KOMISJA EUROPEJSKA Bruksela, dnia 16.12.2020 COM(2020) 823 final 2020/0359(COD) Wniosek DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, uchylająca dyrektywę (UE) 2016/1148 (Tekst mający znaczenie dla EOG) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



UZASADNIENIE 1.KONTEKST WNIOSKU •Przyczyny i cele wniosku Niniejszy wniosek jest częścią pakietu środków służących dalszemu wzmacnianiu zdolności podmiotów publicznych i prywatnych, właściwych organów oraz Unii jako całości w zakresie odporności i reagowania na incydenty w dziedzinach cyberbezpieczeństwa oraz ochrony infrastruktury krytycznej. Jest on zgodny z priorytetami Komisji dotyczącymi stworzenia Europy na miarę ery cyfrowej i zbudowania gospodarki gotowej na przyszłość, która będzie przynosić korzyści obywatelom. Cyberbezpieczeństwo jest priorytetem reakcji Komisji na kryzys związany z COVID-19. Niniejszy pakiet obejmuje nową strategię w zakresie cyberbezpieczeństwa, której celem jest wzmocnienie strategicznej autonomii Unii, aby poprawić jej odporność i wspólną reakcję oraz budować otwarty i globalny internet. Ponadto pakiet obejmuje wniosek dotyczący dyrektywy w sprawie odporności krytycznych operatorów usług kluczowych, którego celem jest ograniczenie fizycznych zagrożeń dla takich operatorów. Niniejszy wniosek opiera się na dyrektywie (UE) 2016/1148 w sprawie bezpieczeństwa sieci i systemów informatycznych (dyrektywa w sprawie bezpieczeństwa sieci i informacji), która jest pierwszym aktem prawnym w ogólnounijnych przepisach dotyczących cyberbezpieczeństwa zapewniającym środki prawne służące podniesieniu ogólnego poziomu cyberbezpieczeństwa w Unii, oraz uchyla tę dyrektywę. Dyrektywa w sprawie bezpieczeństwa sieci i informacji: 1) przyczyniła się do zwiększenia zdolności w zakresie cyberbezpieczeństwa na szczeblu krajowym przez zobowiązanie państw członkowskich do przyjęcia krajowych strategii cyberbezpieczeństwa oraz do wyznaczenia organów ds. cyberbezpieczeństwa; 2) przyczyniła się do zacieśnienia współpracy między państwami członkowskimi na szczeblu unijnym przez utworzenie różnych forów ułatwiających wymianę strategicznych i operacyjnych informacji; oraz 3) przyczyniła się do poprawy cyberodporności podmiotów publicznych i prywatnych w siedmiu sektorach (energetyki, transportu, bankowości, infrastruktury rynków finansowych, służby zdrowia, zaopatrzenia w wodę pitną i jej dystrybucji oraz infrastruktury cyfrowej) oraz w trzech rodzajach usług cyfrowych (internetowe platformy handlowe, wyszukiwarki internetowe i usługi w chmurze) przez nałożenie na państwa członkowskie wymogu zapewnienia, aby operatorzy usług kluczowych i dostawcy usług cyfrowych wdrażali wymogi w zakresie cyberbezpieczeństwa i zgłaszali incydenty. We wniosku uaktualniono istniejące ramy prawne z uwzględnieniem pogłębionej w ostatnich latach cyfryzacji rynku wewnętrznego oraz zmieniającego się krajobrazu zagrożeń cyberbezpieczeństwa. Oba te zjawiska nasiliły się jeszcze wyraźniej od początku kryzysu związanego z COVID-19. We wniosku usunięto także kilka niedociągnięć, które uniemożliwiły osiągnięcie pełnego potencjału dyrektywy w sprawie bezpieczeństwa sieci i informacji. Pomimo zauważalnych osiągnięć okazało się, że dyrektywa w sprawie bezpieczeństwa sieci i informacji, która w wielu państwach członkowskich utorowała drogę do znaczącej zmiany w sposobie myślenia w odniesieniu do instytucjonalnego i regulacyjnego podejścia do cyberbezpieczeństwa, ma także pewne ograniczenia. Transformacja cyfrowa społeczeństwa (zintensyfikowana przez kryzys związany z COVID-19) spowodowała ewolucję krajobrazu zagrożeń i pojawianie się nowych wyzwań, które wymagają dostosowanych i innowacyjnych reakcji. Liczba cyberataków w dalszym ciągu rośnie; są one coraz bardziej wyrafinowane i pochodzą z wielu różnych źródeł w UE i poza jej granicami. Na podstawie oceny funkcjonowania dyrektywy w sprawie bezpieczeństwa sieci i informacji przeprowadzonej na potrzeby oceny skutków zidentyfikowano następujące problemy: 1) niski poziom cyberodporności przedsiębiorstw działających w UE; 2) zróżnicowana odporność w poszczególnych państwach członkowskich i sektorach oraz 3) niski poziom wspólnej orientacji sytuacyjnej i brak wspólnego reagowania kryzysowego. Na przykład w jednym państwie członkowskim dyrektywa w sprawie bezpieczeństwa sieci i informacji nie obejmuje niektórych większych szpitali, w związku z czym nie są one zobowiązane do wdrożenia wynikających z niej środków w zakresie bezpieczeństwa, natomiast w innym państwie członkowskim niemal wszyscy świadczeniodawcy opieki zdrowotnej w tym państwie są objęci wymogami w zakresie bezpieczeństwa sieci i systemów informatycznych. Ponieważ wniosek jest inicjatywą podjętą w ramach programu sprawności i wydajności regulacyjnej (REFIT), jego celem jest ograniczenie obciążenia regulacyjnego dla właściwych organów oraz kosztów przestrzegania przepisów dla podmiotów publicznych i prywatnych. Osiągnięciu tego celu służy w szczególności zniesienie spoczywającego na właściwych organach obowiązku identyfikacji operatorów usług kluczowych oraz podniesienie poziomu harmonizacji wymogów dotyczących bezpieczeństwa i zgłaszania incydentów, aby ułatwić przestrzeganie przepisów podmiotom świadczącym usługi transgraniczne. Jednocześnie właściwe organy otrzymają także szereg nowych zadań, w tym nadzór nad podmiotami w sektorach dotychczas nieobjętych dyrektywą w sprawie bezpieczeństwa sieci i informacji. •Spójność z przepisami obowiązującymi w tej dziedzinie polityki Niniejszy wniosek stanowi element szerzej zakrojonego zestawu obowiązujących aktów prawnych i przyszłych inicjatyw na szczeblu unijnym, których celem jest zwiększenie odporności podmiotów publicznych i prywatnych na zagrożenia. W dziedzinie cyberbezpieczeństwa są to zwłaszcza dyrektywa (UE) 2018/1972 ustanawiająca Europejski kodeks łączności elektronicznej (której przepisy dotyczące cyberbezpieczeństwa zostaną zastąpione przepisami niniejszego wniosku) oraz wniosek dotyczący rozporządzenia w sprawie operacyjnej odporności cyfrowej sektora finansowego (COM(2020) 595 final), które to przepisy – po wejściu w życie obu aktów – będą uznawane za lex specialis do dyrektywy, której dotyczy niniejszy wniosek. W dziedzinie bezpieczeństwa fizycznego wniosek stanowi uzupełnienie wniosku dotyczącego dyrektywy w sprawie odporności podmiotów krytycznych, w którym zmieniono dyrektywę 2008/114/WE w sprawie rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej oraz oceny potrzeb w zakresie poprawy jej ochrony (dyrektywa w sprawie EIK) ustanawiającą unijny proces rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej oraz określono podejście dotyczące poprawy ochrony takiej infrastruktury. W lipcu 2020 r. Komisja przyjęła strategię UE w zakresie unii bezpieczeństwa, w której uznano fakt coraz ściślejszego wzajemnego połączenia i współzależności między infrastrukturą fizyczną i cyfrową. Podkreślono w niej konieczność uspójnienia i ujednolicenia podejścia przyjętego w dyrektywie w sprawie EIK oraz w dyrektywie (UE) 2016/1148 w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii. Niniejszy wniosek jest zatem ściśle powiązany z wnioskiem dotyczącym dyrektywy w sprawie odporności podmiotów krytycznych, którego celem jest poprawa odporności podmiotów krytycznych na fizyczne zagrożenia w dużej liczbie sektorów. Wniosek ma na celu zapewnienie, aby na podstawie obu aktów prawnych właściwe organy przyjmowały środki uzupełniające i w razie potrzeby wymieniały informacje dotyczące cyberodporności i odporności w innych dziedzinach, a także aby szczególnie krytyczni operatorzy w sektorach uznanych w niniejszym wniosku za „niezbędne” również podlegali bardziej ogólnym obowiązkom w zakresie zwiększenia odporności, z naciskiem na ryzyko innego rodzaju niż ryzyko w cyberprzestrzeni. •Spójność z innymi politykami Unii Jak określono w komunikacie zatytułowanym „Kształtowanie cyfrowej przyszłości Europy”, Europa musi wykorzystać wszystkie możliwości, jakie daje epoka cyfrowa, a także wzmocnić swoje zdolności przemysłowe i innowacyjne, w granicach bezpieczeństwa i norm etycznych. W europejskiej strategii w zakresie danych wskazano cztery filary – ochronę danych, prawa podstawowe, bezpieczeństwo i cyberbezpieczeństwo – jako podstawowe warunki wstępne istnienia społeczeństwa posiadającego mocną pozycję dzięki korzystaniu z danych. W rezolucji z dnia 12 marca 2019 r. Parlament Europejski wezwał „Komisję, by przeanalizowała potrzebę dalszego rozszerzania zakresu dyrektywy w sprawie bezpieczeństwa sieci i informacji na inne sektory i usługi krytyczne nieobjęte szczegółowymi przepisami sektorowymi”. W konkluzjach z dnia 9 czerwca 2020 r. Rada z zadowoleniem przyjęła „plany Komisji dotyczące zapewnienia spójnych zasad dla podmiotów gospodarczych oraz ułatwienia bezpiecznej, rzetelnej i odpowiedniej wymiany informacji na temat zagrożeń i incydentów, w tym przez przegląd dyrektywy w sprawie bezpieczeństwa sieci i informacji, w celu zbadania możliwości zwiększenia cyberodporności i skuteczniejszego reagowania na cyberataki, w szczególności w odniesieniu do zasadniczej działalności gospodarczej i społecznej, przy jednoczesnym poszanowaniu kompetencji państw członkowskich, w tym ich odpowiedzialności za bezpieczeństwo narodowe”. Ponadto proponowany akt prawny pozostaje bez uszczerbku dla stosowania reguł konkurencji określonych w Traktacie o funkcjonowaniu Unii Europejskiej (TFUE).

