19.7.2016   

DA

Den Europæiske Unions Tidende

L 194/1

(1)

Net- og informationssystemer og net- og informationstjenester spiller en afgørende rolle i samfundet. Det er af afgørende betydning for de økonomiske og samfundsmæssige aktiviteter og navnlig for et velfungerende indre marked, at de er pålidelige og sikre.

(2)

Omfanget, hyppigheden og konsekvenserne af sikkerhedshændelser er tiltagende og udgør en alvorlig trussel for driften af net- og informationssystemer. Disse systemer kan endvidere blive et mål for forsætligt skadelige handlinger, som har til formål at ødelægge eller forstyrre systemernes drift. Sådanne hændelser kan hindre gennemførelsen af økonomiske aktiviteter, medføre betydelige finansielle tab, underminere brugernes tillid og forårsage stor skade på Unionens økonomi.

(3)

Net- og informationssystemer og navnlig internettet spiller en væsentlig rolle, når det gælder om at fremme grænseoverskridende bevægelighed for varer, tjenester og personer. På grund af den tværnationale karakter vil betydelige afbrydelser af sådanne systemer, hvad enten de er tilsigtede eller utilsigtede, og uanset hvor de opstår, kunne påvirke de enkelte medlemsstater og Unionen som helhed. Sikkerheden i net- og informationssystemer er derfor afgørende for et velfungerende indre marked.

(4)

Med udgangspunkt i de væsentlige fremskridt, der er gjort inden for det europæiske forum af medlemsstater med at fremme drøftelser og udvekslinger om god praksis for politikker, herunder udvikling af principper for et europæisk cyberkrisesamarbejde, bør der oprettes en samarbejdsgruppe bestående af repræsentanter for medlemsstaterne, Kommissionen og Den Europæiske Unions Agentur for Net- og Informationssikkerhed (»ENISA«) for at støtte og fremme et strategisk samarbejde mellem medlemsstaterne vedrørende sikkerhed for net- og informationssystemer. Hvis denne gruppe skal være effektiv og inklusiv, er det vigtigt, at alle medlemsstater har et minimum af kapacitet og en strategi, der sikrer et højt sikkerhedsniveau for net- og informationssystemer på medlemsstaternes område. Dertil kommer, at sikkerhedskrav og underretningspligt bør gælde for operatører af væsentlige tjenester og udbydere af digitale tjenester for at fremme en risikostyringskultur og sikre underretning om de mest alvorlige hændelser.

(5)

Den eksisterende kapacitet er ikke tilstrækkelig til at sikre et højt sikkerhedsniveau for net- og informationssystemer i Unionen. Medlemsstaterne har meget forskellige beredskabsniveauer, hvilket har ført til en usammenhængende tilgang i Unionen som helhed. Dette resulterer i et uensartet beskyttelsesniveau for forbrugere og virksomheder og undergraver det samlede sikkerhedsniveau for net- og informationssystemer i Unionen. Manglende fælles krav til operatører af væsentlige tjenester og udbydere af digitale tjenester gør det også umuligt at iværksætte en overordnet og effektiv samarbejdsmekanisme på EU-plan. Universiteter og forskningscentre har en afgørende rolle at spille med hensyn til at fremme forskning, udvikling og innovation på disse områder.

(6)

En effektiv reaktion på de sikkerhedsproblemer, der opstår i net- og informationssystemer, forudsætter derfor en samlet tilgang på EU-plan med fælles mindstekrav til kapacitetsopbygning og planlægning, udveksling af oplysninger, samarbejde og fælles sikkerhedskrav for operatører af væsentlige tjenester og udbydere af digitale tjenester. Operatører af væsentlige tjenester og udbydere af digitale tjenester er dog ikke afskåret fra at indføre strengere sikkerhedsforanstaltninger end dem, der er fastsat i dette direktiv.

(7)

For at dække alle relevante hændelser og risici bør dette direktiv både finde anvendelse for operatører af væsentlige tjenester og udbydere af digitale tjenester. Forpligtelserne for operatører af væsentlige tjenester og udbydere af digitale tjenester bør dog hverken finde anvendelse for virksomheder, der udbyder offentlige kommunikationsnet eller offentligt tilgængelige elektroniske kommunikationstjenester, jf. Europa-Parlamentets og Rådets direktiv 2002/21/EF (3), idet disse er omfattet af de særlige sikkerheds- og integritetskrav, der er fastsat i nævnte direktiv, eller finde anvendelse for tillidstjenesteudbydere, jf. Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 (4), som er underlagt sikkerhedskravene i nævnte forordning.

(8)

Dette direktiv bør ikke være til hinder for, at hver medlemsstat kan træffe de nødvendige foranstaltninger for at sikre beskyttelsen af sine væsentlige sikkerhedsinteresser, opretholde den offentlige orden og sikkerhed samt tillade efterforskning, afsløring og retsforfølgelse af strafbare handlinger. I henhold til artikel 346 i traktaten om Den Europæiske Unions funktionsmåde (TEUF) er ingen medlemsstat forpligtet til at meddele oplysninger, hvis udbredelse efter dens opfattelse ville stride mod dens væsentlige sikkerhedsinteresser. I den forbindelse er Rådets afgørelse 2013/488/EU (5) og hemmeligholdelsesaftaler eller uformelle hemmeligholdelsesaftaler, f.eks. Traffic Light Protocol, af betydning.

(9)

Visse sektorer i økonomien er allerede reguleret eller vil fremover blive reguleret af sektorspecifikke EU-retsakter, der indeholder bestemmelser om sikkerheden i net- og informationssystemer. Når de pågældende EU-retsakter indeholder bestemmelser om indførelse af krav vedrørende sikkerheden i net- og informationssystemer eller underretninger om hændelser, bør disse bestemmelser anvendes, hvis de indeholder krav, der i praksis mindst svarer til forpligtelserne i dette direktiv. Medlemsstaterne bør i så fald anvende bestemmelserne i sådanne sektorspecifikke EU-retsakter, herunder bestemmelser, der vedrører jurisdiktion, og bør ikke gennemføre identifikationsprocessen for operatører af væsentlige tjenester som defineret i dette direktiv. I den forbindelse bør medlemsstaterne sende Kommissionen oplysninger om anvendelsen af sådanne lex specialis-bestemmelser. Når det skal fastlægges, om de krav til sikkerheden i net- og informationssystemer og underretninger om hændelser, der er indeholdt i sektorspecifikke EU-retsakter, svarer til bestemmelserne i dette direktiv, bør der kun tages hensyn til bestemmelserne i relevante EU-retsakter og deres anvendelse i medlemsstaterne.

(10)

I søfartssektoren dækker sikkerhedskrav for rederier, skibe, havnefaciliteter, havne og skibstrafiktjenester i medfør af EU-retsakter alle operationer, herunder radio- og telekommunikationssystemer, computersystemer og -net. En del af de obligatoriske procedurer, der skal følges, omfatter underretning om alle hændelser og bør derfor betragtes som lex specialis, såfremt disse krav mindst svarer til de tilsvarende bestemmelser i dette direktiv.

(11)

Når medlemsstaterne identificerer operatører i søfartssektoren, bør de tage hensyn til eksisterende og fremtidige internationale kodekser og vejledninger udarbejdet af navnlig Den Internationale Søfartsorganisation for at give de enkelte maritime operatører en sammenhængende tilgang.

