Fiziskās drošības jomā priekšlikums papildina priekšlikumu direktīvai par kritisko vienību noturību, ar ko tiek pārskatīta Direktīva 2008/114/EK par to, lai apzinātu un noteiktu Eiropas Kritiskās infrastruktūras un novērtētu vajadzību uzlabot to aizsardzību (EKI direktīva), ar kuru tiek noteikts Savienības process Eiropas kritisko infrastruktūru apzināšanai un noteikšanai un kurā izklāstīta pieeja to aizsardzības uzlabošanai. Komisija 2020. gada jūlijā pieņēma ES Drošības savienības stratēģiju, kurā tika atzīts, ka savstarpējā saikne un atkarība starp fiziskajām un digitālajām infrastruktūrām palielinās. Tajā tika uzsvērta vajadzība pēc saskaņotākas un konsekventākas pieejas starp EKI direktīvu un Direktīvu (ES) 2016/1148 par pasākumiem nolūkā panākt vienādi augsta līmeņa tīklu un informācijas sistēmu drošību visā Savienībā.

Šis priekšlikums ir daļa no pasākumu kopuma, kura mērķis ir uzlabot publisko un privāto vienību, kompetento iestāžu un visas Savienības turpmāku noturību un spēju reaģēt uz incidentiem kiberdrošības un kritisko infrastruktūru aizsardzības jomā. Tas atbilst Komisijas prioritātēm nodrošināt, ka Eiropa ir gatava digitālajam laikmetam, un veidot nākotnei sagatavotu ekonomiku, kas strādā cilvēku labā. Kiberdrošība ir viena no Komisijas prioritātēm reaģēšanā uz Covid-19 krīzi. Pasākumu kopums ietver jaunu stratēģiju par kiberdrošību, kuras mērķis ir nostiprināt Savienības stratēģisko autonomiju, lai uzlabotu tās noturību un kopīgu reaģēšanu un veidotu atvērtu un globālu internetu. Visbeidzot, pasākumu kopums ietver priekšlikumu direktīvai par pamatpakalpojumu kritisko sniedzēju noturību, kuras mērķis ir mazināt fiziskos draudus šādiem sniedzējiem.

Kiberdrošības noturība visā Savienībā nevar būt efektīva, ja attiecībā uz to tiek īstenotas atšķirīgas valstu vai reģionālās pieejas. Ar TID direktīvu daļēji risināts šis trūkums, nosakot satvaru tīklu un informācijas sistēmu drošībai valstu un Savienības līmenī. Tomēr tās transponēšana un īstenošana arī atklāja konkrētiem noteikumiem un pieejām raksturīgos trūkumus un ierobežojumus, piemēram, neskaidro direktīvas darbības jomas norobežojumu, kā rezultātā radās būtiskas dalībvalstu līmenī īstenotās ES iejaukšanās tvēruma un dziļuma atšķirības. Turklāt kopš Covid-19 krīzes Eiropas ekonomika ir kļuvusi tik atkarīga no tīklu un informācijas sistēmām kā nekad iepriekš, un nozares un pakalpojumi kļūst arvien vairāk savstarpēji atkarīgi. ES iejaukšanos, kas pārsniedz pašreizējos TID direktīvas pasākumus, pamato galvenokārt šādi faktori: i) tas, ka ar TID saistītajiem draudiem un problēmām arvien biežāk ir pārrobežu raksturs; ii) Savienības rīcības potenciāls uzlabot un veicināt efektīvu un koordinētu valsts politiku un iii) saskaņotas un sadarbīgas politikas rīcības ieguldījums efektīvā datu un privātuma aizsardzībā.