Zważywszy, że znacząca część zagrożeń dla cyberbezpieczeństwa ma swoje źródło poza UE, niezbędne jest przyjęcie spójnego podejścia do współpracy międzynarodowej. Niniejsza dyrektywa stanowi model odniesienia, który należy propagować w kontekście unijnej współpracy z państwami trzecimi, zwłaszcza jeżeli chodzi o zapewnianie zewnętrznej pomocy technicznej. 2.PODSTAWA PRAWNA, POMOCNICZOŚĆ I PROPORCJONALNOŚĆ •Podstawa prawna Podstawę prawną dyrektywy w sprawie bezpieczeństwa sieci i informacji stanowi art. 114 Traktatu o funkcjonowaniu Unii Europejskiej, którego celem jest ustanowienie i funkcjonowanie rynku wewnętrznego przez usprawnienie środków służących zbliżeniu przepisów krajowych. Jak orzekł Trybunał Sprawiedliwości Unii Europejskiej w wyroku w sprawie C-58/08 Vodafone i in., skorzystanie z art. 114 TFUE jest uzasadnione w przypadku rozbieżności między przepisami krajowymi, jeśli mogą one wywierać bezpośredni wpływ na funkcjonowanie rynku wewnętrznego. Podobnie Trybunał orzekł, że gdy akt wydany na podstawie art. 114 TFUE doprowadził do usunięcia wszelkich przeszkód w wymianie handlowej w dziedzinie, która została przez ten akt zharmonizowana, prawodawca unijny nie może zostać pozbawiony możliwości dostosowania tego aktu do wszelkich zmian w okolicznościach lub do rozwoju wiedzy, mając na uwadze ciążące na nim zadanie dbania o ochronę uznanych przez traktat ogólnych interesów. Ponadto Trybunał stwierdził, że środki dotyczące zbliżenia objęte art. 114 TFUE mają na celu zapewnienie, w zależności od sytuacji ogólnej i okoliczności konkretnego przypadku w ramach harmonizowanej dziedziny, pewnego zakresu swobodnej oceny co do techniki zbliżania prawodawstwa, najwłaściwszej dla uzyskania zamierzonego rezultatu. Proponowany akt prawny usunie przeszkody w ustanowieniu i funkcjonowaniu rynku wewnętrznego dla podmiotów niezbędnych i istotnych, a także usprawniłby ustanowienie i funkcjonowanie tego rynku przez: ustanowienie jasnych powszechnie stosowanych przepisów dotyczących zakresu stosowania dyrektywy w sprawie bezpieczeństwa sieci i informacji oraz harmonizację przepisów mających zastosowanie w dziedzinie zarządzania ryzykiem w cyberprzestrzeni oraz zgłaszania incydentów. Obecne rozbieżności w tej dziedzinie, zarówno na szczeblu legislacyjnym, jak i nadzorczym, a także na szczeblu krajowym i unijnym, stanowią przeszkodę dla rynku wewnętrznego, ponieważ podmioty prowadzące działalność transgraniczną muszą sprostać różnym, niekiedy nakładającym się na siebie, wymogom regulacyjnym lub ich rozbieżnemu stosowaniu, ze szkodą dla korzystania przez te podmioty ze swobody przedsiębiorczości oraz ze swobody świadczenia usług. Różne przepisy mają także negatywny wpływ na warunki konkurencji na rynku wewnętrznym, jeżeli chodzi o podmioty tego samego rodzaju w różnych państwach członkowskich. •Pomocniczość (w przypadku kompetencji niewyłącznych) Nie można osiągnąć skutecznej odporności pod względem cyberbezpieczeństwa w całej Unii, jeżeli podchodzi się do niej w zróżnicowany sposób za pomocą rozwiązań krajowych lub regionalnych. W dyrektywie w sprawie bezpieczeństwa sieci i informacji częściowo usunięto to niedociągnięcie przez ustanowienie ram dotyczących bezpieczeństwa sieci i systemów informatycznych na szczeblu krajowym i unijnym. Transpozycja i wdrażanie wspomnianej dyrektywy ujawniły jednak również niedociągnięcia i ograniczenia nieodłącznie związane z niektórymi przepisami lub podejściami, np. niejasne określenie zakresu dyrektywy prowadzące do znaczących różnic w zakresie i skali faktycznej interwencji UE na poziomie państw członkowskich. Ponadto od rozpoczęcia kryzysu związanego z COVID-19 europejska gospodarka stała się jeszcze bardziej zależna od sieci i systemów informatycznych niż kiedykolwiek wcześniej, a sektory i usługi są ze sobą coraz bardziej powiązane. Główne uzasadnienie interwencji UE wykraczającej poza obecne środki określone w dyrektywie w sprawie bezpieczeństwa sieci i informacji stanowią: (i) coraz bardziej transgraniczny charakter zagrożeń i wyzwań związanych z bezpieczeństwem sieci i systemów informatycznych; (ii) potencjał unijnych działań mających na celu usprawnienie i ułatwienie wprowadzania skutecznych i skoordynowanych polityk krajowych; oraz (iii) wpływ uzgodnionych i opierających się na współpracy działań z zakresu polityki na skuteczną ochronę danych i prywatności. •Proporcjonalność Przepisy proponowane w niniejszej dyrektywie nie wykraczają poza zakres niezbędny do osiągnięcia określonych celów w zadowalający sposób. Przewidziane dostosowanie i uproszczenie środków w zakresie bezpieczeństwa i obowiązków w zakresie zgłaszania incydentów jest związane z wnioskami państw członkowskich i przedsiębiorstw o udoskonalenie obowiązujących ram. W niniejszym wniosku uwzględniono praktyki już stosowane w państwach członkowskich. Wyższy poziom ochrony osiągnięty za pośrednictwem takich uproszczonych i skoordynowanych wymogów jest proporcjonalny do coraz poważniejszych zagrożeń, w tym zagrożeń o charakterze transgranicznym; wymogi te są racjonalne i zasadniczo odpowiadają interesowi podmiotów zaangażowanych w zapewnienie ciągłości i jakości swoich usług. Koszty zapewnienia systematycznej współpracy między państwami członkowskimi byłyby niskie w porównaniu z gospodarczymi i społecznymi startami i szkodami spowodowanymi przez cyberincydenty. Ponadto konsultacje z zainteresowanymi stronami przeprowadzone w kontekście przeglądu dyrektywy w sprawie bezpieczeństwa sieci i informacji, w tym wyniki otwartych konsultacji publicznych i ankiet skierowanych do określonych grup docelowych, świadczą o poparciu dla zmiany dyrektywy w sprawie bezpieczeństwa sieci i informacji zgodnie z określonymi wyżej kierunkami. •Wybór instrumentu W niniejszym wniosku wprowadza się dalsze uproszczenie obowiązków nałożonych na przedsiębiorstwa oraz zapewnia się wyższy poziom ich harmonizacji. Jednocześnie celem wniosku jest zapewnienie państwom członkowskim elastyczności niezbędnej do uwzględnienia specyfiki krajowej (np. możliwość określenia dodatkowych podmiotów niezbędnych lub podmiotów istotnych, która wykracza poza poziom bazowy określony w akcie prawnym). Przyszłym aktem prawnym powinna zatem być dyrektywa, ponieważ instrument ten umożliwia ukierunkowaną, lepszą harmonizację, a także zapewnia właściwym organom pewien stopień elastyczności. 3.WYNIKI OCEN EX POST, KONSULTACJI Z ZAINTERESOWANYMI STRONAMI I OCEN SKUTKÓW •Oceny ex post/oceny adekwatności obowiązującego prawodawstwa Komisja przeprowadziła ocenę funkcjonowania dyrektywy w sprawie bezpieczeństwa sieci i informacji. W ocenie tej przeanalizowano znaczenie dyrektywy, jej unijną wartość dodaną, spójność, skuteczność i efektywność. Główne ustalenia wynikające z analizy są następujące: ·Zakres dyrektywy w sprawie bezpieczeństwa sieci i informacji jest zbyt ograniczony pod względem sektorów, które dyrektywa ta obejmuje, głównie ze względu na: (i) pogłębioną cyfryzację, która nastąpiła w ostatnich latach, oraz rosnące wzajemne powiązania, (ii) zakres dyrektywy w sprawie bezpieczeństwa sieci i informacji, który nie obejmuje już wszystkich sektorów cyfrowych świadczących kluczowe usługi na rzecz gospodarki i całego społeczeństwa. ·Dyrektywa w sprawie bezpieczeństwa sieci i informacji nie jest wystarczająco jasna, jeżeli chodzi o jej zakres w odniesieniu do operatorów usług kluczowych, a jej przepisy nie są wystarczająco precyzyjne odnośnie do kompetencji krajowych względem dostawców usług cyfrowych. Doprowadziło to do sytuacji, w której nie we wszystkich państwach członkowskich zidentyfikowano niektóre rodzaje podmiotów, w związku z czym nie były one zobowiązane do wdrożenia środków bezpieczeństwa i zgłaszania incydentów. ·W dyrektywie w sprawie bezpieczeństwa sieci i informacji zapewniono państwom członkowskim duży margines swobody, jeżeli chodzi o ustanawianie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów dla operatorów usług kluczowych. Z oceny wynika, że w niektórych przypadkach państwa członkowskie wdrożyły te wymogi w bardzo różny sposób, co spowodowało dodatkowe obciążenie dla przedsiębiorstw działających w więcej niż jednym państwie członkowskim. ·System nadzoru i egzekwowania przepisów określony w dyrektywie w sprawie bezpieczeństwa sieci i informacji jest nieskuteczny. Na przykład państwa członkowskie bardzo niechętnie stosują kary względem podmiotów, które nie wdrożyły wymogów w zakresie bezpieczeństwa lub które nie zgłaszają incydentów. Może to mieć negatywny wpływ na cyberodporność poszczególnych podmiotów.

·Zasoby finansowe i ludzkie przeznaczone przez państwa członkowskie na wypełnienie ich zadań (takich jak identyfikacja operatorów usług kluczowych lub nadzór nad takimi operatorami) są bardzo różne, a w konsekwencji znacznie różnią się także poszczególne poziomy dojrzałości w postępowaniu z ryzykiem w cyberprzestrzeni. Pogłębia to jeszcze bardziej różnice w zakresie cyberodporności występujące między państwami członkowskimi. ·Państwa członkowskie nie prowadzą między sobą systematycznej wymiany informacji, co ma negatywny wpływ w szczególności na skuteczność środków w zakresie cyberbezpieczeństwa oraz na poziom wspólnej orientacji sytuacyjnej na szczeblu UE. Dotyczy to także informacji wymienianych między sobą przez podmioty prywatne oraz współdziałania między strukturami współpracy na szczeblu unijnym a podmiotami prywatnymi. •Konsultacje z zainteresowanymi stronami Komisja przeprowadziła konsultacje z wieloma zainteresowanymi stronami. Zaproszono państwa członkowskie i zainteresowane strony do udziału w otwartych konsultacjach publicznych oraz w ankietach i warsztatach organizowanych przez przedsiębiorstwo Wavestone, instytut CEPS oraz ICF, którym Komisja zleciła przeprowadzenie badania mającego na celu wsparcie przeglądu dyrektywy w sprawie bezpieczeństwa sieci i informacji. Wśród zainteresowanych stron, które wzięły udział w konsultacjach, znalazły się właściwe organy, organy Unii ds. cyberbezpieczeństwa, operatorzy usług kluczowych, dostawcy usług cyfrowych, podmioty świadczące usługi nieobjęte zakresem obowiązującej dyrektywy w sprawie bezpieczeństwa sieci i informacji, stowarzyszenia branżowe oraz organizacje konsumenckie i obywatele. Ponadto Komisja jest w stałym kontakcie z właściwymi organami zajmującymi się wdrażaniem dyrektywy w sprawie bezpieczeństwa sieci i informacji. Grupa Współpracy prowadzi szeroko zakrojone prace dotyczące różnych przekrojowych i sektorowych aspektów wdrażania. Poza tym podczas wizyt krajowych dotyczących bezpieczeństwa sieci i systemów informatycznych, które odbyły się w latach 2019 i 2020, Komisja przeprowadziła wywiady ze 154 podmiotami publicznymi i prywatnymi, a także ze 117 właściwymi organami. •Gromadzenie i wykorzystanie wiedzy eksperckiej Komisja zleciła konsorcjum Wavestone, CEPS i ICF przeprowadzenie badania mającego na celu wsparcie Komisji w przeglądzie dyrektywy w sprawie bezpieczeństwa sieci i informacji. Wykonawca nie tylko dotarł do zainteresowanych stron, na które dyrektywa w sprawie bezpieczeństwa sieci i informacji miała bezpośredni wpływ, za pośrednictwem ankiet skierowanych do określonych grup docelowych i warsztatów, ale także przeprowadził konsultacje z szerokim gronem ekspertów w dziedzinie cyberbezpieczeństwa, takich jak naukowcy zajmujący się kwestią cyberbezpieczeństwa oraz specjaliści z branży cyberbezpieczeństwa. •Ocena skutków Niniejszemu wnioskowi towarzyszy ocena skutków, która została przedłożona Radzie ds. Kontroli Regulacyjnej dnia 23 października 2020 r. i dnia 20 listopada 2020 r. otrzymała jej pozytywną opinię z uwagami. Rada ds. Kontroli Regulacyjnej zaleciła wprowadzenie usprawnień w niektórych obszarach w celu: 1) lepszego odzwierciedlenia roli transgranicznych efektów zewnętrznych w analizie problemu; 2) lepszego wyjaśnienia, na czym ma polegać sukces inicjatywy; 3) bardziej szczegółowego uzasadnienia wykazu wariantów strategicznych; 4) bardziej szczegółowego opracowania kosztów proponowanych środków. Ocenę skutków dostosowano tak, aby uwzględnić w niej te punkty, a także bardziej szczegółowe uwagi Rady ds. Kontroli Regulacyjnej. Zawiera ona teraz bardziej szczegółowe wyjaśnienia dotyczące roli transgranicznych efektów zewnętrznych w dziedzinie cyberbezpieczeństwa, wyraźniejsze zestawienie dotyczące pomiaru efektów inicjatywy, bardziej szczegółowe wyjaśnienie konstrukcji i logiki poszczególnych wariantów strategicznych i działań rozważanych w ramach tych wariantów, bardziej szczegółowe wyjaśnienie aspektów analizowanych w związku z zakresem sektorowym dyrektywy w sprawie bezpieczeństwa sieci i informacji, a także bardziej szczegółowe wyjaśnienia dotyczące kosztów. Komisja rozważyła szereg wariantów strategicznych dotyczących udoskonalenia ram prawnych w obszarze cyberodporności i reagowania na incydenty: ·„brak działań”: dyrektywa w sprawie bezpieczeństwa sieci i informacji pozostałaby niezmieniona i nie zostałyby wdrożone żadne inne środki o charakterze nieustawodawczym służące rozwiązaniu problemów zidentyfikowanych w ocenie dyrektywy w sprawie bezpieczeństwa sieci i informacji; ·wariant 1: brak zmian na poziomie ustawodawczym. Zamiast tego Komisja – po przeprowadzeniu konsultacji z Grupą Współpracy, Agencją Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) oraz, w stosownych przypadkach, z siecią zespołów reagowania na incydenty bezpieczeństwa komputerowego (CSIRT) – wydałaby zalecenia i wytyczne (np. dotyczące identyfikacji operatorów usług kluczowych, wymogów w zakresie bezpieczeństwa, procedur zgłaszania incydentów oraz nadzoru); ·wariant 2: wariant ten obejmuje ukierunkowane zmiany dyrektywy w sprawie bezpieczeństwa sieci i informacji, obejmujące rozszerzenie jej zakresu oraz kilka innych zmian służących zapewnieniu pewnych natychmiastowych rozwiązań zidentyfikowanych problemów, które zapewniłyby większą jasność i dalszą harmonizację (np. przepisy służące harmonizacji progów identyfikacji). W zmienionej dyrektywie w sprawie bezpieczeństwa sieci i informacji zachowano by jednak najistotniejsze elementy leżące u podstaw polityki, podejście i założenia; ·wariant 3: scenariusz ten obejmuje systemowe i strukturalne zmiany dyrektywy w sprawie bezpieczeństwa sieci i informacji (za pośrednictwem nowej dyrektywy) uwzględniające bardziej fundamentalną zmianę podejścia w kierunku objęcia zakresem dyrektywy szerszego segmentu gospodarek w całej Unii, przy założeniu jednak bardziej skoncentrowanego nadzoru ukierunkowanego na duże i kluczowe podmioty. Scenariusz ten zakładałby także uproszczenie obowiązków nałożonych na przedsiębiorstwa i zapewnienie wyższego poziomu ich harmonizacji, utworzenie otoczenia sprzyjającego skuteczniejszemu wdrażaniu aspektów operacyjnych, a także ustanowienie klarownej podstawy rozszerzonych wspólnych obowiązków i odpowiedzialności różnych zainteresowanych stron, jeżeli chodzi o środki w zakresie cyberbezpieczeństwa. W ocenie skutków stwierdzono, że preferowanym wariantem jest wariant 3 (tj. systemowe i strukturalne zmiany ram prawnych dotyczących bezpieczeństwa sieci i systemów informatycznych). Pod względem skuteczności preferowanym wariantem byłoby wyraźne określenie zakresu stosowania dyrektywy w sprawie bezpieczeństwa