EVROPSKÁ KOMISE V Bruselu dne 16.12.2020 COM(2020) 823 final 2020/0359(COD) Návrh SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o zrušení směrnice (EU) 2016/1148 (Text s významem pro EHP) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



DŮVODOVÁ ZPRÁVA 1.SOUVISLOSTI NÁVRHU •Odůvodnění a cíle návrhu Tento návrh je součástí balíčku opatření, jež mají dále zlepšit odolnost veřejných a soukromých subjektů, příslušných orgánů a Unie jako celku v oblasti kybernetické bezpečnosti a ochrany kritické infrastruktury a jejich schopnost reagovat na bezpečnostní incidenty. Je v souladu s prioritami Evropské komise připravit Evropu na digitální věk a vybudovat hospodářství připravené na budoucnost, které bude pracovat pro lidi. Kybernetická bezpečnost je jednou z priorit Komise v rámci reakce na krizi COVID-19. Balíček zahrnuje novou strategii kybernetické bezpečnosti zaměřenou na posílení strategické autonomie Unie s cílem zlepšit její odolnost a kolektivní reakci a vytvářet otevřený a globální internet. Balíček rovněž obsahuje návrh směrnice o odolnosti klíčových provozovatelů základních služeb, což má za cíl snížit fyzické hrozby vůči nim. Tento návrh navazuje na směrnici (EU) 2016/1148 o bezpečnosti sítí a informačních systémů (dále jen „směrnice o bezpečnosti sítí a informací“), která je prvním právním předpisem týkajícím se kybernetické bezpečnosti pro celou EU a poskytuje právní opatření k posílení celkové kybernetické bezpečnosti v Unii, a uvedenou směrnici ruší. Směrnice o bezpečnosti sítí a informací 1) přispěla ke zlepšení schopností v oblasti kybernetické bezpečnosti na úrovni členských států, neboť vyžadovala, aby členské státy přijaly národní strategie kybernetické bezpečnosti a určily orgány pro kybernetickou bezpečnost; 2) zvýšila spolupráci členských států na úrovni Unie zřízením různých fór usnadňujících výměnu strategických a operačních informací a 3) zlepšila kybernetickou odolnost veřejných a soukromých subjektů v sedmi konkrétních odvětvích (energetika, doprava, bankovnictví, infrastruktura finančních trhů, zdravotnictví, dodávky a rozvody pitné vody a digitální infrastruktura) a ve třech oblastech digitálních služeb (on-line tržiště, internetové vyhledávače a služby cloud computingu) tím, že požadovala, aby členské státy zajistily, že provozovatelé základních služeb a poskytovatelé digitálních služeb zavedou požadavky kybernetické bezpečnosti a budou hlásit incidenty. Návrh modernizuje stávající právní rámec a přitom zohledňuje zvýšenou digitalizaci vnitřního trhu v posledních letech a vyvíjející se prostředí kybernetických bezpečnostních hrozeb. Oba tyto vývojové trendy od vypuknutí krize COVID-19 dále zesílily. Návrh rovněž řeší některá slabá místa, jež bránila rozvinutí celého potenciálu směrnice o bezpečnosti sítí a informací. I přes významné úspěchy směrnice o bezpečnosti sítí a informací, která připravila půdu pro významnou změnu v myšlení, pokud jde o institucionální a regulatorní přístup ke kybernetické bezpečnosti v mnoha členských státech, se projevila i její omezení. Digitální transformace společnosti (která se v důsledku krize COVID-19 ještě více zintenzivnila) rozšířila prostředí hrozeb a přináší nové výzvy, jež vyžadují přizpůsobené a inovativní reakce. Počet kybernetických útoků nadále roste a stále sofistikovanější útoky vycházejí z celé řady zdrojů v EU i mimo ni. Hodnocení fungování směrnice o bezpečnosti sítí a informací, provedené pro účely posouzení dopadů, poukázalo na tyto problémy: 1) nízká úroveň kybernetické odolnosti podniků v EU; 2) nestejná odolnost členských států a odvětví a 3) nízká úroveň společného situačního povědomí a nedostatečná společná reakce na krize. Například některé velké nemocnice v jednom členském státě nespadají do oblasti působnosti směrnice o bezpečnosti sítí a informací, a nejsou tedy povinny provádět z ní vyplývající bezpečnostní opatření, zatímco v jiném členském státě se bezpečnostní požadavky směrnice vztahují téměř na každého poskytovatele zdravotní péče v zemi. Vzhledem k tomu, že se jedná o iniciativu v rámci Programu pro účelnost a účinnost právních předpisů (REFIT), je cílem tohoto návrhu snížit regulační zátěž pro příslušné orgány a náklady na dodržování předpisů pro veřejné a soukromé subjekty. Zejména je pak třeba zdůraznit, že je toho dosahováno zrušením povinnosti příslušných orgánů určit provozovatele základních služeb a zvýšením úrovně harmonizace bezpečnostních požadavků a požadavků na hlášení s cílem usnadnit subjektům poskytujícím přeshraniční služby dodržování právních předpisů. Zároveň budou příslušným orgánům uloženy nové úkoly, včetně dohledu nad subjekty v odvětvích, na která se směrnice o bezpečnosti sítí a informací dosud nevztahovala. •Soulad s platnými předpisy v této oblasti politiky Tento návrh je součástí širšího souboru stávajících právních předpisů a připravovaných iniciativ na úrovni Unie, jehož cílem je zvyšování odolnosti veřejných a soukromých subjektů vůči hrozbám. V oblasti kybernetické bezpečnosti jsou to zejména směrnice (EU) 2018/1972, kterou se stanoví evropský kodex pro elektronické komunikace (jejíž ustanovení týkající se kybernetické bezpečnosti budou nahrazena ustanoveními tohoto návrhu) a návrh nařízení o digitální provozní odolnosti finančního sektoru (COM(2020) 595 final), jež bude považováno za lex specialis k tomuto návrhu, jakmile oba akty vstoupí v platnost. V oblasti fyzické bezpečnosti tento návrh doplňuje návrh směrnice o odolnosti klíčových subjektů, který reviduje směrnici 2008/114/ES o určování a označování evropských kritických infrastruktur a o posouzení potřeby zvýšit jejich ochranu (dále jen „směrnice o evropských kritických infrastrukturách“), která zavádí postup Unie pro určování a označování evropských kritických infrastruktur a stanoví přístup ke zlepšení jejich ochrany. V červenci 2020 přijala Komise strategii bezpečnostní unie EU, která uznala rostoucí vzájemnou provázanost a vzájemnou závislost fyzické a digitální infrastruktury. Zdůraznila potřebu soudržnějšího a jednotnějšího přístupu mezi směrnicí o evropských kritických infrastrukturách a směrnicí (EU) 2016/1148 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii. Tento návrh proto úzce souvisí s návrhem směrnice o odolnosti klíčových subjektů, jejímž cílem je posílení odolnosti klíčových subjektů vůči fyzickým hrozbám ve velkém počtu odvětví. Tento návrh má zajistit, aby příslušné orgány podle obou právních aktů přijímaly vzájemně se doplňující opatření a podle potřeby si vyměňovaly informace týkající se kybernetické i nekybernetické odolnosti a aby zejména klíčoví provozovatelé v odvětvích, která jsou podle tohoto návrhu považována za „základní“, podléhali také obecnějším povinnostem zaměřeným na posilování odolnosti s důrazem na nekybernetická rizika. •Soulad s ostatními politikami Unie Jak se uvádí ve sdělení „Formování digitální budoucnosti Evropy“, pro Evropu je důležité, aby těžila ze všech výhod digitálního věku a posilovala svůj průmysl a inovační kapacitu v bezpečných a etických mezích. Evropská strategie pro data stanoví čtyři pilíře – ochranu údajů, základní práva, bezpečnost a kybernetickou bezpečnost – jako nezbytné předpoklady pro posílení společnosti díky využívání údajů. Evropský parlament v usnesení ze dne 12. března 2019 vyzval „[...] Komisi, aby posoudila, zda je nutné rozšířit působnost směrnice o bezpečnosti sítí a informací na další klíčové sektory a služby, které nejsou pokryty odvětvovými právními předpisy“. Rada ve svých závěrech ze dne 9. června 2020 uvítala „[...] plány Komise na zajištění soudržných pravidel pro účastníky na trhu a k usnadnění bezpečného, spolehlivého a odpovídajícího sdílení informací o hrozbách i incidentech, mimo jiné prostřednictvím přezkumu směrnice o bezpečnosti sítě a informačních systémů (směrnice o bezpečnosti sítí a informací), s cílem usilovat o lepší kybernetickou odolnost a účinnější reakce na kybernetické útoky, zejména pokud jde o základní hospodářské a společenské činnosti, a to při respektování pravomocí členských států, včetně odpovědnosti za jejich národní bezpečnost.“ Navrhovaným legislativním aktem dále není dotčeno uplatňování pravidel hospodářské soutěže stanovených ve Smlouvě o fungování Evropské unie (dále jen „SFEU“).

Vzhledem k tomu, že značná část kybernetických bezpečnostních hrozeb má původ mimo EU, je nutný soudržný přístup k mezinárodní spolupráci. Směrnice musí představovat referenční model, který je třeba prosazovat v rámci spolupráce EU se třetími zeměmi, a to zejména při poskytování vnější technické pomoci. 2.PRÁVNÍ ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA •Právní základ Právní základ směrnice o bezpečnosti sítí a informací tvoří článek 114 Smlouvy o fungování Evropské unie, jehož cílem je vytvoření a fungování vnitřního trhu posílením opatření ke sbližování vnitrostátních předpisů. Jak rozhodl Soudní dvůr Evropské unie v rozsudku ve věci C‑58/08 Vodafone a další, lze článek 114 SFEU využít zejména v případě rozdílů mezi vnitrostátními právními úpravami, které mohou mít přímý dopad na fungování vnitřního trhu. Stejně tak Soudní dvůr rozhodl, že jestliže akt založený na článku 114 SFEU již odstranil všechny překážky obchodu v oblasti, kterou harmonizuje, nemůže být zákonodárce Společenství zbaven možnosti přizpůsobit tento akt jakékoli změně okolností nebo jakémukoli vývoji znalostí s ohledem na úkol, který mu náleží, a to dbát na ochranu obecných zájmů uznaných ve Smlouvě. Dále pak Soudní dvůr rozhodl, že opatření ke sbližování uvedená v článku 114 SFEU mají v závislosti na obecném kontextu a zvláštních okolnostech harmonizované oblasti poskytnout určitý prostor pro uvážení, pokud jde o techniku sbližování, která je nejvhodnější pro dosažení požadovaného výsledku. Navrhovaný právní akt by odstranil překážky a zlepšil vytváření a fungování vnitřního trhu pro zásadní a důležité subjekty tím, že stanoví jasná, obecně použitelná pravidla o oblasti působnosti směrnice o bezpečnosti sítí a informací, která harmonizují pravidla platná v oblasti řízení kybernetických bezpečnostních rizik a hlášení incidentů. Rozdíly, které v této oblasti v současnosti existují jak na úrovni legislativně právní, tak na úrovni dohledu, představují překážky pro vnitřní trh, protože subjekty zapojené do přeshraničních činností narážejí na rozdílné, a možná překrývající se regulační požadavky a/nebo jejich uplatňování, a to na úkor jejich svobody usazování a poskytování služeb. Rozdílná pravidla mají také negativní dopad na podmínky hospodářské soutěže na vnitřním trhu, pokud jde o subjekty stejného druhu v různých členských státech. •Subsidiarita (v případě nevýlučné pravomoci) Odolnost z hlediska kybernetické bezpečnosti v celé Unii nemůže být účinná, pokud by se k ní přistupovalo rozdílným způsobem prostřednictvím vnitrostátních nebo regionálních sil. Směrnice o bezpečnosti sítí a informací tento nedostatek částečně řešila zřízením rámce pro bezpečnost sítí a informačních systémů na úrovni členských států a Unie. Její provedení do vnitrostátního práva a provádění však odhalilo také přirozené nedostatky a limity některých ustanovení nebo přístupů, jako např. nejasné vymezení oblasti působnosti směrnice, jež vedlo ke značným rozdílům v rozsahu a hloubce faktických intervencí EU na úrovni členských států. Od vypuknutí krize COVID-19 navíc evropské hospodářství více než kdykoli předtím závisí na sítích a informačních systémech a provázanost odvětví a služeb je stále větší. To, že intervence EU přesahují rámec stávajících opatření podle směrnice o bezpečnosti sítí a informací, je odůvodněno hlavně: i) stále více přeshraniční povahou hrozeb a výzev souvisejících s bezpečností sítí a informací; ii) potenciálem opatření EU zlepšovat a usnadňovat účinné a koordinované vnitrostátní politiky; a iii) přínosem sladěných politických opatření a spolupráce k účinné ochraně údajů a soukromí. •Proporcionalita Pravidla navrhovaná v této směrnici nepřekračují rámec toho, co je nezbytné pro uspokojivé dosažení specifických cílů. Předpokládané sladění a zefektivnění bezpečnostních opatření a povinností hlášení souvisejí s požadavky členských států a podniků na zlepšení stávajícího rámce. Návrh zohledňuje již existující postupy v členských státech. Zvýšená úroveň ochrany dosažená prostřednictvím takových efektivnějších a koordinovaných požadavků je přiměřená stále větším rizikům, kterým je třeba čelit, včetně rizik představujících přeshraniční prvek. Tyto požadavky jsou přiměřené a odpovídají zájmům subjektů usilujících o zajištění kontinuity a kvality svých služeb. Náklady na zajištění systematické spolupráce členských států by byly malé v porovnání s hospodářskými a společenskými ztrátami a škodami způsobenými kybernetickými bezpečnostními incidenty. Konzultace se zúčastněnými stranami provedené v souvislosti s přezkumem směrnice o bezpečnosti sítí a informací, včetně výsledků otevřené veřejné konzultace a cílených průzkumů, kromě toho potvrzují podporu pro revizi směrnice o bezpečnosti sítí a informací ve výše uvedených směrech. •Volba nástroje Návrh dále zjednoduší povinnosti podniků a zajistí vyšší úroveň jejich harmonizace. Zároveň je cílem návrhu poskytnout členským státům pružnost, kterou potřebují, aby mohly zohlednit vnitrostátní specifika (jako např. možnost určit další základní nebo důležité subjekty, které překračují základní linii stanovenou právním aktem). Budoucím právním nástrojem by proto měla být směrnice, neboť tento právní nástroj umožňuje cílenou lepší harmonizaci i určitý stupeň pružnosti pro příslušné orgány. 3.VÝSLEDKY HODNOCENÍ EX POST, KONZULTACÍ SE ZÚČASTNĚNÝMI STRANAMI A POSOUZENÍ DOPADŮ •Hodnocení ex-post / kontroly účelnosti platných právních předpisů Komise vyhodnotila fungování směrnice o bezpečnosti sítí a informací. Analyzovala relevantnost, přidanou hodnotu EU, soudržnost, účinnost a účelnost. Analýza dospěla k těmto hlavním zjištěním: ·Oblast působnosti směrnice o bezpečnosti sítí a informací je, pokud jde o odvětví, jež pokrývá, příliš omezená, zejména v důsledku: i) zvýšené digitalizace v posledních letech a vyššího stupně vzájemné propojenosti, ii) toho, že oblast působnosti směrnice o bezpečnosti sítí a informací již neodráží všechna digitalizovaná odvětví, jež poskytují klíčové služby hospodářství a společnosti jako celku. ·Směrnice o bezpečnosti sítí a informací není dostatečně jasná co do rozsahu provozovatelů základních služeb, na něž se vztahuje, a její ustanovení dostatečně jasně nevymezují pravomoci členských států vůči poskytovatelům digitálních služeb. To vedlo k situaci, kdy některé druhy subjektů nebyly určeny ve všech členských státech, a proto nebyly povinny zavádět bezpečností opatření a hlásit incidenty. ·Směrnice o bezpečnosti sítí a informací poskytovala členským státům velký prostor pro uvážení při stanovení požadavků v oblasti bezpečnosti a hlášení incidentů pro provozovatele základních služeb. Z hodnocení vyplývá, že v některých případech členské státy prováděly tyto požadavky značně různými způsoby, což vytvářelo další zátěž pro společnosti působící ve více než jednom členském státě. ·Režim dohledu a vymáhání směrnice o bezpečnosti sítí a informací není účinný. Například se členské státy stavěly velmi odmítavě k ukládání sankcí subjektům, které nezavedly bezpečnostní požadavky nebo nehlásily incidenty. To může mít negativní důsledky pro kybernetickou odolnost jednotlivých subjektů.

