EURÓPAI BIZOTTSÁG Brüsszel, 2020.12.16. COM(2020) 823 final 2020/0359(COD) Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS IRÁNYELVE az Unió egész területén magas szintű kiberbiztonságot biztosító intézkedésekről, valamint az (EU) 2016/1148 irányelv hatályon kívül helyezéséről (EGT-vonatkozású szöveg) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



INDOKOLÁS 1.A JAVASLAT HÁTTERE •A javaslat indokai és céljai Ez a javaslat egy olyan intézkedéscsomag része, amely tovább javítja az állami és magánszervezetek, az illetékes hatóságok és az Unió egészének rezilienciáját és eseményelhárítási képességeit a kiberbiztonság és a kritikus infrastruktúrák védelme terén. Összhangban áll a Bizottság azon prioritásaival, amelyek célja egyfelől Európának a digitális kor kihívásaira való felkészítése, másfelől a jövő kihívásaira felkészült, az emberek javát szolgáló gazdaság kiépítése. A kiberbiztonság kiemelt fontosságú a Bizottság Covid19-válságra adott válaszában. A csomag új kiberbiztonsági stratégiát tartalmaz, amelynek célja az Unió stratégiai autonómiájának megerősítése a reziliencia és a kollektív válasz javítása, valamint a nyitott és globális internet kiépítése érdekében. Végül a csomag tartalmazza az alapvető szolgáltatásokat nyújtó kritikus szereplők rezilienciájáról szóló irányelvre irányuló javaslatot, amelynek célja az említett szolgáltatókkal szembeni fizikai fenyegetések mérséklése. Ez a javaslat a hálózati és információs rendszerek biztonságáról szóló (EU) 2016/1148 irányelvre (a kiberbiztonsági irányelv) épít és azt hatályon kívül helyezi, valamint a kiberbiztonságra vonatkozó első uniós szintű jogszabályként jogi intézkedéseket tartalmaz az Unión belüli kiberbiztonság általános szintjének emelésére. A kiberbiztonsági irányelv (1) hozzájárult a kiberbiztonsági képességek nemzeti szintű javításához azáltal, hogy előírta a tagállamoknak, hogy fogadjanak el nemzeti kiberbiztonsági stratégiákat és jelöljenek ki kiberbiztonsági hatóságokat; (2) a tagállamok között fokozta az uniós szintű együttműködést a stratégiai és operatív információk cseréjét megkönnyítő különféle fórumok létrehozásával; valamint (3) javította az állami és magánszervezetek kiberrezilienciáját hét meghatározott ágazatban (energia, közlekedés, banki tevékenység, pénzügyi piaci infrastruktúra, egészségügy, ivóvízellátás és -elosztás, valamint digitális infrastruktúrák) és három digitális szolgáltatásban (online piacterek, online keresőmotorok és felhőszolgáltatások) azáltal, hogy előírja a tagállamoknak, hogy biztosítsák az alapvető szolgáltatásokat nyújtó szereplők és a digitális szolgáltatók részéről a kiberbiztonsági követelmények bevezetését és az események jelentését. A javaslat korszerűsíti a meglévő jogi keretet, figyelembe véve a belső piac elmúlt években megnövekedett digitalizálódását és a kiberbiztonsági fenyegetettség alakulását. Mindkét fejlemény tovább erősödött a Covid19-válság kezdete óta. A javaslat számos olyan hiányossággal is foglalkozik, amely akadályozta a kiberbiztonsági irányelv teljes potenciáljának kiaknázását. Figyelemre méltó eredményei ellenére a kiberbiztonsági irányelv – amely a kiberbiztonság intézményi és szabályozási megközelítésével kapcsolatban számos tagállamban megnyitotta az utat a gondolkodásmód jelentős megváltozása előtt – korlátait is bebizonyította. A társadalom digitális átalakulása (amelyet felgyorsított a Covid19-válság) kibővítette a fenyegetettségek körét, és új kihívásokat hoz, amelyek a helyzethez igazodó és innovatív válaszokat igényelnek. A kibertámadások száma továbbra is növekszik, egyre kifinomultabb támadások érkeznek a legkülönbözőbb, EU-n belüli és azon kívüli forrásokból. A kiberbiztonsági irányelv működésének a hatásvizsgálat céljából végzett értékelése a következő problémákat azonosította: (1) az Unióban működő vállalkozások alacsony szintű kiberrezilienciája; (2) a tagállamok és az ágazatok rezilienciájának következetlenségei; valamint (3) a közös helyzetismeret alacsony szintje és a közös válságelhárítás hiánya. Például egy tagállam bizonyos nagyobb kórházai nem tartoznak a kiberbiztonsági irányelv hatálya alá, és ezért nem kötelesek végrehajtani az abból eredő biztonsági intézkedéseket, míg egy másik tagállamban az ország szinte minden egyes egészségügyi szolgáltatójára kiterjednek a hálózati és információs rendszerek biztonsági követelményei. A javaslat a célravezető és hatásos szabályozás (REFIT) programon belüli kezdeményezésként az illetékes hatóságok szabályozási terheinek, valamint az állami és magánszervezetek megfelelési költségeinek csökkentését célozza. Legfőképpen ezt úgy éri el, hogy megszünteti az illetékes hatóságok azon kötelezettségét, hogy azonosítsák az alapvető szolgáltatásokat nyújtó szereplőket, valamint emeli a biztonsági és jelentéstételi követelmények harmonizációjának szintjét, hogy megkönnyítse a határokon átnyúló szolgáltatásokat nyújtó szervezetek szabályozási megfelelését. Ugyanakkor az illetékes hatóságok számos új feladatot is kapnak, ideértve az olyan ágazatokban működő szervezetek felügyeletét, amelyek eddig nem tartoznak a kiberbiztonsági irányelv hatálya alá. •Összhang a szabályozási terület jelenlegi rendelkezéseivel Ez a javaslat azon meglévő jogi eszközök és küszöbön álló uniós szintű kezdeményezések tágabb körének része, amelyek célja az állami és magánszervezetek fenyegetésekkel szembeni rezilienciájának növelése. A kiberbiztonság területén ezek különösen az Európai Elektronikus Hírközlési Kódex létrehozásáról szóló (EU) 2018/1972 irányelv (amelynek kiberbiztonsággal kapcsolatos rendelkezéseit jelen javaslat rendelkezései váltják fel), valamint a pénzügyi ágazat digitális működési rezilienciájáról szóló rendeletre irányuló javaslat (COM(2020) 595 final), amely a jelenlegi javaslat hatálybalépését követően lex specialis-nak fog minősülni. A fizikai biztonság területén a javaslat kiegészíti a kritikus jelentőségű szervezetek rezilienciájáról szóló irányelvre irányuló javaslatot, amely felülvizsgálja az európai kritikus infrastruktúrák azonosításáról és kijelöléséről, valamint a védelmük javításának szükségességének értékeléséről szóló 2008/114/EK irányelvet (az európai kritikus infrastruktúrákról szóló irányelv), amely uniós folyamatot hoz létre az európai kritikus infrastruktúrák azonosítására és kijelölésére, valamint megközelítést határoz meg azok védelmének javítására. 2020 júliusában a Bizottság elfogadta a biztonsági unióra vonatkozó uniós stratégiát, amely elismerte a fizikai és digitális infrastruktúrák közötti növekvő összekapcsolódást és kölcsönös függőséget. Hangsúlyozta, hogy koherensebb és következetesebb megközelítésre van szükség az európai kritikus infrastruktúrákról szóló irányelv és a hálózati és információs rendszerek biztonságának az egész Unióban egységesen magas szintjét biztosító intézkedésekről szóló (EU) 2016/1148 irányelv között. A javaslat ezért szorosan illeszkedik a kritikus szervezetek rezilienciájáról szóló irányelvre irányuló javaslathoz, amelynek célja a kritikus szervezetek fizikai fenyegetésekkel szembeni rezilienciájának javítása nagy számú ágazatban. A javaslat célja annak biztosítása, hogy az illetékes hatóságok mindkét jogi aktus alapján egymást kiegészítő intézkedéseket hozzanak és szükség szerint információt cseréljenek a kiberrezilienciáról és nem számítógépes jellegű rezilienciáról, valamint hogy a jelen javaslat szerint „alapvetőnek” tekintett ágazatok különösen kritikus szereplőire is általánosabb rezilienciafokozó kötelezettségeket írjanak elő, hangsúlyozva a nem számítógépes kockázatokat. •Összhang az Unió egyéb szakpolitikáival Az „Európa digitális jövőjének megteremtése” című közleményben foglaltaknak megfelelően Európa számára kulcsfontosságú, hogy kiaknázza a digitális kor minden előnyét, és megerősítse ipari és innovációs kapacitását – biztonságos és etikus határokon belül. Az európai adatstratégia négy oszlopot – az adatvédelmet, az alapvető jogokat, a biztonságot és a kiberbiztonságot – határoz meg, amelyek alapvető előfeltételei egy adatok felhasználásával felhatalmazott társadalomnak. Az Európai Parlament 2019. március 12-i állásfoglalásában felhívja „[…] a Bizottságot, hogy mérje fel az irányelv hatálya más, ágazatspecifikus jogszabály hatálya alá nem tartozó kritikus ágazatokra és szolgáltatásokra való további kiterjesztésének szükségességét;”. A Tanács 2020. június 9-i következtetéseiben üdvözli „[…] a Bizottság arra irányuló terveit, hogy a tagállami – többek között nemzetbiztonsági – hatáskörök sérelme nélkül következetes szabályokat dolgozzon ki a piaci szereplőkre vonatkozóan, valamint előmozdítsa a veszélyekkel, illetve a biztonsági eseményekkel kapcsolatos biztonságos, megbízható és megfelelő információmegosztást – többek között a hálózati és információs rendszerek biztonságáról szóló irányelv (a kiberbiztonsági irányelv) felülvizsgálata révén –, valamint hogy feltérképezze a kiberreziliencia további erősítésének lehetőségeit és a kibertámadások, különösen az alapvető gazdasági és társadalmi tevékenységeket érintő támadások esetén alkalmazható hatékonyabb válaszintézkedéseket”. Ezenkívül a javasolt jogi aktus nem érinti az Európai Unió működéséről szóló szerződésben (EUMSZ) megállapított versenyszabályok alkalmazását.

