CS    CS CS 
CS    CS  KOMISE EVROPSKÝCH SPOLE ČENSTVÍ 
V Bruselu dne 30.3.2009 
SEK(2009) 400 
  
PRACOVNÍ DOKUMENT ÚTVAR Ů KOMISE 
Průvodní dokument ke 
   
SDĚLENÍ KOMISE RAD Ě, EVROPSKÉMU PARLAMENTU, EVROPSKÉMU 
HOSPODÁ ŘSKÉMU A SOCIÁLNÍMU VÝBORU A VÝBORU REGION Ů 
 
o ochraně kritické informa ční infrastruktury 
„Ochrana Evropy p řed rozsáhlými po čítačovými útoky a narušením:  
zvyšujeme p řipravenost, bezpe čnost a odolnost“  
   
SOUHRN POSOUZENÍ DOPAD Ů 
 
{KOM(2009) 149} 
{SEK(2009) 399} 
CS 2   CS SOUHRN POSOUZENÍ DOPAD Ů  
1. V ČEM SPO ČÍVÁ PROBLÉM ? 
Odvětví IKT má zásadní význam pro hospodá řství a spole čnost EU 
Informační a komunika ční technologie (IKT) se staly páte ří hospodá řství a spole čnosti EU 
jako celku. Odvětví IKT má zásadní význam  pro všechny vrstvy spole čnosti . Podniky 
závisejí na odv ětví IKT  jak z hlediska p římých prodej ů, tak hospodárnosti/ú činnosti 
vnitřních proces ů. IKT rovn ěž stále více pronikají do fungování vlád a orgán ů veřejné 
správy : rostoucím využíváním služeb elektronic ké správy na všech úrovních je zaru čena 
vyšší účinnost postup ů, veřejný sektor je však v d ůsledku této skute čnosti při mnoha 
operacích na IKT hluboce závislý. V neposlední řadě jsou na službách informa ční 
společnosti a na využívání IKT p ři každodenních činnostech v rostoucí mí ře závislí 
občané: kromě negativních ú činků, které by narušení kybernetického prostoru na tyto činnosti 
mělo, se elektronicky sd ěluje a přenáší stále více osobních údaj ů občanů. V důsledku 
neodpovídajících bezpe čnostních opat ření by mohlo dojít ke ztrát ě citlivých osobních 
informací a takováto opat ření by mohla p ředstavovat riziko krádeže totožnosti či jiného 
podvodu1. Zvýšení bezpe čnosti a odolnosti takovýchto infr astruktur je tudíž nanejvýš 
důležité pro ochranu osobních údaj ů občanů a pro řádné vynucování práva na 
soukromí.  
Systémy a služby IKT jsou samy o sob ě velmi důležitou infrastrukturou, jsou ale zárove ň 
podpůrnou platformou pro jiné kr itické technologie a spole čenské infrastruktury. Tuto 
skutečnost uznává zelená kniha Evropské komise o Evropském programu na ochranu kritické 
infrastruktury, která do koncepce kritických informa čních infrastruktur (KII) zahrnuje 
všechny „ systémy IKT, které samy p ředstavují kritické infrastruk tury nebo jsou nezbytné pro 
provoz kritických infrastruktur (telekomunikace, výpo četní technika/software, internet, satelity 
atd.)“2 , přičemž tento p řístup je obdobou p řístupu OECD3.  
Navzdory stávajícím rozdíl ům v názvosloví je důležité, že pojem KII podn ěcuje 
k systémovému pohledu na politiky, jejichž cílem je zajistit bezpe čné a nep řetržité 
fungování systém ů, služeb, sítí a infrastruktur IKT  („infrastruktur IKT“), jejichž vysoce 
důležitou složku tvo ří vzhledem ke svému rozsáhlému rozší ření a s ohledem na 
technologické sbližování internet . 
                                                 
