EVROPSKÁ KOMISE V Bruselu dne 4.10.2017 COM(2017) 477 final 2017/0225(COD) EMPTY NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Návrh NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY o agentuře ENISA, Evropské agentuře pro kybernetickou bezpečnost, a zrušení nařízení (EU) č. 526/2013 a o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií („akt o kybernetické bezpečnosti“) (Text s významem pro EHP) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



DŮVODOVÁ ZPRÁVA 1.SOUVISLOSTI NÁVRHU •Odůvodnění a cíle návrhu Evropská unie přijala celou řadu opatření na zvýšení odolnosti a zlepšení své připravenosti v oblasti kybernetické bezpečnosti. První strategie kybernetické bezpečnosti Evropské unie přijatá v roce 2013 stanovila strategické cíle a konkrétní opatření s cílem dosáhnout odolnosti, snížit kyberkriminalitu, vypracovat politiku kybernetické obrany a související kapacity, vytvořit průmyslové a technologické zdroje a zavést soudržnou mezinárodní politiku Evropské unie v oblasti kyberprostoru. V této souvislosti od té doby došlo k důležitému vývoji, k němuž patří zejména druhý mandát pro Agenturu Evropské unie pro bezpečnost sítí a informací (agentura ENISA) a přijetí směrnice o bezpečnosti sítí a informačních systémů (dále jen „směrnice o bezpečnosti sítí a informací“), které tvoří základ tohoto návrhu. Dále Evropská komise v roce 2016 přijala sdělení o posílení evropského systému kybernetické odolnosti a o podpoře konkurenceschopného a inovativního odvětví kybernetické bezpečnosti, v němž byla oznámena další opatření k posílení spolupráce, sdílení informací a znalostí a ke zvýšení odolnosti a připravenosti EU, a to i s ohledem na možnost rozsáhlých incidentů a možnou celoevropskou krizi v oblasti kybernetické bezpečnosti. Komise v této souvislosti oznámila, že uspíší hodnocení a přezkum nařízení Evropského parlamentu a Rady (EU) č. 526/2013 o agentuře ENISA a o zrušení nařízení (ES) č. 460/2004 (dále jen „nařízení o agentuře ENISA“). Proces hodnocení by mohl vést k případné reformě agentury a k posílení jejích schopností a kapacit udržitelným způsobem podporovat členské státy. Tato reforma by tedy agentuře přisoudila operativnější a více ústřední úlohu při dosahování odolnosti z hlediska kybernetické bezpečnosti a v novém mandátu agentury by uznala nové úkoly agentury na základě směrnice o bezpečnosti sítí a informací. Směrnice o bezpečnosti sítí a informací je prvním zásadním krokem směrem k podpoře kultury řízení rizik, jelikož zavádí bezpečnostní požadavky jakožto právní povinnost pro klíčové hospodářské subjekty, zejména pro provozovatele poskytující základní služby (provozovatelé základních služeb) a pro dodavatele některých klíčových digitálních služeb (poskytovatelé digitálních služeb). Vzhledem k tomu, že bezpečnostní požadavky jsou vnímány jako stěžejní pro zajištění výhod rozvíjející se digitalizace společnosti, a vzhledem k rychlému a strmému nárůstu počtu zařízení připojených k internetu (internet věcí) sdělení z roku 2016 rovněž nastínilo myšlenku zřízení rámce pro certifikaci bezpečnosti produktů a služeb IKT za účelem zvýšení důvěry a bezpečnosti na jednotném digitálním trhu. Certifikace kybernetické bezpečnosti IKT se stává obzvláště důležitou s ohledem na rostoucí využívání technologií, které vyžadují vysokou úroveň kybernetické bezpečnosti, jako jsou například propojené a automatizované automobily, elektronické zdravotnictví nebo průmyslové automatizační řídicí systémy (IACS). Tato politická opatření a oznámení byla dále posílena závěry Rady z roku 2016, v nichž bylo uznáno, že „kybernetické hrozby a zranitelnost se nadále vyvíjí a stupňují, což bude vyžadovat pokračující a užší spolupráci, zejména při řešení rozsáhlých přeshraničních kybernetických bezpečnostních incidentů“. Závěry znovu potvrdily, že „nařízení o agentuře ENISA je jedním ze zásadních prvků rámce kybernetické odolnosti EU“, a vyzvaly Komisi, aby učinila další kroky k řešení otázky certifikace na evropské úrovni. Zavedení systému certifikace by vyžadovalo vytvoření vhodného systému řízení na úrovni EU, jenž by zahrnoval podrobné odborné poradenství poskytované nezávislou agenturou EU. Tento návrh v této souvislosti identifikuje agenturu ENISA jako přirozenou instituci na úrovni EU, která je příslušná pro otázky kybernetické bezpečnosti a která by měla tuto úlohu přijmout a propojit a koordinovat práci příslušných vnitrostátních orgánů v oblasti certifikace. Komise ve svém sdělení z května 2017 o přezkumu strategie pro jednotný digitální trh v polovině období dále upřesnila, že do září 2017 přezkoumá mandát agentury ENISA. Účelem tohoto přezkumu je nové vymezení role agentury v měnícím se kybernetickobezpečnostním ekosystému a vypracování opatření v oblasti norem kybernetické bezpečnosti, certifikace a označování v zájmu lepšího kybernetického zabezpečení systémů IKT včetně propojených objektů. Evropská rada ve svých závěrech z června 2017 uvítala záměr Komise přezkoumat v září strategii kybernetické bezpečnosti a ještě do konce roku 2017 navrhnout další cílená opatření. Navrhované nařízení stanoví komplexní soubor opatření, která vycházejí z předchozích opatření a podporují vzájemně se doplňující specifické cíle: ·zvýšení schopností a připravenosti členských států a podniků, ·zlepšení spolupráce a koordinace napříč členskými státy a orgány, agenturami a dalšími subjekty EU, ·zvýšení úrovně schopností EU doplňovat opatření členských států, zejména v případě přeshraničních kybernetických krizí, ·zvýšení informovanosti občanů a podniků o otázkách týkajících se kybernetické bezpečnosti, ·zvýšení celkové transparentnosti záruky kybernetické bezpečnosti produktů a služeb IKT, aby se posílila důvěra v jednotný digitální trh a digitální inovace, a ·zabránění roztříštěnosti systémů certifikace v EU a souvisejících bezpečnostních požadavků a hodnoticích kritérií napříč členskými státy a odvětvími. Následující část důvodové zprávy podrobněji vysvětluje odůvodnění tohoto podnětu s ohledem na navrhovaná opatření týkající se agentury ENISA a certifikace kybernetické bezpečnosti.





Agentura ENISA Agentura ENISA působí jako odborné středisko zaměřené na zvýšení bezpečnosti sítí a informací v Unii a na podporu budování kapacit členských států. Agentura ENISA byla zřízena v roce 2004, aby přispěla k celkovému cíli zajištění vysoké úrovně bezpečnosti sítí a informací v EU. Nařízení (EU) č. 526/2013 v roce 2013 stanovilo pro agenturu nový mandát na dobu sedmi let, do roku 2020. Agentura má své kanceláře v Řecku, konkrétně správní sídlo v Heraklionu (Kréta) a hlavní útvary v Aténách. Agentura ENISA je ve srovnání s ostatními agenturami EU malou agenturou s nízkým rozpočtem a počtem zaměstnanců. Má mandát na dobu určitou. Agentura ENISA podporuje evropské orgány, členské státy a podnikatelský sektor při řešení problémů v oblasti bezpečnosti sítí a informací, reagování na tyto problémy a především při předcházení těmto problémům. Činí tak prostřednictvím souboru činností napříč pěti oblastmi stanovenými v její strategii: ·Odborné znalosti: poskytování informací a odborných znalostí týkajících se klíčových otázek bezpečnosti sítí a informací. ·Politika: podpora tvorby politik a jejich provádění v Unii. ·Kapacita: podpora budování kapacit v Unii (např. prostřednictvím školení, doporučení, osvětových činností). ·Společenství: podpora komunity v oblasti bezpečnosti sítí a informací (např. podpora skupin pro reakce na počítačové hrozby (CERT), koordinace celoevropských kybernetických cvičení). ·Umožňování (např. spolupráce se zúčastněnými stranami a zapojení v rámci mezinárodních vztahů). V průběhu jednání o směrnici o bezpečnosti sítí a informací se spolunormotvůrci EU rozhodli svěřit agentuře ENISA důležité úkoly při provádění této směrnice. Agentura zejména zajišťuje služby sekretariátu pro síť CSIRT (zřízenou za účelem podpory rychlé a účinné operativní spolupráce mezi členskými státy při konkrétních kybernetických bezpečnostních incidentech a při sdílení informací o rizicích) a jejím úkolem je rovněž být nápomocna skupině pro spolupráci při plnění jejích úkolů. Kromě toho směrnice požaduje, aby agentura ENISA pomáhala členským státům a Komisi poskytováním odborných rad a doporučení a usnadňováním výměny osvědčených postupů. Komise v souladu s nařízením o agentuře ENISA vypracovala hodnocení agentury, které zahrnuje nezávislou studii, jakož i veřejnou konzultaci. V rámci hodnocení se posuzovaly význam, dopad, účinnost, efektivita, soudržnost a evropská přidaná hodnota agentury s ohledem na její výkon, řízení, vnitřní organizační strukturu a pracovní postupy v období 2013–2016. Většina respondentů (74 %) v rámci veřejné konzultace hodnotila celkový výkon agentury ENISA kladně. Většina respondentů se dále domnívala, že agentura ENISA dosahuje svých různých cílů (u každého z cílů alespoň 63 %). Služby a produkty agentury ENISA pravidelně (každý měsíc nebo častěji) používá téměř polovina respondentů (46 %) a oceňována je skutečnost, že jsou zajišťovány subjektem na úrovni EU (83 %) a jejich kvalita (62 %). Velká většina respondentů (88 %) se však domnívala, že stávající nástroje a mechanismy dostupné na úrovni EU jsou pro řešení stávajících kybernetických bezpečnostních výzev nedostatečné nebo pouze částečně přiměřené. Převážná většina respondentů (98 %) uvedla, že by tyto potřeby měla řešit instituce EU, a 99 % z těchto respondentů se domnívalo, že by to měla být právě agentura ENISA. Kromě toho 67,5 % respondentů vyjádřilo názor, že ENISA by se mohla zapojit do vytváření harmonizovaného rámce pro certifikaci bezpečnosti produktů a služeb IT. V rámci celkového hodnocení (vycházejícího nejen ze zmíněné veřejné konzultace, ale také z řady individuálních rozhovorů, dalších cílených průzkumů a seminářů) se dospělo k následujícím závěrům: ·Cíle agentury ENISA jsou stále aktuální. V kontextu rychlého technologického vývoje a nových hrozeb a s ohledem na rostoucí celosvětová kybernetická bezpečnostní rizika existuje v EU jasná potřeba podporovat a dále posilovat technické odborné znalosti na vysoké úrovni, co se týče otázek kybernetické bezpečnosti. V členských státech je třeba budovat kapacity pro rozpoznávání hrozeb a reagování na ně a zúčastněné strany musí spolupracovat napříč tematickými oblastmi a napříč institucemi. ·I přes svůj malý rozpočet je agentura při využívání svých zdrojů a provádění svých úkolů z provozního hlediska efektivní. Nicméně rozdělení umístění mezi Atény a Heraklion také způsobilo další administrativní náklady. ·Z hlediska účinnosti agentura ENISA částečně splnila své cíle. Agentura úspěšně přispěla ke zlepšení bezpečnosti sítí a informací v Evropě, a to tím, že zajistila budování kapacit ve 28 členských státech, posílila spolupráci mezi členskými státy a zúčastněnými stranami z oblasti bezpečností sítí a informací a zajistila odborné znalosti, budování komunit a podporu pro rozvoj politik. Celkově lze říci, že se agentura ENISA pečlivě soustředila na provádění svého pracovního programu, a ve vztahu ke svým zúčastněným stranám jednala jako důvěryhodný partner, a to v oblasti, jejíž tak silný přeshraniční význam byl uznán teprve nedávno.

