C 167/1

SDĚLENÍ KOMISE

Pokyny k výročním zprávám o auditu, které mají být předloženy v souladu s čl. 15 odst. 8 směrnice 2014/40/EU v souvislosti se systémem sledovatelnosti tabákových výrobků v EU

(Text s významem pro EHP)

(2020/C 167/01)

(Text s významem pro EHP) UPOZORNĚNÍ: Cílem tohoto dokumentu je poskytnout schválenému auditorovi pokyny ohledně rozsahu auditu a postupu pro předkládání výroční zprávy o auditu. Není právně závazný, poskytuje pouze obecné pokyny s doporučeními a odráží osvědčené postupy. Těmito pokyny nejsou dotčena žádná vnitrostátní pravidla.

1. Úvod

Článek 15 směrnice Evropského parlamentu a Rady 2014/40/EU (1) stanoví zavedení systému sledovatelnosti tabákových výrobků v celé EU s cílem řešit problematiku nezákonného obchodu. Tento systém začal fungovat dne 20. května 2019.

V rámci tohoto systému požaduje čl. 15 odst. 8 směrnice 2014/40/EU, aby členské státy zajistily, že výrobci a dovozci tabákových výrobků uzavřou smlouvy o uchovávání údajů s nezávislou třetí stranou (dále jen „poskytovatel, který je třetí stranou“) za účelem vybudování zařízení pro ukládání údajů týkajících se tabákových výrobků jednotlivých výrobců a dovozců (dále jen „primární úložiště“).

V zájmu zajištění nezávislého fungování systému sledovatelnosti stanoví čl. 15 odst. 8 směrnice 2014/40/EU, že činnosti primárního úložiště a jeho poskytovatele, který je třetí stranou, monitoruje externí auditor. Auditora určí a platí výrobce tabákových výrobků a schvaluje Komise. Externí auditor předloží své posouzení prostřednictvím výroční zprávy příslušným vnitrostátním orgánům a Komisi, v níž posuzuje především jakákoliv porušení přístupnosti.

Tento dokument má poskytnout schválenému auditorovi pokyny ohledně rozsahu auditu a postupu pro předkládání výroční zprávy o auditu. Měl by být vykládán ve spojení s prováděcím nařízením Komise (EU) 2018/574 (2), které stanoví technické požadavky na zavedení a provoz systému sledovatelnosti, včetně primárních úložišť, a nařízením Komise v přenesené pravomoci (EU) 2018/573 (3), které vymezuje klíčové prvky smluv o uchovávání údajů, jež mají být uzavírány v rámci systému sledovatelnosti.

Tento dokument je nabízen jako nástroj na pomoc schváleným auditorům; jedná se o nezávazné pokyny, které nevytvářejí žádné nové právní závazky. Tyto pokyny mohou do určité míry vykládat právní předpisy, postojem Komise však není dotčen případný výklad této směrnice, který eventuálně vydá Soudní dvůr Evropské unie.

2. Obecný kontext auditů

Každé primární úložiště smluvně sjednané výrobcem podléhá každoročnímu auditu. Pokud tentýž poskytovatel, který je třetí stranou, provozuje dvě nebo více primárních úložišť, měl by být proveden samostatný audit a pro každé úložiště by měla být předložena samostatná zpráva o auditu.

Audit by měl být proveden ve vztahu k primárnímu úložišti a souvisejícím službám, včetně posouzení toho, zda příslušný poskytovatel, který je třetí stranou, a případně jeho subdodavatelé vyhovují příslušným legislativním požadavkům stanoveným ve směrnici 2014/40/EU, prováděcím nařízení (EU) 2018/574 a nařízení v přenesené pravomoci (EU) 2018/573.

Každý výrobce nebo dovozce musí Komisi oznámit auditora, jejž navrhuje k provedení auditu jeho primárního úložiště, a příslušného poskytovatele, který je třetí stranou. Všichni navrhovaní auditoři musí být schváleni Komisí.

3. Rozsah auditů

Rozsah a cíl

Předkládané zprávy o auditu mají informovat příslušné vnitrostátní orgány a Komisi o zjištěních auditorů, zejména pokud jde o jakékoli nesrovnalosti týkající se přístupu k údajům uchovávaným v primárních úložištích.

Zprávy o auditu by měly věnovat samostatnou kapitolu každé z šesti oblastí uvedených níže. Každá kapitola by se měla zabývat ověřovacími body příslušné oblasti uvedenými na kontrolním seznamu v příloze.

Audity by měly být prováděny v souladu s uvedeným kontrolním seznamem, který stanoví požadované oblasti a ověřovací body v souladu s normou ISO/IEC 27001:2013 o systémech řízení bezpečnosti informací (4). Za tímto účelem by auditoři měli vzít na vědomí, že článek 10 nařízení Komise v přenesené pravomoci (EU) 2018/573 odkazuje na normu ISO/IEC 27001:2013 jako na upřednostňovanou normu řízení bezpečnosti informací v souvislosti s provozem primárních úložišť.

