Rada Európskej únie vo svojom uznesení z 9. marca 2021 zdôraznila, že kybernetická bezpečnosť má zásadný význam pre fungovanie verejnej správy na vnútroštátnej úrovni aj na úrovni EÚ, ako aj pre spoločnosť a hospodárstvo ako celok, a poukázala na význam robustného a konzistentného bezpečnostného rámca na ochranu všetkých zamestnancov EÚ a jej údajov, komunikačných sietí a informačných systémov a rozhodovacích procesov. To sa má dosiahnuť najmä posilnením odolnosti a zlepšením bezpečnostnej kultúry inštitúcií, orgánov a agentúr Únie. Majú sa sprístupniť dostatočné zdroje a spôsobilosti, a to aj v kontexte posilnenia mandátu CERT-EU.

V analýze sa okrem toho vzalo do úvahy, ako významné prebiehajúce zmeny ovplyvňujú spôsoby, akými inštitúcie Únie spravujú a používajú svoju infraštruktúru a služby IT. K týmto zmenám patria:

3.VÝSLEDKY HODNOTENÍ EX ANTE, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU

Súčasné rozdiely v stave kybernetickej bezpečnosti a prístupe ku kybernetickej bezpečnosti jednotlivých inštitúcií, orgánov a agentúr Únie, ako sa vysvetľuje v oddiele 3, navyše predstavujú ďalšie prekážky otvorenej, efektívnej a nezávislej európskej správy. Bez spoločného prístupu by sa stav kybernetickej bezpečnosti v rámci jednotlivých inštitúcií, orgánov a agentúr Únie naďalej vyvíjal rôznymi smermi. Tento právny základ je preto primeraný vzhľadom na to, že cieľom nariadenia je vytvoriť spoločný právny rámec kybernetickej bezpečnosti v inštitúciách, orgánoch, úradoch a agentúrach Únie.

Zatiaľ čo je teda pravdepodobné, že mnohé inštitúcie, orgány a agentúry Únie majú menšie výdavky na kybernetickú bezpečnosť, než by mali mať, toto nariadenie samo osebe nepovedie k zvýšeniu týchto bežných výdavkov. Aj bez nariadenia by všetky subjekty museli zaistiť primeranú úroveň kybernetickej bezpečnosti. V rámci nariadenia sa pokračuje v predchádzajúcej spolupráci v riadiacej rade CERT-EU a formalizuje sa úroveň výmeny informácií, ktorá čiastočne existuje už dnes. Ako sa podrobne uvádza v legislatívnom finančnom výkaze, CERT-EU si bude vyžadovať dodatočné zdroje s cieľom plniť svoju rozšírenú úlohu, pričom tieto zdroje by sa mali prerozdeliť z inštitúcií, orgánov a agentúr Únie, ktoré využívajú služby CERT-EU.

Z trhových referenčných hodnôt a zo štúdií vyplýva, že priame výdavky na kybernetickú bezpečnosť sa zvyčajne pohybujú v rozmedzí 4 % až 7 % súhrnných výdavkov organizácií v oblasti IT. Z analýzy hrozieb, ktorú vykonalo CERT-EU ako podklad tohto legislatívneho návrhu, však vyplýva, že medzinárodné orgány a politické organizácie čelia zvýšeným rizikám, a preto by sa zdala primeranejším cieľom v prípade výdavkov na kybernetickú bezpečnosť úroveň 10 % výdavkov v oblasti IT. Presné náklady na tieto snahy nemožno určiť vzhľadom na neexistenciu podrobných informácií o výdavkoch inštitúcií, orgánov a agentúr EÚ v oblasti IT a o relevantnom podiele výdavkov na kybernetickú bezpečnosť.

Komisia uskutočnila konzultácie so zainteresovanými stranami v rámci inštitúcií, orgánov a agentúr Únie, ako aj so zástupcami členských štátov v Rade a so zainteresovanými stranami v Európskom parlamente. Zástupcovia členských štátov a relevantné zainteresované strany z inštitúcií, orgánov a agentúr Únie sa 25. júna 2021 zúčastnili na seminári organizovanom Komisiou s cieľom viesť dialóg o obsahu budúceho návrhu nariadenia.