TID direktīvas juridiskais pamats ir Līguma par Eiropas Savienības darbību 114. pants, kura mērķis ir iekšējā tirgus izveide un darbība, uzlabojot pasākumus valstu tiesisko regulējumu tuvināšanai. Kā ES Tiesa noteica savā spriedumā lietā C-58/08 Vodafone un citi, LESD 114. panta izmantošana ir pamatota, ja pastāv tādas atšķirības valstu tiesisko regulējumu starpā, kuras tiešā veidā ietekmē iekšējā tirgus darbību. Tāpat Tiesa nosprieda, ka, ja ar tiesību aktu, kura pamatā ir LESD 114. pants, jau ir novērsti visi šķēršļi tirdzniecībai jomā, ko ar šo aktu saskaņo, Savienības likumdevējam nevar liegt iespēju šo aktu pielāgot apstākļu izmaiņām vai jaunām zināšanām, ņemot vērā viņa uzdevumu uzraudzīt vispārējo Līgumā paredzēto interešu aizsardzību. Visbeidzot, Tiesa nosprieda, ka tuvināšanas pasākumi, uz kuriem attiecas LESD 114. pants, ir paredzēti, lai atkarībā no saskaņojamā jautājuma vispārējā konteksta un konkrētajiem apstākļiem piešķirtu rīcības brīvību attiecībā uz to, kāda aktu tuvināšanas tehnika ir vispiemērotākā vēlamā rezultāta sasniegšanai. Ar ierosināto tiesību aktu tiks likvidēti iekšējā tirgus šķēršļi un uzlabota iekšējā tirgus izveide un darbība būtiskām un svarīgām vienībām, nosakot skaidrus vispārpiemērojamus noteikumus par TID direktīvas piemērošanu, saskaņojot noteikumus, kas piemērojami kiberdrošības riska pārvaldības un incidentu paziņošanas jomā. Pašreizējās likumdošanas un uzraudzības, kā arī valsts un ES līmeņu atšķirības šajā jomā ir šķēršļi iekšējam tirgum, jo vienības, kas veic pārrobežu darbības, saskaras ar atšķirīgām regulatīvajām prasībām, kas, iespējams, pārklājas, un/vai to piemērošanu, kas var kaitēt brīvības veikt uzņēmējdarbību un sniegt pakalpojumus īstenošanai. Atšķirīgiem noteikumiem arī ir negatīva ietekme uz konkurences apstākļiem iekšējā tirgū, kad runa ir par viena veida vienībām dažādās dalībvalstīs.

No efektivitātes viedokļa, lai gan vēlamā iespēja ietver papildu atbilstības un izpildes nodrošināšanas izmaksas uzņēmumiem un dalībvalstīm, tā arī radīs efektīvus kompromisus un sinerģijas, un tai ir no visām analizētajām politikas iespējām vislielākais potenciāls nodrošināt galvenajām vienībām uzlabotu un saskaņotu kibernoturības līmeni visā Savienībā, galu galā radot izmaksu ietaupījumus gan uzņēmumiem, gan sabiedrībai. Šī politikas iespēja radīs noteiktu papildu administratīvo slogu un atbilstības nodrošināšanas izmaksas dalībvalstu iestādēm. Tomēr kopumā vidējā termiņā un ilgtermiņā tā arī sniegs būtiskus ieguvumus, palielinot sadarbību starp dalībvalstīm, arī operatīvā līmenī, kā arī radot stimulus, izmantojot savstarpējo palīdzību, salīdzinošās izvērtēšanas mehānismus un labāku pārskatu par galvenajiem uzņēmumiem un to mijiedarbību, kopumā palielinot kiberdrošības spējas valstu un reģionālā līmenī. Vēlamā politikas iespēja arī lielā mērā nodrošinās saskaņotību ar citiem tiesību aktiem, iniciatīvām un politikas pasākumiem, tai skaitā konkrētu nozaru lex specialis.

Ietekmes novērtējumā ir secināts, ka vēlamā iespēja ir 3. iespēja (t. i., sistēmiskas un strukturālas izmaiņas TID regulējumā). No efektivitātes viedokļa vēlamā iespēja skaidri noteiktu TID direktīvas piemērošanas jomu, kas paplašināta, aptverot arī ES tautsaimniecību un sabiedrību reprezentatīvāku daļu, un prasību racionalizēšanu, vienlaikus paredzot skaidrāk definētu satvaru uzraudzībai un izpildei, lai paaugstinātu atbilstības līmeni. Tā arī ietver pasākumus, kuru mērķis ir uzlabot politikas veidošanas pieejas dalībvalstu līmenī un mainīt to paradigmu, veicinot jaunus regulējumus attiecību ar piegādātājiem riska pārvaldībai un koordinētai neaizsargātības atklāšanai. Tajā pašā laikā vēlamā politikas iespēja nosaka skaidru pamatu dalītai atbildībai un pārskatatbildībai un paredz mehānismus, kuru mērķis ir veicināt lielāku uzticēšanos starp dalībvalstīm — gan iestādēm, gan nozares pārstāvjiem —, stimulējot informācijas apmaiņu un nodrošinot operatīvāku pieeju, piemēram, savstarpējās palīdzības un salīdzinošās izvērtēšanas mehānismus. Šī iespēja arī paredz ES krīžu pārvaldības satvaru, kas balstīts uz nesen atklāto ES operatīvo tīklu, un nodrošina ENISA plašāku iesaistīšanu tās pašreizējo pilnvaru ietvaros precīza pārskata sniegšanā par kiberdrošības stāvokli Savienībā.

