CELEX: 52013PC0048
Language: lt
Date: 2013-02-07
Title: Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS DIREKTYVA dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti

|
			
		
		
		52013PC0048
		
			Pasiūlymas EUROPOS PARLAMENTO IR TARYBOS DIREKTYVA dėl priemonių aukštam bendram tinklų ir informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti /* COM/2013/048 final - 2013/0027 (COD) */
			
				
		
		
			
			   	AIŠKINAMASIS MEMORANDUMAS
Siūlomos
direktyvos tikslas – užtikrinti aukštą bendrą tinklų ir informacijos saugumo
(TIS) lygį. Tai reiškia, kad turi būti didinamas interneto ir privačių
tinklų bei informacinių sistemų, palaikančių mūsų visuomenės ir ekonomikos
funkcionavimą, saugumas. To bus pasiekta reikalaujant, kad valstybės narės
didintų savo parengtį ir gerintų tarpusavio bendradarbiavimą, o tokios
ypatingos svarbos infrastruktūros kaip energetikos ir transporto operatoriai ir
svarbiausių informacinės visuomenės paslaugų (e. prekybos platformų, socialinių
tinklų ir pan.) teikėjai, taip pat viešojo administravimo institucijos imtųsi
tinkamų veiksmų saugumo rizikai valdyti, o apie rimtus incidentus informuotų
nacionalines kompetentingas institucijas.
Šis pasiūlymas teikiamas kartu su bendru
Komisijos ir Sąjungos vyriausiosios įgaliotinės užsienio reikalams ir saugumo
politikai komunikatu dėl Europos kibernetinio saugumo strategijos. Strategijos
tikslas – užtikrinti saugią ir patikimą skaitmeninę aplinką, kartu remiant ir
apsaugant pagrindines teises ir kitas pagrindines ES vertybes. Šis pasiūlymas
yra pagrindinė strategijos dalis. Tolesni strategijoje numatyti šios srities
veiksmai daugiausia bus skirti informuotumui didinti, kibernetinio saugumo
produktams ir paslaugoms kurti ir investicijoms į mokslinius tyrimus ir
technologinę plėtrą skatinti. Šiuos veiksmus papildys kiti veiksmai, skirti
kovai su elektroniniais nusikaltimais skatinti ir ES tarptautinio kibernetinio
saugumo politikai formuoti.
1.1.        Pasiūlymo pagrindas ir
tikslai
TIS svarba mūsų ekonomikai ir visuomenei vis
labiau didėja. TIS taip pat yra svarbi patikimos aplinkos pasaulinei prekybai
paslaugomis sukūrimo prielaida. Tačiau informacinėms sistemoms gali pakenkti
tokie saugumo incidentai kaip žmogiškos klaidos, gamtos reiškiniai, techniniai
gedimai ar piktavališki išpuoliai. Šie incidentai tampa vis didesni, dažnesni
ir sudėtingesni. Per Komisijos viešas konsultacijas internete tema
„Tinklų ir informacijos saugumo gerinimas ES“[1]
nustatyta, kad praėjusiais metais 57 % respondentų susidūrė su TIS
incidentais, kurie turėjo rimtų padarinių jų veiklai.
TIS trūkumas gali kelti pavojų gyvybiškai svarbioms paslaugoms, kurios
yra priklausomos nuo tinklų ir informacinių sistemų vientisumo. Tai gali
sustabdyti įmonių veiklą, sukelti didelių finansinių nuostolių ES ekonomikai ir
turėti neigiamo poveikio visuomenės gerovei. 
Be to, kaip sienų neturinti ryšių priemonė,
skaitmeninės informacinės sistemos, visų pirma internetas, yra tarpusavyje
susijusios visose valstybėse narėse ir atlieka labai svarbų vaidmenį skatinant
prekių, paslaugų ir asmenų judėjimą tarp valstybių. Didelis šių sistemų
sutrikimas vienoje valstybėje narėje gali turėti poveikio kitoms valstybėms
narėms ir visai ES. Todėl tinklų ir informacinių sistemų atsparumas ir
stabilumas yra labai svarbūs bendrosios skaitmeninės rinkos įgyvendinimui ir
sklandžiam vidaus rinkos veikimui. Incidentų tikimybė bei dažnumas ir
nesugebėjimas užtikrinti veiksmingos apsaugos taip pat kenkia visuomenės
pasitikėjimui tinklų ir informacinėmis paslaugomis; pavyzdžiui, per
2012 m. Eurobarometro apklausą apie kibernetinį saugumą nustatyta, kad
38 % ES interneto vartotojų nerimauja dėl mokėjimo internetu saugumo ir
todėl pakeitė savo elgesį – 18 % yra mažiau linkę pirkti internetu ir
15 % yra mažiau linkę naudotis internetinės bankininkystės paslaugomis[2].
Dabartinė situacija ES, kurioje iki šiol
laikomasi grynai savanoriško požiūrio, yra tokia, kad ES mastu neužtikrinama
pakankama apsauga nuo TIS incidentų ir rizikos. Egzistuojančių TIS pajėgumų ir
priemonių paprasčiausiai nepakanka, kad būtų tinkamai atsižvelgiama į sparčiai
kintančias grėsmes ir būtų užtikrintas aukštas bendras apsaugos lygis visose
valstybėse narėse.
Nepaisant iniciatyvų, kurių buvo imtasi,
valstybių narių pajėgumų ir parengties lygis yra labai skirtingas, todėl visoje
ES susiformavo skirtingi požiūriai. Atsižvelgiant į tai, kad tinklai ir
sistemos yra tarpusavyje susiję, tos valstybės narės, kuriose apsaugos lygis
yra nepakankamas, mažina bendrą visos ES tinklų ir informacijos saugumą. Tokia
situacija taip pat trukdo kurti tarpusavio pasitikėjimą, kuris yra būtina
bendradarbiavimo ir dalijimosi informacija sąlyga. Dėl to bendradarbiavimas
vyksta tik tarp mažumos valstybių narių, kurių pajėgumai yra dideli.
Todėl šiuo metu nėra veiksmingo
bendradarbiavimo ir dalijimosi patikima informacija apie TIS incidentus ir
riziką tarp valstybių narių mechanizmo. Tai gali lemti nekoordinuotas
reguliavimo intervencijas, nenuoseklias strategijas ir skirtingus standartus,
dėl kurių apsauga nuo TIS incidentų visoje ES tampa nepakankama. Taip pat gali
atsirasti vidaus rinkos kliūčių, dėl kurių įmonės, vykdančios veiklą daugiau
nei vienoje valstybėje narėje, patirs reikalavimų laikymosi išlaidų. 
Galiausiai,
rinkos dalyviai, valdantys ypatingos svarbos infrastruktūrą ar teikiantys
visuomenės funkcionavimui būtinas paslaugas, nėra deramai įpareigoti taikyti
rizikos valdymo priemonių ir keistis informacija su atitinkamomis
institucijomis. Viena vertus, dėl šios priežasties verslo įmonėms trūksta
veiksmingų paskatų vykdyti rimtą rizikos valdymą, apimantį rizikos įvertinimą
ir atitinkamus veiksmus TIS užtikrinti. Kita vertus, informacija apie didelę
dalį incidentų nepasiekia kompetentingų institucijų ir jie lieka nepastebėti.
Tačiau informacija apie incidentus yra labai svarbi, kad valdžios institucijos
reaguotų, imtųsi tinkamų švelninančių priemonių ir nustatytų tinkamus
strateginius TIS prioritetus.
Pagal dabartinę
reguliavimo sistemą tik telekomunikacijos įmonės privalo imtis rizikos valdymo
priemonių ir pranešti apie rimtus TIS incidentus. Tačiau ir daugeliui kitų
sektorių IRT yra svarbi priemonė veiklai vykdyti, todėl ir jos turėtų taip pat
susirūpinti TIS. Kai kurie specifinės infrastruktūros ar paslaugų teikėjai yra
itin pažeidžiami, nes jie yra labai priklausomi nuo tinkamo tinklų ir
informacinių sistemų veikimo. Šiems sektoriams tenka svarbus vaidmuo teikiant
pagrindines paramos paslaugas mūsų ekonomikai ir visuomenei, o jų sistemų
saugumas yra labai svarbus vidaus rinkos veikimui. Tarp šių sektorių –
bankininkystė, vertybinių popierių biržos, energijos gamyba, perdavimas ir
paskirstymas, transportas (oro, geležinkelių, jūrų), sveikatos priežiūra,
interneto paslaugos ir viešojo administravimo institucijos.
Todėl Europos
Sąjungoje požiūrį į TIS reikia keisti iš esmės. Siekiant sukurti vienodas
veiklos sąlygas ir pašalinti esamas įstatymų spragas, reikalingi reguliavimo
įpareigojimai. Siekiant spręsti šias problemas ir didinti TIS lygį Europos
Sąjungoje, siūloma direktyva keliami toliau išdėstyti tikslai.
Pirma, pasiūlymu reikalaujama, kad visos
valstybės narės užtikrintų minimalų nacionalinių pajėgumų lygį ir įsteigtų
kompetentingas TIS institucijas, sukurtų kompiuterinių incidentų tyrimo
tarnybas (CERT) ir priimtų nacionalines TIS strategijas bei nacionalinius TIS
bendradarbiavimo planus.
Antra, nacionalinės kompetentingos
institucijos turėtų bendradarbiauti tinkle užtikrindamos saugų ir veiksmingą
koordinavimą, įskaitant koordinuotą keitimąsi informacija, taip pat problemų
nustatymą ir atsakomuosius veiksmus ES lygmeniu. Per šį tinklą valstybės narės
turėtų keistis informacija ir bendradarbiauti, kad galėtų kovoti su TIS
grėsmėmis ir incidentais remdamosi Europos TIS bendradarbiavimo planu.
Trečia, Pagrindų direktyvos dėl elektroninių
ryšių modeliu grindžiamu pasiūlymu siekiama užtikrinti, kad būtų formuojama
rizikos valdymo kultūra ir kad privatusis ir viešasis sektoriai dalintųsi
informacija tarpusavyje. Pirmiau minėtų specifinių ypatingos svarbos sektorių
įmonės ir viešojo administravimo institucijos turės įvertinti joms kylančią
riziką ir priimti atitinkamas ir proporcingas priemones tinklų ir informacijos
saugumui užtikrinti. Šie subjektai privalės pranešti kompetentingoms valdžios
institucijoms apie visus incidentus, kurie kelia didelę grėsmę jų tinklų ir
informacinėms sistemoms ir turi didelės neigiamos įtakos jų ypatingos svarbos
paslaugų ir prekių tiekimo tęstinumui.
1.2.        Bendrosios aplinkybės
Dar 2001 m. komunikate „Tinklų ir
informacijos apsauga. Pasiūlymas dėl Europos politikos požiūrio“ Komisija
nurodė didėjančią TIS svarbą[3].
2006 m. buvo priimta ES saugios informacinės visuomenės strategija[4], skirta TIS kultūros kūrimui Europoje. Pagrindiniai jos elementai buvo
patvirtinti Tarybos rezoliucija[5].
2009 m. kovo
30 d., Komisija priėmė komunikatą dėl ypatingos svarbos informacinės
infrastruktūros apsaugos (CIIP)[6], kuriame daugiausiai dėmesio skiriama Europos apsaugai nuo
kibernetinių trukdžių didinant saugumą. Komunikate paskelbtas veiksmų planas,
kuriuo remiamos valstybių narių pastangos užtikrinti prevencinius ir
atsakomuosius veiksmus. Veiksmų planas buvo patvirtintas 2009 m. Taline
vykusios ministrų konferencijos ypatingos svarbos informacinės infrastruktūros
apsaugos klausimais pirmininkaujančios valstybės narės išvadose. 2009 m.
gruodžio 18 d. Taryba priėmė rezoliuciją dėl bendradarbiavimu paremto
Europos požiūrio į tinklų ir informacijos saugumą[7].
2010 m.
gegužės mėn. priimtoje Europos skaitmeninėje darbotvarkėje[8] ir susijusiose Tarybos išvadose[9] pabrėžiama bendra nuomonė, kad
pasitikėjimas ir saugumas yra pagrindinės plataus IRT diegimo, taigi ir su
pažangaus augimo aspektu susijusių strategijos „Europa 2020“[10] tikslų įgyvendinimo sąlygos.
Europos skaitmeninės darbotvarkės skyriuje „Pasitikėjimas ir saugumas“
pabrėžiama, jog visos suinteresuotosios šalys turi dėti bendras pastangas, kad
būtų užtikrintas IRT infrastruktūros saugumas ir atsparumas, daugiausia dėmesio
skiriant prevencijai, parengčiai ir informuotumui, ir kad būtų sukurti
veiksmingi ir suderinti saugumo mechanizmai. Be kita ko, Europos skaitmeninės
darbotvarkės 6 pagrindinėje priemonėje reikalaujama imtis priemonių, kurių
tikslas – formuoti griežtesnę aukšto lygio tinklų ir informacijos saugumo
politiką.
2011 m. kovo
mėn. Komunikate dėl ypatingos svarbos informacinės infrastruktūros apsaugos
„Visuotinio kibernetinio saugumo užtikrinimas. Laimėjimai ir tolesni veiksmai“[11] Komisija apibendrino rezultatus, pasiektus nuo CIIP veiksmų plano
priėmimo 2009 m., ir padarė išvadą, kad plano įgyvendinimas parodė, jog
vien nacionalinio požiūrio į saugumo ir atsparumo uždavinių sprendimą
nepakanka, ir kad Europa ir toliau turėtų stengtis, kad visoje ES būtų
suformuotas nuoseklus ir bendradarbiavimu grindžiamas požiūris. Komisijai
paraginus valstybes nares stiprinti TIS pajėgumus ir tarpvalstybinį
bendradarbiavimą, 2011 m. CIIP komunikate paskelbta keletas veiksmų.
Dauguma šių veiksmų turėjo būti įgyvendinti iki 2012 m., tačiau kol kas to
nepadaryta.
2011 m.
gegužės 27 d. išvadose dėl CIIP Europos Sąjungos Taryba pabrėžė neatidėliotiną
poreikį užtikrinti, kad IRT sistemos ir tinklai būtų atsparūs ir apsaugoti nuo
visų galimų sutrukdymų, tiek atsitiktinių, tiek tyčinių, visoje ES užtikrinti
aukšto lygio parengtį, saugumą ir atsparumą, atnaujinti technines
kompetencijas, kad Europa galėtų imtis tinklų ir informacinės infrastruktūros
apsaugos uždavinių, ir skatinti valstybių narių tarpusavio bendradarbiavimą
kuriant valstybių narių bendradarbiavimo mechanizmus incidentų atveju.
1.3.        Taikomos šios srities Europos
Sąjungos ir tarptautinės nuostatos
Reglamentu (EB) Nr. 460/2004 Europos
Bendrija 2004 m. įsteigė Europos tinklų ir informacijos apsaugos agentūrą
(ENISA)[12], kurios tikslas – padėti užtikrinti aukštą TIS lygį ir kurti TIS
kultūrą ES. Pasiūlymas atnaujinti ENISA mandatą buvo priimtas 2010 m.
rugsėjo 30 d.[13]
ir šiuo metu yra svarstomas Taryboje ir Europos Parlamente. Peržiūrėtoje
elektroninių ryšių tinklų ir paslaugų bendrosios reguliavimo sistemoje[14], galiojančioje nuo 2009 m. lapkričio mėn., nustatyti saugumo
įpareigojimai elektroninių ryšių paslaugų teikėjams[15]. Šie įpareigojimai turėjo būti
perkelti į nacionalinę teisę iki 2011 m. gegužės mėn.
Visi rinkos dalyviai, kurie valdo duomenis
(pavyzdžiui, bankai arba ligoninės), duomenų apsaugos reglamentavimo sistemos[16] yra įpareigoti įsidiegti
saugumo priemones asmens duomenims apsaugoti. Taip pat pagal 2012 m.
Komisijos bendrojo duomenų apsaugos reglamento pasiūlymą[17], duomenų valdytojai turėtų
pranešti nacionalinėms priežiūros institucijoms apie asmens duomenų saugumo
pažeidimus. Tai reiškia, kad, pavyzdžiui, apie TIS pažeidimą, kuris turi
neigiamos įtakos paslaugos teikimui, bet nesukelia grėsmės asmens duomenims
(pvz., IRT veiklos nutraukimas energetikos įmonėje dėl kurio nutrūksta elektros
tiekimas), pranešti nereikia.
Pagal Direktyvą 2008/114 dėl Europos ypatingos
svarbos infrastruktūros objektų nustatymo ir priskyrimo jiems bei būtinybės
gerinti jų apsaugą vertinimo, „Europos programoje dėl ypatingos svarbos
infrastruktūros objektų apsaugos (EPCIP)“[18] nustatytas
bendras visapusiškas požiūris į ypatingos svarbos
infrastruktūros apsaugą Europos Sąjungoje. EPCIP tikslai visiškai atitinka šį
pasiūlymą ir direktyva turėtų būti taikoma nepažeidžiant Direktyvos 2008/114.
EPCIP neįpareigoja operatorių pranešti apie svarbius saugumo pažeidimus ir
nenumato valstybių narių bendradarbiavimo ir reagavimo į incidentus mechanizmų.
Teisėkūros institucijos šiuo metu svarsto
Komisijos direktyvos dėl atakų prieš informacines sistemas[19] pasiūlymą, kuriuo siekiama
suderinti tam tikro tipo elgesio kriminalizavimą. Jis taikomas tik tam tikro
tipo elgesio kriminalizavimui; juo nesprendžiami TIS rizikos ir incidentų
prevencijos, atsakomųjų veiksmų į TIS incidentus ir jų poveikio mažinimo
klausimai. Ši direktyva turėtų būti taikoma nepažeidžiant Direktyvos dėl atakų
prieš informacines sistemas.
2012 m. kovo 28 d. Komisija priėmė
komunikatą dėl Europos kovos su elektroniniu nusikalstamumu centro kūrimo (EC3)[20]. Šis centras, įkurtas
2013 m. sausio 11 d., yra Europos policijos biuro (Europolo) dalis ir
pagrindinis kovos su elektroniniais nusikaltimais centras Europos Sąjungoje.
EC3 paskirtis yra sutelkti Europos patirtį elektroninių nusikaltimų srityje,
siekiant paremti valstybių narių gebėjimų stiprinimą, teikti paramą valstybėms
narėms tiriant elektroninius nusikaltimus ir bendradarbiaujant su Eurojustu
tapti subjektu, išreiškiančiu Europos elektroninių nusikaltimų tyrėjų,
dirbančių teisėsaugos ir teisminėse institucijose, požiūrį.
Europos institucijos, agentūros ir įstaigos
sudarė savo kompiuterinių incidentų tyrimo tarnybą, vadinamą ES CERT.
Tarptautiniu mastu ES užsiima kibernetinio
saugumo klausimais tiek dvišaliu, tiek daugiašaliu lygmeniu. 2010 m. EU ir
JAV aukščiausio lygio susitikime[21]
buvo įsteigta ES ir JAV kibernetinio saugumo ir kovos su elektroniniais
nusikaltimais darbo grupė. ES taip pat aktyviai dalyvauja kituose
daugiašaliuose forumuose, kaip antai Ekonominio bendradarbiavimo ir plėtros
organizacijoje (EBPO), Jungtinių Tautų Generalinėje Asamblėjoje (JTGA),
Tarptautinėje telekomunikacijų sąjungoje (ITU), Europos saugumo ir
bendradarbiavimo organizacijoje (ESBO), pasaulio aukščiausiojo lygio susitikime
informacinės visuomenės klausimais (WSIS) ir interneto valdymo forume (IVF).
2.           KONSULTACIJŲ SU SUINTERESUOTOSIOMIS
ŠALIMIS IR POVEIKIO VERTINIMO REZULTATAI
2.1.        Konsultacijos su
suinteresuotosiomis šalimis ir tiriamųjų duomenų naudojimas
Viešos konsultacijos dėl TIS didinimo ES vyko
internetu nuo 2012 m. liepos 23 d. iki spalio 15 d. Komisija iš
viso gavo 160 atsakymų į interneto klausimyną.
Pagrindinis
rezultatas buvo tas, kad suinteresuotosios šalys parodė iš esmės remiančios
bendrą poreikį didinti TIS visoje ES. Be kita ko,:
82,8 % respondentų išreiškė nuomonę, kad ES vyriausybės turėtų daryti
daugiau, kad užtikrintų aukštą TIS lygį; 82,8 % laikėsi nuomonės, kad
informacijos ir sistemų vartotojai nežino apie TIS grėsmes ir incidentus;
66,3 % iš principo pritartų tam, kad būtų įvestas norminis reikalavimas
valdyti TIS riziką, o 84,8 % sakė, kad tokie reikalavimai turėtų būti
nustatyti ES lygmeniu. Daugelis respondentų mano, kad visų pirma svarbu priimti
TIS reikalavimus šiuose sektoriuose: bankininkystės ir finansų (91,1 %),
energetikos (89,4 %), transporto (81,7 %), sveikatos priežiūros (89,4 %),
interneto paslaugų (89,1 %) ir viešojo administravimo (87,5 %). Respondentai
taip pat mano, kad jeigu būtų įvestas reikalavimas pranešti nacionalinei
kompetentingai institucijai apie TIS pažeidimus, jis turėtų būti nustatytas ES
lygmeniu (65,1 %), ir patvirtino, kad jis taip pat turėtų būti taikomas
viešojo administravimo institucijoms (93,5 %). Galiausiai, respondentai
patvirtino, kad reikalavimas įgyvendinti TIS rizikos valdymą, atitinkantį
šiuolaikinį technikos išsivystymo lygį, jiems nesudarytų labai didelių
papildomų išlaidų (63,4 %) kaip ir reikalavimas pranešti apie saugumo
pažeidimus (72,3 %).
Su valstybėmis
narėmis buvo konsultuojamasi įvairios sudėties Taryboje, valstybių narių
Europos forume (EFMS), 2012 m. liepos 6 d. Komisijos ir Europos išorės veiksmų tarnybos surengtoje konferencijoje
kibernetinio saugumo klausimais ir specialiuose dvišaliuose susitikimuose,
surengtuose atskirų valstybių narių prašymu.
Aptarimai su privačiuoju sektoriumi taip pat
buvo surengti įgyvendinant Europos viešojo ir privačiojo sektorių partnerystę
atsparumui užtikrinti[22]
ir dvišaliuose susitikimuose. Kalbant apie viešąjį sektorių, Komisija ES
institucijoms surengė aptarimus su ENISA ir CERT.
2.2.        Poveikio vertinimas
Komisija atliko trijų politikos variantų
poveikio vertinimą:
1 variantas. Įprasta veikla (bazinis
scenarijus): toliau laikomasi dabartinio požiūrio;
2 variantas. Reguliavimo variantas, kurį
sudaro teisės akto, kuriuo įkuriama bendra ES teisinė sistema, skirta TIS
atsižvelgiant į valstybių narių gebėjimus, bendradarbiavimo ES lygmeniu
mechanizmai ir pagrindiniams privačiojo sektoriaus rinkos dalyviams ir viešojo
administravimo institucijoms taikomi reikalavimai, pasiūlymas;
3 variantas.
Mišrusis variantas, pagal kurį savanoriškos iniciatyvos, susijusios su
valstybių narių TIS gebėjimais ir bendradarbiavimo ES lygmeniu mechanizmais,
derinamos su pagrindiniams privačiojo sektoriaus rinkos dalyviams ir viešojo
administravimo institucijoms taikomais teisės aktų reikalavimais.
Komisija nusprendė, kad 2 variantas turėtų
didžiausią teigiamą poveikį, nes būtų gerokai sustiprinta ES vartotojų, įmonių
ir vyriausybių apsauga nuo TIS incidentų. Visų pirma, valstybėms narėms
nustatyti įpareigojimai užtikrintų deramą parengtį nacionaliniu lygmeniu ir
sustiprintų abipusį pasitikėjimą, kuris yra būtina veiksmingo bendradarbiavimo
ES lygmeniu sąlyga. Sukūrus bendradarbiavimo ES lygmeniu mechanizmus
pasinaudojant tinklu būtų užtikrinta nuosekli ir koordinuota apsauga ir
atsakomieji veiksmai į tarpvalstybinius TIS incidentus ir riziką. Nustačius
viešojo administravimo institucijoms ir pagrindiniams privačiojo sektoriaus
rinkos dalyviams taikytinus reikalavimus įgyvendinti TIS rizikos valdymą, būtų
sukurtos stiprios paskatos veiksmingai valdyti saugumo riziką. Įpareigojimas pranešti apie didelį poveikį
turinčius TIS incidentus sustiprintų gebėjimą reaguoti į incidentus ir
puoselėtų skaidrumą. Be to, įvedusi tvarką
savo viduje, ES galėtų išplėsti veiklą tarptautiniu mastu ir tapti dar
patikimesne bendradarbiavimo dvišaliu ir daugiašaliu lygmenimis partnere. Taip
ES turėtų dar daugiau galimybių skatinti pagrindines teises ir pagrindines ES
vertybes užsienyje.
Kiekybinis įvertinimas parodė, kad pasirinkus
2 variantą valstybėms narėms netektų prisiimti neproporcingai didelės naštos.
Privačiojo sektoriaus išlaidos taip pat būtų ribotos, nes daugelis ūkio subjektų
jau dabar privalo laikytis galiojančių saugumo reikalavimų (visų pirma
įpareigojimo duomenų valdytojams imtis techninių ir organizacinių priemonių
siekiant apsaugoti asmens duomenis, įskaitant TIS priemones). Taip pat buvo
atsižvelgta į dabartines privačiojo sektoriaus išlaidas saugumui.
Šis pasiūlymas parengtas laikantis Europos
Sąjungos pagrindinių teisių chartijoje pripažintų principų, visų pirma, teisės
į tai, kad būtų gerbiamas privatus gyvenimas ir bendravimas, asmens duomenų
apsaugos, laisvės užsiimti verslu, teisės į nuosavybę, teisės į veiksmingą
teisės gynimo priemonę, kuria galima būtų naudotis teisme, ir teisės būti
išklausytam. Ši direktyva turi būti įgyvendinta atsižvelgiant į tokias teises
ir principus.
3.           TEISINIAI PASIŪLYMO ASPEKTAI
3.1.        Teisinis pagrindas
Europos Sąjunga turi teisę priimti priemones,
kurių tikslas – sukurti vidaus rinką arba užtikrinti jos veikimą laikantis
atitinkamų sutarčių nuostatų (Sutarties dėl Europos Sąjungos veikimo (SESV) 26
straipsnis). Pagal SESV 114 straipsnį ES gali
priimti „priemones valstybių narių įstatymų ir kitų teisės aktų nuostatoms,
skirtoms vidaus rinkos sukūrimui ar veikimui, suderinti“.
Kaip minėta pirmiau, tinklų ir informacinės
sistemos atlieka esminį vaidmenį skatinant tarpvalstybinį prekių, paslaugų ir
asmenų judėjimą. Jie dažnai būna susiję tarpusavyje, o internetas iš esmės yra
visuotinis. Turint omenyje šioms sistemoms būdingą tarptautinį pobūdį,
sutrikimas vienoje valstybėje narėje gali turėti poveikio kitoms valstybėms
narėms ir visai ES. Todėl tinklų ir informacinių sistemų atsparumas ir
stabilumas yra būtinas sklandžiam vidaus rinkos veikimui užtikrinti.
ES teisės aktų leidėjas jau pripažino poreikį
suderinti TIS taisykles, kad būtų užtikrinta vidaus rinkos plėtra. Visų pirma,
toks buvo SESV 114 straipsniu grindžiamo Reglamento 460/2004, įsteigiančio
Europos tinklų ir informacijos apsaugos agentūrą[23], tikslas.
Dėl skirtumų, kurių susidarė dėl nevienodų
valstybių narių nacionalinių gebėjimų, politikos ir apsaugos lygio TIS srityje,
atsirado kliūčių vidaus rinkai ir pagrindas ES imtis veiksmų.
3.2.        Subsidiarumas
Europos įsikišimas
TIS srityje yra grindžiamas subsidiarumo principu.
Pirma, turint
omenyje tarpvalstybinį TIS pobūdį, ES nesikišimo atveju susidarytų situacija,
kai kiekviena valstybė narė veiktų pavieniui, neatsižvelgdama į ES tinklų ir
informacinių sistemų tarpusavio priklausomybę. Tinkamas valstybių narių
bendradarbiavimo lygis leistų užtikrinti, kad TIS rizika būtų gerai valdoma
tarpvalstybiniu lygmeniu, kuriuo ji kyla. TIS taisyklių skirtumai trukdo
įmonėms, norinčioms vykdyti veiklą keliose šalyse ir neleidžia pasiekti
visuotinės masto ekonomijos.
Antra, norint sudaryti vienodas veiklos
sąlygas ir pašalinti teisės aktų spragas, reikalingi ES lygmens reguliavimo
įpareigojimai. Dėl išskirtinai savanoriško požiūrio bendradarbiavimas vyksta
tik tarp mažumos valstybių narių, kurių pajėgumai yra dideli. Siekiant įtraukti
visas valstybes nares, būtina užtikrinti, kad jos visos turėtų reikalaujamą
minimalų pajėgumų lygį. Vyriausybių priimtos TIS priemonės turi derėti
tarpusavyje ir būti koordinuojamos siekiant suvaldyti ir kiek įmanoma sumažinti
TIS incidentų pasekmes. Pasikeisdamos gerąja patirtimi ir nuolat įtraukdamos
ENISA, kompetentingos institucijos ir Komisija tinkle bendradarbiaus, kad
palengvintų vienodą direktyvos įgyvendinimą visoje ES.Be to, suderinta tinklų
ir informacijos saugumo politika gali turėti didelį teigiamą poveikį tam, kad
būtų veiksmingai saugomos pagrindinės teisės, ypač teisė į asmens duomenų ir
privatumo apsaugą. Todėl veikiant ES lygmeniu būtų padidintas esamos
nacionalinės politikos veiksmingumas ir paskatintas jos vystymas.
Siūlomos priemonės taip pat yra pagrįstos
proporcingumo požiūriu. Valstybėms narėms nustatyti minimalūs reikalavimai, kad
būtų užtikrinta atitinkama parengtis ir sudarytos sąlygos pasitikėjimu
grindžiamam bendradarbiavimui. Taip valstybėms narėms suteikiama galimybė
deramai atsižvelgti į nacionalinius ypatumus ir užtikrinama, kad bendri ES
principai būtų taikomi proporcingai. Tokia plati taikymo sritis suteiks
galimybę valstybėms narėms įgyvendinti direktyvą atsižvelgiant į faktinę
riziką, kylančią nacionaliniu lygmeniu, kaip nustatyta nacionalinėje TIS
strategijoje. Reikalavimai įgyvendinti rizikos valdymo priemones skirti tik
ypatingos svarbos ūkio subjektams, o numatytos priemonės atitinka riziką. Viešų
konsultacijų metu buvo pabrėžta, kaip svarbu užtikrinti šių ypatingos svarbos
ūkio subjektų saugumą. Pranešimo reikalavimai būtų taikomi tik didelio poveikio
incidentams. Kaip nurodyta pirmiau, dėl šių priemonių nebūtų patirta
neproporcingai didelių išlaidų, nes daugelis šių ūkio subjektų kaip duomenų
valdytojai jau dabar pagal galiojančias duomenų apsaugos taisykles privalo
užtikrinti asmens duomenų apsaugą.
Siekiant
išvengti neproporcingai didelės naštos mažiems operatoriams, visų pirma MVĮ,
reikalavimai atitinka riziką, kurią kelia atitinkama tinklų ar informacinė
sistema, ir jie neturėtų būti taikomi labai mažoms įmonėms. Pirmiausia riziką
turi nustatyti ūkio subjektai, kuriems taikomi šie įpareigojimai, ir kurie
turės nuspręsti, kokių priemonių imtis, kad tą riziką sumažinti.
Atsižvelgiant į TIS incidentų ir rizikos
tarpvalstybinį pobūdį, minėtus tikslus lengviau įgyvendinti ES lygmeniu nei
valstybėms narėms pavieniui. Todėl ES gali patvirtinti priemones vadovaudamasi
subsidiarumo principu, nustatytu Europos Sąjungos sutarties 5 straipsnyje.
Pagal proporcingumo principą siūlomoje direktyvoje nenumatoma nieko, kas nėra
būtina siekiant šių tikslų.
Norint
pasiekti šių tikslų, Komisijai turėtų būti suteikti įgaliojimai priimti
deleguotuosius aktus pagal Sutarties dėl Europos Sąjungos veikimo 290
straipsnį, kad būtų papildytos arba pakeistos tam tikros neesminės pagrindinio
teisės akto nuostatos. Komisijos pasiūlymu taip pat siekiama, kad proporcingumo
procesas būtų taikomas privatiesiems ir vešiesiems operatoriams įgyvendinant
savo įsipareigojimus.
Siekiant
užtikrinti vienodas pagrindinio teisės akto įgyvendinimo sąlygas, Komisija
turėtų būti įgaliota priimti įgyvendinimo teisės aktus pagal Sutarties dėl
Europos Sąjungos veikimo 291 straipsnį.
Visų
pirma atsižvelgiant į plačią siūlomos direktyvos taikymo sritį, į tai, kad ji
susijusi su griežtai reglamentuojamomis sritimis, ir į teisinius įpareigojimus,
numatytus jos IV skyriuje, prie pranešimo apie perkėlimo į nacionalinę teisę
priemones turėtų būti pridėti aiškinamieji dokumentai. Pagal 2011 m.
rugsėjo 28 d. valstybių narių ir Komisijos bendrą politinį pareiškimą dėl
aiškinamųjų dokumentų valstybės narės įsipareigojo pagrįstais atvejais prie pranešimų
apie savo perkėlimo į nacionalinę teisę priemones pridėti vieną ar daugiau
dokumentų, kuriuose paaiškinamas direktyvos nuostatų ir nacionalinių perkėlimo
priemonių atitinkamų dalių tarpusavio ryšys. Šios direktyvos atveju teisės aktų
leidėjas laikosi nuomonės, kad tokių dokumentų perdavimas yra pagrįstas.
4.           POVEIKIS BIUDŽETUI
Valstybių narių bendradarbiavimas ir
keitimasis informacija turi būti paremtas saugia infrastruktūra. Pasiūlymas
turės poveikio ES biudžetui tik jei valstybės narės nuspręs pritaikyti esamą
infrastruktūrą (pvz., sTESTA) ir paves Komisijai tai įgyvendinti pagal
2014–2020 m. DFP. Numatoma, kad vienkartinės išlaidos sudarys 1 250 000 EUR
ir kad jos bus apmokėtos iš ES biudžeto, biudžeto eilutė 09.03.02 (skatinti
nacionalinių internetu teikiamų viešųjų paslaugų sujungimą ir sąveiką bei
prieigą prie tokių tinklų – 09.03 skyrius, Europos infrastruktūros tinklų
priemonė – ryšių tinklai), su sąlyga, kad bus pakankamai lėšų pagal EITP. Kita
galimybė – valstybėms narėms pasidalinti vienkartines esamos infrastruktūros
pritaikymo išlaidas arba nuspręsti kurti naują infrastruktūrą ir prisiimti
išlaidas, kurios turėtų sudaryti maždaug 10 mln. EUR per metus.
2013/0027 (COD)
Pasiūlymas
EUROPOS PARLAMENTO IR TARYBOS DIREKTYVA
dėl priemonių aukštam bendram tinklų ir
informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti 
EUROPOS PARLAMENTAS IR EUROPOS
SĄJUNGOS TARYBA,
atsižvelgdami į
Sutartį dėl Europos Sąjungos veikimo, ypač į jos 114 straipsnį,
atsižvelgdami į
Europos Komisijos pasiūlymą,
perdavus
teisėkūros procedūra priimamo akto projektą nacionaliniams parlamentams,
atsižvelgdami į
Europos ekonomikos ir socialinių reikalų komiteto nuomonę[24],
pasikonsultavę su
Europos duomenų apsaugos priežiūros pareigūnu,
taikydami įprastą
teisėkūros procedūrą,
kadangi:
(1)       tinklų ir informacinėms
sistemoms ir paslaugoms tenka gyvybiškai svarbus vaidmuo visuomenėje. Jų
patikimumas ir saugumas yra labai svarbūs ekonominei veiklai bei socialinei
gerovei ir, visų pirma, vidaus rinkos veikimui;
(2)       tyčinių ir atsitiktinių
saugumo incidentų mastas ir dažnumas didėja ir kelia didelę grėsmę tinklų ir
informacinių sistemų veikimui. Tokie incidentai gali trukdyti vykdyti ekonominę
veiklą, sukelti didelių finansinių nuostolių, pakirsti naudotojų pasitikėjimą
ir padaryti didelę žalą Sąjungos ekonomikai;
(3)       kaip komunikacijos priemonė
be sienų, skaitmeninės informacinės sistemos ir, visų pirma, internetas vaidina
labai svarbų vaidmenį skatinant tarpvalstybinį prekių, paslaugų ir asmenų
judėjimą. Dėl tokio tarpvalstybinio pobūdžio didelis šių sistemų sutrikimas
vienoje valstybėje narėje gali turėti neigiamo poveikio kitoms valstybėms
narėms ir visai Sąjungai. Todėl tinklų ir informacinių sistemų atsparumas ir
stabilumas yra būtinas, kad vidaus rinka veiktų sklandžiai;
(4)       reikėtų Sąjungos lygmeniu
sukurti bendradarbiavimo mechanizmą, kad būtų galima keistis informacija ir
koordinuotai nustatyti tinklų ir informacijos saugumo (TIS) problemas ir imtis
atsakomųjų veiksmų. Kad toks mechanizmas būtų veiksmingas ir visaapimantis,
visos valstybės narės turėtų turėti minimalių pajėgumų ir strategiją,
užtikrinančią aukštą TIS lygį jų teritorijoje. Siekiant skatinti rizikos
valdymo kultūrą ir užtikrinti, kad būtų pranešama apie pačius didžiausius
incidentus, minimalūs saugumo reikalavimai taip pat turėtų būti taikomi viešojo
administravimo institucijoms ir ypatingos svarbos informacinės infrastruktūros
operatoriams;
(5)       siekiant aprėpti visus
reikšmingus incidentus ir rizikos rūšis, ši direktyva turėtų būti taikoma
visoms tinklų ir informacinėms sistemoms. Tačiau viešojo administravimo
institucijoms ir rinkos dalyviams taikomi įpareigojimai neturėtų būti taikomi
nei įmonėms, teikiančioms viešųjų ryšių tinklų arba viešai prieinamas
elektroninių ryšių paslaugas, apibrėžtas 2002 m. kovo 7 d. Europos
Parlamento ir Tarybos direktyvoje 2002/21/EB 2002 dėl elektroninių ryšių tinklų
ir paslaugų bendrosios reguliavimo sistemos (Pagrindų direktyva)[25], kurioms taikomi specifiniai
saugumo ir vientisumo reikalavimai, nustatyti tos direktyvos 13a straipsnyje,
nei patikimumo užtikrinimo paslaugų teikėjams;
(6)       esamų pajėgumų nepakanka, kad
būtų galima užtikrinti aukštą TIS lygį Sąjungoje. Valstybių narių parengties
lygis yra labai skirtingas, todėl visoje ES susiformavo skirtingi požiūriai.
Dėl to vartotojų ir verslo įmonių apsaugos lygis yra nevienodas, o tai kenkia
bendram Sąjungos TIS lygiui. Tai, kad nėra nustatyta bendrų minimalių
reikalavimų viešojo administravimo institucijoms ir rinkos dalyviams, savo
ruožtu neleidžia sukurti visuotinio veiksmingo bendradarbiavimo Sąjungos
lygmeniu mechanizmo;
(7)       todėl norint veiksmingai
spręsti tinklų ir informacinių sistemų saugumo problemas, reikalingas
visuotinis požiūris Sąjungos lygmeniu, apimantis bendrus minimalius pajėgumų
stiprinimo ir planavimo reikalavimus, keitimąsi informacija bei veiksmų
koordinavimą ir bendrus visiems atitinkamiems rinkos dalyviams ir viešojo
administravimo institucijoms taikytinus minimalius saugumo reikalavimus;
(8)       šios direktyvos nuostatos
neturėtų trukdyti kiekvienai valstybei narei imtis reikalingų priemonių savo
pagrindiniams saugumo interesams ir viešajai politikai apsaugoti ir visuomenės
saugumui užtikrinti ir turėtų leisti atskleisti ir tirti kriminalinius
nusikaltimus ir už juos traukti baudžiamojon atsakomybėm. Pagal SESV 346
straipsnį jokia valstybė narė neprivalo teikti informacijos, kurios
atskleidimas, jos nuomone, prieštarauja gyvybiniams jos saugumo interesams;
(9)       kad būtų pasiektas ir
išlaikytas bendras aukštas tinklų ir informacinių sistemų saugumo lygis, kiekviena
valstybė narė turėtų turėti nacionalinę TIS strategiją, kurioje būtų apibrėžti
strateginiai tikslai ir konkretūs politikos veiksmai, kuriuos reikia
įgyvendinti. Nacionaliniu lygmeniu turi būti parengti pagrindinius reikalavimus
atitinkantys TIS bendradarbiavimo planai, kad būtų pasiektas toks pajėgumų
parengties lygis, kad incidentų atveju būtų efektyviai ir veiksmingai
bendradarbiaujama nacionaliniu ir Sąjungos lygmeniu;
(10)     siekiant sudaryti sąlygas
veiksmingai įgyvendinti pagal šią direktyvą priimtas nuostatas, kiekvienoje
valstybėje narėje turėtų būti įsteigta arba paskirta institucija, atsakinga už
TIS klausimų koordinavimą, kuri būtų pagrindinis tarpvalstybinio
bendradarbiavimo Sąjungos lygmeniu centras. Šioms institucijoms turėtų būti
skirta pakankamai techninių, finansinių ir žmogiškųjų išteklių, siekiant
užtikrinti, kad jos galėtų efektyviai ir veiksmingai vykdyti joms pavestas
užduotis ir taip įgyvendinti šios direktyvos tikslus;
(11)     visos valstybės narės turėtų
būti tinkamai pasirengusios – turėti tiek techninių, tiek organizacinių
pajėgumų, kad galėtų užkirsti kelią tinklų ir informacinių sistemų incidentams
bei rizikai, juos nustatyti, sušvelninti arba imtis atsakomųjų veiksmų. Todėl
siekiant garantuoti efektyvius ir suderinamus pajėgumus incidentams spręsti bei
rizikai šalinti, taip pat siekiant užtikrinti veiksmingą bendradarbiavimą
Sąjungos lygmeniu, visose valstybėse narėse turėtų būti įkurtos pagrindinius
reikalavimus atitinkančios gerai veikiančios kompiuterinių incidentų tyrimo tarnybos;
(12)     pasinaudodamos reikšminga
pažanga, padaryta valstybių narių Europos forume (EFMS) skatinant diskusijas ir
keitimąsi gerąja politikos patirtimi, įskaitant Europos bendradarbiavimo
kibernetinių krizių atveju principų parengimą, valstybės narės ir Komisija
turėtų sukurti tinklą, kuris suteiktų galimybę joms nuolat bendrauti ir paremtų
jų bendradarbiavimą. Toks saugus ir efektyvus bendradarbiavimo mechanizmas
turėtų sudaryti sąlygas struktūrizuotai ir koordinuotai keistis informacija,
nustatyti incidentus ir imtis atsakomųjų veiksmų Sąjungos lygmeniu;
(13)     Siekdama padėti valstybėms
narėms ir Komisijai, Europos tinklų ir informacijos apsaugos agentūra (ENISA)
turėtų dalytis savo žiniomis, konsultuoti ir palengvinti keitimąsi gerąja
patirtimi. Taikydama šią direktyvą Komisija visų pirma turėtų tartis su ENISA.
Siekiant užtikrinti, kad informacija veiksmingai ir laiku būtų perduodama
valstybėms narėms ir Komisijai, išankstiniai perspėjimai apie incidentus ir
riziką turėtų būti perduodami bendradarbiavimo tinkle. Siekiant gerinti
pajėgumus ir žinias valstybėse narėse, bendradarbiavimo tinklas taip pat turėtų
būti keitimosi gerąja patirtimi priemonė, padedanti jo nariams stiprinti
pajėgumus, vadovauti organizuojant tarpusavio vertinimus ir TIS pratybas;
(14)     turėtų būti sukurta saugi
dalijimosi informacija infrastruktūra, kuri sudarytų sąlygas bendradarbiavimo
tinkle keistis slapta ir konfidencialia informacija. Neapribojant jų
įpareigojimo pranešti apie Sąjungos masto incidentus ir riziką bendradarbiavimo
tinklui, prieiga prie kitų valstybių narių konfidencialios informacijos
valstybėms narėms turėtų būti suteikta tik jei jos įrodo, kad jų techniniai,
finansiniai ir žmoniškieji ištekliai bei procesai ir jų ryšių infrastruktūra
leidžia užtikrinti efektyvų, veiksmingą ir saugų jų dalyvavimą tinkle;
(15)     kadangi daugumą tinklų ir
informacinių sistemų valdo privatūs operatoriai, labai svarbus viešojo ir
privačiojo sektorių bendradarbiavimas. Rinkos dalyviai turėtų būti skatinami
taikyti savo neformalius bendradarbiavimo mechanizmus, kad užtikrintų TIS. Jie
taip pat turėtų bendradarbiauti su viešuoju sektoriumi ir dalintis informacija
ir gerąja patirtimi mainais į operatyvinę paramą incidentų atveju;
(16)     siekdamos užtikrinti skaidrumą
ir tinkamai informuoti ES piliečius bei rinkos dalyvius, kompetentingos
institucijos turėtų sukurti bendrą interneto svetainę, kurioje būtų skelbiama
nekonfidenciali informacija apie incidentus ir riziką;
(17)     kai pagal Sąjungos ir
nacionalines verslo konfidencialumo taisykles informacija laikoma
konfidencialia, toks konfidencialumas turėtų būti užtikrintas vykdant šioje
direktyvoje numatytą veiklą ir įgyvendinant jos tikslus;
(18)     remdamosi visų pirma
nacionalinių krizių valdymo patirtimi ir bendradarbiaudamos su ENISA, Komisija
ir valstybės narės turėtų parengti Sąjungos TIS bendradarbiavimo planą, kuriame
būtų nustatyti kovos su rizika ir incidentais bendradarbiavimo mechanizmai. Į
šį planą turėtų būti deramai atsižvelgiama taikant išankstinio perspėjimo
sistemą bendradarbiavimo tinkle;
(19)     pranešimo apie išankstinį
perspėjimą tinkle turėtų būti reikalaujama tik kai incidento arba atitinkamos
rizikos mastas ir galimas poveikis yra arba gali tapti tokie dideli, kad
informavimas ir atsakomųjų veiksmų koordinavimas Europos lygmeniu būtų būtini.