·Agentuře ENISA se, alespoň do určité míry, podařilo ovlivnit rozsáhlou oblast bezpečnosti sítí a informací, nepodařilo se jí však plně uspět při budování silné značky a při získávání dostatečné viditelnosti, aby začala být uznávána jako „ono“ odborné středisko v Evropě. Vysvětlení této skutečnosti spočívá v širokém mandátu agentury ENISA, která nebyla vybavena úměrně dostatečnými prostředky. Kromě toho agentura ENISA zůstává jedinou agenturou EU s mandátem na dobu určitou, což omezuje její schopnost rozvíjet dlouhodobou vizi a udržitelným způsobem podporovat své zúčastněné strany. Je to rovněž v rozporu s ustanoveními směrnice o bezpečnosti sítí a informací, která agentuře ENISA svěřují úkoly, u nichž není stanoveno konečné datum. A konečně, na základě posouzení bylo zjištěno, že tuto omezenou účinnost lze částečně vysvětlit vysokou mírou spoléhání se na vnější odborné znalosti namísto interních odborných znalostí a obtížemi s najímáním specializovaných zaměstnanců a s jejich udržením. ·V neposlední řadě hodnocení dospělo k závěru, že přidaná hodnota agentury ENISA spočívá především ve schopnosti agentury posilovat spolupráci hlavně mezi členskými státy, a zvláště se spřízněnými komunitami v oblasti bezpečnosti sítí a informací (zejména mezi skupinami CSIRT). Na úrovni EU není žádný jiný subjekt, který podporuje tak široké spektrum zúčastněných stran z oblasti bezpečnosti sítí a informací. Vzhledem k tomu, že agentura ENISA musí přísně dbát na priority své činnosti, se její pracovní program řídí převážně potřebami členských států. V důsledku toho agentura dostatečně neřeší potřeby jiných zúčastněných stran, zejména průmyslu. Agentura také kvůli tomu reaguje v zájmu uspokojování potřeb svých klíčových zúčastněných stran, což jí brání v dosažení většího dopadu. Přidaná hodnota, již agentura poskytovala, se proto lišila v závislosti na rozdílných potřebách jejích zúčastněných stran a podle míry, do jaké byla agentura schopna na tyto potřeby reagovat (např. velké versus malé členské státy, členské státy versus průmysl). Souhrnně lze říci, že výsledky konzultace se zúčastněnými stranami a hodnocení naznačují, že mandát a prostředky agentury ENISA je třeba upravit, aby mohla agentura hrát odpovídající úlohu při reagování na současné i budoucí problémy. Tento návrh s ohledem na tato zjištění přezkoumává stávající mandát agentury ENISA a stanoví obnovený soubor úkolů a funkcí s cílem účinně a efektivně podporovat členské státy, orgány EU a další zúčastněné strany v jejich úsilí zajistit bezpečný kyberprostor v Evropské unii. Nový navrhovaný mandát se snaží udělit agentuře silnější a více ústřední úlohu, zejména tím, že rovněž podporuje členské státy při provádění směrnice o bezpečnosti sítí a informací a při aktivnějším čelení konkrétním hrozbám (operativní kapacita), a také tím, že se agentura stane odborným střediskem podporujícím členské státy a Komisi v otázkách certifikace kybernetické bezpečnosti. Podle tohoto návrhu: ·Agentuře ENISA by byl udělen trvalý mandát a agentura by tak do budoucna měla pevný základ. Mandát, cíle a úkoly by stále měly podléhat pravidelnému přezkumu. ·Navrhovaný mandát dále upřesňuje úlohu agentury ENISA jakožto agentury EU pro kybernetickou bezpečnost a jakožto referenčního místa v kybernetickobezpečnostním ekosystému EU, které úzce spolupracuje se všemi dalšími příslušnými subjekty v tomto ekosystému. ·Organizace a řízení agentury, které byly v průběhu hodnocení posouzeny kladně, by byly přezkoumány pouze mírně, zejména aby se zajistilo, že v práci agentury se lépe odrážejí potřeby širšího společenství zúčastněných stran. ·Navrhovaný rozsah mandátu je vymezen tak, aby posílil oblasti, kde se ukázala jasná přidaná hodnota agentury, a aby byly přidány nové oblasti, v nichž je nezbytná pomoc s ohledem na nové politické priority a nástroje, zejména na směrnici o bezpečnosti sítí a informací, na přezkum strategie kybernetické bezpečnosti Evropské unie a na nadcházející plán kybernetické bezpečnosti EU pro koordinaci v případě kybernetických krizí a pro certifikaci bezpečnosti IKT. ·Rozvoj a provádění politiky EU: Agentura ENISA by byla pověřena, aby aktivně přispívala k rozvoji politiky v oblasti bezpečnosti sítí a informací, jakož i k dalším politickým iniciativám s prvky kybernetické bezpečnosti v různých odvětvích (např. energetika, doprava, finančnictví). Za tímto účelem by měla silnou poradní úlohu, kterou by mohla naplňovat poskytováním nezávislých stanovisek a přípravnými činnostmi pro rozvoj a aktualizaci politiky a právních předpisů. Agentura ENISA by rovněž podporovala politiku a právní předpisy EU v oblastech elektronických komunikací, elektronické identity a služeb vytvářejících důvěru, a to s cílem podporovat vyšší úroveň kybernetické bezpečnosti. Ve fázi provádění, zejména v kontextu skupiny pro spolupráci v oblasti bezpečnosti sítí a informací, by agentura ENISA pomáhala členským státům dosahovat jednotného přístupu k provádění směrnice o bezpečnosti sítí a informací napříč hranicemi a odvětvími, jakož i v dalších oblastech příslušných politik a právních předpisů. S cílem podpořit pravidelný přezkum politik a právních předpisů v oblasti kybernetické bezpečnosti by agentura ENISA rovněž podávala pravidelné zprávy o stavu provádění právního rámce EU. ·Budování kapacit: Agentura ENISA by přispívala ke zlepšení schopností a odborných znalostí orgánů EU a vnitrostátních veřejných orgánů členských států, včetně schopností a znalostí týkajících se reakcí na incidenty a dozoru nad regulačními opatřeními souvisejícími s kybernetickou bezpečností. Agentura by rovněž byla povinna přispět ke zřízení středisek pro analýzu a sdílení informací v různých odvětvích, a to tím, že by poskytovala osvědčené postupy a pokyny k dostupným nástrojům a postupům, jakož i tím, že by odpovídajícím způsobem řešila regulační otázky týkající se sdílení informací. ·Znalosti a informace, zvyšování informovanosti: Agentura ENISA by se stala informačním centrem EU. To by znamenalo podporu a sdílení osvědčených postupů a iniciativ v celé EU prostřednictvím shromažďování informací o kybernetické bezpečnosti získaných od unijních a vnitrostátních orgánů, institucí a jiných subjektů. Agentura by rovněž zpřístupňovala poradenství, pokyny a osvědčené postupy týkající se bezpečnosti kritických infrastruktur. Po významných přeshraničních kybernetických bezpečnostních incidentech by agentura ENISA dále vypracovávala zprávy s cílem poskytnout pokyny podnikům a občanům v celé EU. Tato řada úkolů by rovněž zahrnovala pravidelné organizování činností na zvyšování informovanosti ve spolupráci s orgány členských států. ·Úkoly související s trhem (normalizace, certifikace kybernetické bezpečnosti): agentura ENISA by vykonávala řadu funkcí, které by konkrétně podporovaly vnitřní trh a pokrývaly „sledování trhu“ kybernetické bezpečnosti, a to tak, že by analyzovala příslušné trendy na trhu kybernetické bezpečnosti, aby bylo možné lépe sladit nabídku a poptávku, a podporovala by rozvoj politiky EU v oblastech normalizace IKT a certifikace kybernetické bezpečnosti IKT. Zejména, pokud jde o normalizaci, by agentura usnadňovala vytváření a zavádění norem kybernetické bezpečnosti. Agentura by rovněž prováděla úkoly předpokládané v souvislosti s budoucím rámcem pro certifikaci (viz oddíl níže). ·Výzkum a inovace: agentura ENISA by přispěla svými odbornými znalostmi tím, že by orgánům EU a vnitrostátním orgánům poskytovala poradenství ke stanovení priorit ve výzkumu a vývoji, a to i v kontextu smluvního partnerství veřejného a soukromého sektoru pro kybernetickou bezpečnost. Doporučení agentury ENISA v oblasti výzkumu by se v rámci příštího víceletého finančního rámce shromažďovala v novém evropském výzkumném a odborném středisku pro kybernetickou bezpečnost. Pokud by o to byla požádána Komisí, agentura ENISA by se rovněž účastnila provádění programů EU v oblasti financování výzkumu a inovací. ·Operativní spolupráce a řešení krizí: tato řada úkolů by měla vycházet z posílení stávajících preventivních operativních schopností, zejména z aktualizace celoevropských cvičení v oblasti kybernetické bezpečnosti (Cyber Europe) tak, že se budou konat každoročně, a z podpůrné role při operativní spolupráci jakožto sekretariát sítě CSIRT (podle ustanovení směrnice o bezpečnosti sítí a informací) tím, že agentura bude mimo jiné zajišťovat řádné fungování infrastruktury IT sítě CSIRT a jejích komunikačních kanálů. V této souvislosti by byla vyžadována strukturovaná spolupráce s CERT-EU, Evropským centrem pro boj proti kyberkriminalitě (EC3) a dalšími příslušnými subjekty EU. Kromě toho by strukturovaná spolupráce s CERT-EU, v těsné fyzické blízkosti, měla vést k funkci spočívající v poskytování technické pomoci v případě významných incidentů a v podpoře analýzy incidentu. Členským státům, které o to požádají, se dostane pomoci při řešení incidentů a podpory při analýze zranitelnosti, artefaktů a incidentů s cílem posílit jejich vlastní schopnosti, co se týče prevence a reakce. ·Agentura ENISA by rovněž hrála úlohu v plánu kybernetické bezpečnosti EU představeném jako součást tohoto balíčku a ve stanovování doporučení Komise určeného členským státům ohledně koordinované reakce na rozsáhlé přeshraniční kybernetické bezpečnostní incidenty a krize na úrovni EU. Agentura ENISA by usnadnila spolupráci mezi jednotlivými členskými státy při řešení reakcí na mimořádné události, a to tím, že by na základě informací, které agentuře na bázi dobrovolnosti poskytnou členské státy a jiné subjekty, analyzovala a agregovala vnitrostátní situační zprávy. ·Certifikace kybernetické bezpečnosti produktů a služeb IKT Za účelem vytvoření a zachování důvěry a bezpečnosti musí být bezpečnostní prvky do produktů a služeb IKT začleněny přímo v raných fázích jejich technického designu a vývoje (bezpečnost coby aspekt návrhu). Zákazníci a uživatelé navíc musí být schopni zjistit úroveň záruk bezpečnosti produktů a služeb, které si pořídí nebo koupí. Certifikace, která spočívá ve formálním hodnocení produktů, služeb a procesů podle definovaného souboru kritérií a norem provedeném nezávislým a akreditovaným subjektem a ve vydání certifikátu o souladu, hraje důležitou úlohu při zvyšování důvěry v produkty a služby a jejich bezpečnosti. I když hodnocení bezpečnosti představuje relativně technickou oblast, certifikace slouží k tomu, aby kupující a uživatele informovala a ujistila je o bezpečnostních vlastnostech produktů a služeb IKT, které používají nebo si kupují. Jak je uvedeno výše, to platí zejména pro nové systémy, které velkou měrou využívají digitálních technologií a vyžadují vysokou úroveň bezpečnosti, jako jsou například propojené a automatizované automobily, elektronické zdravotnictví, průmyslové automatizační řídicí systémy (IACS) nebo inteligentní sítě. Prostředí certifikace kybernetické bezpečnosti produktů a služeb IKT v EU je v současné době poměrně nejednotné. Existuje řada mezinárodních iniciativ, jako například tzv. společná kritéria (CC) pro hodnocení bezpečnosti informačních technologií (norma ISO 15408), což je mezinárodní norma pro hodnocení počítačové bezpečnosti. Je založena na hodnocení třetí stranou a předpokládá sedm úrovní záruky hodnocení (Evaluation Assurancec Levels, EAL). Společná kritéria (CC) a doprovodná společná metodika pro hodnocení bezpečnosti informačních technologií (CEM) tvoří technický základ pro mezinárodní dohodu, dohodu o uznávání společných kritérií (Common Criteria Recognition Arrangement, CCRA), která zajišťuje, že certifikáty CC jsou uznávány všemi signatáři dohody CCRA. V rámci stávající verze dohody CCRA jsou však vzájemně uznávána pouze hodnocení do úrovně EAL 2. Dohodu navíc podepsalo pouze 13 členských států.

