EVROPSKA KOMISIJA Bruselj, 16.12.2020 COM(2020) 823 final 2020/0359(COD) Predlog DIREKTIVA EVROPSKEGA PARLAMENTA IN SVETA o ukrepih za visoko skupno raven kibernetske varnosti v Uniji in razveljavitvi Direktive (EU) 2016/1148 (Besedilo velja za EGP) {SEC(2020) 430 final} - {SWD(2020) 344 final} - {SWD(2020) 345 final}



OBRAZLOŽITVENI MEMORANDUM 1.OZADJE PREDLOGA •Razlogi za predlog in njegovi cilji Ta predlog je del svežnja ukrepov za nadaljnje izboljšanje odpornosti javnih in zasebnih subjektov, pristojnih organov in Unije kot celote ter njihovih zmogljivosti za odzivanje na incidente na področju kibernetske varnosti in zaščite kritične infrastrukture. V skladu s prednostnimi nalogami Komisije se mora Evropa prilagoditi digitalni dobi in vzpostaviti gospodarstvo, pripravljeno na prihodnost, ki koristi ljudem. Kibernetska varnost je prednostna naloga pri odzivanju Komisije na krizo zaradi COVID-19. Sveženj vključuje novo strategijo za kibernetsko varnost, namenjeno okrepitvi strateške avtonomije Unije za izboljšanje njene odpornosti in kolektivnega odziva ter vzpostavitev odprtega in globalnega interneta. Nazadnje, sveženj vključuje predlog direktive o odpornosti kritičnih izvajalcev bistvenih storitev, ki je namenjen ublažitvi fizičnih groženj takim izvajalcem. Ta predlog temelji na Direktivi (EU) 2016/1148 o varnosti omrežij in informacijskih sistemov, ki je prvi zakonodajni akt o kibernetski varnosti, ki se uporablja po vsej EU in določa pravne ukrepe za zvišanje splošne ravni kibernetske varnosti v Uniji, ter jo razveljavlja. Direktiva o varnosti omrežij in informacijskih sistemov je (1) prispevala k izboljšanju zmogljivosti za kibernetsko varnost na nacionalni ravni z zahtevo, naj države članice sprejmejo nacionalne strategije za kibernetsko varnost in imenujejo organe za kibernetsko varnost; (2) povečala sodelovanje med državami članicami na ravni Unije z vzpostavitvijo različnih forumov za olajšanje izmenjave strateških in operativnih informacij ter (3) izboljšala kibernetsko odpornost javnih in zasebnih subjektov v sedmih posebnih sektorjih (energija, promet, bančništvo, infrastrukture finančnih trgov, zdravstveno varstvo, oskrba s pitno vodo in njena distribucija ter digitalne infrastrukture) ter na področju treh digitalnih storitev (spletne tržnice, spletni iskalniki in storitve računalništva v oblaku) z zahtevo, naj države članice zagotovijo, da izvajalci bistvenih storitev in ponudniki digitalnih storitev določijo zahteve glede kibernetske varnosti in poročajo o incidentih. Predlog posodablja obstoječi pravni okvir ob upoštevanju večje digitalizacije notranjega trga v zadnjih letih in razvijajočega se okolja kibernetskih groženj. Oboje se je od začetka krize zaradi COVID-19 še dodatno okrepilo. Predlog obravnava tudi več pomanjkljivosti, zaradi katerih direktiva o varnosti omrežij in informacijskih sistemov ni mogla v celoti izkoristiti svojega potenciala. Vendar pa se je za direktivo o varnosti omrežij in informacijskih sistemov, ki je utrla pot do velike spremembe v mišljenju, kar zadeva institucionalni in regulativni pristop h kibernetski varnosti v številnih državah članicah, kljub njenim pomembnim dosežkom izkazalo, da ima omejitve. Z digitalno preobrazbo družbe (ki jo je okrepila kriza zaradi COVID-19) se je okolje groženj razširilo in nastajajo novi izzivi, ki zahtevajo prilagojene in inovativne odzive. Število kibernetskih napadov se še naprej povečuje, z vse bolj izpopolnjenimi napadi iz različnih virov znotraj in zunaj EU. Pri ocenjevanju delovanja direktive o varnosti omrežij in informacijskih sistemov za namene ocene učinka so bile opredeljene naslednje težave: (1) nizka raven kibernetske odpornosti podjetij, ki delujejo v EU; (2) neskladna odpornost po državah članicah in sektorjih ter (3) nizka raven skupnega situacijskega zavedanja in pomanjkanje skupnega odzivanja na krize. Nekatere večje bolnišnice v državi članici na primer ne spadajo na področje uporabe direktive o varnosti omrežij in informacijskih sistemov, zato jim ni treba izvajati varnostnih ukrepov, ki izhajajo iz nje, medtem ko v drugi državi članici za skoraj vse izvajalce zdravstvene dejavnosti v državi veljajo zahteve glede varnosti omrežij in informacijskih sistemov. Ker je predlog pobuda v okviru programa ustreznosti in uspešnosti predpisov (REFIT), je namenjen zmanjšanju regulativnega bremena pristojnih organov ter stroškov izpolnjevanja obveznosti javnih in zasebnih subjektov. To je mogoče doseči zlasti z odpravo obveznosti, da pristojni organi določijo izvajalce bistvenih storitev, ter povečanjem stopnje harmonizacije varnostnih zahtev in zahtev glede poročanja za olajšanje regulativne skladnosti subjektov, ki opravljajo čezmejne storitve. Hkrati bo pristojnim organom dodeljenih tudi več novih nalog, vključno z nadzorom subjektov v sektorjih, ki za zdaj niso zajeti z direktivo o varnosti omrežij in informacijskih sistemov. •Skladnost z veljavnimi predpisi s področja zadevne politike Ta predlog je del širšega sklopa obstoječih pravnih instrumentov in prihodnjih pobud na ravni Unije, namenjenih povečanju odpornosti javnih in zasebnih subjektov proti grožnjam. Na področju kibernetske varnosti sta to zlasti Direktiva (EU) 2018/1972 o Evropskem zakoniku o elektronskih komunikacijah (njene s kibernetsko varnostjo povezane določbe bodo nadomeščene z določbami tega predloga) in predlog uredbe o digitalni operativni odpornosti za finančni sektor (COM(2020) 595 final), ki se bo štel za lex specialis k temu predlogu, ko bosta oba akta začela veljati. Na področju fizične varnosti predlog dopolnjuje predlog direktive o odpornosti kritičnih subjektov, s katerim se revidira Direktiva 2008/114/ES o ugotavljanju in določanju evropske kritične infrastrukture ter o oceni potrebe po izboljšanju njene zaščite (direktiva o evropski kritični infrastrukturi), ki vzpostavlja postopek Unije za ugotavljanje in določanje evropskih kritičnih infrastruktur ter določa pristop za izboljšanje njihove zaščite. Komisija je julija 2020 sprejela strategijo EU za varnostno unijo, v kateri sta bili priznani vse večja medsebojna povezanost in odvisnost med fizičnimi in digitalnimi infrastrukturami. V njej je bila poudarjena potreba po bolj usklajenem in doslednem pristopu med direktivo o evropski kritični infrastrukturi in Direktivo (EU) 2016/1148 o ukrepih za visoko skupno raven varnosti omrežij in informacijskih sistemov v Uniji. Predlog je zato natančno usklajen s predlogom direktive o odpornosti kritičnih subjektov, ki je namenjena povečanju odpornosti kritičnih subjektov proti fizičnim grožnjam v številnih sektorjih. Namen predloga je zagotoviti, da pristojni organi v skladu z obema pravnima aktoma sprejmejo dopolnilne ukrepe in si po potrebi izmenjajo informacije v zvezi s kibernetsko in nekibernetsko odpornostjo ter da zlasti za kritične izvajalce v sektorjih, ki se v skladu s tem predlogom štejejo za „bistvene“, veljajo tudi splošnejše obveznosti glede povečanja odpornosti s poudarkom na nekibernetskih tveganjih. •Skladnost z drugimi politikami Unije Kot je navedeno v sporočilu „Oblikovanje digitalne prihodnosti Evrope“, je za Evropo ključnega pomena, da v varnih in etičnih okvirih izkoristi priložnosti, ki jih nudi digitalna doba, ter okrepi svoje industrijske in inovacijske zmogljivosti. Evropska strategija za podatke določa štiri stebre – varstvo podatkov, temeljne pravice, varnost in kibernetsko varnost –, ki so ključni predpogoji za družbo, ki izkorišča moč podatkov. Evropski parlament je v resoluciji z dne 12. marca 2019 pozval „Komisijo naj oceni, ali je treba področje uporabe direktive o varnosti omrežij in informacijskih sistemov dodatno razširiti na druge kritične sektorje in storitve, ki niso zajeti v posebni zakonodaji za sektor“. Svet je v svojih sklepih z dne 9. junija 2020 pozdravil „načrte Komisije, da zagotovi dosledna pravila za udeležence na trgu ter omogoči varno, zanesljivo in ustrezno izmenjavo informacij o grožnjah in incidentih, med drugim z revizijo direktive o varnosti omrežij in informacijskih sistemov, da bi si tako prizadevali za možnosti za večjo kibernetsko odpornost in učinkovitejše odzive na kibernetske napade, zlasti na bistvene gospodarske in družbene dejavnosti, ob spoštovanju pristojnosti držav članic, tudi njihove odgovornosti za nacionalno varnost“. Poleg tega predlagani pravni akt ne posega v uporabo pravil konkurence, določenih v Pogodbi o delovanju Evropske unije (PDEU).

Glede na to, da ima velik del kibernetskih groženj izvor zunaj EU, je potreben usklajen pristop k mednarodnemu sodelovanju. Ta direktiva je referenčni model, ki ga je treba spodbujati v okviru sodelovanja EU s tretjimi državami, zlasti pri zagotavljanju zunanje tehnične pomoči. 2.PRAVNA PODLAGA, SUBSIDIARNOST IN SORAZMERNOST •Pravna podlaga Pravna podlaga direktive o varnosti omrežij in informacijskih sistemov je člen 114 Pogodbe o delovanju Evropske unije, katerega cilj je vzpostavitev in delovanje notranjega trga z okrepitvijo ukrepov za približevanje nacionalnih pravil. Kot je Sodišče Evropske unije razsodilo v sodbi v zadevi C-58/08, Vodafone in drugi, je sklicevanje na člen 114 PDEU upravičeno, kadar obstajajo razlike med nacionalnimi pravili, ki imajo neposreden učinek na delovanje notranjega trga. Sodišče je tudi razsodilo, da če so bile z aktom, ki temelji na členu 114 PDEU, že odstranjene vse ovire pri trgovanju na področju, ki ga usklajuje, to zakonodajalcu Unije ne more preprečiti možnosti, da ta akt prilagodi vsem spremembam okoliščin ali razvoju znanja zaradi njegove naloge varovanja splošnih interesov, določenih s Pogodbo. Nazadnje je Sodišče je razsodilo, da so ukrepi za približevanje iz člena 114 PDEU namenjeni omogočanju polja proste presoje glede metode približevanja, ki je najprimernejša za doseganje želenega rezultata, odvisno od splošnega okvira in posebnih okoliščin področja, ki ga je treba uskladiti. S predlaganim pravnim aktom bi se odpravile ovire za ter izboljšala vzpostavitev in delovanje notranjega trga za bistvene in pomembne subjekte z: določitvijo jasnih splošno veljavnih pravil o področju uporabe direktive o varnosti omrežij in informacijskih sistemov ter harmonizacijo pravil, ki se uporabljajo na področju obvladovanja tveganj za kibernetsko varnost in poročanja o incidentih. Sedanje razlike na tem področju, tako na zakonodajni in nadzorni ravni kot tudi na nacionalni ravni in ravni EU, ovirajo notranji trg, ker se subjekti, ki se ukvarjajo s čezmejnimi dejavnostmi, srečujejo z različnimi in po možnosti prekrivajočimi se regulativnimi zahtevami in/ali njihovo uporabo, kar lahko ovira uresničevanje njihovih pravic do ustanavljanja in opravljanja storitev. Različna pravila negativno vplivajo tudi na pogoje konkurence na notranjem trgu, kar zadeva istovrstne subjekte v različnih državah članicah. •Subsidiarnost (za neizključno pristojnost) Kibernetska odpornost v Uniji ne more biti učinkovita, če se k njej zaradi nacionalnih ali regionalnih omejitev pristopa neenotno. V direktivi o varnosti omrežij in informacijskih sistemov so te pomanjkljivosti deloma obravnavane z določitvijo okvira za varnost omrežij in informacijskih sistemov na nacionalni ravni in ravni Unije. Vendar pa so se z njenim prenosom in izvajanjem pokazale tudi pomanjkljivosti in omejitve nekaterih določb ali pristopov, kot je nejasna razmejitev področja uporabe Direktive, ki vodi do velikih razlik v obsegu in intenzivnosti dejanskega ukrepanja EU na ravni držav članic. Poleg tega je evropsko gospodarstvo od začetka krize zaradi COVID-19 postalo še bolj odvisno od omrežij in informacijskih sistemov kot kdaj koli prej, sektorji in storitve pa so vse bolj medsebojno povezani. Ukrepanje EU, ki presega sedanje ukrepe iz direktive o varnosti omrežij in informacijskih sistemov, je upravičeno zlasti zaradi: (i) vse bolj čezmejne narave groženj in izzivov, povezanih z varnostjo omrežij in informacijskih sistemov; (ii) možnosti, da se z ukrepi Unije izboljšajo in olajšajo učinkovite in usklajene nacionalne politike, ter (iii) prispevka usklajenih in skupnih ukrepov politike k učinkovitemu varstvu podatkov in zasebnosti. •Sorazmernost Pravila, predlagana v tej direktivi, ne presegajo tistega, kar je potrebno za zadovoljivo doseganje specifičnih ciljev. Predvidena uskladitev in racionalizacija varnostnih ukrepov in obveznosti poročanja se nanašata na zahteve držav članic in podjetij po izboljšanju sedanjega okvira. Predlog upošteva obstoječe prakse v državah članicah. Višja raven varstva, dosežena s takimi racionaliziranimi in usklajenimi zahtevami, je sorazmerna z vse večjimi tveganji, vključno s tistimi, ki zajemajo čezmejni element; zahteve so razumne in na splošno ustrezajo interesu subjektov, vključenih v zagotavljanje neprekinjenega izvajanja storitev in njihove kakovosti. Stroški zagotavljanja sistematičnega sodelovanja med državami članicami bi bili nizki v primerjavi z gospodarskimi in družbenimi izgubami ter škodo, ki jo povzročijo kibernetski incidenti. Poleg tega posvetovanja z zainteresiranimi stranmi, opravljena v okviru pregleda direktive o varnosti omrežij in informacijskih sistemov, vključno z rezultati odprtega javnega posvetovanja in ciljno usmerjenih raziskav, kažejo podporo reviziji direktive o varnosti omrežij in informacijskih sistemov v skladu z zgoraj navedenim. •Izbira instrumenta Predlog bo nadalje racionaliziral obveznosti, naložene podjetjem, in zagotovil višjo stopnjo njihove harmonizacije. Hkrati je predlog namenjen zagotovitvi prožnosti za države članice, ki je potrebna za upoštevanje nacionalnih posebnosti (kot je možnost določitve dodatnih bistvenih ali pomembnih subjektov, kar presega izhodiščni okvir, določen s pravnim aktom). Prihodnji pravni instrument bi zato moral biti direktiva, saj ta pravni instrument omogoča ciljno usmerjeno izboljšano harmonizacijo in določeno stopnjo prožnosti za pristojne organe. 3.REZULTATI NAKNADNIH OCEN, POSVETOVANJ Z ZAINTERESIRANIMI STRANMI IN OCEN UČINKA •Naknadne ocene/preverjanja primernosti obstoječe zakonodaje Komisija je ocenila delovanje direktive o varnosti omrežij in informacijskih sistemov. Analizirala je njeno ustreznost, dodano vrednost EU, skladnost, uspešnost in učinkovitost. Glavne ugotovitve te analize so: ·Področje uporabe direktive o varnosti omrežij in informacijskih sistemov je preveč omejeno, kar zadeva zajete sektorje, zlasti zaradi: (i) večje digitalizacije v zadnjih letih in višje stopnje medsebojne povezanosti ter (ii) dejstva, da področje uporabe direktive o varnosti omrežij in informacijskih sistemov ne odraža več vseh digitaliziranih sektorjev, ki gospodarstvu in družbi kot celoti zagotavljajo ključne storitve. ·Direktiva o varnosti omrežij in informacijskih sistemov ni dovolj jasna, kar zadeva področje uporabe za izvajalce bistvenih storitev, njene določbe pa ne zagotavljajo zadostne jasnosti v zvezi z nacionalno pristojnostjo glede ponudnikov digitalnih storitev. To je privedlo do stanja, v katerem nekatere vrste subjektov niso bile opredeljene v vseh državah članicah, zaradi česar jim ni treba uvesti varnostnih ukrepov in poročati o incidentih. ·Direktiva o varnosti omrežij in informacijskih sistemov je državam članicam omogočila široko diskrecijsko pravico pri določanju zahtev glede varnosti in poročanja o incidentih za izvajalce bistvenih storitev. Ocena kaže, da so države članice v nekaterih primerih te zahteve izvajale na zelo različne načine, s čimer je bilo ustvarjeno dodatno breme za podjetja, ki delujejo v več kot eni državi članici. ·Ureditev nadzora in izvrševanja iz direktive o varnosti omrežij in informacijskih sistemov je neučinkovita. Države članice so na primer zelo nenaklonjene uporabi sankcij za subjekte, ki ne uvedejo varnostnih zahtev ali ne poročajo o incidentih. To ima lahko negativne posledice za kibernetsko odpornost posameznih subjektov.