Todėl išankstiniai perspėjimai turėtų būti teikiami tik įvykus incidentui arba
susidarius rizikai, kurie sparčiai didėja, viršija nacionalinius atsakomųjų
veiksmų pajėgumus arba turi poveikio daugiau negu vienai valstybei narei, arba
jei yra tokių incidentų ar rizikos tikimybė. Siekiant sudaryti sąlygas tinkamam
įvertinimui, visa informacija, kuri yra svarbi vertinant riziką arba incidentą,
turėtų būti perduota į bendradarbiavimo tinklą;
(20)     gavusios išankstinį perspėjimą
ir jo įvertinimą, kompetentingos institucijos turėtų susitarti dėl koordinuotų
atsakomųjų veiksmų pagal Sąjungos TIS bendradarbiavimo planą. Kompetentingos
institucijos bei Komisija turėtų būti informuotos apie priemones, kurių imtasi
nacionaliniu lygmeniu atsižvelgiant į atsakomuosius veiksmus;
(21)     turint omenyje visuotinį TIS
problemų pobūdį, reikalingas glaudesnis tarptautinis bendradarbiavimas, kuris
leistų pagerinti saugumo standartus ir keitimąsi informacija, skatinti bendrą
visuotinį požiūrį į TIS problemas;
(22)     atsakomybė už TIS užtikrinimą
visų pirma tenka viešojo administravimo institucijoms ir rinkos dalyviams.
Rizikos valdymo kultūra, apimanti rizikos įvertinimą ir esamą riziką
atitinkančių saugumo priemonių įgyvendinimą, turėtų būti skatinama ir plėtojama
taikant atitinkamus teisės aktų reikalavimus ir savanorišką pramonės praktiką.
Kad bendradarbiavimo tinklas, kuriuo užtikrinamas efektyvus visų valstybių
narių bendradarbiavimas, efektyviai veiktų, būtina sudaryti vienodas veiklos
sąlygas;
(23)     Direktyvoje 2002/21/EB reikalaujama,
kad įmonės, teikiančios viešųjų elektroninių ryšių tinklų arba viešai
prieinamas elektroninių ryšių paslaugas, imtųsi atitinkamų priemonių, kad
apsaugotų savo saugumą ir vientisumą, ir nustatomas reikalavimas pranešti apie
saugumo pažeidimą ir vientisumo praradimą. 2002 m. liepos 12 d.
Europos Parlamento ir Tarybos direktyvoje 2002/58/EB dėl asmens duomenų
tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje (Direktyva dėl
privatumo ir elektroninių ryšių)[26] reikalaujama, kad viešai
prieinamų elektroninių ryšių paslaugų teikėjas imtųsi atitinkamų techninių ir
organizacinių priemonių, kad išlaikytų savo paslaugų saugumą;
(24)     tokie įpareigojimai turėtų
būti taikomi ne tik elektroninių ryšių sektoriui, bet ir svarbiausiems
informacinės visuomenės paslaugų teikėjams, kaip apibrėžta 1998 m.
birželio 22 d. Europos Parlamento ir Tarybos direktyvoje 98/34/EB
nustatančioje informacijos apie techninius standartus ir reglamentus ir
informacinės visuomenės paslaugų taisykles teikimo tvarką[27], kuriomis grindžiamos
vartotojams skirtos informacinės visuomenės paslaugos ar internetinė veikla,
kaip antai e. prekybos platformas, mokėjimo internetu tinklų sąsajas,
socialinius tinklus, paieškos sistemas, nuotolinių kompiuterinių išteklių
paslaugas, programų parduotuves. Šių svarių informacinės visuomenės paslaugų
sutrikimas neleistų teikti kitų informacinės visuomenės paslaugų, kurioms jos
yra labai svarbios. Programinės įrangos kūrėjai ir kompiuterinės technikos
gamintojai nėra informacinės visuomenės paslaugų teikėjai, todėl jiems šie
įpareigojimai netaikomi. Šie įpareigojimai taip pat turėtų būti taikomi viešojo
administravimo institucijoms ir operatoriams ypatingos svarbos infrastruktūros,
kuri labai priklauso nuo informacinių ir ryšių technologijų ir yra labai svarbi
gyvybinėms ekonominėms ir visuomeninėms funkcijoms palaikyti, kaip antai
elektros ir dujų, transporto, kredito įstaigų, biržų ir sveikatos. Tokių tinklų
ir informacinių sistemų veiklos sutrikimas turėtų neigiamo poveikio vidaus
rinkai;
(25)     taikant viešojo administravimo
institucijoms ir rinkos dalyviams nustatytas technines ir organizacines
priemones neturėtų būti reikalaujama, kad tam tikru būdu būtų sukurtas,
suprojektuotas ir pagamintas konkretus komercinis informacinių ir ryšių
technologijų produktas;
(26)     viešojo administravimo
institucijos ir rinkos dalyviai turėtų užtikrinti jų kontroliuojamų tinklų ir
sistemų saugumą. Tai visų pirma būtų privatūs tinklai ir sistemos, kurias valdo
jų vidaus IT personalas arba kurių saugumas užtikrinamas perkant paslaugas iš
šalies. Saugumo ir pranešimų teikimo įpareigojimai turėtų būti taikomi
atitinkamiems rinkos dalyviams ir viešojo administravimo institucijoms,
nepriklausomai nuo to, ar jie vykdo savo tinklų ir informacinių sistemų
priežiūrą patys, ar perka šias paslaugas iš šalies;
(27)     siekiant išvengti
neproporcingai didelės finansinės ir administracinės naštos mažiems
operatoriams ir naudotojams, reikalavimai turėtų būti proporcingi rizikai,
kurią kelia atitinkama tinklų ar informacinė sistema, atsižvelgiant į tokių
priemonių modernumą. Šie reikalavimai neturėtų būti taikomi labai mažoms
įmonėms;
(28)     kompetentingos institucijos
turėtų skirti pakankamai dėmesio neformalių ir patikimų dalijimosi informacija
tarp rinkos dalyvių ir tarp viešojo bei privačiojo sektorių kanalų
išsaugojimui. Viešinant incidentus, apie kuriuos pranešama kompetentingoms
institucijoms, turėtų būti išlaikoma pusiausvyra tarp poreikio visuomenę
informuoti apie pavojus ir galimos žalos viešojo administravimo institucijų ir
rinkos dalyvių, pranešančių apie incidentus, reputacijai bei komercinei
veiklai; Įgyvendindamos įpareigojimus teikti pranešimus, kompetentingos
institucijos turėtų atkreipti ypatingą dėmesį į poreikį griežtai užtikrinti,
kad informacija apie produkto pažeidžiamumą liktų konfidenciali iki tol, kai
bus paskelbtos atitinkamos saugumo priemones.
(29)     kompetentingos institucijos
turėtų turėti reikiamas priemones jų pareigoms atlikti, įskaitant įgaliojimus
gauti pakankamai informacijos iš rinkos dalyvių ir viešojo administravimo
institucijų, kad galėtų įvertinti tinklų ir informacinių sistemų saugumo lygį,
taip pat patikimus ir išsamius duomenis apie įvykusius incidentus, kurie turėjo
poveikio tinklų ir informacinių sistemų veikimui;
(30)     daugeliu atvejų incidentas yra
susijęs su kriminaline veika. Kriminalinį incidentų pobūdį galima įtarti netgi
tuomet, kai jį patvirtinantys įrodymai nuo pat pradžių nėra pakankamai aiškūs.
Tokioje situacijoje tinkamas kompetentingų institucijų ir teisėsaugos
institucijų bendradarbiavimas turėtų būti veiksmingų ir visapusių atsakomųjų
veiksmų į saugumo incidentų grėsmę dalis. Siekiant skatinti saugią ir
lankstesnę aplinką, teisėsaugos institucijoms visų pirma reikia nuolat pranešti
apie incidentus, jei įtariama, kad jie yra sunkaus kriminalinio pobūdžio.
Sunkus kriminalinis incidentų pobūdis turėtų būti įvertintas atsižvelgiant į ES
teisės aktus elektroninių nusikaltimų srityje;
(31)     daugeliu atvejų dėl incidentų
kyla pavojus asmens duomenims. Todėl kompetentingos institucijos ir duomenų apsaugos
institucijos turėtų bendradarbiauti ir keistis informacija visais su tuo
susijusiais klausimais, kad galėtų imtis dėl incidentų įvykusių asmens duomenų
pažeidimų nagrinėjimo. Kai saugumo incidentas kartu yra ir asmens duomenų
pažeidimas pagal Europos Parlamento ir Tarybos reglamentą dėl asmenų apsaugos
tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo[28] valstybės narės įpareigojimą
pranešti apie saugumo incidentus vykdo taip, kad administracinė našta būtų
minimali. Bendradarbiaudama su kompetentingomis institucijomis ir duomenų
apsaugos institucijomis, ENISA galėtų kurti keitimosi informacija mechanizmus
bei šablonus; taip būtų išvengta poreikio turėti du pranešimo šablonus. Įvedus
tokį vieną bendrą pranešimo šabloną, būtų paprasčiau teikti pranešimus apie
incidentus, dėl kurių pažeistas asmens duomenų saugumas, ir sumažėtų verslo
įmonių ir viešojo administravimo institucijų administracinė našta;
(32)     saugumo reikalavimų
standartizavimas yra rinkos principais grindžiamas procesas. Norėdamos užtikrinti
vienodą saugumo standartų taikymą, valstybės narės turėtų skatinti nurodytų
standartų laikymąsi ar atitiktį, kad Sąjungos mastu būtų užtikrintas aukštas
saugumo lygis. Šiuo tikslu gali būti būtina parengti suderintus standartus
laikantis 2012 m. spalio 25 d. Europos Parlamento ir Tarybos
reglamento (ES) Nr. 1025/2012 dėl Europos standartizacijos, kuriuo iš
dalies keičiamos Tarybos direktyvos 89/686/EEB ir 93/15/EEB ir Europos
Parlamento ir Tarybos direktyvos 94/9/EB, 94/25/EB, 95/16/EB, 97/23/EB, 98/34/EB,
2004/22/EB, 2007/23/EB, 2009/23/EB ir 2009/105/EB ir panaikinamas Tarybos
sprendimas 87/95/EEB ir Europos Parlamento ir Tarybos sprendimas
Nr. 1673/2006/EB Tekstas svarbus EEE[29].;
(33)     Komisija turėtų reguliariai
peržiūrėti šią direktyvą, pirmiausia stengdamasi nustatyti, ar reikia ją keisti
atsižvelgiant į besikeičiančias technologines ar rinkos sąlygas;
(34)     siekiant sudaryti sąlygas
bendradarbiavimo tinklui tinkamai veikti, pagal Sutarties dėl Europos Sąjungos
veikimo 290 straipsnį Komisijai turėtų būti perduoti įgaliojimai priimti teisės
aktus, kuriuose būtų nustatyti kriterijai, kuriuos turi atitikti valstybė narė,
kad galėtų dalyvauti saugaus dalijimosi informacija sistemoje, toliau
patikslinamos aplinkybės, dėl kurių reikalingas išankstinis perspėjimas, ir
nustatomos aplinkybės, kuriomis rinkos dalyviai ir viešojo administravimo
institucijos turi pranešti apie incidentus;
(35)     ypač svarbu, kad Komisija
parengiamųjų darbų metu tinkamai konsultuotųsi, įskaitant konsultacijas
ekspertų lygiu. Rengdama ir sudarydama deleguotuosius aktus Komisija turėtų
užtikrinti, kad susiję dokumentai būtų vienu metu, laiku ir tinkamai persiųsti
Europos Parlamentui ir Tarybai;
(36)     siekiant užtikrinti vienodas
šios direktyvos įgyvendinimo sąlygas, Komisijai turėtų būti suteikti
įgyvendinimo įgaliojimai, susiję su kompetentingų institucijų ir Komisijos
bendradarbiavimu bendradarbiavimo tinkle, prieiga prie saugios dalijimosi
informacija infrastruktūros, Sąjungos TIS bendradarbiavimo planu, visuomenės
informavimui apie incidentus taikomais formatais bei procedūromis ir su TIS
susijusiais standartais ir (arba) techninėmis sąlygomis. Tais įgaliojimais
turėtų būti naudojamasi laikantis 2011 m. vasario 16 d. Europos
Parlamento ir Tarybos reglamento (ES) Nr. 182/2011, kuriuo nustatomos
valstybių narių vykdomos Komisijos naudojimosi įgyvendinimo įgaliojimais
kontrolės mechanizmų taisyklės ir bendrieji principai[30];
(37)     taikydama šią direktyvą
Komisija turėtų veikti kartu su atitinkamais sektorių komitetais ir
atitinkamomis ES lygmeniu įsteigtomis institucijomis, visų pirma, energetikos,
transporto ir sveikatos srityse.
(38)     informacija, kurią
kompetentinga institucija laiko konfidencialia pagal Sąjungos ir nacionalines
verslo konfidencialumo taisykles, turėtų būti keičiamasi su Komisija ir kitomis
kompetentingomis institucijomis tik kai toks apsikeitimas yra tikrai būtinas
šios direktyvos taikymui. Keičiamasi tik tokia informacija, kuri atitinka
keitimosi tikslą ir yra jam svarbi;
(39)     dalijantis informacija apie
riziką ir incidentus bendradarbiavimo tinkle ir laikantis reikalavimų pranešti
nacionalinėms kompetentingoms institucijoms apie incidentus gali tekti tvarkyti
asmens duomenis. Toks asmens duomenų tvarkymas yra reikalingas tam, kad būtų
įgyvendinti bendro intereso tikslai, kurių siekiama šia direktyva, todėl pagal
Direktyvos 95/46/EB 7 straipsnį jis yra teisėtas. Atsižvelgiant į šiuos
teisėtus tikslus, jis nėra laikomas neproporcingu ir netoleruotinu kišimusi, iš
esmės pažeidžiančiu teisę į asmens duomenų apsaugą, garantuojamą Pagrindinių
teisių chartijos 8 straipsniu. Taikant šią direktyvą turėtų būti laikomasi
2001 m. gegužės 30 d. Europos Parlamento ir Tarybos
reglamento (EB) Nr. 1049/2001 dėl galimybės visuomenei susipažinti su
Europos Parlamento, Tarybos ir Komisijos dokumentais[31]. Kai Sąjungos institucijos ir
įstaigos tvarko duomenis, toks tvarkymas šios direktyvos įgyvendinimo tikslais
turėtų atitikti 2000 m. gruodžio 18 d. Europos Parlamento ir Tarybos
reglamentą (EB) Nr. 45/2001 dėl asmenų apsaugos Bendrijos institucijoms
ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo;
(40)     kadangi šios direktyvos
tikslo, t. y. užtikrinti aukštą TIS lygį Sąjungoje, valstybės narės negali
tinkamai pasiekti pačios ir kadangi dėl veiksmų poveikio jų geriau siekti Sąjungos
lygiu, laikydamasi Europos Sąjungos sutarties 5 straipsnyje nustatyto
subsidiarumo principo Sąjunga gali patvirtinti priemones. Pagal tame straipsnyje nustatytą proporcingumo
principą šia direktyva neviršijama to, kas būtina nurodytiems tikslams pasiekti.
(41)     ši Direktyva parengta
laikantis Europos Sąjungos pagrindinių teisių chartijoje pripažintų pagrindinių
teisių ir principų, visų pirma teisės į tai, kad būtų gerbiamas privatus
gyvenimas ir bendravimas, asmens duomenų apsaugos, laisvės užsiimti verslu,
teisės į nuosavybę, teisės į veiksmingą teisės gynimo priemonę, kuria galima
būtų naudotis teisme ir teisės būti išklausytam. Ši direktyva turi būti
įgyvendinta atsižvelgiant į šias teises ir principus,
PRIĖMĖ ŠIĄ DIREKTYVĄ:
I SKYRIUS
BENDROSIOS NUOSTATOS
1 straipsnis
Dalykas
ir taikymo sritis
1.           Šioje direktyvoje nustatomos
priemonės aukštam bendram tinklų ir informacinių sistemų saugumo (toliau – TIS)
lygiui visoje Sąjungoje užtikrinti.
2.           Šiuo tikslu šia direktyva:
(a)                   
nustatomi įpareigojimai visoms valstybėms narėms,
susiję su tinklų ir informacinėms sistemoms poveikio turinčios rizikos ir
incidentų prevencija, valdymu ir atsakomaisiais veiksmais;
(b)                   
sukuriamas valstybių narių bendradarbiavimo
mechanizmas, skirtas užtikrinti vienodą šios direktyvos taikymą visoje
Sąjungoje ir, kai reikia, koordinuotą ir efektyvų tinklų ir informacinėms
sistemoms poveikio turinčių rizikos ir incidentų valdymą ir atsakomuosius
veiksmus;
(c)                   
nustatomi saugumo reikalavimai rinkos dalyviams ir
viešojo administravimo institucijoms.
3.           14 straipsnyje nustatyti
saugumo reikalavimai netaikomi nei įmonėms, teikiančioms viešųjų ryšių tinklų
arba viešai prieinamas elektroninių ryšių paslaugas, apibrėžtas Direktyvoje
2002/21/EB, kurioms taikomi specifiniai saugumo ir vientisumo reikalavimai,
nustatyti tos direktyvos 13a ir 13b straipsniuose, nei patikimumo užtikrinimo
paslaugų teikėjams.
4.           Šia direktyva nepažeidžiami
ES teisės aktai elektroninių nusikaltimų srityje ir 2008 m. gruodžio
8 d. Tarybos direktyva 2008/114/EC dėl Europos ypatingos svarbos
infrastruktūros objektų nustatymo ir priskyrimo jiems bei būtinybės gerinti jų
apsaugą vertinimo[32]
5.           Be to, šia direktyva
nepažeidžiama 1995 m. spalio
24 d. Europos Parlamento ir Tarybos direktyva (95/46/EB) dėl asmenų
apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo[33], 2002 m. liepos
12 d. Europos Parlamento ir Tarybos direktyva 2002/58/EB dėl asmens
duomenų tvarkymo ir privatumo apsaugos elektroninių ryšių sektoriuje ir Europos
Parlamento ir Tarybos reglamentas dėl asmenų apsaugos Bendrijos institucijoms
ir įstaigoms tvarkant asmens duomenis ir laisvo tokių duomenų judėjimo[34].
6.           Dalijantis informacija
bendradarbiavimo tinkle pagal III skyrių ir teikiant pranešimus apie TIS
incidentus pagal 14 straipsnį, gali reikėti tvarkyti asmens duomenis. Pagal
Direktyvos 95/46/EB 7 straipsnį ir Direktyvą 2002/58/EB, kaip perkelta į
nacionalinę teisę, valstybė narė suteikia įgaliojimus taip tvarkyti duomenis,
kai tai reikalinga, kad būtų įgyvendinti bendro intereso tikslai, kurių siekiama
šia direktyva.
2 straipsnis
Minimalus
suderinimas
Valstybėms narėms
nedraudžiama priimti ir laikytis nuostatų, užtikrinančių aukštesnį saugumo
lygį, nepažeidžiant jų įpareigojimų pagal Sąjungos teisės aktus.
3 straipsnis
Apibrėžtys
Šioje direktyvoje vartojamų terminų
apibrėžtys:
(1)                   
Tinklų ir informacinė sistema – tai:
(a)         
elektroninių ryšių tinklas, apibrėžtas Direktyvoje
2002/21/EB ir
(b)         
bet koks prietaisas arba grupė tarpusavyje sujungtų
arba susijusių prietaisų, iš kurių vienas ar daugiau pagal programą automatiškai
apdoroja kompiuterinius duomenis, taip pat
(c)         
kompiuteriniai duomenys, saugomi, tvarkomi,
atkuriami arba perduodami a ir b punktuose nurodytomis priemonėmis jų valdymo,
naudojimo, apsaugos ir priežiūros tikslais;
(2)                   
saugumas – tai tinklų ir informacinės sistemos
pajėgumas tam tikru patikimumo lygiu išlikti atspariai atsitiktiniams ar
tyčiniams veiksmams, keliantiems pavojų saugomų ar perduodamų duomenų arba
susijusių siūlomų ar per tuos tinklus arba sistemas gaunamų paslaugų
prieinamumui, autentiškumui, vientisumui ir slaptumui;
(3)                   
rizika – tai bet kokios aplinkybės ar įvykis,
galintys turėti neigiamą poveikį saugumui;
(4)                   
incidentas – tai bet kokios aplinkybės ar įvykis,
turintys neigiamą poveikį saugumui;
(5)                   
informacinės visuomenės paslauga – tai paslauga,
apibrėžta Direktyvos 98/34/EB 1 straipsnio 2 dalyje;
(6)                   
TIS bendradarbiavimo planas – tai planas, pagal
kurį sukuriama organizacinių vaidmenų, atsakomybės pasidalijimo ir procedūrų
sistema, skirta tinklų ir informacinių sistemų veiklai palaikyti arba atkurti,
kilus rizikai ar įvykus incidentui, turintiems neigiamo poveikio;
(7)                   
incidentų valdymas – visos procedūros, padedančios
incidentą ištirti, suvaldyti ir imtis atsakomųjų veiksmų;
(8)                   
rinkos dalyvis – tai:
(a)         
informacinės visuomenės paslaugų teikėjas, kuris
suteikia galimybę teikti kitas informacinės visuomenės paslaugas, kurių
neišsamus sąrašas pateikiamas II priede;
(b)         
ypatingos svarbos infrastruktūra, kuri yra būtina
gyvybiškai svarbiai ekonominei ir visuomeninei energetikos, transporto,
bankininkystės, biržų ir sveikatos sričių veiklai, kurios neišsamus sąrašas
pateikiamas II priede, palaikyti, operatorius.
(9)                   
standartas – tai standartas, apibrėžtas Reglamente
(ES) Nr. 1025/2012;
(10)               
specifikacija – tai specifikacija, nurodyta
Reglamente (ES) Nr. 1025/2012;
(11)               
patikimumo užtikrinimo paslaugų teikėjas – tai
fizinis arba juridinis asmuo, teikiantis elektronines paslaugas, kurias sudaro
elektroninių parašų, elektroninių spaudų, elektroninių laiko žymų, elektroninių
dokumentų, elektroninio pristatymo paslaugų, svetainių tapatumo nustatymo priemonių
ir elektroninių sertifikatų, įskaitant elektroninių parašų ir elektroninių
spaudų sertifikatu, kūrimas tikrinimas, tvirtinimas, tvarkymas ir saugojimas.
II
SKYRIUS
NACIONALINĖS
TINKLŲ IR INFORMACIJOS SAUGUMO SISTEMOS
4 straipsnis
Principas
Pagal šią direktyvą valstybės narės savo
teritorijoje užtikrina aukštą tinklų ir informacinių sistemų saugumo lygį.
5 straipsnis
Nacionalinė
TIS strategija ir nacionalinis TIS bendradarbiavimo planas
1.                Kiekviena
valstybė narė priima nacionalinę TIS strategiją, kuria nustatomi strateginiai
tikslai ir konkrečios politikos ir reguliavimo priemonės, skirtos aukšto lygio
tinklų ir informacinių sistemų saugumui pasiekti ir palaikyti. Nacionalinėje
TIS strategijoje visų pirma aptariami šie klausimai:
(a)                   
strategijos tikslų ir prioritetų nustatymas
remiantis naujausia rizikos ir incidentų analize;
(b)                   
valdymo sistema, skirta strateginiams tikslams ir
prioritetams pasiekti, įskaitant aiškų valdžios organų ir kitų svarbių subjektų
vaidmenų ir atsakomybės nustatymą;
(c)                   
bendrųjų parengties, atsakomųjų veiksmų ir atkūrimo
priemonių, įskaitant viešojo ir privačiojo sektorių bendradarbiavimo
mechanizmus, nustatymas;
(d)                   
švietimo, informuotumo didinimo ir mokymo programų
nurodymas;
(e)                   
mokslinių tyrimų ir plėtros planai ir
aprašymas, kaip šie planai atsispindi nustatytuose prioritetuose.
2.           Nacionalinė TIS strategija
apima nacionalinį TIS bendradarbiavimo planą, atitinkantį bent jau šiuos
reikalavimus:
(a)                   
rizikos įvertinimo planas, skirtas rizikai
nustatyti ir galimų incidentų poveikiui įvertinti;
(b)                   
plano įgyvendinime dalyvaujančių subjektų vaidmenų
ir atsakomybės nustatymas;
(c)                   
bendradarbiavimo ir ryšių procesų, užtikrinančių
incidentų prevenciją, nustatymą, atsakomuosius veiksmus, remontą bei atkūrimą
ir sumoduliuotų pagal pavojaus lygį, nustatymas;
(d)                   
TIS pratybų ir mokymo gairės planui sustiprinti,
patvirtinti ir išbandyti. Įgyta patirtis registruojama ir įtraukiama į
atnaujintą planą.
3.           Komisija informuojama apie
nacionalinę TIS strategiją ir nacionalinį TIS bendradarbiavimo planą per vieną
mėnesį nuo jų priėmimo.
6 straipsnis
Nacionalinė
tinklų ir informacinių sistemų saugumo kompetentinga institucija 
1.           Kiekviena valstybė narė
paskiria nacionalinę tinklų ir informacinių sistemų saugumo kompetentingą
instituciją („kompetentinga institucija“).
2.                Kompetentingos
institucijos stebi šios direktyvos taikymą nacionaliniu lygmeniu ir padeda
nuosekliai ją taikyti visoje Sąjungoje.
3.           Valstybės narės užtikrina,
kad kompetentingos institucijos turėtų pakankamai techninių, finansinių ir
žmogiškųjų išteklių, kad galėtų efektyviai ir veiksmingai vykdyti joms pavestas
užduotis ir taip įgyvendinti šios direktyvos tikslus. Valstybės narės užtikrina
efektyvų, veiksmingą ir saugų kompetentingų institucijų bendradarbiavimą 8
straipsnyje nurodytame tinkle.
4.           Valstybės narės užtikrina,
kad kompetentingos institucijos gautų pranešimus apie incidentus iš viešojo
administravimo institucijų ir rinkos dalyvių, kaip nurodyta 14 straipsnio 2
dalyje, ir kad joms būtų suteikti 15 straipsnyje nurodyti įgyvendinimo ir
vykdymo užtikrinimo įgaliojimai.
5.           Kompetentingos institucijos
tariasi ir bendradarbiauja, kai tai aktualu, su atitinkamomis nacionalinėmis
teisėtvarkos institucijomis ir duomenų apsaugos institucijomis.
6.           Kiekviena valstybė narė
nedelsdama praneša Komisijai apie kompetentingos institucijos paskyrimą, jos
užduotis ir visus vėlesnius jų pakeitimus. Kiekviena valstybė narė apie
kompetentingos institucijos paskyrimą skelbia viešai.
7 straipsnis
Kompiuterinių
incidentų tyrimo tarnybos
1.           Kiekviena valstybė narė
įkuria kompiuterinių incidentų tyrimo tarnybą (toliau – CERT), atsakingą už
incidentų ir rizikos valdymą taikant tiksliai nustatytą procesą, kuris atitinka
I priedo 1 dalyje nustatytus reikalavimus. CERT gali būti įsteigta pačioje
kompetentingoje institucijoje.
2.           Valstybės narės užtikrina,
kad CERT turėtų pakankamai techninių, finansinių ir žmogiškųjų išteklių, kad
galėtų efektyviai vykdyti užduotis, nustatytas I priedo 2 dalyje.
3.           Valstybės narės užtikrina,
kad nacionaliniu lygmeniu CERT remtųsi saugia ir atsparia ryšių ir informacine
infrastruktūra, kuri atitiktų 9 straipsnyje nurodytą saugią dalijimosi
informacija sistemą ir būtų su ja sąveiki.
4.           Valstybės narės informuoja
Komisiją apie kompiuterinių incidentų tyrimo tarnybų išteklius ir įgaliojimus,
taip pat apie jų incidentų valdymo procesą.
5.           CERT veiklą prižiūri
kompetentinga institucija, kuri reguliariai įvertina, ar ji turi pakankamai
išteklių, taip pat jos įgaliojimus ir incidentų valdymo proceso efektyvumą.
III SKYRIUS
KOMPETENTINGŲ
INSTITUCIJŲ BENDRADARBIAVIMAS
8 straipsnis
Bendradarbiavimo
tinklas
1.           Kompetentingos institucijos
ir Komisija sukuria tinklą (toliau – bendradarbiavimo tinklas), skirtą
bendradarbiauti sprendžiant problemas, susijusias su rizika ir incidentais,
kurie turi įtakos tinklų ir informacinėms sistemoms.
2.           Bendradarbiavimo tinklas
užtikrina, kad Komisija ir kompetentingos institucijos nuolat palaikytų ryšius.
Gavusi prašymą Europos tinklų ir informacijos apsaugos agentūra (ENISA) padeda
bendradarbiavimo tinklui savo žiniomis ir patarimais.
3.           Bendradarbiavimo tinkle
kompetentingos institucijos:
(a)         
skelbia išankstinius perspėjimus apie riziką ir
incidentus pagal 10 straipsnį; 
(b)         
užtikrina koordinuotus atsakomuosius veiksmus pagal
11 straipsnį; 
(c)         
bendroje svetainėje reguliariai skelbia
nekonfidencialią informaciją apie nuolat teikiamus išankstinius perspėjimus ir
koordinuotus atsakomuosius veiksmus;
(d)         
vienos valstybės narės ar Komisijos prašymu pagal
šią direktyvą drauge aptaria ir įvertina vieną ar daugiau nacionalinių TIS
strategijų ir nacionalinių TIS bendradarbiavimo planų, nurodytų 5 straipsnyje;
(e)         
valstybės narės ar Komisijos prašymu drauge aptaria
ir įvertina CERT efektyvumą, ypač kai TIS pratybos vykdomos Sąjungos lygmeniu;
(f)           
visais aktualiais klausimais bendradarbiauja ir
keičiasi informacija su Europolo Europos kovos su elektroniniu nusikalstamumu
centru ir su kitomis susijusiomis Europos įstaigomis, ypač duomenų apsaugos,
energetikos, transporto, bankininkystės, vertybinių popierių biržų ir sveikatos
srityse;
(g)         
keičiasi informacija ir geriausia patirtimi
tarpusavyje ir su Komisija ir viena kitai padeda didinti su NIS susijusius
gebėjimus; 
(h)         
reguliariai rengia gebėjimų ir pasirengimo
tarpusavio vertinimą;
(i)           
Sąjungos lygmeniu rengia TIS pratybas ir prireikus
dalyvauja tarptautinėse TIS pratybose.
4.           Komisija įgyvendinimo aktais
nustato reikiamą modalumą, siekdama palengvinti kompetentingų institucijų ir
Komisijos bendradarbiavimą pagal 2 ir 3 dalis. Tokie įgyvendinimo aktai
priimami pagal 19 straipsnio 2 dalyje nurodytą konsultavimosi procedūrą.
9 straipsnis
Saugi
dalijimosi informacija sistema
1.           Slapta ir konfidencialia
informacija bendradarbiavimo tinkle keičiamasi naudojantis saugia
infrastruktūra.
2.           Komisija įgaliojama pagal 18
straipsnį priimti deleguotuosius aktus, kuriais nustatomi kriterijai, kuriuos turi
įvykdyti valstybė narė, kad būtų įgaliota dalyvauti saugioje dalijimosi
informacija sistemoje, ir kurie susiję su: 
(a)         
saugia ir atsparia nacionalinio lygmens ryšių ir
informacijos infrastruktūra, kuri būtų suderinama ir sąveiki su
bendradarbiavimo tinklo saugia infrastruktūra pagal 7 straipsnio 3 dalį; ir
(b)         
pakankamais jų kompetentingos institucijos ir CERT
techniniais, finansiniais ir žmogiškaisiais ištekliais ir procesais, kurie
leistų veiksmingai, našiai ir saugiai dalyvauti saugioje dalijimosi informacija
sistemoje pagal 6 straipsnio 3 dalį, 7 straipsnio 2 dalį ir 7 straipsnio 3
dalį. 
3.           Komisija įgyvendinimo aktais
priima sprendimus dėl valstybių narių prieigos prie saugios infrastruktūros
pagal 2 ir 3 dalyse nurodytus kriterijus. Tokie įgyvendinimo aktai priimami
pagal 19 straipsnio 3 dalyje nurodytą nagrinėjimo procedūrą.
10 straipsnis
Išankstiniai perspėjimai
1.           Kompetentingos institucijos
arba Komisija bendradarbiavimo tinkle pateikia išankstinį perspėjimą apie
riziką ir incidentus, kurie atitinka bent vieną iš toliau išvardytų sąlygų:
(a)         
jų mastas sparčiai auga arba gali išaugti;
(b)         
į juos atsakyti nacionalinių reagavimo pajėgumų
nepakanka arba gali nepakakti;
(c)         
jie paveikia arba gali paveikti daugiau nei vieną
valstybę narę.
2.           Išankstinio perspėjimo pranešimuose
kompetentingos institucijos ir Komisija perduoda bet kokią turimą informaciją,
kuri gali būti naudinga vertinant riziką ar incidentą.
3.           Valstybės narės prašymu arba
savo iniciatyva Komisija gali pareikalauti, kad valstybė narė pateiktų bet
kokią informaciją, susijusią su konkrečia rizika ar incidentu.
4.           Jei įtariama, kad rizika ar
incidentas, apie kurį būtina pateikti išankstinį perspėjimą, yra nusikalstamo
pobūdžio, kompetentingos Komisijos institucijos apie tai informuoja Europolo
Europos kovos su elektroniniu nusikalstamumu centrą.
5.           Komisija įgaliojama pagal 18
straipsnį priimti deleguotuosius aktus dėl tolesnio rizikos ir incidentų, dėl
kurių pagal 1 dalį pateikiamas išankstinis perspėjimas, sąrašo tikslinimo. 
11 straipsnis
Koordinuoti atsakomieji veiksmai
1.           Gavusi 10 straipsnyje
nurodytą išankstinį perspėjimą kompetentinga institucija, įvertinusi aktualią
informaciją, susitaria dėl koordinuotų atsakomųjų veiksmų pagal 12 straipsnyje
nurodytą Sąjungos TIS bendradarbiavimo planą.
2.           Įvairios priemonės, priimtos
nacionaliniu lygmeniu remiantis koordinuotais atsakomaisiais veiksmais, yra
perduodamos į bendradarbiavimo tinklą.
12 straipsnis
Sąjungos
TIS bendradarbiavimo planas
1.           Komisija įgaliojama
įgyvendinimo aktais priimti Sąjungos TIS bendradarbiavimo planą. Tokie
įgyvendinimo aktai priimami pagal 19 straipsnio 3 dalyje nurodytą nagrinėjimo
procedūrą.
2.           Sąjungos TIS bendradarbiavimo
plane numatoma:
(a)         
taikant 10 straipsnį: 
–              
formato ir procedūrų, kuriomis vadovaudamosi
kompetentingos institucijos renka ir dalijasi suderinama ir palyginama
informacija apie riziką ir incidentus, apibrėžtis,
–              
procedūrų ir kriterijų, kuriais vadovaudamasis
bendradarbiavimo tinklas vertina riziką ir incidentus, apibrėžtis;
(b)         
procesai, kuriais būtina vadovautis norint užtikrinti
koordinuotus atsakomuosius veiksmus pagal 11 straipsnį, įskaitant vaidmenų,
atsakomybės ir bendradarbiavimo procedūrų nustatymą; 
(c)         
planui stiprinti, tvirtinti ir išbandyti skirtų TIS
pratybų ir mokymo gairės;
(d)         
su gebėjimų stiprinimu ir savitarpio mokymusi
susijusio žinių perdavimo tarp valstybių narių programa; 
(e)         
informuotumo didinimo ir mokymo valstybėse narėse
programa.
3.           Sąjungos TIS bendradarbiavimo
planas priimamas ne vėliau kaip praėjus vieneriems metams po šios direktyvos
įsigaliojimo ir yra reguliariai persvarstomas.
13 straipsnis
Tarptautinis bendradarbiavimas
Neapribojant
bendradarbiavimo tinklo galimybių užtikrinti neformalų tarptautinį
bendradarbiavimą, Sąjunga gali sudaryti tarptautinius susitarimus su
trečiosiomis šalimis ar tarptautinėmis organizacijomis, pagal kuriuos joms būtų
leidžiama dalyvauti tam tikroje bendradarbiavimo tinklo veikloje ir toks
dalyvavimas būtų organizuojamas. Tokiame susitarime atsižvelgiama į poreikį
užtikrinti tinkamą bendradarbiavimo tinkle cirkuliuojančių asmens duomenų
apsaugą. 
IV
SKYRIUS
VIEŠOJO
ADMINISTRAVIMO INSTITUCIJŲ IR RINKOS DALYVIŲ TINKLŲ IR INFORMACIJOS SISTEMŲ
SAUGUMAS
14 straipsnis
Saugumo
reikalavimai ir pranešimas apie incidentus 
1.           Valstybės narės užtikrina,
kad viešojo administravimo institucijos ir rinkos dalyviai imtųsi reikiamų
techninių ir organizacinių priemonių, kad galėtų valdyti riziką, kylančią
tinklų ir informacinių sistemų, kurias jie kontroliuoja ir kuriomis naudojasi
savo veikloje, saugumui. Atsižvelgiant į naujausius technikos laimėjimus,
šiomis priemonėmis užtikrinamas kilusią riziką atitinkantis saugumo lygis. Visų
pirma priemonių imamasi siekiant užkirsti kelią incidentams, kurie paveikia jų
tinklų ir informacines sistemas, kiek įmanoma sumažinti jų poveikį ir tuo būdu
užtikrinti paslaugų, kurios grindžiamos tokiomis tinklų ir informacinėmis
sistemomis, tęstinumą.
2.           Valstybės narės užtikrina,
kad viešojo administravimo institucijos ir rinkos dalyviai praneštų
kompetentingoms institucijoms apie incidentus, kurie turi didelį poveikį
pagrindinių jų teikiamų paslaugų saugumui.
3.           Reikalavimai pagal 1 ir 2
dalis taikomi visiems rinkos dalyviams, teikiantiems paslaugas Europos
Sąjungoje. 
4.           Kompetentinga institucija
gali informuoti visuomenę (arba reikalauti, kad tai darytų viešojo administravimo
institucijos ir rinkos dalyviai), kai ji nustato, kad pranešimas apie incidentą
atitinka viešuosius interesus. Kartą per metus kompetentinga institucija
bendradarbiavimo tinklui pateikia apibendrintą pagal šią dalį gautų pranešimų
ir atliktų veiksmų ataskaitą. 
5.           Komisija yra įgaliojama pagal
18 straipsnį priimti deleguotuosius aktus dėl aplinkybių, kuriomis viešojo
administravimo institucijos ir rinkos dalyviai turi pranešti apie incidentus,
apibrėžties.
6.           Atsižvelgdamos į bet kokius
pagal 5 dalį priimtus deleguotuosius aktus kompetentingos institucijos priima
gaires ir prireikus pateikia nurodymus dėl aplinkybių, kuriomis viešojo
administravimo institucijos ir rinkos dalyviai privalo pranešti apie
incidentus.
7.           Komisija įgaliojama įgyvendinimo
aktais apibrėžti pagal 2 dalį taikytinus formatus ir procedūras. Tokie
įgyvendinimo aktai priimami pagal 19 straipsnio 3 dalyje nurodytą nagrinėjimo
procedūrą.
8.           1 ir 2 dalys netaikomos labai
mažoms įmonėms, mažosioms arba vidutinėms įmonėms, kaip apibrėžta 2003 m.
gegužės 6 d. Komisijos rekomendacijoje 2003/361/EB dėl mikroįmonių, mažųjų
ir vidutinio dydžio įmonių apibrėžimo[35];
15 straipsnis
Įgyvendinimas
ir vykdymo užtikrinimas 
1.           Valstybės narės užtikrina,
kad kompetentingos institucijos turėtų visus įgaliojimus, kurių reikia norint
nagrinėti atvejus, kai viešojo administravimo institucijos ar rinkos dalyviai
nesilaiko savo įsipareigojimų pagal 14 straipsnį, ir tokių atvejų poveikį
tinklų ir informacinių sistemų saugumui.
2.           Valstybės narės užtikrina,
kad kompetentingos institucijos turėtų įgaliojimus reikalauti, kad rinkos
dalyviai ir viešojo administravimo institucijos:
(a)         
pateiktų informaciją (įskaitant saugumo politikos
dokumentus), kuri yra būtina norint įvertinti jų tinklų ir informacinių sistemų
saugumą;
(b)         
sutiktų, kad kvalifikuota nepriklausoma įstaiga ar
nacionalinė institucija atliktų saugumo auditą, ir audito rezultatus pateiktų
kompetentingai institucijai. 
3.           Valstybės narės užtikrina,
kad kompetentingos institucijos turėtų įgaliojimus rinkos dalyviams ir viešojo
administravimo institucijoms pateikti privalomus nurodymus. 
4.           Kompetentingos institucijos
apie įtariamus kriminalinius nusikaltimus praneša teisėsaugos institucijoms.
5.           Kompetentingos institucijos,
nagrinėdamos su asmens duomenų saugumo pažeidimu susijusius incidentus,
glaudžiai bendradarbiauja su asmens duomenų apsaugos institucijomis.
6.           Valstybės narės užtikrinta,
kad pagal šį skyrių nustatytiems viešojo administravimo institucijų ir rinkos
dalyvių įsipareigojimams gali būti taikoma teisminė kontrolė.
16 straipsnis
Standartizavimas
1.           Siekdamos užtikrinti 14
straipsnio 1 dalies vienodą įgyvendinimą, valstybės narės skatina naudotis
standartais ir (arba) specifikacijomis, kurios yra svarbios tinklų ir
informacijos saugumui. 
2.           Komisija įgyvendinimo aktais
priima 1 dalyje nurodytų standartų sąrašą. Sąrašas skelbiamas Europos
Sąjungos oficialiajame leidinyje. 
V
SKYRIUS.
BAIGIAMOSIOS
NUOSTATOS
17 straipsnis
Sankcijos
1.           Valstybės narės sankcijoms,
taikytinoms už nacionalinių nuostatų, priimtų pagal šią direktyvą, pažeidimus
nustato taisykles ir imasi visų priemonių, būtinų tų taisyklių taikymui
užtikrinti. Sankcijos turi būti veiksmingos, proporcingos ir atgrasančios.
Valstybės narės informuoja Komisiją apie tokias nuostatas ne vėliau kaip iki
direktyvos perkėlimo į nacionalinę teisę datos ir nedelsdamos praneša jai apie
vėlesnius tokių nuostatų pakeitimus.
2.           Valstybės narės užtikrinta,
kad, kai saugumo incidentas yra susijęs su asmens duomenimis, numatytosios
sankcijos atitiktų sankcijas, numatytas Europos Parlamento ir Tarybos
reglamentu dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo
tokių duomenų judėjimo[36].
18 straipsnis
Delegavimas
1.           Įgaliojimai priimti
deleguotuosius aktus Komisijai suteikiami šiame straipsnyje nustatytomis
sąlygomis.
2.           Komisijai suteikiami 9
straipsnio 2 dalyje, 10 straipsnio 5 dalyje ir 14 straipsnio 5 dalyje nurodyti
įgaliojimai priimti deleguotuosius aktus. Komisija parengia ataskaitą dėl
įgaliojimų suteikimo likus ne mažiau kaip devyniems mėnesiams iki penkerių metų
laikotarpio pabaigos. Įgaliojimų suteikimas automatiškai pratęsiamas tokios
pačios trukmės laikotarpiams, išskyrus atvejus, kai Europos Parlamentas arba
Taryba pareiškia prieštaravimų dėl tokio pratęsimo likus ne mažiau kaip trims
mėnesiams iki kiekvieno tokio laikotarpio pabaigos.
3.           Europos Parlamentas arba
Taryba gali bet kada atšaukti 9 straipsnio 2 dalyje, 10 straipsnio 5 dalyje ir
14 straipsnio 5 dalyje nurodytų įgaliojimų suteikimą. Sprendimu dėl atšaukimo
nutraukiamas tame sprendime nurodytų įgaliojimų suteikimas. Sprendimas
įsigalioja kitą dieną po jo paskelbimo Europos Sąjungos oficialiajame
leidinyje arba vėlesnę jame nurodytą dieną. Jis neturi poveikio jokiam jau
įsigaliojusiam deleguotajam teisės aktui.
4.           Kai tik Komisija priima
deleguotąjį aktą, apie tai ji tuo pačiu metu praneša Europos Parlamentui ir
Tarybai.
5.           Pagal 9 straipsnio 2 dalį, 10
straipsnio 5 dalį ir 14 straipsnio 5 dalį priimtas deleguotasis aktas
įsigalioja tik jeigu per du mėnesius nuo pranešimo apie jį Europos Parlamentui
ir Tarybai dienos nei Europos Parlamentas, nei Taryba nepareiškė prieštaravimų
arba jeigu iki to laikotarpio pabaigos ir Europos Parlamentas, ir Taryba
pranešė Komisijai, kad jie nepareikš prieštaravimų. Europos Parlamento arba Tarybos
iniciatyva tas laikotarpis pratęsiamas dviem mėnesiams.
19 straipsnis
Komitetų
procedūra
1.           Komisijai padeda komitetas
(„Tinklų ir informacijos saugumo komitetas“). Tai komitetas, apibrėžtas
Reglamente (ES) Nr. 182/2011.
2.           Kai daroma nuoroda į šią dalį,
taikomas Reglamento (ES) Nr. 182/2011 4 straipsnis.
3.           Kai daroma nuoroda į šią
dalį, taikomas Reglamento (ES) Nr. 182/2011 5 straipsnis.
20 straipsnis
Įvertinimas

