EURÓPSKA KOMISIA V Bruseli28. 10. 2019 COM(2019) 546 final SPRÁVA KOMISIE EURÓPSKEMU PARLAMENTU A RADE o posúdení jednotnosti prístupov členských štátov pri identifikácii prevádzkovateľov základných služieb v súlade s článkom 23 ods. 1 smernice 2016/1148/EÚ o bezpečnosti sietí a informačných systémov













1.Úvod Smernica (EÚ) 2016/1148 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (ďalej len „smernica NIS“) je prvým nástrojom vnútorného trhu zameraným na zvýšenie odolnosti EÚ voči rizikám v oblasti kybernetickej bezpečnosti. Smernica, na základe článku 114 Zmluvy o fungovaní Európskej únie, má za cieľ zabezpečiť kontinuitu služieb umožňujúcich riadne fungovanie hospodárstva a spoločnosti Únie. Na tento účel sa smernicou zavádzajú konkrétne opatrenia na podporu budovania kapacít v oblasti kybernetickej bezpečnosti v celej EÚ a na zmiernenie čoraz väčších hrozieb pre sieť a informačné systémy používané na poskytovanie základných služieb v kľúčových odvetviach. Po nadobudnutí účinnosti smernice v auguste 2016 členské štáty mali čas do 9. mája 2018 na prijatie vnútroštátnych opatrení potrebných na dosiahnutie súladu s ustanoveniami smernice NIS. Smernica podporuje kultúru riadenia rizika v spoločnostiach a iných subjektoch poskytujúcich základné služby vymedzených v článku 5 ako „prevádzkovatelia základných služieb“. Prevádzkovatelia, ktorí patria do rozsahu pôsobnosti smernice, sú povinní prijať vhodné a primerané technické a organizačné opatrenia na riadenie rizík súvisiacich s bezpečnosťou svojich sietí a informačných systémov a na oznamovanie závažných incidentov príslušným orgánom. Spoluzákonodarcovia delegovali vykonávanie smernice NIS na členské štáty, ktoré majú stanoviť základné služby a identifikovali prevádzkovateľov základných služieb pôsobiacich na ich území. Preto sa v článku 5 ods. 7 smernice od členských štátov vyžaduje, aby podávali Komisii správy o výsledkoch tejto identifikácie. S cieľom umožniť koordinované podávanie správ Komisia spoločne s koordinačnou skupinou pre spoluprácu vytvorenou na základe smernice poskytli členským štátom usmernenia týkajúce sa procesu identifikácie. V súlade s článkom 23 ods. 1 sa touto správou posudzuje jednotnosť prístupov členských štátov pri identifikácii prevádzkovateľov základných služieb. Keďže jednotnosť identifikácie prevádzkovateľov základných služieb a riziko fragmentácie na vnútornom trhu v tejto oblasti spolu úzko súvisia, táto správa prispeje aj k všeobecnejšiemu posúdeniu smernice NIS, ako sa stanovuje v článku 23 ods. 2, v ktorom sa Komisii ukladá povinnosť pravidelne skúmať celkové fungovanie smernice a posudzovať zoznamy odvetví a pododvetví podliehajúcich identifikácii prevádzkovateľov základných služieb a druhy digitálnych služieb uvedené v smernici. Prvá takáto správa sa má predložiť do 9. mája 2021. 1.1. Účel správy Z dôvodu dôležitej úlohy, ktorú pre hospodárstvo a spoločnosť ako celok predstavujú prevádzkovatelia základných služieb, musia títo prevádzkovatelia preukázať vysokú úroveň odolnosti voči kybernetickým incidentom. V tejto súvislosti je jednotný prístup členských štátov pri identifikácii prevádzkovateľov základných služieb dôležitý z niekoľkých dôvodov: 1.Zníženie rizík súvisiacich s cezhraničnou závislosťou: Nejednotné určovanie významných prevádzkovateľov poskytujúcich cezhraničné služby môže viesť k rozdielnej úrovni kybernetickej odolnosti v jednotlivých členských štátoch, čím sa zvyšuje riziko, že v dôsledku cezhraničného incidentu dôjde k poškodeniu kritických infraštruktúr alebo k stratám na životoch občanov. Napríklad prevádzkovatelia energetických prenosových sústav alebo registre domén najvyššej úrovne, ktoré sa nachádzajú v zozname typov subjektov v prílohe II, sú subjekty, ktoré najviac využívajú vnútorný trh poskytovaním cezhraničných služieb spotrebiteľom a podnikom. Jednotná identifikácia týchto poskytovateľov v celej Únii by tak mohla pomôcť zabrániť šíreniu kybernetických hrozieb na celom vnútornom trhu. 2.Zaručenie rovnakých podmienok pre prevádzkovateľov na vnútornom trhu: V smernici NIS sa vyžaduje, aby členské štáty pre prevádzkovateľov základných služieb stanovili bezpečnostné požiadavky a postupy oznamovania incidentov. Keďže sa smernica vo vzťahu k prevádzkovateľom základných služieb riadi prístupom minimálnej harmonizácie, členské štáty môžu uložiť požiadavky na prevádzkovateľov, ktoré sú prísnejšie než požiadavky stanovené v smernici. Hoci tieto opatrenia zvyšujú odolnosť členských štátov, v ich dôsledku môžu dotknutým prevádzkovateľom vzniknúť dodatočné regulačné náklady. Je preto dôležité, aby prevádzkovatelia poskytujúci obdobné služby podobného významu podliehali podobnej regulačnej úprave. 3.Zníženie rizika rozdielneho výkladu smernice: Smernica bola navrhnutá tak, aby členské štáty mali priestor na manévrovanie pri výbere relevantných subjektov so zreteľom na národné osobitosti. Týmto prístupom sa zároveň zvyšuje riziko odlišného vykonávania ustanovení smernice, čo môže viesť k nezrovnalostiam v opatreniach prijatých členskými štátmi. To je osobitne dôležité v prípade spoločností, ktoré pôsobia vo viacerých krajinách a ktoré teda musia spĺňať regulatórne požiadavky viacerých členských štátov. 4.Vypracovanie komplexného prehľadu úrovne kybernetickej odolnosti v celej EÚ: Prevádzkovatelia základných služieb podliehajú činnostiam dohľadu zameraným na overenie účinného vykonávania bezpečnostných politík, ako aj oznamovania závažných incidentov. V rámci dohľadu sa uprednostňuje silnejšia spolupráca verejného a súkromného sektora vedúca k rozvoju spoločných poznatkov o pripravenosti v oblasti kybernetickej bezpečnosti v členskom štáte. Vďaka skupine pre spoluprácu sa výmena skúsenosti jednotlivých štátov vrátane informácií o oznamovaných incidentoch môže zlučovať na úrovni EÚ a môže prispieť k presnejšiemu posúdeniu hlavných hrozieb a potrieb. V záujme účinnosti by sa však takáto výmena informácií mala zakladať na spoločnom chápaní toho, ktoré subjekty by sa mali určiť ako prevádzkovatelia základných služieb. 1.2. Postup identifikácie podľa smernice NIS V smernici NIS sa v jej prílohe II uvádza zoznam siedmich odvetví a ich príslušných pododvetví a typy subjektov, ktoré sú dôležité pre proces identifikácie ( tabuľka 1 ). V článku 5 ods. 3 sa vyžaduje, aby členské štáty zostavili zoznam základných služieb založený na týchto odvetviach, pododvetviach a typoch subjektov. Prístup minimálnej harmonizácie v zmysle tejto smernice členským štátom umožňuje prekročiť rámec pôsobnosti prílohy II a vykonávať identifikáciu v ďalších odvetviach a pododvetviach.

