EUROOPAN KOMISSIO Bryssel 28.10.2019 COM(2019) 546 final KOMISSION KERTOMUS EUROOPAN PARLAMENTILLE JA NEUVOSTOLLE jäsenvaltioiden lähestymistapojen yhdenmukaisuuden arvioinnista niiden määrittäessä keskeisten palvelujen tarjoajia verkko- ja tietojärjestelmien turvallisuutta koskevan direktiivin 2016/1148/EU 23 artiklan 1 kohdan mukaisesti















1.Johdanto Direktiivi (EU) 2016/1148 toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa (verkko- ja tietoturvadirektiivi) on ensimmäinen sisämarkkinoiden väline, jonka tarkoituksena on parantaa EU:n häiriönsietokykyä verkkoturvallisuusriskien osalta. Direktiivi perustuu Euroopan unionin toiminnasta tehdyn sopimuksen 114 artiklaan, ja direktiivin tarkoituksena on taata palvelujen jatkuvuus, jotta unionin talous ja yhteiskunta toimisivat moitteettomasti. Tätä varten direktiivi sisältää konkreettisia toimenpiteitä, joilla kehitetään verkkoturvallisuusvalmiuksia kaikkialla EU:ssa ja vähennetään kasvavia uhkia, jotka kohdistuvat avainaloilla keskeisiä palveluita tarjoaviin verkko- ja tietojärjestelmiin. Direktiivin tultua voimaan elokuussa 2016 jäsenvaltioilla oli aikaa 9. toukokuuta 2018 asti toteuttaa tarvittavat kansalliset toimenpiteet verkko- ja tietoturvadirektiivin säännösten noudattamiseksi. Direktiivillä edistetään riskienhallintakulttuuria niissä yrityksissä tai muissa toimijoissa, jotka tarjoavat keskeisiä palveluja ja jotka 5 artiklan mukaisesti määritellään ”keskeisten palvelujen tarjoajiksi”. Direktiivin soveltamisalaan kuuluvien palvelujen tarjoajien on toteutettava asianmukaiset ja oikeasuhteiset tekniset ja organisatoriset toimenpiteet verkko- ja tietojärjestelmiinsä kohdistuvien riskien hallitsemiseksi sekä ilmoitettava vakavat poikkeamat toimivaltaisille viranomaisille. Lainsäätäjät ovat delegoineet verkko- ja tietoturvadirektiivin täytäntöönpanon jäsenvaltioille, joiden odotetaan määrittävän alueensa keskeiset palvelut ja niiden tarjoajat. Tästä syystä direktiivin 5 artiklan 7 kohdassa edellytetään, että jäsenvaltiot raportoivat komissiolle tämän määrittämisen tulokset. Yhtenäisen raportoinnin varmistamiseksi sekä komissio että direktiivillä perustettu yhteistyöryhmä antoivat jäsenvaltioille ohjeita määrittämisprosessista. Direktiivin 23 artiklan 1 kohdan mukaisesti tässä kertomuksessa arvioidaan jäsenvaltioiden lähestymistapojen yhdenmukaisuutta keskeisten palvelujen tarjoajien määrittämisessä. Koska keskeisten palvelujen tarjoajien määrittämisen yhdenmukaisuus liittyy läheisesti riskiin sisämarkkinoiden pirstaloitumisesta tällä alalla, tämä kertomus tukee myös 23 artiklan 2 kohdan mukaista verkko- ja tietoturvadirektiivin laajempaa arviointia. Kyseisessä kohdassa säädetään, että komissio tarkastelee määräajoin direktiivin toimivuutta ja arvioi niiden toimialojen ja osa-alueiden luetteloa, joista on määritettävä keskeisten palvelujen tarjoajat, sekä direktiivin soveltamisalaan kuuluvien digitaalisten palvelujen tyyppejä. Ensimmäinen tällainen kertomus on määrä toimittaa viimeistään 9. toukokuuta 2021. 1.1Kertomuksen tarkoitus Koska keskeisten palvelujen tarjoajilla on tärkeä asema taloudessa ja koko yhteiskunnassa, keskeisten palvelujen tarjoajilla on oltava erityisen suuri sietokyky verkkohäiriöitä vastaan. Siksi on seuraavista syistä tärkeää, että jäsenvaltioilla on yhdenmukainen lähestymistapa keskeisten palvelujen tarjoajien määrittämisessä: 1.Rajat ylittävien riippuvuussuhteiden riskien vähentäminen: Mikäli rajat ylittäviä palveluja tarjoavien tärkeiden palvelujen tarjoajien määrittäminen ei ole yhdenmukaista, jäsenvaltioiden verkkohäiriöiden sietokykyyn voi syntyä eroja, mikä lisää riskiä siitä, että rajat ylittävä poikkeama vahingoittaa kriittisiä infrastruktuureita tai aiheuttaa ihmishenkien menetyksiä. Esimerkiksi energiansiirron toimijat tai aluetunnusrekisterit, jotka kummatkin kuuluvat liitteessä II olevassa luettelossa mainittuihin toimijoiden tyyppeihin, ovat toimijoita, jotka hyödyntävät sisämarkkinoita eniten, koska ne tarjoavat rajat ylittäviä palveluita kuluttajille ja yrityksille. Tällaisten toimijoiden yhdenmukainen määrittäminen koko unionissa auttaisi estämään verkkouhkien leviämistä kaikkialle sisämarkkinoilla. 2.Toimijoiden tasapuolisten toimintaedellytysten takaaminen sisämarkkinoilla: Verkko- ja tietoturvadirektiivi edellyttää, että jäsenvaltiot ottavat käyttöön turvallisuusvaatimuksia ja poikkeamailmoitusmenettelyitä keskeisten palvelujen tarjoajille. Direktiivin mukainen keskeisten palvelujen tarjoajia koskeva vähimmäistason yhdenmukaistaminen antaa jäsenvaltioille mahdollisuuden asettaa tarjoajille tiukempia vaatimuksia kuin direktiivissä säädetyt vaatimukset. Vaikka tällaiset toimenpiteet lisäävät jäsenvaltioiden häiriönsietokykyä, ne saattavat myös lisätä keskeisille palvelujen tarjoajille koituvia kustannuksia, jotka liittyvät lakisääteisten velvoitteiden täyttämiseen. Siksi on tärkeää kohdella palveluntarjoajia sääntelyssä yhtäläisesti, kun tarjotut palvelut ovat samankaltaisia ja merkityksellisyydeltään yhtäläisiä. 3.Direktiivin poikkeavien tulkintojen riskin vähentäminen: Direktiivi on suunniteltu antamaan jäsenvaltioille liikkumatilaa toimijoiden valinnassa, jotta kansalliset erityispiirteet voitaisiin huomioida. Toisaalta tämä lähestymistapa myös lisää riskiä, että direktiivin säännökset pannaan täytäntöön eri tavoin, minkä seurauksena jäsenvaltioiden toteuttamat toimenpiteet voivat olla epäyhteneväisiä. Erityisen tärkeää tämä on yrityksille, jotka toimivat useissa maissa ja joiden on sen vuoksi täytettävä useamman kuin yhden jäsenvaltion lakisääteiset velvoitteet. 4.Kattavan yleiskuvan saaminen verkkohäiriöiden sietokyvystä koko EU:n alueella: Keskeisten palvelujen tarjoajiin kohdistetaan valvontatoimia, joiden tarkoituksena on todentaa, että tietoturvapolitiikat ja merkittävistä poikkeamista ilmoittaminen on toteutettu tehokkaasti. Valvonta edistää tiiviimpää yhteistyötä julkisen ja yksityisen sektorin välillä, mikä tehostaa jaetun verkkoturvallisuusvalmiuksiin liittyvän tiedon syntyä jäsenvaltiossa. Yhteistyöryhmän ansiosta kansalliset kokemukset, myös tiedot ilmoitetuista poikkeamista, voidaan koota yhteen EU:n tasolla, mikä auttaa tekemään tarkempia arvioita suurimmista uhkista ja tarpeista. Jotta tiedon jakaminen olisi tehokasta, sen on perustuttava yhteisymmärrykseen siitä, mitkä toimijat määritetään keskeisten palvelujen tarjoajiksi. 1.2Verkko- ja tietoturvadirektiivin mukainen määrittämismenettely Verkko- ja tietoturvadirektiivin liitteessä II luetellaan seitsemän toimialaa ja niiden osa-alueet sekä toimijoiden tyypit, jotka ovat merkityksellisiä määrittämismenettelyn kannalta (taulukko 1). Direktiivin 5 artiklan 3 kohdassa edellytetään, että jäsenvaltiot laativat luettelon keskeisistä palveluista näiden toimialojen, niiden osa-alueiden ja toimijoiden tyyppien perusteella. Direktiivin mukainen vähimmäistason yhdenmukaistaminen antaa jäsenvaltioille mahdollisuuden määrittää keskeisiksi palveluiksi myös muita toimialoja ja niiden osa-alueita kuin liitteessä II mainitut.

