Uvedené právní předpisy vyžadují, aby Komise převzala významnou koordinační úlohu. Podle směrnice CER má Komise podpůrnou a usnadňující úlohu, která má být plněna za podpory a zapojení skupiny pro odolnost kritických subjektů (CERG) zřízené uvedenou směrnicí, a měla by doplňovat činnosti členských států tím, že bude vypracovávat osvědčené postupy, pokyny a metodiky. Pokud jde o kybernetickou bezpečnost, Rada již ve svých závěrech o kybernetické pozici EU v létě 2022 vyzvala Komisi, vysokého představitele a skupinu pro spolupráci NIS, aby pracovali na posouzení rizik a rizikových scénářích z hlediska kybernetické bezpečnosti. Tato koordinace může být inspirací pro to, jaký přístup zvolit u další klíčové kritické infrastruktury.

Výsledkem by bylo jít nad rámec stávajících opatření již nyní, a to jak z hlediska hloubky opatření, tak z hlediska rozsahu zahrnutých odvětví. Nová směrnice CER obsahuje nový rámec pro spolupráci a povinnosti členských států a kritických subjektů zaměřené na posílení fyzické nekybernetické odolnosti subjektů, které poskytují základní služby na vnitřním trhu, vůči přírodním a člověkem způsobeným hrozbám a specifikuje jedenáct odvětví. Směrnice NIS2 zavede povinnosti v oblasti kybernetické bezpečnosti pro širokou škálu odvětví. Patří sem i nový požadavek, aby členské státy v příslušném případě zahrnuly do svých strategií kybernetické bezpečnosti i podmořské kabely.

Vzhledem k výše uvedenému a k potenciální naléhavosti řešení hrozeb vyplývajících z útočné války Ruska proti Ukrajině by měla být opatření nastíněná v nových právních předpisech realizována dříve, pokud je to možné a vhodné. Posílení vzájemné spolupráce již nyní by rovněž pomohlo dát impuls k účinnému provádění těchto nových právních předpisů, jakmile budou plně v platnosti.

Cílem navrhovaného doporučení Rady je zintenzivnit podporu EU zaměřenou na zvyšování odolnosti kritické infrastruktury a zajistit koordinaci na úrovni EU, pokud jde o připravenost a reakci. Jeho cílem je maximalizovat a urychlit práci na ochraně těchto prostředků, zařízení a systémů, které jsou nezbytné pro fungování ekonomiky, a poskytovat na vnitřním trhu základní služby, na nichž jsou občané závislí, a zmírnit dopad jakéhokoli útoku zajištěním co nejrychlejší obnovy. I když by měla být chráněna veškerá tato infrastruktura, v současnosti jsou hlavní prioritou odvětví energetiky, digitální infrastruktury, dopravy a vesmíru vzhledem k jejich obzvláště horizontálnímu charakteru pro společnost a ekonomiku a k posouzení současných rizik.

Dalším klíčovým cílem EU je zajištění hladkého fungování vnitřního trhu, a to i pokud jde o základní služby poskytované subjekty provozujícími kritickou infrastrukturu. EU proto již přijala řadu opatření ke snížení zranitelnosti a zvýšení odolnosti kritických subjektů, a to jak v souvislosti s kybernetickými, tak nekybernetickými riziky.

Návrh je rovněž v souladu s dalšími příslušnými odvětvovými právními předpisy. Provádění tohoto doporučení by proto mělo být v souladu se zvláštními opatřeními, která regulují nebo v budoucnu mohou regulovat určité aspekty odolnosti subjektů působících v dotčených odvětvích, například v dopravě. To zahrnuje další relevantní iniciativy, jako je plán pro mimořádné situace v dopravě nebo plán pro nepředvídané události pro zajištění dodávek potravin a potravinového zabezpečení v dobách krize a související evropský mechanismus připravenosti a reakce na krize v oblasti potravinového zabezpečení. Obecněji by toto doporučení mělo být přirozeně prováděno při plném dodržování všech platných pravidel práva EU, včetně pravidel stanovených ve směrnicích ECI a NIS.