Odvetvie Pododvetvie 1. Energetika a) elektrická energia b) ropa c) plyn 2. Doprava a) letecká doprava b) železničná doprava c) vodná doprava d) cestná doprava 3. Bankovníctvo 4. Infraštruktúry finančných trhov 5. Zdravotníctvo 6. Dodávka a distribúcia pitnej vody 7. Digitálne infraštruktúry V článku 5 ods. 2 sa stanovujú tri kritériá, ktoré majú členské štáty používať pri identifikácii prevádzkovateľov základných služieb: 1.Dotknutý subjekt musí poskytovať službu, ktorá má základný význam z hľadiska zachovania kľúčových spoločenských a/alebo hospodárskych činností. Na tento účel príslušné vnútroštátne orgány musia nazrieť do svojich, v minulosti stanovených zoznamov základných služieb. 2.Poskytovaná služba musí byť závislá od sietí a informačných systémov. 3.Incident by mal mať závažný rušivý vplyv na poskytovanie príslušnej služby. V článku 6 sa stanovuje, že závažnosť incidentu sa musí posudzovať s použitím medziodvetvových faktorov a v prípade potreby odvetvovo špecifických faktorov. V článku 5 ods. 4 smernice sa okrem toho vyžaduje, aby členské štáty začali vzájomné konzultácie, ak zistia, že potenciálny prevádzkovateľ základných služieb poskytuje služby vo viacerých členských štátoch. Tento povinný postup má členským štátom pomôcť pri posudzovaní možného vplyvu kybernetického incidentu, ktorý postihol subjekty pôsobiace na nadnárodnej úrovni, a má fungovať ako ochrana pre spoločnosti dotknuté postupom v jednotlivých členských štátoch. 1.3. Metodika správy Výsledky správy vychádzajú z posúdenia, ktoré sa uskutočnilo v čase od novembra 2018 do septembra 2019. Veľa členských štátov Komisii včas nesprístupnilo informácie potrebné na jej vypracovanie. Prijatie správy sa preto muselo odložiť na obdobie po 9. máji 2019, t. j. dátumu prijatia stanoveného v článku 23 ods. 1 smernice NIS. Údaje sa získavali prostredníctvom viacerých zdrojov: informácie predložené členskými štátmi založené na štandardizovanom vzore vypracovanom agentúrou ENISA, na štandardizovaných rozhovoroch s vybranými vnútroštátnymi orgánmi a na stretnutiach skupiny pre spoluprácu vrátane pracovného seminára venovaného tejto téme, ktorý sa konal 19. marca 2019. Na základe získaných informácií sa v správe hodnotí, do akej miery sú prístupy členských štátov k identifikácii navzájom v súlade, prostredníctvom: 1.porovnania jednotlivých metodík identifikácie, ktoré si zvolili vnútroštátne orgány; 2.preskúmania zoznamov základných služieb a prahových hodnôt zvolených členskými štátmi; 3.analýzy počtu prevádzkovateľov základných služieb v každom členskom štáte. V správe sa takisto hodnotí spôsob vykonávania ustanovení smernice v súvislosti s cezhraničným konzultačným postupom (článok 5 ods. 4) a so zásadou lex specialis (článok 1 ods. 7). V správe sa uvádza vecná analýza procesu identifikácie vykonávaného členskými štátmi doplnená predbežnými závermi a nezodpovedanými otázkami na ďalšie posúdenie. 1.4. Dostupnosť údajov Podľa ustanovení smernice NIS musia členské štáty Komisii poskytnúť iba obmedzený súbor údajov. Napríklad vnútroštátne orgány nemusia predkladať názvy identifikovaných prevádzkovateľov, čo útvarom Komisie sťažuje porovnávanie výsledkov procesu identifikácie z hľadiska úplnosti zoznamu a vplyvu na rovnako veľké spoločnosti, ktoré patria do toho istého odvetvia. Podľa ustanovení článku 5 ods. 7 by všetky členské štáty mali najneskôr do 9. novembra 2018 poskytnúť vstupné informácie potrebné pre túto správu. Iba 15 krajín však v tejto lehote predložilo podstatné údaje (pozri priloženú tabuľku v oddiele 4.1). Aj po opakovaných pripomienkach Komisie ostali v údajoch značné medzery. Komisia preto 26. júla 2019 poslala formálne výzvy šiestim členským štátom, v ktorých ich vyzvala, aby do dvoch mesiacov predložili chýbajúce údaje.

Všetky údaje požadované podľa článku 5 ods. 7 do dňa uverejnenia tejto správy predložilo 23 členských štátov: Bulharsko, Cyprus, Česká republika, Dánsko, Estónsko, Fínsko, Francúzsko, Grécko, Holandsko, Chorvátsko, Írsko, Litva, Luxembursko, Lotyšsko, Malta, Nemecko, Poľsko, Portugalsko, Slovensko, Spojené kráľovstvo, Španielsko, Švédsko a Taliansko. Zvyšných päť členských štátov (Belgicko, Maďarsko, Rakúsko, Rumunsko a Slovinsko) poskytlo iba čiastočné údaje o vnútroštátnej identifikácii prevádzkovateľov základných služieb, keďže neboli schopné dokončiť proces identifikácie včas do uverejnenia tejto správy.