Certifikační orgány z 12 členských států uzavřely dohodu o vzájemném uznávání týkajícím se certifikátů vydaných v souladu s dohodou na základě společných kritérií. Kromě toho v členských státech v současné době existuje nebo je zaváděna řada iniciativ týkajících se certifikace IKT. I když jsou tyto iniciativy důležité, obnáší riziko, že povedou k roztříštění trhu a k problémům s interoperabilitou. V důsledku toho se může stát, že aby společnost mohla nabízet svůj produkt na více trzích, musí podstoupit několik postupů certifikace v různých členských státech. Například výrobce inteligentních měřicích přístrojů, který chce své produkty prodávat ve třech členských státech, např. v Německu, ve Francii a ve Spojeném království, musí v současné době vyhovět třem různým systémům certifikace. Ve Spojeném království je to Commercial Product Assurance (CPA), ve Francii Certification de Sécurité de Premier Niveau (CSPN) a v Německu specifický profil ochrany založený na společných kritériích. Tato situace vede k vyšším nákladům a pro společnosti působící v několika členských státech představuje značnou administrativní zátěž. Ačkoliv náklady na certifikaci se mohou významně lišit v závislosti na dotčeném produktu/službě, na úrovni záruky hodnocení, o kterou podnik usiluje, a/nebo v závislosti na komponentech, pro podniky jsou tyto náklady obecně značně vysoké. Například náklady na BSI certifikát pro ústřednu inteligentních měřicích přístrojů „Smart Meter Gateway“ jsou vyšší než 1 milion EUR (nejvyšší úroveň testování a záruky, která se netýká pouze jednoho výrobku, ale také celé související infrastruktury). Náklady na certifikaci inteligentních měřicích přístrojů ve Spojeném království představují téměř 150 000 EUR. Ve Francii jsou náklady podobné jako ve Spojeném království, tedy asi 150 000 EUR nebo více. Klíčové zúčastněné strany z veřejného a soukromého sektoru uznaly, že neexistuje-li celoevropský systém certifikace kybernetické bezpečnosti, musí být společnosti v mnoha případech certifikovány jednotlivě v každém členském státě, což vede k roztříštěnosti trhu. Nejdůležitější je, že při neexistenci harmonizačních právních předpisů EU pro produkty a služby IKT mohou normy a postupy certifikace kybernetické bezpečnosti v členských státech v praxi v EU vytvářet 28 oddělených bezpečnostních trhů, každý se svými vlastními technickými požadavky, zkušebními metodami a postupy certifikace kybernetické bezpečnosti. Tyto rozdílné přístupy na vnitrostátní úrovni mohou způsobit – nebude-li na úrovni EU přijato žádné odpovídající opatření – zásadní nezdar při dosahování jednotného digitálního trhu, což zpomalí související pozitivní účinky, pokud jde o růst a pracovní místa, nebo zabrání jejich vzniku. Navrhované nařízení na základě výše uvedeného vývoje zřizuje evropský rámec pro certifikaci kybernetické bezpečnosti (dále jen „rámec“) pro produkty a služby IKT a upřesňuje základní funkce a úkoly agentury ENISA v oblasti certifikace kybernetické bezpečnosti. Tento návrh stanoví celkový rámec pravidel upravujících systémy evropské certifikace kybernetické bezpečnosti. Návrh přímo nezavádí operativní systémy certifikace, ale vytváří systém (rámec) pro zavedení konkrétních systémů certifikace pro konkrétní produkty/služby IKT („evropské systémy certifikace kybernetické bezpečnosti“). Vytvoření evropských systémů certifikace kybernetické bezpečnosti v souladu s rámcem umožní, aby byly certifikáty vydané podle těchto systémů platné a uznávané ve všech členských státech, a umožní také řešení stávající roztříštěnosti trhu. Obecným účelem evropských systémů certifikace kybernetické bezpečnosti je osvědčit, že produkty a služby IKT, které byly certifikovány v souladu s takovým systémem, splňují specifikované kybernetickobezpečnostní požadavky. To by zahrnovalo například schopnost ochránit údaje (ať už ukládané, předávané nebo jinak zpracovávané) proti náhodnému nebo neoprávněnému ukládání, zpracování, přístupu, sdělování, zničení, náhodné ztrátě nebo úpravám. Pokud jde o technické požadavky a hodnoticí postupy, které musí produkty splňovat, evropské systémy certifikace kybernetické bezpečnosti by využívaly stávající normy a technické normy by samy nevyvíjely. Například celoevropská certifikace pro produkty jako čipové karty, které jsou v současné době testovány podle mezinárodních CC norem v rámci mnohostranného systému SOG-IS (jak již bylo popsáno), by znamenalo, že tento systém by byl platný v celé EU. Návrh kromě toho, že uvádí specifický soubor bezpečnostních cílů, které je třeba zohlednit při navrhování konkrétního evropského systému certifikace kybernetické bezpečnosti, také stanoví, jaký by měl být minimální obsah takových systémů. Tyto systémy budou muset mimo jiné definovat řadu konkrétních prvků stanovujících rozsah a předmět certifikace kybernetické bezpečnosti. To zahrnuje identifikaci kategorie produktů a služeb spadajících do systému, podrobnou specifikaci kybernetickobezpečnostních požadavků (například prostřednictvím odkazu na příslušnou normu nebo technickou specifikaci), konkrétní kritéria a metody hodnocení a úroveň záruky, kterou chtějí zajistit (tj. základní, významnou nebo vysokou). Evropské systémy certifikace kybernetické bezpečnosti vypracuje ENISA v úzké spolupráci s Evropskou skupinou pro certifikaci kybernetické bezpečnosti (viz níže), která jí bude poskytovat pomoc a odborná doporučení, a přijímat je bude Komise prostřednictvím prováděcích aktů. Bude-li zjištěna potřeba systému certifikace kybernetické bezpečnosti, Komise agenturu ENISA požádá, aby vypracovala systém pro konkrétní produkty nebo služby IKT. Agentura ENISA bude na systému pracovat v úzké spolupráci s vnitrostátními orgány dozoru nad certifikací zastoupenými ve skupině. Členské státy a skupina mohou Komisi navrhnout, aby agenturu ENISA požádala o vypracování konkrétního systému. Certifikace může představovat velmi nákladný proces, což by pak mohlo vést k vyšším cenám pro zákazníky a spotřebitele. Potřeba certifikace se rovněž může významně lišit podle konkrétního kontextu využití produktů a služeb a rychlého tempa technologické změny. Využití evropské certifikace kybernetické bezpečnosti by proto mělo zůstat dobrovolné, nestanoví-li jinak právní předpisy Unie, které stanoví bezpečnostní požadavky produktů a služeb IKT. Aby byla zajištěna harmonizace a zabránilo se roztříštěnosti, přestanou vnitrostátní systémy nebo postupy certifikace kybernetické bezpečnosti produktů a služeb IKT, na které se vztahuje evropský systém certifikace kybernetické bezpečnosti, platit ode dne stanoveného v prováděcím aktu, jímž se daný systém přijímá. Členské státy by dále neměly zavádět nové vnitrostátní systémy certifikace kybernetické bezpečnosti pro produkty a služby IKT zahrnuté do určitého systému evropské certifikace kybernetické bezpečnosti. Jakmile bude určitý evropský systém certifikace kybernetické bezpečnosti přijat, výrobci produktů IKT nebo poskytovatelé služeb IKT budou moci subjektu posuzování shody podle své volby předložit žádost o certifikaci svých produktů nebo služeb. Subjekty posuzování shody by měly být akreditovány akreditačním orgánem, splňují-li určité konkrétní požadavky. Akreditace se bude vydávat na období nejvýše pěti let a lze ji obnovit za stejných podmínek, pokud daný subjekt posuzování shody splňuje příslušné požadavky. Akreditační orgány zruší akreditaci subjektu posuzování shody, pokud podmínky pro akreditaci nejsou nebo přestanou být splňovány, nebo pokud opatření přijatá subjektem posuzování shody porušují toto nařízení. Podle uvedeného návrhu úkoly související se sledováním, dozorem a vymáháním přísluší členským státům. Členské státy budou muset stanovit jeden orgán dozoru nad certifikací. Tento orgán bude pověřen dozorem nad tím, zda subjekty posuzování shody, jakož i certifikáty vydané subjekty posuzování shody usazenými na území příslušného členského státu, dodržují požadavky tohoto nařízení a příslušných evropských systémů certifikace kybernetické bezpečnosti. Vnitrostátní orgány dozoru nad certifikací budou příslušné k řešení stížností podaných fyzickými nebo právnickými osobami v souvislosti s certifikáty vydanými subjekty posuzování shody usazenými na jejich území. V přiměřeném rozsahu budou šetřit předmět stížnosti a v přiměřené lhůtě budou informovat stěžovatele o pokroku a výsledku šetření. Kromě toho budou spolupracovat s dalšími orgány dozoru nad certifikací nebo jinými veřejnými orgány, například prostřednictvím sdílení informací o možných případech, kdy produkty a služby IKT nevyhovují požadavkům tohoto nařízení, nebo kdy nejsou v souladu s konkrétními evropskými systémy certifikace kybernetické bezpečnosti. A konečně návrh zřizuje Evropskou skupinu pro certifikaci kybernetické bezpečnosti (dále jen „skupina“), sestávající z vnitrostátních orgánů dozoru nad certifikací všech členských států. Hlavním úkolem skupiny je poskytovat Komisi poradenství v otázkách týkajících se politiky v oblasti certifikace kybernetické bezpečnosti a pracovat s agenturou ENISA na vypracování návrhu evropských systémů certifikace kybernetické bezpečnosti. Agentura ENISA bude napomáhat Komisi při zajišťování služeb sekretariátu skupiny a vést aktualizovaný veřejný seznam systémů schválených podle evropského rámce pro certifikaci kybernetické bezpečnosti. Agentura ENISA by rovněž spolupracovala s normalizačními orgány, a to za účelem zajištění vhodnosti norem použitých ve schválených systémech a za účelem určení oblastí, kde jsou zapotřebí normy kybernetické bezpečnosti. Evropský rámec pro certifikaci kybernetické bezpečnosti („rámec“) poskytne občanům a podnikům několik výhod. Zejména: ·Vytvoření celoevropských systémů certifikace kybernetické bezpečnosti pro konkrétní produkty nebo služby společnostem poskytne jednotné místo („one-stop-shop“) pro certifikaci kybernetické bezpečnosti v EU. Tyto společnosti budou moci certifikovat své produkty pouze jednou a získat certifikát platný ve všech členských státech. Nebudou mít povinnosti své produkty znovu certifikovat u různých vnitrostátních certifikačních subjektů. Tím se společnostem významně sníží náklady, usnadní se tím přeshraniční operace a v konečném důsledku se tím sníží roztříštěnost vnitřního trhu pro dotčené výrobky a bude se jí předcházet. ·Rámec stanoví, že evropské systémy certifikace kybernetické bezpečnosti jsou nadřazeny vnitrostátním systémům: podle tohoto pravidla přijetí evropského systému certifikace kybernetické bezpečnosti nahradí všechny stávající paralelní vnitrostátní systémy pro stejné produkty nebo služby IKT na dané úrovni záruky. To celou situaci dále vyjasní a omezí se stávající šíření překrývajících se a případně protichůdných vnitrostátních systémů certifikace kybernetické bezpečnosti. ·Návrh podporuje a doplňuje provádění směrnice o bezpečnosti sítí a informací, a to tím, že podnikům, na něž se směrnice vztahuje, poskytuje velmi užitečný nástroj pro prokázání souladu s požadavky týkajícími se bezpečnosti sítí a informací v celé Unii. Komise a agentura ENISA budou při vývoji nových systémů certifikace kybernetické bezpečnosti věnovat zvláštní pozornost nutnosti zajistit, aby požadavky týkající se bezpečnosti sítí a informací byly v systémech certifikace kybernetické bezpečnosti zohledněny. ·Návrh podpoří a usnadní rozvoj evropské politiky v oblasti kybernetické bezpečnosti, a to tím, že harmonizuje podmínky a hlavní požadavky pro certifikaci kybernetické bezpečnosti produktů a služeb IKT v EU. Evropské systémy certifikace kybernetické bezpečnosti budou odkazovat na společné normy nebo kritéria hodnocení a zkušební metody. To významně, i když nepřímo, přispěje k zavádění společných bezpečnostních řešení v EU, čímž rovněž dojde k odstranění překážek vnitřního trhu. ·Rámec je navržen takovým způsobem, aby zajistil nezbytnou flexibilitu systémů certifikace kybernetické bezpečnosti. V závislosti na konkrétních kybernetickobezpečnostních potřebách může být produkt nebo služba certifikována na vyšší nebo nižší úroveň bezpečnosti. Evropské systémy certifikace kybernetické bezpečnosti budou navrženy s ohledem na tuto flexibilitu, a budou proto poskytovat různé úrovně záruk (tj. základní, významnou nebo vysokou), aby mohly být použity pro různé účely nebo v různých kontextech. ·Díky všem výše uvedeným prvkům bude certifikace kybernetické bezpečnosti pro podniky atraktivnější jako účinný prostředek pro sdělování úrovně záruky kybernetické bezpečnosti produktů a služeb IKT. Pokud bude certifikace kybernetické bezpečnosti méně nákladná, účinnější a komerčně přitažlivější, budou mít podniky větší motivaci své produkty certifikovat z hlediska rizik kybernetické bezpečnosti, čímž přispějí k šíření lepších kybernetickobezpečnostních postupů při navrhování produktů a služeb IKT (kybernetická bezpečnost coby aspekt návrhu).