Odvětví jaderné energie není do navrhovaného doporučení Rady konkrétně zahrnuto, s výjimkou například související infrastruktury (jako jsou přenosová vedení do jaderných elektráren), která může mít vliv na zabezpečení dodávek. Na specifické jaderné prvky se vztahují příslušné právní předpisy v oblasti jaderné energie podle Smlouvy o Euratomu a/nebo vnitrostátních právních předpisů. Na základě zkušeností z havárie ve Fukušimě byly posíleny evropské právní předpisy pro jadernou bezpečnost, a proto musí vnitrostátní orgány pro každé zařízení provádět pravidelná periodická hodnocení bezpečnosti, aby se zajistilo nepřetržité dodržování nejvyšších bezpečnostních požadavků a identifikovaly se další možnosti zlepšení bezpečnosti, a dále musí provádět šest ročních tematických vzájemných hodnocení na úrovni EU.

Při vypracovávání tohoto návrhu byly zohledněny názory odborníků z členských států vyjádřené na zasedání dne 12. října 2022. O užitečnosti větší koordinace na úrovni Unie, pokud jde o připravenost a reakci v současném kontextu hrozeb, a o dřívější realizaci některých prvků směrnice CER před jejím formálním přijetím panovala široká shoda. Členské státy vyjádřily ochotu sdílet zkušenosti a osvědčené postupy týkající se opatření a metodik ke zvýšení odolnosti subjektů provozujících kritickou infrastrukturu. Členské státy rovněž vyjádřily otevřenost vůči koordinovanému přístupu k zátěžovým testům subjektů provozujících kritickou infrastrukturu, které by probíhaly na dobrovolném základě a na základě společných zásad. Členské státy uvedly, že pro účely tohoto doporučení by měly být za prioritu považovány subjekty provozující kritickou infrastrukturu v odvětví energetiky, digitální infrastruktury a dopravy, zejména subjekty s významem pro několik členských států. Členské státy rovněž uvítaly záměr Komise svolat v nadcházejících týdnech další zasedání odborníků z členských států.

(4)S ohledem na rychle se vyvíjející formy hrozeb, zejména v souvislosti se zjevnou sabotáží plynárenské infrastruktury Nord Stream 1 a 2, čelí subjekty provozující kritickou infrastrukturu specifickým výzvám, pokud jde o jejich odolnost vůči nepřátelským činům a dalším člověkem způsobeným hrozbám, a současně dochází k nárůstu výzev vyplývajících z přírodních faktorů a změny klimatu, které mohou mít vliv společně s nepřátelskými činy. Proto musí uvedené subjekty přijmout za podpory členských států vhodná opatření ke zvýšení odolnosti. Uvedená opatření by měla být přijata a uvedená podpora by měla být poskytnuta nad rámec opatření ve směrnici 2008/114/ES a směrnici (EU) 2016/1148, a to i před přijetím nových směrnic CER a NIS2, jejich vstupem v platnost a provedením ve vnitrostátním právu.

(5)Do přijetí, vstupu v platnost a provedení uvedených nových směrnic se Unie a členské státy v souladu s právem Unie vyzývají, aby k dosažení pokroku využívaly všechny dostupné nástroje a pomáhaly posílit fyzickou a kybernetickou odolnost dotčených subjektů a kritické infrastruktury, kterou provozují za účelem poskytování základních služeb na vnitřním trhu, tj. služeb, které mají zásadní význam pro zachování životně důležitých společenských funkcí, ekonomických činností, veřejného zdraví a bezpečnosti nebo životního prostředí. V tomto ohledu by pojem odolnosti měl být chápán tak, že odkazuje na schopnost subjektu předcházet událostem, které mohou významně narušit nebo které narušují poskytování dotčených základních služeb, chránit se před těmito událostmi, reagovat na ně, odolávat jim, zmírňovat je a absorbovat, přizpůsobovat se jim a zotavovat se z nich.

