EURÓPSKA KOMISIA V Bruseli16. 12. 2020 COM(2020) 823 final 2020/0359(COD) Návrh SMERNICA EURÓPSKEHO PARLAMENTU A RADY o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii a o zrušení smernice (EÚ) 2016/1148 (Text s významom pre EHP) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



DÔVODOVÁ SPRÁVA 1.KONTEXT NÁVRHU •Dôvody a ciele návrhu Tento návrh je súčasťou balíka opatrení na ďalšie zlepšenie odolnosti a kapacít, pokiaľ ide o reakcie na incidenty verejných a súkromných subjektov, príslušných orgánov a Únie ako celku, v oblasti kybernetickej bezpečnosti a ochrany kritickej infraštruktúry. Je v súlade s prioritami Komisie pripraviť Európu na digitálny vek a vybudovať perspektívne hospodárstvo, ktoré bude slúžiť ľuďom. Kybernetická bezpečnosť je prioritou, pokiaľ ide o reakciu Komisie na krízu spôsobenú pandémiou COVID-19. Balík opatrení zahŕňa novú stratégiu v oblasti kybernetickej bezpečnosti, ktorej cieľom je posilniť strategickú autonómiu Únie zameranú na zlepšenie jej odolnosti a spoločnej reakcie a na vybudovanie otvoreného a globálneho internetu. Napokon balík zahŕňa návrh smernice o odolnosti kritických prevádzkovateľov základných služieb, ktorého cieľom je zmierniť fyzické hrozby voči takýmto prevádzkovateľom. Tento návrh vychádza zo smernice (EÚ) 2016/1148 o bezpečnosti sietí a informačných systémov (smernica NIS) a zrušuje ju, pričom táto smernica je prvým právnym predpisom o kybernetickej bezpečnosti platným v celej EÚ a poskytuje právne opatrenia na zvyšovanie celkovej úrovne kybernetickej bezpečnosti v Únii. Smernica NIS 1. prispela k zlepšeniu spôsobilostí v oblasti kybernetickej bezpečnosti na vnútroštátnej úrovni tým, že sa v nej od členských štátov vyžaduje prijatie vnútroštátnych stratégií v oblasti kybernetickej bezpečnosti a vymenovanie orgánov kybernetickej bezpečnosti; 2. zvýšila mieru spolupráce medzi členskými štátmi na úrovni Únie zriadením rôznych fór na uľahčenie výmeny strategických a operačných informácií a 3. zlepšila kybernetickú odolnosť verejných a súkromných subjektov v siedmich špecifických odvetviach (energetika, doprava, bankovníctvo, infraštruktúry finančných trhov, zdravotníctvo, dodávka a distribúcia pitnej vody a digitálne infraštruktúry) a v troch digitálnych službách (online trhy, internetové vyhľadávače a služby cloud computingu) tým, že sa v nej od členských štátov vyžaduje, aby zabezpečili, že prevádzkovatelia základných služieb a poskytovatelia digitálnych služieb zavedú požiadavky v oblasti kybernetickej bezpečnosti a budú oznamovať incidenty. Návrhom sa modernizuje existujúci právny rámec, pričom sa zohľadňuje rastúca digitalizácia vnútorného trhu počas posledných rokov a vyvíjajúce sa hrozby v oblasti kybernetickej bezpečnosti. Vývoj v oboch oblastiach sa od vypuknutia krízy spôsobenej pandémiou COVID-19 ďalej zintenzívnil. Návrh sa zaoberá aj niekoľkými nedostatkami, ktoré bránili využiť plný potenciál smernice NIS. Smernica NIS, ktorá viedla k významnej zmene v zmýšľaní o kybernetickej bezpečnosti, ako aj v inštitucionálnom a regulačnom prístupe ku kybernetickej bezpečnosti v mnohých členských štátoch, aj napriek svojim významným výsledkom už ukázala svoje obmedzenia. Digitálna transformácia spoločnosti (posilnená krízou spôsobenou pandémiou COVID-19) rozšírila panorámu hrozieb a prináša nové výzvy, ktoré si vyžadujú prispôsobené a inovačné reakcie. Počet kybernetických útokov naďalej narastá, pričom sú tieto útoky čoraz dômyselnejšie a pochádzajú zo širokej škály zdrojov v rámci EÚ aj mimo nej. V rámci hodnotenia o fungovaní smernice NIS, ktoré bolo vykonané na účely posúdenia vplyvu, sa identifikovali tieto problémy: 1. nízka úroveň kybernetickej odolnosti podnikov pôsobiacich v EÚ; 2. nejednotná úroveň odolnosti v jednotlivých členských štátoch a odvetviach; a 3. nízka úroveň spoločnej situačnej informovanosti a nedostatočná spoločná reakcia na krízu. Napríklad určité veľké nemocnice v členskom štáte nepatria do rozsahu pôsobnosti smernice NIS, a preto sa od nich nevyžaduje, aby vykonávali z nej vyplývajúce bezpečnostné opatrenia, zatiaľ čo v inom členskom štáte sa na takmer každého jedného poskytovateľa zdravotnej starostlivosti v krajine vzťahujú bezpečnostné požiadavky smernice NIS. Návrh sa ako iniciatíva v rámci Programu regulačnej vhodnosti a efektívnosti (REFIT) zameriava na zníženie regulačného zaťaženia pre príslušné orgány, ako aj nákladov na dodržiavanie predpisov pre verejné a súkromné subjekty. To sa predovšetkým dosiahne zrušením povinnosti príslušných orgánov identifikovať prevádzkovateľov základných služieb a zvýšením úrovne harmonizácie požiadaviek týkajúcich sa bezpečnosti a oznamovania s cieľom uľahčiť dodržiavanie predpisov pre subjekty poskytujúce cezhraničné služby. Príslušné orgány zároveň dostanú nové úlohy vrátane dohľadu nad subjektmi v odvetviach, na ktoré sa zatiaľ nevzťahuje smernica NIS. •Súlad s existujúcimi ustanoveniami v tejto oblasti politiky Tento návrh je súčasťou širšieho súboru existujúcich právnych nástrojov a pripravovaných iniciatív na úrovni Únie, ktoré majú za cieľ zvýšiť odolnosť verejných a súkromných subjektov proti hrozbám. V oblasti kybernetickej bezpečnosti je to najmä smernica (EÚ) 2018/1972, ktorou sa stanovuje európsky kódex elektronických komunikácií (ktorej ustanovenia týkajúce sa kybernetickej bezpečnosti nahradia ustanovenia tohto návrhu) a návrh nariadenia o digitálnej prevádzkovej odolnosti finančného sektora [COM(2020) 595 final], ktoré sa bude považovať za lex specialis vo vzťahu k tomuto návrhu, keď oba akty nadobudnú účinnosť. V oblasti fyzickej bezpečnosti sa týmto návrhom dopĺňa návrh smernice o odolnosti kritických subjektov, ktorou sa reviduje smernica 2008/114/ES o identifikácii a označení európskych kritických infraštruktúr a zhodnotení potreby zlepšiť ich ochranu (smernica ECI), ktorou sa ustanovuje postup Únie na identifikáciu a označenie európskych kritických infraštruktúr a stanovuje sa prístup na zlepšenie ich ochrany. V júli 2020 Komisia prijala stratégiu EÚ pre bezpečnostnú úniu, v ktorej uznala zvýšené prepojenie a vzájomnú závislosť medzi fyzickými a digitálnymi infraštruktúrami. Zdôraznila sa v nej potreba ucelenejšieho a konzistentnejšieho prístupu medzi smernicou ECI a smernicou (EÚ) 2016/1148, ktorá sa týka opatrení na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii. Návrh je preto úzko zosúladený s návrhom smernice o odolnosti kritických subjektov, ktorého cieľom je posilniť odolnosť kritických subjektov proti fyzickým hrozbám vo veľkom počte odvetví. Cieľom návrhu je zabezpečiť, aby príslušné orgány v zmysle oboch právnych aktov prijali doplnkové opatrenia a podľa potreby si vymieňali informácie, pokiaľ ide o kybernetickú a nekybernetickú odolnosť, a aby mimoriadne kritickí prevádzkovatelia v odvetviach, ktoré sa v tomto návrhu považujú za „kľúčové“, takisto podliehali povinnostiam súvisiacim so všeobecnejším zvyšovaním odolnosti s dôrazom na nekybernetické riziká. •Súlad s ostatnými politikami Únie Ako sa stanovuje v oznámení Komisie „Formovanie digitálnej budúcnosti Európy“, je pre Európu kľúčové využívať všetky výhody digitálneho veku a posilniť svoju priemyselnú a inovačnú kapacitu v rámci bezpečných a etických hraníc. V rámci Európskej dátovej stratégie sa stanovujú štyri piliere – ochrana údajov, základné práva, bezpečnosť a kybernetická bezpečnosť – ktoré sú základnými predpokladmi pre spoločnosť posilnenú využívaním údajov. V uznesení z 12. marca 2019 Európsky parlament „[…] vyzýva Komisiu, aby posúdila potrebu ďalšieho rozšírenia pôsobnosti smernice NIS na ďalšie kritické odvetvia a služby, na ktoré sa nevzťahujú osobitné odvetvové právne predpisy“. Rada vo svojich záveroch z 9. júna 2020 uvítala „[…] plány Komisie zabezpečiť konzistentné pravidlá pre účastníkov trhu a uľahčiť bezpečnú, spoľahlivú a vhodnú výmenu informácií o hrozbách, ako aj o incidentoch, a to aj prostredníctvom preskúmania smernice o sieťovej a informačnej bezpečnosti (smernica NIS), s cieľom hľadať možnosti na zvýšenie kybernetickej odolnosti a účinnejšie reakcie na kybernetické útoky, najmä pokiaľ ide o základné hospodárske a spoločenské činnosti, pričom sa budú rešpektovať právomoci členských štátov vrátane ich zodpovednosti za vlastnú národnú bezpečnosť.“ Okrem toho navrhovaným právnym aktom nie je dotknuté uplatňovanie pravidiel hospodárskej súťaže, ktoré sú stanovené v Zmluve o fungovaní Európskej únie (ZFEÚ).

S ohľadom na skutočnosť, že významná časť kybernetických hrozieb má pôvod mimo EÚ, je potrebný ucelený prístup v rámci medzinárodnej spolupráce. Táto smernica predstavuje referenčný model, ktorý sa má podporovať v kontexte spolupráce EÚ s tretími krajinami, a to najmä pri poskytovaní externej technickej pomoci. 2.PRÁVNY ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA •Právny základ Právnym základom smernice NIS je článok 114 Zmluvy o fungovaní Európskej únie, ktorého cieľom je vytváranie a fungovanie vnútorného trhu prostredníctvom posilňovania opatrení na aproximáciu vnútroštátnych pravidiel. Ako sa konštatuje v rozsudku Súdneho dvora Európskej únie vo veci C-58/08 Vodafone a i., použitie článku 114 ZFEÚ je odôvodnené, ak sú medzi vnútroštátnymi pravidlami rozdiely, ktoré majú priamy vplyv na fungovanie vnútorného trhu. Rovnako Súdny dvor konštatoval, že ak akt, ktorý sa zakladá na článku 114 ZFEÚ, už odstránil všetky prekážky obchodu v oblasti, ktorú harmonizuje, normotvorcu Únie nemožno pozbaviť možnosti prispôsobiť tento akt akýmkoľvek zmenám okolností alebo akémukoľvek vývoju poznatkov vzhľadom na úlohu, ktorá mu prislúcha pri zabezpečení ochrany všeobecných záujmov uznaných Zmluvou. Súdny dvor nakoniec konštatoval, že opatrenia na aproximáciu, ktoré sú zahrnuté v článku 114 ZFEÚ, majú za cieľ ponechať priestor na voľné konanie v závislosti od všeobecného kontextu a osobitných okolností v oblasti, ktorá sa má harmonizovať, a to pokiaľ ide o posúdenie najvhodnejšej techniky aproximácie na dosiahnutie požadovaného výsledku. Navrhovaný právny akt by odstránil prekážky vnútorného trhu pre kľúčové a dôležité subjekty, a zlepšil by jeho vytváranie a fungovanie, a to prostredníctvom: stanovenia jasných, všeobecne uplatniteľných pravidiel o rozsahu pôsobnosti smernice NIS, ako aj harmonizovania pravidiel uplatniteľných v oblasti riadenia kybernetického rizika a oznamovania incidentov. Súčasné rozdiely v tejto oblasti na legislatívnej úrovni aj úrovni dohľadu, ako aj na vnútroštátnej úrovni a úrovni EÚ, sú prekážkami vnútorného trhu, keďže subjekty, ktoré sú zapojené do cezhraničných činností, musia čeliť rôznym regulačným požiadavkám, ktoré sa môžu vzájomne prekrývať, a/alebo ich uplatňovať, a to na úkor vykonávania ich slobody usadiť sa a poskytovať služby. Rôzne pravidlá majú takisto negatívny vplyv na podmienky hospodárskej súťaže na vnútornom trhu, pokiaľ ide o subjekty rovnakého typu v rôznych členských štátoch. •Subsidiarita (v prípade inej ako výlučnej právomoci) Kybernetická odolnosť v rámci Únie nemôže byť účinná, ak sa k nej prostredníctvom vnútroštátnych alebo regionálnych dátových síl pristupuje odlišným spôsobom. Smernica NIS čiastočne riešila tento nedostatok stanovením rámca pre bezpečnosť sietí a informačných systémov na vnútroštátnej úrovni a úrovni Únie. Jej transpozícia a vykonávanie však takisto odhalili charakteristické nedostatky a obmedzenia istých ustanovení alebo prístupov, ako je napríklad nejasné vymedzenie rozsahu pôsobnosti smernice, čo vedie k významným rozdielom, pokiaľ ide o rozsah a hĺbku de facto intervencie EÚ na úrovni členských štátov. Okrem toho je od začiatku krízy spôsobenej pandémiou COVID-19 európske hospodárstvo dokonca viac ako kedykoľvek predtým závislé od sietí a informačných systémov a odvetvia a služby sú čoraz viac prepojené. Intervenciu EÚ nad rámec súčasných opatrení smernice NIS možno odôvodniť najmä týmito skutočnosťami: i) čoraz viac cezhraničný charakter hrozieb a výziev týkajúcich sa NIS; ii) potenciál opatrení Únie zlepšiť a uľahčiť účinné a koordinované vnútroštátne politiky; a iii) príspevok zosúladeného postupu založeného na spolupráci k účinnej ochrane údajov a súkromia. •Proporcionalita Pravidlá navrhnuté v tejto smernici neprekračujú rámec nevyhnutný na uspokojivé plnenie osobitných cieľov. Plánované zosúladenie a zefektívnenie bezpečnostných opatrení a oznamovacích povinností sa týka požiadaviek členských štátov a podnikov na zlepšenie súčasného rámca. V návrhu sa zohľadňujú už existujúce postupy v členských štátoch. Posilnená úroveň ochrany, ktorá sa dosiahla prostredníctvom takýchto zjednodušených a koordinovaných požiadaviek, je primeraná čoraz väčším rizikám, ktorým je nutné čeliť, ako aj tým, ktoré predstavujú cezhraničný prvok; požiadavky sú primerané a vo všeobecnosti zodpovedajú záujmu subjektov zapojených do zabezpečovania kontinuity a kvality ich služieb. Náklady na zabezpečenie systematickej spolupráce medzi členskými štátmi by boli nízke v porovnaní s hospodárskymi a spoločenskými stratami a škodami spôsobenými kybernetickými incidentmi. Okrem toho konzultácie so zainteresovanými stranami, ktoré sa uskutočnili v kontexte preskúmania smernice NIS, ako aj výsledky otvorenej verejnej konzultácie a cielených prieskumov ukazujú podporu revízie smernice NIS podľa uvedených bodov. •Výber nástroja Návrh ďalej zjednoduší povinnosti uložené podnikom a zabezpečí vyššiu úroveň ich harmonizácie. Cieľom návrhu je zároveň poskytnúť členským štátom flexibilitu potrebnú nato, aby zohľadnili vnútroštátne špecifiká (napríklad možnosť identifikovať dodatočné kľúčové alebo dôležité subjekty nad rámec základného scenára stanoveného v rámci právneho aktu). Budúcim právnym nástrojom by preto mala byť smernica, keďže tento právny nástroj umožňuje cielenú lepšiu harmonizáciu, ako aj určitý stupeň flexibility pre príslušné orgány. 3.VÝSLEDKY HODNOTENÍ EX POST, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU •Hodnotenia ex post/kontroly vhodnosti existujúcich právnych predpisov Komisia vykonala hodnotenie fungovania smernice NIS. Analyzovala jej relevantnosť, pridanú hodnotu EÚ, koherentnosť, účinnosť a efektívnosť. Hlavné zistenia tejto analýzy sú: ·Rozsah pôsobnosti smernice NIS je príliš obmedzený, pokiaľ ide o odvetvia, na ktoré sa vzťahuje, a to najmä z týchto dôvodov: i) zvýšená digitalizácia v posledných rokoch a vyšší stupeň vzájomného prepojenia; ii) v rozsahu pôsobnosti smernice NIS sa už viac neodzrkadľujú všetky digitalizované odvetvia poskytujúce kľúčové služby pre hospodárstvo a spoločnosť ako celok. ·Smernica NIS nie je dostatočne jasná, pokiaľ ide o rozsah pôsobnosti pre prevádzkovateľov základných služieb a jej ustanovenia neposkytujú dostatočnú zrozumiteľnosť, pokiaľ ide o vnútroštátnu právomoc nad poskytovateľmi digitálnych služieb. To vedie k situácii, v ktorej určité typy subjektov nie sú vo všetkých členských štátoch identifikované, a preto sa od nich nevyžaduje, aby zaviedli bezpečnostné opatrenia a oznamovali incidenty. ·V smernici NIS sa členským štátom pri stanovovaní bezpečnostných požiadaviek a požiadaviek na oznamovanie incidentov pre prevádzkovateľov základných služieb umožnil široký priestor na voľné konanie. Z hodnotenia vyplýva, že v niektorých prípadoch členské štáty tieto požiadavky zaviedli značne odlišnými spôsobmi, pričom vytvorili dodatočné zaťaženie pre spoločnosti pôsobiace vo viac ako jednom členskom štáte. ·Systém dohľadu a presadzovania smernice NIS je neúčinný. Napríklad členské štáty sa veľmi zdráhajú uplatňovať sankcie voči subjektom, ktoré nezaviedli bezpečnostné požiadavky alebo neoznámili incidenty. To môže mať negatívne následky na kybernetickú odolnosť jednotlivých subjektov.

