EVROPSKA KOMISIJA Bruselj, 28.10.2019 COM(2019) 546 final POROČILO KOMISIJE EVROPSKEMU PARLAMENTU IN SVETU o oceni skladnosti pristopov držav članic za določitev izvajalcev bistvenih storitev v skladu s členom 23(1) Direktive 2016/1148/EU o varnosti omrežij in informacijskih sistemov















1.Uvod Direktiva (EU) 2016/1148 o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji (v nadaljnjem besedilu: direktiva o varnosti omrežij in informacij) je prvi instrument notranjega trga, namenjen izboljšanju odpornosti EU proti tveganjem kibernetske varnosti. Na podlagi člena 114 Pogodbe o delovanju Evropske unije je namen Direktive zagotoviti neprekinjenost storitev, ki gospodarstvu in družbi Unije omogočajo nemoteno delovanje. Zato se z Direktivo uvajajo konkretni ukrepi za krepitev zmogljivosti kibernetske varnosti po vsej EU ter blažitev vse večjih groženj za omrežja in informacijske sisteme, ki se uporabljajo za zagotavljanje bistvenih storitev v ključnih sektorjih. Po začetku veljavnosti Direktive avgusta 2016 so morale države članice do 9. maja 2018 sprejeti nacionalne ukrepe, potrebne za uskladitev z določbami direktive o varnosti omrežij in informacij. Direktiva spodbuja kulturo obvladovanja tveganja pri podjetjih in drugih subjektih, ki zagotavljajo bistvene storitve in so v skladu s členom 5 opredeljeni kot „izvajalci bistvenih storitev“. Izvajalci bistvenih storitev, ki spadajo na področje uporabe Direktive, morajo sprejeti ustrezne in sorazmerne tehnične ter organizacijske ukrepe za obvladovanje tveganj za varnost omrežij in informacijskih sistemov ter resne incidente priglasiti pristojnim organom. Sozakonodajalca sta izvajanje direktive o varnosti omrežij in informacij prenesla na države članice, ki morajo določiti bistvene storitve ter izvajalce bistvenih storitev na svojih ozemljih. Zato člen 5(7) Direktive določa, da morajo države članice Komisiji poročati o rezultatih določitve izvajalcev bistvenih storitev. Da bi se omogočilo usklajeno poročanje, sta Komisija in skupina za sodelovanje, vzpostavljena z Direktivo, za države članice pripravili smernice o postopkih določitve izvajalcev bistvenih storitev. V skladu s členom 23(1) je v tem poročilu ocenjena skladnost pristopov, ki so jih države članice sprejele za določanje izvajalcev bistvenih storitev. Ker sta skladnost določanja izvajalcev bistvenih storitev in tveganje razdrobljenosti na notranjem trgu na tem področju tesno povezana, bo to poročilo vključeno tudi v širšo oceno direktive o varnosti omrežij in informacij, kot je navedeno v členu 23(2), ki določa, da mora Komisija redno pregledovati splošno delovanje Direktive ter oceniti seznam sektorjev in podsektorjev, v katerih se izvaja določanje izvajalcev bistvenih storitev, ter vrste digitalnih storitev, ki jih zajema Direktiva. Prva taka poročila je treba predložiti do 9. maja 2021. 1.1Namen poročila Izvajalci bistvenih storitev morajo zaradi svoje pomembne vloge v gospodarstvu in družbi kot celoti izkazati posebno visoko raven odpornosti proti kibernetskim incidentom. V zvezi s tem je skladen pristop držav članic pri določanju izvajalcev bistvenih storitev pomemben zaradi več razlogov: 1.zmanjšanje tveganj v zvezi s čezmejnimi odvisnostmi: neskladno določanje pomembnih izvajalcev bistvenih storitev, ki storitve zagotavljajo čezmejno, lahko privede do neenakomerne ravni kibernetske odpornosti med različnimi državami članicami, kar povečuje tveganje, da bi čezmejni incidenti povzročili škodo na kritični infrastrukturi ali smrt državljanov. Na primer operaterji prenosa energije ali registri domenskih imen najvišje ravni, oboji vključeni na seznam vrst subjektov iz Priloge II, so subjekti, ki z zagotavljanjem čezmejnih storitev potrošnikom in podjetjem najbolje izkoristijo notranji trg. Skladno določanje teh izvajalcev po vsej Uniji bi torej lahko prispevalo k preprečevanju širjenja kibernetskih groženj na notranjem trgu. 2.zagotovitev enakih konkurenčnih pogojev za izvajalce na notranjem trgu: direktiva o varnosti omrežij in informacij določa, da morajo države članice določiti varnostne zahteve in postopke za priglasitev incidentov za izvajalce bistvenih storitev. Ker Direktiva temelji na pristopu minimalne harmonizacije v zvezi z izvajalci bistvenih storitev, lahko države članice določijo zahteve za izvajalce bistvenih storitev, ki so strožje kot zahteve iz Direktive. Taki ukrepi sicer krepijo odpornost držav članic, vendar lahko zaradi njih pri zadevnih izvajalcih nastanejo dodatni regulativni stroški. Zato je pomembno, da za izvajalce bistvenih storitev, ki zagotavljajo podobne storitve s podobnim pomenom, velja podobna regulativna obravnava; 3.zmanjšanje tveganja različnih razlag Direktive: Direktiva je bila zasnovana tako, da imajo države članice pri izbiri ustreznih subjektov manevrski prostor za upoštevanje nacionalnih posebnosti. Vendar se s tem pristopom poveča tveganje različnega izvajanja določb Direktive, lahko pa pride tudi do neskladnosti med ukrepi, ki jih sprejmejo države članice. To je zlasti pomembno za družbe, ki so dejavne v več državah in morajo zato izpolniti regulativne zahteve več kot le ene države članice; 4.priprava celovitega pregleda ravni kibernetske odpornosti v EU: izvajalci bistvenih storitev so predmet nadzornih dejavnosti za preverjanje učinkovitega izvajanja varnostih politik, pa tudi priglasitve pomembnih incidentov. Nadzor prispeva k razvoju tesnejšega sodelovanja javnega in zasebnega sektorja ter vodi k oblikovanju skupnega znanja o pripravljenosti na področju kibernetske varnosti v državi članici. Skupina za sodelovanje omogoča, da se lahko izmenjane nacionalne izkušnje, vključno z informacijami o priglašenih incidentih, združijo na ravni EU ter prispevajo k natančnejši oceni glavnih groženj in potreb. Da bi bila taka izmenjava informacij učinkovita, pa mora temeljiti na skupnem razumevanju tega, katere subjekte bi bilo treba določiti za izvajalce bistvenih storitev. 1.2Postopek določitve izvajalcev bistvenih storitev v skladu z direktivo o varnosti omrežij in informacij V Prilogi II k direktivi o varnosti omrežij in informacij je naveden seznam sedmih sektorjev in ustreznih podsektorjev ter vrst subjektov, ki so pomembni za postopek določitve izvajalcev bistvenih storitev ( preglednica 1 ). Člen 5(3) določa, da morajo države članice pripraviti seznam bistvenih storitev na podlagi teh sektorjev, podsektorjev in vrst subjektov. Pristop minimalne harmonizacije iz Direktive državam članicam omogoča, da razširijo področje uporabe Priloge II ter izvajalce bistvenih storitev določijo v dodatnih sektorjih in podsektorjih.

