Výsledkom by bolo, že by už teraz došlo k prekročeniu súčasných rámcov, a to tak z hľadiska hĺbky činnosti, ako aj z hľadiska rozsahu zahrnutých odvetví. V novej smernici CER sa zavádza nový rámec spolupráce, ako aj povinnosti členských štátov a kritických subjektov zamerané na posilnenie fyzickej nekybernetickej odolnosti – voči prírodným hrozbám a hrozbám spôsobeným ľudskou činnosťou – tých subjektov, ktoré poskytujú základné služby na vnútornom trhu, pričom sa uvádza jedenásť sektorov. Smernicou NIS2 sa zavedie široké odvetvové pokrytie povinností v oblasti kybernetickej bezpečnosti. To bude zahŕňať novú požiadavku, aby členské štáty v prípade potreby zahrnuli podmorské káble do svojich stratégií kybernetickej bezpečnosti.

Vzhľadom na túto skutočnosť a vzhľadom na možnú naliehavosť riešenia hrozieb, ktoré vyplývajú z ruskej útočnej vojny proti Ukrajine, by sa kroky uvedené v nových právnych predpisoch mali, ak je to možné a vhodné, uskutočňovať už od dnešného dňa. Zintenzívnenie vzájomnej spolupráce realizované už teraz by tiež pomohlo vytvoriť impulz pre účinné vykonávanie predpisov až budú plne účinné.

3.VÝSLEDKY HODNOTENÍ EX POST, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU

V záujme dosiahnutia uvedených cieľov sa v ZFEÚ, a to najmä v jeho článku 292, stanovuje, že Rada prijíma odporúčania na základe návrhu Komisie. Odporúčanie Rady je v tomto prípade vhodným nástrojom, a to aj so zreteľom na súčasný legislatívny kontext, ako je vysvetlené vyššie. Ako právny akt, hoci nezáväzný, signalizuje odporúčanie Rady záväzok členských štátov prijať zahrnuté opatrenia a poskytuje silný politický základ pre spoluprácu v týchto oblastiach pri plnom rešpektovaní právomocí členských štátov.

Návrh je tiež v súlade s inými príslušnými odvetvovými právnymi predpismi. Vykonávanie tohto odporúčania by preto malo byť v súlade s osobitnými opatreniami, ktoré regulujú alebo v budúcnosti môžu regulovať určité aspekty odolnosti subjektov pôsobiacich v dotknutých odvetviach, ako je doprava. Zahŕňa to aj ďalšie relevantné iniciatívy, ako je pohotovostný plán pre dopravu alebo plán pre nepredvídané udalosti na zabezpečenie dodávok potravín a potravinovej bezpečnosti v čase krízy a súvisiaci Európsky mechanizmus pripravenosti a reakcie na krízu potravinovej bezpečnosti. Z všeobecnejšieho pohľadu by sa odporúčanie malo vykonávať v plnom súlade so všetkými uplatniteľnými pravidlami práva EÚ vrátane tých, ktoré sú stanovené v smernici ECI a smernici NIS.

Návrh je takisto v súlade so smernicou NIS a chystanou smernicou NIS2, ktorou sa zruší smernica NIS, a to tým, že sa v ňom vyzýva k skorému začatiu práce na vykonávaní a transpozícii. Zohľadňuje sa v ňom aj spoločná výzva z Nevers z marca 2022, ako aj závery Rady o prístupe EÚ ku kybernetickej bezpečnosti z mája 2022, pokiaľ ide o žiadosť členských štátov adresovanú Komisii, aby vypracovala posúdenia rizík a rizikové scenáre.