·Finanční a lidské zdroje, které členské státy vyčlenily pro splnění svých úkolů (jako je určování provozovatelů základních služeb nebo dohled nad nimi), a tedy i jednotlivé úrovně vyspělosti při řešení kybernetických bezpečnostních rizik se velmi liší. To rozdíly v kybernetické odolnosti členských států dále prohlubuje. ·Členské státy navzájem systematicky nesdílejí informace, což má negativní důsledky zejména pro účinnost opatření v oblasti kybernetické bezpečnosti a úroveň společného situačního povědomí na úrovni EU. Stejně je tomu v případě sdílení informací mezi soukromými subjekty a součinnosti struktur pro spolupráci na úrovni EU a soukromých subjektů. •Konzultace se zúčastněnými stranami Komise konzultovala širokou škálu zúčastněných stran. Členské státy a zúčastněné strany byly vyzvány k účasti na otevřené veřejné konzultaci a průzkumech a workshopech, jež organizovaly společnosti Wavestone, CEPS a ICF, které Komise najala k provedení podpůrné studie k přezkumu směrnice o bezpečnosti sítí a informací. Konzultované zúčastněné strany zahrnovaly příslušné orgány, instituce Unie zabývající se kybernetickou bezpečností, provozovatele základních služeb, poskytovatele digitálních služeb, subjekty poskytující služby mimo oblast působnosti stávající směrnice o bezpečnosti sítí a informací, obchodní sdružení, spotřebitelské organizace a občany. Komise byla kromě toho ve stálém kontaktu s příslušnými orgány odpovědnými za provádění směrnice o bezpečnosti sítí a informací. Skupina pro spolupráci se obsáhle zabývala různými průřezovými a odvětvovými prvky provádění. Během svých návštěv v jednotlivých zemích v souvislosti s bezpečností sítí a informací v letech 2019 a 2020 pak Komise provedla pohovory se 154 veřejnými a soukromými subjekty a se 117 příslušnými orgány. •Sběr a využití výsledků odborných konzultací Komise uzavřela smlouvu s konsorciem společností Wavestone, CEPS a ICF, aby ji podpořilo při přezkumu směrnice o bezpečnosti sítí a informací. Smluvní partner oslovil nejen zúčastněné strany, kterých se směrnice o bezpečnosti sítí a informací přímo dotýká, prostřednictvím cílených průzkumů a workshopů, ale vedl rovněž konzultace s celou řadou odborníků na kybernetickou bezpečnost, jako jsou výzkumní pracovníci v oboru kybernetické bezpečnosti a profesionálové v odvětví kybernetické bezpečnosti. •Posouzení dopadů K tomuto návrhu je přiloženo posouzení dopadů, které bylo dne 23. října 2020 předloženo Výboru pro kontrolu regulace a dne 20. listopadu 2020 obdrželo od tohoto výboru kladné stanovisko. Výbor doporučil vylepšení v některých oblastech, a sice: 1) v analýze problému lépe zohlednit úlohu přeshraničního přesahu; 2) lépe vysvětlit, jak by úspěch této iniciativy vypadal; 3) podrobněji odůvodnit seznam možností politiky; 4) podrobněji rozvést náklady spojené s navrhovaným opatřením. Posouzení dopadů bylo v souladu s těmito body i podrobnějšími připomínkami Výboru upraveno. Nyní obsahuje podrobnější vysvětlení úlohy přeshraničních přesahů v oblasti kybernetické bezpečnosti, jasnější přehled toho, jak lze měřit úspěch, podrobnější vysvětlení koncepce a logiky, z níž vycházejí jednotlivé možnosti politiky a opatření zvažovaná v rámci těchto možností, podrobnější vysvětlení aspektů analyzovaných v souvislosti s odvětvovou oblastí působnosti směrnice o bezpečnosti sítí a informací a další objasnění týkající se nákladů. Komise posoudila několik možností politiky zaměřených na zlepšení právního rámce v oblasti kybernetické odolnosti a reakce na incidenty: ·„Nedělat nic“: Směrnice o bezpečnosti sítí a informací by zůstala beze změny a nebyla by přijata ani žádná jiná opatření nelegislativní povahy s cílem řešit problémy zjištěné při hodnocení směrnice o bezpečnosti sítí a informací. ·Možnost 1: Nedošlo by k žádným změnám na úrovni legislativy. Komise by místo toho po konzultaci se skupinou pro spolupráci, s Agenturou EU pro kybernetickou bezpečnost (ENISA) a případně se sítí bezpečnostních týmů typu CSIRT („týmů CSIRT“) vydala doporučení a pokyny (např. týkající se určování provozovatelů základních služeb, bezpečnostních požadavků, postupů pro hlášení incidentů a dohledu). ·Možnost 2: Tato možnost zahrnuje cílené změny směrnice o bezpečnosti sítí a informací včetně rozšíření její oblasti působnosti a některých dalších změn, jejichž cílem by bylo zajištění některých okamžitých řešení zjištěných problémů, zajištění větší jasnosti a další harmonizace (např. ustanovení s cílem harmonizovat hranice pro určování provozovatelů). Hlavní stavební prvky, přístup a odůvodnění změněné směrnice o bezpečnosti sítí a informací by však byly zachovány. ·Možnost 3: Tento scénář obsahuje systémové a strukturální změny směrnice o bezpečnosti sítí a informací (prostřednictvím nové směrnice), které předpokládají zásadnější změnu přístupu tak, aby směrnice pokrývala širší segment ekonomik v celé Unii, avšak s cílenějším dohledem zaměřeným na velké a klíčové aktéry. Zjednodušil by rovněž povinnosti podniků a zajistil by vyšší úroveň jejich harmonizace, přinesl by účinnější nastavení operačních prvků a stanovil by také jasný základ pro větší sdílení povinností a odpovědnosti různých zúčastněných stran, pokud jde o opatření v oblasti kybernetické bezpečnosti. Posouzení dopadů dochází k závěru, že upřednostňovanou možností je možnost 3 (tj. systémové a strukturální změny rámce pro bezpečnost sítí a informací). Pokud jde o účinnost, upřednostňovaná možnost by jasně vymezila oblast působnosti směrnice o bezpečnosti sítí a informací, rozšířenou na reprezentativnější část ekonomik a společností EU, a zjednodušila požadavky, spolu s přesněji definovaným rámcem pro dohled a vymáhání zaměřeným na zvýšení úrovně dodržování právních předpisů. Obsahuje také opatření zaměřená na zlepšení přístupů k tvorbě politik na úrovni členských států a na změnu jejich paradigmatu, podporu nových rámců pro řízení rizik v oblasti dodavatelských vztahů a koordinované odhalování zranitelných míst. Upřednostňovaná možnost politiky zároveň stanoví jasný základ pro sdílení povinností a odpovědnosti a předpokládá mechanismy zaměřené na podporu větší důvěry mezi členskými státy (jak orgánů, tak průmyslu), motivaci ke sdílení informací a zajištění operativnějšího přístupu, jako je vzájemná pomoc a mechanismy vzájemného hodnocení. Tato možnost by také stanovila rámec EU pro krizové řízení v návaznosti na nedávno zřízenou operační síť EU a zajistila by větší zapojení agentury ENISA v rámci jejího stávajícího mandátu při udržování přesného přehledu o stavu kybernetické bezpečnosti v Unii. Pokud jde o efektivitu, upřednostňovaná možnost by zahrnovala další náklady na dodržování a vymáhání předpisů pro podniky a členské státy, avšak vedla by také k účinným kompromisům a součinnosti, přičemž by mohla ze všech analyzovaných možností politiky nejlépe zajistit zvýšenou a konzistentní úroveň kybernetické odolnosti klíčových subjektů v celé Unii, která by nakonec vedla k úsporám nákladů pro podniky i společnost. Tato možnost politiky by vedla k určité další správní zátěži a nákladům na dodržování předpisů pro orgány členských států. Ve střednědobé a dlouhodobé perspektivě by však celkově znamenala podstatný přínos prostřednictvím zvýšení spolupráce členských států, a to i na operativní úrovni, a podnět k celkovému zvýšení schopností v oblasti kybernetické bezpečnosti na vnitrostátní a regionální úrovni prostřednictvím vzájemné pomoci, mechanismů vzájemného hodnocení a lepšího přehledu o klíčových podnicích a interakcí mezi těmito podniky. Upřednostňovaná možnost politiky by také ve značné míře zajistila soudržnost s jinými právními předpisy, iniciativami nebo politickými opatřeními, včetně lex specialis specifického pro jednotlivá odvětví. Řešení v současnosti přetrvávající nedostatečné připravenosti v oblasti kybernetické bezpečnosti na úrovni členských států a na úrovni společností a jiných organizací by mohlo vést ke zvýšení účinnosti a snížení dalších nákladů vyplývajících z kybernetických bezpečnostních incidentů. ·Z hlediska základních a důležitých subjektů by zvýšení úrovně připravenosti v oblasti kybernetické bezpečnosti mohlo vést ke snížení potenciální ztráty příjmů v důsledku narušení hospodářské soutěže – včetně průmyslové špionáže – a mohlo by snížit velké výdaje na ad hoc zmírňování hrozeb. Tyto přínosy budou pravděpodobně převažovat nad nezbytnými investičními náklady. Zmírnění roztříštěnosti vnitřního trhu by také pomohlo vyrovnat podmínky tržních subjektů. ·Z hlediska členských států by mohlo dále snížit riziko narůstajících rozpočtových výdajů na ad hoc zmírňování rizik a dalších nákladů v případě mimořádných situací souvisejících s kybernetickými bezpečnostními incidenty. ·Z hlediska občanů se očekává, že řešení kybernetických bezpečnostních incidentů povede ke snížení ztráty příjmů v důsledku narušení hospodářské soutěže.

