P7_TA(2014)0244

Vienādi augsta līmeņa tīklu un informācijas drošība ***I

Eiropas Parlamenta 2014. gada 13. marta normatīvā rezolūcija par priekšlikumu Eiropas Parlamenta un Padomes direktīvai par pasākumiem, kas nodrošinātu vienādi augsta līmeņa tīklu un informācijas drošību visā Savienībā (COM(2013)0048 – C7-0035/2013 – 2013/0027(COD))

(Parastā likumdošanas procedūra: pirmais lasījums)

(2017/C 378/74)

Eiropas Parlaments,

(1) OV C 271, 19.9.2013., 133. lpp.

(2) Pieņemtie teksti, P7_TA(2013)0376.

P7_TC1-COD(2013)0027

Eiropas Parlamenta nostāja, pieņemta pirmajā lasījumā 2014. gada 13. martā, lai pieņemtu Eiropas Parlamenta un Padomes Direktīvu 2014/…/ES par pasākumiem, kas nodrošinātu vienādi augsta līmeņa tīklu un informācijas drošību visā Savienībā

EIROPAS PARLAMENTS UN EIROPAS SAVIENĪBAS PADOME,

ņemot vērā Līgumu par Eiropas Savienības darbību un jo īpaši tā 114. pantu,

ņemot vērā Eiropas Komisijas priekšlikumu,

pēc leģislatīvā akta projekta nosūtīšanas valstu parlamentiem,

ņemot vērā Eiropas Ekonomikas un sociālo lietu komitejas atzinumu (1),

rīkojoties saskaņā ar parasto likumdošanas procedūru (2),

tā kā:

(1) Tīklu un informācijas sistēmām un pakalpojumiem ir liela nozīme sabiedrībā. To uzticamība un drošība ir būtiska Savienības pilsoņu brīvībai un vispārējai drošībai, kā arī saimnieciskajā darbībā, sociālās labklājības jomā un jo īpaši iekšējā tirgus darbībā. [Gr. 1]

(2) Apzinātu vai nejaušu drošības incidentu apmērs, un biežums un ietekme pieaug un veido nopietnu draudu tīklu un informācijas sistēmu darbībai. Šādas sistēmas var arī kļūt par vieglu mērķi apzinātām kaitnieciskām darbībām, kas vērstas uz sistēmu darbības bojāšanu vai apturēšanu. Šādi incidenti var kavēt ekonomisku darbību veikšanu, radīt ievērojamus finansiālus zaudējumus, apdraudēt lietotāju un ieguldītāju uzticēšanos un radīt lielus zaudējumus Savienības ekonomikā , un galu galā apdraudēt Savienības iedzīvotāju labklājību un dalībvalstu spēju aizsargāt pašām sevi un nodrošināt kritisko infrastruktūru drošību . [Gr. 2]

(3) Kā saziņas līdzeklim bez robežām digitālās informācijas sistēmām un galvenokārt internetam ir būtiska nozīme, veicinot preču, pakalpojumu brīvu apriti un personu brīvu pārvietošanos pāri robežām. Starpvalstu rakstura dēļ šo sistēmu būtiski traucējumi vienā dalībvalstī var ietekmēt arī citas dalībvalstis un Savienību kopumā. Tāpēc tīklu un informācijas sistēmu noturībai un stabilitātei ir būtiska nozīme iekšējā tirgus netraucētas darbības nodrošināšanā.

(3a) Tā kā parasti sistēmas atteices iemesli vēl joprojām ir netīši, piemēram, dabiski iemesli vai cilvēku pieļauta kļūda, infrastruktūrai vajadzētu būt noturīgai gan pret tīšiem, gan netīšiem traucējumiem, un kritiskās infrastruktūras apsaimniekotājiem vajadzētu izstrādāt noturīgas sistēmas. [Gr. 3]

(4) Būtu jāizveido sadarbības mehānisms Savienības līmenī, lai varētu veikt informācijas apmaiņu un saskaņotu novēršanu, atklāšanu un reaģēšanu attiecībā uz tīklu un informācijas drošību (TID). Lai šis mehānisms būtu efektīvs un iekļaujošs, ir svarīgi, lai visām dalībvalstīm būtu minimālas spējas un stratēģija, kas nodrošina augsta līmeņa TID to teritorijā. Minimālās drošības prasības būtu jāattiecina arī uz arī valsts pārvaldes iestādēm un vismaz dažiem informācijas kritisko infrastruktūru apsaimniekotājiem, lai veicinātu riska pārvaldības kultūru un nodrošinātu ziņošanu par nopietnākajiem incidentiem. Biržas sarakstā iekļautie uzņēmumi būtu jāiedrošina savos finanšu pārskatos brīvprātīgi publiskot informāciju par incidentiem. Tiesiskais regulējums būtu jāizstrādā, pamatojoties uz nepieciešamību garantēt pilsoņu privātās dzīves neaizskaramību un integritāti. Kritiskās infrastruktūras brīdinājuma informācijas tīkls (CIWIN) būtu jāpaplašina, tajā iekļaujot tirgus dalībniekus, uz kuriem attiecas šī direktīva. [Gr. 4]

(4a) Lai arī valsts pārvaldes iestādēm saistībā ar to sabiedrisko uzdevumu ar pienācīgu rūpību būtu jārealizē savu tīklu un informācijas sistēmu pārvaldība un aizsardzība, šajā direktīvā galvenā uzmanība būtu jāpievērš kritiskajai infrastruktūrai, kas ir būtiska svarīgu ekonomisko un sabiedrisko darbību nodrošināšanai tādās jomās kā enerģētika, transports, banku nozare, finanšu tirgus infrastruktūra un veselības aprūpe. Programmatūru izstrādātāji un datortehnikas ražotāji no šīs direktīvas darbības jomas būtu jāizslēdz. [Gr. 5]

(4b) Attiecīgo Savienības iestāžu sadarbība un darbības saskaņošana ar augsto pārstāvi/priekšsēdētāja vietnieci, kura ir atbildīga par kopējo ārlietu un drošības politiku un kopējo drošības un aizsardzības politiku, kā arī ar ES terorisma apkarošanas koordinatoru būtu jānodrošina gadījumos, kad var uzskatīt, ka incidents, kam ir būtiski ietekmējoša ietekme, ir ārējs un rada terora draudus. [Gr. 6]

(5) Lai aptvertu visus attiecīgos incidentus un riskus, šī direktīva būtu jāpiemēro visām tīklu un informācijas sistēmām. Valsts pārvaldes iestādēm un tirgus dalībniekiem uzticētos pienākumus tomēr nebūtu jāattiecina uz uzņēmumiem, kas nodrošina publisko komunikāciju tīklus vai sniedz publiski pieejamus elektronisko komunikāciju pakalpojumus Eiropas Parlamenta un Padomes Direktīvas 2002/21/EK (3) nozīmē, uz kuriem attiecas konkrētas drošības un integritātes prasības, kas noteiktas minētās direktīvas 13.a pantā, un minētie pienākumi nebūtu jāattiecina arī uz uzticamības pakalpojumu sniedzējiem.

(6) Esošās spējas nav pietiekamas, lai Savienībā nodrošinātu augsta līmeņa TID. Dalībvalstīm ir ļoti atšķirīgu līmeņu sagatavotība, kas nozīmē, ka Eiropas Savienībā tiek izmantotas atšķirīgas pieejas. Tas Savienībā rada nevienlīdzīgu patērētāju un uzņēmumu aizsardzības līmeni un pazemina TID kopējo līmeni. Savukārt kopīgu minimālo prasību trūkums valsts pārvaldes iestādēm un tirgus dalībniekiem padara neiespējamu efektīva vispārēja sadarbības mehānisma izveidi Savienības līmenī. Šo jomu pētniecības, izstrādes un inovācijas stimulēšanā izšķiroša nozīme ir augstskolām un pētniecības centriem un tiem būtu jānodrošina adekvāts finansējums. [Gr. 7]

(7) Tāpēc, lai efektīvi reaģētu uz tīklu un informācijas sistēmu drošības problēmām, ir nepieciešama Savienības līmeņa vispārēja pieeja, kurā iekļautas kopīgas minimālās prasības iekļauts kopīgs prasību minimums attiecībā uz spēju veidošanu un plānošanu , prasmju pilnveidošana pietiekamā līmenī kiberdrošības jomā , informācijas apmaiņa un darbību koordinēšana, un kopīgas minimālās drošības prasības visiem attiecīgajiem tirgus dalībniekiem un valsts pārvaldes iestādēm kopīgs drošības prasību minimums . Saskaņā ar atbilstošiem Kiberdrošības koordinācijas grupu (CSGC) ieteikumiem būtu jāpiemēro kopīgs standartu minimums. [Gr. 8]

(8) Šīs direktīvas noteikumiem nebūtu jāskar iespēja katrai dalībvalstij veikt vajadzīgos pasākumus, lai nodrošinātu savu būtisko drošības interešu aizsardzību, sabiedrisko kārtību un sabiedrības drošību, ļautu izmeklēt un atklāt noziedzīgus nodarījumus un sodīt par tiem. Saskaņā ar Līguma par Eiropas Savienības darbību (LESD) 346. pantu dalībvalstīm nav jāsniedz informācija, kuras izpaušanu tās atzīst par būtisku savas drošības interešu apdraudējumu. Dalībvalstīm nav jāizpauž ES klasificētā informācija saskaņā ar Padomes Lēmumu 2011/292/ES (4) , kā arī informācija, uz kuru attiecas vienošanās par informācijas neizpaušanu vai neformāla vienošanās par informācijas neizpaušanu, piemēram, Gaismas signālu protokols (Traffic Light Protocol). [Gr. 9]

(9) Lai panāktu un uzturētu vienādi augsta līmeņa tīklu un informācijas sistēmu drošību, katrai dalībvalstij būtu vajadzīga valsts TID stratēģija, kurā noteikti stratēģiskie mērķi un konkrēti politikas pasākumi, kas jāievieš. Valsts līmenī ir jāizstrādā pamatprasībām atbilstīgi TID sadarbības plāni, lai panāktu tādu reaģēšanas spēju līmeni, kas incidentu gadījumos ļautu efektīvi un lietderīgi sadarboties valsts un Savienības līmenī , ņemot vērā privātās dzīves un personas datu neaizskaramību un aizsardzību . Tādēļ katrai dalībvalstij būtu jānosaka pienākums ievērot kopīgos standartus attiecībā uz datu formātu un datu apmaināmību, lai tos varētu kopīgot un izvērtēt. Dalībvalstīm vajadzētu būt iespējai lūgt palīdzību no Eiropas Savienības Tīklu un informācijas drošības Aģentūras (ENISA), izstrādājot valsts tīklu un informācijas drošības (TID) stratēģijas, kas balstītas uz kopīgu obligāto TID stratēģiju projektu . [Gr. 10]

(10) Lai varētu efektīvi īstenot noteikumus, kas pieņemti saskaņā ar šo direktīvu, katrā dalībvalstī būtu jāizveido vai jānosaka struktūra, kas atbildētu par TID jautājumu koordināciju un darbotos kā kontaktpunkts pārrobežu sadarbībai Savienības mērogā. Šīm iestādēm būtu jāpiešķir pietiekami tehniskie, finanšu un cilvēkresursi, lai nodrošinātu, ka tās efektīvi un produktīvi var veikt tām uzticētos uzdevumus un tādējādi sasniegt šīs direktīvas mērķus.

