EUROPA-KOMMISSIONEN Bruxelles, den 16.12.2020 COM(2020) 823 final 2020/0359(COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen og om ophævelse af direktiv (EU) 2016/1148 (EØS-relevant tekst) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



BEGRUNDELSE 1.BAGGRUND FOR FORSLAGET •Forslagets begrundelse og formål Dette forslag er en del af en pakke af foranstaltninger til yderligere at forbedre offentlige og private enheders, kompetente myndigheders og Unionens samlede modstandsdygtighed og beredskabskapacitet inden for cybersikkerhed og beskyttelse af kritisk infrastruktur. Det er i overensstemmelse med Kommissionens prioriteter om at gøre Europa klar til den digitale tidsalder og opbygge en fremtidssikret økonomi, der tjener alle. Cybersikkerhed er en prioritet i Kommissionens reaktion på covid-19-krisen. Pakken omfatter en ny strategi for cybersikkerhed med det formål at styrke Unionens strategiske autonomi med henblik på at forbedre dens modstandsdygtighed og kollektive reaktion og opbygge et åbent og globalt internet. Endelig indeholder pakken et forslag til direktiv om modstandsdygtigheden hos kritiske operatører af væsentlige tjenester, som har til formål at afbøde fysiske trusler mod sådanne operatører. Dette forslag bygger på og ophæver direktiv (EU) 2016/1148 om sikkerhed i net- og informationssystemer (NIS-direktivet), som er den første EU-retsakt om cybersikkerhed og indeholder retlige foranstaltninger, der skal styrke det generelle cybersikkerhedsniveau i Unionen. NIS-direktivet har 1) bidraget til at forbedre cybersikkerhedskapaciteten på nationalt plan ved at kræve, at medlemsstaterne vedtager nationale cybersikkerhedsstrategier og udpeger cybersikkerhedsmyndigheder, 2) øget samarbejdet mellem medlemsstaterne på EU-plan ved at oprette forskellige fora, der letter udvekslingen af strategiske og operationelle oplysninger og 3) forbedret offentlige og private enheders cyberrobusthed i syv specifikke sektorer (energi, transport, bankvæsen, finansielle markedsinfrastrukturer, sundhedspleje, drikkevandsforsyning og -distribution samt digitale infrastrukturer) og på tværs af tre digitale tjenester (onlinemarkedspladser, onlinesøgemaskiner og cloud computing-tjenester) ved at kræve, at medlemsstaterne sikrer, at operatører af væsentlige tjenester og udbydere af digitale tjenester indfører cybersikkerhedskrav og foretager underretninger om hændelser. Forslaget moderniserer de eksisterende retlige rammer under hensyntagen til den øgede digitalisering af det indre marked i de senere år og et trusselsbillede for cybersikkerheden, der udvikler sig løbende. Begge disse udviklinger er blevet yderligere forstærket, siden covid-19-krisen satte ind. Forslaget tager også fat på en række svagheder, der forhindrede NIS-direktivet i at frigøre sit fulde potentiale. Til trods for sine bemærkelsesværdige resultater har NIS-direktivet, som banede vejen for en betydelig ændring i tankegangen i forbindelse med den institutionelle og lovgivningsmæssige tilgang til cybersikkerhed i mange medlemsstater, også vist sig at have sine begrænsninger. Den digitale omstilling af samfundet (intensiveret af covid-19-krisen) har udvidet trusselsbilledet og skaber nye udfordringer, som kræver tilpassede og innovative løsninger. Antallet af cyberangreb stiger fortsat, og der kommer stadig mere sofistikerede angreb fra en bred vifte af kilder i og uden for EU. I den evaluering af NIS-direktivets funktion, der blev foretaget med henblik på konsekvensanalysen, blev der peget på følgende spørgsmål: 1) den lave cybermodstandsdygtighed blandt virksomheder, der er aktive i EU, 2) inkonsekvent modstandsdygtighed på tværs af medlemsstater og sektorer og 3) det lave niveau af fælles situationsbevidsthed og manglen på fælles kriserespons. Visse større hospitaler i en medlemsstat falder f.eks. ikke ind under NIS-direktivets anvendelsesområde og er derfor ikke forpligtet til at gennemføre de deraf følgende sikkerhedsforanstaltninger, mens næsten alle udbydere af sundhedstjenester i en anden medlemsstat er omfattet af NIS-sikkerhedskravene. Da forslaget er et initiativ inden for programmet for målrettet og effektiv regulering (REFIT), har det til formål at mindske den reguleringsmæssige byrde for de kompetente myndigheder og overholdelsesomkostningerne for offentlige og private enheder. Dette opnås især ved at ophæve de kompetente myndigheders forpligtelse til at identificere operatører af væsentlige tjenester og ved at øge graden af harmonisering af sikkerheds- og underretningskrav for at lette overholdelsen af lovgivningen for enheder, der leverer grænseoverskridende tjenester. Samtidig vil de kompetente myndigheder også få tildelt en række nye opgaver, herunder tilsyn med enheder i sektorer, der hidtil ikke har været omfattet af NIS-direktivet. •Sammenhæng med de gældende regler på samme område Dette forslag er en del af en bredere vifte af eksisterende retlige instrumenter og kommende initiativer på EU-plan, der har til formål at øge offentlige og private enheders modstandsdygtighed over for trusler. På cybersikkerhedsområdet er der navnlig tale om direktiv (EU) 2018/1972 om en europæisk kodeks for elektronisk kommunikation (hvis bestemmelser vedrørende cybersikkerhed vil blive erstattet af bestemmelserne i nærværende forslag) og forslaget til forordning om digital operationel modstandsdygtighed i den finansielle sektor (COM(2020) 595 final), som vil blive betragtet som lex specialis i forhold til det foreliggende forslag, når begge retsakter er trådt i kraft. På området fysisk sikkerhed supplerer dette forslag forslaget til direktiv om kritiske enheders modstandsdygtighed, som reviderer direktiv 2008/114/EF om indkredsning og udpegning af europæisk kritisk infrastruktur og vurdering af behovet for at beskytte den bedre (ECI-direktivet), hvori der fastlægges en EU-procedure for identifikation og udpegning af europæisk kritisk infrastruktur og fastlægges en tilgang til forbedring af beskyttelsen heraf. I juli 2020 vedtog Kommissionen strategien for EU's sikkerhedsunion, hvori man anerkendte den stigende sammenkobling og indbyrdes afhængighed mellem fysiske og digitale infrastrukturer. Den understregede behovet for en mere sammenhængende og konsekvent tilgang mellem ECI-direktivet og direktiv (EU) 2016/1148 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen. Forslaget er derfor nøje afstemt med forslaget til direktiv om kritiske enheders modstandsdygtighed, der har til formål at styrke kritiske enheders modstandsdygtighed over for fysiske trusler i en lang række sektorer. Forslaget har til formål at sikre, at kompetente myndigheder i henhold til begge retsakter træffer supplerende foranstaltninger og udveksler oplysninger efter behov vedrørende cyberrobusthed og manglende cyberrobusthed, og at særligt kritiske operatører i de sektorer, der anses for at være "væsentlige" i henhold til det foreliggende forslag, også er underlagt mere generelle forpligtelser til at øge modstandsdygtigheden med vægten lagt på ikkecyberrelaterede risici. •Sammenhæng med Unionens politik på andre områder Som beskrevet i meddelelsen "Europas digitale fremtid i støbeskeen" er det afgørende, at Europa høster alle fordelene ved den digitale tidsalder og styrker sin industri- og innovationskapacitet inden for sikre og etiske grænser. I den europæiske strategi for data fastsættes der fire søjler — databeskyttelse, grundlæggende rettigheder, sikkerhed og cybersikkerhed– som væsentlige forudsætninger for et samfund, der styrkes ved brugen af data. I sin beslutning af 12. marts 2019 opfordrede Europa-Parlamentet "Kommissionen til at vurdere behovet for yderligere at udvide NIS-direktivets anvendelsesområde til andre kritiske sektorer og tjenester, der ikke er omfattet af sektorspecifik lovgivning". Rådet udtrykte i sine konklusioner af 9. juni 2020 tilfredshed med "[...] Kommissionens planer om at sikre konsekvente regler for markedsoperatører og fremme sikker, solid og passende informationsudveksling om trusler såvel som hændelser, herunder gennem en revision af direktivet om net- og informationssystemer (NIS-direktivet), for at forfølge muligheder for at forbedre cyberrobustheden og sikre en mere effektiv reaktion på cyberangreb, navnlig om væsentlige økonomiske og samfundsmæssige aktiviteter, samtidig med at medlemsstaternes kompetencer, herunder ansvaret for deres nationale sikkerhed, respekteres." Den foreslåede retsakt gælder desuden med forbehold af anvendelsen af konkurrencereglerne som fastsat i traktaten om Den Europæiske Unions funktionsmåde (TEUF).

Eftersom en betydelig del af truslerne mod cybersikkerheden stammer fra lande uden for EU, er der behov for en sammenhængende tilgang til internationalt samarbejde. Dette direktiv udgør en referencemodel, der skal fremmes i forbindelse med EU's samarbejde med tredjelande, navnlig når der ydes ekstern teknisk bistand. 2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET •Retsgrundlag Retsgrundlaget for NIS-direktivet er artikel 114 i traktaten om Den Europæiske Unions funktionsmåde, hvis formål er det indre markeds oprettelse og funktion ved at styrke foranstaltningerne til indbyrdes tilnærmelse af de nationale regler. Som EU-Domstolen fastslog i sin dom i sag C-58/08 Vodafone m.fl., er anvendelsen af artikel 114 i TEUF berettiget, når der er forskelle mellem nationale regler, der har direkte indvirkning på det indre markeds funktion. Domstolen fastslog ligeledes, at når en retsakt baseret på artikel 114 i TEUF allerede har fjernet enhver hindring for samhandelen på det område, den harmoniserer, kan EU-lovgiver ikke fratages muligheden for at tilpasse denne retsakt til samtlige ændrede omstændigheder eller ny viden, henset til den opgave, den har til at sikre beskyttelsen af de almene hensyn, der er anerkendt i traktaten. Endelig fastslog Domstolen, at de foranstaltninger med henblik på indbyrdes tilnærmelse, der er omhandlet i artikel 114 TEUF, har til formål at give en skønsmargen med hensyn til, hvilken tilnærmelsesmetode der er bedst egnet til at opnå det ønskede resultat, afhængigt af den generelle sammenhæng og de særlige omstændigheder på området, der skal harmoniseres. Den foreslåede retsakt vil fjerne hindringer for og forbedre det indre markeds oprettelse og funktion for væsentlige og vigtige enheder ved at fastlægge klare og almindeligt gældende regler om anvendelsesområdet for NIS-direktivet, der harmoniserer de regler, som finder anvendelse på styring af cybersikkerhedsrisici og underretning om hændelser. De nuværende forskelle på dette område, både på lovgivnings- og tilsynsniveau samt på det nationale plan og EU-plan, udgør hindringer for det indre marked, fordi enheder, der udøver grænseoverskridende aktiviteter, står over for forskellige og muligvis overlappende reguleringsmæssige krav og/eller anvendelsen af disse på bekostning af udøvelsen af deres etableringsfrihed og retten til fri udveksling af tjenesteydelser. Forskellige regler har også en negativ indvirkning på konkurrencevilkårene i det indre marked, når der er tale om enheder af samme type i forskellige medlemsstater. •Nærhedsprincippet (for områder, der ikke er omfattet af enekompetence) Modstandsdygtigheden over for cybertrusler i hele Unionen kan ikke være effektiv, hvis der gribes ind på en uensartet måde gennem nationale eller regionale siloer. NIS-direktivet afhjalp til dels denne mangel ved at fastlægge en ramme for net- og informationssystemernes sikkerhed på nationalt plan og EU-plan. Omsættelsen og gennemførelsen af direktivet afslørede imidlertid også iboende mangler og begrænsninger i visse bestemmelser eller tilgange, f.eks. den uklare afgrænsning af direktivets anvendelsesområde, der førte til betydelige forskelle i omfanget og dybden af EU's faktiske indgreb på medlemsstatsplan. Siden covid-19-krisen er den europæiske økonomi desuden blevet endnu mere afhængig af net- og informationssystemer end nogensinde før, og sektorer og tjenester er i stigende grad indbyrdes forbundne. En EU-indsats, der går videre end de nuværende foranstaltninger i NIS-direktivet, er primært begrundet i: i) de NIS-relaterede truslers og udfordringers stadig mere grænseoverskridende karakter, ii) potentialet i Unionens indsats med hensyn til at forbedre og fremme effektive og koordinerede nationale politikker og iii) bidraget fra samordnede og samarbejdsbaserede politiske tiltag til effektiv beskyttelse af personoplysninger og privatlivets fred. •Proportionalitetsprincippet De regler, der foreslås i dette direktiv, går ikke ud over, hvad der er nødvendigt for at nå de specifikke mål på tilfredsstillende vis. Den planlagte tilpasning og strømlining af sikkerhedsforanstaltninger og rapporteringsforpligtelser vedrører medlemsstaternes og virksomhedernes anmodninger om at forbedre den nuværende ramme. Forslaget tager hensyn til den allerede eksisterende praksis i medlemsstaterne. Et højere beskyttelsesniveau, der opnås gennem sådanne strømlinede og koordinerede krav, står i rimeligt forhold til de stadig større risici, som de står over for, herunder dem, der udgør et grænseoverskridende element. De er rimelige og svarer generelt til de involverede enheders interesse i at sikre kontinuiteten og kvaliteten af deres tjenester. Omkostningerne ved at sikre systematisk samarbejde mellem medlemsstaterne vil være små sammenlignet med de økonomiske og samfundsmæssige tab og skader forårsaget af cybersikkerhedshændelser. Desuden viser de høringer af interesserede parter, der blev afholdt i forbindelse med evalueringen af NIS-direktivet, herunder resultaterne af den åbne offentlige høring og målrettede undersøgelser, at der er støtte til revisionen af NIS-direktivet i overensstemmelse med ovennævnte retningslinjer. •Valg af retsakt Forslaget vil yderligere strømline de forpligtelser, der pålægges virksomhederne, og sikre en højere grad af harmonisering af disse. Samtidig har forslaget til formål at give medlemsstaterne den fleksibilitet, der er nødvendig for at tage hensyn til særlige nationale forhold (f.eks. muligheden for at identificere yderligere væsentlige eller vigtige enheder, der ligger uden for det referencescenarie, som er fastsat i retsakten). Det kommende retlige instrument bør derfor være et direktiv, da dette retlige instrument giver mulighed for målrettet forbedret harmonisering og en vis grad af fleksibilitet for de kompetente myndigheder. 