·3. iespēja — šis scenārijs ietver sistēmiskas un strukturētas izmaiņas TID direktīvā (pieņemot jaunu direktīvu), kuras paredz stingrāku pieejas novirzīšanu uz to, lai aptvertu plašāku tautsaimniecību segmentu visā Savienībā, un vienlaikus mērķtiecīgāku uzraudzību, kas vērsta uz lielajiem un galvenajiem tirgus dalībniekiem. Ar to arī racionalizēs pienākumus, kas noteikti uzņēmumiem, un nodrošinās augstāku to saskaņošanas līmeni, radīs efektīvāku vidi operatīvajiem aspektiem, kā arī noteiks skaidru pamatu uzlabotai dažādu ieinteresēto personu dalītai atbildībai un pārskatatbildībai attiecībā uz kiberdrošības pasākumiem.

Priekšlikums paredz vispārēji izslēgt mikrovienības un mazās vienības no TID darbības jomas un piemērot vieglāku ex post uzraudzības režīmu lielam skaitam jaunu vienību atbilstoši pārskatītajai darbības jomai (tā dēvētās “svarīgās vienības”). Šo pasākumu mērķis ir mazināt un līdzsvarot slogu, kas uzlikts uzņēmumiem un valsts pārvaldes iestādēm. Turklāt ar priekšlikumu sarežģītā identifikācijas sistēma pamatpakalpojumu sniedzējiem tiek aizstāta ar vispārpiemērojamu pienākumu un tiek ieviests augstāks drošības un ziņošanas pienākumu saskaņošanas līmenis, tādējādi samazinot atbilstības nodrošināšanas slogu, jo īpaši vienībām, kas sniedz pārrobežu pakalpojumus.

Kompetentajām iestādēm ir jāuzrauga šīs direktīvas darbības jomā ietilpstošās vienības un jo īpaši jānodrošina, ka tās ievēro drošības un incidentu paziņošanas prasības. Tiek nošķirts ex ante uzraudzības režīms būtiskām vienībām un ex post uzraudzības režīms svarīgām vienībām; pēdējais minētais režīms nosaka, ka kompetentajām iestādēm ir jārīkojas, ja tām tiek iesniegti pierādījumi vai norādes, ka svarīga vienība neievēro drošības un incidentu paziņošanas prasības.

(4)Direktīvas (ES) 1148/2016 juridiskais pamats bija Līguma par Eiropas Savienības darbību (LESD) 114. pants, kura mērķis ir iekšējā tirgus izveide un darbība, uzlabojot pasākumus valstu regulējumu tuvināšanai. Kiberdrošības prasības, kas noteiktas vienībām, kuras sniedz pakalpojumus vai veic ekonomiski svarīgas darbības, ievērojami atšķiras starp dalībvalstīm prasību veida, to detalizācijas līmeņa un uzraudzības metodes ziņā. Minētās atšķirības rada papildu izmaksas un grūtības uzņēmumiem, kas piedāvā pārrobežu preces vai pakalpojumus. Prasības, ko nosaka viena dalībvalsts un kas atšķiras no citas dalībvalsts noteiktajām prasībām vai pat ir pretrunā tām, var būtiski ietekmēt minētās pārrobežu darbības. Turklāt iespējamība, ka kiberdrošības standartu struktūra vai īstenošana var nebūt optimāla vienā dalībvalstī, visticamāk, ietekmēs pārējo dalībvalstu kiberdrošības līmeni, jo īpaši ņemot vērā intensīvo pārrobežu apmaiņu. Direktīvas (ES) 2016/1148 pārskatīšanā ir atklājies, ka tās īstenošana dalībvalstīs ievērojami atšķiras, arī attiecībā uz tās darbības jomu, kuras precīza noteikšana lielā mērā tika atstāta dalībvalstu ziņā. Direktīva (ES) 2016/1148 arī sniedza dalībvalstīm ļoti plašu rīcības brīvību attiecībā uz tajā noteikto drošības un incidentu paziņošanas prasību īstenošanu. Tāpēc minētie pienākumi dalībvalstu līmenī tika īstenoti ļoti atšķirīgi. Līdzīgas īstenošanas atšķirības bija vērojamas attiecībā uz direktīvas noteikumiem par uzraudzību un izpildi.

