CS Úřední věstník Evropské unie C 352/4

STANOVISKO EVROPSKÉ CENTRÁLNÍ BANKY

ze dne 25. července 2014

k návrhu směrnice Evropského parlamentu a Rady o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informací v Unii

(CON/2014/58)

2014/C 352/04

Úvod a právní základ

Dne 7. února 2013 zveřejnila Evropská komise návrh směrnice o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informací v Unii (1) (dále jen „navrhovaná směrnice“).

ECB se rozhodla vydat k navrhované směrnici stanovisko z vlastního podnětu, jelikož normotvůrci Evropskou centrální banku (ECB) formálně nekonzultovali. Pravomoc ECB zaujmout stanovisko je založena na čl. 127 odst. 4 a čl. 282 odst. 5 Smlouvy o fungování Evropské unie, jelikož navrhovaná směrnice obsahuje ustanovení, která mají vliv na úkol Evropského systému centrálních bank (ESCB) podporovat plynulé fungování platebních systémů, jak je uvedeno ve čtvrté odrážce čl. 127 odst. 2 Smlouvy. Článek 22 statutu Evropského systému centrálních bank a Evropské centrální banky (dále jen „statut ESCB“) kromě toho stanoví, že ECB a národní centrální banky mohou poskytovat facility a ECB může vydávat nařízení proto, aby byly zajištěny účinné a spolehlivé zúčtovací a platební mechanismy uvnitř Unie a ve styku se třetími zeměmi. V souladu s čl. 17.5 první větou jednacího řádu Evropské centrální banky přijala toto stanovisko Rada guvernérů.

1. Účel navrhované směrnice

1.1 Cílem navrhované směrnice je zajistit vysokou společnou úroveň bezpečnosti sítí a informací zvýšením bezpečnosti internetu a sítí a informačních systémů, na nichž je postaveno fungování naší společnosti a hospodářství. Tento návrh je hlavním opatřením evropské strategie pro kybernetickou bezpečnost (2).

1.2 Sítě a informační systémy hrají zásadní roli při usnadňování přeshraničního pohybu zboží, služeb a osob. Vzhledem k tomuto nadnárodnímu rozměru se může narušení těchto systémů v jednom členském státě dotknout dalších členských států i celé Unie. Pravděpodobnost častého výskytu bezpečnostních incidentů a nemožnost zajistit účinnou ochranu navíc podrývají důvěru veřejnosti v bezpečnost sítí a informací. Odolnost a stabilita sítí a informačních systémů je proto zásadním předpokladem pro hladké fungování vnitřního trhu.

1.3 Navrhovaná směrnice navazuje na předcházející iniciativy v této oblasti (3). V této souvislosti navrhovaná směrnice uznává potřebu harmonizovat pravidla týkající se bezpečnosti sítí a informací a vytvořit účinné mechanismy spolupráce mezi členskými státy.

1.4 Navrhovaná směrnice zavádí společný právní rámec Unie pro bezpečnost sítí a informací, pokud jde o kapacity členských států, mechanismy spolupráce na úrovni Unie a povinnosti orgánů veřejné správy a subjektů soukromého sektoru v konkrétních klíčových odvětvích. To by mělo zajistit odpovídající připravenost na vnitrostátní úrovni a přispět k vytvoření vzájemné důvěry, která je předpokladem efektivní spolupráce na úrovni Unie. Nastavení mechanismů spolupráce na úrovni Unie prostřednictvím sítě umožní předcházet přeshraničním rizikům a narušení bezpečnosti sítí a informací a reagovat na ně jednotným a koordinovaným způsobem.