3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER •Efterfølgende evalueringer/kvalitetskontrol af gældende lovgivning Kommissionen har gennemført en evaluering af NIS-direktivets funktionsmåde. Den har analyseret dets relevans, EU-merværdi, sammenhæng, virkningsfuldhed og effektivitet. Hovedresultaterne af analysen er følgende: ·NIS-direktivets anvendelsesområde er for begrænset med hensyn til de omfattede sektorer, primært på grund af: i) øget digitalisering i de senere år og en højere grad af indbyrdes forbundethed og ii) NIS-direktivets anvendelsesområde afspejler ikke længere alle digitaliserede sektorer, der leverer vigtige tjenester til økonomien og samfundet som helhed. ·NIS-direktivet er ikke tilstrækkeligt klart med hensyn til anvendelsesområdet for operatører af væsentlige tjenester, og dets bestemmelser skaber ikke tilstrækkelig klarhed med hensyn til den nationale kompetence over for udbydere af digitale tjenester. Dette har ført til en situation, hvor visse typer af enheder ikke er blevet identificeret i alle medlemsstater og derfor ikke er forpligtet til at indføre sikkerhedsforanstaltninger og foretage underretninger om hændelser. ·Med fastsættelsen af krav til sikkerheds- og hændelsesunderretninger for operatører af væsentlige tjenester i NIS-direktivet fik medlemsstaterne vide skønsbeføjelser. Evalueringen viser, at medlemsstaterne i nogle tilfælde har gennemført disse krav på særdeles forskellig vis, hvilket har medført yderligere byrder for virksomheder, der opererer i mere end én medlemsstat. ·NIS-direktivets tilsyns- og håndhævelsesordning er ineffektiv. Medlemsstaterne har f.eks. været meget tilbageholdende med at indføre sanktioner over for enheder, der undlader at indføre sikkerhedskrav eller foretage underretninger om hændelser. Dette kan have negative konsekvenser for individuelle enheders cyberrobusthed.

·De økonomiske og menneskelige ressourcer, som medlemsstaterne har afsat til at udføre deres opgaver (såsom identifikation af eller tilsyn med operatører af væsentlige tjenester), og dermed de forskellige modenhedsniveauer i forbindelse med cybersikkerhedsrisici, varierer meget. Dette øger forskellene i cyberrobusthed mellem medlemsstaterne yderligere. ·Medlemsstaterne udveksler ikke systematisk oplysninger med hinanden, hvilket navnlig har negative konsekvenser for effektiviteten af cybersikkerhedsforanstaltningerne og for niveauet af fælles situationsbevidsthed på EU-plan. Dette er også tilfældet for udveksling af oplysninger mellem private enheder og for samarbejdet mellem samarbejdsstrukturer på EU-plan og private enheder. •Høringer af interesserede parter Kommissionen har hørt en lang række interesserede parter. Medlemsstaterne og de interesserede parter blev opfordret til at deltage i den åbne offentlige høring og i de undersøgelser og workshopper, der blev afholdt af Wavestone, CEPS og ICF, som Kommissionen har hyret til at gennemføre en undersøgelse til støtte for evalueringen af NIS-direktivet. De hørte interesserede parter omfattede kompetente myndigheder, EU-organer, der beskæftiger sig med cybersikkerhed, operatører af væsentlige tjenester, udbydere af digitale tjenester, enheder, der leverer tjenester uden for anvendelsesområdet for det nuværende NIS-direktiv, brancheorganisationer samt forbrugerorganisationer og borgere. Desuden har Kommissionen været i løbende kontakt med de kompetente myndigheder, der er ansvarlige for gennemførelsen af NIS-direktivet. Samarbejdsgruppen har i vid udstrækning behandlet forskellige tværgående og sektorspecifikke gennemførelsesaspekter. Endelig har Kommissionen under sine NIS-landebesøg i 2019 og 2020 interviewet 154 offentlige og private enheder samt 117 kompetente myndigheder. •Indhentning og brug af ekspertbistand Kommissionen har indgået kontrakt med et konsortium bestående af Wavestone, CEPS og ICF, som skal støtte Kommissionen i forbindelse med evalueringen af NIS-direktivet. Kontrahenten har ikke kun været i kontakt med de interesserede parter, der er direkte berørt af NIS-direktivet, gennem målrettede undersøgelser og workshopper, men har også hørt en bred vifte af eksperter inden for cybersikkerhed, såsom cybersikkerhedsforskere og fagfolk inden for cybersikkerhedsindustrien. •Konsekvensanalyse Dette forslag ledsages af en konsekvensanalyse, som blev forelagt Udvalget for Forskriftskontrol den 23. oktober 2020 og modtog en positiv udtalelse med bemærkninger fra Udvalget for Forskriftskontrol den 20. november 2020. Udvalget anbefalede forbedringer på nogle områder med henblik på: 1) bedre at afspejle den rolle, som grænseoverskridende afsmittende virkninger spiller i problemanalysen, 2) bedre at forklare, hvad det vil medføre, at initiativet betragtes som en succes, 3) yderligere at begrunde listen over politiske løsningsmodeller og 4) at give yderligere oplysninger om omkostningerne ved de foreslåede foranstaltninger. Konsekvensanalysen blev tilpasset for at tage højde for disse punkter samt mere detaljerede bemærkninger fra Udvalget for Forskriftskontrol. Den indeholder nu mere detaljerede forklaringer af den rolle, som grænseoverskridende afsmittende virkninger spiller på cybersikkerhedsområdet, et klarere overblik over, hvordan succes kan måles, en mere detaljeret redegørelse for udformningen af og logikken bag de forskellige politiske løsningsmodeller og foranstaltninger, der overvejes inden for disse løsningsmodeller, en mere detaljeret redegørelse for de aspekter, der er analyseret i forbindelse med NIS-direktivets sektorspecifikke anvendelsesområde, og yderligere præciseringer vedrørende omkostninger. Kommissionen overvejede en række politiske løsningsmodeller for at forbedre de retlige rammer inden for cyberrobusthed og reaktion på hændelser: ·"Ingen foranstaltninger": NIS-direktivet vil forblive uændret, og der vil ikke blive truffet andre foranstaltninger af ikkelovgivningsmæssig karakter for at rette op på de problemer, der er identificeret i forbindelse med evalueringen af NIS-direktivet. ·Løsningsmodel 1: Der vil ikke ske nogen ændringer på lovgivningsniveau. I stedet vil Kommissionen udstede henstillinger og retningslinjer (f.eks. om identifikation af operatører af væsentlige tjenester, sikkerhedskrav, procedurer for underretning om hændelser og tilsyn) efter høring af samarbejdsgruppen, EU's Agentur for Cybersikkerhed (ENISA) og, hvis det er relevant, netværket af enheder, der håndterer IT-sikkerhedshændelser (CSIRT'er). ·Løsningsmodel 2: Denne løsningsmodel indebærer målrettede ændringer af NIS-direktivet, herunder en udvidelse af anvendelsesområdet og flere andre ændringer, der har til formål at indføre visse umiddelbare løsninger på de konstaterede problemer, skabe større klarhed og yderligere harmonisering (f.eks. bestemmelser om harmonisering af tærskelværdier for identifikation). Det ændrede NIS-direktiv vil dog fortsat indeholde de vigtigste byggesten, tilgangen og begrundelsen. ·Løsningsmodel 3: Dette scenario indebærer systemiske og strukturelle ændringer af NIS-direktivet (i form af et nyt direktiv) med henblik på en mere grundlæggende ændring af tilgangen for at dække et større segment af økonomierne i hele Unionen, men med et mere fokuseret tilsyn rettet mod store og centrale aktører. Det vil også strømline de forpligtelser, der pålægges virksomhederne, og sikre en højere grad af harmonisering af disse, skabe en mere effektiv ramme for operationelle aspekter samt skabe et klart grundlag for øget fælles ansvar og ansvarlighed for forskellige interessenter i forbindelse med cybersikkerhedsforanstaltninger. Konsekvensanalysen konkluderer, at den foretrukne løsningsmodel er løsningsmodel 3 (dvs. systemiske og strukturelle ændringer af NIS-rammen). Med hensyn til effektivitet vil den foretrukne løsningsmodel klart fastlægge anvendelsesområdet for NIS-direktivet, som udvides til et mere repræsentativt udsnit af EU's økonomier og samfund, og strømlining af kravene sammen med en tydeligere defineret ramme for tilsyn og håndhævelse, der sigter mod at øge overholdelsesgraden. Det omfatter også foranstaltninger, der har til formål at forbedre tilgangen til politikopbygning på medlemsstatsniveau og ændre paradigmet herfor, fremme nye rammer for risikostyring i forbindelse med leverandørrelationer og koordineret offentliggørelse af sårbarheder. Samtidig skaber den foretrukne løsningsmodel et klart grundlag for delt ansvar og ansvarlighed og omfatter mekanismer, der har til formål at fremme større tillid mellem medlemsstaterne, både myndighederne og erhvervslivet, tilskynde til informationsudveksling og sikre en mere operationel tilgang såsom gensidig bistand og peerevalueringsmekanismer. Denne løsningsmodel vil også skabe en EU-krisestyringsramme, der bygger på det operationelle EU-netværk, som blev lanceret for nylig, og vil sikre større inddragelse af ENISA inden for dets nuværende mandat for at opnå et præcist overblik over Unionens tilstand med hensyn til cybersikkerhed. For så vidt angår effektivitet vil den foretrukne løsningsmodel ganske vist medføre yderligere overholdelses- og håndhævelsesomkostninger for virksomheder og medlemsstater, men den vil også føre til effektive afvejninger og synergier med det bedste potentiale blandt alle de analyserede politiske løsningsmodeller og sikre en øget og konsekvent grad af cyberrobusthed hos centrale enheder i hele Unionen, hvilket i sidste ende vil føre til omkostningsbesparelser for både virksomheder og samfundet. Denne løsningsmodel vil medføre en vis ekstra administrativ byrde og overholdelsesomkostninger for medlemsstaternes myndigheder. På mellemlang og lang sigt vil den dog samlet set også medføre betydelige fordele i form af øget samarbejde mellem medlemsstaterne, herunder på operationelt plan, og, ved hjælp af gensidig bistand, tilskynde til peerevalueringsmekanismer og bedre overblik over og interaktion med centrale virksomheder, en generel forøgelse af cybersikkerhedskapaciteten på nationalt og regionalt plan. Den foretrukne løsningsmodel vil også i vid udstrækning sikre sammenhæng med anden lovgivning og andre initiativer eller politiske foranstaltninger, herunder sektorspecifikke lex specialis. Afhjælpning af den nuværende mangel på cybersikkerhedsberedskab på medlemsstatsniveau og på virksomhedsniveau og i andre organisationer kan føre til effektivitetsgevinster og reduktion af ekstraomkostninger som følge af cybersikkerhedshændelser. ·For væsentlige og vigtige enheder kan en styrkelse af cybersikkerhedsberedskabet resultere i en begrænsning af det potentielle indtægtstab som følge af afbrydelser — herunder som følge af industrispionage — og kan reducere de store udgifter til ad hoc-trusselsbegrænsning. Sådanne gevinster vil sandsynligvis opveje de nødvendige investeringsomkostninger. En mindre fragmentering af det indre marked vil også føre til mere lige vilkår for operatørerne. ·For medlemsstaterne kan det yderligere mindske risikoen for stigende budgetudgifter til ad hoc-trusselsbegrænsning og yderligere omkostninger i tilfælde af nødsituationer i forbindelse med cybersikkerhedshændelser. ·For borgerne forventes det, at håndteringen af cybersikkerhedshændelser vil resultere i et lavere indkomsttab som følge af økonomiske forstyrrelser.