Komisija periodiškai peržiūri šios direktyvos
taikymą ir pranešimą apie tai pateikia Europos Parlamentui ir Tarybai. Pirmoji
ataskaita pateikiama ne vėliau kaip praėjus trejiems metams po perkėlimo į
nacionalinę teisę datos, nurodytos 21 straipsnyje. Tuo tikslu Komisija gali
pareikalauti, kad valstybės narės nevilkindamos pateiktų informaciją. 
21 straipsnis
Perkėlimas
į nacionalinę teisę
1.           Ne vėliau kaip [vieneri su
puse metų nuo priėmimo dienos] valstybės narės priima ir paskelbia įstatymus ir
kitus teisės aktus, būtinus siekiant laikytis šios direktyvos. Jos nedelsdamos
pateikia Komisijai tų nuostatų tekstus.
Jos pradeda tas priemones taikyti nuo [vieneri su
puse metų nuo priėmimo dienos].
Valstybės narės, tvirtindamos tas priemones, daro
jose nuorodą į šią direktyvą arba tokia nuoroda daroma jas oficialiai
skelbiant. Nuorodos darymo būdą nustato valstybės narės.
2.           Valstybės narės pateikia
Komisijai šios direktyvos taikymo srityje priimtų vidaus teisės aktų
pagrindinių nuostatų tekstus. 
22 straipsnis
Įsigaliojimas
Ši direktyva
įsigalioja [dvidešimtą] dieną po jos paskelbimo Europos Sąjungos
oficialiajame leidinyje.
23 straipsnis
Adresatai
Ši direktyva
skirta valstybėms narėms.
Priimta Briuselyje
Europos Parlamento vardu                           Tarybos
vardu
Pirmininkas                                                   Pirmininkas
I PRIEDAS
Kompiuterinių incidentų tyrimo tarnybai (CERT) keliami reikalavimai ir
jos užduotys
CERT keliami
reikalavimai ir jos užduotys yra tinkamai ir aiškiai apibrėžti ir grindžiami
nacionaline politika ir (arba) taisyklėmis. Juos sudaro:
(1)                   
CERT taikomi reikalavimai
(a)                   
CERT užtikrina, kad jos ryšio paslaugos būtų
lengvai prieinamos ir kad nesusidarytų silpnų didelės svarbos grandžių, taip
pat nustato keletą būdų, kaip susisiekti su ja ir kitais. Be to, ryšio kanalai
yra aiškiai apibrėžti ir gerai žinomi susijusioms šalims ir bendradarbiavimo
partneriams.
(b)                   
CERT įgyvendina ir valdo saugumo priemones,
siekdama užtikrinti jos gaunamos ir tvarkomos informacijos konfidencialumą,
vientisumą, prieinamumą ir autentiškumą.
(c)                   
CERT biurai yra įkurti ir pagalbinės informacinės
sistemos įrengtos saugiose vietose.
(d)                   
Tarnybos valdymo kokybės sistema sukuriama remiantis
CERT veiklos rodikliais, taip užtikrinant nuoseklų tobulinimo procesą. Ji
grindžiama aiškiai apibrėžtomis matavimo priemonėmis, kurios apima oficialius
paslaugų lygmenis ir pagrindinius veiklos rodiklius.
(e)                   
Veiklos tęstinumas
–              
CERT aprūpinama tinkama prašymų valdymo ir
nukreipimo sistema, siekiant palengvinti perdavimą, 
–              
CERT turi pakankamai darbuotojų, kad būtų prieinama
bet kuriuo metu,
–              
CERT remiasi infrastruktūra, kurios tęstinumas yra
užtikrintas. Tuo tikslu sukuriamos CERT atsarginės sistemos ir rezervinė darbo
erdvė, siekiant užtikrinti pastovią prieigą prie ryšio priemonių. 
(2)                   
CERT užduotys
(a)                   
CERT užduotys yra bent tokios: 
–              
stebėti incidentus nacionaliniu lygmeniu,
–              
teikti su rizika ir incidentais susijusius
išankstinius perspėjimus, įspėjimus, skelbimus ir informaciją atitinkamoms
suinteresuotosioms šalims,
–              
reaguoti į incidentus,
–              
užtikrinti dinaminę rizikos bei incidentų analizę
ir informuotumą apie susiklosčiusią padėtį,
–              
didinti visuomenės informuotumą apie riziką,
susijusią su veikla internete,
–              
organizuoti su TIS susijusias kampanijas;
(b)                   
CERT užmezga bendradarbiavimo santykius su
privačiuoju sektoriumi.
(c)                   
Siekdama palengvinti bendradarbiavimą, CERT skatina
priimti ir naudoti bendrus ar standartizuotus metodus tokiose srityse: 
–              
incidentų ir rizikos valdymo procedūrų,
–              
incidentų, rizikos ir informacijos klasifikavimo
sistemų,
–              
matavimo priemonių taksonomijos sistemų,
–              
keitimosi informacija apie riziką ir incidentus
formatų ir sistemų įvardijimo susitarimų.
II PRIEDAS
Rinkos
dalyvių sąrašas
Nurodyti 3 straipsnio 8 dalies a punkte
1. E. prekybos platformos
2. Interneto mokėjimo vartai
3. Socialiniai tinklai 
4. Paieškos sistemos
5. Nuotolinių išteklių paslaugos
6. Taikomųjų programų parduotuvės
Nurodyti 3 straipsnio 8 dalies b punkte
1. Energetika
–              
Elektros ir dujų tiekėjai
–              
Elektros energijos ir (arba) dujų paskirstymo
sistemų operatoriai ir mažmenininkai, teikiantis prekes galutiniams vartotojams