Sektor Podsektor 1. Energija (a) Elektrika (b) Nafta (c) Plin 2. Promet (a) Zračni promet (b) Železniški promet (c) Vodni promet (d) Cestni prevoz 3. Bančništvo 4. Infrastruktura finančnega trga 5. Zdravstveni sektor 6. Oskrba s pitno vodo in njena distribucija 7. Digitalna infrastruktura V členu 5(2) so določena tri merila, ki jih morajo države članice uporabiti pri določanju izvajalcev bistvenih storitev: 1.zadevni subjekt mora zagotavljati storitev, ki je bistvena za ohranitev ključnih družbenih in/ali gospodarskih dejavnosti. Zato morajo nacionalni pristojni organi upoštevati svoje predhodno pripravljene sezname bistvenih storitev; 2.zagotovljena storitev mora biti odvisna od omrežja in informacijskih sistemov; 3.incident bi moral imeti pomemben negativen vpliv na zagotavljanje ustrezne storitve. Člen 6 določa, da je treba pomembnost incidenta oceniti z medsektorskimi dejavniki in po potrebi sektorskimi dejavniki. Poleg tega člen 5(4) Direktive določa, da se morajo države članice posvetovati med seboj, če ugotovijo, da potencialni izvajalec bistvenih storitev zagotavlja storitve v več kot eni državi članici. Ta obvezni postopek naj bi državam članicam pomagal oceniti morebitni vpliv kibernetskega incidenta, ki prizadene subjekte, ki poslujejo prek meja, ter deloval kot zaščitni ukrep za podjetja, ki jih zadeva postopek v različnih državah članicah. 1.3Metodologija poročila Rezultati poročila temeljijo na oceni, izvedeni med novembrom 2018 in septembrom 2019. Številne države članice Komisiji niso pravočasno zagotovile informacij, potrebnih za pripravo tega poročila. Sprejetje poročila je bilo zato treba preložiti na obdobje po 9. maju 2019, tj. datumu sprejetja, določenem v členu 23(1) direktive o varnosti omrežij in informacij. Podatki so bili zbrani na več načinov: z informacijami, ki so jih predložile države članice na podlagi standardizirane predloge, ki jo je pripravila ENISA, s standardiziranimi intervjuji z izbranimi nacionalnimi organi in s sestanki skupine za sodelovanje, vključno z delavnico o tej temi, ki je bila 19. marca 2019. Na podlagi zbranih informacij je v poročilu ocenjeno, kako skladni so pristopi držav članic pri določanju izvajalcev bistvenih storitev, in sicer s 1.primerjavo različnih metodologij določanja izvajalcev bistvenih storitev, ki so jih izbrali nacionalni organi, 2.pregledom seznamov bistvenih storitev in pragov, ki so jih izbrale države članice, 3.ter analizo števila izvajalcev bistvenih storitev v posamezni državi članici. V poročilu je ocenjeno tudi, kako se izvajajo določbe Direktive glede postopka čezmejnega posvetovanja (člen 5(4)) in načela lex specialis (člen 1(7)). Poročilo vsebuje analizo dejstev v zvezi s postopkom določitve izvajalcev bistvenih storitev, ki so ga izvedle države članice, priložene pa so ji predhodne ugotovitve in odprta vprašanja za nadaljnji razmislek. 1.4Razpoložljivost podatkov V skladu s določbami direktive o varnosti omrežij in informacij morajo države članice Komisiji predložiti le omejen nabor podatkov. Nacionalnim organom na primer ni treba predložiti imen določenih izvajalcev bistvenih storitev, zato službe Komisije težko primerjajo rezultate postopka določitve izvajalcev bistvenih storitev v smislu popolnosti seznama ter vpliva na podjetja, ki so enako velika in spadajo v isti sektor. V skladu s členom 5(7) bi morale vse države članice do 9. novembra 2018 predložiti informacije, ki so potrebne za to poročilo. Vendar je do tega datuma bistvene informacije predložilo le 15 držav (glej priloženo preglednico v oddelku 4.1). Po večkratnih pozivih Komisije so bile vrzeli v podatkih še vedno velike. Zato je Komisija 26. julija 2019 šestim državam članicam poslala uradni opomin in jih pozvala, naj manjkajoče podatke predložijo v dveh mesecih.

Na dan objave tega poročila je vse podatke, potrebne v skladu s členom 5(7), predložilo 23 držav članic: Bolgarija, Ciper, Češka, Danska, Estonija, Grčija, Španija, Finska, Francija, Hrvaška, Irska, Italija, Litva, Luksemburg, Latvija, Malta, Nemčija, Nizozemska, Poljska, Portugalska, Švedska, Slovaška in Združeno kraljestvo. Ostalih pet držav članic (Avstrija, Belgija, Madžarska, Romunija in Slovenija) je predložilo delne podatke o nacionalni določitvi izvajalcev bistvenih storitev, saj postopka določitve izvajalcev bistvenih storitev niso mogle dokončati pravočasno za objavo tega poročila.