Det øgede cybersikkerhedsniveau i medlemsstaterne og virksomhedernes og myndighedernes evne til at reagere hurtigt på en hændelse og afbøde dens konsekvenser vil sandsynligvis føre til en stigning i borgernes generelle tillid til den digitale økonomi, hvilket kan have en positiv indvirkning på vækst og investeringer. En styrkelse af det generelle cybersikkerhedsniveau vil sandsynligvis føre til øget sikkerhed og gnidningsløs uafbrudt drift af væsentlige tjenester, som er af afgørende betydning for samfundet. Initiativet kan også bidrage til andre samfundsmæssige virkninger såsom lavere niveauer af cyberkriminalitet og terrorisme og øget civilbeskyttelse. Ved at øge cyberberedskabet for virksomheder og andre organisationer kan man undgå potentielle økonomiske tab som følge af cyberangreb og dermed fjerne behovet for at skulle afskedige medarbejdere. En styrkelse af det generelle cybersikkerhedsniveau kan også føre til forebyggelse af miljørisici/miljøskader i tilfælde af et angreb på en væsentlig tjeneste. Dette kan især gælde for energi-, vandforsynings- og distributionssektoren samt transportsektoren. Ved at styrke cybersikkerhedskapaciteterne kan initiativet føre til øget brug af den seneste generation af IKT-infrastrukturer og -tjenester, som også er miljømæssigt mere bæredygtige, og til udskiftning af ineffektive og mindre sikre eksisterende infrastrukturer. Dette forventes også at bidrage til at nedbringe antallet af bekostelige cyberhændelser og frigøre ressourcer til bæredygtige investeringer. •Målrettet regulering og forenkling Forslaget indeholder en generel undtagelse for mikrovirksomheder og små enheder fra anvendelsesområdet for NIS og en mere lempelig ordning for efterfølgende tilsyn for et stort antal af de nye enheder under det reviderede anvendelsesområde (såkaldt vigtige enheder). Disse foranstaltninger har til formål at minimere og afbalancere den byrde, der pålægges virksomheder og offentlige myndigheder. Desuden erstatter forslaget det komplekse identifikationssystem for operatører af væsentlige tjenester med en generelt gældende forpligtelse og indfører en højere grad af harmonisering af sikkerheds- og rapporteringsforpligtelser, hvilket vil mindske overholdelsesbyrden, navnlig for enheder, der leverer grænseoverskridende tjenester. Forslaget minimerer overholdelsesomkostningerne for SMV'er, da enhederne kun skal træffe de foranstaltninger, der er nødvendige for at sikre et sikkerhedsniveau for net- og informationssystemer, der svarer til den risiko, der er forbundet hermed. •Grundlæggende rettigheder EU har forpligtet sig at sikre til et højt niveau af beskyttelse af de grundlæggende rettigheder. Alle frivillige ordninger for udveksling af oplysninger mellem enheder, som dette direktiv fremmer, vil blive gennemført i sikre miljøer under fuld overholdelse af Unionens databeskyttelsesregler, navnlig Europa-Parlamentets og Rådets forordning (EU) 2016/679. 4.VIRKNINGER FOR BUDGETTET Se finansieringsoversigten 5.ANDRE FORHOLD •Planer for gennemførelsen og foranstaltninger til overvågning, evaluering og rapportering Forslaget indeholder en generel plan for overvågning og evaluering af indvirkningen på de specifikke mål, som kræver, at Kommissionen foretager en evaluering tidligst [54 måneder] efter forordningens ikrafttrædelsesdato og aflægger rapport til Europa-Parlamentet og Rådet om sine vigtigste konklusioner. Denne revision skal foretages i overensstemmelse med Kommissionens retningslinjer for bedre regulering. •Nærmere redegørelse for de enkelte bestemmelser i forslaget Forslaget er bygget op omkring flere vigtige politikområder, som er indbyrdes forbundne og har til formål at højne cybersikkerhedsniveauet i Unionen. Genstand og anvendelsesområde (artikel 1 og artikel 2) Det gælder navnlig, at direktivet indeholder a) forpligtelser om, at medlemsstaterne skal vedtage en national cybersikkerhedsstrategi, udpege kompetente nationale myndigheder, centrale kontaktpunkter og CSIRT'er, b) bestemmelser om, at medlemsstaterne skal fastsætte forpligtelser om risikostyring og rapportering vedrørende cybersikkerhed for enheder, der benævnes væsentlige enheder i bilag I og vigtige enheder i bilag II, og c) bestemmelser om, at medlemsstaterne skal fastsætte forpligtelser vedrørende udveksling af cybersikkerhedsoplysninger. Det finder anvendelse på visse offentlige eller private væsentlige enheder, der opererer inden for de sektorer, som er opført i bilag I (energi, transport, bankvæsen, finansielle markedsinfrastrukturer, sundhed, drikkevand, spildevand, digital infrastruktur, offentlig forvaltning og rummet) og visse vigtige enheder, der opererer inden for de sektorer, der er opført i bilag II (post- og kurertjenester, affaldshåndtering, fremstilling, fremstilling og distribution af kemikalier, fødevareproduktion, -forarbejdning og -distribution, fremstillingsvirksomhed og digitale udbydere). Mikrovirksomheder og små enheder som omhandlet i Kommissionens henstilling 2003/361/EF af 6. maj 2003 er udelukket fra direktivets anvendelsesområde, undtagen udbydere af elektroniske kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester, tillidstjenesteudbydere, topdomænenavneregistraturer og offentlig forvaltning samt visse andre enheder såsom den eneste udbyder af en tjeneste i en medlemsstat. Nationale rammer for cybersikkerhed (artikel 5-11)

Medlemsstaterne skal vedtage en national cybersikkerhedsstrategi, der definerer de strategiske mål og passende politiske og reguleringsmæssige foranstaltninger med henblik på at opnå og opretholde et højt cybersikkerhedsniveau. Direktivet fastlægger også en ramme for koordineret underretning om sårbarheder og pålægger medlemsstaterne at udpege CSIRT'er, der skal fungere som betroede formidlere og lette samspillet mellem de underrettende enheder og producenter eller udbydere af IKT-produkter og -tjenester. ENISA skal udvikle og vedligeholde et europæisk sårbarhedsregister for de konstaterede sårbarheder. Medlemsstaterne skal indføre nationale rammer for styring af cybersikkerhedskriser, bl.a. ved at udpege nationale kompetente myndigheder med ansvar for håndteringen af væsentlige cybersikkerhedshændelser og -kriser. Medlemsstaterne skal også udpege en eller flere nationale kompetente myndigheder inden for cybersikkerhed til at varetage tilsynsopgaverne i henhold til dette direktiv og et nationalt centralt kontaktpunkt for cybersikkerhed (SPOC) til at varetage en forbindelsesfunktion for at sikre grænseoverskridende samarbejde mellem medlemsstaternes myndigheder. Medlemsstaterne skal også udpege CSIRT'er. Samarbejde (artikel 12-16) Ved direktivet nedsættes der en samarbejdsgruppe, der skal støtte og lette det strategiske samarbejde og udvekslingen af oplysninger mellem medlemsstaterne og udvikle tillid. Der oprettes også et CSIRT-netværk, der skal bidrage til udviklingen af tillid mellem medlemsstaterne og fremme et hurtigt og effektivt operationelt samarbejde. Der oprettes et europæisk netværk af cybersikkerhedsorganisationer (EU-CyCLONe) for at støtte den koordinerede håndtering af væsentlige cybersikkerhedshændelser og -kriser og sikre regelmæssig udveksling af oplysninger mellem medlemsstaterne og EU-institutionerne. ENISA skal i samarbejde med Kommissionen hvert andet år udsende en rapport om cybersikkerhedssituationen i Unionen. Kommissionen skal etablere et peerevalueringssystem, der giver mulighed for regelmæssige peerevalueringer af medlemsstaternes politikker for cybersikkerhed. Forpligtelser vedrørende risikostyring og rapportering i forbindelse med cybersikkerhed (artikel 17-23) I henhold til direktivet skal medlemsstaterne fastsætte bestemmelser om, at ledelsesorganer i alle enheder, der er omfattet af anvendelsesområdet, skal godkende de risikohåndteringsforanstaltninger vedrørende cybersikkerhed, der træffes af de respektive enheder, og følge specifik cybersikkerhedsrelateret uddannelse. Medlemsstaterne skal sikre, at enheder inden for anvendelsesområdet træffer passende og forholdsmæssige tekniske og organisatoriske foranstaltninger for at håndtere de cybersikkerhedsrisici, der er forbundet med sikkerheden i net- og informationssystemer. De skal også sikre, at enheder underretter de nationale kompetente myndigheder eller CSIRT'erne om enhver cybersikkerhedshændelse, der har en væsentlig indvirkning på leveringen af den tjeneste, de udbyder. Topdomænenavneregistraturer og enheder, der leverer domænenavnsregistreringstjenester for topdomænet, indsamler og vedligeholder nøjagtige og fuldstændige oplysninger om domænenavnsregistrering. Desuden er sådanne enheder forpligtet til at give lovlige adgangssøgende effektiv adgang til registreringsdata. Kompetence og registrering (artikel 24 og 25) Som hovedregel anses væsentlige og vigtige enheder for at være underlagt jurisdiktionen i den medlemsstat, hvor de leverer deres tjenester. Visse typer af enheder (udbydere af DNS-tjenester, topdomænenavneregistraturer, udbydere af cloud computing-tjenester, udbydere af datacentertjenester og udbydere af indholdsleveringsnetværk samt visse digitale udbydere) anses dog for at være underlagt jurisdiktionen i den medlemsstat, hvor de har deres hovedforretningssted i Unionen. Dette skal sikre, at sådanne enheder ikke stilles over for en lang række forskellige retlige krav, eftersom de i særlig høj grad leverer tjenesteydelser på tværs af grænserne. ENISA skal oprette og føre et register over den sidstnævnte type enheder. Udveksling af oplysninger (artikel 26 og 27) Medlemsstaterne fastsætter regler, der gør det muligt for enheder at deltage i udveksling af cybersikkerhedsrelaterede oplysninger inden for rammerne af specifikke ordninger for udveksling af cybersikkerhedsoplysninger i overensstemmelse med artikel 101 i TEUF. Desuden tillader medlemsstaterne enheder, der ikke er omfattet af dette direktiv, frivilligt at foretage underretninger om væsentlige hændelser, cybertrusler eller nærvedhændelser. Tilsyn og håndhævelse (artikel 28-34) De kompetente myndigheder skal føre tilsyn med de enheder, der er omfattet af direktivet, og navnlig sikre, at de overholder kravene til sikkerhed og underretning om hændelser. Der skelnes mellem en forudgående tilsynsordning for væsentlige enheder og en ordning for efterfølgende tilsyn med vigtige enheder, idet det senere kræves, at de kompetente myndigheder træffer foranstaltninger, når de får forelagt dokumentation for eller tegn på, at en vigtig enhed ikke opfylder kravene til sikkerhed og underretning om hændelser. Direktivet pålægger også medlemsstaterne at pålægge væsentlige og vigtige enheder administrative bøder og fastsætter visse maksimumsbøder.

