operatori ključnih usluga podliježu nadzornim aktivnostima u cilju provjere djelotovornosti provedbe sigurnosne politike te obavješćivanja o znatnim incidentima. Nadzor pridonosi jačanju suradnje javnog i privatnog sektora, što dovodi do stvaranja zajedničkog znanja o pripravnosti države članice u području kibersigurnosti. Zahvaljujući Skupini za suradnju, razmijenjena nacionalna iskustva, uključujući informacije o prijavljenim incidentima, mogu se objediniti na razini EU-a i pridonijeti točnijoj procjeni glavnih prijetnji i potreba. Međutim, da bi bila učinkovita, takva razmjena informacija trebala bi se temeljiti na zajedničkom razumijevanju toga koje bi subjekte trebalo identificirati kao operatore ključnih usluga.

Direktiva je osmišljena tako da se državama članicama ostavi dovoljno slobodnog prostora za odabir relevantnih subjekata kako bi se uzele u obzir nacionalne specifičnosti. Tim se pristupom istodobno povećava rizik od različite provedbe odredbi direktive, što može dovesti do nedosljednosti u mjerama koje donesu države članice. To je posebno važno za društva koja posluju u nekoliko zemalja pa moraju ispuniti regulatorne zahtjeve više država članica.

Direktivom NIS od država članica zahtijeva se da utvrde sigurnosne zahtjeve i postupke obavješćivanja o incidentima za operatore ključnih usluga. Budući da se u direktivi prati pristup minimalnog usklađivanja u pogledu operatora ključnih usluga, države članice slobodno mogu uvesti zahtjeve za operatore koji su stroži od onih predviđenih direktivom. Iako se njima poboljšava otpornost država članica, te mjere mogu dovesti do dodatnih regulatornih troškova za predmetne operatore. Stoga je važno da operatori koji pružaju slične usluge slične važnosti podliježu sličnom regulatornom tretmanu.

ako se dosljedno ne identificiraju važni operatori koji pružaju prekogranične usluge, to može dovesti do neujednačene razine kiberotpornosti među različitim državama članicama i tako povećati rizik od toga da prekogranični incident ošteti kritičnu infrastrukturu ili prouzroči smrt građana. Na primjer, operatori za prijenos energije ili registri vršnih domena, koji su na popisu vrsta subjekata iz Priloga II., subjekti su koji imaju najviše koristi od unutarnjeg tržišta pružanjem prekograničnih usluga za potrošače i poduzeća. Dosljedna identifikacija tih pružatelja usluga diljem Unije stoga bi mogla pomoći u sprečavanju širenja kiberprijetnji na cijelo unutarnje tržište.

U skladu s člankom 23. stavkom 1. u ovom se izvješću procjenjuje dosljednost u pristupu država članica pri identifikaciji operatora ključnih usluga. Budući da su u ovom području dosljednost identifikacije operatora ključnih usluga i rizik od fragmentacije na unutarnjem tržištu blisko povezani, ovim će se izvješćem pridonijeti i široj procjeni Direktive NIS, kako je utvrđeno u članku 23. stavku 2., kojim se predviđa da Komisija periodično preispituje sveukupno funkcioniranje te direktive te da procjenjuje popis sektora i podsektora koji podliježu obvezi identifikacije operatora ključnih usluga i vrsta digitalnih usluga obuhvaćenih direktivom. Prvo takvo izvješće treba dostaviti do 9. svibnja 2021.

Nakon što je stupila na snagu u kolovozu 2016., države članice imale su rok do 9. svibnja 2018. da donesu nacionalne mjere potrebne za usklađivanje s odredbama Direktive NIS. Direktivom se promiče kultura upravljanja rizikom među društvima ili drugim subjektima koji pružaju ključne usluge, koji su u skladu s člankom 5. definirani kao „operatori ključnih usluga”. Operatori obuhvaćeni područjem primjene te direktive dužni su poduzimati odgovarajuće i razmjerne tehničke i organizacijske mjere za upravljanje rizicima za sigurnost kojima su izloženi njihovi mrežni i informacijski sustavi te za prijavljivanje ozbiljnih incidenata nadležnim tijelima.

Na temelju članka 5. stavka 7. sve države članice trebale su dostaviti informacije potrebne za izvješće najkasnije do 9. studenoga 2018. Međutim, samo je 15 zemalja podnijelo bitne podatke do tog datuma (vidjeti priloženu tablicu u odjeljku 4.1.). Nedostaci u podacima bili su znatni i nakon ponovljenih podsjetnika Komisije. Komisija je stoga 26. srpnja 2019. poslala službene opomene u šest država članica, u kojima ih je pozvala da u roku od dva mjeseca dostave podatke koji nedostaju.

