EURÓPSKA KOMISIA V Bruseli4. 10. 2017 COM(2017) 477 final 2017/0225(COD) NOTE

This language version reflects the corrections done to the original EN version transmitted under COM(2017) 477 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 477 final/2 of 4.10.2017 Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o Agentúre EÚ pre kybernetickú bezpečnosť (ENISA), o zrušení nariadenia (EÚ) č. 526/2013 a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií („akt o kybernetickej bezpečnosti“) (Text s významom pre EHP) {SWD(2017) 500 final}

{SWD(2017) 501 final}

{SWD(2017) 502 final}



DÔVODOVÁ SPRÁVA 1.KONTEXT NÁVRHU •Dôvody a ciele návrhu Európska únia už prijala viacero opatrení s cieľom zvýšiť odolnosť a dosiahnuť lepšiu pripravenosť v oblasti kybernetickej bezpečnosti. V prvej stratégii kybernetickej bezpečnosti EÚ prijatej v roku 2013 sa stanovujú strategické ciele a konkrétne opatrenia v záujme dosiahnutia odolnosti, znižovania počítačovej kriminality, rozvoja politiky a spôsobilostí v oblasti kybernetickej obrany, rozvoja priemyselných a technologických zdrojov a vytvorenia koherentnej medzinárodnej politiky v oblasti kybernetického priestoru pre EÚ. V tejto súvislosti sa odvtedy uskutočnili významné zmeny, najmä pokiaľ ide o druhý mandát Agentúry Európskej únie pre sieťovú a informačnú bezpečnosť (ENISA) a prijatie smernice o bezpečnosti sietí a informačných systémov (smernica NIS), ktoré tvoria základ tohto návrhu. V roku 2016 prijala Európska komisia oznámenie s názvom „Posilnenie odolnosti kybernetického systému a podpora konkurencieschopného a inovačného odvetvia kybernetickej bezpečnosti v Európe, v ktorom boli oznámené ďalšie opatrenia na prehĺbenie spolupráce a spoločného využívania informácií a poznatkov, ako aj na zvýšenie odolnosti a pripravenosti EÚ, a to aj vzhľadom na hrozbu rozsiahlych incidentov a možnej celoeurópskej krízy v oblasti kybernetickej bezpečnosti. V tejto súvislosti Komisia oznámila, že urýchli hodnotenie a preskúmanie nariadenia Európskeho parlamentu a Rady (EÚ) č. 526/2013 o agentúre ENISA a o zrušení nariadenia (ES) č. 460/2004 (ďalej len „nariadenie o agentúre ENISA“). Proces hodnotenia by mohol viesť k prípadnej reforme agentúry a posilneniu jej spôsobilostí a kapacity, aby mohla členským štátom poskytovať udržateľnú podporu. Agentúre by sa teda pridelila operatívnejšia a ústrednejšia úloha pri dosahovaní odolnosti v oblasti kybernetickej bezpečnosti a v novom mandáte agentúry by sa uznali jej nové zodpovednosti v rámci smernice NIS. Smernica NIS je prvým zásadným krokom smerom k podpore kultúry riadenia rizika, a to zavedením bezpečnostných požiadaviek ako právnych záväzkov pre kľúčové hospodárske subjekty, najmä pre prevádzkovateľov základných služieb (prevádzkovatelia základných služieb – PZS) a dodávateľov niektorých kľúčových digitálnych služieb (poskytovatelia digitálnych služieb – PDS). Keďže bezpečnostné požiadavky sa považujú za nevyhnutné na ochranu výhod narastajúcej digitalizácie spoločnosti, a aj vzhľadom na rýchle šírenie prepojených zariadení (internet vecí – IoT), sa v oznámení z roku 2016 uviedol aj nápad vytvoriť rámec bezpečnostnej certifikácie produktov a služieb IKT s cieľom zvýšiť dôveru a bezpečnosť na digitálnom jednotnom trhu. Certifikácia kybernetickej bezpečnosti IKT je obzvlášť dôležitá vzhľadom na zvýšené využívanie technológií, ktoré si vyžadujú vysokú úroveň kybernetickej bezpečnosti, ako sú prepojené a automatizované vozidlá, elektronické zdravotnícke systémy alebo automatické priemyselné riadiace systémy (IACS). Tieto politické opatrenia a oznámenia sa ďalej podporili závermi Rady z roku 2016, v ktorých sa uznáva, že „kybernetické hrozby a zraniteľné miesta sa neustále vyvíjajú a zintenzívňujú, čo si vyžaduje nepretržitú a užšiu spoluprácu, najmä pri riešení rozsiahlych cezhraničných kybernetických bezpečnostných incidentov“. Závermi sa potvrdilo, že „nariadenie o agentúre ENISA je jedným z hlavných prvkov rámca kybernetickej odolnosti v EÚ“ a Komisia sa vyzvala na prijatie ďalších krokov s cieľom riešiť problematiku certifikácie na európskej úrovni. Vytvorenie certifikačného systému by si vyžadovalo zriadenie vhodného systému riadenia na úrovni EÚ vrátane dôkladného odborného poradenstva poskytovaného nezávislou agentúrou EÚ. Súčasný návrh v tejto súvislosti identifikuje ENISA ako orgán na úrovni EÚ s prirodzenou zodpovednosťou v otázkach kybernetickej bezpečnosti, ktorý by mal túto úlohu prevziať s cieľom spojiť a skoordinovať prácu príslušných vnútroštátnych orgánov v oblasti certifikácie. Vo svojom oznámení o preskúmaní stratégie digitálneho jednotného trhu v polovici trvania z mája 2017 Komisia ďalej uviedla, že do septembra 2017 preskúma mandát agentúry ENISA. Účelom je vymedziť úlohu agentúry v zmenenom ekosystéme kybernetickej bezpečnosti a vypracovať opatrenia v oblasti noriem kybernetickej bezpečnosti, certifikácie a označovania v záujme zvýšenia kybernetickej bezpečnosti systémov založených na IKT vrátane pripojených predmetov. V záveroch zo zasadnutia Európskej rady v júni 2017 sa uvítal zámer Komisie v septembri preskúmať stratégiu kybernetickej bezpečnosti a do konca roka 2017 navrhnúť ďalšie cielené opatrenia. Navrhovaným nariadením sa stanovuje komplexný súbor opatrení, ktoré vychádzajú z predchádzajúcich krokov, pričom nariadenie napomáha rozvoju vzájomne sa podporujúcich konkrétnych cieľov: ·zvýšiť spôsobilosti a pripravenosť členských štátov a podnikov; ·zlepšiť spoluprácu a koordináciu v rámci členských štátov, inštitúcií, agentúr a orgánov EÚ; ·posilniť spôsobilosti na úrovni EÚ na doplnenie činností členských štátov, a to najmä v prípade cezhraničných kybernetických kríz; ·zvýšiť informovanosť občanov a podnikov o otázkach kybernetickej bezpečnosti; ·zvýšiť celkovú transparentnosť uistenia o dôveryhodnosti kybernetickej bezpečnosti produktov a služieb IKT, čím sa posilní dôvera v digitálny jednotný trh a v digitálnu inováciu a ·zabrániť roztrieštenosti systémov certifikácie v EÚ a súvisiacich bezpečnostných požiadaviek a hodnotiacich kritérií v jednotlivých členských štátoch a odvetviach. V nasledujúcej časti dôvodovej správy sa podrobnejšie vysvetľujú dôvody tejto iniciatívy, pokiaľ ide o navrhované opatrenia týkajúce sa agentúry ENISA a certifikácie kybernetickej bezpečnosti.





Agentúra ENISA Agentúra ENISA pôsobí ako centrum odborných znalostí zameraných na zvýšenie sieťovej a informačnej bezpečnosti v Únii a na podporu budovania kapacít členských štátov. Agentúra ENISA bola zriadená v roku 2004 s cieľom prispieť k celkovému cieľu zabezpečenia vysokej úrovne sieťovej a informačnej bezpečnosti v EÚ. V roku 2013 sa nariadením (EÚ) č. 526/2013 stanovil nový mandát agentúry na obdobie siedmich rokov, teda do roku 2020. Agentúra má kancelárie v Grécku – administratívne sídlo v meste Heraklion (na Kréte) a svoje hlavné činnosti sústredí v Aténach. ENISA je malá agentúra, ktorá má v porovnaní so všetkými agentúrami EÚ nízky rozpočet aj nízky počet zamestnancov. Jej mandát je časovo obmedzený. Agentúra ENISA pomáha európskym inštitúciám, členským štátom a podnikateľskej komunite pri riešení problémov spojených so sieťovou a informačnou bezpečnosťou, pri reakciách na ne, a najmä pri predchádzaní týmto problémom. Uskutočňuje to prostredníctvom súboru činností v piatich oblastiach identifikovaných v jej stratégii: ·Odborné znalosti: poskytovanie informácií a odborných znalostí o kľúčových otázkach týkajúcich sa sieťovej a informačnej bezpečnosti. ·Politika: podpora tvorby a vykonávania politík v Únii. ·Kapacity: podpora budovania kapacít v celej Únii (napr. prostredníctvom odbornej prípravy, odporúčaní, činností zameraných na zvyšovanie povedomia). ·Komunita: posilnenie komunity sieťovej a informačnej bezpečnosti [napr. podpora tímov reakcie na núdzové počítačové situácie (CERT), koordinácia celoeurópskych kybernetických cvičení]. ·Podpora (napr. spolupráca so zainteresovanými stranami a medzinárodné vzťahy). Počas rokovaní o smernici NIS sa spoluzákonodarcovia EÚ rozhodli agentúre ENISA prideliť dôležité úlohy pri vykonávaní tejto smernice. Agentúra predovšetkým plní funkciu sekretariátu pre sieť jednotiek CSIRT (zriadenú na podporu rýchlej a účinnej operačnej spolupráce medzi členskými štátmi v prípade konkrétnych kybernetických incidentov a pri výmene informácií o rizikách) a takisto by mala pomáhať skupine pre spoluprácu pri plnení jej úloh. Smernicou sa okrem toho od agentúry ENISA vyžaduje, aby pomáhala členským štátom a Komisii, a to poskytovaním odborných znalostí a poradenstva a uľahčovaním výmeny osvedčených postupov. V súlade s nariadením o agentúre ENISA vykonala Komisia hodnotenie agentúry, ktoré zahŕňa nezávislú štúdiu, ako aj verejnú konzultáciu. V rámci hodnotenia sa posudzovalo, akú má agentúra relevantnosť, dosah, efektívnosť, účinnosť, koherentnosť a pridanú hodnotu pre EÚ vzhľadom na jej výsledky, riadenie, vnútornú organizačnú štruktúru a pracovné postupy v období rokov 2013 – 2016. V rámci verejnej konzultácie celkové výsledky agentúry ENISA pozitívne hodnotila väčšina respondentov (74 %). Väčšina respondentov sa ďalej domnievala, že agentúra ENISA dosahuje svoje konkrétne ciele (aspoň 63 % v prípade každého z cieľov). Služby a produkty agentúry ENISA pravidelne (mesačne alebo častejšie) používala takmer polovica respondentov (46 %) a tieto služby a produkty respondenti oceňujú kvôli tomu, že pochádzajú od orgánu na úrovni EÚ (83 %) a kvôli ich kvalite (62 %). Veľká väčšina (88 %) respondentov sa však domnievala, že súčasné nástroje a mechanizmy, ktoré sú k dispozícii na úrovni EÚ, sú pri riešení súčasných výziev v oblasti kybernetickej bezpečnosti nedostatočné alebo postačujú len čiastočne. Veľká väčšina respondentov (98 %) uviedla, že na tieto potreby by mal reagovať orgán EÚ a spomedzi nich by 99 % respondentov na tento účel vybralo agentúru ENISA. Okrem toho 67,5 % respondentov vyjadrilo názor, že agentúra ENISA by mohla zohrávať úlohu pri stanovovaní harmonizovaného rámca bezpečnostnej certifikácie produktov a služieb IT. Z celkového hodnotenia (založeného nielen na verejnej konzultácii, ale aj na niekoľkých individuálnych pohovoroch, ďalších cielených prieskumoch a seminároch) vyplynuli tieto závery: ·Ciele agentúry ENISA sú aktuálne aj dnes. Vzhľadom na rýchly technologický vývoj a vyvíjajúce sa hrozby, ako aj na stúpajúce globálne kyberneticko-bezpečnostné riziká existuje v EÚ jasná potreba podpory a ďalšieho posilnenia technických poznatkov na vysokej úrovni v otázkach kybernetickej bezpečnosti. V členských štátoch je zrejmá potreba budovania kapacít s cieľom pochopiť hrozby a reagovať na ne a je potrebné, aby zainteresované strany spolupracovali naprieč tematickými oblasťami a inštitúciami. ·Agentúra je napriek obmedzenej výške rozpočtových prostriedkov pri využívaní svojich zdrojov a pri vykonávaní svojich úloh prevádzkovo efektívna. Skutočnosť, že sa nachádza na dvoch miestach, v Aténach a Heraklione, však prináša ďalšie administratívne náklady. ·Pokiaľ ide o účinnosť, agentúra ENISA svoje ciele čiastočne splnila. Agentúra úspešne prispela k zlepšeniu sieťovej a informačnej bezpečnosti v Európe prostredníctvom ponuky budovania kapacít v 28 členských štátoch, zlepšenia spolupráce medzi členskými štátmi a zainteresovanými stranami v oblasti sieťovej a informačnej bezpečnosti, ako aj poskytovania odborných znalostí, budovania komunity a podpory rozvoja politík. Agentúra ENISA sa celkovo dôsledne zameriavala na vykonávanie svojho pracovného programu a konala ako dôveryhodný partner svojich zainteresovaných strán v oblasti, ktorej sa len nedávno pripísal takýto silný cezhraničný význam.

