EUROOPA KOMISJON Brüssel,28.10.2019 COM(2019) 546 final KOMISJONI ARUANNE EUROOPA PARLAMENDILE JA NÕUKOGULE, milles hinnatakse liikmesriikide lähenemisviiside järjepidevust oluliste teenuste operaatorite identifitseerimisel kooskõlas võrgu- ja infosüsteemide turvalisust käsitleva direktiivi (EL) 2016/1148 artikli 23 lõikega 1













1.Sissejuhatus Direktiiv (EL) 2016/1148 meetmete kohta, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus, (edaspidi „direktiiv“) on esimene siseturu õigusakt, mille eesmärk on suurendada ELi vastupidavust küberriskide suhtes. Selle Euroopa Liidu toimimise lepingu artiklil 114 põhineva direktiiviga püütakse tagada liidu majanduse ja ühiskonna korralikku toimimist võimaldavate teenuste järjepidevus. Selleks on kehtestatud direktiiviga konkreetsed meetmed, millega suurendatakse küberturbevõimet kõikjal ELis ning leevendatakse üha suuremaid ohte võrgu- ja infosüsteemidele, mida kasutatakse oluliste teenuste osutamiseks peamistes sektorites. Pärast direktiivi jõustumist 2016. aasta augustis oli liikmesriikidel aega kuni 9. maini 2018, et vastu võtta direktiivi sätete järgimiseks vajalikud siseriiklikud meetmed. Direktiiviga edendatakse riskijuhtimise kultuuri olulisi teenuseid osutavate ettevõtete ja muude üksuste seas, kes on määratletud kooskõlas artikliga 5 kui oluliste teenuste operaatorid. Direktiivi kohaldamisalasse kuuluvad operaatorid peavad võtma asjakohaseid ja proportsionaalseid tehnilisi ja korralduslikke meetmeid, et hallata oma võrgu- ja infosüsteemide turvalisust ohustavaid riske ning teatada rasketest intsidentidest pädevatele asutustele. Kaasseadusandjad on delegeerinud direktiivi rakendamise liikmesriikidele, kes peavad määratlema olulised teenused ja identifitseerima oma territooriumil tegutsevad oluliste teenuste operaatorid. Direktiivi artikli 5 lõike 7 alusel peavad liikmesriigid andma komisjonile aru selle identifitseerimise tulemustest. Koordineeritud aruandluse võimaldamiseks andsid nii komisjon kui ka direktiiviga loodud koostöörühm liikmesriikidele identifitseerimisprotsessi kohta suuniseid. Kooskõlas artikli 23 lõikega 1 hinnatakse käesolevas aruandes liikmesriikide lähenemisviiside järjepidevust oluliste teenuste operaatorite identifitseerimisel. Kuna oluliste teenuste operaatorite identifitseerimise järjepidevus ja siseturul seda valdkonda ähvardav killustatuse oht on omavahel tihedalt seotud, on käesolev aruanne abiks ka direktiivi laiemal hindamisel, mis on ette nähtud artikli 23 lõikega 2, milles on sätestatud, et komisjon peab vaatama korrapäraselt läbi direktiivi üldise toimimise ning hindama nende sektorite ja allsektorite loetelu, mille suhtes kohaldatakse oluliste teenuste operaatorite identifitseerimise nõuet, ja direktiiviga hõlmatud digitaalsete teenuste liike. Esimene selline aruanne tuleb esitada 9. maiks 2021. 1.1Aruande eesmärk Kuna oluliste teenuste operaatoritel on majanduses ja ühiskonnas tervikuna oluline roll, peavad nad olema küberintsidentide suhtes eriti vastupidavad. Sellega seoses on järjepideva lähenemisviisi rakendamine oluliste teenuste operaatorite identifitseerimisel liikmesriikides tähtis mitmel põhjusel. 1.Et vähendada piiriüleste sõltuvusseostega seotud ohte Kui piiriüleselt teenuseid osutavaid olulisi operaatoreid ei identifitseerita järjepidevalt, võib tulemuseks olla eri liikmesriikide kübervastupanuvõime ebaühtlane tase, millega suureneb oht, et piiriülene intsident kahjustab elutähtsat taristut või toob kaasa kodanike hukkumise. Üksused, mis kasutavad võimalikult hästi ära siseturu pakutavaid võimalusi, osutades tarbijatele ja ettevõtjatele piiriüleseid teenuseid, on näiteks energia ülekandega tegelevad operaatorid või tippdomeenide registrid, mis mõlemad kuuluvad II lisas esitatud üksuste liikide loetellu. Selliste teenuseosutajate järjepidev identifitseerimine kõikjal liidus võiks aidata ära hoida küberohtude levimist kogu siseturul. 2.Et tagada siseturul operaatoritele võrdsed tingimused Direktiivis on sätestatud, et liikmesriigid peavad kehtestama oluliste teenuste operaatoritele turvanõuded ja intsidentidest teatamise korra. Kuna direktiivis järgitakse oluliste teenuste operaatorite puhul minimaalse ühtlustamise põhimõtet, on liikmesriikidel vabadus kehtestada operaatoritele nõuded, mis on direktiivis sätestatutest rangemad. Kuigi need meetmed suurendavad liikmesriikide vastupidavust, võivad need tekitada asjaomastele operaatoritele täiendavaid regulatiivseid kulusid. Seepärast on tähtis tagada sarnase tähtsusega sarnaseid teenuseid osutavate operaatorite sarnane regulatiivne kohtlemine. 3.Et vähendada direktiivi erineva tõlgendamise ohtu Direktiiv on kavandatud nii, et liikmesriikidel jääks asjakohaste üksuste väljavalimisel teatav mänguruum, mis võimaldab arvesse võtta riiklikke iseärasusi. Samas suureneb selle lähenemisviisiga direktiivi sätete erineva rakendamise oht ning tulemuseks võib olla ebajärjepidevus liikmesriikide vastu võetavates meetmetes. See on eriti oluline ettevõtjate jaoks, kes tegutsevad mitmes riigis ja kes seetõttu peavad täitma rohkem kui vaid ühe liikmesriigi regulatiivseid nõudeid. 4.Et koostada põhjalik ülevaade kübervastupanuvõime tasemest ELis Oluliste teenuste operaatorite üle teostatakse järelevalvet, et kontrollida turvapõhimõtete tõhusat rakendamist ja olulistest intsidentidest teatamist. Järelevalve soodustab tugevamat avaliku ja erasektori koostööd, mille tulemusel kogunevad ühised teadmised liikmesriigi küberturvalisuse alase valmisoleku kohta. Tänu koostöörühmale on liikmesriikide jagatud kogemusi, sealhulgas teavet teatatud intsidentide kohta, võimalik koondada ELi tasandil, mis aitab täpsemalt hinnata peamisi ohte ja vajadusi. Et selline teabe jagamine oleks tõhus, peaks see põhinema ühisel arusaamal sellest, millised üksused tuleks identifitseerida oluliste teenuste operaatoritena. 1.2Direktiivi kohane identifitseerimismenetlus Direktiivi II lisas on loetletud identifitseerimisprotsessi jaoks asjakohased seitse sektorit ja nende vastavad allsektorid ning üksuste liigid ( tabel 1 ). Artikli 5 lõikes 3 on sätestatud, et liikmesriigid peavad koostama nende sektorite, allsektorite ja üksuste liikide põhjal oluliste teenuste loetelu. Direktiivis järgitav minimaalse ühtlustamise põhimõte võimaldab liikmesriikidel väljuda II lisa kohaldamisalast ning teostada identifitseerimist täiendavates sektorites ja allsektorites.

