(1)

Komise uznala, že zavedení síťových technologií 5. generace (5G) je hlavním faktorem umožňujícím rozvoj digitálních služeb budoucnosti a prioritou v rámci strategie pro jednotný digitální trh. Aby bylo zajištěno, že Unie bude mít od roku 2020 infrastrukturu pro připojení, jakou potřebuje pro svou digitální transformaci, přijala Komise akční plán 5G (1).

(2)

Sítě 5G budou stavět na stávající 4. generaci (4G) síťových technologií; umožní poskytování nových služeb a stanou se centrální infrastrukturou a hnací silou pro velké části hospodářství Unie. Po svém zavedení budou sítě 5G tvořit páteř pro širokou škálu služeb, které jsou nezbytné pro fungování vnitřního trhu a zachování a provoz životně důležitých společenských a ekonomických funkcí – jako jsou energetika, doprava, bankovnictví a zdravotnictví, jakož i průmyslové řídicí systémy. O digitální infrastrukturu a sítě 5G se také bude ve stále větší míře opírat organizování demokratických procesů, například voleb.

(3)

Závislost mnoha kritických služeb na sítích 5G by vedla k tomu, že následky systematických a rozsáhlých narušení budou velmi závažné. V této době, kdy kybernetické útoky jsou stále častější a sofistikovanější než dříve, je proto zajištění kybernetické bezpečnosti sítí 5G pro Unii otázkou strategického významu.

(4)

Vzájemná propojenost a mezinárodní povaha infrastruktur, o něž se opírá digitální ekosystém, a přeshraniční povaha příslušných hrozeb znamenají, že jakékoli významné zranitelnosti a/nebo kybernetické bezpečnostní incidenty týkající se sítí 5G, které se vyskytnou v jednom členském státě, by měly dopad na Unii jako celek. Proto by měla být přijata opatření na podporu vysoké společné úrovně kybernetické bezpečnosti sítí 5G.

(5)

Členské státy potvrdily, že jsou potřebná opatření na úrovni Unie. Evropská rada ve svých závěrech ze dne 21. března 2019 uvedla, že se zájmem očekává doporučení Komise ohledně jednotného přístupu k bezpečnosti sítí 5G (2).

(6)

Jedním z hlavních cílů by mělo být zajištění evropské suverenity při plném respektování evropských hodnot otevřenosti a tolerance (3). Zahraniční investice ve strategických odvětvích, akvizice kritických aktiv, technologií a infrastruktury v Unii a dodávky kritických zařízení mohou pro Unii znamenat také bezpečnostní riziko.

(7)

Kybernetická bezpečnost sítí 5G má zásadní význam pro zajištění strategické autonomie Unie, jak je uvedeno ve společném sdělení „EU-Čína – Strategický výhled“ (4).

(8)

Usnesení Evropského parlamentu o bezpečnostních hrozbách souvisejících se zvyšující se technologickou přítomností Číny v Unii rovněž vyzývá Komisi a členské státy k přijetí opatření na úrovni Unie (5).

(9)

Toto doporučení se zabývá kybernetickými bezpečnostními riziky v sítích 5G a za tímto účelem stanoví pokyny, které se týkají vhodných opatření v oblasti analýzy a zvládání rizik na vnitrostátní úrovni, vypracování koordinovaného evropského posuzování rizik a zavedení procesu pro vytvoření společné „sady nástrojů“ obsahující osvědčená opatření k řízení rizik.

(10)

K ochraně sítí elektronických komunikací je zaveden robustní právní rámec Unie.

(11)

Rámec Unie v oblasti elektronických komunikací (6) podporuje hospodářskou soutěž, vnitřní trh a zájmy koncových uživatelů a s evropským kodexem pro elektronické komunikace (7) sleduje další cíl týkající se připojení, který je vyjádřen v podobě výsledků: obecný přístup k pevnému a mobilnímu připojení s velmi vysokou kapacitou a jeho využívání pro všechny občany a podniky Unie při zajištění ochrany zájmů občanů. Směrnice 2002/21/ES požaduje, aby členské státy zajišťovaly zachování integrity a bezpečnosti veřejných komunikačních sítí a uložily povinnosti, které zajistí, že podniky zajišťující veřejné komunikační sítě nebo poskytující veřejně dostupné služby elektronických komunikací přijmou technická a organizační opatření k odpovídajícímu zvládnutí rizik pro bezpečnost sítí a služeb. Rovněž stanoví, že příslušné vnitrostátní regulační orgány mají pravomoc zajistit dodržování takových povinností, včetně pravomoci vydávat závazné pokyny.