(10a) Ņemot vērā atšķirības valstu pārvaldes struktūrās un lai garantētu jau ieviesto nozaru noteikumu izpildi vai aizsargātu Savienības pašreizējās uzraudzības un regulējošās iestādes, kā arī lai izvairītos no dublēšanās, dalībvalstīm vajadzētu būt iespējai izraudzīties vismaz divas kompetentās valsts iestādes, kuras saskaņā ar šo direktīvu pildītu uzdevumus saistībā ar tirgus dalībnieku tīklu un informācijas sistēmu drošību. Tomēr, lai nodrošinātu netraucētu pārrobežu sadarbību un saziņu, katrai dalībvalstij, neskarot nozaru reglamentējošos noteikumus, vajadzētu izraudzīties tikai vienu vienoto kontaktpunktu pārrobežu sadarbības nodrošināšanai Savienības līmenī. Ja to paredz dalībvalsts konstitucionālā struktūra vai citi noteikumi, šai valstij vajadzētu būt iespējai izraudzīties tikai vienu iestādi, kas veiktu kompetentās iestādes un vienotā kontaktpunkta uzdevumus. Kompetentajām iestādēm un vienotajiem kontaktpunktiem vajadzētu būt civilām struktūrām, kas ir pakļautas pilnīgai demokrātiskai uzraudzībai, un tām nebūtu jāveic nekādi uzdevumi izlūkošanas, tiesībaizsardzības vai aizsardzības jomā vai organizatoriska rakstura uzdevumi, kuri jebkādā veidā būtu saistīti ar struktūrām, kas strādā šajās jomās. [Gr. 11]

(11) Visās dalībvalstīs Visām dalībvalstīm un tirgus dalībniekiem ir jābūt atbilstošam aprīkojumam gan tehnisko, gan organizatorisko spēju ziņā, lai jebkurā brīdī novērstu un atklātu tīklu un informācijas sistēmu incidentus un riskus, reaģētu uz tiem un tos mazinātu. Drošības sistēmām valsts pārvaldes iestādēs jābūt drošām un tām jāpiemēro demokrātiska kontrole un uzraudzība. Biežāk nepieciešamajam aprīkojumam un spējām būtu jāatbilst vispārpieņemtiem tehniskiem standartiem, kā arī standarta ekspluatācijas procedūrām (SPO). Tāpēc visās dalībvalstīs būtu jāizveido labi funkcionējošas, pamatprasībām atbilstošas datorapdraudējumu reaģēšanas vienības (CERT) , lai nodrošinātu efektīvas un saderīgas spējas incidentu risināšanai un risku novēršanai un efektīvas sadarbības nodrošināšanai Savienības līmenī. Minētajām CERT vajadzētu būt iespējai savstarpēji sadarboties, pamatojoties uz kopīgiem tehniskiem standartiem un SPO. Ņemot vērā pastāvošo CERT atšķirīgās iezīmes, kas atbilst dažādām subjektu vajadzībām un dalībniekiem, dalībvalstīm būtu jānodrošina, lai katrai no šajā direktīvā noteiktajā tirgus dalībnieku sarakstā minētajām nozarēm pakalpojumus sniegtu vismaz viena CERT. Attiecībā uz CERT pārrobežu sadarbību dalībvalstīm būtu jānodrošina, ka CERT ir pietiekami līdzekļi, lai piedalītos jau pastāvošajos Savienības un starptautiskajos sadarbības tīklos. [Gr. 12]

(12) Balstoties uz Dalībvalstu Eiropas forumā (EFMS) panākto ievērojamo progresu diskusiju un politikas paraugprakses apmaiņas veicināšanā, tostarp principu izstrādē attiecībā uz Eiropas sadarbību kiberkrīžu jomā, dalībvalstīm un Komisijai vajadzētu izveidot tīklu, lai panāktu pastāvīgu komunikāciju starp tām un palīdzētu īstenot to sadarbību. Šai drošajai un efektīvajai sadarbības sistēmai , tostarp vajadzības gadījumā ar tirgus dalībnieku līdzdalību , būtu jāļauj īstenot strukturētu un koordinētu informācijas apmaiņu, atklāšanu un reaģēšanu Savienības līmenī. [Gr. 13]

(13) Eiropas Tīklu un informācijas drošības aģentūrai ( ENISA) būtu jāpalīdz dalībvalstīm un Komisijai, sniedzot savas zināšanas un konsultācijas un sekmējot apmaiņu ar paraugpraksi. Jo īpaši Komisijai un dalībvalstīm būtu jāapspriežas ar ENISA saistībā ar šīs direktīvas piemērošanu. Lai nodrošinātu efektīvu un savlaicīgu informāciju dalībvalstīm un Komisijai, sadarbības tīklā būtu jāievieš agrīnā brīdināšana par incidentiem un riskiem. Lai uzlabotu spējas un zināšanas dalībvalstu vidū, sadarbības tīklam būtu jākalpo arī kā paraugprakses apmaiņas instrumentam, palīdzot tā dalībniekiem veidot spējas, vadot salīdzinošās izvērtēšanas un TID mācību organizēšanu. [Gr. 14]

(13a) Piemērojot šīs direktīvas noteikumus, dalībvalstīm nepieciešamības gadījumā vajadzētu būt iespējai izmantot vai pielāgot pašreizējās organizatoriskās struktūras. [Gr. 15]

(14) Būtu jāievieš droša informācijas apmaiņas infrastruktūra, lai sadarbības tīklā varētu apmainīties ar sensitīvu un konfidenciālu informāciju. Šajā nolūkā pilnībā būtu jāizmanto Savienībā pastāvošās struktūras. Neskarot dalībvalstu pienākumu ziņot par Savienības mēroga incidentiem un riskiem sadarbības tīklam, piekļuve konfidenciālai informācijai no citām dalībvalstīm būtu jāpiešķir dalībvalstij tikai tad, ja tā , izmantojot pārredzamas metodes, pierāda, ka tās tehniskie, finanšu un cilvēkresursi un procesi, kā arī to komunikācijas infrastruktūra nodrošina efektīvu un drošu to līdzdalību tīklā. [Gr. 16]

(15) Tā kā tīklu un informācijas sistēmu lielākā daļa tiek privāti apsaimniekota, ir būtiska publiskā un privātā sektora sadarbība. Tirgus dalībnieki būtu jāmudina izmantot savus neformālās sadarbības mehānismus, lai nodrošinātu TID. Tiem būtu jāsadarbojas arī ar publisko sektoru un savstarpēji jāapmainās ar informāciju un paraugpraksi, tostarp par iepriekšējo periodu, par to saņemot attiecīgu informāciju un operatīvo atbalstu , kā arī stratēģiski analizētu informāciju incidenta gadījumā. Lai efektīvi veicinātu informācijas un paraugprakses apmaiņu, ir būtiski nodrošināt, lai tirgus dalībnieki, kuri piedalās šādās apmaiņās, šādas sadarbības rezultātā nenonāktu nelabvēlīgā stāvoklī. Jānodrošina pietiekama aizsardzība, lai šī sadarbība nepakļautu minētos uzņēmumus lielākam atbilstības riskam vai neradītu tiem jaunas saistības attiecībā uz, cita starpā, konkurenci, intelektuālo īpašumu, datu aizsardzību vai kiberdrošības likumu, kā arī lai tiem neradītu palielinātu operatīvo vai drošības risku. [Gr. 17]

(16) Lai nodrošinātu pārredzamību un pienācīgi informētu ES Savienības iedzīvotājus un tirgus dalībniekus, kompetentajām iestādēm vienotajiem kontaktpunktiem būtu jāizveido kopīga tīmekļa vietne visā Savienībā nekonfidenciālas informācijas publicēšanai par incidentiem, un riskiem un risku mazināšanas pasākumiem un vajadzības gadījumā — konsultēšanai par atbilstošiem uzturēšanas pasākumiem . Informācijai tīmekļa vietnē vajadzētu būt pieejamai neatkarīgi no izmantotajām ierīcēm. Jebkādi personas dati šajā tīmekļa vietnē būtu jāpublicē tikai tad, ja tas ir nepieciešams, un pēc iespējas anonīmi . [Gr. 18]

(17) Ja informācija tiek uzskatīta par konfidenciālu saskaņā ar Savienības un valsts noteikumiem par uzņēmējdarbības konfidencialitāti, šādu konfidencialitāti nodrošina, veicot šajā direktīvā noteiktos pasākumus un īstenojot tajā izvirzītos mērķus.

(18) Īpaši balstoties uz valstu krīžu pārvaldības pieredzi un sadarbībā ar ENISA, Komisijai un dalībvalstīm būtu jāizstrādā Savienības TID sadarbības plāns, kurā tiktu noteikti sadarbības mehānismi, paraugprakses piemēri un rīcības modeļi, lai novērstu un konstatētu riskus un incidentus , ziņotu par tiem un apkarotu tos . Minētais plāns būtu pienācīgi jāņem vērā agrīnās brīdināšanas īstenošanā sadarbības tīklā. [Gr. 19]

(19) Agrīnās brīdināšanas izmantošana tīklā būtu nepieciešama tikai tad, ja attiecīgā incidenta vai riska pakāpe un bīstamība ir vai var kļūt tik būtiska, ka ir nepieciešama informācija vai reaģēšanas saskaņošana Savienības līmenī. Agrīnie brīdinājumi tādējādi būtu jāattiecina tikai uz faktiskiem vai iespējamiem incidentiem vai riskiem, kas strauji attīstītās, pārsniedz valstu reaģēšanas spēju vai skar vairāk par vienu dalībvalsti. Lai varētu veikt pienācīgu novērtējumu, visa informācija, kas ir svarīga riska vai incidenta novērtējumam, būtu jāpaziņo sadarbības tīklam. [Gr. 20]

(20) Saņemot agrīno brīdinājumu un tā novērtējumu, kompetentajām iestādēm vienotajiem kontaktpunktiem būtu jāvienojas par saskaņotu reaģēšanu saskaņā ar Savienības TID plānu. Kompetentās iestādes Vienotie kontaktpunkti, ENISA un Komisija būtu jāinformē par valsts līmenī pieņemtiem pasākumiem sakarā ar saskaņotu reaģēšanu. [Gr. 21]

(21) Ņemot vērā TID problēmu globālo raksturu, ir ciešāk jāsadarbojas starptautiskā līmenī, lai uzlabotu drošības standartus un informācijas apmaiņu un veicinātu vienotu vispārēju pieeju TID jautājumiem. Šādas starptautiskas sadarbības regulējums būtu jānosaka saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 95/46/EK (5) un Eiropas Parlamenta un Padomes Regulu (EK) Nr. 45/2001 (6) . [Gr. 22]

(22) TID nodrošināšanas pienākumi lielā mērā ir valsts pārvaldes iestāžu un tirgus dalībnieku uzdevums. Būtu jāattīsta un jāpopularizē riska pārvaldības kultūra, cieša sadarbība un uzticība, kas ietver riska novērtējumu un faktiskajiem riskiem atbilstīgu apzinātiem vai neapzinātiem riskiem un incidentiem atbilstošu drošības pasākumu īstenošanu, un tas būtu jādara, izmantojot atbilstošas regulatīvas prasības un brīvprātīgu nozares praksi. Vienlīdzīgu un uzticamu konkurences apstākļu radīšana arī ir būtiska sadarbības tīklu efektīvai darbībai, lai nodrošinātu visu dalībvalstu efektīvu sadarbību. [Gr. 23]

(23) Direktīvā 2002/21/EK ir prasība, ka uzņēmumiem, kuri nodrošina publiskus elektronisko komunikāciju tīklus vai sniedz publiski pieejamus elektronisko komunikāciju pakalpojumus, jāveic atbilstoši pasākumi, lai garantētu savu integritāti un drošību, un ir paredzētas drošības pārkāpumu un integritātes zuduma paziņošanas prasības. Eiropas Parlamenta un Padomes Direktīvā 2002/58/EK (7) ir prasība publiski pieejamu elektronisko sakaru pakalpojumu sniedzējiem veikt atbilstīgus tehniskus un organizatoriski pasākumus, lai garantētu savu pakalpojumu drošību.