Sektor Allsektor 1. Energeetika a) Elekter b) Nafta c) Gaas 2. Transport a) Lennutransport b) Raudteetransport c) Veetransport d) Maanteetransport 3. Pangandus 4. Finantsturu taristu 5. Tervishoiusektor 6. Joogivee varustus ja jaotamine 7. Digitaalne taristu Artikli 5 lõikes 2 on sätestatud kolm kriteeriumit, mida liikmesriigid peavad kasutama oluliste teenuste operaatori identifitseerimisel. 1.Asjaomane üksus peab osutama teenust, mis on oluline elutähtsa ühiskondliku ja/või majandustegevuse säilitamise seisukohast. Selle kriteeriumi kohaldamisel peavad riiklikud pädevad asutused lähtuma varem koostatud oluliste teenuste loeteludest. 2.Osutatav teenus peab sõltuma võrgu- ja infosüsteemidest. 3.Intsidendil peab olema oluline häiriv mõju asjakohase teenuse osutamisele. Artiklis 6 on sätestatud, et intsidendi olulisuse hindamisel kasutatakse sektoriüleseid tegureid ja vajaduse korral sektoripõhiseid tegureid. Peale selle peavad liikmesriigid direktiivi artikli 5 lõike 4 kohaselt üksteisega konsulteerima, kui nad teevad kindlaks, et potentsiaalne oluliste teenuste operaator pakub teenuseid rohkem kui ühes liikmesriigis. See kohustuslik menetlus peaks aitama liikmesriikidel hinnata piiriüleselt tegutsevaid üksuseid mõjutava küberintsidendi võimalikku mõju ning toimima kaitsemeetmena ettevõtjatele, keda menetlus eri liikmesriikides mõjutab. 1.3Aruande metoodika Aruandes kajastatud tulemused on saadud hindamise käigus, mis korraldati ajavahemikus 2018. aasta novembrist 2019. aasta septembrini. Paljud liikmesriigid ei teinud käesoleva aruande koostamiseks vajalikku teavet komisjonile kättesaadavaks õigeks ajaks. Seepärast tuli aruande vastuvõtmine lükata direktiivi artikli 23 lõikes 1 kavandatud 9. maist 2019 hilisemale ajale. Andmeid koguti mitme kanali kaudu: liikmesriikide teave, mille esitamiseks kasutati ENISA koostatud standardvormi, standarditud intervjuud valitud riigiasutustega ning koostöörühma koosolekud, sealhulgas kõnealusele teemale pühendatud seminar, mis toimus 19. märtsil 2019. Tuginedes kogutud teabele, hinnatakse aruandes, kui hästi on liikmesriikide identifitseerimismeetodid omavahel kooskõlas, 1.võrreldes liikmesriikide ametiasutuste valitud erinevaid identifitseerimismetoodikaid; 2.vaadeldes oluliste teenuste loetelusid ja liikmesriikide valitud piirmäärasid ning 3.analüüsides oluliste teenuste operaatorite arvu igas liikmesriigis. Aruandes hinnatakse ka seda, kuidas on rakendatud direktiivi sätteid, mis käsitlevad piiriülese konsulteerimise menetlust (artikli 5 lõige 4) ja eriõigusakti põhimõtet (artikli 1 lõige 7). Aruandes esitatakse liikmesriikides toimuva identifitseerimisprotsessi faktiline analüüs koos esialgsete järeldustega ja lahtiste küsimustega, mida edasi arutada. 1.4Andmete kättesaadavus Direktiivi alusel tuleb liikmesriikidel esitada komisjonile vaid piiratud hulk andmeid. Näiteks ei pea liikmesriikide ametiasutused esitama identifitseeritud operaatorite nimesid, mistõttu komisjoni talitustel on identifitseerimisprotsessi tulemuste võrdlemisel keeruline hinnata loetelu täielikkust ning mõju sama suurusega ja samasse sektorisse kuuluvatele ettevõtjatele. Artikli 5 lõike 7 kohaselt oleksid kõik liikmesriigid pidanud esitama käesoleva aruande jaoks vajaliku teabe hiljemalt 9. novembril 2018. Paraku oli selleks kuupäevaks esitanud olulised andmed vaid 15 riiki (vt tabel punktis 4.1). Lüngad andmetes jäid märkimisväärseks ka pärast komisjoni korduvaid meeldetuletusi. Seepärast saatis komisjon 26. juulil 2019 kuuele liikmesriigile ametliku kirja, milles kutsuti riike üles esitama puuduvad andmed kahe kuu jooksul.

Käesoleva aruande avaldamise kuupäevaks oli kõik artikli 5 lõikes 7 nõutavad andmed esitanud 23 liikmesriiki: Bulgaaria, Küpros, Tšehhi Vabariik, Saksamaa, Taani, Eesti, Kreeka, Hispaania, Soome, Prantsusmaa, Horvaatia, Iirimaa, Itaalia, Leedu, Luksemburg, Läti, Malta, Madalmaad, Poola, Portugal, Rootsi, Slovakkia ja Ühendkuningriik. Ülejäänud viis liikmesriiki (Austria, Belgia, Rumeenia, Sloveenia ja Ungari) olid esitanud oma riigi oluliste teenuste operaatorite identifitseerimise kohta ainult osalised andmed, sest nad ei olnud suutnud oma identifitseerimisprotsessi käesoleva aruande avaldamise ajaks lõpule viia.