·Agentúre ENISA sa síce podarilo v obrovskej oblasti sieťovej a informačnej bezpečnosti dosiahnuť určitý vplyv, nepodarilo sa jej však úplne etablovať ako silná značka, získať si dostatočnú viditeľnosť a presadiť sa ako „to pravé“ stredisko odbornosti v Európe. Dôvodom je široký mandát agentúry ENISA, ktorému sa nepridelili dostatočné zdroje. Agentúra ENISA je okrem toho stále jedinou agentúrou EÚ s časovo obmedzeným mandátom, čo obmedzuje jej schopnosť pripraviť dlhodobú víziu a udržateľne podporovať svoje zainteresované strany. Je to aj v rozpore s ustanoveniami smernice NIS, ktoré agentúre ENISA zverujú úlohy bez časového obmedzenia. Z posúdenia nakoniec vyplynulo, že túto obmedzenú účinnosť možno čiastočne vysvetliť vysokým podielom využívania externých odborných znalostí v porovnaní s vnútornými, ako aj ťažkosťami pri nábore a udržaní špecializovaných pracovníkov. ·V neposlednom rade sa v hodnotení dospelo k záveru, že prínos agentúry ENISA spočíva predovšetkým v jej schopnosti posilňovať spoluprácu, a to najmä medzi členskými štátmi, a aj so súvisiacimi komunitami sieťovej a informačnej bezpečnosti (najmä medzi jednotkami CSIRT). Na úrovni EÚ neexistuje žiadny iný aktér, ktorý by podporoval takýto široký rozsah zainteresovaných strán v oblasti sieťovej a informačnej bezpečnosti. Vzhľadom na potrebu prísne stanoviť priority týkajúce sa činností agentúry ENISA sa však pracovný program agentúry väčšinou riadi potrebami členských štátov. V dôsledku toho sa ním dostatočne neriešia potreby ďalších zainteresovaných strán, najmä príslušného odvetvia. Agentúra sa kvôli tomu takisto stala vnímavejšou k plneniu potrieb svojich hlavných zainteresovaných strán, čo jej bráni v tom, aby dosiahla väčší vplyv. Pridaná hodnota agentúry sa preto rôznila podľa rozdielnych potrieb jej zainteresovaných strán a podľa toho, do akej miery bola agentúra schopná na ne reagovať (napr. veľké členské štáty verzus malé členské štáty; členské štáty verzus odvetvie). Stručne povedané, z výsledkov konzultácií so zainteresovanými stranami a hodnotenia vyplynulo, že zdroje a mandát agentúry ENISA je potrebné prispôsobiť tak, aby mohla zohrávať primeranú úlohu pri riešení súčasných a budúcich problémov. Vzhľadom na tieto zistenia sa v tomto návrhu prehodnocuje súčasný mandát agentúry ENISA a stanovuje nový súbor úloh a funkcií, aby sa efektívne a účinne poskytla podpora členským štátom, inštitúciám EÚ a ostatným zainteresovaným stranám v ich úsilí o zaistenie bezpečného kybernetického priestoru v Európskej únii. Tento nový navrhovaný mandát má agentúre priznať silnejšiu a ústrednejšiu úlohu, a to aj prostredníctvom podpory členských štátov pri vykonávaní smernice NIS a na účely aktívnejšieho boja proti konkrétnym hrozbám (operačná kapacita), ako aj tým, že sa stane strediskom odbornosti na podporu členských štátov a Komisie v otázkach kyberneticko-bezpečnostnej certifikácie. Na základe tohto návrhu: ·Agentúre ENISA by sa udelil trvalý mandát, ktorý by jej dal do budúcnosti stabilný základ. Jej mandát, ciele a úlohy by boli stále predmetom pravidelného preskúmania. ·Navrhovaným mandátom sa ďalej objasňuje úloha agentúry ENISA ako agentúry EÚ pre kybernetickú bezpečnosť a ako referenčného bodu v ekosystéme kybernetickej bezpečnosti EÚ, ktorý koná v úzkej spolupráci so všetkými ostatnými príslušnými orgánmi tohto ekosystému. ·Organizácia a riadenie agentúry, ktoré boli v hodnotení posúdené kladne, by sa preskúmali len v primeranej miere, a to najmä s cieľom zabezpečiť, aby sa v práci agentúry lepšie zohľadnili potreby širšieho spoločenstva zainteresovaných strán. ·V navrhovanom vymedzení rozsahu mandátu je mandát posilnený v tých oblastiach, kde agentúra preukázala jasnú pridanú hodnotu, a doplnený novými oblasťami, v ktorých je potrebná podpora vzhľadom na nové politické priority a nástroje, najmä pokiaľ ide o smernicu NIS, preskúmanie stratégie kybernetickej bezpečnosti EÚ, pripravovanú koncepciu kybernetickej bezpečnosti EÚ pre spoluprácu v prípade kybernetickej krízy a bezpečnostnú certifikáciu IKT. ·Príprava a vykonávanie politík EÚ: Úlohou agentúry ENISA by bolo aktívne prispievať k rozvoju politiky v oblasti sieťovej a informačnej bezpečnosti, ako aj k iným politickým iniciatívam s prvkami kybernetickej bezpečnosti v rozličných odvetviach (napr. v oblasti energetiky, dopravy, financií). Na tento účel by mala silnú poradnú úlohu, ktorú by mohla plniť poskytovaním nezávislých posudkov a prípravných prác zameraných na rozvoj a aktualizáciu politiky a právnych predpisov. Agentúra ENISA by takisto podporovala politiku a právne predpisy EÚ v oblasti elektronickej komunikácie, elektronickej identifikácie a dôveryhodných služieb s cieľom posilňovať úroveň kybernetickej bezpečnosti. Vo fáze vykonávania, najmä v kontexte skupiny pre spoluprácu v oblasti kybernetickej bezpečnosti vytvorenej smernicou NIS by agentúra ENISA pomáhala členským štátom pri dosahovaní jednotného prístupu k vykonávaniu smernice NIS naprieč hranicami aj odvetviami, ako aj v rámci iných príslušných politík a právnych predpisov. S cieľom podporiť pravidelné preskúmanie politiky a právnych predpisov v oblasti kybernetickej bezpečnosti by agentúra ENISA takisto poskytovala pravidelné správy o stave vykonávania právneho rámca EÚ. ·Budovanie kapacít: Agentúra ENISA by prispievala k zlepšovaniu schopností a odborných znalostí vnútroštátnych verejných orgánov a verejných orgánov EÚ, a to aj v oblasti reakcie na incidenty a dohľadu nad regulačnými opatreniami súvisiacimi s kybernetickou bezpečnosťou. Úlohou agentúry by takisto bolo prispievať k vytváraniu stredísk pre výmenu a analýzu informácií (ISAC) v rôznych odvetviach poskytovaním osvedčených postupov a usmernení o dostupných nástrojoch a postupoch, ako aj vhodných riešení regulačných otázok spojených s výmenou informácií. ·Znalosti a informácie, zvyšovanie povedomia: Agentúra ENISA by sa stala informačným centrom EÚ. Znamenalo by to podporu a výmenu osvedčených postupov a iniciatív v rámci EÚ prostredníctvom zhromažďovania informácií o kybernetickej bezpečnosti od inštitúcií, agentúr a orgánov EÚ a členských štátov. Agentúra by takisto sprístupňovala poradenstvo, usmernenia a osvedčené postupy, pokiaľ ide o bezpečnosť kritických infraštruktúr. V nadväznosti na rozsiahle cezhraničné kybernetické incidenty by agentúra ENISA okrem toho zostavovala správy s cieľom poskytnúť usmernenia podnikom a občanom v celej EÚ. Do tejto činnosti by patrilo aj pravidelné organizovanie aktivít na zvyšovanie povedomia v spolupráci s orgánmi členských štátov. ·Trhové úlohy (normalizácia, kyberneticko-bezpečnostná certifikácia): Agentúra ENISA by plnila viaceré funkcie s osobitnou podporou vnútorného trhu a pokrývala by „monitor trhu“ kybernetickej bezpečnosti prostredníctvom analýzy relevantných trendov na trhu kybernetickej bezpečnosti s cieľom lepšie zosúladiť dopyt a ponuku, ako aj prostredníctvom podpory rozvoja politiky EÚ v oblastiach normalizácie IKT a certifikácie kybernetickej bezpečnosti IKT. Pokiaľ ide konkrétne o normalizáciu, uľahčovala by vytváranie a zavádzanie kyberneticko-bezpečnostných noriem. Agentúra ENISA by takisto plnila úlohy stanovené v kontexte budúceho rámca pre certifikáciu (pozri oddiel ďalej). ·Výskum a inovácia: Agentúra ENISA by prispievala svojimi odbornými znalosťami v podobe poradenstva pre orgány EÚ a členských štátov, pokiaľ ide o stanovenie priorít v oblasti výskumu a vývoja, a to aj v kontexte zmluvného verejno-súkromného partnerstva v oblasti kybernetickej bezpečnosti (cPPP). Výskumné poradenstvo agentúry ENISA by sa premietlo do nového Európskeho strediska výskumu a kompetencií pre kybernetickú bezpečnosť v nasledujúcom viacročnom finančnom rámci. Agentúra ENISA by bola na požiadanie Komisie zapojená aj do vykonávania programov EÚ na financovanie výskumu a inovácie. ·Operačná spolupráca a krízové riadenie: táto časť práce by mala byť založená na posilňovaní existujúcich preventívnych operačných spôsobilostí, najmä vylepšením celoeurópskych cvičení v oblasti kybernetickej bezpečnosti (CyberEurope), a to tým, že sa budú uskutočňovať každoročne, a mala by byť založená aj na podpornej úlohe v rámci operačnej spolupráce – ako sekretariát siete jednotiek CSIRT (podľa ustanovení smernice NIS) tým, že sa okrem iného zabezpečí dobré fungovanie IT infraštruktúry a komunikačných kanálov siete jednotiek CSIRT. V tejto súvislosti by sa vyžadovalo nadviazanie štruktúrovanej spolupráce s tímom CERT-EU, Európskym centrom boja proti počítačovej kriminalite (EC3) a inými relevantnými orgánmi EÚ. Štruktúrovaná spolupráca s tímom CERT-EU v tesnej fyzickej blízkosti by okrem toho mala viesť k funkcii poskytovať technickú pomoc v prípade závažných incidentov a podporovať analýzu incidentov. Členské štáty, ktoré by o to požiadali, by získali pomoc na zvládnutie incidentov, ako aj podporu pri analýze zraniteľných miest, artefaktov a incidentov, aby mohli posilniť svoju vlastnú schopnosť prevencie a reakcie. ·Agentúra ENISA by takisto zohrávala úlohu pri koncepcii kybernetickej bezpečnosti EÚ predloženej ako súčasť tohto balíka, ktorá predstavuje odporúčanie Komisie členským štátom, aby koordinovane reagovali na rozsiahle cezhraničné kybernetické incidenty a krízy na úrovni EÚ. Agentúra ENISA by napomáhala spoluprácu medzi jednotlivými členskými štátmi pri reakciách na núdzové situácie prostredníctvom analýzy a zoskupovania situačných správ členských štátov na základe informácií, ktoré agentúre dobrovoľne sprístupnili členské štáty a iné subjekty. ·Certifikácia kybernetickej bezpečnosti produktov a služieb IKT V záujme vytvorenia a zachovania dôvery a bezpečnosti je potrebné, aby sa do produktov a služieb IKT priamo začlenili kyberneticko-bezpečnostné prvky už v počiatočných fázach ich technického navrhovania a vývoja (bezpečnosť už v štádiu návrhu – security by design). Okrem toho je potrebné, aby zákazníci a používatelia boli schopní zistiť, akú úroveň bezpečnostnej dôveryhodnosti majú produkty a služby, ktoré si obstarávajú alebo kupujú. Certifikácia, ktorá pozostáva z formálneho hodnotenia produktov, služieb a procesov nezávislým a akreditovaným subjektom na základe pevne stanovených noriem a kritérií a z vydania certifikátu o súlade, zohráva dôležitú úlohu pri zvyšovaní dôvery v produkty a služby a ich bezpečnosti. Hoci bezpečnostné hodnotenia sú dosť technickou oblasťou, certifikácia slúži na informovanie a uistenie kupujúcich a používateľov o bezpečnostných vlastnostiach produktov a služieb IKT, ktoré nakupujú alebo používajú. Ako sa už uviedlo, platí to predovšetkým pre nové systémy, ktoré v rozsiahlej miere využívajú digitálne technológie a ktoré si vyžadujú vysokú úroveň bezpečnosti, ako napríklad prepojené a automatizované autá, elektronické zdravotníctvo, riadiace systémy priemyselnej automatizácie (IACS) alebo inteligentné siete. V súčasnosti je situácia v oblasti certifikácie kybernetickej bezpečnosti produktov a služieb IKT v EÚ pomerne nevyrovnaná. Existuje niekoľko medzinárodných iniciatív, ako napríklad tzv. spoločné kritériá hodnotenia bezpečnosti informačných technológií [Common Criteria (CC) for Information Technology Security Evaluation, ISO 15408], ktoré sú medzinárodnou normou na hodnotenie počítačovej bezpečnosti. Vychádzajú z hodnotenia treťou stranou a siedmich stupňov zaručiteľnosti bezpečnosti (EAL). Spoločné kritériá a sprievodná spoločná metodika na hodnotenie bezpečnosti informačných technológií sú technickým základom pre medzinárodnú dohodu, vzájomné uznávanie spoločných kritérií (Common Criteria Recognition Arrangement, CCRA), ktorá zabezpečuje, že certifikáty podľa spoločných kritérií uznávajú všetci signatári dohody CCRA. V súčasnej verzii dohody CCRA sa však vzájomne uznávajú len hodnotenia do 2. stupňa zaručiteľnosti bezpečnosti (EAL 2). Dohodu okrem toho podpísalo len 13 členských štátov.