sieci i informacji rozszerzonego na bardziej reprezentatywną część gospodarek i społeczeństw UE, a także uproszczenie wymogów wraz z doprecyzowaniem ram dotyczących nadzoru i egzekwowania, które miałyby na celu podniesienie poziomu zgodności. Scenariusz ten obejmuje także środki ukierunkowane na usprawnienie podejść do tworzenia polityki na poziomie państw członkowskich oraz zmianę ich paradygmatu, propagowanie nowych ram zarządzania ryzykiem związanym z relacjami z dostawcami oraz skoordynowane ujawnianie podatności. Jednocześnie w ramach preferowanego wariantu strategicznego ustanawia się jasną podstawę wspólnych obowiązków i odpowiedzialności oraz przewiduje się mechanizmy służące budowaniu większego zaufania między państwami członkowskimi, zarówno między organami, jak i branżami, które będą zachęcać do wymiany informacji oraz zapewniać bardziej operacyjne podejście, takie jak mechanizmy wzajemnej pomocy i wzajemnej oceny. Wariant ten zapewniłby także unijne ramy zarządzania kryzysowego, opierające się na uruchomionej niedawno unijnej sieci operacyjnej, a także większe zaangażowanie ENISA, w ramach jej obecnego mandatu, w przeprowadzanie dokładnego przeglądu stanu cyberbezpieczeństwa w Unii. Pod względem efektywności preferowany wariant wiązałby się z dodatkowymi kosztami przestrzegania i egzekwowania przepisów dla przedsiębiorstw i państw członkowskich, prowadziłby jednak również do efektywnych kompromisów i synergii; spośród wszystkich przeanalizowanych wariantów strategicznych wariant ten ma największy potencjał, jeżeli chodzi o zapewnienie wysokiego i spójnego poziomu cyberodporności kluczowych podmiotów w całej Unii, co ostatecznie doprowadziłoby do oszczędności kosztów zarówno dla przedsiębiorstw, jak i dla społeczeństwa. Ten wariant strategiczny prowadziłby do pewnego dodatkowego obciążenia administracyjnego i dodatkowych kosztów przestrzegania przepisów dla organów państw członkowskich. W perspektywie średnio- i długoterminowej wariant ten przyniósłby jednak średnio znaczące korzyści dzięki ściślejszej współpracy między państwami członkowskimi, w tym na szczeblu operacyjnym, a także przyczyniłby się – za pośrednictwem mechanizmów wzajemnej pomocy i wzajemnej oceny oraz dokładniejszego przeglądu kluczowych przedsiębiorstw oraz interakcji z nimi – do ogólnego wzrostu zdolności w zakresie cyberbezpieczeństwa na szczeblu krajowym i regionalnym. Preferowany wariant strategiczny zapewniłby także dużą spójność z innymi przepisami, inicjatywami lub środkami z zakresu polityki, w tym z sektorowym lex specialis. Zaradzenie występującym obecnie brakom, jeżeli chodzi o gotowość w obszarze cyberbezpieczeństwa na szczeblu państw członkowskich oraz na poziomie przedsiębiorstw i innych organizacji, może przyczynić się do zwiększenia efektywności i ograniczenia dodatkowych kosztów wynikających z cyberincydentów. ·Z perspektywy podmiotów niezbędnych i istotnych podniesienie poziomu gotowości w obszarze cyberbezpieczeństwa może doprowadzić do ograniczenia zakresu potencjalnego uszczuplenia dochodów z powodu zakłóceń – w tym spowodowanych przez szpiegostwo przemysłowe – oraz ogromnych wydatków na niwelowanie zagrożeń ad hoc. Korzyści takie prawdopodobnie przeważą nad kosztami niezbędnych inwestycji. Zmniejszenie fragmentacji rynku wewnętrznego przyczyniłoby się również do wyrównania warunków działania wśród operatorów. ·Z perspektywy państw członkowskich może to jeszcze bardziej ograniczyć ryzyko wzrostu wydatków budżetowych na niwelowanie zagrożeń ad hoc oraz dodatkowych kosztów w przypadku wystąpienia sytuacji krytycznych związanych z cyberincydentami. ·Z perspektywy obywateli zaradzenie cyberincydentom powinno przyczynić się do ograniczenia zakresu uszczuplenia dochodów spowodowanego zakłóceniami gospodarczymi.

Wyższy poziom cyberbezpieczeństwa we wszystkich państwach członkowskich oraz możliwość szybkiego reagowania na incydent przez przedsiębiorstwa i organy oraz łagodzenia jego skutków prawdopodobnie przyczynią się do ogólnego wzrostu zaufania obywateli do gospodarki cyfrowej, co może mieć pozytywny wpływ ma wzrost gospodarczy i inwestycje. Wzrost ogólnego poziomu cyberbezpieczeństwa prawdopodobnie przyczyni się do wzrostu ogólnego poziomu bezpieczeństwa oraz do płynnego, niezakłóconego funkcjonowania usług kluczowych, które mają podstawowe znaczenie dla społeczeństwa. Inicjatywa może także przełożyć się na inne skutki społeczne, takie jak obniżenie poziomu cyberprzestępczości i terroryzmu oraz wzrost poziomu ochrony ludności. Wzrost poziomu gotowości przedsiębiorstw i innych organizacji do reagowania w obszarze cyberbezpieczeństwa może przyczynić się do uniknięcia potencjalnych strat finansowych w wyniku cyberataków, a tym samym do zapobieżenia konieczności zwalniania pracowników. Wzrost ogólnego poziomu cyberbezpieczeństwa może także prowadzić do zapobiegania zagrożeniom i szkodom dla środowiska w przypadku ataku na usługę kluczową. Może to dotyczyć w szczególności sektorów energetyki, zaopatrzenia w wodę i jej dystrybucji lub transportu. Dzięki wzmocnieniu zdolności w zakresie cyberbezpieczeństwa inicjatywa może prowadzić do większego wykorzystania infrastruktury i usług ICT najnowszej generacji, które są także bardziej zrównoważone pod względem środowiskowym, a także do zastąpienia nieefektywnej i mniej bezpiecznej dotychczasowej infrastruktury. Oczekuje się, że inicjatywa przyczyni się także do ograniczenia liczby kosztownych cyberincydentów, co uwolni zasoby na zrównoważone inwestycje. •Sprawność regulacyjna i uproszczenie We wniosku przewidziano ogólne wyłączenie z zakresu ram prawnych dotyczących bezpieczeństwa sieci i informacji mikro- i małych podmiotów, a także stosowanie lżejszego systemu nadzoru ex post do dużej liczby nowych podmiotów objętych zakresem zmienionej dyrektywy (tzw. podmioty istotne). Celem tych środków jest ograniczenie do minimum oraz zrównoważenie obciążenia nakładanego na przedsiębiorstwa i administrację publiczną. Ponadto we wniosku zastępuje się złożony system identyfikacji operatorów usług kluczowych obowiązkiem mającym ogólne zastosowanie, a także wprowadza się wyższy poziom harmonizacji obowiązków w zakresie bezpieczeństwa i zgłaszania incydentów, co może zmniejszyć obciążenie związane z przestrzeganiem przepisów, zwłaszcza w przypadku podmiotów świadczących usługi transgraniczne. We wniosku ogranicza się do minimum koszty przestrzegania przepisów dla MŚP, gdyż podmioty są zobowiązane do wdrożenia wyłącznie tych środków, które są niezbędne, aby zapewnić poziom bezpieczeństwa sieci i systemów informatycznych odpowiedni do istniejącego ryzyka. •Prawa podstawowe UE dąży do zapewnienia najwyższych standardów ochrony praw podstawowych. Wszelka dobrowolna wymiana informacji między podmiotami, do której zachęca się w niniejszej dyrektywie, odbywałaby się w zaufanym otoczeniu z pełnym poszanowaniem unijnych przepisów o ochronie danych, zwłaszcza rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679. 4.WPŁYW NA BUDŻET Zob. część finansowa 5.ELEMENTY FAKULTATYWNE •Plany wdrożenia i monitorowanie, ocena i sprawozdania Wniosek obejmuje ogólny plan monitorowania i oceny wpływu na konkretne cele, co wymaga od Komisji przeprowadzenia przeglądu co najmniej [54 miesiące] od daty wejścia w życie oraz przedłożenia sprawozdania dla Parlamentu Europejskiego i Rady w sprawie głównych ustaleń tego przeglądu. Przegląd przeprowadza się zgodnie z wytycznymi Komisji dotyczącymi lepszego stanowienia prawa. •Szczegółowe objaśnienia poszczególnych przepisów wniosku We wniosku skupiono się na kilku głównych obszarach polityki, które są ze sobą powiązane, a jego celem jest podniesienie poziomu cyberbezpieczeństwa w Unii. Przedmiot i zakres (art. 1 i 2) Dyrektywa w szczególności: a) określa obowiązki spoczywające na państwach członkowskich, dotyczące przyjęcia krajowej strategii cyberbezpieczeństwa, wyznaczania właściwych organów krajowych, pojedynczych punktów kontaktowych oraz CSIRT; b) stanowi, że państwa członkowskie muszą określić obowiązki związane z zarządzaniem ryzykiem w cyberprzestrzeni oraz zgłaszaniem incydentów spoczywające na podmiotach, które w załączniku I nazywa się podmiotami niezbędnymi, a w załączniku II – podmiotami istotnymi; c) stanowi, że państwa członkowskie muszą określić obowiązki w zakresie wymiany informacji na temat cyberbezpieczeństwa. Dyrektywa ma zastosowanie do niektórych publicznych lub prywatnych podmiotów niezbędnych działających w sektorach wymienionych w załączniku I (energetyki; transportu; bankowości; infrastruktury rynków finansowych; służby zdrowia; wody pitnej; ścieków; infrastruktury cyfrowej; administracji publicznej i przestrzeni kosmicznej), a także do niektórych podmiotów istotnych działających w sektorach wymienionych w załączniku II (usługi pocztowe i kurierskie; gospodarka odpadami; wytwarzanie, produkcja i dystrybucja chemikaliów; produkcja, przetwarzanie i dystrybucja żywności; wytwarzanie i dostawcy usług cyfrowych). W rozumieniu zalecenia Komisji 2003/361/WE z dnia 6 maja 2003 r. mikro- i małe podmioty są wyłączone z zakresu dyrektywy, z wyjątkiem dostawców sieci łączności elektronicznej lub publicznie dostępnych usług łączności elektronicznej, dostawców usług zaufania, rejestrów nazw domen najwyższego poziomu (TLD) i administracji publicznej oraz niektórych innych podmiotów, takich jak wyłączny dostawca usługi w jakimś państwie członkowskim. Krajowe ramy dotyczące cyberbezpieczeństwa (art. 5–11)

Państwa członkowskie są zobowiązane do przyjęcia krajowej strategii cyberbezpieczeństwa określającej cele strategiczne oraz odpowiednie środki polityczne i regulacyjne mające na celu osiągnięcie i utrzymanie wysokiego poziomu cyberbezpieczeństwa. W dyrektywie ustanawia się także ramy skoordynowanego ujawniania podatności oraz wymaga się, aby państwa członkowskie wyznaczyły CSIRT, by pełniły one rolę zaufanych pośredników i ułatwiały interakcję między podmiotami zgłaszającymi a producentami lub dostawcami produktów i usług ICT. ENISA jest zobowiązana do rozwijania i utrzymywania europejskiego rejestru podatności dotyczącego wykrytych podatności. Państwa członkowskie są zobowiązane do wdrożenia krajowych ram zarządzania kryzysami cyberbezpieczeństwa, m.in. przez wyznaczenie właściwych organów krajowych odpowiedzialnych za zarządzanie cyberincydentami i kryzysami cyberbezpieczeństwa na dużą skalę. Państwa członkowskie są również zobowiązane do wyznaczenia co najmniej jednego właściwego organu krajowego ds. cyberbezpieczeństwa, który będzie wykonywał zadania nadzorcze na podstawie niniejszej dyrektywy, a także krajowego pojedynczego punktu kontaktowego do spraw cyberbezpieczeństwa, który będzie pełnił funkcję łącznikową w celu zapewnienia transgranicznej współpracy organów państw członkowskich. Państwa członkowskie są także zobowiązane do wyznaczenia CSIRT. Współpraca (art. 12–16) W dyrektywie ustanawia się Grupę Współpracy, aby wspierać i ułatwiać strategiczną współpracę i wymianę informacji między państwami członkowskimi oraz rozwijać zaufanie i pewność; Ponadto ustanawia się sieć CSIRT, aby przyczyniać się do rozwijania pewności i zaufania między państwami członkowskimi oraz promować szybką i skuteczną współpracę operacyjną. Ustanawia się europejską sieć organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa (EU-CyCLONe), aby wspierać skoordynowane zarządzanie cyberincydentami i kryzysami cyberbezpieczeństwa na dużą skalę oraz zapewniać regularną wymianę informacji między państwami członkowskimi a instytucjami UE. ENISA jest zobowiązana do wydawania co dwa lata, we współpracy z Komisją, sprawozdania o stanie cyberbezpieczeństwa w Unii. Komisja jest zobowiązana do ustanowienia systemu wzajemnej oceny umożliwiającego regularną wzajemną ocenę skuteczności polityk cyberbezpieczeństwa państw członkowskich. Zarządzanie ryzykiem w cyberprzestrzeni i obowiązki w zakresie zgłaszania incydentów (art. 17–23) W dyrektywie nakłada się na państwa członkowskie obowiązek zapewnienia, aby organy zarządzające wszystkich podmiotów objętych jej zakresem zatwierdziły środki w zakresie zarządzania ryzykiem w cyberprzestrzeni przyjęte przez odpowiednie podmioty oraz uczestniczyły w specjalnych szkoleniach poświęconych cyberbezpieczeństwu. Państwa członkowskie są zobowiązane do zapewnienia, aby podmioty objęte zakresem dyrektywy stosowały odpowiednie i proporcjonalne środki techniczne i organizacyjne w celu zarządzania ryzykiem w cyberprzestrzeni stwarzanym dla bezpieczeństwa sieci i systemów informatycznych. Są one zobowiązane także do zapewnienia, aby podmioty powiadamiały właściwe organy krajowe lub CSIRT o każdym cyberincydencie mającym znaczący wpływ na świadczenie usługi, za którą odpowiadają te podmioty. Rejestry TLD oraz podmioty świadczące usługi rejestracji nazwy domeny dla TLD powinny gromadzić i utrzymywać precyzyjne i kompletne dane dotyczące rejestracji nazw domen. Ponadto takie podmioty są zobowiązane do zapewnienia wnioskodawcom ubiegającym się o prawnie uzasadniony dostęp efektywnego dostępu do danych dotyczących rejestracji domeny. Jurysdykcja i rejestracja (art. 24 i 25) Co do zasady uznaje się, że podmioty niezbędne i istotne podlegają jurysdykcji państwa członkowskiego, w którym świadczą usługi. Niektóre rodzaje podmiotów (dostawców usług DNS, rejestry nazw TLD, dostawców usług w chmurze, dostawców usług ośrodka przetwarzania danych oraz dostawców sieci dostarczania treści, a także niektórych dostawców usług cyfrowych) uznaje się jednak za podlegające jurysdykcji państwa członkowskiego, w którym znajduje się główna jednostka organizacyjna danego podmiotu w Unii. Ma to na celu zapewnienie, aby takie podmioty nie musiały spełniać wielu różnych wymogów prawnych ze względu na fakt, iż w stosunkowo dużym zakresie świadczą swoje usługi w wymiarze transgranicznym. ENISA jest zobowiązana do utworzenia i prowadzenia rejestru tych ostatnich podmiotów. Wymiana informacji (art. 26 i 27) Państwa członkowskie zapewniają przepisy umożliwiające podmiotom podjęcie wymiany informacji związanych z cyberbezpieczeństwem w ramach szczegółowych rozwiązań dotyczących przekazywania informacji na temat cyberbezpieczeństwa zgodnie z art. 101 TFUE. Ponadto państwa członkowskie muszą umożliwić podmiotom nieobjętym zakresem niniejszej dyrektywy zgłaszanie – na zasadzie dobrowolności – znaczących incydentów, cyberzagrożeń lub zdarzeń potencjalnie wypadkowych. Nadzór i egzekwowanie przepisów (art. 28–34) Właściwe organy są zobowiązane do sprawowania nadzoru nad podmiotami objętymi zakresem niniejszej dyrektywy, a w szczególności do zapewnienia przestrzegania przez nie wymogów dotyczących bezpieczeństwa i zgłaszania incydentów. W dyrektywie rozróżnia się system nadzoru ex ante dotyczący podmiotów niezbędnych i system nadzoru ex post dotyczący podmiotów istotnych, w ramach którego właściwe organy są zobowiązane do podejmowania działań, jeżeli zostaną im dostarczone dowody lub wskazanie, że podmiot istotny nie spełnia wymogów dotyczących bezpieczeństwa i zgłaszania incydentów. W dyrektywie zobowiązuje się państwa członkowskie także do nakładania na podmioty niezbędne i istotne administracyjnych kar pieniężnych oraz definiuje się określone maksymalne poziomy kar.

