EUROOPA KOMISJON Brüssel,16.12.2020 COM(2020) 823 final 2020/0359(COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU DIREKTIIV, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv 2016/1148 (EMPs kohaldatav tekst) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



SELETUSKIRI 1.ETTEPANEKU TAUST •Ettepaneku põhjused ja eesmärgid Käesolev ettepanek on osa meetmepaketist, mille eesmärk on täiendavalt suurendada avaliku ja erasektori üksuste, pädevate asutuste ja liidu kui terviku vastupidavusvõimet ja intsidentidele reageerimise suutlikkust küberturvalisuse ja kriitilise tähtsusega taristu kaitse valdkonnas. See on kooskõlas komisjoni prioriteetidega muuta Euroopa digiajastule vastavaks ja ehitada üles tulevikuvalmis majandus, mis toimib inimeste heaks. Küberturvalisus on COVID-19 kriisile reageerimisel komisjoni prioriteet. Meetmepakett hõlmab uut küberturvalisuse strateegiat, mille eesmärk on tugevdada liidu strateegilist sõltumatust, et suurendada liidu vastupidavusvõimet, tõhustada ühist reageerimist ning ehitada üles avatud ja üleilmne internet. Pakett hõlmab ka ettepanekut võtta vastu elutähtsate teenuste kriitilise tähtsusega operaatorite vastupidavusvõimet käsitlev direktiiv, mille eesmärk on vähendada kõnealuseid operaatoreid ähvardavaid füüsilisi ohte. Käesolev ettepanek põhineb võrgu- ja infosüsteemide turvalisust käsitleval direktiivil (EL) 2016/1148 (küberturvalisuse direktiiv) ning tühistab selle. Kõnealune direktiiv on esimene üleliiduline küberturvalisust käsitlev õigusakt, millega nähakse ette õiguslikud meetmed küberturvalisuse üldise taseme tõstmiseks liidus. Küberturvalisuse direktiiv on 1) aidanud suurendada küberturvalisuse alast suutlikkust riiklikul tasandil, nõudes liikmesriikidelt riiklike küberturvalisuse strateegiate vastuvõtmist ja küberturvalisuse eest vastutavate asutuste määramist; 2) suurendanud liikmesriikidevahelist koostööd liidu tasandil, pannes aluse mitmesugustele foorumitele, mis hõlbustavad strateegilise ja operatiivteabe vahetamist; 3) parandanud avaliku ja erasektori üksuste kübervastupidavusvõimet seitsmes sektoris (energia, transport, pangandus, finantsturutaristud, tervishoid, joogiveevarustus ja -jaotus, digitaristud) ning kolmes digiteenusevaldkonnas (internetipõhised kauplemiskohad, internetipõhised otsingumootorid ja pilvandmetöötlusteenused), pannes liikmesriikidele kohustuse tagada, et oluliste teenuste operaatorid ja digiteenuse osutajad kehtestaksid küberturvalisuse nõuded ja teavitaksid intsidentidest. Ettepanekuga soovitakse ajakohastada kehtivat õigusraamistikku, võttes arvesse viimastel aastatel toimunud siseturu digiteerimise kasvu ja küberturvalisusega seotud muutuvat ohumaastikku. Mõlemad arenguprotsessid on pärast COVID-19 kriisi vallandumist veelgi intensiivistunud. Ettepanekus käsitletakse ka mitmeid puudusi, mis takistasid küberturvalisuse direktiivi potentsiaali täielikku kasutamist. Küberturvalisuse direktiiv, mis sillutas paljudes liikmesriikides tee olulisele mõtteviisi muutusele ning pani aluse küberturvalisuse alase institutsioonilise ja regulatiivse lähenemisviisi kujunemisele, on andnud märkimisväärseid tulemusi, kuid selle võimalused on osutunud piiratuks. Ühiskonna digiüleminek (mida võimendas COVID-19 kriis) on ohumaastikku laiendanud ning toonud kaasa uusi probleeme, mis nõuavad kohandatud ja uuenduslikke lahendusi. Küberrünnete arv kasvab endiselt, need on üha keerukama ülesehitusega ning pärinevad paljudest eri allikatest nii ELis kui ka mujal. Küberturvalisuse direktiivi toimimise hindamisel, mis tehti mõjuhinnangu koostamiseks, tuvastati järgmised probleemid: 1) ELis tegutsevate ettevõtjate kübervastupidavusvõime madal tase; 2) liikmesriikide ja sektorite vastupidavusvõime taseme ebaühtlus; 3) ühise olukorrateadlikkuse madal tase ja ühistegevuse puudulikkus kriisile reageerimisel. Näiteks ei kuulu mõne liikmesriigi teatavad suurhaiglad küberturvalisuse direktiivi kohaldamisalasse ja seega ei ole nad kohustatud selles sätestatud turvameetmeid rakendama, samas kui mõnes teises liikmesriigis kohaldab küberturvalisuse direktiivi nõudeid peaaegu iga tervishoiuteenuse osutaja. Õigusloome kvaliteedi ja tulemuslikkuse programmi (REFIT) algatusena tehtava ettepanekuga soovitakse vähendada pädevate asutuste regulatiivset koormust ning avaliku ja erasektori üksuste jaoks nõuete täitmise kulusid. Eelkõige saavutatakse see sellega, et kaotatakse pädevate asutuste kohustus tuvastada elutähtsate teenuste operaatorid ning ühtlustatakse turvalisus- ja teatamisnõudeid, et hõlbustada õigusnormidele vastavuse tagamist piiriüleseid teenuseid osutavate üksuste jaoks. Samas antakse pädevatele asutustele hulk uusi ülesandeid, sealhulgas mõne sellise sektori üksuste järelevalve, mida küberturvalisuse direktiiviga seni ei hõlmatud. •Kooskõla poliitikavaldkonnas praegu kehtivate õigusnormidega Käesolev ettepanek on osa liidu tasandi olemasolevate õigusaktide ja tulevaste algatuste kogumist, mille eesmärk on suurendada avaliku ja erasektori üksuste vastupidavusvõimet ohtude suhtes. Küberturvalisuse valdkonnas on need eelkõige direktiiv (EL) 2018/1972, millega kehtestatakse Euroopa elektroonilise side seadustik (mille küberturvalisusega seotud sätted asendatakse käesolevas ettepanekus esitatud sätetega), ja ettepanek võtta vastu finantssektori digitaalset operatiivset vastupidavusvõimet käsitlev määrus (COM(2020) 595 final). Kumbagi kõnealust õigusakti käsitatakse nende jõustumise järel käesoleva ettepaneku suhtes eriõigusaktina (lex specialis). Füüsilise turvalisuse valdkonnas täiendab käesolev ettepanek ettepanekut kriitilise tähtsusega üksuste vastupanuvõimet käsitleva direktiivi kohta, millega vaadatakse läbi direktiiv 2008/114/EÜ (Euroopa elutähtsate infrastruktuuride identifitseerimise ja määramise ning nende kaitse parandamise vajaduse hindamise kohta (Euroopa elutähtsate infrastruktuuride direktiiv)), millega kehtestatakse liidu menetluskord Euroopa kriitilise tähtsusega infrastruktuuride identifitseerimiseks ja määramiseks ning sätestatakse lähenemisviis nende kaitse parandamiseks. 2020. aasta juulis võttis komisjon vastu ELi julgeolekuliidu strateegia, milles tunnistati füüsiliste ja digitaristute üha suuremat omavahelist seotust ning vastastikust sõltuvust. Selles rõhutati vajadust ühtlustada Euroopa elutähtsate taristute direktiivi ja direktiivi (EL) 2016/1148 (mis käsitleb meetmeid, millega tagada võrgu- ja infosüsteemide turvalisuse ühtlaselt kõrge tase kogu liidus) lähenemisviise. Seega on käesolev ettepanek viidud kooskõlla kriitilise tähtsusega üksuste vastupanuvõimet käsitleva direktiivi ettepanekuga, mille eesmärk on suurendada kriitilise tähtsusega üksuste vastupanuvõimet füüsiliste ohtude suhtes paljudes sektorites. Ettepaneku eesmärk on tagada, et pädevad asutused võtavad kummagi õigusakti alusel täiendavaid meetmeid ning vahetavad vajaduse korral teavet kübervastupidavusvõime ja muud laadi vastupanuvõime kohta ning et (eriti) käesoleva ettepaneku kohaselt elutähtsana käsitatavate sektorite kriitiliselt tähtsate operaatorite suhtes kohaldatakse ka üldisemaid vastupanuvõime suurendamise kohustusi, mille puhul on rõhk muudel kui küberohtudel. •Kooskõla liidu muude tegevuspõhimõtetega Nagu on märgitud teatises „Euroopa digituleviku kujundamine“, on väga oluline, et Euroopa kasutaks ära kõik digiajastu hüved ning tugevdaks oma tööstus- ja innovatsioonisuutlikkust ohututes ja eetilistes piirides. Euroopa andmestrateegias on sätestatud andmeid kasutava ühiskonna eeltingimusena neli sammast – andmekaitse, põhiõigused, ohutus ja küberturvalisus. Oma 12. märtsi 2019. aasta resolutsioonis kutsus Euroopa Parlament „[...] komisjoni üles hindama vajadust laiendada küberturvalisuse direktiivi kohaldamisala ka muudele elutähtsatele sektoritele ja teenustele, mida valdkondlikud õigusaktid ei hõlma“. Oma 9. juuni 2020. aasta järeldustes tervitas nõukogu „[...] komisjoni kavatsust tagada turuosalistele sidusad eeskirjad ning hõlbustada turvalist, töökindlat ja asjakohast teabe jagamist ohtude ja intsidentide kohta, sealhulgas võrgu- ja infosüsteemide turvalisuse direktiivi läbivaatamise kaudu, et otsida võimalusi kübervastupidavusvõime parandamiseks ja küberrünnetele tõhusamaks reageerimiseks, eelkõige olulise majandusliku ja ühiskondliku tegevuse puhul, austades samal ajal liikmesriikide pädevusi, sealhulgas nende vastutust oma riikliku julgeoleku eest“.Lisaks ei piira kavandatav õigusakt Euroopa Liidu toimimise lepingus sätestatud konkurentsieeskirjade kohaldamist.

Arvestades, et märkimisväärne osa küberturvalisust ähvardavatest seotud ohtudest pärineb väljastpoolt ELi, on vaja ühtset lähenemisviisi rahvusvahelisele koostööle. Käesoleva direktiiviga antakse võrdlusmudel, mida tuleb edendada ELi ja kolmandate riikide koostöö kontekstis, eelkõige seoses välise tehnilise abi osutamisega. 2.ÕIGUSLIK ALUS, SUBSIDIAARSUS JA PROPORTSIONAALSUS •Õiguslik alus Küberturvalisuse direktiivi õiguslik alus on Euroopa Liidu toimimise lepingu artikkel 114, mille eesmärk on rajada siseturg ja tagada selle toimimine, tõhustades siseriiklike normide ühtlustamise meetmeid. Nagu Euroopa Liidu Kohus sedastas oma otsuses kohtuasjas „C58/08: Vodafone jt“, on ELi toimimise lepingu artiklile 114 tuginemine põhjendatud, kui siseturu toimimisele otsest mõju avaldavates liikmesriikide normides on erinevusi. Samuti sedastas kohus, et kui ELi toimimise lepingu artiklil 114 põhineva aktiga on kõrvaldatud kõik kaubanduslikud takistused valdkonnas, mille ühtlustamiseks see on vastu võetud, ei saa ühenduse seadusandjalt võtta võimalust kohandada kõnealust akti vastavalt asjaolude muutumisele ja teadmuse arengule, arvestades tema ülesannet tagada osutatud lepingus sätestatud üldiste huvide kaitse. Kohus sedastas ka seda, et ELi toimimise lepingu artikliga 114 hõlmatud ühtlustamismeetmetega nähakse olenevalt üldisest kontekstist ja ühtlustatava valdkonna asjaoludest ette kaalutlusõigus selle suhtes, milline ühtlustamismeetod on soovitud tulemuse saavutamiseks kõige sobivam. Kavandatud õigusaktiga kõrvaldataks elutähtsate ja oluliste üksuste siseturu tõkked ning tõhustataks selle ülesehitamist ja toimimise tagamist järgmiselt: kehtestatakse selged üldkohaldatavad eeskirjad küberturvalisuse direktiivi kohaldamisala kohta, ühtlustades eeskirju, mida kohaldatakse küberturvalisuse alase riskijuhtimise ja intsidentidest teatamise suhtes. Praegused erinevused selles valdkonnas (mida esineb nii seadusandlikul kui ka järelevalve tasandil ja nii riiklikul kui ka ELi tasandil) takistavad siseturu toimimist, kuna piiriülese tegevusega üksused peavad arvestama erinevate ja ka potentsiaalselt kattuvate regulatiivsete nõuete ja/või nende kohaldamisega, mis piirab teenuste pakkumise ja osutamise vabaduse kasutamise võimalusi. Erinevad eeskirjad mõjutavad negatiivselt ka siseturu konkurentsitingimusi eri liikmesriikide sama tüüpi üksuste jaoks. •Subsidiaarsus (ainupädevusse mittekuuluva valdkonna puhul) Kübervastupidavusvõime ei saa olla kogu liidus ühtlaselt tõhus, kui seda käsitletakse eri lähenemisviise rakendades ja riiklikult või piirkondlikult kapseldudes. Küberturvalisuse direktiiviga nähti osutatud puuduse kõrvaldamiseks ette osaline lahendus, kehtestades võrgu- ja infosüsteemide turvalisuse raamistiku riiklikul ja liidu tasandil. Samas tõi direktiivi ülevõtmine ja kohaldamine esile ka teatavate sätete või lähenemisviiside olemuslikud puudused ning piiratud rakendatavuse. Näiteks selgus direktiivi kohaldamisala ebaselge piiritletus, mis tähendas liikmesriikide tasandil märkimisväärseid erinevusi ELi sekkumise tegelikus ulatuses ja põhjalikkuses. Lisaks on Euroopa majanduse sõltuvus võrgu- ja infosüsteemidest COVID-19 kriisi tekkimisest alates veelgi suurenenud ning sektorid ja teenused on omavahel üha rohkem seotud. ELi sekkumine suuremas ulatuses, kui küberturvalisuse direktiivi praegused meetmed ette näevad, on põhjendatav peamiselt järgmisega: i) võrgu- ja infosüsteemide turvalisusega seotud ohtude ja probleemide üha piiriülesem olemus; ii) liidu meetmete potentsiaal parandada ja hõlbustada tõhusat ja koordineeritud riiklikku poliitikat; iii) kooskõlastatud ja koostööl põhinevate poliitikameetmete panus andmekaitse ja eraelu puutumatuse tõhusasse kaitsesse. •Proportsionaalsus Käesoleva direktiivi kavandatud eeskirjadega reguleeritakse üksnes seda, mis on vajalik, et saavutada kindlad eesmärgid rahuldaval tasemel. Kavandatav turvameetmete ja teatamiskohustuste vastavusse viimine ja ühtlustamine lähtub liikmesriikide ja ettevõtjate taotlustest praegust raamistikku parandada. Ettepanekus võetakse arvesse liikmesriikides juba juurdunud tavasid. Selliste ühtlustatud ja kooskõlastatud nõuetega saavutatav kaitse kõrgem tase on proportsionaalne, kui võtta arvesse üha suurenevaid ohte, sealhulgas piiriülese mõõtmega ohte. Need nõuded on mõistlikud ning vastavad üldiselt nende üksuste huvidele, kes soovivad tagada oma teenuste järjepidevuse ja kvaliteedi. Liikmesriikide vahelise süsteemse koostöö tagamise kulud oleksid küberturvalisuse intsidentide põhjustatava majandusliku ja ühiskondliku kahjuga võrreldes väikesed. Küberturvalisuse direktiivi muutmist kooskõlas eespool kirjeldatuga toetavad ka kõnealuse direktiivi läbivaatamise raames sidusrühmadega peetud konsultatsioonide, sealhulgas avatud avaliku konsultatsiooni ja sihtotstarbeliste uuringute tulemused. •Vahendi valik Käesoleva ettepanekuga ühtlustatakse täiendavalt ettevõtjatele pandud kohustusi ja tagatakse nende kõrgemal tasemel kooskõla. Samas soovitakse ettepanekuga anda liikmesriikidele vajalik paindlikkus, et võimaldada võtta arvesse riiklikke eripärasid (näiteks anda võimalus määratleda täiendavaid elutähtsaid või olulisi üksusi, mida õigusaktis sätestatud lähtetasemel pole hõlmatud). Tulevane õigusakt peaks seega olema direktiiv, kuna see võimaldab sihipärast ühtlustamist ja ka teatavat paindlikkust pädevate asutuste jaoks. 3.JÄRELHINDAMISE, SIDUSRÜHMADEGA KONSULTEERIMISE JA MÕJU HINDAMISE TULEMUSED •Praegu kehtivate õigusaktide järelhindamine või toimivuse kontroll Komisjon viis läbi küberturvalisuse direktiivi toimimise hindamise. Ta analüüsis selle asjakohasust, lisaväärtust ELi jaoks, sidusust ja tõhusust. Analüüsi peamised tulemused on järgmised. ·Küberturvalisuse direktiivi kohaldamisala on hõlmatud sektorite puhul liiga piiratud peamiselt järgmistel põhjustel: i) viimastel aastatel on digiteerimine hoogustunud ja vastastikuse seotuse määr tõusnud, (ii) küberturvalisuse direktiivi kohaldamisala ei hõlma enam kõiki digiteeritud sektoreid, mis tagavad majandusele ja ühiskonnale tervikuna olulisi teenuseid. ·Küberturvalisuse direktiiv ei sätesta piisavalt selgelt elutähtsate teenuste operaatorite määratluse ulatust ja selle sätetest ei selgu piisavalt täpselt riikide pädevus digiteenuste osutajate suhtes. See on tinginud olukorra, kus teatud tüüpi üksusi pole kõigis liikmesriikides vastavalt määratletud, mistõttu ei nõuta neilt turvameetmete kehtestamist ega intsidentidest teatamist. ·Küberturvalisuse direktiiviga anti liikmesriikidele ulatuslik kaalutlusõigus elutähtsate teenuste operaatorite turvalisuse ja intsidentidest teatamise nõuete kehtestamisel. Hindamise tulemustest nähtub, et mõnel juhul on liikmesriigid rakendanud neid nõudeid märkimisväärselt erinevalt, pannes sellega lisakoormuse ettevõtjatele, kes tegutsevad rohkem kui ühes liikmesriigis. ·Küberturvalisuse direktiivi järelevalve- ja täitmise tagamise kord ei ole tõhus. Näiteks on liikmesriigid hoidunud kohaldamast sanktsioone üksuste suhtes, kes ei ole turvanõudeid kehtestanud või intsidentidest teatanud. See võib avaldada nende üksuste kübervastupidavusvõimele negatiivset mõju.

