „široký dálkový přístup“ se používá k popsání toho, že cloudová kapacita je poskytována po síti a přístup k ní se uskutečňuje prostřednictvím mechanismu podporujícího použití heterogenních platforem s tenkými nebo tlustými klienty, včetně mobilních telefonů, tabletů, laptopů a pracovních stanic. Pojem „rozšiřitelný“ poukazuje na skutečnost, že v zájmu pokrytí nerovnoměrné poptávky jsou výpočetní zdroje přidělovány poskytovatelem cloudových služeb flexibilně, bez ohledu na zeměpisnou polohu zdrojů. Pojem „přizpůsobitelné úložiště“ označuje skutečnost, že výpočetní zdroje jsou poskytovány a uvolňovány na základě poptávky, aby bylo možno urychleně zvyšovat i snižovat dostupné zdroje se zřetelem na zatížení. Pojmem „které je možno sdílet“ se rozumí, že tyto výpočetní zdroje jsou poskytovány vícero uživatelům, kteří k dané službě sdílejí společný přístup, avšak zpracování probíhá pro každého uživatele odděleně, byť je služba poskytována z téhož elektronického zařízení. Pojem „distribuovaný“ označuje ty výpočetní zdroje, které se nacházejí na různých sítově propojených počítačích nebo zařízeních a které mezi sebou komunikují a koordinují prostřednictvím předávání zpráv.

| (34) | Vzhledem ke vzniku inovativních technologií a nových obchodních modelů se předpokládá, že v reakci na vyvíjející se potřeby zákazníků se na vnitřním trhu objeví nové služby cloud computingu a modely zavádění. V této souvislosti lze služby cloud computingu poskytovat ve vysoce distribuované podobě, ještě blíže k místu, kde jsou data generována nebo shromažďována, a přejít tak od tradičního modelu k vysoce distribuovanému modelu (tzv. „edge computing“). |
| --- | --- |

(34)

Vzhledem ke vzniku inovativních technologií a nových obchodních modelů se předpokládá, že v reakci na vyvíjející se potřeby zákazníků se na vnitřním trhu objeví nové služby cloud computingu a modely zavádění. V této souvislosti lze služby cloud computingu poskytovat ve vysoce distribuované podobě, ještě blíže k místu, kde jsou data generována nebo shromažďována, a přejít tak od tradičního modelu k vysoce distribuovanému modelu (tzv. „edge computing“).

| (35) | Služby, jež nabízejí poskytovatelé služeb datových center, nemusí být vždy poskytovány ve formě služeb cloud computingu. Datová centra tedy ne vždy tvoří součást infrastruktury cloud computingu. Aby bylo možné řídit všechna rizika pro bezpečnost sítí a informačních systémů, měla by se tato směrnice vztahovat také na poskytovatele služeb datových center, které nejsou službami cloud computingu. Pro účely této směrnice by pojem „služba datových center“ měl zahrnovat poskytování služby, která zahrnuje struktury nebo skupiny struktur určené pro centralizované úpravy, vzájemné propojení a provozování informačních technologií a síťových zařízení poskytujících služby ukládání, zpracování a přenos dat spolu se všemi zařízeními a infrastrukturami pro rozvod energie a kontrolu životního prostředí. Pojem „služba datových center“ by se neměl vztahovat na interní, firemní datová centra vlastněná a provozovaná pro vlastní potřebu dotčeného subjektu. |
| --- | --- |

(35)

Služby, jež nabízejí poskytovatelé služeb datových center, nemusí být vždy poskytovány ve formě služeb cloud computingu. Datová centra tedy ne vždy tvoří součást infrastruktury cloud computingu. Aby bylo možné řídit všechna rizika pro bezpečnost sítí a informačních systémů, měla by se tato směrnice vztahovat také na poskytovatele služeb datových center, které nejsou službami cloud computingu. Pro účely této směrnice by pojem „služba datových center“ měl zahrnovat poskytování služby, která zahrnuje struktury nebo skupiny struktur určené pro centralizované úpravy, vzájemné propojení a provozování informačních technologií a síťových zařízení poskytujících služby ukládání, zpracování a přenos dat spolu se všemi zařízeními a infrastrukturami pro rozvod energie a kontrolu životního prostředí. Pojem „služba datových center“ by se neměl vztahovat na interní, firemní datová centra vlastněná a provozovaná pro vlastní potřebu dotčeného subjektu.

| (36) | Výzkumné činnosti hrají klíčovou úlohu při vývoji nových produktů a procesů. Mnohé z těchto činností provádějí subjekty, které výsledky svého výzkumu sdílejí, šíří nebo využívají pro komerční účely. Tyto subjekty proto mohou být důležitými hráči v hodnotových řetězcích, což činí bezpečnost jejich sítí a informačních systémů nedílnou součástí celkové kybernetické bezpečnosti vnitřního trhu. Výzkumné organizace by měly být chápány tak, že zahrnují subjekty, které se v podstatné části svých činností zaměřují na provádění aplikovaného výzkumu nebo experimentálního vývoje ve smyslu manuálu Frascati z roku 2015 vypracovaného Organizací pro hospodářskou spolupráci a rozvoj: pokyny pro shromažďování a vykazování údajů o výzkumu a experimentálním vývoji za účelem využití jejich výsledků pro komerční účely, jako jsou výroba nebo vývoj produktu nebo procesu, poskytování služby, nebo jejich uvádění na trh. |
| --- | --- |

(36)

Výzkumné činnosti hrají klíčovou úlohu při vývoji nových produktů a procesů. Mnohé z těchto činností provádějí subjekty, které výsledky svého výzkumu sdílejí, šíří nebo využívají pro komerční účely. Tyto subjekty proto mohou být důležitými hráči v hodnotových řetězcích, což činí bezpečnost jejich sítí a informačních systémů nedílnou součástí celkové kybernetické bezpečnosti vnitřního trhu. Výzkumné organizace by měly být chápány tak, že zahrnují subjekty, které se v podstatné části svých činností zaměřují na provádění aplikovaného výzkumu nebo experimentálního vývoje ve smyslu manuálu Frascati z roku 2015 vypracovaného Organizací pro hospodářskou spolupráci a rozvoj: pokyny pro shromažďování a vykazování údajů o výzkumu a experimentálním vývoji za účelem využití jejich výsledků pro komerční účely, jako jsou výroba nebo vývoj produktu nebo procesu, poskytování služby, nebo jejich uvádění na trh.

| (37) | Rostoucí vzájemné závislosti jsou výsledkem stále více přeshraniční a vzájemně propojené sítě poskytování služeb pomocí klíčových infrastruktur v celé Unii v odvětvích, jako jsou energetika, doprava, digitální infrastruktura, pitná voda, odpadní voda, zdravotnictví, některých prvků veřejné správy a rovněž vesmíru, pokud jde o poskytování určitých služeb závisejících na pozemních infrastrukturách, které vlastní, řídí a provozují buď členské státy, nebo soukromé subjekty, a proto nezahrnují infrastruktury vlastněné, řízené a provozované Unií nebo jménem Unie v rámci jejího vesmírného programu. Tyto vzájemné závislosti znamenají, že jakékoli narušení, a dokonce i takové narušení, které je původně omezeno na jeden subjekt nebo jedno odvětví, může mít širší dominové účinky, jež mohou potenciálně mít dalekosáhlé negativní dopady na poskytování služeb na celém vnitřním trhu. Vystupňované kybernetické útoky během pandemie COVID-19 prokázaly zranitelnost stále více vzájemně závislých společností vůči rizikům s nízkou pravděpodobností. |
| --- | --- |

(37)

Rostoucí vzájemné závislosti jsou výsledkem stále více přeshraniční a vzájemně propojené sítě poskytování služeb pomocí klíčových infrastruktur v celé Unii v odvětvích, jako jsou energetika, doprava, digitální infrastruktura, pitná voda, odpadní voda, zdravotnictví, některých prvků veřejné správy a rovněž vesmíru, pokud jde o poskytování určitých služeb závisejících na pozemních infrastrukturách, které vlastní, řídí a provozují buď členské státy, nebo soukromé subjekty, a proto nezahrnují infrastruktury vlastněné, řízené a provozované Unií nebo jménem Unie v rámci jejího vesmírného programu. Tyto vzájemné závislosti znamenají, že jakékoli narušení, a dokonce i takové narušení, které je původně omezeno na jeden subjekt nebo jedno odvětví, může mít širší dominové účinky, jež mohou potenciálně mít dalekosáhlé negativní dopady na poskytování služeb na celém vnitřním trhu. Vystupňované kybernetické útoky během pandemie COVID-19 prokázaly zranitelnost stále více vzájemně závislých společností vůči rizikům s nízkou pravděpodobností.

| (38) | Vzhledem k odlišnostem jednotlivých vnitrostátních správních struktur a s cílem podpořit již existující odvětvová opatření nebo kontrolní a regulační orgány Unie by členské státy měly mít možnost určit nebo zřídit jeden nebo více příslušných orgánů odpovědných za kybernetickou bezpečnost a úkoly dohledu podle této směrnice. |
| --- | --- |

(38)

Vzhledem k odlišnostem jednotlivých vnitrostátních správních struktur a s cílem podpořit již existující odvětvová opatření nebo kontrolní a regulační orgány Unie by členské státy měly mít možnost určit nebo zřídit jeden nebo více příslušných orgánů odpovědných za kybernetickou bezpečnost a úkoly dohledu podle této směrnice.

| (39) | Pro usnadnění přeshraniční spolupráce a komunikace mezi orgány a za účelem účinného provedení této směrnice je nezbytné, aby každý členský stát určil jednotné kontaktní místo odpovědné za koordinaci záležitostí souvisejících s bezpečností sítí a informačních systémů a přeshraniční spoluprací na úrovni Unie. |
| --- | --- |

(39)

Pro usnadnění přeshraniční spolupráce a komunikace mezi orgány a za účelem účinného provedení této směrnice je nezbytné, aby každý členský stát určil jednotné kontaktní místo odpovědné za koordinaci záležitostí souvisejících s bezpečností sítí a informačních systémů a přeshraniční spoluprací na úrovni Unie.

| (40) | Jednotná kontaktní místa by měla zajistit účinnou přeshraniční spolupráci s příslušnými orgány jiných členských států a případně s Komisí a agenturou ENISA. Jednotná kontaktní místa by proto měla být pověřena postoupením oznámení o významných incidentech s přeshraničním dopadem jednotným kontaktním místům jiných dotčených členských států na žádost týmu CSIRT nebo příslušného orgánu. Na vnitrostátní úrovni by jednotná kontaktní místa měla zajišťovat hladkou meziodvětvovou spolupráci s ostatními příslušnými orgány. Jednotným kontaktním místům by mohly být také zasílány příslušné informace o incidentech týkajících se finančních subjektů od příslušných orgánů podle nařízení (EU) 2022/2554, které by tato místa měla být schopna případně zasílat týmům CSIRT nebo příslušným orgánům podle této směrnice. |
| --- | --- |

(40)

Jednotná kontaktní místa by měla zajistit účinnou přeshraniční spolupráci s příslušnými orgány jiných členských států a případně s Komisí a agenturou ENISA. Jednotná kontaktní místa by proto měla být pověřena postoupením oznámení o významných incidentech s přeshraničním dopadem jednotným kontaktním místům jiných dotčených členských států na žádost týmu CSIRT nebo příslušného orgánu. Na vnitrostátní úrovni by jednotná kontaktní místa měla zajišťovat hladkou meziodvětvovou spolupráci s ostatními příslušnými orgány. Jednotným kontaktním místům by mohly být také zasílány příslušné informace o incidentech týkajících se finančních subjektů od příslušných orgánů podle nařízení (EU) 2022/2554, které by tato místa měla být schopna případně zasílat týmům CSIRT nebo příslušným orgánům podle této směrnice.

| (41) | Členské státy by měly být náležitě vybaveny jak po technické, tak po organizační stránce, aby mohly incidentům a rizikům předcházet, odhalovat je, reagovat na ně, a zmírňovat jejich dopad. Členské státy by proto měly zřídit nebo určit jeden nebo více týmů CSIRT ve smyslu této směrnice a zajistit, aby měly odpovídající zdroje a technické kapacity. Týmy CSIRT by měly splňovat požadavky stanovené v této směrnici tak, aby zaručily efektivní a kompatibilní schopnosti řešit incidenty a rizika a zajistily účinnou spolupráci na úrovni Unie. Členské státy by měly mít možnost určit jako týmy CSIRT stávající týmy pro reakci na počítačové hrozby (dále jen „CERT“). V zájmu posílení důvěry mezi subjekty a týmy CSIRT v případech, kdy je tým CSIRT součástí příslušného orgánu, by členské státy měly mít možnost zvážit funkční oddělení operativních úkolů plněných týmy CSIRT, zejména v souvislosti se sdílením informací a podporou poskytovanou subjektům, od činností příslušných orgánů v oblasti dohledu. |
| --- | --- |

(41)

Členské státy by měly být náležitě vybaveny jak po technické, tak po organizační stránce, aby mohly incidentům a rizikům předcházet, odhalovat je, reagovat na ně, a zmírňovat jejich dopad. Členské státy by proto měly zřídit nebo určit jeden nebo více týmů CSIRT ve smyslu této směrnice a zajistit, aby měly odpovídající zdroje a technické kapacity. Týmy CSIRT by měly splňovat požadavky stanovené v této směrnici tak, aby zaručily efektivní a kompatibilní schopnosti řešit incidenty a rizika a zajistily účinnou spolupráci na úrovni Unie. Členské státy by měly mít možnost určit jako týmy CSIRT stávající týmy pro reakci na počítačové hrozby (dále jen „CERT“). V zájmu posílení důvěry mezi subjekty a týmy CSIRT v případech, kdy je tým CSIRT součástí příslušného orgánu, by členské státy měly mít možnost zvážit funkční oddělení operativních úkolů plněných týmy CSIRT, zejména v souvislosti se sdílením informací a podporou poskytovanou subjektům, od činností příslušných orgánů v oblasti dohledu.

| (42) | Týmy CSIRT jsou pověřeny řešením incidentů. To zahrnuje zpracování velkého objemu údajů, které jsou někdy citlivé. Členské státy by měly zajistit, že týmy CSIRT budou mít infrastrukturu pro sdílení a zpracování informací, jakož i dobře vybavené pracovníky, což zajistí důvěrnost a důvěryhodnost jejich operací. Týmy CSIRT by v tomto ohledu rovněž mohly přijmout kodexy chování. |
| --- | --- |

(42)

Týmy CSIRT jsou pověřeny řešením incidentů. To zahrnuje zpracování velkého objemu údajů, které jsou někdy citlivé. Členské státy by měly zajistit, že týmy CSIRT budou mít infrastrukturu pro sdílení a zpracování informací, jakož i dobře vybavené pracovníky, což zajistí důvěrnost a důvěryhodnost jejich operací. Týmy CSIRT by v tomto ohledu rovněž mohly přijmout kodexy chování.

| (43) | Pokud jde o osobní údaje, týmům CSIRT by mělo být umožněno, aby v souladu s nařízením (EU) 2016/679 na žádost základního nebo důležitého subjektu aktivně skenovaly sítě a informační systémy, které tento subjekt používá k poskytování svých služeb. Členské státy by se měly v příslušných případech zaměřit na to, aby všem odvětvovým týmům CSIRT zajistily stejné technické podmínky. Členské státy by měly mít možnost si při vytváření svých týmů CSIRT vyžádat pomoc agentury ENISA. |
| --- | --- |

(43)

Pokud jde o osobní údaje, týmům CSIRT by mělo být umožněno, aby v souladu s nařízením (EU) 2016/679 na žádost základního nebo důležitého subjektu aktivně skenovaly sítě a informační systémy, které tento subjekt používá k poskytování svých služeb. Členské státy by se měly v příslušných případech zaměřit na to, aby všem odvětvovým týmům CSIRT zajistily stejné technické podmínky. Členské státy by měly mít možnost si při vytváření svých týmů CSIRT vyžádat pomoc agentury ENISA.

| (44) | Týmy CSIRT by měly být na žádost základního nebo důležitého subjektu schopny sledovat veškerá jeho aktiva orientovaná na internet, a to jak na místě, tak mimo něj, aby určily, pochopily a řídily celková organizační rizika tohoto subjektu, pokud jde o nově zjištěné ohrožení dodavatelského řetězce nebo kritické zranitelnosti. Subjekt by měl být vyzván, aby tým CSIRT informoval o tom, zda provozuje rozhraní pro privilegovanou správu, neboť by to mohlo ovlivnit rychlost provádění zmírňujících opatření. |
| --- | --- |

(44)

Týmy CSIRT by měly být na žádost základního nebo důležitého subjektu schopny sledovat veškerá jeho aktiva orientovaná na internet, a to jak na místě, tak mimo něj, aby určily, pochopily a řídily celková organizační rizika tohoto subjektu, pokud jde o nově zjištěné ohrožení dodavatelského řetězce nebo kritické zranitelnosti. Subjekt by měl být vyzván, aby tým CSIRT informoval o tom, zda provozuje rozhraní pro privilegovanou správu, neboť by to mohlo ovlivnit rychlost provádění zmírňujících opatření.

| (45) | S ohledem na význam mezinárodní spolupráce na poli kybernetické bezpečnosti by týmy CSIRT měly mít možnost účastnit se kromě sítě CSIRT zřízené touto směrnicí také sítí pro mezinárodní spolupráci. Týmy CSIRT a příslušné orgány by proto pro účely plnění svých úkolů měly mít možnost vyměňovat si informace, včetně osobních údajů, s vnitrostátními týmy CSIRT nebo příslušnými orgány třetích zemí, pokud jsou splněny podmínky pro předávání osobních údajů do třetích zemí podle práva Unie v oblasti ochrany údajů, mimo jiné podmínky stanovené v článku 49 nařízení (EU) 2016/679. |
| --- | --- |

(45)

S ohledem na význam mezinárodní spolupráce na poli kybernetické bezpečnosti by týmy CSIRT měly mít možnost účastnit se kromě sítě CSIRT zřízené touto směrnicí také sítí pro mezinárodní spolupráci. Týmy CSIRT a příslušné orgány by proto pro účely plnění svých úkolů měly mít možnost vyměňovat si informace, včetně osobních údajů, s vnitrostátními týmy CSIRT nebo příslušnými orgány třetích zemí, pokud jsou splněny podmínky pro předávání osobních údajů do třetích zemí podle práva Unie v oblasti ochrany údajů, mimo jiné podmínky stanovené v článku 49 nařízení (EU) 2016/679.

| (46) | Je zásadní, aby byly zajištěny odpovídající zdroje pro dosažení cílů této směrnice a k tomu, aby mohly příslušné orgány a týmy CSIRT plnit úkoly, jež jsou v ní stanoveny. Členské státy mohou na vnitrostátní úrovni zavést mechanismus financování k pokrytí nezbytných výdajů pro plnění úkolů veřejných subjektů odpovědných za kybernetickou bezpečnost v daném členském státě podle této směrnice. Tento mechanismus by měl být v souladu s právem Unie, měl by být přiměřený a nediskriminační a měl by zohledňovat různé přístupy k poskytování bezpečných služeb. |
| --- | --- |

(46)

Je zásadní, aby byly zajištěny odpovídající zdroje pro dosažení cílů této směrnice a k tomu, aby mohly příslušné orgány a týmy CSIRT plnit úkoly, jež jsou v ní stanoveny. Členské státy mohou na vnitrostátní úrovni zavést mechanismus financování k pokrytí nezbytných výdajů pro plnění úkolů veřejných subjektů odpovědných za kybernetickou bezpečnost v daném členském státě podle této směrnice. Tento mechanismus by měl být v souladu s právem Unie, měl by být přiměřený a nediskriminační a měl by zohledňovat různé přístupy k poskytování bezpečných služeb.

| (47) | Síť CSIRT by měla i nadále přispívat k posilování důvěry a k podpoře rychlé a účinné operativní spolupráce mezi členskými státy. Za účelem posílení operativní spolupráce na úrovni Unie by síť CSIRT měla zvážit přizvání institucí a agentur Unie zapojených do politiky kybernetické bezpečnosti, jako je Europol, k účasti na své činnosti. |
| --- | --- |

(47)

Síť CSIRT by měla i nadále přispívat k posilování důvěry a k podpoře rychlé a účinné operativní spolupráce mezi členskými státy. Za účelem posílení operativní spolupráce na úrovni Unie by síť CSIRT měla zvážit přizvání institucí a agentur Unie zapojených do politiky kybernetické bezpečnosti, jako je Europol, k účasti na své činnosti.

| (48) | Za účelem dosažení a udržení vysoké úrovně kybernetické bezpečnosti by národní strategie kybernetické bezpečnosti požadované touto směrnicí měly sestávat ze soudržných rámců se strategickými cíli a prioritami v oblasti kybernetické bezpečnosti a správy za účelem jejich dosažení. Tyto strategie se mohou skládat z jednoho nebo více legislativních či nelegislativních nástrojů. |
| --- | --- |

(48)

Za účelem dosažení a udržení vysoké úrovně kybernetické bezpečnosti by národní strategie kybernetické bezpečnosti požadované touto směrnicí měly sestávat ze soudržných rámců se strategickými cíli a prioritami v oblasti kybernetické bezpečnosti a správy za účelem jejich dosažení. Tyto strategie se mohou skládat z jednoho nebo více legislativních či nelegislativních nástrojů.

| (49) | Politiky v oblasti kybernetické hygieny poskytují základy pro ochranu infrastruktury sítí a informačních systémů, hardwaru, softwaru a bezpečnosti aplikací on-line a údajů o podnicích nebo o koncových uživatelích, na něž se subjekty spoléhají. Politiky v oblasti kybernetické hygieny zahrnující společný základní soubor postupů, včetně aktualizace softwaru a hardwaru, změny hesel, řízení nových instalací, omezení přístupových účtů na úrovni administrátorů a zálohování údajů, zprostředkovávají proaktivní rámec připravenosti a celkové bezpečnosti a ochrany v případě incidentů nebo kybernetických hrozeb. Agentura ENISA by měla sledovat a analyzovat politiky členských států v oblasti kybernetické hygieny. |
| --- | --- |

(49)

Politiky v oblasti kybernetické hygieny poskytují základy pro ochranu infrastruktury sítí a informačních systémů, hardwaru, softwaru a bezpečnosti aplikací on-line a údajů o podnicích nebo o koncových uživatelích, na něž se subjekty spoléhají. Politiky v oblasti kybernetické hygieny zahrnující společný základní soubor postupů, včetně aktualizace softwaru a hardwaru, změny hesel, řízení nových instalací, omezení přístupových účtů na úrovni administrátorů a zálohování údajů, zprostředkovávají proaktivní rámec připravenosti a celkové bezpečnosti a ochrany v případě incidentů nebo kybernetických hrozeb. Agentura ENISA by měla sledovat a analyzovat politiky členských států v oblasti kybernetické hygieny.

| (50) | Povědomí o kybernetické bezpečnosti a kybernetická hygiena mají zásadní význam pro zvýšení úrovně kybernetické bezpečnosti v Unii, zejména s ohledem na rostoucí počet připojených zařízení, která jsou stále častěji při kybernetických útocích využívána. Je třeba vyvinout úsilí o zvýšení celkového povědomí o rizicích spojených s těmito zařízeními, zatímco posouzení provedená na úrovni Unie by navíc mohla pomoci zajistit společné chápání těchto rizik v rámci vnitřního trhu. |
| --- | --- |

(50)

Povědomí o kybernetické bezpečnosti a kybernetická hygiena mají zásadní význam pro zvýšení úrovně kybernetické bezpečnosti v Unii, zejména s ohledem na rostoucí počet připojených zařízení, která jsou stále častěji při kybernetických útocích využívána. Je třeba vyvinout úsilí o zvýšení celkového povědomí o rizicích spojených s těmito zařízeními, zatímco posouzení provedená na úrovni Unie by navíc mohla pomoci zajistit společné chápání těchto rizik v rámci vnitřního trhu.

| (51) | Členské státy by měly podporovat využívání jakékoli inovativní technologie, včetně umělé inteligence, jež by mohla zkvalitnit odhalování a prevenci kybernetických útoků a umožnit účinnější přesměrování zdrojů na řešení kybernetických útoků. Členské státy by proto měly ve svých národních strategiích kybernetické bezpečnosti podporovat činnosti v oblasti výzkumu a vývoje, jejímž cílem je usnadnit používání těchto technologií, zejména těch, které se týkají automatizovaných nebo poloautomatizovaných nástrojů v oblasti kybernetické bezpečnosti, a případně sdílení údajů potřebných pro zaškolení uživatelů těchto technologií a pro jejich zdokonalování. Používání jakékoli inovativní technologie, včetně umělé inteligence, by mělo být v souladu s právem Unie v oblasti ochrany údajů, včetně zásad ochrany údajů, minimalizace údajů, spravedlnosti a transparentnosti a bezpečnosti údajů, a to i pokud jde o nejmodernější metody šifrování. Požadavky na záměrnou a standardní ochranu údajů, jak jsou stanoveny v nařízení (EU) 2016/679, je třeba využít v plné míře. |
| --- | --- |

(51)

Členské státy by měly podporovat využívání jakékoli inovativní technologie, včetně umělé inteligence, jež by mohla zkvalitnit odhalování a prevenci kybernetických útoků a umožnit účinnější přesměrování zdrojů na řešení kybernetických útoků. Členské státy by proto měly ve svých národních strategiích kybernetické bezpečnosti podporovat činnosti v oblasti výzkumu a vývoje, jejímž cílem je usnadnit používání těchto technologií, zejména těch, které se týkají automatizovaných nebo poloautomatizovaných nástrojů v oblasti kybernetické bezpečnosti, a případně sdílení údajů potřebných pro zaškolení uživatelů těchto technologií a pro jejich zdokonalování. Používání jakékoli inovativní technologie, včetně umělé inteligence, by mělo být v souladu s právem Unie v oblasti ochrany údajů, včetně zásad ochrany údajů, minimalizace údajů, spravedlnosti a transparentnosti a bezpečnosti údajů, a to i pokud jde o nejmodernější metody šifrování. Požadavky na záměrnou a standardní ochranu údajů, jak jsou stanoveny v nařízení (EU) 2016/679, je třeba využít v plné míře.

| (52) | Nástroje a aplikace kybernetické bezpečnosti s otevřeným zdrojovým kódem mohou přispívat k vyšší míře otevřenosti a mohou mít pozitivní dopad na účinnost průmyslové inovace. Otevřené normy usnadňují interoperabilitu mezi bezpečnostními nástroji a přispívají k bezpečnosti odvětvových zúčastněných stran. Nástroje a aplikace kybernetické bezpečnosti s otevřeným zdrojovým kódem mohou podpořit širší komunitu vývojářů, a umožnit tak diverzifikaci dodavatelů. Otevřený zdrojový kód může vést k větší transparentnosti při ověřování nástrojů souvisejících s kybernetickou bezpečností a k postupu odhalování zranitelností řízeném komunitou. Členské státy by proto měly mít možnost podporovat používání softwaru s otevřeným zdrojovým kódem a otevřených standardů tím, že budou provádět politiky spojené s využíváním otevřených dat a otevřených zdrojů v rámci koncepce „bezpečnost prostřednictvím transparentnosti“. Politiky, které podporují zavádění a udržitelné využívání nástrojů kybernetické bezpečnosti s otevřeným zdrojovým kódem, mají zvláštní význam pro malé a střední podniky, které se potýkají se značnými realizačními náklady, jež by bylo možné minimalizovat snížením potřeby specifických aplikací nebo nástrojů. |
| --- | --- |

(52)

Nástroje a aplikace kybernetické bezpečnosti s otevřeným zdrojovým kódem mohou přispívat k vyšší míře otevřenosti a mohou mít pozitivní dopad na účinnost průmyslové inovace. Otevřené normy usnadňují interoperabilitu mezi bezpečnostními nástroji a přispívají k bezpečnosti odvětvových zúčastněných stran. Nástroje a aplikace kybernetické bezpečnosti s otevřeným zdrojovým kódem mohou podpořit širší komunitu vývojářů, a umožnit tak diverzifikaci dodavatelů. Otevřený zdrojový kód může vést k větší transparentnosti při ověřování nástrojů souvisejících s kybernetickou bezpečností a k postupu odhalování zranitelností řízeném komunitou. Členské státy by proto měly mít možnost podporovat používání softwaru s otevřeným zdrojovým kódem a otevřených standardů tím, že budou provádět politiky spojené s využíváním otevřených dat a otevřených zdrojů v rámci koncepce „bezpečnost prostřednictvím transparentnosti“. Politiky, které podporují zavádění a udržitelné využívání nástrojů kybernetické bezpečnosti s otevřeným zdrojovým kódem, mají zvláštní význam pro malé a střední podniky, které se potýkají se značnými realizačními náklady, jež by bylo možné minimalizovat snížením potřeby specifických aplikací nebo nástrojů.

| (53) | Veřejné služby jsou stále více propojeny s digitálními sítěmi ve městech kvůli zvyšování kvality městských dopravních sítí, modernizaci zásobování vodou a zařízení na likvidaci odpadu a zvyšování účinnosti osvětlení a vytápění budov. Tyto digitalizované veřejné služby mohou být snadným terčem kybernetických útoků a bude-li takový útok úspěšný, hrozí, že občané budou v důsledku propojenosti těchto služeb poškozeni ve velkém měřítku. Členské státy by měly v rámci své národní strategie kybernetické bezpečnosti vypracovat politiku, která se bude zabývat rozvojem těchto propojených nebo inteligentních měst a možnými dopady na společnost. |
| --- | --- |

(53)

Veřejné služby jsou stále více propojeny s digitálními sítěmi ve městech kvůli zvyšování kvality městských dopravních sítí, modernizaci zásobování vodou a zařízení na likvidaci odpadu a zvyšování účinnosti osvětlení a vytápění budov. Tyto digitalizované veřejné služby mohou být snadným terčem kybernetických útoků a bude-li takový útok úspěšný, hrozí, že občané budou v důsledku propojenosti těchto služeb poškozeni ve velkém měřítku. Členské státy by měly v rámci své národní strategie kybernetické bezpečnosti vypracovat politiku, která se bude zabývat rozvojem těchto propojených nebo inteligentních měst a možnými dopady na společnost.

| (54) | V posledních letech čelila Unie exponenciálnímu nárůstu ransomwarových útoků, při nichž malware zašifruje údaje a systémy a za odblokování požaduje platbu výkupného. Rostoucí četnost a závažnost ransomwarových útoků může být dána několika faktory, jako jsou například různé vzorce útoků, nezákonné obchodní modely založené na „ransomware jako službě“ a kryptoměnách, požadavky na výkupné či nárůst útoků v dodavatelském řetězci. Členské státy by měly v rámci svých národních strategií kybernetické bezpečnosti vypracovat politiku, která bude nárůst ransomwarových útoků řešit. |
| --- | --- |

(54)

V posledních letech čelila Unie exponenciálnímu nárůstu ransomwarových útoků, při nichž malware zašifruje údaje a systémy a za odblokování požaduje platbu výkupného. Rostoucí četnost a závažnost ransomwarových útoků může být dána několika faktory, jako jsou například různé vzorce útoků, nezákonné obchodní modely založené na „ransomware jako službě“ a kryptoměnách, požadavky na výkupné či nárůst útoků v dodavatelském řetězci. Členské státy by měly v rámci svých národních strategií kybernetické bezpečnosti vypracovat politiku, která bude nárůst ransomwarových útoků řešit.

| (55) | Partnerství veřejného a soukromého sektoru v oblasti kybernetické bezpečnosti mohou poskytnout vhodný rámec pro výměnu znalostí, sdílení osvědčených postupů a nastolení společné úrovně porozumění mezi zúčastněnými stranami. Členské státy by měly podporovat politiky na podporu vytváření partnerství veřejného a soukromého sektoru specificky zaměřených na kybernetickou bezpečnost. Tyto politiky by měly mimo jiné jasně specifikovat svou působnost a zúčastněné strany, model řízení, dostupné možnosti financování a interakci mezi zúčastněnými stranami ve vztahu k partnerství veřejného a soukromého sektoru. Partnerství veřejného a soukromého sektoru mohou využít odborné znalosti subjektů ze soukromého sektoru na pomoc příslušným orgánům při vývoji nejmodernějších služeb a procesů, včetně výměny informací, včasného varování, nácviků reakce při kybernetických hrozbách a incidentech, krizového řízení a plánování odolnosti. |
| --- | --- |

(55)

Partnerství veřejného a soukromého sektoru v oblasti kybernetické bezpečnosti mohou poskytnout vhodný rámec pro výměnu znalostí, sdílení osvědčených postupů a nastolení společné úrovně porozumění mezi zúčastněnými stranami. Členské státy by měly podporovat politiky na podporu vytváření partnerství veřejného a soukromého sektoru specificky zaměřených na kybernetickou bezpečnost. Tyto politiky by měly mimo jiné jasně specifikovat svou působnost a zúčastněné strany, model řízení, dostupné možnosti financování a interakci mezi zúčastněnými stranami ve vztahu k partnerství veřejného a soukromého sektoru. Partnerství veřejného a soukromého sektoru mohou využít odborné znalosti subjektů ze soukromého sektoru na pomoc příslušným orgánům při vývoji nejmodernějších služeb a procesů, včetně výměny informací, včasného varování, nácviků reakce při kybernetických hrozbách a incidentech, krizového řízení a plánování odolnosti.

| (56) | Členské státy by se měly ve svých národních strategiích kybernetické bezpečnosti zabývat tím, jaké specifické potřeby mají v oblasti kybernetické bezpečnosti malé a střední podniky. Malé a střední podniky mají v celé Unii významný podíl na průmyslovém a obchodním trhu a často mají problém přizpůsobit se novým obchodním postupům v propojenějším světě a digitálnímu prostředí, kdy zaměstnanci pracují z domova a obchodní činnost stále častěji probíhá on-line. Některé malé a střední podniky čelí v oblasti kybernetické bezpečnosti specifickým výzvám, v souvislosti s nimiž by měly obdržet pokyny a pomoc: nemají například o kybernetické bezpečnosti dostatečné povědomí, jejich systémy IT nejsou dostatečně zabezpečeny pro vzdálený přístup, mají v souvislosti s kybernetickou bezpečností vysoké náklady a jsou ve větším ohrožení, například vůči ransomwarovému útoku. Malé a střední podniky se čím dál častěji stávají terčem útoků skrze dodavatelský řetězec, a to kvůli tomu, že jejich opatření k řízení kybernetických bezpečnostních rizik a zvládání útoků jsou méně důkladná a že na bezpečnostní záležitosti mají k dispozici méně zdrojů. Tyto útoky skrze dodavatelský řetězec mají dopad nejen na malé a střední podniky a jejich izolovanou činnost, ale mohou mít také kaskádový účinek v rámci rozsáhlejších útoků na subjekty, kterým poskytují své služby. Členské státy by měly prostřednictvím svých národních strategií kybernetické bezpečnosti pomoci malým a středním podnikům řešit výzvy, jimž ve svých dodavatelských řetězcích čelí. Členské státy by měly mít kontaktní místo pro malé a střední podniky na vnitrostátní nebo regionální úrovni, které bude poskytovat malým a středním podnikům pokyny a pomoc, nebo je za účelem poskytnutí pokynů a pomoci v otázkách kybernetické bezpečnosti nasměruje k patřičným subjektům. Členské státy se rovněž vybízí k tomu, aby mikropodnikům a malým podnikům, které nemají příslušné kapacity, poskytovaly služby, jako je konfigurace internetových stránek a vedení protokolů. |
| --- | --- |

(56)

Členské státy by se měly ve svých národních strategiích kybernetické bezpečnosti zabývat tím, jaké specifické potřeby mají v oblasti kybernetické bezpečnosti malé a střední podniky. Malé a střední podniky mají v celé Unii významný podíl na průmyslovém a obchodním trhu a často mají problém přizpůsobit se novým obchodním postupům v propojenějším světě a digitálnímu prostředí, kdy zaměstnanci pracují z domova a obchodní činnost stále častěji probíhá on-line. Některé malé a střední podniky čelí v oblasti kybernetické bezpečnosti specifickým výzvám, v souvislosti s nimiž by měly obdržet pokyny a pomoc: nemají například o kybernetické bezpečnosti dostatečné povědomí, jejich systémy IT nejsou dostatečně zabezpečeny pro vzdálený přístup, mají v souvislosti s kybernetickou bezpečností vysoké náklady a jsou ve větším ohrožení, například vůči ransomwarovému útoku. Malé a střední podniky se čím dál častěji stávají terčem útoků skrze dodavatelský řetězec, a to kvůli tomu, že jejich opatření k řízení kybernetických bezpečnostních rizik a zvládání útoků jsou méně důkladná a že na bezpečnostní záležitosti mají k dispozici méně zdrojů. Tyto útoky skrze dodavatelský řetězec mají dopad nejen na malé a střední podniky a jejich izolovanou činnost, ale mohou mít také kaskádový účinek v rámci rozsáhlejších útoků na subjekty, kterým poskytují své služby. Členské státy by měly prostřednictvím svých národních strategií kybernetické bezpečnosti pomoci malým a středním podnikům řešit výzvy, jimž ve svých dodavatelských řetězcích čelí. Členské státy by měly mít kontaktní místo pro malé a střední podniky na vnitrostátní nebo regionální úrovni, které bude poskytovat malým a středním podnikům pokyny a pomoc, nebo je za účelem poskytnutí pokynů a pomoci v otázkách kybernetické bezpečnosti nasměruje k patřičným subjektům. Členské státy se rovněž vybízí k tomu, aby mikropodnikům a malým podnikům, které nemají příslušné kapacity, poskytovaly služby, jako je konfigurace internetových stránek a vedení protokolů.

| (57) | Členské státy by měly v rámci svých národních strategií pro kybernetickou bezpečnost přijmout politiky na podporu aktivní kybernetické ochrany, které budou součástí širší obranné strategie. Aktivní kybernetická ochrana nefunguje reaktivně, ale zajišťuje aktivní prevenci, odhalování, sledování, analýzu a zmírňování případů narušení bezpečnosti sítě v kombinaci s využitím funkcí v síti, která je předmětem útoku, i mimo ni. V rámci této ochrany by mohly členské státy nabízet určitým způsobilým subjektům bezplatné služby nebo nástroje, včetně samoobslužných kontrol, detekčních nástrojů a služeb chránících před zneužitím korporátních značek a identity (takedown service). Pro jednotný postup v úsilí o úspěšnou prevenci, odhalování, řešení a blokování útoků proti sítím a informačním systémům je zásadně důležitá možnost rychle a automaticky sdílet a chápat údaje a analýzy týkající se hrozeb, varování v souvislosti s kybernetickými aktivitami a opatření reakce. Aktivní kybernetická ochrana spočívá na obranné strategii, která vylučuje útočná opatření. |
| --- | --- |

(57)

Členské státy by měly v rámci svých národních strategií pro kybernetickou bezpečnost přijmout politiky na podporu aktivní kybernetické ochrany, které budou součástí širší obranné strategie. Aktivní kybernetická ochrana nefunguje reaktivně, ale zajišťuje aktivní prevenci, odhalování, sledování, analýzu a zmírňování případů narušení bezpečnosti sítě v kombinaci s využitím funkcí v síti, která je předmětem útoku, i mimo ni. V rámci této ochrany by mohly členské státy nabízet určitým způsobilým subjektům bezplatné služby nebo nástroje, včetně samoobslužných kontrol, detekčních nástrojů a služeb chránících před zneužitím korporátních značek a identity (takedown service). Pro jednotný postup v úsilí o úspěšnou prevenci, odhalování, řešení a blokování útoků proti sítím a informačním systémům je zásadně důležitá možnost rychle a automaticky sdílet a chápat údaje a analýzy týkající se hrozeb, varování v souvislosti s kybernetickými aktivitami a opatření reakce. Aktivní kybernetická ochrana spočívá na obranné strategii, která vylučuje útočná opatření.

| (58) | Využití zranitelností v sítích a informačních systémech může způsobit vážná narušení a škody, a rychlé určení a náprava těchto zranitelností je proto důležitým faktorem při snižování rizik. Subjekty, které sítě a informační systémy vyvíjejí nebo spravují, by proto měly stanovit vhodné postupy k řešení zranitelností, jakmile jsou zjištěny. Jelikož zranitelnosti jsou často zjištěny a odhaleny třetími stranami, výrobce nebo poskytovatel produktů IKT nebo služeb IKT by měl rovněž zavést nezbytné postupy pro získávání informací o zranitelnosti od třetích stran. Vodítko pro řešení zranitelnosti a zveřejňování zranitelností v této souvislosti poskytují mezinárodní normy ISO/IEC 30111 a ISO/IEC 29147. Pro účely usnadnění dobrovolného rámce pro zveřejňování informací o zranitelnostech je zvláště důležité posílení koordinace mezi fyzickými a právnickými osobami oznamujícími incidenty a výrobci nebo poskytovateli produktů IKT nebo služeb IKT. Koordinované zveřejňování zranitelností specifikuje strukturovaný proces, jehož prostřednictvím jsou zranitelnosti oznámeny výrobci nebo poskytovateli potenciálně zranitelných produktů IKT nebo služeb IKT takovým způsobem, který mu umožní diagnostikovat a odstranit zranitelnost dříve, než budou podrobné informace o ní sděleny třetím stranám nebo veřejnosti. Koordinované zveřejňování zranitelností by také mělo zahrnovat koordinaci mezi fyzickou a právnickou osobou oznamující incidenty a výrobcem nebo poskytovatelem potenciálně zranitelných produktů IKT nebo služeb IKT, pokud jde o načasování odstranění zranitelností a jejich zveřejnění. |
| --- | --- |

(58)

Využití zranitelností v sítích a informačních systémech může způsobit vážná narušení a škody, a rychlé určení a náprava těchto zranitelností je proto důležitým faktorem při snižování rizik. Subjekty, které sítě a informační systémy vyvíjejí nebo spravují, by proto měly stanovit vhodné postupy k řešení zranitelností, jakmile jsou zjištěny. Jelikož zranitelnosti jsou často zjištěny a odhaleny třetími stranami, výrobce nebo poskytovatel produktů IKT nebo služeb IKT by měl rovněž zavést nezbytné postupy pro získávání informací o zranitelnosti od třetích stran. Vodítko pro řešení zranitelnosti a zveřejňování zranitelností v této souvislosti poskytují mezinárodní normy ISO/IEC 30111 a ISO/IEC 29147. Pro účely usnadnění dobrovolného rámce pro zveřejňování informací o zranitelnostech je zvláště důležité posílení koordinace mezi fyzickými a právnickými osobami oznamujícími incidenty a výrobci nebo poskytovateli produktů IKT nebo služeb IKT. Koordinované zveřejňování zranitelností specifikuje strukturovaný proces, jehož prostřednictvím jsou zranitelnosti oznámeny výrobci nebo poskytovateli potenciálně zranitelných produktů IKT nebo služeb IKT takovým způsobem, který mu umožní diagnostikovat a odstranit zranitelnost dříve, než budou podrobné informace o ní sděleny třetím stranám nebo veřejnosti. Koordinované zveřejňování zranitelností by také mělo zahrnovat koordinaci mezi fyzickou a právnickou osobou oznamující incidenty a výrobcem nebo poskytovatelem potenciálně zranitelných produktů IKT nebo služeb IKT, pokud jde o načasování odstranění zranitelností a jejich zveřejnění.

| (59) | Komise, agentura ENISA a členské státy by měly i nadále podporovat sbližování s mezinárodními normami a stávajícími odvětvovými osvědčenými postupy v oblasti řízení kybernetických bezpečnostních rizik, například v oblastech posuzování bezpečnosti dodavatelského řetězce, sdílení informací a zveřejňování zranitelností. |
| --- | --- |

(59)

Komise, agentura ENISA a členské státy by měly i nadále podporovat sbližování s mezinárodními normami a stávajícími odvětvovými osvědčenými postupy v oblasti řízení kybernetických bezpečnostních rizik, například v oblastech posuzování bezpečnosti dodavatelského řetězce, sdílení informací a zveřejňování zranitelností.

| (60) | Členské státy by měly ve spolupráci s agenturou ENISA přijmout opatření k usnadnění koordinovaného zveřejňování zranitelností zavedením příslušné vnitrostátní politiky. V rámci své vnitrostátní politiky by členské státy měly usilovat o to, aby se v souladu s vnitrostátním právem v co největší míře zabývaly výzvami, jimž čelí objevovatelé zranitelností, kteří se touto problematikou zabývají, a to i pokud jde o jejich možné vystavení trestní odpovědnosti. Vzhledem k tomu, že fyzické a právnické osoby, které provádějí výzkum týkající se zranitelností, by v některých členských státech mohly být vystaveny trestní a občanskoprávní odpovědnosti, členské státy se vybízejí, aby přijaly pokyny týkající se nemožnosti stíhat osoby provádějících výzkum bezpečnosti informací a vyloučení vzniku občanskoprávní odpovědnosti v souvislosti s jejich činnostmi. |
| --- | --- |

(60)

Členské státy by měly ve spolupráci s agenturou ENISA přijmout opatření k usnadnění koordinovaného zveřejňování zranitelností zavedením příslušné vnitrostátní politiky. V rámci své vnitrostátní politiky by členské státy měly usilovat o to, aby se v souladu s vnitrostátním právem v co největší míře zabývaly výzvami, jimž čelí objevovatelé zranitelností, kteří se touto problematikou zabývají, a to i pokud jde o jejich možné vystavení trestní odpovědnosti. Vzhledem k tomu, že fyzické a právnické osoby, které provádějí výzkum týkající se zranitelností, by v některých členských státech mohly být vystaveny trestní a občanskoprávní odpovědnosti, členské státy se vybízejí, aby přijaly pokyny týkající se nemožnosti stíhat osoby provádějících výzkum bezpečnosti informací a vyloučení vzniku občanskoprávní odpovědnosti v souvislosti s jejich činnostmi.

| (61) | Členské státy by měly určit jeden ze svých týmů CSIRT jakožto koordinátora, který v případě potřeby převezme úlohu důvěryhodného zprostředkovatele mezi oznamujícími fyzickými či právnickými osobami a výrobci nebo poskytovateli produktů IKT či služeb IKT, u nichž je pravděpodobné, že budou zranitelností dotčeny. Mezi úkoly týmu CSIRT, který byl určen jakožto koordinátor, by měla patřit identifikace a kontaktování dotčených subjektů, pomoc fyzickým nebo právnickým osobám oznamujícím zranitelnost, jednání o lhůtách pro zveřejnění a řešení zranitelností, které mají dopad na více subjektů (vícestranné koordinované zveřejňování zranitelností). Pokud by oznámená zranitelnost mohla mít významný dopad na subjekty ve více než jednom členském státě, měly by týmy CSIRT určené jakožto koordinátoři v rámci sítě CSIRT případně spolupracovat. |
| --- | --- |

(61)

Členské státy by měly určit jeden ze svých týmů CSIRT jakožto koordinátora, který v případě potřeby převezme úlohu důvěryhodného zprostředkovatele mezi oznamujícími fyzickými či právnickými osobami a výrobci nebo poskytovateli produktů IKT či služeb IKT, u nichž je pravděpodobné, že budou zranitelností dotčeny. Mezi úkoly týmu CSIRT, který byl určen jakožto koordinátor, by měla patřit identifikace a kontaktování dotčených subjektů, pomoc fyzickým nebo právnickým osobám oznamujícím zranitelnost, jednání o lhůtách pro zveřejnění a řešení zranitelností, které mají dopad na více subjektů (vícestranné koordinované zveřejňování zranitelností). Pokud by oznámená zranitelnost mohla mít významný dopad na subjekty ve více než jednom členském státě, měly by týmy CSIRT určené jakožto koordinátoři v rámci sítě CSIRT případně spolupracovat.

| (62) | Přístup ke správným a včasným informacím o zranitelnostech dotýkajících se produktů IKT a služeb IKT přispívá k zesílenému řízení kybernetických bezpečnostních rizik. Zdroje veřejně přístupných informací o zranitelnostech jsou důležitým nástrojem pro subjekty a uživatele jejich služeb, ale i pro příslušné orgány a týmy CSIRT. Z tohoto důvodu by agentura ENISA měla zavést Evropskou databázi zranitelností, kde subjekty bez ohledu na to, zda se na ně tato směrnice vztahuje, a jejich dodavatelé sítí a informačních systémů a příslušné orgány a týmy CSIRT mohou veřejně známé zranitelnosti na základě dobrovolnosti zveřejňovat a zaznamenávat, aby uživatelům umožnili přijímat vhodná opatření ke zmírnění dopadů. Smyslem této databáze je řešit výzvy spojené s riziky příznačnými pro unijní subjekty. Agentura ENISA by nadto měla zavést vhodný postup pro zveřejňování informací, který poskytne subjektům čas k přijetí opatření zmírňujících jejich zranitelnosti, a uplatňovat nejmodernější opatření k řízení kybernetických bezpečnostních rizik a strojově čitelné datové soubory a odpovídající rozhraní. V zájmu podpory kultury zveřejňování zranitelností by odhalení nemělo způsobovat oznamující fyzické nebo právnické osobě žádnou újmu. |
| --- | --- |

(62)

Přístup ke správným a včasným informacím o zranitelnostech dotýkajících se produktů IKT a služeb IKT přispívá k zesílenému řízení kybernetických bezpečnostních rizik. Zdroje veřejně přístupných informací o zranitelnostech jsou důležitým nástrojem pro subjekty a uživatele jejich služeb, ale i pro příslušné orgány a týmy CSIRT. Z tohoto důvodu by agentura ENISA měla zavést Evropskou databázi zranitelností, kde subjekty bez ohledu na to, zda se na ně tato směrnice vztahuje, a jejich dodavatelé sítí a informačních systémů a příslušné orgány a týmy CSIRT mohou veřejně známé zranitelnosti na základě dobrovolnosti zveřejňovat a zaznamenávat, aby uživatelům umožnili přijímat vhodná opatření ke zmírnění dopadů. Smyslem této databáze je řešit výzvy spojené s riziky příznačnými pro unijní subjekty. Agentura ENISA by nadto měla zavést vhodný postup pro zveřejňování informací, který poskytne subjektům čas k přijetí opatření zmírňujících jejich zranitelnosti, a uplatňovat nejmodernější opatření k řízení kybernetických bezpečnostních rizik a strojově čitelné datové soubory a odpovídající rozhraní. V zájmu podpory kultury zveřejňování zranitelností by odhalení nemělo způsobovat oznamující fyzické nebo právnické osobě žádnou újmu.

| (63) | Ačkoli podobné registry nebo databáze zranitelností existují, jsou hostovány a spravovány subjekty, které nejsou usazeny v Unii. Evropská databáze zranitelností spravovaná agenturou ENISA by poskytla lepší transparentnost procesu odhalování předtím, než je zranitelnost zveřejněna, a odolnost v případě narušení nebo přerušení poskytování podobných služeb. S cílem v co největší možné míře zabránit zdvojení úsilí a usilovat o komplementaritu by agentura ENISA měla zkoumat možnost uzavření strukturovaných dohod o spolupráci s podobnými registry nebo databázemi spadajícími do jurisdikce třetích zemí. Agentura ENISA by měla zejména prozkoumat možnost úzké spolupráce s provozovateli systému společných zranitelností a expozic (CVE). |
| --- | --- |

(63)

Ačkoli podobné registry nebo databáze zranitelností existují, jsou hostovány a spravovány subjekty, které nejsou usazeny v Unii. Evropská databáze zranitelností spravovaná agenturou ENISA by poskytla lepší transparentnost procesu odhalování předtím, než je zranitelnost zveřejněna, a odolnost v případě narušení nebo přerušení poskytování podobných služeb. S cílem v co největší možné míře zabránit zdvojení úsilí a usilovat o komplementaritu by agentura ENISA měla zkoumat možnost uzavření strukturovaných dohod o spolupráci s podobnými registry nebo databázemi spadajícími do jurisdikce třetích zemí. Agentura ENISA by měla zejména prozkoumat možnost úzké spolupráce s provozovateli systému společných zranitelností a expozic (CVE).

| (64) | Skupina pro spolupráci by měla podporovat a usnadňovat strategickou spolupráci a výměnu informací, jakož i posilovat důvěru mezi členskými státy. Skupina pro spolupráci by měla každé dva roky přijmout pracovní program. Pracovní program by měl zahrnovat opatření, která má skupina pro spolupráci podniknout ke splnění svých cílů a úkolů. Časový rámec pro přijetí prvního programu podle této směrnice by měl být sladěn s časovým rámcem posledního pracovního programu stanoveného na základě směrnice (EU) 2016/1148, aby se zabránilo možnému přerušení práce skupiny pro spolupráci. |
| --- | --- |

(64)

Skupina pro spolupráci by měla podporovat a usnadňovat strategickou spolupráci a výměnu informací, jakož i posilovat důvěru mezi členskými státy. Skupina pro spolupráci by měla každé dva roky přijmout pracovní program. Pracovní program by měl zahrnovat opatření, která má skupina pro spolupráci podniknout ke splnění svých cílů a úkolů. Časový rámec pro přijetí prvního programu podle této směrnice by měl být sladěn s časovým rámcem posledního pracovního programu stanoveného na základě směrnice (EU) 2016/1148, aby se zabránilo možnému přerušení práce skupiny pro spolupráci.

| (65) | Při vypracování pokynů by skupina pro spolupráci měla důsledně: mapovat vnitrostátní řešení a zkušenosti, posuzovat dopad výstupů skupiny pro spolupráci na přístupy členských států, diskutovat o problémech spojených s prováděním a formulovat konkrétní doporučení, zejména pokud jde o usnadnění sladění při provádění této směrnice mezi členskými státy, která je třeba zohlednit prostřednictvím lepšího provádění stávajících pravidel. V zájmu podpory slaďování řešení v oblasti kybernetické bezpečnosti uplatňovaných v jednotlivých odvětvích v celé Unii by skupina pro spolupráci mohla rovněž mapovat vnitrostátní řešení. To je obzvláště důležité pro odvětví, která jsou ze své povahy mezinárodní nebo přeshraniční. |
| --- | --- |

(65)

Při vypracování pokynů by skupina pro spolupráci měla důsledně: mapovat vnitrostátní řešení a zkušenosti, posuzovat dopad výstupů skupiny pro spolupráci na přístupy členských států, diskutovat o problémech spojených s prováděním a formulovat konkrétní doporučení, zejména pokud jde o usnadnění sladění při provádění této směrnice mezi členskými státy, která je třeba zohlednit prostřednictvím lepšího provádění stávajících pravidel. V zájmu podpory slaďování řešení v oblasti kybernetické bezpečnosti uplatňovaných v jednotlivých odvětvích v celé Unii by skupina pro spolupráci mohla rovněž mapovat vnitrostátní řešení. To je obzvláště důležité pro odvětví, která jsou ze své povahy mezinárodní nebo přeshraniční.

| (66) | Skupina pro spolupráci by i nadále měla být flexibilním fórem a měla by být schopna reagovat na měnící se a nové priority a výzvy politik a přitom brát v úvahu dostupnost zdrojů. Mohla by organizovat pravidelná společná setkání s relevantními soukromými zúčastněnými stranami z celé Unie za účelem projednání činností prováděných skupinou pro spolupráci a shromažďování údajů a vstupů týkajících se vznikajících politických výzev. Kromě toho by skupina pro spolupráci měla pravidelně provádět hodnocení aktuálního stavu kybernetických hrozeb nebo incidentů, například v souvislosti s ransomware. S cílem posílit spolupráci na úrovni Unie by skupina pro spolupráci měla zvážit, že k účasti na své činnosti přizve příslušné orgány, instituce a jiné subjekty Unie zapojené do politiky v oblasti kybernetické bezpečnosti, jako jsou Evropský parlament, Europol, Evropský sbor pro ochranu osobních údajů, Agentura Evropské unie pro bezpečnost letectví, zřízená nařízením (EU) 2018/1139, a Agentura Evropské unie pro Kosmický program, zřízená nařízením Evropského parlamentu a Rady (EU) 2021/696 (14). |
| --- | --- |

(66)

Skupina pro spolupráci by i nadále měla být flexibilním fórem a měla by být schopna reagovat na měnící se a nové priority a výzvy politik a přitom brát v úvahu dostupnost zdrojů. Mohla by organizovat pravidelná společná setkání s relevantními soukromými zúčastněnými stranami z celé Unie za účelem projednání činností prováděných skupinou pro spolupráci a shromažďování údajů a vstupů týkajících se vznikajících politických výzev. Kromě toho by skupina pro spolupráci měla pravidelně provádět hodnocení aktuálního stavu kybernetických hrozeb nebo incidentů, například v souvislosti s ransomware. S cílem posílit spolupráci na úrovni Unie by skupina pro spolupráci měla zvážit, že k účasti na své činnosti přizve příslušné orgány, instituce a jiné subjekty Unie zapojené do politiky v oblasti kybernetické bezpečnosti, jako jsou Evropský parlament, Europol, Evropský sbor pro ochranu osobních údajů, Agentura Evropské unie pro bezpečnost letectví, zřízená nařízením (EU) 2018/1139, a Agentura Evropské unie pro Kosmický program, zřízená nařízením Evropského parlamentu a Rady (EU) 2021/696 (14).

| (67) | Za účelem zlepšení spolupráce a posílení důvěry mezi členskými státy by měly příslušné orgány a týmy CSIRT mít možnost účastnit se výměnných programů pro úředníky z jiných členských států, a to ve zvláštním rámci a případně pod podmínkou požadavku bezpečnostní prověrky úředníků účastnících se těchto výměnných programů, s cílem zlepšit spolupráci a posílit důvěru mezi členskými státy. Příslušné orgány by měly přijmout nezbytná opatření, jež umožní úředníkům z jiných členských států účinně se zapojit do činností hostitelského příslušného orgánu nebo hostitelského týmu CSIRT. |
| --- | --- |

(67)

Za účelem zlepšení spolupráce a posílení důvěry mezi členskými státy by měly příslušné orgány a týmy CSIRT mít možnost účastnit se výměnných programů pro úředníky z jiných členských států, a to ve zvláštním rámci a případně pod podmínkou požadavku bezpečnostní prověrky úředníků účastnících se těchto výměnných programů, s cílem zlepšit spolupráci a posílit důvěru mezi členskými státy. Příslušné orgány by měly přijmout nezbytná opatření, jež umožní úředníkům z jiných členských států účinně se zapojit do činností hostitelského příslušného orgánu nebo hostitelského týmu CSIRT.

| (68) | Členské státy by měly přispět k vytvoření rámce EU pro reakci na kybernetické bezpečnostní krize uvedeného v doporučení Komise (EU) 2017/1584 (15) prostřednictvím stávajících sítí pro spolupráci, zejména Evropské sítě styčných organizací pro řešení kybernetických krizí (dále jen „síť EU-CyCLONe“), sítě CSIRT a skupiny pro spolupráci. Sítě EU-CyCLONe a CSIRT by měly spolupracovat na základě procesních opatření, jež vymezí podrobnosti této spolupráce, a zamezit zdvojování činnosti. Jednací řád sítě EU-CyCLONe by měl dále vymezit podmínky, za nichž by měla uvedená síť fungovat, včetně úloh této sítě, způsobů spolupráce, interakcí s jinými relevantními subjekty a šablon pro sdílení informací, jakož i způsobů komunikace. Pokud jde o krizové řízení na úrovni Unie, měly by příslušné strany vycházet z opatření pro integrovanou politickou reakci na krize podle prováděcího rozhodnutí Rady (EU) 2018/1993 (16) (opatření IPRK). Komise by za tímto účelem měla využít proces meziodvětvové koordinace na vysoké úrovni v krizových situacích ARGUS. Pokud má krize významný externí rozměr nebo se týká společné bezpečnostní a obranné politiky, měl by být aktivován mechanismus Evropské služby pro vnější činnost pro reakce na krize. |
| --- | --- |

(68)

Členské státy by měly přispět k vytvoření rámce EU pro reakci na kybernetické bezpečnostní krize uvedeného v doporučení Komise (EU) 2017/1584 (15) prostřednictvím stávajících sítí pro spolupráci, zejména Evropské sítě styčných organizací pro řešení kybernetických krizí (dále jen „síť EU-CyCLONe“), sítě CSIRT a skupiny pro spolupráci. Sítě EU-CyCLONe a CSIRT by měly spolupracovat na základě procesních opatření, jež vymezí podrobnosti této spolupráce, a zamezit zdvojování činnosti. Jednací řád sítě EU-CyCLONe by měl dále vymezit podmínky, za nichž by měla uvedená síť fungovat, včetně úloh této sítě, způsobů spolupráce, interakcí s jinými relevantními subjekty a šablon pro sdílení informací, jakož i způsobů komunikace. Pokud jde o krizové řízení na úrovni Unie, měly by příslušné strany vycházet z opatření pro integrovanou politickou reakci na krize podle prováděcího rozhodnutí Rady (EU) 2018/1993 (16) (opatření IPRK). Komise by za tímto účelem měla využít proces meziodvětvové koordinace na vysoké úrovni v krizových situacích ARGUS. Pokud má krize významný externí rozměr nebo se týká společné bezpečnostní a obranné politiky, měl by být aktivován mechanismus Evropské služby pro vnější činnost pro reakce na krize.

| (69) | V souladu s přílohou doporučení (EU) 2017/1584 by rozsáhlý kybernetický bezpečnostní incident měl označovat incident, který způsobuje narušení přesahující schopnost členského státu na něj reagovat nebo incident, který má významný dopad na alespoň dva členské státy. V závislosti na jejich příčině a dopadu mohou rozsáhlé kybernetické bezpečnostní incidenty eskalovat a přejít ve skutečné krize, jež neumožní řádné fungování vnitřního trhu nebo budou představovat vážná rizika pro veřejnou bezpečnost a ochranu subjektů nebo občanů v několika členských státech nebo v Unii jako celku. Vzhledem k širokému dopadu a ve většině případů i přeshraniční povaze takových incidentů by členské státy a příslušné orgány, instituce a jiné subjekty Unie měly na technické, operativní a politické úrovni spolupracovat a odpovídajícím způsobem koordinovat reakci v celé Unii. |
| --- | --- |

(69)

V souladu s přílohou doporučení (EU) 2017/1584 by rozsáhlý kybernetický bezpečnostní incident měl označovat incident, který způsobuje narušení přesahující schopnost členského státu na něj reagovat nebo incident, který má významný dopad na alespoň dva členské státy. V závislosti na jejich příčině a dopadu mohou rozsáhlé kybernetické bezpečnostní incidenty eskalovat a přejít ve skutečné krize, jež neumožní řádné fungování vnitřního trhu nebo budou představovat vážná rizika pro veřejnou bezpečnost a ochranu subjektů nebo občanů v několika členských státech nebo v Unii jako celku. Vzhledem k širokému dopadu a ve většině případů i přeshraniční povaze takových incidentů by členské státy a příslušné orgány, instituce a jiné subjekty Unie měly na technické, operativní a politické úrovni spolupracovat a odpovídajícím způsobem koordinovat reakci v celé Unii.

| (70) | Rozsáhlé kybernetické bezpečnostní incidenty a krize na úrovni Unie vyžadují koordinovanou činnost k zajištění rychlé a účinné reakce z důvodu vysokého stupně vzájemné závislosti mezi jednotlivými odvětvími a členskými státy. Dostupnost sítí a informačních systémů odolných vůči kybernetickým útokům a dostupnost, důvěrnost a integrita dat mají zásadní význam pro bezpečnost Unie a pro ochranu jejích občanů, podniků a institucí před incidenty a kybernetickými hrozbami, jakož i pro posílení důvěry jednotlivců a organizací ve schopnost Unie prosazovat a chránit globální, otevřený, svobodný, stabilní a bezpečný kyberprostor založený na lidských právech, základních svobodách, demokracii a právním státu. |
| --- | --- |

(70)

Rozsáhlé kybernetické bezpečnostní incidenty a krize na úrovni Unie vyžadují koordinovanou činnost k zajištění rychlé a účinné reakce z důvodu vysokého stupně vzájemné závislosti mezi jednotlivými odvětvími a členskými státy. Dostupnost sítí a informačních systémů odolných vůči kybernetickým útokům a dostupnost, důvěrnost a integrita dat mají zásadní význam pro bezpečnost Unie a pro ochranu jejích občanů, podniků a institucí před incidenty a kybernetickými hrozbami, jakož i pro posílení důvěry jednotlivců a organizací ve schopnost Unie prosazovat a chránit globální, otevřený, svobodný, stabilní a bezpečný kyberprostor založený na lidských právech, základních svobodách, demokracii a právním státu.

| (71) | Síť EU-CyCLONe by měla působit jako prostředník mezi technickou a politickou úrovní při rozsáhlých kybernetických bezpečnostních incidentech a krizích a měla by posilovat spolupráci na operační úrovni a podporovat rozhodování na politické úrovni. Ve spolupráci s Komisí a s ohledem na pravomoc Komise v oblasti řešení krizí by měla síť EU-CyCLONe vycházet ze zjištění sítě CSIRT a využívat své vlastní schopnosti k vypracování analýzy dopadů rozsáhlých kybernetických bezpečnostních incidentů a krizí. |
| --- | --- |

(71)

Síť EU-CyCLONe by měla působit jako prostředník mezi technickou a politickou úrovní při rozsáhlých kybernetických bezpečnostních incidentech a krizích a měla by posilovat spolupráci na operační úrovni a podporovat rozhodování na politické úrovni. Ve spolupráci s Komisí a s ohledem na pravomoc Komise v oblasti řešení krizí by měla síť EU-CyCLONe vycházet ze zjištění sítě CSIRT a využívat své vlastní schopnosti k vypracování analýzy dopadů rozsáhlých kybernetických bezpečnostních incidentů a krizí.

| (72) | Kybernetické útoky jsou přeshraniční povahy a významný incident může narušit a poškodit kritickou informační infrastrukturu, na níž závisí hladké fungování vnitřního trhu. Doporučení (EU) 2017/1584 se zabývá úlohou všech příslušných aktérů. Kromě toho je Komise v rámci mechanismu civilní ochrany Unie zřízeného rozhodnutím Evropského parlamentu a Rady č. 1313/2013/EU (17) odpovědná za obecná opatření v oblasti připravenosti, včetně řízení Střediska pro koordinaci odezvy na mimořádné události a společného komunikačního a informačního systému pro mimořádné události, udržování a dalšího rozvoje situačního povědomí a schopnosti analýzy a vytvoření a řízení schopnosti mobilizovat a vyslat odborné týmy v případě žádosti členského státu nebo třetí země o pomoc. Komise je rovněž odpovědná za poskytování analytických zpráv pro opatření IPRK podle prováděcího rozhodnutí (EU) 2018/1993, a to i pokud jde o povědomí o situaci a připravenost v oblasti kybernetické bezpečnosti, jakož i za povědomí o situaci a reakci na krize v oblasti zemědělství, nepříznivých povětrnostních podmínek, mapování a prognóz konfliktů, systémů včasného varování v případě přírodních katastrof, mimořádných situací v oblasti zdraví, dozoru nad nakažlivými chorobami, zdraví rostlin, chemických incidentů, bezpečnosti potravin a krmiv, zdraví zvířat, migrace, cel, jaderných a radiologických mimořádných situací a v energetické oblasti. |
| --- | --- |

(72)

Kybernetické útoky jsou přeshraniční povahy a významný incident může narušit a poškodit kritickou informační infrastrukturu, na níž závisí hladké fungování vnitřního trhu. Doporučení (EU) 2017/1584 se zabývá úlohou všech příslušných aktérů. Kromě toho je Komise v rámci mechanismu civilní ochrany Unie zřízeného rozhodnutím Evropského parlamentu a Rady č. 1313/2013/EU (17) odpovědná za obecná opatření v oblasti připravenosti, včetně řízení Střediska pro koordinaci odezvy na mimořádné události a společného komunikačního a informačního systému pro mimořádné události, udržování a dalšího rozvoje situačního povědomí a schopnosti analýzy a vytvoření a řízení schopnosti mobilizovat a vyslat odborné týmy v případě žádosti členského státu nebo třetí země o pomoc. Komise je rovněž odpovědná za poskytování analytických zpráv pro opatření IPRK podle prováděcího rozhodnutí (EU) 2018/1993, a to i pokud jde o povědomí o situaci a připravenost v oblasti kybernetické bezpečnosti, jakož i za povědomí o situaci a reakci na krize v oblasti zemědělství, nepříznivých povětrnostních podmínek, mapování a prognóz konfliktů, systémů včasného varování v případě přírodních katastrof, mimořádných situací v oblasti zdraví, dozoru nad nakažlivými chorobami, zdraví rostlin, chemických incidentů, bezpečnosti potravin a krmiv, zdraví zvířat, migrace, cel, jaderných a radiologických mimořádných situací a v energetické oblasti.

| (73) | Unie může ve vhodných případech v souladu s článkem 218 Smlouvy o fungování EU uzavírat mezinárodní dohody s třetími zeměmi nebo mezinárodními organizacemi, které umožní a upraví jejich účast na některých činnostech skupiny pro spolupráci a sítě CSIRT a sítě EU-CyCLONe. Takové dohody by měly zajistit zájmy Unie a odpovídající ochranu údajů. Tím by nemělo být dotčeno právo členských států spolupracovat s třetími zeměmi na řízení zranitelností a řízení kybernetických bezpečnostních rizik, což usnadňuje podávání zpráv a obecné sdílení informací v souladu s právem Unie. |
| --- | --- |

(73)

Unie může ve vhodných případech v souladu s článkem 218 Smlouvy o fungování EU uzavírat mezinárodní dohody s třetími zeměmi nebo mezinárodními organizacemi, které umožní a upraví jejich účast na některých činnostech skupiny pro spolupráci a sítě CSIRT a sítě EU-CyCLONe. Takové dohody by měly zajistit zájmy Unie a odpovídající ochranu údajů. Tím by nemělo být dotčeno právo členských států spolupracovat s třetími zeměmi na řízení zranitelností a řízení kybernetických bezpečnostních rizik, což usnadňuje podávání zpráv a obecné sdílení informací v souladu s právem Unie.

| (74) | V zájmu usnadnění účinného provádění této směrnice, s ohledem mimo jiné na řešení zranitelností, opatření k řízení kybernetických bezpečnostních rizik, oznamovací povinnosti a ujednání o sdílení informací o kybernetické bezpečnosti, mohou členské státy spolupracovat se třetími zeměmi a provádět činnosti, které jsou pro tento účel považovány za vhodné, včetně výměny informací o kybernetických hrozbách, incidentech, zranitelnostech, nástrojích a metodách, taktice, technikách a postupech, připravenosti a cvičeních pro řešení kybernetických bezpečnostních krizí, školení, budování důvěry a strukturovaných ujednáních o sdílení informací. |
| --- | --- |

(74)

V zájmu usnadnění účinného provádění této směrnice, s ohledem mimo jiné na řešení zranitelností, opatření k řízení kybernetických bezpečnostních rizik, oznamovací povinnosti a ujednání o sdílení informací o kybernetické bezpečnosti, mohou členské státy spolupracovat se třetími zeměmi a provádět činnosti, které jsou pro tento účel považovány za vhodné, včetně výměny informací o kybernetických hrozbách, incidentech, zranitelnostech, nástrojích a metodách, taktice, technikách a postupech, připravenosti a cvičeních pro řešení kybernetických bezpečnostních krizí, školení, budování důvěry a strukturovaných ujednáních o sdílení informací.

| (75) | Měla by být zavedena vzájemná hodnocení, díky nimž by bylo možné poučit se ze sdílených zkušeností, posílit vzájemnou důvěru a dosáhnout vysoké společné úrovně kybernetické bezpečnosti. Vzájemná hodnocení mohou přinést cenné poznatky a doporučení, posílit celkové schopnosti v oblasti kybernetické bezpečnosti, vytvořit další funkční způsob, jak sdílet osvědčené postupy mezi členskými státy, a přispět ke zvýšení úrovně vyspělosti členských států v oblasti kybernetické bezpečnosti. Kromě toho by vzájemná hodnocení měla zohledňovat výsledky obdobných mechanismů, například systému vzájemného hodnocení sítě CSIRT, a měla by vytvářet přidanou hodnotu a zamezit zdvojování činností. Zavedením vzájemných hodnocení by nemělo být dotčeno unijní ani vnitrostátní právo o ochraně důvěrných nebo utajovaných informací. |
| --- | --- |

(75)

Měla by být zavedena vzájemná hodnocení, díky nimž by bylo možné poučit se ze sdílených zkušeností, posílit vzájemnou důvěru a dosáhnout vysoké společné úrovně kybernetické bezpečnosti. Vzájemná hodnocení mohou přinést cenné poznatky a doporučení, posílit celkové schopnosti v oblasti kybernetické bezpečnosti, vytvořit další funkční způsob, jak sdílet osvědčené postupy mezi členskými státy, a přispět ke zvýšení úrovně vyspělosti členských států v oblasti kybernetické bezpečnosti. Kromě toho by vzájemná hodnocení měla zohledňovat výsledky obdobných mechanismů, například systému vzájemného hodnocení sítě CSIRT, a měla by vytvářet přidanou hodnotu a zamezit zdvojování činností. Zavedením vzájemných hodnocení by nemělo být dotčeno unijní ani vnitrostátní právo o ochraně důvěrných nebo utajovaných informací.

| (76) | Skupina pro spolupráci by měla pro členské státy vypracovat metodiku sebehodnocení, jejímž cílem bude pokrýt takové faktory, jako jsou úroveň provádění opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností, úroveň schopností a účinnost plnění úkolů příslušných orgánů, provozní schopnosti týmů CSIRT, úroveň poskytování vzájemné pomoci, úroveň provádění ujednání o sdílení informací o kybernetické bezpečnosti nebo zvláštní přeshraniční či meziodvětvové otázky. Členské státy by měly být nabádány k tomu, aby sebehodnocení prováděly pravidelně a výsledky svého sebehodnocení předkládaly a projednávaly ve skupině pro spolupráci. |
| --- | --- |

(76)

Skupina pro spolupráci by měla pro členské státy vypracovat metodiku sebehodnocení, jejímž cílem bude pokrýt takové faktory, jako jsou úroveň provádění opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností, úroveň schopností a účinnost plnění úkolů příslušných orgánů, provozní schopnosti týmů CSIRT, úroveň poskytování vzájemné pomoci, úroveň provádění ujednání o sdílení informací o kybernetické bezpečnosti nebo zvláštní přeshraniční či meziodvětvové otázky. Členské státy by měly být nabádány k tomu, aby sebehodnocení prováděly pravidelně a výsledky svého sebehodnocení předkládaly a projednávaly ve skupině pro spolupráci.

| (77) | Povinnost zajistit bezpečnost sítě a informačního systému mají do značné míry základní a důležité subjekty. Měla by být prosazována a rozvíjena kultura řízení rizik zahrnující posuzování rizik a provádění opatření k řízení kybernetických bezpečnostních rizik úměrných hrozícím rizikům. |
| --- | --- |

(77)

Povinnost zajistit bezpečnost sítě a informačního systému mají do značné míry základní a důležité subjekty. Měla by být prosazována a rozvíjena kultura řízení rizik zahrnující posuzování rizik a provádění opatření k řízení kybernetických bezpečnostních rizik úměrných hrozícím rizikům.

| (78) | Opatření k řízení kybernetických bezpečnostních rizik by měla zohledňovat míru závislosti základního nebo důležitého subjektu na sítích a informačních systémech a zahrnovat opatření pro určení veškerých rizik incidentů, předcházení incidentům, jejich odhalování, reakce na ně, zotavení se z nich a zmírňování jejich dopadu. Bezpečnost sítí a informačních systémů by měla zahrnovat bezpečnost uchovávaných, předávaných a zpracovávaných údajů. Opatření k řízení kybernetických bezpečnostních rizik by měla zajišťovat systémovou analýzu zohledňující lidský faktor s cílem získat úplný obraz o bezpečnosti sítě a informačního systému. |
| --- | --- |

(78)

Opatření k řízení kybernetických bezpečnostních rizik by měla zohledňovat míru závislosti základního nebo důležitého subjektu na sítích a informačních systémech a zahrnovat opatření pro určení veškerých rizik incidentů, předcházení incidentům, jejich odhalování, reakce na ně, zotavení se z nich a zmírňování jejich dopadu. Bezpečnost sítí a informačních systémů by měla zahrnovat bezpečnost uchovávaných, předávaných a zpracovávaných údajů. Opatření k řízení kybernetických bezpečnostních rizik by měla zajišťovat systémovou analýzu zohledňující lidský faktor s cílem získat úplný obraz o bezpečnosti sítě a informačního systému.

| (79) | Vzhledem k tomu, že hrozby pro bezpečnost sítí a informačních systémů mohou být různého původu, opatření k řízení kybernetických bezpečnostních rizik by měla být založena na přístupu zohledňujícím všechna rizika, jehož cílem je chránit sítě a informační systémy a jejich fyzické prostředí před událostmi, jako jsou krádež, požár, povodeň, výpadky telekomunikací nebo elektrického proudu, nebo před neoprávněným fyzickým přístupem k informacím a zařízením pro zpracování informací základního nebo důležitého subjektu a jejich poškozením a zásahům do nich, jež by mohly narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které tyto sítě a informační systémy nabízejí nebo které jsou jejich prostřednictvím přístupné. Opatření k řízení kybernetických bezpečnostních rizik by proto měla rovněž řešit fyzickou a environmentální bezpečnost sítí a informačních systémů tím, že budou zahrnovat opatření na ochranu těchto systémů před selháním systému, lidskou chybou, zlovolnými činy nebo přírodními jevy v souladu s evropskými a mezinárodními normami, jako jsou normy obsažené v řadě ISO/IEC 27000. V tomto ohledu by se základní a důležité subjekty měly v rámci svých opatření k řízení kybernetických bezpečnostních rizik zabývat rovněž bezpečností lidských zdrojů a zavést vhodné politiky kontroly přístupu. Tato opatření by měla být v souladu se směrnicí (EU) 2022/2557. |
| --- | --- |

(79)

Vzhledem k tomu, že hrozby pro bezpečnost sítí a informačních systémů mohou být různého původu, opatření k řízení kybernetických bezpečnostních rizik by měla být založena na přístupu zohledňujícím všechna rizika, jehož cílem je chránit sítě a informační systémy a jejich fyzické prostředí před událostmi, jako jsou krádež, požár, povodeň, výpadky telekomunikací nebo elektrického proudu, nebo před neoprávněným fyzickým přístupem k informacím a zařízením pro zpracování informací základního nebo důležitého subjektu a jejich poškozením a zásahům do nich, jež by mohly narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které tyto sítě a informační systémy nabízejí nebo které jsou jejich prostřednictvím přístupné. Opatření k řízení kybernetických bezpečnostních rizik by proto měla rovněž řešit fyzickou a environmentální bezpečnost sítí a informačních systémů tím, že budou zahrnovat opatření na ochranu těchto systémů před selháním systému, lidskou chybou, zlovolnými činy nebo přírodními jevy v souladu s evropskými a mezinárodními normami, jako jsou normy obsažené v řadě ISO/IEC 27000. V tomto ohledu by se základní a důležité subjekty měly v rámci svých opatření k řízení kybernetických bezpečnostních rizik zabývat rovněž bezpečností lidských zdrojů a zavést vhodné politiky kontroly přístupu. Tato opatření by měla být v souladu se směrnicí (EU) 2022/2557.

| (80) | Za účelem prokázání souladu s opatřeními k řízení kybernetických bezpečnostních rizik a v případě neexistence vhodných evropských systémů certifikace kybernetické bezpečnosti přijatých v souladu s nařízením Evropského parlamentu a Rady (EU) 2019/881 (18) by členské státy měly za konzultací se skupinou pro spolupráci a Evropskou skupinou pro certifikaci kybernetické bezpečnosti podporovat používání příslušných evropských a mezinárodních norem ze strany základních a důležitých subjektů nebo požadovat, aby subjekty používaly certifikované produkty IKT, služby IKT a procesy IKT. |
| --- | --- |

(80)

Za účelem prokázání souladu s opatřeními k řízení kybernetických bezpečnostních rizik a v případě neexistence vhodných evropských systémů certifikace kybernetické bezpečnosti přijatých v souladu s nařízením Evropského parlamentu a Rady (EU) 2019/881 (18) by členské státy měly za konzultací se skupinou pro spolupráci a Evropskou skupinou pro certifikaci kybernetické bezpečnosti podporovat používání příslušných evropských a mezinárodních norem ze strany základních a důležitých subjektů nebo požadovat, aby subjekty používaly certifikované produkty IKT, služby IKT a procesy IKT.

| (81) | Aby se zabránilo nepřiměřené finanční a administrativní zátěži pro základní a důležité subjekty, měla by být opatření k řízení kybernetických bezpečnostních rizik úměrná rizikům, kterým jsou dotčená síť a informační systém vystaveny, s přihlédnutím k aktuálnímu stavu těchto opatření a případně k příslušným evropským a mezinárodním normám, jakož i k nákladům na jejich provádění. |
| --- | --- |

(81)

Aby se zabránilo nepřiměřené finanční a administrativní zátěži pro základní a důležité subjekty, měla by být opatření k řízení kybernetických bezpečnostních rizik úměrná rizikům, kterým jsou dotčená síť a informační systém vystaveny, s přihlédnutím k aktuálnímu stavu těchto opatření a případně k příslušným evropským a mezinárodním normám, jakož i k nákladům na jejich provádění.

| (82) | Opatření k řízení kybernetických bezpečnostních rizik by měla být úměrná míře vystavení základního nebo důležitého subjektu rizikům a společenskému a ekonomickému dopadu, který by měl incident. Při zavádění opatření k řízení kybernetických bezpečnostních rizik přizpůsobených pro základní a důležité subjekty by měla být náležitě zohledněna rozdílná expozice základních a důležitých subjektů rizikům, jako je kritičnost subjektu, rizika, včetně společenských rizik, jimž je vystaven, velikost subjektu a pravděpodobnost výskytu incidentů a jejich závažnost, včetně jejich společenského a ekonomického dopadu. |
| --- | --- |

(82)

Opatření k řízení kybernetických bezpečnostních rizik by měla být úměrná míře vystavení základního nebo důležitého subjektu rizikům a společenskému a ekonomickému dopadu, který by měl incident. Při zavádění opatření k řízení kybernetických bezpečnostních rizik přizpůsobených pro základní a důležité subjekty by měla být náležitě zohledněna rozdílná expozice základních a důležitých subjektů rizikům, jako je kritičnost subjektu, rizika, včetně společenských rizik, jimž je vystaven, velikost subjektu a pravděpodobnost výskytu incidentů a jejich závažnost, včetně jejich společenského a ekonomického dopadu.

| (83) | Základní a důležité subjekty by měly zajistit bezpečnost sítí a informačních systémů, které užívají ve svých činnostech. Jedná se především o soukromé síťové a informační systémy, jež jsou buď řízeny interními pracovníky IT základních a důležitých subjektů, nebo jejichž bezpečnost zajišťuje externí dodavatel. Opatření k řízení kybernetických bezpečnostních rizik a povinnosti týkající se oznamování podle této směrnice by měly pro příslušné základní a důležité subjekty platit bez ohledu na to, zda správu svých sítí a informačních systémů provádějí tyto subjekty interně, nebo k tomu využívají externího dodavatele. |
| --- | --- |

(83)

Základní a důležité subjekty by měly zajistit bezpečnost sítí a informačních systémů, které užívají ve svých činnostech. Jedná se především o soukromé síťové a informační systémy, jež jsou buď řízeny interními pracovníky IT základních a důležitých subjektů, nebo jejichž bezpečnost zajišťuje externí dodavatel. Opatření k řízení kybernetických bezpečnostních rizik a povinnosti týkající se oznamování podle této směrnice by měly pro příslušné základní a důležité subjekty platit bez ohledu na to, zda správu svých sítí a informačních systémů provádějí tyto subjekty interně, nebo k tomu využívají externího dodavatele.

| (84) | S ohledem na jejich přeshraniční povahu by provozovatelé DNS, registry domén nejvyšší úrovně, poskytovatelé služeb cloud computingu, poskytovatelé služeb datových center, poskytovatelé sítí pro doručování obsahu, poskytovatelé řízených služeb, poskytovatelé řízených bezpečnostních služeb, poskytovatelé on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatelé služeb vytvářejících důvěru měli podléhat vysokému stupni harmonizace na úrovni Unie. Provádění opatření k řízení kybernetických bezpečnostních rizik ve vztahu k těmto subjektům by proto mělo být usnadněno prováděcím aktem. |
| --- | --- |

(84)