Toimi-ala Osa-alue 1. Energia a) Sähkö b) Öljy c) Kaasu 2. Liikenne a) Lentoliikenne b) Rautatieliikenne c) Vesiliikenne d) Tieliikenne 3. Pankkiala 4. Finanssimarkkinoiden infrastruktuurit 5. Terveydenhuoltoala 6. Juomaveden toimittaminen ja jakelu 7. Digitaalinen infrastruktuuri Direktiivin 5 artiklan 2 kohdassa säädetään kolme kriteeriä, joita jäsenvaltioiden on käytettävä keskeisten palvelujen tarjoajien määrittämisessä: 1.Toimija tarjoaa palvelua, joka on keskeinen yhteiskunnan ja/tai talouden kriittisten toimintojen ylläpitämiseksi. Kansallisten toimivaltaisten viranomaisten on tätä varten käytettävä aiemmin laatimiaan keskeisten palvelujen luetteloita. 2.Tarjotun palvelun on oltava riippuvainen verkko- ja tietojärjestelmistä. 3.Poikkeamalla olisi merkittäviä haitallisia vaikutuksia kyseisen palvelun tarjoamiseen. Direktiivin 6 artiklassa säädetään, että poikkeaman merkitys määritetään toimialojen välisten tekijöiden ja tarvittaessa myös toimialakohtaisten tekijöiden perusteella. Lisäksi direktiivin 5 artiklan 4 kohdassa edellytetään, että jäsenvaltiot kuulevat toisiaan, jos ne havaitsevat mahdollisen keskeisten palvelujen tarjoajan tarjoavan palveluita useammassa kuin yhdessä jäsenvaltiossa. Tämän pakollisen menettelyn tarkoituksena on auttaa jäsenvaltioita arvioimaan kyberturvallisuuspoikkeaman mahdolliset vaikutukset tilanteessa, jossa poikkeama vaikuttaa rajojen yli toimiviin toimijoihin sekä suojata menettelyn kohteena olevia yrityksiä eri jäsenvaltioissa. 1.3Kertomuksen laatimiseen käytetyt menetelmät Tämän kertomuksen tulokset perustuvat arviointiin, joka tehtiin marraskuun 2018 ja syyskuun 2019 välisenä aikana. Useat jäsenvaltiot eivät toimittaneet komissiolle ajoissa tietoja, jotka olisi tarvittu tämän kertomuksen laatimiseen. Kertomuksen antamista jouduttiin siksi lykkäämään verkko- ja tietoturvadirektiivin 23 artiklan 1 kohdassa mainitusta määräajasta 9. toukokuuta 2019. Tiedot kerättiin useista kanavista seuraavasti: tiedot, jotka jäsenvaltiot toimittivat ENISAn laatimalla vakiomuotoisella mallilla, vakiomuotoiset haastattelut valittujen kansallisten viranomaisten kanssa sekä yhteistyöryhmän tapaamiset, mukaan lukien aihetta koskenut työpaja, joka pidettiin 19. maaliskuuta 2019. Kertomuksessa arvioidaan kerättyjen tietojen perusteella, miten yhdenmukaisia jäsenvaltioiden lähestymistavat ovat. Tämä tehtiin 1.vertailemalla kansallisten viranomaisten valitsemia määritysmenetelmiä 2.tutkimalla jäsenvaltioiden keskeisten palvelujen luetteloita ja valitsemia kynnysarvoja 3.analysoimalla kussakin jäsenvaltiossa olevien keskeisten palvelujen tarjoajien lukumäärää. Lisäksi tässä kertomuksessa arvioidaan, miten direktiivin säännökset rajat ylittävästä kuulemisesta (5 artikla 4 kohta) ja erityissäännöksiä (lex specialis) koskeva periaate (1 artiklan 7 kohta) on pantu täytäntöön. Tämä kertomus on tosiseikkoihin perustuva analyysi jäsenvaltioiden toteuttamasta määrittämisprosessista ja sisältää lisäksi alustavia päätelmiä ja avoimia kysymyksiä jatkopohdintaa varten. 1.4Tietojen saatavuus Verkko- ja tietoturvadirektiivin säännökset edellyttävät jäsenvaltioilta vain rajallisen tietomäärän toimittamista komissiolle. Esimerkiksi kansallisten viranomaisten ei tarvitse toimittaa määritettyjen toimijoiden nimiä, minkä vuoksi komission yksiköiden on vaikea vertailla määrittämisprosessin tuloksia luettelon täydellisyyden sekä samankokoisiin ja samalla toimialalla toimiviin yrityksiin kohdistuvien vaikutusten osalta. Direktiivin 5 artiklan 7 kohdan mukaisesti kaikkien jäsenvaltioiden olisi pitänyt toimittaa tämän kertomuksen laatimiseen tarvittavat tiedot viimeistään 9. marraskuuta 2018. Kuitenkin vain 15 maata oli toimittanut merkittävän määrän tietoja kyseiseen määräaikaan mennessä (ks. liitteenä oleva taulukko kohdassa 4.1). Komission toistuvista muistutuksista huolimatta tiedoissa on merkittäviä aukkoja. Siksi komissio lähetti 26. heinäkuuta 2019 kuudelle jäsenvaltiolle virallisen huomautuksen, jossa pyydettiin toimittamaan puuttuvat tiedot kahden kuukauden kuluessa.

Tämän kertomuksen julkaisupäivään mennessä seuraavat 23 jäsenvaltiota olivat toimittaneet kaikki 5 artiklan 7 kohdassa edellytetyt tiedot: Alankomaat, Bulgaria, Espanja, Irlanti, Italia, Kreikka, Kroatia, Kypros, Latvia, Liettua, Luxemburg, Malta, Portugali, Puola, Ranska, Ruotsi, Saksa, Slovakia, Suomi, Tanska. Tšekki, Viro ja Yhdistynyt kuningaskunta. Muut viisi jäsenvaltiota ovat toimittaneet osittaiset tiedot kansallisesta keskeisten palvelujen tarjoajien määrittämisestä, sillä ne eivät ole saaneet määrittämisprosessiaan päätökseen tämän kertomuksen julkaisuun mennessä.