Państwa członkowskie są zobowiązane do współpracy i świadczenia sobie w stosownych przypadkach wzajemnej pomocy, w przypadku gdy podmioty świadczą usługi w więcej niż jednym państwie członkowskim lub jeżeli główna jednostka organizacyjna danego podmiotu lub jego przedstawiciel znajdują się w jednym państwie członkowskim, ale jego sieci i systemy informatyczne znajdują się w innym państwie członkowskim lub kilku innych państwach członkowskich. 2020/0359 (COD) Wniosek DYREKTYWA PARLAMENTU EUROPEJSKIEGO I RADY w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii, uchylająca dyrektywę (UE) 2016/1148 (Tekst mający znaczenie dla EOG) PARLAMENT EUROPEJSKI I RADA UNII EUROPEJSKIEJ, uwzględniając Traktat o funkcjonowaniu Unii Europejskiej, w szczególności jego art. 114, uwzględniając wniosek Komisji Europejskiej, po przekazaniu projektu aktu ustawodawczego parlamentom narodowym, uwzględniając opinię Europejskiego Komitetu Ekonomiczno-Społecznego, uwzględniając opinię Komitetu Regionów, stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, a także mając na uwadze, co następuje: (1)Celem dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/1148 było zbudowanie zdolności w zakresie cyberbezpieczeństwa w całej Unii, łagodzenie zagrożeń dla sieci i systemów informatycznych wykorzystywanych do celów świadczenia usług kluczowych w kluczowych sektorach oraz zapewnienie ciągłości takich usług w sytuacji zaistnienia cyberincydentów, a tym samym przyczynienie się do sprawnego funkcjonowania gospodarki i społeczeństwa Unii. (2)Od momentu wejścia w życie dyrektywy (UE) 2016/1148 poczyniono znaczne postępy, jeżeli chodzi o podnoszenie poziomu odporności Unii pod względem cyberbezpieczeństwa. Przegląd tej dyrektywy pokazał, że stanowiła ona katalizator dla instytucjonalnego i regulacyjnego podejścia do cyberbezpieczeństwa w Unii, torując drogę do znaczącej zmiany w sposobie myślenia. Dyrektywa ta zapewniła ukończenie tworzenia krajowych ram przez określenie krajowych strategii cyberbezpieczeństwa, ustanowienie krajowych zdolności oraz wdrożenie środków regulacyjnych obejmujących niezbędną infrastrukturę i podmioty zidentyfikowane przez każde państwo członkowskie. Przyczyniła się ona także do współpracy na szczeblu unijnym dzięki ustanowieniu Grupy Współpracy oraz sieci krajowych zespołów reagowania na incydenty bezpieczeństwa komputerowego („sieć CSIRT”). Pomimo tych osiągnąć przegląd dyrektywy (UE) 2016/1148 ujawnił tkwiące w niej braki, które uniemożliwiają skuteczne zaradzenie obecnym i pojawiającym się wyzwaniom w zakresie cyberbezpieczeństwa. (3)Wraz z szybko postępującą transformacją cyfrową i siecią wzajemnych połączeń, jakie charakteryzują społeczeństwo, w tym w kontekście wymiany transgranicznej, sieci i systemy informatyczne stały się zasadniczym elementem codziennego życia. Zmiana ta doprowadziła do ewolucji krajobrazu zagrożeń dla cyberbezpieczeństwa, przynosząc nowe wyzwania, które wymagają dostosowanych, skoordynowanych i innowacyjnych reakcji we wszystkich państwach członkowskich. Liczba, skala, zaawansowanie, częstotliwość oraz wpływ cyberincydentów stają się coraz większe i stanowią poważne zagrożenie dla funkcjonowania sieci i systemów informatycznych. W rezultacie cyberincydenty mogą utrudniać prowadzenie działalności gospodarczej na rynku wewnętrznym, powodować straty finansowe, podważać zaufanie użytkowników oraz powodować poważne straty dla gospodarki Unii i jej społeczeństwa. W związku z powyższym gotowość i skuteczność w obszarze cyberbezpieczeństwa są teraz bardziej istotne dla prawidłowego funkcjonowania rynku wewnętrznego niż kiedykolwiek wcześniej. (4)Podstawę prawną dyrektywy (UE) 2016/1148 stanowił art. 114 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE), którego celem jest ustanowienie i funkcjonowanie rynku wewnętrznego przez usprawnienie środków służących zbliżeniu przepisów krajowych. Wymogi w zakresie cyberbezpieczeństwa nałożone na podmioty świadczące usługi lub prowadzące działalność istotną z ekonomicznego punktu widzenia różnią się znacznie w zależności od państwa członkowskiego pod względem rodzaju wymogów, ich poziomu szczegółowości oraz metody nadzoru. Rozbieżności te pociągają za sobą dodatkowe koszty i powodują trudności dla podmiotów, które oferują towary lub usługi w wymiarze transgranicznym. Wymogi nałożone przez jedno państwo członkowskie, które różnią się od wymogów nałożonych przez inne państwo członkowskie lub są nawet z nimi sprzeczne, mogą w istotny sposób wpływać na taką transgraniczną działalność. Ponadto ewentualna nieoptymalna konstrukcja norm dotyczących cyberbezpieczeństwa lub ewentualny nieoptymalny sposób ich wdrażania prawdopodobnie będą miały negatywny wpływ na poziom cyberbezpieczeństwa innych państw członkowskich, zwłaszcza biorąc pod uwagę intensywną wymianę transgraniczną. Z przeglądu dyrektywy (UE) 2016/1148 wynika, że istnieją znaczne rozbieżności, jeżeli chodzi o jej wdrażanie przez państwa członkowskie, w tym w odniesieniu do jej zakresu, w odniesieniu do którego pozostawiono państwom członkowskim duży margines swobody. W dyrektywie (UE) 2016/1148 zapewniono państwom członkowskim bardzo duży margines swobody także w odniesieniu do wdrażania określonych w niej obowiązków dotyczących bezpieczeństwa i zgłaszania incydentów. W rezultacie obowiązki te wdrożono na szczeblu krajowym w bardzo różny sposób. Podobny rozdźwięk we wdrażaniu miał miejsce w odniesieniu do przepisów wspomnianej dyrektywy dotyczących nadzoru i egzekwowania przepisów. (5)Wszystkie te rozbieżności pociągają za sobą fragmentację rynku wewnętrznego i mogą mieć szkodliwy wpływ na jego funkcjonowanie, oddziałując w szczególności na transgraniczne świadczenie usług i poziom odporności pod względem cyberbezpieczeństwa ze względu na stosowanie różnych norm. Celem niniejszej dyrektywy jest zatem wyeliminowanie takich rozbieżności między państwami członkowskimi, w szczególności przez określenie minimalnych przepisów dotyczących funkcjonowania skoordynowanych ram regulacyjnych, ustanowienie mechanizmów skutecznej współpracy między odpowiedzialnymi organami w każdym państwie członkowskim, dokonanie aktualizacji wykazu sektorów i działań podlegających obowiązkom w zakresie cyberbezpieczeństwa oraz ustanowienie skutecznych środków naprawczych i sankcji, które są kluczowe dla skutecznego egzekwowania tych obowiązków. Dyrektywę (UE) 2016/1148 należy zatem uchylić i zastąpić niniejszą dyrektywą. (6)Niniejsza dyrektywa nie wpływa na możliwość zastosowania przez państwa członkowskie środków niezbędnych do zapewnienia ochrony podstawowych interesów ich bezpieczeństwa, do ochrony porządku publicznego i bezpieczeństwa publicznego oraz do umożliwienia prowadzenia postępowań przygotowawczych, wykrywania i ścigania przestępstw zgodnie z prawem Unii. Zgodnie z art. 346 TFUE żadne państwo członkowskie nie ma obowiązku udzielania informacji, których ujawnienie jest sprzeczne z podstawowymi interesami jego bezpieczeństwa publicznego. W tym kontekście zastosowanie mają krajowe i unijne przepisy dotyczące ochrony informacji niejawnych, umowy o zachowaniu poufności oraz nieformalne porozumienia o zachowaniu poufności, takie jak kod poufności TLP.

