EUROOPAN KOMISSIO Bryssel 16.12.2020 COM(2020) 823 final 2020/0359(COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi koko unionissa ja direktiivin (EU) 2016/1148 kumoamisesta (ETA:n kannalta merkityksellinen teksti) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



PERUSTELUT 1.EHDOTUKSEN TAUSTA •Ehdotuksen perustelut ja tavoitteet Tämä ehdotus on osa toimenpidepakettia, jolla parannetaan julkisten ja yksityisten toimijoiden, toimivaltaisten viranomaisten ja yleensäkin koko unionin kykyä selviytyä kyberturvallisuuteen ja kriittisen infrastruktuuriin suojaamisen liittyvistä turvallisuuspoikkeamista ja vastata tähän liittyviin uhkiin. Ehdotus auttaa osaltaan saavuttamaan komission päätavoitteita, eli tuomaan Euroopan digiaikakaudelle ja rakentaa tulevaisuussuuntautunutta taloutta, joka palvelee ihmisten tarpeita. Kyberturvallisuus on hyvin tärkeällä sijalla tavoissa, joilla komissio vastaa covid-19-kriisiin. Koko pakettiin kuuluu uusi kyberturvallisuusstrategia, jolla halutaan vahvistaa unionin strategista autonomiaa niin, että pystymme paremmin selviytymään uhkista ja vastaamaan niihin yhdessä sekä kehittämään avointa ja globaalia internetiä. Kokonaisuuteen kuuluu myös ehdotus direktiiviksi keskeisten palvelujen kriittisen tärkeiden tarjoajien kyvystä suojautua ulkoisilta uhkilta. Se keskittyy tällaisten toimijoiden kohtaamiin fyysisiin turvallisuusuhkiin. Tämä ehdotus perustuu verkko- ja tietojärjestelmien turvallisuutta koskevaan NIS-direktiiviin (EU) 2016/1148, jonka se myös kumoaa. NIS on ollut ensimmäinen EU:n laajuinen kyberturvasäädös ja antanut oikeudellisia keinoja parantaa kyberturvallisuuden yleistä tasoa unionissa. NIS-direktiivi on 1) auttanut parantamaan kyberturvallisuusvalmiuksia kansallisella tasolla edellyttämällä kansallisia kyberstrategioita ja siitä vastaavien viranomaisten nimeämistä, 2) lisännyt EU-maiden yhteistyötä saamalla aikaan erilaisia foorumeja strategisen ja operatiivisen tiedon vaihtoa varten ja 3) parantanut julkisten ja yksityisten toimijoiden kyberturvallisuusvalmiuksia seitsemällä yleisellä toimialalla (energia, liikenne, pankkitoiminta, rahoitusmarkkinoiden infrastruktuurit, terveydenhuolto, juomaveden tuottaminen ja jakelu sekä digitaalinen infrastruktuuri) ja kolmella digipalvelualalla (verkkokaupat, hakukoneet ja pilvipalvelut), kun EU-maiden on pitänyt varmistaa, että välttämättömien palvelujen tarjoajat ja digipalveluntarjoajat noudattavat kyberturvallisuusvaatimuksia ja raportoivat turvallisuuspoikkeamista. Ehdotuksella nykyaikaistetaan lainsäädäntöä ottaen huomioon sisämarkkinoiden viime vuosina edennyt digitalisaatio ja alati muuttuva kyberturvallisuusympäristö. Molempia kehityskulkuja on edelleen vahvistanut covid-19-kriisi. Ehdotuksella puututaan myös useisiin heikkouksiin, joiden johdosta NIS-direktiivistä ei saatu kaikkia hyötyjä irti. NIS-direktiivi, josta toki oli paljon hyötyä, kun se johti merkittävään muutokseen suhtautumisessa institutionaaliseen ja sääntelyajatteluun kyberkysymyksissä monissa EU-maissa, oli myös monissa kohdin puutteellinen. Yhteiskuntien digitalisaatio (jota covid-19-kriisi edelleen on vahvistanut) on laajentanut tilannekuvaa uhkista ja luo uusia haasteita, jotka vaativat tarkemmin suunnattuja ja entistä innovatiivisempia puolustuskeinoja. Kyberhyökkäykset lisääntyvät. Ne ovat entistä sofistikoituneempia ja tulevat hyvin monista lähteistä sekä EU:n sisältä että sen ulkopuolelta. Tämän direktiivin vaikutustenarviointia varten tehdyssä NIS-direktiivin toimivuuden selvityksessä todettiin seuraavat ongelmat: 1) EU:ssa toimivien yritysten heikko kyberuhkien sietokyky, 2) erot häiriönsietokyvyssä jäsenvaltioiden ja toimialojen välillä ja 3) heikko yhteinen tilannetietoisuus ja kyky yhteiseen reagointiin. Esimerkiksi jossain EU-maassa tietyt suuret sairaalat eivät kuulu NIS-direktiivin soveltamisalaan eikä niiltä siten edellytetä direktiivin mukaisia turvatoimia, kun taas toisessa EU-maassa joka ikinen terveydenhuollon toimija kuuluu direktiivin tietoturvavaatimusten piiriin. Ehdotus sisältyy sääntelyn toimivuutta ja tuloksellisuutta koskevaan REFIT-ohjelmaan, joten sillä pyritään keventämään toimivaltaisten viranomaisten sääntelytaakkaa ja vähentämään julkisille ja yksityisille toimijoille sääntöjen noudattamisesta aiheutuvia kustannuksia. Tähän päästään erityisesti poistamalla toimivaltaisten viranomaisten velvollisuus yksilöidä keskeisten palvelujen tarjoajat ja edelleen yhdenmukaistamalla turva- ja raportointivaatimuksia, jotta rajat ylittäviä palveluja tarjoavien toimijoiden on helpompi noudattaa sääntöjä. Toimivaltaisille viranomaisille annetaan kuitenkin muutamia uusia tehtäviä, kuten sellaisten alojen toimijoiden valvonta, jotka eivät toistaiseksi ole kuuluneet NIS-direktiivin piiriin. •Yhdenmukaisuus muiden alaa koskevien politiikkojen säännösten kanssa Ehdotus on osa laajempaa jo olemassa olevan lainsäädännön ja tulossa olevien EU-tason aloitteiden kokonaisuutta, jolla pyritään parantamaan julkisten ja yksityisten toimijoiden suojautumista uhkilta. Kyberturvallisuuden alalla kyseeseen tulevat erityisesti eurooppalaisesta sähköisen viestinnän säännöstöstä annettu direktiivi (EU) 2018/1972 (jonka kyberturvallisuussäännökset korvataan tämän ehdotuksen säännöksillä) ja ehdotus asetukseksi finanssialan digitaalisesta häiriönsietokyvystä (COM(2020) 595 final), joka katsotaan tämän ehdotuksen suhteen erityislainsäädännöksi (lex specialis) sen jälkeen kun molemmat säädökset ovat tulleet voimaan. Fyysisen turvallisuuden suhteen ehdotus täydentää kriittisten toimijoiden häiriönsietokykyä koskevaa direktiiviehdotusta, jolla tarkistetaan Euroopan elintärkeän infrastruktuurin määrittämisestä ja nimeämisestä sekä arvioinnista, joka koskee tarvetta parantaa sen suojaamista annettua direktiiviä 2008/114/EY (ECI-direktiivi). Sillä luodaan unionitason prosessi Euroopan kriittisten infrastruktuurien tunnistamiseksi ja määrittämiseksi ja esitetään lähestymistapa niiden suojan parantamiseksi. Heinäkuussa 2020 komissio hyväksyi EU:n turvallisuusunionistrategian, jossa nostettiin esiin fyysisten ja digitaalisten infrastruktuurien lisääntynyt verkottuneisuus ja keskinäisriippuvuus. Siinä korostettiin tarvetta yhtenäisemmälle ja johdonmukaisemmalle lähestymistavalle ECI-direktiivin ja toimenpiteistä yhteisen korkeatasoisen verkko- ja tietojärjestelmien turvallisuuden varmistamiseksi koko unionissa annetun direktiivin (EU) 2016/1148 välillä. Tämä ehdotus on siis tiiviisti linjassa suhteessa kriittisten toimijoiden häiriönsietokykyä koskevaan direktiiviehdotukseen, jolla pyritään parantamaan niiden suojautumista fyysisiltä uhkilta hyvin monilla toimialoilla. Tällä ehdotuksella pyritään varmistamaan, että molempien säädösten mukaiset toimivaltaiset viranomaiset toimivat toisiaan täydentävästi ja vaihtavat tarvittavassa määrin kyber- ja muita uhkia koskevaa tietoa ja että tämän ehdotuksen mukaisesti ’keskeisiksi’ katsottujen alojen kriittisiin toimijoihin sovelletaan myös yleisempiä suojaa parantavia velvoitteita, jotka painottuvat muihin kuin kyberuhkiin. •Yhdenmukaisuus unionin muiden politiikkojen kanssa Kuten tiedonannossa ”Euroopan digitaalista tulevaisuutta rakentamassa” todetaan, on ratkaisevan tärkeää, että Eurooppa hyödyntää kaikki digiajan edut ja vahvistaa teollista ja innovointikapasiteettiaan turvallisten ja eettisten rajojen puitteissa. Euroopan datastrategiassa esitetään neljä pilaria – tietosuoja, perusoikeudet, turvallisuus ja kyberturvallisuus – datavetoisen yhteiskunnan olennaisina edellytyksinä. Euroopan parlamentti kehotti 12. maaliskuuta 2019 antamassaan päätöslauselmassa ”[...] komissiota arvioimaan, onko verkko- ja tietoturvadirektiivin soveltamisalaa tarpeen laajentaa edelleen koskemaan muita kriittisiä aloja ja palveluita, jotka eivät kuulu minkään alakohtaisen lainsäädännön soveltamisalaan”. Neuvosto pani 9. kesäkuuta 2020 antamissaan päätelmissä tyytyväisenä merkille ”[...] komission suunnitelmat varmistaa markkinaosapuolia koskevat johdonmukaiset säännöt ja helpottaa uhkia ja kyberhäiriötilanteita koskevien tietojen turvallista, luotettavaa ja asianmukaista jakamista, myös tarkastelemalla uudelleen verkko- ja tietoturvadirektiiviä, selvittää kyberuhkien sietokyvyn parantamista ja vaihtoehtoja vastata tehokkaammin erityisesti talouden ja yhteiskunnan välttämättömiin toimintoihin kohdistuviin kyberhyökkäyksiin kunnioittaen samalla jäsenvaltioiden toimivaltaa ja pitäen mielessä niiden vastuun kansallisesta turvallisuudestaan. Ehdotetulla säädöksellä ei rajoiteta Euroopan unionin toiminnasta tehdyssä sopimuksessa (SEUT-sopimus) vahvistettujen kilpailusääntöjen soveltamista.