Medziinštitucionálna rada pre kybernetickú bezpečnosť (IICB) s pomocou CERT-EU by mali preskúmať fungovanie tohto nariadenia, vykonať hodnotenia a predložiť Komisii správu so svojimi zisteniami. Komisia by mala zabezpečiť pravidelné predkladanie správ Európskemu parlamentu, Rade, Európskemu hospodárskemu a sociálnemu výboru a Výboru regiónov.

so zreteľom na Zmluvu o založení Európskeho spoločenstva pre atómovú energiu, a najmä na jej článok 106a,

so zreteľom na návrh Európskej komisie,

po postúpení návrhu legislatívneho aktu národným parlamentom,

konajúc v súlade s riadnym legislatívnym postupom,

keďže:

(1)V digitálnom veku sú informačné a komunikačné technológie základom otvorenej, efektívnej a nezávislej správy Únie. Vyvíjajúce sa technológie, rastúca zložitosť a vzájomná prepojenosť digitálnych systémov zväčšujú kybernetickobezpečnostné riziká, v dôsledku čoho je správa Únie zraniteľnejšia voči kybernetickým hrozbám a incidentom, čo napokon predstavuje hrozbu pre kontinuitu činností správy a jej schopnosť zabezpečiť svoje údaje. Zatiaľ čo intenzívnejšie používanie cloudových služieb, všadeprítomné používanie IT, vysoká miera digitalizácie, práca na diaľku a vyvíjajúce sa technológie a pripojiteľnosť sú v súčasnosti hlavnými prvkami všetkých činností subjektov v rámci administratívy Únie, digitálna odolnosť zatiaľ nie je dostatočne vybudovaná.

(2)Panoráma kybernetických hrozieb, ktorej čelia inštitúcie, orgány a agentúry Únie, sa neustále vyvíja. Taktiky, techniky a postupy, ktoré aktéri hrozby využívajú, sa neustále vyvíjajú, zatiaľ čo hlavné motívy týchto útokov sa menia len málo, a to od krádeže cenných neverejných informácií až po zarábanie peňazí, manipuláciu verejnej mienky alebo narúšanie digitálnej infraštruktúry. Tempo, akým vykonávajú svoje kybernetické útoky, sa zrýchľuje, zatiaľ čo ich operácie sú čoraz sofistikovanejšie a automatizovanejšie, pričom sa zameriavajú na nechránené plochy útoku, stále sa rozširujú a rýchlo využívajú zraniteľnosti.

(3)Prostredia IT inštitúcií, orgánov a agentúr Únie sú vzájomne previazané, majú integrované toky údajov a ich používatelia úzko spolupracujú. Toto vzájomné prepojenie znamená, že akékoľvek narušenie dokonca aj v prípade, že sa spočiatku obmedzuje na jednu inštitúciu, jeden orgán alebo jednu agentúru Únie, môže mať širšie kaskádovité účinky, čo môže viesť k ďalekosiahlym a dlhotrvajúcim negatívnym vplyvom na ostatné. Prostredia IT niektorých inštitúcií, orgánov a agentúr sú navyše prepojené s prostrediami IT členských štátov, čo spôsobuje, že incident v rámci jedného subjektu Únie predstavuje riziko pre kybernetickú bezpečnosť prostredí IT členských štátov a naopak.

(4)Inštitúcie, orgány a agentúry Únie sú atraktívne ciele, ktoré čelia aktérom hrozby s vysokou úrovňou zručností a s dostatočnými zdrojmi, ako aj iným hrozbám. Úroveň a vyspelosť kybernetickej odolnosti a schopnosť odhaľovať škodlivé kybernetické činnosti a reagovať na ne sa v týchto subjektoch zároveň výrazne líši. Z hľadiska fungovania európskej správy je preto potrebné, aby inštitúcie, orgány a agentúry Únie dosiahli vysokú spoločnú úroveň kybernetickej bezpečnosti prostredníctvom základných kybernetickobezpečnostných pravidiel (s ktorými musia byť zosúladené siete a informačné systémy a ktoré musia dodržiavať ich prevádzkovatelia a používatelia v záujme minimalizácie kybernetickobezpečnostných rizík), ako aj prostredníctvom výmeny informácií a spolupráce.

(5)Cieľom smernice [návrh smernice NIS 2] o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii je ďalšie zlepšenie odolnosti v oblasti kybernetickej bezpečnosti a kapacít verejných a súkromných subjektov, vnútroštátnych príslušných orgánov a subjektov, ako aj Únie ako celku, na reakcie na incidenty. Je preto potrebné, aby sa pripojili aj inštitúcie, orgány a agentúry Únie a zabezpečili pravidlá, ktoré budú v súlade so smernicou [návrh smernice NIS 2] a budú odrážať jej úroveň ambícií.