·Liikmesriigid on vastavate ülesannete (nt elutähtsate teenuste operaatorite identifitseerimine või järelevalve) täitmiseks eraldanud rahalisi ja inimressursse väga erineval määral, mistõttu on ka küberturvalisusega seotud riskide käsitlemise tase väga erinev. See suurendab kübervastupidavusvõime taseme erinevust liikmesriikide vahel veelgi. ·Liikmesriigid ei jaga üksteisega korrapäraselt teavet, mis mõjutab negatiivselt küberturvalisuse meetmete tõhusust ja ühise olukorrateadlikkuse taset ELi tasandil. Sama kehtib ka erasektori üksuste vahelise teabevahetuse kohta ning ELi tasandi koostööstruktuuride ja erasektori üksuste koostöö kohta. •Konsulteerimine sidusrühmadega Komisjon on konsulteerinud paljude sidusrühmadega. Liikmesriike ja sidusrühmi kutsuti osalema avatud avalikus konsultatsioonis ning Wavestone’i, Euroopa Poliitikauuringute Keskuse (CEPS) ja ICFi korraldatud küsitlustel ja seminaridel, mille komisjon tellis küberturvalisuse direktiivi läbivaatamist toetava uuringu tegemiseks. Konsulteerimisel osalenud sidusrühmade seas olid pädevad asutused, küberturvalisusega tegelevad liidu asutused, elutähtsate teenuste operaatorid, digiteenuse osutajad, praegu kehtiva küberturvalisuse direktiivi kohaldamisalast välja jäävaid teenuseid osutavad üksused, kutseühingud, tarbijaorganisatsioonid ja kodanikud. Lisaks on komisjon pidevalt suhelnud küberturvalisuse direktiivi kohaldamise eest vastutavate pädevate asutustega. Koostöörühm on põhjalikult käsitlenud mitmeid valdkonnaüleseid ja valdkondlikke rakendusaspekte. 2019. ja 2020. aastal toimunud võrgu- ja infosüsteemide turvalisuse alaste riiklike külastuste käigus küsitles komisjon 154 avaliku ja erasektori üksust ning 117 pädevat asutust. •Eksperdiarvamuste kogumine ja kasutamine Komisjon on sõlminud lepingu Wavestone’i konsortsiumi, CEPSi ja ICFiga, kes toetavad komisjoni küberturvalisuse direktiivi läbivaatamisel. Lisaks küberturvalisuse direktiivist otseselt mõjutatud sihtrühmi kaasavate sihtuuringute ja seminaride korraldamisele on konsulteeritud ka paljude küberturvalisuse valdkonna ekspertidega, näiteks küberturvalisuse teema uurijate ja küberturvalisuse ala spetsialistidega. •Mõjuhinnang Ettepanekule on lisatud mõjuhinnang, mis esitati õiguskontrollikomiteele 23. oktoobril 2020 ja mille kohta õiguskontrollikomitee esitas positiivse arvamuse koos märkustega 20. novembril 2020. Õiguskontrollikomitee soovitas teha mõnes aspektis parandusi, et: 1) kirjeldada probleemianalüüsis paremini mõju piiriülese ülekandumise rolli; 2) selgitada paremini, milles väljenduks algatuse edu; 3) põhjendada täiendavalt poliitikavariante; 4) kajastada täpsemalt kavandatud meetmete kulusid. Mõjuhinnangut kohandati vastavalt nimetatud probleempunktidele ja õiguskontrollikomitee osutatud üksikasjalikumatele märkustele. Nüüd hõlmab see üksikasjalikumaid selgitusi mõju piiriülese ülekandumise rolli kohta küberturvalisuse valdkonnas, selgemat ülevaadet edu mõõtmise kohta, üksikasjalikumaid selgitusi kaalutud erinevate poliitikavariantide ja vastavate meetmete ülesehituse ja loogika kohta, üksikasjalikumaid selgitusi küberturvalisuse direktiivi valdkondliku kohaldamisalaga seoses analüüsitud aspektide kohta ning täiendavaid selgitusi kulude kohta. Komisjon kaalus mitut poliitikavarianti, et parandada kübervastupidavusvõime ja intsidentidele reageerimise alast õigusraamistikku. ·Meetmeid ei võeta. Küberturvalisuse direktiivi ei muudeta ning selle hindamisel tuvastatud probleemide lahendamiseks ei võeta ka teisi, muid kui seadusandlikke meetmeid. ·Variant 1. Seadusandlikul tasandil muudatusi ei tehta. Selle asemel annab komisjon pärast koostöörühma, Euroopa Liidu Küberturvalisuse Ameti (ENISA) ja (kui asjakohane) küberturbe intsidentide lahendamise üksustega (CSIRTid) konsulteerimist välja soovitused ja suunised (näiteks elutähtsate teenuste operaatorite määratlemise, turvalisusega seotud nõuete, intsidentidest teatamise korra ja järelevalve kohta). ·Variant 2. See variant hõlmab küberturvalisuse direktiivi sihipäraseid muudatusi, sealhulgas selle kohaldamisala laiendamist ja mitmeid muid muudatusi, mille eesmärk on tagada tuvastatud probleemidele teatavad kiired lahendused, mis tagavad suurema selguse ja ühtsuse (näiteks sätted identifitseerimise piirmäärade ühtlustamiseks). Muudetud küberturvalisuse direktiivis jääksid põhielemendid, peamine lähenemisviis ja põhjendus aga endiseks. ·Variant 3: See stsenaarium hõlmab küberturvalisuse direktiivi süsteemseid ja struktuurseid muudatusi (uue direktiivi kaudu), millega nähakse ette põhimõttelisem lähenemisviisi nihe laiema majandussegmendi hõlmamiseks kogu liidus ning seejuures sihipärasem järelevalve, mis on suunatud suurtele ja peamistele osalejatele. Samuti ühtlustaks see ettevõtjatele pandud kohustusi ja tagaks seega kõrgemal tasemel ühtlustatuse, looks tõhusama raamistiku tegevuslikust aspektist ning annaks eri sidusrühmadele selge lähtekoha vastutuse ja aruandluskohustuse tõhusamaks jagamiseks küberturvalisuse meetmete rakendamisel. Mõjuhinnangus järeldatakse, et eelistatud poliitikavariant on variant 3 (küberturvalisuse raamistiku süsteemsed ja struktuursed muudatused). Kui vaadelda tõhususe aspekti, siis eelistatud variandi puhul määrataks selgelt kindlaks küberturvalisuse direktiivi kohaldamisala, mida laiendataks esinduslikumale osale ELi majandusest ja ühiskonnast, ühtlustataks nõudeid ning nähtaks ette konkreetsem järelevalve ja täitmise tagamise raamistik, et tõsta nõuetele vastavuse taset. Samuti hõlmab see meetmeid, mille eesmärk on parandada poliitika kujundamise lähenemisviise liikmesriikide tasandil ja muuta seega paradigmat, edendades uusi raamistikke riskide juhtimiseks tarnijatevahelistes suhetes ning nõrkuste koordineeritud avalikustamiseks. Ühtlasi antakse eelistatud poliitikavariandiga selge alus vastutuse ja aruandluskohustuse jagamiseks ning nähakse ette mehhanismid, mille eesmärk on suurendada usaldust liikmesriikide vahel (nii ametiasutuste kui ka tööstussektori üksuste vahel), soodustades seeläbi teabevahetust ning tagades operatiivsema lähenemisviisi rakendamise, mis hõlmab vastastikuse abi ja vastastikuse hindamise mehhanismide kasutamist. Selle variandiga nähakse ette ka ELi kriisiohjeraamistik, mis põhineb hiljuti käivitatud ELi operatiivvõrgustikul, ning tagatakse ENISA suurem kaasatus tema praeguste volituste piires, et saada täpne ülevaade küberturvalisuse olukorrast liidus. Kui vaadelda tõhususe aspektist, siis suureneksid eelistatud variandi korral küll ettevõtjate ja liikmesriikide nõuete järgimise ja täitmise tagamisega seotud kulud, kuid samas kaasneksid sellega soodsad kompromissid ja tõhusad sünergiad, mistõttu oleks kõnealusel variandil analüüsitud poliitikavariantidest suurim potentsiaal tagada võtmetähtsusega üksuste kübervastupidavusvõime kõrgem ja ühtlasem tase kogu liidus. Lõppkokkuvõttes tähendaks see nii ettevõtjate kui ka ühiskonna jaoks kulude kokkuhoidu. Selle poliitikavariandi korral suureneks teataval määral liikmesriikide halduskoormus ja kasvaksid nõuete täitmisega seotud kulud. Teisalt tooks see keskpikas ja pikas perspektiivis ka märkimisväärset kasu liikmesriikidevahelise tihedama koostöö, sealhulgas operatiivtasandi koostöö kaudu, ning soodustaks vastastikuse abi ja vastastikuse hindamise mehhanismide ning peamistest ettevõtjatest parema ülevaate ja nendega suhtlemise võimaluste tagamise kaudu küberturvalisuse alase suutlikkuse üldist suurendamist riiklikul ja piirkondlikul tasandil. Eelistatud poliitikavariandiga tagataks ühtlasi suurel määral kooskõla muude õigusaktide, algatuste ja poliitikameetmetega, sealhulgas valdkondlike eriõigusaktidega (lex specialis). Nii liikmesriikide kui ka ettevõtjate ja muude organisatsioonide tasandil valitseva küberturvalisuse alase valmisoleku püsiva ebapiisava taseme probleemi lahendamise tulemusena võib suureneda tõhusus ning väheneda küberturvalisuse intsidentidest tingitud lisakulud. ·Elutähtsate ja oluliste üksuste jaoks võib küberturvalisuse alase valmisoleku taseme tõstmine aidata vähendada häiretest (sealhulgas tööstusspionaažist) tingitud potentsiaalseid tulukaotusi ning kahandada ohtude ad-hoc-korras vähendamisega kaasnevaid suuri kulusid. Selline kasu kaalub tõenäoliselt üles vajalikud investeerimiskulud. Siseturu killustatuse vähendamine tagaks ka ettevõtjatele võrdsemad võimalused ja tingimused. ·Liikmesriikide jaoks võiks see veelgi vähendada ohtude ad-hoc-korras vähendamisest tingitud eelarvekulude suurenemise riski ja küberturvalisuse intsidentidega seotud hädaolukordadest tingitud lisakulusid. ·Küberturvalisuse intsidentide probleemiga tegelemine peaks kodanike jaoks vähendama majandushäiretest tingitud kaotusi sissetulekutes.