Zvýšení úrovně kybernetické bezpečnosti v členských státech a schopnosti společností a orgánů rychle reagovat na incident a zmírnit jeho dopad s největší pravděpodobností povede ke zvýšení celkové důvěry občanů v digitální ekonomiku, což by mohlo mít pozitivní dopad na růst a investice. Zvyšování celkové úrovně kybernetické bezpečnosti pravděpodobně povede k větší celkové bezpečnosti a hladkému a nerušenému fungování základních služeb, které mají pro společnost kritický význam. Tato iniciativa též může přispět k dalším sociálním dopadům, jako je snížení úrovně kybernetické kriminality a terorismu a zvýšení civilní ochrany. Zvyšování úrovně kybernetické připravenosti podniků a jiných organizací může zabránit potenciálním finančním ztrátám v důsledku kybernetických útoků, a předejít tak potřebě propouštění zaměstnanců. Zvyšování celkové úrovně kybernetické bezpečnosti by rovněž mohlo vést k prevenci environmentálních rizik/škod v případě útoku na základní služby. To by mohlo obzvláště platit pro odvětví energetiky, dodávek a rozvodů vody nebo dopravy. Posilováním schopností v oblasti kybernetické bezpečnosti by tato iniciativa mohla vést k lepšímu využívání infrastruktury a služeb IKT nejnovější generace, které jsou udržitelnější i z hlediska životního prostředí, a k nahrazení starší neefektivní a méně bezpečné infrastruktury. To by rovněž mělo přispět ke snížení počtu nákladných kybernetických incidentů, a tím i k uvolnění zdrojů, které budou k dispozici na udržitelné investice. •Účelnost právních předpisů a zjednodušení Návrh předpokládá všeobecné vyloučení mikrosubjektů a malých subjektů z oblasti působnosti bezpečnosti sítí a informací a mírnější režim dohledu ex post uplatňovaný vůči velkému počtu nových subjektů v rámci revidované oblasti působnosti (takzvané důležité subjekty). Cílem těchto opatření je minimalizovat a vyvážit zátěž kladenou na společnosti a orgány veřejné správy. Návrh dále nahrazuje složitý systém určování provozovatelů základních služeb obecně platnou povinností a zavádí vyšší úroveň harmonizace povinností v oblasti bezpečnosti a hlášení, což by snížilo zátěž spojenou s dodržováním předpisů, zejména pro subjekty poskytující přeshraniční služby. Návrh minimalizuje náklady na dodržování předpisů pro malé a střední podniky, neboť od subjektů se vyžaduje, aby přijímaly pouze ta opatření, která jsou nezbytná pro zajištění úrovně bezpečnosti sítě a informačních systémů a která odpovídají riziku, jemuž jsou tyto subjekty vystaveny. •Základní práva EU je odhodlána zajistit vysoké standardy ochrany základních práv. Veškerá dobrovolná ujednání zaměřená na sdílení informací mezi subjekty, jež tato směrnice podporuje, by byla uzavírána v atmosféře důvěry, při plném dodržování pravidel Unie pro ochranu údajů a zejména nařízení Evropského parlamentu a Rady (EU) 2016/679. 4.ROZPOČTOVÉ DŮSLEDKY Viz finanční výkaz. 5.OSTATNÍ PRVKY •Plány provádění a způsoby monitorování, hodnocení a podávání zpráv Návrh obsahuje obecný plán sledování a hodnocení dopadu na specifické cíle a vyžaduje, aby Komise provedla přezkum alespoň [54 měsíců] po vstupu v platnost a aby o svých zjištěních podala zprávu Evropskému parlamentu a Radě. Přezkum bude proveden v souladu s pokyny Komise pro zlepšování právní úpravy. •Podrobné vysvětlení konkrétních ustanovení návrhu Návrh je rozvržen do několika hlavních oblastí politiky, které spolu navzájem souvisejí a slouží ke zvyšování úrovně kybernetické bezpečnosti v Unii. Předmět a oblast působnosti (článek 1 a článek 2) Směrnice zejména: a) stanoví povinnosti členských států přijmout národní strategii kybernetické bezpečnosti, určit příslušné vnitrostátní orgány, jednotná kontaktní místa a týmy CSIRT; b) stanoví, že členské státy vymezí subjektům uvedeným v příloze I jako základní subjekty a uvedeným v příloze II jako důležité subjekty povinnosti v oblasti řízení kybernetických bezpečnostních rizik a hlášení; c) stanoví, že členské státy vymezí povinnosti týkající se výměny informací o kybernetické bezpečnosti. Vztahuje se na určité veřejné nebo soukromé základní subjekty, které působí v odvětvích uvedených v příloze I (energetika, doprava, bankovnictví, infrastruktury finančních trhů, zdravotnictví, pitná voda, odpadní voda, digitální infrastruktura, veřejná správa a vesmír) a určité důležité subjekty, které působí v odvětvích uvedených v příloze II (poštovní a kurýrní služby, nakládání s odpady, výroba, produkce a distribuce chemických látek, výroba, zpracování a distribuce potravin, výroba a poskytovatelé digitálních služeb). Z oblasti působnosti směrnice jsou vyjmuty mikropodniky a malé podniky ve smyslu doporučení Komise 2003/361/ES ze dne 6. května 2003 kromě poskytovatelů sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací, poskytovatelů služeb vytvářejících důvěru, registrů internetových domén nejvyšší úrovně a veřejné správy a určitých dalších subjektů, jako např. jediného poskytovatele určité služby v členském státě. Vnitropolitické rámce pro kybernetickou bezpečnost (články 5 až 11)

Členské státy jsou povinny přijmout národní strategii kybernetické bezpečnosti, ve které vymezí strategické cíle a příslušná politická a regulační opatření s cílem dosáhnout vysoké úrovně kybernetické bezpečnosti a udržovat ji. Směrnice rovněž stanoví rámec pro koordinované odhalování zranitelných míst a vyžaduje, aby členské státy určily týmy CSIRT, které budou působit jako důvěryhodní zprostředkovatelé a usnadňovat interakci mezi subjekty ohlašujícími incidenty a výrobci nebo poskytovateli produktů IKT a služeb IKT. Od Agentury Evropské unie pro bezpečnost sítí a informací (ENISA) se vyžaduje, aby vyvinula a spravovala evropský registr zranitelností pro zaznamenávání odhalených zranitelných míst. Od členských států se vyžaduje, aby zavedly vnitrostátní rámce pro řešení kybernetických bezpečnostních krizí, mimo jiné určením příslušných vnitrostátních orgánů odpovědných za řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí. Členské státy jsou rovněž povinny určit jeden nebo více příslušných vnitrostátních orgánů v oblasti kybernetické bezpečnosti pro dohled nad plněním této směrnice a vnitrostátní jednotné kontaktní místo pro kybernetickou bezpečnost, které bude plnit styčnou funkci s cílem zajistit přeshraniční spolupráci orgánů členských států. Od členských států se též vyžaduje, aby určily týmy CSIRT. Spolupráce (články 12 až 16) Směrnice zřizuje skupinu pro spolupráci s cílem podporovat a usnadňovat strategickou spolupráci a výměnu informací mezi členskými státy a rozvíjet důvěru. Zavádí rovněž síť týmů CSIRT, která má přispívat k rozvoji důvěry mezi členskými státy a podporovat rychlou a účinnou operativní spolupráci. Zřizuje se evropská síť styčných organizací pro kybernetické krize (EU-CyCLONe) na podporu koordinovaného řešení rozsáhlých kybernetických bezpečnostních incidentů a krizí a k zajištění pravidelné výměny informací mezi členskými státy a orgány EU. Agentuře ENISA se ukládá, aby ve spolupráci s Komisí vydávala každé dva roky zprávu o stavu kybernetické bezpečnosti v Unii. Od Komise se vyžaduje, aby stanovila systém vzájemného hodnocení, který umožní pravidelné vzájemné hodnocení účinnosti politik členských států v oblasti kybernetické bezpečnosti. Povinnosti v oblasti řízení kybernetických bezpečnostních rizik a hlášení (články 17 až 23) Směrnice vyžaduje, aby členské státy zajistily, že vedoucí orgány všech subjektů v oblasti působnosti směrnice schválí opatření k řízení kybernetických bezpečnostních rizik přijatá příslušnými subjekty a absolvují zvláštní odbornou přípravu v oblasti kybernetické bezpečnosti. Členské státy jsou povinny zajistit, aby subjekty v oblasti působnosti směrnice přijaly vhodná a přiměřená technická a organizační opatření k řízení kybernetických bezpečnostních rizik, jež mohou ohrozit bezpečnost sítí a informačních systémů. Jsou také povinny zajistit, aby subjekty oznamovaly příslušným vnitrostátním orgánům nebo týmům CSIRT každý kybernetický bezpečnostní incident, který má závažný dopad na poskytování služeb, jež poskytují. Registry internetových domén nejvyšší úrovně a subjekty poskytující služby registrace domén nejvyšší úrovně musí shromažďovat a uchovávat přesné a úplné údaje o registraci domén. Tyto subjekty jsou dále povinny poskytnout oprávněným žadatelům o přístup účinný přístup k údajům o registraci domén. Jurisdikce a registrace (články 24 a 25) Zpravidla se má za to, že základní subjekty a důležité subjekty spadají do pravomoci členského státu, ve kterém poskytují své služby. U některých druhů subjektů (poskytovatelé služeb systému doménových jmen, registry internetových domén nejvyšší úrovně, poskytovatelé služeb cloud computingu, poskytovatelé služeb datových center a poskytovatelé sítí pro doručování obsahu, jakož i někteří poskytovatelé digitálních služeb) se však má za to, že patří do pravomoci členského státu, ve kterém mají hlavní provozovnu v Unii. To má zajistit, aby tyto subjekty nepodléhaly množství různých právních požadavků, pokud poskytují přeshraniční služby ve zvlášť velkém rozsahu. Agentura ENISA je povinna vytvořit a spravovat registr subjektů tohoto druhu. Sdílení informací (články 26 a 27) Členské státy stanoví pravidla, která umožní zapojení subjektů do sdílení informací o kybernetické bezpečnosti v rámci zvláštních ujednání o sdílení informací o kybernetické bezpečnosti, a to v souladu s článkem 101 SFEU. Členské státy dále umožní, aby subjekty, které nespadají do oblasti působnosti této směrnice, mohly dobrovolně hlásit závažné incidenty, kybernetické hrozby nebo případy, kdy téměř došlo k incidentu. Dohled a vymáhání (články 28 až 34) Příslušné orgány jsou povinny vykonávat dohled nad subjekty, které se nacházejí v oblasti působnosti směrnice, a zejména zajistit, aby tyto subjekty dodržovaly požadavky týkající se bezpečnosti a oznamování incidentů. Směrnice rozlišuje mezi režimem dohledu ex ante pro základní subjekty a režimem dohledu ex post pro důležité subjekty, přičemž dohled ex post vyžaduje, aby příslušné orgány přijímaly opatření, pokud jim byly poskytnuty důkazy nebo indicie, že určitý důležitý subjekt nesplňuje požadavky v oblasti bezpečnosti a oznamování incidentů. Směrnice rovněž vyžaduje, aby členské státy ukládaly základním a důležitým subjektům správní pokuty, a stanoví určitou maximální výši pokut.