Rezultati izvješća temelje se na procjeni provedenoj od studenoga 2018. do rujna 2019. Mnoge države članice nisu Komisiji pravovremeno stavile na raspolaganje informacije potrebne za njegovu izradu. Donošenje izvješća stoga je moralo biti odgođeno nakon 9. svibnja 2019., odnosno nakon datuma koji je člankom 23. stavkom 1. Direktive NIS predviđen za donošenje. Podaci su prikupljeni putem više kanala: informacije koje su države članice podnijele na temelju standardiziranog predloška koji je pripremila ENISA, standardizirani intervjui s odabranim nacionalnim tijelima i sastanci Skupine za suradnju, uključujući radionicu o toj temi održanu 19. ožujka 2019.

(c) vodni prijevoz

(c) plin

U uvodnoj izjavi 23. Direktive NIS izričito se spominju popisi ključnih usluga kao informacije koje treba upotrijebiti „u procjeni regulatorne prakse svake države članice s ciljem osiguravanja opće razine dosljednosti”. Budući da popisi ključnih usluga koje su sastavile države članice služe kao osnova za identifikaciju operatora, razlike u identificiranim uslugama mogle bi dovesti do nedosljedne identifikacije operatora među državama članicama, osobito ako su samo pojedine države članice identificirale konkretne usluge koje se pružaju u svim zemljama.

Većina država članica odlučila je delegirati dio odlučivanja o različitim elementima postupka identifikacije sektorskim tijelima (ministarstva, agencije itd.). Stupanj centralizacije razlikuje se od slučaja do slučaja, no većina je država članica imenovala jedno tijelo za davanje smjernica sektorskim tijelima i za objedinjavanje informacija. Međutim, neke su zemlje zadržale postupak identifikacije u rukama jednog tijela. Postoje i slučajevi iznimno visokog stupnja decentralizacije u kojima su sektorska tijela odgovorna za razvoj vlastitih metodologija.

Na dan objave ovog izvješća 23 države članice dostavile su sve podatke koji su potrebni na temelju odredbi članka 5. stavka 7.: Bugarska, Cipar, Češka, Danska, Estonija, Finska, Francuska, Grčka, Hrvatska, Irska, Italija, Latvija, Litva, Luksemburg, Malta, Nizozemska, Njemačka, Poljska, Portugal, Slovačka, Španjolska, Švedska i Ujedinjena Kraljevina. Preostalih pet država članica (Austrija, Belgija, Mađarska, Rumunjska i Slovenija) dostavile su samo djelomične podatke o identifikaciji nacionalnih operatora ključnih usluga jer do objave ovog izvješća nisu dovršile postupak identifikacije.

Države članice iz Table 2 . i Table 3 . odabrane su samo kao primjeri i zbog toga što je njihove metodološke pristupe lako usporediti. Većina ostalih država članica odabrala je slične usluge, pa se kod njih javljaju slične „nedosljednosti”. Zapravo, „nedosljednosti” kao što su one u podsektorima električne energije i željezničkog prijevoza postoje među svim državama članicama i sektorima uključenima u Prilog II. Direktivi. Većina tih nedosljednosti proizlazi iz usluga koje su identificirale samo pojedine, a ne sve države članice. Cijeli popis usluga u podsektorima električne energije i željezničkog prijevoza kojim su obuhvaćene sve države članice dostupan je u Prilogu ovom izvješću.

U Table 2 . uspoređuju se neki od načina na koje su države članice identificirale ključne usluge u podsektoru električne energije. Pojedine su zemlje (kao što je Estonija) odabrale veoma općenit naslov koji omogućuje identifikaciju gotovo svih operatora koje smatraju ključnima unutar podsektora električne energije. Druge zemlje (kao što su Portugal, Danska i Bugarska) odabrale su mnogo podrobniji pristup. Na primjer, Bugarska je izradila veoma podroban popis usluga, koji uključuje čak i uslugu koja nije obuhvaćena Prilogom II. (tržišta električne energije). Međutim, Portugal i Danska slijedili su podroban pristup kojim nisu obuhvatili određene usluge koje su druge zemlje uključile. To bi moglo dovesti do nejednakih uvjeta na unutarnjem tržištu za operatore ključnih usluga.

