EUROPOS KOMISIJA Briuselis, 2020 12 16 COM(2020) 823 final 2020/0359(COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS DIREKTYVA dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria panaikinama Direktyva (ES) 2016/1148 (Tekstas svarbus EEE) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



AIŠKINAMASIS MEMORANDUMAS 1.PASIŪLYMO APLINKYBĖS •Pasiūlymo pagrindimas ir tikslai Šis pasiūlymas įtrauktas į rinkinį priemonių, kuriomis siekiama toliau gerinti viešųjų ir privačiųjų subjektų, kompetentingų institucijų ir visos Sąjungos atsparumą ir reagavimą į incidentus kibernetinio saugumo ir ypatingos svarbos infrastruktūros objektų apsaugos srityje. Jis atitinka Komisijos prioritetus užtikrinti, kad Europa prisitaikytų prie skaitmeninio amžiaus, ir kurti perspektyvią žmonėms tarnaujančią ekonomiką. Kibernetinis saugumas yra Komisijos atsako į COVID-19 krizę prioritetas. Rinkiniui priklauso nauja kibernetinio saugumo strategija, kuria siekiama stiprinti Sąjungos strateginę autonomiją ir taip pagerinti jos atsparumą bei kolektyvinį atsaką, taip pat kurti atvirą ir pasaulinį internetą. Galiausiai rinkinyje pateikiamas pasiūlymas dėl direktyvos dėl ypatingos svarbos esminių paslaugų operatorių atsparumo, kuriuo siekiama sumažinti tokiems operatoriams kylančias fizines grėsmes. Šis pasiūlymas grindžiamas Direktyva (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti (TIS direktyva) ir ją panaikina. TIS direktyva – tai pirmasis ES lygmens kibernetinio saugumo srities teisės aktas, kuriame nustatytos priemonės, skirtos bendram kibernetinio saugumo lygiui Sąjungoje didinti. TIS direktyva 1) padėjo didinti kibernetinio saugumo pajėgumus nacionaliniu lygmeniu reikalaujant, kad valstybės narės priimtų nacionalines kibernetinio saugumo strategijas ir paskirtų kibernetinio saugumo institucijas; 2) prisidėjo prie glaudesnio valstybių narių bendradarbiavimo Sąjungos lygmeniu sukuriant įvairius forumus, palengvinančius keitimąsi strategine ir operatyvine informacija, ir 3) padidino viešųjų ir privačiųjų subjektų kibernetinį atsparumą septyniuose konkrečiuose sektoriuose (energetikos, transporto, bankų, finansų rinkų infrastruktūros, sveikatos priežiūros, geriamojo vandens tiekimo ir paskirstymo ir skaitmeninės infrastruktūros) ir trijų skaitmeninių paslaugų srityje (elektroninių prekyviečių, paieškos sistemų ir debesijos kompiuterijos paslaugų) reikalaujant, kad valstybės narės užtikrintų, jog esminių paslaugų operatoriai ir skaitmeninių paslaugų teikėjai nustatytų kibernetinio saugumo reikalavimus ir praneštų apie incidentus. Pasiūlymu atnaujinama dabartinė teisinė sistema atsižvelgiant į didesnį vidaus rinkos skaitmeninimą pastaraisiais metais ir kintančią grėsmių kibernetiniam saugumui padėtį. Abu aspektai dar labiau išryškėjo nuo COVID-19 krizės pradžios. Pasiūlymu taip pat šalinami tam tikri trūkumai, dėl kurių nebuvo galima išnaudoti viso TIS direktyvos potencialo. Nepaisant reikšmingų laimėjimų, paaiškėjo, kad TIS direktyva, kuri sudarė sąlygas gerokai pakeisti mąstyseną, remiantis instituciniu ir reguliavimo požiūriu į kibernetinį saugumą daugumoje valstybių narių, turi trūkumų. Vykstant skaitmeninei visuomenės transformacijai (kurią dar labiau paskatino COVID-19 krizė), padidėjo grėsmių įvairovė ir atsirado naujų problemų, kurioms spręsti reikalingos pritaikytos ir novatoriškos reagavimo priemonės. Kibernetinių išpuolių toliau daugėja, o įvairūs ES vidaus ir užsienio subjektai vykdo vis sudėtingesnius kibernetinius išpuolius. TIS direktyvos taikymo vertinimo, kuris buvo atliekamas rengiant poveikio vertinimą, metu nustatytos šios problemos: 1) žemas ES veikiančių įmonių kibernetinio atsparumo lygis; 2) nevienodas atsparumas valstybėse narėse ir sektoriuose ir 3) žemas bendro informuotumo apie padėtį lygis, taip pat bendro reagavimo į krizę nebuvimas. Pavyzdžiui, TIS direktyva netaikoma tam tikros didžiausioms valstybių narių ligoninėms, todėl jos neprivalo įgyvendinti atitinkamų saugumo priemonių, o kitoje valstybėje narėje TIS saugumo reikalavimai taikomi beveik kiekvienam šalies sveikatos priežiūros paslaugų teikėjui. Pasiūlymu, kuris yra pagal Reglamentavimo kokybės programą (REFIT) įgyvendinama iniciatyva, siekiama sumažinti kompetentingoms institucijoms tenkančią reguliavimo naštą ir viešųjų bei privačiųjų subjektų patiriamas atitikties išlaidas. Visų pirma šio tikslo galima pasiekti panaikinant kompetentingų institucijų pareigą nustatyti esminių paslaugų operatorius ir padidinant saugumo ir pranešimo reikalavimų suderinimo lygį, kad tarpvalstybines paslaugas teikiantiems subjektams būtų lengviau laikytis reguliavimo reikalavimų. Kartu kompetentingoms institucijoms taip pat bus pavestos įvairios naujos užduotys, įskaitant subjektų, veikiančių sektoriuose, kuriems TIS direktyva iki šiol nebuvo taikoma, priežiūrą. •Suderinamumas su toje pačioje politikos srityje galiojančiomis nuostatomis Šis pasiūlymas priklauso platesniam galiojančių teisinių priemonių rinkiniui ir būsimoms Sąjungos lygmens iniciatyvoms, kuriomis siekiama didinti viešųjų ir privačiųjų subjektų atsparumą grėsmėms. Kibernetinio saugumo srityje visų pirma Direktyva (ES) 2018/1972, kuria nustatomas Europos elektroninių ryšių kodeksas (kurios kibernetinį saugumą reglamentuojančias nuostatas pakeis šio pasiūlymo nuostatos), ir Pasiūlymas dėl Reglamento dėl skaitmeninės veiklos atsparumo finansų sektoriuje (COM(2020) 595 final), įsigaliojus abiem šiems aktams, bus laikomi pasiūlymo lex specialis. Fizinio saugumo srityje pasiūlymas papildo Pasiūlymą dėl direktyvos dėl ypatingos svarbos subjektų atsparumo, kuriuo peržiūrima Direktyva 2008/114/EB dėl Europos ypatingos svarbos infrastruktūros objektų nustatymo ir priskyrimo jiems bei būtinybės gerinti jų apsaugą vertinimo (ESI direktyva), kuria Sąjungos lygmeniu sukuriamas Europos ypatingos svarbos infrastruktūros objektų nustatymo procesas bei išdėstomas požiūris į tai, kaip gerinti tokių objektų apsaugą. 2020 m. liepos mėn. Komisija priėmė ES saugumo sąjungos strategiją, kurioje pripažino didėjantį fizinės ir skaitmeninės infrastruktūros objektų tarpusavio junglumą ir priklausomybę. Strategijoje pažymėta, kad reikalingas išsamesnis ir nuoseklesnis požiūris į ESI direktyvą ir Direktyvą (ES) 2016/1148 dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti. Todėl pasiūlymas iš esmės yra suderintas su Pasiūlymu dėl direktyvos dėl ypatingos svarbos subjektų atsparumo, kuriuo siekiama didinti daugybės sektorių ypatingos svarbos subjektų atsparumą fizinėms grėsmėms. Pasiūlymu siekiama užtikrinti, kad kompetentingos institucijos pagal abu teisės aktus imtųsi papildomų priemonių ir prireikus keistųsi informacija, susijusia su kibernetiniu ir nekibernetiniu atsparumu, ir kad šių sektorių ypatingos svarbos operatoriai, kurie pagal šį pasiūlymą laikomi „esminiais“, taip pat būtų įpareigoti laikytis bendresnio pobūdžio atsparumą didinančių įpareigojimų visų pirma atsižvelgiant į nekibernetinę riziką. •Suderinamumas su kitomis Sąjungos politikos sritimis Komunikate „Europos skaitmeninės ateities formavimas“ pažymima, kad Europai labai svarbu pasinaudoti visais skaitmeninio amžiaus privalumais ir sustiprinti savo pramonės bei inovacijų pajėgumą neperžengiant saugumo ir etikos ribų. Europos duomenų strategijoje nustatyti keturi ramsčiai – duomenų apsauga, pagrindinės teisės, sauga ir kibernetinis saugumas – yra būtinos sąlygos duomenų teikiamomis galimybėmis besinaudojančiai visuomenei. 2019 m. kovo 12 d. rezoliucijoje Europos Parlamentas paragino „<..> Komisiją įvertinti poreikį toliau plėsti TIS direktyvos taikymo sritį, į ją įtraukiant kitus svarbius sektorius bei paslaugas, nepatenkančius į konkretiems sektoriams skirtų teisės aktų taikymo sritį“. Taryba savo 2020 m. birželio 9 d. išvadose palankiai įvertino „<...> Komisijos planus užtikrinti nuoseklias taisykles rinkos dalyviams ir sudaryti palankesnes sąlygas saugiai, patikimai ir tinkamai dalytis informacija apie grėsmes ir incidentus, be kita ko, peržiūrint Direktyvą dėl tinklų ir informacinių sistemų saugumo (TIS direktyvą), kad būtų ieškoma galimybių padidinti kibernetinį atsparumą ir veiksmingiau reaguoti į kibernetinius išpuolius, ypač į išpuolius prieš esminę ekonominę ir visuomeninę veiklą, kartu atsižvelgiant į valstybių narių kompetenciją, įskaitant atsakomybę už jų nacionalinį saugumą“. Be to, pasiūlytas teisės aktas nedaro poveikio Sutartyje dėl Europos Sąjungos veikimo (SESV) nustatytų konkurencijos taisyklių taikymui.

Atsižvelgiant į tai, kad didelė dalis kibernetinio saugumo grėsmių kyla už ES ribų, reikalingas nuoseklus požiūris į tarptautinį bendradarbiavimą. Ši direktyva yra pavyzdinis modelis, kurį reikia skatinti ES bendradarbiaujant su trečiosiomis šalimis, visų pirma teikiant išorės techninę pagalbą. 2.TEISINIS PAGRINDAS, SUBSIDIARUMO IR PROPORCINGUMO PRINCIPAI •Teisinis pagrindas TIS direktyvos teisinis pagrindas yra Sutarties dėl Europos Sąjungos veikimo 114 straipsnis, kurio tikslas – tobulinant nacionalinių taisyklių suderinimo priemones sukurti veikiančią vidaus rinką. ES Teisingumo Teismas savo sprendime Vodafone ir kt. (byla C-58/08) nusprendė, kad nuoroda į SESV 114 straipsnį yra pagrįsta, jeigu nacionalinių taisyklių skirtumai daro tiesioginį poveikį vidaus rinkos veikimui. Teisingumo Teismas taip pat nusprendė, kad tais atvejais, kai SESV 114 straipsniu pagrįstu aktu jau panaikintos visos prekybos kliūtys jo suderintoje srityje, nepanaikinama Sąjungos teisės aktų leidėjo galimybė pritaikyti šį aktą, kad būtų atsižvelgta į pasikeitusias aplinkybes arba žinių raidą, atsižvelgiant į jam tenkančią pareigą užtikrinti Sutartimi pripažintus bendruosius interesus. Galiausiai Teisingumo Teismas nusprendė, kad suderinimo priemonėmis, kurioms taikomas SESV 114 straipsnis, norima suteikti tam tikrą diskreciją priimant sprendimą dėl tinkamiausio metodo, reikalingo pageidaujamam tikslui pasiekti. Ši diskrecija priklausytų nuo klausimo, dėl kurio reikia imtis suderinimo veiksmų, bendro konteksto ir konkrečių aplinkybių. Siūlomu teisės aktu būtų pašalintos kliūtys ir pagerintos galimybės sukurti veikiančią esminių ir svarbių subjektų vidaus rinką, sukuriant aiškias visuotinai taikomas taisykles dėl TIS direktyvos taikymo srities, suderinant taisykles, taikomas kibernetinio saugumo rizikos valdymo ir pranešimo apie incidentus srityje. Dabartiniai skirtumai šioje srityje tiek teisės aktų, tiek priežiūros lygmenimis, taip pat nacionaliniu ir ES lygmenimis trukdo veikti vidaus rinkai, nes tarpvalstybinę veiklą vykdantys subjektai susiduria su skirtingais ir iš dalies sutampančiais reguliavimo reikalavimais ir (arba) jų taikymu pakenkiant galimybei naudotis įsisteigimo laisve ir paslaugų teikimo laisve. Skirtingos taisyklės taip pat turi neigiamą poveikį konkurencijos vidaus rinkoje sąlygoms, kai kalbama apie tos pačios rūšies subjektus įvairiose valstybėse narėse. •Subsidiarumo principas (neišimtinės kompetencijos atveju) Kibernetinis atsparumas Sąjungoje negali būti veiksmingas, jeigu bus laikomasi nevienodo nacionaliniu ar regioniniu lygmeniu izoliuoto požiūrio. TIS direktyva šis trūkumas iš dalies buvo išspręstas nacionaliniu ir Sąjungos lygmenimis nustatant tinklų ir informacinių sistemų saugumo sistemą. Tačiau ją perkeliant į nacionalinę tiesę ir įgyvendinant taip pat išryškėjo tam tikrų nuostatų ar požiūrių trūkumai ir ribos, pavyzdžiui, neaiškios direktyvos taikymo srities ribos, dėl kurių atsirado didelių skirtumų, susijusių su de facto ES intervencijos mastu ir išsamumu valstybės narės lygmeniu. Be to, nuo COVID-19 krizės pradžios Europos ekonomika kaip niekad anksčiau tapo dar labiau priklausoma nuo tinklų ir informacinių sistemų, o sektoriai ir paslaugos tarpusavyje vis labiau sujungiami. ES intervencija, apimanti daugiau nei dabartines TIS direktyvos priemones, iš esmės yra pateisinama dėl: i) didėjančio su TIS susijusių grėsmių ir problemų tarpvalstybinio pobūdžio; ii) Sąjungos veiksmų siekiant pagerinti ir palengvinti veiksmingą ir koordinuotą nacionalinę politiką potencialo ir iii) suderintų ir bendradarbiavimu grindžiamų politikos priemonių indėlio veiksmingai užtikrinant duomenų apsaugą ir privatumą. •Proporcingumo principas Šioje direktyvoje siūlomos taisyklės neviršija to, kas yra būtina tam, kad būtų patenkinamai pasiekti konkretūs tikslai. Numatomas saugumo priemonių ir pareigų pranešti suderinimas ir supaprastinimas yra susiję su valstybių narių ir įmonių prašymais tobulinti dabartinę sistemą. Pasiūlyme atsižvelgiama į valstybėse narėse jau galiojančią praktiką. Dėl tokių supaprastintų ir koordinuotų reikalavimų pasiektas didesnis apsaugos lygis yra proporcingas didėjančiai rizikai, su kuria susiduriama, įskaitant tarpvalstybinį aspektą turinčią riziką; jie pagrįstai ir visuotinai atitinka subjektų, dalyvaujančių užtikrinant savo teikiamų paslaugų tęstinumą ir kokybę, interesą. Sisteminio valstybių narių bendradarbiavimo užtikrinimo išlaidos turėtų būti nedidelės, palyginti su ekonominiais ir visuomeniniais nuostoliais bei žala, kurią sukelia kibernetinio saugumo incidentai. Be to, iš konsultacijų su suinteresuotosiomis šalimis, kurios buvo surengtos peržiūrint TIS direktyvą, įskaitant atvirų viešų konsultacijų ir tikslinių apklausų rezultatus, matyti, kad TIS direktyvos peržiūrai, atsižvelgiant į minėtas nuostatas, pritariama. •Priemonės pasirinkimas Pasiūlymu bus dar labiau supaprastintos įmonėms nustatytos pareigos ir užtikrinamas aukštesnio lygio šių pareigų suderinimas. Kartu pasiūlymu siekiama suteikti valstybėms narėms reikalingą lankstumą, kad jos galėtų atsižvelgti į nacionalinius ypatumus (pvz., galimybė nustatyti papildomus esminius arba svarbius subjektus, kurie nenumatyti teisės akte). Todėl būsima teisinė priemonė turėtų būti direktyva, nes ši teisinė priemonė sudaro sąlygas imtis tikslingų didesnio suderinimo veiksmų ir suteikia tam tikrą lankstumą kompetentingoms institucijoms. 3.EX POST VERTINIMO, KONSULTACIJŲ SU SUINTERESUOTOSIOMIS ŠALIMIS IR POVEIKIO VERTINIMO REZULTATAI •Galiojančių teisės aktų ex post vertinimas / tinkamumo patikrinimas Komisija atliko TIS direktyvos taikymo vertinimą. Ji išanalizavo jos aktualumą, Europos pridėtinę vertę, nuoseklumą, veiksmingumą ir efektyvumą. Pagrindinės šios analizės išvados yra šios: ·TIS direktyvos taikymo sritis yra pernelyg ribota atsižvelgiant į sektorius, kuriems ji taikoma, ir taip iš esmės yra dėl: i) padidėjusio skaitmeninimo pastaraisiais metais ir didesnio tarpusavio junglumo, ii) to, kad TIS direktyvos taikymo sritis nebeatspindi visų skaitmenintų sektorių, kuriuose teikiamos pagrindinės paslaugos ekonomikai ir visai visuomenei. ·TIS direktyva nėra pakankamai aiški, kai kalbama apie jos taikymo sritį esminių paslaugų operatoriams, be to, jos nuostatose nėra pakankamai paaiškinama nacionalinė kompetencija skaitmeninių paslaugų teikėjų atžvilgiu. Dėl šios priežasties susidarė situacija, kurioje tam tikrų rūšių subjektai nebuvo nustatyti visose valstybėse narėse, todėl jie neprivalo nustatyti saugumo priemonių ir pranešti apie incidentus. ·TIS direktyva valstybėms narėms suteikta plati diskrecija nustatyti esminių paslaugų operatoriams taikomus saugumo ir pranešimo apie incidentus reikalavimus. Iš vertinimo matyti, kad kai kuriais atvejais valstybės narės šiuos reikalavimus įgyvendino labai nevienodai, todėl daugiau nei vienoje valstybėje narėje veikiančioms įmonėms buvo užkrauta papildoma našta. ·TIS direktyvos priežiūros ir vykdymo užtikrinimo režimas yra neveiksmingas. Pavyzdžiui, valstybės narės labai nenoriai skyrė baudas subjektams, kurie nesilaikė saugumo reikalavimų arba nepranešė apie incidentus. Tai gali turėti neigiamų pasekmių pavienių subjektų kibernetiniam atsparumui.