(12)

Regulering og tilsyn i banksektoren og sektoren for finansielle markedsinfrastrukturer er stærkt harmoniseret på EU-plan under anvendelse af primær og sekundær EU-ret og standarder, der er udviklet i samarbejde med de europæiske tilsynsmyndigheder. Inden for bankunionen er anvendelsen af og tilsynet med disse krav sikret af den fælles tilsynsmekanisme. For medlemsstater, der ikke deltager i bankunionen, sikres dette af de relevante banktilsynsmyndigheder i medlemsstaterne. På andre områder af reguleringen af den finansielle sektor sikrer Det Europæiske Finanstilsynssystem også en høj grad af sammenfald mellem og ensartethed i tilsynspraksis. Den Europæiske Værdipapir- og Markedstilsynsmyndighed fører også direkte tilsyn med visse enheder, nemlig kreditvurderingsbureauer og transaktionsregistre.

(13)

Operationel risiko er en afgørende del af tilsynsmæssig regulering og tilsyn inden for banksektoren og sektoren for finansielle markedsinfrastrukturer. Den omfatter alle operationer, herunder net- og informationssystemers sikkerhed, robusthed og integritet. Kravene vedrørende disse systemer, som ofte overstiger de krav, der er fastsat i dette direktiv, er fastsat i en række EU-retsakter, herunder regler om adgang til at udøve virksomhed som kreditinstitut og om tilsyn med kreditinstitutter og investeringsselskaber og om tilsynsmæssige krav til kreditinstitutter og investeringsselskaber, der indeholder krav vedrørende operationel risiko, regler om markeder for finansielle instrumenter, der indeholder krav vedrørende risikovurdering for investeringsselskaber og for regulerede markeder, regler om OTC-derivater, centrale modparter og transaktionsregistre, der indeholder krav vedrørende operationel risiko for centrale modparter og transaktionsregistre, og regler om forbedring af værdipapirafviklingen i Unionen og om værdipapircentraler, der indeholder krav vedrørende operationel risiko. Desuden indgår krav om underretning om hændelser i normal tilsynspraksis i den finansielle sektor og findes ofte i tilsynsmanualer. Medlemsstaterne bør tage hensyn til disse regler og krav ved anvendelse af lex specialis.

(14)

Som Den Europæiske Centralbank bemærker i sin udtalelse af 25. juli 2014 (6), berører dette direktiv ikke regimet i henhold til EU-retten for Eurosystemets overvågning af betalings- og afviklingssystemer. Det vil være passende, hvis de myndigheder, der er ansvarlige for den pågældende overvågning, udveksler erfaringer om forhold vedrørende sikkerhed i net- og informationssystemer med de kompetente myndigheder efter dette direktiv. Det samme hensyn gælder medlemmer uden for euroområdet af Det Europæiske System af Centralbanker, der foretager en sådan overvågning af betalings- og afviklingssystemer på grundlag af nationale love og bestemmelser.

(15)

En onlinemarkedsplads giver forbrugere og erhvervsdrivende mulighed for at indgå aftaler om køb eller tjenester online med erhvervsdrivende, og den er det endelige bestemmelsessted for indgåelse af sådanne kontrakter. Den bør ikke omfatte onlinetjenester, der kun tjener til at formidle tredjepartstjenester, hvor en kontrakt kan indgås i sidste ende. Den bør derfor ikke omfatte onlinetjenester, der sammenligner prisen på bestemte varer eller tjenester fra forskellige erhvervsdrivende og derefter omdirigerer brugeren til den foretrukne erhvervsdrivende for at købe produktet. Computing-tjenester leveret af onlinemarkedspladsen kan omfatte behandling af transaktioner, aggregering af data eller analyse af brugere. App-butikker, der fungerer som onlineforretninger med henblik på digital distribution af applikationer eller softwareprogrammer fra tredjemand, anses som værende en form for onlinemarkedsplads.

(16)

En onlinesøgemaskine gør det principielt muligt for brugeren at foretage søgninger på alle websteder på grundlag af en forespørgsel om et hvilket som helst emne. Søgningen kan alternativt være fokuseret på websteder på et bestemt sprog. Definitionen af en onlinesøgemaskine, der er omhandlet i dette direktiv, bør ikke dække søgefunktioner, der er begrænset til indholdet af et særligt websted, uanset om søgefunktionen er fra en ekstern søgemaskine. Den bør heller ikke omfatte onlinetjenester, der sammenligner prisen på bestemte varer eller tjenester fra forskellige erhvervsdrivende og derefter omdirigerer brugeren til den foretrukne erhvervsdrivende for at købe produktet.

(17)

Cloud computing-tjenester omfatter en lang række aktiviteter, der kan leveres i henhold til forskellige modeller. Med henblik på dette direktiv dækker udtrykket »cloud computing-tjenester« tjenester, som muliggør adgang til en skalerbar og elastisk pulje af delbare IT-ressourcer. Disse IT-ressourcer omfatter ressourcer som f.eks. netværk, servere eller anden infrastruktur, lagring, applikationer og tjenester. Udtrykket »skalerbar« henviser til IT-ressourcer, som kan tildeles fleksibelt af udbyderen af cloud computing-tjenester uanset ressourcernes geografiske placering med henblik på at håndtere udsving i efterspørgslen. Udtrykket »elastisk pulje« bruges til at beskrive de IT-ressourcer, der tilvejebringes og stilles til rådighed alt efter efterspørgslen for hurtigt at øge eller mindske de tilgængelige ressourcer alt efter arbejdsbyrden. Udtrykket »delbar« bruges til at beskrive de IT-ressourcer, der leveres til flere brugere, som deler en fælles adgang til tjenesten, men hvor databehandlingen foretages særskilt for hver bruger, selv om tjenesten leveres fra samme elektroniske udstyr.

(18)

Et internetudvekslingspunkt (IXP) har som funktion at sammenkoble net. Et IXP giver ikke netadgang og fungerer ikke som transitleverandør eller -operatør. Et IXP leverer heller ikke andre tjenester, som ikke er forbundet med samtrafik, selv om dette ikke forhindrer en IXP-operatør i at levere ikkeforbundne tjenester. Formålet med et IXP er at sammenkoble net, som er teknisk og organisatorisk adskilte. Udtrykket »autonomt system« bruges til at beskrive et teknisk selvstændigt net.

(19)

Medlemsstaterne bør være ansvarlige for at fastlægge, hvilke enheder der opfylder kriterierne i definitionen af operatør af væsentlige tjenester. For at sikre en ensartet tilgang bør definitionen af operatør af væsentlige tjenester anvendes konsekvent i alle medlemsstater. Til dette formål fastlægger direktivet bestemmelser om vurderingen af enheder, der er aktive i særlige sektorer og delsektorer, opstilling af en liste over væsentlige tjenester, overvejelse af en fælles liste over tværsektorielle forhold for at fastslå, hvorvidt en potentiel hændelse ville have en væsentlig forstyrrende virkning, en høringsproces med inddragelse af relevante medlemsstater i tilfælde af enheder, der leverer tjenester i mere end én medlemsstat, og støtte af samarbejdsgruppen i identifikationsprocessen. For at sikre, at eventuelle ændringer på markedet afspejles korrekt, bør listen over identificerede operatører løbende tages op til revision i medlemsstaterne og om nødvendigt ajourføres. Endelig bør medlemsstaterne give Kommissionen de fornødne oplysninger for at vurdere, i hvilket omfang denne fælles fremgangsmåde har givet mulighed for en konsekvent anvendelse af definitionen i medlemsstaterne.