(6)V zájmu zajištění přístupu, který je jak účinný, tak co nejkonzistentnější s novou směrnicí CER, by se opatření obsažená v tomto doporučení měla vztahovat na infrastrukturu označenou členským státem za kritickou infrastrukturu, zahrnující jak vnitrostátní, tak evropskou kritickou infrastrukturu, bez ohledu na to, zda byl subjekt provozující kritickou infrastrukturu již označen za kritický subjekt podle uvedené nové směrnice. Pro účely tohoto doporučení by měl být pojem „kritická infrastruktura“ chápán odpovídajícím způsobem.

(7)S ohledem na stávající hrozby by měla být přednostně přijata opatření ke zvýšení odolnosti v klíčových odvětvích energetiky, digitální infrastruktury, dopravy a vesmíru a tato opatření by se měla zaměřit na posílení odolnosti subjektů provozujících kritickou infrastrukturu z hlediska rizik způsobených člověkem. Co se týče vnitrostátní kritické infrastruktury, měla by být vzhledem k možným důsledkům, pokud se rizika naplní, upřednostněna infrastruktura, která má přeshraniční význam.

(8)Cílem opatření v tomto doporučení je proto především doplnit nové směrnice CER a NIS2, které jsou založeny na článku 114 Smlouvy o fungování Evropské unie, tím, že doporučují dřívější realizaci a rozšíření opatření, která stanoví uvedené nové směrnice. Proto a s ohledem na přeshraniční povahu a význam dotčených základních služeb a kritické infrastruktury a na stávající a vznikající rozdíly mezi vnitrostátními právními předpisy, které narušují vnitřní trh, je vhodné založit toto doporučení též na článku 114 a dále na článku 292 Smlouvy o fungování EU.

(9)Provádění tohoto doporučení by nemělo být chápáno tak, že ovlivňuje stávající a budoucí požadavky práva Unie týkající se určitých aspektů odolnosti dotčených subjektů, a mělo by být s uvedenými požadavky v souladu. Tyto požadavky jsou stanoveny v obecných nástrojích, jako jsou směrnice 2008/114/ES a směrnice (EU) 2016/1148 a nové směrnice CER a NIS2, které je nahradí, ale také v některých odvětvově specifických nástrojích, například v oblasti dopravy, kde Komise mimo jiné přijala plán pro mimořádné situace v dopravě. V souladu se zásadou loajální spolupráce by toto doporučení mělo být prováděno za plného vzájemného respektu a pomoci.

(10)Komise dne 5. října 2022 oznámila pětibodový plán, který nastiňuje koordinovaný přístup k řešení budoucích výzev a zahrnuje práci na připravenosti na základě nové směrnice CER a její realizaci ještě před jejím přijetím a vstupem v platnost a který rovněž zahrnuje spolupráci s členskými státy s cílem provádět zátěžové testy subjektů provozujících kritickou infrastrukturu na základě společných zásad, počínaje odvětvím energetiky. Toto doporučení, které k uvedenému plánu přispěje, vítá navrhovaný přístup a stanoví, jak jej lze převést do praxe.

(11)Vzhledem k rychle se vyvíjejícím formám hrozeb a k současnému rizikovému prostředí charakterizovanému riziky způsobenými člověkem, zejména pokud jde o kritickou infrastrukturu s přeshraničním významem, je nezbytné mít přesný, aktuální a úplný obraz o nejdůležitějších rizicích, jimž subjekty provozující kritickou infrastrukturu čelí. Členské státy by proto měly přijmout nezbytná opatření k provedení nebo aktualizaci svých posouzení uvedených rizik. Ačkoli se toto doporučení zaměřuje na bezpečnostní rizika, mělo by se navíc pokračovat v úsilí o řešení změny klimatu a environmentálních rizik, zejména pokud mohou přírodní jevy rizika způsobená člověkem dále zhoršit.

(12)S ohledem na uvedené formy hrozeb by členské státy měly být vyzvány, aby ke zvýšení odolnosti kritické infrastruktury, a to i nad rámec uvedených posouzení rizik, co nejdříve přijaly vhodná opatření, která budou následně vyžadována podle nové směrnice CER.