2.Oluliste teenuste operaatorite identifitseerimine liikmesriikides Direktiivis on sätestatud oluliste teenuste operaatorite identifitseerimise raamistik, milles on jäetud liikmesriikidele kaalutlusruum, et võtta arvesse riiklikke iseärasusi. Selle tulemusel on liikmesriigid välja kujundanud mitmesugused identifitseerimistavad. 2.1Liikmesriikide kasutatavad metoodikad Liikmesriigid on kavandanud operaatorite identifitseerimiseks eri metoodikad, kasutades täiel määral ära direktiiviga võimaldatud paindlikkuse. Üks liikmesriikide metoodikaid mõjutav tegur oli eelneva raamistiku, näiteks elutähtsaid infrastruktuure käsitleva nõukogu direktiivi 2008/114/EÜ või muude elutähtsaid operaatoreid käsitlevate siseriiklike sätete olemasolu. Sellisel juhul lähtusid liikmesriigid oma varasematest kogemustest ja lõimisid direktiiviga seotud iseärasused olemasolevatesse metoodikatesse. Erinevused liikmesriikide metoodikates jagunevad järgmistesse põhikategooriatesse: olulised teenused, piirmäärade kasutamine, tsentraliseerituse tase, identifitseerimise ning võrgu- ja infosüsteemide sõltuvuse hindamise eest vastutavad ametiasutused. Võttes arvesse oluliste teenuste ja piirmäärade tähtsust oluliste teenuste operaatorite identifitseerimise järjepidevuse hindamisel, analüüsitakse olulisi teenuseid ja piirmäärasid eraldi punktides. Muid kriteeriumeid käsitletakse selles punktis. Tsentraliseerituse tase Enamik liikmesriike on otsustanud delegeerida identifitseerimisprotsessi eri elementidega seotud otsuste tegemise osaliselt valdkondlikele asutustele (ministeeriumid, ametid jne). Detsentraliseerituse tase on erinev, kuid lõviosa liikmesriikidest on nimetanud ühe asutuse, kelle ülesanne on anda valdkondlikele asutustele suuniseid ja koguda teavet. Mõni riik on siiski otsustanud jätta identifitseerimisprotsessi ühe ametiasutuse kätte. Esineb ka juhtumeid, kus detsentraliseerituse tase on väga kõrge ja valdkondlikud asutused peavad välja töötama enda metoodikad. Paljud liikmesriigid on hoolikalt kaalunud oluliste teenuste operaatorite identifitseerimise institutsioonilise korralduse eri aspekte. Ametiasutused on nimetanud tsentraliseeritud identifitseerimise ühe eelisena huvide konflikti vältimist: tundub, et operaatorid avalikustavad asjakohase teabe oma valdkonna reguleerivatele asutustele vastumeelsemalt, kartes, et seda teavet võidakse kasutada ka muudel regulatiivsetel eesmärkidel. Teiselt poolt tunduvad detsentraliseeritud lähenemisviisid edendavat direktiivi pädevate asutuste seas dialoogi (nii küberturvalisuse alast kui ka valdkondlikku), aidates neil paremini kindlaks teha sektoriüleste sõltuvusseoste mõju. Peale selle mõistavad valdkondlikud asutused oma valdkonda tavaliselt paremini kui juhtivad asutused. Identifitseerimismenetlus (ülevalt alla vs. alt üles) Samuti on tähtis vahet teha liikmesriikidel, kus identifitseerimisprotsessi viivad läbi ametiasutused (ülevalt alla identifitseerimine), ja liikmesriikidel, kus turuosalejaid kutsutakse üles ise kontrollima, kas nad vastavad oluliste teenuste operaatoritena nõuetele (alt üles identifitseerimine või enese identifitseerimine). Viimati nimetatud lähenemisviisi tõhusaks toimimiseks peaksid liikmesriigid kehtestama trahvid, mis on piisavalt suured, et operaatorid loobuksid endast teavitamata jätmisest, nagu on sätestatud direktiivi artiklis 21. Enamasti rakendatakse ülevalt alla identifitseerimisprotsessi. Praktikas aga tuginevad ametiasutused sageli osaliselt teatavatele enesehindamise vahenditele, nagu potentsiaalsete oluliste teenuste operaatorite täidetavad küsimustikud. Kui oluliste teenuste operaatorite identifitseerimise eeskirjad ja piirmäärad on selged ja läbipaistvad, peaks nii ülevalt alla kui ka alt üles identifitseerimine andma sarnaseid tulemusi. Seepärast ei peaks ühe lähenemisviisi eelistamine teisele põhimõtteliselt mõjutama mingil moel järjepidevust. Võrgust sõltuvuse hindamine Nagu on selgitatud punktis 1.2, peavad liikmesriigid artikli 5 lõike 2 punkti b kohaselt hindama oluliste teenuste operaatori identifitseerimisel asjaomase operaatori sõltuvust võrgu- ja infosüsteemidest. Kohaldades kõnealuseid kriteeriume, peavad paljud liikmesriigid sõltuvust võrgu- ja infosüsteemidest tänapäeva digitaalses majanduses paratamatuseks. Mõni ametiasutus otsustas siiski olla põhjalikum, tehes näiteks üksikasjaliku hindamise või paludes operaatoritel hinnata oma sõltuvuse taset ise. 2.2Teenuste kindlaksmääramine Direktiivi põhjenduses 23 on selgelt nimetatud oluliste teenuste loetelusid kui alust „liikmesriikide reguleerimistavade hindamiseks, pidades silmas [---] järjepidevuse üldise taseme tagamist liikmesriikides“. Kuna operaatorite identifitseerimisel tuginetakse liikmesriikide koostatud oluliste teenuste loeteludele, võivad erinevused kindlaksmääratud teenustes kaasa tuua operaatorite ebajärjepideva identifitseerimise liikmesriikides, eriti kui teatavad teenused, mida osutatakse kõikides riikides, on kindlaks määratud vaid mõnes liikmesriigis.

Liikmesriigid on kindlaks määranud ja teatanud komisjonile väga erineva arvu direktiivi II lisaga hõlmatud teenuseid (andmed kõikide liikmesriikide kohta leiab lisast punktist 4.2). Kindlaksmääratud teenuste arv liikmesriigi kohta oli keskmiselt 35, ulatudes 12 teenusest 87 teenuseni, nagu on näidatud joonisel 1 . Ehkki suuremad liikmesriigid määravad üldjuhul kindlaks veidi rohkem teenuseid kui väiksemad liikmesriigid, ei tundu liikmesriigi suuruse ja kindlaksmääratud teenuste arvu vahel olevat tugevat seost. Seda võis ka eeldada, kuna tarbijatel ja ettevõtjatel on tavaliselt kõikides liikmesriikides juurdepääs sama liiki teenustele, olenemata riigi suurusest. Kindlaksmääratud teenuste arv ei ole erinev mitte üksnes siis, kui vaadelda liikmesriike tervikuna, vaid ka siis, kui vaadelda lähemalt sektoreid ja allsektoreid. Näiteks pangandussektoris jääb kindlaksmääratud teenuste arv vahemikku 1–21. Nagu on näidatud joonisel 2 , erineb eri riikides kindlaksmääratud teenuste arv märkimisväärselt enamikus sektorites ja allsektorites. Joonisel 2 kajastatud arvud peegeldavad teataval määral eri riikide erinevaid metoodikaid. Näiteks mõni liikmesriik on valinud teenuste kindlaksmääramisel üksikasjalikuma lähenemisviisi kui teised liikmesriigid, mille tulemuseks on suurem teenuste arv. Samas on andmetest, mille komisjon on saanud liikmesriikidelt, selgelt näha, et erinevused teenuste arvus on põhjustatud ka liikmesriikide valitud lähenemisviiside ebajärjepidevusest, nagu kinnitab järgmine elektri ja raudteetranspordi allsektori näide. Eesti