S ohledem na jejich přeshraniční povahu by provozovatelé DNS, registry domén nejvyšší úrovně, poskytovatelé služeb cloud computingu, poskytovatelé služeb datových center, poskytovatelé sítí pro doručování obsahu, poskytovatelé řízených služeb, poskytovatelé řízených bezpečnostních služeb, poskytovatelé on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatelé služeb vytvářejících důvěru měli podléhat vysokému stupni harmonizace na úrovni Unie. Provádění opatření k řízení kybernetických bezpečnostních rizik ve vztahu k těmto subjektům by proto mělo být usnadněno prováděcím aktem.

| (85) | Řešení rizik vyplývajících z dodavatelského řetězce subjektu nebo jeho vztahů s dodavateli, jako jsou poskytovatelé služeb ukládání a zpracování dat nebo poskytovatelé řízených bezpečnostních služeb a vydavatelé softwaru, je zvlášť důležité vzhledem k počtu incidentů, v jejichž případě se subjekty staly obětí kybernetických útoků a pachatelé byli schopni narušit bezpečnost sítí a informačních systémů daného subjektu tím, že využili zranitelností v produktech a službách třetí strany. Základní a důležité subjekty by proto měly posoudit a zohlednit celkovou kvalitu a odolnost produktů a služeb, opatření v oblasti kybernetické bezpečnosti, která zahrnují, a postupů kybernetické bezpečnosti svých dodavatelů a poskytovatelů služeb, včetně jejich postupů k zajištění bezpečného vývoje. Základní a důležité subjekty by měly být zejména vybízeny, aby začlenily opatření k řízení kybernetických bezpečnostních rizik do smluvních ujednání se svými přímými dodavateli a poskytovateli služeb. Uvedené subjekty by mohly přihlížet k rizikům, jež mají původ u dodavatelů a poskytovatelů služeb dalších úrovní. |
| --- | --- |

(85)

Řešení rizik vyplývajících z dodavatelského řetězce subjektu nebo jeho vztahů s dodavateli, jako jsou poskytovatelé služeb ukládání a zpracování dat nebo poskytovatelé řízených bezpečnostních služeb a vydavatelé softwaru, je zvlášť důležité vzhledem k počtu incidentů, v jejichž případě se subjekty staly obětí kybernetických útoků a pachatelé byli schopni narušit bezpečnost sítí a informačních systémů daného subjektu tím, že využili zranitelností v produktech a službách třetí strany. Základní a důležité subjekty by proto měly posoudit a zohlednit celkovou kvalitu a odolnost produktů a služeb, opatření v oblasti kybernetické bezpečnosti, která zahrnují, a postupů kybernetické bezpečnosti svých dodavatelů a poskytovatelů služeb, včetně jejich postupů k zajištění bezpečného vývoje. Základní a důležité subjekty by měly být zejména vybízeny, aby začlenily opatření k řízení kybernetických bezpečnostních rizik do smluvních ujednání se svými přímými dodavateli a poskytovateli služeb. Uvedené subjekty by mohly přihlížet k rizikům, jež mají původ u dodavatelů a poskytovatelů služeb dalších úrovní.

| (86) | Mezi poskytovateli služeb mají zvlášť důležitou úlohu v pomoci subjektům v jejich úsilí o předcházení incidentům, při jejich odhalování, reakci na ně nebo zotavení se z nich poskytovatelé řízených bezpečnostních služeb v oblastech jako reakce na incidenty, penetrační testování, bezpečnostní audity a konzultační činnost. Poskytovatelé řízených bezpečnostních služeb se však také sami stali terčem kybernetických útoků a vzhledem k jejich úzkému začlenění do provozu subjektů představují zvláštní riziko. Základní a důležité subjekty by proto měly při výběru poskytovatele řízených bezpečnostních služeb postupovat s větší péčí. |
| --- | --- |

(86)

Mezi poskytovateli služeb mají zvlášť důležitou úlohu v pomoci subjektům v jejich úsilí o předcházení incidentům, při jejich odhalování, reakci na ně nebo zotavení se z nich poskytovatelé řízených bezpečnostních služeb v oblastech jako reakce na incidenty, penetrační testování, bezpečnostní audity a konzultační činnost. Poskytovatelé řízených bezpečnostních služeb se však také sami stali terčem kybernetických útoků a vzhledem k jejich úzkému začlenění do provozu subjektů představují zvláštní riziko. Základní a důležité subjekty by proto měly při výběru poskytovatele řízených bezpečnostních služeb postupovat s větší péčí.

| (87) | Příslušné orgány mohou v rámci svých úkolů v oblasti dohledu rovněž využívat služeb kybernetické bezpečnosti, jako jsou bezpečnostní audity, penetrační testování nebo reakce na incidenty. |
| --- | --- |

(87)

Příslušné orgány mohou v rámci svých úkolů v oblasti dohledu rovněž využívat služeb kybernetické bezpečnosti, jako jsou bezpečnostní audity, penetrační testování nebo reakce na incidenty.

| (88) | Základní a důležité subjekty by rovněž měly řešit rizika vyplývající z jejich interakcí a vztahů s jinými zúčastněnými stranami v rámci širšího ekosystému, včetně boje proti průmyslové špionáži a ochrany obchodního tajemství. Uvedené subjekty by zejména měly přijetím vhodných opatření zajistit, že jejich spolupráce s akademickými a výzkumnými institucemi probíhá v souladu s jejich politikami kybernetické bezpečnosti a řídí se osvědčenými postupy, pokud jde o bezpečný přístup a šíření informací obecně a ochranu duševního vlastnictví zvláště. Podobně by základní a důležité subjekty, jsou-li závislé na službách transformace dat a analýzy dat poskytovaných třetími stranami, vzhledem k důležitosti a hodnotě dat pro jejich činnost měly přijmout veškerá vhodná opatření k řízení kybernetických bezpečnostních rizik. |
| --- | --- |

(88)

Základní a důležité subjekty by rovněž měly řešit rizika vyplývající z jejich interakcí a vztahů s jinými zúčastněnými stranami v rámci širšího ekosystému, včetně boje proti průmyslové špionáži a ochrany obchodního tajemství. Uvedené subjekty by zejména měly přijetím vhodných opatření zajistit, že jejich spolupráce s akademickými a výzkumnými institucemi probíhá v souladu s jejich politikami kybernetické bezpečnosti a řídí se osvědčenými postupy, pokud jde o bezpečný přístup a šíření informací obecně a ochranu duševního vlastnictví zvláště. Podobně by základní a důležité subjekty, jsou-li závislé na službách transformace dat a analýzy dat poskytovaných třetími stranami, vzhledem k důležitosti a hodnotě dat pro jejich činnost měly přijmout veškerá vhodná opatření k řízení kybernetických bezpečnostních rizik.

| (89) | Základní a důležité subjekty by měly přijmout širokou škálu základních postupů v oblasti kybernetické hygieny, k nimž patří architektura nulové důvěry, aktualizace softwaru, konfigurace zařízení, segmentace sítě, řízení identity a přístupu nebo povědomí uživatelů, měly by pořádat školení pro své zaměstnance a zvyšovat povědomí o kybernetických hrozbách, phishingu či technikách sociálního inženýrství. Uvedené subjekty by dále měly hodnotit své vlastní schopnosti v oblasti kybernetické bezpečnosti a případně usilovat o integraci technologií zvyšujících kybernetickou bezpečnost, jako jsou umělá inteligence nebo systémy strojového učení, s cílem posílit své schopnosti a bezpečnost sítí a informačních systémů. |
| --- | --- |

(89)

Základní a důležité subjekty by měly přijmout širokou škálu základních postupů v oblasti kybernetické hygieny, k nimž patří architektura nulové důvěry, aktualizace softwaru, konfigurace zařízení, segmentace sítě, řízení identity a přístupu nebo povědomí uživatelů, měly by pořádat školení pro své zaměstnance a zvyšovat povědomí o kybernetických hrozbách, phishingu či technikách sociálního inženýrství. Uvedené subjekty by dále měly hodnotit své vlastní schopnosti v oblasti kybernetické bezpečnosti a případně usilovat o integraci technologií zvyšujících kybernetickou bezpečnost, jako jsou umělá inteligence nebo systémy strojového učení, s cílem posílit své schopnosti a bezpečnost sítí a informačních systémů.

| (90) | Aby bylo možné dále řešit klíčová rizika dodavatelského řetězce a pomoci základním a důležitým subjektům působícím v odvětvích, na něž se vztahuje tato směrnice, náležitě řídit dodavatelský řetězec a rizika související s dodavateli, měla by skupina pro spolupráci ve spolupráci s Komisí a agenturou ENISA a případně po konzultaci s příslušnými zúčastněnými stranami, včetně průmyslu, provádět koordinovaná posouzení bezpečnostních rizik kritických dodavatelských řetězců, která byla provedena pro sítě 5G v souladu s doporučením Komise (EU) 2019/534 (19), s cílem určit kritické služby IKT, systémy IKT nebo produkty IKT, relevantní hrozby a zranitelnosti pro jednotlivá odvětví. Uvedená koordinovaná posouzení bezpečnostních rizik by měla určit opatření, plány zmírňování a osvědčené postupy ve vztahu ke kritickým závislostem, potenciálním jediným bodům selhání, hrozbám, zranitelnostem a dalším rizikům spojeným s dodavatelským řetězcem a měla by prozkoumat způsoby, jak základní a důležité subjekty dále podněcovat, aby je šířeji přijímaly. Potenciální netechnické rizikové faktory, jako je nepatřičný vliv třetí země na dodavatele a poskytovatele služeb, zejména v případě alternativních modelů správy, zahrnují skryté zranitelnosti nebo „zadní vrátka“ a možné systémové narušení dodávek, zejména v případě technologické závislosti nebo závislosti na poskytovateli. |
| --- | --- |

(90)

Aby bylo možné dále řešit klíčová rizika dodavatelského řetězce a pomoci základním a důležitým subjektům působícím v odvětvích, na něž se vztahuje tato směrnice, náležitě řídit dodavatelský řetězec a rizika související s dodavateli, měla by skupina pro spolupráci ve spolupráci s Komisí a agenturou ENISA a případně po konzultaci s příslušnými zúčastněnými stranami, včetně průmyslu, provádět koordinovaná posouzení bezpečnostních rizik kritických dodavatelských řetězců, která byla provedena pro sítě 5G v souladu s doporučením Komise (EU) 2019/534 (19), s cílem určit kritické služby IKT, systémy IKT nebo produkty IKT, relevantní hrozby a zranitelnosti pro jednotlivá odvětví. Uvedená koordinovaná posouzení bezpečnostních rizik by měla určit opatření, plány zmírňování a osvědčené postupy ve vztahu ke kritickým závislostem, potenciálním jediným bodům selhání, hrozbám, zranitelnostem a dalším rizikům spojeným s dodavatelským řetězcem a měla by prozkoumat způsoby, jak základní a důležité subjekty dále podněcovat, aby je šířeji přijímaly. Potenciální netechnické rizikové faktory, jako je nepatřičný vliv třetí země na dodavatele a poskytovatele služeb, zejména v případě alternativních modelů správy, zahrnují skryté zranitelnosti nebo „zadní vrátka“ a možné systémové narušení dodávek, zejména v případě technologické závislosti nebo závislosti na poskytovateli.

| (91) | Koordinovaná posouzení bezpečnostních rizik kritických dodavatelských řetězců by s ohledem na charakteristické rysy dotčeného odvětví měla zohlednit jak technické, tak případné netechnické faktory včetně faktorů vymezených v doporučení (EU) 2019/534, v koordinovaném posouzení rizik pro kybernetickou bezpečnost sítí 5G v EU a v souboru opatření EU pro kybernetickou bezpečnost sítí 5G, na němž se dohodla skupina pro spolupráci. K určení dodavatelských řetězců, které by měly podléhat koordinovanému posouzení bezpečnostních rizik, by měla být vzata v úvahu tato kritéria: i) rozsah, v jakém základní a důležité subjekty využívají konkrétní kritické služby IKT, systémy IKT a produkty IKT a jsou na nich závislé; ii) relevantnost konkrétních služeb IKT, systémů IKT nebo produktů IKT pro plnění kritických nebo citlivých funkcí, včetně zpracování osobních údajů; iii) dostupnost alternativních služeb IKT, systémů IKT nebo produktů IKT; iv) odolnost celého dodavatelského řetězce služeb IKT, systémů IKT nebo produktů IKT během jejich životního cyklu vůči narušení a v) u vznikajících služeb IKT, systémů IKT nebo produktů IKT jejich budoucí význam pro činnost subjektů. Zvláštní důraz je třeba dále klást na služby IKT, systémy IKT nebo produkty IKT, které podléhají specifickým požadavkům ze třetích zemí. |
| --- | --- |

(91)

Koordinovaná posouzení bezpečnostních rizik kritických dodavatelských řetězců by s ohledem na charakteristické rysy dotčeného odvětví měla zohlednit jak technické, tak případné netechnické faktory včetně faktorů vymezených v doporučení (EU) 2019/534, v koordinovaném posouzení rizik pro kybernetickou bezpečnost sítí 5G v EU a v souboru opatření EU pro kybernetickou bezpečnost sítí 5G, na němž se dohodla skupina pro spolupráci. K určení dodavatelských řetězců, které by měly podléhat koordinovanému posouzení bezpečnostních rizik, by měla být vzata v úvahu tato kritéria: i) rozsah, v jakém základní a důležité subjekty využívají konkrétní kritické služby IKT, systémy IKT a produkty IKT a jsou na nich závislé; ii) relevantnost konkrétních služeb IKT, systémů IKT nebo produktů IKT pro plnění kritických nebo citlivých funkcí, včetně zpracování osobních údajů; iii) dostupnost alternativních služeb IKT, systémů IKT nebo produktů IKT; iv) odolnost celého dodavatelského řetězce služeb IKT, systémů IKT nebo produktů IKT během jejich životního cyklu vůči narušení a v) u vznikajících služeb IKT, systémů IKT nebo produktů IKT jejich budoucí význam pro činnost subjektů. Zvláštní důraz je třeba dále klást na služby IKT, systémy IKT nebo produkty IKT, které podléhají specifickým požadavkům ze třetích zemí.

| (92) | S cílem zjednodušit povinnosti ukládané poskytovatelům veřejných sítí elektronické komunikace nebo veřejně dostupných služeb elektronické komunikace a poskytovatelům služeb vytvářejících důvěru a které se týkají bezpečnosti jejich sítí a informačních systémů a s cílem umožnit těmto subjektům a příslušným orgánům podle směrnice Evropského parlamentu a Rady (EU) 2018/1972 (20), nebo podle nařízení (EU) č. 910/2014, využívat právní rámec stanovený touto směrnicí, včetně určení týmu CSIRT odpovědného za řešení incidentů a účasti dotčených příslušných orgánů na činnostech skupiny pro spolupráci a sítě CSIRT, by tyto subjekty měly spadat do oblasti působnosti této směrnice. Příslušná ustanovení v nařízení (EU) č. 910/2014 a směrnici (EU) 2018/1972, které na tyto druhy subjektů kladou požadavky týkající se bezpečnosti a oznamování, by proto měla být zrušena. Pravidly týkajícími se oznamovacích povinností stanovenými v této směrnici by nemělo být dotčeno nařízení (EU) 2016/679 ani směrnice 2002/58/ES. |
| --- | --- |

(92)

S cílem zjednodušit povinnosti ukládané poskytovatelům veřejných sítí elektronické komunikace nebo veřejně dostupných služeb elektronické komunikace a poskytovatelům služeb vytvářejících důvěru a které se týkají bezpečnosti jejich sítí a informačních systémů a s cílem umožnit těmto subjektům a příslušným orgánům podle směrnice Evropského parlamentu a Rady (EU) 2018/1972 (20), nebo podle nařízení (EU) č. 910/2014, využívat právní rámec stanovený touto směrnicí, včetně určení týmu CSIRT odpovědného za řešení incidentů a účasti dotčených příslušných orgánů na činnostech skupiny pro spolupráci a sítě CSIRT, by tyto subjekty měly spadat do oblasti působnosti této směrnice. Příslušná ustanovení v nařízení (EU) č. 910/2014 a směrnici (EU) 2018/1972, které na tyto druhy subjektů kladou požadavky týkající se bezpečnosti a oznamování, by proto měla být zrušena. Pravidly týkajícími se oznamovacích povinností stanovenými v této směrnici by nemělo být dotčeno nařízení (EU) 2016/679 ani směrnice 2002/58/ES.

| (93) | Povinnosti k zajištění kybernetické bezpečnosti stanovené v této směrnici by měly být považovány za doplňkové k požadavkům kladeným na poskytovatele služeb vytvářejících důvěru podle nařízení (EU) č. 910/2014. Od poskytovatelů služeb vytvářejících důvěru by mělo být vyžadováno, aby přijali veškerá vhodná a přiměřená opatření k řízení rizik spojených s jejich službami, a to i ve vztahu k zákazníkům a spoléhajícím se třetím stranám, a aby oznamovali incidenty podle této směrnice. Tyto povinnosti k zajištění kybernetické bezpečnosti a povinnosti týkající se oznamování by se rovněž měly týkat fyzické ochrany poskytovaných služeb. Nadále platí požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru stanovené v článku 24 nařízení (EU) č. 910/2014. |
| --- | --- |

(93)

Povinnosti k zajištění kybernetické bezpečnosti stanovené v této směrnici by měly být považovány za doplňkové k požadavkům kladeným na poskytovatele služeb vytvářejících důvěru podle nařízení (EU) č. 910/2014. Od poskytovatelů služeb vytvářejících důvěru by mělo být vyžadováno, aby přijali veškerá vhodná a přiměřená opatření k řízení rizik spojených s jejich službami, a to i ve vztahu k zákazníkům a spoléhajícím se třetím stranám, a aby oznamovali incidenty podle této směrnice. Tyto povinnosti k zajištění kybernetické bezpečnosti a povinnosti týkající se oznamování by se rovněž měly týkat fyzické ochrany poskytovaných služeb. Nadále platí požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru stanovené v článku 24 nařízení (EU) č. 910/2014.

| (94) | Členské státy mohou orgánům dohledu podle nařízení (EU) č. 910/2014 svěřit úlohu příslušných orgánů pro služby vytvářející důvěru s cílem zajistit pokračování stávajících postupů a využít znalostí a zkušeností získaných při uplatňování uvedeného nařízení. V takových případech by měly příslušné orgány podle této směrnice úzce a včas s těmito orgány dohledu spolupracovat formou výměny příslušných informací s cílem zajistit účinný dohled nad poskytovateli služeb vytvářejících důvěru a jejich dodržováním požadavků stanovených v této směrnici a nařízení (EU) č. 910/2014. Síť CSIRT nebo příslušný orgán podle této směrnice by měly v příslušných případech neprodleně informovat orgán dohledu podle nařízení (EU) č. 910/2014 o všech oznámených významných kybernetických hrozbách nebo incidentech s dopadem na služby vytvářející důvěru, jakož i o jakémkoli porušení této směrnice poskytovatelem služeb vytvářejících důvěru. Pro účely oznamování mohou členské státy případně využít jednotného kontaktního místa zřízeného za účelem dosažení společného a automatického oznamování incidentů jak orgánu dohledu podle nařízení (EU) č. 910/2014, tak týmu CSIRT nebo příslušnému orgánu podle této směrnice. |
| --- | --- |

(94)

Členské státy mohou orgánům dohledu podle nařízení (EU) č. 910/2014 svěřit úlohu příslušných orgánů pro služby vytvářející důvěru s cílem zajistit pokračování stávajících postupů a využít znalostí a zkušeností získaných při uplatňování uvedeného nařízení. V takových případech by měly příslušné orgány podle této směrnice úzce a včas s těmito orgány dohledu spolupracovat formou výměny příslušných informací s cílem zajistit účinný dohled nad poskytovateli služeb vytvářejících důvěru a jejich dodržováním požadavků stanovených v této směrnici a nařízení (EU) č. 910/2014. Síť CSIRT nebo příslušný orgán podle této směrnice by měly v příslušných případech neprodleně informovat orgán dohledu podle nařízení (EU) č. 910/2014 o všech oznámených významných kybernetických hrozbách nebo incidentech s dopadem na služby vytvářející důvěru, jakož i o jakémkoli porušení této směrnice poskytovatelem služeb vytvářejících důvěru. Pro účely oznamování mohou členské státy případně využít jednotného kontaktního místa zřízeného za účelem dosažení společného a automatického oznamování incidentů jak orgánu dohledu podle nařízení (EU) č. 910/2014, tak týmu CSIRT nebo příslušnému orgánu podle této směrnice.

| (95) | Pokud je to vhodné a s cílem zabránit zbytečným narušením, by při provádění této směrnice měly být zohledněny stávající vnitrostátní pokyny přijaté pro provedení pravidel týkajících se bezpečnostních opatření stanovených v článcích 40 a 41 směrnice (EU) 2018/1972, a to na základě znalostí a dovedností již získaných podle směrnice (EU) 2018/1972, pokud jde o bezpečnostní opatření a oznamování incidentů. Agentura ENISA může rovněž pro poskytovatele veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací vypracovat pokyny týkající se bezpečnostních požadavků a povinností týkajících se oznamování s cílem usnadnit harmonizaci a přechod a minimalizovat narušení. Členské státy mohou úlohu příslušných orgánů pro elektronické komunikace svěřit vnitrostátním regulačním orgánům podle směrnice (EU) 2018/1972 s cílem zajistit pokračování stávajících postupů a využít znalostí a zkušeností získaných v důsledku provádění uvedené směrnice. |
| --- | --- |

(95)

Pokud je to vhodné a s cílem zabránit zbytečným narušením, by při provádění této směrnice měly být zohledněny stávající vnitrostátní pokyny přijaté pro provedení pravidel týkajících se bezpečnostních opatření stanovených v článcích 40 a 41 směrnice (EU) 2018/1972, a to na základě znalostí a dovedností již získaných podle směrnice (EU) 2018/1972, pokud jde o bezpečnostní opatření a oznamování incidentů. Agentura ENISA může rovněž pro poskytovatele veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací vypracovat pokyny týkající se bezpečnostních požadavků a povinností týkajících se oznamování s cílem usnadnit harmonizaci a přechod a minimalizovat narušení. Členské státy mohou úlohu příslušných orgánů pro elektronické komunikace svěřit vnitrostátním regulačním orgánům podle směrnice (EU) 2018/1972 s cílem zajistit pokračování stávajících postupů a využít znalostí a zkušeností získaných v důsledku provádění uvedené směrnice.

| (96) | Vzhledem k rostoucímu významu interpersonálních komunikačních služeb nezávislých na číslech ve smyslu směrnice (EU) 2018/1972 je nutné zajistit, aby i tyto služby podléhaly odpovídajícím bezpečnostním požadavkům v souladu s jejich zvláštní povahou a ekonomickým významem. Vzhledem k tomu, že se oblast útoku stále rozrůstá, interpersonální komunikační služby nezávislé na číslech, jako jsou služby zasílání zpráv, se stávají rozšířenými vektory útoků. Útočníci využívají platformy ke komunikaci, při níž se snaží nalákat oběti, aby otevřely napadené internetové stránky, tím se zvyšuje pravděpodobnost incidentů spojených s využíváním osobních údajů, což má pak důsledky pro bezpečnost sítí a informačních systémů. Provozovatelé interpersonálních komunikačních služeb nezávislých na číslech by měli zajišťovat úroveň bezpečnosti sítí a informačních systémů odpovídající existující míře rizika. Vzhledem k tomu, že poskytovatelé interpersonálních komunikačních služeb nezávislých na číslech obvykle nevykonávají skutečnou kontrolu nad přenosem signálů v sítích, lze míru rizika pro tyto služby v některých ohledech považovat za nižší než v případě tradičních služeb elektronických komunikací. Totéž platí o interpersonálních komunikačních službách podle směrnice (EU) 2018/1972, které využívají čísla a nevykonávají skutečnou kontrolu nad přenosem signálů. |
| --- | --- |

(96)

Vzhledem k rostoucímu významu interpersonálních komunikačních služeb nezávislých na číslech ve smyslu směrnice (EU) 2018/1972 je nutné zajistit, aby i tyto služby podléhaly odpovídajícím bezpečnostním požadavkům v souladu s jejich zvláštní povahou a ekonomickým významem. Vzhledem k tomu, že se oblast útoku stále rozrůstá, interpersonální komunikační služby nezávislé na číslech, jako jsou služby zasílání zpráv, se stávají rozšířenými vektory útoků. Útočníci využívají platformy ke komunikaci, při níž se snaží nalákat oběti, aby otevřely napadené internetové stránky, tím se zvyšuje pravděpodobnost incidentů spojených s využíváním osobních údajů, což má pak důsledky pro bezpečnost sítí a informačních systémů. Provozovatelé interpersonálních komunikačních služeb nezávislých na číslech by měli zajišťovat úroveň bezpečnosti sítí a informačních systémů odpovídající existující míře rizika. Vzhledem k tomu, že poskytovatelé interpersonálních komunikačních služeb nezávislých na číslech obvykle nevykonávají skutečnou kontrolu nad přenosem signálů v sítích, lze míru rizika pro tyto služby v některých ohledech považovat za nižší než v případě tradičních služeb elektronických komunikací. Totéž platí o interpersonálních komunikačních službách podle směrnice (EU) 2018/1972, které využívají čísla a nevykonávají skutečnou kontrolu nad přenosem signálů.

| (97) | Vnitřní trh více než kdy předtím spoléhá na fungování internetu. Na službách poskytovaných po internetu jsou závislé služby prakticky všech základních a důležitých subjektů. V zájmu zajištění hladkého poskytování služeb poskytovaných základními a důležitými subjekty je důležité, aby všichni poskytovatelé veřejných sítí elektronických komunikací zavedli vhodná opatření k řízení kybernetických bezpečnostních rizik a oznamovali související významné incidenty. Členské státy by měly zajistit zachování bezpečnosti veřejných sítí elektronických komunikací a ochranu jejich životně důležitých bezpečnostních zájmů před sabotáží a špionáží. Vzhledem k tomu, že mezinárodní propojení posiluje a urychluje konkurenceschopnou digitalizaci Unie a jejího hospodářství, incidenty postihující podmořské komunikační kabely by měly být hlášeny týmu CSIRT nebo případně příslušnému orgánu. Národní strategie kybernetické bezpečnosti by měla v příslušných případech zohledňovat kybernetickou bezpečnost podmořských komunikačních kabelů a zahrnovat mapování potenciálních kybernetických bezpečnostních rizik a zmírňující opatření k zajištění nejvyšší úrovně jejich ochrany. |
| --- | --- |

(97)

Vnitřní trh více než kdy předtím spoléhá na fungování internetu. Na službách poskytovaných po internetu jsou závislé služby prakticky všech základních a důležitých subjektů. V zájmu zajištění hladkého poskytování služeb poskytovaných základními a důležitými subjekty je důležité, aby všichni poskytovatelé veřejných sítí elektronických komunikací zavedli vhodná opatření k řízení kybernetických bezpečnostních rizik a oznamovali související významné incidenty. Členské státy by měly zajistit zachování bezpečnosti veřejných sítí elektronických komunikací a ochranu jejich životně důležitých bezpečnostních zájmů před sabotáží a špionáží. Vzhledem k tomu, že mezinárodní propojení posiluje a urychluje konkurenceschopnou digitalizaci Unie a jejího hospodářství, incidenty postihující podmořské komunikační kabely by měly být hlášeny týmu CSIRT nebo případně příslušnému orgánu. Národní strategie kybernetické bezpečnosti by měla v příslušných případech zohledňovat kybernetickou bezpečnost podmořských komunikačních kabelů a zahrnovat mapování potenciálních kybernetických bezpečnostních rizik a zmírňující opatření k zajištění nejvyšší úrovně jejich ochrany.

| (98) | V zájmu zajištění bezpečnosti veřejných sítí elektronických komunikací a veřejně dostupných služeb elektronických komunikací by mělo být podporováno používání šifrovacích technologií, zejména šifrování mezi koncovými body, jakož i bezpečnostních koncepcí zaměřených na data, jako jsou kartografie, segmentace, označování, přístupová politika a správa přístupu, a rozhodnutí o automatizovaném přístupu. Je-li to nezbytné, mělo by být používání šifrování, zejména šifrování mezi koncovými body, povinné pro poskytovatele veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací v souladu se zásadami bezpečnosti a soukromí již od návrhu a standardně pro účely této směrnice. Použití šifrování mezi koncovými body by mělo být v souladu s pravomocemi členských států zajistit ochranu podstatných zájmů své bezpečnosti a veřejné bezpečnosti a umožnit prevenci, vyšetřování, odhalování a stíhání trestných činů v souladu s právem Unie. To by však nemělo oslabit šifrování mezi koncovými body, které je zásadní technologií pro účinnou ochranu údajů a soukromí a bezpečnost komunikací. |
| --- | --- |

(98)

V zájmu zajištění bezpečnosti veřejných sítí elektronických komunikací a veřejně dostupných služeb elektronických komunikací by mělo být podporováno používání šifrovacích technologií, zejména šifrování mezi koncovými body, jakož i bezpečnostních koncepcí zaměřených na data, jako jsou kartografie, segmentace, označování, přístupová politika a správa přístupu, a rozhodnutí o automatizovaném přístupu. Je-li to nezbytné, mělo by být používání šifrování, zejména šifrování mezi koncovými body, povinné pro poskytovatele veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací v souladu se zásadami bezpečnosti a soukromí již od návrhu a standardně pro účely této směrnice. Použití šifrování mezi koncovými body by mělo být v souladu s pravomocemi členských států zajistit ochranu podstatných zájmů své bezpečnosti a veřejné bezpečnosti a umožnit prevenci, vyšetřování, odhalování a stíhání trestných činů v souladu s právem Unie. To by však nemělo oslabit šifrování mezi koncovými body, které je zásadní technologií pro účinnou ochranu údajů a soukromí a bezpečnost komunikací.

| (99) | V zájmu zajištění bezpečnosti a zabránění zneužívání a manipulaci s veřejnými sítěmi elektronických komunikací a veřejně dostupnými službami elektronických komunikací je třeba podporovat používání interoperabilních standardů bezpečného směrování, jež zajistí integritu a spolehlivost směrovacích funkcí v celém ekosystému poskytovatelů služeb přístupu k internetu. |
| --- | --- |

(99)

V zájmu zajištění bezpečnosti a zabránění zneužívání a manipulaci s veřejnými sítěmi elektronických komunikací a veřejně dostupnými službami elektronických komunikací je třeba podporovat používání interoperabilních standardů bezpečného směrování, jež zajistí integritu a spolehlivost směrovacích funkcí v celém ekosystému poskytovatelů služeb přístupu k internetu.

| (100) | V zájmu zajištění funkčnosti a integrity internetu a podpory bezpečnosti a odolnosti systému jmen domén by měly být příslušné zúčastněné strany, včetně subjektů soukromého sektoru v Unii, poskytovatelů veřejně dostupných služeb elektronických komunikací, zejména poskytovatelů služeb přístupu k internetu, a poskytovatelů internetových vyhledávačů vybízeny k přijetí strategie diverzifikace řešení systému jmen domén. Členské státy by nadto měly podporovat rozvoj a používání veřejné a bezpečné evropské služby resolverů systému jmen domén. |
| --- | --- |

(100)

V zájmu zajištění funkčnosti a integrity internetu a podpory bezpečnosti a odolnosti systému jmen domén by měly být příslušné zúčastněné strany, včetně subjektů soukromého sektoru v Unii, poskytovatelů veřejně dostupných služeb elektronických komunikací, zejména poskytovatelů služeb přístupu k internetu, a poskytovatelů internetových vyhledávačů vybízeny k přijetí strategie diverzifikace řešení systému jmen domén. Členské státy by nadto měly podporovat rozvoj a používání veřejné a bezpečné evropské služby resolverů systému jmen domén.

| (101) | Tato směrnice stanoví vícefázový přístup k oznamování významných incidentů, tak aby bylo dosaženo správné rovnováhy mezi rychlým oznamováním, které pomáhá snížit potenciální šíření významných incidentů a umožňuje základním a důležitým subjektům žádat o podporu, na jedné straně a podrobným oznamováním, které čerpá cenná poučení z jednotlivých incidentů a s postupem času zvyšuje kybernetickou odolnost jednotlivých subjektů a celých odvětví, na straně druhé. V tomto ohledu by tato směrnice měla zahrnovat oznamování incidentů, které by na základě prvotního posouzení provedeného dotčeným subjektem mohly uvedenému subjektu způsobit závažné provozní narušení služeb nebo finanční ztrátu nebo postihnout jiné fyzické nebo právnické osoby tím, že by jim způsobily značnou hmotnou nebo nehmotnou újmu. Při tomto prvotním posouzení by měly být mimo jiné zohledněny dotčené sítě a informační systémy, a zejména jejich význam při poskytování služeb subjektu, závažnost a technické charakteristiky kybernetické hrozby a veškeré související zranitelnosti, které jsou využívány, jakož i zkušenosti subjektu s podobnými incidenty. Ukazatele, jako jsou rozsah, v jakém je ovlivněno fungování služby, doba trvání incidentu nebo počet dotčených příjemců služeb, by mohly hrát důležitou úlohu při určování toho, zda je provozní narušení služby závažné. |
| --- | --- |

(101)

Tato směrnice stanoví vícefázový přístup k oznamování významných incidentů, tak aby bylo dosaženo správné rovnováhy mezi rychlým oznamováním, které pomáhá snížit potenciální šíření významných incidentů a umožňuje základním a důležitým subjektům žádat o podporu, na jedné straně a podrobným oznamováním, které čerpá cenná poučení z jednotlivých incidentů a s postupem času zvyšuje kybernetickou odolnost jednotlivých subjektů a celých odvětví, na straně druhé. V tomto ohledu by tato směrnice měla zahrnovat oznamování incidentů, které by na základě prvotního posouzení provedeného dotčeným subjektem mohly uvedenému subjektu způsobit závažné provozní narušení služeb nebo finanční ztrátu nebo postihnout jiné fyzické nebo právnické osoby tím, že by jim způsobily značnou hmotnou nebo nehmotnou újmu. Při tomto prvotním posouzení by měly být mimo jiné zohledněny dotčené sítě a informační systémy, a zejména jejich význam při poskytování služeb subjektu, závažnost a technické charakteristiky kybernetické hrozby a veškeré související zranitelnosti, které jsou využívány, jakož i zkušenosti subjektu s podobnými incidenty. Ukazatele, jako jsou rozsah, v jakém je ovlivněno fungování služby, doba trvání incidentu nebo počet dotčených příjemců služeb, by mohly hrát důležitou úlohu při určování toho, zda je provozní narušení služby závažné.

| (102) | Pokud se základní nebo důležité subjekty dozvědí o významném incidentu, měly by mít povinnost bez zbytečného odkladu a v každém případě do 24 hodin podat včasné varování. Po tomto včasném varování by mělo následovat oznámení incidentu. Dotčené subjekty by měly oznámení o incidentu podat bez zbytečného odkladu a v každém případě do 72 hodin od okamžiku, kdy se o významném incidentu dozvěděly, zejména s cílem aktualizovat informace předložené prostřednictvím včasného varování a uvést prvotní posouzení významného incidentu, včetně jeho závažnosti a dopadu, jakož i indikátory narušení, jsou-li k dispozici. Nejpozději jeden měsíc po oznámení incidentu by měla být předložena závěrečná zpráva. Včasné varování by mělo zahrnovat pouze informace nezbytné k tomu, aby se tým CSIRT nebo případně příslušný orgán dozvěděly o významném incidentu a aby dotčený subjekt mohl v případě potřeby požádat o pomoc. Toto včasné varování by mělo případně uvádět, zda existuje podezření, že významný incident byl způsoben nezákonným nebo svévolným zásahem, a zda je pravděpodobné, že bude mít přeshraniční dopad. Členské státy by měly zajistit, aby povinnost podat toto včasné varování nebo následné oznámení incidentu neodváděla zdroje oznamujícího subjektu od činností souvisejících s řešením incidentu, které by měly být upřednostněny, aby se zabránilo tomu, že kvůli povinnosti oznamování incidentů dojde buď k odvádění zdrojů z řešení reakce na významný incident, nebo se jinak naruší úsilí subjektů v tomto ohledu. V případě, že v okamžiku, kdy by měla být předložena závěrečná zpráva, incident stále trvá, členské státy zajistí, aby dotčené subjekty v uvedené lhůtě předložily zprávu o pokroku a poté nejpozději jeden měsíc po vyřešení významného incidentu závěrečnou zprávu. |
| --- | --- |

(102)

Pokud se základní nebo důležité subjekty dozvědí o významném incidentu, měly by mít povinnost bez zbytečného odkladu a v každém případě do 24 hodin podat včasné varování. Po tomto včasném varování by mělo následovat oznámení incidentu. Dotčené subjekty by měly oznámení o incidentu podat bez zbytečného odkladu a v každém případě do 72 hodin od okamžiku, kdy se o významném incidentu dozvěděly, zejména s cílem aktualizovat informace předložené prostřednictvím včasného varování a uvést prvotní posouzení významného incidentu, včetně jeho závažnosti a dopadu, jakož i indikátory narušení, jsou-li k dispozici. Nejpozději jeden měsíc po oznámení incidentu by měla být předložena závěrečná zpráva. Včasné varování by mělo zahrnovat pouze informace nezbytné k tomu, aby se tým CSIRT nebo případně příslušný orgán dozvěděly o významném incidentu a aby dotčený subjekt mohl v případě potřeby požádat o pomoc. Toto včasné varování by mělo případně uvádět, zda existuje podezření, že významný incident byl způsoben nezákonným nebo svévolným zásahem, a zda je pravděpodobné, že bude mít přeshraniční dopad. Členské státy by měly zajistit, aby povinnost podat toto včasné varování nebo následné oznámení incidentu neodváděla zdroje oznamujícího subjektu od činností souvisejících s řešením incidentu, které by měly být upřednostněny, aby se zabránilo tomu, že kvůli povinnosti oznamování incidentů dojde buď k odvádění zdrojů z řešení reakce na významný incident, nebo se jinak naruší úsilí subjektů v tomto ohledu. V případě, že v okamžiku, kdy by měla být předložena závěrečná zpráva, incident stále trvá, členské státy zajistí, aby dotčené subjekty v uvedené lhůtě předložily zprávu o pokroku a poté nejpozději jeden měsíc po vyřešení významného incidentu závěrečnou zprávu.

| (103) | V příslušných případech by základní a důležité subjekty měly příjemcům svých služeb bez zbytečného odkladu sdělit veškerá opatření nebo nápravná opatření, která mohou přijmout ke zmírnění výsledných rizik vyplývajících z významné kybernetické hrozby. Uvedené subjekty by měly podle potřeby, a zejména, když je pravděpodobné, že se významná kybernetická hrozba naplní, rovněž informovat příjemce své služby o samotné hrozbě. Požadavek na informování těchto příjemců o významných kybernetických hrozbách by se měl splnit s vynaložením maximálního úsilí, ale tyto subjekty by neměl zbavovat povinnosti přijmout na vlastní náklady přiměřená a okamžitá opatření s cílem zamezit těmto hrozbám nebo je odstranit a obnovit běžnou úroveň bezpečnosti služby. Tyto informace o významných kybernetických hrozbách by měly být příjemcům služby poskytovány zdarma a měly by být formulovány ve snadno srozumitelném jazyce. |
| --- | --- |

(103)

V příslušných případech by základní a důležité subjekty měly příjemcům svých služeb bez zbytečného odkladu sdělit veškerá opatření nebo nápravná opatření, která mohou přijmout ke zmírnění výsledných rizik vyplývajících z významné kybernetické hrozby. Uvedené subjekty by měly podle potřeby, a zejména, když je pravděpodobné, že se významná kybernetická hrozba naplní, rovněž informovat příjemce své služby o samotné hrozbě. Požadavek na informování těchto příjemců o významných kybernetických hrozbách by se měl splnit s vynaložením maximálního úsilí, ale tyto subjekty by neměl zbavovat povinnosti přijmout na vlastní náklady přiměřená a okamžitá opatření s cílem zamezit těmto hrozbám nebo je odstranit a obnovit běžnou úroveň bezpečnosti služby. Tyto informace o významných kybernetických hrozbách by měly být příjemcům služby poskytovány zdarma a měly by být formulovány ve snadno srozumitelném jazyce.

| (104) | Poskytovatelé veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací by měli zavádět bezpečnostní prvky standardně a záměrně a příjemce svých služeb informovat o významných kybernetických hrozbách a o opatřeních, která mohou přijmout, aby chránili bezpečnost svých zařízení a své komunikace, například použitím specifických druhů softwaru nebo šifrovacích technologií. |
| --- | --- |

(104)

Poskytovatelé veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací by měli zavádět bezpečnostní prvky standardně a záměrně a příjemce svých služeb informovat o významných kybernetických hrozbách a o opatřeních, která mohou přijmout, aby chránili bezpečnost svých zařízení a své komunikace, například použitím specifických druhů softwaru nebo šifrovacích technologií.

| (105) | Proaktivní přístup ke kybernetickým hrozbám je zásadní složkou opatření k řízení kybernetických bezpečnostních rizik, jenž by měl příslušným orgánům umožnit účinně předcházet tomu, aby kybernetické hrozby přerostly do incidentů, jež mohou způsobit značnou hmotnou či nehmotnou újmu. Za tímto účelem má ohlašování kybernetických hrozeb klíčový význam. S tímto záměrem jsou subjekty motivovány k dobrovolnému podávání zpráv o kybernetických hrozbách. |
| --- | --- |

(105)

Proaktivní přístup ke kybernetickým hrozbám je zásadní složkou opatření k řízení kybernetických bezpečnostních rizik, jenž by měl příslušným orgánům umožnit účinně předcházet tomu, aby kybernetické hrozby přerostly do incidentů, jež mohou způsobit značnou hmotnou či nehmotnou újmu. Za tímto účelem má ohlašování kybernetických hrozeb klíčový význam. S tímto záměrem jsou subjekty motivovány k dobrovolnému podávání zpráv o kybernetických hrozbách.

| (106) | Aby se zjednodušilo oznamování informací požadovaných podle této směrnice a snížila administrativní zátěž subjektů, měly by členské státy pro předkládání relevantních informací, jež se mají oznamovat, poskytnout technické prostředky, jako jsou jednotné kontaktní místo, automatizované systémy, on-line formuláře, uživatelsky přívětivá rozhraní, šablony a specializované platformy pro využívání ze strany subjektů bez ohledu na to, zda se na ně tato směrnice vztahuje. Finanční prostředky Unie na podporu provádění této směrnice, zejména v rámci programu Digitální Evropa zavedeného nařízením Evropského parlamentu a Rady (EU) 2021/694 (21), by mohly zahrnovat podporu pro jednotná kontaktní místa. Subjekty jsou navíc často v situaci, kdy je konkrétní incident vzhledem k jeho povaze třeba v důsledku oznamovacích povinností uvedených v různých právních nástrojích ohlásit různým orgánům. Takové případy vytvářejí další administrativní zátěž a mohou také vést k nejasnostem, pokud jde o formát a postupy takových oznámení. Je-li zřízeno jednotné kontaktní místo, členské státy se rovněž vybízejí, aby toto jednotné kontaktní místo používaly pro oznamování bezpečnostních incidentů požadovaných podle jiných právních předpisů Unie, jako je nařízení (EU) 2016/679 a směrnice 2002/58/ES. Používáním tohoto jednotného kontaktního místa pro oznamování bezpečnostních incidentů podle nařízení (EU) 2016/679 a směrnice 2002/58/ES by nemělo být dotčeno uplatňování ustanovení nařízení (EU) 2016/679 a směrnice 2002/58/ES, zejména těch, která se týkají nezávislosti orgánů v nich uvedených. Agentura ENISA ve spolupráci se skupinou pro spolupráci vypracuje a neustále zdokonaluje společné šablony oznamování prostřednictvím pokynů, které zjednoduší a zefektivní informace, jež mají být oznamovány podle právních předpisů Unie, a sníží administrativní zátěž pro oznamující subjekty. |
| --- | --- |

(106)

Aby se zjednodušilo oznamování informací požadovaných podle této směrnice a snížila administrativní zátěž subjektů, měly by členské státy pro předkládání relevantních informací, jež se mají oznamovat, poskytnout technické prostředky, jako jsou jednotné kontaktní místo, automatizované systémy, on-line formuláře, uživatelsky přívětivá rozhraní, šablony a specializované platformy pro využívání ze strany subjektů bez ohledu na to, zda se na ně tato směrnice vztahuje. Finanční prostředky Unie na podporu provádění této směrnice, zejména v rámci programu Digitální Evropa zavedeného nařízením Evropského parlamentu a Rady (EU) 2021/694 (21), by mohly zahrnovat podporu pro jednotná kontaktní místa. Subjekty jsou navíc často v situaci, kdy je konkrétní incident vzhledem k jeho povaze třeba v důsledku oznamovacích povinností uvedených v různých právních nástrojích ohlásit různým orgánům. Takové případy vytvářejí další administrativní zátěž a mohou také vést k nejasnostem, pokud jde o formát a postupy takových oznámení. Je-li zřízeno jednotné kontaktní místo, členské státy se rovněž vybízejí, aby toto jednotné kontaktní místo používaly pro oznamování bezpečnostních incidentů požadovaných podle jiných právních předpisů Unie, jako je nařízení (EU) 2016/679 a směrnice 2002/58/ES. Používáním tohoto jednotného kontaktního místa pro oznamování bezpečnostních incidentů podle nařízení (EU) 2016/679 a směrnice 2002/58/ES by nemělo být dotčeno uplatňování ustanovení nařízení (EU) 2016/679 a směrnice 2002/58/ES, zejména těch, která se týkají nezávislosti orgánů v nich uvedených. Agentura ENISA ve spolupráci se skupinou pro spolupráci vypracuje a neustále zdokonaluje společné šablony oznamování prostřednictvím pokynů, které zjednoduší a zefektivní informace, jež mají být oznamovány podle právních předpisů Unie, a sníží administrativní zátěž pro oznamující subjekty.

| (107) | Existuje-li podezření, že určitý incident souvisí se závažnou trestnou činností podle unijního nebo vnitrostátního práva, měly by členské státy motivovat základní a důležité subjekty, aby na základě platných pravidel trestního řízení v souladu s právem Unie donucovacím orgánům z vlastního podnětu oznamovaly incidenty, v jejichž souvislosti existuje podezření o spáchání závažné trestné činnosti. V případě potřeby, a aniž jsou dotčena pravidla ochrany osobních údajů platná pro Europol, je žádoucí, aby koordinaci mezi příslušnými orgány a donucovacími orgány v různých členských státech usnadnily Evropské centrum pro boj proti kyberkriminalitě (EC3) a agentura ENISA. |
| --- | --- |

(107)

Existuje-li podezření, že určitý incident souvisí se závažnou trestnou činností podle unijního nebo vnitrostátního práva, měly by členské státy motivovat základní a důležité subjekty, aby na základě platných pravidel trestního řízení v souladu s právem Unie donucovacím orgánům z vlastního podnětu oznamovaly incidenty, v jejichž souvislosti existuje podezření o spáchání závažné trestné činnosti. V případě potřeby, a aniž jsou dotčena pravidla ochrany osobních údajů platná pro Europol, je žádoucí, aby koordinaci mezi příslušnými orgány a donucovacími orgány v různých členských státech usnadnily Evropské centrum pro boj proti kyberkriminalitě (EC3) a agentura ENISA.

| (108) | V důsledku incidentů je v mnoha případech ohrožena ochrana osobních údajů. V této souvislosti by příslušné orgány měly spolupracovat a vyměňovat si informace o všech relevantních záležitostech s orgány uvedenými v nařízení (EU) 2016/679 a směrnici 2002/58/ES. |
| --- | --- |

(108)

V důsledku incidentů je v mnoha případech ohrožena ochrana osobních údajů. V této souvislosti by příslušné orgány měly spolupracovat a vyměňovat si informace o všech relevantních záležitostech s orgány uvedenými v nařízení (EU) 2016/679 a směrnici 2002/58/ES.

| (109) | Udržování přesných a úplných databází registračních údajů jmen domén (údajů WHOIS) a poskytování zákonného přístupu k těmto údajům má zásadní význam pro zajištění bezpečnosti, stability a odolnosti systému jmen domén, což na druhé straně přispívá k vyšší společné úrovni kybernetické bezpečnosti v celé Unii. Za tímto konkrétním účelem by registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén měly být povinny zpracovávat určité údaje nezbytné k dosažení tohoto účelu. Takové zpracování by mělo představovat právní povinnost ve smyslu čl. 6 odst. 1 písm. c) nařízení (EU) 2016/679. Touto povinností není dotčena možnost shromažďovat údaje o registraci jmen domén pro jiné účely, například na základě smluvních ujednání nebo právních požadavků stanovených v jiných unijních nebo vnitrostátních právních předpisech. Cílem této povinnosti je dosáhnout úplnosti a přesnosti souboru registračních údajů a neměla by vést k vícenásobnému shromažďování stejných údajů. Registry internetových domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly vzájemně spolupracovat, aby se zabránilo zdvojování tohoto úkolu. |
| --- | --- |

(109)

Udržování přesných a úplných databází registračních údajů jmen domén (údajů WHOIS) a poskytování zákonného přístupu k těmto údajům má zásadní význam pro zajištění bezpečnosti, stability a odolnosti systému jmen domén, což na druhé straně přispívá k vyšší společné úrovni kybernetické bezpečnosti v celé Unii. Za tímto konkrétním účelem by registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén měly být povinny zpracovávat určité údaje nezbytné k dosažení tohoto účelu. Takové zpracování by mělo představovat právní povinnost ve smyslu čl. 6 odst. 1 písm. c) nařízení (EU) 2016/679. Touto povinností není dotčena možnost shromažďovat údaje o registraci jmen domén pro jiné účely, například na základě smluvních ujednání nebo právních požadavků stanovených v jiných unijních nebo vnitrostátních právních předpisech. Cílem této povinnosti je dosáhnout úplnosti a přesnosti souboru registračních údajů a neměla by vést k vícenásobnému shromažďování stejných údajů. Registry internetových domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly vzájemně spolupracovat, aby se zabránilo zdvojování tohoto úkolu.

| (110) | Dostupnost údajů o registraci jmen domén pro oprávněné žadatele o přístup a včasný přístup k uvedeným údajům má zásadní význam pro prevenci zneužívání systému překladu jmen domén a boj proti němu a pro prevenci a odhalování incidentů a reakci na ně. Oprávněnými žadateli o přístup se mají rozumět jakákoli fyzická nebo právnická osoba, která podává žádost podle unijního nebo vnitrostátního práva. Mezi tyto orgány mohou náležet orgány příslušné podle této směrnice a orgány, které jsou podle unijního nebo vnitrostátního práva příslušné pro prevenci, vyšetřování, odhalování či stíhání trestných činů, a skupiny CERT nebo týmy CSIRT. Registry jmen domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly mít povinnost umožnit oprávněným žadatelům o přístup zákonný přístup ke konkrétním údajům o registraci jmen domén, které jsou nezbytné pro účely žádosti o přístup, v souladu s právem Unie a vnitrostátním právem. K žádosti oprávněných žadatelů o přístup by mělo být přiloženo odůvodnění umožňující posoudit nezbytnost přístupu k údajům. |
| --- | --- |

(110)

Dostupnost údajů o registraci jmen domén pro oprávněné žadatele o přístup a včasný přístup k uvedeným údajům má zásadní význam pro prevenci zneužívání systému překladu jmen domén a boj proti němu a pro prevenci a odhalování incidentů a reakci na ně. Oprávněnými žadateli o přístup se mají rozumět jakákoli fyzická nebo právnická osoba, která podává žádost podle unijního nebo vnitrostátního práva. Mezi tyto orgány mohou náležet orgány příslušné podle této směrnice a orgány, které jsou podle unijního nebo vnitrostátního práva příslušné pro prevenci, vyšetřování, odhalování či stíhání trestných činů, a skupiny CERT nebo týmy CSIRT. Registry jmen domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly mít povinnost umožnit oprávněným žadatelům o přístup zákonný přístup ke konkrétním údajům o registraci jmen domén, které jsou nezbytné pro účely žádosti o přístup, v souladu s právem Unie a vnitrostátním právem. K žádosti oprávněných žadatelů o přístup by mělo být přiloženo odůvodnění umožňující posoudit nezbytnost přístupu k údajům.

| (111) | S cílem zajistit dostupnost přesných a úplných údajů o registraci jmen domén by registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén měly shromažďovat údaje o registraci jmen domén a zaručovat integritu a dostupnost těchto údajů. Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by zejména měly stanovit politiky a postupy pro shromažďování a uchovávání přesných a úplných registračních údajů doménového jména a rovněž zamezit uvádění nesprávných registračních údajů a opravovat je v souladu s právem Unie v oblasti ochrany údajů. Tyto politiky a postupy by měly v co největší míře zohledňovat normy vypracované řídícími strukturami s mnoha zúčastněnými stranami na mezinárodní úrovni. Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly přijmout a zavést přiměřené postupy pro ověřování údajů souvisejících s registrací jmen domén. Tyto postupy by měly odrážet osvědčené postupy používané v daném odvětví a pokud možno pokrok dosažený v oblasti elektronické identifikace. Mezi příklady ověřovacích postupů mohou patřit kontroly ex ante prováděné v době registrace a kontroly ex post prováděné po registraci. Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly zejména ověřit alespoň jeden způsob kontaktu žadatele o registraci. |
| --- | --- |

(111)

S cílem zajistit dostupnost přesných a úplných údajů o registraci jmen domén by registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén měly shromažďovat údaje o registraci jmen domén a zaručovat integritu a dostupnost těchto údajů. Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by zejména měly stanovit politiky a postupy pro shromažďování a uchovávání přesných a úplných registračních údajů doménového jména a rovněž zamezit uvádění nesprávných registračních údajů a opravovat je v souladu s právem Unie v oblasti ochrany údajů. Tyto politiky a postupy by měly v co největší míře zohledňovat normy vypracované řídícími strukturami s mnoha zúčastněnými stranami na mezinárodní úrovni. Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly přijmout a zavést přiměřené postupy pro ověřování údajů souvisejících s registrací jmen domén. Tyto postupy by měly odrážet osvědčené postupy používané v daném odvětví a pokud možno pokrok dosažený v oblasti elektronické identifikace. Mezi příklady ověřovacích postupů mohou patřit kontroly ex ante prováděné v době registrace a kontroly ex post prováděné po registraci. Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly zejména ověřit alespoň jeden způsob kontaktu žadatele o registraci.

| (112) | Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly mít v souladu s body odůvodnění nařízení (EU) 2016/679 povinnost zveřejňovat takové údaje o registraci jmen domén, na které se nevztahuje oblast působnosti práva Unie v oblasti ochrany údajů, jako jsou údaje týkající se právnických osob. V případě právnických osob by registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén měly zveřejnit alespoň název žadatele o registraci a jeho kontaktní telefonní číslo. Kontaktní e-mailová adresa by měla být rovněž zveřejněna za předpokladu, že neobsahuje žádné osobní údaje, jako je tomu v případě používání e-mailových přezdívek nebo funkčních účtů. Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by také měly v souladu s právem Unie v oblasti ochrany údajů umožnit oprávněným žadatelům o přístup zákonný přístup ke konkrétním údajům o registraci domén týkajícím se fyzických osob. Členské státy by měly požadovat, aby registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén reagovaly bez zbytečného odkladu na žádosti o zveřejnění údajů o registraci jmen domén oprávněných žadatelů o přístup. Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly stanovit postupy a procesy pro zveřejňování a zpřístupnění registračních údajů, včetně dohod o úrovni služeb k vyřizování žádostí o přístup od oprávněných žadatelů o přístup. Tyto politiky a postupy by měly v co největší míře zohledňovat veškeré pokyny a normy vypracované správními strukturami mnoha zúčastněných stran na mezinárodní úrovni. Postup poskytování přístupu by mohl také obsahovat užívání rozhraní, portálu nebo jiných technických nástrojů k zajištění účinného systému žádostí o registrační údaje a přístupu k těmto údajům S cílem podpořit harmonizované postupy na celém vnitřním trhu může Komise, aniž jsou dotčeny pravomoci Evropské rady pro ochranu údajů, poskytnout pokyny týkající se těchto postupů, které pokud možno zohlední normy vypracované správními strukturami mnoha zúčastněných stran na mezinárodní úrovni. Členské státy by měly zajistit, aby všechny druhy přístupu k osobním i neosobním údajům o registraci jmen domén byly bezplatné. |
| --- | --- |

(112)

Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly mít v souladu s body odůvodnění nařízení (EU) 2016/679 povinnost zveřejňovat takové údaje o registraci jmen domén, na které se nevztahuje oblast působnosti práva Unie v oblasti ochrany údajů, jako jsou údaje týkající se právnických osob. V případě právnických osob by registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén měly zveřejnit alespoň název žadatele o registraci a jeho kontaktní telefonní číslo. Kontaktní e-mailová adresa by měla být rovněž zveřejněna za předpokladu, že neobsahuje žádné osobní údaje, jako je tomu v případě používání e-mailových přezdívek nebo funkčních účtů. Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by také měly v souladu s právem Unie v oblasti ochrany údajů umožnit oprávněným žadatelům o přístup zákonný přístup ke konkrétním údajům o registraci domén týkajícím se fyzických osob. Členské státy by měly požadovat, aby registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén reagovaly bez zbytečného odkladu na žádosti o zveřejnění údajů o registraci jmen domén oprávněných žadatelů o přístup. Registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén by měly stanovit postupy a procesy pro zveřejňování a zpřístupnění registračních údajů, včetně dohod o úrovni služeb k vyřizování žádostí o přístup od oprávněných žadatelů o přístup. Tyto politiky a postupy by měly v co největší míře zohledňovat veškeré pokyny a normy vypracované správními strukturami mnoha zúčastněných stran na mezinárodní úrovni. Postup poskytování přístupu by mohl také obsahovat užívání rozhraní, portálu nebo jiných technických nástrojů k zajištění účinného systému žádostí o registrační údaje a přístupu k těmto údajům S cílem podpořit harmonizované postupy na celém vnitřním trhu může Komise, aniž jsou dotčeny pravomoci Evropské rady pro ochranu údajů, poskytnout pokyny týkající se těchto postupů, které pokud možno zohlední normy vypracované správními strukturami mnoha zúčastněných stran na mezinárodní úrovni. Členské státy by měly zajistit, aby všechny druhy přístupu k osobním i neosobním údajům o registraci jmen domén byly bezplatné.

| (113) | Subjekty spadající do oblasti působnosti této směrnice by měly být považovány za subjekty podléhající pravomoci členského státu, v němž jsou usazeny. Avšak u poskytovatelů veřejných sítí elektronických komunikací nebo poskytovatelů veřejně dostupných služeb elektronických komunikací by se mělo mít za to, že podléhají pravomoci členského státu, v němž poskytují své služby. Provozovatelé DNS, registry domén nejvyšší úrovně, subjekty poskytující služby registrace jmen domén, poskytovatelé služeb cloud computingu, poskytovatelé služeb datových center, poskytovatelé sítí pro doručování obsahu, poskytovatelé řízených služeb, poskytovatelé řízených bezpečnostních služeb, poskytovatelé on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí by se měli považovat za spadající pod pravomoc členského státu, ve kterém mají hlavní provozovnu v Unii. Subjekty veřejné správy by měly spadat do pravomoci členského státu, který je zřídil. Poskytuje-li subjekt služby nebo je usazen ve více než jednom členském státě, měl by podléhat samostatné a souběžné pravomoci každého z těchto členských států. Příslušné orgány těchto členských států by měly spolupracovat, poskytovat si navzájem pomoc a v případě potřeby provádět společné akce v oblasti dohledu. Pokud členské státy vykonávají pravomoc, neměly by za stejné jednání ukládat donucující opatření ani sankce více než jednou v souladu se zásadou zákazu dvojího trestání. |
| --- | --- |

(113)

Subjekty spadající do oblasti působnosti této směrnice by měly být považovány za subjekty podléhající pravomoci členského státu, v němž jsou usazeny. Avšak u poskytovatelů veřejných sítí elektronických komunikací nebo poskytovatelů veřejně dostupných služeb elektronických komunikací by se mělo mít za to, že podléhají pravomoci členského státu, v němž poskytují své služby. Provozovatelé DNS, registry domén nejvyšší úrovně, subjekty poskytující služby registrace jmen domén, poskytovatelé služeb cloud computingu, poskytovatelé služeb datových center, poskytovatelé sítí pro doručování obsahu, poskytovatelé řízených služeb, poskytovatelé řízených bezpečnostních služeb, poskytovatelé on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí by se měli považovat za spadající pod pravomoc členského státu, ve kterém mají hlavní provozovnu v Unii. Subjekty veřejné správy by měly spadat do pravomoci členského státu, který je zřídil. Poskytuje-li subjekt služby nebo je usazen ve více než jednom členském státě, měl by podléhat samostatné a souběžné pravomoci každého z těchto členských států. Příslušné orgány těchto členských států by měly spolupracovat, poskytovat si navzájem pomoc a v případě potřeby provádět společné akce v oblasti dohledu. Pokud členské státy vykonávají pravomoc, neměly by za stejné jednání ukládat donucující opatření ani sankce více než jednou v souladu se zásadou zákazu dvojího trestání.

| (114) | S cílem zohlednit přeshraniční povahu služeb a činností provozovatelů DNS, registrů domén nejvyšší úrovně, subjektů poskytujících služby registrace jmen domén, poskytovatelů služeb cloud computingu, poskytovatelů služeb datových center, poskytovatelů sítí pro doručování obsahu, poskytovatelů řízených bezpečnostních služeb, poskytovatelů internetových tržišť, internetových vyhledávačů a služeb platforem sociálních sítí by měl mít pravomoc nad těmito subjekty pouze jeden členský stát. Pravomoc by měl mít ten členský stát, v němž má dotčený subjekt v rámci Unie hlavní provozovnu. Kritérium provozovny pro účely této směrnice předpokládá účinný výkon činnosti prostřednictvím stálých struktur. Právní forma takových struktur, ať již jde o pobočku, nebo dceřinou společnost s právní subjektivitou, není v tomto ohledu rozhodujícím faktorem. To, zda je toto kritérium splněno, by nemělo záviset na tom, zda se sítě a informační systémy fyzicky nacházejí na daném místě; sama přítomnost a samotné používání takových sítí a systémů nejsou podstatou hlavní provozovny, a tudíž ani nejsou rozhodujícími kritérii pro její určení. Mělo by se mít za to, že hlavní provozovna se nachází v členském státě, kde jsou v Unii převážně přijímána rozhodnutí týkající se opatření k řízení kybernetických bezpečnostních rizik. To bude obvykle odpovídat místu, kde se nachází ústřední správa subjektu v Unii. Nelze-li takový členský stát určit nebo nejsou-li tato rozhodnutí přijímána v Unii, mělo by se mít se za to, že hlavní provozovna je v členském státě, v němž jsou prováděny operace v oblasti kybernetické bezpečnosti. Nelze-li takový členský stát určit, mělo by se mít za to, že hlavní provozovna se nachází v členském státě, v němž má subjekt provozovnu s nejvyšším počtem zaměstnanců v Unii. Pokud jsou služby prováděny skupinou podniků, měla by se za hlavní provozovnu skupiny podniků považovat hlavní provozovna řídícího podniku. |
| --- | --- |

(114)

S cílem zohlednit přeshraniční povahu služeb a činností provozovatelů DNS, registrů domén nejvyšší úrovně, subjektů poskytujících služby registrace jmen domén, poskytovatelů služeb cloud computingu, poskytovatelů služeb datových center, poskytovatelů sítí pro doručování obsahu, poskytovatelů řízených bezpečnostních služeb, poskytovatelů internetových tržišť, internetových vyhledávačů a služeb platforem sociálních sítí by měl mít pravomoc nad těmito subjekty pouze jeden členský stát. Pravomoc by měl mít ten členský stát, v němž má dotčený subjekt v rámci Unie hlavní provozovnu. Kritérium provozovny pro účely této směrnice předpokládá účinný výkon činnosti prostřednictvím stálých struktur. Právní forma takových struktur, ať již jde o pobočku, nebo dceřinou společnost s právní subjektivitou, není v tomto ohledu rozhodujícím faktorem. To, zda je toto kritérium splněno, by nemělo záviset na tom, zda se sítě a informační systémy fyzicky nacházejí na daném místě; sama přítomnost a samotné používání takových sítí a systémů nejsou podstatou hlavní provozovny, a tudíž ani nejsou rozhodujícími kritérii pro její určení. Mělo by se mít za to, že hlavní provozovna se nachází v členském státě, kde jsou v Unii převážně přijímána rozhodnutí týkající se opatření k řízení kybernetických bezpečnostních rizik. To bude obvykle odpovídat místu, kde se nachází ústřední správa subjektu v Unii. Nelze-li takový členský stát určit nebo nejsou-li tato rozhodnutí přijímána v Unii, mělo by se mít se za to, že hlavní provozovna je v členském státě, v němž jsou prováděny operace v oblasti kybernetické bezpečnosti. Nelze-li takový členský stát určit, mělo by se mít za to, že hlavní provozovna se nachází v členském státě, v němž má subjekt provozovnu s nejvyšším počtem zaměstnanců v Unii. Pokud jsou služby prováděny skupinou podniků, měla by se za hlavní provozovnu skupiny podniků považovat hlavní provozovna řídícího podniku.

| (115) | Pokud je veřejně přístupná rekurzivní služba systému pro překlad jmen domén poskytována poskytovatelem veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací pouze jako součást služby přístupu k internetu, měl by být daný subjekt považován za subjekt spadající do pravomoci všech členských států, v nichž jsou jeho služby poskytovány. |
| --- | --- |

(115)

Pokud je veřejně přístupná rekurzivní služba systému pro překlad jmen domén poskytována poskytovatelem veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací pouze jako součást služby přístupu k internetu, měl by být daný subjekt považován za subjekt spadající do pravomoci všech členských států, v nichž jsou jeho služby poskytovány.

| (116) | Pokud provozovatel DNS, registr domén nejvyšší úrovně, subjekt poskytující služby registrace jmen domén, poskytovatel služeb cloud computingu, poskytovatel služeb datového centra, poskytovatel sítě pro doručování obsahu, poskytovatel řízených služeb, poskytovatel řízených bezpečnostních služeb, poskytovatel on-line tržišť, poskytovatel internetových vyhledávačů, nebo poskytovatel služeb platforem sociálních sítí, který není usazen v Unii, nabízí služby v Unii, měl by určit svého zástupce v Unii. Aby bylo možno určit, zda takový subjekt nabízí služby v rámci Unie, mělo by být ověřeno, zda má tento subjekt v úmyslu nabízet služby osobám v jednom nebo více členských státech. Pouhá dostupnost internetových stránek subjektu nebo jeho zprostředkovatele v Unii nebo dostupnost e-mailové adresy nebo dalších kontaktních údajů nebo používání jazyka obecně používaného ve třetí zemi, v níž je subjekt usazen, by k ověření tohoto úmyslu postačovat neměla. Avšak faktory jako používání jazyka nebo měny obecně používaných v jednom nebo více členských státech, spolu s možností objednat služby v tomto jazyce, nebo zmínka o zákaznících či uživatelích nacházejících se v Unii by mohly být zjevným dokladem o tom, že subjekt má v úmyslu nabízet služby v rámci Unie. Zástupce by měl jednat jménem subjektu a příslušné orgány nebo týmy CSIRT by měly mít možnost se na něj obrátit. Zástupce by měl být výslovně písemně pověřen subjektem, aby mohl jednat jeho jménem v otázkách jeho povinností stanovených v této směrnici, včetně oznamování incidentů. |
| --- | --- |

(116)

Pokud provozovatel DNS, registr domén nejvyšší úrovně, subjekt poskytující služby registrace jmen domén, poskytovatel služeb cloud computingu, poskytovatel služeb datového centra, poskytovatel sítě pro doručování obsahu, poskytovatel řízených služeb, poskytovatel řízených bezpečnostních služeb, poskytovatel on-line tržišť, poskytovatel internetových vyhledávačů, nebo poskytovatel služeb platforem sociálních sítí, který není usazen v Unii, nabízí služby v Unii, měl by určit svého zástupce v Unii. Aby bylo možno určit, zda takový subjekt nabízí služby v rámci Unie, mělo by být ověřeno, zda má tento subjekt v úmyslu nabízet služby osobám v jednom nebo více členských státech. Pouhá dostupnost internetových stránek subjektu nebo jeho zprostředkovatele v Unii nebo dostupnost e-mailové adresy nebo dalších kontaktních údajů nebo používání jazyka obecně používaného ve třetí zemi, v níž je subjekt usazen, by k ověření tohoto úmyslu postačovat neměla. Avšak faktory jako používání jazyka nebo měny obecně používaných v jednom nebo více členských státech, spolu s možností objednat služby v tomto jazyce, nebo zmínka o zákaznících či uživatelích nacházejících se v Unii by mohly být zjevným dokladem o tom, že subjekt má v úmyslu nabízet služby v rámci Unie. Zástupce by měl jednat jménem subjektu a příslušné orgány nebo týmy CSIRT by měly mít možnost se na něj obrátit. Zástupce by měl být výslovně písemně pověřen subjektem, aby mohl jednat jeho jménem v otázkách jeho povinností stanovených v této směrnici, včetně oznamování incidentů.

| (117) | Aby byl zajištěn jasný přehled provozovatelů DNS, registrů domén nejvyšší úrovně, subjektů poskytujících služby registrace jmen domén, poskytovatelů služeb cloud computingu, poskytovatelů služeb datových center, poskytovatelů sítí pro doručování obsahu, poskytovatelů řízených služeb, poskytovatelů řízených bezpečnostních služeb, poskytovatelů on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí, které poskytují služby v celé Unii spadající do oblasti působnosti této směrnice, měla by agentura ENISA vytvořit a vést registr těchto subjektů na základě informací, jež obdrží členské státy, případně prostřednictvím vnitrostátních mechanismů zřízených k tomu, aby se subjekty registrovaly samy. Jednotná kontaktní místa by měla předávat agentuře ENISA tyto informace a jejich veškeré změny. V zájmu zajištění přesnosti a úplnosti informací, které by měly být v tomto registru zahrnuty, by členské státy měly agentuře ENISA předložit informace o těchto subjektech, jež mají k dispozici ve svých vnitrostátních registrech. Agentura ENISA a členské státy by měly přijmout opatření s cílem usnadnit interoperabilitu těchto registrů a současně zajistit ochranu důvěrných nebo utajovaných informací. Agentura ENISA by měla zavést vhodné protokoly pro klasifikaci informací a řízení rizik s cílem zajistit bezpečnost a důvěrnost zpřístupněných informací, přičemž přístup k těmto informacím, jejich uchovávání a přenos by měla omezit na zamýšlené uživatele. |
| --- | --- |

(117)

Aby byl zajištěn jasný přehled provozovatelů DNS, registrů domén nejvyšší úrovně, subjektů poskytujících služby registrace jmen domén, poskytovatelů služeb cloud computingu, poskytovatelů služeb datových center, poskytovatelů sítí pro doručování obsahu, poskytovatelů řízených služeb, poskytovatelů řízených bezpečnostních služeb, poskytovatelů on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí, které poskytují služby v celé Unii spadající do oblasti působnosti této směrnice, měla by agentura ENISA vytvořit a vést registr těchto subjektů na základě informací, jež obdrží členské státy, případně prostřednictvím vnitrostátních mechanismů zřízených k tomu, aby se subjekty registrovaly samy. Jednotná kontaktní místa by měla předávat agentuře ENISA tyto informace a jejich veškeré změny. V zájmu zajištění přesnosti a úplnosti informací, které by měly být v tomto registru zahrnuty, by členské státy měly agentuře ENISA předložit informace o těchto subjektech, jež mají k dispozici ve svých vnitrostátních registrech. Agentura ENISA a členské státy by měly přijmout opatření s cílem usnadnit interoperabilitu těchto registrů a současně zajistit ochranu důvěrných nebo utajovaných informací. Agentura ENISA by měla zavést vhodné protokoly pro klasifikaci informací a řízení rizik s cílem zajistit bezpečnost a důvěrnost zpřístupněných informací, přičemž přístup k těmto informacím, jejich uchovávání a přenos by měla omezit na zamýšlené uživatele.

| (118) | Pokud jsou podle této směrnice vyměňovány, oznamovány nebo jinak sdíleny informace, které jsou v souladu s unijním nebo vnitrostátním právem v utajovaném režimu, měla by se použít odpovídající pravidla o nakládání s utajovanými informacemi. Kromě toho by agentura ENISA měla mít infrastrukturu a zavedené postupy a pravidla pro nakládání s citlivými a utajovanými informacemi v souladu s platnými bezpečnostními předpisy na ochranu utajovaných informací EU. |
| --- | --- |

(118)

Pokud jsou podle této směrnice vyměňovány, oznamovány nebo jinak sdíleny informace, které jsou v souladu s unijním nebo vnitrostátním právem v utajovaném režimu, měla by se použít odpovídající pravidla o nakládání s utajovanými informacemi. Kromě toho by agentura ENISA měla mít infrastrukturu a zavedené postupy a pravidla pro nakládání s citlivými a utajovanými informacemi v souladu s platnými bezpečnostními předpisy na ochranu utajovaných informací EU.

| (119) | S tím, jak se kybernetické hrozby stávají stále složitějšími a sofistikovanějšími, účinná opatření v oblasti odhalování těchto hrozeb a jejich prevence závisejí do značné míry na pravidelném sdílení zpravodajských informací o hrozbách a zranitelnosti mezi subjekty. Sdílení informací přispívá k lepšímu povědomí o kybernetických hrozbách, což následně posiluje schopnost subjektů předcházet tomu, že tyto hrozby přerostou v incidenty, a umožňuje subjektům lépe zachycovat dopady incidentů a efektivněji se zotavovat. Jelikož na úrovni Unie příslušné pokyny neexistují, takovému sdílení zpravodajských informací, zdá se, brání různé faktory, zejména nejistota ohledně slučitelnosti s pravidly hospodářské soutěže a pravidly odpovědnosti. |
| --- | --- |

(119)

S tím, jak se kybernetické hrozby stávají stále složitějšími a sofistikovanějšími, účinná opatření v oblasti odhalování těchto hrozeb a jejich prevence závisejí do značné míry na pravidelném sdílení zpravodajských informací o hrozbách a zranitelnosti mezi subjekty. Sdílení informací přispívá k lepšímu povědomí o kybernetických hrozbách, což následně posiluje schopnost subjektů předcházet tomu, že tyto hrozby přerostou v incidenty, a umožňuje subjektům lépe zachycovat dopady incidentů a efektivněji se zotavovat. Jelikož na úrovni Unie příslušné pokyny neexistují, takovému sdílení zpravodajských informací, zdá se, brání různé faktory, zejména nejistota ohledně slučitelnosti s pravidly hospodářské soutěže a pravidly odpovědnosti.

| (120) | Členské státy by měly subjekty motivovat a pomáhat jim k tomu, aby společně využívaly svých individuálních znalostí a praktických zkušeností na strategické, taktické a operativní úrovni s cílem zlepšit své schopnosti předcházet incidentům, odhalovat je, reagovat na ně, zotavovat se z nich nebo zmírňovat jejich dopad. Je proto nezbytné umožnit na úrovni Unie vznik dobrovolných ujednání o sdílení informací o kybernetické bezpečnosti. Členské státy by za tímto účelem měly aktivně podporovat a motivovat subjekty, jako jsou subjekty zaměřené na poskytování služeb a výzkumu v oblasti kybernetické bezpečnosti, a relevantní subjekty, jež nespadají do oblasti působnosti této směrnice, aby se účastnily takovýchto opatření ujednání o sdílení informací o kybernetické bezpečnosti. Tato ujednání by měla být zavedena v souladu s pravidly Unie v oblasti hospodářské soutěže a právními předpisy Unie v oblasti ochrany údajů. |
| --- | --- |

(120)

Členské státy by měly subjekty motivovat a pomáhat jim k tomu, aby společně využívaly svých individuálních znalostí a praktických zkušeností na strategické, taktické a operativní úrovni s cílem zlepšit své schopnosti předcházet incidentům, odhalovat je, reagovat na ně, zotavovat se z nich nebo zmírňovat jejich dopad. Je proto nezbytné umožnit na úrovni Unie vznik dobrovolných ujednání o sdílení informací o kybernetické bezpečnosti. Členské státy by za tímto účelem měly aktivně podporovat a motivovat subjekty, jako jsou subjekty zaměřené na poskytování služeb a výzkumu v oblasti kybernetické bezpečnosti, a relevantní subjekty, jež nespadají do oblasti působnosti této směrnice, aby se účastnily takovýchto opatření ujednání o sdílení informací o kybernetické bezpečnosti. Tato ujednání by měla být zavedena v souladu s pravidly Unie v oblasti hospodářské soutěže a právními předpisy Unie v oblasti ochrany údajů.

| (121) | Zpracování osobních údajů v rozsahu nutném a přiměřeném pro zajištění bezpečnosti sítí a informačních systémů ze strany základních a důležitých subjektů by mohlo být považováno za zákonné na základě toho, že takové zpracování splňuje právní povinnost, která se vztahuje na správce, v souladu s požadavky čl. 6 odst. 1 písm. c) a čl. 6 odst. 3 nařízení (EU) 2016/679. Zpracování osobních údajů by mohlo být rovněž nezbytné pro oprávněné zájmy základních a důležitých subjektů, jakož i poskytovatelů bezpečnostních technologií a služeb jednajících jménem těchto subjektů podle čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679, včetně případů, kdy je takové zpracování nezbytné pro ujednání o sdílení informací o kybernetické bezpečnosti nebo dobrovolné oznamování příslušných informací v souladu s touto směrnicí. Opatření týkající se prevence, odhalování, identifikace, zamezení šíření, analýzy incidentů a reakce na incidenty, opatření ke zvyšování povědomí o konkrétních kybernetických hrozbách, výměny informací v rámci nápravy zranitelností a jejich koordinovaného zveřejňování, a také dobrovolné výměny informací o těchto incidentech, kybernetických hrozbách a zranitelnostech, indikátorech narušení, taktice, technikách a postupech, varováních v oblasti kybernetické bezpečnosti a konfiguračních nástrojích by mohla vyžadovat zpracovávání určitých kategorií osobních údajů, například IP adres, jednotných adres zdroje (URL), jmen domén, e-mailových adres a, odhalují-li osobní údaje, časových razítek. Zpracování osobních údajů příslušnými orgány, jednotnými kontaktními místy a týmy CSIRT by mohlo představovat právní povinnost nebo by mohlo být považováno za nezbytné pro plnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce údajů podle čl. 6 odst. 1 písm. c) nebo e) a čl. 6 odst. 3 nařízení (EU) 2016/679, nebo pro sledování oprávněného zájmu základních a důležitých subjektů, jak je uvedeno v čl. 6 odst. 1 písm. f) uvedeného nařízení.. Kromě toho by vnitrostátní právo mohlo stanovit pravidla, která příslušným orgánům, jednotným kontaktním místům a týmům CSIRT v rozsahu, který je nezbytný a přiměřený pro účely zajištění bezpečnosti sítí a informačních systémů základních a důležitých subjektů, umožní zpracovávat zvláštní kategorie osobních údajů v souladu s článkem 9 nařízení (EU) 2016/679, zejména stanovením vhodných a konkrétních opatření na ochranu základních práv a zájmů fyzických osob, včetně technických omezení opakovaného použití těchto údajů a používání nejmodernějších bezpečnostních opatření a opatření na ochranu soukromí, jako je pseudonymizace nebo šifrování, pokud může anonymizace mít významný vliv na sledovaný účel. |
| --- | --- |

(121)

Zpracování osobních údajů v rozsahu nutném a přiměřeném pro zajištění bezpečnosti sítí a informačních systémů ze strany základních a důležitých subjektů by mohlo být považováno za zákonné na základě toho, že takové zpracování splňuje právní povinnost, která se vztahuje na správce, v souladu s požadavky čl. 6 odst. 1 písm. c) a čl. 6 odst. 3 nařízení (EU) 2016/679. Zpracování osobních údajů by mohlo být rovněž nezbytné pro oprávněné zájmy základních a důležitých subjektů, jakož i poskytovatelů bezpečnostních technologií a služeb jednajících jménem těchto subjektů podle čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679, včetně případů, kdy je takové zpracování nezbytné pro ujednání o sdílení informací o kybernetické bezpečnosti nebo dobrovolné oznamování příslušných informací v souladu s touto směrnicí. Opatření týkající se prevence, odhalování, identifikace, zamezení šíření, analýzy incidentů a reakce na incidenty, opatření ke zvyšování povědomí o konkrétních kybernetických hrozbách, výměny informací v rámci nápravy zranitelností a jejich koordinovaného zveřejňování, a také dobrovolné výměny informací o těchto incidentech, kybernetických hrozbách a zranitelnostech, indikátorech narušení, taktice, technikách a postupech, varováních v oblasti kybernetické bezpečnosti a konfiguračních nástrojích by mohla vyžadovat zpracovávání určitých kategorií osobních údajů, například IP adres, jednotných adres zdroje (URL), jmen domén, e-mailových adres a, odhalují-li osobní údaje, časových razítek. Zpracování osobních údajů příslušnými orgány, jednotnými kontaktními místy a týmy CSIRT by mohlo představovat právní povinnost nebo by mohlo být považováno za nezbytné pro plnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce údajů podle čl. 6 odst. 1 písm. c) nebo e) a čl. 6 odst. 3 nařízení (EU) 2016/679, nebo pro sledování oprávněného zájmu základních a důležitých subjektů, jak je uvedeno v čl. 6 odst. 1 písm. f) uvedeného nařízení.. Kromě toho by vnitrostátní právo mohlo stanovit pravidla, která příslušným orgánům, jednotným kontaktním místům a týmům CSIRT v rozsahu, který je nezbytný a přiměřený pro účely zajištění bezpečnosti sítí a informačních systémů základních a důležitých subjektů, umožní zpracovávat zvláštní kategorie osobních údajů v souladu s článkem 9 nařízení (EU) 2016/679, zejména stanovením vhodných a konkrétních opatření na ochranu základních práv a zájmů fyzických osob, včetně technických omezení opakovaného použití těchto údajů a používání nejmodernějších bezpečnostních opatření a opatření na ochranu soukromí, jako je pseudonymizace nebo šifrování, pokud může anonymizace mít významný vliv na sledovaný účel.

| (122) | S cílem posílit pravomoci a opatření v oblasti dohledu, které pomáhají zajistit účinný soulad s předpisy, by tato směrnice měla stanovit minimální seznam opatření a prostředků dohledu, jejichž prostřednictvím mohou příslušné orgány uskutečňovat dohled nad základními a důležitými subjekty. Tato směrnice by kromě toho měla zavést rozlišení režimů dohledu mezi základními a důležitými subjekty s cílem zajistit spravedlivou rovnováhu povinností těchto subjektů a povinností příslušných orgánů. Základní subjekty by tak měly podléhat komplexnímu režimu dohledu ex ante a ex post, zatímco důležité subjekty by měly podléhat mírnému režimu dohledu pouze ex post. Důležité subjekty by tedy neměly mít povinnost systematicky dokumentovat soulad s opatřeními k řízení kybernetických bezpečnostních rizik, zatímco příslušné orgány by měly provádět reaktivní ex post přístup k dohledu a neměly by tedy mít obecnou povinnost dohlížet na tyto subjekty. Dohled ex post nad důležitými subjekty může být zahájen na základě důkazů, indicií či informací, které byly příslušným orgánům oznámeny a o nichž mají tyto orgány za to, že nasvědčují možnému porušení této směrnice. Mohlo by se například jednat o takový druh důkazů, indicií nebo informací, jaký příslušným orgánům poskytují jiné orgány, subjekty, občané, sdělovací prostředky nebo jiné zdroje, nebo by se mohlo jednat o veřejně dostupné informace či o důkazy, indicie nebo informace, které by mohly vyplynout z jiných činností prováděných příslušnými orgány při plnění jejich úkolů. |
| --- | --- |

(122)

S cílem posílit pravomoci a opatření v oblasti dohledu, které pomáhají zajistit účinný soulad s předpisy, by tato směrnice měla stanovit minimální seznam opatření a prostředků dohledu, jejichž prostřednictvím mohou příslušné orgány uskutečňovat dohled nad základními a důležitými subjekty. Tato směrnice by kromě toho měla zavést rozlišení režimů dohledu mezi základními a důležitými subjekty s cílem zajistit spravedlivou rovnováhu povinností těchto subjektů a povinností příslušných orgánů. Základní subjekty by tak měly podléhat komplexnímu režimu dohledu ex ante a ex post, zatímco důležité subjekty by měly podléhat mírnému režimu dohledu pouze ex post. Důležité subjekty by tedy neměly mít povinnost systematicky dokumentovat soulad s opatřeními k řízení kybernetických bezpečnostních rizik, zatímco příslušné orgány by měly provádět reaktivní ex post přístup k dohledu a neměly by tedy mít obecnou povinnost dohlížet na tyto subjekty. Dohled ex post nad důležitými subjekty může být zahájen na základě důkazů, indicií či informací, které byly příslušným orgánům oznámeny a o nichž mají tyto orgány za to, že nasvědčují možnému porušení této směrnice. Mohlo by se například jednat o takový druh důkazů, indicií nebo informací, jaký příslušným orgánům poskytují jiné orgány, subjekty, občané, sdělovací prostředky nebo jiné zdroje, nebo by se mohlo jednat o veřejně dostupné informace či o důkazy, indicie nebo informace, které by mohly vyplynout z jiných činností prováděných příslušnými orgány při plnění jejich úkolů.