2.Keskeisten palvelujen tarjoajien määrittäminen jäsenvaltioissa Verkko- ja tietoturvadirektiivissä säädetään puitteet keskeisten palvelujen tarjoajien määrittämiselle, mutta annetaan jäsenvaltioiden käyttää harkintavaltaa kansallisten erityispiirteiden huomioimiseksi. Tämän vuoksi jäsenvaltiot ovat kehittäneet monenlaisia määrityskäytäntöjä. 2.1Jäsenvaltioiden käyttämät menetelmät Jäsenvaltiot ovat hyödyntäneet verkko- ja tietoturvadirektiivin joustavuutta täysimittaisesti ja kehittäneet monenlaisia menetelmiä toimijoiden määrittämiseksi. Yksi kansallisiin menetelmiin vaikuttanut seikka olivat valmiit puitteet, kuten neuvoston direktiivi 2008/114/EY elintärkeästä infrastruktuurista tai muut kansalliset säännökset ”elintärkeistä toimijoista”. Tällaisissa tapauksissa jäsenvaltiot käyttivät aiempaa kokemustaan vertailukohtana ja sisällyttivät nykyisiin menetelmiinsä verkko- ja tietoturvadirektiiviin liittyviä erityispiirteitä. Kansalliset menetelmät eroavat toisistaan seuraavilla osa-alueilla: keskeiset palvelut, kynnysarvojen käyttö, keskittämisen aste sekä viranomaiset, jotka määrittävät ja arvioivat riippuvuuden verkko- ja tietojärjestelmistä. Tässä kertomuksessa on erilliset keskeisiä palveluja ja kynnysarvoja käsittelevät osiot, koska näiden tekijöiden analysointi on tärkeää keskeisten palvelujen tarjoajien määrittämisen yhdenmukaisuuden näkökulmasta. Muut kriteerit käsitellään tässä osiossa. Keskittämisen aste Useimmissa jäsenvaltioissa osa määrittämisprosessin eri tekijöihin liittyvästä päätösvallasta on delegoitu toimialakohtaisille viranomaisille (ministeriöille, virastoille jne.). Keskittämisen aste vaihtelee tapauskohtaisesti. Useimmissa jäsenvaltioissa on nimitetty yksi viranomainen, jonka vastuulla on ohjeistaa toimialakohtaisia viranomaisia ja toimia tietojen kokoajana. Jotkin maat ovat toisaalta halunneet pitää määrittämisprosessin pelkästään yhden viranomaisen käsissä. Toiset maat taas ovat hajauttaneet määrittämisprosessin erittäin voimakkaasti ja antaneet toimialakohtaisten viranomaisten kehittää omat menetelmänsä määrittämistä varten. Moni jäsenvaltio on pohtinut huolellisesti keskeisten palvelujen tarjoajien määrittämiseen käytettävien institutionaalisten rakenteiden eri näkökohtia. Viranomaisten mukaan keskitetyn määrittämisen yhtenä hyvänä puolena on eturistiriitojen välttäminen: toimijat vaikuttavat olevan haluttomia kertomaan olennaisia tietoja toimialakohtaisille sääntelyviranomaisille, koska pelkäävät tällaisia tietoja käytettävän muussakin sääntelyssä. Hajautetut lähestymistavat sitä vastoin tuntuvat edistävän vuoropuhelua verkko- ja tietoturva-alan toimivaltaisten viranomaisten välillä (sekä verkkoturvallisuus- että toimialakohtaisten viranomaisten välillä), jolloin toimialojen keskinäisten riippuvuussuhteiden vaikutukset on helpompi hahmottaa. Lisäksi toimialakohtaisilla viranomaisilla on yleensä syvällisempi ymmärrys toimialastaan kuin johtavilla viranomaisilla. Määritysmenettely (ylhäältä alas vai alhaalta ylös) Toinen tärkeä ero jäsenvaltioiden menettelytavoissa on se, onko määrityksen tekijänä viranomainen (ylhäältä alas -määritys) vai pyydetäänkö markkinatoimijoita itseään vahvistamaan, täyttävätkö ne keskeisten palvelujen tarjoajia koskevat vaatimukset (ns. alhaalta ylös -määritys eli itsemääritys). Jotta jälkimmäinen lähestymistapa toimisi tehokkaasti, jäsenvaltioiden olisi määrättävä verkko- ja tietoturvadirektiivin 21 artiklan mukaisesti riittävän suuret sakot sellaisten tapausten varalta, joissa keskeisten palvelujen tarjoaja ei paljasta olevansa keskeisten palvelujen tarjoaja. Useimmissa tapauksissa määrittämisprosessina käytetään ylhäältä alas -menettelyä. Käytännössä viranomaiset kuitenkin tukeutuvat osittain tiettyihin itsearviointimenettelyihin, kuten mahdollisen keskeisten palvelujen tarjoajan täyttämiin kyselylomakkeisiin. Kun keskeisten palvelujen tarjoajien määrittämistä koskevat säännöt ja kynnysarvot ovat tarkkoja ja läpinäkyviä, sekä ylhäältä alas- että alhaalta ylös -määritystavan pitäisi tuottaa samanlaisia tuloksia. Menettelytavan ei siis periaatteessa pitäisi vaikuttaa yhdenmukaisuuteen. Arviointi, jossa tarkastellaan toimijan riippuvuutta verkkojärjestelmistä Kuten kohdassa 1.2 todettiin, jäsenvaltioiden on 5 artiklan 2 kohdan b alakohdan mukaan arvioitava keskeisten palvelujen tarjoajien määrittämisprosessissa myös toimijan riippuvuutta verkko- ja tietojärjestelmistä. Kyseistä kriteeriä soveltaessaan monet jäsenvaltiot pitävät riippuvuutta verkko- ja tietojärjestelmistä itsestään selvänä nykyisessä digitaalisessa taloudessa. Jotkin viranomaiset kuitenkin toteuttivat monimutkaisempia toimenpiteitä esimerkiksi tekemällä yksityiskohtaisia arviointeja tai pyytämällä toimijoilta itsearviota riippuvuuden asteesta. 2.2Palvelujen määrittäminen Verkko- ja tietoturvadirektiivin johdanto-osan 23 kappaleessa mainitaan nimenomaisesti keskeisten palvelujen luettelo keinona, jota käytettäisiin ”arvioitaessa kunkin jäsenvaltion sääntelykäytäntöä, jotta voidaan varmistaa määrittämisprosessin yleinen yhdenmukaisuustaso”. Koska jäsenvaltioiden laatimat keskeisten palvelujen luettelot muodostavat perustan toimijoiden määrittämiselle, eroavuudet keskeisiksi määritetyissä palveluissa saattavat johtaa epäyhtenäiseen toimijoiden määrittämiseen jäsenvaltioissa, varsinkin jos vain osa jäsenvaltioista määrittää tietyt kaikissa maissa tarjotut palvelut keskeisiksi palveluiksi.

Jäsenvaltioiden määrittämä ja komissiolle ilmoittama verkko- ja tietoturvadirektiivin liitteen II piiriin kuuluvien palvelujen lukumäärä vaihtelee paljon jäsenvaltiosta toiseen (kaikkien jäsenvaltioiden ilmoittamat lukumäärät ovat liitteenä kohdassa 4.2). Määritettyjä palveluja on keskimäärin 35 jäsenvaltiota kohti, ja määritettyjen palvelujen lukumäärä vaihtelee 12 palvelusta 87 palveluun, ks. kaavio 1. Suuret jäsenvaltiot ovat yleensä määrittäneet hiukan enemmän palveluja kuin pienemmät jäsenvaltiot, mutta voimakasta korrelaatiota jäsenvaltion koon ja määritettyjen palvelujen lukumäärän välillä ei ole. Tämä oli odotettavissa, koska käytännössä kuluttajilla ja yrityksillä on pääsy samankaltaisiin palveluihin kaikissa jäsenvaltioissa riippumatta valtion koosta. Määritettyjen palvelujen lukumäärä vaihtelee niin jäsenvaltioittain kuin toimialoittain ja toimialojen osa-alueittain. Esimerkiksi pankkialalla palveluja on määritetty 1–21. Kuten kaaviosta 2 ilmenee, jäsenvaltioiden määrittämien palvelujen määrissä on merkittäviä eroja eri toimialoilla ja niiden osa-alueilla. Kaaviossa 2 näkyvät luvut ilmentävät jossain määrin eroja maiden menettelytavoissa. Jotkin jäsenvaltiot ovat esimerkiksi käyttäneet palvelujen määrittämisessä eritellympää lähestymistapaa kuin toiset jäsenvaltiot, jolloin eriteltyä tapaa käyttävien jäsenvaltioiden ilmoittamat palvelujen lukumäärät ovat suurempia. Komission jäsenvaltioilta saamista tiedoista käy kuitenkin selvästi ilmi, että lukumäärien erot ovat myös seurausta jäsenvaltioiden valitsemien lähestymistapojen epäyhdenmukaisuudesta, kuten jäljempänä olevat esimerkit sähkön ja rautatieliikenteen osa-alueilta osoittavat. Viro