(7)Līdz ar Direktīvas (ES) 2016/1148 atcelšanu būtu jāpaplašina piemērošanas joma pa nozarēm, aptverot lielāku ekonomikas daļu, ņemot vērā 4.–6. apsvērumā izklāstītos apsvērumus. Tāpēc to nozaru skaits, uz kurām attiecas Direktīva (ES) 2016/1148, būtu jāpalielina, lai nodrošinātu to nozaru un pakalpojumu pilnīgu aptvērumu, kuri ir ļoti svarīgi galvenajām sociālajām un saimnieciskajām darbībām iekšējā tirgū. Noteikumi nedrīkstētu atšķirties atkarībā no tā, vai vienības ir pamatpakalpojumu sniedzēji vai digitālo pakalpojumu sniedzēji. Ir pierādīts, ka šāda diferencēšana ir novecojusi, jo tā neatspoguļo nozaru vai pakalpojumu faktisko nozīmīgumu sociālajām un saimnieciskajām darbībām iekšējā tirgū.

(8)Saskaņā ar Direktīvu (ES) 2016/1148 dalībvalstīm bija pienākums noteikt, kuras vienības atbilst kritērijiem, lai tās uzskatītu par pamatpakalpojumu sniedzējiem (“identifikācijas process”). Lai šajā ziņā mazinātu lielās atšķirības starp dalībvalstīm un nodrošinātu juridisko noteiktību attiecībā uz riska pārvaldības prasībām un ziņošanas pienākumiem visām attiecīgajām vienībām, būtu jāievieš vienots kritērijs to vienību noteikšanai, kuras ir šīs direktīvas piemērošanas jomā. Minētajam kritērijam vajadzētu būt maksimālā lieluma noteikumam, saskaņā ar kuru visi vidējie un lielie uzņēmumi, kas definēti Komisijas Ieteikumā 2003/361/EK un darbojas nozarēs vai sniedz pakalpojumus, uz kuriem attiecas šī direktīva, ir tās piemērošanas jomā. Dalībvalstīm nebūtu jānosaka prasība izveidot to vienību sarakstu, kuras atbilst šim vispārpiemērojamam ar lielumu saistītajam kritērijam.

(9)Tomēr šī direktīva būtu jāattiecina arī uz mazām vienībām vai mikrovienībām, kas atbilst noteiktiem kritērijiem, kuri norāda uz būtisku lomu dalībvalstu tautsaimniecībā vai sabiedrībā vai konkrētās nozarēs vai pakalpojumu veidos. Dalībvalstīm vajadzētu būt atbildīgām par šādu vienību saraksta izveidi un būtu jāiesniedz saraksts Komisijai.

(10)Komisija kopā ar sadarbības grupu var izdot pamatnostādnes par mikrouzņēmumiem un mazajiem uzņēmumiem piemērojamo kritēriju īstenošanu.

(11)Atkarībā no nozares, kurā tie darbojas, vai to sniegto pakalpojumu veida vienības, kuras ir šīs direktīvas darbības jomā, būtu jāiedala divās kategorijās — būtiskas vienības un svarīgas vienības. Veicot to iedalīšanu kategorijās, būtu jāņem vērā nozares vai sniegto pakalpojumu veida svarīgums, kā arī atkarība no citām nozarēm vai pakalpojumu veidiem. Uz būtiskajām un svarīgajām vienībām būtu jāattiecina vienādas riska pārvaldības prasības un ziņošanas pienākumi. Uzraudzības un sodu režīmi starp šīm abām vienību kategorijām būtu jādiferencē, lai nodrošinātu taisnīgu līdzsvaru starp prasībām un pienākumiem, no vienas puses, un administratīvo slogu, kas izriet no atbilstības uzraudzības, no otras puses.

