COMISIA EUROPEANĂ Bruxelles, 16.12.2020 COM(2020) 823 final 2020/0359(COD) Propunere de DIRECTIVĂ A PARLAMENTULUI EUROPEAN ȘI A CONSILIULUI privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune, de abrogare a Directivei (UE) 2016/1148 (Text cu relevanță pentru SEE) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



EXPUNERE DE MOTIVE 1.CONTEXTUL PROPUNERII •Motivele și obiectivele propunerii Prezenta propunere face parte dintr-un pachet de măsuri menite să îmbunătățească și mai mult capacitatea de reziliență și capacitatea de răspuns la incidente ale entităților publice și private, ale autorităților competente și ale Uniunii în ansamblu în domeniul securității cibernetice și al protecției infrastructurilor critice. Propunerea reflectă prioritățile Comisiei de a pregăti Europa pentru era digitală și de a construi o economie capabilă să facă față provocărilor viitorului și aflată în serviciul cetățenilor. Securitatea cibernetică este o prioritate în răspunsul Comisiei la criza provocată de pandemia de COVID-19. Pachetul include o nouă strategie privind securitatea cibernetică, menită să consolideze autonomia strategică a Uniunii pentru a-și îmbunătăți reziliența și răspunsul colectiv și pentru a construi un internet deschis și global. Pachetul conține și o propunere de directivă privind reziliența operatorilor critici de servicii esențiale, care vizează atenuarea amenințărilor fizice la adresa acestor operatori. Prezenta propunere se bazează pe Directiva (UE) 2016/1148 privind securitatea rețelelor și a sistemelor informatice (Directiva NIS) și abrogă această directivă, care este primul act legislativ privind securitatea cibernetică adoptat la nivelul UE. Propunerea prevede măsuri juridice de stimulare a nivelului general de securitate cibernetică în Uniune. Directiva NIS (1) a contribuit la îmbunătățirea capacităților în materie de securitate cibernetică la nivel național, solicitând statelor membre să adopte strategii naționale de securitate cibernetică și să desemneze autorități de securitate cibernetică; (2) a contribuit la intensificarea cooperării între statele membre la nivelul Uniunii prin înființarea a diferite foruri menite să faciliteze schimbul de informații strategice și operaționale; și (3) a îmbunătățit reziliența cibernetică a entităților publice și private în șapte sectoare specifice (energia, transporturile, sectorul bancar, infrastructurile piețelor financiare, asistența medicală, furnizarea și distribuția de apă potabilă și infrastructurile digitale) și în cadrul a trei servicii digitale (piețele online, motoarele de căutare online și serviciile de cloud computing), solicitând statelor membre să se asigure că operatorii de servicii esențiale și furnizorii de servicii digitale instituie cerințe în materie de securitate cibernetică și raportează incidentele. Propunerea modernizează cadrul juridic existent, ținând seama de intensificarea digitalizării pieței interne în ultimii ani și de evoluția situației amenințărilor la adresa securității cibernetice. Ambele tendințe s-au amplificat de la începutul crizei provocate de pandemia de COVID-19. Propunerea abordează, de asemenea, o serie de deficiențe care au împiedicat valorificarea întregului potențial al Directivei NIS. În pofida realizărilor sale notabile, Directiva NIS, care a pregătit terenul pentru o schimbare semnificativă de mentalitate în legătură cu abordarea instituțională și de reglementare a securității cibernetice în multe state membre, și-a dovedit și limitările. Transformarea digitală a societății (intensificată de criza provocată de pandemia de COVID-19) a extins situația amenințărilor și generează noi provocări care necesită răspunsuri adaptate și inovatoare. Numărul atacurilor cibernetice este în continuă creștere, atacurile, care sunt tot mai sofisticate, provenind dintr-o gamă largă de surse din interiorul și din afara UE. În urma evaluării funcționării Directivei NIS, efectuată în scopul evaluării impactului, au fost identificate următoarele aspecte: (1) un nivel scăzut de reziliență cibernetică a întreprinderilor care își desfășoară activitatea în UE; (2) reziliență inconsecventă în toate statele membre și în toate sectoarele; și (3) un nivel scăzut de conștientizare comună a situației și lipsa unui răspuns comun în caz de criză. De exemplu, anumite spitale importante dintr-un stat membru nu intră în domeniul de aplicare al Directivei NIS și, prin urmare, nu sunt obligate să pună în aplicare măsurile de securitate corespunzătoare, în timp ce, într-un alt stat membru, aproape fiecare furnizor de asistență medicală din țară trebuie să respecte cerințele de securitate NIS. Fiind o inițiativă în cadrul Programului privind o reglementare adecvată și funcțională (REFIT), propunerea vizează reducerea sarcinii de reglementare pentru autoritățile competente și a costurilor de asigurare a conformității pentru entitățile publice și private. În special, acest lucru se realizează prin eliminarea obligației autorităților competente de a identifica operatorii de servicii esențiale și prin îmbunătățirea nivelului de armonizare a cerințelor de securitate și raportare pentru a facilita respectarea reglementărilor de către entitățile care furnizează servicii transfrontaliere. În același timp, autorităților competente li se vor atribui o serie de sarcini noi, inclusiv supravegherea entităților din sectoarele care nu sunt reglementate până în prezent de Directiva NIS. •Coerența cu dispozițiile existente în domeniul de politică vizat Prezenta propunere face parte dintr-un set mai larg de instrumente juridice existente și de inițiative viitoare adoptate la nivelul Uniunii care vizează creșterea nivelului de reziliență a entităților publice și private în fața amenințărilor. În domeniul securității cibernetice, acestea sunt, în special, Directiva (UE) 2018/1972 de instituire a Codului european al comunicațiilor electronice (ale cărei dispoziții legate de securitatea cibernetică vor fi înlocuite de dispozițiile propunerii corespunzătoare) și Propunerea de regulament privind reziliența operațională digitală a sectorului financiar [COM(2020) 595 final], care va fi considerată drept lex specialis a propunerii corespunzătoare după intrarea în vigoare a celor două acte legislative. În domeniul securității fizice, propunerea completează propunerea de directivă privind reziliența entităților critice, care revizuiește Directiva 2008/114/CE privind identificarea și desemnarea infrastructurilor critice europene și evaluarea necesității de îmbunătățire a protecției acestora (Directiva ICE), care instituie, la nivelul Uniunii, un proces de identificare și desemnare a infrastructurilor critice europene și care stabilește o abordare pentru îmbunătățirea protecției acestora. În iulie 2020, Comisia a adoptat Strategia UE privind uniunea securității, care a recunoscut o creștere a interconectării și a interdependenței infrastructurilor fizice și digitale. Aceasta a subliniat necesitatea unei abordări mai coerente și mai consecvente între Directiva ICE și Directiva (UE) 2016/1148 privind măsurile menite să asigure un nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniune. Prin urmare, propunerea este strâns aliniată la propunerea de directivă privind reziliența entităților critice, care vizează sporirea rezilienței entităților critice în fața amenințărilor fizice într-un număr mare de sectoare. Propunerea urmărește să asigure faptul că, în temeiul celor două acte legislative, autoritățile competente iau măsuri complementare și fac schimb de informații, dacă este necesar, în ceea ce privește reziliența cibernetică și non-cibernetică, și că, în special, operatorii critici din sectoarele considerate „esențiale” pentru fiecare propunere în parte fac, de asemenea, obiectul unor obligații cu caracter mai general de consolidare a rezilienței, cu accent pe riscurile non-cibernetice. •Coerența cu alte politici ale Uniunii După cum se menționează în comunicarea intitulată „Conturarea viitorului digital al Europei”, este esențial ca Europa să valorifice toate beneficiile erei digitale și să își consolideze capacitatea industrială și de inovare, fără a transgresa însă limitele siguranței și ale eticii. Strategia europeană privind datele stabilește patru piloni – protecția datelor, drepturile fundamentale, siguranța și securitatea cibernetică – drept condiții prealabile esențiale pentru o societate autonomizată prin utilizarea datelor. Într-o rezoluție din 12 martie 2019, Parlamentul European a invitat „[...] Comisia să evalueze necesitatea de a se extinde domeniul de aplicare a Directivei NIS și la alte sectoare și servicii de importanță critică care nu sunt acoperite printr-o legislație specifică”. În concluziile sale din 9 iunie 2020, Consiliul a salutat „[...] planurile Comisiei de a asigura norme coerente pentru operatorii de pe piață și de a facilita un schimb de informații sigur, solid și adecvat cu privire la amenințări, precum și la incidente, inclusiv prin intermediul unei revizuiri a Directivei privind securitatea rețelelor și a sistemelor informatice (Directiva NIS), pentru a căuta opțiuni de îmbunătățire a rezilienței cibernetice și răspunsuri mai eficace la atacurile cibernetice, în special asupra unor activități economice și societale esențiale, respectând în același timp competențele statelor membre, inclusiv responsabilitatea pentru securitatea lor națională.” În plus, actul juridic propus nu aduce atingere aplicării normelor în materie de concurență prevăzute în Tratatul privind funcționarea Uniunii Europene (TFUE).

