19.9.2013   

CS

Úřední věstník Evropské unie

C 271/133

1.1

Výbor bere na vědomí navrhovanou směrnici, kterou je třeba chápat v širším kontextu nedávno zveřejněné Strategie kybernetické bezpečnosti Evropské unie (1), jež poskytuje komplexní vizi bezpečnosti sítí a informací k zajištění bezpečného rozvoje digitální ekonomiky za současné podpory evropských hodnot svobody a demokracie.

1.2

EHSV vítá tento návrh směrnice, jenž má zajistit vysokou společnou úroveň bezpečnosti sítí a informací v Evropské unii. Harmonizace a řízení bezpečnosti sítí a informací na evropské úrovni je základním předpokladem pro dokončení jednotného digitálního trhu a pro hladké fungování vnitřního trhu jako celku. Výbor sdílí obavy Komise z nesmírných škod, které by zasáhly hospodářství a životní podmínky občanů v případě selhání zabezpečení sítí a informací. Navrhovaná směrnice však neodpovídá očekáváním Výboru, že je v této kriticky významné záležitosti nutný rozhodný legislativní krok.

1.3

Výbor je velmi rozčarován nedostatečným pokrokem mnoha členských států při provádění efektivního zabezpečení sítí a informací na vnitrostátní úrovni. EHSV vyjadřuje politování nad tím, že toto selhání zvyšuje ohrožení občanů a má negativní dopad na dokončení jednotného digitálního trhu. Všechny členské státy by bez dalšího odkladu měly začít pracovat na plnění povinností v oblasti zabezpečení sítí a informací.

1.4

Tento nedostatečný pokrok vytváří další digitální diskrepanci mezi elitní skupinou s vysoce pokročilým zabezpečením sítí a informací a méně pokročilými členskými státy. Tato diskrepance nepříznivě ovlivňuje důvěru a spolupráci na unijní úrovni při zabezpečení sítí a informací a pokud nebude bezodkladně řešena, způsobí pravděpodobně poruchy vnitřního trhu související s rozdílnými možnostmi různých členských států.

1.5

Jak uvedl ve svých předchozích stanoviscích (2), je EHSV přesvědčen, že nerozhodná a dobrovolná opatření nejsou účinná, a jsou zde potřebné pevně stanovené regulativní povinnosti členských států, aby zajistily harmonizaci, správu a prosazení evropské bezpečnosti sítí a informací. EHSV se domnívá, že tento návrh směrnice naneštěstí neposkytuje potřebnou jasnou a rozhodnou právní úpravu. Výbor je přesvědčen, že k dosažení požadované vysoké společné úrovně bezpečnosti sítí a informací by bylo nařízení efektivnější než směrnice.

1.6

Přes záměr Evropské komise přijmout akty v přenesené pravomoci k zajištění některých shodných podmínek pro provádění částí směrnice, postrádá Výbor v návrhu dostatek norem, jasných definic a kategorických povinností; členským státům se tak ponechává přílišná volnost v interpretaci a provedení rozhodujících prvků. Výbor by v návrhu přivítal daleko explicitnější definice norem, požadavků a postupů závazných pro členské státy, veřejné orgány, tržní subjekty a klíčové poskytovatele připojení k internetu.

1.7

V zájmu soudržné formulace a provádění strategie bezpečnosti sítí a informací v EU by Výbor uvítal vytvoření úřadu pro tuto tematiku na úrovni EU, podobně jako je tomu v případě letectví, kde působí EASA (3). Tento orgán by stanovil normy a monitoroval prosazování všech prvků bezpečnosti sítí a informací v celé Unii, od certifikace bezpečných koncových zařízení a použití po bezpečnost sítí a dat.

1.8

EHSV si plně uvědomuje zvýšení nároků na kybernetickou bezpečnost a ochranu dat v důsledku rizik spojených s využíváním cloud computingu (4) v Evropě. Výbor by uvítal, kdyby navrhovaná směrnice výslovně zahrnovala zvláštní dodatečné bezpečnostní požadavky a povinnosti upravující poskytování a využívání služeb cloud computingu.