Koska suurimmassa osassa kyberuhkia alkuperä on EU:n ulkopuolella, tarvitaan johdonmukaista lähestymistapaa myös kansainväliseen yhteistyöhön. Tästä direktiivistä muodostuu viitemalli, jota edistetään EU:n yhteistyössä EU:n ulkopuolisten maiden kanssa, erityisesti silloin, kun kyseessä on teknisen avun tarjoaminen. 2.OIKEUSPERUSTA, TOISSIJAISUUSPERIAATE JA SUHTEELLISUUSPERIAATE •Oikeusperusta NIS-direktiivin oikeusperusta on Euroopan unionin toiminnasta tehdyn sopimuksen 114 artikla, jonka tavoitteena on luoda sisämarkkinat ja edistää niiden toimintaa yhdenmukaistamalla kansallisia sääntöjä. Kuten EU-tuomioistuin asiassa C-58/08, Vodafone ja muut on vahvistanut, SEUT-sopimuksen 114 artiklaan turvautuminen on perusteltua, kun kansallisissa säännöissä on eroja, jotka suoraan vaikuttavat sisämarkkinoiden toimintaan. Samassa asiassa tuomioistuin toteaa, että kun SEUT-sopimuksen 114 artiklaan perustuvalla toimella on jo poistettu kaupan esteitä alalla, jota sillä yhdenmukaistetaan, unionin lainsäätäjältä ei voida viedä mahdollisuutta mukauttaa kyseistä toimea olosuhteiden muutoksiin tai tiedon kehitykseen, koska yhteisön lainsäätäjän tehtävänä on turvata perussopimuksessa tunnustettujen yleisten etujen suojelu. Lopuksi tuomioistuin toteaa, että SEUT-sopimuksen 114 artiklan kattamissa yhdenmukaistamistoimissa on tarkoitus sallia parhaiten toivotun tuloksen saavuttamiseen sopivan yhdenmukaistamistavan valinnan suhteen tietty liikkumavara riippuen yhdenmukaistamisen kohteen yleisestä asiayhteydestä ja erityisolosuhteista. Ehdotettu säädös poistaisi sisämarkkinoiden esteitä ja edistäisi sisämarkkinoiden syntyä ja toimintaa keskeisten ja tärkeiden toimijoiden osalta luomalla selkeät ja yleisesti sovellettava säännöt NIS-direktiivin soveltamisalan määrittelylle sekä yhdenmukaistamalla kyberriskinhallinnan poikkeamista raportoinnin sääntöjä. Nykyiset sekä lainsäädännön että valvonnan erot tällä alalla niin kansallisella kuin EU-tasollakin muodostavat sisämarkkinoiden esteitä, koska rajat ylittävät toimijat joutuvat noudattamaan erilaisia ja osin päällekkäisiä vaatimuksia ja/tai vaatimusten soveltamistapoja, mikä aiheuttaa haittaa niiden pyrkiessä hyödyntämään sijoittautumisvapautta ja palveluntarjonnan vapautta. Erot säännöissä vaikuttavat haitallisesti myös kilpailuolosuhteisiin sisämarkkinoilla, kun verrataan saman tyyppisiä toimijoita eri EU-maissa. •Toissijaisuusperiaate (jaetun toimivallan osalta) Kyberturvatoiminta unionissa ei voi olla tuloksellista, jos asiaa lähestytään hajanaisesti kansallisten tai alueellisten siilojen näkökulmasta. NIS-direktiivillä korjattiin osittain puutteita luomalla puitteet verkkojen ja tietojärjestelmien tietoturvalle kansallisella ja unionitasolla. Sen täytäntöönpano ja toteutus paljasti kuitenkin myös tiettyjen säännösten ja lähestymistapojen sisälähtöisiä heikkouksia ja rajoituksia. Tällainen on esimerkiksi direktiivin soveltamisalan epäselvä rajaus, mikä on johtanut huomattaviin eroihin EU-näkökulman käytännön laajuudessa ja määrässä EU-maissa. Lisäksi Euroopan taloudesta on covid-19-kriisin myötä tullut vieläkin riippuvaisempi verkoista ja tietojärjestelmistä, ja eri toimialat ja palvelut ovat enenevässä määrin sidoksissa toisiinsa. Nykyistä NIS-direktiiviä vahvempi EU-tason sääntely on perusteltavissa erityisesti seuraavilla seikoilla: i) verkkojen ja tietojärjestelmien suojaan liittyvät uhat ja haasteet ovat luonteeltaan yhä enemmän rajat ylittäviä, ii) EU-tason toimilla voidaan parantaa ja helpottaa kansallisen tason tuloksellista ja koordinoitua toimintaa ja iii) yhtenäisellä ja yhteistyöhön perustuvalla toiminnalla voidaan tuloksellisesti tukea tietosuojaa ja yksityisyyden suojaa. •Suhteellisuusperiaate Ehdotetun direktiivin säännöt eivät ylitä sitä, mikä on tarpeen sen erityistavoitteiden saavuttamiseksi tyydyttävällä tavalla. Kaavaillut turvatoimien ja raportointivelvoitteiden yhdenmukaistamis- ja sujuvoittamistoimet perustuvat EU-maiden ja yritysten pyyntöihin parantaa nykyjärjestelmää. Ehdotuksessa otetaan huomioon EU-maissa jo vallitsevat käytänteet. Tällaisilla selkeämmillä ja koordinoiduilla vaatimuksilla saavutettava parempi suojataso on oikeassa suhteessa kohdattaviin yhä suurempiin riskeihin, myös niihin, joihin liittyy rajat ylittävä ulottuvuus. Vaatimukset ovat kohtuullisia ja vastaavat laajasti niiden toimijoiden etuja, jotka pyrkivät varmistamaan palvelujensa jatkuvuuden ja laadun. EU-maiden järjestelmällisen yhteistyön kustannukset olisivat pieniä verrattuna kyberturvapoikkeamien aiheuttamiin taloudellisiin ja yhteiskunnallisiin tappioihin ja haittoihin. Lisäksi NIS-direktiivin tarkistamiselle edellä kuvatulla tavalla saatiin tukea direktiivin uudelleentarkasteluun liittyneissä sidosryhmäkuulemisissa sekä avoimessa julkisessa kuulemisessa ja kohdennetuissa kyselyissä. •Toimintatavan valinta Ehdotuksella selkeytetään edelleen yrityksille asetettuja velvoitteita ja yhdenmukaistetaan niitä lisää. Toisaalta ehdotuksella pyritään sallimaan EU-maille riittävästi joustoa, jotta kansalliset erityisolosuhteet voidaan ottaa huomioon (esimerkiksi mahdollisuus nimetä keskeisiä tai tärkeitä toimijoita laajemminkin kuin säädöksessä). Tulevan oikeudellisen välineen olisi sen vuoksi oltava direktiivi, koska se mahdollistaa kohdennetun paremman yhdenmukaistamisen ja tietynasteisen jouston toimivaltaisille viranomaisille. 3.JÄLKIARVIOINTIEN, SIDOSRYHMIEN KUULEMISTEN JA VAIKUTUSTENARVIOINTIEN TULOKSET •Jälkiarvioinnit/toimivuustarkastukset Komissio on tehnyt arvioinnin verkko- ja tietoturvadirektiivin toimivuudesta. Komissio on analysoinut sen relevanssia, EU:n tason lisäarvoa, johdonmukaisuutta, vaikuttavuutta ja tehokkuutta. Analyysin tärkeimmät tulokset ovat seuraavat: ·NIS-direktiivin soveltamisala on liian suppea sen kattamien alojen suhteen, mikä johtuu pääasiassa seuraavista syistä: i) viime vuosien lisääntynyt digitalisaatio ja kytkösten lisääntyminen ja ii) se, että NIS-direktiivin soveltamisala ei enää heijasta kaikkia digitalisoituneita aloja, jotka tarjoavat keskeisiä palveluja taloudelle ja koko yhteiskunnalle. ·NIS-direktiivi ei ole riittävän selkeä soveltamisalaan kuuluvien keskeisten palvelujen tarjoajien suhteen, eivätkä sen säännökset tarjoa riittävää selvyyttä digitaalisten palvelujen tarjoajia koskevasta kansallisesta toimivallasta. Tämä on johtanut tilanteeseen, jossa tietyntyyppisiä toimijoita ei ole otettu direktiivin piiriin kaikissa EU-maissa, minkä vuoksi niiden ei ole tarvinnut ottaa käyttöön turvatoimia eikä raportoida poikkeamista. ·NIS-direktiivissä annettiin EU-maille laaja harkintavalta, kun ne säätävät keskeisten palvelujen tarjoajille asetettavista turvallisuutta ja poikkeamia koskevista raportointivaatimuksista. Arviointi osoittaa, että joissakin tapauksissa EU-maat ovat panneet vaatimukset täytäntöön hyvin eri tavoin, mikä on aiheuttanut lisärasitetta useammassa kuin yhdessä EU-maassa toimiville yrityksille. ·NIS-direktiivin valvonta- ja täytäntöönpanojärjestelmä on tehoton. EU-maat ovat esimerkiksi olleet hyvin haluttomia soveltamaan seuraamuksia toimijoihin, jotka eivät ole noudattaneet turvavaatimuksia tai ilmoittaneet poikkeamista. Tällä voi olla kielteisiä vaikutuksia yksittäisten toimijoiden kykyyn sietää häiriöitä.

·Taloudelliset ja henkilöresurssit, jotka EU-maat ovat varanneet tehtäviensä (kuten keskeisten palvelujen tarjoajien selvittämisen tai valvonnan) hoitamista varten – ja näin ollen kyberturvariskien käsittelyn eri kehitystasot – vaihtelevat suuresti. Tämä kasvattaa entisestään EU-maiden välisiä eroja kyberuhkien sietokyvyssä. ·EU-maat eivät vaihda tietoja järjestelmällisesti keskenään, millä on kielteisiä vaikutuksia erityisesti kyberturvatoimenpiteiden tehokkuuteen ja yhteisen tilannetietoisuuden tasoon EU:n tasolla. Tämä koskee myös yksityisen sektorin toimijoiden välistä tiedonvaihtoa sekä EU:n tason yhteistyörakenteiden ja yksityisen sektorin toimijoiden välistä yhteistyötä. •Sidosryhmien kuuleminen Komissio on kuullut laajasti erilaisia sidosryhmiä. EU-maita ja sidosryhmiä pyydettiin osallistumaan avoimeen julkiseen kuulemiseen sekä Wavestonen, CEPS:n ja ICF:n (joilla komissio teetti selvityksen NIS-direktiivin uudelleentarkastelun tueksi) järjestämiin kyselyihin ja työpajoihin. Kuultuja sidosryhmiä olivat toimivaltaiset viranomaiset, kyberturvallisuutta käsittelevät unionin elimet, keskeisten palvelujen tarjoajat, digitaalisten palvelujen tarjoajat, nykyisen NIS-direktiivin soveltamisalaan kuulumattomia palveluja tarjoavat toimijat, toimialajärjestöt ja kuluttajajärjestöt sekä yksityishenkilöt. Lisäksi komissio on ollut jatkuvasti yhteydessä NIS-direktiivin täytäntöönpanosta vastaaviin toimivaltaisiin viranomaisiin. Erityinen yhteistyöryhmä on käsitellyt laajasti useita monialaisia ja alakohtaisia täytäntöönpanoon liittyviä näkökohtia. Vuosina 2019 ja 2020 tehtyjen NIS-maavierailujensa aikana komissio haastatteli 154 julkista ja yksityistä tahoa sekä 117 toimivaltaista viranomaista. •Asiantuntijatiedon keruu ja käyttö Komissio on tehnyt sopimuksen Wavestonen, CEPS:n ja ICF:n konsortion kanssa komission tukemiseksi NIS-direktiivin uudelleentarkastelussa. Sen lisäksi, että toimeksisaaja on tavoittanut kohdennettujen kyselyjen ja työpajojen avulla sidosryhmät, joihin NIS-direktiivi vaikuttaa suoraan, se on myös kuullut useita kyberturvallisuuden alan asiantuntijoita, kuten kyberturvautkijoita ja kyberturvatoimialan ammattilaisia. •Vaikutustenarviointi Tähän ehdotukseen liittyy vaikutustenarviointi, joka toimitettiin sääntelyntarkastelulautakunnalle 23. lokakuuta 2020 ja joka sai sääntelyntarkastelulautakunnalta myönteisen lausunnon kommentteineen 20. marraskuuta 2020. Sääntelyntarkastelulautakunta suositteli parannuksia joillakin aloilla, jotta voidaan 1) ottaa paremmin huomioon rajat ylittävien heijastusvaikutusten merkitys ongelma-analyysissä, 2) selittää paremmin, miten aloitteen onnistumista mitattaisiin, 3) esittää laajemmat perustelut tarkasteltaviksi valituille toimintavaihtoehdoille ja 4) tarkentaa ehdotettujen toimenpiteiden kustannusarvioita. Vaikutustenarviointia mukautettiin näiden seikkojen sekä sääntelyntarkastelulautakunnan yksityiskohtaisempien huomautusten perusteella. Se sisältää nyt yksityiskohtaisempia selvityksiä rajat ylittävien heijastusvaikutusten roolista kyberturvallisuuden alalla, selkeämmän yleiskuvan siitä, miten onnistumista voidaan mitata, yksityiskohtaisemman selvityksen tarkasteltaviksi valittujen eri toimintavaihtoehtojen ja toimien rakenteesta ja logiikasta, yksityiskohtaisemman selvityksen NIS-direktiivin toimialakattavuuteen liittyvistä analysoiduista näkökohdista sekä lisäselvityksiä kustannuksista. Komissio tarkasteli useita toimintavaihtoehtoja oikeudellisen kehyksen parantamiseksi kyberuhkien sietokyvyn ja poikkeamiin reagoinnin alalla: ·”Ei tehdä mitään”: NIS-direktiivi säilyisi muuttumattomana, eikä toteutettaisi myöskään ei-lainsäädännöllisiä toimenpiteitä direktiivin arvioinnissa havaittujen ongelmien ratkaisemiseksi. ·Vaihtoehto 1: Lainsäädäntötasolla ei tehtäisi muutoksia. Sen sijaan komissio antaisi suosituksia ja ohjeita (jotka koskevat esimerkiksi keskeisten palvelujen tarjoajien tunnistamista, turvallisuusvaatimuksia, poikkeamien ilmoittamismenettelyjä ja valvontaa) kuultuaan asiaa koskevaa yhteistyöryhmää, EU:n kyberturvallisuusvirastoa (ENISA) ja tarvittaessa tietoturvaloukkauksiin reagoivien CSIRT-yksiköiden verkostoa. ·Vaihtoehto 2: Tämä vaihtoehto edellyttäisi kohdennettuja muutoksia NIS-direktiiviin, mukaan lukien soveltamisalan laajentaminen, ja useita muita muutoksia, joilla pyritään takaamaan tietyt välittömät ratkaisut havaittuihin ongelmiin, selkeyttämään tilannetta ja lisäämään yhdenmukaisuutta (esimerkiksi säännökset tunnistamiskynnysten yhdenmukaistamiseksi). Muutetussa NIS-direktiivissä säilytettäisiin kuitenkin tärkeimmät rakenneosat, lähestymistapa ja perusteet. ·Vaihtoehto 3: Tässä skenaariossa NIS-direktiiviin tehtäisiin systeemisiä ja rakenteellisia muutoksia (uudella direktiivillä). Tarkoituksena olisi muuttaa lähestymistapaa perusteellisemmin niin, että se kattaisi laajemman osan talouksista kaikkialla unionissa. Valvonta olisi kuitenkin entistä kohdennetumpaa ja painottuisi suuriin avaintoimijoihin. Tässä vaihtoehdossa myös virtaviivaistettaisiin yrityksille asetettuja velvoitteita ja varmistettaisiin velvoitteiden laajempi yhdenmukaisuus, luotaisiin tehokkaammat puitteet operatiivisille näkökohdille sekä luotaisiin selkeä perusta eri sidosryhmien jaetulle vastuulle ja eri toimijoiden kulloisillekin vastuille kyberturvatoimien osalta. Vaikutustenarvioinnissa todetaan, että parhaaksi arvioitu vaihtoehto on vaihtoehto 3 (eli NIS-kehykseen tehtävät systeemiset ja rakenteelliset muutokset). Vaikuttavuuden kannalta tämä vaihtoehto määrittäisi selkeästi NIS-direktiivin soveltamisalan, joka ulottuisi edustavampaan osaan EU:n talouksia ja yhteiskuntia. Se myös virtaviivaistaisi vaatimuksia sekä loisi tarkemmin määritellyt puitteet valvonnalle ja täytäntöönpanolle niin, että vaatimusten noudattamisen tasoa voitaisiin nostaa. Siihen sisältyy myös toimenpiteitä, joilla pyritään parantamaan toimintamalleja EU-maiden tasolla ja muuttamaan niiden yleistä ajattelutapaa, edistämään uusia puitteita alihankkijasuhteiden riskinhallinnalle ja koordinoimaan haavoittuvuuksien julkituomista. Samalla parhaaksi arvioitu toimintavaihtoehto luo selkeän perustan jaetulle vastuulle ja vastuuvelvollisuudelle, ja siihen sisältyy mekanismeja, joilla pyritään lisäämään luottamusta EU-maiden, sekä viranomaisten että toimialan, välillä, kannustamaan tietojen jakamiseen ja varmistamaan toimivampi lähestymistapa, joka hyödyntää esimerkiksi keskinäistä avunantoa ja vertaisarviointimekanismeja. Tässä vaihtoehdossa luotaisiin myös EU:n kriisinhallintakehys, joka perustuisi äskettäin käynnistettyyn EU:n operatiiviseen verkostoon, ja varmistettaisiin ENISAn nykyistä aktiivisempi osallistuminen nykyisten toimivaltuuksiensa puitteissa tarkan yleiskuvan luomiseen kyberturvallisuuden tilasta unionissa. Tehokkuuden osalta voidaan todeta, että vaikka parhaaksi arvioitu vaihtoehto aiheuttaisi sääntöjen noudattamisesta ja täytäntöönpanon valvonnasta johtuvia lisäkustannuksia yrityksille ja EU-maille, se johtaisi myös tehokkaisiin kompromisseihin ja synergioihin ja tarjoaisi kaikista analysoiduista toimintavaihtoehdoista parhaat mahdollisuudet varmistaa, että keskeisten toimijoiden kyky sietää kyberuhkia paranisi ja olisi yhdenmukainen kaikkialla unionissa, mikä johtaisi lopulta kustannussäästöihin sekä yrityksille että yhteiskunnalle. Tämä vaihtoehto lisäisi jonkin verran EU-maiden viranomaisten hallinnollista taakkaa ja säännösten noudattamisesta aiheutuvia kustannuksia. Kaiken kaikkiaan se toisi kuitenkin keskipitkällä ja pitkällä aikavälillä huomattavia etuja lisäämällä EU-maiden yhteistyötä, myös operatiivisella tasolla, sekä kannustamalla keskinäisen avun, vertaisarviointimekanismien ja keskeisten yritysten paremman yleiskuvan ja vuorovaikutuksen avulla lisäämään yleisesti kyberturvavalmiuksia kansallisella ja alueellisella tasolla. Parhaaksi arvioitu toimintavaihtoehto varmistaisi myös suurelta osin johdonmukaisuuden muun lainsäädännön, muiden aloitteiden tai muiden politiikkatoimien, myös alakohtaisen erityislainsäädännön, kanssa. Kyberturvavalmiuden jatkuvaan riittämättömyyteen puuttuminen EU-maiden tasolla sekä yritysten ja muiden organisaatioiden tasolla voisi johtaa tehokkuusetuihin ja kyberturvapoikkeamien aiheuttamien lisäkustannusten vähenemiseen. ·Keskeisten ja tärkeiden tahojen osalta kyberturvallisuusvalmiuksien tason nostaminen voisi johtaa häiriöistä – myös teollisuusvakoilusta – johtuvien mahdollisten tulonmenetysten vähenemiseen ja vähentää uhkia lieventävistä tapauskohtaisista toimista aiheutuvia suuria kustannuksia. Tällaiset hyödyt ovat todennäköisesti suuremmat kuin tarvittavat investointikustannukset. Sisämarkkinoiden hajanaisuuden vähentäminen tasapuolistasi myös toimijoiden toimintaedellytyksiä. ·EU-maiden näkökulmasta se voisi edelleen vähentää riskiä, että tapauskohtaisesta uhkien lieventämisestä aiheutuvat julkiset menot kasvaisivat, ja kyberturvapoikkeamiin liittyvät hätätilanteet aiheuttaisivat lisäkustannuksia. ·Kansalaisten kannalta kyberturvapoikkeamiin puuttumisen odotetaan vähentävän tulonmenetyksiä, jotka johtuvat talouden häiriötiloista.