| (123) | Provádění dohledu příslušnými orgány by nemělo zbytečně omezovat obchodní činnost dotčeného subjektu. Pokud příslušné orgány vykonávají úkoly v oblasti dohledu ve vztahu k základním subjektům, včetně kontrol na místě a externího dohledu, vyšetřování porušení této směrnice, a provádějí bezpečnostní audity nebo bezpečnostní prověrky, měly by minimalizovat dopad na obchodní činnosti dotčeného subjektu. |
| --- | --- |

(123)

Provádění dohledu příslušnými orgány by nemělo zbytečně omezovat obchodní činnost dotčeného subjektu. Pokud příslušné orgány vykonávají úkoly v oblasti dohledu ve vztahu k základním subjektům, včetně kontrol na místě a externího dohledu, vyšetřování porušení této směrnice, a provádějí bezpečnostní audity nebo bezpečnostní prověrky, měly by minimalizovat dopad na obchodní činnosti dotčeného subjektu.

| (124) | Pokud jde o výkon dohledu ex ante, příslušné orgány by měly mít možnost rozhodnout o stanovení priorit při přiměřeném použití opatření a prostředků dohledu, jež mají k dispozici. To znamená, že příslušné orgány mohou o tomto stanovení priorit rozhodnout na základě metodik dohledu, které by se měly řídit přístupem založeným na posouzení rizik. Konkrétně by tyto metodiky mohly zahrnovat kritéria nebo referenční hodnoty pro zařazení základních subjektů do kategorií podle rizika a odpovídající opatření a prostředky dohledu doporučené pro jednotlivé kategorie podle rizika, jako jsou využití, četnost nebo druhy kontrol na místě, cílené bezpečnostní audity či bezpečnostní prověrky, druhy informací, jež mají být vyžadovány, a míra podrobnosti těchto informací. Tyto metodiky dohledu by mohly být rovněž doplněny o pracovní programy a pravidelně posuzovány a přezkoumávány, a to i pokud jde o aspekty, jako jsou přidělování zdrojů a potřeby v této oblasti. Pokud jde o subjekty veřejné správy, měly by být pravomoci dohledu vykonávány v souladu s vnitrostátními právními předpisy a institucionálními rámci. |
| --- | --- |

(124)

Pokud jde o výkon dohledu ex ante, příslušné orgány by měly mít možnost rozhodnout o stanovení priorit při přiměřeném použití opatření a prostředků dohledu, jež mají k dispozici. To znamená, že příslušné orgány mohou o tomto stanovení priorit rozhodnout na základě metodik dohledu, které by se měly řídit přístupem založeným na posouzení rizik. Konkrétně by tyto metodiky mohly zahrnovat kritéria nebo referenční hodnoty pro zařazení základních subjektů do kategorií podle rizika a odpovídající opatření a prostředky dohledu doporučené pro jednotlivé kategorie podle rizika, jako jsou využití, četnost nebo druhy kontrol na místě, cílené bezpečnostní audity či bezpečnostní prověrky, druhy informací, jež mají být vyžadovány, a míra podrobnosti těchto informací. Tyto metodiky dohledu by mohly být rovněž doplněny o pracovní programy a pravidelně posuzovány a přezkoumávány, a to i pokud jde o aspekty, jako jsou přidělování zdrojů a potřeby v této oblasti. Pokud jde o subjekty veřejné správy, měly by být pravomoci dohledu vykonávány v souladu s vnitrostátními právními předpisy a institucionálními rámci.

| (125) | Příslušné orgány by měly zajistit, aby jejich úkoly v oblasti dohledu nad základními a důležitými subjekty vykonávali vyškolení odborníci, kteří by měli mít nezbytné dovednosti k plnění těchto úkolů, zejména pro provádění kontrol na místě a externího dohledu, včetně zjišťování nedostatků v databázích, hardwaru, firewallech, šifrování a sítích. Tyto kontroly a tento dohled by měly být prováděny objektivně. |
| --- | --- |

(125)

Příslušné orgány by měly zajistit, aby jejich úkoly v oblasti dohledu nad základními a důležitými subjekty vykonávali vyškolení odborníci, kteří by měli mít nezbytné dovednosti k plnění těchto úkolů, zejména pro provádění kontrol na místě a externího dohledu, včetně zjišťování nedostatků v databázích, hardwaru, firewallech, šifrování a sítích. Tyto kontroly a tento dohled by měly být prováděny objektivně.

| (126) | V řádně odůvodněných případech, kdy si je příslušný orgán vědom podstatné kybernetické hrozby nebo bezprostředního rizika, měl by mít možnost okamžitě přijmout rozhodnutí o výkonu opatření, aby předešel incidentu nebo na něj reagoval. |
| --- | --- |

(126)

V řádně odůvodněných případech, kdy si je příslušný orgán vědom podstatné kybernetické hrozby nebo bezprostředního rizika, měl by mít možnost okamžitě přijmout rozhodnutí o výkonu opatření, aby předešel incidentu nebo na něj reagoval.

| (127) | K zajištění účinného vymáhání by měl být stanoven minimální seznam pravomocí v oblasti vymáhání, jež lze uplatnit v případě porušení opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností, jež stanoví tato směrnice, čímž se vytvoří jasný a jednotný rámec pro takové vymáhání v celé Unii. Náležitá pozornost by měla být věnována povaze, závažnosti a době trvání porušení této směrnice, způsobené hmotné či nehmotné újmě, úmyslné nebo nedbalostní povaze porušení, opatřením přijatým za účelem zamezení nebo zmenšení způsobené hmotné či nehmotné újmy, míře odpovědnosti nebo jakémukoli relevantnímu porušení v minulosti, míře spolupráce s příslušným orgánem a jakýmkoli jiným přitěžujícím nebo polehčujícím okolnostem. Opatření v oblasti vymáhání, včetně správních pokut, by měla být přiměřená a jejich uložení by mělo podléhat vhodným procesním zárukám v souladu s obecnými zásadami práva Unie a Listiny základních práv Evropské unie (dále jen „Listina“), včetně práva na účinnou nápravu a spravedlivý proces, presumpce neviny a práva na obhajobu. |
| --- | --- |

(127)

K zajištění účinného vymáhání by měl být stanoven minimální seznam pravomocí v oblasti vymáhání, jež lze uplatnit v případě porušení opatření k řízení kybernetických bezpečnostních rizik a oznamovacích povinností, jež stanoví tato směrnice, čímž se vytvoří jasný a jednotný rámec pro takové vymáhání v celé Unii. Náležitá pozornost by měla být věnována povaze, závažnosti a době trvání porušení této směrnice, způsobené hmotné či nehmotné újmě, úmyslné nebo nedbalostní povaze porušení, opatřením přijatým za účelem zamezení nebo zmenšení způsobené hmotné či nehmotné újmy, míře odpovědnosti nebo jakémukoli relevantnímu porušení v minulosti, míře spolupráce s příslušným orgánem a jakýmkoli jiným přitěžujícím nebo polehčujícím okolnostem. Opatření v oblasti vymáhání, včetně správních pokut, by měla být přiměřená a jejich uložení by mělo podléhat vhodným procesním zárukám v souladu s obecnými zásadami práva Unie a Listiny základních práv Evropské unie (dále jen „Listina“), včetně práva na účinnou nápravu a spravedlivý proces, presumpce neviny a práva na obhajobu.

| (128) | Tato směrnice nevyžaduje, aby členské státy stanovily trestní nebo občanskoprávní odpovědnost fyzických osob, které nesou odpovědnost za zajištění dodržování této směrnice subjektem v souvislosti s újmou, kterou utrpěly třetí strany v důsledku porušení této směrnice. |
| --- | --- |

(128)

Tato směrnice nevyžaduje, aby členské státy stanovily trestní nebo občanskoprávní odpovědnost fyzických osob, které nesou odpovědnost za zajištění dodržování této směrnice subjektem v souvislosti s újmou, kterou utrpěly třetí strany v důsledku porušení této směrnice.

| (129) | S cílem zajistit účinné prosazování povinností stanovených v této směrnici by každý příslušný orgán měl mít pravomoc ukládat správní pokuty nebo požadovat uložení správních pokut. |
| --- | --- |

(129)

S cílem zajistit účinné prosazování povinností stanovených v této směrnici by každý příslušný orgán měl mít pravomoc ukládat správní pokuty nebo požadovat uložení správních pokut.

| (130) | Pro účely uložení správní pokuty základnímu nebo důležitému subjektu, který je podnikem, by měl být podnik chápán ve smyslu článků 101 a 102 Smlouvy o fungování EU. Je-li správní pokuta uložena osobě, která není podnikem, měl by příslušný orgán při rozhodování o odpovídající výši pokuty zohlednit obecnou úroveň příjmů v daném členském státě, jakož i ekonomickou situaci dané osoby. Mělo by být ponecháno na členských státech, aby určily, zda a v jaké míře by měly správním pokutám podléhat orgány veřejné správy. Uložením správní pokuty není dotčeno uplatnění jiných pravomocí příslušných orgánů nebo jiných sankcí stanovených ve vnitrostátních pravidlech provádějících tuto směrnici. |
| --- | --- |

(130)

Pro účely uložení správní pokuty základnímu nebo důležitému subjektu, který je podnikem, by měl být podnik chápán ve smyslu článků 101 a 102 Smlouvy o fungování EU. Je-li správní pokuta uložena osobě, která není podnikem, měl by příslušný orgán při rozhodování o odpovídající výši pokuty zohlednit obecnou úroveň příjmů v daném členském státě, jakož i ekonomickou situaci dané osoby. Mělo by být ponecháno na členských státech, aby určily, zda a v jaké míře by měly správním pokutám podléhat orgány veřejné správy. Uložením správní pokuty není dotčeno uplatnění jiných pravomocí příslušných orgánů nebo jiných sankcí stanovených ve vnitrostátních pravidlech provádějících tuto směrnici.

| (131) | Členským státům by mělo být umožněno, aby stanovily pravidla týkající se trestních sankcí za porušení vnitrostátních pravidel provádějících tuto směrnici. Uložení trestních sankcí za porušení těchto vnitrostátních pravidel a souvisejících správních sankcí by však nemělo vést k porušení zásady ne bis in idem, jak ji vykládá Soudní dvůr Evropské unie. |
| --- | --- |

(131)

Členským státům by mělo být umožněno, aby stanovily pravidla týkající se trestních sankcí za porušení vnitrostátních pravidel provádějících tuto směrnici. Uložení trestních sankcí za porušení těchto vnitrostátních pravidel a souvisejících správních sankcí by však nemělo vést k porušení zásady ne bis in idem, jak ji vykládá Soudní dvůr Evropské unie.

| (132) | Nejsou-li správní sankce harmonizovány touto směrnicí nebo v případě potřeby v jiných případech, jako při závažném porušení této směrnice, měly by členské státy zavést systém, který zajistí uložení účinných, přiměřených a odrazujících sankcí. Povaha těchto sankcí a skutečnost, zda se jedná o trestní nebo správní sankce, by měla být stanovena vnitrostátním právem. |
| --- | --- |

(132)

Nejsou-li správní sankce harmonizovány touto směrnicí nebo v případě potřeby v jiných případech, jako při závažném porušení této směrnice, měly by členské státy zavést systém, který zajistí uložení účinných, přiměřených a odrazujících sankcí. Povaha těchto sankcí a skutečnost, zda se jedná o trestní nebo správní sankce, by měla být stanovena vnitrostátním právem.

| (133) | Aby se dále posílila účinnost a odrazující účinek opatření v oblasti vymáhání, jež jsou uplatňována v případě porušení této směrnice, měly by být příslušné orgány oprávněny dočasně pozastavit certifikace nebo povolení týkající se části nebo všech relevantních služeb, jež poskytuje základní subjekt, nebo činností, jež vykonává, nebo požádat o jejich dočasné pozastavení, a požadovat uložení dočasného zákazu výkonu řídicích funkcí jakékoliv fyzické osobě, která má odpovědnost za výkon řídicích funkcí na úrovni výkonného ředitele nebo zákonného zástupce. Vzhledem k jejich závažnosti a dopadu na činnost subjektů a v konečném důsledku na uživatele by tato dočasná pozastavení nebo tyto zákazy měly být uplatňovány pouze úměrně závažnosti porušení a s ohledem na okolnosti každého jednotlivého případu, včetně úmyslné nebo nedbalostní povahy porušení, a úměrně k jakýmkoli opatřením přijatým k zamezení nebo zmírnění způsobené hmotné či nehmotné újmy. Tato dočasná pozastavení nebo tyto dočasné zákazy by se měly používat jen jako krajní prostředek, což znamená pouze po vyčerpání ostatních relevantních donucovacích opatření, jež stanoví tato směrnice, a pouze do té doby, než dotčený subjekt přijme nezbytná opatření k nápravě nedostatků nebo k dosažení souladu s požadavky příslušného orgánu, kvůli kterým byla uložena tato dočasná pozastavení nebo tyto dočasné zákazy. Uložení takových dočasných pozastavení nebo zákazů by mělo podléhat vhodným procesním zárukám v souladu s obecnými zásadami práva Unie a Listinou, včetně práva na účinnou nápravu a na spravedlivý proces, presumpce neviny a práva na obhajobu. |
| --- | --- |

(133)

Aby se dále posílila účinnost a odrazující účinek opatření v oblasti vymáhání, jež jsou uplatňována v případě porušení této směrnice, měly by být příslušné orgány oprávněny dočasně pozastavit certifikace nebo povolení týkající se části nebo všech relevantních služeb, jež poskytuje základní subjekt, nebo činností, jež vykonává, nebo požádat o jejich dočasné pozastavení, a požadovat uložení dočasného zákazu výkonu řídicích funkcí jakékoliv fyzické osobě, která má odpovědnost za výkon řídicích funkcí na úrovni výkonného ředitele nebo zákonného zástupce. Vzhledem k jejich závažnosti a dopadu na činnost subjektů a v konečném důsledku na uživatele by tato dočasná pozastavení nebo tyto zákazy měly být uplatňovány pouze úměrně závažnosti porušení a s ohledem na okolnosti každého jednotlivého případu, včetně úmyslné nebo nedbalostní povahy porušení, a úměrně k jakýmkoli opatřením přijatým k zamezení nebo zmírnění způsobené hmotné či nehmotné újmy. Tato dočasná pozastavení nebo tyto dočasné zákazy by se měly používat jen jako krajní prostředek, což znamená pouze po vyčerpání ostatních relevantních donucovacích opatření, jež stanoví tato směrnice, a pouze do té doby, než dotčený subjekt přijme nezbytná opatření k nápravě nedostatků nebo k dosažení souladu s požadavky příslušného orgánu, kvůli kterým byla uložena tato dočasná pozastavení nebo tyto dočasné zákazy. Uložení takových dočasných pozastavení nebo zákazů by mělo podléhat vhodným procesním zárukám v souladu s obecnými zásadami práva Unie a Listinou, včetně práva na účinnou nápravu a na spravedlivý proces, presumpce neviny a práva na obhajobu.

| (134) | Za účelem zajištění toho, že subjekty budou plnit své povinnosti stanovené v této směrnici, by členské státy měly spolupracovat a měly by si být vzájemně nápomocny, pokud jde o opatření v oblasti dohledu a vymáhání, zejména pokud některý subjekt poskytuje služby ve více než jednom členském státě nebo pokud se jeho sítě a informační systémy nacházejí v jiném členském státě, než ve kterém poskytuje služby. Při poskytování pomoci by dožádaný příslušný orgán měl přijmout opatření v oblasti dohledu a vymáhání v souladu s vnitrostátním právem. V zájmu zajištění hladkého fungování vzájemné pomoci podle této směrnice by měly příslušné orgány využívat skupinu pro spolupráci jako fórum pro projednávání případů a konkrétních žádostí o pomoc. |
| --- | --- |

(134)

Za účelem zajištění toho, že subjekty budou plnit své povinnosti stanovené v této směrnici, by členské státy měly spolupracovat a měly by si být vzájemně nápomocny, pokud jde o opatření v oblasti dohledu a vymáhání, zejména pokud některý subjekt poskytuje služby ve více než jednom členském státě nebo pokud se jeho sítě a informační systémy nacházejí v jiném členském státě, než ve kterém poskytuje služby. Při poskytování pomoci by dožádaný příslušný orgán měl přijmout opatření v oblasti dohledu a vymáhání v souladu s vnitrostátním právem. V zájmu zajištění hladkého fungování vzájemné pomoci podle této směrnice by měly příslušné orgány využívat skupinu pro spolupráci jako fórum pro projednávání případů a konkrétních žádostí o pomoc.

| (135) | V zájmu zajištění účinného dohledu a vymáhání, zejména v situaci s přeshraničním rozměrem, by členský stát, který obdržel žádost o vzájemnou pomoc, měl v rozsahu dané žádosti přijmout vhodná opatření v oblasti dohledu a vymáhání ve vztahu k subjektu, jehož se uvedená žádost týká a který na území takového členského státu poskytuje služby nebo má na jeho území svou síť a informační systém. |
| --- | --- |

(135)

V zájmu zajištění účinného dohledu a vymáhání, zejména v situaci s přeshraničním rozměrem, by členský stát, který obdržel žádost o vzájemnou pomoc, měl v rozsahu dané žádosti přijmout vhodná opatření v oblasti dohledu a vymáhání ve vztahu k subjektu, jehož se uvedená žádost týká a který na území takového členského státu poskytuje služby nebo má na jeho území svou síť a informační systém.

| (136) | Tato směrnice by měla stanovit pravidla spolupráce mezi příslušnými orgány a dozorovými úřady na základě nařízení (EU) 2016/679 pro řešení případů porušení této směrnice souvisejících s osobními údaji. |
| --- | --- |

(136)

Tato směrnice by měla stanovit pravidla spolupráce mezi příslušnými orgány a dozorovými úřady na základě nařízení (EU) 2016/679 pro řešení případů porušení této směrnice souvisejících s osobními údaji.

| (137) | Cílem této směrnice by mělo být zajistit vysokou míru odpovědnosti za opatření k řízení kybernetických bezpečnostních rizik a v oblasti oznamovacích povinností na úrovni základních a důležitých subjektů. Řídící orgány základních a důležitých subjektů by proto měly schválit opatření k řízení kybernetických bezpečnostních rizik a dohlížet na jejich provádění. |
| --- | --- |

(137)

Cílem této směrnice by mělo být zajistit vysokou míru odpovědnosti za opatření k řízení kybernetických bezpečnostních rizik a v oblasti oznamovacích povinností na úrovni základních a důležitých subjektů. Řídící orgány základních a důležitých subjektů by proto měly schválit opatření k řízení kybernetických bezpečnostních rizik a dohlížet na jejich provádění.

| (138) | Za účelem zajištění vysoké společné úrovně kybernetické bezpečnosti v celé Unii na základě této směrnice by Komisi měla být svěřena pravomoc přijmout akty v souladu s článkem 290 Smlouvy o fungování EU, pokud jde o doplnění této směrnice upřesněním kategorií základních a důležitých subjektů, které mají být povinny používat určité certifikované produkty IKT, služby IKT a procesy IKT nebo získat osvědčení podle některého evropského systému certifikace kybernetické bezpečnosti. Je obzvláště důležité, aby Komise v rámci přípravné činnosti vedla odpovídající konzultace, a to i na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů (22). Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci obdrží Evropský parlament a Rada veškeré dokumenty současně s odborníky z členských států a jejich odborníci mají automaticky přístup na setkání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci. |
| --- | --- |

(138)

Za účelem zajištění vysoké společné úrovně kybernetické bezpečnosti v celé Unii na základě této směrnice by Komisi měla být svěřena pravomoc přijmout akty v souladu s článkem 290 Smlouvy o fungování EU, pokud jde o doplnění této směrnice upřesněním kategorií základních a důležitých subjektů, které mají být povinny používat určité certifikované produkty IKT, služby IKT a procesy IKT nebo získat osvědčení podle některého evropského systému certifikace kybernetické bezpečnosti. Je obzvláště důležité, aby Komise v rámci přípravné činnosti vedla odpovídající konzultace, a to i na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů (22). Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci obdrží Evropský parlament a Rada veškeré dokumenty současně s odborníky z členských států a jejich odborníci mají automaticky přístup na setkání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci.

| (139) | Za účelem zajištění jednotných podmínek k provedení této směrnice by Komisi měly být svěřeny prováděcí pravomoci ke stanovení procesních opatření nezbytných pro fungování skupiny pro spolupráci a technických a metodických, jakož i odvětvových požadavků týkajících se opatření k řízení kybernetických bezpečnostních rizik, a k dalšímu upřesnění druhu informací, formátu a postupu oznamování incidentů, kybernetických hrozeb a významných událostí, a upřesnění komunikace o významných kybernetických hrozbách, jakož i případů, kdy je třeba považovat incident za významný. Tyto pravomoci by měly být vykonávány v souladu s nařízením Evropského parlamentu a Rady (EU) č. 182/2011 (23). |
| --- | --- |

(139)

Za účelem zajištění jednotných podmínek k provedení této směrnice by Komisi měly být svěřeny prováděcí pravomoci ke stanovení procesních opatření nezbytných pro fungování skupiny pro spolupráci a technických a metodických, jakož i odvětvových požadavků týkajících se opatření k řízení kybernetických bezpečnostních rizik, a k dalšímu upřesnění druhu informací, formátu a postupu oznamování incidentů, kybernetických hrozeb a významných událostí, a upřesnění komunikace o významných kybernetických hrozbách, jakož i případů, kdy je třeba považovat incident za významný. Tyto pravomoci by měly být vykonávány v souladu s nařízením Evropského parlamentu a Rady (EU) č. 182/2011 (23).

| (140) | Komise by měla provádět pravidelný přezkum této směrnice po konzultaci se zúčastněnými stranami, zejména pokud jde o rozhodnutí, zda je vhodné navrhnout změny s ohledem na měnící se společenské, politické, technologické nebo tržní podmínky. V rámci přezkumů by Komise měla posoudit, jaký význam mají velikost dotčených subjektů a odvětví, pododvětví a druhy subjektu uvedené v přílohách této směrnice pro fungování hospodářství a společnosti v souvislosti s kybernetickou bezpečností. Komise by měla mimo jiné posoudit, zda by poskytovatelé, na které se vztahuje oblast působnosti této směrnice a již jsou označeni jakožto velmi velké on-line platformy ve smyslu článku 33 nařízení Evropského parlamentu a Rady (EU) 2022/2065 (24), mohli být podle této směrnice označeni za základní subjekty. |
| --- | --- |

(140)

Komise by měla provádět pravidelný přezkum této směrnice po konzultaci se zúčastněnými stranami, zejména pokud jde o rozhodnutí, zda je vhodné navrhnout změny s ohledem na měnící se společenské, politické, technologické nebo tržní podmínky. V rámci přezkumů by Komise měla posoudit, jaký význam mají velikost dotčených subjektů a odvětví, pododvětví a druhy subjektu uvedené v přílohách této směrnice pro fungování hospodářství a společnosti v souvislosti s kybernetickou bezpečností. Komise by měla mimo jiné posoudit, zda by poskytovatelé, na které se vztahuje oblast působnosti této směrnice a již jsou označeni jakožto velmi velké on-line platformy ve smyslu článku 33 nařízení Evropského parlamentu a Rady (EU) 2022/2065 (24), mohli být podle této směrnice označeni za základní subjekty.

| (141) | Tato směrnice vytváří nové úkoly pro agenturu ENISA, čímž posiluje její úlohu, a může vést rovněž k požadavku, aby agentura ENISA plnila své stávající úkoly, které jí nyní stanoví nařízení (EU) 2019/881, na vyšší úrovni než dříve. S cílem zajistit, aby agentura ENISA měla potřebné finanční a lidské zdroje pro stávající a nové úkoly a aby splňovala veškeré vyšší úrovně plnění těchto úkolů vyplývající z její posílené úlohy, by měl být odpovídajícím způsobem navýšen její rozpočet. V zájmu zajištění účinného využívání zdrojů by navíc měla být agentuře ENISA poskytnuta větší flexibilita tak, aby mohla interně přidělovat zdroje za účelem účinného vykonávání svých úkolů a plnění očekávání. |
| --- | --- |

(141)

Tato směrnice vytváří nové úkoly pro agenturu ENISA, čímž posiluje její úlohu, a může vést rovněž k požadavku, aby agentura ENISA plnila své stávající úkoly, které jí nyní stanoví nařízení (EU) 2019/881, na vyšší úrovni než dříve. S cílem zajistit, aby agentura ENISA měla potřebné finanční a lidské zdroje pro stávající a nové úkoly a aby splňovala veškeré vyšší úrovně plnění těchto úkolů vyplývající z její posílené úlohy, by měl být odpovídajícím způsobem navýšen její rozpočet. V zájmu zajištění účinného využívání zdrojů by navíc měla být agentuře ENISA poskytnuta větší flexibilita tak, aby mohla interně přidělovat zdroje za účelem účinného vykonávání svých úkolů a plnění očekávání.

| (142) | Jelikož cíle této směrnice, totiž dosažení vysoké společné úrovně kybernetické bezpečnosti v celé Unii, nemůže být dosaženo uspokojivě členskými státy, ale spíše jej z důvodu účinků této směrnice může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení tohoto cíle. |
| --- | --- |

(142)

Jelikož cíle této směrnice, totiž dosažení vysoké společné úrovně kybernetické bezpečnosti v celé Unii, nemůže být dosaženo uspokojivě členskými státy, ale spíše jej z důvodu účinků této směrnice může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení tohoto cíle.

| (143) | Tato směrnice dodržuje základní práva a ctí zásady uznané Listinou, zejména právo na respektování soukromého života a komunikace, právo na ochranu osobních údajů, svobodu podnikání, právo na vlastnictví a právo na účinnou právní ochranu a spravedlivý proces, presumpci neviny a právo na obhajobu. Právo na účinnou právní ochranu se vztahuje i na příjemce služeb poskytovaných základními a důležitými subjekty. Tato směrnice by měla být prováděna v souladu s těmito právy a zásadami. |
| --- | --- |

(143)

Tato směrnice dodržuje základní práva a ctí zásady uznané Listinou, zejména právo na respektování soukromého života a komunikace, právo na ochranu osobních údajů, svobodu podnikání, právo na vlastnictví a právo na účinnou právní ochranu a spravedlivý proces, presumpci neviny a právo na obhajobu. Právo na účinnou právní ochranu se vztahuje i na příjemce služeb poskytovaných základními a důležitými subjekty. Tato směrnice by měla být prováděna v souladu s těmito právy a zásadami.

| (144) | V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (25) byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne 11. března 2021 (26), |
| --- | --- |

(144)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (25) byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne 11. března 2021 (26),

PŘIJALY TUTO SMĚRNICI:

KAPITOLA I

OBECNÁ USTANOVENÍ

Článek 1

Předmět

1.   Touto směrnicí se stanoví opatření, jejichž účelem je dosáhnout vysoké společné úrovně kybernetické bezpečnosti v rámci Unie s cílem zlepšit fungování vnitřního trhu.

2.   Za tímto účelem tato směrnice stanoví:

| a) | povinnosti, jež vyžadují, aby členské státy přijaly národní strategie kybernetické bezpečnosti, určily nebo zřídily příslušné orgány, orgány pro řešení kybernetických krizí, jednotná kontaktní místa pro kybernetickou bezpečnost (dále jen „jednotná kontaktní místa“) a týmy pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“); |
| --- | --- |

a)

povinnosti, jež vyžadují, aby členské státy přijaly národní strategie kybernetické bezpečnosti, určily nebo zřídily příslušné orgány, orgány pro řešení kybernetických krizí, jednotná kontaktní místa pro kybernetickou bezpečnost (dále jen „jednotná kontaktní místa“) a týmy pro reakce na počítačové bezpečnostní incidenty (dále jen „týmy CSIRT“);

| b) | opatření k řízení kybernetických bezpečnostních rizik a oznamovací povinnosti pro subjekty, jejichž druhy jsou uvedeny v příloze I nebo II, jakož i pro subjekty, jež jsou určeny jakožto kritické subjekty podle směrnice (EU) 2022/2022/2557; |
| --- | --- |

b)

opatření k řízení kybernetických bezpečnostních rizik a oznamovací povinnosti pro subjekty, jejichž druhy jsou uvedeny v příloze I nebo II, jakož i pro subjekty, jež jsou určeny jakožto kritické subjekty podle směrnice (EU) 2022/2022/2557;

| c) | pravidla a povinnosti týkající se sdílení informací o kybernetické bezpečnosti; |
| --- | --- |

c)

pravidla a povinnosti týkající se sdílení informací o kybernetické bezpečnosti;

| d) | povinnosti členských států v oblasti dohledu a vymáhání. |
| --- | --- |

d)

povinnosti členských států v oblasti dohledu a vymáhání.

Článek 2

Oblast působnosti

1.   Tato směrnice se vztahuje na veřejné a soukromé subjekty, jejichž druhy jsou uvedeny v příloze I nebo II a které jsou považovány podle článku 2 přílohy doporučení 2003/361/ES za střední podniky, nebo které překračují stropy pro střední podniky stanovené v odstavci 1 uvedeného článku a které poskytují služby nebo vykonávají činnosti v rámci Unie.

Ustanovení čl. 3 odst. 4 přílohy uvedeného doporučení se pro účely této směrnice nepoužije.

2.   Bez ohledu na jejich velikost se tato směrnice vztahuje také na subjekty, jejichž druh je uveden v příloze I nebo II, pro něž platí, že:

| a) | služby jsou poskytovány:






  i) | poskytovateli veřejné sítě elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací; |
| --- | --- | --- |

a)

služby jsou poskytovány:

i)

poskytovateli veřejné sítě elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací;

| ii) | poskytovateli služeb vytvářejících důvěru; |
| --- | --- |

ii)

poskytovateli služeb vytvářejících důvěru;

| iii) | registry domén nejvyšší úrovně a provozovateli DNS; |
| --- | --- |

iii)

registry domén nejvyšší úrovně a provozovateli DNS;

| b) | subjekt je v některém členském státě výhradním poskytovatelem služeb, jež mají zásadní význam pro zachování kritických společenských nebo hospodářských činností; |
| --- | --- |

b)

subjekt je v některém členském státě výhradním poskytovatelem služeb, jež mají zásadní význam pro zachování kritických společenských nebo hospodářských činností;

| c) | narušení služby poskytované tímto subjektem by mohlo mít významný dopad na veřejný pořádek, veřejnou bezpečnost nebo ochranu zdraví; |
| --- | --- |

c)

narušení služby poskytované tímto subjektem by mohlo mít významný dopad na veřejný pořádek, veřejnou bezpečnost nebo ochranu zdraví;

| d) | narušení služby poskytované tímto subjektem by mohlo vyvolat významná systémová rizika, zejména pro ta odvětví, kde by takové narušení mohlo mít přeshraniční dopad; |
| --- | --- |

d)

narušení služby poskytované tímto subjektem by mohlo vyvolat významná systémová rizika, zejména pro ta odvětví, kde by takové narušení mohlo mít přeshraniční dopad;

| e) | subjekt je kritický vzhledem ke svému specifickému významu na vnitrostátní nebo regionální úrovni pro konkrétní odvětví nebo druh služby nebo pro jiná vzájemně závislá odvětví v členském státě; |
| --- | --- |

e)

subjekt je kritický vzhledem ke svému specifickému významu na vnitrostátní nebo regionální úrovni pro konkrétní odvětví nebo druh služby nebo pro jiná vzájemně závislá odvětví v členském státě;

| f) | subjekt je subjektem veřejné správy:






  i) | ústřední vlády, jak je vymezena členským státem podle vnitrostátního práva; nebo |
| --- | --- | --- |

f)

subjekt je subjektem veřejné správy:

i)

ústřední vlády, jak je vymezena členským státem podle vnitrostátního práva; nebo

| ii) | na regionální úrovni, jak je vymezena členským státem podle vnitrostátního práva, a na základě posouzení rizik poskytuje služby, jejichž narušení by mohlo mít významný dopad na kritické společenské nebo hospodářské činnosti. |
| --- | --- |

ii)

na regionální úrovni, jak je vymezena členským státem podle vnitrostátního práva, a na základě posouzení rizik poskytuje služby, jejichž narušení by mohlo mít významný dopad na kritické společenské nebo hospodářské činnosti.

3.   Bez ohledu na jejich velikost se tato směrnice použije na subjekty určené jakožto kritické subjekty podle směrnice (EU) 2022/2557.

4.   Bez ohledu na jejich velikost se tato směrnice použije na subjekty poskytující služby registrace jmen domén.

5.   Členské státy mohou stanovit, že se tato směrnice vztahuje na:

| a) | subjekty veřejné správy na místní úrovni; |
| --- | --- |

a)

subjekty veřejné správy na místní úrovni;

| b) | vzdělávací instituce, zejména pokud vykonávají kritické výzkumné činnosti. |
| --- | --- |

b)

vzdělávací instituce, zejména pokud vykonávají kritické výzkumné činnosti.

6.   Touto směrnicí není dotčena odpovědnost členských států za ochranu národní bezpečnosti ani jejich pravomoc chránit jiné základní funkce státu, včetně zajišťování územní celistvosti státu a zachování veřejného pořádku.

7.   Tato směrnice se nevztahuje na subjekty veřejné správy, které vykonávají činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo vymáhání práva, včetně prevence, vyšetřování, odhalování a stíhání trestných činů.

8.   Členské státy mohou osvobodit konkrétní subjekty, které vykonávají činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo vymáhání práva, včetně činností souvisejících s prevencí, vyšetřováním, odhalováním a stíháním trestných činů, nebo které poskytují služby výhradně subjektům veřejné správy uvedeným v odstavci 7 tohoto článku, v souvislosti s těmito činnostmi nebo službami od povinností stanovených v článku 21 nebo 23. V takových případech se na tyto konkrétní činnosti nebo služby nevztahují opatření v oblasti dohledu a vymáhání uvedená v kapitole VII. Pokud subjekty vykonávají činnosti nebo poskytují služby výlučně takového druhu, jaký je uveden v tomto odstavci, mohou členské státy rovněž rozhodnout, že osvobodí tyto subjekty od povinností stanovených v článcích 3 a 27.

9.   Odstavce 7 a 8 se nepoužijí, pokud subjekt jedná jako poskytovatel služeb vytvářejících důvěru.

10.   Tato směrnice se nevztahuje na subjekty, které členské státy vyňaly z oblasti působnosti nařízení (EU) 2022/2554 v souladu s čl. 2 odst. 4 uvedeného nařízení.

11.   Povinnosti stanovené v této směrnici nezahrnují poskytování informací, jejichž zpřístupnění by bylo v rozporu se zásadními zájmy členských států v oblasti národní bezpečnosti, veřejné bezpečnosti nebo obrany.

12.   Touto směrnicí není dotčeno nařízení (EU) 2016/679 a nejsou jí dotčeny směrnice Evropského parlamentu a Rady 2002/58/ES, 2011/93/EU (27) a 2013/40/EU (28) ani směrnice (EU) 2022/2557.

13.   Aniž je dotčen článek 346 Smlouvy o fungování EU, informace, které jsou důvěrné podle unijních či vnitrostátních pravidel, jako jsou pravidla pro zachovávání důvěrnosti obchodních informací, se vyměňují s Komisí a jinými příslušnými orgány v souladu s touto směrnicí pouze v případě, že je tato výměna nutná pro účely této směrnice. Vyměňované informace se omezí na informace, které jsou relevantní a přiměřené účelu této výměny. Při těchto výměnách informací se zachovává důvěrnost předmětných informací a jsou chráněny bezpečnost a obchodní zájmy dotčených subjektů.

14.   Subjekty, příslušné orgány, jednotná kontaktní místa a týmy CSIRT zpracovávají osobní údaje pouze v rozsahu nezbytném pro účely této směrnice a v souladu s nařízením (EU) 2016/679 a takové zpracování se opírá o článek 6 uvedeného nařízení.

Zpracování osobních údajů podle této směrnice poskytovateli veřejných sítí elektronických komunikací nebo poskytovateli veřejně dostupných služeb elektronických komunikací se provádí v souladu s právem Unie v oblasti ochrany údajů a právem Unie v oblasti ochrany soukromí, zejména v souladu se směrnicí 2002/58/ES.

Článek 3

Základní a důležité subjekty

1.   Pro účely této směrnice se za základní subjekty považují:

| a) | subjekty, jejichž druh je uveden v příloze I, které překračují stropy pro střední podniky stanovené v čl. 2 odst. 1 přílohy doporučení 2003/361/ES; |
| --- | --- |

a)

subjekty, jejichž druh je uveden v příloze I, které překračují stropy pro střední podniky stanovené v čl. 2 odst. 1 přílohy doporučení 2003/361/ES;

| b) | kvalifikovaní poskytovatelé služeb vytvářejících důvěru, registry domén nejvyšší úrovně a provozovatelé DNS bez ohledu na jejich velikost; |
| --- | --- |

b)

kvalifikovaní poskytovatelé služeb vytvářejících důvěru, registry domén nejvyšší úrovně a provozovatelé DNS bez ohledu na jejich velikost;

| c) | poskytovatelé veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací, kteří jsou považováni za střední podniky podle článku 2 přílohy doporučení 2003/361/ES; |
| --- | --- |

c)

poskytovatelé veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací, kteří jsou považováni za střední podniky podle článku 2 přílohy doporučení 2003/361/ES;

| d) | subjekty veřejné správy podle čl. 2 odst. 2 písm. f) bodu i); |
| --- | --- |

d)

subjekty veřejné správy podle čl. 2 odst. 2 písm. f) bodu i);

| e) | jakékoli jiné subjekty druhu, který je uveden v příloze I nebo II, jež členský stát označí za základní subjekty podle čl. 2 odst. 2 písm. b) až e); |
| --- | --- |

e)

jakékoli jiné subjekty druhu, který je uveden v příloze I nebo II, jež členský stát označí za základní subjekty podle čl. 2 odst. 2 písm. b) až e);

| f) | subjekty určené jakožto kritické subjekty podle směrnice (EU) 2022/2557, jež jsou uvedeny v čl. 2 odst. 3 této směrnice; |
| --- | --- |

f)

subjekty určené jakožto kritické subjekty podle směrnice (EU) 2022/2557, jež jsou uvedeny v čl. 2 odst. 3 této směrnice;

| g) | pokud tak členský stát stanoví, subjekty, které tento členský stát označil před 16. lednem 2023 za provozovatele základních služeb v souladu se směrnicí (EU) 2016/1148 nebo s vnitrostátním právem. |
| --- | --- |

g)

pokud tak členský stát stanoví, subjekty, které tento členský stát označil před 16. lednem 2023 za provozovatele základních služeb v souladu se směrnicí (EU) 2016/1148 nebo s vnitrostátním právem.

2.   Pro účely této směrnice se za důležité subjekty považují subjekty druhu uvedeného v příloze I nebo II, které nelze považovat za základní subjekty podle odstavce 1 tohoto článku. Patří k nim i subjekty, jež členské státy označily za důležité podle čl. 2 odst. 2 písm. b) až e).

3.   Členské státy stanoví do 17. dubna 2025 seznam základních a důležitých subjektů, jakož i subjektů poskytujících služby registrace jmen domén. Členské státy tento seznam pravidelně, a to alespoň každé dva roky, přezkoumávají a v případě potřeby jej aktualizují.

4.   Pro účely stanovení seznamu uvedeného v odstavci 3 členské státy vyžadují, aby subjekty zmíněné v uvedeném odstavci příslušným orgánům předložily alespoň tyto informace:

| a) | název subjektu; |
| --- | --- |

a)

název subjektu;

| b) | adresu a aktuální kontaktní údaje, včetně e-mailových adres, rozsahu IP adres a telefonních čísel; |
| --- | --- |

b)

adresu a aktuální kontaktní údaje, včetně e-mailových adres, rozsahu IP adres a telefonních čísel;

| c) | případně příslušná odvětví a pododvětví podle přílohy I nebo II; a |
| --- | --- |

c)

případně příslušná odvětví a pododvětví podle přílohy I nebo II; a

| d) | případně seznam členských států, v nichž poskytují služby spadající do oblasti působnosti této směrnice. |
| --- | --- |

d)

případně seznam členských států, v nichž poskytují služby spadající do oblasti působnosti této směrnice.

Subjekty uvedené v odstavci 3 oznámí všechny změny údajů, které předložily podle prvního pododstavce tohoto odstavce, a to neprodleně, nejpozději však do dvou týdnů od data změny.

Komise za pomoci Agentury Evropské unie pro kybernetickou bezpečnost (dále jen „ENISA“) bez zbytečného odkladu poskytne pokyny a šablony týkající se povinností stanovených v tomto odstavci.

Členské státy mohou zřídit vnitrostátní mechanismy, jejichž pomocí by se subjekty mohly registrovat samy.

5.   Příslušné orgány do 17. dubna 2025 a poté každé 2 roky oznámí:

| a) | Komisi a skupině pro spolupráci počet základních a důležitých subjektů uvedených na seznamu podle odstavce 3 v každém odvětví a pododvětví uvedeném v příloze I nebo II a |
| --- | --- |

a)

Komisi a skupině pro spolupráci počet základních a důležitých subjektů uvedených na seznamu podle odstavce 3 v každém odvětví a pododvětví uvedeném v příloze I nebo II a

| b) | Komisi příslušné informace o počtu základních a důležitých subjektů, které jsou za takové označeny podle čl. 2 odst. 2 písm. b) až e), informace o odvětví a pododvětví uvedených v příloze I nebo II, do nichž subjekty patří, o druhu služeb, které poskytují, a o tom, podle kterého z ustanovení uvedených v čl. 2 odst. 2 písm. b) až e) byly označeny za základní či důležité. |
| --- | --- |

b)

Komisi příslušné informace o počtu základních a důležitých subjektů, které jsou za takové označeny podle čl. 2 odst. 2 písm. b) až e), informace o odvětví a pododvětví uvedených v příloze I nebo II, do nichž subjekty patří, o druhu služeb, které poskytují, a o tom, podle kterého z ustanovení uvedených v čl. 2 odst. 2 písm. b) až e) byly označeny za základní či důležité.

6.   Do 17. dubna 2025 a na žádost Komise mohou členské státy oznámit Komisi názvy základních a důležitých subjektů uvedených v odst. 5 písm. b).

Článek 4

Odvětvové právní akty Unie

1.   Pokud ustanovení odvětvových právních aktů Unie vyžadují, aby základní nebo důležité subjekty přijaly opatření k řízení kybernetických bezpečnostních rizik nebo aby oznamovaly významné incidenty, a pokud je účinek těchto opatření alespoň rovnocenný účinku povinností stanovených v této směrnici, příslušná ustanovení této směrnice, včetně ustanovení o dohledu a vymáhání v kapitole VII, se na takové subjekty nepoužijí. Pokud se odvětvové právní akty Unie nevztahují na všechny subjekty v konkrétním odvětví, jež náleží do oblasti působnosti této směrnice, použijí se nadále na subjekty, na něž se uvedené odvětvové právní akty Unie nevztahují, příslušná ustanovení této směrnice.

2.   Účinek požadavků uvedených v odstavci 1 tohoto článku se považuje za rovnocenný účinku povinností stanovených v této směrnici, pokud:

| a) | účinek opatření k řízení kybernetických bezpečnostních rizik je přinejmenším rovnocenný účinku opatření stanovených v čl. 21 odst. 1 a 2; nebo |
| --- | --- |

a)

účinek opatření k řízení kybernetických bezpečnostních rizik je přinejmenším rovnocenný účinku opatření stanovených v čl. 21 odst. 1 a 2; nebo

| b) | odvětvový právní akt Unie stanoví okamžitý, případně automatický a přímý přístup k oznámením o incidentech, která podle této směrnice vydávají týmy CSIRT, příslušné orgány nebo jednotná kontaktní místa, a účinky požadavků na oznamování významných incidentů jsou přinejmenším rovnocenné účinkům požadavků stanovených v čl. 23 odst. 1 až 6 této směrnice. |
| --- | --- |

b)

odvětvový právní akt Unie stanoví okamžitý, případně automatický a přímý přístup k oznámením o incidentech, která podle této směrnice vydávají týmy CSIRT, příslušné orgány nebo jednotná kontaktní místa, a účinky požadavků na oznamování významných incidentů jsou přinejmenším rovnocenné účinkům požadavků stanovených v čl. 23 odst. 1 až 6 této směrnice.

3.   Komise poskytne do 17. července 2023 pokyny objasňující uplatňování odstavců 1 a 2. Komise provádí pravidelný přezkum těchto pokynů. Při přípravě těchto pokynů zohlední Komise veškeré postřehy skupiny pro spolupráci a agentury ENISA.

Článek 5

Minimální harmonizace

Tato směrnice nebrání členským státům v tom, aby přijímaly nebo ponechaly v platnosti ustanovení zajišťující vyšší úroveň kybernetické bezpečnosti, jsou-li tato ustanovení v souladu s jejich povinnostmi stanovenými v právu Unie.

Článek 6

Definice

Pro účely této směrnice se rozumí:

| 1) | „sítí a informačním systémem“:






  a) | síť elektronických komunikací ve smyslu čl. 2 bodu 1 směrnice (EU) 2018/1972; |
| --- | --- | --- |

1)

„sítí a informačním systémem“:

a)

síť elektronických komunikací ve smyslu čl. 2 bodu 1 směrnice (EU) 2018/1972;

| b) | zařízení nebo skupina vzájemně propojených nebo souvisejících zařízení, z nichž jedno nebo více provádí na základě programu automatické zpracování digitálních dat; nebo |
| --- | --- |

b)

zařízení nebo skupina vzájemně propojených nebo souvisejících zařízení, z nichž jedno nebo více provádí na základě programu automatické zpracování digitálních dat; nebo

| c) | digitální data, jež jsou prvky uvedenými v písmenech a) a b) uchovávána, zpracovávána, opětovně vyhledávána nebo předávána za účelem jejich provozu, použití, ochrany a údržby; |
| --- | --- |

c)

digitální data, jež jsou prvky uvedenými v písmenech a) a b) uchovávána, zpracovávána, opětovně vyhledávána nebo předávána za účelem jejich provozu, použití, ochrany a údržby;

| 2) | „bezpečností sítí a informačních systémů“ schopnost sítí a informačních systémů odolávat s určitou spolehlivostí veškerým událostem, které mohou narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které jsou nabízeny prostřednictvím sítí a informačních systémů nebo které jsou jejich prostřednictvím přístupné; |
| --- | --- |

2)

„bezpečností sítí a informačních systémů“ schopnost sítí a informačních systémů odolávat s určitou spolehlivostí veškerým událostem, které mohou narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které jsou nabízeny prostřednictvím sítí a informačních systémů nebo které jsou jejich prostřednictvím přístupné;

| 3) | „kybernetickou bezpečností“ kybernetická bezpečnost ve smyslu čl. 2 bodu 1 nařízení (EU) 2019/881; |
| --- | --- |

3)

„kybernetickou bezpečností“ kybernetická bezpečnost ve smyslu čl. 2 bodu 1 nařízení (EU) 2019/881;

| 4) | „národní strategií kybernetické bezpečnosti“ soudržný rámec členského státu vymezující strategické cíle a priority v oblasti kybernetické bezpečnosti a správy za účelem jejich dosažení v tomto členském státě; |
| --- | --- |

4)

„národní strategií kybernetické bezpečnosti“ soudržný rámec členského státu vymezující strategické cíle a priority v oblasti kybernetické bezpečnosti a správy za účelem jejich dosažení v tomto členském státě;

| 5) | „významnou událostí“ událost, která mohla narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které nabízejí sítě a informační systémy nebo které jsou jejich prostřednictvím přístupné, ale plnému vzniku takové události bylo úspěšně zabráněno nebo taková událost nenastala; |
| --- | --- |

5)

„významnou událostí“ událost, která mohla narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které nabízejí sítě a informační systémy nebo které jsou jejich prostřednictvím přístupné, ale plnému vzniku takové události bylo úspěšně zabráněno nebo taková událost nenastala;

| 6) | „incidentem“ událost narušující dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které jsou nabízeny prostřednictvím sítí a informačních systémů nebo které jsou jejich prostřednictvím přístupné; |
| --- | --- |

6)

„incidentem“ událost narušující dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které jsou nabízeny prostřednictvím sítí a informačních systémů nebo které jsou jejich prostřednictvím přístupné;

| 7) | „rozsáhlým kybernetickým bezpečnostním incidentem“ incident, který způsobí úroveň narušení, jež přesahuje schopnost členského státu na takový incident reagovat, nebo který má významný dopad na nejméně dva členské státy; |
| --- | --- |

7)

„rozsáhlým kybernetickým bezpečnostním incidentem“ incident, který způsobí úroveň narušení, jež přesahuje schopnost členského státu na takový incident reagovat, nebo který má významný dopad na nejméně dva členské státy;

| 8) | „řešením incidentu“ jakékoli akce a postupy, jejichž cílem je incidentu předejít, odhalit jej, analyzovat, zamezit jeho šíření nebo na něj reagovat a zotavit se z něj; |
| --- | --- |

8)

„řešením incidentu“ jakékoli akce a postupy, jejichž cílem je incidentu předejít, odhalit jej, analyzovat, zamezit jeho šíření nebo na něj reagovat a zotavit se z něj;

| 9) | „rizikem“ potenciální ztráta nebo narušení v důsledku incidentu, přičemž toto riziko je vyjádřeno jako kombinace rozsahu takové ztráty nebo takového narušení a pravděpodobnosti vzniku incidentu; |
| --- | --- |

9)

„rizikem“ potenciální ztráta nebo narušení v důsledku incidentu, přičemž toto riziko je vyjádřeno jako kombinace rozsahu takové ztráty nebo takového narušení a pravděpodobnosti vzniku incidentu;

| 10) | „kybernetickou hrozbou“ kybernetická hrozba ve smyslu čl. 2 bodu 8 nařízení (EU) 2019/881; |
| --- | --- |

10)

„kybernetickou hrozbou“ kybernetická hrozba ve smyslu čl. 2 bodu 8 nařízení (EU) 2019/881;

| 11) | „významnou kybernetickou hrozbou“ kybernetická hrozba, u níž lze na základě jejích technických charakteristik předpokládat, že má potenciál vážně ovlivnit sítě a informační systémy určitého subjektu nebo uživatelů služeb takového subjektu tím, že způsobí značnou hmotnou nebo nehmotnou újmu; |
| --- | --- |

11)

„významnou kybernetickou hrozbou“ kybernetická hrozba, u níž lze na základě jejích technických charakteristik předpokládat, že má potenciál vážně ovlivnit sítě a informační systémy určitého subjektu nebo uživatelů služeb takového subjektu tím, že způsobí značnou hmotnou nebo nehmotnou újmu;

| 12) | „produktem IKT“ produkt IKT ve smyslu čl. 2 bodu 12 nařízení (EU) 2019/881; |
| --- | --- |

12)

„produktem IKT“ produkt IKT ve smyslu čl. 2 bodu 12 nařízení (EU) 2019/881;

| 13) | „službou IKT“ služba IKT ve smyslu čl. 2 bodu 13 nařízení (EU) 2019/881; |
| --- | --- |

13)

„službou IKT“ služba IKT ve smyslu čl. 2 bodu 13 nařízení (EU) 2019/881;

| 14) | „procesem IKT“ proces IKT ve smyslu čl. 2 bodu 14 nařízení (EU) 2019/881; |
| --- | --- |

14)

„procesem IKT“ proces IKT ve smyslu čl. 2 bodu 14 nařízení (EU) 2019/881;

| 15) | „zranitelností“ slabá stránka, snížená odolnost nebo chyba produktů IKT nebo služeb IKT, která může být využita kybernetickou hrozbou; |
| --- | --- |

15)

„zranitelností“ slabá stránka, snížená odolnost nebo chyba produktů IKT nebo služeb IKT, která může být využita kybernetickou hrozbou;

| 16) | „normou“ norma ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 1025/2012 (29); |
| --- | --- |

16)

„normou“ norma ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 1025/2012 (29);

29

| 17) | „technickou specifikací“ technická specifikace ve smyslu čl. 2 bodu4 nařízení (EU) č. 1025/2012; |
| --- | --- |

17)

„technickou specifikací“ technická specifikace ve smyslu čl. 2 bodu4 nařízení (EU) č. 1025/2012;

| 18) | „výměnným uzlem internetu“ síťové zařízení umožňující propojení více než dvou nezávislých sítí (autonomních systémů), a to primárně pro účely umožnění výměny dat zasílaných prostřednictvím internetu; výměnný uzel internetu poskytuje propojení pouze autonomním systémům a nevyžaduje, aby data zasílaná prostřednictvím internetu mezi kterýmikoli dvěma zúčastněnými autonomními systémy procházela přes jakýkoli třetí autonomní systém, ani zasílaná data nemění ani žádným jiným způsobem do jejich zasílání nezasahuje; |
| --- | --- |

18)

„výměnným uzlem internetu“ síťové zařízení umožňující propojení více než dvou nezávislých sítí (autonomních systémů), a to primárně pro účely umožnění výměny dat zasílaných prostřednictvím internetu; výměnný uzel internetu poskytuje propojení pouze autonomním systémům a nevyžaduje, aby data zasílaná prostřednictvím internetu mezi kterýmikoli dvěma zúčastněnými autonomními systémy procházela přes jakýkoli třetí autonomní systém, ani zasílaná data nemění ani žádným jiným způsobem do jejich zasílání nezasahuje;

| 19) | „systémem překladu jmen domén“ nebo „DNS“ hierarchický distribuovaný systém překladu jmen domén, který umožňuje identifikaci internetových služeb a zdrojů a současně umožňuje, aby zařízení koncových uživatelů využívala služby směrování a připojení k internetu za účelem přístupu k těmto službám a zdrojům; |
| --- | --- |

19)

„systémem překladu jmen domén“ nebo „DNS“ hierarchický distribuovaný systém překladu jmen domén, který umožňuje identifikaci internetových služeb a zdrojů a současně umožňuje, aby zařízení koncových uživatelů využívala služby směrování a připojení k internetu za účelem přístupu k těmto službám a zdrojům;

| 20) | „provozovatelem služeb systému překladu jmen domén (DNS)“ nebo „provozovatelem DNS“ subjekt, který poskytuje:






  a) | veřejně dostupné rekurzívní služby pro překlad jmen domén koncovým uživatelům internetu; nebo |
| --- | --- | --- |

20)

„provozovatelem služeb systému překladu jmen domén (DNS)“ nebo „provozovatelem DNS“ subjekt, který poskytuje:

a)

veřejně dostupné rekurzívní služby pro překlad jmen domén koncovým uživatelům internetu; nebo

| b) | autoritativní služby pro překlad jmen domén pro použití třetí stranou, s výjimkou kořenových jmenných serverů; |
| --- | --- |

b)

autoritativní služby pro překlad jmen domén pro použití třetí stranou, s výjimkou kořenových jmenných serverů;

| 21) | „registrem domén nejvyšší úrovně“ nebo „registrem TLD“ subjekt, kterému byla delegována konkrétní doména nejvyšší úrovně (TLD) a je odpovědný za správu domén nejvyšší úrovně, včetně registrace jmen domén v rámci domén nejvyšší úrovně a technického provozu domén nejvyšší úrovně, včetně provozu jejích jmenných serverů, vedení jejích databází a distribuce souborů zón domén nejvyšší úrovně mezi jmennými servery, bez ohledu na to, zda kteroukoli z těchto operací provádí subjekt sám nebo je zajišťována externě, avšak s výjimkou situací, kdy jsou jména domén nejvyšší úrovně používána registrem pouze pro vlastní potřebu; |
| --- | --- |

21)

„registrem domén nejvyšší úrovně“ nebo „registrem TLD“ subjekt, kterému byla delegována konkrétní doména nejvyšší úrovně (TLD) a je odpovědný za správu domén nejvyšší úrovně, včetně registrace jmen domén v rámci domén nejvyšší úrovně a technického provozu domén nejvyšší úrovně, včetně provozu jejích jmenných serverů, vedení jejích databází a distribuce souborů zón domén nejvyšší úrovně mezi jmennými servery, bez ohledu na to, zda kteroukoli z těchto operací provádí subjekt sám nebo je zajišťována externě, avšak s výjimkou situací, kdy jsou jména domén nejvyšší úrovně používána registrem pouze pro vlastní potřebu;

| 22) | „subjektem poskytujícím služby registrace jmen domén“ registrátor nebo zástupce jednající jménem registrátorů, jako je poskytovatel služeb ochrany soukromí nebo zprostředkovatel registračních služeb nebo přeprodeje; |
| --- | --- |

22)

„subjektem poskytujícím služby registrace jmen domén“ registrátor nebo zástupce jednající jménem registrátorů, jako je poskytovatel služeb ochrany soukromí nebo zprostředkovatel registračních služeb nebo přeprodeje;

| 23) | „digitální službou“ služba ve smyslu čl. 1 odst. 1 písm. b) směrnice Evropského parlamentu a Rady (EU) 2015/1535 (30); |
| --- | --- |

23)

„digitální službou“ služba ve smyslu čl. 1 odst. 1 písm. b) směrnice Evropského parlamentu a Rady (EU) 2015/1535 (30);

30

| 24) | „službou vytvářející důvěru“ služba vytvářející důvěru ve smyslu čl. 3 bodu 16 nařízení (EU) č. 910/2014; |
| --- | --- |

24)

„službou vytvářející důvěru“ služba vytvářející důvěru ve smyslu čl. 3 bodu 16 nařízení (EU) č. 910/2014;

| 25) | „poskytovatelem služby vytvářející důvěru“ poskytovatel služeb vytvářejících důvěru ve smyslu čl. 3 bodu 19 nařízení (EU) č. 910/2014; |
| --- | --- |

25)

„poskytovatelem služby vytvářející důvěru“ poskytovatel služeb vytvářejících důvěru ve smyslu čl. 3 bodu 19 nařízení (EU) č. 910/2014;

| 26) | „kvalifikovanou službou vytvářející důvěru“ kvalifikovaná služba vytvářející důvěru ve smyslu čl. 3 bodu 17 nařízení (EU) č. 910/2014; |
| --- | --- |

26)

„kvalifikovanou službou vytvářející důvěru“ kvalifikovaná služba vytvářející důvěru ve smyslu čl. 3 bodu 17 nařízení (EU) č. 910/2014;

| 27) | „kvalifikovaným poskytovatelem služby vytvářející důvěru“ kvalifikovaný poskytovatel služby vytvářející důvěru podle definice v čl. 3 bodu 20 nařízení (EU) č. 910/2014; |
| --- | --- |

27)

„kvalifikovaným poskytovatelem služby vytvářející důvěru“ kvalifikovaný poskytovatel služby vytvářející důvěru podle definice v čl. 3 bodu 20 nařízení (EU) č. 910/2014;

| 28) | „on-line tržištěm“ on-line tržiště ve smyslu čl. 2 písm. n) směrnice Evropského parlamentu a Rady 2005/29/ES (31); |
| --- | --- |

28)

„on-line tržištěm“ on-line tržiště ve smyslu čl. 2 písm. n) směrnice Evropského parlamentu a Rady 2005/29/ES (31);

31

| 29) | „internetovým vyhledávačem“ internetový vyhledávač ve smyslu čl. 2 bodu 5 nařízení Evropského parlamentu a Rady (EU) 2019/1150 (32); |
| --- | --- |

29)

„internetovým vyhledávačem“ internetový vyhledávač ve smyslu čl. 2 bodu 5 nařízení Evropského parlamentu a Rady (EU) 2019/1150 (32);

32

| 30) | „službou cloud computingu“ digitální služba, která umožňuje samoobslužnou správu a široký vzdálený přístup k rozšiřitelnému a pružnému seskupení sdílitelných výpočetních zdrojů, včetně těch, které jsou rozmístěny na více místech; |
| --- | --- |

30)

„službou cloud computingu“ digitální služba, která umožňuje samoobslužnou správu a široký vzdálený přístup k rozšiřitelnému a pružnému seskupení sdílitelných výpočetních zdrojů, včetně těch, které jsou rozmístěny na více místech;

| 31) | „službou datového centra“ služba, která zahrnuje struktury nebo skupiny struktur určené k centralizovanému umístění, propojení a provozu IT a síťových zařízení poskytujících služby ukládání, zpracování a přepravy dat společně se všemi zařízeními a infrastrukturami pro distribuci energie a řízení prostředí; |
| --- | --- |

31)

„službou datového centra“ služba, která zahrnuje struktury nebo skupiny struktur určené k centralizovanému umístění, propojení a provozu IT a síťových zařízení poskytujících služby ukládání, zpracování a přepravy dat společně se všemi zařízeními a infrastrukturami pro distribuci energie a řízení prostředí;

| 32) | „sítí pro doručování obsahu“ síť geograficky distribuovaných serverů za účelem zajištění vysoké dostupnosti, přístupnosti nebo rychlého poskytování digitálního obsahu a služeb uživatelům internetu jménem poskytovatelů obsahu a služeb; |
| --- | --- |

32)

„sítí pro doručování obsahu“ síť geograficky distribuovaných serverů za účelem zajištění vysoké dostupnosti, přístupnosti nebo rychlého poskytování digitálního obsahu a služeb uživatelům internetu jménem poskytovatelů obsahu a služeb;

| 33) | „platformou sociálních sítí“ platforma, která koncovým uživatelům umožňuje vzájemné propojení, sdílení, objevování a komunikaci napříč různými zařízeními, zejména prostřednictvím chatů, příspěvků, videí a doporučení; |
| --- | --- |

33)

„platformou sociálních sítí“ platforma, která koncovým uživatelům umožňuje vzájemné propojení, sdílení, objevování a komunikaci napříč různými zařízeními, zejména prostřednictvím chatů, příspěvků, videí a doporučení;

| 34) | „zástupcem“ fyzická či právnická osoba usazená v Unii, výslovně pověřená, aby jednala jménem provozovatele DNS, registru domén nejvyšší úrovně, subjektu poskytujícího služby registrace jmen domén, poskytovatele služby cloud computingu, poskytovatele služeb datového centra, poskytovatele sítě pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, nebo poskytovatele on-line tržiště, internetového vyhledávače nebo služeb platforem sociálních sítí, který není usazen v Unii, přičemž vnitrostátní příslušný orgán nebo tým CSIRT může se zástupcem jednat namísto subjektu, pokud jde o povinnosti tohoto subjektu vyplývající z této směrnice; |
| --- | --- |

34)

„zástupcem“ fyzická či právnická osoba usazená v Unii, výslovně pověřená, aby jednala jménem provozovatele DNS, registru domén nejvyšší úrovně, subjektu poskytujícího služby registrace jmen domén, poskytovatele služby cloud computingu, poskytovatele služeb datového centra, poskytovatele sítě pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, nebo poskytovatele on-line tržiště, internetového vyhledávače nebo služeb platforem sociálních sítí, který není usazen v Unii, přičemž vnitrostátní příslušný orgán nebo tým CSIRT může se zástupcem jednat namísto subjektu, pokud jde o povinnosti tohoto subjektu vyplývající z této směrnice;

| 35) | „subjektem veřejné správy“ subjekt uznaný jako takový v členském státě v souladu s vnitrostátním právem, s výjimkou soudnictví, parlamentů a centrálních bank, který splňuje tato kritéria:






  a) | je založen za účelem spočívajícím v uspokojování potřeb veřejného zájmu a nemá průmyslovou nebo obchodní povahu; |
| --- | --- | --- |

35)

„subjektem veřejné správy“ subjekt uznaný jako takový v členském státě v souladu s vnitrostátním právem, s výjimkou soudnictví, parlamentů a centrálních bank, který splňuje tato kritéria:

a)

je založen za účelem spočívajícím v uspokojování potřeb veřejného zájmu a nemá průmyslovou nebo obchodní povahu;

| b) | má právní subjektivitu nebo je ze zákona oprávněn jednat jménem jiného subjektu s právní subjektivitou; |
| --- | --- |

b)

má právní subjektivitu nebo je ze zákona oprávněn jednat jménem jiného subjektu s právní subjektivitou;

| c) | je financován převážně státem, regionálními orgány nebo jinými veřejnoprávními subjekty, podléhá řídicímu dohledu těchto orgánů nebo subjektů, nebo je v jeho správním, řídícím nebo dozorčím orgánu více než polovina členů jmenována státem, regionálními orgány nebo jinými veřejnoprávními subjekty; |
| --- | --- |

c)

je financován převážně státem, regionálními orgány nebo jinými veřejnoprávními subjekty, podléhá řídicímu dohledu těchto orgánů nebo subjektů, nebo je v jeho správním, řídícím nebo dozorčím orgánu více než polovina členů jmenována státem, regionálními orgány nebo jinými veřejnoprávními subjekty;

| d) | má pravomoc vydávat fyzickým nebo právnickým osobám správní nebo regulační rozhodnutí ovlivňující jejich práva při přeshraničním pohybu osob, zboží, služeb nebo kapitálu; |
| --- | --- |

d)

má pravomoc vydávat fyzickým nebo právnickým osobám správní nebo regulační rozhodnutí ovlivňující jejich práva při přeshraničním pohybu osob, zboží, služeb nebo kapitálu;

| 36) | „veřejnou sítí elektronických komunikací“ veřejná síť elektronických komunikací ve smyslu čl. 2 bodu 8 směrnice (EU) 2018/1972; |
| --- | --- |

36)

„veřejnou sítí elektronických komunikací“ veřejná síť elektronických komunikací ve smyslu čl. 2 bodu 8 směrnice (EU) 2018/1972;

| 37) | „službou elektronických komunikací“ služba elektronických komunikací ve smyslu čl. 2 bodu 4 směrnice (EU) 2018/1972; |
| --- | --- |

37)

„službou elektronických komunikací“ služba elektronických komunikací ve smyslu čl. 2 bodu 4 směrnice (EU) 2018/1972;

| 38) | „subjektem“ fyzická nebo právnická osoba vytvořená a uznaná jako taková podle vnitrostátního práva v místě svého usazení, která může svým jménem vykonávat práva a podléhat povinnostem; |
| --- | --- |

38)

„subjektem“ fyzická nebo právnická osoba vytvořená a uznaná jako taková podle vnitrostátního práva v místě svého usazení, která může svým jménem vykonávat práva a podléhat povinnostem;

| 39) | „poskytovatelem řízených služeb“ subjekt, který poskytuje služby související s instalací, správou, provozem nebo údržbou produktů IKT, sítí, infrastruktury, aplikací nebo jakýchkoli jiných sítí a informačních systémů, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny buď v prostorách zákazníků, nebo na dálku; |
| --- | --- |

39)

„poskytovatelem řízených služeb“ subjekt, který poskytuje služby související s instalací, správou, provozem nebo údržbou produktů IKT, sítí, infrastruktury, aplikací nebo jakýchkoli jiných sítí a informačních systémů, a to prostřednictvím asistence nebo aktivní správy, které jsou prováděny buď v prostorách zákazníků, nebo na dálku;

| 40) | „poskytovatelem řízených bezpečnostních služeb“ poskytovatel řízených služeb, který provádí činnosti související s řízením kybernetických bezpečnostních rizik nebo poskytuje asistenci pro tyto činnosti; |
| --- | --- |

40)

„poskytovatelem řízených bezpečnostních služeb“ poskytovatel řízených služeb, který provádí činnosti související s řízením kybernetických bezpečnostních rizik nebo poskytuje asistenci pro tyto činnosti;

| 41) | „výzkumnou organizací“ subjekt, jehož hlavním cílem je provádět aplikovaný výzkum nebo experimentální vývoj za účelem využití výsledků tohoto výzkumu pro komerční účely, který ovšem nezahrnuje vzdělávací instituce. |
| --- | --- |

41)

„výzkumnou organizací“ subjekt, jehož hlavním cílem je provádět aplikovaný výzkum nebo experimentální vývoj za účelem využití výsledků tohoto výzkumu pro komerční účely, který ovšem nezahrnuje vzdělávací instituce.

KAPITOLA II

KOORDINOVANÉ RÁMCE KYBERNETICKÉ BEZPEČNOSTI

Článek 7

Národní strategie kybernetické bezpečnosti

1.   Každý členský stát přijme národní strategii kybernetické bezpečnosti, která stanovuje strategické cíle, zdroje potřebné k dosažení těchto cílů a příslušné politiky a regulační opatření s cílem dosáhnout vysoké úrovně kybernetické bezpečnosti a udržovat ji. Národní strategie kybernetické bezpečnosti zahrnuje:

| a) | cíle a priority strategie kybernetické bezpečnosti členského státu týkající se zejména odvětví uvedených v přílohách I a II; |
| --- | --- |

a)

cíle a priority strategie kybernetické bezpečnosti členského státu týkající se zejména odvětví uvedených v přílohách I a II;

| b) | rámec správy k dosažení těchto cílů a priorit uvedených v tomto odstavci písm. a), včetně politik uvedených v odstavci 2; |
| --- | --- |

b)

rámec správy k dosažení těchto cílů a priorit uvedených v tomto odstavci písm. a), včetně politik uvedených v odstavci 2;

| c) | rámec správy, který vyjasňuje úlohy a povinnosti příslušných zúčastněných stran na vnitrostátní úrovni, na němž se zakládá spolupráce a koordinace na vnitrostátní úrovni mezi příslušnými orgány, jednotnými kontaktními místy a týmy CSIRT podle této směrnice, jakož i koordinace a spolupráce mezi těmito subjekty a příslušnými orgány podle odvětvových právních aktů Unie; |
| --- | --- |

c)

rámec správy, který vyjasňuje úlohy a povinnosti příslušných zúčastněných stran na vnitrostátní úrovni, na němž se zakládá spolupráce a koordinace na vnitrostátní úrovni mezi příslušnými orgány, jednotnými kontaktními místy a týmy CSIRT podle této směrnice, jakož i koordinace a spolupráce mezi těmito subjekty a příslušnými orgány podle odvětvových právních aktů Unie;

| d) | mechanismus za účelem určení relevantních zařízení a hodnocení rizik v tomto členském státě; |
| --- | --- |

d)

mechanismus za účelem určení relevantních zařízení a hodnocení rizik v tomto členském státě;

| e) | určení opatření zajišťujících připravenost, schopnost reakce a obnovu při incidentech, včetně spolupráce veřejného a soukromého sektoru; |
| --- | --- |

e)

určení opatření zajišťujících připravenost, schopnost reakce a obnovu při incidentech, včetně spolupráce veřejného a soukromého sektoru;

| f) | seznam různých orgánů a zúčastněných stran zapojených do provádění národní strategie kybernetické bezpečnosti; |
| --- | --- |

f)

seznam různých orgánů a zúčastněných stran zapojených do provádění národní strategie kybernetické bezpečnosti;

| g) | rámec politiky pro lepší koordinaci mezi příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2557 pro účely sdílení informací o rizicích, kybernetických hrozbách a incidentech a o jiných než kybernetických rizicích, hrozbách a incidentech, případně pro výkon úkolů v oblasti dohledu; |
| --- | --- |

g)

rámec politiky pro lepší koordinaci mezi příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2557 pro účely sdílení informací o rizicích, kybernetických hrozbách a incidentech a o jiných než kybernetických rizicích, hrozbách a incidentech, případně pro výkon úkolů v oblasti dohledu;

| h) | plán, včetně nezbytných opatření, ke zlepšení obecné úrovně povědomí občanů o kybernetické bezpečnosti. |
| --- | --- |

h)

plán, včetně nezbytných opatření, ke zlepšení obecné úrovně povědomí občanů o kybernetické bezpečnosti.

2.   V rámci národní strategie kybernetické bezpečnosti přijmou členské státy zejména politiky:

| a) | zaměřené na kybernetickou bezpečnost v dodavatelském řetězci pro produkty IKT a služby IKT využívané subjekty k poskytování služeb; |
| --- | --- |

a)

zaměřené na kybernetickou bezpečnost v dodavatelském řetězci pro produkty IKT a služby IKT využívané subjekty k poskytování služeb;

| b) | týkající se zařazení a specifikace požadavků na kybernetickou bezpečnost produktů IKT a služeb IKT při zadávání veřejných zakázek, a to i pokud jde o certifikaci kybernetické bezpečnosti, šifrování a využívání produktů kybernetické bezpečnosti s otevřeným zdrojovým kódem; |
| --- | --- |

b)

týkající se zařazení a specifikace požadavků na kybernetickou bezpečnost produktů IKT a služeb IKT při zadávání veřejných zakázek, a to i pokud jde o certifikaci kybernetické bezpečnosti, šifrování a využívání produktů kybernetické bezpečnosti s otevřeným zdrojovým kódem;

| c) | týkající se řešení zranitelností, včetně prosazování a usnadňování koordinovaného zveřejňovaní zranitelností podle čl. 12 odst. 1; |
| --- | --- |

c)

týkající se řešení zranitelností, včetně prosazování a usnadňování koordinovaného zveřejňovaní zranitelností podle čl. 12 odst. 1;

| d) | týkající se udržení celkové dostupnosti, integrity a důvěrnosti veřejného jádra otevřeného internetu, případně včetně kybernetické bezpečnosti podmořských komunikačních kabelů; |
| --- | --- |

d)

týkající se udržení celkové dostupnosti, integrity a důvěrnosti veřejného jádra otevřeného internetu, případně včetně kybernetické bezpečnosti podmořských komunikačních kabelů;

| e) | podporující vývoj a integraci příslušných pokročilých technologií zaměřených na zavádění nejmodernějších opatření k řízení kybernetických bezpečnostních rizik; |
| --- | --- |

e)

podporující vývoj a integraci příslušných pokročilých technologií zaměřených na zavádění nejmodernějších opatření k řízení kybernetických bezpečnostních rizik;

| f) | prosazující a rozvíjející vzdělávání a školení v oblasti kybernetické bezpečnosti, dovedností v této oblasti, zvyšování informovanosti a výzkumné a vývojové iniciativy, jakož i pokyny k osvědčeným postupům a kontrolám v oblasti kybernetické hygieny, jež jsou určeny občanům, zúčastněným stranám a subjektům; |
| --- | --- |

f)

prosazující a rozvíjející vzdělávání a školení v oblasti kybernetické bezpečnosti, dovedností v této oblasti, zvyšování informovanosti a výzkumné a vývojové iniciativy, jakož i pokyny k osvědčeným postupům a kontrolám v oblasti kybernetické hygieny, jež jsou určeny občanům, zúčastněným stranám a subjektům;

| g) | na podporu akademických a výzkumných institucí při vývoji, zlepšování a prosazování zavádění nástrojů kybernetické bezpečnosti a zabezpečené síťové infrastruktury; |
| --- | --- |

g)

na podporu akademických a výzkumných institucí při vývoji, zlepšování a prosazování zavádění nástrojů kybernetické bezpečnosti a zabezpečené síťové infrastruktury;

| h) | zahrnující příslušné postupy a vhodné nástroje pro sdílení informací na podporu dobrovolného sdílení informací týkajících se kybernetické bezpečnosti mezi subjekty v souladu s právem Unie; |
| --- | --- |

h)

zahrnující příslušné postupy a vhodné nástroje pro sdílení informací na podporu dobrovolného sdílení informací týkajících se kybernetické bezpečnosti mezi subjekty v souladu s právem Unie;

| i) | pro posílení kybernetické odolnosti a základní kybernetické hygieny malých a středních podniků, zejména těch, které nespadají do oblasti působnosti této směrnice, poskytováním snadno dostupných pokynů a pomoci pro jejich specifické potřeby; |
| --- | --- |

i)

pro posílení kybernetické odolnosti a základní kybernetické hygieny malých a středních podniků, zejména těch, které nespadají do oblasti působnosti této směrnice, poskytováním snadno dostupných pokynů a pomoci pro jejich specifické potřeby;

| j) | prosazující aktivní kybernetickou ochranu. |
| --- | --- |

j)

prosazující aktivní kybernetickou ochranu.

3.   Členské státy oznámí své národní strategie kybernetické bezpečnosti Komisi do tří měsíců od jejich přijetí. Členské státy mohou z těchto oznámení vyloučit informace, které se týkají jejich národní bezpečnosti.

4.   Členské státy pravidelně a alespoň každých pět let posuzují své národní strategie kybernetické bezpečnosti podle klíčových ukazatelů výkonnosti a v případě potřeby je aktualizují. Při zpracování nebo aktualizaci národní strategie kybernetické bezpečnosti a klíčových ukazatelů výkonnosti pro posouzení strategie s cílem uvést je do souladu s požadavky a povinnostmi stanovenými v této směrnici poskytuje členským státům na jejich žádost součinnost agentura ENISA.

Článek 8

Příslušné orgány a jednotná kontaktní místa

1.   Každý členský stát určí nebo zřídí jeden nebo více příslušných orgánů odpovědných za kybernetickou bezpečnost a úkoly dohledu podle kapitoly VII (dále jen „příslušné orgány“).

2.   Příslušné orgány podle odstavce 1 dohlížejí na provádění této směrnice na vnitrostátní úrovni.

3.   Každý členský stát určí nebo zřídí jednotné kontaktní místo. Určí-li nebo zřídí-li členský stát pouze jeden příslušný orgán podle odstavce 1, je tento orgán rovněž jednotným kontaktním místem pro tento členský stát.

4.   Každé jednotné kontaktní místo plní styčnou funkci s cílem zajistit přeshraniční spolupráci orgánů svého členského státu s příslušnými orgány jiných členských států a případně s Komisí a agenturou ENISA, a také meziodvětvovou spolupráci s jinými příslušnými orgány ve svém členském státě.

5.   Členské státy zajistí, aby jejich příslušné orgány a jednotná kontaktní místa disponovaly odpovídajícími zdroji pro účinné a účelné plnění svěřených úkolů, a tím pro naplnění cílů této směrnice.

6.   Každý členský stát Komisi oznámí bez zbytečného odkladu, o jaký příslušný orgán určený podle odstavce 1 a jaké jednotné kontaktní místo určené podle odstavce 3 se jedná, oznámí úkoly těchto orgánů a jakékoli následné změny, které se jich týkají. Každý členský stát zveřejní, o jaký příslušný orgán se jedná. Komise zveřejní seznam jednotných kontaktních míst.

Článek 9

Národní rámce řešení kybernetických krizí

1.   Každý členský stát určí nebo zřídí jeden nebo více příslušných orgánů odpovědných za řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí (dále jen „orgány pro řešení kybernetických krizí“). Členské státy zajistí, aby tyto orgány disponovaly odpovídajícími zdroji pro účinné a účelné plnění svěřených úkolů. Členské státy zajistí soudržnost se stávajícími rámci pro obecné vnitrostátní krizové řízení.

2.   Pokud členský stát určí nebo zřídí více než jeden příslušný orgán pro řešení kybernetických krizí podle odstavce 1, jasně uvede, který z těchto orgánů bude působit jako koordinátor pro řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí.

3.   Každý členský stát určí kapacity, prostředky a postupy, které mohou být nasazeny v případě krize pro účely této směrnice.

4.   Každý členský stát přijme národní plán reakce na rozsáhlé kybernetické bezpečnostní incidenty a krize, v němž budou stanoveny cíle a ujednání řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí. V uvedeném plánu se stanoví zejména:

| a) | cíle vnitrostátních opatření a činností v oblasti připravenosti; |
| --- | --- |

a)

cíle vnitrostátních opatření a činností v oblasti připravenosti;

| b) | úkoly a odpovědnost orgánů pro řešení kybernetických krizí; |
| --- | --- |

b)

úkoly a odpovědnost orgánů pro řešení kybernetických krizí;

| c) | postupy řešení kybernetické krize, včetně jejich začlenění do obecných vnitrostátních rámců pro krizové řízení, a kanály pro výměnu informací; |
| --- | --- |

c)

postupy řešení kybernetické krize, včetně jejich začlenění do obecných vnitrostátních rámců pro krizové řízení, a kanály pro výměnu informací;

| d) | vnitrostátní opatření v oblasti připravenosti včetně cvičení a školení; |
| --- | --- |

d)

vnitrostátní opatření v oblasti připravenosti včetně cvičení a školení;

| e) | příslušné veřejné a soukromé zúčastněné strany a zapojená infrastruktura; |
| --- | --- |

e)

příslušné veřejné a soukromé zúčastněné strany a zapojená infrastruktura;

| f) | vnitrostátní postupy a ujednání mezi příslušnými vnitrostátními orgány a subjekty, aby byla zajištěna účinná účast členského státu a podpora koordinovaného řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí na úrovni Unie. |
| --- | --- |

f)

vnitrostátní postupy a ujednání mezi příslušnými vnitrostátními orgány a subjekty, aby byla zajištěna účinná účast členského státu a podpora koordinovaného řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí na úrovni Unie.

5.   Do tří měsíců od určení nebo zřízení orgánu pro řešení kybernetických krizí podle odstavce 1 oznámí každý členský stát Komisi, o jaký orgán se jedná, a veškeré následné změny, které se ho týkají. Členské státy předloží Komisi a Evropské síti styčných organizací pro řešení kybernetických krizí (dále jen „EU-CyCLONe“) příslušné informace o požadavcích stanovených v odstavci 4, totiž o svých národních plánech reakce na rozsáhlé kybernetické bezpečnostní incidenty a krize, do tří měsíců od přijetí těchto plánů. Členské státy mohou vyloučit informace, pokud je takové vyloučení nezbytné pro jejich národní bezpečnost.

Článek 10

Týmy pro reakce na počítačové bezpečnostní incidenty (týmy CSIRT)

1.   Každý členský stát určí nebo zřídí jeden nebo více týmů CSIRT. Týmy CSIRT mohou být určeny nebo zřízeny v rámci příslušného orgánu. Týmy CSIRT splňují požadavky uvedené v čl. 11 odst. 1, pokrývají alespoň odvětví, pododvětví a druhy subjektů uvedené v přílohách I a II a jsou odpovědné za řešení incidentů podle řádně vymezeného postupu.

2.   Členské státy zajistí, aby měl každý tým CSIRT odpovídající zdroje pro účinné plnění svých úkolů podle čl. 11 odst. 3.

3.   Členské státy zajistí, aby měl každý tým CSIRT k dispozici přístup k odpovídající, bezpečné a odolné komunikační a informační infrastruktuře pro výměnu informací se základními a důležitými subjekty a dalšími příslušnými zúčastněnými stranami. Za tímto účelem členské státy zajistí, aby každý tým CSIRT přispíval k zavedení bezpečných nástrojů pro sdílení informací.

4.   Týmy CSIRT spolupracují a v příslušných případech si vyměňují příslušné informace podle článku 29 s odvětvovými nebo meziodvětvovými komunitami základních a důležitých subjektů.

5.   Týmy CSIRT se účastní vzájemného hodnocení pořádaného v souladu s článkem 19.

6.   Členské státy zajistí, aby jejich týmy CSIRT v rámci sítě CSIRT účinně, účelně a spolehlivě spolupracovaly.

7.   Týmy CSIRT mohou navázat spolupráci s národními týmy pro reakce na počítačové bezpečnostní incidenty ze třetích zemí. Členské státy v rámci takové spolupráce usnadňují účinnou, účelnou a bezpečnou výměnu informací s těmito národními týmy pro reakce na počítačové bezpečnostní incidenty ze třetích zemí, a to za použití příslušných protokolů pro sdílení informací, včetně TLP protokolu. Týmy CSIRT si mohou v souladu s právem Unie v oblasti ochrany údajů vyměňovat relevantní informace s národními týmy pro reakce na počítačové bezpečnostní incidenty ze třetích zemí, včetně osobních údajů.

8.   Týmy CSIRT mohou spolupracovat s národními týmy pro reakci na počítačové bezpečnostní incidenty ze třetích zemí nebo s obdobnými subjekty ze třetích zemí, zejména za účelem poskytování pomoci v oblasti kybernetické bezpečnosti.

9.   Každý členský stát oznámí Komisi bez zbytečného odkladu identifikační údaje týmu CSIRT podle odstavce 1 tohoto článku a informuje ji o týmu CSIRT, který byl určen koordinátorem podle čl. 12 odst. 1, o úkolech, jimiž byly pověřeny v souvislosti se základními a důležitými subjekty a o jakýchkoli následných změnách, které se jich týkají.