1.5 Předmětem hlavních ustanovení je: a) požadavek, aby všechny členské státy zajistily alespoň minimální úroveň vnitrostátních kapacit ustavením orgánů odpovědných za bezpečnost sítí a informací, zřízením skupin pro reakci na počítačové hrozby (CERT) a přijetím národní strategie a plánu spolupráce pro bezpečnost sítí a informací; b) povinná výměna informací mezi členskými státy v rámci sítě a vytvoření celoevropského plánu spolupráce v oblasti bezpečnosti sítí a informací a koordinovaná včasná varování o incidentech v oblasti kybernetické bezpečnosti; c) po vzoru směrnice Evropského parlamentu a Rady 2002/21/ES (4) zajistit rozvoj určité kultury řízení rizik a sdílení informací mezi soukromým a veřejným sektorem. Podniky v konkrétních klíčových odvětvích a orgány veřejné správy budou povinny posuzovat rizika, jimž čelí, a přijímat odpovídající a přiměřená opatření k zajištění bezpečnosti sítí a informací. Rovněž budou povinny odpovědným orgánům podávat zprávy o všech incidentech, které vážně ohrožují jejich sítě a informační systémy a které mají významný dopad na kontinuitu klíčových služeb a dodávek zboží.

2. Obecné připomínky

2.1 ECB podporuje cíl navrhované směrnice, kterým je zajistit vysokou společnou úroveň bezpečnosti sítí a informací v Unii a dosáhnout v této oblasti jednotný přístup v různých odvětvích a členských státech. Je důležité zajistit, aby vnitřní trh byl bezpečným prostorem pro podnikání a aby všechny členské státy zabezpečily určitou minimální míru připravenosti pro případ incidentů v oblasti kybernetické bezpečnosti.

2.2 ECB má však za to, že navrhovanou směrnicí by neměl být dotčen stávající režim dozoru Eurosystému nad platebními a vypořádacími systémy (5), jenž zahrnuje příslušná opatření mimo jiné v oblasti bezpečnosti sítí a informací. Je třeba poznamenat, že v zájmu podpory plynulého fungování platebních systémů a s cílem přispět k zachování důvěry v euro a fungování hospodářství Unie má ECB zvláštní zájem na zvýšené bezpečnosti platebních a vypořádacích (6) systémů.

2.3 Hodnocení bezpečnostních opatření a oznamování incidentů ve vztahu k platebním a vypořádacím systémům a poskytovatelům platebních služeb je jednou z hlavních kompetencí orgánů obezřetnostního dohledu a centrálních bank. Odpovědnost za vytváření dozorových požadavků ve výše uvedených oblastech by proto měly mít i nadále tyto orgány a platební a vypořádací systémy a poskytovatelé platebních služeb by neměly podléhat potenciálně protichůdným požadavkům ukládaným jinými vnitrostátními orgány. Navíc požadavky na řízení rizik včetně bezpečnostních požadavků ve vztahu k platebním a vypořádacím systémům a ostatním tržním infrastrukturám eurozóny stanoví Eurosystém, který sestává z ECB a národních centrálních bank těch členských států, které přijaly euro. Prostřednictvím této dozorové funkce Eurosystém usiluje o zajištění plynulého fungování platebních a vypořádacích systémů, mj. uplatňováním příslušných standardů dozoru a minimálních požadavků. Navrhovaná směrnice by měla zohledňovat již zavedený dozorový rámec a zajistit konzistentnost regulace v Unii.

3. Konkrétní připomínky

3.1 Podle 5. bodu odůvodnění a článku 1 navrhované směrnice se příslušné povinnosti, mechanismus spolupráce a bezpečnostní požadavky vztahují na všechny orgány veřejné správy a hospodářské subjekty. Stávající znění 5. bodu odůvodnění a článku 1 nezohledňuje mandát Eurosystému k výkonu dozoru nad platebními a vypořádacími systémy, který je zakotven ve Smlouvě. Navrhovaná směrnice by proto měla být změněna tak, aby náležitě odrážela úkoly Eurosystému v této oblasti.