Küberturvalisuse kõrgem tase liikmesriikides ning ettevõtjate ja asutuste võime intsidendile kiiresti reageerida ning selle mõju leevendada suurendab tõenäoliselt kodanike üldist usaldust digimajanduse vastu, mis võib avaldada positiivset mõju kasvule ja investeeringutele. Küberturvalisuse üldise taseme tõstmine suurendab tõenäoliselt üldist julgeolekut ning ühiskonna jaoks kriitilise tähtsusega elutähtsate teenuste sujuvat ja katkematut toimimist. Algatusel võib olla ka muid sotsiaalseid mõjusid, näiteks võib see aidata vähendada küberkuritegevust ja terrorismi ning tugevdada kodanikukaitset. Ettevõtjate ja muude organisatsioonide küberturvalisuse alase valmisoleku suurendamine võib aidata vältida küberrünnetest tulenevat võimalikku rahalist kahju ja töötajate koondamise vajadust. Samuti võib küberturvalisuse üldise taseme tõstmine aidata ennetada keskkonnaohte/-kahjusid, mis võivad kaasneda elutähtsate teenuste vastu suunatud rünnetega. See kehtib eriti energiasektori, joogiveevarustus- ja -jaotussektori ning transpordisektori puhul. Kuna algatusega suurendatakse küberturvalisuse alast suutlikkust, võidakse selle tulemusena hakata rohkem kasutama uue põlvkonna IKT-taristuid ja -teenuseid, mis on ka keskkonna aspektist jätkusuutlikumad, ning vahetada välja ebatõhusad ja vähem turvalised pärandtaristud. See peaks aitama vähendada ka kulukate küberintsidentide arvu ja vabastada seeläbi ressursse jätkusuutlike investeeringute tegemiseks. •Õigusnormide toimivus ja lihtsustamine Ettepaneku kohaselt jäetaks küberturvalisuse direktiivi kohaldamisalast üldiselt välja mikro- ja väikeüksused ning kohaldamisalasse hõlmatavate suure arvu uute üksuste (nn olulised üksused) suhtes hakataks kohaldama kergemaid, järelevalve järelmeetmeid (ex-post-järelevalvekorda). Nende meetmetega soovitakse minimeerida ja tasakaalustada ettevõtjatele ja haldusasutustele pandavat koormust. Lisaks asendatakse ettepaneku kohaselt keeruline elutähtsate teenuste operaatorite identifitseerimissüsteem üldkohaldatava kohustusega ning ühtlustatakse suuremal määral turvalisuse ja intsidentidest teatamisega seotud kohustusi, mis tähendaks nõuete täitmise koormuse vähenemist, eriti piiriüleseid teenuseid osutavate üksuste jaoks. Ettepanekuga minimeeritakse nõuete täitmisega seotud kulusid VKEde jaoks, kuna üksustelt nõutakse üksnes selliste meetmete võtmist, mida on vaja selleks, et tagada riskitasemele vastav võrgu- ja infosüsteemide turvalisuse tase. •Põhiõigused EL on võtnud kohustuse tagada kõrgetele standarditele vastav põhiõiguste kaitse. Käesoleva direktiiviga edendatav üksustevaheline vabatahtlik teabevahetus korraldataks täies ulatuses usaldusväärsete keskkondade kaudu ja täielikus kooskõlas liidu andmekaitse-eeskirjadega, eelkõige Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 sätetega. 4.MÕJU EELARVELE Vt finantsselgitus 5.MUU TEAVE •Rakenduskavad ning järelevalve, hindamise ja aruandluse kord Ettepanek hõlmab kindlatele eesmärkidele avalduva mõju jälgimise ja hindamise üldkava, mille kohaselt peab komisjon korraldama vähemalt [54 kuud] pärast jõustumiskuupäeva direktiivi läbivaatuse ning esitama Euroopa Parlamendile ja nõukogule aruande selle peamiste järelduste kohta. Läbivaatamine peab toimuma kooskõlas komisjoni parema õigusloome suunistega. •Ettepaneku sätete üksikasjalik selgitus Ettepanek tugineb mitmele peamisele poliitikavaldkonnale, mis on omavahel seotud ja mille eesmärk on tõsta küberturvalisuse taset liidus. Reguleerimisese ja kohaldamisala (artikkel 1 ja artikkel 2) Direktiiviga tehakse täpsemalt järgmist: a) kehtestatakse liikmesriikidele kohustus võtta vastu riiklik küberturvalisuse strateegia, määrata pädevad riiklikud asutused, ühtsed kontaktpunktid ja küberturbe intsidentide lahendamise üksused (CSIRTid); b) nähakse ette, et liikmesriigid sätestavad I lisas osutatud elutähtsate üksuste ja II lisas osutatud oluliste üksuste jaoks küberturvalisuse riskijuhtimise ja intsidentidest teatamise kohustused; c) nähakse ette, et liikmesriigid kehtestavad küberturvalisuse alase teabevahetusega seotud kohustused. Seda kohaldatakse teatavate avaliku või erasektori elutähtsate üksuste suhtes, kes tegutsevad I lisas loetletud sektorites (energeetika; transport; pangandus; finantsturutaristud; tervishoid, joogivesi; reovesi; digitaristu; avalik haldus ja kosmos), ning teatavate oluliste üksuste suhtes, kes tegutsevad II lisas loetletud sektorites (posti- ja kulleriteenused; jäätmekäitlus; kemikaalide tootmine ja turustamine; toiduainete tootmine, töötlemine ja turustamine; töötlev tööstus ja digiteenuse osutamine). Direktiivi kohaldamisalast on välja jäetud mikro- ja väikeüksused komisjoni 6. mai 2003. aasta soovituse 2003/361/EÜ tähenduses, välja arvatud elektroonilise side võrkude või üldkasutatavate elektroonilise side teenuste osutajad, usaldusteenuse osutajad, tippdomeenide domeeninimede registrid ja avaliku halduse üksused ning teatavad muud üksused, näiteks mõne teenuse ainupakkujad liikmesriigis. Riiklikud küberturvalisuse raamistikud (artiklid 5–11)

Liikmesriigid peavad vastu võtma riikliku küberturvalisuse strateegia, milles määratletakse strateegilised eesmärgid ning asjakohased poliitilised ja regulatiivsed meetmed kõrgel tasemel küberturvalisuse saavutamiseks ja säilitamiseks. Direktiiviga kehtestatakse ka nõrkuste koordineeritud avalikustamise raamistik ning nõutakse, et liikmesriigid määraksid CSIRTid, kes tegutseksid usaldusväärsete vahendajatena ja hõlbustaksid suhtlust aruandvate üksuste ning IKT-toodete ja IKT-teenuste tootjate või osutajate vahel. ENISA peab välja töötama tuvastatud nõrkuste andmeid koondava Euroopa nõrkuste registri ja seda haldama. Liikmesriigid peavad kehtestama riiklikud küberturvalisuse alased kriisiohjeraamistikud, määrates muu hulgas riiklikud pädevad asutused, kes vastutavad ulatuslike küberturvalisuse intsidentide ja kriiside ohjamise eest. Samuti peavad liikmesriigid määrama ühe või mitu riiklikku pädevat küberturvalisuse valdkonna asutust käesoleva direktiivi kohaste järelevalveülesannete täitmiseks ja määrama küberturvalisuse valdkonna riikliku ühtse kontaktpunkti sidepidamisfunktsiooni täitmiseks, et tagada liikmesriikide ametiasutuste piiriülene koostöö. Liikmesriigid peavad määrama ka CSIRTid. Koostöö (artiklid 12–16) Direktiiviga luuakse koostöörühm, mille eesmärk on toetada ja hõlbustada strateegilist koostööd ja teabevahetust liikmesriikide vahel ning suurendada usaldust üksteise vastu ja kindlustunnet üksteise suhtes. Samuti luuakse selle alusel CSIRTide võrgustik, et aidata kaasa usalduse ja kindlustunde suurenemisele liikmesriikidevahelises suhtluses ning edendada kiiret ja tõhusat operatiivkoostööd. Luuakse ka Euroopa küberkriisiga tegelevate kontaktasutuste võrgustik (EU-CyCLONe), et toetada ulatuslike küberturvalisuse intsidentide ja kriiside koordineeritud ohjamist ning tagada korrapärane teabevahetus liikmesriikide ja ELi institutsioonide vahel. ENISA peab koostöös komisjoniga esitama iga kahe aasta tagant aruande, milles käsitletakse küberturvalisuse olukorda liidus. Komisjon peab looma vastastikuse hindamise süsteemi, mis võimaldab korrapäraselt hinnata liikmesriikide küberturvalisuse alase poliitika tõhusust. Küberturvalisuse riskijuhtimiskohustus ja teatamiskohustus (artiklid 17–23) Direktiivi kohaselt peavad liikmesriigid nägema ette, et kõigi kohaldamisalasse kuuluvate üksuste juhtorganid kinnitaksid asjaomaste üksuste võetavad küberturvalisuse riskijuhtimismeetmed ja läbiksid küberturvalisusega seotud erikoolituse. Liikmesriigid peavad tagama, et kohaldamisalasse jäävad üksused võtavad asjakohaseid ja proportsionaalseid tehnilisi ja korralduslikke meetmeid võrgu- ja infosüsteemide turvalisusega seotud riskide juhtimiseks. Samuti peavad nad tagama, et üksused teavitavad riiklikke pädevaid asutusi või CSIRTe igast küberturvalisuse intsidendist, mis mõjutab oluliselt nende pakutava teenuse osutamist. Tippdomeenide registrid ja tippdomeenide domeeninimede registreerimise teenuseid osutavad üksused koguvad ja säilitavad täpseid ja täielikke domeeninimede registreerimise andmeid. Lisaks peavad sellised üksused tagama õigustatud taotlejatele tõhusa juurdepääsu domeeninimede registreerimise andmetele. Jurisdiktsioon ja registreerimine (artiklid 24 ja 25) Üldjuhul käsitatakse elutähtsaid ja olulisi üksusi selle liikmesriigi jurisdiktsiooni alla kuuluvana, kus nad oma teenuseid osutavad. Teatavat liiki üksused (domeeninimede süsteemi teenuse osutajad, tippdomeeninimede registrid, pilvandmetöötlusteenuse osutajad, andmekeskusteenuse osutajad ja sisulevivõrgu pakkujad, samuti teatavad digiteenuse osutajad) loetakse kuuluvat siiski selle liikmesriigi jurisdiktsiooni alla, kus on nende peamine tegevuskoht liidus. Selle eesmärk on tagada, et sellised märkimisväärselt suurel määral piiriüleselt teenuseid osutavad ettevõtjad ei peaks järgima paljusid erinevaid õiguslikke nõudeid. ENISA peab looma kõnealust liiki üksuste registri ja seda haldama. Teabevahetus (artiklid 26 ja 27) Liikmesriigid kehtestavad eeskirjad, mis võimaldavad üksustel jagada küberturvalisusega seotud teavet küberturvalisuse alase teabe jagamise kindla korra raames kooskõlas ELi toimimise lepingu artikliga 101. Lisaks võimaldavad liikmesriigid käesoleva direktiivi kohaldamisalast välja jäävatel üksustel teatada vabatahtlikult olulistest intsidentidest, küberohtudest või ohuolukordadest. Järelevalve ja täitmise tagamine (artiklid 28–34) Pädevad asutused peavad tegema direktiivi kohaldamisalasse kuuluvate üksuste üle järelevalvet ning tagama, et nad täidaksid turvalisuse ja intsidentidest teatamise nõudeid. Seejuures eristatakse elutähtsate üksuste puhul kohaldatavat järelevalve eelkontrollikorda ja oluliste üksuste puhul kohaldatavat järelevalve järelkontrollikorda. Viimase puhul nõutakse pädevatelt asutustelt meetmete võtmist siis, kui esitatakse tõendid või vihjed selle kohta, et oluline üksus ei täida turvalisuse ja intsidentidest teatamise nõudeid. Direktiiviga nõutakse liikmesriikidelt ka haldustrahvide kehtestamist elutähtsate ja oluliste üksuste jaoks ning määratakse kindlaks teatavad maksimumtrahvid.