(24) Šie pienākumi būtu jāpaplašina, attiecinot tos ne tikai uz elektronisko komunikāciju nozari, bet arī uz infrastruktūras apsaimniekotājiem, kuri ļoti daudz izmanto informācijas un komunikāciju tehnoloģijas un kuri ir būtiski svarīgu ekonomisko un sociālo funkciju —– piemēram, elektronerģijas un gāzes, transporta, kredītiestāžu, finanšu tirgus infrastruktūru un veselības aprūpes — nodrošināšanā . Šo tīklu un informācijas sistēmu traucējumi ietekmētu iekšējo tirgu. Kaut gan šajā direktīvā izklāstītie pienākumi nebūtu jāpaplašina, tos attiecinot uz galvenajiem informācijas sabiedrības pakalpojumu sniedzējiem, kā noteikts Eiropas Parlamenta un Padomes Direktīvā 98/34/EK (8), jo minētie pakalpojumu sniedzēji nodrošina pamatu pakārtotiem informācijas sabiedrības pakalpojumiem vai tiešsaistes darbībai, piemēram, e-tirdzniecības platformām, interneta maksājumu vārtejām, sociālajiem tīkliem, meklētājprogrammām, mākoņdatošanas pakalpojumiem, kopumā vai lietotņu veikaliem, Šo pakalpojumu, kas padara iespējamu informācijas sabiedrību, traucējumi kavē citu informācijas sabiedrības pakalpojumu sniegšanu, kuru būtiski komponenti ir iepriekš minētie pakalpojumi. Programmatūras izstrādātāji un iekārtu ražotāji nav informācijas sabiedrības pakalpojumu sniedzēji un tādējādi tiek izslēgti. Minētie pienākumi būtu jāattiecina arī uz valsts pārvaldes iestādēm un kritiskās infrastruktūras apsaimniekotājiem, kas ļoti daudz izmanto informācijas un komunikāciju tehnoloģijas un kas ir būtiski svarīgu ekonomisko un sociālo funkciju – piemēram, elektrības un gāzes, transporta, kredītiestāžu, biržas pakalpojumu un veselības aprūpes – nodrošināšanā. Šo tīklu un informācijas sistēmu traucējumi varētu ietekmēt iekšējo tirgu minētie pakalpojumu sniedzēji, pamatojoties uz brīvprātības principu, var informēt kompetento iestādi vai vienoto kontaktpunktu par tīkla drošības incidentiem, kurus tie uzskata par atbilstošiem . Kompetentajai iestādei vai vienotajam kontaktpunktam, ja tas ir iespējams, būtu jāsniedz tirgus dalībniekiem, kuri ziņoja par incidentu, stratēģiski izanalizēta informācija, kas palīdzēs novērst drošības apdraudējumu . [Gr. 24]

(24a) Kaut gan datortehnikas un programmatūras piegādātāji salīdzinājumā ar tirgus dalībniekiem šajā direktīvā nav iekļauti, to produkcija veicina tīklu un informācijas sistēmu drošību. Tādējādi tiem ir būtiska loma, palīdzot tirgus dalībniekiem nodrošināt drošu tīkla un informācijas infrastruktūru. Ņemot vērā to, ka uz datortehniku un programmatūras izstrādājumiem jau tiek attiecināti noteikumi par izstrādājumu uzticamību, dalībvalstīm būtu jānodrošina, ka šie noteikumi tiek īstenoti. [Gr. 25]

(25) Tehniski un organizatoriski pasākumi, kas noteikti valsts pārvaldes iestādēm un tirgus dalībniekiem, nedrīkstētu saturēt prasību, ka konkrēta komercinformācija un komunikāciju tehnoloģijas produkts jākonstruē, jāizstrādā vai jāražo kādā konkrētā veidā. [Gr. 26]

(26) Valsts pārvaldes iestādēm un tirgus dalībniekiem būtu jānodrošina to kontrolēto tīklu un sistēmu drošība. Tie galvenokārt būtu privāti tīkli un sistēmas, kas tiek pārvaldīti vai nu ar iekšējā IT personāla palīdzību vai kuru drošība tiek nodrošināta, izmantojot ārpakalpojumus. Drošības un paziņošanas pienākumiem būtu jāattiecas uz attiecīgiem tirgus dalībniekiem un valsts pārvaldes iestādēm neatkarīgi no tā, vai tie veic savu tīklu un informācijas sistēmu uzturēšanu iekšēji vai izmanto ārpakalpojumus. [Gr. 27]

(27) Lai izvairītos no pārmērīga finansiāla un administratīva sloga radīšanas maziem uzņēmumiem un lietotājiem, prasībām būtu jābūt samērīgām ar risku, ko rada attiecīgā tīklu vai informācijas sistēma, ņemot vērā jaunākos sasniegumus šajā jomā. Minētās prasības nebūtu jāattiecina uz mikrouzņēmumiem.

(28) Kompetentajām iestādēm un vienotajiem kontaktpunktiem būtu jāpievērš pienācīga uzmanība neformālu un uzticamu informācijas apmaiņas kanālu saglabāšanai starp tirgus dalībniekiem un starp publisko un privāto sektoru. Kompetentajām iestādēm un vienotajiem kontaktpunktiem būtu jāinformē apdraudēto IKT produktu un pakalpojumu ražotāji un pakalpojumu sniedzēji par incidentiem, par kuriem tiem ir ziņots un kuriem ir būtiska ietekme. Kad incidenti, par kuriem ziņots kompetentajām iestādēm un vienotajiem kontaktpunktiem , tiek publiskoti, būtu jāatrod atbilstošs līdzsvars starp sabiedrības interesēm būt informētai par draudiem un iespējamiem reputācijas un komerciāliem zaudējumiem valsts pārvaldes iestādēm un tirgus dalībniekiem, kuri ziņo par incidentiem. Īstenojot ziņošanas pienākumus, kompetentajām iestādēm un vienotajiem kontaktpunktiem būtu jāpievērš īpaša uzmanība nepieciešamībai saglabāt stingru konfidencialitāti attiecībā uz informāciju par produktu vājajām vietām, pirms tiek publiskota informācija par atbilstošiem izmantoti atbilstošie drošības uzlabojumiem uzlabojumi . Vienotie kontaktpunkti parasti neatklāj incidentos iesaistīto personu datus. Vienotajiem kontaktpunktiem personas dati būtu jāatklāj tikai tādā gadījumā, ja šāda datu atklāšana ir būtiska un samērojama ar izvirzīto mērķi. [Gr. 28]

(29) Kompetento iestāžu rīcībā vajadzētu būt nepieciešamajiem līdzekļiem to pienākumu veikšanai, tostarp pilnvarām saņemt pietiekamu informāciju no tirgus dalībniekiem un valsts pārvaldes iestādēm, lai novērtētu tīklu un informācijas sistēmu drošības līmeni, incidentu skaitu, mērogu un apjomu, kā arī uzticamiem un visaptverošiem datiem par faktiskiem incidentiem, kas ir ietekmējuši tīklu un informācijas sistēmu darbību. [Gr. 29]

(30) Daudzos gadījumos incidenta pamatā ir noziedzīgas darbības. Par incidenta kriminālo raksturu var rasties aizdomas, pat ja sākumā tā pierādījumi nav pietiekami skaidri. Šajā situācijā atbilstošai sadarbībai starp kompetentajām iestādēm , vienotajiem kontaktpunktiem un tiesībaizsardzības iestādēm , kā arī ar EC3 (Eiropas Kibernoziedzības apkarošanas centrs) un ENISA būtu jāveido daļa no efektīvas un visaptverošas reaģēšanas uz drošības incidentu draudiem. Konkrēti, drošas un noturīgākas drošības vides veicināšanai nepieciešama sistemātiska ziņošana tiesībaizsardzības iestādēm par tādiem incidentiem, par kuru nopietno kriminālo raksturu ir radušās aizdomas. Incidentu nopietnais kriminālais raksturs būtu jāizvērtē, ņemot vērā Savienības tiesību aktus par kibernoziegumiem. [Gr. 30]

(31) Incidentu dēļ daudzos gadījumos ir apdraudēti personas dati. Dalībvalstīm un tirgus dalībniekiem personas dati, kas tiek glabāti, apstrādāti vai sūtīti, būtu jāaizsargā pret nejaušu vai nelikumīgu iznīcināšanu, nejaušu pazaudēšanu vai izmaiņām, kā arī pret neatļautu vai nelikumīgu glabāšanu, piekļuvi, izpaušanu vai izplatīšanu, un jānodrošina, ka tiek īstenota drošības politika saistībā ar personas datu apstrādi. Šajā sakarā sakarībā kompetentajām iestādēm , vienotajiem kontaktpunktiem un datu aizsardzības iestādēm vajadzības gadījumā būtu jāsadarbojas un jāapmainās ar informāciju visos attiecīgos jautājumos ar tirgus dalībniekiem , lai saskaņā ar piemērojamajiem datu aizsardzības noteikumiem novērstu personas datu aizsardzības pārkāpumus, kas rodas incidentu dēļ. Dalībvalstis ievieš pienākumu Pienākums ziņot par drošības incidentiem būtu jāpilda veidā, kas samazina administratīvo slogu, ja drošības incidents ir arī personas datu aizsardzības pārkāpums , par kuru saskaņā ar Eiropas Parlamenta un Padomes Regulu par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (9) . Sazinoties ar kompetentajām iestādēm un datu aizsardzības iestādēm, Savienības tiesību aktiem datu aizsardzības jomā ir jāziņo . ENISA varētu palīdzēt būtu jāpalīdz , izstrādājot informācijas apmaiņas mehānismus un standartformas, izvairoties no nepieciešamības ieviest divas paziņojuma standartformas. Vienota vienotu paziņojuma standartforma standartformu, kas atvieglotu ziņošanu par incidentiem, kuri rada draudus personas datu aizsardzībai, un tādējādi mazinātu administratīvo slogu uzņēmumiem un valsts pārvaldes iestādēm. [Gr. 31]

(32) Drošības prasību standartizācija ir tirgus brīvprātīgs process , ar kura palīdzību tirgus dalībniekiem būtu jāsniedz iespēja izmantot alternatīvus līdzekļus vismaz līdzīgu rezultātu panākšanai . Lai nodrošinātu drošības standartu vienveidīgu piemērošanu, dalībvalstīm būtu jāveicina atbilstība konkrētiem sadarbspējīgiem standartiem, lai nodrošinātu augstu drošības līmeni Savienības mērogā. Šim nolūkam jāapsver atklātu starptautisko standartu piemērošana tīkla informācijas drošībai vai šādu instrumentu izstrāde . Tāpat varētu būt nepieciešams izstrādāt arī saskaņotus standartus, kas būtu jādara saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 1025/2012 (10). Jo īpaši būtu jāpilnvaro tādus ETSI, CEN un CENELEC ierosināt lietderīgus un efektīvus Savienības atklātos drošības standartus, pēc iespējas izvairoties no priekšrocību piešķiršanas kādām noteiktām tehnoloģijām, kas būtu viegli izpildāmi maziem un vidējiem tirgus dalībniekiem. Starptautiskie standarti, kas attiecas uz kiberdrošību, būtu rūpīgi jāpārbauda, lai garantētu, ka tie nav apdraudēti un sniedz pietiekamu drošības līmeni, tādējādi nodrošinot, ka paredzētā atbilstība kiberdrošības standartiem veicina vispārējo kiberdrošības līmeni Savienībā, nevis otrādi. [Gr. 32]

(33) Komisijai , apspriežoties ar visām ieinteresētajām personām, būtu periodiski jāpārskata šī direktīva, jo īpaši, lai noteiktu izmaiņu veikšanas nepieciešamību, ņemot vērā mainīgos sociālos, politiskos, tehnoloģiskos vai tirgus apstākļus. [Gr. 33]

(34) Lai nodrošinātu sadarbības tīkla pienācīgu darbību, būtu jādeleģē Komisijai pilnvaras pieņemt tiesību aktus saskaņā ar LESD 290. pantu attiecībā uz tādu kritēriju noteikšanu, kas jāievēro dalībvalstīm, lai tām varētu atļaut piedalīties drošā informācijas apmaiņas sistēmā, attiecībā uz vienotu sadarbības un drošības standartu kopu drošai informācijas apmaiņas infrastruktūrai un tādu notikumu papildu precizēšanu, kuru gadījumā nepieciešama agrīnā brīdināšana, un attiecībā uz tādu apstākļu definēšanu, kādos tirgus dalībniekiem un valsts pārvaldes iestādēm ir pienākums ziņot par incidentiem. [Gr. 34]

(35) Ir īpaši svarīgi, lai Komisija, veicot sagatavošanas darbus, atbilstīgi apspriestos, tostarp ekspertu līmenī. Komisijai, sagatavojot un izstrādājot deleģētos aktus, būtu jānodrošina vienlaicīga, savlaicīga un atbilstīga attiecīgo dokumentu nosūtīšana Eiropas Parlamentam un Padomei.