2.Identifikácia prevádzkovateľov základných služieb v členských štátoch Smernicou NIS sa stanovuje rámec na identifikáciu prevádzkovateľov základných služieb, ktorý členským štátom poskytuje možnosť zohľadňovať národné osobitosti. V dôsledku toho členské štáty vypracovali veľmi rozmanité postupy identifikácie. 2.1. Metodiky používané v členských štátoch Členské štáty navrhli rozličné metodiky identifikácie prevádzkovateľov, pričom v plnej miere využili flexibilitu, ktorú im zabezpečuje smernica NIS. Jedným z prvkov, ktoré ovplyvnili vnútroštátne metodiky, bol už existujúci rámec, ako je smernica Rady 2008/114/ES o kritických infraštruktúrach, alebo iné vnútroštátne ustanovenia o tzv. kľúčových prevádzkovateľoch. V takýchto prípadoch členské štáty svoje predchádzajúce skúsenosti použili ako východisko a osobitosti súvisiace so smernicou NIS začlenili do existujúcich metodík. Rozdiely vo vnútroštátnych metodikách možno rozdeliť do týchto hlavných kategórií: základné služby, používanie prahových hodnôt, miera centralizácie, orgány poverené identifikáciou a posúdením závislosti od sietí a informačných systémoch. Pre ich význam pre posúdenie jednotnosti identifikácie prevádzkovateľov základných služieb boli na analýzu základných služieb a prahových hodnôt vyhradené samostatné oddiely. Ostatným kritériám je venovaný tento oddiel. Miera centralizácie Väčšina členských štátov sa rozhodla preniesť časť rozhodovania, pokiaľ ide o rozličné prvky procesu identifikácie, na odvetvové orgány (ministerstvá, agentúry atď.). Miera decentralizácie sa líši od prípadu k prípadu, pričom väčšina členských štátov vymenovala jeden orgán, ktorý poverila poskytovaním usmernení odvetvovým orgánom a zlučovaním informácií. Niektoré krajiny sa však rozhodli ponechať proces identifikácie v rukách jediného orgánu. Existujú aj prípady mimoriadne vysokej miery decentralizácie, keď odvetvové orgány zodpovedajú za tvorbu vlastných metodík. Veľa členských štátov starostlivo zvážilo jednotlivé aspekty inštitucionálnej štruktúry identifikácie prevádzkovateľov základných služieb. Orgány uviedli zabránenie konfliktu záujmov ako jednu z dôvodov centralizovanej identifikácie: prevádzkovatelia sú očividne menej ochotní zverejniť príslušné informácie odvetvovým regulačným orgánom, lebo sa obávajú, že by sa tieto informácie mohli použiť aj na iné regulačné účely. Decentralizované prístupy na druhej strane podľa všetkého podporujú dialóg medzi príslušnými orgánmi v oblasti sieťovej a informačnej bezpečnosti (pre kybernetickú bezpečnosť aj odvetvové), čo im pomáha lepšie určovať dôsledky medziodvetvových závislostí. Odvetvové orgány okrem toho zvyčajne lepšie chápu dané odvetvia než hlavné orgány. Postup identifikácie (zhora nadol a zdola nahor) Ďalší významný rozdiel možno pozorovať medzi členskými štátmi, v ktorých identifikáciu vykonávajú verejné orgány (identifikácia zhora nadol), a členskými štátmi, v ktorých sa od účastníkov trhu vyžaduje, aby sami overili, či spĺňajú požiadavky ako prevádzkovatelia základných služieb (tzv. identifikácia zdola nahor alebo samoidentifikácia). Na to, aby tento druhý prístup mohol účinne fungovať, by členské štáty mali stanoviť pokuty, ktoré sú dostatočne vysoké, aby odradili prevádzkovateľov od toho, aby sa neprihlasovali, ako sa stanovuje v článku 21 smernice NIS. Vo väčšine prípadov ide o proces identifikácie zhora nadol. V praxi však často orgány čiastočne vychádzajú z určitých prvkov sebahodnotenia, ako sú dotazníky, ktoré vypĺňajú potenciálni prevádzkovatelia základných služieb. Ak sú pravidlá a prahové hodnoty, ktorými sa riadi identifikácia prevádzkovateľov základných služieb, otvorené a transparentné, obidva prístupy identifikácie (zhora nadol aj zdola nahor) by mali priniesť podobné výsledky. Výber jedného prístupu na úkor druhého by teda v zásade nemal mať nijaký vplyv na jednotnosť. Posudzovanie sieťovej závislosti Ako sa vysvetľuje v oddiele 1.2, podľa článku 5 ods. 2 písm. b) sú členské štáty povinné v rámci postupu identifikácie prevádzkovateľov základných služieb posúdiť závislosť prevádzkovateľa od sietí a informačných systémov. Veľa členských štátov pri uplatňovaní týchto kritérií považuje závislosť od sietí a informačných systémov v dnešnom digitálnom hospodárstve za prirodzenú. Niektoré orgány si však vybrali podrobnejšie postupy, napríklad prostredníctvom vykonávania podrobných posúdení alebo požiadania prevádzkovateľov, aby sami vyhodnotili mieru svojej závislosti. 2.2. Identifikácia služieb V odôvodnení 23 smernice NIS sa výslovne spomínajú zoznamy základných služieb ako vstupné údaje, ktoré sa majú použiť pri „posudzovaní regulačnej praxe každého členského štátu s cieľom zabezpečiť celkovú jednotnosť“. Keďže zoznamy základných služieb vypracované členskými štátmi slúžia ako základ na identifikáciu prevádzkovateľov, rozdiely v identifikovaných službách by mohli viesť k nejednotnej identifikácii prevádzkovateľov v jednotlivých členských štátoch, najmä ak konkrétne služby poskytované vo všetkých krajinách budú identifikované iba v niektorých členských štátoch.

Počet služieb identifikovaných členskými štátmi v zmysle prílohy II k smernici NIS, ktoré boli oznámené Komisii, sa medzi členskými štátmi značne líši (údaje o ich počte pre všetky členské štáty sa nachádzajú v prílohe v oddiele 4.2). Počet identifikovaných služieb sa pohybuje od 12 do 87, ako je znázornené v grafe 1 , pričom priemerný počet služieb na členský štát je 35. Hoci väčšie členské štáty obvykle identifikujú trochu viac služieb než menšie členské štáty, nezdá sa, žeby existovala priama úmera medzi veľkosťou členského štátu a počtom identifikovaných služieb. Táto skutočnosť je očakávaná, keďže v praxi spotrebitelia a spoločnosti majú zvyčajne prístup k tým istým druhom služieb vo všetkých členských štátoch bez ohľadu na veľkosť krajiny. Počet identifikovaných služieb sa nelíši iba pri pohľade na členské štáty ako celok, ale aj pri dôkladnejšom pohľade na odvetvia a pododvetvia. Napríklad v bankovníctve sa počet identifikovaných služieb pohybuje od 1 po 21. Ako je znázornené na grafe 2 , rozsah identifikovaných služieb v jednotlivých krajinách sa výrazne líši vo väčšine odvetví a pododvetví. Do istej miery počet služieb znázornený v grafe 2 odzrkadľuje odlišné metodické prístupy jednotlivých krajín. Napríklad niektoré členské štáty si zvolili podrobnejší prístup k identifikácii služieb než iné členské štáty, čo viedlo k vyššiemu počtu služieb v týchto členských štátoch. Z údajov, ktoré Komisia dostala od členských štátov, však jasne vyplýva, že rozdiely v počte sú takisto výsledkom nejednotných prístupov, ktoré si členské štáty zvolili, ako vidno na príklade pododvetví elektrickej energie a železničnej dopravy: Estónsko