·Finansiniai ir žmogiškieji ištekliai, kuriuos valstybės narės skiria tam, kad įvykdytų savo užduotis (pvz., esminių paslaugų operatorių nustatymas arba priežiūra), taigi ir nevienodas brandos lygis sprendžiant su kibernetinio saugumo rizika susijusius klausimus, yra labai skirtingi. Dėl šios priežasties dar labiau padidėja valstybių narių kibernetinio atsparumo skirtumai. ·Valstybės narės sistemiškai nesidalija informacija viena su kita, todėl atsiranda neigiamų pasekmių visų pirma kibernetinio saugumo priemonių veiksmingumui ir bendro informuotumo apie padėtį ES lygmeniu lygiui. Tą patį galima pasakyti apie dalijimąsi informacija tarp privačių subjektų ir ES bendradarbiavimo struktūrų ir privačiųjų subjektų dalyvavimą. •Konsultacijos su suinteresuotosiomis šalimis Komisija konsultavosi su įvairiomis suinteresuotosiomis šalimis. Valstybių narių ir suinteresuotųjų šalių buvo prašoma dalyvauti atvirose viešose konsultacijose ir apklausose bei praktiniuose seminaruose, kuriuos Komisijos prašymu surengė bendrovė „Wavestone“, CEPS ir ICF, kad atliktų tyrimą, kuriuo remiantis būtų peržiūrima TIS direktyva. Suinteresuotosioms šalims, su kuriomis buvo konsultuojamasi, priklausė kompetentingos institucijos, Sąjungos įstaigos, sprendžiančios su kibernetiniu saugumu susijusius klausimus, esminių paslaugų operatoriai, skaitmeninių paslaugų teikėjai, subjektai, teikiantys paslaugas, kurioms netaikoma dabartinė TIS direktyva, verslo asociacijos ir vartotojų organizacijos bei piliečiai. Be to, Komisija nuolat palaikė ryšį su kompetentingomis institucijomis, atsakingomis už TIS direktyvos įgyvendinimą. Bendradarbiavimo grupė išsamiai aptarė įvairius kompleksinius ir sektorinius įgyvendinimo aspektus. Galiausiai per savo TIS šalių vizitus 2019 ir 2020 m. Komisija apklausė 154 viešuosius ir privačiuosius subjektus, taip pat 117 kompetentingų institucijų. •Tiriamųjų duomenų rinkimas ir naudojimas Komisija pasamdė bendrovės „Wavestone“, CEPS ir ICF konsorciumą, kad jis padėtų jai peržiūrėti TIS direktyvą. Rangovas, rengdamas tikslines apklausas ir praktinius seminarus, susisiekė ne tik su suinteresuotosiomis šalimis, kurioms TIS direktyva daro tiesioginį poveikį, bet ir konsultavosi su įvairiais kibernetinio saugumo srities ekspertais, pavyzdžiui, kibernetinio saugumo tyrėjais ir kibernetinio saugumo pramonės specialistais. •Poveikio vertinimas Prie šio pasiūlymo pridedamas poveikio vertinimas, kuris Reglamentavimo patikros valdybai buvo pateiktas 2020 m. spalio 23 d., o teigiama nuomonė su Reglamentavimo patikros valdybos pastabomis gauta 2020 m. lapkričio 20 d. Reglamentavimo patikros valdyba rekomendavo pasiūlymą tam tikrose srityse patobulinti siekiant: 1) analizuojant problemas geriau aptarti tarpvalstybinio šalutinio poveikio svarbą; 2) geriau paaiškinti, kada iniciatyva būtų laikoma sėkmingai įgyvendinta; 3) papildomai pagrįsti politikos galimybių sąrašą; 4) išsamiau aptarti siūlomų priemonių išlaidas. Poveikio vertinimas buvo patikslintas, kad būtų atsižvelgta į šiuos aspektus, taip pat į išsamesnes Reglamentavimo patikros valdybos pastabas. Dabar jame pateikiami išsamesni paaiškinimai dėl tarpvalstybinio šalutinio poveikio kibernetinio saugumo srityje, aiškesnė sėkmės įvertinimo apžvalga, išsamesnis įvairių politikos galimybių ir veiksmų, kurių svarstoma imtis pagal šias politikos galimybes, struktūros ir logikos paaiškinimas, išsamesnis aspektų, kurie analizuojami atsižvelgiant į TIS direktyvos taikymo sritį sektoriams, paaiškinimas ir papildomi paaiškinimai dėl išlaidų. Komisija išnagrinėjo įvairias politikos galimybes, kuriomis siekiama patobulinti teisinę sistemą kibernetinio atsparumo ir reagavimo į incidentus srityje: ·„nieko nekeisti“: TIS direktyva liktų nepakitusi ir nebūtų imtasi jokių kitų neteisinio pobūdžio priemonių siekiant išspręsti TIS direktyvos vertinimo metu nustatytas problemas; ·1 galimybė: teisėkūros lygmeniu nebūtų atliekami jokie pakeitimai. Vietoj to, Komisija, pasikonsultavusi su Bendradarbiavimo grupe, ES kibernetinio saugumo agentūra (ENISA) ir, kai taikytina, reagavimo į kompiuterių saugumo incidentus tarnybų (CSIRT) tinklu, priimtų rekomendacijas ir gaires (pvz., dėl esminių paslaugų operatorių nustatymo, saugumo reikalavimų, pranešimo apie incidentus procedūrų ir priežiūros); ·2 galimybė: ši galimybė apima tikslingus TIS direktyvos pakeitimus, įskaitant taikymo srities praplėtimą ir keletą kitų pakeitimų, kuriais būtų siekiama garantuoti tam tikrus skubius nustatytų problemų sprendimus, šiuo tikslu suteikiant daugiau aiškumo ir užtikrinant tolesnį suderinimą (pvz., nuostatos, kuriomis suderinamos nustatymo ribos). Tačiau iš dalies pakeistoje TIS direktyvoje išliktų pagrindinės sudedamosios dalys, požiūris ir loginis pagrindas; ·3 galimybė: pagal šį scenarijų būtų atliekami sisteminiai ir struktūriniai TIS direktyvos pakeitimai (priimant naują direktyvą), kuriais būtų numatyta pakeisti kai kuriuos esminius požiūrio aspektus siekiant atsižvelgti į platesnį visos Sąjungos ekonomikos segmentą kartu daugiau dėmesio skiriant didelių ir pagrindinių dalyvių priežiūrai. Pagal šį scenarijų taip pat būtų supaprastintos įmonėms nustatytos pareigos ir užtikrinamas aukštesnis tokių pareigų suderinimo lygis, sukuriama veiksmingesnė aplinka, susijusi su veiklos aspektais, taip pat nustatomas aiškus įvairių suinteresuotųjų šalių bendrų pareigų ir atskaitomybės pagrindas. Poveikio vertinime daroma išvada, kad tinkamiausia yra 3 galimybė (t. y. sisteminiai ir struktūriniai TIS sistemos pakeitimai). Kalbant apie veiksmingumą pažymėtina, kad pagal tinkamiausią galimybę būtų aiškiai nustatoma TIS direktyvos taikymo sritis, kuri būtų praplėsta taip, kad apimtų reprezentatyvesnę ES ekonomikos sektorių ir visuomenės grupių dalį, be to, būtų supaprastinami reikalavimai, įskaitant griežčiau apibrėžtą priežiūros ir vykdymo užtikrinimo sistemą, kuria būtų siekiama padidinti atitikties lygį. Joje taip pat numatytos priemonės, kurių paskirtis – patobulinti požiūrį į politikos formavimą valstybių narių lygmeniu ir pakeisti tokių požiūrių paradigmą, skatinti naujas tiekėjų santykių rizikos valdymo sistemas ir suderintą pažeidžiamumų atskleidimą. Kartu pagal tinkamiausią politikos galimybę nustatomas aiškus bendrų pareigų ir atskaitomybės pagrindas ir numatomi mechanizmai, kuriais siekiama skatinti didesnį valstybių narių, taip pat institucijų ir pramonės tarpusavio pasitikėjimą, skatinamas dalijimasis informacija ir užtikrinamas labiau operatyvinis požiūris, pavyzdžiui, savitarpio pagalbos ir tarpusavio vertinimo mechanizmai. Pagal šią galimybę taip pat būtų numatyta ES krizių valdymo sistema, grindžiama neseniai pradėjusiu veikti ES operaciniu tinklu, taip pat būtų užtikrintas aktyvesnis ENISA dalyvavimas, atsižvelgiant į jos dabartinius įgaliojimus, užtikrinant tikslų supratimą apie kibernetinio saugumo padėtį Sąjungoje. Kalbant apie veiksmingumą pažymėtina, kad nors dėl tinkamiausios galimybės įmonės ir valstybės narės patirtų papildomų atitikties ir vykdymo užtikrinimo išlaidų, ja taip pat būtų prisidedama prie abipusės naudos ir sinergijos, be to, tinkamiausia galimybė iš visų analizuotų politikos galimybių turi didžiausią potencialą užtikrinti didesnį ir nuoseklesnį pagrindinių subjektų visoje Sąjungoje kibernetinio atsparumo lygį, kuris galiausiai padėtų įmonėms ir visuomenei sutaupyti sąnaudų. Dėl šios politikos galimybės valstybių narių valdžios institucijos susidurtų su papildoma administracine našta ir patirtų atitikties išlaidų. Tačiau, atsižvelgus į viską, vidutinės ir ilgalaikės trukmės laikotarpiu dėl glaudesnio valstybių narių bendradarbiavimo taip pat būtų gauta esminės naudos, įskaitant naudą veiklos lygmeniu, be to, užtikrinant savitarpio pagalbą būtų skatinami tarpusavio vertinimo mechanizmai ir geresnis pagrindinių įmonių bendras supratimas ir sąveika su jomis, ir apskritai padidėtų kibernetinio saugumo pajėgumai nacionaliniu ir regioniniu lygmenimis. Tinkamiausia politikos galimybė taip pat padėtų užtikrinti didesnio masto suderinamumą su kitais teisės taktais, iniciatyvomis arba politikos priemonėmis, įskaitant konkrečių sektorių lex specialis. Sprendžiant dabartinę sisteminę nepakankamos kibernetinio saugumo parengties problemą, kuri egzistuoja valstybių narių ir įmonių bei kitų organizacijų lygmeniu, gali būti padidintas efektyvumas ir sumažintos papildomos išlaidos, atsirandančios dėl kibernetinio saugumo incidentų. ·Dėl didesnio kibernetinio saugumo parengties lygio esminiai ir svarbūs subjektai galėtų sumažinti galimus nuostolius, kuriuos sukelia sutrikimai, įskaitant pramoninį šnipinėjimą, ir dideles išlaidas, reikalingas ad hoc grėsmių mažinimui. Tikėtina, kad tokia nauda bus didesnė nei būtinos investicinės išlaidos. Sumažinus vidaus rinkos susiskaidymą, taip pat pagerėtų operatorių veikimo sąlygos. ·Valstybių narių atveju tai padėtų dar labiau sumažinti ad hoc grėsmių švelninimui skirtų biudžeto išlaidų didėjimo riziką ir papildomų išlaidų, patiriamų susidarius ekstremaliajai situacijai dėl kibernetinio saugumo incidentų, riziką. ·Tikėtina, kad kibernetinio saugumo incidentų šalinimas sumažins piliečių pajamų nuostolius, kurie atsiranda dėl ekonomikos sutrikimo.