Členské státy jsou povinny spolupracovat a podle potřeby si navzájem pomáhat v případech, kdy subjekty poskytují služby ve více než jednom členském státě, nebo kdy je subjekt primárně usazen v určitém členském státě nebo zde má zástupce, ale jeho sítě a informační systémy se nacházejí v jednom nebo více jiných členských státech. 2020/0359 (COD) Návrh SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o zrušení směrnice (EU) 2016/1148 (Text s významem pro EHP) EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE, s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy, s ohledem na návrh Evropské komise, po postoupení návrhu legislativního aktu vnitrostátním parlamentům, s ohledem na stanovisko Evropského hospodářského a sociálního výboru, s ohledem na stanovisko Výboru regionů, v souladu s řádným legislativním postupem, vzhledem k těmto důvodům: (1)Cílem směrnice Evropského parlamentu a Rady (EU) 2016/1148 bylo budovat schopnosti v oblasti kybernetické bezpečnosti v Unii, zmírňovat hrozby pro sítě a informační systémy užívané k poskytování základních služeb v klíčových odvětvích a zajišťovat kontinuitu takových služeb v případě kybernetických bezpečnostních incidentů, a přispívat tak k účinnému fungování hospodářství a společnosti v Unii. (2)Od vstupu směrnice (EU) 2016/1148 v platnost bylo ve zvyšování úrovně odolnosti Unie v oblasti kybernetické bezpečnosti dosaženo významného pokroku. Z přezkumu uvedené směrnice vyplynulo, že posloužila jako katalyzátor institucionálního a regulačního přístupu ke kybernetické bezpečnosti v Unii, a současně připravila půdu pro významnou změnu v myšlení. Uvedená směrnice zajistila dokončení vnitrostátních rámců stanovením národních strategií kybernetické bezpečnosti, stanovením vnitrostátních schopností a prováděním regulačních opatření pokrývajících základní infrastruktury a subjekty určené každým členským státem. Přispěla rovněž ke spolupráci na úrovni Unie vytvořením skupiny pro spolupráci a sítě vnitrostátních bezpečnostních týmů typu CSIRT (dále jen „síť CSIRT“). I přes tyto úspěchy odhalil přezkum směrnice (EU) 2016/1148 přirozené nedostatky, které jí brání v účinném řešení současných a vznikajících výzev v oblasti kybernetické bezpečnosti. (3)Sítě a informační systémy se rozvinuly v ústřední prvek každodenního života s rychlou digitální transformací a vzájemnou propojeností společnosti, včetně přeshraniční výměny. Tento vývoj vedl k prudkému rozšíření prostředí kybernetických bezpečnostních hrozeb a přináší nové výzvy, které vyžadují přizpůsobené, koordinované a inovativní reakce ve všech členských státech. Počet, rozsah, sofistikovanost, četnost výskytu a dopad kybernetických bezpečnostních incidentů narůstají a představují značnou hrozbu pro fungování sítí a informačních systémů. V důsledku toho mohou kybernetické incidenty brzdit provádění hospodářských činností na vnitřním trhu, způsobovat finanční ztráty, narušovat důvěru uživatelů a způsobovat velké škody hospodářství a společnosti Unie. Připravenost a účinnost v oblasti kybernetické bezpečnosti jsou dnes proto pro řádné fungování vnitřního trhu důležitější než kdy předtím. (4)Právním základem směrnice (EU) 1148/2016 byl článek 114 Smlouvy o fungování Evropské unie (SFEU), jehož cílem je vytvoření a fungování vnitřního trhu posílením opatření ke sbližování vnitrostátních předpisů. Požadavky kybernetické bezpečnosti kladené na subjekty poskytující služby nebo vyvíjející příslušné hospodářské činnosti se mezi členskými státy značně liší co do druhů požadavků, míry jejich podrobnosti a způsobu dohledu. Tyto rozdíly jsou spojeny s dalšími náklady a vytvářejí obtíže pro podniky, které nabízejí přeshraničně zboží nebo služby. Požadavky, jež ukládá jeden členský stát a které se liší od požadavků, jež ukládá jiný členský stát, nebo jsou s nimi dokonce v rozporu, mohou tyto přeshraniční činnosti podstatně ovlivnit. Dále je pravděpodobné, že možná neoptimální koncepce nebo neoptimální provádění norem kybernetické bezpečnosti v jednom členském státě může mít důsledky pro úroveň kybernetické bezpečnosti jiných členských států, zejména vzhledem k intenzivní přeshraniční výměně. Z přezkumu směrnice (EU) 2016/1148 vyplynuly velké rozdíly v jejím provádění členskými státy, a to i ve vztahu k její oblasti působnosti, jejíž vymezení bylo do značné míry ponecháno na uvážení členských států. Směrnice (EU) 2016/1148 rovněž dávala členským státům velmi široký prostor pro uvážení, pokud jde o provedení povinností v oblasti bezpečnosti a hlášení incidentů, které v ní byly stanoveny. Tyto povinnosti byly proto na úrovni členských států provedeny výrazně odlišnými způsoby. K podobným rozdílům v provádění docházelo ve vztahu k ustanovením uvedené směrnice týkajícím se dohledu a vymáhání. (5)Všechny tyto rozdíly vyvolávají roztříštěnost vnitřního trhu a mohou mít škodlivý účinek na jeho fungování s tím, že ovlivňují zejména přeshraniční poskytování služeb a úroveň odolnosti v oblasti kybernetické bezpečnosti v důsledku uplatňování odlišných norem. Cílem této směrnice je takové značné rozdíly mezi členskými státy odstranit, zejména stanovením minimálních pravidel upravujících fungování koordinovaného regulačního rámce, stanovením mechanismů účinné spolupráce příslušných orgánů v každém členském státě, aktualizací seznamu odvětví a činností, na něž se vztahují povinnosti v oblasti kybernetické bezpečnosti, a zavedením účinných nápravných opatření a sankcí, jež napomáhají účinnému vymáhání těchto povinností. Směrnice (EU) 2016/1148 by proto měla být zrušena a nahrazena touto směrnicí. (6)Tato směrnice ponechává nedotčenou schopnost členských států přijímat nezbytná opatření, aby zajistily ochranu svých základních bezpečnostních zájmů, ochranu veřejného pořádku a veřejné bezpečnosti a umožnily vyšetřování, odhalování a stíhání trestných činů v souladu s právem Unie. V souladu s článkem 346 SFEU není žádný členský stát povinen poskytovat informace, jejichž zpřístupnění by bylo v rozporu se základními zájmy jeho veřejné bezpečnosti. V tomto ohledu jsou relevantní pravidla členských států a Unie o ochraně utajovaných informací, dohody o zachování důvěrnosti údajů nebo neformální dohody o zachování důvěrnosti, jako je například tzv. „semaforový protokol“ (Traffic Light Protocol).

(7)Se zrušením směrnice (EU) 2016/1148 by vzhledem k aspektům uvedeným ve 4. až 6. bodě odůvodnění měla být oblast působnosti podle odvětví rozšířena na větší část ekonomiky. Odvětví pokrytá směrnicí (EU) 2016/1148 by proto měla být rozšířena tak, aby bylo zajištěno komplexní pokrytí odvětví a služeb, které mají zásadní význam pro klíčové společenské a hospodářské činnosti v rámci vnitřního trhu. Pravidla by se neměla lišit podle toho, zda jsou subjekty provozovateli základních služeb nebo poskytovateli digitálních služeb. Toto rozlišení se ukázalo jako zastaralé, neboť nezohledňuje skutečnou důležitost odvětví nebo služeb z hlediska společenských a hospodářských činností na vnitřním trhu. (8)V souladu se směrnicí (EU) 2016/1148 byly členské státy odpovědné za určení toho, které subjekty splňují kritéria pro zařazení mezi provozovatele základních služeb (dále jen „proces určování“). S cílem odstranit značné rozdíly mezi členskými státy v tomto ohledu a zajistit právní jistotu pro všechny příslušné subjekty, pokud jde o požadavky na řízení rizik a povinnosti hlášení, by mělo být stanoveno jednotné kritérium, které určí subjekty, jež spadají do oblasti působnosti této směrnice. Toto kritérium by mělo spočívat v uplatnění pravidla velikostního omezení, podle kterého by do oblasti působnosti této směrnice spadaly všechny střední a velké podniky ve smyslu doporučení Komise 2003/361/ES, které působí v odvětvích nebo poskytují druh služeb, na něž se vztahuje tato směrnice. Od členských států by nemělo být vyžadováno, aby stanovily seznam subjektů, které splňují toto obecně použitelné kritérium související s velikostí podniku. (9)Tato směrnice by se však měla vztahovat i na malé subjekty nebo mikrosubjekty, které splňují určitá kritéria, jež naznačují klíčovou úlohu pro hospodářství nebo společnosti členských států nebo pro konkrétní odvětví či konkrétní druhy služeb. Členské státy by měly být odpovědné za stanovení seznamu takových subjektů a předložit ho Komisi. (10)Komise může ve spolupráci se skupinou pro spolupráci vydávat pokyny ohledně plnění kritérií platných pro mikropodniky a malé podniky. (11)Podle odvětví, v němž působí, nebo druhu služeb, jež poskytují, by subjekty spadající do oblasti působnosti této směrnice měly být zařazeny do dvou kategorií: základní a důležité. Tato kategorizace by měla zohlednit úroveň kritické důležitosti daného odvětví nebo druhu služby a také úroveň závislosti jiných odvětví nebo druhů služeb. Jak základní, tak důležité subjekty by měly podléhat stejným požadavkům na řízení rizik a povinnostem hlášení. Dohledové a sankční režimy by mezi těmito dvěma kategoriemi subjektů měly rozlišovat, aby byla zajištěna spravedlivá vyváženost mezi požadavky a povinnostmi na jedné straně a správní zátěží vyplývající z dohledu nad dodržováním směrnice na druhé straně. (12)Právní předpisy a nástroje specifické pro jednotlivá odvětví mohou přispět k zajištění vysoké úrovně kybernetické bezpečnosti při současném plném zohlednění zvláštností a složitosti těchto odvětví. Pokud právní akt Unie specifický pro určité odvětví vyžaduje, aby základní nebo důležité subjekty přijaly opatření k řízení kybernetických bezpečnostních rizik, nebo aby oznamovaly incidenty nebo závažné kybernetické hrozby s alespoň rovnocenným účinkem jako povinnosti stanovené v této směrnici, měla by platit tato ustanovení specifická pro dané odvětví, včetně ustanovení o dohledu a vymáhání. Komise může vydávat pokyny v souvislosti s prováděním lex specialis. Tato směrnice nebrání přijetí dalších aktů Unie specifických pro určitá odvětví a týkajících se opatření k řízení kybernetických bezpečnostních rizik a oznamování incidentů. Touto směrnicí nejsou dotčeny stávající prováděcí pravomoci, jež byly Komisi svěřeny v řadě odvětví, včetně odvětví dopravy a energetiky. (13)Nařízení Evropského parlamentu a Rady XXXX/XXXX by mělo být považováno za právní akt specifický pro konkrétní odvětví ve vztahu k této směrnici, pokud jde o subjekty ve finančním odvětví. Ustanovení nařízení XXXX/XXXX, která se týkají opatření k řízení rizik v oblasti informačních a komunikačních technologií (IKT), řešení incidentů souvisejících s IKT, a zejména hlášení incidentů, jakož i ustanovení týkající se testování digitální provozní odolnosti, ujednání o sdílení informací a rizik v oblasti IKT spojených s třetími stranami by měla platit místo ustanovení stanovených podle této směrnice. Členské státy by proto neměly uplatňovat ustanovení této směrnice o řízení kybernetických bezpečnostních rizik a o povinnostech hlášení, o sdílení informací a o dohledu a vymáhání vůči jakýmkoli finančním subjektům, na něž se vztahuje nařízení XXXX/XXXX. Zároveň je důležité zachovat s finančním odvětvím silný vztah a výměnu informací podle této směrnice. Za tím účelem nařízení XXXX/XXXX umožňuje, aby se všechny orgány finančního dohledu, evropské orgány dohledu pro odvětví financí a příslušné vnitrostátní orgány podle nařízení XXXX/XXXX účastnily diskusí o strategické politice a technických prací skupiny pro spolupráci a aby si vyměňovaly informace a spolupracovaly s jednotnými kontaktními místy určenými podle této směrnice a s týmy CSIRT v členských státech. Příslušné orgány podle nařízení XXXX/XXXX by měly předávat údaje o závažných incidentech týkajících se IKT také jednotným kontaktním místům určeným podle této směrnice. Členské státy by kromě toho měly odvětví financí nadále zahrnovat do svých strategií kybernetické bezpečnosti a týmy CSIRT v členských státech mohou zahrnout finanční odvětví do svých činností. (14)Vzhledem ke vzájemným vazbám mezi kybernetickou bezpečností a fyzickou bezpečností subjektů by měl být zajištěn soudržný přístup ke směrnici Evropského parlamentu a Rady (EU) XXX/XXX a k této směrnici. Za tímto účelem by členské státy měly zajistit, aby klíčové subjekty a rovnocenné subjekty podle směrnice (EU) XXX/XXX byly považovány za základní subjekty podle této směrnice. Členské státy by také měly zajistit, aby jejich strategie kybernetické bezpečnosti stanovily rámec politik pro posílení koordinace mezi příslušným