·Finančni in človeški viri, ki jih države članice namenijo za opravljanje svojih nalog (kot je določitev ali nadzor izvajalcev bistvenih storitev), ter posledično različne stopnje zrelosti pri obravnavanju tveganj za kibernetsko varnost se zelo razlikujejo. To še bolj poglablja razlike v kibernetski odpornosti med državami članicami. ·Države članice si informacij ne izmenjujejo sistematično, kar ima negativne posledice zlasti za učinkovitost ukrepov za kibernetsko varnost in raven skupnega situacijskega zavedanja na ravni EU. To velja tudi za izmenjavo informacij med zasebnimi subjekti ter sodelovanje med strukturami sodelovanja na ravni EU in zasebnimi subjekti. •Posvetovanja z zainteresiranimi stranmi Komisija se je posvetovala s številnimi zainteresiranimi stranmi. Države članice in zainteresirane strani so bile pozvane, naj sodelujejo pri odprtem javnem posvetovanju ter v raziskavah in na delavnicah, ki so jih organizirali družba Wavestone, Center za evropske politične študije (CEPS) in družba ICF, od katerih je Komisija naročila izvedbo študije v podporo pregledu direktive o varnosti omrežij in informacijskih sistemov. Med zainteresiranimi stranmi, s katerimi so bila opravljena posvetovanja, so bili pristojni organi, organi Unije, ki se ukvarjajo s kibernetsko varnostjo, izvajalci bistvenih storitev, ponudniki digitalnih storitev, subjekti, ki opravljajo storitve, ki ne spadajo na področje uporabe sedanje direktive o varnosti omrežij in informacijskih sistemov, trgovinska združenja in potrošniške organizacije ter državljani. Poleg tega je bila Komisija v stalnem stiku s pristojnimi organi, zadolženimi za izvajanje direktive o varnosti omrežij in informacijskih sistemov. Skupina za sodelovanje je obširno obravnavala različne medsektorske in sektorske vidike izvajanja. Nazadnje, Komisija je med obiski držav v zvezi z varnostjo omrežij in informacijskih sistemov v obdobju 2019–2020 opravila razgovore s 154 javnimi in zasebnimi subjekti ter 117 pristojnimi organi. •Zbiranje in uporaba strokovnih mnenj Komisija je sklenila pogodbo s konzorcijem, ki ga sestavljajo družba Wavestone, Center za evropske politične študije in družba ICF, da bi ji zagotavljal podporo pri pregledu direktive o varnosti omrežij in informacijskih sistemov. Izvajalec je s ciljno usmerjenimi raziskavami in delavnicami vzpostavil stik z zainteresiranimi stranmi, ki jih direktiva o varnosti omrežij in informacijskih sistemov neposredno zadeva, poleg tega pa se je posvetoval s številnimi strokovnjaki s področja kibernetske varnosti, kot so raziskovalci kibernetske varnosti in strokovnjaki iz panoge kibernetske varnosti. •Ocena učinka Temu predlogu je priložena ocena učinka, ki je bila 23. oktobra 2020 predložena Odboru za regulativni nadzor, ki je 20. novembra 2020 izdal pozitivno mnenje s pripombami. Odbor za regulativni nadzor je priporočil izboljšave na nekaterih področjih, da bi se: (1) bolje odražala vloga čezmejnih prelivanj pri analizi težav; (2) bolje pojasnilo, kaj bi bil uspeh pobude; (3) nadalje utemeljil seznam možnosti politike in (4) podrobneje opredelili stroški predlaganih ukrepov. Ocena učinka je bila prilagojena, da bi se obravnavale te točke in podrobnejše pripombe Odbora za regulativni nadzor. Zdaj vključuje podrobnejše razlage vloge čezmejnih prelivanj na področju kibernetske varnosti, jasnejši pregled možnosti merjenja uspeha, podrobnejšo razlago zasnove in logike, na katerih temeljijo različne možnosti politike in ukrepi, obravnavani v okviru teh možnosti, podrobnejšo razlago vidikov, analiziranih v zvezi s sektorskim področjem uporabe direktive o varnosti omrežij in informacijskih sistemov, in dodatna pojasnila v zvezi s stroški. Komisija je preučila več možnosti politike za izboljšanje pravnega okvira na področju kibernetske odpornosti in odzivanja na incidente: ·„brez ukrepanja“: direktiva o varnosti omrežij in informacijskih sistemov bi ostala nespremenjena in ne bi se sprejeli nobeni drugi nezakonodajni ukrepi za obravnavanje težav, opredeljenih z oceno direktive o varnosti omrežij in informacij; ·možnost 1: brez sprememb na zakonodajni ravni. Namesto tega bi Komisija izdala priporočila in smernice (na primer o določitvi izvajalcev bistvenih storitev, varnostnih zahtevah, postopkih priglasitve incidentov in nadzoru) po posvetovanju s skupino za sodelovanje, Agencijo EU za kibernetsko varnost (ENISA) in, po potrebi, mrežo skupin za odzivanje na incidente na področju računalniške varnosti (CSIRT); ·možnost 2: ta možnost vključuje ciljno usmerjene spremembe direktive o varnosti omrežij in informacijskih sistemov, vključno z razširitvijo področja uporabe in več drugimi spremembami, ki bi bile namenjene zagotavljanju nekaterih takojšnjih rešitev opredeljenih težav ter večje jasnosti in nadaljnje harmonizacije (kot so določbe za harmonizacijo pragov za določitev). Vendar pa bi se v spremenjeni direktivi o varnosti omrežij in informacijskih sistemov ohranili glavni gradniki, pristop in utemeljitev; ·možnost 3: ta scenarij vključuje sistemske in strukturne spremembe direktive o varnosti omrežij in informacijskih sistemov (z novo direktivo), ki predvidevajo temeljitejšo spremembo pristopa za pokrivanje širšega segmenta gospodarstev v Uniji, vendar z bolj osredotočenim nadzorom, usmerjenim v velike in ključne akterje. Racionalizirane bi bile tudi obveznosti, naložene podjetjem, in zagotovljena višja stopnja njihove harmonizacije, ustvarjeno bi bilo učinkovitejše okolje za operativne vidike in vzpostavljena jasna podlaga za okrepljene deljene obveznosti in odgovornost različnih zainteresiranih strani pri ukrepih za kibernetsko varnost. V oceni učinka je ugotovljeno, da je prednostna možnost možnost 3 (tj. sistemske in strukturne spremembe okvira za varnost omrežij in informacijskih sistemov. Kar zadeva uspešnost, bi bila s prednostno možnostjo jasno določena področje uporabe direktive o varnosti omrežij in informacijskih sistemov, razširjeno na bolj reprezentativen del gospodarstev in družb EU, ter racionalizacija zahtev, skupaj z bolj opredeljenim okvirom za nadzor in izvrševanje, ki bi bil namenjen zvišanju ravni izpolnjevanja obveznosti. Vključuje tudi ukrepe, namenjene izboljšanju pristopov k oblikovanju politike na ravni držav članic in spremembi njihove paradigme, spodbujanju novih okvirov za obvladovanje tveganja pri odnosih z dobavitelji in usklajenemu razkrivanju šibkih točk. Hkrati prednostna možnost politike vzpostavlja jasno podlago za deljene obveznosti in odgovornost ter predvideva mehanizme, namenjene spodbujanju večjega zaupanja med državami članicami, tako med organi kot tudi industrijo, podpiranju izmenjave informacij in zagotavljanju bolj operativnega pristopa, kot so medsebojna pomoč in mehanizmi medsebojnih strokovnih pregledov. S to možnostjo bi bil tudi določen okvir EU za krizno upravljanje, ki bi temeljil na nedavno vzpostavljeni operativni mreži EU, in zagotovljena večja vključenost agencije ENISA v okviru njenega sedanjega mandata pri izvajanju natančnega pregleda stanja na področju kibernetske varnosti v Uniji. Kar zadeva učinkovitost, bi prednostna možnost sicer pomenila dodatne stroške za izpolnjevanje obveznosti in izvrševanje za podjetja in države članice, vendar pa bi privedla tudi do učinkovitih kompromisov in sinergij, z največjim potencialom izmed vseh analiziranih možnosti politike za zagotovitev višje in usklajene ravni kibernetske odpornosti ključnih subjektov po vsej Uniji, ki bi na koncu privedla do znižanja stroškov za podjetja in družbo. Ta možnost politike bi ustvarila nekaj dodatnega upravnega bremena in stroškov za izpolnjevanje obveznosti za organe držav članic. Vendar pa bi, gledano v celoti, srednje- in dolgoročno prinesla tudi precejšnje koristi z večjim sodelovanjem med državami članicami, tudi na operativni ravni, ter z medsebojno pomočjo, mehanizmi medsebojnih strokovnih pregledov ter boljšim pregledom ključnih podjetij in sodelovanjem z njimi spodbudila splošno povečanje zmogljivosti za kibernetsko varnost na nacionalni in regionalni ravni. Prednostna možnost politike bi v veliki meri zagotavljala tudi skladnost z drugo zakonodajo, pobudami ali ukrepi politike, vključno s sektorskim lex specialis. Obravnavanje sedanje nezadostne pripravljenosti na področju kibernetske varnosti na ravni držav članic in ravni podjetij ter drugih organizacij bi lahko zagotovilo večjo učinkovitost in znižanje dodatnih stroškov, ki izhajajo iz kibernetskih incidentov. ·Za bistvene in pomembne subjekte bi zvišanje ravni pripravljenosti na področju kibernetske varnosti lahko privedlo do zmanjšanja morebitne izgube prihodkov zaradi motenj – tudi zaradi industrijskega vohunjenja – in znižalo visoke stroške ad-hoc zmanjševanja groženj. Takšne koristi bodo verjetno večje od stroškov potrebnih naložb. Z zmanjšanjem razdrobljenosti na notranjem trgu bi se izboljšali tudi enaki konkurenčni pogoji med izvajalci. ·Kar zadeva države članice, bi se lahko dodatno zmanjšalo tveganje naraščanja proračunskih odhodkov za ad-hoc zmanjševanje groženj in znižali dodatni stroški v izrednih razmerah, povezanih s kibernetskimi incidenti. ·Kar zadeva državljane, se pričakuje, da se bo z obravnavanjem kibernetskih incidentov zmanjšala izguba dohodka zaradi gospodarskih motenj.