10.   Členské státy si mohou při vytváření svých týmů CSIRT vyžádat pomoc agentury ENISA.

Článek 11

Požadavky na týmy CSIRT, jejich technické dovednosti a úkoly

1.   Týmy CSIRT splňují tyto požadavky:

| a) | týmy CSIRT zajišťují vysokou úroveň dostupnosti svých komunikačních kanálů tím, že předchází kritickým místům selhání a disponují několika způsoby, jimiž mohou kontaktovat ostatní a jimiž lze kontaktovat je, a to kdykoli; jednoznačně vymezí komunikační kanály a oznámí je spolupracujícím partnerům a subjektům spadajícím do jejich působnosti; |
| --- | --- |

a)

týmy CSIRT zajišťují vysokou úroveň dostupnosti svých komunikačních kanálů tím, že předchází kritickým místům selhání a disponují několika způsoby, jimiž mohou kontaktovat ostatní a jimiž lze kontaktovat je, a to kdykoli; jednoznačně vymezí komunikační kanály a oznámí je spolupracujícím partnerům a subjektům spadajícím do jejich působnosti;

| b) | pracoviště týmů CSIRT a jejich podpůrné informační systémy se nacházejí na zabezpečeném místě; |
| --- | --- |

b)

pracoviště týmů CSIRT a jejich podpůrné informační systémy se nacházejí na zabezpečeném místě;

| c) | týmy CSIRT jsou vybaveny vhodným systémem řízení a směrování požadavků, zejména pro usnadnění jejich účinného a účelného předávání; |
| --- | --- |

c)

týmy CSIRT jsou vybaveny vhodným systémem řízení a směrování požadavků, zejména pro usnadnění jejich účinného a účelného předávání;

| d) | týmy CSIRT zajišťují důvěrnost a důvěryhodnost svých činností; |
| --- | --- |

d)

týmy CSIRT zajišťují důvěrnost a důvěryhodnost svých činností;

| e) | týmy CSIRT jsou náležitě personálně obsazeny tak, aby jejich služby byly kdykoli k dispozici, a zajistí odpovídající vyškolení svých pracovníků; |
| --- | --- |

e)

týmy CSIRT jsou náležitě personálně obsazeny tak, aby jejich služby byly kdykoli k dispozici, a zajistí odpovídající vyškolení svých pracovníků;

| f) | týmy CSIRT jsou vybaveny redundantními systémy a záložním pracovním prostorem pro zajištění kontinuity svých služeb; |
| --- | --- |

f)

týmy CSIRT jsou vybaveny redundantními systémy a záložním pracovním prostorem pro zajištění kontinuity svých služeb;

Týmy CSIRT se mohou zapojovat do mezinárodních sítí pro spolupráci.

2.   Členské státy zajistí, aby jejich týmy CSIRT společně měly technické dovednosti potřebné k plnění úkolů uvedených v odstavci 3. Členské státy zajistí, aby byly jejich týmům CSIRT přiděleny dostatečné zdroje s cílem zajistit odpovídající personální obsazení, které jim umožní rozvoj jejich technických kapacit.

3.   Týmy CSIRT mají tyto úkoly:

| a) | monitorovat a analyzovat kybernetické hrozby, zranitelnosti a incidenty na vnitrostátní úrovni a na žádost poskytovat pomoc dotčeným základním a důležitým subjektům s monitorováním jejich sítí a informačních systémů v reálném čase nebo v téměř reálném čase; |
| --- | --- |

a)

monitorovat a analyzovat kybernetické hrozby, zranitelnosti a incidenty na vnitrostátní úrovni a na žádost poskytovat pomoc dotčeným základním a důležitým subjektům s monitorováním jejich sítí a informačních systémů v reálném čase nebo v téměř reálném čase;

| b) | poskytovat včasná varování a upozornění, oznamovat a šířit informace o kybernetických hrozbách, zranitelnostech a incidentech určené dotčeným základním a důležitým subjektům, příslušným orgánům a dalším příslušným zúčastněným stranám, pokud možno v téměř reálném čase; |
| --- | --- |

b)

poskytovat včasná varování a upozornění, oznamovat a šířit informace o kybernetických hrozbách, zranitelnostech a incidentech určené dotčeným základním a důležitým subjektům, příslušným orgánům a dalším příslušným zúčastněným stranám, pokud možno v téměř reálném čase;

| c) | reagovat na incidenty a případně poskytovat pomoc dotčeným základním a důležitým subjektům; |
| --- | --- |

c)

reagovat na incidenty a případně poskytovat pomoc dotčeným základním a důležitým subjektům;

| d) | shromažďovat a analyzovat forenzní data a poskytovat dynamické analýzy rizik a incidentů a přehled o situaci v oblasti kybernetické bezpečnosti; |
| --- | --- |

d)

shromažďovat a analyzovat forenzní data a poskytovat dynamické analýzy rizik a incidentů a přehled o situaci v oblasti kybernetické bezpečnosti;

| e) | provádět proaktivní skenování sítí a informačních systémů základního nebo důležitého subjektu, který o to požádal, s cílem odhalit zranitelnosti s potenciálním významným dopadem; |
| --- | --- |

e)

provádět proaktivní skenování sítí a informačních systémů základního nebo důležitého subjektu, který o to požádal, s cílem odhalit zranitelnosti s potenciálním významným dopadem;

| f) | podílet se na síti CSIRT a poskytovat v rámci svých kapacit a pravomocí vzájemnou pomoc dalším členům sítě CSIRT na jejich žádost; |
| --- | --- |

f)

podílet se na síti CSIRT a poskytovat v rámci svých kapacit a pravomocí vzájemnou pomoc dalším členům sítě CSIRT na jejich žádost;

| g) | v příslušných případech působit jakožto koordinátor pro účely koordinovaného zveřejňování zranitelností podle čl. 12 odst. 1; |
| --- | --- |

g)

v příslušných případech působit jakožto koordinátor pro účely koordinovaného zveřejňování zranitelností podle čl. 12 odst. 1;

| h) | podporovat zavádění bezpečných nástrojů pro sdílení informací podle čl. 10 odst. 3. |
| --- | --- |

h)

podporovat zavádění bezpečných nástrojů pro sdílení informací podle čl. 10 odst. 3.

Týmy CSIRT mohou provádět proaktivní a neintruzivní skenování veřejně přístupných sítí a informačních systémů základních a důležitých subjektů. Toto skenování se provádí s cílem odhalit zranitelné nebo nezabezpečeně konfigurované sítě a informační systémy a informovat dotčené subjekty. Toto skenování nesmí mít negativní dopad na fungování služeb subjektů.

Při plnění úkolů uvedených v prvním pododstavci mohou týmy CSIRT některé úkoly upřednostnit na základě přístupu založeného na posouzení rizik.

4.   Týmy CSIRT navážou spolupráci s příslušnými zúčastněnými stranami v soukromém sektoru za účelem plnění cílů této směrnice.

5.   V zájmu usnadnění spolupráce uvedené v odstavci 4 prosazují týmy CSIRT přijetí a používání společných či standardních postupů, klasifikačních schémat a taxonomií v oblasti:

| a) | postupů řešení incidentů; |
| --- | --- |

a)

postupů řešení incidentů;

| b) | krizového řízení a |
| --- | --- |

b)

krizového řízení a

| c) | koordinovaného zveřejňování zranitelností podle čl. 12 odst. 1. |
| --- | --- |

c)

koordinovaného zveřejňování zranitelností podle čl. 12 odst. 1.

Článek 12

Koordinované zveřejňování zranitelností a Evropská databáze zranitelností

1.   Každý členský stát určí jeden ze svých týmů CSIRT jakožto koordinátora za účelem koordinovaného zveřejňování zranitelností. Tým CSIRT určený jakožto koordinátor vystupuje jako důvěryhodný zprostředkovatel, který v případě potřeby a na žádost kterékoli strany usnadňuje interakci mezi fyzickou nebo právnickou osobou oznamující zranitelnost a výrobcem nebo poskytovatelem případných zranitelných produktů IKT nebo služeb IKT. Mezi úkoly týmu CSIRT, který byl určen jakožto koordinátor, náleží:

| a) | identifikace a kontaktování dotčených subjektů; |
| --- | --- |

a)

identifikace a kontaktování dotčených subjektů;

| b) | pomoc fyzickým nebo právnickým osobám oznamujícím zranitelnost; a |
| --- | --- |

b)

pomoc fyzickým nebo právnickým osobám oznamujícím zranitelnost; a

| c) | jednání o lhůtách pro zveřejnění a řešení zranitelností, které mají dopad na více subjektů. |
| --- | --- |

c)

jednání o lhůtách pro zveřejnění a řešení zranitelností, které mají dopad na více subjektů.

Členské státy zajistí, aby fyzické nebo právnické osoby mohly týmu CSIRT, který byl určen jakožto koordinátor, oznámit zranitelnost na požádání anonymně. Tým CSIRT, který byl určen jakožto koordinátor, zajistí, aby byla s ohledem na oznámenou zranitelnost provedena s náležitou péčí následná opatření, a zajistí anonymitu fyzické nebo právnické osoby oznamující zranitelnost. Pokud by oznámená zranitelnost mohla mít významný dopad na subjekty ve více než jednom členském státě, spolupracují týmy CSIRT, které byly určeny jakožto koordinátoři, z každého dotčeného členského státu v případě potřeby s ostatními týmy CSIRT, které byly určeny jakožto koordinátoři, v rámci sítě CSIRT.

2.   Agentura ENISA po konzultaci se skupinou pro spolupráci vytvoří a spravuje Evropskou databázi zranitelností. Za tímto účelem agentura ENISA zřídí a spravuje informační systémy, politiky a postupy a přijme technická a organizační opatření nezbytná k zajištění bezpečnosti a integrity Evropské databáze zranitelností s cílem zejména umožnit subjektům bez ohledu na to, zda se na ně vztahuje oblast působnosti této směrnice, a jejich dodavatelům sítí a informačních systémů dobrovolně oznamovat a registrovat veřejně známé zranitelnosti v produktech IKT nebo službách IKT. Přístup k informacím o zranitelnostech uvedeným v Evropské databázi zranitelností je poskytnut všem zúčastněným stranám. V této databázi jsou uvedeny:

| a) | informace popisující zranitelnost; |
| --- | --- |

a)

informace popisující zranitelnost;

| b) | zasažené produkty IKT nebo služby IKT, závažnost této zranitelnosti z hlediska okolností, za nichž může být využita; |
| --- | --- |

b)

zasažené produkty IKT nebo služby IKT, závažnost této zranitelnosti z hlediska okolností, za nichž může být využita;

| c) | dostupnost příslušných oprav, a pokud opravy nejsou dostupné, pokyny poskytnuté příslušnými orgány nebo týmy CSIRT a určené uživatelům zranitelných produktů IKT a služeb IKT ohledně toho, jak mohou být rizika vyplývající ze zveřejněných zranitelností zmírněna. |
| --- | --- |

c)

dostupnost příslušných oprav, a pokud opravy nejsou dostupné, pokyny poskytnuté příslušnými orgány nebo týmy CSIRT a určené uživatelům zranitelných produktů IKT a služeb IKT ohledně toho, jak mohou být rizika vyplývající ze zveřejněných zranitelností zmírněna.

Článek 13

Spolupráce na vnitrostátní úrovni

1.   Pokud existují příslušné orgány, jednotné kontaktní místo a tým CSIRT téhož členského státu odděleně, při plnění povinností stanovených touto směrnicí vzájemně spolupracují.

2.   Členské státy zajistí, aby jejich týmy CSIRT, nebo ve vhodných případech jejich příslušné orgány, obdržely oznámení o významných incidentech podle článku 23 a o incidentech, kybernetických hrozbách a významných událostech podle článku 30.

3.   Členské státy zajistí, aby jejich týmy CSIRT, nebo ve vhodných případech jejich příslušné orgány, informovaly jejich jednotná kontaktní místa o oznámeních o incidentech, kybernetických hrozbách a významných událostech, která byla podána podle této směrnice.

4.   S cílem zajistit účinné plnění úkolů a povinností příslušných orgánů, jednotných kontaktních míst a týmů CSIRT zajistí členské státy v co největší možné míře vhodnou spolupráci mezi těmito subjekty a donucovacími orgány, orgány pro ochranu osobních údajů, vnitrostátními orgány podle nařízení (ES) č. 300/2008 a (EU) 2018/1139, orgány dohledu podle nařízení (EU) č. 910/2014, příslušnými orgány podle nařízení (EU) 2022/2554, vnitrostátními regulačními orgány podle směrnice (EU) 2018/1972, příslušnými orgány podle směrnice (EU) 2022/2557, a příslušnými orgány podle dalších odvětvových právních aktů Unie v daném členském státě.

5.   Členské státy zajistí, aby jejich příslušné orgány podle této směrnice a jejich příslušné orgány podle směrnice (EU) 2022/2557spolupracovaly a pravidelně si vyměňovaly informace o určení kritických subjektů, o rizicích, kybernetických hrozbách a incidentech, jakož i o jiných než kybernetických rizicích, hrozbách a incidentech postihujících základní subjekty určené jakožto kritické podle směrnice (EU) 2022/2557, jakož i o opatřeních přijatých v reakci na tato rizika, hrozby a incidenty. Členské státy rovněž zajistí, aby si jejich příslušné orgány podle této směrnice a jejich příslušné orgány podle nařízení (EU) č. 910/2014, nařízení (EU) 2022/2554a směrnice (EU) 2018/1972 pravidelně vyměňovaly relevantní informace, včetně informací o příslušných incidentech a kybernetických hrozbách.

6.   Členské státy zjednoduší poskytování informací technickými prostředky pro oznamování podle článků 23 a 30.

KAPITOLA III

SPOLUPRÁCE NA UNIJNÍ A MEZINÁRODNÍ ÚROVNI

Článek 14

Skupina pro spolupráci

1.   S cílem podporovat a usnadňovat strategickou spolupráci a výměnu informací mezi členskými státy a posilovat důvěru se zřizuje skupina pro spolupráci.

2.   Skupina pro spolupráci vykonává své úkoly na základě dvouletých pracovních programů, jak je uvedeno v odstavci 7.

3.   Skupina pro spolupráci je tvořena zástupci členských států, Komise a agentury ENISA. Činností skupiny pro spolupráci se jako pozorovatel účastní Evropská služba pro vnější činnost. Činností skupiny pro spolupráci se mohou v souladu s čl. 47 odst. 1 nařízení (EU) 2022/2554účastnit evropské orgány dohledu a příslušné orgány podle uvedeného nařízení.

V příslušném případě může skupina pro spolupráci přizvat ke spolupráci Evropský parlament a zástupce příslušných zúčastněných stran.

Sekretariát zajišťuje Komise.

4.   Skupina pro spolupráci má tyto úkoly:

| a) | poskytovat pokyny příslušným orgánům v souvislosti s prováděním této směrnice ve vnitrostátním právu a jejím uplatňováním; |
| --- | --- |

a)

poskytovat pokyny příslušným orgánům v souvislosti s prováděním této směrnice ve vnitrostátním právu a jejím uplatňováním;

| b) | poskytovat pokyny příslušným orgánům v souvislosti s vypracováváním a prováděním politik v oblasti koordinovaného zveřejňování zranitelností, jak je uvedeno v čl. 7 odst. 2 písm. c); |
| --- | --- |

b)

poskytovat pokyny příslušným orgánům v souvislosti s vypracováváním a prováděním politik v oblasti koordinovaného zveřejňování zranitelností, jak je uvedeno v čl. 7 odst. 2 písm. c);

| c) | vyměňovat si osvědčené postupy a informace související s uplatňováním této směrnice, včetně informací souvisejících s kybernetickými hrozbami, incidenty, zranitelnostmi, významnými událostmi, iniciativami zaměřenými na zvyšování povědomí, školením, cvičeními a dovednostmi, budováním kapacit, normami a technickými specifikacemi, jakož i s určováním základních a důležitých subjektů podle čl. 2 odst. 2 písm. b) až e); |
| --- | --- |

c)

vyměňovat si osvědčené postupy a informace související s uplatňováním této směrnice, včetně informací souvisejících s kybernetickými hrozbami, incidenty, zranitelnostmi, významnými událostmi, iniciativami zaměřenými na zvyšování povědomí, školením, cvičeními a dovednostmi, budováním kapacit, normami a technickými specifikacemi, jakož i s určováním základních a důležitých subjektů podle čl. 2 odst. 2 písm. b) až e);

| d) | vyměňovat si doporučení a spolupracovat s Komisí na nových politických iniciativách v oblasti kybernetické bezpečnosti a na celkové soudržnosti odvětvových požadavků na kybernetickou bezpečnost; |
| --- | --- |

d)

vyměňovat si doporučení a spolupracovat s Komisí na nových politických iniciativách v oblasti kybernetické bezpečnosti a na celkové soudržnosti odvětvových požadavků na kybernetickou bezpečnost;

| e) | vyměňovat si rady a spolupracovat s Komisí na návrzích aktů v přenesené pravomoci či prováděcích aktů přijímaných podle této směrnice; |
| --- | --- |

e)

vyměňovat si rady a spolupracovat s Komisí na návrzích aktů v přenesené pravomoci či prováděcích aktů přijímaných podle této směrnice;

| f) | vyměňovat si osvědčené postupy a informace s příslušnými orgány, institucemi a jinými subjekty Unie; |
| --- | --- |

f)

vyměňovat si osvědčené postupy a informace s příslušnými orgány, institucemi a jinými subjekty Unie;

| g) | vyměňovat si názory na provádění odvětvových právních aktů Unie, které obsahují ustanovení o kybernetické bezpečnosti; |
| --- | --- |

g)

vyměňovat si názory na provádění odvětvových právních aktů Unie, které obsahují ustanovení o kybernetické bezpečnosti;

| h) | případně projednávat zprávy o vzájemném hodnocení uvedené v čl. 19 odst. 9 a vypracovávat závěry a doporučení; |
| --- | --- |

h)

případně projednávat zprávy o vzájemném hodnocení uvedené v čl. 19 odst. 9 a vypracovávat závěry a doporučení;

| i) | provádět koordinované posouzení bezpečnostních rizik kritických dodavatelských řetězců v souladu s čl. 22 odst. 1; |
| --- | --- |

i)

provádět koordinované posouzení bezpečnostních rizik kritických dodavatelských řetězců v souladu s čl. 22 odst. 1;

| j) | projednávat případy vzájemné pomoci, včetně zkušeností a výsledků přeshraničních společných činností v oblasti dohledu uvedených v článku 37; |
| --- | --- |

j)

projednávat případy vzájemné pomoci, včetně zkušeností a výsledků přeshraničních společných činností v oblasti dohledu uvedených v článku 37;

| k) | na žádost jednoho nebo více dotčených členských států projednávat konkrétní žádosti o vzájemnou pomoc podle článku 37; |
| --- | --- |

k)

na žádost jednoho nebo více dotčených členských států projednávat konkrétní žádosti o vzájemnou pomoc podle článku 37;

| l) | poskytovat strategické pokyny síti CSIRT a EU-CyCLONe ke konkrétním nově vznikajícím problémům; |
| --- | --- |

l)

poskytovat strategické pokyny síti CSIRT a EU-CyCLONe ke konkrétním nově vznikajícím problémům;

| m) | vyměňovat si názory na následná opatření po rozsáhlých kybernetických bezpečnostních incidentech a krizích na základě zkušeností získaných v rámci sítě CSIRT a EU-CyCLONe; |
| --- | --- |

m)

vyměňovat si názory na následná opatření po rozsáhlých kybernetických bezpečnostních incidentech a krizích na základě zkušeností získaných v rámci sítě CSIRT a EU-CyCLONe;

| n) | přispívat ke schopnostem v oblasti kybernetické bezpečnosti v celé Unii usnadňováním výměny úředníků členských států prostřednictvím programu budování kapacit zahrnujícího pracovníky z příslušných orgánů nebo týmů CSIRT; |
| --- | --- |

n)

přispívat ke schopnostem v oblasti kybernetické bezpečnosti v celé Unii usnadňováním výměny úředníků členských států prostřednictvím programu budování kapacit zahrnujícího pracovníky z příslušných orgánů nebo týmů CSIRT;

| o) | pořádat pravidelná společná setkání s příslušnými soukromými zúčastněnými stranami z celé Unie za účelem projednávání činností vykonávaných skupinou pro spolupráci a shromažďování poznatků o nových výzvách v oblasti této politiky; |
| --- | --- |

o)

pořádat pravidelná společná setkání s příslušnými soukromými zúčastněnými stranami z celé Unie za účelem projednávání činností vykonávaných skupinou pro spolupráci a shromažďování poznatků o nových výzvách v oblasti této politiky;

| p) | projednávat práci vykonávanou ve vztahu ke cvičením v oblasti kybernetické bezpečnosti, včetně práce prováděné agenturou ENISA; |
| --- | --- |

p)

projednávat práci vykonávanou ve vztahu ke cvičením v oblasti kybernetické bezpečnosti, včetně práce prováděné agenturou ENISA;

| q) | stanovit metodiku a organizační aspekty vzájemných hodnocení uvedených v čl. 19 odst. 1 a vypracovat metodiku sebehodnocení pro členské státy v souladu s čl. 19 odst. 5 za pomoci Komise a agentury ENISA a ve spolupráci s Komisí a agenturou ENISA vypracovat kodexy chování, na nichž budou založeny pracovní metody určených odborníků na kybernetickou bezpečnost v souladu s čl. 19 odst. 6; |
| --- | --- |

q)

stanovit metodiku a organizační aspekty vzájemných hodnocení uvedených v čl. 19 odst. 1 a vypracovat metodiku sebehodnocení pro členské státy v souladu s čl. 19 odst. 5 za pomoci Komise a agentury ENISA a ve spolupráci s Komisí a agenturou ENISA vypracovat kodexy chování, na nichž budou založeny pracovní metody určených odborníků na kybernetickou bezpečnost v souladu s čl. 19 odst. 6;

| r) | připravovat zprávy o zkušenostech získaných ze strategické úrovně a ze vzájemných hodnocení pro účely přezkumu uvedeného v článku 40; |
| --- | --- |

r)

připravovat zprávy o zkušenostech získaných ze strategické úrovně a ze vzájemných hodnocení pro účely přezkumu uvedeného v článku 40;

| s) | pravidelně projednávat a provádět hodnocení aktuálního stavu kybernetických hrozeb nebo incidentů, například v souvislosti s ransomware. |
| --- | --- |

s)

pravidelně projednávat a provádět hodnocení aktuálního stavu kybernetických hrozeb nebo incidentů, například v souvislosti s ransomware.

Skupina pro spolupráci předkládá zprávy podle prvního pododstavce písm. r) Komisi, Evropskému parlamentu a Radě.

5.   Členské státy zajistí, aby jejich zástupci ve skupině pro spolupráci účinně, účelně a spolehlivě spolupracovali.

6.   Skupina pro spolupráci si může od sítě CSIRT vyžádat odbornou zprávu o vybraných tématech.

7.   Do 1. února 2024 a poté každé dva roky vypracuje skupina pro spolupráci pracovní program týkající se činností, jež mají být realizovány za účelem plnění jejích cílů a úkolů.

8.   Komise může přijmout prováděcí akty, kterými stanoví procesní pravidla nezbytná pro fungování skupiny pro spolupráci.

Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 39 odst. 2.

Komise si v souladu s odst. 4 písm. e) poskytuje se skupinou pro spolupráci vzájemné poradenství a spolupracuje s ní, pokud jde o návrhy prováděcích aktů uvedených v prvním pododstavci tohoto odstavce.

9.   Skupina pro spolupráci se schází pravidelně, a vždy alespoň jednou ročně, se skupinou pro odolnost kritických subjektů zřízenou podle směrnice (EU) 2022/2557za účelem podpory a usnadnění strategické spolupráce a výměny informací.

Článek 15

Síť CSIRT

1.   Zřizuje se síť národních týmů CSIRT s cílem přispívat k budování důvěry mezi členskými státy a podporovat jejich rychlou a účinnou operativní spolupráci.

2.   Síť CSIRT tvoří zástupci týmů CSIRT určených nebo zřízených podle článku 10 a zástupci týmu pro reakci na počítačové hrozby pro orgány, instituce a jiné subjekty Unie (CERT-EU). Komise se účastní sítě CSIRT jako pozorovatel. Agentura ENISA zajišťuje sekretariát a aktivně podporuje spolupráci mezi týmy CSIRT.

3.   Síť CSIRT má tyto úkoly:

| a) | vyměňovat si informace o schopnostech týmů CSIRT; |
| --- | --- |

a)

vyměňovat si informace o schopnostech týmů CSIRT;

| b) | usnadňovat sdílení, přenos a výměnu technologií a příslušných opatření, politik, nástrojů, procesů, osvědčených postupů a rámců mezi týmy CSIRT; |
| --- | --- |

b)

usnadňovat sdílení, přenos a výměnu technologií a příslušných opatření, politik, nástrojů, procesů, osvědčených postupů a rámců mezi týmy CSIRT;

| c) | vyměňovat si příslušné informace o incidentech, významných událostech, kybernetických hrozbách, rizicích a zranitelnostech; |
| --- | --- |

c)

vyměňovat si příslušné informace o incidentech, významných událostech, kybernetických hrozbách, rizicích a zranitelnostech;

| d) | vyměňovat si informace, pokud jde o publikace a doporučení v oblasti kybernetické bezpečnosti; |
| --- | --- |

d)

vyměňovat si informace, pokud jde o publikace a doporučení v oblasti kybernetické bezpečnosti;

| e) | zajišťovat interoperabilitu, pokud jde o specifikace a protokoly týkající se sdílení informací; |
| --- | --- |

e)

zajišťovat interoperabilitu, pokud jde o specifikace a protokoly týkající se sdílení informací;

| f) | na žádost člena sítě CSIRT potenciálně zasaženého incidentem si vyměňovat a projednávat informace o tomto incidentu a souvisejících kybernetických hrozbách, rizicích a zranitelnostech; |
| --- | --- |

f)

na žádost člena sítě CSIRT potenciálně zasaženého incidentem si vyměňovat a projednávat informace o tomto incidentu a souvisejících kybernetických hrozbách, rizicích a zranitelnostech;

| g) | na žádost člena sítě CSIRT projednat a pokud možno realizovat koordinovanou reakci na incident, který byl zjištěn v oblasti spadající do pravomoci tohoto členského státu; |
| --- | --- |

g)

na žádost člena sítě CSIRT projednat a pokud možno realizovat koordinovanou reakci na incident, který byl zjištěn v oblasti spadající do pravomoci tohoto členského státu;

| h) | poskytovat členským státům pomoc při řešení přeshraničních incidentů podle této směrnice; |
| --- | --- |

h)

poskytovat členským státům pomoc při řešení přeshraničních incidentů podle této směrnice;

| i) | spolupracovat a poskytovat pomoc týmům CSIRT, které byly určeny jakožto koordinátoři, podle čl. 12 odst. 1 a vyměňovat si s nimi osvědčené postupy v souvislosti s řízením koordinovaného zveřejňování zranitelností, které by mohly mít významný dopad na subjekty ve více než jednom členském státě; |
| --- | --- |

i)

spolupracovat a poskytovat pomoc týmům CSIRT, které byly určeny jakožto koordinátoři, podle čl. 12 odst. 1 a vyměňovat si s nimi osvědčené postupy v souvislosti s řízením koordinovaného zveřejňování zranitelností, které by mohly mít významný dopad na subjekty ve více než jednom členském státě;

| j) | projednávat a vymezovat další formy operativní spolupráce, a to mimo jiné ve vztahu k:






  i) | kategoriím kybernetických hrozeb a incidentů; |
| --- | --- | --- |

j)

projednávat a vymezovat další formy operativní spolupráce, a to mimo jiné ve vztahu k:

i)

kategoriím kybernetických hrozeb a incidentů;

| ii) | včasným varováním; |
| --- | --- |

ii)

včasným varováním;

| iii) | vzájemné pomoci; |
| --- | --- |

iii)

vzájemné pomoci;

| iv) | zásadám a ujednáním koordinace při reakci na přeshraniční rizika a incidenty; |
| --- | --- |

iv)

zásadám a ujednáním koordinace při reakci na přeshraniční rizika a incidenty;

| v) | příspěvku k národnímu plánu reakce na rozsáhlé kybernetické bezpečnostní incidenty a krize uvedenému v čl. 9 odst. 4 na žádost členského státu; |
| --- | --- |

v)

příspěvku k národnímu plánu reakce na rozsáhlé kybernetické bezpečnostní incidenty a krize uvedenému v čl. 9 odst. 4 na žádost členského státu;

| k) | informovat skupinu pro spolupráci o svých činnostech a o dalších formách operativní spolupráce projednávaných podle písmene j) a v případě potřeby žádat v tomto ohledu odpovídající pokyny; |
| --- | --- |

k)

informovat skupinu pro spolupráci o svých činnostech a o dalších formách operativní spolupráce projednávaných podle písmene j) a v případě potřeby žádat v tomto ohledu odpovídající pokyny;

| l) | vyhodnocovat cvičení v oblasti kybernetické bezpečnosti, včetně cvičení pořádaných agenturou ENISA; |
| --- | --- |

l)

vyhodnocovat cvičení v oblasti kybernetické bezpečnosti, včetně cvičení pořádaných agenturou ENISA;

| m) | na žádost jednotlivých týmů CSIRT jednat o jejich schopnostech a připravenosti; |
| --- | --- |

m)

na žádost jednotlivých týmů CSIRT jednat o jejich schopnostech a připravenosti;

| n) | spolupracovat a vyměňovat si informace s regionálními bezpečnostními operačními středisky a bezpečnostními operačními středisky na úrovni Unie za účelem zlepšení společného situačního povědomí u incidentů a kybernetických hrozeb v celé Unii; |
| --- | --- |

n)

spolupracovat a vyměňovat si informace s regionálními bezpečnostními operačními středisky a bezpečnostními operačními středisky na úrovni Unie za účelem zlepšení společného situačního povědomí u incidentů a kybernetických hrozeb v celé Unii;

| o) | případně projednávat zprávy o vzájemném hodnocení uvedené v čl. 19 odst. 9; |
| --- | --- |

o)

případně projednávat zprávy o vzájemném hodnocení uvedené v čl. 19 odst. 9;

| p) | poskytovat pokyny s cílem usnadnit sbližování operativních postupů ve vztahu k uplatňování ustanovení tohoto článku o operativní spolupráci. |
| --- | --- |

p)

poskytovat pokyny s cílem usnadnit sbližování operativních postupů ve vztahu k uplatňování ustanovení tohoto článku o operativní spolupráci.

4.   Síť CSIRT do 17. ledna 2025 a poté každé dva roky pro účely přezkumu uvedeného v článku 40 posoudí pokrok dosažený s ohledem na operativní spolupráci a přijme zprávu. Ve zprávě se zejména uvedou závěry a doporučení vycházející z výsledků vzájemného hodnocení uvedeného v článku 19, provedeného ve vztahu k národním týmům CSIRT. Tato zpráva bude předložena skupině pro spolupráci.

5.   Síť CSIRT přijme svůj jednací řád.

6.   Síť CSIRT a síť EU-CyCLONe sjednají procesní pravidla, podle kterých spolupracují.

Článek 16

Evropská síť styčných organizací pro řešení kybernetických krizí (EU-CyCLONe)

1.   Za účelem podpory koordinovaného řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí na operativní úrovni a pro zajištění pravidelné výměny relevantních informací mezi členskými státy a orgány, institucemi a jinými subjekty Unie se zřizuje síť EU-CyCLONe.

2.   Síť EU-CyCLONe je tvořena zástupci orgánů členských států pro řešení kybernetických krizí a v případech, kdy potenciální nebo probíhající rozsáhlý kybernetický bezpečnostní incident má nebo pravděpodobně bude mít významný dopad na služby a činnosti spadající do oblasti působnosti této směrnice, jsou jejími členy také zástupci Komise. V jiných případech se činností sítě EU-CyCLONe Komise účastní jako pozorovatel.

Agentura ENISA zajišťuje sekretariát pro síť EU-CyCLONe, podporuje bezpečnou výměnu informací a poskytuje nezbytné nástroje na podporu spolupráce mezi členskými státy zajištěním bezpečné výměny informací.

Tam, kde je to vhodné, může síť EU-CyCLONe přizvat zástupce příslušných zúčastněných stran, aby se podíleli na činnosti jako pozorovatelé.

3.   Síť EU-CyCLONe má tyto úkoly:

| a) | zvýšit úroveň připravenosti pro řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí; |
| --- | --- |

a)

zvýšit úroveň připravenosti pro řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí;

| b) | rozvíjet situační povědomí o rozsáhlých kybernetických bezpečnostních incidentech a krizích; |
| --- | --- |

b)

rozvíjet situační povědomí o rozsáhlých kybernetických bezpečnostních incidentech a krizích;

| c) | posuzovat důsledky a dopad příslušných rozsáhlých kybernetických bezpečnostních incidentů a krizí a navrhovat případná opatření k jejich zmírnění; |
| --- | --- |

c)

posuzovat důsledky a dopad příslušných rozsáhlých kybernetických bezpečnostních incidentů a krizí a navrhovat případná opatření k jejich zmírnění;

| d) | koordinovat řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí a podporovat rozhodování na politické úrovni týkající se těchto incidentů a krizí; |
| --- | --- |

d)

koordinovat řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí a podporovat rozhodování na politické úrovni týkající se těchto incidentů a krizí;

| e) | na žádost dotčeného členského státu projednávat národní plány reakce na rozsáhlé kybernetické bezpečnostní incidenty a krize uvedené v čl. 9 odst. 4. |
| --- | --- |

e)

na žádost dotčeného členského státu projednávat národní plány reakce na rozsáhlé kybernetické bezpečnostní incidenty a krize uvedené v čl. 9 odst. 4.

4.   Síť EU-CyCLONe přijme svůj organizační řád.

5.   Síť EU-CyCLONe pravidelně podává skupině pro spolupráci zprávy o řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí a o trendech, se zvláštním zaměřením na jejich dopad na základní a důležité subjekty.

6.   Síť EU-CyCLONe spolupracuje se sítí CSIRT na základě sjednaných procesních pravidel podle čl. 15 odst. 6.

7.   Síť EU-CyCLONe do 17. července 2024 a poté každých 18 měsíců předloží Evropskému parlamentu a Radě zprávu, v níž posoudí svou činnost.

Článek 17

Mezinárodní spolupráce

Unie může ve vhodných případech v souladu s článkem 218 Smlouvy o fungování EU uzavírat mezinárodní dohody se třetími zeměmi nebo mezinárodními organizacemi, které umožní a upraví jejich účast na určitých činnostech skupiny pro spolupráci, sítě CSIRT a sítě EU-CyCLONe. Tyto dohody musí být v souladu s právem Unie v oblasti ochrany údajů.

Článek 18

Zpráva o stavu kybernetické bezpečnosti v Unii

1.   Agentura ENISA ve spolupráci s Komisí a skupinou pro spolupráci přijme jednou za dva roky zprávu o stavu kybernetické bezpečnosti v Unii a tuto zprávu předloží a představí Evropskému parlamentu. Zpráva musí být dostupná mimo jiné ve strojově čitelném formátu a zahrnuje:

| a) | posouzení kybernetických bezpečnostních rizik na úrovni Unie se zohledněním oblasti kybernetických hrozeb; |
| --- | --- |

a)

posouzení kybernetických bezpečnostních rizik na úrovni Unie se zohledněním oblasti kybernetických hrozeb;

| b) | posouzení vývoje kapacit v oblasti kybernetické bezpečnosti ve veřejném i soukromém sektoru v celé Unii; |
| --- | --- |

b)

posouzení vývoje kapacit v oblasti kybernetické bezpečnosti ve veřejném i soukromém sektoru v celé Unii;

| c) | posouzení obecné úrovně povědomí o kybernetické bezpečnosti a kybernetické hygieny mezi občany a subjekty, včetně malých a středních podniků; |
| --- | --- |

c)

posouzení obecné úrovně povědomí o kybernetické bezpečnosti a kybernetické hygieny mezi občany a subjekty, včetně malých a středních podniků;

| d) | agregované posouzení výsledků vzájemných hodnocení uvedených v článku 19; |
| --- | --- |

d)

agregované posouzení výsledků vzájemných hodnocení uvedených v článku 19;

| e) | agregované posouzení úrovně vyspělosti kapacit a zdrojů v oblasti kybernetické bezpečnosti v celé Unii, a to i na úrovni odvětví, a toho, do jaké míry jsou národní strategie kybernetické bezpečnosti členských států sladěny. |
| --- | --- |

e)

agregované posouzení úrovně vyspělosti kapacit a zdrojů v oblasti kybernetické bezpečnosti v celé Unii, a to i na úrovni odvětví, a toho, do jaké míry jsou národní strategie kybernetické bezpečnosti členských států sladěny.

2.   Zpráva obsahuje konkrétní doporučení k této oblasti politiky zaměřená na řešení nedostatků a zvýšení úrovně kybernetické bezpečnosti v celé Unii a shrne zjištění za dané období z technických situačních zpráv EU v oblasti kybernetické bezpečnosti týkající se incidentů a kybernetických hrozeb vypracovaných agenturou ENISA podle čl. 7 odst. 6 nařízení (EU) 2019/881.

3.   Agentura ENISA ve spolupráci s Komisí, skupinou pro spolupráci a sítí CSIRT vypracuje metodiku pro agregované posouzení uvedené v odst. 1 písm. e) a zahrne do ní příslušné proměnné, jako jsou kvantitativní a kvalitativní ukazatele.

Článek 19

Vzájemná hodnocení

1.   Skupina pro spolupráci do 17. ledna 2025 s pomocí Komise a agentury ENISA a případně sítě CSIRT vypracuje metodiku a organizační aspekty vzájemných hodnocení s cílem poučit se ze společných zkušeností, posílit vzájemnou důvěru, dosáhnout společné vysoké úrovně kybernetické bezpečnosti a posílit schopnosti a politické strategie členských států v oblasti kybernetické bezpečnosti, které jsou nezbytné pro provádění této směrnice. Účast na vzájemných hodnoceních je dobrovolná. Vzájemná hodnocení provádějí odborníci na kybernetickou bezpečnost. Odborníky na kybernetickou bezpečnost určí nejméně dva členské státy, které nejsou posuzovanými členskými státy.

Vzájemná hodnocení musí zahrnovat alespoň jeden z následujících aspektů:

| a) | úroveň provádění opatření k řízení kybernetických bezpečnostních rizik a plnění oznamovacích povinností stanovených v článcích 21 a 23; |
| --- | --- |

a)

úroveň provádění opatření k řízení kybernetických bezpečnostních rizik a plnění oznamovacích povinností stanovených v článcích 21 a 23;

| b) | úroveň kapacit, včetně dostupných finančních, technických a lidských zdrojů, a účinnost plnění úkolů příslušných orgánů; |
| --- | --- |

b)

úroveň kapacit, včetně dostupných finančních, technických a lidských zdrojů, a účinnost plnění úkolů příslušných orgánů;

| c) | provozní kapacity týmů CSIRT; |
| --- | --- |

c)

provozní kapacity týmů CSIRT;

| d) | úroveň uskutečňování vzájemné pomoci podle článku 37; |
| --- | --- |

d)

úroveň uskutečňování vzájemné pomoci podle článku 37;

| e) | úroveň provádění ujednání o sdílení informací o kybernetické bezpečnosti podle článku 29; |
| --- | --- |

e)

úroveň provádění ujednání o sdílení informací o kybernetické bezpečnosti podle článku 29;

| f) | specifické otázky přeshraniční nebo meziodvětvové povahy. |
| --- | --- |

f)

specifické otázky přeshraniční nebo meziodvětvové povahy.

2.   Metodika uvedená v odstavci 1 zahrnuje objektivní, nediskriminační, korektní a transparentní kritéria, na jejichž základě členské státy určí odborníky na kybernetickou bezpečnost způsobilé provádět vzájemná hodnocení. Komise a agentura ENISA se budou vzájemných hodnocení účastnit jako pozorovatelé.

3.   Pro účely vzájemného hodnocení mohou členské státy určit konkrétní otázky, jak je uvedeno v odst. 1 písm. f).

4.   Před zahájením vzájemného hodnocení podle odstavce 1 oznámí členské státy zúčastněným členským státům jeho rozsah, včetně konkrétních otázek, jež byly ve smyslu odstavce 3 určeny.

5.   Před zahájením vzájemného hodnocení mohou členské státy provést sebehodnocení posuzovaných aspektů, které poté poskytnou určeným odborníkům na kybernetickou bezpečnost. Metodiku sebehodnocení členských států stanoví skupina pro spolupráci za pomoci Komise a agentury ENISA.

6.   Vzájemná hodnocení zahrnují osobní nebo virtuální návštěvy na místě i externí výměny informací. S ohledem na zásadu dobré spolupráce poskytnou členské státy podléhající vzájemnému hodnocení určeným odborníkům na kybernetickou bezpečnost informace potřebné k posouzení, aniž by tím bylo dotčeno právo členských států nebo Unie týkající se ochrany důvěrných či utajovaných informací nebo plnění základních funkcí státu, jako je národní bezpečnost. Skupina pro spolupráci ve spolupráci s Komisí a agenturou ENISA vypracuje vhodné kodexy chování, které budou tvořit základ pracovních metod určených odborníků na kybernetickou bezpečnost. Veškeré informace získané v rámci vzájemného hodnocení lze použít pouze pro tento účel. Odborníci na kybernetickou bezpečnost účastnící se vzájemného hodnocení nesmí sdělit žádné citlivé nebo důvěrné informace získané v průběhu tohoto vzájemného hodnocení žádným třetím stranám.

7.   Tytéž aspekty, které již byly v členském státě předmětem vzájemného hodnocení, nepodléhají v tomto členském státě v průběhu dvou let po ukončení vzájemného hodnocení dalšímu posuzování, pokud o to členský stát nepožádá nebo pokud to není výsledkem dohody na základě návrhu skupiny pro spolupráci.

8.   Členské státy zajistí, aby byly ostatní členské státy, skupina pro spolupráci, Komise a agentura ENISA před zahájením vzájemného hodnocení informovány o jakémkoli riziku střetu zájmů týkajícím se určených odborníků na kybernetickou bezpečnost. Členský stát podléhající vzájemnému hodnocení může vznést námitku vůči určení konkrétních odborníků na kybernetickou bezpečnost, a to na základě řádného odůvodnění, které sdělí členskému státu, který tyto odborníky určil.

9.   Odborníci na kybernetickou bezpečnost účastnící se vzájemných hodnocení vypracují návrhy zpráv o zjištěních a závěrech těchto vzájemných hodnocení. Členské státy podléhající vzájemnému hodnocení mohou předložit připomínky k návrhům zpráv, které se jich týkají, a tyto připomínky se poté ke zprávám připojí. Zprávy obsahují doporučení, jejichž cílem je dosáhnout zlepšení v aspektech, jichž se vzájemné hodnocení týká. Zprávy se předloží skupině pro spolupráci a v příslušném případě síti CSIRT. Členský stát podléhající vzájemnému hodnocení se může rozhodnout svou zprávu nebo její upravenou verzi zveřejnit.

KAPITOLA IV

OPATŘENÍ K ŘÍZENÍ KYBERNETICKÝCH BEZPEČNOSTNÍCH RIZIK A OZNAMOVACÍ POVINNOSTI

Článek 20

Řízení

1.   Členské státy zajistí, aby řídící orgány základních a důležitých subjektů schválily opatření k řízení kybernetických bezpečnostních rizik přijatá těmito subjekty za účelem dosažení souladu s článkem 21, dohlížely nad jeho uplatňováním a mohly nést odpovědnost, poruší-li subjekty uvedený článek.

Uplatňováním tohoto odstavce není dotčeno vnitrostátní právo, pokud jde o pravidla odpovědnosti vztahující se na veřejné orgány, odpovědnost úředníků veřejné správy a odpovědnost volených veřejných činitelů nebo jmenovaných úředníků.

2.   Členské státy zajistí, aby členové řídících orgánů základních a důležitých subjektů museli absolvovat školení, a vybízí základní a důležité subjekty, aby pravidelně nabízely podobné školení svým zaměstnancům, aby tak získali dostatečné znalosti a dovednosti, aby mohli identifikovat rizika a posoudit postupy řízení kybernetických bezpečnostních rizik a jejich dopad na služby poskytované subjektem.

Článek 21

Opatření k řízení kybernetických bezpečnostních rizik

1.   Členské státy zajistí, aby základní a důležité subjekty přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jež tyto subjekty používají pro svůj provoz nebo poskytování svých služeb, a k předcházení incidentům nebo minimalizaci jejich dopadů na příjemce jejich služeb a na další služby.

S ohledem na nejnovější technický vývoj a případně na příslušné evropské a mezinárodní normy a na náklady na provádění musí opatření uvedená v prvním pododstavci zajišťovat úroveň bezpečnosti sítí a informačních systémů odpovídající existující míře rizika. Při posuzování přiměřenosti těchto opatření je třeba náležitě zohlednit míru vystavení subjektu rizikům, jeho velikost a pravděpodobnost výskytu incidentů, jejich závažnost a společenský a ekonomický dopad.

2.   Opatření uvedená v odstavci 1 jsou založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a fyzické prostředí těchto systémů před incidenty, a zahrnují alespoň:

| a) | politiku analýzy rizik a politiku bezpečnosti informačních systémů; |
| --- | --- |

a)

politiku analýzy rizik a politiku bezpečnosti informačních systémů;

| b) | řešení incidentů; |
| --- | --- |

b)

řešení incidentů;

| c) | řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení; |
| --- | --- |

c)

řízení kontinuity provozu, jako je například správa zálohování a obnova provozu po havárii, a krizové řízení;

| d) | bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb; |
| --- | --- |

d)

bezpečnost dodavatelského řetězce včetně bezpečnostních aspektů týkajících se vztahů mezi každým subjektem a jeho přímými dodavateli nebo poskytovateli služeb;

| e) | zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení; |
| --- | --- |

e)

zabezpečení pořizování, vývoje a údržby sítí a informačních systémů, včetně zveřejňování zranitelností a jejich řešení;

| f) | politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik; |
| --- | --- |

f)

politiky a postupy za účelem posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik;

| g) | základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti; |
| --- | --- |

g)

základní postupy kybernetické hygieny a školení v oblasti kybernetické bezpečnosti;

| h) | politiky a postupy týkající se používání kryptografie a případně šifrování; |
| --- | --- |

h)

politiky a postupy týkající se používání kryptografie a případně šifrování;

| i) | bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv; |
| --- | --- |

i)

bezpečnost lidských zdrojů, postupy kontroly přístupu a správa aktiv;

| j) | v příslušných případech používání vícefaktorových autentizačních řešení nebo trvalých autentizačních řešení, zabezpečené hlasové, obrazové a textové komunikace a zabezpečených systémů nouzové komunikace v rámci subjektu. |
| --- | --- |

j)

v příslušných případech používání vícefaktorových autentizačních řešení nebo trvalých autentizačních řešení, zabezpečené hlasové, obrazové a textové komunikace a zabezpečených systémů nouzové komunikace v rámci subjektu.

3.   Členské státy zajistí, aby při zvažování vhodných opatření uvedených v odst. 2 písm. d) tohoto článku subjekty zohlednily zranitelnosti specifické pro každého přímého dodavatele a poskytovatele služeb a celkovou kvalitu produktů a postupů v oblasti kybernetické bezpečnosti svých dodavatelů a poskytovatelů služeb, včetně jejich postupů bezpečného vývoje. Členské státy rovněž zajistí, aby při zvažování vhodných opatření podle uvedeného písmene subjekty měly povinnost zohlednit výsledky koordinovaného posouzení bezpečnostních rizik kritických dodavatelských řetězců, které bylo provedeno v souladu s čl. 22 odst. 1.

4.   Členské státy zajistí, aby v případě, že subjekt zjistí, že neodpovídá požadavkům stanoveným v odstavci 2, přijal bez zbytečného odkladu všechna nezbytná, vhodná a přiměřená nápravná opatření.

5.   Do 17. října 2024 přijme Komise prováděcí akty, kterými stanoví technické a metodické požadavky opatření uvedených v odstavci 2, pokud jde o provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, poskytovatele služeb datových center, poskytovatele sítí pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatele služeb vytvářejících důvěru.

Komise může přijmout prováděcí akty, kterými stanoví technické, metodické a případně odvětvové požadavky, pokud jde o opatření uvedená v odstavci 2, přičemž tyto požadavky se týkají jiných základních a důležitých subjektů než těch, které jsou uvedeny v prvním pododstavci tohoto odstavce.

Při přípravě prováděcích aktů uvedených v prvním a druhém pododstavci tohoto odstavce se Komise pokud možno řídí evropskými a mezinárodními normami, jakož i příslušnými technickými specifikacemi. Komise si v souladu s čl. 14 odst. 4 písm. e) poskytuje se skupinou pro spolupráci a agenturou ENISA vzájemné poradenství a spolupracuje s nimi, pokud jde o návrhy prováděcích aktů.

Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 39 odst. 2.

Článek 22

Koordinované posouzení bezpečnostních rizik kritických dodavatelských řetězců na unijní úrovni

1.   Skupina pro spolupráci může ve spolupráci s Komisí a agenturou ENISA provést koordinované posouzení bezpečnostních rizik dodavatelských řetězců u specifických kritických služeb IKT, systémů IKT nebo produktů IKT, přičemž zohlední technické, případně netechnické rizikové faktory.

2.   Komise po konzultaci se skupinou pro spolupráci a agenturou ENISA a případně s příslušnými zúčastněnými stranami určí specifické kritické služby IKT, systémy IKT nebo produkty IKT, jež mohou být předmětem koordinovaného posouzení bezpečnostních rizik podle odstavce 1.

Článek 23

Oznamovací povinnosti

1.   Členské státy zajistí, aby základní a důležité subjekty oznamovaly bez zbytečného odkladu svému týmu CSIRT nebo případně svému příslušnému orgánu v souladu s odstavcem 4 každý incident, který má významný dopad na poskytování jejich služeb, jak je uvedeno v odstavci 3 (významný incident). V příslušných případech dotčené subjekty oznámí bez zbytečného odkladu příjemci svých služeb významné incidenty, které by mohly negativně ovlivnit poskytování těchto služeb. Každý členský stát zajistí, aby tyto subjekty oznamovaly mimo jiné všechny informace, které týmu CSIRT nebo případně příslušnému orgánu umožní posoudit případný přeshraniční dopad daného incidentu. Pouhé oznámení nepředstavuje pro oznamující subjekt vyšší míru právní odpovědnosti.

Pokud dotčené subjekty oznámí příslušnému orgánu významný incident podle prvního pododstavce, členský stát zajistí, aby příslušný orgán toto oznámení po jeho obdržení předal týmu CSIRT.

V případě přeshraničního nebo meziodvětvového významného incidentu členské státy zajistí, aby jejich jednotná kontaktní místa včas obdržela příslušné informace v souladu s odstavcem 4.

2.   Členské státy příslušně zajistí, aby základní a důležité subjekty informovaly bez zbytečného odkladu příjemce svých služeb, kteří mohou být ovlivněni významnou kybernetickou hrozbou, o všech krocích nebo nápravných opatřeních, jež příjemci mohou v reakci na danou hrozbu učinit. Subjekty příjemce příslušně uvědomí také o významné kybernetické hrozbě samotné.

3.   Incident se považuje za významný, jestliže:

| a) | dotčenému subjektu způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty; |
| --- | --- |

a)

dotčenému subjektu způsobil nebo může způsobit závažné provozní narušení služeb nebo finanční ztráty;

| b) | způsobil nebo může způsobit jiným fyzickým nebo právnickým osobám značnou hmotnou nebo nehmotnou újmu. |
| --- | --- |

b)

způsobil nebo může způsobit jiným fyzickým nebo právnickým osobám značnou hmotnou nebo nehmotnou újmu.

4.   Členské státy zajistí, aby za účelem oznámení podle odstavce 1 dotčené subjekty předložily týmu CSIRT nebo případně příslušnému orgánu:

| a) | bez zbytečného odkladu, nejpozději však do 24 hodin po zjištění významného incidentu, včasné varování, v němž případně uvedou, zda se domnívají, že byl významný incident způsoben nezákonným nebo svévolným zásahem nebo že by mohl mít přeshraniční dopad; |
| --- | --- |

a)

bez zbytečného odkladu, nejpozději však do 24 hodin po zjištění významného incidentu, včasné varování, v němž případně uvedou, zda se domnívají, že byl významný incident způsoben nezákonným nebo svévolným zásahem nebo že by mohl mít přeshraniční dopad;

| b) | bez zbytečného odkladu, nejpozději však do 72 hodin po zjištění významného incidentu, oznámení incidentu, v němž případně aktualizují informace uvedené v písmenu a), předloží prvotní posouzení významného incidentu včetně jeho závažnosti a dopadu a – pokud jsou k dispozici – indikátory kompromitace; |
| --- | --- |

b)

bez zbytečného odkladu, nejpozději však do 72 hodin po zjištění významného incidentu, oznámení incidentu, v němž případně aktualizují informace uvedené v písmenu a), předloží prvotní posouzení významného incidentu včetně jeho závažnosti a dopadu a – pokud jsou k dispozici – indikátory kompromitace;

| c) | na žádost týmu CSIRT nebo případně příslušného orgánu průběžnou zprávu o podstatných aktualizacích stavu; |
| --- | --- |

c)

na žádost týmu CSIRT nebo případně příslušného orgánu průběžnou zprávu o podstatných aktualizacích stavu;

| d) | nejpozději do jednoho měsíce od předložení oznámení incidentu podle písmene b) závěrečnou zprávu zahrnující:






  i) | podrobný popis incidentu včetně jeho závažnosti a dopadu; |
| --- | --- | --- |

d)

nejpozději do jednoho měsíce od předložení oznámení incidentu podle písmene b) závěrečnou zprávu zahrnující:

i)

podrobný popis incidentu včetně jeho závažnosti a dopadu;

| ii) | druh hrozby nebo základní příčinu, která incident pravděpodobně spustila; |
| --- | --- |

ii)

druh hrozby nebo základní příčinu, která incident pravděpodobně spustila;

| iii) | učiněná a probíhající opatření ke zmírnění následků; |
| --- | --- |

iii)

učiněná a probíhající opatření ke zmírnění následků;

| iv) | případně přeshraniční dopad incidentu; |
| --- | --- |

iv)

případně přeshraniční dopad incidentu;

| e) | v případě, že v okamžiku, kdy by měla být předložena závěrečná zpráva podle písmene d), incident stále trvá, členské státy zajistí, aby dotčené subjekty v uvedené lhůtě předložily zprávu o pokroku a následně, nejpozději jeden měsíc po tom, co incident vyřešily, závěrečnou zprávu. |
| --- | --- |

e)

v případě, že v okamžiku, kdy by měla být předložena závěrečná zpráva podle písmene d), incident stále trvá, členské státy zajistí, aby dotčené subjekty v uvedené lhůtě předložily zprávu o pokroku a následně, nejpozději jeden měsíc po tom, co incident vyřešily, závěrečnou zprávu.

Odchylně od prvního pododstavce písm. b) poskytovatel služby vytvářející důvěru oznámí týmu CSIRT nebo případně příslušnému orgánu významné incidenty, které mají dopad na jím poskytované služby, a to bez zbytečného odkladu, nejpozději však do 24 hodin od okamžiku, kdy se o významném incidentu dozvěděl.

5.   Tým CSIRT nebo příslušný orgán poskytnou bez zbytečného odkladu a pokud možno do 24 hodin po obdržení včasného varování podle odst. 4 písm. a) oznamujícímu subjektu své vyjádření, včetně prvotních vyjádření k významnému incidentu, a na žádost subjektu pomoc či podporu při zavádění možných opatření ke zmírnění dopadů. Pokud tým CSIRT není prvotním příjemcem oznámení podle odstavce 1, pomoc či podporu poskytne příslušný orgán ve spolupráci s týmem CSIRT. Pokud o to dotčený subjekt požádá, poskytne mu tým CSIRT další technickou podporu. Jestliže existuje podezření, že má významný incident povahu trestného činu, tým CSIRT nebo příslušný orgán poskytne také pokyny, jak významný incident oznámit orgánům činným v trestním řízení.

6.   Tam, kde je to vhodné, a zejména pokud se významný incident týká dvou nebo více členských států, informuje tým CSIRT, příslušný orgán nebo jednotné kontaktní místo o významném incidentu bez zbytečného odkladu ostatní dotčené členské státy a agenturu ENISA. Takové informace zahrnují druh informací obdržených podle odstavce 4. Tým CSIRT, příslušný orgán nebo jednotné kontaktní místo přitom v souladu s unijním vnitrostátním právem zachovávají bezpečnost a obchodní zájmy subjektu, jakož i důvěrnost poskytnutých informací.

7.   Pokud je nezbytné informovat veřejnost, aby se významnému incidentu zabránilo nebo aby se probíhající významný incident vyřešil, nebo pokud je zveřejnění významného incidentu jinak ve veřejném zájmu, může tým CSIRT některého členského státu nebo případně jeho příslušný orgán, případně týmy CSIRT nebo příslušné orgány jiných dotčených členských států po konzultaci s dotčeným subjektem informovat veřejnost o významném incidentu nebo požadovat, aby tak učinil daný subjekt.

8.   Na žádost týmu CSIRT nebo příslušného orgánu postoupí jednotné kontaktní místo oznámení obdržená podle odstavce 1 jednotným kontaktním místům dalších dotčených členských států.

9.   Jednotné kontaktní místo předkládá každé tři měsíce agentuře ENISA souhrnnou zprávu zahrnující anonymizovaná a agregovaná data o významných incidentech, incidentech, kybernetických hrozbách a významných událostech oznámených podle odstavce 1 tohoto článku a podle článku 30. V zájmu větší srovnatelnosti poskytovaných informací může agentura ENISA přijmout technické pokyny k parametrům informací, jež mají být v souhrnné zprávě uvedeny. Agentura ENISA informuje skupinu pro spolupráci a síť CSIRT o svých zjištěních v souvislosti s přijatými oznámeními každých šest měsíců.

10.   Týmy CSIRT nebo případně příslušné orgány poskytnou příslušným orgánům podle směrnice (EU) 2022/2557 informace o významných incidentech, incidentech, kybernetických hrozbách a významných událostech oznámených podle odstavce 1 tohoto článku a podle článku 30 subjekty určenými jakožto kritické subjekty podle směrnice (EU) 2022/2557.

11.   Komise může přijmout prováděcí akty dále upřesňující druh informací, formát a postup oznámení předkládaných podle odstavce 1 tohoto článku a podle článku 30 a informací poskytnutých podle odstavce 2 tohoto článku.

Do 17. října 2024 přijme Komise, pokud jde o provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, poskytovatele služeb datových center, poskytovatele sítí pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, jakož i poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí, prováděcí akty dále upřesňující případy, kdy se incident považuje za významný, jak je uvedeno v odstavci 3. Komise může takové prováděcí akty přijmout také ve vztahu k dalším základním a důležitým subjektům.

Komise si v souladu s čl. 14 odst. 4 písm. e) poskytuje se skupinou pro spolupráci vzájemné poradenství a spolupracuje s ní, pokud jde o návrhy prováděcích aktů uvedených v prvním a druhém pododstavci tohoto odstavce.

Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 39 odst. 2.

Článek 24

Použití evropských systémů certifikace kybernetické bezpečnosti

1.   K prokázání splnění zvláštních požadavků článku 21 mohou členské státy požadovat, aby základní a důležité subjekty používaly určité produkty IKT, služby IKT a procesy IKT vypracované základním nebo důležitým subjektem nebo získané od třetích stran a certifikované podle evropských systémů certifikace kybernetické bezpečnosti přijatých podle článku 49 nařízení (EU) 2019/881. Členské státy kromě toho podporují základní a důležité subjekty, aby využívaly kvalifikované služby vytvářející důvěru.

2.   Komisi je v souladu s článkem 38 za účelem doplnění této směrnice svěřena pravomoc přijímat akty v přenesené pravomoci, upřesňující, které kategorie základních a důležitých subjektů budou povinny používat určité certifikované produkty IKT, služby IKT nebo procesy IKT nebo si obstarat certifikát podle evropského systému certifikace kybernetické bezpečnosti přijatého podle článku 49 nařízení (EU) 2019/881. Tyto akty v přenesené pravomoci se přijímají, pokud se zjistí nedostatečná úroveň kybernetické bezpečnosti, a je v nich stanoveno prováděcí období.

Před přijetím těchto aktů v přenesené pravomoci provede Komise posouzení dopadů a povede konzultace v souladu s článkem 56 nařízení (EU) 2019/881.

3.   Komise může po konzultaci se skupinou pro spolupráci a Evropskou skupinou pro certifikaci kybernetické bezpečnosti požádat agenturu ENISA, aby v případech, kdy není k dispozici žádný vhodný evropský systém certifikace kybernetické bezpečnosti pro účely odstavce 2, vypracovala návrh systému podle čl. 48 odst. 2 nařízení (EU) 2019/881.

Článek 25

Tvorba norem

1.   Členské státy za účelem harmonizovaného provádění čl. 21 odst. 1 a 2 podporují používání evropských a mezinárodních norem a technických specifikací upravujících bezpečnost sítí a informačních systémů, aniž by přitom vyžadovaly používání konkrétního druhu technologie nebo diskriminujícím způsobem prosazovaly jeho používání.

2.   Agentura ENISA ve spolupráci se členskými státy, a případně po konzultaci s příslušnými zúčastněnými stranami, vydá doporučení a pokyny týkající se technických oblastí, které by měly být zohledněny ve vztahu k odstavci 1, jakož i s ohledem na již existující normy, včetně národních norem, které by umožnily tyto oblasti pokrýt.

KAPITOLA V

PRAVOMOC A REGISTRACE

Článek 26

Pravomoc a územní působnost

1.   Má se za to, že subjekty spadající do oblasti působnosti této směrnice podléhají pravomoci členského státu, v němž jsou usazeny, s výjimkou těchto případů:

| a) | poskytovatelé veřejných sítí elektronických komunikací nebo poskytovatelé veřejně dostupných služeb elektronických komunikací, u nichž se má za to, že podléhají pravomoci členského státu, v němž poskytují své služby; |
| --- | --- |

a)

poskytovatelé veřejných sítí elektronických komunikací nebo poskytovatelé veřejně dostupných služeb elektronických komunikací, u nichž se má za to, že podléhají pravomoci členského státu, v němž poskytují své služby;

| b) | provozovatelé DNS, registry domén nejvyšší úrovně, subjekty poskytující služby registrace jmen domén, poskytovatelé služeb cloud computingu, poskytovatelé služeb datových center, poskytovatelé sítí pro doručování obsahu, poskytovatelé řízených služeb, poskytovatelé řízených bezpečnostních služeb, poskytovatelé on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí, u nichž se má za to, že podléhají pravomoci členského státu, ve kterém mají hlavní provozovnu v Unii podle odstavce 2; |
| --- | --- |

b)

provozovatelé DNS, registry domén nejvyšší úrovně, subjekty poskytující služby registrace jmen domén, poskytovatelé služeb cloud computingu, poskytovatelé služeb datových center, poskytovatelé sítí pro doručování obsahu, poskytovatelé řízených služeb, poskytovatelé řízených bezpečnostních služeb, poskytovatelé on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí, u nichž se má za to, že podléhají pravomoci členského státu, ve kterém mají hlavní provozovnu v Unii podle odstavce 2;

| c) | subjekty veřejné správy, u nichž se má za to, že podléhají pravomoci členského státu, který je zřídil. |
| --- | --- |

c)

subjekty veřejné správy, u nichž se má za to, že podléhají pravomoci členského státu, který je zřídil.

2.   Pro účely této směrnice se má za to, že hlavní provozovna subjektu podle odst. 1 písm. b) v Unii je umístěna v členském státě, v němž jsou převážně přijímána rozhodnutí týkající se opatření k řízení kybernetických bezpečnostních rizik. Nelze-li takový členský stát určit, nebo nejsou-li tato rozhodnutí přijímána v Unii, má se za to, že hlavní provozovna je v členském státě, v němž daný subjekt provádí činnosti k zajištění kybernetické bezpečnosti. Nelze-li takový členský stát určit, má se za to, že dotčený subjekt má hlavní provozovnu v členském státě, v němž má provozovnu s nejvyšším počtem zaměstnanců v Unii.

3.   Jestliže subjekt uvedený v odst. 1 písm. b) není v Unii usazen, ale nabízí v Unii služby, určí svého zástupce v Unii. Tento zástupce musí být usazen v jednom z členských států, v němž jsou služby nabízeny. Má se za to, že tento subjekt podléhá pravomoci členského státu místa usazení zástupce. Neexistuje-li zástupce v Unii určený podle tohoto odstavce, může právní kroky proti subjektu za porušení této směrnice podniknout kterýkoli členský stát, v němž tento subjekt poskytuje služby.

4.   Tím, že subjekt uvedený v odst. 1 písm. b) určí svého zástupce, nejsou dotčeny právní kroky, které by mohly být podniknuty proti subjektu samotnému.

5.   Členské státy, které obdržely žádost o vzájemnou pomoc týkající se subjektu podle odst. 1 písm. b), mohou v mezích této žádosti přijmout ohledně dotčeného subjektu, který poskytuje služby nebo má síť nebo informační systém na jejich území, odpovídající opatření v oblasti dohledu a vymáhání.

Článek 27

Registr subjektů

1.   Agentura ENISA vytvoří a vede registr provozovatelů DNS, registrů domén nejvyšší úrovně, subjektů poskytujících služby registrace jmen domén, poskytovatelů služeb cloud computingu, poskytovatelů služeb datových center, poskytovatelů sítí pro doručování obsahu, poskytovatelů řízených služeb, poskytovatelů řízených bezpečnostních služeb, jakož i poskytovatelů on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí na základě informací obdržených od jednotných kontaktních míst podle odstavce 4. Agentura ENISA na žádost umožní přístup do uvedeného rejstříku příslušným orgánům, přičemž v příslušných případech zajistí ochranu důvěrnosti informací.

2.   Členské státy vyžadují, aby subjekty uvedené v odstavci 1 do 17. ledna 2025 předložily příslušným orgánům tyto informace:

| a) | název subjektu; |
| --- | --- |

a)

název subjektu;

| b) | příslušné odvětví, pododvětví a druh subjektu, jak je v příslušných případech uvedeno v příloze I nebo II; |
| --- | --- |

b)

příslušné odvětví, pododvětví a druh subjektu, jak je v příslušných případech uvedeno v příloze I nebo II;

| c) | adresu hlavní provozovny subjektu a jeho dalších provozoven v Unii nebo, není-li subjekt v Unii usazen, zástupce subjektu určeného podle čl. 26 odst. 3; |
| --- | --- |

c)

adresu hlavní provozovny subjektu a jeho dalších provozoven v Unii nebo, není-li subjekt v Unii usazen, zástupce subjektu určeného podle čl. 26 odst. 3;

| d) | aktuální kontaktní údaje, včetně e-mailových adres a telefonních čísel subjektu, a případně jeho zástupce určeného podle čl. 26 odst. 3; |
| --- | --- |

d)

aktuální kontaktní údaje, včetně e-mailových adres a telefonních čísel subjektu, a případně jeho zástupce určeného podle čl. 26 odst. 3;

| e) | členské státy, v nichž subjekt poskytuje své služby a |
| --- | --- |

e)

členské státy, v nichž subjekt poskytuje své služby a

| f) | IP adresy subjektu. |
| --- | --- |

f)

IP adresy subjektu.

3.   Členské státy zajistí, aby subjekty uvedené v odstavci 1 oznámily příslušnému orgánu všechny změny informací, které předložily podle odstavce 2, a to bezodkladně, nejpozději však do tří měsíců od data změny.

4.   Po obdržení informací podle odstavců 2 a 3, s výjimkou informací podle odst. 2 písm. f), jednotné kontaktní místo dotčeného členského státu postoupí bez zbytečného odkladu tyto informace agentuře ENISA.

5.   V příslušném případě se informace uvedené v odstavcích 2 a 3 tohoto článku předloží prostřednictvím vnitrostátního mechanismu uvedeného v čl. 3 odst. 4 čtvrtém pododstavci.

Článek 28

Databáze údajů o registraci jmen domén

1.   Aby členské státy přispěly k bezpečnosti, stabilitě a odolnosti systému překladu jmen domén, požadují, aby registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén shromažďovaly a uchovávaly přesné a úplné údaje o registraci jmen domén ve vyhrazené databázi, a to s náležitou péčí v souladu s právem Unie v oblasti ochrany údajů, pokud jde o data, jež jsou osobními údaji.

2.   Členské státy pro účely odstavce 1 vyžadují, aby databáze údajů o registraci jmen domén obsahovala nezbytné informace umožňující identifikaci a kontaktování držitelů jmen domén a kontaktní místa spravující jména domén v registrech domén nejvyšší úrovně. Tyto informace zahrnují:

| a) | jméno domény; |
| --- | --- |

a)

jméno domény;

| b) | datum registrace; |
| --- | --- |

b)

datum registrace;

| c) | jméno žadatele o registraci, jeho kontaktní e-mailovou adresu a telefonní číslo; |
| --- | --- |

c)

jméno žadatele o registraci, jeho kontaktní e-mailovou adresu a telefonní číslo;

| d) | kontaktní e-mailovou adresu a telefonní číslo kontaktního místa spravujícího jméno domény, pokud se liší od kontaktních údajů žadatele o registraci. |
| --- | --- |

d)

kontaktní e-mailovou adresu a telefonní číslo kontaktního místa spravujícího jméno domény, pokud se liší od kontaktních údajů žadatele o registraci.

3.   Členské státy požadují, aby registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén měly zavedeny zásady a postupy, včetně postupů ověřování, zajišťující, aby databáze uvedené v odstavci 1 zahrnovaly přesné a úplné informace. Členské státy požadují, aby byly tyto zásady a postupy veřejně dostupné.

4.   Členské státy požadují, aby registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén zveřejňovaly bez zbytečného odkladu po registraci jména domény údaje o registraci jména domény, které nejsou osobními údaji.

5.   Členské státy požadují, aby registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén poskytovaly přístup ke konkrétním údajům o registraci jmen domén na oprávněnou a řádně odůvodněnou žádost oprávněných žadatelů o přístup, a to v souladu s právem Unie v oblasti ochrany údajů. Členské státy požadují, aby registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén reagovaly bez zbytečného odkladu, nejpozději však do 72 hodin od obdržení žádosti o přístup. Členské státy požadují, aby byly zásady a postupy zveřejňování těchto údajů veřejně dostupné.

6.   Dodržování povinností stanovených v odstavcích 1 až 5 nesmí při shromažďování údajů o registraci jmen domén vést ke zdvojování. Členské státy požadují, aby za tímto účelem registry domén nejvyšší úrovně a subjekty poskytující služby registrace jmen domén vzájemně spolupracovaly.

KAPITOLA VI

SDÍLENÍ INFORMACÍ

Článek 29

Ujednání o sdílení informací o kybernetické bezpečnosti

1.   Členské státy zajistí, aby subjekty, na které se vztahuje oblast působnosti této směrnice, a případně jiné subjekty nespadající do oblasti působnosti této směrnice mohly mezi sebou dobrovolně sdílet podstatné informace o kybernetické bezpečnosti včetně informací týkajících se kybernetických hrozeb, významných událostí, zranitelností, technik a postupů, indikátorů kompromitace, nepřátelských taktik, informací specifických pro daný subjekt a danou hrozbu, varování při ohrožení kybernetické bezpečnosti a doporučení týkající se konfigurace nástrojů kybernetické bezpečnosti, které slouží k odhalování kybernetických útoků, pokud toto sdílení informací:

| a) | má za cíl předcházet incidentům, odhalovat je, reagovat na ně, zotavovat se z nich nebo zmírňovat jejich dopad; |
| --- | --- |

a)

má za cíl předcházet incidentům, odhalovat je, reagovat na ně, zotavovat se z nich nebo zmírňovat jejich dopad;

| b) | zvyšuje úroveň kybernetické bezpečnosti, zejména zvyšováním informovanosti o kybernetických hrozbách, omezováním nebo bráněním schopnosti těchto hrozeb šířit se, podporou obranných schopností, nápravou zranitelností a zveřejňováním zranitelností, odhalováním hrozeb, technikami na zamezení šíření hrozeb a předcházení jim, strategií zmírňování nebo fází reakce a obnovy nebo podporou společného výzkumu kybernetických hrozeb ze strany subjektů veřejného a soukromého sektoru. |
| --- | --- |

b)

zvyšuje úroveň kybernetické bezpečnosti, zejména zvyšováním informovanosti o kybernetických hrozbách, omezováním nebo bráněním schopnosti těchto hrozeb šířit se, podporou obranných schopností, nápravou zranitelností a zveřejňováním zranitelností, odhalováním hrozeb, technikami na zamezení šíření hrozeb a předcházení jim, strategií zmírňování nebo fází reakce a obnovy nebo podporou společného výzkumu kybernetických hrozeb ze strany subjektů veřejného a soukromého sektoru.

2.   Členské státy zajistí, aby k výměně informací docházelo v komunitách základních a důležitých subjektů a případně jejich dodavatelů nebo poskytovatelů služeb. Tato výměna bude probíhat prostřednictvím ujednání o sdílení informací o kybernetické bezpečnosti s ohledem na potenciálně citlivou povahu sdílených informací.

3.   Členské státy usnadní zavedení ujednání o sdílení informací o kybernetické bezpečnosti uvedených v odstavci 2 tohoto článku. Tato ujednání mohou upřesnit provozní prvky, včetně použití vyhrazených platforem IKT a nástrojů automatizace, obsah a podmínky ujednání o sdílení informací. Členské státy podrobně upraví zapojení veřejných orgánů do těchto ujednání, přičemž mohou stanovit podmínky pro informace zpřístupněné příslušnými orgány nebo týmy CSIRT. Členské státy nabídnou podporu při uplatňování těchto ujednání v souladu se svými politikami uvedenými v čl. 7 odst. 2 písm. h).

4.   Členské státy zajistí, aby základní a důležité subjekty oznámily příslušným orgánům, že se účastní ujednání o sdílení informací o kybernetické bezpečnosti podle odstavce 2, a to od okamžiku uzavření takových ujednání, nebo v příslušných případech skutečnost, že od nich odstoupily, a to jakmile takové odstoupení nabude účinku.

5.   Agentura ENISA podporuje vznik ujednání o sdílení informací o kybernetické bezpečnosti podle odstavce 2 výměnou osvědčených postupů a poskytováním pokynů.

Článek 30

Dobrovolné oznamování relevantních informací

1.   Členské státy zajistí, aby vedle oznamovací povinnosti stanovené v článku 23 mohla být oznámení dobrovolně předkládána týmům CSIRT nebo případně příslušným orgánům ze strany:

| a) | základních a důležitých subjektů, pokud jde o incidenty, kybernetické hrozby a významné události; |
| --- | --- |

a)

základních a důležitých subjektů, pokud jde o incidenty, kybernetické hrozby a významné události;

| b) | subjektů, které nejsou uvedeny v písmeni a), bez ohledu na to, zda se na ně vztahuje oblast působnosti této směrnice, pokud jde o významné incidenty, kybernetické hrozby a významné události. |
| --- | --- |

b)

subjektů, které nejsou uvedeny v písmeni a), bez ohledu na to, zda se na ně vztahuje oblast působnosti této směrnice, pokud jde o významné incidenty, kybernetické hrozby a významné události.

2.   Při zpracování oznámení uvedených v odstavci 1 tohoto článku postupují členské státy v souladu s postupem stanoveným v článku 23. Členské státy mohou dát přednost zpracování povinných oznámení před dobrovolnými oznámeními.

V případě potřeby poskytnou týmy CSIRT a případně příslušné orgány jednotným kontaktním místům informace o oznámeních obdržených podle tohoto článku, přičemž zajistí důvěrnost a náležitou ochranu informací, jež poskytl oznamující subjekt. Aniž je dotčena prevence, vyšetřování, odhalování a stíhání trestných činů, nesmí dobrovolné oznámení vést k tomu, že oznamujícímu subjektu budou uloženy další povinnosti, které by neměl, kdyby toto oznámení neučinil.

KAPITOLA VII

DOHLED A VYMÁHÁNÍ

Článek 31

Obecné aspekty týkající se dohledu a vymáhání

1.   Členské státy zajistí, aby jejich příslušné orgány účinně dohlížely na dodržování této směrnice a přijímaly opatření nezbytná k zajištění jejího dodržování.

2.   Členské státy mohou svým příslušným orgánům umožnit, aby v rámci dohledu vymezily priority u svých činností. Toto vymezení priorit vychází z přístupu založeného na posouzení rizik. Za tímto účelem mohou příslušné orgány při výkonu svých dohledových úkolů stanovených v článcích 32 a 33 stanovit metodiky dohledu, které umožní stanovit priority těchto úkolů na základě přístupu vyplývajícího z posouzení rizik.

3.   Při řešení incidentů, v jejichž důsledku došlo k porušení zabezpečení osobních údajů, příslušné orgány úzce spolupracují s dozorovými úřady podle nařízení (EU) 2016/679, aniž jsou dotčeny pravomoci a úkoly dozorových úřadů podle uvedeného nařízení.

4.   Aniž jsou dotčeny vnitrostátní právní a institucionální rámce, členské státy zajistí, aby příslušné orgány měly při dohledu nad dodržováním této směrnice ze strany subjektů veřejné správy a při ukládání opatření v oblasti vymáhání za porušení této směrnice odpovídající pravomoci k provedení takových úkolů a měly přitom ve vztahu k subjektům veřejné správy, nad nimiž dohled provádějí, funkční nezávislost. Členské státy mohou rozhodnout o uložení vhodných, přiměřených a účinných opatření v oblasti dohledu a vymáhání ve vztahu k těmto subjektům v souladu s vnitrostátními právními a institucionálními rámci.

Článek 32

Opatření v oblasti dohledu a vymáhání týkající se základních subjektů

1.   Členské státy zajistí, aby byla opatření v oblasti dohledu nebo vymáhání uložená základním subjektům v souvislosti s povinnostmi stanovenými v této směrnici účinná, přiměřená a odrazující, přičemž zohlední okolnosti každého jednotlivého případu.

2.   Členské státy zajistí, aby příslušné orgány měly při výkonu svých dohledových úkolů v souvislosti se základními subjekty pravomoc podrobit tyto subjekty alespoň:

| a) | kontrolám na místě i externímu dohledu, včetně namátkových kontrol, které provádí vyškolení odborníci; |
| --- | --- |

a)

kontrolám na místě i externímu dohledu, včetně namátkových kontrol, které provádí vyškolení odborníci;

| b) | pravidelným a cíleným bezpečnostním auditům, které provádí nezávislý subjekt nebo příslušný orgán; |
| --- | --- |

b)

pravidelným a cíleným bezpečnostním auditům, které provádí nezávislý subjekt nebo příslušný orgán;

| c) | auditům ad hoc, a to i v případech odůvodněných významným incidentem nebo porušením této směrnice ze strany základního subjektu; |
| --- | --- |

c)

auditům ad hoc, a to i v případech odůvodněných významným incidentem nebo porušením této směrnice ze strany základního subjektu;

| d) | bezpečnostním prověrkám na základě objektivních, nediskriminačních, korektních a transparentních kritérií posouzení rizik, které se v případě potřeby provedou ve spolupráci s dotčeným subjektem; |
| --- | --- |

d)

bezpečnostním prověrkám na základě objektivních, nediskriminačních, korektních a transparentních kritérií posouzení rizik, které se v případě potřeby provedou ve spolupráci s dotčeným subjektem;

| e) | požadavkům na informace nezbytné k posouzení opatření k řízení kybernetických bezpečnostních rizik přijatých dotčeným subjektem, včetně zadokumentovaných zásad kybernetické bezpečnosti, jakož i dodržování povinnosti předkládat informace příslušným orgánům podle článku 27; |
| --- | --- |

e)

požadavkům na informace nezbytné k posouzení opatření k řízení kybernetických bezpečnostních rizik přijatých dotčeným subjektem, včetně zadokumentovaných zásad kybernetické bezpečnosti, jakož i dodržování povinnosti předkládat informace příslušným orgánům podle článku 27;

| f) | požadavkům na přístup k údajům, dokumentům a informacím potřebným pro výkon dohledových úkolů; |
| --- | --- |

f)

požadavkům na přístup k údajům, dokumentům a informacím potřebným pro výkon dohledových úkolů;

| g) | požadavkům na doložení provádění zásad kybernetické bezpečnosti, jako jsou výsledky bezpečnostních auditů provedených kvalifikovaným auditorem a příslušné podpůrné doklady. |
| --- | --- |

g)

požadavkům na doložení provádění zásad kybernetické bezpečnosti, jako jsou výsledky bezpečnostních auditů provedených kvalifikovaným auditorem a příslušné podpůrné doklady.

Cílené bezpečnostní audity uvedené v prvním pododstavci písm. b) jsou založeny na posouzení rizik, jež provede příslušný orgán nebo auditovaný subjekt, nebo na jiných dostupných informacích týkajících se rizik.

Výsledky cíleného bezpečnostního auditu se zpřístupní příslušnému orgánu. Náklady na takový cílený bezpečnostní audit provedený nezávislým subjektem hradí auditovaný subjekt, s výjimkou řádně odůvodněných případů, kdy příslušný orgán rozhodne jinak.

3.   Při výkonu svých pravomocí podle odst. 2 písm. e), f) či g) uvedou příslušné orgány účel žádosti a upřesní informace, které jsou požadovány.

4.   Členské státy zajistí, aby jejich příslušné orgány měly při výkonu svých pravomocí v oblasti vymáhání v souvislosti se základními subjekty pravomoc alespoň:

| a) | vydat varování o porušení této směrnice dotčenými subjekty; |
| --- | --- |

a)

vydat varování o porušení této směrnice dotčenými subjekty;

| b) | přijmout závazné pokyny, včetně pokynů týkajících se opatření nezbytných k zabránění incidentu nebo jeho nápravě, lhůt pro provedení těchto opatření a podávání zpráv o jejich provedení, nebo příkaz požadující, aby dotčené subjekty napravily zjištěné nedostatky nebo porušení této směrnice; |
| --- | --- |

b)

přijmout závazné pokyny, včetně pokynů týkajících se opatření nezbytných k zabránění incidentu nebo jeho nápravě, lhůt pro provedení těchto opatření a podávání zpráv o jejich provedení, nebo příkaz požadující, aby dotčené subjekty napravily zjištěné nedostatky nebo porušení této směrnice;

| c) | nařídit dotčeným subjektům, aby ukončily porušování této směrnice, a takového chování se znovu nedopouštěly; |
| --- | --- |

c)

nařídit dotčeným subjektům, aby ukončily porušování této směrnice, a takového chování se znovu nedopouštěly;

| d) | nařídit dotčeným subjektům, aby zajistily, že jejich opatření k řízení kybernetických bezpečnostních rizik jsou v souladu s článkem 21, nebo aby plnily oznamovací povinnosti stanovené v článku 23, a to určeným způsobem a ve stanovené lhůtě; |
| --- | --- |

d)

nařídit dotčeným subjektům, aby zajistily, že jejich opatření k řízení kybernetických bezpečnostních rizik jsou v souladu s článkem 21, nebo aby plnily oznamovací povinnosti stanovené v článku 23, a to určeným způsobem a ve stanovené lhůtě;

| e) | nařídit dotčeným subjektům, aby informovaly fyzické nebo právnické osoby, v souvislosti s nimiž poskytují služby nebo vykonávají činnosti, které jsou potenciálně postiženy významnou kybernetickou hrozbou, o povaze této hrozby, jakož i o všech možných ochranných nebo nápravných opatřeních, jež by mohly tyto fyzické nebo právnické osoby učinit v reakci na tuto hrozbu; |
| --- | --- |

e)

nařídit dotčeným subjektům, aby informovaly fyzické nebo právnické osoby, v souvislosti s nimiž poskytují služby nebo vykonávají činnosti, které jsou potenciálně postiženy významnou kybernetickou hrozbou, o povaze této hrozby, jakož i o všech možných ochranných nebo nápravných opatřeních, jež by mohly tyto fyzické nebo právnické osoby učinit v reakci na tuto hrozbu;

| f) | nařídit dotčeným subjektům, aby v přiměřené lhůtě provedly doporučení vydaná v důsledku bezpečnostního auditu; |
| --- | --- |

f)

nařídit dotčeným subjektům, aby v přiměřené lhůtě provedly doporučení vydaná v důsledku bezpečnostního auditu;

| g) | určit na stanovenou dobu pracovníka pro sledování s přesně vymezenými úkoly, který bude dohlížet na dodržování článků 21 a 23 ze strany dotčených subjektů; |
| --- | --- |

g)

určit na stanovenou dobu pracovníka pro sledování s přesně vymezenými úkoly, který bude dohlížet na dodržování článků 21 a 23 ze strany dotčených subjektů;

| h) | nařídit dotčeným subjektům, aby určeným způsobem zveřejnily aspekty týkající se porušení této směrnice; |
| --- | --- |

h)

nařídit dotčeným subjektům, aby určeným způsobem zveřejnily aspekty týkající se porušení této směrnice;

| i) | vedle kteréhokoli z opatření uvedených v písmenech a) až h) tohoto odstavce uložit správní pokutu podle článku 34 nebo navrhnout příslušným orgánům nebo soudům v souladu s vnitrostátním právem její uložení. |
| --- | --- |

i)

vedle kteréhokoli z opatření uvedených v písmenech a) až h) tohoto odstavce uložit správní pokutu podle článku 34 nebo navrhnout příslušným orgánům nebo soudům v souladu s vnitrostátním právem její uložení.