2.Določitev izvajalcev bistvenih storitev v državah članicah V direktivi o varnosti omrežij in informacij je vzpostavljen okvir za določitev izvajalcev bistvenih storitev, ki državam članicam daje diskrecijsko pravico, da upoštevajo nacionalne posebnosti. Zato so države članice razvile najrazličnejše prakse za določitev izvajalcev bistvenih storitev. 2.1Metodologije, ki jih uporabljajo države članice Države članice so oblikovale različne metodologije za določitev izvajalcev bistvenih storitev, pri čemer so v celoti izkoristile prožnost, ki jo zagotavlja direktiva o varnosti omrežij in informacij. Eden od elementov, ki vplivajo na nacionalne metodologije, je bil predhodni obstoj okvira, kot je Direktiva Sveta (ES) št. 2008/114/ES o ugotavljanju in določanju evropske kritične infrastrukture ter o oceni potrebe za izboljšanje njene zaščite ali druge nacionalne določbe glede „ključnih izvajalcev“. V takih primerih so države članice svoje prejšnje izkušnje uporabile kot referenčno točko ter posebnosti, povezane z direktivo o varnosti omrežij in informacij, vključile v obstoječe metodologije. Razlike v nacionalnih metodologijah so razvrščene v naslednje glavne kategorije: bistvene storitve, uporaba pragov, stopnja centralizacije, organi, pristojni za določitev izvajalcev bistvenih storitev, ter ocena odvisnosti omrežij in informacijskih sistemov. Bistvene storitve in pragi so zaradi pomena, ki ga imajo pri ocenjevanju skladnosti določanja izvajalcev bistvenih storitev, analizirani v posebnih oddelkih. Druga merila se obravnavajo v tem oddelku. Stopnja centralizacije Večina držav članic se je odločila, da bo odločanje v zvezi z nekaterimi elementi postopka določitve izvajalcev bistvenih storitev prenesla na sektorske organe (ministrstva, agencije itd.). Stopnja decentralizacije se razlikuje od primera do primera, pri čemer je večina držav članic imenovala en organ, ki je pristojen za smernice sektorskim organom in združevanje informacij. Nekatere države pa so se odločile, da bo za postopek določitve izvajalcev bistvenih storitev pristojen en organ. Obstajajo tudi primeri z zelo visoko stopnjo decentralizacije, v katerih so sektorski organi odgovorni za razvoj lastnih metodologij. Številne države članice so skrbno preučile različne vidike institucionalne strukture določanja izvajalcev bistvenih storitev. Organi so kot eno od glavnih prednosti centraliziranega določanja izvajalcev bistvenih storitev navedli preprečevanje nasprotja interesov: izvajalci bistvenih storitev so očitno manj naklonjeni razkrivanju ustreznih informacij sektorskim regulativnim organom, saj se bojijo, da bi se lahko te informacije uporabile tudi za druge regulativne namene. Po drugi strani se zdi, da decentralizirani pristopi spodbujajo dialog med pristojnimi organi za varnost omrežij in informacij (na področju kibernetske varnosti in po sektorjih) ter jim pomagajo bolje opredeliti posledice medsektorskih odvisnosti. Poleg tega sektorski organi običajno bolje razumejo sektorje kot vodilni organi. Postopek določitve izvajalcev bistvenih storitev (od zgoraj navzdol in od spodaj navzgor) Druga pomembna razlika je med državami članicami, v katerih postopek določitve izvajalcev bistvenih storitev izvajajo javni organi (določitev od zgoraj navzdol), in državami članicami, v katerih morajo udeleženci na trgu sami preveriti, ali kot izvajalci bistvenih storitev izpolnjujejo zahteve (tako imenovana določitev od spodaj navzgor ali samodoločitev). Za učinkovitost drugega pristopa bi morale države članice določiti dovolj visoke kazni, ki bi izvajalce bistvenih storitev odvrnile od tega, da se ne bi prijavili, kot določa člen 21 direktive o varnosti omrežij in informacij. Postopek določitve izvajalcev bistvenih storitev običajno poteka od zgoraj navzdol. Vendar se organi v praksi pogosto delno zanašajo na nekatere elemente samoocenjevanja, kot so vprašalniki, ki jih morajo izpolniti potencialni izvajalci bistvenih storitev. Če so pravila in pragi, ki urejajo določanje izvajalcev bistvenih storitev, jasni in pregledni, bi moralo določanje izvajalcev bistvenih storitev od zgoraj navzdol in določanje izvajalcev bistvenih storitev od spodaj navzgor prinesti podobne rezultate. Izbira enega pristopa namesto drugega načeloma torej ne bi smela vplivati na skladnost. Ocena odvisnosti omrežja Kot je pojasnjeno v oddelku 1.2, člen 5(2)(b) določa, da morajo države članice v okviru postopka določitve izvajalcev bistvenih storitev oceniti njihovo odvisnost od omrežja in informacijskih sistemov. Številne države članice pri uporabi teh meril upoštevajo, da je odvisnost od omrežij in informacijskih sistemov v današnjem digitalnem gospodarstvu samoumevna. Nekateri organi pa so se odločili za bolj izpopolnjene prakse, na primer izvajanje podrobnih ocen ali pozivanje izvajalcev bistvenih storitev, naj sami ocenijo stopnjo svoje odvisnosti. 2.2Določitev storitev V uvodni izjavi 23 direktive o varnosti omrežij in informacij so izrecno omenjeni seznami bistvenih storitev kot dodatni element za „oceno regulativne prakse vsake države članice, da bi tako zagotovili splošno raven usklajenosti“. Ker so seznami bistvenih storitev, ki jih pripravijo države članice, podlaga za določitev izvajalcev bistvenih storitev, bi lahko razlike v določenih storitvah privedle do neskladne določitve izvajalcev bistvenih storitev v državah članicah, zlasti če nekatere storitve, ki se zagotavljajo v vseh državah, določijo le nekatere države članice.

Število storitev, ki so jih države članice določile v skladu s Prilogo II direktive o varnosti omrežij in informacij, sporočeno Komisiji, se med državami članicami zelo razlikuje (podatki za vse države članice so navedeni v oddelku 4.2 Priloge). Število določenih storitev se giblje od 12 do 87, kot je prikazano na sliki Figure 1 , v povprečju pa znaša 35 storitev na državo članico. Čeprav večje države članice običajno določijo nekoliko več storitev kot manjše države članice, se zdi, da ni močne povezave med velikostjo države članice in številom določenih storitev. To je v skladu s pričakovanji, saj imajo v praksi potrošniki in družbe običajno dostop do istih vrst storitev v vseh državah članicah, ne glede na velikost države. Število določenih storitev se ne razlikuje le pri državah članicah kot celoti, ampak tudi pri natančnejšem pregledu sektorjev in podsektorjev. V sektorju bančništva se na primer število določenih storitev giblje od 1 do 21. Kot je prikazano na sliki Figure 2 , se obseg določenih storitev med državami znatno razlikuje v večini sektorjev in podsektorjev. Slika 2: Število storitev, ki so jih države članice določile v posameznem sektorju in podsektorju. Vsaka podatkovna točka pomeni število storitev, ki jih je država članica določila v zadevnem (pod)sektorju. Podatki, prikazani na sliki Figure 2 , do neke mere kažejo različne metodološke pristope držav. Nekatere države članice so na primer izbrale bolj razčlenjen pristop k določitvi storitev kot druge države članice, zaradi česar so bile številke v teh državah članicah večje. Vendar je iz podatkov, ki jih je Komisija prejela od držav članic, jasno razvidno, da so razlike v podatkih tudi rezultat neskladnosti v pristopih, ki so jih izbrale države članice, kar je razvidno tudi iz primerov podsektorjev elektrike in železniškega prometa: Estonija