(7)Wraz z uchyleniem dyrektywy (UE) 2016/1148 należy rozszerzyć zakres stosowania przepisów przez poszczególne sektory na większą część gospodarki ze względów przedstawionych w motywach 4–6. Wykaz sektorów objętych dyrektywą (UE) 2016/1148 należy zatem rozszerzyć, aby zapewnić całościowe uwzględnienie sektorów i usług mających istotne znaczenie dla kluczowych rodzajów działalności społecznej i gospodarczej w ramach rynku wewnętrznego. Przepisy nie powinny się różnić w zależności od tego, czy podmioty są operatorami usług kluczowych czy dostawcami usług cyfrowych. Rozróżnienie to okazało się nieaktualne, ponieważ nie odzwierciedla faktycznego znaczenia sektorów lub usług dla działalności społecznej i gospodarczej na rynku wewnętrznym. (8)Zgodnie z dyrektywą (UE) 2016/1148 państwa członkowskie były odpowiedzialne za określanie, które podmioty spełniają kryteria decydujące o uznaniu ich za operatorów usług kluczowych („proces identyfikacji”). Aby wyeliminować znaczne rozbieżności w tym zakresie między państwami członkowskimi oraz zapewnić wszystkim właściwym podmiotom pewność prawa w odniesieniu do wymogów dotyczących zarządzania ryzykiem i obowiązków w zakresie zgłaszania incydentów, należy ustanowić jednolite kryterium decydujące o tym, które podmioty są objęte zakresem stosowania niniejszej dyrektywy. Kryterium to powinno przewidywać stosowanie zasady maksymalnej wielkości, zgodnie z którą w zakres dyrektywy wchodzą wszystkie średnie i duże przedsiębiorstwa zdefiniowane w zaleceniu Komisji 2003/361/WE, które działają w sektorach objętych zakresem niniejszej dyrektywy lub świadczą rodzaj usług objęty zakresem niniejszej dyrektywy. Państwa członkowskie nie powinny być zobowiązane do ustanowienia wykazu podmiotów, które spełniają to mające ogólne zastosowanie kryterium związane z wielkością. (9)Zakres niniejszej dyrektywy powinien jednak obejmować także małe podmioty lub mikropodmioty spełniające określone kryteria, które wskazują na zasadnicze znaczenie tych podmiotów dla gospodarek lub społeczeństw państw członkowskich lub dla konkretnych sektorów lub rodzajów usług. Państwa członkowskie powinny być odpowiedzialne za ustanowienie wykazu takich podmiotów i powinny przedłożyć go Komisji. (10)Komisja, we współpracy z Grupą Współpracy, może sformułować wytyczne dotyczące wdrażania kryteriów mających zastosowanie do mikroprzedsiębiorstw i małych przedsiębiorstw. (11)W zależności od sektora działalności lub rodzaju świadczonych usług podmioty objęte zakresem niniejszej dyrektywy należy podzielić na dwie kategorie: podmioty niezbędne i podmioty istotne. W podziale tym należy uwzględnić poziom krytyczności sektora lub rodzaju usługi, a także poziom zależności innych sektorów lub rodzajów usług. Zarówno podmioty niezbędne, jak i podmioty istotne powinny podlegać tym samym wymogom w zakresie zarządzania ryzykiem i tym samym obowiązkom w zakresie zgłaszania incydentów. Należy natomiast zróżnicować systemy nadzoru i kar między tymi dwoma kategoriami podmiotów, aby zapewnić odpowiednią równowagę między wymogami i obowiązkami z jednej strony a obciążeniem administracyjnym wynikającym z nadzoru nad zgodnością z przepisami z drugiej. (12)Przepisy i instrumenty sektorowe mogą przyczynić się do zapewnienia wysokiego poziomu cyberbezpieczeństwa przy jednoczesnym uwzględnieniu w pełni specyfiki i złożoności tych sektorów. W przypadku gdy na mocy unijnego sektorowego aktu prawnego podmioty niezbędne lub istotne zobowiązano do przyjęcia środków zarządzania ryzykiem w cyberprzestrzeni lub zgłaszania incydentów lub znaczących cyberzagrożeń, które to wymogi mają skutki co najmniej równoważne skutkowi, jaki wywierają obowiązki przewidziane w niniejszej dyrektywie, powinny mieć zastosowanie takie przepisy sektorowe, w tym przepisy dotyczące nadzoru i egzekwowania przepisów. Komisja może wydać wytyczne w związku z wdrożeniem lex specialis. Niniejsza dyrektywa nie stanowi przeszkody dla przyjęcia dodatkowych sektorowych aktów Unii dotyczących środków zarządzania ryzykiem w cyberprzestrzeni i zgłaszania incydentów. Niniejsza dyrektywa pozostaje bez uszczerbku dla istniejących uprawnień wykonawczych, które powierzono Komisji w wielu sektorach, w tym w sektorach transportu i energetyki. (13)Rozporządzenie Parlamentu Europejskiego i Rady XXXX/XXXX należy uznać w kontekście niniejszej dyrektywy za unijny sektorowy akt prawny w odniesieniu do podmiotów sektora finansowego. Zamiast przepisów ustanowionych w niniejszej dyrektywie zastosowanie powinny mieć przepisy rozporządzenia XXXX/XXXX dotyczące środków zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi (ICT), zarządzania incydentami związanymi z ICT, a zwłaszcza zgłaszania incydentów, a także testowania operacyjnej odporności cyfrowej, mechanizmów wymiany informacji oraz ryzyka związanego z zewnętrznymi dostawcami ICT. Do żadnych podmiotów objętych rozporządzeniem XXXX/XXXX państwa członkowskie nie powinny zatem stosować przepisów niniejszej dyrektywy dotyczących zarządzania ryzykiem w cyberprzestrzeni, obowiązków w zakresie zgłaszania incydentów, wymiany informacji oraz nadzoru i egzekwowania przepisów. Jednocześnie istotne jest, aby utrzymać silne relacje i skuteczną wymianę informacji z sektorem finansowym na gruncie niniejszej dyrektywy. W tym celu na podstawie rozporządzenia XXXX/XXXX wszystkim organom nadzoru finansowego, Europejskim Urzędom Nadzoru właściwym dla sektora finansowego oraz właściwym organom krajowym na mocy rozporządzenia XXXX/XXXX umożliwiono udział w strategicznych dyskusjach na temat polityki i pracach technicznych Grupy Współpracy, a także wymianę informacji i współpracę z pojedynczymi punktami kontaktowymi wyznaczonymi na podstawie niniejszej dyrektywy oraz z krajowymi CSIRT. Właściwe organy na mocy rozporządzenia XXXX/XXXX powinny przekazywać dane na temat poważnych incydentów dotyczących ICT także pojedynczym punktom kontaktowym wyznaczonym na podstawie niniejszej dyrektywy. Ponadto państwa członkowskie powinny w dalszym ciągu uwzględniać sektor finansowy w swoich strategiach w zakresie cyberbezpieczeństwa, a krajowe CSIRT mogą objąć go swoimi działaniami. (14)Biorąc pod uwagę powiązania między cyberbezpieczeństwem a bezpieczeństwem fizycznym podmiotów, należy zapewnić spójność pod względem podejścia między dyrektywą Parlamentu Europejskiego i Rady (UE) XXX/XXX a niniejszą dyrektywą. W tym celu państwa członkowskie powinny zapewnić, aby podmioty krytyczne, oraz równoważne podmioty, zgodnie z dyrektywą (UE) XXX/XXX uznawano za podmioty niezbędne w rozumieniu niniejszej dyrektywy. Państwa członkowskie powinny także zapewnić, aby ich strategie dotyczące cyberbezpieczeństwa obejmowały ramy polityki na rzecz zwiększonej koordynacji między właściwym organem na mocy niniejszej dyrektywy a właściwym organem na mocy dyrektywy (UE) XXX/XXX w kontekście udostępniania informacji na temat incydentów i cyberzagrożeń oraz w kontekście wykonywania zadań nadzorczych. Organy na mocy obu dyrektyw powinny ze sobą współpracować i prowadzić wymianę informacji, w szczególności w odniesieniu do identyfikacji podmiotów krytycznych, cyberzagrożeń, ryzyka w cyberprzestrzeni, incydentów wpływających na podmioty krytyczne, a także w odniesieniu do środków w zakresie cyberbezpieczeństwa przyjmowanych przez podmioty krytyczne. Na wniosek właściwych organów na mocy dyrektywy (UE) XXX/XXX właściwym organom na mocy niniejszej dyrektywy należy zezwolić na wykonywanie swoich uprawnień w zakresie nadzoru i egzekwowania przepisów względem podmiotu niezbędnego zidentyfikowanego jako podmiot krytyczny. Właściwe organy na mocy obu dyrektyw powinny w tej kwestii współpracować i prowadzić wymianę informacji. (15)Utrzymywanie i zachowanie wiarygodnego, odpornego i bezpiecznego systemu nazw domen (DNS) odgrywa decydującą rolę w utrzymaniu integralności internetu oraz ma istotne znaczenie dla jego nieprzerwanego i stabilnego działania, od którego zależą gospodarka cyfrowa i społeczeństwo cyfrowe. W związku z tym niniejsza dyrektywa powinna mieć zastosowanie do wszystkich dostawców usług DNS w całym łańcuchu rozwiązywania nazw DNS, z uwzględnieniem operatorów głównych serwerów nazw, serwerów nazw domen najwyższego poziomu (TLD), autorytatywnych serwerów nazw dla nazw domen i rekurencyjnych resolwerów. (16)Usługi w chmurze powinny obejmować usługi, które umożliwiają administrowanie na żądanie skalowalnym i elastycznym zbiorem rozproszonych zasobów obliczeniowych do wspólnego wykorzystywania oraz szeroki dostęp zdalny do tego zbioru zasobów. Pojęcie „zasoby obliczeniowe” obejmuje zasoby, takie jak: sieci, serwery lub inną infrastrukturę, systemy operacyjne, oprogramowanie, pamięć masową, aplikacje i usługi. Modele rozmieszczenia usług w chmurze powinny obejmować chmury prywatne, zbiorowe, publiczne i hybrydowe. Wspomniane wyżej modele usług i modele rozmieszczenia mają takie samo znaczenie jak terminy dotyczące modeli usług i modeli rozmieszczenia zdefiniowane w normie ISO/IEC 17788:2014. Zdolność użytkownika usług w chmurze do jednostronnego zapewnienia sobie możliwości przetwarzania danych, takich jak czas serwera lub sieciowy magazyn danych, bez żadnej ingerencji człowieka ze strony dostawcy usług w chmurze można określić jako administrowanie na żądanie. Pojęcia „szeroki dostęp zdalny” używa się do opisu sytuacji, gdy zasoby w chmurze są udostępniane przez sieć, a dostęp do nich jest możliwy za pośrednictwem mechanizmów sprzyjających wykorzystywaniu różnorodnych platform cienkich lub grubych klientów (w tym telefonów komórkowych, tabletów, laptopów, stacji roboczych). Pojęcie „skalowalne” odnosi się do zasobów komputerowych, które są elastycznie przydzielane przez dostawcę usługi niezależnie od położenia geograficznego zasobów, jako reakcja na fluktuacje zapotrzebowania. Pojęcia „elastyczny zbiór” używa się do opisu tych zasobów obliczeniowych, które są przydzielane i uwalniane zależnie do zapotrzebowania, aby szybko zwiększać i zmniejszać dostępne zasoby w zależności od obciążenia. Pojęcia „wspólne wykorzystywanie” używa się do opisu zasobów obliczeniowych udostępnianych wielu użytkownikom, którzy dzielą wspólny dostęp do usługi, jednak przetwarzanie odbywa się oddzielnie dla każdego z użytkowników, choć usługa ta jest świadczona z tego samego sprzętu elektronicznego. Pojęcia „rozproszone” używa się do opisu zasobów obliczeniowych zlokalizowanych na rożnych komputerach lub urządzeniach połączonych w sieć, które komunikują się ze sobą i koordynują swoją pracę przez przekazywanie komunikatów. (17)Biorąc pod uwagę pojawianie się innowacyjnych technologii i nowych modeli biznesowych, oczekuje się, iż w odpowiedzi na zmieniające się potrzeby klientów pojawią się nowe modele rozmieszczenia usług w chmurze oraz nowe modele usług w chmurze. W tym kontekście usługi w chmurze mogą być świadczone w sposób wysoce rozproszony, jeszcze bliżej miejsca generowania lub gromadzenia danych, co tym samym będzie wiązać się z przejściem od modelu tradycyjnego do modelu wysoce rozproszonego („przetwarzanie danych na obrzeżach sieci”). (18)Usługi oferowane przez dostawców usług ośrodka przetwarzania danych nie zawsze muszą być świadczone w postaci usług w chmurze. Ośrodki przetwarzania danych nie zawsze muszą zatem stanowić element infrastruktury usług w chmurze. W celu zarządzania wszystkimi zagrożeniami dla bezpieczeństwa sieci i systemów informatycznych niniejsza dyrektywa powinna obejmować także dostawców usług ośrodka przetwarzania danych niebędących usługami w chmurze. Na potrzeby niniejszej dyrektywy pojęcie „usługa ośrodka przetwarzania danych” powinno obejmować świadczenie usługi obejmującej struktury lub grupy struktur przeznaczone do scentralizowanego hostingu, zapewnienia wzajemnego połączenia i eksploatacji sprzętu informatycznego i sieciowego służącego do świadczenia usług przechowywania, przetwarzania i transportu danych wraz ze wszystkimi obiektami i całą infrastrukturą na potrzeby dystrybucji energii elektrycznej i kontroli środowiskowej. Pojęcie „usługa ośrodka przetwarzania danych” nie ma zastosowania do wewnętrznych, korporacyjnych ośrodków przetwarzania danych będących własnością danego podmiotu i eksploatowanych na jego własne potrzeby. (19)Przepisom niniejszej dyrektywy powinni podlegać operatorzy świadczący usługi pocztowe w rozumieniu dyrektywy 97/67/WE Parlamentu Europejskiego i Rady, a także podmioty świadczące usługi doręczania przesyłek ekspresowych i kurierskich, jeżeli podmioty te świadczą usługi na co najmniej jednym z etapów łańcucha doręczania przesyłek pocztowych, a w szczególności przyjmowanie, sortowanie lub doręczanie, w tym odbiór przesyłek. Usługi transportowe, które nie są świadczone w związku z jednym z wymienionych etapów, nie powinny wchodzić w zakres usług pocztowych. (20)Te coraz większe współzależności wynikają z coraz bardziej transgranicznej i współzależnej sieci świadczenia usług, wykorzystującej kluczową infrastrukturę w całej Unii w sektorach energetyki, transportu, infrastruktury cyfrowej, wody pitnej i ścieków, zdrowia, niektórych aspektów administracji publicznej, a także przestrzeni kosmicznej, jeżeli chodzi o świadczenie niektórych usług zależnych od naziemnej infrastruktury będącej własnością państw członkowskich albo podmiotów prywatnych oraz która jest zarządzana i obsługiwana przez państwa członkowskie albo podmioty prywatne, a zatem nieobejmującej infrastruktury będącej własnością Unii bądź zarządzanej lub obsługiwanej przez Unię lub w jej imieniu w ramach jej programów kosmicznych. Wspomniane współzależności oznaczają, że każde zakłócenie, nawet początkowo ograniczające się do jednego podmiotu lub jednego sektora, może wywołać szerzej zakrojony efekt kaskadowy, którego potencjalne negatywne skutki dla świadczenia usług na całym rynku wewnętrznym mogą być dalekosiężne i długotrwałe. Pandemia COVID-19 uwydatniła podatność naszych coraz bardziej współzależnych społeczeństw w obliczu ryzyka o niskim prawdopodobieństwie wystąpienia. (21)Z uwagi na różnice w krajowych strukturach zarządzania oraz w celu zabezpieczenia obowiązujących już ustaleń sektorowych lub unijnych organów nadzorczych i regulacyjnych państwa członkowskie powinny móc wyznaczać więcej niż jeden właściwy organ krajowy odpowiedzialny za wykonywanie zadań związanych z bezpieczeństwem sieci i systemów informatycznych podmiotów niezbędnych i istotnych w rozumieniu niniejszej dyrektywy. Państwa członkowskie powinny mieć możliwość wyznaczenia istniejącego organu do pełnienia tej roli. (22)W celu ułatwienia współpracy i komunikacji transgranicznej między organami oraz umożliwienia skutecznego wprowadzenia w życie niniejszej dyrektywy niezbędne jest, aby każde państwo członkowskie wyznaczyło krajowy pojedynczy punkt kontaktowy odpowiedzialny za koordynację kwestii związanych z bezpieczeństwem sieci i systemów informatycznych oraz współpracą transgraniczną na poziomie Unii. (23)Właściwe organy lub CSIRT powinny otrzymywać zgłoszenia incydentów od podmiotów w sposób efektywny i skuteczny. Pojedynczym punktom kontaktowym należy powierzyć zadanie przekazywania zgłoszeń incydentów pojedynczym punktom kontaktowym innych państw członkowskich, których incydent dotyczy. Na szczeblu organów państw członkowskich, aby zapewnić w każdym państwie członkowskim jeden pojedynczy punkt kontaktowy, pojedyncze punkty kontaktowe powinny być również adresatem stosownych informacji na temat incydentów dotyczących podmiotów sektora finansowego przekazywanych przez właściwe organy na mocy rozporządzenia XXXX/XXXX, które to informacje punkty te powinny być w stanie przekazywać, stosownie do przypadku, odpowiednim właściwym organom krajowym lub CSIRT na mocy niniejszej dyrektywy. (24)Państwa członkowskie powinny zostać odpowiednio wyposażone, zarówno pod względem zdolności technicznych, jak i możliwości organizacyjnych, w celu zapobiegania incydentom i ryzykom dotyczącym sieci i systemów informatycznych, wykrywania ich, reagowania na nie i łagodzenia ich skutków. Państwa członkowskie powinny zatem zapewnić dobrze funkcjonujące CSIRT, zwane również zespołami reagowania na incydenty komputerowe (zwane dalej „CERT”), które spełniają zasadnicze wymogi w celu zagwarantowania efektywnych i kompatybilnych zdolności w zakresie postępowania z incydentami i ryzykami oraz zapewnienia skutecznej współpracy na poziomie Unii. Aby zwiększyć zaufanie między podmiotami a CSIRT, w przypadku gdy dany CSIRT funkcjonuje w ramach właściwego organu, państwa członkowskie powinny rozważyć funkcjonalne rozdzielenie zadań operacyjnych wykonywanych przez CSIRT, szczególnie w odniesieniu do przekazywania informacji i wspierania podmiotów, od działań nadzorczych właściwego organu. (25)Jeżeli chodzi o dane osobowe, CSIRT powinny być w stanie zapewnić – zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 – w imieniu i na wniosek podmiotu w rozumieniu niniejszej dyrektywy – proaktywne skanowanie sieci i systemów informatycznych wykorzystywanych przez te podmioty do świadczenia usług. Państwa członkowskie powinny dążyć do zapewnienia równego poziomu zdolności technicznych wszystkich sektorowych CSIRT. Państwa członkowskie mogą zwrócić się do Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) o pomoc przy tworzeniu krajowych CSIRT. (26)Z uwagi na znaczenie współpracy międzynarodowej w dziedzinie cyberbezpieczeństwa CSIRT powinny mieć możliwość uczestniczenia w międzynarodowych sieciach współpracy, niezależnie od współpracy w ramach sieci CSIRT ustanowionej na mocy niniejszej dyrektywy.