Oblast Cíle Organizační a fyzická bezpečnost Vytvořit rámec řízení bezpečnosti informací v rámci organizace. Zajistit, aby zaměstnanci a dodavatelé rozuměli svým povinnostem a byli vhodní pro úlohy, pro něž mají být určeni. Zabránit neoprávněnému fyzickému přístupu, poškození nebo zásahům do organizace, včetně informací a zařízení pro zpracování informací. Zabránit ztrátě, poškození, odcizení nebo ohrožení prostředků a přerušení provozu organizace. Bezpečnost provozu Zajistit správný a bezpečný provoz zařízení pro zpracování informací. Chránit před ztrátou dat. Zaznamenávat události a generovat důkazy. Zajistit integritu provozních systémů. Zabránit zneužívání technických slabých míst. Kontrola přístupu (uživatelé a aplikace) Omezit přístup k informacím a zařízením pro zpracování informací. Zajistit oprávněný přístup uživatelů a zabránit neoprávněnému přístupu k systému a službám. Zajistit, aby uživatelé nesli odpovědnost za ochranu svých přihlašovacích údajů. Zabránit neoprávněnému přístupu k systémům a aplikacím. Zajistit, aby bezpečnost informací byla navržena a prováděna v rámci životního cyklu vývoje informačních systémů. Bezpečnost komunikace Zajistit řádné a účinné používání šifrování na ochranu důvěrnosti, pravosti a/nebo integrity informací. Zajistit ochranu informací v sítích a podpůrných zařízeních pro zpracování informací. Zachovat bezpečnost informací předávaných v rámci organizace a v rámci externích subjektů. Kontinuita provozu Zajistit jednotný a účinný přístup k řízení incidentů v oblasti bezpečnosti informací, včetně komunikace o bezpečnostních událostech a nedostatcích. Kontinuita zabezpečení informací musí být začleněna do systémů řízení kontinuity provozu organizace. Zajistit dostupnost zařízení pro zpracování informací. Zabránit porušování právních, zákonných, regulačních nebo smluvních povinností týkajících se bezpečnosti informací a veškerých bezpečnostních požadavků. Prostředky a integrita údajů Určit prostředky organizace a stanovit příslušnou odpovědnost za jejich ochranu. Zajistit odpovídající úroveň ochrany informací. Zabránit neoprávněnému poskytnutí, pozměnění, odstranění nebo zničení informací uložených na nosičích dat.

Závěry a doporučení

Závěry auditu by měly být poskytnuty pro každý ověřovací bod uvedený v kontrolním seznamu.

Zpráva o auditu by měla pouze zdůrazňovat a vysvětlovat zjištění týkající se otázek nesouladu nebo jiných zjištěných rizik. Zjištění by rovněž měla doprovázet vhodná doporučení, která stanoví opatření nutná k odstranění problémů a nedostatků zjištěných během auditu.

4. Procedurální aspekty

Periodicita

Auditoři jsou povinni předkládat své zprávy o auditu každoročně. Jelikož systém sledovatelnosti začal fungovat dne 20. května 2019, auditoři se vyzývají, aby předložili své první výroční zprávy o auditu, které se týkají prvního roku fungování systému sledovatelnosti (tj. od 20. května 2019 do 19. května 2020), do 30. listopadu 2020. Auditoři se vyzývají, aby poté předkládali výroční zprávy za následující roky fungování do konce října každého kalendářního roku.

Opatření následující po auditu

Je-li provedeno následné hodnocení s cílem posoudit, zda dotčený poskytovatel, který je třetí stranou, řádně provedl doporučení obsažená ve výroční zprávě o auditu, auditor se pokud možno vyzve, aby předložil výsledky Komisi a příslušným vnitrostátním orgánům do tří měsíců od předložení výroční zprávy o auditu.

5. Procedurální aspekty zpráv o auditu

Informace o auditorech

V úvodu zprávy o auditu by měla být uvedena jména auditora (auditorů) a v příslušných případech přidružené auditorské společnosti (přidružených auditorských společností).

Formát

Zpráva o auditu by měla být předložena v elektronickém formátu (nechráněné formáty PDF s možností vyhledávání).

Auditoři se vyzývají, aby Komisi předkládali výroční zprávy v angličtině, pokud je to možné.

Postup předkládání

Výroční zpráva o auditu a jakákoli navazující zpráva k této zprávě by měly být zaslány elektronickou poštou na adresu SANTE-TT-SW@ec.europa.eu s uvedením tohoto předmětu: „Zpráva o auditu [Zpráva navazující na zprávu o auditu] za [rok] – [Název zadávajícího výrobce] – [Název auditovaného poskytovatele, který je třetí stranou]“

Transparentnost

S cílem podpořit celkovou transparentnost a odpovědnost systému sledovatelnosti tabákových výrobků vyzývá Komise výrobce, aby se dobrovolně dohodli se svými auditory na tom, že Komisi předloží i veřejnou verzi své zprávy o auditu, s vyloučením veškerých osobních a obchodně citlivých údajů.

Tyto veřejné verze zpráv o auditu by byly zveřejněny na zvláštní internetové stránce Komise.

(1) Směrnice Evropského parlamentu a Rady 2014/40/EU ze dne 3. dubna 2014 o sbližování právních a správních předpisů členských států týkajících se výroby, obchodní úpravy a prodeje tabákových a souvisejících výrobků a o zrušení směrnice 2001/37/ES (Úř. věst. L 127, 29.4.2014, s. 1).

(2) Prováděcí nařízení Komise (EU) 2018/574 ze dne 15. prosince 2017 o technických normách pro zavedení a provoz systému sledovatelnosti tabákových výrobků (Úř. věst. L 96, 16.4.2018, s. 7).

(3) Nařízení Komise v přenesené pravomoci (EU) 2018/573 ze dne 15. prosince 2017 o klíčových prvcích smluv o uchovávání údajů, jež mají být uzavírány v rámci systému sledovatelnosti tabákových výrobků (Úř. věst. L 96, 16.4.2018, s. 1).

(4) ISO/IEC 27001:2013. Informační technologie – Bezpečnostní techniky – Systémy řízení bezpečnosti informací – Požadavky. Požadavky stanovené v normě ISO/IEC 27001:2013 jsou obecné a mají být použitelné pro všechny organizace bez ohledu na jejich druh, velikost nebo povahu.