(20)

I forbindelse med identificering af operatører af væsentlige tjenester bør medlemsstaterne vurdere, i det mindste for hver delsektor, der er omhandlet i dette direktiv, hvilke tjenester der skal anses for at være væsentlige for opretholdelsen af kritiske samfundsmæssige og økonomiske aktiviteter, og om de enheder, der er opført på listen over de sektorer og delsektorer, der er omhandlet i dette direktiv, og som leverer disse tjenester, opfylder kriterierne for identificering af operatører. Ved vurderingen af, om en enhed leverer en tjeneste, der er væsentlig for opretholdelsen af kritiske samfundsmæssige eller økonomiske aktiviteter, er det tilstrækkeligt at undersøge, om denne enhed yder en tjeneste, der er opført på listen over væsentlige tjenester. Det bør desuden påvises, at leveringen af væsentlige tjenester afhænger af net- og informationssystemer. Endelig skal medlemsstaterne ved vurderingen af, om en hændelse vil have en væsentlig forstyrrende virkning på leveringen af tjenesten, tage hensyn til en række tværsektorielle forhold samt, hvis det er relevant, sektorspecifikke forhold.

(21)

Med henblik på at identificere operatører af væsentlige tjenester forstås ved etablering i en medlemsstat en effektiv og reel udøvelse af aktiviteter gennem stabile ordninger. De pågældende ordningers retlige form, hvad enten det er gennem en filial eller et datterselskab med status af juridisk person, har ikke afgørende betydning i denne forbindelse.

(22)

Det er muligt, at enheder, der opererer i de sektorer og delsektorer, der er omhandlet i dette direktiv, både leverer væsentlige og ikkevæsentlige tjenester. Inden for luftfartssektoren leverer lufthavne eksempelvis tjenester, der af en medlemsstat kan betragtes som værende væsentlige, f.eks. forvaltning af start- og landingsbaner, men også en række tjenester, der kan betragtes som ikkevæsentlige, f.eks. tilvejebringelse af butiksområder. Operatører af væsentlige tjenester bør kun være omfattet af de særlige sikkerhedskrav, når det gælder tjenester, der betragtes som værende væsentlige. Med henblik på identificering af operatører bør medlemsstaterne derfor opstille en liste over de tjenester, der betragtes som væsentlige.

(23)

Listen over tjenester bør indeholde alle tjenester på en given medlemsstats område, der opfylder kravene i dette direktiv. Medlemsstaterne bør kunne supplere den eksisterende liste ved at tilføje nye tjenester. Listen over tjenester bør tjene som referencepunkt for medlemsstaterne med henblik på identificering af operatører af væsentlige tjenester. Listens formål er at identificere de typer af væsentlige tjenester, der findes i en given sektor omhandlet i dette direktiv, så de kan holdes adskilt fra ikkevæsentlige aktiviteter, for hvilke en enhed, der er aktiv i en given sektor, kan være ansvarlig. Listen over tjenester, der fastlægges af hver medlemsstat, vil kunne tjene som et yderligere input i vurderingen af den lovgivningsmæssige praksis i hver medlemsstat, så der kan sikres en overordnet sammenhæng i identifikationsprocessen blandt medlemsstaterne.

(24)

Når en enhed leverer en væsentlig tjeneste i to eller flere medlemsstater, bør disse medlemsstater med henblik på identifikationsprocessen deltage i bilaterale eller multilaterale drøftelser med hinanden. Denne høringsproces skal hjælpe dem med at vurdere operatørens kritiske karakter med hensyn til grænseoverskridende konsekvenser, hvilket giver hver af de involverede medlemsstater mulighed for at fremlægge deres synspunkter om de risici, der er forbundet med de leverede tjenester. De berørte medlemsstater bør tage hensyn til hinandens synspunkter i denne proces og bør kunne anmode om samarbejdsgruppens bistand i denne henseende.

(25)

Som følge af identifikationsprocessen bør medlemsstaterne vedtage nationale foranstaltninger til at afgøre, hvilke enheder der er underkastet forpligtelser vedrørende sikkerhed i net- og informationssystemer. Dette resultat kan opnås ved at udarbejde en liste over alle operatører af væsentlige tjenester eller vedtage nationale foranstaltninger, herunder objektive målbare kriterier, som f.eks. operatørens produktion eller antallet af brugere, hvilket gør det muligt at fastslå, hvilke enheder der er underlagt forpligtelser vedrørende sikkerhed i net- og informationssystemer. De nationale foranstaltninger, hvad enten de allerede eksisterer eller vedtages i forbindelse med dette direktiv, bør omfatte alle retlige foranstaltninger, administrative foranstaltninger og politikker, der gør det muligt at identificere operatører af væsentlige tjenester i medfør af dette direktiv.

(26)

For at give en indikation af, hvor væsentlige de identificerede operatører af væsentlige tjenester er i forhold til den pågældende sektor, bør medlemsstaterne tage hensyn til antallet og størrelsen af disse operatører, f.eks. med hensyn til markedsandel, eller den producerede eller transporterede kvantitet, uden at være forpligtet til at videregive oplysninger, som ville afsløre, hvilke operatører der er blevet identificeret.

(27)

For at afgøre, hvorvidt en hændelse ville have en væsentlig forstyrrende virkning for levering af en væsentlig tjeneste, bør medlemsstaterne tage hensyn til en række forskellige faktorer, som f.eks. det antal brugere, der er afhængige af denne tjeneste til private eller erhvervsmæssige formål. Brugen af denne tjeneste kan ske direkte, indirekte eller ved formidling. Ved vurderingen af, hvilke konsekvenser en hændelse kunne have rent omfangs- og varighedsmæssigt på økonomiske og samfundsmæssige aktiviteter eller den offentlige sikkerhed, bør medlemsstaterne ligeledes undersøge, hvor lang tid der skønnes at ville gå, før diskontinuiteten ville begynde at have negative konsekvenser.

(28)

Med henblik på at fastslå, hvorvidt en hændelse ville have en væsentlig forstyrrende virkning på leveringen af en væsentlig tjeneste, bør medlemsstaterne i tillæg til tværsektorielle forhold også tage højde for sektorspecifikke forhold. Med hensyn til energileverandører kan sådanne forhold f.eks. omfatte omfanget eller andelen af elektricitet, der er produceret på nationalt plan; for olieleverandører mængden pr. dag; for lufttransport, herunder lufthavne og luftfartsselskaber, jernbanetransport og søhavne, den nationale andel af trafikmængden og antallet af passagerer eller fragtoperationer årligt; for banker eller finansielle markedsinfrastrukturer deres systemiske betydning baseret på de samlede aktiver eller de samlede aktiver i forhold til BNP; for sundhedssektoren antallet af patienter under tjenesteyderens pleje pr. år; for vandproduktion, -behandling og -forsyning mængden og antallet samt typerne af brugere, der forsynes, herunder for eksempel hospitaler, organisationer for offentlige tjenester eller enkeltpersoner, og om der findes alternative vandkilder til dækning af samme geografiske område.

(29)

Hver medlemsstat bør have en national strategi for sikkerheden i net- og informationssystemer, der fastlægger, hvilke strategiske mål og konkrete politiktiltag der skal gennemføres for at nå og bibeholde et højt sikkerhedsniveau i net- og informationssystemer.

