Az 5. cikk (7) bekezdése értelmében minden tagállamnak legkésőbb 2018. november 9-ig kellett rendelkezésre bocsátaniuk az e jelentéshez szükséges információkat. Az említett időpontig azonban csak 15 ország nyújtotta be hiteles adatokat (lásd a 4.1. szakaszban csatolt táblázatot). Az adathiány a Bizottság többszöri felhívását követően is jelentős maradt. A Bizottság ezért 2019. július 26-án felszólító levelet küldött 6 tagállamnak, amelyben arra kérte őket, hogy két hónapon belül nyújtsák be a hiányzó adatokat.

A Table 3 . táblázat négy országnak a vasúti közlekedési alágazat vonatkozásában alkalmazott megközelítését mutatja be. Míg Franciaország nagyon részletes és átfogó jegyzéket készített a vasúti közlekedés működéséhez alapvető fontosságú szolgáltatásokról, a másik három ország e szolgáltatásoknak csak egy kis csoportját választotta ki. Lengyelország esetében nem teljesen világos, hogy mely szolgáltatások tartoznak a „vasúti teherszállítás” és a „vasúti személyszállítás” kategóriába. Megnevezésük olyannyira általános, hogy akár a Franciaország által azonosított szolgáltatások némelyikét – például „a vasúti közlekedés ellenőrzése és irányítása” kategóriát – is magukban foglalhatják. Érdemes megjegyezni, hogy semmilyen eszköz nem áll a Bizottság rendelkezésére az ilyen esetek további vizsgálatához: a kiberbiztonsági irányelv nem írja elő a nemzeti hatóságok számára részletesebb információk közzétételét.

A Figure 2 . ábrán megjelenő adatok bizonyos mértékben a tagállamok által használt eltérő módszertani megközelítéseket tükrözik. Néhány tagállam például a szolgáltatások azonosítása terén a többi tagállamhoz képest részletesebb megközelítés mellett döntött, ami ezekben a tagállamokban magasabb értékeket eredményezett. A Bizottság által a tagállamoktól kapott adatok azonban egyértelműen azt mutatják, hogy a számokban mutatkozó különbségek arra is visszavezethetők, hogy a tagállamok által választott megközelítések nem egységesek, ahogy azt a villamosenergia- és a vasúti közlekedési alágazat példája is szemlélteti:

2.3Küszöbértékek

Még ha a legtöbb tagállam alkalmaz is küszöbértékeket az alapvető szolgáltatásokat nyújtó szereplők azonosításához, az ilyen küszöbértékek országonként eltérő szerepet játszanak. Az ágazatközi küszöbértékek tekintetében olyan küszöbértékek is meghatározhatók, amelyek a következőkre támaszkodnak:

·egyetlen mennyiségi tényező (pl. az adott szolgáltatásra támaszkodó felhasználók száma), amely annak meghatározására szolgál, hogy egy adott szervezet bizonyos szolgáltatás esetében alapvető szolgáltatásokat nyújtó szereplőnek minősül-e vagy sem,

·több mennyiségi tényező (pl. az adott szolgáltatásra támaszkodó felhasználók száma és a piaci részesedés),

·mennyiségi és minőségi tényezők kombinációja.

Ezenkívül az irányelv lehetővé teszi a tagállamok számára, hogy az ágazatközi tényezőkön felül ágazatspecifikus küszöbértékeket is használjanak. Ez az azonosítási eljárás során nagyobb szabadságot biztosít a nemzeti hatóságok számára annak érdekében, hogy figyelembe tudják venni a nemzeti és ágazati sajátosságokat. Ugyanakkor ennek következtében a küszöbértékek rendkívül összetett elegye jön létre, ami általánosságban kedvezőtlenül hathat az alapvető szolgáltatásokat nyújtó szereplők azonosításának egységességére.