Višje ravni kibernetske varnosti v državah članicah ter sposobnost podjetij in organov, da se hitro odzovejo na incident in ublažijo njegov vpliv, bodo najverjetneje privedle do večjega splošnega zaupanja državljanov v digitalno gospodarstvo, kar bi lahko pozitivno vplivalo na rast in naložbe. Zviševanje splošne ravni kibernetske varnosti bo verjetno privedlo do večje splošne varnosti in nemotenega neprekinjenega delovanja bistvenih storitev, ki so kritične za družbo. Pobuda lahko prispeva tudi k drugim družbenim učinkom, kot so nižje ravni kibernetske kriminalitete in terorizma ter večja civilna zaščita. Zviševanje ravni kibernetske pripravljenosti za podjetja in druge organizacije lahko prepreči morebitne finančne izgube zaradi kibernetskih napadov in s tem potrebo po odpuščanju zaposlenih. Zviševanje splošne ravni kibernetske varnosti bi lahko tudi preprečilo okoljska tveganja ali okoljsko škodo v primeru napada na bistveno storitev. To bi lahko veljalo zlasti za energetski in prometni sektor ter sektor oskrbe z vodo in njene distribucije. Pobuda bi lahko z okrepitvijo zmogljivosti za kibernetsko varnost zagotovila večjo uporabo infrastruktur in storitev IKT zadnje generacije, ki so tudi okoljsko bolj trajnostne, ter zamenjavo neučinkovitih in manj varnih obstoječih infrastruktur. To naj bi prispevalo tudi k zmanjšanju števila dragih kibernetskih incidentov in sprostitvi virov, ki so na voljo za trajnostne naložbe. •Primernost in poenostavitev ureditve Predlog predvideva splošno izključitev mikro in malih subjektov s področja uporabe okvira za varnost omrežij in informacijskih sistemov in manj strogo ureditev naknadnega nadzora, ki se uporablja za številne nove subjekte, ki spadajo na revidirano področje uporabe (tako imenovani pomembni subjekti). Ti ukrepi so namenjeni zmanjšanju in uravnoteženju bremena podjetij in javnih uprav. Poleg tega predlog nadomešča zapleten sistem določanja izvajalcev bistvenih storitev s splošno veljavno obveznostjo ter uvaja višjo stopnjo harmonizacije obveznosti glede varnosti in poročanja, s katero bi se zmanjšalo breme glede skladnosti, zlasti za subjekte, ki opravljajo čezmejne storitve. Predlog znižuje stroške izpolnjevanja obveznosti za MSP, saj morajo subjekti sprejeti le tiste ukrepe, ki so potrebni za zagotavljanje ravni varnosti omrežij in informacijskih sistemov, ki ustreza obstoječemu tveganju. •Temeljne pravice EU je zavezana zagotavljanju visokih standardov varstva temeljnih pravic. Vsi dogovori o prostovoljni izmenjavi informacij med subjekti, ki jih spodbuja ta direktiva, bi se izvajali v zaupanja vrednih okoljih ob popolnem spoštovanju pravil Unije o varstvu podatkov, zlasti Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta. 4.PRORAČUNSKE POSLEDICE Glej oceno finančnih posledic. 5.DRUGI ELEMENTI •Načrti za izvedbo ter ureditev spremljanja, ocenjevanja in poročanja Predlog vključuje splošni načrt za spremljanje in ocenjevanje učinka na specifične cilje, pri čemer se zahteva, da Komisija opravi revizijo vsaj [54 mesecev] po datumu začetka veljavnosti ter o svojih glavnih ugotovitvah poroča Evropskemu parlamentu in Svetu. Revizijo je treba izvesti v skladu s smernicami Komisije za boljše pravno urejanje. •Natančnejša pojasnitev posameznih določb predloga Predlog temelji na več glavnih področjih politike, ki so medsebojno povezana in namenjena zvišanju ravni kibernetske varnosti v Uniji. Predmet urejanja in področje uporabe (člena 1 in 2) Direktiva zlasti (a) določa obveznosti držav članic, da sprejmejo nacionalno strategijo za kibernetsko varnost, imenujejo pristojne nacionalne organe, enotne kontaktne točke in skupine CSIRT; (b) določa, da države članice določijo obveznosti glede obvladovanja tveganj za kibernetsko varnost in poročanja za subjekte, ki se v skladu s Prilogo I štejejo za bistvene subjekte in v skladu s Prilogo II za pomembne subjekte; (c) določa, da države članice določijo obveznosti glede izmenjave informacij o kibernetski varnosti. Uporablja se za nekatere javne ali zasebne bistvene subjekte, ki delujejo v sektorjih, navedenih v Prilogi I (energija, promet, bančništvo, infrastrukture finančnega trga, zdravje, pitna voda, odpadna voda, digitalna infrastruktura, javna uprava in vesolje), in nekatere pomembne subjekte, ki delujejo v sektorjih, navedenih v Prilogi II (poštne in kurirske storitve, ravnanje z odpadki, proizvodnja, izdelava in distribucija kemikalij, proizvodnja, predelava in distribucija živil, proizvodnja in ponudniki digitalnih storitev). Mikro in mali subjekti v smislu Priporočila Komisije 2003/361/ES z dne 6. maja 2003 so izključeni s področja uporabe Direktive, razen ponudnikov elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev, ponudnikov storitev zaupanja, registrov vrhnjih domenskih imen in javnih uprav ter nekaterih drugih subjektov, kot je edini ponudnik storitve v državi članici. Nacionalni okviri kibernetske varnosti (členi 5 do 11)

Države članice morajo sprejeti nacionalno strategijo za kibernetsko varnost, v kateri so opredeljeni strateški cilji ter ustrezni ukrepi politike in regulativni ukrepi za doseganje in ohranjanje visoke ravni kibernetske varnosti. Direktiva vzpostavlja tudi okvir za usklajeno razkrivanje šibkih točk in zahteva, da države članice imenujejo skupine CSIRT, ki bodo delovale kot zaupanja vredni posredniki ter olajševale sodelovanje med poročajočimi subjekti in proizvajalci ali ponudniki proizvodov in storitev IKT. Agencija ENISA mora razviti in vzdrževati evropski register ugotovljenih šibkih točk. Države članice morajo vzpostaviti nacionalne okvire za krizno upravljanje kibernetske varnosti, med drugim z imenovanjem pristojnih nacionalnih organov, odgovornih za upravljanje velikih kibernetskih incidentov in kriz. Države članice morajo imenovati tudi enega ali več pristojnih nacionalnih organov za kibernetsko varnost za nadzorne naloge po tej direktivi ter nacionalno enotno kontaktno točko za kibernetsko varnost za opravljanje povezovalne vloge, da se zagotovi čezmejno sodelovanje organov držav članic. Države članice morajo imenovati tudi skupine CSIRT. Sodelovanje (členi 12 do 16) Direktiva vzpostavlja skupino za sodelovanje, ki podpira in olajšuje strateško sodelovanje in izmenjavo informacij med državami članicami ter krepi zaupanje med njimi. Vzpostavlja tudi mrežo skupin CSIRT, ki prispeva h krepitvi zaupanja med državami članicami ter spodbuja hitro in učinkovito operativno sodelovanje. Evropska organizacijska mreža za povezovanje v kibernetski krizi (EU-CyCLONe) je vzpostavljena za podpiranje usklajenega upravljanja velikih kibernetskih incidentov in kriz ter zagotavljanje redne izmenjave informacij med državami članicami in institucijami EU. Agencija ENISA mora v sodelovanju s Komisijo izdati dvoletno poročilo o stanju kibernetske varnosti v Uniji. Komisija mora vzpostaviti sistem medsebojnih strokovnih pregledov, ki bo omogočal redne medsebojne strokovne preglede uspešnosti politik kibernetske varnosti držav članic. Obveznosti glede obvladovanja tveganj za kibernetsko varnost in poročanja (členi 17 do 23) Direktiva določa, da morajo države članice zagotoviti, da upravni organi vseh subjektov, ki spadajo na področje uporabe, odobrijo ukrepe za obvladovanje tveganj za kibernetsko varnost, ki jih sprejmejo zadevni subjekti, in se udeležijo posebnega usposabljanja v zvezi s kibernetsko varnostjo. Države članice morajo zagotoviti, da subjekti, ki spadajo na področje uporabe, sprejmejo ustrezne in sorazmerne tehnične in organizacijske ukrepe za obvladovanje tveganj za kibernetsko varnost omrežij in informacijskih sistemov. Poleg tega morajo zagotoviti, da subjekti priglasijo pristojnim nacionalnim organom ali skupinam CSIRT vse kibernetske incidente, ki bistveno vplivajo na storitev, ki jo opravljajo. Registri vrhnjih domen in subjekti, ki opravljajo storitve registracije domenskih imen za vrhnje domene, zbirajo ter vzdržujejo točne in popolne podatke o registraciji domenskih imen. Poleg tega morajo taki subjekti zagotavljati učinkovit dostop do podatkov o registraciji domen za osebe, ki imajo upravičen razlog za dostop. Sodna pristojnost in registracija (člena 24 in 25) Praviloma se za bistvene in pomembne subjekte šteje, da spadajo v sodno pristojnost države članice, kjer opravljajo svoje storitve. Vendar se za nekatere vrste subjektov (ponudniki storitev sistema domenskih imen, registri vrhnjih domenskih imen, ponudniki storitev računalništva v oblaku, ponudniki storitev podatkovnih centrov in ponudniki omrežij za dostavo vsebine ter nekateri ponudniki digitalnih storitev) šteje, da spadajo v sodno pristojnost države članice, v kateri imajo glavni sedež v Uniji. Namen tega je zagotoviti, da se taki subjekti ne soočajo s številnimi različnimi pravnimi zahtevami, saj opravljajo čezmejne storitve v zelo velikem obsegu. Agencija ENISA mora vzpostaviti in vzdrževati register te vrste subjektov. Izmenjava informacij (člena 26 in 27) Države članice določijo pravila, ki subjektom omogočajo, da sodelujejo pri izmenjavi informacij, povezanih s kibernetsko varnostjo, v okviru posebnih dogovorov o izmenjavi informacij o kibernetski varnosti v skladu s členom 101 PDEU. Poleg tega države članice omogočijo subjektom, ki ne spadajo na področje uporabe te direktive, da prostovoljno poročajo o pomembnih incidentih, kibernetskih grožnjah ali skorajšnjih dogodkih. Nadzor in izvrševanje (členi 28 do 34) Pristojni organi morajo nadzorovati subjekte, ki spadajo na področje uporabe Direktive, in zlasti zagotoviti, da izpolnjujejo zahteve glede varnosti in priglasitve incidentov. Direktiva razlikuje med ureditvijo predhodnega nadzora za bistvene subjekte in ureditvijo naknadnega nadzora za pomembne subjekte, pri čemer slednja od pristojnih organov zahteva, da ukrepajo na podlagi dokazov ali znakov, da pomembni subjekt ne izpolnjuje zahtev glede varnosti in priglasitve incidentov. Direktiva od držav članic tudi zahteva, da bistvenim in pomembnim subjektom naložijo upravne globe, ter določa nekatere najvišje globe.