(27)Zgodnie z załącznikiem do zalecenia Komisji (UE) 2017/1548 w sprawie skoordynowanego reagowania na incydenty i kryzysy cybernetyczne na dużą skalę („plan”) incydent na dużą skalę powinien oznaczać incydent mający znaczący wpływ na co najmniej dwa państwa członkowskie lub taki, który powoduje na tyle duże zakłócenia, że dotknięte nimi państwo członkowskie nie jest samo w stanie na nie skutecznie zareagować. W zależności od przyczyny i wpływu incydenty na dużą skalę mogą przerodzić się w prawdziwy kryzys uniemożliwiający prawidłowe funkcjonowanie rynku wewnętrznego. Biorąc pod uwagę szeroki zakres oraz, w większości przypadków, transgraniczny charakter takich incydentów, państwa członkowskie i odpowiednie instytucje, organy i agencje Unii powinny współpracować na poziomie technicznym, operacyjnym i politycznym w celu odpowiedniej koordynacji reakcji w całej Unii. (28)Ponieważ wykorzystywanie podatności sieci i systemów informatycznych może powodować znaczące zakłócenia i szkody, ważnym czynnikiem w ograniczaniu ryzyka w cyberprzestrzeni jest szybkie identyfikowanie takich podatności i ich eliminowanie. Podmioty, które opracowują takie systemy, powinny zatem ustanowić odpowiednie procedury postępowania w przypadku wykrycia takich podatności. Ponieważ podatności często są wykrywane i zgłaszane (ujawniane) przez osoby trzecie (podmioty zgłaszające), producent lub dostawca produktów lub usług ICT również powinien wprowadzić niezbędne procedury regulujące odbieranie od osób trzecich informacji na temat podatności. W tym względzie normy międzynarodowe ISO/IEC 30111 i ISO/IEC 29417 zawierają wytyczne dotyczące, odpowiednio, postępowania w przypadku wykrycia podatności i ujawniania podatności. Jeśli chodzi o ujawnianie podatności, szczególnie ważna jest koordynacja między podmiotami zgłaszającymi a producentami lub dostawcami produktów lub usług ICT. Skoordynowane ujawnianie podatności to ustrukturyzowany proces, w ramach którego podatności są zgłaszane organizacjom w sposób umożliwiający organizacji zdiagnozowanie i wyeliminowanie danej podatności, zanim szczegółowe informacje dotyczące podatności zostaną ujawnione osobom trzecim lub podane do wiadomości publicznej. Skoordynowane ujawnianie podatności powinno także obejmować koordynację między podmiotem zgłaszającym a organizacją w odniesieniu do terminarza eliminowania podatności i podania ich do wiadomości publicznej. (29)W związku z tym państwa członkowskie powinny podjąć działania w celu ułatwienia skoordynowanego ujawniania podatności poprzez ustanowienie odpowiedniej polityki krajowej. W tym zakresie państwa członkowskie powinny wyznaczyć CSIRT do pełnienia roli „koordynatora”, występującego w razie potrzeby w charakterze pośrednika między podmiotami zgłaszającymi a producentami lub dostawcami produktów lub usług ICT. Zadania CSIRT w charakterze koordynatora powinny w szczególności obejmować identyfikację zainteresowanych podmiotów i kontaktowanie się z nimi, wspieranie podmiotów zgłaszających, negocjowanie terminarza ujawniania oraz zarządzanie podatnościami, których skutki dotykają wielu organizacji (wielostronne ujawnianie podatności). W przypadku gdy podatności dotykają wielu producentów lub dostawców produktów lub usług ICT posiadających jednostkę organizacyjną w co najmniej dwóch państwach członkowskich, wyznaczone CSIRT z każdego państwa członkowskiego, w którym wykryto podatności, powinny współpracować ze sobą w ramach sieci CSIRT. (30)Dostęp do prawidłowych i terminowych informacji na temat podatności dotyczących produktów i usług ICT pozwala usprawnić zarządzanie ryzykiem w cyberprzestrzeni. W tym względzie ważnym narzędziem dla podmiotów i ich użytkowników, ale również dla właściwych organów krajowych i CSIRT są źródła publicznie dostępnych informacji na temat podatności. Z tego powodu ENISA powinna ustanowić rejestr podatności, w którym podmioty niezbędne i istotne oraz ich dostawcy, a także podmioty, które nie są objęte zakresem stosowania niniejszej dyrektywy, mogą na zasadzie dobrowolności ujawniać podatności i przekazywać informacje na temat podatności, dzięki którym użytkownicy mogą wprowadzać odpowiednie środki ograniczające ryzyko. (31)Choć istnieją podobne rejestry podatności lub bazy danych dotyczących podatności, są one prowadzone i utrzymywane przez podmioty, które nie mają siedziby w Unii. Europejski rejestr podatności utrzymywany przez ENISA zapewniłby lepszą przejrzystość w odniesieniu do procesu publikacji poprzedzającego oficjalne ujawnienie podatności, a także odporność w przypadku zakłóceń lub przerw w świadczeniu podobnych usług. Aby uniknąć powielania podejmowanych działań i dążyć do jak największej komplementarności, ENISA powinna zbadać możliwość zawarcia umów o współpracy strukturalnej z podobnymi rejestrami w jurysdykcjach państw trzecich. (32)Co dwa lata Grupa Współpracy powinna opracowywać program prac obejmujący działania, które mają zostać podjęte przez Grupę w celu realizacji jej celów i zadań. Aby uniknąć potencjalnych zakłóceń w pracy Grupy, ramy czasowe pierwszego programu przyjętego na podstawie niniejszej dyrektywy należy zharmonizować z ramami czasowymi ostatniego programu przyjętego na podstawie dyrektywy (UE) 2016/1148. (33)Opracowując wytyczne, Grupa Współpracy powinna stale: ewidencjonować rozwiązania i doświadczenia krajowe, oceniać wpływ wyników prac Grupy Współpracy na podejścia krajowe, omawiać wyzwania w zakresie wdrażania i formułować konkretne zalecenia, które należy uwzględnić w ramach lepszego wdrażania istniejących przepisów. (34)Grupa Współpracy powinna pozostać elastycznym forum i być w stanie reagować na zmieniające się i nowe priorytety i wyzwania polityczne, przy jednoczesnym uwzględnieniu dostępności zasobów. Powinna ona organizować regularne wspólne spotkania z odpowiednimi zainteresowanymi stronami z sektora prywatnego z całej Unii w celu omawiania działań realizowanych przez Grupę i gromadzenia informacji na temat pojawiających się wyzwań w zakresie polityki. Aby zacieśnić współpracę na szczeblu unijnym, Grupa powinna rozważyć zaproszenie organów i agencji unijnych zaangażowanych w kształtowanie polityki cyberbezpieczeństwa, takich jak Europejskie Centrum ds. Walki z Cyberprzestępczością (EC3), Agencja Unii Europejskiej ds. Bezpieczeństwa Lotniczego (EASA) oraz Agencja Unii Europejskiej ds. Programu Kosmicznego, do uczestnictwa w pracach Grupy. (35)Właściwe organy i CSIRT powinny być upoważnione do uczestniczenia w programach wymiany dla urzędników z innych państw członkowskich w celu usprawnienia współpracy. Właściwe organy powinny podejmować działania niezbędne do zapewnienia urzędnikom z innych państw członkowskich możliwości efektywnego angażowania się w działalność przyjmującego właściwego organu. (36)Unia powinna, w stosownych przypadkach, zawierać umowy międzynarodowe, zgodnie z art. 218 TFUE, z państwami trzecimi lub organizacjami międzynarodowymi, umożliwiając i organizując ich udział w niektórych działaniach Grupy Współpracy i sieci CSIRT. Umowy takie powinny zapewniać odpowiednią ochronę danych. (37)Państwa członkowskie powinny wnosić wkład w ustanowienie unijnych ram reagowania w sytuacji kryzysu cyberbezpieczeństwa, o których mowa w zaleceniu (UE) 2017/1584, poprzez istniejące sieci współpracy, w szczególności poprzez europejską sieć organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa (EU-CyCLONe), sieć CSIRT i Grupę Współpracy. EU-CyCLONe i sieć CSIRT powinny współpracować na podstawie uzgodnień proceduralnych określających tryb tej współpracy. W regulaminie EU-CyCLONe należy bardziej szczegółowo określić tryb funkcjonowania tej sieci, w tym między innymi podział ról, modele współpracy, interakcje z innymi odpowiednimi podmiotami i wzory formularzy na potrzeby wymiany informacji, a także środki komunikacji. W odniesieniu do zarządzania kryzysowego na szczeblu unijnym odpowiednie strony powinny opierać się na uzgodnieniach dotyczących zintegrowanego reagowania na szczeblu politycznym w sytuacjach kryzysowych (IPCR). W tym celu Komisja powinna wykorzystywać międzysektorowy proces koordynacji na wysokim szczeblu w sytuacji kryzysowej ARGUS. Jeżeli sytuacja kryzysowa wiąże się z istotnymi kwestiami z zakresu polityki zewnętrznej lub wspólnej polityki bezpieczeństwa i obrony (WPBiO), należy uruchomić mechanizm reagowania kryzysowego Europejskiej Służby Działań Zewnętrznych (ESDZ). (38)Na potrzeby niniejszej dyrektywy „ryzyko” powinno odnosić się do możliwych strat lub zakłóceń spowodowanych cyberincydentem i powinno być wyrażone jako wypadkowa skali takiej straty lub takich zakłóceń oraz prawdopodobieństwa wystąpienia takiego incydentu. (39)Na potrzeby niniejszej dyrektywy termin „zdarzenie potencjalnie wypadkowe” powinien odnosić się do zdarzenia, które może spowodować szkodę, ale którego pełnemu wystąpieniu udało się skutecznie zapobiec. (40)Środki w zakresie zarządzania ryzykiem powinny obejmować środki mające na celu identyfikację wszelkiego ryzyka wystąpienia incydentów, zapobieganie incydentom, wykrywanie ich i postępowanie z nimi, a także łagodzenie ich wpływu. Bezpieczeństwo sieci i systemów informatycznych powinno obejmować bezpieczeństwo danych przechowywanych, przekazywanych i przetwarzanych. (41)Aby uniknąć nakładania nieproporcjonalnie dużych obciążeń finansowych i administracyjnych na podmioty niezbędne i istotne, wymogi w zakresie zarządzania ryzykiem w cyberprzestrzeni powinny być proporcjonalne do ryzyka, jakie stwarza dana sieć oraz dany system informatyczny, oraz powinny uwzględniać najnowszy stan wiedzy na temat takich środków. (42)Podmioty niezbędne i istotne powinny zapewniać bezpieczeństwo sieci i systemów informatycznych, których używają w swojej działalności. Dotyczy to przede wszystkim prywatnych sieci i systemów informatycznych, które są zarządzane przez własny personel informatyczny lub dla których zapewnienie bezpieczeństwa zlecono na zewnątrz. Wymogi w zakresie zarządzania ryzykiem w cyberprzestrzeni i zgłaszania incydentów na podstawie niniejszej dyrektywy powinny mieć zastosowanie do odpowiednich podmiotów niezbędnych i istotnych bez względu na to, czy same zapewniają utrzymanie swoich sieci i systemów informatycznych, czy też zlecają ich utrzymanie na zewnątrz. (43)Biorąc pod uwagę, jak często dochodzi do incydentów, w których podmioty padają ofiarami cyberataków i w których agresorzy byli w stanie złamać zabezpieczenia sieci i systemów informatycznych podmiotu dzięki wykorzystaniu podatności występujących w produktach i usługach osób trzecich, szczególnie istotne jest zaradzenie ryzykom w cyberprzestrzeni wynikającym z łańcucha dostaw podmiotu oraz jego powiązań z dostawcami. W związku z tym podmioty powinny oceniać i uwzględniać ogólną jakość produktów i praktyk w zakresie cyberbezpieczeństwa swoich dostawców produktów i usług, w tym ich procedury bezpiecznego opracowywania. (44)Wśród dostawców usług szczególnie ważną rolę we wspieraniu podmiotów w ich działaniach mających na celu wykrywanie incydentów i reagowanie na nie odgrywają dostawcy zarządzanych usług w zakresie bezpieczeństwa w obszarach takich jak reagowanie na incydenty, testy penetracyjne, audyty bezpieczeństwa i doradztwo. Tacy dostawcy zarządzanych usług z zakresu bezpieczeństwa również sami padali jednak ofiarami cyberataków, a ponieważ ich działalność jest ściśle zintegrowana z operacjami operatorów, stwarzają szczególne ryzyko w cyberprzestrzeni. W związku z tym przy wyborze dostawcy zarządzanych usług z zakresu bezpieczeństwa podmioty powinny dochować szczególnej staranności. (45)Podmioty powinny również ograniczać ryzyko w cyberprzestrzeni wynikające z ich interakcji i powiązań z innymi zainteresowanymi stronami w ramach szerszego ekosystemu. W szczególności podmioty powinny wprowadzać odpowiednie środki zapewniające, aby ich współpraca z instytucjami akademickimi i badawczymi przebiegała zgodnie z ich polityką cyberbezpieczeństwa i z uwzględnieniem dobrych praktyk dotyczących bezpiecznego dostępu do informacji i ich rozpowszechniania ogółem, a w szczególności ochrony własności intelektualnej. Podobnie biorąc pod uwagę znaczenie i wartość danych w kontekście działalności podmiotów, w przypadku korzystania z usług przekształcania danych i analizy danych oferowanych przez osoby trzecie podmioty powinny stosować wszelkie odpowiednie środki w zakresie cyberbezpieczeństwa. (46)Aby w większym stopniu ograniczyć kluczowe ryzyka w łańcuchu dostaw i wesprzeć podmioty działające w sektorach objętych niniejszą dyrektywą w odpowiednim zarządzaniu ryzykiem w cyberprzestrzeni związanym z łańcuchem dostaw i dostawcami, Grupa Współpracy przy udziale odpowiednich organów krajowych, we współpracy z Komisją i ENISA, powinna przeprowadzić skoordynowane sektorowe oceny ryzyka w łańcuchach dostaw, tak jak to miało już miejsce w przypadku sieci 5G w następstwie zalecenia (UE) 2019/534 w sprawie cyberbezpieczeństwa sieci 5G, aby zidentyfikować w każdym sektorze krytyczne usługi, systemy lub produkty ICT, istotne zagrożenia i podatności.