Medlemsstaterne skal samarbejde og bistå hinanden efter behov, når enheder leverer tjenesteydelser i mere end én medlemsstat, eller når en enheds hovedvirksomhed eller dens repræsentant er beliggende i en bestemt medlemsstat, mens dens net- og informationssystemer er beliggende i en eller flere andre medlemsstater. 2020/0359 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen og om ophævelse af direktiv (EU) 2016/1148 (EØS-relevant tekst) EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR — under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114, under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg, under henvisning til udtalelse fra Regionsudvalget, efter den almindelige lovgivningsprocedure, og ud fra følgende betragtninger: (1)Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 tog sigte på at opbygge cybersikkerhedskapaciteter i hele Unionen, afbøde trusler mod net- og informationssystemer, der anvendes til at levere væsentlige tjenester i nøglesektorer, og sikre kontinuiteten i sådanne tjenester, når de står over for cybersikkerhedshændelser, og dermed bidrage til Unionens økonomi og samfund, så de kan fungere effektivt. (2)Siden ikrafttrædelsen af direktiv (EU) 2016/1148 er der gjort betydelige fremskridt med hensyn til at øge EU's modstandsdygtighed over for cybertrusler. Evalueringen af dette direktiv har vist, at det har fungeret som katalysator for den institutionelle og lovgivningsmæssige tilgang til cybersikkerhed i Unionen og har banet vejen for en betydelig holdningsændring. Direktivet har sikret færdiggørelsen af de nationale rammer ved at fastlægge nationale cybersikkerhedsstrategier, etablere nationale kapaciteter og gennemføre lovgivningsmæssige foranstaltninger, der omfatter væsentlige infrastrukturer og aktører, som hver medlemsstat har udpeget. Det har også bidraget til samarbejdet på EU-plan gennem oprettelsen af samarbejdsgruppen og et netværk af nationale enheder, der håndterer IT-sikkerhedshændelser ("CSIRT-netværket"). Uanset disse resultater har evalueringen af direktiv (EU) 2016/1148 afsløret iboende mangler, der forhindrer det i effektivt at tackle aktuelle og nye cybersikkerhedsudfordringer. (3)Net- og informationssystemer har udviklet sig til et centralt element i hverdagen med den hurtige digitale omstilling og forbundethed i samfundet, herunder i forbindelse med grænseoverskridende udvekslinger. Denne udvikling har ført til en udvidelse af antallet og typen af trusler mod cybersikkerheden og skabt nye udfordringer, som kræver tilpassede, koordinerede og innovative svar i alle medlemsstater. Antallet, omfanget, den avancerede karakter, hyppigheden og virkningen af cybersikkerhedshændelser er stigende og udgør en alvorlig trussel mod net- og informationssystemernes funktion. Som følge heraf kan cyberhændelser hindre udøvelsen af økonomiske aktiviteter i det indre marked, medføre økonomiske tab, underminere brugernes tillid og forårsage store skader på Unionens økonomi og samfund. Cybersikkerhedsberedskab og -effektivitet er derfor mere afgørende for et velfungerende indre marked end nogensinde før. (4)Retsgrundlaget for direktiv 1148/2016/EU var artikel 114 i traktaten om Den Europæiske Unions funktionsmåde (TEUF), hvis formål er det indre markeds oprettelse og funktion ved at styrke foranstaltninger til indbyrdes tilnærmelse af de nationale regler. De cybersikkerhedskrav, der pålægges enheder, som leverer tjenester eller økonomisk relevante aktiviteter, varierer betydeligt fra medlemsstat til medlemsstat med hensyn til typen af krav, detaljeringsgrad og tilsynsmetode. Disse forskelle medfører yderligere omkostninger og skaber vanskeligheder for virksomheder, der udbyder varer eller tjenesteydelser på tværs af grænserne. Krav, der stilles af en medlemsstat, og som er forskellige fra eller endog i konflikt med dem, der er pålagt af en anden medlemsstat, kan påvirke disse grænseoverskridende aktiviteter i væsentlig grad. Desuden vil muligheden for en suboptimal udformning eller gennemførelse af cybersikkerhedsstandarder i én medlemsstat sandsynligvis have konsekvenser for cybersikkerhedsniveauet i andre medlemsstater, navnlig i betragtning af de intense grænseoverskridende udvekslinger. Evalueringen af direktiv (EU) 2016/1148 har vist, at der er store forskelle i medlemsstaternes gennemførelse af det, herunder med hensyn til dets anvendelsesområde, hvis afgrænsning i vid udstrækning blev overladt til medlemsstaternes skøn. Direktiv (EU) 2016/1148 gav også medlemsstaterne meget vide skønsbeføjelser med hensyn til gennemførelsen af de sikkerheds- og hændelsesrapporteringsforpligtelser, der er fastsat deri. Disse forpligtelser blev derfor gennemført på vidt forskellige måder på nationalt plan. Lignende forskelle i gennemførelsen forekom i forhold til direktivets bestemmelser om tilsyn og håndhævelse. (5)Alle disse forskelle medfører en fragmentering af det indre marked og kan have en negativ indvirkning på dets funktion og navnlig påvirke den grænseoverskridende levering af tjenester og cyberrobustheden som følge af anvendelsen af forskellige standarder. Dette direktiv har til formål at fjerne sådanne store forskelle mellem medlemsstaterne, navnlig ved at fastsætte minimumsregler for, hvordan en koordineret reguleringsramme fungerer, ved at fastlægge mekanismer for effektivt samarbejde mellem de ansvarlige myndigheder i hver medlemsstat, ved at ajourføre listen over sektorer og aktiviteter, der er omfattet af cybersikkerhedsforpligtelser, og ved at tilvejebringe effektive retsmidler og sanktioner, der er afgørende for en effektiv håndhævelse af disse forpligtelser. Derfor bør direktiv (EU) 2016/1148 ophæves og erstattes af dette direktiv. (6)Dette direktiv er ikke til hinder for, at hver medlemsstat kan træffe de nødvendige foranstaltninger for at sikre beskyttelsen af sine væsentlige sikkerhedsinteresser, opretholde den offentlige orden og sikkerhed samt tillade efterforskning, afsløring og retsforfølgelse af strafbare handlinger i overensstemmelse med EU-retten. I henhold til artikel 346 i TEUF er ingen medlemsstat forpligtet til at meddele oplysninger, hvis udbredelse efter dens opfattelse ville stride mod dens væsentlige sikkerhedsinteresser. I den forbindelse er nationale regler og EU-regler om beskyttelse af fortrolige oplysninger, hemmeligholdelsesaftaler og uformelle hemmeligholdelsesaftaler, f.eks. Traffic Light Protocol, af betydning.

(7)Med ophævelsen af direktiv (EU) 2016/1148 bør anvendelsesområdet for de enkelte sektorer udvides til at omfatte en større del af økonomien i lyset af overvejelserne i betragtning 4-6. De sektorer, der er omfattet af direktiv (EU) 2016/1148, bør derfor udvides til at omfatte sektorer og tjenesteydelser af vital betydning for vigtige samfundsmæssige og økonomiske aktiviteter i det indre marked. Reglerne bør ikke være forskellige, alt efter om enhederne er operatører af væsentlige tjenester eller udbydere af digitale tjenester. Denne differentiering har vist sig at være forældet, da den ikke afspejler sektorernes eller tjenesteydelsernes reelle betydning for de samfundsmæssige og økonomiske aktiviteter i det indre marked. (8)I overensstemmelse med direktiv (EU) 2016/1148 havde medlemsstaterne ansvaret for at afgøre, hvilke enheder der opfylder kriterierne for at blive betragtet som operatører af væsentlige tjenester ("identifikationsproces"). For at fjerne de store forskelle mellem medlemsstaterne i denne henseende og garantere retssikkerhed med hensyn til risikostyringskravene og underretningsforpligtelserne for alle relevante enheder bør der fastsættes et ensartet kriterium for, hvilke enheder der er omfattet af dette direktivs anvendelsesområde. Dette kriterium bør bestå i anvendelsen af reglen om størrelsesloftet, ifølge hvilken alle mellemstore og store virksomheder, som omhandlet i Kommissionens henstilling 2003/361/EF, som opererer inden for de sektorer eller leverer den type tjenester, der er omfattet af dette direktiv, er omfattet af direktivets anvendelsesområde. Medlemsstaterne bør ikke være forpligtet til at opstille en liste over de enheder, der opfylder dette generelt gældende størrelsesrelaterede kriterium. (9)Små enheder eller mikroenheder, der opfylder visse kriterier, som indikerer, at de spiller en central rolle for medlemsstaternes økonomier eller samfund eller for bestemte sektorer eller typer af tjenesteydelser, bør dog også være omfattet af dette direktiv. Medlemsstaterne bør være ansvarlige for at opstille en liste over sådanne enheder og forelægge den for Kommissionen. (10)Kommissionen kan i samarbejde med samarbejdsgruppen udstede retningslinjer for gennemførelsen af de kriterier, der gælder for mikrovirksomheder og små virksomheder. (11)Afhængigt af hvilken sektor de opererer i, eller hvilken type tjeneste de leverer, bør de enheder, der er omfattet af dette direktiv, inddeles i to kategorier: væsentlige og vigtige. Denne kategorisering bør tage hensyn til sektorens eller tjenesteydelsens kritiske betydning samt graden af afhængighed af andre sektorer eller typer af tjenester. Både væsentlige og vigtige enheder bør være underlagt de samme risikostyringskrav og rapporteringsforpligtelser. Tilsyns- og sanktionsordningerne bør differentieres mellem disse to kategorier af enheder for at sikre en rimelig balance mellem krav og forpligtelser på den ene side og den administrative byrde, der følger af tilsynet med overholdelsen, på den anden side. (12)Sektorspecifik lovgivning og sektorspecifikke instrumenter kan bidrage til at sikre et højt cybersikkerhedsniveau, samtidig med at der fuldt ud tages hensyn til disse sektorers særlige og komplekse karakter. Hvis en sektorspecifik EU-retsakt kræver, at væsentlige eller vigtige enheder vedtager foranstaltninger til håndtering af cybersikkerhedsrisici eller foretager underretninger om hændelser eller væsentlige cybertrusler med en virkning, der mindst svarer til de forpligtelser, der er fastsat i dette direktiv, bør disse sektorspecifikke bestemmelser, herunder om tilsyn og håndhævelse, finde anvendelse. Kommissionen kan udstede retningslinjer for gennemførelsen af lex specialis. Dette direktiv udelukker ikke vedtagelsen af yderligere sektorspecifikke EU-retsakter vedrørende foranstaltninger til håndtering af cybersikkerhedsrisici og hændelsesunderretninger. Dette direktiv berører ikke de eksisterende gennemførelsesbeføjelser, der er tillagt Kommissionen inden for en række sektorer, herunder transport og energi. (13)Europa-Parlamentets og Rådets forordning XXXX/XXXX bør betragtes som en sektorspecifik EU-retsakt i forbindelse med dette direktiv for så vidt angår enheder i den finansielle sektor. Bestemmelserne i forordning XXXX/XXXX om risikostyringsforanstaltninger vedrørende informations- og kommunikationsteknologi (IKT), håndtering af IKT-relaterede hændelser og navnlig underretning om hændelser samt om afprøvning af digital operationel modstandsdygtighed, informationsdeling og IKT-tredjepartsrisiko bør finde anvendelse i stedet for bestemmelserne i dette direktiv. Medlemsstaterne bør derfor ikke anvende bestemmelserne i dette direktiv om forpligtelser til risikostyring og rapportering vedrørende cybersikkerhed, informationsdeling samt tilsyn og