(kõige vähem üksikasjalik lähenemisviis) Portugal Taani Bulgaaria

(kõige üksikasjalikum lähenemisviis) Elektrienergiaga varustamine Jaotusvõrgu operaatorid Elektrienergia jaotamine Elektrienergia jaotamine Elektrienergia jaotusvõrgu toimimise tagamine ja hooldamine Ülekandevõrgu operaatorid Elektrienergia ülekandmine Elektrienergia ülekandmine Elektrienergia ülekandevõrgu käitamine, hooldamine ja arendamine (ebajärjepidevusest põhjustatud lünk) Elektrienergia tootmine Elektrienergia tootmine (ebajärjepidevusest põhjustatud lünk) (ebajärjepidevusest põhjustatud lünk) Elektriturg Tabelis 2 on võrreldud mõnda neist viisidest, kuidas liikmesriigid on määranud kindlaks olulised teenused elektri allsektoris. Mõni riik (nagu Eesti) on valinud väga üldise lähenemisviisi, mis põhimõtteliselt võimaldab identifitseerida ükskõik millise operaatori, keda peetakse elektri allsektoris oluliseks. Teised riigid (nagu Portugal, Taani ja Bulgaaria) on otsustanud märksa detailsema lähenemisviisi kasuks. Näiteks Bulgaaria on koostanud äärmiselt üksikasjaliku teenuste loetelu, mis sisaldab isegi II lisaga hõlmamata teenust (elektriturud). Portugal ja Taani on rakendanud üksikasjalikku lähenemisviisi, kuid on samas otsustanud välja jätta teatavad teenused, mille teised on kaasanud. Selle tulemusel võivad oluliste teenuste operaatoritel olla siseturul ebavõrdsed tingimused. Ebajärjepidevusega seotud lüngad, nagu need, mis on välja toodud tabelis 2 , on põhjustatud direktiivi erinevast rakendamisest eri liikmesriikides ja II lisa alla mittekuuluvate sektorite puhul (nagu elektriturud) minimaalse ühtlustamise põhimõtte järgimisest direktiivis. Seepärast ei tähenda need lüngad seda, et liikmesriigid, kes ei ole teatavat teenust kindlaks määranud, on tingimata jätnud direktiivi nõuetekohaselt kohaldamata. Tabel 3 kajastab lähenemisviise, mille neli riiki on valinud raudteetranspordi allsektoris. Kui Prantsusmaa on koostanud väga üksikasjaliku ja põhjaliku loetelu raudteetranspordi toimimiseks olulistest teenustest, siis ülejäänud kolm riiki on valinud neist teenustest vaid väikse osa. Poola puhul ei ole päris selge, millised teenused kuuluvad kategooriatesse „kauba raudteevedu“ ja „reisijate raudteevedu“. Nende kategooriate nimetused on nii üldised, et nad võivad hõlmata ka mõnda Prantsusmaa kindlaks määratud teenust, näiteks teenust „raudteeliikluse kontroll ja korraldamine“. Tuleb märkida, et komisjonil puuduvad vahendid selliste juhtumite edasiuurimiseks: direktiivis ei nõuta liikmesriikide ametiasutustelt üksikasjalikuma teabe avalikustamist. Soome Prantsusmaa Iirimaa Poola Riigi taristu haldamine Taristu hooldamine Taristuettevõtjad (ebajärjepidevusest põhjustatud lünk) (ebajärjepidevusest põhjustatud lünk) Veeremi hooldamine (ebajärjepidevusest põhjustatud lünk) (ebajärjepidevusest põhjustatud lünk) Liikluse korraldamise teenused Raudteeliikluse kontroll ja korraldamine (ebajärjepidevusest põhjustatud lünk) Rongide sõiduplaanide koostamine (ebajärjepidevusest põhjustatud lünk) Kaup ja ohtlikud materjalid Raudteeveo-ettevõtjad Kauba raudteevedu (ebajärjepidevusest põhjustatud lünk) Reisijatevedu Reisijate raudteevedu (ebajärjepidevusest põhjustatud lünk) Metroo-, trammi- ja muud kergraudteeteenused (sh allmaaraudteeteenused) (ebajärjepidevusest põhjustatud lünk) (ebajärjepidevusest põhjustatud lünk) Raudteeteenused (ebajärjepidevusest põhjustatud lünk) (ebajärjepidevusest põhjustatud lünk) Liikmesriigid valiti tabelis 2 ja tabelis 3 üksnes näitlikustamise eesmärgil ning põhjusel, et nende metoodikaid oli lihtne võrrelda. Enamik liikmesriike on valinud sarnased teenused ja seepärast on sarnased ka nende ebajärjepidevusest põhjustatud lüngad. Ebajärjepidevusest põhjustatud lünki, nagu need, millele on osutatud elektri ja raudteetranspordi allsektoris, esineb tegelikult kõikides liikmesriikides ja direktiivi II lisaga hõlmatud sektorites. Lõviosa ebajärjepidevusest on tingitud sellest, et mõni teenus määratakse kindlaks üksnes mõnes liikmesriigis, mitte kõikides liikmesriikides. Elektri ja raudteetranspordi allsektori teenuste täielikud loetelud, mis hõlmavad kõiki liikmesriike, leiab käesoleva aruande lisast.

2.3Piirmäärad Kuigi enamik liikmesriike kohaldab oluliste teenuste operaatorite identifitseerimisel piirmäärasid, on nende piirmäärade roll liikmesriigiti erinev. Sektoriülesed piirmäärad on võimalik kindlaks määrata, tuginedes ·ühele kvantitatiivsele tegurile (nt teenusest sõltuvate kasutajate arv), et teha kindlaks, kas üksust tuleb teatava teenuse puhul pidada oluliste teenuste operaatoriks; ·mitmele kvantitatiivsele tegurile (nt teenusest sõltuvate kasutajate arv ja turuosa); ·kvantitatiivsete ja kvalitatiivsete tegurite kombinatsioonile. Peale selle võimaldab direktiiv liikmesriikidel kohaldada lisaks sektoriülestele piirmääradele sektoripõhiseid piirmäärasid. Sellega antakse liikmesriikide ametiasutustele identifitseerimisprotsessis suurem vabadus, et võtta arvesse riiklikke ja sektori iseärasusi. Samal ajal kujuneb selle tulemusel välja väga keeruline piirmäärade kogum, millel võib olla negatiivne mõju oluliste teenuste operaatorite identifitseerimise üldisele järjepidevusele. Näide sellisest lähenemisviiside mitmekesisusest on esitatud tabelis 4 . Sellest on näha, et piirmäärad, mille liikmesriigid on valinud digitaalse taristu sektoris, ei erine üksnes kvantitatiivselt (nt Saksamaal identifitseeritakse domeeninimede süsteemi (DNS) teenuse osutaja oluliste teenuste operaatorina juhul, kui ta haldab vähemalt 250 000 domeeni, samal ajal kui Poolas on kehtestatud piirmääraks vaid 100 000 domeeni), vaid ka kvalitatiivselt (nt ühendatud autonoomsete süsteemide arv vs. turuosa). Järjepidevalt valitud kvantitatiivsed piirmäärad üksi ei taga liikmesriikide lähenemisviiside täielikku kooskõla. Kuna mõnes liikmesriigis on piirmäärad vaid üks oluliste teenuste operaatorite identifitseerimisel kasutatavatest kriteeriumidest, võib identifitseerimisprotsessi tulemus olla isegi sarnaste piirmäärade olemasolu korral väga erinev. Näiteks mõni liikmesriik kasutab keerulisi hindamissüsteeme, kus ühes valemis võetakse arvesse mitut tegurit. Selliste tegurite hulka võib kuuluda näiteks üksuse sõltuvus võrgu- ja infosüsteemidest või mõni direktiivi artikli 6 lõikes 1 osutatud teguritest. Lisaks ei kasuta mõni liikmesriik piirmäärasid üldse või kasutab neid vaid hindamise algetapis. Need kaalutlused ei puuduta üksnes digitaalse taristu sektorit, vaid on asjakohased kõikides II lisas loetletud sektorites. Õige piirmäära kehtestamine võib olla keeruline, eriti sektorites, mida iseloomustab paljude väikeste ettevõtjate olemasolu. Üks näide sellisest mitmekesisusest on arvukad väikesed tervishoiuasutused (nt kliinikud või erakorraliste meditsiiniteenuste osutajad), mis pakuvad olulist teenust võrdlemisi väikesele arvule kasutajatele, ent juhul, kui nende teenused ei ole küberintsidendi tõttu kättesaadavad, võib tulemuseks olla patsientide surm. Probleem tekib ka siis, kui tarneahela toimimine sõltub teenustest, mida osutavad operaatorid, kes moodustavad ahela väikese, kuid sellegipoolest olulise lüli (nt logistikasektoris). Üks liikmesriik uurib osutatava teenuse olulisuse või elutähtsusega seotud kriteeriumide kasutamist kui võimalikku lahendust sellele probleemile.