1.9

V zájmu řádné úpravy odpovědnosti za bezpečnost sítí a informací by legislativní akt měl stanovit, že subjekty, jimž navrhovaná směrnice ukládá povinnosti, mají právo činit dodavatele softwaru a hardwaru zodpovědnými za jakékoliv vady výrobků nebo služeb, které se přímo podílely na narušení bezpečnosti sítí a informací.

1.10

EHSV vyzývá členské státy, aby věnovaly zvláštní pozornost zvyšování znalostí o bezpečnosti sítí a informací a dovedností v oblasti kybernetické bezpečnosti v malých a středních podnicích (MSP). Výbor rovněž upozorňuje Komisi, že „soutěže hackerů“ ve Spojených státech (5) a některých členských státech (6) úspěšně zvyšují informovanost o kybernetické bezpečnosti a připravují novou generaci odborníků v oblasti bezpečnosti sítí a informací.

1.11

Vzhledem k významu, jenž má dodržení pravidel zabezpečení sítí a informací ve všech členských státech pro bezpečnost celé EU, navrhuje EHSV Komisi, aby zvážila, jaké financování z víceletého finančního rámce (VFR) by se mohlo zaměřit na dodržení těchto pravidel v členských státech, které by k tomu mohly potřebovat finanční příspěvek.

1.12

Výdaje na výzkum, vývoj a inovace v oblasti technologií bezpečnosti sítí a informací by měly patřit k prioritám rámcového programu EU pro výzkum a inovace Horizont 2020, aby Evropa dokázala držet krok s rychle se měnícím světem kybernetických hrozeb.

1.13

EHSV se domnívá, že je třeba jasně stanovit, které subjekty jsou podle navrhované směrnice právně odpovědné. Proto navrhuje uložit každému členskému státu povinnost publikovat internetový seznam všech subjektů, jichž se týkají požadavky na řízení rizik a vykazování uváděné směrnicí. Taková transparentnost a veřejná odpovědnost by budovala důvěru a podporovala splnění požadavků.

1.14

Výbor připomíná Komisi svá mnohá předchozí stanoviska, jež se zabývala tematikou bezpečnosti sítí a informací a vyjadřovala se k potřebě bezpečné informační společnosti a ochraně kriticky důležité infrastruktury (7).

2.1

Navrhovaná směrnice byla zveřejněna souběžně se strategií kybernetické bezpečnosti EU, jež má posílit odolnost informačních systémů, omezit kyberkriminalitu, posílit politiku EU pro mezinárodní kybernetickou bezpečnost a kybernetickou obranu a rozvinout průmyslové a technologické zdroje pro kybernetickou bezpečnost, zároveň však prosazovat základní práva a další základní hodnoty EU.

2.2

Bezpečnost sítí a informací je spojena s ochranou Internetu a dalších sítí a ochranou informačních systémů a podpůrných služeb, na nichž je do značné míry postaveno fungování naší společnosti. Bezpečnost sítí a informací má zásadní význam pro řádné fungování vnitřního trhu.

2.3

Přístup k bezpečnosti sítí a informací založený čistě na dobrovolnosti, který EU dosud uplatňovala, nepřinesl dostatečnou ochranu proti rizikům v této oblasti. Stávající kapacity pro zajišťování bezpečnosti sítí a informací nedokáží udržet krok s rychle se měnícím světem kybernetických hrozeb a zaručit společnou vysokou úroveň ochrany ve všech členských státech.

2.4

Úroveň kapacit a připravenosti se nyní v jednotlivých členských státech velmi liší, takže v celé EU panuje roztříštěnost různých přístupů k bezpečnosti sítí a informací. Jelikož jsou sítě a systémy vzájemně propojené, snižují členské státy, jejichž míra ochrany je nedostatečná, celkovou bezpečnost sítí a informací v Unii. Tato skutečnost také brání vytváření vzájemné důvěry mezi subjekty na stejné úrovni, která je předpokladem pro spolupráci a sdílení informací. V důsledku spolu spolupracuje jen malá část členských států, jejichž kapacity jsou na vysoké úrovni.

2.5

Účelem směrnice, navrhované v souladu s článkem 114 SFEU, je usnadnit dokončení a řádné fungování jednotného digitálního trhu. Směrnice obsahuje tato opatření:

2.6

Návrh směrnice ukládá mj. tyto právní požadavky:

2.7

Členské státy budou muset provést směrnici do 18 měsíců po jejím přijetí Radou a Evropským parlamentem (očekává se někdy v roce 2014).