•Soulad s platnými předpisy v této oblasti politiky Podle směrnice o bezpečnosti sítí a informací jsou provozovatelé působící v odvětvích zásadních pro naše hospodářství a společnost, jako například energetika, doprava, vodohospodářství, bankovnictví, infrastruktura finančního trhu, zdravotní péče a digitální infrastruktura, jakož i poskytovatelé digitálních služeb (tj. internetové vyhledávače, služby cloud computingu a on-line tržiště) povinni přijmout opatření k odpovídajícímu zvládnutí bezpečnostních rizik. Nová pravidla tohoto návrhu doplňují ustanovení směrnice o bezpečnosti sítí a informací a zajišťují s nimi soulad, aby se prostřednictvím zlepšení schopností, spolupráce, řízení rizik a informování o počítačových útocích ještě více posílila kybernetická odolnost EU. Pravidla týkající se certifikace kybernetické bezpečnosti navíc poskytují základní nástroj pro společnosti, na něž se vztahuje směrnice o bezpečnosti sítí a informací, jelikož tyto společnosti budou schopny své produkty a služby IKT certifikovat z hlediska rizik kybernetické bezpečnosti, a to na základě systémů certifikace kybernetické bezpečnosti platných a uznávaných v celé Evropské unii. Budou rovněž doplňovat bezpečnostní požadavky uvedené v nařízení eIDAS a ve směrnici o rádiových zařízeních. •Soulad s ostatními politikami Unie Nařízení (EU) 2016/679 („obecné nařízení o ochraně osobních údajů“) obsahuje ustanovení týkající se zavedení mechanismů pro vydávání osvědčení a zavedení pečetí a známek dokládajících ochranu údajů pro účely prokázání souladu s tímto nařízením v případě operací zpracování prováděných správci a zpracovateli. Tímto nařízením není dotčena certifikace operací zpracování údajů podle obecného nařízení o ochraně osobních údajů, včetně situací, kdy jsou tyto operace zabudované v produktech a službách. Navrhované nařízení zajistí soulad s nařízením 765/2008 o akreditaci a požadavcích na dozor nad trhem, a to odkazem na pravidla tohoto rámce týkající se vnitrostátních akreditačních orgánů a subjektů posuzování shody. Co se týče orgánů dozoru, navrhované nařízení bude vyžadovat, aby členské státy určily vnitrostátní orgány dozoru nad certifikací odpovědné za dozor nad dodržováním pravidel a za sledování a vymáhání dodržování pravidel. Tyto orgány zůstanou oddělené od subjektů posuzování shody předepsaných nařízením 765/2008. 2.PRÁVNÍ ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA •Právní základ Právním základem pro opatření EU je článek 114 Smlouvy o fungování Evropské unie (SFEU), který se zabývá sbližováním právních předpisů členských států za účelem dosažení cílů stanovených v článku 26 SFEU, konkrétně řádného fungování vnitřního trhu. Právní základ pro zřízení agentury ENISA týkající se vnitřního trhu byl potvrzen Soudním dvorem Evropské unie (ve věci C-217/04 Spojené království v. Evropský parlament a Rada) a dále potvrzen nařízením z roku 2013, které stanoví stávající mandát agentury. Kromě toho činnosti, které by odrážely cíle v podobě zvýšení spolupráce a koordinace mezi členskými státy, a cíle, které by přispěly k úrovni schopností EU doplňovat opatření členských států, by spadaly do kategorie „operativní spolupráce“. Toto je ve směrnici o bezpečnosti sítí a informací (jejímž právním základem je článek 114 SFEU) konkrétně uvedeno jako cíl, který by měl být sledován v souvislosti se sítí CSIRT, přičemž „agentura ENISA zajistí služby sekretariátu a aktivně podporuje spolupráci“ (čl. 12 odst. 2). Především čl. 12 odst. 3 písm. f) jako úkol pro síť CSIRT dále uvádí vymezení dalších forem operativní spolupráce, a to mimo jiné ve vztahu: i) ke kategoriím rizik a incidentů, ii) k včasným varováním, iii) k vzájemné pomoci, a iv) k zásadám a způsobům koordinace členských států při reakci na přeshraniční rizika a incidenty. ·Stávající roztříštěnost systémů certifikace pro produkty a služby IKT je rovněž výsledkem nedostatečného společného právně závazného a účinného rámcového procesu použitelného na členské státy. To brání vytvoření vnitřního trhu s produkty a službami IKT a brzdí konkurenceschopnost evropského průmyslu v tomto odvětví. Cílem tohoto návrhu je řešit stávající roztříštěnost a související překážky na vnitřním trhu, a to poskytnutím společného rámce pro zavedení systémů certifikace kybernetické bezpečnosti platných v celé EU. Subsidiarita (v případě nevýlučné pravomoci) Zásada subsidiarity vyžaduje posouzení nezbytnosti a přidané hodnoty opatření na úrovni EU. Dodržování zásady subsidiarity v této oblasti bylo uznáno již při přijímání stávajícího nařízení o agentuře ENISA. Kybernetická bezpečnost je otázkou společného zájmu Unie. Vzájemné závislosti mezi sítěmi a informačními systémy jsou takové, že jednotlivé subjekty (veřejné a soukromé, včetně občanů) často nemohou samostatně čelit hrozbám a řídit rizika a možné dopady kybernetických incidentů. Na jedné straně vzhledem k vzájemné závislosti napříč členskými státy, včetně vzájemné závislosti týkající se provozu kritických infrastruktur (energetika, doprava, vodohospodářství, abychom vyjmenovali alespoň některé), je veřejná intervence na evropské úrovni nejen přínosná, ale také potřebná. Na druhé straně intervence EU může díky sdílení osvědčených postupů napříč členskými státy přinést pozitivní „přelévající se“ účinek, který může vést ke zvýšení kybernetické bezpečnosti Unie. Souhrnně lze říci, že v současném kontextu a s ohledem na budoucí scénáře se zdá, že pro zvýšení společné kybernetické odolnosti Unie nebudou individuální opatření členských států EU a roztříštěný přístup ke kybernetické bezpečnosti dostatečná. Opatření na úrovni EU je rovněž považováno za nezbytné pro řešení roztříštěnosti stávajících systémů certifikace kybernetické bezpečnosti. Výrobcům by to umožnilo plně využívat výhod vnitřního trhu, přičemž by došlo ke značným úsporám nákladů na testování a konstrukční změny. I když například stávající dohoda o vzájemném uznávání skupiny vyšších úředníků – bezpečnost informačních systémů (SOG-IS) dosáhla v tomto ohledu důležitých výsledků, rovněž ukázala významná omezení, která brání tomu, aby byla vhodná pro poskytování dlouhodobějších udržitelných řešení při využívání plného potenciálu vnitřního trhu. Přidaná hodnota opatření na úrovni EU, zejména opatření ke zvýšení spolupráce mezi členskými státy, ale také mezi společenstvími zabývajícími se bezpečností sítí a informací, byla uznána v závěrech Rady z roku 2016, a rovněž jasně vyplývá z hodnocení agentury ENISA.

•Proporcionalita Navrhovaná opatření nepřekračují rámec toho, co je nezbytné k dosažení jejich cílů politiky. Kromě toho rozsah intervence EU nebrání přijímání dalších vnitrostátních opatření v oblasti národní bezpečnosti. Na základě subsidiarity a proporcionality je proto opatření na úrovni EU odůvodněné. •Volba nástroje Tento návrh přezkoumává nařízení (EU) č. 526/2013, které stanoví stávající mandát a úkoly agentury ENISA. Kromě toho vzhledem k důležité úloze agentury ENISA při zřizování a řízení rámce EU pro certifikaci kybernetické bezpečnosti bude nejlepší, aby byly nový mandát agentury ENISA a uvedený rámec zavedeny podle jednoho právního nástroje za použití nástroje v podobě nařízení. 3.VÝSLEDKY HODNOCENÍ EX POST, KONZULTACÍ SE ZÚČASTNĚNÝMI STRANAMI A POSOUZENÍ DOPADŮ Hodnocení ex post / kontroly účelnosti platných právních předpisů Komise v souladu s plánem hodnocení posuzovala význam, dopad, účinnost, efektivitu, soudržnost a přidanou hodnotu agentury s ohledem na její výkon, řízení, vnitřní organizační strukturu a pracovní postupy v období 2013–2016. Hlavní zjištění lze shrnout takto (více informací viz pracovní dokument útvarů Komise na toto téma, který je připojen k posouzení dopadů). ·Význam: V kontextu technologického rozvoje a vyvíjejících se hrozeb a s ohledem na značnou potřebu zvýšit kybernetickou bezpečnost v EU se ukázalo, že cíle agentury ENISA mají význam. Členské státy a subjekty EU spoléhají na její značné odborné znalosti týkající se otázek kybernetické bezpečnosti. Kromě toho je v členských státech třeba vybudovat kapacity pro lepší pochopení hrozeb a reagování na ně a zúčastněné strany musí spolupracovat napříč tematickými oblastmi a napříč institucemi. Kybernetická bezpečnost je nadále klíčovou politickou prioritou EU a očekává se, že agentura ENISA na ni odpoví; podoba agentury ENISA jakožto agentury EU s mandátem na určitou dobu však: i) neumožňuje dlouhodobé plánování a udržitelnou podporu členských států a orgánů EU; ii) může vést k právnímu vakuu, jelikož ustanovení směrnice o bezpečnosti sítí a informací svěřují agentuře ENISA úkoly trvalého charakteru; iii) není soudržná s vizí, která agenturu ENISA spojuje s posíleným kybernetickobezpečnostním ekosystémem EU. ·Účinnost: Agentura ENISA celkově splnila své cíle a provedla své úkoly. Prostřednictvím svých hlavních činností (budování kapacit, poskytování odborných znalostí, budování společenství a podpora politiky) přispěla k posílení bezpečnosti sítí a informací v Evropě. Ve vztahu ke každé z těchto činností však ukázala potenciál ke zlepšení. Hodnocení dospělo k závěru, že agentura ENISA účinně vytvořila silné a důvěrné vztahy s některými ze svých zúčastněných stran, zejména s členskými státy a společenstvím CSIRT. Intervence v oblasti budování kapacit byly vnímány jako účinné zejména v případě členských států s menšími prostředky. Jedním z nejvíce zdůrazňovaných bodů byla stimulace široké spolupráce, přičemž zúčastněné strany se široce shodly na pozitivní úloze, kterou agentura ENISA hraje při spojování lidí. Agentura ENISA však čelila potížím, když se pokoušela mít velký dopad na rozsáhlou oblast bezpečnosti sítí a informací. To bylo rovněž způsobeno skutečností, že pro splnění velmi širokého mandátu měla dosti omezené lidské a finanční zdroje. Hodnocení rovněž dospělo k závěru, že agentura ENISA částečně splnila cíl poskytování odborných poznatků, což souviselo s problémy s najímáním odborníků (viz také níže v oddíle týkajícím se efektivity). ·Efektivita: I přes svůj malý rozpočet – ve srovnání s jinými agenturami EU patří k nejnižším – byla agentura ENISA schopna přispět ke sledovaným cílům, což ukazuje celkovou efektivitu při využívání jejích zdrojů. Hodnocení dospělo k závěru, že procesy byly obecně efektivní, a jasné vymezení odpovědností v rámci organizace vedlo k dobrému vykonávání práce. Jeden z hlavních problémů týkajících se efektivity agentury souvisí s obtížemi agentury ENISA s najímáním a udržením vysoce kvalifikovaných odborníků. Zjištění ukazují, že tuto skutečnost lze vysvětlit kombinací faktorů, včetně obecných obtíží veřejného sektoru konkurovat soukromému sektoru ve snaze najmout vysoce specializované odborníky, druhu smluv (na dobu určitou), které mohla agentura většinou nabízet, a poněkud nižší úrovně atraktivity související s umístěním agentury ENISA, které souvisela například s obtížemi manželů či manželek při hledání práce. Rozdělení umístění mezi Atény a Heraklion vyžadovalo další úsilí při koordinaci a vedlo k dalším nákladům, ale přesun oddělení hlavních činností do Atén v roce 2013 provozní účinnost agentury zvýšil. ·Soudržnost: Činnosti agentury ENISA byly obecně v souladu s politikami a činnostmi jejích zúčastněných stran, a to na vnitrostátní úrovni i na úrovni EU, je však třeba koordinovanějšího přístupu ke kybernetické bezpečnosti na úrovni EU. Potenciál pro spolupráci mezi agenturou ENISA a subjekty EU nebyl plně využit. Vzhledem k vývoji právního a politického prostředí v EU je dnes stávající mandát méně soudržný. ·Přidaná hodnota na úrovni EU: Přidaná hodnota agentury ENISA spočívá především ve schopnosti agentury zvyšovat spolupráci, a to zejména mezi členskými státy, ale také se souvisejícími společenstvími zabývajícími se bezpečností sítí a informací. Na úrovni EU není žádný jiný subjekt, který podporuje spolupráci stejné škály zúčastněných stran zabývajících se bezpečností sítí a informací. Přidaná hodnota poskytovaná agenturou se lišila podle rozdílných potřeb a zdrojů zúčastněných stran (např. velké versus malé členské státy, členské státy versus odvětví) a podle nutnosti, aby agentura stanovovala priority svých činností podle pracovního programu. Hodnocení dospělo k závěru, že potenciální přerušení činnosti agentury ENISA by pro všechny členské státy bylo promarněnou příležitostí. V oblasti kybernetické bezpečnosti nebude možné zajistit stejnou úroveň budování společenství a spolupráce napříč členskými státy. Bez centralizovanější agentury EU by byl obrázek roztříštěnější a prázdné místo zanechané agenturou ENISA by bylo vyplněno dvoustrannou nebo regionální spoluprací. Se zvláštním ohledem na dřívější výsledky a budoucnost agentury ENISA jsou hlavní trendy vyplývající z konzultace v roce 2017 tyto: ·Většina respondentů (74 %) hodnotila celkový výkon agentury ENISA v období 2013 až 2016 kladně. Většina respondentů se dále domnívala, že agentura ENISA dosahuje svých různých cílů (u každého z cílů alespoň 63 %). Služby a produkty agentury ENISA jsou pravidelně (každý měsíc nebo častěji) používány téměř polovinou respondentů (46 %) a jsou oceňovány za skutečnost, že pocházejí ze subjektu na úrovni EU (83 %) a za svou kvalitu (62 %). ·Respondenti z hlediska budoucnosti kybernetické bezpečnosti v EU identifikovali řadu nedostatků a problémů, přičemž k pěti nejčastějším (ze seznamu 16) patřilo zejména: spolupráce napříč členskými státy, kapacita předcházet rozsáhlým kybernetickým útokům, odhalovat je a řešit je, spolupráce napříč členskými státy v záležitostech týkajících se kybernetické bezpečnosti, spolupráce a sdílení informací mezi různými zúčastněnými stranami včetně spolupráce veřejného a soukromého sektoru, ochrana kritické infrastruktury před kybernetickými útoky. ·Velká většina respondentů (88 %) se domnívala, že stávající nástroje a mechanismy dostupné na úrovni EU jsou pro řešení těchto nedostatků a problémů nedostatečné nebo pouze částečně přiměřené. Převážná většina respondentů (98 %) uvedla, že by na tyto potřeby měla reagovat instituce EU, a podle 99 % z těchto respondentů by to měla být právě ENISA. Konzultace se zúčastněnými stranami ·Komise zorganizovala veřejnou konzultaci o přezkumu agentury ENISA, která probíhala od 12. dubna do 5. července 2016, a obdržela 421 odpovědí. Podle výsledků konzultace 67,5 % respondentů vyjádřilo názor, že agentura ENISA by mohla hrát úlohu při zavádění harmonizovaného rámce pro certifikaci bezpečnosti produktů a služeb IT.