Broj identificiranih usluga ne razlikuje se samo ako se države članice promatraju kao cjelina nego i ako se pobliže promotre sektori i podsektori. Na primjer, u sektoru bankarstva broj identificiranih usluga kreće se od 1 do 21. Kako je prikazano na slici 2 ., raspon identificiranih usluga znatno se razlikuje među zemljama u većini sektora i podsektora.

Broj usluga koje su identificirale države članice, kako su obuhvaćene Prilogom II. Direktivi NIS, i koje su prijavile Komisiji, znatno se razlikuje među državama članicama (brojevi za sve države članice dostupni su u prilogu u odjeljku 4.2.). Uz prosjek od 35 usluga po državi članici, broj identificiranih usluga kreće se od 12 do 87, kako je prikazano na slici 1 . Iako veće države članice obično identificiraju nešto više usluga od manjih država članica, čini se da ne postoji snažna korelacija između veličine država članica i broja identificiranih usluga. To se može i očekivati jer potrošači i društva u praksi obično imaju pristup istim vrstama usluga u svim državama članicama, neovisno o veličini zemlje.

Podrobnija analiza sektora i podsektora otkriva znatne razlike među državama članicama u identificiranom broju u svim sektorima obuhvaćenima Prilogom II. ( slika 4 .). Na primjer, u sektoru energetike broj se kreće od 0,3 operatora do 29 operatora na 1 000 000 stanovnika. U sektoru bankarstva kreće se od 0,07 operatora do 51 operatora na 1 000 000 stanovnika (ne uzimajući u obzir države članice koje nisu identificirale nijednog operatora ključnih usluga u tom sektoru).

Ukupni broj operatora ključnih usluga o kojima su države članice izvijestile Komisiju kreće se od 20 do 10 897, uz prosjek od 633 operatora ključnih usluga po državi članici (podaci za sve države članice dostupne su u odjeljku 4.2. Priloga ovom izvješću). Općenito, postoji jasan pozitivan odnos između veličine zemlje i broja identificiranih operatora. Međutim, time se ne mogu u dovoljnoj mjeri objasniti velike razlike u brojevima o kojima su izvijestile države članice. Kako bi se uzeo u obzir odnos između veličine i broja stanovnika, na slici 3 . uspoređuju se brojevi identificiranih operatora ključnih usluga u državama članicama na 100 000 stanovnika. Iz nje proizlazi da su pristupi koje su države članice primijenile za identifikaciju operatora dali veoma različite rezultate.

Popisi ključnih usluga i pragovi najvažnije su odrednice za dosljednu identifikaciju operatora ključnih usluga. Iz prethodnih je odjeljaka vidljivo da su države članice u oba slučaja primijenile odredbe Direktive NIS na različite načine, što ukazuje na to da bi moglo doći do problema s dosljednošću u kasnijoj identifikaciji operatora ključnih usluga. U ovom će se odjeljku usporediti brojevi identificiranih operatora u sektorima i podsektorima iz Priloga II. u državama članicama.

Autonomni sustav (AS) povezuje barem dva druga AS-a brzinom od 2 Gb/s

AT

Određivanje točnog praga može biti teško, osobito u slučaju sektora za koje je karakterističan velik broj malih operatora. Primjer su te raznolikosti mnoge male zdravstvene ustanove (npr. klinike ili hitne medicinske službe) koje pružaju ključnu uslugu relativno malom broju korisnika, ali bi njihova nedostupnost zbog kibersigurnosnog incidenta mogla dovesti do smrti pacijenta. Još jedan problem javlja se ako funkcioniranje lanaca opskrbe ovisi o uslugama koje pružaju operatori koji su male, ali ipak ključne karike u lancu (na primjer, u sektorima kao što je logistika). Jedna država članica ispituje primjenu kriterija povezanih s važnošću ili kritičnošću usluge kao mogućeg rješenja tog problema.

