·La Directiva SRI no es suficientemente clara por lo que respecta al ámbito de aplicación para los operadores de servicios esenciales y sus disposiciones no ofrecen suficiente claridad en relación con la competencia nacional sobre los proveedores de servicios digitales, lo que ha dado lugar a que determinados tipos de entidades no hayan sido identificadas en todos los Estados miembros y, en consecuencia, no estén obligadas a implantar medidas de seguridad y a notificar los incidentes.

(18)Los servicios ofrecidos por los proveedores de servicios de centro de datos no siempre pueden prestarse en forma de servicio de computación en nube. En consecuencia, los centros de datos no siempre pueden formar parte de una infraestructura de computación en nube. A fin de gestionar todos los riesgos que se plantean para la seguridad de las redes y sistemas de información, la presente Directiva también debe englobar a los proveedores de estos servicios de centro de datos que no son servicios de computación en nube. A los efectos de la presente Directiva, la expresión «servicio de centro de datos» debe abarcar la prestación de un servicio que englobe las estructuras, o agrupaciones de estructuras, dedicadas al alojamiento, la interconexión y la explotación centralizados de tecnologías de la información y equipos de red que proporcionen servicios de almacenamiento, tratamiento y transporte de datos, junto con todas las instalaciones e infraestructuras destinadas a la distribución de energía y el control ambiental. La expresión «servicio de centro de datos» no se aplica a los centros de datos empresariales internos cuya propiedad y explotación para fines propios dependen de la entidad de que se trate.

(64)A fin de tener en cuenta la naturaleza transfronteriza de los servicios y operaciones de los proveedores de servicios de DNS, los registros de nombres de dominio de primer nivel, los proveedores de redes de distribución de contenidos, los proveedores de servicios de computación en nube, los proveedores de servicios de centro de datos y los proveedores de servicios digitales, solo un Estado miembro debe tener jurisdicción sobre estas entidades. La jurisdicción debe atribuirse al Estado miembro en el que se encuentre el establecimiento principal en la Unión de la respectiva entidad. El criterio de establecimiento a los efectos de la presente Directiva implica el ejercicio efectivo de una actividad mediante una organización estable. La forma jurídica de dicha organización, ya sea a través de una sucursal o una filial con personalidad jurídica, no es el factor determinante a este respecto. El cumplimiento de este criterio no debe depender de que las redes y sistemas de información se encuentren físicamente en un lugar determinado; la presencia y utilización de tales sistemas no constituyen, por sí mismas, dicho establecimiento principal y, por tanto, no son criterios decisivos para determinar el establecimiento principal. El establecimiento principal debe ser el lugar en el que se toman las decisiones relativas a las medidas para la gestión de riesgos de ciberseguridad dentro de la Unión, que habitualmente coincidirá con el lugar en que se encuentra la administración central de las empresas en la Unión. En caso de que dichas decisiones no se adopten dentro de la Unión, debe considerarse que el establecimiento principal se encuentra en el Estado miembro en el que la entidad tiene el establecimiento con mayor número de trabajadores en la Unión. Cuando los servicios los preste un grupo empresarial, el establecimiento principal de la empresa que ejerce el control debe considerarse el establecimiento principal del grupo empresarial.

Por el Parlamento Europeo Por el Consejo El Presidente El Presidente

FICHA FINANCIERA LEGISLATIVA

Índice

1.FRAMEWORK OF THE PROPOSAL/INITIATIVE

1.1.Title of the proposal/initiative

1.2.Policy area(s) concerned (Programme cluster)

1.3.The proposal/initiative relates to:

1.4.Grounds for the proposal/initiative

1.4.1.Requirement(s) to be met in the short or long term including a detailed timeline for roll-out of the implementation of the initiative

1.4.2.Added value of Union involvement (it may result from different factors, e.g. coordination gains, legal certainty, greater effectiveness or complementarities). For the purposes of this point 'added value of Union involvement' is the value resulting from Union intervention which is additional to the value that would have been otherwise created by Member States alone.

1.4.3.Lessons learned from similar experiences in the past

1.4.4.Compatibility and possible synergy with other appropriate instruments

1.5.Duration and financial impact

1.6.Management mode(s) planned

2.MANAGEMENT MEASURES

2.1.Monitoring and reporting rules

2.2.Management and control system(s)

2.2.1.Justification of the management mode(s), the funding implementation mechanism(s), the payment modalities and the control strategy proposed

2.2.2.Information concerning the risks identified and the internal control system(s) set up to mitigate them