(13)V rámci realizace pětibodového plánu oznámeného Komisí je nezbytné práci koordinovat svoláním národních odborníků, kteří by se měli sejít ještě před zřízením skupiny pro odolnost kritických subjektů stanovené v nové směrnici CER, aby byla umožněna spolupráce mezi členskými státy a výměna informací, pokud jde o odolnost subjektů provozujících kritickou infrastrukturu. To by mělo zahrnovat spolupráci a výměnu informací týkající se činností, jako je určení kritických subjektů a infrastruktury, příprava na vypracování a prosazování společného souboru zásad pro provádění zátěžových testů a získávání společných poznatků ze zátěžových testů, identifikace zranitelných míst a možných schopností. Tyto procesy by rovněž měly být přínosem pro odolnost subjektů provozujících kritickou infrastrukturu vůči klimatickým a environmentálním rizikům. Tato činnost by rovněž umožnila společné upřednostnění práce na zátěžových testech s důrazem na odvětví energetiky, digitální infrastruktury, dopravy a vesmíru. Komise již uvedené odborníky začala svolávat a usnadňovat jejich činnost a má v úmyslu v této práci pokračovat. Jakmile vstoupí nová směrnice CER v platnost a bude zřízena skupina pro odolnost kritických subjektů, měla by tato skupina v této anticipační činnosti pokračovat v souladu se svými úkoly podle směrnice CER.

(14)Zátěžové testy by měly být doplněny vypracováním plánu pro incidenty a krize v oblasti kritické infrastruktury, který popíše a stanoví cíle a způsoby spolupráce mezi členskými státy a orgány, institucemi a jinými subjekty EU při reakci na incidenty namířené proti kritické infrastruktuře, zejména pokud vedou k významnému narušení poskytování základních služeb pro vnitřní trh. Tento plán by měl pro koordinaci reakce využívat stávající integrovaná opatření pro politickou reakci na krize (IPCR), měl by fungovat soudržně s plánem pro rozsáhlé kybernetické incidenty a doplňovat jej a měl by rovněž zajistit dohodu na hlavních sděleních v rámci komunikace s veřejností, neboť tato krizová komunikace hraje důležitou úlohu při zmírňování negativních dopadů incidentů a krizí v oblasti kritické infrastruktury.

(15)V zájmu zajištění koordinované a účinné reakce na současné a předpokládané hrozby poskytne Komise členským státům další podporu s cílem zvýšit odolnost z hlediska uvedených hrozeb, zejména jim bude poskytovat relevantní informace ve formě brífinků, příruček a pokynů, bude propagovat využívání výzkumných a inovačních projektů financovaných Unií, přijímat nezbytná anticipační opatření a optimalizovat využívání unijních prostředků dohledu. Evropská služba pro vnější činnost by měla poskytovat posouzení hrozeb, zejména prostřednictvím svého Zpravodajského a informačního centra EU.

(16)Podporu v záležitostech týkajících se odolnosti by měly poskytovat rovněž agentury Unie relevantní pro daná odvětví a další relevantní subjekty, pokud to jejich mandáty stanovené v příslušných nástrojích práva Unie umožňují. Konkrétně by Agentura Evropské unie pro kybernetickou bezpečnost (ENISA) mohla být nápomocna v otázkách kybernetické bezpečnosti, Evropská agentura pro námořní bezpečnost (EMSA) by mohla členským státům pomáhat svou expertizou prostřednictvím své služby námořního dohledu nad záležitostmi souvisejícími s námořní bezpečností a ochranou, Agentura Evropské unie pro spolupráci v oblasti prosazování práva (EUROPOL) by mohla poskytovat podporu v souvislosti se shromažďováním informací a vyšetřováním při přeshraničních donucovacích opatřeních a Agentura Evropské unie pro Kosmický program (EUSPA) a Satelitní středisko Evropské unie (Satcen) mohou případně pomáhat prostřednictvím operací v rámci Kosmického programu Unie.

(17)Přestože primární odpovědnost za zajištění bezpečnosti kritické infrastruktury a dotčených subjektů nesou členské státy, je vhodná zvýšená koordinace na úrovni Unie, zejména s ohledem na hrozby, které mohou mít dopad na několik členských států současně, jako je útočná válka Ruska proti Ukrajině, nebo mohou mít dopad na odolnost a řádné fungování ekonomiky, jednotného trhu a společnosti v Unii.