Riik Interneti vahetuspunktid DNS-teenuse osutajad Tippdomeenide registrid Peamiselt sektoripõhiste piirmäärade kasutamine AT ühendatud autonoomsed süsteemid

> 100 DNS-resolverid: 88 000 kasutajat;

heakskiidetud DNS: 50 000 domeeni 50 000 domeeni DE ühendatud autonoomsed süsteemid

> 300 DNS-resolverid: 100 000 kasutajat; heakskiidetud DNS: 250 000 domeeni (teenus kindlaks määramata) DK keskmine igapäevane andmemaht > 200 Gbit/s DNS-resolverid: 100 000 kasutajat; heakskiidetud DNS: 100 000 domeeni 500 000 domeeni EE (teenus kindlaks määramata) (teenus kindlaks määramata) riigi tippdomeenide register FI (teenus kindlaks määramata) (teenus kindlaks määramata) riigi ja piirkonna tippdomeenide register FR (ametlik piirmäär puudub) (ametlik piirmäär puudub) (ametlik piirmäär puudub) HR ühendatud liikmeid > 15 DNS-teenus riigi tippdomeenide registrile riigi tippdomeenide register IE (piirmäär teadmata) DNS-resolverid: 100 miljonit päringut ööpäevas; heakskiidetud DNS: 50 000 domeeni riigi tippdomeenide register MT 25 % turuosast DNS-resolverid: 78 000 päringut päevas; heakskiidetud DNS: 7 800 domeeni 750 000 päringut päevas PL ühendatud autonoomsed süsteemid

≥ 100 heakskiidetud DNS: 100 000 domeeni tippdomeenide registrid vähemalt 100 000 abonendile SE (teenus kindlaks määramata) DNS-resolverid: 100 000 kasutajat; heakskiidetud DNS: 25 000 domeeni 250 000 domeeni SK autonoomsed süsteemid, mis ühendavad vähemalt kaht teist autonoomset süsteemi kiirusega 2 Gbit/s DNS-resolverid: 3 miljonit päringut ööpäevas; heakskiidetud DNS: > 1 000 domeeni tippomeenide register UK turuosa > 50 % või

ühenduvus üleilmsete internetimarsruutidega ≥ 50 % DNS-resolverid: 2 000 000 klienti päevas

heakskiidetud DNS: 250 000 domeeni tippdomeenide registrid ≥ 2 miljardit päringut päevas Sektoriüleste piirmäärade kasutamine CY 50 000 kasutajat või

5 % turu abonentidest 50 000 kasutajat või

5 % turu abonentidest 50 000 kasutajat või

5 % turu abonentidest LT > 145 000 elaniku > 145 000 elaniku > 145 000 elaniku LU turuosa 100 % 13 500 lepingut turuosa 100 %



2.4Identifitseeritud operaatorite arv Oluliste teenuste operaatorite järjepideval identifitseerimisel on kõige määravamad oluliste teenuste loetelud ja piirmäärad. Eelmistest punktidest on näha, et liikmesriigid on kohaldanud direktiivi sätteid mõlema puhul erinevalt, mis annab põhjust eeldada, et hilisemal oluliste teenuste operaatorite identifitseerimisel võib tekkida järjepidevusega seotud probleeme. Selles punktis võrreldakse liikmesriikides II lisa sektorites ja allsektorites identifitseeritud operaatorite arvu. Oluliste teenuste operaatorite koguarv, mille liikmesriigid on komisjonile teatanud, ulatub 20st 10 897ni, mis teeb keskmiseks 633 oluliste teenuste operaatorit liikmesriigi kohta (andmed kõikide liikmesriikide kohta leiab käesoleva aruande lisast punktist 4.2). Riigi suuruse ja identifitseeritud operaatorite arvu vahel on üldjuhul selge positiivne korrelatsioon. Ometi ei selgita see piisavalt suuri erinevusi liikmesriikide teatatud arvudes. Et võtta arvesse seost riigi suuruse ja elanikkonnaga, on joonisel 3 võrreldud liikmesriikides identifitseeritud oluliste teenuste operaatorite arvu 100 000 elaniku kohta. On näha, et lähenemisviisid, mida liikmesriigid on rakendanud operaatorite identifitseerimisel, on andnud väga erinevaid tulemusi. Sektorite ja allsektorite põhjalikumal uurimisel ilmnevad märkimisväärsed erinevused liikmesriikide identifitseeritud operaatorite arvus kõikides II lisaga hõlmatud sektorites ( joonis 4 ). Näiteks energeetikasektoris ulatub see näitaja 0,3st operaatorist 29 operaatorini 1 000 000 elaniku kohta. Pangandussektoris jääb see näitaja vahemikku 0,07–51 operaatorit 1 000 000 elaniku kohta (võtmata arvesse liikmesriike, kes ei ole identifitseerinud selles sektoris ühtki oluliste teenuste operaatorit).

2.5Direktiivi kohaldamine II lisas loetlemata sektorite suhtes Esitatud andmete vaatlemisel ilmneb, et 28 liikmesriigist 11 on määranud olulised teenused kindlaks sektorites, mis ei kuulu direktiivi II lisa kohaldamisalasse. Neist 11 liikmesriigist 7 on identifitseerinud kokku 157 oluliste teenuste operaatorit, kes ei ole hõlmatud II lisas loetletud üksuste liikide loeteluga. Täiendav sektor Näited üksustest Liikmesriikide arv Teabetaristu Andmekeskused, serverifarmid 5 Finantsteenused (II lisas loetlemata üksused) Kindlustus- ja edasikindlustusandjad 4 Riiklikud teenused Elektroonilised teenused kodanikele 4 Soojus Soojuse tootjad ja tarnijad 3 Heitvesi Kogumis- ja käitlusrajatised 3 Logistika Postiteenused 2 Toit Tootjad, kauplemiskohad 2 Keskkond Ohtlike jäätmete kõrvaldamine 2 Riiklik julgeolek / hädaabiteenused 112, kriisiohje 2 Keemiatööstus Ainete tarnijad ja tootjad 2 Sotsiaalteenused Sotsiaaltoetustega tegelevad üksused 1 Haridus Riigieksamitega tegelevad üksused 1 Ühistoitlustus Toidujagamise juhtimine 1 Vesi Vesirajatised 1 Kõige populaarsemad kategooriad on teabetaristu (mille oli kindlaks määranud viis liikmesriiki), II lisas loetlemata üksuste osutatavad finantsteenused (neli liikmesriiki) ja riiklikud teenused (neli liikmesriiki) ( tabel 5 ). Võttes arvesse seda, kui oluline on kübervastupanuvõime majanduse ja ühiskonna kui terviku toimimiseks, on mitu liikmesriiki otsustanud kasutada võimalust kaasata sektorid, mida ei ole II lisas loetletud. Seoses asjaoluga, et mitu liikmesriiki otsustas kohaldada direktiivi täiendavate sektorite suhtes, tõstatub küsimus, kas II lisa praegune kohaldamisala on asjakohane, et täita eesmärk kaitsta kõiki ühiskonna ja majanduse jaoks elutähtsaid liidu ettevõtjaid. 2.6Piiriülese konsulteerimise menetlus Direktiivi artikli 5 lõikes 4 nõutakse, et liikmesriigid peavad üksteisega konsulteerima, enne kui nad teevad lõpliku otsuse sellise oluliste teenuste operaatori identifitseerimise kohta, kes pakub teenuseid rohkem kui ühes liikmesriigis. Koostöörühm avaldas 2018. aasta juulis viitedokumendi, et aidata liikmesriikidel pidada nõuetekohaseid piiriüleseid konsultatsioone. Saadud teabe põhjal on vaid väga üksikud liikmesriikide ametiasutused otsustanud võtta ühendust sarnaste asutustega teistes liikmesriikides ning üksnes kaks liikmesriiki on suhelnud teiste liikmesriikidega põhjalikult. Peale selle on vaid mõni üksik liikmesriik märkinud, et ta on pöördunud teiste ametiasutuste poole ebasüstemaatilisemal viisil. Hoolimata sellest, et piiriülesed teenused on siseturul väga tähtsad, on enamik teiste liikmesriikidega ühendust võtnud liikmesriike pöördunud teiste liikmesriikide poole üksnes väga väikese arvu operaatorite puhul. Ent kuigi liikmesriigid kasutavad piiriülese konsulteerimise menetlust vähe, on paljud liikmesriikide ametiasutused väljendanud selle menetluse vastu huvi ja nad peavad seda direktiivi identifitseerimisraamistiku oluliseks elemendiks. Mitu liikmesriiki on väljendanud muret, et ilma tõhusa piiriülese konsulteerimiseta võivad operaatorid olla sunnitud täitma arvukaid erinevaid regulatiivseid nõudeid või nad võivad sattuda võrreldes teiste turul tegutsevate oluliste teenuste operaatoritega, kelle tegevus ei ole nii rangelt reguleeritud, ebasoodsamasse olukorda. Komisjon on teinud koos liikmesriikide ametiasutustega kindlaks mitu põhjust, miks konsulteerimismenetlust ei ole seni kasutatud kavandatud viisil: ·paljudel liikmesriikidel kulus oluliste teenuste operaatorite identifitseerimiseks oodatust rohkem aega, mistõttu kiirematel ei olnud võimalik nende riikidega konsulteerida; ·turvaliste teabeedastuskanalite puudumine: mõni liikmesriik ei soovinud vastaspooltega suhelda, pidades operaatorite nimesid salastatud teabeks;