(12)

Směrnice Evropského parlamentu a Rady 2002/20/ES (8) navíc umožnuje členským státům připojit k obecnému oprávnění podmínky týkající se zabezpečení veřejných sítí proti neoprávněnému přístupu za účelem ochrany důvěrného charakteru sdělení v souladu se směrnicí Evropského parlamentu a Rady 2002/58/ES (9).

(13)

Na podporu provádění těchto povinností zřídila Unie řadu orgánů pro spolupráci. Agentura pro bezpečnost sítí a informací (ENISA), Komise, členské státy a vnitrostátní regulační orgány vypracovaly technické pokyny pro vnitrostátní regulační orgány týkající se hlášení incidentů, bezpečnostních opatření a hrozeb a aktiv (10). Skupina pro spolupráci ustavená směrnicí Evropského parlamentu a Rady (EU) 2016/1148 (11) (dále jen „skupina pro spolupráci“) sdružuje příslušné orgány za účelem podpory a usnadňování spolupráce, zejména poskytováním strategického vedení pro činnosti sítě bezpečnostních týmů typu CSIRT, která na technické úrovni usnadňuje operativní spolupráci.

(14)

Základní podpůrný nástroj na podporu jednotné úrovně bezpečnosti by měl poskytnout budoucí evropský rámec pro certifikaci kybernetické bezpečnosti (12). Měl by umožnit rozvoj systémů certifikace kybernetické bezpečnosti, které budou reagovat na potřeby uživatelů zařízení a softwaru souvisejících s 5G. Vzhledem k zásadnímu významu těchto infrastruktur by rozvoj příslušných evropských systémů certifikace kybernetické bezpečnosti pro výrobky, služby nebo procesy informačních a komunikačních technologií používané pro sítě 5G měl být bezprostřední prioritou. Na rozvoji těchto systémů certifikace by se měli aktivně podílet členské státy a účastníci trhu, mimo jiné poskytováním podpory pro definici specifických profilů ochrany pro sítě 5G.

(15)

Neexistují-li harmonizované právní předpisy Unie, mohou členské státy formou vnitrostátních technických předpisů přijatých v souladu s právem Unie stanovit, že evropský systém certifikace kybernetické bezpečnosti by měl být povinný. Členské státy mohou rovněž využít evropské systémy certifikace kybernetické bezpečnosti v souvislosti se zadáváním veřejných zakázek a směrnicí Evropského parlamentu a Rady 2014/24/EU (13) a mohly by podpořit vytvoření mechanismů pomoci – například asistenčního centra – pro pořizování řešení v oblasti kybernetické bezpečnosti ze strany zadavatelů veřejných zakázek.

(16)

Důležitým prvkem při zajišťování bezpečnosti sítí 5G je vysoká úroveň ochrany údajů a soukromí. I na úrovni Unie byla stanovena pravidla zajišťující bezpečnost zpracování osobních údajů, mimo jiné i v elektronických komunikacích. Obecné nařízení o ochraně osobních údajů (14) ukládá povinnost zpracovávat osobní údaje způsobem, který zajistí jejich zabezpečení, včetně ochrany před neoprávněným přístupem k osobním údajům a zařízení používanému ke zpracování a před jejich neoprávněným používáním. Směrnice o soukromí a elektronických komunikacích stanoví zvláštní pravidla pro ochranu důvěrného charakteru sdělení a ochranu koncového zařízení uživatelů. Rovněž ukládá poskytovatelům služeb povinnost přijmout vhodná technická a organizační opatření, aby zajistili bezpečnost svých služeb.

(17)

Unie rovněž přijala nástroj, který ochrání kritickou infrastrukturu a technologie, například infrastrukturu a technologie používané v telekomunikacích, tím, že umožní členským státům prověřovat přímé zahraniční investice z důvodu bezpečnosti nebo veřejného pořádku a vytvoří mechanismus spolupráce, v jehož rámci si členské státy a Komise budou moci vzájemně vyměňovat informace a vznášet obavy související s konkrétními investicemi (15).