3.1

Rozvoj internetu a digitální společnosti hluboce ovlivňuje každodenní život. S růstem naší závislosti na internetu však začala být naše svoboda, prosperita a kvalita života rostoucí měrou závislá na odolném zabezpečení sítí a informací – pokud by byl internet nefunkční a v nouzové situaci zůstaly elektronické zdravotní záznamy nepřístupné, umírali by lidé. Bezpečnost kriticky významné evropské informační infrastruktury však čelí rostoucí hrozbě a naše úroveň bezpečnosti sítí a informací není dostatečná.

3.2

Ředitel Europolu loni uvedl, že je „… velmi znepokojen touto neopodstatněnou důvěrou v nerozbitnost Internetu“ (8). Často slýcháme o nových kybernetických útocích na zásadně důležitou infrastrukturu páchaných zločinci, teroristy nebo vládami cizích států. Struktury, proti nimž útok směřoval, je ve většině případů neoznamují, protože se obávají poškození prestiže, nicméně v posledních týdnech jsme byli svědky útoků na internetovou infrastrukturu Evropy (9) a bankovní systémy (10), které byly natolik rušivé, že je již nešlo skrýt. Podle zveřejněných odhadů (11) bylo v roce 2011 provedeno 92 milionů kybernetických útoků na Nizozemsko a 82 milionů na Německa. Vláda Spojeného království odhaduje, že na tuto zemi bylo v roce 2011 provedeno 44 milionů kybernetických útoků, které způsobily hospodářskou ztrátu až 30 miliard eur (12).

3.3

V roce 2007 řešila Rada EU problém bezpečnosti sítí a informačních systémů v Evropě. (13) Politický přístup, který převládal v dalších letech (14), se však z velké části spoléhal na dobrovolné aktivity členských států, z nichž jen menšina podnikla nějaké účinné kroky. Výbor poznamenává, že četné členské státy dosud nezveřejnily vnitrostátní strategie kybernetické bezpečnosti ani nevyvinuly vnitrostátní krizové plány; některé státy ještě nevytvořily skupinu pro reakci na počítačové hrozby (CERT). Řada členských států také ještě neratifikovala úmluvu Rady Evropy o kyberkriminalitě (15).

3.4

Deset členských států s pokročilým zabezpečením sítí a informací vytvořilo Evropskou vládní skupinu CERT (EGC) pro těsnou spolupráci v oblasti bezpečnosti sítí a informací a reakce na incidenty. Členství v této skupině je v současné době uzavřeno. Ostatních 17 členských států i nově vytvořená skupina CERT-EU (16) jsou nyní z této elitní skupiny vyloučeny. Vzniká tak nová digitální diskrepance: mezi členskými státy vysoce pokročilými v zabezpečení sítí a informací, a zbývajícími. Pokud se tato diskrepance nepřeklene, bude ohrožovat samou podstatu digitálního jednotného trhu a bránit postupu k dosažení důvěry, harmonizace a interoperability. Pokud nedojde k rozhodným krokům, bude diskrepance mezi vysoce pokročilými a méně pokročilými členskými státy pravděpodobně narůstat, stejně jako poruchy vnitřního trhu související s rozdílnými možnostmi různých členských států.

3.5

Úspěšnost strategie kybernetické bezpečnosti a efektivnost navrhované směrnice o bezpečnosti sítí a informací bude záviset na tom, bude-li Evropa disponovat silným průmyslem v tomto oboru a dostatkem pracovníků s potřebnými specializovanými dovednostmi. EHSV kladně hodnotí, že návrh směrnice uvádí, že je třeba, aby členské státy investovaly do vzdělávání, šíření informovanosti a odborné přípravě v této oblasti. Výbor se dále vyslovuje pro to, aby všechny členské státy vyvinuly zvláštní úsilí při informování, vzdělávání a podpoře segmentu MSP v oblasti kybernetické bezpečnosti. Velké firmy mohou snadno získat potřebné znalosti, ale MSP potřebují podporu.