Kyberturvallisuuden korkeampi taso kaikissa EU-maissa sekä yritysten ja viranomaisten kyky reagoida poikkeamiin nopeasti ja lieventää niiden vaikutuksia johtavat mitä todennäköisimmin siihen, että kansalaisten yleinen luottamus digitaalitalouteen lisääntyy, millä voi olla myönteinen vaikutus kasvuun ja investointeihin. Kyberturvallisuuden yleisen tason nostaminen johtaa todennäköisesti yleisen turvallisuuden lisääntymiseen ja yhteiskunnan kannalta kriittisten keskeisten palvelujen sujuvaan keskeytymättömään toimintaan. Aloite voi myös myötävaikuttaa muihin yhteiskunnallisiin vaikutuksiin, kuten tietoverkkorikollisuuden ja terrorismin vähenemiseen ja kansalaisten yleisen suojan paranemiseen. Yritysten ja muiden organisaatioiden kybervalmiuksien parantaminen saattaa välttää mahdolliset taloudelliset menetykset, joita johtuisi kyberhyökkäyksistä, ja siten estää tarpeita irtisanoa työntekijöitä. Kyberturvallisuuden yleisen tason nostaminen voisi myös johtaa ympäristöriskien ja -vahinkojen ehkäisemiseen, kun on kyse hyökkäyksistä keskeisiin palveluihin. Tämä voisi koskea erityisesti energia-, vesihuolto- ja jakelualaa tai liikennettä. Kyberturvavalmiuksia vahvistamalla aloite voisi johtaa myös ympäristön kannalta kestävämpiin uusimman sukupolven tieto- ja viestintätekniikan infrastruktuureihin ja palveluihin sekä tehottomien ja vähemmän turvallisten vanhojen infrastruktuurien korvaamiseen. Tämän odotetaan myös auttavan vähentämään kalliiden verkkoturvapoikkeamien määrää ja vapauttavan resursseja kestäviin investointeihin. •Sääntelyn toimivuus ja yksinkertaistaminen Ehdotuksessa esitetään mikro- ja pienten toimijoiden jättämistä yleisesti NIS-soveltamisalan ulkopuolelle ja kevyempää jälkikäteisvalvontaa , jota sovelletaan suureen määrään tarkistetun soveltamisalan piiriin kuuluvia uusia toimijoita (ns. tärkeät toimijat). Näillä toimenpiteillä pyritään minimoimaan ja tasapainottamaan yrityksille ja julkishallinnoille aiheutuva rasite. Lisäksi ehdotuksella korvataan keskeisten palvelujen tarjoajien monimutkainen tunnistusjärjestelmä yleisesti sovellettavalla velvoitteella ja yhdenmukaistetaan enemmän turvallisuus- ja raportointivelvoitteita, mikä vähentäisi säännösten noudattamisesta aiheutuvaa rasitetta erityisesti rajat ylittäviä palveluja tarjoaville toimijoille. Ehdotuksella minimoidaan säännösten noudattamisesta pk-yrityksille aiheutuvat kustannukset, sillä yritysten edellytetään toteuttavan ainoastaan sellaisia toimenpiteitä, jotka ovat tarpeen sen varmistamiseksi, että verkko- ja tietojärjestelmien turvataso on oikeassa suhteessa aiheutuvaan riskiin. •Perusoikeudet EU on sitoutunut varmistamaan perusoikeuksien korkeatasoisen suojelun. Kaikki vapaaehtoiset tiedonjakojärjestelyt toimijoiden välillä, joita tällä direktiivillä edistetään, toteutettaisiin luotettavissa ympäristöissä noudattaen täysimääräisesti unionin tietosuojasääntöjä, erityisesti Euroopan parlamentin ja neuvoston asetusta (EU) N:o 2016/679. 4.TALOUSARVIOVAIKUTUKSET Ks. rahoitusselvitys 5.LISÄTIEDOT •Toteuttamissuunnitelmat, seuranta, arviointi ja raportointijärjestelyt Ehdotukseen sisältyy erityistavoitteiden seurantaa ja arviointia koskeva yleissuunnitelma, jonka mukaan komission on tehtävä uudelleentarkastelu vähintään [54 kuukauden] kuluttua voimaantulosta ja raportoitava tärkeimmistä havainnoistaan Euroopan parlamentille ja neuvostolle. Uudelleentarkastelu on suoritettava parempaa sääntelyä koskevien komission suuntaviivojen mukaisesti. •Ehdotukseen sisältyvien säännösten yksityiskohtaiset selitykset Ehdotus on jäsennelty useisiin kokonaisuuksiin, jotka liittyvät toisiinsa ja joiden tarkoituksena on parantaa kyberturvallisuuden tasoa unionissa. Kohde ja soveltamisala (1 ja 2 artikla) Direktiivissä säädetään erityisesti seuraavaa: a) jäsenvaltiot velvoitetaan laatimaan kansallinen kyberturvallisuusstrategia sekä nimeämään toimivaltaiset kansalliset viranomaiset, keskitetyt yhteyspisteet ja CSIRT-yksiköt, b) jäsenvaltioiden on vahvistettava kyberturvariskien hallintaa ja raportointia koskevat velvoitteet liitteessä I tarkoitetuille keskeisille toimijoille ja liitteessä II tarkoitetuille tärkeille toimijoille, c) jäsenvaltioiden on vahvistettava kyberturvatietojen jakamista koskevat velvoitteet. Direktiiviä sovelletaan tiettyihin julkisiin tai yksityisiin keskeisiin toimijoihin, jotka toimivat liitteessä I luetelluilla toimialoilla (energia, liikenne, pankkitoiminta, rahoitusmarkkinoiden infrastruktuurit, terveys, juomavesi, jätevesi, digitaalinen infrastruktuuri, julkishallinto ja avaruus) ja tiettyihin tärkeisiin toimijoihin, jotka toimivat liitteessä II luetelluilla toimialoilla (posti- ja kuriiripalvelut, jätehuolto, kemikaalien valmistus, tuotanto ja jakelu, elintarvikkeiden tuotanto, jalostus ja jakelu, valmistusteollisuus ja digitaaliset palvelut). Direktiivin soveltamisalan ulkopuolelle jäävät 6 päivänä toukokuuta 2003 annetussa komission suosituksessa 2003/361/EY tarkoitetut mikro- ja pientoimijat, lukuun ottamatta sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajia, luottamuspalvelujen tarjoajia, aluetunnusrekistereitä (TLD-rekisterit) ja julkishallintoa sekä tiettyjä muita toimijoita, kuten tietyn palvelun ainoaa tarjoajaa tietyssä jäsenvaltiossa. Kansalliset kyberturvallisuuspuitteet (5–11 artikla)

Jäsenvaltioiden on laadittava kansallinen kyberturvallisuusstrategia, jossa määritellään strategiset tavoitteet sekä asianmukaiset politiikka- ja sääntelytoimenpiteet kyberturvallisuuden korkean tason saavuttamiseksi ja ylläpitämiseksi. Direktiivissä vahvistetaan myös puitteet koordinoidulle haavoittuvuustietojen jakamiselle ja edellytetään, että jäsenvaltiot nimeävät CSIRT-yksiköt toimimaan luotettavina välittäjinä ja helpottamaan vuorovaikutusta raportoivien toimijoiden sekä tieto- ja viestintätekniikan tuotteiden ja palvelujen valmistajien tai tarjoajien välillä. ENISAn on kehitettävä eurooppalainen haavoittuvuusrekisteri havaittuja haavoittuvuuksia varten ja ylläpidettävä sitä. Jäsenvaltioiden on otettava käyttöön kansalliset kyberturvallisuuden kriisinhallintakehykset muun muassa nimeämällä kansalliset toimivaltaiset viranomaiset, jotka vastaavat laajamittaisten kyberturvapoikkeamien ja -kriisien hallinnasta. Jäsenvaltioiden on myös nimettävä yksi tai useampi kyberturvallisuuden alalla toimivaltainen kansallinen viranomainen tämän direktiivin mukaisia valvontatehtäviä varten ja kyberturvallisuuden kansallinen keskitetty yhteyspiste, joka hoitaa yhteyksiä jäsenvaltioiden rajat ylittävän viranomaisyhteistyön varmistamiseksi. Jäsenvaltioiden on myös nimettävä CSIRT-yksiköt. Yhteistyö (12–16 artikla) Direktiivillä perustetaan yhteistyöryhmä tukemaan ja helpottamaan strategista yhteistyötä ja tiedonvaihtoa jäsenvaltioiden välillä sekä vahvistamaan keskinäistä luottamusta. Lisäksi sillä perustetaan CSIRT-verkosto edistämään luottamuksen vahvistumista jäsenvaltioiden välillä sekä nopeaa ja tehokasta operatiivista yhteistyötä. Direktiivillä perustetaan myös Euroopan kyberkriisien yhteysorganisaatioiden verkosto (EU-CyCLONe) tukemaan laajamittaisten kyberturvapoikkeamien ja -kriisien koordinoitua hallintaa ja varmistamaan säännöllinen tietojenvaihto jäsenvaltioiden ja EU:n toimielinten välillä. ENISAn on annettava yhteistyössä komission kanssa joka toinen vuosi raportti kyberturvallisuuden tilasta unionissa. Komission on perustettava vertaisarviointijärjestelmä, joka mahdollistaa säännölliset vertaisarvioinnit jäsenvaltioiden kyberturvapolitiikkojen toimivuudesta. Kyberturvariskien hallintaa ja raportointia koskevat velvoitteet (17–23 artikla) Direktiivin mukaan jäsenvaltioiden on säädettävä, että kaikkien soveltamisalaan kuuluvien toimijoiden hallintoelimet hyväksyvät kyseisten toimijoiden kyberturvariskien hallintatoimenpiteet ja osallistuvat kyberturvaan liittyvään erityiskoulutukseen. Jäsenvaltioiden on varmistettava, että soveltamisalaan kuuluvat toimijat toteuttavat asianmukaiset ja oikeasuhteiset tekniset ja organisatoriset toimenpiteet verkko- ja tietojärjestelmien turvallisuuteen kohdistuvien kyberturvariskien hallitsemiseksi. Niiden on myös varmistettava, että toimijat ilmoittavat kansallisille toimivaltaisille viranomaisille tai CSIRT-yksiköille kaikista kyberturvapoikkeamista, joilla on merkittävä vaikutus palveluntarjontaan. Aluetunnusrekisterien ja aluetunnusten alaisten verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden on kerättävä ja ylläpidettävä tarkkoja ja täydellisiä verkkotunnusten rekisteröintitietoja. Lisäksi niiden on tarjottava sitä perustellusti pyytäville tosiasiallinen pääsy verkkotunnusten rekisteröintitietoihin. Lainkäyttövalta ja rekisteröinti (24 ja 25 artikla) Keskeisten ja tärkeiden toimijoiden katsotaan pääsääntöisesti kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa ne tarjoavat palvelujaan. Tietyntyyppisten toimijoiden (verkkotunnuspalvelujen tarjoajat, aluetunnusrekisterit, pilvipalvelujen tarjoajat, datakeskuspalvelujen tarjoajat ja sisällönjakeluverkkojen tarjoajat sekä tietyt digitaalisten palvelujen tarjoajat) katsotaan kuitenkin kuuluvan sen jäsenvaltion lainkäyttövaltaan, jossa niiden päätoimipaikka on unionissa. Näin varmistetaan, että tällaisiin toimijoihin ei kohdistu monia erilaisia oikeudellisia vaatimuksia, koska ne tarjoavat palveluja rajojen yli erityisen suuressa määrin. ENISAn on luotava rekisteri viimeksi mainitun tyyppisistä toimijoista ja ylläpidettävä sitä. Tietojenvaihto (26 ja 27 artikla) Jäsenvaltioiden on vahvistettava säännöt, jotka antavat toimijoille mahdollisuuden osallistua kyberturvallisuuteen liittyvien tietojen jakamiseen erityisten kyberturvatietojen jakamisjärjestelyjen puitteissa Euroopan unionin toiminnasta tehdyn sopimuksen 101 artiklan mukaisesti. Lisäksi jäsenvaltioiden on sallittava, että tämän direktiivin soveltamisalaan kuulumattomat toimijat raportoivat vapaaehtoisesti merkittävistä poikkeamista, kyberuhkista tai läheltä piti -tilanteista. Valvonta ja täytäntöönpano (28–34 artikla) Toimivaltaisten viranomaisten on valvottava direktiivin soveltamisalaan kuuluvia toimijoita ja erityisesti varmistettava, että ne noudattavat turvallisuutta ja poikkeamien ilmoittamista koskevia vaatimuksia. Direktiivissä erotetaan toisistaan ennakkovalvontajärjestelmä, joka koskee keskeisiä toimijoita, ja jälkikäteisvalvontajärjestelmä, joka koskee tärkeitä toimijoita. Jälkimmäisessä edellytetään, että toimivaltaiset viranomaiset ryhtyvät toimiin, jos ne saavat näyttöä tai viitteitä siitä, että tärkeä toimija ei täytä turvallisuutta ja poikkeamien ilmoittamista koskevia vaatimuksia. Direktiivissä edellytetään myös, että jäsenvaltiot määräävät tarvittaessa hallinnollisia sakkoja keskeisille ja tärkeille toimijoille, ja määritellään tietyt enimmäissakot.