Tekintettel arra, hogy a kiberbiztonsági fenyegetések jelentős része az EU-n kívülről származik, a nemzetközi együttműködéshez koherens megközelítésre van szükség. Ez az irányelv egy referenciamodell, amelyet elő kell mozdítani az EU harmadik országokkal folytatott együttműködésében, különösen a külső technikai segítségnyújtás során. 2.JOGALAP, SZUBSZIDIARITÁS ÉS ARÁNYOSSÁG •Jogalap A kiberbiztonsági irányelv jogalapja az Európai Unió működéséről szóló szerződés 114. cikke, amelynek célja a belső piac létrehozása és működése a nemzeti szabályok közelítésére irányuló intézkedések fokozásával. Amint azt az Európai Unió Bírósága a C-58/08. sz., Vodafone és társai ügyben hozott ítéletében megállapította, az EUMSZ 114. cikkének igénybevétele akkor indokolt, ha vannak nemzeti szabályok közötti olyan eltérések, amelyek közvetlen hatással vannak a belső piac működésére. Ugyanígy a Bíróság úgy ítélte meg, hogy amennyiben az EUMSZ 114. cikkén alapuló jogi aktus már megszüntette a kereskedelem minden akadályát az általa harmonizált területen, az uniós jogalkotótól nem tagadható meg annak lehetősége, hogy az aktust a körülmények változásaihoz vagy az ismeretek fejlődéséhez igazítsa, tekintettel a Szerződés által elismert általános érdekek védelmének feladatára. Végül a Bíróság úgy ítélte meg, hogy az EUMSZ 114. cikkének hatálya alá tartozó közelítéssel kapcsolatos intézkedések célja – a harmonizálandó kérdés általános kontextusától és sajátos körülményeitől függően – mérlegelési mozgástér biztosítása, a kívánt eredmény elérése szempontjából legmegfelelőbb közelítési módszert illetően. A javasolt jogi aktus eltávolítaná az akadályokat és javítaná a belső piac létrehozását és működését az alapvető és fontos szervezetek számára azáltal, hogy egyértelmű, általánosan alkalmazandó szabályok meghatározása a kiberbiztonsági irányelv alkalmazási körére, a kiberbiztonsági kockázatkezelés és az események bejelentése területén alkalmazandó szabályok harmonizálása. Az ezen a területen jelenleg meglévő egyenlőtlenségek mind jogszabályi, mind felügyeleti szinten, illetőleg nemzeti és uniós szinten akadályokat képeznek a belső piac előtt, mivel a határokon átnyúló tevékenységet folytató szervezetek eltérő és esetlegesen átfedő szabályozási követelményekkel és/vagy azok alkalmazásával szembesülnek, a letelepedési és szolgáltatásnyújtási szabadságuk gyakorlása kárára. Az eltérő szabályok negatív hatással vannak a belső piaci verseny feltételeire is, ha különböző tagállamokban működő, azonos típusú szervezetekről van szó. •Szubszidiaritás (nem kizárólagos hatáskör esetén) A kiberreziliencia nem lehet tényleges az Unió egészében, ha azt nemzeti vagy regionális adatsilókon keresztül eltérő módon közelítik meg. A kiberbiztonsági irányelv részben orvosolta ezt a hiányosságot azzal, hogy nemzeti és uniós szinten meghatározta a hálózati és információs rendszerek biztonsági kereteit. Átültetése és végrehajtása azonban rávilágított bizonyos rendelkezések vagy megközelítések eredendő hiányosságaira és korlátaira, például az irányelv hatályának homályos körülhatárolására, amely jelentős különbségekhez vezetett tagállami szinten a tényleges uniós beavatkozás mértéke és mélysége között. Ezenkívül a Covid19-válság óta az európai gazdaság minden eddiginél jobban függ a hálózati és információs rendszerektől, és az ágazatok és a szolgáltatások egyre inkább összekapcsolódnak. A kiberbiztonsági irányelv jelenlegi intézkedésein túlmutató uniós beavatkozást elsősorban a következők indokolják: i. a kiberbiztonsággal kapcsolatos fenyegetések és kihívások fokozódó mértékben határokon átnyúlóbb jellege; ii. az uniós fellépés lehetőségei a hatékony és összehangolt nemzeti politikák javítása és megkönnyítése végett; és iii. összehangolt és együttműködő politikai fellépések szerepe az adatvédelemben és a magánélet hatékony védelmében. •Arányosság Az ezen irányelvben javasolt szabályok nem lépik túl a konkrét célok kielégítő eléréséhez szükséges mértéket. A biztonsági intézkedések és a jelentéstételi kötelezettségek tervezett összehangolása és korszerűsítése a tagállamok és a vállalkozások jelenlegi keret javítására vonatkozó kéréseihez kapcsolódik. A javaslat figyelembe veszi a tagállamokban már létező gyakorlatokat. Az említett korszerűsített és összehangolt követelmények révén elért magasabb szintű védelem arányos az egyre nagyobb kockázatokkal, beleértve a határokon átnyúló elemet mutató kockázatokat is; ezek észszerűek, és általában megfelelnek az érintett szervezetek szolgáltatásaik folyamatosságának és minőségének biztosításához fűződő érdekeinek. A tagállamok közötti módszeres együttműködés biztosításának költségei alacsonyak lennének a kiberbiztonsági események által okozott gazdasági és társadalmi veszteségekhez és károkhoz képest. Ezenkívül az érdekelt felekkel folytatott konzultációk a kiberbiztonsági irányelv felülvizsgálata kapcsán – beleértve a nyílt nyilvános konzultációk és célzott felmérések eredményeit – a kiberbiztonsági irányelv fent említett irányú felülvizsgálatának támogatottságát jelzik. •A jogi aktus típusának megválasztása A javaslat tovább egyszerűsíti a vállalkozásokra rótt kötelezettségeket, és biztosítja azok magasabb szintű harmonizációját. Ugyanakkor a javaslat célja a tagállamok számára a nemzeti sajátosságok figyelembevételéhez szükséges rugalmasság biztosítása (például a jogi aktus által meghatározott alapforgatókönyvön túli további alapvető vagy fontos szervezetek azonosításának lehetősége). A jövőbeni jogi eszköznek ezért irányelvnek kell lennie, mivel ez a jogi eszköz lehetővé teszi a célzottabb harmonizációt, valamint az illetékes hatóságok számára bizonyos fokú rugalmasságot. 3.AZ UTÓLAGOS ÉRTÉKELÉSEK, AZ ÉRDEKELT FELEKKEL FOLYTATOTT KONZULTÁCIÓK ÉS A HATÁSVIZSGÁLATOK EREDMÉNYEI •A jelenleg hatályban lévő jogszabályok utólagos értékelése/célravezetőségi vizsgálata A Bizottság elvégezte a kiberbiztonsági irányelv működésének értékelését. Elemezte relevanciáját, uniós hozzáadott értékét, koherenciáját, eredményességét és hatékonyságát. Az elemzés fő megállapításai a következők: ·a kiberbiztonsági irányelv hatálya az érintett ágazatok tekintetében túl korlátozott, elsősorban a következők miatt: i. az utóbbi években megnövekedett digitalizálás és magasabb szintű összekapcsoltság; ii. a kiberbiztonsági irányelv már nem tükrözi a gazdaság és a társadalom egésze számára kulcsfontosságú szolgáltatásokat nyújtó összes digitalizált ágazatot. ·A kiberbiztonsági irányelv nem elég egyértelmű az alapvető szolgáltatásokat nyújtó szereplők körét illetően, és rendelkezései nem nyújtanak kellő egyértelműséget a digitális szolgáltatók feletti nemzeti hatáskörrel kapcsolatban. Ez olyan helyzethez vezetett, amelyben bizonyos típusú szervezeteket nem azonosítottak minden tagállamban, ezért nem kötelesek biztonsági intézkedéseket bevezetni és az eseményeket jelenteni. ·A kiberbiztonsági irányelv tág mérlegelési mozgásteret engedett a tagállamoknak az alapvető szolgáltatásokat nyújtó szereplőkre vonatkozó biztonsági és eseményjelentési követelmények megállapításakor. Az értékelés azt mutatja, hogy egyes esetekben a tagállamok ezeket a követelményeket jelentősen eltérő módon hajtották végre, további terheket róva a több tagállamban működő vállalatokra. ·A kiberbiztonsági irányelv felügyeleti és végrehajtási rendszere hatástalan. Például: a tagállamok erősen vonakodnak szankciók alkalmazásától azon szervezetek esetében, amelyek nem vezetnek be biztonsági követelményeket vagy nem jelentik az eseményeket. Ennek negatív következményei lehetnek az egyes szervezetek kiberrezilienciájára.

·A tagállamok által feladataik ellátására elkülönített pénzügyi és emberi erőforrások (például az alapvető szolgáltatások üzemeltetőinek azonosítása vagy felügyelete), és következésképpen a kiberbiztonsági kockázatok kezelésének különböző érettségi szintjei nagyon eltérőek. Ez tovább súlyosbítja a kiberreziliencia terén a tagállamok között fennálló különbségeket. ·A tagállamok nem osztják meg rendszeresen az információkat egymással, ennek negatív következményei vannak, különösen a kiberbiztonsági intézkedések hatékonyságára és az uniós szintű közös helyzetismeret szintjére nézve. Ez vonatkozik a magánvállalkozások közötti információmegosztásra, valamint az uniós szintű együttműködési struktúrák és a magánvállalkozások közötti együttműködésre is. •Az érdekelt felekkel folytatott konzultációk A Bizottság az érdekelt felek széles körével konzultált. A tagállamokat és az érdekelt feleket felkérték, hogy vegyenek részt a nyílt nyilvános konzultációban, valamint a Wavestone, a CEPS és az ICF – amelyeket a Bizottság a kiberbiztonsági irányelv felülvizsgálatát támogató tanulmány elkészítésével megbízott –által szervezett felméréseken és műhelytalálkozókon. A konzultációban részt vett érintettek között voltak illetékes hatóságok, kiberbiztonsággal foglalkozó uniós szervek, alapvető szolgáltatásokat nyújtó szereplők, digitális szolgáltatók, a jelenlegi kiberbiztonsági irányelv hatályán kívül eső szolgáltatásokat nyújtó szervezetek, szakmai szövetségek és fogyasztói szervezetek, valamint állampolgárok. Ezenkívül a Bizottság állandó kapcsolatban állt a kiberbiztonsági irányelv végrehajtásáért felelős illetékes hatóságokkal. Az együttműködési csoport intenzíven foglalkozott a különböző horizontális és ágazati megvalósítási szempontokkal. Végül a hálózati és információs rendszerek biztonságáról szóló irányelv 2019-es és 2020-as országlátogatásai során a Bizottság 154 állami és magánvállalkozást, valamint 117 illetékes hatóságot hallgatott meg. •Szakértői vélemények beszerzése és felhasználása A Bizottság a Wavestone, a CEPS és az ICF konzorciumával szerződött a Bizottság kiberbiztonsági irányelv felülvizsgálatában való támogatására. A vállalkozó nem csak célzott felmérések és műhelytalálkozók útján kereste meg a kiberbiztonsági irányelv közvetlen érintettjeit, hanem a kiberbiztonsági terület számos szakértőjével is konzultált, például kiberbiztonsági kutatókkal és kiberbiztonsági iparági szakemberekkel. •Hatásvizsgálat Ezt a javaslatot hatásvizsgálat kíséri, amelyet 2020. október 23-án nyújtottak be a Szabályozási Ellenőrzési Testülethez (RSB), és az RSB észrevételeivel 2020. november 20-án pozitív véleményt kapott. Az RSB bizonyos területeken javításokat javasolt a következők érdekében: (1) a javaslat jobban tükrözze a nemzetközi tovagyűrűzés szerepét a problémaelemzésben; (2) jobban fejtse ki, mi lesz a kezdeményezés sikere; (3) indokolja részletesebben a szakpolitikai alternatívák listáját; (4) dolgozza ki részletesebben a javasolt intézkedések költségeit. A hatásvizsgálatot e pontok, valamint az RSB részletesebb észrevételeinek figyelembevétele érdekében kiigazították. A vizsgálat most részletesebb magyarázatokat tartalmaz a nemzetközi tovagyűrűzés kiberbiztonság területén betöltött szerepéről, világosabb áttekintést nyújt a siker mérésének módjáról, részletesebb magyarázatot ad az ezekben az alternatívákban figyelembe vett különböző szakpolitikai alternatívák és cselekvések felépítéséről és logikájáról, a kiberbiztonsági irányelv ágazati hatálya kapcsán elemzett szempontokról részletesebb magyarázatot nyújt és a költségeket tovább pontosítja. A Bizottság számos szakpolitikai alternatívát mérlegelt a kiberreziliencia és az események elhárítása területén a jogszabályi keret javítására: ·„Intézkedés mellőzése”: a kiberbiztonsági irányelv változatlan marad, és a nem jogalkotási jellegű intézkedéseken kívül a kiberbiztonsági irányelv értékelésével azonosított problémák kezelésére más intézkedés nem kerül elfogadásra. ·1. szakpolitikai alternatíva: Jogalkotási szinten nem történne változás. Ehelyett a Bizottság ajánlásokat és iránymutatásokat adna ki (például az alapvető szolgáltatásokat nyújtó szereplők azonosítására, a biztonsági követelményekre, az események bejelentési eljárásaira és a felügyeletre vonatkozóan), konzultálva az együttműködési csoporttal, az EU Kiberbiztonsági Ügynökségével (ENISA), és adott esetben a számítógép-biztonsági eseményekre reagáló csoportok (CSIRT-ek) hálózata. ·2. szakpolitikai alternatíva: Ez a lehetőség a kiberbiztonsági irányelv célzott módosításával jár, beleértve a hatály kiterjesztését és számos más azt célzó módosítást, hogy az azonosított problémákra garantáltan szülessenek bizonyos azonnali megoldások, nagyobb egyértelműség és további harmonizáció valósuljon meg (például az azonosítási küszöbök harmonizálását célzó rendelkezések). A módosított kiberbiztonsági irányelv azonban fenntartaná a fő építőelemeket, a megközelítést és célokat. ·3. szakpolitikai alternatíva: Ez a forgatókönyv a kiberbiztonsági irányelv rendszerszintű és strukturális változásait vonja maga után (egy új irányelv révén), alapvetőbb szemléletváltást irányozva elő az Unió egész területén a gazdaságok szélesebb körének lefedése felé, ugyanakkor nagyobb és kulcsfontosságú szereplőket megcélzó, koncentráltabb felügyelet mellett. Ez egyszerűsítené a vállalkozásokra rótt kötelezettségeket, és biztosítaná azok magasabb szintű harmonizációját, hatékonyabb környezetet teremtene az operatív szempontok számára, valamint egyértelmű alapot teremtene a különböző érdekeltek nagyobb megosztott felelősségéhez és elszámoltathatóságához a kiberbiztonsági intézkedésekkel kapcsolatban. A hatásvizsgálat arra a következtetésre jut, hogy az előnyben részesített alternatíva a 3. lehetőség (azaz a kiberbiztonsági irányelv keretének rendszerszintű és strukturális változásai). A hatékonyság szempontjából az előnyben részesített alternatíva egyértelműen meghatározná a kiberbiztonsági irányelv alkalmazási körét, kiterjesztve azt az uniós gazdaságok és társadalmak reprezentatívabb hányadára, és a követelményeket egyszerűsítené, a felügyelet és a végrehajtás egyértelműbb keretei mellett, amelynek célja a megfelelés szintjének növelése. Olyan intézkedéseket is magában foglal, amelyek célja a szakpolitika-kialakítás tagállami szintű megközelítéseinek fejlesztése és paradigmájának megváltoztatása, a szállítói kapcsolatok kockázatkezelése új keretrendszereinek népszerűsítése és a biztonsági rések összehangolt közzététele. Ugyanakkor az előnyben részesített szakpolitikai alternatíva egyértelmű alapot teremt a megosztott felelősség és elszámoltathatóság számára, és olyan mechanizmusokat irányoz elő, amelyek célja a tagállamok, a hatóságok és az ipar közötti bizalom fokozása, az információmegosztás ösztönzése és az operatívabb megközelítés – például a kölcsönös segítségnyújtás, valamint a szakértői értékelési mechanizmusok – biztosítása. Ez az alternatíva az Unió válságkezelési keretrendszerét is létrehozná, amely a nemrégiben elindított uniós operatív hálózatra épülne, és biztosítaná az ENISA jelenlegi megbízatásán belüli nagyobb részvételét az Unió kiberbiztonsági helyzetének pontos áttekintésében. A hatékonyság szempontjából, bár az előnyben részesített alternatíva további megfelelési és végrehajtási költségeket jelentene a vállalkozások és a tagállamok számára, hatékony kompromisszumokat és szinergiákat is eredményezne, az elemzett szakpolitikai alternatívák közül adja a lehető legjobb esélyt az egész Unióban a kulcsfontosságú szervezetek fokozott és következetes kiberrezilienciájának biztosítására, ami végül költségmegtakarítást eredményezne a vállalkozások és a társadalom számára egyaránt. Ez a szakpolitikai alternatíva bizonyos további adminisztratív terheket és megfelelési költségeket jelentene a tagállami hatóságok számára. Összességében azonban közép- és hosszú távon jelentős előnyökkel járna a tagállamok közötti fokozott együttműködés révén, többek között operatív szinten is, valamint ösztönözné a kölcsönös segítségnyújtást, a szakértői értékelési mechanizmusokat, valamint a kulcsfontosságú szervezetek jobb áttekintését és a velük való együttműködést, a kiberbiztonsági képességeket általánosan növelve nemzeti és regionális szinten. Az előnyben részesített szakpolitikai alternatíva nagyban biztosítaná a koherenciát más jogszabályokkal, kezdeményezésekkel vagy szakpolitikai intézkedésekkel is, beleértve az ágazatspecifikus lex specialis jellegűeket is. A kiberbiztonsági készültség tagállami szintű, jelenleg is fennálló elégtelenségének kezelése hatékonyságnövelést és a kiberbiztonsági eseményekből eredő többletköltségek csökkenését eredményezheti. ·Az alapvető és fontos szervezetek esetében a kiberbiztonsági felkészültség szintjének növelése enyhítheti a zavarok – ideértve az ipari kémkedést is – miatti esetleges bevételkiesést, és csökkentheti az eseti fenyegetések mérséklésének jelentős költségeit. Az említett nyereség valószínűleg meghaladja a szükséges beruházási költségeket. A belső piac széttagoltságának csökkentése szintén javítaná a szereplők közötti egyenlő versenyfeltételeket. ·A tagállamok számára ez tovább csökkentheti az ad hoc fenyegetések mérséklésével járó növekvő költségvetési kiadások és a kiberbiztonsági eseményekhez kapcsolódó vészhelyzetek esetén felmerülő további költségek kockázatát. ·A polgárok számára a kiberbiztonsági események kezelése várhatóan csökkenti a gazdasági zavarok miatti jövedelemkiesést.

