EVROPSKÁ KOMISE V Bruselu dne 28.10.2019 COM(2019) 546 final ZPRÁVA KOMISE EVROPSKÉMU PARLAMENTU A RADĚ hodnotící konzistentnost přístupů členských států při určování provozovatelů základních služeb v souladu s čl. 23 odst. 1 směrnice 2016/1148/EU o bezpečnosti sítí a informačních systémů













1.Úvod Směrnice (EU) 2016/1148 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (směrnice o bezpečnosti sítí a informací) je prvním nástrojem vnitřního trhu, jehož cílem je zvýšit odolnost EU vůči rizikům v oblasti kybernetické bezpečnosti. Cílem uvedené směrnice je na základě článku 114 Smlouvy o fungování Evropské unie zajistit kontinuitu služeb umožňujících řádné fungování hospodářství a společnosti Unie. Za tímto účelem směrnice zavádí konkrétní opatření, jejichž cílem je budování kapacit v oblasti kybernetické bezpečnosti v celé EU a zmírňování rostoucích hrozeb pro sítě a informační systémy využívané k poskytování základních služeb v klíčových odvětvích. Po vstupu směrnice v platnost v srpnu 2016 měly členské státy do 9. května 2018 přijmout vnitrostátní opatření nezbytná k dosažení souladu s ustanoveními směrnice o bezpečnosti sítí a informací. Směrnice prosazuje kulturu řízení rizik mezi společnostmi nebo jinými subjekty poskytujícími základní služby, které jsou v článku 5 definovány jako „provozovatelé základních služeb“. Provozovatelé, kteří spadají do oblasti působnosti směrnice, jsou povinni přijmout vhodná a přiměřená technická a organizační opatření k řízení bezpečnostních rizik, jimž čelí jejich sítě a informační systémy, a hlásit příslušným orgánům závažné incidenty. Spolunormotvůrci delegovali provádění směrnice o bezpečnosti sítí a informací na členské státy, jejichž úkolem je definovat základní služby a určit provozovatele základních služeb na svém území. Ustanovení čl. 5 odst. 7 směrnice proto požaduje, aby členské státy předkládaly Komisi zprávy o výsledcích tohoto určování. Aby umožnily koordinované podávání zpráv, poskytly Komise i skupina pro spolupráci zřízená uvedenou směrnicí členským státům pokyny týkající se procesu určování. Tato zpráva v souladu s čl. 23 odst. 1 posuzuje, zda jsou přístupy členských států, pokud jde o proces určování provozovatelů základních služeb, konzistentní. Vzhledem k tomu, že konzistentnost určování provozovatelů základních služeb a riziko roztříštěnosti vnitřního trhu v této oblasti spolu úzce souvisejí, bude tato zpráva sloužit rovněž jako podklad pro širší hodnocení směrnice o bezpečnosti sítí a informací v souladu s čl. 23 odst. 2, který stanoví, že Komise pravidelně přezkoumává celkové fungování této směrnice a hodnotí seznamy odvětví a pododvětví ve vztahu k procesu určování provozovatelů základních služeb a druhů digitálních služeb, na něž se směrnice vztahuje. První taková zpráva má být předložena do 9. května 2021. 1.1Účel zprávy Vzhledem ke své významné úloze pro hospodářství a společnost jako celek musí provozovatelé základních služeb prokázat obzvláště vysokou úroveň odolnosti vůči kybernetickým incidentům. V tomto ohledu je důležitý konzistentní přístup členských států při určování provozovatelů základních služeb, a to z několika důvodů: 1.Snížit rizika spojená s přeshraničními vazbami: Pokud by se nepodařilo konzistentně určovat významné provozovatele poskytující přeshraniční služby, mohlo by to vést k nestejné úrovni kybernetické odolnosti mezi jednotlivými členskými státy, čímž by se zvýšilo riziko, že přeshraniční incident poškodí kritické infrastruktury nebo způsobí ztráty na životech občanů. Například provozovatelé energetických přenosových soustav nebo registry domén nejvyšší úrovně, které jsou součástí seznamu typů subjektů v příloze II, představují subjekty, které nejvíce využívají vnitřní trh tím, že poskytují přeshraniční služby spotřebitelům a podnikům. Konzistentní určování těchto provozovatelů v rámci celé Unie by proto mohlo pomoci zabránit šíření kybernetických hrozeb v rámci vnitřního trhu. 2.Zaručit rovné podmínky pro provozovatele na vnitřním trhu: Směrnice o bezpečnosti sítí a informací vyžaduje, aby členské státy stanovily bezpečnostní požadavky a postupy pro hlášení incidentů pro provozovatele základních služeb. Vzhledem k tomu, že směrnice sleduje ve vztahu k provozovatelům základních služeb přístup založený na minimální harmonizaci, mohou členské státy provozovatelům dle vlastního uvážení uložit požadavky, které jsou přísnější než požadavky stanovené ve směrnici. Při posilování odolnosti členských států mohou taková opatření pro dotčené provozovatele znamenat dodatečné regulační náklady. Je proto důležité, aby se na provozovatele poskytující podobné služby podobného významu vztahovalo i podobné regulační zacházení. 3.Snížit riziko rozdílného výkladu směrnice: Směrnice byla koncipována tak, aby členským státům poskytla při výběru příslušných subjektů manévrovací prostor za účelem zohlednění vnitrostátních specifik. Tento přístup zároveň zvyšuje riziko rozdílného provádění ustanovení směrnice a mohl by potenciálně vést k nejednotnosti opatření přijímaných členskými státy. To je důležité zejména pro společnosti, které působí ve více zemích, a proto musí splňovat regulatorní požadavky více než jednoho členského státu. 4.Vytvořit ucelený přehled o úrovni kybernetické odolnosti v celé EU: Na provozovatele základních služeb se vztahují činnosti v oblasti dohledu zaměřené na ověření účinného provádění bezpečnostních politik, jakož i oznamování závažných incidentů. Dohled upřednostňuje rozvoj intenzivnější spolupráce veřejného a soukromého sektoru, který vede k vytváření sdílených znalostí ohledně připravenosti v oblasti kybernetické bezpečnosti v rámci jednotlivých členských států. Díky skupině pro spolupráci lze sdílení vnitrostátních zkušeností včetně informací o oznámených incidentech shromažďovat na úrovni EU a přispět tak k přesnějšímu posuzování hlavních hrozeb a potřeb. Aby však bylo toto sdílení informací účinné, mělo by vycházet ze společného chápání toho, které subjekty by měly být určeny jako provozovatelé základních služeb. 1.2Postup určování podle směrnice o bezpečnosti sítí a informací Směrnice o bezpečnosti sítí a informací uvádí v příloze II seznam sedmi odvětví a příslušných pododvětví a druhů subjektů, které jsou relevantní pro proces určování (tabulka 1). Čl. 5 odst. 3 vyžaduje, aby členské státy sestavily seznam základních služeb založený na těchto odvětvích, pododvětvích a druzích subjektů. Přístup minimální harmonizace, který směrnice uplatňuje, umožňuje členským státům překročit rámec přílohy II a provádět určování i v dalších odvětvích a pododvětvích.