(6)Dosiahnutie vysokej spoločnej úrovne kybernetickej bezpečnosti si vyžaduje, aby si všetky inštitúcie, orgány a agentúry Únie vytvorili vnútorný rámec riadenia, správy a kontroly kybernetickobezpečnostných rizík, ktorým sa zabezpečí účinné a obozretné riadenie všetkých kybernetickobezpečnostných rizík a v ktorom sa zohľadní krízové riadenie kontinuity činností.

(7)Rozdiely medzi inštitúciami, orgánmi a agentúrami Únie si vyžadujú flexibilitu pri vykonávaní, keďže jedno riešenie nebude vyhovovať všetkým. Opatrenia na zaistenie vysokej spoločnej úrovne kybernetickej bezpečnosti by nemali zahŕňať žiadne povinnosti, ktorými by sa priamo zasahovalo do plnenia poslania inštitúcií, orgánov a agentúr Únie alebo by sa narúšala ich inštitucionálna autonómia. Tieto inštitúcie, orgány a agentúry by si teda mali vytvoriť vlastné rámce riadenia, správy a kontroly kybernetickobezpečnostných rizík a prijať vlastné základné kybernetickobezpečnostné pravidlá a plány.

(8)S cieľom vyhnúť sa neprimeranému finančnému a administratívnemu zaťaženiu inštitúcií, orgánov a agentúr Únie by požiadavky na riadenie kybernetickobezpečnostných rizík mali byť primerané riziku, ktoré predstavuje daná sieť a daný informačný systém, pričom by sa mal zohľadniť najnovší vývoj v oblasti takýchto opatrení. Cieľom všetkých inštitúcií, orgánov a agentúr Únie by malo byť pridelenie primeraného percentuálneho podielu ich rozpočtu v oblasti IT na zlepšenie úrovne kybernetickej bezpečnosti. V dlhodobejšom horizonte by sa mali vyvinúť snahy o dosiahnutie cieľa rádovo na úrovni 10 %.

(9)Vysoká spoločná úroveň kybernetickej bezpečnosti si vyžaduje, aby nad kybernetickou bezpečnosťou vykonával dohľad manažment najvyššej úrovne jednotlivých inštitúcií, orgánov a agentúr Únie, ktorý by mal schváliť základné kybernetickobezpečnostné pravidlá, prostredníctvom ktorých by sa mali riešiť riziká identifikované na základe rámca zavedeného jednotlivými inštitúciami, orgánmi a agentúrami. Neoddeliteľnou súčasťou základných kybernetickobezpečnostných pravidiel vo všetkých inštitúciách, orgánoch a agentúrach Únie je riešenie kultúry v oblasti kybernetickej bezpečnosti, t. j. každodennej praxe v oblasti kybernetickej bezpečnosti.

(10)Inštitúcie, orgány a agentúry Únie by mali posudzovať riziká súvisiace so vzťahmi s dodávateľmi a poskytovateľmi služieb vrátane poskytovateľov služieb dátového úložiska a spracúvania údajov alebo riadených bezpečnostných služieb a prijať primerané opatrenia na ich riešenie. Tieto opatrenia by mali byť súčasťou základných kybernetickobezpečnostných pravidiel a mali by sa ďalej vymedziť v usmerňovacích dokumentoch alebo odporúčaniach, ktoré vydá CERT-EU. Pri vymedzení opatrení a usmernení by sa mali náležite zohľadniť relevantné právne predpisy a politiky EÚ vrátane posúdení rizík a odporúčaní vydaných skupinou pre spoluprácu v oblasti NIS, ako je koordinované posúdenie rizík na úrovni EÚ a súbor nástrojov EÚ pre kybernetickú bezpečnosť 5G. Okrem toho by sa mohla vyžadovať certifikácia príslušných produktov, služieb a postupov IKT v rámci špecifických systémov certifikácie kybernetickej bezpečnosti EÚ prijatých podľa článku 49 nariadenia (EÚ) 2019/881.