håndhævelse på finansielle enheder, der er omfattet af forordning XXXX/XXXX. Samtidig er det vigtigt at opretholde stærke forbindelser og udveksle oplysninger med den finansielle sektor i henhold til dette direktiv. Med henblik herpå giver forordning XXXX/XXXX alle finansielle tilsynsmyndigheder, de europæiske tilsynsmyndigheder (ESA'er) for den finansielle sektor og de nationale kompetente myndigheder i henhold til forordning XXXX/XXXX mulighed for at deltage i strategiske politiske drøftelser og teknisk arbejde i samarbejdsgruppen samt udveksle oplysninger og samarbejde med de centrale kontaktpunkter, der er udpeget i henhold til dette direktiv, og med de nationale CSIRT'er. De kompetente myndigheder i henhold til forordning XXXX/XXXX bør også fremsende oplysninger om større IKT-relaterede hændelser til de centrale kontaktpunkter, der er udpeget i henhold til dette direktiv. Desuden bør medlemsstaterne fortsat medtage den finansielle sektor i deres cybersikkerhedsstrategier, og nationale CSIRT'er kan dække den finansielle sektor i deres aktiviteter. (14)I betragtning af de indbyrdes forbindelser mellem cybersikkerhed og enheders fysiske sikkerhed bør der sikres en sammenhængende tilgang mellem Europa-Parlamentets og Rådets direktiv (EU) XXX/XXX og dette direktiv. Med henblik herpå bør medlemsstaterne sikre, at kritiske enheder og tilsvarende enheder i henhold til direktiv (EU) XXX/XXX betragtes som væsentlige enheder i henhold til dette direktiv. Medlemsstaterne bør også sikre, at deres cybersikkerhedsstrategier skaber en politisk ramme for øget koordinering mellem den kompetente myndighed i henhold til dette direktiv og den kompetente myndighed i henhold til direktiv (EU) XXX/XXX i forbindelse med udveksling af oplysninger om hændelser og cybertrusler og udøvelse af tilsynsopgaver. Myndigheder i henhold til begge direktiver bør samarbejde og udveksle oplysninger, navnlig i forbindelse med identifikation af kritiske enheder, cybertrusler, cybersikkerhedsrisici, hændelser, der påvirker kritiske enheder, samt om de cybersikkerhedsforanstaltninger, der træffes af kritiske enheder. Efter anmodning fra kompetente myndigheder i henhold til direktiv (EU) XXX/XXX bør kompetente myndigheder i henhold til dette direktiv have mulighed for at udøve deres tilsyns- og håndhævelsesbeføjelser over for en væsentlig enhed, der er udpeget som kritisk. Begge myndigheder bør samarbejde og udveksle oplysninger med henblik herpå. (15)Opretholdelse og bevarelse af et pålideligt, modstandsdygtigt og sikkert domænenavnesystem (DNS) er en afgørende faktor for at bevare internettets integritet og er afgørende for dets fortsatte og stabile drift, som den digitale økonomi og det digitale samfund er afhængige af. Derfor bør dette direktiv finde anvendelse på alle udbydere af DNS-tjenester i DNS-oversættelseskæden, herunder operatører af rodnavneservere, navneservere for topdomæner (TLD), autoritative navneservere til domænenavne og rekursive resolvere. (16)Cloud computing-tjenester bør omfatte tjenester, der giver mulighed for on demand-adgang og bred fjernadgang til en skalerbar og elastisk pulje af delelige og distribuerede computerressourcer. Disse computerressourcer omfatter ressourcer såsom netværk, servere og anden infrastruktur, operativsystemer, software, lagring, applikationer og tjenester. Ibrugtagningsmodellerne for cloud computing bør omfatte privat, samfundsmæssig, offentlig og hybrid cloud. Ovennævnte tjeneste- og ibrugtagningsmodeller har samme betydning som de tjeneste- og ibrugtagningsmodeller, der er defineret i ISO/IEC 17788: 2014-standarden. Cloud computing-brugerens mulighed for ensidigt selvforsynende databehandlingskapacitet, såsom servertid eller netlagring, uden nogen menneskelig interaktion fra udbyderen af cloud computing-tjenesters side, kan beskrives som on demand-administration. Udtrykket "bred fjernadgang" anvendes til at beskrive, at cloud-kapaciteten leveres over nettet og tilgås gennem mekanismer, der fremmer brugen af heterogene tynde eller tykke klientplatforme (herunder mobiltelefoner, tablets, bærbare computere og arbejdsstationer). Udtrykket "skalerbar" henviser til databehandlingsressourcer, der fordeles fleksibelt af udbyderen af cloud computing-tjenester, uanset ressourcernes geografiske placering, med henblik på at håndtere udsving i efterspørgslen. Udtrykket "elastisk pulje" bruges til at beskrive de IT-ressourcer, der tilvejebringes og stilles til rådighed alt efter efterspørgslen for hurtigt at øge eller mindske de tilgængelige ressourcer alt efter arbejdsbyrden. Udtrykket "delbar" bruges til at beskrive de IT-ressourcer, der leveres til flere brugere, som deler en fælles adgang til tjenesten, men hvor databehandlingen foretages særskilt for hver bruger, selv om tjenesten leveres fra samme elektroniske udstyr. Udtrykket "distribueret" anvendes til at beskrive de databehandlingsressourcer, der befinder sig på forskellige netforbundne computere eller enheder, og som kommunikerer og koordinerer indbyrdes ved at sende meddelelser. (17)I lyset af fremkomsten af innovative teknologier og nye forretningsmodeller forventes nye udrulnings- og tjenestemodeller for cloud computing at dukke op på markedet som reaktion på nye kundebehov. I denne forbindelse kan cloud computing-tjenester leveres i en meget distribueret form, endnu tættere på de steder, hvor dataene genereres eller indsamles, hvorved man bevæger sig væk fra den traditionelle model og i retning af en meget distribueret model ("edge computing"). (18)Tjenester, der udbydes af datacentertjenesteudbydere, leveres ikke altid i form af cloud computing-tjenester. Datacentre udgør derfor ikke altid en del af cloud computing-infrastrukturen. For at styre alle de risici, der er forbundet med sikkerheden i net- og informationssystemer, bør dette direktiv også omfatte udbydere af sådanne datacentertjenester, som ikke er cloud computing-tjenester. I dette direktiv bør begrebet "datacentertjeneste" omfatte levering af en tjeneste, der omfatter strukturer eller grupper af strukturer, som er beregnet til central indkvartering, sammenkobling og drift af informationsteknologi og netværksudstyr, der leverer datalagrings-, behandlings- og transporttjenester, samt alle faciliteter og infrastrukturer til energidistribution og miljøkontrol. Begrebet "datacentertjeneste" finder ikke anvendelse på interne datacentre, der ejes og drives af den pågældende enhed til eget brug. (19)Udbydere af posttjenester som omhandlet i Europa-Parlamentets og Rådets direktiv 97/67/EF samt udbydere af ekspres- og kurertjenester bør være omfattet af dette direktiv, hvis de leverer mindst ét led i postbefordringskæden og navnlig indsamling, sortering eller omdeling, herunder afhentning. Transporttjenester, der ikke udføres i forbindelse med et af disse trin, bør falde uden for posttjenesternes anvendelsesområde. (20)Denne voksende indbyrdes afhængighed er resultatet af et stadig mere grænseoverskridende og indbyrdes afhængighedsskabende net af tjenester, der anvender centrale infrastrukturer i hele Unionen inden for sektorerne energi, transport, digital infrastruktur, drikkevand og spildevand, sundhed, visse aspekter af den offentlige forvaltning samt rummet, for så vidt som leveringen af visse tjenester, der er afhængige af jordbaserede infrastrukturer, som ejes, forvaltes og drives enten af medlemsstaterne eller af private parter, derfor ikke omfatter infrastruktur, der ejes, forvaltes eller drives af eller på vegne af Unionen som en del af dens rumprogrammer. Disse indbyrdes afhængighedsforhold betyder, at enhver afbrydelse, selv en, der oprindeligt var begrænset til én enhed eller én sektor, kan have kaskadevirkninger mere generelt, hvilket potentielt kan føre til vidtrækkende og langvarige negative virkninger for leveringen af tjenester i hele det indre marked. Covid-19-pandemien har vist, at vores stadig mere indbyrdes afhængige samfund er sårbare over for risici med lav sandsynlighed. (21)I betragtning af forskellene i de nationale forvaltningsstrukturer og for at beskytte allerede eksisterende sektorspecifikke ordninger eller Unionens tilsyns- og tilsynsorganer bør medlemsstaterne kunne udpege mere end én national kompetent myndighed, der er ansvarlig for at udføre de opgaver, som er forbundet med sikkerheden i væsentlige og vigtige enheders net- og informationssystemer i henhold til dette direktiv. Medlemsstaterne bør kunne tildele en eksisterende myndighed denne rolle. (22)For at lette grænseoverskridende samarbejde og kommunikation mellem myndigheder og muliggøre en effektiv gennemførelse af dette direktiv er det nødvendigt, at hver medlemsstat udpeger et nationalt centralt kontaktpunkt med ansvar for koordinering af spørgsmål vedrørende sikkerheden i net- og informationssystemer og grænseoverskridende samarbejde på EU-plan. (23)De kompetente myndigheder eller CSIRT'erne bør modtage anmeldelser af hændelser fra enheder på en effektiv måde. De centrale kontaktpunkter bør have til opgave at videresende anmeldelser af hændelser til de centrale kontaktpunkter i andre berørte medlemsstater. Inden for medlemsstaternes myndigheder bør de centrale kontaktpunkter for at sikre, at der forefindes et enkelt kontaktpunkt i hver medlemsstat, også være adressaterne for relevante oplysninger om hændelser vedrørende enheder i den finansielle sektor fra de kompetente myndigheder i henhold til forordning XXXX/XXXX, som de i givet fald bør kunne fremsende til de relevante nationale kompetente myndigheder eller CSIRT'er i henhold til dette direktiv. (24)Medlemsstaterne bør være udstyret med både tilstrækkelig teknisk og organisatorisk kapacitet til at forebygge, detektere, reagere på og afhjælpe hændelser og risici i net- og informationssystemer. Medlemsstaterne bør derfor sikre sig, at de har velfungerende CSIRT'er, også kendt som IT-beredskabsenheder ("CERT'er"), som opfylder de væsentlige krav med henblik for at sikre effektive og kompatible kapaciteter til at reagere på hændelser og risici og til sikre et effektivt samarbejde på EU-plan. Med henblik på at styrke tillidsforholdet mellem enhederne og CSIRT'erne bør medlemsstaterne i tilfælde, hvor en CSIRT er en del af den kompetente myndighed, overveje en funktionel adskillelse mellem CSIRT'ernes operationelle opgaver, navnlig i forbindelse med udveksling af oplysninger og støtte til enhederne, og de kompetente myndigheders tilsynsaktiviteter. (25)For så vidt angår personoplysninger bør CSIRT'er i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) 2016/679 for så vidt angår personoplysninger på vegne af og efter anmodning fra en enhed i henhold til dette direktiv være i stand til at foretage en proaktiv scanning af de net- og informationssystemer, der anvendes til levering af deres tjenester. Medlemsstaterne bør tilstræbe at sikre et ensartet niveau af teknisk kapacitet for alle sektorspecifikke CSIRT'er. Medlemsstaterne kan anmode Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) om bistand til at udvikle nationale CSIRT'er. (26)I betragtning af betydningen af internationalt samarbejde om cybersikkerhed bør CSIRT'er kunne deltage i internationale samarbejdsnetværk i tillæg til de CSIRT-netværk, der er oprettet ved dette direktiv.