Odvětví Pododvětví 1. Energetika a) elektřina b) ropa c) zemní plyn 2. Doprava a) letecká doprava b) železniční doprava c) vodní doprava d) silniční doprava 3. Bankovnictví 4. Infrastruktura finančních trhů 5. Zdravotnictví 6. Dodávky a rozvody pitné vody 7. Digitální infrastruktura Ustanovení čl. 5 odst. 2 stanoví tři kritéria, která mají členské státy pro určení provozovatele základních služeb používat: 1.Dotčený subjekt musí poskytovat službu, která je základní z hlediska zachování kritických společenských nebo ekonomických činností. Za tímto účelem musí příslušné vnitrostátní orgány nahlížet do svých již dříve vytvořených seznamů základních služeb. 2.Poskytovaná služba musí být závislá na sítích a informačních systémech. 3.Incident by musel vést k významnému narušení poskytování této služby. Článek 6 uvádí, že významnost incidentu se posuzuje na základě okolností působících napříč odvětvími, případně okolností specifických pro jednotlivá odvětví. Ustanovení čl. 5 odst. 4 směrnice navíc ukládá členským státům, aby zahájily vzájemné konzultace, pokud zjistí, že potenciální provozovatel základních služeb poskytuje služby ve více než jednom členském státě. Cílem tohoto závazného postupu je pomoci členským státům posoudit možný dopad kybernetického incidentu na subjekty působící přes hranice a rovněž působit jako ochrana společností ovlivněných tímto postupem v jednotlivých členských státech. 1.3Metodika zprávy Výsledky zprávy vycházejí z hodnocení provedeného v období od listopadu 2018 do září 2019. Řada členských států nezpřístupnila Komisi informace potřebné k vypracování této zprávy včas. Přijetí zprávy muselo být proto odloženo na období po 9. květnu 2019, což je datum přijetí podle čl. 23 odst. 1 směrnice o bezpečnosti sítí a informací. Údaje byly shromažďovány z různých zdrojů: informace předložené členskými státy na základě standardizovaného vzoru vypracovaného agenturou ENISA, standardizované rozhovory s vybranými vnitrostátními orgány a schůzky skupiny pro spolupráci včetně pracovního setkání věnovaného tomuto tématu, které se konalo dne 19. března 2019. Na základě shromážděných informací zpráva hodnotí, nakolik jsou přístupy jednotlivých členských států k určování vzájemně konzistentní, a to: 1.porovnáním jednotlivých metod určování zvolených vnitrostátními orgány; 2.přezkoumáním seznamů základních služeb a mezních hodnot zvolených členskými státy; 3.analýzou počtu provozovatelů základních služeb v jednotlivých členských státech. Zpráva rovněž hodnotí, jak byla provedena ustanovení směrnice týkající se postupu při přeshraničních konzultacích (čl. 5 odst. 4) a zásady lex specialis (čl. 1 odst. 7). Zpráva obsahuje věcnou analýzu procesu určování, který uplatňují členské státy, a rovněž předběžné závěry a otevřené otázky pro další zvažování. 1.4Dostupnost údajů Ustanovení směrnice o bezpečnosti sítí a informací vyžadují, aby členské státy poskytly Komisi pouze omezený soubor údajů. Vnitrostátní orgány například nemusí předkládat názvy určených provozovatelů, což útvarům Komise ztěžuje porovnávání výsledků procesu určování z hlediska úplnosti seznamu a dopadu na společnosti téže velikosti působící v tomtéž odvětví. Podle ustanovení čl. 5 odst. 7 měly všechny členské státy poskytnout potřebné podklady pro tuto zprávu nejpozději do 9. listopadu 2018. K uvedenému datu však poskytlo podstatné údaje pouze 15 zemí (viz připojená tabulka v oddíle 4.1). I po opakovaných upomínkách ze strany Komise zůstaly v údajích i nadále významné nedostatky. Komise proto dne 26. července 2019 zaslala 6 členským státům výzvy, ve kterých je žádala, aby chybějící údaje předložily do dvou měsíců.

Ke dni zveřejnění této zprávy předložilo všechny údaje požadované podle čl. 5 odst. 7 těchto 23 členských států: Bulharsko, Chorvatsko, Kypr, Česká republika, Německo, Dánsko, Estonsko, Řecko, Španělsko, Finsko, Francie, Irsko, Itálie, Litva, Lucembursko, Lotyšsko, Malta, Nizozemsko, Polsko, Portugalsko, Švédsko, Slovensko a Spojené království. Zbývajících 5 členských států (Rakousko, Belgie, Maďarsko, Rumunsko a Slovinsko) poskytlo pouze částečné údaje o vnitrostátním určování provozovatelů základních služeb, neboť nebyly schopny proces určování dokončit včas před zveřejněním této zprávy.