–              
Gamtinių dujų perdavimo sistemų operatoriai,
saugyklų operatoriai ir SGD operatoriai 
–              
Elektros energijos perdavimo sistemų operatoriai
–              
Naftotiekiai ir naftos saugyklos
–              
Elektros energijos ir dujų rinkų dalyviai
–               
Naftos ir gamtinių dujų gamybos, perdirbimo
ir apdorojimo įrengimų įmonės
2. Transportas 
–              
Oro vežėjai (krovinių ir keleivių vežimas oro
transportu)
–              
Jūrų vežėjai (jūrų ir pakrančių keleivių vežimo
vandens transportu bendrovės ir jūrų bei pakrančių krovinių vežimo vandens
transportu bendrovės)
–              
Geležinkeliai (infrastruktūros valdytojai,
integruotos bendrovės ir geležinkelių vežėjai) 
–              
Oro uostai 
–              
Uostai
–              
Eismo valdymo kontrolės operatoriai
–              
Papildomos logistinės paslaugos: a) sandėliavimo ir
saugojimo, b) krovinių tvarkymo ir c) kitos transporto pagalbinės veiklos. 
3. Bankininkystė – kredito įstaigos pagal
Direktyvos 2006/48/EB 4 straipsnio 1 dalį. 
4. Finansų rinkų infrastruktūra – vertybinių
popierių biržos ir pagrindinės sutarties šalies tarpuskaitos namai.
5. Sveikatos sektorius – sveikatos priežiūros
vietos (įskaitant ligonines ir privačias klinikas) ir kiti sveikatos priežiūros
paslaugų teikimo subjektai.
FINANSINĖ TEISĖS AKTO PASIŪLYMO
PAŽYMA
1.           PASIŪLYMO (INICIATYVOS) STRUKTŪRA 
              1.1.    Pasiūlymo (iniciatyvos) pavadinimas 
              1.2.    Atitinkama
(-os) politikos sritis (-ys) VGV / VGB sistemoje
              1.3.    Pasiūlymo
(iniciatyvos) pobūdis 
              1.4.    Tikslai