Având în vedere că o parte semnificativă a amenințărilor la adresa securității cibernetice își au originea în afara UE, este necesară o abordare coerentă a cooperării internaționale. Prezenta directivă constituie un model de referință care trebuie promovat în contextul cooperării UE cu țările terțe, în special atunci când se acordă asistență tehnică externă. 2.TEMEI JURIDIC, SUBSIDIARITATE ȘI PROPORȚIONALITATE •Temeiul juridic Temeiul juridic al Directivei NIS este articolul 114 din Tratatul privind funcționarea Uniunii Europene, al cărui obiectiv este instituirea și funcționarea pieței interne prin consolidarea măsurilor de apropiere a normelor naționale. Astfel cum a statuat Curtea de Justiție a UE în hotărârea sa în cauza C 58/08 Vodafone și alții, recurgerea la articolul 114 din TFUE este justificată în cazul în care între normele naționale există diferențe care au un efect direct asupra funcționării pieței interne. De asemenea, Curtea a statuat că, atunci când un act întemeiat pe articolul 114 TFUE a eliminat deja orice obstacol privind schimburile în domeniul pe care acesta îl armonizează, legiuitorul comunitar nu poate fi privat de posibilitatea de a adapta acest act în funcție de orice modificare a împrejurărilor sau de orice evoluție a cunoștințelor având în vedere sarcina care îi revine de a garanta protecția intereselor generale recunoscute de tratat. În sfârșit, Curtea a statuat că măsurile de apropiere prevăzute la articolul 114 din TFUE sunt menite să permită, în funcție de contextul general și de împrejurările specifice ale materiei care trebuie armonizată, o marjă de apreciere cu privire la cea mai adecvată tehnică de apropiere pentru a ajunge la rezultatul dorit. Actul juridic propus ar elimina obstacolele din calea instituirii și funcționării pieței interne și ar îmbunătăți funcționarea acesteia pentru entitățile esențiale și importante prin: stabilirea unor norme clare general aplicabile privind domeniul de aplicare al Directivei NIS, armonizarea normelor aplicabile în domeniul gestionării riscurilor în materie de securitate cibernetică și al raportării incidentelor. Disparitățile actuale în acest domeniu, atât la nivel legislativ și de supraveghere, cât și la nivel național și la nivelul UE, reprezintă obstacole în calea pieței interne, deoarece entitățile care desfășoară activități transfrontaliere se confruntă cu cerințe de reglementare și/sau de aplicare diferite și, eventual, care se suprapun, în detrimentul exercitării libertăților lor de stabilire și de prestare de servicii. Normele diferite au, de asemenea, un impact negativ asupra condițiilor de concurență de pe piața internă în ceea ce privește entitățile de același tip din diferite state membre. •Subsidiaritatea (în cazul competențelor neexclusive) Reziliența în materie de securitate cibernetică în întreaga Uniune nu poate fi eficace dacă este abordată într-un mod disparat prin fragmentări naționale sau regionale. Directiva NIS a abordat parțial această deficiență, prin stabilirea unui cadru pentru securitatea rețelelor și a sistemelor informatice la nivel național și la nivelul Uniunii. Cu toate acestea, transpunerea și punerea sa în aplicare au evidențiat, de asemenea, deficiențele inerente și limitele anumitor dispoziții sau abordări, cum ar fi delimitarea neclară a domeniului de aplicare al directivei, ceea ce duce la diferențe semnificative în ceea ce privește amploarea și profunzimea intervenției de facto a UE la nivelul statelor membre. În plus, de la criza provocată de pandemia de COVID-19, economia europeană a devenit mai dependentă decât oricând de rețele și de sistemele informatice, iar sectoarele și serviciile sunt din ce în ce mai interconectate. Intervenția UE, care depășește măsurile actuale prevăzute de Directiva NIS, este justificată în principal de: (i) caracterul din ce în ce mai transfrontalier al amenințărilor și al provocărilor legate de NIS; (ii) potențialul acțiunii Uniunii de îmbunătățire și de facilitare a unor politici naționale eficace și coordonate; și (iii) contribuția acțiunilor concertate și colaborative în materie de politică la protecția eficace a protecției datelor și a vieții private. •Proporționalitatea Normele propuse în prezenta directivă nu depășesc ceea ce este necesar pentru îndeplinirea obiectivelor specifice în mod satisfăcător. Alinierea și raționalizarea preconizate ale măsurilor de securitate și ale obligațiilor de raportare au legătură cu solicitările statelor membre și ale întreprinderilor de îmbunătățire a cadrului actual. Propunerea ține seama de practicile deja existente în statele membre. Un nivel sporit de protecție obținut prin intermediul unor astfel de cerințe raționalizate și coordonate este proporțional cu riscurile existente din ce în ce mai mari, inclusiv cu cele care prezintă un element transfrontalier; aceste cerințe sunt rezonabile și corespund, în general, interesului entităților implicate în asigurarea continuității și a calității serviciilor lor. Costurile pentru asigurarea cooperării sistematice între statele membre ar fi mici în comparație cu pierderile și daunele economice și societale cauzate de incidentele de securitate cibernetică. În plus, în urma consultărilor cu părțile interesate care au avut loc în contextul revizuirii Directivei NIS, inclusiv al rezultatelor consultării publice deschise și ale sondajelor specifice, rezultă că există sprijin pentru revizuirea Directivei NIS în conformitate cu orientările menționate mai sus. •Alegerea instrumentului Propunerea va raționaliza și mai mult obligațiile impuse întreprinderilor și va asigura un nivel mai ridicat de armonizare a acestora. În același timp, propunerea urmărește să ofere statelor membre flexibilitatea necesară pentru a ține seama de particularitățile naționale (de exemplu, posibilitatea de a identifica alte entități esențiale sau importante care depășesc nivelul de referință stabilit de actul juridic). Prin urmare, viitorul instrument juridic ar trebui să fie o directivă, întrucât acest instrument juridic permite o armonizare îmbunătățită specifică, precum și un anumit grad de flexibilitate pentru autoritățile competente. 3.REZULTATE ALE EVALUĂRILOR EX POST, ALE CONSULTĂRILOR PĂRȚILOR INTERESATE ȘI ALE EVALUĂRII IMPACTULUI •Evaluări ex post/verificări ale adecvării legislației existente Comisia a efectuat o evaluare a funcționării Directivei NIS, analizând relevanța, valoarea adăugată europeană, coerența, eficacitatea și eficiența acesteia. Principalele concluzii ale acestei analize sunt: ·Domeniul de aplicare al Directivei NIS este prea limitat în ceea ce privește sectoarele acoperite, în principal din cauza: (i) intensificării digitizării din ultimii ani și a unui grad mai ridicat de interconectare, (ii) faptului că domeniul de aplicare al Directivei NIS nu mai reflectă toate sectoarele digitalizate care furnizează servicii esențiale economiei și societății în ansamblu. ·Directiva NIS nu este suficient de clară în ceea ce privește domeniul de aplicare pentru operatorii de servicii esențiale, iar dispozițiile sale nu oferă suficientă claritate în ceea ce privește competența națională asupra furnizorilor de servicii digitale. Acest lucru a condus la o situație în care anumite tipuri de entități nu au fost identificate în toate statele membre și, prin urmare, nu sunt obligate să instituie măsuri de securitate și să raporteze incidentele. ·Directiva NIS a lăsat statelor membre o marjă largă de apreciere în ceea ce privește stabilirea cerințelor de raportare în materie de securitate și de incidente pentru operatorii de servicii esențiale (denumiți în continuare „OSE”). Evaluarea arată că, în unele cazuri, statele membre au pus în aplicare aceste cerințe în moduri foarte diferite, creând astfel o sarcină suplimentară pentru întreprinderile care își desfășoară activitatea în mai multe state membre. ·Regimul de supraveghere și de aplicare al Directivei NIS este ineficace. De exemplu, statele membre au fost foarte reticente față de aplicarea de sancțiuni entităților care nu pun în aplicare cerințele de securitate sau nu raportează incidentele. Acest lucru poate avea consecințe negative asupra rezilienței cibernetice a entităților individuale.

·Resursele financiare și umane pe care statele membre le alocă pentru îndeplinirea sarcinilor care le revin (cum ar fi identificarea sau supravegherea OSE) și, prin urmare, diferitele niveluri de maturitate în abordarea riscurilor de securitate cibernetică variază foarte mult. Acest lucru agravează și mai mult diferențele dintre statele membre în ceea ce privește reziliența cibernetică. ·Statele membre nu fac schimb sistematic de informații, iar acest lucru are consecințe negative, în special asupra eficacității măsurilor de securitate cibernetică și asupra nivelului de cunoaștere comună a situației la nivelul UE. Acest lucru este valabil și pentru schimbul de informații între entitățile private și pentru angajamentul dintre structurile de cooperare de la nivelul UE și entitățile private. •Consultări cu părțile interesate Comisia a consultat o gamă largă de părți interesate. Statele membre și părțile interesate au fost invitate să participe la consultarea publică deschisă și la sondajele și atelierele organizate de Wavestone, CEPS și ICF, cu care Comisia a încheiat un contract pentru realizarea unui studiu în sprijinul revizuirii Directivei NIS. Printre părțile interesate consultate s-au numărat autorități competente, organisme ale Uniunii care se ocupă de securitatea cibernetică, operatori de servicii esențiale, furnizori de servicii digitale, entități care furnizează servicii care nu intră sub incidența actualei Directive NIS, asociații profesionale, organizații ale consumatorilor și cetățeni. În plus, Comisia a fost în permanentă legătură cu autoritățile competente responsabile cu punerea în aplicare a Directivei NIS. Grupul de cooperare a acoperit în mare măsură diverse aspecte transversale și sectoriale legate de punerea în aplicare. În cele din urmă, în cursul vizitelor efectuate în 2019 și 2020 în statele membre în contextul aplicării Directivei NIS, Comisia a intervievat 154 de entități publice și private, precum și 117 autorități competente. •Opinii ale experților Comisia a contractat un consorțiu format din Wavestone, CEPS și ICF pentru a o sprijini în revizuirea Directivei NIS. Contractantul nu numai că s-a adresat părților interesate direct afectate de Directiva NIS prin intermediul unor sondaje și ateliere specifice, ci s-a consultat și cu o gamă largă de experți în domeniul securității cibernetice, cum ar fi cercetătorii în domeniul securității cibernetice și profesioniștii din acest sector. •Evaluarea impactului Prezenta propunere este însoțită de o evaluare a impactului, care a fost prezentată Comitetului de control normativ (CAR) la 23 octombrie 2020 și care, la 20 noiembrie 2020, a primit un aviz pozitiv cu observații din partea CAR. CAR a recomandat îmbunătățiri în anumite domenii, astfel încât: (1) rolul efectelor de propagare transfrontalieră să fie mai bine reflectat în analiza problemei; (2) să se explice mai bine ce înseamnă că inițiativa se bucură de succes; (3) să se justifice în continuare lista opțiunilor de politică; (4) să se detalieze costurile măsurilor propuse. Evaluarea impactului a fost ajustată pentru a lua în calcul aceste puncte și observații mai detaliate formulate de CAR. Aceasta include acum explicații mai detaliate privind rolul efectelor de propagare transfrontalieră în domeniul securității cibernetice, o prezentare mai clară a modului în care poate fi măsurat succesul, o explicație mai detaliată a concepției și a logicii diferitelor opțiuni și acțiuni de politică luate în considerare în cadrul acestor opțiuni, o explicație mai detaliată a aspectelor analizate în legătură cu domeniul de aplicare sectorial al Directivei NIS și clarificări suplimentare cu privire la costuri. Comisia a luat în considerare o serie de opțiuni de politică pentru îmbunătățirea cadrului juridic în domeniul rezilienței cibernetice și al răspunsului la incidente: ·„Nicio acțiune”: Directiva NIS rămâne neschimbată și nu se iau alte măsuri fără caracter legislativ pentru a aborda problemele identificate în evaluarea Directivei NIS. ·Opțiunea 1: Nu au loc modificări la nivel legislativ. În schimb, Comisia emite recomandări și orientări (privind, de exemplu, identificarea operatorilor de servicii esențiale, cerințele de securitate, procedurile de notificare a incidentelor și supravegherea), după consultarea Grupului de cooperare, a Agenției UE pentru Securitate Cibernetică (ENISA) și, după caz, a rețelei echipelor de intervenție în caz de incidente de securitate informatică (CSIRT). ·Opțiunea 2: Această opțiune implică modificări specifice ale Directivei NIS, inclusiv o extindere a domeniului de aplicare și o serie de alte modificări care ar viza garantarea unor soluții imediate la problemele identificate, oferind mai multă claritate și o mai bună armonizare (cum ar fi dispozițiile de armonizare a pragurilor de identificare). Cu toate acestea, principalele elemente de bază, abordarea și justificarea Directivei NIS ar urma să rămână neschimbate. ·Opțiunea 3: Acest scenariu implică modificări sistemice și structurale ale Directivei NIS (prin adoptarea unei noi directive) care preconizează o schimbare fundamentală a abordării în ceea ce privește acoperirea unui segment mai larg al economiilor din întreaga Uniune, dar cu o supraveghere mai bine orientată, care să vizeze actori mari și esențiali. În plus, acest scenariu ar raționaliza obligațiile impuse întreprinderilor și ar asigura un nivel mai ridicat de armonizare a acestora, ar crea un cadru mai eficace pentru aspectele operaționale și ar stabili o bază clară pentru asumarea mai multor responsabilități comune și a răspunderii comune pentru diferitele părți interesate cu privire la măsurile de securitate cibernetică. Evaluarea impactului concluzionează că opțiunea preferată este opțiunea 3 (și anume, modificări sistemice și structurale ale cadrului NIS). În ceea ce privește eficacitatea, opțiunea preferată ar determina în mod clar domeniul de aplicare al Directivei NIS, extins la o fracțiune mai reprezentativă a economiilor și a societăților din UE, precum și raționalizarea cerințelor, la care se adaugă un cadru mai bine definit de supraveghere și de asigurare a respectării legii, care ar viza îmbunătățirea nivelului de conformitate. Aceasta presupune, de asemenea, măsuri menite să îmbunătățească abordările în materie de elaborare a politicilor la nivelul statelor membre și să modifice paradigma acestora, promovând noi cadre pentru gestionarea riscurilor în relațiile cu furnizorii și comunicarea coordonată a vulnerabilităților. În același timp, opțiunea de politică preferată stabilește o bază clară pentru partajarea responsabilităților și a răspunderii și are în vedere mecanisme menite să promoveze o mai mare încredere între statele membre, atât la nivel de autorități, cât și la nivel de întreprinderi, stimulând schimbul de informații și asigurând o abordare mai operațională, cum ar fi asistența reciprocă și mecanismele de evaluare inter pares. Această opțiune ar oferi, de asemenea, un cadru UE de gestionare a crizelor, pornind de la rețeaua operațională a UE lansată recent, și ar asigura o mai mare implicare a ENISA, în cadrul mandatului său actual, în conturarea unei imagini de ansamblu exacte a situației securității cibernetice a Uniunii. În ceea ce privește eficiența, deși opțiunea preferată ar presupune costuri suplimentare de asigurare a conformității și de asigurare a respectării legislației pentru întreprinderi și statele membre, aceasta ar conduce, de asemenea, la compromisuri și sinergii eficiente, cu cel mai bun potențial dintre toate opțiunile de politică analizate pentru a asigura un nivel sporit și consecvent de reziliență cibernetică a entităților-cheie din întreaga Uniune, ceea ce ar duce, în cele din urmă, la economii de costuri atât pentru întreprinderi, cât și pentru societate. Această opțiune de politică ar genera anumite sarcini administrative suplimentare și costuri de asigurare a conformității pentru autoritățile statelor membre. Totuși, în ansamblu, pe termen mediu și lung, aceasta ar aduce, de asemenea, beneficii substanțiale printr-o cooperare sporită între statele membre, inclusiv la nivel operațional, precum și prin stimularea – prin asistență reciprocă, mecanisme de evaluare inter pares, o mai bună imagine de ansamblu a principalelor întreprinderi și o mai bună interacțiune cu acestea – unei creșteri globale a capacităților în materie de securitate cibernetică la nivel național și regional. Opțiunea de politică preferată ar asigura, totodată, în mare măsură coerența cu alte acte legislative, inițiative sau măsuri de politică, inclusiv cu lex specialis sectorială. Modificarea gradului actual de pregătire în materie de securitate cibernetică la nivelul statelor membre și la nivelul întreprinderilor și al altor organizații ar putea duce la creșterea eficienței și la reducerea costurilor suplimentare generate de incidentele de securitate cibernetică. ·Pentru entitățile esențiale și importante, îmbunătățirea nivelului de pregătire în materie de securitate cibernetică ar putea avea ca rezultat atenuarea potențialelor pierderi de venituri cauzate de perturbări – inclusiv din cauza spionajului industrial – și ar putea reduce cheltuielile mari legate de o atenuare ad-hoc a amenințărilor. Este probabil ca aceste câștiguri să depășească costurile de investiții necesare. Reducerea fragmentării pieței interne ar contribui, de asemenea, la instituirea unor condiții de concurență mai echitabile între operatori. ·Pentru statele membre, aceasta ar însemna, de asemenea, o reducere a riscului creșterii cheltuielilor bugetare pentru atenuarea ad-hoc a amenințărilor și a costurilor suplimentare în cazul unor situații de urgență legate de incidente de securitate cibernetică. ·Pentru cetățeni, abordarea incidentelor de securitate cibernetică ar trebui să conducă la reducerea pierderii de venituri datorate perturbărilor economice.