(vähiten eritelty lähestymistapa) Portugali Tanska Bulgaria

(eritellyin lähestymistapa) Sähköntoimitus Jakeluverkon haltijat Sähkönjakelu Sähkön jakelu Sähköenergian jakelujärjestelmän toiminnan ja ylläpidon takaaminen Siirtoverkonhaltija Sähkönsiirto Sähkön siirto Sähkön siirtoverkon hallinnointi, ylläpito ja kehittäminen (yhdenmukaisuusvaje) Sähköntuotanto Sähköntuotanto (yhdenmukaisuusvaje) (yhdenmukaisuusvaje) Sähkömarkkinat Taulukossa 2 verrataan eri tapoja, joita jäsenvaltiot ovat käyttäneet sähkön osa-alueen keskeisten palvelujen määrittämisessä. Jotkin maat (kuten Viro) ovat valinneet hyvin yleisluontoisen lähestymistavan, joka sallii lähes minkä tahansa toimijan määrittämisen keskeiseksi sähkön osa-alueella. Muut maat (kuten Portugali, Tanska ja Bulgaria) ovat valinneet paljon eritellymmän lähestymistavan. Esimerkiksi Bulgaria on laatinut palveluista erittäin yksityiskohtaisen luettelon, jossa on mukana myös palvelu, joka ei sisälly liitteeseen II (sähkömarkkinat). Portugali ja Tanska ovat kuitenkin noudattaneet eriteltyä lähestymistapaa, jossa tiettyjä, muiden jäsenvaltioiden sisällyttämiä palveluja ei ole määritetty keskeisiksi palveluiksi. Tästä voi aiheutua toimintaedellytysten epäyhdenmukaisuutta keskeisten palvelujen tarjoajille sisämarkkinoilla. Yhdenmukaisuusvajeet, kuten taulukossa 2 mainitut, johtuvat eroista verkko- ja tietoturvadirektiivin kansallisessa täytäntöönpanossa. Liitteen II ulkopuolisten toimialojen (kuten sähkömarkkinat) mukaan ottaminen taas johtuu direktiivin mukaisesta vähimmäistason yhdenmukaistamisesta. Siksi yhdenmukaisuusvajeet eivät tarkoita sitä, että tietyn palvelun määrittämättä jättäneet jäsenvaltiot olisivat välttämättä soveltaneet direktiivin säännöksiä väärin. Taulukko 3 kuvaa neljän maan valitsemaa lähestymistapaa rautatieliikenteen osa-alueen suhteen. Ranska on laatinut hyvin yksityiskohtaisen ja kattavan luettelon rautatieliikenteen toiminnan kannalta keskeisistä palveluista, kun taas muut kolme maata ovat valinneet vain pienen osan näistä palveluista. Esimerkiksi Puolan tapauksessa ei ole täysin selvää, mitkä palvelut kuuluvat luokkaan ”rautateiden rahtiliikenne” tai ”rautateiden matkustajaliikenne”. Nämä määritelmät ovat niin yleisluonteisia, että niihin saattaisivat sisältyä yhtä hyvin jotkin Ranskan määrittämät palvelut, kuten ”rautatieliikenteen valvonta ja hallinta”. On syytä huomauttaa, ettei komissiolla ole keinoja tutkia tällaisia tapauksia tarkemmin: verkko- ja tietoturvadirektiivissä ei edellytetä, että kansalliset viranomaiset antaisivat yksityiskohtaisempia tietoja. Suomi Ranska Irlanti Puola Valtion infrastruktuurin hallinta Infrastruktuurin kunnossapito Rataverkon haltijat (yhdenmukaisuusvaje) (yhdenmukaisuusvaje) Liikkuvan kaluston kunnossapito (yhdenmukaisuusvaje) (yhdenmukaisuusvaje) Liikenteenhallintapalvelut Rautatieliikenteen valvonta ja hallinta (yhdenmukaisuusvaje) Juna-aikataulujen laatiminen (yhdenmukaisuusvaje) Rahti ja vaaralliset aineet Rautatieyritykset Rautateiden tavaraliikenne (yhdenmukaisuusvaje) Matkustajaliikenne Rautateiden matkustajaliikenne (yhdenmukaisuusvaje) Metrot, raitiovaunuliikenne ja muu kevytraideliikenne (mukaan lukien maanalainen liikenne) (yhdenmukaisuusvaje) (yhdenmukaisuusvaje) Rautatieliikennepalvelut (yhdenmukaisuusvaje) (yhdenmukaisuusvaje) Taulukossa 2 ja 3 mainitut jäsenvaltiot on valittu vain havainnollisuuden vuoksi sekä siksi, että näiden valtioiden valitsemat lähestymistavat tekivät vertailusta helppoa. Useimmat muut jäsenvaltiot ovat valinneet samankaltaisia palveluita ja siksi niidenkin osalta ilmenee vastaavia ”yhdenmukaisuusvajeita”. Itse asiassa sähkön ja rautatieliikenteen osa-alueilla vallitsevia ”yhdenmukaisuusvajeita” esiintyy kaikkien jäsenvaltioiden osalta ja kaikilla direktiivin liitteessä II mainituilla aloilla. Valtaosa tästä epäyhtenäisyydestä perustuu siihen, että tietyt palvelut on määritetty keskeisiksi vain joissakin jäsenvaltioissa, mutta ei kaikissa. Tämän kertomuksen liitteessä on kaikki jäsenvaltiot käsittävä kattava luettelo sähkön ja rautatieliikenteen osa-alueiden palveluista.

2.3Kynnysarvot Vaikka useimmat jäsenvaltiot käyttävät kynnysarvoja keskeisten palvelujen tarjoajien määrittämisessä, kynnysarvojen rooli vaihtelee valtiosta toiseen. Toimialat ylittävien kynnysarvojen osalta voidaan määrittää kynnysarvoja, jotka perustuvat ·yksittäiseen määrälliseen tekijään (esimerkiksi palvelusta riippuvaisten käyttäjien lukumäärään), jonka perusteella voidaan vuorostaan määrittää, voidaanko toimijaa pitää keskeisten palvelujen tarjoajana tietyllä alalla ·suurempaan määrään määrällisiä tekijöitä (esimerkiksi palvelusta riippuvaisten käyttäjien lukumäärään ja palvelun markkinaosuuteen) ·määrällisten ja laadullisten tekijöiden yhdistelmään. Direktiivin mukaan jäsenvaltiot voivat käyttää myös toimialakohtaisia kynnysarvoja toimialat ylittävien kynnysarvojen lisäksi. Tämä antaa kansallisille viranomaisille määrittämisprosessissa enemmän liikkumavaraa kansallisten ja toimialakohtaisten erityispiirteiden huomioimiseksi. Samalla syntyy myös hyvin monimutkainen valikoima kynnysarvoja, mikä voi heikentää keskeisten palvelujen tarjoajien määrittämisen yhdenmukaisuutta. Taulukko 4 sisältää esimerkin tästä lähestymistapojen moninaisuudesta. Taulukosta käy ilmi, että jäsenvaltioiden valitsemat kynnysarvot digitaalisen infrastruktuurin alalla eivät vaihtele vain määrällisesti (esimerkiksi Saksassa nimipalvelujen tarjoaja määritetään keskeisten palvelujen tarjoajaksi, mikäli se hallinnoi vähintään 250 000:ta verkkotunnusta, kun taas Puolassa raja on vain 100 000 verkkotunnusta), mutta myös laadullisesti (esimerkiksi ”liitettyjen autonomisten järjestelmien lukumäärä” tai toisaalta ”markkinaosuus”). Yhdenmukaisesti valitut määrälliset kynnysarvot eivät yksinään takaa kansallisten lähestymistapojen täyttä yhdenmukaisuutta. Koska kynnysarvot ovat joissakin jäsenvaltioissa vain yksi kriteeri keskeisten palvelujen tarjoajien määrittämisessä, määrittämisprosessin tulokset voivat silti erota toisistaan merkittävästi, vaikka kynnysarvot olisivatkin samankaltaisia. Jotkin jäsenvaltiot esimerkiksi käyttävät monimutkaisia pisteytysjärjestelmiä, joissa yhteen kaavaan sisällytetään useita tekijöitä. Tällaisia tekijöitä voivat olla esimerkiksi toimijan riippuvuus verkko- ja tietojärjestelmistä tai jotkin verkko- ja tietoturvadirektiivin 6 artiklan 1 kohdassa tarkoitetuista tekijöistä. Lisäksi jotkin jäsenvaltiot eivät käytä kynnysarvoja lainkaan tai käyttävät niitä vain alustavassa arvioinnissa. Tätä ei esiinny ainoastaan digitaalisen infrastruktuurin alalla, vaan myös kaikilla muilla liitteessä II mainituilla aloilla. Kynnysarvon asettaminen oikealle tasolle voi olla vaikeaa varsinkin aloilla, joilla toimii useita pieniä toimijoita. Hyvä esimerkki tällaisesta monimuotoisuudesta ovat monet pienikokoiset terveydenhuollon toimijat (esimerkiksi klinikat tai ensihoitopalvelut), jotka tarjoavat keskeistä palvelua melko pienelle määrälle käyttäjiä, mutta joiden toiminnan estyminen verkkoturvallisuuspoikkeaman vuoksi saattaisi johtaa potilaiden hengen menetykseen. Toinen ongelma ilmenee tapauksissa, joissa toimitusketjun sujuva toiminta on riippuvainen sellaisten toimijoiden palveluista, jotka ovat pieniä mutta keskeisiä osia ketjussa (esimerkiksi logistiikan alalla). Yksi jäsenvaltio tutkiikin mahdollisena ratkaisuvaihtoehtona kriteerejä, jotka liittyvät tarjotun palvelun tärkeyteen tai keskeisyyteen.