Certifikačné orgány 12 členských štátov uzavreli dohodu o vzájomnom uznávaní, pokiaľ ide o certifikáty vydané v súlade s dohodou na základe spoločných kritérií. V členských štátoch okrem toho v súčasnosti existujú alebo vznikajú viaceré iniciatívy certifikácie IKT. Hoci sú tieto iniciatívy dôležité, predstavujú riziko, že povedú k fragmentácii trhu a k problémom s interoperabilitou. V dôsledku toho možno bude potrebné, aby spoločnosti absolvovali niekoľko certifikačných postupov v rôznych členských štátoch, a až potom budú môcť ponúkať svoje produkty na viacerých trhoch. Napríklad výrobca inteligentných meradiel, ktorý by chcel svoje produkty predávať v troch členských štátoch, napr. v Nemecku, vo Francúzsku a v Spojenom kráľovstve, by mal v súčasnosti dodržiavať tri rôzne systémy certifikácie. Ide o Commercial Product Assurance (CPA) v Spojenom kráľovstve, Certification de Sécurité de Premier Niveau (CSPN) vo Francúzsku a osobitný profil ochrany založený na spoločných kritériách v Nemecku. Táto situácia vedie k vyšším nákladom a predstavuje značnú administratívnu záťaž pre spoločnosti pôsobiace vo viacerých členských štátoch. Zatiaľ čo náklady na certifikáciu sa môžu výrazne líšiť v závislosti od príslušného produktu/služby, požadovaného stupňa zaručiteľnosti bezpečnosti a/alebo iných zložiek, vo všeobecnosti sú pre podniky dosť výrazné. Napríklad náklady na certifikát BSI „Smart Meter Gateway“ sú vyššie ako milión eur (najvyššia úroveň testov a dôveryhodnosti, a netýka sa len jedného produktu, ale aj celej súvisiacej infraštruktúry). Náklady na certifikáciu pre inteligentné meradlá v Spojenom kráľovstve predstavujú takmer 150 000 EUR. Vo Francúzsku sú náklady podobné ako v Spojenom kráľovstve, približne 150 000 EUR alebo viac. Kľúčoví verejní a súkromní aktéri uznali, že v prípade neexistencie systému certifikácie kybernetickej bezpečnosti v celej EÚ musia byť spoločnosti za mnohých okolností certifikované jednotlivo v každom členskom štáte, čo vedie k fragmentácii trhu. Čo je najdôležitejšie, ak neexistujú harmonizačné právne predpisy EÚ pre produkty a služby IKT, rozdiely medzi normami a postupmi certifikácie kybernetickej bezpečnosti v členských štátoch by v praxi mohli viesť k vzniku 28 rôznych bezpečnostných trhov v EÚ, pričom každý z nich by mal svoje vlastné technické požiadavky, testovacie metódy a postupy certifikácie kybernetickej bezpečnosti. Ak sa na úrovni EÚ neprijmú primerané opatrenia, tieto rozdielne prístupy na národnej úrovni môžu byť významnou prekážkou pri dosahovaní jednotného digitálneho trhu a spomaliť prepojené pozitívne účinky z hľadiska rastu a pracovných miest alebo im zabrániť. Na základe uvedených skutočností sa navrhovaným nariadením zavádza európsky rámec certifikácie kybernetickej bezpečnosti (ďalej len „rámec“) produktov a služieb IKT a špecifikujú základné funkcie a úlohy agentúry ENISA v oblasti certifikácie kybernetickej bezpečnosti. V tomto návrhu sa stanovuje celkový rámec pravidiel upravujúcich európske systémy certifikácie kybernetickej bezpečnosti. V návrhu sa priamo nezavádzajú operačné systémy certifikácie, ale skôr vytvára systém (rámec) na stanovenie špecifických systémov certifikácie pre osobitné produkty/služby IKT („európske systémy certifikácie kybernetickej bezpečnosti“). Vytvorenie európskych systémov certifikácie kybernetickej bezpečnosti v súlade s rámcom umožní, aby certifikáty vydané v rámci týchto systémov boli platné a uznávané vo všetkých členských štátoch, a aby sa tak riešila súčasná fragmentácia trhu. Všeobecným účelom európskeho systému certifikácie kybernetickej bezpečnosti je potvrdiť, že produkty a služby IKT, ktoré boli certifikované v súlade s takýmto systémom, spĺňajú špecifikované kyberneticko-bezpečnostné požiadavky. Zahŕňalo by to napríklad ich schopnosť chrániť údaje (či už údaje uchovávané, prenášané alebo inak spracúvané) pred ich náhodným alebo nepovoleným uchovávaním, spracúvaním, zverejnením, zničením, ich náhodnou stratou či zmenou alebo pred náhodným či nepovoleným prístupom k takýmto údajom. Systémy certifikácie kybernetickej bezpečnosti EÚ by využívali existujúce normy týkajúce sa technických požiadaviek a postupov hodnotenia, ktoré by výrobky mali spĺňať, čiže systémy by technické normy nevyvíjali. Certifikácia v celej EÚ pre produkty, ako napríklad smart karty, ktoré sú v súčasnosti testované podľa medzinárodných noriem spoločných kritérií (CC) v rámci multilaterálneho systému SOG-IS (ako sa už uviedlo), by znamenala, že tento systém by sa stal platným v celej EÚ. V návrhu sa stanovuje osobitný súbor bezpečnostných cieľov, ktoré treba zohľadniť pri tvorbe špecifického európskeho systému certifikácie kybernetickej bezpečnosti, a aj to, čo by takéto systémy prinajmenšom mali obsahovať. Takéto systémy budú musieť okrem iného definovať určitý počet osobitných prvkov vymedzujúcich rozsah a predmet certifikácie kybernetickej bezpečnosti. Patrí sem určenie kategórií dotknutých produktov a služieb, podrobná špecifikácia kyberneticko-bezpečnostných požiadaviek (napríklad s odvolaním na príslušné normy alebo technické špecifikácie), konkrétne hodnotiace kritériá a metódy, ako aj cieľový stupeň dôveryhodnosti, ktorá sa má zabezpečiť: (t. j. základná, pokročilá alebo vysoká). Európske systémy certifikácie kybernetickej bezpečnosti pripraví agentúra ENISA v úzkej spolupráci s európskou skupinou pre certifikáciu kybernetickej bezpečnosti (pozri nižšie), ktorá bude agentúre poskytovať pomoc a odborné poradenstvo, a Komisia ich prijme prostredníctvom vykonávacích aktov. Ak sa zistí, že je potrebný systém certifikácie kybernetickej bezpečnosti, Komisia požiada agentúru ENISA o vypracovanie systému pre konkrétne produkty alebo služby IKT. Agentúra ENISA bude na danom systéme úzko spolupracovať s vnútroštátnymi orgánmi dohľadu nad certifikáciou zastúpenými v európskej skupine pre certifikáciu kybernetickej bezpečnosti. Členské štáty a uvedená skupina môžu Komisii navrhnúť, aby požiadala agentúru ENISA o vypracovanie určitého systému. Certifikácia môže byť veľmi nákladný proces, ktorý môže viesť k vyšším cenám pre zákazníkov a spotrebiteľov. Potreba certifikácie sa môže výrazne líšiť aj v závislosti od špecifických podmienok používania produktov a služieb a rýchleho tempa technologických zmien. Využitie európskej kyberneticko-bezpečnostnej certifikácie by preto malo byť aj naďalej dobrovoľné, pokiaľ sa to nestanovuje inak v právnych predpisoch Únie, ktorými sa stanovujú bezpečnostné požiadavky týkajúce sa produktov a služieb IKT. Aby sa zabezpečila harmonizácia a zabránilo fragmentácii, vnútroštátne systémy alebo postupy certifikácie kybernetickej bezpečnosti produktov a služieb IKT, na ktoré sa vzťahuje európsky systém certifikácie kybernetickej bezpečnosti, sa prestanú uplatňovať od dátumu stanoveného vo vykonávacom akte, ktorým sa systém prijíma. Členské štáty by okrem toho nemali zavádzať nové vnútroštátne systémy certifikácie kybernetickej bezpečnosti tých produktov a služieb IKT, na ktoré sa vzťahuje existujúci európsky systém certifikácie kybernetickej bezpečnosti. Po prijatí európskeho systému certifikácie kybernetickej bezpečnosti budú môcť výrobcovia produktov IKT alebo poskytovatelia služieb IKT požiadať ktorýkoľvek orgán posudzovania zhody, ktorý si zvolia, o certifikáciu svojich produktov alebo služieb. Orgány posudzovania zhody by mal akreditovať akreditačný orgán, ak spĺňajú určité špecifikované požiadavky. Akreditácia sa vydá najviac na päť rokov, pričom ju možno obnoviť za rovnakých podmienok, pokiaľ orgán posudzovania zhody spĺňa požiadavky. Akreditačné orgány odoberú akreditáciu orgánu posudzovania zhody, ak nie sú alebo prestanú byť splnené akreditačné podmienky, alebo ak kroky daného orgánu posudzovania zhody porušujú toto nariadenie. Na základe návrhu patria úlohy súvisiace s monitorovaním, dohľadom a presadzovaním do kompetencie členských štátov. Členské štáty budú musieť stanoviť jeden orgán dohľadu nad certifikáciou. Tento orgán bude mať za úlohu dohliadať na to, či sú orgány posudzovania zhody, ako aj certifikáty vydané orgánmi posudzovania zhody so sídlom na ich území, v súlade s požiadavkami tohto nariadenia a príslušnými európskymi systémami certifikácie kybernetickej bezpečnosti. Vnútroštátne orgány dohľadu nad certifikáciou budú mať právomoc vybavovať sťažnosti podané fyzickými alebo právnickými osobami v súvislosti s certifikátmi, ktoré vydali orgány posudzovania zhody so sídlom na ich území. Primerane prešetria predmet danej sťažnosti a sťažovateľa budú v primeranej lehote informovať o pokroku a výsledku tohto prešetrenia. Okrem toho budú spolupracovať s ostatnými orgánmi dohľadu nad certifikáciou alebo ďalšími verejnými orgánmi, napríklad poskytovaním informácií o možnom nesúlade produktov a služieb IKT s požiadavkami tohto nariadenia alebo s konkrétnymi európskymi systémami certifikácie kybernetickej bezpečnosti. Napokon sa v návrhu zriaďuje európska skupina pre certifikáciu kybernetickej bezpečnosti (ďalej len „skupina“) zložená z vnútroštátnych orgánov dohľadu nad certifikáciou všetkých členských štátov. Hlavnou úlohou skupiny je poskytovať Komisii poradenstvo v otázkach spojených s politikou certifikácie kybernetickej bezpečnosti a pracovať s agentúrou ENISA na vypracovaní návrhov európskych systémov certifikácie kybernetickej bezpečnosti. Agentúra ENISA bude Komisii pomáhať pri zabezpečovaní služieb sekretariátu skupiny a bude udržiavať aktualizovaný verejný zoznam systémov schválených v európskom rámci certifikácie kybernetickej bezpečnosti. Agentúra ENISA by takisto úzko spolupracovala s normalizačnými orgánmi s cieľom zabezpečiť, aby boli normy používané v schválených systémoch vhodné, ako aj identifikovať oblasti, v ktorých sú potrebné kyberneticko-bezpečnostné normy. Európsky rámec certifikácie kybernetickej bezpečnosti (ďalej len „rámec“) bude poskytovať občanom a podnikom viaceré prínosy. Konkrétne: ·Vytvorenie špecifických systémov kyberneticko-bezpečnostnej certifikácie pre osobitné produkty alebo služby IKT v celej EÚ poskytne podnikom jednotnú referenciu pre certifikáciu kybernetickej bezpečnosti v Únii. Takéto spoločnosti budú môcť svoj produkt certifikovať iba raz a získať certifikát platný vo všetkých členských štátoch. Nebudú povinné opätovne certifikovať svoje produkty u rôznych vnútroštátnych certifikačných orgánov. Tým sa výrazne znížia náklady pre podniky, podporia cezhraničné operácie a v konečnom dôsledku zníži fragmentácia vnútorného trhu pre príslušné produkty, alebo sa jej zabráni. ·Rámcom sa stanovuje nadradenosť európskych systémov certifikácie kybernetickej bezpečnosti nad vnútroštátnymi systémami: podľa tohto pravidla prijatie európskeho systému certifikácie kybernetickej bezpečnosti nahradí všetky existujúce paralelné vnútroštátne systémy pre tie isté produkty alebo služby IKT na danom stupni dôveryhodnosti. To bude mať za následok lepší prehľad a povedie k zníženiu súčasného veľkého počtu prekrývajúcich sa a niekedy aj protichodných vnútroštátnych systémov certifikácie kybernetickej bezpečnosti. ·Tento návrh takisto podporuje a dopĺňa vykonávanie smernice NIS tým, že podnikom, na ktoré sa daná smernica vzťahuje, poskytuje veľmi užitočný nástroj na preukázanie splnenia požiadaviek v oblasti sieťovej a informačnej bezpečnosti v celej Únii. Komisia a agentúra ENISA budú pri vývoji nových systémov certifikácie kybernetickej bezpečnosti venovať osobitnú pozornosť potrebe zabezpečiť, aby sa v systémoch certifikácie kybernetickej bezpečnosti odzrkadľovali požiadavky smernice NIS. ·Návrhom sa podporí a uľahčí rozvoj európskej politiky v oblasti kybernetickej bezpečnosti zosúladením podmienok a základných požiadaviek týkajúcich sa certifikácie kybernetickej bezpečnosti produktov a služieb IKT v EÚ. Európske systémy certifikácie kybernetickej bezpečnosti budú odkazovať na spoločné normy alebo kritériá hodnotenia a testovacie metódy. To významne, aj keď nepriamo, prispeje k využívaniu spoločných bezpečnostných riešení v EÚ, a tým aj k odstráneniu prekážok na vnútornom trhu. ·Rámec je navrhnutý tak, aby sa ním zabezpečila potrebná pružnosť systémov certifikácie kybernetickej bezpečnosti. V závislosti od konkrétnych kyberneticko-bezpečnostných potrieb sa môže produkt alebo služba certifikovať na vyššom alebo nižšom stupni zabezpečenia. Európske systémy certifikácie kybernetickej bezpečnosti sa vypracujú so zohľadnením tejto flexibility, a preto budú zabezpečovať rôzne stupne dôveryhodnosti (t. j. základnú, pokročilú alebo vysokú), aby sa mohli použiť na rôzne účely alebo v odlišných kontextoch. ·Všetky uvedené prvky zatraktívnia certifikáciu kybernetickej bezpečnosti pre podniky, keďže bude účinným prostriedkom poskytovania informácií o stupni dôveryhodnosti kybernetickej bezpečnosti produktov alebo služieb IKT. Ak sa kybernetická bezpečnosť stane lacnejšou, účinnejšou a komerčne atraktívnejšou, podniky budú mať väčšie stimuly na certifikovanie svojich produktov proti kyberneticko-bezpečnostným rizikám, čím sa prispeje k šíreniu lepších postupov v oblasti kybernetickej bezpečnosti pri navrhovaní produktov a služieb IKT (kybernetická bezpečnosť už v štádiu návrhu).

