NOTE This language version reflects the corrections done to the original EN version transmitted under COM(2017) 476 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 476 final/2 of 4.10.2017

Chociaż w dyrektywie ze zrozumiałych względów skoncentrowano się na przedsiębiorstwach i usługach o szczególnie kluczowym znaczeniu, należy pamiętać o konieczności zadbania o cyberbezpieczeństwo gospodarki i społeczeństwa ogółem w całościowy i spójny sposób, zważywszy na coraz większą zależność od technologii informacyjno-komunikacyjnych. Dlatego też przyjęcie kompleksowych strategii krajowych wykraczających poza minimalne wymogi ustanowione w dyrektywie w sprawie bezpieczeństwa sieci i informacji (tj. obejmujących nie tylko sektory i usługi wymienione, odpowiednio, w załącznikach II i III do dyrektywy) poprawiłoby ogólny poziom bezpieczeństwa sieci i systemów informatycznych.

Ponieważ cyberbezpieczeństwo nadal stanowi stosunkowo nowy i dynamicznie rozwijający się obszar polityki publicznej, w większości przypadków wymagane są nowe inwestycje, nawet jeśli ogólny stan finansów publicznych wskazuje raczej na konieczność dokonywania cięć i szukania oszczędności. Podejmowanie ambitnych decyzji w celu zapewnienia odpowiednich zasobów finansowych i ludzkich niezbędnych do skutecznego wdrożenia strategii krajowych, w tym zapewnienie dostatecznych zasobów właściwym organom krajowym i CSIRT, ma zatem kluczowe znaczenie dla osiągnięcia celów dyrektywy.

Skuteczność wdrażania i egzekwowania

Określony w art. 8 dyrektywy wymóg wyznaczenia odpowiednich właściwych organów krajowych i pojedynczych punktów kontaktowych ma zasadnicze znaczenie dla zagwarantowania skutecznego wdrożenia dyrektywy w sprawie bezpieczeństwa sieci i informacji oraz prowadzenia współpracy transgranicznej. W tym kontekście w państwach członkowskich pojawiły się podejścia zarówno bardziej scentralizowane, jak i bardziej zdecentralizowane. W przypadkach, w których państwa członkowskie przyjmują bardziej zdecentralizowane podejście do kwestii wyznaczania właściwych organów krajowych, okazało się, że podstawowe znaczenie ma zapewnienie przyjęcia solidnych rozwiązań dotyczących współpracy pomiędzy licznymi organami a pojedynczym punktem kontaktowym (zob. tabela 1 w pkt 3.2 załącznika). Rozwiązania takie zwiększyłyby skuteczność wdrażania dyrektywy oraz ułatwiłyby egzekwowanie jej przepisów.

Wykorzystanie wcześniejszych doświadczeń związanych z ochroną krytycznej infrastruktury teleinformatycznej może pomóc w opracowaniu optymalnego modelu zarządzania dla państw członkowskich, który zapewni zarówno skuteczne wdrożenie dyrektywy w sprawie bezpieczeństwa sieci i informacji w poszczególnych sektorach, jak i stosowanie spójnego podejścia horyzontalnego (zob. pkt 3.1 załącznika).

Zwiększone zdolności krajowych CSIRT

W przypadku nieutworzenia skutecznych i zaopatrzonych w odpowiednie zasoby krajowych CSIRT w całej UE, które przewidziano w art. 9 dyrektywy w sprawie bezpieczeństwa sieci i informacji, UE pozostanie w nadmiernym stopniu narażona na transgraniczne zagrożenia cybernetyczne. Dlatego też państwa członkowskie mogłyby rozważyć rozszerzenie zakresu działalności CSIRT poza sektory i usługi objęte zakresem stosowania dyrektywy (zob. pkt 3.3 załącznika). Dzięki temu krajowe CSIRT mogłyby udzielać wsparcia operacyjnego w związku z incydentami cybernetycznymi, do których dochodzi w przedsiębiorstwach i organizacjach nieobjętych zakresem stosowania dyrektywy, ale mimo to istotnych dla społeczeństwa i gospodarki. Ponadto państwa członkowskie mogłyby w pełni wykorzystać możliwości pozyskania dodatkowego finansowania, jakie oferuje program infrastruktury usług cyfrowych (DSI) w zakresie bezpieczeństwa cybernetycznego w ramach instrumentu „Łącząc Europę”, którego celem jest zwiększanie zdolności krajowych CSIRT i zacieśnianie współpracy między nimi (zob. pkt 3.5 załącznika).

Spójność procesu identyfikowania operatorów usług kluczowych

Zgodnie z art. 5 dyrektywy w sprawie bezpieczeństwa sieci i informacji państwa członkowskie są zobowiązane do zidentyfikowania podmiotów, które będą uznawane za operatorów usług kluczowych, do dnia 9 listopada 2018 r. Przy wywiązywaniu się z tego obowiązku państwa członkowskie mogłyby rozważyć spójne stosowanie definicji i wytycznych zawartych w niniejszym komunikacie w celu zagwarantowania, aby podobnego rodzaju podmioty odgrywające podobną rolę na rynku wewnętrznym były spójnie identyfikowane jako operatorzy usług kluczowych w innych państwach członkowskich. Państwa członkowskie mogłyby również rozważyć rozszerzenie zakresu stosowania dyrektywy w sprawie bezpieczeństwa sieci i informacji na administracje publiczne, biorąc pod uwagę ich znaczenie dla społeczeństwa i gospodarki ogółem (zob. pkt 2.1 i 4.1.3 załącznika).