(18)

Členské státy a provozovatelé v současné době podnikají důležité přípravné kroky k tomu, aby mohly být sítě 5G zavedeny ve velkém měřítku. Několik členských států vyjádřilo obavy ohledně potenciálních bezpečnostních rizik spojených se sítěmi 5G v souvislosti s prováděním postupů pro udělování práv na užívání pásem rádiového spektra určených pro sítě 5G (16) a prověřovalo opatření k řešení těchto rizik.

(19)

Při řešení kybernetických bezpečnostních rizik v sítích 5G by měly být zohledněny jak technické, tak i další faktory. Mezi technické faktory mohou patřit zranitelnosti v oblasti kybernetické bezpečnosti, které mohou být zneužity k získání neoprávněného přístupu k informacím (kybernetická špionáž, ať z ekonomických či politických důvodů) nebo k jiným zlovolným účelům (kybernetické útoky zaměřené na narušení nebo zničení systémů a dat). Důležitými aspekty, které je třeba uvážit, by měla být nutnost chránit sítě během celého životního cyklu a nutnost zahrnout všechno příslušné vybavení, též ve fázích projektování, vývoje, pořizování, zavádění, provozu a údržby sítí 5G.

(20)

Mezi další faktory mohou patřit regulační nebo jiné požadavky kladené na dodavatele zařízení informačních a komunikačních technologií. Posouzení významu těchto faktorů by muselo zohlednit mimo jiné celkové riziko vlivu třetí země, zejména v souvislosti s jejím modelem správy věcí veřejných, neexistenci dohod o spolupráci v oblasti bezpečnosti nebo podobných ujednání – například rozhodnutí o odpovídající ochraně – týkajících se ochrany údajů mezi Unií a dotčenou třetí zemí, nebo to, zda je dotčená země smluvní stranou mnohostranných, mezinárodních nebo dvoustranných dohod o kybernetické bezpečnosti, boji proti kyberkriminalitě nebo ochraně dat.

(21)

Jako důležitý krok v rámci tvorby přístupu Unie ke kybernetické bezpečnosti sítí 5G by mělo být provedeno a dokončeno posouzení rizik na vnitrostátní úrovni. To by členským státům pomohlo přizpůsobit vnitrostátní opatření týkající se bezpečnostních požadavků a řízení rizik ve světle uvedeného posouzení.

(22)

Měla by být zavedena koordinace, aby byla zajištěna efektivita opatření zaměřených na řešení těchto kybernetických hrozeb, opatření nezbytných pro řádné fungování vnitřního trhu a opatření na ochranu osobních údajů a soukromí.

(23)

Vnitrostátní posouzení rizik by se měla stát základem koordinovaného posouzení rizik na úrovni Unie, které by sestávalo z mapování hrozeb a společného přezkumu, což by prováděly členské státy s podporou Komise a společně s Evropskou agenturou pro kybernetickou bezpečnost (ENISA).

(24)

Skupina pro spolupráci by měla – se zohledněním posouzení rizik na vnitrostátní úrovni a na úrovni Unie – vytvořit „sadu nástrojů“, která by identifikovala typy kybernetických bezpečnostních rizik a možná opatření na zmírnění těchto rizik v oblastech, jako je certifikace, zkoušení a řízení přístupu. Měla by rovněž určit možná zvláštní opatření vhodná k řešení rizik zjištěných jedním nebo více členskými státy. Skupina pro spolupráci by měla využívat podporu ze strany Evropské agentury pro kybernetickou bezpečnost (ENISA), Europolu, Sdružení evropských regulačních orgánů v oblasti elektronických komunikací (BEREC) a Zpravodajského a informačního centra EU. Tato sada nástrojů by měla Komisi napomáhat při vypracovávání minimálních společných požadavků, které dále zajistí vysokou úroveň kybernetické bezpečnosti sítí 5G v celé Unii.

(25)

Při přijímání opatření k řešení kybernetických bezpečnostních rizik by se měla brát v úvahu podpora kybernetické bezpečnosti prostřednictvím diverzifikace dodavatelů při budování jakékoli jedné sítě.

(26)

Tímto doporučením by neměla být dotčena příslušnost členských států, pokud jde o činnosti týkající se veřejné bezpečnosti, obrany a národní bezpečnosti a činnosti státu v oblasti trestního práva, včetně práva členských států vyloučit ze svých trhů poskytovatele nebo dodavatele z důvodů národní bezpečnosti,