Labai tikėtina, kad dėl padidėjusio kibernetinio saugumo lygio valstybėse narėse ir įmonių bei institucijų gebėjimo greitai reaguoti į incidentą ir sumažinti jo poveikį padidės bendras piliečių pasitikėjimas skaitmenine ekonomika, o tai galėtų turėti teigiamą poveikį augimui ir investicijoms. Tikėtina, kad dėl didėjančio bendro kibernetinio saugumo lygio padidės bendras saugumas ir sklandžiai bei nepertraukiamai bus teikiamos esminės paslaugos, kurios yra ypač svarbios visuomenei. Iniciatyva taip pat gali turėti kitų socialinių pasekmių, pavyzdžiui, mažesnis kibernetinių nusikaltimų ir terorizmo lygis ir geresnė civilinė sauga. Didėjantis įmonių ir kitų organizacijų kibernetinės parengties lygis gali padėti išvengti galimų finansinių nuostolių, patiriamų dėl kibernetinių išpuolių, taip užkertant kelią poreikiui atleisti darbuotojus. Didėjantis bendras kibernetinio saugumo lygis taip pat galėtų užkirsti kelią rizikai ir (arba) žalai aplinkai, jei būtų surengtas išpuolis prieš esminę paslaugą. Tai būtų galima pasakyti visų pirma apie energetikos, vandens tiekimo ir paskirstymo arba transporto sektorius. Iniciatyva sustiprinus kibernetinio saugumo pajėgumus būtų galima dažniau naudoti naujausios kartos IRT infrastruktūros objektus ir paslaugas, kurios yra tvaresnės ir aplinkosaugos požiūriu, ir pakeisti neveiksmingus ir ne tokius saugius senus infrastruktūros objektus. Tikimasi, kad tai taip pat padės sumažinti brangių kibernetinių incidentų skaičių ir atlaisvinti tvarioms investicijoms prieinamas lėšas. •Reglamentavimo tinkamumas ir supaprastinimas Pasiūlyme numatyta TIS taikymo bendroji išimtis labai mažiems ir mažiesiems subjektams ir švelnesnis ex post priežiūros režimas, taikomas daugumai naujų subjektų atsižvelgiant į peržiūrėtą taikymo sritį (vadinamieji svarbūs subjektai). Šiomis priemonėmis siekiama kuo labiau sumažinti įmonėms ir viešojo administravimo institucijoms tenkančią naštą ir išlaikyti tokios naštos pusiausvyrą. Be to, pasiūlymu sudėtinga esminių paslaugų operatorių nustatymo sistema pakeičiama visuotinai taikoma pareiga, be to, nustatomas aukštesnis saugumo ir pareigų pranešti suderinimo lygis, kuris turėtų padėti sumažinti atitikties naštą, ypač tarpvalstybines paslaugas teikiantiems subjektams. Pasiūlymu kuo labiau sumažinamos MVĮ patiriamos atitikties išlaidos, nes subjektai privalo imtis tik tų priemonių, kurios yra būtinos užtikrinti tokį tinklų ir informacinių sistemų saugumo lygį, kuris atitinka kylančią riziką. •Pagrindinės teisės ES yra įsipareigojusi užtikrinti, kad būtų laikomasi pagrindinių teisių apsaugos aukštų standartų. Visos subjektų savanoriško dalijimosi informacija sistemos, kuriomis naudotis skatinama šia direktyva, būtų įgyvendinamos patikimoje aplinkoje visapusiškai laikantis Sąjungos duomenų apsaugos taisyklių, visų pirma Europos Parlamento ir Tarybos reglamento (ES) 2016/679. 4.POVEIKIS BIUDŽETUI Žr. finansinę pažymą. 5.KITI ELEMENTAI •Įgyvendinimo planai ir stebėsena, vertinimas ir ataskaitų teikimo tvarka Į pasiūlymą įtrauktas bendras poveikio konkretiems tikslams stebėsenos ir vertinimo planas, pagal kurį Komisija praėjus ne daugiau kaip [54 mėnesiams] nuo įsigaliojimo datos privalo atlikti peržiūrą ir pateikti pagrindinių išvadų ataskaitą Europos Parlamentui ir Tarybai. Peržiūra turi būti atliekama vadovaujantis Komisijos geresnio reglamentavimo gairėmis. •Išsamus konkrečių pasiūlymo nuostatų paaiškinimas Pasiūlymo struktūra grindžiama keliomis pagrindinėmis tarpusavyje susijusiomis politikos sritimis, kurios padeda didinti kibernetinio saugumo lygį Sąjungoje. Dalykas ir taikymo sritis (1 ir 2 straipsniai) Direktyva visų pirma: a) nustatomos valstybių narių pareigos priimti nacionalinę kibernetinio saugumo strategiją, paskirti kompetentingas nacionalines institucijas, bendruosius informacinius centrus ir CSIRT; b) numatoma, kad valstybės narės nustato kibernetinio saugumo rizikos valdymo pareigas ir pareigas pranešti, taikomas subjektams, kurie I priede įvardijami kaip esminiai subjektai, ir subjektams, kurie II priede įvardijami kaip svarbūs subjektai; c) numatoma, kad valstybės narės nustato pareigas, susijusias su dalijimusi kibernetinio saugumo informacija. Ji taikoma tam tikriems viešiesiems arba privatiesiems esminiams subjektams, veikiantiems I priede išvardytuose sektoriuose (energetikos; transporto; bankininkystės; finansų rinkų infrastruktūrų; sveikatos, geriamojo vandens; nuotekų; skaitmeninės infrastruktūros; viešojo administravimo ir kosmoso), ir tam tikriems svarbiems subjektams, veikiantiems II priede išvardytuose sektoriuose (pašto ir pasiuntinių paslaugų; atliekų tvarkymo; cheminių medžiagų gamybos ir platinimo; maisto gamybos, perdirbimo ir platinimo; gamybos ir skaitmeninių paslaugų teikimo). Labai maži ir mažieji subjektai, kaip apibrėžta 2003 m. gegužės 6 d. Komisijos rekomendacijoje 2003/361/EB, nepatenka į direktyvos taikymo sritį, išskyrus elektroninių ryšių tinklų paslaugų teikėjus ar viešai prieinamų elektroninių ryšių paslaugų teikėjus, patikimumo užtikrinimo paslaugų teikėjus, aukščiausio lygio domenų (TLD) vardų registrus ir viešojo administravimo ir tam tikrus kitus subjektus, pavyzdžiui, vienintelis paslaugų teikėjas valstybėje narėje. Nacionalinės kibernetinio saugumo sistemos (5–11 straipsniai)

Valstybės narės privalo priimti nacionalinę kibernetinio saugumo strategiją, kurioje apibrėžiami strateginiai uždaviniai ir tinkamos politikos bei reguliavimo priemonės, kad būtų pasiektas ir išlaikytas aukšto lygmens kibernetinis saugumas. Direktyva taip pat nustatoma suderinto pažeidžiamumų atskleidimo sistema ir reikalaujama, kad valstybės narės paskirtų CSIRT, kurios veiktų kaip patikimi tarpininkai ir palengvintų pranešimus teikiančių subjektų ir gamintojų arba IRT produktų ir IRT paslaugų teikėjų sąveiką. ENISA privalo sukurti ir tvarkyti Europos pažeidžiamumų registrą, kuriame registruojami nustatyti pažeidžiamumai. Valstybės narės privalo nustatyti nacionalines kibernetinio saugumo krizių valdymo sistemas inter alia paskirdamos nacionalines kompetentingas institucijas, atsakingas už didelio masto kibernetinio saugumo incidentų ir krizių valdymą. Valstybės narės taip pat privalo paskirti vieną arba daugiau nacionalinių kompetentingų kibernetinio saugumo institucijų, kurios būtų atsakingos už priežiūros užduočių pagal šią direktyvą vykdymą, ir bendrąjį informacinį centrą kibernetinio saugumo klausimais, kuris vykdytų ryšių palaikymo funkciją ir užtikrintų tarpvalstybinį valstybių narių valdžios institucijų bendradarbiavimą. Valstybės narės taip pat privalo paskirti CSIRT. Bendradarbiavimas (12–16 straipsniai) Direktyva sudaroma Bendradarbiavimo grupė, kad būtų remiamas ir lengvinamas valstybių narių strateginis bendradarbiavimas ir keitimasis informacija, taip pat didinama jų atsakomybė ir pasitikėjimas. Ja taip pat sukuriamas CSIRT tinklas, kuriuo siekiama prisidėti prie valstybių narių atsakomybės ir tarpusavio pasitikėjimo didinimo ir skatinamas greitas bei veiksmingas operatyvinis bendradarbiavimas. Europos ryšių palaikymo dėl kibernetinių krizių organizacinis tinklas („EU-CyCLONe“) sukuriamas siekiant remti koordinuotą didelio masto kibernetinio saugumo incidentų ir krizių valdymą ir užtikrinti nuolatinį keitimąsi informacija tarp valstybių narių ir ES institucijų. ENISA, bendradarbiaudama su Komisija, kas dvejus metus privalo parengti metinę kibernetinio saugumo būklės Sąjungoje ataskaitą. Komisija privalo nustatyti tarpusavio vertinimo sistemą, kuri sudarytų sąlygas nuolat atlikti valstybių narių kibernetinio saugumo politikos veiksmingumo tarpusavio vertinimus. Kibernetinio saugumo rizikos valdymas ir pareigos pranešti (17–23 straipsniai) Valstybės narės pagal direktyvą privalo numatyti, kad visų subjektų, kuriems taikoma direktyva, valdymo organai tvirtintų kibernetinio saugumo rizikos valdymo priemones, kurių ėmėsi atitinkami subjektai, ir dalyvautų konkrečiuose su kibernetiniu saugumu susijusiuose mokymuose. Valstybės narės privalo užtikrinti, kad subjektai, kuriems taikoma direktyva, imtųsi tinkamų ir proporcingų techninių ir organizacinių priemonių, kad suvaldytų tinklų ir informacinių sistemų saugumui kylančią kibernetinio saugumo riziką. Jos taip pat privalo užtikrinti, kad subjektai praneštų nacionalinėms kompetentingoms institucijoms arba CSIRT apie bet kokį kibernetinio saugumo incidentą, kuris turi didelį poveikį jų teikiamai paslaugai. Aukščiausio lygio domenų vardų registrai ir subjektai, teikiantys aukščiausio lygio domenų vardų registracijos paslaugas, renka ir saugo tikslius ir išsamius domeno vardų registracijos duomenis. Be to, tokie subjektai privalo teisėtiems prieigos prašytojams leisti veiksmingai susipažinti su domeno registracijos duomenimis. Jurisdikcija ir registracija (24 ir 25 straipsniai) Paprastai laikoma, kad esminiai ir svarbūs subjektai priklauso valstybės narės, kurioje jie teikia paslaugas, jurisdikcijai. Tačiau laikoma, kad tam tikrų rūšių subjektai (DNS paslaugų teikėjai, aukščiausio lygio domenų vardų registrai, debesijos kompiuterijos paslaugų teikėjai, duomenų centrų paslaugų teikėjai ir turinio teikimo tinklo paslaugų tiekėjai, taip pat tam tikri skaitmeninių paslaugų teikėjai) priklauso valstybės narės, kurioje yra jų pagrindinė buveinė Sąjungoje, jurisdikcijai. Taip siekiama užtikrinti, kad tokiems subjektams nebūtų taikomi įvairūs skirtingi teisiniai reikalavimai, nes jie tarpvalstybines paslaugas teikia itin plačiu mastu. ENISA privalo sukurti ir tvarkyti tokios rūšies subjektų registrą. Dalijimasis informacija (26 ir 27 straipsniai) Valstybės narės numato taisykles, kuriomis subjektams sudaromos sąlygos dalyvauti dalijantis su kibernetiniu saugumu susijusia informacija laikantis konkrečių dalijimosi kibernetinio saugumo informacija taisyklių sistemos pagal SESV 101 straipsnį. Be to, valstybės narės sudaro sąlygas subjektams, kuriems ši direktyva netaikoma, savanoriškai pranešti apie rimtus incidentus, kibernetines grėsmes arba vos neįvykusius incidentus. Priežiūra ir vykdymo užtikrinimas (28–34 straipsniai) Kompetentingos institucijos privalo prižiūrėti subjektus, kuriems taikoma ši direktyva, ir visų pirma užtikrinti, kad jie laikytųsi saugumo ir pranešimo apie incidentus reikalavimų. Joje daromas skirtumas tarp ex ante priežiūros režimo, taikomo esminiams subjektams, ir ex post priežiūros režimo, taikomo svarbiems subjektams, pastaruoju atveju reikalaujant, kad kompetentingos institucijos imtųsi veiksmų, kai joms pateikiami įrodymai arba matomi požymiai, kad svarbus subjektas nesilaiko saugumo ir pranešimo apie incidentą reikalavimų. Pagal direktyvą taip pat reikalaujama, kad valstybės narės skirtų administracines baudas esminiams ir svarbiems subjektams ir nustatytų tam tikras didžiausias baudas.