Pri vypracúvaní tohto návrhu sa zohľadnili názory expertov členských štátov, ktoré vyjadrili na zasadnutí 12. októbra 2022. Dosiahol sa široký konsenzus o užitočnosti väčšej koordinácie na úrovni Únie, pokiaľ ide o pripravenosť a reakciu v súčasnom kontexte hrozieb a o anticipácii určitých prvkov smernice CER pred jej formálnym prijatím. Členské štáty vyjadrili ochotu vymieňať si skúsenosti a najlepšie postupy týkajúce sa opatrení a metodík na zvýšenie odolnosti subjektov prevádzkujúcich kritickú infraštruktúru. Členské štáty tiež vyjadrili otvorenosť voči koordinovanému prístupu k záťažovým testom subjektov prevádzkujúcich kritickú infraštruktúru na dobrovoľnom základe a na základe spoločných zásad. Členské štáty uviedli, že subjekty prevádzkujúce kritickú infraštruktúru v odvetviach energetiky, digitálnej infraštruktúry a dopravy by sa mali na účely tohto odporúčania považovať za prioritu, a to najmä tie, ktoré sú relevantné pre viaceré členské štáty. Členské štáty tiež uvítali zámer Komisie zvolať v nadchádzajúcich týždňoch ďalšie zasadnutia expertov z členských štátov.

(4)Vzhľadom na rýchlo sa vyvíjajúcu panorámu hrozieb, najmä v súvislosti so zjavnou sabotážou plynárenskej infraštruktúry Nord Stream 1 a 2, čelia subjekty prevádzkujúce kritickú infraštruktúru osobitným výzvam, pokiaľ ide o ich odolnosť voči nepriateľským činom a iným hrozbám spôsobeným ľudskou činnosťou, a zároveň dochádza k nárastu výziev vyplývajúcich z prírodných faktorov a zo zmeny klímy, ktoré môžu spolupôsobiť s nepriateľskými činmi. Preto musia uvedené subjekty prijať s podporou členských štátov vhodné opatrenia na zvýšenie odolnosti. Tieto opatrenia by sa mali prijať a táto podpora by sa mala poskytovať nad rámec opatrení podľa smernice 2008/114/ES a smernice (EÚ) 2016/1148, a to ešte pred prijatím, nadobudnutím účinnosti a transpozíciou nových smerníc CER a NIS2.

(5)Únia a členské štáty sa vyzývajú, aby do prijatia, nadobudnutia účinnosti a transpozície uvedených nových smerníc v súlade s právom Únie využili všetky dostupné nástroje na dosiahnutie pokroku a pomáhali posilniť fyzickú a kybernetickú odolnosť dotknutých subjektov a kritickej infraštruktúry, ktorú prevádzkujú, na poskytovanie základných služieb na vnútornom trhu, t. j. služieb, ktoré sú kľúčové pre zachovanie životne dôležitých spoločenských funkcií, hospodárskych činností, verejného zdravia a bezpečnosti alebo životného prostredia. V tejto súvislosti by sa pojem odolnosti mal chápať ako schopnosť subjektu predchádzať udalostiam, ktoré by mohli významne narušiť alebo významne narúšajú poskytovanie príslušných základných služieb, chrániť sa pred týmito udalosťami, reagovať na ne, odolávať im, zmierňovať ich, absorbovať ich, prispôsobovať sa im a zotavovať sa z nich.

(6)S cieľom zabezpečiť prístup, ktorý je účinný a čo najviac konzistentný s novou smernicou CER, by sa opatrenia uvedené v tomto odporúčaní mali vzťahovať na infraštruktúru, ktorú členský štát označil za kritickú infraštruktúru, a to tak na vnútroštátnu kritickú infraštruktúru, ako aj na európsku kritickú infraštruktúru, bez ohľadu na to, či subjekt prevádzkujúci kritickú infraštruktúru už bol označený za kritický subjekt podľa uvedenej novej smernice. Na účely tohto odporúčania by sa pojem „kritická infraštruktúra“ mal chápať v tomto zmysle.

(7)Vzhľadom na existujúce hrozby by sa opatrenia na zvýšenie odolnosti mali prioritne prijať v kľúčových odvetviach energetiky, digitálnej infraštruktúry, dopravy a vesmíru a takéto opatrenia by sa mali zamerať na zvýšenie odolnosti subjektov prevádzkujúcich kritickú infraštruktúru voči rizikám spôsobeným ľudskou činnosťou. Pokiaľ ide o vnútroštátnu kritickú infraštruktúru, vzhľadom na možné dôsledky v prípade naplnenia rizík by sa mala uprednostniť infraštruktúra, ktorá má cezhraničný význam.