Jäsenvaltioiden on tehtävä yhteistyötä ja avustettava toisiaan tarpeen mukaan, kun toimijat tarjoavat palveluja useammassa kuin yhdessä jäsenvaltiossa tai kun toimijan päätoimipaikka tai sen edustaja sijaitsee tietyssä jäsenvaltiossa, mutta sen verkko- ja tietojärjestelmät sijaitsevat yhdessä tai useammassa muussa jäsenvaltiossa. 2020/0359 (COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi koko unionissa ja direktiivin (EU) 2016/1148 kumoamisesta (ETA:n kannalta merkityksellinen teksti) EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 114 artiklan, ottavat huomioon Euroopan komission ehdotuksen, sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille, ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon, ottavat huomioon alueiden komitean lausunnon, noudattavat tavallista lainsäätämisjärjestystä, sekä katsovat seuraavaa: (1)Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/1148 tavoitteena oli kehittää kyberturvallisuusvalmiuksia kaikkialla unionissa, lieventää keskeisten palvelujen tarjoamiseen keskeisillä aloilla käytettäviin verkko- ja tietojärjestelmiin kohdistuvia uhkia ja varmistaa tällaisten palvelujen jatkuvuus kyberturvapoikkeamatilanteissa, ja tukea näin unionin talouden ja yhteiskunnan tehokasta toimintaa. (2)Direktiivin (EU) 2016/1148 voimaantulon jälkeen on edistytty merkittävästi kyberturvavalmiuksien parantamisessa unionissa. Kyseisen direktiivin uudelleentarkastelu on osoittanut, että se on vauhdittanut institutionaalista ja sääntelyyn perustuvaa lähestymistapaa kyberturvallisuuteen unionissa ja tasoittanut tietä merkittävälle ajattelutavan muutokselle. Direktiivillä on varmistettu kansallisten kehysten luominen määrittelemällä kansalliset kyberturvallisuusstrategiat, luomalla kansallisia valmiuksia ja toteuttamalla sääntelytoimenpiteitä, jotka kattavat kunkin jäsenvaltion yksilöimät keskeiset infrastruktuurit ja toimijat. Se on myös edistänyt yhteistyötä unionin tasolla, kun on perustettu erityinen yhteistyöryhmä ja tietoturvaloukkauksiin reagoivien kansallisten yksiköiden verkosto, jäljempänä ’CSIRT-verkosto’. Näistä saavutuksista huolimatta direktiivin (EU) 2016/1148 uudelleentarkastelussa on tullut esiin sisälähtöisiä puutteita, joiden vuoksi direktiivillä ei kyetä tuloksellisesti puuttumaan nykyisiin ja esiin nousemassa oleviin kyberturvallisuushaasteisiin. (3)Verkko- ja tietojärjestelmät ovat kehittyneet arjen keskeiseksi osaksi yhteiskuntien nopean digitalisaation ja verkottumisen myötä, myös rajat ylittävässä yhteydenpidossa. Tämä kehitys on laajentanut kyberturvauhkia ja tuonut mukanaan uusia haasteita, jotka edellyttävät mukautettuja, koordinoituja ja innovatiivisia vastatoimia kaikissa jäsenvaltioissa. Kyberturvapoikkeamien määrä, laajuus, kehittyneisyys, esiintymistiheys ja vaikutukset lisääntyvät, ja ne muodostavat merkittävän uhan verkko- ja tietojärjestelmien toiminnalle. Tämän seurauksena kyberturvapoikkeamat voivat haitata taloudellisen toiminnan harjoittamista sisämarkkinoilla, aiheuttaa taloudellisia tappioita, heikentää käyttäjien luottamusta ja aiheuttaa huomattavaa vahinkoa unionin taloudelle ja yhteiskunnalle. Kyberturvavalmiudet ja kyberturvan toimivuus ovat siksi nyt tärkeämpiä kuin koskaan sisämarkkinoiden moitteettoman toiminnan kannalta. (4)Direktiivin 1148/2016/EU oikeusperusta oli Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 114 artikla, jonka tavoitteena on sisämarkkinoiden toteuttaminen ja toiminta tehostamalla toimenpiteitä kansallisten sääntöjen lähentämiseksi. Palveluja tai taloudellisesti merkityksellisiä toimintoja tarjoaville toimijoille asetetut kyberturvallisuusvaatimukset vaihtelevat huomattavasti jäsenvaltioittain vaatimusten tyypin, yksityiskohtaisuuden ja valvontamenetelmän osalta. Nämä erot aiheuttavat lisäkustannuksia ja vaikeuksia yrityksille, jotka tarjoavat tavaroita tai palveluja rajojen yli. Yhden jäsenvaltion asettamat vaatimukset, jotka ovat erilaisia tai jopa ristiriidassa toisen jäsenvaltion asettamien vaatimusten suhteen, voivat vaikuttaa merkittävästi rajat ylittävään toimintaan. Lisäksi kyberturvastandardien puutteellisella toteutuksella yhdessä jäsenvaltiossa on todennäköisesti vaikutuksia muiden jäsenvaltioiden kyberturvatasoon, erityisesti kun otetaan huomioon rajojen yli tapahtuvan toiminnan määrä. Direktiivin (EU) 2016/1148 uudelleentarkastelu on osoittanut, että jäsenvaltiot ovat panneet sen täytäntöön hyvin eri tavoin, myös sen soveltamisalan osalta, jonka rajaaminen on suurelta osin jätetty jäsenvaltioiden harkintavaltaan. Direktiivissä (EU) 2016/1148 säädetään myös, että jäsenvaltioilla on hyvin laaja harkintavalta siinä säädettyjen turvallisuutta ja vaaratilanteista ilmoittamista koskevien velvoitteiden täytäntöönpanossa. Nämä velvoitteet on näin ollen pantu täytäntöön huomattavasti eri tavoin kansallisella tasolla. Samankaltaisia eroja esiintyi valvontaa ja täytäntöönpanoa koskevien direktiivin säännösten osalta. (5)Kaikki nämä erot aiheuttavat sisämarkkinoiden pirstoutumista ja voivat haitata niiden toimintaa, mikä vaikuttaa erityisesti rajat ylittävään palveluntarjontaan ja kyberturvatasoon, kun käytössä on toisistaan poikkeavia standardeja. Tällä direktiivillä pyritään poistamaan näitä suuria eroja jäsenvaltioiden välillä erityisesti vahvistamalla vähimmäissäännöt koordinoidun sääntelykehyksen toiminnalle, vahvistamalla mekanismit kunkin jäsenvaltion vastuuviranomaisten toimivaa yhteistyötä varten, päivittämällä luettelo aloista ja toiminnoista, joihin sovelletaan kyberturvavelvoitteita, ja säätämällä tehokkaista oikeussuojakeinoista ja seuraamuksista, jotka ovat olennaisen tärkeitä velvoitteiden tehokkaan täytäntöönpanon kannalta. Sen vuoksi direktiivi (EU) 2016/1148 olisi kumottava ja korvattava tällä direktiivillä. (6)Tällä direktiivillä ei rajoiteta jäsenvaltioiden mahdollisuutta toteuttaa tarvittavat toimenpiteet keskeisten turvallisuusetujensa suojaamiseksi, yleisen järjestyksen ja turvallisuuden takaamiseksi sekä rikosten tutkinnan, selvittämisen ja syytteeseenpanon mahdollistamiseksi unionin oikeuden mukaisesti. SEUT-sopimuksen 346 artiklan mukaan mikään jäsenvaltio ei ole velvollinen antamaan tietoja, joiden ilmaiseminen olisi vastoin sen keskeisiä yleiseen turvallisuuteen liittyviä etuja. Tässä yhteydessä merkityksellisiä ovat turvallisuusluokiteltujen tietojen suojaamista koskevat kansalliset ja unionin säännöt, salassapitosopimukset ja epäviralliset salassapitosopimukset , kuten Traffic Light Protocol -käsittelyluokitus.

(7)Kun direktiivi (EU) 2016/1148 kumotaan, toimialoittainen soveltamisala olisi laajennettava koskemaan suurempaa osaa taloudesta johdanto-osan kappaleissa 4–6 esitettyjen huomioiden perusteella. Direktiivin (EU) 2016/1148 soveltamisalaa olisi sen vuoksi laajennettava kattavasti niihin aloihin ja palveluihin, jotka ovat olennaisen tärkeitä yhteiskunnan ja talouden avaintoimintojen kannalta sisämarkkinoilla. Säännöt eivät saisi poiketa toisistaan sen mukaan, ovatko toimijat keskeisten palvelujen tarjoajia vai digitaalisten palvelujen tarjoajia. Tämä erottelu on osoittautunut tarpeettomaksi, koska se ei kuvasta toimialojen tai palvelujen todellista merkitystä yhteiskunnalliselle ja taloudelliselle toiminnalle sisämarkkinoilla. (8)Direktiivin (EU) 2016/1148 mukaisesti jäsenvaltiot olivat vastuussa sen määrittämisestä, mitkä toimijat täyttävät kriteerit, joiden perusteella niitä voidaan pitää keskeisten palvelujen tarjoajina, jäljempänä ’tunnistamisprosessi’. Jotta voidaan poistaa jäsenvaltioiden väliset suuret erot tältä osin ja varmistaa kaikkien asianomaisten toimijoiden riskinhallintavaatimusten ja raportointivelvoitteiden oikeusvarmuus, olisi vahvistettava yhdenmukainen kriteeri, jolla määritetään tämän direktiivin soveltamisalaan kuuluvat toimijat. Tämän kriteerin olisi koostuttava kokokattosäännön soveltamisesta, jolloin kaikki komission suosituksessa 2003/361/EY määritellyt keskisuuret ja suuret yritykset, jotka toimivat tämän direktiivin kattamilla aloilla tai tarjoavat tämän direktiivin kattamia palveluja, kuuluvat sen soveltamisalaan. Jäsenvaltioita ei pitäisi vaatia laatimaan luetteloa toimijoista, jotka täyttävät tämän yleisesti sovellettavan kokoon liittyvän kriteerin. (9)Tämän direktiivin olisi kuitenkin katettava myös sellaiset pienet tai mikrotoimijat, jotka täyttävät tietyt kriteerit, jotka osoittavat niiden olevan avainasemassa jäsenvaltion taloudessa tai yhteiskunnassa tai tietyllä alalla tai tietyntyyppisissä palveluissa. Jäsenvaltioiden olisi vastattava tällaisten toimijoiden luettelon laatimisesta ja toimitettava se komissiolle. (10)Komissio voi yhteistyössä yhteistyöryhmän kanssa antaa ohjeita mikro- ja pienyrityksiin sovellettavien kriteerien käytöstä. (11)Tämän direktiivin soveltamisalaan kuuluvat toimijat olisi luokiteltava kahteen luokkaan sen mukaan, millä alalla ne toimivat tai millaisia palveluja ne tarjoavat: keskeisiin ja tärkeisiin. Luokittelussa olisi otettava huomioon alan tai palvelutyypin kriittisyys sekä muiden alojen tai palvelutyyppien riippuvuus siitä. Sekä keskeisiin että tärkeisiin toimijoihin olisi sovellettava samoja riskinhallintavaatimuksia ja raportointivelvoitteita. Näiden kahden toimijaluokan valvonta- ja seuraamusjärjestelmät olisi eriytettävä, jotta voidaan varmistaa oikeudenmukainen tasapaino toisaalta vaatimusten ja velvoitteiden ja toisaalta sääntöjen noudattamisen valvonnasta aiheutuvan hallinnollisen rasituksen välillä. (12)Alakohtaisella lainsäädännöllä ja alakohtaisilla toimilla voidaan osaltaan varmistaa korkea kyberturvataso samalla kun otetaan kaikilta osin huomioon eri alojen erityispiirteet ja riippuvuussuhteet. Jos alakohtaisessa unionin säädöksessä edellytetään, että keskeiset tai tärkeät toimijat ottavat käyttöön kyberturvariskien hallintatoimenpiteitä tai ilmoittavat poikkeamista tai merkittävistä kyberuhista, ja tällä on vähintään vastaava vaikutus kuin tässä direktiivissä säädetyillä velvoitteilla, olisi sovellettava kyseisiä alakohtaisia säännöksiä, mukaan lukien valvontaa ja täytäntöönpanoa koskevat säännökset. Komissio voi laatia erityissäädösten (lex specialis) täytäntöönpanoa koskevia ohjeita. Tämä direktiivi ei estä hyväksymästä lisää alakohtaisia unionin säädöksiä, jotka koskevat kyberturvariskien hallintatoimenpiteitä ja poikkeamailmoituksia. Tämä direktiivi ei vaikuta nykyiseen täytäntöönpanovaltaan, joka on siirretty komissiolle useilla aloilla, mukaan lukien liikenne ja energia. (13)Euroopan parlamentin ja neuvoston asetusta XXXX/XXXX olisi pidettävä tähän direktiiviin liittyvänä alakohtaisena unionin säädöksenä finanssialan toimijoiden osalta. Asetuksen XXXX/XXXX säännöksiä, jotka liittyvät tieto- ja viestintätekniikan riskinhallintatoimenpiteisiin, tieto- ja viestintätekniikkaan liittyvien poikkeamien hallintaan ja erityisesti poikkeamista raportointiin sekä digitaalisen toiminnallisen häiriönsietokyvyn testaukseen, tiedonjakojärjestelyihin ja kolmannen osapuolen tieto- ja viestintätekniikan riskeihin, olisi sovellettava asiaan liittyvien tämän direktiivin säännösten asemesta. Sen vuoksi jäsenvaltioiden ei pitäisi soveltaa tämän direktiivin säännöksiä, jotka koskevat kyberturvariskien hallintaa ja raportointivelvoitteita, tietojen jakamista sekä valvontaa ja täytäntöönpanoa, asetuksen XXXX/XXXX soveltamisalaan kuuluviin finanssialan toimijoihin. Samalla on tärkeää säilyttää tämän direktiivin mukainen vahva yhteys ja