Valstybės narės privalo bendradarbiauti ir prireikus padėti viena kitai, kai subjektai teikia paslaugas daugiau nei vienoje valstybėje narėje arba kai subjekto pagrindinė buveinė arba jo atstovybė yra tam tikroje valstybėje narėje, tačiau jos tinklų ir informacinės sistemos yra vienoje arba keliose kitose valstybėse narėse. 2020/0359 (COD) Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS DIREKTYVA dėl priemonių aukštam bendram kibernetinio saugumo lygiui visoje Sąjungoje užtikrinti, kuria panaikinama Direktyva (ES) 2016/1148 (Tekstas svarbus EEE) EUROPOS PARLAMENTAS IR EUROPOS SĄJUNGOS TARYBA, atsižvelgdami į Sutartį dėl Europos Sąjungos veikimo, ypač į jos 114 straipsnį, atsižvelgdami į Europos Komisijos pasiūlymą, teisėkūros procedūra priimamo akto projektą perdavus nacionaliniams parlamentams, atsižvelgdami į Europos ekonomikos ir socialinių reikalų komiteto nuomonę, atsižvelgdami į Regionų komiteto nuomonę, laikydamiesi įprastos teisėkūros procedūros, kadangi: (1)Europos Parlamento ir Tarybos direktyva (ES) 2016/1148 buvo siekiama sukurti kibernetinio saugumo pajėgumus visoje Sąjungoje, sumažinti grėsmes tinklų ir informacinėms sistemoms, kurios naudojamos teikiant esmines paslaugas pagrindiniuose sektoriuose, ir užtikrinti tokių paslaugų nuolatinį teikimą įvykus kibernetiniams incidentams, ir taip prisidėti prie veiksmingo Sąjungos ekonomikos ir visuomenės veikimo; (2)nuo Direktyvos (ES) 2016/1148 įsigaliojimo padaryta didelė pažanga didinant Sąjungos kibernetinio atsparumo lygį. Persvarsčius tą direktyvą, paaiškėjo, kad ji tapo institucinio ir reguliavimo požiūrio į kibernetinį saugumą Sąjungoje paskata ir sudarė sąlygas reikšmingam mąstysenos pokyčiui. Ta direktyva padėjo galutinai sukurti nacionalines sistemas apibrėžiant nacionalines kibernetinio saugumo strategijas, nustatant nacionalinius pajėgumus ir įgyvendinant reguliavimo priemones, taikomas kiekvienos valstybės narės nustatytiems esminiams infrastruktūros objektams ir dalyviams. Ja taip pat prisidėta prie bendradarbiavimo Sąjungos lygmeniu šiuo tikslu sudarant Bendradarbiavimo grupę ir sukuriant nacionalinių reagavimo į kompiuterinius saugumo incidentus tarnybų tinklą (CSIRT tinklas). Nepaisant šių laimėjimų, peržiūrėjus Direktyvą (ES) 2016/1148 paaiškėjo jos trūkumai, trukdantys veiksmingai spręsti dabartines ir naujas kibernetinio saugumo problemas; (3)tinklų ir informacinės sistemos dėl sparčios skaitmeninės transformacijos ir visuomenės tarpusavio junglumo, įskaitant tarpvalstybinius mainus, tapo pagrindiniu kasdienio gyvenimo aspektu. Dėl tokių pokyčių grėsmių kibernetiniam saugumui padėtis tapo sudėtingesnė, atsirado naujų problemų, į kurias visos valstybės narės turi reaguoti prisitaikydamos, koordinuotai ir naujoviškai. Kibernetinio saugumo incidentų skaičius, mastas, sudėtingumas, dažnumas ir poveikis didėja ir kelia didelę grėsmę tinklų ir informacinių sistemų veikimui. Todėl kibernetiniai incidentai gali trukdyti vykdyti ekonominę veiklą vidaus rinkoje, sukelti finansinių nuostolių, pakirsti naudotojų pasitikėjimą ir padaryti didelę žalą Sąjungos ekonomikai ir visuomenei. Todėl kibernetinio saugumo parengtis ir veiksmingumas kaip niekad anksčiau yra labai svarbūs tinkamam vidaus rinkos veikimui; (4)Direktyvos (ES) 1148/2016 teisinis pagrindas buvo Sutarties dėl Europos Sąjungos veikimo (SESV) 114 straipsnis, kurio tikslas – tobulinant nacionalinių taisyklių suderinimo priemones sukurti vidaus rinką ir užtikrinti jos veikimą. Paslaugas teikiantiems arba svarbią ekonominę veiklą vykdantiems subjektams nustatyti kibernetinio saugumo reikalavimai valstybėse narės gerokai skiriasi atsižvelgiant į reikalavimo rūšį, jų išsamumo lygį ir priežiūros metodą. Dėl šių skirtumų patiriama papildomų išlaidų, o prekes ar paslaugas tarpvalstybiniu mastu tiekiančioms įmonėms kyla sunkumų. Vienos valstybės narės nustatyti reikalavimai, kurie skiriasi nuo kitos valstybės narės nustatytų reikalavimų arba net jiems prieštarauja, gali daryti didelį neigiamą poveikį šiai tarpvalstybinei veiklai. Be to, tikėtina, kad dėl nepakankamai optimalios kibernetinio saugumo standartų struktūros arba įgyvendinimo vienoje valstybėje narėje kils pasekmių kitų valstybių narių kibernetinio saugumo lygiui, visų pirma atsižvelgiant į intensyvius tarpvalstybinius mainus. Peržiūrėjus Direktyvą (ES) 2016/1148, paaiškėjo, kad valstybėse narėse ji įgyvendinama labai įvairiai, be kita ko, skiriasi jos taikymo sritis, nes jos ribų nustatymo klausimas iš esmės buvo paliktas valstybių narių diskrecijai. Direktyva (ES) 2016/1148 valstybėms narėms taip pat buvo suteikta labai plati diskrecija įgyvendinti joje nustatytas saugumo pareigas ir pareigas pranešti apie incidentus. Todėl šios pareigos nacionaliniu lygmeniu buvo įgyvendintos gana skirtingai. Panašūs skirtumai nustatyti direktyvos nuostatų dėl priežiūros ir vykdymo užtikrinimo įgyvendinimo srityje; (5)visi šie skirtumai lemia vidaus rinkos susiskaidymą ir gali kenkti vidaus rinkos veikimui, visų pirma tai pasakytina apie neigiamą poveikį tarpvalstybiniam paslaugų teikimui ir kibernetinio saugumo atsparumo lygiui, kurį lemia taikomi skirtingi standartai. Šia direktyva siekiama pašalinti tokius didelius skirtumus tarp valstybių narių, visų pirma nustatant būtinas taisykles, susijusias su koordinuotos reguliavimo sistemos veikimu, šiuo tikslu sukuriant kiekvienos valstybės narės atsakingų institucijų veiksmingo bendradarbiavimo mechanizmus, atnaujinant sektorių ir veiklos, kuriems taikomos kibernetinio saugumo pareigos, sąrašą ir numatant veiksmingas teisių gynimo priemones ir sankcijas, kurios yra labai svarbios šių pareigų vykdymui veiksmingai užtikrinti. Todėl Direktyva (ES) 2016/1148 turėtų būti panaikinta ir pakeista šia direktyva; (6)ši direktyva nedaro poveikio valstybių narių galimybei imtis priemonių, būtinų gyvybiniams jos saugumo interesams užtikrinti, viešajai tvarkai palaikyti bei visuomenės saugumui užtikrinti, ir sudaryti sąlygas tirti bei išsiaiškinti nusikalstamas veikas ir už jas patraukti baudžiamojon atsakomybėn pagal Sąjungos teisę. Pagal SESV 346 straipsnį jokia valstybė narė neturi būti įpareigota teikti informacijos, kurios atskleidimas, jos nuomone, prieštarautų esminiams jos viešojo saugumo interesams. Šiomis aplinkybėmis svarbios nacionalinės ir Sąjungos taisyklės dėl įslaptintos informacijos apsaugos, susitarimai dėl informacijos neatskleidimo ir neoficialūs susitarimai dėl informacijos neatskleidimo, pavyzdžiui, Srauto kontrolės protokolas;

(7)panaikinus Direktyvą (ES) 2016/1148, taikymo sritis sektoriams, atsižvelgiant į 4–6 konstatuojamosiose dalyse išvardytas aplinkybes, turėtų būti praplėsta, kad apimtų platesnį ekonomikos veiklų spektrą. Todėl sektorių, kuriems taikoma Direktyva (ES) 2016/1148, sąrašas turėtų būti papildytas, kad direktyva būtų visapusiškai taikoma sektoriams ir paslaugoms, kurie yra gyvybiškai svarbūs pagrindinei visuomeninei ir ekonominei veiklai vidaus rinkoje. Taisyklės neturėtų skirtis priklausomai nuo to, ar subjektai yra esminių paslaugų operatoriai, ar skaitmeninių paslaugų teikėjai. Iš tiesų tokia diferenciacija yra pasenusi, nes neatspindi faktinės sektorių arba paslaugų svarbos visuomeninei ir ekonominei veiklai vidaus rinkoje; (8)pagal Direktyvą (ES) 2016/1148 valstybės narės turėjo pareigą nustatyti, kurie subjektai atitinka esminių paslaugų operatoriams taikomus kriterijus (nustatymo procesas). Šiuo atžvilgiu siekiant pašalinti didelius valstybių narių skirtumus ir užtikrinti rizikos valdymo reikalavimų ir pareigų pranešti teisinį tikrumą visų subjektų atžvilgiu, turėtų būti nustatytas vienas kriterijus, kuriuo remiantis nustatomi subjektai, kurie patenka į šios direktyvos taikymo sritį. Tas kriterijus turėtų būti grindžiamas dydžio ribos taisykle, pagal kurią į direktyvos taikymo sritį patenka visos vidutinės ir didelės įmonės, kaip apibrėžta Komisijos rekomendacijoje 2003/361/EB, veikiančios sektoriuose arba teikiančios atitinkamos rūšies paslaugas, kurioms taikoma ši direktyva. Nereikėtų reikalauti, kad valstybės narės sudarytų subjektų, atitinkančių šį visuotinai taikomą su dydžiu susijusį kriterijų, sąrašą; (9)vis dėlto į šios direktyvos taikymo sritį taip pat turėtų patekti mažieji arba labai maži subjektai, atitinkantys tam tikrus kriterijus, iš kurių matyti, kad jie atlieka pagrindinį vaidmenį valstybių narių ekonomikoje ar visuomenėje arba konkrečiuose sektoriuose ar teikiant tam tikrų rūšių paslaugas. Valstybės narės turėtų turėti pareigą sudaryti tokių subjektų sąrašą ir pateikti jį Komisijai; (10)Komisija, bendradarbiaudama su Bendradarbiavimo grupe, gali paskelbti labai mažoms ir mažosioms įmonėms taikomų kriterijų įgyvendinimo gaires; (11)priklausomai nuo sektoriaus, kuriame veikia arba teikiamos paslaugos rūšies, subjektai, kurie patenka į šios direktyvos taikymo sritį, turėtų būti skirstomi į dvi – esminių ir svarbių subjektų – kategorijas. Skirstant į tas kategorijas, reikėtų atsižvelgti į sektoriaus arba paslaugos rūšies svarbą, taip pat į priklausomybės nuo kitų sektorių arba rūšių paslaugų svarbą. Tiek esminiams, tiek svarbiems subjektams turėtų būti taikomi tokie patys rizikos valdymo reikalavimai ir pareigos pranešti. Abiejų kategorijų subjektams taikomi priežiūros ir sankcijų režimai turėtų būti diferencijuojami siekiant užtikrinti tinkamą, viena vertus, reikalavimų ir pareigų ir, kita vertus, administracinės naštos, atsirandančios dėl atitikties priežiūros, pusiausvyrą; (12)konkrečių sektorių teisės aktai ir priemonės gali padėti užtikrinti aukšto lygmens kibernetinį saugumą kartu visapusiškai atsižvelgiant į šių sektorių specifiką ir sudėtingumą. Jeigu pagal konkrečiam sektoriui taikomą Sąjungos teisės aktą reikalaujama, kad esminiai arba svarbūs subjektai priimtų kibernetinio saugumo rizikos valdymo priemones arba praneštų apie incidentus ar dideles kibernetines grėsmes, ir tokie reikalavimai bent jau turi lygiavertį poveikį kaip ir šioje direktyvoje nustatytos pareigos, turėtų būti taikomos tos konkretaus sektoriaus nuostatos, įskaitant priežiūrą ir vykdymo užtikrinimą reglamentuojančias nuostatas. Komisija gali priimti gaires, susijusias su lex specialis nuostatos įgyvendinimu. Šia direktyva nedraudžiama priimti papildomų konkretiems sektoriams taikomų Sąjungos aktų, kuriais reglamentuojamos kibernetinio saugumo rizikos valdymo priemonės ir pranešimo apie incidentus tvarka. Ši direktyva nedaro poveikio dabartiniams įgyvendinimo įgaliojimams, kurie Komisijai suteikti įvairiuose sektoriuose, įskaitant transporto ir energetikos sektorius; (13)atsižvelgiant į tai, kiek ši direktyva yra susijusi su finansų sektoriaus subjektais, Europos Parlamento ir Tarybos reglamento XXXX/XXXX pasiūlymas turėtų būti vertinamas kaip konkretaus sektoriaus Sąjungos teisės aktas. Reglamento XXXX/XXXX nuostatos, susijusios su informacinių ir ryšių technologijų (IRT) rizikos valdymo priemonėmis, IRT incidentų valdymu, ypač pranešimu apie incidentus, taip pat su skaitmeninės veiklos atsparumo testavimu, dalijimosi informacija tvarka ir trečiosios šalies IRT rizika, turėtų būti taikomos vietoj šioje direktyvoje nustatytų reikalavimų. Todėl valstybės narės šios direktyvos nuostatų dėl kibernetinio saugumo rizikos valdymo pareigų ir pareigų pranešti, dalijimosi informacija ir priežiūros bei vykdymo užtikrinimo neturėtų taikyti jokiems finansų sektoriaus subjektams, kuriems taikomas Reglamentas XXXX/XXXX. Kartu pagal šią direktyvą svarbu išlaikyti tvirtus ryšius su finansų sektoriumi ir užtikrinti, kad su juo būtų keičiamasi informacija. Šiuo tikslu Reglamentu XXXX/XXXX visoms finansų priežiūros institucijoms, Europos finansų sektoriaus priežiūros institucijoms (EPI) ir pagal Reglamentą XXXX/XXXX kompetentingoms nacionalinėms institucijoms leidžiama dalyvauti strateginėse politinėse diskusijose ir Bendradarbiavimo grupės techniniame darbe, taip pat keistis informacija bei bendradarbiauti su bendraisiais informaciniais centrais, paskirtais pagal šią direktyvą, ir su nacionalinėmis CSIRT. Pagal Reglamentą XXXX/XXXX kompetentingos institucijos, išsamius duomenis apie rimtus IRT incidentus taip pat turėtų perduoti pagal šią direktyvą paskirtiems bendriesiems informaciniams centrams. Be to, valstybės narės į savo kibernetinio saugumo strategijas turėtų toliau įtraukti finansų sektorių, o nacionalinės CSIRT savo veikloje gali aptarti finansų sektoriaus klausimus; (14)atsižvelgiant į kibernetinio saugumo ir subjektų fizinio saugumo tarpusavio ryšius, reikėtų užtikrinti nuoseklų požiūrį tarp Europos Parlamento ir Tarybos direktyvos (ES) XXX/XXX ir šios direktyvos. Kad pasiektų šį tikslą, valstybės narės turėtų užtikrinti, kad ypatingos svarbos subjektai pagal Direktyvą (ES) XXX/XXX būtų laikomi esminiais subjektais pagal šią direktyvą. Valstybės narės taip pat turėtų užtikrinti, kad jų kibernetinio saugumo strategijose būtų numatyta politikos sistema, kurioje būtų tvirčiau