(36) Lai nodrošinātu vienotus nosacījumus šīs direktīvas īstenošanai, būtu jāpiešķir Komisijai īstenošanas pilnvaras attiecībā uz sadarbību starp kompetentajām iestādēm vienotajiem kontaktpunktiem un Komisiju sadarbības tīklā, piekļuvi drošai informācijas apmaiņas infrastruktūrai, neskarot jau pastāvošos sadarbības mehānismus valstu līmenī , kā arī attiecībā uz Savienības TID sadarbības plānu, formātiem un procedūrām, kas piemērojamas sabiedrības informēšanai par būtiski ietekmējošiem incidentiem, kā arī attiecībā uz standartiem un/vai tehniskajām specifikācijām, kas attiecas uz TID. Šīs pilnvaras būtu jāīsteno saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) Nr. 182/2011 (11). [Gr. 35]

(37) Piemērojot šo direktīvu, Komisijai būtu vajadzības gadījumā jāsazinās ar attiecīgām nozaru komitejām un attiecīgām struktūrām, kas izveidotas ES Savienības līmenī jo īpaši e-pārvaldes, enerģētikas, transporta, un veselības aprūpes un aizsardzības jomā. [Gr. 36]

(38) Informācija, ko kompetentā iestāde vai vienotais kontaktpunkts uzskata par konfidenciālu saskaņā ar Savienības un valsts noteikumiem par uzņēmējdarbības konfidencialitāti, būtu jāsniedz Komisijai , tās attiecīgajām aģentūrām, vienotajiem kontaktpunktiem un /vai citām kompetentām valsts iestādēm tikai tad, ja šāda informācijas apmaiņa ir obligāti nepieciešama šīs direktīvas piemērošanai. Sniegtā informācija būtu jāierobežo atbilstīgi un samērīgi , ja tas nepieciešams šādas informācijas apmaiņas nolūkam , un būtu jāievēro iepriekš noteikti konfidencialitātes un drošības kritēriji saskaņā ar Lēmumu 2011/292/ES, kā arī informāciju, uz kuru attiecas vienošanās par informācijas neizpaušanu un tādas neformālas vienošanās par informācijas neizpaušanu kā, piemēram, Gaismas signālu protokols. [Gr. 37]

(39) Lai nodrošinātu informācijas apmaiņu par riskiem un incidentiem sadarbības tīklā un atbilstību prasībām paziņot par incidentiem valsts kompetentajām iestādēm vai vienotajiem kontaktpunktiem , var būt nepieciešama personas datu apstrāde. Šāda personas datu apstrāde ir nepieciešama, lai sasniegtu šajā direktīvā izvirzītos sabiedrībai svarīgos mērķus, un tādējādi tā ir likumīga saskaņā ar Direktīvas 95/46/EK 7. pantu. Attiecībā uz šiem likumīgajiem mērķiem tas nerada nesamērīgu un nepieļaujamu iejaukšanos, kas apdraud Eiropas Savienības Pamattiesību hartas 8. pantā garantēto personas datu aizsardzības tiesību būtību. Piemērojot šo direktīvu, pēc vajadzības būtu jāpiemēro Eiropas Parlamenta un Padomes Regula (EK) Nr. 1049/2001 (12). Ja datus apstrādā Savienības iestādes un struktūras, šādai apstrādei šīs direktīvas ieviešanas nolūkā vajadzētu būt saskaņā ar Regulu (EK) Nr. 45/2001. [Gr. 38]

(40) Tā kā šīs direktīvas mērķus, proti, nodrošināt augsta līmeņa TID Savienībā, nevar pietiekami labi sasniegt atsevišķās dalībvalstīs un to rīcības ietekmes dēļ var labāk sasniegt Savienības līmenī, Savienība var pieņemt pasākumus saskaņā ar Līguma par Eiropas Savienību 5. pantā noteikto subsidiaritātes principu. Saskaņā ar minētajā pantā noteikto proporcionalitātes principu šajā direktīva paredzēti vienīgi tie pasākumi, kas ir vajadzīgi minēto mērķu sasniegšanai.

(41) Šajā direktīvā ir respektētas pamattiesības un ievēroti principi, kas atzīti Eiropas Savienības Pamattiesību hartā, galvenokārt tiesības uz privātās dzīves un saziņas neaizskaramību, tiesības uz personas datu aizsardzību, darījumdarbības brīvība, tiesības uz īpašumu, tiesības uz efektīvu tiesību aizsardzību un tiesības tikt uzklausītam. Šī direktīva jāīsteno, ievērojot minētās tiesības un principus.

(41a) Saskaņā ar dalībvalstu un Komisijas 2011. gada 28. septembra kopīgo politisko deklarāciju par skaidrojošajiem dokumentiem dalībvalstis ir apņēmušās pamatotos gadījumos iesniegt paziņojumu par transponēšanas pasākumiem kopā ar vienu vai vairākiem dokumentiem, kas skaidro savstarpējo saikni starp direktīvas elementiem un valstu pieņemto transponēšanas instrumentu atbilstošajām daļām. Likumdevējs uzskata, ka attiecībā uz šo direktīvu šādu dokumentu nosūtīšana ir pamatota. [Gr. 39]

(41b) Saskaņā ar Regulas (EK) Nr. 45/2001 28. panta 2. punktu ir notikusi apspriešanās ar Eiropas Datu aizsardzības uzraudzītāju, kas 2013. gada 14. jūnija sniedza atzinumu (13),

IR PIEŅĒMUŠI ŠO DIREKTĪVU.

I NODAĻA

VISPĀRĪGI NOTEIKUMI

1. pants

Priekšmets un darbības joma

1. Šajā direktīvā ir paredzēti pasākumi, lai nodrošinātu vienādi augsta līmeņa tīklu un informācijas drošību (“TID”) Savienībā.

2. Minētajam nolūkam ar šo direktīvu:

a) nosaka pienākumus visām dalībvalstīm attiecībā uz risku un incidentu, kas ietekmē tīklu un informācijas sistēmas, novēršanu, risināšanu un reaģēšanu uz tiem;

b) izveido sadarbības mehānismu starp dalībvalstīm, lai nodrošinātu vienotu šīs direktīvas piemērošanu Savienībā un vajadzības gadījumā saskaņotu , lietderīgu un efektīvu risku un incidentu, kas ietekmē tīklu un informācijas sistēmas, risināšanu un reaģēšanu uz tiem , piedaloties attiecīgajām ieinteresētajām personām ; [Gr. 40]

c) nosaka drošības prasības tirgus dalībniekiem un valsts pārvaldes iestādēm. [Gr. 41]

3. Drošības prasības, kas paredzētas šīs direktīvas 14. pantā, neattiecas nedz uz uzņēmumiem, kuri nodrošina publisko komunikāciju tīklus vai sniedz publiski pieejamus elektronisko komunikāciju pakalpojumus Direktīvas 2002/21/EK nozīmē un kuriem jāievēro īpašās drošības un integritātes prasības, kas noteiktas minētās direktīvas 13.a un 13.b pantā, nedz uz uzticamības pakalpojumu sniedzējiem.

4. Šī direktīva neskar Savienības tiesību aktus par kibernoziegumiem un Padomes Direktīvu 2008/114/EK (14).

5. Šī direktīva neskar arī Direktīvu 95/46/EK, Direktīvu 2002/58/EK un Regulu (EK) Nr. 45/2001 . Personas datu izmantošana šīs direktīvas mērķiem ir stingri jāierobežo līdz minimumam un šiem datiem ir jābūt pēc iespējas, ja ne pilnīgi, anonīmiem. [Gr. 42]

6. Informācijas apmaiņai sadarbības tīklā saskaņā ar III nodaļu un paziņošanai par TID incidentiem saskaņā ar 14. pantu var būt nepieciešama personas datu apstrāde. Dalībvalsts atļauj šādu apstrādi, kas ir nepieciešama šajā direktīvā izvirzīto sabiedrībai svarīgo mērķu sasniegšanai, saskaņā ar Direktīvas 95/46/EK 7. pantu un Direktīvu 2002/58/EK, kā noteikts valsts tiesību aktos.

1.a pants

Personas datu aizsardzība un apstrāde

1. Saskaņā ar šo direktīvu jebkāda personas datu apstrāde dalībvalstīs tiek veikta atbilstīgi Direktīvas 95/46/EK un Direktīvas 2002/58/EK noteikumiem.

2. Saskaņā ar šo regulu jebkādu personas datu apstrādi Komisija un ENISA veic atbilstīgi Regulas (EK) Nr. 45/2001 noteikumiem.

3. Saskaņā ar šo direktīvu jebkādu personas datu apstrādi Eiropas Kibernoziedzības centrs Eiropolā veic atbilstīgi Padomes Lēmuma 2009/371/TI (15) noteikumiem.

4. Personas datu apstrādi veic taisnīgi un likumīgi un izmanto tikai stingri ierobežotu tādu datu minimumu, kas nepieciešami to apstrādes nolūkiem. Šos datus glabā formātā, kas ļauj identificēt datu subjektus ne ilgāk, kā nepieciešams personas datu apstrādes nolūkiem.

5. Šīs direktīvas 14. pantā minētā incidentu paziņošana neskar noteikumus un saistības attiecībā uz Direktīvas 2002/58/EK 4. pantā un Komisijas Regulā (ES) Nr. 611/2013 (16) paredzētajiem paziņojumiem par personas datu aizsardzības pārkāpumu. [Gr. 43]

2. pants

Obligātā saskaņošana

Dalībvalstis netiek kavētas pieņemt vai saglabāt spēkā noteikumus, kas nodrošina augstāku drošības līmeni, neskarot dalībvalstu saistības saskaņā ar Savienības tiesību aktiem.

3. pants

Definīcijas

Šajā direktīvā piemēro šādas definīcijas:

(1) “tīklu un informācijas sistēma” ir: a) elektronisko komunikāciju tīkls Direktīvas 2002/21/EK nozīmē un b) jebkura ierīce vai savstarpēji savienotu vai saistītu ierīču kopums, no kurām viena vai vairākas ierīces saskaņā ar programmu veic automātisku datorizētu digitālu datu apstrādi, kā arī [Gr. 44] c) datorizēti digitāli dati, ko a) un b) apakšpunktā minētie elementi glabā, apstrādā, iegūst vai sūta to darbībai, izmantošanai, aizsardzībai un uzturēšanai; [Gr. 45]

(2) “drošība” ir tīklu un informācijas sistēmu spēja noteiktā uzticamības līmenī pretoties nejaušiem gadījumiem vai nelikumīgām un ļaunprātīgām darbībām, kas apdraud glabājamo vai pārraidāmo datu un šo tīklu un informācijas sistēmu piedāvāto vai ar to starpniecību pieejamo saistīto pakalpojumu pieejamību, autentiskumu, integritāti un konfidencialitāti; “drošības” jēdzienā ir ietvertas atbilstošās tehniskās ierīces, risinājumi un darba procedūras, kas nodrošina šajā direktīvā norādīto drošības prasību ievērošanu; [Gr. 46]

(3) “risks” ir jebkāds objektīvi identificējams apstāklis vai notikums, kas var nelabvēlīgi ietekmēt drošību; [Gr. 47]

(4) “incidents” ir jebkāds apstāklis vai notikums, kas faktiski negatīvi ietekmē drošību; [Gr. 48]

(5) “informācijas sabiedrības pakalpojums” ir pakalpojums Direktīvas 98/34/EK 1. panta 2. punkta nozīmē; [Gr. 49]

(6) “TID sadarbības plāns” ir plāns, kurā noteikta organizatorisko funkciju, pienākumu un procedūru sistēma, lai saglabātu vai atjaunotu tīklu un informācijas sistēmu darbību, ja pastāv risks vai notiek incidents, kurš tos ietekmē;

(7) “incidenta risināšana” ir visas procedūras, kas ļauj veikt incidenta atklāšanu, novēršanu, analīzi par incidentu, to ierobežot un reaģēt uz to; [Gr. 50]

(8) “tirgus dalībnieks” ir: a) tādu informācijas sabiedrības pakalpojumu sniedzējs, kuri ļauj sniegt citus informācijas sabiedrības pakalpojumus un kuru nepilnīgs saraksts ir iekļauts II pielikumā; [Gr. 51] b) tādas infrastruktūras apsaimniekotājs, kura ir būtiska svarīgu ekonomisko un sabiedrisko darbību nodrošināšanai tādās jomās kā enerģētika, transports, banku nozare, finanšu tirgu infrastruktūras, interneta plūsmu apmaiņas punkti, pārtikas piegādes ķēde un veselības aprūpe un kuras traucējumiem vai izjaukšanai būtu būtiski ietekmējošas sekas dalībvalstīs, jo līdz ar to nebūtu iespējams pildīt tās funkcijas , kuru nepilnīgs saraksts ir iekļauts II pielikumā , ciktāl attiecīgās tīkla un informācijas sistēmas ir saistītas ar to pamatpakalpojumiem; [Gr. 52]

(8a) “būtiski ietekmējošs incidents” ir incidents, kas ietekmē informācijas tīkla vai sistēmas drošību un nepārtrauktību, kā rezultātā ievērojami tiek traucētas būtiskas ekonomiskās vai sociālās funkcijas; [Gr. 53]

(9) “standarts” ir standarts, kas minēts Regulā (ES) Nr. 1025/2012;

(10) “specifikācija” ir specifikācija, kas minēta Regulā (ES) Nr. 1025/2012;