Države članice morajo sodelovati in si po potrebi pomagati, če subjekti opravljajo storitve v več kot eni državi članici ali če je glavni sedež subjekta ali njegov predstavnik v eni državi članici, njegovo omrežje in informacijski sistemi pa v eni ali več drugih državah članicah. 2020/0359 (COD) Predlog DIREKTIVA EVROPSKEGA PARLAMENTA IN SVETA o ukrepih za visoko skupno raven kibernetske varnosti v Uniji in razveljavitvi Direktive (EU) 2016/1148 (Besedilo velja za EGP) EVROPSKI PARLAMENT IN SVET EVROPSKE UNIJE STA – ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 114 Pogodbe, ob upoštevanju predloga Evropske komisije, po posredovanju osnutka zakonodajnega akta nacionalnim parlamentom, ob upoštevanju mnenja Evropskega ekonomsko-socialnega odbora, ob upoštevanju mnenja Odbora regij, v skladu z rednim zakonodajnim postopkom, ob upoštevanju naslednjega: (1)Direktiva (EU) 2016/1148 Evropskega parlamenta in Sveta je bila namenjena razvoju zmogljivosti za kibernetsko varnost po vsej Uniji, ublažitvi groženj za omrežja in informacijske sisteme, ki se uporabljajo za opravljanje bistvenih storitev v ključnih sektorjih, ter zagotovitvi neprekinjenega izvajanja takih storitev pri spoprijemanju s kibernetskimi incidenti, s čimer naj bi prispevala k učinkovitemu delovanju gospodarstva in družbe Unije. (2)Od začetka veljavnosti Direktive (EU) 2016/1148 je bil dosežen velik napredek pri zviševanju ravni kibernetske odpornosti v Uniji. Pregled navedene direktive je pokazal, da se je uporabljala kot katalizator za institucionalni in regulativni pristop h kibernetski varnosti v Uniji, s čimer je utrla pot do velike spremembe v mišljenju. Direktiva je zagotovila dokončanje nacionalnih okvirov z opredelitvijo nacionalnih strategij za kibernetsko varnost, vzpostavitvijo nacionalnih zmogljivosti in izvajanjem regulativnih ukrepov, ki so zajemali bistvene infrastrukture in akterje, ki so jih določile posamezne države članice. Prispevala je tudi k sodelovanju na ravni Unije z ustanovitvijo skupine za sodelovanje in mreže nacionalnih skupin za odzivanje na incidente na področju računalniške varnosti (v nadaljnjem besedilu: mreža skupin CSIRT). Kljub navedenim dosežkom pa so bile pri pregledu Direktive (EU) 2016/1148 razkrite pomanjkljivosti, zaradi katerih z navedeno direktivo ni mogoče učinkovito obravnavati sedanjih in nastajajočih izzivov na področju kibernetske varnosti. (3)Omrežja in informacijski sistemi so se razvili v osrednjo značilnost vsakdanjega življenja s hitro digitalno preobrazbo in medsebojno povezanostjo družbe, vključno s čezmejnimi izmenjavami. Ta razvoj je privedel do razširitve okolja kibernetskih groženj, s čimer so se pojavili novi izzivi, ki zahtevajo prilagojene, usklajene in inovativne odzive v vseh državah članicah. Število, obseg, izpopolnjenost, pogostost in vpliv kibernetskih incidentov so vse večji ter pomenijo veliko grožnjo delovanju omrežij in informacijskih sistemov. Posledično lahko kibernetski incidenti ovirajo gospodarske dejavnosti na notranjem trgu, ustvarjajo finančne izgube, slabijo zaupanje uporabnikov ter povzročajo veliko škodo gospodarstvu in družbi Unije. Pripravljenost in učinkovitost na področju kibernetske varnosti sta zato zdaj pomembnejši za ustrezno delovanje notranjega trga kot kdaj koli prej. (4)Pravna podlaga Direktive (EU) 2016/1148 je bil člen 114 Pogodbe o delovanju Evropske unije (PDEU), katerega cilj je vzpostavitev in delovanje notranjega trga z okrepitvijo ukrepov za približevanje nacionalnih pravil. Zahteve glede kibernetske varnosti, ki jih morajo izpolnjevati subjekti, ki opravljajo storitve ali gospodarsko pomembne dejavnosti, se med državami članicami močno razlikujejo v smislu vrste zahtev, njihove ravni podrobnosti in metode nadzora. Te razlike povzročajo dodatne stroške in ustvarjajo težave za podjetja, ki ponujajo blago ali storitve čezmejno. Zahteve, ki jih naloži ena država članica in ki se razlikujejo od zahtev, ki jih naloži druga država članica, ali so celo v nasprotju z njimi, lahko bistveno vplivajo na takšne čezmejne dejavnosti. Poleg tega bo možnost neoptimalnega oblikovanja ali izvajanja standardov kibernetske varnosti v eni državi članici verjetno vplivala na raven kibernetske varnosti drugih držav članic, zlasti glede na intenzivne čezmejne izmenjave. Pregled Direktive (EU) 2016/1148 je pokazal velike razlike v njenem izvajanju v državah članicah, tudi v zvezi z njenim področjem uporabe, katerega razmejitev je bila v zelo veliki meri prepuščena presoji držav članic. Direktiva (EU) 2016/1148 je državam članicam zagotovila tudi zelo široko polje proste presoje, kar zadeva izvajanje obveznosti glede varnosti in poročanja o incidentih, določenih v Direktivi. Te obveznosti so se zato na nacionalni ravni izpolnjevale na zelo različne načine. Podobne razlike pri izvajanju so se pojavile tudi v zvezi z določbami Direktive o nadzoru in izvrševanju. (5)Vse te razlike povzročajo razdrobljenost notranjega trga in lahko škodljivo učinkujejo na njegovo delovanje, kar vpliva zlasti na čezmejno opravljanje storitev in raven kibernetske odpornosti zaradi uporabe različnih standardov. Ta direktiva je namenjena odpravi tako velikih razlik med državami članicami, zlasti z določitvijo minimalnih pravil v zvezi z delovanjem usklajenega regulativnega okvira, določitvijo mehanizmov za učinkovito sodelovanje med pristojnimi organi v posameznih državah članicah, posodobitvijo seznama sektorjev in dejavnosti, za katere veljajo obveznosti glede kibernetske varnosti, ter določitvijo učinkovitih pravnih sredstev in sankcij, ki so ključni za učinkovito izvrševanje navedenih obveznosti. Zato bi bilo treba Direktivo (EU) 2016/1148 razveljaviti in nadomestiti s to direktivo. (6)Ta direktiva ne vpliva na zmožnost držav članic, da sprejmejo potrebne ukrepe, s katerimi zaščitijo bistvene interese svoje varnosti, javni red in javno varnost ter omogočijo preiskovanje, odkrivanje in pregon kaznivih dejanj v skladu s pravom Unije. V skladu s členom 346 PDEU nobena država članica ni dolžna dajati informacij, katerih razkritje bi bilo v nasprotju z bistvenimi interesi njene javne varnosti. V tem smislu so pomembni nacionalna pravila in pravila Unije za varovanje tajnih podatkov, sporazumi o nerazkritju informacij ali neuradni sporazumi o nerazkritju informacij, kot je semaforski protokol (Traffic Light Protocol).

(7)Z razveljavitvijo Direktive (EU) 2016/1148 bi bilo treba področje uporabe po sektorjih razširiti na večji del gospodarstva, ob upoštevanju premislekov iz uvodnih izjav 4 do 6. Sektorje, zajete z Direktivo (EU) 2016/1148, bi bilo torej treba razširiti, da bi se zagotovila celovita pokritost sektorjev in storitev, ki so bistvenega pomena za ključne družbene in gospodarske dejavnosti na notranjem trgu. Pravila se ne bi smela razlikovati glede na to, ali so subjekti izvajalci bistvenih storitev ali ponudniki digitalnih storitev. Takšno razlikovanje se je izkazalo za zastarelo, saj ne odraža dejanskega pomena sektorjev ali storitev za družbene in gospodarske dejavnosti na notranjem trgu. (8)V skladu z Direktivo (EU) 2016/1148 so bile države članice odgovorne za določanje, kateri subjekti izpolnjujejo merila, v skladu s katerimi se štejejo za izvajalce bistvenih storitev („postopek določitve“). Za odpravo velikih razlik med državami članicami v zvezi s tem in zagotovitev pravne varnosti za zahteve glede obvladovanja tveganj in obveznosti poročanja za vse ustrezne subjekte bi bilo treba določiti enotno merilo, ki bi določalo, kateri subjekti spadajo na področje uporabe te direktive. Navedeno merilo bi moralo vključevati uporabo pravila omejitve velikosti, v skladu s katerim na področje uporabe te direktive spadajo vsa srednja in velika podjetja, kot so opredeljena v Priporočilu Komisije 2003/361/ES, ki delujejo v sektorjih ali opravljajo vrsto storitev, zajetih s to direktivo. Od držav članice se ne bi smelo zahtevati, naj pripravijo seznam subjektov, ki izpolnjujejo to splošno veljavno merilo, povezano v velikostjo. (9)Vendar bi morali biti s to direktivo zajeti tudi mali ali mikro subjekti, ki izpolnjujejo nekatera merila, ki kažejo ključno vlogo za gospodarstvo ali družbo držav članic ali za določene sektorje ali vrste storitev. Države članice bi morale biti odgovorne za pripravo seznama takih subjektov in ga predložiti Komisiji. (10)Komisija lahko v sodelovanju s skupino za sodelovanje izda smernice o izvajanju meril, ki se uporabljajo za mikro in mala podjetja. (11)Glede na sektor, v katerem delujejo, ali vrsto storitve, ki jo opravljajo, bi morali biti subjekti, ki spadajo na področje uporabe te direktive, razvrščeni v dve kategoriji: bistvene in pomembne. Pri takšni kategorizaciji bi bilo treba upoštevati stopnjo kritičnosti sektorja ali vrste storitve ter stopnjo odvisnosti od drugih sektorjev ali vrst storitev. Za bistvene in pomembne subjekte bi morale veljati enake zahteve glede obvladovanja tveganj in obveznosti poročanja. Pri teh dveh kategorijah subjektov bi bilo treba razlikovati med ureditvijo nadzora in ureditvijo kazni, da bi se zagotovilo ustrezno ravnovesje med zahtevami in obveznostmi na eni strani ter upravnim bremenom, ki izhaja iz nadzora nad izpolnjevanjem zahtev in obveznosti, na drugi strani. (12)Sektorska zakonodaja in sektorski instrumenti lahko prispevajo k zagotavljanju visokih ravni kibernetske varnosti, ob polnem upoštevanju posebnosti in kompleksnosti zadevnih sektorjev. Če sektorski pravni akt Unije določa, da morajo bistveni in pomembni subjekti sprejeti ukrepe za obvladovanje tveganj za kibernetsko varnost ali priglasiti incidente ali pomembne kibernetske grožnje, ki imajo vsaj enak učinek kot obveznosti, določene v tej direktivi, bi se morale uporabljati navedene sektorske določbe, vključno z določbami o nadzoru in izvrševanju. Komisija lahko izda smernice v zvezi z izvajanjem lex specialis. Ta direktiva ne izključuje sprejetja dodatnih sektorskih aktov Unije, ki obravnavajo ukrepe za obvladovanje tveganj za kibernetsko varnost in priglasitve incidentov. Ta direktiva ne posega v obstoječa izvedbena pooblastila, ki so bila podeljena Komisiji v številnih sektorjih, vključno s prometnim in energetskim. (13)Uredba XXXX/XXXX Evropskega parlamenta in Sveta bi se morala šteti za sektorski pravni akt Unije v zvezi s to direktivo, kar zadeva subjekte finančnega sektorja. Določbe Uredbe XXXX/XXXX v zvezi z ukrepi za obvladovanje tveganj na področju informacijske in komunikacijske tehnologije (IKT), upravljanjem incidentov, povezanih z IKT, in zlasti poročanjem o incidentih, pa tudi testiranjem digitalne operativne odpornosti, dogovori o izmenjavi informacij in tveganjem tretjih oseb na področju IKT bi se morale uporabljali namesto določb te direktive. Države članice zato ne bi smele uporabljati določb te direktive o obvladovanju tveganj za kibernetsko varnost in obveznostih poročanja, izmenjavi informacij ter nadzoru in izvrševanju za finančne subjekte, zajete z Uredbo XXXX/XXXX. Hkrati je pomembno ohranjati tesno povezavo in izmenjavo informacij s finančnim sektorjem na podlagi te direktive. V ta namen Uredba XXXX/XXXX omogoča vsem finančnim nadzornikom, evropskim nadzornim organom za finančni sektor in nacionalnim pristojnim organom iz Uredbe XXXX/XXXX, da sodelujejo v razpravah o strateških politikah in pri tehničnem delu skupine za sodelovanje ter si izmenjujejo informacije in sodelujejo z enotnimi kontaktnimi točkami, imenovanimi v skladu s to direktivo, in z nacionalnimi skupinami CSIRT. Pristojni organi iz Uredbe XXXX/XXXX bi morali podrobnosti o večjih incidentih, povezanih z IKT, posredovati tudi enotnim kontaktnim točkam, imenovanim v skladu s to direktivo. Poleg tega bi morale države članice še naprej vključevati finančni sektor v svoje strategije za kibernetsko varnost, nacionalne skupine CSIRT pa lahko vključijo finančni sektor v svoje dejavnosti. (14)Glede na medsebojne povezave med kibernetsko varnostjo in fizično varnostjo subjektov bi bilo treba zagotoviti skladen pristop med Direktivo (EU) XXX/XXX Evropskega parlamenta in Sveta in to direktivo. Za dosego tega bi morale države članice zagotoviti, da se kritični subjekti in enakovredni subjekti v skladu z Direktivo (EU) XXX/XXX štejejo za bistvene subjekte po tej direktivi. Države članice bi morale tudi zagotoviti, da njihove strategije za kibernetsko varnost določajo okvir politike za okrepljeno usklajevanje med pristojnim organom iz te direktive in pristojnim