2.Určování provozovatelů základních služeb v členských státech Směrnice o bezpečnosti sítí a informací stanoví rámec pro určování provozovatelů základních služeb, který členským státům ponechává prostor pro zohlednění vnitrostátních specifik. V důsledku toho si členské státy vytvořily rozsáhlou škálu postupů určování. 2.1Metodiky používané členskými státy Členské státy si vytvořily různé metodiky pro určování provozovatelů, které plně využívají flexibilitu stanovenou ve směrnici o bezpečnosti sítí a informací. Jedním z prvků ovlivňujících vnitrostátní metodiky byla předchozí existence určitého rámce, například směrnice Rady 2008/114/ES o kritických infrastrukturách nebo jiných vnitrostátních ustanovení o „zásadně důležitých provozovatelích“. V takových případech členské státy využily své předchozí zkušenosti jako referenční bod a začlenily specifické rysy související se směrnicí o bezpečnosti sítí a informací do stávajících metodik. Odlišnosti vnitrostátních metodik spadají do těchto hlavních kategorií: základní služby, uplatňování mezních hodnot, míra centralizace, orgány odpovědné za určování a posuzování závislosti na sítích a informačních systémech. Zvláštní oddíly byly vzhledem k jejich významu pro posuzování konzistentnosti určování provozovatelů základních služeb věnovány analýze základních služeb a mezních hodnot. Zbývajícími kritérii se zabýváme v tomto oddíle. Stupeň centralizace Většina členských států se rozhodla delegovat část rozhodování ohledně jednotlivých prvků procesu určování na odvětvové orgány (ministerstva, agentury atd.). Stupeň decentralizace se liší případ od případu – většina členských států jmenuje jediný orgán, který odpovídá za poskytování pokynů odvětvovým orgánům a za sjednocování informací. Některé země se však rozhodly ponechat celý proces určování v kompetenci jediného orgánu. Existují také případy s mimořádně vysokým stupněm decentralizace, kdy odvětvové orgány odpovídají za vypracování vlastních metodik. Řada členských států pečlivě zvažovala jednotlivé aspekty institucionálního uspořádání určování provozovatelů základních služeb. Jako jednu z výhod centralizovaného určování uváděly orgány předcházení střetu zájmů: provozovatelé jsou evidentně méně ochotní poskytovat relevantní informace odvětvovým regulačním orgánům, neboť se obávají, že by tyto informace mohly být použity i pro jiné regulační účely. Na druhé straně se jeví, že decentralizované přístupy podporují dialog mezi příslušnými orgány v oblasti bezpečnosti sítí a informací (jak v oblasti kybernetické bezpečnosti, tak v rámci jednotlivých odvětví), což jim pomáhá lépe určit dopady závislostí mezi odvětvími. Odvětvové orgány jsou navíc o příslušných odvětvích obvykle lépe informovány než vedoucí orgány. Postup určování (shora dolů a zdola nahoru) Další významné rozlišení lze provést mezi členskými státy, v nichž proces určování provádějí orgány veřejné správy (určování shora dolů), a členskými státy, v nichž jsou hospodářské subjekty vyzývány k tomu, aby samy ověřovaly, zda splňují požadavky na provozovatele základních služeb (tzv. určování zdola nahoru nebo sebeurčování). Aby tento druhý přístup účinně fungoval, měly by členské státy ukládat pokuty dostatečně vysoké na to, aby odradily provozovatele od nepřihlašování, jak stanoví čl. 21 směrnice o bezpečnosti sítí a informací. Ve většině případů probíhá proces určování shora dolů. V praxi se však orgány často částečně spoléhají na určité prvky sebehodnocení, například dotazníky, které mají potenciální provozovatelé základních služeb vyplnit. Pokud jsou pravidla a mezní hodnoty, jimiž se určování provozovatelů základních služeb řídí, jasné a transparentní, mělo by jak určování shora dolů, tak určování zdola nahoru přinést podobné výsledky. Preference jednoho z těchto přístupů oproti druhému by proto v zásadě neměla mít žádný dopad na konzistentnost. Posouzení závislosti na síti Jak je vysvětleno v oddíle 1.2, čl. 5 odst. 2 písm. b) vyžaduje, aby členské státy v rámci postupu určování provozovatele základních služeb posoudily závislost provozovatele na sítích a informačních systémech. Mnoho členských států má při uplatňování těchto kritérií za to, že závislost na sítích a informačních systémech je v dnešní digitální ekonomice samozřejmostí. Některé orgány však zvolily propracovanější postupy, které spočívají například v tom, že provádějí podrobná posouzení nebo vyzývají provozovatele, aby sami vyhodnotili míru své závislosti. 2.2Určování služeb Bod 23 odůvodnění směrnice o bezpečnosti sítí a informací výslovně uvádí seznamy základních služeb jako zdroj vstupních informací, který má být použit pro „posouzení regulační praxe každého členského státu, a to v zájmu zajištění celkové míry konzistentnosti“. Vzhledem k tomu, že jako základ pro určování provozovatelů slouží seznamy základních služeb vypracované členskými státy, mohly by rozdíly mezi určenými službami vést k nejednotnému určování provozovatelů v jednotlivých členských státech, zejména tehdy, jsou-li konkrétní služby poskytované ve všech zemích určeny pouze některými členskými státy.

Počet služeb určených členskými státy podle přílohy II směrnice o bezpečnosti sítí a informací, který byl oznámen Komisi, se mezi členskými státy značně liší (počty pro všechny členské státy jsou uvedeny v příloze v oddíle 4.2). Počet určených služeb se pohybuje od 12 do 87, přičemž průměr činí 35 služeb na jeden členský stát, jak je uvedeno na obrázku 1. Větší členské státy sice mají tendenci určovat o něco více služeb než menší členské státy, avšak nejeví se, že by existovala výrazná korelace mezi velikostí členských států a počtem určených služeb. To lze předpokládat, neboť v praxi mají spotřebitelé a společnosti obvykle přístup ke stejným typům služeb ve všech členských státech, a to bez ohledu na velikost země. Počet určených služeb se liší nejen při pohledu na členské státy jako celek, ale také při bližším zkoumání odvětví a pododvětví. Například v odvětví bankovnictví se počet určených služeb pohybuje od 1 do 21. Jak je znázorněno na obrázku 2, rozpětí určených služeb se v rámci většiny odvětví a pododvětví v jednotlivých zemích výrazně liší. Čísla zobrazená na obrázku 2 do určité míry odrážejí odlišné metodické přístupy jednotlivých zemí. Některé členské státy například zvolily podrobnější přístup k určování služeb než jiné členské státy, což má za následek větší počet služeb v těchto členských státech. Z údajů, které Komise obdržela od členských států, však jednoznačně vyplývá, že rozdíly v těchto počtech jsou rovněž důsledkem nekonzistentnosti přístupů zvolených členskými státy, jak lze vidět na příkladech pododvětví elektřiny a železniční dopravy: Estonsko