Nivelurile crescute de securitate cibernetică în statele membre și capacitatea întreprinderilor și a autorităților de a reacționa rapid la un incident și de a atenua impactul acestuia vor conduce, cel mai probabil, la o creștere a încrederii generale a cetățenilor în economia digitală, ceea ce ar putea avea un impact pozitiv asupra creșterii economice și a investițiilor. Creșterea nivelului general de securitate cibernetică ar putea conduce la o securitate globală sporită și la o funcționare fără întreruperi a serviciilor esențiale, care sunt critice pentru societate. Inițiativa poate avea, de asemenea, alte efecte sociale, cum ar fi reducerea nivelului criminalității informatice și al terorismului și îmbunătățirea protecției civile. Creșterea nivelului de pregătire cibernetică pentru întreprinderi și alte organizații poate preveni eventualele pierderi financiare cauzate de atacurile cibernetice și eventualele disponibilizări ale angajaților. Creșterea nivelului general de securitate cibernetică ar putea duce, de asemenea, la prevenirea riscurilor/daunelor de mediu în cazul unui atac asupra unui serviciu esențial. Acest lucru ar putea fi valabil în special pentru sectorul energetic, sectorul aprovizionării cu apă și cel al distribuției de apă sau al transporturilor. Prin consolidarea capacităților în materie de securitate cibernetică, inițiativa ar putea duce la o mai bună utilizare a infrastructurilor și a serviciilor TIC de ultimă generație, care sunt, de altfel, mai durabile din punctul de vedere al mediului, precum și la înlocuirea infrastructurilor tradiționale ineficiente și mai puțin sigure. Se preconizează că acest lucru va contribui, de asemenea, la reducerea numărului de incidente cibernetice costisitoare, eliberând resursele disponibile pentru investiții durabile. •Adecvarea reglementărilor și simplificarea Propunerea prevede o excludere generală a microîntreprinderilor și a întreprinderilor mici din domeniul de aplicare al NIS și un regim mai puțin strict de supraveghere ex post aplicat unui număr mare de entități noi care intră în domeniul de aplicare revizuit (entitățile importante). Aceste măsuri vizează reducerea la minimum și echilibrarea sarcinii impuse întreprinderilor și administrațiilor publice. În plus, propunerea înlocuiește sistemul complex de identificare pentru operatorii de servicii esențiale cu o obligație general aplicabilă și introduce un nivel mai ridicat de armonizare a obligațiilor în materie de securitate și raportare, ceea ce ar reduce sarcina de asigurare a conformității, în special pentru entitățile care furnizează servicii transfrontaliere. Propunerea reduce la minimum costurile de conformare pentru IMM-uri, deoarece entităților li se cere să ia doar măsurile necesare pentru asigurarea unui nivel de securitate a rețelelor și a sistemelor informatice adecvat riscului prezentat. •Drepturile fundamentale UE se angajează să asigure standarde înalte de protecție a drepturilor fundamentale. Toate acordurile voluntare de schimb de informații între entități promovate de prezenta directivă ar fi încheiate în medii de încredere, cu respectarea deplină a normelor Uniunii în materie de protecție a datelor, în special a Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului. 4.IMPLICAȚII BUGETARE A se vedea fișa financiară 5.ALTE ELEMENTE •Planuri de implementare și măsuri de monitorizare, evaluare și raportare Propunerea include un plan general de monitorizare și evaluare a impactului asupra obiectivelor specifice, solicitând Comisiei să efectueze o revizuire la cel puțin [54 de luni] de la data intrării în vigoare și să prezinte Parlamentului European și Consiliului un raport cu principalele sale constatări. Revizuirea urmează să se desfășoare în conformitate cu Orientările Comisiei privind o mai bună legiferare. •Explicație detaliată a dispozițiilor specifice ale propunerii Propunerea este structurată în jurul mai multor domenii de politică principale, care sunt interconectate și servesc scopului de îmbunătățire a nivelului securității cibernetice în Uniune. Obiect și domeniu de aplicare (articolul 1 și articolul 2) În special, directiva: (a) stabilește obligația statelor membre de a adopta o strategie națională de securitate cibernetică, de a desemna autoritățile naționale competente, punctele unice de contact și CSIRT; (b) prevede că statele membre stabilesc obligații de gestionare a riscurilor în materie de securitate cibernetică și de raportare pentru entitățile menționate ca entități esențiale în anexa I și pentru entitățile importante din anexa II; (c) prevede că statele membre stabilesc obligații privind schimbul de informații în materie de securitate cibernetică. Directiva se aplică anumitor entități esențiale publice sau private care își desfășoară activitatea în sectoarele enumerate în anexa I (energie, transporturi, sectorul bancar, infrastructuri ale pieței financiare, sănătate, apă potabilă, ape uzate, infrastructura digitală, administrație publică și spațiu) și anumite entități importante care își desfășoară activitatea în sectoarele enumerate în anexa II (servicii poștale și de curierat, gestionarea deșeurilor, fabricarea, producerea și distribuția de produse chimice, producția, prelucrarea și distribuția de alimente, producători și furnizori digitali). Microentitățile și entitățile mici în sensul Recomandării 2003/361/CE a Comisiei din 6 mai 2003 sunt excluse din domeniul de aplicare al directivei, cu excepția furnizorilor de rețele de comunicații electronice sau de servicii de comunicații electronice accesibile publicului, a furnizorilor de servicii de încredere, a registrelor de nume de domenii de prim nivel (Top-level domain name – TLD) și a administrației publice, precum și a anumitor alte entități, cum ar fi furnizorul unic al unui serviciu într-un stat membru. Cadrele naționale de securitate cibernetică (articolele 5-11)

Statele membre au obligația de a adopta o strategie națională în materie de securitate cibernetică care să definească obiectivele strategice și măsurile de politică și de reglementare adecvate în vederea atingerii și menținerii unui nivel ridicat de securitate cibernetică. Directiva stabilește, de asemenea, un cadru pentru comunicarea coordonată a vulnerabilităților și solicită statelor membre să desemneze CSIRT care să acționeze ca intermediari de încredere și să faciliteze interacțiunea dintre entitățile raportoare și producătorii sau furnizorii de produse și de servicii TIC. ENISA are obligația de a institui și de a menține un registru european al vulnerabilităților pentru vulnerabilitățile descoperite. Statele membre au obligația de a institui cadre naționale de gestionare a crizelor în materie de securitate cibernetică, printre altele prin desemnarea autorităților naționale competente responsabile cu gestionarea incidentelor și a crizelor de securitate cibernetică de mare amploare. De asemenea, statele membre au obligația de a desemna una sau mai multe autorități naționale competente în materie de securitate cibernetică pentru sarcinile de supraveghere prevăzute în prezenta directivă și un punct unic național de contact în materie de securitate cibernetică (single point of contact on cybersecurity – SPOC) care să exercite o funcție de legătură pentru a asigura cooperarea transfrontalieră a autorităților statelor membre. Statele membre au, de asemenea, obligația de a desemna CSIRT. Cooperare (articolele 12-16) Directiva creează un grup de cooperare pentru a sprijini și facilita cooperarea strategică și schimbul de informații între statele membre și pentru a dezvolta încrederea. Directiva instituie, de asemenea, o rețea CSIRT pentru a contribui la dezvoltarea încrederii între statele membre și pentru a promova cooperarea operațională rapidă și eficace. Se instituie o rețea europeană a Organizației de legătură în caz de crize cibernetice (EU­CyCLONe) care va sprijini gestionarea coordonată a incidentelor și a crizelor de securitate cibernetică de mare amploare și va asigura schimbul periodic de informații între statele membre și instituțiile UE. ENISA trebuie să elaboreze, în cooperare cu Comisia, un raport bienal privind situația securității cibernetice în Uniune. Comisia trebuie să instituie un sistem de evaluare inter pares care să permită evaluări inter pares periodice ale eficacității politicilor de securitate cibernetică ale statelor membre. Gestionarea riscurilor în materie de securitate cibernetică și obligațiile de raportare (articolele 17-23) Directiva impune statelor membre să prevadă ca organismele de conducere ale tuturor entităților care intră în domeniul său de aplicare să aprobe măsurile de gestionare a riscurilor în materie de securitate cibernetică luate de entitățile respective și să urmeze cursuri de formare specifice legate de securitatea cibernetică. Statele membre trebuie să se asigure că entitățile care intră în domeniul de aplicare al directivei iau măsuri tehnice și organizatorice adecvate și proporționale pentru a gestiona riscurile în materie de securitate cibernetică la adresa securității rețelelor și a sistemelor informatice. De asemenea, acestea au obligația de a se asigura că entitățile notifică autorităților naționale competente sau CSIRT orice incident de securitate cibernetică care are un impact semnificativ asupra furnizării serviciului pe care îl furnizează. Registrele TLD și entitățile care furnizează servicii de înregistrare a numelor de domenii pentru TLD colectează și mențin date exacte și complete de înregistrare a numelor de domenii. În plus, astfel de entități sunt obligate să le ofere solicitanților legitimi de acces un acces eficient la datele de înregistrare a domeniilor. Competență și înregistrare (articolele 24 și 25) Ca regulă generală, entitățile esențiale și importante sunt considerate ca fiind sub jurisdicția statului membru în care își prestează serviciile. Cu toate acestea, se consideră că anumite tipuri de entități (furnizorii de servicii DNS, registrele de nume TLD, furnizorii de servicii de cloud computing, furnizorii de servicii de centre de date și furnizorii de rețele de distribuție de conținut, precum și anumiți furnizori digitali) se află sub jurisdicția statului membru în care își au sediul principal din Uniune. Scopul este de a se asigura că astfel de entități nu se confruntă cu o multitudine de cerințe juridice diferite, deoarece serviciile pe care le furnizează sunt, într­o foarte mare măsură, transfrontaliere. ENISA are obligația de a crea și de a menține un registru al entităților de acest tip. Schimbul de informații (articolele 26 și 27) Statele membre prevăd norme care le permit entităților să se implice în schimbul de informații privind securitatea cibernetică în cadrul unor acorduri specifice privind schimbul de informații în materie de securitate cibernetică, în conformitate cu articolul 101 din TFUE. În plus, statele membre le permit entităților care nu intră în domeniul de aplicare al prezentei directive să raporteze, în mod voluntar, incidentele semnificative, amenințările cibernetice sau incidentele evitate la limită. Supraveghere și punere în aplicare (articolele 28-34) Autoritățile competente au obligația de a supraveghea entitățile care intră în domeniul de aplicare al directivei și, în special, de a asigura că acestea respectă cerințele de securitate și de notificare a incidentelor. Directiva face distincția între un regim de supraveghere ex ante pentru entitățile esențiale și un regim de supraveghere ex post pentru entitățile importante, acestea din urmă solicitând autorităților competente să ia măsuri atunci când li se furnizează dovezi sau indicii că o entitate importantă nu îndeplinește cerințele de securitate și de notificare a incidentelor. Directiva prevede, de asemenea, că statele membre trebuie să impună amenzi administrative entităților esențiale și importante și definește anumite plafoane pentru amenzi.

