1.Wprowadzenie

Dyrektywa (UE) 2016/1148 w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (dyrektywa w sprawie bezpieczeństwa sieci i informacji) jest pierwszym instrumentem rynku wewnętrznego ukierunkowanym na poprawę odporności UE na zagrożenia związane z cyberbezpieczeństwem. Przyjmując art. 114 Traktatu o funkcjonowaniu Unii Europejskiej jako podstawę, dyrektywa ta ma na celu zapewnienie ciągłości świadczenia usług umożliwiających właściwe funkcjonowanie gospodarki i społeczeństwa Unii. Z myślą o tym w dyrektywie wprowadzono konkretne środki na rzecz budowania zdolności w zakresie cyberbezpieczeństwa w całej UE oraz przeciwdziałania rosnącym zagrożeniom dla sieci i systemów informatycznych wykorzystywanych do świadczenia usług kluczowych w najważniejszych sektorach.

Po wejściu w życie dyrektywy w sprawie bezpieczeństwa sieci i informacji w sierpniu 2016 r. państwa członkowskie zobowiązane były do wdrożenia krajowych środków niezbędnych do wprowadzenia przepisów tej dyrektywy do dnia 9 maja 2018 r. Dyrektywa ta ma przyczynić się do stworzenia kultury zarządzania ryzykiem wśród przedsiębiorstw lub innych podmiotów świadczących usługi kluczowe, zdefiniowanych zgodnie z art. 5 jako „operatorzy usług kluczowych” (OUK). Operatorzy, którzy są objęci zakresem stosowania dyrektywy, zobowiązani są do podejmowania odpowiednich i proporcjonalnych środków technicznych i organizacyjnych w celu zarządzania ryzykami dla bezpieczeństwa ich sieci i systemów informatycznych oraz zgłaszania najpoważniejszych incydentów właściwym organom.

Współprawodawcy powierzyli wdrożenie dyrektywy w sprawie bezpieczeństwa sieci i informacji państwom członkowskim, które zobowiązane są do określenia usług kluczowych i identyfikacji operatorów usług kluczowych na swoich terytoriach. W art. 5 ust. 7 dyrektywy nałożono zatem na państwa członkowskie obowiązek informowania Komisji o wynikach tej identyfikacji. W celu umożliwienia koordynacji w zakresie składania sprawozdań zarówno Komisja, jak i grupa współpracy ustanowiona na mocy dyrektywy przekazały państwom członkowskim wskazówki dotyczące procesu identyfikacji.

Zgodnie z art. 23 ust. 1 niniejsze sprawozdanie zawiera ocenę spójności podejść przyjętych przez państwa członkowskie do identyfikacji operatorów usług kluczowych. Ze względu na to, że identyfikacja OUK oraz ryzyko fragmentacji rynku wewnętrznego w tym obszarze są ze sobą ściśle powiązane, niniejsze sprawozdanie przyczyni się również do szerszej oceny dyrektywy w sprawie bezpieczeństwa sieci i informacji, jak określono w art. 23 ust. 2, który stanowi, że Komisja dokonuje okresowego przeglądu funkcjonowania dyrektywy i ocenia wykaz sektorów i podsektorów podlegających identyfikacji OUK oraz rodzajów usług cyfrowych objętych tą dyrektywą. Pierwsze tego typu sprawozdania mają być złożone do dnia 9 maja 2021 r.

1.1Cel sprawozdania

Operatorzy usług kluczowych muszą wykazywać szczególnie wysoki poziom odporności na cyberincydenty ze względu na ważną rolę, jaką odgrywają w całej gospodarce i całym społeczeństwie. W tym względzie spójne podejście do identyfikacji OUK przez państwa członkowskie jest ważne z kilku powodów:

1.W celu zmniejszenia ryzyk związanych z transgranicznymi zależnościami

Brak spójnej identyfikacji ważnych operatorów świadczących usługi transgraniczne może skutkować nierównym poziomem odporności w dziedzinie cyberbezpieczeństwa w poszczególnych państwach członkowskich, zwiększając ryzyko, że transgraniczny incydent doprowadzi do zniszczenia infrastruktury krytycznej lub będzie skutkował utratą życia obywateli. Na przykład operatorzy systemu przesyłowego z sektora energii lub rejestry domen najwyższego poziomu ujęci w wykazie rodzajów podmiotów w załączniku II są podmiotami, które są w największym stopniu obecne na rynku wewnętrznym, świadcząc usługi transgraniczne na rzecz konsumentów i przedsiębiorstw. Spójna identyfikacja takich dostawców w całej Unii mogłaby zatem pomóc zapobiegać rozprzestrzenianiu się zagrożeń dla cyberbezpieczeństwa na całym rynku wewnętrznym.

