V období od roku 2019 do roku 2021 se prudce zvýšil počet významných incidentů postihujících orgány, instituce a subjekty Unie, jejichž původci byli aktéři pokročilé trvalé hrozby (APT). V první polovině roku 2021 došlo ke stejnému počtu významných incidentů jako za celý rok 2020. To se rovněž odrazilo v počtu bitových kopií pro forenzní analýzu (snímků obsahu dotčených systémů nebo zařízení), které analyzovalo centrum CERT-EU v roce 2020; tento počet se ve srovnání s rokem 2019 ztrojnásobil, přičemž počet významných incidentů se od roku 2018 zvýšil více než desetinásobně.

Pravidla navrhovaná v tomto nařízení nepřekračují rámec toho, co je nezbytné pro uspokojivé dosažení specifických cílů. Předpokládaná opatření přispějí k dosažení vysoké společné úrovně kybernetické bezpečnosti, aniž by přesahovala rámec toho, co je nezbytné pro dosažení tohoto cíle vzhledem ke stále větším rizikům, kterým čelí.

Ačkoli je proto pravděpodobné, že mnohé orgány, instituce a jiné subjekty Unie vynakládají na kybernetickou bezpečnost méně, než by měly, toto nařízení samo o sobě zvýšení těchto běžných výdajů nezpůsobí. I bez nařízení by každý subjekt musel odpovídající úroveň kybernetické bezpečnosti zajistit. Nařízení pokračuje v předchozí spolupráci v řídícím výboru týmu CERT-EU a formalizuje úroveň výměny informací, která již dnes částečně existuje. Jak je podrobně uvedeno v legislativním finančním výkazu, centrum CERT-EU bude potřebovat dodatečné zdroje, aby mohlo plnit svou rozšířenou úlohu, a tyto zdroje by měly být přerozděleny z orgánů, institucí a jiných subjektů Unie, které služeb týmu CERT-EU využívají.

Všechny orgány, instituce a jiné subjekty Unie musí centru CERT-EU oznamovat zejména významné kybernetické hrozby, významná zranitelná místa a významné incidenty, a to bez zbytečného odkladu, v každém případě do 24 hodin poté, co se o nich dozvěděly. (články 18-22)

Interinstitucionální výbor pro kybernetickou bezpečnost (IICB) by měl za pomoci týmu CERT-EU přezkoumat fungování tohoto nařízení, provést hodnocení a předložit Komisi zprávu se svými zjištěními. Komise by měla zajistit podávání pravidelných zpráv Evropskému parlamentu, Radě, Evropskému hospodářskému a sociálnímu výboru a Výboru regionů.

s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 298 této smlouvy,

s ohledem na Smlouvu o založení Evropského společenství pro atomovou energii, a zejména na článek 106a této smlouvy,

s ohledem na návrh Evropské komise,

po předložení návrhu legislativního aktu vnitrostátním parlamentům,

v souladu s řádným legislativním postupem,

vzhledem k těmto důvodům:

(1)V digitálním věku tvoří informační a komunikační technologie základ otevřené, efektivní a nezávislé unijní správy. Vyvíjející se technologie a větší složitost a vzájemná propojenost digitálních systémů zesilují kybernetická bezpečnostní rizika, což činí unijní správu zranitelnější vůči kybernetickým hrozbám a incidentům, které v konečném důsledku ohrožují kontinuitu činností správy a schopnost zabezpečovat její data. Širší využívání služeb cloudu, všudypřítomné používání informačních technologií, vysoká úroveň digitalizace, práce na dálku a vyvíjející se technologie a propojenost jsou nyní základními prvky všech činností správních subjektů v Unii, zatím však není dostatečně vybudována digitální odolnost.

(2)Prostředí kybernetických hrozeb, v němž působí orgány, instituce a jiné subjekty Unie, se neustále vyvíjí. Taktika, metody a postupy používané aktéry hrozeb se neustále vyvíjejí, avšak hlavní motivy takových útoků se nijak výrazně nemění, a to od krádeže cenných neveřejných informací přes získání finančních prostředků a manipulaci s veřejným míněním až po narušení digitální infrastruktury. Tempo, jímž provádějí své kybernetické útoky, se stále zvyšuje, přičemž jejich kampaně jsou stále sofistikovanější a automatizovanější, zaměřují se na exponované prostory k útoku, které se stále rozšiřují, a rychle využívají zranitelná místa.