Statele membre au obligația de a coopera și de a-și acorda asistență reciprocă, după caz, atunci când entitățile furnizează servicii în mai multe state membre sau când sediul principal al unei entități ori reprezentantul său se află într-un anumit stat membru, dar rețeaua și sistemele sale informatice sunt situate în unul sau mai multe alte state membre. 2020/0359 (COD) Propunere de DIRECTIVĂ A PARLAMENTULUI EUROPEAN ȘI A CONSILIULUI privind măsuri pentru un nivel comun ridicat de securitate cibernetică în Uniune, de abrogare a Directivei (UE) 2016/1148 (Text cu relevanță pentru SEE) PARLAMENTUL EUROPEAN ȘI CONSILIUL UNIUNII EUROPENE, având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 114, având în vedere propunerea Comisiei Europene, după transmiterea proiectului de act legislativ parlamentelor naționale, având în vedere avizul Comitetului Economic și Social European, având în vedere avizul Comitetului Regiunilor, hotărând în conformitate cu procedura legislativă ordinară, întrucât: (1)Directiva (UE) 2016/1148 a Parlamentului European și a Consiliului vizează consolidarea capacităților în materie de securitate cibernetică în întreaga Uniune, atenuarea amenințărilor la adresa rețelelor și a sistemelor informatice utilizate pentru a furniza servicii esențiale în sectoare-cheie și asigurarea continuității acestor servicii atunci când se confruntă cu incidente de securitate cibernetică, contribuind astfel la funcționarea eficace a economiei și a societății Uniunii. (2)De la intrarea în vigoare a Directivei (UE) 2016/1148, s-au înregistrat progrese semnificative în ceea ce privește creșterea nivelului de reziliență a securității cibernetice în Uniune. Revizuirea directivei respective a arătat că aceasta a servit drept catalizator pentru abordarea instituțională și de reglementare a securității cibernetice în Uniune, deschizând calea pentru o schimbare semnificativă de mentalitate. Această directivă a asigurat finalizarea cadrelor naționale prin definirea strategiilor naționale de securitate cibernetică, prin stabilirea de capacități naționale și prin punerea în aplicare a măsurilor de reglementare care vizează infrastructurile esențiale și actorii identificați de fiecare stat membru. De asemenea, a contribuit la cooperarea la nivelul Uniunii prin instituirea Grupului de cooperare și a unei rețele de echipe naționale de intervenție în caz de incidente de securitate informatică („rețeaua CSIRT”). În pofida acestor realizări, revizuirea Directivei (UE) 2016/1148 a evidențiat deficiențe inerente care o împiedică să abordeze în mod eficace provocările contemporane și emergente în materie de securitate cibernetică. (3)Rețelele și sistemele informatice reprezintă acum o componentă centrală a vieții de zi cu zi, odată cu transformarea digitală rapidă și interconectarea societății, inclusiv în cadrul schimburilor transfrontaliere. Această transformare a condus la o extindere a situației amenințărilor la adresa securității cibernetice, generând noi provocări, care necesită răspunsuri adaptate, coordonate și inovatoare în toate statele membre. Incidentele de securitate sunt tot mai numeroase, mai ample, mai sofisticate și cu un impact tot mai mare, acestea reprezentând o amenințare gravă la adresa funcționării rețelelor și a sistemelor informatice. Prin urmare, incidentele cibernetice pot să împiedice desfășurarea activităților economice pe piața internă, să genereze pierderi financiare substanțiale, să submineze încrederea utilizatorilor și să provoace pagube majore economiei și societății Uniunii. Prin urmare, pregătirea și eficacitatea în materie de securitate cibernetică sunt acum mai importante ca niciodată pentru buna funcționare a pieței interne. (4)Temeiul juridic al Directivei (UE) 1148/2016 este articolul 114 din Tratatul privind funcționarea Uniunii Europene (TFUE), al cărui obiectiv este instituirea și funcționarea pieței interne prin consolidarea măsurilor de apropiere a normelor naționale. Cerințele de securitate cibernetică impuse entităților care furnizează servicii sau activități relevante din punct de vedere economic variază considerabil de la un stat membru la altul în ceea ce privește tipul de cerință, nivelul lor de detaliere și metoda de supraveghere. Aceste disparități implică costuri suplimentare și creează dificultăți pentru întreprinderile care oferă bunuri sau servicii la nivel transfrontalier. Cerințele impuse de un stat membru care sunt diferite sau chiar în conflict cu cele impuse de un alt stat membru pot afecta în mod substanțial activitățile transfrontaliere respective. În plus, conceperea unor standarde de securitate cibernetică sub nivelul optim sau punerea în aplicare sub nivel optim a standardelor de securitate cibernetică într-un stat membru pot avea repercusiuni asupra nivelului de securitate cibernetică al altor state membre, în special în contextul schimburilor transfrontaliere intense. Revizuirea Directivei (UE) 2016/1148 a arătat că punerea sa în aplicare diferă foarte mult de la un stat membru la altul, inclusiv în ceea ce privește domeniul său de aplicare, a cărui delimitare a fost lăsată în mare măsură la latitudinea statelor membre. Directiva (UE) 2016/1148 a acordat, de asemenea, statelor membre o marjă de apreciere foarte largă în ceea ce privește punerea în aplicare a obligațiilor de raportare în materie de securitate și de raportare a incidentelor pe care le prevede aceasta. Prin urmare, aceste obligații au fost puse în aplicare în moduri foarte diferite la nivel național. Divergențe similare în ceea ce privește punerea în aplicare s-au înregistrat și în ceea ce privește dispozițiile directivei respective privind supravegherea și asigurarea respectării legislației. (5)Toate aceste divergențe implică o fragmentare a pieței interne și pot avea un efect negativ asupra funcționării acesteia, afectând în special furnizarea transfrontalieră de servicii și nivelul de reziliență în materie de securitate cibernetică din cauza aplicării unor standarde diferite. Prezenta directivă urmărește să elimine divergențele importante dintre statele membre, în special prin stabilirea unor norme minime privind funcționarea unui cadru de reglementare coordonat, prin stabilirea unor mecanisme pentru cooperarea eficace între autoritățile responsabile din fiecare stat membru, prin actualizarea listei sectoarelor și a activităților care fac obiectul obligațiilor în materie de securitate cibernetică și prin instituirea unor căi de atac și sancțiuni eficace care sunt esențiale pentru asigurarea eficace a respectării acestor obligații. Directiva (UE) 2016/1148 trebuie, prin urmare, abrogată și înlocuită cu prezenta directivă. (6)Prezenta directivă nu aduce atingere posibilității de care dispun statele membre de a lua măsurile necesare pentru a asigura protecția intereselor sale esențiale de securitate, a apăra ordinea și siguranța publică și a permite investigarea, detectarea și urmărirea infracțiunilor, în conformitate cu legislația Uniunii. În conformitate cu articolul 346 din TFUE, niciun stat membru nu are obligația de a furniza informații a căror divulgare ar fi contrară intereselor esențiale ale siguranței sale publice. În acest context, sunt relevante normele naționale și cele ale Uniunii privind protecția informațiilor clasificate și acordurile de nedivulgare sau acordurile de nedivulgare informale, precum „Traffic Light Protocol”.