Maa Internetin yhdysliikennepisteet (IXP) Nimipalvelujen tarjoajat Aluetunnusrekisterit Ensisijaisesti toimialakohtaisten kynnysarvojen käyttö AT liitettyjä autonomisia järjestelmiä

> 100 Verkkotunnuksen selvittäjät: 88 000 käyttäjää;

Auktoritatiiviset nimipalvelut: 50 000 verkkotunnusta 50 000 verkkotunnusta DE liitettyjä autonomisia järjestelmiä

> 300 Verkkotunnuksen selvittäjät: 100 000 käyttäjää; Auktoritatiiviset nimipalvelut: 250 000 verkkotunnusta (palvelua ei määritetty) DK keskim. tietomäärä vuorokaudessa > 200 Gbit/s Verkkotunnuksen selvittäjät: 100 000 käyttäjää; Auktoritatiiviset nimipalvelut: 100 000 verkkotunnusta 500 000 verkkotunnusta EE (palvelua ei määritetty) (palvelua ei määritetty) Maan aluetunnusrekisteri FI (palvelua ei määritetty) (palvelua ei määritetty) Maan ja alueen aluetunnusrekisterit FR (ei virallista kynnysarvoa) (ei virallista kynnysarvoa) (ei virallista kynnysarvoa) HR liittyneitä jäseniä > 15 Maan aluetunnusrekisterin nimipalvelu Maan aluetunnusrekisteri IE (kynnysarvo ei tiedossa) Verkkotunnuksen selvittäjät: 100 milj. kyselyä/vrk; Auktoritatiiviset nimipalvelut: 50 000 verkkotunnusta Maan aluetunnusrekisteri MT markkinaosuus 25 % Verkkotunnuksen selvittäjät: 78 000 pyyntöä/vrk; Auktoritatiiviset nimipalvelut: 7 800 verkkotunnusta 750 000 pyyntöä/vrk PL liitettyjä autonomisia järjestelmiä

≥ 100 Auktoritatiiviset nimipalvelut: 100 000 verkkotunnusta Aluetunnusrekisterit, joilla on vähintään 100 000 käyttäjää SE (palvelua ei määritetty) Verkkotunnuksen selvittäjät: 100 000 käyttäjää; Auktoritatiiviset nimipalvelut: 25 000 verkkotunnusta 250 000 verkkotunnusta SK Autonomiset järjestelmät, jotka kytkeytyvät vähintään kahteen muuhun autonomiseen järjestelmään nopeudella 2 Gbit/s Verkkotunnuksen selvittäjät: 3 milj. kyselyä/vrk; Auktoritatiiviset nimipalvelut: > 1 000 verkkotunnusta Aluetunnusrekisterit UK markkinaosuus > 50 % tai

≥ 50 % yhteyksistä on liitetty globaaleihin internet-reitteihin Verkkotunnuksen selvittäjät: 2 000 000 asiakasta/vrk;

Auktoritatiiviset nimipalvelut: 250 000 verkkotunnusta Aluetunnusrekisterit, jotka käsittelevät ≥ 2 miljardia kyselyä/vrk Toimialat ylittävien kynnysarvojen käyttö CY 50 000 käyttäjää tai

5 % markkinoiden käyttäjistä 50 000 käyttäjää tai

5 % markkinoiden käyttäjistä 50 000 käyttäjää tai

5 % markkinoiden käyttäjistä LT > 145 000 asukasta > 145 000 asukasta > 145 000 asukasta LU markkinaosuus 100 % 13 500 sopimusta markkinaosuus 100 %



2.4Määritettyjen toimijoiden lukumäärä Keskeisten palvelujen luettelot ja kynnysarvot vaikuttavat ratkaisevalla tavalla keskeisten palvelujen tarjoajien määrittämisen yhdenmukaisuuteen. Tämän kertomuksen aiemmissa osissa on osoitettu, että jäsenvaltiot ovat kummankin tekijän osalta soveltaneet verkko- ja tietoturvadirektiivin säännöksiä eri tavoin, mikä voi haitata keskeisten palvelujen tarjoajien määrittämisen yhdenmukaisuutta. Tässä osassa vertaillaan jäsenvaltioiden määrittämien toimijoiden lukumäärää liitteen II mukaisilla toimialoilla ja niiden osa-alueilla. Jäsenvaltioiden komissiolle ilmoittamat keskeisten palvelujen tarjoajien lukumäärät vaihtelevat 20:stä 10 897:ään; keskiarvo on 633 keskeisten palvelujen tarjoajaa jäsenvaltiota kohti (kaikkien jäsenvaltioiden ilmoittamat lukumäärät ovat tämän kertomuksen liitteen kohdassa 4.2). Valtion koon ja määritettyjen palvelujen tarjoajien lukumäärän välillä on selvä positiivinen korrelaatio. Se ei kuitenkaan selitä riittävästi erojen suuruutta jäsenvaltioiden ilmoittamissa lukumäärissä. Valtion koon ja asukasluvun suhteen selvittämiseksi kaavio 3 kuvaa jäsenvaltioiden määrittämien keskeisten palvelujen tarjoajien lukumäärää 100 000:ta asukasta kohden. Kaaviosta käy ilmi, että jäsenvaltioiden valitsemat lähestymistavat keskeisten palvelujen tarjoajien määrittämisessä ovat tuottaneet voimakkaasti toisistaan poikkeavia tuloksia. Tarkempi katsaus toimialoihin ja niiden osa-alueisiin paljastaa merkittäviä eroja jäsenvaltioiden määrittämissä lukumäärissä kaikilla liitteessä II mainituilla aloilla (kaavio 4). Esimerkiksi energia-alalla luku vaihtelee 0,3 toimijasta 29 toimijaan 1 000 000:aa asukasta kohden. Pankkialalla luku vaihtelee 0,07 toimijasta 51 toimijaan 1 000 000:aa asukasta kohden (vertailuun ei ole sisällytetty jäsenvaltioita, jotka eivät ole määrittäneet yhtään keskeisten palvelujen tarjoajaa pankkialalla).