              1.5.    Pasiūlymo
(iniciatyvos) pagrindas 
              1.6.    Trukmė
ir finansinis poveikis 
              1.7.    Numatomas (-i)
valdymo metodas (-ai) 
2.           VALDYMO PRIEMONĖS 
              2.1.    Priežiūros
ir atskaitomybės taisyklės 
              2.2.    Valdymo
ir kontrolės sistema 
              2.3.    Sukčiavimo
ir pažeidimų prevencijos priemonės 
3.           NUMATOMAS PASIŪLYMO (INICIATYVOS)
FINANSINIS POVEIKIS 
              3.1.    Atitinkama
(-os) daugiametės finansinės programos išlaidų kategorija (-os) ir biudžeto
išlaidų eilutė (-ės) 
              3.2.    Numatomas
poveikis išlaidoms 
              3.2.1. Numatomo poveikio
išlaidoms suvestinė 
              3.2.2. Numatomas poveikis
veiklos asignavimams 
              3.2.3. Numatomas poveikis
administracinio pobūdžio asignavimams
              3.2.4. Suderinamumas su
dabartine daugiamete finansine programa
              3.2.5. Trečiųjų šalių
įnašai 
              3.3.    Numatomas poveikis įplaukoms
FINANSINĖ
TEISĖS AKTO PASIŪLYMO PAŽYMA
1.           PASIŪLYMO (INICIATYVOS) STRUKTŪRA 
1.1.        Pasiūlymo (iniciatyvos)
pavadinimas 
Europos
Parlamento ir Tarybos direktyvos dėl priemonių aukštam bendram tinklų ir
informacinių sistemų saugumo lygiui visoje Sąjungoje užtikrinti pasiūlymas.
1.2.        Atitinkama politikos sritis
VGV / VGB sistemoje[37] 
-
09 – Ryšių tinklai, turinys ir technologijos
1.3.        Pasiūlymo (iniciatyvos)
pobūdis 
ý Pasiūlymas
(iniciatyva) susijęs (-usi) su nauja priemone 
¨ Pasiūlymas (iniciatyva) susijęs (-usi) su
nauja priemone, kuri bus priimta įgyvendinus bandomąjį projektą ir (arba)
atlikus parengiamuosius veiksmus[38] 
¨ Pasiūlymas
(iniciatyva) susijęs (-usi) su esamos priemonės galiojimo pratęsimu 
¨ Pasiūlymas
(iniciatyva) susijęs (-usi) su priemone, perorientuota į naują priemonę 
1.4.        Tikslai
1.4.1.     Komisijos daugiametis (-čiai)
strateginis (-iai) tikslas (-ai), kurio (-ių) siekiama šiuo pasiūlymu (šia
iniciatyva) 
Siūlomos
direktyvos tikslas – užtikrinti aukštą bendrą tinklų ir informacijos
saugumo (TIS) lygį visoje ES. 
1.4.2.     Konkretūs tikslai ir
atitinkama VGV / VGB veikla 
Pasiūlyme
nustatytos priemonės aukštam bendram tinklų ir informacinių sistemų saugumo
lygiui visoje Sąjungoje užtikrinti.
Konkretūs
tikslai: 
1.       Nustatyti
minimalų TIS lygmenį valstybėse narėse ir taip apskritai pagerinti bendrą
parengtį ir atsakomuosius veiksmus. 
2.       Gerinti
TIS bendradarbiavimą ES lygmeniu siekiant veiksmingai tarpvalstybiniu lygmeniu
kovoti su incidentais ir grėsmėmis. Bus sukurta saugi dalijimosi informacija
infrastruktūra, kuri leistų kompetentingoms institucijoms keistis slapta ir
konfidencialia informacija.
3.       Suformuoti
rizikos valdymo kultūrą ir pagerinti privačiojo ir viešojo sektorių keitimąsi
informacija. 
Atitinkama VGV / VGB veikla
Direktyva
taikoma tam tikrų sektorių (energetikos, transporto, kredito institucijų ir
vertybinių popierių biržų, sveikatos priežiūros ir pagrindinių interneto
paslaugų teikimą užtikrinančių priemonių) subjektams (bendrovėms,
organizacijoms, įskaitant kai kurias MVĮ), taip pat viešojo administravimo
institucijoms. Joje pristatomos sąsajos tarp teisėsaugos ir duomenų apsaugos,
taip pat išorės santykių TIS aspektai.
-
09 – Ryšių tinklai, turinys ir technologijos
-
02 – Verslas
-
32 – Energetika
-
06 – Judumas ir transportas
-
17– Sveikatos ir vartotojų apsauga
-
18 – Vidaus reikalai
-
19 – Išorės santykiai
-
33 – Teisingumas 
-
12 – Vidaus rinka
1.4.3.     Numatomas (-i) rezultatas
(-ai) ir poveikis
Nurodyti poveikį, kurį
pasiūlymas (iniciatyva) turėtų turėti tiksliniams gavėjams (grupėms)
Labai
padidėtų ES vartotojų, verslo įmonių ir valdžios institucijų apsauga nuo TIS
incidentų, grėsmių ir rizikos.
Daugiau
informacijos galima rasti prie šio teisės akto pasiūlymo pridedamo Komisijos
tarnybų darbinio dokumento „Poveikio vertinimas“ 8.2 skirsnyje (2 varianto
„Reguliavimas“ poveikis). 
1.4.4.     Rezultatų ir poveikio
rodikliai 
Nurodyti pasiūlymo
(iniciatyvos) įgyvendinimo stebėjimo rodiklius.
Stebėsenos
ir vertinimo rodikliai pateikiami Poveikio vertinimo 10 skirsnyje. 
1.5.        Pasiūlymo (iniciatyvos) pagrindas