(7)Odată cu abrogarea Directivei (UE) 2016/1148, domeniul de aplicare ar trebui extins la mai multe sectoare economice, având în vedere considerentele 4-6. Sectoarele reglementate de Directiva (UE) 2016/1148 ar trebui, prin urmare, să fie extinse pentru a oferi o acoperire cuprinzătoare a sectoarelor și a serviciilor de importanță vitală pentru activitățile societale și economice esențiale din cadrul pieței interne. Normele nu ar trebui să fie diferite în funcție de statutul entităților: operatori de servicii esențiale sau furnizori de servicii digitale. Această diferențiere s-a dovedit a fi caducă, deoarece nu reflectă importanța reală a sectoarelor sau a serviciilor pentru activitățile sociale și economice de pe piața internă. (8)În conformitate cu Directiva (UE) 2016/1148, statele membre au fost responsabile de stabilirea entităților care îndeplinesc criteriile pentru a fi considerate operatori de servicii esențiale („procesul de identificare”). Pentru a elimina divergențele mari dintre statele membre în această privință și pentru a asigura securitatea juridică în ceea ce privește cerințele de gestionare a riscurilor și obligațiile de raportare pentru toate entitățile relevante, ar trebui stabilit un criteriu uniform care să stabilească care sunt entitățile ce intră în domeniul de aplicare al prezentei directive. Acest criteriu ar trebui să constea în aplicarea regulii privind criteriul de dimensiune, conform căruia toate întreprinderile mijlocii și mari, astfel cum sunt definite în Recomandarea 2003/361/CE a Comisiei, care își desfășoară activitatea în sectoarele reglementate de prezenta directivă sau furnizează tipul de servicii reglementate de aceasta intră în domeniul său de aplicare. Statele membre nu ar trebui să aibă obligația de a întocmi o listă a entităților care îndeplinesc acest criteriu general aplicabil în ceea ce privește dimensiunea. (9)Cu toate acestea, entitățile mici sau microentitățile care îndeplinesc anumite criterii ce indică un rol-cheie pentru economiile sau societățile statelor membre sau pentru anumite sectoare sau tipuri de servicii ar trebui să intre, de asemenea, sub incidența prezentei directive. Statele membre ar trebui să fie responsabile de stabilirea unei liste a acestor entități și să o transmită Comisiei. (10)Comisia, în cooperare cu Grupul de cooperare, poate emite orientări privind punerea în aplicare a criteriilor aplicabile microîntreprinderilor și întreprinderilor mici. (11)În funcție de sectorul în care își desfășoară activitatea sau de tipul de serviciu pe care îl furnizează, entitățile care intră în domeniul de aplicare al prezentei directive ar trebui clasificate în două categorii: esențiale și importante. Această clasificare ar trebui să țină seama de nivelul critic al sectorului sau al tipului de serviciu, precum și de nivelul de dependență al altor sectoare sau tipuri de servicii. Entitățile esențiale și cele importante ar trebui să fie supuse acelorași cerințe de gestionare a riscurilor și acelorași obligații de raportare. Regimurile de supraveghere și de sancționare corespunzătoare acestor două categorii de entități ar trebui diferențiate pentru a asigura un echilibru corect între cerințe și obligații, pe de o parte, și sarcina administrativă care decurge din supravegherea conformității, pe de altă parte. (12)Legislația și instrumentele sectoriale pot contribui la asigurarea unor niveluri ridicate de securitate cibernetică, ținând seama pe deplin de particularitățile și de complexitatea acestor sectoare. În cazul în care un act juridic sectorial al Uniunii impune entităților esențiale sau importante să adopte măsuri de gestionare a riscurilor în materie de securitate cibernetică sau să notifice incidente ori amenințări cibernetice semnificative cu un efect cel puțin echivalent cu obligațiile prevăzute în prezenta directivă, ar trebui să se aplice dispozițiile sectoriale respective, inclusiv cele privind supravegherea și asigurarea respectării normelor. Comisia poate emite orientări cu privire la punerea în aplicare a lex specialis. Prezenta directivă nu împiedică adoptarea unor acte sectoriale suplimentare ale Uniunii care să abordeze măsurile de gestionare a riscurilor în materie de securitate cibernetică și notificările incidentelor. Aceasta nu aduce atingere competențelor de executare existente care i-au fost conferite Comisiei într-o serie de sectoare, inclusiv în domeniul transporturilor și în cel al energiei. (13)În ceea ce privește entitățile din sectorul financiar, Regulamentul XXXX/XXXX al Parlamentului European și al Consiliului ar trebui considerat un act juridic sectorial al Uniunii în legătură cu prezenta directivă. Dispozițiile Regulamentului XXXX/XXXX referitoare la măsurile de gestionare a riscurilor legate de tehnologia informației și comunicațiilor (TIC), la gestionarea incidentelor legate de TIC și, în special, la raportarea incidentelor, precum și cele referitoare la testarea rezilienței operaționale digitale, la acordurile privind schimbul de informații și la riscul asociat furnizorilor terți de servicii TIC ar trebui să se aplice în locul celor instituite în temeiul prezentei directive. Prin urmare, în cazul entităților financiare care intră sub incidența Regulamentului XXXX/XXXX, statele membre nu ar trebui să aplice dispozițiile prezentei directive privind obligațiile de gestionare și raportare a riscurilor în materie de securitate cibernetică, schimbul de informații, supravegherea și asigurarea respectării normelor. În același timp, este important ca, în temeiul prezentei directive, să se mențină o relație puternică cu sectorul financiar și să se facă un schimb de informații cu acesta. Astfel, în temeiul Regulamentului XXXX/XXXX, toate autoritățile de supraveghere financiară, autoritățile europene de supraveghere (AES) pentru sectorul financiar și autoritățile naționale competente în temeiul Regulamentului XXXX/XXXX pot participa la discuții strategice privind politicile și activitățile tehnice ale Grupului de cooperare, pot face schimb de informații și pot coopera cu punctele unice de contact desemnate în temeiul prezentei directive și cu CSIRT naționale. Autoritățile competente în temeiul Regulamentului XXXX/XXXX ar trebui să transmită detaliile incidentelor majore legate de TIC și punctelor unice de contact desemnate în temeiul prezentei directive. În plus, statele membre ar trebui să includă în continuare sectorul financiar în strategiile lor de securitate cibernetică, iar CSIRT naționale pot acoperi sectorul financiar în activitățile lor. (14)Având în vedere interconexiunile dintre securitatea cibernetică și securitatea fizică a entităților, ar trebui să se asigure o abordare coerentă între Directiva (UE) XXX/XXX a Parlamentului European și a Consiliului și prezenta directivă. În acest scop, statele membre ar trebui să se asigure că, în temeiul Directivei (UE) XXX/XXX, entitățile critice și entitățile echivalente sunt considerate entități esențiale în temeiul prezentei directive. Statele membre ar trebui, de asemenea, să se asigure că strategiile lor în materie de securitate cibernetică oferă un cadru de politică pentru o coordonare consolidată între autoritatea competentă în temeiul prezentei directive și cea competentă în temeiul Directivei (UE) XXX/XXX în contextul schimbului de informații privind incidentele și amenințările cibernetice și al exercitării sarcinilor de supraveghere. Autoritățile competente în temeiul acestor două directive ar trebui să coopereze și să facă schimb de informații, în special în ceea ce privește identificarea entităților critice, amenințările cibernetice, riscurile de securitate cibernetică, incidentele care afectează entitățile critice, precum și cu privire la măsurile de securitate cibernetică adoptate de entitățile critice. La cererea autorităților competente în temeiul Directivei (UE) XXX/XXX, autorităților competente în temeiul prezentei directive ar trebui să li se permită să își exercite competențele de supraveghere și de asigurare a respectării legislației cu privire la o entitate esențială identificată ca fiind critică. Cele două tipuri de autorități ar trebui să coopereze și să facă schimb de informații în acest scop. (15)Respectarea și menținerea unui sistem fiabil, rezilient și sigur de nume de domenii (DNS) este un factor-cheie pentru menținerea integrității internetului, esențial pentru funcționarea sa continuă și stabilă, de care depind economia digitală și societatea. Prin urmare, prezenta directivă ar trebui să se aplice tuturor furnizorilor de servicii DNS de-a lungul lanțului de rezoluție a DNS, inclusiv operatorilor de servere pentru numele primare, de servere cu nume de domeniu de prim nivel (TLD), de servere cu nume de utilizator autorizat pentru nume de domenii și de rezolvere recursive. (16)Serviciile de cloud computing ar trebui să acopere serviciile care permit, la cerere, accesul larg de la distanță la un bazin elastic și redimensionabil de resurse informatice care pot fi puse în comun și distribuite. Noțiunea de „resurse informatice” include resurse precum rețelele, serverele sau alte infrastructuri, sistemele de operare, software-urile, stocarea, aplicațiile și serviciile. Modelele de implementare a cloud computingului ar trebui să includă tehnologiile de tip cloud private, comunitare, publice și hibride. Modelele de servicii și de implementare menționate anterior au același înțeles ca și termenii modelelor de servicii și de implementare definiți în standardul ISO/IEC 17788:2014. Capacitatea utilizatorului de cloud computing de a furniza în mod unilateral capacități de calcul autonome, cum ar fi ora serverului sau stocarea în rețea, fără nicio interacțiune umană din partea furnizorului de servicii de cloud computing, ar putea fi descrisă ca administrare la cerere. Termenul „acces larg la distanță” este utilizat pentru a descrie faptul că aceste capacități de cloud sunt furnizate prin rețea și accesate prin mecanisme care promovează utilizarea unor platforme eterogene, subțiri sau groase pentru clienți (inclusiv telefoane mobile, tablete, laptopuri, stații de lucru). Termenul „redimensionabil” se referă la resursele informatice care se alocă flexibil de către furnizorul de servicii cloud, indiferent de poziția geografică a resurselor, pentru a administra fluctuațiile de cerere. Termenul „bazin elastic” se referă la acele resurse informatice care sunt atribuite și transferate în funcție de cerere, pentru a înmulți și a reduce rapid resursele disponibile în conformitate cu volumul de lucru. Sintagma „care pot fi puse în comun” descrie acele resurse informatice care sunt furnizate mai multor utilizatori care au acces comun la serviciu, dar tratamentul se efectuează separat pentru fiecare utilizator, deși serviciul este furnizat de același echipament electronic. Termenul „distribuit” se referă la acele resurse informatice care sunt situate pe diferite calculatoare sau dispozitive în rețea și care comunică și se coordonează între ele prin transmiterea de mesaje. (17)Având în vedere apariția unor tehnologii inovatoare și a unor noi modele de afaceri, se preconizează că pe piață vor apărea noi modele de implementare și de servicii de cloud computing ca răspuns la evoluția nevoilor clienților. În acest context, serviciile de cloud computing pot fi furnizate într-o formă foarte distribuită, chiar mai aproape de locul în care datele sunt generate sau colectate, trecând astfel de la modelul tradițional la unul foarte distribuit („tehnica de calcul la margine”). (18)Este posibil ca serviciile oferite de furnizorii de servicii de centre de date să nu fie întotdeauna furnizate sub formă de servicii de cloud computing. În consecință, este posibil ca centrele de date să nu constituie întotdeauna o parte a infrastructurii de cloud computing. Pentru a gestiona toate riscurile la adresa securității rețelelor și a sistemelor informatice, prezenta directivă ar trebui să vizeze și furnizorii de astfel de servicii de centre de date care nu sunt servicii de cloud computing. În sensul prezentei directive, termenul „serviciu de centru de date” ar trebui să includă furnizarea unui serviciu care cuprinde structuri sau grupuri de structuri dedicate instalării centralizate, interconectării și funcționării tehnologiei informației și a echipamentelor de rețea care furnizează servicii de stocare, prelucrare și transport de date, împreună cu toate instalațiile și infrastructurile de distribuție a energiei electrice și de control al mediului. Termenul „serviciu de centre de date” nu se aplică centrelor de date interne, corporative deținute și operate în scopuri proprii entității în cauză. (19)Furnizorii de servicii poștale în sensul Directivei 97/67/CE a Parlamentului European și a Consiliului, precum și furnizorii de servicii de curierat și curierat rapid ar trebui să facă obiectul prezentei directive în cazul în care asigură cel puțin una dintre etapele lanțului de distribuție poștală, în special ridicarea, sortarea sau distribuția, inclusiv serviciile de preluare. Serviciile de transport care nu sunt efectuate împreună cu una dintre aceste etape nu ar trebui să intre în domeniul de aplicare al serviciilor poștale. (20)Aceste interdependențe din ce în ce mai mari sunt rezultatul unei rețele din ce în ce mai transfrontaliere și interdependente de furnizare de servicii care utilizează infrastructuri-cheie din întreaga Uniune în sectoare precum energia, transporturile, infrastructura digitală, apa potabilă și apele uzate, sănătatea, anumite aspecte ale administrației publice, precum și spațiul, în măsura în care furnizarea anumitor servicii în funcție de infrastructurile terestre care sunt deținute, gestionate și exploatate fie de statele membre, fie de părți private, nu acoperă, prin urmare, infrastructurile deținute, gestionate sau exploatate de Uniune sau în numele acesteia, ca parte a programelor sale spațiale. Aceste interdependențe înseamnă că orice perturbare, chiar dacă inițial este limitată la o singură entitate sau la un singur sector, poate avea efecte în cascadă în sens mai larg, ceea ce ar putea avea efecte negative de amploare și de lungă durată asupra furnizării de servicii pe piața internă. Pandemia de COVID-19 a demonstrat vulnerabilitatea societăților noastre, care sunt din ce în ce mai interdependente în fața riscurilor cu probabilitate redusă de producere. (21)Având în vedere diferențele dintre structurile naționale de guvernanță și pentru a salvgarda acordurile sectoriale sau organismele de supraveghere și de reglementare ale Uniunii deja existente, statele membre ar trebui să fie capabile să desemneze mai multe autorități naționale competente responsabile cu îndeplinirea atribuțiilor legate de securitatea rețelelor și a sistemelor informatice ale operatorilor de servicii esențiale și ale entităților importante în temeiul prezentei directive. Statele membre ar trebui să fie capabile să atribuie acest rol unei autorități existente. (22)Pentru a facilita cooperarea și comunicarea transfrontalieră între autorități și pentru a permite aplicarea efectivă a prezentei directive, este necesar ca fiecare stat membru să desemneze un punct unic de contact la nivel național responsabil cu coordonarea aspectelor legate de securitatea rețelelor și a sistemelor informatice și cu cooperarea transfrontalieră la nivelul Uniunii. (23)Autoritățile competente sau CSIRT-urile ar trebui să primească de la entități notificări ale incidentelor într-un mod eficace și eficient. Punctele unice de contact ar trebui să aibă sarcina de a transmite notificările incidentelor către punctele unice de contact ale altor state membre afectate. La nivelul autorităților statelor membre, pentru a asigura un punct de intrare unic în fiecare stat membru, punctele unice de contact ar trebui să fie, de asemenea, destinatarii informațiilor relevante privind incidentele referitoare la entități din sectorul financiar, furnizate de autoritățile competente în temeiul Regulamentului XXXX/XXXX, pe care ar trebui să le poată transmite, după caz, autorităților naționale competente relevante sau CSIRT în temeiul prezentei directive. (24)Statele membre ar trebui să fie echipate în mod adecvat, din punct de vedere al capacității atât tehnice, cât și organizatorice, pentru a preveni, a detecta, a combate și a atenua incidentele și riscurile la care sunt supuse rețelele și sistemele informatice. Prin urmare, statele membre ar trebui să se asigure că dețin CSIRT care funcționează corespunzător, cunoscute și drept echipe de intervenție în caz de urgență informatică („CERT”), care respectă cerințele esențiale pentru a garanta existența capacităților eficace și compatibile care să administreze incidentele și riscurile și să asigure o cooperare eficientă la nivelul Uniunii. În vederea consolidării relației de încredere dintre entități și CSIRT, în cazurile în care o echipă CSIRT face parte din autoritatea competentă, statele membre ar trebui să aibă în vedere separarea funcțională între sarcinile operaționale furnizate de CSIRT, în special în ceea ce privește schimbul de informații și sprijinul acordat entităților, și activitățile de supraveghere ale autorităților competente. (25)În ceea ce privește datele cu caracter personal, CSIRT ar trebui să poată furniza, în conformitate cu Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului, în ceea ce privește datele cu caracter personal, în numele și la cererea unei entități în temeiul prezentei directive, o scanare proactivă a rețelei și a sistemelor informatice utilizate pentru furnizarea serviciilor lor. Statele membre ar trebui să vizeze asigurarea unui nivel egal al capacităților tehnice pentru toate CSIRT-urile sectoriale. Statele membre pot solicita asistența Agenției Uniunii Europene pentru Securitate Cibernetică (ENISA) la dezvoltarea echipelor CSIRT naționale. (26)Având în vedere importanța cooperării internaționale în privința securității cibernetice, CSIRT ar trebui să aibă posibilitatea să participe la rețele de cooperare internațională, în plus față de rețeaua CSIRT instituită prin prezenta directivă.