2.5Direktiivin soveltaminen muihin kuin liitteessä II mainittuihin toimialoihin Tiedoista ilmenee, että 11 jäsenvaltiota 28:sta on määrittänyt keskeisten palvelujen tarjoajia aloilla, jotka eivät kuulu direktiivin liitteen II soveltamisalaan. Näistä 11 jäsenvaltiosta 7 on määrittänyt yhteensä 157 keskeisten palvelujen tarjoajaa, jotka eivät kuulu liitteessä II mainittuihin toimijoiden tyyppeihin. Muu ala Esimerkkejä toimijoista Jäsenvaltioiden lukumäärä Tietoinfrastruktuurit Datakeskukset, palvelinfarmit 5 Rahoituspalvelut (muut kuin liitteessä II luetellut toimijat) Vakuutus- ja jälleenvakuutusyritykset 4 Valtionhallinnon palvelut Kansalaisille tarkoitetut sähköiset palvelut 4 Lämmöntuotanto Lämmön tuottajat ja toimittajat 3 Jätevesi Keräys- ja käsittelylaitokset 3 Logistiikka Postipalvelut 2 Elintarvikkeet Tuottajat, kauppapaikat 2 Ympäristö Vaarallisten jätteiden käsittely ja hävittäminen 2 Kansalliset turvallisuus- ja hätäpalvelut 112, kriisinhallinta 2 Kemianteollisuus Aineiden toimittajat ja tuottajat 2 Sosiaalipalvelut Sosiaalietuuksista vastaavat tahot 1 Koulutus Kansallisista kokeista vastaavat viranomaiset 1 Laitosruokailu Jakelunhallinta 1 Vesi Vesirakenteet 1 Yleisimpiä ovat tietoinfrastruktuurit (määrittäjinä viisi jäsenvaltiota), muiden kuin liitteessä II mainittujen toimijoiden tarjoamat rahoituspalvelut (määrittäjinä neljä jäsenvaltiota) ja julkiset palvelut (määrittäjinä neljä jäsenvaltiota) (taulukko 5). Koska verkkohäiriöiden sietokyky on ratkaisevan tärkeää talouden ja koko yhteiskunnan toimivuudelle, eräät jäsenvaltiot ovat käyttäneet hyväkseen mahdollisuutta ottaa mukaan myös muita toimialoja kuin pelkät liitteessä II luetellut alat. Jäsenvaltioiden halu soveltaa verkko- ja tietoturvadirektiiviä myös näihin muihin aloihin antaa aihetta pohtia, täyttääkö liitteen II nykyinen soveltamisala direktiivin tavoitteen, joka on suojata kaikkia yhteiskunnan ja talouden kannalta keskeisiä unionin toimijoita. 2.6Rajat ylittävä kuulemisprosessi Verkko- ja tietoturvadirektiivin 5 artiklan 4 kohdan mukaan jäsenvaltioiden on kuultava toisiaan ennen kuin määrittämistä koskeva lopullinen päätös tehdään sellaisten toimijoiden osalta, jotka tarjoavat palveluja useammassa kuin yhdessä jäsenvaltiossa. Yhteistyöryhmä julkaisi heinäkuussa 2018 viiteasiakirjan auttaakseen jäsenvaltioita toteuttamaan asianmukaisia rajat ylittäviä kuulemisprosesseja. Saatujen tietojen perusteella vain harvat kansalliset viranomaiset ovat ottaneet yhteyttä muiden jäsenvaltioiden vastaaviin viranomaisiin ja vain kaksi jäsenvaltiota on ottanut yhteyttä muihin jäsenvaltioihin kattavalla tavalla. Lisäksi vain muutamat muut jäsenvaltiot ovat ilmaisseet ottaneensa yhteyttä muihin viranomaisiin vähemmän järjestelmällisellä tavalla. Vaikka rajat ylittävät palvelut ovat erittäin tärkeitä sisämarkkinoilla, useimmat yhteydenotot toisiin jäsenvaltioihin ovat koskeneet vain hyvin harvalukuista toimijoiden joukkoa. Siitä huolimatta, että jäsenvaltiot ovat käyttäneet kuulemisprosessia vain vähän, monet kansalliset viranomaiset ovat ilmaisseet kiinnostuksensa rajat ylittävään kuulemisprosessiin ja pitävät sitä tärkeänä osana verkko- ja tietoturvadirektiivissä säädettyä toimijoiden määrittämistä. Itse asiassa useat jäsenvaltiot ovat ilmaisseet huolensa siitä, että ilman tehokasta rajat ylittävää kuulemista toimijat saattavat joutua toimimaan useissa eri sääntely-ympäristöissä tai joutua heikompaan asemaan kuin markkinoilla toimivat, löysemmin säännellyt keskeisten palvelujen tarjoajat. Komissio on yhdessä kansallisten viranomaisten kanssa löytänyt useita syitä, miksi kuulemisprosessia ei ole toistaiseksi käytetty tarkoitetulla tavalla: ·Useilta jäsenvaltioilta kesti arvioitua pidempään määrittää keskeisten palvelujen tarjoajat. Määrittämisen varhain valmiiksi saaneet maat eivät kokeneet voivansa kuulla niitä maita, joissa määrittäminen oli vielä kesken. ·Tiedonsiirtoon ei ollut suojattuja kanavia: jotkin jäsenvaltiot ilmaisivat olleensa haluttomia viestimään toisten jäsenvaltioiden kanssa, koska pitivät toimijoiden nimiä turvallisuusluokiteltuna tietona.

·Rajat ylittäviä riippuvuussuhteita on jo nyt merkittävä määrä, minkä vuoksi olisi ollut tarpeen ottaa yhteys merkittävään määrään jäsenvaltioita, varsinkin Euroopan laajuisten toimijoiden osalta. ·Yhteisymmärryksen puuttuminen rajat ylittävän kuulemisen tavoitteista ja laajuudesta: jotkin jäsenvaltiot pitivät menettelyä pelkkänä työkaluna, jolla ilmoitetaan toisille jäsenvaltioille rajat ylittävien vaikutusten suhteen kriittisessä asemassa olevien keskeisten palvelujen tarjoajien määrittämisestä, kun taas toiset jäsenvaltiot katsoivat, että menettelyn tarkoituksena on kynnysarvojen ja sääntelyn vaatimusten yhdenmukaistaminen. Direktiivin johdanto-osan 24 kappaleessa esitetään, että kuulemisprosessi on ennen kaikkea tapa arvioida toimijan aseman kriittisyyttä keskeisten palvelujen tarjoajia määritettäessä. ·Toinen ongelma ilmenee tapauksessa, jossa jäsenvaltioon ottaa yhteyttä kaksi jäsenvaltiota saman toimijan tiimoilta. Tällaisessa tapauksessa jäsenvaltio ei ehkä kykene yhdenmukaistamaan sääntöjään molempien jäsenvaltioiden kanssa samanaikaisesti. Tästä syystä johdanto-osan 24 kappaleessa esitetään mahdollisuus monenvälisiin keskusteluihin. Yhdenmukaisuuden varmistamiseksi on tärkeää, että jäsenvaltiot käyttävät tätä mahdollisuutta. 2.7Erityissäännös (lex specialis) -periaatteen huomiointi määrittämisprosessissa Komissio on havainnut jonkin verran epäyhdenmukaisuutta tavassa, jolla jäsenvaltiot soveltavat erityissäännös (lex specialis) -periaatetta. Epäyhdenmukaisuuden vuoksi direktiivin soveltaminen on ollut epätasaista, mistä on yhtäältä aiheutunut keskeisten palvelujen tarjoajien määrittämistä toimialoilla, joita koskevat toimialakohtaiset säännöt, sekä toisaalta riittämätön keskeisten palvelujen tarjoajien määrittäminen eräillä liitteessä II mainituilla toimialoilla. Direktiivin 1 artiklan 3 kohdassa säädetään, että verkko- ja tietoturvadirektiiviä ei sovelleta yrityksiin, joihin sovelletaan televiestinnän puitedirektiiviä. Jotkin jäsenvaltiot vaikuttavat kuitenkin määrittäneen keskeisten palvelujen tarjoajiksi tahoja, jotka kuuluvat tosiasiassa televiestinnän puitedirektiivin sääntelyn piiriin, kuten internet- ja puhelinpalvelujen tarjoajia. Lisäksi direktiivin 1 artiklan 7 kohdan mukaisesti verkko- ja tietoturvadirektiivin säännökset turvallisuusvaatimuksista ja poikkeamien ilmoittamisesta eivät koske toimijoita, joiden toiminnalle unionin alakohtaisissa säädöksissä jo asetetaan vaikutukseltaan vähintään vastaavia velvollisuuksia. Vaikka useimmat jäsenvaltiot ovat määrittäneet keskeisten palvelujen tarjoajia pankkialalla ja finanssimarkkinoiden alalla, muutamat jäsenvaltiot eivät ole niin tehneet ja perustelevat asiaa sillä, että näiden toimijoiden tarjoamat palvelut kuuluvat erityissäännösten (leges speciales) piiriin. Komissio kerää edelleen tarkkoja tietoja siitä, miten erityissäännös (lex specialis) -periaatetta sovelletaan verkko- ja tietoturvadirektiivin yhteydessä. Parhaillaan komissio tutkii kansallisia lainsäädäntöjä yksityiskohtaisesti ja vierailee eri valtioissa arvioidakseen, missä määrin direktiivi on tällä hetkellä saatettu osaksi kansallista lainsäädäntöä ja miten direktiivin säännökset on pantu täytäntöön, mukaan lukien erityissäännökset (lex specialis). Arvioinnin tulosten perusteella komissio aikoo edelleen keskustella yhteistyöryhmässä erityissäännös (lex specialis) -periaatteesta, jotta jäsenvaltioiden käytännöt saataisiin yhdenmukaistettua paremmin.