(najmanj razčlenjen pristop) Portugalska Danska Bolgarija

(najbolj razčlenjen pristop) Oskrba z električno energijo Operaterji distribucijskega sistema Distribucija električne energije Distribucija električne energije Zagotavljanje delovanja in vzdrževanja distribucijskega sistema električne energije Operater prenosnega sistema Prenos električne energije Prenos električne energije Obratovanje, vzdrževanje in razvoj prenosnega sistema električne energije (vrzel v skladnosti) Proizvodnja električne energije Proizvodnja električne energije (vrzel v skladnosti) (vrzel v skladnosti) Trg električne energije V preglednici 2 je prikazana primerjava pristopov, na podlagi katerih so države članice določile bistvene storitve v podsektorju električne energije. Nekatere države (na primer Estonija) so izbrale zelo splošen naslov, ki omogoča določitev tako rekoč vseh izvajalcev bistvenih storitev, ki so po njihovem mnenju bistveni v podsektorju električne energije. Druge države (na primer Portugalska, Danska in Bolgarije) so se odločile za precej bolj razčlenjen pristop. Bolgarija je na primer pripravila zelo podroben seznam storitev, ki vključuje celo storitev, ki ni zajeta v Prilogi II (trgi električne energije). Portugalska in Danska pa sta uporabili razčlenjen pristop, pri čemer sta se odločili, da ne bosta vključili nekaterih storitev, ki so jih vključile druge države. To bi lahko povzročilo neenake konkurenčne pogoje na notranjem trgu za izvajalce bistvenih storitev. Vrzeli v skladnosti, kot so vrzeli, opredeljene v preglednici preglednici 2 , so posledica različnega izvajanja direktive o varnosti omrežij in informacij na nacionalni ravni, v primeru sektorjev, ki ne spadajo na področje uporabe Priloge II (na primer trgi električne energije), pa posledica pristopa minimalne harmonizacije. Vrzeli v skladnosti torej same po sebi ne pomenijo, da države članice, ki niso določile posamezne storitve, niso pravilno uporabljale določb iz Direktive. V preglednici 3 so predstavljeni pristopi, ki so jih štiri države članice izbrale v zvezi s podsektorjem železniškega prometa. Medtem ko je Francija pripravila zelo podroben in celovit seznam storitev, bistvenih za delovanje železniškega prometa, so druge tri države izbrale le majhen podsklop teh storitev. V primeru Poljske ni povsem jasno, katere storitve spadajo v kategorijo železniškega tovornega prometa in katere v kategorijo železniškega potniškega prometa. Njuni poimenovanji sta tako splošni, da bi lahko vključevali tudi nekatere storitve, ki jih je določila Francija, na primer nadzor in upravljanje železniškega prometa. Poudariti je treba, da Komisija nima na voljo sredstev, da bi take primere nadalje raziskala, saj direktiva o varnosti omrežij in informacij ne določa, da morajo nacionalni organi razkriti podrobnejše informacije. Finska Francija Irska Poljska Upravljanje državne infrastrukture Vzdrževanje infrastrukture Upravljavci infrastrukture (vrzel v skladnosti) (vrzel v skladnosti) Vzdrževanje tirnih vozil (vrzel v skladnosti) (vrzel v skladnosti) Storitve upravljanja prometa Nadzor in upravljanje železniškega prometa (vrzel v skladnosti) Priprava voznega reda vlakov (vrzel v skladnosti) Tovor in nevarni materiali Prevozniki v železniškem prometu Železniški tovorni promet (vrzel v skladnosti) Prevoz potnikov Železniški potniški promet (vrzel v skladnosti) Metro, tramvaj in druge storitve lahke železnice (vključno s storitvami podzemne železnice) (vrzel v skladnosti) (vrzel v skladnosti) Železniške storitve (vrzel v skladnosti) (vrzel v skladnosti) Države članice, vključene v preglednici 2 in 3 , so bile izbrane le za ponazoritev in ker njihovi metodološki pristopi omogočajo preprosto primerjavo. Večina drugih držav članic je izbrala podobne storitve, zato so se pri njih pojavile podobne vrzeli v skladnosti. Vrzeli v skladnosti, kot so vrzeli v podsektorjih elektrike in železniškega prometa, dejansko obstajajo v vseh državah članicah ter vseh sektorjih, vključenih v Prilogo II k Direktivi. Večina teh neskladnosti izhaja iz storitev, ki so določene le v nekaterih in ne vseh državah članicah. Popoln seznam storitev v podsektorjih elektrike in železniškega prometa, ki zajema vse države članice, je naveden v Prilogi k temu poročilu. 2.3Pragi

Čeprav večina držav članic za določitev izvajalcev bistvenih storitev uporablja prage, se njihova vloga v posameznih državah članicah razlikuje. V zvezi z medsektorskimi pragi je mogoče določiti prage, ki so odvisni od: ·enega kvantitativnega dejavnika (npr. število uporabnikov, ki so odvisni od storitve), da se ugotovi, ali je treba subjekt obravnavati kot izvajalca bistvenih storitev v okviru določene storitve, ·večjega sklopa kvantitativnih dejavnikov (npr. število uporabnikov, ki so odvisni od storitve, in tržni delež), ·kombinacije kvantitativnih in kvalitativnih dejavnikov. Poleg tega Direktiva državam članicam omogoča, da poleg medsektorskih pragov uporabijo tudi sektorske prage. To nacionalnim organom daje večjo svobodo v postopku določitve izvajalcev bistvenih storitev, da lahko upoštevajo nacionalne in sektorske posebnosti, hkrati pa vodi do zelo zapletene kombinacije pragov, kar lahko negativno vpliva na splošno skladnost določitve izvajalcev bistvenih storitev. Primer te raznolikosti pristopov je naveden v preglednici 4 . V njej je prikazano, da se pragi, ki so jih države članice izbrale v sektorju digitalne infrastrukture, razlikujejo tako kvantitativno (ponudniki strežnikov domenskih imen v Nemčiji so določeni za izvajalca bistvenih storitev, če upravljajo vsaj 250 000 domen, medtem ko je Poljska za prag določila samo 100 000 domen) kot kvalitativno (na primer število povezanih avtonomnih sistemov v primerjavi s tržnim deležem). Skladno izbrani kvantitativni pragi sami po sebi ne zagotavljajo popolne skladnosti nacionalnih pristopov. Glede na to, da so pragi v nekaterih državah članicah samo eno od meril, uporabljenih pri določanju izvajalcev bistvenih storitev, bi lahko bili rezultati postopka določitve izvajalcev bistvenih storitev še vedno zelo različni, tudi če bi se uporabljali podobni pragi. Nekatere države članice na primer uporabljajo zapletene sisteme točkovanja z več dejavniki, ki se združijo v eno formulo. Taki dejavniki bi lahko na primer vključevali odvisnost subjekta od omrežja in informacijskih sistemov ali nekatere dejavnike iz člena 6(1) direktive o varnosti omrežij in informacij. Poleg tega nekatere države članice sploh ne uporabljajo pragov ali jih uporabljajo le v predhodni fazi ocene. Ti pomisleki ne veljajo le za sektor digitalne infrastrukture, ampak za vse sektorje iz Priloge II. Določitev pravega praga je lahko izziv, zlasti v zvezi s sektorji, za katere je značilen obstoj številnih majhnih izvajalcev bistvenih storitev. Primer take raznolikosti so številne majhne zdravstvene ustanove (npr. klinike ali ambulante nujne medicinske pomoči), ki omogočajo bistveno storitev razmeroma majhnemu število uporabnikov, vendar bi lahko njena nerazpoložljivost zaradi incidenta v zvezi s kibernetsko varnostjo povzročila smrt pacienta. Druga težava nastane, če je delovanje dobavnih verig odvisno od storitev, ki jih zagotavljajo izvajalci, ki so majhna, vendar bistvena povezava v verigi (na primer v sektorjih, kot je logistika). Ena država članica preučuje uporabo meril, povezanih s pomenom ali kritičnostjo storitve, ki se zagotavlja, kot potencialno rešitev te težave.