•Súlad s existujúcimi politickými ustanoveniami v tejto oblasti politiky Podľa smernice NIS sú prevádzkovatelia pôsobiaci v odvetviach, ktoré sú kľúčové pre naše hospodárstvo a spoločnosť, ako je energetika, doprava, voda, bankovníctvo, infraštruktúry finančných trhov, zdravotníctvo a digitálna infraštruktúra, ako aj poskytovatelia digitálnych služieb (vyhľadávače, služby cloud computingu a online trhoviská), povinní prijať opatrenia na vhodné riadenie bezpečnostných rizík. Nové pravidlá tohto návrhu dopĺňajú ustanovenia smernice NIS a zabezpečujú súlad s nimi s cieľom ďalej zvyšovať kybernetickú odolnosť EÚ posilnením spôsobilostí, spolupráce, riadenia rizík a povedomia o kybernetickej bezpečnosti. Pravidlá certifikácie kybernetickej bezpečnosti okrem toho predstavujú základný nástroj pre spoločnosti, na ktoré sa vzťahuje smernica NIS, keďže budú môcť certifikovať svoje produkty a služby IKT ako odolné proti kyberneticko-bezpečnostným rizikám na základe systémov certifikácie kybernetickej bezpečnosti, ktoré sú platné a uznávané v celej EÚ. Budú takisto doplnkom k bezpečnostným požiadavkám uvedeným v nariadení eIDAS a v smernici o rádiových zariadeniach. •Súlad s ostatnými politikami Únie Nariadením (EÚ) 2016/679 (všeobecné nariadenie o ochrane údajov) sa stanovuje zriadenie certifikačných mechanizmov, pečatí a značiek ochrany údajov na preukázanie súladu spracovateľských operácií prevádzkovateľov a sprostredkovateľov s daným nariadením. Týmto nariadením nie je dotknutá certifikácia operácií spracovania údajov podľa všeobecného nariadenia o ochrane údajov, čo platí aj pre prípady, keď sú takéto operácie súčasťou produktov a služieb. Navrhovaným nariadením sa zabezpečí zlučiteľnosť s nariadením 765/2008 o požiadavkách akreditácie a dohľadu nad trhom odvolaním na pravidlá uvedeného rámca, pokiaľ ide o vnútroštátne akreditačné orgány a orgány posudzovania zhody. Pokiaľ ide o orgány dohľadu, navrhovaným nariadením sa od členských štátov bude vyžadovať, aby určili vnútroštátne orgány dohľadu nad certifikáciou, ktorých úlohou by bol dohľad, monitorovanie a presadzovanie pravidiel. Tieto orgány budú aj naďalej oddelené od orgánov posudzovania zhody, ako sa stanovuje v nariadení č. 765/2008. 2.PRÁVNY ZÁKLAD, SUBSIDIARITA A PROPORCIONALITA •Právny základ Právnym základom pre opatrenie EÚ je článok 114 Zmluvy o fungovaní Európskej únie (ZFEÚ), ktorý sa týka aproximácie práva členských štátov v záujme dosiahnutia cieľov článku 26 ZFEÚ, t. j. riadneho fungovania vnútorného trhu. Právny základ vnútorného trhu na zriadenie agentúry ENISA potvrdil Súdny dvor (vo veci C-217/04 Spojené kráľovstvo/Európsky parlament a Rada) a ďalej sa potvrdil v roku 2013 nariadením, ktorým sa stanovil súčasný mandát agentúry. Okrem toho činnosti, v rámci ktorých by sa zohľadňovali ciele posilnenia spolupráce a koordinácie medzi členskými štátmi a ktorými by sa pridávali spôsobilosti na úrovni EÚ na doplnenie opatrení členských štátov, by patrili do kategórie „operačnej spolupráce“. To sa výslovne uvádza v smernici NIS (ktorej právnym základom je článok 114 ZFEÚ) ako cieľ, ktorý sa má sledovať v rámci siete jednotiek CSIRT, pre ktorú „Agentúra ENISA zabezpečuje sekretariát a aktívne podporuje spoluprácu“ (článok 12 ods. 2). Konkrétne v článku 12 ods. 3 písm. f) sa ďalej ako úloha siete jednotiek CSIRT opisuje určenie ďalších foriem operačnej spolupráce, okrem iného aj v súvislosti: i) s kategóriami rizík a incidentov; ii) so včasnými varovaniami; iii) so vzájomnou pomocou; a iv) so zásadami a spôsobmi koordinácie, keď členské štáty reagujú na cezhraničné riziká a incidenty. ·Súčasná fragmentácia systémov certifikácie kybernetickej bezpečnosti produktov a služieb IKT je takisto výsledkom nedostatočného spoločného právne záväzného a účinného rámcového postupu uplatniteľného na členské štáty. To bráni tvorbe vnútorného trhu produktov a služieb IKT a brzdí konkurencieschopnosť európskeho priemyslu v tomto odvetví. Cieľom tohto návrhu je riešiť súčasnú fragmentáciu a súvisiace prekážky pre vnútorný trh, a to zabezpečením spoločného rámca na zriadenie systémov certifikácie kybernetickej bezpečnosti platných v celej EÚ. Subsidiarita (v prípade inej ako výlučnej právomoci) Zásada subsidiarity si vyžaduje posúdenie nevyhnutnosti a pridanej hodnoty opatrenia EÚ. Dodržiavanie zásady subsidiarity v tejto oblasti už bolo uznané pri prijímaní súčasného nariadenia o agentúre ENISA. Kybernetická bezpečnosť je otázkou spoločného záujmu Únie. Siete a informačné systémy sú vzájomne závislé do takej miery, že jednotliví aktéri (verejní a súkromní vrátane občanov) veľmi často nemôžu samostatne čeliť hrozbám kybernetických incidentov a riadiť riziká a možné vplyvy s nimi spojené. Na jednej strane je verejná intervencia na európskej úrovni nielen priaznivá, ale aj potrebná, a to z dôvodu vzájomnej závislosti členských štátov, aj pokiaľ ide o prevádzku kritických infraštruktúr (napríklad energetika, doprava, voda). Na druhej strane môže zásah EÚ priniesť pozitívny „vedľajší“ účinok šírenia osvedčených postupov medzi členskými štátmi, čo môže mať za následok zvýšenie kybernetickej bezpečnosti Únie. V súčasnej situácii a pri pohľade na budúce možné scenáre sa zdá, že na zvýšenie spoločnej kybernetickej odolnosti Únie nebudú jednotlivé činnosti členských štátov EÚ a nejednotný prístup ku kybernetickej bezpečnosti postačovať. Opatrenia EÚ sa považujú za nevyhnutné aj na riešenie problému fragmentácie súčasných systémov certifikácie kybernetickej bezpečnosti. To by výrobcom umožnilo v plnej miere využívať výhody vnútorného trhu, pričom by výrazne ušetrili náklady z hľadiska testovania a prepracovania produktov. Hoci napríklad súčasná dohoda skupiny vysokých úradníkov pre bezpečnosť informačných systémov o vzájomnom uznávaní (SOG-IS) v tejto súvislosti dosiahla významné výsledky, ukázali sa aj dôležité obmedzenia, kvôli ktorým nie je úplne vhodná na poskytovanie dlhodobejšie udržateľných riešení pri dosahovaní plného potenciálu vnútorného trhu. Pridaná hodnota prijatia krokov na úrovni EÚ, najmä s cieľom posilniť spoluprácu medzi členskými štátmi, ale aj medzi komunitami sieťovej a informačnej bezpečnosti, sa uznala v záveroch Rady z roku 2016 a takisto jasne vyplynula z hodnotenia agentúry ENISA.

•Proporcionalita Navrhnuté opatrenia neprekračujú rámec toho, čo je potrebné na dosiahnutie ich politických cieľov. Okrem toho rozsah intervencie EÚ nebráni prijatiu akýchkoľvek ďalších opatrení jednotlivých štátov v oblasti národnej bezpečnosti. Opatrenia na úrovni EÚ sú preto opodstatnené z hľadiska zásady subsidiarity a proporcionality. •Výber nástroja Týmto návrhom sa reviduje nariadenie (EÚ) č. 526/2013, ktorým sa stanovuje súčasný mandát a úlohy agentúry ENISA. Vzhľadom na dôležitú úlohu agentúry ENISA pri vytváraní a riadení rámca kyberneticko-bezpečnostnej certifikácie EÚ je okrem toho najlepším riešením stanoviť nový mandát agentúry ENISA a uvedený rámec jediným právnym nástrojom v podobe nariadenia. 3.VÝSLEDKY HODNOTENÍ EX POST, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU Hodnotenia ex post/kontroly vhodnosti existujúcich právnych predpisov Komisia v rámci plánu hodnotenia posudzovala, akú má agentúra relevantnosť, dosah, efektívnosť, účinnosť koherentnosť a pridanú hodnotu vzhľadom na jej výsledky, riadenie, vnútornú organizačnú štruktúru a pracovné postupy v období rokov 2013 – 2016. Najdôležitejšie zistenia možno zhrnúť takto (viac informácií sa uvádza v pracovnom dokumente útvarov Komisie o tejto veci, ktorý je pripojený k posúdeniu vplyvu). ·Relevantnosť: Vzhľadom na technologický vývoj a vyvíjajúce sa hrozby a vzhľadom na značnú potrebu zvýšenia kybernetickej bezpečnosti v EÚ sa ciele agentúry ENISA ukázali ako relevantné. Členské štáty a orgány EÚ sa opierajú o jej bohaté odborné znalosti otázok kybernetickej bezpečnosti. V členských štátoch treba okrem toho budovať kapacity s cieľom lepšie pochopiť hrozby a reagovať na ne a zainteresované strany by mali spolupracovať naprieč tematickými oblasťami a inštitúciami. Kybernetická bezpečnosť je aj naďalej kľúčovou politickou prioritou EÚ, na ktorú má agentúra ENISA reagovať; koncepcia agentúry ENISA ako agentúry EÚ s časovo obmedzeným mandátom však: i) neumožňuje dlhodobé plánovanie a udržateľnú podporu členských štátov a inštitúcií EÚ; ii) môže viesť k právnemu vákuu, keďže ustanovenia smernice NIS, ktorými sa agentúra ENISA poveruje úlohami, majú trvalý charakter; iii) nie je koherentná s víziou prepojenia agentúry ENISA s posilneným ekosystémom kybernetickej bezpečnosti EÚ. ·Účinnosť: Agentúra ENISA celkovo splnila svoje ciele a úlohy. Prispela k zvýšeniu bezpečnosti sietí a informácií v Európe prostredníctvom jej hlavných činností (budovanie kapacít, poskytovanie odborných znalostí, budovanie komunity a podpora politiky). Ukázalo sa však, že pri každej z činností ešte existuje priestor na zlepšenie. V hodnotení sa dospelo k záveru, že agentúra ENISA účinne vytvorila silné a spoľahlivé vzťahy s niektorými so svojich zainteresovaných strán, predovšetkým s členskými štátmi a spoločenstvom jednotiek CSIRT. Zásahy v oblasti budovania kapacít boli vnímané ako účinné, najmä z pohľadu členských štátov, ktoré disponujú menej zdrojmi. Jedným z najvýznamnejších prvkov bola podpora rozsiahlej spolupráce – zainteresované strany sa všeobecne zhodli v tom, že agentúra ENISA zohráva pozitívnu úlohu pri spájaní ľudí. Agentúra ENISA však čelila problémom pri snahách výrazne zapôsobiť v rozsiahlej oblasti bezpečnosti sietí a informácií. Bolo to aj preto, že pri veľmi rozsiahlom mandáte mala k dispozícii pomerne obmedzené ľudské a finančné zdroje. Hodnotením sa dospelo aj k záveru, že agentúra ENISA splnila svoj cieľ poskytovania odborných znalostí len čiastočne, čo súvisí s problémami pri nábore odborníkov (pozri tiež oddiel nižšie týkajúci sa efektívnosti). ·Efektívnosť: Agentúra dokázala napriek obmedzenému rozpočtu – jednému z najnižších v porovnaní s inými agentúrami EÚ, prispieť k cieľom, na ktoré bola zameraná, a celkovo preukázala efektívnosť pri využívaní svojich zdrojov. V hodnotení sa dospelo k záveru, že postupy boli vo všeobecnosti efektívne, a jasné vymedzenie zodpovedností v organizácii viedlo k dobre vykonanej práci. Jednou z hlavných výziev v súvislosti s efektívnosťou agentúry ENISA boli ťažkosti pri nábore a udržaní vysokokvalifikovaných odborníkov. Zo zistení vyplýva, že to možno vysvetliť kombináciou viacerých faktorov, medzi ktoré patria všeobecné ťažkosti verejného sektora konkurovať súkromnému sektoru pri snahe zamestnávať špecializovaných odborníkov, typ zmlúv (na dobu určitú), ktoré mohla agentúra vo väčšine prípadov ponúknuť, a do istej miery aj nízka atraktivita v súvislosti s umiestnením agentúry ENISA (napríklad ťažkosti partnerov zamestnancov nájsť si zamestnanie). Rozdelenie činností medzi Aténami a Heraklionom si vyžadovalo dodatočné úsilie o koordináciu a jeho dôsledkom boli dodatočné náklady, ale premiestnenie hlavných činností do Atén v roku 2013 zvýšilo prevádzkovú efektívnosť agentúry. ·Koherentnosť: Činnosti agentúry ENISA boli vo všeobecnosti v súlade s politikami a činnosťami jej zainteresovaných strán, a to na národnej úrovni aj na úrovni EÚ, ale je potrebný koordinovanejší prístup ku kybernetickej bezpečnosti na úrovni EÚ. Potenciál spolupráce medzi agentúrou ENISA a ďalšími orgánmi EÚ sa nevyužil v plnej miere. V dôsledku vývoja v oblasti právnych predpisov a politiky EÚ je dnes súčasný mandát menej koherentný. ·Pridaná hodnota pre EÚ: Pridaná hodnota agentúry ENISA spočíva predovšetkým v schopnosti agentúry posilňovať spoluprácu, a to najmä medzi členskými štátmi, ale aj spoluprácu súvisiacich spoločenstiev sieťovej a informačnej bezpečnosti. Na úrovni EÚ neexistuje žiadny iný aktér, ktorý by podporoval spoluprácu tak rôznorodej škály zainteresovaných strán v oblasti bezpečnosti sietí a informácií. Pridaná hodnota agentúry sa rôznila podľa rozdielnych potrieb a zdrojov jej zainteresovaných strán (napr. veľké členské štáty verzus malé členské štáty; členské štáty verzus odvetvie) a podľa potreby agentúry stanoviť priority pre svoje činnosti na základe pracovného programu. V hodnotení sa dospelo k záveru, že prípadné zrušenie agentúry ENISA by znamenalo premárnenú príležitosť pre všetky členské štáty. Zabezpečiť rovnaký stupeň budovania komunity a spolupráce medzi členskými štátmi v oblasti kybernetickej bezpečnosti nebude možné. Bez centralizovanejšej agentúry EÚ by bola celková situácia rozdrobenejšia a na prázdne miesto po agentúre ENISA by nastúpila bilaterálna alebo regionálna spolupráca. S osobitným zreteľom na minulú prácu aj na budúcnosť agentúry ENISA z procesu konzultácií v roku 2017 vyplynuli tieto hlavné trendy: ·Celkové výsledky agentúry ENISA v období rokov 2013 – 2016 pozitívne hodnotila väčšina respondentov (74 %). Väčšina respondentov sa ďalej domnievala, že agentúra ENISA dosahuje svoje konkrétne ciele (aspoň 63 % v prípade každého z cieľov). Služby a produkty agentúry ENISA pravidelne (mesačne alebo častejšie) používala takmer polovica respondentov (46 %) a tieto služby a produkty respondenti oceňujú kvôli tomu, že pochádzajú od orgánu na úrovni EÚ (83 %) a kvôli ich kvalite (62 %). ·Respondenti uviedli viaceré nedostatky a výzvy pre budúcnosť kybernetickej bezpečnosti v EÚ, najmä týchto päť hlavných (spolu ich bolo šestnásť): spolupráca medzi členskými štátmi; kapacita na predchádzanie, odhaľovanie a riešenie rozsiahlych kybernetických útokov; spolupráca medzi členskými štátmi v záležitostiach týkajúcich sa kybernetickej bezpečnosti; spolupráca a výmena informácií medzi rôznymi zainteresovanými stranami vrátane spolupráce medzi verejným a súkromným sektorom; ochrana kritickej infraštruktúry pred kybernetickými útokmi. ·Veľká väčšina (88 %) respondentov sa domnievala, že súčasné nástroje a mechanizmy, ktoré sú k dispozícii na úrovni EÚ, sú pri riešení uvedených nedostatkov a výziev nedostatočné alebo postačujú len čiastočne. Veľká väčšina respondentov (98 %) uviedla, že na tieto potreby by mal reagovať orgán EÚ a 99 % z nich by na tento účel vybralo agentúru ENISA. Konzultácie so zainteresovanými stranami ·Komisia zorganizovala od 12. apríla do 5. júla 2016 verejnú konzultáciu na preskúmanie agentúry ENISA a dostala 421 odpovedí. Podľa výsledkov 67,5 % respondentov vyjadrilo názor, že agentúra ENISA by mohla zohrávať úlohu pri stanovovaní harmonizovaného rámca bezpečnostnej certifikácie produktov a služieb IT.