(18)Toto doporučení nezahrnuje poskytování informací, jejichž zpřístupnění je v rozporu se základními zájmy členských států v oblasti národní bezpečnosti, veřejné bezpečnosti nebo obrany.

(19)Vzhledem k rostoucí vzájemné závislosti fyzických a digitálních infrastruktur mohou nepřátelské činnosti v kyberprostoru zaměřené na kritické oblasti vést k narušení nebo poškození fyzické infrastruktury a sabotáž fyzické infrastruktury může znemožnit přístup k digitálním službám. S ohledem na zvýšenou hrozbu, kterou představují sofistikované hybridní útoky, by členské státy měly tyto skutečnosti rovněž zahrnout do své práce na provedení tohoto doporučení. Vzhledem k vzájemným vazbám mezi kybernetickou bezpečností a fyzickou bezpečností provozovatelů je důležité, aby přípravy na provedení nové směrnice NIS2 ve vnitrostátním právu a její uplatňování byly zahájeny co nejdříve a aby souběžně probíhaly rovněž přípravy na novou směrnici CER.

(20)Kromě zlepšování připravenosti je rovněž důležité posílit schopnosti rychlé a účinné reakce v případě, že se naplní rizika ovlivňující základní služby poskytované subjekty provozujícími kritickou infrastrukturu. Toto doporučení by proto mělo obsahovat opatření, která by měla být přijata jak na úrovni členských států, tak na úrovni Unie, včetně posílené spolupráce a výměny informací v rámci mechanismu civilní ochrany Unie a využívání příslušných prostředků Kosmického programu Unie.

(21)V návaznosti na výzvu Rady obsaženou v jejích závěrech o kybernetické pozici EU provádějí Komise, vysoký představitel Unie pro zahraniční věci a bezpečnostní politiku („vysoký představitel“) a skupina pro spolupráci zřízená směrnicí (EU) 2016/1148 („skupina pro spolupráci NIS“) v koordinaci s příslušnými civilními a vojenskými orgány a subjekty a zřízenými sítěmi, včetně sítě EU CyCLONe, hodnocení rizik a vytvářejí rizikové scénáře z hlediska kybernetické bezpečnosti pro situaci hrozby nebo možného útoku na členské státy nebo partnerské země. Tato činnost se zaměřuje na kritická odvětví, včetně energetiky, digitální infrastruktury, dopravy a vesmíru.

(22)Podnět k posílení odolnosti komunikační infrastruktury a sítí v Unii obsahovaly rovněž společná ministerská výzva z Nevers a závěry Rady o kybernetické pozici EU, a sice prostřednictvím doporučení členským státům a Komisi na základě posouzení rizik. Toto posouzení rizik v současnosti provádí skupina pro spolupráci NIS za podpory Komise a agentury ENISA a ve spolupráci se Sdružením evropských regulačních orgánů v oblasti elektronických komunikací (BEREC). Posouzení rizik a analýza nedostatků se zaměřují na rizika kybernetických útoků v různých pododvětvích komunikačních infrastruktur, včetně pevných a mobilních infrastruktur, satelitů, podmořských kabelů, internetového směrování atd., a poskytují tak základ pro činnost podle tohoto doporučení. Toto posouzení rizik bude podkladem pro probíhající meziodvětvové hodnocení kybernetických rizik a scénáře požadované Radou v jejích závěrech ze dne 23. května 2022.

(23)Zmíněné dvě činnosti budou konzistentní a koordinované s vytvářením scénářů zaměřených na civilní ochranu v kontextu široké škály přírodních a člověkem způsobených katastrof, včetně událostí v oblasti kybernetické bezpečnosti a jejich reálného dopadu; tyto scénáře v současnosti vypracovává Komise a členské státy podle rozhodnutí Evropského parlamentu a Rady č. 1313/2013/EU. V zájmu účinnosti, účelnosti a konzistentnosti by toto doporučení mělo být zavedeno do praxe s ohledem na výsledky uvedených činností.