Výsledky konzultace z roku 2016 o partnerství veřejného a soukromého sektoru pro kybernetickou bezpečnost, pokud jde o oddíl týkající se certifikace, ukazují, že: ·50,4 % (tj. 121 z 240) respondentů neví, zda jsou vnitrostátní systémy certifikace v členských státech EU vzájemně uznávány. 25,8 % (62 z 240) odpovědělo „Ne“, zatímco 23,8 % (57 z 240) odpovědělo „Ano“. ·37,9 % respondentů (91 z 240) si myslí, že stávající systémy certifikace nezajišťují potřeby evropského průmyslu. Na druhou stranu 17,5 % (42 z 240) – zejména globální společnosti působící na evropském trhu – bylo opačného názoru. ·49,6 % (119 z 240) respondentů uvádí, že není snadné prokázat rovnocennost norem, systémů certifikace a označení. 37,9 % (91 z 240) odpovědělo „Nevím“, zatímco pouze 12,5 % (30 z 240) odpovědělo „Ano“. Sběr a využití výsledků odborných konzultací Komise zohlednila následující doporučení externích odborníků: ·studie týkající se hodnocení agentury ENISA (Study on the Evaluation of ENISA (Ramboll/Carsa 2017; zpráva SMART č. 2016/0077)), ·Studie týkající se certifikace a označování bezpečnosti IKT – Shromáždění údajů a posouzení dopadů (PriceWaterhouseCoopers 2017; zpráva SMART č. 2016/0029)). Posouzení dopadů ·Zpráva o posouzení dopadů týkající se této iniciativy zjistila tyto hlavní problémy, které je třeba řešit: ·roztříštěnost politik a přístupů ke kybernetické bezpečnosti napříč členskými státy, ·rozptýlené zdroje a roztříštěnost přístupů ke kybernetické bezpečnosti napříč orgány, institucemi a jinými subjekty EU, a ·nedostatečné povědomí a informovanost občanů a společností ve spojení se skutečností, že vzniká stále více různých vnitrostátních a odvětvových systémů certifikace. Pokud jde o mandát agentury ENISA, zpráva posuzovala tyto možnosti: ·zachovat status quo, což by znamenalo rozšířený mandát, který by byl stále časově omezený (základní možnost), ·vypršení stávajícího mandátu agentury ENISA, aniž by došlo k obnovení nebo ukončení činnosti agentury ENISA (žádný politický zásah), ·„reforma agentury ENISA“, a ·agentura EU pro kybernetickou bezpečnost s plnými operativními schopnostmi.

Pokud jde o certifikaci kybernetické bezpečnosti, zpráva posuzovala tyto možnosti: ·žádný politický zásah (základní možnost), ·nelegislativní opatření („měkké právo“), ·legislativní akt EU, kterým by došlo k vytvoření povinného systému pro všechny členské státy založeného na systému SOG-IS, a ·obecný rámec EU pro certifikaci kybernetické bezpečnosti IKT. Analýza vedla k závěru, že upřednostňovanou možností je „reforma agentury ENISA“ ve spojení s obecným rámcem EU pro certifikaci kybernetické bezpečnosti IKT. Upřednostňovaná možnost byla vyhodnocena jako nejefektivnější způsob, jímž má EU dosáhnout stanovených cílů, a sice: zlepšení schopností, připravenosti, spolupráce, informovanosti a transparentnosti v oblasti kybernetické bezpečnosti a zamezení roztříštěnosti trhu. Rovněž byla vyhodnocena jako nejlépe odpovídající politickým prioritám strategie EU v oblasti kybernetické bezpečnosti a souvisejících politik (např. směrnice o bezpečnosti sítí a informací) a strategie pro jednotný digitální trh. Z provedených konzultací nadto vyplynulo, že upřednostňovaná možnost má podporu většiny zúčastněných stran. Kromě toho analýza provedená v rámci posouzení dopadů ukázala, že upřednostňovaná možnost by vedla k dosažení cílů s přiměřeným využitím zdrojů. Výbor Komise pro kontrolu regulace nejprve vydal dne 24. července záporné stanovisko, a po novém předložení vydal dne 25. srpna 2017 stanovisko kladné. Upravená zpráva o posouzení dopadů obsahovala dodatečné podpůrné údaje, konečné závěry hodnocení agentury ENISA a další vysvětlení možností politiky a jejich dopadů. Příloha 1 závěrečné zprávy o posouzení dopadů shrnuje, jak byly připomínky výboru ve druhém stanovisku zohledněny. Zpráva byla zejména aktualizována tak, že podrobněji popisuje situaci v oblasti kybernetické bezpečnosti v EU, včetně opatření, která jsou uvedena ve společném sdělení „Odolnost, odrazující opatření a obrana – Budování robustní kybernetické bezpečnosti v EU“, (JOIN(2017) 450) a která jsou zvláště relevantní pro agenturu ENISA: plán EU v oblasti kybernetické bezpečnosti a evropské výzkumné a odborné středisko pro kybernetickou bezpečnost, jemuž by agentura směřovala svá doporučení ohledně výzkumných potřeb EU. Ve zprávě se vysvětluje, jak by reforma agentury, včetně nových úkolů, lepších podmínek pro zaměstnance a strukturální spolupráce s institucemi EU v dané oblasti, zlepšila její atraktivitu jako zaměstnavatele a pomohla řešit problémy spojené s náborem odborníků. Příloha 6 zprávy rovněž obsahuje přepracovaný odhad nákladů spojených s možnostmi politiky, co se týče agentury ENISA. Pokud jde o téma certifikace, zpráva byla přepracována tak, aby poskytovala podrobnější vysvětlení upřednostňované možnosti, včetně grafického znázornění, a rovněž odhady nákladů, jež v souvislosti s novým rámcem certifikace vzniknou členským státům a Komisi. Důvody volby agentury ENISA jako klíčového aktéra v tomto rámci byly dále vysvětleny na základě její odbornosti v dané oblasti a skutečnosti, že se jedná o jedinou agenturu působící v oblasti kybernetické bezpečnosti na úrovni EU. Oddíly týkající se certifikace byly rovněž přepracovány tak, aby objasňovaly aspekty spojené s odlišnostmi stávajícího systému skupiny SOG-IS a výhody spojené s uvedenými možnostmi politiky a aby upřesnily, že typy produktů a služeb IKT, na něž se bude vztahovat určitý evropský systém certifikace, budou vymezeny přímo v daném schváleném systému. Účelnost a zjednodušování právních předpisů Nevztahuje se na tento návrh. Dopad na základní práva Kybernetická bezpečnost hraje zásadní úlohu při ochraně soukromí a osobních údajů jednotlivců v souladu s články 7 a 8 Listiny základních práv Evropské unie. V případě počítačových bezpečnostních událostí jsou soukromí a ochrana našich osobních údajů jasně ohroženy. Kybernetická bezpečnost je tedy nezbytnou podmínkou pro ochranu soukromí a důvěrnosti našich osobních údajů. Z tohoto hlediska návrh tím, že usiluje o posílení kybernetické bezpečnosti v Evropě, poskytuje důležitý doplněk stávajících právních předpisů chránících základní právo na soukromí a osobní údaje. Kybernetická bezpečnost je rovněž důležitá pro ochranu důvěrného charakteru našich elektronických komunikací, a tím i pro uplatňování práva na svobodu projevu a informací a dalších souvisejících práv, jako například svobody myšlení, svědomí a náboženského vyznání. 4.ROZPOČTOVÉ DŮSLEDKY Viz finanční výkaz. 5.OSTATNÍ PRVKY •Plány provádění a monitorování, hodnocení a podávání zpráv Komise bude monitorovat uplatňování nařízení a každých pět let Evropskému parlamentu, Radě a Evropskému hospodářskému a sociálnímu výboru předloží zprávu o svém hodnocení. Tyto zprávy budou veřejné a budou uvádět podrobné informace týkající se účinného uplatňování a vymáhání tohoto nařízení.

•Podrobné vysvětlení konkrétních ustanovení návrhu Hlava I nařízení obsahuje obecná ustanovení: předmět (článek 1), definice (článek 2), a to včetně odkazů na příslušné definice z jiných nástrojů EU, jako například ze směrnice Evropského parlamentu a Rady (EU) 2016/1148 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (směrnice o bezpečnosti sítí a informací), z nařízení Evropského parlamentu a Rady (ES) č. 765/2008, kterým se stanoví požadavky na akreditaci a dozor nad trhem týkající se uvádění výrobků na trh a kterým se zrušuje nařízení (EHS) č. 339/93 a z nařízení Evropského parlamentu a Rady (EU) č. 1025/2012 o normalizaci. Hlava II nařízení obsahuje klíčová ustanovení týkající se agentury ENISA, Agentury EU pro kybernetickou bezpečnost. Kapitola I této hlavy uvádí mandát (článek 3), cíle (článek 4) a úkoly agentury (články 5 až 11). Kapitola II uvádí organizaci agentury ENISA a obsahuje klíčová ustanovení týkající se její struktury (článek 12). Zabývá se složením, pravidly hlasování a funkcemi správní rady (oddíl I, články 13 až 17), výkonné rady (oddíl 2, článek 18) a výkonného ředitele (oddíl 3, článek 19). Obsahuje rovněž ustanovení týkající se složení a úlohy stálé skupiny zúčastněných stran (oddíl 4, článek 20). V neposlední řadě oddíl 5 této kapitoly podrobně popisuje provozní pravidla agentury, včetně pravidel týkajících se programování jejích činností, střetu zájmů, transparentnosti, důvěrnosti a přístupu k dokumentům (články 21 až 25). Kapitola III se týká sestavování a skladby rozpočtu agentury (články 26 a 27), jakož i pravidel, jimiž se řídí plnění rozpočtu (články 28 a 29). Obsahuje rovněž ustanovení usnadňující boj proti podvodům, korupci a jiným protiprávním činnostem (článek 30). Kapitola IV se vztahuje k personálnímu obsazení agentury. Obsahuje obecná ustanovení týkající se služebního řádu a pracovního řádu a pravidel, jimiž se řídí výsady a imunita (články 31 a 32). Rovněž podrobně popisuje pravidla týkající se přijímání a jmenování výkonného ředitele agentury (článek 33). V neposlední řadě obsahuje ustanovení, jimiž se řídí využívání vyslaných národních odborníků nebo dalších pracovníků, kteří nejsou zaměstnáni agenturou (článek 34). Konečně kapitola V obsahuje obecná ustanovení týkající se agentury. Uvádí právní status (článek 35) a obsahuje ustanovení upravující otázky odpovědnosti, jazykového režimu, ochrany osobních údajů (články 36 až 38), jakož i bezpečnostní předpisy týkající se ochrany utajených informací a citlivých informací nepodléhajících utajení (článek 40). Popisuje pravidla, jimiž se řídí spolupráce agentury se třetími zeměmi a mezinárodními organizacemi (článek 39). V neposlední řadě obsahuje rovněž ustanovení týkající se sídla a provozních podmínek agentury, jakož i správní kontroly veřejného ochránce práv (články 41 a 42). Hlava III nařízení zřizuje evropský rámec pro certifikaci kybernetické bezpečnosti (dále jen „rámec“) pro produkty a služby IKT jako lex generalis (článek 1). Definuje obecný účel evropských systémů certifikace kybernetické bezpečnosti, tj. zajistit, aby produkty a služby IKT byly v souladu se specifikovanými požadavky kybernetické bezpečnosti, pokud jde o jejich schopnost na dané úrovni záruky odolávat činnostem, které ohrožují přístupnost, autentičnost, neporušenost a důvěrnost ukládaných, předávaných nebo zpracovávaných údajů nebo souvisejících funkcí či služeb (článek 43). Kromě toho obsahuje seznam bezpečnostních cílů, o jejichž splnění by měly evropské systémy certifikace kybernetické bezpečnosti usilovat (článek 45), k nimž patří mimo jiné schopnost ochránit údaje proti náhodnému nebo neoprávněnému přístupu nebo sdělování, zničení nebo úpravám, a obsah (tj. prvky) evropských systémů certifikace kybernetické bezpečnosti, jako jsou například podrobná specifikace jejich rozsahu, bezpečnostní cíle, hodnoticí kritéria atd. (článek 47). Hlava III rovněž stanoví hlavní právní účinky evropských systémů certifikace kybernetické bezpečnosti, konkrétně i) povinnost zavést systém na vnitrostátní úrovni a dobrovolnou povahu certifikace; ii) zneplatňující účinek evropských systémů certifikace kybernetické bezpečnosti na vnitrostátní systémy pro stejný produkt nebo službu (články 48 a 49). Tato hlava dále stanoví postup pro přijímání evropských systémů certifikace kybernetické bezpečnosti a příslušnou úlohu Komise, agentury ENISA a Evropské skupiny pro certifikaci kybernetické bezpečnosti – „skupiny“ (článek 44). Konečně tato hlava stanoví ustanovení, jimiž se řídí subjekty posuzování shody, a to včetně jejich požadavků, pravomocí a úkolů, a vnitrostátní orgány dozoru nad certifikací, a stanoví rovněž sankce. Tato hlava rovněž obsahuje ustanovení o zřízení skupiny jakožto hlavního subjektu sestávajícího ze zástupců vnitrostátních orgánů dozoru nad certifikací, jehož hlavní úlohou je spolupracovat s agenturou ENISA na přípravě evropských systémů certifikace kybernetické bezpečnosti a radit Komisi v obecných či specifických otázkách týkajících se politiky v oblasti certifikace kybernetické bezpečnosti. Hlava IV nařízení obsahuje závěrečná ustanovení popisující výkon přenesení pravomoci, požadavky na hodnocení, zrušení a nástupnictví, jakož i vstup v platnost.