Z výsledkov konzultácie z roku 2016 o zmluvnom verejno-súkromnom partnerstve v oblasti kybernetickej bezpečnosti (cPPP), pokiaľ ide o certifikáciu, vyplýva: ·50,4 % (t. j. 121 z 240) respondentov nevie, či sú vnútroštátne systémy certifikácie vzájomne uznávané vo všetkých členských štátoch EÚ. 25,8 % (62 z 240) odpovedalo „nie“, zatiaľ čo 23,8 % (57 z 240) odpovedalo „áno“. ·37,9 % respondentov (91 z 240) si myslí, že existujúce systémy certifikácie nepodporujú potreby európskeho priemyslu. Na druhej strane opačný názor vyjadrilo 17,5 % respondentov (42 z 240), predstavujúcich najmä globálne spoločnosti pôsobiace na európskom trhu. ·49,6 % (119 z 240) respondentov tvrdí, že preukázať rovnocennosť noriem, systémov certifikácie a označení nie je ľahké. 37,9 % (91 z 240) odpovedalo „neviem“, zatiaľ čo iba 12,5 % (30 z 240) odpovedalo „áno“. Získavanie a využívanie expertízy Komisia vychádzala z tohto externého odborného poradenstva: ·Štúdia o hodnotení ENISA (Ramboll/Carsa 2017; SMART č. 2016/0077), ·Štúdia o bezpečnostnej certifikácii a označovaní IKT – zhromažďovanie dôkazov a hodnotenie vplyvu (PriceWaterhouseCoopers 2017; SMART č. 2016/0029). Posúdenie vplyvu ·V správe o posúdení vplyvu tejto iniciatívy sa identifikovali tieto hlavné problémy, ktoré je potrebné riešiť: ·fragmentácia politík a prístupov ku kybernetickej bezpečnosti v jednotlivých členských štátoch; ·rozptýlené vynakladanie zdrojov a fragmentácia prístupov ku kybernetickej bezpečnosti v rámci inštitúcií, agentúr a orgánov EÚ a ·nedostatočné povedomie a informovanosť občanov a spoločností spolu s narastajúcim množstvom systémov certifikácie jednotlivých členských štátov a odvetví. V správe sa posudzovali tieto možnosti so zreteľom na mandát agentúry ENISA: ·zachovanie súčasného stavu, to znamená, že predĺžený mandát by bol stále časovo obmedzený (východisková možnosť); ·ukončenie súčasného mandátu agentúry ENISA bez predĺženia a ukončenie činnosti agentúry ENISA (bez zásahu); ·„reformovaná agentúra ENISA“ a ·agentúra EÚ pre kybernetickú bezpečnosť s plnými operačnými spôsobilosťami.

V správe sa posudzovali tieto možnosti so zreteľom na certifikáciu kybernetickej bezpečnosti: ·bez zásahu (východisková možnosť); ·nelegislatívne opatrenia (právne nezáväzné, „soft law“); ·legislatívny akt EÚ s cieľom vytvoriť povinný systém pre všetky členské štáty na základe systému SOG-IS a ·všeobecný rámec certifikácie kybernetickej bezpečnosti IKT v EÚ. V analýze sa dospelo k záveru, že uprednostňovanou možnosťou je „reformovaná agentúra ENISA“ v kombinácii so všeobecným rámcom certifikácie kybernetickej bezpečnosti IKT v EÚ. Usúdilo sa, že táto uprednostňovaná možnosť je pre EÚ najúčinnejšia na dosiahnutie stanovených cieľov, ktorými sú: zvyšovanie spôsobilostí, pripravenosti, spolupráce, informovanosti, transparentnosti a zabraňovanie fragmentácii trhu v oblasti kybernetickej bezpečnosti. Taktiež sa vyhodnotila ako najkoherentnejšia s politickými prioritami stratégie kybernetickej bezpečnosti EÚ a súvisiacich politík (napr. smernice NIS) a so stratégiou digitálneho jednotného trhu. Z konzultačného procesu vyplynulo aj to, že táto uprednostňovaná možnosť sa teší podpore väčšiny zainteresovaných strán. Okrem toho sa pri analýze uskutočnenej v rámci posúdenia vplyvu ukázalo, že uprednostňovanou možnosťou by sa ciele dosiahli s rozumným vynaložením zdrojov. Výbor Komisie pre kontrolu regulácie vydal najskôr 24. júla negatívne stanovisko, neskôr 25. augusta 2017 kladné stanovisko na základe opätovného predloženia. Pozmenená správa o posúdení vplyvu zahŕňala dodatočné podporné dôkazy, konečné závery hodnotenia agentúry ENISA a dodatočné vysvetlenia politických možností a ich vplyvu. Príloha 1 k záverečnej správe o posúdení vplyvu obsahuje zhrnutie toho, ako sa zohľadnili pripomienky výboru v druhom stanovisku. Správa sa aktualizovala s cieľom zahrnúť do nej podrobnejšie súvislosti kybernetickej bezpečnosti EÚ vrátane opatrení, ktoré sú uvedené v spoločnom oznámení s názvom „Odolnosť, odrádzanie a obrana: budovanie silnej kybernetickej bezpečnosti pre EÚ“ [JOIN(2017) 450)] a ktoré majú pre agentúru ENISA osobitný význam: koncepcia kybernetickej bezpečnosti EÚ a Európske stredisko výskumu a kompetencií pre kybernetickú bezpečnosť, s ktorým by agentúra spojila svoje poradenstvo týkajúce sa potrieb výskumu v EÚ. V správe sa uvádza, ako by táto reforma agentúry vrátane nových úloh, lepších podmienok zamestnávania a štrukturálnej spolupráce s orgánmi EÚ v tejto oblasti zlepšila jej príťažlivosť ako zamestnávateľa a pomohla riešiť problémy týkajúce sa náboru odborníkov. V prílohe 6 k správe je predstavený aj revidovaný odhad nákladov súvisiacich s rôznymi politickými možnosťami v prípade agentúry ENISA. Z hľadiska certifikácie sa správa zrevidovala s cieľom poskytnúť podrobnejšie vysvetlenie s grafickým znázornením uprednostňovanej možnosti, ako aj s cieľom poskytnúť odhady nákladov pre členské štáty a Komisiu v súvislosti s novým rámcom certifikácie. Výber agentúry ENISA ako kľúčového aktéra v danom rámci sa odôvodnil odbornosťou agentúry v danej oblasti a skutočnosťou, že na úrovni EÚ je jedinou agentúrou pre kybernetickú bezpečnosť. Oddiely týkajúce sa certifikácie sa preskúmali s cieľom objasniť aspekty súvisiace s rozdielom oproti súčasnému systému SOG-IS a výhody spojené s rôznymi politickými možnosťami a s cieľom vysvetliť, že druh produktov a služieb IKT, na ktoré sa vzťahuje európsky systém certifikácie, sa vymedzí v samotnom schválenom systéme. Regulačná vhodnosť a zjednodušenie Neuplatňuje sa. Dosah na základné práva Kybernetická bezpečnosť zohráva dôležitú úlohu pri ochrane súkromia a osobných údajov jednotlivcov v súlade s článkami 7 a 8 Charty základných práv EÚ. V prípade kybernetických incidentov jasne dochádza k vystaveniu súkromia a ochrany našich osobných údajov. Kybernetická bezpečnosť je preto nevyhnutnou podmienkou na rešpektovanie súkromia a dôvernosti našich osobných údajov. Z tohto pohľadu a so zameraním na posilnenie kybernetickej bezpečnosti v Európe je tento návrh dôležitým doplnkom existujúcich právnych predpisov chrániacich základné právo na súkromie a ochranu osobných údajov. Kybernetická bezpečnosť je dôležitá aj na ochranu dôvernosti našej elektronickej komunikácie, a preto aj pre uplatňovanie slobody prejavu a práva na informácie a ďalších súvisiacich práv, ako je sloboda myslenia, svedomia a náboženského vyznania. 4.VPLYV NA ROZPOČET Pozri finančný výkaz. 5.ĎALŠIE PRVKY •Plány vykonávania, spôsob monitorovania, hodnotenia a podávania správ Komisia bude monitorovať uplatňovanie nariadenia a každých päť rokov predloží hodnotiacu správu Európskemu parlamentu, Rade a Európskemu hospodárskemu a sociálnemu výboru. Tieto správy budú verejné a budú sa týkať účinného uplatňovania a presadzovania tohto nariadenia.

•Podrobné vysvetlenie konkrétnych ustanovení návrhu Hlava I tohto nariadenia obsahuje všeobecné ustanovenia: predmet úpravy (článok 1), vymedzenie pojmov (článok 2) vrátane odkazov na príslušné vymedzenia pojmov z ostatných nástrojov EÚ, ako je napríklad smernica Európskeho parlamentu a Rady (EÚ) 2016/1148 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (smernica NIS), nariadenie Európskeho parlamentu a Rady (ES) č. 765/2008, ktorým sa stanovujú požiadavky akreditácie a dohľadu nad trhom v súvislosti s uvádzaním výrobkov na trh a ktorým sa zrušuje nariadenie (EHS) č. 339/93, a nariadenie Európskeho parlamentu a Rady (EÚ) č. 1025/2012 o európskej normalizácii. Hlava II nariadenia obsahuje kľúčové ustanovenia týkajúce sa agentúry ENISA, Agentúry EÚ pre kybernetickú bezpečnosť. V kapitole I tejto hlavy sa stanovuje mandát (článok 3), ciele (článok 4) a úlohy agentúry (články 5 až 11). V kapitole II sa opisuje organizácia agentúry ENISA a kľúčové ustanovenia o jej štruktúre (článok 12). Zameriava sa na zloženie, pravidlá hlasovania a funkcie správnej rady (oddiel 1, články 13 až 17), výkonnej rady (oddiel 2, článok 18) a výkonného riaditeľa (oddiel 3, článok 19). Obsahuje aj ustanovenia o zložení a úlohe stálej skupiny zainteresovaných strán (oddiel 4, článok 20). V neposlednom rade sa v oddiele 5 tejto kapitoly podrobne uvádzajú pravidlá týkajúce sa činnosti agentúry, a to aj pokiaľ ide o plánovanie činností, konflikt záujmov, transparentnosť, dôvernosť a prístup k dokumentom (články 21 – 25). Kapitola III sa týka zostavovania a štruktúry rozpočtu agentúry (články 26 a 27), ako aj pravidiel upravujúcich jeho plnenie (články 28 a 29). Obsahuje aj ustanovenia na uľahčenie boja proti podvodom, korupcii a iným nezákonným činnostiam (článok 30). Kapitola IV sa týka personálu agentúry. Sú v nej uvedené všeobecné ustanovenia týkajúce sa služobného poriadku, podmienok zamestnávania a pravidiel upravujúcich výsady a imunity (článok 31 a 32). Podrobne sa v nej opisujú aj pravidlá výberu a vymenovania výkonného riaditeľa agentúry (článok 33). V neposlednom rade obsahuje ustanovenia, ktorými sa riadi využívanie vyslaných národných expertov alebo ďalších pracovníkov, ktorých agentúra nezamestnáva (článok 34). Kapitola V obsahuje všeobecné ustanovenia týkajúce sa agentúry. Uvádza sa v nej právne postavenie (článok 35) a zahŕňa aj ustanovenia týkajúce sa otázok zodpovednosti, pravidiel používania jazykov, ochrany osobných údajov (články 36 – 38), ako aj bezpečnostné predpisy v oblasti ochrany utajovaných skutočností a citlivých neutajovaných skutočností (článok 40). Opisujú sa v nej pravidlá spolupráce agentúry s tretími krajinami a medzinárodnými organizáciami (článok 39). V neposlednom rade obsahuje aj ustanovenia týkajúce sa sídla agentúry a jej prevádzkových podmienok, ako aj administratívnej kontroly zo strany ombudsmana (články 41 a 42). V hlave III nariadenia sa zriaďuje európsky rámec kyberneticko-bezpečnostnej certifikácie (ďalej len „rámec“) pre produkty a služby IKT ako lex generalis (článok 1). Vymedzuje sa v nej všeobecný účel európskych systémov certifikácie kybernetickej bezpečnosti, t. j. zabezpečiť, aby produkty a služby IKT spĺňali konkrétne kyberneticko-bezpečnostné požiadavky z hľadiska ich schopnosti na určitom stupni dôveryhodnosti odolať konaniu s cieľom ohroziť dostupnosť, pravosť, integritu a dôvernosť uložených, prenášaných alebo spracúvaných údajov alebo súvisiacich funkcií alebo služieb (článok 43). Okrem toho sa v nej uvádzajú ciele v oblasti bezpečnosti, na ktoré sa plánujú zamerať európske systémy certifikácie kybernetickej bezpečnosti (článok 45), ako je okrem iného schopnosť chrániť údaje pred náhodným alebo nepovoleným únikom, zničením či zmenou alebo pred náhodným či nepovoleným prístupom k takýmto údajom, a obsah (t. j. prvky) európskych systémov certifikácie kybernetickej bezpečnosti, ako je podrobná špecifikácia rozsahu ich pôsobnosti, bezpečnostné ciele, hodnotiace kritériá atď. (článok 47). V hlave III sa stanovujú aj hlavné právne účinky európskych systémov certifikácie kybernetickej bezpečnosti, a to i) povinnosť uplatniť systém na vnútroštátnej úrovni a dobrovoľný charakter certifikácie; ii) anulujúci účinok európskych systémov certifikácie kybernetickej bezpečnosti na vnútroštátne systémy v prípade rovnakých produktov alebo služieb (články 48 a 49). V tejto hlave sa ďalej stanovuje postup na prijatie európskych systémov certifikácie kybernetickej bezpečnosti a príslušné úlohy Komisie, agentúry ENISA a európskej skupiny pre certifikáciu kybernetickej bezpečnosti (ďalej len „skupina“) (článok 44). Obsahuje aj ustanovenia o orgánoch posudzovania zhody vrátane ich povinností, právomocí a úloh, o vnútroštátnych orgánoch dohľadu nad certifikáciou, ako aj o sankciách. Skupina sa v tejto v tejto hlave stanovuje ako významný orgán zložený zo zástupcov vnútroštátnych orgánov dohľadu nad certifikáciou, ktorého hlavnou funkciou je pracovať spoločne s agentúrou ENISA na príprave európskych systémov certifikácie kybernetickej bezpečnosti a poskytovať Komisii poradenstvo v súvislosti so všeobecnými alebo osobitnými problémami týkajúcimi sa politiky v oblasti kyberneticko-bezpečnostnej certifikácie. Hlava IV nariadenia obsahuje záverečné ustanovenia, v ktorých sa opisuje vykonávanie delegovania právomoci, požiadavky na hodnotenie, zrušenie a nástupníctvo, ako aj nadobudnutie účinnosti.