(27)În conformitate cu anexa la Recomandarea (UE) 2017/1584 a Comisiei privind răspunsul coordonat la incidentele și crizele de securitate cibernetică de mare amploare („Blueprint”), un incident de mare anvergură ar trebui să însemne un incident cu un impact semnificativ asupra a cel puțin două state membre sau care provoacă o perturbare ce depășește capacitatea unui stat membru de a reacționa la acesta. În funcție de cauza și de impactul lor, incidentele de mare amploare pot escalada și se pot transforma în crize de sine stătătoare, care să împiedice buna funcționare a pieței interne. Având în vedere domeniul larg de aplicare și, în cele mai multe cazuri, natura transfrontalieră a unor astfel de incidente, statele membre și instituțiile, organele și agențiile relevante ale Uniunii ar trebui să coopereze la nivel tehnic, operațional și politic pentru a coordona în mod corespunzător răspunsul în întreaga Uniune. (28)Întrucât exploatarea vulnerabilităților din cadrul rețelelor și al sistemelor informatice poate provoca perturbări și prejudicii semnificative, identificarea și remedierea rapidă a acestor vulnerabilități reprezintă un factor important în reducerea riscului de securitate cibernetică. Entitățile care dezvoltă astfel de sisteme ar trebui, prin urmare, să stabilească proceduri adecvate de gestionare a vulnerabilităților atunci când acestea sunt descoperite. Întrucât vulnerabilitățile sunt adesea descoperite și raportate (divulgate) de părți terțe (entități raportoare), producătorul ori furnizorul de produse sau servicii TIC ar trebui, de asemenea, să instituie procedurile necesare pentru a primi de la terți informații privind vulnerabilitatea. În acest sens, standardele internaționale ISO/IEC 30111 și ISO/IEC 29417 oferă orientări privind gestionarea vulnerabilităților și, respectiv, divulgarea vulnerabilităților. În ceea ce privește divulgarea vulnerabilităților, coordonarea dintre entitățile raportoare și producătorii ori furnizorii de produse sau servicii TIC este deosebit de importantă. Divulgarea coordonată a vulnerabilităților presupune un proces structurat prin care vulnerabilitățile sunt raportate organizațiilor într-un mod care să permită organizației să diagnosticheze și să remedieze vulnerabilitățile înainte ca informațiile detaliate privind vulnerabilitățile să fie divulgate terților sau publicului. Divulgarea coordonată a vulnerabilităților ar trebui să includă, de asemenea, coordonarea dintre entitatea raportoare și organizație în ceea ce privește calendarul de remediere și publicare a vulnerabilităților. (29)Prin urmare, statele membre ar trebui să ia măsuri pentru a facilita divulgarea coordonată a vulnerabilităților prin stabilirea unei politici naționale relevante. În acest sens, statele membre ar trebui să desemneze o echipă CSIRT care să preia rolul de „coordonator”, acționând ca intermediar între entitățile raportoare și producătorii ori furnizorii de produse sau servicii TIC, dacă este necesar. Sarcinile coordonatorului CSIRT ar trebui să includă, în special, identificarea și contactarea entităților vizate, sprijinirea entităților raportoare, negocierea calendarelor de divulgare și gestionarea vulnerabilităților care afectează mai multe organizații (divulgarea vulnerabilităților mai multor părți). Atunci când vulnerabilitățile afectează mai mulți producători ori furnizori de produse sau servicii TIC stabiliți în mai multe state membre, CSIRT desemnate din fiecare dintre statele membre afectate ar trebui să coopereze în cadrul rețelei CSIRT. (30)Accesul la informații corecte și în timp util cu privire la vulnerabilitățile care afectează produsele și serviciile TIC contribuie la o mai bună gestionare a riscurilor în materie de securitate cibernetică. În această privință, sursele de informații accesibile publicului cu privire la vulnerabilități reprezintă un instrument important atât pentru entități și utilizatorii acestora, cât și pentru autoritățile naționale competente și CSIRT. Din acest motiv, ENISA ar trebui să creeze un registru al vulnerabilităților în care entitățile esențiale și importante și furnizorii acestora, precum și entitățile care nu intră în domeniul de aplicare al prezentei directive pot, în mod voluntar, să divulge vulnerabilitățile și să furnizeze informații privind vulnerabilitățile, astfel încât utilizatorii să ia măsuri de atenuare adecvate. (31)Deși există registre ale vulnerabilităților sau baze de date similare, acestea sunt găzduite și întreținute de entități care nu sunt stabilite în Uniune. Un registru european al vulnerabilităților gestionat de ENISA ar oferi o mai mare transparență în ceea ce privește procesul de publicare înainte de dezvăluirea oficială a vulnerabilității, precum și reziliența în caz de perturbări sau întreruperi ale furnizării de servicii similare. Pentru a evita dublarea eforturilor și pentru a căuta complementaritatea în măsura posibilului, ENISA ar trebui să analizeze posibilitatea de a încheia acorduri de cooperare structurată cu registre similare în jurisdicții din țări terțe. (32)Grupul de cooperare ar trebui să stabilească, o dată la doi ani, un program de lucru care să includă acțiunile ce urmează să fie întreprinse de grup în vederea punerii în aplicare a obiectivelor și sarcinilor sale. Calendarul primului program adoptat în temeiul prezentei directive ar trebui să fie aliniat la calendarul ultimului program adoptat în temeiul Directivei (UE) 2016/1148, pentru a se evita eventualele perturbări ale activității grupului. (33)Atunci când elaborează documente de orientare, Grupul de cooperare ar trebui ca, în mod consecvent, să identifice soluțiile și experiențele naționale, să evalueze impactul rezultatelor Grupului de cooperare asupra abordărilor naționale, să discute provocările legate de punerea în aplicare și să formuleze recomandări specifice care să fie abordate printr-o mai bună punere în aplicare a normelor existente. (34)Grupul de cooperare ar trebui să rămână un forum flexibil, care să poată reacționa la prioritățile și provocările noi și în schimbare în materie de politici, ținând seama, în același timp, de disponibilitatea resurselor. Acesta ar trebui să organizeze reuniuni comune periodice cu părțile interesate relevante din sectorul privat din întreaga Uniune pentru a discuta activitățile pe care le desfășoară grupul și pentru a colecta informații cu privire la provocările emergente în materie de politici. Pentru a consolida cooperarea la nivelul Uniunii, grupul ar trebui să invite să participe la lucrările sale organismele și agențiile Uniunii implicate în politica de securitate cibernetică, cum ar fi Centrul european de combatere a criminalității informatice (EC3), Agenția Uniunii Europene pentru Siguranța Aviației (AESA) și Agenția Uniunii Europene pentru Programul spațial (EUSPA). (35)Autoritățile competente și CSIRT ar trebui să aibă posibilitatea să participe la programe de schimb pentru funcționari din alte state membre în vederea îmbunătățirii cooperării. Autoritățile competente ar trebui să ia măsurile necesare ca funcționari din alte state membre să poată juca un rol efectiv în activitățile autorității competente gazdă. (36)Dacă este posibil, Uniunea ar trebui să încheie, în conformitate cu articolul 218 din TFUE, acorduri internaționale cu țări terțe sau organizații internaționale, care să permită și să organizeze participarea acestora la anumite activități ale Grupului de cooperare și ale rețelei CSIRT. Astfel de acorduri ar trebui să asigure o protecție adecvată a datelor. (37)Statele membre ar trebui să contribuie la instituirea cadrului UE de răspuns la crizele de securitate cibernetică prevăzut în Recomandarea (UE) 2017/1584 prin intermediul rețelelor de cooperare existente, în special prin rețeaua Organizației de legătură în caz de criză cibernetică (EU-CyCLONe), rețeaua CSIRT și Grupul de cooperare. EU­CyCLONe și rețeaua CSIRT ar trebui să coopereze pe baza modalităților procedurale care definesc modalitățile acestei cooperări. Regulamentul de procedură al EU-CyCLONe ar trebui să precizeze în detaliu modalitățile prin care ar trebui să funcționeze rețeaua, inclusiv, dar fără a se limita la acestea, rolurile, modurile de cooperare, interacțiunile cu alți actori relevanți și modelele pentru schimbul de informații, precum și mijloacele de comunicare. Pentru gestionarea crizelor la nivelul Uniunii, părțile relevante ar trebui să se bazeze pe mecanismul integrat pentru un răspuns politic la crize (IPCR). În acest scop, Comisia ar trebui să utilizeze procesul ARGUS de coordonare transsectorială la nivel înalt în situații de criză. În cazul în care criza are o importantă dimensiune externă sau de politică de securitate și apărare comună (PSAC), ar trebui activat mecanismul de răspuns în caz de criză al Serviciului European de Acțiune Externă (SEAE). (38)În sensul prezentei directive, termenul „risc” ar trebui să se refere la potențialele pierderi sau perturbări cauzate de un incident de securitate cibernetică și ar trebui exprimat ca o combinație între amploarea unei astfel de pierderi sau perturbări și probabilitatea producerii incidentului respectiv. (39)În sensul prezentei directive, termenul „incident evitat la limită” ar trebui să se refere la un eveniment care ar fi putut cauza prejudicii, dar care a cărui desfășurare până la capăt a fost împiedicată cu succes. (40)Măsurile de gestionare a riscurilor ar trebui să includă măsurile de identificare a oricăror riscuri de incidente, de prevenire, detectare și administrare a incidentelor și de diminuare a impactului acestora. Securitatea rețelelor și a sistemelor informatice ar trebui să cuprindă securitatea datelor stocate, transmise și prelucrate. (41)Pentru a se evita impunerea unei sarcini financiare și administrative disproporționate asupra entităților esențiale și importante, cerințele de gestionare a riscurilor în materie de securitate cibernetică ar trebui să fie proporționale cu riscurile la care sunt expuse rețeaua și sistemul informatic în cauză, ținându-se seama de cea mai avansată tehnologie corespunzătoare unor astfel de măsuri. (42)Entitățile esențiale și importante ar trebui să asigure securitatea rețelelor și a sistemelor informatice pe care le utilizează pentru a-și desfășura activitatea. Acestea sunt în principal rețele și sisteme informatice private, gestionarea securității lor fiind efectuată de către personalul IT intern sau externalizată. Cerințele de raportare și de gestionare a riscurilor în materie de securitate cibernetică în temeiul prezentei directive ar trebui să se aplice entităților esențiale și importante relevante, indiferent dacă acestea efectuează la nivel intern întreținerea rețelelor și a sistemelor lor informatice sau dacă le externalizează. (43)Abordarea riscurilor în materie de securitate cibernetică care decurg din lanțul de aprovizionare al unei entități și din relația acesteia cu furnizorii săi este deosebit de importantă, având în vedere prevalența incidentelor în care entitățile au căzut victime atacurilor cibernetice și în care actori răuvoitori au fost în măsură să compromită securitatea rețelelor și a sistemelor informatice ale unei entități prin exploatarea vulnerabilităților care afectează produsele și serviciile părții terțe. Prin urmare, entitățile ar trebui să evalueze și să țină seama de calitatea generală a produselor și de practicile în materie de securitate cibernetică ale furnizorilor și ale prestatorilor lor de servicii, inclusiv de procedurile lor de dezvoltare sigure. (44)În rândul furnizorilor de servicii, furnizorii de servicii de securitate administrați (managed security