(12)Īpaši nozaru tiesību akti un instrumenti var palīdzēt nodrošināt augstu kiberdrošības līmeni, vienlaikus pilnībā ņemot vērā šo nozaru specifiku un sarežģītību. Ja saskaņā ar konkrētas nozares Savienības tiesību aktu būtiskajām vai svarīgajām vienībām ir jāpieņem kiberdrošības riska pārvaldības pasākumi vai jāpaziņo incidenti vai nozīmīgi kiberdraudi, kam ir vismaz līdzvērtīga ietekme uz šajā direktīvā noteiktajiem pienākumiem, būtu jāpiemēro minētie īpašie nozaru noteikumi, tai skaitā par uzraudzību un izpildi. Komisija var izdot pamatnostādnes par lex specialis īstenošanu. Šī direktīva neliedz pieņemt konkrētu nozaru Savienības papildu aktus, kuros pievēršas kiberdrošības riska pārvaldības pasākumiem un incidentu paziņojumiem. Šī direktīva neskar esošās īstenošanas pilnvaras, kas piešķirtas Komisijai vairākās nozarēs, tai skaitā transporta un enerģētikas nozarē.

(13)Eiropas Parlamenta un Padomes Regula XXXX/XXXX būtu jāuzskata par konkrētas nozares Savienības tiesību aktu saistībā ar šo direktīvu attiecībā uz finanšu sektora vienībām. Regulas XXXX/XXXX noteikumi par informācijas un komunikācijas tehnoloģiju (IKT) riska pārvaldības pasākumiem, ar IKT saistītu incidentu pārvaldību un jo īpaši incidentu paziņošanu, kā arī par digitālās darbības noturības testēšanu, informācijas apmaiņas pasākumiem un IKT trešo personu risku būtu jāpiemēro to noteikumu vietā, kuri paredzēti saskaņā ar šo direktīvu. Tāpēc dalībvalstīm šīs direktīvas noteikumi par kiberdrošības riska pārvaldību un ziņošanas pienākumiem, informācijas apmaiņu, kā arī uzraudzību un izpildi nebūtu jāpiemēro finanšu vienībām, uz kurām attiecas Regula XXXX/XXXX. Vienlaikus ir svarīgi uzturēt ciešas attiecības un informācijas apmaiņu ar finanšu sektoru saskaņā ar šo direktīvu. Šajā nolūkā Regula XXXX/XXXX ļauj visām finanšu uzraudzības iestādēm, Eiropas uzraudzības iestādēm (EUI) attiecībā uz finanšu sektoru un valsts kompetentajām iestādēm atbilstoši Regulai XXXX/XXXX piedalīties sadarbības grupas stratēģiskajās politikas apspriedēs un tehniskajā darbā un apmainīties ar informāciju un sadarboties ar vienotajiem kontaktpunktiem, kas izraudzīti saskaņā ar šo direktīvu, un valstu CSIRT. Kompetentajām iestādēm atbilstoši Regulai XXXX/XXXX būtu jānosūta ziņas par būtiskiem ar IKT saistītiem incidentiem arī vienotajiem kontaktpunktiem, kas izraudzīti saskaņā ar šo direktīvu. Turklāt dalībvalstīm arī turpmāk būtu jāiekļauj finanšu sektors savās kiberdrošības stratēģijās, un valstu CSIRT finanšu sektoru var ietvert savās darbībās.