A kiberbiztonság megnövekedett szintje a tagállamokban, valamint a vállalatok és hatóságok azon képessége, hogy gyorsan reagáljanak egy eseményre és mérsékeljék annak hatásait, nagy valószínűséggel a polgárok digitális gazdaságba vetett általános bizalmának növekedését eredményezi, amelynek pozitív hatása lehet a növekedésre és a beruházásokra. A kiberbiztonság általános szintjének növelése valószínűleg megnövekedett általános biztonsághoz és a társadalom számára kritikus alapvető szolgáltatások zavartalan, folyamatos működéséhez is elvezet. A kezdeményezés hozzájárulhat más társadalmi hatásokhoz is, például a számítógépes bűnözés és a terrorizmus csökkenéséhez, valamint az erősebb polgári védelemhez. A kibernetikai felkészültség növelése a vállalkozások és más szervezetek számára megelőzheti a kibertámadásokból eredő esetleges pénzügyi veszteségeket, így kiiktatva a munkavállalók elbocsátásának szükségességét. A kiberbiztonság általános szintjének növelése a környezeti kockázatok/károk megelőzését is eredményezheti egy alapvető szolgáltatás elleni támadás esetén. Ez különösen érvényes lehet az energia, a vízellátás és az elosztás, illetve a közlekedési ágazatok területén. A kiberbiztonsági képességek megerősítésével a kezdeményezés a környezetvédelmi szempontból is fenntarthatóbb, legújabb generációs IKT-infrastruktúrák és -szolgáltatások fokozottabb kihasználásához vezethet, a nem hatékony és kevésbé biztonságos örökségi infrastruktúrák cseréje mellett. Ez várhatóan hozzájárul a költséges kiberbiztonsági események számának csökkenéséhez, felszabadítva fenntartható beruházásokhoz elérhető forrásokat. •Célravezető szabályozás és egyszerűsítés A javaslat a mikro- és kisvállalkozások kiberbiztonsági irányelv hatálya alóli általános kizárását írja elő és egy könnyebb utólagos felügyeleti rendszert alkalmaz a felülvizsgált hatály alá újonnan bekerülő szervezetek nagy részére (az úgynevezett fontos szervezetekre). Ezen intézkedések célja a vállalatokra és a közigazgatásra nehezedő terhek legkisebbre csökkentése és kiegyensúlyozása. Ezenkívül a javaslat felváltja az alapvető szolgáltatásokat nyújtó szereplők összetett azonosítási rendszerét egy általánosan alkalmazandó kötelezettséggel, és magasabb szintű harmonizációt vezet be a biztonsági és jelentési kötelezettségek terén, ami csökkentené a megfelelés terheit, különösen a határokon átnyúló szolgáltatásokat nyújtó szervezetek számára. A javaslat minimalizálja a kkv-k megfelelési költségeit, mivel a szervezeteknek csak azokat az intézkedéseket kell megtenniük, amelyek szükségesek a hálózati és információs rendszerek jelen lévő kockázatnak megfelelő biztonsági szintjének biztosításához. •Alapjogok Az EU elkötelezett az alapvető jogok magas szintű védelmének biztosítása mellett. A szervezetek közötti minden önkéntes információmegosztási konstrukció – amelyet ez az irányelv támogat, megbízható környezetben működne, teljes mértékben tiszteletben tartva az uniós adatvédelmi szabályokat, nevezetesen az (EU) 2016/679 európai parlamenti és tanácsi rendeletet. 4.KÖLTSÉGVETÉSI VONZATOK Lásd a pénzügyi adatlapot 5.EGYÉB ELEMEK •Végrehajtási tervek, valamint a nyomon követés, az értékelés és a jelentéstétel szabályai A javaslat tartalmaz egy általános tervet a konkrét célkitűzésekre gyakorolt hatás nyomon követésére és értékelésére, amely előírja a Bizottság számára, hogy a hatálybalépést követően legalább [54 hónappal] végezzen felülvizsgálatot, és tegyen jelentést az Európai Parlamentnek és a Tanácsnak a fő megállapításairól. A felülvizsgálatot a Bizottság minőségi jogalkotásra vonatkozó iránymutatásainak megfelelően kell lefolytatni. •A javaslat egyes rendelkezéseinek részletes magyarázata A javaslat több fő szakpolitikai terület köré épül, amelyek összefüggenek egymással, és azt a célt szolgálja, hogy növelje az Unióban a kiberbiztonság szintjét. Tárgy és hatály (1. cikk és 2. cikk) Az irányelv különösen: a) előír kötelezettségeket a tagállamok számára a nemzeti kiberbiztonsági stratégia elfogadására, az illetékes nemzeti hatóságok, az egyedüli kapcsolattartó pontok és a CSIRT-ek kijelölésére vonatkozóan; b) előírja, hogy a tagállamoknak kiberbiztonsági kockázatkezelési és jelentéstételi kötelezettségeket kell megállapítaniuk az I. mellékletben említett alapvető szervezetek és a II. mellékletben említett fontos szervezetek számára; c) előírja, hogy a tagállamok határozzanak meg kiberbiztonsági információk megosztására vonatkozó kötelezettségeket. Az irányelv az I. mellékletben felsorolt ágazatokban (energia; szállítás; banki szolgáltatások; pénzügyi piaci infrastruktúrák; egészségügy, ivóvíz; szennyvíz; digitális infrastruktúra; közigazgatás és űrkutatás) működő egyes alapvető állami és magánszervezetekre, valamint a II. mellékletben felsorolt ágazatokban (postai és futárszolgálatok; hulladékgazdálkodás; vegyi anyagok gyártása, előállítása és forgalmazása; élelmiszer-előállítás, -feldolgozás és -forgalmazás; gyártás és digitális szolgáltatók) ágazatokban tevékenykedő, egyes fontos állami és magánszervezetekre vonatkozik. A 2003. május 6-i 2003/361/EK bizottsági ajánlás értelmében vett mikro- és kisvállalkozások nem tartoznak az irányelv hatálya alá, kivéve az elektronikus hírközlő hálózatok vagy a nyilvánosan elérhető elektronikus hírközlési szolgáltatások szolgáltatóit, a megbízható szolgáltatókat, a legfelső szintű doménnév-nyilvántartókat és közhiteles nyilvántartását vezetőket, valamint bizonyos egyéb szervezeteket, például egy tagállamban a szolgáltatás egyedüli szolgáltatóját. Nemzeti kiberbiztonsági keretek (5–11. cikk)

A tagállamoknak nemzeti kiberbiztonsági stratégiát kell elfogadniuk, amely meghatározza a stratégiai célokat, valamint a megfelelő politikai és szabályozási intézkedéseket a magas szintű kiberbiztonság elérése és fenntartása céljából. Az irányelv keretet hoz létre a biztonsági rések összehangolt közzétételére is, és előírja a tagállamoknak, hogy jelöljenek ki CSIRT-eket megbízható közvetítőként történő eljárásra, és az adatszolgáltató szervezetek és az IKT-termékek és IKT-szolgáltatások gyártói vagy szolgáltatói közötti interakció megkönnyítésére. Az ENISA-nak ki kell fejlesztenie és fenn kell tartania egy európai biztonságirés-nyilvántartást a felfedezett biztonsági rések vonatkozásában. A tagállamok kötelesek létrehozni a nemzeti kiberbiztonsági válságkezelési kereteket, többek között a nagyszabású kiberbiztonsági események és válságok kezeléséért felelős nemzeti illetékes hatóságok kijelölésével. A tagállamoknak egy vagy több nemzeti kiberbiztonsági hatóságot is ki kell jelölniük az ezen irányelv szerinti felügyeleti feladatok ellátására, valamint egy nemzeti kiberbiztonsági kapcsolattartó pontot (SPOC), amely kapcsolattartó funkciót lát el a tagállami hatóságok határokon átnyúló együttműködésének biztosítása érdekében. A tagállamoknak ki kell jelölniük CSIRT-eket is. Együttműködés (12–16. cikk) Az irányelv létrehoz egy együttműködési csoportot a stratégiai együttműködés és a tagállamok közötti információmegosztás támogatása és megkönnyítése, valamint a bizalom erősítése érdekében. Ezenkívül létrehoz egy CSIRT-hálózatot, hogy hozzájáruljon a tagállamok közötti bizalom kialakulásához, és elősegítse a gyors és hatékony operatív együttműködést. Létrehozza az Európai Kiberválságügyi Kapcsolattartó Szervezetek Hálózatát (EU-CyCLONe), hogy támogassa a nagyszabású kiberbiztonsági események és válságok összehangolt kezelését, és biztosítsa a tagállamok és az uniós intézmények közötti rendszeres információmegosztást. Az ENISA-nak a Bizottsággal együttműködve kétévente jelentést kell kiadnia az Unió kiberbiztonsági helyzetéről. A Bizottságnak létre kell hoznia egy szakértői értékelési rendszert, amely lehetővé teszi a kiberbiztonsági szakpolitikák tagállami eredményességének rendszeres szakértői értékelését. Kiberbiztonsági kockázatkezelési és jelentéstételi kötelezettségek (17–23. cikk) Az irányelv előírja a tagállamoknak, hogy rendelkezzenek arról, hogy a hatálya alá tartozó valamennyi szervezet vezető testületei hagyják jóvá az érintett szervezetek által hozott kiberbiztonsági kockázatkezelési intézkedéseket, és kövessék a kiberbiztonsággal kapcsolatos speciális képzést. A tagállamoknak biztosítaniuk kell, hogy az irányelv hatálya alá tartozó szervezetek megfelelő és arányos technikai és szervezési intézkedéseket hozzanak a hálózati és információs rendszerek biztonsága által keltett kiberbiztonsági kockázatok kezelésére. Arról is gondoskodniuk kell, hogy a szervezetek értesítsék az illetékes nemzeti hatóságokat vagy a CSIRT-eket minden olyan kiberbiztonsági eseményről, amely jelentős hatással van az általuk nyújtott szolgáltatás biztosítására. A legfelső szintű doménnév-nyilvántartók és a legfelső szintű domén (TLD) vonatkozásában doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetek pontos és teljes doménnév-nyilvántartási adatokat gyűjtenek és vezetnek. Ezenkívül az említett szervezeteknek hatékony hozzáférést kell biztosítaniuk a doménnyilvántartás adataihoz a jogosult hozzáférés-igénylők számára. Joghatóság és nyilvántartásba vétel (24. és 25. cikk) Alapvető fontosságú, hogy az alapvető és fontos szervezetek annak a tagállamnak a joghatósága alá tartozónak minősüljenek, ahol szolgáltatásaikat nyújtják. Bizonyos típusú szervezetek (DNS-szolgáltatók, legfelső szintű doménnév-nyilvántartók, felhőszolgáltatók, adatközpont-szolgáltatók és tartalomszolgáltató hálózati szolgáltatók, valamint bizonyos digitális szolgáltatók) azonban annak a tagállamnak a joghatósága alá tartoznak, amelyben üzleti tevékenység fő helye az Unióban van. Ennek célja annak biztosítása, hogy az említett szervezetek ne szembesüljenek eltérő jogszabályi követelményekkel, mivel különösen nagy mértékben nyújtanak határokon átnyúlóan szolgáltatásokat. Az ENISA-nak kell létrehoznia és vezetnie az utóbbi típusú szervezetek nyilvántartását. Információmegosztás (26. és 27. cikk) A tagállamok olyan szabályokat határoznak meg, amelyek lehetővé teszik a szervezetek számára, hogy az EUMSZ 101. cikkével összhangban konkrét kiberbiztonsági információmegosztási megállapodások keretében vegyenek részt a kiberbiztonsággal kapcsolatos információk megosztásában. Ezenkívül a tagállamok lehetővé teszik az ezen irányelv hatályán kívül eső szervezetek számára, hogy önkéntes alapon jelentést tegyenek jelentős eseményekről, kiberfenyegetésekről vagy majdnem bekövetkezett (near miss) eseményekről. Felügyelet és végrehajtás (28–34. cikk) Az illetékes hatóságok kötelesek felügyelni az irányelv hatálya alá tartozó szervezeteket, különös tekintettel annak biztosítására, hogy megfeleljenek a biztonsági és eseménybejelentési követelményeknek. Megkülönbözteti az alapvető szervezetekre vonatkozó előzetes felügyeleti rendszert és a fontos szervezetekre vonatkozó utólagos felügyeleti rendszert, amely utóbbi azt igényli az illetékes hatóságoktól, hogy tegyenek lépéseket, ha bizonyítékokat vagy jelzést kapnak arról, hogy egy fontos szervezet nem felel meg a biztonsági és eseménybejelentési követelményeknek. Az irányelv azt is előírja a tagállamoknak, hogy adminisztratív bírságokat szabjanak ki az alapvető és fontos szervezetek számára, és meghatározza a bírságok maximális értékét.