Liikmesriigid peavad vajaduse korral tegema koostööd ja üksteist abistama, kui üksused osutavad teenuseid rohkem kui ühes liikmesriigis või kui üksuse peamine tegevuskoht või esindaja asub ühes liikmesriigis, kuid tema võrk ja infosüsteemid asuvad ühes või mitmes teises liikmesriigis. 2020/0359 (COD) Ettepanek: EUROOPA PARLAMENDI JA NÕUKOGU DIREKTIIV, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega tunnistatakse kehtetuks direktiiv 2016/1148 (EMPs kohaldatav tekst) EUROOPA PARLAMENT JA EUROOPA LIIDU NÕUKOGU, võttes arvesse Euroopa Liidu toimimise lepingut, eriti selle artiklit 114, võttes arvesse Euroopa Komisjoni ettepanekut, olles edastanud seadusandliku akti eelnõu liikmesriikide parlamentidele, võttes arvesse Euroopa Majandus- ja Sotsiaalkomitee arvamust, võttes arvesse Regioonide Komitee arvamust, toimides seadusandliku tavamenetluse kohaselt ning arvestades järgmist: (1)Euroopa Parlamendi ja nõukogu direktiivi (EL) 2016/1148 eesmärgiks seati suurendada küberturvalisuse alast suutlikkust kogu liidus, vähendada peamistes sektorites elutähtsate teenuste osutamiseks kasutatavaid võrgu- ja infosüsteeme ähvardavaid ohte ning tagada selliste teenuste katkematu osutamine küberturvalisuse intsidentide esinemise korral ning aidata seeläbi kaasa liidu majanduse ja ühiskonna tõhusale toimimisele. (2)Alates direktiivi (EL) 2016/1148 jõustumisest on liidu küberturvalisuse alase vastupidavusvõime suurendamisel tehtud märkimisväärseid edusamme. Kõnealuse direktiivi läbivaatamisest nähtub, et see on kannustanud liidu küberturvalisust käsitleva institutsionaalse ja regulatiivse lähenemisviisi kujunemist ning sillutanud seeläbi teed märkimisväärsele muutusele mõtteviisis. Kõnealuse direktiiviga on tagatud riiklike raamistike ülesehitamine, mis on hõlmanud riiklike küberturvalisuse strateegiate määratlemist, riikliku suutlikkuse kujundamist ning regulatiivsete meetmete kohaldamist iga liikmesriigi määratud elutähtsate taristute ja osalejate suhtes. Samuti on see aidanud kaasa koostöö edendamisele liidu tasandil koostöörühma ja riiklike küberturbe intsidentide lahendamise üksuste võrgustiku (CSIRTide võrgustik) loomise kaudu. Vaatamata nendele saavutustele on direktiivi (EL) 2016/1148 läbivaatamisel tuvastatud olemuslikke puudusi, mis takistavad praeguste ja esilekerkivate küberturvalisuse alaste probleemide tõhusat lahendamist. (3)Võrgu- ja infosüsteemidest on saanud keskne osa igapäevaelus, mida iseloomustab kiire digiüleminek ja ühiskonnaosaliste vastastikune seotus, sealhulgas piiriüleses tegevuses. Sellise arenguga koos on laienenud küberturvalisusega seotud ohtude maastik ning kerkinud esile uued probleemid, mis nõuavad kohandatud, koordineeritud ja uuenduslikku reageerimist kõigis liikmesriikides. Küberturvalisuse intsidentide arv, ulatus, keerukus, sagedus ja mõju suurenevad ning see kujutab endast suurt ohtu võrgu- ja infosüsteemide toimimisele. Selle tulemusena võivad küberintsidendid tõkestada siseturu majandustegevust, põhjustada rahalist kahju, õõnestada kasutajate usaldust ning tekitada suurt kahju liidu majandusele ja ühiskonnale. Küberturvalisuse alane valmisolek ja tõhusus on seega praegu siseturu nõuetekohaseks toimimiseks olulisem kui kunagi varem. (4)Direktiivi (EL) 1148/2016 õiguslik alus oli Euroopa Liidu toimimise lepingu („ELi toimimise leping“) artikkel 114, mille eesmärk on siseturu rajamine ja toimimise tagamine siseriiklike eeskirjade ühtlustamise meetmete tõhustamise kaudu. Teenuseid osutavatele või majanduslikult oluliste toimingutega tegelevatele üksustele kehtestatud küberturvalisuse nõuded erinevad liikmesriigiti märkimisväärselt nii nõuete liigi, üksikasjalikkuse astme kui ka järelevalvemeetodi poolest. Need erinevused põhjustavad lisakulusid ja tekitavad raskusi piiriüleselt kaupu või teenuseid pakkuvatele ettevõtjatele. Ühe liikmesriigi kehtestatud nõuded, mis erinevad teise liikmesriigi kehtestatud nõuetest või on nendega vastuolus, võivad kõnealust piiriülest tegevust oluliselt pärssida. Lisaks mõjutab küberturvalisuse standardite ebatõhus kavandamine või rakendamine ühes liikmesriigis tõenäoliselt küberturvalisuse taset ka teistes liikmesriikides, kui piiriülene tegevus on sedavõrd intensiivne. Direktiivi (EL) 2016/1148 läbivaatamise käigus selgus, et liikmesriigid kohaldavad seda väga erinevalt; muu hulgas erineb selle kohaldamisala, mille piiritlemine jäeti suuresti liikmesriikide otsustada. Direktiiviga (EL) 2016/1148 anti liikmesriikidele ka väga ulatuslik kaalutlusõigus direktiivis sätestatud turvalisuse tagamise ja intsidentidest teatamise kohustuste rakendamisel. Seega rakendati neid kohustusi siseriiklikul tasandil väga erinevalt. Samuti esines erinevusi kõnealuse direktiivi järelevalve- ja täitmise tagamise sätete rakendamisel. (5)Kõik need erinevused põhjustavad siseturu killustumist ja võivad kahjustada selle toimimist, mõjutades eelkõige teenuste piiriülest osutamist ja küberturvalisuse alase vastupidavusvõime taset, kuna standardid, mida rakendatakse, on erinevad. Käesoleva direktiivi eesmärk on kõrvaldada kirjeldatud suured erinevused liikmesriikide vahel, sätestades koordineeritud reguleeriva raamistiku toimimisega seotud miinimumeeskirjad, kehtestades liikmesriikide vastutavate asutuste tõhusaks koostööks vajalikud mehhanismid, ajakohastades loetelu sektoritest ja tegevustest, mille suhtes küberturvalisusega seotud kohustusi kohaldatakse, ning nähes ette tõhusad õiguskaitsevahendid ja karistused, mis on olulised nende kohustuste tõhusa täitmise tagamiseks. Seega tuleks direktiiv (EL) 2016/1148 kehtetuks tunnistada ja asendada käesoleva direktiiviga. (6)Käesolev direktiiv ei piira liikmesriikide võimalust võtta vajalikke meetmeid, et tagada oma oluliste julgeolekuhuvide kaitse, avalik kord ja avalik julgeolek ning võimaldada kriminaalkuritegude uurimist, avastamist ja nende eest vastutusele võtmist kooskõlas liidu õigusega. Vastavalt ELi toimimise lepingu artiklile 346 ei tohi liikmesriike kohustada andma teavet, mille avalikustamine kahjustaks tema olulisi julgeolekuhuve. Selles aspektis on olulised salastatud teabe kaitset käsitlevad siseriiklikud ja liidu eeskirjad, ametlikud ja mitteametlikud mitteavalikustamise kokkulepped, nagu fooritulede analoogial põhinev protokoll teabe tundlikkuse märgistamiseks.

(7)Direktiivi (EL) 2016/1148 kehtetuks tunnistamisega tuleks sektoripõhist kohaldamisala laiendada, et hõlmata suurem osa majandusest, võttes arvesse põhjendustes 4–6 esitatud kaalutlusi. Direktiivi (EL) 2016/1148 sektoripõhist kohaldamisala tuleks seega laiendada, et hõlmata võimalikult täielikult need sektorid ja teenused, mis on siseturu peamise ühiskondliku ja majandustegevuse jaoks elutähtsad. Õigusnormid ei tohiks erineda selle alusel, kas üksused on elutähtsate teenuste operaatorid või digiteenuse osutajad. Selline eristamine on iganenud, kuna see ei võta arvesse sektorite või teenuste tegelikku tähtsust siseturu ühiskondliku ja majandustegevuse jaoks. (8)Direktiivi (EL) 2016/1148 kohaselt oli liikmesriikidel endal kohustus määratleda, millised üksused vastavad oluliste teenuste operaatorite kriteeriumidele („identifitseerimisprotsess“). Et kõrvaldada sellest tulenevad liikmesriikidevahelised suured erinevused ning tagada kõigile asjaomastele üksustele riskijuhtimisnõuete ja teatamiskohustustega seoses õiguskindlus, tuleks kehtestada ühine kriteerium, mille alusel määratletakse käesoleva direktiivi kohaldamisalasse kuuluvad üksused. See kriteerium peaks põhinema suuruse ülempiiri reegli kohaldamisel, nii et kohaldamisalasse jääksid kõik komisjoni soovituses 2003/361/EÜ määratletud keskmise suurusega ja suured ettevõtjad, kes tegutsevad käesoleva direktiivi kohaldamisalasse kuuluvates sektorites või osutavad käesoleva direktiivi kohaldamisalasse kuuluvaid teenuseid. Liikmesriikidelt ei peaks nõudma selliste üksuste nimekirja koostamist, kes vastavad kõnealusele üldiselt kohaldatavale suurusepõhisele kriteeriumile. (9)Käesolev direktiiv peaks samas hõlmama ka väike- või mikroettevõtjaid, kes vastavad teatavatele kriteeriumidele, mis annavad märku võtmetähtsusega rolli täitmisest liikmesriikide majanduse või ühiskonna või kindlate sektorite või teenuseliikide jaoks. Liikmesriikidele tuleks panna kohustus koostada selliste üksuste nimekiri ja esitada see komisjonile. (10)Komisjon võib koostöös koostöörühmaga anda välja mikro- ja väikeettevõtjate suhtes kohaldatavate kriteeriumide rakendamise suunised. (11)Olenevalt sellest, mis sektoris nad tegutsevad või mis liiki teenust nad osutavad, tuleks käesoleva direktiivi kohaldamisalasse kuuluvad üksused liigitada kahte kategooriasse: elutähtis ja oluline. Sellise liigitamise puhul tuleks arvesse võtta sektori või teenuseliigi kriitilisuse taset ning seda, kuivõrd muud sektorid või teenuseliigid sellest sõltuvad. Nii elutähtsate kui ka oluliste üksuste suhtes tuleks kohaldada samu riskijuhtimisnõudeid ja teatamiskohustusi. Nende kahe üksuseliigi järelevalve- ja karistuskord peaks olema erinev, et tagada õiglane tasakaal kohaldatavate nõuete ja kohustuste ning nõuete täitmise järelevalvega seotud halduskoormuse vahel. (12)Valdkondlikud õigusaktid ja vahendid võivad aidata tagada küberturvalisuse kõrge taseme, võttes ühtlasi täielikult arvesse asjaomaste sektorite eripära ja keerukust. Kui valdkonnapõhise liidu õigusaktiga nõutakse elutähtsatelt või olulistelt üksustelt küberturvalisuse riskijuhtimise meetmete võtmist või intsidentidest või olulistest küberohtudest teatamist ja kõnealustel valdkonnapõhiselt sätestatud kohustustel on käesolevas direktiivis sätestatud kohustustega vähemalt samaväärne mõju, tuleks kohaldada neid valdkonnapõhiseid sätteid, sealhulgas järelevalvet ja täitmise tagamist käsitlevaid sätteid. Komisjon võib anda välja erinormide (lex specialis) kohaldamist käsitlevad suunised. Käesolev direktiiv ei välista küberturvalisuse riskijuhtimise meetmeid ja intsidentidest teatamist käsitlevate täiendavate valdkondlike liidu õigusaktide vastuvõtmist. Käesolev direktiiv ei piira komisjonile mitmes sektoris, sealhulgas transpordi- ja energeetikasektoris antud rakendusvolitusi. (13)Käesoleva direktiiviga seoses tuleks Euroopa Parlamendi ja nõukogu määrust XXXX/XXXX käsitada valdkondliku liidu õigusaktina finantssektori üksuste suhtes. Käesoleva direktiiviga kehtestatud sätete asemel tuleks kohaldada määruse XXXX/XXXX sätteid, mis käsitlevad info- ja kommunikatsioonitehnoloogia (IKT) alaseid riskijuhtimise meetmeid, IKTga seotud intsidentide haldamist ja eriti intsidentidest teatamist, samuti digitaalse operatiivse vastupidavusvõime testimist, teabevahetuskorda ja kolmandate isikutega seotud IKT-riske. Seega ei tohiks liikmesriigid kohaldada käesoleva direktiivi sätteid, mis käsitlevad küberturvalisuse riskijuhtimis- ja teatamiskohustusi, teabevahetust, järelevalvet ja täitmise tagamist, määruse XXXX/XXXX kohaldamisalasse jäävate finantssektori üksuste suhtes. Samas on käesoleva direktiivi kohaselt oluline säilitada finantssektoriga tugevad suhted ja teabevahetus. Selleks võimaldab määrus XXXX/XXXX kõigil finantsjärelevalveasutustel, finantssektori Euroopa järelevalveasutustel ja määruse XXXX/XXXX kohastel riiklikel pädevatel asutustel osaleda koostöörühma strateegilistes poliitilistes aruteludes ja tehnilises töös ning vahetada teavet ja teha koostööd käesoleva direktiivi alusel määratud ühtsete kontaktpunktidega ja riiklike CSIRTidega. Määruse XXXX/XXXX kohased pädevad asutused peaksid edastama suurte IKT-intsidentide üksikasjad ka käesoleva direktiivi alusel määratud ühtsetele kontaktpunktidele. Lisaks peaksid liikmesriigid jätkuvalt hõlmama finantssektori oma küberturvalisuse strateegiatesse ning riiklikud CSIRTid võivad oma tegevusega hõlmata ka finantssektori. (14)Üksuste küberturvalisuse ja füüsilise julgeoleku omavahelisi seoseid arvestades tuleks tagada Euroopa Parlamendi ja nõukogu direktiivi (EL) XXX/XXX ja käesoleva direktiivi lähenemisviiside kooskõla. Selle saavutamiseks peaksid liikmesriigid tagama, et direktiivi (EL) XXX/XXX kohaseid kriitilise tähtsusega üksusi ja samaväärseid üksusi käsitatakse käesoleva direktiivi kohaselt elutähtsate üksustena. Liikmesriigid peaksid samuti tagama, et nende küberturvalisuse strateegiatega nähakse ette poliitikaraamistik käesoleva direktiivi ja direktiivi (EL) XXX/XXX kohaste pädevate asutuste vahelise tegevuse paremaks koordineerimiseks intsidentide ja küberohtude alase teabe vahetamise ning järelevalveülesannete täitmise kontekstis. Kummagi direktiivi kohased asutused peaksid tegema koostööd ja vahetama teavet, eelkõige seoses sellega, mis puudutab kriitilise tähtsusega üksuste, küberohtude, küberturvalisuse riskide ja kriitilise tähtsusega üksusi mõjutavate intsidentide määratlemist ning kriitilise tähtsusega üksuste võetavaid küberturvalisuse meetmeid. Direktiivi (EL) XXX/XXX kohaste pädevate asutuste taotluse korral tuleks käesoleva direktiivi kohastel pädevatel asutustel võimaldada kasutada oma järelevalve- ja täitmise tagamise volitusi kriitilise tähtsusega üksusena identifitseeritud elutähtsa üksuse suhtes. Mõlemad asutused peaksid sel eesmärgil koostööd tegema ja teavet