Iako većina država članica primjenjuje pragove za identifikaciju operatora ključnih usluga, uloga tih pragova razlikuje se od jedne zemlje do druge. Kad je riječ o međusektorskim pragovima, može ih se definirati na temelju:

·nedostatak jedinstvenog shvaćanja ciljeva i opsega prekograničnog savjetovanja: dok ga određene države članice vide samo kao alat za međusobno obavješćivanje o identificiranju operatora ključnih usluga s prekograničnim učinkom, druge smatraju da mu je svrha usklađivanje pragova i regulatornih zahtjeva. Iz uvodne izjave 24. u direktivi proizlazi da je to prvenstveno procedura za zajedničku procjenu kritičnosti operatora za potrebe postupka identifikacije;

Prema dobivenim informacijama, samo je mali broj nacionalnih tijela odabrao obratiti se ekvivalentnim tijelima u drugim državama članicama i samo su se dvije države članice obratile drugim državama članicama na sveobuhvatan način. Usto, samo je nekoliko država članica navelo da su se obratile drugim tijelima na manje sustavan način. Unatoč velikoj važnosti prekograničnih usluga na unutarnjem tržištu, većina država članica koje su se obratile drugim državama članicama to su učinile samo za vrlo ograničen broj operatora. Iako države članice primjenjuju postupak u ograničenoj mjeri, mnoga su nacionalna tijela izrazila interes za postupak prekograničnog savjetovanja i smatraju ga važnim elementom mreže za identifikaciju NIS-a. Zapravo, nekoliko je država članica izrazilo zabrinutost da će bez učinkovitog prekograničnog savjetovanja operatori možda biti prisiljeni ispunjavati mnoštvo različitih regulatornih zahtjeva ili da će biti u nepovoljnijem položaju u odnosu na manje regulirane operatore ključnih usluga koji su aktivni na tržištu.

·još jedna poteškoća javlja se kad se državi članici obrate dvije druge države članice u vezi s istim operatorom. U tom slučaju predmetna država članica možda neće moći istodobno uskladiti svoja pravila s obje države članice. U tu su svrhu uvodnom izjavom 24. predviđene multilateralne rasprave. Važno je da države članice iskoriste tu mogućnost kako bi osigurale dosljednost.

2.7Razmatranje načela lex specialis u postupku identifikacije

Komisija je utvrdila određenu razinu nedosljednosti među državama članicama u pogledu primjene načela lex specialis. To je dovelo do nejednake primjene Direktive, što je uzrokovalo, s jedne strane, identifikaciju operatora ključnih usluga na koje se primjenjuju pravila specifična za pojedine sektore, a s druge strane nezadovoljavajuću identifikaciju operatora ključnih usluga u nekim sektorima iz Priloga II.

Člankom 1. stavkom 3. propisuje se da se Direktiva NIS ne primjenjuje na poduzeća koja podliježu zahtjevima Okvirne direktive o telekomunikacijama. Međutim, čini se da su pojedine države članice identificirale operatore ključnih usluga koji pružaju usluge koje bi zapravo trebale biti uređene na temelju Okvirne direktive o telekomunikacijama, kao što su pristup internetu i telefonske usluge.

Usto, u skladu s člankom 1. stavkom 7. odredbe Direktive NIS o sigurnosnim zahtjevima i obavješćivanju o incidentima ne primjenjuju se na operatore obuhvaćene pravnim aktima Unije za pojedine sektore u kojima su utvrđene obveze s barem jednakovrijednim učinkom.

Dok je većina država članica identificirala operatore ključnih usluga u sektorima bankarstva i financijskih tržišta, nekoliko država članica nije identificiralo operatore ključnih usluga s obrazloženjem da operatori pružaju usluge obuhvaćene posebnim pravilima (leges speciales).

Komisija još prikuplja podrobne informacije o primjeni načela lex specialis na temelju Direktive NIS. Trenutačno provodi temeljite provjere nacionalnog zakonodavstva i posjete zemljama kako bi procijenila trenutačnu razinu prenošenja i provedbe, među ostalim i u pogledu odredbi lex specialis. Komisija na temelju toga namjerava provesti daljnje rasprave o načelu lex specialis u suradnji sa Skupinom za suradnju radi postizanja bolje usklađenosti među državama članicama.



3.Zaključci

U ovom se izvješću procjenjuju pristupi koje su države članice odabrale za identifikaciju operatora ključnih usluga na temelju Direktive NIS. Cilj je izvješća procijeniti razinu dosljednosti među praksama država članica s obzirom na mogući učinak trenutačnog okvira na funkcioniranje unutarnjeg tržišta i upravljanje rizicima povezanima s kiberovisnosti.

Provedena analiza pokazuje da je Direktiva NIS u mnogim državama članicama bila pokretač stvarnih promjena u institucionalnom i regulatornom okruženju u području kibersigurnosti. Usto, obveza identifikacije operatora ključnih usluga pokrenula je sveobuhvatnu procjenu rizika povezanih s operatorima koji su aktivni u ključnim djelatnostima i suvremenim mrežnim i informacijskim sustavima u gotovo svim državama članicama. To se može smatrati postignućem za Uniju kao cjelinu u skladu s ciljevima Direktive.