A tagállamoknak szükség szerint együtt kell működniük és segíteniük kell egymást, ha a szervezetek több tagállamban nyújtanak szolgáltatást, vagy ha a szervezet üzleti tevékenységének fő helye vagy képviselője egy adott tagállamban található, de hálózata és információs rendszerei egy vagy több más tagállamban találhatók. 2020/0359 (COD) Javaslat AZ EURÓPAI PARLAMENT ÉS A TANÁCS IRÁNYELVE az Unió egész területén magas szintű kiberbiztonságot biztosító intézkedésekről, valamint az (EU) 2016/1148 irányelv hatályon kívül helyezéséről (EGT-vonatkozású szöveg) AZ EURÓPAI PARLAMENT ÉS AZ EURÓPAI UNIÓ TANÁCSA, tekintettel az Európai Unió működéséről szóló szerződésre és különösen annak 114. cikkére, tekintettel az Európai Bizottság javaslatára, a jogalkotási aktus tervezetének a nemzeti parlamenteknek való megküldését követően, tekintettel az Európai Gazdasági és Szociális Bizottság véleményére, tekintettel a Régiók Bizottságának véleményére, rendes jogalkotási eljárás keretében, mivel: (1)Az Európai Parlament és a Tanács (EU) 2016/1148 irányelve célja a kiberbiztonsági képességek egész Unióban történő kiépítése, a kulcsfontosságú ágazatokban az alapvető szolgáltatások nyújtására használt hálózati és információs rendszerek fenyegetéseinek enyhítése és az említett szolgáltatások folyamatosságának biztosítása a kiberbiztonsági események során, hozzájárulva ezzel az Unió gazdaságának és társadalmának hatékony működéséhez. (2)Az (EU) 2016/1148 irányelv hatálybalépése óta jelentős előrelépés történt az Unió kiberrezilienciájának növelése terén. Az irányelv felülvizsgálata megmutatta, hogy katalizátorként szolgált az uniós kiberbiztonság intézményi és szabályozási megközelítésében, utat nyitva a gondolkodásmód jelentős változásának. Ez az irányelv a nemzeti kiberbiztonsági stratégiák meghatározásával, a nemzeti képességek kialakításával és az egyes tagállamok által azonosított alapvető infrastruktúrákra és szereplőkre vonatkozó szabályozási intézkedések végrehajtásával biztosította a nemzeti keretek kiteljesedését. Az együttműködési csoport, valamint a nemzeti számítógép-biztonsági eseményekre reagáló csoportok hálózata („CSIRT-hálózat”)létrehozásával hozzájárult az uniós szintű együttműködéshez is. Ezen eredmények ellenére az (EU) 2016/1148 irányelv felülvizsgálata olyan hiányosságokat tárt fel, amelyek megakadályozzák, hogy eredményesen kezelje az aktuális és felmerülő kiberbiztonsági kihívásokat. (3)A hálózati és információs rendszerek a mindennapi élet központi jellemzőjévé fejlődtek a társadalom gyors digitális átalakulásával és összekapcsolódásával, beleértve a határokon átnyúló információmegosztást is. Ez a fejlődés a kiberbiztonsági fenyegetettség bővüléséhez vezetett, új kihívások támasztásával, amelyek minden tagállamban kiigazított, összehangolt és innovatív reagálást igényelnek. A kiberbiztonsági események száma, nagysága, kifinomultsága, gyakorisága és hatása növekszik, és komoly veszélyt jelentenek a hálózati és információs rendszerek működésére. Ennek következtében a kiberbiztonsági események akadályozhatják a belső piaci gazdasági tevékenységek folytatását, pénzügyi veszteségeket okozhatnak, alááshatják a felhasználók bizalmát, és jelentős károkat okozhatnak az Unió gazdaságában és a társadalmában. A kiberbiztonsági felkészültség és hatásosság ezért minden eddiginél elengedhetetlenebb a belső piac megfelelő működéséhez. (4)Az 1148/2016/EU irányelv jogalapja az Európai Unió működéséről szóló szerződés (EUMSZ) 114. cikke volt, amelynek célja a belső piac létrehozása és működése a nemzeti szabályok közelítésére irányuló intézkedések fokozásával. A szolgáltatásokat nyújtó vagy gazdaságilag releváns tevékenységeket végző szervezetekre előírt kiberbiztonsági követelmények jelentősen eltérnek a tagállamokban a követelmények típusa, részletességi szintje és a felügyelet módja tekintetében. Ezek az eltérések többletköltségekkel járnak és nehézségeket okoznak a határokon átnyúló viszonylatban árukat vagy szolgáltatásokat kínáló vállalkozások számára. Az egyik tagállam által előírt, a másik tagállam által előírtaktól eltérő vagy akár azoknak ellentmondó követelmények jelentősen befolyásolhatják ezeket a határokon átnyúló tevékenységeket. Ezenkívül egy tagállamban a kiberbiztonsági előírások nem optimális kialakításának vagy végrehajtásának lehetősége valószínűleg visszahat más tagállamok kiberbiztonsági szintjére, különös tekintettel az intenzív, határokon átnyúló információmegosztásra. Az (EU) 2016/1148 irányelv felülvizsgálata jelentős eltéréseket mutatott a tagállamok általi végrehajtás terén, ideértve a hatállyal kapcsolatban is, amelynek lehatárolása nagyrészt a tagállamok mérlegelési jogkörében maradt. Az (EU) 2016/1148 irányelv szintén nagyon tág mérlegelési mozgásteret biztosított a tagállamoknak az abban meghatározott biztonsági és eseményjelentési kötelezettségek végrehajtása tekintetében. Ezeket a kötelezettségeket tehát nemzeti szinten jelentősen eltérő módon hajtották végre. Hasonló eltérések mutatkoztak a végrehajtásban az irányelv felügyeletre és végrehajtásra vonatkozó rendelkezéseivel kapcsolatban. (5)Mindezek az eltérések a belső piac széttöredezettségével járnak, és káros hatással lehetnek annak működésére, különösen az eltérő előírások alkalmazása miatt a határokon átnyúló szolgáltatások nyújtására és a kiberreziliencia szintjére. Ennek az irányelvnek az a célja, hogy kiküszöbölje a tagállamok közötti ilyen nagy eltéréseket, különösen egy összehangolt szabályozási keret működésével kapcsolatos minimumszabályok megállapításával, az egyes tagállamok felelős hatóságai közötti hatékony együttműködés mechanizmusainak meghatározásával, a kiberbiztonsági kötelezettségek hatálya alá tartozó ágazatok és tevékenységek listájának frissítésével, valamint olyan hatékony jogorvoslatok és szankciók biztosításával, amelyek kulcsfontosságúak e kötelezettségek tényleges érvényesítéséhez. Ezért az (EU) 2016/1148 irányelvet hatályon kívül kell helyezni, és azt ez az irányelv váltja fel. (6)Ez az irányelv nem érinti a tagállamok azon képességét, hogy meghozzák alapvető biztonsági érdekeik védelme, a közrend és a közbiztonság védelme, valamint a bűncselekmények kivizsgálásának, felderítésének és üldözésének lehetővé tétele érdekében a szükséges intézkedéseket, az uniós joggal összhangban. Az EUMSZ 346. cikkének megfelelően egyetlen tagállam sem köteles olyan információkat szolgáltatni, amelyek nyilvánosságra hozatala ellentétes lenne alapvető közbiztonsági érdekeivel. Ebben az összefüggésben jelentőséggel bírnak a minősített információk védelmére vonatkozó nemzeti és uniós szabályok, a titoktartási megállapodások és az informális titoktartási megállapodások, például a jelzőlámpás protokoll (TLP).

(7)Az (EU) 2016/1148 irányelv hatályon kívül helyezésével az ágazati alkalmazási kört ki kell terjeszteni a gazdaság nagyobb részére, a (4)–(6) preambulumbekezdésben foglalt megfontolásokra figyelemmel. Az (EU) 2016/1148 irányelv hatálya alá tartozó ágazatokat ezért ki kell terjeszteni, hogy átfogóan lefedjék azokat az ágazatokat és szolgáltatásokat, amelyek létfontosságúak a belső piacon kulcsfontosságú társadalmi és gazdasági tevékenységek szempontjából. A szabályoknak nem szabad különbözniük aszerint, hogy a szervezetek alapvető szolgáltatásokat nyújtó szereplők vagy digitális szolgáltatók. E megkülönböztetés elavultsága bebizonyosodott, mivel nem tükrözi az ágazatok vagy szolgáltatások tényleges jelentőségét a belső piaci társadalmi és gazdasági tevékenységek szempontjából. (8)Az (EU) 2016/1148 irányelvvel összhangban a tagállamok voltak felelősek annak megállapításáért, hogy mely szervezetek felelnek meg az alapvető szolgáltatásokat nyújtó szereplők minősítés kritériumainak („azonosítási folyamat”). A tagállamok között e tekintetben mutatkozó nagy eltérések kiküszöbölése, valamint az összes érintett szervezet vonatkozásában a kockázatkezelési követelmények és a jelentéstételi kötelezettségek tekintetében a jogbiztonság biztosítása érdekében egy olyan egységes kritériumot kell megállapítani, amely meghatározza az ezen irányelv alkalmazásának hatálya alá tartozó szervezeteket. Ennek a kritériumnak tartalmaznia kell a méretkorlát szabály alkalmazását, amelynek során – a 2003/361/EK bizottsági ajánlás meghatározása szerinti – minden olyan közép- és nagyvállalkozás, amely az ezen irányelv hatálya alá tartozó ágazatokban működik vagy az irányelv hatálya alá tartozó típusú szolgáltatásokat nyújt, az irányelv hatálya alá tartoznak. A tagállamoktól nem követelhető meg azon szervezetek listájának létrehozása, amelyek megfelelnek ennek az általánosan alkalmazható, mérethez kapcsolódó kritériumnak. (9)Azonban az irányelvnek hatálya alá kell tartozniuk azoknak a kis- vagy mikrovállalkozásoknak is, amelyek megfelelnek azt jelző bizonyos feltételeknek, hogy kulcsfontosságú szerepet töltenek be a tagállamok gazdasága vagy társadalma, illetve bizonyos ágazatok vagy szolgáltatástípusok szempontjából. A tagállamoknak kell felelniük az említett szervezetek listájának elkészítéséért, és azt be kell nyújtaniuk a Bizottsághoz. (10)A Bizottság az együttműködési csoporttal együttműködve iránymutatásokat adhat ki a mikro- és kisvállalkozásokra alkalmazandó kritériumok végrehajtásáról. (11)Az ezen irányelv hatálya alá tartozó szervezeteket – attól függően, hogy mely ágazatban működnek vagy milyen típusú szolgáltatást nyújtanak – kettő, a nélkülözhetetlen és a fontos kategóriába kell sorolni. A besorolás során figyelembe kell venni az ágazat vagy a szolgáltatás típusának kritikusságát, valamint az egyéb ágazatok vagy szolgáltatástípusok függőségének szintjét. Mind az alapvető, mind a fontos szervezetekre ugyanazokat a kockázatkezelési követelményeket és jelentési kötelezettségeket kell alkalmazni. A szervezetek e két kategóriája között a felügyeleti és büntetési rendszer tekintetében különbséget kell tenni, hogy biztosítani lehessen az egyensúlyt a követelmények és kötelezettségek, valamint a megfelelés felügyeletéből adódó adminisztratív terhek között. (12)Az ágazatspecifikus jogszabályok és eszközök hozzájárulhatnak a magas szintű kiberbiztonság biztosításához, miközben teljes mértékben figyelembe veszik ezen ágazatok sajátosságait és összetettségét. Amennyiben egy ágazatspecifikus uniós jogi aktus előírja az alapvető vagy fontos szervezetek számára, hogy fogadjanak el kiberbiztonsági kockázatkezelési intézkedéseket, vagy jelentsék az eseményeket vagy a jelentős kiberfenyegetéseket, amelyek legalább egyenértékűek az ebben az irányelvben megállapított kötelezettségekkel, akkor ezeket az ágazatspecifikus rendelkezéseket kell alkalmazni, ideértve a felügyeletet és végrehajtást is. A Bizottság iránymutatásokat adhat ki a lex specialis végrehajtásával kapcsolatban. Ez az irányelv nem zárja ki a kiberbiztonsági kockázatkezelési intézkedésekkel és az események bejelentésével foglalkozó további ágazatspecifikus uniós jogi aktusok elfogadását. Ez az irányelv nem érinti a Bizottságra számos ágazatban – ideértve a közlekedést és az energiaágazatot is – átruházott, meglévő végrehajtási hatásköröket. (13)Az XXXX/XXXX európai parlamenti és tanácsi rendeletet ezen irányelv vonatkozásában ágazatspecifikus uniós jogi aktusnak kell tekinteni a pénzügyi ágazat szervezetei tekintetében. Az ezen irányelv alapján létrehozott rendelkezések helyett az XXXX/XXXX rendelet információs és kommunikációs technológiai (IKT) kockázatkezelési intézkedésekre, az IKT-vel kapcsolatos események kezelésére és különösen az események jelentésére, valamint a digitális működési reziliencia tesztekre, az információmegosztási megállapodásokra és a harmadik féllel kapcsolatos IKT-kockázatokra vonatkozó rendelkezéseit kell alkalmazni. A tagállamok ezért nem alkalmazhatják ezen irányelv kiberbiztonsági kockázatkezelési és jelentési kötelezettségekre, információmegosztásra, felügyeletre és végrehajtásra vonatkozó rendelkezéseit a XXXX/XXXX rendelet hatálya alá tartozó pénzügyi szervezetekre. Ugyanakkor