3.2 Opatření a postupy, na základě kterých centrální banky a další příslušné orgány vykonávají dozor nad platebními systémy a systémy vypořádání obchodů s cennými papíry, jsou obsaženy v řadě směrnic a nařízení Unie, zejména: a) směrnici Evropského parlamentu a Rady 98/26/ES (dále jen „směrnice o neodvolatelnosti zúčtování“) (7), podle níž mohou příslušné orgány členských států podřídit platební a vypořádací systémy spadající do jejich pravomoci požadavkům dohledu (8); b) nařízení Evropského parlamentu a Rady (EU) č. 648/2012 (9) (dále jen „nařízení o infrastruktuře evropských trhů“ (EMIR)), které uznává úlohu Evropského orgánu pro cenné papíry a trhy (ESMA), Evropského orgánu pro bankovnictví (EBA) a ESCB při tvorbě regulačních standardů a dohledu nad ústředními protistranami, a c) návrhu nařízení o zlepšení vypořádání obchodů s cennými papíry v Evropské unii a centrálních depozitářích cenných papírů a o změně směrnice 98/26/ES (10) (dále jen „nařízení o centrálních depozitářích cenných papírů“), který vyžaduje, aby příslušným orgánům byly svěřeny dohledové a vyšetřovací pravomoci, a zejména článek 45 uvedeného nařízení, který zavádí obezřetnostní požadavky na centrální depozitáře, včetně důležitých ustanovení týkajících se snižování operačního rizika.

3.3 Dále je třeba poznamenat, že pro účely výkonu dozoru Eurosystému nad všemi druhy infrastruktur finančního trhu Rada guvernérů ECB dne 3. června 2013 přijala zásady pro infrastruktury finančního trhu, které v dubnu 2012 vydal Výbor pro platební a zúčtovací systémy (CPSS) Banky pro mezinárodní platby (BIS) a technický výbor Mezinárodní organizace komisí pro cenné papíry (IOSCO) (11). Následně na to proběhla veřejná konzultace k návrhu nařízení o požadavcích v oblasti dozoru nad systémově významnými platebními systémy (12). Nařízení o požadavcích v oblasti dozoru nad systémově významnými platebními systémy provádí právně závazným způsobem zásady CPSS-IOSCO a vztahuje se na systémově významné platební systémy pro velké i malé platby, ať už jsou provozovány národními centrálními bankami Eurosystému nebo soukromými subjekty.

3.4 Existující opatření v oblasti dozoru (13) nad platebními systémy a poskytovateli platebních služeb již zahrnují postupy týkající se včasných varování (14) a koordinovaných reakcí (15) v rámci Eurosystému i mimo něj s cílem řešit možné hrozby v oblasti kybernetické bezpečnosti, které jsou rovnocenné postupům stanoveným v článcích 10 a 11 navrhované směrnice.

3.5 ESCB stanovil normy týkající se povinnosti podávání zpráv a řízení rizik pro platební systémy. ECB navíc pravidelně hodnotí systémy vypořádání obchodů s cennými papíry pro účely stanovení jejich způsobilosti pro použití v úvěrových operacích Eurosystému. ECB proto považuje za nezbytné, aby požadavky navrhované směrnice, které se dotýkají klíčových tržních infrastruktur a jejich provozovatelů (16), neměly vliv na standardy v nařízení o požadavcích v oblasti dozoru nad systémově významnými platebními systémy, rámec politiky Eurosystému v oblasti dozoru nebo další nařízení Unie, zejména nařízení o infrastruktuře evropských trhů (EMIR) a budoucí nařízení o centrálních depozitářích cenných papírů. Kromě toho by neměly zasahovat do úkolů orgánu EBA nebo ESMA a ostatních orgánů obezřetnostního dohledu (17).

3.6 Bez ohledu na výše uvedené se ECB domnívá, že existuje závažný důvod pro to, aby si Eurosystém vyměňoval příslušné informace s Výborem pro bezpečnost sítí a informací, který má být zřízen podle článku 19 navrhované směrnice. Pro účely účinné výměny informací, která se může stát nezbytnou, by ECB, EBA a ESMA měly mít možnost vyslat zástupce na zasedání Výboru pro bezpečnost sítí a informací v souvislosti s body programu, které by mohly mít význam pro výkon jejich příslušných mandátů.

Ve Frankfurtu nad Mohanem dne 25. července 2014. Prezident ECB Mario DRAGHI

(1) COM(2013) 48 final.

(2) Viz společné sdělení Evropskému parlamentu, Radě, Evropskému hospodářskému a sociálnímu výboru a Výboru regionů s názvem „Strategie kybernetické bezpečnosti Evropské unie: otevřený, bezpečný a chráněný kyberprostor“, JOIN(2013) 1 final.