orgánem podle této směrnice a příslušným orgánem podle směrnice (EU) XXX/XXX v souvislosti se sdílením informací o incidentech a kybernetických hrozbách a plněním úkolů v oblasti dohledu. Orgány by podle obou směrnic měly spolupracovat a vyměňovat si informace, zejména informace týkající se určení klíčových subjektů, kybernetických hrozeb, kybernetických bezpečnostních rizik, incidentů dotýkajících se klíčových subjektů a opatření v oblasti kybernetické bezpečnosti přijatých klíčovými subjekty. Příslušným orgánům podle této směrnice by mělo být umožněno, aby na žádost příslušných orgánů podle směrnice (EU) XXX/XXX vykonávaly své dohledové a vymáhací pravomoci vůči subjektu, který byl označen jako klíčový. Oba orgány by za tímto účelem měly spolupracovat a vyměňovat si informace. (15)Podpora a ochrana spolehlivého, odolného a bezpečného systému doménových jmen jsou klíčovým faktorem pro zachování integrity internetu a jsou nezbytné pro jeho nepřetržitý a stabilní provoz, na kterém závisí digitální ekonomika a společnost. Tato směrnice by se proto měla vztahovat na všechny poskytovatele služeb systému doménových jmen v celém řetězci řešení systému doménových jmen, včetně operátorů kořenových jmenných serverů, serverů internetových domén nejvyšší úrovně, autoritativních jmenných serverů pro doménová jména a rekurzivních resolverů. (16)Služby cloud computingu by měly zahrnovat služby, které umožňují správu na vyžádání a široký dálkový přístup k rozšiřitelnému a přizpůsobitelnému úložišti distribuovaných výpočetních zdrojů, které je možno sdílet. Tyto výpočetní zdroje zahrnují zdroje, jako jsou sítě, servery nebo jiná infrastruktura, operační systémy, software, ukládání, aplikace a služby. Modely zavádění cloud computingu by měly zahrnovat soukromý, komunitní, veřejný a hybridní cloud. Uvedené služby a modely zavádění mají tentýž význam jako podmínky poskytování služeb a modely zavádění definované podle normy ISO/IEC 17788:2014. Schopnost uživatele cloud computingu jednostranně vlastními silami využívat výpočetní potenciál, jako je čas serveru nebo ukládání na síti, bez jakékoli interakce poskytovatele služeb cloud computingu s člověkem, by bylo možné popsat jako správu na vyžádání. Pojem „široký dálkový přístup“ se používá k popsání toho, že cloudová kapacita je poskytována po síti a přístup k ní se uskutečňuje prostřednictvím mechanismu podporujícího použití heterogenních platforem s tenkými nebo tlustými klienty (včetně mobilních telefonů, tabletů, laptopů a pracovních stanic). Pojem „rozšiřitelný“ poukazuje na skutečnost, že v zájmu pokrytí nerovnoměrné poptávky jsou výpočetní zdroje přidělovány poskytovatelem cloudových služeb flexibilně, bez ohledu na zeměpisnou polohu zdrojů. Pojem „přizpůsobitelné úložiště“ označuje skutečnost, že uvedené výpočetní zdroje jsou poskytovány a uvolňovány na základě poptávky, aby bylo možno urychleně zvyšovat i snižovat dostupné zdroje se zřetelem na zatížení. Pojmem „které je možno sdílet“ se rozumí, že tyto výpočetní zdroje jsou poskytovány vícero uživatelům, kteří k dané službě sdílejí společný přístup, avšak zpracování probíhá pro každého uživatele odděleně, byť je služba poskytována z téhož elektronického zařízení. Pojem „distribuovaný“ označuje ty výpočetní zdroje, které se nacházejí na různých sítově propojených počítačích nebo zařízeních a které mezi sebou komunikují a koordinují prostřednictvím předávání zpráv. (17)Vzhledem ke vzniku inovativních technologií a nových obchodních modelů se předpokládá, že v reakci na vyvíjející se potřeby zákazníků se na trhu objeví nové modely zavádění a služeb cloud computingu. V této souvislosti lze služby cloud computingu poskytovat ve vysoce distribuované podobě, ještě blíže k místu, kde jsou data generována nebo shromažďována, a přejít tak od tradičního modelu k vysoce distribuovanému modelu (tzv. „edge computing“). (18)Služby, jež nabízejí poskytovatelé služeb datových center, nemusí být vždy poskytovány ve formě služeb cloud computingu. Datová centra tedy ne vždy tvoří součást infrastruktury cloud computingu. Aby bylo možné řídit všechna rizika pro bezpečnost sítí a informačních systémů, měla by se tato směrnice vztahovat také na poskytovatele takových služeb datových center, které nejsou službami cloud computingu. Pro účely této směrnice by pojem „služba datových center“ měl zahrnovat poskytování služby, která zahrnuje struktury nebo skupiny struktur určené pro centralizované úpravy, vzájemné propojení a provozování informačních technologií a síťových zařízení poskytujících služby ukládání, zpracování a přepravu dat spolu se všemi zařízeními a infrastrukturami pro rozvod energie a kontrolu životního prostředí. Pojem „služba datových center“ se nevztahuje na interní, firemní datová centra vlastněná a provozovaná pro vlastní potřebu dotyčného subjektu. (19)Poskytovatelé poštovních služeb ve smyslu směrnice Evropského parlamentu a Rady 97/67/ES a rovněž poskytovatelé expresních a kurýrních doručovacích služeb by měli této směrnici podléhat, pokud poskytují alespoň jeden z kroků v poštovním řetězci, a zejména výběr, třídění nebo dodání, včetně služeb souvisejících s vyzvedáváním. Přepravní služby, které nejsou poskytovány ve spojení s některým z těchto kroků, by neměly spadat do oblasti působnosti poštovních služeb. (20)Tyto rostoucí vzájemné závislosti jsou výsledkem stále více přeshraniční a vzájemně propojené sítě poskytování služeb pomocí klíčových infrastruktur v celé Unii v odvětvích energetiky, dopravy, digitální infrastruktury, pitné a odpadní vody, zdravotnictví, některých prvků veřejné správy a rovněž vesmíru, pokud jde o poskytování určitých služeb závisejících na pozemních infrastrukturách, které vlastní, řídí a provozují buď členské státy, nebo soukromé subjekty, a proto nezahrnují infrastruktury vlastněné, řízené a provozované Unií nebo jménem Unie v rámci jejích vesmírných programů. Tyto vzájemné závislosti znamenají, že jakékoli narušení hospodářské soutěže, a dokonce i takové narušení, které je původně omezeno na jeden subjekt nebo jedno odvětví, může mít širší dominové účinky, jež mohou potenciálně mít dalekosáhlé negativní dopady na poskytování služeb na celém vnitřním trhu. Pandemie COVID-19 prokázala zranitelnost našich stále více vzájemně závislých společností, jsou-li vystaveny málo pravděpodobným rizikům. (21)Vzhledem k odlišnostem jednotlivých vnitrostátních správních struktur a s cílem podpořit již existující odvětvová opatření nebo kontrolní a regulační orgány Unie by členské státy měly mít možnost určit více než jeden vnitrostátní příslušný orgán odpovědný za plnění úkolů spojených s bezpečností sítí a informačních systémů základních a důležitých subjektů podle této směrnice. Členským státům by mělo být umožněno, aby tuto úlohu svěřily již existujícímu orgánu. (22)Pro usnadnění přeshraniční spolupráce a komunikace mezi orgány a za účelem účinného provedení této směrnice je nezbytné, aby každý členský stát určil na vnitrostátní úrovni jednotné kontaktní místo pověřené koordinací v oblasti bezpečnosti sítí a informačních systémů a přeshraniční spolupráce na úrovni Unie. (23)Příslušné orgány nebo týmy CSIRT by měly od subjektů dostávat oznámení o incidentech účinným a efektivním způsobem. Jednotným kontaktním místům by mělo být uloženo, aby zasílala oznámení o incidentech jednotným kontaktním místům jiných dotčených členských států. Aby bylo zajištěno jedno jednotné kontaktní místo v každém členském státě, měly by být jednotným kontaktním místům na úrovni členských států zasílány příslušné informace o incidentech týkajících se subjektů ve finančním odvětví od příslušných orgánů podle nařízení XXXX/XXXX, které by tato kontaktní místa měla být podle této směrnice schopna případně zasílat příslušným vnitrostátním orgánům nebo týmům CSIRT. (24)Členské státy by měly být náležitě vybaveny jak po technické, tak po organizační stránce, aby mohly předcházet incidentům a rizikům spojeným se sítěmi a informačními systémy, odhalovat je, reagovat na ně a zmírňovat je. Členské státy by proto měly zajistit, aby dobře fungovaly jejich týmy CSIRT, rovněž označované jako týmy CERT (týmy pro reakci na počítačové hrozby), které budou splňovat základní požadavky, tak aby byly zaručeny jejich efektivní a kompatibilní schopnosti řešit incidenty a rizika a aby byla zajištěna účinná spolupráce na úrovni Unie. V zájmu posílení důvěry mezi subjekty a týmy CSIRT v případech, kdy je tým CSIRT součástí příslušného orgánu, by členské státy měly zvážit funkční oddělení operativních úkolů plněných týmy CSIRT, zejména v souvislosti se sdílením informací a podporou poskytovanou subjektům, od činností příslušných orgánů v oblasti dohledu. (25)Pokud jde o osobní údaje, týmům CSIRT by mělo být umožněno, aby v souladu s nařízením Evropského parlamentu a Rady (EU) 2016/679 jménem a na žádost subjektu podle této směrnice aktivně prohledávaly sítě a informační systémy, které používá k poskytování svých služeb. Členské státy by se měly zaměřit na to, aby všem odvětvovým týmům CSIRT zajistily stejné technické podmínky. Při budování vnitrostátních týmů CSIRT mohou členské státy požádat o součinnost Agenturu Evropské unie pro kybernetickou bezpečnost (ENISA). (26)S ohledem na význam mezinárodní spolupráce na poli kybernetické bezpečnosti by týmy CSIRT měly mít možnost účastnit se kromě sítě CSIRT zřízené touto směrnicí také dalších sítí pro mezinárodní spolupráci.

(27)V souladu s přílohou doporučení Komise (EU) 2017/1548 o koordinované reakci na rozsáhlé kybernetické bezpečnostní incidenty a krize (dále jen „plán“) by rozsáhlý incident měl označovat incident s významným dopadem na nejméně dva členské státy nebo takový incident, při kterém narušení přesahuje schopnost členského státu na něj reagovat. V závislosti na jejich příčině a dopadu mohou rozsáhlé incidenty eskalovat a přejít ve skutečné krize, jež neumožní řádné fungování vnitřního trhu. Vzhledem k širokému dopadu a ve většině případů i přeshraniční povaze takových incidentů by členské státy a příslušné orgány, instituce a agentury Unie měly na technické, operativní a politické úrovni spolupracovat a odpovídajícím způsobem koordinovat reakci v celé Unii. (28)Využití zranitelných míst v sítích a informačních systémech může způsobit vážná narušení a škody, a rychlé určení a náprava těchto zranitelností je proto důležitým faktorem při snižování kybernetických bezpečnostních rizik. Subjekty, které takové systémy vyvíjejí, by proto měly stanovit vhodné postupy k řešení zranitelných míst, jakmile jsou zjištěna. Jelikož zranitelná místa jsou často zjištěna a ohlášena (odhalena) třetími stranami (subjekty ohlašujícími incidenty), výrobce nebo poskytovatel produktů nebo služeb IKT by měl rovněž zavést nezbytné postupy pro získávání informací o zranitelných místech od třetích stran. Vodítko pro řešení zranitelností a odhalování zranitelností v této souvislosti poskytují mezinárodní normy ISO/IEC 30111 a ISO/IEC 29417. Pokud jde o odhalování zranitelných míst, je obzvláště důležitá koordinace mezi subjekty ohlašujícími incidenty a výrobci nebo poskytovateli produktů nebo služeb IKT. Koordinované odhalování zranitelností specifikuje strukturovaný proces, jehož prostřednictvím jsou zranitelná místa hlášena organizacím takovým způsobem, který organizaci umožní diagnostikovat a odstranit zranitelnost dříve, než budou podrobné informace o ní sděleny třetím stranám nebo veřejnosti. Koordinované odhalování zranitelností by také mělo zahrnovat koordinaci mezi subjektem ohlašujícím incidenty a organizací, pokud jde o načasování odstranění a zveřejnění zranitelných míst. (29)Členské státy by proto měly stanovit příslušnou vnitrostátní politiku a přijmout tak opatření k usnadnění koordinovaného odhalování zranitelností. V této souvislosti by členské státy měly určit tým CSIRT, který převezme úlohu „koordinátora“ a v případě potřeby bude působit jako zprostředkovatel mezi subjekty ohlašujícími incidenty a výrobci nebo poskytovateli produktů nebo služeb IKT. Úkoly koordinátora týmů CSIRT by měly zahrnovat zejména určení a kontaktování dotčených subjektů, podporu subjektů ohlašujících incidenty, dojednávání harmonogramů odhalení a řízení zranitelností, které se dotýkají mnoha organizací (odhalování zranitelností ohrožujících více stran). Pokud se zranitelná místa dotýkají více výrobců nebo poskytovatelů produktů nebo služeb