1 http://www.times online.co.uk/tol/news/uk/crime/article4211711.ece. 
2 KOM(2005) 576 v kone čném znění. 
3 http://www.oecd.org/dataoecd/1/13/40825404.pdf. 
CS 3   CS Co je v sázce? 
Kritické informa ční infrastruktury jsou všudyp řítomné, a proto lze ú činky narušení 
kybernetického prostoru ve značné míře pocítit v celé spole čnosti .  
Rizika spojená s útoky člověka, přírodními pohromami či technickými selháními nejsou 
mnohdy zcela pochopena a/nebo analyzována. V d ůsledku této skute čnosti nemají zú častněné 
strany dostate čné povědomí, aby mohly koncipovat odpovídající ochranná opat ření 
a protiopat ření.  
Počítačové útoky jsou nebývale d ůmyslné  a často je provád ějí jednotlivci či zločinecké 
skupiny pro zisk či z politických d ůvodů. Příkladem obecného vývoje jsou rozsáhlé 
kybernetické útoky v Estonsku, Litv ě a Gruzii.  Závažnost problému potvrzuje obrovský 
počet virů, program ů typu worm a jiného škodlivého softwaru, ší ření botnet ů a nárůst spamů4. 
Infrastruktury IKT jsou soustavn ě napadány  a pokud se Evropa nep řipraví, dopad útok ů 
bude mnohem závažn ější.  
Značná míra závislosti na KII, jejich p řeshraniční propojení s ostatními infrastrukturami a 
jejich vzájemná závis lost vedou k nutnosti zabývat se bezpe čností a odolností KII 
systémov ě jakožto p řední linií obrany  před selháními a útoky, p řičemž tyto činnosti by 
měly doplňovat opatření na prevenci trestných a teroristických činností zam ěřených na KII, na 
boj proti nim a na jejich trestní stíhání a na tato opat ření navazovat.  
Povaha problému 
V současné době se otázky bezpe čnosti a odolnosti KII řeší převážně na vnitrostátní 
úrovni a jsou jen v malé mí ře celoevropsky koordinovány . Nedostatek systematické 
přeshraniční spolupráce podstatn ě snižuje ú činnost vnitrostátních protiopat ření. Nízká 
úroveň bezpečnosti a odolnosti KII v jedné zemi m ůže navíc zvýšit zranitelnost a rizika 
v jiných zemích.  
Vzhledem k tomu, že KII jsou celosv ětové a úzce provázené  s jinými infrastrukturami 
a vzájemně závislé , nelze  jejich bezpe čnost a odolnost zaručit výhradn ě vnitrostátními 
a nekoordinovanými p řístupy . Kromě toho převládá spole čný názor, že tržní síly 
neposkytují soukromému sektoru dostatek pobídek, aby jej p řiměly investovat do 
ochrany KII na úrovni, na níž by to vlády obvykle požadovaly.  
Mezi základní p říčiny výše popsaného obecného problému  patří: 
• nejednotný p řístup členských stát ů k veřejným politikám bezpe čnosti a odolnosti KII . 
Existují rozdíly mezi politikami členských stát ů v oblasti bezpe čnosti a odolnosti KII. 
Kromě toho se zdá, že úrove ň odborných znalostí a p řipravenosti není rovnom ěrně 
rozložena, jak zd ůrazňuje analýza vnitrostátních p řístupů provedená Komisí a potvrzená 
zprávou Evropské agentury pro bezpe čnost sítí a informací (ENISA)5; 
• obtížné p řejímání nových celoevropských model ů správy . Zvýšení bezpe čnosti 
a spolehlivosti KII p ředstavuje mimo řádné úkoly z hlediska správy . Vlády jsou 
odpovědné za vymezení politik v oblasti KII, ale k provád ění těchto politik je nutná 
účast soukromého sektoru . Na vnitrostátní úrovni vznikají partnerství ve řejného 
a soukromého sektoru  jakožto referen ční model řízení této kombinace povinností. 
Nicméně navzdory obecnému konsenzu, že partnerství ve řejného a soukromého sektoru by 
byla žádoucí i na evropské úrovni, taková to partnerství dosud nevznikla;  
                                                 