5.   Pokud jsou opatření v oblasti vymáhání přijatá podle odst. 4 písm. a) až d) a f) neúčinná, členské státy zajistí, aby jejich příslušné orgány měly pravomoc stanovit lhůtu, v níž bude základní subjekt vyzván k přijetí nezbytných opatření k nápravě nedostatků nebo splnění požadavků těchto orgánů. Pokud požadovaná opatření nebudou přijata ve stanovené lhůtě, členské státy zajistí, aby jejich příslušné orgány měly pravomoc:

| a) | dočasně pozastavit nebo v souladu s vnitrostátním právem požádat certifikační nebo povolovací orgán nebo soud o dočasné pozastavení certifikace nebo povolení týkající se části nebo všech příslušných služeb nebo činností poskytovaných základním subjektem; |
| --- | --- |

a)

dočasně pozastavit nebo v souladu s vnitrostátním právem požádat certifikační nebo povolovací orgán nebo soud o dočasné pozastavení certifikace nebo povolení týkající se části nebo všech příslušných služeb nebo činností poskytovaných základním subjektem;

| b) | požadovat, aby příslušné orgány nebo soudy v souladu s vnitrostátním právem uložily dočasný zákaz výkonu řídicích funkcí v základním subjektu jakékoliv fyzické osobě, která má odpovědnost za výkon řídicích funkcí na úrovni výkonného ředitele nebo zákonného zástupce v tomto subjektu. |
| --- | --- |

b)

požadovat, aby příslušné orgány nebo soudy v souladu s vnitrostátním právem uložily dočasný zákaz výkonu řídicích funkcí v základním subjektu jakékoliv fyzické osobě, která má odpovědnost za výkon řídicích funkcí na úrovni výkonného ředitele nebo zákonného zástupce v tomto subjektu.

Dočasná pozastavení nebo zákazy uložené podle tohoto odstavce se použijí pouze do okamžiku, než dotčený subjekt přijme opatření nezbytná k nápravě nedostatků nebo splnění požadavků příslušného orgánu, kvůli nimž byla tato opatření v oblasti vymáhání uplatněna. Uložení takových dočasných pozastavení nebo zákazů podléhá náležitým procesním zárukám v souladu s obecnými zásadami práva Unie a Listiny, včetně práva na účinnou právní ochranu a na spravedlivý proces, presumpce neviny a práva na obhajobu.

Opatření v oblasti vymáhání stanovená v tomto odstavci se nevztahují na subjekty veřejné správy, na něž se vztahuje tato směrnice.

6.   Členské státy zajistí, aby každá fyzická osoba jednající za základní subjekt nebo jednající jako právní zástupce základního subjektu na základě oprávnění jej zastupovat, oprávnění přijímat rozhodnutí jeho jménem nebo oprávnění vykonávat nad ním kontrolu měla pravomoc zajistit dodržování této směrnice. Členské státy zajistí, aby byla stanovena odpovědnost těchto fyzických osob za porušení jejich povinností spočívajících v zajištění dodržování této směrnice.

Pokud jde o subjekty veřejné správy, není tímto odstavcem dotčeno vnitrostátní právo o odpovědnosti úředníků veřejné správy a volených veřejných činitelů nebo jmenovaných úředníků.

7.   Při přijímání opatření v oblasti vymáhání podle odstavce 4 nebo 5 dodržují příslušné orgány práva na obhajobu a zohlední okolnosti každého jednotlivého případu a v úvahu vezmou alespoň:

| a) | závažnost porušení a významnost porušených ustanovení, přičemž následující porušení se vždy považují za závažná:






  i) | opakovaná porušení; |
| --- | --- | --- |

a)

závažnost porušení a významnost porušených ustanovení, přičemž následující porušení se vždy považují za závažná:

i)

opakovaná porušení;

| ii) | neoznámení nebo nezajištění nápravy významných incidentů; |
| --- | --- |

ii)

neoznámení nebo nezajištění nápravy významných incidentů;

| iii) | nenapravení nedostatků podle závazných pokynů příslušných orgánů; |
| --- | --- |

iii)

nenapravení nedostatků podle závazných pokynů příslušných orgánů;

| iv) | maření auditů nebo sledovací činnosti nařízené příslušným orgánem po zjištění porušení; |
| --- | --- |

iv)

maření auditů nebo sledovací činnosti nařízené příslušným orgánem po zjištění porušení;

| v) | poskytnutí nepravdivých nebo hrubě nepřesných informací v souvislosti s opatřeními pro řízení rizik v oblasti kybernetické bezpečnosti nebo oznamovacími povinnostmi stanovenými v článcích 21 a 23; |
| --- | --- |

v)

poskytnutí nepravdivých nebo hrubě nepřesných informací v souvislosti s opatřeními pro řízení rizik v oblasti kybernetické bezpečnosti nebo oznamovacími povinnostmi stanovenými v článcích 21 a 23;

| b) | dobu trvání porušení; |
| --- | --- |

b)

dobu trvání porušení;

| c) | veškerá relevantní porušení, kterých se dotčený subjekt dopustil v minulosti; |
| --- | --- |

c)

veškerá relevantní porušení, kterých se dotčený subjekt dopustil v minulosti;

| d) | způsobenou hmotnou nebo nehmotnou újmu, včetně jakékoli finanční nebo ekonomické ztráty, účinků na jiné služby a počtu postižených uživatelů; |
| --- | --- |

d)

způsobenou hmotnou nebo nehmotnou újmu, včetně jakékoli finanční nebo ekonomické ztráty, účinků na jiné služby a počtu postižených uživatelů;

| e) | jakýkoli úmysl nebo nedbalost pachatele porušení; |
| --- | --- |

e)

jakýkoli úmysl nebo nedbalost pachatele porušení;

| f) | jakákoli opatření přijatá subjektem za účelem zamezení nebo zmírnění hmotné nebo nehmotné újmy; |
| --- | --- |

f)

jakákoli opatření přijatá subjektem za účelem zamezení nebo zmírnění hmotné nebo nehmotné újmy;

| g) | jakékoli dodržování schválených kodexů chování nebo schválených certifikačních mechanismů; |
| --- | --- |

g)

jakékoli dodržování schválených kodexů chování nebo schválených certifikačních mechanismů;

| h) | úroveň spolupráce odpovědné fyzické nebo právnické osoby s příslušnými orgány. |
| --- | --- |

h)

úroveň spolupráce odpovědné fyzické nebo právnické osoby s příslušnými orgány.

8.   Příslušné orgány svá opatření v oblasti vymáhání podrobně odůvodní. Příslušné orgány před přijetím těchto opatření oznámí dotčeným subjektům svá předběžná zjištění. Rovněž těmto subjektům poskytnou přiměřenou dobu na předložení připomínek, s výjimkou řádně odůvodněných případů, kdy by to bránilo přijetí okamžitých opatření k předcházení incidentům nebo reakci na ně.

9.   Členské státy zajistí, aby jejich příslušné orgány podle této směrnice informovaly relevantní příslušné orgány ve stejném členském státě podle směrnice (EU) 2022/2557, když plní své pravomoci v oblasti dohledu a vymáhání zaměřené na zajištění toho, aby subjekt určený jakožto kritický subjekt podle směrnice (EU) 2022/2557 dodržoval tuto směrnici. Příslušné orgány podle směrnice (EU) 2022/2557 mohou případně požádat příslušné orgány podle této směrnice, aby vykonávaly své dohledové a vymáhací pravomoci ve vztahu k subjektu, který je určen jakožto kritický subjekt podle směrnice (EU) 2022/2557.

10.   Členské státy zajistí, aby jejich příslušné orgány podle této směrnice spolupracovaly s relevantními příslušnými orgány dotčeného členského státu podle nařízení (EU) 2022/2554. Členské státy zejména zajistí, aby jejich příslušné orgány podle této směrnice informovaly fórum dohledu zřízené podle čl. 32 odst. 1 nařízení (EU) 2022/2554, když plní své pravomoci v oblasti dohledu a vymáhání zaměřené na zajištění toho, aby základní subjekt, který je označen jakožto kritický poskytovatel služeb IKT z řad třetích stran podle článku 31 nařízení (EU) 2022/2554, dodržoval tuto směrnici.

Článek 33

Opatření v oblasti dohledu a vymáhání týkající se důležitých subjektů

1.   Jsou-li členským státům předloženy důkazy, indicie nebo informace, které naznačují, že důležitý subjekt údajně nedodržuje tuto směrnici, zejména její články 21 a 23, členské státy zajistí, aby příslušné orgány v případě potřeby přijaly opatření prostřednictvím dohledových opatření ex post. Členské státy zajistí, aby tato opatření byla účinná, přiměřená a odrazující, přičemž zohlední okolnosti každého jednotlivého případu.

2.   Členské státy zajistí, aby příslušné orgány měly při výkonu svých dohledových úkolů v souvislosti s důležitými subjekty pravomoc podrobit tyto subjekty alespoň:

| a) | kontrolám na místě i externímu dohledu ex post, které provádí vyškolení odborníci; |
| --- | --- |

a)

kontrolám na místě i externímu dohledu ex post, které provádí vyškolení odborníci;

| b) | cíleným bezpečnostním auditům, které provádí nezávislý subjekt nebo příslušný orgán; |
| --- | --- |

b)

cíleným bezpečnostním auditům, které provádí nezávislý subjekt nebo příslušný orgán;

| c) | bezpečnostním prověrkám na základě objektivních, nediskriminačních, korektních a transparentních kritérií posouzení rizik, které se v případě potřeby provedou ve spolupráci s dotčeným subjektem; |
| --- | --- |

c)

bezpečnostním prověrkám na základě objektivních, nediskriminačních, korektních a transparentních kritérií posouzení rizik, které se v případě potřeby provedou ve spolupráci s dotčeným subjektem;

| d) | požadavkům na informace nezbytné k posouzení opatření k řízení kybernetických bezpečnostních rizik ex post přijatých dotčeným subjektem, včetně zadokumentovaných zásad kybernetické bezpečnosti, jakož i dodržování povinnosti předkládat informace příslušným orgánům podle článku 28; |
| --- | --- |

d)

požadavkům na informace nezbytné k posouzení opatření k řízení kybernetických bezpečnostních rizik ex post přijatých dotčeným subjektem, včetně zadokumentovaných zásad kybernetické bezpečnosti, jakož i dodržování povinnosti předkládat informace příslušným orgánům podle článku 28;

| e) | požadavkům na přístup k údajům, dokumentům a informacím potřebným pro výkon jejich dohledových úkolů; |
| --- | --- |

e)

požadavkům na přístup k údajům, dokumentům a informacím potřebným pro výkon jejich dohledových úkolů;

| f) | požadavkům na doložení provádění zásad kybernetické bezpečnosti, jako jsou výsledky bezpečnostních auditů provedených kvalifikovaným auditorem a příslušné podpůrné doklady. |
| --- | --- |

f)

požadavkům na doložení provádění zásad kybernetické bezpečnosti, jako jsou výsledky bezpečnostních auditů provedených kvalifikovaným auditorem a příslušné podpůrné doklady.

Cílené bezpečnostní audity uvedené v prvním pododstavci písm. b) jsou založeny na posouzení rizik, jež provede příslušný orgán nebo auditovaný subjekt, nebo na jiných dostupných informacích týkajících se rizik.

Výsledky cíleného bezpečnostního auditu se zpřístupní příslušnému orgánu. Náklady na takový cílený bezpečnostní audit provedený nezávislým subjektem hradí auditovaný subjekt, s výjimkou řádně odůvodněných případů, kdy příslušný orgán rozhodne jinak.

3.   Při výkonu svých pravomocí podle odst. 2 písm. d), e) nebo f) uvedou příslušné orgány účel žádosti a upřesní informace, které jsou požadovány.

4.   Členské státy zajistí, aby příslušné orgány měly při výkonu svých vymáhacích pravomocí v souvislosti s důležitými subjekty pravomoc alespoň:

| a) | vydat varování o porušení této směrnice ze strany dotčených subjektů; |
| --- | --- |

a)

vydat varování o porušení této směrnice ze strany dotčených subjektů;

| b) | přijmout závazné pokyny nebo příkaz požadující, aby dotčené subjekty napravily zjištěné nedostatky nebo porušení této směrnice; |
| --- | --- |

b)

přijmout závazné pokyny nebo příkaz požadující, aby dotčené subjekty napravily zjištěné nedostatky nebo porušení této směrnice;

| c) | nařídit dotčeným subjektům, aby ukončily chování, které porušuje tuto směrnici, a takového chování se znovu nedopouštěly; |
| --- | --- |

c)

nařídit dotčeným subjektům, aby ukončily chování, které porušuje tuto směrnici, a takového chování se znovu nedopouštěly;

| d) | nařídit dotčeným subjektům, aby zajistily, že jejich opatření k řízení kybernetických bezpečnostních rizik jsou v souladu s článkem 21, nebo aby plnily oznamovací povinnosti stanovené v článku 23, a to určeným způsobem a ve stanovené lhůtě; |
| --- | --- |

d)

nařídit dotčeným subjektům, aby zajistily, že jejich opatření k řízení kybernetických bezpečnostních rizik jsou v souladu s článkem 21, nebo aby plnily oznamovací povinnosti stanovené v článku 23, a to určeným způsobem a ve stanovené lhůtě;

| e) | nařídit dotčeným subjektům, aby informovaly fyzické nebo právnické osoby, v souvislosti s nimiž poskytují služby nebo vykonávají činnosti, které jsou potenciálně postiženy významnou kybernetickou hrozbou, o povaze této hrozby, jakož i o všech možných ochranných nebo nápravných opatřeních, jež by mohly tyto fyzické nebo právnické osoby učinit v reakci na tuto hrozbu; |
| --- | --- |

e)

nařídit dotčeným subjektům, aby informovaly fyzické nebo právnické osoby, v souvislosti s nimiž poskytují služby nebo vykonávají činnosti, které jsou potenciálně postiženy významnou kybernetickou hrozbou, o povaze této hrozby, jakož i o všech možných ochranných nebo nápravných opatřeních, jež by mohly tyto fyzické nebo právnické osoby učinit v reakci na tuto hrozbu;

| f) | nařídit dotčeným subjektům, aby v přiměřené lhůtě provedly doporučení vydaná v důsledku bezpečnostního auditu; |
| --- | --- |

f)

nařídit dotčeným subjektům, aby v přiměřené lhůtě provedly doporučení vydaná v důsledku bezpečnostního auditu;

| g) | nařídit dotčeným subjektům, aby určeným způsobem zveřejnily aspekty týkající se porušení této směrnice; |
| --- | --- |

g)

nařídit dotčeným subjektům, aby určeným způsobem zveřejnily aspekty týkající se porušení této směrnice;

| h) | vedle kteréhokoli z opatření uvedených v písmenech a) až g) tohoto odstavce uložit správní pokutu podle článku 34 nebo navrhnout příslušným orgánům nebo soudům v souladu s vnitrostátním právem její uložení. |
| --- | --- |

h)

vedle kteréhokoli z opatření uvedených v písmenech a) až g) tohoto odstavce uložit správní pokutu podle článku 34 nebo navrhnout příslušným orgánům nebo soudům v souladu s vnitrostátním právem její uložení.

5.   Ustanovení čl. 32 odst. 6, 7 a 8 se obdobně použijí na opatření v oblasti dohledu a vymáhání stanovená v tomto článku pro důležité subjekty.

6.   Členské státy zajistí, aby jejich příslušné orgány podle této směrnice spolupracovaly s relevantními příslušnými orgány dotčeného členského státu podle nařízení (EU) 2022/2554. Členské státy zejména zajistí, aby jejich příslušné orgány podle této směrnice informovaly fórum dohledu zřízené podle čl. 32 odst. 1 nařízení (EU) 2022/2554, když plní své pravomoci v oblasti dohledu a vymáhání zaměřené na zajištění toho, aby důležitý subjekt, který je označen jakožto kritický poskytovatel služeb IKT z řad třetích stran podle článku 31 nařízení (EU) 2022/2554, dodržoval tuto směrnici.

Článek 34

Obecné podmínky ukládání správních pokut základním a důležitým subjektům

1.   Členské státy zajistí, aby správní pokuty ukládané základním a důležitým subjektům podle tohoto článku za porušení této směrnice byly účinné, přiměřené a odrazující, přičemž zohlední okolnosti každého jednotlivého případu.

2.   Správní pokuty se ukládají spolu s kterýmkoli z opatření uvedených v čl. 32 odst. 4 písm. a) až h), čl. 32 odst. 5 a čl. 33 odst. 4 písm. a) až g).

3.   Při rozhodování o uložení správní pokuty a při rozhodování o její výši se v každém jednotlivém případě náležitě přihlédne alespoň k prvkům uvedeným v čl. 32 odst. 7.

4.   Členské státy zajistí, aby v případě, že základní subjekty poruší článek 21 nebo 23, byly uvedeným subjektům v souladu s odstavci 2 a 3 tohoto článku uloženy správní pokuty, jejichž maximální výše bude stanovena na nejméně 10 000 000 EUR nebo maximálně na alespoň 2 % celkového celosvětového ročního obratu v předchozím rozpočtovém roce u podniku, ke kterému patří základní subjekt, podle toho, co je vyšší.

5.   Členské státy zajistí, aby v případě, že důležité subjekty poruší článek 21 nebo 23, byly uvedeným subjektům v souladu s odstavci 2 a 3 tohoto článku uloženy správní pokuty, jejichž maximální výše bude stanovena na nejméně 7 000 000 EUR nebo maximálně na alespoň 1,4 % celkového celosvětového ročního obratu v předchozím rozpočtovém roce u podniku, ke kterému patří důležitý subjekt, podle toho, co je vyšší.

6.   Členské státy mohou stanovit pravomoc ukládat penále s cílem přimět základní nebo důležitý subjekt, aby přestal porušovat tuto směrnici podle předchozího rozhodnutí příslušného orgánu.

7.   Aniž jsou dotčeny pravomoci příslušných orgánů podle článků 32 a 33, může každý členský stát stanovit pravidla týkající se toho, zda a do jaké míry je možno ukládat správní pokuty subjektům veřejné správy.

8.   Neumožňuje-li právo členského státu uložení správních pokut, tento členský stát zajistí, že se tento článek uplatní tak, aby podnět k uložení pokuty dal příslušný orgán a aby pokuta byla uložena příslušnými vnitrostátními soudy, přičemž současně je třeba zajistit, aby tyto prostředky právní nápravy byly účinné a aby byl jejich účinek rovnocenný správním pokutám, jež ukládají příslušné orgány. Uložené pokuty musí být v každém případě účinné, přiměřené a odrazující. Členský stát oznámí Komisi do 17. října 2024 příslušná ustanovení právních předpisů, která přijme podle tohoto odstavce, a bez prodlení jakoukoli následnou novelu nebo změnu týkající se těchto ustanovení.

Článek 35

Porušení obnášející porušení zabezpečení osobních údajů

1.   Pokud příslušné orgány v průběhu dohledu nebo vymáhání zjistí, že porušení povinností stanovených v článcích 21 a 23 této směrnice základním nebo důležitým subjektem může obnášet porušení zabezpečení osobních údajů ve smyslu čl. 4 odst. 12 nařízení (EU) 2016/679, které má být oznámeno podle článku 33 uvedeného nařízení, uvědomí bez zbytečného odkladu dozorové úřady podle článku 55 nebo 56 uvedeného nařízení.

2.   Pokud dozorové úřady podle článku 55 nebo 56 nařízení (EU) 2016/679 uloží správní pokutu podle čl. 58 odst. 2 písm. i) uvedeného nařízení, příslušné orgány nesmí uložit správní pokutu podle článku 34 této směrnice za porušení uvedené v odstavci 1 tohoto článku za stejné porušení, za něž byla uložena správní pokuta podle čl. 58 odst. 2 písm. i) nařízení (EU) 2016/679. Příslušné orgány však mohou uložit opatření v oblasti vymáhání stanovené v čl. 32 odst. 4 písm. a) až h), čl. 32 odst. 5 a čl. 33 odst. 4 písm. a) až g) této směrnice.

3.   Pokud má dozorový úřad příslušný podle nařízení (EU) 2016/679 sídlo v jiném členském státě než příslušný orgán, informuje příslušný orgán dozorový úřad se sídlem ve stejném členském státě o možném porušení zabezpečení údajů podle odstavce 1.

Článek 36

Sankce

Členské státy stanoví sankce za porušení vnitrostátních opatření přijatých podle této směrnice a přijmou veškerá opatření nezbytná k zajištění jejich uplatňování. Stanovené sankce musí být účinné, přiměřené a odrazující. Členské státy tyto sankce a opatření oznámí Komisi nejpozději do 17. ledna 2025 a neprodleně jí oznámí všechny jejich následné změny.

Článek 37

Vzájemná pomoc

1.   Pokud subjekt poskytuje služby ve více než jednom členském státě, nebo pokud poskytuje služby v jednom nebo více členských státech a jeho sítě a informační systémy se nacházejí v jednom či více jiných členských státech, příslušné orgány dotčených členských států podle potřeby spolupracují a jsou si navzájem nápomocny. Tato spolupráce spočívá alespoň v tomto:

| a) | příslušné orgány uplatňující opatření v oblasti dohledu nebo vymáhání v členském státě kontaktují prostřednictvím jednotného kontaktního místa příslušné orgány v ostatních dotčených členských státech, konzultují s nimi a informují je ohledně přijatých opatření v oblasti dohledu a vymáhání; |
| --- | --- |

a)

příslušné orgány uplatňující opatření v oblasti dohledu nebo vymáhání v členském státě kontaktují prostřednictvím jednotného kontaktního místa příslušné orgány v ostatních dotčených členských státech, konzultují s nimi a informují je ohledně přijatých opatření v oblasti dohledu a vymáhání;

| b) | příslušný orgán může požádat jiný příslušný orgán, aby učinil opatření v oblasti dohledu nebo vymáhání; |
| --- | --- |

b)

příslušný orgán může požádat jiný příslušný orgán, aby učinil opatření v oblasti dohledu nebo vymáhání;

| c) | po obdržení odůvodněné žádosti jiného příslušného orgánu poskytne příslušný orgán druhému příslušnému orgánu vzájemnou pomoc úměrnou vlastním zdrojům, aby bylo možné provést opatření v oblasti dohledu nebo vymáhání účinně, účelně a důsledně. |
| --- | --- |

c)

po obdržení odůvodněné žádosti jiného příslušného orgánu poskytne příslušný orgán druhému příslušnému orgánu vzájemnou pomoc úměrnou vlastním zdrojům, aby bylo možné provést opatření v oblasti dohledu nebo vymáhání účinně, účelně a důsledně.

Vzájemná pomoc uvedená v prvním pododstavci písm. c) může zahrnovat žádosti o informace a opatření v oblasti dohledu, včetně žádostí o provedení kontrol na místě nebo externího dohledu, případně cílených bezpečnostních auditů. Příslušný orgán, kterému je určena žádost o pomoc, nemůže tuto žádost odmítnout, ledaže se prokáže, že tento orgán není příslušný k poskytnutí požadované pomoci nebo požadovaná pomoc není úměrná úkolům dohledu příslušného orgánu nebo že se žádost týká informací nebo zahrnuje činnosti, které by v případě zveřejnění nebo provedení byly v rozporu se zásadními zájmy v oblasti národní bezpečnosti, veřejné bezpečnosti nebo obrany daného členského státu. Před zamítnutím takové žádosti konzultuje příslušný orgán ostatní dotčené příslušné orgány a na žádost jednoho z dotčených členských států také Komisi a agenturu ENISA.

2.   Je-li to vhodné, mohou se příslušné orgány z různých členských států vzájemně dohodnout, že budou provádět společné činnosti v oblasti dohledu.

KAPITOLA VIII

AKTY V PŘENESENÉ PRAVOMOCI A PROVÁDĚCÍ AKTY

Článek 38

Výkon přenesené pravomoci

1.   Pravomoc přijímat akty v přenesené pravomoci je svěřena Komisi za podmínek stanovených v tomto článku.

2.   Pravomoc přijímat akty v přenesené pravomoci uvedená v čl. 24 odst. 2 je svěřena Komisi na dobu pěti let ode dne 16. ledna 2023.

3.   Evropský parlament nebo Rada mohou přenesení pravomoci uvedené v čl. 24 odst. 2 kdykoli zrušit. Rozhodnutím o zrušení se ukončuje přenesení pravomoci v něm určené. Rozhodnutí nabývá účinku prvním dnem po zveřejnění v Úředním věstníku Evropské unie, nebo k pozdějšímu dni, který je v něm upřesněn. Nedotýká se platnosti již platných aktů v přenesené pravomoci.

4.   Před přijetím aktu v přenesené pravomoci vede Komise konzultace s odborníky jmenovanými jednotlivými členskými státy v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů.

5.   Přijetí aktu v přenesené pravomoci Komise neprodleně oznámí současně Evropskému parlamentu a Radě.

6.   Akt v přenesené pravomoci přijatý podle čl. 24 odst. 2 vstoupí v platnost pouze tehdy, pokud proti němu Evropský parlament nebo Rada nevysloví námitky ve lhůtě dvou měsíců ode dne, kdy jim byl tento akt oznámen, nebo pokud Evropský parlament i Rada před uplynutím této lhůty informují Komisi o tom, že námitky nevysloví. Z podnětu Evropského parlamentu nebo Rady se tato lhůta prodlouží o dva měsíce.

Článek 39

Postup projednávání ve výboru

1.   Komisi je nápomocen výbor. Tento výbor je výborem ve smyslu nařízení (EU) č. 182/2011.

2.   Odkazuje-li se na tento odstavec, použije se článek 5 nařízení (EU) č. 182/2011.

3.   Má-li být o stanovisku výboru rozhodnuto písemným postupem, ukončuje se tento postup bez výsledku, pokud o tom ve lhůtě pro vydání stanoviska rozhodne předseda výboru nebo pokud o to požádá člen výboru.

KAPITOLA IX

ZÁVĚREČNÁ USTANOVENÍ

Článek 40

Přezkum

Do 17. října 2027 a poté každých 36 měsíců Komise přezkoumá fungování této směrnice a podá zprávu Evropskému parlamentu a Radě. Ve zprávě se zejména posoudí význam velikosti dotčených subjektů a odvětví, pododvětví a druhy subjektů podle příloh I a II pro fungování hospodářství a společnosti v souvislosti s kybernetickou bezpečností. Za tímto účelem a s cílem dále rozvíjet strategickou a operativní spolupráci Komise zohlední zprávy skupiny pro spolupráci a sítě CSIRT z hlediska zkušeností získaných na strategické a operativní úrovni. V případě potřeby se ke zprávě přiloží legislativní návrh.

Článek 41

Provedení ve vnitrostátním právu

1.   Členské státy do 17. října 2024 přijmou a zveřejní opatření nezbytná pro dosažení souladu s touto směrnicí. Neprodleně o nich uvědomí Komisi.

Použijí tato opatření ode dne 18. října 2024.

2.   Opatření uvedená v odst. 1 přijatá členskými státy musí obsahovat odkaz na tuto směrnici nebo musí být takový odkaz učiněn při jejich úředním vyhlášení. Způsob odkazu si stanoví členské státy.

Článek 42

Změna nařízení (EU) č. 910/2014

Článek 19 nařízení (EU) č. 910/2014 se zrušuje s účinkem ode dne 18. října 2024.

Článek 43

Změna směrnice (EU) 2018/1972

Články 40 a 41 směrnice (EU) 2018/1972 se zrušují s účinkem ode dne 18. října 2024.

Článek 44

Zrušení

Směrnice (EU) 2016/1148 se zrušuje s účinkem ode dne 18. října 2024.

Odkazy na zrušenou směrnici se považují za odkazy na tuto směrnici v souladu se srovnávací tabulkou obsaženou v příloze III.

Článek 45

Vstup v platnost

Tato směrnice vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.

Úředním věstníku Evropské unie

Článek 46

Určení

Tato směrnice je určena členským státům.

Ve Štrasburku dne 14. Prosince 2022.

Za Evropský parlament

předsedkyně

R. METSOLA

Za Radu

předseda

M. BEK

---

(1)  
  Úř. věst. C 233, 16.6.2022, s. 22.

1

(2)  
  Úř. věst. C 286, 16.7.2021, s. 170.

2

(3)  Postoj Evropského parlamentu ze dne 10. listopadu 2022 (dosud nezveřejněný v Úředním věstníku) a rozhodnutí Rady ze dne 28. listopadu 2022.

3

(4)  Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (Úř. věst. L 194, 19.7.2016, s. 1).

4

(5)  Doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků a malých a středních podniků (Úř. věst. L 124, 20.5.2003, s. 36).

5

(6)  Nařízení Evropského parlamentu a Rady (EU) č. 910/2014 ze dne 23. července 2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES (Úř. věst. L 257, 28.8.2014, s. 73).

6

(7)  Směrnice Evropského parlamentu a Rady 97/67/ES ze dne 15. prosince 1997 o společných pravidlech pro rozvoj vnitřního trhu poštovních služeb Společenství a zvyšování kvality služby (Úř. věst. L 15, 21.1.1998, s. 14).

7

(8)  Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).

8

(9)  Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. L 201, 31.7.2002, s. 37).

9

(10)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (viz strana 1 v tomto čísle Úředního věstníku).

10

(11)  Nařízení Evropského parlamentu a Rady (ES) č. 300/2008 ze dne 11. března 2008 o společných pravidlech v oblasti ochrany civilního letectví před protiprávními činy a o zrušení nařízení (ES) č. 2320/2002 (Úř. věst. L 97, 9.4.2008, s. 72).

11

(12)  Nařízení Evropského parlamentu a Rady (EU) 2018/1139 ze dne 4. července 2018 o společných pravidlech v oblasti civilního letectví a o zřízení Agentury Evropské unie pro bezpečnost letectví, kterým se mění nařízení (ES) č. 2111/2005, (ES) č. 1008/2008, (EU) č. 996/2010, (EU) č. 376/2014 a směrnice Evropského parlamentu a Rady 2014/30/EU a 2014/53/EU a kterým se zrušuje nařízení Evropského parlamentu a Rady (ES) č. 552/2004 a (ES) č. 216/2008 a nařízení Rady (EHS) č. 3922/91 (Úř. věst. L 212, 22.8.2018, s. 1).

12

(13)  Směrnice Evropského parlamentu a Rady (EU) 2022/2557 ze dne 14. prosince 2022 o odolnosti kritických subjektů, kterou se ruší směrnice Rady 2008/114/ES (viz strana 164 v tomto čísle Úředního věstníku).

13

(14)  Nařízení Evropského parlamentu a Rady (EU) 2021/696 ze dne 28. dubna 2021, kterým se zavádí Kosmický program Unie a zřizuje Agentura Evropské unie pro Kosmický program a zrušují nařízení (EU) č. 912/2010, (EU) č. 1285/2013 a (EU) č. 377/2014 a rozhodnutí č. 541/2014/EU (Úř. věst. L 170, 12.5.2021, s. 69).

14

(15)  Doporučení Komise (EU) 2017/1584 ze dne 13. září 2017 o koordinované reakci na rozsáhlé kybernetické bezpečnostní incidenty a krize (Úř. věst. L 239, 19.9.2017, s. 36).

15

(16)  Prováděcí rozhodnutí Rady (EU) 2018/1993 ze dne 11. prosince 2018 o opatřeních pro integrovanou politickou reakci EU na krize (Úř. věst. L 320, 17.12.2018, s. 28).

16

(17)  Rozhodnutí Evropského parlamentu a Rady č. 1313/2013/EU ze dne 17. prosince 2013 o mechanismu civilní ochrany Unie (Úř. věst. L 347, 20.12.2013, s. 924).

17

(18)  Nařízení Evropského parlamentu a Rady (EU) 2019/881 ze dne 17. dubna 2019 o agentuře ENISA (Agentuře Evropské unie pro kybernetickou bezpečnost), o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií a o zrušení nařízení (EU) č. 526/2013 (akt o kybernetické bezpečnosti) (Úř. věst. L 151, 7.6.2019, s. 15).

18

(19)  Doporučení Komise (EU) 2019/534 ze dne 26. března 2019 s názvem „Kybernetická bezpečnost sítí 5G“ (Úř. věst. L 88, 29.3.2019, s. 42).

19

(20)  Směrnice Evropského parlamentu a Rady (EU) 2018/1972 ze dne 11. prosince 2018, kterou se stanoví evropský kodex pro elektronické komunikace (Úř. věst. L 321, 17.12.2018, s. 36).

20

(21)  Nařízení Evropského parlamentu a Rady (EU) 2021/694 ze dne 29. dubna 2021, kterým se zavádí program Digitální Evropa a zrušuje rozhodnutí (EU) 2015/2240 (Úř. věst. L 166, 11.5.2021, s. 1).

21

(22)  
  Úř. věst. L 123, 12.5.2016, s. 1.

22

(23)  Nařízení Evropského parlamentu a Rady (EU) č. 182/2011 ze dne 16. února 2011, kterým se stanoví pravidla a obecné zásady způsobu, jakým členské státy kontrolují Komisi při výkonu prováděcích pravomocí (Úř. věst. L 55, 28.2.2011, s. 13).

23

(24)  Nařízení (EU) 2022/2065 Evropského parlamentu a Rady ze dne 19. října 2022 o jednotném trhu digitálních služeb a o změně směrnice 2000/31/ES (nařízení o digitálních službách) (Úř. věst. L 277, 27.10.2022, s. 1).

24

(25)  Nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (Úř. věst. L 295, 21.11.2018, s. 39).

25

(26)  
  Úř. věst. C 183, 11.5.2021, s. 3.

26

(27)  Směrnice Evropského parlamentu a Rady 2011/93/EU ze dne 13. prosince 2011 o boji proti pohlavnímu zneužívání a pohlavnímu vykořisťování dětí a proti dětské pornografii, kterou se nahrazuje rámcové rozhodnutí Rady 2004/68/SVV (Úř. věst. L 335, 17.12.2011, s. 1).

27

(28)  Směrnice Evropského parlamentu a Rady 2013/40/EU ze dne 12. srpna 2013 o útocích na informační systémy a nahrazení rámcového rozhodnutí Rady 2005/222/SVV (Úř. věst. L 218, 14.8.2013, s. 8).

28

(29)  Nařízení Evropského parlamentu a Rady (EU) č. 1025/2012 ze dne 25. října 2012 o evropské normalizaci, změně směrnic Rady 89/686/EHS a 93/15/EHS a směrnic Evropského parlamentu a Rady 94/9/ES, 94/25/ES, 95/16/ES, 97/23/ES, 98/34/ES, 2004/22/ES, 2007/23/ES, 2009/23/ES a 2009/105/ES, a kterým se ruší rozhodnutí Rady 87/95/EHS a rozhodnutí Evropského parlamentu a Rady č. 1673/2006/ES (Úř. věst. L 316, 14.11.2012, s. 12).

29

(30)  Směrnice Evropského parlamentu a Rady (EU) 2015/1535 ze dne 9. září 2015 o postupu při poskytování informací v oblasti technických předpisů a předpisů pro služby informační společnosti (Úř. věst. L 241, 17.9.2015, s. 1).

30

(31)  Směrnice Evropského parlamentu a Rady 2005/29/ES ze dne 11. května 2005 o nekalých obchodních praktikách vůči spotřebitelům na vnitřním trhu a o změně směrnice Rady 84/450/EHS, směrnic Evropského parlamentu a Rady 97/7/ES, 98/27/ES a 2002/65/ES a nařízení Evropského parlamentu a Rady (ES) č. 2006/2004 („směrnice o nekalých obchodních praktikách“) (Úř. věst. L 149, 11.6.2005, s. 22).

31

(32)  Nařízení Evropského parlamentu a Rady (EU) 2019/1150 ze dne 20. června 2019 o podpoře spravedlnosti a transparentnosti pro podnikatelské uživatele online zprostředkovatelských služeb (Úř. věst. L 186, 11.7.2019, s. 57).

32

---

PŘÍLOHA I

VYSOCE KRITICKÁ ODVĚTVÍ

| Odvětví | Pododvětví | Druh subjektu |
| --- | --- | --- |
| 1. | Energetika |

Odvětví

Pododvětví

Druh subjektu

1.

Energetika

| a) | elektřina |
| --- | --- |

a)

elektřina

| — | elektroenergetické podniky ve smyslu čl. 2 bodu 57 směrnice Evropského parlamentu a Rady (EU) 2019/944 (1), které zastávají funkci „dodávky“ ve smyslu čl. 2 bodu 12 uvedené směrnice |
| --- | --- |

—

elektroenergetické podniky ve smyslu čl. 2 bodu 57 směrnice Evropského parlamentu a Rady (EU) 2019/944 (1), které zastávají funkci „dodávky“ ve smyslu čl. 2 bodu 12 uvedené směrnice

| — | provozovatelé distribuční soustavy ve smyslu čl. 2 bodu 29 směrnice (EU) 2019/944 |
| --- | --- |

—

provozovatelé distribuční soustavy ve smyslu čl. 2 bodu 29 směrnice (EU) 2019/944

| — | provozovatelé přenosové soustavy ve smyslu čl. 2 bodu 35 směrnice (EU) 2019/944 |
| --- | --- |

—

provozovatelé přenosové soustavy ve smyslu čl. 2 bodu 35 směrnice (EU) 2019/944

| — | výrobci ve smyslu čl. 2 bodu 38 směrnice (EU) 2019/944 |
| --- | --- |

—

výrobci ve smyslu čl. 2 bodu 38 směrnice (EU) 2019/944

| — | nominovaní organizátoři trhu s elektřinou ve smyslu čl. 2 bodu 8 nařízení Evropského parlamentu a Rady (EU) 2019/943 (2) |
| --- | --- |

—

nominovaní organizátoři trhu s elektřinou ve smyslu čl. 2 bodu 8 nařízení Evropského parlamentu a Rady (EU) 2019/943 (2)

| — | účastníci trhu ve smyslu čl. 2 bodu 25 nařízení (EU) 2019/943, kteří poskytují služby agregace, odezvy strany poptávky nebo ukládání energie ve smyslu čl. 2 bodů 18, 20 a 59 směrnice (EU) 2019/944 |
| --- | --- |

—

účastníci trhu ve smyslu čl. 2 bodu 25 nařízení (EU) 2019/943, kteří poskytují služby agregace, odezvy strany poptávky nebo ukládání energie ve smyslu čl. 2 bodů 18, 20 a 59 směrnice (EU) 2019/944

| — | provozovatelé dobíjecích bodů, kteří jsou odpovědní za řízení a provoz dobíjecích bodů, které koncovým uživatelům poskytují službu dobíjení, a to i jménem a na účet poskytovatele služeb mobility |
| --- | --- |

—

provozovatelé dobíjecích bodů, kteří jsou odpovědní za řízení a provoz dobíjecích bodů, které koncovým uživatelům poskytují službu dobíjení, a to i jménem a na účet poskytovatele služeb mobility

| b) | dálkové vytápění a chlazení |
| --- | --- |

b)

dálkové vytápění a chlazení

| — | provozovatelé dálkového vytápění nebo dálkového chlazení ve smyslu čl. 2 bodu 19 směrnice Evropského parlamentu a Rady (EU) 2018/2001 (3) |
| --- | --- |

—

provozovatelé dálkového vytápění nebo dálkového chlazení ve smyslu čl. 2 bodu 19 směrnice Evropského parlamentu a Rady (EU) 2018/2001 (3)

| c) | ropa |
| --- | --- |

c)

ropa

| — | provozovatelé ropovodů |
| --- | --- |

—

provozovatelé ropovodů

| — | provozovatelé zařízení na těžbu, rafinaci a zpracování ropy a skladovacích a přenosových zařízení |
| --- | --- |

—

provozovatelé zařízení na těžbu, rafinaci a zpracování ropy a skladovacích a přenosových zařízení

| — | ústřední správci zásob ve smyslu čl. 2 písm. f) směrnice Rady 2009/119/ES (4) |
| --- | --- |

—

ústřední správci zásob ve smyslu čl. 2 písm. f) směrnice Rady 2009/119/ES (4)

| d) | zemní plyn |
| --- | --- |

d)

zemní plyn

| — | dodavatelské podniky ve smyslu čl. 2 bodu 8 směrnice Evropského parlamentu a Rady 2009/73/ES (5) |
| --- | --- |

—

dodavatelské podniky ve smyslu čl. 2 bodu 8 směrnice Evropského parlamentu a Rady 2009/73/ES (5)

| — | provozovatelé distribuční soustavy ve smyslu čl. 2 bodu 6 směrnice 2009/73/ES |
| --- | --- |

—

provozovatelé distribuční soustavy ve smyslu čl. 2 bodu 6 směrnice 2009/73/ES

| — | provozovatelé přepravní soustavy ve smyslu čl. 2 bodu 4 směrnice 2009/73/ES |
| --- | --- |

—

provozovatelé přepravní soustavy ve smyslu čl. 2 bodu 4 směrnice 2009/73/ES

| — | provozovatelé skladovacího zařízení ve smyslu čl. 2 bodu 10 směrnice 2009/73/ES |
| --- | --- |

—

provozovatelé skladovacího zařízení ve smyslu čl. 2 bodu 10 směrnice 2009/73/ES

| — | provozovatelé zařízení LNG ve smyslu čl. 2 bodu 12 směrnice 2009/73/ES |
| --- | --- |

—

provozovatelé zařízení LNG ve smyslu čl. 2 bodu 12 směrnice 2009/73/ES

| — | plynárenské podniky ve smyslu čl. 2 bodu 1 směrnice 2009/73/ES |
| --- | --- |

—

plynárenské podniky ve smyslu čl. 2 bodu 1 směrnice 2009/73/ES

| — | provozovatelé zařízení na rafinaci a zpracování zemního plynu |
| --- | --- |

—

provozovatelé zařízení na rafinaci a zpracování zemního plynu

| e) | vodík |
| --- | --- |

e)

vodík

| — | provozovatelé výroby, skladování a přepravy vodíku |
| --- | --- |

—

provozovatelé výroby, skladování a přepravy vodíku

| 2. | Doprava |
| --- | --- |

2.

Doprava

| a) | letecká |
| --- | --- |

a)

letecká

| — | letečtí dopravci ve smyslu čl. 3 bodu 4 nařízení (ES) č. 300/2008 využívaní ke komerčním účelům |
| --- | --- |

—

letečtí dopravci ve smyslu čl. 3 bodu 4 nařízení (ES) č. 300/2008 využívaní ke komerčním účelům

| — | řídící orgány letiště ve smyslu čl. 2 bodu 2 směrnice Evropského parlamentu a Rady 2009/12/ES (6), letiště ve smyslu čl. 2 bodu 1 uvedené směrnice, včetně hlavních letišť uvedených v příloze II, části 2 nařízení Evropského parlamentu a Rady (EU) č. 1315/2013 (7), a subjekty provozující pomocná zařízení v rámci letišť |
| --- | --- |

—

řídící orgány letiště ve smyslu čl. 2 bodu 2 směrnice Evropského parlamentu a Rady 2009/12/ES (6), letiště ve smyslu čl. 2 bodu 1 uvedené směrnice, včetně hlavních letišť uvedených v příloze II, části 2 nařízení Evropského parlamentu a Rady (EU) č. 1315/2013 (7), a subjekty provozující pomocná zařízení v rámci letišť

| — | provozovatelé kontroly řízení provozu poskytující služby řízení letového provozu ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (ES) č. 549/2004 (8) |
| --- | --- |

—

provozovatelé kontroly řízení provozu poskytující služby řízení letového provozu ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (ES) č. 549/2004 (8)

| b) | železniční |
| --- | --- |

b)

železniční

| — | provozovatelé infrastruktury ve smyslu čl. 3 bodu 2 směrnice Evropského parlamentu a Rady 2012/34/EU (9) |
| --- | --- |

—

provozovatelé infrastruktury ve smyslu čl. 3 bodu 2 směrnice Evropského parlamentu a Rady 2012/34/EU (9)

| — | železniční podniky ve smyslu čl. 3 bodu 1 směrnice 2012/34/EU, včetně provozovatelů zařízení služeb ve smyslu čl. 3 bodu 12 uvedené směrnice |
| --- | --- |

—

železniční podniky ve smyslu čl. 3 bodu 1 směrnice 2012/34/EU, včetně provozovatelů zařízení služeb ve smyslu čl. 3 bodu 12 uvedené směrnice

| c) | vodní |
| --- | --- |

c)

vodní

| — | společnosti vnitrozemské, námořní a pobřežní osobní a nákladní vodní dopravy, jak jsou vymezeny pro námořní dopravu v příloze I nařízení Evropského parlamentu a Rady (ES) č. 725/2004 (10), kromě jednotlivých plavidel provozovaných těmito podniky |
| --- | --- |

—

společnosti vnitrozemské, námořní a pobřežní osobní a nákladní vodní dopravy, jak jsou vymezeny pro námořní dopravu v příloze I nařízení Evropského parlamentu a Rady (ES) č. 725/2004 (10), kromě jednotlivých plavidel provozovaných těmito podniky

| — | řídící orgány přístavů ve smyslu čl. 3 bodu 1 směrnice Evropského parlamentu a Rady 2005/65/ES (11), včetně jejich přístavních zařízení ve smyslu čl. 2 bodu 11 nařízení (ES) č. 725/2004; a subjekty provozující díla a zařízení v rámci přístavů |
| --- | --- |

—

řídící orgány přístavů ve smyslu čl. 3 bodu 1 směrnice Evropského parlamentu a Rady 2005/65/ES (11), včetně jejich přístavních zařízení ve smyslu čl. 2 bodu 11 nařízení (ES) č. 725/2004; a subjekty provozující díla a zařízení v rámci přístavů

| — | provozovatelé služeb lodní dopravy (VTS) ve smyslu čl. 3 písm. o) směrnice Evropského parlamentu a Rady 2002/59/ES (12) |
| --- | --- |

—

provozovatelé služeb lodní dopravy (VTS) ve smyslu čl. 3 písm. o) směrnice Evropského parlamentu a Rady 2002/59/ES (12)

| d) | silniční |
| --- | --- |

d)

silniční

| — | silniční orgány ve smyslu čl. 2 bodu 12 nařízení Komise v přenesené pravomoci (EU) 2015/962 (13) odpovědné za kontrolu řízení provozu, s výjimkou veřejných subjektů, pro něž je řízení provozu nebo provoz inteligentních dopravních systémů nepodstatnou částí jejich obecné činnosti |
| --- | --- |

—

silniční orgány ve smyslu čl. 2 bodu 12 nařízení Komise v přenesené pravomoci (EU) 2015/962 (13) odpovědné za kontrolu řízení provozu, s výjimkou veřejných subjektů, pro něž je řízení provozu nebo provoz inteligentních dopravních systémů nepodstatnou částí jejich obecné činnosti

| — | provozovatelé inteligentních dopravních systémů ve smyslu čl. 4 bodu 1 směrnice Evropského parlamentu a Rady 2010/40/EU (14) |
| --- | --- |

—

provozovatelé inteligentních dopravních systémů ve smyslu čl. 4 bodu 1 směrnice Evropského parlamentu a Rady 2010/40/EU (14)

| 3. | Bankovnictví |
| --- | --- |

3.

Bankovnictví

úvěrové instituce ve smyslu čl. 4 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 575/2013 (15)

| 4. | Infrastruktura finančních trhů |
| --- | --- |

4.

Infrastruktura finančních trhů

| — | provozovatelé obchodních systémů ve smyslu čl. 4 bodu 24 směrnice Evropského parlamentu a Rady 2014/65/EU (16) |
| --- | --- |

—

provozovatelé obchodních systémů ve smyslu čl. 4 bodu 24 směrnice Evropského parlamentu a Rady 2014/65/EU (16)

| — | ústřední protistrany ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 648/2012 (17) |
| --- | --- |

—

ústřední protistrany ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 648/2012 (17)

| 5. | Zdravotnictví |
| --- | --- |

5.

Zdravotnictví

| — | poskytovatelé zdravotní péče ve smyslu čl. 3 písm. g) směrnice Evropského parlamentu a Rady 2011/24/EU (18) |
| --- | --- |

—

poskytovatelé zdravotní péče ve smyslu čl. 3 písm. g) směrnice Evropského parlamentu a Rady 2011/24/EU (18)

| — | referenční laboratoře EU ve smyslu článku 15 nařízení Evropského parlamentu a Rady (EU) 2022/... (19) |
| --- | --- |

—

referenční laboratoře EU ve smyslu článku 15 nařízení Evropského parlamentu a Rady (EU) 2022/... (19)

| — | subjekty provádějící výzkum a vývoj týkající se léčivých přípravků ve smyslu čl. 1 bodu 2 směrnice Evropského parlamentu a Rady 2001/83/ES (20) |
| --- | --- |

—

subjekty provádějící výzkum a vývoj týkající se léčivých přípravků ve smyslu čl. 1 bodu 2 směrnice Evropského parlamentu a Rady 2001/83/ES (20)

| — | subjekty vyrábějící základní farmaceutické výrobky a farmaceutické přípravky ve smyslu sekce C oddílu 21 klasifikace NACE Rev. 2 |
| --- | --- |

—

subjekty vyrábějící základní farmaceutické výrobky a farmaceutické přípravky ve smyslu sekce C oddílu 21 klasifikace NACE Rev. 2

| — | subjekty vyrábějící zdravotnické prostředky považované za kriticky důležité v případě mimořádné situace v oblasti veřejného zdraví (uvedené na „seznamu kriticky důležitých zdravotnických prostředků při mimořádné situaci v oblasti veřejného zdraví“) ve smyslu článku 22 nařízení Evropského parlamentu a Rady (EU) 2022/123 (21) |
| --- | --- |

—

subjekty vyrábějící zdravotnické prostředky považované za kriticky důležité v případě mimořádné situace v oblasti veřejného zdraví (uvedené na „seznamu kriticky důležitých zdravotnických prostředků při mimořádné situaci v oblasti veřejného zdraví“) ve smyslu článku 22 nařízení Evropského parlamentu a Rady (EU) 2022/123 (21)

| 6. | Pitná voda |
| --- | --- |

6.

Pitná voda

dodavatelé a distributoři vody určené k lidské spotřebě ve smyslu čl. 2 bodu 1 písm. a) směrnice Evropského parlamentu a Rady (EU) 2020/2184 (22), s výjimkou distributorů, pro něž je distribuce vody určené k lidské spotřebě nepodstatnou částí jejich obecné činnosti spočívající v distribuci komodit a zboží

| 7. | Odpadní voda |
| --- | --- |

7.

Odpadní voda

podniky zajišťující odvádění, vypouštění nebo čištění městských odpadních vod, splašek nebo průmyslových odpadních vod ve smyslu čl. 2 bodů 1, 2 a 3 směrnice Rady 91/271/EHS (23), s výjimkou podniků, pro něž je odvádění, vypouštění nebo čištění městských odpadních vod, splašek nebo průmyslových odpadních vod nepodstatnou částí jejich obecné činnosti

| 8. | Digitální infrastruktura |
| --- | --- |

8.

Digitální infrastruktura

| — | provozovatelé výměnných uzlů internetu |
| --- | --- |

—

provozovatelé výměnných uzlů internetu

| — | provozovatelé DNS, s výjimkou operátorů kořenových jmenných serverů |
| --- | --- |

—

provozovatelé DNS, s výjimkou operátorů kořenových jmenných serverů

| — | registry domén nejvyšší úrovně (TLD) |
| --- | --- |

—

registry domén nejvyšší úrovně (TLD)

| — | poskytovatelé služeb cloud computingu |
| --- | --- |

—

poskytovatelé služeb cloud computingu

| — | poskytovatelé služeb datových center |
| --- | --- |

—

poskytovatelé služeb datových center

| — | poskytovatelé sítí pro doručování obsahu |
| --- | --- |

—

poskytovatelé sítí pro doručování obsahu

| — | poskytovatelé služeb vytvářejících důvěru |
| --- | --- |

—

poskytovatelé služeb vytvářejících důvěru

| — | poskytovatelé veřejných sítí elektronických komunikací |
| --- | --- |

—

poskytovatelé veřejných sítí elektronických komunikací

| — | poskytovatelé veřejně dostupných služeb elektronických komunikací |
| --- | --- |

—

poskytovatelé veřejně dostupných služeb elektronických komunikací

| 9. | Řízení služeb IKT (mezi podniky) |
| --- | --- |

9.

Řízení služeb IKT (mezi podniky)

| — | poskytovatelé řízených služeb |
| --- | --- |

—

poskytovatelé řízených služeb

| — | poskytovatelé řízených bezpečnostních služeb |
| --- | --- |

—

poskytovatelé řízených bezpečnostních služeb

| 10. | Veřejná správa |
| --- | --- |

10.

Veřejná správa

| — | ústřední subjekty veřejné správy vymezené členským státem v souladu s vnitrostátním právem |
| --- | --- |

—

ústřední subjekty veřejné správy vymezené členským státem v souladu s vnitrostátním právem

| — | subjekty regionální veřejné správy vymezené členským státem v souladu s vnitrostátním právem |
| --- | --- |

—

subjekty regionální veřejné správy vymezené členským státem v souladu s vnitrostátním právem

| 11. | Vesmír |
| --- | --- |

11.

Vesmír

provozovatelé pozemních infrastruktur vlastněných, spravovaných a provozovaných členskými státy nebo soukromými subjekty a podporujících poskytování služeb využívajících kosmického prostoru, s výjimkou poskytovatelů veřejných sítí elektronických komunikací

---

(1)  Směrnice Evropského parlamentu a Rady (EU) 2019/944 ze dne 5. června 2019 o společných pravidlech pro vnitřní trh s elektřinou a o změně směrnice 2012/27/EU (Úř. věst. L 158, 14.6.2019, s. 125).

(2)  Nařízení Evropského parlamentu a Rady (EU) 2019/943 ze dne 5. června 2019 o vnitřním trhu s elektřinou (Úř. věst. L 158, 14.6.2019, s. 54).

(3)  Směrnice Evropského parlamentu a Rady (EU) 2018/2001 ze dne 11. prosince 2018 o podpoře využívání energie z obnovitelných zdrojů (Úř. věst. L 328, 21.12.2018, s. 82).

(4)  Směrnice Rady 2009/119/ES ze dne 14. září 2009, kterou se členským státům ukládá povinnost udržovat minimální zásoby ropy nebo ropných produktů (Úř. věst. L 265, 9.10.2009, s. 9).

(5)  Směrnice Evropského parlamentu a Rady 2009/73/ES ze dne 13. července 2009 o společných pravidlech pro vnitřní trh se zemním plynem a o zrušení směrnice 2003/55/ES (Úř. věst. L 211, 14.8.2009, s. 94).

(6)  Směrnice Evropského parlamentu a Rady 2009/12/ES ze dne 11. března 2009 o letištních poplatcích (Úř. věst. L 70, 14.3.2009, s. 11).

(7)  Nařízení Evropského parlamentu a Rady (EU) č. 1315/2013 ze dne 11. prosince 2013 o hlavních směrech Unie pro rozvoj transevropské dopravní sítě a o zrušení rozhodnutí č. 661/2010/EU (Úř. věst. L 348, 20.12.2013, s. 1).

(8)  Nařízení Evropského parlamentu a Rady (ES) č. 549/2004 ze dne 10. března 2004, kterým se stanoví rámec pro vytvoření jednotného evropského nebe (rámcové nařízení) (Úř. věst. L 96, 31.3.2004, s. 1).

(9)  Směrnice Evropského parlamentu a Rady 2012/34/EU ze dne 21. listopadu 2012 o vytvoření jednotného evropského železničního prostoru (Úř. věst. L 343, 14.12.2012, s. 32).

(10)  Nařízení Evropského parlamentu a Rady (ES) č. 725/2004 ze dne 31. března 2004 o zvýšení bezpečnosti lodí a přístavních zařízení (Úř. věst. L 129, 29.4.2004, s. 6).

(11)  Směrnice Evropského parlamentu a Rady 2005/65/ES ze dne 26. října 2005 o zvýšení zabezpečení přístavů (Úř. věst. L 310, 25.11.2005, s. 28).

(12)  Směrnice Evropského parlamentu a Rady 2002/59/ES ze dne 27. června 2002, kterou se stanoví kontrolní a informační systém Společenství pro provoz plavidel a kterou se zrušuje směrnice Rady 93/75/EHS (Úř. věst. L 208, 5.8.2002, s. 10).

(13)  Nařízení Komise v přenesené pravomoci (EU) 2015/962 ze dne 18. prosince 2014, kterým se doplňuje směrnice Evropského parlamentu a Rady 2010/40/EU, pokud jde o poskytování informačních služeb o dopravním provozu v reálném čase v celé EU (Úř. věst. L 157, 23.6.2015, s. 21).

(14)  Směrnice Evropského parlamentu a Rady 2010/40/EU ze dne 7. července 2010 o rámci pro zavedení inteligentních dopravních systémů v oblasti silniční dopravy a pro rozhraní s jinými druhy dopravy (Úř. věst. L 207, 6.8.2010, s. 1).

(15)  Nařízení Evropského parlamentu a Rady (EU) č. 575/2013 ze dne 26. června 2013 o obezřetnostních požadavcích na úvěrové instituce a o změně nařízení (EU) č. 648/2012 (Úř. věst. L 176, 27.6.2013, s. 1).

(16)  Směrnice Evropského parlamentu a Rady 2014/65/EU ze dne 15. května 2014 o trzích finančních nástrojů a o změně směrnic 2002/92/ES a 2011/61/EU (Úř. věst. L 173, 12.6.2014, s. 349).

(17)  Nařízení Evropského parlamentu a Rady (EU) č. 648/2012 ze dne 4. července 2012 o OTC derivátech, ústředních protistranách a registrech obchodních údajů (Úř. věst. L 201, 27.7.2012, s. 1).

(18)  Směrnice Evropského parlamentu a Rady 2011/24/EU ze dne 9. března 2011 o uplatňování práv pacientů v přeshraniční zdravotní péči (Úř. věst. L 88, 4.4.2011, s. 45).

(19)  Nařízení Evropského parlamentu a Rady (EU) 2022/2371 ze dne 23. listopadu 2022 o vážných přeshraničních zdravotních hrozbách a o zrušení rozhodnutí č. 1082/2013/EU (Úř. věst. L 314, 6.12.2022, s. 26).

(20)  Směrnice Evropského parlamentu a Rady 2001/83/ES ze dne 6. listopadu 2001 o kodexu Společenství týkajícím se humánních léčivých přípravků (Úř. věst. L 311, 28.11.2001, s. 67).

(21)  Nařízení Evropského parlamentu a Rady (EU) 2022/123 ze dne 25. ledna 2022 o posílené úloze Evropské agentury pro léčivé přípravky při připravenosti na krize a krizovém řízení v oblasti léčivých přípravků a zdravotnických prostředků (Úř. věst. L 20, 31.1.2022, s. 1).

(22)  Směrnice Evropského parlamentu a Rady (EU) 2020/2184 ze dne 16. prosince 2020 o jakosti vody určené k lidské spotřebě (přepracované znění (Úř. věst. L 435, 23.12.2020, s. 1).

(23)  Směrnice Rady 91/271/EHS ze dne 21. května 1991 o čištění městských odpadních vod (Úř. věst. L 135, 30.5.1991, s. 40).

---

PŘÍLOHA II

DALŠÍ KRITICKÁ ODVĚTVÍ

| Odvětví | Pododvětví | Druh subjektu |
| --- | --- | --- |
| 1. | Poštovní a kurýrní služby |

Odvětví

Pododvětví

Druh subjektu

1.

Poštovní a kurýrní služby

poskytovatelé poštovních služeb ve smyslu čl. 2 bodu 1a směrnice 97/67/ES, včetně poskytovatelů kurýrních služeb

| 2. | Nakládání s odpady |
| --- | --- |

2.

Nakládání s odpady

podniky provádějící nakládání s odpady ve smyslu čl. 3 bodu 9 směrnice Evropského parlamentu a Rady 2008/98/ES (1), avšak s výjimkou podniků, pro které nakládání s odpady nepředstavuje hlavní hospodářskou činnost

| 3. | Výroba, produkce a distribuce chemických látek |
| --- | --- |

3.

Výroba, produkce a distribuce chemických látek

podniky provádějící výrobu látek a distribuci látek nebo směsí ve smyslu čl. 3 bodů 9 a 14 nařízení Evropského parlamentu a Rady (ES) č. 1907/2006 (2) a podniky provádějící výrobu předmětů ve smyslu čl. 3 bodu 3 uvedeného nařízení z látek či směsí

| 4. | Výroba, zpracování a distribuce potravin |
| --- | --- |

4.

Výroba, zpracování a distribuce potravin

potravinářské podniky ve smyslu čl. 3 bodu 2 nařízení Evropského parlamentu a Rady (ES) č. 178/2002 (3), které se zabývají velkoobchodní distribucí a průmyslovou výrobou a zpracováním

| 5. | Výroba |
| --- | --- |

5.

Výroba

| a) | výroba zdravotnických prostředků a diagnostických zdravotnických prostředků in vitro |
| --- | --- |

a)

výroba zdravotnických prostředků a diagnostických zdravotnických prostředků in vitro

subjekty vyrábějící zdravotnické prostředky ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (EU) 2017/745 (4) a subjekty vyrábějící diagnostické zdravotnické prostředky in vitro ve smyslu čl. 2 bodu 2 nařízení Evropského parlamentu a Rady (EU) 2017/746 (5), s výjimkou subjektů vyrábějících zdravotnické prostředky uvedených v příloze I bodu 5 páté odrážce této směrnice

| b) | výroba počítačů, elektronických a optických přístrojů a zařízení |
| --- | --- |

b)

výroba počítačů, elektronických a optických přístrojů a zařízení

podniky vykonávající kteroukoliv z hospodářských činností ve smyslu sekce C oddílu 26 klasifikace NACE Rev. 2

| c) | výroba elektrických zařízení |
| --- | --- |

c)

výroba elektrických zařízení

podniky vykonávající kteroukoliv z hospodářských činností ve smyslu sekce C oddílu 27 klasifikace NACE Rev. 2

| d) | výroba strojů a zařízení j. n. |
| --- | --- |

d)

výroba strojů a zařízení j. n.

podniky vykonávající kteroukoliv z hospodářských činností ve smyslu sekce C oddílu 28 klasifikace NACE Rev. 2

| e) | výroba motorových vozidel, přívěsů a návěsů |
| --- | --- |

e)

výroba motorových vozidel, přívěsů a návěsů

podniky vykonávající kteroukoliv z hospodářských činností ve smyslu sekce C oddílu 29 klasifikace NACE Rev. 2

| f) | výroba ostatních dopravních prostředků a zařízení |
| --- | --- |

f)

výroba ostatních dopravních prostředků a zařízení

podniky vykonávající kteroukoliv z hospodářských činností ve smyslu sekce C oddílu 30 klasifikace NACE Rev. 2

| 6. | Digitální poskytovatelé |
| --- | --- |

6.

Digitální poskytovatelé

| — | poskytovatelé on-line tržišť |
| --- | --- |

—

poskytovatelé on-line tržišť

| — | poskytovatelé internetových vyhledávačů |
| --- | --- |

—

poskytovatelé internetových vyhledávačů

| — | poskytovatelé služeb platforem sociálních sítí |
| --- | --- |

—

poskytovatelé služeb platforem sociálních sítí

| 7. | Výzkum |
| --- | --- |

7.

Výzkum

výzkumné organizace

---

(1)  Směrnice Evropského parlamentu a Rady 2008/98/ES ze dne 19. listopadu 2008 o odpadech a o zrušení některých směrnic (Úř. věst. L 312, 22.11.2008, s. 3).

(2)  Nařízení Evropského parlamentu a Rady (ES) č. 1907/2006 ze dne 18. prosince 2006 o registraci, hodnocení, povolování a omezování chemických látek (REACH), o zřízení Evropské agentury pro chemické látky, o změně směrnice 1999/45/ES a o zrušení nařízení Rady (EHS) č. 793/93, nařízení Komise (ES) č. 1488/94, směrnice Rady 76/769/EHS a směrnic Komise 91/155/EHS, 93/67/EHS, 93/105/ES a 2000/21/ES (Úř. věst. L 396, 30.12.2006, s. 1).

(3)  Nařízení Evropského parlamentu a Rady (ES) č. 178/2002 ze dne 28. ledna 2002, kterým se stanoví obecné zásady a požadavky potravinového práva, zřizuje se Evropský úřad pro bezpečnost potravin a stanoví postupy týkající se bezpečnosti potravin (Úř. věst. L 31, 1.2.2002, s. 1).

(4)  Nařízení Evropského parlamentu a Rady (EU) 2017/745 ze dne 5. dubna 2017 o zdravotnických prostředcích, změně směrnice 2001/83/ES, nařízení (ES) č. 178/2002 a nařízení (ES) č. 1223/2009 a o zrušení směrnic Rady 90/385/EHS a 93/42/EHS (Úř. věst. L 117, 5.5.2017, s. 1).

(5)  Nařízení Evropského parlamentu a Rady (EU) 2017/746 ze dne 5. dubna 2017 o diagnostických zdravotnických prostředcích in vitro a o zrušení směrnice 98/79/ES a rozhodnutí Komise 2010/227/EU (Úř. věst. L 117, 5.5.2017, s. 176).

---

PŘÍLOHA III

SROVNÁVACÍ TABULKA

| Směrnice (EU) 2016/1148 | Tato směrnice |
| --- | --- |
| Čl. 1 odst. 1 | Čl. 1 odst. 1 |
| Čl. 1 odst. 2 | Čl. 1 odst. 2 |
| Čl. 1 odst. 3 | - |
| Čl. 1 odst. 4 | Čl. 2 odst. 12 |
| Čl. 1 odst. 5 | Čl. 2 odst. 13 |
| Čl. 1 odst. 6 | Čl. 2 odst. 6 a 11 |
| Čl. 1 odst. 7 | Článek 4 |
| Článek 2 | Čl. 2 odst. 14 |
| Článek 3 | Článek 5 |
| Článek 4 | Článek 6 |
| Článek 5 | - |
| Článek 6 | - |
| Čl. 7 odst. 1 | Čl. 7 odst. 1 a 2 |
| Čl. 7 odst. 2 | Čl. 7 odst. 4 |
| Čl. 7 odst. 3 | Čl. 7 odst. 3 |
| Čl. 8 odst. 1 až 5 | Čl. 8 odst. 1 až 5 |
| Čl. 8 odst. 6 | Čl. 13 odst. 4 |
| Čl. 8 odst. 7 | Čl. 8 odst. 6 |
| Čl. 9 odst. 1, 2 a 3 | Čl. 10 odst. 1, 2 a 3 |
| Čl. 9 odst. 4 | Čl. 10 odst. 9 |
| Čl. 9 odst. 5 | Čl. 10 odst. 10 |
| Čl. 10 odst. 1, 2 a 3 první pododstavec | Čl. 13 odst. 1, 2 a 3 |
| Čl. 10 odst. 3 druhý pododstavec | Čl. 23 odst. 9 |
| Čl. 11 odst. 1 | Čl. 14 odst. 1 a 2 |
| Čl. 11 odst. 2 | Čl. 14 odst. 3 |
| Čl. 11 odst. 3 | Čl. 14 odst. 4 první pododstavec písm. a) až r) a písm. s) a čl. 14 odst. 7 |
| Čl. 11 odst. 4 | Čl. 14 odst. 4 první pododstavec písm. r), a druhý pododstavec |
| Čl. 11 odst. 5 | Čl. 14 odst. 8 |
| Čl. 12 odst. 1 až5 | Čl. 15 odst. 1 až 5 |
| Článek 13 | Článek 17 |
| Čl. 14 odst. 1 a 2 | Čl. 21 odst. 1 až 4 |
| Čl. 14 odst. 3 | Čl. 23 odst. 1 |
| Čl. 14 odst. 4 | Čl. 23 odst. 3 |
| Čl. 14 odst. 5 | Čl. 23 odst. 5, 6 a 8 |
| Čl. 14 odst. 6 | Čl. 23 odst. 7 |
| Čl. 14 odst. 7 | Čl. 23 odst. 11 |
| Čl. 15 odst. 1 | Čl. 31 odst. 1 |
| Čl. 15 odst. 2 první pododstavec, písm. a) | Čl. 32 odst. 2 písm. e) |
| Čl. 15 odst. 2 první pododstavec, písm. b) | Čl. 32 odst. 2 písm. g) |
| Čl. 15 odst. 2 druhý pododstavec | Čl. 32 odst. 3 |
| Čl. 15 odst. 3 | Čl. 32 odst. 4 písm. b) |
| Čl. 15 odst. 4 | Čl. 31 odst. 3 |
| Čl. 16 odst. 1 a 2 | Čl. 21 odst. 1 až 4 |
| Čl. 16 odst. 3 | Čl. 23 odst. 1 |
| Čl. 16 odst. 4 | Čl. 23 odst. 3 |
| Čl. 16 odst. 5 | - |
| Čl. 16 odst. 6 | Čl. 23 odst. 6 |
| Čl. 16 odst. 7 | Čl. 23 odst. 7 |
| Čl. 16 odst. 8 a 9 | Čl. 21 odst. 5 a čl. 23 odst. 11 |
| Čl. 16 odst. 10 | - |
| Čl. 16 odst. 11 | Čl. 2 odst. 1, 2 a 3 |
| Čl. 17 odst. 1 | Čl. 33 odst. 1 |
| Čl. 17 odst. 2 písm. a) | Čl. 32 odst. 2 písm. e) |
| Čl. 17 odst. 2 písm. b) | Čl. 32 odst. 4 písm. b) |
| Čl. 17 odst. 3 | Čl. 37 odst. 1 písm. a) a b) |
| Čl. 18 odst. 1 | Čl. 26 odst. 1 písm. b) a čl. 26 odst. 2 |
| Čl. 18 odst. 2 | Čl. 26 odst. 3 |
| Čl. 18 odst. 3 | Čl. 26 odst. 4 |
| Článek 19 | Článek 25 |
| Článek 20 | Článek 30 |
| Článek 21 | Článek 36 |
| Čl. 22 | Čl. 39 |
| Článek 23 | Článek 40 |
| Článek 24 | - |
| Článek 25 | Článek 41 |
| Článek 26 | Článek 45 |
| Článek 27 | Článek 46 |
| Příloha I bod 1 | Čl. 11 odst. 1 |
| Příloha I bod 2 písm. a) body i) až iv) | Čl. 11 odst. 2 písm. a) až d) |
| Příloha I bod 2 písm. a) bod v) | Čl. 11 odst. 2 písm. f) |
| Příloha I bod 2 písm. b) | Čl. 11 odst. 4 |
| Příloha I bod 2 písm. c) body i) a ii) | Čl. 11 odst. 5 písm. a) |
| Příloha II | Příloha I |
| Příloha III body 1 a 2 | Příloha II bod 6 |
| Příloha III bod 3 | Příloha I bod 8 |

Směrnice (EU) 2016/1148

Tato směrnice

Čl. 1 odst. 1

Čl. 1 odst. 1

Čl. 1 odst. 2

Čl. 1 odst. 2

Čl. 1 odst. 3

-

Čl. 1 odst. 4

Čl. 2 odst. 12

Čl. 1 odst. 5

Čl. 2 odst. 13

Čl. 1 odst. 6

Čl. 2 odst. 6 a 11

Čl. 1 odst. 7

Článek 4

Článek 2

Čl. 2 odst. 14

Článek 3

Článek 5

Článek 4

Článek 6

Článek 5

-

Článek 6

-

Čl. 7 odst. 1

Čl. 7 odst. 1 a 2

Čl. 7 odst. 2

Čl. 7 odst. 4

Čl. 7 odst. 3

Čl. 7 odst. 3

Čl. 8 odst. 1 až 5

Čl. 8 odst. 1 až 5

Čl. 8 odst. 6

Čl. 13 odst. 4

Čl. 8 odst. 7

Čl. 8 odst. 6

Čl. 9 odst. 1, 2 a 3

Čl. 10 odst. 1, 2 a 3

Čl. 9 odst. 4

Čl. 10 odst. 9

Čl. 9 odst. 5

Čl. 10 odst. 10

Čl. 10 odst. 1, 2 a 3 první pododstavec

Čl. 13 odst. 1, 2 a 3

Čl. 10 odst. 3 druhý pododstavec

Čl. 23 odst. 9

Čl. 11 odst. 1

Čl. 14 odst. 1 a 2

Čl. 11 odst. 2

Čl. 14 odst. 3

Čl. 11 odst. 3

Čl. 14 odst. 4 první pododstavec písm. a) až r) a písm. s) a čl. 14 odst. 7

Čl. 11 odst. 4

Čl. 14 odst. 4 první pododstavec písm. r), a druhý pododstavec

Čl. 11 odst. 5

Čl. 14 odst. 8

Čl. 12 odst. 1 až5

Čl. 15 odst. 1 až 5

Článek 13

Článek 17

Čl. 14 odst. 1 a 2

Čl. 21 odst. 1 až 4

Čl. 14 odst. 3

Čl. 23 odst. 1

Čl. 14 odst. 4

Čl. 23 odst. 3

Čl. 14 odst. 5

Čl. 23 odst. 5, 6 a 8

Čl. 14 odst. 6

Čl. 23 odst. 7

Čl. 14 odst. 7

Čl. 23 odst. 11

Čl. 15 odst. 1

Čl. 31 odst. 1

Čl. 15 odst. 2 první pododstavec, písm. a)

Čl. 32 odst. 2 písm. e)

Čl. 15 odst. 2 první pododstavec, písm. b)

Čl. 32 odst. 2 písm. g)

Čl. 15 odst. 2 druhý pododstavec

Čl. 32 odst. 3

Čl. 15 odst. 3

Čl. 32 odst. 4 písm. b)

Čl. 15 odst. 4

Čl. 31 odst. 3

Čl. 16 odst. 1 a 2

Čl. 21 odst. 1 až 4

Čl. 16 odst. 3

Čl. 23 odst. 1

Čl. 16 odst. 4

Čl. 23 odst. 3

Čl. 16 odst. 5

-

Čl. 16 odst. 6

Čl. 23 odst. 6

Čl. 16 odst. 7

Čl. 23 odst. 7

Čl. 16 odst. 8 a 9

Čl. 21 odst. 5 a čl. 23 odst. 11

Čl. 16 odst. 10

-

Čl. 16 odst. 11

Čl. 2 odst. 1, 2 a 3

Čl. 17 odst. 1

Čl. 33 odst. 1

Čl. 17 odst. 2 písm. a)

Čl. 32 odst. 2 písm. e)

Čl. 17 odst. 2 písm. b)

Čl. 32 odst. 4 písm. b)

Čl. 17 odst. 3

Čl. 37 odst. 1 písm. a) a b)

Čl. 18 odst. 1

Čl. 26 odst. 1 písm. b) a čl. 26 odst. 2

Čl. 18 odst. 2

Čl. 26 odst. 3

Čl. 18 odst. 3

Čl. 26 odst. 4

Článek 19

Článek 25

Článek 20

Článek 30

Článek 21

Článek 36

Čl. 22

Čl. 39

Článek 23

Článek 40

Článek 24

-

Článek 25

Článek 41

Článek 26

Článek 45

Článek 27

Článek 46

Příloha I bod 1

Čl. 11 odst. 1

Příloha I bod 2 písm. a) body i) až iv)

Čl. 11 odst. 2 písm. a) až d)

Příloha I bod 2 písm. a) bod v)

Čl. 11 odst. 2 písm. f)

Příloha I bod 2 písm. b)

Čl. 11 odst. 4

Příloha I bod 2 písm. c) body i) a ii)

Čl. 11 odst. 5 písm. a)

Příloha II

Příloha I

Příloha III body 1 a 2

Příloha II bod 6

Příloha III bod 3

Příloha I bod 8

---

| 27.12.2022 | CS | Úřední věstník Evropské unie | L 333/153 |
| --- | --- | --- | --- |

27.12.2022

CS

Úřední věstník Evropské unie

L 333/153

---

SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY (EU) 2022/2556

ze dne 14. prosince 2022,

kterou se mění směrnice 2009/65/ES, 2009/138/ES, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 a (EU) 2016/2341, pokud jde o digitální provozní odolnost finančního sektoru

(Text s významem pro EHP)

EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,

s ohledem na Smlouvu o fungování Evropské unie, a zejména na čl. 53 odst. 1 a článek 114 této smlouvy,

s ohledem na návrh Evropské komise,

po postoupení návrhu legislativního aktu vnitrostátním parlamentům,

s ohledem na stanovisko Evropské centrální banky (1),

s ohledem na stanovisko Evropského hospodářského a sociálního výboru (2),

v souladu s řádným legislativním postupem (3),

vzhledem k těmto důvodům:

| (1) | Unie potřebuje vhodným a komplexním způsobem reagovat na digitální rizika hrozící všem finančním subjektům v důsledku zvyšujícího se využívání informačních a komunikačních technologií (IKT) při poskytování a využívání finančních služeb, a přispět tak k využití potenciálu digitálních financí v podobě podnícení inovací a rozvoje hospodářské soutěže v bezpečném digitálním prostředí. |
| --- | --- |

(1)

Unie potřebuje vhodným a komplexním způsobem reagovat na digitální rizika hrozící všem finančním subjektům v důsledku zvyšujícího se využívání informačních a komunikačních technologií (IKT) při poskytování a využívání finančních služeb, a přispět tak k využití potenciálu digitálních financí v podobě podnícení inovací a rozvoje hospodářské soutěže v bezpečném digitálním prostředí.

| (2) | Finanční subjekty jsou při své každodenní činnosti silně závislé na využívání digitálních technologií. Je proto nanejvýš důležité zajistit provozní odolnost jejich digitálních operací vůči rizikům v oblasti IKT. Tato potřeba je nyní ještě naléhavější v důsledku růstu průlomových technologií na trhu, zejména technologií umožňujících elektronický převod a uchovávání digitálního vyjádření hodnot nebo práv za použití distribuovaného registru nebo podobné technologie (kryptoaktiva) a technologií pro služby spojené s těmito aktivy. |
| --- | --- |

(2)

Finanční subjekty jsou při své každodenní činnosti silně závislé na využívání digitálních technologií. Je proto nanejvýš důležité zajistit provozní odolnost jejich digitálních operací vůči rizikům v oblasti IKT. Tato potřeba je nyní ještě naléhavější v důsledku růstu průlomových technologií na trhu, zejména technologií umožňujících elektronický převod a uchovávání digitálního vyjádření hodnot nebo práv za použití distribuovaného registru nebo podobné technologie (kryptoaktiva) a technologií pro služby spojené s těmito aktivy.

| (3) | Na úrovni Unie jsou požadavky týkající se řízení rizik v oblasti IKT pro finanční sektor v současné době stanoveny ve směrnicích Evropského parlamentu a Rady 2009/65/ES (4), 2009/138/ES (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) a (EU) 2016/2341 (11).
  Tyto požadavky se navzájem liší a jsou místy neúplné. V některých případech jsou rizika v oblasti IKT řešena pouze implicitně v rámci provozního rizika, zatímco v jiných případech nejsou řešena vůbec. To by mělo být napraveno přijetím nařízení Evropského parlamentu a Rady (EU) 2022/2554 (12). Uvedené směrnice by proto měly být změněny, aby byly se zmíněným nařízením v souladu. Tato směrnice stanoví soubor změn, které jsou nezbytné k zajištění právní jasnosti a soudržnosti, pokud jde o uplatňování různých požadavků týkajících se digitální provozní odolnosti, které jsou nezbytné pro výkon činnosti finančních subjektů podléhajících povolení a dohledu v souladu s uvedenými směrnicemi, ze strany těchto subjektů, a zaručuje tak hladké fungování vnitřního trhu. Je nezbytné zajistit, aby uvedené požadavky odpovídaly vývoji na trhu, a zároveň podporovat proporcionalitu, zejména s ohledem na velikost finančních subjektů a zvláštní režimy, jimž podléhají, s cílem snížit náklady na dodržování předpisů. |
| --- | --- |

(3)

Na úrovni Unie jsou požadavky týkající se řízení rizik v oblasti IKT pro finanční sektor v současné době stanoveny ve směrnicích Evropského parlamentu a Rady 2009/65/ES (4), 2009/138/ES (5), 2011/61/EU (6), 2013/36/EU (7), 2014/59/EU (8), 2014/65/EU (9), (EU) 2015/2366 (10) a (EU) 2016/2341 (11).