2017/0225 (COD) Návrh NARIADENIE EURÓPSKEHO PARLAMENTU A RADY o Agentúre EÚ pre kybernetickú bezpečnosť (ENISA), o zrušení nariadenia (EÚ) č. 526/2013 a o certifikácii kybernetickej bezpečnosti informačných a komunikačných technológií („akt o kybernetickej bezpečnosti“) (Text s významom pre EHP) EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE,

so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 114, so zreteľom na návrh Európskej komisie, po postúpení návrhu legislatívneho aktu národným parlamentom, so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru, so zreteľom na stanovisko Výboru regiónov, konajúc v súlade s riadnym legislatívnym postupom, keďže: (1)Siete, informačné systémy a telekomunikačné siete a služby sú pre našu spoločnosť kľúčové a stali sa oporným pilierom hospodárskeho rastu. Na informačných a komunikačných technológiách sú založené komplexné systémy, ktoré podporujú spoločenské činnosti, udržujú chod kľúčových odvetví hospodárstva ako zdravotníctvo, energetika, financie či doprava, a najmä podporujú fungovanie vnútorného trhu. (2)Občania, firmy i verejné orgány v Únii dnes využívajú siete a informačné systémy na každom kroku. Digitalizácia a prepojenie sa stávajú samozrejmosťou pre čoraz viac produktov a služieb, pričom sa očakáva, že s nástupom internetu vecí (IoT) prídu na trh EÚ v najbližšom desaťročí milióny, ak nie miliardy prepojených digitálnych zariadení. Na internet je pripojených čoraz viac zariadení, no ich bezpečnosť a odolnosť nie je vo fáze navrhovania dostatočne zohľadnená, čo vedie k nedostatočnej kybernetickej bezpečnosti. Keďže certifikácia sa v tomto kontexte využíva obmedzene, organizácie a jednotliví používatelia nie sú dostatočne informovaní o prvkoch kybernetickej bezpečnosti produktov a služieb IKT, čo znižuje dôveru v digitálne riešenia. (3)Rastúca miera digitalizácie a prepojenia zvyšuje kyberneticko-bezpečnostné riziká, takže spoločnosť ako taká je zraniteľnejšia voči kybernetickým hrozbám a prehlbuje sa nebezpečenstvo pre jednotlivcov vrátane zraniteľných skupín ako deti. V záujme zmiernenia rizík pre spoločnosť treba prijať všetky potrebné kroky na zvýšenie kybernetickej bezpečnosti v EÚ, aby boli siete a informačné systémy, telekomunikačné siete, digitálne produkty, služby a zariadenia, ktoré využívajú občania, verejné správy i podniky – od MSP až po prevádzkovateľov kritickej infraštruktúry – lepšie chránené pred kybernetickými hrozbami. (4)Kybernetické útoky sú na vzostupe, takže potrebujeme lepšie brániť prepojené hospodárstvo a spoločnosť, ktoré sú voči kybernetickým hrozbám a útokom zraniteľnejšie. Zatiaľ čo kybernetické útoky sú často cezhraničné, politická reakcia orgánov zodpovedných za kybernetickú bezpečnosť a orgánov presadzovania práva prebieha prevažne na vnútroštátnej úrovni. Rozsiahle kybernetické incidenty by mohli narušiť poskytovanie základných služieb v celej EÚ. Táto situácia si vyžaduje účinnú reakciu a krízové riadenie na úrovni EÚ vychádzajúce z osobitných politík a všeobecnejších nástrojov pre európsku solidaritu a vzájomnú pomoc. Okrem toho je pre tvorcov politík, priemysel a používateľov dôležité pravidelné posudzovanie stavu kybernetickej bezpečnosti a odolnosti v Únii založené na spoľahlivých údajoch Únie, ako aj systematická predpoveď budúceho vývoja, výziev a hrozieb, a to tak na úrovni Únie, ako aj celosvetovo. (5)Keďže výzvy, ktorým Únia v oblasti kybernetickej bezpečnosti čelí, sa stupňujú, je potrebný komplexný súbor opatrení, ktoré nadviažu na predošlé kroky Únie a zaistia synergiu cieľov. Zahŕňa to potrebu ďalej posilniť spôsobilosti a pripravenosť členských štátov i podnikov, ako aj zlepšiť spoluprácu a koordináciu medzi členskými štátmi a inštitúciami, agentúrami a orgánmi EÚ. Okrem toho keďže kybernetické hrozby nepoznajú hranice, treba posilniť spôsobilosť na úrovni Únie, aby mohla doplniť opatrenia členských štátov, najmä pri rozsiahlych cezhraničných kybernetických incidentoch a krízach. Viac treba urobiť aj v otázke informovanosti občanov a podnikov o otázkach kybernetickej bezpečnosti. Transparentné informácie o úrovni bezpečnosti produktov a služieb IKT by navyše mohli posilniť celkovú dôveru v digitálny jednotný trh. Tento cieľ môže uľahčiť celoúnijná certifikácia, ktorá poskytne spoločné kyberneticko-bezpečnostné požiadavky a kritériá hodnotenia naprieč vnútroštátnymi trhmi a odvetviami. (6)Európsky parlament a Rada prijali v roku 2004 nariadenie (ES) č. 460/2004 o zriadení agentúry ENISA, ktoré malo prispieť k cieľom v oblasti zabezpečenia vysokej úrovne sieťovej a informačnej bezpečnosti v rámci Únie a vybudovaniu kultúry sieťovej a informačnej bezpečnosti v prospech občanov, spotrebiteľov, podnikov a verejnej správy. V roku 2008 prijal Európsky parlament a Rada nariadenie (ES) č. 1007/2008, ktorým sa predĺžil mandát agentúry do marca 2012. Nariadením (ES) č. 580/2011 sa tento mandát agentúry ďalej predĺžil do 13. septembra 2013. V roku 2013 prijal Európsky parlament a Rada nariadenie (EÚ) č. 526/2013 o Agentúre ENISA a o zrušení nariadenia (ES) č. 460/2004, ktorým sa mandát agentúry predĺžil do júna 2020. (7)Únia už prijala dôležité kroky na zaistenie kybernetickej bezpečnosti a zvýšenie dôvery v digitálne technológie. V roku 2013 bola prijatá stratégia kybernetickej bezpečnosti EÚ, ktorá má viesť politickú reakciu Únie na kybernetické hrozby a riziká. V snahe lepšie chrániť Európanov v online svete prijala Únia v roku 2016 prvý legislatívny akt v oblasti kybernetickej bezpečnosti, a to smernicu (EÚ) 2016/1148 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii (tzv. smernica NIS). V smernici NIS sa stanovujú požiadavky na vnútroštátne spôsobilosti v oblasti kybernetickej bezpečnosti, zriaďujú sa prvé mechanizmy na posilnenie strategickej a operačnej spolupráce členských štátov a zavádzajú sa povinnosti prijímať bezpečnostné opatrenia a oznamovať incidenty v odvetviach, ktoré sú pre hospodárstvo a spoločnosť kľúčové (ako energetika, doprava, voda, bankovníctvo, infraštruktúry finančných trhov, zdravotníctvo, digitálna infraštruktúra), ako aj v prípade kľúčových poskytovateľov digitálnych služieb (vyhľadávače, služby cloud computingu a online trhoviská). Agentúre ENISA bola zverená kľúčová rola podpory vykonávania smernice NIS. Účinný boj proti počítačovej kriminalite je navyše dôležitou prioritou Európskeho programu v oblasti bezpečnosti a prispieva k celkovému cieľu vysokej úrovne kybernetickej bezpečnosti. (8)Je zrejmé, že od prijatia stratégie kybernetickej bezpečnosti EÚ v roku 2013 a od posledného prehodnotenia mandátu agentúry sa celkový politický kontext výrazne zmenil, a to aj z hľadiska neistejšieho a menej bezpečného globálneho prostredia. V tejto súvislosti a v rámci novej kyberneticko-bezpečnostnej politiky Únie treba mandát agentúry ENISA zrevidovať s cieľom vymedziť jej rolu v zmenenom ekosystéme kybernetickej bezpečnosti, aby účinne prispievala k reakcii Únie na výzvy v tejto sfére vyplývajúce z tejto radikálne zmenenej povahy hrozieb, keďže ako potvrdilo hodnotenie samotnej agentúry, jej súčasný mandát na to nestačí. (9)Agentúra zriadená týmto nariadením by mala byť nástupcom agentúry ENISA zriadenej nariadením (EÚ) č. 526/2013. Agentúra by mala vykonávať úlohy zverené týmto nariadením a právnymi aktmi Únie v oblasti kybernetickej bezpečnosti, okrem iného ako zdroj odborných poznatkov a poradenstva, ale i centrum informácií a znalostí v rámci Únie. Mala by podporovať výmenu osvedčených postupov medzi členskými štátmi a súkromnými aktérmi, ponúkať Európskej komisii a členským štátom politické návrhy, pôsobiť ako referenčný bod pre odvetvové politické iniciatívy Únie v otázkach kybernetickej bezpečnosti a podnecovať operačnú spoluprácu medzi členskými štátmi navzájom i vo vzťahu k inštitúciám, agentúram a orgánom EÚ. (10)V rozhodnutí 2004/97/ES, Euratom prijatom na zasadnutí Európskej rady 13. decembra 2003 zástupcovia členských štátov rozhodli, že agentúra ENISA má mať sídlo v gréckom meste, ktoré určí grécka vláda. Hostiteľský členský štát agentúry by mal zabezpečiť čo najlepšie podmienky pre bezproblémové a efektívne fungovanie agentúry. Pre riadne a efektívne plnenie jej úloh, prijímanie a udržanie zamestnancov a zvýšenie efektívnosti nadväzovania vzťahov je nevyhnutné, aby agentúra sídlila na vhodnom mieste, ktoré okrem iného poskytuje vhodné dopravné spojenia a zariadenia pre manželov (manželky) a deti sprevádzajúce zamestnancov agentúry. Potrebné opatrenia by sa mali stanoviť v dohode medzi agentúrou a hostiteľským členským štátom uzavretou po získaní súhlasu správnej rady agentúry. (11)Keďže Únia čelí narastajúcim kyberneticko-bezpečnostným výzvam, mal by sa zvýšiť objem finančných a ľudských zdrojov pridelených agentúre, aby sa odzrkadlilo jej posilnené poslanie a úlohy a jej rozhodujúce postavenie v ekosystéme organizácií brániacich európsky digitálny ekosystém. (12)Agentúra by mala zabezpečiť a udržiavať špičkové odborné poznatky a pôsobiť ako referenčný bod budujúci dôveru v jednotný trh svojou nezávislosťou, kvalitou poskytovaného poradenstva a šírených informácií, transparentnosťou svojich postupov a pracovných metód a dôslednosťou pri vykonávaní úloh. Agentúra by mala proaktívne prispievať k snahám členských štátov i Únie a mala by vykonávať svoje úlohy v plnej spolupráci s inštitúciami, orgánmi, úradmi a agentúrami Únie a s členskými štátmi. Okrem toho by agentúra mala nadväzovať na vstupy zo súkromného sektora a od ďalších relevantných zainteresovaných strán a na spoluprácu s nimi. Mal by sa stanoviť súbor úloh určujúcich, ako agentúra dosiahne svoje ciele, ktorý by mal umožniť flexibilitu jej činností. (13)Agentúra by mala pomáhať Komisii poskytovaním poradenstva, stanovísk a analýz týkajúcich sa všetkých záležitostí Únie súvisiacich s vývojom, ako aj s tvorbou, aktualizáciou a revíziou politík a právnych predpisov v oblasti kybernetickej bezpečnosti vrátane ochrany kritickej infraštruktúry a kybernetickej odolnosti. Agentúra by mala byť referenčným bodom poradenstva a odborných poznatkov pre odvetvové politické a legislatívne iniciatívy Únie zahŕňajúce rozmer kybernetickej bezpečnosti.