(najmenej podrobný prístup) Portugalsko Dánsko Bulharsko

(najpodrobnejší prístup) Dodávky elektrickej energie Prevádzkovatelia distribučnej sústavy Distribúcia elektrickej energie Distribúcia elektrickej energie Zabezpečenie fungovania a údržba distribučnej sústavy elektrickej energie Prevádzkovateľ prenosovej sústavy Prenos elektrickej energie Prenos elektrickej energie Prevádzka, údržba a rozvoj prenosovej sústavy elektrickej energie (rozdiel v konzistentnosti) Výroba elektrickej energie Výroba elektrickej energie (rozdiel v konzistentnosti) (rozdiel v konzistentnosti) Trh s elektrickou energiou Tabuľka 2 obsahuje porovnanie niektorých spôsobov, ako členské štáty identifikovali základné služby v pododvetví elektrickej energie. Niektoré krajiny (napr. Estónsko) si zvolili veľmi všeobecnú položku, čo im umožňuje identifikovať prakticky každého prevádzkovateľa, ktorého považujú za zásadného v pododvetví elektrickej energie. Iné krajiny (ako je Portugalsko, Dánsko a Bulharsko) sa rozhodli použiť oveľa podrobnejší prístup. Napríklad Bulharsko vypracovalo mimoriadne podrobný zoznam služieb, ktorý zahŕňa dokonca aj služby neuvedené v prílohe II (trhy s elektrickou energiou). Portugalsko a Dánsko však použili podrobný prístup a rozhodli sa nezahrnúť do neho určité služby, ktoré iné krajiny zahrnuli. To by mohlo viesť k nerovnakým podmienkam pre prevádzkovateľov základných služieb na vnútornom trhu. Rozdiely v konzistentnosti, ako sú rozdiely určené v Tabuľke 2 , sú výsledkom odlišného vnútroštátneho vykonávania smernice NIS a v prípade odvetví, na ktoré sa nevzťahuje príloha II (ako sú trhy s elektrickou energiou), sú následkom jej prístupu minimálnej harmonizácie. Rozdiely v konzistentnosti teda neznamenajú, že členské štáty, ktoré neidentifikovali istú službu, museli ustanovenia smernice nevyhnutne uplatňovať nesprávne. Tabuľka 3 obsahuje prehľad prístupov, ktoré si zvolili štyri krajiny v pododvetví železničnej dopravy. Kým Francúzsko vypracovalo veľmi podrobný a komplexný zoznam základných služieb pre fungovanie železničnej dopravy, ostatné tri krajiny si vybrali iba malú podmnožinu týchto služieb. V prípade Poľska nie je tak úplne zrejmé, ktoré služby patria do kategórií nákladnej železničnej dopravy a ktoré do osobnej železničnej dopravy. Ich označenia sú také všeobecné, že by mohli rovnako obsahovať aj niektoré zo služieb identifikovaných Francúzskom, ako je „kontrola a riadenie železničnej dopravy“. Treba pripomenúť, že Komisia nedisponuje prostriedkami na dôkladnejšie preskúmanie týchto prípadov, pretože vnútroštátne orgány podľa smernice NIS nemusia zverejňovať podrobnejšie informácie. Fínsko Francúzsko Írsko Poľsko Riadenie štátnej infraštruktúry Údržba infraštruktúry Manažéri infraštruktúry (rozdiel v konzistentnosti) (rozdiel v konzistentnosti) Údržba železničných koľajových vozidiel (rozdiel v konzistentnosti) (rozdiel v konzistentnosti) Služby riadenia dopravy Kontrola a riadenie železničnej dopravy (rozdiel v konzistentnosti) Príprava vlakových cestovných poriadkov (rozdiel v konzistentnosti) Nákladná doprava a preprava nebezpečných materiálov Železničné podniky Nákladná železničná doprava (rozdiel v konzistentnosti) Osobná doprava Osobná železničná doprava (rozdiel v konzistentnosti) Služby metra, električiek a iných ľahkých železničných systémov (vrátane podzemných služieb) (rozdiel v konzistentnosti) (rozdiel v konzistentnosti) Železničné služby (rozdiel v konzistentnosti) (rozdiel v konzistentnosti)

Členské štáty uvedené v tabuľkách 2 a 3 boli vybrané iba ako príklad a z dôvodu, že ich metodické prístupy umožňujú jednoduché porovnanie. Väčšina ostatných členských štátov si zvolila podobné služby, a preto sa aj pri nich prejavujú podobné „rozdiely v konzistentnosti“. V skutočnosti rozdiely v konzistentnosti, ako sú nedostatky v pododvetviach elektrickej energie a železničnej dopravy existujú vo všetkých členských štátoch a odvetviach uvedených v prílohe II k smernici. Väčšina tejto nejednotnosti vyplýva z toho, že služby boli určené iba v niektorých, ale nie vo všetkých členských štátoch. Úplné zoznamy služieb v pododvetviach elektrickej energie a železničnej dopravy zahŕňajúce všetky členské štáty sa nachádzajú v prílohe k tejto správe. 2.3. Prahové hodnoty Hoci väčšina členských štátov na identifikáciu prevádzkovateľov základných služieb používa prahové hodnoty, úloha, ktorú tieto hodnoty zohrávajú, je v jednotlivých krajinách odlišná. V súvislosti s medziodvetvovými prahovými hodnotami je možné vymedziť prahové hodnoty, ktoré sa opierajú o: ·jeden kvantitatívny faktor (napr. počet používateľov využívajúcich službu) s cieľom stanoviť, či sa subjekt má v rámci určitej služby považovať za prevádzkovateľa základných služieb, ·väčší súbor kvantitatívnych faktorov (napr. počet používateľov závislých od služby plus trhový podiel), ·kombináciu kvantitatívnych a kvalitatívnych faktorov. Smernica okrem toho členským štátom umožňuje používať popri medziodvetvových hodnotách aj odvetvovo špecifické hodnoty. Vďaka tomu majú vnútroštátne orgány viac voľnosti pri procese identifikácie, aby mohli zohľadniť národné a odvetvové osobitosti. Zároveň v dôsledku toho vzniká veľmi komplexná zmes prahových hodnôt, ktoré môžu mať negatívny vplyv na celkovú jednotnosť pri identifikácii prevádzkovateľov základných služieb. Príklad tejto rozmanitosti v prístupoch sa uvádza v tabuľke 4 . Názorne sa v nej uvádza, že prahové hodnoty, ktoré si členské štáty zvolili v odvetví digitálnej infraštruktúry, sa nelíšia iba z kvantitatívneho hľadiska (napríklad v Nemecku sa poskytovatelia služieb DNS označia ako prevádzkovatelia základných služieb vtedy, keď spravujú aspoň 250 000 domén, kým v Poľsku je stanovená prahová hodnota iba na 100 000 domén), ale aj z kvalitatívneho (napríklad „počet prepojených autonómnych systémov“ oproti „trhovému podielu“). Samotné jednotne zvolené kvantitatívne prahové hodnoty nie sú zárukou úplnej jednotnosti medzi vnútroštátnymi prístupmi. Vzhľadom na skutočnosť, že prahové hodnoty sú v niektorých členských štátoch iba jedným z kritérií používaných na identifikáciu prevádzkovateľov základných služieb, výsledky procesu identifikácie by sa stále mohli veľmi líšiť, dokonca aj za existencie podobných prahových hodnôt. Napríklad niektoré členské štáty používajú zmiešaný systém bodového hodnotenia, v rámci ktorého existuje viacero faktorov, ktoré sú použité v jedinom vzorci. Tieto faktory môžu zahŕňať napríklad závislosť subjektu od sietí a informačných systémov alebo niektoré z faktorov uvedených v článku 6 ods. 1 smernice NIS. Niektoré členské štáty navyše vôbec nepoužívajú prahové hodnoty alebo ich používajú iba v predbežnej fáze posúdenia. Tieto úvahy sa netýkajú iba odvetvia digitálnej infraštruktúry, ale všetkých odvetví uvedených v prílohe II. Stanovenie správnej prahovej hodnoty môže byť problém, najmä pokiaľ ide o odvetvia, pre ktoré je typická existencia množstva malých prevádzkovateľov. Príkladom takejto rozmanitosti je množstvo malých zdravotníckych zariadení (napr. kliniky alebo pohotovostné zdravotné služby), ktoré poskytujú základné služby pomerne malému počtu používateľov, ich nedostupnosť spôsobená kybernetickým bezpečnostným incidentom by však mohla viesť k stratám na životoch pacientov. Ďalší problém vzniká vtedy, keď fungovanie dodávateľských reťazcov závisí od služieb poskytovaných prevádzkovateľmi, ktorí predstavujú malé, ale kľúčové ohnivká v reťazci (napríklad v odvetviach, ako je logistika). Jeden členský štát ako možné riešenie tohto problému skúma použitie kritérií súvisiacich s dôležitosťou alebo kritickosťou poskytovanej služby.