2.W celu zapewnienia równych warunków działania operatorom na rynku wewnętrznym

W dyrektywie w sprawie bezpieczeństwa sieci i informacji zobowiązano państwa członkowskie do ustanowienia wymogów w zakresie bezpieczeństwa oraz procedury zgłaszania incydentów, których mają przestrzegać OUK. Ze względu na to, że dyrektywa jest zgodna podejściem opartym na zasadzie minimalnej harmonizacji w odniesieniu do OUK, państwa członkowskie mają swobodę w zakresie nakładania na operatorów bardziej rygorystycznych wymogów niż te, które przewiduje dyrektywa. Chociaż takie środki wzmacniają odporność państw członkowskich, mogą jednak również przyczyniać się do powstania dodatkowych kosztów regulacyjnych dla przedmiotowych operatorów. W związku z tym ważne jest, aby operatorzy świadczący podobne usługi o podobnym znaczeniu podlegali podobnym uregulowaniom.

3.W celu zmniejszenia ryzyka rozbieżności w interpretacji dyrektywy

Dyrektywę opracowano w taki sposób, aby zapewnić państwom członkowskim pole manewru w wyborze odpowiednich podmiotów z uwzględnieniem specyfiki krajowej. Podejście to zwiększa jednocześnie ryzyko rozbieżności we wdrażaniu przepisów dyrektywy i może potencjalnie prowadzić do niespójności w zakresie środków wprowadzanych przez państwa członkowskie. Ma to szczególne znaczenie dla przedsiębiorstw, które prowadzą działalność w kilku państwach i w związku z tym są zobowiązane do spełnienia wymogów regulacyjnych więcej niż jednego państwa członkowskiego.

4.W celu opracowania kompleksowego przeglądu poziomu odporności w dziedzinie cyberbezpieczeństwa w całej UE

OUK podlegają działaniom nadzorczym, które mają na celu weryfikację skutecznego wdrażania polityk w zakresie bezpieczeństwa oraz powiadamiania o istotnych incydentach. Nadzór sprzyja nawiązaniu ściślejszej współpracy między sektorem publicznym i prywatnym, prowadząc do rozwoju wspólnej wiedzy na temat gotowości w dziedzinie cyberbezpieczeństwa w danym państwie członkowskim. Grupa współpracy umożliwia wspólne dzielenie się doświadczeniami krajowymi na poziomie UE, w tym informacjami dotyczącymi zgłoszonych incydentów, oraz wykorzystywanie ich do dokładniejszej oceny najpoważniejszych zagrożeń i najistotniejszych potrzeb. Aby jednak działanie to było skuteczne, wymiana takich informacji powinna opierać się na wspólnym zrozumieniu kwestii tego, które podmioty należy identyfikować jako OUK.

1.2Procedura identyfikacji określona w dyrektywie w sprawie bezpieczeństwa sieci i informacji

W załączniku II do dyrektywy w sprawie bezpieczeństwa sieci i informacji znajduje się wykaz siedmiu sektorów oraz odpowiadających im podsektorów i rodzajów podmiotów istotnych z punktu widzenia procesu identyfikacji (tabela 1). W art. 5 ust. 3 zobowiązano państwa członkowskie do ustanowienia wykazu usług kluczowych w oparciu o te sektory, podsektory oraz rodzaje podmiotów. Dzięki przyjętemu w dyrektywie podejściu opartemu na zasadzie minimalnej harmonizacji państwa członkowskie mogą wykroczyć poza zakres stosowania załącznika II i przeprowadzić identyfikację w dodatkowych sektorach i podsektorach.