koordinuojama pagal šią direktyvą kompetentingos institucijos ir pagal Direktyvą (ES) XXX/XXX kompetentingos institucijos veikla dalijantis informacija apie incidentus bei kibernetines grėsmes ir vykdant priežiūros užduotis. Institucijos pagal abi direktyvas turėtų bendradarbiauti ir keistis informacija, visų pirma atsižvelgiant į ypatingos svarbos subjektų nustatymą, kibernetines grėsmes, kibernetinio saugumo riziką, incidentus, darančius poveikį ypatingos svarbos subjektams, taip pat informacija apie kibernetinio saugumo priemones, kurių ėmėsi ypatingos svarbos subjektai. Pagal Direktyvą (ES) XXX/XXX kompetentingų institucijų prašymu pagal šią direktyvą kompetentingoms institucijoms turėtų būti leidžiama įgyvendinti savo priežiūros ir vykdymo užtikrinimo įgaliojimus subjektų, kurie įvardijami kaip ypatingos svarbos subjektai, atžvilgiu. Šiuo tikslu abi institucijos turėtų bendradarbiauti ir keistis informacija; (15)patikimos, atsparios ir saugios domenų vardų sistemos (DNS) palaikymas ir išsaugojimas yra pagrindinis veiksnys užtikrinant interneto vientisumą ir yra labai svarbus jos nuolatiniam ir stabiliam veikimui, nuo kurio priklauso skaitmeninė ekonomika ir visuomenė. Todėl ši direktyva turėtų būti taikoma visiems DNS paslaugų teikėjams DNS keitimo grandinėje, įskaitant šakninio pavadinimo serverių operatorius, aukščiausio lygio domenų (TLD) vardų serverius, patikimo domenų vardų serverius ir rekursinius keitiklius; (16)debesijos kompiuterijos paslaugos turėtų apimti skaitmenines paslaugas, kurios pagal poreikį suteikia plataus masto nuotolinę prieigą prie kintamo masto pritaikomos bendrų kompiuterijos išteklių bazės. Šie kompiuterijos ištekliai apima tokius išteklius, kaip tinklai, serveriai ar kita infrastruktūra, operacinės sistemos, programinė įranga, kaupikliai, taikomosios programos ir paslaugos. Debesijos kompiuterijos diegimo modeliai turėtų apimti privačią, viešą ir mišrią debesiją. Pirmiau minėti paslaugos ir diegimo modeliai turi tokią pat reikšmę kaip ir pagal ISO/IEC 17788:2014 standartą apibrėžti paslaugos sąlygų ir diegimo modeliai. Debesijos kompiuterijos naudotojo gebėjimas vienašališkai pasirūpinti kompiuterijos pajėgumais, pavyzdžiui, serverio laiku arba tinklo saugykla, be jokio žmogaus įsikišimo ir naudojantis debesijos kompiuterijos paslaugų teikėju, galėtų būti apibūdinamas kaip administravimas pagal poreikį. Terminas „plataus masto nuotolinė prieiga“ naudojama apibūdinant debesijos pajėgumus, kurie užtikrinami tinkle ir kuriais galima pasinaudoti per mechanizmus, kuriais skatinamas įvairių mažafunkcių arba daugiafunkcių kompiuterių platformų (įskaitant mobiliuosius telefonus, planšetinius kompiuterius, knyginius kompiuterius, profesionaliuosius kompiuterius) naudojimas. Terminas „kintamo masto“ reiškia, kad siekdamas atsižvelgti į paklausos svyravimus, debesijos paslaugų teikėjas lanksčiai paskirsto kompiuterijos išteklius nepriklausomai nuo geografinės išteklių vietos. Terminas „pritaikoma bazė“ reiškia, kad siekiant sparčiai padidinti ir sumažinti tuos turimus kompiuterijos išteklius pagal darbo krūvį, tais ištekliais aprūpinama ir jie yra tiekiami atsižvelgiant į paklausą. Terminas „bendras“ reiškia, kad tie kompiuterijos ištekliai yra tiekiami įvairiems naudotojams, kurie dalijasi bendra prieiga prie paslaugos, tačiau tie ištekliai tvarkomi atskirai kiekvieno naudotojo atveju, nors paslauga yra teikiama naudojant tą pačią elektroninę įrangą. Terminas „paskirstytasis“ reiškia tuos kompiuterijos išteklius, kurie yra skirtinguose tinkliniuose kompiuteriuose ar prietaisuose ir kurie tarpusavyje bendrauja ir koordinuoja perduodami pranešimus; (17)atsižvelgiant į novatoriškų technologijų ir naujų verslo modelių atsiradimą, tikimasi, kad rinkoje atsiras naujų debesijos kompiuterijos diegimo ir paslaugų modelių, atsižvelgiant į kintančius vartotojų poreikius. Šiomis aplinkybėmis debesijos kompiuterijos paslaugos gali būti teikiamos labai paskirstyta forma, dar arčiau duomenų generavimo ar rinkimo vietos, taip pereinant nuo tradicinio modelio prie labai paskirstyto modelio (tinklo paribio kompiuterija); (18)duomenų centro paslaugų teikėjų siūlomos paslaugos ne visada gali būti teikiamos debesijos kompiuterijos paslaugos forma. Atitinkamai, duomenų centrai ne visada gali priklausyti debesijos kompiuterijos infrastruktūrai. Siekiant valdyti visą riziką, kuri kyla tinklų ir informacinių sistemų saugumui, ši direktyva taip pat turėtų būti taikoma tokių duomenų centrų paslaugoms, kurios nėra debesijos kompiuterijos paslaugos. Taikant šią direktyvą, sąvoka „duomenų centro paslauga“ turėtų apimti teikiamą paslaugą, kuri apima struktūras arba struktūrų grupes, skirtas informacinių technologijų ir tinklo įrangos centralizuotam pritaikymui, tarpusavio junglumui ir eksploatavimui, teikiant duomenų saugojimo, tvarkymo ir transportavimo paslaugas kartu su visa energijos paskirstymo ir aplinkos kontrolės įranga ir infrastruktūra. sąvoka „duomenų centro paslauga“ netaikoma vidaus, korporatyviniams duomenų centrams, kurie priklauso atitinkamam subjektui ir yra eksploatuojami to subjekto reikmėms; (19)pašto paslaugų teikėjams, kaip apibrėžta Europos Parlamento ir Tarybos direktyvoje 97/67/EB, taip pat greitojo pašto ir kurjerių paslaugų teikėjams ši direktyva turėtų būti taikoma, jeigu jie teikia paslaugas bent viename pašto paslaugų teikimo grandinės etape, ypač tvarkymo, rūšiavimo arba paskirstymo etape, įskaitant siuntų paėmimo paslaugas. Teikiamos vežimo paslaugos, kai jos nėra susijusios su vienu iš šių etapų, neturėtų patekti į pašto paslaugų apibrėžtį; (20)šią didėjančią tarpusavio priklausomybę lemia vis labiau tarptautinio pobūdžio ir tarpusavyje priklausomas paslaugų teikimo tinklas, kuriame naudojami pagrindiniai visoje Sąjungoje esantys energetikos, transporto, skaitmeninės infrastruktūros, geriamojo vandens ir nuotekų, sveikatos, tam tikrų viešojo administravimo aspektų, taip pat kosmoso infrastruktūros objektai, atsižvelgiant į tai, kiek svarbus yra tam tikrų kosmoso paslaugų teikimas, kuriam įtakos turi antžeminės infrastruktūros objektai, kurie priklauso valstybėms narėms arba privačioms šalims, yra jų valdomi arba eksploatuojami, todėl tai neapima infrastruktūros objektų, kurie priklauso Sąjungai, kai ji įgyvendina savo kosmoso programas, arba kurie yra valdomi ar eksploatuojami Sąjungos vardu šių programų įgyvendinimo metu. Ši tarpusavio priklausomybė reiškia, kad bet koks sutrikimas, kuris iš pradžių įvyksta tik viename subjekte arba sektoriuje, gali turėti platesnį grandininį poveikį ir sukelti platesnio masto ir ilgalaikes neigiamas pasekmes paslaugų teikimui visoje vidaus rinkoje. COVID-19 pandemija parodė, kad mūsų vis labiau tarpusavyje priklausoma visuomenė yra pažeidžiama atsižvelgiant į mažai tikėtiną riziką; (21)atsižvelgiant į nacionalinių valdymo struktūrų skirtumus ir siekiant išsaugoti jau veikiančias sektorių sistemas ar Sąjungos priežiūros ir reguliavimo įstaigas, valstybės narės turėtų turėti teisę paskirti daugiau nei vieną nacionalinę kompetentingą instituciją, atsakingą už užduočių, susijusių su esminių ir svarbių subjektų tinklų ir informacinių sistemų saugumu, vykdymą pagal šią direktyvą. Valstybės narės turėtų gebėti paskirti šį vaidmenį esamai institucijai; (22)siekiant palengvinti tarpvalstybinį institucijų bendradarbiavimą ir ryšių palaikymą bei sudaryti sąlygas veiksmingai įgyvendinti šią direktyvą, būtina, kad kiekviena valstybė narė paskirtų nacionalinį bendrąjį informacinį centrą, atsakingą už klausimų, susijusių su tinklų ir informacinių sistemų saugumu, koordinavimą ir tarpvalstybinį bendradarbiavimą Sąjungos lygmeniu; (23)kompetentingos institucijos arba CSIRT turėtų veiksmingai ir efektyviai iš subjektų gauti pranešimus apie incidentus. Bendriesiems informaciniams centrams turėtų būti pavesta persiųsti pranešimus apie incidentus kitų paveiktų valstybių narių bendriesiems informaciniams centrams. Valstybių narių institucijų lygmeniu siekiant užtikrinti vieną bendrą prieigą kiekvienoje valstybėje narėje, bendrieji informaciniai centrai taip pat turėtų gauti atitinkamą informaciją apie incidentus, susijusius su finansų sektoriaus subjektais iš pagal Reglamentą XXXX/XXXX kompetentingų institucijų, kurią jie turėtų turėti galimybę pagal šią direktyvą, kai tinkama, persiųsti atitinkamoms nacionalinėms kompetentingoms institucijoms arba CSIRT; (24)valstybės narės turėtų būti tinkamai pasirengusios – turėti tiek techninių, tiek organizacinių pajėgumų, kad galėtų išvengti su tinklų ir informacinėmis sistemomis susijusių incidentų bei rizikos, juos nustatyti, į juos reaguoti ir sušvelninti jų poveikį. Todėl valstybės narės turėtų užtikrinti, kad jose būtų gerai veikiančios CSIRT, dar vadinamos reagavimo į kompiuterių incidentus tarnybos, atitinkančios esminius reikalavimus, kad būtų garantuoti veiksmingi bei suderinami incidentų bei rizikos valdymo pajėgumai ir užtikrintas veiksmingas bendradarbiavimas Sąjungos lygmeniu. Atsižvelgiant į pasitikėjimu grindžiamų santykių tarp subjektų ir CSIRT stiprinimą, tais atvejais, kai CSIRT veikia kompetentingoje institucijoje, valstybės narės turėtų apsvarstyti galimybę funkciniu požiūriu atskirti CSIRT vykdomas operatyvines užduotis, visų pirma susijusias su dalijimusi informacija ir parama subjektams, ir kompetentingų institucijų priežiūros veiklą; (25)kalbant apie asmens duomenis pažymėtina, kad CSIRT turėtų turėti galimybę pagal Europos Parlamento ir Tarybos Reglamentą (ES) 2016/679 dėl asmens duomenų subjekto vardu ir jo prašymu pagal šią direktyvą imtis iniciatyvos patikrinti tinklų ir informacines sistemas, naudojamas jų paslaugoms teikti. Valstybės narės turėtų siekti užtikrinti vienodą visų sektorių CSIRT techninių pajėgumų lygį. Valstybės narės gali paprašyti Europos Sąjungos kibernetinio saugumo agentūros (ENISA) padėti kurti nacionalines CSIRT; (26)atsižvelgiant į tarptautinio bendradarbiavimo kibernetinio saugumo srityje svarbą, CSIRT turėtų turėti galimybę dalyvauti ne tik šia direktyva sukurto CSIRT tinklo, bet ir tarptautinio bendradarbiavimo tinklų veikloje;

(27)pagal Komisijos rekomendacijos (ES) 2017/1548 dėl koordinuoto atsako į didelio masto kibernetinio saugumo incidentus ir krizes (planas) priedą didelio masto incidentas turėtų reikšti incidentą, kuris turi reikšmingą poveikį ne mažiau kaip dviem valstybėms narėms arba į kurio sukeltą sutrikimą valstybė narė nepajėgia reaguoti. Priklausomai nuo jų priežasties ir poveikio, didelio masto incidentai gali stiprėti ir virsti plataus masto krizėmis, dėl kurių vidaus rinka negali tinkamai veikti. Atsižvelgiant į tai, kad tokie incidentai yra labai įvairaus masto ir dažniausiai tarpvalstybinio pobūdžio, valstybės narės ir atitinkamos ES institucijos, įstaigos ir agentūros turėtų bendradarbiauti techniniu, operatyviniu ir politiniu lygmenimis, kad tinkamai koordinuotų atsaką visoje Sąjungoje; (28)kadangi tinklų ir informacinių sistemų pažeidžiamumų išnaudojimas gali sukelti rimtus sutrikimus ir žalą, greitas šių pažeidžiamumų nustatymas ir jų ištaisymas yra svarbus veiksnys mažinant kibernetinio saugumo riziką. Todėl tokias sistemas kuriantys subjektai turėtų nustatyti atitinkamas procedūras, kurias taikant būtų šalinami aptikti pažeidžiamumai. Kadangi pažeidžiamumus dažnai aptinka ir apie juos praneša (atskleidžia) trečiosios šalys (pranešantieji subjektai), IRT produktų ar paslaugų gamintojas arba teikėjas taip pat turėtų nustatyti būtinas procedūras, pagal kurias iš trečiųjų šalių būtų gaunama informacija apie pažeidžiamumą. Šiuo atžvilgiu tarptautiniuose standartuose ISO/IEC 30111 ir ISO/IEC 29417 pateikiamos gairės atitinkamai dėl pažeidžiamumų šalinimo ir atskleidimo. Kalbant apie pažeidžiamumų atskleidimą pažymėtina, kad ypač svarbus pranešančiųjų subjektų ir IRT produktų ar paslaugų gamintojų arba teikėjų koordinavimas. Suderintas pažeidžiamumų atskleidimas yra struktūrinis procesas, per kurį organizacijoms pranešama apie pažeidžiamumus taip, kad joms būtų sudarytos sąlygos problemą nustatyti ir išspręsti prieš atskleidžiant išsamią informaciją apie pažeidžiamumus trečiosioms šalims arba visuomenei. Suderintas pažeidžiamumų atskleidimas taip pat turėtų apimti pranešančiojo subjekto ir organizacijos koordinavimą atsižvelgiant į taisymo laiką ir paskelbimą apie pažeidžiamumus; (29)todėl valstybės narės turėtų imtis priemonių ir nustatyti atitinkamą nacionalinę politiką, kad palengvintų suderintą pažeidžiamumų atskleidimą. Šiuo atžvilgiu valstybės narės turėtų paskirti CSIRT, kad jos imtųsi koordinatoriaus vaidmens ir prireikus veiktų kaip pranešančiųjų subjektų ir IRT produktų arba paslaugų gamintojų ar teikėjų tarpininkas. CSIRT koordinatoriaus užduotys visų pirma turėtų apimti atitinkamų subjektų nustatymą ir susisiekimą su jais, pranešančiųjų subjektų rėmimą, derybas dėl informacijos atskleidimo tvarkaraščių ir pažeidžiamumų, kurie daro poveikį kelioms