(nejméně podrobný přístup) Portugalsko Dánsko Bulharsko

(nejpodrobnější přístup) Dodávky elektřiny Provozovatelé distribuční soustavy Distribuce elektřiny Distribuce elektřiny Zajištění fungování a údržby soustavy pro distribuci elektrické energie Provozovatel přenosové soustavy Přenos elektřiny Přenos elektřiny Provoz, údržba a rozvoj přenosové soustavy elektřiny (nekonzistentnost) Výroba elektřiny Výroba elektřiny (nekonzistentnost) (nekonzistentnost) Trh s elektřinou Tabulka 2 porovnává některé způsoby, jimiž členské státy určovaly základní služby v pododvětví elektřiny. Některé země (např. Estonsko) si zvolily velmi obecnou položku, která umožňuje určit v podstatě každého provozovatele, kterého považují v rámci pododvětví elektřiny za základního. Další země (např. Portugalsko, Dánsko a Bulharsko) se rozhodly pro mnohem podrobnější přístup. Bulharsko například vypracovalo velmi podrobný seznam služeb, který dokonce zahrnuje i službu, která není uvedena v příloze II (trhy s elektřinou). Portugalsko a Dánsko naproti tomu zvolily podrobný přístup, do něhož nezahrnuly některé služby, které jiné státy do svého přístupu zahrnuly. To by mohlo mít za následek nerovné podmínky pro provozovatele základních služeb v rámci vnitřního trhu. Nekonzistentnosti jako například ty, které byly uvedeny v tabulce 2, jsou výsledkem odlišných vnitrostátních provedení směrnice o bezpečnosti sítí a informací a v případě odvětví, která nespadají pod přílohu II (jako jsou například trhy s elektřinou), důsledkem jejího přístupu založeného na minimální harmonizaci. Nekonzistentnosti tedy neznamenají, že členské státy, které neurčily určitou službu, nutně nesprávně uplatňují ustanovení uvedené směrnice. Tabulka 3 představuje přístupy čtyř zemí k pododvětví železniční dopravy. Zatímco Francie vypracovala velmi podrobný a komplexní seznam základních služeb pro fungování železniční dopravy, zbývající tři země zvolily pouze malou podmnožinu těchto služeb. V případě Polska není zcela jasné, které služby spadají do kategorie „nákladní železniční doprava“ a „osobní železniční doprava“. Jejich označení jsou tak obecná, že by pod ně mohly bez problémů spadat i některé služby, které určila Francie, jako je například „kontrola a řízení železniční dopravy“. Je třeba poukázat na to, že Komise nemá k dispozici prostředky, které by jí umožňovaly tyto případy podrobněji zkoumat: směrnice o bezpečnosti sítí a informací nevyžaduje, aby vnitrostátní orgány zveřejňovaly podrobnější informace. Finsko Francie Irsko Polsko Řízení státní infrastruktury Údržba infrastruktury Provozovatelé infrastruktury (nekonzistentnosti) (nekonzistentnost) Údržba kolejových vozidel (nekonzistentnost) (nekonzistentnost) Služby v oblasti řízení provozu Kontrola a řízení železniční dopravy (nekonzistentnost) Příprava jízdních řádů vlaků (nekonzistentnost) Zboží a nebezpečné materiály Železniční podniky Nákladní železniční doprava (nekonzistentnost) Přeprava cestujících Osobní železniční doprava (nekonzistentnost) Metro, tramvaj a jiné městské kolejové systémy (včetně služeb podzemní dráhy) (nekonzistentnost) (nekonzistentnost) Železniční služby (nekonzistentnost) (nekonzistentnost) Členské státy uvedené v tabulce 2 a v tabulce 3 byly vybrány pouze pro ilustraci a vzhledem k tomu, že jejich metodické přístupy umožňují snadné porovnání. Většina ostatních členských států si zvolila podobné služby, a vykazuje proto podobné „nekonzistentnosti“. „Nekonzistentnosti“ podobné nedostatkům v pododvětvích elektřiny a železniční dopravy totiž existují ve všech členských státech a odvětvích uvedených v příloze II směrnice. Většina těchto nedostatků vyplývá ze služeb, které byly určeny pouze v některých, ale ne ve všech členských státech. Úplné seznamy služeb v pododvětvích elektřiny a železniční dopravy zahrnující všechny členské státy jsou uvedeny v příloze této zprávy.

2.3Mezní hodnoty Mezní hodnoty sice při určování provozovatelů základních služeb uplatňuje většina členských států, úloha těchto mezních hodnot, se však v jednotlivých zemích liší. Pokud jde o mezní hodnoty napříč odvětvími, lze stanovit mezní hodnoty založené na: ·jediném kvantitativním faktoru (např. na počtu uživatelů, kteří danou službu využívají), pomocí něhož se určuje, zda má být daný subjekt považován za provozovatele základních služeb v rámci určité služby, ·větším souboru kvantitativních faktorů (např. na počtu uživatelů, kteří danou službu využívají, plus na podílu na trhu), ·kombinaci kvantitativních a kvalitativních faktorů. Směrnice navíc členským státům umožňuje, aby vedle mezních hodnot působících napříč odvětvími uplatňovaly i mezní hodnoty specifické pro jednotlivá odvětví. To vnitrostátním orgánům poskytuje více svobody v procesu určování s cílem zohlednit vnitrostátní a odvětvové zvláštnosti. Zároveň tak vznikají i velmi složité kombinace mezních hodnot, které mohou mít negativní dopad na celkovou konzistentnost určování provozovatelů základních služeb. Příklad této rozmanitosti přístupů je uveden v tabulce 4. Z ní je patrné, že mezní hodnoty zvolené členskými státy v odvětví digitální infrastruktury se neliší jen kvantitativně (například v Německu jsou poskytovatelé služeb DNS určeni jako provozovatelé základních služeb, pokud spravují nejméně 250 000 domén, zatímco Polsko stanovilo jako prahovou hodnotu pouze 100 000 domén), ale také kvalitativně (například „počet autonomně propojených systémů“ oproti „podílu na trhu“). Konzistentně zvolené kvantitativní mezní hodnoty samy o sobě nezaručují plnou konzistentnost jednotlivých vnitrostátních přístupů. Vzhledem k tomu, že v některých členských státech představují mezní hodnoty pouze jedno z kritérií uplatňovaných při určování provozovatelů základních služeb, mohou se výsledky procesu určování stále navzájem velmi lišit, a to i v případě, že jsou využívány podobné mezní hodnoty. Některé členské státy například používají komplexní systémy hodnocení s několika faktory, které se promítají do jediného vzorce. Tyto faktory mohou zahrnovat například závislost daného subjektu na sítích a informačních systémech nebo některé faktory uvedené v čl. 6 odst. 1 směrnice o bezpečnosti sítí a informací. Kromě toho některé členské státy nepoužívají mezní hodnoty vůbec, případně je používají jen v předběžné fázi posuzování. Tyto úvahy platí nejen pro odvětví digitální infrastruktury, ale i napříč všemi odvětvími uvedenými v příloze II. Stanovení správné mezní hodnoty může být náročné, zejména pokud se jedná o odvětví, pro něž je typická existence velkého množství malých provozovatelů. Příkladem takové rozmanitosti je mnoho drobných zdravotnických zařízení (např. kliniky nebo lékařské záchranné služby), které poskytují základní službu poměrně malému počtu uživatelů, ale jejichž nedostupnost způsobená incidentem v oblasti kybernetické bezpečnosti by mohla vést ke ztrátám na životech pacientů. Další problém nastává v případech, kdy je fungování dodavatelských řetězců závislé na službách poskytovaných provozovateli, kteří představují malé, avšak zásadní vazby v daném řetězci (například v odvětvích, jako je logistika). Jeden členský stát zkoumá, zda by bylo možné k potenciálnímu řešení tohoto problému využít kritéria vázaná na význam nebo kritičnost poskytovaných služeb.