(30)

I betragtning af forskellene mellem nationale forvaltningsstrukturer og med henblik på at sikre allerede eksisterende sektorforanstaltninger eller Unionens tilsyns- og kontrolorganer og undgå overlapninger bør medlemsstaterne kunne udpege mere end én national kompetent myndighed med ansvar for udførelsen af de opgaver, som er knyttet til sikkerheden i net- og informationssystemer hos operatører af væsentlige tjenester og udbydere af digitale tjenester i henhold til dette direktiv.

(31)

For at fremme grænseoverskridende samarbejde og kommunikation og for at sikre en effektiv gennemførelse af dette direktiv er det nødvendigt, at hver medlemsstat, uden at det berører sektorspecifikke kontrolordninger, udpeger ét nationalt centralt kontaktpunkt med ansvar for at koordinere spørgsmål vedrørende sikkerheden i net- og informationssystemer samt grænseoverskridende samarbejde på EU-plan. Kompetente myndigheder og centrale kontaktpunkter bør have tilstrækkelige tekniske, finansielle og menneskelige ressourcer til at sikre, at de på en effektiv måde kan udføre de opgaver, som de pålægges, og dermed opfylde målene i dette direktiv. Da dette direktiv har til formål at forbedre det indre markeds funktion ved at skabe tryghed og tillid, er medlemsstaterne nødt til at kunne samarbejde effektivt med de økonomiske aktører og struktureres i overensstemmelse hermed.

(32)

Kompetente myndigheder eller enheder, der håndterer IT-sikkerhedshændelser (CSIRT'er), bør modtage underretninger om hændelser. De centrale kontaktpunkter bør ikke direkte modtage nogen underretninger om hændelser, medmindre de også handler som en kompetent myndighed eller som en CSIRT. En kompetent myndighed eller en CSIRT bør imidlertid kunne give det centrale kontaktpunkt til opgave at fremsende underretninger om hændelser til de centrale kontaktpunkter i andre berørte medlemsstater.

(33)

For at sikre en effektiv tilvejebringelse af oplysninger til medlemsstaten og Kommissionen bør den sammenfattende rapport forelægges af det centrale kontaktpunkt for samarbejdsgruppen, og den bør anonymiseres for at sikre, at underretningerne og identiteten af operatører af væsentlige tjenester og udbydere af digitale tjenester forbliver fortrolige, eftersom oplysninger om de underrettende enheders identitet ikke er påkrævet for udvekslingen af bedste praksis i samarbejdsgruppen. Den sammenfattende rapport bør indeholde oplysninger om antallet af modtagne underretninger og karakteren af de underrettede hændelser, f.eks. typerne af brud på sikkerheden, deres alvorlighed eller deres varighed.

(34)

Medlemsstaterne bør være udstyret med både tilstrækkelig teknisk og organisatorisk kapacitet, til at forebygge, detektere, reagere på og afhjælpe hændelser og risici i net- og informationssystemer. Alle medlemsstater bør derfor sikre sig, at de har velfungerende CSIRT'er, også kendt som IT-beredskabsenheder (»CERT'er«), som opfylder de væsentlige krav for at sikre en effektiv og kompatibel kapacitet til at reagere på hændelser og risici og sikre et effektivt samarbejde på EU-plan. For at alle typer af operatører af væsentlige tjenester og udbydere af digitale tjenester kan få gavn af disse kapaciteter og dette samarbejde, bør medlemsstaterne sikre, at alle typer er omfattet af en udpeget CSIRT. I betragtning af betydningen af internationalt samarbejde om cybersikkerhed bør CSIRT'er kunne deltage i internationale samarbejdsnetværk i tillæg til de CSIRT-netværk, der er oprettet ved dette direktiv.

(35)

Da de fleste net- og informationssystemer er privatejede, er samarbejde mellem den offentlige og private sektor afgørende. Operatører af væsentlige tjenester og udbydere af digitale tjenester bør tilskyndes til at benytte deres egne uformelle samarbejdsmekanismer for at sikre sikkerheden i net- og informationssystemer. Samarbejdsgruppen bør, hvis det er relevant, kunne indbyde relevante interessenter til drøftelser. For effektivt at fremme udvekslingen af oplysninger og bedste praksis er det afgørende at sikre, at operatører af væsentlige tjenester og udbydere af digitale tjenester, som deltager i en sådan udveksling, ikke stilles dårligere som følge af deres samarbejde.

(36)

ENISA bør bistå medlemsstaterne og Kommissionen med ekspertise og rådgivning og ved at lette udveksling af bedste praksis. Især ved anvendelsen af dette direktiv bør Kommissionen, og medlemsstaterne bør kunne, rådføre sig med ENISA. Med sigte på opbygning af kapacitet og viden blandt medlemsstaterne bør samarbejdsgruppen også fungere som et redskab til udveksling af bedste praksis og drøftelse af medlemsstaternes kapaciteter og beredskab, og den bør på frivillig basis bistå medlemmerne med evaluering af nationale strategier for sikkerheden i net- og informationssystemer, arbejde med kapacitetsopbygning og evaluering af øvelser vedrørende sikkerheden i net- og informationssystemer.

(37)

Medlemsstaterne bør, hvis det er relevant, kunne benytte eller tilpasse eksisterende organisationsstrukturer eller -strategier, når de anvender dette direktiv.

(38)

Samarbejdsgruppens og ENISA's respektive opgaver er indbyrdes afhængige og supplerer hinanden. Generelt bør ENISA bistå samarbejdsgruppen med udførelsen af dens opgaver i overensstemmelse med målet i Europa-Parlamentets og Rådets forordning (EU) nr. 526/2013 (7), nemlig ved at bistå Unionens institutioner, organer, kontorer og agenturer og medlemsstaterne med at gennemføre de politikker, der er nødvendige for at opfylde de retlige og reguleringsmæssige krav vedrørende sikkerheden i net- og informationssystemer i henhold til eksisterende og fremtidige EU-retsakter. ENISA bør navnlig yde bistand på de områder, der svarer til dets egne opgaver, jf. forordning (EU) nr. 526/2013, nemlig at analysere sikkerhedsstrategier for net- og informationssystemer, støtte tilrettelæggelsen og gennemførelsen af EU-øvelser vedrørende sikkerheden i net- og informationssystemer og udveksle oplysninger og bedste praksis for bevidstgørelse og uddannelse. ENISA bør også deltage i udarbejdelsen af retningslinjer for sektorspecifikke kriterier for fastlæggelse af omfanget af en hændelses konsekvenser.

(39)

For at fremme forbedret sikkerhed i net- og informationssystemer bør samarbejdsgruppen, hvis det er relevant, samarbejde med relevante EU-institutioner, -organer, -kontorer og -agenturer med henblik på at udveksle knowhow og bedste praksis og yde rådgivning om sikkerhedsaspekter i net- og informationssystemer, der kan have konsekvenser for deres arbejde, samtidig med at den respekterer gældende ordninger for udveksling af fortrolige oplysninger. I samarbejdet med retshåndhævende myndigheder vedrørende sikkerhedsaspekter i net- og informationssystemer, der kan have konsekvenser for disse myndigheders arbejde, bør samarbejdsgruppen respektere eksisterende informationskanaler og etablerede net.