tiedonvaihto finanssialan kanssa. Tätä varten asetuksessa XXXX/XXXX annetaan kaikille finanssivalvojille, finanssialan osalta Euroopan valvontaviranomaisille ja asetuksen XXXX/XXXX mukaisille kansallisille toimivaltaisille viranomaisille mahdollisuus osallistua yhteistyöryhmän strategisiin periaatekeskusteluihin ja tekniseen toimintaan sekä vaihtaa tietoja ja tehdä yhteistyötä tämän direktiivin nojalla nimettyjen keskitettyjen asiointipisteiden ja kansallisten CSIRT-yksiköiden kanssa. Asetuksen XXXX/XXXX mukaisten toimivaltaisten viranomaisten olisi toimitettava tiedot merkittävistä tieto- ja viestintätekniikkaan liittyvistä poikkeamista myös tämän direktiivin mukaisesti nimetyille yhteyspisteille. Lisäksi jäsenvaltioiden olisi edelleen sisällytettävä rahoitusala kyberturvallisuusstrategioihinsa, ja kansalliset CSIRT-yksiköt voivat kattaa finanssisektorin toiminnassaan. (14)Kyberturvallisuuden ja toimijoiden fyysisen turvallisuuden välisten yhteyksien vuoksi olisi varmistettava johdonmukainen lähestymistapa Euroopan parlamentin ja neuvoston direktiivin (EU) XXX/XXX ja tämän direktiivin välillä. Tämän saavuttamiseksi jäsenvaltioiden olisi varmistettava, että direktiivin (EU) XXX/XXX mukaisia kriittisiä toimijoita ja vastaavia toimijoita pidetään tämän direktiivin mukaisina keskeisinä toimijoina. Jäsenvaltioiden olisi myös varmistettava, että niiden kyberturvallisuusstrategiat sisältävät puitteet tämän direktiivin ja direktiivin (EU) XXX/XXX mukaisen toimivaltaisen viranomaisen välisen koordinoinnin tehostamiselle poikkeamia ja kyberuhkia koskevan tietojenvaihdon ja valvontatehtävien hoitamisen yhteydessä. Molempien direktiivien nojalla nimettyjen viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja erityisesti kriittisten toimijoiden, kyberuhkien, kyberturvariskien ja kriittisiin toimijoihin vaikuttavien poikkeamien tunnistamisen sekä kriittisten toimijoiden kyberturvatoimenpiteiden suhteen. Direktiivin (EU) XXX/XXX mukaisten toimivaltaisten viranomaisten pyynnöstä tämän direktiivin mukaisten toimivaltaisten viranomaisten olisi voitava käyttää valvonta- ja täytäntöönpanovaltuuksiaan kriittiseksi määritellyn keskeisen toimijan osalta. Molempien viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja tätä tarkoitusta varten. (15)Luotettavan, häiriönsietokykyisen ja turvallisen verkkotunnusjärjestelmän (DNS) ylläpitäminen ja säilyttäminen on keskeinen tekijä internetin eheyden kannalta, ja olennaisen tärkeää internetin jatkuvan ja vakaan toiminnan kannalta, mistä koko digitaalitalous ja -yhteiskunta ovat riippuvaisia. Sen vuoksi tätä direktiiviä olisi sovellettava kaikkiin DNS-palvelujen tarjoajiin DNS-selvitysketjussa, mukaan lukien juuripalvelinten ylläpitäjät, ylätason tunnusten nimipalvelimet (TLD), verkkotunnuksia vastaavia IP-osoitteita selvittävät auktoritatiiviset nimipalvelimet ja osoitteita ensin sisäisesti selvittävät rekursiiviset nimipalvelimet. (16)Pilvipalvelujen olisi katettava palvelut, jotka mahdollistavat skaalattavien ja joustavien tietoteknisten resurssien jaettavan ja hajautetun reservin laajan tarveperusteisen etäkäytön. Näihin tietoteknisiin resursseihin kuuluu esimerkiksi verkkoja, palvelimia ja muuta infrastruktuuria, käyttöjärjestelmiä, ohjelmistoja, tallennustilaa, sovelluksia ja palveluja. Pilvipalvelujen toimintamalleina olisi otettava huomioon yksityiset, yhteisövetoiset, julkiset ja hybridipilvipalvelut. Edellä mainituilla palvelu- ja toimintamalleilla tarkoitetaan samaa kuin standardissa ISO/IEC 17788:2014 määritellyillä palvelu- ja toimintamalleilla. Pilvipalvelun käyttäjän kykyä käyttää yksipuolisesti ja oma-aloitteisesti tietojenkäsittelyvalmiuksia, kuten palvelinaikaa tai verkkotallennustilaa ilman pilvipalveluntarjoajan inhimillistä panosta voitaisiin kuvata ’tarvepohjaiseksi ohjaukseksi’. ’Laajalla etäkäytöllä’ tarkoitetaan sitä, että pilvipalveluresursseja tarjotaan verkossa ja niitä voidaan käyttää menetelmillä, jotka sallivat erilaisten prosessointivalmiuksiltaan kevyiden tai raskaiden päätelaitteiden käytön (esim. älypuhelimet, tablettitietokoneet, kannettavat tietokoneet, työasemat). Termi ’skaalautuva’ viittaa tietoteknisiin resursseihin, joita pilvipalvelujen tarjoaja jakaa muuntuvasti resurssien maantieteellisestä sijainnista riippumatta kysynnän vaihtelun mukaan. ’Joustavuudella’ viitataan tietoteknisiin resursseihin joita vapautetaan käyttöön ja tarjotaan kysynnän mukaan niin, että resursseja voidaan nopeasti kasvattaa ja vähentää kuormituksen mukaisesti. ’Jaettavalla’ viitataan tietoteknisiin resursseihin, joita tarjotaan yhteisen pääsyn resursseihin jakavalle käyttäjäkunnalle niin, että prosessointi tapahtuu käyttäjäkohtaisesti vaikka palvelua tarjotaan saman laitteiston kautta. Termiä ’hajautettu’ käytetään kuvaamaan tietoteknisiä resursseja, jotka sijaitsevat erillisissä verkotetuissa tietokoneissa tai laitteissa ja jotka viestivät ja koordinoivat toimintaansa keskenään rakenteisella viestinvaihdolla. (17)Innovatiivisten teknologioiden ja uusien liiketoimintamallien myötä markkinoille odotetaan tulevan uusia pilvipalvelujen käyttö- ja palvelumalleja vastauksena asiakkaiden muuttuviin tarpeisiin. Pilvipalveluja voidaan tarjota hyvin hajautetussa muodossa ja entistä lähempänä paikkaa, jossa dataa tuotetaan tai kerätään, jolloin siirrytään perinteisestä mallista pitkälle hajautettuun malliin (ns. reunalaskentamalli). (18)Datakeskuspalveluja ei välttämättä aina tarjota pilvipalveluna. Näin ollen datakeskukset eivät välttämättä aina ole osa pilvipalveluinfrastruktuuria. Kaikkien verkko- ja tietojärjestelmien turvallisuuteen kohdistuvien riskien hallitsemiseksi tämän direktiivin olisi katettava myös sellaisten datakeskuspalvelujen tarjoajat, jotka eivät ole pilvipalveluja. Tässä direktiivissä ’datakeskuspalvelulla’ olisi tarkoitettava sellaisen palvelun tarjoamista, joka käsittää rakenteita tai rakenteiden ryhmiä, jotka on tarkoitettu datan tallennus-, käsittely- ja siirtopalveluja tarjoavien tietoteknisten ja verkkolaitteiden keskitettyyn ylläpitoon, yhteenliittämiseen ja ohjaukseen yhdessä kaikkien tarvittavien sähkönjakeluun ja toimintaolosuhteiden säätelyyn tarkoitettujen laitteiden ja infrastruktuurien kanssa. Termi ’datakeskuspalvelu’ ei kata tietyn toimijan itse omistamia ja omiin käyttötarkoituksiinsa käyttämiä sisäisiä datakeskuksia. (19)Euroopan parlamentin ja neuvoston direktiivissä 97/67/EY tarkoitettujen postipalvelujen tarjoajien sekä pikalähetys- ja kuriiripalvelujen tarjoajien olisi kuuluttava tämän direktiivin soveltamisalaan, jos ne tarjoavat vähintään yhden postiketjun vaiheista ja erityisesti osoitteenselvityksen, lajittelun tai jakelun, mukaan lukien noutopalvelut. Kuljetuspalvelut, jotka eivät koske jotain näistä vaiheista, olisi jätettävä postipalvelujen määritelmän ulkopuolelle. (20)Nämä kasvavat keskinäiset riippuvuussuhteet ovat tulosta yhä useammin rajat ylittävästä ja keskinäisriippuvaisesta palveluntarjontaverkostosta, jossa käytetään keskeisiä infrastruktuureja eri puolilla unionia energian, liikenteen, digitaalisen infrastruktuurin, juoma- ja jäteveden, terveyden, julkishallinnon tiettyjen näkökohtien alalla sekä avaruustoiminnassa siltä osin kuin on kyse tiettyjen sellaisten palvelujen tarjoamisesta, jotka riippuvat joko jäsenvaltioiden tai yksityisten osapuolten omistamasta, hallinnoimasta ja käyttämästä maassa sijaitsevasta infrastruktuurista, eli lukuun ottamatta infrastruktuureja, jotka ovat unionin omistamia, hallinnoimia tai sen puolesta hallinnoituja osana sen avaruusohjelmia. Nämä keskinäiset riippuvuussuhteet merkitsevät sitä, että kaikilla häiriöillä, vaikka ne alun perin rajoittuisivatkin yhteen toimijaan tai yhteen toimialaan, voi olla ketjureaktiovaikutuksia, jotka voivat johtaa kauaskantoisiin ja pitkäaikaisiin kielteisiin vaikutuksiin palvelujen tarjontaan sisämarkkinoilla. Covid-19-pandemia on osoittanut yhä voimakkaammin keskinäisriippuvaisten yhteiskuntiemme haavoittuvuuden kohdatessamme alhaisen todennäköisyyden riskejä. (21)Kansallisten hallintorakenteiden erojen vuoksi ja jo olemassa olevien alakohtaisten järjestelyjen tai unionin valvonta- ja sääntelyelinten turvaamiseksi jäsenvaltioiden olisi voitava nimetä useampi kuin yksi kansallinen toimivaltainen viranomainen, joka vastaa keskeisten ja tärkeiden toimijoiden verkko- ja tietojärjestelmien turvallisuuteen liittyvien tämän direktiivin mukaisten tehtävien suorittamisesta. Jäsenvaltioiden olisi voitava antaa tämä tehtävä jo olemassa olevalle viranomaiselle. (22)Viranomaisten välisen rajat ylittävän yhteistyön ja viestinnän helpottamiseksi ja tämän direktiivin tehokkaan täytäntöönpanon mahdollistamiseksi on tarpeen, että kukin jäsenvaltio nimeää kansallisen keskitetyn yhteyspisteen, joka vastaa verkko- ja tietojärjestelmien turvallisuuteen ja rajat ylittävään yhteistyöhön liittyvien kysymysten koordinoinnista unionin tasolla. (23)Toimivaltaisten viranomaisten tai CSIRT-yksiköiden olisi saatava ilmoitukset poikkeamista toimijoilta toimivalla ja tehokkaalla tavalla. Keskitetyille yhteyspisteille olisi annettava tehtäväksi toimittaa poikkeamailmoitukset edelleen muiden asianomaisten jäsenvaltioiden keskitettyihin yhteyspisteisiin. Jäsenvaltioiden viranomaisten tasolla sen varmistamiseksi, että jokaisessa jäsenvaltiossa on yksi keskitetty asiointipiste, yhteyspisteiden olisi myös oltava toimivaltaisten viranomaisten asetuksen XXXX/XXXX mukaisesti toimittamien, finanssialan yhteisöjä koskevia turvapoikkeamia koskevien asiaankuuluvien tietojen vastaanottajia, jotta ne voisivat tarvittaessa toimittaa nämä tiedot eteenpäin tämän direktiivin mukaisille asiaankuuluville kansallisille toimivaltaisille viranomaisille tai CSIRT-yksiköille. (24)Jäsenvaltioilla olisi oltava käytössään riittävät sekä tekniset että organisatoriset valmiudet, jotta voidaan ehkäistä ja havaita verkko- ja tietojärjestelmien poikkeamia ja riskejä, reagoida niihin ja lieventää niiden vaikutuksia. Jäsenvaltioiden olisi sen vuoksi varmistettava, että niillä on hyvin toimivat CSIRT-yksiköt, joita kutsutaan myös tietotekniikan CERT-kriisiryhmiksi ja jotka täyttävät keskeiset vaatimukset, jotta voidaan taata tehokkaat ja yhteensopivat valmiudet käsitellä poikkeamia ja riskejä ja varmistaa tehokas yhteistyö unionin tasolla. Toimijoiden ja CSIRT-yksiköiden välisen luottamussuhteen parantamiseksi tapauksissa, joissa CSIRT on osa toimivaltaista viranomaista, jäsenvaltioiden olisi harkittava CSIRT-yksiköiden operatiivisten tehtävien erottamista toiminnallisesti erityisesti tietojen jakamisen ja yhteisöille annettavan tuen osalta ja toimivaltaisten viranomaisten valvontatoimista. (25)Henkilötietojen osalta CSIRT-yksiköiden olisi voitava Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 mukaisesti tarjota tämän direktiivin nojalla tahon puolesta ja pyynnöstä ennakoiva skannaus verkko- ja tietojärjestelmistä, joita kyseinen taho käyttää palvelujensa tarjontaan. Jäsenvaltioiden olisi pyrittävä varmistamaan, että kaikilla toimialakohtaisilla CSIRT-yksiköillä on yhtäläiset tekniset valmiudet. Jäsenvaltiot voivat pyytää kansallisten CSIRT-yksiköiden kehittämisessä apua Euroopan unionin kyberturvallisuusvirastolta (ENISA). (26)Kun otetaan huomioon kyberturvallisuutta koskevan kansainvälisen yhteistyön tärkeys, CSIRT-yksiköiden olisi voitava osallistua kansainvälisiin yhteistyöverkostoihin tällä direktiivillä perustetun CSIRT-verkoston lisäksi.