Země Výměnné uzly internetu (IXP) Poskytovatelé DNS Registry domén nejvyšší úrovně (TLD) Používání mezních hodnot specifických převážně pro jednotlivá odvětví AT propojené autonomní systémy

> 100 DNS resolvery: 88 000 uživatelů;

Autor. DNS: 50 000 domén 50 000 domén DE propojené autonomní systémy

> 300 DNS resolvery: 100 000 uživatelů; Autor. DNS: 250 000 domén (služba neurčena) DK Průměrný denní objem dat > 200 Gbit/s DNS resolvery: 100 000 uživatelů; Autor. DNS: 100 000 domén 500 000 domén EE (služba neurčena) (služba neurčena) Registr TLD dané země FI (služba neurčena) (služba neurčena) Registry TLD dané země a regionu FR (neexistuje oficiální mezní hodnota) (neexistuje oficiální mezní hodnota) (neexistuje oficiální mezní hodnota) HR připojení členové > 15 Služba DNS pro TLD země Registr TLD dané země IE (mezní hodnota není známa) DNS resolvery: 100 m dotazů/24h; Autor. DNS: 50 000 domén Registr TLD dané země MT 25% podíl na trhu DNS resolvery: 78 000 požadavků/den; Autor. DNS: 7 800 domén 750 000 požadavků/den PL propojené autonomní systémy

≥ 100 Autor. DNS: 100 000 domén Registry TLD pro nejméně 100 000 účastníků SE (služba neurčena) DNS resolvery: 100 000 uživatelů; Autor. DNS: 25 000 domén 250 000 domén SK Autonomní systém (AS) spojující nejméně dva další AS s 2 Gbps DNS resolvery: 3 m dotazů/24h; Autor. DNS: > 1 000 domén Registr TLD UK podíl na trhu > 50 %, nebo

vzájemné propojení s globálními internetovými trasami ≥ 50 % DNS resolvery: 2 000 000 klientů/den;

Autor. DNS: 250 000 domén Registry TLD ≥ 2 miliardy dotazů/den Využívání mezních hodnot napříč odvětvími CY 50 000 uživatelů, nebo

5 % účastníků trhu 50 000 uživatelů, nebo

5 % účastníků trhu 50 000 uživatelů, nebo

5 % účastníků trhu LT obyvatel > 145 000 obyvatel > 145 000 obyvatel > 145 000 LU 100% podíl na trhu 13 500 smluv 100% podíl na trhu



2.4Počet určených provozovatelů Seznamy základních služeb a mezních hodnot jsou nejdůležitějšími faktory pro konzistentní určování provozovatelů základních služeb. Z předchozích oddílů vyplývá, že členské státy v obou případech uplatňují ustanovení směrnice o bezpečnosti sítí a informací různými způsoby, což může mít za následek problém v oblasti konzistentnosti při následném určování provozovatelů základních služeb. V tomto oddíle porovnáme počet určených provozovatelů v členských státech v odvětvích a pododvětvích uvedených v příloze II. Celkové počty provozovatelů základních služeb, které členské státy nahlásily Komisi, se pohybují od 20 do 10 897, přičemž průměr činí 633 provozovatelů základních služeb na jeden členský stát (počty za všechny členské státy jsou uvedeny v oddíle 4.2 přílohy této zprávy). Celkově existuje jasný pozitivní vztah mezi velikostí země a počtem určených provozovatelů. To však nepředstavuje dostatečné vysvětlení značných rozdílů v počtech, které členské státy ohlásily. Pro zohlednění vztahu mezi velikostí a počtem obyvatel porovnává obrázek 3 počty určených provozovatelů základních služeb ve všech členských státech na 100 000 obyvatel. Vyplývá z něho, že přístupy členských států k určování provozovatelů přinesly velmi rozdílné výsledky. Z podrobnější studie daných odvětví a pododvětví vyplývají významné rozdíly mezi členskými státy v počtech určených provozovatelů ve všech odvětvích, na něž se vztahuje příloha II (obrázek 4). Například v odvětví energetiky se tento počet pohybuje od 0,3 provozovatele do 29 provozovatelů na 1 000 000 obyvatel. Počty v odvětví bankovnictví se pohybují od 0,07 provozovatele do 51 provozovatelů na 1 000 000 obyvatel (přičemž nejsou zohledněny členské státy, které v tomto odvětví neurčily jediného provozovatele základních služeb).

2.5Použití směrnice na jiná odvětví než ta, která jsou uvedena v příloze II Ze studia předložených údajů vyplývá, že 11 z 28 členských států určilo základní služby v odvětvích, která nespadají do oblasti působnosti přílohy II směrnice. 7 z těchto 11 členských států určilo celkem 157 provozovatelů základních služeb, kteří poskytují služby nespadající pod druhy subjektů uvedené v příloze II. Další odvětví Příklady subjektů Počet členských států Informační infrastruktury Datová centra, serverové farmy 5 Finanční služby (subjekty, které nejsou uvedeny v příloze II) Pojišťovny a zajišťovny 4 Vládní služby Elektronické služby pro občany 4 Teplo Výrobci a dodavatelé tepla 3 Odpadní vody Zařízení na odvádění a čištění 3 Logistika Poštovní služby 2 Potraviny Výrobci, obchodní systémy 2 Životní prostředí Likvidace nebezpečných odpadů 2 Vnitrostátní bezpečnostní/záchranné služby 112, krizové řízení 2 Chemický průmysl Dodavatelé a výrobci látek 2 Sociální služby Subjekty odpovědné za sociální dávky 1 Vzdělávání Orgány odpovědné za vnitrostátní zkoušky 1 Společné stravování Správa distribuce 1 Voda Vodní stavby 1 Nejpopulárnější kategorie představují informační infrastruktury (které určilo pět členských států), finanční služby poskytované subjekty, které nejsou uvedeny v příloze II (které určily čtyři členské státy), a vládní služby (které určily čtyři členské státy) (tabulka 5). Vzhledem k tomu, jak zásadní význam má kybernetická odolnost pro fungování hospodářství a společnosti jako celku, se řada členských států rozhodla při této příležitosti zahrnout i jiná odvětví než ta, která jsou uvedena v příloze II. Skutečnost, že se několik členských států rozhodlo uplatnit směrnici o bezpečnosti sítí a informací i na další odvětví, vyvolává otázku, zda je stávající rozsah působnosti přílohy II vhodný z hlediska splnění cíle ochrany všech provozovatelů v Unii, kteří mají kritický význam pro společnost a hospodářství. 2.6Postup při přeshraničních konzultacích Ustanovení čl. 5 odst. 4 směrnice o bezpečnosti sítí a informací ukládá členským státům, aby před přijetím konečného rozhodnutí o určení provozovatelů poskytujících služby ve více než jednom členském státě zahájily vzájemné konzultace. Skupina pro spolupráci vydala v červenci 2018 referenční dokument, jehož cílem je pomoci členským státům při provádění řádných přeshraničních konzultací. Z obdržených informací vyplývá, že se jen velmi málo vnitrostátních orgánů rozhodlo kontaktovat své protějšky v jiných členských státech a pouze dva členské státy kontaktovaly jiné členské státy komplexním způsobem. Navíc jen několik členských států uvedlo, že kontaktovaly jiné orgány méně systematickým způsobem. Většina členských států, které kontaktovaly jiné členské státy, tak navzdory značnému významu přeshraničních služeb na vnitřním trhu učinila ve vztahu jen k velmi omezenému počtu provozovatelů. Navzdory omezenému využívání tohoto postupu členskými státy vyjádřilo mnoho vnitrostátních orgánů zájem o proces přeshraničních konzultací a považují jej za důležitý prvek rámce určování pro účely bezpečnosti sítí a informací. Několik členských států totiž vyjádřilo obavu, že bez účinných přeshraničních konzultací by mohlo dojít k tomu, že provozovatelé budou muset čelit velkému množství různých regulačních požadavků, případně že budou znevýhodněni oproti jiným méně přísně regulovaným provozovatelům základních služeb, kteří na trhu působí. Komise společně s vnitrostátními orgány identifikovala několik důvodů, proč není postup konzultací dosud využíván tak, jak byl zamýšlen: ·Mnoha členským státům trvalo určování provozovatelů základních služeb déle, než se očekávalo. Nebylo tedy možné, aby státy, které si tuto praxi osvojily dříve, uvedené země konzultovaly. ·Nedostatek bezpečných kanálů pro předávání informací: některé členské státy vyjádřily neochotu komunikovat se svými protějšky vzhledem k tomu, že považovaly názvy provozovatelů za utajované informace.