(11) “uzticamības pakalpojumu sniedzējs” ir fiziska vai juridiska persona, kura sniedz jebkādu elektronisku pakalpojumu, kas ietver elektronisko parakstu, elektronisko zīmogu, elektronisko laika zīmogu, elektronisko dokumentu, elektronisko piegādes pakalpojumu, tīmekļa vietņu autentifikācijas un elektronisko sertifikātu (tostarp elektroniskā paraksta un elektroniskā zīmoga sertifikātu) radīšanu, pārbaudi, validāciju, apstrādi un saglabāšanu;

(11a) “regulēts tirgus” ir regulēts tirgus, kā noteikts Eiropas Parlamenta un Padomes Direktīvas 2004/39/EK 4. panta 14. punktā (17) ; [Gr. 54]

(11b) “daudzpusēja tirdzniecības sistēma” ir daudzpusēja tirdzniecības sistēma, kā tas noteikts Direktīvas 2004/39/EK 4. panta 15. punktā; [Gr. 55]

(11c) “regulēta tirdzniecības sistēma” ir daudzpusēja sistēma vai sistēma, kura nav regulēts tirgus, daudzpusēja tirdzniecības sistēma vai centrālais darījumu partneris, ko vada ieguldījumu sabiedrība vai tirgus dalībnieks, un kurā var mijiedarboties vairākkārtējas trešo pušu pirkšanas un pārdošanas intereses attiecībā uz obligācijām, strukturētiem finanšu produktiem, emisijas kvotām vai atvasinātiem finanšu instrumentiem, kā rezultātā tiek noslēgts līgums saskaņā ar Direktīvas 2004/39/EK II sadaļu; [Gr. 56]

II NODAĻA

VALSTU TĪKLU UN INFORMĀCIJAS DROŠĪBAS SISTĒMAS

4. pants

Princips

Dalībvalstis savā teritorijā saskaņā ar šo direktīvu nodrošina augstu tīklu un informācijas sistēmu drošības līmeni.

5. pants

Valsts TID stratēģija un valsts TID sadarbības plāns

1. Katra dalībvalsts pieņem valsts TID stratēģiju, kurā definēti stratēģiskie mērķi un konkrēti politikas un reglamentējoši pasākumi, lai panāktu un saglabātu augsta līmeņa tīklu un informācijas drošību. Valsts TID stratēģijā ietver jo īpaši šādus jautājumus:

a) definēti stratēģijas mērķi un prioritātes, pamatojoties uz jaunāko risku un incidentu analīzi;

b) pārvaldības sistēma, ar kuru varētu sasniegt stratēģijas mērķus un prioritātes, tostarp skaidri noteiktas vadības iestāžu un citu attiecīgo dalībnieku funkcijas un pienākumi;

c) noteikti vispārējie pasākumi attiecībā uz sagatavotību, reaģēšanu un atkopi, tostarp sadarbības mehānismi starp publisko un privāto sektoru;

d) norāde par izglītības, izpratnes veidošanas un apmācības programmām;

e) pētniecības un izstrādes plāni un apraksts, kā šie plāni atspoguļo noteiktās prioritātes;

ea) izstrādājot valsts TID stratēģijas un valsts TID sadarbības plānus, kas balstīti uz kopīgu obligāto TID stratēģiju, dalībvalstis var lūgt ENISA palīdzību. [Gr. 57]

2. Valsts TID stratēģijā ietilpst valsts TID sadarbības plāns, kurā ievērotas vismaz šādas prasības:

a) riska novērtēšanas plāns, kas ļautu apzināt riskus un novērtēt pārvaldības regulējums, lai noteiktu metodiku risku apzināšanai, prioritātes noteikšanai, novērtēšanai un novēršanai un iespējamo incidentu ietekmi ietekmes, novēršanas un kontroles iespēju novērtēšanai, kā arī lai noteiktu iespējamo pretpasākumu izvēles kritērijus ; [Gr. 58]

b) noteiktas dažādu plāna sistēmas īstenošanā iesaistīto iestāžu un pārējo dalībnieku funkcijas un pienākumi; [Gr. 59]

c) tādu sadarbības un komunikācijas procesu definīcija, kuri nodrošina novēršanu, atklāšanu, reaģēšanu, labošanu un atkopi, un kuri ir modulēti atbilstīgi brdinājumu līmenim;

d) ceļvedis par TID mācībām un apmācībām plāna nostiprināšanai, apstiprināšanai un testēšanai. Gūtās atziņas tiks dokumentētas un iekļautas plāna papildinājumos.

3. Valsts TID stratēģiju un valsts TID sadarbības plānu nosūta Komisijai viena mēneša trīs mēnešu laikā pēc to pieņemšanas. [Gr. 60]

6. pants

Par tīklu un informācijas sistēmu drošību atbildīgā atbildīgās valsts kompetentā iestāde kompetentās iestādes un vienotie kontaktpunkti [Gr. 61]

1. Katra dalībvalsts ieceļ vienu vai vairākas valsts kompetento iestādi, kura kompetentās civiliestādes, kuras atbild par tīklu un informācijas sistēmu drošību (“kompetentā iestāde” /“kompetentās iestādes” ). [Gr. 62]

2. Kompetentās iestādes uzrauga šīs direktīvas piemērošanu valsts līmenī un palīdz nodrošināt tās konsekventu piemērošanu visā Savienībā.

2.a Ja dalībvalsts izraugās vismaz divas kompetentās iestādes, tā izraugās konkrētu valsts civiliestādi, piemēram, kompetento iestādi, kā valsts vienoto kontaktpunktu, kas atbild par tīklu un informācijas sistēmu drošību (“vienotais kontaktpunkts”). Ja dalībvalsts izraugās tikai vienu kompetento iestādi, šī kompetentā iestāde veic arī vienotā kontaktpunkta funkcijas. [Gr. 63]

2.b Dalībvalsts ieceltās kompetentās iestādes un vienotais kontaktpunkts cieši sadarbojas attiecībā uz šajā direktīvā noteikto pienākumu izpildi. [Gr. 64]

2.c Vienotais kontaktpunkts nodrošina pārrobežu sadarbību ar citiem vienotajiem kontaktpunktiem. [Gr. 65]

3. Dalībvalstis nodrošina, ka kompetentajām iestādēm un vienotajiem kontaktpunktiem ir pietiekami tehniskie, finanšu un cilvēkresursi, lai nodrošinātu, ka tās efektīvi un produktīvi var veikt tām uzticētos uzdevumus un tādējādi sasniegt šīs direktīvas mērķus. Dalībvalstis nodrošina efektīvu, produktīvu un drošu kompetento iestāžu vienoto kontaktpunktu sadarbību, izmantojot tīklu, kas minēts 8. pantā. [Gr. 66]

4. Dalībvalstis nodrošina, ka kompetentās iestādes un attiecīgā gadījumā saskaņā ar šā panta 2.a punktu vienotie kontaktpunkti saņem paziņojumus par incidentiem no valsts pārvaldes iestādēm un tirgus dalībniekiem, kā norādīts 14. panta 2. punktā, un tām tiem tiek piešķirtas īstenošanas un izpildes pilnvaras, kā norādīts 15. pantā. [Gr. 67]

4.a Ja Savienības tiesību aktos ir paredzēta nozarei noteikta Savienības uzraudzības vai regulējošā iestāde, kas cita starpā atbild par tīklu un informācijas sistēmu drošību, šī iestāde saskaņā ar 14. panta 2. punktu saņem paziņojumus par incidentiem no nozares attiecīgajiem tirgus dalībniekiem un tai tiek piešķirtas 15. pantā minētās īstenošanas un izpildes pilnvaras. Pildot šos pienākumus, šī Savienības iestāde cieši sadarbojas ar uzņēmējas dalībvalsts kompetentajām iestādēm un vienoto kontaktpunktu. Attiecībā uz III nodaļā noteiktajiem pienākumiem uzņēmējas dalībvalsts vienotais kontaktpunkts pārstāv Savienības iestādi. [Gr. 68]

5. Kompetentās iestādes un vienotie kontaktpunkti vajadzības gadījumā apspriežas un sadarbojas ar attiecīgajām tiesībaizsardzības valsts iestādēm un datu aizsardzības iestādēm. [Gr. 69]

6. Katra dalībvalsts nekavējoties paziņo Komisijai ieceltās kompetentās iestādes nosaukumu iecelto kompetento iestāžu un vienotā kontaktpunkta nosaukumus , tās to uzdevumus un visas turpmākās izmaiņas šajā informācijā. Katra dalībvalsts publisko savas ieceltās kompetentās iestādes nosaukumu savu iecelto kompetento iestāžu nosaukumus . [Gr. 70]

7. pants

Datorapdraudējumu reaģēšanas vienība

1. Katra dalībvalsts izveido vismaz vienu datorapdraudējumu reaģēšanas vienību (turpmāk “CERT”) katrai II pielikumā minētajai nozarei , kas ir atbildīga par incidentu un risku risināšanu saskaņā ar labi definētu procesu, kurš atbilst I pielikuma 1. punktā noteiktajām prasībām. CERT var izveidot kompetentajā iestādē. [Gr. 71]

2. Dalībvalstis nodrošina, ka CERT ir atbilstoši tehniskie, finanšu un cilvēkresursi, lai tās varētu efektīvi veikt savus pienākumus, kas izklāstīti I pielikuma 2. punktā.

3. Dalībvalstis nodrošina, ka CERT izmanto drošu un noturīgu komunikācijas un informācijas infrastruktūru valsts līmenī, kas ir saderīga un sadarbspējīga ar drošu informācijas apmaiņas sistēmu, kas minēta 9. pantā.

4. Dalībvalstis informē Komisiju par CERT resursiem un pilnvarām, kā arī par incidentu risināšanas procesu.

5. CERT darbojas kompetentās iestādes vienotā kontaktpunkta uzraudzībā, kura kurš regulāri pārskata tās to resursu atbilstību, pilnvaras un efektivitāti incidentu risināšanas procesā. [Gr. 72]

5.a Dalībvalstis nodrošina, ka CERT ir pietiekami finanšu un cilvēkresursi, lai aktīvi piedalītos starptautiskos un jo īpaši Savienības sadarbības tīklos. [Gr. 73]

5.b CERT jādod iespēja un jāiedrošina sākt kopīgas mācības ar citām CERT, ar visu dalībvalstu CERT, kā arī ar tādu trešo valstu un daudznacionālu un starptautisko institūciju CERT kā, piemēram, Ziemeļatlantijas līguma organizāciju un Apvienoto nāciju organizāciju, kā arī jādod iespēja un jāiedrošina piedalīties šādās mācībās. [Gr. 74]

5.c Dalībvalstis drīkst lūgt palīdzību no ENISA vai no citām dalībvalstīm savu valsts CERT izveides procesā. [Gr. 75]

III NODAĻA

KOMPETENTO IESTĀŽU SADARBĪBA

8. pants

Sadarbības tīkls

1. Kompetentās iestādes un Vienotie kontaktpunkti, Komisija un ENISA veido tīklu (turpmāk “sadarbības tīkls”), kas sadarbojas tādu risku un incidentu novēršanā, kuri ietekmē tīklu un informācijas sistēmas. [Gr. 76]

2. Sadarbības tīkls nodrošina pastāvīgu saziņu starp Komisiju un kompetentajām iestādēm vienotajiem kontaktpunktiem . Eiropas Tīklu un informācijas drošības aģentūra ( ENISA) pēc pieprasījuma palīdz sadarbības tīklam, sniedzot savas zināšanas un konsultācijas. Attiecīgā gadījumā arī tirgus dalībniekus un kiberdrošības risinājumu sniedzējus var uzaicināt piedalīties 3. punkta g) un i) apakšpunktā minētajās sadarbības tīkla darbībās.

Attiecīgos gadījumos sadarbības tīkls sadarbojas ar datu aizsardzības iestādēm.