(3)V prostředí informačních technologií orgánů, institucí a jiných subjektů Unie existují vzájemné závislosti a integrované toky dat a jejich uživatelé spolu úzce spolupracují. Tato vzájemná propojenost znamená, že jakékoli narušení, a dokonce i takové narušení, které je původně omezeno na jeden orgán, instituci nebo jiný subjekt Unie, může mít širší dominové účinky, jež mohou potenciálně vést k dalekosáhlým negativním dopadům na ostatní. Prostředí informačních technologií některých orgánů, institucí nebo jiných subjektů je navíc propojeno s informačním prostředím členských států, z čehož vyplývá, že incident v rámci jednoho subjektu Unie představuje riziko pro kybernetickou bezpečnost prostředí informačních technologií členských států, a naopak.

(4)Orgány, instituce a jiné subjekty Unie jsou atraktivní cíle, které musejí čelit vysoce kvalifikovaným a dobře finančně zajištěným aktérům hrozeb, jakož i jiným hrozbám. Přitom úroveň a vyspělost kybernetické odolnosti a schopnost odhalovat nepřátelské činnosti v kyberprostoru a reagovat na ně se u zmíněných subjektů značně liší. Pro fungování evropské správy je tak nezbytné, aby orgány, instituce a jiné subjekty Unie dosáhly vysoké společné úrovně kybernetické bezpečnosti prostřednictvím základní úrovně kybernetické bezpečnosti (soubor minimálních pravidel k zajištění kybernetické bezpečnosti, s nimiž musí být sítě a informační systémy v souladu, aby se minimalizovala kybernetická bezpečnostní rizika), výměny informací a spolupráce.

(5)Cílem směrnice [návrhu směrnice NIS 2] o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii je dále zlepšit odolnost veřejných a soukromých subjektů, příslušných vnitrostátních orgánů a subjektů, jakož i Unie jako celku v oblasti kybernetické bezpečnosti i jejich schopnosti reagovat na bezpečnostní incidenty. Je proto nezbytné, aby se zapojily i orgány, instituce a jiné subjekty Unie tím, že zajistí pravidla, která jsou v souladu se směrnicí [návrhem směrnice NIS 2] a odrážejí míru jejích ambicí.

(6)K dosažení vysoké společné úrovně kybernetické bezpečnosti je nezbytné, aby všechny orgány, instituce a jiné subjekty Unie zavedly interní rámec pro řízení, správu a kontrolu kybernetických bezpečnostních rizik, který zajistí účinné a obezřetné řízení všech kybernetických bezpečnostních rizik a zohlední řízení kontinuity činností a krizové řízení.

(7)Rozdíly mezi orgány, institucemi a jinými subjekty Unii vyžadují pružnost při provádění, protože univerzální řešení nebude vyhovovat všem. Opatření k zajištění vysoké společné úrovně kybernetické bezpečnosti by neměla obsahovat žádné povinnosti přímo zasahující do plnění úkolů orgánů, institucí nebo jiných subjektů Unie nebo narušující jejich institucionální autonomii. Tyto orgány, instituce a jiné subjekty by tak měly zavést své vlastní rámce pro řízení, správu a kontrolu kybernetických bezpečnostních rizik a přijmout své vlastní základní soubory opatření k zajištění kybernetické bezpečnosti a plány kybernetické bezpečnosti.

(8)Požadavky na řízení kybernetických bezpečnostních rizik by měly být úměrné rizikům, jež daná síť nebo informační systém obnáší, aby na orgány, instituce nebo jiné subjekty Unie nebyla uvalena nepřiměřená finanční a administrativní zátěž, a to s ohledem na nejnovější technický vývoj takových opatření. Cílem každého orgánu, instituce a jiného subjektu Unie by mělo být, aby přiměřenou část svého rozpočtu na informační technologie vynaložily na zlepšení úrovně své kybernetické bezpečnosti; z dlouhodobého hlediska by měl být sledován cíl v řádu 10 %.

(9)Vyšší společná úroveň kybernetické bezpečnosti vyžaduje, aby dohled nad kybernetickou bezpečností přešel na nejvyšší úroveň vedení každého orgánu, instituce nebo jiného subjektu Unie, které by mělo schválit základní soubor opatření k zajištění kybernetické bezpečnosti, který by měl řešit rizika zjištěná v rámci, jenž má být každým orgánem, institucí nebo jiným subjektem zaveden. Nedílnou součásti základního souboru opatření k zajištění kybernetické bezpečnosti ve všech orgánech, institucích a jiných subjektech Unie je řešení kultury kybernetické bezpečnosti, tedy každodenní praxe v oblasti kybernetické bezpečnosti.