·Finančné a ľudské zdroje vyčlenené členskými štátmi na vykonávanie ich úloh (ako je identifikácia prevádzkovateľov základných služieb alebo dohľad nad nimi) a následne rôzne úrovne pokročilosti pri riešení kybernetických rizík sa výrazne líšia. To ešte viac prehlbuje rozdiely v oblasti kybernetickej odolnosti medzi členskými štátmi. ·Členské štáty si informácie medzi sebou nevymieňajú systematicky, čo má negatívne následky, najmä pokiaľ ide o účinnosť opatrení v oblasti kybernetickej bezpečnosti a mieru spoločnej situačnej informovanosti na úrovni EÚ. Platí to aj pre výmenu informácií medzi súkromnými subjektmi a pre interakciu medzi štruktúrami spolupráce na úrovni EÚ a súkromnými subjektmi. •Konzultácie so zainteresovanými stranami Komisia viedla konzultácie so širokým spektrom zainteresovaných strán. Členské štáty a zainteresované strany boli vyzvané, aby sa zúčastnili otvorenej verejnej konzultácie a prieskumov a seminárov organizovaných dodávateľmi Wavestone, CEPS a ICF, ktorých Komisia poverila vykonaním štúdie na podporu preskúmania smernice NIS. Medzi zainteresované strany, ktoré sa zúčastnili na konzultáciách, patria aj príslušné orgány, orgány Únie zaoberajúce sa kybernetickou bezpečnosťou, prevádzkovatelia základných služieb, poskytovatelia digitálnych služieb, subjekty poskytujúce služby mimo rozsahu pôsobnosti súčasnej smernice NIS, odborové združenia, spotrebiteľské organizácie a občania. Okrem toho Komisia je neustále v kontakte s príslušnými orgánmi zodpovednými za vykonávanie smernice NIS. Skupina pre spoluprácu sa podrobne zaoberala rôznymi prierezovými aspektmi a aspektmi sektorového vykonávania. Napokon Komisia počas svojich návštev krajín v rámci smernice NIS v rokoch 2019 a 2020 uskutočnila rozhovory so 154 verejnými a súkromnými subjektmi, ako aj so 117 príslušnými orgánmi. •Získavanie a využívanie expertízy Komisia uzatvorila zmluvy s konzorciom dodávateľov Wavestone, CEPS a ICF, aby podporili Komisiu v preskúmaní smernice NIS. Dodávateľ nielenže oslovil zainteresované strany priamo dotknuté smernicou NIS prostredníctvom cielených prieskumov a seminárov, ale takisto konzultoval so širokým spektrom expertov v oblasti kybernetickej bezpečnosti, akými sú výskumníci v oblasti kybernetickej bezpečnosti a odborníci v odvetví kybernetickej bezpečnosti. •Posúdenie vplyvu K tomuto návrhu je pripojené posúdenie vplyvu, ktoré bolo 23. októbra 2020 predložené výboru pre kontrolu regulácie a ktoré 20. novembra 2020 získalo pozitívne stanovisko s pripomienkami od výboru pre kontrolu regulácie. Výbor pre kontrolu regulácie odporučil zlepšenia v niektorých oblastiach s cieľom: 1. lepšie zohľadniť úlohu cezhraničných účinkov presahovania v rámci analýzy problému; 2. lepšie vysvetliť, ako by vyzeral úspech iniciatívy; 3. bližšie zdôvodniť zoznam možností politiky; 4. ďalej rozpracovať náklady na navrhované opatrenia. Posúdenie vplyvu bolo prispôsobené s cieľom riešiť tieto body, ako aj podrobnejšie pripomienky výboru pre kontrolu regulácie. V súčasnosti zahŕňa podrobnejšie vysvetlenia úlohy cezhraničných účinkov presahovania v oblasti kybernetickej bezpečnosti, jasnejší prehľad o tom, ako možno merať úspech, podrobnejšie vysvetlenie koncepcie a logiky, pokiaľ ide o rôzne možnosti politiky a opatrenia, ktoré sa v rámci týchto možností zvažujú, podrobnejšie vysvetlenie analyzovaných aspektov v súvislosti s rozsahom odvetvovej pôsobnosti smernice NIS, ako aj ďalšie objasnenia, pokiaľ ide o náklady. Komisia zvážila niekoľko možností politiky na zlepšenie právneho rámca v oblasti kybernetickej odolnosti a reakcie na kybernetický incident: ·„Nevykonať žiadne opatrenia“: Smernica NIS by zostala nezmenená a neprijali by sa žiadne iné opatrenia nelegislatívnej povahy na odstránenie problémov zistených pri hodnotení smernice NIS. ·Možnosť 1: Na legislatívnej úrovni by sa nevykonali žiadne zmeny. Namiesto toho by Komisia vydala odporúčania a usmernenia (napríklad, pokiaľ ide o identifikáciu prevádzkovateľov základných služieb, bezpečnostné požiadavky, postupy oznamovania incidentov a dohľad), a to po konzultácii so skupinou pre spoluprácu, s agentúrou EÚ pre kybernetickú bezpečnosť (ENISA) a prípadne so sieťou jednotiek pre riešenie počítačových bezpečnostných incidentov (jednotky CSIRT). ·Možnosť 2: Táto možnosť zahŕňa cielené zmeny smernice NIS vrátane rozšírenia rozsahu jej pôsobnosti a niekoľkých ďalších zmien, ktorých cieľom by bolo zaistiť určité okamžité riešenia zistených problémov, pričom by poskytovali väčšiu zrozumiteľnosť a ďalšiu harmonizáciu (ako napríklad ustanovenia na harmonizáciu prahových hodnôt na identifikáciu). V zmenenej smernici NIS by však zostali zachované hlavné stavebné prvky, prístup a hodnoty. ·Možnosť 3: V tomto scenári sú zahrnuté systémové a štrukturálne zmeny smernice NIS (prostredníctvom novej smernice), v rámci ktorých sa plánuje zásadnejšia zmena prístupu, a to v podobe zahrnutia širšej oblasti hospodárstiev v Únii, ale zároveň aj cielenejší dohľad zameraný na veľkých a kľúčových účastníkov. Takisto by sa tým zefektívnili povinnosti uložené podnikom a zabezpečila by sa vyššia úroveň ich harmonizácie, vytvorilo by sa účinnejšie nastavenie prevádzkových aspektov a takisto by vznikol jasný základ pre posilnenú spoločnú zodpovednosť a zodpovednosť rôznych zainteresovaných strán, pokiaľ ide o opatrenia v oblasti kybernetickej bezpečnosti. Z posúdenia vplyvu vyplýva, že uprednostňovaná je možnosť 3 (t. j. systémové a štrukturálne zmeny rámca smernice NIS). Pokiaľ ide o účinnosť, uprednostňovaná možnosť by jasne stanovila rozsah pôsobnosti smernice NIS, ktorý by sa rozšíril na reprezentatívnejšiu časť hospodárstiev a spoločností v EÚ, a zefektívnila požiadavky a takisto lepšie vymedzila rámec pre dohľad a presadzovanie predpisov, ktorý by mal za cieľ zvýšiť úroveň dodržiavania pravidiel. Táto možnosť takisto zahŕňa opatrenia zamerané na zlepšenie prístupov v oblasti tvorby politík na úrovni členských štátov a na zmenu ich paradigmy, pričom podporuje nové rámce pre riadenie rizika v rámci vzťahov s dodávateľmi a koordinované zverejňovanie informácií o zraniteľnosti. V uprednostňovanej možnosti sa zároveň stanovuje jasný základ pre spoločnú zodpovednosť a plánujú sa mechanizmy zamerané na zvyšovanie dôvery medzi členskými štátmi, medzi orgánmi aj v rámci priemyslu, na stimulovanie výmeny informácií a zabezpečenie operatívnejšieho prístupu, ako sú mechanizmy vzájomnej pomoci a partnerského preskúmania. Táto možnosť by takisto stanovila rámec EÚ pre krízové riadenie založený na nedávno spustenej operačnej sieti EÚ, a zabezpečila by lepšie zapojenie agentúry ENISA v rámci jej súčasného mandátu, a to presným prehľadom o stave kybernetickej bezpečnosti Únie. Pokiaľ ide o efektívnosť, zatiaľ čo uprednostňovaná možnosť by so sebou prinášala dodatočné náklady pre podniky a členské štáty na dodržiavanie pravidiel a presadzovanie, viedla by takisto k účinným kompromisom a synergiám, keďže má najlepší potenciál zo všetkých analyzovaných možností politiky na zabezpečenie zvýšenej a konzistentnej úrovne kybernetickej odolnosti kľúčových subjektov v Únii, čo by v konečnom dôsledku viedlo k úspore nákladov pre podniky aj spoločnosť. Táto možnosť politiky by viedla k určitému dodatočnému administratívnemu zaťaženiu a dodatočným nákladom na dodržiavanie predpisov pre orgány členských štátov. Avšak po dôkladnom zvážení, v strednodobom a dlhodobom horizonte by táto možnosť takisto priniesla značné výhody prostredníctvom zvýšenej spolupráce medzi členskými štátmi, a to aj na operačnej úrovni, ako aj stimulovanie k celkovému nárastu kapacít v oblasti kybernetickej bezpečnosti na vnútroštátnej a regionálnej úrovni prostredníctvom vzájomnej pomoci, mechanizmov partnerského preskúmania a lepšieho prehľadu o kľúčových podnikoch a lepšej interakcie s nimi. Uprednostňovaná možnosť politiky by takisto do veľkej miery zabezpečila súlad s inými právnymi predpismi, iniciatívami alebo politickými opatreniami vrátane odvetvových lex specialis. Riešenie súčasnej pretrvávajúcej nedostatočnej pripravenosti v oblasti kybernetickej bezpečnosti na úrovni členských štátov a na úrovni spoločností a iných organizácií by mohlo viesť k zvýšeniu efektívnosti a zníženiu dodatočných nákladov, ktoré vyplývajú z kybernetických incidentov. ·Pokiaľ ide o kľúčové a dôležité subjekty, narastajúca úroveň kybernetickobezpečnostnej pripravenosti by mohla viesť k zmierneniu prípadnej straty príjmov z dôvodu narušenia – aj z dôvodu priemyselnej špionáže – a mohla by znížiť vysoké výdavky na zmierňovanie ad hoc hrozieb. Také zisky pravdepodobne prevýšia potrebné investičné náklady. Zníženie fragmentácie na vnútornom trhu by takisto zlepšilo rovnaké podmienky medzi prevádzkovateľmi. ·Pokiaľ ide o členské štáty, takisto by mohlo ďalej znižovať riziko narastajúcich rozpočtových výdavkov na zmierňovanie ad hoc hrozieb a dodatočných nákladov v prípade núdzových situácií súvisiacich s kybernetickými incidentmi. ·Pokiaľ ide o občanov, očakáva sa, že riešenie kybernetických incidentov povedie k zníženiu straty príjmu z dôvodu hospodárskych výkyvov.