Tyto požadavky se navzájem liší a jsou místy neúplné. V některých případech jsou rizika v oblasti IKT řešena pouze implicitně v rámci provozního rizika, zatímco v jiných případech nejsou řešena vůbec. To by mělo být napraveno přijetím nařízení Evropského parlamentu a Rady (EU) 2022/2554 (12). Uvedené směrnice by proto měly být změněny, aby byly se zmíněným nařízením v souladu. Tato směrnice stanoví soubor změn, které jsou nezbytné k zajištění právní jasnosti a soudržnosti, pokud jde o uplatňování různých požadavků týkajících se digitální provozní odolnosti, které jsou nezbytné pro výkon činnosti finančních subjektů podléhajících povolení a dohledu v souladu s uvedenými směrnicemi, ze strany těchto subjektů, a zaručuje tak hladké fungování vnitřního trhu. Je nezbytné zajistit, aby uvedené požadavky odpovídaly vývoji na trhu, a zároveň podporovat proporcionalitu, zejména s ohledem na velikost finančních subjektů a zvláštní režimy, jimž podléhají, s cílem snížit náklady na dodržování předpisů.

| (4) | V oblasti bankovních služeb směrnice 2013/36/EU v současné době stanoví pouze obecná pravidla vnitřní správy a řízení a ustanovení o operačním riziku obsahující požadavky na pohotovostní plány a plány zachování provozu, které implicitně slouží jako základ pro řízení rizik v oblasti IKT. V zájmu výslovného a jasného řešení rizika v oblasti IKT by však měly být požadavky na pohotovostní plány a plány zachování provozu pozměněny tak, aby v souladu s požadavky stanovenými v nařízení (EU) 2022/2554 rovněž zahrnovaly plány zachování provozu a plány reakce a obnovy týkající se rizik v oblasti IKT. Kromě toho je riziko v oblasti IKT zahrnuto jako součást operačního rizika do procesu dohledu a hodnocení prováděného příslušnými orgány pouze implicitně a kritéria pro jeho posouzení jsou v současné době vymezena v Obecných pokynech k posuzování rizik IKT v rámci procesu přezkoumání a vyhodnocení vydaných Evropským orgánem dohledu (Evropským orgánem pro bankovnictví) (EBA) zřízeným nařízením Evropského parlamentu a Rady (EU) č. 1093/2010 (13). V zájmu právní jasnosti a zajištění toho, aby orgány bankovního dohledu účinně rozpoznávaly rizika v oblasti IKT a monitorovaly jejich řízení ze strany finančních subjektů v souladu s novým rámcem pro digitální provozní odolnost, by měl být rozsah dohledu a hodnocení rovněž upraven tak, aby výslovně odkazoval na požadavky stanovené v nařízení (EU) 2022/2554. a pokrýval zejména rizika zjištěná na základě zpráv o závažných incidentech souvisejících s IKT a výsledků testování digitální provozní odolnosti prováděného finančními subjekty v souladu s uvedeným nařízením. |
| --- | --- |

(4)

V oblasti bankovních služeb směrnice 2013/36/EU v současné době stanoví pouze obecná pravidla vnitřní správy a řízení a ustanovení o operačním riziku obsahující požadavky na pohotovostní plány a plány zachování provozu, které implicitně slouží jako základ pro řízení rizik v oblasti IKT. V zájmu výslovného a jasného řešení rizika v oblasti IKT by však měly být požadavky na pohotovostní plány a plány zachování provozu pozměněny tak, aby v souladu s požadavky stanovenými v nařízení (EU) 2022/2554 rovněž zahrnovaly plány zachování provozu a plány reakce a obnovy týkající se rizik v oblasti IKT. Kromě toho je riziko v oblasti IKT zahrnuto jako součást operačního rizika do procesu dohledu a hodnocení prováděného příslušnými orgány pouze implicitně a kritéria pro jeho posouzení jsou v současné době vymezena v Obecných pokynech k posuzování rizik IKT v rámci procesu přezkoumání a vyhodnocení vydaných Evropským orgánem dohledu (Evropským orgánem pro bankovnictví) (EBA) zřízeným nařízením Evropského parlamentu a Rady (EU) č. 1093/2010 (13). V zájmu právní jasnosti a zajištění toho, aby orgány bankovního dohledu účinně rozpoznávaly rizika v oblasti IKT a monitorovaly jejich řízení ze strany finančních subjektů v souladu s novým rámcem pro digitální provozní odolnost, by měl být rozsah dohledu a hodnocení rovněž upraven tak, aby výslovně odkazoval na požadavky stanovené v nařízení (EU) 2022/2554. a pokrýval zejména rizika zjištěná na základě zpráv o závažných incidentech souvisejících s IKT a výsledků testování digitální provozní odolnosti prováděného finančními subjekty v souladu s uvedeným nařízením.

| (5) | Digitální provozní odolnost je klíčová pro zachování zásadních funkcí a hlavních linií podnikání finančního subjektu v případě řešení jeho krize, a tedy k zabránění narušení reálné ekonomiky a finančního systému. Závažné provozní incidenty mohou snížit schopnost finančního subjektu pokračovat v provozu a mohou ohrožovat cíle řešení krize. Pro zajištění kontinuity provozu a poskytování potřebných údajů v případě řešení krize jsou nezbytná určitá smluvní ujednání o využívání služeb IKT. V zájmu zajištění souladu s cíli rámce Unie pro provozní odolnost by měla být směrnice 2014/59/EU odpovídajícím způsobem změněna, aby bylo zajištěno, že při plánování řešení krize a posuzování způsobilosti finančních subjektů k řešení krize budou zohledněny informace týkající se provozní odolnosti. |
| --- | --- |

(5)

Digitální provozní odolnost je klíčová pro zachování zásadních funkcí a hlavních linií podnikání finančního subjektu v případě řešení jeho krize, a tedy k zabránění narušení reálné ekonomiky a finančního systému. Závažné provozní incidenty mohou snížit schopnost finančního subjektu pokračovat v provozu a mohou ohrožovat cíle řešení krize. Pro zajištění kontinuity provozu a poskytování potřebných údajů v případě řešení krize jsou nezbytná určitá smluvní ujednání o využívání služeb IKT. V zájmu zajištění souladu s cíli rámce Unie pro provozní odolnost by měla být směrnice 2014/59/EU odpovídajícím způsobem změněna, aby bylo zajištěno, že při plánování řešení krize a posuzování způsobilosti finančních subjektů k řešení krize budou zohledněny informace týkající se provozní odolnosti.

| (6) | Směrnice 2014/65/EU stanoví přísnější pravidla týkající se rizik v oblasti IKT pro investiční podniky a obchodní systémy, které vykonávají algoritmické obchodování. Na služby hlášení údajů a registry obchodních údajů se vztahují méně specifikované požadavky. Směrnice 2014/65/EU obsahuje rovněž pouze omezené zmínky o kontrolních a ochranných opatřeních pro systémy zpracování dat a o používání vhodných systémů, zdrojů a postupů za účelem zajištění nepřerušeného a řádného poskytování obchodních služeb. Zmíněná směrnice by rovněž měla být uvedena do souladu s nařízením (EU) 2022/2554, pokud jde o nepřerušené a řádné poskytování investičních služeb a vykonávání investičních činností, provozní odolnost, kapacitu obchodních systémů a účinnost mechanismů zachování provozu a řízení rizik. |
| --- | --- |

(6)

Směrnice 2014/65/EU stanoví přísnější pravidla týkající se rizik v oblasti IKT pro investiční podniky a obchodní systémy, které vykonávají algoritmické obchodování. Na služby hlášení údajů a registry obchodních údajů se vztahují méně specifikované požadavky. Směrnice 2014/65/EU obsahuje rovněž pouze omezené zmínky o kontrolních a ochranných opatřeních pro systémy zpracování dat a o používání vhodných systémů, zdrojů a postupů za účelem zajištění nepřerušeného a řádného poskytování obchodních služeb. Zmíněná směrnice by rovněž měla být uvedena do souladu s nařízením (EU) 2022/2554, pokud jde o nepřerušené a řádné poskytování investičních služeb a vykonávání investičních činností, provozní odolnost, kapacitu obchodních systémů a účinnost mechanismů zachování provozu a řízení rizik.

| (7) | Směrnice (EU) 2015/2366 stanoví pro účely získání povolení k poskytování platebních služeb zvláštní pravidla týkající se bezpečnostních kontrol IKT a prvků určených k minimalizaci rizik. Uvedená pravidla povolování by měla být změněna, aby byla v souladu s nařízením (EU) 2022/2554 Dále by se za účelem snížení administrativní zátěže a zamezení složitosti a zdvojení požadavkům na podávání zpráv měla na poskytovatele platebních služeb podléhající zmíněné směrnici a zároveň nařízení (EU) 2022/2554 přestat vztahovat pravidla pro oznamování incidentů stanovená zmíněnou směrnicí, což by těmto poskytovatelům platebních služeb umožnilo využívat jednotný a plně harmonizovaný mechanismus oznamování incidentů ve vztahu ke všem provozním či bezpečnostním incidentům souvisejícím s platbami, bez ohledu na to, zda se tyto incidenty týkají IKT. |
| --- | --- |

(7)

Směrnice (EU) 2015/2366 stanoví pro účely získání povolení k poskytování platebních služeb zvláštní pravidla týkající se bezpečnostních kontrol IKT a prvků určených k minimalizaci rizik. Uvedená pravidla povolování by měla být změněna, aby byla v souladu s nařízením (EU) 2022/2554 Dále by se za účelem snížení administrativní zátěže a zamezení složitosti a zdvojení požadavkům na podávání zpráv měla na poskytovatele platebních služeb podléhající zmíněné směrnici a zároveň nařízení (EU) 2022/2554 přestat vztahovat pravidla pro oznamování incidentů stanovená zmíněnou směrnicí, což by těmto poskytovatelům platebních služeb umožnilo využívat jednotný a plně harmonizovaný mechanismus oznamování incidentů ve vztahu ke všem provozním či bezpečnostním incidentům souvisejícím s platbami, bez ohledu na to, zda se tyto incidenty týkají IKT.

| (8) | Směrnice 2009/138/ES a (EU) 2016/2341 částečně pokrývají rizika v oblasti IKT v rámci svých obecných ustanovení o správě a o řízení rizik, přičemž určité požadavky jsou ponechány na upřesnění prostřednictvím aktů v přenesené pravomoci, ať již s výslovnými odkazy na rizika v oblasti IKT, či nikoliv. Obdobně platí pouze velmi obecná pravidla pro správce alternativních investičních fondů, na které se vztahuje směrnice 2011/61/EU, a správcovské společnosti upravené směrnicí 2009/65/ES. Zmíněné směrnice by proto měly být uvedeny do souladu s požadavky stanovenými v nařízení (EU) 2022/2554, pokud jde o řízení systémů a nástrojů IKT. |
| --- | --- |

(8)

Směrnice 2009/138/ES a (EU) 2016/2341 částečně pokrývají rizika v oblasti IKT v rámci svých obecných ustanovení o správě a o řízení rizik, přičemž určité požadavky jsou ponechány na upřesnění prostřednictvím aktů v přenesené pravomoci, ať již s výslovnými odkazy na rizika v oblasti IKT, či nikoliv. Obdobně platí pouze velmi obecná pravidla pro správce alternativních investičních fondů, na které se vztahuje směrnice 2011/61/EU, a správcovské společnosti upravené směrnicí 2009/65/ES. Zmíněné směrnice by proto měly být uvedeny do souladu s požadavky stanovenými v nařízení (EU) 2022/2554, pokud jde o řízení systémů a nástrojů IKT.

| (9) | V mnoha případech byly další požadavky týkající se rizik v oblasti IKT již stanoveny v aktech v přenesené pravomoci a v prováděcích aktech, které byly přijaty na základě návrhů regulačních technických norem a prováděcích technických norem vypracovaných příslušným evropským orgánem dohledu. Jelikož právní základ týkající se rizik v oblasti IKT ve finančním sektoru nyní představuje nařízení (EU) 2022/2554, měla by být některá zmocnění k přijímání aktů v přenesené pravomoci a prováděcích aktů stanovená ve směrnicích 2009/65/ES, 2009/138/ES, 2011/61/EU a 2014/65/EU změněna, aby již nezahrnovala ustanovení ohledně rizik v oblasti IKT. |
| --- | --- |

(9)

V mnoha případech byly další požadavky týkající se rizik v oblasti IKT již stanoveny v aktech v přenesené pravomoci a v prováděcích aktech, které byly přijaty na základě návrhů regulačních technických norem a prováděcích technických norem vypracovaných příslušným evropským orgánem dohledu. Jelikož právní základ týkající se rizik v oblasti IKT ve finančním sektoru nyní představuje nařízení (EU) 2022/2554, měla by být některá zmocnění k přijímání aktů v přenesené pravomoci a prováděcích aktů stanovená ve směrnicích 2009/65/ES, 2009/138/ES, 2011/61/EU a 2014/65/EU změněna, aby již nezahrnovala ustanovení ohledně rizik v oblasti IKT.

| (10) | Aby bylo zajištěno soudržné uplatňování nového rámce pro digitální provozní odolnost finančního sektoru, měly by členské státy uplatňovat vnitrostátní právní předpisy, kterými se tato směrnice provádí, ode dne použitelnosti nařízení (EU) 2022/2554 |
| --- | --- |

(10)

Aby bylo zajištěno soudržné uplatňování nového rámce pro digitální provozní odolnost finančního sektoru, měly by členské státy uplatňovat vnitrostátní právní předpisy, kterými se tato směrnice provádí, ode dne použitelnosti nařízení (EU) 2022/2554

| (11) | Směrnice 2009/66/ES, 2009/138/ES, 2011/61/ES, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 a (EU) 2016/2341 byly přijaty na základě čl. 53 odst. 1 nebo článku 114 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“). Změny stanovené v této směrnici jsou vzhledem k propojenosti předmětu a cílů příslušných změn zařazeny do jediného legislativního aktu. Tato směrnice by proto měla být přijata na základě čl. 53 odst. 1 i článku 114 Smlouvy o fungování EU. |
| --- | --- |

(11)

Směrnice 2009/66/ES, 2009/138/ES, 2011/61/ES, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 a (EU) 2016/2341 byly přijaty na základě čl. 53 odst. 1 nebo článku 114 Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“). Změny stanovené v této směrnici jsou vzhledem k propojenosti předmětu a cílů příslušných změn zařazeny do jediného legislativního aktu. Tato směrnice by proto měla být přijata na základě čl. 53 odst. 1 i článku 114 Smlouvy o fungování EU.

| (12) | Jelikož cílů této směrnice nemůže být dosaženo uspokojivě členskými státy, neboť vyžadují harmonizaci požadavků, které jsou již obsaženy ve směrnicích, ale spíše jich, z důvodu rozsahu a účinků opatření, může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení těchto cílů. |
| --- | --- |

(12)

Jelikož cílů této směrnice nemůže být dosaženo uspokojivě členskými státy, neboť vyžadují harmonizaci požadavků, které jsou již obsaženy ve směrnicích, ale spíše jich, z důvodu rozsahu a účinků opatření, může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení těchto cílů.

| (13) | Členské státy se v souladu se společným politickým prohlášením členských států a Komise ze dne 28. září 2011 o informativních dokumentech (14) zavázaly, že v odůvodněných případech doplní oznámení o opatřeních přijatých za účelem provedení směrnice ve vnitrostátním právu o jeden či více dokumentů s informacemi o vztahu mezi jednotlivými složkami směrnice a příslušnými částmi vnitrostátních nástrojů přijatých za účelem provedení směrnice ve vnitrostátním právu. V případě této směrnice považuje normotvůrce předložení těchto dokumentů za odůvodněné, |
| --- | --- |

(13)

Členské státy se v souladu se společným politickým prohlášením členských států a Komise ze dne 28. září 2011 o informativních dokumentech (14) zavázaly, že v odůvodněných případech doplní oznámení o opatřeních přijatých za účelem provedení směrnice ve vnitrostátním právu o jeden či více dokumentů s informacemi o vztahu mezi jednotlivými složkami směrnice a příslušnými částmi vnitrostátních nástrojů přijatých za účelem provedení směrnice ve vnitrostátním právu. V případě této směrnice považuje normotvůrce předložení těchto dokumentů za odůvodněné,

PŘIJALY TUTO SMĚRNICI:

Článek 1

Změny směrnice 2009/65/ES

Článek 12 směrnice 2009/65/ES se mění takto:

| 1) | v odst. 1 druhém pododstavci se písmeno a) nahrazuje tímto:






  „a) | používala řádné administrativní a účetní postupy a kontrolní a ochranná opatření při elektronickém zpracovávání dat, a to i ve vztahu k sítím a informačním systémům, které jsou zavedeny a řízeny v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*1), jakož i příslušné mechanismy vnitřní kontroly, mezi něž patří zejména pravidla pro osobní transakce prováděné jejími zaměstnanci a pro držení a správu investic do finančních nástrojů s cílem investovat na vlastní účet, a které přinejmenším zajišťují, aby každá transakce, do níž je SKIPCP zapojen, mohla být rekonstruována podle svého původu, podle zúčastněných stran, povahy a doby a místa, kdy a kde byla uskutečněna, a aby aktiva SKIPCP spravovaného správcovskou společností byla investována v souladu se statutem fondu nebo zakládacími dokumenty a platnými právními předpisy; |
| --- | --- | --- |

1)

v odst. 1 druhém pododstavci se písmeno a) nahrazuje tímto:

„a)

používala řádné administrativní a účetní postupy a kontrolní a ochranná opatření při elektronickém zpracovávání dat, a to i ve vztahu k sítím a informačním systémům, které jsou zavedeny a řízeny v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*1), jakož i příslušné mechanismy vnitřní kontroly, mezi něž patří zejména pravidla pro osobní transakce prováděné jejími zaměstnanci a pro držení a správu investic do finančních nástrojů s cílem investovat na vlastní účet, a které přinejmenším zajišťují, aby každá transakce, do níž je SKIPCP zapojen, mohla být rekonstruována podle svého původu, podle zúčastněných stran, povahy a doby a místa, kdy a kde byla uskutečněna, a aby aktiva SKIPCP spravovaného správcovskou společností byla investována v souladu se statutem fondu nebo zakládacími dokumenty a platnými právními předpisy;

*1

(*1)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333 , 27.12.2022, s. 1).“;"

*1

| 2) | odstavec 3 se nahrazuje tímto:

  „3.   Aniž je dotčen článek 116, přijme Komise prostřednictvím aktů v přenesené pravomoci v souladu s článkem 112a opatření, jimiž stanoví:






  a) | postupy a opatření uvedené v odst. 1 druhém pododstavci písm. a), kromě postupů a opatření, které se týkají sítí a informačních systémů; |
| --- | --- | --- |

2)

odstavec 3 se nahrazuje tímto:

„3.   Aniž je dotčen článek 116, přijme Komise prostřednictvím aktů v přenesené pravomoci v souladu s článkem 112a opatření, jimiž stanoví:

a)

postupy a opatření uvedené v odst. 1 druhém pododstavci písm. a), kromě postupů a opatření, které se týkají sítí a informačních systémů;

| b) | požadavky na strukturu a organizaci, jimiž se zajistí minimalizace střetu zájmů uvedená v odst. 1 druhém pododstavci písm. b).“ |
| --- | --- |

b)

požadavky na strukturu a organizaci, jimiž se zajistí minimalizace střetu zájmů uvedená v odst. 1 druhém pododstavci písm. b).“

Článek 2

Změny směrnice 2009/138/ES

Směrnice 2009/138/ES se mění takto:

| 1) | v článku 41 se odstavec 4 nahrazuje tímto:

  „4.   Pojišťovny a zajišťovny přijmou vhodná opatření k zajištění kontinuity a řádného výkonu svých činností, včetně vypracování pohotovostních plánů. K tomuto účelu používají vhodné a přiměřené systémy, zdroje a postupy a zejména zavedou a řídí sítě a informační systémy v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*2).


  (*2)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“;" |
| --- | --- |

1)

v článku 41 se odstavec 4 nahrazuje tímto:

„4.   Pojišťovny a zajišťovny přijmou vhodná opatření k zajištění kontinuity a řádného výkonu svých činností, včetně vypracování pohotovostních plánů. K tomuto účelu používají vhodné a přiměřené systémy, zdroje a postupy a zejména zavedou a řídí sítě a informační systémy v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*2).

(*2)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“;"

*2

| 2) | v čl. 50 odst. 1 se písmena a) a b) nahrazují tímto:






  „a) | prvky systémů uvedených v článku 41, článku 44, zejména oblasti uvedené v čl. 44 odst. 2, a v článcích 46 a 47 kromě prvků týkajících se řízení rizik v oblasti informačních a komunikačních technologií; |
| --- | --- | --- |

2)

v čl. 50 odst. 1 se písmena a) a b) nahrazují tímto:

„a)

prvky systémů uvedených v článku 41, článku 44, zejména oblasti uvedené v čl. 44 odst. 2, a v článcích 46 a 47 kromě prvků týkajících se řízení rizik v oblasti informačních a komunikačních technologií;

| b) | funkce uvedené v článcích 44, 46, 47 a 48 kromě funkcí vztahujících se k řízení rizik v oblasti informačních a komunikačních technologií.“ |
| --- | --- |

b)

funkce uvedené v článcích 44, 46, 47 a 48 kromě funkcí vztahujících se k řízení rizik v oblasti informačních a komunikačních technologií.“

Článek 3

Změna směrnice 2011/61/EU

Článek 18 směrnice 2011/61/EU se nahrazuje tímto:

„Článek 18

Obecné zásady

1.   Členské státy vyžadují, aby správce vždy využíval vhodné a přiměřené lidské a technické zdroje, které jsou nezbytné pro řádnou správu alternativních investičních fondů.

Příslušné orgány domovského členského státu správce, rovněž s ohledem na charakter jím spravovaných alternativních investičních fondů, zejména vyžadují, aby tento správce uplatňoval řádné administrativní a účetní postupy a kontrolní a ochranná opatření při elektronickém zpracovávání dat, a to i ve vztahu k sítím a informačním systémům, které jsou zavedeny a řízeny v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*3), jakož i příslušné mechanismy vnitřní kontroly, mezi něž patří zejména pravidla pro osobní transakce prováděné jeho zaměstnanci a pro držení nebo správu investic s cílem investovat na vlastní účet, a jež přinejmenším zajišťují, aby každá transakce, do níž jsou alternativní investiční fondy zapojeny, mohla být rekonstruována podle svého původu, podle zúčastněných stran, povahy, doby, kdy byla uskutečněna, a místa, kde byla uskutečněna, a aby aktiva alternativních investičních fondů spravovaných tímto správcem byla investována v souladu se statutem či zakládacími dokumenty alternativního investičního fondu a v souladu s platnými právními předpisy.

2.   Komise přijme prostřednictvím aktů v přenesené pravomoci v souladu s článkem 56 a za podmínek stanovených v článcích 57 a 58 opatření, jimiž se blíže stanoví postupy a opatření uvedené v odstavci 1 tohoto článku, kromě postupů a opatření, které se týkají sítí a informačních systémů.

Článek 4

Změny směrnice 2013/36/EU

Směrnice 2013/36/EU se mění takto:

| 1) | v čl. 65 odst. 3 písm. a) se bod vi) nahrazuje tímto:






  „vi) | třetí strany, které pro subjekty uvedené v bodech i) až iv) externě zajišťují funkce nebo činnosti, včetně poskytovatelů služeb IKT z řad třetích stran uvedených v kapitole V nařízení Evropského parlamentu a Rady (EU) 2022/2554 (*4); |
| --- | --- | --- |

1)

v čl. 65 odst. 3 písm. a) se bod vi) nahrazuje tímto:

„vi)

třetí strany, které pro subjekty uvedené v bodech i) až iv) externě zajišťují funkce nebo činnosti, včetně poskytovatelů služeb IKT z řad třetích stran uvedených v kapitole V nařízení Evropského parlamentu a Rady (EU) 2022/2554 (*4);

*4

(*4)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“;"

*4

| 2) | v čl. 74 odst. 1 se první pododstavec nahrazuje tímto:

  „Instituce musí mít spolehlivé mechanismy pro správu a řízení, které zahrnují jasnou organizační strukturu s dobře vymezenými, transparentními a konzistentně rozdělenými úkoly, účinnými postupy pro identifikaci, řízení, sledování a hlášení rizik, jimž instituce je nebo může být vystavena, přiměřené mechanismy vnitřní kontroly, včetně řádné správy a účetních postupů, sítě a informační systémy, které jsou zavedeny a řízeny v souladu s nařízením (EU) 2022/2554, a zásady a postupy odměňování, které odpovídají náležitému a účinnému řízení rizik a podporují je.“; |
| --- | --- |

2)

v čl. 74 odst. 1 se první pododstavec nahrazuje tímto:

„Instituce musí mít spolehlivé mechanismy pro správu a řízení, které zahrnují jasnou organizační strukturu s dobře vymezenými, transparentními a konzistentně rozdělenými úkoly, účinnými postupy pro identifikaci, řízení, sledování a hlášení rizik, jimž instituce je nebo může být vystavena, přiměřené mechanismy vnitřní kontroly, včetně řádné správy a účetních postupů, sítě a informační systémy, které jsou zavedeny a řízeny v souladu s nařízením (EU) 2022/2554, a zásady a postupy odměňování, které odpovídají náležitému a účinnému řízení rizik a podporují je.“;

| 3) | v článku 85 se odstavec 2 nahrazuje tímto:

  „2.   Příslušné orgány zajistí, aby instituce měly náležité pohotovostní politiky a plány a politiky a plány zachování provozu, včetně politik a plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT pro technologie, které používají pro komunikaci informací, a aby byly uvedené plány zavedeny, řízeny a testovány v souladu s článkem 11 nařízení (EU) 2022/2554, s cílem umožnit institucím zachovat provoz v případě závažného přerušení podnikatelské činnosti a omezit ztráty vzniklé v důsledku takového přerušení.“; |
| --- | --- |

3)

v článku 85 se odstavec 2 nahrazuje tímto:

„2.   Příslušné orgány zajistí, aby instituce měly náležité pohotovostní politiky a plány a politiky a plány zachování provozu, včetně politik a plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT pro technologie, které používají pro komunikaci informací, a aby byly uvedené plány zavedeny, řízeny a testovány v souladu s článkem 11 nařízení (EU) 2022/2554, s cílem umožnit institucím zachovat provoz v případě závažného přerušení podnikatelské činnosti a omezit ztráty vzniklé v důsledku takového přerušení.“;

| 4) | v čl. 97 odst. 1 se doplňuje nové písmeno, které zní:






  „d) | rizika zjištěná testováním digitální provozní odolnosti v souladu s kapitolou IV nařízení (EU) 2022/2554;“. |
| --- | --- | --- |

4)

v čl. 97 odst. 1 se doplňuje nové písmeno, které zní:

„d)

rizika zjištěná testováním digitální provozní odolnosti v souladu s kapitolou IV nařízení (EU) 2022/2554;“.

Článek 5

Změny směrnice 2014/59/EU

Směrnice 2014/59/EU se mění takto:

| 1) | článek 10 se mění takto:






  a) | v odstavci 7 se písmeno c) nahrazuje tímto:






  „c) | přehled toho, jak by bylo možné zásadní funkce a hlavní linie podnikání v nezbytné míře právně a ekonomicky oddělit od ostatních funkcí, aby byla zajištěna kontinuita a digitální provozní odolnost v případě selhání instituce;“, |
| --- | --- | --- | --- |

1)

článek 10 se mění takto:

a)

v odstavci 7 se písmeno c) nahrazuje tímto:

„c)

přehled toho, jak by bylo možné zásadní funkce a hlavní linie podnikání v nezbytné míře právně a ekonomicky oddělit od ostatních funkcí, aby byla zajištěna kontinuita a digitální provozní odolnost v případě selhání instituce;“,

| b) | v odstavci 7 se písmeno q) nahrazuje tímto:






  „q) | popis operací a systémů, které jsou zásadní pro zachování nepřetržitého fungování provozních procesů instituce, včetně sítí a informačních systémů podle nařízení Evropského parlamentu a Rady (EU) 2022/2554 (*5); |
| --- | --- | --- |

b)

v odstavci 7 se písmeno q) nahrazuje tímto:

„q)

popis operací a systémů, které jsou zásadní pro zachování nepřetržitého fungování provozních procesů instituce, včetně sítí a informačních systémů podle nařízení Evropského parlamentu a Rady (EU) 2022/2554 (*5);

*5

(*5)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“,"

*5

| c) | v odstavci 9 se doplňuje nový pododstavec, který zní:

  „EBA v souladu s článkem 10 nařízení (EU) č. 1093/2010 regulační technické normy přezkoumává a v případě potřeby je aktualizuje, aby mimo jiné zohledňovaly ustanovení kapitoly II nařízení (EU) 2022/2554.“; |
| --- | --- |

c)

v odstavci 9 se doplňuje nový pododstavec, který zní:

„EBA v souladu s článkem 10 nařízení (EU) č. 1093/2010 regulační technické normy přezkoumává a v případě potřeby je aktualizuje, aby mimo jiné zohledňovaly ustanovení kapitoly II nařízení (EU) 2022/2554.“;

| 2) | příloha se mění takto:






  a) | v oddíle A se bod 16 nahrazuje tímto:






  „16) | mechanismy a opatření nezbytné k zachování nepřetržitého fungování provozních postupů instituce, včetně sítí a informačních systémů, které jsou zavedeny a řízeny v souladu s nařízením (EU) 2022/2554;“, |
| --- | --- | --- | --- |

2)

příloha se mění takto:

a)

v oddíle A se bod 16 nahrazuje tímto:

„16)

mechanismy a opatření nezbytné k zachování nepřetržitého fungování provozních postupů instituce, včetně sítí a informačních systémů, které jsou zavedeny a řízeny v souladu s nařízením (EU) 2022/2554;“,

| b) | oddíl B se mění takto:






  i) | bod 14 se nahrazuje tímto:






  „14) | označení vlastníků systémů uvedených v bodě 13, s nimi souvisejících dohod o úrovni služeb a veškerého softwaru a systémů nebo licencí, včetně zmapování ve vazbě na její právnické osoby, zásadní operace a hlavní linie podnikání, jakož i označení kritických poskytovatelů služeb IKT z řad třetích stran ve smyslu čl. 3 bodu 23 nařízení (EU) 2022/2554;“, |
| --- | --- | --- | --- |

b)

oddíl B se mění takto:

i)

bod 14 se nahrazuje tímto:

„14)

označení vlastníků systémů uvedených v bodě 13, s nimi souvisejících dohod o úrovni služeb a veškerého softwaru a systémů nebo licencí, včetně zmapování ve vazbě na její právnické osoby, zásadní operace a hlavní linie podnikání, jakož i označení kritických poskytovatelů služeb IKT z řad třetích stran ve smyslu čl. 3 bodu 23 nařízení (EU) 2022/2554;“,

| ii) | vkládá se nový bod, který zní:






  „14a) | výsledky testování digitální provozní odolnosti institucí podle nařízení (EU) 2022/2554;“, |
| --- | --- | --- |

ii)

vkládá se nový bod, který zní:

„14a)

výsledky testování digitální provozní odolnosti institucí podle nařízení (EU) 2022/2554;“,

| c) | oddíl C se mění takto:






  i) | bod 4 se nahrazuje tímto:






  „4) | do jaké míry jsou dohody o poskytování služeb, včetně smluvních ujednání o využívání služeb IKT, které instituce má, robustní a plně vymahatelné v případě řešení krize instituce;“, |
| --- | --- | --- | --- |

c)

oddíl C se mění takto:

i)

bod 4 se nahrazuje tímto:

„4)

do jaké míry jsou dohody o poskytování služeb, včetně smluvních ujednání o využívání služeb IKT, které instituce má, robustní a plně vymahatelné v případě řešení krize instituce;“,

| ii) | vkládá se nový bod, který zní:






  „4a) | digitální provozní odolnost sítě a informačních systémů, které podporují zásadní funkce a hlavní linie podnikání instituce, přičemž se zohlední hlášení o závažných incidentech souvisejících s IKT a výsledky testování digitální provozní odolnosti podle nařízení (EU) 2022/2554“ |
| --- | --- | --- |

ii)

vkládá se nový bod, který zní:

„4a)

digitální provozní odolnost sítě a informačních systémů, které podporují zásadní funkce a hlavní linie podnikání instituce, přičemž se zohlední hlášení o závažných incidentech souvisejících s IKT a výsledky testování digitální provozní odolnosti podle nařízení (EU) 2022/2554“

Článek 6

Změna směrnice 2014/65/EU

Směrnice 2014/65/EU se mění takto:

| 1) | článek 16 se mění takto:






  a) | odstavec 4 se nahrazuje tímto:

  „4.   Investiční podnik přijme přiměřená opatření k tomu, aby zajistil nepřerušené a řádné poskytování investičních služeb a výkon investičních činností. K tomuto účelu využívá vhodné a přiměřené systémy, včetně systémů informačních a komunikačních technologií (IKT) zavedených a řízených v souladu s článkem 7 nařízení Evropského parlamentu a Rady (EU) 2022/2554 (*6), jakož i vhodné a přiměřené zdroje a postupy.


  (*6)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“," |
| --- | --- | --- |

1)

článek 16 se mění takto:

a)

odstavec 4 se nahrazuje tímto:

„4.   Investiční podnik přijme přiměřená opatření k tomu, aby zajistil nepřerušené a řádné poskytování investičních služeb a výkon investičních činností. K tomuto účelu využívá vhodné a přiměřené systémy, včetně systémů informačních a komunikačních technologií (IKT) zavedených a řízených v souladu s článkem 7 nařízení Evropského parlamentu a Rady (EU) 2022/2554 (*6), jakož i vhodné a přiměřené zdroje a postupy.

(*6)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“,"

*6

| b) | v odstavci 5 se druhý a třetí pododstavec nahrazují tímto:

  „Investiční podnik musí mít řádné administrativní a účetní postupy, mechanismy vnitřní kontroly a účinné postupy k posouzení rizik.
  Aniž je dotčena možnost příslušných orgánů požadovat přístup ke komunikaci v souladu s touto směrnicí a nařízením (EU) č. 600/2014, musí mít investiční podnik řádný bezpečnostní mechanismus, jenž v souladu s požadavky stanovenými v nařízení (EU) 2022/2554 zajišťuje bezpečnost a ověření prostředků pro přenos informací, minimalizuje riziko poškození údajů a neoprávněného přístupu, zamezuje úniku informací a zachovává tak neustále důvěrnost údajů.“; |
| --- | --- |

b)

v odstavci 5 se druhý a třetí pododstavec nahrazují tímto:

„Investiční podnik musí mít řádné administrativní a účetní postupy, mechanismy vnitřní kontroly a účinné postupy k posouzení rizik.

Aniž je dotčena možnost příslušných orgánů požadovat přístup ke komunikaci v souladu s touto směrnicí a nařízením (EU) č. 600/2014, musí mít investiční podnik řádný bezpečnostní mechanismus, jenž v souladu s požadavky stanovenými v nařízení (EU) 2022/2554 zajišťuje bezpečnost a ověření prostředků pro přenos informací, minimalizuje riziko poškození údajů a neoprávněného přístupu, zamezuje úniku informací a zachovává tak neustále důvěrnost údajů.“;

| 2) | článek 17 se mění takto:






  a) | odstavec 1 se nahrazuje tímto:

  „1.   Investiční podnik, který se zabývá algoritmickým obchodováním, musí mít účinné systémy a kontroly rizika, jež jsou přiměřené činnosti, kterou provozuje, a umožňují mu tak zajistit, že jeho obchodní systémy jsou odolné a mají dostatečnou kapacitu v souladu s požadavky stanovenými v kapitole II nařízení (EU) 2022/2554, podléhají vhodným prahovým hodnotám a limitům obchodování a brání zaslání chybného pokynu nebo jinému způsobu fungování systémů, který může způsobit narušení trhu nebo k němu přispět.
  Tento podnik musí mít rovněž účinné systémy a kontroly rizik, jimiž zajistí, aby obchodní systémy nemohly být využity pro žádný účel, který je v rozporu s nařízením (EU) č. 596/2014 nebo pravidly obchodního systému, s nímž je podnik propojen.
  Investiční podnik musí mít účinné mechanismy zachování provozu pro případ, že dojde k selhání jeho obchodních systémů, včetně politiky a plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT zavedených v souladu s článkem 11 nařízení (EU) 2022/2554, a musí zajistit, aby byly jeho systémy plně přezkoušeny a řádně sledovány, tak aby bylo zajištěno, že splňují obecné požadavky stanovené v tomto odstavci a veškeré zvláštní požadavky stanovené v kapitolách II a IV nařízení (EU) 2022/2554“, |
| --- | --- | --- |

2)

článek 17 se mění takto:

a)

odstavec 1 se nahrazuje tímto:

„1.   Investiční podnik, který se zabývá algoritmickým obchodováním, musí mít účinné systémy a kontroly rizika, jež jsou přiměřené činnosti, kterou provozuje, a umožňují mu tak zajistit, že jeho obchodní systémy jsou odolné a mají dostatečnou kapacitu v souladu s požadavky stanovenými v kapitole II nařízení (EU) 2022/2554, podléhají vhodným prahovým hodnotám a limitům obchodování a brání zaslání chybného pokynu nebo jinému způsobu fungování systémů, který může způsobit narušení trhu nebo k němu přispět.

Tento podnik musí mít rovněž účinné systémy a kontroly rizik, jimiž zajistí, aby obchodní systémy nemohly být využity pro žádný účel, který je v rozporu s nařízením (EU) č. 596/2014 nebo pravidly obchodního systému, s nímž je podnik propojen.

Investiční podnik musí mít účinné mechanismy zachování provozu pro případ, že dojde k selhání jeho obchodních systémů, včetně politiky a plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT zavedených v souladu s článkem 11 nařízení (EU) 2022/2554, a musí zajistit, aby byly jeho systémy plně přezkoušeny a řádně sledovány, tak aby bylo zajištěno, že splňují obecné požadavky stanovené v tomto odstavci a veškeré zvláštní požadavky stanovené v kapitolách II a IV nařízení (EU) 2022/2554“,

| b) | v odstavci 7 se písmeno a) nahrazuje tímto:






  „a) | podrobné organizační požadavky stanovené v odstavcích 1 až 6, jiné než týkající se řízení rizik v oblasti IKT, které mají být kladeny na investiční podniky, jež poskytují různé investiční služby, investiční činnosti a doplňkové služby nebo jejich kombinace, přičemž upřesnění organizačních požadavků podle odstavce 5 vymezí konkrétní požadavky týkající se přímého přístupu na trhy a sponzorovaného přístupu s cílem zajistit, aby byly kontroly uplatňované na sponzorovaný přístup alespoň rovnocenné kontrolám uplatňovaným na přímý přístup na trhy;“; |
| --- | --- | --- |

b)

v odstavci 7 se písmeno a) nahrazuje tímto:

„a)

podrobné organizační požadavky stanovené v odstavcích 1 až 6, jiné než týkající se řízení rizik v oblasti IKT, které mají být kladeny na investiční podniky, jež poskytují různé investiční služby, investiční činnosti a doplňkové služby nebo jejich kombinace, přičemž upřesnění organizačních požadavků podle odstavce 5 vymezí konkrétní požadavky týkající se přímého přístupu na trhy a sponzorovaného přístupu s cílem zajistit, aby byly kontroly uplatňované na sponzorovaný přístup alespoň rovnocenné kontrolám uplatňovaným na přímý přístup na trhy;“;

| 3) | v článku 47 se odstavec 1 mění takto:






  a) | písmeno b) se nahrazuje tímto:






  „b) | byl vhodně vybaven pro řízení rizik, kterým je vystaven, včetně řízení rizika v oblasti IKT v souladu s kapitolou II nařízení (EU) 2022/2554, zaváděl vhodná opatření a systémy ke zjišťování významných rizik pro svůj provoz a zavedl účinná opatření ke zmírnění těchto rizik.“, |
| --- | --- | --- | --- |

3)

v článku 47 se odstavec 1 mění takto:

a)

písmeno b) se nahrazuje tímto:

„b)

byl vhodně vybaven pro řízení rizik, kterým je vystaven, včetně řízení rizika v oblasti IKT v souladu s kapitolou II nařízení (EU) 2022/2554, zaváděl vhodná opatření a systémy ke zjišťování významných rizik pro svůj provoz a zavedl účinná opatření ke zmírnění těchto rizik.“,

| b) | písmeno c) se zrušuje; |
| --- | --- |

b)

písmeno c) se zrušuje;

| 4) | článek 48 se mění takto:






  a) | odstavec 1 se nahrazuje tímto:

  „1.   Členské státy vyžadují, aby regulovaný trh vytvořil a zachovával svoji provozní odolnost v souladu s požadavky stanovenými v kapitole II nařízení (EU) 2022/2554 s cílem zajistit, že jsou jeho obchodní systémy odolné, mají dostatečnou kapacitu na to, aby mohly zpracovat vysoké objemy pokynů a hlášení, mohou zajistit řádné obchodování za velmi napjatých tržních podmínek, jsou plně testovány, aby se zajistilo, že takové podmínky jsou splněny, a vztahují se na ně účinné mechanismy zachování provozu, včetně politiky a plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT zavedených v souladu s článkem 11 nařízení (EU) 2022/2554, zajišťující kontinuitu jeho služeb v případě, že dojde k jakémukoli selhání jeho obchodních systémů.“, |
| --- | --- | --- |

4)

článek 48 se mění takto:

a)

odstavec 1 se nahrazuje tímto:

„1.   Členské státy vyžadují, aby regulovaný trh vytvořil a zachovával svoji provozní odolnost v souladu s požadavky stanovenými v kapitole II nařízení (EU) 2022/2554 s cílem zajistit, že jsou jeho obchodní systémy odolné, mají dostatečnou kapacitu na to, aby mohly zpracovat vysoké objemy pokynů a hlášení, mohou zajistit řádné obchodování za velmi napjatých tržních podmínek, jsou plně testovány, aby se zajistilo, že takové podmínky jsou splněny, a vztahují se na ně účinné mechanismy zachování provozu, včetně politiky a plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT zavedených v souladu s článkem 11 nařízení (EU) 2022/2554, zajišťující kontinuitu jeho služeb v případě, že dojde k jakémukoli selhání jeho obchodních systémů.“,

| b) | odstavec 6 se nahrazuje tímto:

  „6.   Členské státy vyžadují, aby regulovaný trh zavedl účinné systémy, postupy a opatření, včetně stanovení povinnosti pro členy či účastníky provádět náležité testování algoritmů a vytvoření podmínek, které takovéto testování umožní, v souladu s požadavky stanovenými v kapitolách II a IV nařízení (EU) 2022/2554, s cílem zajistit, aby algoritmické obchodní systémy nemohly vytvořit obchodní podmínky narušující řádné fungování trhu nebo přispět k vytvoření takových podmínek, a vypořádat se s jakýmikoli obchodními podmínkami narušujícími řádné fungování trhu, které vycházejí z takovýchto algoritmických obchodních systémů, včetně systémů omezujících poměr mezi neprovedenými pokyny a obchody, které do systému může zanést člen či účastník, aby se zpomalil tok pokynů v případě, že existuje riziko, že kapacita systému byla vyčerpána, a aby se omezil a prosadil minimální krok kotace, který lze na trhu provést.“, |
| --- | --- |

b)

odstavec 6 se nahrazuje tímto:

„6.   Členské státy vyžadují, aby regulovaný trh zavedl účinné systémy, postupy a opatření, včetně stanovení povinnosti pro členy či účastníky provádět náležité testování algoritmů a vytvoření podmínek, které takovéto testování umožní, v souladu s požadavky stanovenými v kapitolách II a IV nařízení (EU) 2022/2554, s cílem zajistit, aby algoritmické obchodní systémy nemohly vytvořit obchodní podmínky narušující řádné fungování trhu nebo přispět k vytvoření takových podmínek, a vypořádat se s jakýmikoli obchodními podmínkami narušujícími řádné fungování trhu, které vycházejí z takovýchto algoritmických obchodních systémů, včetně systémů omezujících poměr mezi neprovedenými pokyny a obchody, které do systému může zanést člen či účastník, aby se zpomalil tok pokynů v případě, že existuje riziko, že kapacita systému byla vyčerpána, a aby se omezil a prosadil minimální krok kotace, který lze na trhu provést.“,

| c) | odstavec 12 se mění takto:






  i) | písmeno a) se nahrazuje tímto:






  „a) | požadavky na zajištění toho, aby obchodní systémy regulovaných trhů byly odolné a měly dostatečnou kapacitu, kromě požadavků souvisejících s digitální provozní odolností;“, |
| --- | --- | --- | --- |

c)

odstavec 12 se mění takto:

i)

písmeno a) se nahrazuje tímto:

„a)

požadavky na zajištění toho, aby obchodní systémy regulovaných trhů byly odolné a měly dostatečnou kapacitu, kromě požadavků souvisejících s digitální provozní odolností;“,

| ii) | písmeno g) se nahrazuje tímto:






  „g) | požadavky na zajištění náležitého testování algoritmů, s výjimkou testování digitální provozní odolnosti, s cílem zabránit tomu, aby systémy algoritmického obchodování včetně systémů algoritmického obchodování s vysokou frekvencí vytvářely obchodní podmínky narušující řádné fungování trhu nebo k vytvoření takových podmínek přispívaly.“ |
| --- | --- | --- |

ii)

písmeno g) se nahrazuje tímto:

„g)

požadavky na zajištění náležitého testování algoritmů, s výjimkou testování digitální provozní odolnosti, s cílem zabránit tomu, aby systémy algoritmického obchodování včetně systémů algoritmického obchodování s vysokou frekvencí vytvářely obchodní podmínky narušující řádné fungování trhu nebo k vytvoření takových podmínek přispívaly.“

Článek 7

Změny směrnice (EU) 2015/2366

Směrnice (EU) 2015/2366 se mění takto:

| 1) | v článku 3 se písmeno j) nahrazuje tímto:






  „j) | služby poskytované poskytovateli technických služeb, kteří podporují poskytování platebních služeb, aniž by v kterémkoli okamžiku převáděné peněžní prostředky přecházely do jejich držby, včetně zpracování a uchovávání údajů, svěřenských služeb a služeb na ochranu soukromí, ověřování údajů a totožnosti, poskytování informačních a komunikačních technologií (IKT) a komunikačních sítí a poskytování a údržby terminálů a zařízení využívaných v oblasti platebních služeb, s výjimkou služeb iniciování platby a služeb informování o účtu;“; |
| --- | --- | --- |

1)

v článku 3 se písmeno j) nahrazuje tímto:

„j)

služby poskytované poskytovateli technických služeb, kteří podporují poskytování platebních služeb, aniž by v kterémkoli okamžiku převáděné peněžní prostředky přecházely do jejich držby, včetně zpracování a uchovávání údajů, svěřenských služeb a služeb na ochranu soukromí, ověřování údajů a totožnosti, poskytování informačních a komunikačních technologií (IKT) a komunikačních sítí a poskytování a údržby terminálů a zařízení využívaných v oblasti platebních služeb, s výjimkou služeb iniciování platby a služeb informování o účtu;“;

| 2) | v článku 5 se odstavec 1 mění takto:






  a) | první pododstavec se mění takto:






  i) | písmeno e) se nahrazuje tímto:






  „e) | popis mechanismů pro správu a řízení a vnitřních kontrolních mechanismů žadatele, včetně správních postupů, postupů řízení rizik a účetních postupů, jakož i mechanismů pro využívání služeb IKT v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*7), který prokazuje, že tyto mechanismy pro správu a řízení a vnitřní kontrolní mechanismy jsou přiměřené, vhodné, řádné a dostačující; |
| --- | --- | --- | --- | --- |

2)

v článku 5 se odstavec 1 mění takto:

a)

první pododstavec se mění takto:

i)

písmeno e) se nahrazuje tímto:

„e)

popis mechanismů pro správu a řízení a vnitřních kontrolních mechanismů žadatele, včetně správních postupů, postupů řízení rizik a účetních postupů, jakož i mechanismů pro využívání služeb IKT v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*7), který prokazuje, že tyto mechanismy pro správu a řízení a vnitřní kontrolní mechanismy jsou přiměřené, vhodné, řádné a dostačující;

*7

(*7)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (Úř. věst. L 333, 27.12.2022, s. 1).“,"

*7

| ii) | písmeno f) se nahrazuje tímto:






  „f) | popis postupu pro sledování a řešení bezpečnostních incidentů a stížností klientů souvisejících s bezpečností a přijímání opatření v návaznosti na takové incidenty a stížnosti, včetně mechanismu pro oznamování incidentů zohledňujícího oznamovací povinnost dané platební instituce podle kapitoly III nařízení (EU) 2022/2554;“, |
| --- | --- | --- |

ii)

písmeno f) se nahrazuje tímto:

„f)

popis postupu pro sledování a řešení bezpečnostních incidentů a stížností klientů souvisejících s bezpečností a přijímání opatření v návaznosti na takové incidenty a stížnosti, včetně mechanismu pro oznamování incidentů zohledňujícího oznamovací povinnost dané platební instituce podle kapitoly III nařízení (EU) 2022/2554;“,

| iii) | písmeno h) se nahrazuje tímto:






  „h) | popis opatření k zachování provozu včetně jasné identifikace kritických operací, účinných politik a plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT a postupu pro pravidelné testování a přezkoumávání přiměřenosti a účinnosti těchto plánů v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554;“, |
| --- | --- | --- |

iii)

písmeno h) se nahrazuje tímto:

„h)

popis opatření k zachování provozu včetně jasné identifikace kritických operací, účinných politik a plánů zachování provozu IKT a plánů reakce a obnovy v oblasti IKT a postupu pro pravidelné testování a přezkoumávání přiměřenosti a účinnosti těchto plánů v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554;“,

| b) | třetí pododstavec se nahrazuje tímto:

  „V popisu bezpečnostních kontrol a opatření za účelem zmírnění rizik podle prvního pododstavce písm. j) musí být uvedeno, jakým způsobem tyto kontroly a opatření zajišťují vysokou úroveň digitální provozní odolnosti v souladu s kapitolou II nařízení (EU) 2022/2554, zejména ve vztahu k technickému zabezpečení a ochraně údajů, včetně toho, jaký software a systémy IKT žadatel nebo externí subjekty, které žadatel využívá pro své operace nebo jejich část, používají. Uvedená opatření zahrnují rovněž bezpečnostní opatření stanovená v čl. 95 odst. 1 této směrnice. Tato opatření musí zohledňovat obecné pokyny k bezpečnostním opatřením orgánu EBA podle čl. 95 odst. 3 této směrnice, jakmile budou vydány.“; |
| --- | --- |

b)

třetí pododstavec se nahrazuje tímto:

„V popisu bezpečnostních kontrol a opatření za účelem zmírnění rizik podle prvního pododstavce písm. j) musí být uvedeno, jakým způsobem tyto kontroly a opatření zajišťují vysokou úroveň digitální provozní odolnosti v souladu s kapitolou II nařízení (EU) 2022/2554, zejména ve vztahu k technickému zabezpečení a ochraně údajů, včetně toho, jaký software a systémy IKT žadatel nebo externí subjekty, které žadatel využívá pro své operace nebo jejich část, používají. Uvedená opatření zahrnují rovněž bezpečnostní opatření stanovená v čl. 95 odst. 1 této směrnice. Tato opatření musí zohledňovat obecné pokyny k bezpečnostním opatřením orgánu EBA podle čl. 95 odst. 3 této směrnice, jakmile budou vydány.“;

| 3) | v čl. 19 odst. 6 se druhý pododstavec nahrazuje tímto:

  „Outsourcing důležitých provozních funkcí včetně systémů IKT nesmí být proveden způsobem, který by podstatně zhoršil kvalitu vnitřní kontroly platební instituce a schopnost příslušných orgánů sledovat a zpětně dohledat, zda platební instituce dodržuje všechny povinnosti stanovené touto směrnicí.“; |
| --- | --- |

3)

v čl. 19 odst. 6 se druhý pododstavec nahrazuje tímto:

„Outsourcing důležitých provozních funkcí včetně systémů IKT nesmí být proveden způsobem, který by podstatně zhoršil kvalitu vnitřní kontroly platební instituce a schopnost příslušných orgánů sledovat a zpětně dohledat, zda platební instituce dodržuje všechny povinnosti stanovené touto směrnicí.“;

| 4) | v čl. 95 odst. 1 se doplňuje nový pododstavec, který zní:

  „Prvním pododstavcem není dotčeno použití kapitoly II nařízení (EU) 2022/2554 na:






  a) | poskytovatele platebních služeb uvedené v čl. 1 odst. 1 písm. a), b) a d) této směrnice, |
| --- | --- | --- |

4)

v čl. 95 odst. 1 se doplňuje nový pododstavec, který zní:

„Prvním pododstavcem není dotčeno použití kapitoly II nařízení (EU) 2022/2554 na:

a)

poskytovatele platebních služeb uvedené v čl. 1 odst. 1 písm. a), b) a d) této směrnice,

| b) | poskytovatele služeb informování o účtu uvedené v čl. 33 odst. 1 této směrnice, |
| --- | --- |

b)

poskytovatele služeb informování o účtu uvedené v čl. 33 odst. 1 této směrnice,

| c) | platební instituce osvobozené od povinností podle čl. 32 odst. 1 této směrnice a |
| --- | --- |

c)

platební instituce osvobozené od povinností podle čl. 32 odst. 1 této směrnice a

| d) | instituce elektronických peněz, na které se vztahuje výjimka podle čl. 9 odst. 1 směrnice 2009/110/ES;“; |
| --- | --- |

d)

instituce elektronických peněz, na které se vztahuje výjimka podle čl. 9 odst. 1 směrnice 2009/110/ES;“;

| 5) | v článku 96 se doplňuje nový odstavec, který zní:

  „7.   Členské státy zajistí, aby se odstavce 1 až 5 tohoto článku nevztahovaly na:






  a) | poskytovatele platebních služeb uvedené v čl. 1 odst. 1 písm. a), b) a d) této směrnice, |
| --- | --- | --- |

5)

v článku 96 se doplňuje nový odstavec, který zní:

„7.   Členské státy zajistí, aby se odstavce 1 až 5 tohoto článku nevztahovaly na:

a)

poskytovatele platebních služeb uvedené v čl. 1 odst. 1 písm. a), b) a d) této směrnice,

| b) | poskytovatele služeb informování o účtu uvedené v čl. 33 odst. 1 této směrnice, |
| --- | --- |

b)

poskytovatele služeb informování o účtu uvedené v čl. 33 odst. 1 této směrnice,

| c) | platební instituce osvobozené od povinností podle čl. 32 odst. 1 této směrnice a |
| --- | --- |

c)

platební instituce osvobozené od povinností podle čl. 32 odst. 1 této směrnice a

| d) | instituce elektronických peněz, na které se vztahuje výjimka podle čl. 9 odst. 1 směrnice 2009/110/ES.“; |
| --- | --- |

d)

instituce elektronických peněz, na které se vztahuje výjimka podle čl. 9 odst. 1 směrnice 2009/110/ES.“;

| 6) | v článku 98 se odstavec 5 nahrazuje tímto:

  „5.   EBA v souladu s článkem 10 nařízení (EU) č. 1093/2010 regulační technické normy pravidelně přezkoumává a v případě potřeby je aktualizuje s ohledem mimo jiné na inovace a technologický rozvoj a na ustanovení kapitoly II nařízení (EU) 2022/2554.“ |
| --- | --- |

6)

v článku 98 se odstavec 5 nahrazuje tímto:

„5.   EBA v souladu s článkem 10 nařízení (EU) č. 1093/2010 regulační technické normy pravidelně přezkoumává a v případě potřeby je aktualizuje s ohledem mimo jiné na inovace a technologický rozvoj a na ustanovení kapitoly II nařízení (EU) 2022/2554.“

Článek 8

Změny směrnice (EU) 2016/2341

V článku 21 směrnice (EU) 2016/2341 se odstavec 5 nahrazuje tímto:

„5.   Členské státy zajistí, aby IZPP přijaly vhodná opatření k zajištění kontinuity a řádného výkonu svých činností, včetně vypracování pohotovostních plánů. K tomuto účelu IZPP používají vhodné a přiměřené systémy, zdroje a postupy a zejména v příslušných případech zavedou a řídí sítě a informační systémy v souladu s nařízením Evropského parlamentu a Rady (EU) 2022/2554 (*8).

Článek 9

Provedení ve vnitrostátním právu

1.   Členské státy do 17. ledna 2025 přijmou a zveřejní právní a správní předpisy nezbytné pro dosažení souladu s touto směrnicí. Neprodleně o nich uvědomí Komisi.

Použijí tyto předpisy ode dne 17. ledna 2025.

Tyto předpisy přijaté členskými státy musí obsahovat odkaz na tuto směrnici nebo musí být takový odkaz učiněn při jejich úředním vyhlášení. Způsob odkazu si stanoví členské státy.

2.   Členské státy sdělí Komisi znění hlavních ustanovení vnitrostátních právních předpisů, které přijmou v oblasti působnosti této směrnice.

Článek 10

Vstup v platnost

Tato směrnice vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.

Úředním věstníku Evropské unie

Článek 11

Určení

Tato směrnice je určena členským státům.

Ve Štrasburku dne 14. prosince 2022.

Za Evropský parlament

předsedkyně

R. METSOLA

Za Radu

předseda

M. BEK

---

(1)  
  Úř. věst. C 343, 26.8.2021, s. 1.

1

(2)  
  Úř. věst. C 155, 30.4.2021, s. 38.

2

(3)  Postoj Evropského parlamentu ze dne 10. listopadu 2022 (dosud nezveřejněný v Úředním věstníku) a rozhodnutí Rady ze dne 28. listopadu 2022.

3

(4)  Směrnice Evropského parlamentu a Rady 2009/65/ES ze dne 13. července 2009 o koordinaci právních a správních předpisů týkajících se subjektů kolektivního investování do převoditelných cenných papírů (SKIPCP) (Úř. věst. L 302, 17.11.2009, s. 32).

4

(5)  Směrnice Evropského parlamentu a Rady 2009/138/ES ze dne 25. listopadu 2009 o přístupu k pojišťovací a zajišťovací činnosti a jejím výkonu (Solventnost II) (Úř. věst. L 335, 17.12.2009, s. 1).

5

(6)  Směrnice Evropského parlamentu a Rady 2011/61/EU ze dne 8. června 2011 o správcích alternativních investičních fondů a o změně směrnic 2003/41/ES a 2009/65/ES a nařízení (ES) č. 1060/2009 a (EU) č. 1095/2010 (Úř. věst. L 174, 1.7.2011, s. 1).

6

(7)  Směrnice Evropského parlamentu a Rady 2013/36/EU ze dne 26. června 2013 o přístupu k činnosti úvěrových institucí a o obezřetnostním dohledu nad úvěrovými institucemi a investičními podniky, o změně směrnice 2002/87/ES a zrušení směrnic 2006/48/ES a 2006/49/ES (Úř. věst. L 176, 27.6.2013, s. 338).

7

(8)  Směrnice Evropského parlamentu a Rady 2014/59/EU ze dne 15. května 2014, kterou se stanoví rámec pro ozdravné postupy a řešení krize úvěrových institucí a investičních podniků a kterou se mění směrnice Rady 82/891/EHS, směrnice Evropského parlamentu a Rady 2001/24/ES, 2002/47/ES, 2004/25/ES, 2005/56/ES, 2007/36/ES, 2011/35/EU, 2012/30/EU a 2013/36/EU a nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 a (EU) č. 648/2012 (Úř. věst. L 173, 12.6.2014, s. 190).

8

(9)  Směrnice Evropského parlamentu a Rady 2014/65/EU ze dne 15. května 2014 o trzích finančních nástrojů a o změně směrnic 2002/92/ES a 2011/61/EU (Úř. věst. L 173, 12.6.2014, s. 349).

9

(10)  Směrnice Evropského parlamentu a Rady (EU) 2015/2366 ze dne 25. listopadu 2015 o platebních službách na vnitřním trhu, kterou se mění změně směrnice 2002/65/ES, 2009/110/ES a 2013/36/EU a nařízení (EU) č. 1093/2010 a zrušuje směrnice 2007/64/ES (Úř. věst. L 337, 23.12.2015, s. 35).

10

(11)  Směrnice Evropského parlamentu a Rady (EU) 2016/2341 ze dne 14. prosince 2016 o činnostech institucí zaměstnaneckého penzijního pojištění (IZPP) a dohledu nad nimi (Úř. věst. L 354, 23.12.2016, s. 37).

11

(12)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (viz strana 1 v tomto čísle Úředního věstníku).

12

(13)  Nařízení Evropského parlamentu a Rady (EU) č. 1093/2010 ze dne 24. listopadu 2010 o zřízení Evropského orgánu dohledu (Evropského orgánu pro bankovnictví), o změně rozhodnutí č. 716/2009/ES a o zrušení rozhodnutí Komise 2009/78/ES (Úř. věst. L 331, 15.12.2010, s. 12).

13

(14)  
  Úř. věst. C 369, 17.12.2011, s. 14.

14

---

| 27.12.2022 | CS | Úřední věstník Evropské unie | L 333/164 |
| --- | --- | --- | --- |

27.12.2022

CS

Úřední věstník Evropské unie

L 333/164

---

SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY (EU) 2022/2557

ze dne 14. prosince 2022

o odolnosti kritických subjektů a o zrušení směrnice Rady 2008/114/ES

(Text s významem pro EHP)

EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,

s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy,

s ohledem na návrh Evropské komise,

po postoupení návrhu legislativního aktu vnitrostátním parlamentům,

s ohledem na stanovisko Evropského hospodářského a sociálního výboru (1),

s ohledem na stanovisko Výboru regionů (2),

v souladu s řádným legislativním postupem (3),

vzhledem k těmto důvodům:

| (1) | V ekonomice Unie charakterizované stále větší vzájemnou závislostí mají kritické subjekty jakožto poskytovatelé základních služeb nepostradatelnou úlohu při zachování životně důležitých společenských funkcí nebo hospodářských činností na vnitřním trhu. Má proto zásadní význam vytvořit unijní rámec, jehož cílem je posílit odolnost kritických subjektů na vnitřním trhu stanovením harmonizovaných minimálních pravidel, jakož i pomoci těmto subjektům prostřednictvím ucelených a specializovaných opatření podpory a dohledu. |
| --- | --- |

(1)

V ekonomice Unie charakterizované stále větší vzájemnou závislostí mají kritické subjekty jakožto poskytovatelé základních služeb nepostradatelnou úlohu při zachování životně důležitých společenských funkcí nebo hospodářských činností na vnitřním trhu. Má proto zásadní význam vytvořit unijní rámec, jehož cílem je posílit odolnost kritických subjektů na vnitřním trhu stanovením harmonizovaných minimálních pravidel, jakož i pomoci těmto subjektům prostřednictvím ucelených a specializovaných opatření podpory a dohledu.

| (2) | Směrnice Rady 2008/114/ES (4) stanoví postup pro označování evropské kritické infrastruktury v odvětví energetiky a dopravy, jejíž narušení nebo zničení by mělo závažný přeshraniční dopad na nejméně dva členské státy. Uvedená směrnice se zaměřuje výlučně na ochranu takové infrastruktury. Z hodnocení směrnice 2008/114/ES provedeného v roce 2019 však vyplynulo, že vzhledem ke stále více propojené a přeshraniční povaze činností využívajících kritickou infrastrukturu nejsou ochranná opatření týkající se jednotlivých aktiv sama o sobě dostatečná k tomu, aby zabránila vzniku veškerých narušení. Proto je nutné změnit přístup směrem k zajištění toho, aby byla lépe zohledněna rizika, aby byla lépe definována úloha a povinnosti kritických subjektů jakožto poskytovatelů základních služeb nezbytných pro fungování vnitřního trhu a aby byla za účelem posílení odolnosti kritických subjektů přijata jednotná unijní pravidla. Kritické subjekty by tak měly dostat možnost posílit své schopnosti předcházet incidentům, které mohou narušit poskytování základních služeb, chránit se před těmito incidenty, reagovat na ně, odolávat jim, zmírňovat a absorbovat je, přizpůsobovat se jim a zotavit se z nich. |
| --- | --- |

(2)

Směrnice Rady 2008/114/ES (4) stanoví postup pro označování evropské kritické infrastruktury v odvětví energetiky a dopravy, jejíž narušení nebo zničení by mělo závažný přeshraniční dopad na nejméně dva členské státy. Uvedená směrnice se zaměřuje výlučně na ochranu takové infrastruktury. Z hodnocení směrnice 2008/114/ES provedeného v roce 2019 však vyplynulo, že vzhledem ke stále více propojené a přeshraniční povaze činností využívajících kritickou infrastrukturu nejsou ochranná opatření týkající se jednotlivých aktiv sama o sobě dostatečná k tomu, aby zabránila vzniku veškerých narušení. Proto je nutné změnit přístup směrem k zajištění toho, aby byla lépe zohledněna rizika, aby byla lépe definována úloha a povinnosti kritických subjektů jakožto poskytovatelů základních služeb nezbytných pro fungování vnitřního trhu a aby byla za účelem posílení odolnosti kritických subjektů přijata jednotná unijní pravidla. Kritické subjekty by tak měly dostat možnost posílit své schopnosti předcházet incidentům, které mohou narušit poskytování základních služeb, chránit se před těmito incidenty, reagovat na ně, odolávat jim, zmírňovat a absorbovat je, přizpůsobovat se jim a zotavit se z nich.

| (3) | Ačkoli je cílem řady opatření na úrovni Unie, jako je Evropský program na ochranu kritické infrastruktury, a na vnitrostátní úrovni podpora ochrany kritické infrastruktury v Unii, je třeba učinit více, aby mohly být subjekty provozující takovou infrastrukturu lépe vybaveny k řešení rizik pro jejich provoz, které by mohly vést k narušení poskytování základních služeb. Je třeba rovněž učinit více s cílem zlepšit vybavení těchto subjektů z důvodu dynamického vývoje v oblasti hrozeb, který zahrnuje vyvíjející se hybridní a teroristické hrozby, a narůstající vzájemnou závislost mezi infrastrukturou a odvětvími. Kromě toho existuje zvýšené fyzické riziko, pokud jde o přírodní katastrofy a změny klimatu, což zintenzivňuje frekvenci a rozsah extrémních povětrnostních jevů a přináší dlouhodobé změny průměrných klimatických podmínek, které mohou snížit kapacitu, účinnost a životnost určitých typů infrastruktury, pokud nebudou zavedena opatření pro přizpůsobení se změně klimatu. Pokud jde o určení kritických subjektů, panuje dále na vnitřním trhu roztříštěnost, jelikož relevantní odvětví a kategorie subjektů nejsou shodně uznávány jako kritické ve všech členských státech. Tato směrnice by tudíž měla dosáhnout stabilní úrovně harmonizace, pokud jde o odvětví a kategorie subjektů, jež spadají do její oblasti působnosti. |
| --- | --- |

(3)

Ačkoli je cílem řady opatření na úrovni Unie, jako je Evropský program na ochranu kritické infrastruktury, a na vnitrostátní úrovni podpora ochrany kritické infrastruktury v Unii, je třeba učinit více, aby mohly být subjekty provozující takovou infrastrukturu lépe vybaveny k řešení rizik pro jejich provoz, které by mohly vést k narušení poskytování základních služeb. Je třeba rovněž učinit více s cílem zlepšit vybavení těchto subjektů z důvodu dynamického vývoje v oblasti hrozeb, který zahrnuje vyvíjející se hybridní a teroristické hrozby, a narůstající vzájemnou závislost mezi infrastrukturou a odvětvími. Kromě toho existuje zvýšené fyzické riziko, pokud jde o přírodní katastrofy a změny klimatu, což zintenzivňuje frekvenci a rozsah extrémních povětrnostních jevů a přináší dlouhodobé změny průměrných klimatických podmínek, které mohou snížit kapacitu, účinnost a životnost určitých typů infrastruktury, pokud nebudou zavedena opatření pro přizpůsobení se změně klimatu. Pokud jde o určení kritických subjektů, panuje dále na vnitřním trhu roztříštěnost, jelikož relevantní odvětví a kategorie subjektů nejsou shodně uznávány jako kritické ve všech členských státech. Tato směrnice by tudíž měla dosáhnout stabilní úrovně harmonizace, pokud jde o odvětví a kategorie subjektů, jež spadají do její oblasti působnosti.

| (4) | Ačkoli některá odvětví hospodářství, jako jsou odvětví energetiky a dopravy, již jsou regulována odvětvovými právními akty Unie, tyto právní akty obsahují ustanovení týkající se pouze určitých aspektů odolnosti subjektů působících v těchto odvětvích. Aby bylo možné komplexně řešit odolnost subjektů, které jsou kritické pro řádné fungování vnitřního trhu, tvoří tato směrnice zastřešující rámec, který řeší odolnost kritických subjektů vůči všem nebezpečím, bez ohledu na to, zda se jedná o nebezpečí přírodní, způsobená člověkem, neúmyslná či úmyslná. |
| --- | --- |

(4)

Ačkoli některá odvětví hospodářství, jako jsou odvětví energetiky a dopravy, již jsou regulována odvětvovými právními akty Unie, tyto právní akty obsahují ustanovení týkající se pouze určitých aspektů odolnosti subjektů působících v těchto odvětvích. Aby bylo možné komplexně řešit odolnost subjektů, které jsou kritické pro řádné fungování vnitřního trhu, tvoří tato směrnice zastřešující rámec, který řeší odolnost kritických subjektů vůči všem nebezpečím, bez ohledu na to, zda se jedná o nebezpečí přírodní, způsobená člověkem, neúmyslná či úmyslná.

| (5) | Narůstající vzájemná závislost mezi infrastrukturou a odvětvími je výsledkem stále častější přeshraniční a vzájemně závislé sítě poskytování služeb využívající klíčovou infrastrukturu v celé Unii v odvětvích energetiky, dopravy, bankovnictví, pitné vody, odpadních vod, produkce, zpracování a distribuce potravin, zdravotnictví, v kosmickém odvětví, v odvětvích infrastruktury finančních trhů a digitální infrastruktury a v některých prvcích veřejné správy. Kosmické odvětví spadá do oblasti působnosti této směrnice, pokud jde o poskytování určitých služeb závislých na pozemních infrastrukturách, které jsou vlastněny, spravovány a provozovány buď členskými státy, nebo soukromými subjekty, a tudíž infrastruktura vlastněná spravovaná nebo provozovaná Unií nebo jejím jménem v rámci jejího kosmického programu do oblasti působnosti této směrnice nespadá.
  Pokud jde o odvětví energetiky, a zejména způsoby výroby a přenosu elektřiny (ve vztahu k jejím dodávkám), rozumí se, že tam, kde je to považováno za vhodné, může výroba elektřiny zahrnovat přenosové součásti jaderných elektráren, avšak s vyloučením specificky jaderných prvků, na něž se vztahují mezinárodní úmluvy a právo Unie, včetně příslušných právních předpisů Unie v oblasti jaderné energie. Proces určování kritických subjektů v odvětví výroby, zpracování a distribuce potravin by měl odpovídajícím způsobem odrážet povahu vnitřního trhu v tomto odvětví a obsáhlá pravidla Unie týkající se obecných zásad a požadavků potravinového práva a bezpečnosti potravin. V zájmu zajištění přiměřeného přístupu a náležitého zohlednění úlohy a významu těchto subjektů na vnitrostátní úrovni by proto kritické subjekty měly být určovány pouze mezi potravinářskými podniky, bez ohledu na, zda jsou provozovány za účelem dosažení zisku či nikoli a zda jsou veřejnými či soukromými podniky, a jež se zabývají výhradně logistikou a velkoobchodní distribucí a rozsáhlou průmyslovou výrobou a zpracováním s významným podílem na trhu zjištěným na vnitrostátní úrovni. Tyto vzájemné závislosti znamenají, že jakékoli narušení základních služeb, dokonce i když se původně omezilo na jeden subjekt nebo jedno odvětví, může mít v širším měřítku kaskádové účinky, což může mít za následek dalekosáhlý a dlouhodobý nepříznivý dopad na poskytování služeb na vnitřním trhu. Závažné krize, jako byla pandemie COVID-19, ukázaly zranitelnost našich stále více vzájemně závislých společností vůči rizikům s velkým dopadem a nízkou pravděpodobností. |
| --- | --- |

(5)

Narůstající vzájemná závislost mezi infrastrukturou a odvětvími je výsledkem stále častější přeshraniční a vzájemně závislé sítě poskytování služeb využívající klíčovou infrastrukturu v celé Unii v odvětvích energetiky, dopravy, bankovnictví, pitné vody, odpadních vod, produkce, zpracování a distribuce potravin, zdravotnictví, v kosmickém odvětví, v odvětvích infrastruktury finančních trhů a digitální infrastruktury a v některých prvcích veřejné správy. Kosmické odvětví spadá do oblasti působnosti této směrnice, pokud jde o poskytování určitých služeb závislých na pozemních infrastrukturách, které jsou vlastněny, spravovány a provozovány buď členskými státy, nebo soukromými subjekty, a tudíž infrastruktura vlastněná spravovaná nebo provozovaná Unií nebo jejím jménem v rámci jejího kosmického programu do oblasti působnosti této směrnice nespadá.

Pokud jde o odvětví energetiky, a zejména způsoby výroby a přenosu elektřiny (ve vztahu k jejím dodávkám), rozumí se, že tam, kde je to považováno za vhodné, může výroba elektřiny zahrnovat přenosové součásti jaderných elektráren, avšak s vyloučením specificky jaderných prvků, na něž se vztahují mezinárodní úmluvy a právo Unie, včetně příslušných právních předpisů Unie v oblasti jaderné energie. Proces určování kritických subjektů v odvětví výroby, zpracování a distribuce potravin by měl odpovídajícím způsobem odrážet povahu vnitřního trhu v tomto odvětví a obsáhlá pravidla Unie týkající se obecných zásad a požadavků potravinového práva a bezpečnosti potravin. V zájmu zajištění přiměřeného přístupu a náležitého zohlednění úlohy a významu těchto subjektů na vnitrostátní úrovni by proto kritické subjekty měly být určovány pouze mezi potravinářskými podniky, bez ohledu na, zda jsou provozovány za účelem dosažení zisku či nikoli a zda jsou veřejnými či soukromými podniky, a jež se zabývají výhradně logistikou a velkoobchodní distribucí a rozsáhlou průmyslovou výrobou a zpracováním s významným podílem na trhu zjištěným na vnitrostátní úrovni. Tyto vzájemné závislosti znamenají, že jakékoli narušení základních služeb, dokonce i když se původně omezilo na jeden subjekt nebo jedno odvětví, může mít v širším měřítku kaskádové účinky, což může mít za následek dalekosáhlý a dlouhodobý nepříznivý dopad na poskytování služeb na vnitřním trhu. Závažné krize, jako byla pandemie COVID-19, ukázaly zranitelnost našich stále více vzájemně závislých společností vůči rizikům s velkým dopadem a nízkou pravděpodobností.

| (6) | Na subjekty zapojené do poskytování základních služeb se stále více vztahují odlišné požadavky stanovené vnitrostátním právem. Skutečnost, že některé členské státy mají na tyto subjekty méně přísné bezpečnostní požadavky, nejenže vede k různým úrovním odolnosti, ale může mít nepříznivý dopad na zachování nejdůležitějších společenských funkcí nebo hospodářských činností v celé Unii, a vede také k překážkám řádného fungování vnitřního trhu. Investoři a společnosti mohou vložit svou důvěru ve spolehlivé a odolné kritické subjekty a spolehlivost a důvěra jsou základními kameny dobře fungujícího vnitřního trhu. Podobné typy subjektů jsou v některých členských státech považovány za kritické, v jiných nikoli, a na ty, které jsou určeny jakožto kritické, se v různých členských státech vztahují odlišné požadavky. To má za následek další a zbytečnou administrativní zátěž pro společnosti působící přeshraničně, zejména pro společnosti působící v členských státech s přísnějšími požadavky. Unijní rámec by proto měl rovněž vést k vytvoření rovných podmínek pro kritické subjekty v celé Unii. |
| --- | --- |

(6)

Na subjekty zapojené do poskytování základních služeb se stále více vztahují odlišné požadavky stanovené vnitrostátním právem. Skutečnost, že některé členské státy mají na tyto subjekty méně přísné bezpečnostní požadavky, nejenže vede k různým úrovním odolnosti, ale může mít nepříznivý dopad na zachování nejdůležitějších společenských funkcí nebo hospodářských činností v celé Unii, a vede také k překážkám řádného fungování vnitřního trhu. Investoři a společnosti mohou vložit svou důvěru ve spolehlivé a odolné kritické subjekty a spolehlivost a důvěra jsou základními kameny dobře fungujícího vnitřního trhu. Podobné typy subjektů jsou v některých členských státech považovány za kritické, v jiných nikoli, a na ty, které jsou určeny jakožto kritické, se v různých členských státech vztahují odlišné požadavky. To má za následek další a zbytečnou administrativní zátěž pro společnosti působící přeshraničně, zejména pro společnosti působící v členských státech s přísnějšími požadavky. Unijní rámec by proto měl rovněž vést k vytvoření rovných podmínek pro kritické subjekty v celé Unii.

| (7) | Je nezbytné stanovit harmonizovaná minimální pravidla, která zajistí poskytování základních služeb na vnitřním trhu, posílí odolnost kritických subjektů a zlepší přeshraniční spolupráci příslušných orgánů. Je důležité, aby tato pravidla obstála i v budoucnu, pokud jde o jejich koncepci a provádění, a aby zároveň umožňovala nezbytnou flexibilitu. Je rovněž zásadní zlepšit schopnost kritických subjektů poskytovat základní služby v kontextu působení rozmanitého souboru rizik. |
| --- | --- |

(7)

Je nezbytné stanovit harmonizovaná minimální pravidla, která zajistí poskytování základních služeb na vnitřním trhu, posílí odolnost kritických subjektů a zlepší přeshraniční spolupráci příslušných orgánů. Je důležité, aby tato pravidla obstála i v budoucnu, pokud jde o jejich koncepci a provádění, a aby zároveň umožňovala nezbytnou flexibilitu. Je rovněž zásadní zlepšit schopnost kritických subjektů poskytovat základní služby v kontextu působení rozmanitého souboru rizik.

| (8) | K dosažení vysoké míry odolnosti by členské státy měly určit kritické subjekty, které budou podléhat zvláštním požadavkům a dohledu a jimž bude poskytována zvláštní podpora a vedení ve vztahu ke všem příslušným rizikům. |
| --- | --- |

(8)

K dosažení vysoké míry odolnosti by členské státy měly určit kritické subjekty, které budou podléhat zvláštním požadavkům a dohledu a jimž bude poskytována zvláštní podpora a vedení ve vztahu ke všem příslušným rizikům.

| (9) | Vzhledem k důležitosti kybernetické bezpečnosti pro odolnost kritických subjektů a v zájmu konzistentnosti by měl být zajištěn, je-li to možné, ucelený přístup mezi touto směrnicí a směrnicí Evropského parlamentu a Rady (EU) 2022/2555 (5), Vzhledem k vyšší frekvenci a zvláštním rysům kybernetických rizik stanoví směrnice (EU) 2022/2555 komplexní požadavky na velkou skupinu subjektů za účelem zajištění jejich kybernetické bezpečnosti. Vzhledem k tomu, že kybernetická bezpečnost je dostatečně řešena ve směrnici (EU) 2022/2555, měly by být záležitosti, na které se vztahuje, vyloučeny z oblasti působnosti této směrnice, aniž by byl dotčen zvláštní režim pro subjekty v odvětví digitální infrastruktury. |
| --- | --- |

(9)

Vzhledem k důležitosti kybernetické bezpečnosti pro odolnost kritických subjektů a v zájmu konzistentnosti by měl být zajištěn, je-li to možné, ucelený přístup mezi touto směrnicí a směrnicí Evropského parlamentu a Rady (EU) 2022/2555 (5), Vzhledem k vyšší frekvenci a zvláštním rysům kybernetických rizik stanoví směrnice (EU) 2022/2555 komplexní požadavky na velkou skupinu subjektů za účelem zajištění jejich kybernetické bezpečnosti. Vzhledem k tomu, že kybernetická bezpečnost je dostatečně řešena ve směrnici (EU) 2022/2555, měly by být záležitosti, na které se vztahuje, vyloučeny z oblasti působnosti této směrnice, aniž by byl dotčen zvláštní režim pro subjekty v odvětví digitální infrastruktury.

| (10) | Pokud ustanovení odvětvových právních aktů Unie vyžadují, aby kritické subjekty přijaly opatření k posílení své odolnosti, a pokud jsou tyto požadavky uznány členskými státy za přinejmenším rovnocenné odpovídajícím povinnostem stanoveným v této směrnici, neměla by se příslušná ustanovení této směrnice uplatnit, aby se zabránilo zdvojování a zbytečné zátěži. V takovém případě by se měla použít příslušná ustanovení těchto právních aktů Unie. Pokud se nepoužijí příslušná ustanovení této směrnice, neměla by se použít ani ustanovení o dohledu a vymáhání stanovená v této směrnici. |
| --- | --- |

(10)

Pokud ustanovení odvětvových právních aktů Unie vyžadují, aby kritické subjekty přijaly opatření k posílení své odolnosti, a pokud jsou tyto požadavky uznány členskými státy za přinejmenším rovnocenné odpovídajícím povinnostem stanoveným v této směrnici, neměla by se příslušná ustanovení této směrnice uplatnit, aby se zabránilo zdvojování a zbytečné zátěži. V takovém případě by se měla použít příslušná ustanovení těchto právních aktů Unie. Pokud se nepoužijí příslušná ustanovení této směrnice, neměla by se použít ani ustanovení o dohledu a vymáhání stanovená v této směrnici.

| (11) | Tato směrnice se nedotýká pravomoci členských států a jejich orgánů, pokud jde o správní autonomii, ani jejich odpovědnosti za zajištění národní bezpečnosti a obrany nebo jejich pravomoci chránit jiné základní funkce státu, zejména pokud jde o veřejnou bezpečnost, územní celistvost a udržování veřejného pořádku. Vynětí subjektů veřejné správy z oblasti působnosti této směrnice by se mělo vztahovat na subjekty, jež vykonávají svou činnost převážně v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů. Nicméně do oblasti působnosti této směrnice by měly spadat subjekty veřejné správy, jejichž činnosti souvisejí s těmito oblastmi pouze okrajově. Pro účely této směrnice se subjekty s regulačními pravomocemi nepovažují za subjekty vykonávající činnost v oblasti prosazování práva, a tudíž nejsou z uvedeného důvodu z oblasti působnosti této směrnice vyloučeny. Z oblasti působnosti této směrnice jsou vyňaty subjekty veřejné správy, které jsou zřízeny společně se třetí zemí v souladu s mezinárodní dohodou. Tato směrnice se nevztahuje na diplomatické a konzulární mise členských států ve třetích zemích.
  Některé kritické subjekty vykonávají činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů, či poskytují služby výhradně subjektům veřejné správy, které vykonávají činnosti převážně v uvedených oblastech. S ohledem na odpovědnost členských států za zajištění národní bezpečnosti a obrany by členské státy měly mít možnost rozhodnout, že povinnosti kritických subjektů stanovené v této směrnici by se na tyto kritické subjekty neměly zcela nebo zčásti vztahovat, pokud služby, které poskytují, nebo činnosti, které vykonávají, souvisejí převážně s oblastmi národní bezpečnosti, veřejné bezpečnosti obrany, nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů. Kritické subjekty, jejichž služby nebo činnosti souvisejí s těmito oblastmi pouze okrajově, by měly spadat do oblasti působnosti této směrnice. Žádný členský stát by neměl být povinen poskytovat informace, jejichž zpřístupnění by bylo v rozporu se základními zájmy jeho národní bezpečnosti. Uplatní se unijní nebo vnitrostátní pravidla o ochraně utajovaných informací nebo dohody o zachování důvěrnosti. |
| --- | --- |

(11)

Tato směrnice se nedotýká pravomoci členských států a jejich orgánů, pokud jde o správní autonomii, ani jejich odpovědnosti za zajištění národní bezpečnosti a obrany nebo jejich pravomoci chránit jiné základní funkce státu, zejména pokud jde o veřejnou bezpečnost, územní celistvost a udržování veřejného pořádku. Vynětí subjektů veřejné správy z oblasti působnosti této směrnice by se mělo vztahovat na subjekty, jež vykonávají svou činnost převážně v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů. Nicméně do oblasti působnosti této směrnice by měly spadat subjekty veřejné správy, jejichž činnosti souvisejí s těmito oblastmi pouze okrajově. Pro účely této směrnice se subjekty s regulačními pravomocemi nepovažují za subjekty vykonávající činnost v oblasti prosazování práva, a tudíž nejsou z uvedeného důvodu z oblasti působnosti této směrnice vyloučeny. Z oblasti působnosti této směrnice jsou vyňaty subjekty veřejné správy, které jsou zřízeny společně se třetí zemí v souladu s mezinárodní dohodou. Tato směrnice se nevztahuje na diplomatické a konzulární mise členských států ve třetích zemích.