Krajina Internetové prepojovacie uzly (IXP) Poskytovatelia služieb DNS Registre domén najvyššej úrovne Použitie prevažne odvetvovo špecifických prahových hodnôt AT prepojené autonómne systémy

> 100 prekladače DNS: 88 000 používateľov;

autor. DNS: 50 000 domén 50 000 domén DE prepojené autonómne systémy

> 300 prekladače DNS: 100 000 používateľov; autor. DNS: 250 000 domén (služba nebola identifikovaná) DK priemerný denný objem dát > 200 Gbit/s prekladače DNS: 100 000 používateľov; autor. DNS: 100 000 domén 500 000 domén EE (služba nebola identifikovaná) (služba nebola identifikovaná) register domén najvyššej úrovne krajiny FI (služba nebola identifikovaná) (služba nebola identifikovaná) registre domén najvyššej úrovne krajiny a regiónu FR (bez oficiálnej prahovej hodnoty) (bez oficiálnej prahovej hodnoty) (bez oficiálnej prahovej hodnoty) HR prepojení členovia > 15 služba DNS pre doménu najvyššej úrovne krajiny register domén najvyššej úrovne krajiny IE (prahová hodnota nie je známa) prekladače DNS: 100 mil. dopytov/24 hod.; autor. DNS: 50 000 domén register domén najvyššej úrovne krajiny MT trhový podiel 25 % prekladače DNS: 78 000 požiadaviek/deň; autor. DNS: 7 800 domén 750 000 požiadaviek/deň PL prepojené autonómne systémy

≥ 100 autor. DNS: 100 000 domén registre domén najvyššej úrovne (TLD) pre aspoň 100 000 držiteľov SE (služba nebola identifikovaná) prekladače DNS: 100 000 používateľov; autor. DNS: 25 000 domén 250 000 domén SK autonómny systém (AS) prepájajúci aspoň dva iné autonómne systémy s 2 Gbit/s prekladače DNS: 3 mil. dopytov/24 hod.; autor. DNS: > 1 000 domén register domén najvyššej úrovne UK trhový podiel > 50 %, alebo prepojenie s globálnymi internetovými trasami ≥ 50 % prekladače DNS: 2 000 000 klientov/deň;

autor. DNS: 250 000 domén registre domén najvyššej úrovne ≥ 2 miliardy dopytov/deň Použitie medziodvetvových prahových hodnôt CY 50 000 používateľov alebo

5 % držiteľov na trhu 50 000 používateľov alebo

5 % držiteľov na trhu 50 000 používateľov alebo

5 % držiteľov na trhu LT obyvatelia > 145 000 obyvatelia > 145 000 obyvatelia > 145 000 LU trhový podiel 100 % 13 500 zmlúv trhový podiel 100 %



2.4. Počet identifikovaných prevádzkovateľov Zoznamy základných služieb a prahové hodnoty sú najdôležitejšími faktormi jednotnej identifikácie prevádzkovateľov základných služieb. Z predchádzajúcich oddielov vyplýva, že členské štáty v obidvoch prípadoch uplatnili ustanovenia smernice NIS rozdielnymi spôsobmi, čo znamená, že to môže viesť k problémom s jednotnosťou pri následnej identifikácii prevádzkovateľov základných služieb. V tomto oddiele sa porovnáva počet identifikovaných prevádzkovateľov v členských štátoch v odvetviach a pododvetviach podľa prílohy II. Celkový počet prevádzkovateľov základných služieb, ktorých členské štáty oznámili Komisii, sa pohybuje od 20 po 10 897, pričom priemer je 633 prevádzkovateľov základných služieb na členský štát (počty za všetky členské štáty sa nachádzajú v oddiele 4.2 prílohy k tejto správe). Vo všeobecnosti existuje jasná pozitívna súvislosť medzi veľkosťou krajiny a počtom identifikovaných prevádzkovateľov. Táto skutočnosť však dostatočne nevysvetľuje veľké rozdiely v číselných údajoch oznámených členskými štátmi. S cieľom vysvetliť súvislosť medzi veľkosťou krajiny a populáciou sa v grafe 3 uvádza porovnanie počtu identifikovaných prevádzkovateľov základných služieb v členských štátoch na 100 000 obyvateľov. Z grafu vyplýva, že prístupy, ktoré členské štáty prijali na identifikáciu prevádzkovateľov, priniesli veľmi rozdielne výsledky.

Pri podrobnejšom skúmaní odvetví a pododvetví sa ukazujú značné rozdiely medzi členskými štátmi, pokiaľ ide o počet identifikácií vo všetkých odvetviach uvedených v prílohe II ( graf 4 ). Napríklad v odvetví energetiky je rozpätie počtu od 0,3 prevádzkovateľov po 29 prevádzkovateľov na 1 000 000 obyvateľov. Počet prevádzkovateľov v bankovníctve siaha od 0,07 prevádzkovateľov po 51 prevádzkovateľov na 1 000 000 obyvateľov (pričom neboli boli zohľadnené členské štáty, ktoré neidentifikovali ani jedného prevádzkovateľa základných služieb v tomto odvetví).