Komisija regulāri informē drošības pētniecības un citu “Apvārsnis 2020” programmu sadarbības tīklu. [Gr. 77]

3. Sadarbības tīklā kompetentās iestādes vienotie kontaktpunkti :

a) izplata agrīnus brīdinājumus par riskiem un incidentiem saskaņā ar 10. pantu;

b) nodrošina saskaņotu reaģēšanu saskaņā ar 11. pantu;

c) regulāri kopīgā tīmekļa vietnē publicē nekonfidenciālu informāciju par aktuālajiem agrīnajiem brīdinājumiem un saskaņotu reaģēšanu;

d) ja to pieprasa kāda dalībvalsts vai Komisija, kopīgi apspriež un novērtē vienu vai vairākas valsts TID stratēģijas un valsts TID sadarbības plānus, kas minēti 5. pantā, šīs direktīvas darbības jomā.

e) ja to pieprasa kāda dalībvalsts vai Komisija, kopīgi apspriež un novērtē CERT efektivitāti, jo īpaši tad, ja tiek veiktas TID mācības Savienības mērogā;

f) sadarbojas un apmainās ar informāciju zināšanām ar Eiropas Kibernoziedzības centru Eiropolā un ar citām attiecīgajām Eiropas iestādēm par visiem attiecīgiem jautājumiem ar Eiropas kibernoziedzības centru Eiropolā un ar citām attiecīgajām Eiropas iestādēm attiecībā uz tīklu un informācijas drošību , jo īpaši tādās jomās kā datu aizsardzība, enerģētika, transports, banku nozare, biržas finanšu tirgi un veselības aprūpe;

fa) vajadzības gadījumā informē ES terorisma apkarošanas koordinatoru, iesniedzot viņam ziņojumu, un var prasīt sadarbības tīkla palīdzību analīzes, sagatavošanas darbu un pasākumu jautājumos;

g) savā starpā un ar Komisiju apmainās ar informāciju un paraugpraksi un palīdz viena otrai spēju veidošanā saistībā ar TID;

h) organizē regulāras salīdzinošās izvērtēšanas par spējām un sagatavotību;

i) organizē TID mācības Savienības līmenī un, ja nepieciešams, piedalās starptautiskās TID mācībās;

ia) iesaista, konsultējas un vajadzības gadījumā apmainās ar informāciju ar tirgus dalībniekiem attiecībā uz riskiem un incidentiem, kas apdraud to tīklu un informācijas sistēmas;

ib) sadarbībā ar ENISA izstrādā pamatnostādnes nozarei noteiktiem nopietnu incidentu paziņošanas kritērijiem, papildinot 14. panta 2. punktā minētos rādītājus, attiecībā uz kopīgu interpretāciju, konsekventu piemērošanu un saskaņotu īstenošanu Savienības mērogā. [Gr. 78]

3.a Sadarbības tīkls, pamatojoties uz savām darbībām un kopsavilkuma ziņojumu, kurš iesniegts saskaņā ar šīs direktīvas 14. panta 4. punktu, reizi gadā publicē ziņojumu par laikposmu, kas aptver iepriekšējos 12 mēnešus. [Gr. 79]

4. Pieņemot īstenošanas aktus, Komisija nosaka vajadzīgo kārtību, lai atvieglotu sadarbību starp kompetentajām iestādēm un vienotajiem kontaktpunktiem, Komisiju un ENISA , kas minēta 2. un 3. punktā. Minētos īstenošanas aktus pieņem saskaņā ar 19. panta 2. punktā minēto konsultēšanās pārbaudes procedūru. [Gr. 80]

9. pants

Droša informācijas apmaiņas sistēma

1. Apmaiņa ar sensitīvu un konfidenciālu informāciju sadarbības tīklā notiek, izmantojot drošu infrastruktūru.

1.a Dalībnieki infrastruktūras drošības garantēšanai visos apstrādes posmos cita starpā ievēro atbilstīgus konfidencialitātes un drošības pasākumus saskaņā ar Direktīvu 95/46/EK un Regulu (EK) Nr. 45/2001/EK. [Gr. 81]

2. Komisija ir pilnvarota pieņemt deleģētos aktus saskaņā ar 18. pantu attiecībā uz tādu kritēriju noteikšanu, kuri jāizpilda, lai dalībvalstij tiktu atļauts piedalīties drošā informācijas apmaiņas sistēmā par šādiem jautājumiem:

a) drošas un noturīgas komunikācijas un informācijas infrastruktūras, kura ir saderīga un sadarbspējīga ar sadarbības tīkla drošo infrastruktūru saskaņā ar 7. panta 3. punktu, pieejamība valsts līmenī un

b) atbilstīgu tehnisko, finanšu un cilvēkresursu un procesu pastāvēšana, lai tās kompetentā iestāde un CERT varētu efektīvi, produktīvi un droši piedalīties drošā informācijas apmaiņas sistēmā saskaņā ar 6. panta 3. punktu, 7. panta 2. punktu un 7. panta 3. punktu. [Gr. 82]

3. Komisija, izmantojot īstenošanas deleģētos aktus, saskaņā ar 18. pantu pieņem lēmumus par dalībvalstu pieeju šai drošajai infrastruktūrai saskaņā ar kritērijiem, kas minēti 2. un 3. punktā. Šos īstenošanas aktus pieņem saskaņā ar 19. panta 3. punktā minēto pārbaudes procedūru vienotu sadarbības un drošības standartu sistēmu, kas jāievēro vienotajiem kontaktpunktiem pirms apmaiņas ar sensitīvu un konfidenciālu informāciju sadarbības tīklā . [Gr. 83]

10. pants

Agrīnā brīdināšana

1. Kompetentās iestādes Vienotie kontaktpunkti vai Komisija sadarbības tīklā nodrošina agrīno brīdināšanu par tiem riskiem un incidentiem, kas atbilst vismaz vienam no šādiem nosacījumiem:

a) tie strauji palielinās vai var strauji palielināties pēc apjoma;

b) tie pārsniedz vienotais kontaktpunkts novērtē, vai risks vai incidents var pārsniegt valsts reaģēšanas spēju;

c) tie vienotie kontaktpunkti vai Komisija novērtē, vai risks vai incidents ietekmē vai var ietekmēt vairāk nekā vienu dalībvalsti. [Gr. 84]

2. Agrīnajos brīdinājumos kompetentās iestādes vienotie kontaktpunkti un Komisija bez liekas kavēšanās paziņo visu to rīcībā esošo attiecīgo informāciju, kas var noderēt riska vai incidenta novērtēšanā. [Gr. 85]

3. Pēc dalībvalsts pieprasījuma vai pēc savas iniciatīvas Komisija var pieprasīt dalībvalstij sniegt visu attiecīgo informāciju par konkrētu risku vai incidentu. [Gr. 86]

4. Ja ir aizdomas, ka riskam vai incidentam, uz kuru attiecas agrīnā brīdināšana, ir krimināls raksturs, kompetentās iestādes vai Komisija informē un ja attiecīgais tirgus dalībnieks ir ziņojis par incidentiem, par kuru nopietno kriminālo raksturu ir radušās aizdomas, kā minēts 15. panta 4. punktā, dalībvalstis nodrošina, ka vajadzības gadījumā tiek informēts Eiropas kibernoziedzības centru centrs Eiropolā. [Gr. 87]

4.a Sadarbības tīkla dalībnieki saņemto informāciju par 1. punktā minētajiem riskiem un incidentiem nepublisko, kamēr nav saņemts iepriekšējs apstiprinājums no vienotā kontaktpunkta, kurš par tiem bija ziņojis.

Turklāt pirms apmaiņas ar informāciju sadarbības tīklā vienotais kontaktpunkts, kurš ziņojis par riskiem vai incidentiem, informē tirgus dalībnieku, uz kuru šī informācija attiecas, par savu nodomu un, ja uzskata to par vajadzīgu, nodrošina attiecīgās informācijas anonimitāti. [Gr. 88]

4.b Ja ir aizdomas, ka riskam vai incidentam, uz kuru attiecas agrīnā brīdināšana, ir nopietns pārrobežu tehnisks raksturs, vienotie kontaktpunkti vai Komisija informē ENISA. [Gr. 89]

5. Komisija ir pilnvarota pieņemt deleģētos aktus saskaņā ar 18. pantu attiecībā uz turpmākajiem precizējumiem par riskiem un incidentiem, kuru gadījumā nepieciešama agrīnā brīdināšana, kas minēta šā panta 1. punktā.

11. pants

Saskaņota reaģēšana

1. Pēc agrīnās brīdināšanas, kas minēta 10. pantā, kompetentās iestādes vienotie kontaktpunkti pēc attiecīgās informācijas izvērtēšanas bez liekas kavēšanās vienojas par saskaņotu reaģēšanu atbilstīgi Savienības TID sadarbības plānam, kas minēts 12. pantā. [Gr. 90]

2. Dažādos pasākumus, kas pieņemti valsts līmenī sakarā ar saskaņotu reaģēšanu, paziņo sadarbības tīklam.

12. pants

Savienības TID sadarbības plāns

1. Komisija ir pilnvarota, izmantojot īstenošanas aktus, pieņemt Savienības TID sadarbības plānu. Minētos īstenošanas aktus pieņem saskaņā ar 19. panta 3. punktā minēto pārbaudes procedūru.

2. Savienības TID plānā tiek noteikts:

a) 10. panta īstenošanas nolūkā: — formāts un procedūras attiecībā uz kompetento iestāžu vienoto kontaktpunktu īstenotas saderīgas un salīdzināmas informāciju iegūšanu un apmaiņu par riskiem un incidentiem, [Gr. 91] — procedūras un kritēriji sadarbības tīkla īstenotam risku un incidentu novērtējumam.

b) kārtība, kas jāievēro, īstenojot saskaņotu reaģēšanu atbilstīgi 11. pantam, tostarp funkciju, pienākumu un sadarbības procedūru noteikšana;

c) ceļvedis par TID mācībām un apmācībām plāna nostiprināšanai, apstiprināšanai un testēšanai.

d) zināšanu nodošanas programma starp dalībvalstīm saistībā ar spēju veidošanu un savstarpēju mācīšanos;

e) programma izpratnes veidošanai un apmācībām starp dalībvalstīm.

3. Savienības TID sadarbības plānu pieņem ne vēlāk kā vienu gadu pēc šīs direktīvas stāšanās spēkā un regulāri pārskata. Katras pārskatīšanas rezultātus paziņo Eiropas Parlamentam. [Gr. 92]

3.a Jānodrošina saskaņotība starp Savienības TID sadarbības plānu un valstu TID stratēģijām un sadarbības plāniem, kā tas paredzēts 5. pantā. [Gr. 93]

13. pants

Starptautiskā sadarbība

Neskarot sadarbības tīkla iespēju veidot neformālu starptautisko sadarbību, Savienība var slēgt starptautiskus nolīgumus ar trešām valstīm vai starptautiskām organizācijām, ļaujot tām piedalīties vai organizējot to dalību atsevišķos sadarbības tīkla pasākumos. Šādā nolīgumā ņem vērā vajadzību nodrošināt pienācīgu tādu personas datu aizsardzību, kuri cirkulē sadarbības tīklā , un paredz kontroles procedūru, kas jāveic, lai garantētu šādu personas datu aizsardzību . Eiropas Parlamentu informē par sarunām saistībā ar nolīgumiem. Jebkāda personas datu nosūtīšana saņēmējiem ārpus Savienības jāveic atbilstīgi Direktīvas 95/46/EK 25. un 26. panta un Regulas (EK) Nr. 45/2001 9. panta noteikumiem . [Gr. 94]

13.a pants

Tirgus dalībnieku kritiskuma līmenis

Dalībvalstis var noteikt tirgus dalībnieku kritiskuma līmeni, ņemot vērā nozaru specifiskumu, tostarp tādus rādītājus kā konkrēta tirgus dalībnieka nozīme pietiekami augsta nozares pakalpojumu līmeņa uzturēšanā, tirgus dalībnieka nodrošināto personu skaitu un laikposmu, līdz kuram tirgus dalībnieka pamatpakalpojumu pārtraukšana nelabvēlīgi ietekmē svarīgu saimniecisko un sabiedrisko darbību nodrošināšanu. [Gr. 95]

IV NODAĻA

VALSTS PĀRVALDES IESTĀŽU UN TIRGUS DALĪBNIEKU TĪKLU UN INFORMĀCIJAS SISTĒMU DROŠĪBA

14. pants

Drošības prasības un incidentu paziņošana

1. Dalībvalstis nodrošina to, ka valsts pārvaldes iestādes un tirgus dalībnieki veic attiecīgus un samērīgus tehniskus un organizatoriskus pasākumus, lai atklātu un efektīvi pārvaldītu to tīklu un informācijas sistēmu drošības riskus, kurus tās kontrolē un izmanto savā darbībā. Ņemot vērā jaunākos tehniskos sasniegumus, ar šiem pasākumiem garantē nodrošina novērtētajam riskam atbilstīgu drošības pakāpi. Jo īpaši veic pasākumus, lai novērstu un mazinātu tādu incidentu sekas, kas ietekmē to tīklu un informācijas sistēmu drošību saistībā ar to sniegtajiem pamatpakalpojumiem, un tādējādi nodrošinātu tādu pakalpojumu nepārtrauktību, kas ir atkarīgi no šiem tīkliem un informācijas sistēmām. [Gr. 96]

2. Dalībvalstis nodrošina to, ka valsts pārvaldes iestādes un tirgus dalībnieki bez liekas kavēšanās paziņo kompetentajai iestādei vai vienotajam kontaktpunktam par incidentiem, kuriem ir būtiska ietekme uz to sniegto pamatpakalpojumu drošību nepārtrauktību . Paziņošana neuzliek paziņojošai pusei lielāku atbildību.