Zvýšená úroveň kybernetickej bezpečnosti v členských štátoch a schopnosť spoločností a orgánov rýchlo reagovať na incident a zmierniť jeho vplyv s najväčšou pravdepodobnosťou povedie k zvýšeniu celkovej miery dôvery občanov v digitálne hospodárstvo, čo môže mať pozitívny vplyv na rast a investície. Zvýšenie celkovej úrovne kybernetickej bezpečnosti pravdepodobne povedie k zvýšenej celkovej bezpečnosti a plynulému, nepretržitému fungovaniu základných služieb, ktoré sú pre spoločnosť kľúčové. Iniciatíva môže takisto prispieť k ďalším sociálnym vplyvom, ako je znížená úroveň počítačovej kriminality a terorizmu a zvýšená úroveň civilnej ochrany. Vďaka zvyšovaniu úrovne kybernetickej pripravenosti podnikov a iných organizácii je možné sa vyhnúť prípadným finančným stratám, ktoré sú dôsledkom kybernetických útokov, a zabrániť tak nutnosti prepustiť zamestnancov. Zvyšovanie celkovej úrovne kybernetickej bezpečnosti by takisto mohlo viesť k predchádzaniu environmentálnym rizikám/poškodzovania životného prostredia v prípade útoku na základnú službu. To by mohlo platiť najmä pre sektor energetiky, sektor dodávok a distribúcie vody alebo dopravy. Posilnením spôsobilostí v oblasti kybernetickej bezpečnosti by iniciatíva mohla viesť k zvýšenému využívaniu najnovšej generácie infraštruktúr a služieb IKT, ktoré sú aj z hľadiska životného prostredia udržateľnejšie, ako aj k výmene neefektívnych a menej bezpečných tradičných infraštruktúr. Očakáva sa, že toto prispeje aj k zníženiu počtu nákladných kybernetických incidentov, čím sa uvoľnia prostriedky dostupné pre udržateľné investície. •Regulačná vhodnosť a zjednodušenie V návrhu sa predpokladá všeobecné vyňatie mikrosubjektov a malých subjektov z rozsahu pôsobnosti smernice NIS, ako aj jednoduchší režim dohľadu ex post, ktorý sa uplatňuje na veľké množstvo nových subjektov podľa revidovaného rozsahu (tzv. dôležité subjekty). Tieto opatrenia majú za cieľ minimalizovať a vyvážiť záťaž pre podniky a subjekty verejnej správy. Okrem toho návrh nahrádza komplikovaný systém identifikácie pre prevádzkovateľov základných služieb všeobecne uplatniteľnou povinnosťou a zavádza vyššiu úroveň harmonizácie povinností v oblasti bezpečnosti a oznamovania, čím by sa znížila záťaž spojená s dodržiavaním predpisov, a to najmä pokiaľ ide o subjekty poskytujúce cezhraničné služby. Návrhom sa minimalizujú náklady na dodržiavanie predpisov pre MSP, keďže od subjektov sa vyžaduje, aby prijali len tie opatrenia, ktoré sú potrebné na zabezpečenie úrovne bezpečnosti sietí a informačných systémov, ktorá je primeraná existujúcemu riziku. •Základné práva EÚ sa zaviazala, že bude dodržiavať vysoké normy ochrany základných práv. Všetky dobrovoľné opatrenia na výmenu informácií medzi subjektmi, ktoré táto smernica podporuje, by sa vykonali v dôveryhodnom prostredí pri úplnom dodržiavaní pravidiel Únie o ochrane údajov, a najmä nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679. 4.VPLYV NA ROZPOČET Pozri finančný výkaz 5.ĎALŠIE PRVKY •Plány vykonávania, spôsob monitorovania, hodnotenia a podávania správ Návrh zahŕňa všeobecný plán monitorovania a hodnotenia vplyvu na osobitné ciele, v rámci ktorého sa od Komisie vyžaduje, aby aspoň [54 mesiacov] po dátume nadobudnutia jeho účinnosti vykonala jeho revíziu a podala správu Európskemu parlamentu a Rade o svojich hlavných zisteniach. Revízia sa vykoná v súlade s usmerneniami Komisie o lepšej právnej regulácii. •Podrobné vysvetlenie konkrétnych ustanovení návrhu Návrh zahŕňa sedem hlavných oblastí politiky, ktoré vzájomne súvisia a slúžia na zvyšovanie úrovne kybernetickej bezpečnosti v Únii. Predmet úpravy a rozsah pôsobnosti (článok 1 a článok 2) Smernicou sa najmä: a) stanovujú povinnosti pre členské štáty prijať vnútroštátne stratégie kybernetickej bezpečnosti, určiť príslušné vnútroštátne orgány, jednotné kontaktné miesta a jednotky CSIRT; b) stanovuje, aby členské štáty uložili povinnosti v oblasti riadenia kybernetického rizika a oznamovacie povinnosti pre subjekty označované ako kľúčové subjekty v prílohe I a dôležité subjekty v prílohe II; c) stanovuje, aby členské štáty uložili povinnosti v oblasti výmeny informácií o kybernetickej bezpečnosti. Vzťahuje sa na určité verejné alebo súkromné kľúčové subjekty pôsobiace v odvetviach uvedených v prílohe I (energetika, doprava, bankovníctvo, infraštruktúry finančných trhov, zdravotníctvo, pitná voda, odpadová voda, digitálna infraštruktúra, verejná správa a kozmonautika) a na určité dôležité subjekty pôsobiace v odvetviach uvedených v prílohe II (poštové a kuriérske služby, odpadové hospodárstvo, výroba a distribúcia chemických látok, výroba, spracovanie a distribúcia potravín, výroba a digitálni poskytovatelia). Mikrosubjekty a malé subjekty v zmysle odporúčania Komisie 2003/361/ES zo 6. mája 2003 sú vyňaté z rozsahu pôsobnosti smernice, okrem poskytovateľov elektronických komunikačných sietí alebo poskytovateľov verejne dostupných elektronických komunikačných služieb, poskytovateľov dôveryhodných služieb, správcov mien domény najvyššej úrovne a subjektov verejnej správy a určitých iných subjektov, ako je napríklad jediný poskytovateľ služieb v členskom štáte. Vnútroštátne rámce pre kybernetickú bezpečnosť (články 5 až 11)

Od členských štátov sa vyžaduje, aby prijali vnútroštátnu stratégiu kybernetickej bezpečnosti, v ktorej sa vymedzia strategické ciele a vhodné politické a regulačné opatrenia, s cieľom dosiahnuť a zachovať vysokú úroveň kybernetickej bezpečnosti. V smernici sa takisto stanovuje rámec pre koordinované zverejňovanie informácií o zraniteľnostiach a od členských štátov sa vyžaduje, aby poverili jednotky CSIRT, aby konali ako dôveryhodní sprostredkovatelia a uľahčili interakciu medzi oznamujúcimi subjektmi a výrobcami alebo poskytovateľmi produktov IKT a služieb IKT. Od agentúry ENISA sa vyžaduje, aby pre zistené zraniteľnosti vyvinula a spravovala európsky register zraniteľnosti. Od členských štátov sa vyžaduje, aby zaviedli národné rámce krízového riadenia kybernetickej bezpečnosti, okrem iného určením príslušných vnútroštátnych orgánov zodpovedných za riadenie incidentov a kríz kybernetickej bezpečnosti veľkého rozsahu. Od členských štátov sa takisto vyžaduje, aby určili jeden alebo dva príslušné vnútroštátne orgány pre oblasť kybernetickej bezpečnosti na úlohy týkajúce sa dohľadu v súlade v touto smernicou, ako aj národné jednotné kontaktné miesto pre kybernetickú bezpečnosť na vykonávanie styčnej úlohy s cieľom zabezpečiť cezhraničnú spoluprácu orgánov členských štátov. Od členských štátov sa takisto vyžaduje, aby určili jednotky CSIRT. Spolupráca (články 12 až 16) Smernicou sa zriaďuje skupina pre spoluprácu na podporu a uľahčenie strategickej spolupráce a výmeny informácií medzi členskými štátmi a na rozvoj vzájomnej dôvery. Takisto sa ňou zriaďuje sieť jednotiek CSIRT s cieľom prispieť k rozvoju dôvery medzi členskými štátmi a podporiť rýchlu a účinnú operačnú spoluprácu. Európska sieť styčných organizácií pre kybernetické krízy (EÚ – CyCLONe) bola zriadená s cieľom podporiť koordinované riadenie incidentov a kríz veľkého rozsahu v oblasti kybernetickej bezpečnosti a zabezpečiť pravidelnú výmenu informácií medzi členskými štátmi a inštitúciami EÚ. Od agentúry ENISA sa vyžaduje, aby v spolupráci s Komisiou vydala dvojročnú správu o stave kybernetickej bezpečnosti v Únii. Od Komisie sa vyžaduje, aby zriadila systém partnerského preskúmania, v rámci ktorého sa umožnia pravidelné partnerské preskúmania účinnosti politík v oblasti kybernetickej bezpečnosti členských štátov. Riadenie rizík v oblasti kybernetickej bezpečnosti a oznamovacie povinnosti (články 17 až 23) V smernici sa od členských štátov vyžaduje, aby zabezpečili, že riadiace orgány všetkých subjektov v rámci rozsahu pôsobnosti schvália opatrenia na riadenie kybernetických rizík prijaté príslušnými subjektmi, a absolvovali osobitnú odbornú prípravu v súvislosti s kybernetickou bezpečnosťou. Od členských štátov sa vyžaduje, aby zabezpečili, že subjekty v rozsahu pôsobnosti prijmú náležité a primerané technické a organizačné opatrenia na riadenie kybernetických rizík súvisiacich s bezpečnosťou sietí a informačných systémov. Takisto sa od nich vyžaduje, aby zabezpečili, že subjekty upovedomia vnútroštátne príslušné orgány alebo jednotky CSIRT v prípade, že kybernetický incident má významný vplyv na nimi poskytovanú službu. Správcovia mien domény najvyššej úrovne a subjekty poskytujúce služby registrácie doménových mien pre doménu najvyššej úrovne budú zbierať a uchovávať presné a úplné údaje o registrácii doménových mien. Okrem toho sa od takýchto subjektov vyžaduje, aby oprávneným žiadateľom o prístup poskytli účinný prístup k registračným údajom domény. Právomoc a registrácia (články 24 a 25) Kľúčové a dôležité subjekty spravidla podliehajú právomoci toho členského štátu, v ktorom poskytujú svoje služby. Určité druhy subjektov (poskytovatelia služieb DNS, správcovia mien domény najvyššej úrovne, poskytovatelia služieb cloud computingu, poskytovatelia služieb dátového centra a poskytovatelia siete na sprístupňovanie obsahu, ako aj určití digitálni poskytovatelia) však podliehajú právomoci členského štátu, v ktorom majú svoje hlavné miesto podnikateľskej činnosti v Únii. Dôvodom je zabezpečiť, aby také subjekty nemuseli plniť viaceré rôzne právne požiadavky, keďže poskytujú služby za hranicami v obzvlášť vysokej miere. Od agentúry ENISA sa vyžaduje, aby vytvorila a spravovala register uvedeného druhu subjektov. Výmena informácií (články 26 a 27) Členské štáty stanovia pravidlá, ktoré umožnia subjektom zapojiť sa do výmeny informácií súvisiacich s kybernetickou bezpečnosťou, a to v rámci špecifických opatrení na výmenu informácií v oblasti kybernetickej bezpečnosti v súlade s článkom 101 ZFEÚ. Okrem toho členské štáty umožnia subjektom mimo rozsahu pôsobnosti tejto smernice na dobrovoľnej báze oznamovať významné incidenty, kybernetické hrozby alebo udalosti odvrátené v poslednej chvíli. Dohľad a presadzovanie predpisov (články 28 až 34) Od príslušných orgánov sa vyžaduje, aby vykonávali dohľad nad subjektmi v rozsahu pôsobnosti smernice, a najmä aby zabezpečili ich súlad s bezpečnostnými požiadavkami a požiadavkami o oznamovaní incidentov. V smernici sa rozlišuje medzi režimom dohľadu ex ante pre kľúčové subjekty a režimom dohľadu ex post pre dôležité subjekty, pričom režim dohľadu ex post vyžaduje od príslušných orgánov prijatie opatrení v prípade, že získajú dôkazy alebo indície o tom, že dôležitý subjekt nespĺňa bezpečnostné požiadavky a požiadavky o oznamovaní incidentov. V smernici sa takisto od členských štátov vyžaduje, aby ukladali kľúčovým a dôležitým subjektom správne pokuty a vymedzujú sa v nej určité maximálne pokuty.