(27)Koordinoidusta reagoinnista laajamittaisiin kyberturvallisuuspoikkeamiin ja -kriiseihin annetun komission suosituksen (EU) 2017/1548 liitteen mukaisesti laajamittaisella poikkeamalla olisi tarkoitettava poikkeamaa, jolla on merkittävä vaikutus vähintään kahteen jäsenvaltioon tai jonka aiheuttama häiriö ylittää yksittäisen jäsenvaltion valmiudet reagoida siihen. Laajamittaiset poikkeamat voivat niiden syistä ja vaikutuksista riippuen kärjistyä ja muuttua todellisiksi kriiseiksi, jotka estävät sisämarkkinoiden moitteettoman toiminnan. Kun otetaan huomioon tällaisten poikkeamien laaja vaikuttavuus ja useimmissa tapauksissa rajat ylittävä luonne, jäsenvaltioiden ja asiaankuuluvien unionin toimielinten, elinten ja virastojen olisi tehtävä yhteistyötä teknisellä, operatiivisella ja poliittisella tasolla, jotta reagointia voidaan koordinoida asianmukaisesti kaikkialla unionissa. (28)Koska verkko- ja tietojärjestelmien haavoittuvuuksien hyödyntäminen voi aiheuttaa merkittäviä häiriöitä ja haittoja, näiden haavoittuvuuksien nopea tunnistaminen ja korjaaminen on tärkeä tekijä kyberturvallisuusriskin vähentämisessä. Tällaisia järjestelmiä kehittävien tahojen olisi sen vuoksi otettava käyttöön asianmukaiset menettelyt haavoittuvuuksien käsittelemiseksi, kun niitä havaitaan. Koska haavoittuvuuksia havaitsevat ja ilmoittavat (julkistavat) usein kolmannet osapuolet (raportoivat tahot), tieto- ja viestintätekniikan tuotteiden tai palvelujen valmistajan tai tarjoajan olisi myös otettava käyttöön tarvittavat menettelyt haavoittuvuustietojen saamiseksi kolmansilta osapuolilta. Tältä osin kansainvälisissä standardeissa ISO/IEC 30111 ja ISO/IEC 29417 annetaan ohjeita haavoittuvuuksien käsittelystä ja haavoittuvuuksien havaitsemisesta. Haavoittuvuuksien julkistamisen osalta on erityisen tärkeää koordinoida toimia raportoivien tahojen ja tieto- ja viestintätekniikan tuotteiden tai palvelujen valmistajien tai tarjoajien välillä. Koordinoidussa haavoittuvuuksien ilmaisemisessa määritellään jäsennelty prosessi, jonka avulla haavoittuvuuksista ilmoitetaan organisaatiolle siten, että se voi diagnosoida haavoittuvuuden ja korjata sen ennen kuin yksityiskohtaiset haavoittuvuustiedot paljastetaan kolmansille osapuolille tai yleisölle. Koordinoituun haavoittuvuuksien ilmaisemiseen olisi kuuluttava myös raportoivan tahon ja organisaation välinen koordinointi korjaamisen ajoituksen ja haavoittuvuuksien julkistamisen osalta. (29)Jäsenvaltioiden olisi sen vuoksi toteutettava toimenpiteitä haavoittuvuuksien koordinoidun ilmaisemisen helpottamiseksi laatimalla asiaa koskevat kansalliset periaatteet. Tätä varten jäsenvaltioiden olisi nimettävä CSIRT-yksikkö toimimaan koordinaattorina, joka toimii tarvittaessa välittäjänä raportoivien tahojen ja tieto- ja viestintätekniikan tuotevalmistajien tai palveluntarjoajien välillä. CSIRT-koordinaattorin tehtäviin olisi kuuluttava erityisesti asianomaisten tahojen tunnistaminen ja kontaktointi, ilmoittavien tahojen tukeminen, tietojen ilmaisemisen aikataulusta neuvotteleminen ja useisiin organisaatioihin vaikuttavien haavoittuvuuksien hallinta (monenvälinen haavoittuvuuden ilmaiseminen). Jos haavoittuvuudet vaikuttavat useisiin tieto- ja viestintätekniikan laitevalmistajiin tai palveluntarjoajiin, jotka ovat sijoittautuneet useampaan kuin yhteen jäsenvaltioon, kustakin asianomaisesta jäsenvaltiosta nimettyjen CSIRT-yksiköiden olisi tehtävä yhteistyötä CSIRT-verkostossa. (30)Virheetön ja nopea tiedonsaanti tieto- ja viestintätekniikan tuotteisiin ja palveluihin vaikuttavista haavoittuvuuksista parantaa kyberturvallisuusriskien hallintaa. Tässä mielessä julkisesti saatavilla olevat haavoittuvuuksia koskevat tietolähteet ovat tärkeä apuväline organisaatioille ja niiden käyttäjille mutta myös kansallisille toimivaltaisille viranomaisille ja CSIRT-yksiköille. Tästä syystä ENISAn olisi perustettava haavoittuvuusrekisteri, jossa keskeisen ja tärkeät toimijat ja niiden alihankkijat sekä tahot, jotka eivät kuulu tämän direktiivin soveltamisalaan, voivat vapaaehtoisesti ilmoittaa haavoittuvuuksista ja antaa haavoittuvuustietoja, joiden avulla käyttäjät voivat toteuttaa asianmukaisia lieventäviä toimenpiteitä. (31)Vaikka vastaavia haavoittuvuusrekistereitä tai tietokantoja on olemassa, niitä isännöivät ja ylläpitävät tahot, jotka eivät ole sijoittautuneet unioniin. ENISAn ylläpitämä Euroopan haavoittuvuusrekisteri lisäisi julkistamisprosessin läpinäkyvyyttä ennen kuin haavoittuvuus virallisesti paljastetaan ja selviytymiskykyä tilanteissa, joissa samankaltaisten palvelujen tarjonta heikentyy tai keskeytyy. Päällekkäisyyksien välttämiseksi ja täydentävyyden saavuttamiseksi mahdollisimman pitkälle ENISAn olisi tutkittava mahdollisuutta tehdä järjestelmällisiä yhteistyösopimuksia kolmansien maiden lainkäyttöalueilla sijaitsevien vastaavien rekisterien kanssa. (32)Yhteistyöryhmän olisi laadittava joka toinen vuosi työohjelma, joka sisältää toimet, jotka ryhmän on määrä saada aikaan tavoitteidensa ja tehtäviensä toteuttamiseksi. Tämän direktiivin mukaisesti hyväksytyn ensimmäisen ohjelman aikataulu olisi mukautettava direktiivin (EU) 2016/1148 mukaisesti hyväksytyn viimeisen ohjelman aikatauluun, jotta vältetään mahdolliset häiriöt ryhmän työskentelyssä. (33)Laatiessaan ohjeasiakirjoja yhteistyöryhmän olisi säännönmukaisesti kartoitettava kansallisia ratkaisuja ja kokemuksia, arvioitava yhteistyöryhmän tulosten vaikutusta kansallisiin lähestymistapoihin, keskusteltava täytäntöönpanon haasteista ja laadittava erityisiä suosituksia olemassa olevien sääntöjen täytäntöönpanon parantamiseksi. (34)Yhteistyöryhmän olisi pysyttävä joustavana foorumina, ja sen olisi voitava reagoida muuttuviin ja uusiin poliittisiin painopisteisiin ja haasteisiin ottaen samalla huomioon käytettävissä olevat resurssit. Sen olisi järjestettävä säännöllisiä yhteisiä kokouksia asiaankuuluvien yksityisten sidosryhmien kanssa eri puolilta unionia keskustellakseen ryhmän toteuttamista toimista ja kerätäkseen näkemyksiä esiin nousevista politiikkaan vaikuttavista haasteista. Unionin tason yhteistyön tehostamiseksi ryhmän olisi harkittava kyberturvallisuuspolitiikkaan osallistuvien unionin elinten ja virastojen, kuten Euroopan verkkorikostorjuntakeskuksen (EC3), Euroopan unionin lentoturvallisuusviraston (EASA) ja Euroopan unionin avaruusohjelman (EUSPA), kutsumista osallistumaan sen työhön. (35)Toimivaltaisille viranomaisille ja CSIRT-yksiköille olisi annettava valtuudet osallistua muiden jäsenvaltioiden virkamiesten vaihtojärjestelmiin yhteistyön parantamiseksi. Toimivaltaisten viranomaisten olisi toteutettava tarvittavat toimenpiteet, jotta muiden jäsenvaltioiden virkamiehet voivat tuloksellisesti osallistua vastaanottavan toimivaltaisen viranomaisen toimintaan. (36)Unionin olisi tarvittaessa tehtävä Euroopan unionin toiminnasta tehdyn sopimuksen 218 artiklan mukaisesti kolmansien maiden tai kansainvälisten järjestöjen kanssa kansainvälisiä sopimuksia, joissa sallitaan ja järjestetään niiden osallistuminen joihinkin yhteistyöryhmän ja CSIRT-verkoston toimiin. Tällaisilla sopimuksilla olisi varmistettava riittävä tietosuoja. (37)Jäsenvaltioiden olisi osallistuttava suosituksessa (EU) 2017/1584 esitetyn EU:n kyberturvallisuuden kriisinhallintakehyksen perustamiseen olemassa olevien yhteistyöverkostojen, erityisesti kyberkriisien yhteysorganisaatioiden verkoston (EU-CyCLONe), CSIRT-verkoston ja yhteistyöryhmän kautta. EU-CyCLONen ja CSIRT-verkoston olisi tehtävä yhteistyötä sellaisten menettelyllisten järjestelyjen pohjalta, joissa määritellään kyseisen yhteistyön yksityiskohtaiset säännöt. EU-CyCLONen työjärjestyksessä olisi täsmennettävä tarkemmin verkoston toimintatavat, mukaan lukien muun muassa roolit, yhteistyömuodot, vuorovaikutus muiden asiaankuuluvien toimijoiden kanssa ja tiedonvaihdon mallit sekä tiedonvaihdon tekninen toteutustapa. Unionin tason kriisinhallinnassa asianomaisten osapuolten olisi tukeuduttava poliittisen kriisitoiminnan integroituihin järjestelyihin (IPCR). Komission olisi käytettävä tähän tarkoitukseen ARGUS-ohjelman korkean tason monialaista kriisinkoordinointiprosessia. Jos kriisiin liittyy merkittävä ulkoinen tai yhteisen turvallisuus- ja puolustuspolitiikan (YTPP) ulottuvuus, olisi aktivoitava Euroopan ulkosuhdehallinnon (EUH) kriisinhallintamekanismi (CRM). (38)Tässä direktiivissä termillä ’riski’ olisi viitattava kyberturvallisuuspoikkeaman aiheuttamaan mahdolliseen menetykseen tai häiriöön, ja se olisi ilmaistava tällaisen menetyksen tai häiriön suuruuden ja kyseisen poikkeaman toteutumisen todennäköisyyden yhdistelmänä. (39)Tässä direktiivissä termillä ’läheltä piti -tilanne’ olisi viitattava tapahtumaan, joka olisi voinut aiheuttaa vahinkoa, mutta jonka täysi toteutuminen kyettiin estämään. (40)Riskinhallintatoimenpiteisiin olisi sisällyttävä toimenpiteitä, joilla tunnistetaan poikkeamariskit, ehkäistään, havaitaan ja käsitellään niitä ja lievennetään niiden vaikutuksia. Verkko- ja tietojärjestelmien turvallisuuden olisi katettava tallennettavan, siirrettävän ja käsiteltävän datan turvallisuus. (41)Jotta keskeisille ja tärkeille toimijoille ei aiheutuisi kohtuutonta taloudellista ja hallinnollista rasitetta, kyberturvallisuusriskien hallintaa koskevien vaatimusten olisi oltava oikeassa suhteessa asianomaisen verkko- ja tietojärjestelmän aiheuttamaan riskiin, ottaen huomioon suojatoimenpiteiden viimeisin kehitys. (42)Keskeisten ja tärkeiden toimijoiden olisi varmistettava toiminnassaan käyttämiensä verkko- ja tietojärjestelmien turvallisuus. Nämä ovat pääasiassa yksityisiä verkko- ja tietojärjestelmiä, joita hallinnoi organisaation sisäinen tietotekniikkahenkilöstö tai joiden turvallisuudesta vastaa alihankkija. Tämän direktiivin mukaisia kyberturvallisuusriskien hallintaa ja raportointia koskevia vaatimuksia olisi sovellettava asiaankuuluviin keskeisiin ja tärkeisiin toimijoihin riippumatta siitä, hoitavatko ne verkko- ja tietojärjestelmiensä ylläpidon sisäisesti vai on se ulkoistettu. (43)Toimijan toimitusketjusta ja toimijan suhteesta alihankkijoihin johtuviin kyberturvallisuusriskeihin puuttuminen on erityisen tärkeää, kun otetaan huomioon sellaisten poikkeamien yleisyys, joissa toimijat ovat joutuneet kyberhyökkäysten uhreiksi ja joissa vihamieliset toimijat ovat voineet vaarantaa toimijan verkko- ja tietojärjestelmien turvallisuuden hyödyntämällä kolmansien osapuolten tuotteisiin ja palveluihin vaikuttavia haavoittuvuuksia. Toimijoiden olisi sen vuoksi arvioitava ja otettava huomioon käyttämiensä alihankkijoiden ja palveluntarjoajien tuotteiden ja kyberturvallisuuskäytäntöjen kokonaislaatu, mukaan lukien tuotekehityksen suojausmenettelyt. (44)Palveluntarjoajista erityisen tärkeällä sijalla ovat turvapoikkeamavalvontaa, tunkeutumisenestotestausta, turva-auditointeja ja konsultointia tarjoavat tietoturvapalveluntarjoajat (MSSP), joiden tehtävänä on avustaa toimijoita niiden pyrkiessä havaitsemaan turvapoikkeamat ja reagoimaan niihin. Nämä MSSP-yritykset ovat kuitenkin itsekin olleet kyberhyökkäysten kohteina, ja niiden tiivis integroituminen toimijoiden toimintarakenteisiin aiheuttaa erityisen kyberturvallisuusriskin. Toimijoiden olisi sen vuoksi noudatettava entistä suurempaa huolellisuutta MSSP-palveluntarjoajaa valitessaan. (45)Toimijoiden olisi puututtava myös sellaisiin kyberturvallisuusriskeihin, jotka johtuvat niiden vuorovaikutussuhteista ja muista kytköksistä sidosryhmiin laajemmassa ekosysteemissä. Toimijoiden olisi erityisesti varmistettava, että niiden yhteistyö akateemisten laitosten ja tutkimuslaitosten kanssa tapahtuu niiden kyberturvallisuusperiaatteiden mukaisesti ja että yhteistyössä noudatetaan hyviä käytäntöjä yleisesti tiedon suojatun saatavuuden ja levittämisen ja erityisesti teollis- ja tekijänoikeuksien suojan suhteen. Kun otetaan huomioon datan merkitys ja arvo toimijoille, niiden olisi vastaavasti toteutettava kaikki asianmukaiset kyberturvallisuustoimenpiteet tukeutuessaan kolmansilta osapuolilta hankittaviin tietojen muuntamis- ja analysointipalveluihin. (46)Jotta voidaan edelleen paremmin puuttua keskeisiin toimitusketjun riskeihin ja auttaa tämän direktiivin soveltamisalaan kuuluvien alojen toimijoita hallitsemaan asianmukaisesti toimitusketjuun ja alihankkijoihin liittyviä kyberturvallisuusriskejä, yhteistyöryhmän, johon osallistuvat asiaankuuluvat kansalliset viranomaiset, olisi yhteistyössä komission ja ENISAn kanssa toteutettava koordinoituja alakohtaisia toimitusketjun riskinarviointeja, kuten tehtiin jo 5G-verkkojen osalta 5G-verkkojen kyberturvallisuudesta annetun suosituksen (EU) 2019/534 mukaisesti , jotta voidaan määrittää alakohtaiset kriittiset tieto- ja viestintätekniikan palvelut, järjestelmät tai tuotteet sekä kyseeseen tulevat uhat ja haavoittuvuudet.