(27)I overensstemmelse med bilaget til Kommissionens henstilling (EU) 2017/1548 om koordineret reaktion på store cybersikkerhedshændelser og -kriser ("planen") skal en væsentlig hændelse forstås som en hændelse med en betydelig indvirkning på mindst to medlemsstater, eller hvis forstyrrende virkninger overstiger en medlemsstats kapacitet til at reagere på den. Alt efter årsag og virkning kan væsentlige hændelser eskalere og udvikle sig til fuldgyldige kriser, der forhindrer det indre markeds korrekte funktion. I betragtning af sådanne begivenheders vidtrækkende omfang og i de fleste tilfælde grænseoverskridende karakter bør medlemsstaterne og relevante EU-institutioner, -organer og -agenturer samarbejde på teknisk, operationelt og politisk plan for at koordinere indsatsen i hele Unionen. (28)Eftersom udnyttelsen af sårbarheder i net- og informationssystemer kan forårsage betydelige forstyrrelser og skader, er hurtig identifikation og afhjælpning af disse sårbarheder en vigtig faktor med hensyn til at reducere cybersikkerhedsrisikoen. Enheder, der udvikler sådanne systemer, bør derfor indføre passende procedurer til håndtering af sårbarheder, når de opdages. Da sårbarheder ofte opdages og indberettes (afsløres) af tredjeparter (underrettende enheder), bør producenten eller udbyderen af IKT-produkter eller -tjenester også indføre de nødvendige procedurer for modtagelse af sårbarhedsoplysninger fra tredjeparter. I denne forbindelse indeholder de internationale standarder ISO/IEC 30111 og ISO/IEC 29417 vejledning om henholdsvis håndtering af sårbarheder og offentliggørelse af sårbarheder. Hvad angår oplysninger om sårbarheder er koordinering mellem de underrettende enheder og producenter eller udbydere af IKT-produkter eller -tjenester særlig vigtig. Koordineret offentliggørelse af sårbarheder angiver en struktureret proces, hvorigennem sårbarheder indberettes til organisationer på en måde, der gør det muligt for organisationen at diagnosticere og afhjælpe sårbarheden, inden detaljerede sårbarhedsoplysninger videregives til tredjeparter eller offentligheden. Koordineret offentliggørelse af sårbarheder bør også omfatte koordinering mellem den underrettende enhed og organisationen med hensyn til tidspunktet for afhjælpning og offentliggørelse af sårbarheder. (29)Medlemsstaterne bør derfor træffe foranstaltninger til at fremme koordineret offentliggørelse af sårbarheder ved at fastlægge en relevant national politik. I denne forbindelse bør medlemsstaterne udpege en CSIRT til at påtage sig rollen som "koordinator", der fungerer som formidler mellem de underrettende enheder og producenter eller udbydere af IKT-produkter eller -tjenester, hvor det er nødvendigt. CSIRT-koordinatorens opgaver bør navnlig omfatte identifikation af og kontakt til berørte enheder, støtte til underrettende enheder, forhandling af tidsfrister for offentliggørelse og håndtering af sårbarheder, der påvirker flere organisationer (offentliggørelse af sårbarheder med flere parter). Hvis sårbarheder påvirker flere producenter eller udbydere af IKT-produkter eller -tjenester, der er etableret i mere end én medlemsstat, bør de udpegede CSIRT'er fra hver af de berørte medlemsstater samarbejde inden for CSIRT-netværket. (30)Adgang til korrekte og rettidige oplysninger om sårbarheder, der påvirker IKT-produkter og -tjenester, bidrager til en forbedret risikostyring i forbindelse med cybersikkerhed. I denne henseende er kilder til offentligt tilgængelige oplysninger om sårbarheder et vigtigt redskab for enheder og deres brugere, men også for nationale kompetente myndigheder og CSIRT'er. Derfor bør ENISA oprette et sårbarhedsregister, hvor væsentlige og vigtige enheder og deres leverandører samt enheder, der ikke er omfattet af dette direktivs anvendelsesområde, på frivillig basis kan afsløre sårbarheder og fremlægge de sårbarhedsoplysninger, der gør det muligt for brugerne at træffe passende afhjælpende foranstaltninger. (31)Selv om der findes lignende sårbarhedsregistre eller -databaser, hostes og vedligeholdes disse af enheder, der ikke er etableret i Unionen. Et europæisk sårbarhedsregister, der føres af ENISA, vil give større gennemsigtighed med hensyn til offentliggørelsesprocessen, inden sårbarheden offentliggøres officielt, og modstandsdygtighed i tilfælde af forstyrrelser eller afbrydelser af leveringen af tilsvarende tjenester. For at undgå dobbeltarbejde og tilstræbe komplementaritet i videst muligt omfang bør ENISA undersøge muligheden for at indgå strukturerede samarbejdsaftaler med lignende registre i tredjelandes jurisdiktioner. (32)Samarbejdsgruppen bør hvert andet år udarbejde et arbejdsprogram, der omfatter de foranstaltninger, som gruppen skal gennemføre for at nå sine mål og udføre sine opgaver. Tidsrammen for det første program, der vedtages i henhold til dette direktiv, bør tilpasses tidsrammen for det sidste program, der er vedtaget i henhold til direktiv (EU) 2016/1148, for at undgå potentielle afbrydelser af gruppens arbejde. (33)Når samarbejdsgruppen udarbejder vejledningsdokumenter, bør den konsekvent: kortlægge nationale løsninger og erfaringer, vurdere virkningen af samarbejdsgruppens resultater på nationale tilgange, drøfte gennemførelsesudfordringer og formulere specifikke anbefalinger, der skal tackles gennem bedre gennemførelse af eksisterende regler. (34)Samarbejdsgruppen bør fortsat være et fleksibelt forum og være i stand til at reagere på skiftende og nye politiske prioriteter og udfordringer, samtidig med at der tages hensyn til de disponible ressourcer. Den bør tilrettelægge regelmæssige fælles møder med relevante private interessenter fra hele Unionen for at drøfte gruppens aktiviteter og indsamle input om nye politiske udfordringer. For at styrke samarbejdet på EU-plan bør gruppen overveje at indbyde de EU-organer og -agenturer, der er involveret i cybersikkerhedspolitikken, såsom Det Europæiske Center til Bekæmpelse af IT-Kriminalitet (EC3), Den Europæiske Unions Luftfartssikkerhedsagentur (EASA) og Den Europæiske Unions Agentur for Rumprogrammet (EUSPA), til at deltage i dets arbejde. (35)De kompetente myndigheder og CSIRT'er bør have beføjelse til at deltage i udvekslingsordninger for embedsmænd fra andre medlemsstater for at forbedre samarbejdet. De kompetente myndigheder bør træffe de foranstaltninger, der er nødvendige for at sætte embedsmænd fra andre medlemsstater i stand til at spille en effektiv rolle i den kompetente myndigheds aktiviteter. (36)Unionen bør, hvor det er relevant, i overensstemmelse med artikel 218 i TEUF indgå internationale aftaler med tredjelande eller internationale organisationer, som giver disse mulighed for og tilrettelægger deres deltagelse i nogle af samarbejdsgruppens aktiviteter og CSIRT-netværket. Sådanne aftaler bør sikre tilstrækkelig databeskyttelse. (37)Medlemsstaterne bør bidrage til oprettelsen af EU's krisereaktionsramme for cybersikkerhed som fastsat i henstilling (EU) 2017/1584 gennem de eksisterende samarbejdsnetværk, navnlig netværket af cyberkrisecentre (EU-CyCLONe), CSIRT-netværket og samarbejdsgruppen. EU-CyCLONe og CSIRT-netværket bør samarbejde på grundlag af proceduremæssige ordninger, der fastlægger de nærmere bestemmelser for dette samarbejde. EU-CyCLONe's forretningsorden bør yderligere præcisere, hvordan netværket skal fungere, herunder, men ikke begrænset til, roller, samarbejdsmetoder, interaktion med andre relevante aktører og modeller for informationsudveksling samt kommunikationsmidler. Med hensyn til krisestyring på EU-plan bør de relevante parter være afhængige af de integrerede ordninger for politisk kriserespons (IPCR). Kommissionen bør anvende den tværsektorielle krisekoordinationsproces på højt niveau i ARGUS til dette formål. Hvis krisen har en vigtig ekstern dimension eller berører den fælles sikkerheds- og forsvarspolitik (FSFP), bør EU-Udenrigstjenestens krisereaktionsmekanisme (CRM) aktiveres. (38)I dette direktiv henviser udtrykket "risiko" til risikoen for tab eller afbrydelse som følge af en cybersikkerhedshændelse og bør udtrykkes som en kombination af omfanget af et sådant tab eller en sådan afbrydelse og sandsynligheden for, at hændelsen indtræffer. (39)I dette direktiv forstås udtrykket "nærvedhændelse" som en begivenhed, der potentielt kunne have forvoldt skade, men hvor det lykkedes at forhindre, at den indtraf fuldt ud. (40)Risikostyringsforanstaltninger bør omfatte foranstaltninger til at identificere alle risici for hændelser, forebygge, detektere og håndtere hændelser og begrænse deres konsekvenser. Sikkerheden i net- og informationssystemer bør omfatte sikkerheden for lagrede, overførte og behandlede data. (41)Med henblik på at undgå, at operatører af væsentlige og vigtige enheder pålægges en uforholdsmæssig stor økonomisk og administrativ byrde, bør kravene til risikohåndtering stå i et rimeligt forhold til den risiko, der er forbundet med det pågældende net- og informationssystem, under hensyntagen til sådanne foranstaltningers aktuelle stade. (42)Væsentlige og vigtige enheder bør garantere sikkerheden i de net- og informationssystemer, som de anvender i forbindelse med deres aktiviteter. Der er primært tale om private net- og informationssystemer, der forvaltes af deres interne IT-personale, eller hvis sikkerhed er blevet outsourcet. Kravene til risikostyring og rapportering vedrørende cybersikkerhed i henhold til dette direktiv bør finde anvendelse på de relevante væsentlige og vigtige enheder, uanset om de udfører vedligeholdelsen af deres net- og informationssystemer internt eller outsourcer den. (43)Håndtering af cybersikkerhedsrisici, der stammer fra en enheds forsyningskæde og dens forhold til sine leverandører, er særlig vigtig i betragtning af udbredelsen af hændelser, hvor enheder er blevet ofre for cyberangreb, og hvor ondsindede aktører har været i stand til at bringe sikkerheden i en enheds net- og informationssystemer i fare ved at udnytte sårbarheder, der påvirker tredjepartsprodukter og -tjenester. Enheder bør derfor vurdere og tage hensyn til den generelle kvalitet af deres leverandørers og tjenesteudbyderes produkter og cybersikkerhedspraksis, herunder deres sikre udviklingsprocedurer. (44)Blandt tjenesteudbydere spiller forvaltede udbydere af sikkerhedstjenester (MSSP'er) på områder som reaktion på hændelser, penetrationstest, sikkerhedsrevisioner og konsulentbistand en særlig vigtig rolle med hensyn til at bistå enheder i deres bestræbelser på at opdage og reagere på hændelser. Disse MSSP'er har imidlertid også selv været mål for cyberangreb og udgør i kraft af deres tætte integration i operatørernes aktiviteter en særlig cybersikkerhedsrisiko. Enheder bør derfor udvise øget omhu ved udvælgelsen af en MSSP. (45)Enheder bør også tage højde for cybersikkerhedsrisici, der stammer fra deres samspil og forbindelser med andre interessenter inden for et bredere økosystem. Navnlig bør enheder træffe passende foranstaltninger til at sikre, at deres samarbejde med akademiske institutioner og forskningsinstitutioner finder sted i overensstemmelse med deres cybersikkerhedspolitikker og følger god praksis med hensyn til sikker adgang til og formidling af oplysninger generelt og beskyttelse af intellektuel ejendom i særdeleshed. På samme måde bør enhederne i betragtning af dataenes betydning og værdi for enhedernes aktiviteter, træffe alle passende cybersikkerhedsforanstaltninger, når de benytter sig af datatransformations- og dataanalysetjenester fra tredjeparter. (46)For yderligere at håndtere centrale risici i forsyningskæden og bistå enheder, der opererer i sektorer, som er omfattet af dette direktiv, med at håndtere cybersikkerhedsrisici i forsyningskæden og vedrørende leverandører hensigtsmæssigt, bør samarbejdsgruppen, der involverer relevante nationale myndigheder, i samarbejde med Kommissionen og ENISA foretage koordinerede sektorbaserede risikovurderinger af forsyningskæden, som det allerede er sket for 5G-net i henhold til henstilling (EU) 2019/534 om cybersikkerhed i 5G-net med henblik på inden for hver enkelt sektor at identificere de kritiske IKT-tjenester, -systemer eller -produkter, relevante trusler og sårbarheder.