(3) Ty zahrnují následující sdělení: „Bezpečnost sítí a informací – návrh evropského politického přístupu“ COM(2001) 298 final; „Strategie pro bezpečnou informační společnost – ‚Dialog, partnerství a posílení účasti‘“ KOM(2006) 251 v konečném znění; sdělení o ochraně kritické informační infrastruktury – „Ochrana Evropy před rozsáhlými počítačovými útoky a narušením: zvyšujeme připravenost, bezpečnost a odolnost“ KOM(2009) 149 v konečném znění; „Digitální program pro Evropu“ KOM(2010) 245 v konečném znění a sdělení o ochraně kritické informační infrastruktury – „Dosažené výsledky a další kroky: směrem ke globální kybernetické bezpečnosti“ KOM(2011) 163 v konečném znění.

(4) Směrnice Evropského parlamentu a Rady 2002/21/ES ze dne 7. března 2002 o společném předpisovém rámci pro sítě a služby elektronických komunikací (Úř. věst. L 108, 24.4.2002, s. 33).

(5) Někteří členové ESCB vykonávají funkce v oblasti dozoru na základě vnitrostátních právních předpisů, které doplňují a v některých případech duplikují pravomoc Eurosystému.

(6) V kontextu tohoto stanoviska zahrnuje pojem „vypořádání“ funkci clearingu.

(7) Směrnice Evropského parlamentu a Rady 98/26/ES ze dne 19. května 1998 o neodvolatelnosti zúčtování v platebních systémech a v systémech vypořádání obchodů s cennými papíry (Úř. věst. L 166, 11.6.1998, s. 45).

(8) Viz čl. 10 odst. 1 třetí pododstavec směrnice o neodvolatelnosti zúčtování.

(9) Nařízení Evropského parlamentu a Rady (EU) č. 648/2012 ze dne 4. července 2012 o OTC derivátech, ústředních protistranách a registrech obchodních údajů (Úř. věst. L 201, 27.7.2012, s. 1).

(10) COM(2012) 73 final.

(11) K dispozici na internetových stránkách Banky pro mezinárodní platby http://www.bis.org/publ/cpss94.pdf

(12) K dispozici na internetových stránkách ECB http://www.ecb.europa.eu

(13) Viz tisková zpráva ECB týkající se memoranda o porozumění o strategických zásadách spolupráce mezi orgány bankovního dohledu a centrálními bankami Evropské unie v případech řízení krizí (2003), k dispozici na internetových stránkách ECB www.ecb.europa.eu

(14) Viz doporučení č. 3: sledování incidentů a podávání zpráv v dokumentu „Recommendations for the security of internet payments-final version after public consultation“, Evropské fórum pro bezpečnost malých plateb (Secure Pay), leden 2013, k dispozici na internetových stránkách ECB www.ecb.europa.eu

(15) Na základě zásad pro společný mezinárodní dozor, které zdůraznila zpráva CPSS o dozoru z roku 2005, se centrální banky Eurosystému úspěšně účastnily ujednání o spolupráci v řadě případů, např. v rámci ujednání o dozoru v případě systému SWIFT („Society for Worldwide Interbank Financial Telecommunications“) a CLS („Continuous Linked Settlement“).

(16) Např. požadavky, aby hospodářské subjekty dodržovaly technická a organizační opatření v čl. 14 odst. 3 a 4, a pravomoc dávat hospodářským subjektům závazné pokyny upravená v čl. 15 odst. 3 navrhované směrnice.

(17) Viz odstavec 2.12 stanoviska CON/2014/9 k návrhu směrnice Evropského Parlamentu a Rady o platebních službách na vnitřním trhu, kterou se mění směrnice 2002/65/ES, 2013/36/EU a 2009/110/ES a zrušuje směrnice 2007/64/ES (Úř. věst. C 224, 15.7.2014, s. 1). Všechna stanoviska ECB jsou zveřejněna na internetových stránkách ECB www.ecb.europa.eu