3.6

EHSV se těší na spolupráci s Evropskou agenturou pro bezpečnost sítí a informací (ENISA), kdy se v průběhu Měsíce kybernetické bezpečnosti později v tomto roce bude podílet na podpoře bezpečnosti sítí a informací. Strategie kybernetické bezpečnosti a směrnice o bezpečnosti sítí a informací si kladou za cíl šířit v Unii kulturu bezpečnosti sítí a informací a zvyšovat úroveň dovedností v této oblasti. Výbor v této souvislosti upozorňuje Komisi na „soutěže hackerů“ pro mládež, které se velmi osvědčily a úspěšně zvyšují informovanost v některých členských státech a v USA.

3.7

Výbor rovněž s uspokojením bere na vědomí, že se strategie kybernetické bezpečnosti zasazuje za investice do výzkumu, vývoje a inovací v oblasti technologií zabezpečení sítí a informací.

3.8

Nárůst cloud computingu vytváří mnohá další rizika pro kybernetickou bezpečnost, kterým je třeba zamezit. Kybernetickému zločinu se například dostává do rukou obrovský výpočetní výkon za poměrně nízkou cenu a data pocházející z tisíců společností se nyní soustřeďují v datových úložištích, jež jsou zranitelná vůči soustředěnému útoku. EHSV již vyzýval k větší kybernetické odolnosti v cloud computingu (17).

3.9

Výbor v minulosti vyzýval k zavedení dobrovolného elektronického identifikačního systému na úrovni EU, jenž by doplnil existující vnitrostátní systémy. Takový systém by přinášel větší míru ochrany proti podvodu, větší vzájemnou důvěru mezi hospodářskými subjekty, nižší náklady na poskytování služeb, vyšší kvalitu služeb a ochranu občanů.

4.1

Je škoda, že tento návrh směrnice o bezpečnosti sítí a informací předložený Komisí je příliš nerozhodný, není dostatečně jasný a příliš spoléhá na samoregulaci ze strany členských států. Nedostatek norem, jasných definic a kategoricky stanovených povinností, zejména v kapitole IV této směrnice, ponechává členským státům přílišnou volnost v interpretaci a provedení rozhodujících prvků legislativního aktu. Nařízení s jednoznačně definovanými závaznými právními povinnostmi členských států by bylo efektivnější než směrnice.

4.2

Výbor zaznamenává, že článek 6 směrnice uvádí, že každý členský stát jmenuje „odpovědný orgán“, který bude vykonávat dohled a přispívat k jednotnému uplatňování směrnice na úrovni Unie. Dále zaznamenává, že v článku 8 se upravuje zřízení „sítě pro spolupráci“, která za využití svých pravomocí a pravomocí Komise bude poskytovat celoevropské vedení, správu a v případě nutnosti prosazování na úrovni členských států. EHSV je přesvědčen, že při budování tohoto správního rámce by EU měla zvážit vytvoření agentury na úrovni EU, která by v oblasti bezpečnosti sítí a informací působila analogicky jako Evropská agentura pro bezpečnost letectví (EASA), jež stanoví normy, řídí prosazování bezpečnosti a plnění požadavků pro letadla, letiště a letecký provoz.

4.3

Agentura na úrovni EU pro bezpečnost sítí a informací, jak ji navrhuje Výbor ve výše uvedeném odstavci 4.2, by mohla být založena na práci v oblasti kybernetické bezpečnosti, kterou vykonala ENISA, Evropský výbor pro normalizaci (CEN), skupiny pro reakci na počítačové hrozby (CERT), Evropská vládní skupina CERT (EGC) a další. Taková agentura by stanovila normy a monitorovala prosazování všech prvků bezpečnosti sítí a informací, od certifikace bezpečných koncových zařízení a použití po bezpečnost sítí a dat.