(14)Ņemot vērā saikni starp kiberdrošību un vienību fizisko drošību, Eiropas Parlamenta un Padomes Direktīvā (ES) XXX/XXX un šajā direktīvā būtu jānodrošina saskaņota pieeja. Lai to panāktu, dalībvalstīm būtu jānodrošina, ka kritiskās vienības un tām līdzvērtīgas vienības atbilstoši Direktīvai (ES) XXX/XXX tiek uzskatītas par būtiskām vienībām atbilstoši šai direktīvai. Dalībvalstīm būtu arī jānodrošina, ka to kiberdrošības stratēģijās ir paredzēts politikas satvars uzlabotai koordinācijai starp kompetento iestādi atbilstoši šai direktīvai un kompetento iestādi atbilstoši Direktīvai (ES) XXX/XXX saistībā ar informācijas apmaiņu par incidentiem un kiberdraudiem un uzraudzības uzdevumu īstenošanu. Iestādēm būtu jāsadarbojas un jāapmainās ar informāciju atbilstoši abām direktīvām, jo īpaši saistībā ar kritisko vienību noteikšanu, kiberdraudiem, kiberdrošības riskiem, incidentiem, kas ietekmē kritiskās vienības, kā arī kiberdrošības pasākumiem, ko veikušas kritiskās vienības. Ja to pieprasa kompetentās iestādes atbilstoši Direktīvai (ES) XXX/XXX, kompetentajām iestādēm atbilstoši šai direktīvai vajadzētu būt iespējām īstenot savas uzraudzības un izpildes pilnvaras attiecībā uz būtisku vienību, kas identificēta kā kritiska. Abu veidu iestādēm šajā nolūkā būtu jāsadarbojas un jāapmainās ar informāciju.

(15)Uzticamas, noturīgas un drošas domēnu nosaukumu sistēmas (DNS) veicināšana un saglabāšana ir svarīgs faktors interneta integritātes uzturēšanā un ir svarīga tā nepārtrauktai un stabilai darbībai, no kuras ir atkarīga digitālā ekonomika un sabiedrība. Tāpēc šī direktīva būtu jāpiemēro visiem DNS pakalpojumu sniedzējiem visā DNS atrisināšanas ķēdē, arī saknes serveru, augstākā līmeņa domēnu (ALD) nosaukumu serveru operatoriem, autoritatīvo nosaukumu serveru operatoriem attiecībā uz domēnu nosaukumiem, kā arī rekursīvajiem atrisinātājiem.

(16)Mākoņpakalpojumos būtu jāiekļauj pakalpojumi, kas ļauj pēc pieprasījuma plaši un attālināti piekļūt kopīgojamu un sadalītu datošanas resursu mērogojamam un elastīgam pūlam. Minētie datošanas resursi ietver tādus resursus kā tīkli, serveri vai cita infrastruktūra, operētājsistēmas, programmatūra, glabāšana, lietotnes un pakalpojumi. Mākoņdatošanas izvietošanas modeļos būtu jāiekļauj privāts, kopienas, publisks un hibrīds mākonis. Iepriekš minēto pakalpojumu un izvietošanas modeļu nozīme ir tāda pati kā terminiem “pakalpojums” un “izvietošanas modeļi” standartā ISO/IEC 17788:2014. Mākoņdatošanas lietotāja spēju vienpusēji sev nodrošināt datošanas spējas, piemēram, servera laiku vai tīkla glabāšanu, bez cilvēciskas mijiedarbības ar mākoņpakalpojumu sniedzēju varētu raksturot kā pārvaldību pēc pieprasījuma. Termins “plaša un attālināta piekļuve” ir izmantots, lai raksturotu to, ka mākoņdatošanas spējas tiek nodrošinātas visā tīklā un tām piekļūst, izmantojot mehānismus, kas veicina neviendabīgu plāno vai biezo klientiem paredzēto platformu (tai skaitā mobilo tālruņu, planšetdatoru, klēpjdatoru, darbstaciju) izmantošanu. Termins “mērogojams” attiecas uz datošanas resursiem, kurus mākoņpakalpojuma sniedzējs elastīgi piešķir neatkarīgi no resursu ģeogrāfiskās atrašanās vietas, lai risinātu pieprasījuma svārstības. Termins “elastīgs pūls” ir izmantots, lai aprakstītu tos datošanas resursus, kuri tiek nodrošināti un atbrīvoti saskaņā ar pieprasījumu, lai pieejamos resursus ātri palielinātu un samazinātu atkarībā no noslodzes. Termins “kopīgojams” ir izmantots, lai aprakstītu tos datošanas resursus, kas tiek sniegti daudziem lietotājiem, kuriem ir kopīga piekļuve pakalpojumam, bet apstrāde notiek katram lietotājam atsevišķi, kaut arī pakalpojums tiek sniegts no vienas un tās pašas elektroniskās iekārtas. Termins “sadalīts” ir izmantots, lai aprakstītu tos datošanas resursus, kas atrodas dažādos tīklotos datoros vai ierīcēs un kas īsteno savstarpēju saziņu un koordināciju, izmantojot ziņojumu sūtīšanu.