2017/0225 (COD) Návrh NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY o agentuře ENISA, Evropské agentuře pro kybernetickou bezpečnost, a zrušení nařízení (EU) č. 526/2013 a o certifikaci kybernetické bezpečnosti informačních a komunikačních technologií („akt o kybernetické bezpečnosti“) (Text s významem pro EHP) EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,

s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy, s ohledem na návrh Evropské komise, po postoupení návrhu legislativního aktu vnitrostátním parlamentům, s ohledem na stanovisko Evropského hospodářského a sociálního výboru, s ohledem na stanovisko Výboru regionů, v souladu s řádným legislativním postupem, vzhledem k těmto důvodům: (1)Sítě, informační systémy a telekomunikační sítě a služby mají zásadní význam pro společnost a staly se páteří hospodářského růstu. Informační a komunikační technologie podporuje komplexní systémy, které podporují společenské činnosti, udržují v chodu naše ekonomiky v klíčových odvětvích jako například zdravotnictví, energetika, finančnictví a doprava, a zejména podporují fungování vnitřního trhu. (2)Využívání sítí a informačních systémů občany, podniky a vládami v celé Unii je v současné době všudypřítomné. Digitalizace a konektivita se stávají hlavními prvky stále rostoucího počtu produktů a služeb a očekává se, že s nástupem internetu věcí budou v celé EU během příštího desetiletí připojeny miliony, ne-li miliardy, nových digitálních zařízení. I když je k internetu připojen rostoucí počet zařízení, tato zařízení nejsou konstruována s dostatečnými bezpečnostními prvky a odolností, což vede k nedostatečné kybernetické bezpečnosti. Omezené využívání certifikace v této souvislosti vede k tomu, že organizace a soukromí uživatelé nemají dostatečné informace o prvcích kybernetické bezpečnosti produktů a služeb IKT, což narušuje důvěru v digitální řešení. (3)Nárůst digitalizace a propojenosti vede k nárůstu kybernetických bezpečnostních rizik, což způsobuje, že společnost jako celek je zranitelnější vůči kybernetickým hrozbám a zhoršujícím se nebezpečím, s nimiž se setkávají jednotliví uživatelé včetně zranitelných osob, jako jsou děti. Za účelem zmírnění těchto rizik pro společnost je třeba přijmout veškerá opatření potřebná ke zlepšení kybernetické bezpečnosti v EU, aby byly sítě a informační systémy, telekomunikační sítě, digitální produkty, služby a zařízení používané občany, vládami a podniky – od malých a středních podniků až po provozovatele kritických infrastruktur – lépe chráněny před kybernetickými hrozbami. (4)Počet kybernetických útoků roste a propojená ekonomika a společnost, která je zranitelnější vůči kybernetickým hrozbám a útokům, vyžaduje silnější ochranu. I když kybernetické útoky jsou často přeshraniční povahy, reakce orgánů zabývajících se kybernetickou bezpečností na úrovni opatření politiky a kompetence k vymáhání právních předpisů jsou převážně vnitrostátní. Rozsáhlé kybernetické incidenty by mohly narušit poskytování základních služeb v celé EU. To vyžaduje účinnou reakci a řešení krizí na úrovni EU, které budou vycházet ze speciálních politik a širších nástrojů pro evropskou solidaritu a vzájemnou pomoc. Kromě toho je proto pro tvůrce politik, odvětví a uživatele důležité provádět pravidelné posuzování stavu kybernetické bezpečnosti a odolnosti v Unii, na základě spolehlivých unijních údajů, a také systematické předpovědi budoucího vývoje, výzev a hrozeb, a to jak na úrovni Unie, tak na celosvětové úrovni. (5)S ohledem na nárůst kybernetických bezpečnostních hrozeb, kterým Unie čelí, existuje potřeba komplexního souboru opatření, která by vycházela z předchozích opatření Unie a podporovala vzájemně se posilující cíle. Mezi tato opatření patří nutnost dále zvýšit schopnosti a připravenost členských států a podniků a rovněž zlepšit spolupráci a koordinaci mezi členskými státy a orgány, agenturami a institucemi EU. Kromě toho vzhledem k bezhraniční povaze kybernetických hrozeb existuje potřeba zvýšit schopnosti na úrovni Unie, které by mohly doplňovat opatření členských států, zejména v případě rozsáhlých přeshraničních kybernetických incidentů a krizí. Je rovněž třeba další úsilí ke zvýšení informovanosti občanů a podniků o otázkách týkajících se kybernetické bezpečnosti. Kromě toho důvěra v jednotný digitální trh by měla být dále posílena tím, že budou poskytovány transparentní informace o úrovni bezpečnosti produktů a služeb IKT. Toto lze usnadnit celoevropskou certifikací, která bude poskytovat společné kybernetickobezpečnostní požadavky a hodnoticí kritéria napříč vnitrostátními trhy a odvětvími. (6)Evropský parlament a Rada přijaly v roce 2004 nařízení (ES) č. 460/2004 o zřízení agentury ENISA za účelem přispět k cílům zajištění vysoké úrovně bezpečnosti sítí a informací v Unii a vytvoření kultury bezpečnosti sítí a informací v zájmu občanů, spotřebitelů, podniků a veřejné správy. V roce 2008 přijaly Evropský parlament a Rada nařízení (ES) č. 1007/2008, kterým byl mandát agentury prodloužen do března 2012. Nařízení (ES) č. 580/2011 prodlužuje mandát agentury do 13. září 2013. V roce 2013 přijaly Evropský parlament a Rada nařízení (EU) č. 526/2013 o agentuře ENISA a o zrušení nařízení (ES) č. 460/2004, kterým byl mandát agentury prodloužen do června 2020. (7)Unie již podnikla důležité kroky k zajištění kybernetické bezpečnosti a zvýšení důvěry v digitální technologie. V roce 2013 byla přijata strategie kybernetické bezpečnosti EU jako základ pro politickou reakci Unie na kybernetické bezpečnostní hrozby a rizika. Ve snaze lépe chránit Evropany v on-line prostředí Unie v roce 2016 přijala první legislativní akt v oblasti kybernetické bezpečnosti, směrnici (EU) 2016/1148 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii („směrnice o bezpečnosti sítí a informací“). Směrnice o bezpečnosti sítí a informací zavedla požadavky týkající se vnitrostátních kapacit v oblasti kybernetické bezpečnosti, zřídila první mechanismy pro posílení strategické a operativní spolupráce mezi členskými státy a zavedla povinnosti týkající se bezpečnostních opatření a hlášení o incidentech napříč odvětvími, která jsou zásadní pro hospodářství a pro společnost, jako například energetika, doprava, vodohospodářství, bankovnictví, infrastruktura finančního trhu, zdravotní péče a digitální infrastruktura, jakož i poskytovatelé klíčových digitálních služeb (tj. internetové vyhledávače, služby cloud computingu a on-line tržiště). Klíčová role při podpoře provádění této směrnice byla přisouzena agentuře ENISA. Kromě toho účinný boj proti kyberkriminalitě je důležitou prioritou Evropského programu pro bezpečnost, a přispívá tak k celkovému cíli dosažení vysoké úrovně kybernetické bezpečnosti. (8)Je třeba poznamenat, že od přijetí strategie kybernetické bezpečnosti EU v roce 2013 a od poslední revize mandátu agentury se celkový politický kontext významně změnil, mimo jiné s ohledem na více nejisté a méně bezpečné globální prostředí. V této souvislosti a v rámci nové politiky Unie v oblasti kybernetické bezpečnosti je nezbytné přezkoumat mandát agentury ENISA, aby bylo možné vymezit její roli v měnícím se ekosystému kybernetické bezpečnosti a zajistit, že účinně přispívá k reakci Unie na kybernetické bezpečnostní výzvy plynoucí z radikálně transformovaných hrozeb, k čemuž, jak bylo uznáno při hodnocení agentury, není stávající mandát dostatečný. (9)Agentura zřízená tímto nařízením by měla být nástupcem agentury ENISA zřízené nařízením (EU) č. 526/2013. Agentura by měla plnit úkoly, které jí jsou svěřeny tímto nařízením a právními akty Unie v oblasti kybernetické bezpečnosti, mimo jiné tím, že bude poskytovat odborné poradenství a doporučení a působit jako centrum informací a znalostí Unie. Měla by podporovat výměnu osvědčených postupů mezi členskými státy a zúčastněnými stranami ze soukromého sektoru, předkládat politická doporučení Evropské komisi a členským státům, působit jako referenční místo pro odvětvové politické iniciativy Unie v souvislosti s otázkami kybernetické bezpečnosti a podporovat operativní spolupráci mezi členskými státy a mezi členskými státy a orgány, agenturami a institucemi EU. (10)Zástupci členských států v rámci rozhodnutí 2004/97/ES, Euratom, přijatém na zasedání Evropské rady dne 13. prosince 2003, rozhodli, že agentura ENISA bude mít sídlo v Řecku ve městě, které určí řecká vláda. Hostitelský členský stát agentury by měl zajistit co nejlepší podmínky pro bezproblémové a účinné fungování agentury. V zájmu zajištění řádného a účinného plnění úkolů agentury, přijímání a udržení zaměstnanců a v zájmu zvýšení účinnosti v oblasti vytváření sítí je naprosto nezbytné, aby bylo sídlo agentury vhodně umístěno, přičemž by mimo jiné mělo být zajištěno odpovídající dopravní spojení a zařízení pro manžely/manželky a děti zaměstnanců agentury. Nezbytná opatření by měla být stanovena v dohodě mezi agenturou a daným hostitelským členským státem, která bude uzavřena poté, co ji schválí správní rada agentury. (11)Vzhledem k nárůstu kybernetických bezpečnostních hrozeb, kterým Unie čelí, by měly být navýšeny finanční a lidské zdroje přidělené agentuře, aby odrážely posílení úlohy a úkolů agentury a její zásadní postavení v ekosystému organizací bránících evropský digitální ekosystém. (12)Agentura by měla rozvíjet a udržovat vysokou úroveň odborných znalostí a působit jako referenční bod, který díky své nezávislosti, kvalitě poskytovaného poradenství a informací, transparentnosti svých postupů a metod práce a pečlivosti, s níž plní svěřené úkoly, vytváří důvěru v jednotný trh. Agentura by měla aktivně přispívat k vnitrostátnímu úsilí a úsilí Unie a plnit své úkoly v plné spolupráci s orgány, institucemi a jinými subjekty Unie a s členskými státy. Kromě toho by agentura měla reagovat na podněty od soukromého sektoru a jiných příslušných zúčastněných stran a spolupracovat s nimi. Měl by být určen soubor úkolů, jenž by stanovil, jak má agentura plnit své cíle, a současně umožňoval flexibilitu jejích činností. (13)Agentura by měla být nápomocna Komisi prostřednictvím poradenství, stanovisek a analýz ke všem záležitostem Unie souvisejícím s rozvojem politiky a právních předpisů a prostřednictvím aktualizací a přezkumů v oblasti kybernetické bezpečnosti, včetně ochrany kritické infrastruktury a kybernetické odolnosti. Pro politiky Unie v konkrétních odvětvích a pro iniciativy Unie v oblasti právních předpisů by agentura měla působit jako referenční bod poskytující doporučení a odborné poradenství v případech, kdy se tyto politiky a iniciativy týkají otázek souvisejících s kybernetickou bezpečností.