IKT, kteří jsou usazení ve více než jednom členském státě, určené týmy CSIRT z každého z dotčených členských států by měly spolupracovat v rámci sítě CSIRT. (30)Přístup ke správným a včasným informacím o zranitelnostech dotýkajících se produktů a služeb IKT přispívá k zesílenému řízení kybernetických bezpečnostních rizik. V této souvislosti jsou zdroje veřejně přístupných informací o zranitelných místech důležitým nástrojem pro subjekty a jejich uživatele, ale i pro příslušné vnitrostátní orgány v Unii a týmy CSIRT. Z tohoto důvodu by agentura ENISA měla zavést registr zranitelností, kde základní a důležité subjekty a jejich dodavatelé, a stejně tak i subjekty, které nespadají do oblasti působnosti této směrnice, mohou na základě dobrovolnosti odhalovat zranitelná místa a poskytovat o nich informace, jež uživatelům umožní přijímat vhodná opatření ke zmírnění dopadů. (31)Ačkoli podobné registry nebo databáze zranitelností existují, jsou hostovány a spravovány subjekty, které nejsou usazeny v Unii. Evropský registr zranitelností spravovaný agenturou ENISA by poskytl lepší transparentnost procesu odhalování předtím, než je zranitelné místo oficiálně zveřejněno, a odolnost v případech narušení nebo přerušení poskytování podobných služeb. S cílem zabránit zdvojení úsilí a v co největší možné míře usilovat o komplementaritu, by agentura ENISA měla zkoumat možnost uzavření strukturovaných dohod o spolupráci s podobnými registry v jurisdikcích třetích zemí. (32)Skupina pro spolupráci by měla každé dva roky přijmout pracovní program včetně opatření, které má skupina podniknout ke splnění svých cílů a úkolů. Časový rámec prvního programu, který by byl podle této směrnice přijat, by byl sladěn s časovým rámcem posledního programu přijatého podle směrnice (EU) 2016/1148, aby se zabránilo možnému přerušení práce skupiny. (33)Při vypracování pokynů by skupina pro spolupráci měla důsledně: mapovat vnitrostátní řešení a zkušenosti, posuzovat dopad výstupů skupiny pro spolupráci na přístupy členských států, diskutovat o problémech spojených s prováděním a formulovat konkrétní doporučení, která je třeba zohlednit prostřednictvím lepšího provádění stávajících pravidel. (34)Skupina pro spolupráci by i nadále měla být flexibilním fórem a měla by být schopna reagovat na měnící se a nové priority a výzvy politik, a přitom brát v úvahu dostupnost zdrojů. Měla by organizovat pravidelná společná setkání s relevantními soukromými zúčastněnými stranami z celé Unie za účelem projednání činností prováděných skupinou a shromažďování vstupů týkajících se vznikajících politických výzev. S cílem posílit spolupráci na úrovni Unie by skupina měla zvážit pozvání k účasti na její činnosti pro instituce a agentury Unie zapojené do politiky v oblasti kybernetické bezpečnosti, jako je Evropské centrum pro boj proti kyberkriminalitě (EC3), Agentura Evropské unie pro bezpečnost letectví (EASA) a Agentura Evropské unie pro kosmický program (EUSPA). (35)Příslušné orgány a týmy CSIRT by měly být zmocněny se účastnit výměnných programů pro úředníky z jiných členských států za účelem zlepšení spolupráce. Příslušné orgány by měly přijmout nezbytná opatření, jež umožní úředníkům z jiných členských států účinně se zapojit do činností hostitelského příslušného orgánu. (36)Unie by ve vhodných případech měla v souladu s článkem 218 SFEU uzavírat mezinárodní dohody s třetími zeměmi nebo mezinárodními organizacemi, které umožní a zorganizují jejich účast na některých činnostech skupiny pro spolupráci a sítě CSIRT. Takové dohody by měly zajistit odpovídající ochranu údajů. (37)Členské státy by měly přispět k vytvoření rámce EU pro reakci na kybernetické bezpečnostní krize uvedeného v doporučení (EU) 2017/1584 prostřednictvím stávajících sítí pro spolupráci, zejména sítě styčných organizací pro kybernetické krize (EU-CyCLONe), sítě CSIRT a skupiny pro spolupráci. Sítě EU-CyCLONe a CSIRT by měly spolupracovat na základě procesních ujednání, jež vymezí podmínky této spolupráce. Jednací řád sítě EU-CyCLONe by měl dále vymezit podmínky, za nichž by měla síť fungovat, mimo jiné včetně úloh, způsobů spolupráce, interakcí s jinými relevantními subjekty a šablon pro sdílení informací, jakož i způsobů komunikace. Pokud jde o krizové řízení na úrovni Unie, měly by příslušné strany vycházet z integrovaných opatření pro politickou reakci na krize. Komise by za tímto účelem měla využít proces meziodvětvové koordinace na vysoké úrovni v krizových situacích ARGUS. Pokud má krize významný externí rozměr nebo rozměr společné bezpečnostní a obranné politiky (SBOP), měl by být aktivován mechanismus Evropské služby pro vnější činnost (ESVČ) pro reakce na krize. (38)Pro účely této směrnice by pojem „riziko“ měl poukazovat na možnost ztráty nebo narušení způsobených kybernetickým bezpečnostním incidentem a měl by být vyjádřen jako kombinace rozsahu takové ztráty nebo narušení a pravděpodobnosti vzniku uvedeného incidentu. (39)Pro účely této směrnice by pojem „případy, kdy téměř došlo k incidentu“ měl poukazovat na událost, která by mohla potenciálně způsobit škodu, ale jejímu plnému projevení bylo úspěšně zabráněno. (40)Opatření pro řízení rizik by měla zahrnovat opatření pro určení veškerých rizik incidentů, předcházení incidentům, jejich odhalování a řešení a zmírňování jejich dopadu. Bezpečnost sítí a informačních systémů by měla zahrnovat bezpečnost uchovávaných, předávaných a zpracovávaných údajů. (41)Požadavky na řízení kybernetických bezpečnostních rizik by měly být úměrné rizikům, jež daná síť nebo informační systém obnáší, aby na základní a důležité subjekty nebyla uvalena nepřiměřená finanční a administrativní zátěž, a to s ohledem na nejnovější technický vývoj takových opatření. (42)Základní a důležité subjekty by měly zajistit bezpečnost sítí a informačních systémů, které užívají ve svých činnostech. Jedná se především o soukromé sítě a informační systémy, jež jsou buď řízeny jejich interními pracovníky IT, nebo jejichž bezpečnost zajišťuje externí dodavatel. Požadavky týkající se řízení kybernetických bezpečnostních rizik a hlášení podle této směrnice by měly pro příslušné základní a důležité subjekty platit bez ohledu na to, zda správu svých sítí a informačních systémů provádějí interně, nebo s pomocí externího dodavatele. (43)Řešení kybernetických bezpečnostních rizik vyplývajících z dodavatelského řetězce subjektu nebo jeho vztahů s dodavateli je zvlášť důležité vzhledem k počtu incidentů, kdy se subjekty staly obětí kybernetických útoků a kdy nepřátelské subjekty byly schopny narušit bezpečnost sítí a informačních systémů daného subjektu tím, že využily zranitelných míst v produktech a službách třetí strany. Subjekty by proto měly posoudit a zohlednit celkovou kvalitu produktů a postupů kybernetické bezpečnosti svých dodavatelů a poskytovatelů služeb, včetně jejich postupů k zajištění bezpečného vývoje. (44)Mezi poskytovateli služeb mají zvlášť důležitou úlohu v pomoci subjektům v jejich úsilí o odhalování a řešení incidentů poskytovatelé řízených bezpečnostních služeb v oblastech jako reakce na incidenty, penetrační testování, bezpečnostní audity a konzultační činnost. Tito poskytovatelé řízených bezpečnostních služeb však jsou rovněž sami cíli kybernetických útoků a kvůli své úzké integraci do provozu operátorů představují zvlášť vysoké kybernetické bezpečnostní riziko. Subjekty by proto měly při výběru poskytovatele řízených bezpečnostních služeb postupovat se zvýšenou pečlivostí. (45)Subjekty by rovněž měly řešit kybernetická bezpečnostní rizika vyplývající z jejich interakcí a vztahů s jinými zúčastněnými stranami v rámci širšího ekosystému. Subjekty by zejména měly přijetím vhodných opatření zajistit, že jejich spolupráce s akademickými a výzkumnými institucemi probíhá v souladu s jejich politikami kybernetické bezpečnosti a řídí se osvědčenými postupy, pokud jde o bezpečný přístup a šíření informací obecně a ochranu duševního vlastnictví zvláště. Podobně by subjekty, jsou-li závislé na službách transformace dat a analýzy dat poskytovaných třetími stranami, vzhledem k důležitosti a hodnotě dat pro jejich činnost měly přijmout veškerá vhodná opatření v oblasti kybernetické bezpečnosti. (46)K dalšímu řešení klíčových rizik dodavatelského řetězce a na pomoc subjektům působícím v odvětvích, na něž se vztahuje tato směrnice, aby odpovídajícím způsobem řídily dodavatelský řetězec a kybernetická bezpečnostní rizika související s dodavateli, by skupina pro spolupráci, jež zahrnuje příslušné vnitrostátní orgány, ve spolupráci s Komisí a agenturou ENISA měla provést koordinovaná posouzení rizik dodavatelských řetězců v jednotlivých odvětvích, jak bylo již provedeno pro sítě 5G v návaznosti na doporučení (EU) 2019/534 o kybernetické bezpečnosti sítí 5G, za účelem určení příslušných hrozeb a zranitelných míst v každém odvětví, v němž existují kritické služby IKT, systémy nebo produkty IKT.

(47)Posouzení rizik dodavatelského řetězce by s ohledem na charakteristické rysy dotčeného odvětví měla zohlednit jak technické, tak případné netechnické faktory včetně faktorů vymezených v doporučení (EU) 2019/534, v koordinovaném posouzení rizik pro bezpečnost sítí 5G v celé EU a v souboru opatření EU pro kybernetickou bezpečnost sítí 5G, na němž se dohodla skupina pro spolupráci. K určení dodavatelských řetězců, které by měly podléhat koordinovanému posouzení rizik, by měla být vzata v úvahu tato kritéria: i) rozsah, v jakém základní a důležité subjekty využívají konkrétní kritické služby, systémy a produkty IKT a jsou na nich závislé; ii) relevantnost konkrétních služeb, systémů nebo produktů IKT pro plnění kritických nebo citlivých funkcí, včetně zpracování osobních údajů; iii) dostupnost alternativních služeb, systémů nebo produktů IKT; iv) odolnost celého dodavatelského řetězce služeb, systémů nebo produktů IKT vůči narušení a v) u vznikajících služeb, systémů nebo produktů IKT jejich budoucí význam pro činnost subjektů. (48)S cílem zjednodušit právní povinnosti ukládané poskytovatelům veřejných sítí elektronické komunikace nebo veřejně dostupných služeb elektronické komunikace a poskytovatelům služeb vytvářejících důvěru a které se týkají bezpečnosti jejich sítí a informačních systémů, a s cílem umožnit těmto subjektům a jejich příslušným orgánům využívat právní rámec stanovený touto směrnicí (včetně určení týmu CSIRT odpovědného za zvládání rizik a incidentů, účasti příslušných orgánů a institucí na činnosti skupiny pro spolupráci a sítě CSIRT), by měly být zahrnuty do oblasti působnosti této směrnice. Příslušná ustanovení v nařízení Evropského parlamentu a Rady (EU) č. 910/2014 a směrnici Evropského parlamentu a Rady (EU) 2018/1972, které na tyto druhy subjektů kladou požadavky týkající se bezpečnosti a podávání zpráv, by proto měla být zrušena. Pravidly o povinnostech ohlašování by nemělo být dotčeno nařízení Evropského parlamentu a Rady (EU) 2016/679 a směrnice Evropského parlamentu a Rady 2002/58/ES. (49)Pokud je to vhodné a s cílem zabránit zbytečným narušením by příslušné orgány odpovědné za dohled a vymáhání pro účely této směrnice měly i nadále používat stávající vnitrostátní pokyny a právní předpisy členských států přijaté k provedení pravidel týkajících se bezpečnostních opatření stanovených v čl. 40 odst. 1 směrnice (EU) 2018/1972, a rovněž požadavků čl. 40 odst. 2 uvedené směrnice týkajících se parametrů pro určení významnosti dopadu daného incidentu. (50)Vzhledem k rostoucímu významu interpersonálních komunikačních služeb nezávislých na číslech je nutné zajistit, aby i tyto služby podléhaly odpovídajícím bezpečnostním požadavkům v souladu s jejich zvláštní povahou a ekonomickým významem. Provozovatelé takových služeb by tedy měli rovněž zajišťovat úroveň bezpečnosti sítí a informačních systémů odpovídající existující míře rizika. Vzhledem k tomu, že poskytovatelé interpersonálních komunikačních služeb nezávislých na číslech obvykle nevykonávají skutečnou kontrolu nad přenosem signálů v sítích, lze míru rizika pro tyto služby v některých ohledech považovat za nižší než v případě tradičních služeb elektronických komunikací. Totéž platí o interpersonálních komunikačních službách, které využívají čísla a které nevykonávají skutečnou kontrolu nad přenosem signálů. (51)Vnitřní trh více než kdy předtím spoléhá na fungování internetu. Na službách poskytovaných po internetu jsou závislé