·olemasolevate piiriüleste sõltuvusseoste suur hulk, mistõttu oli vaja ühendust võtta suure arvu asjaomaste liikmesriikidega, eriti üleeuroopaliste operaatorite puhul; ·ühise arusaama puudumine piiriülese konsulteerimise eesmärkidest ja ulatusest: kui mõni liikmesriik peab seda pelgalt vahendiks, mille abil teavitada üksteist sellisest oluliste teenuste operaatorite identifitseerimisest, millel on piiriülene mõju, siis teised peavad selle menetluse eesmärgiks piirmäärade ja regulatiivsete nõuete vastavusse viimist. Direktiivi põhjenduse 24 kohaselt on tegemist eeskätt menetlusega, mille raames hinnata identifitseerimisprotsessi jaoks ühiselt operaatori elutähtsust; ·kui liikmesriigiga võtavad seoses sama operaatoriga ühendust kaks muud liikmesriiki, ei pruugi asjaomane liimesriik olla suuteline viima oma eeskirjad samal ajal vastavusse mõlema liikmesriigi eeskirjadega. Selliste juhtude jaoks on põhjendusega 24 ette nähtud mitmepoolsed arutelud. Järjepidevuse tagamiseks on oluline, et liikmesriigid seda võimalust kasutaksid. 2.7Eriõigusakti põhimõtte arvessevõtmine identifitseerimisprotsessis Komisjon on kindlaks teinud mõningase ebajärjepidevuse eriõigusakti põhimõtte kohaldamisel liikmesriikides. Direktiivi kohaldatud ebaühtlaselt, mille tulemuseks on ühelt poolt oluliste teenuste operaatorite identifitseerimine sektorites, kus kohaldatakse sektoripõhiseid eeskirju, ja teiselt poolt oluliste teenuste operaatorite ebapiisav identifitseerimine mõnes II lisas nimetatud sektoris. Artikli 1 lõikes 3 on sätestatud, et direktiivi ei kohaldata ettevõtjatele, kelle suhtes kohaldatakse telekommunikatsiooni raamdirektiivi. Tundub, et mõni liikmesriik on siiski identifitseerinud oluliste teenuste operaatorid, kes pakuvad teenuseid, nagu internetiühenduse ja telefoniteenus, mis peaksid tegelikult olema reguleeritud telekommunikatsiooni raamdirektiiviga. Peale selle ei kohaldata vastavalt artikli 1 lõikele 7 direktiivi sätteid, mis käsitlevad turvanõudeid ja intsidentidest teatamist, operaatoritele, kelle suhtes juba kohaldatakse sektoripõhiseid liidu õigusakte, milles on sätestatud vähemalt samaväärse mõjuga kohustused. Ehkki enamik liikmesriike on identifitseerinud oluliste teenuste operaatorid pangandus- ja finantsturgude sektoris, ei ole mõni liikmesriik seda teinud, väites, et operaatorite pakutavad teenused on hõlmatud eriõigusaktiga. Komisjon alles kogub üksikasjalikku teavet selle kohta, kuidas eriõigusakti põhimõtet direktiivi alusel kohaldatakse. Komisjon kontrollib praegu põhjalikult siseriiklikke õigusakte ning külastab riike, et hinnata direktiivi, sealhulgas eriõigusakti käsitlevate sätete ülevõtmise ja rakendamise praegust taset. Selle põhjal kavatseb komisjon arutada eriõigusakti põhimõtet täiendavalt koostöörühmas, et saavutada liikmesriikide vahel parem kooskõla.