(14)Hlavním úkolem agentury je prosazovat jednotné provádění příslušného právního rámce, zejména účinné provádění směrnice o bezpečnosti sítí a informací, která je zásadní pro zvýšení kybernetické odolnosti. S ohledem na rychle se vyvíjející oblast kybernetických bezpečnostních hrozeb je zřejmé, že se členské státy musí opírat o komplexnější přístup k budování kybernetické odolnosti přesahující jednotlivé politiky. (15)Agentura by měla být nápomocna členským státům a orgánům, institucím a jiným subjektům Unie při jejich úsilí o vytváření a rozvoj schopností a připravenosti předcházet problémům a incidentům týkajícím se kybernetické bezpečnosti, odhalovat je a reagovat na ně, a také v souvislosti s bezpečností sítí a informačních systémů. Agentura by zejména měla podporovat rozvoj a posilování vnitrostátních týmů CSIRT s cílem dosáhnout v Unii vysoké společné úrovně jejich vyspělosti. Agentura by rovněž měla pomáhat s rozvíjením a aktualizováním strategií Unie a členských států pro bezpečnost sítí a informačních systémů, zejména strategií pro kybernetickou bezpečnost, podporovat jejich šíření a sledovat pokrok při jejich provádění. Agentura by měla také poskytovat školení a vzdělávací materiály veřejným subjektům, a případně „školit školitele“, a tím pomáhat členským státům při rozvoji vlastních školicích kapacit. (16)Agentura by měla být nápomocna skupině pro spolupráci zřízené směrnicí o bezpečnosti sítí a informací při provádění jejích úkolů, zejména prostřednictvím poskytování odborných poznatků a poradenství a prostřednictvím usnadňování výměny osvědčených postupů týkajících se rizik a incidentů, zejména pak pokud jde o identifikaci provozovatelů základních služeb členskými státy, a to i ve vztahu k přeshraničním vazbám. (17)S cílem podněcovat spolupráci mezi veřejným a soukromým sektorem a v rámci soukromého sektoru, zejména za účelem podpory ochrany kritické infrastruktury, by agentura měla usnadnit vytváření odvětvových center sdílení a analýzy informací, a to prostřednictvím poskytování osvědčených postupů a doporučení týkajících se dostupných nástrojů a postupů a poskytováním pokynů k řešení regulačních otázek spojených se sdílením informací. (18)Agentura by měla agregovat a analyzovat vnitrostátní zprávy od týmů CSIRT a skupiny CERT-EU a stanovovat společná pravidla, jazyk a terminologii pro výměnu informací. Agentura by rovněž měla zapojit soukromý sektor, a to v rámci směrnice o bezpečnosti sítí a informací, která vytvořením sítě CSIRT stanovila základ pro dobrovolnou výměnu technických informací na operativní úrovni. (19)V případě rozsáhlých přeshraničních kybernetických bezpečnostních incidentů a krizí by agentura měla přispět k reakci na úrovni EU. Tato funkce by měla zahrnovat shromažďování příslušných informací a působení jako zprostředkovatel mezi sítí CSIRT a technickou komunitou a mezi subjekty s rozhodovací pravomocí příslušnými pro řešení krizí. Agentura by dále mohla podporovat řešení incidentů po technické stránce, a to tím, že by usnadňovala příslušnou technickou výměnu řešení mezi členskými státy a poskytovala vstupy do veřejných komunikací. Agentura by měla tento proces podporovat testováním způsobů takové spolupráce prostřednictvím každoročních cvičení v oblasti kybernetické bezpečnosti. (20)Za účelem plnění svých operačních úkolů by agentura měla využít dostupné odborné poznatky skupiny CERT-EU, a to prostřednictvím strukturované spolupráce v těsné fyzické blízkosti. Strukturovaná spolupráce usnadní nezbytné synergie a akumulaci odborných poznatků agentury ENISA. V případě potřeby by měla být učiněna speciální ujednání mezi oběma organizacemi o praktické podobě takové spolupráce. (21)V souladu se svými operačními úkoly by agentura měla být schopna poskytovat podporu členským státům, například ve formě poradenství nebo technické pomoci či zajišťování analýz hrozeb a incidentů. Doporučení Komise ohledně koordinované reakce na rozsáhlé kybernetické bezpečnostní incidenty a krize doporučují, aby členské státy spolupracovaly v dobré víře a aby mezi sebou a s agenturou ENISA bez zbytečného odkladu sdílely informace o rozsáhlých kybernetických bezpečnostních incidentech a krizích. Tyto informace by agentuře ENISA měly dále pomoci při plnění jejích operačních úkolů. (22)Jakou součást pravidelné spolupráce na technické úrovni na podporu informovanosti Unie o aktuální situaci by agentura měla pravidelně připravovat technickou zprávu EU o situaci v oblasti kybernetické bezpečnosti týkající se incidentů a hrozeb, a to na základě veřejně dostupných informací, svých vlastních analýz a zpráv, které s ní (dobrovolně) sdílejí týmy CSIRT členských států nebo jednotná kontaktní místa zřízená podle směrnice o bezpečnosti sítí a informací, Evropské centrum pro boj proti kyberkriminalitě (EC3) při Europolu, skupina CERT-EU a případně Středisko Evropské unie pro analýzu zpravodajských informací (INTCEN) při Evropské službě pro vnější činnost (ESVČ). Zpráva by měla být k dispozici příslušným místům Rady, Komisi, vysoké představitelce Unie pro zahraniční věci a bezpečnostní politiku a síti týmů CSIRT. (23)Technická šetření ex post týkající se incidentů s významným dopadem ve více než jednom členském státě, která jsou agenturou podporována nebo prováděna na základě žádosti nebo se souhlasem dotčených členských států, by se měla zaměřovat na předcházení budoucím incidentům a měla by být prováděna, aniž jsou dotčena správní nebo soudní řízení k určení míry zavinění nebo odpovědnosti. (24)Dotčené členské státy by měly agentuře pro účely šetření poskytnout nezbytné informace a veškerou pomoc, aniž by byl dotčen článek 346 Smlouvy o fungování Evropské unie nebo jiné důvody související s ochranou veřejného pořádku. (25)Členské státy mohou podniky dotčené incidentem vyzvat, aby spolupracovaly tak, že agentuře poskytnou nezbytné informace a veškerou pomoc, aniž je dotčeno jejich právo na ochranu obchodně citlivých informací. (26)K lepšímu pochopení výzev v oblasti kybernetické bezpečnosti a s cílem poskytovat členským státům a orgánům Unie dlouhodobé strategické poradenství je třeba, aby agentura analyzovala současná a nově se objevující rizika. Za tímto účelem by agentura měla, ve spolupráci s členskými státy a případně statistickými orgány a dalšími subjekty, shromažďovat příslušné informace, provádět analýzy nově vznikajících technologií a poskytovat konkrétně zaměřená posouzení společenských, právních, hospodářských a regulačních dopadů technologických inovací na bezpečnost sítí a informací, zejména na kybernetickou bezpečnost. Agentura by měla také podporovat členské státy a orgány, instituce a jiné subjekty Unie při určování nových trendů a při předcházení problémům souvisejícím s kybernetickou bezpečností tak, že bude provádět analýzy hrozeb a incidentů. (27)Za účelem zvýšení odolnosti Unie by agentura měla rozvíjet excelenci v oblasti bezpečnosti internetové infrastruktury a kritických infrastruktur, a to poskytováním poradenství, pokynů a osvědčených postupů. S cílem zajistit snazší přístup k lépe strukturovaným informacím o kybernetických bezpečnostních rizicích a o potenciálních prostředcích nápravy by agentura měla vytvořit a spravovat „informační centrum“ Unie, jednotný portál („one-stop-shop“) poskytující veřejnosti informace o kybernetické bezpečnosti získané od EU a vnitrostátních orgánů, institucí a subjektů. (28)Agentura by měla přispívat ke zvyšování informovanosti veřejnosti ohledně rizik souvisejících s kybernetickou bezpečností a poskytovat pokyny a osvědčené postupy pro jednotlivé uživatele zaměřené na občany a organizace. Agentura by rovněž měla přispívat k podpoře osvědčených postupů a řešení na úrovni jednotlivců a organizací, a to shromažďováním a analyzováním veřejně dostupných informací týkajících se závažných incidentů a sestavováním zpráv s cílem poskytnout podnikům a občanům pokyny a zlepšit celkovou úroveň připravenosti a odolnosti. Agentura by dále měla ve spolupráci s členskými státy a orgány, institucemi a jinými subjekty Unie organizovat pravidelné veřejné vzdělávací kampaně pro koncové uživatele s cílem podporovat bezpečnější chování jednotlivců na internetu a zvyšovat informovanost o potenciálních hrozbách v kyberprostoru, včetně počítačové kriminality jako phishingové útoky, botnety a finanční a bankovní podvody, a podporovat základní nástroje ověřování a ochrany údajů. Agentura by rovněž měla hrát ústřední úlohu při urychlování informovanosti koncových uživatelů o bezpečnosti zařízení. (29)Za účelem podpory podniků působících v odvětví kybernetické bezpečnosti a rovněž uživatelů řešení v oblasti kybernetické bezpečnosti by agentura měla vytvořit a provozovat „středisko pro sledování trhu“ prostřednictvím provádění pravidelných analýz a šíření hlavních trendů na trhu kybernetické bezpečnosti, a to jak na straně poptávky, tak na straně nabídky. (30)Aby bylo zajištěno, že agentura plně dosahuje svých cílů, měla by spolupracovat s příslušnými orgány, institucemi a jinými subjekty, včetně skupiny CERT-EU, Evropského centra pro boj proti kyberkriminalitě (EC3) při Europolu, Evropské agentury pro provozní řízení rozsáhlých informačních systémů (eu-LISA), Evropské agentury pro bezpečnost letectví (EASA) a dalších agentur EU zapojených do kybernetické bezpečnosti. Měla by rovněž spolupracovat s orgány zabývajícími se ochranou údajů, a to za účelem výměny know-how a osvědčených postupů a poskytování poradenství ohledně aspektů kybernetické bezpečnosti, které mohou mít dopad na práci těchto orgánů. Zástupcům vnitrostátních a unijních donucovacích orgánů a orgánů na ochranu údajů by měla být umožněna účast ve stálé skupině zúčastněných stran agentury. Při spolupráci s donucovacími orgány týkající se aspektů bezpečnosti sítí a informací, které by mohly mít dopad na jejich práci, by agentura měla respektovat stávající informační kanály a zavedené sítě. (31)Agentura, jakožto člen, který rovněž zajišťuje služby sekretariátu sítě týmů CSIRT, by měla podporovat týmy CSIRT členských států a skupinu CERT-EU při operativní spolupráci na základě všech příslušných úkolů sítě týmu CSIRT, jak jsou vymezeny ve směrnici o bezpečnosti sítí a informací. Agentura by dále měla prosazovat a podporovat spolupráci mezi příslušnými týmy CSIRT v případě incidentů, útoků či poruch sítí nebo infrastruktury, které jsou spravovány nebo chráněny týmy CSIRT a které postihují nebo potenciálně postihují alespoň dvě skupiny CERT, přičemž by měla náležitě zohlednit standardní operační postupy sítě týmu CSIRT. (32)Za účelem zvýšení připravenosti Unie v oblasti reakce na kybernetické bezpečnostní incidenty by agentura měla pořádat každoroční cvičení v oblasti kybernetické bezpečnosti na úrovni Unie a poskytovat podporu institucím, orgánům, agenturám a jiným subjektům členských států a EU na jejich žádost při pořádání cvičení. (33)Agentura by měla dále rozvíjet a udržovat svoji odbornost v oblasti certifikace kybernetické bezpečnosti s cílem podporovat politiku Unie v této oblasti. Agentura by měla s cílem zvýšení transparentnosti záruk kybernetické bezpečnosti produktů a služeb IKT a s tím souvisejícího posílení důvěry v digitální vnitřní trh prosazovat zavádění certifikace kybernetické bezpečnosti v Unii, a to včetně toho, že bude přispívat k zavedení a správě rámce pro certifikaci kybernetické bezpečnosti na úrovni Unie.