4.4

Členské státy jsou na sobě vzájemně velmi závislé při zajišťování bezpečnosti sítí a informací v Unii jako celku a případné selhání tohoto zabezpečení by bylo pro všechny dotčené strany velmi nákladné. Z toho důvodu EHSV navrhuje, aby legislativa zahrnovala explicitní a přiměřené sankce za neplnění požadavků, harmonizované a odrážející celoevropský rozměr odpovědnosti a rozsah škod, jež by neplnění požadavků mohlo způsobit nejen na domácím trhu, ale i v Unii jako celku. Článek 17 legislativního aktu, jenž se zabývá sankcemi, je obecný, poskytuje členským státům přílišnou volnost při určování sankcí a neposkytuje dostatečné pokyny k tomu, aby byly vzaty v úvahu přeshraniční a celoevropské účinky.

4.5

Vlády a poskytovatelé životně důležitých služeb nemají v současnosti ve zvyku zveřejňovat selhání bezpečnosti a odolnosti, pokud k tomu nejsou donuceni. Tento nedostatek otevřenosti je na škodu evropské schopnosti reagovat rychle a účinně na kybernetické hrozby a zlepšovat obecnou bezpečnost sítí a informací vzájemným učením. Výbor schvaluje postup Komise, jejíž návrh směrnice požaduje povinné oznamování všech významných bezpečnostních incidentů týkajících se sítí a informací. EHSV se nedomnívá, že by dobrovolné oznamování incidentů dotčenými subjekty přineslo výsledek, protože existují motivy selhání zatajit: obavy ze ztráty prestiže a odpovědnosti za škodu.

4.6

Směrnice však v článku 14, jenž se zabývá oznamováním, neuvádí žádnou definici, co by mělo představovat incident s „významným dopadem“ na bezpečnost, a ponechává přílišnou volnost dotčeným subjektům a členským státům v tom, zda incidenty v oblasti bezpečnosti sítí a informací oznamovat, či ne. Efektivní legislativa vyžaduje jednoznačné požadavky. Navrhovaná směrnice je příliš vágní při zásadním definování požadavků, takže není možné volat k odpovědnosti subjekty odpovědné za neplnění požadavků ve smyslu článku 17 směrnice.

4.7

Vzhledem k tomu, že zajišťování bezpečnosti sítí a informací je převážně záležitostí soukromého sektoru, je důležité podporovat vysokou úroveň důvěry a spolupráce se všemi společnostmi odpovědnými za životně důležitou informační infrastrukturu a služby. Evropské partnerství mezi veřejným a soukromým sektorem pro odolnost (E3PR) bylo v roce 2009 iniciativou Komise, kterou je třeba ocenit a podpořit. Výbor je však přesvědčen, že tato iniciativa musí být posílena a podpořena regulativní povinností v legislativním aktu o bezpečnosti sítí a informací, jež by klíčové zúčastněné strany zavázala ke spolupráci v případě, že se řádně nezapojují.

4.8

Každý členský stát by měl pro svou jurisdikci publikovat internetový seznam všech subjektů, jichž se týkají požadavky na bezpečnost a povinnost oznamovat incidenty podle článku 14 návrhu směrnice. Obdobně jako ujasnění, jak každý členský stát rozhoduje o aplikaci článku 3 směrnice, by tato transparentnost napomohla budování důvěry a podpořila kulturu řízení rizika mezi občany.

4.9

EHSV zaznamenává, že vývojáři softwaru a výrobci hardwaru jsou explicitně vyňati z požadavků směrnice, protože nejsou poskytovateli služeb informační společnosti. Výbor je však přesvědčen, že navrhovaný legislativní akt by měl stanovit, že subjekty, jimž navrhovaná směrnice ukládá povinnosti, mohou pohnat k zodpovědnosti dodavatele softwaru a hardwaru za jakékoliv vady výrobků nebo služeb, které se přímo podílely na incidentech v oblasti bezpečnosti sítí a informací.

4.10

Komise odhaduje, že provádění navrhované směrnice o bezpečnosti sítí a informací bude stát přibližně 2 mld. eur ročně s tím, že se na těchto výdajích bude podílet evropský veřejný a soukromý sektor. Výbor však poznamenává, že některé členské státy pod finančním tlakem budou jen těžko hledat investiční prostředky ke splnění požadavků směrnice. Je třeba zvážit, jak by mohla být v rámci VFR poskytována podpora na splnění požadavků na bezpečnost sítí a informací za využití různých nástrojů, včetně Evropského fondu pro regionální rozvoj (EFRR), a snad i Fondu pro vnitřní bezpečnost.