(40)

Oplysninger om hændelser er stadig mere værdifulde for den brede offentlighed og virksomheder, navnlig små og mellemstore virksomheder. I nogle tilfælde er der allerede adgang til disse oplysninger via websteder på nationalt plan på et bestemt lands sprog og med fokus på hændelser og begivenheder, der har en national dimension. Da virksomhederne i stigende grad opererer på tværs af grænserne, og borgerne benytter onlinetjenester, bør oplysninger om hændelser gives i sammenfattet form på EU-plan. CSIRT-netværkets sekretariat tilskyndes til at oprette et websted eller vedligeholde en særlig side på et eksisterende websted, hvor generelle oplysninger om større hændelser, som har fundet sted i hele Unionen, stilles til rådighed for den brede offentlighed med særlig fokus på virksomhedernes interesser og behov. CSIRT'er, der deltager i CSIRT-netværket, tilskyndes til på frivillig basis at levere de oplysninger, der skal offentliggøres på det nævnte websted, uden at der medtages fortrolige eller følsomme oplysninger.

(41)

Hvis oplysningerne betragtes som værende fortrolige i overensstemmelse med EU-regler og nationale regler om forretningshemmeligheder, bør denne fortrolighed sikres under udførelsen af aktiviteterne og opfyldelsen af målene i dette direktiv.

(42)

Øvelser, der simulerer hændelsesscenarier i realtid, er afgørende for testningen af medlemsstaternes beredskab og samarbejde vedrørende sikkerheden i net- og informationssystemer. Øvelsesforløbet Cyber Europe, som ENISA koordinerer med medlemsstaternes deltagelse, er et nyttigt redskab til testning og udarbejdelse af anbefalinger til, hvordan håndteringen af hændelser på EU-plan bør forbedres over tid. Eftersom medlemsstaterne ikke for øjeblikket er forpligtet til hverken at planlægge eller deltage i øvelser, bør oprettelsen af CSIRT-netværket i henhold til dette direktiv give dem mulighed for at deltage i øvelser på grundlag af præcis planlægning og strategiske valg. Den samarbejdsgruppe, der er nedsat i henhold til dette direktiv, bør drøfte de strategiske beslutninger vedrørende øvelser, navnlig, men ikke udelukkende, med hensyn til øvelsernes hyppighed og udformningen af scenarierne. ENISA bør i overensstemmelse med sit mandat støtte tilrettelæggelsen og gennemførelsen af EU-dækkende øvelser ved at bistå samarbejdsgruppen og CSIRT-netværket med ekspertise og rådgivning.

(43)

I betragtning af den globale karakter af sikkerhedsproblemer, der påvirker net- og informationssystemer, er der behov for et tættere internationalt samarbejde om at forbedre sikkerhedsstandarderne og informationsudvekslingen og for at fremme en fælles samlet tilgang til sikkerhedsspørgsmål.

(44)

Ansvaret for at sikre sikkerheden i net- og informationssystemer ligger i vid udstrækning hos operatører af væsentlige tjenester og udbydere af digitale tjenester. En risikostyringskultur med risikovurdering og gennemførelse af sikkerhedsforanstaltninger, som står i forhold til risiciene, bør fremmes og udvikles gennem passende forskriftsmæssige krav og en frivillig indsats fra erhvervslivets side. Etablering af pålidelige lige vilkår er også afgørende for, at samarbejdsgruppen og CSIRT-netværket er velfungerende, så man sikrer et effektivt samarbejde fra alle medlemsstater.

(45)

Dette direktiv finder kun anvendelse på de offentlige myndigheder, der er identificeret som operatører af væsentlige tjenester. Det er derfor medlemsstaternes ansvar at sikre sikkerheden i net- og informationssystemer tilhørende offentlige myndigheder, som ikke henhører under dette direktivs anvendelsesområde.

(46)

Risikostyringsforanstaltninger omfatter foranstaltninger til at identificere alle risici for hændelser, forebygge, detektere og håndtere hændelser og begrænse deres konsekvenser. Sikkerheden i net- og informationssystemer omfatter lagrede, overførte og behandlede datas sikkerhed.

(47)

Kompetente myndigheder bør fortsat have mulighed for at vedtage nationale retningslinjer om de omstændigheder, hvorunder operatører af væsentlige tjenester har pligt til at underrette om hændelser.

(48)

Mange virksomheder i Unionen er afhængige af udbydere af digitale tjenester til levering af deres tjenester. Da nogle digitale tjenester kan være en vigtig ressource for deres brugere, herunder operatører af væsentlige tjenester, og brugerne af den grund måske ikke altid har nogen alternativer, bør dette direktiv også finde anvendelse på udbydere af denne type tjenester. Sikkerheden og kontinuiteten i samt pålideligheden af denne type digitale tjenester, der er omhandlet i dette direktiv, er for mange virksomheder afgørende for, at de fungerer godt. En afbrydelse af en sådan digital tjeneste kunne forhindre levering af andre tjenester, der er afhængige af den, og kunne dermed få konsekvenser for økonomiske og samfundsmæssige nøgleaktiviteter i Unionen. Sådanne digitale tjenester kan derfor have afgørende betydning for, at virksomheder, der er afhængige af dem, fungerer godt, og for, at disse virksomheder kan deltage i det indre marked og i grænseoverskridende handel i hele Unionen. De nævnte udbydere af digitale tjenester, der er omfattet af dette direktiv, er de udbydere, der anses for at tilbyde digitale tjenester, som mange virksomheder i Unionen i stigende grad er afhængige af.

(49)

Udbydere af digitale tjenester bør sikre et sikkerhedsniveau, der afspejler graden af den risiko, som de digitale tjenester, de leverer, udsættes for, i betragtning af den betydning, deres tjenester har for aktiviteter, der udføres af andre virksomheder i Unionen. I praksis vil graden af risiko for operatører af væsentlige tjenester, som ofte er af væsentlig betydning for opretholdelsen af vigtige økonomiske og samfundsmæssige aktiviteter, være højere end for udbydere af digitale tjenester. Derfor bør sikkerhedskravene for udbydere af digitale tjenester være mere moderate. Udbydere af digitale tjenester bør fortsat kunne træffe de foranstaltninger, som de mener er passende for at styre de risici, som sikkerheden i deres net- og informationssystemer udsættes for. Udbydere af digitale tjenester bør som følge af deres grænseoverskridende karakter omfattes af en mere harmoniseret tilgang på EU-plan. Gennemførelsesretsakter bør lette specificeringen og gennemførelsen af sådanne foranstaltninger.

(50)

Selv om hardwarefabrikanter og softwareudviklere hverken er operatører af væsentlige tjenester eller udbydere af digitale tjenester, forbedrer deres produkter sikkerheden i net- og informationssystemer. De spiller derfor en vigtig rolle for, at operatører af væsentlige tjenester og udbydere af digitale tjenester kan sikre deres net- og informationssystemer. Sådanne hardware- og softwareprodukter er allerede underlagt gældende regler om produktansvar.

(51)

Tekniske og organisatoriske foranstaltninger, der pålægges operatører af væsentlige tjenester og udbydere af digitale tjenester, bør ikke kræve, at et bestemt kommercielt informations- og kommunikationsteknologiprodukt skal konstrueres, udvikles eller fremstilles på en bestemt måde.

(52)

Operatørerne af væsentlige tjenester og udbyderne af digitale tjenester bør sikre beskyttelsen af de net- og informationssystemer, de anvender. Det er hovedsageligt private net- og informationssystemer, hvor administrationen varetages af deres eget IT-personale, eller hvor sikkerhedsopgaverne er outsourcet. Sikkerhedskravene og underretningspligten bør gælde for de relevante operatører af væsentlige tjenester og udbydere af digitale tjenester, uanset om de selv står for vedligeholdelsen af deres net- og informationssystemer eller outsourcer denne opgave.