(14)Základnou úlohou agentúry je presadzovať dôsledné vykonávanie príslušného právneho rámca, a najmä účinné vykonávanie smernice NIS, ktorá je kľúčom k posilneniu kybernetickej odolnosti. Keďže kybernetické hrozby sú neustále v pohybe, je jasné, že členské štáty potrebujú podporu komplexnejšieho prierezového prístupu k budovaniu kybernetickej odolnosti. (15)Agentúra by mala pomáhať členským štátom a inštitúciám, orgánom, úradom a agentúram Únie v ich úsilí vybudovať a zdokonaľovať spôsobilosti a pripravenosť predchádzať kyberneticko-bezpečnostným problémom a incidentom spojeným s bezpečnosťou sietí a informačných systémov, odhaľovať ich a reagovať na ne. Najmä by agentúra mala podporovať rozvoj a posilňovanie vnútroštátnych jednotiek CSIRT, aby v rámci Únie všetky dosiahli vysoký stupeň vývoja. Zároveň by agentúra mala pomáhať pri príprave a aktualizácii stratégií Únie a členských štátov v oblasti bezpečnosti sietí a informačných systémov (najmä kybernetickej), podporovať ich šírenie a sledovať pokrok v ich uplatňovaní. Mala by tiež verejným orgánom ponúkať školenia a vzdelávacie materiály a podľa potreby „školiť školiteľov“, aby členským štátom pomohla pri rozvoji ich vlastných školiacich kapacít. (16) Agentúra by mala pomáhať skupine pre spoluprácu zriadenej smernicou NIS pri výkone jej úloh, a to najmä poskytovaním odborných poznatkov, poradenstva a sprostredkovaním výmeny osvedčených postupov, predovšetkým z hľadiska identifikácie prevádzkovateľov základných služieb členskými štátmi z pohľadu rizík a incidentov, a to aj v súvislosti s cezhraničnou previazanosťou. (17)Na stimulovanie spolupráce verejného a súkromného sektora a v rámci súkromného sektora, a najmä na podporu ochrany kritických infraštruktúr by agentúra mala podporovať zriaďovanie odvetvových stredísk pre výmenu a analýzu informácií (ISAC), a to poskytovaním osvedčených postupov a usmernení k existujúcim nástrojom a postupom, ako aj usmerňovaním v otázke riešenia regulačných problémov spojených s výmenou informácií. (18)Agentúra by mala zhromažďovať a analyzovať správy vnútroštátnych jednotiek CSIRT a tímu CERT-EU a stanoviť spoločné pravidlá, jazyk a terminológiu na výmenu informácií. Okrem toho by agentúra mala angažovať súkromný sektor v zmysle smernice NIS, ktorá zriadením siete jednotiek CSIRT stanovila základ pre dobrovoľnú výmenu technických informácií na operačnej úrovni. (19)Agentúra by mala prispievať k reakcii na úrovni EÚ v prípade rozsiahlych cezhraničných kybernetických incidentov a kríz. Do tejto úlohy spadá aj zber relevantných informácií a uľahčovanie interakcie medzi sieťou jednotiek CSIRT a technickou obcou či aktérmi zodpovednými za krízové riadenie. Okrem toho by agentúra mohla podporovať riešenie incidentov z technickej stránky uľahčovaním výmeny relevantných technických riešení medzi členskými štátmi a zabezpečením vstupov pre komunikáciu s verejnosťou. Agentúra by tento proces mala podporovať skúšaním rôznych možností takejto spolupráce na každoročných kyberneticko-bezpečnostných cvičeniach. (20)Pri výkone svojich operačných úloh by agentúra mala využiť dostupné odborné poznatky tímu CERT-EU, a to štruktúrovanou spoluprácou vo vzájomnej fyzickej blízkosti. Táto štruktúrovaná spolupráca uľahčí potrebné synergie a budovanie odborných znalostí agentúry ENISA. Podľa potreby by sa mali medzi oboma organizáciami vytvoriť účelové dohody o fungovaní tejto spolupráce v praxi. (21)Agentúra by v súlade so svojimi operačnými úlohami mala byť schopná podporiť členské štáty, napríklad formou poradenstva alebo technickej pomoci, či zabezpečovaním analýzy hrozieb a incidentov. V odporúčaní Komisie o koordinovanej reakcii na kybernetické incidenty a krízy veľkého rozsahu sa odporúča, aby členské štáty v dobrej viere spolupracovali a bez zbytočného odkladu sa vzájomne i s agentúrou ENISA delili o informácie o rozsiahlych kybernetických incidentoch a krízach. Tieto informácie by tiež mali agentúre ENISA pomôcť pri plnení jej operačných úloh. (22)V rámci bežnej technickej spolupráce na podporu situačného povedomia Únie by mala agentúra pravidelne vypracúvať technickú situačnú správu EÚ o incidentoch a hrozbách, ktorá vychádza z verejne dostupných informácií, jej vlastných analýz a správ, ktoré jej (dobrovoľne) poskytli jednotky CSIRT členských štátov alebo jednotné kontaktné miesta podľa smernice NIS, Európske centrum boja proti počítačovej kriminalite (EC3) v rámci Europolu, CERT-EU a v náležitých prípadoch centrum EÚ pre spravodajské informácie (INTECEN) v rámci Európskej služby pre vonkajšiu činnosť (ESVČ). Táto správa by sa mala sprístupniť zodpovedným útvarom Rady, Komisie, vysokému predstaviteľovi Únie pre zahraničné veci a bezpečnostnú politiku a podpredsedovi Komisie a sieti jednotiek CSIRT. (23)Technické ex post skúmanie incidentov s výrazným dosahom vo viac než jednom členskom štáte, ktoré agentúra podporí alebo vykoná na požiadanie alebo so súhlasom dotknutých členských štátov, by sa malo zamerať na prevenciu incidentov v budúcnosti a nemali by ním byť dotknuté prípadné súdne alebo správne konania na určenie vinníka či zodpovednosti. (24)Dotknuté členské štáty by mali agentúre na účely tohto skúmania poskytnúť potrebné informácie a podporu bez toho, aby bol dotknutý článok 346 Zmluvy o fungovaní Európskej únie či iné verejno-politické motívy. (25)Členské štáty môžu prizvať podniky dotknuté daným incidentom k spolupráci v podobe poskytnutia potrebných informácií a podpory agentúre bez toho, aby bolo dotknuté ich právo na ochranu citlivých obchodných informácií. (26)Na lepšie pochopenie výziev v oblasti kybernetickej bezpečnosti a v záujme dlhodobého strategického poradenstva pre členské štáty a inštitúcie Únie musí agentúra analyzovať existujúce i nové riziká. Na to by agentúra mala v spolupráci s členskými štátmi a podľa potreby štatistickými orgánmi a ďalšími aktérmi zbierať relevantné informácie, analyzovať nové technológie a poskytovať tematické posúdenie očakávaných spoločenských, právnych, hospodárskych a regulačných vplyvov technologických inovácií na sieťovú a informačnú bezpečnosť, najmä kybernetickú. Agentúra by navyše mala členské štáty a inštitúcie, agentúry a orgány Únie podporovať pri identifikácii nastupujúcich trendov a pri predchádzaní kyberneticko-bezpečnostným problémom, a to analýzou hrozieb a incidentov. (27)V záujme posilnenia odolnosti Únie by agentúra mala rozvíjať špičkovú odbornosť vo sfére bezpečnosti internetovej infraštruktúry a kritických infraštruktúr, a to poradenstvom, usmerňovaním a šírením osvedčených postupov. S cieľom uľahčiť prístup k lepšie štruktúrovaným informáciám o kybernetických rizikách a ich možných riešeniach by agentúra mala zriadiť a prevádzkovať „informačné centrum“ Únie – portál s funkciou jednotného kontaktného miesta, ktorý bude verejnosti sprístupňovať informácie o kybernetickej bezpečnosti od inštitúcií, agentúr a orgánov EÚ i členských štátov. (28)Agentúra by mala prispievať k zvyšovaniu verejného povedomia o rizikách spojených s kybernetickou bezpečnosťou a odporúčať jednotlivým používateľom – občanom i organizáciám osvedčené postupy. Agentúra by mala prispievať k propagácii osvedčených postupov a riešení u jednotlivcov a organizácii aj zberom a analýzou verejne dostupných informácií o závažných incidentoch a vypracúvaním správ s cieľom poskytnúť podnikom a občanom usmernenia a zvýšiť celkovú pripravenosť a odolnosť. Agentúra by navyše mala v spolupráci s členskými štátmi a inštitúciami, orgánmi, úradmi a agentúrami Únie organizovať pravidelné osvetové a vzdelávacie kampane pre verejnosť, ktoré sú určené koncovým používateľom a zameriavajú sa na propagáciu bezpečnejšieho správania jednotlivcov na internete a zvyšovanie povedomia o potenciálnych hrozbách v kybernetickom priestore vrátane počítačovej kriminality, ako sú phishingové útoky, botnety, finančné a bankové podvody; zároveň by mala poskytovať základné rady v oblasti autentifikácie a ochrany údajov. Agentúra by mala mať kľúčovú rolu pri urýchlenom zvyšovaní povedomia koncových používateľov o bezpečnosti zariadení. (29)Na podporu podnikov pôsobiacich v odvetví kybernetickej bezpečnosti, ale i používateľov kyberneticko-bezpečnostných riešení by agentúra mala vytvoriť a prevádzkovať „monitor trhu“, ktorý bude pravidelne analyzovať a šíriť hlavné trendy na trhu kybernetickej bezpečnosti – tak na strane dopytu, ako aj ponuky. (30)S cieľom zaistiť úplné splnenie svojich cieľov by agentúra mala udržiavať kontakty s relevantnými inštitúciami, agentúrami a orgánmi vrátane tímu CERT-EU, Európskeho centra boja proti počítačovej kriminalite (EC3) pri Europole, Európskej obrannej agentúry (EDA), Európskej agentúry na prevádzkové riadenie rozsiahlych informačných systémov (eu-LISA), Európskej agentúry pre bezpečnosť letectva (EASA) a prípadne ďalších agentúr EÚ angažovaných v otázkach kybernetickej bezpečnosti. Okrem toho by mala udržiavať kontakty aj s orgánmi zodpovednými za ochranu údajov s cieľom vymieňať si know-how a osvedčené postupy a poskytovať poradenstvo o kyberneticko-bezpečnostných aspektoch, ktoré môžu ovplyvniť ich prácu. Zástupcovia vnútroštátnych orgánov a orgánov Únie v oblasti presadzovania práva a ochrany údajov by mali byť oprávnení na účasť v stálej skupine zainteresovaných strán agentúry. Pri styku s orgánmi presadzovania práva v otázkach sieťovej a informačnej bezpečnosti, ktoré by mohli mať vplyv na ich prácu, by agentúra mala rešpektovať existujúce informačné kanály a zavedené siete. (31)Agentúra ako člen siete jednotiek CSIRT, ktorý navyše zabezpečuje funkciu sekretariátu, by mala jednotky CSIRT členských štátov a tím CERT-EU podporovať v operačnej spolupráci pri všetkých relevantných úlohách siete jednotiek CSIRT v zmysle smernice NIS. Ďalej by agentúra mala presadzovať a podporovať spoluprácu medzi príslušnými jednotkami CSIRT v prípade incidentov, útokov alebo narušení sietí či infraštruktúr pod ich správou alebo ochranou, v prípadoch, ktoré zahŕňajú alebo môžu zahŕňať aspoň dve jednotky CSIRT, pričom sa riadne zohľadnia štandardné operačné postupy siete jednotiek CSIRT. (32)V záujme lepšej pripravenosti Únie reagovať na kybernetické incidenty by agentúra mala každoročne organizovať kyberneticko-bezpečnostné cvičenia na úrovni Únie a na požiadanie by mala podporiť členské štáty a inštitúcie, agentúry a orgány EÚ pri organizácii cvičení. (33)Agentúra by mala ďalej rozvíjať a udržiavať odborné poznatky o certifikácii kybernetickej bezpečnosti v záujme podpory politiky Únie v tomto smere. Agentúra by mala podporovať využívanie certifikácie kybernetickej bezpečnosti certifikácie v Únii, a to aj prispievaním k vytvoreniu a uchovávaniu kyberneticko-bezpečnostného certifikačného rámca na úrovni Únie, aby sa posilnila transparentnosť dôveryhodnosti kybernetickej bezpečnosti produktov a služieb IKT, čím sa posilní dôvera v digitálny vnútorný trh.