(47)Ved risikovurderingen af forsyningskæden bør der i lyset af kendetegnene ved den pågældende sektor tages hensyn til både tekniske og, hvor det er relevant, ikketekniske faktorer, herunder dem, der er defineret i henstilling (EU) 2019/534, i den EU-dækkende koordinerede risikovurdering af 5G-netsikkerhed og i EU-værktøjskassen om 5G-cybersikkerhed, som samarbejdsgruppen er nået til enighed om. For at udpege de forsyningskæder, der bør gøres til genstand for en koordineret risikovurdering, bør følgende kriterier tages i betragtning: i) i hvilket omfang væsentlige og vigtige enheder anvender og er afhængige af specifikke kritiske IKT-tjenester, -systemer eller -produkter, ii) relevansen af specifikke kritiske IKT-tjenester, -systemer eller -produkter til udførelse af kritiske eller følsomme funktioner, herunder behandling af personoplysninger, iii) adgangen til alternative IKT-tjenester, -systemer eller -produkter, iv) modstandsdygtigheden i den samlede forsyningskæde for IKT-tjenester, -systemer eller -produkter over for afbrydelser og v) for nye IKT-tjenester, -systemer eller -produkter, deres potentielle fremtidige betydning for enhedernes aktiviteter. (48)For at strømline de retlige forpligtelser, der pålægges udbydere af offentlige elektroniske kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester og tillidstjenesteydere i forbindelse med sikkerheden i deres net- og informationssystemer, og for at gøre det muligt for disse enheder og deres respektive kompetente myndigheder at drage fordel af de retlige rammer, der er fastsat i dette direktiv (herunder udpegelse af en CSIRT, der er ansvarlig for risiko- og hændelseshåndtering, kompetente myndigheders og organers deltagelse i samarbejdsgruppens og CSIRT-netværkets arbejde), bør de være omfattet af dette direktivs anvendelsesområde. De tilsvarende bestemmelser i Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 og Europa-Parlamentets og Rådets direktiv (EU) 2018/1972 vedrørende indførelse af sikkerhedskrav og underretningspligt for disse typer enheder bør derfor ophæves. Reglerne om rapporteringsforpligtelser bør ikke berøre forordning (EU) 2016/679 og Europa-Parlamentets og Rådets direktiv 2002/58/EF. (49)Hvor det er hensigtsmæssigt og for at undgå unødige afbrydelser, bør de kompetente myndigheder med ansvar for tilsyn og håndhævelse fortsat anvende eksisterende nationale retningslinjer og national lovgivning, der er vedtaget med henblik på gennemførelse af reglerne vedrørende sikkerhedsforanstaltninger i artikel 40, stk. 1, i direktiv (EU) 2018/1972, samt af kravene i artikel 40, stk. 2, i nævnte direktiv om parametre vedrørende en hændelses indvirkning. (50)I betragtning af nummeruafhængige interpersonelle kommunikationstjenesters stigende betydning er det nødvendigt at sikre, at sådanne tjenester også er omfattet af passende sikkerhedskrav i lyset af deres særlige karakter og økonomiske betydning. Leverandører af sådanne tjenester bør således også garantere et sikkerhedsniveau for net- og informationssystemer, der står i forhold til risikoen. Da udbydere af nummeruafhængige interpersonelle kommunikationstjenester normalt ikke udøver egentlig kontrol over transmissionen af signaler via net, kan risikoen i forbindelse med disse tjenester i visse henseender anses for at være lavere end i forbindelse med traditionelle elektroniske kommunikationstjenester. Det samme gælder interpersonelle kommunikationstjenester, der anvender numre, og som ikke udøver faktisk kontrol over signaltransmission. (51)Det indre marked er mere afhængigt af internettets funktion end nogensinde før. Næsten alle væsentlige og vigtige enheders tjenester er afhængige af tjenester, der leveres over internettet. For at sikre en problemfri levering af tjenester, der udbydes af væsentlige og vigtige enheder, er det vigtigt, at offentlige elektroniske kommunikationsnet, som f.eks. internetbasisnettet eller undersøiske kommunikationskabler, har indført passende cybersikkerhedsforanstaltninger og foretager underretninger om hændelser i forbindelse hermed. (52)Hvor det er relevant, bør enheder underrette deres tjenestemodtagere om særlige og væsentlige trusler og om de foranstaltninger, de kan træffe for at afbøde den deraf følgende risiko for dem selv. Kravet om at underrette disse modtagere om sådanne trusler bør ikke fritage enhederne for forpligtelsen til for egen regning at træffe passende og øjeblikkelige foranstaltninger til at forebygge eller afhjælpe eventuelle cybertrusler og genoprette tjenestens normale sikkerhedsniveau. Sådanne oplysninger om sikkerhedstrusler bør stilles gratis til rådighed for modtagerne. (53)Det gælder navnlig, at udbydere af offentlige elektroniske kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester bør informere modtagerne af tjenesten om særlige og væsentlige trusler og om, hvordan de kan sikre deres kommunikation, f.eks. ved at anvende bestemte typer software eller krypteringsteknologier. (54)For at beskytte sikkerheden i elektroniske kommunikationsnet og -tjenester bør brugen af kryptering, navnlig end-to-end-kryptering, fremmes og om nødvendigt være obligatorisk for udbydere af sådanne tjenester og net i overensstemmelse med principperne om sikkerhed og privatlivsbeskyttelse gennem standardindstillinger og indbygget privatlivsbeskyttelse med henblik på artikel 18. Brugen af end-to-end-kryptering bør forenes med medlemsstaternes beføjelser til at sikre beskyttelsen af deres væsentlige sikkerhedsinteresser og den offentlige sikkerhed og til at muliggøre efterforskning, afsløring og retsforfølgning af strafbare handlinger i overensstemmelse med EU-retten. Løsninger for lovlig adgang til oplysninger i end-to-end-krypteret kommunikation bør opretholde krypteringens effektivitet med hensyn til at beskytte privatlivets fred og kommunikationssikkerheden og samtidig sikre en effektiv bekæmpelse af kriminalitet. (55)I dette direktiv fastlægges en totrinstilgang for underretning om hændelser med henblik på at finde den rette balance mellem på den ene side hurtig indberetning, der bidrager til at afbøde den potentielle spredning af hændelser og giver enheder mulighed for at søge støtte, og på den anden side grundig indberetning, der udleder værdifulde erfaringer af individuelle hændelser og med tiden forbedrer individuelle virksomheders og hele sektorers modstandsdygtighed over for cybertrusler. Hvis enheder bliver opmærksomme på en hændelse, bør de være forpligtet til at indsende en første underretning inden for 24 timer efterfulgt af en endelig rapport senest en måned efter. Den første underretning bør kun indeholde de oplysninger, der er strengt nødvendige for at gøre de kompetente myndigheder opmærksomme på hændelsen og give enheden mulighed for at søge bistand, hvis det er nødvendigt. En sådan underretning bør, hvor det er relevant, angive, om hændelsen formodes at være forårsaget af ulovlige eller ondsindede handlinger. Medlemsstaterne bør sikre, at kravet om at foretage denne første underretning ikke fjerner den underrettende enheds ressourcer fra aktiviteter vedrørende håndtering af hændelser, der bør prioriteres. For yderligere at forhindre, at forpligtelser til underretning om hændelser enten omdirigerer ressourcer fra håndtering af hændelser eller på anden måde kan bringe enhedernes indsats i den forbindelse i fare, bør medlemsstaterne også fastsætte, at den pågældende enhed i behørigt begrundede tilfælde og efter aftale med de kompetente myndigheder eller CSIRT'en kan afvige fra fristerne på 24 timer for den første underretning og en måned for den endelige rapport. (56)Væsentlige og vigtige enheder befinder sig ofte i en situation, hvor en bestemt hændelse på grund af dens karakteristika skal indberettes til forskellige myndigheder som følge af underretningspligten i forskellige retsakter. Sådanne tilfælde medfører yderligere byrder og kan også føre til usikkerhed med hensyn til formatet af og procedurerne for sådanne meddelelser. Med henblik herpå og med henblik på at forenkle indberetningen af sikkerhedshændelser bør medlemsstaterne oprette et fælles kontaktpunkt for alle meddelelser, der kræves i henhold til dette direktiv og også i henhold til anden EU-lovgivning såsom forordning (EU) 2016/679 og direktiv 2002/58/EF. ENISA bør i samarbejde med samarbejdsgruppen udvikle fælles underretningsmodeller ved hjælp af retningslinjer, der vil forenkle og strømline de underretningsoplysninger, der kræves i henhold til EU-retten, og mindske byrderne for virksomhederne. (57)Hvis der er mistanke om, at en hændelse har forbindelse til alvorlige kriminelle aktiviteter i henhold til EU-retten eller national ret, bør medlemsstaterne opfordre væsentlige og vigtige enheder til på grundlag af gældende strafferetsplejeregler i overensstemmelse med EU-retten at indberette hændelser af formodet alvorlig kriminel karakter til de relevante retshåndhævende myndigheder. Hvor det er relevant, og uden at det berører de regler om beskyttelse af personoplysninger, der gælder for Europol, er det ønskeligt, at EC3 og ENISA letter koordineringen mellem de kompetente myndigheder og de retshåndhævende myndigheder i forskellige medlemsstater. (58)Personoplysninger bliver i mange tilfælde kompromitteret som følge af hændelser. I denne forbindelse bør de kompetente myndigheder samarbejde og udveksle oplysninger om alle relevante spørgsmål med databeskyttelsesmyndighederne og tilsynsmyndighederne i henhold til direktiv 2002/58/EF. (59)Det er afgørende at vedligeholde nøjagtige og fuldstændige databaser over domænenavne og registreringsdata (såkaldte "WHOIS-data") og give lovlig adgang til sådanne data for at sikre DNS'ens sikkerhed, stabilitet og modstandsdygtighed, hvilket igen bidrager til et højt fælles cybersikkerhedsniveau i Unionen. Hvis behandlingen omfatter personoplysninger, skal denne behandling være i overensstemmelse med EU's databeskyttelseslovgivning. (60)Offentlige myndigheders, herunder kompetente myndigheder i henhold til EU-retten eller national ret med henblik på forebyggelse, efterforskning eller retsforfølgning af strafbare handlinger, CERT'er, CSIRT'er og for så vidt angår deres kunders data til udbydere af elektroniske kommunikationsnet og -tjenester og udbydere af cybersikkerhedsteknologier og -tjenester, der handler på vegne af disse kunder, mulighed for at tilgå og få rettidig adgang til disse data er afgørende for at forebygge og bekæmpe misbrug af domænenavnesystemet, navnlig for at forebygge, opdage og reagere på cybersikkerhedshændelser. En sådan adgang bør ske i overensstemmelse med EU's databeskyttelseslovgivning, for så vidt som den vedrører personoplysninger. (61)For at sikre, at der er adgang til nøjagtige og fuldstændige data til registrering af domænenavne, bør topdomæneregistraturer og enheder, der leverer tjenester til registrering af domænenavne (såkaldte registratorer), indsamle og garantere integriteten og tilgængeligheden af registreringsdata for domænenavne. Topdomæneregistraturer og enheder, der leverer domænenavneregistreringstjenester for topdomænet, bør navnlig fastlægge politikker og procedurer for indsamling og vedligeholdelse af nøjagtige og fuldstændige registreringsdata samt for at forhindre og korrigere unøjagtige registreringsdata i overensstemmelse med EU's databeskyttelsesregler. (62)Topdomæneregistraturer og enheder, der leverer tjenester til registrering af domænenavne for dem, bør offentliggøre oplysninger om registrering af domænenavne, der falder uden for anvendelsesområdet for EU's databeskyttelsesregler, såsom data, der vedrører juridiske personer. Topdomæneregistraturer og enheder, der leverer domænenavneregistreringstjenester for topdomænet, bør også give legitime adgangssøgende lovlig adgang til specifikke domænenavnsregistreringsdata om fysiske personer i overensstemmelse med EU's databeskyttelseslovgivning. Medlemsstaterne bør sikre, at topdomæneregistraturer og enheder, der udbyder tjenester til registrering af domænenavne for dem, uden unødig forsinkelse besvarer anmodninger fra legitime adgangssøgende om videregivelse af oplysninger om registrering af domænenavne. Topdomæneregistraturer og de enheder, der leverer registreringstjenester for domænenavne til dem, bør fastlægge politikker og procedurer for offentliggørelse og fremlæggelse af registreringsdata, herunder serviceleveranceaftaler til behandling af anmodninger om adgang fra legitime adgangssøgende. Adgangsproceduren kan også omfatte brug af en grænseflade, en portal eller et andet teknisk værktøj til at tilvejebringe et effektivt system til anmodning om og adgang til registreringsdata. Med henblik på at fremme en harmoniseret praksis i hele det indre marked kan Kommissionen vedtage retningslinjer for sådanne procedurer, uden at dette berører Det Europæiske Databeskyttelsesråds beføjelser. (63)Alle væsentlige og vigtige enheder i henhold til dette direktiv bør henhøre under jurisdiktionen i den medlemsstat, hvor de leverer deres tjenester. Hvis enheden leverer tjenester i mere end én medlemsstat, bør den henhøre under hver af disse medlemsstaters særskilte og parallelle jurisdiktion. De kompetente myndigheder i disse medlemsstater bør samarbejde, yde gensidig bistand til hinanden og, hvor det er relevant, gennemføre fælles tilsynsforanstaltninger. (64)For at tage hensyn til den grænseoverskridende karakter af DNS-tjenesteudbyderes tjenester og operationer, topdomænenavneregistraturer, udbydere af indholdsleveringsnetværk, udbydere af cloud computing-tjenester, datacentertjenesteudbydere og digitale udbydere bør kun én medlemsstat have jurisdiktion over disse enheder. Jurisdiktionen bør tillægges den medlemsstat, hvor den pågældende enhed har sit hovedsæde i Unionen. Etableringskriteriet i dette direktiv indebærer faktisk udøvelse af virksomhed gennem faste ordninger. De pågældende ordningers juridiske form, hvad enten der er tale om en filial eller et datterselskab med status som juridisk person, har ikke afgørende betydning i denne forbindelse. Dette kriterium bør ikke afhænge af, hvorvidt net- og informationssystemerne fysisk befinder sig på et givent sted. Tilstedeværelsen og anvendelsen af sådanne systemer udgør ikke i sig selv et sådant hjemsted og er derfor ikke et kriterium for fastlæggelse af hjemstedet. Hovedvirksomheden bør være det sted, hvor beslutningerne vedrørende foranstaltninger til styring af cybersikkerhedsrisikoen træffes i Unionen. Dette vil typisk svare til placeringen af selskabernes centrale administration i Unionen. Hvis sådanne beslutninger ikke træffes i Unionen, bør hovedvirksomheden anses for at befinde sig i de medlemsstater, hvor enheden har en virksomhed med det største antal ansatte i Unionen. Når tjenesterne udføres af en gruppe af virksomheder, bør den kontrollerende virksomheds hovedvirksomhed anses for at være gruppen af virksomheders hovedvirksomhed. (65)I tilfælde, hvor en DNS-tjenesteudbyder, et topdomænenavneregistratur, en udbyder af indholdsudsendelsesnetværk, en udbyder af cloud computing-tjenester, en datacentertjenesteudbyder og en digital udbyder, der ikke er etableret i Unionen, udbyder tjenester i Unionen, bør denne udpege en repræsentant. Med henblik på at afgøre, om en sådan udbyder af digitale tjenester tilbyder tjenester i Unionen, bør det fastslås, om det er åbenbart, at udbyderen af digitale tjenester påtænker at tilbyde tjenester til personer i en eller flere medlemsstater. Alene det forhold, at der i Unionen er adgang til udbyderen af digitale tjenesters eller en mellemmands websted eller til en e-mailadresse og andre kontaktoplysninger, eller at der benyttes et sprog, som almindeligvis benyttes i det tredjeland, hvor enheden er etableret, er ikke tilstrækkeligt til at fastslå en sådan hensigt. Imidlertid kan faktorer såsom anvendelse af et sprog eller en valuta, der almindeligvis anvendes i en eller flere medlemsstater med mulighed for at bestille tjenester på det pågældende sprog, eller omtale af kunder eller brugere, der befinder sig i Unionen, gøre det åbenbart, at udbyderen af enhed påtænker at tilbyde tjenester i Unionen. Repræsentanten bør handle på vegne af enheden, og kompetente myndigheder eller CSIRT'er bør kunne kontakte repræsentanten. Repræsentanten bør udtrykkeligt udpeges ved et skriftligt mandat fra udbyderen af digitale tjenester til at handle på sidstnævntes vegne for så vidt angår sidstnævntes forpligtelser i medfør af dette direktiv, herunder underretning om hændelser. (66)Hvis oplysninger, der betragtes som klassificerede i henhold til national ret eller EU-retten, udveksles, indberettes eller på anden måde deles i henhold til bestemmelserne i dette direktiv, bør de tilsvarende specifikke regler for håndtering af klassificerede oplysninger finde anvendelse.