Od členských štátov sa vyžaduje, aby spolupracovali a prípadne si vzájomne pomáhali, ak subjekty poskytujú služby vo viac ako jednom členskom štáte alebo ak sa hlavné miesto podnikateľskej činnosti subjektu alebo jeho zástupca nachádza v určitom členskom štáte, ale jeho sieť a informačné systémy sa nachádzajú v inom členskom štáte alebo vo viacerých iných členských štátoch. 2020/0359 (COD) Návrh SMERNICA EURÓPSKEHO PARLAMENTU A RADY o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii a o zrušení smernice (EÚ) 2016/1148 (Text s významom pre EHP) EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE, so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 114, so zreteľom na návrh Európskej komisie, po postúpení návrhu legislatívneho aktu národným parlamentom, so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru, so zreteľom na stanovisko Výboru regiónov, konajúc v súlade s riadnym legislatívnym postupom, keďže: (1)Cieľom smernice Európskeho parlamentu a Rady (EÚ) 2016/1148 bolo budovať kybernetickobezpečnostné kapacity v celej Únii, zmierňovať hrozby pre siete a informačné systémy používané na poskytovanie základných služieb v kľúčových odvetviach a zabezpečiť kontinuitu takýchto služieb pri riešení kybernetickobezpečnostných incidentov, a tým prispievať k efektívnemu fungovaniu spoločnosti a hospodárstva Únie. (2)Od nadobudnutia účinnosti smernice (EÚ) 2016/1148 sa pri zvyšovaní úrovne odolnosti Únie v oblasti kybernetickej bezpečnosti dosiahol významný pokrok. Preskúmanie uvedenej smernice ukázalo, že slúžila ako katalyzátor inštitucionálneho a regulačného prístupu ku kybernetickej bezpečnosti v Únii a pripravila pôdu pre dôležitú zmenu v zmýšľaní. Uvedenou smernicou sa zabezpečilo dokončenie vnútroštátnych rámcov vymedzením národných stratégií kybernetickej bezpečnosti, stanovením vnútroštátnych kapacít a vykonávaním regulačných opatrení vzťahujúcich sa na kľúčové infraštruktúry a aktérov identifikovaných v každom členskom štáte. Prispela aj k spolupráci na úrovni Únie zriadením skupiny pre spoluprácu a siete národných jednotiek pre riešenie počítačových bezpečnostných incidentov (ďalej len „sieť jednotiek CSIRT“). Bez ohľadu na tieto úspechy sa pri preskúmaní smernice (EÚ) 2016/1148 odhalili prirodzené nedostatky, ktoré jej bránia účinne riešiť súčasné a vznikajúce výzvy v oblasti kybernetickej bezpečnosti. (3)Siete a informačné systémy sa spolu s rýchlou digitálnou transformáciou a prepojenosťou spoločnosti, a to aj pri cezhraničných výmenách, stali bežnou súčasťou každodenného života. Tento vývoj viedol k nárastu kybernetickobezpečnostných hrozieb a prináša nové výzvy, ktoré si vyžadujú prispôsobené, koordinované a inovatívne reakcie vo všetkých členských štátoch. Počet, rozsah, sofistikovanosť, frekvencia a vplyv kybernetickobezpečnostných incidentov sa zvyšujú a pre fungovanie sietí a informačných systémov predstavujú veľkú hrozbu. Vo výsledku môžu takéto incidenty zabraňovať realizácii ekonomických aktivít na vnútornom trhu, spôsobovať finančné straty, narúšať dôveru používateľov a spôsobovať značné škody spoločnosti a hospodárstvu Únie. Pripravenosť a účinnosť v oblasti kybernetickej bezpečnosti sú preto teraz pre riadne fungovanie vnútorného trhu dôležitejšie ako kedykoľvek predtým. (4)Právnym základom smernice (EÚ) 1148/2016 bol článok 114 Zmluvy o fungovaní Európskej únie (ZFEÚ), ktorého cieľom je vytvorenie a fungovanie vnútorného trhu posilnením opatrení na aproximáciu vnútroštátnych pravidiel. Požiadavky na kybernetickú bezpečnosť uložené subjektom poskytujúcim služby alebo ekonomicky relevantné činnosti sa v jednotlivých členských štátoch značne líšia, pokiaľ ide o typ požiadaviek, ich úroveň podrobnosti a metódu dohľadu. Tieto rozdiely spôsobujú dodatočné náklady a podnikom, ktoré cezhranične ponúkajú tovar alebo služby, spôsobujú ťažkosti. Požiadavky jedného členského štátu, ktoré sa líšia od požiadaviek iného členského štátu alebo sú s nimi dokonca v rozpore, môžu tieto cezhraničné činnosti podstatne ovplyvniť. Okrem toho môžu mať suboptimálne navrhnuté alebo zavedené kybernetickobezpečnostné normy v jednom členskom štáte vplyv na úroveň kybernetickej bezpečnosti v iných členských štátoch, najmä vzhľadom na intenzívne cezhraničné výmeny. Preskúmanie smernice (EÚ) 2016/1148 ukázalo, že pri jej implementácii členskými štátmi existujú veľké rozdiely, a to aj pokiaľ ide o jej rozsah pôsobnosti, ktorého určenie bolo do veľkej miery ponechané na voľnom uvážení členských štátov. Smernica (EÚ) 2016/1148 poskytla členským štátom veľmi široký priestor na voľné konanie, aj pokiaľ ide o implementáciu povinností týkajúcich sa bezpečnosti a oznamovania incidentov, ktoré sú v nej stanovené. Tieto povinnosti boli preto na vnútroštátnej úrovni implementované značne odlišne. Podobné rozdiely v implementácii sa vyskytli aj v súvislosti s ustanoveniami uvedenej smernice o dohľade a presadzovaní práva. (5)Všetky tieto rozdiely spôsobujú fragmentáciu vnútorného trhu a môžu mať škodlivý vplyv na jeho fungovanie, a to najmä pokiaľ ide o cezhraničné poskytovanie služieb a úroveň kybernetickobezpečnostnej odolnosti v dôsledku uplatňovania rôznych noriem. Cieľom tejto smernice je odstrániť takéto veľké rozdiely medzi členskými štátmi, a to najmä stanovením minimálnych pravidiel týkajúcich sa fungovania koordinovaného regulačného rámca, stanovením mechanizmov účinnej spolupráce medzi zodpovednými orgánmi v každom členskom štáte, aktualizáciou zoznamu odvetví a činností podliehajúcich povinnostiam v oblasti kybernetickej bezpečnosti a poskytnutím účinných nápravných opatrení a sankcií, ktoré sú nevyhnutné na účinné presadzovanie týchto povinností. Smernica (EÚ) 2016/1148 by sa preto mala zrušiť a nahradiť touto smernicou. (6)Táto smernica neovplyvňuje možnosť členských štátov prijať potrebné opatrenia na zaručenie ochrany základných záujmov vlastnej bezpečnosti, chrániť verejný poriadok a verejnú bezpečnosť a umožniť vyšetrovanie a odhaľovanie trestných činov, ako aj stíhanie ich páchateľov, a to v súlade s právom Únie. V súlade s článkom 346 ZFEÚ nemá byť žiaden členský štát povinný poskytovať informácie, ktorých sprístupnenie by odporovalo základným záujmom jeho verejnej bezpečnosti. V tejto súvislosti sú relevantné pravidlá Únie a členských štátov na ochranu utajovaných skutočností, dohody o zachovaní mlčanlivosti a neformálne dohody o zachovaní mlčanlivosti, ako napríklad semaforový protokol.

(7)Zrušením smernice (EÚ) 2016/1148 by sa rozsah uplatňovania podľa odvetví mal rozšíriť na väčšiu časť hospodárstva vzhľadom na úvahy uvedené v odôvodneniach 4 až 6. Odvetvia, na ktoré sa vzťahuje smernica (EÚ) 2016/1148, by sa preto mali rozšíriť tak, aby boli komplexne pokryté odvetvia a služby, ktoré majú zásadný význam pre kľúčové spoločenské a hospodárske činnosti v rámci vnútorného trhu. Pravidlá by sa nemali líšiť podľa toho, či sú subjekty prevádzkovateľmi základných služieb alebo poskytovateľmi digitálnych služieb. Takéto rozlišovanie sa ukázalo ako zastarané, pretože neodráža skutočný význam odvetví alebo služieb pre spoločenské a hospodárske činnosti na vnútornom trhu. (8)V súlade so smernicou (EÚ) 2016/1148 boli členské štáty zodpovedné za určenie tých subjektov, ktoré spĺňajú kritériá, aby mohli pôsobiť ako prevádzkovatelia základných služieb („proces identifikácie“). S cieľom odstrániť v tejto súvislosti veľké rozdiely medzi členskými štátmi a zabezpečiť právnu istotu, pokiaľ ide o požiadavky na riadenie rizík a oznamovacie povinnosti pre všetky príslušné subjekty, by sa malo stanoviť jednotné kritérium, ktorým sa určia subjekty, ktoré patria do rozsahu pôsobnosti tejto smernice. Toto kritérium by malo spočívať v uplatňovaní pravidla obmedzenia veľkosti, podľa ktorého všetky stredné a veľké podniky, ako sú vymedzené v odporúčaní Komisie 2003/361/ES, ktoré pôsobia v rámci takých odvetví alebo poskytujú taký druh služieb, na ktoré sa vzťahuje táto smernica, patria do rozsahu jej pôsobnosti. Od členských štátov by sa nemalo vyžadovať, aby zostavili zoznam subjektov, ktoré spĺňajú toto všeobecne uplatniteľné kritérium týkajúce sa veľkosti. (9)Táto smernica by sa však mala vzťahovať aj na malé subjekty alebo mikrosubjekty spĺňajúce určité kritériá, ktoré sú ukazovateľom kľúčovej úlohy pre hospodárstva alebo spoločnosti členských štátov alebo pre určité odvetvia či druhy služieb. Členské štáty by mali byť zodpovedné za vypracovanie zoznamu takýchto subjektov a mali by ho predložiť Komisii. (10)Komisia môže v spolupráci so skupinou pre spoluprácu vydať usmernenia o vykonávaní kritérií uplatniteľných na mikropodniky a malé podniky. (11)Subjekty, ktoré patria do rozsahu pôsobnosti tejto smernice, by sa v závislosti od odvetvia, v ktorom pôsobia, alebo druhu služieb, ktoré poskytujú, mali rozdeliť do dvoch kategórií: kľúčové a dôležité. Táto kategorizácia by mala zohľadňovať úroveň kritickosti daného odvetvia alebo druhu služby, ako aj úroveň závislosti iných odvetví alebo druhov služieb. Na kľúčové aj dôležité subjekty by sa mali vzťahovať rovnaké požiadavky na riadenie rizík a oznamovacie povinnosti. Malo by sa rozlišovať medzi režimom dohľadu a sankcií, pokiaľ ide o tieto dve kategórie subjektov, aby sa zabezpečila spravodlivá rovnováha medzi požiadavkami a povinnosťami na jednej strane a administratívnou záťažou vyplývajúcou z dohľadu nad dodržiavaním predpisov na strane druhej. (12)Právne predpisy a nástroje špecifické pre jednotlivé odvetvia môžu prispieť k zabezpečeniu vysokej úrovne kybernetickej bezpečnosti pri plnom zohľadnení špecifík a zložitosti týchto odvetví. Ak sa v právnom akte Únie špecifickom pre určité odvetvia vyžaduje, aby kľúčové alebo dôležité subjekty prijali opatrenia na riadenie kybernetickobezpečnostných rizík, alebo aby oznamovali incidenty alebo závažné kybernetické hrozby a táto povinnosť má mať aspoň rovnocenný účinok ako povinnosti stanovené v tejto smernici, mali by sa uplatňovať dané ustanovenia pre určité odvetvia vrátane ustanovení o dohľade a presadzovaní práva. Komisia môže vydať usmernenia týkajúce sa vykonávania lex specialis. Touto smernicou sa nebráni prijatiu ďalších odvetvových aktov Únie, ktoré sa zaoberajú opatreniami na riadenie kybernetickobezpečnostných rizík a oznamovaním incidentov. Touto smernicou nie sú dotknuté existujúce vykonávacie právomoci, ktoré boli Komisii udelené vo viacerých odvetviach vrátane dopravy a energetiky. (13)Nariadenie Európskeho parlamentu a Rady XXXX/XXXX by sa v súvislosti s touto smernicou malo považovať za odvetvový právny akt Únie, pokiaľ ide o subjekty finančného odvetvia. Namiesto ustanovení tejto smernice by sa mali uplatňovať ustanovenia nariadenia XXXX/XXXX týkajúce sa opatrení na riadenie rizík v oblasti informačných a komunikačných technológií (IKT), riadenia incidentov súvisiacich s IKT, a najmä oznamovania incidentov, ako aj testovania digitálnej prevádzkovej odolnosti, mechanizmov zdieľania informácií a rizík týkajúcich sa IKT zabezpečovaných tretími stranami. Členské štáty by preto nemali uplatňovať ustanovenia tejto smernice týkajúce sa riadenia kybernetickobezpečnostných rizík a oznamovacích povinností, zdieľania informácií, dohľadu a presadzovania práva na žiadne finančné subjekty, na ktoré sa vzťahuje nariadenie XXXX/XXXX. Zároveň je dôležité zachovať pevné vzťahy a výmenu informácií s finančným odvetvím podľa tejto smernice. Na tento účel nariadenie XXXX/XXXX umožňuje všetkým orgánom finančného dohľadu, európskym orgánom dohľadu (ESA) vo finančnom odvetví a príslušným vnútroštátnym orgánom podľa nariadenia XXXX/XXXX zúčastňovať sa na strategických politických diskusiách a technických prácach skupiny pre spoluprácu a vymieňať si informácie a spolupracovať s jednotnými kontaktnými miestami určenými podľa tejto smernice a s vnútroštátnymi jednotkami CSIRT. Príslušné orgány podľa nariadenia XXXX/XXXX by mali zasielať podrobnosti o závažných incidentoch súvisiacich s IKT aj jednotným kontaktným miestam určeným podľa tejto smernice. Členské štáty by okrem toho mali naďalej začleňovať finančné odvetvie do svojich stratégií kybernetickej bezpečnosti a vnútroštátne jednotky CSIRT môžu zahrnúť finančné odvetvie do svojich činností. 