(47)Toimitusketjun riskinarvioinneissa olisi kyseisen alan erityispiirteiden mukaisesti otettava huomioon sekä tekniset että tarvittaessa muut tekijät, mukaan lukien suosituksessa (EU) 2019/534, 5G-verkkojen turvallisuutta koskevassa EU:n laajuisessa koordinoidussa riskinarvioinnissa ja yhteistyöryhmän hyväksymässä 5G-kyberturvallisuutta koskevassa EU:n välineistössä määritellyt yhteistyöryhmän hyväksymät tekijät. Koordinoitua riskinarviointia edellyttävien toimitusketjujen määrittämisessä olisi otettava huomioon seuraavat kriteerit: i) se, missä määrin keskeiset ja tärkeät toimijat käyttävät tiettyjä kriittisiä tieto- ja viestintätekniikan palveluja, järjestelmiä tai tuotteita ja tukeutuvat niihin; ii) tiettyjen kriittisten tieto- ja viestintätekniikan palvelujen, järjestelmien tai tuotteiden merkitys kriittisten tai arkaluonteisten toimintojen suorittamisessa, mukaan lukien henkilötietojen käsittely; iii) vaihtoehtoisten tieto- ja viestintäteknisten palvelujen, järjestelmien tai tuotteiden saatavuus; iv) tieto- ja viestintätekniikan palvelujen, järjestelmien tai tuotteiden koko toimitusketjun kyky sietää häiriötilanteita ja v) käyttöön tulevien uusien tieto- ja viestintätekniikan palvelujen, järjestelmien tai tuotteiden osalta niiden mahdollinen tuleva merkitys toimijoille. (48)Jotta voidaan virtaviivaistaa yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajille ja luottamuspalvelujen tarjoajille asetettuja oikeudellisia velvoitteita, jotka liittyvät niiden verkko- ja tietojärjestelmien turvallisuuteen, sekä antaa näille toimijoille ja niitä säänteleville toimivaltaisille viranomaisille mahdollisuus hyötyä tällä direktiivillä perustetusta oikeudellisesta kehyksestä (mukaan lukien riskien ja poikkeamien käsittelystä vastaavan CSIRT-yksikön nimeäminen sekä toimivaltaisten viranomaisten ja elinten osallistuminen yhteistyöryhmän ja CSIRT-verkoston työhön), ne olisi sisällytettävä tämän direktiivin soveltamisalaan. Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 910/2014 ja Euroopan parlamentin ja neuvoston direktiivissä (EU) 2018/1972 vahvistetut vastaavat säännökset, jotka koskevat tällaisten toimijoiden turvallisuus- ja ilmoitusvaatimuksia, olisi sen vuoksi kumottava. Raportointivelvoitteita koskevat säännöt eivät saisi rajoittaa asetuksen (EU) 2016/679 ja Euroopan parlamentin ja neuvoston direktiivin 2002/58/EY soveltamista. (49)Tähän direktiiviin perustuvasta valvonnasta ja täytäntöönpanosta vastaavien toimivaltaisten viranomaisten olisi tarkoituksenmukaisissa tapauksissa ja tarpeettomien katkosten välttämiseksi edelleen käytettävä olemassa olevaa kansallista ohjeistusta ja lainsäädäntöä, joka koskee direktiivin (EU) 2018/1972 40 artiklan 1 kohdassa säädettyjen turvatoimiin liittyvien sääntöjen ja kyseisen direktiivin 40 artiklan 2 kohdassa säädettyjen, poikkeaman merkittävyyteen liittyvien parametrien kansallista täytäntöönpanoa. (50)Kun otetaan huomioon numeroista riippumattomien henkilöviestintäpalvelujen kasvava merkitys, on tarpeen varmistaa, että myös tällaisiin palveluihin sovelletaan asianmukaisia turvallisuusvaatimuksia niiden erityisluonteen ja taloudellisen merkityksen mukaisesti. Myös tällaisten palvelujen tarjoajien olisi näin ollen varmistettava, että verkko- ja tietojärjestelmien turvallisuustaso on oikeassa suhteessa aiheutuvaan riskiin. Koska numeroista riippumattomien henkilöiden välisten viestintäpalvelujen tarjoajat eivät yleensä tosiasiallisesti valvo signaalien siirtoa verkoissa, tällaisten palvelujen osalta riskiä voidaan joiltakin osin pitää perinteisiä sähköisiä viestintäpalveluja alhaisempana. Sama koskee sellaisia henkilöviestintäpalveluja, joissa käytetään yhteysnumeroita, mutta joissa palveluntarjoaja ei tosiasiallisesti valvo signaalinsiirtoa. (51)Sisämarkkinat ovat entistä riippuvaisempia internetin toiminnasta. Käytännöllisesti katsoen kaikkien keskeisten ja tärkeiden toimijoiden palvelut ovat riippuvaisia internetin kautta tarjottavista palveluista. Keskeisten ja tärkeiden palvelujen sujuvan tarjonnan varmistamiseksi on tärkeää, että yleisten sähköisten viestintäverkkojen osien, kuten internetin runkoverkon tai merenalaisten tietoliikennekaapelien, suhteen on käytössä asianmukaiset kyberturvatoimet ja että niihin liittyvistä turvapoikkeamista raportoidaan. (52)Toimijoiden olisi tarvittaessa tiedotettava palvelujensa käyttäjille yksittäisistä ja merkittävistä uhkista sekä toimenpiteistä, joita käyttäjät voivat toteuttaa pienentääkseen niistä itselleen aiheutuvaa riskiä. Vaatimus ilmoittaa palvelun käyttäjille uhkista ei saisi vapauttaa toimijoita velvollisuudesta toteuttaa omalla kustannuksellaan asianmukaisia ja välittömiä toimenpiteitä uhkien ehkäisemiseksi tai korjaamiseksi ja palvelun normaalin turvallisuustason palauttamiseksi. Turvallisuusuhkia koskevien tietojen toimittamisen käyttäjille olisi oltava käyttäjille maksutonta. (53)Yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajien olisi tiedotettava palvelujensa käyttäjille yksittäisistä merkittävistä kyberuhkista sekä toimenpiteistä, joita käyttäjät voivat toteuttaa viestintänsä turvallisuuden suojelemiseksi esimerkiksi käyttämällä tietyntyyppisiä ohjelmistoja tai salaustekniikoita. (54)Sähköisten viestintäverkkojen ja -palvelujen turvallisuuden takaamiseksi olisi edistettävä salauksen ja erityisesti yhteyden päästä päähän ulottuvan läpisalauksen käyttöä, ja sen olisi tarvittaessa oltava pakollista tällaisten palvelujen ja verkkojen tarjoajille oletusarvoisen ja sisäänrakennetun turvallisuuden ja yksityisyydensuojan periaatteiden mukaisesti 18 artiklaa sovellettaessa. Läpisalauksen käytön olisi kuvastettava jäsenvaltioiden toimivaltaa varmistaa niiden keskeisten turvallisuusintressien ja yleisen turvallisuuden suojelu ja mahdollistaa rikosten tutkinta, selvittäminen ja syytteeseenpano unionin oikeuden mukaisesti. Ratkaisujen, joilla mahdollistetaan laillinen pääsy tietoihin läpisalatussa viestinnässä, olisi säilytettävä salauksen kyky suojata viestinnän yksityisyyttä ja tietoturvaa samalla kun rikollisuuteen voidaan puuttua tuloksellisesti. (55)Tässä direktiivissä säädetään poikkeamien ilmoittamista koskevasta kaksivaiheisesta lähestymistavasta, jotta löydetään oikea tasapaino toisaalta nopean raportoinnin, joka auttaa lieventämään poikkeamien mahdollista leviämistä ja antaa toimijoille mahdollisuuden hakea tukea, ja toisaalta sellaisen syvällisemmän raportoinnin välillä, jossa otetaan tärkeää oppia yksittäisistä poikkeamista ja parannetaan ajan mittaan yksittäisten yritysten ja kokonaisten toimialojen kykyä sietää kyberuhkia. Kun toimija saa tietoonsa poikkeaman, sitä olisi vaadittava toimittamaan ensimmäinen ilmoitus 24 tunnin kuluessa ja sen jälkeen loppuraportti viimeistään kuukauden kuluttua. Ensimmäisen ilmoituksen olisi sisällettävä ainoastaan ne tiedot, jotka ovat ehdottoman välttämättömiä, jotta toimivaltaiset viranomaiset tulevat tietoisiksi poikkeamasta ja kyseinen toimija voi tarvittaessa pyytää apua. Ensimmäisessä ilmoituksessa olisi soveltuvin osin ilmoitettava, johtuuko tapahtuma oletettavasti laittomasta tai vihamielisestä toiminnasta. Jäsenvaltioiden olisi varmistettava, että vaatimus tämän ensimmäisen ilmoituksen toimittamisesta ei vie raportoivan toimijan resursseja pois poikkeamien käsittelyyn liittyvistä toimista, jotka olisi asetettava etusijalle. Jotta voidaan edelleen estää se, että poikkeamista ilmoittamista koskevat velvoitteet joko ohjaavat resursseja pois poikkeamiin reagoimisesta tai voivat muulla tavoin vaarantaa toimijan tähän liittyvät toimet, jäsenvaltioiden olisi myös säädettävä, että asianmukaisesti perustelluissa tapauksissa ja yhteisymmärryksessä toimivaltaisten viranomaisten tai CSIRT-yksikön kanssa kyseinen toimija voi poiketa 24 tunnin määräajasta ensimmäisen ilmoituksen osalta ja yhden kuukauden määräajasta loppuraportin osalta. (56)Keskeiset ja tärkeät toimijat ovat usein tilanteessa, jossa tietystä poikkeamasta on sen ominaisuuksien vuoksi ilmoitettava eri viranomaisille eri säädöksiin sisältyvien ilmoitusvelvoitteiden vuoksi. Tällaiset tapaukset aiheuttavat lisärasitteita ja voivat myös johtaa epävarmuuteen tällaisten ilmoitusten muodon ja menettelyjen suhteen. Tätä varten ja turvapoikkeamien raportoinnin yksinkertaistamiseksi jäsenvaltioiden olisi perustettava keskitetty asiointipiste kaikille tässä direktiivissä ja myös muussa unionin lainsäädännössä, kuten asetuksessa (EU) 2016/679 ja direktiivissä 2002/58/EY, edellytetyille ilmoituksille. ENISAn olisi yhteistyössä yhteistyöryhmän kanssa kehitettävä yhteiset ilmoitusmallit ohjeilla, joilla yksinkertaistettaisiin ja virtaviivaistettaisiin unionin lainsäädännössä edellytettyjä raportointitietoja ja vähennettäisiin yrityksille aiheutuvaa rasitetta. (57)Jos epäillään, että poikkeama liittyy unionin tai kansallisen lainsäädännön nojalla vakavaan rikolliseen toimintaan, jäsenvaltioiden olisi kannustettava keskeisiä ja tärkeitä toimijoita raportoimaan epäillyistä vakavista rikosoikeudellisista poikkeamista asiaankuuluville lainvalvontaviranomaisille sovellettavien rikosoikeudellisia menettelyjä koskevien sääntöjen perusteella ja unionin lainsäädännön mukaisesti. Tarvittaessa ja rajoittamatta Europoliin sovellettavien henkilötietojen suojaa koskevien sääntöjen soveltamista on suotavaa, että eri jäsenvaltioiden toimivaltaisten viranomaisten ja lainvalvontaviranomaisten välinen koordinointi tapahtuu Euroopan verkkorikostorjuntakeskuksen (EC3) ja ENISAn myötävaikutuksella. (58)Turvapoikkeamat vaarantavat monissa tapauksissa henkilötietojen suojan. Tässä yhteydessä toimivaltaisten viranomaisten olisi tehtävä yhteistyötä ja vaihdettava tietoja kaikista asiaankuuluvista asioista tietosuojaviranomaisten ja valvontaviranomaisten kanssa direktiivin 2002/58/EY mukaisesti. (59)Verkkotunnusten ja rekisteröintitietojen (ns. WHOIS-tiedot) tarkkojen ja kattavien tietokantojen ylläpitäminen ja laillisen pääsyn tarjoaminen tällaisiin tietoihin on olennaisen tärkeää, jotta voidaan varmistaa internetin DNS-nimipalvelinjärjestelmän turvallisuus, vakaus ja häiriönsietokyky, mikä puolestaan edistää yhteistä korkeatasoista kyberturvallisuutta unionissa. Jos käsittelyyn sisältyy henkilötietoja, käsittelyssä on noudatettava unionin tietosuojalainsäädäntöä. (60)Näiden tietojen saatavuus ja nopea pääsy niihin viranomaisille, kuten unionin tai kansallisen lainsäädännön mukaisesti toimivaltaisille viranomaisille rikosten ehkäisemistä, tutkimista tai syytteeseenpanoa varten, CERT-yksiköille, CSIRT-yksiköille ja asiakkaitaan koskevien tietojen osalta kyseisten asiakkaiden puolesta toimiville sähköisten viestintäverkkojen ja -palvelujen tarjoajille ja kyberturvallisuusteknologioiden ja -palvelujen tarjoajille on olennaisen tärkeää DNS-verkkotunnusjärjestelmän väärinkäytön ehkäisemiseksi ja torjumiseksi, erityisesti kyberturvallisuuspoikkeamien ehkäisemiseksi, havaitsemiseksi ja niihin reagoimiseksi. Tällaisen pääsyn olisi oltava unionin tietosuojalainsäädännön mukaista siltä osin kuin se liittyy henkilötietoihin. (61)Tarkkojen ja täydellisten verkkotunnusten rekisteröintitietojen saatavuuden varmistamiseksi aluetunnusrekisterien (TLD-rekisterien) ja niiden alaisten verkkotunnusten rekisteröintipalveluja tarjoavien toimijoiden (niin kutsuttujen rekisterinpitäjien) olisi kerättävä verkkotunnusten rekisteröintitiedot ja taattava niiden eheys ja saatavuus. TLD-rekisterien ja niiden alaisten verkkotunnusten rekisteröintipalveluja tarjoavien tahojen olisi erityisesti vahvistettava toimintatavat ja menettelyt, joilla kerätään ja ylläpidetään tarkkoja ja täydellisiä rekisteröintitietoja sekä ehkäistään ja korjataan virheellisiä rekisteröintitietoja unionin tietosuojasääntöjen mukaisesti. (62)TLD-rekisterien ja niiden alaisten verkkotunnusten rekisteröintipalveluja tarjoavien tahojen olisi asetettava julkisesti saataville verkkotunnusten rekisteröintitiedot, jotka eivät kuulu unionin tietosuojasääntöjen soveltamisalaan, kuten oikeushenkilöitä koskevat tiedot. TLD-rekisterien ja niiden alaisten verkkotunnusten rekisteröintipalveluja tarjoavien tahojen olisi myös unionin tietosuojalainsäädännön mukaisesti annettava perustelluissa tapauksissa tietoja pyytäville laillinen pääsy yksittäisiin luonnollisia henkilöitä koskeviin verkkotunnusten rekisteröintitietoihin. Jäsenvaltioiden olisi varmistettava, että TLD-rekisterit ja niiden alaisten verkkotunnusten rekisteröintipalveluja tarjoavat toimijat vastaavat ilman aiheetonta viivytystä perustelluissa tapauksissa esitettyihin pyyntöihin verkkotunnusten rekisteröintitietojen luovuttamisesta. TLD-rekisterien ja niiden alaisten verkkotunnusten rekisteröintipalveluja tarjoavien tahojen olisi vahvistettava periaatteet ja menettelyt rekisteröintitietojen julkaisemista ja luovuttamista varten, mukaan lukien palvelutasosopimukset laillisten tietopyyntöjen käsittelemiseksi. Tietojenluovutusmenettelyyn voi kuulua myös rajapinnan, portaalin tai muun teknisen menetelmän käyttö tehokkaan järjestelyn tarjoamiseksi rekisteröintitietojen pyytämistä ja niihin pääsyä varten. Yhdenmukaisten käytäntöjen edistämiseksi sisämarkkinoilla komissio voi antaa tällaisia menettelyjä koskevia ohjeita, sanotun kuitenkaan rajoittamatta Euroopan tietosuojaneuvoston toimivaltaa. (63)Kaikkien tämän direktiivin soveltamisalaan kuuluvien keskeisten ja tärkeiden toimijoiden olisi kuuluttava sen jäsenvaltion lainkäyttövaltaan, jossa ne tarjoavat palvelujaan. Jos toimija tarjoaa palveluja useammassa kuin yhdessä jäsenvaltiossa, sen olisi kuuluttava kunkin jäsenvaltion erillisen ja rinnakkaisen lainkäyttövallan piiriin. Näiden jäsenvaltioiden toimivaltaisten viranomaisten olisi tehtävä yhteistyötä, annettava toisilleen keskinäistä apua ja tarvittaessa toteutettava yhteisiä valvontatoimia. (64)Jotta voidaan ottaa huomioon internetin nimipalvelinjärjestelmän DNS-palveluntarjoajien, aluetunnusrekisterien (TLD-rekisterien), sisällönjakeluverkon tarjoajien, pilvipalvelujen tarjoajien, datakeskuspalvelujen tarjoajien ja digitaalisten palvelujen tarjoajien palvelujen ja toimintojen rajat ylittävä luonne, vain yhdellä jäsenvaltiolla olisi oltava lainkäyttövalta näihin toimijoihin nähden. Lainkäyttövalta olisi oltava sillä jäsenvaltiolla, jossa kyseisen toimijan päätoimipaikka sijaitsee unionissa. Tätä direktiiviä sovellettaessa sijoittautumiskriteerillä tarkoitetaan toiminnan tosiasiallista harjoittamista kiinteiden toimipaikkojen kautta. Sijoittautumisen oikeudellisella muodolla eli sillä, onko kyseessä sivuliike vai tytäryhtiö, jolla on oikeushenkilöys, ei ole tässä suhteessa ratkaisevaa merkitystä. Tämän kriteerin täyttyminen ei saisi riippua siitä, sijaitsevatko verkko- ja tietojärjestelmät fyysisesti kyseisessä paikassa; tällaisten järjestelmien sijainti ja käyttöpaikka eivät itsessään muodosta tällaista päätoimipaikkaa, eivätkä ne näin ollen ole ratkaisevia perusteita päätoimipaikan määrittämisessä. Päätoimipaikan olisi oltava paikka, jossa kyberturvallisuusriskien hallintatoimenpiteisiin liittyvät päätökset tehdään unionissa. Tämä vastaa tyypillisesti yritysten keskushallinnon paikkaa unionissa. Jos tällaisia päätöksiä ei tehdä unionissa, päätoimipaikan olisi katsottava sijaitsevan niissä jäsenvaltioissa, joissa toimijalla on eniten työntekijöitä unionissa. Jos palvelut suorittaa yritysryhmä, sen päätoimipaikaksi olisi katsottava määräysvaltaa käyttävän yrityksen päätoimipaikka. (65)Kun internetin nimipalvelinjärjestelmän DNS-palveluntarjoaja, aluetunnusrekisteri (TLD-rekisterien), sisällönjakeluverkon tarjoaja, pilvipalvelujen tarjoaja, datakeskuspalvelujen tarjoaja tai digitaalisten palvelujen tarjoaja, joka ei ole sijoittautunut unioniin, tarjoaa palveluja unionissa, sen olisi nimettävä edustaja. Jotta voidaan määrittää, tarjoaako tällainen toimija palveluja unionissa, olisi varmistettava, onko ilmeistä, että toimija aikoo tarjota palveluja henkilöille yhdessä tai useammassa jäsenvaltiossa. Pelkkä toimijan tai välittäjän verkkosivuston tai sähköpostiosoitteen ja muiden yhteystietojen saatavuus unionissa taikka se, että käytetään siinä kolmannessa maassa, johon toimija on sijoittautunut, yleisesti käytettävää kieltä, ei sellaisenaan riitä tällaisen aikomuksen varmistamiseksi. Sellaiset seikat, kuten yhdessä tai useammassa jäsenvaltiossa yleisesti käytettävän kielen tai rahayksikön käyttö ja mahdollisuus tilata palveluja kyseisellä muulla kielellä tai maininta unionissa olevista asiakkaista tai käyttäjistä, voivat kuitenkin osoittaa olevan ilmeistä, että toimija aikoo tarjota palveluja unionissa. Edustajan olisi toimittava toimijan puolesta, ja toimivaltaisten viranomaisten tai CSIRT-yksiköiden olisi voitava ottaa yhteyttä edustajaan. Edustaja olisi nimenomaisesti nimettävä toimijan antamalla kirjallisella valtuutuksella hoitamaan tämän puolesta tämän direktiivin mukaiset velvollisuudet, mukaan lukien poikkeamista raportointi. (66)Jos kansallisen tai unionin lainsäädännön mukaisesti turvallisuusluokiteltuina pidettyjä tietoja vaihdetaan, ilmoitetaan tai muutoin jaetaan tämän direktiivin säännösten mukaisesti, olisi sovellettava turvallisuusluokiteltujen tietojen käsittelyä koskevia vastaavia erityissääntöjä.