2.5. Uplatňovanie smernice na iné odvetvia než odvetvia uvedené v prílohe II Zo skúmania predložených údajov vyplýva, že 11 z 28 členských štátov identifikovalo základné služby v odvetviach, ktoré nepatria do rozsahu pôsobnosti prílohy II k smernici. Z týchto jedenástich členských štátov ich sedem identifikovalo spolu 157 prevádzkovateľov základných služieb poskytujúcich služby, na ktoré sa nevzťahujú typy subjektov v prílohe II. Dodatočné odvetvie Príklady subjektov Počet členských štátov Informačné infraštruktúry Dátové centrá, serverové farmy 5 Finančné služby (subjekty neuvedené v prílohe II) Poisťovne a zaisťovne 4 Vládne služby Elektronické služby pre občanov 4 Teplo Výrobcovia a dodávatelia tepla 3 Odpadové vody Zariadenia na zber a čistenie 3 Logistika Poštové služby 2 Potraviny Výrobcovia, obchodné miesta 2 Životné prostredie Zneškodňovanie nebezpečného odpadu 2 Služby národnej bezpečnosti/záchranné služby jednotné európske číslo tiesňového volania (112), krízové riadenie 2 Chemický priemysel Dodávatelia a výrobcovia látok 2 Sociálne služby Subjekty zodpovedné za dávky sociálneho zabezpečenia 1 Vzdelávanie Orgány poverené celoštátnymi skúškami 1 Spoločné stravovanie Riadenie distribúcie 1 Voda Vodné diela 1 Informačné infraštruktúry (identifikované piatimi členskými štátmi), finančné služby poskytované subjektmi, ktoré nie sú uvedené v prílohe II (identifikované štyrmi členskými štátmi), a vládne služby (identifikované štyrmi členskými štátmi) sú najobľúbenejšie kategórie ( tabuľka 5 ). Vzhľadom na to, aká je kybernetická odolnosť dôležitá pre fungovanie hospodárstva a spoločnosti ako celku, sa niekoľko členských štátov rozhodlo využiť možnosť uviesť iné odvetvia než odvetvia uvedené v prílohe II. To, že niekoľko členských štátov sa rozhodlo uplatňovať smernicu NIS na ďalšie odvetvia vyvoláva otázku, či je súčasný rozsah pôsobnosti prílohy II primeraný na plnenie cieľa ochrany všetkých prevádzkovateľov v Únii, ktorí sú kľúčoví pre spoločnosť a hospodárstvo. 2.6. Cezhraničný konzultačný postup V článku 5 ods. 4 smernice NIS sa vyžaduje, aby členské štáty pred dosiahnutím konečného rozhodnutia vo veci identifikácie prevádzkovateľov poskytujúcich služby vo viacerých členských štátoch začali vzájomné konzultácie. Skupina pre spoluprácu v júli 2018 vydala referenčný dokument s cieľom pomôcť členským štátom pri vedení náležitých cezhraničných konzultácií. Na základe prijatých informácií sa len veľmi málo vnútroštátnych orgánov rozhodlo kontaktovať svojich partnerov v iných členských štátoch a iba dva členské štáty kontaktovali iné členské štáty komplexným spôsobom. Okrem toho len málo členských štátov uviedlo, že oslovili iné orgány menej systematickým spôsobom. Napriek vysokej dôležitosti cezhraničných služieb na vnútornom trhu väčšina členských štátov, ktoré kontaktovali iné členské štáty, tak spravila iba v prípade veľmi nízkeho počtu prevádzkovateľov. Napriek tomu, že členské štáty tento postup využívali v obmedzenej miere, veľa vnútroštátnych orgánov vyjadrilo záujem o cezhraničný konzultačný proces a považuje ho za významný prvok v rámci identifikácie v oblasti sieťovej a informačnej bezpečnosti. V skutočnosti niekoľko členských štátov vyjadrilo obavy, že bez účinných cezhraničných konzultácií by prevádzkovatelia mohli byť nútení riešiť veľké množstvo rôznych regulatórnych požiadaviek alebo by mohli byť znevýhodnení voči iným, menej prísne regulovaným prevádzkovateľom základných služieb pôsobiacim na trhu. Komisia spoločne s vnútroštátnymi orgánmi určila niekoľko dôvodov, prečo sa konzultačný postup doteraz nepoužíva tak, ako sa zamýšľalo: ·mnohým členským štátom trvala identifikácia ich prevádzkovateľov základných služieb dlhšie, než sa predpokladalo. Štáty, ktoré identifikáciu zaviedli ako prvé, sa tak ocitli v situácii, keď nemohli viesť konzultácie s týmito krajinami, ·nedostatok bezpečných kanálov na prenos informácií: niektoré členské štáty vyjadrili neochotu komunikovať so svojimi partnermi, keďže názvy prevádzkovateľov považujú za utajované skutočnosti,

·značný počet existujúcich cezhraničných závislostí, či viedlo k potrebe kontaktovať veľký počet dotknutých členských štátov, najmä v prípade celoeurópskych prevádzkovateľov, ·nedostatočný spoločný výklad cieľov a rozsahu pôsobnosti cezhraničných konzultácií: kým niektoré členské štáty konzultácie považujú iba za nástroj na vzájomné informovanie sa o identifikácii prevádzkovateľov základných služieb s cezhraničným dosahom, iné štáty chápu ich účel ako zjednotenie prahových hodnôt a regulatórnych požiadaviek. Z odôvodnenia 24 smernice vyplýva, že je to predovšetkým postup na spoločné posúdenie kritickej povahy prevádzkovateľa na účely procesu identifikácie, ·ďalší problém vzniká vtedy, keď členský štát kontaktujú dva iné členské štáty vo veci toho istého prevádzkovateľa. V takom prípade dotknutý členský štát nemusí byť schopný zosúladiť svoje pravidlá s obidvomi členskými štátmi súčasne. Na tento účel sa v odôvodnení 24 počíta s viacstrannou diskusiou. Je dôležité, aby členské štáty využívali túto možnosť na zabezpečenie jednotnosti. 2.7. Zváženie zásady lex specialis v procese identifikácie Komisia zistila určitú mieru nejednotnosti medzi členskými štátmi, pokiaľ ide o uplatňovanie zásady lex specialis. To viedlo k rozdielnemu uplatňovaniu smernice a vyústilo na jednej strane do identifikácie prevádzkovateľov základných služieb, pri ktorej sa uplatňujú odvetvovo špecifické pravidlá, a na druhej strane do nedostatočnej identifikácie prevádzkovateľov základných služieb v niektorých odvetviach uvedených v prílohe II. V článku 1 ods. 3 sa uvádza, že smernica NIS sa nevzťahuje na podniky podliehajúce požiadavkám rámcovej smernice o telekomunikáciách. Zdá sa však, že niektoré členské štáty identifikovali prevádzkovateľov základných služieb poskytujúcich služby, ktoré by v skutočnosti mali patriť do rozsahu regulácie podľa rámcovej smernice o telekomunikáciách, ako sú služby prístupu k internetu a telefónne služby. Navyše podľa článku 1 ods. 7 sa ustanovenia smernice NIS o bezpečnostných požiadavkách a oznamovaní incidentov nevzťahujú na prevádzkovateľov, ktorí už podliehajú regulácii podľa právnych aktov Únie špecifických pre určité odvetvie, ktorými sa stanovujú povinnosti, ktoré majú aspoň rovnocenný účinok. Hoci väčšina členských štátov identifikovala prevádzkovateľov základných služieb v bankovníctve a v odvetví finančných trhov, niekoľko členských štátov neidentifikovalo prevádzkovateľov základných služieb a tvrdilo, že prevádzkovatelia poskytujú služby, na ktoré sa vzťahujú leges speciales. Komisia stále zhromažďuje podrobné informácie o uplatňovaní zásady lex specialis podľa smernice NIS. V súčasnosti vykonáva podrobné kontroly vnútroštátnych právnych predpisov a návštevy krajín s cieľom posúdiť súčasnú úroveň transpozície a vykonávania, a to aj pokiaľ ide o ustanovenia lex specialis. Na tomto základe Komisia plánuje podrobnejšie diskutovať o zásade lex specialis v rámci skupiny pre spoluprácu s cieľom dosiahnuť väčší súlad medzi členskými štátmi.