organizacijoms, valdymą (informacijos apie kelių šalių pažeidžiamumą atskleidimas). Jeigu pažeidžiamumai daro poveikį keliems IRT produktų ar paslaugų gamintojams arba teikėjams, įsisteigusiems daugiau nei vienoje valstybėje narėje, kiekvienos paveiktos valstybės narės paskirtosios CSIRT turėtų bendradarbiauti CSIRT tinkle; (30)prieiga prie teisingos ir laiku pateikiamos informacijos apie pažeidžiamumus, kurie daro poveikį IRT produktams ir paslaugoms, padeda geriau valdyti kibernetinio saugumo riziką. Šiuo atžvilgiu viešai prieinamos informacijos apie pažeidžiamumus šaltiniai yra svarbi ne tik subjektų ir jų naudotojų, bet ir nacionalinių kompetentingų institucijų bei CSIRT priemonė. Dėl šios priežasties ENISA turėtų sukurti pažeidžiamumų registrą, kuriame esminiai ir svarbūs subjektai ir jų tiekėjai, taip pat subjektai, kurie nepatenka į šios direktyvos taikymo sritį, galėtų savanoriškai atskleisti pažeidžiamumus ir pateiktų informaciją apie pažeidžiamumą, kuri sudarytų sąlygas naudotojams imtis atitinkamų rizikos mažinimo priemonių; (31)nors panašūs pažeidžiamumų registrai arba duomenų bazės jau yra sukurti, jų prieglobą vykdo ir juos tvarko subjektai, kurie nėra įsisteigę Sąjungoje. ENISA tvarkomas pažeidžiamumų registras padėtų užtikrinti didesnį paskelbimo proceso iki oficialaus pažeidžiamumų atskleidimo skaidrumą ir atsparumą panašių paslaugų teikimo sutrikimo arba nutraukimo atvejais. Siekdama išvengti veiksmų dubliavimo ir kuo didesnio papildomumo, ENISA turėtų išnagrinėti galimybę sudaryti struktūrinio bendradarbiavimo susitarimus su panašiais registrais trečiųjų šalių jurisdikcijose; (32)Bendradarbiavimo grupė turėtų kas dvejus metus parengti darbo programą, įskaitant veiksmus, kurių grupė turi imtis, kad pasiektų savo tikslus ir įvykdytų užduotis. Pirmosios pagal šią direktyvą priimtos programos laikotarpis turėtų būti suderintas su paskutinės programos, priimtos pagal Direktyvą (ES) 2016/1148, laikotarpiu, kad būtų išvengta galimų grupės darbo sutrikimų; (33)rengdama gairių dokumentus, Bendradarbiavimo grupė turėtų nuosekliai išsiaiškinti nacionalinius sprendimus ir patirtį, įvertinti Bendradarbiavimo grupės rezultatų poveikį nacionaliniam požiūriui, aptarti įgyvendinimo problemas ir suformuluoti konkrečias rekomendacijas, į kurias turėtų būti atsižvelgiama geriau įgyvendinant dabartines taisykles; (34)Bendradarbiavimo grupė turėtų išlikti lanksčiu forumu ir sugebėti reaguoti į kintančius ir naujus politikos prioritetus bei problemas ir kartu atsižvelgti į prieinamus išteklius. Ji turėtų nuolat rengti bendrus susitikimus su atitinkamomis privačiomis suinteresuotosiomis šalimis iš visos Sąjungos, kad aptartų grupės vykdomą veiklą ir surinktų informacijos apie naujus politikos uždavinius. Siekdama didinti bendradarbiavimą Sąjungos lygmeniu, grupė turėtų apsvarstyti galimybę pakviesti jos veikloje dalyvauti kibernetinio saugumo politiką įgyvendinančias Sąjungos įstaigas ir agentūras, pavyzdžiui, Europos kovos su elektroniniu nusikalstamumu centrą (EC3), Europos Sąjungos aviacijos saugos agentūrą (EASA) ir Europos Sąjungos kosmoso programos agentūrą (EUSPA); (35)kompetentingoms institucijoms ir CSIRT turėtų būti suteikti įgaliojimai dalyvauti pareigūnų iš kitų valstybių narių mainų programose siekiant pagerinti bendradarbiavimą. Kompetentingos institucijos turėtų imtis būtinų priemonių, kad pareigūnai iš kitų valstybių narių galėtų veiksmingai dalyvauti priimančiosios kompetentingos institucijos veikloje; (36)pagal SESV 218 straipsnį Sąjunga, kai tinkama, turėtų sudaryti tarptautinius susitarimus su trečiosiomis šalimis ar tarptautinėmis organizacijomis, pagal kuriuos joms būtų leidžiama dalyvauti tam tikroje Bendradarbiavimo grupės ir CSIRT tinklo veikloje ir toks dalyvavimas būtų organizuojamas. Tokiuose susitarimuose turėtų būti užtikrinama tinkama duomenų apsauga; (37)valstybės narės per esamus bendradarbiavimo tinklus, visų pirma per Europos ryšių palaikymo dėl kibernetinių krizių organizacinį tinklą („EU-CyCLONe“), CSIRT tinklą ir Bendradarbiavimo grupę, turėtų prisidėti kuriant Rekomendacijoje (ES) 2017/1584 dėl koordinuoto atsako į didelio masto kibernetinio saugumo incidentus ir krizes numatytą ES reagavimo į kibernetinio saugumo krizes sistemą. „EU-CyCLONe“ ir CSIRT tinklas turėtų bendradarbiauti remdamiesi procedūrinėmis taisyklėmis, kuriomis apibrėžiami to bendradarbiavimo būdai. „EU-CyCLONe“ darbo tvarkos taisyklėse taip pat turėtų būti aptarti tinklo veikimo būdai, be kita ko, įskaitant vaidmenis, bendradarbiavimo metodus, sąveiką su kitais atitinkamais dalyviais ir dalijimosi informacija šablonus, taip pat ryšių palaikymo priemones, bet jais neapsiribojant. Siekdamos valdyti krizę Sąjungos lygmeniu, atitinkamos šalys turėtų kliautis integruoto politinio atsako į krizes mechanizmo (IPCR) nuostatomis. Komisija šiuo tikslu turėtų naudoti aukšto lygmens tarpsektorinį krizės koordinavimo procesą ARGUS. Jei krizė susijusi su svarbiais išorės arba bendros saugumo ir gynybos politikos (BSGP) aspektais, turėtų būti panaudotas Europos išorės veiksmų tarnybos (EIVT) reagavimo į krizę mechanizmas; (38)šioje direktyvoje sąvoka „rizika“ turėtų reikšti potencialų praradimą arba sutrikimą, kurį sukėlė kibernetinio saugumo incidentas, ir ji turėtų būti išreikšta kaip tokio praradimo arba sutrikimo masto ir minėto incidento pasikartojimo derinys; (39)šioje direktyvoje sąvoka „vos neįvykę incidentai“ turėtų reikšti įvykį, kuris galėjo sukelti potencialią žalą, tačiau faktiniam jo atsitikimui buvo sėkmingai užkirstas kelias; (40)rizikos valdymo priemonės turėtų apimti priemones, skirtas incidentų rizikai nustatyti, incidentų prevencijos, nustatymo, valdymo ir jų poveikio švelninimo priemones. Tinklų ir informacinių sistemų saugumas turėtų apimti saugomų, perduodamų ir tvarkomų duomenų saugumą; (41)siekiant neužkrauti neproporcingos finansinės ir administracinės naštos esminiams ir svarbiems subjektams, kibernetinio saugumo rizikos valdymo reikalavimai turėtų būti proporcingi rizikai, kurią kelia atitinkama tinklų ir informacinė sistema, atsižvelgiant į tokių priemonių modernumą; (42)esminiai ir svarbūs subjektai turėtų užtikrinti tinklų ir informacinių sistemų, kurias jie naudoja savo veikloje, saugumą. Tai visų pirma būtų privačios tinklų ir informacinės sistemos, kurias administruoja jų vidaus IT personalas arba kurių saugumas užtikrinamas veiklos ranga. Kibernetinio saugumo rizikos valdymo ir pranešimų teikimo reikalavimai pagal šią direktyvą turėtų būti taikomi atitinkamiems esminiams ir svarbiems subjektams, nepaisant to, ar jų tinklų ir informacinių sistemų techninę priežiūrą vykdo vidaus darbuotojai, ar rangovai; (43)kibernetinio saugumo rizikos subjekto tiekimo grandinėje šalinimas ir subjekto santykiai su savo tiekėjais yra ypač svarbūs atsižvelgiant į incidentų paplitimą tais atvejais, kai subjektai tapo kibernetinių išpuolių aukomis ir kai piktavališki dalyviai galėjo pažeisti subjekto tinklų ir informacinių sistemų saugumą pasinaudodami pažeidžiamumais, taip darydami poveikį trečiųjų šalių produktams ir paslaugoms. Todėl subjektai turėtų įvertinti ir atsižvelgti į bendrą savo tiekėjų ir paslaugų teikėjų produktų ir kibernetinio saugumo praktikos, įskaitant jų saugaus tobulinimo procedūras, kokybę; (44)kalbant apie paslaugų teikėjus pažymėtina, kad valdomi saugumo paslaugų teikėjai (MSSP) tokiose srityse kaip reagavimas į incidentus, skverbimosi testavimas, saugumo auditai ir konsultacijos atlieka itin svarbų vaidmenį padėdami subjektams nustatyti incidentus ir į juos reaguoti. Tačiau tie MSSP taip pat buvo pačių kibernetinių išpuolių taikiniai, o juos glaudžiai integravus į operatorių veiklą kyla tam tikra kibernetinio saugumo rizika. Todėl subjektai, atrinkdami MSSP, turėtų veikti atidžiau; (45)subjektai taip pat turėtų mažinti kibernetinio saugumo riziką, kylančią dėl jų sąveikos ir santykių su kitomis suinteresuotosiomis šalimis platesnėje ekosistemoje. Visų pirma subjektai turėtų imtis tinkamų priemonių siekdami užtikrinti, kad jų bendradarbiavimas su akademinėmis ir mokslinių tyrimų įstaigomis vyktų laikantis jų kibernetinio saugumo politikos ir būtų laikomasi gerosios praktikos, susijusios su saugia prieiga prie informacijos ir jos sklaida apskritai ir ypač su intelektinės nuosavybės apsauga. Be to, atsižvelgiant į duomenų svarbą ir vertę subjektų veiklai, kai jie priklauso nuo duomenų transformavimo ir duomenų analizės paslaugų, kurias teikia trečiosios šalys, subjektai turėtų imtis visų tinkamų kibernetinio saugumo priemonių; (46)siekiant toliau mažinti pagrindinę tiekimo grandinės riziką ir padėti subjektams, veikiantiems sektoriuose, kuriems taikoma ši direktyva, tinkamai valdyti su tiekimo grandine ir tiekėjais susijusią kibernetinio saugumo riziką, Bendradarbiavimo grupė, kurioje dalyvauja atitinkamos nacionalinės institucijos, bendradarbiaudama su Komisija ir ENISA, turėtų atlikti suderintus sektorių tiekimo grandinės rizikos vertinimus, kaip jau buvo padaryta 5G tinklų atveju pagal Rekomendaciją (ES) 2019/534 dėl 5G tinklų kibernetinio saugumo, siekiant nustatyti sektorius, kurie yra ypatingos svarbos IRT paslaugos, sistemos ar produktai, atitinkamos grėsmės ir pažeidžiamumai;

(47)atliekant tiekimo grandinės rizikos vertinimus, atsižvelgiant į atitinkamo sektoriaus ypatumus, turėtų būti atsižvelgiama tiek į techninius, tiek, kai tinkama, į netechninius veiksnius, įskaitant apibrėžtus Rekomendacijoje (ES) 2019/534, 5G tinklų saugumo visoje ES suderintame rizikos vertinime ir ES 5G kibernetinio saugumo priemonių rinkinyje, dėl kurio susitarė Bendradarbiavimo grupė. Siekiant išsiaiškinti, kurioms tiekimo grandinėms turėtų būti taikomas koordinuotas rizikos vertinimas, reikėtų atsižvelgti į šiuos kriterijus: i) kokiu mastu esminiai ir svarbūs subjektai naudojasi konkrečiomis ypatingos svarbos IRT paslaugomis, sistemomis ar produktais ir nuo jų priklauso; ii) konkrečių ypatingos svarbos IRT paslaugų, sistemų ar produktų svarbą vykdant ypatingos svarbos arba neskelbtinas funkcijas, įskaitant asmens duomenų tvarkymą; iii) alternatyvių IRT paslaugų, sistemų ar produktų prieinamumą; iv) visos IRT paslaugų, sistemų ar produktų tiekimo grandinės atsparumą sutrikimams ir v) atsirandančių IRT paslaugų, sistemų ar produktų atveju, jų galimą būsimą svarbą subjektų veiklai; (48)siekiant supaprastinti viešųjų elektroninių ryšių tinklų ar viešai prieinamų elektroninių ryšių paslaugų teikėjams ir patikimumo užtikrinimo paslaugų teikėjams taikomas teisines pareigas, susijusias su jų tinklų ir informacinių sistemų saugumu, taip pat sudaryti sąlygas tiems subjektams ir jų atitinkamoms kompetentingoms institucijoms pasinaudoti šioje direktyvoje nustatyta teisine sistema (įskaitant CSIRT, atsakingą už rizikos ir incidentų valdymą, kompetentingų institucijų ir įstaigų dalyvavimą Bendradarbiavimo grupės ir CSIRT tinklo veikloje, paskyrimą), jie turėtų būti įtraukti į šios direktyvos taikymo sritį. Todėl atitinkamos Europos Parlamento ir Tarybos reglamento (ES) Nr. 910/2014 ir Europos Parlamento ir Tarybos direktyvos (ES) 2018/1972 nuostatos, susijusios su saugumo ir pranešimo reikalavimo nustatymu šių rūšių subjektams, turėtų būti panaikintos. Taisyklės dėl pareigų pranešti neturėtų daryti poveikio Reglamentui (ES) 2016/679 ir Europos Parlamento ir Tarybos direktyvai 2002/58/EB; (49)kai tinkama ir siekiant išvengti nereikalingo trikdymo, kompetentingos institucijos, atsakingos už šios direktyvos nuostatų, susijusių su priežiūra ir vykdymo užtikrinimu, turėtų toliau naudotis galiojančiomis nacionalinėmis gairėmis ir nacionalinės teisės aktais, priimtais siekiant į nacionalinę teisę perkelti taisykles, susijusias su Direktyvos (ES) 2018/1972 40 straipsnio 1 dalyje nustatytomis saugumo priemonėmis, taip pat tos direktyvos 40 straipsnio 2 dalies reikalavimus dėl parametrų, susijusių su incidento svarba; (50)atsižvelgiant į didėjančią su numeriu nesiejamo asmenų tarpusavio ryšio paslaugų svarbą, būtina užtikrinti, kad tokioms paslaugoms, atsižvelgiant į jų specifinį pobūdį ir ekonominę svarbą, taip pat būtų taikomi tinkami saugumo reikalavimai. Todėl tokių paslaugų teikėjai taip pat turėtų užtikrinti tinklų ir informacinių sistemų saugumo lygį, atitinkantį keliamą riziką. Atsižvelgiant į tai, kad su numeriu nesiejamo asmenų tarpusavio ryšio paslaugų teikėjai paprastai neturi tikrų galimybių valdyti tinklais siunčiamus perdavimo signalus, galima laikyti, kad tam tikrais atžvilgiais tokioms paslaugoms kyla mažesnio laipsnio rizika nei tradicinėms elektroninių ryšių paslaugoms. Tas pats pasakytina ir apie asmenų tarpusavio ryšio paslaugas, kurias teikiant naudojami numeriai ir kurias teikiant faktiškai nekontroliuojamas signalų perdavimas; (51)vidaus rinka labiau nei kada nors anksčiau priklauso nuo interneto veikimo. Beveik visų pagrindinių ir svarbių subjektų paslaugos priklauso nuo internetu teikiamų paslaugų. Siekiant užtikrinti