(47)W świetle specyfiki danego sektora w ocenach ryzyka w łańcuchu dostaw należy uwzględnić zarówno czynniki techniczne, jak i – w stosownych przypadkach – pozatechniczne, w tym te określone w zaleceniu (UE) 2019/534, w unijnej skoordynowanej ocenie ryzyka w zakresie bezpieczeństwa sieci 5G oraz w unijnym zestawie narzędzi na potrzeby cyberbezpieczeństwa sieci 5G uzgodnionym przez Grupę Współpracy. Aby zidentyfikować łańcuchy dostaw, które należy poddać skoordynowanej ocenie ryzyka, należy wziąć pod uwagę następujące kryteria: (i) zakres, w jakim podmioty niezbędne i istotne wykorzystują konkretne krytyczne usługi, systemy lub produkty ICT i na nich polegają; (ii) znaczenie konkretnych krytycznych usług, systemów lub produktów ICT dla wykonywania krytycznych lub wrażliwych funkcji, w tym przetwarzania danych osobowych; (iii) dostępność alternatywnych usług, systemów lub produktów ICT; (iv) odporność całego łańcucha dostaw usług, systemów lub produktów ICT na zdarzenia powodujące zakłócenia oraz (v) w przypadku pojawiających się usług, systemów lub produktów ICT – ich potencjalne przyszłe znaczenie dla działalności podmiotów. (48)Aby uprościć zobowiązania prawne nałożone na dostawców publicznych sieci łączności elektronicznej lub publicznie dostępnych usług łączności elektronicznej oraz dostawców usług zaufania w odniesieniu do bezpieczeństwa ich sieci i systemów informatycznych, a także zapewnić tym podmiotom i ich odpowiednim właściwym organom możliwość korzystania z ram prawnych ustanowionych na podstawie niniejszej dyrektywy (w tym wyznaczania CSIRT odpowiedzialnych za postępowanie w przypadku ryzyka i incydentu, uczestnictwa właściwych organów i jednostek w pracach Grupy Współpracy i w sieci CSIRT), należy objąć te podmioty zakresem stosowania niniejszej dyrektywy. W związku z tym należy uchylić odpowiednie przepisy określone w rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 910/2014 oraz w dyrektywie Parlamentu Europejskiego i Rady (UE) 2018/1972, na których podstawie na te rodzaje podmiotów nałożono wymogi w zakresie bezpieczeństwa i zgłaszania incydentów. Przepisy dotyczące obowiązków w zakresie zgłaszania incydentów nie powinny naruszać przepisów rozporządzenia (UE) 2016/679 i dyrektywy Parlamentu Europejskiego i Rady 2002/58/WE. (49)W stosownych przypadkach i aby uniknąć niepotrzebnych zakłóceń, właściwe organy odpowiedzialne do celów niniejszej dyrektywy za nadzór i egzekwowanie przepisów powinny w dalszym ciągu stosować istniejące wytyczne krajowe i przepisy krajowe przyjęte w celu transpozycji przepisów dotyczących środków bezpieczeństwa określonych w art. 40 ust. 1 dyrektywy (UE) 2018/1972, a także wymogów określonych w art. 40 ust. 2 tej dyrektywy dotyczących parametrów związanych z istotnością incydentu. (50)Ze względu na rosnące znaczenie usług interpersonalnej łączności niewykorzystujących numerów należy zapewnić, aby usługi te podlegały również odpowiednim wymogom w zakresie bezpieczeństwa z uwagi na ich szczególny charakter i istotną rolę w gospodarce. Dostawcy takich usług powinni zatem również zapewniać poziom bezpieczeństwa sieci i systemów informatycznych odpowiedni do stwarzanego ryzyka. Ze względu na to, że dostawcy usług interpersonalnej łączności niewykorzystujących numerów zazwyczaj nie sprawują rzeczywistej kontroli nad transmisją sygnałów w sieciach, stopień ryzyka w przypadku takich usług można uznać za niższy pod pewnymi względami niż w przypadku tradycyjnych usług łączności elektronicznej. To samo ma zastosowanie do dostawców usług interpersonalnej łączności wykorzystujących numery, którzy nie sprawują rzeczywistej kontroli nad transmisją sygnałów. (51)Rynek wewnętrzny jest bardziej niż kiedykolwiek uzależniony od funkcjonowania internetu. Usługi niemal wszystkich podmiotów niezbędnych i istotnych zależą od usług świadczonych przez internet. Aby zapewnić sprawne świadczenie usług przez podmioty niezbędne i istotne, publiczne sieci łączności elektronicznej, jak na przykład internetowe sieci szkieletowe czy podmorskie kable telekomunikacyjne, powinny wprowadzić odpowiednie środki w zakresie cyberbezpieczeństwa i zgłaszać incydenty w tym zakresie. (52)W stosownych przypadkach podmioty powinny informować odbiorców swoich usług o szczególnych i istotnych zagrożeniach oraz o środkach, które odbiorcy ci mogą zastosować w celu ograniczenia wynikłego ryzyka, na jakie są sami narażeni. Wymóg informowania tych odbiorców o takich zagrożeniach nie powinien zwalniać podmiotu z obowiązku zastosowania na własny koszt odpowiednich i natychmiastowych środków w celu zapobieżenia lub zaradzenia wszelkim cyberzagrożeniom oraz przywrócenia normalnego poziomu bezpieczeństwa danej usługi. Udzielanie odbiorcom takich informacji na temat zagrożeń bezpieczeństwa powinno odbywać się bezpłatnie. (53)W szczególności dostawcy publicznych sieci łączności elektronicznej lub publicznie dostępnych usług łączności elektronicznej powinni informować odbiorców usługi o szczególnych i istotnych cyberzagrożeniach oraz o środkach, które mogą zastosować w celu ochrony bezpieczeństwa swoich środków łączności, na przykład przez zastosowanie szczególnych rodzajów oprogramowania lub technologii szyfrowania. (54)Aby zagwarantować bezpieczeństwo sieci i usług łączności elektronicznej, należy promować korzystanie z szyfrowania, w szczególności szyfrowania end-to-end, a w razie konieczności uczynić je obowiązkowym dla dostawców takich usług i sieci zgodnie z zasadą uwzględniania bezpieczeństwa i prywatności w sposób domyślny i na etapie projektowania do celów art. 18. Korzystanie z szyfrowania end-to-end należy pogodzić z uprawnieniami państw członkowskich w zakresie zapewnienia ochrony ich podstawowych interesów bezpieczeństwa i bezpieczeństwa publicznego, a także w zakresie umożliwiania wykrywania i ścigania przestępstw oraz prowadzenia dochodzeń w ich sprawie zgodnie z prawem Unii. Rozwiązania zapewniające zgodny z prawem dostęp do informacji przesyłanych z wykorzystaniem transmisji szyfrowanej end-to-end powinny gwarantować zachowanie skuteczności szyfrowania pod względem ochrony prywatności i bezpieczeństwa łączności, zapewniając jednocześnie możliwość skutecznego reagowania na przestępstwa. (55)W niniejszej dyrektywie określono dwuetapowe podejście do zgłaszania incydentów w celu zapewnienia odpowiedniej równowagi między szybkim zgłaszaniem, co pomoże zahamować potencjalne rozprzestrzenianie się incydentów i pozwoli podmiotom zwrócić się o wsparcie, a szczegółowym zgłaszaniem, co umożliwi wyciągnięcie cennych wniosków z poszczególnych incydentów i z czasem przyczyni się do zwiększenia odporności poszczególnych przedsiębiorstw i całych sektorów na cyberzagrożenia. W przypadku gdy podmioty powezmą wiedzę o incydencie, powinny mieć obowiązek dokonania wstępnego zgłoszenia w ciągu 24 godzin, a następnie przedłożenia – w terminie nie dłuższym niż miesiąc – sprawozdania końcowego. Wstępne zgłoszenie powinno zawierać jedynie informacje absolutnie niezbędne do tego, by poinformować właściwe organy o wystąpieniu incydentu i umożliwić podmiotowi zwrócenie się o wsparcie, jeśli zachodzi taka potrzeba. W stosownych przypadkach w takim zgłoszeniu należy wskazać, czy, jak przypuszcza się, incydent został wywołany działaniem bezprawnym lub działaniem w złym zamiarze. Państwa członkowskie powinny zapewnić, aby wymóg dokonania wstępnego zgłoszenia nie powodował przekierowania zasobów podmiotu zgłaszającego z działań podejmowanych w reakcji na incydent, które to działania powinny mieć charakter priorytetowy. Aby dodatkowo zapobiec sytuacji, w której obowiązki w zakresie zgłaszania incydentów ograniczą zdolność podmiotu do podjęcia reakcji na incydent albo w inny sposób osłabią działania podmiotu w tym zakresie, państwa członkowskie powinny również przewidzieć – w należycie uzasadnionych przypadkach i w porozumieniu z właściwymi organami lub CSIRT – możliwość odstąpienia w przypadku danego podmiotu od terminu 24 godzin na dokonanie wstępnego zgłoszenia i terminu jednego miesiąca na przedłożenie sprawozdania końcowego. (56)Podmioty niezbędne i istotne znajdują się często w sytuacji, w której konkretny incydent, ze względu na jego cechy, należy zgłosić różnym organom w wyniku istnienia obowiązków w zakresie zgłaszania przewidzianych w różnych instrumentach prawnych. Takie przypadki powodują dodatkowe obciążenie, a ponadto mogą rodzić niepewność dotyczącą formatu i procedur dokonywania takich zgłoszeń. W związku z tym i w celu uproszczenia zgłaszania incydentów bezpieczeństwa państwa członkowskie powinny ustanowić pojedynczy punkt kontaktowy na potrzeby wszystkich zgłoszeń wymaganych na podstawie niniejszej dyrektywy, a także na podstawie innych przepisów unijnych, takich jak rozporządzenie (UE) 2016/679 i dyrektywa 2002/58/WE. ENISA, we współpracy z Grupą Współpracy, powinna opracować wspólne wzory zgłoszeń w formie wytycznych, które ułatwiłyby i usprawniły zgłaszanie informacji wymaganych zgodnie z prawem Unii oraz zmniejszyłyby obciążenia spoczywające na przedsiębiorstwach. (57)W razie podejrzenia, że incydent ma związek z poważnymi przestępstwami w rozumieniu prawa Unii lub prawa krajowego, państwa członkowskie powinny zachęcać podmioty niezbędne i istotne, w oparciu o mające zastosowanie przepisy z zakresu postępowania karnego zgodne z prawem Unii, do zgłaszania odpowiednim organom ścigania incydentów noszących znamiona poważnego przestępstwa. W stosownych przypadkach i bez uszczerbku dla przepisów o ochronie danych osobowych mających zastosowanie do Europolu pożądane jest, aby koordynację między właściwymi organami i organami ścigania z różnych państw członkowskich ułatwiały EC3 oraz ENISA. (58)W wielu przypadkach istnieje niebezpieczeństwo naruszenia danych osobowych w wyniku incydentów. W tym kontekście właściwe organy powinny współpracować oraz wymieniać się informacjami dotyczącymi wszystkich istotnych kwestii z organami ochrony danych oraz organami nadzorczymi zgodnie z dyrektywą 2002/58/WE. (59)Prowadzenie prawidłowych i kompletnych baz danych zawierających nazwy domen i dane rejestracyjne („dane WHOIS”) oraz zapewnienie zgodnego z prawem dostępu do takich danych jest niezbędne do zapewnienia bezpieczeństwa, stabilności i odporności systemu nazw domen (DNS), co z kolei przyczynia się do wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii. Gdy przetwarzanie dotyczy danych osobowych, powinno być ono zgodne z unijnymi przepisami o ochronie danych. (60)Dostępność tych danych dla organów publicznych, w tym dla organów właściwych na mocy prawa Unii i prawa krajowego do spraw prewencji i ścigania przestępstw oraz prowadzenia dochodzeń w ich sprawie, zespołów CERT, sieci CSIRT oraz – w zakresie, w jakim dotyczy to danych ich klientów – dostawców sieci i usług łączności elektronicznej oraz dostawców technologii i usług z zakresu cyberbezpieczeństwa działających w imieniu tych klientów, a także możliwość uzyskania szybkiego dostępu do tych danych przez wymienione podmioty jest niezbędna do przeciwdziałania nadużyciom systemu nazw domen oraz zwalczania takich nadużyć, w szczególności do przeciwdziałania cyberincydentom, wykrywania ich oraz reagowania