Država Stičišče omrežij Ponudniki strežnikov domenskih imen Registri domenskih imen najvišje ravni Uporaba pretežno sektorskih pragov AT povezani avtonomni sistemi

> 100 razreševalniki DNS: 88 000 uporabnikov;

avtor. DNS: 50 000 domen 50 000 domen DE povezani avtonomni sistemi

> 300 razreševalniki DNS: 100 000 uporabnikov; avtor. DNS: 250 000 domen (storitev ni določena) DK povpr. dnevna količina podatkov > 200 Gbitov/s razreševalniki DNS: 100 000 uporabnikov; avtor. DNS: 100 000 domen 500 000 domen EE (storitev ni določena) (storitev ni določena) register domenskih imen najvišje ravni države FI (storitev ni določena) (storitev ni določena) registri domenskih imen najvišje ravni države in regije FR (brez uradnega praga) (ni uradnega praga) (ni uradnega praga) HR povezani člani > 15 storitev DNS za domene najvišje ravni države register domenskih imen najvišje ravni države IE (prag ni znan) razreševalniki DNS: 100 milijonov poizvedb/24 ur avtor. DNS: 50 000 domen register domenskih imen najvišje ravni države MT 25-odstotni tržni delež razreševalniki DNS: 78 000 zahtev/dan avtor. DNS: 7 800 domen 750 000 zahtev/dan PL povezani avtonomni sistemi

≥ 100 avtor. DNS: 100 000 domen registri domenskih imen najvišje ravni za vsaj 100 000 naročnikov SE (storitev ni določena) razreševalniki DNS: 100 000 uporabnikov; avtor. DNS: 25 000 domen 250 000 domen SK avtonomni sistem, ki povezuje vsaj dva druga avtonomna sistema s hitrostjo 2 Gb/s razreševalniki DNS: 3 milijoni poizvedb/24 ur avtor. DNS: > 1 000 domen register domenskih imen najvišje ravni UK tržni delež > 50 % ali

medsebojna povezljivost z globalnimi internetnimi potmi ≥ 50 % razreševalniki DNS: 2 000 000 odjemalcev/dan;

avtor. DNS: 250 000 domen registri domenskih imen najvišje ravni ≥ 2 milijardi poizvedb/dan Uporaba medsektorskih pragov CY 50 000 uporabnikov ali

5 % naročnikov na trgu 50 000 uporabnikov ali

5 % naročnikov na trgu 50 000 uporabnikov ali

5 % naročnikov na trgu LT prebivalci > 145 000 prebivalci > 145 000 prebivalci > 145 000 LU 100-odstotni tržni delež 13 500 pogodb 100-odstotni tržni delež



2.4Število določenih izvajalcev bistvenih storitev Seznami bistvenih storitev in pragi so najpomembnejši dejavniki skladnega določanja izvajalcev bistvenih storitev. Iz prejšnjih oddelkov je razvidno, da so države članice v obeh primerih različno uporabile določbe direktive o varnosti omrežij in informacij, kar pomeni, da bi to lahko pri naknadnem določanju izvajalcev bistvenih storitev povzročilo težave v zvezi skladnostjo. V tem oddelku se primerja število določenih izvajalcev bistvenih storitev v sektorjih in podsektorjih iz Priloge II v posameznih državah članicah. Skupna števila izvajalcev bistvenih storitev, ki so jih države članice sporočile Komisiji, se gibljejo od 20 do 10 897 izvajalcev, povprečje pa je 633 izvajalcev bistvenih storitev na državo članico (podatki za vse države članice so na voljo v oddelku 4.2 Priloge k temu poročilu). Na splošno obstaja jasno pozitivno razmerje med velikostjo države in številom določenih izvajalcev bistvenih storitev. Vendar to ni ustrezno pojasnilo za velike razlike v podatkih, ki jih sporočajo države članice. Za upoštevanje razmerja med velikostjo in prebivalstvom je na sliki Figure 3 prikazana primerjava števila določenih izvajalcev bistvenih storitev v državah članicah na 100 000 prebivalcev. Iz nje je razvidno, da so pristopi, ki so jih države članice sprejele za določitev izvajalcev bistvenih storitev, prinesli zelo različne rezultate. Iz bolj poglobljene študije sektorjev in podsektorjev so razvidne znatne razlike v številu določenih izvajalcev bistvenih storitev med državami članicami v vseh sektorjih iz Priloge II (slika Figure 4 ). Na primer v sektorju energije je število izvajalcev bistvenih storitev od 0,3 do 29 na 1 000 000 prebivalcev. V sektorju bančništva je od 0,07 do 51 izvajalcev bistvenih storitev na 1 000 000 prebivalcev (brez upoštevanja držav članic, ki v tem sektorju niso določile niti enega izvajalca bistvenih storitev).