vahetama. (15)Usaldusväärse, vastupidava ja turvalise domeeninimesüsteemi (DNS) tagamine ja hoidmine on võtmetähtsusega, et säilitada interneti usaldusväärsus ning tagada selle pidev ja stabiilne toimimine, millest sõltuvad digimajandus ja -ühiskond. Seepärast tuleks käesolevat direktiivi kohaldada kõigi DNS-teenuse osutajate suhtes kogu DNS-lahendusahela ulatuses, sealhulgas juurnimeserverite, tippdomeeninimeserverite, domeeninimede autoriteetsete nimeserverite ja rekursiivsete aadressiresolverite operaatorite suhtes. (16)Pilvandmetöötlusteenused peaksid hõlmama teenuseid, mis võimaldavad nõudepõhist ja ulatuslikku kaugpääsu jagatavate ja hajusate andmetöötlusressursside skaleeritavale ja paindlikule kogumile. Need andmetöötlusressursid on näiteks võrgud, serverid ja muu taristu, operatsioonisüsteemid, tarkvara, salvestusruum, rakendused ja teenused. Pilvandmetöötluse korraldusmudelid peaksid hõlmama privaat-, ühis-, avalikku ja hübriidpilve. Mõistetel „teenusemudel“ ja „korraldusmudel“ on sama tähendus nagu nimetatud mõistetel standardi ISO/IEC 17788:2014 määratluses. Pilvandmetöötlusteenuse kasutaja suutlikkust tagada endale ühepoolselt andmetöötlusvõimekus (nt serveriaeg või võrgu talletusruum), ilma et pilvandmetöötlusteenuse osutaja (inimene) peaks kasutajaga suhtlema, võiks nimetada nõudepõhiseks haldamiseks. Mõistega „ulatuslik kaugpääs“ peetakse silmas seda, et pilvevõimalusi pakutakse võrgu kaudu ja need on kättesaadavad mehhanismide abil, mis toetavad heterogeensete nn kõhna või priske kliendi platvormide (sh mobiiltelefonid, tahvelarvutid, sülearvutid, tööjaamad/kohtarvutid) kasutamist. Mõiste „skaleeritav“ osutab andmetöötlusressurssidele, mis on nõudluse kõikumisega toimetulekuks pilveteenuse osutaja poolt paindlikult jaotatavad olenemata ressursside geograafilisest asukohast. Mõistet „paindlik kogum“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mida pakutakse ja mis tehakse kättesaadavaks vastavalt nõudlusele, et kättesaadavaid ressursse suurendada või vähendada sõltuvalt töökoormusest. Mõistet „jagatav“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mida pakutakse paljudele kasutajatele, kellel on ühine juurdepääs teenusele, kuid mille puhul andmete töötlemine toimub iga kasutaja jaoks eraldi, olgugi et teenust osutatakse samadest elektroonilistest seadmetest. Mõistet „hajusad“ kasutatakse selliste andmetöötlusressursside kirjeldamiseks, mis asuvad erinevates võrguga ühendatud arvutites või seadmetes ning mis suhtlevad omavahel ja kooskõlastavad omavahelist tegevust sõnumite edastamise teel. (17)Kuna maad võtavad uuenduslikud tehnoloogiad ja ärimudelid, tulevad eeldatavasti tarbijate muutuvate vajaduste järgi turule uued pilvandmetöötluse korraldus- ja teenusemudelid. Sellises kontekstis võib pilvandmetöötlusteenuseid osutada väga hajusal kujul, mille puhul töötlus toimub andmete loomise või kogumise kohale veelgi lähemal; seega minnakse nn traditsiooniliselt mudelilt üle väga hajusale mudelile (servtöötlus). (18)Andmekeskusteenuse osutajate pakutavaid teenuseid ei pakuta alati tingimata pilvandmetöötlusteenusena. Seega ei pruugi andmekeskused alati olla pilvandmetöötlustaristu osa. Kõigi võrgu- ja infosüsteemide turvalisusega seotud riskide juhtimiseks peaks käesoleva direktiivi kohaldamisalasse kuuluma ka selliste andmekeskusteenuste pakkujad, mis ei ole pilvandmetöötlusteenused. Käesoleva direktiivi kohaldamisel peaks mõiste „andmekeskusteenus“ kätkema sellise teenuse osutamist, mis hõlmab struktuure või struktuuride rühmi, mis on ette nähtud andmete talletamiseks, töötlemiseks ja edastamiseks kasutatava infotehnoloogia- ja võrguseadmete keskseks majutamiseks, omavahel sidumiseks ja käitamiseks, võttes arvesse ka energiajaotuse ja keskkonnajuhtimisega seotud rajatisi ja taristuid. Mõiste „andmekeskusteenus“ ei hõlma asutusesiseseid andmekeskusi, mis kuuluvad asjaomasele üksusele ja mida käitatakse üksuse enda tarbeks. (19)Postiteenuse osutajate (Euroopa Parlamendi ja nõukogu direktiivi 97/67/EÜ tähenduses) ning kiirkuller- ja kullerpostiteenuse osutajate suhtes tuleks kohaldada käesolevat direktiivi juhul, kui nad osutavad vähemalt ühe postiteenuseahela etapi teenust, eeskätt kogumis-, sorteerimis- või jaotamisteenust (sh järeletulemise teenused). Transporditeenust, mida ei osutata mõne mainitud etapi raames, ei peaks käsitama postiteenusena. (20)Need kasvavad vastastikused sõltuvused tulenevad üha piiriülesemast ja üha enam vastastikku sõltuvast teenuste osutamise võrgustikust, mis kasutab kogu liidus selliste oluliste sektorite taristuid nagu energeetika, transport, digitaristu, joogi- ja reovesi, tervishoid, avaliku halduse teatavad harud ja ka kosmosetööstus, niivõrd kui viimase teatavate teenuste osutamine sõltub maapealsetest taristutest, mida omavad, haldavad ja käitavad kas liikmesriigid või eraõiguslikud isikud (seega ei peeta siinkohal silmas selliseid taristuid, mida omab, haldab või käitab liit või mida hallatakse või käitatakse liidu nimel osana liidu kosmoseprogrammidest). Need vastastikused sõltuvussuhted tähendavad seda, et mis tahes katkestusel – isegi kui see puudutab algselt vaid üht üksust või sektorit – võib olla laiem astmeline mõju, mis võib avaldada kaugeleulatuvat ja pikaajalist negatiivset mõju teenuste osutamisele kogu siseturul. COVID-19 pandeemia on näidanud meie üha enam üksteisest sõltuvate ühiskondade haavatavust väikese realiseerumisvõimalusega riskide esinemise korral. (21)Arvestades riikide juhtimisstruktuuride erinevusi ning selleks, et kaitsta juba kehtivat valdkondlikku korda või liidu reguleerivaid ja järelevalveasutusi, peaksid liikmesriigid saama määrata käesoleva direktiivi kohaselt elutähtsate ja oluliste üksuste võrgu- ja infosüsteemide turvalisusega seotud ülesannete täitmiseks rohkem kui ühe riikliku pädeva asutuse. Liikmesriikidel peaks olema võimalik määrata see roll juba tegutsevale asutusele. (22)Et hõlbustada ametiasutuste piiriülest koostööd ja suhtlust ning käesolevat direktiivi tõhusalt rakendada, on vaja, et iga liikmesriik määraks riikliku ühtse kontaktpunkti, kes vastutab võrgu- ja infosüsteemide turvalisuse küsimuste koordineerimise ning liidu tasandil tehtava piiriülese koostöö eest. (23)Pädevad asutused või CSIRTid peaksid saama üksuste teateid intsidentide kohta tõhusal ja tulemuslikul viisil. Ühtsetele kontaktpunktidele tuleks teha ülesandeks edastada intsidente käsitlevad teated teiste mõjutatud liikmesriikide ühtsetele kontaktpunktidele. Tagamaks, et liikmesriikide asutuste tasandil oleks igas liikmesriigis üks kontaktpunkt, peaksid ühtsed kontaktpunktid olema ka määruse XXXX/XXXX kohaste pädevate asutuste edastatava finantssektori üksustega seotud intsidente käsitleva asjakohase teabe adressaadid ning neil peaks olema võimalik edastada kõnealune teave vajaduse järgi käesoleva direktiivi kohastele asjaomastele riiklikele pädevatele asutustele või CSIRTidele. (24)Liikmesriigid peaksid olema nii tehniliselt kui ka töökorralduse mõttes piisavalt varustatud, et ennetada ja avastada võrgu- ja infosüsteemidega seotud intsidente ja riske ning neile reageerida ja nende mõju leevendada. Liikmesriigid peaksid seega tagama, et neil oleks hästi toimivad ja olulistele nõuetele vastavad CSIRTid, mida tuntakse ka infoturbeintsidentidega tegelevate rühmadena (CERT), et tagada tulemuslik ja ühilduv suutlikkus tulla toime intsidentide ja riskidega ning tagada liidu tasandil tõhus koostöö. Et tugevdada üksuste ja CSIRTide vahelist usalduslikku suhet olukorras, kus CSIRT on pädeva asutuse osa, peaksid liikmesriigid kaaluma CSIRTide operatiivülesannete funktsionaalset eraldamist, eelkõige seoses sellega, mis puudutab teabevahetust ja üksuste toetamist ning pädevate asutuste järelevalvetegevust. (25)Mis puutub isikuandmetesse, siis peaks CSIRTidel olema võimalik kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2016/679 teha käesoleva direktiivi kohaldamisalasse jääva üksuse nimel või taotlusel nende teenuste osutamiseks kasutatavate võrgu- ja infosüsteemide ennetavat kontrolli. Liikmesriigid peaksid seadma eesmärgiks tagada kõikide valdkondlike CSIRTide võrdsel tasemel tehniline suutlikkus. Liikmesriigid võivad paluda riiklike CSIRTide väljatöötamisel Euroopa Liidu Küberturvalisuse Ameti (ENISA) abi. (26)Arvestades küberturvalisuse alase rahvusvahelise koostöö tähtsust, peaks CSIRTidel olema võimalik lisaks käesoleva direktiivi kohaselt loodud CSIRTide võrgustikule osaleda ka rahvusvaheliste koostöövõrgustike töös.

(27)Vastavalt komisjoni soovituse (EL) 2017/1548 (koordineeritud reageerimise kohta ulatuslike küberturvalisuse intsidentide ja kriiside korral) lisale („Tegevuskava“) tuleks ulatusliku intsidendina mõista intsidenti, millel on märkimisväärne mõju vähemalt kahele liikmesriigile või mille põhjustatud häired on niivõrd laialdased, et ühe liikmesriigi suutlikkusest nendega toimetulekuks ei piisa. Olenevalt nende põhjusest ja mõjust võivad ulatuslikud intsidendid eskaleeruda ning muutuda täieulatuslikuks kriisiks, mis takistab siseturu nõuetekohast toimimist. Võttes arvesse selliste intsidentide ulatuslikku haaret ja (enamikul juhtudel) piiriülest laadi, peaksid liikmesriigid ning asjaomased liidu institutsioonid, organid ja asutused tegema koostööd nii tehnilisel, operatiiv- kui ka poliitilisel tasandil, et reageerimist liidu ulatuses nõuetekohaselt koordineerida. (28)Kuna võrgu- ja infosüsteemide nõrkade kohtade ärakasutamine võib põhjustada suuri häireid ja olulist kahju, on nende nõrkade kohtade kiire tuvastamine ja kõrvaldamine küberturvalisusega seotud riskide vähendamise tähtis tegur. Üksused, kes selliseid süsteeme välja töötavad, peaksid seetõttu kehtestama asjakohase menetluskorra, mille alusel lahendada nõrkuste probleemid, kui need tuvastatakse. Kuna nõrkusi avastavad ja neist teatavad (need avalikustavad) sageli kolmandad isikud (teatavad üksused), peaks IKT-toodete või -teenuste tootja/pakkuja kehtestama ka vajaliku menetluskorra kolmandatelt isikutelt nõrkusi käsitleva teabe saamiseks. Rahvusvahelistes standardites ISO/IEC 30111 ja ISO/IEC 29417 on selleks esitatud suunised nõrkuste käsitlemiseks ja nende avalikustamiseks+. Nõrkuste avalikustamisega seoses on koostöö koordineerimine teavitavate üksuste ning IKT-toodete või -teenuste tootjate või osutajate vahel eriti oluline. Nõrkuste koordineeritud avalikustamise all peetakse silmas struktureeritud protsessi, mille käigus teatatakse organisatsioonidele nõrkustest viisil, mis võimaldab organisatsioonil nõrkust diagnoosida ja selle kõrvaldada enne, kui nõrkusega seotud üksikasjalik teave avalikustatakse kolmandatele isikutele või üldsusele. Nõrkuste koordineeritud avalikustamise protsess peaks hõlmama ka teavitava üksuse ja organisatsiooni vahelist koordineerimist nõrkuste kõrvaldamise ja avalikustamise ajastamise asjus. (29)Liikmesriigid peaksid seega võtma meetmeid, et nõrkuste koordineeritud avalikustamist hõlbustada, kehtestades selleks asjakohase riikliku poliitika. Sellega seoses peaksid liikmesriigid määrama koordineerimise ülesannet täitma CSIRTi, kes hakkab vastavalt vajadusele tegutsema vahendajana teavitavate üksuste ja IKT-toodete või -teenuste tootjate/pakkujate vahel. CSIRTi koordinaatori ülesanded peaks eelkõige olema teha kindlaks asjaomased üksused ja võtta nendega ühendust, toetada teavitavaid üksusi, pidada läbirääkimisi avalikustamise tähtaegade üle ning hallata mitut organisatsiooni mõjutavate nõrkustega seonduvat tegevust (mitut osapoolt puudutavate nõrkuste avalikustamine). Kui nõrkus mõjutab mitut IKT-toodete või -teenuste tootjat/pakkujat, kelle tegevuskoht on mitmes liikmesriigis, peaksid iga mõjutatud liikmesriigi määratud CSIRTid tegema CSIRTide võrgustiku raames koostööd. (30)Juurdepääs õigele ja õigeaegsele teabele IKT-tooteid ja -teenuseid mõjutavate nõrkuste kohta aitab küberturvalisuse alast riskijuhtimist tõhustada. Seega on nõrkuste kohta avalikult kättesaadava teabe allikad oluline vahend üksuste ja nende kasutajate, aga ka riiklike pädevate asutuste ja CSIRTide jaoks. Sel põhjusel peaks ENISA looma nõrkuste registri, kus elutähtsad ja olulised üksused ja nende tarnijad, aga ka käesoleva direktiivi kohaldamisalast välja jäävad üksused võivad vabatahtlikult avalikustada nõrkusi ning esitada nende kohta teavet, mis võimaldab kasutajatel võtta asjakohaseid leevendusmeetmeid. (31)Sarnaseid nõrkuste registreid või andmebaase on ka juba loodud, kuid neid majutavad ja haldavad üksused, mille asukoht ei ole liidus. ENISA hallatav Euroopa nõrkuste register tagaks suurema läbipaistvuse nõrkuste ametlikule avalikustamisele eelneva avalikustamisprotsessiga seoses ning suurendaks vastupidavusvõimet sarnaste teenuste osutamist mõjutavate häirete või katkestuste korral. Et vältida topelttööd ja püüda saavutada võimalikult suures ulatuses vastastikune täiendavus, peaks ENISA uurima võimalust sõlmida struktureeritud koostöö lepinguid kolmandate riikide jurisdiktsioonides tegutsevate sarnaste registritega. (32)Koostöörühm peaks iga kahe aasta järel koostama tööprogrammi kava, mis hõlmab rühma eesmärkide ja ülesannete täitmiseks võetavaid meetmeid. Käesoleva direktiivi alusel