1.Vzhľadom na prepojenia medzi kybernetickou bezpečnosťou a fyzickou bezpečnosťou subjektov by sa mal zabezpečiť jednotný prístup medzi smernicou Európskeho parlamentu a Rady (EÚ) XXX/XXX a touto smernicou. Na dosiahnutie tohto cieľa by členské štáty mali zabezpečiť, aby sa kritické subjekty (a rovnocenné subjekty) podľa smernice (EÚ) XXX/XXX považovali za kľúčové subjekty podľa tejto smernice. Členské štáty by tiež mali zabezpečiť, aby ich stratégie kybernetickej bezpečnosti poskytovali politický rámec pre posilnenú koordináciu medzi príslušným orgánom podľa tejto smernice a príslušným orgánom podľa smernice (EÚ) XXX/XXX v kontexte zdieľania informácií o incidentoch a kybernetických hrozbách, ako aj vykonávania úloh dohľadu. Orgány, na ktoré sa obe smernice vzťahujú, by mali spolupracovať a vymieňať si informácie, najmä pokiaľ ide o identifikáciu kritických subjektov, kybernetické hrozby, kybernetickobezpečnostné riziká, incidenty ovplyvňujúce kritické subjekty, ako aj o kybernetickobezpečnostných opatreniach prijatých kritickými subjektmi. Príslušné orgány podľa tejto smernice by na žiadosť príslušných orgánov podľa smernice (EÚ) XXX/XXX mali byť oprávnené vykonávať svoje právomoci v oblasti dohľadu a presadzovania práva vo vzťahu ku kľúčovému subjektu identifikovanému ako kritický subjekt. Na tento účel by oba orgány mali spolupracovať a vymieňať si informácie. (14)Potvrdenie a udržanie spoľahlivého, odolného a bezpečného systému doménových mien (DNS) je kľúčovým faktorom zachovania integrity internetu a je nevyhnutné pre jeho nepretržité a stabilné fungovanie, od ktorého závisí digitálne hospodárstvo a spoločnosť. Táto smernica by sa preto mala vzťahovať na všetkých poskytovateľov služieb DNS v rozlišovacom reťazci DNS vrátane prevádzkovateľov koreňových menných serverov, menných serverov domén najvyššej úrovne (TLD), autoritatívnych menných serverov pre doménové mená a rekurzívne resolvery. (15)Služby cloud computingu by sa mali vzťahovať na služby, ktoré umožňujú správu na požiadanie a vzdialený širokopásmový prístup ku škálovateľnému a pružnému súboru zdieľateľných a distribuovaných počítačových zdrojov. Uvedené počítačové zdroje zahŕňajú zdroje, ako sú napríklad siete, servery alebo iná infraštruktúra, operačné systémy, softvér, úložiská, aplikácie a služby. Modely zavádzania cloud computingu by mali zahŕňať súkromný, komunitný, verejný a hybridný cloud. Uvedené modely služieb a zavádzania majú rovnaký význam ako podmienky poskytovania služieb a modely zavádzania vymedzené v norme ISO/IEC 17788:2014. Schopnosť používateľa cloud computingu jednostranne si zabezpečovať počítačové kapacity, ako je serverový čas alebo sieťové úložisko, bez ľudskej interakcie zo strany poskytovateľa služieb cloud computingu by sa mohla opísať ako správa na požiadanie. Pojem „širokopásmový vzdialený prístup“ sa používa na opis toho, že cloudové kapacity sú poskytované cez sieť a prístupné prostredníctvom mechanizmov na podporu využívania heterogénnych tenkých alebo hrubých klientskych platforiem (vrátane mobilných telefónov, tabletov, laptopov, pracovných staníc). Pojem „škálovateľné“ odkazuje na počítačové zdroje, ktoré pružne prideľuje poskytovateľ cloudových služieb bez ohľadu na zemepisnú polohu zdrojov s cieľom zvládať výkyvy v dopyte. Pojem „pružný súbor“ sa používa na označenie tých počítačových zdrojov, ktoré sa poskytujú a uvoľňujú na základe dopytu s cieľom rýchlo zvýšiť a znížiť dostupné zdroje v závislosti od záťaže. Pojem „zdieľateľný“ sa používa na označenie tých počítačových zdrojov, ktoré sa poskytujú viacerým používateľom, ktorí zdieľajú spoločný prístup k službe, ale spracúvanie sa vykonáva oddelene pre každého používateľa, hoci sa služba poskytuje z toho istého elektronického zariadenia. Pojem „distribuovaný“ sa používa na opis tých počítačových zdrojov, ktoré sa nachádzajú v rôznych sieťových počítačoch alebo zariadeniach a ktoré navzájom komunikujú a koordinujú sa prenosom správ. (16)Vzhľadom na vznik inovačných technológií a nových obchodných modelov sa očakáva, že sa na trhu objavia nové modely zavádzania cloud computingu a služieb v reakcii na vyvíjajúce sa potreby zákazníkov. V tejto súvislosti sa služby cloud computingu môžu poskytovať vo vysoko distribuovanej forme, ešte bližšie k miestu, kde sa údaje generujú alebo zhromažďujú, čím sa prechádza od tradičného modelu k vysoko distribuovanému modelu („edge computing“). (17)Služby ponúkané poskytovateľmi služieb dátového centra sa nemusia vždy poskytovať vo forme služby cloud computingu. Dátové centrá preto nemusia vždy tvoriť súčasť infraštruktúry cloud computingu. S cieľom zvládnuť všetky riziká spojené s bezpečnosťou sietí a informačných systémov by sa táto smernica mala vzťahovať aj na poskytovateľov takých služieb dátového centra, ktoré nie sú službami cloud computingu. Na účely tejto smernice by sa pojem „služba dátového centra“ mal vzťahovať na poskytovanie služby, ktorá zahŕňa štruktúry alebo skupiny štruktúr určené na centralizované umiestnenie, vzájomné prepojenie a prevádzku informačných technológií a sieťového vybavenia poskytujúcich služby ukladania, spracovania a prepravy dát spolu so všetkými zariadeniami a infraštruktúrami na distribúciu elektrickej energie a environmentálnu kontrolu. Pojem „služba dátového centra“ sa nevzťahuje na interné, podnikové dátové centrá vlastnené a prevádzkované na vlastné účely príslušného subjektu. (18)Poskytovatelia poštových služieb v zmysle smernice Európskeho parlamentu a Rady 97/67/ES, ako aj poskytovatelia expresných a kuriérskych doručovacích služieb by mali podliehať tejto smernici, ak zabezpečujú aspoň jeden z krokov v reťazci poštového doručovania, a to najmä vyberanie, triedenie alebo distribúciu vrátane služieb zberu. Dopravné služby, ktoré sa nevykonávajú v spojení s jedným z týchto krokov, by nemali patriť do rozsahu poštových služieb. (19)Táto rastúca previazanosť je výsledkom čoraz väčšej cezhraničnej a previazanej siete poskytovania služieb s využitím kľúčových infraštruktúr v celej Únii v odvetviach energetiky, dopravy, digitálnej infraštruktúry, pitnej a odpadovej vody, zdravia, určitých aspektov verejnej správy, ako aj kozmického priestoru, pokiaľ ide o poskytovanie určitých služieb v závislosti od pozemných infraštruktúr, ktoré vlastnia, spravujú a prevádzkujú členské štáty alebo súkromné strany, a preto sa nevzťahujú na infraštruktúry vlastnené, spravované alebo prevádzkované Úniou alebo v jej mene ako súčasť jej vesmírnych programov. Táto previazanosť znamená, že akékoľvek narušenie, dokonca aj také, ktoré sa pôvodne obmedzovalo na jeden subjekt alebo jedno odvetvie, môže mať širšie kaskádovité účinky, čo môže viesť k ďalekosiahlym a dlhotrvajúcim negatívnym vplyvom na poskytovanie služieb na celom vnútornom trhu. Pandémia ochorenia COVID-19 ukázala zraniteľnosť našich čoraz previazanejších spoločností voči rizikám s nízkou pravdepodobnosťou. (20)Vzhľadom na rozdiely vo vnútroštátnych štruktúrach riadenia a s cieľom chrániť už existujúce odvetvové dohody alebo orgány dohľadu a regulačné orgány Únie by členské štáty mali mať možnosť určiť viac než jeden vnútroštátny príslušný orgán zodpovedný za vykonávanie úloh súvisiacich s bezpečnosťou sietí a informačných systémov kľúčových a dôležitých subjektov podľa tejto smernice. Členské štáty by mali mať možnosť poveriť touto úlohou existujúci orgán. (21)V záujme uľahčenia cezhraničnej spolupráce a komunikácie orgánov a s cieľom umožniť účinné vykonávanie tejto smernice je potrebné, aby každý členský štát určil vnútroštátne jednotné kontaktné miesto zodpovedné za koordináciu záležitostí týkajúcich sa bezpečnosti sietí a informačných systémov a cezhraničnú spoluprácu na úrovni Únie. (22)Príslušné orgány alebo jednotky CSIRT by mali dostávať oznámenia o incidentoch od subjektov účinným a efektívnym spôsobom. Malo by byť úlohou jednotných kontaktných miest postupovať oznámenia o incidentoch jednotným kontaktným miestam ostatných dotknutých členských štátov. Na úrovni orgánov členských štátov by na zabezpečenie jedného kontaktného bodu v každom členskom štáte mali byť jednotné kontaktné miesta aj adresátmi relevantných informácií o incidentoch týkajúcich sa subjektov finančného odvetvia od príslušných orgánov podľa nariadenia XXXX/XXXX, ktoré by mali byť podľa potreby schopné postúpiť príslušným vnútroštátnym orgánom alebo jednotkám CSIRT podľa tejto smernice. (23)Členské štáty by mali mať primerané vybavenie, pokiaľ ide o technické a organizačné kapacity, aby mohli predchádzať incidentom a rizikám v oblasti sietí a informačných systémov, odhaľovať ich, reagovať na ne a zmierňovať ich. Členské štáty by preto mali zabezpečiť, aby mali dobre fungujúce jednotky CSIRT, známe aj ako jednotky reakcie na núdzové počítačové situácie (ďalej len „jednotky CERT“), ktoré budú dodržiavať základné požiadavky s cieľom zaručiť účinné a zlučiteľné kapacity na riešenie incidentov a rizík a zabezpečiť účinnú spoluprácu na úrovni Únie. S cieľom posilniť dôverný vzťah medzi subjektmi a jednotkami CSIRT v prípadoch, keď je jednotka CSIRT súčasťou príslušného orgánu, by členské štáty mali zvážiť funkčné oddelenie operačných úloh poskytovaných jednotkami CSIRT, najmä pokiaľ ide o zdieľanie informácií a podporu subjektov, od činností dohľadu príslušných orgánov. (24)Pokiaľ ide o osobné údaje, jednotky CSIRT by mali mať možnosť vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 v mene subjektu a na jeho žiadosť podľa tejto smernice proaktívnu kontrolu sietí a informačných systémov používaných na poskytovanie jeho služieb. Členské štáty by sa mali zamerať na zabezpečenie rovnakej úrovne technických kapacít pre všetky odvetvové jednotky CSIRT. Členské štáty môžu pri tvorbe vnútroštátnych jednotiek CSIRT požiadať o pomoc Agentúru Európskej únie pre kybernetickú bezpečnosť (ENISA). (25)Vzhľadom na význam medzinárodnej spolupráce v oblasti kybernetickej bezpečnosti by sa malo jednotkám CSIRT umožniť, aby sa okrem siete jednotiek CSIRT zriadenej podľa tejto smernice mohli stať súčasťou sietí medzinárodnej spolupráce.

(26)V súlade s prílohou k odporúčaniu Komisie (EÚ) 2017/1548 o koordinovanej reakcii na kybernetické incidenty a krízy veľkého rozsahu (ďalej len „koncepcia“) by incident veľkého rozsahu mal znamenať incident s významným dosahom na najmenej dva členské štáty alebo ktorý svojím narušením presahuje schopnosť členského štátu reagovať naň. Incidenty veľkého rozsahu sa v závislosti od svojej príčiny a dosahu môžu vystupňovať a naplno prepuknúť v krízu, ktorá neumožňuje riadne fungovanie vnútorného trhu. Vzhľadom na široký rozsah a vo väčšine prípadov cezhraničný charakter takýchto incidentov by členské štáty a príslušné inštitúcie, orgány a agentúry Únie mali spolupracovať na technickej, prevádzkovej a politickej úrovni s cieľom riadne koordinovať reakciu v celej Únii. (27)Keďže využívanie zraniteľností v sieťach a informačných systémoch môže spôsobiť značné narušenie a škody, rýchla identifikácia a náprava týchto zraniteľností je dôležitým faktorom pri znižovaní kybernetickobezpečnostného rizika. Subjekty, ktoré takéto systémy vyvíjajú, by preto mali zaviesť vhodné postupy na riešenie zistených zraniteľností. Keďže zraniteľnosti často odhaľujú a oznamujú (zverejňujú) tretie strany (oznamujúce subjekty), výrobca alebo poskytovateľ produktov alebo služieb IKT by mal zaviesť aj potrebné postupy na získavanie informácií o zraniteľnosti od tretích strán. V tejto súvislosti sa v medzinárodnej norme ISO/IEC 30111 poskytujú usmernenia na riešenie zraniteľností a v medzinárodnej norme ISO/IEC 29417 zasa usmernenia na zverejňovanie informácií o zraniteľnosti. Pokiaľ ide o zverejňovanie informácií o zraniteľnosti, obzvlášť dôležitá je koordinácia medzi oznamujúcimi subjektmi a výrobcami alebo poskytovateľmi produktov alebo služieb IKT. Koordinované zverejňovanie informácií o zraniteľnosti sa riadi štruktúrovaným procesom, v rámci ktorého sa zraniteľnosti hlásia organizáciám takým spôsobom, ktorým sa danej organizácii umožňuje diagnostikovať zraniteľnosť a zabezpečiť jej nápravu pred tým, ako sa podrobné informácie o zraniteľnosti poskytnú tretím stranám alebo verejnosti. Koordinované zverejňovanie informácií o zraniteľnosti by malo zahŕňať aj koordináciu medzi oznamujúcim subjektom a organizáciou, pokiaľ ide o načasovanie nápravy a zverejnenie zraniteľností. (28)Členské štáty by preto mali prijať opatrenia na uľahčenie koordinovaného zverejňovania informácií o zraniteľnostiach zavedením príslušnej vnútroštátnej politiky. V tejto súvislosti by členské štáty mali určiť jednotku CSIRT, ktorá by prevzala úlohu „koordinátora“, ktorý by v prípade potreby pôsobil ako sprostredkovateľ medzi oznamujúcimi subjektmi a výrobcami alebo poskytovateľmi produktov alebo služieb IKT. Úlohy koordinátora jednotiek CSIRT by mali zahŕňať najmä identifikáciu a kontaktovanie dotknutých subjektov, podporu oznamujúcich subjektov, rokovania o harmonograme zverejňovania informácií a riadenie koordinovaného zverejňovania informácií o zraniteľnosti, ktoré majú vplyv na viaceré organizácie (zverejňovanie informácií o zraniteľnosti viacerých strán). Ak majú zraniteľnosti vplyv na viacerých výrobcov alebo poskytovateľov