2.5Uporaba Direktive v sektorjih, ki niso vključeni v Prilogo II Iz študije o predloženih podatkih je razvidno, da je 11 od 28 držav članic določilo bistvene storitve v sektorjih, ki ne spadajo na področje uporabe Priloge II k Direktivi. Od teh 11 držav članic jih je sedem določilo skupno 157 izvajalcev bistvenih storitev, ki zagotavljajo storitve, ki niso zajete v vrstah subjektov iz Priloge II. Dodatni sektor Primeri subjektov Število držav članic Informacijske infrastrukture Podatkovna središča, gruče strežnikov 5 Finančne storitve (subjekti, ki niso navedeni v Prilogi II) Zavarovalnice in pozavarovalnice 4 Storitve javne uprave Elektronske storitve za državljane 4 Ogrevanje Proizvajalci in dobavitelji ogrevanja 3 Odpadna voda Obrati za zbiranje in obdelavo 3 Logistika Poštne storitve 2 Hrana Proizvajalci, mesta trgovanja 2 Okolje Odstranjevanje nevarnih odpadkov 2 Nacionalne varnostne službe/službe za pomoč v sili 112, krizno upravljanje 2 Kemična industrija Dobavitelji in proizvajalci snovi 2 Socialne službe Subjekti, odgovorni za socialne prejemke 1 Izobraževanje Organi, odgovorni za nacionalna preverjanja 1 Občinske menze Upravljanje distribucije 1 Voda Hidravlične konstrukcije 1 Najbolj priljubljene kategorije ( preglednica 5 ) so informacijska infrastruktura (določilo jo je pet držav članic), finančne storitve, ki jih zagotavljajo subjekti, ki niso navedeni v Prilogi II (določile so jih štiri države članice) in storitve javne uprave (določile so jih štiri države članice). Glede na to, da je kibernetska odpornost bistvena za delovanje gospodarstva in družbe kot celote, so se številne države članice odločile, da izkoristijo priložnost in vključijo tudi sektorje, ki niso navedeni v Prilogi II. Ker se je več držav članic odločilo, da bodo uporabo direktive o varnosti omrežij in informacij razširile na dodatne sektorje, se postavlja vprašanje, ali je sedanje področje uporabe Priloge II ustrezno za izpolnjevanje cilja zaščite vseh izvajalcev bistvenih storitev v Uniji, ki so ključni za družbo in gospodarstvo. 2.6Postopek čezmejnega posvetovanja Člen 5(4) direktive o varnosti omrežij in informacij določa, da se morajo države članice pred sprejetjem končnega sklepa o določitvi izvajalcev bistvenih storitev, ki zagotavljajo storitve v več kot eni državi članici, posvetovati med seboj. Skupina za sodelovanje je julija 2018 izdala referenčni dokument, da bi državam članicam pomagala pri izvajanju ustreznih čezmejnih posvetovanj. Na podlagi prejetih informacij se je le nekaj nacionalnih organov odločilo za sodelovanje z ustreznimi organi v drugih državah članicah, le dve državi članici pa sta na celovit način vzpostavili stik z drugimi državami članicami. Poleg tega je le nekaj držav članic navedlo, da so na manj sistematičen način sodelovale z drugimi organi. Čeprav so čezmejne storitve zelo pomembne na notranjem trgu, je večina držav članic, ki je vzpostavile stik z drugimi državami članicami, to storila le v zvezi z zelo majhnim številom izvajalcev bistvenih storitev. Kljub temu, da države članice postopka niso uporabile pogosto, je večina nacionalnih organov izrazila zanimanje za postopek čezmejnega sodelovanja in menila, da je pomemben element okvira za določitev izvajalcev bistvenih storitev iz direktive o varnosti omrežij in informacij. Dejansko je več držav članic izrazilo zaskrbljenost, da bi lahko bili izvajalci bistvenih storitev brez učinkovitega čezmejnega posvetovanja prisiljeni upoštevati številne različne regulativne zahteve ali pa bi bili v slabšem položaju v primerjavi z drugimi izvajalci bistvenih storitev, ki so dejavni na trgu in za katere veljajo manj strogi predpisi. Komisija je skupaj z nacionalnimi organi opredelila več razlogov, zakaj se postopek posvetovanja še ne uporablja, kot je bilo predvideno: ·številne države članice so potrebovale več časa za določitev svojih izvajalcev bistvenih storitev, kot je bilo predvideno, zato so države članice, ki so izvajalce bistvenih storitev določile prej, menile, da se ne morejo posvetovati s temi državami; ·pomanjkanje varnih kanalov za prenos informacij: nekatere države članice so izrazile nenaklonjenost komunikaciji z drugimi ustreznimi organi, saj so menile, da so imena izvajalcev bistvenih storitev zaupne informacije; ·veliko število obstoječih čezmejnih odvisnosti, zaradi katerih je bilo treba vzpostaviti stik s številnimi zadevnimi državami članicami, zlasti v primeru vseevropskih izvajalcev bistvenih storitev;

·pomanjkanje skupnega razumevanja ciljev in obsega čezmejnega posvetovanja: nekatere države članice menijo, da je posvetovanje le orodje za medsebojno obveščanje o določitvah izvajalcev bistvenih storitev s čezmejnim vplivom, druge pa menijo, da je njegov namen uskladitev pragov in regulativnih zahtev. V uvodni izjavi 24 Direktive je navedeno, da gre predvsem za postopek za skupno oceno kritičnosti izvajalca bistvene storitve za namene postopka določitve izvajalcev bistvenih storitev; ·še ena težava nastane, če se dve državi članici obrneta na državo članico v zvezi z istim izvajalcem bistvenih storitev. V takem primeru zadevna država članica morda svojih pravil ne bi mogla uskladiti z obema državama članicama hkrati. V zvezi s tem so v uvodni izjavi 24 predvidena večstranska posvetovanja. Pomembno je, da države članice izkoristijo to možnost in zagotovijo skladnost. 2.7Upoštevanje načela lex specialis v postopku določitve izvajalcev bistvenih storitev Komisija je ugotovila, da se med državami članicami pojavljajo neskladnosti v zvezi z uporabo načela lex specialis. To načelo je povzročilo neenako uporabo Direktive, saj je po eni strani privedlo do določitve izvajalcev bistvenih storitev na podlagi sektorskih pravil in po drugi strani do nezadostne določitve izvajalcev bistvenih storitev v nekaterih sektorjih iz Priloge II. Člen 1(3) določa, da se direktiva o varnosti omrežij in informacij ne uporablja za podjetja, za katera veljajo zahteve okvirne direktive o telekomunikacijah. Vendar se zdi, da so nekatere države članice določile izvajalce bistvenih storitev, ki zagotavljajo storitve, ki bi se morale dejansko urejati z okvirno direktivo o telekomunikacijah, kot so storitve dostopa do interneta in telefonske storitve. Poleg tega se v skladu s členom 1(7) določbe direktive o varnosti omrežij in informacij glede varnostnih zahtev in priglasitve incidentov ne uporabljajo za izvajalce bistvenih storitev, ki so že zajeti s sektorskimi pravnimi akti Unije, ki določajo obveznosti z vsaj enakovrednim učinkom. Čeprav je večina držav članic določila izvajalce bistvenih storitev v sektorjih bančništva in finančnih trgov, jih nekaj držav članic ni določilo, pri čemer trdijo, da izvajalci bistvenih storitev zagotavljajo storitve, ki so zajete v načelih leges speciales. Komisija še vedno zbira podrobne informacije o uporabi načela lex specialis v skladu z direktivo o varnosti omrežij in informacij. Zdaj izvaja poglobljene preglede nacionalne zakonodaje in obiske držav, da bi ocenila sedanjo raven prenosa in izvajanja, med drugim v zvezi z določbami glede načela lex specialis. Na podlagi navedenega namerava Komisija nadalje razpravljati o načelu lex specialis v skupini za sodelovanje, da bi dosegla boljšo uskladitev med državami članicami.