4 KOM(2006) 688 v kone čném znění.  
5 http://www.enisa.europa.eu/d oc/pdf/resilience/stock_taki ng_final_report_2008.pdf. 
CS 4   CS • omezená evropská schopnost v časného varování a reakce na incidenty . Při 
konzultacích byly zd ůrazněny rozdíly mezi vnitrostátními systémy v časného varování 
a reakce na incidenty. N ěkteré členské státy b ěžně nedostávají zprávy o bezpe čnostních 
incidentech sítí (a čkoli si tyto zprávy mohou n ěkteří provozovatelé zasílat neformáln ě) 
a/nebo nez řídily organizaci jakožto úst řední místo pro hlášení incident ů. Zdá se, že není 
dostatečně rozvinuta  spolupráce a sdílení informací mezi subjekty na vládní úrovni  
a této spolupráci a sdílení informací brání nedostatek d ůvěryhodných mechanism ů pro 
sdílení a koordinaci , které by následn ě vyžadovaly, aby všechny vnitrostátní/vládní 
skupiny pro reakci na po čítačové hrozby  (CERT) řádně fungovaly, tedy aby 
disponovaly spole čnými základními schopnostmi.  Kromě toho jsou cvičení a praktické 
simulace na úrovni EU , jež jsou pro zvyšování bezpe čnosti a odolnosti  KII klíčové, stále 
v plenkách ; 
• nízké pov ědomí o rizicích pro bezpe čnost a odolnost internetu . Ukazuje se, že internet 
je díky své rozložené, redundantní koncepci poměrně robustní a odolnou 
infrastrukturou . Vzhledem k jeho ojedinělému růstu, zvyšující se složitosti  a vzniku 
nových služeb  je však jen správné zpochybňovat schopnost internetu odolávat rostoucímu 
počtu narušení a po čítačových útok ů. 
Žádná zem ě není zcela izolovaná . Globální povaha KII a zejmé na internetu vyžaduje, aby 
byl k bezpe čnosti a odolnosti zaujat společný globální p řístup . Důrazného ú činku lze na 
mezinárodní úrovni dosáhnout práv ě prostřednictvím intenzivní koordinace na úrovni 
EU.  
2. JAKÉ JSOU D ŮVODY PRO AKCI NA ÚROVNI EU? 
Výlučně vnitrostátní p řístup k řešení výše vymezených problém ů nemusí být dostate čný. 
Vzhledem ke zna čným přeshraničním účinkům může být řada ohrožení bezpe čnosti sítí 
a informací p říčinou vzniku nep říznivých p řeshraničních externalit, jimiž se nelze ú činně 
zabývat na vnitrostátní úrovni a které mohou zp ůsobit narušení v jiných zemích.  
Integrovaný p řístup v celé EU zam ěřený na zvýšení bezpe čnosti a odolnosti KII by 
užitečným způsobem doplnil vnitrostátní programy  na ochranu kritických informa čních 
infrastruktur  a stávající režimy spolupráce členských stát ů a dodal by jim evropskou 
přidanou hodnotu . Jelikož je mnoho úkol ů a otázek spole čných, byl by spole čný přístup 
prospěšný pro všechny strany. 
Z diskusí po útoku v Estonsku je z řejmé, že ú činky obdobných událostí lze omezit pomocí 
preventivních opat ření – např. strukturovan ější výměnou informací na evropské úrovni – 
a prostřednictvím koordinované akce  v průběhu samotné krize. Komise pln ě dodržuje 
zásadu subsidiarity  a je v ideálním postavení, aby takovéto snahy v t ěsné spolupráci 
s členskými státy a jinými mezinárodními organizacemi koordinovala. 
Kromě toho, že obavy jednotlivých stát ů o bezpečnost mají d ůležitou úlohou p ři definování 
politik a závazk ů v oblasti bezpe čnosti sítí a informací, mohou také rozt říštit regula ční 
prostředí a ovlivnit konkurencesc hopnost Evropské unie jako celku a také schopnost 
jednotného evropského trhu vytvá řet bohatství. 
V roce 2006 Komise oznámila6, že v rámci Evropského programu na ochranu kritické 
infrastruktury7 (EPCIP) hodlá vyvinout konkrétní politiku pro odv ětví IKT „ s cílem posílit 
                                                 