na nie. Taki dostęp powinien być zgodny z unijnymi przepisami o ochronie danych w zakresie, w jakim dotyczy on danych osobowych. (61)W celu zapewnienia dostępności prawidłowych i kompletnych danych dotyczących rejestracji nazw domen rejestry TLD i podmioty świadczące usługi rejestracji nazw domen dla TLD (tzw. rejestratorzy) powinny gromadzić dane dotyczące rejestracji nazw domen oraz zapewniać ich integralność i dostępność. W szczególności rejestry TLD i podmioty świadczące usługi rejestracji nazw domen dla TLD powinny ustanowić polityki i procedury na potrzeby gromadzenia i utrzymywania prawidłowych i kompletnych danych rejestracyjnych, a także przeciwdziałać powstawaniu nieprawidłowych danych rejestracyjnych i poprawiać je zgodnie z unijnymi przepisami o ochronie danych. (62)Rejestry TLD i podmioty świadczące dla nich usługi rejestracji nazw domen powinny podawać do wiadomości publicznej dane dotyczące rejestracji nazw domen nieobjęte zakresem stosowania unijnych przepisów o ochronie danych, takie jak dane dotyczące osób prawnych. Rejestry TLD i podmioty świadczące usługi rejestracji nazw domen dla TLD powinny ponadto umożliwiać wnioskodawcom ubiegającym się o prawnie uzasadniony dostęp uzyskanie takiego dostępu do konkretnych danych dotyczących rejestracji nazw domen, odnoszących się do osób fizycznych, zgodnie z unijnymi przepisami o ochronie danych. Państwa członkowskie powinny zapewniać, aby rejestry TLD i podmioty świadczące dla nich usługi rejestracji nazw domen odpowiadały bez zbędnej zwłoki na wnioski wnioskodawców ubiegających się o prawnie uzasadniony dostęp o ujawnienie danych dotyczących rejestracji nazw domen. Rejestry TLD i podmioty świadczące dla nich usługi rejestracji nazw domen powinny ustanowić polityki i procedury na potrzeby publikacji i ujawniania danych rejestracyjnych, w tym umowy o gwarantowanym poziomie usług regulujące rozpatrywanie wniosków o dostęp składanych przez wnioskodawców ubiegających się o prawnie uzasadniony dostęp. Procedura uzyskiwania dostępu może również obejmować wykorzystanie interfejsu, portalu lub innego narzędzia technicznego w celu zapewnienia skutecznego systemu umożliwiającego składanie wniosków o dostęp do danych rejestracyjnych i uzyskiwanie do nich dostępu. W celu promowania zharmonizowanych praktyk na całym rynku wewnętrznym Komisja może przyjąć wytyczne dotyczące takich procedur bez uszczerbku dla kompetencji Europejskiej Rady Ochrony Danych. (63)Wszystkie podmioty niezbędne i istotne, o których mowa w niniejszej dyrektywie, powinny podlegać jurysdykcji państwa członkowskiego, w którym świadczą usługi. Jeżeli podmiot świadczy usługi w więcej niż jednym państwie członkowskim, powinien podlegać odrębnej i równoczesnej jurysdykcji każdego z tych państw członkowskich. Właściwe organy tych państw członkowskich powinny ze sobą współpracować, zapewniać sobie wzajemną pomoc oraz, w stosownych przypadkach, prowadzić wspólne działania nadzorcze. (64)Aby uwzględnić transgraniczny charakter usług i działalności dostawców usług DNS, rejestrów nazw TLD, dostawców sieci dostarczania treści, dostawców usług w chmurze, dostawców usług ośrodka przetwarzania danych oraz dostawców usług cyfrowych, takie podmioty powinny podlegać jurysdykcji wyłącznie jednego państwa członkowskiego. Jurysdykcja powinna przynależeć państwu członkowskiemu, w którym dany podmiot ma główną jednostkę organizacyjną w Unii. Kryterium jednostki organizacyjnej do celów niniejszej dyrektywy oznacza faktyczne prowadzenie działalności poprzez stabilne struktury. Forma prawna takich struktur, niezależnie od tego, czy chodzi o oddział czy podmiot zależny posiadający osobowość prawną, nie jest w tym względzie czynnikiem decydującym. Spełnienie tego kryterium nie powinno zależeć od tego, czy sieci i systemy informatyczne są fizycznie zlokalizowane w danym miejscu; fizyczne położenie i wykorzystanie takich systemów nie stanowią same w sobie takiej głównej jednostki organizacyjnej i nie są zatem przesądzającymi kryteriami pozwalającymi ustalić główną jednostkę organizacyjną. Za główną jednostkę organizacyjną należy uznać miejsce, w którym podejmuje się w Unii decyzje związane ze środkami zarządzania ryzykiem w cyberprzestrzeni. Będzie ono zazwyczaj odpowiadać miejscu centralnej administracji przedsiębiorstw w Unii. Jeżeli takich decyzji nie podejmuje się w Unii, należy uznać, że główna jednostka organizacyjna znajduje się w państwach członkowskich, w których dany podmiot ma jednostkę organizacyjną o największej liczbie pracowników w Unii. Jeżeli usługi świadczy grupa przedsiębiorstw, za główną jednostkę organizacyjną grupy przedsiębiorstw należy uznać główną jednostkę organizacyjną przedsiębiorstwa sprawującego kontrolę. (65)W przypadkach gdy dostawca usług DNS, rejestr nazw TLD, dostawca sieci dostarczania treści, dostawca usług w chmurze, dostawca usług ośrodka przetwarzania danych oraz dostawca usług cyfrowych nieposiadający jednostki organizacyjnej w Unii oferuje usługi w Unii, powinien wyznaczyć przedstawiciela. Aby stwierdzić, czy podmiot oferuje usługi w Unii, należy ustalić, czy jest oczywiste, że dany podmiot zamierza oferować usługi osobom w co najmniej jednym państwie członkowskim. Do stwierdzenia takiego zamiaru nie wystarczy sama dostępność w Unii strony internetowej lub adresu poczty elektronicznej i innych danych kontaktowych podmiotu lub pośrednika ani posługiwanie się językiem powszechnie stosowanym w państwie trzecim, w którym podmiot ma jednostkę organizacyjną. Jednakże czynniki, takie jak posługiwanie się językiem lub walutą powszechnie stosowanymi w jednym lub większej liczbie państw członkowskich oraz możliwość zamówienia usług w tym języku lub wzmianka o klientach lub użytkownikach znajdujących się w Unii, mogą potwierdzać oczywistość zamiaru oferowania przez podmiot usług w Unii. Przedstawiciel powinien występować w imieniu podmiotu, a właściwe organy lub CSIRT powinny móc kontaktować się z przedstawicielem. Przedstawiciel powinien zostać wyznaczony w sposób wyraźny za pomocą udzielonego przez podmiot pisemnego upoważnienia do występowania w jego imieniu w zakresie jego obowiązków wynikających z niniejszej dyrektywy, w tym zgłaszania incydentów. (66)Gdy dochodzi do wymiany, zgłoszenia lub innego rodzaju udostępnienia na podstawie niniejszej dyrektywy informacji uznawanych za niejawne zgodnie z prawem krajowym lub prawem Unii, należy stosować odpowiednie przepisy szczegółowe dotyczące postępowania z informacjami niejawnymi.

(67)Biorąc pod uwagę, że cyberzagrożenia stają się coraz bardziej złożone i zaawansowane, skuteczność środków wykrywania i zapobiegania zależy w dużej mierze od regularnej wymiany między podmiotami danych wywiadowczych na temat zagrożeń i podatności. Wymiana informacji przyczynia się do większej świadomości na temat cyberzagrożeń, co z kolei wzmacnia zdolność podmiotów do zapobiegania urzeczywistnieniu się zagrożeń oraz umożliwia podmiotom skuteczniejsze ograniczanie skutków incydentów oraz sprawniejsze przywracanie gotowości. Wydaje się, że wobec braku wytycznych na szczeblu unijnym szereg czynników ogranicza taką wymianę danych wywiadowczych, zwłaszcza niepewność co do zgodności z regułami konkurencji i przepisami dotyczącymi odpowiedzialności. (68)Należy zachęcać podmioty do wspólnego wykorzystywania ich indywidualnej wiedzy i praktycznego doświadczenia na szczeblu strategicznym, taktycznym i operacyjnym w celu wzmocnienia ich zdolności w zakresie odpowiedniego oceniania i monitorowania cyberzagrożeń, obrony przed nimi i reagowania na nie. Należy zatem umożliwić powstawanie na poziomie Unii mechanizmów dobrowolnej wymiany informacji. W tym celu państwa członkowskie powinny aktywnie wspierać również odpowiednie podmioty nieobjęte zakresem niniejszej dyrektywy i zachęcać je do uczestnictwa w takich mechanizmach wymiany informacji. Mechanizmy te powinny funkcjonować w pełnej zgodności z unijnymi regułami konkurencji oraz z unijnymi przepisami dotyczącymi ochrony danych osobowych. (69)Należy uznać, że przetwarzanie danych osobowych w zakresie bezwzględnie niezbędnym i proporcjonalnym do zapewnienia bezpieczeństwa sieci i informacji przez podmioty, organy publiczne, CERT, CSIRT oraz dostawców technologii i usług z zakresu bezpieczeństwa stanowi prawnie uzasadniony interes zainteresowanego administratora danych w rozumieniu rozporządzenia (UE) 2016/679. Powinno to obejmować środki związane z zapobieganiem incydentom, wykrywaniem i analizowaniem ich oraz reagowaniem na nie, środki zwiększające świadomość konkretnych cyberzagrożeń, wymianę informacji w kontekście usuwania oraz skoordynowanego ujawniania podatności, a także dobrowolną wymianę informacji na temat tych incydentów, a także na temat cyberzagrożeń i podatności, oznak naruszenia integralności systemu, taktyk, technik i procedur, ostrzeżeń dotyczących cyberbezpieczeństwa i narzędzi konfiguracji. Takie środki mogą wiązać się z koniecznością przetwarzania następujących rodzajów danych osobowych: adresów IP, ujednoliconych formatów adresowania zasobów (URL), nazw domen i adresów e-mail. (70)Aby wzmocnić uprawnienia i działania nadzorcze, które pomagają zapewnić efektywną zgodność z przepisami, w niniejszej dyrektywie należy przewidzieć minimalny wykaz działań i środków nadzorczych, za pomocą których właściwe organy mogą sprawować nadzór nad podmiotami niezbędnymi i istotnymi. Ponadto w niniejszej dyrektywie należy wprowadzić rozróżnienie systemów nadzoru mających zastosowanie do podmiotów niezbędnych i podmiotów istotnych w celu zapewnienia sprawiedliwej równowagi pod względem obowiązków zarówno po stronie podmiotów, jak i właściwych organów. Podmioty niezbędne należy zatem objąć pełnym systemem nadzoru (ex ante i ex post), natomiast podmioty istotne należy objąć uproszczonym systemem nadzoru (wyłącznie ex post). W przypadku tego drugiego systemu podmioty istotne nie powinny mieć obowiązku systematycznego dokumentowania spełniania wymogów dotyczących zarządzania ryzykiem w cyberprzestrzeni, natomiast właściwe organy powinny realizować nadzór w oparciu o podejście reaktywne w trybie ex post, a zatem nie powinny mieć ogólnego obowiązku prowadzenia nadzoru nad tymi podmiotami. (71)W celu zapewnienia skutecznego egzekwowania przepisów należy ustanowić minimalny wykaz sankcji administracyjnych za naruszenie przewidzianych w niniejszej dyrektywie obowiązków w zakresie zarządzania ryzykiem w cyberprzestrzeni oraz zgłaszania incydentów, określając jasne i spójne ramy dotyczące takich sankcji w całej Unii. Należy odpowiednio uwzględniać charakter, wagę oraz czas trwania naruszenia, faktycznie wyrządzone szkody lub poniesione straty lub potencjalne szkody lub straty, które mogły powstać, to, czy naruszenie było umyślne lub wynikało z niedbalstwa, działania podjęte, aby zapobiec szkodom lub stratom lub je ograniczyć, stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, stopień współpracy z właściwym organem oraz wszelkie inne okoliczności obciążające lub łagodzące. Nakładanie sankcji, w tym administracyjnych kar pieniężnych, powinno przebiegać z zastrzeżeniem odpowiednich gwarancji proceduralnych zgodnych z ogólnymi zasadami prawa Unii i z Kartą