services providers – MSSP) în domenii precum răspunsul în caz de incidente, testele de penetrare, auditurile de securitate și consultanța joacă un rol deosebit de important în sprijinirea entităților în eforturile lor de a detecta și de a reacționa la incidente. Totuși, și aceste MSSP-uri au fost ținte ale atacurilor cibernetice și, prin integrarea lor strânsă în operațiunile operatorilor, prezintă un risc deosebit în materie de securitate cibernetică. Prin urmare, entitățile ar trebui să dea dovadă de o diligență sporită în selectarea unui MSSP. (45)Entitățile ar trebui, de asemenea, să abordeze riscurile de securitate cibernetică care decurg din interacțiunile și din relațiile lor cu alte părți interesate în cadrul unui ecosistem mai larg. În special, entitățile ar trebui să ia măsurile adecvate pentru a se asigura că activitatea lor de cooperare cu instituțiile academice și de cercetare se desfășoară în conformitate cu politicile lor în materie de securitate cibernetică și respectă bunele practici în ceea ce privește accesul și diseminarea în condiții de siguranță a informațiilor, în general, și protecția proprietății intelectuale, în special. În mod similar, având în vedere importanța și valoarea datelor pentru activitățile pe care le desfășoară entitățile, atunci când se bazează pe servicii de transformare și de analiză a datelor furnizate de terți, entitățile ar trebui să ia toate măsurile care se impun în materie de securitate cibernetică. (46)Pentru a aborda în continuare principalele riscuri din cadrul lanțului de aprovizionare și pentru a oferi asistență entităților care își desfășoară activitatea în sectoarele reglementate de prezenta directivă în gestionarea adecvată a riscurilor în materie de securitate cibernetică legate de lanțul de aprovizionare și de furnizori, Grupul de cooperare, la care participă autoritățile naționale relevante, ar trebui să efectueze, în cooperare cu Comisia și ENISA, evaluări sectoriale coordonate ale riscurilor la nivelul lanțului de aprovizionare, astfel cum s-a procedat deja în cazul rețelelor 5G ca urmare a Recomandării (UE) 2019/534 privind securitatea cibernetică a rețelelor 5G, cu scopul de a identifica, pentru fiecare sector în parte, care sunt serviciile, sistemele sau produsele TIC critice, amenințările și vulnerabilitățile relevante.

(47)Evaluările riscurilor din cadrul lanțului de aprovizionare, având în vedere caracteristicile sectorului în cauză, ar trebui să țină seama atât de factori tehnici, cât și, după caz, de factori fără caracter tehnic, inclusiv de cei definiți în Recomandarea (UE) 2019/534, în evaluarea coordonată la nivelul UE a riscurilor legate de securitatea rețelelor 5G și în setul de instrumente al UE privind securitatea cibernetică 5G convenit de Grupul de cooperare. Pentru a identifica lanțurile de aprovizionare care ar trebui să facă obiectul unei evaluări coordonate a riscurilor, ar trebui să se țină seama de următoarele criterii: (i) în ce măsură entitățile esențiale și importante utilizează și se bazează pe servicii, sisteme sau produse TIC critice specifice; (ii) relevanța serviciilor, a sistemelor sau a produselor TIC critice specifice pentru îndeplinirea funcțiilor critice sau sensibile, printre care se numără și prelucrarea datelor cu caracter personal; (iii) disponibilitatea unor servicii, sisteme sau produse TIC alternative; (iv) reziliența întregului lanț de aprovizionare cu servicii, sisteme sau produse TIC împotriva evenimentelor perturbatoare și (v) pentru serviciile, sistemele sau produsele TIC emergente, potențiala lor importanță pentru activitățile pe care le vor desfășura entitățile în viitor. (48)Pentru a raționaliza obligațiile juridice impuse furnizorilor de rețele publice de comunicații electronice sau de servicii de comunicații electronice accesibile publicului și furnizorilor de servicii de asigurare a încrederii în ceea ce privește securitatea rețelelor și a sistemelor lor informatice, precum și pentru a permite acestor entități și autorităților competente ale acestora să beneficieze de cadrul juridic instituit prin prezenta directivă (inclusiv desemnarea CSIRT responsabile de gestionarea riscurilor și de administrarea incidentelor, participarea autorităților și a organismelor competente la lucrările grupului de cooperare și ale rețelei CSIRT), acestea ar trebui incluse în domeniul de aplicare al prezentei directive. Prin urmare, dispozițiile corespunzătoare prevăzute în Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului și în Directiva (UE) 2018/1972 a Parlamentului European și a Consiliului referitoare la impunerea obligației de securitate și de notificare pentru aceste tipuri de entități ar trebui abrogate. Normele privind obligațiile de raportare nu ar trebui să aducă atingere nici Regulamentului (UE) 2016/679, nici Directivei 2002/58/CE a Parlamentului European și a Consiliului. (49)După caz și pentru a evita perturbările inutile, orientările naționale existente și legislația națională adoptată pentru transpunerea normelor referitoare la măsurile de securitate prevăzute la articolul 40 alineatul (1) din Directiva (UE) 2018/1972, precum și a cerințelor de la articolul 40 alineatul (2) din această directivă privind parametrii referitori la importanța unui incident ar trebui utilizate în continuare de către autoritățile competente responsabile cu supravegherea și asigurarea aplicării în sensul prezentei directive. (50)Având în vedere importanța crescândă a serviciilor de comunicații interpersonale care nu se bazează pe numere, este necesar să se asigure că aceste servicii fac, de asemenea, obiectul unor cerințe corespunzătoare în materie de securitate, în conformitate cu natura lor specifică și cu importanța lor economică. Furnizorii unor astfel de servicii ar trebui, prin urmare, să asigure și un nivel de securitate a rețelelor și a sistemelor informatice adecvat riscului prezentat. Având în vedere faptul că furnizorii de servicii de comunicații interpersonale care nu se bazează pe numere nu exercită în mod normal un control efectiv asupra transmiterii semnalelor în rețea, gradul de risc aferent unor astfel de servicii poate fi considerat, în unele privințe, mai redus decât în cazul serviciilor tradiționale de comunicații electronice. Același lucru este valabil și pentru serviciile de comunicații interpersonale care utilizează numere și care nu exercită un control efectiv asupra transmiterii semnalului. (51)Piața internă depinde mai mult decât oricând de funcționarea internetului. Aproape toate serviciile entităților esențiale și importante depind de serviciile furnizate pe internet. Pentru a asigura furnizarea fără probleme a serviciilor asigurate de entități esențiale și importante, este important ca rețelele publice de comunicații electronice, cum ar fi, de exemplu, magistralele de internet sau cablurile de comunicații submarine, să dispună de măsuri adecvate în materie de securitate cibernetică și să raporteze incidentele legate de aceasta. (52)După caz, entitățile ar trebui să își informeze destinatarii serviciilor cu privire la amenințări specifice și semnificative, precum și cu privire la măsurile pe care le pot lua pentru a atenua riscurile pentru ei înșiși. Cerința de a informa destinatarii cu privire la astfel de amenințări nu ar trebui să scutească entitățile de obligația de a lua, pe cheltuiala proprie, măsuri adecvate și imediate pentru a preveni sau remedia orice amenințare cibernetică și pentru a restabili nivelul normal de securitate al serviciului. Furnizarea unor astfel de informații privind amenințările la adresa securității destinatarilor ar trebui să fie gratuită. (53)În special, furnizorii de rețele publice de comunicații electronice sau de servicii de comunicații electronice destinate publicului ar trebui să îi informeze pe destinatarii serviciilor cu privire la amenințările cibernetice specifice și semnificative și cu privire la măsurile pe care le pot lua pentru a-și proteja securitatea comunicațiilor, de exemplu prin folosirea unor anumite tipuri de software sau de tehnologii de criptare. (54)Pentru a se garanta securitatea rețelelor și a serviciilor de comunicații electronice, ar trebui promovată utilizarea criptării, în special a criptării de la un capăt la altul și, dacă este necesar, acest tip de criptare ar trebui să fie obligatoriu pentru furnizorii de astfel de servicii și rețele, în conformitate cu principiile securității și protecției vieții private în mod implicit și începând cu momentul conceperii, în sensul articolului 18. Utilizarea criptării de la un capăt la altul ar trebui să fie reconciliată cu competențele statelor membre de a asigura protecția intereselor lor esențiale în materie de securitate și de siguranță publică și de a permite investigarea, depistarea și urmărirea penală a infracțiunilor în conformitate cu dreptul Uniunii. Soluțiile pentru accesul legal la informații în comunicațiile criptate de la un capăt la altul ar trebui să mențină eficacitatea criptării în ceea ce privește protecția vieții private și securitatea comunicațiilor, oferind, în același timp, un răspuns eficace la criminalitate. (55)Prezenta directivă stabilește o abordare în două etape a raportării incidentelor pentru a se ajunge la un echilibru adecvat între, pe de o parte, raportarea rapidă care contribuie la atenuarea unei eventuale răspândiri a incidentelor și le permite entităților să solicite sprijin și, pe de altă parte, raportarea aprofundată, care permite extragerea unor învățăminte valoroase din incidentele individuale și îmbunătățește în timp reziliența întreprinderilor individuale și a unor sectoare întregi la amenințările cibernetice. Atunci când entitățile descoperă că a aut loc un incident, acestea ar trebui să aibă obligația de a transmite o notificare inițială în termen de 24 de ore, urmată de un raport final în termen de cel mult o lună de la incidentul respectiv. Notificarea inițială ar trebui să includă numai informațiile strict necesare pentru a informa autoritățile competente cu privire la incident și pentru a putea solicita asistență, dacă este necesar. O astfel de notificare, după caz, ar trebui să indice dacă incidentul pare să fie cauzat de acțiuni ilegale sau răuvoitoare. Statele membre ar trebui să se asigure că cerința de transmitere a acestei notificări inițiale nu deviază resursele entității raportoare de la activitățile legate de administrarea incidentelor care ar trebui să aibă prioritate. Pentru a preveni și mai mult situațiile în care obligațiile de raportare a incidentelor fie deviază resursele de la gestionarea răspunsului la incidente, fie compromit eforturile depuse de entități în acest sens, statele membre ar trebui să prevadă, de asemenea, că, în cazuri justificate în mod corespunzător și cu acordul autorităților competente sau al CSIRT, entitatea în cauză se poate abate de la termenul de 24 de ore pentru notificarea inițială și de o lună pentru raportul final. (56)Entitățile esențiale și importante se află adesea într-o situație în care, din cauza caracteristicilor sale, un anumit incident trebuie raportat mai multor autorități ca urmare a obligațiilor de notificare incluse în diferite instrumente juridice. Astfel de cazuri creează sarcini suplimentare și pot conduce, de asemenea, la incertitudini în ceea ce privește formatul unor asemenea notificări și procedurile aferente acestora. Având în vedere cele de mai sus și în scopul simplificării raportării incidentelor de securitate, statele membre ar trebui să instituie un punct de intrare unic pentru toate notificările efectuate în temeiul prezentei directive și, de asemenea, în