L 333/98
PL
Dziennik Urzędowy Unii Europejskiej
27.12.2022
(94)
Państwa członkowskie mogą powierzyć rolę właściwych organów do spraw usług zaufania organom nadzorczym na podstawie rozporządzenia (UE) nr 910/2014, aby zapewnić ciągłość obecnych praktyk oraz wykorzystać wiedzę i doświadczenie zdobyte podczas stosowania tego rozporządzenia.
W takim przypadku, właściwe organy działające na podstawie niniejszej dyrektywy powinny ściśle i terminowo współpracować z tymi organami nadzorczymi przez wymianę odpowiednich informacji, aby zapewnić skuteczny nadzór nad dostawcami usług zaufania i przestrzeganie przez nich wymogów określonych w niniejszej dyrektywie i w rozporządzeniu (UE) nr 910/2014.
W stosownych przypadkach CSIRT lub właściwy organ na podstawie niniejszej dyrektywy powinien niezwłocznie poinformować organ nadzorczy na podstawie rozporządzenia (UE) nr 910/2014 o każdym zgłoszonym poważnym cyberzagroże­ niu lub incydencie mającym wpływ na usługi zaufania, a także o każdym przypadku naruszenia niniejszej dyrektywy przez dostawcę usług zaufania.
W celu zgłoszeń państwa członkowskie mogą korzystać, w stosownych przypad­ kach, z pojedynczego punktu zgłaszania utworzonego w celu zapewnienia wspólnego i automatycznego zgłaszania incydentów zarówno organowi nadzorczemu na podstawie rozporządzenia (UE) nr 910/2014, jak i CSIRT lub właś­ ciwemu organowi na podstawie niniejszej dyrektywy.
(95)
W stosownych przypadkach i aby uniknąć niepotrzebnych zakłóceń, przy transpozycji niniejszej dyrektywy należy uwzględniać istniejące wytyczne krajowe przyjęte w celu transpozycji przepisów art. 40 i 41 dyrektywy (UE) 2018/1972 dotyczących środków bezpieczeństwa, bazując na wiedzy i umiejętnościach już zdobytych w związku z dyrektywą (UE) 2018/1972 w odniesieniu do środków bezpieczeństwa i zgłaszania incydentów.
ENISA może również opracować wskazówki dotyczące wymogów dotyczących bezpieczeństwa i obowiązku zgła­ szania incydentów dla dostawców publicznych sieci łączności elektronicznej lub publicznie dostępnych usług łącz­ ności elektronicznej, aby ułatwić harmonizację i proces przejścia oraz zminimalizować zakłócenia.
Państwa człon­ kowskie na mocy dyrektywy (UW) 2018/1972 mogą powierzyć rolę właściwych organów do spraw łączności elektronicznej krajowym organom regulacyjnym, aby zapewnić ciągłość obecnych praktyk oraz wykorzystać wiedzę i doświadczenie zdobyte w wyniku wdrożenia tej dyrektywy.
(96)
Zważywszy na rosnące znaczenie usług łączności interpersonalnej niewykorzystujących numerów zdefiniowanych w dyrektywie (UE) 2018/1972, należy zapewnić, aby usługi te podlegały również odpowiednim wymogom w zakre­ sie bezpieczeństwa z uwagi na ich szczególny charakter i istotną rolę w gospodarce.
Ponieważ obszar podatny na ataki stale się rozszerza, usługi łączności interpersonalnej niewykorzystujące numerów, takie jak komunikatory, stają się powszechnymi wektorami ataku.
Cyberprzestępcy wykorzystują platformy do komunikacji i nakłaniania ofiar do otwierania niezabezpieczonych stron internetowych, co zwiększa prawdopodobieństwo incydentów zwią­ zanych z wykorzystaniem danych osobowych, a tym samym naruszających bezpieczeństwo sieci i systemów infor­ matycznych.
Dostawcy usług łączności interpersonalnej niewykorzystujących numerów powinni zatem również zapewniać poziom bezpieczeństwa sieci i systemów informatycznych odpowiedni do stwarzanego ryzyka.
Zważyw­ szy, że dostawcy usług łączności interpersonalnej niewykorzystujących numerów zazwyczaj nie sprawują rzeczywis­ tej kontroli nad transmisją sygnałów w sieciach, stopień ryzyka zachodzącego w przypadku takich usług można uznać za niższy pod pewnymi względami niż w przypadku tradycyjnych usług łączności elektronicznej.
To samo ma zastosowanie do dostawców usług łączności interpersonalnej zgodnie z definicją w dyrektywie (UE) 2018/1972 wykorzystujących numery, którzy nie sprawują rzeczywistej kontroli nad transmisją sygnałów.
(97)
Rynek wewnętrzny jest bardziej niż kiedykolwiek uzależniony od funkcjonowania internetu.
Usługi niemal wszyst­ kich podmiotów kluczowych i ważnych zależą od usług świadczonych przez internet.
Aby zapewnić sprawne świad­ czenie usług przez podmioty kluczowe i ważne, wszyscy dostawcy publicznych sieci łączności elektronicznej powinni dysponować odpowiednimi środkami zarządzania ryzykiem w cyberbezpieczeństwie i zgłaszać poważne incydenty w tym zakresie.
Państwa członkowskie powinny zapewnić utrzymanie bezpieczeństwa publicznych sieci łączności elektronicznej oraz ochronę ich żywotnych interesów bezpieczeństwa przed sabotażem i szpiegostwem.
Ponieważ łączność międzynarodowa wzmacnia i przyspiesza konkurencyjną cyfryzację Unii i jej gospodarki, incy­ denty mające wpływ na podmorskie kable komunikacyjne powinny być zgłaszane CSIRT lub, w stosownych przy­ padkach, właściwemu organowi.
Krajowe strategie cyberbezpieczeństwa powinny, w stosownych przypadkach, uwz­ ględniać cyberbezpieczeństwo podmorskich kabli komunikacyjnych i obejmować mapowanie potencjalnych zagrożeń cyberbezpieczeństwa oraz środki łagodzące w celu zapewnienia najwyższego poziomu ich ochrony.