fontos, hogy ezen irányelv alapján fennmaradjon a szoros kapcsolat és információmegosztás a pénzügyi ágazattal. Ennek érdekében a XXXX/XXXX rendelet értelmében valamennyi pénzügyi felügyelet, a pénzügyi ágazat európai felügyeleti hatóságai és az illetékes nemzeti hatóságok a XXXX/XXXX rendelet szerint részt vehetnek stratégiai politikai megbeszéléseken és az együttműködési csoport technikai munkájában, valamint információt cserélhetnek és együttműködhetnek az ezen irányelv alapján kijelölt egyedüli kapcsolattartó ponttal és a nemzeti CSIRT-ekkel. A XXXX/XXXX rendelet szerint illetékes hatóságoknak továbbítaniuk kell az IKT-vel kapcsolatos jelentős események részleteit az ezen irányelv alapján kijelölt egyedüli kapcsolattartó pontra is. Ezenkívül a tagállamoknak továbbra is be kell vonniuk a pénzügyi ágazatot kiberbiztonsági stratégiájukba, és a nemzeti CSIRT-ek tevékenységei kiterjedhetnek a pénzügyi ágazatra. (14)A kiberbiztonság és a szervezetek fizikai biztonsága közötti összefüggésekre tekintettel koherens megközelítést kell biztosítani az (EU) XXX/XXX európai parlamenti és tanácsi irányelv és ezen irányelv között. Ennek elérése érdekében a tagállamoknak biztosítaniuk kell, hogy az (EU) XXX/XXX irányelv alapján a kritikus jelentőségű szervezeteket és azokkal egyenértékű szervezeteket ezen irányelv alapján alapvető szervezeteknek tekintsék. A tagállamoknak arról is gondoskodniuk kell, hogy kiberbiztonsági stratégiáik biztosítsanak egy politikai keretet az ezen irányelv és az (EU) XXX/XXX irányelv szerinti illetékes hatóság közötti fokozott koordinációra az eseményekkel és a kiberfenyegetésekkel kapcsolatos információk megosztása és felügyeleti feladatok összefüggésében. A két irányelv szerinti hatóságoknak együtt kell működniük és információt kell cserélniük, különös tekintettel a kritikus szervezetek azonosítására, a kiberfenyegetésekre, a kiberbiztonsági kockázatokra, a kritikus szervezeteket érintő eseményekre, valamint a kritikus szervezetek által végrehajtott kiberbiztonsági intézkedésekre. Az (EU) XXX/XXX irányelv szerinti illetékes hatóságok kérésére az ezen irányelv alapján illetékes hatóságok számára lehetővé kell tenni, hogy felügyeleti és végrehajtási hatáskörüket gyakorolhassák a kritikusnak minősített alapvető szervezeteknél. E célból a két hatóságnak együtt kell működnie és információt kell cserélnie. (15)A megbízható, rugalmas és biztonságos doménnévrendszer (DNS) fenntartása és megőrzése kulcsfontosságú tényező az internet integritásának fenntartásában, és elengedhetetlen annak folyamatos és stabil működéséhez, amelytől a digitális gazdaság és a társadalom függ. Ezért ezt az irányelvet a DNS-feloldási lánc mentén minden DNS-szolgáltatóra alkalmazni kell, ideértve a gyökérnévhez tartozó szerverek üzemeltetőit, a legfelső szintű domén (TLD) névszervereket, a doménnevek hiteles névszervereit és a rekurzív felbontókat. (16)A felhőszolgáltatásoknak ki kell terjedniük azokra a szolgáltatásokra, amelyek igény szerinti és széles távoli hozzáférést tesznek lehetővé a megosztható és elosztott számítástechnikai erőforrások méretezhető és rugalmas készletéhez. E számítástechnikai erőforrások részét képezik olyan erőforrások, mint a hálózatok, a szerverek vagy más infrastruktúra, az operációs rendszerek, a szoftverek, a tárhelyek, az alkalmazások és a szolgáltatások. A felhőalapú számítástechnika telepítési modelljeinek ki kell terjedniük a magán-, a közösségi, a nyilvános és a hibrid felhőre. A fent említett szolgáltatási és telepítési modelleknek ugyanaz a jelentése, mint az ISO/IEC 17788: 2014 szabványban meghatározott szolgáltatási és telepítési modelleknek. A felhőszolgáltatás felhasználójának azon képessége, hogy egyoldalúan önkiszolgáló számítástechnikai kapacitásokról, például kiszolgálói időről vagy hálózati tárhelyről gondoskodjon, a felhőszolgáltató emberi beavatkozása nélkül, igény szerinti adminisztrációként jellemezhető. A „széles távoli hozzáférés” kifejezést annak leírására használják, hogy a felhőképességeket a hálózaton keresztül biztosítják, és heterogén vékony vagy vastag kliensplatformok (beleértve a mobiltelefonokat, táblagépeket, laptopokat, munkaállomásokat) használatát elősegítő mechanizmusok révén érik el azokat. A „méretezhető” kifejezés olyan számítástechnikai erőforrásokra utal, amelyeket a felhőszolgáltató rugalmasan allokál, függetlenül az erőforrások földrajzi elhelyezkedésétől, a kereslet ingadozásainak kezelése érdekében. A „rugalmas készlet” kifejezés leírja azokat a számítási erőforrásokat, amelyeket az igényeknek megfelelően hoznak létre és bocsátanak ki a rendelkezésre álló erőforrások gyors növelése és csökkentése érdekében, a munkaterheléstől függően. A „megosztható” kifejezés azoknak a számítási erőforrásoknak a leírására szolgál, amelyeket több olyan felhasználónak biztosítanak, akiknek közös hozzáférése van a szolgáltatáshoz, de ahol a feldolgozást minden felhasználó számára külön végzik, bár a szolgáltatást ugyanazon elektronikus berendezések nyújtják. Az „elosztott” kifejezés azon számítási erőforrások leírására szolgál, amelyek olyan különböző hálózatba kötött számítógépeken vagy eszközökön találhatók, amelyek üzenetközvetítéssel kommunikálnak és koordinálják magukat. (17)Tekintettel az innovatív technológiák és az új üzleti modellek megjelenésére, várhatóan új felhőalapú számítástechnika telepítési és szolgáltatási modellek jelennek meg a piacon, a változó vásárlói igényeknek megfelelően. Ebben az összefüggésben a felhőszolgáltatásokat rendkívül elosztott formában lehet nyújtani, még közelebb az adatok generálásának vagy összegyűjtésének helyéhez, ezáltal átállva a hagyományos modellről a nagymértékben elosztottra („pereminformatika”). (18)Az adatközpont-szolgáltatók által kínált szolgáltatásokat nem mindig biztosíthatják felhőszolgáltatások formájában. Ennek megfelelően az adatközpontok nem mindig képezik a felhőalapú számítástechnikai infrastruktúra részét. A hálózati és információs rendszerek biztonságára fennálló összes kockázat kezelése érdekében ennek az irányelvnek ki kell terjednie az olyan adatközpont-szolgáltatások szolgáltatóira is, amelyek nem felhőszolgáltatások. Ezen irányelv alkalmazásában az „adatközpont-szolgáltatás” kifejezésnek magában kell foglalnia olyan szolgáltatások nyújtását, amelyeknek részét képezik olyan struktúrák vagy struktúracsoportok, amelyek az adattárolási, feldolgozási és továbbítási szolgáltatásokat nyújtó informatika és hálózati berendezések központosított elhelyezésére, összekapcsolására és működtetésére szolgálnak, a villamosenergia-elosztás és a környezetvédelmi ellenőrzés összes létesítményével és infrastruktúrájával együtt. Az „adatközpont-szolgáltatás” kifejezés nem vonatkozik az érintett szervezet saját tulajdonában lévő és saját céljaira működtetett házon belüli, vállalati adatközpontokra. (19)A 97/67/EK európai parlamenti és tanácsi irányelv értelmében vett postai szolgáltatóknak, valamint az expressz és futárszállítási szolgáltatóknak ezen irányelv hatálya alá kell tartozniuk, ha a postai kézbesítési lánc legalább egyik lépését biztosítják, különös tekintettel az elszámolásra, a válogatásra vagy a terjesztésre, ideértve az átvételi szolgáltatásokat is. Azoknak a szállítási szolgáltatásoknak, amelyeket nem e lépések egyikével kapcsolatban végeznek, a postai szolgáltatások körén kívül kell esniük. (20)Az egyre növekvő kölcsönös függőségek az egyre inkább nemzetközivé váló és egymástól függő olyan szolgáltatási hálózat következményei, amelyek az Unió egész területén kulcsfontosságú infrastruktúrákat használnak az energia-, a közlekedési, a digitális infrastruktúra, az ivóvíz- és szennyvíz-, az egészségügyi ágazatban, a közigazgatás bizonyos vonatkozásaiban, valamint az űrágazatban, amennyiben bizonyos szolgáltatások nyújtása olyan földi infrastruktúráktól függ, amelyek tulajdonosai, kezelői és üzemeltetői tagállamok vagy magánszemélyek, tehát nem tartoznak ide az Unió vagy űrprogramja részeként annak megbízottja tulajdonában lévő, általa kezelt vagy üzemeltetett infrastruktúrák. Ezek az egymásrautaltságok azt jelentik, hogy bármilyen zavarnak – akkor is, ha eredetileg csak egy szervezetre vagy egy ágazatra korlátozódik – szélesebb körben lépcsőzetes hatásai lehetnek, ami messzemenő és hosszú távú negatív hatásokat eredményezhet a szolgáltatások belső piacon történő nyújtásában. A Covid19-járvány megmutatta az egyre inkább egymásra utalt társadalmaink sérülékenységét az alacsony valószínűségű kockázatokkal szemben. (21)Figyelemmel a nemzeti irányítási struktúrák közötti különbségekre, és a már meglévő ágazati megállapodások vagy az uniós felügyeleti és szabályozó testületek védelme érdekében a tagállamok több olyan nemzeti illetékes hatóságot jelölhetnek ki, amelyek a hálózat és az ezen irányelv szerinti alapvető és fontos szervezetek információs rendszerei biztonságával kapcsolatos feladatok ellátásáért felelnek. A tagállamok ezt a szerepkört egy meglévő hatóságra bízhatják. (22)A határokon átnyúló együttműködés és a hatóságok közötti kommunikáció megkönnyítése és ezen irányelv hatékony végrehajtásának lehetővé tétele érdekében minden tagállamnak ki kell jelölnie egy nemzeti kapcsolattartó pontot, amely felelős a hálózati és információs rendszerek biztonságával kapcsolatos kérdések koordinálásáért és a határokon átnyúló együttműködésért uniós szinten. (23)Az illetékes hatóságoknak vagy a CSIRT-eknek ténylegesen és hatékonyan meg kell kapniuk a szervezetektől az eseményekre vonatkozó bejelentéseket. Az egyedüli kapcsolattartó pontokat azzal kell megbízni, hogy továbbítsák az eseményekre vonatkozó bejelentéseket a többi érintett tagállam egyedüli kapcsolattartó pontjának. A tagállamok hatóságainak szintjén, annak biztosítása érdekében, hogy minden tagállamban egyetlen egyedüli kapcsolattartó pont legyen, az illetékes hatóságoktól az XXXX/XXXX rendelet alapján a pénzügyi ágazatbeli szervezetekkel kapcsolatos eseményekkel kapcsolatos releváns információkat az egyedüli kapcsolattartó pontnak kell megküldeni, amely adott esetben azokat ezen irányelv alapján az illetékes nemzeti illetékes hatóságoknak vagy a CSIRT-eknek továbbíthatja. (24)A tagállamoknak mind technikai, mind szervezeti képességek tekintetében megfelelő felszereléssel kell rendelkezniük a hálózati és információs rendszerekkel kapcsolatos események és kockázatok megelőzésére, felderítésére, azok kezelésére és mérséklésére. A tagállamoknak ezért biztosítaniuk kell, hogy jól működő CSIRT-ekkel, más néven számítógépes vészhelyzeteket elhárító csoportokkal (CERT-ek) rendelkezzenek, amelyek megfelelnek az alapvető követelményeknek annak érdekében, hogy garantálják az események és kockázatok kezelésének hatékony és kompatibilis képességeit, valamint hogy uniós szinten biztosítsák a hatékony együttműködést. Figyelemmel a szervezetek és a CSIRT-ek közötti bizalmi kapcsolat fokozására, azokban az esetekben, amikor a CSIRT az illetékes hatóság része, a tagállamoknak fontolóra kell venniük a CSIRT-ek által biztosított operatív feladatok funkcionális elkülönítését, különösen az információmegosztással és a szervezetek és az illetékes hatóságok felügyeleti tevékenységei támogatásával kapcsolatban. (25)A személyes adatok tekintetében a CSIRT-ek az (EU) 2016/679 európai parlamenti és tanácsi rendelettel összhangban a személyes adatok tekintetében ezen irányelv alapján valamely szervezet nevében és kérésére a szolgáltatások nyújtásához használt hálózati és információs rendszereket proaktív átvizsgálhatják. A tagállamoknak arra kell törekedniük, hogy valamennyi ágazati CSIRT számára egyenlő szintű technikai képességeket biztosítsanak. A tagállamok kérhetik az Európai Unió Kiberbiztonsági Ügynökségének (ENISA) segítségét a nemzeti CSIRT-ek fejlesztéséhez. (26)Tekintettel a kiberbiztonság terén folytatott nemzetközi együttműködés fontosságára, a CSIRT-ek részt vehetnek az ezen irányelv által létrehozott CSIRT-hálózatok mellett nemzetközi együttműködési hálózatokban is.