sklandų esminių ir svarbių subjektų teikiamų paslaugų teikimą, svarbu, kad viešuosiuose elektroninių ryšių tinkluose, pavyzdžiui, interneto magistralėse ar povandeniniuose ryšių kabeliuose, būtų įdiegtos tinkamos kibernetinio saugumo priemonės ir būtų pranešama apie su jomis susijusius incidentus; (52)kai tinkama, subjektai turėtų informuoti savo paslaugų gavėjus apie konkrečias ir dideles grėsmes ir apie priemones, kurių jie gali imtis, kad sumažintų jiems kylančią riziką. Reikalavimas informuoti tuos gavėjus apie tokias grėsmes neturėtų atleisti subjektų nuo pareigos savo sąskaita imtis tinkamų ir neatidėliotinų priemonių, kad būtų užkirstas kelias kibernetinėms grėsmėms arba jos būtų ištaisytos ir atkurtas įprastas paslaugos saugumo lygis. Tokia informacija apie saugumo grėsmes gavėjams turėtų būti teikiama nemokamai; (53)visų pirma viešųjų elektroninių ryšių tinklų arba viešai prieinamų elektroninių ryšių paslaugų teikėjai turėtų informuoti paslaugų gavėjus apie konkrečias ir dideles kibernetines grėsmes ir priemones, kurių jie gali imtis savo ryšių saugumui užtikrinti, pavyzdžiui, naudodami konkrečių rūšių programinę įrangą arba šifravimo technologijas; (54)siekiant užtikrinti elektroninių ryšių tinklų ir paslaugų saugumą, turėtų būti skatinama naudoti šifravimą, visų pirma ištisinį šifravimą, ir, kai būtina, jis turėtų būti privalomas tokių paslaugų ir tinklų teikėjams laikantis pritaikytosios duomenų apsaugos ir standartizuotosios duomenų apsaugos principų 18 straipsnio tikslais. Ištisinio šifravimo naudojimas turėtų derėti su valstybių narių įgaliojimais užtikrinti savo esminių saugumo interesų apsaugą ir visuomenės saugumą ir leisti tirti, atskleisti nusikalstamas veikas ir vykdyti baudžiamąjį persekiojimą už jas laikantis Sąjungos teisės. Sprendimai, susiję su teisėta prieiga prie informacijos ištisiniuose šifruotuose ryšiuose, turėtų išlaikyti šifravimo veiksmingumą apsaugant ryšių privatumą ir saugumą, kartu užtikrinant veiksmingą atsaką į nusikalstamumą; (55)šia direktyva nustatomas dviejų etapų pranešimų apie incidentus teikimo metodas, siekiant užtikrinti tinkamą pusiausvyrą tarp, viena vertus, greito pranešimų teikimo, kuris padeda sumažinti galimą incidentų plitimą ir suteikia galimybę subjektams prašyti paramos, ir, kita vertus, išsamių pranešimų, kuriuose atsižvelgiama į vertingą su pavieniais incidentais susijusią patirtį ir ilgainiui didinamas atskirų įmonių ir visų sektorių atsparumas kibernetinėms grėsmėms. Jei subjektai sužino apie incidentą, jie turėtų pateikti pradinį pranešimą per 24 valandas, o galutinę ataskaitą privalo pateikti ne vėliau kaip per vieną mėnesį po to pranešimo. Pradiniame pranešime turėtų būti pateikta tik informacija, kurios būtinai reikia, kad kompetentingos institucijos žinotų apie incidentą, o subjektas prireikus galėtų kreiptis pagalbos. Tokiame pranešime, kai taikytina, turėtų būti nurodyta, ar incidentą, kaip įtariama, sukėlė neteisėti arba piktavališki veiksmai. Valstybės narės turėtų užtikrinti, kad dėl reikalavimo pateikti šį pradinį pranešimą teikiančio subjekto ištekliai nebūtų nukreipti nuo veiklos, susijusios su incidentų valdymu, kuriam turėtų būti teikiama pirmenybė. Siekdamos toliau užkirsti kelią tam, kad vykdant pareigas pranešti apie incidentus ištekliai nebūtų nukreipiami nuo reagavimo į incidentus valdymo arba kitaip nebūtų pakenkta subjektų pastangoms šioje srityje, valstybės narės taip pat turėtų nustatyti, kad tinkamai pagrįstais atvejais ir susitarus su kompetentingomis institucijomis arba CSIRT atitinkamas subjektas gali nukrypti nuo 24 valandų termino pradiniam pranešimui ir vieno mėnesio termino galutinės ataskaitos pateikimui; (56)esminiai ir svarbūs subjektai dažnai atsiduria tokioje padėtyje, kai apie konkretų incidentą dėl jo ypatumų, atsižvelgiant į įvairiuose teisės aktuose nustatytas pareigas pranešti, reikia pranešti įvairioms institucijoms. Tokiais atvejais sukuriama papildoma našta ir gali kilti neaiškumų dėl tokių pranešimų formos ir procedūrų. Atsižvelgiant į tai ir siekiant supaprastinti pranešimų apie saugumo incidentus teikimą, valstybės narės turėtų sukurti vieną bendrą prieigą visiems pranešimams, kuriuos reikalaujama pateikti pagal šią direktyvą ir kitus Sąjungos teisės aktus, pavyzdžiui, Reglamentą (ES) 2016/679 ir Direktyvą 2002/58/EB. ENISA, bendradarbiaudama su Bendradarbiavimo grupe, turėtų parengti bendrus pranešimo šablonus, pateikdama gaires, kuriomis būtų supaprastinta ir racionalizuota pagal Sąjungos teisę reikalaujama pranešimų teikimo informacija ir sumažinta bendrovėms tenkanti našta; (57)kai įtariama, kad incidentas yra susijęs su sunkia nusikalstama veika pagal Sąjungos arba nacionalinę teisę, valstybės narės turėtų skatinti esminius ir svarbius subjektus, remiantis Sąjungos teisę atitinkančiomis taikytinomis baudžiamojo proceso taisyklėmis, pranešti atitinkamoms teisėsaugos institucijoms apie įtariamus sunkius nusikalstamo pobūdžio incidentus. Atitinkamais atvejais ir nepažeidžiant Europolui taikomų asmens duomenų apsaugos taisyklių, pageidautina, kad skirtingų valstybių narių kompetentingų institucijų ir teisėsaugos institucijų veiklos koordinavimą palengvintų EC3 ir ENISA; (58)daugeliu atvejų dėl incidentų kyla pavojus asmens duomenų saugumui. Tokiomis aplinkybėmis kompetentingos institucijos turėtų bendradarbiauti ir keistis informacija visais svarbiais klausimais su duomenų apsaugos institucijomis ir priežiūros institucijomis pagal Direktyvą 2002/58/EB; (59)siekiant užtikrinti DNS saugumą, stabilumą ir atsparumą, būtina turėti tikslias ir išsamias domenų vardų ir registracijos duomenų (vadinamųjų WHOIS duomenų) bazes ir suteikti teisėtą prieigą prie tokių duomenų, o tai savo ruožtu prisideda prie aukšto bendro kibernetinio saugumo lygio Sąjungoje. Kai tvarkomi asmens duomenys, toks tvarkymas turi atitikti Sąjungos duomenų apsaugos teisės aktus; (60)šių duomenų prieinamumas ir galimybė laiku su jais susipažinti valdžios institucijoms, įskaitant kompetentingas institucijas pagal Sąjungos ar nacionalinę teisę nusikalstamų veikų prevencijos, tyrimo ar baudžiamojo persekiojimo už jas tikslais, CERT, CSIRT ir elektroninių ryšių tinklų ir paslaugų teikėjams ir tų klientų vardu veikiančių kibernetinio saugumo technologijų ir paslaugų teikėjams tiek, kiek tai susiję su jų klientų duomenimis, yra labai svarbūs siekiant užkirsti kelią piktnaudžiavimui domenų vardų sistema ir su juo kovoti, visų pirma siekiant užkirsti kelią kibernetinio saugumo incidentams, juos nustatyti ir į juos reaguoti. Tokia prieiga turėtų atitikti Sąjungos duomenų apsaugos teisę tiek, kiek ji susijusi su asmens duomenimis; (61)siekiant užtikrinti tikslių ir išsamių domenų vardų registracijos duomenų prieinamumą, aukščiausio lygio domenų vardų registrai ir subjektai, teikiantys aukščiausio lygio domenų vardų registravimo paslaugas (vadinamieji registratoriai), turėtų rinkti domenų vardų registracijos duomenis ir užtikrinti jų vientisumą ir prieinamumą. Visų pirma, aukščiausio lygio domenų vardų registrai ir subjektai, teikiantys aukščiausio lygio domenų vardų registravimo paslaugas, turėtų nustatyti politiką ir procedūras, skirtas tiksliems ir išsamiems registracijos duomenims rinkti ir saugoti, taip pat užkirsti kelią netiksliems registracijos duomenims ir juos ištaisyti pagal Sąjungos duomenų apsaugos taisykles; (62)aukščiausio lygio domenų vardų registrai ir jiems skirtas domenų vardų registravimo paslaugas teikiantys subjektai turėtų viešai skelbti domenų vardų registracijos duomenis, kuriems netaikomos Sąjungos duomenų apsaugos taisyklės, pavyzdžiui, duomenis, susijusius su juridiniais asmenimis. Pagal Sąjungos duomenų apsaugos teisę aukščiausio lygio domenų vardų registrai ir subjektai, teikiantys aukščiausio lygio domenų vardų registravimo paslaugas, taip pat turėtų suteikti teisėtą prieigą prie fizinių asmenų konkrečių domenų vardų registracijos duomenų. Valstybės narės turėtų užtikrinti, kad aukščiausio lygio domenų vardų registrai ir jų domenų vardų registravimo paslaugas teikiantys subjektai nepagrįstai nedelsdami atsakytų į teisėtų prieigos siekiančių subjektų prašymus atskleisti domenų vardų registracijos duomenis. Aukščiausio lygio domenų vardų registrai ir subjektai, teikiantys jiems domenų vardų registravimo paslaugas, turėtų nustatyti registracijos duomenų skelbimo ir atskleidimo politiką ir procedūras, įskaitant susitarimus dėl paslaugų lygio, skirtus tvarkyti teisėtų prieigos siekiančių subjektų prašymus suteikti prieigą. Prieigos procedūra taip pat gali apimti sąsajos, portalo ar kitos techninės priemonės naudojimą, kad būtų sukurta veiksminga registracijos duomenų prašymų ir prieigos prie jų sistema. Siekdama skatinti suderintą praktiką visoje vidaus rinkoje, Komisija gali priimti tokių procedūrų gaires, nepažeisdama Europos duomenų apsaugos valdybos kompetencijos; (63)visi esminiai ir svarbūs subjektai, kuriems taikoma ši direktyva, turėtų priklausyti valstybės narės, kurioje jie teikia savo paslaugas, jurisdikcijai. Jeigu subjektas teikia paslaugas daugiau nei vienoje valstybėje narėje, jis turėtų priklausyti atskirai ir lygiagrečiai kiekvienos iš šių valstybių narių jurisdikcijai. Šių valstybių narių kompetentingos institucijos turėtų bendradarbiauti, teikti viena kitai savitarpio pagalbą ir prireikus vykdyti bendrus priežiūros veiksmus; (64)siekiant atsižvelgti į DNS paslaugų teikėjų, aukščiausio lygio domenų vardų registrų, turinio teikimo tinklo teikėjų, debesijos kompiuterijos paslaugų teikėjų, duomenų centrų paslaugų teikėjų ir skaitmeninių paslaugų teikėjų tarpvalstybinį paslaugų ir veiklos pobūdį, jurisdikciją šių subjektų atžvilgiu turėtų turėti tik viena valstybė narė. Jurisdikcija turėtų būti priskirta valstybei narei, kurioje yra atitinkamo subjekto pagrindinė buveinė Sąjungoje. Šioje direktyvoje įsisteigimo kriterijus reiškia veiksmingą veiklos vykdymą per nuolatines struktūras. Teisinė tokių struktūrų forma, nepaisant to, ar tai filialas ar patronuojamoji įmonė, turinti juridinio asmens statusą, tuo požiūriu nėra lemiamas veiksnys. Tai, ar šio kriterijaus laikomasi, neturėtų priklausyti nuo to, ar tinklų ir informacinės sistemos fiziškai yra tam tikroje vietoje. Tokių sistemų buvimas ir naudojimas pats savaime nereiškia tokios pagrindinės buveinės, todėl tai nėra lemiami kriterijai, kuriais remiantis nustatoma pagrindinė buveinė. Pagrindinė buveinė turėtų būti vieta, kurioje Sąjungoje priimami su kibernetinio saugumo rizikos valdymo priemonėmis susiję sprendimai. Paprastai ji sutampa su įmonių centrinės administracijos vieta Sąjungoje. Jei tokie sprendimai nepriimami Sąjungoje, turėtų būti laikoma, kad pagrindinė buveinė yra valstybėse narėse, kuriose subjektas turi padalinį, kuriame dirba daugiausia darbuotojų Sąjungoje. Jeigu paslaugas teikia įmonių grupė, pagrindinė kontroliuojančiosios įmonės buveinė turėtų būti laikoma pagrindine įmonių grupės buveine; (65)tais atvejais, kai paslaugas Sąjungoje siūlo DNS paslaugų teikėjas, aukščiausio lygio domenų vardų registras, turinio teikimo tinklo paslaugų teikėjas, debesijos kompiuterijos paslaugų teikėjas, duomenų centro paslaugų teikėjas ir skaitmeninių paslaugų teikėjas, kurie nėra įsisteigę Sąjungoje, tokie tiekėjai turėtų paskirti atstovą. Siekiant nustatyti, ar toks subjektas siūlo paslaugas Sąjungoje, reikėtų įvertinti, ar akivaizdu, kad subjektas ketina siūlyti paslaugas asmenims vienoje ar keliose valstybėse narėse. Vien to, kad Sąjungoje prieinama subjekto ar tarpininko interneto svetainė arba e. pašto adresas ir kiti kontaktiniai duomenys arba kad vartojama kalba, kuri paprastai vartojama trečiojoje šalyje, kurioje yra įsisteigęs subjektas, nepakanka siekiant įrodyti, kad esama tokio ketinimo. Tačiau dėl tokių veiksnių kaip kalba ar valiuta, paprastai vartojamų (naudojamų) vienoje ar daugiau valstybių narių, įskaitant galimybę užsakyti paslaugas ta kita kalba, arba nurodant Sąjungoje esančius vartotojus ar naudotojus, gali būti akivaizdu, kad subjektas ketina siūlyti paslaugas Sąjungoje. Atstovas turėtų veikti subjekto vardu, o kompetentingos institucijos arba CSIRT turėtų turėti galimybę kreiptis į atstovą. Atstovas turėtų būti aiškiai paskirtas rašytiniu subjekto įgaliojimu veikti pastarojo vardu vykdant jo pareigas pagal šią direktyvą, įskaitant pranešimą apie incidentus; (66)jeigu pagal šios direktyvos nuostatas keičiamasi informacija, kuri laikoma įslaptinta pagal nacionalinę arba Sąjungos teisę, apie ją pranešama arba ja kitaip dalijamasi, turėtų būti taikomos atitinkamos konkrečios įslaptintos informacijos tvarkymo taisyklės;