(53)

Med sigte på at undgå, at operatører af væsentlige tjenester og udbydere af digitale tjenester pålægges en uforholdsmæssig stor finansiel og administrativ byrde, bør kravene stå i et rimeligt forhold til den risiko, der er forbundet med det pågældende net- og informationssystem, under hensyntagen til sådanne foranstaltningers aktuelle stade. For så vidt angår udbydere af digitale tjenester, bør disse krav ikke gælde for mikrovirksomheder og små virksomheder.

(54)

Når offentlige myndigheder i medlemsstaterne anvender tjenester, der tilbydes af udbydere af digitale tjenester, navnlig cloud computing-tjenester, vil de måske ønske at stille krav til udbyderne af disse tjenester om flere sikkerhedsforanstaltninger end dem, som udbydere af digitale tjenester normalt tilbyder i overensstemmelse med kravene i dette direktiv. De bør kunne gøre dette ved hjælp af kontraktlige forpligtelser.

(55)

Definitionerne af onlinemarkedsplads, onlinesøgemaskiner og cloud computing-tjenester i dette direktiv er specifikke for dette direktiv og berører ikke andre instrumenter.

(56)

Dette direktiv bør ikke forhindre medlemsstaterne i at vedtage nationale foranstaltninger, der forpligter offentligretlige organer til at sikre særlige sikkerhedskrav, når de indgår aftaler om cloud computing-tjenester. Sådanne nationale foranstaltninger bør finde anvendelse på den pågældende offentlige myndighed og ikke udbyderen af cloud computing-tjenester.

(57)

I betragtning af de grundlæggende forskelle mellem operatører af væsentlige tjenester, navnlig deres direkte forbindelse til fysisk infrastruktur, og udbydere af digitale tjenester, navnlig deres grænseoverskridende karakter, bør dette direktiv benytte en differentieret tilgang med hensyn til harmoniseringsniveauet i forbindelse med disse to grupper af enheder. For operatører af væsentlige tjenester bør medlemsstaterne kunne identificere de relevante operatører og indføre strengere krav end dem, der er fastsat i dette direktiv. Medlemsstaterne bør ikke identificere udbydere af digitale tjenester, eftersom dette direktiv bør gælde for alle udbydere af digitale tjenester inden for dets anvendelsesområde. Desuden bør dette direktiv og de gennemførelsesretsakter, der vedtages i henhold hertil, sikre et højt harmoniseringsniveau for udbydere af digitale tjenester med hensyn til sikkerhedskrav og underretningspligt. Dette bør sætte udbyderne af digitale tjenester i stand til at blive behandlet på en ensartet måde i hele Unionen og på en måde, der står i rimeligt forhold til deres karakter og graden af den risiko, de kunne blive udsat for.

(58)

Dette direktiv bør ikke forhindre medlemsstaterne i at indføre sikkerhedskrav og underretningspligt for enheder, der ikke er udbydere af digitale tjenester inden for rammerne af dette direktiv, idet dette ikke berører medlemsstaternes forpligtelser i henhold til EU-retten.

(59)

De kompetente myndigheder bør tage behørigt hensyn til nødvendigheden af at bevare uformelle og pålidelige kanaler til informationsudveksling. Ved offentliggørelse af hændelser, der underrettes til de kompetente myndigheder, bør der foretages en nøje afvejning af offentlighedens interesse i at blive informeret om trusler i forhold til mulig imageskade og kommerciel skade for de operatører af væsentlige tjenester og udbydere af digitale tjenester, der underretter om hændelser. Ved gennemførelsen af underretningspligten bør de kompetente myndigheder og CSIRT'erne være særlig opmærksomme på behovet for at holde oplysninger om produkters sårbarhed strengt fortrolige, indtil der udsendes passende sikkerhedsopdateringer.

(60)

Udbydere af digitale tjenester bør underkastes et lempeligere og reaktivt efterfølgende tilsyn under hensyn til arten af deres tjenester og operationer. Den berørte kompetente myndighed bør derfor kun skride til handling, når den har fået dokumentation (f.eks. fra udbyderen af digitale tjenester selv, fra en anden kompetent myndighed, herunder en kompetent myndighed i en anden medlemsstat, eller fra brugeren af tjenesten) for, at en udbyder af digitale tjenester ikke overholder kravene i dette direktiv, navnlig efter at der er sket en hændelse. Den kompetente myndighed bør således ikke have en generel forpligtelse til at føre tilsyn med udbydere af digitale tjenester.

(61)

De kompetente myndigheder bør have de nødvendige midler til at udføre deres opgaver, herunder beføjelser til at indhente tilstrækkelige oplysninger til, at de kan vurdere sikkerhedsniveauet i net- og informationssystemer.

(62)

Hændelser kan være resultatet af kriminelle aktiviteter, og forebyggelse, efterforskning og retsforfølgelse heraf støttes ved koordinering og samarbejde mellem operatører af væsentlige tjenester, udbydere af digitale tjenester, kompetente myndigheder og retshåndhævende myndigheder. Hvis der er mistanke om, at en hændelse er forbundet med alvorlige kriminelle aktiviteter i henhold til EU-retten eller national ret, bør medlemsstaterne tilskynde operatører af væsentlige tjenester og udbydere af digitale tjenester til at underrette om hændelser af formodet alvorlig kriminel karakter til de relevante retshåndhævende myndigheder. Hvis det er relevant, er det ønskværdigt, at koordineringen mellem forskellige medlemsstaters kompetente myndigheder og retshåndhævende myndigheder lettes af det Europæiske Center til Bekæmpelse af IT-Kriminalitet (EC3) og ENISA.

(63)

Personoplysninger er i mange tilfælde kompromitteret som følge af hændelser. De kompetente myndigheder og databeskyttelsesmyndighederne bør i denne forbindelse samarbejde og udveksle oplysninger om alle relevante spørgsmål for at håndtere alle brud på persondatasikkerheden som følge af hændelser.

(64)

Jurisdiktion, for så vidt angår udbydere af digitale tjenester, bør tildeles den medlemsstat, hvor den pågældende udbyder af digitale tjenester har sit hjemsted i Unionen, hvilket i princippet svarer til det sted, hvor udbyderen har sit hovedkontor i Unionen. Ved hjemsted forstås en effektiv og reel udøvelse af aktivitet gennem stabile ordninger. De pågældende ordningers retlige form, hvad enten det er en filial eller et datterselskab med status af juridisk person, har ikke afgørende betydning i denne forbindelse. Dette kriterium bør ikke afhænge af, hvorvidt net- og informationssystemerne fysisk befinder sig på et givent sted; tilstedeværelsen og anvendelsen af sådanne systemer udgør ikke i sig selv et sådant hjemsted og er derfor ikke et kriterium for fastlæggelse af hjemstedet.