produktov alebo služieb IKT usadených vo viac ako jednom členskom štáte, určené jednotky CSIRT z každého dotknutého členského štátu by mali spolupracovať v rámci siete jednotiek CSIRT. (29)Prístup k správnym a včasným informáciám o zraniteľnostiach ovplyvňujúcich produkty a služby IKT prispieva k lepšiemu riadeniu kybernetickobezpečnostných rizík. V tejto súvislosti sú zdroje verejne dostupných informácií o zraniteľnostiach dôležitým nástrojom pre subjekty a ich používateľov, ale aj pre príslušné vnútroštátne orgány a jednotky CSIRT. Agentúra ENISA by preto mala zriadiť register zraniteľností, v ktorom by kľúčové a dôležité subjekty a ich dodávatelia, ako aj subjekty, ktoré nepatria do rozsahu pôsobnosti tejto smernice, mohli dobrovoľne zverejňovať zraniteľnosti a poskytovať o nich informácie, ktoré používateľom umožnia prijať vhodné zmierňujúce opatrenia. (30)Hoci podobné registre alebo databázy zraniteľností existujú, ich hostiteľmi a správcami sú subjekty, ktoré nie sú usadené v Únii. Európsky register zraniteľností, ktorý vedie agentúra ENISA, by zabezpečil lepšiu transparentnosť, pokiaľ ide o proces uverejňovania pred tým, ako je daná zraniteľnosť oficiálne oznámená, ako aj odolnosť v prípade narušenia alebo prerušenia poskytovania podobných služieb. Agentúra ENISA by mala preskúmať možnosť uzatvorenia dohôd o štruktúrovanej spolupráci s podobnými registrami v jurisdikciách tretích krajín s cieľom zabrániť duplicite úsilia a usilovať sa v čo najväčšej možnej miere o komplementaritu. (31)Skupina pre spoluprácu by mala každé dva roky vypracovať pracovný program vrátane opatrení, ktoré má skupina vykonať na plnenie svojich cieľov a úloh. Časový rámec prvého programu prijatého podľa tejto smernice by sa mal zosúladiť s časovým rámcom posledného programu prijatého podľa smernice (EÚ) 2016/1148 s cieľom zabrániť možným narušeniam práce skupiny. (32)Pri vypracúvaní usmerňujúcich dokumentov by skupina pre spoluprácu mala dôsledne: zmapovať vnútroštátne riešenia a skúsenosti, posúdiť vplyv výstupov skupiny pre spoluprácu na vnútroštátne prístupy, diskutovať o výzvach pri vykonávaní a formulovať konkrétne odporúčania, ktorými sa má dosiahnuť lepšie vykonávanie existujúcich pravidiel. (33)Skupina pre spoluprácu by mala zostať flexibilným fórom a mala by byť schopná reagovať na meniace sa a nové politické priority a výzvy a zároveň zohľadňovať dostupnosť zdrojov. Mala by organizovať pravidelné spoločné stretnutia s príslušnými súkromnými zainteresovanými stranami z celej Únie s cieľom prediskutovať činnosti skupiny a zhromažďovať informácie o nových politických výzvach. S cieľom posilniť spoluprácu na úrovni Únie by skupina mala zvážiť prizývanie orgánov a agentúr Únie zapojených do politiky v oblasti kybernetickej bezpečnosti, ako je Európske centrum boja proti počítačovej kriminalite (EC3), Agentúra Európskej únie pre bezpečnosť letectva (EASA) a Agentúra Európskej únie pre vesmírny program (EUSPA), k účasti na jej práci. (34)Príslušné orgány a jednotky CSIRT by mali mať možnosť zúčastňovať sa na výmenných programoch pre úradníkov z iných členských štátov s cieľom zlepšovať spoluprácu. Príslušné orgány by mali prijať potrebné opatrenia, ktoré úradníkom z iných členských štátov umožnia zohrávať účinnú úlohu v činnostiach hostiteľského príslušného orgánu. (35)Únia by v prípade potreby mala v súlade s článkom 218 ZFEÚ uzatvárať medzinárodné dohody s tretími krajinami alebo medzinárodnými organizáciami, ktorými môže povoľovať a organizovať ich účasť na niektorých činnostiach skupiny pre spoluprácu a siete jednotiek CSIRT. Takýmito dohodami by sa mala zabezpečiť primeraná ochrana údajov. (36)Členské štáty by mali prispieť k vytvoreniu rámca EÚ pre reakciu na kybernetické krízy stanoveného v odporúčaní (EÚ) 2017/1584 prostredníctvom existujúcich sietí spolupráce, najmä siete styčných organizácií pre kybernetické krízy (EU-CyCLONe), siete jednotiek CSIRT a skupiny pre spoluprácu. Sieť EU-CyCLONe a sieť jednotiek CSIRT by mali spolupracovať na základe procedurálnych opatrení, v ktorých sa vymedzujú podmienky spolupráce. V rokovacom poriadku siete EU-CyCLONe by sa mali ďalej spresniť spôsoby fungovania siete, okrem iného vrátane úloh, spôsobov spolupráce, interakcií s inými relevantnými aktérmi a vzorových formulárov na zdieľanie informácií, ako aj komunikačných prostriedkov. Pokiaľ ide o krízové riadenie na úrovni Únie, príslušné strany by sa mali opierať o integrované dojednania o politickej reakcii na krízu (IPCR). Komisia by mala na tento účel využiť ARGUS – medziodvetvový krízový koordinačný proces na vysokej úrovni. Ak má kríza výrazný externý rozmer alebo sa týka spoločnej bezpečnostnej a obrannej politiky, mal by sa aktivovať mechanizmus reakcie Európskej služby pre vonkajšiu činnosť na krízy. (37)Na účely tejto smernice by sa pojem „riziko“ mal vzťahovať na potenciál straty alebo narušenia v dôsledku kybernetickobezpečnostného incidentu a mal by sa vyjadriť ako kombinácia rozsahu takejto straty alebo narušenia a pravdepodobnosti výskytu daného incidentu. (38)Na účely tejto smernice by sa pojem „udalosti odvrátené v poslednej chvíli“ mal vzťahovať na udalosť, ktorá by mohla spôsobiť škodu, ale úspešne sa zabránilo jej prejaveniu v plnej miere. (39)Opatrenia na riadenie rizika by mali zahŕňať opatrenia na identifikáciu rizika incidentov, opatrenia na predchádzanie incidentom a ich odhaľovanie a zvládanie, ako aj opatrenia na zmiernenie ich vplyvu. Bezpečnosť sietí a informačných systémov by mala zahŕňať bezpečnosť uchovávaných, prenášaných a spracúvaných údajov. (40)S cieľom vyhnúť sa neprimeranému finančnému a administratívnemu zaťaženiu kľúčových a dôležitých subjektov by požiadavky na riadenie kybernetickobezpečnostných rizík mali byť primerané riziku, ktorým čelí daná sieť a daný informačný systém, berúc pritom do úvahy najnovší technický vývoj v oblasti takýchto opatrení. (41)Kľúčové a dôležité subjekty by mali zaistiť bezpečnosť sietí a informačných systémov, ktoré používajú vo svojich činnostiach. Ide predovšetkým o súkromné siete a informačné systémy, ktoré spravujú ich interní pracovníci IT alebo ktorých bezpečnosť zaisťujú externí dodávatelia. Požiadavky na riadenie kybernetickobezpečnostných rizík a na oznamovanie podľa tejto smernice by sa mali vzťahovať na príslušné kľúčové a dôležité subjekty bez ohľadu na to, či vykonávajú údržbu svojich sietí a informačných systémov interne alebo ju nechávajú vykonávať externe. (42)Riešenie kybernetickobezpečnostných rizík vyplývajúcich z dodávateľského reťazca subjektu a jeho vzťahu s dodávateľmi je obzvlášť dôležité vzhľadom na výskyt incidentov, keď sa subjekty stali obeťami kybernetických útokov a keď aktéri s nekalými úmyslami dokázali ohroziť bezpečnosť sietí a informačných systémov subjektu využívaním zraniteľností a zasiahnuť tak produkty a služby tretích strán. Subjekty by preto mali posúdiť a zohľadniť celkovú kvalitu produktov a postupy svojich dodávateľov a poskytovateľov služieb v oblasti kybernetickej bezpečnosti vrátane ich bezpečných vývojových postupov. (43)Spomedzi poskytovateľov služieb zohrávajú poskytovatelia riadených bezpečnostných služieb (MSSP) osobitne dôležitú úlohu v pomoci subjektom v ich úsilí o odhaľovanie incidentov a reakciu na ne, a to v takých oblastiach, ako je reakcia na incidenty, penetračné testovanie, bezpečnostné audity a poradenstvo. Avšak aj samotní poskytovatelia MSSP boli cieľom kybernetických útokov a ich úzke zapojenie do činnosti prevádzkovateľov predstavuje osobitné kybernetickobezpečnostné riziko. Subjekty by preto mali výberu poskytovateľa MSSP venovať zvýšenú pozornosť. (44)Subjekty by mali riešiť aj kybernetickobezpečnostné riziká vyplývajúce z ich interakcií a vzťahov s inými zainteresovanými stranami v rámci širšieho ekosystému. Predovšetkým by mali prijať vhodné opatrenia, aby sa ich spolupráca s akademickými a výskumnými inštitúciami uskutočňovala v súlade s ich politikami v oblasti kybernetickej bezpečnosti a aby sa riadila osvedčenými postupmi, pokiaľ ide o bezpečný prístup k informáciám a ich šírenie vo všeobecnosti, a najmä o ochranu duševného vlastníctva. Podobne by subjekty, ktoré závisia od služieb v oblasti transformácie údajov a analýzy údajov od tretích strán, mali prijať všetky vhodné kybernetickobezpečnostné opatrenia, a to vzhľadom na význam a hodnotu údajov pre činnosti subjektov. (45)V záujme ďalšieho riešenia rizík kľúčového dodávateľského reťazca a pomoci subjektom pôsobiacim v odvetviach, na ktoré sa vzťahuje táto smernica, pri náležitom riadení kybernetickobezpečnostných rizík súvisiacich s dodávateľským reťazcom a dodávateľmi, by skupina pre spoluprácu, do ktorej sú zapojené príslušné vnútroštátne orgány, mala v spolupráci s Komisiou a agentúrou ENISA vykonať koordinované odvetvové posúdenia rizík dodávateľského reťazca, ktoré sa už vykonali v prípade sietí 5G v nadväznosti na odporúčanie (EÚ) 2019/534 o kybernetickej bezpečnosti sietí 5G s cieľom identifikovať za každé odvetvie kritické služby, systémy alebo produkty IKT, relevantné hrozby a zraniteľnosti.

(46)Pri posudzovaní rizík v dodávateľskom reťazci by sa vzhľadom na vlastnosti dotknutého odvetvia mali zohľadniť technické a v relevantných prípadoch aj netechnické faktory vrátane tých, ktoré sú vymedzené v odporúčaní (EÚ) 2019/534, v celoeurópskom koordinovanom posúdení rizika bezpečnosti sietí 5G a v súbore nástrojov EÚ pre kybernetickú bezpečnosť 5G, na ktorom sa dohodla skupina pre spoluprácu. Pri určovaní dodávateľských reťazcov, ktoré by mali podliehať koordinovanému posúdeniu rizika, by sa mali zohľadniť tieto kritériá: i) rozsah, v akom kľúčové a dôležité subjekty využívajú konkrétne kritické služby, systémy alebo produkty IKT a spoliehajú sa na ne; ii) relevantnosť konkrétnych kritických služieb, systémov alebo produktov IKT pre vykonávanie kritických alebo citlivých funkcií vrátane spracúvania osobných údajov; iii) dostupnosť alternatívnych služieb, systémov alebo produktov IKT; iv) odolnosť celkového dodávateľského reťazca služieb, systémov alebo produktov IKT voči rušivým udalostiam a v) v prípade vznikajúcich služieb, systémov alebo produktov IKT ich potenciálny budúci význam pre činnosti subjektov. (47)S cieľom zefektívniť právne povinnosti uložené poskytovateľom verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb a poskytovateľom dôveryhodných služieb v súvislosti s bezpečnosťou ich sietí a informačných systémov, ako aj umožniť týmto subjektom a ich príslušným orgánom využívať právny rámec stanovený touto smernicou (vrátane určenia jednotiek CSIRT zodpovedných za riešenie rizík a incidentov, účasť príslušných orgánov a subjektov na práci skupiny pre spoluprácu a siete jednotiek CSIRT), mali by sa tieto povinnosti zahrnúť do rozsahu pôsobnosti tejto smernice. Zodpovedajúce ustanovenia v nariadení Európskeho parlamentu a Rady (EÚ) č. 910/2014 a v smernici Európskeho parlamentu a Rady (EÚ) 2018/1972 týkajúce sa stanovenia požiadavky na bezpečnosť a oznamovanie pre tieto typy subjektov by sa preto mali zrušiť. Pravidlami týkajúcimi sa oznamovacích povinností by nemali byť dotknuté nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 a smernica Európskeho parlamentu a Rady 2002/58/ES. (48)V prípade potreby a s cieľom zabrániť zbytočnému narušeniu by príslušné orgány zodpovedné za dohľad a presadzovanie práva mali naďalej používať existujúce vnútroštátne usmernenia a vnútroštátne právne predpisy prijaté na účely transpozície pravidiel týkajúcich sa bezpečnostných opatrení stanovených v článku 40 ods. 1 smernice (EÚ) 2018/1972, ako aj požiadaviek v článku 40 ods. 2 uvedenej smernice týkajúcich sa parametrov súvisiacich s významom incidentu. (49)Vzhľadom na rastúci význam interpersonálnych komunikačných služieb nezávislých od číslovania je potrebné zabezpečiť, aby takéto služby tiež podliehali príslušným bezpečnostným požiadavkám vzhľadom na ich špecifický charakter a hospodársky význam. Poskytovatelia takýchto služieb by preto mali takisto zabezpečiť takú úroveň bezpečnosti sietí a informačných systémov, ktorá zodpovedá miere daného rizika. Vzhľadom na to, že poskytovatelia interpersonálnych komunikačných služieb nezávislých od číslovania obyčajne nevykonávajú samotnú kontrolu nad prenosom signálov v sieťach, stupeň rizika sa v prípade takýchto služieb môže v niektorých aspektoch považovať za nižší ako v prípade tradičných elektronických komunikačných služieb. To isté platí pre interpersonálne komunikačné služby, ktoré využívajú čísla a ktoré nevykonávajú skutočnú kontrolu nad prenosom signálu. (50)Vnútorný trh je viac než kedykoľvek predtým závislý od fungovania internetu. Služby prakticky všetkých kľúčových a dôležitých