(11)Generálni tajomníci inštitúcií a orgánov Únie sa v máji 2011 rozhodli vytvoriť v predbežnom zoskupení tím reakcie na núdzové počítačové situácie v inštitúciách, orgánoch a agentúrach Únie (CERT-EU) pod dohľadom medziinštitucionálnej riadiacej rady. Generálni tajomníci v júli 2012 potvrdili praktické dojednania a dohodli sa na zachovaní CERT-EU ako stáleho subjektu s cieľom pomôcť zlepšiť celkovú úroveň bezpečnosti informačných technológií inštitúcií, orgánov a agentúr Únie ako príklad viditeľnej medziinštitucionálnej spolupráce v oblasti kybernetickej bezpečnosti. V septembri 2012 sa CERT-EU zriadilo ako pracovná skupina Európskej komisie s medziinštitucionálnym mandátom. Inštitúcie a orgány Únie v decembri 2017 uzavreli medziinštitucionálnu dohodu o organizácii a fungovaní tímu CERT-EU. Táto dohoda by sa mala naďalej vyvíjať na účely podpory vykonávania tohto nariadenia.

(12)Malo by dôjsť k premenovaniu CERT-EU z „tímu reakcie na núdzové počítačové situácie“ na „centrum kybernetickej bezpečnosti“ pre inštitúcie, orgány a agentúry Únie v súlade s vývojom v členských štátoch aj na celom svete, kde sa mnohé tímy CERT premenúvajú na centrá kybernetickej bezpečnosti, no mala by sa mu ponechať skratka „CERT-EU“ z dôvodu rozpoznania názvu.

(13)Mnohé kybernetické útoky sú súčasťou rozsiahlejších kampaní, ktoré sa zameriavajú na skupiny inštitúcií, orgánov a agentúr Únie alebo na významné komunity, ktoré zahŕňajú inštitúcie, orgány a agentúry Únie. S cieľom umožniť proaktívne odhaľovanie, reakciu na incidenty alebo prijímanie zmierňujúcich opatrení by inštitúcie, orgány a agentúry Únie mali CERT-EU oznamovať významné kybernetické hrozby, významné zraniteľnosti a významné incidenty a poskytovať mu primerané technické podrobnosti, ktoré umožnia odhaľovanie alebo zmierňovanie podobných kybernetických hrozieb, zraniteľností a incidentov v iných inštitúciách, orgánoch a agentúrach Únie, ako aj reakciu na ne. Pri uplatnení rovnakého prístupu, ako sa stanovuje v smernici [návrh smernice NIS 2], ak sa subjekty dozvedia o významnom incidente, malo by sa od nich vyžadovať, aby CERT-EU do 24 hodín predložili prvotné oznámenie. Takouto výmenou informácií by sa centru CERT-EU malo umožniť poskytnúť informácie ostatným inštitúciám, orgánom a agentúram Únie, ako aj príslušným náprotivkom s cieľom pomôcť chrániť prostredia IT Únie a prostredia IT náprotivkov Únie pred podobnými incidentmi, hrozbami a zraniteľnosťami.

(14)Okrem toho, že by sa malo centru CERT-EU zveriť viac povinností a mala by sa rozšíriť jeho úloha, by sa mala zriadiť Medziinštitucionálna rada pre kybernetickú bezpečnosť (IICB), ktorá by mala uľahčovať dosiahnutie vysokej spoločnej úrovne kybernetickej bezpečnosti inštitúcií, orgánov a agentúr Únie tým, že bude monitorovať vykonávanie tohto nariadenia inštitúciami, orgánmi a agentúrami Únie, dohliadať na vykonávanie všeobecných priorít a cieľov centrom CERT-EU a strategicky riadiť CERT-EU. IICB by mala zabezpečiť zastúpenie inštitúcií a zapojiť zástupcov agentúr a orgánov prostredníctvom siete agentúr Únie.

(15)CERT-EU by malo podporovať vykonávanie opatrení na zaistenie vysokej spoločnej úrovne kybernetickej bezpečnosti prostredníctvom návrhov usmerňovacích dokumentov a odporúčaní pre IICB alebo vydávaním výziev na činnosť. Takéto usmerňovacie dokumenty a odporúčania by mala schvaľovať IICB. V prípade potreby by CERT-EU malo vydávať výzvy na činnosť, v ktorých sa opisujú naliehavé bezpečnostné opatrenia a v ktorých sa inštitúcie, orgány a agentúry Únie naliehavo vyzývajú, aby prijali tieto opatrenia v stanovenom časovom rámci.