(65)

En udbyder af digitale tjenester, som ikke er etableret i Unionen, men tilbyder tjenester i Unionen, bør udpege en repræsentant. Med henblik på at afgøre, om en sådan udbyder af digitale tjenester tilbyder tjenester i Unionen, bør det fastslås, om det er åbenbart, at udbyderen af digitale tjenester påtænker at tilbyde tjenester til personer i en eller flere medlemsstater. Alene det forhold, at der i Unionen er adgang til udbyderen af digitale tjenesters eller en mellemmands websted eller til en e-mailadresse og andre kontaktoplysninger eller at der anvendes et sprog, som almindeligvis anvendes i det tredjeland, hvor udbyderen af digitale tjenester er etableret, er utilstrækkeligt til at fastslå en sådan hensigt. Imidlertid kan faktorer såsom anvendelse af et sprog eller en valuta, der almindeligvis anvendes i en eller flere medlemsstater med mulighed for at bestille tjenester på det pågældende sprog, eller omtale af kunder eller brugere, der er i Unionen, gøre det åbenbart, at udbyderen af digitale tjenester påtænker at tilbyde tjenester i Unionen. Repræsentanten bør handle på vegne af udbyderen af digitale tjenester, og kompetente myndigheder eller CSIRT'er bør kunne kontakte repræsentanten. Repræsentanten bør udtrykkeligt udpeges ved et skriftligt mandat fra udbyderen af digitale tjenester til at handle på sidstnævntes vegne, for så vidt angår sidstnævntes forpligtelser i medfør af dette direktiv, herunder underretning om hændelser.

(66)

Standardisering af sikkerhedskrav er en markedsstyret proces. Medlemsstaterne bør for at sikre en konvergerende anvendelse af sikkerhedsstandarder tilskynde til overholdelse af eller overensstemmelse med specificerede standarder for at sikre et højt sikkerhedsniveau i net- og informationssystemer på EU-plan. ENISA bør bistå medlemsstaterne med rådgivning og retningslinjer. Med dette mål for øje kan det være nyttigt at udarbejde udkast til harmoniserede standarder, som bør udformes i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 (8).

(67)

Enheder, der falder uden for dette direktivs anvendelsesområde, kan opleve hændelser, der har væsentlige konsekvenser for de tjenester, de leverer. Hvis disse enheder anser det for at være i offentlighedens interesse at underrette om forekomsten af sådanne hændelser, bør de kunne gøre det på et frivilligt grundlag. Sådanne underretninger bør behandles af den kompetente myndighed eller CSIRT, når en sådan behandling ikke udgør en uforholdsmæssig stor eller unødvendig byrde for de berørte medlemsstater.

(68)

For at sikre ensartede betingelser for gennemførelsen af dette direktiv bør Kommissionen tillægges gennemførelsesbeføjelser til at fastlægge de proceduremæssige ordninger, der er nødvendige for samarbejdsgruppens funktion, og de sikkerhedskrav og den underretningspligt, der gælder for udbydere af digitale tjenester. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 (9). Når Kommissionen vedtager gennemførelsesretsakter vedrørende de proceduremæssige ordninger, der er nødvendige for samarbejdsgruppens funktion, bør den tage størst muligt hensyn til udtalelsen fra ENISA.

(69)

Når Kommissionen vedtager gennemførelsesretsakter om sikkerhedskravene for udbydere af digitale tjenester, bør den tage størst muligt hensyn til udtalelsen fra ENISA og den bør konsultere de interesserede interessenter. Endvidere tilskyndes Kommissionen til at tage hensyn til følgende eksempler: vedrørende systemers og faciliteters sikkerhed: fysisk og miljømæssig sikkerhed, forsyningssikkerhed, kontrol af adgang til net- og informationssystemer og integritet i forbindelse med net- og informationssystemer; vedrørende håndtering af hændelser: procedurer for håndtering af hændelser, kapacitet til detektering af hændelser, underretning om og meddelelse af hændelser; vedrørende styring af driftskontinuitet: strategi for tjenesters kontinuitet og beredskabsplaner, katastrofeberedskabskapaciteter; vedrørende monitorering, audit og testning: monitorerings- og logningspolitikker, øvelsesberedskabsplaner, testning af net- og informationssystemer, sikkerhedsvurdering og kontrol med overholdelse.

(70)

I forbindelse med gennemførelsen af dette direktiv bør Kommissionen i passende omfang varetage kontakten med relevante sektorudvalg og relevante organer på EU-plan inden for de områder, der er omfattet af dette direktiv.

(71)

Kommissionen bør regelmæssigt tage dette direktivs bestemmelser op til fornyet overvejelse efter høring af interesserede interessenter, navnlig med henblik på at afgøre, om der er behov for ændringer i lyset af skiftende samfundsmæssige, politiske eller teknologiske vilkår eller markedsvilkår.

(72)

Udveksling af oplysninger om risici og hændelser i samarbejdsgruppen og CSIRT-netværket og overholdelse af kravet om underretning om hændelser til de nationale kompetente myndigheder eller CSIRT'er kan kræve behandling af personoplysninger. En sådan behandling bør ske i overensstemmelse med Europa-Parlamentets og Rådets direktiv 95/46/EF (10) og Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 (11). I forbindelse med anvendelsen af dette direktiv bør Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 (12) finde anvendelse i relevant omfang.

(73)

Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001 og afgav en udtalelse den 14. juni 2013 (13).

(74)

Målene for dette direktiv, nemlig at opnå et højt, fælles sikkerhedsniveau i net- og informationssystemer i Unionen, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af handlingens virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke videre, end hvad der er nødvendigt for at nå disse mål.

(75)

Dette direktiv overholder de grundlæggende rettigheder og de principper, der anerkendes i Den Europæiske Unions charter om grundlæggende rettigheder, navnlig retten til respekt for privatlivet og kommunikation, beskyttelsen af personoplysninger, frihed til at oprette og drive egen virksomhed, ejendomsretten og retten til effektive retsmidler for en domstol og ret til at blive hørt. Direktivet bør gennemføres i overensstemmelse med disse rettigheder og principper —

a)

fastsætter forpligtelser for alle medlemsstater til at vedtage en national strategi for sikkerhed i net- og informationssystemer

b)

nedsætter en samarbejdsgruppe med henblik på at støtte og lette strategisk samarbejde og udveksling af oplysninger mellem medlemsstaterne og at skabe tillid blandt dem

c)

opretter et netværk af enheder, der håndterer IT-sikkerhedshændelser (»CSIRT-netværk«), med henblik på at bidrage til skabelsen af tillid mellem medlemsstaterne og at fremme et hurtigt og effektivt operationelt samarbejde

d)

fastsætter sikkerhedskrav og underretningspligt for operatører af væsentlige tjenester og for udbydere af digitale tjenester

e)

fastsætter forpligtelser for medlemsstaterne til at udpege nationale kompetente myndigheder, centrale kontaktpunkter og CSIRT'er, som pålægges opgaver relateret til sikkerheden i net- og informationssystemer.

a)

et elektronisk kommunikationsnet som omhandlet i artikel 2, litra a), i direktiv 2002/21/EF

b)

enhver anordning eller gruppe af indbyrdes forbundne eller beslægtede anordninger, hvoraf en eller flere ved hjælp af et program udfører automatisk behandling af digitale data, eller

c)

digitale data, som lagres, behandles, fremfindes eller overføres af elementer i litra a) og b) med henblik på deres drift, brug, beskyttelse og vedligeholdelse

a)

en enhed leverer en tjeneste, der er væsentlig for opretholdelsen af kritiske samfundsmæssige og/eller økonomiske aktiviteter

b)

leveringen af denne tjeneste afhænger af net- og informationssystemer, og

c)

en hændelse ville få væsentlige forstyrrende virkninger for leveringen af den nævnte tjeneste.