subjektov sú závislé od služieb poskytovaných cez internet. V záujme zabezpečenia bezproblémového poskytovania služieb kľúčovými a dôležitými subjektmi je dôležité, aby verejné elektronické komunikačné siete, ako sú napríklad internetové chrbticové siete alebo podmorské komunikačné káble, mali zavedené vhodné kybernetickobezpečnostné opatrenia a aby oznamovali incidenty, ktoré sa ich týkajú. (51)V prípade potreby by subjekty mali informovať príjemcov svojich služieb o konkrétnych a významných hrozbách a o opatreniach, ktoré môžu prijať na zmiernenie vyplývajúceho rizika. Požiadavka informovať týchto príjemcov o takýchto hrozbách by nemala subjekty zbaviť povinnosti na vlastné náklady prijať vhodné a okamžité opatrenia na prevenciu alebo odstránenie akýchkoľvek kybernetických hrozieb a obnovenie bežnej úrovne bezpečnosti služby. Takéto informácie o bezpečnostných hrozbách by sa mali príjemcom poskytovať bezplatne. (52)Poskytovatelia verejných elektronických komunikačných sietí alebo verejne dostupných elektronických komunikačných služieb by mali predovšetkým informovať príjemcov služieb o konkrétnych a významných kybernetických hrozbách a o opatreniach, ktoré môžu prijať na ochranu bezpečnosti svojej komunikácie, napríklad použitím určitých typov softvéru alebo šifrovacích technológií. (53)S cieľom zaistiť bezpečnosť elektronických komunikačných sietí a služieb by sa malo podporovať používanie šifrovania, a najmä šifrovania medzi koncovými bodmi, a v prípade potreby by malo byť povinné pre poskytovateľov takýchto služieb a sietí v súlade so zásadami štandardnej a špecificky navrhnutej bezpečnosti a ochrany súkromia na účely článku 18. Používanie šifrovania medzi koncovými bodmi by sa malo zosúladiť s právomocami členských štátov na zabezpečenie ochrany ich základných bezpečnostných záujmov a verejnej bezpečnosti a na umožnenie vyšetrovania, odhaľovania a stíhania trestných činov v súlade s právom Únie. Riešenia na účely zákonného prístupu k informáciám v koncovej šifrovanej komunikácii by mali zachovať účinnosť šifrovania pri ochrane súkromia a bezpečnosti komunikácií a zároveň poskytovať účinnú reakciu na trestnú činnosť. (54)V tejto smernici sa stanovuje dvojfázový prístup k oznamovaniu incidentov s cieľom nájsť správnu rovnováhu medzi rýchlym oznamovaním na jednej strane, ktoré pomáha zmierniť potenciálne šírenie incidentov a umožňuje subjektom hľadať podporu, a na druhej strane podávaním podrobných správ, v ktorých sa čerpajú cenné ponaučenia z jednotlivých incidentov a časom sa zlepšuje odolnosť jednotlivých podnikov a celých odvetví voči kybernetickým hrozbám. Ak sa subjekty dozvedia o incidente, malo by sa od nich vyžadovať, aby do 24 hodín predložili prvotné oznámenie, po ktorom bude najneskôr do jedného mesiaca nasledovať konečná správa. Prvotné oznámenie by malo obsahovať len informácie, ktoré sú nevyhnutne potrebné na to, aby sa príslušné orgány dozvedeli o incidente a v prípade potreby umožnili subjektu požiadať o pomoc. V takomto oznámení by sa prípadne malo uviesť, či je incident pravdepodobne spôsobený protiprávnym alebo zlomyseľným konaním. Členské štáty by mali zabezpečiť, aby požiadavka na predloženie tohto prvotného oznámenia neodklonila zdroje oznamujúceho subjektu od činností súvisiacich s riešením incidentov, ktoré by sa mali uprednostniť. S cieľom zabrániť tomu, aby sa z dôvodu povinností oznamovania incidentov odkláňali zdroje od riešenia reakcie na incidenty alebo aby sa inak ohrozilo úsilie subjektov v tejto súvislosti, by členské štáty mali takisto stanoviť, že v riadne odôvodnených prípadoch a po dohode s príslušnými orgánmi alebo jednotkami CSIRT sa dotknutý subjekt môže odchýliť od lehoty 24 hodín pre prvotné oznámenie a od lehoty jedného mesiaca pre záverečnú správu. (55)Kľúčové a dôležité subjekty sa často nachádzajú v situácii, keď sa konkrétny incident z dôvodu jeho charakteristík musí oznámiť rôznym orgánom v dôsledku oznamovacej povinnosti zahrnutej v rôznych právnych nástrojoch. Takéto prípady vytvárajú dodatočnú záťaž a môžu viesť aj k nejasnostiam, pokiaľ ide o formát a postupy takéhoto oznamovania. Vzhľadom na to a na účely zjednodušenia oznamovania bezpečnostných incidentov by členské štáty mali zriadiť jednotné kontaktné miesto pre všetky oznámenia požadované podľa tejto smernice, ako aj podľa iných právnych predpisov Únie, ako napríklad nariadenie (EÚ) 2016/679 a smernica 2002/58/ES. Agentúra ENISA by spolu so skupinou pre spoluprácu mala vypracovať spoločné vzorové formuláre oznámení prostredníctvom usmernení, ktoré by zjednodušili a zefektívnili oznamovanie informácií požadovaných v právnych predpisoch Únie a znížili záťaž pre podniky. (56)Ak existuje podozrenie, že incident súvisí so závažnou trestnou činnosťou podľa práva Únie alebo vnútroštátneho práva, členské štáty by mali nabádať kľúčové a dôležité subjekty na základe platných pravidiel trestného konania v súlade s právom Únie, aby príslušným orgánom presadzovania práva oznamovali incidenty, pri ktorých existuje podozrenie o ich súvise so závažnou trestnou činnosťou. V prípade potreby a bez toho, aby boli dotknuté pravidlá ochrany osobných údajov, ktoré sa vzťahujú na Europol, je žiaduce, aby centrum EC3 a agentúra ENISA uľahčili koordináciu medzi príslušnými orgánmi a orgánmi presadzovania práva jednotlivých členských štátov. (57)V dôsledku incidentov je v mnohých prípadoch ohrozená ochrana osobných údajov. V tejto súvislosti by príslušné orgány mali spolupracovať a vymieňať si informácie o všetkých relevantných záležitostiach s orgánmi pre ochranu osobných údajov a dozornými orgánmi podľa smernice 2002/58/ES. (58)Udržiavanie presných a úplných databáz doménových mien a registračných údajov (tzv. údajov WHOIS) a poskytovanie zákonného prístupu k takýmto údajom je nevyhnutné na zaistenie bezpečnosti, stability a odolnosti DNS, čo zase prispieva k vysokej spoločnej úrovni kybernetickej bezpečnosti v Únii. Ak spracúvanie zahŕňa osobné údaje, takéto spracúvanie musí byť v súlade s právnymi predpismi Únie o ochrane údajov. (59)Dostupnosť a včasná prístupnosť týchto údajov pre orgány verejnej moci vrátane príslušných orgánov podľa práva Únie alebo vnútroštátneho práva na predchádzanie trestným činom, ich vyšetrovanie alebo stíhanie, pre jednotky CERT, jednotky CSIRT, a pokiaľ ide o údaje ich klientov pre poskytovateľov elektronických komunikačných sietí a služieb a poskytovateľov kybernetickobezpečnostných technológií a služieb konajúcich v mene týchto klientov, je nevyhnutná na predchádzanie zneužívaniu systému doménových mien a boj proti tomuto zneužívaniu, najmä na predchádzanie kybernetickobezpečnostným incidentom, ich odhaľovanie a reakciu na ne. Takýto prístup by mal byť v súlade s právnymi predpismi Únie o ochrane údajov, pokiaľ ide o osobné údaje. (60)S cieľom zabezpečiť dostupnosť presných a úplných údajov o registrácii doménových mien by mali správcovia TLD a subjekty poskytujúce služby registrácie doménových mien pre TLD (tzv. registrátori) zhromažďovať registračné údaje o menách domén a zaručovať ich integritu a dostupnosť. Správcovia TLD a subjekty poskytujúce služby registrácie doménových mien pre TLD by mali najmä stanoviť politiky a postupy na zhromažďovanie a uchovávanie presných a úplných registračných údajov, ako aj na predchádzanie nepresným registračným údajom a ich opravu v súlade s pravidlami Únie v oblasti ochrany údajov. (61)Správcovia TLD a subjekty, ktoré pre nich poskytujú služby registrácie doménových mien, by mali zverejňovať registračné údaje o doménových menách, ktoré nepatria do rozsahu pôsobnosti pravidiel Únie v oblasti ochrany údajov, ako sú údaje, ktoré sa týkajú právnických osôb. Správcovia TLD a subjekty poskytujúce služby registrácie doménových mien pre TLD by tiež mali oprávneným záujemcom o prístup umožniť zákonný prístup k špecifickým registračným údajom o doménových menách týkajúcim sa fyzických osôb v súlade s právnymi predpismi Únie o ochrane údajov. Členské štáty by mali zabezpečiť, aby správcovia TLD a subjekty, ktoré pre nich poskytujú služby registrácie doménových mien, bezodkladne reagovali na žiadosti oprávnených záujemcov o prístup týkajúcich sa zverejnenia registračných údajov o doménových menách. Správcovia TLD a subjekty, ktoré pre nich poskytujú služby registrácie doménových mien, by mali stanoviť politiky a postupy uverejňovania a sprístupňovania registračných údajov vrátane dohôd o úrovni poskytovaných služieb na vybavovanie žiadostí o prístup od oprávnených záujemcov o prístup. Postup týkajúci sa udelenia prístupu môže zahŕňať aj použitie rozhrania, portálu alebo iného technického nástroja na zabezpečenie účinného systému na podávanie žiadostí o registračné údaje a prístup k nim. S cieľom podporovať harmonizované postupy na celom vnútornom trhu môže Komisia prijať usmernenia o takýchto postupoch bez toho, aby boli dotknuté právomoci Európskeho výboru pre ochranu údajov. (62)Všetky kľúčové a dôležité subjekty podľa tejto smernice by mali patriť do jurisdikcie členského štátu, v ktorom poskytujú svoje služby. Ak subjekt poskytuje služby vo viac ako jednom členskom štáte, mal by patriť do samostatnej a súbežnej jurisdikcie každého z týchto členských štátov. Príslušné orgány týchto členských štátov by mali spolupracovať, vzájomne si pomáhať a v prípade potreby vykonávať spoločné opatrenia dohľadu. (63)S cieľom zohľadniť cezhraničný charakter služieb a operácií poskytovateľov služieb DNS, správcov mien TLD, poskytovateľov sietí na sprístupňovanie obsahu, poskytovateľov služieb cloud computingu, poskytovateľov služieb dátového centra a poskytovateľov digitálnych služieb by mal mať právomoc nad týmito subjektmi len jeden členský štát. Právomoc by sa mala udeliť členskému štátu, v ktorom má príslušný subjekt hlavné miesto podnikateľskej činnosti v Únii. Kritérium miesta podnikateľskej činnosti na účely tejto smernice zahŕňa účinné vykonávanie činnosti prostredníctvom stabilných dojednaní. Právna forma takýchto dojednaní, či už ide o pobočku alebo dcérsku spoločnosť s právnou subjektivitou, nie je v tomto ohľade určujúcim faktorom. Spĺňanie tohto kritéria by nemalo závisieť od toho, či sa sieť a informačné systémy fyzicky nachádzajú na danom mieste; samotná prítomnosť a používanie takýchto systémov nepredstavuje hlavné miesto podnikateľskej činnosti, a preto nejde o rozhodujúce kritériá na určenie hlavného miesta podnikateľskej činnosti. Hlavným miestom podnikateľskej činnosti by malo byť miesto v Únii, kde sa prijímajú rozhodnutia týkajúce sa opatrení na riadenie kybernetickobezpečnostných rizík. Zvyčajne zodpovedá miestu ústredia spoločností v Únii. Ak sa takéto rozhodnutia neprijímajú v Únii, predpokladá sa, že hlavné miesto podnikateľskej činnosti by malo byť v členských štátoch, v ktorých majú subjekty miesto podnikateľskej činnosti s najvyšším počtom zamestnancov v Únii. Ak služby vykonáva skupina podnikov, hlavné miesto podnikateľskej činnosti riadiaceho podniku by sa malo považovať za hlavné miesto podnikateľskej činnosti skupiny podnikov. (64)V prípadoch, keď poskytovateľ služieb DNS, správca mien TLD, poskytovateľ siete na sprístupňovanie obsahu, poskytovateľ služieb cloud computingu, poskytovateľ služieb dátového centra a poskytovateľ digitálnych služieb, ktorí nie sú usadení v Únii, ponúkajú služby v rámci Únie, mal by sa určiť zástupca. Aby bolo možné určiť, či takýto subjekt ponúka služby v Únii, malo by sa zistiť, či je zrejmé, že daný subjekt plánuje ponúkať služby osobám v jednom alebo vo viacerých členských štátoch. Samotná dostupnosť webového sídla subjektu alebo jeho sprostredkovateľa v Únii alebo e-mailovej adresy a iných kontaktných údajov alebo použitie jazyka, ktorý sa všeobecne používa v tretej krajine, v ktorej je subjekt usadený, nepostačuje na potvrdenie takého úmyslu. Na základe faktorov, ako je používanie jazyka alebo meny bežne používaných v jednom alebo vo viacerých členských štátoch s možnosťou objednania služieb v tomto inom jazyku alebo zmienka o zákazníkoch alebo používateľoch, ktorí sa nachádzajú v Únii, môže byť však zjavné, že subjekt plánuje ponúkať služby v Únii. Zástupca by mal konať v mene subjektu a príslušné orgány alebo jednotky CSIRT by mali mať možnosť zástupcu kontaktovať. Subjekt by mal prostredníctvom písomného mandátu výslovne určiť zástupcu oprávneného konať v mene subjektu v súvislosti s jeho povinnosťami podľa tejto smernice vrátane oznamovania incidentov. (65)Ak sa informácie, ktoré sa považujú za utajované podľa vnútroštátneho práva alebo práva Únie, vymieňajú, oznamujú alebo inak zdieľajú podľa ustanovení tejto smernice, mali by sa uplatňovať zodpovedajúce osobitné pravidlá zaobchádzania s utajovanými skutočnosťami.