1.5.1.     Trumpalaikiai arba ilgalaikiai
poreikiai 
Būtų
reikalaujama, kad kiekviena valstybė narė turėtų:
-
nacionalinę TIS strategiją;
-
TIS bendradarbiavimo planą;
-
TIS kompetentingą nacionalinę instituciją; taip pat
-
Kompiuterinių incidentų tyrimo tarnybą (CERT)
ES
lygmeniu būtų reikalaujama, kad valstybės narės bendradarbiautų tinkle. 
Būtų
reikalaujama, kad viešojo administravimo institucijos ir pagrindiniai
privačiojo sektoriaus atstovai užtikrintų TIS rizikos valdymą ir praneštų
kompetentingoms institucijoms apie didelį poveikį turinčius TIS incidentus. 
1.5.2.     Papildoma ES dalyvavimo nauda
Atsižvelgiant
į tarpvalstybinį TIS pobūdį, atitinkamų teisės aktų ir politikos skirtumai yra
kliūtis bendrovėms veikti daugelyje šalių ir užtikrinti visuotinę masto
ekonomiją. Jei nebus veikiama ES lygmeniu, gali susidaryti padėtis, kai
kiekviena valstybė narė veiktų atskirai, nepaisydama sąsajų tarp tinklų ir
informacinių sistemų. 
Tad
nustatyti tikslai gali būti geriau pasiekti imantis ES lygmens, o ne valstybių
narių lygmens veiksmų.
1.5.3.     Panašios patirties išvados
Pasiūlymas
grindžiamas analizės išvadomis, jog būtini reguliavimo srities įpareigojimai,
kad būtų sudarytos vienodos veiklos sąlygos ir panaikintos tam tikros teisės
aktų leidybos spragos. Atsižvelgiant į visiško savanoriškumo principą
bendradarbiavimas šioje srityje vyksta tik tarp mažumos didelius pajėgumus
turinčių valstybių narių. 
1.5.4.     Suderinamumas ir galima
sąveika su kitomis atitinkamomis priemonėmis
Pasiūlymas
visiškai atitinka Europos skaitmeninę darbotvarkę, o todėl – ir strategiją „ES
2020“. Jis atitinka ES elektroninių ryšių reguliavimo sistemą, ES direktyvą dėl
ypatingos svarbos Europos infrastruktūros objektų ir ES duomenų apsaugos
direktyvą ir juo šie teisės aktai papildomi.
Šis
pasiūlymas teikiamas kartu su bendru Komisijos ir Sąjungos vyriausiosios
įgaliotinės užsienio reikalams ir saugumo politikai komunikatu dėl Europos
kibernetinio saugumo strategijos ir yra jos svarbi dalis.
1.6.        Trukmė ir finansinis poveikis