služby prakticky všech základních a důležitých subjektů. S cílem zajistit bezproblémové poskytování služeb základních a důležitých subjektů je důležité, aby veřejné sítě elektronických komunikací, jako jsou například internetové páteřní sítě nebo podmořské komunikační kabely, měly zavedena odpovídající opatření v oblasti kybernetické bezpečnosti a hlásily incidenty, které se jich týkají. (52)Ve vhodných případech by subjekty měly informovat příjemce svých služeb o konkrétních a závažných hrozbách a o opatřeních, která mohou přijmout, aby snížili riziko, jež jim z těchto hrozeb vyplývá. Požadavek na informování příjemců o hrozbách by subjekty neměl zbavovat povinnosti přijmout na své vlastní náklady přiměřená a okamžitá opatření s cílem zamezit jakýmkoli kybernetickým hrozbám nebo je odstranit a obnovit běžnou úroveň bezpečnosti služby. Tyto informace o bezpečnostních hrozbách by měly být příjemcům poskytovány zdarma. (53)Poskytovatelé veřejných sítí elektronických komunikací nebo veřejně dostupných služeb elektronických komunikací by měli příjemce služby zejména informovat o konkrétních a závažných kybernetických hrozbách a o opatřeních, která mohou přijmout, aby chránili bezpečnost své komunikace, například použitím specifických druhů softwaru nebo šifrovacích technologií. (54)S cílem zajistit bezpečnost sítí a služeb elektronické komunikace by mělo být podporováno použití šifrování, a zejména šifrování mezi koncovými body, a v případě nutnosti by pro poskytovatele těchto služeb a sítí v souladu se zásadami bezpečnosti a soukromí standardně a záměrně pro účely článku 18 mělo být povinné. Použití šifrování mezi koncovými body by mělo být v souladu s pravomocemi členských států zajistit ochranu podstatných zájmů své bezpečnosti a veřejné bezpečnosti a umožnit vyšetřování, odhalování a stíhání trestných činů v souladu s právem Unie. Řešení k zajištění zákonného přístupu k informacím v rámci komunikace šifrované mezi koncovými body by měla zachovat účinnost šifrování při ochraně soukromí a bezpečnosti komunikací, a současně poskytnout účinnou reakci na trestnou činnost. (55)Tato směrnice stanoví dvoustupňový přístup k hlášení incidentů, tak aby bylo dosaženo správné rovnováhy mezi rychlým hlášením, které pomáhá snížit potenciální šíření incidentů a umožňuje subjektům žádat o podporu, na jedné straně a podrobným hlášením, které čerpá cenná poučení z jednotlivých incidentů a s postupem času zvyšuje odolnost jednotlivých společností a celých odvětví vůči kybernetickým hrozbám, na straně druhé. Jakmile se subjekty dozvědí o incidentu, měly by být povinny předložit počáteční oznámení do 24 hodin a poté závěrečnou zprávu nejpozději do jednoho měsíce. Počáteční oznámení by mělo obsahovat pouze informace, které jsou zcela nezbytné, aby byl příslušný orgán zpraven o incidentu, a které subjektu umožňují v případě potřeby požádat o pomoc. V tomto oznámení by v daném případě mělo být uvedeno, zda je incident pravděpodobně způsoben protiprávním či zlovolným jednáním. Členské státy by měly zajistit, aby požadavek na předložení tohoto počátečního oznámení neodváděl zdroje ohlašujícího subjektu od činností souvisejících s řešením incidentu, které by měly mít přednost. Aby se dále zabránilo tomu, že by povinnosti hlášení incidentu odváděly zdroje od řešení reakce na incident nebo jinak narušovaly úsilí subjektů v tomto ohledu, členské státy by měly rovněž stanovit, že v řádně odůvodněných případech a po dohodě s příslušnými orgány nebo s týmy CSIRT se dotyčný subjekt může odchýlit od lhůt 24 hodin pro počáteční oznámení a jeden měsíc pro konečnou zprávu. (56)Základní a důležité subjekty jsou často v situaci, kdy je konkrétní incident vzhledem k jeho povaze třeba v důsledku oznamovacích povinností uvedených v různých právních nástrojích ohlásit různým orgánům. Takové případy vytvářejí další zátěž a mohou také vést k nejasnostem, pokud jde o formát a postupy takových oznámení. Vzhledem k tomu a za účelem zjednodušení hlášení o bezpečnostních incidentech by členské státy měly stanovit jedno vstupní místo pro všechna oznámení vyžadovaná podle této směrnice i podle jiných právních předpisů Unie, jako je nařízení (EU) 2016/679 a směrnice 2002/58/ES. Agentura ENISA by ve spolupráci se skupinou pro spolupráci měla vypracovat společné šablony hlášení prostřednictvím pokynů, které by zjednodušily a zefektivnily informace uvedené v hlášeních, jež vyžaduje právo Unie, a snížily zátěž pro společnosti. (57)Existuje-li podezření, že určitý incident souvisí se závažnou trestnou činností podle unijního nebo vnitrostátního práva, měly by členské státy motivovat základní a důležité subjekty, aby na základě platných pravidel trestního řízení v souladu s právem Unie incidenty s podezřením na trestní povahu ohlašovaly z vlastní iniciativy donucovacím orgánům. V případě potřeby, a aniž jsou dotčena pravidla ochrany osobních údajů platná pro Europol, je žádoucí, aby koordinaci mezi příslušnými orgány a donucovacími orgány v různých členských státech usnadnily EC3 a agentura ENISA. (58)V důsledku incidentů je v mnoha případech ohrožena ochrana osobních údajů. V této souvislosti by příslušné orgány měly spolupracovat s orgány pro ochranu osobních údajů a orgány dozoru podle směrnice 2002/58/ES a vyměňovat si s nimi informace o všech relevantních záležitostech (59)Udržování přesných a úplných databází doménových jmen a registračních údajů (takzvaných „údajů WHOIS“) a poskytování zákonného přístupu k těmto údajům má zásadní význam pro zajištění bezpečnosti, stability a odolnosti systému doménových jmen (DNS), což na druhé straně přispívá k vyšší společné úrovni kybernetické bezpečnosti v Unii. Pokud zpracování údajů zahrnuje osobní údaje, musí takové zpracování být v souladu s právem Unie v oblasti ochrany údajů. (60)Dostupnost a včasný přístup k těmto údajům pro orgány veřejné správy, včetně příslušných orgánů podle unijního nebo vnitrostátního práva za účelem prevence, vyšetřování či stíhání trestných činů, pro týmy CERT (týmy CSIRT) a, pokud jde o údaje jejich zákazníků, pro poskytovatele elektronických komunikačních sítí a služeb a poskytovatele technologií a služeb v oblasti kybernetické bezpečnosti jednající jménem těchto zákazníků, má zásadní význam pro prevenci a boj proti zneužívání systému doménových jmen, a zejména pro prevenci a odhalování kybernetických bezpečnostních incidentů a reakci na tyto incidenty. Pokud se takový přístup týká osobních údajů, měl by být v souladu s právem Unie v oblasti ochrany údajů. (61)S cílem zajistit dostupnost přesných a úplných údajů o registraci domén by registry internetových domén nejvyšší úrovně a subjekty poskytující služby registrace domén nejvyšší úrovně (takzvaní registrátoři) měly shromažďovat údaje o registraci domén a zaručovat integritu a dostupnost těchto údajů. Registry internetových domén nejvyšší úrovně a subjekty poskytující služby registrace domén nejvyšší úrovně by zejména měly stanovit politiky a postupy pro shromažďování a uchovávání přesných a úplných registračních údajů a rovněž zamezit uvádění nesprávných registračních údajů a opravovat je v souladu s pravidly Unie o ochraně osobních údajů. (62)Registry internetových domén nejvyšší úrovně a subjekty poskytující jim služby registrace domén by měly veřejně zpřístupnit údaje o registraci domén, které nespadají do oblasti působnosti pravidel Unie na ochranu osobních údajů, například údajů, které se týkají právnických osob. Registry internetových domén nejvyšší úrovně a subjekty poskytující služby registrace domén nejvyšší úrovně by také měly v souladu s právem Unie na ochranu osobních údajů umožnit oprávněným žadatelům o přístup zákonný přístup ke konkrétním údajům o registraci domén týkajícím se fyzických osob. Členské státy by měly zajistit, aby registry internetových domén nejvyšší úrovně a subjekty poskytující jim služby registrace domén bez zbytečného odkladu reagovaly na žádosti oprávněných žadatelů o přístup o zpřístupnění údajů o registraci domén. Registry internetových domén nejvyšší úrovně a subjekty poskytující jim služby registrace domén by měly stanovit politiky a postupy pro zveřejňování a zpřístupnění registračních údajů, včetně dohod o úrovni služeb k vyřizování žádostí o přístup od oprávněných žadatelů o přístup. Postup poskytování přístupu může také obsahovat užívání rozhraní, portálu nebo jiného technického nástroje k zajištění účinného systému žádostí o registrační údaje a přístupu k těmto údajům. Za účelem podpory harmonizovaných postupů na vnitřním trhu může Komise přijmout pokyny o takových postupech, aniž jsou dotčeny pravomoci Evropského sboru pro ochranu osobních údajů. (63)Všechny základní a důležité subjekty podle této směrnice by měly podléhat pravomoci členského státu, ve kterém poskytují své služby. Poskytuje-li subjekt služby ve více než jednom členském státě, měl by podléhat samostatné a souběžné pravomoci každého z těchto členských států. Příslušné orgány těchto členských států by měly spolupracovat, poskytovat si navzájem pomoc a v případě potřeby provádět společné akce v oblasti dohledu. (64)S cílem zohlednit přeshraniční povahu služeb a činností poskytovatelů služeb systému doménových jmen, registrů internetových domén nejvyšší úrovně, poskytovatelů sítí pro doručování obsahu, poskytovatelů služeb cloud computingu, poskytovatelů služeb datových center a poskytovatelů digitálních služeb by pravomoc nad těmito subjekty měl mít pouze jeden členský stát. Pravomoc by měl mít ten členský stát, v němž má daný subjekt v rámci Unie hlavní místo obchodní činnosti. Kritérium místa obchodní činnosti pro účely této směrnice předpokládá účinný výkon činnosti prostřednictvím stálých struktur. Právní forma takových struktur, ať již jde o pobočku, nebo dceřinou společnost s právní subjektivitou, není v tomto ohledu rozhodujícím faktorem. To, zda je toto kritérium splněno, by nemělo záviset na tom, zda se sítě a informační systémy fyzicky nacházejí na daném místě; sama přítomnost a samotné používání takových sítí a systémů nejsou podstatou hlavního místa obchodní činnosti, a tudíž ani nejsou rozhodujícími kritérii pro jeho určení. Hlavní místo obchodní činnosti by mělo být místo v Unii, kde jsou přijímána rozhodnutí týkající se opatření k řízení kybernetických bezpečnostních rizik. To bude obvykle odpovídat místu, kde se nachází ústřední správa společnosti v Unii. Pokud taková rozhodnutí nejsou v Unii přijímána, mělo by se mít za to, že hlavní místo obchodní činnosti je v členském státě, ve kterém má subjekt provozovnu s nejvyšším počtem zaměstnanců v Unii. Pokud jsou služby prováděny skupinou podniků, mělo by se za hlavní místo obchodní činnosti skupiny podniků považovat hlavní místo obchodní činnosti řídícího podniku. (65)V případech, kdy poskytovatel služeb systému doménových jmen, registr internetových domén nejvyšší úrovně, poskytovatel sítí pro doručování obsahu, poskytovatel služeb cloud computingu, poskytovatel služeb datových center a poskytovatel digitálních služeb usazený mimo Unii nabízí služby v rámci Unie, měl by ustanovit svého zástupce. Aby bylo možno určit, zda takový subjekt nabízí služby v rámci Unie, mělo by být ověřeno, zda má dotyčný subjekt zjevně v úmyslu nabízet služby osobám v jednom nebo více členských státech. Pouhá dostupnost internetových stránek subjektu nebo jeho zprostředkovatele v Unii nebo dostupnost e-mailové adresy a dalších kontaktních údajů nebo používání jazyka obecně používaného ve třetí zemi, v níž je subjekt usazen, k ověření tohoto úmyslu nepostačují. Avšak faktory jako používání jazyka nebo měny obecně používaných v jednom nebo více členských státech, spolu s možností objednat služby v tomto jiném jazyce, nebo zmínka o zákaznících či uživatelích nacházejících se v Unii mohou být zjevným dokladem o tom, že subjekt má v úmyslu nabízet služby v rámci Unie. Zástupce by měl jednat jménem subjektu a příslušné orgány nebo týmy CSIRT by měly být oprávněny zástupce kontaktovat. Zástupce by měl být výslovně písemně pověřen subjektem, aby mohl jednat jeho jménem v otázkách jeho povinností podle této směrnice, včetně hlášení incidentů. (66)Pokud jsou podle ustanovení této směrnice vyměňovány, hlášeny nebo jinak sdíleny informace, které jsou podle unijních nebo vnitrostátních předpisů považovány za utajované, měla by se použít odpovídající zvláštní pravidla o nakládání s utajovanými informacemi.