3.Sklepne ugotovitve V tem poročilu so ocenjeni pristopi, ki so jih države članice izbrale za določitev izvajalcev bistvenih storitev v skladu z direktivo o varnosti omrežij in informacij. Njegov cilj je oceniti stopnjo skladnosti med praksami držav članic glede na možen vpliv sedanjega okvira na delovanje notranjega trga in obvladovanje tveganj v zvezi s kibernetsko odvisnostjo. Iz izvedene analize je razvidno, da je direktiva o varnosti omrežij in informacij v številnih državah članicah spodbudila oblikovanje podlage za dejanske spremembe v institucionalnem in regulativnem okolju na področju kibernetske varnosti. Poleg tega je bila zaradi obvezne določitve izvajalcev bistvenih storitev izvedena celovita ocena tveganj, povezanih z izvajalci bistvenih storitev, ki so dejavni na področju ključnih dejavnosti ter sodobnih omrežij in informacijskih sistemov v skoraj vseh državah članicah. To se lahko v skladu s cilji Direktive šteje za dosežek za Unijo kot celoto. Komisija je za to poročilo preučila nacionalne metodologije določanja, storitve, za katere nacionalni organi menijo, da so bistvene, določanje pragov in število izvajalcev bistvenih storitev, določenih v različnih sektorjih, ki jih zajema Direktiva: ·države članice so razvile različne metodologije v zvezi s splošnim pristopom k določanju izvajalcev bistvenih storitev (oddelek 2.1), pa tudi v zvezi z opredelitvijo bistvenih storitev in določanjem pragov. To lahko negativno vpliva na skladno uporabo določb o varnosti omrežij in informacij v vsej Uniji ter ima lahko posledice za dobro delovanje notranjega trga in učinkovito obravnavanje kibernetskih odvisnosti; ·poleg tega se zdi, da si države članice različno razlagajo, kaj je bistvena storitev v skladu z direktivo o varnosti omrežij in informacij, pri čemer uporabljajo različno razčlenjene pristope (glej oddelek 2.2). Zato je sezname bistvenih storitev težko primerjati. Poleg tega obstaja tveganje, da bo področje uporabe Direktive razdrobljeno, pri čemer bodo morali nekateri izvajalci bistvenih storitev upoštevati dodatna pravila (ker jih je določila njihova zadevna država članica), drugi, ki zagotavljajo podobne storitve, pa bodo izključeni (ker niso bili določeni). V zvezi z odpravo teh neskladnosti bi lahko z nadaljnjim delom na podlagi izkušenj držav članic oblikovali bolj usklajen seznam bistvenih storitev; ·v poročilu so bile ugotovljene tudi precejšnje neskladnosti pri načinih uporabe pragov v državah članicah (oddelek 2.3). K ublažitvi te težave bi lahko prispevalo dodatno usklajevanje pragov na ravni EU. Tako delo bi se lahko na primer izvajalo s sektorskimi toki dela v okviru skupine za sodelovanje, pri čemer bi se upoštevale nacionalne posebnosti, kot so posebne zahteve majhnih držav članic; ·dejstvo, da so nekatere države članice izkoristile možnost določitve bistvenih storitev v sektorjih in podsektorjih, ki niso zajeti v Prilogi II, pomeni, da poleg sektorjev, ki jih obravnava direktiva o varnosti omrežij in informacij, obstajajo še drugi sektorji, ki bi lahko bili izpostavljeni kibernetskim incidentom (oddelek 2.5). Z določitvijo izvajalcev bistvenih storitev v sektorjih, kot so informacijska infrastruktura, finančne storitve, ki niso zajete med subjekti iz Priloge II, in javna uprava, se lahko izboljša kibernetska odpornost organizacij v teh sektorjih. Če pa izvajalce bistvenih storitev v takih sektorjih določi le en podsklop držav članic, ima lahko to negativne posledice za notranji trg in enake konkurenčne pogoje, ki naj bi jih zagotovil. Številne metodologije in dobra praksa, ki so jih razvili nacionalni organi, imajo posebno vrednost in bi jih bilo treba v prihodnosti upoštevati, na primer pri delu skupine za sodelovanje in stalnem določanju izvajalcev bistvenih storitev, ki ga izvajajo države članice. Vendar pa bi lahko sedanja raven raznolikosti negativno vplivala na doseganje ciljev Direktive. Komisija predhodno ugotavlja, da obstaja v Uniji precejšnja razdrobljenost na področju določanja izvajalcev bistvenih storitev, čeprav se je z direktivo o varnosti omrežij in informacij uvedel ključni postopek za povečanje in izboljšanje praks obvladovanja tveganja pri izvajalcih v ključnih sektorjih. Razlog za to so zasnova Direktive in različne metodologije izvajanja, ki jih uporabljajo države članice. Države članice bi si morale prizadevati za čim bolj skladno uporabo določb direktive o varnosti omrežij in informacij, tako da bi v celoti uporabljale smernice, ki sta jih pripravili Komisija in skupina za sodelovanje. Zato je Komisija določila več nacionalnih ukrepov, ki bi lahko prispevali k zmanjšanju težav, poudarjenih v tem poročilu:

·številne države članice postopka določitve izvajalcev bistvenih storitev niso zaključile v roku, ki ga določa Direktiva. Na dan objave tega poročila je vse podatke, potrebne v skladu s členom 5(7), predložilo 23 držav članic. Preostalih pet držav članic je predložilo delne informacije. Komisija nacionalne organe, pristojne za določitev izvajalcev bistvenih storitev, poziva, naj čim prej zaključijo postopek in ji nemudoma posredujejo potrebne informacije; ·pristojni organi bi morali redno pregledovati svoje sezname bistvenih storitev in zagotoviti, da so določene vse obstoječe bistvene storitve, da bi se zmanjšalo število vrzeli v skladnosti v zvezi z bistvenimi storitvami na notranjem trgu; ·države članice bi morale bolj dejavno medsebojno sodelovati, da bi uskladile prage, če je to mogoče, zlasti v sektorjih z močno čezmejno razsežnostjo, kot je sektor prometa ali energije. To je mogoče doseči s postopkom čezmejnega posvetovanja iz člena 5(4) direktive o varnosti omrežij in informacij, pa tudi z boljšo uporabo obstoječih struktur skupine za sodelovanje; ·nacionalni organi bi se morali med seboj posvetovati ter zagotoviti, da morajo čezmejni izvajalci bistvenih storitev izpolnjevati podobne zahteve glede varnosti in poročanja o incidentih na notranjem trgu. Države članice bi morale tudi vzpostaviti stik s takimi izvajalci bistvenih storitev, da bi zbrale več informacij o regulativnih razlikah. Večja kibernetska varnost ne bi smela imeti za posledico regulativne razdrobljenosti. Po potrebi bi morale države članice tudi sodelovati v večstranskih posvetovanjih, kot je navedeno v uvodni izjavi 24 direktive o varnosti omrežij in informacij. Poleg nacionalnih ukrepov obstajajo številni ukrepi, ki bi se lahko sprejeli na ravni Unije in zagotovili večjo skladnost. Komisija bo začela posvetovanja za izboljšanje neenakih in občasno razdrobljenih pristopov k določanju izvajalcev bistvenih storitev. Nekateri možni ukrepi so: ·vlogo skupine za sodelovanje na področju varnosti omrežij in informacij bi bilo treba okrepiti, da bi spodbujala skupno razumevanje, kako bolj skladno izvajati Direktivo. Zato bo Komisija predlagala, da se v okviru sedanjega namenskega toka dela na področju določanja izvajalcev bistvenih storitev hitro pregledajo smernice za boljše obravnavanje obstoječih neskladnosti. Skupina za sodelovanje bi morala preučiti tudi vzpostavitev dodatnih sektorskih tokov dela, da bi se povečala skladnost med državami članicami, in uporabo prilagojenih komunikacijskih orodij za okrepitev sodelovanja v skupini; ·zdaj le malo držav članic pri določanju izvajalcev, ki zagotavljajo bistvene storitve v več kot eni državi članici, uporablja postopek čezmejnega posvetovanja. Da bi se izmenjava informacij povečala, bi morala skupina za sodelovanje pregledati svoj referenčni dokument o načinih posvetovanja v primerih s čezmejnim vplivom ter se dogovoriti o skladni razlagi področja uporabe, ciljev in postopkov takega dela. Hkrati bo Komisija preučila možnosti za varno izmenjavo informacij med pristojnimi organi; ·zdi se, da med državami članicami obstaja določena stopnja neskladnosti pri uporabi določb Direktive glede načela lex specialis. Komisija bo zato uporabila strukture skupine za sodelovanje za razpravo o primerih, v katerih uporaba načela lex specialis morda ni pravilna. Ukrepi, sprejeti na ravni Unije, bi morali zagotavljati skladen okvir, pri tem pa upoštevati sektorske dejavnosti, ki predvidevajo posebne ali strožje zahteve glede kibernetske varnosti, ter drugo evropsko zakonodajo.