vastu võetava esimese programmi ajakava tuleks viia kooskõlla direktiivi (EL) 2016/1148 alusel vastu võetud viimase programmi ajakavaga, et vältida töörühma töö võimalikku häirimist. (33)Juhenddokumentide väljatöötamisel peaks koostöörühm järjepidevalt kaardistama riiklikud lahendused ja kogemused, hindama koostöörühma tegevuse tulemuste mõju riiklikele lähenemisviisidele, arutama rakendamisega seotud probleeme ning sõnastama konkreetsed soovitused olemasolevate eeskirjade tõhusamaks rakendamiseks. (34)Koostöörühm peaks jääma paindlikuks foorumiks ning suutma reageerida muutuvatele ja uutele poliitilistele prioriteetidele ja probleemidele, võttes seejuures arvesse vahendite kättesaadavust. Ta peaks korraldama korrapäraseid ühiskoosolekuid asjaomaste erasektori sidusrühmadega kogu liidust, et arutada rühma tegevust ja koguda teavet esilekerkivate poliitiliste probleemide kohta. Et tõhustada koostööd liidu tasandil, peaks rühm kaaluma võimalust kutsuda oma töös osalema küberturvalisuse alase poliitika kujundamisega seotud liidu asutused ja ametid, näiteks küberkuritegevuse vastase võitluse Euroopa keskuse (EC3), Euroopa Liidu Lennundusohutusameti (EASA) ja Euroopa Liidu Kosmoseprogrammi Ameti (EUSPA). (35)Pädevatel asutustel ja CSIRTidel peaks olema võimalus koostöö parandamiseks osaleda teiste liikmesriikidega ametnike vahetamise programmis. Pädevad asutused peaksid võtma vajalikud meetmed, et võimaldada teiste liikmesriikide ametnikel täita vastuvõtva pädeva asutuse tegevuses tulemuslikku rolli. (36)Liit võib kooskõlas ELi toimimise lepingu artikliga 218 sõlmida kolmandate riikide või rahvusvaheliste organisatsioonidega rahvusvahelisi lepinguid, mis võimaldavad neil osaleda ja korraldada osalust mõningates koostöörühma ja CSIRTide võrgustiku tegevustes. Selliste lepingute sõlmimise puhul tuleks tagada piisaval tasemel andmekaitse. (37)Liikmesriigid peaksid aitama luua soovituses (EL) 2017/1584 ette nähtud küberturvalisuse kriisidele reageerimise ELi raamistikku olemasolevate koostöövõrgustike, eelkõige küberkriisi kontaktasutuste võrgustiku (EU-CyCLONe), CSIRTide võrgustiku ja koostöörühma tegevuse kaudu. EU-CyCLONe ja CSIRTide võrgustik peaksid tegema koostööd menetluskorra alusel, milles määratakse kindlaks kõnealuse koostöö üksikasjad. EU-CyCLONe menetluskorras tuleks täpsustada võrgustiku toimimist puudutavad üksikasjad, muu hulgas rollid, koostööviisid, teiste asjaomaste osalejatega suhtlemine, teabevahetuse vormid ja kommunikatsioonivahendid. Liidu tasandi kriisiohje puhul peaksid asjaomased osapooled lähtuma kriisidele poliitilist reageerimist käsitlevast ELi integreeritud korrast (IPCR). Komisjon peaks rakendama üldise kiirhoiatussüsteemi ARGUS kõrgetasemelise valdkondadevahelise kriisikoordineerimise menetlusprotsessi. Kui kriisil on oluline välispoliitiline või ühise julgeoleku- ja kaitsepoliitikaga (ÜJKP) seotud mõõde, tuleks käivitada Euroopa välisteenistuse kriisidele reageerimise mehhanism. (38)Käesolevas direktiivis osutatakse mõistega „risk“ küberturvalisuse intsidendist tingitud kahju või häire võimalusele ning seda tuleks väljendada sellise kahju või häire ulatust ja kõnealuse intsidendi esinemise tõenäosust arvesse võtva kombineeritud näitajana. (39)Käesolevas direktiivis osutatakse mõistega „ohuolukord“ sündmusele, mis oleks võinud põhjustada kahju, kuid mis suudeti edukalt ära hoida. (40)Riskijuhtimismeetmed peaksid hõlmama meetmeid intsidendiriskide tuvastamiseks, intsidentide vältimiseks, tuvastamiseks ja käsitlemiseks ning nende mõju leevendamiseks. Võrgu- ja infosüsteemide turvalisus peaks hõlmama salvestatavate, edastatavate ja töödeldavate andmete turvalisust. (41)Et vältida elutähtsatele ja olulistele üksustele ebaproportsionaalse finants- ja halduskoormuse panemist, peaksid küberturvalisuse riskijuhtimisnõuded olema proportsionaalsed asjaomase võrgu- ja infosüsteemi puhul esineva riski taseme suhtes ning lähtuma meetmete tehnilisest tasemest. (42)Elutähtsad ja olulised üksused peaksid tagama oma tegevuses kasutatavate võrgu- ja infosüsteemide turvalisuse. Nende puhul on eelkõige tegemist privaatsete võrgu- ja infosüsteemidega, mida haldavad kas üksuse enda IT-töötajad või mille turvalisusega seotud teenused ostetakse sisse. Käesoleva direktiivi kohaseid küberturvalisuse riskijuhtimis- ja teatamisnõudeid tuleks kohaldada asjaomaste elutähtsate ja oluliste üksuste suhtes olenemata sellest, kas nad hooldavad oma võrgu- ja infosüsteeme ise või tellivad hooldusteenuse väljast. (43)Üksuse tarneahelast ja tarnijasuhetest tulenevate küberturvalisuse riskidega tegelemine on eriti oluline, kui võtta arvesse selliste intsidentide esinemise sagedust, mille puhul üksused on langenud küberrünnete ohvriks ning pahatahtlikud osalejad on suutnud kahjustada üksuse võrgu- ja infosüsteemide turvalisust, kasutades ära kolmandate isikute tooteid ja teenuseid mõjutavaid nõrku kohti. Seepärast peaksid üksused hindama ja arvesse võtma oma tarnijate ja teenuseosutajate toodete üldist kvaliteeti ja küberturvalisuse tavasid, sealhulgas nende turvalise arenduse korda. (44)Teenuseosutajate seas mängivad intsidentide tuvastamisel ja neile reageerimisel üksuste jaoks eriti olulist tugirolli turbetarnijad sellistes teenusevaldkondades nagu intsidentidele reageerimine, läbistustestimine, turvarevisjon ja konsultatsioonid. Mainitud turbetarnijad on aga olnud ka ise küberrünnete sihtmärgiks ja kuna nad on operaatorite tegevusse tihedalt lõimitud, kaasneb nendega suurem küberturvalisuse risk. Seega peaksid üksused olema turbetarnija valimisel iseäranis hoolikad. (45)Üksused peaksid tähelepanu pöörama ka sellistele küberturvalisuse riskidele, mis tulenevad nende suhtlemisest ja suhetest teiste sidusrühmadega laiemas ökosüsteemis. Täpsemalt peaksid üksused võtma asjakohaseid meetmeid tagamaks, et nende koostöö akadeemiliste ja teadusasutustega toimub kooskõlas nende küberturvalisuse eeskirjadega ning et selles koostöös järgitakse turvalise juurdepääsu ja levitamisega seotud üldisi häid tavasid ja täpsemalt intellektuaalomandi kaitsega seotud tavasid. Võttes arvesse andmete olulisust ja väärtust üksuste tegevuse jaoks, peaksid üksused kolmandate isikute osutatavatele andmete teisendamise ja analüüsi teenustele tuginedes võtma kõik asjakohased küberturvalisuse meetmed. (46)Et peamisi tarneahelariske põhjalikumalt käsitleda ja aidata käesoleva direktiivi kohaldamisalasse hõlmatud sektorites tegutsevatel üksustel tarneahela ja tarnijatega seotud küberturvalisuse riske nõuetekohaselt juhtida, peaks asjaomaseid riiklikke asutusi koondav koostöörühm tegema koostöös komisjoni ja ENISAga koordineeritud valdkonnapõhise tarneahela riskihindamise (nagu tehti juba 5G-võrkude kohta vastavalt soovitusele (EL) 2019/534 (5G-võrkude küberturvalisuse kohta)), seades eesmärgiks määratleda iga sektori jaoks kriitilise tähtsusega IKT-teenused, -süsteemid või -tooted, asjaomased ohud ja nõrkused.

(47)Tarneahela riskide hindamisel tuleks asjaomase sektori omadusi silmas pidades võtta arvesse nii tehnilisi kui ka (kus asjakohane) mittetehnilisi tegureid, sealhulgas neid, mis on määratletud soovituses (EL) 2019/534, 5G-võrkude küberturvalisusega seotud ELi koordineeritud riskihindamist käsitlevas aruandes ja koostöörühma kokkulepitud ELi 5G-küberturvalisuse meetmepaketis. Et teha kindlaks tarneahelad, mille suhtes peaks kohaldama koordineeritud riskihindamist, tuleks arvesse võtta järgmisi kriteeriume: i) kui suurel määral elutähtsad ja olulised üksused kindlaid kriitilise tähtsusega IKT-teenuseid, -süsteeme või -tooteid kasutavad ning nendele tuginevad; ii) kindlate kriitilise tähtsusega IKT-teenuste, -süsteemide või -toodete asjakohasus kriitiliste või tundlike funktsioonide (sh isikuandmete töötlemine) täitmisel; iii) alternatiivsete IKT-teenuste, -süsteemide või -toodete kättesaadavus; iv) IKT-teenuste, -süsteemide või -toodete tarneahela kui terviku vastupidavusvõime häirivate sündmuste korral või v) kui tegemist on kujunemisjärgus IKT-teenuste, -süsteemide või -toodetega, siis nende potentsiaalne tulevane tähtsus üksuste tegevuse jaoks. (48)Et ühtlustada üldkasutatavate elektroonilise side võrkude või üldkasutatavate elektroonilise side teenuste pakkujatele ja usaldusteenuse osutajatele pandud võrgu- ja infosüsteemide turvalisusega seotud õiguslikke kohustusi ning võimaldada kõnealustel üksustel ja nende vastavatel pädevatel asutustel käesoleva direktiiviga kehtestatud õigusraamistikust (sh riskide ja intsidentidega seotud tegevuste eest vastutav CSIRT, pädevate asutuste ja organite osalemine koostöörühma tegevuses ja CSIRTide võrgustik) kasu saada, tuleks need üksused hõlmata käesoleva direktiivi kohaldamisalasse. Seega tuleks Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 ning Euroopa Parlamendi ja nõukogu direktiivi (EL) 2018/1972 sätted, mis on seotud turva- ja teatamisnõude kehtestamisega kõnealust liiki üksuste suhtes, kehtetuks tunnistada. Teatamiskohustust käsitlevad normid ei tohiks piirata määruse (EL) 2016/679 ning Euroopa Parlamendi ja nõukogu direktiivi 2002/58/EÜ kohaldamist. (49)Et vältida tarbetute häirete põhjustamist, peaksid käesoleva direktiivi kohased järelevalve ja täitmise eest vastutavad pädevad asutused (kus asjakohane) jätkuvalt järgima olemasolevaid riiklikke suuniseid ja siseriiklikke õigusakte, mis on vastu võetud direktiivi (EL) 2018/1972 artikli 40 lõikes 1 sätestatud turvameetmetega seotud normide ja samuti kõnealuse direktiivi artikli 40 lõikes 2 sätestatud intsidendi olulisusega seotud parameetreid käsitlevate nõuete ülevõtmiseks. (50)Võttes arvesse, et numbrivaba isikutevahelise side teenuste olulisus kasvab, tuleb tagada, et ka nende teenuste kohta kehtiksid asjakohased, nende eripära ja majanduslikku tähtsust arvestavad turvalisusnõuded. Selliste teenuste osutajad peaksid seega samuti tagama riskitasemele vastava võrgu- ja infosüsteemide turvalisuse taseme. Arvestades et numbrivaba isikutevahelise side teenuste pakkujatel puudub tavaliselt tegelik kontroll võrkudes signaalide edastamise üle, võib selliste teenuste riske pidada mõnes mõttes väiksemaks kui tavapäraste elektroonilise side teenuste puhul esinevaid riske. Sama kehtib ka selliste isikutevahelise side teenuste kohta, mille puhul kasutatakse numbreid ja millel puudub tegelikult kontroll signaaliedastuse üle. (51)Siseturg sõltub interneti toimimisest rohkem kui kunagi varem. Peaaegu kõigi elutähtsate ja oluliste üksuste teenused sõltuvad interneti kaudu pakutavatest teenustest. Et tagada elutähtsate ja oluliste üksuste pakutavate teenuste sujuv osutamine, on oluline, et üldkasutatavate elektroonilise side võrkude, näiteks interneti tuumikvõrkude või merealuste sidekaablite puhul rakendataks asjakohaseid küberturvalisuse meetmeid ja et nendega seotud intsidentidest teatataks. (52)Kus asjakohane, peaksid üksused teavitama oma teenuse kasutajaid kindlatest olulistest ohtudest ning meetmetest, mida viimased saavad võtta, et oma riske vähendada. Nõue teavitada kasutajaid sellistest ohtudest ei vabasta üksusi kohustusest võtta oma kulul viivitamata sobivaid meetmeid, et võimalikud turvaohud kõrvaldada ja taastada teenuse turvalisuse tavapärane tase. Selline turvaohte käsitlev teave tuleks kasutajatele esitada tasuta. (53)Täpsemalt peaksid üldkasutatavate elektroonilise side võrkude pakkujad või üldkasutatavate elektroonilise side teenuste osutajad teavitama teenuse saajaid konkreetsetest ja tõsistest küberohtudest ning meetmetest, mida viimased saavad oma side turvalisuse kaitseks võtta, kasutades näiteks teatavat liiki tarkvara või krüpteerimistehnoloogiaid. (54)Artikli 18 kohaldamiseks tuleks elektroonilise side võrkude ja teenuste turvalisuse tagamiseks edendada krüpteerimist ja eelkõige otspunktkrüpteerimist ning teha see vajaduse korral selliste teenuste ja võrkude pakkujatele kohustuslikuks kooskõlas turbe ja privaatsuse vaikesätteid ja sisseprojekteerimist käsitlevate põhimõtetega. Otspunktkrüpteerimise kasutamine tuleks ühildada liikmesriikide volitustega tagada nende oluliste julgeolekuhuvide ja avaliku julgeoleku kaitse ning võimaldada kuritegude uurimist, avastamist ja nende eest vastutusele võtmist kooskõlas liidu õigusega. Lahendused, mis võimaldavad otspunktkrüpteeritud sidekanali kaudu edastatavale teabele seaduslikku juurdepääsu, peaksid võimaldama säilitada krüpteerimise tõhususe side privaatsuse ja turvalisuse kaitsmisel, tagades samas tõhusa reageerimise kuritegevusele. (55)Käesolevas direktiivis sätestatakse intsidentidest teatamise kaheetapiline lähenemisviis, et saavutada õige tasakaal kahe ülesande vahel: ühelt poolt kiire teatamine, mis aitab vähendada intsidentide võimalikku levikut ja võimaldab üksustel abi otsida, ning teiselt poolt põhjalik aruandlus, mis võimaldab saada üksikutest intsidentidest väärtuslikke õppetunde ja suurendada aja jooksul üksikute ettevõtete ja tervete sektorite vastupanuvõimet küberohtude suhtes. Üksustelt, kes saavad intsidendist teadlikuks, tuleks nõuda esialgse teatise esitamist 24 tunni jooksul ja lõpparuande esitamist hiljemalt ühe kuu pärast. Esialgne teade peaks sisaldama üksnes teavet, mis on pädevate asutuste