–     
¨ Pasiūlymo (iniciatyvos) trukmė ribota 
–     
¨  Pasiūlymo (iniciatyvos) trukmė – MMMM [mm dd] – MMMM [mm dd]. 
–     
¨  Finansinis poveikis nuo MMMM iki MMMM. 
–     
ý Pasiūlymo (iniciatyvos) trukmė neribota
–     
Perkėlimo į nacionalinę teisę laikotarpis
pradedamas skaičiuoti po priėmimo (numatoma 2015 m.) ir trunka 18 mėnesių.
Tačiau direktyvos įgyvendinimas prasidės nuo priėmimo; ją įgyvendinant bus
sukurta saugi infrastruktūra, kuri padės paremti valstybių narių
bendradarbiavimą.
–     
vėliau – visavertis taikymas.
1.7.        Numatyti valdymo būdai[39] 
–     
ý Komisijos vykdomas tiesioginis centralizuotas valdymas 
–     
ý Netiesioginis centralizuotas valdymas, vykdymo užduotis perduodant:
–     
¨vykdomosioms įstaigoms 
–     
x Bendrijų įsteigtoms įstaigoms[40]

–     
¨  nacionalinėms viešojo sektoriaus arba viešąsias paslaugas teikiančioms
įstaigoms 
–     
¨  asmenims, atsakingiems už konkrečių veiksmų vykdymą pagal Europos
Sąjungos sutarties V antraštinę dalį ir nurodytiems atitinkamame pagrindiniame
teisės akte, apibrėžtame Finansinio reglamento 49 straipsnyje 
–     
¨ Pasidalijamasis valdymas kartu su valstybėmis narėmis 
–     
¨ Decentralizuotas valdymas kartu su trečiosiomis šalimis 
–     
¨ Bendras valdymas su tarptautinėmis organizacijomis, įskaitant Europos
kosmoso agentūrą
Jei nurodomas daugiau
kaip vienas valdymo būdas, papildomą išsamią informaciją pateikti šio punkto
pastabų skiltyje.
Pastabos

Decentralizuota
Bendrijų įkurta agentūra ENISA gali padėti valstybėms narėms ir Komisijai
įgyvendinti direktyvą pagal jos įgaliojimus, perskirsčius šiai agentūra pagal
2014–2020 m. daugiametę finansinę programą numatytus išteklius.
2.           VALDYMO PRIEMONĖS 
2.1.        Priežiūros ir atskaitomybės
nuostatos 
Nurodyti dažnumą ir
sąlygas.
Komisija
periodiškai peržiūrės direktyvos taikymą ir pateiks apie tai pranešimą Europos
Parlamentui ir Tarybai. 
Be
to, Komisija įvertins, ar direktyva į nacionalinę teisę teisingai perkelta
visose valstybėse narėse.
EITP
pasiūlyme taip pat numatyta galimybė vertinti projektų įgyvendinimo metodus ir
jų įgyvendinimo poveikį siekiant įvertinti, ar yra pasiekti tikslai, įskaitant
su aplinkos apsauga susijusius tikslus.
2.2.        Valdymo ir kontrolės sistema

2.2.1.     Nustatyta rizika 
-
vėlavimas įgyvendinant projektą kurti saugią infrastruktūrą
2.2.2.     Numatomi kontrolės metodai 
Pagal
EITP vykdomų veiksmų įgyvendinimo susitarimuose ir sprendimuose bus numatyta
Komisijos arba bet kokio Komisijos įgalioto atstovo vykdoma priežiūra ir
finansinė kontrolė, taip pat Audito Rūmų auditas ir Europos kovos su sukčiavimu
tarnybos (OLAF) vykdomi patikrinimai vietoje.
2.2.3.     Kontrolės priemonių taikymo
išlaidos ir nauda ir galimas nesilaikymo lygis
Rizika
grindžiamos ex ante ir ex post kontrolės priemonės ir audito
vietoje galimybė leis užtikrinti, kad kontrolės priemonių taikymo Išlaidos būtų
pagrįstos. 
2.3.        Sukčiavimo ir pažeidimų
prevencijos priemonės 
Nurodyti dabartines
arba numatytas prevencijos ir apsaugos priemones.
Komisija
tinkamomis priemonėmis užtikrina, kad, vykdant pagal šią direktyvą finansuojamą
veiksmą, finansiniai Sąjungos interesai būtų ginami taikant prevencines kovos
su sukčiavimu, korupcija ir kitokia neteisėta veika priemones, atliekant
veiksmingas patikras ir, jei nustatoma pažeidimų, susigrąžinant nepagrįstai
sumokėtas sumas ir prireikus skiriant veiksmingas, proporcingas ir
atgrasomąsias sankcijas.
Komisijai
arba jos atstovams ir Audito Rūmams suteikiami įgaliojimai atlikti visų
dotacijų gavėjų, rangovų ir subrangovų, gavusių Sąjungos lėšų pagal programą,
dokumentų auditą ir auditą vietoje.
Europos
kovos su sukčiavimu tarnyba (OLAF) gali, laikydamasi Reglamente (Euratomas, EB)
Nr. 2185/96 nustatytų procedūrų, atlikti ūkinės veiklos vykdytojų, tiesiogiai
arba netiesiogiai susijusių su tokiu finansavimu, patikrinimus ir patikras
vietoje, siekdama nustatyti, ar vykdant dotacijos susitarimą, dotacijos
sprendimą ar sutartį dėl Sąjungos lėšų skyrimo nebūta Sąjungos finansiniams
interesams kenkiančių sukčiavimo, korupcijos ar kitos neteisėtos veikos atvejų.
Nepažeidžiant
ankstesnių pastraipų nuostatų, bendradarbiavimo susitarimuose su trečiosiomis
šalimis bei tarptautinėmis organizacijomis ir dotacijų susitarimuose, dotacijų
sprendimuose ir sutartyse, sudaromose įgyvendinant šį reglamentą, Komisijai,
Audito Rūmams ir OLAF aiškiai suteikiami įgaliojimai atlikti tokį auditą,
patikrinimus ir patikras vietoje. 
EITP
numatytos subsidijų ir viešojo pirkimo sutartys, kurios bus pagrįstos
standartiniais modeliais, kuriuose bus nustatytos bendrai taikytinos kovos su
sukčiavimu priemonės.
3.           NUMATOMAS PASIŪLYMO (INICIATYVOS)
FINANSINIS POVEIKIS 
3.1.        Atitinkama (-os) daugiametės
finansinės programos išlaidų kategorija (-os) ir biudžeto išlaidų eilutė (-ės)

·      Dabartinės biudžeto eilutės 
Daugiametės finansinės programos išlaidų
kategorijas ir biudžeto eilutes nurodyti eilės tvarka.
 Daugiametės finansinės programos išlaidų kategorija || Biudžeto eilutė || Išlaidų rūšis || Įnašas 
 Rezultatų [Aprašymas…................................................] || DA / NDA ([41])   || ELPA šalių[42]   || šalių kandidačių[43]   || trečiųjų šalių || pagal Finansinio reglamento 18 straipsnio 1 dalies aa punktą 
   || 09 03 02          skatinti nacionalinių internetu teikiamų viešųjų paslaugų sujungimą bei sąveiką ir prieigą prie tokių tinklų || DIF || NE || NE || NE || NE 
·      Prašomos sukurti naujos biudžeto eilutės (netaikoma)
Daugiametės finansinės
programos kategorijos ir biudžeto eilutės nurodytos eilės tvarka.
 Daugiametės finansinės programos išlaidų kategorija || Biudžeto eilutė || Išlaidų rūšis || Įnašas 
 Rezultatų [Išlaidų kategorija…                                       ] || DA / NDA || ELPA šalių || šalių kandidačių || trečiųjų šalių || pagal Finansinio reglamento 18 straipsnio 1 dalies aa punktą 
   || [XX.YY.YY.YY]   ||   || TAIP / NE || TAIP / NE || TAIP / NE || TAIP / NE 
3.2.        Numatomas poveikis išlaidoms