(67)I takt med at cybertruslerne bliver mere komplekse og sofistikerede, er gode detektions- og forebyggelsesforanstaltninger i høj grad afhængige af regelmæssig udveksling af trussels- og sårbarhedsefterretninger mellem enheder. Informationsudveksling bidrager til øget bevidsthed om cybertrusler, hvilket igen styrker finansielle enheders evne til at forhindre trusler i at blive til faktiske hændelser og sætter enhederne i stand til bedre at inddæmme virkningerne af hændelser og foretage en mere effektiv genopretning. Da der ikke findes nogen retningslinjer på EU-plan, synes flere faktorer at have hæmmet en sådan udveksling af efterretninger, navnlig usikkerhed om foreneligheden med databeskyttelsesregler, antitrustregler og regler om ansvar. (68)Enheder bør tilskyndes til i fællesskab at øge deres individuelle viden og praktiske erfaring på strategisk, taktisk og operationelt plan med henblik på at styrke deres kapacitet til i tilstrækkeligt omfang at vurdere, overvåge, forsvare sig mod og reagere på cybertrusler. Det er derfor nødvendigt at gøre det muligt at etablere mekanismer på EU-plan for frivillige ordninger for udveksling af oplysninger. Med henblik herpå bør medlemsstaterne aktivt støtte og tilskynde også relevante enheder, der ikke er omfattet af dette direktivs anvendelsesområde, til at deltage i sådanne informationsudvekslingsmekanismer. Disse mekanismer bør gennemføres i fuld overensstemmelse med Unionens konkurrenceregler og EU-rettens regler om databeskyttelse. (69)Behandling af personoplysninger, i det omfang det er strengt nødvendigt og står i et rimeligt forhold til målet om at sikre net- og informationssikkerhed hos enheder, offentlige myndigheder, CERT'er, CSIRT'er og udbydere af sikkerhedsteknologier og -tjenester, bør udgøre en legitim interesse for den pågældende dataansvarlige, jf. forordning (EU) 2016/679. Dette bør omfatte foranstaltninger vedrørende forebyggelse, opdagelse, analyse og reaktion på hændelser, foranstaltninger til at øge bevidstheden i forbindelse med specifikke cybertrusler, udveksling af oplysninger i forbindelse med afhjælpning af sårbarheder og koordineret videregivelse samt frivillig udveksling af oplysninger om disse hændelser samt cybertrusler og sårbarheder, kompromitteringsindikatorer, taktikker, teknikker og procedurer, cybersikkerhedsadvarsler og konfigurationsværktøjer. Sådanne foranstaltninger kan kræve behandling af følgende typer personoplysninger: IP-adresser, uniform resources locators (URL'er), domænenavne og e-mailadresser. (70)For at styrke de tilsynsbeføjelser og -foranstaltninger, der bidrager til at sikre effektiv overholdelse, bør dette direktiv indeholde en minimumsliste over tilsynsforanstaltninger og -midler, hvorigennem de kompetente myndigheder kan føre tilsyn med væsentlige og vigtige enheder. Desuden bør der ved dette direktiv indføres en differentiering af tilsynsordningen mellem væsentlige og vigtige enheder med henblik på at sikre en rimelig balance mellem forpligtelser for både enheder og kompetente myndigheder. Væsentlige enheder bør derfor være underlagt en fuldt udbygget tilsynsordning (forudgående og efterfølgende), mens vigtige enheder bør være underlagt en lempelig tilsynsordning, som kun gælder efterfølgende. For sidstnævnte betyder dette, at vigtige enheder ikke systematisk bør dokumentere overholdelsen af kravene for styring af cybersikkerhedsrisici, mens de kompetente myndigheder bør anvende en reaktiv efterfølgende tilgang til tilsyn og dermed ikke have en generel forpligtelse til at føre tilsyn med disse enheder. (71)For at gøre håndhævelsen effektiv bør der fastlægges en minimumsliste over administrative sanktioner for brud på forpligtelserne vedrørende styring af cybersikkerhedsrisici og rapportering i dette direktiv, som opstiller en klar og konsekvent ramme for sådanne sanktioner i hele Unionen. Der bør tages behørigt hensyn til overtrædelsens art, grovhed og varighed, den faktiske skade eller de lidte tab eller potentielle skader eller tab, der kunne være blevet udløst, overtrædelsens forsætlige eller uagtsomme karakter, de foranstaltninger, der er truffet for at forebygge eller begrænse den lidte skade og/eller de lidte tab, graden af ansvar eller eventuelle relevante tidligere overtrædelser, graden af samarbejde med den kompetente myndighed og enhver anden skærpende eller formildende omstændighed. Pålæggelse af sanktioner, herunder administrative bøder, bør være omfattet af fornødne proceduremæssige garantier i overensstemmelse med de generelle principper i EU-retten og Den Europæiske Unions charter om grundlæggende rettigheder, herunder effektiv retsbeskyttelse og en retfærdig rettergang. (72)For at sikre en effektiv håndhævelse af de forpligtelser, der er fastsat i dette direktiv, bør hver kompetent myndighed have beføjelse til at pålægge eller anmode om pålæggelse af administrative bøder. (73)Når en virksomhed pålægges administrative bøder, forstås en virksomhed i denne forbindelse som en virksomhed som omhandlet i artikel 101 og 102 i TEUF. Når personer, der ikke er en virksomhed, pålægges administrative bøder, bør tilsynsmyndigheden i forbindelse med fastsættelsen af bødestørrelsen tage hensyn til det generelle indkomstniveau i den pågældende medlemsstat og personens økonomiske situation. Det bør være op til medlemsstaterne at bestemme, om og i hvilket omfang de offentlige myndigheder bør kunne pålægges administrative bøder. Pålæggelse af en administrativ bøde berører ikke de kompetente myndigheders anvendelse af andre beføjelser eller andre sanktioner, der er fastsat i de nationale regler til gennemførelse af dette direktiv. (74)Medlemsstaterne bør kunne fastsætte regler om strafferetlige sanktioner for overtrædelse af de nationale regler til gennemførelse af dette direktiv. Pålæggelse af strafferetlige sanktioner for overtrædelse af sådanne nationale regler og tilknyttede administrative sanktioner bør dog ikke føre til et brud på ne bis in idem-princippet som fortolket af EU-Domstolen. (75)Når dette direktiv ikke harmoniserer administrative sanktioner eller om nødvendigt i andre tilfælde, f.eks. i tilfælde af alvorlige overtrædelser af forpligtelser, der er fastsat i dette direktiv, bør medlemsstaterne indføre en ordning, der giver mulighed for at pålægge sanktioner, som er effektive, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning. Sanktionernes art, strafferetlige eller administrative, bør fastsættes i medlemsstaternes nationale ret. (76)For yderligere at styrke effektiviteten og den afskrækkende virkning af de sanktioner, der finder anvendelse på overtrædelser af forpligtelser, der er fastsat i henhold til dette direktiv, bør de kompetente myndigheder have beføjelse til at anvende sanktioner, der består i at suspendere en certificering eller tilladelse vedrørende en væsentlig enheds tjenester eller dele heraf og indføre et midlertidigt forbud mod en fysisk persons udøvelse af ledelsesfunktioner. I betragtning af deres alvor og indvirkning på enhedernes aktiviteter og i sidste ende på deres forbrugere bør sådanne sanktioner kun anvendes proportionalt med overtrædelsens alvor og under hensyntagen til de særlige omstændigheder i den enkelte sag, herunder overtrædelsens forsætlige eller uagtsomme karakter, foranstaltninger, der træffes for at forebygge eller begrænse den lidte skade og/eller de lidte tab. Sådanne sanktioner bør kun anvendes som ultima ratio, dvs. kun efter at de øvrige relevante håndhævelsesforanstaltninger, der er fastsat i dette direktiv, er udtømt, og kun indtil de enheder, de pålægges, træffer de nødvendige foranstaltninger for at afhjælpe manglerne eller opfylde kravene fra den kompetente myndighed, for hvilken sådanne sanktioner er blevet anvendt. Pålæggelse af sådanne sanktioner skal være underlagt fornødne proceduremæssige garantier i overensstemmelse med de generelle principper i EU-retten og Den Europæiske Unions charter om grundlæggende rettigheder, herunder effektiv retsbeskyttelse, retfærdig rettergang, uskyldsformodning og retten til et forsvar. (77)Dette direktiv bør fastlægge samarbejdsregler mellem de kompetente myndigheder og tilsynsmyndighederne i overensstemmelse med forordning (EU) 2016/679 om behandling af overtrædelser vedrørende personoplysninger. (78)Dette direktiv bør sigte mod at sikre et højt ansvarsniveau for risikohåndteringsforanstaltninger og rapporteringsforpligtelser i forbindelse med cybersikkerhed på organisationsniveau. Derfor bør ledelsesorganerne for de enheder, der er omfattet af dette direktiv, godkende foranstaltningerne vedrørende cybersikkerhedsrisici og føre tilsyn med deres gennemførelse. (79)Der bør indføres en peerevalueringsmekanisme, som gør det muligt for eksperter udpeget af medlemsstaterne at vurdere gennemførelsen af cybersikkerhedspolitikker, herunder niveauet af medlemsstaternes kapaciteter og tilgængelige ressourcer. (80)For at tage hensyn til nye cybertrusler, den teknologiske udvikling eller sektorspecifikke særtræk bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i TEUF for så vidt angår elementerne i forbindelse med de risikostyringsforanstaltninger, der kræves i henhold til dette direktiv. Kommissionen bør også tillægges beføjelser til at vedtage delegerede retsakter, der fastsætter, hvilke kategorier af væsentlige enheder der skal have en attest, og i henhold til hvilke specifikke europæiske certificeringsordninger vedrørende cybersikkerhed. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelse af delegerede retsakter. (81)For at sikre ensartede betingelser for gennemførelsen af de relevante bestemmelser i dette direktiv vedrørende de proceduremæssige ordninger, der er nødvendige for samarbejdsgruppens funktion, de tekniske elementer vedrørende risikostyringsforanstaltninger eller typen af oplysninger, formatet og proceduren for anmeldelser af hændelser bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011. (82)Kommissionen bør regelmæssigt tage dette direktivs bestemmelser op til fornyet overvejelse efter høring af interesserede parter, navnlig med henblik på at afgøre, om der er behov for ændringer i lyset af skiftende samfundsmæssige, politiske eller teknologiske vilkår eller markedsvilkår. (83)Eftersom målene for dette direktiv, nemlig at opnå et højt, fælles sikkerhedsniveau i net- og informationssystemer i Unionen, ikke i tilstrækkelig grad kan opfyldes af medlemsstaterne, men på grund af handlingens virkninger bedre kan nås på EU-plan, kan Unionen derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke videre, end hvad der er nødvendigt for at nå disse mål. (84)Dette direktiv overholder de grundlæggende rettigheder og de principper, der anerkendes i Den Europæiske Unions charter om grundlæggende rettigheder, navnlig retten til respekt for privatlivet og kommunikation, beskyttelsen af personoplysninger, frihed til at oprette og drive egen virksomhed, ejendomsretten og retten til effektive retsmidler for en domstol og retten til at blive hørt. Direktivet bør gennemføres i overensstemmelse med dis