3.Závery V tejto správe sa vyhodnocujú prístupy, ktoré si zvolili členské štáty na identifikáciu základných služieb podľa smernice NIS. Jej cieľom je posúdiť mieru jednotnosti postupov členských štátov so zreteľom na možný vplyv súčasného rámca na fungovanie vnútorného trhu a na riadenie rizík spojených so závislosťou od počítačových systémov. Z vykonanej analýzy vyplýva, že smernica NIS v mnohých členských štátoch poslúžila ako katalyzátor a pripravila podmienky pre skutočnú zmenu inštitucionálneho a regulačného prostredia v súvislosti s kybernetickou bezpečnosťou. V dôsledku povinnosti identifikovať prevádzkovateľov základných služieb sa navyše začalo komplexné posúdenie rizík spojených s prevádzkovateľmi vykonávajúcimi kľúčové činnosti a s modernými sieťami a informačnými systémami takmer vo všetkých členských štátoch. To sa môže považovať za úspech Únie ako celku v súlade s cieľmi smernice. Na účely tejto správy Komisia preskúmala vnútroštátne metodiky identifikácie, služby, ktoré vnútroštátne orgány považujú za základné, prahové hodnoty na identifikáciu a množstvá identifikovaných prevádzkovateľov základných služieb v rozličných odvetviach, na ktoré sa vzťahuje smernica: ·Členské štáty vypracovali rozličné metodiky, pokiaľ ide o celkový prístup k identifikácii prevádzkovateľov základných služieb (oddiel 2.1), ale aj pokiaľ ide o vymedzenie základných služieb a stanovenie prahových hodnôt. To môže mať negatívny vplyv na jednotné uplatňovanie ustanovení smernice NIS v Únii s možnými následkami pre riadne fungovanie vnútorného trhu a pre účinné riešenie závislostí od počítačových systémov. ·Okrem toho sa zdá, že členské štáty majú rozdielne výklady toho, čo je základná služba podľa smernice NIS, pričom členské štáty uplatňujú odlišné úrovne podrobnosti (pozri oddiel 2.2). V dôsledku toho je ťažké porovnávať zoznamy základných služieb. Okrem toho hrozí, že rozsah pôsobnosti smernice sa rozdrobí, pričom niektorí prevádzkovatelia budú vystavení dodatočnej regulácii (pretože boli identifikovaní v ich príslušnom členskom štáte), kým iní prevádzkovatelia poskytujúci podobné služby ostanú vylúčení (pretože neboli identifikovaní). S cieľom vyriešiť tieto nezrovnalosti by ďalšie úsilie založené na skúsenostiach členských štátov mohlo viesť k jednotnejšiemu zoznamu základných služieb. ·V správe sa navyše zistili významné nedostatky týkajúce sa spôsobu uplatňovania prahových hodnôt v členských štátoch (oddiel 2.3). Ďalšie zosúladenie prahových hodnôt na úrovni EÚ by mohlo pomôcť zmierniť tento problém. Túto úlohu by mohli prevziať napríklad odvetvové pracovné skupiny v rámci skupiny pre spoluprácu, pričom by sa zohľadnili národné osobitosti, ako sú osobitné požiadavky malých členských štátov. ·Skutočnosť, že niektoré krajiny využívajú možnosť identifikovať základné služby v dodatočných odvetviach alebo pododvetviach nad rámec odvetví podľa prílohy II, poukazuje na to, že existujú iné odvetvia, ktoré môžu byť zraniteľné voči kybernetickým incidentom, než iba odvetvia zohľadnené v smernici NIS (oddiel 2.5). Identifikácia prevádzkovateľov základných služieb v odvetviach, ako sú informačné infraštruktúry, finančné služby neposkytované subjektmi uvedenými v prílohe II a verejná správa, môže zlepšiť kybernetickú odolnosť organizácií v týchto odvetviach. Ak však prevádzkovateľov základných služieb v týchto odvetviach identifikuje iba podmnožina členských štátov, môže to mať negatívne následky pre vnútorný trh a pre rovnaké podmienky, ktoré by mal zabezpečovať. Množstvo metodík a najlepších postupov, ktoré vnútroštátne orgány navrhli, má mimoriadnu hodnotu a mali by sa v budúcnosť zohľadňovať, napríklad pri práci skupiny pre spoluprácu a pri priebežnej identifikácii prevádzkovateľov základných služieb členskými štátmi. Súčasná miera rozmanitosti by však mohla mať negatívny vplyv na dosahovanie cieľov smernice. Komisia dospela k predbežnému záveru, že hoci smernica NIS spustila kľúčový proces na zvýšenie množstva postupov riadenia rizík prevádzkovateľov v kritických odvetviach a na ich zlepšenie, v súvislosti s identifikáciou prevádzkovateľov základných služieb existuje značná miera fragmentácie v celej Únii. Dôvodom je sčasti štruktúra smernice a sčasti rozdielne metodiky vykonávania používané v členských štátoch.