(67)kadangi kibernetinės grėsmės tampa vis sudėtingesnės ir painesnės, geros aptikimo ir prevencijos priemonės labai priklauso nuo to, ar subjektai reguliariai keičiasi žvalgybos informacija apie grėsmes ir pažeidžiamumą. Dalijantis informacija padedama didinti informuotumą apie kibernetines grėsmes, o tai savo ruožtu didina subjektų gebėjimą užkirsti kelią grėsmėms virsti tikrais incidentais ir sudaro sąlygas subjektams geriau suvaldyti incidentų poveikį ir veiksmingiau atkurti veiklą. Nesant gairių Sąjungos lygmeniu, atrodo, kad keli veiksniai trukdo dalytis žvalgybos informacija, visų pirma netikrumas dėl suderinamumo su konkurencijos ir atsakomybės taisyklėmis; (68)subjektai turėtų būti skatinami bendrai naudotis savo asmeninėmis žiniomis ir praktine patirtimi strateginiu, taktiniu ir veiklos lygmenimis, kad sustiprintų savo gebėjimus tinkamai vertinti, stebėti kibernetines grėsmes, apsisaugoti nuo jų ir į jas reaguoti. Todėl būtina sudaryti sąlygas Sąjungos lygmeniu kurti savanoriško keitimosi informacija mechanizmus. Šiuo tikslu valstybės narės turėtų aktyviai remti ir skatinti atitinkamus subjektus, kuriems netaikoma ši direktyva, dalyvauti tokiuose keitimosi informacija mechanizmuose. Tie mechanizmai turėtų būti taikomi visapusiškai laikantis Sąjungos konkurencijos taisyklių ir Sąjungos teisės nuostatų dėl duomenų apsaugos; (69)subjektų, valdžios institucijų, CERT, CSIRT ir saugumo technologijų bei paslaugų teikėjų vykdomas asmens duomenų tvarkymas tiek, kiek tai tikrai būtina ir proporcinga siekiant užtikrinti tinklų ir informacijos saugumą, turėtų būti teisėtas atitinkamo duomenų valdytojo interesas, kaip nurodyta Reglamente (ES) 2016/679. Tai turėtų apimti priemones, susijusias su incidentų prevencija, nustatymu, analize ir reagavimu į juos, informuotumo apie konkrečias kibernetines grėsmes didinimo priemones, keitimąsi informacija atkuriant pažeidžiamumą ir suderintai jį atskleidžiant, taip pat savanorišką keitimąsi informacija apie tuos incidentus, kibernetines grėsmes ir pažeidžiamumus, užvaldymo rodiklius, taktiką, metodus ir procedūras, kibernetinio saugumo perspėjimus ir konfigūracijos priemones. Taikant tokias priemones gali prireikti tvarkyti šių rūšių asmens duomenis: IP adresus, universaliuosius išteklių adresus (URL), domenų vardus ir e. pašto adresus; (70)siekiant sustiprinti priežiūros įgaliojimus ir veiksmus, padedančius užtikrinti veiksmingą reikalavimų laikymąsi, šioje direktyvoje turėtų būti nustatytas būtiniausias priežiūros veiksmų ir priemonių, kuriomis kompetentingos institucijos galėtų prižiūrėti esminius ir svarbius subjektus, sąrašas. Be to, šioje direktyvoje turėtų būti nustatyta atskira esminių ir svarbių subjektų priežiūros tvarka, siekiant užtikrinti teisingą tiek subjektų, tiek kompetentingų institucijų pareigų pusiausvyrą. Taigi esminiams subjektams turėtų būti taikoma visavertė priežiūros tvarka (ex ante ir ex post), o svarbiems subjektams turėtų būti taikoma negriežta priežiūros tvarka, t. y. tik ex post. Pastaruoju atveju tai reiškia, kad svarbūs subjektai neturėtų sistemingai dokumentuoti atitikties kibernetinio saugumo rizikos valdymo reikalavimams, o kompetentingos institucijos turėtų įgyvendinti reaktyvųjį ex post požiūrį į priežiūrą, todėl neturėtų turėti bendros pareigos prižiūrėti tuos subjektus; (71)kad vykdymo užtikrinimas būtų veiksmingas, turėtų būti parengtas būtinas administracinių sankcijų už šioje direktyvoje nustatytų kibernetinio saugumo rizikos valdymo ir pranešimo pareigų pažeidimą sąrašas, kuriuo būtų sukurta aiški ir nuosekli tokių sankcijų sistema visoje Sąjungoje. Reikėtų deramai atsižvelgti į pažeidimo pobūdį, rimtumą ir trukmę, faktiškai padarytą žalą ar patirtus nuostolius arba galimą žalą ar nuostolius, kurie galėjo būti patirti, į tai, ar pažeidimas buvo padarytas tyčia, ar dėl aplaidumo, veiksmus, kurių imtasi siekiant užkirsti kelią patirtai žalai ir (arba) nuostoliams arba juos sumažinti, atsakomybės laipsnį ar bet kokius atitinkamus ankstesnius pažeidimus, bendradarbiavimo su kompetentinga institucija laipsnį ir visas kitas atsakomybę sunkinančias arba švelninančias aplinkybes. Skiriant sankcijas, įskaitant administracines baudas, turėtų būti taikomos tinkamos procedūrinės apsaugos priemonės pagal bendruosius Sąjungos teisės principus ir Europos Sąjungos pagrindinių teisių chartiją, įskaitant veiksmingą teisminę apsaugą ir tinkamą procesą; (72)siekiant užtikrinti veiksmingą šioje direktyvoje nustatytų pareigų vykdymą, kiekvienai kompetentingai institucijai turėtų būti suteikti įgaliojimai skirti administracines baudas arba prašyti jas skirti; (73)jei administracinės baudos skiriamos įmonei, tais tikslais įmonė turėtų būti suprantama kaip įmonė, apibrėžta SESV 101 ir 102 straipsniuose. Jei administracinės baudos skiriamos asmenims, kurie nėra įmonė, svarstydama, koks būtų tinkamas baudos dydis, priežiūros institucija turėtų atsižvelgti į bendrą pajamų lygį valstybėje narėje ir į to asmens ekonominę padėtį. Valstybės narės turėtų nustatyti, ar ir kokiu mastu valdžios institucijoms turėtų būti skiriamos administracinės baudos. Administracinės baudos skyrimas neturi įtakos kompetentingų institucijų kitų įgaliojimų ar kitų sankcijų, nustatytų nacionalinėse taisyklėse, kuriomis ši direktyva perkeliama į nacionalinę teisę, taikymui; (74)valstybės narės turėtų galėti nustatyti taisykles dėl baudžiamųjų sankcijų už nacionalinių taisyklių, kuriomis ši direktyva perkeliama į nacionalinę teisę, pažeidimus. Tačiau skiriant baudžiamąsias sankcijas už tokių nacionalinių taisyklių pažeidimus ir susijusias administracines sankcijas neturėtų būti pažeistas ne bis in idem principas, kaip jį aiškina Teisingumo Teismas; (75)kai šia direktyva administracinės sankcijos nėra suderintos arba kai tai yra būtina kitais atvejais, pavyzdžiui, kai šiurkščiai pažeidžiamos šioje direktyvoje nustatytos pareigos, valstybės narės turėtų įgyvendinti sistemą, pagal kurią numatomos veiksmingos, proporcingos ir atgrasomosios sankcijos. Tokių sankcijų – baudžiamųjų ar administracinių – pobūdis turėtų būti nustatytas valstybės narės teisėje; (76)siekiant dar labiau sustiprinti sankcijų, taikomų už pagal šią direktyvą nustatytų pareigų pažeidimus, veiksmingumą ir atgrasomumą, kompetentingoms institucijoms turėtų būti suteikti įgaliojimai taikyti sankcijas, kurias sudaro sertifikavimo ar leidimo sustabdymas, susijęs su dalies ar visų esminių subjektų teikiamų paslaugų teikimu, ir laikinas draudimas fiziniam asmeniui eiti vadovaujamas pareigas. Atsižvelgiant į tokių sankcijų griežtumą ir poveikį subjektų veiklai ir galiausiai jų vartotojams, jos turėtų būti taikomos tik proporcingai pažeidimo sunkumui ir atsižvelgiant į konkrečias kiekvieno atvejo aplinkybes, įskaitant tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo, veiksmus, kurių imtasi siekiant užkirsti kelią patirtai žalai ir (arba) nuostoliams arba juos sumažinti. Tokios sankcijos turėtų būti taikomos tik kaip ultima ratio, t. y. tik po to, kai išnaudojami kiti šioje direktyvoje nustatyti atitinkami vykdymo užtikrinimo veiksmai, ir tik tol, kol subjektai, kuriems jos taikomos, imasi reikiamų veiksmų trūkumams pašalinti arba kompetentingos institucijos, kuriai taikytos tokios sankcijos, reikalavimams įvykdyti. Skiriant tokias sankcijas, turėtų būti taikomos tinkamos procedūrinės apsaugos priemonės pagal bendruosius Sąjungos teisės principus ir Europos Sąjungos pagrindinių teisių chartiją, įskaitant veiksmingą teisminę apsaugą, tinkamą procesą, nekaltumo prezumpciją ir teisę į gynybą; (77)šia direktyva turėtų būti nustatytos kompetentingų institucijų ir priežiūros institucijų bendradarbiavimo taisyklės pagal Reglamentą (ES) 2016/679, siekiant kovoti su pažeidimais, susijusiais su asmens duomenimis; (78)šia direktyva turėtų būti siekiama užtikrinti aukšto lygio atsakomybę už kibernetinio saugumo rizikos valdymo priemones ir pareigas pranešti organizacijų lygmeniu. Dėl šių priežasčių subjektų, kuriems taikoma ši direktyva, valdymo organai turėtų patvirtinti kibernetinio saugumo rizikos priemones ir prižiūrėti jų įgyvendinimą; (79)turėtų būti nustatytas tarpusavio vertinimo mechanizmas, pagal kurį valstybių narių paskirti ekspertai galėtų įvertinti, kaip įgyvendinama kibernetinio saugumo politika, įskaitant valstybių narių pajėgumų lygį ir turimus išteklius; (80)siekiant atsižvelgti į naujas kibernetines grėsmes, technologinę plėtrą ar sektorių ypatumus, pagal SESV 290 straipsnį Komisijai turėtų būti deleguoti įgaliojimai priimti aktus dėl elementų, susijusių su rizikos valdymo priemonėmis, kurių reikalaujama pagal šią direktyvą. Komisijai taip pat turėtų būti suteikti įgaliojimai priimti deleguotuosius aktus, kuriais būtų nustatyta, kokių kategorijų esminiams subjektams reikia gauti sertifikatą ir pagal kurias konkrečias Europos kibernetinio saugumo sertifikavimo schemas. Ypač svarbu, kad atlikdama parengiamąjį darbą Komisija tinkamai konsultuotųsi, taip pat ir su ekspertais, ir kad tos konsultacijos būtų vykdomos vadovaujantis 2016 m. balandžio 13 d. Tarpinstituciniame susitarime dėl geresnės teisėkūros nustatytais principais. Visų pirma, siekiant užtikrinti vienodas galimybes dalyvauti atliekant su deleguotaisiais aktais susijusį parengiamąjį darbą, Europos Parlamentas ir Taryba visus dokumentus turėtų gauti tuo pačiu metu kaip ir valstybių narių ekspertai, o jų ekspertams turėtų būti sistemingai suteikiama galimybė dalyvauti Komisijos ekspertų grupių, kurios atlieka su deleguotaisiais aktais susijusį parengiamąjį darbą, posėdžiuose; (81)siekiant užtikrinti vienodas atitinkamų šios direktyvos nuostatų, susijusių su Bendradarbiavimo grupės veikimui būtina procedūrine tvarka, techniniais elementais, susijusiais su rizikos valdymo priemonėmis arba su informacijos rūšimi, pranešimų apie incidentus forma ir tvarka, įgyvendinimo sąlygas, Komisijai turėtų būti suteikti įgyvendinimo įgaliojimai. Tais įgaliojimais turėtų būti naudojamasi laikantis Europos Parlamento ir Tarybos reglamento (ES) Nr. 182/2011; (82)Komisija, konsultuodamasi su suinteresuotosiomis šalimis, turėtų periodiškai peržiūrėti šią direktyvą, visų pirma siekdama nustatyti, ar reikia ją keisti atsižvelgiant į kintančias visuomenines, politines, technologines ar rinkos sąlygas; (83)kadangi šios direktyvos tikslo, t. y. užtikrinti aukštą bendrą kibernetinio saugumo lygį Sąjungoje, valstybės narės negali deramai pasiekti, o dėl siūlomo veiksmo poveikio to tikslo būtų geriau siekti Sąjungos lygmeniu, laikydamasi Europos Sąjungos sutarties 5 straipsnyje nustatyto subsidiarumo principo Sąjunga gali patvirtinti priemones. Pagal tame straipsnyje nustatytą proporcingumo principą šia direktyva neviršijama to, kas būtina nurodytam tikslui pasiekti; (84)šia direktyva gerbiamos pagrindinės teisės ir laikomasi principų, pripažintų Europos Sąjungos pagrindinių teisių chartijoje, visų pirma teisė į privatų gyvenimą ir komunikacijos slaptumą, teisė į asmens duomenų apsaugą, laisvė užsiimti verslu, teisė į nuosavybę, teisė į veiksmingą teisinę gynybą ir teisė būti išklausytam. Ši direktyva turėtų būti įgyvendinta atsižvelgiant į tas teises ir principus, PRIĖMĖ ŠIĄ DIREKTYVĄ:

I SKYRIUS Bendrosios nuostatos 1 straipsnis Dalykas 1.Šia direktyva nustatomos priemonės, kuriomis siekiama užtikrinti aukštą bendrą kibernetinio saugumo lygį visoje Sąjungoje. 2.Todėl šia direktyva nustatomos: (a)valstybių narių pareigos priimti nacionalines kibernetinio saugumo strategijas, paskirti kompetentingas nacionalines institucijas, bendruosius informacinius centrus ir reagavimo į kompiuterių saugumo incidentus tarnybas (CSIRT); b)kibernetinio saugumo rizikos valdymo pareigos ir pareigos pranešti, taikomos subjektams, kurie I priede įvardijami kaip esminiai subjektai, ir subjektams, kurie II priede įvardijami kaip svarbūs subjektai; (c)pareigos dalytis kibernetinio saugumo informacija. 2 straipsnis Taikymo sritis 1.Ši direktyva taikoma viešiesiems ir privatiesiems subjektams, kurie I priede įvardijami kaip esminiai subjektai, o II priede – kaip svarbūs subjektai. Ši direktyva netaikoma subjektams, kurie atitinka labai mažų ir mažųjų įmonių apibrėžtį pagal Komisijos rekomendaciją 2003/361/EB. 2.Tačiau, nepaisant subjektų dydžio, ši direktyva taikoma I ir II prieduose nurodytiems subjektams, kai: (a)paslaugas teikia vienas iš toliau išvardytų subjektų: i)viešųjų elektroninių ryšių tinklai arba viešai prieinamų elektroninių ryšių paslaugų teikėjai, nurodyti I priedo 8 punkte; ii)patikimumo užtikrinimo paslaugų teikėjai, nurodyti I priedo 8 punkte; iii)aukščiausio lygio domenų vardų registrai ir domenų vardų sistemos (DNS) paslaugų teikėjai, nurodyti I priedo 8 punkte; b)subjektas yra viešojo administravimo subjektas, kaip apibrėžta 4 straipsnio 23 punkte; c)subjektas yra vienintelis paslaugos teikėjas valstybėje narėje;

d)potencialus paslaugos, kurią teikia subjektas, sutrikimas galėtų turėti poveikį viešajam saugumui, visuomenės saugumui arba visuomenės sveikatai; e)potencialus paslaugos, kurią teikia subjektas, sutrikimas galėtų kelti sisteminę riziką visų pirma sektoriuose, kuriuose toks sutrikimas galėtų turėti tarpvalstybinį poveikį; f)subjektas yra ypatingos svarbos atsižvelgiant į jo konkrečią svarbą konkrečiam sekto