·Značný počet stávajících přeshraničních závislostí, které vedly k potřebě kontaktovat velký počet dotčených členských států, zejména v případě celoevropských provozovatelů. ·Nejednotné chápání cílů a rozsahu přeshraničních konzultací: zatímco některé členské státy je považují pouze za nástroj, jehož úkolem je vzájemně se informovat o určování provozovatelů základních služeb s přeshraničním dopadem, jiné spatřují jejich účel ve sladění mezních hodnot a regulačních požadavků. Z bodu 24 odůvodnění směrnice vyplývá, že se ze všeho nejspíše jedná o postup umožňující společné hodnocení kritičnosti provozovatele pro účely procesu určování. ·Další problém vzniká v případě, kdy je členský stát kontaktován dvěma dalšími členskými státy ohledně téhož provozovatele. V takovém případě může dojít k tomu, že dotčený členský stát nebude schopen sladit své předpisy s oběma těmito členskými státy současně. Za tímto účelem předpokládá bod 24 odůvodnění vícestranné konzultace. V zájmu zajištění konzistentnosti je důležité, aby členské státy tuto možnost využívaly. 2.7Zohlednění zásady lex specialis v procesu určování Komise zjistila určité nesrovnalosti mezi členskými státy ve vztahu k uplatňování zásady lex specialis. Ty vedly k nejednotnému uplatňování uvedené směrnice, což mělo za důsledek na jedné straně určování provozovatelů základních služeb, na něž se vztahují pravidla specifická pro jednotlivá odvětví, a na druhé straně nedostatečné určování provozovatelů základních služeb v některých odvětvích podle přílohy II. Ustanovení čl. 1 odst. 3 stanoví, že se směrnice o bezpečnosti sítí a informací nevztahuje na podniky podléhající požadavkům rámcové směrnice o telekomunikacích. Jeví se však, že některé členské státy určily provozovatele základních služeb poskytující služby, které by měly být správně upraveny podle rámcové směrnice o telekomunikacích, jako je například přístup k internetu a telefonní služby. Podle čl. 1 odst. 7 se navíc ustanovení směrnice o bezpečnosti sítí a informací týkající se bezpečnostních požadavků a hlášení incidentů nevztahují na provozovatele, na něž se již vztahují odvětvové právní akty Unie, které stanoví povinnosti s alespoň rovnocenným účinkem. Většina členských států sice určila provozovatele základních služeb v odvětví bankovnictví a finančních trhů, několik členských států však provozovatele základních služeb neurčilo s odůvodněním, že provozovatelé poskytují služby, na něž se vztahují leges speciales. Komise dosud pracuje na shromažďování podrobných informací o uplatňování zásady lex specialis podle směrnice o bezpečnosti sítí a informací. V současné době provádí hloubkové kontroly vnitrostátních právních předpisů a návštěvy zemí s cílem posoudit současnou úroveň provádění a uplatňování, a to i ve vztahu k ustanovením týkajícím se lex specialis. Na tomto základě má Komise v úmyslu dále projednávat zásadu lex specialis v rámci skupiny pro spolupráci s cílem dosáhnout většího sladění členských států.