(34)Účinná politika v oblasti kybernetické bezpečnosti by měla být založena na pečlivě vyvinutých metodách posuzování rizika ve veřejném i v soukromém sektoru. Metody posuzování rizika se používají na různých úrovních, aniž by existoval jednotný systém, který by zaručoval jejich účinné uplatňování. Podpora a rozvoj osvědčených postupů posuzování rizika a interoperabilních řešení řízení rizik u organizací veřejného a soukromého sektoru zvýší úroveň kybernetické bezpečnosti v Unii. Agentura by měla za tímto účelem podporovat spolupráci mezi zúčastněnými stranami na úrovni Unie a usnadňovat jejich úsilí zaměřené na vytvoření a používání evropských a mezinárodních standardů řízení rizik a měřitelné bezpečnosti elektronických produktů, systémů, sítí a služeb, které společně se softwarem tvoří sítě a informační systémy. (35)Agentura by měla vybízet členské státy a poskytovatele služeb, aby zvýšili své obecné standardy v oblasti bezpečnosti, a umožnili tak všem uživatelům internetu podniknout potřebné kroky k zajištění své vlastní kybernetické bezpečnosti Poskytovatelé služeb a výrobci produktů by zejména měli stáhnout nebo recyklovat produkty a služby, které nesplňují normy kybernetické bezpečnosti. Agentura ENISA může ve spolupráci s příslušnými orgány šířit informace týkající se úrovně kybernetické bezpečnosti produktů a služeb nabízených na vnitřním trhu a vydávat varování, která jsou určená poskytovatelům a výrobcům a která od nich požadují, aby zvýšili bezpečnost svých produktů a služeb, včetně kybernetické bezpečnosti. (36)Agentura by měla plně zohlednit činnosti probíhající v oblasti výzkumu, vývoje a technologického hodnocení, zejména činnosti prováděné v rámci různých výzkumných iniciativ Unie, aby mohla orgánům, institucím a jiným subjektům Unie a případně členským státům, které o to požádají, poskytovat poradenství ohledně potřeb výzkumu v oblasti bezpečnosti sítí a informací, zejména pak kybernetické bezpečnosti. (37)Problémy týkající se kybernetické bezpečnosti jsou globální záležitostí. Je nutná užší mezinárodní spolupráce pro zvýšení bezpečnostních standardů, včetně stanovení společných norem chování, a zlepšení sdílení informací, jež podpoří pružnější mezinárodní spolupráci v reakci na problémy týkající se bezpečnosti sítí a informací, ale i společný globální přístup k nim. Agentura by za tímto účelem měla podporovat větší zapojení Unie a spolupráci se třetími zeměmi a mezinárodními organizacemi tím, že případně poskytne nezbytné odborné znalosti a analýzy příslušným orgánům, institucím a jiným subjektům Unie. (38)Agentura by měla být schopna reagovat na žádosti ad hoc o poradenství a pomoc od členských států a orgánů, institucí a jiných subjektů EU, které jsou v souladu s cíli agentury. (39)Aby bylo dosaženo souladu se společným prohlášením a společným přístupem, na nichž se v červenci 2012 dohodla interinstitucionální pracovní skupina pro decentralizované agentury EU, je nezbytné stanovit určité zásady týkající se řízení agentury, přičemž účelem zmíněného prohlášení a přístupu je zjednodušit činnost agentur a zlepšit jejich výkonnost. Společné prohlášení a společný přístup by se případně měly odrazit také v pracovních programech agentury, hodnoceních agentury a postupech, které agentura používá pro podávání zpráv a v administrativě. (40)Správní rada složená z členských států a Komise by měla vymezit obecné směry činnosti agentury a zaručit, že bude své úkoly plnit v souladu s tímto nařízením. Správní radě by měly být svěřeny pravomoci potřebné pro sestavování rozpočtu, ověřování jeho plnění, schvalování příslušných finančních předpisů, stanovení transparentních pracovních postupů pro přijímání rozhodnutí agentury, schvalování jednotného programového dokumentu agentury, přijímání jejího jednacího řádu, jmenování výkonného ředitele a rozhodování o prodloužení funkčního období výkonného ředitele a o jeho odvolání. (41)V zájmu řádného a účinného fungování agentury by Komise a členské státy měly zajistit, aby osoby, které mají být jmenovány členy správní rady, měly patřičnou odbornou kvalifikaci a zkušenosti v oblastech činnosti. Komise a členské státy by měly usilovat o omezení obměny svých zástupců ve správní radě, aby byla zajištěna kontinuita její činnosti. (42)Řádné fungování agentury vyžaduje, aby byl její výkonný ředitel jmenován na základě projevených kvalit a doložených administrativních a řídicích schopností a rovněž odbornosti a zkušeností v oblasti kybernetické bezpečnosti a aby vykonával své povinnosti zcela nezávisle. Výkonný ředitel by měl za tímto účelem po předchozích konzultacích s Komisí zpracovat návrh pracovního programu agentury a učinit veškeré kroky nezbytné k zajištění jeho řádného plnění. Výkonný ředitel by měl vypracovávat výroční zprávy, které se předloží správní radě, a návrh odhadu příjmů a výdajů agentury a měl by plnit rozpočet. Výkonný ředitel by měl mít dále možnost sestavovat ad hoc pracovní skupiny, které by se věnovaly konkrétním otázkám, zejména vědecké, technické nebo právní či socioekonomické povahy. Výkonný ředitel by měl zajistit, aby byli členové ad hoc pracovní skupiny vybráni na základě vysokých standardů odborných znalostí a se zřetelem k rovnovážnému zastoupení podle obsahu činnosti mezi zástupci veřejné správy členských států, zástupci orgánů Unie a zástupci soukromého sektoru, včetně průmyslu, a zástupci uživatelů a vědeckých odborníků v oblasti bezpečnosti sítí a informací. (43)Výkonná rada by měla přispívat k účinnému fungování správní rady. Jako součást své přípravné činnosti související s rozhodnutími správní rady by měla podrobně prověřit příslušné informace, prozkoumat dostupné možnosti a nabídnout poradenství a řešení pro přípravu příslušných rozhodnutí správní rady. (44)Pro pravidelný dialog se soukromým sektorem, organizacemi spotřebitelů a ostatními dotčenými zúčastněnými stranami by agentura měla mít stálou skupinu zúčastněných stran. Stálá skupina zúčastněných stran ustavená správní radou na návrh výkonného ředitele by se měla věnovat otázkám, které mají význam pro zúčastněné strany, a měla by je předkládat agentuře. Složení stálé skupiny zúčastněných stran a úkoly, jimiž je pověřena, které je třeba konzultovat zejména v rámci návrhu pracovního programu, by měly zajistit dostatečnou účast zúčastněných stran na činnosti agentury. (45)Agentura by měla mít zavedena pravidla týkající se prevence a řešení střetu zájmů. Agentura by rovněž měla uplatňovat odpovídající ustanovení práva Unie týkající se přístupu veřejnosti k dokumentům podle nařízení Evropského parlamentu a Rady (ES) č. 1049/2001. Osobní údaje by měly být agenturou zpracovávány v souladu s nařízením Evropského parlamentu a Rady (ES) č. 45/2001 ze dne 18. prosince 2000 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány a institucemi Společenství a o volném pohybu těchto údajů. Agentura by měla zejména dodržovat předpisy vztahující se na orgány Unie a rovněž vnitrostátní předpisy o nakládání s informacemi, zejména s citlivými informacemi nepodléhajícími utajení a utajovanými informacemi EU. (46)Aby byla zaručena plná autonomie a nezávislost agentury a bylo jí umožněno vykonávat další nové úkoly, včetně nečekaných naléhavých úkolů, měla by mít k dispozici dostatečný a samostatný rozpočet, který je rozhodující měrou financován z příspěvků Unie a z příspěvků třetích zemí podílejících se na práci agentury. Většina zaměstnanců agentury by se měla přímo podílet na operativním plnění mandátu agentury. Hostitelský nebo jakýkoli jiný členský stát by měl mít možnost poskytnout dobrovolné příspěvky k příjmům agentury. Všechny subvence ze souhrnného rozpočtu Unie by měly podléhat rozpočtovému procesu Unie. Účetní dvůr by měl navíc provádět audit účetnictví agentury s cílem zajistit transparentnost a odpovědnost. (47)Posuzování shody je postup k prokázání, zda byly splněny konkrétní požadavky týkající se produktu, postupu, služby, systému, osoby nebo subjektu. Pro účely tohoto nařízení by certifikace měla být považována za typ posuzování shody, který se týká kybernetickobezpečnostních prvků produktů, procesů, služeb a systémů nebo jejich kombinací („produkty a služby IKT“) a který je prováděn nezávislou třetí stranou jinou než výrobcem produktu nebo poskytovatelem služby. Certifikace nemůže sama o sobě zaručit, že certifikované produkty a služby IKT jsou kyberneticky bezpečné. Spíše se jedná o proces a technickou metodiku sloužící k potvrzení, že produkty a služby IKT byly testovány a že splňují určité stanovené kybernetickobezpečnostní požadavky, např. požadavky stanovené v technických normách. (48)Certifikace kybernetické bezpečnosti hraje důležitou úlohu při zvyšování důvěry v produkty a služby a jejich bezpečnosti. Jednotný digitální trh a zejména ekonomika dat a internet věcí se mohou rozvíjet, pouze bude-li existovat obecná důvěra veřejnosti, že dané produkty a služby poskytují určitou úroveň záruky kybernetické bezpečnosti. Propojené a automatizované automobily, elektronická zdravotnická zařízení, průmyslové automatizační řídicí systémy nebo inteligentní sítě, to je pouze několik příkladů odvětví, v nichž je certifikace již široce využívána, nebo je pravděpodobné, že v blízké budoucnosti využívána bude. Odvětví regulovaná směrnicí o bezpečnosti sítí a informací jsou zároveň odvětvími, v nichž má certifikace kybernetické bezpečnosti zásadní význam. (49)Komise ve svém sdělení „Posílení evropského systému kybernetické odolnosti a podpora konkurenceschopného a inovativního odvětví kybernetické bezpečnosti“ z roku 2016 nastínila potřebu vysoce kvalitních, cenově dostupných a interoperabilních kybernetickobezpečnostních produktů a řešení. Dodávky produktů a služeb IKT v rámci jednotného trhu jsou geograficky velmi roztříštěné. Důvodem je skutečnost, že odvětví kybernetické bezpečnosti v Evropě se vyvíjelo převážně na základě poptávky vnitrostátních vlád. Mezi další nedostatky, které ovlivňují jednotný trh kybernetické bezpečnosti, patří dále absence interoperabilních řešení (technických norem), postupů a celoevropských mechanismů pro certifikaci. To na straně jedné snižuje konkurenceschopnost evropských společností na vnitrostátní, evropské i celosvětové úrovni. Na straně druhé to omezuje výběr funkčních a užitečných kybernetickobezpečnostních technologií, ke kterým mají občané a podniky přístup. Podobně Komise ve svém přezkumu v polovině období provádění strategie pro jednotný digitální trh zdůraznila potřebu bezpečných propojených produktů a systémů a uvedla, že vytvoření evropského bezpečnostního rámce IKT stanovujícího pravidla pro systémy certifikace bezpečnosti IKT v Unii by mohla zachovat důvěru v internet a řešit stávající roztříštěnost trhu kybernetické bezpečnosti. (50)Certifikace kybernetické bezpečnosti produktů a služeb IKT je v současné době využívána pouze v omezené míře. Pokud existuje, pak převážně na úrovni členských států nebo v rámci systémů podporovaných potřebami průmyslu. Certifikát vydaný jedním vnitrostátním orgánem pro kybernetickou bezpečnost v této souvislosti v zásadě není uznáván jinými členskými státy. Společnosti proto musí své produkty a služby certifikovat v několika členských státech, v nichž působí, například s cílem účastnit se vnitrostátních zadávacích řízení. Kromě toho, i když se objevují nové systémy, zdá se, že pokud jde o horizontální otázky kybernetické bezpečnosti, např. v oblasti internetu věcí, neexistuje žádný jednotný a ucelený přístup. Stávající systémy vykazují významné nedostatky a rozdíly z hlediska pokrytí produktů, úrovní záruk, podstatných kritérií a skutečného využití. (51)V minulosti bylo vynaloženo určité úsilí za účelem vzájemného uznávání certifikátů v Evropě. Toto úsilí však bylo úspěšné pouze částečně. Nejdůležitějším příkladem je v tomto ohledu dohoda o vzájemném uznávání skupiny vyšších úředníků – bezpečnost informačních systémů (SOG-IS). Ačkoliv dohoda o vzájemném uznávání skupiny SOG-IS představuje nejdůležitější model spolupráce a vzájemného uznávání v oblasti certifikace bezpečnosti, obsahuje některé významné nedostatky související s jejími vysokými náklady a omezenou působností. Dosud bylo vyvinuto pouze několik profilů ochrany pro digitální výrobky, jako např. digitální podpis, digitální tachograf a čipové karty. Nejdůležitější je, že skupina SOG-IS zahrnuje pouze část členských států Unie. To z pohledu vnitřního trhu účinnost dohody o vzájemném uznávání skupiny SOG-IS omezuje. (52)S ohledem na výše uvedené je nezbytné zřídit evropský rámec pro certifikaci kybernetické bezpečnosti, který stanoví hlavní horizontální požadavky pro evropské systémy certifikace kybernetické bezpečnosti, které mají být vypracovány, a umožní, aby byly certifikáty pro produkty a služby IKT uznávané a používané ve všech členských státech. Evropský rámec by měl mít dvojí účel: na straně jedné by měl pomoci zvýšit důvěru v produkty a služby IKT, které byly certifikovány podle takových systémů. Na straně druhé by měl zabránit násobení protichůdných nebo odporujících si vnitrostátních certifikací kybernetické bezpečnosti, a tím snížit náklady podniků působících na jednotném digitálním trhu. Systémy by měly být nediskriminační a měly by být založeny na mezinárodních normách a/nebo na normách Unie, pokud tyto normy nejsou neúčinné nebo nevhodné k dosažení cílů, které jsou v tomto ohledu oprávněné. (53)Komisi by měla být svěřena pravomoc přijímat evropské systémy certifikace kybernetické bezpečnosti týkající se konkrétních skupin produktů a služeb IKT. Tyto systémy by měly provádět a dozor nad nimi by měly vykonávat vnitrostátní orgány dozoru nad certifikací a certifikáty vydané v rámci těchto systémů by měly být platné a uznávané v celé Unii. Systémy certifikace provozované odvětvím nebo jinými soukromými organizacemi by měly spadat mimo oblast působnosti tohoto nařízení. Subjekty provozující tyto systémy však mohou Komisi navrhnout, aby tyto systémy zvážila jako základ pro jejich schválení jakožto evropského systému.

(54)Ustanoveními tohoto nařízení by neměly být dotčeny právní předpisy Unie stanovující zvláštní pravidla týkající se certifikace produktů a služeb IKT. Zejména obecné nařízení o ochraně osobních údajů obsahuje ustanovení týkající se zavedení mechanismů pro vydávání osvědčení a zavedení pečetí a známek dokládajících ochranu údajů pro účely prokázání souladu s tímto nařízením v případě operací zpracování prováděných správci a zpracovateli. Tyto mechanismy pro vydávání osvědčení a pečetě a známky dokládající ochranu údajů by měly subjektům údajů u příslušných produktů a služeb umožnit rychlé posouzení úrovně ochrany údajů. Tímto nařízením není dotčena certifikace operací zpracování údajů podle obecného nařízení o ochraně osobních údajů, včetně situací, kdy jsou tyto operace zabudované v produktech a službách. (55)Účelem evropských systémů certifikace kybernetické bezpečnosti by mělo být zajistit, aby produkty a služby IKT certifikované podle takového systému splňovaly konkrétní požadavky. Tyto požadavky se týkají schopnosti na dané úrovni záruky odolávat činnostem, které ohrožují přístupnost, autentičnost, neporušenost a důvěrnost ukládaných, předávaných nebo zpracovávaných údajů nebo souvisejících funkcí či služeb nabízených nebo dostupných prostřednictvím těchto produktů, procesů, služeb a systémů ve smyslu tohoto nařízení. V tomto nařízení není možné podrobně stanovit kybernetickobezpečnostní požadavky týkající se veškerých produktů a služeb IKT. Produkty a služby IKT a související potřeby v oblasti kybernetické bezpečnosti jsou natolik rozmanité, že je velmi obtížné přijít s obecnými kybernetckobezpečnostními požadavky, které by byly všeobecně plat