(34)Účinné politiky kybernetickej bezpečnosti by mali vychádzať zo správne navrhnutých metód posudzovania rizika vo verejnom i v súkromnom sektore. Metódy posudzovania rizika sa používajú na rôznych úrovniach bez spoločného postupu ich účinného uplatňovania. Podpora a vývoj osvedčených postupov v oblasti posudzovania rizika a interoperabilných riešení riadenia rizika v organizáciách verejného a súkromného sektora zvýšia úroveň kybernetickej bezpečnosti v Únii. S týmto cieľom by agentúra mala podporovať spoluprácu zainteresovaných strán na úrovni Únie, pričom by mala uľahčovať ich úsilie o tvorbu a zavádzanie európskych a medzinárodných noriem pre riadenie rizík a merateľnú bezpečnosť elektronických produktov, systémov, sietí a služieb, ktoré spolu so softvérom tvoria sieťové a informačné systémy. (35)Agentúra by mala podnecovať členské štáty a poskytovateľov služieb k sprísňovaniu svojich všeobecných bezpečnostných noriem tak, aby všetci používatelia internetu mohli podniknúť potrebné kroky na zaistenie svojej osobnej kybernetickej bezpečnosti. Najmä poskytovatelia služieb a výrobcovia produktov by mali z trhu stiahnuť či prepracovať produkty a služby, ktoré kyberneticko-bezpečnostným normám nevyhovujú. V spolupráci s príslušnými orgánmi môže agentúra ENISA šíriť informácie o úrovni kybernetickej bezpečnosti produktov a služieb ponúkaných na vnútornom trhu, varovať pred určitými poskytovateľmi a výrobcami a žiadať ich o zvýšenie bezpečnosti (vrátane kybernetickej) svojich produktov a služieb. (36)Pri poskytovaní poradenstva inštitúciám, orgánom, úradom a agentúram Únie a na požiadanie prípadne aj členským štátom o potrebách výskumu v oblasti sieťovej a informačnej bezpečnosti, najmä kybernetickej, by agentúra mala plne zohľadňovať prebiehajúci výskum, vývoj a technologické posudzovanie, najmä v rámci rôznych výskumných iniciatív Únie. (37)Kybernetická bezpečnosť je globálnym problémom. Je potrebná užšia medzinárodná spolupráca s cieľom zlepšiť bezpečnostné normy vrátane vymedzenia spoločných noriem správania, zlepšiť zdieľanie informácií a presadzovať rýchlejšiu medzinárodnú spoluprácu pri reakcii na problémy sieťovej a informačnej bezpečnosti, ako aj spoločný globálny prístup k nim. Agentúra by na tento účel mala podporovať výraznejšie zapojenie Únie a spoluprácu s tretími krajinami a medzinárodnými organizáciami tým, že vo vhodných prípadoch poskytne potrebné odborné znalosti a analýzu príslušným inštitúciám, orgánom, úradom a agentúram Únie. (38)Agentúra by mala byť schopná reagovať na ad hoc žiadosti členských štátov a inštitúcií, agentúr a orgánov EÚ o poradenstvo a pomoc spadajúcu do rozsahu cieľov agentúry. (39)Je potrebné uplatniť určité zásady týkajúce sa riadenia agentúry, aby sa dodržalo spoločné vyhlásenie a spoločný prístup dohodnutý medziinštitucionálnou pracovnou skupinou pre decentralizované agentúry EÚ v júli 2012, ktorých cieľom je zefektívniť činnosti agentúr a zlepšiť ich výkonnosť. Spoločné vyhlásenie a spoločný prístup by sa mali podľa potreby odraziť aj v pracovných programoch agentúry, jej hodnoteniach a praxi v oblasti podávania správ a administratívy. (40)Správna rada zložená zo zástupcov členských štátov a Komisie by mala vymedziť všeobecné smerovanie činnosti agentúry a zabezpečiť, aby agentúra vykonávala svoje úlohy v súlade s týmto nariadením. Správna rada by mala mať potrebné právomoci na zostavovanie rozpočtu, overovanie jeho plnenia, prijatie vhodných rozpočtových pravidiel, navrhnutie transparentných pracovných postupov rozhodovania agentúry, prijatie jednotného programového dokumentu, prijatie vlastného rokovacieho poriadku, menovanie výkonného riaditeľa a rozhodovanie o predlžovaní či ukončení jeho funkčného obdobia. (41)Aby agentúra mohla fungovať riadne a efektívne, Komisia a členské štáty by mali zabezpečiť, aby osoby, ktoré majú byť vymenované za členov správnej rady, mali zodpovedajúce odborné znalosti a skúsenosti v príslušných funkčných oblastiach. Komisia a členské štáty by mali vynaložiť úsilie aj na obmedzenie obmeny svojich zástupcov v správnej rade s cieľom zabezpečiť kontinuitu jej práce. (42)Bezproblémové fungovanie agentúry vyžaduje, aby bol jej výkonný riaditeľ vymenovaný na základe zásluh a zdokumentovaných administratívnych a riadiacich schopností, ako aj na základe kvalifikácie a skúseností vo sfére kybernetickej bezpečnosti, a aby vykonával svoje povinnosti úplne nezávisle. Výkonný riaditeľ by mal pripraviť návrh pracovného programu agentúry po predchádzajúcej konzultácii s Komisiou a prijať všetky potrebné opatrenia na zabezpečenie riadneho vykonania pracovného programu agentúry. Výkonný riaditeľ by mal vypracovať výročnú správu, ktorá sa predkladá správnej rade, návrh výkazu odhadov príjmov a výdavkov agentúry a mal by plniť rozpočet. Výkonný riaditeľ by okrem toho mal mať možnosť zriadiť ad hoc pracovné skupiny zamerané na osobitné záležitosti najmä vedeckého, technického, právneho či sociálno-ekonomického charakteru. Výkonný riaditeľ by mal zabezpečiť, aby sa členovia ad hoc pracovných skupín vyberali podľa najprísnejších požiadaviek na odbornosť, pričom by sa náležite zohľadnila reprezentatívna rovnováha medzi verejnými správami členských štátov, inštitúciami Únie, súkromným sektorom vrátane príslušného odvetvia, užívateľmi a akademickými expertmi v oblasti sieťovej a informačnej bezpečnosti, a to podľa konkrétnej tematiky. (43)Výkonná rada by mala prispievať k efektívnej činnosti správnej rady. V rámci prípravných prác spojených s rozhodnutiami správnej rady by mala podrobne skúmať relevantné informácie a dostupné možnosti, radiť a ponúkať riešenia na prípravu príslušných rozhodnutí správnej rady. (44)Agentúra by mala mať stálu skupinu zainteresovaných strán ako poradný orgán s cieľom zabezpečiť pravidelný dialóg so súkromným sektorom, organizáciami spotrebiteľov a inými príslušnými zainteresovanými stranami. Stála skupina zainteresovaných strán zriadená správnou radou na návrh výkonného riaditeľa by sa mala zameriavať na otázky dôležité pre zainteresované strany a upriamiť na ne pozornosť agentúry. Zloženie stálej skupiny zainteresovaných strán a úlohy zverené tejto skupine, z ktorou treba konzultovať najmä návrh pracovného programu, by mali zabezpečiť dostatočné zastúpenie zainteresovaných strán na práci agentúry. (45)Agentúra by mala disponovať pravidlami na predchádzanie konfliktu záujmov a jeho riadenie. Agentúra by mala uplatňovať príslušné pravidlá Únie týkajúce sa prístupu verejnosti k dokumentom, ako sa stanovujú v nariadení Európskeho parlamentu a Rady (ES) č. 1049/2001. Na spracovanie osobných údajov agentúrou by sa malo vzťahovať nariadenie Európskeho parlamentu a Rady (ES) č. 45/2001 z 18. decembra 2000 o ochrane jednotlivcov so zreteľom na spracovanie osobných údajov inštitúciami a orgánmi Spoločenstva a o voľnom pohybe takýchto údajov. Agentúra by mala dodržiavať ustanovenia platné pre inštitúcie Únie, ako aj vnútroštátne právne predpisy o zaobchádzaní s informáciami, najmä s citlivými neutajovanými informáciami a utajovanými skutočnosťami EÚ. (46)S cieľom zaručiť úplnú autonómiu a nezávislosť agentúry a umožniť jej plniť ďalšie a nové úlohy vrátane nepredvídaných núdzových úloh by sa mal agentúre poskytnúť dostatočný a nezávislý rozpočet, ktorého príjmy pochádzajú predovšetkým z príspevku Únie a príspevkov tretích krajín, ktoré sa podieľajú na práci agentúry. Väčšina zamestnancov agentúry by mala byť priamo zapojená do operačného plnenia mandátu agentúry. Hostiteľský členský štát alebo akýkoľvek iný členský štát by mali mať možnosť dobrovoľne prispievať do príjmov agentúry. Rozpočtový postup Únie by sa mal naďalej uplatňovať, pokiaľ ide o všetky dotácie započítateľné do všeobecného rozpočtu Únie. Okrem toho by Dvor audítorov mal vykonať audit účtov agentúry v záujme transparentnosti a zodpovednosti. (47)Posudzovanie zhody je proces, ktorým sa preukazuje splnenie stanovených požiadaviek na určitý produkt, proces, službu, systém, osobu alebo orgán. Na účely tohto nariadenia by sa certifikácia mala považovať za istý typ posudzovania zhody kyberneticko-bezpečnostných prvkov produktu, procesu, služby, systému alebo ich kombinácie („produkty a služby IKT“) treťou stranou inou ako výrobca či poskytovateľ služby. Certifikácia sama osebe nemôže zaručiť, že certifikované produkty a služby IKT sú kyberneticky bezpečné. Ide skôr o postup a technickú metodiku na potvrdenie toho, že produkty a služby IKT boli preskúšané a spĺňajú určité kyberneticko-bezpečnostné požiadavky stanovené inde, napríklad v technických normách. (48)Certifikácia kybernetickej bezpečnosti zohráva významnú úlohu pri posilňovaní dôvery v produkty a služby IKT, ako aj ich bezpečnosti. Digitálny jednotný trh, a najmä dátové hospodárstvo a internet vecí môžu prosperovať iba ak široká verejnosť verí, že takéto produkty a služby poskytujú určitú mieru dôveryhodnosti kybernetickej bezpečnosti. Prepojené a automatizované vozidlá, elektronické zdravotnícke pomôcky, automatické priemyselné riadiace systémy či inteligentné siete sú iba niektorými príkladmi odvetví, kde už sa certifikácia bežne využíva alebo sa začne využívať v blízkej budúcnosti. Smernica NIS pokrýva aj odvetvia, kde je certifikácia kybernetickej bezpečnosti kľúčová. (49)Vo svojom oznámení s názvom „Posilnenie odolnosti kybernetického systému a podpora konkurencieschopného a inovačného odvetvia kybernetickej bezpečnosti v Európe“ z roku 2016 Komisia zdôraznila potrebu kvalitných, cenovo dostupných a interoperabilných produktov a riešení v oblasti kybernetickej bezpečnosti. Ponuka produktov a služieb IKT na jednotnom trhu je geograficky stále veľmi fragmentovaná. Dôvodom je, že vývoj odvetvia kybernetickej bezpečnosti v Európe sa do značnej miery riadil dopytom verejných správ jednotlivých štátov. Medzi ďalšie nedostatky ovplyvňujúce kybernetickú bezpečnosť na jednotnom trhu patrí absencia interoperabilných riešení (technických noriem), postupov a celoúnijných mechanizmov certifikácie. Na jednej strane to európskym firmám sťažuje možnosť konkurovať na národnej, európskej i svetovej úrovni. Na druhej sa okliešťuje ponuka reálne využiteľných kyberneticko-bezpečnostných technológií, ku ktorým majú jednotlivci a spoločnosti prístup. Podobne Komisia vo svojom preskúmaní vykonávania stratégie digitálneho jednotného trhu v polovici trvania zdôraznila potrebu bezpečných pripojených produktov a systémov a naznačila, že vytvorenie európskeho rámca bezpečnosti IKT, v ktorom sa stanovia pravidlá organizovania certifikácie bezpečnosti IKT v Únii, by mohlo zachovať dôveru v internet a zároveň vyriešiť súčasnú fragmentáciu trhu kybernetickej bezpečnosti. (50)Certifikácia kybernetickej bezpečnosti produktov a služieb IKT sa dnes využíva iba obmedzene. Ak sa uplatňuje, je to zväčša na úrovni členských štátov alebo z iniciatívy odvetvia. V tomto kontexte certifikát vystavený niektorým orgánom kybernetickej bezpečnosti v zásade iné členské štáty neuznávajú. Môže sa teda stať, že spoločnosti musia svoje produkty a služby certifikovať v niekoľkých členských štátoch pôsobenia, napríklad ak sa chcú zapojiť do ich verejných obstarávaní. Okrem toho sa síce objavujú nové systémy, no nezdá sa, že by koherentne a holisticky pristupovali k horizontálnym otázkam kybernetickej bezpečnosti, ako je napríklad internet vecí. Existujúce systémy vykazujú výrazné nedostatky a rozdiely z hľadiska škály pokrytia produktov, úrovne dôveryhodnosti bezpečnosti, vecných kritérií a samotného využitia. (51)V minulosti sa objavili určité snahy smerujúce k vzájomnému uznávaniu certifikátov v Európe. Úspešné však boli iba sčasti. Najvýznamnejším príkladom v tomto smere je dohoda skupiny vysokých úradníkov pre bezpečnosť informačných systémov (SOG-IS) o vzájomnom uznávaní (DVU). Hoci ide o najvýznamnejší model spolupráce a vzájomného uznávania v oblasti bezpečnostnej certifikácie, SOG-IS DVU má určité výrazné nedostatky z hľadiska vysokých nákladov a obmedzenej pôsobnosti. Doposiaľ sa vypracovalo iba niekoľko profilov ochrany digitálnych produktov – napríklad pre digitálny podpis, digitálny tachograf či smart karty. Čo je však najpodstatnejšie, SOG-IS zahŕňa iba časť členských štátov Únie. Účinnosť dohody SOG-IS DVU na vnútornom trhu je teda obmedzená. (52)Z uvedených dôvodov treba zriadiť európsky rámec certifikácie kybernetickej bezpečnosti, v ktorom sa stanovia základné horizontálne požiadavky európskych systémov certifikácie kybernetickej bezpečnosti, ktoré sa majú vypracovať, a umožní sa uznávanie a uplatňovanie certifikátov produktov a služieb IKT vo všetkých členských štátoch. Tento európsky rámec by mal plniť dvojaký účel: na jednej strane by mal prispievať k posilneniu dôvery v produkty a služby IKT certifikované podľa takýchto systémov. Na druhej strane by mal predchádzať množeniu nekompatibilných či prekrývajúcich sa národných certifikácií kybernetickej bezpečnosti, čím sa znížia náklady podnikov pôsobiacich na digitálnom jednotnom trhu. Systémy by mali byť nediskriminačné a založené na medzinárodných a/alebo únijných normách, pokiaľ tieto nie sú neefektívne alebo nevhodné na plnenie legitímnych cieľov EÚ v tejto oblasti. (53)Komisia by mala byť splnomocnená na prijímanie európskych systémov certifikácie kybernetickej bezpečnosti pre konkrétne skupiny produktov a služieb IKT. Uplatňovanie týchto systémov a dohľad nad nimi by mali vykonávať vnútroštátne orgány dohľadu nad certifikáciou, pričom certifikáty vydané podľa týchto systémov by mali byť platné a uznávané v celej Únii. Z pôsobnosti nariadenia by sa mali vyňať certifikačné systémy, ktoré uplatňuje príslušné odvetvie alebo iné súkromné organizácie. Orgány, ktoré takéto systémy prevádzkujú, však môžu Komisii navrhnúť zváženie ich použitia ako základ pre schválenie v podobe európskeho systému.

(54)Ustanoveniami tohto nariadenia by nemala byť dotknutá legislatíva Únie stanovujúca konkrétne pravidlá certifikácie produktov a služieb IKT. Najmä všeobecné nariadenie o ochrane údajov obsahuje ustanovenia o zriadení certifikačných mechanizmov, pečatí a značiek ochrany údajov na preukázanie súladu spracovateľských operácií prevádzkovateľov a sprostredkovateľov s daným nariadením. Tieto certifikačné mechanizmy, pečate a značky ochrany údajov by mali dotknutým osobám umožniť rýchle vyhodnotenie, nakoľko príslušné produkty a služby chránia údaje. Týmto nariadením nie je dotknutá certifikácia operácií spracovania údajov podľa všeobecného nariadenia o ochrane údajov, čo platí aj pre prípady, keď sú takéto operácie súčasťou produktov a služieb. (55)Účelom európskych systémov certifikácie kybernetickej bezpečnosti by malo byť, aby produkty a služby IKT certifikované podľa príslušného systému spĺňali stanovené požiadavky. Medzi tieto požiadavky patrí schopnosť na určitom stupni dôveryhodnosti odolať konaniu, ktorého cieľom je ohroziť dostupnosť, pravosť, integritu a dôvernosť uložených, prenášaných alebo spracúvaných údajov alebo súvisiacich funkcií daných produktov, procesov, služieb a systémov v zmysle tohto nariadenia, či služieb, ktoré sa cez ne ponúkajú alebo sprístupňujú. V tomto nariadení nie je možné stanoviť podrobné kyberneticko-bezpečnostné požiadavky na všetky produkty a služby IKT. Produkty a služby IKT, ako aj súvisiace kyberneticko-bezpečnostné potreby sú také rozmanité, že je veľmi ťažké stanoviť všeobecné požiadavky na kybernetickú bezpečnosť, ktoré by sa dali uplatniť plošne. Treba preto prijať širokozáberový a všeobecný koncept kybernetickej bezpečnosti na účely certifikácie doplnený súborom špecifických kyberneticko-bezpečnostných cieľov, ktoré treba pri návrhu európskych systémov certifi