(8)Cieľom opatrení stanovených v tomto odporúčaní je preto najmä doplnenie nových smerníc CER a NIS2 založených na článku 114 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“), a to anticipáciou a rozšírením opatrení, ktoré sa týmito novými smernicami stanovia. Preto a vzhľadom na cezhraničnú povahu a význam príslušných základných služieb a kritickej infraštruktúry a na existujúce a vznikajúce rozdiely medzi vnútroštátnymi právnymi predpismi, ktoré narúšajú vnútorný trh, je vhodné, aby sa aj toto odporúčanie zakladalo na článku 114 ZFEÚ v spojení s článkom 292 ZFEÚ.

(9)Vykonávanie tohto odporúčania by sa nemalo chápať tak, že ovplyvňuje súčasné a budúce požiadavky práva Únie týkajúce sa určitých aspektov odolnosti dotknutých subjektov, a malo by byť s týmito požiadavkami v súlade. Takéto požiadavky sú stanovené vo všeobecných nástrojoch, ako je smernica 2008/114/ES a smernica (EÚ) 2016/1148 a nové smernice CER a NIS2, ktoré ich nahrádzajú, ale aj v určitých odvetvových nástrojoch, napríklad v oblasti dopravy, kde Komisia okrem iného prijala pohotovostný plán pre dopravu. V súlade so zásadou lojálnej spolupráce by sa toto odporúčanie malo vykonávať pri plnom vzájomnom rešpektovaní a pomoci.

(10)Komisia 5. októbra 2022 oznámila päťbodový plán, v ktorom sa stanovuje koordinovaný prístup k riešeniu budúcich výziev, ktorý zahŕňa prácu na pripravenosti na základe novej smernice CER ešte pred jej prijatím a nadobudnutím účinnosti a ktorého súčasťou je aj spolupráca s členskými štátmi s cieľom vykonávať záťažové testy subjektov prevádzkujúcich kritickú infraštruktúru na základe spoločných zásad, počnúc odvetvím energetiky. Toto odporúčanie, ktoré k uvedenému plánu prispeje, víta navrhovaný prístup a stanovuje, ako ho možno premietnuť do konkrétnych opatrení.

(11)Vzhľadom na rýchlo sa vyvíjajúcu panorámu hrozieb a súčasné rizikové prostredie charakterizované rizikami spôsobenými ľudskou činnosťou, najmä pokiaľ ide o kritickú infraštruktúru s cezhraničným významom, je nevyhnutné mať presný, aktuálny a úplný obraz o najdôležitejších rizikách, ktorým subjekty prevádzkujúce kritickú infraštruktúru čelia. Členské štáty by preto mali prijať potrebné opatrenia na vykonanie alebo aktualizáciu svojich posúdení týchto rizík. Aj keď sa toto odporúčanie zameriava na bezpečnostné riziká, malo by sa okrem toho pokračovať v úsilí o riešenie zmeny klímy a environmentálnych rizík, najmä ak prírodné javy môžu ďalej zhoršovať riziká spôsobené ľudskou činnosťou.

(12)Vzhľadom na túto panorámu hrozieb by sa členské štáty mali vyzvať, aby čo najskôr prijali vhodné opatrenia na zvýšenie odolnosti kritickej infraštruktúry, a to aj nad rámec uvedených posúdení rizík, ktoré sa budú následne podľa novej smernice CER vyžadovať.

(13)V rámci vykonávania päťbodového plánu oznámeného Komisiou treba činnosť koordinovať zvolaním národných expertov, ktorí by sa mali spojiť ešte pred zriadením skupiny pre odolnosť kritických subjektov na základe novej smernice CER, aby sa umožnila spolupráca medzi členskými štátmi a výmena informácií, pokiaľ ide o odolnosť subjektov prevádzkujúcich kritickú infraštruktúru. To by malo zahŕňať spoluprácu a výmenu informácií týkajúcich sa činností, ako je identifikácia kritických subjektov a infraštruktúry, príprava a podpora spoločného súboru zásad na vykonávanie záťažových testov a získavanie spoločných poznatkov zo záťažových testov, identifikácia zraniteľných miest a možných spôsobilostí. Tieto procesy by mali byť prínosom aj pre odolnosť subjektov prevádzkujúcich kritickú infraštruktúru voči klimatickým a environmentálnym rizikám. Táto činnosť by umožnila aj spoločnú priorizáciu práce na záťažových testoch s dôrazom na odvetvia energetiky, digitálnej infraštruktúry, dopravy a vesmíru. Komisia už začala zvolávať týchto odborníkov a uľahčovať ich prácu a má v úmysle v tom ďalej pokračovať. Po nadobudnutí účinnosti novej smernice o CER a zriadení skupiny pre odolnosť kritických subjektov by táto skupina mala pokračovať v takejto anticipačnej práci v súlade so svojimi úlohami podľa smernice CER.