3.2.1.     Numatomo poveikio išlaidoms
suvestinė 
mln. EUR (tūkstantųjų tikslumu)
 Daugiametės finansinės programos išlaidų kategorija || 1 || Tvarus ir integracinis augimas 
 DG: <…….> ||   ||   || 2015 m.*[44] || 2016 metai || 2017 metai || 2018 metai || Vėlesni metai (2019-2021) ir vėliau || IŠ VISO 
  Veiklos asignavimai ||   ||   ||   ||   ||   ||   ||   ||   
 09 03 02 || Įsipareigojimai || (1) || 1,250** || 0,000 ||   ||   ||   ||   ||   || 1,250 
 Mokėjimai || (2) || 0,750 || 0,250 || 0,250 ||   ||   ||   ||   || 1,250 
 Administracinio pobūdžio asignavimai, finansuojami konkrečių programų rinkinio[45] lėšomis   || 0,000 ||   ||   ||   ||   ||   ||   || 0,000 
 Biudžeto eilutės numeris ||   || (3) || 0,000 ||   ||   ||   ||   ||   ||   || 0,000 
 IŠ VISO asignavimų <….> GD || Įsipareigojimai || =1+1a +3 || 1,250 || 0,000 ||   ||   ||   ||   ||   || 1,250 
 Mokėjimai || =2+2a +3 || 0,750 || 0,250 || 0,250 ||   ||   ||   ||   || 1,250 
  IŠ VISO veiklos asignavimų || Įsipareigojimai || (4) || 1,250 || 0,000 ||   ||   ||   ||   ||   || 1,250 
 Mokėjimai || (5) || 0,750 || 0,250 || 0,250 ||   ||   ||   ||   || 1,250 
  IŠ VISO administracinio pobūdžio asignavimų, finansuojamų konkrečių programų rinkinio lėšomis || (6) || 0,000 ||   ||   ||   ||   ||   ||   ||   
 IŠ VISO asignavimų pagal daugiametės finansinės programos 1 IŠLAIDŲ KATEGORIJĄ || Įsipareigojimai || =4+ 6 || 1,250 || 0,000 ||   ||   ||   ||   ||   || 1,250 
 Mokėjimai || =5+ 6 || 0,750 || 0,250 || 0,250 ||   ||   ||   ||   || 1,250 
* Tikslus laikas priklausys nuo datos, kai
pasiūlymą priims teisės aktų leidybos institucija (t. y. jei direktyva bus
patvirtinta 2014 m., esamos infrastruktūros pritaikymas prasidės
2015 m.; kitu atveju – po metų).
** Jeigu valstybės narės nusprendžia
pasinaudoti esama infrastruktūra ir padengti vienkartines pritaikymo išlaidas
iš ES biudžeto, kaip paaiškinta 1.4.3 ir 1.7 punktuose, apskaičiuota, kad,
remiantis direktyvos III skyriumi (išankstinis perspėjimas, koordinuoti
atsakomieji veiksmai ir t. t.), tinklo pritaikymo valstybių narių
bendradarbiavimui paremti išlaidos būtų 1 250 000 EUR. Ši suma
šiek tiek didesnė nei paminėtoji poveikio vertinime (apie 1 mln. EUR), nes ji
pagrįsta tikslesniu reikiamų tokios infrastruktūros sudedamųjų dalių
apskaičiavimu. Reikiamos sudedamosios dalys ir su jomis susijusios išlaidos yra
pagrįstos JRC apskaičiavimu, pagrįstu sistemų kūrimo kitose srityse (tokiose
kaip visuomenės sveikatos), ir būtų tokios: TIS ankstyvojo perspėjimo ir
pranešimo sistema (275 000 EUR), keitimosi informacija platforma (400 000
EUR); išankstinio perspėjimo ir atsakomųjų veiksmų sistema (275 000 EUR);
operatyvinio valdymo centras (300 000 EUR) – iš viso 1 250 000 EUR.
Tikimasi, kad išsamesnis įgyvendinimo planas bus pateiktas būsimame galimybių
tyrime pagal konkrečią sutartį SMART 2012/0010 „Europos išankstinio perspėjimo
ir atsakomųjų veiksmų sistemos kovai su kibernetiniais išpuoliais ir
elektroninių ryšių tinklo veiklos sutrikdymu įgyvendinimo galimybių tyrimas ir
parengiamoji veikla“.
Jei pasiūlymas (iniciatyva) daro poveikį kelioms
išlaidų kategorijoms:    
  IŠ VISO veiklos asignavimų || Įsipareigojimai || (4) || 0,000 || 0,000 ||   ||   ||   ||   ||   ||   
 Mokėjimai || (5) || 0,000 || 0,000 ||   ||   ||   ||   ||   ||   
  IŠ VISO administracinio pobūdžio asignavimų, finansuojamų konkrečių programų rinkinio lėšomis || (6) || 0,000 || 0,000 ||   ||   ||   ||   ||   ||   
 IŠ VISO asignavimų pagal daugiametės finansinės programos 1–4 IŠLAIDŲ KATEGORIJAS (Orientacinė suma) || Įsipareigojimai || =4+ 6 || 1,250 || 0,000 ||   ||   ||   ||   ||   || 1.250 
 Mokėjimai || =5+ 6 || 0,750 || 0,250 || 0,250 ||   ||   ||   ||   || 1.250 
 Daugiametės finansinės programos išlaidų kategorija || 5 || Administracinės išlaidos 
mln. EUR (tūkstantųjų tikslumu)
   ||   ||   || 2015 metai || 2016 metai || 2017 metai || 2018 metai || Vėlesni metai (2019-2021) ir vėliau || IŠ VISO 
 GD: CNECT || 
  Žmogiškieji ištekliai || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 4,004 
  Kitos administracinės išlaidos || 0,318 || 0,118 || 0,318 || 0,118 || 0,318 || 0,118 || 0,118 || 1,426 
 IŠ VISO CNECT generalinio direktorato || Asignavimai || 0,890 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 5,430 
 IŠ VISO asignavimų Daugiametės finansinės programos 5 IŠLAIDŲ KATEGORIJA || (Iš viso įsipareigojimų = Iš viso mokėjimų) || 0,890 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 5,430 
mln. EUR (tūkstantųjų tikslumu)
   ||   ||   || 2015 metai[46] || 2016  metai || 2017 metai || 2018 metai || Vėlesni metai (2019-2021) ir vėliau || IŠ VISO 
 IŠ VISO asignavimų pagal daugiametės finansinės programos 1–5 IŠLAIDŲ KATEGORIJOS || Įsipareigojimai || 2,140 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 6,680 
 Mokėjimai || 1,640 || 0,940 || 1,140 || 0,690 || 0,890 || 0,690 || 0,690 || 6,680 
3.2.2.     Numatomas poveikis veiklos
asignavimams 
–     
¨ Pasiūlymui (iniciatyvai) įgyvendinti veiklos asignavimai nenaudojami 
–     
þ Pasiūlymui (iniciatyvai) įgyvendinti veiklos asignavimai naudojami
taip:
–     
Įsipareigojimų asignavimai
mln. EUR (tūkstantųjų tikslumu)
 Nurodyti tikslus ir rezultatus   ò ||   ||   || 2015* metai || 2016 metai || 2017 metai || 2018 metai || Vėlesni metai (2019-2021) ir vėliau || IŠ VISO 
 REZULTATAI 
 Tipas[47]   || Vidutinės išlaidos || Skaičius || Išlaidos || Skaičius || Išlaidos || Skaičius || Išlaidos || Skaičius || Išlaidos || Skaičius || Išlaidos || Skaičius || Išlaidos || Skaičius || Išlaidos || Visas skaičius || Iš viso sąnaudų 
 2 KONKRETUS TIKSLAS[48] Saugi dalijimosi informacija infrastruktūra ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   
 - Rezultatas || Pritaikyta infrastruktūra ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   
 Iš viso 2 konkretaus tikslo || 1 || 1,250** ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   || 1 || 1,250 
 VISOS IŠLAIDOS ||   || 1,250 ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   ||   || 1,250 
* Tikslus laikas priklausys nuo datos, kai
pasiūlymą priims teisės aktų leidybos institucija (t. y. jei direktyva bus
patvirtinta 2014 m., esamos infrastruktūros pritaikymas prasidės
2015 m.; kitu atveju – po metų).
** Žr. 3.2.1 punktą.
3.2.3.     Numatomas poveikis
administracinio pobūdžio asignavimams
3.2.3.1.  Santrauka 
–     
¨  Pasiūlymui (iniciatyvai) įgyvendinti administraciniai asignavimai
nenaudojami 
–     
þ  Pasiūlymui (iniciatyvai) įgyvendinti administraciniai asignavimai
naudojami taip:
mln. EUR (tūkstantųjų tikslumu)
   || 2015 metai[49]   || 2016 metai || 2017 metai || 2018 metai || Vėlesni metai (2019-2021) ir vėliau || IŠ VISO 
 Daugiametės finansinės programos 5 IŠLAIDŲ KATEGORIJA ||   ||   ||   ||   ||   ||   ||   ||   
 Žmogiškieji ištekliai || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 0,572 || 4,004 
 Kitos administracinės išlaidos || 0,318 || 0,118 || 0,318 || 0,118 || 0,318 || 0,118 || 0,118 || 1,426 
 Tarpinė suma pagal daugiametės finansinės programos 5 IŠLAIDŲ KATEGORIJĄ || 0,890 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 5,430 
 Neįtraukta į daugiametės finansinės programos 5 IŠLAIDŲ KATEGORIJĄ[50]   ||   ||   ||   ||   ||   ||   ||   ||   
 Žmogiškieji ištekliai || 0,000 || 0,000 ||   ||   ||   ||   ||   || 0,000 
 Kitos administracinio pobūdžio išlaidos ||   ||   ||   ||   ||   ||   ||   ||   
 Tarpinė suma, neįtraukta pagal daugiametės finansinės perspektyvos 5 IŠLAIDŲ KATEGORIJĄ || 0,890 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 5,430 
 IŠ VISO || 0,890 || 0,690 || 0,890 || 0,690 || 0,890 || 0,690 || 0,690 || 5,430 
Administracinių CNECT generalinio direktorato
asignavimų poreikiai bus tenkinami panaudojant asignavimus, kurie jau paskirti
priemonei valdyti ir (arba) kurie buvo perskirstyti generaliniame direktorate,
ir prireikus finansuojami iš papildomų lėšų, kurios atsakingam generaliniam
direktoratui gali būti skiriamos valdančiajam generaliniam direktoratui pagal
metinę asignavimų skyrimo procedūrą ir atsižvelgiant į biudžeto apribojimus.
Europos tinklų ir informacijos apsaugos
agentūra (ENISA) gali padėti valstybėms narėms ir Komisijai įgyvendinti
direktyvą remdamasi savo įgaliojimais, perskirsčius šiai agentūrai pagal
2014–2020 m. daugiametę finansinę programą skirtus išteklius, t. y.
be jokių papildomų biudžeto ar žmogiškųjų išteklių asignavimų.
3.2.3.2.  Numatomi žmogiškųjų išteklių
poreikiai 
–     
¨  Pasiūlymui (iniciatyvai) įgyvendinti žmogiškieji ištekliai
nenaudojami 
–     
þ  Pasiūlymui (iniciatyvai) įgyvendinti žmogiškieji ištekliai naudojami
taip:
Iš esmės papildomų darbuotojų neprireiks.
Žmogiškųjų išteklių reikės labai mažai, jų poreikiai bus patenkinti
pasitelkiant generalinio direktorato darbuotojus, kurie jau paskirti vykdyti
veiksmo valdymo užduotį.
Sąmatą nurodyti sveikaisiais skaičiais (arba
ne smulkiau nei dešimtųjų tikslumu)
   || 2015 metai || 2016 metai || 2017 metai || 2018 metai || Vėlesni metai (2019-2021) ir vėliau 
  Etatų plano pareigybės (pareigūnai ir laikinieji darbuotojai) 
 09 01 01 01 (Komisijos būstinė ir atstovybės) || 4 || 4 || 4 || 4 || 4 || 4 || 4 
 XX 01 01 02 (Delegacijos) ||   ||   ||   ||   ||   ||   ||   
 XX 01 05 01 (Netiesioginiai moksliniai tyrimai) ||   ||   ||   ||   ||   ||   ||   
 10 01 05 01 (Tiesioginiai moksliniai tyrimai) ||   ||   ||   ||   ||   ||   ||   
  Išorės personalas (visos darbo dienos ekvivalentas: FTE)[51]   
 09 01 02 01 (CA, INT, SNE finansuojami iš bendrojo biudžeto) || 1 || 1 || 1 || 1 || 1 || 1 || 1 
 XX 01 02 02 (CA, INT, JED, LA ir SNE delegacijose) ||   ||   ||   ||   ||   ||   ||   
 XX 01 04 yy[52]   || būstinėje[53]   ||   ||   ||   ||   ||   ||   ||   
 delegacijose ||   ||   ||   ||   ||   ||   ||   
 XX 01 05 02 (CA, INT, SNE – netiesioginiai moksliniai tyrimai) ||   ||   ||   ||   ||   ||   ||   
 10 01 05 02 (CA, INT, SNE – tiesioginiai moksliniai tyrimai) ||   ||   ||   ||   ||   ||   ||   
 Kitos biudžeto eilutės (nurodyti) ||   ||   ||   ||   ||   ||   ||   
 IŠ VISO || 5 || 5 || 5 || 5 || 5 || 5 || 5 
XX yra atitinkama politikos sritis arba biudžeto
antraštinė dalis.
Žmogiškųjų išteklių
poreikiai bus tenkinami panaudojant CNECT GD darbuotojus, jau paskirtus
priemonei valdyti ir (arba) perskirstytus generaliniame direktorate, ir
prireikus finansuojami iš papildomų lėšų, kurios atsakingam GD gali būti
skiriamos pagal metinę asignavimų skyrimo procedūrą ir atsižvelgiant į biudžeto
apribojimus.
Europos tinklų ir informacijos apsaugos agentūra
(ENISA) gali padėti valstybėms narėms ir Komisijai įgyvendinti direktyvą
remdamasi savo dabartiniais įgaliojimais, perskirsčius šiai agentūrai skirtus
išteklius pagal 2014–2020 m. daugiametę finansinę programą, t. y. be
jokių papildomų biudžeto ar žmogiškųjų išteklių asignavimų.
Vykdytinų užduočių
aprašas:
 Pareigūnai ir laikinieji darbuotojai || - Deleguotųjų aktų parengimas pagal 14 straipsnio 3 dalį                                                        - Įgyvendinimo aktų parengimas pagal 8 straipsnį, 9 straipsnio 2 dalį, 12 straipsnį, 14 straipsnio 5 dalį ir 16 straipsnį - Indėlis į bendradarbiavimą per tinklą politikos ir veiklos lygmenimis. - Dalyvavimas tarptautinėse derybose ir galimas tarptautinių susitarimų sudarymas. 
 Išorės personalas || Prireikus parama įgyvendinant visas pirmiau minėta užduotis. 
3.2.4.     Suderinamumas su dabartine
daugiamete finansine programa 
–     
þ  Pasiūlymas (iniciatyva) atitinka dabartinę daugiametę finansinę programą
–     
¨  Atsižvelgiant į pasiūlymą (iniciatyvą), reikės pakeisti daugiametės
finansinės programos atitinkamos išlaidų kategorijos programavimą
Numatytas
finansinis poveikis pasiūlymo veiklos išlaidoms bus, jei valstybės narės
nuspręs pritaikyti esamą infrastruktūrą ir paves Komisijai pritaikymus
įgyvendinti pagal 2014–2020 m. daugiametę finansinę programą. Susijusios
vienkartinės Išlaidos pagal EITP bus padengtos su sąlyga, kad bus pakankamai
lėšų. Priešingu atveju valstybės narės gali pasidalyti infrastruktūros
pritaikymo sąnaudas arba naujos infrastruktūros kūrimo sąnaudas.
–     
¨  Įgyvendinant pasiūlymą (iniciatyvą) būtina taikyti lankstumo priemonę
arba patikslinti daugiametę finansinę programą[54]
Netaikoma.
3.2.5.     Trečiųjų šalių įnašai 
–     
Pasiūlyme (iniciatyvoje) nenumatyta bendro su
trečiosiomis šalimis finansavimo. 
3.3.        Numatomas poveikis įplaukoms 
–      þ  Pasiūlymas
(iniciatyva) neturi finansinio poveikio įplaukoms 
[1]               Viešos konsultacijos internete tema „Tinklų ir
informacijos saugumo gerinimas ES“ vyko nuo 2012 m. liepos 23 d. iki spalio 15
d.
[2]               Eurobarometras 390/2012.
[3]               COM(2001) 298.
[4]               COM(2006) 251 http://eur-lex.europa.eu/LexUriServ/site/en/com/2006/com2006_0251en01.pdf.
[5]               2007/068/01.
[6]               COM(2009) 149.
[7]               2009/C 321/01.
[8]               COM(2010) 245.
[9]               2010 m. gegužės 31 d.
Tarybos išvados dėl Europos skaitmeninės darbotvarkės (10130/10).
[10]             COM(2010) 2020 ir 2010 m. kovo 25–26 d. Europos
Vadovų Tarybos išvados (EUCO 7/10).
[11]             COM(2011) 163.
[12]             http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:32004R0460:EN:HTML
[13]             COM(2010) 521.
[14]             Žr. http://ec.europa.eu/information_society/policy/ecomm/doc/library/regframeforec_dec2009.pdf.
[15]             Pagrindų direktyvos 13a ir 13b straipsniai.
[16]             2002 m.
liepos 12 d. Direktyva 2002/58.
[17]             COM(2012) 11.
[18]             COM(2006) 786 http://eur-lex.europa.eu/LexUriServ/site/en/com/2006/com2006_0786en01.pdf.
[19]             COM(2010) 517,
http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2010:0517:FIN:EN:PDF.
[20]             COM(2012) 140, http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2012:0140:FIN:EN:PDF
[21]             http://europa.eu/rapid/press-release_SPEECH-10-597_lt.htm.
[22]             http://www.enisa.europa.eu/activities/Resilience-and-CIIP/public-private-partnership/european-public-private-partnership-for-resilience-ep3r.
[23]             2004 m. kovo 10 d. Europos Parlamento ir
Tarybos reglamentas (EB) Nr. 460/2004, įsteigiantis Europos tinklų ir
informacijos apsaugos agentūrą (OL L 077, 2004 03 13, p. 1).
[24]               OL C […], […], p. […].
[25]               OL L 108, 2002 4 24,
p. 33.
[26]               OL L 201, 2002 7 31,
p. 37.
[27]               OL L 204, 1998 7 21, p. 37.
[28]               SEC(2012) 72 final.
[29]               OL L 316, 2012 11 14,
p. 12.
[30]               OL L 55, 2011 2 28, p. 13.
[31]               OL L 145, 2001 5 31,
p. 43.
[32]               OL L 345, 2008 12 23,
p. 75.
[33]             OL L 281, 1995 11 23, p.
31.
[34]             SEC(2012) 72 final.
[35]             OL L 124, 2003 5 20, p. 36.
[36]             SEC(2012) 72 galutinis.
[37]             VGV – veikla grindžiamas
valdymas, VGB – veikla grindžiamas
biudžeto sudarymas.
[38]             Kaip nurodyta Finansinio reglamento 49 straipsnio 6 dalies
a arba b punktuose.
[39]             Informacija apie valdymo būdus ir
nuorodos į Finansinį reglamentą pateikiamos svetainėje „BudgWeb“ http://www.cc.cec/budg/man/budgmanag/budgmanag_en.htmlhttp://www.cc.cec/budg/man/budgmanag/budgmanag_en.html
[40]             Kaip nurodyta Finansinio reglamento 185 straipsnyje.
[41]             DA – diferencijuotieji asignavimai / NDA –
nediferencijuotieji asignavimai.
[42]             ELPA: Europos laisvosios prekybos
asociacija. 
[43]             Šalių kandidačių ir, kai taikoma, Vakarų Balkanų potencialių šalių
kandidačių.
[44]             Metai N yra metai, kuriais prasideda pasiūlymo ar
iniciatyvos įgyvendinimas.
[45]             Techninė ir (arba) administracinė pagalba ir išlaidos ES
programų ir (arba) priemonių įgyvendinimui (buvusios BA eilutės),
netiesioginiams moksliniams tyrimams, tiesioginiams moksliniams tyrimams remti.
[46]             N metai yra pasiūlymo (iniciatyvos) įgyvendinimo pradžios
metai.
[47]             Rezultatai yra numatomi tiekti produktai ir paslaugos(pvz.,
finansuotų studentų mainų skaičius, km nutiestų kelių ir kt.)
[48]             Kaip apibūdinta 1.4.2 dalyje. „Konkretus (ūs)
tikslas (-ai)...“ 
[49]             N metai yra pasiūlymo (iniciatyvos) įgyvendinimo pradžios
metai.
[50]             Techninė ir (arba) administracinė pagalba ir išlaidos ES
programų ir (arba) priemonių įgyvendinimui (buvusios BA eilutės),
netiesioginiams moksliniams tyrimams, tiesioginiams moksliniams tyrimams remti.
[51]             CA – sutartininkas („Contract Agent“); INT – per agentūrą įdarbintas
darbuotojas („Intérimaire“); JED – „Jeune Expert en Délégation“ (jaunesnysis
ekspertas delegacijoje); LA – vietinis darbuotojas; SNE – deleguotasis
nacionalinis ekspertas („Seconded National Expert“). 
[52]             Neviršijant viršutinės ribos, nustatytos išorės personalui,
finansuojamam iš veiklos asignavimų (buvusių BA eilučių).
[53]             Būtina struktūriniams fondams, Europos žemės ūkio fondui kaimo plėtrai
(EŽŪFKP) ir Europos žuvininkystės fondui (EŽF).
[54]             Žr. Tarpinstitucinio susitarimo 19 ir 24 punktus.