Členské štáty by sa mali snažiť o uplatňovanie ustanovení smernice NIS spôsobom, ktorý je čo najviac jednotný, pričom by mali v plnej miere využívať usmerňovacie dokumenty, ktoré vypracovala Komisia a skupina pre spoluprácu. Komisia preto určila niekoľko vnútroštátnych opatrení, ktoré môžu pomôcť zmierniť problémy, na ktoré upozorňuje táto správa: ·Veľa členských štátov nedokončilo proces identifikácie prevádzkovateľov základných služieb v lehote stanovenej v smernici. Okrem toho všetky údaje požadované podľa článku 5 ods. 7 do dňa uverejnenia tejto správy predložilo 23 členských štátov. Ďalších päť členských štátov poskytlo neúplné informácie. Komisia vyzýva vnútroštátne orgány poverené identifikáciou, aby tento proces dokončili čo najrýchlejšie a aby potrebné informácie postúpili Komisii v čo najkratšom čase. ·Príslušné orgány by mali pravidelne kontrolovať svoje zoznamy základných služieb a zabezpečiť, že identifikované budú všetky existujúce základné služby, aby sa na vnútornom trhu znížil počet rozdielov v konzistentnosti, pokiaľ ide o základné služby. ·Členské štáty by mali aktívnejšie navzájom spolupracovať s cieľom zjednotiť prahové hodnoty, keď to je možné, a najmä v odvetviach s výrazným cezhraničným rozmerom, ako je doprava alebo energetika. To možno dosiahnuť na základe cezhraničného konzultačného postupu stanoveného v článku 5 ods. 4 smernice NIS, ale aj lepším využívaním existujúcich štruktúr skupiny pre spoluprácu. ·Vnútroštátne orgány by sa mali navzájom radiť s cieľom zabezpečiť, aby cezhraniční prevádzkovatelia na vnútornom trhu podliehali podobným bezpečnostným požiadavkám a požiadavkám na nahlasovanie incidentov. Členské štáty by okrem toho mali týchto prevádzkovateľov kontaktovať s cieľom získať viac informácií o rozdieloch v regulácii. Vyššia kybernetická odolnosť by sa nemala dosiahnuť za cenu regulačnej fragmentácie. V prípade potreby by sa členské štáty mali zapájať aj do viacstrannej diskusie, ako sa uvádza v odôvodnení 24 smernice NIS. Okrem vnútroštátnych opatrení existuje viacero opatrení, ktoré by sa mohli potenciálne prijať na úrovni Únie a ktoré by viedli k vyššej jednotnosti. Komisia začne rozhovory na zlepšenie nerovnomerného a občas fragmentovaného prostredia v oblasti identifikácie. Toto sú niektoré z možných opatrení: ·Úloha skupiny pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti by sa mala posilniť s cieľom podporiť zhodu v tom, ako vykonávať smernicu jednotnejším spôsobom. Na tento účel Komisia navrhne, aby existujúca pracovná skupina špecializovaná na identifikáciu prevádzkovateľov základných služieb bezodkladne preskúmala svoje usmernenia s cieľom lepšie riešiť existujúce nezrovnalosti. Skupina pre spoluprácu by mala takisto preskúmať vytvorenie ďalších odvetvových pracovných skupín s cieľom zvýšiť súdržnosť medzi členskými štátmi a používanie prispôsobeného komunikačného nástroja na zlepšenie spolupráce v rámci skupiny. ·Iba veľmi málo členských štátov v súčasnosti využíva cezhraničný konzultačný postup, pokiaľ ide o identifikáciu prevádzkovateľov, ktorí poskytujú základné služby vo viacerých členských štátoch. S cieľom zlepšiť výmenu informácií by skupina pre spoluprácu mala preskúmať svoj referenčný dokument o spôsoboch konzultačného procesu v prípadoch s cezhraničným dosahom a dohodnúť sa o jednotnom výklade rozsahu pôsobnosti, cieľoch a postupoch tohto procesu. Komisia zároveň preskúma možnosti, ako umožniť bezpečnú výmenu informácií medzi príslušnými orgánmi. ·Zdá sa, že pri uplatňovaní ustanovení smernice týkajúcich sa lex specialis medzi členskými štátmi existuje istá miera nejednotnosti. Komisia preto použije štruktúry skupiny pre spoluprácu na diskusiu o prípadoch, v ktorých môže dochádzať k nesprávnemu uplatňovaniu zásady lex specialis. Opatrenia prijaté na úrovni Únie by mali zaručovať súdržný rámec a zohľadňovať odvetvové činnosti, ktoré počítajú s osobitnými alebo vyššími požiadavkami na kybernetickú bezpečnosť, ako aj ostatné európske právne predpisy.



4.Prílohy 4.1.Prehľad dostupných údajov podľa členských štátov Členský štát Dátum predloženia Zoznam služieb Počet prevádzkovateľov základných služieb Prahové hodnoty AT Oneskorené predloženie Doručený CHÝBA Doručené BE Oneskorené predloženie Doručený CHÝBA CHÝBAJÚ BG Oneskorené predloženie Doručený Doručený Doručené CY Včas Doručený Doručený Doručené CZ Oneskorené predloženie Doručený Doručený Doručené DE Včas Doručený Doručený Doručené DK Včas Doručený Doručený Doručené EE Včas Doručený Doručený Doručené EL Oneskorené predloženie Doručený Doručený Doručené ES Včas Doručený Doručený Doručené FI Včas Doručený Doručený Doručené FR Včas Doručený Doručený Bez oficiálnych prahových hodnôt HR Včas Doručený Doručený Doručené HU Včas Čiastočne doručený Čiastočne doručený Čiastočne doručené IE Oneskorené predloženie Doručený Doručený Doručené IT Oneskorené predloženie Doručený Doručený Doručené LT Včas Doručený Doručený Doručené LU Oneskorené predloženie Doručený Doručený Doručené LV Oneskorené predloženie Doručený Doručený Doručené MT Oneskorené predloženie Doručený Doručený Doručené NL Oneskorené predloženie Doručený Doručený Doručené PL Včas Doručený Doručený Doručené PT Včas Doručený Doručený Doručené RO Oneskorené predloženie Doručený Čiastočne doručený CHÝBAJÚ SE Včas Doručený Doručený Doručené SI Oneskorené predloženie Doručený CHÝBA Doručené SK Včas Doručený Doručený Doručené UK Včas Doručený Doručený Doručené 4.2.Počet služieb a prevádzkovateľov základných služieb identifikovaných každým členským štátom Členský štát Identifikovaní prevádzkovatelia základných služieb Služby podľa prílohy II Dodatočné služby AT 0 46 0 BE 0 31 0 BG 185 30 3 CY 20 29 17 CZ 50 31 12 DE 573 15 12 DK 128 39 0 EE 137 18 6 EL 67 30 0 ES 132 55 18 FI 10 897 20 0 FR 127 70 20 HR 85 49 2 HU 42 12 0 IE 64 26 0 IT 553 37 0 LT 22 37 0 LU 49 21 0 LV 66 18 0 MT 36 29 2 NL 42 12 0 PL 142 87 0 PT 1 250 26 0 RO 86 77 0 SE 326 27 0 SI 0 34 2 SK 273 28 7 UK 470 34 0



4.3. Služby identifikované členskými štátmi v pododvetví elektrickej energie