(67)S tím, jak se kybernetické hrozby stávají stále složitějšími a sofistikovanějšími, účinná opatření v oblasti odhalování a prevence závisejí do značné míry na pravidelném sdílení zpravodajských informací o hrozbách a zranitelnosti mezi subjekty. Sdílení informací přispívá k lepšímu povědomí o kybernetických hrozbách, což následně posiluje schopnost subjektů předcházet tomu, že tyto hrozby přerostou ve skutečné incidenty, a umožňuje subjektům lépe zachycovat dopady incidentů a efektivněji se zotavovat. Při neexistenci vedení na úrovni Unie, jak se zdá, bránily takovému sdílení zpravodajských informací některé faktory, a zejména nejistota ohledně slučitelnosti s pravidly hospodářské soutěže a pravidly odpovědnosti. (68)Subjekty by měly být motivovány k tomu, aby společně využívaly pákového efektu svých individuálních znalostí a praktických zkušeností na strategické, taktické a operativní úrovni a tím posílit své schopnosti odpovídajícím způsobem posuzovat a sledovat kybernetické hrozby, bránit se jim a reagovat na ně. Je proto nezbytné umožnit vznik mechanismů na úrovni Unie pro dobrovolná ujednání o sdílení informací. Členské státy by za tímto účelem měly aktivně podporovat a motivovat také relevantní subjekty, jež nespadají do oblasti působnosti této směrnice, aby se účastnily takovýchto mechanismů pro sdílení informací. Tyto mechanismy by měly fungovat v plném souladu s pravidly Unie v oblasti hospodářské soutěže a s právními předpisy Unie o ochraně údajů. (69)Zpracování osobních údajů v rozsahu nezbytně nutném a přiměřeném pro zajištění bezpečnosti sítí a informací ze strany subjektů, které provádějí orgány veřejné správy, týmy CERT, týmy CSIRT a poskytovatelé bezpečnostních technologií a služeb, by mělo představovat oprávněný zájem dotčeného správce údajů podle nařízení (EU) 2016/679. To by mělo zahrnovat opatření týkající se prevence, odhalování a analýzy incidentů a reakce na incidenty, opatření ke zvyšování povědomí o konkrétních kybernetických hrozbách, výměnu informací v rámci odstraňování a koordinovaného odhalování zranitelných míst, a také dobrovolnou výměnu informací o těchto incidentech, kybernetických hrozbách a zranitelných místech, indikátorech narušení, taktice, technikách a postupech, varováních v oblasti kybernetické bezpečnosti a konfiguračních nástrojích. Taková opatření mohou vyžadovat zpracovávání těchto druhů osobních údajů: IP adres, jednotných adres zdroje (URL), doménových jmen a e-mailových adres. (70)S cílem posílit pravomoci a činnosti dohledu, které pomáhají zajistit účinný soulad s předpisy, by tato směrnice měla stanovit minimální seznam opatření a prostředků dohledu, jejichž prostřednictvím mohou příslušné orgány uskutečňovat dohled nad základními a důležitými subjekty. Tato směrnice by kromě toho měla zavést rozlišení režimů dohledu mezi základními a důležitými subjekty s cílem zajistit spravedlivou rovnováhu povinností pro oba druhy subjektů a příslušné orgány. Základní subjekty by tak měly podléhat plnohodnotnému režimu dohledu (dohled ex ante a ex post), zatímco důležité subjekty by měly podléhat mírnému režimu dohledu, pouze dohledu ex post. Mírný režim znamená, že důležité subjekty by neměly systematicky dokumentovat soulad s požadavky na řízení kybernetických bezpečnostních rizik a příslušné orgány by měly provádět reaktivní ex post přístup k dohledu, a neměly by tedy obecnou povinnost dohlížet na tyto subjekty. (71)K zajištění účinného vymáhání by měl být stanoven minimální seznam správních sankcí za porušení povinnosti v oblasti řízení kybernetických bezpečnostních rizik a hlášení, jež stanoví tato směrnice, čímž se vytvoří jasný a jednotný rámec pro takové sankce v celé Unii. Náležitá pozornost by měla být věnována povaze, závažnosti a době trvání protiprávního jednání, skutečné způsobené škodě či ztrátám nebo potenciálním škodám či ztrátám, které mohly být vyvolány, úmyslné nebo nedbalostní povaze protiprávního jednání, opatřením přijatým za účelem prevence nebo zmenšení způsobené škody nebo ztrát, míře odpovědnosti nebo jakémukoli relevantnímu protiprávnímu jednání v minulosti, míře spolupráce s příslušným orgánem a jakýmkoli jiným přitěžujícím nebo polehčujícím faktorům. Uložení sankcí včetně správních pokut by mělo podléhat vhodným procesním zárukám v souladu s obecnými zásadami práva Unie a Listinou základních práv Evropské unie, včetně účinné právní ochrany a spravedlivého procesu. (72)S cílem zajistit účinné vymáhání povinností stanovených v této směrnici by každý příslušný orgán měl mít pravomoc ukládat správní pokuty nebo požadovat uložení správních pokut. (73)Jsou-li správní pokuty uloženy podniku, měl by se podnikem pro tyto účely rozumět podnik v souladu s články 101 a 102 SFEU. Jsou-li správní pokuty uloženy osobám, které nejsou podnikem, měl by dozorový úřad při rozhodování o odpovídající výši pokuty zohlednit obecnou úroveň příjmů v daném členském státě, jakož i ekonomickou situaci dané osoby. Mělo by být ponecháno na členských státech, aby určily, zda a v jaké míře by měly správním pokutám podléhat orgány veřejné správy. Uložením správní pokuty není dotčeno uplatnění jiných pravomocí příslušných orgánů nebo jiných sankcí stanovených ve vnitrostátních pravidlech provádějících tuto směrnici. (74)Členským státům by mělo být umožněno, aby stanovily pravidla týkající se trestních sankcí za porušení vnitrostátních pravidel provádějících tuto směrnici. Uložení trestních sankcí za porušení těchto vnitrostátních pravidel a souvisejících správních sankcí by však nemělo vést k porušení zásady ne bis in idem, jak ji vykládá Soudní dvůr. (75)Nejsou-li správní sankce harmonizovány touto směrnicí nebo v případě potřeby v jiných případech, jako jsou závažná porušení povinností stanovených v této směrnici, měly by členské státy zavést systém, který zajistí uložení účinných, přiměřených a odrazujících sankcí. Povaha těchto trestních nebo správních sankcí by měla být stanovena právem členského státu. (76)Aby se dále posílila účinnost a odrazující účinek sankcí, jež mají být uloženy za porušení povinností stanovených podle této směrnice, měly by být příslušné orgány oprávněny uplatňovat sankce spočívající v pozastavení osvědčení nebo povolení týkajícího se části nebo všech služeb, jež poskytuje základní subjekt, a uložení dočasného zákazu výkonu řídící funkce fyzické osoby. Vzhledem k závažnosti a dopadu těchto sankcí na činnost subjektů a v konečném důsledku na jejich zákazníky, měly by být uplatňovány pouze úměrně závažnosti porušení a s ohledem na konkrétní okolnosti každého případu, včetně úmyslné nebo nedbalostní povahy porušení, opatřením přijatým k zamezení nebo zmírnění způsobené škody nebo ztrát. Tyto sankce by se měly používat jen jako krajní prostředek, což znamená pouze po vyčerpání ostatních relevantních donucovacích opatření, jež stanoví tato směrnice, a pouze po dobu, než subjekty, vůči kterým jsou uplatněny, přijmou nezbytná opatření k nápravě nedostatků nebo k dosažení souladu s požadavky příslušného orgánu, kvůli kterým byly tyto sankce uloženy. Uložení takových sankcí musí podléhat vhodným procesním zárukám v souladu s obecnými zásadami práva Unie a Listiny základních práv Evropské unie, včetně účinné právní ochrany, spravedlivého procesu, presumpce neviny a práva na obhajobu. (77)Tato směrnice by měla stanovit pravidla spolupráce mezi příslušnými orgány a orgány dohledu v souladu s nařízením (EU) 2016/679 pro řešení případů porušení souvisejících s osobními údaji. (78)Cílem této směrnice by mělo být zajištění vysoké míry odpovědnosti za opatření v oblasti řízení kybernetických bezpečnostních rizik a povinností v oblasti podávání zpráv na úrovni organizací. Z těchto důvodů by vedoucí orgány subjektů, jež spadají do oblasti působnosti této směrnice, měly schválit opatření pro řízení kybernetických bezpečnostních rizik a dohlížet na jejich provádění. (79)Měl by být zaveden mechanismus vzájemného hodnocení, který umožní, aby provádění politik kybernetické bezpečnosti, včetně úrovně schopností a dostupných zdrojů členských států, posuzovali odborníci určení členskými státy. (80)Za účelem zohlednění nových kybernetických hrozeb, technologického vývoje nebo odvětvových zvláštností by Komisi měla být svěřena pravomoc přijmout akty v souladu s článkem 290 SFEU, pokud jde o prvky související s opatřeními v oblasti řízení rizik, jež vyžaduje tato směrnice. Komise by rovněž měla být zmocněna přijmout akty v přenesené pravomoci, jimiž stanoví, které kategorie základních subjektů budou povinny získat osvědčení a podle kterých konkrétních evropských systémů certifikace kybernetické bezpečnosti. Je obzvláště důležité, aby Komise v rámci přípravné činnosti vedla odpovídající konzultace, a to i na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů. Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci obdrží Evropský parlament a Rada veškeré dokumenty současně s odborníky z členských států a jejich odborníci mají automaticky přístup na zasedání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci. (81)Za účelem zajištění jednotných podmínek k provedení příslušných ustanovení této směrnice týkajících se procesních opatření nezbytných pro fungování skupiny pro spolupráci, technických prvků opatření k řízení rizik nebo druhu informací, formátu a postupu oznamování incidentů by Komisi měly být svěřeny prováděcí pravomoci. Tyto pravomoci by měly být vykonávány v souladu s nařízením Evropského parlamentu a Rady (EU) č. 182/2011. (82)Komise by měla provádět pravidelný přezkum této směrnice za konzultace se zainteresovanými stranami, zejména pokud jde o nutnost změn s ohledem na měnící se společenské, politické, technologické nebo tržní podmínky. (83)Jelikož cíle této směrnice, totiž dosažení vysoké společné úrovně kybernetické bezpečnosti v Unii, nemůže být uspokojivě dosaženo členskými státy, ale spíše jich z důvodu účinků této směrnice může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje tato směrnice rámec toho, co je pro dosažení tohoto cíle nezbytné. (84)Tato směrnice dodržuje základní práva a ctí zásady uznané Listinou základních práv Evropské unie, zejména právo na respektování soukromého života a komunikace, právo na ochranu osobních údajů, svobodu podnikání, právo na vlastnictví a právo na účinnou právní ochranu a spravedlivý proces. Tato směrnice by měla být prováděna v souladu s těmito právy a zásadami, PŘIJALY TUTO SMĚRNICI:

KAPITOLA I Obecná ustanovení Článek 1 Předmět 1.Touto směrnicí se stanoví opatření pro zajištění vysoké společné úrovně kybernetické bezpečnosti v rámci Unie. 2.Za tímto účelem tato směrnice: a)ukládá členským státům povinnost přijmout národní strategie kybernetické bezpečnosti, určit příslušné vnitrostátní orgány, jednotná kontaktní místa a bezpečnostní týmy typu CSIRT (týmy CSIRT); b)stanoví povinnost řízení rizik v oblasti kybernetické bezpečnosti a oznamovací povinnost pro subjekty druhu, který je v příloze I označován za základní a v příloze II za důležitý; c)stanoví povinnosti týkající se sdílení informací o kybernetické bezpečnosti. Článek 2 Oblast působnosti 1.Tato směrnice se vztahuje na veřejné a soukromé subjekty druhu, který je v příloze I označován za základní a v příloze II za důležitý. Tato směrnice se nevztahuje na subjekty, které splňují definici mikropodniků a malých podniků ve smyslu doporučení Komise 2003/361/ES. 2.Tato směrnice se však vztahuje také na subjekty uvedené v přílohách I a II bez ohledu na jejich velikost, pokud: a)jsou služby poskytovány jedním z těchto subjektů: i)veřejnými sítěmi elektronických komunikací nebo veřejně dostupnými službami elektronických komunikací uvedenými v bodě 8 přílohy I; ii)poskytovateli služeb vytvářejících důvěru uvedenými v bodě 8 přílohy I; iii)poskytovateli služeb registrů internetových domén nejvyšší úrovně a systému doménových jmen uvedenými v bodě 8 přílohy I; b)je subjekt orgánem veřejné správy podle definice uvedené v čl. 4 bodě 23; c)je subjekt výhradním dodavatelem služeb v členském státě;

d)by možné narušení služby poskytované tímto subjektem mohlo mít vliv na veřejný pořádek, veřejnou bezpečnost nebo ochranu zdraví; e)by možné narušení služby poskytované tímto subjektem mohlo vyvolat systémová rizika, zejména pro ta odvětví, kde by takové narušení mohlo mít přeshraniční dopad; f)je subjekt kritický vzhledem ke svému specifickému významu na regionální nebo vnitrostátní úrovni pro konkrétní odvětví nebo druh služby nebo pro jiná vzájemně závislá odvětví v členském státě; g)je subjekt označen za kritický podle směrnice Evropského parlamentu a Rady (EU) XXXX/XXXX [směrnice o odolnosti kritických subjektů] nebo za subjekt rovnocenný kritickému subjektu podle článku 7 této směrnice. Členské státy stanoví seznam subjektů určených podle písmen b) až f) a předloží jej je do [6 měsíců po uplynutí lhůty pro provedení] Komisi. Členské státy tento seznam pravidelně přezkoumávají, a to alespoň každé dva roky od předložení, a v případě potřeby jej aktualizují. 3.Touto směrnicí není dotčena příslušnost členských států, pokud jde o udržování veřejné bezpečnosti, obranu a národní bezpečnost v souladu s právem Unie. 4.Touto směrnicí nejsou dotčeny směrnice Rady 2008/114/ES a směrnice Evropského parlamentu a Rady 2011/93/EU a 2013/40/EU. 5.Aniž je dotčen článek 346 Smlouvy o fungování EU, se informace, které jsou důvěrné podle unijních a vnitrostátních pravidel, jako jsou pravidla pro zachovávání důvěrnosti obchodních informací, vyměňují s Komisí a jinými příslušnými orgány pouze v případě, že je tato výměna nutná pro účely této směrnice. Vyměňované informace se omezí na informace, které jsou relevantní a přiměřené účelu této výměny. Při těchto výměnách informací se zachovává důvěrnost předmětných informací a jsou chráněny bezpečnost a obchodní zájmy základních nebo důležitých subjektů. 6.Pokud ustanovení právních aktů Unie pro konkrétní odvětví vyžadují, aby základní nebo důležité subjekty přijaly opatření k řízení rizik v oblasti kybernetické bezpečnosti nebo aby oznamovaly incidenty či významné kybernetické hrozby, a pokud je účinek těchto opatření alespoň rovnocenný účinku povinností stanovených v této směrnici, příslušná ustanovení této směrnice, včetně ustanovení o dohledu a vymáhání v kapitole VI, se neuplatní. Článek 3

Minimální harmonizace Aniž jsou dotčeny jiné povinnosti členských států podle práva Unie, mohou členské státy v souladu s touto směrnicí přijímat nebo ponechat v platnosti ustanovení zajišťující vyšší úroveň kybernetické bezpečnosti. Článek 4 Definice Pro účely této směrnice se rozumí: 1)„sítí a informačním systémem“: a)síť elektronických komunikací ve smyslu čl. 2 bodu 1 směrnice (EU) 2018/1972; b)zařízení nebo skupina vzájemně propojených nebo souvisejících zařízení, z nichž jedno nebo více provádí na základě programu automatické zpracování digitálních dat; c)digitální data, jež jsou prvky uvedenými v písmeni a) a b) uchovávána, zpracovávána, opětovně vyhledávána nebo předávána za účelem jejich provozu, použití, ochrany a údržby;

2)„bezpečností sítí a informačních systémů“ schopnost sítí a informačních systémů odolávat s určitou spolehlivostí veškerým zásahům, které narušují dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo souvisejících služeb, které tyto sítě a informační systémy nabízejí nebo které jsou jejich prostřednictvím přístupné; 3)„kybernetickou bezpečností“ kybernetická bezpečnost ve smyslu čl. 2 bodu 1 nařízení Evropského parlamentu a Rady 2019/881; 4)„národní strategií kyber