3.Závěry Tato zpráva hodnotí přístupy, které zvolily členské státy k určování provozovatelů základních služeb podle směrnice o bezpečnosti sítí a informací. Jejím cílem je posoudit úroveň vzájemné konzistentnosti postupů členských států s ohledem na možný dopad stávajícího rámce na fungování vnitřního trhu a na řízení rizik spojených s kybernetickou závislostí. Z provedené analýzy vyplývá, že směrnice o bezpečnosti sítí a informací působí v mnoha členských státech jako katalyzátor, který připravuje půdu pro faktickou změnu institucionálního a regulačního prostředí v oblasti kybernetické bezpečnosti. Povinnost určovat provozovatele základních služeb navíc vyvolala komplexní posuzování rizik spojených s provozovateli působícími v oblasti kritických činností a moderních sítí a informačních systémů téměř ve všech členských státech. To lze považovat za úspěch Unie jako celku v souladu s cíli uvedené směrnice. Komise pro účely této zprávy prozkoumala vnitrostátní metodiky určování, služby, které vnitrostátní orgány považují za základní, mezní hodnoty pro určování a počty provozovatelů základních služeb určených v jednotlivých odvětvích, na která se směrnice vztahuje: ·Členské státy vyvinuly celou řadu metodik týkajících se celkového přístupu k určování provozovatelů základních služeb (oddíl 2.1), ale také definice základních služeb a stanovení mezních hodnot. To může mít negativní dopad na konzistentní uplatňování ustanovení o bezpečnosti sítí a informací v celé Unii s možnými důsledky pro dobré fungování vnitřního trhu a účinné řešení kybernetických závislostí. ·Navíc se jeví, že členské státy uplatňují rozdílný výklad toho, co představuje základní službu podle směrnice o bezpečnosti sítí a informací, a uplatňují rovněž různé úrovně podrobnosti (viz oddíl 2.2). Proto jsou seznamy základních služeb jen obtížně porovnatelné. Navíc zde existuje riziko, že oblast působnosti směrnice bude roztříštěná a některé hospodářské subjekty tak budou vystaveny dodatečné regulaci (protože byly určeny svým příslušným členským státem), zatímco jiné subjekty, které poskytují podobné služby, jí i nadále vystaveny nebudou (protože nebyly určeny). V zájmu řešení těchto nesrovnalostí by další práce vycházející ze zkušeností členských států mohla vést k většímu sladění seznamu základních služeb. ·Zpráva navíc rovněž zjistila významné nesrovnalosti ve způsobu, jakým členské státy uplatňují mezní hodnoty (oddíl 2.3). Ke zmírnění tohoto problému by mohlo přispět další sladění mezní hodnot na úrovni EU. Tuto práci by mohly provést například odvětvové oblasti činnosti v rámci skupiny pro spolupráci, které by zohlednily vnitrostátní specifika, jako jsou například zvláštní požadavky malých členských států. ·Skutečnost, že některé země využily možnosti určit základní služby i v dalších odvětvích nebo pododvětvích kromě těch, na něž se vztahuje příloha II, upozorňuje na to, že vůči kybernetickým incidentům mohou být zranitelná i další odvětví, která směrnice o bezpečnosti sítí a informací nezohledňuje (oddíl 2.5). Určování provozovatelů základních služeb v odvětvích, jako jsou například informační infrastruktury, finanční služby, které nezahrnují subjekty uvedené v příloze II, a vláda, může zlepšit kybernetickou odolnost organizací v uvedených odvětvích. Pokud však bude provozovatele základních služeb v těchto odvětvích určovat pouze část členských států, mohl by takový přístup přinést negativní důsledky pro vnitřní trh a pro rovné podmínky, které má zajišťovat. Velké množství metodik a osvědčených postupů, které vytvořily vnitrostátní orgány, má značnou hodnotu a je třeba je zohlednit v budoucnu, například v činnosti skupiny pro spolupráci a při průběžném určování provozovatelů základních služeb členskými státy. Stávající úroveň rozmanitosti by však mohla mít negativní dopad na dosahování cílů uvedené směrnice. Komise dospěla k předběžnému závěru, že ačkoli směrnice o bezpečnosti sítí a informací uvedla do pohybu zásadní proces s cílem posílit a zkvalitnit postupy řízení rizik poskytovatelů v kritických odvětvích, v rámci Unie existuje značná roztříštěnost v oblasti určování provozovatelů základních služeb. To je způsobeno zčásti koncepcí směrnice a zčásti tím, že členské státy používají odlišné metodiky provádění.

Členské státy by měly usilovat o co nejkonzistentnější uplatňování ustanovení směrnice o bezpečnosti sítí a informací, přičemž by měly v plné míře využívat pokyny vypracované Komisí a skupinou pro spolupráci. Komise proto určila několik vnitrostátních opatření, která by mohla pomoci problémy uvedené v této zprávě zmírnit: ·Řada členských států nedokončila proces určování provozovatelů základních služeb ve lhůtě stanovené směrnicí. Ke dni zveřejnění této zprávy navíc předložilo všechny údaje požadované podle čl. 5 odst. 7 jen 23 členských států: Dalších 5 členských států poskytlo jen částečné informace. Komise vyzývá vnitrostátní orgány odpovědné za určování, aby celý proces dokončily co nejrychleji a aby nezbytné informace Komisi předaly co nejdříve. ·Příslušné orgány by měly pravidelně přezkoumávat své seznamy základních služeb a zajistit, aby byly určeny všechny stávající základní služby a aby tak byl snížen počet „nedostatků konzistentnosti“, pokud jde o základní služby na celém vnitřním trhu. ·Členské státy by měly všude, kde je to možné, vzájemně aktivněji spolupracovat za účelem sladění mezních hodnot, zejména pak v odvětvích s výrazným přeshraničním rozměrem, jako je například doprava nebo energetika. Toho lze dosáhnout prostřednictvím přeshraničního konzultačního postupu stanoveného v čl. 5 odst. 4 směrnice o bezpečnosti sítí a informací, ale také lepším využíváním stávajících struktur skupiny pro spolupráci. ·Vnitrostátní orgány by měly provádět vzájemné konzultace s cílem zajistit, aby se na přeshraniční provozovatele na vnitřním trhu vztahovaly obdobné požadavky na bezpečnost a hlášení incidentů. Členské státy by navíc měly tyto provozovatele kontaktovat s cílem shromáždit více informací o odchylkách v právních předpisech. Posilování kybernetické odolnosti by nemělo být prováděno za cenu roztříštěnosti předpisů. Členské státy by v případě potřeby měly rovněž zahájit vícestranné konzultace, jak stanoví bod 24 odůvodnění směrnice o bezpečnosti sítí a informací. Kromě vnitrostátních opatření existuje i řada opatření, která by bylo možno potenciálně přijmout na úrovni Unie a která by vedla ke zvýšení konzistentnosti. Komise zahájí jednání s cílem zlepšit nevyrovnané a místy roztříštěné způsoby určování. Příklady potenciálních opatření: ·Je třeba posílit úlohu skupiny pro spolupráci v oblasti bezpečnosti sítí a informací s cílem podpořit společné chápání toho, jak provádět směrnici konzistentněji. Za tímto účelem Komise navrhne, aby stávající zvláštní oblast činnosti pro určování provozovatelů základních služeb urychleně přepracovala své pokyny tak, aby lépe řešily stávající nesrovnalosti. Skupina pro spolupráci by rovněž měla posoudit vytvoření dalších odvětvových oblastí činnosti s cílem zvýšit soudržnost mezi členskými státy, a rovněž využívání individuálně přizpůsobeného komunikačního nástroje k posílení spolupráce v rámci skupiny. ·Jen velmi málo členských států v současné době využívá přeshraniční konzultační postup při určování provozovatelů, kteří poskytují základní služby ve více než jednom členském státě. Za účelem posílení výměny informací by skupina pro spolupráci měla zrevidovat svůj referenční dokument týkající se postupů konzultačního procesu v případech s přeshraničním dopadem a dohodnout se na konzistentním výkladu oblasti působnosti, cílů a postupů tohoto procesu. Současně bude Komise hledat způsoby, jak umožnit bezpečnou výměnu informací mezi příslušnými orgány. ·Zdá se, že při uplatňování ustanovení směrnice týkajících se lex specialis panuje mezi členskými státy určitá míra nesouladu. Komise proto využije struktur skupiny pro spolupráci k projednání případů, kdy uplatnění zásady lex specialis nemusí být nutně správné. Opatření přijatá na úrovni Unie by měla zaručovat soudržný rámec a zohledňovat jak odvětvové činnosti, které předpokládají zvláštní nebo vyšší požadavky na kybernetickou bezpečnost, tak další evropské právní předpisy.