intsidendist teavitamiseks hädavajalik ja mis võimaldab üksusel vajaduse korral abi hankida. Sellises teates tuleks (kui see on asjakohane) märkida, kas intsident on eeldatavasti põhjustatud ebaseaduslikust või pahatahtlikust tegevusest. Liikmesriigid peaksid tagama, et kõnealuse esialgse teate esitamise nõudega seoses ei võetaks teavitava üksuse ressursse intsidentide käsitlemisega seotud tegevuste arvelt, mis peaksid olema prioriteetsed. Et vältida olukorda, kus intsidentidest teatamise kohustuse tõttu suunatakse vahendid ümber intsidentide lahendamise arvelt või kannatab mainitud tegevus muul moel, peaksid liikmesriigid samuti ette nägema, et nõuetekohaselt põhjendatud juhtudel ja kokkuleppel pädevate asutuste või CSIRTiga võib asjaomane üksus esialgse teatamise 24-tunnisest tähtajast ja lõpparuande esitamise ühekuulisest tähtajast kõrvale kalduda. (56)Elutähtsad ja olulised üksused on sageli olukorras, kus kindlast intsidendist tuleb eri õigusaktides sätestatud teatamiskohustuste tõttu teavitada eri asutusi. Sellised olukorrad tekitavad lisakoormust ning võivad põhjustada ebakindlust kõnealuste teadete vormi ja menetluskorraga seoses. Seda silmas pidades ning selleks, et turvaintsidentidest teatamist lihtsustada, peaksid liikmesriigid looma ühtse kontaktpunkti kõigi käesoleva direktiivi ja muude liidu õigusaktide, näiteks määruse (EL) 2016/679 ja direktiivi 2002/58/EÜ alusel nõutavate teadete edastamise tarbeks. ENISA peaks koostöös koostöörühmaga töötama välja ühised teatevormid ja vastavad suuniseid, mis lihtsustaksid ja ühtlustaksid liidu õigusega nõutava teabe esitamist ning vähendaksid ettevõtjate koormust. (57)Liikmesriigid peaksid liidu õigusega kooskõlas olevast kriminaalmenetluskorrast lähtuvalt julgustama elutähtsaid ja olulisi üksusi, kes kahtlustavad, et intsident on seotud liidu või liikmesriigi õiguses määratletud raske kuriteoga, teatama nendest arvatavalt raske kuritegevusega seotud intsidentidest asjakohastele õiguskaitseasutustele. Kus asjakohane, võiksid EC3 ja ENISA hõlbustada eri liikmesriikide pädevate asutuste ja õiguskaitseasutuste vahelise koostöö koordineerimist, ilma et see mõjutaks Europoli suhtes kohaldatavaid isikuandmete kaitse eeskirju. (58)Intsidentidega kaasneb sageli isikuandmete kuritarvitamine. Sellega seoses peaksid pädevad asutused tegema koostööd ning vahetama teavet kõigis asjakohastes küsimustes andmekaitseasutuste ja järelevalveasutustega vastavalt direktiivile 2002/58/EÜ. (59)Domeeninimede ja registreerimisandmete (nn WHOIS-andmed) täpsete ja täielike andmebaaside pidamine ning kõnealustele andmetele seadusliku juurdepääsu võimaldamine on oluline, et tagada domeeninimede süsteemi turvalisus, stabiilsus ja vastupanuvõime, mis omakorda aitab saavutada küberturvalisuse ühtlaselt kõrget taset liidus. Kui töötlemine hõlmab isikuandmete töötlemist, tuleb seda teha kooskõlas liidu andmekaitsealaste õigusaktidega. (60)Nende andmete kättesaadavus ja nendele õigeaegse juurdepääsu võimaldamine avaliku sektori asutustele, sealhulgas liidu või liikmesriigi õiguse alusel tegutsevatele pädevatele asutustele kuritegude ennetamiseks, uurimiseks või nende eest vastutusele võtmiseks, CERTidele, CSIRTidele ning elektroonilise side võrkude ja teenuste pakkujatele nende klientide andmetega seoses ning nende klientide nimel tegutsevatele küberturvalisuse tehnoloogiate ja teenuste pakkujatele on oluline domeeninimede süsteemi kuritarvitamise ennetamiseks ja selle vastu võitlemiseks, eelkõige küberturvalisuse intsidentide ennetamiseks, tuvastamiseks ja lahendamiseks. Selline juurdepääs tuleks võimaldada kooskõlas liidu andmekaitseõigusega, niivõrd kui see juurdepääs puudutab isikuandmeid. (61)Et tagada domeeninimede registreerimise täpsete ja täielike andmete kättesaadavus, peaksid tippdomeenide registrid ja tippdomeenide domeeninimede registreerimise teenuseid osutavad üksused (nn registripidajad) koguma domeeninimede registreerimise andmeid ning tagama nende tervikluse ja kättesaadavuse. Eelkõige peaksid tippdomeenide registrid ja tippdomeenide domeeninimede registreerimise teenuseid osutavad üksused kehtestama põhimõtted ja menetluskorra täpsete ja täielike registreerimisandmete kogumiseks ja säilitamiseks ning samuti ebatäpsete registreerimisandmete vältimiseks ja parandamiseks kooskõlas liidu andmekaitse-eeskirjadega. (62)Tippdomeenide registrid ja neile domeeninimede registreerimise teenuseid osutavad üksused peaksid tegema üldsusele kättesaadavaks liidu andmekaitse-eeskirjade kohaldamisalast välja jäävad domeeninimede registreerimise andmed, näiteks juriidiliste isikutega seotud andmed. Tippdomeenide registrid ja tippdomeenide domeeninimede registreerimise teenuseid osutavad üksused peaksid kooskõlas liidu andmekaitseõigusega võimaldama õiguspärast juurdepääsu õigustatud taotlejatele ka füüsiliste isikutega seotud domeeninimede registreerimise andmetele. Liikmesriigid peaksid tagama, et tippdomeenide registrid ja neile domeeninimede registreerimise teenuseid osutavad üksused vastaksid õigustatud juurdepääsu taotleja esitatud domeeninimede registreerimise andmete taotlusele põhjendamatu viivituseta. Tippdomeenide registrid ja domeeninimede registreerimise teenuseid osutavad üksused peaksid kehtestama põhimõtted ja menetluskorra registreerimisandmete avaldamiseks ja avalikustamiseks ning kinnitama seejuures teenustaseme kokkulepped õigustatud juurdepääsu taotlejate juurdepääsutaotluste käsitlemiseks. Juurdepääsumenetlus võib hõlmata ka liidese, portaali või muu tehnilise vahendi kasutamist, mis aitab tagada tõhusa süsteemi registreerimisandmete taotlemiseks ja nendele juurdepääsu võimaldamiseks. Et toetada siseturul ühtsete tavade juurutamist, võib komisjon võtta vastu selliseid menetlusi käsitlevad suunised, ilma et sellega piirataks Euroopa Andmekaitsenõukogu pädevust. (63)Kõik käesoleva direktiivi kohased elutähtsad ja olulised üksused peaksid kuuluma selle liikmesriigi jurisdiktsiooni alla, kus nad oma teenuseid osutavad. Kui üksus osutab teenuseid rohkem kui ühes liikmesriigis, peaks ta kuuluma eraldi ja samal ajal iga kõnealuse liikmesriigi jurisdiktsiooni alla. Nende liikmesriikide pädevad asutused peaksid tegema koostööd, üksteist vastastikku abistama ja vajaduse korral võtma ühiseid järelevalvemeetmeid. (64)Võttes arvesse domeeninimede süsteemide, tippdomeeninimede registrite, sisulevivõrkude, pilvandmetöötluse, andmekeskuste ja digiteenuste osutajate teenuste ja tegevuse piiriülest iseloomu, peaks asjaomased üksused kuuluma vaid ühe liikmesriigi jurisdiktsiooni alla. Üksus peaks kuuluma selle liikmesriigi jurisdiktsiooni alla, kus on tema peamine tegevuskoht liidus. Käesoleva direktiivi kohaldamisel eeldatakse tegevuskohakriteeriumi puhul tulemuslikku tegevust püsiva korra alusel. Sellise korra õiguslik vorm (filiaal või juriidilisest isikust tütarettevõtja) ei ole antud juhul määrav tegur. Selle kriteeriumi täidetus ei tohiks sõltuda võrgu- ja infosüsteemide füüsilisest paiknemisest teatavas kohas; ainuüksi selliste süsteemide olemasolu ja kasutamine peamist tegevuskohta ei näita ning seega pole need peamise tegevuskoha kindlakstegemisel otsustavad kriteeriumid. Peamine tegevuskoht peaks olema see liidu asukoht, kus tehakse otsuseid küberturvalisuse riskijuhtimise meetmete kohta. Tavaliselt on see liidu asukoht, kus asub ettevõtja peakontor. Kui kõnealuseid otsuseid ei tehta liidus, tuleks peamise tegevuskohana käsitada seda liikmesriiki, mille tegevuskohas on üksusel liidus kõige rohkem töötajaid. Kui teenuseid osutab kontsern, tuleks kontserni peamiseks tegevuskohaks lugeda kontrolliva ettevõtja peamine tegevuskoht. (65)Kui liidus osutab teenuseid domeeninimede süsteemi teenuse, tippdomeeninimede registri, sisulevivõrkude, pilvandmetöötlusteenuse, andmekeskusteenuse või digiteenuse pakkuja, kelle asukoht pole liidus, peaks ta määrama endale esindaja. Otsustamaks, kas kõnealune üksus pakub teenuseid liidu piires, tuleks kindlaks teha, kas on ilmne, et ta kavatseb osutada teenuseid ühes või mitmes liikmesriigis asuvatele isikutele. Viidatud kavatsuse kinnitamiseks ei piisa vaid faktist, et liidus pääseb juurde digiteenuse osutaja või vahendaja veebisaidile, e-posti aadressile või muudele kontaktandmetele, ega faktist, et kasutatakse üksuse asukohariigiks olevas kolmandas riigis üldiselt kasutatavat keelt. Samas võivad asjaolud, nagu ühes või mitmes liikmesriigis üldiselt kasutatava keele või vääringu kasutamine, millega kaasneb võimalus tellida teenuseid selles teises keeles, või liidus paiknevate klientide või kasutajate mainimine, viidata sellele, et üksus kavatseb pakkuda teenuseid liidus. Esindaja peaks tegutsema üksuse nimel ning pädevatel asutustel või CSIRTil peaks olema võimalik esindajaga ühendust võtta. Üksus peaks kirjaliku volitusega sõnaselgelt määrama esindaja tema nimel tegutsema seoses käesoleva direktiivi kohaste kohustustega, sealhulgas intsidentidest teatamise kohustusega. (66)Kui käesoleva direktiivi sätete alusel vahetatakse või edastatakse või jagatakse muul moel teavet, mida käsitatakse riikliku või liidu õiguse alusel salastatud teabena, tuleks järgida asjaomaseid salastatud teabe käitlemise erieeskirju.

(67)Kuna küberohud on muutumas komplekssemaks ja keerukamaks, sõltuvad head tuvastus- ja ennetusmeetmed suuresti ohte ja nõrkusi puudutava teabe korrapärasest jagamisest üksuste vahel. Teabe jagamine aitab suurendada teadlikkust küberohtudest ja see omakorda suurendab üksuste suutlikkust hoida ära ohtude muutumist tegelikeks intsidentideks ning võimaldab üksustel intsidentide mõju paremini piirata ja neil tõhusamini taastuda. Liidu tasandi suuniste puudumise tõttu on sellist teadmuse jagamist pärssinud mitu tegurit, eelkõige ebakindlus konkurentsi ja vastutust käsitlevate normide järgimisega seoses. (68)Üksuseid tuleks julgustada kasutama kollektiivselt individuaalseid teadmisi ja praktilisi kogemusi strateegilisel, taktikalisel ja operatiivsel tasandil, et suurendada suutlikkust küberohte õigesti hinnata ja jälgida, end nende eest kaitsta ja neile reageerida. Seega on vaja võimaldada luua liidu tasandil vabatahtliku teabevahetuse mehhanismid. Selleks peaksid liikmesriigid aktiivselt toetama ja julgustama ka käesoleva direktiivi kohaldamisalast välja jäävaid asjaomaseid üksusi selliseid teabejagamise mehhanisme kasutama. Neid mehhanisme tuleks rakendada täielikus kooskõlas liidu konkurentsi- ja andmekaitsenormidega. (69)Isikuandmete töötlemist avaliku sektori asutuste, CERTide, CSIRTide, elektroonilise side võrkude ja teenuste pakkujate ning turvatehnoloogiate ja -teenuste pakkujate poolt sellisel määral, mis on rangelt vajalik ja proportsionaalne võrgu- ja infoturbe tagamiseks, tuleks käsitada töötlemisena asjaomase vastutava töötleja õigustatud huvi alusel, nagu on osutatud määruses (EL) 2016/679. See peaks hõlmama meetmeid, mis on seotud intsidentide ennetamise, avastamise, analüüsimise ja lahendamisega, meetmeid, millega suurendatakse teadlikkust kindlatest küberohtudest, võimaldatakse teabevahetust nõrkuste vähendamise ja koordineeritud avalikustamise kontekstis, samuti vabatahtlikku teabevahetust seoses kõnealuste intsidentide, küberohtude ja nõrkuste, rikkeindikaatorite, taktikate, meetodite ja menetluskorra, küberturvalisuse hoiatussüsteemide ja konfiguratsioonivahenditega. Sellised meetmed võivad nõuda järgmist liiki isikuandmete töötlemist: IP-aadressid, URLid, domeeninimed ja meiliaadressid. (70)Et tugevdada järelevalvevolitusi ja -meetmeid, mis aitavad tagada nõuete tõhusat täitmist, tuleks käesoleva direktiiviga ette näha minimaalsed järelevalvemeetmed ja -vahendid, mille abil teevad pädevad asutused elutähtsate ja oluliste üksuste üle järelevalvet. Lisaks tuleks käesoleva direktiiviga kehtestada eraldi järelevalvekord elutähtsate ja oluliste üksuste jaoks, et tagada kohustuste õiglane tasakaal nii üksuste kui ka pädevate asutuste suhtes. Seega tuleks elutähtsate üksuste suhtes kohaldada täiemahulist järelevalvekorda, mis hõlmab nii eelkontrolli (ex-ante-kontroll) kui ka järelkontrolli (ex-post-kontroll), ja oluliste üksuste suhtes lihtsustatud järelevalvekorda, mis hõlmab üksnes järelkontrolli. Viimasel juhul ei peaks üksused süstemaatiliselt dokumenteerima küberturvalisuse alase riskijuhtimise nõuete täitmist. Pädevad asutused peaksid rakendama järelevalve tegemisel tagantjärele reageerimisel põhinevat lähenemisviisi ja seega ei peaks neil olema üldist kohustust nende üksuste üle järelevalvet teha. (71)Et tagada jõustamise tõhusus, tuleks koostada käesolevas direktiivis sätestatud küberturvalisuse riskijuhtimis- ja aruandluskohustuste rikkumise eest kohaldatavate halduskaristuste miinimumloetelu ning kehtestada selliste karistuste jaoks kogu liidus selge ja ühtne raamistik. Nõuetekohast tähelepanu tuleks pöörata rikkumise laadile, raskusastmele ja kestusele, tegelikult põhjustatud kahjule või võimalikule kahjule (mis oleks võinud kaasneda), rikkumise tahtlikkuse või hooletuse aspektile, kahju vältimiseks või leevendamiseks võetud meetmetele, vastutuse tasemele või varasematele asjaomastele rikkumistele, pädeva asutusega tehtava koostöö tasemele ning muule