(17)Ņemot vērā inovatīvu tehnoloģiju parādīšanos un jaunus darbības modeļus, paredzams, ka, reaģējot uz jaunām klientu vajadzībām, tirgū parādīsies jauni mākoņdatošanas izvietošanas un pakalpojumu modeļi. Šajā kontekstā mākoņpakalpojumus var sniegt īpaši sadalītā formā, pat tuvāk vietai, kur dati tiek ģenerēti vai savākti, tādējādi pārejot no tradicionālā modeļa uz īpaši sadalītu modeli (“perifērdatošana”).

(18)Pakalpojumus, ko piedāvā datu centru pakalpojumu sniedzēji, ne vienmēr var sniegt mākoņpakalpojuma veidā. Tas nozīmē, ka datu centri var nebūt daļa no mākoņdatošanas infrastruktūras. Lai pārvaldītu visus riskus tīklu un informācijas sistēmu drošībai, šī direktīva būtu jāattiecina arī uz tādu datu centru pakalpojumu sniedzējiem, kuri nav mākoņpakalpojumi. Šajā direktīvā termins “datu centra pakalpojums” būtu jāattiecina uz tāda pakalpojuma sniegšanu, kas ietver struktūras vai struktūru grupas, kuras paredzētas tāda informācijas tehnoloģijas un tīkla aprīkojuma centralizētai izmitināšanai, savstarpējai savienošanai un darbībai, kas sniedz datu uzglabāšanas, apstrādes un transportēšanas pakalpojumus kopā ar visām ierīcēm un infrastruktūrām jaudas sadalei un vides kontrolei. Termins “datu centra pakalpojums” neattiecas uz iekšējiem, korporatīviem datu centriem, ko tur īpašumā un ekspluatē attiecīgās vienības vajadzībām.

(19)Pasta pakalpojumu sniedzēji Eiropas Parlamenta un Padomes Direktīvas 97/67/EK nozīmē, kā arī eksprespiegādes un kurjeru piegādes pakalpojumu sniedzēji būtu jāiekļauj šīs direktīvas darbības jomā, ja tie nodrošina vismaz vienu no posmiem pasta piegādes ķēdē un jo īpaši sniedz atmuitošanas, šķirošanas vai sadales pakalpojumus, arī savākšanas pakalpojumus. Transporta pakalpojumi, kurus neveic saistībā ar kādu no minētajiem posmiem, būtu jāizslēdz no pasta pakalpojumu jomas.

(20)Šī pieaugošā savstarpējā atkarība ir rezultāts tam, ka pakalpojumu sniegšanas tīklam arvien biežāk ir pārrobežu raksturs un tas arvien vairāk ir savstarpēji atkarīgs, izmantojot pamatinfrastruktūras visā Savienībā tādās nozarēs kā enerģētika, transports, digitālā infrastruktūra, dzeramais ūdens un notekūdeņi, veselība, konkrēti valsts pārvaldes aspekti, kā arī kosmoss, ciktāl tas attiecas uz tādu konkrētu pakalpojumu sniegšanu, kuri ir atkarīgi no virszemes infrastruktūrām, ko tur īpašumā, pārvalda vai ekspluatē dalībvalstis vai attiecīgās privātpersonas, tādējādi neaptverot infrastruktūras, ko tur īpašumā, pārvalda vai ekspluatē Savienība vai tās vārdā kā daļu no tās kosmosa programmām. Šī savstarpējā atkarība nozīmē, ka jebkuram traucējumam, pat tādam, kas sākotnēji ierobežots līdz vienai vienībai vai vienai nozarei, var būt plašāka lavīnveida ietekme, iespējams, rezultātā izraisot tālejošas un ilgstošas negatīvas sekas pakalpojumu sniegšanā iekšējā tirgū. Covid-19 pandēmija ir parādījusi mūsu arvien vairāk savstarpēji atkarīgās sabiedrības neaizsargātību, neraugoties uz zemas varbūtības riskiem.