a)

nationale foranstaltninger, som gør det muligt at identificere operatører af væsentlige tjenester

b)

den i stk. 3 omhandlede liste over tjenester

c)

det antal af operatører af væsentlige tjenester, som er identificeret for hver sektor, der er omhandlet i bilag II, og en angivelse af deres betydning i forhold til den pågældende sektor

d)

tærskler, hvis sådanne findes, til fastlæggelse af det relevante forsyningsniveau ved henvisning til antallet af brugere, der er afhængige af denne tjeneste, jf. artikel 6, stk. 1, litra a), eller til vigtigheden af den pågældende operatør af væsentlige tjenester, jf. artikel 6, stk. 1, litra f).

a)

antal af brugere, der er afhængige af de tjenester, som udbydes af den pågældende enhed

b)

afhængighed i andre sektorer som omhandlet i bilag II af den tjeneste, der leveres af den nævnte enhed

c)

de konsekvenser, som hændelser kan have med hensyn til omfang og varighed på økonomiske og samfundsmæssige aktiviteter eller den offentlige sikkerhed

d)

den nævnte enheds markedsandel

e)

den geografiske udbredelse med hensyn til det område, som kunne berøres af en hændelse

f)

enhedens betydning med henblik på at opretholde et tilstrækkeligt tjenesteniveau under hensyntagen til tilgængelige alternative måder til levering af denne tjeneste.

a)

målene og de prioriterede områder i den nationale strategi for sikkerhed i net- og informationssystemer

b)

en styringsmæssig ramme for at nå målene og de prioriterede områder i den nationale strategi for sikkerhed i net- og informationssystemer, herunder de statslige organers og andre relevante aktørers roller og ansvar

c)

fastlæggelse af foranstaltninger vedrørende beredskab, reaktion og genopretning, herunder samarbejde mellem den offentlige og den private sektor

d)

en angivelse af teoretiske og praktiske uddannelsesprogrammer og oplysningsprogrammer i forbindelse med den nationale strategi for sikkerhed i net- og informationssystemer

e)

en angivelse af forsknings- og udviklingsplaner relateret til den nationale strategi for sikkerhed i net- og informationssystemer

f)

en risikovurderingsplan til brug ved identifikation af risici

g)

en liste over de forskellige aktører, der er involveret i gennemførelse af den nationale strategi for sikkerhed i net- og informationssystemer.

a)

at give strategisk vejledning om aktiviteterne i det CSIRT-netværk, som oprettes i medfør af artikel 12

b)

at udveksle bedste praksis for udveksling af oplysninger vedrørende underretning om hændelser, jf. artikel 14, stk. 3 og 5, og artikel 16, stk. 3 og 6

c)

at udveksle bedste praksis mellem medlemsstaterne og i samarbejde med ENISA bistå medlemsstaterne med kapacitetsopbygning for at sikre sikkerheden i net- og informationssystemer

d)

at drøfte medlemsstaternes kapaciteter og beredskab og på frivillig basis evaluere nationale strategier for sikkerheden i net- og informationssystemer og CSIRT'ers effektivitet samt identificere bedste praksis

e)

at udveksle oplysninger og bedste praksis for oplysning og uddannelse

f)

at udveksle oplysninger og bedste praksis for forskning og udvikling i forbindelse med sikkerheden i net- og informationssystemer

g)

hvis det er relevant, at udveksle erfaringer om forhold vedrørende sikkerheden i net- og informationssystemer med Unionens relevante institutioner, organer, kontorer og agenturer

h)

at drøfte de i artikel 19 omhandlede standarder og specifikationer med repræsentanter fra de relevante europæiske standardiseringsorganisationer

i)

at indsamle oplysninger om bedste praksis i forbindelse med risici og hændelser

j)

årligt at gennemgå de sammenfattende rapporter som omhandlet i artikel 10, stk. 3, andet afsnit

k)

at drøfte det arbejde, som er udført med hensyn til øvelser vedrørende sikkerheden i net- og informationssystemer, teoretiske uddannelsesprogrammer og praktisk uddannelse, herunder det arbejde, som er udført af ENISA

l)

med ENISA's bistand at udveksle bedste praksis med hensyn til medlemsstaternes identificering af operatører af væsentlige tjenester, herunder i forbindelse med en grænseoverskridende afhængighed vedrørende risici og hændelser

m)

at drøfte metoder til rapportering af underretning om hændelser som omhandlet i artikel 14 og 16.

a)

at udveksle oplysninger om CSIRT'ers tjenester, aktiviteter og samarbejdsmuligheder

b)

på anmodning af en CSIRT-repræsentant fra en medlemsstat, som potentielt er berørt af en hændelse, at udveksle og drøfte oplysninger, der ikke er kommercielt følsomme, vedrørende denne hændelse og dermed forbundne risici; en medlemsstats CSIRT kan dog nægte at bidrage til denne drøftelse, hvis der er risiko for skade på efterforskningen af hændelsen

c)

at udveksle ikkefortrolige oplysninger om de enkelte hændelser og stille til dem rådighed på frivillig basis

d)

på anmodning af en repræsentant for en medlemsstats CSIRT at drøfte og, når det er muligt, identificere en samordnet reaktion på en hændelse, som er identificeret inden for den samme medlemsstats jurisdiktion

e)

at yde medlemsstater støtte i at håndtere grænseoverskridende hændelser med udgangspunkt i frivillig gensidig bistand

f)

at drøfte, undersøge og identificere yderligere former for operationelt samarbejde, herunder i forhold til:

g)

at oplyse samarbejdsgruppen om sine aktiviteter og om yderligere former for operationelt samarbejde som drøftet i henhold til litra f) og anmode om vejledning i forbindelse hermed

h)

at drøfte erfaringer fra øvelser vedrørende sikkerheden i net- og informationssystemer, herunder fra øvelser, der afholdes af ENISA

i)

på anmodning af en given CSIRT at drøfte denne CSIRT's kapaciteter og beredskab

j)

at udstede retningslinjer for at lette konvergensen mellem operationel praksis med hensyn til anvendelsen af bestemmelserne i denne artikel vedrørende operationelt samarbejde.

a)

antallet af brugere, der berøres af afbrydelsen af den væsentlige tjeneste

b)

hændelsens varighed

c)

den geografiske udbredelse med hensyn til det område, der er berørt af hændelsen.

a)

de oplysninger, der nødvendige for at vurdere sikkerheden i deres net- og informationssystemer, herunder dokumenterede sikkerhedspolitikker

b)

dokumentation for den faktiske gennemførelse af sikkerhedspolitikker, som f.eks. resultaterne af en sikkerhedsaudit udført af den kompetente myndighed eller en kvalificeret auditør og i sidstnævnte tilfælde stille resultaterne heraf, herunder den tilgrundliggende dokumentation, til rådighed for den kompetente myndighed.

a)

systemers og faciliteters sikkerhed

b)

håndtering af hændelser

c)

styring af driftskontinuitet

d)

monitorering, audit og testning

e)

overholdelse af internationale standarder.

a)

antallet af brugere, der berøres af hændelsen, navnlig brugere, som er afhængige af tjenesten med henblik på levering af deres egne tjenester

b)

hændelsens varighed

c)

den geografiske udbredelse med hensyn til det område, der er berørt af hændelsen

d)

omfanget af afbrydelsen af tjenestens funktion

e)

omfanget af konsekvenserne for økonomiske og samfundsmæssige aktiviteter.

a)

forelægge de oplysninger, der er nødvendige for at vurdere sikkerheden af deres net- og informationssystemer, herunder dokumenterede sikkerhedspolitikker

b)

afhjælpe mangler i opfyldelsen af de krav, der er fastsat i artikel 16.