3.Päätelmät Tässä kertomuksessa arvioidaan lähestymistapoja, jotka jäsenvaltiot ovat valinneet verkko- ja tietoturvadirektiivin mukaisesti tehtävää keskeisten palvelujen tarjoajien määrittämistä varten. Kertomuksen tavoitteena on arvioida jäsenvaltioiden omaksumien käytäntöjen yhdenmukaisuustasoa ja samalla myös nykyisen kehyksen mahdollista vaikutusta sisämarkkinoiden toimintaan ja verkkojärjestelmistä riippuvuuteen liittyvien riskien hallintaan. Analyysin tulokset osoittavat, että verkko- ja tietoturvadirektiivi on toiminut monissa jäsenvaltioissa tienraivaajana merkittävälle muutokselle verkkoturvallisuuden institutionaalisessa toteutuksessa ja sääntelyssä. Lisäksi velvollisuus määrittää keskeisten palvelujen tarjoajat on käynnistänyt lähes kaikissa jäsenvaltioissa kattavan arvioinnin riskeistä, jotka liittyvät elintärkeitä toimintoja tuottaviin toimijoihin sekä nykyaikaisiin verkko- ja tietojärjestelmiin. Tätä voidaan pitää koko unionin laajuisena saavutuksena, joka on linjassa direktiivin tavoitteiden kanssa. Tätä kertomusta varten komissio tutki kansallisia määritysmenetelmiä, kansallisten viranomaisten keskeisiksi määrittämien palvelujen luetteloa, määrittämisen kynnysarvoja sekä direktiivin soveltamisalaan kuuluvilla aloilla toimivien keskeisten palvelujen tarjoajien lukumääriä. ·Jäsenvaltiot ovat kehittäneet monenlaisia menetelmiä sekä keskeisten palvelujen tarjoajien määrittämiseen kaiken kaikkiaan (ks. kohta 2.1) että keskeisten palvelujen määrittelyyn ja kynnysarvojen asettamiseen. Tämä voi haitata verkko- ja tietoturvadirektiivin säännösten yhdenmukaista täytäntöönpanoa koko unionissa. Lisäksi sisämarkkinoiden toimivuus ja verkkojärjestelmistä riippuvuuden tehokas käsittely saattavat kärsiä. ·Vaikuttaa myös siltä, että jäsenvaltioiden tulkinnat siitä, mikä on verkko- ja tietoturvadirektiivin mukainen keskeinen palvelu, vaihtelevat, ja jäsenvaltiot tulkintojen yksityiskohtaisuus vaihtelee (ks. kohta 2.2). Tämän vuoksi keskeisten palvelujen luetteloita on vaikeaa vertailla toisiinsa. Lisäksi direktiivin soveltamisala uhkaa pirstoutua, koska joihinkin toimijoihin kohdistuu lisäsäätelyä (koska niiden jäsenvaltio on määrittänyt toimijat keskeisten palvelujen tarjoajiksi), mutta toiset samankaltaisia palveluja tarjoavat toimijat eivät joudu lisäsääntelyn piiriin (koska niitä ei ole määritetty keskeisten palvelujen tarjoajiksi). Näiden epäjohdonmukaisuuksien poistamiseksi on tehtävä lisää jäsenvaltioiden kokemuksiin perustuvaa työtä, sillä sen myötä voidaan ehkä tuottaa yhtenäisempi luettelo keskeisistä palveluista. ·Kertomuksesta käy myös ilmi, että jäsenvaltioiden tavoissa soveltaa kynnysarvoja on merkittäviä epäyhdenmukaisuuksia (ks. kohta 2.3). Kynnysarvojen tehokkaampi yhdenmukaistaminen EU:n tasolla voisi lieventää tätä ongelmaa. Tämä työ voitaisiin tehdä esimerkiksi yhteistyöryhmän alaisissa toimialakohtaisissa toimintalinjoissa, joissa otettaisiin huomioon kansalliset erityispiirteet, kuten pienten jäsenvaltioiden erityistarpeet. ·Se, että jotkin valtiot ovat hyödyntäneet mahdollisuutta määrittää keskeisiä palveluja muillakin kuin liitteen II mukaisilla toimialoilla ja niiden osa-alueilla, osoittaa, että verkko- ja tietoturvadirektiivissä mainittujen toimialojen lisäksi on olemassa muitakin toimialoja, jotka ovat mahdollisesti haavoittuvia verkkopoikkeamille (ks. kohta 2.5). Keskeisten palvelujen tarjoajien määrittäminen toimialoilla, kuten tietoinfrastruktuurien alalla, niiden rahoituspalvelujen alalla, joiden toimijoita ei ole mainittu liitteessä II, ja hallinnon alalla, voivat parantaa näillä aloilla toimivien organisaatioiden verkkohäiriöiden sietokykyä. Jos kuitenkin vain osa jäsenvaltioista määrittää keskeisten palvelujen tarjoajat näillä toimialoilla, sillä voi olla haitallisia seurauksia sisämarkkinoille ja tasapuolisille toimintaedellytyksille, jotka määritystyön nimenomaisesti pitäisi taata. Kansallisten viranomaisten kehittämät moninaiset menetelmät ja parhaat käytännöt ovat erityisen arvokkaita, ja ne tulisi ottaa tulevaisuudessa huomioon esimerkiksi yhteistyöryhmän työskentelyssä ja keskeisten palvelujen tarjoajien jatkuvassa määrittämisessä jäsenvaltioissa. Nykyinen monimuotoisuus voi haitata direktiivin tavoitteiden saavuttamista. Komission alustava päätelmä on, että vaikka verkko- ja tietoturvadirektiivi on käynnistänyt tärkeän prosessin, jolla pyitään lisäämään ja parantamaan elintärkeillä aloilla toimivien toimijoiden riskinhallintakäytäntöjä, unionissa tehty keskeisten palvelujen tarjoajien määrittämistyö on huomattavan pirstoutunutta. Tämä johtuu osaksi direktiivin sisällöstä ja osaksi jäsenvaltioiden valitsemien täytäntöönpanomenetelmien erilaisuuksista.

Jäsenvaltioiden olisi pyrittävä soveltamaan verkko- ja tietoturvadirektiivin säännöksiä mahdollisimman yhdenmukaisesti hyödyntäen täysimittaisesti komission ja yhteistyöryhmän tuottamia ohjeasiakirjoja. Siksi komissio on määritellyt useita kansallisen tason toimenpiteitä, jotka voisivat auttaa lieventämään tässä kertomuksessa todettuja ongelmia: ·Monet jäsenvaltiot eivät ole saattaneet loppuun keskeisten palvelujen tarjoajien määrittämisprosessia direktiivin asettamassa määräajassa. Tämän kertomuksen julkaisupäivään mennessä 23 jäsenvaltiota oli toimittanut kaikki 5 artiklan 7 kohdassa edellytetyt tiedot. Lisäksi viisi jäsenvaltiota toimitti osittaisia tietoja. Komissio kehottaa määrittämisestä vastuussa olevia kansallisia viranomaisia saattamaan prosessin loppuun mahdollisimman pian ja lähettämään komission tarvitsemat tiedot viipymättä. ·Toimivaltaisten viranomaisten olisi säännöllisesti tarkasteltava vastuullaan olevaa keskeisten palvelujen luetteloa ja varmistettava, että se sisältää kaikki olemassa olevat keskeiset palvelut, jotta keskeisiin palveluihin liittyvät ”yhdenmukaisuusvajeet” sisämarkkinoilla pienenisivät. ·Jäsenvaltioiden olisi tehtävä aktiivisemmin yhteistyötä kynnysarvojen yhdenmukaistamiseksi aina, kun se on mahdollista, ja etenkin toimialoilla, jotka ovat luonteeltaan rajat ylittäviä, kuten liikenne- ja energia-ala. Tämä voidaan saada aikaan verkko- ja tietoturvadirektiivin 5 artiklan 4 kohdassa säädetyllä rajat ylittävällä kuulemisprosessilla, mutta myös hyödyntämällä yhteistyöryhmän nykyisiä rakenteita entistä paremmin. ·Kansallisten viranomaisten olisi kuultava toisiaan sen takaamiseksi, että rajat ylittäviä toimijoita koskevat sisämarkkinoilla yhtäläiset turvallisuus- ja poikkeamaraportointivaatimukset. Lisäksi jäsenvaltioiden olisi otettava yhteys tällaisiin toimijoihin lisätietojen saamiseksi sääntelyn eroavuuksista. Verkkohäiriöiden sietokyvyn parantaminen ei saa johtaa sääntelyn pirstoutumiseen. Jäsenvaltioiden olisi tarpeen mukaan myös käytävä monenvälisiä keskusteluita verkko- ja tietoturvadirektiivin johdanto-osan 24 kappaleessa mainitulla tavalla. Kansallisten toimien lisäksi myös unionin tasolla voitaisiin mahdollisesti toteuttaa toimenpiteitä, joilla voitaisiin lisätä yhdenmukaisuutta. Komissio käynnistää keskustelut, joiden tavoitteena on parantaa epäyhdenmukaista ja osin pirstoutunutta määritystyötä. Mahdollisia toimenpiteitä ovat esimerkiksi seuraavat: ·Verkko- ja tietoturvadirektiivin yhteistyöryhmän asemaa olisi vahvistettava, jotta saadaan aikaan yhteisymmärrys siitä, miten direktiivi voidaan panna täytäntöön yhdenmukaisemmin. Tästä syystä komissio esittää, että nykyinen keskeisten palvelujen tarjoajien määrittämiseen liittyvä toimintalinja päivittää pikaisesti ohjeensa, jotta nykyiset epäyhdenmukaisuudet voidaan selvittää paremmin. Yhteistyöryhmän olisi myös tutkittava uusien toimialakohtaisten toimintalinjojen luomista, jotta voidaan lisätä jäsenvaltioiden välistä yhteneväisyyttä. Yhteistyöryhmän olisi myös selvitettävä räätälöidyn viestintätyökalun käyttöä ryhmän yhteistyön tehostamiseksi. ·Nykyisin vain harvat jäsenvaltiot hyödyntävät rajat ylittävää kuulemisprosessia sellaisten toimijoiden määrittämisessä, jotka tarjoavat keskeisiä palveluja useammassa kuin yhdessä jäsenvaltiossa. Tietojenvaihdon tehostamiseksi yhteistyöryhmän olisi päivitettävä viiteasiakirjansa rajat ylittävien vaikutusten yhteydessä käytettävästä kuulemisprosessista ja sovittava yhteneväinen tulkinta tällaisen prosessin laajuudelle, tavoitteille ja käytännöille. Samaan aikaan komissio tutkii tapoja mahdollistaa turvallinen tietojenvaihto toimivaltaisten viranomaisten kesken. ·Jäsenvaltiot vaikuttavat soveltavan erityissäännöksiä (lex specialis) koskevia direktiivin säännöksiä epäyhteneväisesti. Siksi komissio aikoo hyödyntää yhteistyöryhmän rakenteita keskustellakseen tapauksista, joissa erityissäännös (lex specialis) -periaatteen soveltaminen ei ehkä käy päinsä. Unionin tasolla toteutettujen toimien pitäisi taata yhtenäiset puitteet, joissa otetaan huomioon sekä toimialakohtaiset toimet, joilla asetetaan tiettyjä tai tiukempia vaatimuksia verkkoturvallisuudelle, että muu eurooppalainen lainsäädäntö.