organom iz Direktive (EU) XXX/XXX v okviru izmenjave informacij o incidentih in kibernetskih grožnjah ter izvajanja nadzornih nalog. Organi iz obeh direktiv bi morali sodelovati in si izmenjevati informacije, zlasti v zvezi z določanjem kritičnih subjektov, kibernetskimi grožnjami, tveganji za kibernetsko varnost in incidenti, ki vplivajo na kritične subjekte, ter o ukrepih za kibernetsko varnost, ki jih sprejmejo kritični subjekti. Na zahtevo pristojnih organov iz Direktive (EU) XXX/XXX bi moralo biti pristojnim organom iz te direktive omogočeno izvajanje nadzornih in izvršilnih pooblastil v zvezi z bistvenim subjektom, ki je opredeljen kot kritičen. Oboji organi bi morali v ta namen sodelovati in si izmenjevati informacije. (15)Podpiranje in ohranjanje zanesljivega, odpornega in varnega sistema domenskih imen (DNS) sta ključna dejavnika pri ohranjanju celovitosti interneta ter bistvena za njegovo neprekinjeno in stabilno delovanje, od katerega sta odvisna digitalno gospodarstvo in družba. Zato bi se morala ta direktiva uporabljati za vse ponudnike storitev sistema domenskih imen vzdolž verige razreševanja DNS, vključno z upravljavci korenskih imenskih strežnikov, vrhnjih domenskih strežnikov, krovnih imenskih strežnikov za domenska imena in rekurzivnih razreševalnikov. (16)Storitve računalništva v oblaku bi morale zajemati storitve, ki omogočajo upravljanje na zahtevo in širok oddaljeni dostop do prožnega in po obsegu prilagodljivega nabora deljivih in porazdeljenih računalniških virov. Ti računalniški viri obsegajo vire, kot so omrežja, strežniki ali druga infrastruktura, operacijski sistemi, programska oprema, pomnilniki, aplikacije in storitve. Modeli uvajanja računalništva v oblaku bi morali vključevati zasebni, skupnostni, javni in hibridni oblak. Zgoraj navedene storitve in modeli uvajanja imajo enak pomen kot izrazi za storitve in modele uvajanja, opredeljeni v standardu ISO/IEC 17788:2014. Zmožnost uporabnika računalništva v oblaku, da enostransko samostojno zagotavlja računalniške zmogljivosti, kot je čas strežnika ali omrežno shranjevanje, brez kakršne koli človeške interakcije ponudnika računalništva v oblaku, bi bilo mogoče opisati kot upravljanje na zahtevo. Izraz „širok oddaljeni dostop“ se uporablja za opis, da se zmogljivosti oblaka zagotavljajo prek omrežja in da se do njih dostopa z mehanizmi, ki spodbujajo uporabo raznolikih platform tankih in debelih odjemalcev (vključno z mobilnimi telefoni, tablicami, prenosniki in delovnimi postajami). Izraz „prožen“ se nanaša na računalniške vire, ki jih ponudnik storitev v oblaku prilagodljivo dodeljuje, ne glede na geografsko lokacijo virov, da bi se tako lahko odzvali na spremembe v povpraševanju. Izraz „prilagodljiv nabor“ opisuje take računalniške vire, ki se zagotavljajo in sproščajo glede na povpraševanje, da bi se tako število razpoložljivih virov hitro povečalo ali zmanjšalo, odvisno od delovne obremenitve. Izraz „deljivi“ opisuje take računalniške vire, ki se zagotavljajo več uporabnikom, ki imajo skupen dostop do storitve, vendar obdelava poteka ločeno za vsakega uporabnika, čeprav se storitev zagotavlja z isto elektronsko opremo. Izraz „porazdeljeni“ se uporablja za opis računalniških virov, ki so na različnih omrežnih računalnikih ali napravah ter ki medsebojno komunicirajo in se usklajujejo z izmenjevanjem sporočil. (17)Zaradi pojava inovativnih tehnologij in novih poslovnih modelov se pričakuje, da se bodo na trgu pojavili novi modeli uvajanja in storitev računalništva v oblaku v odziv na razvijajoče se potrebe strank. V tem okviru se lahko storitve računalništva v oblaku zagotavljajo v zelo porazdeljeni obliki, še bližje lokaciji, kjer se podatki pridobivajo ali zbirajo, kar pomeni premik s tradicionalnega modela na zelo porazdeljen model („računalništvo na robu“). (18)Storitve, ki jih ponujajo ponudniki storitev podatkovnih centrov, se morda ne zagotavljajo vedno v obliki storitve računalništva v oblaku. Zato podatkovni centri morda niso vedno del infrastrukture računalništva v oblaku. Za obvladovanje vseh tveganj za varnost omrežij in informacijskih sistemov bi morala ta direktiva zajemati tudi ponudnike takih storitev podatkovnih centrov, ki niso storitve računalništva v oblaku. V tej direktivi bi moral izraz „storitev podatkovnega centra“ zajemati opravljanje storitve, ki vključuje strukture ali skupine struktur, namenjene centralizirani namestitvi, medsebojnemu povezovanju in delovanju opreme za informacijsko tehnologijo in omrežne opreme, za shranjevanje, obdelavo in prenos podatkov skupaj z vsemi zmogljivostmi in infrastrukturami za distribucijo električne energije in okoljski nadzor. Izraz „storitev podatkovnega centra“ se ne nanaša na podatkovne centre v podjetjih, ki so v lasti zadevnega subjekta, ki jih upravlja za lastne namene. (19)Ponudniki poštnih storitev v smislu Direktive 97/67/ES Evropskega parlamenta in Sveta ter ponudniki storitev hitre pošte in kurirskih storitev bi morali biti predmet te direktive, če zagotavljajo vsaj en korak v verigi poštne dostave ter zlasti sprejem, usmerjanje ali dostavo, vključno s storitvami prevzema. Storitve prenosa, ki se ne izvajajo v povezavi z enim od navedenih korakov, ne bi smele spadati v obseg poštnih storitev. (20)Navedene vse večje medsebojne odvisnosti so rezultat vse bolj čezmejne in medsebojno odvisne mreže opravljanja storitev z uporabo ključnih infrastruktur po vsej Uniji v sektorjih energije, prometa, digitalne infrastrukture, pitne in odpadne vode, zdravja, nekaterih vidikov javne uprave in vesolja, kar zadeva opravljanje nekaterih storitev, ki so odvisne od talne infrastrukture, ki jih imajo v lasti, jih upravljajo in vodijo bodisi države članice bodisi zasebni subjekti, s čimer torej niso zajete infrastrukture, ki jih ima v lasti, jih upravlja ali vodi Unija ali ki so v lasti, se upravljajo ali vodijo v imenu Unije v okviru njenih vesoljskih programov. Te medsebojne odvisnosti pomenijo, da ima lahko kakršna koli motnja, tudi takšna, ki je prvotno omejena na en subjekt ali en sektor, širše kaskadne učinke, ki imajo lahko daljnosežne in dolgotrajne negativne učinke na opravljanje storitev na notranjem trgu. Pandemija COVID-19 je razkrila šibko točko naših vse bolj medsebojno odvisnih družb zaradi tveganj z majhno verjetnostjo. (21)Glede na razlike v nacionalnih strukturah upravljanja in zaradi varovanja že obstoječih sektorskih dogovorov ali nadzornih in regulativnih organov Unije bi morale imeti države članice možnost imenovati več kot en pristojni nacionalni organ, odgovoren za izvajanje nalog, povezanih z varnostjo omrežij in informacijskih sistemov bistvenih in pomembnih subjektov po tej direktivi. Države članice bi morale imeti možnost, da to vlogo dodelijo obstoječemu organu. (22)Za zagotavljanje lažjega čezmejnega sodelovanja in komunikacije med organi ter za učinkovito izvajanje te direktive je nujno, da vsaka država članica imenuje nacionalno enotno kontaktno točko, odgovorno za usklajevanje vprašanj v zvezi z varnostjo omrežij in informacijskih sistemov ter za čezmejno sodelovanje na ravni Unije. (23)Pristojni organi ali skupine CSIRT bi morali od subjektov učinkovito in uspešno prejeti priglasitve incidentov. Enotne kontaktne točke bi morale biti zadolžene za posredovanje priglasitev incidentov enotnim kontaktnim točkam drugih prizadetih držav članic. Da bi se zagotovila ena enotna vstopna točka v vsaki državi članici, bi morale enotne kontaktne točke na ravni organov držav članic tudi prejemati ustrezne informacije o incidentih v zvezi s subjekti finančnega sektorja od pristojnih organov iz Uredbe XXXX/XXXX, ki bi jih morale biti sposobne posredovati, če je ustrezno, ustreznim pristojnim nacionalnim organom ali skupinam CSIRT po tej direktivi. (24)Države članice bi morale imeti ustrezne tehnične in organizacijske zmogljivosti za preprečevanje, odkrivanje in ublažitev incidentov in tveganj v omrežjih in informacijskih sistemih ter za odzivanje nanje. Zato bi morale države članice zagotoviti, da imajo dobro delujoče skupine CSIRT, znane tudi kot skupine za odzivanje na računalniške grožnje (v nadaljnjem besedilu: skupine CERT), ki izpolnjujejo osnovne zahteve, da bi se tako zagotovile učinkovite in združljive zmogljivosti za obvladovanje incidentov in tveganj ter zagotovilo učinkovito sodelovanje na ravni Unije. Za okrepitev odnosa zaupanja med subjekti in skupinami CSIRT v primerih, ko je skupina CSIRT del pristojnega organa, bi morale države članice razmisliti o funkcionalnem ločevanju med operativnimi nalogami, ki jih opravljajo skupine CSIRT, zlasti v zvezi z izmenjavo informacij in podporo subjektom, in nadzornimi dejavnostmi pristojnih organov. (25)Kar zadeva osebne podatke, bi moralo biti skupinam CSIRT omogočeno, da v skladu z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta v imenu in na zahtevo subjekta po tej direktivi zagotovijo proaktvini pregled omrežij in informacijskih sistemov, ki se uporabljajo za opravljanje storitev subjektov. Države članice bi si morale prizadevati za zagotovitev enake ravni tehničnih zmogljivosti za vse sektorske skupine CSIRT. Države članice lahko pri oblikovanju nacionalnih skupin CSIRT zaprosijo za pomoč Agencijo Evropske unije za kibernetsko varnost (ENISA). (26)Mednarodno sodelovanje na področju kibernetske varnosti je pomembno, zato bi morali skupinam CSIRT poleg sodelovanja v mreži skupin CSIRT, vzpostavljeni s to direktivo, omogočiti sodelovanje tudi v mrežah mednarodnega sodelovanja.

(27)V skladu s Prilogo k Priporočilu Komisije (EU) 2017/1548 o usklajenem odzivu na velike kibernetske incidente in krize („načrt“) bi moral velik incident pomeniti incident, ki ima velik vpliv na vsaj dve državi članici ali ki povzroči motnje, ki presegajo zmožnost države članice za odziv nanje. Glede na njihov vzrok in vpliv se lahko veliki incidenti stopnjujejo in sprevržejo v popolno krizo, ki ne omogoča ustreznega delovanja notranjega trga. Glede na velik obseg in večinoma čezmejno naravo takih incidentov bi morali države članice ter ustrezne institucije, organi in agencije Unije sodelovati na tehnični, operativni in politični ravni za ustrezno usklajevanje odziva po vsej Uniji. (28)Ker lahko izkoriščanje šibkih točk v omrežjih in informacijskih sistemih povzroči hude motnje in škodo, sta hitro odkrivanje in odpravljanje takih šibkih točk pomemben dejavnik pri zmanjševanju tveganj za kibernetsko varnost. Subjekti, ki razvijajo take sisteme, bi morali zato vzpostaviti ustrezne postopke za obravnavanje šibkih točk, ko jih odkrijejo. Ker šibke točke pogosto odkrijejo in o njih poročajo (jih razkrijejo) tretje osebe (poročajoči subjekti), bi moral proizvajalec ali ponudnik proizvodov ali storitev IKT vzpostaviti tudi potrebne postopke za prejemanje informacij o šibkih točkah od tretjih oseb. V zvezi s tem mednarodna standarda ISO/IEC 30111 in ISO/IEC 29417 določata smernice o obravnavanju oziroma razkrivanju šibkih točk. Kar zadeva razkrivanje šibkih točk, je pomembno zlasti usklajevanje med poročajočimi subjekti in proizvajalci ali ponudniki proizvodov ali storitev IKT. Usklajeno razkrivanje šibkih točk določa strukturiran postopek, s katerim se šibke točke organizacijam sporočijo tako, da lahko organizacija diagnosticira in odpravi šibko točko, preden se podrobne informacije o šibki točki razkrijejo tretji osebi ali javnosti. Usklajeno razkrivanje šibkih točk bi moralo vključevati tudi usklajevanje med poročajočim subjektom in organizacijo v zvezi s časovnim okvirom za odpravo in objavo šibkih točk. (29)Države članice bi morale zato sprejeti ukrepe za olajšanje usklajenega razkrivanja šibkih točk z vzpostavitvijo ustrezne nacionalne politike. V zvezi s tem bi morale države članice imenovati skupino CSIRT, ki bi prevzela vlogo „koordinatorke“ in ki bi po potrebi delovala kot posrednica med poročajočimi subjekti in proizvajalci ali ponudniki proizvodov ali storitev IKT. Naloge skupine CSIRT koordinatorke bi morale vključevati zlasti opredelitev zadevnih subjektov in vzpostavitev stika z njimi, podpiranje poročajočih subjektov, pogajanja o časovnicah razkrivanja in upravljanje razkrivanja šibkih točk, ki vplivajo na več organizacij (razkrivanje šibkih točk več strani). Če šibke točke vplivajo na več proizvajalcev ali ponudnikov proizvodov ali storitev IKT s sedežem v več državah članicah, bi morale imenovane skupine CSIRT iz vsake od prizadetih držav članic sodelovati v okviru mreže skupin