Některé kritické subjekty vykonávají činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů, či poskytují služby výhradně subjektům veřejné správy, které vykonávají činnosti převážně v uvedených oblastech. S ohledem na odpovědnost členských států za zajištění národní bezpečnosti a obrany by členské státy měly mít možnost rozhodnout, že povinnosti kritických subjektů stanovené v této směrnici by se na tyto kritické subjekty neměly zcela nebo zčásti vztahovat, pokud služby, které poskytují, nebo činnosti, které vykonávají, souvisejí převážně s oblastmi národní bezpečnosti, veřejné bezpečnosti obrany, nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů. Kritické subjekty, jejichž služby nebo činnosti souvisejí s těmito oblastmi pouze okrajově, by měly spadat do oblasti působnosti této směrnice. Žádný členský stát by neměl být povinen poskytovat informace, jejichž zpřístupnění by bylo v rozporu se základními zájmy jeho národní bezpečnosti. Uplatní se unijní nebo vnitrostátní pravidla o ochraně utajovaných informací nebo dohody o zachování důvěrnosti.

| (12) | Aby nebyla ohrožena národní bezpečnost nebo bezpečnost a obchodní zájmy kritických subjektů, měly by být přístup k citlivým informacím, jejich výměna a nakládání s nimi prováděny obezřetně a se zvláštní pozorností věnovanou přenosovým kanálům a skladovacím kapacitám, které využívají. |
| --- | --- |

(12)

Aby nebyla ohrožena národní bezpečnost nebo bezpečnost a obchodní zájmy kritických subjektů, měly by být přístup k citlivým informacím, jejich výměna a nakládání s nimi prováděny obezřetně a se zvláštní pozorností věnovanou přenosovým kanálům a skladovacím kapacitám, které využívají.

| (13) | S cílem zajistit komplexní přístup k odolnosti kritických subjektů by každý členský stát měl mít zavedenou strategii pro posílení odolnosti kritických subjektů (dále jen „strategie“). Strategie by měly stanovit strategické cíle a opatření politik, která mají být provedena. V zájmu soudržnosti a účinnosti by strategie měla být navržena tak, aby hladce integrovala stávající politiky, pokud možno na základě příslušných stávajících vnitrostátních a odvětvových strategií, plánů nebo podobných dokumentů. Za účelem dosažení komplexního přístupu by členské státy měly zajistit, aby jejich strategie poskytovaly rámec politik pro lepší koordinaci mezi příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2555 v souvislosti se sdílením informací o kybernetických bezpečnostních rizicích, kybernetických hrozbách a kybernetických incidentech a o jiných než kybernetických rizicích, hrozbách a incidentech a při výkonu úkolů dohledu. Při zavádění svých strategií by členské státy měly náležitě zohlednit hybridní povahu hrozeb pro kritické subjekty. |
| --- | --- |

(13)

S cílem zajistit komplexní přístup k odolnosti kritických subjektů by každý členský stát měl mít zavedenou strategii pro posílení odolnosti kritických subjektů (dále jen „strategie“). Strategie by měly stanovit strategické cíle a opatření politik, která mají být provedena. V zájmu soudržnosti a účinnosti by strategie měla být navržena tak, aby hladce integrovala stávající politiky, pokud možno na základě příslušných stávajících vnitrostátních a odvětvových strategií, plánů nebo podobných dokumentů. Za účelem dosažení komplexního přístupu by členské státy měly zajistit, aby jejich strategie poskytovaly rámec politik pro lepší koordinaci mezi příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2555 v souvislosti se sdílením informací o kybernetických bezpečnostních rizicích, kybernetických hrozbách a kybernetických incidentech a o jiných než kybernetických rizicích, hrozbách a incidentech a při výkonu úkolů dohledu. Při zavádění svých strategií by členské státy měly náležitě zohlednit hybridní povahu hrozeb pro kritické subjekty.

| (14) | Členské státy by měly Komisi sdělit své strategie a jejich významné aktualizace, zejména s cílem umožnit Komisi posoudit správné uplatňování této směrnice, pokud jde o přístupy politik k odolnosti kritických subjektů na vnitrostátní úrovni. Strategie by mohly být v případě potřeby sdělovány jako utajované informace. Komise by měla vypracovat souhrnnou zprávu o strategiích oznámených členskými státy, která by sloužila jako základ pro výměny informací za účelem určení osvědčených postupů a otázek společného zájmu v rámci skupiny pro posílení odolnosti kritických subjektů. Vzhledem k citlivé povaze souhrnných informací obsažených v souhrnné zprávě, ať už utajovaných, či nikoli, by Komise měla spravovat tuto souhrnnou zprávu s náležitou úrovní informovanosti, pokud jde o bezpečnost kritických subjektů, členských států a Unie. Souhrnná zpráva a strategie by měly být chráněny před protiprávním nebo zlovolným jednáním a v zájmu splnění cílů této směrnice by měly být přístupné pouze oprávněným osobám. Sdělení strategií a jejich významných aktualizací by rovněž mělo přispět u Komise k porozumění, pokud jde o vývoj v rámci přístupů k odolnosti kritických subjektů, a k monitorování dopadu a přidané hodnoty této směrnice, kterou má Komise pravidelně přezkoumávat. |
| --- | --- |

(14)

Členské státy by měly Komisi sdělit své strategie a jejich významné aktualizace, zejména s cílem umožnit Komisi posoudit správné uplatňování této směrnice, pokud jde o přístupy politik k odolnosti kritických subjektů na vnitrostátní úrovni. Strategie by mohly být v případě potřeby sdělovány jako utajované informace. Komise by měla vypracovat souhrnnou zprávu o strategiích oznámených členskými státy, která by sloužila jako základ pro výměny informací za účelem určení osvědčených postupů a otázek společného zájmu v rámci skupiny pro posílení odolnosti kritických subjektů. Vzhledem k citlivé povaze souhrnných informací obsažených v souhrnné zprávě, ať už utajovaných, či nikoli, by Komise měla spravovat tuto souhrnnou zprávu s náležitou úrovní informovanosti, pokud jde o bezpečnost kritických subjektů, členských států a Unie. Souhrnná zpráva a strategie by měly být chráněny před protiprávním nebo zlovolným jednáním a v zájmu splnění cílů této směrnice by měly být přístupné pouze oprávněným osobám. Sdělení strategií a jejich významných aktualizací by rovněž mělo přispět u Komise k porozumění, pokud jde o vývoj v rámci přístupů k odolnosti kritických subjektů, a k monitorování dopadu a přidané hodnoty této směrnice, kterou má Komise pravidelně přezkoumávat.

| (15) | Opatření členských států zaměřená na určení a pomoc při zajišťování odolnosti kritických subjektů by se měla řídit přístupem založeným na analýze rizik, který je zaměřen na subjekty, jež mají nevyšší míru relevantnosti pro výkon nejdůležitějších společenských funkcí nebo hospodářských činností. V zájmu zajištění takového cíleného přístupu by měl každý členský stát v harmonizovaném rámci provést posouzení příslušných přírodních rizik a rizik způsobených člověkem, včetně meziodvětvových nebo přeshraničních rizik, která by mohla poskytování základních služeb ovlivnit, včetně havárií, přírodních katastrof, mimořádných událostí v oblasti veřejného zdraví, jako jsou pandemie, a hybridních hrozeb či jiných antagonistických hrozeb, včetně teroristických trestných činů, pronikání trestné činnosti a sabotáže (dále jen „posouzení rizik členského státu“). Při provádění posouzení rizik členského státu by členské státy měly vzít v úvahu další obecné nebo odvětvové posouzení rizik provedené podle jiných právních aktů Unie a měly by zohlednit, do jaké míry na sobě odvětví závisí, mimo jiné i ve vztahu k odvětvím, jež se nacházejí v jiných členských státech či třetích zemích. Výsledek posouzení rizik členského státu by měl být použit k určování kritických subjektů a pomáhat těmto subjektům při plnění jejich požadavků týkajících se odolnosti. Tato směrnice se vztahuje pouze na členské státy a kritické subjekty, které působí v Unii. Odborné znalosti a poznatky, jež získaly příslušné orgány, zejména díky posouzení rizik, a Komise, zejména prostřednictvím různých forem podpory a spolupráce, by však mohly být ve vhodných případech a v souladu s platnými právními nástroji využity ve prospěch třetích zemí, zejména zemí v přímém sousedství Unie, a to jejich využitím v rámci stávající spolupráce v oblasti odolnosti. |
| --- | --- |

(15)

Opatření členských států zaměřená na určení a pomoc při zajišťování odolnosti kritických subjektů by se měla řídit přístupem založeným na analýze rizik, který je zaměřen na subjekty, jež mají nevyšší míru relevantnosti pro výkon nejdůležitějších společenských funkcí nebo hospodářských činností. V zájmu zajištění takového cíleného přístupu by měl každý členský stát v harmonizovaném rámci provést posouzení příslušných přírodních rizik a rizik způsobených člověkem, včetně meziodvětvových nebo přeshraničních rizik, která by mohla poskytování základních služeb ovlivnit, včetně havárií, přírodních katastrof, mimořádných událostí v oblasti veřejného zdraví, jako jsou pandemie, a hybridních hrozeb či jiných antagonistických hrozeb, včetně teroristických trestných činů, pronikání trestné činnosti a sabotáže (dále jen „posouzení rizik členského státu“). Při provádění posouzení rizik členského státu by členské státy měly vzít v úvahu další obecné nebo odvětvové posouzení rizik provedené podle jiných právních aktů Unie a měly by zohlednit, do jaké míry na sobě odvětví závisí, mimo jiné i ve vztahu k odvětvím, jež se nacházejí v jiných členských státech či třetích zemích. Výsledek posouzení rizik členského státu by měl být použit k určování kritických subjektů a pomáhat těmto subjektům při plnění jejich požadavků týkajících se odolnosti. Tato směrnice se vztahuje pouze na členské státy a kritické subjekty, které působí v Unii. Odborné znalosti a poznatky, jež získaly příslušné orgány, zejména díky posouzení rizik, a Komise, zejména prostřednictvím různých forem podpory a spolupráce, by však mohly být ve vhodných případech a v souladu s platnými právními nástroji využity ve prospěch třetích zemí, zejména zemí v přímém sousedství Unie, a to jejich využitím v rámci stávající spolupráce v oblasti odolnosti.

| (16) | Aby bylo zajištěno, že požadavky této směrnice týkající se odolnosti se vztahují na všechny příslušné subjekty, a aby se v tomto ohledu omezily rozdíly, je důležité stanovit harmonizovaná pravidla umožňující jednotné určování kritických subjektů v celé Unii, která zároveň umožní členským státům odpovídajícím způsobem zohlednit úlohu a význam těchto subjektů na vnitrostátní úrovni. Při uplatňování kritérií stanovených v této směrnici by každý členský stát měl určit subjekty, které poskytují jednu nebo více základních služeb a které provozují a mají k dispozici kritickou infrastrukturu nacházející se na jeho území. Subjekt by měl být považován za subjekt působící na území členského státu, v němž vykonává činnosti nezbytné pro danou základní službu nebo služby a v němž se nachází kritická infrastruktura tohoto subjektu, která je používána k poskytování dané služby nebo služeb. Pokud v členském státě neexistuje žádný subjekt splňující tato kritéria, neměl by mít tento členský stát povinnost určit kritický subjekt v odpovídajícím odvětví nebo pododvětví. V zájmu účinnosti, účelnosti, soudržnosti a právní jistoty by měla být rovněž stanovena vhodná pravidla pro oznamování subjektům, že byly určeny jakožto kritické subjekty. |
| --- | --- |

(16)

Aby bylo zajištěno, že požadavky této směrnice týkající se odolnosti se vztahují na všechny příslušné subjekty, a aby se v tomto ohledu omezily rozdíly, je důležité stanovit harmonizovaná pravidla umožňující jednotné určování kritických subjektů v celé Unii, která zároveň umožní členským státům odpovídajícím způsobem zohlednit úlohu a význam těchto subjektů na vnitrostátní úrovni. Při uplatňování kritérií stanovených v této směrnici by každý členský stát měl určit subjekty, které poskytují jednu nebo více základních služeb a které provozují a mají k dispozici kritickou infrastrukturu nacházející se na jeho území. Subjekt by měl být považován za subjekt působící na území členského státu, v němž vykonává činnosti nezbytné pro danou základní službu nebo služby a v němž se nachází kritická infrastruktura tohoto subjektu, která je používána k poskytování dané služby nebo služeb. Pokud v členském státě neexistuje žádný subjekt splňující tato kritéria, neměl by mít tento členský stát povinnost určit kritický subjekt v odpovídajícím odvětví nebo pododvětví. V zájmu účinnosti, účelnosti, soudržnosti a právní jistoty by měla být rovněž stanovena vhodná pravidla pro oznamování subjektům, že byly určeny jakožto kritické subjekty.

| (17) | Členské státy by měly předložit Komisi způsobem, který splňuje cíle této směrnice, seznam základních služeb, počet kritických subjektů určených pro každé odvětví a pododvětví, jež jsou stanoveny v příloze, a pro základní službu nebo služby, které každý subjekt poskytuje, a jsou-li uplatňovány, prahové hodnoty. Tyto prahové hodnoty by mohly být uvedeny jako takové nebo v souhrnné podobě, což znamená, že dané informace lze zprůměrovat za určitou zeměpisnou oblast, rok, odvětví, pododvětví, nebo v jiném členění a že mohou zahrnovat informace o škále uvedených ukazatelů. |
| --- | --- |

(17)

Členské státy by měly předložit Komisi způsobem, který splňuje cíle této směrnice, seznam základních služeb, počet kritických subjektů určených pro každé odvětví a pododvětví, jež jsou stanoveny v příloze, a pro základní službu nebo služby, které každý subjekt poskytuje, a jsou-li uplatňovány, prahové hodnoty. Tyto prahové hodnoty by mohly být uvedeny jako takové nebo v souhrnné podobě, což znamená, že dané informace lze zprůměrovat za určitou zeměpisnou oblast, rok, odvětví, pododvětví, nebo v jiném členění a že mohou zahrnovat informace o škále uvedených ukazatelů.

| (18) | Měla by být stanovena kritéria pro určení závažnosti narušení vyvolaného incidentem. Tato kritéria by měla vycházet z kritérií stanovených ve směrnici Evropského parlamentu a Rady (EU) 2016/1148 (6), aby bylo možné využít úsilí vynaloženého členskými státy na určení provozovatelů základních služeb podle uvedené směrnice a zkušeností získaných v tomto ohledu. Závažné krize, jako pandemie COVID-19, ukázaly, jak je důležité zajistit bezpečnost dodavatelského řetězce, a prokázaly, že jeho narušení může mít negativní hospodářské a společenské dopady v řadě odvětví a přes hranice. Členské státy by proto měly při určování míry závislosti jiných odvětví a pododvětví na základní službě poskytované kritickým subjektem v co největším možném rozsahu zvážit dopady na dodavatelský řetězec. |
| --- | --- |

(18)

Měla by být stanovena kritéria pro určení závažnosti narušení vyvolaného incidentem. Tato kritéria by měla vycházet z kritérií stanovených ve směrnici Evropského parlamentu a Rady (EU) 2016/1148 (6), aby bylo možné využít úsilí vynaloženého členskými státy na určení provozovatelů základních služeb podle uvedené směrnice a zkušeností získaných v tomto ohledu. Závažné krize, jako pandemie COVID-19, ukázaly, jak je důležité zajistit bezpečnost dodavatelského řetězce, a prokázaly, že jeho narušení může mít negativní hospodářské a společenské dopady v řadě odvětví a přes hranice. Členské státy by proto měly při určování míry závislosti jiných odvětví a pododvětví na základní službě poskytované kritickým subjektem v co největším možném rozsahu zvážit dopady na dodavatelský řetězec.

| (19) | V souladu s platnými právními předpisy Unie a členských států, včetně nařízení Evropského parlamentu a Rady 2019/452 (7), kterým se stanoví rámec pro prověřování přímých zahraničních investic směřujících do Unie, musí být uznána potenciální hrozba, kterou představuje zahraniční vlastnictví kritických infrastruktur v Unii, neboť na řádném fungování kritické infrastruktury závisí služby, hospodářství a volný pohyb a bezpečnost občanů Unie. |
| --- | --- |

(19)

V souladu s platnými právními předpisy Unie a členských států, včetně nařízení Evropského parlamentu a Rady 2019/452 (7), kterým se stanoví rámec pro prověřování přímých zahraničních investic směřujících do Unie, musí být uznána potenciální hrozba, kterou představuje zahraniční vlastnictví kritických infrastruktur v Unii, neboť na řádném fungování kritické infrastruktury závisí služby, hospodářství a volný pohyb a bezpečnost občanů Unie.

| (20) | Směrnice (EU) 2022/2555 vyžaduje, aby subjekty náležející do odvětví digitální infrastruktury, které by mohly být určeny jakožto kritické subjekty podle této směrnice, přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jakož i k oznamování závažných incidentů a kybernetických hrozeb. Vzhledem k tomu, že hrozby pro bezpečnost sítí a informačních systémů mohou mít různý původ, uplatňuje směrnice (EU) 2022/2555 přístup zohledňující všechna rizika, který zahrnuje odolnost sítí a informačních systémů, jakož i fyzických součástí a prostředí těchto systémů.
  Vzhledem k tomu, že požadavky stanovené ve směrnici (EU) 2022/2555 jsou v tomto ohledu přinejmenším rovnocenné odpovídajícím povinnostem stanoveným touto směrnicí, neměly by se na subjekty náležející do odvětví digitální infrastruktury použít povinnosti stanovené v článku 11 a kapitol III, IV a VI této směrnice, aby se zabránilo zdvojování a zbytečné administrativní zátěži. Vzhledem k významu služeb poskytovaných subjekty náležejícími do odvětví digitální infrastruktury kritickým subjektům náležejícím do všech ostatních odvětví by však členské státy měly na základě kritérií a obdobně s použitím postupu stanoveného v této směrnici určit subjekty náležející do odvětví digitální infrastruktury jakožto kritické subjekty. Měly by se tudíž uplatňovat strategie, posouzení rizik členského státu a podpůrná opatření uvedená v kapitole II této směrnice. Členské státy by měly mít možnost přijmout nebo ponechat v platnosti ustanovení vnitrostátního práva s cílem dosáhnout vyšší úrovně odolnosti těchto kritických subjektů za předpokladu, že jsou tyto předpisy v souladu s platným právem Unie. |
| --- | --- |

(20)

Směrnice (EU) 2022/2555 vyžaduje, aby subjekty náležející do odvětví digitální infrastruktury, které by mohly být určeny jakožto kritické subjekty podle této směrnice, přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jakož i k oznamování závažných incidentů a kybernetických hrozeb. Vzhledem k tomu, že hrozby pro bezpečnost sítí a informačních systémů mohou mít různý původ, uplatňuje směrnice (EU) 2022/2555 přístup zohledňující všechna rizika, který zahrnuje odolnost sítí a informačních systémů, jakož i fyzických součástí a prostředí těchto systémů.

Vzhledem k tomu, že požadavky stanovené ve směrnici (EU) 2022/2555 jsou v tomto ohledu přinejmenším rovnocenné odpovídajícím povinnostem stanoveným touto směrnicí, neměly by se na subjekty náležející do odvětví digitální infrastruktury použít povinnosti stanovené v článku 11 a kapitol III, IV a VI této směrnice, aby se zabránilo zdvojování a zbytečné administrativní zátěži. Vzhledem k významu služeb poskytovaných subjekty náležejícími do odvětví digitální infrastruktury kritickým subjektům náležejícím do všech ostatních odvětví by však členské státy měly na základě kritérií a obdobně s použitím postupu stanoveného v této směrnici určit subjekty náležející do odvětví digitální infrastruktury jakožto kritické subjekty. Měly by se tudíž uplatňovat strategie, posouzení rizik členského státu a podpůrná opatření uvedená v kapitole II této směrnice. Členské státy by měly mít možnost přijmout nebo ponechat v platnosti ustanovení vnitrostátního práva s cílem dosáhnout vyšší úrovně odolnosti těchto kritických subjektů za předpokladu, že jsou tyto předpisy v souladu s platným právem Unie.

| (21) | Právní předpisy Unie pro finanční služby stanoví komplexní požadavky na finanční subjekty, a to za účelem řešení všech rizik, jimž čelí, včetně provozních rizik a zajištění kontinuity činnosti. Tyto právní předpisy zahrnují nařízení Evropského parlamentu a Rady (EU) č. 648/2012 (8), (EU) č. 575/213 (9) a (EU) č. 600/2014 (10) a směrnice Evropského parlamentu a Rady 2013/36/EU (11) a 2014/65/EU (12). Uvedený právní rámec je doplněn nařízením Evropského parlamentu a Rady (EU) 2022/2554.. (13), které stanoví požadavky na finanční subjekty za účelem řízení rizik v oblasti informačních a komunikačních technologií (dále jen „IKT“), včetně ochrany fyzické infrastruktury IKT. Vzhledem k tomu, že odolnost uvedených subjektů je tudíž upravena komplexně, článek 11 a kapitoly III, IV a VI této směrnice by se na tyto subjekty neměly vztahovat, aby se zabránilo zdvojování a zbytečné administrativní zátěži.
  Vzhledem k významu služeb poskytovaných subjekty ve finančním odvětví kritickým subjektům náležejícím do všech ostatních odvětví by však členské státy měly na základě kritérií a s použitím postupu stanoveného v této směrnici určit subjekty ve finančním odvětví jakožto kritické subjekty. Měly by se tudíž uplatňovat strategie, posouzení rizik členských států a podpůrná opatření podle kapitoly II této směrnice. Členské státy by měly mít možnost přijmout nebo ponechat v platnosti ustanovení vnitrostátního práva s cílem dosáhnout vyšší úrovně odolnosti těchto kritických subjektů za předpokladu, že jsou tyto předpisy v souladu s platným právem Unie. |
| --- | --- |

(21)

Právní předpisy Unie pro finanční služby stanoví komplexní požadavky na finanční subjekty, a to za účelem řešení všech rizik, jimž čelí, včetně provozních rizik a zajištění kontinuity činnosti. Tyto právní předpisy zahrnují nařízení Evropského parlamentu a Rady (EU) č. 648/2012 (8), (EU) č. 575/213 (9) a (EU) č. 600/2014 (10) a směrnice Evropského parlamentu a Rady 2013/36/EU (11) a 2014/65/EU (12). Uvedený právní rámec je doplněn nařízením Evropského parlamentu a Rady (EU) 2022/2554.. (13), které stanoví požadavky na finanční subjekty za účelem řízení rizik v oblasti informačních a komunikačních technologií (dále jen „IKT“), včetně ochrany fyzické infrastruktury IKT. Vzhledem k tomu, že odolnost uvedených subjektů je tudíž upravena komplexně, článek 11 a kapitoly III, IV a VI této směrnice by se na tyto subjekty neměly vztahovat, aby se zabránilo zdvojování a zbytečné administrativní zátěži.

Vzhledem k významu služeb poskytovaných subjekty ve finančním odvětví kritickým subjektům náležejícím do všech ostatních odvětví by však členské státy měly na základě kritérií a s použitím postupu stanoveného v této směrnici určit subjekty ve finančním odvětví jakožto kritické subjekty. Měly by se tudíž uplatňovat strategie, posouzení rizik členských států a podpůrná opatření podle kapitoly II této směrnice. Členské státy by měly mít možnost přijmout nebo ponechat v platnosti ustanovení vnitrostátního práva s cílem dosáhnout vyšší úrovně odolnosti těchto kritických subjektů za předpokladu, že jsou tyto předpisy v souladu s platným právem Unie.

| (22) | Členské státy by měly určit nebo zřídit orgány příslušné k dohledu nad uplatňováním této směrnice a v případě nutnosti k prosazování jejích pravidel a zajistit, aby tyto orgány měly odpovídající zmocnění a zdroje. S ohledem na rozdíly ve vnitrostátních řídících strukturách, v zájmu ochrany existujících odvětvových ujednání nebo kontrolních a regulačních orgánů Unie a za účelem zamezení zdvojování by členské státy měly mít možnost určit nebo zřídit více než jeden příslušný orgán. Pokud členské státy určí nebo zřídí více než jeden příslušný orgán, měly by jasně vymezit příslušné úkoly dotčených orgánů a zajistit jejich hladkou a účinnou spolupráci. Všechny příslušné orgány by rovněž měly obecněji spolupracovat s dalšími příslušnými orgány, a to na unijní i vnitrostátní úrovni. |
| --- | --- |

(22)

Členské státy by měly určit nebo zřídit orgány příslušné k dohledu nad uplatňováním této směrnice a v případě nutnosti k prosazování jejích pravidel a zajistit, aby tyto orgány měly odpovídající zmocnění a zdroje. S ohledem na rozdíly ve vnitrostátních řídících strukturách, v zájmu ochrany existujících odvětvových ujednání nebo kontrolních a regulačních orgánů Unie a za účelem zamezení zdvojování by členské státy měly mít možnost určit nebo zřídit více než jeden příslušný orgán. Pokud členské státy určí nebo zřídí více než jeden příslušný orgán, měly by jasně vymezit příslušné úkoly dotčených orgánů a zajistit jejich hladkou a účinnou spolupráci. Všechny příslušné orgány by rovněž měly obecněji spolupracovat s dalšími příslušnými orgány, a to na unijní i vnitrostátní úrovni.

| (23) | Aby se usnadnila přeshraniční spolupráce a komunikace a umožnilo se účinné provádění této směrnice, měl by každý členský stát, aniž by byly dotčeny požadavky odvětvových právních aktů Unie, určit v relevantních případech v rámci příslušného orgánu jedno jednotné kontaktní místo odpovědné za koordinaci záležitostí souvisejících s odolností kritických subjektů a přeshraniční spoluprací v tomto ohledu na úrovni Unie (dále jen „jednotné kontaktní místo“). Každé jednotné kontaktní místo by mělo udržovat styky a koordinovat případnou komunikaci s příslušnými orgány svého členského státu, s jednotnými kontaktními místy ostatních členských států a se skupinou pro odolnost kritických subjektů. |
| --- | --- |

(23)

Aby se usnadnila přeshraniční spolupráce a komunikace a umožnilo se účinné provádění této směrnice, měl by každý členský stát, aniž by byly dotčeny požadavky odvětvových právních aktů Unie, určit v relevantních případech v rámci příslušného orgánu jedno jednotné kontaktní místo odpovědné za koordinaci záležitostí souvisejících s odolností kritických subjektů a přeshraniční spoluprací v tomto ohledu na úrovni Unie (dále jen „jednotné kontaktní místo“). Každé jednotné kontaktní místo by mělo udržovat styky a koordinovat případnou komunikaci s příslušnými orgány svého členského státu, s jednotnými kontaktními místy ostatních členských států a se skupinou pro odolnost kritických subjektů.

| (24) | Příslušné orgány podle této směrnice a příslušné orgány podle směrnice (EU) 2022/2555 by měly spolupracovat a vyměňovat si informace ohledně kybernetických bezpečnostních rizik, kybernetických hrozeb a kybernetických incidentů a jiných než kybernetických rizik, hrozeb a incidentů, jež mají vliv na kritické subjekty, jakož i ohledně relevantních opatřeních přijatých příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2555Je důležité, aby členské státy zajistily, že požadavky stanovené v této směrnici a ve směrnici (EU) 2022/2555 budou prováděny doplňkovým způsobem a že kritické subjekty nebudou vystaveny administrativní zátěži nad rámec toho, co je nezbytné pro dosažení cílů podle této směrnice a podle uvedené směrnice. |
| --- | --- |

(24)

Příslušné orgány podle této směrnice a příslušné orgány podle směrnice (EU) 2022/2555 by měly spolupracovat a vyměňovat si informace ohledně kybernetických bezpečnostních rizik, kybernetických hrozeb a kybernetických incidentů a jiných než kybernetických rizik, hrozeb a incidentů, jež mají vliv na kritické subjekty, jakož i ohledně relevantních opatřeních přijatých příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2555Je důležité, aby členské státy zajistily, že požadavky stanovené v této směrnici a ve směrnici (EU) 2022/2555 budou prováděny doplňkovým způsobem a že kritické subjekty nebudou vystaveny administrativní zátěži nad rámec toho, co je nezbytné pro dosažení cílů podle této směrnice a podle uvedené směrnice.

| (25) | Členské státy by měly podporovat kritické subjekty, včetně těch, které byly zařazeny do kategorie malých nebo středních podniků, v posilování vlastní odolnosti, v souladu s povinnostmi členských států stanovenými v této směrnici, aniž je dotčena vlastní právní odpovědnost kritických subjektů za zajištění tohoto dodržování, a zároveň předcházet nadměrné administrativní zátěži. Členské státy by mohly vypracovat zejména manuály a metodiky, podporovat organizování cvičení sloužícího k otestování odolnosti kritických subjektů a pracovníkům kritických subjektů poskytovat poradenství a školení. Je-li to nezbytné a odůvodněné cíli veřejného zájmu, mohly by členské státy poskytnout finanční zdroje a měly by usnadnit dobrovolné sdílení informací a výměnu osvědčených postupů mezi kritickými subjekty, aniž je dotčeno uplatňování pravidel hospodářské soutěže stanovených ve Smlouvě o fungování Evropské unie (dále jen „Smlouva o fungování EU“). |
| --- | --- |

(25)

Členské státy by měly podporovat kritické subjekty, včetně těch, které byly zařazeny do kategorie malých nebo středních podniků, v posilování vlastní odolnosti, v souladu s povinnostmi členských států stanovenými v této směrnici, aniž je dotčena vlastní právní odpovědnost kritických subjektů za zajištění tohoto dodržování, a zároveň předcházet nadměrné administrativní zátěži. Členské státy by mohly vypracovat zejména manuály a metodiky, podporovat organizování cvičení sloužícího k otestování odolnosti kritických subjektů a pracovníkům kritických subjektů poskytovat poradenství a školení. Je-li to nezbytné a odůvodněné cíli veřejného zájmu, mohly by členské státy poskytnout finanční zdroje a měly by usnadnit dobrovolné sdílení informací a výměnu osvědčených postupů mezi kritickými subjekty, aniž je dotčeno uplatňování pravidel hospodářské soutěže stanovených ve Smlouvě o fungování Evropské unie (dále jen „Smlouva o fungování EU“).

| (26) | S cílem posílit odolnost kritických subjektů určených členskými státy a snížit administrativní zátěž těchto kritických subjektů by příslušné orgány měly ve vhodných případech vést vzájemné konzultace za účelem zajištění jednotného uplatňování této směrnice. Tyto konzultace by měly být zahájeny na žádost kteréhokoli zúčastněného příslušného orgánu a měly by se zaměřit na zajištění konvergentního přístupu, pokud jde o vzájemně propojené kritické subjekty, které využívají kritickou infrastrukturu, jež je fyzicky propojena mezi dvěma nebo více členskými státy, které patří do stejných skupin nebo podnikových struktur, nebo které byly určeny v jednom členském státě a poskytují základní služby do jiných členských států nebo v jiných členských státech. |
| --- | --- |

(26)

S cílem posílit odolnost kritických subjektů určených členskými státy a snížit administrativní zátěž těchto kritických subjektů by příslušné orgány měly ve vhodných případech vést vzájemné konzultace za účelem zajištění jednotného uplatňování této směrnice. Tyto konzultace by měly být zahájeny na žádost kteréhokoli zúčastněného příslušného orgánu a měly by se zaměřit na zajištění konvergentního přístupu, pokud jde o vzájemně propojené kritické subjekty, které využívají kritickou infrastrukturu, jež je fyzicky propojena mezi dvěma nebo více členskými státy, které patří do stejných skupin nebo podnikových struktur, nebo které byly určeny v jednom členském státě a poskytují základní služby do jiných členských států nebo v jiných členských státech.

| (27) | Pokud ustanovení vnitrostátního nebo unijního práva vyžadují, aby kritické subjekty posoudily rizika relevantní pro účely této směrnice a přijaly opatření k zajištění své odolnosti, měly by být uvedené požadavky odpovídajícím způsobem zohledněny pro účel dohledu nad dodržováním ustanovení této směrnice ze strany kritických subjektů. |
| --- | --- |

(27)

Pokud ustanovení vnitrostátního nebo unijního práva vyžadují, aby kritické subjekty posoudily rizika relevantní pro účely této směrnice a přijaly opatření k zajištění své odolnosti, měly by být uvedené požadavky odpovídajícím způsobem zohledněny pro účel dohledu nad dodržováním ustanovení této směrnice ze strany kritických subjektů.

| (28) | Kritické subjekty by měly mít komplexní povědomí o všech příslušných rizicích, jimž jsou vystavovány, a povinnost tato rizika analyzovat. Za tímto účelem by měly provádět posouzení rizik, kdykoli je to nutné s ohledem na jejich konkrétní situaci a vývoj těchto rizik, a každopádně každé čtyři roky s cílem posoudit všechna relevantní rizika, která by mohla narušit poskytování jejich základních služeb (dále jen „posouzení rizik kritického subjektu“). Pokud kritické subjekty provedly jiná posouzení rizik nebo vypracovaly dokumenty podle povinností stanovených v jiných právních předpisech, které jsou relevantní pro jejich posouzení rizik kritického subjektu, měly by mít možnost tato posouzení a dokumenty použít ke splnění požadavků stanovených v této směrnici týkajících se posouzení rizik kritického subjektu. Za stejným účelem by měl mít příslušný orgán možnost prohlásit, že stávající posouzení rizik provedené kritickým subjektem, které se zabývá relevantními riziky a relevantním rozsahem závislostí, zcela nebo zčásti splňuje povinnosti stanovené v této směrnici. |
| --- | --- |

(28)

Kritické subjekty by měly mít komplexní povědomí o všech příslušných rizicích, jimž jsou vystavovány, a povinnost tato rizika analyzovat. Za tímto účelem by měly provádět posouzení rizik, kdykoli je to nutné s ohledem na jejich konkrétní situaci a vývoj těchto rizik, a každopádně každé čtyři roky s cílem posoudit všechna relevantní rizika, která by mohla narušit poskytování jejich základních služeb (dále jen „posouzení rizik kritického subjektu“). Pokud kritické subjekty provedly jiná posouzení rizik nebo vypracovaly dokumenty podle povinností stanovených v jiných právních předpisech, které jsou relevantní pro jejich posouzení rizik kritického subjektu, měly by mít možnost tato posouzení a dokumenty použít ke splnění požadavků stanovených v této směrnici týkajících se posouzení rizik kritického subjektu. Za stejným účelem by měl mít příslušný orgán možnost prohlásit, že stávající posouzení rizik provedené kritickým subjektem, které se zabývá relevantními riziky a relevantním rozsahem závislostí, zcela nebo zčásti splňuje povinnosti stanovené v této směrnici.

| (29) | Kritické subjekty by měly přijmout technická, bezpečnostní a organizační opatření, která jsou vhodná a přiměřená rizikům, jimž čelí, aby předcházely incidentům, chránily se před nimi, reagovaly na ně, odolávaly jim, zmírňovaly je, absorbovaly je, přizpůsobily se jim a zotavily se z nich. Přestože by kritické subjekty měly přijmout uvedená opatření v souladu s touto směrnicí, podrobnosti a rozsah takových opatření by měly vhodným a přiměřeným způsobem odrážet různá rizika, která každý kritický subjekt zjistil v rámci svého posouzení rizik kritického subjektu, a zvláštnosti tohoto subjektu. Na podporu soudržného unijního přístupu by Komise měla po konzultaci se skupinou pro odolnost kritických subjektů přijmout nezávazné pokyny k dalšímu upřesnění těchto technických, bezpečnostních a organizačních opatření. Členské státy by měly zajistit, aby každý kritický subjekt určil styčnou osobu nebo jiný ekvivalent pro účely kontaktu s příslušnými orgány. |
| --- | --- |

(29)

Kritické subjekty by měly přijmout technická, bezpečnostní a organizační opatření, která jsou vhodná a přiměřená rizikům, jimž čelí, aby předcházely incidentům, chránily se před nimi, reagovaly na ně, odolávaly jim, zmírňovaly je, absorbovaly je, přizpůsobily se jim a zotavily se z nich. Přestože by kritické subjekty měly přijmout uvedená opatření v souladu s touto směrnicí, podrobnosti a rozsah takových opatření by měly vhodným a přiměřeným způsobem odrážet různá rizika, která každý kritický subjekt zjistil v rámci svého posouzení rizik kritického subjektu, a zvláštnosti tohoto subjektu. Na podporu soudržného unijního přístupu by Komise měla po konzultaci se skupinou pro odolnost kritických subjektů přijmout nezávazné pokyny k dalšímu upřesnění těchto technických, bezpečnostních a organizačních opatření. Členské státy by měly zajistit, aby každý kritický subjekt určil styčnou osobu nebo jiný ekvivalent pro účely kontaktu s příslušnými orgány.

| (30) | V zájmu účinnosti a odpovědnosti by kritické subjekty měly opatření, která přijímají, popsat v plánu odolnosti nebo v dokumentu či dokumentech, které jsou rovnocenné plánu odolnosti, a to dostatečně podrobně a s ohledem na zjištěná rizika, aby bylo možné cílů účinnosti a odpovědnosti dosáhnout a tento plán uplatnit v praxi. Pokud kritický subjekt již přijal technická, bezpečnostní a organizační opatření a vypracoval dokumenty podle jiných právních předpisů, které jsou relevantní pro opatření na posílení odolnosti podle této směrnice, měl by mít možnost tato opatření a dokumenty použít ke splnění požadavků týkajících se opatření k zajištění odolnosti podle této směrnice s cílem zabránit zbytečnému zdvojování činností. S cílem zabránit zbytečnému zdvojování činnosti by měl mít příslušný orgán možnost prohlásit, že stávající opatření, která kritický subjekt přijal za účelem splnění své povinnosti přijmout technická, bezpečnostní a organizační opatření podle této směrnice, zcela nebo zčásti splňují požadavky této směrnice. |
| --- | --- |

(30)

V zájmu účinnosti a odpovědnosti by kritické subjekty měly opatření, která přijímají, popsat v plánu odolnosti nebo v dokumentu či dokumentech, které jsou rovnocenné plánu odolnosti, a to dostatečně podrobně a s ohledem na zjištěná rizika, aby bylo možné cílů účinnosti a odpovědnosti dosáhnout a tento plán uplatnit v praxi. Pokud kritický subjekt již přijal technická, bezpečnostní a organizační opatření a vypracoval dokumenty podle jiných právních předpisů, které jsou relevantní pro opatření na posílení odolnosti podle této směrnice, měl by mít možnost tato opatření a dokumenty použít ke splnění požadavků týkajících se opatření k zajištění odolnosti podle této směrnice s cílem zabránit zbytečnému zdvojování činností. S cílem zabránit zbytečnému zdvojování činnosti by měl mít příslušný orgán možnost prohlásit, že stávající opatření, která kritický subjekt přijal za účelem splnění své povinnosti přijmout technická, bezpečnostní a organizační opatření podle této směrnice, zcela nebo zčásti splňují požadavky této směrnice.

| (31) | Nařízení Evropského parlamentu a Rady (ES) č. 725/2004 (14) a (ES) č. 300/2008 (15) a směrnice Evropského parlamentu a Rady 2005/65/ES (16) stanoví požadavky použitelné na subjekty v odvětví letectví a námořní dopravy za účelem předcházení incidentům způsobeným protiprávními činy a odolávání a zmírňování následků těchto incidentů. Opatření požadovaná podle této směrnice jsou sice širší, pokud jde o řešená rizika a typy opatření, která mají být přijata, ale kritické subjekty v těchto odvětvích by měly ve svém plánu odolnosti nebo v rovnocenných dokumentech zohlednit opatření přijatá na základě těchto jiných právních aktů Unie. Kritické subjekty by měly zohlednit směrnici Evropského parlamentu a Rady 2008/96/ES (17), která zavádí posouzení silniční sítě jako celku za účelem zmapování nebezpečí nehod a cílené kontroly bezpečnosti silničního provozu, jež umožní po prohlídkách stávajících silnic nebo úseků silnic provedených na místě identifikovat nebezpečné podmínky, závady a problémy, jež zvyšují riziko nehod a zranění. Zajištění ochrany a odolnosti kritických subjektů je nanejvýš důležité pro železniční dopravu a kritické subjekty jsou při provádění opatření na posílení odolnosti podle této směrnice vybízeny, aby konzultovaly nezávazné pokyny a dokumenty s osvědčenými postupy vypracované v rámci odvětvových pracovních postupů, jako je platforma EU pro bezpečnost cestujících v železniční dopravě zřízená rozhodnutím Komise 2018/C 232/03 (18). |
| --- | --- |

(31)

Nařízení Evropského parlamentu a Rady (ES) č. 725/2004 (14) a (ES) č. 300/2008 (15) a směrnice Evropského parlamentu a Rady 2005/65/ES (16) stanoví požadavky použitelné na subjekty v odvětví letectví a námořní dopravy za účelem předcházení incidentům způsobeným protiprávními činy a odolávání a zmírňování následků těchto incidentů. Opatření požadovaná podle této směrnice jsou sice širší, pokud jde o řešená rizika a typy opatření, která mají být přijata, ale kritické subjekty v těchto odvětvích by měly ve svém plánu odolnosti nebo v rovnocenných dokumentech zohlednit opatření přijatá na základě těchto jiných právních aktů Unie. Kritické subjekty by měly zohlednit směrnici Evropského parlamentu a Rady 2008/96/ES (17), která zavádí posouzení silniční sítě jako celku za účelem zmapování nebezpečí nehod a cílené kontroly bezpečnosti silničního provozu, jež umožní po prohlídkách stávajících silnic nebo úseků silnic provedených na místě identifikovat nebezpečné podmínky, závady a problémy, jež zvyšují riziko nehod a zranění. Zajištění ochrany a odolnosti kritických subjektů je nanejvýš důležité pro železniční dopravu a kritické subjekty jsou při provádění opatření na posílení odolnosti podle této směrnice vybízeny, aby konzultovaly nezávazné pokyny a dokumenty s osvědčenými postupy vypracované v rámci odvětvových pracovních postupů, jako je platforma EU pro bezpečnost cestujících v železniční dopravě zřízená rozhodnutím Komise 2018/C 232/03 (18).

| (32) | Riziko, že zaměstnanci kritických subjektů nebo jejich dodavatelé zneužijí například svá přístupová práva v rámci organizace kritického subjektu k poškození a způsobení škody, vzbuzuje stále větší obavy. Členské státy by proto měly upřesnit podmínky, podle nichž je kritickým subjektům umožněno v řádně odůvodněných případech a s přihlédnutím k posouzení rizik členského státu podávat žádosti o ověření spolehlivosti u osob, které spadají do určitých kategorií jejich pracovníků. Mělo by se zajistit, aby příslušné orgány posuzovaly tyto žádosti v přiměřeném časovém rámci a vyřizovaly je v souladu s vnitrostátním právem a postupy, jakož i v souladu s relevantním a platným právem Unie, včetně předpisů v oblasti ochrany osobních údajů. Za účelem potvrzení totožnosti osoby, která podléhá ověření spolehlivosti, je vhodné, aby členské státy vyžadovaly doklad totožnosti, jako je cestovní pas, vnitrostátní průkaz totožnosti nebo digitální způsob identifikace, v souladu s platným právem.
  Ověření spolehlivosti by měla rovněž zahrnovat kontrolu rejstříku trestů dotčené osoby. K získání informací z rejstříků trestů vedených jinými členskými státy by členské státy měly použít Evropský informační systém rejstříků trestů v souladu s postupy stanovenými v rámcovém rozhodnutí Rady 2009/315/SVV (19) a v příslušných situacích případně v nařízení Evropského parlamentu a Rady (EU) 2019/816 (20). Členské státy by rovněž mohly, je-li to relevantní a použitelné, využívat Schengenský informační systém druhé generace (SIS II) zřízený nařízením Evropského parlamentu a Rady (EU) 2018/1862 (21), zpravodajské informace a jakékoli další dostupné objektivní informace, které by mohly být nezbytné k určení vhodnosti dotčené osoby pro práci v pozici, v souvislosti s níž kritický subjekt požádal o ověření spolehlivosti. |
| --- | --- |

(32)

Riziko, že zaměstnanci kritických subjektů nebo jejich dodavatelé zneužijí například svá přístupová práva v rámci organizace kritického subjektu k poškození a způsobení škody, vzbuzuje stále větší obavy. Členské státy by proto měly upřesnit podmínky, podle nichž je kritickým subjektům umožněno v řádně odůvodněných případech a s přihlédnutím k posouzení rizik členského státu podávat žádosti o ověření spolehlivosti u osob, které spadají do určitých kategorií jejich pracovníků. Mělo by se zajistit, aby příslušné orgány posuzovaly tyto žádosti v přiměřeném časovém rámci a vyřizovaly je v souladu s vnitrostátním právem a postupy, jakož i v souladu s relevantním a platným právem Unie, včetně předpisů v oblasti ochrany osobních údajů. Za účelem potvrzení totožnosti osoby, která podléhá ověření spolehlivosti, je vhodné, aby členské státy vyžadovaly doklad totožnosti, jako je cestovní pas, vnitrostátní průkaz totožnosti nebo digitální způsob identifikace, v souladu s platným právem.

Ověření spolehlivosti by měla rovněž zahrnovat kontrolu rejstříku trestů dotčené osoby. K získání informací z rejstříků trestů vedených jinými členskými státy by členské státy měly použít Evropský informační systém rejstříků trestů v souladu s postupy stanovenými v rámcovém rozhodnutí Rady 2009/315/SVV (19) a v příslušných situacích případně v nařízení Evropského parlamentu a Rady (EU) 2019/816 (20). Členské státy by rovněž mohly, je-li to relevantní a použitelné, využívat Schengenský informační systém druhé generace (SIS II) zřízený nařízením Evropského parlamentu a Rady (EU) 2018/1862 (21), zpravodajské informace a jakékoli další dostupné objektivní informace, které by mohly být nezbytné k určení vhodnosti dotčené osoby pro práci v pozici, v souvislosti s níž kritický subjekt požádal o ověření spolehlivosti.

| (33) | Měl by být zaveden mechanismus pro oznamování určitých incidentů, který by příslušným orgánům umožnil na incidenty reagovat rychle a odpovídajícím způsobem a mít komplexní přehled o dopadu, povaze, příčinách a možných důsledcích incidentů, které kritické subjekty řeší. Kritické subjekty by měly bez zbytečného odkladu oznamovat příslušným orgánům incidenty, které významně narušují nebo mohou významně narušit poskytování základních služeb. V případě, že toho nejsou z důvodu řešení incidentu schopny, měly by kritické subjekty předložit prvotní oznámení nejpozději 24 hodin poté, co se o incidentu dozvěděly. Prvotní oznámení by mělo obsahovat pouze informace, které jsou zcela nezbytné k vyrozumění příslušného orgánu o incidentu, a které kritickému subjektu umožňují v případě potřeby požádat o pomoc. Toto oznámení by mělo uvádět předpokládanou příčinu incidentu, je-li to v daném případě možné. Členské státy by měly zajistit, aby požadavek na předložení tohoto prvotního oznámení neodváděl zdroje kritického subjektu od činností souvisejících s řešením incidentu, které by měly mít přednost. Je-li to relevantní, měla by po prvotním oznámení následovat podrobná zpráva, a to nejpozději jeden měsíc po incidentu. Podrobná zpráva by měla doplnit prvotní oznámení a poskytnout úplnější přehled o incidentu. |
| --- | --- |

(33)

Měl by být zaveden mechanismus pro oznamování určitých incidentů, který by příslušným orgánům umožnil na incidenty reagovat rychle a odpovídajícím způsobem a mít komplexní přehled o dopadu, povaze, příčinách a možných důsledcích incidentů, které kritické subjekty řeší. Kritické subjekty by měly bez zbytečného odkladu oznamovat příslušným orgánům incidenty, které významně narušují nebo mohou významně narušit poskytování základních služeb. V případě, že toho nejsou z důvodu řešení incidentu schopny, měly by kritické subjekty předložit prvotní oznámení nejpozději 24 hodin poté, co se o incidentu dozvěděly. Prvotní oznámení by mělo obsahovat pouze informace, které jsou zcela nezbytné k vyrozumění příslušného orgánu o incidentu, a které kritickému subjektu umožňují v případě potřeby požádat o pomoc. Toto oznámení by mělo uvádět předpokládanou příčinu incidentu, je-li to v daném případě možné. Členské státy by měly zajistit, aby požadavek na předložení tohoto prvotního oznámení neodváděl zdroje kritického subjektu od činností souvisejících s řešením incidentu, které by měly mít přednost. Je-li to relevantní, měla by po prvotním oznámení následovat podrobná zpráva, a to nejpozději jeden měsíc po incidentu. Podrobná zpráva by měla doplnit prvotní oznámení a poskytnout úplnější přehled o incidentu.

| (34) | Standardizace by se měla řídit především tržními potřebami. Nicméně mohou nastat situace, kdy je vhodné používat specifické standardy. Členské státy by měly tam, kde je to užitečné, podporovat užívání evropských a mezinárodní standardů, norem a technických specifikací relevantních pro opatření v oblasti bezpečnosti a odolnosti, která jsou použitelná pro kritické subjekty. |
| --- | --- |

(34)

Standardizace by se měla řídit především tržními potřebami. Nicméně mohou nastat situace, kdy je vhodné používat specifické standardy. Členské státy by měly tam, kde je to užitečné, podporovat užívání evropských a mezinárodní standardů, norem a technických specifikací relevantních pro opatření v oblasti bezpečnosti a odolnosti, která jsou použitelná pro kritické subjekty.

| (35) | Zatímco kritické subjekty obecně působí jako součást stále více propojené sítě v oblasti poskytování služeb a infrastruktury a často poskytují základní služby ve více než jednom členském státě, některé z těchto kritických subjektů mají pro Unii a její vnitřní trh zvláštní význam, protože poskytují základní služby v šesti nebo více členských státech nebo do těchto států, a mohly by proto získat zvláštní podporu na úrovni Unie. Pro tyto kritické subjekty zvláštního evropského významu by proto měla být stanovena pravidla pro poradní mise. Těmito pravidly nejsou dotčena pravidla pro dohled a vymáhání stanovená v této směrnici. |
| --- | --- |

(35)

Zatímco kritické subjekty obecně působí jako součást stále více propojené sítě v oblasti poskytování služeb a infrastruktury a často poskytují základní služby ve více než jednom členském státě, některé z těchto kritických subjektů mají pro Unii a její vnitřní trh zvláštní význam, protože poskytují základní služby v šesti nebo více členských státech nebo do těchto států, a mohly by proto získat zvláštní podporu na úrovni Unie. Pro tyto kritické subjekty zvláštního evropského významu by proto měla být stanovena pravidla pro poradní mise. Těmito pravidly nejsou dotčena pravidla pro dohled a vymáhání stanovená v této směrnici.

| (36) | Na základě odůvodněné žádosti Komise nebo jednoho nebo více členských států, jimž nebo v nichž je poskytována základní služba, pokud jsou nezbytné další informace za účelem poskytnutí poradenství kritickému subjektu v rámci plnění jeho povinností podle této směrnice nebo posouzení dodržování těchto povinností kritickým subjektem zvláštního evropského významu, členský stát, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt, by měl poskytnout Komisi určité informace podle této směrnice. Se souhlasem členského státu, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt, by Komise měla mít možnost zorganizovat poradní misi s cílem posoudit opatření zavedená tímto subjektem. Aby byl zajištěn řádný průběh těchto poradních misí, měla by být stanovena doplňková pravidla, týkající se zejména organizování a průběhu poradních misí, následných opatření a povinností dotčených kritických subjektů zvláštního evropského významu. Aniž je dotčena potřeba, aby členský stát, v němž je poradní mise zorganizována, a dotčený kritický subjekt dodržovaly pravidla stanovená v této směrnici, měla by se poradní mise řídit právními předpisy daného členského státu, například o přesných podmínkách, které je třeba splnit za účelem získání přístupu do relevantních prostor nebo k dokumentům, a o prostředcích soudní nápravy. Konkrétní odborné znalosti potřebné pro tyto poradní mise by mohly být případně vyžádány prostřednictvím Střediska pro koordinaci odezvy na mimořádné události zřízeného rozhodnutím Evropského parlamentu a Rady č. 1313/2013/EU (22). |
| --- | --- |

(36)

Na základě odůvodněné žádosti Komise nebo jednoho nebo více členských států, jimž nebo v nichž je poskytována základní služba, pokud jsou nezbytné další informace za účelem poskytnutí poradenství kritickému subjektu v rámci plnění jeho povinností podle této směrnice nebo posouzení dodržování těchto povinností kritickým subjektem zvláštního evropského významu, členský stát, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt, by měl poskytnout Komisi určité informace podle této směrnice. Se souhlasem členského státu, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt, by Komise měla mít možnost zorganizovat poradní misi s cílem posoudit opatření zavedená tímto subjektem. Aby byl zajištěn řádný průběh těchto poradních misí, měla by být stanovena doplňková pravidla, týkající se zejména organizování a průběhu poradních misí, následných opatření a povinností dotčených kritických subjektů zvláštního evropského významu. Aniž je dotčena potřeba, aby členský stát, v němž je poradní mise zorganizována, a dotčený kritický subjekt dodržovaly pravidla stanovená v této směrnici, měla by se poradní mise řídit právními předpisy daného členského státu, například o přesných podmínkách, které je třeba splnit za účelem získání přístupu do relevantních prostor nebo k dokumentům, a o prostředcích soudní nápravy. Konkrétní odborné znalosti potřebné pro tyto poradní mise by mohly být případně vyžádány prostřednictvím Střediska pro koordinaci odezvy na mimořádné události zřízeného rozhodnutím Evropského parlamentu a Rady č. 1313/2013/EU (22).

| (37) | S cílem podpořit Komisi a usnadnit spolupráci mezi členskými státy a výměnu informací, včetně osvědčených postupů, ohledně otázek týkajících se této směrnice, by měla být zřízena skupina pro odolnost kritických subjektů jakožto expertní skupina Komise. Členské státy by se měly ve skupině pro odolnost kritických subjektů snažit zajistit účinnou a účelnou spolupráci určených zástupců svých příslušných orgánů, mimo jiné tím, že do ní jmenují zástupce, kteří mají v případě potřeby bezpečnostní prověrku. Skupina pro odolnost kritických subjektů by měla začít plnit své úkoly co nejdříve, aby poskytla další prostředky pro vhodnou spolupráci během období provádění této směrnice. Skupina pro odolnost kritických subjektů by měla spolupracovat s dalšími relevantními odvětvovými odbornými pracovními skupinami. |
| --- | --- |

(37)

S cílem podpořit Komisi a usnadnit spolupráci mezi členskými státy a výměnu informací, včetně osvědčených postupů, ohledně otázek týkajících se této směrnice, by měla být zřízena skupina pro odolnost kritických subjektů jakožto expertní skupina Komise. Členské státy by se měly ve skupině pro odolnost kritických subjektů snažit zajistit účinnou a účelnou spolupráci určených zástupců svých příslušných orgánů, mimo jiné tím, že do ní jmenují zástupce, kteří mají v případě potřeby bezpečnostní prověrku. Skupina pro odolnost kritických subjektů by měla začít plnit své úkoly co nejdříve, aby poskytla další prostředky pro vhodnou spolupráci během období provádění této směrnice. Skupina pro odolnost kritických subjektů by měla spolupracovat s dalšími relevantními odvětvovými odbornými pracovními skupinami.

| (38) | Skupina pro odolnost kritických subjektů by měla spolupracovat se skupinou pro spolupráci zřízenou podle směrnice (EU) 2022/2555 s cílem podpořit komplexní rámec pro kybernetickou a jinou než kybernetickou odolnost kritických subjektů. Skupina pro odolnost kritických subjektů a skupina pro spolupráci zřízená podle směrnice (EU) 2022/2555 by měly vést pravidelný dialog s cílem podpořit spolupráci mezi příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2555 a usnadnit výměnu informací, zejména pokud jde o témata týkající se obou skupin. |
| --- | --- |

(38)

Skupina pro odolnost kritických subjektů by měla spolupracovat se skupinou pro spolupráci zřízenou podle směrnice (EU) 2022/2555 s cílem podpořit komplexní rámec pro kybernetickou a jinou než kybernetickou odolnost kritických subjektů. Skupina pro odolnost kritických subjektů a skupina pro spolupráci zřízená podle směrnice (EU) 2022/2555 by měly vést pravidelný dialog s cílem podpořit spolupráci mezi příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2555 a usnadnit výměnu informací, zejména pokud jde o témata týkající se obou skupin.

| (39) | Za účelem dosažení cílů této směrnice, a aniž je dotčena právní odpovědnost členských států a kritických subjektů za zajištění dodržování jejich příslušných povinností stanovených v této směrnici, by měla Komise, pokud to považuje za vhodné, podporovat příslušné orgány a kritické subjekty s cílem usnadnit jim dodržování jejich příslušných povinností. Při poskytování podpory členským státům a kritickým subjektům při plnění povinností podle této směrnice by Komise měla stavět na stávajících strukturách a nástrojích, například v rámci mechanismu civilní ochrany Unie zřízeného rozhodnutím č. 1313/2013/EU a Evropské referenční sítě pro ochranu kritické infrastruktury. Kromě toho by měla informovat členské státy o zdrojích, které jsou k dispozici na úrovni Unie, například v rámci Fondu pro vnitřní bezpečnost zřízeného nařízením Evropského parlamentu a Rady (EU) 2021/1149 (23), programu Horizont Evropa zavedeného nařízením Evropského parlamentu a Rady (EU) 2021/695 (24) nebo jiných nástrojů relevantních pro odolnost kritických subjektů. |
| --- | --- |

(39)

Za účelem dosažení cílů této směrnice, a aniž je dotčena právní odpovědnost členských států a kritických subjektů za zajištění dodržování jejich příslušných povinností stanovených v této směrnici, by měla Komise, pokud to považuje za vhodné, podporovat příslušné orgány a kritické subjekty s cílem usnadnit jim dodržování jejich příslušných povinností. Při poskytování podpory členským státům a kritickým subjektům při plnění povinností podle této směrnice by Komise měla stavět na stávajících strukturách a nástrojích, například v rámci mechanismu civilní ochrany Unie zřízeného rozhodnutím č. 1313/2013/EU a Evropské referenční sítě pro ochranu kritické infrastruktury. Kromě toho by měla informovat členské státy o zdrojích, které jsou k dispozici na úrovni Unie, například v rámci Fondu pro vnitřní bezpečnost zřízeného nařízením Evropského parlamentu a Rady (EU) 2021/1149 (23), programu Horizont Evropa zavedeného nařízením Evropského parlamentu a Rady (EU) 2021/695 (24) nebo jiných nástrojů relevantních pro odolnost kritických subjektů.

| (40) | Členské státy by měly zajistit, aby jejich příslušné orgány měly ve vztahu ke kritickým subjektům určité zvláštní pravomoci pro řádné uplatňování a prosazování této směrnice, pokud tyto subjekty spadají do jejich působnosti stanovené v této směrnici. Mezi tyto pravomoci by měla patřit zejména pravomoc provádět inspekce, audity, pravomoc vykonávat dohled, pravomoc vyžadovat, aby kritické subjekty poskytly informace a důkazy o opatřeních, která přijaly za účelem splnění svých povinností, a v případě potřeby pravomoc vydávat příkazy k nápravě zjištěných porušení těchto povinností. Při vydávání těchto příkazů by členské státy neměly vyžadovat opatření, která jdou nad rámec toho, co je nezbytné a přiměřené k zajištění toho, aby dotčený kritický subjekt dodržoval pravidla uvedená v této směrnici, přičemž vezmou v úvahu zejména závažnost porušení a ekonomické možnosti dotčeného kritického subjektu. Obecněji by tyto pravomoci měly být doprovázeny vhodnými a účinnými zárukami, které budou upřesněny ve vnitrostátním právu v souladu s Listinou základních práv Evropské unie. Při posuzování dodržování povinností kritického subjektu stanovených v této směrnici by příslušné orgány podle této směrnice měly mít možnost požádat příslušné orgány podle směrnice (EU) 2022/2555, aby vůči subjektu podle uvedené směrnice, který byl rovněž určen jakožto kritický subjekt podle této směrnice, vykonávaly své pravomoci v oblasti dohledu a vymáhání. Příslušné orgány podle této směrnice a příslušné orgány podle směrnice (EU) 2022/2555 by za tímto účelem měly spolupracovat a vyměňovat si informace. |
| --- | --- |

(40)

Členské státy by měly zajistit, aby jejich příslušné orgány měly ve vztahu ke kritickým subjektům určité zvláštní pravomoci pro řádné uplatňování a prosazování této směrnice, pokud tyto subjekty spadají do jejich působnosti stanovené v této směrnici. Mezi tyto pravomoci by měla patřit zejména pravomoc provádět inspekce, audity, pravomoc vykonávat dohled, pravomoc vyžadovat, aby kritické subjekty poskytly informace a důkazy o opatřeních, která přijaly za účelem splnění svých povinností, a v případě potřeby pravomoc vydávat příkazy k nápravě zjištěných porušení těchto povinností. Při vydávání těchto příkazů by členské státy neměly vyžadovat opatření, která jdou nad rámec toho, co je nezbytné a přiměřené k zajištění toho, aby dotčený kritický subjekt dodržoval pravidla uvedená v této směrnici, přičemž vezmou v úvahu zejména závažnost porušení a ekonomické možnosti dotčeného kritického subjektu. Obecněji by tyto pravomoci měly být doprovázeny vhodnými a účinnými zárukami, které budou upřesněny ve vnitrostátním právu v souladu s Listinou základních práv Evropské unie. Při posuzování dodržování povinností kritického subjektu stanovených v této směrnici by příslušné orgány podle této směrnice měly mít možnost požádat příslušné orgány podle směrnice (EU) 2022/2555, aby vůči subjektu podle uvedené směrnice, který byl rovněž určen jakožto kritický subjekt podle této směrnice, vykonávaly své pravomoci v oblasti dohledu a vymáhání. Příslušné orgány podle této směrnice a příslušné orgány podle směrnice (EU) 2022/2555 by za tímto účelem měly spolupracovat a vyměňovat si informace.

| (41) | Za účelem účinného a jednotného uplatňování této směrnice by měla být na Komisi přenesena pravomoc přijímat akty v souladu s článkem 290 Smlouvy o fungování EU s cílem doplnit tuto směrnici vypracováním seznamu základních služeb. Tento seznam by měly příslušné orgány používat pro účely provádění posouzení rizik členského státu a pro určení kritických subjektů podle této směrnice. S ohledem na přístup spočívající v minimální harmonizaci, který je uplatňován v této směrnici, je tento seznam demonstrativní a členské státy by jej mohly doplnit o další základní služby na vnitrostátní úrovni s cílem zohlednit vnitrostátní specifika při poskytování základních služeb. Je obzvláště důležité, aby Komise v rámci přípravné činnosti vedla odpovídající konzultace, a to i na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů (25). Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci obdrží Evropský parlament a Rada veškeré dokumenty současně s odborníky z členských států a jejich odborníci mají automaticky přístup na setkání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci. |
| --- | --- |

(41)

Za účelem účinného a jednotného uplatňování této směrnice by měla být na Komisi přenesena pravomoc přijímat akty v souladu s článkem 290 Smlouvy o fungování EU s cílem doplnit tuto směrnici vypracováním seznamu základních služeb. Tento seznam by měly příslušné orgány používat pro účely provádění posouzení rizik členského státu a pro určení kritických subjektů podle této směrnice. S ohledem na přístup spočívající v minimální harmonizaci, který je uplatňován v této směrnici, je tento seznam demonstrativní a členské státy by jej mohly doplnit o další základní služby na vnitrostátní úrovni s cílem zohlednit vnitrostátní specifika při poskytování základních služeb. Je obzvláště důležité, aby Komise v rámci přípravné činnosti vedla odpovídající konzultace, a to i na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů (25). Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci obdrží Evropský parlament a Rada veškeré dokumenty současně s odborníky z členských států a jejich odborníci mají automaticky přístup na setkání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci.

| (42) | V zájmu zajištění jednotných podmínek provádění této směrnice by měly být Komisi svěřeny prováděcí pravomoci. Tyto pravomoci by měly být vykonávány v souladu s nařízením Evropského parlamentu a Rady (EU) č. 182/2011 (26). |
| --- | --- |

(42)

V zájmu zajištění jednotných podmínek provádění této směrnice by měly být Komisi svěřeny prováděcí pravomoci. Tyto pravomoci by měly být vykonávány v souladu s nařízením Evropského parlamentu a Rady (EU) č. 182/2011 (26).

| (43) | Jelikož cílů této směrnice, totiž zajistit, aby služby nezbytné pro zachování nejdůležitějších společenských funkcí nebo hospodářských činností byly na vnitřním trhu poskytovány bez narušení a aby byla posílena odolnost kritických subjektů poskytujících tyto služby, nemůže být uspokojivě dosaženo členskými státy, ale spíše jich z důvodu účinků této směrnice může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku 5 nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení těchto cílů. |
| --- | --- |

(43)

Jelikož cílů této směrnice, totiž zajistit, aby služby nezbytné pro zachování nejdůležitějších společenských funkcí nebo hospodářských činností byly na vnitřním trhu poskytovány bez narušení a aby byla posílena odolnost kritických subjektů poskytujících tyto služby, nemůže být uspokojivě dosaženo členskými státy, ale spíše jich z důvodu účinků této směrnice může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku 5 nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení těchto cílů.

| (44) | Evropský inspektor ochrany údajů byl konzultován v souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (27) a vydal své stanovisko dne 11. srpna 2021. |
| --- | --- |

(44)

Evropský inspektor ochrany údajů byl konzultován v souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (27) a vydal své stanovisko dne 11. srpna 2021.

| (45) | Směrnice 2008/114/ES by proto měla být zrušena, |
| --- | --- |

(45)

Směrnice 2008/114/ES by proto měla být zrušena,

PŘIJALY TUTO SMĚRNICI:

KAPITOLA I

OBECNÁ USTANOVENÍ

Článek 1

Předmět a oblast působnosti

1.   Tato směrnice:

| a) | stanovuje členským státům povinnosti přijmout konkrétní opatření, jejichž cílem je zajistit, aby služby nezbytné pro zachování nejdůležitějších společenských funkcí nebo hospodářských činností v rámci působnosti článku 114 Smlouvy o fungování EU byly na vnitřním trhu poskytovány neomezeně, zejména povinnosti určit kritické subjekty a podporovat kritické subjekty při plnění povinností, které jim byly uloženy; |
| --- | --- |

a)

stanovuje členským státům povinnosti přijmout konkrétní opatření, jejichž cílem je zajistit, aby služby nezbytné pro zachování nejdůležitějších společenských funkcí nebo hospodářských činností v rámci působnosti článku 114 Smlouvy o fungování EU byly na vnitřním trhu poskytovány neomezeně, zejména povinnosti určit kritické subjekty a podporovat kritické subjekty při plnění povinností, které jim byly uloženy;

| b) | stanovuje povinnosti pro kritické subjekty zaměřené na posílení jejich odolnosti a schopnosti poskytovat služby podle písmena a) na vnitřním trhu; |
| --- | --- |

b)

stanovuje povinnosti pro kritické subjekty zaměřené na posílení jejich odolnosti a schopnosti poskytovat služby podle písmena a) na vnitřním trhu;

| c) | stanovuje pravidla pro:






  i) | dohled nad kritickými subjekty; |
| --- | --- | --- |

c)

stanovuje pravidla pro:

i)

dohled nad kritickými subjekty;

| ii) | vymáhání; |
| --- | --- |

ii)

vymáhání;

| iii) | určení kritických subjektů zvláštního evropského významu a poradní mise za účelem posouzení opatření, která takové subjekty zavedly za účelem splnění jejich povinností podle kapitoly III; |
| --- | --- |

iii)

určení kritických subjektů zvláštního evropského významu a poradní mise za účelem posouzení opatření, která takové subjekty zavedly za účelem splnění jejich povinností podle kapitoly III;

| d) | stanovuje společné postupy pro spolupráci a podávání zpráv o uplatňování této směrnice; |
| --- | --- |

d)

stanovuje společné postupy pro spolupráci a podávání zpráv o uplatňování této směrnice;

| e) | stanovuje opatření s cílem dosáhnout vysoké úrovně odolnosti kritických subjektů v zájmu zajištění poskytování základních služeb v Unii a zlepšení fungování vnitřního trhu. |
| --- | --- |

e)

stanovuje opatření s cílem dosáhnout vysoké úrovně odolnosti kritických subjektů v zájmu zajištění poskytování základních služeb v Unii a zlepšení fungování vnitřního trhu.

2.   Tato směrnice se nevztahuje na záležitosti upravené směrnicí (EU) 2022/2555, aniž je dotčen článek 8 této směrnice. S ohledem na vztah mezi fyzickou bezpečností a kybernetickou bezpečností kritických subjektů zajistí členské státy, aby tato směrnice a směrnice (EU) 2022/2555 byly prováděny koordinovaně.

3.   Pokud ustanovení odvětvových právních aktů Unie vyžadují, aby kritické subjekty přijaly opatření k posílení své odolnosti, a pokud jsou tyto požadavky uznány členskými státy za alespoň rovnocenné odpovídajícím povinnostem stanoveným v této směrnici, příslušná ustanovení této směrnice, včetně ustanovení o dohledu a vymáhání stanovených v kapitole VI, se nepoužijí.

4.   Aniž je dotčen článek 346 Smlouvy o fungování EU, informace, které jsou důvěrné podle unijních nebo vnitrostátních pravidel, jako jsou pravidla pro zachovávání důvěrnosti obchodních informací, se vyměňují s Komisí a jinými příslušnými orgány v souladu s touto směrnicí pouze v případě, že je taková výměna nezbytná pro účely této směrnice. Vyměňované informace se omezí na informace, které jsou relevantní a přiměřené účelu takové výměny. Při těchto výměnách informací se zachovává důvěrnost předmětných informací a bezpečnost a obchodní zájmy kritických subjektů při současném respektování bezpečnosti členských států.

5.   Touto směrnicí není dotčena odpovědnost členských států za ochranu národní bezpečnosti a obranu, ani jejich pravomoc chránit jiné základní funkce státu, včetně zajištění územní celistvosti státu a zachování veřejného pořádku.

6.   Tato směrnice se nevztahuje na subjekty veřejné správy, které vykonávají své činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů.

7.   Členské státy mohou rozhodnout, že se článek 11 a kapitoly III, IV a VI zcela nebo zčásti nepoužijí na konkrétní kritické subjekty, které vykonávají činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů, nebo které poskytují služby výhradně subjektům veřejné správy uvedeným v odstavci 6 tohoto článku.

8.   Povinnosti stanovené touto směrnicí nezahrnují poskytování informací, jejichž zpřístupnění by bylo v rozporu se zásadními zájmy členských států v oblasti národní bezpečnosti, veřejné bezpečnosti nebo obrany.

9.   Touto směrnicí není dotčeno právo Unie o ochraně osobních údajů, zejména nařízení Evropského parlamentu a Rady (EU) 2016/679 (28) a směrnice Evropského parlamentu a Rady 2002/58/ES (29).

Článek 2

Definice

Pro účely této směrnice se rozumí:

| 1) | „kritickým subjektem“ veřejný nebo soukromý subjekt, který byl členským státem určen v souladu s článkem 6 jako subjekt náležející do jedné z kategorií stanovených ve třetím sloupci tabulky v příloze; |
| --- | --- |

1)

„kritickým subjektem“ veřejný nebo soukromý subjekt, který byl členským státem určen v souladu s článkem 6 jako subjekt náležející do jedné z kategorií stanovených ve třetím sloupci tabulky v příloze;

| 2) | „odolností“ schopnost kritického subjektu předcházet incidentům, chránit se před těmito incidenty, reagovat na ně, odolávat jim, zmírňovat a absorbovat je, přizpůsobovat se jim a zotavit se z nich ; |
| --- | --- |

2)

„odolností“ schopnost kritického subjektu předcházet incidentům, chránit se před těmito incidenty, reagovat na ně, odolávat jim, zmírňovat a absorbovat je, přizpůsobovat se jim a zotavit se z nich ;

| 3) | „incidentem“ událost, která může významně narušit nebo která narušuje poskytování základní služby, včetně případů, kdy ovlivňuje vnitrostátní systémy chránící právní stát; |
| --- | --- |

3)

„incidentem“ událost, která může významně narušit nebo která narušuje poskytování základní služby, včetně případů, kdy ovlivňuje vnitrostátní systémy chránící právní stát;

| 4) | „kritickou infrastrukturou“ aktivum, zařízení, vybavení, síť nebo systém či část aktiva, zařízení, vybavení, sítě nebo systému, které jsou nezbytné pro poskytování základní služby; |
| --- | --- |

4)

„kritickou infrastrukturou“ aktivum, zařízení, vybavení, síť nebo systém či část aktiva, zařízení, vybavení, sítě nebo systému, které jsou nezbytné pro poskytování základní služby;

| 5) | „základní službou“ služba, která je zásadní pro zachování nejdůležitějších společenských funkcí, hospodářských činností, veřejného zdraví a bezpečnosti nebo životního prostředí; |
| --- | --- |

5)

„základní službou“ služba, která je zásadní pro zachování nejdůležitějších společenských funkcí, hospodářských činností, veřejného zdraví a bezpečnosti nebo životního prostředí;

| 6) | „rizikem“ možnost ztráty nebo narušení v důsledku incidentu, přičemž toto riziko má být vyjádřeno jako kombinace rozsahu takové ztráty nebo takového narušení a pravděpodobnosti vzniku incidentu; |
| --- | --- |

6)

„rizikem“ možnost ztráty nebo narušení v důsledku incidentu, přičemž toto riziko má být vyjádřeno jako kombinace rozsahu takové ztráty nebo takového narušení a pravděpodobnosti vzniku incidentu;

| 7) | „posouzením rizik “ celkový postup určení povahy a rozsahu rizika identifikací a analýzou možných relevantních hrozeb, zranitelných míst a nebezpečí, které by mohly vést k incidentu, a hodnocením možné ztráty nebo narušení poskytování základní služby způsobené tímto incidentem. |
| --- | --- |

7)

„posouzením rizik “ celkový postup určení povahy a rozsahu rizika identifikací a analýzou možných relevantních hrozeb, zranitelných míst a nebezpečí, které by mohly vést k incidentu, a hodnocením možné ztráty nebo narušení poskytování základní služby způsobené tímto incidentem.

| 8) | „standardem“ standard nebo norma ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 1025/2012 (30); |
| --- | --- |

8)

„standardem“ standard nebo norma ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (EU) č. 1025/2012 (30);

30

| 9) | „technickou specifikací“ technická specifikace ve smyslu čl. 2 bodu 4 nařízení (EU) č. 1025/2012; |
| --- | --- |

9)

„technickou specifikací“ technická specifikace ve smyslu čl. 2 bodu 4 nařízení (EU) č. 1025/2012;

| 10) | „subjektem veřejné správy“ subjekt takto uznaný v souladu s vnitrostátními právními předpisy v určitém členském státě, s výjimkou soudních orgánů, parlamentů a centrálních bank, který splňuje tato kritéria:






  a) | je založen za účelem naplňování potřeb veřejného zájmu a nemá průmyslovou nebo obchodní povahu; |
| --- | --- | --- |

10)

„subjektem veřejné správy“ subjekt takto uznaný v souladu s vnitrostátními právními předpisy v určitém členském státě, s výjimkou soudních orgánů, parlamentů a centrálních bank, který splňuje tato kritéria:

a)

je založen za účelem naplňování potřeb veřejného zájmu a nemá průmyslovou nebo obchodní povahu;

| b) | má právní subjektivitu nebo je ze zákona oprávněn jednat jménem jiného subjektu s právní subjektivitou; |
| --- | --- |

b)

má právní subjektivitu nebo je ze zákona oprávněn jednat jménem jiného subjektu s právní subjektivitou;

| c) | je financován převážně státními orgány nebo jinými ústředními veřejnoprávními subjekty nebo podléhá řídicímu dohledu těchto orgánů nebo subjektů, nebo více než polovina členů v jeho správním, řídícím nebo dozorčím orgánu je jmenována státními orgány nebo jinými ústředními veřejnoprávními subjekty; |
| --- | --- |

c)

je financován převážně státními orgány nebo jinými ústředními veřejnoprávními subjekty nebo podléhá řídicímu dohledu těchto orgánů nebo subjektů, nebo více než polovina členů v jeho správním, řídícím nebo dozorčím orgánu je jmenována státními orgány nebo jinými ústředními veřejnoprávními subjekty;

| d) | má pravomoc vydávat fyzickým nebo právnickým osobám správní nebo regulační rozhodnutí ovlivňující jejich práva při přeshraničním pohybu osob, zboží, služeb nebo kapitálu. |
| --- | --- |

d)

má pravomoc vydávat fyzickým nebo právnickým osobám správní nebo regulační rozhodnutí ovlivňující jejich práva při přeshraničním pohybu osob, zboží, služeb nebo kapitálu.

Článek 3

Minimální harmonizace

Tato směrnice nebrání členským státům v tom, aby přijaly nebo ponechaly v platnosti ustanovení vnitrostátního práva s cílem dosáhnout vyšší úrovně odolnosti kritických subjektů, jsou-li tato opatření v souladu s povinnostmi členských států stanovenými v právu Unie.

KAPITOLA II

VNITROSTÁTNÍ RÁMCE PRO ODOLNOST KRITICKÝCH SUBJEKTŮ

Článek 4

Strategie týkající se odolnosti kritických subjektů

1.   Po konzultaci, která je v prakticky možném rozsahu otevřená příslušným zúčastněným stranám, přijme každý členský stát do 17. ledna 2026 strategii pro posílení odolnosti kritických subjektů (dále jen „ strategie“). Strategie stanoví na základě relevantních stávajících vnitrostátních a odvětvových strategií, plánů nebo obdobných dokumentů strategické cíle a opatření politik s cílem dosáhnout vysoké úrovně odolnosti kritických subjektů a zachovat ji a pokrýt alespoň odvětví stanovená v příloze.

2.   Každá strategie musí obsahovat alespoň tyto prvky:

| a) | strategické cíle a priority za účelem posílení celkové odolnosti kritických subjektů s přihlédnutím k přeshraniční a meziodvětvové jednostranné i vzájemné závislosti; |
| --- | --- |

a)

strategické cíle a priority za účelem posílení celkové odolnosti kritických subjektů s přihlédnutím k přeshraniční a meziodvětvové jednostranné i vzájemné závislosti;

| b) | správní rámec pro naplnění strategických cílů a priorit, včetně popisu úlohy a odpovědností různých orgánů, kritických subjektů a dalších stran zapojených do provádění této strategie; |
| --- | --- |

b)

správní rámec pro naplnění strategických cílů a priorit, včetně popisu úlohy a odpovědností různých orgánů, kritických subjektů a dalších stran zapojených do provádění této strategie;

| c) | popis opatření nezbytných k posílení celkové odolnosti kritických subjektů, včetně popisu posouzení rizik podle článku 5; |
| --- | --- |

c)

popis opatření nezbytných k posílení celkové odolnosti kritických subjektů, včetně popisu posouzení rizik podle článku 5;

| d) | popis postupu, jak jsou určovány kritické subjekty; |
| --- | --- |

d)

popis postupu, jak jsou určovány kritické subjekty;

| e) | popis procesu podpory kritických subjektů v souladu s touto kapitolou, včetně opatření na posílení spolupráce mezi veřejným sektorem na jedné straně a soukromým sektorem a veřejnými a soukromými subjekty na straně druhé; |
| --- | --- |

e)

popis procesu podpory kritických subjektů v souladu s touto kapitolou, včetně opatření na posílení spolupráce mezi veřejným sektorem na jedné straně a soukromým sektorem a veřejnými a soukromými subjekty na straně druhé;

| f) | seznam hlavních orgánů a příslušných zúčastněných stran jiných než kritických subjektů zapojených do provádění strategie; |
| --- | --- |

f)

seznam hlavních orgánů a příslušných zúčastněných stran jiných než kritických subjektů zapojených do provádění strategie;

| g) | rámec politik pro koordinaci mezi příslušnými orgány podle této směrnice (dále jen „příslušné orgány“) a příslušnými orgány podle směrnice (EU) 2022/2555 pro účely sdílení informací o kybernetických bezpečnostních rizicích, kybernetických hrozbách a kybernetických incidentech, stejně jako o jiných než kybernetických rizicích, hrozbách a incidentech a výkonu úkolů v oblasti dohledu; |
| --- | --- |

g)

rámec politik pro koordinaci mezi příslušnými orgány podle této směrnice (dále jen „příslušné orgány“) a příslušnými orgány podle směrnice (EU) 2022/2555 pro účely sdílení informací o kybernetických bezpečnostních rizicích, kybernetických hrozbách a kybernetických incidentech, stejně jako o jiných než kybernetických rizicích, hrozbách a incidentech a výkonu úkolů v oblasti dohledu;

| h) | popis již zavedených opatření, jejichž cílem je usnadnit malým a středním podnikům plnění povinností podle kapitoly III této směrnice ve smyslu přílohy doporučení Komise 2003/361/ES (31), které dotčený členský stát určil jako kritické subjekty. |
| --- | --- |

h)

popis již zavedených opatření, jejichž cílem je usnadnit malým a středním podnikům plnění povinností podle kapitoly III této směrnice ve smyslu přílohy doporučení Komise 2003/361/ES (31), které dotčený členský stát určil jako kritické subjekty.

Po konzultaci, která je v prakticky možném rozsahu otevřená příslušným zúčastněným stranám, členské státy aktualizují své strategie alespoň jednou za čtyři roky.

3.   Členské státy oznámí své strategie a jejich významné aktualizace Komisi do tří měsíců od jejich přijetí.

Článek 5

Posouzení rizik členskými státy

1.   Komisi je svěřena pravomoc přijmout v souladu s článkem 23 do 17. listopadu 2023 akt v přenesené pravomoci za účelem doplnění této směrnice stanovením demonstrativního seznamu základních služeb v odvětvích a pododvětvích uvedených v příloze. Příslušné orgány použijí uvedený seznam základních služeb pro účely provedení posouzení rizik (dále jen „posouzení rizik členského státu“) do 17. ledna 2026 a následně v případě potřeby a alespoň každé čtyři roky. Příslušné orgány použijí posouzení rizik členského státu pro účely určení kritických subjektů v souladu s článkem 6 a poskytování pomoci těmto kritickým subjektům při přijímání opatření podle článku 13.

Posouzení rizik členského státu zohlední všechna relevantní přírodní a člověkem způsobená rizika, včetně rizik meziodvětvové nebo přeshraniční povahy, havárií, přírodních katastrof, mimořádných událostí v oblasti veřejného zdraví a hybridních hrozeb či jiných antagonistických hrozeb, včetně teroristických trestných činů, jak je stanoveno ve směrnici Evropského parlamentu a Rady (EU) 2017/541 (32).

2.   Při provádění posouzení rizik členského státu vezmou členské státy v úvahu alespoň:

| a) | obecné posouzení rizik provedené podle čl. 6 odst. 1 rozhodnutí č. 1313/2013/EU; |
| --- | --- |

a)

obecné posouzení rizik provedené podle čl. 6 odst. 1 rozhodnutí č. 1313/2013/EU;

| b) | další příslušná posouzení rizik prováděná v souladu s požadavky příslušných odvětvových právních aktů Unie, včetně nařízení Evropského parlamentu a Rady (EU) 2017/1938 (33) a (EU) 2019/941 (34) a směrnic Evropského parlamentu a Rady 2007/60/EC (35) a 2012/18/EU (36); |
| --- | --- |

b)

další příslušná posouzení rizik prováděná v souladu s požadavky příslušných odvětvových právních aktů Unie, včetně nařízení Evropského parlamentu a Rady (EU) 2017/1938 (33) a (EU) 2019/941 (34) a směrnic Evropského parlamentu a Rady 2007/60/EC (35) a 2012/18/EU (36);

| c) | relevantní rizika vyplývající z míry závislosti mezi odvětvími, jež jsou stanovena v příloze, včetně míry závislosti na subjektech nacházejících se v jiných členských státech a třetích zemích, a dopad, který může významné narušení v jednom odvětví mít na ostatní odvětví, včetně veškerých významných rizik pro občany a vnitřní trh; |
| --- | --- |

c)

relevantní rizika vyplývající z míry závislosti mezi odvětvími, jež jsou stanovena v příloze, včetně míry závislosti na subjektech nacházejících se v jiných členských státech a třetích zemích, a dopad, který může významné narušení v jednom odvětví mít na ostatní odvětví, včetně veškerých významných rizik pro občany a vnitřní trh;

| d) | veškeré informace o incidentech ohlášených v souladu s článkem 15. |
| --- | --- |

d)

veškeré informace o incidentech ohlášených v souladu s článkem 15.

Pro účely prvního pododstavce písm. c) členské státy případně spolupracují s příslušnými orgány jiných členských států a příslušnými orgány třetích zemí.

3.   Členské státy zpřístupní příslušné prvky posouzení rizik členského státu, v případě potřeby prostřednictvím svých jednotných kontaktních míst, kritickým subjektům, které členské státy určily v souladu s článkem 6. Členské státy zajistí, že informace poskytnuté kritickým subjektům těmto subjektům slouží k provádění posouzení rizik podle článku 12 a při přijímání opatření k zajištění jejich odolnosti podle článku 13.

4.   Do tří měsíců od provedení posouzení rizik členského státu členský stát poskytne Komisi relevantní informace o druzích zjištěných rizik a výsledcích posouzení rizik tohoto členského státu pro jednotlivá odvětví a pododvětví stanovená v příloze.

5.   Komise ve spolupráci s členskými státy vytvoří dobrovolný společný vzor pro podávání zpráv pro účely dodržování odstavce 4.

Článek 6

Určení kritických subjektů

1.   Každý členský stát do 17. července 2026 určí kritické subjekty pro odvětví a pododvětví stanovená v příloze.

2.   Členský stát při určování kritických subjektů podle odstavce 1 zohlední výsledky svého posouzení rizik členského státu a strategii a použije všechna tato kritéria:

| a) | subjekt poskytuje jednu nebo více základních služeb; |
| --- | --- |

a)

subjekt poskytuje jednu nebo více základních služeb;

| b) | na území tohoto členského státu subjekt působí a nachází se tam jeho kritická infrastruktura; a |
| --- | --- |

b)

na území tohoto členského státu subjekt působí a nachází se tam jeho kritická infrastruktura; a

| c) | incident by významně narušil, jak je určeno v souladu s čl. 7 odst. 1, poskytování jedné nebo více základních služeb v odvětvích stanovených v příloze, nebo poskytování jiných základních služeb v odvětvích stanovených v příloze, jež na takové základní službě či takových základních službách závisí. |
| --- | --- |

c)

incident by významně narušil, jak je určeno v souladu s čl. 7 odst. 1, poskytování jedné nebo více základních služeb v odvětvích stanovených v příloze, nebo poskytování jiných základních služeb v odvětvích stanovených v příloze, jež na takové základní službě či takových základních službách závisí.

3.   Každý členský stát vytvoří seznam určených kritických subjektů podle odstavce 2 a zajistí, aby tyto kritické subjekty byly informovány o tom, že byly určeny jakožto kritické subjekty do jednoho měsíce od tohoto určení. Členské státy informují uvedené kritické subjekty o jejich povinnostech podle kapitol III a IV a o datu, od kterého se na ně uvedené povinnosti vztahují, aniž je dotčen článek 8. Členské státy informují kritické subjekty v odvětvích stanovených v bodech 3, 4 a 8 tabulky v příloze o tom, že nemají žádné povinnosti podle kapitol III a IV, nestanoví-li vnitrostátní opatření jinak.

Kapitola III se na dotčené kritické subjekty použije 10 měsíců od data oznámení podle prvního pododstavce tohoto odstavce.