4.Přílohy 4.1Přehled dostupných údajů podle členských států Členský stát Datum předložení Seznam služeb Počty provozovatelů základních služeb Mezní hodnoty AT Předloženo opožděně Dodáno CHYBÍ Dodáno BE Předloženo opožděně Dodáno CHYBÍ CHYBÍ BG Předloženo opožděně Dodáno Dodáno Dodáno CY Včas Dodáno Dodáno Dodáno CZ Předloženo opožděně Dodáno Dodáno Dodáno DE Včas Dodáno Dodáno Dodáno DK Včas Dodáno Dodáno Dodáno EE Včas Dodáno Dodáno Dodáno EL Předloženo opožděně Dodáno Dodáno Dodáno ES Včas Dodáno Dodáno Dodáno FI Včas Dodáno Dodáno Dodáno FR Včas Dodáno Dodáno Neexistují ofic. mezní hodn. HR Včas Dodáno Dodáno Dodáno HU Včas Částečně dodáno Částečně dodáno Částečně dodáno IE Předloženo opožděně Dodáno Dodáno Dodáno IT Předloženo opožděně Dodáno Dodáno Dodáno LT Včas Dodáno Dodáno Dodáno LU Předloženo opožděně Dodáno Dodáno Dodáno LV Předloženo opožděně Dodáno Dodáno Dodáno MT Opožděné předložení Dodáno Dodáno Dodáno NL Předloženo opožděně Dodáno Dodáno Dodáno PL Včas Dodáno Dodáno Dodáno PT Včas Dodáno Dodáno Dodáno RO Předloženo opožděně Dodáno Částečně dodáno CHYBÍ SE Včas Dodáno Dodáno Dodáno SI Předloženo opožděně Dodáno CHYBÍ Dodáno SK Včas Dodáno Dodáno Dodáno UK Včas Dodáno Dodáno Dodáno 4.2Počty služeb a provozovatelů základních služeb určených členskými státy Členský stát Určení provozovatelé základních služeb Služby podle přílohy II Další služby AT 0 46 0 BE 0 31 0 BG 185 30 3 CY 20 29 17 CZ 50 31 12 DE 573 15 12 DK 128 39 0 EE 137 18 6 EL 67 30 0 ES 132 55 18 FI 10897 20 0 FR 127 70 20 HR 85 49 2 HU 42 12 0 IE 64 26 0 IT 553 37 0 LT 22 37 0 LU 49 21 0 LV 66 18 0 MT 36 29 2 NL 42 12 0 PL 142 87 0 PT 1250 26 0 RO 86 77 0 SE 326 27 0 SI 0 34 2 SK 273 28 7 UK 470 34 0 4.3Služby určené členskými státy v pododvětví elektřiny Členský stát Určené služby AT ̶Zařízení pro výrobu elektrické energie ̶Kontrolní systémy ve výrobních zařízeních ̶Distribuční soustavy ̶Přenosové soustavy BE ̶Výrobní, přepravní a distribuční společnosti ̶Distribuce elektřiny ̶Přeprava elektřiny BG ̶Výroba elektřiny ̶Přenos elektřiny ̶Provoz, údržba a rozvoj přenosové soustavy elektřiny ̶Distribuce elektřiny ̶Zajištění fungování a údržby soustavy pro distribuci elektrické energie ̶Trh s elektřinou CY ̶Výroba/dodávka ̶Distribuce/přenos ̶Služby trhu s elektřinou CZ ̶Výroba elektřiny ̶Prodej elektřiny ̶Provozování přenosové soustavy ̶Provozování distribuční soustavy DE ̶Dodávky energie DK ̶Přenos elektřiny ̶Distribuce elektřiny ̶Výroba elektřiny EE ̶Dodávky elektřiny EL ̶Dodávky elektřiny ̶Distribuce elektřiny ̶Přenos elektřiny ES ̶Výroba elektřiny ̶Přenos elektřiny ̶Distribuce elektřiny ̶Střediska pro provoz a řízení elektrických soustav FI ̶Přenosová služba ̶Distribuce elektřiny v distribuční síti ̶Dodávky elektřiny prostřednictvím vysokonapěťových distribučních sítí FR ̶Prodej nebo další prodej elektřiny velkoodběratelům a konečným zákazníkům ̶Distribuce elektřiny ̶Přenos elektřiny HR ̶Výroba elektřiny ̶Přenos elektřiny ̶Distribuce elektřiny HU ̶Elektřina IE ̶Provozovatelé distribuční soustavy ̶Elektroenergetické podniky ̶Provozovatelé přenosových soustav IT ̶Výroba ̶Obchodování ̶Přenos ̶Distribuce LT ̶Služby v oblasti výroby elektrické energie ̶Služby v oblasti přenosu elektrické energie ̶Služby v oblasti distribuce elektřiny ̶Služby v oblasti dodávek elektrické energie LU ̶Dodávky elektřiny ̶Distribuce elektřiny ̶Přenos elektřiny LV ̶Výroba elektřiny ̶Distribuce elektřiny ̶Přenos elektřiny MT ̶Dodávky elektřiny spotřebitelům ̶Přenos a/nebo distribuce elektřiny spotřebitelům ̶Výroba elektřiny pro spotřebitele NL ̶Přenos a distribuce elektřiny PL ̶Výroba elektřiny ̶Přenos elektřiny ̶Distribuce elektřiny ̶Obchod s elektřinou ̶Skladování elektřiny ̶Služby v oblasti zajišťování kvality a řízení energetické infrastruktury PT ̶Provozovatelé distribuční soustavy ̶Provozovatelé přenosových soustav RO ̶Výroba elektřiny ̶Dodávky elektřiny spotřebitelům ̶Fungování centralizovaných trhů s elektřinou ̶Doprava elektřiny ̶Provoz energetické soustavy ̶Distribuce elektřiny SE ̶PPS ̶Provozovatel distribuční soustavy ̶Výroba ̶Velkoobchod SI ̶Výroba elektřiny ve vodních elektrárnách ̶Výroba elektřiny v tepelných a v jaderných elektrárnách ̶Přenos elektřiny ̶Distribuce elektřiny ̶Obchod s elektřinou SK ̶Elektrárenská společnost ̶Provozovatel přenosové soustavy ̶Provozovatel distribuční soustavy UK ̶Dodávky elektřiny ̶Přenos elektřiny ̶Distribuce elektřiny