3.Kokkuvõte Käesolevas aruandes hinnatakse lähenemisviise, mille liikmesriigid on valinud oluliste teenuste operaatorite identifitseerimiseks võrgu- ja infosüsteemide turvalisuse direktiivi alusel. Aruande eesmärk on hinnata liikmesriikide tavade järjepidevust, pidades silmas praeguse raamistiku võimalikku mõju siseturu toimimisele ja kübersõltuvusega seotud riskide juhtimisele. Tehtud analüüsi põhjal on näha, et direktiiv on toiminud paljudes liikmesriikides katalüsaatorina, sillutades teed tõelistele muutustele küberturvalisuse institutsioonilises ja regulatiivses keskkonnas. Peale selle on oluliste teenuste operaatorite identifitseerimise kohustus kaasa toonud elutähtsates valdkondades ning tänapäevastes võrgu- ja infosüsteemides tegutsevate operaatoritega seotud riskide põhjaliku hindamise peaaegu kõikides liikmesriikides. Seda võib pidada saavutuseks liidu kui terviku jaoks koosõlas direktiivi eesmärkidega. Komisjon uuris käesoleva aruande jaoks liikmesriikide identifitseerimismetoodikaid, liikmesriikide ametiasutuste poolt oluliseks peetavaid teenuseid, identifitseerimise piirmäärasid ja direktiiviga hõlmatud sektorites identifitseeritud oluliste teenuste operaatorite arvu. ·Liikmesriigid on välja töötanud mitmesugused metoodikad oluliste teenuste operaatorite identifitseerimiseks (punkt 2.1), ent samuti oluliste teenuste määratlemiseks ja piirmäärade kehtestamiseks. See võib kahjustada direktiivi sätete järjepidevat kohaldamist kogu liidus ning kaasa tuua tagajärjed siseturu nõuetekohasele toimimisele ja kübersõltuvuse tõhusale käsitlemisele. ·Peale selle tundub, et liikmesriigid tõlgendavad küsimust, mis on direktiivi alusel oluline teenus, erinevalt ning lähenevad sellele erineva üksikasjalikkusega (vt punkt 2.2). Seetõttu on keeruline võrrelda oluliste teenuste loetelusid. Lisaks ähvardab direktiivi kohaldamisala killustatuse oht – mõnele operaatorile kohaldatakse täiendavaid regulatiivseid nõudeid (kuna asjaomane liikmesriik on operaatori identifitseerinud), samas kui teised sarnaseid teenuseid osutavad operaatorid on neist nõuetest vabastatud (sest neid ei ole identifitseeritud). Selle ebajärjepidevuse vähendamiseks tuleks jätkata liikmesriikide kogemustel põhinevat tööd, mille tulemuseks võib olla oluliste teenuste loetelude suurem kooskõla. ·Peale selle tehti aruandes kindlaks märkimisväärne ebajärjepidevus piirmäärade kohaldamisel liikmesriikides (punkt 2.3). Seda probleemi võiks aidata leevendada piirmäärade täiendav kooskõlastamine ELi tasandil. Sellist tööd võiks teha näiteks valdkondlike töösuundade raames koostöörühmas, võttes arvesse riiklikke iseärasusi, nagu väikeste liikmesriikide erinõuded. ·Asjaolu, et mõni riik on kasutanud võimalust määrata kindlaks olulised teenused sektorites või allsektorites, mida II lisa ei hõlma, osutab sellele, et direktiivis käsitletute kõrval on teisigi sektoreid, mis võivad olla küberintsidentide suhtes haavatavad (punkt 2.5). Oluliste teenuste operaatorite identifitseerimine sellistes sektorites nagu teabetaristu, II lisas loetlemata üksuste osutatavad finantsteenused ning riiklikud teenused võib parandada nende sektorite üksuste kübervastupanuvõimet. Samas võib sellel, kui sellistes sektorites tegutsevad oluliste teenuste operaatorid identifitseeritakse vaid osas liikmesriikides, olla negatiivsed tagajärjed siseturule ja võrdsetele tingimustele, mille siseturg peaks tagama. Liikmesriikide ametiasutuste välja töötatud arvukad metoodikad ja parimad tavad on väga väärtuslikud ja neid tuleks tulevikus arvesse võtta, näiteks koostöörühma töös ja oluliste teenuste operaatorite jätkuval identifitseerimisel liikmesriikides. Samas võib praegusel mitmekesisusel olla kahjulik mõju direktiivi eesmärkide saavutamisele. Komisjoni esialgne järeldus on, et ehkki direktiiviga on käivitatud oluline protsess, et täiendada ja parandada elutähtsate sektorite operaatorite riskijuhtimistavasid, esineb liidus kõnealuste operaatorite identifitseerimisel märkimisväärset killustatust. See on põhjustatud osaliselt direktiivi ülesehitusest ja osaliselt liikmesriikides kasutatavatest erinevatest rakendamismetoodikatest.

Liikmesriigid peaksid püüdma kohaldada direktiivi sätteid võimalikult järjepidevalt, kasutades igakülgselt komisjoni ja koostöörühma koostatud juhenddokumente. Komisjon on kindlaks määranud mitu siseriiklikku meedet, mis võivad aidata leevendada käesolevas aruandes esile toodud probleeme. ·Paljud liikmesriigid ei ole viinud oluliste teenuste operaatorite identifitseerimise protsessi lõpule direktiivis ette nähtud aja jooksul. Käesoleva aruande avaldamise kuupäevaks oli kõik artikli 5 lõikes 7 nõutavad andmed esitanud 23 liikmesriiki. Lisaks oli 5 liikmesriiki esitanud osalise teabe. Komisjon kutsub identifitseerimise eest vastutavaid liikmesriikide ametiasutusi üles viima protsessi lõpule nii ruttu kui võimalik ning edastama vajaliku teave komisjonile võimalikult lühikese hilinemisega. ·Pädevad asutused peaksid vaatama oma oluliste teenuste loetelud korrapäraselt läbi ning tagama, et kõik olemasolevad olulised teenused on kindlaks määratud, millega väheneks kõikjal siseturul oluliste teenuste loeteludes leiduvate ebajärjepidevusest põhjustatud lünkade arv. ·Liikmesriigid peaksid aktiivsemalt üksteisega suhtlema, et kooskõlastada võimaluse korral piirmäärasid, eelkõige tugeva piiriülese mõõtmega sektorites, nagu transport ja energeetika. Seda on võimalik saavutada direktiivi artikli 5 lõikes 4 sätestatud piiriülese konsulteerimise menetluse kaudu, kuid samuti kasutades paremini koostöörühma olemasolevaid struktuure. ·Liikmesriikide ametiasutused peaksid üksteisega konsulteerima, kandmaks hoolt selle eest, et piiriüleste operaatorite suhtes kohaldatakse siseturul sarnaseid turva- ja intsidentidest teatamise nõudeid. Peale selle peaksid liikmesriigid selliste operaatoritega ühendust võtma, et koguda rohkem teavet regulatiivsete erinevuste kohta. Kübervastupanuvõime ei tohiks suureneda regulatiivse killustatuse hinnaga. Vajaduse korral peaksid liikmesriigid osalema ka mitmepoolsetes aruteludes, nagu on kavandatud direktiivi põhjenduses 24. Lisaks siseriiklikele meetmetele on hulk järjepidevust suurendavaid meetmeid, mida saaks võtta liidu tasandil. Komisjon algatab arutelud, et täiustada ebaühtlaseid ja teinekord killustatud identifitseerimissüsteeme. Need võimalikud meetmed hõlmavad muu hulgas järgmist. ·Tuleks tugevdada võrgu- ja infoturbe koostöörühma rolli, et edendada ühist arusaama sellest, kuidas rakendada direktiivi järjepidevamalt. Selleks teeb komisjon ettepaneku vaadata kiiresti läbi oluliste teenuste operaatorite identifitseerimisele keskenduva spetsiaalse töösuuna suunised, et paremini vähendada olemasolevat ebajärjepidevust. Koostöörühm peaks kaaluma ka täiendavate valdkondlike töösuundade loomist, et suurendada liikmesriikidevahelist sidusust, ja spetsiaalse suhtlusvahendi kasutamist, et edendada koostöörühmas koostööd. ·Vaid mõni üksik liikmesriik kasutab rohkem kui ühes liikmesriigis olulisi teenuseid pakkuvate operaatorite identifitseerimisel praegu piiriülese konsulteerimise menetlust. Teabevahetuse tõhustamiseks peaks koostöörühm vaatama läbi oma viitedokumendi, mis käsitleb piiriülese mõjuga juhtumite puhul toimuva konsulteerimise korda, ning leppima kokku sellise konsulteerimise ulatuse, eesmärkide ja menetluste järjepidevas tõlgenduses. Samal ajal uurib komisjon viise, kuidas pädevad asutused saaksid vahetada turvaliselt teavet. ·Tundub, et liikmesriikides esineb teatavat ebajärjepidevust eriõigusakti käsitlevate direktiivi sätete kohaldamisel. Seepärast kasutab komisjon koostöörühma struktuure, et arutada juhtumeid, mille puhul eriõigusakti põhimõtte kohaldamine ei pruugi olla õige. Liidu tasandil võetavad meetmed peaksid tagama sidusa raamistiku, kuna neis võetakse arvesse nii valdkondlikke meetmeid, millega nähakse ette küberturvalisuse alased eri- või rangemad nõuded, kui ka muid Euroopa õigusakte.