4.Priloge 4.1Pregled razpoložljivih podatkov po državah članicah Država članica Datum predložitve Seznam storitev Število izvajalcev bistvenih storitev Pragi AT Pozna predložitev Predložen MANJKA Predloženi BE Pozna predložitev Predložen MANJKA MANJKAJO BG Pozna predložitev Predložen Predloženo Predloženi CY Pravočasno Predložen Predloženo Predloženi CZ Pozna predložitev Predložen Predloženo Predloženi DE Pravočasno Predložen Predloženo Predloženi DK Pravočasno Predložen Predloženo Predloženi EE Pravočasno Predložen Predloženo Predloženi EL Pozna predložitev Predložen Predloženo Predloženi ES Pravočasno Predložen Predloženo Predloženi FI Pravočasno Predložen Predloženo Predloženi FR Pravočasno Predložen Predloženo Ni uradnih pragov HR Pravočasno Predložen Predloženo Predloženi HU Pravočasno Delno predložen Delno predloženo Delno predloženi IE Pozna predložitev Predložen Predloženo Predloženi IT Pozna predložitev Predložen Predloženo Predloženi LT Pravočasno Predložen Predloženo Predloženi LU Pozna predložitev Predložen Predloženo Predloženi LV Pozna predložitev Predložen Predloženo Predloženi MT Pozna predložitev Predložen Predloženo Predloženi NL Pozna predložitev Predložen Predloženo Predloženi PL Pravočasno Predložen Predloženo Predloženi PT Pravočasno Predložen Predloženo Predloženi RO Pozna predložitev Predložen Delno predloženo MANJKAJO SE Pravočasno Predložen Predloženo Predloženi SI Pozna predložitev Predložen MANJKA Predloženi SK Pravočasno Predložen Predloženo Predloženi UK Pravočasno Predložen Predloženo Predloženi 4.2Število storitev in izvajalcev bistvenih storitev, določenih v posamezni državi članici Država članica Določeni izvajalci bistvenih storitev Storitve v skladu s Prilogo II Dodatne storitve AT 0 46 0 BE 0 31 0 BG 185 30 3 CY 20 29 17 CZ 50 31 12 DE 573 15 12 DK 128 39 0 EE 137 18 6 EL 67 30 0 ES 132 55 18 FI 10 897 20 0 FR 127 70 20 HR 85 49 2 HU 42 12 0 IE 64 26 0 IT 553 37 0 LT 22 37 0 LU 49 21 0 LV 66 18 0 MT 36 29 2 NL 42 12 0 PL 142 87 0 PT 1 250 26 0 RO 86 77 0 SE 326 27 0 SI 0 34 2 SK 273 28 7 UK 470 34 0 4.3Storitve, ki so jih države članice določile v podsektorju elektrike Država članica Določene storitve AT ̶Obrati za proizvodnjo električne energije ̶Nadzorni sistemi v proizvodnih obratih ̶Distribucijska omrežja ̶Prenosna omrežja BE ̶Proizvodne, prevozne in distribucijske družbe ̶Distribucija električne energije ̶Prenos električne energije BG ̶Proizvodnja električne energije ̶Prenos električne energije ̶Obratovanje, vzdrževanje in razvoj prenosnega sistema električne energije ̶Distribucija električne energije ̶Zagotavljanje delovanja in vzdrževanja distribucijskega sistema za električno energijo ̶Trg električne energije CY ̶Proizvodnja/oskrba ̶Distribucija/prenos ̶Storitve trga električne energije CZ ̶Proizvodnja električne energije ̶Prodaja električne energije ̶Obratovanje prenosnega sistema ̶Obratovanje distribucijskega sistema DE ̶Oskrba z električno energijo DK ̶Prenos električne energije ̶Distribucija električne energije ̶Proizvodnja električne energije EE ̶Oskrba z električno energijo EL ̶Oskrba z električno energijo ̶Distribucija električne energije ̶Prenos električne energije ES ̶Proizvodnja električne energije ̶Prenos električne energije ̶Distribucija električne energije ̶Centri za obratovanje in nadzor električnih sistemov FI ̶Storitve prenosa ̶Distribucija električne energije v distribucijskem omrežju ̶Oskrba z električno energijo prek visokonapetostnih distribucijskih omrežij FR ̶Prodaja ali nadaljnja prodaja električne energije trgovcem na debelo ali končnim odjemalcem ̶Distribucija električne energije ̶Prenos električne energije HR ̶Proizvodnja električne energije ̶Prenos električne energije ̶Distribucija električne energije HU ̶Električna energija IE ̶Operaterji distribucijskega sistema ̶Elektroenergetska podjetja ̶Operaterji prenosnega sistema IT ̶Proizvodnja ̶Trgovanje ̶Prenos ̶Distribucija LT ̶Storitve proizvodnje električne energije ̶Storitve prenosa električne energije ̶Storitve distribucije električne energije ̶Storitve oskrbe z električno energijo LU ̶Oskrba z električno energijo ̶Distribucija električne energije ̶Prenos električne energije LV ̶Proizvodnja električne energije ̶Distribucija električne energije ̶Prenos električne energije MT ̶Zagotavljanje električne energije odjemalcem ̶Prenos in/ali distribucija električne energije odjemalcem ̶Proizvodnja električne energije za odjemalce NL ̶Prenos in distribucija električne energije PL ̶Proizvodnja električne energije ̶Prenos električne energije ̶Distribucija električne energije ̶Trgovanje z električno energijo ̶Shranjevanje električne energije ̶Storitve zagotavljanja kakovosti in upravljanje energetske infrastrukture PT ̶Operaterji distribucijskega sistema ̶Operaterji prenosnega sistema RO ̶Proizvodnja električne energije ̶Oskrba odjemalcev z električno energijo ̶Obratovanje centraliziranih trgov električne energije ̶Prenos električne energije ̶Obratovanje elektroenergetskega sistema ̶Distribucija električne energije SE ̶Operater prenosnega sistema ̶Operater distribucijskega sistema ̶Proizvodnja ̶Trgovina na debelo SI ̶Proizvodnja električne energije v hidroelektrarnah ̶Proizvodnja električne energije v termoelektrarnah in jedrskih elektrarnah ̶Prenos električne energije ̶Distribucija električne energije ̶Trgovanje z električno energijo SK ̶Elektroenergetska družba ̶Operater prenosnega sistema ̶Operater distribucijskega sistema UK ̶Oskrba z električno energijo ̶Prenos električne energije ̶Distribucija električne energije