(66)Keďže kybernetické hrozby sú čoraz zložitejšie a sofistikovanejšie, dobré opatrenia na odhaľovanie a prevenciu do značnej miery závisia od pravidelného zdieľania spravodajských informácií medzi subjektmi o hrozbách a zraniteľnosti. Zdieľanie informácií prispieva k zvýšenej informovanosti o kybernetických hrozbách, čo zase zvyšuje schopnosť subjektov predchádzať tomu, aby sa hrozby stali skutočnými incidentmi, a subjektom umožňuje lepšie obmedziť vplyvy incidentov a účinnejšie sa z nich zotavovať. Keďže na úrovni Únie neexistujú príslušné usmernenia, zdá sa, že takémuto zdieľaniu spravodajských informácií bránia viaceré faktory, najmä neistota týkajúca sa zlučiteľnosti s pravidlami hospodárskej súťaže a pravidlami týkajúcimi sa zodpovednosti. (67)Subjekty by sa mali nabádať, aby kolektívne využívali svoje individuálne znalosti a praktické skúsenosti na strategickej, taktickej a operačnej úrovni s cieľom zlepšiť svoje schopnosti primerane posudzovať kybernetické hrozby, monitorovať ich, brániť sa proti nim a reagovať na ne. Preto treba umožniť, aby sa na úrovni Únie vytvorili mechanizmy dohôd o dobrovoľnom zdieľaní informácií. Na tento účel by členské štáty mali aktívne podporovať a podnecovať aj príslušné subjekty, na ktoré sa nevzťahuje rozsah pôsobnosti tejto smernice, aby sa na takýchto mechanizmoch zdieľania informácií zúčastňovali. Tieto mechanizmy by sa mali vykonávať v plnom súlade s pravidlami Únie týkajúcimi sa hospodárskej súťaže, ako aj právnymi predpismi Únie v oblasti ochrany údajov. (68)Spracúvanie osobných údajov v rozsahu, ktorý je nevyhnutne potrebný a primeraný na účely zaistenia bezpečnosti sietí a informácií subjektmi, orgánmi verejnej moci, jednotkami CERT, jednotkami CSIRT a poskytovateľmi bezpečnostných technológií a služieb, by malo predstavovať oprávnený záujem dotknutého prevádzkovateľa, ako sa uvádza v nariadení (EÚ) 2016/679. To by malo zahŕňať opatrenia týkajúce sa prevencie, odhaľovania a analýzy incidentov a reakcie na ne, opatrenia na zvýšenie informovanosti o konkrétnych kybernetických hrozbách, výmenu informácií v kontexte nápravy zraniteľnosti a koordinovaného zverejňovania, ako aj dobrovoľnú výmenu informácií o týchto incidentoch, ako aj o kybernetických hrozbách a zraniteľnostiach, ukazovatele kompromitácie, taktiky, techniky a postupy, kybernetickobezpečnostné varovania a konfiguračné nástroje. Takéto opatrenia si môžu vyžadovať spracovanie týchto druhov osobných údajov: IP adresy, jednotné vyhľadávače prostriedkov (URL), doménové mená a e-mailové adresy. (69)S cieľom posilniť právomoci a opatrenia v oblasti dohľadu, ktoré pomáhajú zabezpečiť účinné dodržiavanie predpisov, by sa v tejto smernici mal stanoviť minimálny zoznam opatrení a prostriedkov dohľadu, prostredníctvom ktorých môžu príslušné orgány vykonávať dohľad nad kľúčovými a dôležitými subjektmi. Okrem toho by sa touto smernicou malo zaviesť rozlišovanie režimu dohľadu medzi kľúčovými a dôležitými subjektmi s cieľom zabezpečiť spravodlivú rovnováhu povinností pre subjekty aj príslušné orgány. Kľúčové subjekty by preto mali podliehať plnohodnotnému režimu dohľadu (ex ante a ex post), zatiaľ čo na dôležité subjekty by sa mal vzťahovať zjednodušený režim dohľadu, a to len ex post. V druhom prípade to znamená, že dôležité subjekty by nemali systematicky dokumentovať súlad s požiadavkami na riadenie kybernetickobezpečnostných rizík, zatiaľ čo príslušné orgány by mali k dohľadu uplatňovať reaktívny prístup ex post, a preto by nemali mať všeobecnú povinnosť vykonávať nad týmito subjektmi dohľad. (70)Aby bolo presadzovanie povinností účinné, mal by sa stanoviť minimálny zoznam správnych sankcií za porušenie povinností v oblasti riadenia kybernetickobezpečnostných rizík a oznamovania stanovených v tejto smernici, ktorým sa stanoví jasný a konzistentný rámec pre takéto sankcie v celej Únii. Náležitá pozornosť by sa mala venovať povahe, závažnosti a trvaniu porušenia, skutočnej spôsobenej škode alebo vzniknutým stratám alebo potenciálnym škodám či stratám, ktoré mohli vzniknúť, úmyselnému alebo nedbanlivostnému charakteru porušenia, opatreniam prijatým na zabránenie alebo zmiernenie vzniknutej škody a/alebo strát, miere zodpovednosti alebo akémukoľvek relevantnému predchádzajúcemu porušeniu, miere spolupráce s príslušným orgánom a akýmkoľvek ďalším priťažujúcim alebo poľahčujúcim faktorom. Ukladanie sankcií vrátane správnych pokút by malo podliehať primeraným procesným zárukám v súlade so všeobecnými zásadami práva Únie a Charty základných práv Európskej únie vrátane účinnej súdnej ochrany a riadneho procesu. (71)S cieľom zabezpečiť účinné presadzovanie povinností stanovených v tejto smernici by mal mať každý príslušný orgán právomoc uložiť správne pokuty alebo požiadať o ich uloženie. (72)Keď sa správne pokuty ukladajú podniku, podnik by sa mal na tieto účely považovať za podnik v súlade s článkami 101 a 102 ZFEÚ. Ak sa správne pokuty ukladajú osobám, ktoré nie sú podnikom, dozorný orgán by mal pri rozhodovaní o primeranej výške pokuty zohľadniť všeobecnú úroveň príjmov v členskom štáte, ako aj majetkové pomery danej osoby. Členské štáty by mali rozhodnúť, či orgány verejnej moci budú podliehať správnym pokutám a do akej miery. Uloženie správnej pokuty nemá vplyv na uplatňovanie iných právomocí príslušnými orgánmi alebo iných sankcií stanovených vo vnútroštátnych predpisoch, ktorými sa transponuje táto smernica. (73)Členské štáty by mali mať možnosť stanoviť pravidlá o trestných sankciách za porušenie vnútroštátnych pravidiel, ktorými sa transponuje táto smernica. Uloženie trestných sankcií za porušenia takýchto vnútroštátnych predpisov a uloženie súvisiacich správnych sankcií by však nemalo viesť k porušeniu zásady ne bis in idem, ako ju vykladá Súdny dvor. (74)Členské štáty by mali zaviesť systém, ktorým sa zabezpečia účinné, primerané a odrádzajúce sankcie v prípadoch, keď sa touto smernicou neharmonizujú správne sankcie alebo, ak je to potrebné, aj v iných prípadoch, napríklad v prípade závažného porušenia povinností stanovených v tejto smernici. Povaha týchto sankcií, trestná alebo správna, by sa mala určiť v právnom predpise členského štátu. (75)S cieľom ďalej posilniť účinnosť a odrádzajúci účinok sankcií za porušenie povinností stanovených podľa tejto smernice by príslušné orgány mali byť oprávnené uplatňovať sankcie pozostávajúce z pozastavenia certifikácie alebo povolenia časti alebo všetkých služieb, ktoré poskytuje kľúčový subjekt, a uloženia dočasného zákazu fyzickej osobe vykonávať riadiace funkcie. Takéto sankcie by sa vzhľadom na svoju závažnosť a vplyv na činnosti subjektov a v konečnom dôsledku na ich spotrebiteľov mali uplatňovať len úmerne k závažnosti porušenia a s prihliadnutím na osobitné okolnosti každého prípadu vrátane úmyselného alebo nedbanlivostného charakteru porušenia, opatrení prijatých na zabránenie alebo zmiernenie vzniknutej škody a/alebo strát. Takéto sankcie by sa mali uplatňovať len ako ultima ratio, čo znamená až po vyčerpaní ostatných príslušných opatrení na presadzovanie povinností stanovených v tejto smernici, a len na obdobie, kým subjekty, na ktoré sa vzťahujú, neprijmú potrebné opatrenia na nápravu nedostatkov alebo na splnenie požiadaviek príslušného orgánu, v prípade ktorých sa takéto sankcie uplatnili. Ukladanie takýchto sankcií by malo podliehať primeraným procesným zárukám v súlade so všeobecnými zásadami práva Únie a Charty základných práv Európskej únie vrátane účinnej súdnej ochrany, riadneho procesu, prezumpcie neviny a práva na obhajobu. (76)Touto smernicou by sa mali stanoviť pravidlá spolupráce medzi príslušnými orgánmi a dozornými orgánmi v súlade s nariadením (EÚ) 2016/679 s cieľom riešiť porušenia týkajúce sa osobných údajov. (77)Cieľom tejto smernice by malo byť zabezpečenie vysokej úrovne zodpovednosti za opatrenia v oblasti riadenia kybernetickobezpečnostných rizík a oznamovacích povinností na úrovni organizácií. Z týchto dôvodov by riadiace orgány subjektov, ktoré patria do rozsahu pôsobnosti tejto smernice, mali schvaľovať opatrenia v oblasti kybernetickobezpečnostných rizík a dohliadať na ich vykonávanie. (78)Mal by sa zaviesť mechanizmus partnerského preskúmania, ktorý odborníkom určeným členskými štátmi umožní posúdiť vykonávanie politík v oblasti kybernetickej bezpečnosti vrátane úrovne schopností a dostupných zdrojov členských štátov. (79)S cieľom zohľadniť nové kybernetické hrozby, technologický vývoj alebo odvetvové špecifiká by sa mala na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 ZFEÚ, pokiaľ ide o prvky týkajúce sa opatrení na riadenie rizík, ktoré sa vyžadujú v tejto smernici. Komisia by mala byť splnomocnená prijímať aj delegované akty, v ktorých stanoví, od ktorých kategórií kľúčových subjektov sa vyžaduje získanie certifikátu a v rámci ktorých konkrétnych európskych systémov certifikácie kybernetickej bezpečnosti. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva. Predovšetkým, v záujme rovnakého zastúpenia pri príprave delegovaných aktov, sa všetky dokumenty doručujú Európskemu parlamentu a Rade v rovnakom čase ako expertom z členských štátov, a experti Európskeho parlamentu a Rady majú systematický prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov. (80)S cieľom zabezpečiť jednotné podmienky vykonávania príslušných ustanovení tejto smernice týkajúcich sa procedurálnych opatrení potrebných na fungovanie skupiny pre spoluprácu, technických prvkov týkajúcich sa opatrení na riadenie rizík alebo druhu informácií, formátu a postupu oznamovania incidentov by sa mali na Komisiu preniesť vykonávacie právomoci. Uvedené právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011. (81)Komisia by mala túto smernicu pravidelne preskúmavať a radiť sa pritom so zainteresovanými subjektmi najmä s cieľom určiť, či ju treba zmeniť na základe zmien spoločenských, politických, technologických alebo trhových podmienok. (82)Keďže cieľ tejto smernice, a to dosiahnutie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, nie je možné uspokojivo dosiahnuť na úrovni samotných členských štátov, ale z dôvodu účinku tohto opatrenia ho možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku táto smernica neprekračuje rámec nevyhnutný na dosiahnutie tohto cieľa. (83)V tejto smernici sa dodržiavajú základné práva a zásady uznané Chartou základných práv Európskej únie, najmä právo na rešpektovanie súkromného života a komunikácie, ochrana osobných údajov, sloboda podnikania, právo vlastniť majetok, právo na účinný prostriedok nápravy pred súdom a právo na vypočutie. Táto smernica by sa mala vykonávať v súlade s uvedenými právami a zásadami, PRIJALI TÚTO SMERNICU:

KAPITOLA I Všeobecné ustanovenia Článok 1 Predmet úpravy 1.Touto smernicou sa stanovujú opatrenia na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v rámci Únie. 2.Na tento účel sa v tejto smernici: a)stanovujú povinnosti členských štátov prijať národné stratégie kybernetickej bezpečnosti, určiť príslušné vnútroštátne orgány, jednotné kontaktné miesta a jednotky pre riešenie počítačových bezpečnostných incidentov (CSIRT); b)stanovujú pre subjekty, ktoré sa podľa svojho typu označujú v prílohe I ako kľúčové subjekty a v prílohe II ako dôležité subjekty, povinnosti riadenia kybernetickobezpečnostných rizík a oznamovania; c)stanovujú povinnosti týkajúce sa zdieľania informácií o kybernetickej bezpečnosti. Článok 2 Rozsah pôsobnosti 1.Táto smernica sa uplatňuje na verejné a súkromné subjekty, a to typu, ktorý sa v prílohe I označuje ako kľúčové subjekty a v prílohe II ako dôležité subjekty. Táto smernica sa neuplatňuje na subjekty, ktoré v zmysle odporúčania Komisie 2003/361/ES spĺňajú kritériá mikropodniku alebo malého podniku. 2.Táto smernica sa však bez ohľadu na ich veľkosť uplatňuje aj na subjekty uvedené v prílohe I a II, keď: a)služby poskytuje jeden z týchto subjektov: i)verejné elektronické komunikačné siete alebo verejne dostupné elektronické komunikačné služby uvedené v bode 8 prílohy I; ii)poskytovatelia dôveryhodných služieb uvedení v bode 8 prílohy I; iii)správcovia mien domény najvyššej úrovne a poskytovatelia služby systému doménových mien (DNS) uvedení v bode 8 prílohy I; b)subjekt je subjektom verejnej správy podľa vymedzenia v článku 4 bode 23; c)subjekt je jediným poskytovateľom služby v členskom štáte;

d)potenciálne narušenie služby poskytovanej subjektom by mohlo mať vplyv na ochranu verejnosti, verejnú bezpečnosť alebo verejné zdravie; e)potenciálne narušenie služby poskytovanej subjektom by mohlo vyvolať systémové riziká, najmä v odvetviach, v ktorých by takéto narušenie mohlo mať cezhraničný vplyv; f)subjekt je vzhľadom na svoj osobitný význam na regionálnej alebo celoštátnej úrovni kritický pre konkrétne odvetvie alebo typ služby alebo pre iné previazané odvetvia v členskom štáte; g)subjekt je identifikovaný ako kritický subjekt podľa smernice Európskeho parlamentu a Rady (EÚ) XXXX/XXXX [smernica o odolnosti kritických subjektov] alebo ako subjekt rovnocenný s kritickým subjektom podľa článku 7 uvedenej smernice. Členské štáty vypracujú zoznam subjektov identifikovaných podľa písmen b) až f) a predložia ho Komisii do [6 mesiacov po uplynutí lehoty na transpozíciu]. Členské štáty zoznam pravidelne preskúmavajú, a to následne aspoň každé dva roky a v prípade potreby ho aktualizujú. 3.Touto smerni