CSIRT. (30)Dostop do točnih in pravočasnih informacij o šibkih točkah, ki vplivajo na proizvode in storitve IKT, prispeva k okrepljenemu obvladovanju tveganj za kibernetsko varnost. V zvezi s tem so viri javno dostopnih informacij o šibkih točkah pomembno orodje za subjekte in njihove uporabnike, pa tudi za pristojne nacionalne organe in skupine CSIRT. Zato bi morala agencija ENISA vzpostaviti register šibkih točk, kjer bi bistveni in pomembni subjekti ter njihovi dobavitelji, pa tudi subjekti, ki ne spadajo na področje uporabe te direktive, lahko prostovoljno razkrivali šibke točke in zagotavljali informacije o šibkih točkah, ki bi uporabnikom omogočale sprejetje ustreznih blažilnih ukrepov. (31)Čeprav podobni registri ali zbirke podatkov o šibkih točk obstajajo, te upravljajo in vzdržujejo subjekti, ki nimajo sedeža v Uniji. Evropski register šibkih točk, ki bi ga vzdrževala agencija ENISA, bi zagotovil večjo preglednost v zvezi s postopkom objave pred uradnim razkritjem šibke točke in odpornost v primerih motenj ali prekinitev pri opravljanju podobnih storitev. Da bi preprečila podvajanje prizadevanj in poskušala zagotoviti čim večje dopolnjevanje, bi morala agencija ENISA preučiti možnost sklenitve sporazumov o strukturnem sodelovanju s podobnimi registri v jurisdikcijah tretjih držav. (32)Skupina za sodelovanje bi morala vsaki dve leti pripraviti delovni program, ki bi vključeval ukrepe, ki bi jih skupina sprejela za izvajanje svojih ciljev in nalog. Časovni okvir prvega programa, sprejetega v skladu s to direktivo, bi moral biti usklajen s časovnim okvirom zadnjega programa, sprejetega v skladu z Direktivo (EU) 2016/1148, da bi se preprečile morebitne motnje pri delu skupine. (33)Skupina za sodelovanje bi morala pri pripravi smernic dosledno: evidentirati nacionalne rešitve in izkušnje, oceniti vpliv svojih dosežkov na nacionalne pristope, razpravljati o izzivih v zvezi z izvajanjem in oblikovati posebna priporočila, ki bi se obravnavala z boljšim izvajanjem obstoječih pravil. (34)Skupina za sodelovanje bi morala ostati prilagodljiv forum in biti sposobna odzivati se na spreminjajoče se in nove prednostne naloge politike in izzive, ob upoštevanju razpoložljivosti virov. Organizirati bi morala redne skupne sestanke z ustreznimi zasebnimi zainteresiranimi stranmi iz vse Unije, na katerih bi se razpravljalo o dejavnostih, ki jih izvaja skupina, in zbirale informacije o nastajajočih izzivih politike. Za okrepitev sodelovanja na ravni Unije bi morala skupina razmisliti o tem, da bi k sodelovanju pri svojem delu povabila organe in agencije Unije, vključene v politiko na področju kibernetske varnosti, kot so Evropski center za boj proti kibernetski kriminaliteti (EC3), Agencija Evropske unije za varnost v letalstvu (EASA) in Agencija Evropske unije za vesoljski program (EUSPA). (35)Pristojni organi in skupine CSIRT bi morali biti pooblaščeni za sodelovanje v programih izmenjave uradnikov iz drugih držav članic, da bi izboljšali sodelovanje. Pristojni organi bi morali sprejeti potrebne ukrepe, s katerimi bi uradnikom iz drugih držav članic omogočili učinkovito sodelovanje v dejavnostih pristojnega organa gostitelja. (36)Unija bi morala, kjer je ustrezno, v skladu s členom 218 PDEU skleniti mednarodne sporazume s tretjimi državami ali mednarodnimi organizacijami, ki bi omogočali in urejali njihovo sodelovanje pri nekaterih dejavnostih skupine za sodelovanje in mreže skupin CSIRT. Taki sporazumi bi morali zagotoviti ustrezno varstvo podatkov. (37)Države članice bi morale prispevati k vzpostavitvi okvira EU za odzivanje na krize na področju kibernetske varnosti, določenega v Priporočilu (EU) 2017/1584, z obstoječimi mrežami za sodelovanje, zlasti organizacijsko mrežo za povezovanje v kibernetski krizi (EU-CyCLONe), mrežo skupin CSIRT in skupino za sodelovanje. Mreža EU-CyCLONe in mreža skupin CSIRT bi morali sodelovati na podlagi postopkovnih ureditev, v katerih so opredeljeni načini navedenega sodelovanja. V poslovniku mreže EU-CyCLONe bi morali biti podrobneje opredeljeni načini delovanja mreže, med drugim z vlogami, načini sodelovanja, stiki z drugimi ustreznimi akterji in predlogami za izmenjavo informacij ter sredstvi komuniciranja. Za obvladovanje krize na ravni Unije bi se morale ustrezne strani zanašati na enotne ureditve za politično odzivanje na krize (IPCR). Komisija bi morala v ta namen uporabljati postopek medsektorskega kriznega usklajevanja na visoki ravni v okviru sistema ARGUS. Če bo imela kriza znaten vpliv na zunanjo ali skupno varnostno in obrambno politiko (SVOP), bi bilo treba sprožiti mehanizem Evropske službe za zunanje delovanje (ESZD) za krizno odzivanje. (38)V tej direktivi bi se moral izraz „tveganje“ nanašati na možnost izgube ali motnje, ki jo povzroči kibernetski incident, ter bi moral biti izražen kot kombinacija razsežnosti take izgube ali motnje in verjetnosti pojava navedenega incidenta. (39)V tej direktivi bi se moral izraz „skorajšnji dogodek“ nanašati na dogodek, ki bi lahko povzročil škodo, vendar se je uspešno preprečilo, da bi se v celoti uresničil. (40)Med ukrepe za obvladovanje tveganj bi morali spadati ukrepi za prepoznavanje tveganj incidentov, preprečevanje, odkrivanje in obvladovanje incidentov ter ublažitev njihovega vpliva. Varnost omrežij in informacijskih sistemov bi morala obsegati varnost shranjenih, prenesenih in obdelanih podatkov. (41)Da bistvenim in pomembnim subjektom ne bi bilo naloženo nesorazmerno finančno in upravno breme, bi morale biti zahteve glede obvladovanja tveganj za kibernetsko varnost sorazmerne s tveganjem, ki ga pomenita zadevno omrežje in informacijski sistem, pri čemer bi bilo treba upoštevati dovršenost takih ukrepov. (42)Bistveni in pomembni subjekti bi morali zagotoviti varnost omrežij in informacijskih sistemov, ki jih uporabljajo pri svojih dejavnostih. To so predvsem zasebna omrežja in informacijski sistemi, ki jih upravlja njihovo notranje osebje za IT ali za varnost katerih skrbi zunanji izvajalec. Zahteve glede obvladovanja tveganj za kibernetsko varnost in poročanja v skladu s to direktivo bi se morale uporabljati za ustrezne bistvene in pomembne subjekte ne glede na to, ali vzdrževanje svojih omrežij in informacijskih sistemov izvajajo notranje ali ga oddajajo zunanjim izvajalcem. (43)Obravnavanje tveganj za kibernetsko varnost, ki izhajajo iz dobavne verige subjekta in njegovega razmerja z njegovimi dobavitelji, je še zlasti pomembno glede na razširjenost incidentov, v katerih so bili subjekti žrtve kibernetskih napadov in v katerih so bili zlonamerni akterji sposobni ogroziti varnost omrežij in informacijskih sistemov subjekta z izkoriščanjem šibkih točk, ki vplivajo na proizvode in storitve tretje osebe. Subjekti bi morali zato oceniti in upoštevati splošno kakovost proizvodov ter praks svojih dobaviteljev in ponudnikov storitev na področju kibernetske varnosti, vključno z njihovimi varnimi razvojnimi postopki. (44)Med ponudniki storitev imajo ponudniki upravljanih varnostnih storitev na področjih, kot so odzivanje na incidente, penetracijsko testiranje, varnostne presoje in svetovanje, še posebno pomembno vlogo pri zagotavljanju pomoči subjektom pri njihovih prizadevanjih za odkrivanje incidentov in odzivanje nanje. Vendar pa so bili takšni ponudniki upravljanih varnostnih storitev tudi sami tarče kibernetskih napadov in zaradi svoje tesne vključenosti v delovanje izvajalcev pomenijo posebno tveganje za kibernetsko varnost. Subjekti bi morali biti zato še bolj skrbni pri izbiri ponudnika upravljanih varnostnih storitev. (45)Subjekti bi morali obravnavati tudi tveganja za kibernetsko varnost, ki izhajajo iz njihovih stikov in odnosov z drugimi zainteresiranimi stranmi v okviru širšega ekosistema. Subjekti bi morali zlasti sprejeti ustrezne ukrepe za zagotovitev, da njihovo sodelovanje z akademskimi in raziskovalnimi ustanovami poteka v skladu z njihovimi politikami na področju kibernetske varnosti, ob upoštevanju dobrih praks v zvezi z varnim dostopom in razširjanjem informacij na splošno ter še posebno z varstvom intelektualne lastnine. Podobno bi morali subjekti glede na pomen in vrednost podatkov za dejavnosti subjektov pri uporabi storitev pretvorbe podatkov in podatkovne analitike, ki jih opravljajo tretje osebe, sprejeti vse ustrezne ukrepe za kibernetsko varnost. (46)Za nadaljnje obravnavanje ključnih tveganj za dobavno verigo ter zagotavljanje pomoči subjektom, ki delujejo v sektorjih, zajetih s to direktivo, pri ustreznem obvladovanju tveganj za kibernetsko varnost, povezanih z dobavno verigo in dobavitelji, bi morala skupina za sodelovanje, ki vključuje ustrezne nacionalne organe, v sodelovanju s Komisijo in agencijo ENISA izvesti usklajene sektorske ocene tveganj v zvezi z dobavno verigo, kot je že storila za omrežja 5G na podlagi Priporočila (EU) 2019/534 o kibernetski varnosti omrežij 5G, da bi opredelila kritične storitve, sisteme ali proizvode IKT, zadevne grožnje in šibke točke za posamezne sektorje.

(47)Pri ocenah tveganj v zvezi z dobavno verigo bi bilo treba glede na značilnosti zadevnega sektorja upoštevati tehnične in, kjer je ustrezno, netehnične dejavnike, vključno z dejavniki, opredeljenimi v Priporočilu (EU) 2019/534, iz usklajene ocene tveganj za varnost omrežij 5G na ravni EU in nabora orodij EU za kibernetsko varnost omrežij 5G, o katerem se je dogovorila skupina za sodelovanje. Za opredelitev dobavnih verig, ki bi morale biti predmet usklajene ocene tveganja, bi bilo treba upoštevati naslednja merila: (i) obseg, v katerem bistveni in pomembni subjekti uporabljajo določene kritične storitve, sisteme ali proizvode IKT in se zanašajo nanje; (ii) pomembnost določenih kritičnih storitev, sistemov ali proizvodov IKT za izvajanje kritičnih ali občutljivih funkcij, vključno z obdelavo osebnih podatkov; (iii) razpoložljivost alternativnih storitev, sistemov ali proizvodov IKT; (iv) odpornost celotne dobavne verige storitev, sistemov ali proizvodov IKT proti dogodkom, ki povzročajo motnje v delovanju, in (v) morebiten prihodnji pomen nastajajočih storitev, sistemov ali proizvodov IKT za dejavnosti subjektov. (48)Za racionalizacijo pravnih obveznosti, naloženih ponudnikom javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev in ponudnikom storitev zaupanja, povezanih z varnostjo njihovih omrežij in informacijskih sistemov, ter za omogočanje zadevnim subjektom in njihovim ustreznim pristojnim organom, da izkoristijo pravni okvir, vzpostavljen s to direktivo (vključno z imenovanjem skupine CSIRT, odgovorne za obvladovanje tveganj in incidentov, sodelovanje pristojnih organov pri delu skupine za sodelovanje in mreže skupin CSIRT), bi jih bilo treba vključiti na področje uporabe te direktive. Zato bi bilo treba razveljaviti ustrezne določbe iz Uredbe (EU) št. 910/2014 Evropskega parlamenta in Sveta ter Direktive (EU) 2018/1972 Evropskega parlamenta in Sveta, ki se nanašajo na uvedbo zahteve glede varnosti in priglasitve za tovrstne subjekte. Pravila o obveznostih poročanja ne bi smela vplivati na Uredbo (EU) 2016/679 in Direktivo 2002/58/ES Evropskega parlamenta in Sveta. (49)Kjer je ustrezno in za preprečitev nepotrebnih motenj, bi morali pristojni organi, zadolženi za nadzor in izvrševanje za namene te direktive, še naprej uporabljati obstoječe nacionalne smernice in nacionalno zakonodajo, sprejeto za prenos pravil, povezanih z varnostnimi ukrepi, določenimi v členu 40(1) Direktive (EU) 2018/1972, in zahtev iz člena 40(2) navedene direktive v zvezi s parametri, ki se nanašajo na pomen incidenta. (50)Glede na vedno večji pomen medosebnih komunikacijskih storitev, neodvisnih od številke, je treba zagotoviti, da se tudi za take storitve uporabljajo ustrezne varnostne zahteve, ob upoštevanju njihove posebne narave in gospodarskega pomena. Ponudniki takih storitev bi torej prav tako morali zagotoviti raven varnosti omrežij in informacijskih sistemov, primerno obstoječemu tveganju. Ker ponudniki medosebnih komunikacijskih storitev, neodvisnih od številke, običajno nimajo dejanskega nadzora nad prenosom signalov prek omrežja, je mogoče raven tveganja za take storitve v nekaterih pogledih šteti za manjšo kot pri tradicionalnih elektronskih komunikacijskih storitvah. Enako velja za medosebne komunikacijske storitve, ki uporabljajo številke in nimajo dejanskega nadzora nad prenosom signalov. (51)Notranji trg je bolj odvisen od delovanja interneta kot kdaj koli prej. Storitve praktično vseh