6 KOM(2006) 251. 
7 KOM(2006) 786. 
CS 5   CS bezpečnost a odolnost sítí a informa čních systém ů“. Evropská rada toto oznámení v roce 2007 
uvítala8. 
Tato iniciativa by pat řičně zohlednila mezinárodní rozm ěr, přičemž by vycházela 
z uznávaných zásad, nap ř. zásad skupiny G8 pro oc hranu kritických informa čních 
infrastruktur, rezoluce Valného shromážd ění OSN 58/199 s názvem „Nastolení celosv ětové 
kultury po čítačové bezpe čnosti a ochrany kritických informa čních infrastruktur“ a nedávného 
doporučení OECD ohledn ě ochrany KII. 
V neposlední řadě navrhovaná politická iniciativa zohled ňuje, avšak neduplikuje činnosti 
v oblasti po čítačové bezpe čnosti, které provádí NATO a které se zam ěřují na vojenskou oblast 
– tj. spole čnou politiku po čítačové obrany a činnosti řídícího orgánu kybernetické obrany 
(CDMA), jakož i výsledky st řediska excelence NATO pro spole čnou počítačovou obranu 
(CCD-COE).  
3. JAKÉ JSOU CÍLE ?  
Cílem této iniciativy by bylo zvýšit v celé Evrop ě úroveň připravenosti a reakce  na 
popsaná rizika a hrozby a zabránit nesourodému p řístupu členských stát ů. Iniciativa by se 
soustředila na vymezení sdílených proces ů, které by umožnily pružn ě se vyrovnat se známými 
i neznámými hrozbami. P říslušné ve řejné a soukromé zú častněné subjekty by se podílely na 
snaze zaru čit, že jsou zavedeny odpovídající a jednotné úrovn ě opatření pro prevenci, 
odhalování, mimo řádné případy a pro obnovu , aby bylo dosaženo patřičné úrovn ě 
bezpečnosti a odolnosti KII a zaru čena kontinuita služeb . Zvýšená bezpe čnost a odolnost 
by rovněž příznivě ovlivnila ochranu osobních údaj ů a soukromí ob čanů EU. 
Obecného cíle tohoto návrhu, tedy zajištění bezpečnosti a odolnosti KII jakožto p řední 
linie obrany , lze dosáhnout prost řednictvím čtyř konkrétních cíl ů: 
1. p řeklenutím mezer mezi vnitrostátními politikami v oblasti bezpe čnosti a odolnosti 
KII; 
2. zesílením evropské správy v oblasti bezpe čnosti a odolnosti KII; 
3. posílení opera ční schopnosti Evropy rea govat na incidenty; 
4. zvýšením bezpe čnosti a odolnosti internetu. 
4. JAKÉ JSOU MOŽNOSTI POLITIKY ? 
Možnost politiky 1:  zachování sou časného stavu  
Možnost, kdy není navrženo žádné další opat ření, by nebyla životaschopná . Bez 
horizontálních opat ření na úrovni EU by členské státy nadále jednaly samostatn ě nebo na 
dvoustranném či omezeném vícestranném základ ě. Hrozilo by, že dojde k vývoji odlišných 
vnitrostátních p řístupů, které by nemusely být slu čitelné. Krom ě toho by p řeshraniční 
spolupráce probíhala nahodile a vzhledem ke  složitosti a rozsahu kybernetických útok ů by 
mohla být neú činná. 
Jelikož by členské státy tuto problematiku nadále řešily odlišným tempem, mohly by 
zúčastněné strany  upustit od investic do bezpe čnosti a odolnosti , protože by velké množství 
norem a povinností snižovalo jejich konkurenceschopnost. P řeshraniční povaha problému by 
                                                 
8 Usnesení Rady 2007/C 68/01. 
CS 6   CS zvýraznila rozdíly v bezpe čnosti, odolnosti a p řipravenosti v Evrop ě. Navzdory úsilí 
jednotlivých zemí by zranitelnost KII v Evrop ě zůstala vysoká a p řípadně by vzrostla.  
Možnost politiky 2: nezávazný rámec  
Komise by v podob ě sdělení a akčního plánu stanovila rámec pro koordinaci a spolupráci , 
na němž by se podílely členské státy, soukr omý sektor a ob čanská spole čnost. Sdělení by 
mohlo být schváleno Radou EU a také Evropský parlament se m ůže rozhodnout, že p řispěje 
k diskusi. 
Iniciativa by se soust ředila na výše zd ůrazněné cíle a konkrétn ě by navrhla: 
1. podporovat soudržnost politik jednotlivých stát ů v oblasti bezpe čnosti a 
odolnosti KII,  a to; 
• určením přenosných p říkladů postupů a společných prvk ů veřejných politik; 
• zřízením evropského fóra, v jehož rámci by si členské státy vym ěňovaly 
informace a osv ědčené postupy politiky v oblasti bezpe čnosti a odolnosti KII. 
2. zesílit evropskou správu v oblasti bezpe čnosti a odolnosti KII,  a to; 
• vytvořením evropského partnerství ve řejného a soukromého sektoru pro 
odolnost (E3PR)  s cílem podporovat spolupráci ve řejného a soukromého sektoru 
při dosahování cíl ů v oblasti bezpe čnosti a odolnosti, pln ění základních 
požadavk ů a provádění osvědčených politických postup ů a opatření.  
3. zvýšit opera ční schopnost Evropy reagovat na incidenty,  a to; 
• zřízením řádně fungujících vnitrostátních/vládních skupin CERT9 jakožto klí čové 
složky schopnosti jednotlivých stát ů v oblasti p řipravenosti, sdílení informací, 
koordinace a reakce; 
• sjednáním minimální úrovn ě schopností a služeb pro vn itrostátní/vládní skupiny 
CERT; 
• podporou evropské spolupráce vnitrostátních/vládních skupin CERT; usnadn ěním 
styku a spolupráce subjekt ů jednotlivých stát ů, které odpovída jí za schopnost 
reakce; po řádáním celoevropských a/nebo regionálních cvi čení při simulovaných 
rozsáhlých incidentech; 
• podporou krizového plánování pro reak ci na incidenty v síti a obnov ě po 
katastrofě; 
• financováním rozvoje evropských cvi čení při simulovaných rozsáhlých 
incidentech bezpe čnosti sítě; 
• podporou rozvoje a zavád ění evropského systému pro va rování a sdílení informací 
(EISAS), aby bylo možné rovnocenným a ú činným zp ůsobem dosáhnout ke všem 
občanům a malým a st ředním podnik ům.  
4. zvýšit bezpe čnost a odolnost internetu,  a to:  
• vymezením priorit EU týkajících se dlouhodobé stability a odolnosti internetu;  
• sjednáním souboru evropských a následn ě mezinárodních zásad bezpe čnosti 
a odolnosti internetu.  
                                                 