Lai noteiktu incidenta ietekmes būtiskumu, cita starpā jāņem vērā šādi rādītāji: [Gr. 97]

a) lietotāju skaits, kuru pamatpakalpojumi ir skarti; [Gr. 98]

b) incidenta ilgums; [Gr. 99]

c) ģeogrāfiskā izplatība attiecībā uz incidenta skarto vidi. [Gr. 100]

Šos rādītājus sīkāk precizē saskaņā ar 8. panta 3. punkta ib) apakšpunktu. [Gr. 101]

2.a Tirgus dalībnieki paziņo par 1. un 2. pantā minētajiem incidentiem tās dalībvalsts kompetentajai iestādei vai vienotajam kontaktpunktam, kuras pamatpakalpojumi ir skarti. Ja pamatpakalpojumi ir skarti vairāk nekā vienā dalībvalstī, vienotais kontaktpunkts, kuram par to ir paziņots, pamatojoties uz tīkla dalībnieka sniegto informāciju, brīdina pārējos attiecīgos vienotos kontaktpunktus. Tirgus dalībnieku cik vien drīz iespējams informē par to, kuri citi vienotie kontaktpunkti informēti par incidentu, kā arī par veiktajiem pasākumiem un to rezultātiem, un tiem tiek sniegta jebkāda cita attiecībā uz incidentu svarīga informācija. [Gr. 102]

2.b Ja ziņojums satur personas datus, tos dara zināmus tikai tiem saņēmējiem informētajā kompetentajā iestādē vai kontaktpunktā, kuriem šie dati ir jāapstrādā, lai varētu izpildīt savus uzdevumus atbilstīgi datu aizsardzības noteikumiem. Datus dara zināmus tikai tādā apjomā, kāds nepieciešams saņēmējiem uzticēto uzdevumu veikšanai. [Gr. 103]

2.c Tirgus dalībnieki, uz kuriem II pielikums neattiecas, var brīvprātīgi ziņot par incidentiem, kā precizēts 14. panta 2. punktā. [Gr. 104]

3. 1. un 2. punkts attiecas uz visiem tirgus dalībniekiem, kas sniedz pakalpojumus Eiropas Savienībā.

4. Kompetentā iestāde Pēc konsultācijām ar informēto kompetento iestādi un attiecīgo tirgus dalībnieku, vienotais kontaktpunkts var informēt sabiedrību vai arī prasīt, lai to izdara valsts pārvaldes iestādes un par atsevišķiem incidentiem, ja tas uzskata, ka sabiedrības informētība ir nepieciešama, lai novērstu iespējamos incidentus vai risinātu pašreizējo incidentu, vai arī, ja tas tirgus dalībnieki, ja tā uzskata, ka incidenta publiskošana ir sabiedrības interesēs. dalībnieks, kuru skāris incidents, atsakās bez liekas kavēšanās novērst saistībā ar to atklājušās nopietnās strukturāli vājās vietas.

Pirms jebkādas informācijas publiskošanas informētā kompetentā iestāde nodrošina, ka attiecīgajam tirgus dalībniekam ir iespēja tikt uzklausītam un ka lēmums par informācijas publiskošanu ir pienācīgi līdzsvarots ar sabiedrības interesēm.

Publiskojot informāciju par konkrētiem incidentiem, informētā kompetentā iestāde vai vienotais kontaktpunkts nodrošina, ka tas tiek darīts pēc iespējas anonīmi.

Kompetentā iestāde vai vienotais kontaktpunkts, ja tas ir reāli iespējams, sniedz attiecīgajam tirgus dalībniekam informāciju, kas palīdz efektīvi atrisināt incidentu, par kuru paziņots.

Kompetentā iestāde Vienotais kontaktpunkts reizi gadā iesniedz sadarbības tīklam kopsavilkuma ziņojumu par saņemtajiem paziņojumiem , tostarp attiecībā uz ziņojumu skaitu un incidenta rādītājiem, kas norādīti šī panta 2. punktā, un rīcību, kas īstenota saskaņā ar šo punktu. [Gr. 105]

4.a Dalībvalstis iedrošina tirgus dalībniekus savos finanšu pārskatos brīvprātīgi publiskot informāciju par incidentiem, kuros iesaistīti to uzņēmumi. [Gr. 106]

5. Komisija ir pilnvarota pieņemt deleģētos aktus saskaņā ar 18. pantu attiecībā uz apstākļu noteikšanu, kuros valsts pārvaldes iestādēm un tirgus dalībniekiem ir jāpaziņo par incidentiem. [Gr. 107]

6. Ievērojot visus deleģētos aktus, kas pieņemti saskaņā ar 5. punktu, kompetentās iestādes Kompetentās iestādes vai vienotie kontaktpunkti var pieņemt pamatnostādnes un vajadzības gadījumā izdot instrukcijas par apstākļiem, kādos valsts pārvaldes iestādēm un tirgus dalībniekiem ir jāinformē par incidentiem. [Gr. 108]

7. Komisija ir pilnvarota, izmantojot īstenošanas aktus, noteikt formātus un procedūras, ko piemēro šā panta 2. punkta vajadzībām. Šos īstenošanas aktus pieņem saskaņā ar 19. panta 3. punktā minēto pārbaudes procedūru.

8. Šā panta 1. un 2. punkts neattiecas uz mikrouzņēmumiem, kā noteikts Komisijas Ieteikumā 2003/361/EK (18) , ja vien mikrouzņēmums nedarbojas kā tirgus dalībnieka meitasuzņēmums, kā noteikts 3. panta 8. punkta b) apakšpunktā . [Gr. 109]

8.a Dalībvalstis var nolemt šo pantu un 15. pantu mutatis mutandis piemērot valsts pārvaldes iestādēm. [Gr. 110]

15. pants

Īstenošana un izpilde

1. Dalībvalstis nodrošina, ka kompetentajām iestādēm un vienotajiem kontaktpunktiem ir visas vajadzīgās pilnvaras, lai izmeklētu gadījumus, kad valsts pārvaldes iestādes vai nodrošinātu, ka tirgus dalībnieki neveic veic savus 14. pantā noteiktos pienākumus, un to ietekmi iedarbību uz tīklu un informācijas sistēmu drošību. [Gr. 111]

2. Dalībvalstis nodrošina, ka kompetentās iestādes un vienotie kontaktpunkti ir pilnvarotas pilnvaroti pieprasīt tirgus dalībniekiem un valsts pārvaldes iestādēm: [Gr. 112]

a) sniegt informāciju, kas vajadzīga tīklu un informācijas sistēmu drošības novērtēšanai, tostarp informēt par dokumentētu drošības politiku;

b) īstenot drošības revīziju, ko veic kvalificēta neatkarīga struktūra vai valsts iestāde sniegt pierādījumus par drošības politikas efektīvu īstenošanu, piemēram, kvalificētas neatkarīgas struktūras vai valsts iestādes veiktās drošības revīzijas rezultātus , un darīt tās rezultātus pierādījumus pieejamus kompetentajai iestādei vai vienotajam kontaktpunktam . [Gr. 113]

Nosūtot pieprasījumu, kompetentās iestādes un vienotie kontaktpunkti norāda tā iemeslu un pienācīgi konkretizē, kāda veida informācija jāiesniedz. [Gr. 114]

3. Dalībvalstis nodrošina, ka kompetentās iestādes un vienotie kontaktpunkti ir pilnvarotas pilnvaroti izdot saistošas instrukcijas tirgus dalībniekiem un valsts pārvaldes iestādēm. [Gr. 115]

3.a Atkāpjoties no šā panta 2. punkta b) apakšpunkta, dalībvalstis var nolemt, ka kompetentās iestādes vai attiecīgā gadījumā vienotie kontaktpunkti piemēro atšķirīgu procedūru konkrētiem tirgus dalībniekiem, ņemot vērā to kritiskuma līmeni, kas noteikts saskaņā ar 13.a pantu. Ja dalībvalstis tā nolemj:

a) kompetentās iestādes vai attiecīgā gadījumā vienotie kontaktpunkti ir pilnvaroti iesniegt pietiekami konkrētu pieprasījumu tirgus dalībniekiem, prasot tiem sniegt pierādījumus par drošības politikas efektīvu īstenošanu, piemēram, kvalificēta iekšējā revidenta veiktās drošības revīzijas rezultātus, un darīt pierādījumus pieejamus kompetentajai iestādei vai vienotajam kontaktpunktam;

b) vajadzības gadījumā pēc tam, kad tirgus dalībnieks ir iesniedzis a) apakšpunktā minētos pierādījumus, kompetentā iestāde vai vienotais kontaktpunkts var pieprasīt papildu pierādījumus vai papildu revīziju, kas jāveic kvalificētai neatkarīgai struktūrai vai valsts iestādei.

3.b Dalībvalstis var nolemt samazināt revīziju skaitu un intensitāti attiecīgajam tirgus dalībniekam, ja tā drošības revīzija pastāvīgi atbilst IV nodaļā minētajam. [Gr. 116]

4. Kompetentās iestādes paziņo un vienotie kontaktpunkti informē attiecīgos tirgus dalībniekus par iespēju ziņot tiesībaizsardzības iestādēm par incidentiem, par kuru nopietno kriminālo raksturu rodas ir radušās aizdomas. [Gr. 117]

5. Neskarot piemērojamos noteikumus datu aizsardzības jomā, kompetentās iestādes un vienotie kontaktpunkti strādā ciešā sadarbībā ar personas datu aizsardzības iestādēm, risinot incidentus, kuru rezultātā notiek personas datu aizsardzības pārkāpumi. Vienotie kontaktpunkti un datu aizsardzības iestādes, sadarbojoties ar ENISA, izstrādā informācijas apmaiņas mehānismus un vienotu standartformu paziņojumu sniegšanai gan saskaņā ar šīs direktīvas 14. panta 2. punktu, gan arī ar citiem Savienības tiesību aktiem datu aizsardzības jomā. [Gr. 118]

6. Dalībvalstis nodrošina, ka visus pienākumus, kas uzticēti valsts pārvaldes iestādēm un tirgus dalībniekiem saskaņā ar šo nodaļu, var pārsūdzēt tiesā. [Gr. 119]

6.a Dalībvalstis var nolemt 14. pantu un šo pantu mutatis mutandis piemērot valsts pārvaldes iestādēm. [Gr. 120]

16. pants

Standartizācija

1. Lai nodrošinātu 14. panta 1. punkta vienādu īstenošanu, dalībvalstis , nenosakot obligātu kādas konkrētas tehnoloģijas izmantošanu, veicina tādu sadarbspējīgu Eiropas vai starptautisku standartu un/vai specifikāciju izmantošanu, kas attiecas uz tīklu un informācijas drošību. [Gr. 121]

2. Komisija izmantojot īstenošanas aktus, izveido pilnvaro attiecīgo Eiropas standartizācijas struktūru, apspriežoties ar attiecīgajām ieinteresētajām pusēm , izveidot 1. punktā minēto standartu un/vai specifikāciju sarakstu. Šo sarakstu publicē Eiropas Savienības Oficiālajā Vēstnesī. [Gr. 122]

V NODAĻA

NOBEIGUMA NOTEIKUMI

17. pants

Sankcijas

1. Dalībvalstis paredz noteikumus par sankcijām, kas piemērojamas par to valsts noteikumu pārkāpumiem, kuri pieņemti saskaņā ar šo direktīvu, un veic visus vajadzīgos pasākumus, lai nodrošinātu minēto sankciju īstenošanu. Paredzētajām sankcijām jābūt efektīvām, samērīgām un preventīvām. Dalībvalstis paziņo par šiem noteikumiem Komisijai vēlākais līdz šīs direktīvas transponēšanas dienai un nekavējoties paziņo tai par jebkuriem turpmākiem grozījumiem, kas šos noteikumus ietekmē.