bistvenih in pomembnih subjektov so odvisne od storitev, ki se opravljajo prek interneta. Za zagotovitev nemotenega opravljanja storitev bistvenih in pomembnih subjektov je pomembno, da imajo javna elektronska komunikacijska omrežja, kot so na primer hrbtenična internetna omrežja ali podmorski komunikacijski kabli, vzpostavljene ustrezne ukrepe za kibernetsko varnost in da poročajo o incidentih v zvezi z njo. (52)Kjer je ustrezno, bi morali subjekti obvestiti prejemnike storitev o specifičnih in pomembnih grožnjah ter ukrepih, ki jih lahko sprejmejo za ublažitev posledičnega tveganja za njih same. Zahteva glede obveščanja zadevnih prejemnikov o takih grožnjah subjektov ne bi smela odvezati obveznosti, da na svoje stroške sprejmejo ustrezne in takojšnje ukrepe za preprečevanje ali odpravo vseh kibernetskih groženj in ponovno vzpostavitev običajne ravni varnosti storitve. Zagotavljanje takih informacij o varnostnih grožnjah prejemnikom bi moralo biti brezplačno. (53)Zlasti bi morali ponudniki javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev prejemnike storitve obvestiti o specifičnih in pomembnih kibernetskih grožnjah ter ukrepih, ki jih lahko sprejmejo za zagotovitev varnosti svojih komunikacij, na primer z uporabo posebnih vrst programske opreme ali tehnologij šifriranja. (54)Za zaščito varnosti elektronskih komunikacijskih omrežij in storitev bi bilo treba spodbujati uporabo šifriranja, zlasti šifriranja od konca do konca, ki bi morala biti po potrebi obvezna za ponudnike takih storitev in omrežij v skladu z načeloma privzete in vgrajene varnosti ter zasebnosti za namene člena 18. Uporabo šifriranja od konca do konca bi bilo treba uskladiti s pooblastili države članice, da zagotovi zaščito svojih bistvenih varnostnih interesov in javne varnosti ter dovoli preiskovanje, odkrivanje in pregon kaznivih dejanj v skladu s pravom Unije. Pri rešitvah za zakonit dostop do informacij v komunikacijah, šifriranih od konca do konca, bi se morala ohraniti učinkovitost šifriranja pri varovanju zasebnosti in varnosti komunikacij ter hkrati zagotoviti učinkovit odziv na kazniva dejanja. (55)Direktiva določa dvostopenjski pristop k poročanju o incidentih za vzpostavitev ustreznega ravnovesja med, na eni strani, hitrim poročanjem, ki pomaga blažiti morebitno širjenje incidentov in omogoča subjektom, da zaprosijo za podporo, ter, na drugi strani, podrobnim poročanjem, pri katerem se pridobivajo dragocene izkušnje iz posameznih incidentov ter sčasoma poveča odpornost posameznih podjetij in celotnega sektorja proti kibernetskim grožnjam. Kadar se subjekti seznanijo z incidentom, bi se moralo od njih zahtevati, da v 24 urah predložijo začetno priglasitev, ki ji najpozneje čez en mesec sledi končno poročilo. Začetna priglasitev bi morala vključevati le informacije, ki so nujno potrebne za seznanitev pristojnih organov z incidentom in ki subjektu omogočajo, da po potrebi zaprosi za pomoč. V taki priglasitvi bi moralo biti, kjer je ustrezno, navedeno, ali je bil incident domnevno povzročen z nezakonitim ali zlonamernim dejanjem. Države članice bi morale zagotoviti, da se z zahtevo po predložitvi začetne priglasitve viri poročajočega subjekta ne preusmerijo z dejavnosti, povezanih z obvladovanjem incidentov, ki bi moralo biti prednostna naloga. Da bi države članice nadalje preprečile, da bi se zaradi obveznosti poročanja o incidentih bodisi viri preusmerili z upravljanja odzivov na incidente bodisi kako drugače ogrozila prizadevanja subjektov v zvezi s tem, bi morale tudi zagotoviti, da lahko zadevni subjekt v ustrezno utemeljenih primerih in v dogovoru s pristojnimi organi ali skupino CSIRT odstopa od rokov, tj. 24 ur za začetno priglasitev in enega meseca za končno poročilo. (56)Bistveni in pomembni subjekti so pogosto v položaju, ko je treba zaradi obveznosti priglasitve, vključenih v različne pravne instrumente, o določenem incidentu zaradi njegovih značilnosti poročati različnim organom. Taki primeri ustvarjajo dodatna bremena in lahko tudi privedejo do negotovosti v zvezi z obliko in postopki takih priglasitev. Glede na navedeno in za poenostavitev poročanja o varnostnih incidentih bi morale države članice vzpostaviti enotno vstopno točko za vse priglasitve, ki se zahtevajo v skladu s to direktivo in tudi drugo zakonodajo Unije, kot sta Uredba (EU) 2016/679 in Direktiva 2002/58/ES. Agencija ENISA bi morala v sodelovanju s skupino za sodelovanje s smernicami oblikovati skupne predloge za priglasitev, s katerimi bi se poenostavile in racionalizirale informacije za poročanje, ki se zahtevajo s pravom Unije, ter zmanjšala bremena za podjetja. (57)V primeru suma, da je incident povezan s hudimi kaznivimi dejanji po pravu Unije ali nacionalnem pravu, bi morale države članice bistvene in pomembne subjekte na podlagi veljavnih pravil o kazenskem postopku v skladu s pravom Unije spodbujati, da incident, za katerega sumijo, da je hudo kaznivo dejanje, prijavijo ustreznim organom kazenskega pregona. Kjer je ustrezno in brez poseganja v pravila o varstvu osebnih podatkov, ki se uporabljajo za Europol, je zaželeno, da Evropski center za boj proti kibernetski kriminaliteti (EC3) in agencija ENISA olajšata usklajevanje med pristojnimi organi in organi kazenskega pregona različnih držav članic. (58)V številnih primerih je zaradi incidentov ogrožena varnost osebnih podatkov. V tem okviru bi morali pristojni organi v skladu z Direktivo 2002/58/ES sodelovati in si izmenjevati informacije o vseh pomembnih zadevah z organi za varstvo podatkov in nadzornimi organi. (59)Vzdrževanje točnih in popolnih podatkovnih zbirk domenskih imen in podatkov o registraciji (tako imenovani podatki „WHOIS“) ter omogočanje zakonitega dostopa do takih podatkov sta bistveni za zagotavljanje varnosti, stabilnosti in odpornosti sistema domenskih imen, kar posledično prispeva k višji skupni ravni kibernetske varnosti v Uniji. Če obdelava vključuje osebne podatke, mora biti taka obdelava skladna s pravom Unije o varstvu podatkov. (60)Razpoložljivost in pravočasna dostopnost teh podatkov za javne organe, vključno s pristojnimi organi po pravu Unije ali nacionalnem pravu za preprečevanje, preiskovanje ali pregon kaznivih dejanj, skupine CERT in CSIRT ter, kar zadeva podatke njihovih strank, ponudnike elektronskih komunikacijskih omrežij in storitev ter ponudnike tehnologij in storitev kibernetske varnosti, ki delujejo v imenu zadevnih strank, sta bistveni za preprečevanje zlorab sistema domenskih imena in boj proti njim, zlasti za preprečevanje in odkrivanje kibernetskih incidentov ter odzivanje nanje. Pri takem dostopu bi bilo treba spoštovati pravo Unije o varstvu podatkov, če je povezan z osebnimi podatki. (61)Da bi zagotovili razpoložljivost točnih in popolnih podatkov o registraciji domenskih imen, bi morali registri vrhnjih domen in subjekti, ki opravljajo storitve registracije domenskih imen za vrhnje domene (tako imenovani registratorji), zbirati podatke o registraciji domenskih imen ter zagotavljati njihovo celovitost in razpoložljivost. Zlasti bi morali registri vrhnjih domen in subjekti, ki opravljajo storitve registracije domenskih imen za vrhnje domene, vzpostaviti politike in postopke za zbiranje ter vzdrževanje točnih in popolnih podatkov o registraciji ter za preprečevanje in popravljanje netočnih podatkov o registraciji v skladu s pravili Unije o varstvu podatkov. (62)Registri vrhnjih domen in subjekti, ki zanje opravljajo storitve registracije domenskih imen, bi morali objaviti podatke o registraciji domenskih imen, ki ne spadajo na področje uporabe pravil Unije o varstvu podatkov, kot so podatki, ki se nanašajo na pravne osebe. Registri vrhnjih domen in subjekti, ki opravljajo storitve registracije domenskih imen za vrhnje domene, bi morali v skladu s pravom Unije o varstvu podatkov zakonit dostop do podatkov o registraciji posameznih domenskih imen v zvezi s fizičnimi osebami omogočiti tudi osebam, ki imajo upravičen razlog za dostop. Države članice bi morale zagotoviti, da se registri vrhnjih domen in subjekti, ki zanje opravljajo storitve registracije domenskih imen, brez nepotrebnega odlašanja odzovejo na zahteve oseb, ki imajo upravičen razlog za dostop, glede razkritja podatkov o registraciji domenskih imen. Registri vrhnjih domen in subjekti, ki zanje opravljajo storitve registracije domenskih imen, bi morali vzpostaviti politike in postopke za objavo in razkritje podatkov o registraciji, vključno s sporazumi o ravni storitve, za obravnavanje zahtev oseb za dostop, ki imajo upravičen razlog za dostop. Postopek dostopa lahko vključuje tudi uporabo vmesnika, portala ali drugih tehničnih orodij za zagotovitev učinkovitega sistema za predložitev zahtev in dostopanje do podatkov o registraciji. Komisija lahko za spodbujanje usklajenih praks na notranjem trgu sprejme smernice o takih postopkih brez poseganja v pristojnosti Evropskega odbora za varstvo podatkov. (63)Vsi bistveni in pomembni subjekti na podlagi te direktive bi morali spadati v sodno pristojnost države članice, kjer opravljajo svoje storitve. Če subjekt opravlja storitve v več kot eni državi članici, bi moral spadati v ločeno in sočasno sodno pristojnost vsake od teh držav članic. Pristojni organi teh držav članic bi morali sodelovati, si medsebojno pomagati in, kjer je ustrezno, izvajati skupne nadzorne ukrepe. (64)Da bi se upoštevala čezmejna narava storitev in postopkov ponudnikov storitev sistema domenskih imen, registrov vrhnjih domenskih imen, ponudnikov omrežij za dostavo vsebine, ponudnikov storitev računalništva v oblaku, ponudnikov storitev podatkovnih centrov in ponudnikov digitalnih storitev, bi morala biti za te subjekte pristojna samo ena država članica. Sodno pristojnost bi bilo treba dodeliti državi članici, v kateri ima zadevni subjekt glavni sedež v Uniji. Merilo sedeža za namene te direktive pomeni dejansko izvajanje dejavnosti na podlagi stabilnih ureditev. Pravna oblika takih ureditev, bodisi prek izpostave bodisi prek podružnice, ki je pravna oseba, v tem pogledu ni odločujoči dejavnik. Izpolnjevanje tega merila ne bi smelo biti odvisno od tega, ali so omrežja in informacijski sistemi fizično locirani na tistem mestu; prisotnost in uporaba teh sistemov sami po sebi ne pomenita tega glavnega sedeža in zato nista odločilni merili za ugotavljanje glavnega sedeža. Glavni sedež bi moral biti kraj, kjer se v Uniji sprejemajo odločitve v zvezi z ukrepi za obvladovanje tveganj za kibernetsko varnost. To običajno ustreza kraju osrednje uprave podjetij v Uniji. Če se take odločitve ne sprejemajo v Uniji, bi bilo treba šteti, da je glavni sedež v državah članicah, kjer ima subjekt sedež z največjim številom zaposlenih v Uniji. Kadar storitve opravljajo povezane družbe, bi bilo treba glavni sedež obvladujoče družbe šteti za glavni sedež povezanih družb. (65)V primerih, ko ponudnik storitev sistema domenskih imen, register vrhnjih domenskih imen, ponudnik omrežij za dostavo vsebine, ponudnik storitev računalništva v oblaku, ponudnik storitev podatkovnih centrov in ponudnik digitalnih storitev, ki nima sedeža v Uniji, ponuja storitve v Uniji, bi moral imenovati predstavnika. Da bi ugotovili, ali tak subjekt ponuja storitve v Uniji, bi bilo treba preveriti, ali je jasno, da namerava subjekt svoje storitve ponujati posameznikom v eni ali več državah članicah. Sama dostopnost v Uniji spletnega mesta subjekta ali posrednika ali elektronskega naslova in drugih kontaktnih podatkov ali uporaba jezika, ki se običajno uporablja v tretji državi, v kateri ima subjekt sedež, ne zadošča za določitev takšne namere. Vendar se lahko z dejavniki, kot je uporaba jezika ali valute, ki se običajno uporablja v eni ali več državah članicah, z možnostjo naročanja storitev v tem drugem jeziku, ali navedba strank ali uporabnikov, ki so v Uniji, jasno pokaže, da namerava subjekt ponujati storitve v Uniji. Predstavnik bi moral delovati v imenu subjekta, pristojni organi ali skupine CSIRT pa bi morali imeti možnost, da navežejo stik s predstavnikom. Predstavnik bi moral biti izrecno imenovan s pisnim pooblastilom subjekta, da v njegovem imenu izvaja njegove obveznosti na podlagi te direktive, vključno s poročanjem o incidentih. (66)Če se podatki, ki se v skladu z nacionalnim pravom ali pravom Unije štejejo za tajne, izmenjujejo, sporočajo ali drugače souporabljajo v skladu z določbami te direktive, bi se morala uporabljati ustrezna posebna pravila o ravnanju s tajnimi podatki.