raskendavale või leevendavale tegurile. Karistuste, sealhulgas trahvide määramise suhtes tuleks kooskõlas liidu õiguse üldpõhimõtete ja Euroopa Liidu põhiõiguste hartaga kohaldada asjakohaseid menetluslikke kaitsemeetmeid, sealhulgas tõhusat õiguskaitset ja nõuetekohast menetluskorda. (72)Et tagada käesolevas direktiivis sätestatud kohustuste tõhus täitmine, peaks igal pädeval asutusel olema õigus määrata haldustrahve või taotleda nende määramist. (73)Kui haldustrahvid määratakse ettevõtjale, tuleks ettevõtja määratlemisel lähtuda ELi toimimise lepingu artiklites 101 ja 102 toodud määratlusest. Kui trahvid määratakse isikule, kes ei ole ettevõtja, peaks järelevalveasutus sobiva trahvisumma määramisel arvesse võtma üldist sissetulekutaset selles liikmesriigis ja isiku majanduslikku olukorda. See, kas ja mil määral tuleks kohaldada trahve avaliku sektori asutustele, peaks olema liikmesriikide otsustada. Haldustrahvi määramine ei mõjuta pädevate asutuste muude volituste rakendamist ega muude karistuste kohaldamist, mis on sätestatud käesolevat direktiivi ülevõtvates siseriiklikes õigusnormides. (74)Liikmesriikidel peaks olema võimalik kehtestada kriminaalkaristuste normid, mida kohaldatakse käesolevat direktiivi ülevõtvate siseriiklike õigusnormide rikkumise korral. Kriminaalkaristuste määramine selliste liikmesriigi normide rikkumise eest ja seotud halduskaristuste määramine ei tohiks aga põhjustada põhimõtte ne bis in idem (Euroopa Kohtu tõlgenduses) rikkumist. (75)Kui käesoleva määrusega ei ole halduskaristusi ühtlustatud või vajaduse korral muudel juhtudel, näiteks käesolevas direktiivis sätestatud kohustuste raske rikkumise korral, peaksid liikmesriigid rakendama süsteemi, mis näeb ette tõhusad, proportsionaalsed ja heidutavad karistused. Selliste karistuste laad (kriminaal- või halduskaristus) tuleks määrata liikmesriigi õigusega. (76)Et täiendavalt suurendada käesoleva direktiiviga kehtestatud kohustuste rikkumise korral kohaldatavate karistuste tõhusust ja heidutavat mõju, peaks pädevatel asutustel olema õigus kohaldada karistusi, millega peatatakse elutähtsa üksuse osutatavate mõnede või kõigi teenuste sertifikaat või luba ning keelatakse füüsilisel isikul ajutiselt juhtimisülesannete täitmine. Selliseid karistusi tuleks kohaldada alati proportsionaalselt rikkumise raskusastmega ning iga juhtumi konkreetseid asjaolusid (sh seda, kas rikkumine oli tahtlik või tulenes ettevaatamatusest, ning seda, milliseid meetmeid kahju vältimiseks või vähendamiseks võeti) silmas pidades, võttes arvesse karistuste raskusastet ja mõju üksuste tegevusele ning seeläbi ka nende tarbijatele. Selliseid karistusi tuleks kohaldada üksnes ultima ratio põhimõttel, st alles pärast seda, kui muud käesolevas direktiivis sätestatud asjakohased täitemeetmed on ammendatud, ja ainult seni, kuni üksused, kelle suhtes neid kohaldatakse, võtavad vajalikud meetmed puuduste kõrvaldamiseks või täidavad pädeva asutuse need nõuded, millega seoses karistusi kohaldati. Selliste karistuste määramise suhtes tuleks kooskõlas liidu õiguse üldpõhimõtete ja Euroopa Liidu põhiõiguste hartaga kohaldada asjakohaseid menetluslikke kaitsemeetmeid, sealhulgas tõhusat õiguskaitset ja nõuetekohast menetluskorda. (77)Käesoleva direktiiviga tuleks kehtestada kooskõlas määrusega (EL) 2016/679 pädevate asutuste ja järelevalveasutuste vahelise koostöö eeskirjad isikuandmetega seotud rikkumiste käsitlemiseks. (78)Käesoleva direktiivi eesmärk peaks olema tagada kõrgel tasemel vastutus küberturvalisuse riskijuhtimismeetmete rakendamise ja teatamiskohustuse täitmise eest organisatsioonide tasandil. Seega peaksid käesoleva direktiivi kohaldamisalasse kuuluvate üksuste juhtorganid küberturvalisuse riskijuhtimismeetmed kinnitama ja tegema järelevalvet nende rakendamise üle. (79)Kehtestada tuleks vastastikuse hindamise mehhanism, mis võimaldaks liikmesriikide määratud ekspertidel hinnata küberturvalisuse alaste eeskirjade rakendamist, sealhulgas liikmesriikide suutlikkuse ja saadaolevate vahendite taset. (80)Et võimaldada võtta arvesse uusi küberohte, tehnoloogia arengut või sektori eripärasid, tuleks komisjonile delegeerida õigus võtta kooskõlas ELi toimimise lepingu artikliga 290 vastu õigusakte, mis käsitlevad käesoleva direktiiviga ettenähtavate riskijuhtimismeetmetega seotud aspekte. Samuti peaks komisjonil olema õigus võtta vastu delegeeritud õigusakte, millega määratakse, mis liiki elutähtsatelt üksustelt nõutakse sertifikaadi omandamist ja milliseid Euroopa küberturvalisuse sertifitseerimise kavu seejuures rakendatakse. Eriti oluline on, et komisjon korraldaks oma ettevalmistava töö käigus asjakohaseid konsultatsioone, sealhulgas ekspertide tasandil, ja et kõnealused konsultatsioonid peetaks kooskõlas 13. aprilli 2016. aasta institutsioonidevahelises parema õigusloome kokkuleppes sätestatud põhimõtetega. Et tagada võrdsel tasemel osalemine delegeeritud õigusaktide ettevalmistamises, saavad Euroopa Parlament ja nõukogu kõik dokumendid liikmesriikide ekspertidega samal ajal ning nende ekspertidel on pidev juurdepääs komisjoni eksperdirühmade koosolekutele, millel arutatakse delegeeritud õigusaktide ettevalmistamist. (81)Et tagada ühetaolised tingimused selliste asjaomaste sätete rakendamiseks, mis käsitlevad koostöörühma toimimiseks vajalikku menetluskorda, riskijuhtimismeetmete tehnilisi aspekte või intsidentidest teatamise andmeid, vormi ja korda, tuleks komisjonile anda rakendamisvolitused. Neid volitusi tuleks kasutada kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) nr 182/2011. (82)Komisjon peaks huvitatud isikutega konsulteerides käesoleva direktiivi sätted regulaarselt läbi vaatama, eelkõige selleks, et teha kindlaks, kas neid on vaja muuta seoses ühiskondlike, poliitiliste, tehnoloogiliste ja turutingimuste muutumisega. (83)Kuna käesoleva direktiivi eesmärki – tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus – ei suuda liikmesriigid eraldi tegutsedes täielikult saavutada ning kuna seda on võimalik meetme toimet arvestades paremini saavutada liidu tasandil tegutsedes, võib liit võtta meetmeid kooskõlas Euroopa Liidu lepingu artiklis 5 sätestatud subsidiaarsuse põhimõttega. Vastavalt kõnealuses artiklis sätestatud proportsionaalsuse põhimõttele ei lähe käesolev direktiiv kaugemale, kui on nimetatud eesmärgi saavutamiseks vajalik. (84)Käesolevas direktiivis austatakse Euroopa Liidu põhiõiguste hartas tunnustatud põhiõigusi ja põhimõtteid, eelkõige õigust eraelu ja edastatavate sõnumite puutumatusele, isikuandmete kaitsele, ettevõtlusvabadusele, omandile, tõhusale õiguskaitsevahendile kohtus ja ärakuulamisele. Käesolevat direktiivi tuleks rakendada kooskõlas nimetatud õiguste ja põhimõtetega, ON VASTU VÕTNUD KÄESOLEVA DIREKTIIVI:

I PEATÜKK Üldsätted Artikkel 1 Reguleerimisese 1.Käesolevas direktiivis sätestatakse meetmed, mille eesmärk on tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus. 2.Selle eesmärgi saavutamiseks tehakse käesoleva direktiiviga järgmist: (a)pannakse liikmesriikidele kohustus võtta vastu riiklikud küberturvalisuse strateegiad, määrata pädevad riiklikud asutused, ühtsed kontaktpunktid ja küberturbe intsidentide lahendamise üksused (CSIRTid); b)pannakse I lisas osutatud elutähtsatele üksustele ja II lisas osutatud olulistele üksustele küberturvalisuse alased riskijuhtimis- ja teatamiskohustused; (c)kehtestatakse küberturvalisuse alase teabevahetusega seotud kohustused. Artikkel 2 Kohaldamisala 1.Käesolevat direktiivi kohaldatakse sellist liiki avaliku ja erasektori üksuste suhtes, mis on esitatud I lisa elutähtsate üksuste loetelus ja II lisa oluliste üksuste loetelus. Käesolevat direktiivi ei kohaldata üksuste suhtes, mis kvalifitseeruvad mikro- ja väikeettevõteteks komisjoni soovituse 2003/361/EÜ tähenduses. 2. Käesolevat direktiivi kohaldatakse siiski ka I ja II lisas osutatud üksuste suhtes olenemata nende suurusest, kui (a)teenuseid osutab mõni järgmistest üksustest: i)I lisa punktis 8 osutatud üldkasutatavate elektroonilise side võrkude pakkuja või üldkasutatavate elektroonilise side teenuste pakkuja; ii)I lisa punktis 8 osutatud usaldusteenuse osutaja; iii)I lisa punktis 8 osutatud tippdomeeninimede register ja domeeninimede süsteemi (DNS) teenuse osutaja; b)avaliku halduse üksus artikli 4 punktis 23 sätestatud tähenduses; c)üksus, kes on liikmesriigis teatava teenuse ainuosutaja;

d)üksus, kelle osutatava teenuse võimalik katkemine avaldaks mõju avalikule ohutusele, avalikule julgeolekule või rahvatervisele; e)üksus, kelle osutatava teenuse võimalik katkemine võib tekitada süsteemseid riske, eriti kui see puudutab sektoreid, kus sellisel katkemisel võib olla piiriülene mõju; f)üksus, kes on kriitilise tähtsusega, kuna ta on väga vajalik piirkondlikul või riiklikul tasandil konkreetse sektori või teenuseliigi või liikmesriigi muude üksteisest sõltuvate sektorite jaoks; g)üksus on määratletud elutähtsa üksusena Euroopa Parlamendi ja nõukogu direktiivis (EL) XXXX/XXXX [kriitilise tähtsusega üksuste vastupanuvõime direktiiv] või kriitilise tähtsusega üksusega samaväärse üksusena vastavalt kõnealuse direktiivi artiklile 7. Liikmesriigid koostavad punktide b–f alusel kindlaks tehtud üksuste loetelu ja esitavad selle komisjonile hiljemalt [6 kuud pärast ülevõtmistähtaja lõppu]. Liikmesriigid vaatavad loetelu läbi ja teevad seda edaspidi korrapäraselt vähemalt iga kahe aasta järel ning vajaduse korral ajakohastavad loetelu. 3. Käesoleva direktiiviga ei piirata liikmesriikide pädevust tagada avalik kord, riigikaitse ja riiklik julgeolek kooskõlas liidu õigusega. 4. Käesolev direktiiv ei piira nõukogu direktiivi 2008/114/EÜ ega Euroopa Parlamendi ja nõukogu direktiivide 2011/93/EL ja 2013/40/EL kohaldamist. 5. Ilma et see piiraks ELi toimimise lepingu artikli 346 kohaldamist, tuleks teavet, mis on liidu ja siseriiklike õigusnormide, näiteks ärisaladust käsitlevate õigusnormide kohaselt konfidentsiaalne, vahetada komisjoni ja teiste asjakohaste asutustega ainult siis, kui selline teabevahetus on vajalik käesoleva direktiivi kohaldamiseks. Vahetada võib ainult teavet, mis on teabevahetuse eesmärki arvestades oluline ja proportsionaalne. Teavet vahetades peab tagama asjaomase teabe konfidentsiaalsuse ning elutähtsate ja oluliste üksuste turvalisuse ja ärihuvide kaitse. 6. Kui valdkondlike liidu õigusaktide sätetega nõutakse elutähtsatelt või olulistelt üksustelt küberturvalisuse alaste riskijuhtimismeetmete võtmist või intsidentidest või olulistest küberohtudest teatamist ning kui need nõuded on vähemalt samaväärsed käesolevas direktiivis sätestatud vastavate kohustustega, ei kuulu käesoleva direktiivi asjakohased sätted (sealhulgas VI peatükis sätestatud järelevalve- ja täitmise tagamise sätted) kohaldamisele. Artikkel 3

Minimaalne ühtlustamine Ilma et see piiraks liikmesriikide muid liidu õigusest tulenevaid kohustusi, võivad liikmesriigid kooskõlas käesoleva direktiiviga võtta vastu või säilitada sätted, millega tagatakse kõrgem küberturvalisuse tase. Artikkel 4 Mõisted Käesolevas direktiivis kasutatakse järgmisi mõisteid: 1)„võrgu- ja infosüsteem“ – a)elektroonilise side võrk direktiivi (EÜ) 2018/1972 artikli 2 punktis 1 sätestatud tähenduses; b)seade või omavahel ühendatud või seotud seadmete rühm, millest vähemalt ühes toimub mõne programmi kohaselt digiandmete automaatne töötlemine; c)digiandmed, mida salvestatakse, töödeldakse, saadakse päringutega või edastatakse punktidega a ja b hõlmatud komponente kasutades nende töö, kasutamise, kaitsmise või hooldamise jaoks;

2)„võrgu- ja infosüsteemide turvalisus“ – võrgu- ja infosüsteemi võime panna teatava kindlusega vastu mis tahes tegevusele, mis seab ohtu salvestatavate, edastatavate või töödeldavate andmete või nendega seotud, võrgu- ja infosüsteemi kaudu pakutavate või juurdepääsetavate teenuste kättesaadavuse, autentsuse, tervikluse ja konfidentsiaalsuse; 3)„küberturvalisus“ – küberturvalisus Euroopa Parlamendi ja nõukogu määruse (EL) 2019/881 artikli 2 punktis 1 sätestatud tähenduses; 4)„riiklik küberturvalisuse strateegia“ – liikmesriigi ühtne raamistik, mis näeb ette võrgu- ja infosüsteemide turvalisuse tagamise strateegilised eesmärgid ja prioriteedid kõnealuses liikmesriigis; 5)„intsident“ – mis tahes sündmus, mis ohustab või kahjustab salvestatavate, edastatavate või töödeldavate andmete või nendega seotud, võrgu- ja infosüsteemi kaudu pakutavate või juurdepääsetavate teenuste kättesaadavust, autentsust, terviklust ja konfidentsiaalsust; 6)„intsidendi käsitlemine“ – kõik toimingud ja menetlused, mis toetavad intsidendi tuvastamist, analüüsimist, ohjeldamist ja lahendamist; 7)„küberoht“ – küberoht määruse (EL) 2019/881 artikli 2 punktis 8 sätestatud tähenduses; 8)„nõrkus“ – vara, süsteemi, protsessi või kontrolli nõrkus, tundlikkus või viga, mida küberohu tekitaja võib ära kasutada; 9)„esindaja“ – liidus asuv füüsiline või juriidiline isik, kes on sõnaselgelt määratud tegutsema väljaspool liitu asuva i) I lisa punktis 8 osutatud domeeninimede süsteemi teenuse osutaja (DNS), tippdomeeninimede (TLD) registri, pilvandmetöötlusteenuse osutaja, andmekeskusteenuse osutaja või sisulevivõrkude pakkuja