(27)A nagyszabású kiberbiztonsági eseményekre és válsághelyzetekre való összehangolt reagálásról szóló (EU) 2017/1548 bizottsági ajánlás („Útmutató”) mellékletével összhangban, nagyszabású eseménynek azt az eseményt kell jelentenie, amelynek legalább két tagállamra jelentős hatása van, vagy amelyből származó zavar meghaladja egy tagállam elhárítási képességét. Okuktól és hatásuktól függően a nagyszabású események eszkalálódhatnak, és olyan teljes körű válsággá válhatnak, amely nem teszi lehetővé a belső piac megfelelő működését. Tekintettel az említett események széles skálájára és a legtöbb esetben határokon átnyúló jellegére, a tagállamoknak és az érintett uniós intézményeknek, szerveknek és ügynökségeknek technikai, operatív és politikai szinten együtt kell működniük a reagálás Unión belüli megfelelő összehangolása érdekében. (28)Mivel a hálózati és információs rendszerek biztonsági réseinek kiaknázása jelentős zavarokat és kárt okozhat, a biztonsági rések gyors azonosítása és elhárítása fontos tényező a kiberbiztonsági kockázat csökkentésében. Az említett rendszereket fejlesztő szervezeteknek ezért megfelelő eljárásokat kell kidolgozniuk a biztonsági rések felfedezéskor történő kezelésére. Mivel a biztonsági réseket gyakran harmadik felek (adatszolgáltatásra kötelezett szervezetek) fedezik fel és jelentik (közlik), az IKT-termékek vagy -szolgáltatások gyártójának vagy szolgáltatójának szintén be kell vezetnie a biztonsági résre vonatkozó információk harmadik felektől történő fogadásához szükséges eljárásokat. Ebben a tekintetben az ISO/IEC 30111 és az ISO/IEC 29417 nemzetközi szabvány útmutatást nyújt a biztonsági rések kezeléséhez, illetve rendre a biztonsági rés nyilvánosságra hozatalához. A biztonsági rés nyilvánosságra hozatalát illetően különösen fontos az adatszolgáltatásra kötelezett szervezetek és az IKT-termékek vagy -szolgáltatók gyártói vagy szolgáltatói közötti koordináció. A biztonsági rés összehangolt nyilvánosságra hozatala strukturált folyamatot határoz meg, amelyen keresztül a szervezetek a biztonsági réseket oly módon jelentik, hogy a szervezet diagnosztizálja és orvosolja a biztonsági rést, mielőtt a biztonsági résre vonatkozó részletes információkat harmadik felekkel vagy a nyilvánossággal közölné. A biztonsági rés összehangolt nyilvánosságra hozatalának magában kell foglalnia az adatszolgáltatásra kötelezett szervezet és a szervezet közötti koordinációt a hiányosságok orvoslásának és közzétételének időzítése tekintetében. (29)A tagállamoknak ezért intézkedéseket kell hozniuk a biztonsági rés összehangolt nyilvánosságra hozatalának egy megfelelő nemzeti politika kialakításával történő megkönnyítésére. Ebben a tekintetben a tagállamoknak ki kell jelölniük egy CSIRT-et, amely betölti a „koordinátor” szerepét, és közvetítőként jár el az adatszolgáltatásra kötelezett szervezetek és az IKT-termékek vagy -szolgáltatások gyártói vagy szolgáltatói között, amennyiben ez szükséges. A CSIRT-koordinátor feladatai közé tartozik különösen az érintett szervezetek azonosítása és a velük való kapcsolatfelvétel, az adatszolgáltatásra kötelezett szervezetek támogatása, a nyilvánosságra hozatali ütemtervek letárgyalása és a több szervezetet érintő biztonsági rések kezelése (több felet érintő biztonsági rés közzététele). Ha a biztonsági rések IKT-termékek vagy -szolgáltatók több tagállamban letelepedett több gyártóját vagy szolgáltatóját érintik, az érintett tagállamok kijelölt CSIRT-jeinek együtt kell működniük a CSIRT-hálózaton belül. (30)Az IKT-termékeket és -szolgáltatásokat érintő biztonsági résekkel kapcsolatos helyes és időszerű információkhoz való hozzáférés hozzájárul a jobb kiberbiztonsági kockázatkezeléshez. E tekintetben a biztonsági résekről nyilvánosan elérhető információk forrásai fontos eszköznek minősülnek a szervezetek és azok felhasználói, de az illetékes nemzeti hatóságok és a CSIRT-ek számára is. Emiatt az ENISA-nak biztonságirés-nyilvántartást kell létrehoznia, amelyben az alapvető és fontos szervezetek és beszállítóik, valamint az ezen irányelv alkalmazásának hatálya alá nem tartozó szervezetek önkéntes alapon nyilvánosságra hozhatják a biztonsági réseket és megadhatják a biztonsági résre vonatkozó azon információkat, amelyek lehetővé teszi a felhasználók számára a megfelelő mérséklési intézkedések megtételét. (31)Noha léteznek hasonló biztonságirés-nyilvántartások vagy adatbázisok, ezeket nem az Unióban letelepedett szervezetek üzemeltetik és tartják fenn. Az ENISA által fenntartott európai biztonságirés-nyilvántartás javulást hoz a biztonsági rések hivatalos nyilvánosságra hozatala előtti közzétételi folyamat átláthatósága tekintetében, valamint rezilienciát a hasonló szolgáltatások nyújtásának megszakadása vagy zavara esetére. A kettős erőfeszítések megelőzése és a lehető legnagyobb mértékű kiegészítő jelleg elérése érdekében az ENISA-nak fel kell tárnia harmadik országok jogrendszerében hasonló nyilvántartásokkal strukturált együttműködési megállapodások megkötésének lehetőségét. (32)Az együttműködési csoportnak kétévente munkaprogramot kell kidolgoznia, amely tartalmazza a csoport céljainak és feladatainak végrehajtása érdekében végrehajtandó intézkedéseket. Az ezen irányelv alapján elfogadott első program időkeretét összhangba kell hozni az utolsó, az (EU) 2016/1148 irányelv alapján elfogadott program időkeretével a csoport munkájában bekövetkező esetleges zavarok elkerülése érdekében. (33)Az együttműködési csoportnak az útmutató dokumentumok kidolgozása során következetesen: fel kell térképeznie a nemzeti megoldásokat és tapasztalatokat, fel kell mérnie az együttműködési csoport eredményeinek nemzeti megközelítésekre gyakorolt hatását, meg kell vitatnia a végrehajtási kihívásokat és konkrét ajánlásokat kell megfogalmaznia, amelyeket a meglévő szabályok jobb végrehajtása révén kell megfogalmazni. (34)Az együttműködési csoportnak továbbra is rugalmas fórumnak kell maradnia, és reagálnia kell a változó és új politikai prioritásokra és kihívásokra, az erőforrások rendelkezésre állásának figyelembevételével. Rendszeres közös megbeszéléseket kell szerveznie az Unió egész területéről érkező érdekeltekkel, hogy megvitassák a csoport tevékenységeit, és információkat gyűjtsenek a felmerülő szakpolitikai kihívásokról. Az uniós szintű együttműködés fokozása érdekében a csoportnak fontolóra kell vennie a kiberbiztonsági szakpolitikában részt vevő uniós testületek és ügynökségek – például a Kiberbűnözés Elleni Európai Központ (EC3), az Európai Unió Repülésbiztonsági Ügynöksége (EASA) és az Európai Unió Űrprogramja (EUSPA) meghívását a munkájában történő részvételre. (35)Az együttműködés javítása érdekében az illetékes hatóságokat és a CSIRT-eket fel kell hatalmazni arra, hogy más tagállamok tisztviselőinek csereprogramjaiban részt vegyenek. Az illetékes hatóságoknak meg kell hozniuk a szükséges intézkedéseket annak érdekében, hogy más tagállamok tisztviselői tényleges szerepet tölthessenek be a fogadó illetékes hatóság tevékenységeiben. (36)Az Uniónak adott esetben nemzetközi megállapodásokat kell kötnie az EUMSZ 218. cikkével összhangban harmadik országokkal vagy nemzetközi szervezetekkel, lehetővé téve és megszervezve részvételüket az együttműködési csoport és a CSIRT-hálózat egyes tevékenységeiben. Az említett megállapodásoknak biztosítaniuk kell az adatok megfelelő védelmét. (37)A tagállamoknak hozzá kell járulniuk az (EU) 2017/1584 ajánlásban meghatározott uniós kiberbiztonsági válságelhárítási keret létrehozásához a meglévő együttműködési hálózatokon, nevezetesen az Európai Kiberválságügyi Kapcsolattartó Szervezetek Hálózatán (EU-CyCLONe), a CSIRT-hálózaton és az együttműködési csoporton keresztül. Az EU-CyCLONe-nak és a CSIRT-hálózatoknak az együttműködés módozatait meghatározó eljárási megállapodások alapján kell együttműködniük. Az EU-CyCLONe eljárási szabályzatának részletesen meg kell határoznia a hálózat működésének módját, a teljesség igénye nélkül ideértve a szerepköröket, az együttműködési módokat, az egyéb érintett szereplőkkel folytatott interakciókat és az információmegosztási sablonokat, valamint a kommunikáció eszközeit. Az uniós szintű válságkezelés során az érintett feleknek a politikai szintű integrált válságelhárítási (IPCR) megállapodásokra kell támaszkodniuk. A Bizottságnak erre a célra az ARGUS magas szintű, ágazatok közötti válságkoordinációs folyamatát kell alkalmaznia. Ha a válságnak fontos külső vagy a közös biztonság- és védelempolitika (KBVP) dimenziója van, aktiválni kell az Európai Külügyi Szolgálat (EKSZ) válságelhárítási mechanizmusát (VEM). (38)Ezen irányelv alkalmazásában a „kockázat” kifejezésnek a kiberbiztonsági esemény által okozott veszteség vagy zavar lehetőségére kell utalnia, és ezt az említett veszteség vagy zavar nagyságrendje és az említett esemény bekövetkezési valószínűsége kombinációjaként kell kifejezni. (39)Ezen irányelv alkalmazásában a „majdnem bekövetkezett (near miss) esemény” kifejezésnek olyan eseményre kell utalnia, amely potenciálisan kárt okozhatott volna, de a teljes bekövetkezését sikeresen megakadályozták. (40)A kockázatkezelési intézkedéseknek az események kockázatainak azonosítására, az események megelőzésére, felderítésére és kezelésére, valamint azok hatásainak enyhítésére irányuló intézkedéseket kell tartalmazniuk. A hálózati és információs rendszerek biztonságának magában kell foglalnia a tárolt, továbbított és feldolgozott adatok biztonságát. (41)Az alapvető és fontos szervezetekre aránytalan pénzügyi és adminisztratív terhek előírásának elkerülése érdekében a kiberbiztonsági kockázatkezelési követelményeknek arányosnak kell lenniük az érintett hálózat és információs rendszer által jelentett kockázattal, figyelembe véve az említett intézkedések korszerűségét. (42)Az alapvető és fontos szervezeteknek biztosítaniuk kell a tevékenységük során használt hálózati és információs rendszerek biztonságát. Ezek elsősorban magánhálózatok és információs rendszerek, amelyeket belső informatikai személyzetük kezel, vagy amelyek biztonságát kiszervezték. Az ezen irányelv szerinti kiberbiztonsági kockázatkezelési és jelentéstételi követelményeket az érintett alapvető és fontos szervezetekre alkalmazni kell, függetlenül attól, hogy hálózatuk és információs rendszereik karbantartását házon belül végzik-e vagy kiszervezik. (43)A szervezet ellátási láncából és a beszállítóival való kapcsolatából eredő kiberbiztonsági kockázatok kezelése különösen fontos, tekintettel azokra az esetekre, amikor a szervezetek kibertámadások áldozatává válnak, és amikor a rosszindulatú szereplők azzal tudják veszélyeztetni a szervezet hálózatának és információs rendszereinek biztonságát, hogy harmadik fél termékeit és szolgáltatásait érintő biztonsági réseket kihasználnak. A szervezeteknek ezért fel kell mérniük és figyelembe kell venniük a termékek általános minőségét és beszállítóik és szolgáltatóik kiberbiztonsági gyakorlatait, beleértve a biztonságos fejlesztési eljárásaikat is. (44)A szolgáltatók közül az irányított biztonsági szolgáltatók olyan területeken, mint az események elhárítása, behatolási tesztek, biztonsági auditok és tanácsadás, különösen fontos szerepet töltenek be abban, hogy segítsék a szervezeteket az események felderítésében és azok elhárításában. Azonban maguk az irányított biztonsági szolgáltatók is kibertámadások célpontjai, és az üzemeltetők működésébe való szoros integrációjuk révén különös kiberbiztonsági kockázatot jelentenek. A szervezeteknek ezért fokozott gondossággal kell eljárniuk az irányított biztonsági szolgáltató kiválasztása során. (45)A szervezeteknek foglalkozniuk kell azon kiberbiztonsági kockázatokkal is, amelyek egy szélesebb ökoszisztémán belüli más érdekeltekkel folytatott interakcióikból és kapcsolataikból fakadnak. A szervezeteknek különösen meg kell tenniük a megfelelő intézkedéseket annak biztosítása érdekében, hogy az egyetemekkel és a kutatóintézetekkel folytatott együttműködésük kiberbiztonsági politikájukkal összhangban történjen, és a bevált gyakorlatokat kövessék az információkhoz való általános hozzáférés és terjesztés, valamint különösen a szellemi tulajdon védelme tekintetében. Hasonlóképpen – tekintettel az adatok szervezetek tevékenysége szempontjából fennálló fontosságára és értékére – amennyiben az adatok átalakítására és harmadik felektől származó adatelemzési szolgáltatásokra támaszkodnak, a szervezeteknek meg kell tenniük a megfelelő kiberbiztonsági intézkedéseket. (46)Az ellátási lánc kulcsfontosságú kockázatainak további kezelése és az ezen irányelv hatálya alá tartozó ágazatokban működő szervezetek számára az ellátási lánccal és a szállítóval kapcsolatos kiberbiztonsági kockázatok megfelelő kezelésének elősegítése érdekében az érintett nemzeti hatóságokat bevonó együttműködési csoportnak a Bizottsággal és az ENISA-val együttműködve koordinált ágazati ellátásilánc-kockázatértékelést kell végeznie, az 5G hálózatok kiberbiztonságáról szóló (EU) 2019/534 ajánlást követően az 5G hálózatok esetében már megtettek szerint, annak meghatározása céljából, hogy melyek a kritikus IKT-szolgáltatások, -rendszerek vagy -termékek, a releváns fenyegetések és a biztonsági rések.