(67)Ker so kibernetske grožnje vse bolj zapletene in izpopolnjene, so dobri ukrepi za odkrivanje in preprečevanje večinoma odvisni od redne izmenjave obveščevalnih podatkov o grožnjah in šibkih točkah med subjekti. Izmenjava informacij prispeva k večji ozaveščenosti o kibernetskih grožnjah, kar posledično krepi sposobnost subjektov za preprečevanje, da bi se grožnje spremenile v dejanske incidente, in subjektom omogoča, da bolje omejijo učinke incidentov in si učinkoviteje opomorejo. Videti je, da ob odsotnosti smernic na ravni Unije več dejavnikov ovira tako izmenjavo obveščevalnih podatkov, zlasti negotovost glede združljivosti s pravili o konkurenci in odgovornosti. (68)Subjekte bi bilo zato treba spodbuditi, naj skupaj izkoristijo svoje individualno znanje in praktične izkušnje na strateški, taktični in operativni ravni, da bi tako okrepili svoje zmogljivosti za ustrezno ocenjevanje in spremljanje kibernetskih groženj, zaščito pred njimi in odzivanje nanje. Zato je treba omogočiti, da se na ravni Unije vzpostavijo mehanizmi za prostovoljne dogovore o izmenjavi informacij. V ta namen bi morale države članice dejavno podpirati in spodbujati tudi ustrezne subjekte, ki niso zajeti v področje uporabe te direktive, naj sodelujejo v takih mehanizmih za izmenjavo informacij. Taki mehanizmi bi se morali izvajati ob polnem spoštovanju pravil Unije o konkurenci in pravil prava Unije o varstvu podatkov. (69)Obdelava osebnih podatkov v obsegu, nujno potrebnem in sorazmernem za zagotovitev varnosti omrežja in informacij, ki jo izvajajo subjekti, javni organi, skupine CERT in CSIRT ter ponudniki varnostnih tehnologij in storitev, bi morala pomeniti zakoniti interes zadevnega upravljavca podatkov, kot je navedeno v Uredbi (EU) 2016/679. To bi moralo vključevati ukrepe, povezane s preprečevanjem, odkrivanjem in analizo incidentov ter odzivanjem nanje, ukrepe za ozaveščanje v zvezi s posebnimi kibernetskimi grožnjami, izmenjavo informacij v okviru odpravljanja in usklajenega razkrivanja šibkih točk ter prostovoljno izmenjavo informacij o takih incidentih, pa tudi o kibernetskih grožnjah in šibkih točkah, kazalnikih ogroženosti, taktikah, tehnikah in postopkih, opozorilih glede kibernetske varnosti in orodjih za konfiguracijo. Taki ukrepi lahko zahtevajo obdelavo naslednjih vrst osebnih podatkov: naslovov IP, enotnih naslovov vira (URL), domenskih imen in elektronskih naslovov. (70)Za okrepitev nadzornih pooblastil in ukrepov, ki pomagajo zagotavljati dejansko izpolnjevanje zahtev, bi bilo treba v tej direktivi določiti minimalni seznam nadzornih ukrepov in sredstev, s katerimi lahko pristojni organi nadzorujejo bistvene in pomembne subjekte. Poleg tega bi bilo treba s to direktivo vzpostaviti razlikovanje nadzorne ureditve med bistvenimi in pomembnimi subjekti, da bi se zagotovilo ustrezno ravnovesje med obveznostmi subjektov in pristojnih organov. Tako bi morala za bistvene subjekte veljati celovita ureditev nadzora (predhodni in naknadni nadzor), medtem ko bi morala za pomembne subjekte veljati manj stroga ureditev nadzora, to je le naknadni nadzor. Za te vrste subjektov to pomeni, da pomembnim subjektom ne bi bilo treba sistematično dokumentirati izpolnjevanja zahtev glede obvladovanja tveganj za kibernetsko varnost, pristojni organi pa bi morali uporabljati reaktivni naknadni pristop k nadzoru in tako zanje ne bi veljala splošna obveznost nadzorovanja teh subjektov. (71)Da bi bilo izvrševanje učinkovito, bi bilo treba določiti minimalni seznam upravnih sankcij za kršitve obveznosti glede obvladovanja tveganj za kibernetsko varnost in poročanja iz te direktive ter vzpostaviti jasen in skladen okvir za take sankcije po vsej Uniji. Ustrezno bi bilo treba upoštevati naravo, težo in trajanje kršitve, dejansko povzročeno škodo ali nastale izgube ali morebitno škodo ali izgube, ki bi lahko nastale, ali je kršitev namerna ali posledica malomarnosti, ukrepe, sprejete za preprečevanje ali omilitev nastale škode in/ali izgub, stopnjo odgovornosti ali vse zadevne predhodne kršitve, stopnjo sodelovanja s pristojnim organom in morebitne druge oteževalne ali olajševalne dejavnike. Za naložitev sankcij, vključno z upravnimi globami, bi morali veljati ustrezni postopkovni zaščitni ukrepi v skladu s splošnimi načeli prava Unije in Listine Evropske unije o temeljnih pravicah, vključno z učinkovitim sodnim varstvom in ustreznimi postopki. (72)Za zagotovitev učinkovitega izvrševanja obveznosti, določenih v tej direktivi, bi morali biti vsi pristojni organi pooblaščeni, da naložijo ali zahtevajo naložitev upravnih glob. (73)Kadar se upravne globe naložijo podjetjem, bi se podjetje v te namene moralo razumeti kot podjetje v skladu s členoma 101 in 102 PDEU. Kadar se upravne globe naložijo osebam, ki niso podjetje, bi moral nadzorni organ pri določanju ustreznega zneska globe upoštevati splošno raven dohodka v državi članici in ekonomski položaj osebe. Države članice bi morale določiti, ali bi se morale upravne globe uporabljati tudi za javne organe in v kakšnem obsegu. Naložitev upravne globe ne vpliva na uporabo drugih pooblastil pristojnih organov ali drugih sankcij, določenih v nacionalnih pravilih, s katerimi je prenesena ta direktiva. (74)Državam članicam bi moralo biti omogočeno, da določijo pravila o kazenskih sankcijah za kršitve nacionalnih pravil, s katerimi je prenesena ta direktiva. Naložitev kazenskih sankcij zaradi kršitev takih nacionalnih pravil in z njimi povezanih upravnih kazni pa ne bi smela voditi h kršitvi načela ne bis in idem, kakor ga razlaga Sodišče. (75)Kadar ta direktiva ne zagotavlja harmonizacije upravnih kazni ali po potrebi v drugih primerih, denimo v primerih hudih kršitev obveznosti, določenih v tej direktivi, bi morale države članice uporabiti sistem, ki zagotavlja učinkovite, sorazmerne in odvračilne sankcije. Narava takšnih sankcij, kazenskih ali upravnih, bi morala biti določena s pravom držav članic. (76)Za nadaljnjo krepitev učinkovitosti in odvračilnosti sankcij, ki se uporabljajo za kršitve obveznosti, določenih v skladu s to direktivo, bi morali biti pristojni organi pooblaščeni za uporabo sankcij, ki vključujejo začasni preklic certifikata ali dovoljenja za del storitev ali vse storitve, ki jih opravlja bistveni subjekt, in začasno prepoved opravljanja vodstvenih funkcij za fizično osebo. Glede na njihovo resnost in vpliv na dejavnosti subjektov ter končno na potrošnike bi se morale take sankcije uporabljati le sorazmerno z resnostjo kršitve in ob upoštevanju posebnih okoliščin posameznega primera, vključno s tem, ali je kršitev namerna ali posledica malomarnosti, ter ukrepi, sprejetimi za preprečevanje ali ublažitev škode in/ali izgub. Take sankcije bi se morale uporabljati le kot ultima ratio, kar pomeni šele potem, ko so bili uporabljeni vsi drugi ustrezni izvršilni ukrepi, določeni v tej direktivi, in le dokler subjekti, za katere se uporabijo, ne sprejmejo potrebnih ukrepov za odpravo pomanjkljivosti ali izpolnitev zahtev pristojnega organa, zaradi katerih so bile takšne sankcije naložene. Za uvedbo takšnih sankcij bi morali veljati ustrezni postopkovni zaščitni ukrepi v skladu s splošnimi načeli prava Unije in Listine Evropske unije o temeljnih pravicah, vključno z učinkovitim sodnim varstvom, ustreznimi postopki, domnevo nedolžnosti in pravico do obrambe. (77)S to direktivo bi bilo treba določiti pravila sodelovanja med pristojnimi in nadzornimi organi v skladu z Uredbo (EU) 2016/679 za obravnavanje kršitev, povezanih z osebnimi podatki. (78)Ta direktiva bi morala biti namenjena zagotavljanju visoke ravni odgovornosti za ukrepe za obvladovanje tveganj za kibernetsko varnost in obveznosti poročanja na ravni organizacij. Zato bi morali upravni organi subjektov, ki spadajo na področje uporabe te direktive, odobriti ukrepe za obvladovanje tveganj za kibernetsko varnost in nadzorovati njihovo izvajanje. (79)Uvesti bi bilo treba mehanizem medsebojnih strokovnih pregledov, ki bi strokovnjakom, ki jih imenujejo države članice, omogočal oceno izvajanja politik na področju kibernetske varnosti, vključno z ravnjo zmogljivosti in razpoložljivih virov držav članic. (80)Zaradi upoštevanja novih kibernetskih groženj, tehnološkega razvoja ali sektorskih posebnosti bi bilo treba na Komisijo v skladu s členom 290 PDEU prenesti pooblastilo za sprejemanje aktov v zvezi z elementi, ki se nanašajo na ukrepe za obvladovanje tveganj, ki jih zahteva ta direktiva. Na Komisijo bi bilo treba prenesti tudi pooblastilo za sprejetje delegiranih aktov, s katerimi se določi, katere kategorije bistvenih subjektov morajo pridobiti certifikat in na podlagi katerih določenih evropskih certifikacijskih shem za kibernetsko varnost. Zlasti je pomembno, da se Komisija pri svojem pripravljalnem delu ustrezno posvetuje, tudi na ravni strokovnjakov, in da se ta posvetovanja izvedejo v skladu z načeli iz Medinstitucionalnega sporazuma z dne 13. aprila 2016 o boljši pripravi zakonodaje. Da bi se zlasti zagotovilo enakopravno sodelovanje pri pripravi delegiranih aktov, Evropski parlament in Svet vse dokumente prejmeta sočasno s strokovnjaki iz držav članic, njuni strokovnjaki pa se lahko sistematično udeležujejo sestankov strokovnih skupin Komisije, ki zadevajo pripravo delegiranih aktov. (81)Da bi se zagotovili enotni pogoji za izvajanje ustreznih določb te direktive v zvezi s postopkovnimi ureditvami, potrebnimi za delovanje skupine za sodelovanje, tehničnimi elementi, povezanimi z ukrepi za obvladovanje tveganj, ali vrsto informacij, obliko in postopkom priglasitev incidentov, bi bilo treba na Komisijo prenesti izvedbena pooblastila. Ta pooblastila bi bilo treba izvajati v skladu z Uredbo (EU) št. 182/2011 Evropskega parlamenta in Sveta. (82)Komisija bi morala redno v posvetovanju z zainteresiranimi stranmi pregledovati to direktivo, zlasti da bi ugotovila, ali jo je treba prilagoditi spremenjenim družbenim, političnim, tehnološkim ali tržnim razmeram. (83)Ker cilja te direktive, in sicer doseganja visoke skupne ravni kibernetske varnosti v Uniji, države članice ne morejo zadovoljivo doseči, temveč se zaradi učinkov ukrepov lažje doseže na ravni Unije, lahko Unija sprejme ukrepe v skladu z načelom subsidiarnosti iz člena 5 Pogodbe o Evropski uniji. V skladu z načelom sorazmernosti iz navedenega člena ta direktiva ne presega tistega, kar je potrebno za doseganje navedenega cilja. (84)Ta direktiva upošteva temeljne pravice in načela Listine Evropske unije o temeljnih pravicah, zlasti pravico do spoštovanja zasebnega življenja in komunikacij, varstvo osebnih podatkov, svobodo gospodarske pobude, lastninsko pravico, pravico do učinkovitega pravnega sredstva in nepristranskega sodišča in pravico do izjave. To direktivo bi bilo treba izvajati v skladu s temi pravicami in načeli – SPREJELA NASLEDNJO DIREKTIVO:

POGLAVJE I Splošne določbe Člen 1 Predmet urejanja 1.Ta direktiva določa ukrepe za zagotovitev visoke skupne ravni kibernetske varnosti v Uniji. 2.V ta namen ta direktiva: (a)določa obveznosti za države članice, da sprejmejo nacionalne strategije za kibernetsko varnost, imenujejo pristojne nacionalne organe, enotne kontaktne točke in skupine za odzivanje na incidente na področju računalniške varnosti (CSIRT); (b)določa obveznosti glede obvladovanja tveganj za kibernetsko varnost in poročanja za subjekte, ki se v skladu s Prilogo I štejejo za bistvene subjekte, in subjekte, ki se v skladu s Prilogo II štejejo za pomembne subjekte; (c)določa obveznosti glede izmenjave informacij o kibernetski varnosti. Člen 2 Področje uporabe 1.Ta direktiva se uporablja za javne in zasebne subjekte, ki se v skladu s Prilogo I štejejo za bistvene subjekte, ter za javne in zasebne subjekte, ki se v skladu s Prilogo II štejejo za pomembne subjekte. Ta direktiva se ne uporablja za subjekte, ki se štejejo za mikro in mala podjetja v smislu Priporočila Komisije 2003/361/ES. 2.Vendar pa se ta direktiva uporablja tudi za subjekte iz prilog I in II ne glede na njihovo velikost, če: (a)storitve opravlja eden ali več naslednjih subjektov: (i)ponudniki javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev iz točke 8 Priloge I; (ii)ponudniki storitev zaupanja iz točke 8 Priloge I; (iii)registri vrhnjih domenskih imen in ponudniki storitev sistema domenskih imen (DNS) iz točke 8 Priloge I; (b)je subjekt javna uprava, kot je opredeljen v točki 23 člena 4; (c)je subjekt edini ponudnik storitve v državi članici;

(d)bi morebitna motnja pri opravljanju storitve subjekta lahko vplivala na javni red, javno varnost ali javno zdravje; (e)bi morebitna motnja pri opravljanju storitve subjekta lahko povzročila sistemska tveganja, zlasti za sektorje, v katerih bi lahko taka motnja imela čezmejni vpliv; (f)je subjekt kritičen zaradi njegovega posebnega pomena na regionalni ali nacionalni ravni za določen sektor ali vrsto storitve ali za druge neodvisne sektorje v državi članici; (g)je subjekt opredeljen kot kritični subjekt v skladu z Direktivo (EU) XXXX/XXXX Evropskega parlamenta in Sveta [direktiva o odpornosti kritičnih subjektov] ali kot subjekt, enakovreden kritičnemu subjektu v skladu s členom 7 navedene direktive. Države članice pripravijo seznam subjektov, opredeljenih v skladu s točkami (b) do (f), in ga predložijo Komisiji do [6 mesecev po roku za prenos]. Države članice redno oziroma vsaj vsaki dve leti pregledajo seznam ter ga po potrebi posodobijo. 3.Ta direktiva ne posega v pristojnosti držav članic v zvezi z ohranjanjem javne varnosti, obrambe in nacionalne varnosti v skladu s pravom Unije. 4.Ta direktiva se uporablja brez poseganja v Direktivo Sveta 2008/114/ES ter direktivi 2011/93/EU in 2013/40/EU Evropskega parlamenta in Sveta. 5.Brez poseganja v člen 346 PDEU se informacije, ki so zaupne v skladu s predpisi Unije in nacionalnimi predpisi, na primer o poslovni tajnosti, s Komisijo in drugimi ustreznimi organi izmenjajo le, če je takšna izmenjava potrebna za uporabo te direktive. Izmenjava informacij je omejena na obseg, ki je ustrezen in sorazmeren glede na namen takšne izmenjave. Pri izmenjavi informacij se ohranijo zaupnost zadevnih informacij ter zaščitijo varnost in poslovni interesi bistvenih ali pomembnih subjektov. 6.Kadar se z določbami sektorskih aktov prava Unije zahteva, da bistveni ali pomembni subjekti bodisi sprejmejo ukrepe za obvladovanje tveganj za kibernetsko varnost bodisi priglasijo incidente ali pomembne kibernetske grožnje, in kadar so takšne zahteve po učinku vsaj enakovredne obveznostim iz te direktive, se ustrezne določbe te direktive, vključno z določbo o nadzoru in izvrševanju iz poglavja VI, ne uporabljajo. Člen 3

Minimalna harmonizacija Države članice lahko brez poseganja v svoje druge obveznosti na podlagi prava Unije v skladu s to direktivo sprejmejo ali ohranijo določbe, ki zagotavljajo višjo raven kibernetske varnosti. Člen 4 Opredelitev pojmov V tej direktivi se uporabljajo naslednje opredelitve pojmov: (1)„omrežje in informacijski sistem“ pomeni: (a)elektronsko komunikacijsko omrežje v smislu člena 2(1) Direktive (EU) 2018/1972; (b)vsako napravo ali skupino med seboj povezanih ali sorodnih