4.Liitteet 4.1Yleiskatsaus saatavilla oleviin tietoihin jäsenvaltioittain Jäsenvaltio Tietojen toimittamisen oikea-aikaisuus Luettelo palveluista Keskeisten palvelujen tarjoajien lukumäärä Kynnysarvot AT Toimitettu myöhässä Toimitettu PUUTTUU Toimitettu BE Toimitettu myöhässä Toimitettu PUUTTUU PUUTTUU BG Toimitettu myöhässä Toimitettu Toimitettu Toimitettu CY Ajoissa Toimitettu Toimitettu Toimitettu CZ Toimitettu myöhässä Toimitettu Toimitettu Toimitettu DE Ajoissa Toimitettu Toimitettu Toimitettu DK Ajoissa Toimitettu Toimitettu Toimitettu EE Ajoissa Toimitettu Toimitettu Toimitettu EL Toimitettu myöhässä Toimitettu Toimitettu Toimitettu ES Ajoissa Toimitettu Toimitettu Toimitettu FI Ajoissa Toimitettu Toimitettu Toimitettu FR Ajoissa Toimitettu Toimitettu Ei virallisia kynnysarvoja HR Ajoissa Toimitettu Toimitettu Toimitettu HU Ajoissa Toimitettu osittain Toimitettu osittain Toimitettu osittain IE Toimitettu myöhässä Toimitettu Toimitettu Toimitettu IT Toimitettu myöhässä Toimitettu Toimitettu Toimitettu LT Ajoissa Toimitettu Toimitettu Toimitettu LU Toimitettu myöhässä Toimitettu Toimitettu Toimitettu LV Toimitettu myöhässä Toimitettu Toimitettu Toimitettu MT Toimitettu myöhässä Toimitettu Toimitettu Toimitettu NL Toimitettu myöhässä Toimitettu Toimitettu Toimitettu PL Ajoissa Toimitettu Toimitettu Toimitettu PT Ajoissa Toimitettu Toimitettu Toimitettu RO Toimitettu myöhässä Toimitettu Toimitettu osittain PUUTTUU SE Ajoissa Toimitettu Toimitettu Toimitettu SI Toimitettu myöhässä Toimitettu PUUTTUU Toimitettu SK Ajoissa Toimitettu Toimitettu Toimitettu UK Ajoissa Toimitettu Toimitettu Toimitettu 4.2Palvelujen ja määritettyjen keskeisten palvelujen tarjoajien lukumäärät jäsenvaltioittain Jäsenvaltio Määritetyt keskeisten palvelujen tarjoajat Liitteen II mukaiset palvelut Muut palvelut AT 0 46 0 BE 0 31 0 BG 185 30 3 CY 20 29 17 CZ 50 31 12 DE 573 15 12 DK 128 39 0 EE 137 18 6 EL 67 30 0 ES 132 55 18 FI 10 897 20 0 FR 127 70 20 HR 85 49 2 HU 42 12 0 IE 64 26 0 IT 553 37 0 LT 22 37 0 LU 49 21 0 LV 66 18 0 MT 36 29 2 NL 42 12 0 PL 142 87 0 PT 1 250 26 0 RO 86 77 0 SE 326 27 0 SI 0 34 2 SK 273 28 7 UK 470 34 0 4.3Jäsenvaltioiden määrittämät sähkön osa-alueen palvelut Jäsenvaltio Määritetyt palvelut AT ̶Sähköntuotantolaitokset ̶Tuotantolaitosten ohjausjärjestelmät ̶Jakeluverkot ̶Siirtoverkot BE ̶Tuotanto-, siirto- ja jakeluyhtiöt ̶Sähkönjakelu ̶Sähkön siirto BG ̶Sähkön tuotanto ̶Sähkön siirto ̶Sähkön siirtoverkon hallinnointi, ylläpito ja kehittäminen ̶Sähkön jakelu ̶Sähköenergian jakelujärjestelmän toiminnan ja ylläpidon takaaminen ̶Sähkömarkkinat CY ̶Tuotanto/toimitus ̶Jakelu/siirto ̶Sähkömarkkinapalvelut CZ ̶Sähköntuotanto ̶Sähkön myynti ̶Siirtoverkon käyttö ̶Jakeluverkon käyttö DE ̶Sähköntoimitus DK ̶Sähkönsiirto ̶Sähkönjakelu ̶Sähköntuotanto EE ̶Sähköntoimitus EL ̶Sähköntoimitus ̶Sähkönjakelu ̶Sähkönsiirto ES ̶Sähköntuotanto ̶Sähkönsiirto ̶Sähkönjakelu ̶Sähköjärjestelmien käyttö- ja ohjauskeskukset FI ̶Siirtopalvelu ̶Sähkön jakelu jakeluverkossa ̶Sähkön toimitus suurjännitteisissä jakeluverkoissa FR ̶Sähkön myynti tai jälleenmyynti tukku- ja loppuasiakkaille ̶Sähkön jakelu ̶Sähkön siirto HR ̶Sähkön tuotanto ̶Sähkön siirto ̶Sähkön jakelu HU ̶Sähkö IE ̶Jakeluverkon haltijat ̶Sähköyritykset ̶Siirtoverkonhaltijat IT ̶Tuotanto ̶Kaupankäynti ̶Siirto ̶Jakelu LT ̶Sähköntuotantopalvelu ̶Sähkönsiirtopalvelu ̶Sähkönjakelupalvelu ̶Sähköntoimituspalvelu LU ̶Sähköntoimitus ̶Sähkönjakelu ̶Sähkönsiirto LV ̶Sähköntuotanto ̶Sähkönjakelu ̶Sähkönsiirto MT ̶Sähkön tarjonta kuluttajille ̶Sähkön siirto ja/tai jakelu kuluttajille ̶Sähkön tuotanto kuluttajille NL ̶Sähkön siirto ja jakelu PL ̶Sähköenergian tuotanto ̶Sähköenergian siirto ̶Sähköenergian jakelu ̶Sähköenergian kauppa ̶Sähköenergian varastointi ̶Laadunvarmistuspalvelut ja energiainfrastruktuurin hallinta PT ̶Jakeluverkon haltijat ̶Siirtoverkonhaltijat RO ̶Sähkön tuotanto ̶Sähkön toimitus kuluttajille ̶Keskitettyjen sähkömarkkinoiden toiminta ̶Sähkön siirto ̶Energiajärjestelmän toiminta ̶Sähkön jakelu SE ̶Siirtoverkonhaltija ̶Jakeluverkonhaltija ̶Tuotanto ̶Tukkukauppa SI ̶Sähkön tuotanto vesivoimaloissa ̶Sähkön tuotanto lämpövoimaloissa, ydinvoimaloissa ̶Sähkön siirto ̶Sähkön jakelu ̶Sähkön kauppa SK ̶Sähköyritys ̶Siirtoverkonhaltija ̶Jakeluverkon haltija UK ̶Sähköntoimitus ̶Sähkönsiirto ̶Sähkönjakelu