(47)Az ellátásilánc-kockázatértékeléseknek az érintett ágazat sajátosságaira figyelemmel figyelembe kell venniük a műszaki és adott esetben a nem technikai tényezőket, ideértve az (EU) 2019/534 ajánlásban, az 5G hálózatok biztonságának uniós összehangolt kockázatértékelése során és az együttműködési csoport által elfogadott 5G kiberbiztonsági uniós eszköztárban meghatározottakat is. Az összehangolt kockázatértékelés alá eső ellátási láncok azonosításához a következő kritériumokat kell figyelembe venni: i. az alapvető és fontos szervezetek mennyiben használnak bizonyos kritikus IKT-szolgáltatásokat, rendszereket vagy termékeket, és mennyiben támaszkodnak azokra; ii. a konkrét kritikus IKT-szolgáltatások, rendszerek vagy termékek relevanciája a kritikus vagy érzékeny funkciók ellátása tekintetében, ideértve a személyes adatok kezelését is; iii. alternatív IKT-szolgáltatások, rendszerek vagy termékek elérhetősége; iv. az IKT-szolgáltatások, -rendszerek vagy -termékek teljes ellátási láncának rezilienciája a zavaró eseményekkel szemben és v. a megjelenő IKT-szolgáltatások, -rendszerek vagy -termékek esetében azok jövőbeli jelentősége a szervezetek tevékenysége szempontjából. (48)A nyilvános elektronikus hírközlő hálózatok vagy a nyilvánosan elérhető elektronikus hírközlési szolgáltatások szolgáltatóira, valamint a hálózati és információs rendszereik biztonságával kapcsolatos megbízható szolgáltatókra előírt jogszabályi kötelezettségek észszerűsítése, valamint annak lehetővé tétele érdekében, hogy ezek a szervezetek és illetékes hatóságaik kiaknázhassák az ezen irányelv által létrehozott jogi keret előnyeit (ideértve a kockázatok és események kezeléséért felelős CSIRT kijelölését, az illetékes hatóságok és szervek részvételét az együttműködési csoport és a CSIRT hálózat munkájában), ezeket be kell vonni ezen irányelv hatálya alá. A 910/2014/EU európai parlamenti és tanácsi rendelet és az (EU) 2018/1972 európai parlamenti és tanácsi irányelv megfelelő, az említett típusú szervezetekre vonatkozó biztonsági és bejelentési követelmények előírásával kapcsolatos rendelkezéseit ezért hatályon kívül kell helyezni. A jelentési kötelezettségekre vonatkozó szabályok nem érinthetik az (EU) 2016/679 rendeletet és a 2002/58/EK európai parlamenti és tanácsi irányelvet. (49)Adott esetben és a szükségtelen zavarok elkerülése érdekében az (EU) 2018/1972 irányelv 40. cikkének (1) bekezdésében meghatározott biztonsági intézkedésekre vonatkozó szabályok átültetésére elfogadott meglévő nemzeti iránymutatásokat és nemzeti jogszabályokat, illetve az irányelv az esemény jelentőségével kapcsolatos paraméterekre vonatkozó 40. cikkének (2) bekezdését a felügyeletért és a végrehajtásért felelős illetékes hatóságoknak ezen irányelv alkalmazásában továbbra is alkalmazniuk kell. (50)A számfüggetlen személyközi hírközlési szolgáltatások növekvő jelentőségére tekintettel biztosítani kell, hogy az említett szolgáltatások sajátos jellegére és gazdasági jelentőségére figyelemmel azok megfeleljenek célszerű biztonsági követelményeknek is. Az említett szolgáltatások nyújtóinak tehát biztosítaniuk kell azt is, hogy a hálózati és információs rendszerek biztonsága megfeleljen a lehetséges kockázatoknak. Tekintettel arra, hogy a számfüggetlen személyközi hírközlési szolgáltatások szolgáltatói általában nem gyakorolnak tényleges ellenőrzést a hálózatokon keresztüli jelátvitel felett, az említett szolgáltatások kockázatának mértéke bizonyos szempontból alacsonyabbnak tekinthető, mint a hagyományos elektronikus hírközlési szolgáltatások esetében. Ugyanez vonatkozik azon személyközi hírközlési szolgáltatásokra, amelyek számokat használnak, és amelyek nem gyakorolnak tényleges ellenőrzést a jelátvitel felett. (51)A belső piac minden eddiginél jobban támaszkodik az internet működésére. Gyakorlatilag minden lényeges és fontos szervezet szolgáltatásai az interneten keresztül nyújtott szolgáltatásoktól függenek. Az alapvető és fontos szervezetek által nyújtott szolgáltatások zavartalanságának biztosítása érdekében fontos, hogy a nyilvános elektronikus hírközlő hálózatok – például az internetes gerinchálózat vagy a tenger alatti hírközlésre szolgáló kábelek – megfelelő kiberbiztonsági intézkedéseket vezessenek be, és jelentsék az ezekkel kapcsolatos eseményeket. (52)Adott esetben a szervezeteknek tájékoztatniuk kell a szolgáltatásaikat igénybe vevőket a sajátos és jelentős fenyegetésekről, valamint azokról az intézkedésekről, amelyeket megtehetnek a rájuk nézve ebből eredő kockázat csökkentése érdekében. A szolgáltatás említett igénybe vevői ilyen fenyegetésekről történő tájékoztatásának követelménye nem mentesítheti a szervezeteket azon kötelezettség alól, hogy saját költségükre megfelelő és azonnali intézkedéseket hozzanak a kiberfenyegetések megelőzésére vagy elhárítására, valamint a szolgáltatás normál biztonsági szintjének helyreállítására. A biztonsági fenyegetésekkel kapcsolatos említett információkat a szolgáltatást igénybe vevőknek ingyenesen kell megkapniuk. (53)A nyilvános elektronikus hírközlő hálózatok vagy a nyilvánosan elérhető elektronikus hírközlési szolgáltatások szolgáltatóinak különösen tájékoztatniuk kell a szolgáltatást igénybe vevőket a különleges és jelentős kiberfenyegetésekről, valamint azokról az intézkedésekről, amelyeket megtehetnek a kommunikáció biztonságának védelme érdekében, például bizonyos típusú szoftverek vagy titkosítási technológiák használata révén. (54)Az elektronikus hírközlő hálózatok és szolgáltatások biztonságának megőrzése érdekében elő kell mozdítani a titkosítást és különösen a végponttól végpontig terjedő titkosítást, amelyet szükség esetén kötelezővé kell tenni az említett szolgáltatások és hálózatok szolgáltatói számára, a 18. cikk alkalmazásában alapértelmezett és beépített, a biztonsággal és a magánélet védelmével kapcsolatos elvekkel összhangban. A végponttól végpontig terjedő titkosítás használatát össze kell egyeztetni a tagállamok azon hatáskörével, hogy biztosítsák alapvető biztonsági érdekeik és közbiztonságuk védelmét, valamint lehetővé tegyék a bűncselekmények nyomozását, felderítését és a vádeljárás lefolytatását az uniós joggal összhangban. A végponttól végpontig terjedő titkosított kommunikációban az információkhoz való jogszerű hozzáférés megoldásainak meg kell őrizniük a titkosítás hatékonyságát a magánélet és a kommunikáció biztonságának védelme mellett, miközben ténylegesen el kell hárítaniuk a bűnözést. (55)Ez az irányelv kétlépcsős megközelítést állapít meg az események bejelentésével kapcsolatban annak érdekében, hogy megtalálja a megfelelő egyensúlyt egyrészt a gyors bejelentések között, amelyek segítenek enyhíteni az események potenciális terjedését, és lehetővé teszik a szervezetek számára, hogy támogatást kérjenek, másrészt pedig az olyan mélyreható jelentés érdekében, amely értékes tanulságokat von le az egyes eseményekből, és idővel javítja az egyes vállalatok és teljes ágazatok kiberfenyegetésekkel szembeni rezilienciáját. Ha a szervezetek tudomást szereznek egy eseményről, meg kell követelni, hogy 24 órán belül nyújtsanak be első bejelentést, amelyet legkésőbb egy hónappal később zárójelentésnek kell követnie. Az első bejelentésnek csak azokat az információkat kell tartalmaznia, amelyek feltétlenül szükségesek ahhoz, hogy az illetékes hatóságok tudomást szerezzenek az eseményről, és lehetővé tegyék a szervezet számára, hogy szükség esetén segítséget kérjen. Az említett bejelentésnek adott esetben fel kell tüntetnie, hogy az eseményt vélhetően jogellenes vagy rosszindulatú cselekmény okozta-e. A tagállamoknak biztosítaniuk kell, hogy az első bejelentés benyújtásának követelménye ne vonja el az adatszolgáltató szervezet erőforrásait az események kezelésével kapcsolatos tevékenységektől, amelyeket prioritásként kell kezelni. Annak elkerülése érdekében, hogy az események bejelentési kötelezettségei elvonják az erőforrásokat az események kezelésétől, vagy más módon veszélyeztessék a szervezetek e tekintetben tett erőfeszítéseit, a tagállamoknak azt is elő kell írniuk, hogy kellően indokolt esetekben, az illetékes hatóságokkal vagy a CSIRT-tel egyetértésben az érintett szervezet eltérhet az első bejelentés 24 órás és a zárójelentés egy hónapos határidejétől. (56)Az alapvető és fontos szervezetek gyakran vannak olyan helyzetben, amikor egy adott eseményről – jellemzői miatt – különféle jogi eszközökben szereplő bejelentési kötelezettségek eredményeként különböző hatóságoknak kell jelentést tenniük. Az említett esetek további terheket jelentenek, és bizonytalansághoz vezethetnek az említett bejelentések formátumát és eljárásait illetően is. Erre figyelemmel, valamint a biztonsági események bejelentésének egyszerűsítése céljából a tagállamoknak létre kell hozniuk egy egyedüli kapcsolattartó pontot az ezen irányelv, valamint más uniós jogszabályok, például az (EU) 2016/679 rendelet és a 2002/58/EK irányelv által előírt összes bejelentés tekintetében. Az ENISA-nak az együttműködési csoporttal együttműködve közös bejelentési sablonokat kell kidolgoznia olyan iránymutatások révén, amelyek egyszerűsítik és összehangolják az uniós jog által kért jelentéstételi információkat, és csökkentik a vállalatok terheit. (57)Ha felmerül a gyanú, hogy egy esemény az uniós vagy a nemzeti jog szerint súlyos bűncselekményekhez kapcsolódik, a tagállamoknak az uniós joggal összhangban alkalmazandó büntetőeljárási szabályok alapján ösztönözniük kell az alapvető és fontos szervezeteket a vélhetően súlyos bűncselekménynek minősülő események illetékes bűnüldöző hatóságoknak történő bejelentésére. Adott esetben és az Europolra irányadó, a személyes adatok védelmére vonatkozó szabályok sérelme nélkül kívánatos, hogy az EC3 és az ENISA megkönnyítse a koordinációt a különböző tagállamok illetékes hatóságai és bűnüldöző hatóságai között. (58)Az események következtében sok esetben személyes adatok kerülnek veszélybe. Ebben az összefüggésben az illetékes hatóságoknak a 2002/58/EK irányelv szerint együtt kell működniük és információt kell cserélniük minden releváns kérdésben az adatvédelmi hatóságokkal és a felügyeleti hatóságokkal. (59)A doménnevek és a nyilvántartási adatok (ún. WHOIS-adatok) pontos és teljes adatbázisainak gondozása és az említett adatokhoz való jogszerű hozzáférés biztosítása elengedhetetlen a DNS biztonságának, stabilitásának és rezilienciájának biztosításához, ami viszont hozzájárul az Unión belüli egységesen magas szintű kiberbiztonsághoz. Amennyiben a feldolgozás személyes adatokat is tartalmaz, az említett feldolgozásnak meg kell felelnie az uniós adatvédelmi jogszabályoknak. (60)Ezen adatok rendelkezésre állása és időben történő hozzáférhetősége a hatóságok – ideértve a bűncselekmények megelőzése, kivizsgálása vagy büntetőeljárás alá vonása céljából az uniós vagy nemzeti jogszabályok alapján illetékes hatóságokat, a CERT-eket (CSIRT-eket) –, valamint ügyfeleik adatai tekintetében az elektronikus hírközlő hálózatok szolgáltatói, valamint az említett ügyfelek nevében eljáró, kiberbiztonsági technológiák és szolgáltatások szolgáltatói számára elengedhetetlen a doménnévrendszerrel való visszaélések megelőzéséhez és felszámolásához, különösen a kiberbiztonsági események megelőzéséhez, felderítéséhez és azok elhárításához. Az említett hozzáférésnek meg kell felelnie az uniós adatvédelmi jogszabályoknak, amennyiben az személyes adatokhoz kapcsolódik. (61)A pontos és teljes doménnév-nyilvántartási adatok rendelkezésre állásának biztosítása érdekében a legfelső szintű doménnév-nyilvántartóknak és a TLD-hez doménnév-nyilvántartási szolgáltatást nyújtó szervezeteknek (úgynevezett regisztrátoroknak) össze kell gyűjteniük a doménnevek nyilvántartási adatait és garantálniuk kell azok integritását és elérhetőségét. Különösen a legfelső szintű doménnév-nyilvántartóknak és a TLD-hez doménnév-nyilvántartási szolgáltatásokat nyújtó szervezeteknek szabályzatokat és eljárásokat kell kidolgozniuk a pontos és teljes nyilvántartási adatok összegyűjtése és vezetése, valamint az uniós adatvédelmi szabályokkal összhangban a pontatlan nyilvántartási adatok megelőzése és kijavítása céljából. (62)A legfelső szintű doménnév-nyilvántartóknak és a számukra doménnév-nyilvántartási szolgáltatásokat nyújtó szervezeteknek nyilvánosan hozzáférhetővé kell tenniük az uniós adatvédelmi szabályok hatályán kívül eső doménnév-nyilvántartási adatokat, például a jogi személyeket érintő adatokat. A legfelső szintű doménnév-nyilvántartóknak és a TLD-hez doménnév-nyilvántartási szolgáltatásokat nyújtó szervezeteknek az uniós adatvédelmi jogszabályokkal összhangban lehetővé kell tenniük a jogosult hozzáférés-igénylők számára a természetes személyekre vonatkozó meghatározott doménnév-nyilvántartási adatokhoz való jogszerű hozzáférést is. A