A megközelítések e sokféleségével kapcsolatban a Table 4 . táblázat szolgál példával. Ez jól szemlélteti, hogy a tagállamok által a digitális infrastruktúra ágazata tekintetében választott küszöbértékek nemcsak mennyiségi szempontból mutatnak eltérést (például Németországban a DNS-szolgáltatókat akkor azonosítják alapvető szolgáltatásokat nyújtó szereplőként, ha legalább 250 000 domént kezelnek, ellenben Lengyelországban a küszöbérték csak 100 000 domén), hanem minőségi szempontból is (például a „hálózatba kapcsolt autonóm rendszerek száma” szemben a „piaci részesedéssel”).

A következetesen kiválasztott mennyiségi küszöbértékek nem garantálják teljes mértékben a nemzeti megközelítések egységességét. Tekintve, hogy néhány tagállamban a küszöbértékek csupán az alapvető szolgáltatásokat nyújtó szereplők azonosításához használt kritériumok egyikét jelentik, az azonosítási eljárások továbbra is igen eltérő eredményekkel zárulhatnak, még akkor is, ha hasonló küszöbértékeket használnak. Néhány tagállam például bonyolult pontozási rendszert használ egy több tényezőn alapuló, egyetlen képlet segítségével. E tényezők közé tartozhat például az adott szervezet hálózati és információs rendszerektől való függősége, illetve a kiberbiztonsági irányelv 6. cikkének (1) bekezdésében említett tényezők némelyike is. Ráadásul egyes tagállamok egyáltalán nem alkalmaznak küszöbértékeket az értékelés kezdeti szakaszában. E megfontolások nemcsak a digitális infrastruktúra ágazata esetében érvényesek, hanem a II. mellékletben foglalt valamennyi ágazatban is.

A megfelelő küszöbérték meghatározása kihívást jelenthet, különösen olyan ágazatok esetében, amelyeket számos kisebb szereplő jelenléte jellemez. Jó példaként szolgálnak e sokféleségre a kisebb egészségügyi ellátó létesítmények (pl. kórházak, illetve mentőszolgálatok), amelyek csak viszonylag kevés felhasználónak nyújtanak alapvető szolgáltatást, de amelyek kiberbiztonsági esemény miatti elérhetetlensége betegek életébe kerülhet. További probléma merül fel akkor, ha az ellátási lánc működése olyan szereplők által nyújtott szolgáltatásoktól függ, akik kicsi, mégis alapvető elemei az ellátási láncnak (például a logisztikához hasonló ágazatokban). Az egyik tagállam e probléma lehetséges megoldásaként azt vizsgálja, hogy használhatók-e a nyújtott szolgáltatás jelentőségéhez, illetve kritikus fontosságához kapcsolódó kritériumok.





Ország internetkapcsolódási pontok (IXP) DNS-szolgáltatók Legfelső szintű doménnév-nyilvántartók Főként ágazatspecifikus küszöbértékek használata AT hálózatba kapcsolt autonóm rendszerek

> 100 DNS-névfeloldók: 88 000 felhasználó;

Engedélyezett DNS: 50 000 domén 50 000 domén DE hálózatba kapcsolt autonóm rendszerek

> 300 DNS-névfeloldók: 100 000 felhasználó; Engedélyezett DNS: 250 000 domén (nincs azonosított szolgáltatás) DK átlagos napi adatmennyiség > 200 gbit/s DNS-névfeloldók: 100 000 felhasználó; Engedélyezett DNS: 100 000 domén 500 000 domén EE (nincs azonosított szolgáltatás) (nincs azonosított szolgáltatás) Az ország legfelső szintű doménnév-nyilvántartója FI (nincs azonosított szolgáltatás) (nincs azonosított szolgáltatás) Az ország és a régió legfelső szintű doménnév-nyilvántartója FR (nincs hivatalos küszöbérték) (nincs hivatalos küszöbérték) (nincs hivatalos küszöbérték) HR hálózatba kapcsolt tagok > 15 Az országos felső szintű doménhez kapcsolódó DNS-szolgáltatás Az ország legfelső szintű doménnév-nyilvántartója IE (a küszöbérték nem ismert) DNS-névfeloldók: 100 m lekérdezés/24 h; Engedélyezett DNS: 50 000 domén Az ország legfelső szintű doménnév-nyilvántartója MT 25 %-os piaci részesedés DNS-névfeloldók: 78 000 kérés/nap; Engedélyezett DNS: 7 800 domén 750 000 kérés/nap PL hálózatba kapcsolt autonóm rendszerek