1.a Dalībvalstis nodrošina, ka šā panta 1. punktā minētās sankcijas tiek piemērotas tikai tādā gadījumā, ja tirgus dalībnieks ar nodomu vai rupjas nolaidības dēļ nav izpildījis IV nodaļā minētos pienākumus. [Gr. 123]

2. Dalībvalstis nodrošina, ka tad, ja drošības incidents ir saistīts ar personas datiem, paredzētās sankcijas atbilst sankcijām, kas noteiktas Eiropas Parlamenta un Padomes Regulā par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (19).

18. pants

Deleģēšanas īstenošana

1. Pilnvaras pieņemt deleģētos aktus Komisijai piešķir, ievērojot šā panta nosacījumus.

2. Pilnvaras pieņemt deleģētos aktus, kas minētas 9. panta 3. punktā un 10. panta 5. punktā, tiek piešķirtas Komisijai. Komisija sagatavo ziņojumu par pilnvaru deleģēšanu vēlākais deviņus mēnešus pirms piecu gadu laikposma beigām. Pilnvaru deleģējumu automātiski pagarina uz tāda paša ilguma laikposmiem, ja vien Eiropas Parlaments vai Padome neiebilst pret šādu pagarinājumu vēlākais trīs mēnešus pirms katra laikposma beigām.

3. Eiropas Parlaments vai Padome jebkurā brīdī laikā var atsaukt 9. panta 3. punktā, un 10. panta 5. punktā 14. panta 5. punktā minēto pilnvaru deleģējumu. Ar lēmumu par atsaukšanu izbeidz tajā norādīto pilnvaru deleģēšanu. Lēmums stājas spēkā nākamajā dienā pēc tā publicēšanas Eiropas Savienības Oficiālajā Vēstnesī vai vēlākā dienā, kas tajā norādīta. Tas neietekmē spēkā esošo deleģēto aktu spēkā esību. [Gr. 124]

4. Tiklīdz Komisija pieņem deleģēto aktu, tā par to paziņo vienlaikus Eiropas Parlamentam un Padomei.

5. Saskaņā ar 9. panta 3. punktu un 10. panta 5. punktu 14. panta 5. punktu pieņemtie deleģētie akti stājas spēkā tikai tad, ja divos mēnešos no dienas, kad minētais akts paziņots Eiropas Parlamentam un Padomei, ne Eiropas Parlaments, ne Padome nav izteikuši iebildumus, vai ja pirms minētā laikposma beigām gan Eiropas Parlaments, gan Padome ir informējuši Komisiju par savu lēmumu neizteikt iebildumus. Pēc Eiropas Parlamenta vai Padomes iniciatīvas šo periodu pagarina par diviem mēnešiem. [Gr. 125]

19. pants

Komitejas procedūra

1. Komisijai palīdz komiteja (Tīklu un informācijas drošības komiteja). Minētā komiteja ir komiteja Regulas (ES) Nr. 182/2011 izpratnē.

2. Ja ir atsauce uz šo punktu, piemēro Regulas (ES) Nr. 182/2011 4. pantu.

3. Ja ir atsauce uz šo punktu, piemēro Regulas (ES) Nr. 182/2011 5. pantu.

20. pants

Pārskatīšana

Komisija periodiski pārskata šīs direktīvas darbību , jo īpaši II pielikumā ietverto sarakstu, un iesniedz ziņojumu Eiropas Parlamentam un Padomei. Pirmo ziņojumu iesniedz ne vēlāk kā trīs gadus pēc transponēšanas datuma, kas minēts 21. pantā. Šajā nolūkā Komisija var prasīt, lai dalībvalstis tai sniegtu informāciju bez liekas kavēšanās. [Gr. 126]

21. pants

Transponēšana

1. Dalībvalstis vēlākais [pusotru gadu pēc dienas, kurā pieņemta direktīva,] pieņem un publicē normatīvos un administratīvos aktus, kas vajadzīgi, lai izpildītu šīs direktīvas prasības. Dalībvalstis tūlīt dara zināmu Komisijai minēto noteikumu tekstu.

Tās piemēro minētos noteikumus no [pusotru gadu pēc pieņemšanas].

Kad dalībvalstis pieņem minētos aktus, tajos iekļauj atsauci uz šo direktīvu, vai arī šādu atsauci pievieno to oficiālajai publikācijai. Dalībvalstis nosaka, kā izdarāma šāda atsauce.

2. Dalībvalstis dara Komisijai zināmus savu tiesību aktu galvenos noteikumus, ko tās pieņem jomā, uz kuru attiecas šī direktīva.

22. pants

Stāšanās spēkā

Šī direktīva stājas spēkā [divdesmitajā] dienā pēc tās publicēšanas Eiropas Savienības Oficiālajā Vēstnesī.

23. pants

Adresāti

Šī direktīva ir adresēta dalībvalstīm.

…, Eiropas Parlamenta vārdā — priekšsēdētājs Padomes vārdā — priekšsēdētājs

(1) OV C 271, 19.9.2013., 133. lpp.

(2) Eiropas Parlamenta 2014. gada 13. marta nostāja.

(3) Eiropas Parlamenta un Padomes 2002. gada 7. marta Direktīvas 2002/21/EK par kopējiem reglamentējošiem noteikumiem attiecībā uz elektronisko komunikāciju tīkliem un pakalpojumiem (pamatdirektīva) (OV L 108, 24.4.2002., 33. lpp.).

(4) Padomes 2011. gada 31. marta Lēmums 2011/292/ES par drošības noteikumiem ES klasificētas informācijas aizsardzībai (OV L 141, 27.5.2011., 17. lpp.).

(5) Eiropas Parlamenta un Padomes Direktīva 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV L 281, 23.11.1995., 31. lpp.).

(6) Eiropas parlamenta un padomes regula (EK) Nr. 45/2001 (2000. gada 18. decembris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Kopienas iestādēs un struktūrās un par šādu datu brīvu apriti (OV L 8, 12.1.2001., 1. lpp.).

(7) Eiropas Parlamenta un Padomes 2002. gada 12. jūlija Direktīva 2002/58/EK par personas datu apstrādi un privātās dzīves aizsardzību elektronisko komunikāciju nozarē (direktīva par privāto dzīvi un elektronisko komunikāciju) (OV L 201, 31.7.2002., 37. lpp.).

(8) Eiropas Parlamenta un Padomes 1998. gada 22. jūnija Direktīva 98/34/EK, ar ko nosaka informācijas sniegšanas kārtību tehnisko standartu un noteikumu jomā (OV L 204, 21.7.1998., 37. lpp.).

(9) SEC(2012) 72 final.

(10) Eiropas Parlamenta un Padomes 2012. gada 25. oktobra Regula (ES) Nr. 1025/2012 par Eiropas standartizāciju, ar ko groza Padomes Direktīvas 89/686/EEK un 93/15/EEK un Eiropas Parlamenta un Padomes Direktīvas 94/9/EK, 94/25/EK, 95/16/EK, 97/23/EK, 98/34/EK, 2004/22/EK, 2007/23/EK, 2009/23/EK un 2009/105/EK, un ar ko atceļ Padomes Lēmumu 87/95/EEK un Eiropas Parlamenta un Padomes Lēmumu Nr. 1673/2006/EK (OV L 316, 14.11.2012., 12. lpp.).

(11) Eiropas Parlamenta un Padomes 2011. gada 16. februāra Regula (ES) Nr. 182/2011, ar ko nosaka normas un vispārīgus principus par dalībvalstu kontroles mehānismiem, kuri attiecas uz Komisijas īstenošanas pilnvaru izmantošanu (OV L 55, 28.2.2011., 13. lpp.).

(12) Eiropas Parlamenta un Padomes 2001. gada 30. maija Regula (EK) Nr. 1049/2001 par publisku piekļuvi Eiropas Parlamenta, Padomes un Komisijas dokumentiem (OV L 145, 31.5.2001., 43. lpp.).

(13) OV C 32, 4.2.2014., 19. lpp.

(14) Padomes 2008. gada 8. decembra Direktīva 2008/114/EK par to, lai apzinātu un noteiktu Eiropas Kritiskās infrastruktūras un novērtētu vajadzību uzlabot to aizsardzību (OV L 345, 23.12.2008., 75. lpp.).

(15) Padomes Lēmums 2009/371/TI (2009. gada 6. aprīlis), ar ko izveido Eiropas Policijas biroju (Eiropolu) (OV L 121, 15.5.2009., 37. lpp.).

(16) Komisijas Regula (ES) Nr. 611/2013 (2013. gada 24. jūnijs) par pasākumiem, kas piemērojami paziņošanai par personas datu aizsardzības pārkāpumiem saskaņā ar Eiropas Parlamenta un Padomes Direktīvu 2002/58/EK par privātumu un elektronisko komunikāciju (OV L 173, 26.6.2013., 2. lpp.).

(17) Eiropas Parlamenta un Padomes 2004. gada 21. aprīļa Direktīva 2004/39/EK, kas attiecas uz finanšu instrumentu tirgiem (OV L 45, 16.2.2005., 18. lpp.).

(18) Komisijas 2003. gada 6. maija Ieteikums 2003/361/EK par mikrouzņēmumu, mazo un vidējo uzņēmumu definīciju (OV L 124, 20.5.2003., 36. lpp.).

(19) SEC(2012) 72 final.

I PIELIKUMS Datorapdraudējumu reaģēšanas vienības vienību (CERT) pienākumi un uzdevumi [Gr. 127] CERT pienākumus un uzdevumus atbilstīgi un skaidri nosaka un atbalsta valstu politika un/vai regulējums. Tie iekļauj šādus elementus: (1) CERT pienākumi: a) CERT nodrošina to komunikāciju pakalpojumu pieejamību, novēršot atsevišķu informācijas ķēdes punktu kļūdainu darbību, un tām ir vairāki saziņas līdzekļi, kas jebkurā laikā ļauj ar tām sazināties un nodrošina saziņu ar citiem. Turklāt saziņas kanāli ir skaidri norādīti un labi zināmi attiecīgām personām un sadarbības partneriem. [Gr. 128] b) CERT īsteno un pārvalda drošības pasākumus, lai nodrošinātu savas saņemtās un apstrādātās informācijas konfidencialitāti, integritāti, pieejamību un autentiskumu. c) CERT biroji un izmantotās informācijas sistēmas atrodas drošās vietās ar drošām tīklu informācijas sistēmām . [Gr. 129] d) izveido pakalpojumu vadības kvalitātes sistēmu, lai pārraudzītu Eiropas CERT darbību un nodrošinātu stabilu uzlabojumu procesu. Tā balstās uz skaidri definētiem rādītājiem, kuros iekļauti drošības līmeņi un galvenie darbības rādītāji. e) Darbības nepārtrauktība: — CERT ir jāaprīko ar atbilstīgu sistēmu pieprasījumu pārvaldībai un novirzīšanai, lai atvieglotu nodošanu, — CERT ir pietiekams skaits darbinieku, lai nodrošinātu pieejamību jebkurā brīdī, — CERT izmanto infrastruktūru, kurai ir nodrošināta nepārtrauktība. Šajā nolūkā CERT tiek izveidotas dublējošās sistēmas un rezerves darba telpa, lai nodrošinātu pastāvīgu piekļuvi sakaru līdzekļiem. (2) CERT uzdevumi a) CERT uzdevumos ietilpst vismaz šādi uzdevumi: — incidentu atklāšana un uzraudzība valsts līmenī, [Gr. 130] — agrīnās brīdināšanas, brīdināšanas, paziņojumu un informācijas izplatīšanas nodrošināšana ieinteresētajām personām par riskiem un incidentiem, — reaģēšana uz incidentiem, — dinamiskas risku un incidentu analīzes un situācijas apzināšanas nodrošināšana, — plašas sabiedrības informētības sekmēšana par riskiem, kas saistīti ar tiešsaistes darbībām, — aktīva dalība Savienības un starptautiskajos CERT sadarbības tīklos, [Gr. 131] — kampaņu organizēšana par TID; b) CERT izveido sadarbību ar privāto sektoru. c) Lai atvieglotu sadarbību, CERT veicina arī kopīgas vai standartizētas prakses ieviešanu un izmantošanu attiecībā uz: — incidentu un risku risināšanas procedūrām, — incidentu, risku un informācijas klasifikācijas shēmām, — rādītāju taksonomiju, — informācijas apmaiņas formātiem par riskiem, incidentiem un sistēmu nosaukumu noteikumiem.