temeiul altor acte legislative ale Uniunii, cum ar fi Regulamentul (UE) 2016/679 și Directiva 2002/58/CE. ENISA, în cooperare cu Grupul de cooperare, ar trebui să instituie modele comune de notificare prin intermediul unor orientări care să simplifice și să raționalizeze informațiile de raportare solicitate de dreptul Uniunii și să reducă sarcinile impuse întreprinderilor. (57)Atunci când există suspiciuni că un incident ar fi legat de activități infracționale grave în temeiul dreptului Uniunii sau al dreptului intern, statele membre ar trebui să încurajeze entitățile esențiale și importante, pe baza normelor aplicabile în materie de proceduri penale în conformitate cu dreptul Uniunii, să raporteze autorităților de aplicare a legii incidentele despre care există suspiciuni că ar avea un caracter infracțional grav. După caz și fără a aduce atingere normelor de protecție a datelor cu caracter personal aplicabile Europol, este de dorit ca procesul de coordonare dintre autoritățile competente și autoritățile de aplicare a legii din diferite state membre să fie facilitată de EC3 și de ENISA. (58)În multe cazuri, datele cu caracter personal sunt compromise în urma unor incidente. În acest context, autoritățile competente ar trebui să coopereze și să facă schimb de informații cu privire la toate aspectele relevante cu autoritățile de protecție a datelor și cu autoritățile de supraveghere, în temeiul Directivei 2002/58/CE. (59)Menținerea unor baze de date exacte și complete conținând numele de domenii și datele de înregistrare (așa-numitele „date WHOIS”) și furnizarea unui acces legal la astfel de date sunt aspecte esențiale pentru a asigura securitatea, stabilitatea și reziliența DNS, sistem care, la rândul său, contribuie la un nivel comun ridicat de securitate cibernetică în Uniune. Atunci când prelucrarea include date cu caracter personal, această prelucrare respectă legislația Uniunii în materie de protecție a datelor. (60)Disponibilitatea și accesibilitatea în timp util a acestor date pentru autoritățile publice, inclusiv pentru autoritățile competente în temeiul dreptului Uniunii sau al dreptului intern pentru prevenirea, investigarea sau urmărirea penală a infracțiunilor, CERT, CSIRT și, în ceea ce privește datele clienților lor, pentru furnizorii de rețele și servicii de comunicații electronice și pentru furnizorii de tehnologii și servicii de securitate cibernetică care acționează în numele clienților respectivi, sunt aspecte esențiale pentru prevenirea și combaterea abuzurilor din sistemul de nume de domenii, în special pentru prevenirea, detectarea și combaterea incidentelor de securitate cibernetică. Acest tip de acces ar trebui să respecte legislația Uniunii în materie de protecție a datelor în măsura în care este legat de date cu caracter personal. (61)Pentru a asigura disponibilitatea unor date exacte și complete de înregistrare a numelor de domeniu, registrele TLD și entitățile care furnizează servicii de înregistrare a numelor de domenii pentru TLD (operatorii de registru) ar trebui să colecteze și să garanteze integritatea și disponibilitatea datelor de înregistrare a numelor de domenii. În special, registrele TLD și entitățile care furnizează servicii de înregistrare a numelor de domenii pentru TLD ar trebui să stabilească politici și proceduri pentru colectarea și păstrarea unor date de înregistrare exacte și complete, precum și pentru prevenirea și corectarea datelor de înregistrare inexacte, în conformitate cu normele Uniunii privind protecția datelor. (62)Registrele TLD și entitățile care le furnizează servicii de înregistrare a numelor de domenii ar trebui să pună la dispoziția publicului date de înregistrare a numelor de domenii care nu intră în domeniul de aplicare al normelor Uniunii privind protecția datelor, cum ar fi datele care se referă la persoanele juridice. Registrele TLD și entitățile care furnizează servicii de înregistrare a numelor de domenii pentru TLD ar trebui, de asemenea, să le permită solicitanților legitimi de acces, în conformitate cu legislația Uniunii privind protecția datelor, accesul legal la date specifice de înregistrare a numelor de domenii privind persoanele fizice. Statele membre ar trebui să se asigure că registrele TLD și entitățile care le furnizează servicii de înregistrare a numelor de domenii răspund fără întârzieri nejustificate solicitărilor de divulgare a datelor de înregistrare a numelor de domenii formulate de solicitanții legitimi de acces. Registrele TLD și entitățile care le furnizează servicii de înregistrare a numelor de domenii ar trebui să stabilească politici și proceduri pentru publicarea și divulgarea datelor de înregistrare, inclusiv acorduri privind nivelul serviciilor pentru a trata cererile de acces din partea solicitanților legitimi de acces. Procedura de acces poate include, de asemenea, utilizarea unei interfețe, a unui portal sau a unui alt instrument tehnic, scopul fiind furnizarea unui sistem eficient de solicitare și accesare a datelor de înregistrare. În vederea promovării unor practici armonizate pe piața internă, Comisia poate adopta orientări cu privire la aceste proceduri fără a aduce atingere competențelor Comitetului european pentru protecția datelor. (63)Toate entitățile esențiale și importante vizate de prezenta directivă sunt considerate ca fiind sub jurisdicția statului membru în care își prestează serviciile. În cazul în care entitatea furnizează servicii în mai multe state membre, aceasta ar trebui să intre sub jurisdicția separată și concurentă a fiecăruia dintre aceste state membre. Autoritățile competente din aceste state membre ar trebui să coopereze, să își ofere asistență reciprocă și, după caz, să întreprindă acțiuni comune de supraveghere. (64)Pentru a ține seama de caracterul transfrontalier al serviciilor și al operațiunilor furnizorilor de servicii DNS, ale registrelor de nume TLD, ale furnizorilor de rețele de distribuție de conținut, ale furnizorilor de servicii de cloud computing, ale furnizorilor de servicii de centre de date și ale furnizorilor digitali, un singur stat membru ar trebui să aibă jurisdicție asupra acestor entități. Competența ar trebui să fie atribuită statului membru în care entitatea respectivă își are sediul principal în Uniune. Criteriul stabilirii în sensul prezentei directive implică exercitarea efectivă a activității prin intermediul unor înțelegeri stabile. Forma juridică a unor astfel de înțelegeri, prin intermediul unei sucursale sau al unei filiale cu personalitate juridică, nu este factorul determinant în această privință. Respectarea acestui criteriu nu ar trebui să depindă de localizarea fizică a rețelei și a sistemelor informatice într-un anumit loc; prezența și utilizarea unor astfel de sisteme nu constituie, în sine, un astfel de sediu principal și, prin urmare, nu sunt criterii decisive pentru stabilirea sediului principal. Sediul principal ar trebui să fie locul în care sunt luate deciziile legate de măsurile de gestionare a riscurilor în materie de securitate cibernetică în Uniune. Aceasta va corespunde, de regulă, locului în care se află administrația centrală a întreprinderilor din Uniune. În cazul în care astfel de decizii nu sunt luate în Uniune, se consideră că sediul principal se află în statul membru în care entitatea are sediul cu cel mai mare număr de angajați din Uniune. În cazul în care serviciile sunt prestate de un grup de întreprinderi, sediul principal al întreprinderii care exercită controlul ar trebui considerat drept sediul principal al grupului de întreprinderi. (65)În cazurile în care un furnizor de servicii DNS, un registru al numelor TLD, un furnizor de rețea de livrare de conținut, un furnizor de servicii de cloud computing, un furnizor de servicii de centru de date sau un furnizor digital care nu este stabilit în Uniune oferă servicii în cadrul Uniunii, acesta ar trebui să desemneze un reprezentant. Pentru a determina dacă o astfel de entitate oferă servicii în cadrul Uniunii, ar trebui să se confirme că furnizorul de servicii digitale intenționează să ofere servicii persoanelor din unul sau mai multe state membre. Simpla accesibilitate în Uniune a unui site internet al entității sau al unui intermediar ori disponibilitatea unei adrese de e-mail și a altor date de contact sau utilizarea unei limbi folosite în general în țara terță în care își are sediul entitatea sunt insuficiente pentru a se confirma o astfel de intenție. Cu toate acestea, factori precum utilizarea unei limbi sau a unei monede utilizate în general în unul sau mai multe state membre cu posibilitatea de a comanda servicii în respectiva limbă ori menționarea unor clienți sau utilizatori din Uniune pot conduce la concluzia că entitatea intenționează să ofere servicii în Uniune. Reprezentantul ar trebui să acționeze în numele entității, iar autoritățile competente sau CSIRT ar trebui să poată contacta reprezentantul. Reprezentantul ar trebui să fie desemnat explicit printr-un mandat scris al entității pentru a acționa în numele acesteia în privința obligațiilor care îi revin acesteia în temeiul prezentei directive, inclusiv în privința raportării incidentelor. (66)În cazul în care se face schimb de informații considerate clasificate în conformitate cu legislația națională sau a Uniunii ori astfel de informații sunt raportate sau partajate în alt mod în temeiul dispozițiilor prezentei directive, ar trebui să se aplice normele specifice corespunzătoare privind tratarea informațiilor clasificate.

(67)Amenințările cibernetice devenind tot mai complexe și mai sofisticate, eficacitatea măsurilor de detectare și prevenire depinde în mare măsură de schimbul regulat de informații privind amenințările și vulnerabilitățile care are loc între entități. Schimbul de informații contribuie la creșterea gradului de sensibilizare cu privire la amenințările cibernetice, ceea ce, la rândul său, consolidează capacitatea entităților de a preveni materializarea amenințărilor în incidente reale și le permite entităților să controleze mai bine efectele incidentelor și să se redreseze mai eficient. În absența unor orientări la nivelul Uniunii, mai mulți factori par să fi împiedicat un astfel de schimb de informații, în special incertitudinea cu privire la compatibilitatea cu normele în materie de concurență și răspundere. (68)Entitățile ar trebui încurajate să își valorifice în mod colectiv cunoștințele individuale și experiența practică la nivel strategic, tactic și operațional, pentru a-și consolida capacitățile de evaluare și de monitorizare a amenințărilor cibernetice, de apărare împotriva acestora și de răspuns în mod adecvat la asemenea amenințări. Prin urmare, este necesar să se permită apariția, la nivelul Uniunii, a unor mecanisme de schimb voluntar de informații. În acest scop, statele membre ar trebui să sprijine și să încurajeze în mod activ și entitățile relevante care nu intră în domeniul de aplicare al prezentei directive să participe la astfel de mecanisme de schimb de informații. Mecanismele respective ar trebui să se desfășoare în deplină conformitate cu normele Uniunii în materie de concurență, precum și cu normele Uniunii în materie de protecție a datelor. (69)Prelucrarea datelor cu caracter personal, în măsura strict necesară și proporțională în scopul asigurării securității rețelelor și a informațiilor de către entități, autorități publice, CERT, CSIRT și furnizorii de tehnologii și servicii de securitate ar trebui să constituie un interes legitim al operatorului de date în cauză, astfel cum se menționează în Regulamentul (UE) 2016/679. Aceasta ar trebui să includă