9 Skupiny pro reakci na po čítačové hrozby. 
CS 7   CS Možnost politiky 3: závazný rámec  
Většina z výše uvedených otázek by se řešila řadou závazných opat ření, která mohou mít 
podle potřeby formu sm ěrnice, nařízení či rozhodnutí. 
Komise m ůže navrhnout závazná opat ření s cílem: 
1. definovat základní linii, podle níž by byly harmonizovány vnitrostátní politiky . 
Takováto opat ření se mohou soust ředit na dodate čnou bezpe čnost a odolnost KII nad 
rámec již navržených právních p ředpisů týkajících se trhu; 
2. definovat úlohu a povinnosti ve řejných a soukromých zú častněných stran  
v oblasti bezpe čnosti a odolnosti KII; 
3. zvýšit opera ční připravenost , např. prostřednictvím: 
a) minimálního souboru norem pro harmonizovanou úrove ň funkcí a služeb pro 
vnitrostátní/vládní  skupiny CERT; 
b) rámce pro vnitrostátní krizové plánov ání s cílem vypracovat krizové plány pro 
celou EU. 
5. CO VYPLÝVÁ ZE SROVNÁNÍ MOŽNOSTÍ POLITIKY ? 
Možnost politiky, kdy je zachován sou časný stav, nenabízí jasný potenciál  pro zvýšení 
bezpečnosti a odolnosti KII v Evrop ě. Je proto t řeba rozhodnout se mezi nezávazným 
a závazným rámcem. V tomto okamžiku se zdá, že možnost „závazného rámce“ není proveditelná, a to mimo jiné kv ůli:  
• politické realit ě nezávislých stát ů, kterou musí každá pol itika zabývající se bezpe čností 
sítí a informací na úrovni Spole čenství řádným zp ůsobem zohlednit;  
• nutnosti zvážit široce rozloženou opera ční odpovědnost v soukromém sektoru;  
• nedostatku zkušeností se sdílením informací mezi ve řejným a soukromým sektorem 
a spolupráce t ěchto sektor ů v rámci politik zabývajících se KII. 
Nízká kvalita údaj ů, které jsou v sou časnosti k dispozici o bezpe čnostních incidentech, 
způsobená nevyvážeností informací  a obavami jednotlivých stát ů o bezpečnost, navíc brání 
tomu, aby byla z ekonomického hlediska a hlediska ve řejné politiky d ůsledně definována 
regulační opatření a aby byla dodržována zásada proporcionality , neboť je nemožné 
navrhnout p řiměřená opatření, není-li řádně pochopen p řesný rozsah problému. 
Časové rozp ětí nutné k vytvo ření závazného rámce by vzhledem ke zdlouhavému procesu 
schvalování nebylo slu
čitelné s nutností, aby všechny zú častněné subjekty jednaly rychle. 
Z tohoto posouzení dopad ů na závěr vyplývá, že v krátkodobém a st řednědobém výhledu je 
nejvhodnější politická možnost 2, v jejímž rámci se neprodlen ě zahájí navrhovaná opat ření 
a jejich výsledky v četně výstupů z veřejných diskusí zam ěřených na siln ější a modern ější 
politiku EU v oblasti bezpe čnosti sítí a informací budou následn ě podrobeny p řezkumu. Tyto 
výsledky by se pak použily jako základ pro posouzení pot řeb a možností, pokud jde 
o případná budoucí závazná opat ření. 
Poté by bylo možné doporu čit provedení opat ření obdobných t ěm, která jsou obsažena 
v možnosti politiky 3.