4.   Členské státy zajistí, aby jejich příslušné orgány podle této směrnice informovaly příslušné orgány podle směrnice (EU) 2022/2555 o identitě kritických subjektů, které určily podle tohoto článku, a to do jednoho měsíce od tohoto určení. Toto oznámení v odůvodněných případech upřesní, že dotčené kritické subjekty jsou subjekty v odvětvích stanovených v bodech 3, 4 a 8 tabulky v příloze této směrnice a nemají žádné povinnosti podle kapitol III a IV této směrnice.

5.   Členské státy v případě potřeby a vždy alespoň každé čtyři roky přezkoumají a případně aktualizují seznam určených kritických subjektů podle odstavce 3. Pokud tyto aktualizace vedou k určení dalších kritických subjektů, použijí se na tyto další kritické subjekty odstavce 3 a 4. Kromě toho členské státy zajistí, aby subjekty, které již podle takové aktualizace nejsou určeny jakožto kritické subjekty, byly včas informovány o této skutečnosti, jakož i o tom, že ode dne obdržení tohoto oznámení se na ně již nevztahují povinnosti podle kapitoly III.

6.   Komise ve spolupráci s členskými státy vypracuje doporučení a nezávazné pokyny na podporu členských států při určování kritických subjektů.

Článek 7

Významné narušení

1.   Při určování významnosti narušení podle čl. 6 odst. 2 písm. c) členské státy zváží tyto okolnosti:

| a) | počet uživatelů, kteří jsou závislí na základní službě poskytované dotčeným subjektem; |
| --- | --- |

a)

počet uživatelů, kteří jsou závislí na základní službě poskytované dotčeným subjektem;

| b) | rozsah, v němž jiná odvětví a pododvětví stanovená v příloze závisí na dotčené základní službě; |
| --- | --- |

b)

rozsah, v němž jiná odvětví a pododvětví stanovená v příloze závisí na dotčené základní službě;

| c) | možný dopad incidentů, pokud jde o jejich intenzitu a délku trvání, na ekonomické a společenské činnosti, životní prostředí, veřejnou bezpečnost a bezpečnost obecně nebo na zdraví obyvatelstva; |
| --- | --- |

c)

možný dopad incidentů, pokud jde o jejich intenzitu a délku trvání, na ekonomické a společenské činnosti, životní prostředí, veřejnou bezpečnost a bezpečnost obecně nebo na zdraví obyvatelstva;

| d) | tržní podíl tohoto subjektu na trhu s dotčenou základní službou či službami; |
| --- | --- |

d)

tržní podíl tohoto subjektu na trhu s dotčenou základní službou či službami;

| e) | území, které by mohlo být incidentem ovlivněno, včetně případných přeshraničních dopadů, s přihlédnutím ke zranitelnosti spojené se stupněm odloučení určitých typů území, jako jsou ostrovní či vzdálené regiony nebo horské oblasti; |
| --- | --- |

e)

území, které by mohlo být incidentem ovlivněno, včetně případných přeshraničních dopadů, s přihlédnutím ke zranitelnosti spojené se stupněm odloučení určitých typů území, jako jsou ostrovní či vzdálené regiony nebo horské oblasti;

| f) | důležitost subjektu, pokud jde o udržování dostatečné úrovně dané základní služby, s přihlédnutím k dostupnosti alternativních způsobů poskytování této základní služby. |
| --- | --- |

f)

důležitost subjektu, pokud jde o udržování dostatečné úrovně dané základní služby, s přihlédnutím k dostupnosti alternativních způsobů poskytování této základní služby.

2.   Každý členský stát po určení kritických subjektů podle čl. 6 odst. 1 předloží Komisi bez zbytečného odkladu tyto informace:

| a) | seznam základních služeb v tomto členském státě, existují-li v porovnání se seznamem základních služeb podle čl. 5 odst. 1 další základní služby; |
| --- | --- |

a)

seznam základních služeb v tomto členském státě, existují-li v porovnání se seznamem základních služeb podle čl. 5 odst. 1 další základní služby;

| b) | počet kritických subjektů určených pro každé odvětví a pododvětví stanovené v příloze a pro každou základní službu; |
| --- | --- |

b)

počet kritických subjektů určených pro každé odvětví a pododvětví stanovené v příloze a pro každou základní službu;

| c) | jakékoli mezní hodnoty použité k upřesnění jednoho nebo více kritérií v odstavci 1. |
| --- | --- |

c)

jakékoli mezní hodnoty použité k upřesnění jednoho nebo více kritérií v odstavci 1.

Mezní hodnoty podle prvního pododstavce písm. c) mohou být předloženy jako takové nebo v agregované podobě.

Členské státy následně předloží informace podle prvního pododstavce podle potřeby, alespoň však každé čtyři roky.

3.   Komise po konzultaci se skupinou pro odolnost kritických subjektů podle článku 19 přijme nezávazné pokyny k usnadnění uplatňování kritérií uvedených v odstavci 1 tohoto článku s přihlédnutím k informacím uvedeným v odstavci 2 tohoto článku.

Článek 8

Kritické subjekty v odvětvích bankovnictví, infrastruktury finančních trhů a digitální infrastruktury

Členské státy zajistí, aby se článek 11 a kapitoly III, IV a VI nepoužily na kritické subjekty, které byly určeny v odvětvích stanovených v bodech 3, 4 a 8 tabulky v příloze. Členské státy mohou přijmout nebo ponechat v platnosti ustanovení vnitrostátního práva s cílem dosáhnout vyšší úrovně odolnosti těchto kritických subjektů za předpokladu, že jsou tyto předpisy v souladu s platným právem Unie.

Článek 9

Příslušné orgány a jednotné kontaktní místo

1.   Každý členský stát určí nebo zřídí jeden nebo více příslušných orgánů odpovědných za správné uplatňování této směrnice na vnitrostátní úrovni a v případě potřeby vymáhání pravidel stanovených v této směrnici.

Pokud jde o kritické subjekty v odvětvích stanovených v bodech 3 a 4 tabulky v příloze této směrnice, jsou příslušnými orgány v zásadě příslušné orgány podle článku 46 nařízení (EU) 2022/2554 Pokud jde o kritické subjekty v odvětví stanoveném v bodě 8 tabulky v příloze této směrnice, jsou příslušnými orgány v zásadě příslušné orgány podle směrnice (EU) 2022/2555. Členské státy mohou určit jiný příslušný orgán pro odvětví stanovená v bodech 3, 4 a 8 tabulky v příloze této směrnice v souladu se stávajícími vnitrostátními rámci.

Pokud členské státy určí či zřídí více než jeden příslušný orgán, musí jasně stanovit úkoly každého z dotčených orgánů a zajistit, aby účinně spolupracovaly při plnění svých úkolů podle této směrnice, a to i pokud jde o určení a činnosti jednotného kontaktního místa podle odstavce 2.

2.   Každý členský stát určí či zřídí jedno jednotné kontaktní místo, pro výkon styčné funkce k zajištění přeshraniční spolupráce s jednotnými kontaktními místy jiných členských států a skupinou pro odolnost kritických subjektů podle článku 19 (dále jen „jednotné kontaktní místo“). V případě potřeby členský stát určí své jednotné kontaktní místo v rámci příslušného orgánu. V případě potřeby může členský stát stanovit, že jeho jednotné kontaktní místo rovněž vykonává styčnou funkci s Komisí a zajišťuje spolupráci se třetími zeměmi.

3.   Do 17. července 2028 a poté každé dva roky předloží jednotná kontaktní místa souhrnnou zprávu Komisi a skupině pro odolnost kritických subjektů o přijatých oznámeních podle článku 19, včetně jejich počtu, povahy oznámených incidentů a opatření přijatých v souladu s čl. 15 odst. 3.

Komise ve spolupráci se skupinou pro odolnost kritických subjektů vypracuje společný vzor pro podávání zpráv. Příslušné orgány mohou tento společný vzor pro podávání zpráv dobrovolně použít pro účely předkládání souhrnných zpráv uvedených v prvním pododstavci.

4.   Každý členský stát zajistí, aby jeho příslušný orgán i jednotné kontaktní místo měly pravomoci a odpovídající finanční, lidské a technické zdroje k účinnému a účelnému plnění úkolů, které jim byly přiděleny.

5.   Každý členský stát zajistí, aby jeho příslušný orgán, kdykoli je to vhodné, v souladu s právem Unie a vnitrostátními právními předpisy vedl konzultace a spolupracoval s dalšími příslušnými vnitrostátními orgány, včetně těch, které odpovídají za civilní ochranu, prosazování práva a ochranu osobních údajů, a s kritickými subjekty a příslušnými zúčastněnými stranami.

6.   Každý členský stát zajistí, aby jeho příslušný orgán podle této směrnice spolupracoval a vyměňoval si informace s příslušnými orgány podle směrnice (EU) 2022/2555 ohledně kybernetických bezpečnostních rizik, kybernetických hrozeb a kybernetických incidentů a jiných než kybernetických rizik, hrozeb a incidentů, jež mají vliv na kritické subjekty, včetně informací o relevantních opatřeních, jež byla přijata jeho příslušnými orgány a příslušnými orgány podle směrnice (EU) 2022/2555

7.   Do tří měsíců od určení nebo zřízení příslušného orgánu a jednotného kontaktního místa každý členský stát oznámí Komisi jejich identitu a jejich úkoly a povinnosti podle této směrnice, jejich kontaktní údaje a veškeré následné změny. Členské státy vyrozumí Komisi, pokud se rozhodnou ustanovit ve vztahu ke kritickým subjektům v odvětvích stanovených v bodech 3, 4 a 8 tabulky v příloze, jakožto určené příslušné orgány jiné orgány než ty, které jsou uvedeny v odst. 1 druhém pododstavci. Každý členský stát zveřejní identitu příslušného orgánu a jednotného kontaktního místa.

8.   Komise zveřejní seznam jednotných kontaktních míst.

Článek 10

Podpora členských států kritickým subjektům

1.   Členské státy podpoří kritické subjekty při posilování jejich odolnosti. Tato podpora může zahrnovat vypracování poradenských manuálů a metodik, podporu organizace cvičení sloužících k prověření jejich odolnosti a poskytování poradenství a školení pracovníkům kritických subjektů. Aniž by tím byla dotčena použitelná pravidla státní podpory, členské státy mohou poskytovat kritickým subjektům finanční zdroje, je-li to nezbytné a odůvodněné cíli veřejného zájmu.

2.   Každý členský stát zajistí, aby jeho příslušný orgán spolupracoval a vyměňoval si informace a osvědčené postupy s kritickými subjekty v odvětvích uvedených v příloze.

3.   Členské státy usnadňují dobrovolné sdílení informací mezi kritickými subjekty v souvislosti se záležitostmi, na něž se vztahuje tato směrnice, v souladu s unijními a vnitrostátními právními předpisy týkajícími se zejména utajovaných a citlivých informací, hospodářské soutěže a ochrany osobních údajů.

Článek 11

Spolupráce mezi členskými státy

1.   Kdykoli je to vhodné, členské státy vedou vzájemné konzultace týkající se kritických subjektů s cílem zajistit jednotné uplatňování této směrnice. Tyto konzultace probíhají zejména o kritických subjektech, které:

| a) | využívají kritickou infrastrukturu fyzicky spojenou mezi dvěma nebo více členskými státy; |
| --- | --- |

a)

využívají kritickou infrastrukturu fyzicky spojenou mezi dvěma nebo více členskými státy;

| b) | jsou součástí podnikových struktur, jež jsou propojeny s kritickými subjekty v jiných členských státech nebo jsou na ně navázány; |
| --- | --- |

b)

jsou součástí podnikových struktur, jež jsou propojeny s kritickými subjekty v jiných členských státech nebo jsou na ně navázány;

| c) | byly určeny jakožto kritické subjekty v jednom členském státě a poskytují základní služby do jiných členských států nebo v jiných členských státech. |
| --- | --- |

c)

byly určeny jakožto kritické subjekty v jednom členském státě a poskytují základní služby do jiných členských států nebo v jiných členských státech.

2.   Cílem konzultací podle odstavce 1 je posílit odolnost kritických subjektů a tam, kde je to možné, snížit jejich administrativní zátěž.

KAPITOLA III

ODOLNOST KRITICKÝCH SUBJEKTŮ

Článek 12

Posouzení rizik kritickými subjekty

1.   Bez ohledu na lhůtu stanovenou v čl. 6 odst. 3 druhém pododstavci členské státy zajistí, aby kritické subjekty provedly posouzení rizika do devíti měsíců od obdržení oznámení podle čl. 6 odst. 3 a následně v případě potřeby, alespoň však každé čtyři roky, na základě posouzení rizik členského státu a dalších příslušných zdrojů informací s cílem posoudit veškerá příslušná rizika, která mohou narušit poskytování jejich základních služeb (dále jen „posouzení rizik kritického subjektu“).

2.   Posouzení rizik kritického subjektu zohlední veškerá příslušná přírodní rizika a rizika způsobená člověkem, která by mohla vést k incidentu, včetně rizik meziodvětvové nebo přeshraniční povahy, havárií, přírodních katastrof, mimořádných událostí v oblasti veřejného zdraví, hybridních hrozeb či jiných antagonistických hrozeb, včetně teroristických trestných činů uvedených ve směrnici (EU) 2017/541. Posouzení rizik kritického subjektu zohlední i míru závislosti jiných odvětví stanovených v příloze na základní službě poskytované kritickým subjektem a míru závislosti kritického subjektu na základních službách poskytovaných subjekty v těchto jiných odvětvích, a to v příslušných případech včetně odvětví v sousedních členských státech a případně třetích zemích.

Pokud kritický subjekt provedl posouzení rizik nebo vypracoval dokumenty podle povinností stanovených v jiných právních aktech, které jsou relevantní pro jeho posouzení rizik kritického subjektu, kritický subjekt může tato posouzení a dokumenty použít ke splnění požadavků stanovených v tomto článku. Při výkonu svých dohledových funkcí může příslušný orgán rozhodnout, že stávající posouzení rizik provedené kritickým subjektem, které se zabývá riziky a mírou závislosti podle prvního pododstavce tohoto odstavce, částečně nebo zcela splňuje povinnosti podle tohoto článku.

Článek 13

Opatření kritických subjektů k zajištění odolnosti

1.   Členské státy zajistí, aby kritické subjekty na základě relevantních informací poskytnutých členskými státy v posouzení rizik členského státu a na základě výsledků posouzení rizik kritického subjektu, přijaly vhodná a přiměřená technická, bezpečnostní a organizační opatření k zajištění své odolnosti, včetně opatření nezbytných za účelem:

| a) | předcházení vzniku incidentů, přičemž řádně zváží opatření ke snižování rizika katastrof a přizpůsobení se změně klimatu; |
| --- | --- |

a)

předcházení vzniku incidentů, přičemž řádně zváží opatření ke snižování rizika katastrof a přizpůsobení se změně klimatu;

| b) | zajištění přiměřené fyzické ochrany jejich prostor a kritické infrastruktury, přičemž řádně zváží například oplocení, zábrany, nástroje a postupy pro monitorování hranic objektu, detekční zařízení a kontroly přístupu; |
| --- | --- |

b)

zajištění přiměřené fyzické ochrany jejich prostor a kritické infrastruktury, přičemž řádně zváží například oplocení, zábrany, nástroje a postupy pro monitorování hranic objektu, detekční zařízení a kontroly přístupu;

| c) | odezvy na incidenty, odolávání důsledkům incidentů a jejich zmírňování, přičemž řádně zváží provádění postupů a protokolů pro řízení rizik a krizí a výstražných postupů; |
| --- | --- |

c)

odezvy na incidenty, odolávání důsledkům incidentů a jejich zmírňování, přičemž řádně zváží provádění postupů a protokolů pro řízení rizik a krizí a výstražných postupů;

| d) | zotavení se z incidentů, přičemž řádně zváží opatření pro zajištění kontinuity činnosti a určení alternativních dodavatelských řetězců s cílem obnovit poskytování základní služby; |
| --- | --- |

d)

zotavení se z incidentů, přičemž řádně zváží opatření pro zajištění kontinuity činnosti a určení alternativních dodavatelských řetězců s cílem obnovit poskytování základní služby;

| e) | zajištění přiměřeného řízení bezpečnosti zaměstnanců, přičemž řádně zváží opatření, jako jsou stanovení kategorií pracovníků, kteří vykonávajících kritické funkce, stanovení přístupových práv k prostorám, kritické infrastruktuře a citlivým informacím, zavedení postupů pro ověřování spolehlivosti v souladu s článkem 14 a vymezení kategorií osob, u nichž je vyžadováno toto ověření spolehlivosti, a stanovení vhodných požadavků na odbornou přípravu a kvalifikaci; |
| --- | --- |

e)

zajištění přiměřeného řízení bezpečnosti zaměstnanců, přičemž řádně zváží opatření, jako jsou stanovení kategorií pracovníků, kteří vykonávajících kritické funkce, stanovení přístupových práv k prostorám, kritické infrastruktuře a citlivým informacím, zavedení postupů pro ověřování spolehlivosti v souladu s článkem 14 a vymezení kategorií osob, u nichž je vyžadováno toto ověření spolehlivosti, a stanovení vhodných požadavků na odbornou přípravu a kvalifikaci;

| f) | zvyšování povědomí příslušných pracovníků o opatřeních uvedených v písmenech a) až e) s náležitým ohledem na kurzy odborné přípravy, informační materiály a cvičení. |
| --- | --- |

f)

zvyšování povědomí příslušných pracovníků o opatřeních uvedených v písmenech a) až e) s náležitým ohledem na kurzy odborné přípravy, informační materiály a cvičení.

Pro účely prvního pododstavce písm. e) členské státy zajistí, aby kritické subjekty při vymezování kategorií osob, jež vykonávají zásadní funkce, zohlednily pracovníky externích poskytovatelů služeb.

2.   Členské státy zajistí, aby kritické subjekty zavedly a používaly plán odolnosti nebo rovnocenný dokument či dokumenty, které popisují opatření přijatá podle odstavce 1. Pokud kritické subjekty vypracovaly dokumenty nebo přijaly opatření podle povinností stanovených v jiných právních aktech, které jsou relevantní pro opatření uvedená v odstavci 1, mohou tato opatření a dokumenty použít ke splnění požadavků stanovených v tomto článku. Při výkonu svých dohledových funkcí může příslušný orgán rozhodnout, že stávající opatření přijatá kritickým subjektem k posílení své odolnosti, jsou částečně nebo zcela v souladu s povinnostmi podle tohoto článku, pokud vhodným a přiměřeným způsobem odpovídají technickým, bezpečnostním a organizačním opatřením uvedeným v odstavci 1.

3.   Členské státy zajistí, aby každý kritický subjekt určil pro účely kontaktu s příslušnými orgány styčnou osobu nebo její ekvivalent.

4.   Na žádost členského státu, který určil kritický subjekt, a se souhlasem dotčeného kritického subjektu zorganizuje Komise v souladu s opatřeními stanovenými v čl. 18 odst. 6, 8 a 9 poradní mise za účelem poskytování poradenství dotčenému kritickému subjektu při plnění jeho povinností podle kapitoly III. Poradní mise oznámí svá zjištění Komisi, příslušnému členskému státu a dotčenému kritickému subjektu.

5.   Komise po konzultaci se skupinou pro odolnost kritických subjektů podle článku 19 přijme nezávazné pokyny k dalšímu upřesnění technických, bezpečnostních a organizačních opatření, která lze přijmout podle odstavce 1 tohoto článku.

6.   Komise přijme prováděcí akty s cílem stanovit nezbytné technické a metodické specifikace týkající se uplatňování opatření uvedených v odstavci 1 tohoto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 24 odst. 2.

Článek 14

Ověřování spolehlivosti

1.   Členské státy upřesní podmínky, za nichž může kritický subjekt v řádně odůvodněných případech a s přihlédnutím k posouzení rizik členského státu podávat žádosti o ověření spolehlivosti osob :

| a) | které plní citlivé úkoly v rámci kritického subjektu nebo v jeho prospěch, zejména ve vztahu k odolnosti kritického subjektu; |
| --- | --- |

a)

které plní citlivé úkoly v rámci kritického subjektu nebo v jeho prospěch, zejména ve vztahu k odolnosti kritického subjektu;

| b) | které jsou pověřeny přímým nebo vzdáleným přístupem do jeho prostor, k jeho informacím nebo do jeho kontrolních systémů, a to i v souvislosti s bezpečností kritického subjektu; |
| --- | --- |

b)

které jsou pověřeny přímým nebo vzdáleným přístupem do jeho prostor, k jeho informacím nebo do jeho kontrolních systémů, a to i v souvislosti s bezpečností kritického subjektu;

| c) | u kterých se zvažuje, že budou přijaty na pozice, na něž se vztahují kritéria uvedená v písmenech a) a b). |
| --- | --- |

c)

u kterých se zvažuje, že budou přijaty na pozice, na něž se vztahují kritéria uvedená v písmenech a) a b).

2.   Žádosti podle odstavce 1 tohoto článku se posuzují v přiměřené lhůtě a vyřizují se v souladu s vnitrostátním právem a postupy a s příslušným a použitelným právem Unie, včetně nařízení (EU) 2016/679 a směrnice Evropského parlamentu a Rady (EU) 2016/680 (37). Ověřování spolehlivosti musí být přiměřené a přísně omezeno na to, co je nezbytné. Provádí se výhradně za účelem vyhodnocení potenciálního bezpečnostního rizika pro dotčený kritický subjekt.

3.   Ověřování spolehlivosti uvedené v odstavci 1 musí alespoň:

| a) | potvrdit totožnost osoby, u níž se ověřování spolehlivosti provádí ; |
| --- | --- |

a)

potvrdit totožnost osoby, u níž se ověřování spolehlivosti provádí ;

| b) | prověřit záznamy v rejstříku trestů u této osoby týkající se trestných činů, jež by byly významné z hlediska konkrétní pozice ; |
| --- | --- |

b)

prověřit záznamy v rejstříku trestů u této osoby týkající se trestných činů, jež by byly významné z hlediska konkrétní pozice ;

Při ověřování spolehlivosti členské státy využívají Evropský informační systém rejstříků trestů v souladu s postupy stanovenými v rámcovém rozhodnutí 2009/315/SVV a v příslušných situacích případně v nařízení (EU) 2019/816 pro účely získávání informací z rejstříků trestů vedených jinými členskými státy. Ústřední orgány uvedené v čl. 3 odst. 1 rámcového rozhodnutí 2009/315/SVV a v čl. 3 bodě 5 nařízení (EU) 2019/816 poskytnou odpovědi na žádosti o tyto informace do 10 pracovních dnů ode dne, v němž byla taková žádost obdržena v souladu s čl. 8. odst. 1 rámcového rozhodnutí 2009/315/SVV.

Článek 15

Oznamování incidentů

1.   Členské státy zajistí, aby kritické subjekty vyrozuměly bez zbytečného odkladu příslušný orgán o incidentech, které významně narušují nebo mohou významně narušit poskytování základních služeb. Členské státy zajistí, s výjimkou případů, které by bránily v řešení incidentu, aby kritické subjekty podaly prvotní oznámení nejpozději do 24 hodin od okamžiku, kdy se kritický subjekt o incidentu dozvěděl, a v relevantních případech nejpozději do jednoho měsíce poté podrobnou zprávu. K určení závažnosti narušení je třeba vzít v úvahu zejména tyto parametry:

| a) | počet a podíl uživatelů zasažených narušením; |
| --- | --- |

a)

počet a podíl uživatelů zasažených narušením;

| b) | dobu trvání narušení; |
| --- | --- |

b)

dobu trvání narušení;

| c) | území zasažené narušením s přihlédnutím k tomu, zda je toto území geograficky izolované. |
| --- | --- |

c)

území zasažené narušením s přihlédnutím k tomu, zda je toto území geograficky izolované.

Pokud incident má nebo by mohl mít významný dopad na kontinuitu poskytování základních služeb v šesti nebo více členských státech nebo do těchto států, oznámí příslušné orgány členských států zasažených incidentem tento incident Komisi.

2.   Oznámení podle odst. 1 prvního pododstavce obsahují veškeré dostupné informace nezbytné k tomu, aby příslušný orgán mohl pochopit povahu, příčinu a možné důsledky incidentu, včetně jakýkoliv dostupných informací nezbytných ke stanovení případného přeshraničního dopadu incidentu. Tato oznámení nezakládají u kritického subjektu zvýšení jeho odpovědnosti.

3.   Na základě informací poskytnutých kritickým subjektem v oznámení podle odstavce 1 vyrozumí příslušný orgán prostřednictvím jednotného kontaktního místa jednotná kontaktní místa ostatních dotčených členských států, pokud incident má nebo mohl mít významný dopad na kritické subjekty a kontinuitu poskytování základních služeb v jednom nebo více jiných členských státech nebo do tohoto státu či států.

Při zasílání a přijímání informací podle prvního pododstavce jednotná kontaktní místa zachází v souladu s unijním nebo vnitrostátním právem s těmito informacemi způsobem, který respektuje jejich důvěrnost a chrání bezpečnost a obchodní zájmy dotčeného kritického subjektu.

4.   Příslušný orgán co nejdříve po obdržení oznámení podle odstavce 1 poskytne kritickému subjektu relevantní navazující informace, včetně informací, které by mohly pomoci kritickému subjektu na tento incident účinně reagovat. Členské státy informují veřejnost, pokud se domnívají, že by to bylo ve veřejném zájmu.

Článek 16

Standardy

V zájmu prosazování harmonizovaného provádění této směrnice podporují členské státy používání evropských a mezinárodních standardů, norem a technických specifikací týkajících se opatření v oblasti bezpečnosti a odolnosti, jež se použijí pro kritické subjekty, pokud je to užitečné a aniž by ukládaly nebo zvýhodňovaly používání určitého druhu technologie.

KAPITOLA IV

KRITICKÉ SUBJEKTY ZVLÁŠTNÍHO EVROPSKÉHO VÝZNAMU

Článek 17

Určení kritických subjektů zvláštního evropského významu

1.   Subjekt se považuje za kritický subjekt zvláštního evropského významu, pokud:

| a) | byl určen jako kritický subjekt podle čl. 6 odst. 1; |
| --- | --- |

a)

byl určen jako kritický subjekt podle čl. 6 odst. 1;

| b) | poskytuje stejné nebo podobné základní služby v šesti nebo více členských státech nebo do těchto států; a |
| --- | --- |

b)

poskytuje stejné nebo podobné základní služby v šesti nebo více členských státech nebo do těchto států; a

| c) | byl jako takový vyrozuměn podle odstavce 3 tohoto článku. |
| --- | --- |

c)

byl jako takový vyrozuměn podle odstavce 3 tohoto článku.

2.   Členské státy zajistí, aby kritický subjekt po vyrozumění podle čl. 6 odst. 3 informoval příslušný orgán, pokud poskytuje základní služby v šesti nebo více členských státech nebo do těchto států. V takovém případě členský stát zajistí, aby tento kritický subjekt informoval příslušný orgán o základních službách, jež poskytuje těmto členským státům nebo v nich, a aby tyto členské státy uvedl. Členské státy oznámí Komisi bez zbytečného odkladu identitu kritických subjektů a informace, jež poskytují podle tohoto odstavce.

Komise vede konzultace s příslušným orgánem členského státu, který určil kritický subjekt podle prvního pododstavce, s příslušným orgánem dalších dotčených členských států a s dotčeným kritickým subjektem. Během těchto konzultací každý členský stát informuje Komisi, má-li za to, že služby, které mu kritický subjekt poskytuje, jsou základními službami.

3.   Pokud Komise na základě konzultací podle odstavce 2 tohoto článku rozhodne, že dotčený kritický subjekt poskytuje základní služby v šesti nebo více členských státech nebo do těchto států, Komise vyrozumí kritický subjekt prostřednictvím příslušného orgánu, že je považován za kritický subjekt zvláštního evropského významu a rovněž ho vyrozumí o povinnostech podle této kapitoly a o datu, od kterého se na něj tyto povinnosti vztahují. Jakmile Komise příslušný orgán informuje o svém rozhodnutí, podle kterého se určitý subjekt považuje za kritický subjekt zvláštního evropského významu, příslušný orgán postoupí bez zbytečného odkladu toto oznámení dotčenému kritickému subjektu.

4.   Tato kapitola se na dotčený kritický subjekt zvláštního evropského významu vztahuje ode dne obdržení vyrozumění podle odstavce 3 tohoto článku.

Článek 18

Poradní mise

1.   Na žádost členského státu, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt podle čl. 6 odst. 1, Komise zorganizuje poradní misi za účelem posouzení opatření, která tento kritický subjekt zavedl za účelem splnění svých povinností podle kapitoly III.

2.   Komise z vlastního podnětu nebo na žádost jednoho či více z členských států, jimž nebo v nichž jsou poskytovány základní služby, zorganizuje poradní misi podle odstavce 1 tohoto článku, souhlasí-li s tím členský stát, který kritický subjekt zvláštního evropského významu určil podle čl. 6 odst. 1 jakožto kritický subjekt.

3.   Na základě odůvodněné žádosti Komise nebo jednoho či více z členských států, jimž nebo v nichž se základní služba poskytuje, poskytne členský stát, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt podle čl. 6 odst. 1, Komisi následující :

| a) | relevantní části posouzení rizik kritického subjektu; |
| --- | --- |

a)

relevantní části posouzení rizik kritického subjektu;

| b) | seznam relevantních opatření přijatých v souladu s článkem 13; |
| --- | --- |

b)

seznam relevantních opatření přijatých v souladu s článkem 13;

| c) | opatření v oblasti dohledu nebo vymáhání, včetně posouzení dodržování předpisů nebo vydaných příkazů, které příslušný orgán v souvislosti s tímto kritickým subjektem přijal podle článků 21 a 22. |
| --- | --- |

c)

opatření v oblasti dohledu nebo vymáhání, včetně posouzení dodržování předpisů nebo vydaných příkazů, které příslušný orgán v souvislosti s tímto kritickým subjektem přijal podle článků 21 a 22.

4.   Poradní mise podá o svých zjištěních zprávu Komisi, členskému státu, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt podle čl. 6 odst. 1, členským státům, jimž nebo v nichž se základní služba poskytuje, a dotčenému kritickému subjektu do tří měsíců od ukončení poradní mise.

Členské státy, do nichž nebo v nichž se základní služba poskytuje, zprávu podle prvního pododstavce analyzují a v případě potřeby Komisi informují, zda dotčený kritický subjekt zvláštního evropského významu plní své povinnosti podle kapitoly III, a případně jaká opatření by mohla být přijata k posílení odolnosti uvedeného kritického subjektu.

Komise na základě informací podle druhého pododstavce tohoto odstavce sdělí své stanovisko členskému státu, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt podle čl. 6 odst. 1, členským státům, do nichž nebo v nichž se základní služba poskytuje, a uvedenému kritickému subjektu ohledně toho, zda uvedený kritický subjekt plní své povinnosti podle kapitoly III, a případně o tom, jaká opatření by mohla být přijata k posílení odolnosti uvedeného kritického subjektu.

Členský stát, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt podle čl. 6 odst. 1, zajistí, aby jeho dotčený příslušný orgán i dotčený kritický subjekt zohlednily stanovisko podle třetího pododstavce tohoto odstavce a poskytly Komisi a členským státům, do nichž nebo v nichž je základní služba poskytována, informace o opatřeních, která na základě uvedeného stanoviska přijal.

5.   Každá poradní mise se skládá z odborníků z členského státu, v němž se kritický subjekt zvláštního evropského významu nachází, z odborníků z členských států, do nichž nebo v nichž se základní služba poskytuje, a zástupců Komise. Uvedené členské státy mohou navrhnout kandidáty na členy poradní mise. Komise po konzultaci s členským státem, který určil kritický subjekt zvláštního evropského významu jako kritický subjekt podle čl. 6 odst. 1, vybírá a jmenuje členy každé poradní mise v souladu s jejich odbornou způsobilostí a zajišťuje pokud možno zeměpisně vyvážené zastoupení ze všech uvedených členských států. Kdykoli je to nezbytné, musí mít členové poradní mise platnou odpovídající bezpečnostní prověrku. Náklady spojené s účastí v poradní misi nese Komise.

Komise organizuje program každé poradní mise po konzultaci s členy dané poradní mise a po dohodě s členským státem, který určil kritický subjekt zvláštního evropského významu jako kritický subjekt podle čl. 6 odst. 1.

6.   Komise přijme prováděcí akt, kterým se stanoví pravidla týkající se procesních opatření pro žádosti o organizování poradních misí, vyřizování těchto žádostí, provádění poradních misí a zprávy z nich a pro zacházení se sdělením stanoviska Komise podle odst. 4 třetího pododstavce tohoto článku a o přijatých opatřeních, a to s náležitým ohledem na důvěrnost a obchodní citlivost dotčených informací. Tento prováděcí akt se přijímá přezkumným postupem podle článku 24 odst. 2.

7.   Členské státy zajistí, aby kritické subjekty zvláštního evropského významu poskytly poradním misím přístup k informacím, systémům a zařízením souvisejícím s poskytováním jejich základních služeb nezbytných pro uskutečnění dotčené poradní mise.

8.   Poradní mise se uskutečňují v souladu s příslušným vnitrostátním právem členského státu, v němž se konají, přičemž je respektována odpovědnost tohoto členského státu za národní bezpečnost a ochranu jeho bezpečnostních zájmů.

9.   Při organizování poradních misí zohlední Komise zprávy o jakýchkoli inspekcích prováděných Komisí podle nařízení (ES) č. 725/2004 a (ES) č. 300/2008 a zprávy o jakémkoli monitorování prováděném Komisí podle směrnice 2005/65/ES v souvislosti s dotčeným kritickým subjektem.

10.   Komise informuje skupinu pro odolnost kritických subjektů podle článku 19, kdykoli je poradní mise pořádána. Členský stát, v němž se poradní mise konala, a Komise rovněž informují skupinu pro odolnost kritických subjektů o hlavních zjištěních poradní mise a získaných poznatcích, aby se podpořilo vzájemné učení.

KAPITOLA V

SPOLUPRÁCE A PŘEDKLÁDÁNÍ ZPRÁV

Článek 19

Skupina pro odolnost kritických subjektů

1.   Zřizuje se skupina pro odolnost kritických subjektů. Skupina pro odolnost kritických subjektů podporuje Komisi a usnadňuje spolupráci mezi členskými státy a výměnu informací o otázkách týkajících se této směrnice.

2.   Skupina pro odolnost kritických subjektů je složena ze zástupců členských států a Komise, kteří mají v relevantních případech bezpečnostní prověrku. Je-li to pro plnění jejích úkolů relevantní, může skupina pro odolnost kritických subjektů přizvat příslušné zúčastněné strany k účasti na plnění svých úkolů. Na žádost Evropského parlamentu může Komise přizvat k účasti na schůzích skupiny pro odolnost kritických subjektů odborníky z Evropského parlamentu.

Skupině pro odolnost kritických subjektů předsedá zástupce Komise.

3.   Skupina pro odolnost kritických subjektů má tyto úkoly:

| a) | podporuje Komisi v rámci pomoci členským státům při posilování jejich kapacity přispívat k zajištění odolnosti kritických subjektů v souladu s touto směrnicí; |
| --- | --- |

a)

podporuje Komisi v rámci pomoci členským státům při posilování jejich kapacity přispívat k zajištění odolnosti kritických subjektů v souladu s touto směrnicí;

| b) | analyzuje strategie s cílem určit osvědčené postupy ve vztahu ke strategiím; |
| --- | --- |

b)

analyzuje strategie s cílem určit osvědčené postupy ve vztahu ke strategiím;

| c) | usnadňuje výměnu osvědčených postupů, pokud jde o určení kritických subjektů členskými státy podle čl. 6 odst. 1, a to i v souvislosti s přeshraničními a meziodvětvovými závislostmi a ohledně rizik a incidentů; |
| --- | --- |

c)

usnadňuje výměnu osvědčených postupů, pokud jde o určení kritických subjektů členskými státy podle čl. 6 odst. 1, a to i v souvislosti s přeshraničními a meziodvětvovými závislostmi a ohledně rizik a incidentů;

| d) | tam, kde je to vhodné, přispívá v záležitostech souvisejících s touto směrnicí k dokumentům týkajícím se odolnosti na úrovni Unie; |
| --- | --- |

d)

tam, kde je to vhodné, přispívá v záležitostech souvisejících s touto směrnicí k dokumentům týkajícím se odolnosti na úrovni Unie;

| e) | přispívá k přípravě pokynů uvedených v čl. 7 odst. 3 a čl. 13 odst. 5 a na požádání přispívá k přípravě jakýchkoli aktů v přenesené pravomoci nebo prováděcích aktů přijatých podle této směrnice ; |
| --- | --- |

e)

přispívá k přípravě pokynů uvedených v čl. 7 odst. 3 a čl. 13 odst. 5 a na požádání přispívá k přípravě jakýchkoli aktů v přenesené pravomoci nebo prováděcích aktů přijatých podle této směrnice ;

| f) | analyzuje souhrnné zprávy uvedené v čl. 9 odst. 3 s cílem podpořit sdílení osvědčených postupů týkajících se opatření přijatých v souladu s čl. 15 odst. 3; |
| --- | --- |

f)

analyzuje souhrnné zprávy uvedené v čl. 9 odst. 3 s cílem podpořit sdílení osvědčených postupů týkajících se opatření přijatých v souladu s čl. 15 odst. 3;

| g) | zajišťuje výměnu osvědčených postupů souvisejících s hlášením incidentů uvedeným v článku 15; |
| --- | --- |

g)

zajišťuje výměnu osvědčených postupů souvisejících s hlášením incidentů uvedeným v článku 15;

| h) | zabývá se souhrnnými zprávami poradních misí a získanými poznatky v souladu s čl. 18 odst. 10; |
| --- | --- |

h)

zabývá se souhrnnými zprávami poradních misí a získanými poznatky v souladu s čl. 18 odst. 10;

| i) | zajišťuje výměnu informací a osvědčených postupů v oblasti inovací, výzkumu a vývoje, pokud jde o odolnost kritických subjektů v souladu s touto směrnicí; |
| --- | --- |

i)

zajišťuje výměnu informací a osvědčených postupů v oblasti inovací, výzkumu a vývoje, pokud jde o odolnost kritických subjektů v souladu s touto směrnicí;

| j) | v náležitých případech zajišťuje výměnu informací v záležitostech týkajících se odolnosti kritických subjektů s příslušnými orgány, institucemi, úřady a agenturami Unie. |
| --- | --- |

j)

v náležitých případech zajišťuje výměnu informací v záležitostech týkajících se odolnosti kritických subjektů s příslušnými orgány, institucemi, úřady a agenturami Unie.

4.   Do 17. ledna 2025 a poté každé dva roky stanoví skupina pro odolnost kritických subjektů pracovní program zahrnující činnosti, jež mají být uskutečněny k dosažení cílů a splnění úkolů této skupiny. Tento pracovní program odpovídá cílům a požadavkům této směrnice.

5.   Skupina pro odolnost kritických subjektů se pravidelně a v každém případě nejméně jednou ročně schází se skupinou pro spolupráci zřízenou podle směrnice (EU) 2022/2555, aby podpořila a usnadnila strategickou spolupráci a výměnu informací.

6.   Komise může přijmout prováděcí akty, kterými stanoví procesní pravidla nezbytná pro fungování skupiny pro odolnost kritických subjektů při dodržení čl. 1 odst. 4. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 24 odst. 2.

7.   Komise poskytne skupině pro odolnost kritických subjektů souhrnnou zprávu o informacích poskytnutých členskými státy podle čl. 4 odst. 3 a čl. 5 odst. 4 do 17. ledna 2027 a následně kdykoliv je to nutné a alespoň každé čtyři roky.

Článek 20

Podpora Komise příslušným orgánům a kritickým subjektům

1.   Komise v příslušných případech podporuje členské státy a kritické subjekty při plnění jejich povinností podle této směrnice. Komise vypracuje přehled na úrovni Unie týkající se přeshraničních a meziodvětvových rizik pro poskytování základních služeb, pořádá poradní mise podle čl. 13 odst. 4 a článku 18 a usnadňuje výměnu informací mezi členskými státy a odborníky v celé Unii.

2.   Komise doplňuje činnosti členských států podle článku 10 tím, že vypracuje osvědčené postupy, pokyny a metodiky a zavede přeshraniční vzdělávací činnosti a cvičení sloužící k otestování odolnosti kritických subjektů.

3.   Komise informuje členské státy o finančních zdrojích na úrovni Unie, které mají členské státy k dispozici na posílení odolnosti kritických subjektů.

KAPITOLA VI

DOHLED A VYMÁHÁNÍ

Článek 21

Dohled a vymáhání

1.   Za účelem posouzení, zda subjekty, které členské státy určily jakožto kritické subjekty podle čl. 6 odst. 1, dodržují povinnosti stanovené v této směrnici, členské státy zajistí, aby příslušné orgány měly pravomoci a prostředky k:

| a) | provádění kontrol na místě u kritické infrastruktury a v prostorách, které kritický subjekt používá k poskytování svých základních služeb, a dohledu nad opatřeními, jež kritické subjekty přijaly v souladu s článkem 13; |
| --- | --- |

a)

provádění kontrol na místě u kritické infrastruktury a v prostorách, které kritický subjekt používá k poskytování svých základních služeb, a dohledu nad opatřeními, jež kritické subjekty přijaly v souladu s článkem 13;

| b) | provádění nebo nařízení auditů ve vztahu ke kritickým subjektům. |
| --- | --- |

b)

provádění nebo nařízení auditů ve vztahu ke kritickým subjektům.

2.   Členské státy zajistí, aby příslušné orgány měly pravomoci a prostředky požadovat, je-li to pro plnění jejich úkolů podle této směrnice nezbytné, aby subjekty podle směrnice (EU) 2022/2555, které členské státy určily jakožto kritické subjekty podle této směrnice, poskytly v přiměřené lhůtě stanovené těmito orgány:

| a) | informace nezbytné k posouzení, zda opatření přijatá těmito subjekty k zajištění jejich odolnosti splňují požadavky stanovené v článku 13; |
| --- | --- |

a)

informace nezbytné k posouzení, zda opatření přijatá těmito subjekty k zajištění jejich odolnosti splňují požadavky stanovené v článku 13;

| b) | důkazy o účinném provádění těchto opatření, včetně výsledků auditu, který byl proveden kvalifikovaným auditorem, jehož daný subjekt vybral, a který byl proveden na náklady uvedeného subjektu. |
| --- | --- |

b)

důkazy o účinném provádění těchto opatření, včetně výsledků auditu, který byl proveden kvalifikovaným auditorem, jehož daný subjekt vybral, a který byl proveden na náklady uvedeného subjektu.

Pokud příslušné orgány žádají o poskytnutí těchto informací, uvedou účel svého požadavku a upřesní požadované informace.

3.   Aniž je dotčena možnost ukládat sankce v souladu s článkem 22, mohou příslušné orgány na základě opatření v oblasti dohledu uvedených v odstavci 1 tohoto článku nebo na základě posouzení informací uvedených v odstavci 2 tohoto článku uložit dotčeným kritickým subjektům, aby přijaly nezbytná a přiměřená opatření k nápravě jakéhokoli zjištěného porušení této směrnice v přiměřené lhůtě stanovené těmito orgány a aby těmto orgánům poskytly informace o přijatých opatřeních. Tato nařízení zohlední zejména závažnost porušení.

4.   Členský stát zajistí, aby pravomoci stanovené v odstavcích 1, 2 a 3 mohly být vykonávány pouze za předpokladu odpovídajících záruk. Tyto záruky zaručí zejména to, aby takový výkon probíhal objektivně, transparentně a přiměřeně a aby byla náležitě chráněna práva a oprávněné zájmy dotčených kritických subjektů, jako jsou ochrana obchodního tajemství, včetně práva být vyslechnut, práva na obhajobu a práva na účinnou právní ochranu před nezávislým soudem.

5.   V případě, že příslušný orgán podle této směrnice v souladu s tímto článkem posuzuje, zda kritický subjekt dodržuje předpisy, členské státy zajistí, aby o tom uvedený příslušný orgán informoval příslušné orgány dotčeného členského státu podle směrnice (EU) 2022/2555 Za tímto účelem členské státy zajistí, aby příslušné orgány podle této směrnice mohly požádat příslušné orgány podle směrnice (EU) 2022/2555 o výkon pravomocí v oblasti dohledu a vymáhání ve vztahu k subjektu podle uvedené směrnice, který je určen jakožto kritický subjekt podle této směrnice. Za tímto účelem členské státy zajistí, aby příslušné orgány podle této směrnice spolupracovaly s příslušnými orgány podle směrnice (EU) 2022/2555 a vyměňovaly si s nimi informace.

Článek 22

Sankce

Členské státy stanoví pravidla pro sankce za porušení vnitrostátních opatření přijatých na základě této směrnice a přijmou veškerá opatření nezbytná k zajištění jejich uplatňování. Stanovené sankce musí být účinné, přiměřené a odrazující. Členské státy uvědomí o těchto pravidlech a opatřeních Komisi do 17. října 2024 a neprodleně ji uvědomí o veškerých pozdějších změnách, které se jich dotýkají.

KAPITOLA VII

AKTY V PŘENESENÉ PRAVOMOCI A PROVÁDĚCÍ AKTY

Článek 23

Výkon přenesené pravomoci

1.   Pravomoc přijímat akty v přenesené pravomoci je svěřena Komisi za podmínek stanovených v tomto článku.

2.   Pravomoc přijímat akty v přenesené pravomoci uvedená v čl. 5 odst. 1 je svěřena Komisi na dobu pěti let od 16. ledna 2023.

3.   Evropský parlament nebo Rada mohou přenesení pravomoci uvedené v čl. 5 odst. 1 kdykoli zrušit. Rozhodnutím o zrušení se ukončuje přenesení pravomoci v něm určené. Rozhodnutí nabývá účinku prvním dnem po zveřejnění v Úředním věstníku Evropské unie nebo k pozdějšímu dni, který je v něm upřesněn. Nedotýká se platnosti již platných aktů v přenesené pravomoci.

4.   Před přijetím aktu v přenesené pravomoci Komise vede konzultace s odborníky jmenovanými jednotlivými členskými státy v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů.

5.   Přijetí aktu v přenesené pravomoci Komise neprodleně oznámí současně Evropskému parlamentu a Radě.

6.   Akt v přenesené pravomoci přijatý podle čl. 5 odst. 1 vstoupí v platnost pouze tehdy, pokud proti němu Evropský parlament ani Rada nevysloví námitky ve lhůtě dvou měsíců ode dne, kdy jim byl tento akt oznámen, nebo pokud Evropský parlament i Rada před uplynutím této lhůty informují Komisi o tom, že námitky nevysloví. Z podnětu Evropského parlamentu nebo Rady se tato lhůta prodlouží o dva měsíce.

Článek 24

Postup projednávání ve výboru

1.   Komisi je nápomocen výbor. Tento výbor je výborem ve smyslu nařízení (EU) č. 182/2011.

2.   Odkazuje-li se na tento odstavec, použije se článek 5 nařízení (EU) č. 182/2011.

KAPITOLA VIII

ZÁVĚREČNÁ USTANOVENÍ

Článek 25

Předkládání zpráv a přezkum

Do 17. července 2027 Komise předloží Evropskému parlamentu a Radě zprávu, v níž posoudí, do jaké míry každý členský stát přijal opatření nezbytná pro dosažení souladu s touto směrnicí.

Komise pravidelně přezkoumává fungování této směrnice a podává zprávu Evropskému parlamentu a Radě. V uvedené zprávě zejména posoudí přidanou hodnotu této směrnice, její dopad na zajištění odolnosti kritických subjektů a to, zda by měla být příloha směrnice změněna. První takovou zprávu předloží Komise do 17. června 2029. Za účelem podávání zpráv podle tohoto článku Komise zohlední příslušné dokumenty skupiny pro odolnost kritických subjektů.

Článek 26

Provedení ve vnitrostátním právu

1.   Členské státy do 17. října 2024 přijmou a zveřejní opatření nezbytná pro dosažení souladu s touto směrnicí. Neprodleně o nich uvědomí Komisi.

Použijí tato opatření od 18. října 2024.

2.   Opatření uvedená v odstavci 1 přijatá členskými státy musí obsahovat odkaz na tuto směrnici nebo musí být takový odkaz učiněn při jejich úředním vyhlášení. Způsob odkazu si stanoví členské státy.

Článek 27

Zrušení směrnice 2008/114/ES

Směrnice 2008/114/ES se zrušuje s účinkem od 18. října 2024.

Odkazy na zrušenou směrnici se považují za odkazy na tuto směrnici.

Článek 28

Vstup v platnost

Tato směrnice vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.

Úředním věstníku Evropské unie

Článek 29

Určení

Tato směrnice je určena členským státům.

Ve Štrasburku dne 14. prosince 2022.

Za Evropský parlament

předsedkyně

R. METSOLA

Za Radu

předseda

M. BEK

---

(1)  
  Úř. věst. C 286, 16.7.2021, s. 170.

1

(2)  
  Úř. věst. C 440, 29.10.2021, s. 99.

2

(3)  Postoj Evropského parlamentu ze dne 22. listopadu 2022 (dosud nezveřejněný v Úředním věstníku) a postoj Rady ze dne 8. prosince 2022.

3

(4)  Směrnice Rady 2008/114/ES ze dne 8. prosince 2008 o určování a označování evropských kritických infrastruktur a o posouzení potřeby zvýšit jejich ochranu (Úř. věst. L 345, 23.12.2008, s. 75).

4

(5)  Směrnice Evropského parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii, o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (směrnice o bezpečnosti sítí a informací 2) (viz strana 80 v tomto čísle Úředního věstníku).

5

(6)  Směrnice Evropského parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (Úř. věst. L 194, 19.7.2016, s. 1).

6

(7)  Nařízení Evropského parlamentu a Rady (EU) 2019/452 ze dne 19. března 2019, kterým se stanoví rámec pro prověřování přímých zahraničních investic směřujících do Unie (Úř. věst. L 79I, 21.3.2019, s. 1).

7

(8)  Nařízení Evropského parlamentu a Rady (EU) č. 648/2012 ze dne 4. července 2012 o OTC derivátech, ústředních protistranách a registrech obchodních údajů (Úř. věst. L 201, 27.7.2012, s. 1).

8

(9)  Nařízení Evropského parlamentu a Rady (EU) č. 575/2013 ze dne 26. června 2013 o obezřetnostních požadavcích na úvěrové instituce a o změně nařízení (EU) č. 648/2012 (Úř. věst. L 176, 27.6.2013, s. 1).

9

(10)  Nařízení Evropského parlamentu a Rady (EU) č. 600/2014 ze dne 15. května 2014 o trzích finančních nástrojů a o změně nařízení (EU) č. 648/2012 (Úř. věst. L 173, 12.6.2014, s. 84).

10

(11)  Směrnice Evropského parlamentu a Rady 2013/36/EU ze dne 26. června 2013 o přístupu k činnosti úvěrových institucí a o obezřetnostním dohledu nad úvěrovými institucemi a investičními podniky, o změně směrnice 2002/87/ES a zrušení směrnic 2006/48/ES a 2006/49/ES (Úř. věst. L 176, 27.6.2013, s. 338).

11

(12)  Směrnice Evropského parlamentu a Rady 2014/65/EU ze dne 15. května 2014 o trzích finančních nástrojů a o změně směrnic 2002/92/ES a 2011/61/EU (Úř. věst. L 173, 12.6.2014, s. 349).

12

(13)  Nařízení Evropského parlamentu a Rady (EU) 2022/2554 ze dne 14. prosince 2022 o digitální provozní odolnosti finančního sektoru a o změně nařízení (ES) č. 1060/2009, (EU) č. 648/2012, (EU) č. 600/2014, (EU) č. 909/2014 a (EU) 2016/1011 (viz strana 1 v tomto čísle Úředního věstníku).

13

(14)  Nařízení Evropského parlamentu a Rady (ES) č. 725/2004 ze dne 31. března 2004 o zvýšení bezpečnosti lodí a přístavních zařízení (Úř. věst. L 129, 29.4.2004, s. 6).

14

(15)  Nařízení Evropského parlamentu a Rady (ES) č. 300/2008 ze dne 11. března 2008 o společných pravidlech v oblasti ochrany civilního letectví před protiprávními činy a o zrušení nařízení (ES) č. 2320/2002 (Úř. věst. L 97, 9.4.2008, s. 72).

15

(16)  Směrnice Evropského parlamentu a Rady 2005/65/ES ze dne 26. října 2005 o zvýšení zabezpečení přístavů (Úř. věst. L 310, 25.11.2005, s. 28).

16

(17)  Směrnice Evropského parlamentu a Rady 2008/96/ES ze dne 19. listopadu 2008 o řízení bezpečnosti silniční infrastruktury (Úř. věst. L 319, 29.11.2008, s. 59).

17

(18)  Rozhodnutí Komise ze dne 29. června 2018 o zřízení platformy EU pro bezpečnost cestujících v železniční dopravě 2018/C 232/03(Úř. věst. C 232, 3.7.2018, s. 10).

18

(19)  Rámcové rozhodnutí Rady 2009/315/SVV ze dne 26. února 2009 o organizaci a obsahu výměny informací z rejstříku trestů mezi členskými státy (Úř. věst. L 93, 7.4.2009, s. 23).

19

(20)  Nařízení Evropského parlamentu a Rady (EU) 2019/816 ze dne 17. dubna 2019, kterým se zřizuje centralizovaný systém pro identifikaci členských států, jež mají informace o odsouzeních státních příslušníků třetích zemí a osob bez státní příslušnosti (ECRIS-TCN), na doplnění Evropského informačního systému rejstříků trestů, a kterým se mění nařízení (EU) 2018/1726 (Úř. věst. L 135, 22.5.2019, s. 1).

20

(21)  Nařízení Evropského parlamentu a Rady (EU) 2018/1862 ze dne 28. listopadu 2018 o zřízení, provozu a využívání Schengenského informačního systému (SIS) v oblasti policejní spolupráce a justiční spolupráce v trestních věcech, o změně a o zrušení rozhodnutí Rady 2007/533/SVV a o zrušení nařízení Evropského parlamentu a Rady (ES) č. 1986/2006 a rozhodnutí Komise 2010/261/EU (Úř. věst. L 312, 7.12.2018, s. 56).

21

(22)  Rozhodnutí Evropského parlamentu a Rady č. 1313/2013/EU ze dne 17. prosince 2013 o mechanismu civilní ochrany Unie (Úř. věst. L 347, 20.12.2013, s. 924).

22

(23)  Nařízení Evropského parlamentu a Rady (EU) 2021/1149 ze dne 7. července 2021, kterým se zřizuje Fond pro vnitřní bezpečnost (Úř. věst. L 251, 15.7.2021, s. 94).

23

(24)  Nařízení Evropského parlamentu a Rady (EU) 2021/695 ze dne 28. dubna 2021, kterým se zavádí rámcový program pro výzkum a inovace Horizont Evropa a stanoví pravidla pro účast a šíření výsledků a zrušují nařízení (EU) č. 1290/2013 a (EU) č. 1291/2013 (Úř. věst. L 170, 12.5.2021, s. 1).

24

(25)  
  Úř. věst. L 123, 12.5.2016, s. 1.

25

(26)  Nařízení Evropského parlamentu a Rady (EU) č. 182/2011 ze dne 16. února 2011, kterým se stanoví pravidla a obecné zásady způsobu, jakým členské státy kontrolují Komisi při výkonu prováděcích pravomocí (Úř. věst. L 55, 28.2.2011, s. 13).

26

(27)  Nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (Úř. věst. L 295, 21.11.2018, s. 39).

27

(28)  Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. L 119, 4.5.2016, s. 1).

28

(29)  Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. L 201, 31.7.2002, s. 37).

29

(30)  Nařízení Evropského parlamentu a Rady (EU) č. 1025/2012 ze dne 25. října 2012 o evropské normalizaci, změně směrnic Rady 89/686/EHS a 93/15/EHS a směrnic Evropského parlamentu a Rady 94/9/ES, 94/25/ES, 95/16/ES, 97/23/ES, 98/34/ES, 2004/22/ES, 2007/23/ES, 2009/23/ES a 2009/105/ES, a kterým se ruší rozhodnutí Rady 87/95/EHS a rozhodnutí Evropského parlamentu a Rady č. 1673/2006/ES (Úř. věst. L 316, 14.11.2012, s. 12).

30

(31)  Doporučení Komise 2003/361/ES ze dne 6. května 2003 o definici mikropodniků, malých a středních podniků (Úř. věst. L 124, 20.5.2003, s. 36).

31

(32)  Směrnice Evropského parlamentu a Rady (EU) 2017/541 ze dne 15. března 2017 o boji proti terorismu, kterou se nahrazuje rámcové rozhodnutí Rady 2002/475/SVV a mění rozhodnutí Rady 2005/671/SVV (Úř. věst. L 88, 31.3.2017, s. 6).

32

(33)  Nařízení Evropského parlamentu a Rady (EU) 2017/1938 ze dne 25. října 2017 o opatřeních na zajištění bezpečnosti dodávek zemního plynu a o zrušení nařízení (EU) č. 994/2010 (Úř. věst. L 280, 28.10.2017, s. 1).

33

(34)  Nařízení Evropského parlamentu a Rady (EU) 2019/941 ze dne 5. června 2019 o rizikové připravenosti v odvětví elektroenergetiky a o zrušení směrnice 2005/89/ES (Úř. věst. L 158, 14.6.2019, s. 1).

34

(35)  Směrnice Evropského parlamentu a Rady 2007/60/ES ze dne 23. října 2007 o vyhodnocování a zvládání povodňových rizik (Úř. věst. L 288, 6.11.2007, s. 27).

35

(36)  Směrnice Evropského parlamentu a Rady 2012/18/EU ze dne 4. července 2012 o kontrole nebezpečí závažných havárií s přítomností nebezpečných látek a o změně a následném zrušení směrnice Rady 96/82/ES (Úř. věst. L 197, 24.7.2012, s. 1).

36

(37)  Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. L 119, 4.5.2016, s. 89).

37

---

PŘÍLOHA

Odvětví, pododvětví a kategorie subjektů

| Odvětví | Pododvětví | Kategorie subjektů |
| --- | --- | --- |
| 1. | Energetika |

Odvětví

Pododvětví

Kategorie subjektů

1.

Energetika

| a) | Elektřina |
| --- | --- |

a)

Elektřina

| — | Elektroenergetické podniky ve smyslu čl. 2 bodu 57 směrnice Evropského parlamentu a Rady (EU) 2019/944  (1), které zastávají funkci „dodávky“ ve smyslu čl. 2 bodu 12 uvedené směrnice |
| --- | --- |

—

Elektroenergetické podniky ve smyslu čl. 2 bodu 57 směrnice Evropského parlamentu a Rady (EU) 2019/944  (1), které zastávají funkci „dodávky“ ve smyslu čl. 2 bodu 12 uvedené směrnice

| — | Provozovatelé distribuční soustavy, ve smyslu čl. 2 bodu 29 směrnice (EU) 2019/944 |
| --- | --- |

—

Provozovatelé distribuční soustavy, ve smyslu čl. 2 bodu 29 směrnice (EU) 2019/944

| — | Provozovatelé přenosové soustavy ve smyslu čl. 2 bodu 35 směrnice (EU) 2019/944 |
| --- | --- |

—

Provozovatelé přenosové soustavy ve smyslu čl. 2 bodu 35 směrnice (EU) 2019/944

| — | Výrobci ve smyslu čl. 2 bodu 38 směrnice (EU) 2019/944 |
| --- | --- |

—

Výrobci ve smyslu čl. 2 bodu 38 směrnice (EU) 2019/944

| — | Nominovaní organizátoři trhu s elektřinou ve smyslu čl. 2 bodu 8 nařízení Evropského parlamentu a Rady (EU) 2019/943 (2) |
| --- | --- |

—

Nominovaní organizátoři trhu s elektřinou ve smyslu čl. 2 bodu 8 nařízení Evropského parlamentu a Rady (EU) 2019/943 (2)

| — | Účastníci trhu s elektřinou ve smyslu čl. 2 bodu 25 nařízení (EU) 2019/943 vykonávající služby agregace nebo jsou provozovatelem odezvy strany poptávky nebo provozovatelem ukládání energie ve smyslu čl. 2 bodů 18, 20 a 59 směrnice (EU) 2019/944 |
| --- | --- |

—

Účastníci trhu s elektřinou ve smyslu čl. 2 bodu 25 nařízení (EU) 2019/943 vykonávající služby agregace nebo jsou provozovatelem odezvy strany poptávky nebo provozovatelem ukládání energie ve smyslu čl. 2 bodů 18, 20 a 59 směrnice (EU) 2019/944

| b) | Dálkové vytápění a chlazení |
| --- | --- |

b)

Dálkové vytápění a chlazení

| — | Provozovatelé dálkového vytápění nebo dálkového chlazení ve smyslu čl. 2 bodu 19 směrnice Evropského parlamentu a Rady (EU) 2018/2001 (3) |
| --- | --- |

—

Provozovatelé dálkového vytápění nebo dálkového chlazení ve smyslu čl. 2 bodu 19 směrnice Evropského parlamentu a Rady (EU) 2018/2001 (3)

| c) | Ropa |
| --- | --- |

c)

Ropa

| — | Provozovatelé ropovodů |
| --- | --- |

—

Provozovatelé ropovodů

| — | Provozovatelé zařízení na těžbu, rafinaci a zpracování ropy a skladovacích a přenosových zařízení |
| --- | --- |

—

Provozovatelé zařízení na těžbu, rafinaci a zpracování ropy a skladovacích a přenosových zařízení

| — | Ústřední správci zásob ve smyslu čl. 2 písm. f) směrnice Rady 2009/119/ES (4) |
| --- | --- |

—

Ústřední správci zásob ve smyslu čl. 2 písm. f) směrnice Rady 2009/119/ES (4)

| d) | Zemní plyn |
| --- | --- |

d)

Zemní plyn

| — | Dodavatelské podniky ve smyslu čl. 2 bodu 8 směrnice Evropského parlamentu a Rady 2009/73/ES (5) |
| --- | --- |

—

Dodavatelské podniky ve smyslu čl. 2 bodu 8 směrnice Evropského parlamentu a Rady 2009/73/ES (5)

| — | Provozovatelé distribuční soustavy ve smyslu čl. 2 bodu 6 směrnice 2009/73/ES |
| --- | --- |

—

Provozovatelé distribuční soustavy ve smyslu čl. 2 bodu 6 směrnice 2009/73/ES

| — | Provozovatelé přenosové soustavy ve smyslu čl. 2 bodu 4 směrnice 2009/73/ES |
| --- | --- |

—

Provozovatelé přenosové soustavy ve smyslu čl. 2 bodu 4 směrnice 2009/73/ES

| — | Provozovatelé uskladňovací soustavy ve smyslu čl. 2 bodu 10 směrnice 2009/73/ES |
| --- | --- |

—

Provozovatelé uskladňovací soustavy ve smyslu čl. 2 bodu 10 směrnice 2009/73/ES

| — | Provozovatelé zařízení LNG ve smyslu čl. 2 bodu 12 směrnice 2009/73/ES |
| --- | --- |

—

Provozovatelé zařízení LNG ve smyslu čl. 2 bodu 12 směrnice 2009/73/ES

| — | Plynárenské podniky ve smyslu čl. 2 bodu 1 směrnice 2009/73/ES |
| --- | --- |

—

Plynárenské podniky ve smyslu čl. 2 bodu 1 směrnice 2009/73/ES

| — | Provozovatelé zařízení na rafinaci a zpracování zemního plynu |
| --- | --- |

—

Provozovatelé zařízení na rafinaci a zpracování zemního plynu

| e) | Vodík |
| --- | --- |

e)

Vodík

| — | Provozovatelé výroby, uchovávání a přepravy vodíku |
| --- | --- |

—

Provozovatelé výroby, uchovávání a přepravy vodíku

| 2. | Doprava |
| --- | --- |

2.

Doprava

| a) | Letecká doprava |
| --- | --- |

a)

Letecká doprava

| — | Letečtí dopravci ve smyslu čl. 3 bodu 4 nařízení (ES) č. 300/2008 využívaní ke komerčním účelům |
| --- | --- |

—

Letečtí dopravci ve smyslu čl. 3 bodu 4 nařízení (ES) č. 300/2008 využívaní ke komerčním účelům

| — | Řídící orgány letišť ve smyslu čl. 2 bodu 2 směrnice Evropského parlamentu a Rady 2009/12/ES (6), letiště ve smyslu čl. 2 bodu 1 uvedené směrnice, včetně hlavních letišť uvedených v příloze II, části 2 nařízení Evropského parlamentu a Rady (EU) č. 1315/2013 (7); a subjekty provozující pomocná zařízení v rámci letišť |
| --- | --- |

—

Řídící orgány letišť ve smyslu čl. 2 bodu 2 směrnice Evropského parlamentu a Rady 2009/12/ES (6), letiště ve smyslu čl. 2 bodu 1 uvedené směrnice, včetně hlavních letišť uvedených v příloze II, části 2 nařízení Evropského parlamentu a Rady (EU) č. 1315/2013 (7); a subjekty provozující pomocná zařízení v rámci letišť

| — | Provozovatelé kontroly řízení provozu poskytující služby řízení letového provozu ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (ES) č. 549/2004 (8) |
| --- | --- |

—

Provozovatelé kontroly řízení provozu poskytující služby řízení letového provozu ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady (ES) č. 549/2004 (8)

| b) | Železniční doprava |
| --- | --- |

b)

Železniční doprava

| — | Provozovatelé infrastruktury ve smyslu čl. 3 bodu 2 směrnice Evropského parlamentu a Rady 2012/34/EU (9) |
| --- | --- |

—

Provozovatelé infrastruktury ve smyslu čl. 3 bodu 2 směrnice Evropského parlamentu a Rady 2012/34/EU (9)

| — | Železniční podniky ve smyslu čl. 3 bodu 1 směrnice 2012/34/EU a provozovatelé zařízení služeb ve smyslu čl. 3 bodu 12 směrnice 2012/34/EU |
| --- | --- |

—

Železniční podniky ve smyslu čl. 3 bodu 1 směrnice 2012/34/EU a provozovatelé zařízení služeb ve smyslu čl. 3 bodu 12 směrnice 2012/34/EU

| c) | Vodní doprava |
| --- | --- |

c)

Vodní doprava

| — | Společnosti vnitrozemské, námořní a pobřežní osobní a nákladní vodní dopravy, jak jsou vymezeny pro námořní dopravu v příloze I nařízení (ES) č. 725/2004, kromě jednotlivých plavidel provozovaných těmito podniky |
| --- | --- |

—

Společnosti vnitrozemské, námořní a pobřežní osobní a nákladní vodní dopravy, jak jsou vymezeny pro námořní dopravu v příloze I nařízení (ES) č. 725/2004, kromě jednotlivých plavidel provozovaných těmito podniky

| — | Řídící orgány přístavů ve smyslu čl. 3 bodu 1 směrnice 2005/65/ES, včetně jejich přístavních zařízení ve smyslu čl. 2 bodu 11 nařízení (ES) č. 725/2004; a subjekty provozující díla a zařízení v rámci přístavů |
| --- | --- |

—

Řídící orgány přístavů ve smyslu čl. 3 bodu 1 směrnice 2005/65/ES, včetně jejich přístavních zařízení ve smyslu čl. 2 bodu 11 nařízení (ES) č. 725/2004; a subjekty provozující díla a zařízení v rámci přístavů

| — | Provozovatelé služeb lodní dopravě (VTS) ve smyslu čl. 3 písm. o) směrnice Evropského parlamentu a Rady 2002/59/ES (10) |
| --- | --- |

—

Provozovatelé služeb lodní dopravě (VTS) ve smyslu čl. 3 písm. o) směrnice Evropského parlamentu a Rady 2002/59/ES (10)

| d) | Silniční doprava |
| --- | --- |

d)

Silniční doprava

| — | Silniční orgány ve smyslu čl. 2 bodu 12 nařízení Komise v přenesené pravomoci (EU) 2015/962 (11) odpovědné za kontrolu řízení provozu, s výjimkou veřejných subjektů, pro něž je řízení provozu nebo provozování inteligentních dopravních systémů nepodstatnou součástí jejich obecné činnosti |
| --- | --- |

—

Silniční orgány ve smyslu čl. 2 bodu 12 nařízení Komise v přenesené pravomoci (EU) 2015/962 (11) odpovědné za kontrolu řízení provozu, s výjimkou veřejných subjektů, pro něž je řízení provozu nebo provozování inteligentních dopravních systémů nepodstatnou součástí jejich obecné činnosti

| — | Provozovatelé inteligentních dopravních systémů ve smyslu čl. 4 bodu 1 směrnice Evropského parlamentu a Rady 2010/40/EU (12) |
| --- | --- |

—

Provozovatelé inteligentních dopravních systémů ve smyslu čl. 4 bodu 1 směrnice Evropského parlamentu a Rady 2010/40/EU (12)

| e) | Veřejná přeprava |
| --- | --- |

e)

Veřejná přeprava

| — | Provozovatelé veřejných služeb ve smyslu čl. 2 písm. d) nařízení Evropského parlamentu a Rady (ES) č. 1370/2007 (13) |
| --- | --- |

—

Provozovatelé veřejných služeb ve smyslu čl. 2 písm. d) nařízení Evropského parlamentu a Rady (ES) č. 1370/2007 (13)

| 3. | Bankovnictví |
| --- | --- |

3.

Bankovnictví

| — | Úvěrové instituce ve smyslu čl. 4 bodu 1 nařízení (EU) č. 575/2013 |
| --- | --- |

—

Úvěrové instituce ve smyslu čl. 4 bodu 1 nařízení (EU) č. 575/2013

| 4. | Infrastruktura finančních trhů |
| --- | --- |

4.

Infrastruktura finančních trhů

| — | Provozovatelé obchodních systémů ve smyslu čl. 4 bodu 24 směrnice 2014/65/EU |
| --- | --- |

—

Provozovatelé obchodních systémů ve smyslu čl. 4 bodu 24 směrnice 2014/65/EU

| — | Ústřední protistrany ve smyslu čl. 2 bodu 1 nařízení (EU) č. 648/2012 |
| --- | --- |

—

Ústřední protistrany ve smyslu čl. 2 bodu 1 nařízení (EU) č. 648/2012

| 5. | Zdraví |
| --- | --- |

5.

Zdraví

| — | Poskytovatelé zdravotní péče ve smyslu čl. 3 písm. g) směrnice Evropského parlamentu a Rady 2011/24/EU (14) |
| --- | --- |

—

Poskytovatelé zdravotní péče ve smyslu čl. 3 písm. g) směrnice Evropského parlamentu a Rady 2011/24/EU (14)

| — | Referenční laboratoře EU ve smyslu článku 15 nařízení Evropského parlamentu a Rady (EU) 2022/2371 (15) |
| --- | --- |

—

Referenční laboratoře EU ve smyslu článku 15 nařízení Evropského parlamentu a Rady (EU) 2022/2371 (15)

| — | Subjekty provádějící činnosti v oblasti výzkumu a vývoje léčivých přípravků ve smyslu čl. 1 bodu 2 směrnice Evropského parlamentu a Rady 2001/83/ES (16) |
| --- | --- |

—

Subjekty provádějící činnosti v oblasti výzkumu a vývoje léčivých přípravků ve smyslu čl. 1 bodu 2 směrnice Evropského parlamentu a Rady 2001/83/ES (16)

| — | Subjekty vyrábějící základní farmaceutické výrobky a přípravky ve smyslu sekce C oddílu 21 NACE Rev. 2 |
| --- | --- |

—

Subjekty vyrábějící základní farmaceutické výrobky a přípravky ve smyslu sekce C oddílu 21 NACE Rev. 2

| — | Subjekty vyrábějící zdravotnické prostředky považované za kriticky důležité v průběhu mimořádné situace v oblasti veřejného zdraví (uvedené na „seznamu kriticky důležitých zdravotnických prostředků při mimořádné situaci v oblasti veřejného zdraví“) ve smyslu článku 22 nařízení Evropského parlamentu a Rady (EU) 2022/123 (17) |
| --- | --- |

—

Subjekty vyrábějící zdravotnické prostředky považované za kriticky důležité v průběhu mimořádné situace v oblasti veřejného zdraví (uvedené na „seznamu kriticky důležitých zdravotnických prostředků při mimořádné situaci v oblasti veřejného zdraví“) ve smyslu článku 22 nařízení Evropského parlamentu a Rady (EU) 2022/123 (17)

| — | Subjekty, které jsou držiteli povolení distribuce ve smyslu článku 79 směrnice 2001/83/ES |
| --- | --- |

—

Subjekty, které jsou držiteli povolení distribuce ve smyslu článku 79 směrnice 2001/83/ES

| 6. | Pitná voda |
| --- | --- |

6.

Pitná voda

| — | Dodavatelé a distributoři vody určené k lidské spotřebě ve smyslu čl. 2 bodu 1 písm. a) směrnice Evropského parlamentu a Rady (EU) 2020/2184 (18), s výjimkou distributorů, pro něž není distribuce vody určené k lidské spotřebě podstatnou částí jejich obecné činnosti spočívající v distribuci jiných komodit a zboží |
| --- | --- |

—

Dodavatelé a distributoři vody určené k lidské spotřebě ve smyslu čl. 2 bodu 1 písm. a) směrnice Evropského parlamentu a Rady (EU) 2020/2184 (18), s výjimkou distributorů, pro něž není distribuce vody určené k lidské spotřebě podstatnou částí jejich obecné činnosti spočívající v distribuci jiných komodit a zboží

| 7. | Odpadní voda |
| --- | --- |

7.

Odpadní voda

| — | Podniky zajišťující odvádění, vypouštění nebo čištění městských odpadních vod, splašků nebo průmyslových odpadních vod ve smyslu čl. 2 bodů 1, 2 a 3 směrnice Rady 91/271/EHS (19), s vyloučením podniků, pro něž je odvádění, vypouštění nebo čištění městských odpadních vod, splašků nebo průmyslových odpadních vod nepodstatnou částí jejich obecné činnosti |
| --- | --- |

—

Podniky zajišťující odvádění, vypouštění nebo čištění městských odpadních vod, splašků nebo průmyslových odpadních vod ve smyslu čl. 2 bodů 1, 2 a 3 směrnice Rady 91/271/EHS (19), s vyloučením podniků, pro něž je odvádění, vypouštění nebo čištění městských odpadních vod, splašků nebo průmyslových odpadních vod nepodstatnou částí jejich obecné činnosti

| 8. | Digitální infrastruktura |
| --- | --- |

8.

Digitální infrastruktura

| — | Poskytovatelé výměnných uzlů internetu ve smyslu čl. 6 bodu 18 směrnice (EU) 2022/2555 |
| --- | --- |

—

Poskytovatelé výměnných uzlů internetu ve smyslu čl. 6 bodu 18 směrnice (EU) 2022/2555

| — | Provozovatelé služeb systému překladu jmen domén ve smyslu čl. 6 bodu 20 směrnice (EU) 2022/2555 s výjimkou provozovatelů kořenových jmenných serverů |
| --- | --- |

—

Provozovatelé služeb systému překladu jmen domén ve smyslu čl. 6 bodu 20 směrnice (EU) 2022/2555 s výjimkou provozovatelů kořenových jmenných serverů

| — | Registry domén nejvyšší úrovně ve smyslu čl. 6 bodu 21 směrnice (EU) 2022/2555 |
| --- | --- |

—

Registry domén nejvyšší úrovně ve smyslu čl. 6 bodu 21 směrnice (EU) 2022/2555

| — | Poskytovatelé služeb cloud computingu ve smyslu čl. 6 bodu 30 směrnice (EU) 2022/2555 |
| --- | --- |

—

Poskytovatelé služeb cloud computingu ve smyslu čl. 6 bodu 30 směrnice (EU) 2022/2555

| — | Poskytovatelé služeb datového centra ve smyslu čl. 6 bodu 31 směrnice (EU) 2022/2555 |
| --- | --- |

—

Poskytovatelé služeb datového centra ve smyslu čl. 6 bodu 31 směrnice (EU) 2022/2555

| — | Poskytovatelé sítí pro doručování obsahu ve smyslu čl. 6 bodu 32 směrnice (EU) 2022/2555 |
| --- | --- |

—

Poskytovatelé sítí pro doručování obsahu ve smyslu čl. 6 bodu 32 směrnice (EU) 2022/2555

| — | Poskytovatelé služeb vytvářejících důvěru ve smyslu čl. 3 bodu 19 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 (20) |
| --- | --- |

—

Poskytovatelé služeb vytvářejících důvěru ve smyslu čl. 3 bodu 19 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 (20)

| — | Poskytovatelé veřejné sítě elektronických komunikací ve smyslu čl. 2 bodu 8 směrnice Evropského parlamentu a Rady (EU) 2018/1972 (21) |
| --- | --- |

—

Poskytovatelé veřejné sítě elektronických komunikací ve smyslu čl. 2 bodu 8 směrnice Evropského parlamentu a Rady (EU) 2018/1972 (21)

| — | Poskytovatelé služeb elektronických komunikací ve smyslu čl. 2 bodu 4 směrnice (EU) 2018/1972 v rozsahu, v němž jsou jejich služby veřejně dostupné |
| --- | --- |

—

Poskytovatelé služeb elektronických komunikací ve smyslu čl. 2 bodu 4 směrnice (EU) 2018/1972 v rozsahu, v němž jsou jejich služby veřejně dostupné

| 9. | Subjekty veřejné správy |
| --- | --- |

9.

Subjekty veřejné správy

| — | Subjekty veřejné správy ústředních vlád vymezené členskými státy v souladu s vnitrostátním právem |
| --- | --- |

—

Subjekty veřejné správy ústředních vlád vymezené členskými státy v souladu s vnitrostátním právem

| 10. | Vesmír |
| --- | --- |

10.

Vesmír

| — | Provozovatelé pozemních infrastruktur vlastněných, spravovaných a provozovaných členskými státy nebo soukromými subjekty a podporujících poskytování služeb využívajících kosmického prostoru, s výjimkou poskytovatelů veřejných sítí elektronických komunikací ve smyslu čl. 2 bodu 8 směrnice (EU) 2018/1972 |
| --- | --- |

—

Provozovatelé pozemních infrastruktur vlastněných, spravovaných a provozovaných členskými státy nebo soukromými subjekty a podporujících poskytování služeb využívajících kosmického prostoru, s výjimkou poskytovatelů veřejných sítí elektronických komunikací ve smyslu čl. 2 bodu 8 směrnice (EU) 2018/1972

| 11. | Výroba, zpracování a distribuce potravin |
| --- | --- |

11.

Výroba, zpracování a distribuce potravin

| — | Potravinářské podniky ve smyslu čl. 3 bodu 2 nařízení Evropského parlamentu a Rady (ES) č. 178/2002 (22), které se zabývají výhradně logistickou a velkoobchodní distribucí a rozsáhlou průmyslovou výrobou a zpracováním |
| --- | --- |

—

Potravinářské podniky ve smyslu čl. 3 bodu 2 nařízení Evropského parlamentu a Rady (ES) č. 178/2002 (22), které se zabývají výhradně logistickou a velkoobchodní distribucí a rozsáhlou průmyslovou výrobou a zpracováním

---

(1)  Směrnice Evropského parlamentu a Rady (EU) 2019/944 ze dne 5. června 2019 o společných pravidlech pro vnitřní trh s elektřinou a o změně směrnice 2012/27/EU (Úř. věst. L 158, 14.6.2019, s. 125).

(2)  Nařízení Evropského parlamentu a Rady (EU) 2019/943 ze dne 5. června 2019 o vnitřním trhu s elektřinou (Úř. věst. L 158, 14.6.2019, s. 54).

(3)  Směrnice Evropského parlamentu a Rady (EU) 2018/2001 ze dne 11. prosince 2018 o podpoře využívání energie z obnovitelných zdrojů (Úř. věst. L 328, 21.12.2018, s. 82).

(4)  Směrnice Rady 2009/119/ES ze dne 14. září 2009, kterou se členským státům ukládá povinnost udržovat minimální zásoby ropy nebo ropných produktů (Úř. věst. L 265, 9.10.2009, s. 9).

(5)  Směrnice Evropského parlamentu a Rady 2009/73/ES ze dne 13. července 2009 o společných pravidlech pro vnitřní trh se zemním plynem a o zrušení směrnice 2003/55/ES (Úř. věst. L 211, 14.8.2009, s. 94).

(6)  Směrnice Evropského parlamentu a Rady 2009/12/ES ze dne 11. března 2009 o letištních poplatcích (Úř. věst. L 70, 14.3.2009, s. 11).

(7)  Nařízení Evropského parlamentu a Rady (ES) č. 1315/2013 ze dne 11. prosince 2013 o hlavních směrech Unie pro rozvoj transevropské dopravní sítě a o zrušení rozhodnutí č. 661/2010/EU (Úř. věst. L 348, 20.12.2013, s. 1).

(8)  Nařízení Evropského parlamentu a Rady (ES) č. 549/2004 ze dne 10. března 2004, kterým se stanoví rámec pro vytvoření jednotného evropského nebe (rámcové nařízení) (Úř. věst. L 96, 31.3.2004, s. 1).

(9)  Směrnice Evropského parlamentu a Rady 2012/34/EU ze dne 21. listopadu 2012 o vytvoření jednotného evropského železničního prostoru (Úř. věst. L 343, 14.12.2012, s. 32).

(10)  Směrnice Evropského parlamentu a Rady 2002/59/ES ze dne 27. června 2002, kterou se stanoví kontrolní a informační systém Společenství pro provoz plavidel a kterou se zrušuje směrnice Rady 93/75/EHS (Úř. věst. L 208, 5.8.2002, s. 10).

(11)  Nařízení Komise v přenesené pravomoci (EU) 2015/962 ze dne 18. prosince 2014, kterým se doplňuje směrnice Evropského parlamentu a Rady 2010/40/EU, pokud jde o poskytování informačních služeb o dopravním provozu v reálném čase v celé EU (Úř. věst. L 157, 23.6.2015, s. 21).

(12)  Směrnice Evropského parlamentu a Rady 2010/40/EU ze dne 7. července 2010 o rámci pro zavedení inteligentních dopravních systémů v oblasti silniční dopravy a pro rozhraní s jinými druhy dopravy (Úř. věst. L 207, 6.8.2010, s. 1).

(13)  Nařízení Evropského parlamentu a Rady (ES) č. 1370/2007 ze dne 23. října 2007 o veřejných službách v přepravě cestujících po železnici a silnici a o zrušení nařízení Rady (EHS) č. 1191/69 a č. 1107/70 (Úř. věst. L 315, 3.12.2007, s. 1).

(14)  Směrnice Evropského parlamentu a Rady 2011/24/EU ze dne 9. března 2011 o uplatňování práv pacientů v přeshraniční zdravotní péči (Úř. věst. L 88, 4.4.2011, s. 45).

(15)  Nařízení Evropského parlamentu a Rady (EU) 2022/2371 ze dne 23. listopadu 2022 o vážných přeshraničních zdravotních hrozbách a o zrušení rozhodnutí č. 1082/2013/EU (Úř. věst. L 314, 6.12.2022, s. 26).

(16)  Směrnice Evropského parlamentu a Rady 2001/83/ES ze dne 6. listopadu 2001 o kodexu Společenství týkajícím se humánních léčivých přípravků (Úř. věst. L 311, 28.11.2001, s. 67).

(17)  Nařízení Evropského parlamentu a Rady (EU) 2022/123 ze dne 25. ledna 2022 o posílené úloze Evropské agentury pro léčivé přípravky při připravenosti na krize a krizovém řízení v oblasti léčivých přípravků a zdravotnických prostředků (Úř. věst. L 20, 31.1.2022, s. 1).

(18)  Směrnice Evropského parlamentu a Rady (EU) 2020/2184 ze dne 16. prosince 2020 o jakosti vody určené k lidské spotřebě (Úř. věst. L 435, 23.12.2020, s. 1).

(19)  Směrnice Rady 91/271/EHS ze dne 21. května 1991 o čištění městských odpadních vod (Úř. věst. L 135, 30.5.1991, s. 40).

(20)  Nařízení Evropského parlamentu a Rady (EU) č. 910/2014 ze dne 23. července 2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES (Úř. věst. L 257, 28.8.2014, s. 73).

(21)  Směrnice Evropského parlamentu a Rady (EU) 2018/1972 ze dne 11. prosince 2018, kterou se stanoví evropský kodex pro elektronické komunikace (Úř. věst. L 321, 17.12.2018, s. 36).

(22)  Nařízení Evropského parlamentu a Rady (ES) č. 178/2002 ze dne 28. ledna 2002, kterým se stanoví obecné zásady a požadavky potravinového práva, zřizuje se Evropský úřad pro bezpečnost potravin a stanoví postupy týkající se bezpečnosti potravin (Úř. věst. L 31, 1.2.2002, s. 1).

---