4.Lisad 4.1Ülevaade olemasolevatest andmetest liikmesriikide lõikes Liikmesriik Esitamise kuupäev Teenuste loetelu Oluliste teenuste operaatorite arv Piirmäärad AT Hilinenult esitatud Esitatud PUUDUVAD Esitatud BE Hilinenult esitatud Esitatud PUUDUVAD PUUDUVAD BG Hilinenult esitatud Esitatud Esitatud Esitatud CY Õigeaegselt esitatud Esitatud Esitatud Esitatud CZ Hilinenult esitatud Esitatud Esitatud Esitatud DE Õigeaegselt esitatud Esitatud Esitatud Esitatud DK Õigeaegselt esitatud Esitatud Esitatud Esitatud EE Õigeaegselt esitatud Esitatud Esitatud Esitatud EL Hilinenult esitatud Esitatud Esitatud Esitatud ES Õigeaegselt esitatud Esitatud Esitatud Esitatud FI Õigeaegselt esitatud Esitatud Esitatud Esitatud FR Õigeaegselt esitatud Esitatud Esitatud Ametlikud piirmäärad puuduvad HR Õigeaegselt esitatud Esitatud Esitatud Esitatud HU Õigeaegselt esitatud Osaliselt esitatud Osaliselt esitatud Osaliselt esitatud IE Hilinenult esitatud Esitatud Esitatud Esitatud IT Hilinenult esitatud Esitatud Esitatud Esitatud LT Õigeaegselt esitatud Esitatud Esitatud Esitatud LU Hilinenult esitatud Esitatud Esitatud Esitatud LV Hilinenult esitatud Esitatud Esitatud Esitatud MT Hilinenult esitatud Esitatud Esitatud Esitatud NL Hilinenult esitatud Esitatud Esitatud Esitatud PL Õigeaegselt esitatud Esitatud Esitatud Esitatud PT Õigeaegselt esitatud Esitatud Esitatud Esitatud RO Hilinenult esitatud Esitatud Osaliselt esitatud PUUDUVAD SE Õigeaegselt esitatud Esitatud Esitatud Esitatud SI Hilinenult esitatud Esitatud PUUDUVAD Esitatud SK Õigeaegselt esitatud Esitatud Esitatud Esitatud UK Õigeaegselt esitatud Esitatud Esitatud Esitatud 4.2Liikmesriikide kindlaks määratud teenuste ja identifitseeritud oluliste teenuste operaatorite arv Liikmesriik Identifitseeritud oluliste teenuste operaatorid II lisaga hõlmatud teenused Muud teenused AT 0 46 0 BE 0 31 0 BG 185 30 3 CY 20 29 17 CZ 50 31 12 DE 573 15 12 DK 128 39 0 EE 137 18 6 EL 67 30 0 ES 132 55 18 FI 10 897 20 0 FR 127 70 20 HR 85 49 2 HU 42 12 0 IE 64 26 0 IT 553 37 0 LT 22 37 0 LU 49 21 0 LV 66 18 0 MT 36 29 2 NL 42 12 0 PL 142 87 0 PT 1 250 26 0 RO 86 77 0 SE 326 27 0 SI 0 34 2 SK 273 28 7 UK 470 34 0 4.3Liikmesriikide kindlaks määratud elektri allsektori teenused Liikmesriik Kindlaksmääratud teenused AT ̶Elektrienergia tootmise rajatised ̶Tootmisrajatiste kontrollisüsteemid ̶Jaotusvõrgud ̶Ülekandevõrgud BE ̶Tootmis-, transpordi- ja jaotusettevõtjad ̶Elektrienergia jaotamine ̶Elektrienergia transport BG ̶Elektrienergia tootmine ̶Elektrienergia ülekandmine ̶Elektrienergia ülekandevõrgu käitamine, hooldamine ja arendamine ̶Elektrienergia jaotamine ̶Elektrienergia jaotusvõrgu toimimise tagamine ja hooldamine ̶Elektriturg CY ̶Tootmine / varustamine ̶Jaotamine / ülekandmine ̶Elektrituru teenused CZ ̶Elektrienergia tootmine ̶Elektrienergia müümine ̶Ülekandevõrgu käitamine ̶Jaotusvõrgu käitamine DE ̶Energiaga varustamine DK ̶Elektrienergia ülekandmine ̶Elektrienergia jaotamine ̶Elektrienergia tootmine EE ̶Elektrienergiaga varustamine EL ̶Elektrienergiaga varustamine ̶Elektrienergia jaotamine ̶Elektrienergia ülekandmine ES ̶Elektrienergia tootmine ̶Elektrienergia ülekandmine ̶Elektrienergia jaotamine ̶Elektrisüsteemide käitamise ja kontrolli keskused FI ̶Ülekandeteenused ̶Elektrienergia jaotamine jaotusvõrgus ̶Elektrienergiaga varustamine kõrgepinge jaotusvõrkude kaudu FR ̶Elektrienergia müümine või edasimüümine hulgimüüjatele ja lõpptarbijatele ̶Elektrienergia jaotamine ̶Elektrienergia ülekandmine HR ̶Elektrienergia tootmine ̶Elektrienergia ülekandmine ̶Elektrienergia jaotamine HU ̶Elektrienergia IE ̶Jaotusvõrgu operaatorid ̶Elektriettevõtjad ̶Ülekandevõrgu operaatorid IT ̶Tootmine ̶Kauplemine ̶Ülekandmine ̶Jaotamine LT ̶Elektrienergia tootmise teenus ̶Elektrienergia ülekandmise teenus ̶Elektrienergia jaotamise teenus ̶Elektrienergiaga varustamise teenus LU ̶Elektrienergiaga varustamine ̶Elektrienergia jaotamine ̶Elektrienergia ülekandmine LV ̶Elektrienergia tootmine ̶Elektrienergia jaotamine ̶Elektrienergia ülekandmine MT ̶Tarbijate varustamine elektrienergiaga ̶Elektrienergia ülekandmine ja/või jaotamine tarbijatele ̶Elektrienergia tootmine tarbijatele NL ̶Elektrienergia ülekandmine ja jaotamine PL ̶Elektrienergia tootmine ̶Elektrienergia ülekandmine ̶Elektrienergia jaotamine ̶Elektrienergiaga kauplemine ̶Elektrienergia salvestamine ̶Kvaliteedi tagamise teenused ja energiataristu haldamine PT ̶Jaotusvõrgu operaatorid ̶Ülekandevõrgu operaatorid RO ̶Elektrienergia tootmine ̶Tarbijate varustamine elektrienergiaga ̶Tsentraliseeritud elektriturgude käitamine ̶Elektrienergia transportimine ̶Elektrisüsteemi käitamine ̶Elektrienergia jaotamine SE ̶Ülekandevõrgu operaatorid ̶Jaotusvõrgu operaatorid ̶Tootmine ̶Hulgikaubandus SI ̶Elektrienergia tootmine hüdroelektrijaamades ̶Elektrienergia tootmine soojuselektrijaamades ja tuumaelektrijaamades ̶Elektrienergia ülekandmine ̶Elektrienergia jaotamine ̶Elektrienergia müümine SK ̶Elektriettevõtja ̶Ülekandevõrgu operaatorid ̶Jaotusvõrgu operaatorid UK ̶Elektrienergiaga varustamine ̶Elektrienergia ülekandmine ̶Elektrienergia jaotamine