Bardzo przydatne byłoby maksymalne ujednolicenie krajowych podejść do identyfikowania operatorów usług kluczowych, w szczególności zgodnie z wytycznymi opracowanymi przez grupę współpracy (zob. pkt 4.1.2 załącznika), ponieważ doprowadziłoby to do bardziej zharmonizowanego stosowania przepisów dyrektywy, a tym samym do ograniczenia ryzyka fragmentacji rynku. W przypadkach, w których operatorzy usług kluczowych świadczą usługi kluczowe w co najmniej dwóch państwach członkowskich, niezbędne jest dążenie do osiągnięcia porozumienia między państwami członkowskimi w kontekście procesu konsultacji prowadzonego na podstawie art. 5 ust. 4 co do spójnego identyfikowania podmiotów (zob. pkt 4.1.7 załącznika), ponieważ pozwoliłoby to uniknąć rozbieżności w sposobie traktowania tego samego podmiotu w ramach jurysdykcji różnych państw członkowskich.

Przekazywanie Komisji informacji na temat identyfikowania operatorów usług kluczowych

W art. 5 ust. 7 wzywa się państwa członkowskie do przekazywania Komisji informacji na temat krajowych środków umożliwiających identyfikowanie operatorów usług kluczowych, wykazów usług kluczowych oraz danych dotyczących liczby zidentyfikowanych operatorów usług kluczowych i znaczenia tych operatorów dla sektora. Ponadto wzywa się państwa członkowskie do przekazywania informacji o progach, jeżeli istnieją, wykorzystywanych w ramach procesu identyfikowania w celu określenia odpowiedniego poziomu dostaw lub znaczenia konkretnego operatora dla utrzymania wystarczającego poziomu dostaw. Państwa członkowskie mogłyby również rozważyć udostępnianie Komisji wykazów zidentyfikowanych operatorów usług kluczowych, w razie konieczności na zasadzie poufności, ponieważ pomogłoby to w zwiększeniu trafności i jakości oceny przeprowadzanej przez Komisję (zob. pkt 4.1.5 i 4.1.6 załącznika).

Ujednolicone podejścia do spoczywających na operatorach usług kluczowych wymogów w zakresie bezpieczeństwa i zgłaszania incydentów

Jeżeli chodzi o obowiązki dotyczące spoczywających na operatorach usług kluczowych wymogów w zakresie bezpieczeństwa i zgłaszania incydentów (art. 14 ust. 1, 2 i 3), stosowanie ujednoliconego podejścia do wymogów w zakresie bezpieczeństwa i zgłaszania incydentów w celu ułatwienia operatorom usług kluczowych zapewniania zgodności z przepisami poza granicami państw członkowskich UE usprawniłoby w maksymalnym stopniu funkcjonowanie jednolitego rynku. Należy tutaj wspomnieć o pracy nad wytycznymi na forum grupy współpracy (zob. pkt 4.2 i 4.3 załącznika).

W przypadku wystąpienia incydentu cybernetycznego na dużą skalę, który wywiera wpływ na szereg państw członkowskich, istnieje bardzo duże prawdopodobieństwo, że obowiązkowe zgłoszenie incydentu zostanie dokonane przez operatora usług kluczowych lub dostawcę usług cyfrowych zgodnie z art. 14 ust. 3 i art. 16 ust. 3 lub przez inny podmiot nieobjęty zakresem stosowania dyrektywy na zasadzie dobrowolności, na podstawie art. 20 ust. 1. Zgodnie z zaleceniem Komisji w sprawie skoordynowanego reagowania na incydenty i kryzysy cybernetyczne na dużą skalę państwa członkowskie mogłyby rozważyć ujednolicenie swoich podejść krajowych w taki sposób, aby zagwarantować jak najszybsze przekazywanie odpowiednich informacji na podstawie tych zgłoszeń właściwym organom lub CSIRT innych zainteresowanych państw członkowskich. Przekazywanie precyzyjnych informacji, na podstawie których można podejmować stosowne działania, miałoby zasadnicze znaczenie dla ograniczenia liczby infekcji lub wyeliminowania słabych punktów, zanim zostaną one wykorzystane.

Działając w duchu partnerstwa i dążąc do wykorzystania w pełni potencjału dyrektywy w sprawie bezpieczeństwa sieci i informacji, Komisja zamierza rozszerzyć wsparcie udzielane w ramach instrumentu „Łącząc Europę” na wszystkie zainteresowane strony objęte zakresem tego aktu prawnego. Chociaż koncentrowano się głównie na budowaniu zdolności CSIRT i na platformie umożliwiającej sprawną i skuteczną współpracę operacyjną, wzmacniając tym samym sieć CSIRT, Komisja zbada obecnie, w jaki sposób finansowanie w ramach instrumentu „Łącząc Europę” mogłoby również przynieść korzyści właściwym organom krajowym oraz operatorom usług kluczowych i dostawcom usług cyfrowych.