(14)Záťažové testy by sa mali doplniť vypracovaním koncepcie pre incidenty a krízy v oblasti kritickej infraštruktúry, v ktorej sa opíšu a stanovia ciele a spôsoby spolupráce medzi členskými štátmi a inštitúciami, orgánmi, úradmi a agentúrami EÚ pri reakcii na incidenty namierené proti kritickej infraštruktúre, a to najmä pokiaľ vedú k závažnému narušeniu poskytovania základných služieb na vnútornom trhu. Táto koncepcia by mala pri koordinácii reakcie vychádzať z existujúcich integrovaných dojednaní o politickej reakcii na krízu (IPCR), mala by fungovať súdržne s koncepciou pre kybernetické incidenty veľkého rozsahu a dopĺňať ju a mala by stanovovať aj dohodu o kľúčových posolstvách v rámci komunikácie s verejnosťou, keďže krízová komunikácia zohráva dôležitú úlohu pri zmierňovaní negatívnych účinkov incidentov a kríz v oblasti kritickej infraštruktúry.

(15)S cieľom zabezpečiť koordinovanú a účinnú reakciu na súčasné a predpokladané hrozby bude Komisia členským štátom poskytovať ďalšiu podporu v súvislosti so zvyšovaním odolnosti voči týmto hrozbám, ktorej súčasťou bude poskytovanie relevantných informácií vo forme brífingov, príručiek a usmernení, propagovanie využívania výskumných a inovačných projektov financovaných Úniou, prijímanie potrebných anticipačných opatrení a optimalizácia využívania prostriedkov Únie v oblasti dohľadu. Európska služba pre vonkajšiu činnosť by mala poskytovať posúdenia hrozieb, najmä prostredníctvom Spravodajského a situačného centra EÚ.

(16)Podporu v záležitostiach súvisiacich s odolnosťou by mali poskytovať aj agentúry Únie relevantné pre dané odvetvia a ďalšie relevantné subjekty, pokiaľ to umožňujú ich mandáty stanovené v príslušných nástrojoch práva Únie. Konkrétne Agentúra Európskej únie pre kybernetickú bezpečnosť (ENISA) by mohla byť nápomocná v otázkach kybernetickej bezpečnosti, Európska námorná bezpečnostná agentúra (EMSA) by mohla byť nápomocná svojimi odbornými znalosťami pri podpore členských štátov prostredníctvom svojej služby námorného dozoru v záležitostiach súvisiacich s námornou bezpečnosťou a ochranou, Agentúra Európskej únie pre spoluprácu v oblasti presadzovania práva (EUROPOL) by mohla poskytovať podporu v súvislosti so zhromažďovaním informácií a vyšetrovaniami pri cezhraničných opatreniach na presadzovanie práva, zatiaľ čo Agentúra Európskej únie pre vesmírny program (EUSPA) a Satelitné stredisko Európskej únie (SatCen) môžu byť nápomocné prostredníctvom operácií v rámci Vesmírneho programu Únie.

(17)Aj keď hlavnú zodpovednosť za zaistenie bezpečnosti kritickej infraštruktúry a dotknutých subjektov nesú členské štáty, je vhodná zvýšená koordinácia na úrovni Únie, najmä vzhľadom na hrozby, ktoré môžu mať dosah na viaceré členské štáty súčasne, ako je ruská útočná vojna proti Ukrajine, alebo ktoré môžu ovplyvniť odolnosť a dobré fungovanie hospodárstva, jednotného trhu a spoločností Únie.

(18)Toto odporúčanie nezahŕňa poskytovanie informácií, ktorých zverejnenie je v rozpore so základnými záujmami členských štátov v oblasti národnej bezpečnosti, verejnej bezpečnosti alebo obrany.