Komisija je za potrebe ovog izvješća ispitala nacionalne metodologije identifikacije, usluge koje nacionalna tijela smatraju ključnima, pragove za identifikaciju i broj operatora ključnih usluga identificiranih u različitim sektorima obuhvaćenima Direktivom.

·Države članice razvile su različite metodologije u pogledu općeg pristupa identifikaciji operatora ključnih usluga (odjeljak 2.1.), ali i u pogledu definicije ključnih usluga i određivanja pragova. To može negativno utjecati na dosljednu primjenu odredbi o NIS-u diljem Unije, uz moguće posljedice za dobro funkcioniranje unutarnjeg tržišta i učinkovito postupanje s kiberovisnostima.

·Nadalje, čini se da države članice različito tumače što čini ključnu uslugu na temelju Direktive NIS, pa primjenjuju različite razine podrobnosti (vidjeti odjeljak 2.2.). To otežava usporedbu popisâ ključnih usluga. Usto, postoji opasnost od fragmentacije područja primjene direktive jer su određeni operatori izloženi dodatnoj regulaciji (jer su ih identificirale njihove države članice), dok su drugi operatori koji pružaju slične usluge i dalje isključeni (jer nisu identificirani). Kako bi se odgovorilo na te nedosljednosti, daljnji rad koji se temelji na iskustvu država članica mogao bi dovesti do usklađenijeg popisa ključnih usluga.

·Nadalje, u izvješću su utvrđene i znatne nedosljednosti u načinu na koji države članice primjenjuju pragove (odjeljak 2.3.). Daljnje usklađivanje pragova na razini EU-a moglo bi pridonijeti rješenju tog problema. Na primjer, tu bi zadaću mogle preuzeti sektorske radne podskupine u okviru Skupine za suradnju, uzimajući u obzir nacionalne posebnosti, kao što su posebni zahtjevi malih država članica.

·To što su pojedine zemlje iskoristile mogućnost identifikacije ključnih usluga u dodatnim sektorima ili podsektorima koji nisu obuhvaćeni Prilogom II., ukazuje na to da postoje i drugi sektori koji bi mogli biti osjetljivi na kiberincidente uz one koji se razmatraju u Direktivi NIS (odjeljak 2.5.). Identifikacijom operatora ključnih usluga u sektorima kao što su informacijska infrastruktura, financijske usluge koje nisu obuhvaćene subjektima navedenima u Prilogu II. i javne usluge može se poboljšati kiberotpornost organizacija u tim sektorima. Međutim, ako operatore ključnih usluga u tim sektorima identificira samo podskupina država članica, to bi moglo negativno utjecati na unutarnje tržište i ravnopravnost uvjeta, a upravo se njima nastoji pridonijeti identifikacijom.

Mnoge metodologije i dobre prakse koje su nacionalna tijela osmislila osobito su vrijedne i u budućnosti bi ih trebalo uzeti u obzir, na primjer u radu Skupine za suradnju i pri kontinuiranoj identifikaciji operatora ključnih usluga koju provode države članice. Međutim, trenutačna razina raznolikosti mogla bi negativno utjecati na ostvarenje ciljeva te direktive.

Komisija donosi preliminarni zaključak da je unutar Unije, iako je Direktivom NIS pokrenut ključan proces za povećanje primjene i poboljšanje praksi upravljanja rizikom operatora u ključnim sektorima, prisutna znatna fragmentacija u pogledu identifikacije operatora ključnih usluga. To je djelomično posljedica strukture direktive, a djelomično posljedica različitih metodologija provedbe koje su primijenile države članice.

Države članice trebale bi nastojati što dosljednije primijenjivati odredbe Direktive NIS, uz potpunu primjenu smjernica koje su izradile Komisija i Skupina za suradnju. Komisija je stoga utvrdila nekoliko nacionalnih mjera koje bi mogle pomoći u ublažavanju poteškoća istaknutih u ovom izvješću.

·Mnoge države članice nisu dovršile postupak identifikacije operatora ključnih usluga u roku utvrđenom tom direktivom. Nadalje, na dan objave ovog izvješća 23 države članice dostavile su sve podatke koji su potrebni na temelju članka 5. stavka 7. Još je pet država članica dostavilo djelomične informacije. Komisija poziva nacionalna tijela nadležna za identifikaciju da što prije dovrše postupak i da potrebne informacije dostave Komisiji u što kraćem roku.