tagállamoknak biztosítaniuk kell, hogy a legfelső szintű doménnév-nyilvántartók és a számukra doménnév-nyilvántartási szolgáltatásokat nyújtó szervezetek indokolatlan késedelem nélkül reagáljanak a jogosult hozzáférés-igénylők kérésére a doménnév-nyilvántartási adatok nyilvánosságra hozatalára. A legfelső szintű doménnév-nyilvántartóknak és a számukra doménnév-nyilvántartási szolgáltatásokat nyújtó szervezeteknek szabályzatokat és eljárásokat kell kidolgozniuk a nyilvántartási adatok közzétételére és nyilvánosságra hozatalára vonatkozóan, beleértve a szolgáltatási szintre vonatkozó megállapodásokat is, a jogosult hozzáférés-igénylők kérelmeinek kezelése céljából. A hozzáférési eljárás magában foglalhatja egy interfész, portál vagy más technikai eszköz használatát is, hogy hatékony rendszert lehessen biztosítani a nyilvántartási adatok lekérésére és elérésére. A Bizottság a belső piacon a harmonizált gyakorlatok előmozdítása érdekében iránymutatásokat fogadhat el az említett eljárásokról, az Európai Adatvédelmi Testület hatáskörének sérelme nélkül. (63)Az ezen irányelv alapján lényeges és fontos minden szervezetnek annak a tagállamnak a joghatósága alá kell tartoznia, ahol szolgáltatásait nyújtja. Ha a szervezet több tagállamban nyújt szolgáltatásokat, annak külön és egyidejűleg minden érintett tagállam joghatósága alá kell tartoznia. E tagállamok illetékes hatóságainak együtt kell működniük, kölcsönös segítséget kell nyújtaniuk egymásnak, és adott esetben közös felügyeleti intézkedéseket kell végrehajtaniuk. (64)A DNS-szolgáltatók szolgáltatásainak és műveleteinek határokon átnyúló jellegének figyelembevétele érdekében a legfelső szintű doménnév-nyilvántartók, tartalomszolgáltató hálózati szolgáltatók, felhőszolgáltatók, adatközpont-szolgáltatók és digitális szolgáltatók esetében csak egy tagállamnak lehet joghatósága e szervezetek felett. A joghatóságot annak a tagállamnak kell tulajdonítani, amelyben az adott szervezet üzleti tevékenységének fő helye az Unióban található. A letelepedési kritérium ezen irányelv alkalmazásában a tevékenység állandó megállapodások útján történő tényleges gyakorlását jelenti. Ebben a tekintetben nem meghatározó tényező az említett megállapodások jogi formája, függetlenül attól, hogy fióktelepen vagy jogi személyiséggel rendelkező leányvállalaton keresztül kötötték-e azokat. E kritérium teljesülése nem függhet attól, hogy a hálózat és az információs rendszerek fizikailag egy adott helyen találhatók-e; az említett rendszerek jelenléte és használata önmagukban nem képezi az üzleti tevékenység említett fő helyét, ezért nem meghatározó kritériumok az üzleti tevékenység fő helyének meghatározásához. Az üzleti tevékenység fő helyének annak a helynek kell lennie, ahol az Unióban meghozzák a kiberbiztonsági kockázatkezelési intézkedésekkel kapcsolatos döntéseket. Ez általában megfelel a vállalatok uniós központi ügyvezetése helyének. Ha ilyen döntéseket nem hoznak az Unióban, úgy kell tekinteni, hogy az üzleti tevékenység fő helye azokban a tagállamokban van, ahol a szervezetnek az Unióban a legmagasabb a munkavállalói létszáma. Ha a szolgáltatásokat vállalkozások csoportja végzi, az irányító vállalkozás üzleti tevékenysége fő helyét a vállalkozáscsoport üzleti tevékenysége fő helyének kell tekinteni. (65)Olyan esetekben, amikor az Unión belül kínál szolgáltatásokat az Unióban nem letelepedett DNS-szolgáltató, legfelső szintű doménnév-nyilvántartó, tartalomszolgáltató hálózati szolgáltató, felhőszolgáltató, adatközpont-szolgáltató és digitális szolgáltató, ki kell jelölnie egy képviselőt. Annak eldöntése érdekében, hogy az említett szervezet kínál-e szolgáltatásokat az Unión belül, meg kell győződni arról, hogy nyilvánvaló-e, hogy a szervezet tervezi-e egy vagy több tagállamban tartózkodó személyek szolgáltatások kínálását. A szervezet vagy a közvetítő webhelyének, az e-mail-címnek és más elérhetőségeknek az Unióban való puszta elérhetősége, vagy a szervezet alapítása szerinti harmadik országban általánosan használt nyelv használata önmagában nem elegendő információ az említett szándék megállapításához. Azonban olyan tényezők, mint például egy vagy több tagállamban általánosan használt nyelv vagy pénznem használata, a szolgáltatások adott másik nyelven történő megrendelésének lehetősége, vagy az Unióban tartózkodó ügyfelek vagy felhasználók megemlítése nyilvánvalóvá teheti, hogy a szervezet tervezi az Unión belüli szolgáltatások kínálását. A képviselőnek a szervezet nevében kell eljárnia, és az illetékes hatóságoknak vagy a CSIRT-eknek lehetővé kell tenni, hogy kapcsolatba lépjenek a képviselővel. A képviselőt a szervezet írásbeli meghatalmazásával kifejezetten ki kell jelölni, hogy a szervezet nevében eljárjon az utóbbi ezen irányelv szerinti kötelezettségei tekintetében, ideértve az események jelentését is. (66)Amennyiben a nemzeti vagy az uniós jogszabályok szerint minősítettnek minősülő információkat ezen irányelv rendelkezései alapján kicserélik, jelentik vagy más módon megosztják, a minősített információk kezelésére vonatkozó különös szabályokat alkalmazni kell.

(67)A kiberfenyegetések bonyolultabbá és kifinomultabbá válásával a jó észlelési és megelőzési intézkedések nagymértékben függenek a szervezetek között a fenyegetésekre és biztonsági résekre vonatkozó információk rendszeres megosztásától. Az információmegosztás hozzájárul a kiberfenyegetésekkel kapcsolatos tudatosság erősítéséhez, ami viszont fokozza a szervezetek azon képességét, hogy megakadályozzák a fenyegetések valós eseménnyé válását, és lehetővé teszi a szervezetek számára, hogy jobban visszaszorítsák az események hatásait és a hatékonyabb helyreállítást. Uniós szintű útmutatás hiányában úgy tűnik, hogy számos tényező gátolta az említett információmegosztást, nevezetesen a verseny- és felelősségi szabályokkal való összeegyeztethetőség bizonytalansága. (68)A szervezeteket ösztönözni kell arra, hogy stratégiai, taktikai és operatív szinten együttesen hasznosítsák egyéni tudásukat és gyakorlati tapasztalataikat annak érdekében, hogy javítsák képességeiket a kiberfenyegetések megfelelő felmérésére, nyomon követésére, az ellenük való védekezésre és azok elhárítására. Ezért lehetővé kell tenni az önkéntes információmegosztási megállapodások uniós szintű mechanizmusainak megjelenését. Ennek érdekében a tagállamoknak aktívan támogatniuk és ösztönözniük kell az ezen irányelv hatálya alá nem tartozó érintett szervezeteket is, hogy vegyenek részt az említett információmegosztási mechanizmusokban. Ezeket a mechanizmusokat az Unió versenyszabályaival, valamint az adatvédelmi uniós jogszabályokkal teljes összhangban kell végrehajtani. (69)A személyes adatok feldolgozásának – a hálózati és információbiztonság szervezeti egységek, hatóságok, CERT-ek, CSIRT-ek, valamint a biztonsági technológiák és szolgáltatások szolgáltatói általi biztosítása érdekében a feltétlenül szükséges és arányos mértékben – az érintett adatkezelő jogos érdekét kell képeznie, az (EU) 2016/679 rendeletben említettek szerint. Ennek ki kell terjednie az események megelőzésével, felderítésével, elemzésével és az azok elhárításával kapcsolatos intézkedésekre, a konkrét kiberfenyegetésekkel kapcsolatos tudatosság növelésére, a biztonsági rés elhárításával és az összehangolt nyilvánosságra hozatallal kapcsolatos információmegosztásra, valamint az ezekre az eseményekre, valamint a kiberfenyegetésekre és biztonsági résekre, a kompromisszummutatókra, taktikákra, technikákra és eljárásokra, kiberbiztonsági figyelmeztetésekre és konfigurációs eszközökre vonatkozó önkéntes információmegosztásra. Az említett intézkedések megkövetelhetik a következő típusú személyes adatok feldolgozását: IP-címek, egységes forrásazonosítók (URL-ek), doménnevek és e-mail-címek. (70)A tényleges megfelelés biztosítását elősegítő felügyeleti hatáskörök és intézkedések megerősítése érdekében ennek az irányelvnek rendelkeznie kell azon felügyeleti intézkedések és eszközök minimumlistájáról, amelyek révén az illetékes hatóságok felügyelhetik az alapvető és fontos szervezeteket. Ezen túlmenően ennek az irányelvnek eltérő felügyeleti rendszert kell meghatároznia az alapvető és a fontos szervezetek vonatkozásában annak érdekében, hogy biztosítsa a kötelezettségek méltányos egyensúlyát mind a szervezetek, mind az illetékes hatóságok számára. Ezért az alapvető szervezetekre teljes körű (előzetes és utólagos) felügyeleti rendszert kell alkalmazni, míg a fontos szervezetekre könnyített, csak utólagos felügyeleti rendszer vonatkozik. Ez utóbbi esetében ez azt jelenti, hogy a fontos szervezeteknek nem kell módszeresen dokumentálniuk a kiberbiztonsági kockázatkezelési követelményeknek való megfelelést, míg az illetékes hatóságoknak reaktív utólagos felügyeleti megközelítést kell alkalmazniuk, és ezért nem terheli azokat általános kötelezettségaz említett szervezetek felügyeletére. (71)A végrehajtás hatásossága érdekében meg kell határozni az ezen irányelvben a kiberbiztonsági kockázatkezelési és jelentéstételi kötelezettségek megszegése esetére előírt adminisztratív szankciók minimumlistáját, az említett szankciók vonatkozásában az egész Unióban egyértelmű és következetes keretet létrehozva. Megfelelő figyelmet kell fordítani a jogsértés jellegére, súlyosságára és időtartamára, a ténylegesen okozott, illetve a lehetséges kárra vagy az elszenvedett veszteségekre, a jogsértés szándékos vagy gondatlan jellegére, az elszenvedett károk és/vagy veszteségek megelőzésére vagy enyhítésére tett intézkedésekre, a felelősség mértékére vagy bármely releváns korábbi jogsértésre, az illetékes hatósággal való együttműködés mértékére és minden egyéb súlyosbító vagy enyhítő tényezőre. Az adminisztratív bírságokat is beleértve a szankciók kiszabására megfelelő eljárási biztosítékoknak kell vonatkozniuk, az uniós jog általános elveivel és az Európai Unió Alapjogi Chartájával összhangban, ideértve a hatékony bírói jogvédelmet és a megfelelő eljárást. (72)Az ezen irányelvben megállapított kötelezettségek hatékony végrehajtásának biztosítása érdekében minden illetékes hatóságnak rendelkeznie kell hatáskörrel adminisztratív bírság kiszabására vagy kiszabására. (73)Ha egy vállalkozást közigazgatási bírsággal sújtanak, a vállalkozást az EUMSZ 101. és 102. cikkével összhangban kell e célból vállalkozásnak tekinteni. Amennyiben közigazgatási bírságokat szabnak ki vállalkozásnak nem minősülő személyekre, a bírság megfelelő összegének mérlegelésekor a felügyeleti hatóságnak figyelembe kell vennie a tagállam általános jövedelemszintjét, valamint a személy anyagi helyzetét. A tagállamok feladata annak meghatározása, hogy az állami hatóságokat sújtsák-e és milyen mértékben adminisztratív bírságokkal. A közigazgatási bírság kiszabása nem érinti az illetékes hatóságok egyéb hatásköreinek alkalmazását vagy az ezen irányelvet átültető nemzeti szabályokban megállapított egyéb szankciók alkalmazását. (74)A tagállamok megállapíthatják az ezen irányelvet átültető nemzeti szabályok megsértése esetén alkalmazandó büntetőjogi szankciók szabályait. Az említett nemzeti szabályok és a kapcsolódó közigazgatási szankciók megsértése esetén büntetőjogi szankciók kiszabása azonban nem ütközhet a kétszeres büntetés tilalmának (ne bis in idem) a Bíróság értelmezése szerinti elvébe. (75)Ha ez az irányelv nem harmonizálja az adminisztratív szankciókat, vagy szükség esetén más esetekben, például az ezen irányelvben megállapított kötelezettségek súlyos megsértése esetén, a tagállamoknak olyan rendszert kell bevezetniük, amely hatékony, arányos és visszatartó erejű szankciókat ír elő. Az említett büntetőjogi vagy közigazgatási szankciók jellegét a tagállami jognak kell meghatároznia. (76)Az ezen irányelv alapján megállapított kötelezettségek megsértése esetén alkalmazandó szankciók hatékonyságának és visszatartó erejének további erősítése érdekében az illetékes hatóságokat fel kell hatalmazni arra, hogy a tanúsítás vagy az engedély felfüggesztéséből álló, az alapvető szervezet által nyújtott összes szolgáltatásra vagy azok egy részére kiterjedő szankciókat alkalmazzanak, és ideiglenesen eltilthassanak természetes személyeket az irányítási feladatok ellátásától. Az említett szankciókat csak a jogsértés súlyosságával arányosan lehet alkalmazni – tekintettel azok súlyosságára és a szervezetek tevékenységére, és végső soron fogyasztóikra gyakorolt hatására –, figyelembe véve az egyes esetek sajátos körülményeit, beleértve a jogsértés szándékos vagy gondatlan jellegét, az elszenvedett károk és/vagy veszteségek megelőzése vagy enyhítése érdekében tett intézkedéseket. Ezeket a szankciókat csak végső megoldásként szabad alkalmazni, vagyis csak az ezen irányelvben megállapított egyéb vonatkozó végrehajtási intézkedések kimerítése után, és csak addig az időtartamig, a