(21)Ņemot vērā atšķirības valstu pārvaldes struktūrās un lai garantētu jau esošo nozaru noteikumu izpildi vai aizsargātu Savienības uzraudzības un regulatīvās struktūras, dalībvalstīm būtu jāspēj izraudzīties vairāk nekā vienu valsts kompetento iestādi, kas ir atbildīga par to, lai saskaņā ar šo direktīvu pildītu uzdevumus saistībā ar būtisko un svarīgo vienību tīklu un informācijas sistēmu drošību. Dalībvalstīm būtu jāspēj uzticēt šo funkciju esošai iestādei.

(22)Lai veicinātu pārrobežu sadarbību un saziņu starp iestādēm un lai varētu efektīvi īstenot šo direktīvu, katrai dalībvalstij būtu jāizraugās valsts vienotais kontaktpunkts, kas atbild par to jautājumu koordināciju, kuri saistīti ar tīklu un informācijas sistēmu drošību un pārrobežu sadarbību Savienības līmenī.

(23)Kompetentajām iestādēm vai CSIRT būtu efektīvi un lietpratīgi jāsaņem paziņojumi par incidentiem no vienībām. Būtu jānosaka vienotajiem kontaktpunktiem pienākums pārsūtīt incidentu paziņojumus citu skarto dalībvalstu vienotajiem kontaktpunktiem. Dalībvalstu iestāžu līmenī, lai nodrošinātu vienu vienotu kontaktpunktu katrā dalībvalstī, vienotajiem kontaktpunktiem arī būtu jāsaņem attiecīgā informācija par incidentiem saistībā ar finanšu sektora vienībām no kompetentajām iestādēm atbilstoši Regulai XXXX/XXXX, un tiem būtu jāspēj šo informāciju attiecīgā gadījumā pārsūtīt attiecīgajām valsts kompetentajām iestādēm vai CSIRT saskaņā ar šo regulu.

(24)Visās dalībvalstīs vajadzētu būt atbilstīgam aprīkojumam gan tehnisko, gan organizatorisko spēju ziņā, lai novērstu un atklātu tīklu un informācijas sistēmu incidentus un riskus, reaģētu uz tiem un tos mazinātu. Tāpēc dalībvalstīm būtu jānodrošina, ka tajās ir labi funkcionējošas, pamatprasībām atbilstīgas CSIRT, kas tiek dēvētas arī par datorapdraudējumu reaģēšanas vienībām (CERT), lai nodrošinātu efektīvas un saderīgas spējas incidentu risināšanai un risku novēršanai un efektīvas sadarbības nodrošināšanai Savienības līmenī. Lai uzlabotu uzticības pilnas attiecības starp vienībām un CSIRT, gadījumos, kad CSIRT ir kompetentās iestādes daļa, dalībvalstīm būtu jāapsver funkcionāls nošķīrums starp CSIRT veiktajiem operatīvajiem uzdevumiem, jo īpaši attiecībā uz informācijas apmaiņu un atbalstu vienībām, un kompetento iestāžu uzraudzības darbībām.

(25)Attiecībā uz persondatiem CSIRT saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2016/679, ja to pieprasa vienības atbilstoši šai direktīvai un to vārdā, būtu jāspēj nodrošināt to pakalpojumu sniegšanai izmantoto tīklu un informācijas sistēmu proaktīvu skenēšanu. Dalībvalstīm būtu jāizvirza mērķis nodrošināt vienlīdzīgu tehnisko spēju līmeni visām nozaru CSIRT. Dalībvalstis var lūgt Eiropas Savienības Kiberdrošības aģentūras (ENISA) palīdzību valsts CSIRT attīstīšanā.

(26)Ņemot vērā to, cik svarīga ir starptautiskā sadarbība kiberdrošības jomā, CSIRT būtu jāspēj piedalīties starptautiskos sadarbības tīklos papildus CSIRT tīklam, ko izveido ar šo direktīvu.