(19)Vzhľadom na rastúcu vzájomnú závislosť fyzických a digitálnych infraštruktúr môžu škodlivé kybernetické činnosti zamerané na kritické oblasti viesť k narušeniu alebo poškodeniu fyzickej infraštruktúry, zatiaľ čo sabotáž fyzickej infraštruktúry môže znemožniť prístup k digitálnym službám. S ohľadom na zvýšenú hrozbu, ktorú predstavujú sofistikované hybridné útoky, by členské štáty mali tieto aspekty zahrnúť aj do svojej práce pri vykonávaní tohto odporúčania. Vzhľadom na vzájomné prepojenia medzi kybernetickou bezpečnosťou a fyzickou bezpečnosťou prevádzkovateľov je dôležité, aby sa príprava transpozície a uplatňovania novej smernice NIS2 začala čo najskôr a aby súbežne prebiehala takáto príprava aj v rámci novej smernice CER.

(20)Okrem zlepšenia pripravenosti je takisto dôležité posilniť schopnosť rýchlej a účinnej reakcie v prípade, že sa naplnia riziká ovplyvňujúce poskytovanie základných služieb subjektmi prevádzkujúcimi kritickú infraštruktúru. Toto odporúčanie by preto malo obsahovať opatrenia, ktoré by sa mali prijať tak na úrovni členských štátov, ako aj na úrovni Únie, vrátane posilnenej spolupráce a výmeny informácií v kontexte mechanizmu Únie v oblasti civilnej ochrany a využívania relevantných prostriedkov Vesmírneho programu Únie.

(21)Na základe výzvy Rady uvedenej v jej záveroch o prístupe EÚ ku kybernetickej bezpečnosti Komisia, vysoký predstaviteľ Únie pre zahraničné veci a bezpečnostnú politiku (ďalej len „vysoký predstaviteľ“) a skupina pre spoluprácu zriadená smernicou (EÚ) 2016/1148 (skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, ďalej len „skupina pre spoluprácu NIS“) v koordinácii s príslušnými civilnými a vojenskými orgánmi a agentúrami a existujúcimi sieťami vrátane siete EU-CyCLONe v súčasnosti vykonávajú hodnotenie rizík a vypracúvajú scenáre rizík z hľadiska kybernetickej bezpečnosti v situácii hrozby alebo možného útoku voči členským štátom alebo partnerským krajinám. Táto činnosť sa zameriava na kritické odvetvia vrátane energetiky, digitálnej infraštruktúry, dopravy a vesmíru.

(22)V spoločnej ministerskej výzve z Nevers a v záveroch Rady o prístupe EÚ ku kybernetickej bezpečnosti sa takisto vyzvalo na posilnenie odolnosti komunikačnej infraštruktúry a sietí v Únii, a to prostredníctvom odporúčaní pre členské štáty a Komisiu na základe posúdenia rizika. Toto posúdenie rizík v súčasnosti vykonáva skupina pre spoluprácu NIS s podporou Komisie a agentúry ENISA a v spolupráci s Orgánom európskych regulátorov pre elektronické komunikácie (BEREC). Posúdenie rizík a analýza nedostatkov sa zameriavajú na riziká kybernetických útokov v rôznych pododvetviach komunikačných infraštruktúr vrátane pevných a mobilných infraštruktúr, satelitov, podmorských káblov, internetového smerovania atď., a poskytujú tak základ pre činnosť v rámci tohto odporúčania. Toto posúdenie rizík bude podkladom pre prebiehajúce medziodvetvové hodnotenie kybernetických rizík a scenáre požadované Radou v jej záveroch z 23. mája 2022.

(23)Obe uvedené činnosti budú konzistentné a koordinované s vytváraním scenárov zameraných na civilnú ochranu v kontexte širokej škály prírodných katastrof a katastrof spôsobených ľudskou činnosťou vrátane kybernetickobezpečnostných udalostí a ich reálneho vplyvu. Tieto scenáre v súčasnosti vypracúva Komisia a členské štáty na základe rozhodnutia Európskeho parlamentu a Rady č. 1313/2013/EÚ. V záujme efektívnosti, účinnosti a konzistentnosti by sa toto odporúčanie malo vykonať so zreteľom na výsledky uvedených činností.