≥ 100 Engedélyezett DNS: 100 000 domén Legfelső szintű doménnév-nyilvántartók legalább 100 000 előfizető esetében SE (nincs azonosított szolgáltatás) DNS-névfeloldók: 100 000 felhasználó; Engedélyezett DNS: 25 000 domén 250 000 domén SK Legalább két másik autonóm rendszerhez 2 Gb/s sebességgel csatlakozó autonóm rendszerek DNS-névfeloldók: 3 m lekérdezés/24 h; Engedélyezett DNS: > 1 000 domén Legfelső szintű doménnév-nyilvántartó UK piaci részesedés > 50 %, vagy

globális internetes útvonalakhoz való kapcsolódás ≥ 50 % DNS-névfeloldók: 2 000 000 ügyfél/nap;

Engedélyezett DNS: 250 000 domén Legfelső szintű doménnév-nyilvántartók ≥ 2 milliárd lekérdezés/nap Ágazatközi küszöbértékek használata CY 50 000 felhasználó, vagy

a piac előfizetőinek 5 %-a 50 000 felhasználó, vagy

a piac előfizetőinek 5 %-a 50 000 felhasználó, vagy

a piac előfizetőinek 5 %-a LT lakosok száma > 145 000 lakosok száma > 145 000 lakosok száma > 145 000 LU 100 %-os piaci részesedés 13 500 szerződés 100 %-os piaci részesedés





2.4Az azonosított szereplők száma

Az alapvető szolgáltatásokat nyújtó szereplők egységes meghatározása szempontjából az alapvető szolgáltatások jegyzékei és a küszöbértékek a legfontosabb befolyásoló tényezők. A korábbi szakaszokból kiderült, hogy a tagállamok mindkét esetben eltérő módon alkalmazták a kiberbiztonsági irányelv rendelkezéseit, ami arra enged következtetni, hogy ez következetességi problémát okozhat az alapvető szolgáltatásokat nyújtó szereplők későbbi azonosításakor. E szakasz a tagállamokban azonosított, a II. melléklet szerinti ágazatokban és alágazatokban működő szereplők számát hasonlítja össze.

A tagállamok által a Bizottságnak jelentett, alapvető szolgáltatásokat nyújtó szereplők száma összesen 20 és 10 897 között mozog, tagállamonként 633-as átlaggal (az egyes tagállamokra vonatkozó számadatok e jelentés mellékletének 4.2. szakaszában találhatók). Összességében egyértelműen pozitív kapcsolat van az ország mérete és az azonosított szereplők száma között. Mindazonáltal ez nem magyarázza kellőképpen a tagállamok által bejelentett számadatok terén mutatkozó jelentős különbséget. Az ország mérete és a lakosság közötti kapcsolat figyelembevétele érdekében a Figure 3 . ábra a tagállamokban azonosított, alapvető szolgáltatásokat nyújtó szereplők számát 100 000 lakosra vetítve hasonlítja össze. Ebből arra lehet következtetni, hogy a tagállamok által a szereplők azonosítása tekintetében alkalmazott megközelítések igen eltérő eredményt hoztak.

Az ágazatok és alágazatok mélyrehatóbb vizsgálata jelentős különbségeket tár fel a tagállamok között a II. melléklet hatálya alá tartozó valamennyi ágazatban azonosított szereplők száma terén ( Figure 4 . ábra). Az energiaágazatban például a számadatok 1 000 000 lakosra vetítve a 0,3 szereplő és a 29 szereplő közötti tartományban mozognak. A bankszektorban mért számadatok 1 000 000 lakosra vetítve 0,07 szereplő és 51 szereplő között mozognak (figyelmen kívül hagyva azokat a tagállamokat, amelyek ebben az ágazatban egyetlen alapvető szolgáltatásokat nyújtó szereplőt sem azonosítottak).