(67)Koska kyberuhat muuttuvat monimutkaisemmiksi ja kehittyneemmiksi, hyvät havaitsemis- ja ennaltaehkäisytoimenpiteet edellyttävät suurelta osin uhkiin ja haavoittuvuuteen liittyvän tiedon säännöllistä jakamista toimijoiden välillä. Tietojenvaihto lisää tietoisuutta kyberuhkista, mikä puolestaan parantaa toimijoiden valmiuksia estää uhkia kehittymästä todellisiksi poikkeamiksi ja auttaa niitä hallitsemaan paremmin poikkeamien vaikutuksia ja palautumaan niistä tehokkaammin. Koska unionin tasolla ei ole annettu ohjeita, vaikuttaa siltä, että useat tekijät, erityisesti epävarmuus yhteensopivuudesta kilpailu- ja vastuusääntöjen kanssa, ovat estäneet tällaisen tietojen jakamisen. (68)Toimijoita olisi kannustettava hyödyntämään kollektiivisesti omaa tietämystään ja käytännön kokemustaan strategisella, taktisella ja operatiivisella tasolla, jotta voidaan parantaa niiden valmiuksia arvioida ja seurata kyberuhkia, puolustautua niitä vastaan ja reagoida niihin. Sen vuoksi on tarpeen mahdollistaa vapaaehtoisten tietojenvaihtojärjestelyjen synty unionin tasolla. Tätä varten jäsenvaltioiden olisi aktiivisesti tuettava ja kannustettava myös sellaisia asiaankuuluvia toimijoita, jotka eivät kuulu tämän direktiivin soveltamisalaan, osallistumaan tällaisiin tietojenvaihtojärjestelyihin. Järjestelyt olisi toteutettava noudattaen kaikilta osin unionin kilpailusääntöjä ja unionin tietosuojalainsäädännön sääntöjä. (69)Siinä määrin kuin on ehdottoman välttämätöntä ja oikeasuhteista verkko- ja tietoturvan varmistamiseksi, toimijoiden, viranomaisten, CERT-ryhmien, CSIRT-yksiköiden sekä turvallisuusteknologioiden ja -palvelujen tarjoajien suorittaman henkilötietojen käsittelyn olisi katsottava muodostavan asianomaisen rekisterinpitäjän osalta asetuksessa (EU) 2016/679 tarkoitetun oikeutetun intressin. Tämän olisi katettava toimenpiteet, jotka liittyvät poikkeamien ehkäisemiseen, havaitsemiseen, analysointiin ja niihin reagoimiseen, toimenpiteet yksittäisistä kyberuhkista tiedottamiseksi, tietojenvaihto haavoittuvuuden korjaamisen ja koordinoidun paljastamisen yhteydessä sekä näitä poikkeamia koskeva vapaaehtoinen tietojenvaihto sekä toimenpiteet, jotka liittyvät kyberuhkiin ja haavoittuvuuksiin, riskien ilmenemisen indikaattoreihin, taktiikkaan, tekniikoihin ja menettelyihin, kyberturvallisuushälytyksiin ja konfigurointivälineisiin. Tällaiset toimenpiteet voivat edellyttää seuraavan tyyppisten henkilötietojen käsittelyä: IP-osoitteet, URL-osoitteet, verkkotunnukset ja sähköpostiosoitteet. (70)Jotta voidaan vahvistaa valvontavaltuuksia ja -toimia, jotka auttavat varmistamaan sääntöjen tosiasiallisen noudattamisen, tässä direktiivissä olisi vahvistettava vähimmäisluettelo valvontatoimista ja -keinoista, joiden avulla toimivaltaiset viranomaiset voivat valvoa keskeisiä ja tärkeitä toimijoita. Lisäksi tässä direktiivissä olisi säädettävä valvontajärjestelmän eriyttämisestä keskeisten ja tärkeiden toimijoiden välillä, jotta voidaan varmistaa sekä toimijoiden että toimivaltaisten viranomaisten velvoitteiden oikeudenmukainen tasapaino. Näin ollen keskeisiin toimijoihin olisi sovellettava täysimittaista valvontajärjestelmää (etukäteisvalvonta ja jälkikäteisvalvonta), kun taas tärkeisiin toimijoihin olisi sovellettava kevyttä valvontajärjestelmää eli vain jälkikäteisvalvontaa. Viimeksi mainittujen osalta tämä tarkoittaa sitä, että tärkeiden toimijoiden ei pitäisi dokumentoida järjestelmällisesti kyberturvallisuusriskien hallintaa koskevien vaatimusten noudattamista, ja toimivaltaisten viranomaisten olisi harjoitettava reaktiivista jälkikäteisvalvontaa eikä niillä näin ollen olisi yleistä velvoitetta valvoa kyseisiä toimijoita. (71)Jotta valvonta olisi tuloksellista, olisi vahvistettava vähimmäisluettelo hallinnollisista seuraamuksista, joita määrätään tässä direktiivissä säädettyjen kyberturvallisuusriskien hallintaa ja raportointia koskevien velvoitteiden laiminlyömisestä, ja vahvistettava selkeä ja johdonmukainen kehys tällaisille seuraamuksille koko unionissa. Olisi otettava asianmukaisesti huomioon rikkomisen luonne, vakavuus ja kesto, aiheutetut todelliset vahingot tai menetykset tai mahdolliset vahingot tai menetykset, jotka olisi voitu aiheuttaa, rikkomisen tahallisuus tai tuottamuksellisuus, vahingon ja/tai menetysten ehkäisemiseksi tai lieventämiseksi toteutetut toimet, vastuun aste tai asiaan liittyvät aiemmat laiminlyönnit, toimivaltaisen viranomaisen kanssa tehdyn yhteistyön aste ja mahdolliset muut raskauttavat tai lieventävät tekijät. Seuraamusten, myös hallinnollisten sakkojen, määräämiseen olisi sovellettava asianmukaisia menettelyllisiä suojatoimenpiteitä unionin oikeuden ja Euroopan unionin perusoikeuskirjan yleisten periaatteiden mukaisesti, mukaan lukien tosiasiallinen oikeussuoja ja asianmukainen käsittelyprosessi. (72)Tässä direktiivissä säädettyjen velvoitteiden tuloksellisen täytäntöönpanon varmistamiseksi kullakin toimivaltaisella viranomaisella olisi oltava valtuudet määrätä hallinnollisia sakkoja tai pyytää niiden määräämistä. (73)Silloin kun sakkoja määrätään yritykselle, yritys olisi ymmärrettävä Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 101 ja 102 artiklan mukaiseksi yritykseksi. Jos hallinnollisia sakkoja määrätään henkilöille, jotka eivät ole yrityksiä, valvontaviranomaisen olisi sakon sopivan määrän harkinnassa otettava huomioon jäsenvaltion yleinen tulotaso ja henkilön taloudellinen tilanne. Jäsenvaltioilla olisi oltava vastuu määritellä onko viranomaisille määrättävä hallinnollisia sakkoja ja missä määrin. Hallinnollisen sakon määrääminen ei vaikuta toimivaltaisten viranomaisten muihin valtuuksiin tai muihin seuraamuksiin, joista säädetään tämän direktiivin kansalliseen lainsäädäntöön sisällyttävissä kansallisissa säännöissä. (74)Jäsenvaltioiden olisi voitava säätää rikosoikeudellisia seuraamuksia koskevista säännöistä, joita sovelletaan tämän direktiivin kansalliseen lainsäädäntöön sisällyttävien kansallisten sääntöjen rikkomiseen. Tällaisten kansallisten sääntöjen rikkomisesta määrättävien rikosoikeudellisten seuraamusten ja niihin liittyvien hallinnollisten seuraamusten ei kuitenkaan pitäisi johtaa ne bis in idem -periaatteen rikkomiseen, sellaisena kuin unionin tuomioistuin on sitä tulkinnut. (75)Sikäli kuin tässä direktiivissä ei yhdenmukaisteta hallinnollisia seuraamuksia tai tarvittaessa muissa tapauksissa, esimerkiksi silloin, kun kyseessä on tämän direktiivin velvoitteiden vakava laiminlyönti, jäsenvaltioiden olisi pantava täytäntöön järjestelmä, jossa määrätään tehokkaista, oikeasuhteisista ja varoittavista seuraamuksista. Tällaisten rikosoikeudellisten tai hallinnollisten seuraamusten luonne olisi määriteltävä jäsenvaltion lainsäädännössä. (76)Jotta voidaan edelleen vahvistaa tämän direktiivin nojalla säädettyjen velvoitteiden rikkomiseen sovellettavien seuraamusten vaikuttavuutta ja varoittavuutta, toimivaltaisilla viranomaisilla olisi oltava valtuudet asettaa seuraamuksia, jotka koostuvat keskeisen toimijan tarjoamiin palveluihin tai osaan niistä liittyvän todistuksen tai luvan voimassaolon keskeyttämisestä ja luonnollisen henkilön määräämisestä väliaikaiseen kieltoon harjoittaa johtotehtäviä. Kun otetaan huomioon tällaisten seuraamusten vakavuus ja vaikutus toimijoiden palveluihin ja viime kädessä niiden kuluttajiin, niitä olisi sovellettava ainoastaan suhteessa rikkomisen vakavuuteen ja ottaen huomioon kunkin tapauksen erityisolosuhteet, mukaan lukien rikkomisen tahallisuus tai tuottamuksellisuus sekä toimet, joita on toteutettu aiheutuneen vahingon ja/tai menetyksen estämiseksi tai lieventämiseksi. Tällaisia seuraamuksia olisi sovellettava ainoastaan ultima ratio -periaatteen mukaisesti eli vasta viimeisenä keinona sen jälkeen, kun muut tässä direktiivissä säädetyt asiaankuuluvat täytäntöönpanotoimet on käytetty, ja ainoastaan siihen asti, kunnes toimijat, joihin niitä sovelletaan, toteuttavat tarvittavat toimet puutteiden korjaamiseksi tai niiden toimivaltaisen viranomaisen vaatimusten noudattamiseksi, joiden johdosta seuraamuksia on sovellettu. Tällaisten seuraamusten määräämiseen olisi sovellettava asianmukaisia menettelyllisiä suojatoimia unionin oikeuden ja Euroopan unionin perusoikeuskirjan yleisten periaatteiden mukaisesti, mukaan lukien tehokas oikeussuoja, asianmukainen käsittelyprosessi, syyttömyysolettama ja oikeus puolustukseen. (77)Tässä direktiivissä olisi vahvistettava toimivaltaisten viranomaisten ja valvontaviranomaisten välistä yhteistyötä koskevat säännöt asetuksen (EU) 2016/679 mukaisesti henkilötietoihin liittyvien rikkomusten käsittelemiseksi. (78)Tällä direktiivillä olisi pyrittävä varmistamaan organisaatiotasolla korkeatasoinen vastuu kyberturvallisuusriskien hallintatoimenpiteistä ja raportointivelvoitteista. Näistä syistä tämän direktiivin soveltamisalaan kuuluvien toimijoiden hallintoelinten olisi hyväksyttävä kyberturvallisuusriskitoimenpiteet ja valvottava niiden täytäntöönpanoa. (79)Olisi otettava käyttöön vertaisarviointimekanismi, jonka avulla jäsenvaltioiden nimeämät asiantuntijat voivat arvioida kyberturvallisuuspolitiikkojen täytäntöönpanoa, myös jäsenvaltioiden valmiuksien ja käytettävissä olevien resurssien tasoa. (80)Uusien kyberuhkien, teknologian kehityksen tai alakohtaisten erityispiirteiden huomioon ottamiseksi komissiolle olisi siirrettävä valta hyväksyä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, jotka koskevat tässä direktiivissä edellytettyihin riskinhallintatoimenpiteisiin liittyviä seikkoja. Komissiolle olisi myös siirrettävä valta antaa delegoituja säädöksiä, joissa vahvistetaan, miltä keskeisten toimijoiden luokilta edellytetään sertifiointia ja minkä eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesti. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä. (81)Jotta voidaan varmistaa tämän direktiivin asiaankuuluvien säännösten yhdenmukainen täytäntöönpano yhteistyöryhmän toiminnan edellyttämien menettelyllisten järjestelyjen, riskinhallintatoimenpiteisiin liittyvien teknisten seikkojen tai poikkeamailmoitusten tietotyyppien, muodon ja menettelyn osalta, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 mukaisesti. (82)Komission olisi tarkasteltava tätä direktiiviä säännöllisin väliajoin uudelleen asianomaisia osapuolia kuullen, erityisesti yhteiskunnan, politiikan, tekniikan ja markkinaolojen kehitykseen perustuvien muutostarpeiden selvittämiseksi. (83)Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitetta, joka on yhteinen korkea kyberturvallisuuden taso unionissa, vaan se voidaan t