(10)Orgány, instituce a jiné subjekty Unie by měly posuzovat rizika související se vztahy s dodavateli a poskytovateli služeb, včetně poskytovatelů služeb ukládání a zpracování dat nebo řízených bezpečnostních služeb, a přijímat vhodná opatření k řešení těchto rizik. Tato opatření by měla být součástí základního souboru opatření k zajištění kybernetické bezpečnosti a měla by být dále upřesněna v pokynech nebo doporučeních centra CERT-EU. Při stanovení opatření a pokynů by měly být náležitě zohledněny příslušné právní předpisy a politiky EU, včetně posouzení rizik a doporučení vydávaných skupinou pro spolupráci v oblasti bezpečnosti sítí a informací (skupinou NIS), jako je koordinované posouzení rizik v EU a souboru opatření EU pro kybernetickou bezpečnost sítí 5G. Mohla by být rovněž vyžadována certifikace příslušných produktů, služeb a procesů IKT, a to v rámci konkrétních evropských systémů certifikace kybernetické bezpečnosti přijatých podle článku 49 nařízení (EU) 2019/881.

(11)Generální tajemníci orgánů a institucí Unie se v květnu 2011 rozhodli zřídit přípravný tým pro vytvoření týmu pro reakci na počítačové hrozby pro orgány, instituce a jiné subjekty Unie (centrum CERT-EU), na který bude dohlížet interinstitucionální řídící rada. V červenci 2012 potvrdili generální tajemníci praktická ujednání a dohodli se na tom, že centrum CERT-EU zůstane zachováno jako trvalý subjekt, který bude nadále napomáhat zvyšování celkové úrovně bezpečnosti v oblasti informačních technologií v rámci orgánů, institucí a jiných subjektů Unie jakožto příklad viditelné interinstitucionální spolupráce v oblasti kybernetické bezpečnosti. V září 2012 byl CERT-EU založen jako pracovní skupina Evropské komise s interinstitucionálním mandátem. V prosinci 2017 uzavřely orgány a instituce Unie interinstitucionální ujednání o organizaci a provozu CERT-EU. Toto ujednání by se mělo dále vyvíjet s cílem podpořit provádění tohoto nařízení.

(12)CERT-EU by měl být přejmenován z „týmu pro reakci na počítačové hrozby“ na „centrum pro kybernetickou bezpečnost“ orgánů, institucí a jiných subjektů Unie v souladu s vývojem v členských státech a ve světovém měřítku, kdy se mnohé týmy CERT přejmenovávají na centra pro kybernetickou bezpečnost, avšak měl by si ponechat zkrácený název „CERT-EU“, který je již známý.

(13)Mnohé kybernetické útoky jsou součástí širších kampaní, které cílí na skupiny orgánů, institucí a jiných subjektů Unie nebo na zájmové komunity, jež orgány, instituce a jiné subjekty Unie zahrnují. S cílem umožnit aktivní odhalování incidentů, reakci na incidenty nebo opatření ke zmírnění dopadů incidentů by orgány, instituce a jiné subjekty Unie měly centru CERT-EU oznamovat významné kybernetické hrozby, významná zranitelná místa a významné incidenty a sdílet vhodné technické podrobnosti, jež umožňují odhalovat podobné kybernetické hrozby v rámci jiných orgánů, institucí a jiných subjektů Unie, zmírňovat dopady takových hrozeb a na tyto hrozby reagovat. Podle stejného přístupu, jaký se předpokládá ve směrnici [návrhu směrnice NIS 2], by subjekty, které se dozvědí o významném incidentu, měly mít povinnost předložit centru CERT-EU počáteční oznámení do 24 hodin. Taková výměna informací by měla centru CERT-EU umožnit šířit tyto informace do jiných orgánů, institucí nebo jiných subjektů Unie, jakož i vhodným protějškům, s cílem pomoci chránit prostředí informačních technologií Unie a prostředí informačních prostředí protějšků Unie před podobnými incidenty, hrozbami a zranitelnými místy.

(14)Kromě uložení více úkolů centru CERT-EU a rozšíření jeho úlohy by měl být zřízen Interinstitucionální výbor pro kybernetickou bezpečnost (IICB), který by měl usnadňovat dosažení vysoké společné úrovně kybernetické bezpečnosti u orgánů, institucí a jiných subjektů Unie tak, že bude sledovat provádění tohoto nařízení ze strany orgánů, institucí a jiných subjektů Unie, dohlížet na plnění obecných priorit a cílů centrem CERT-EU a poskytovat centru CERT-EU strategické řízení. Výbor IICB by měl zajišťovat zastoupení orgánů a zahrnovat zástupce jiných subjektů a institucí prostřednictvím sítě agentur Unie.