ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ

Βρυξέλλες, 28.10.2019

COM(2019) 546 final

ΕΚΘΕΣΗ ΤΗΣ ΕΠΙΤΡΟΠΗΣ ΠΡΟΣ ΤΟ ΕΥΡΩΠΑΪΚΟ ΚΟΙΝΟΒΟΥΛΙΟ ΚΑΙ ΤΟ ΣΥΜΒΟΥΛΙΟ

για την αξιολόγηση της συνοχής των προσεγγίσεων που υιοθέτησαν τα κράτη μέλη κατά τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών σύμφωνα με το άρθρο 23 παράγραφος 1 της οδηγίας 2016/1148/ΕΕ για την ασφάλεια συστημάτων δικτύου και πληροφοριών

1.Εισαγωγή

Η οδηγία (ΕΕ) 2016/1148 σχετικά με μέτρα για υψηλό κοινό επίπεδο ασφάλειας συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ένωση 1 (οδηγία NIS) είναι η πρώτη νομική πράξη για την εσωτερική αγορά που αποσκοπεί στη βελτίωση της ανθεκτικότητας της ΕΕ έναντι των κινδύνων κυβερνοασφάλειας. Βασιζόμενη στο άρθρο 114 της Συνθήκης για τη λειτουργία της Ευρωπαϊκής Ένωσης, η οδηγία αποσκοπεί στο να διασφαλίσει τη συνέχεια των υπηρεσιών που επιτρέπουν την εύρυθμη λειτουργία της οικονομίας και της κοινωνίας της Ένωσης. Σε αυτό το πλαίσιο, η οδηγία θεσπίζει συγκεκριμένα μέτρα για την ανάπτυξη ικανοτήτων κυβερνοασφάλειας σε ολόκληρη την ΕΕ και τον μετριασμό των αυξανόμενων απειλών που αντιμετωπίζουν τα συστήματα δικτύου και πληροφοριών που χρησιμοποιούνται για την παροχή βασικών υπηρεσιών σε σημαντικούς τομείς.

Μετά τη θέση της σε ισχύ τον Αύγουστο του 2016, τα κράτη μέλη έπρεπε να θεσπίσουν εθνικά μέτρα έως τις 9 Μαΐου 2018 2 προκειμένου να συμμορφωθούν με τις διατάξεις της οδηγίας NIS. Η οδηγία προάγει την ανάπτυξη μιας νοοτροπίας διαχείρισης του κινδύνου μεταξύ των επιχειρήσεων ή άλλων οντοτήτων που παρέχουν βασικές υπηρεσίες και που ορίζονται, σύμφωνα με το άρθρο 5, ως «φορείς εκμετάλλευσης βασικών υπηρεσιών». Οι φορείς εκμετάλλευσης που εμπίπτουν στο πεδίο εφαρμογής της οδηγίας υποχρεούνται να λαμβάνουν τα κατάλληλα και αναλογικά τεχνικά και οργανωτικά μέτρα για τη διαχείριση των κινδύνων που αφορούν την ασφάλεια των συστημάτων δικτύου και πληροφοριών τους και για την κοινοποίηση των σοβαρών συμβάντων στις αρμόδιες αρχές.

Οι συννομοθέτες ανέθεσαν την εφαρμογή της οδηγίας NIS στα κράτη μέλη, τα οποία αναμένεται να καθορίσουν τις βασικές υπηρεσίες και να προσδιορίσουν τους φορείς εκμετάλλευσης βασικών υπηρεσιών που είναι εγκατεστημένοι στην επικράτειά τους. Για τον λόγο αυτόν το άρθρο 5 παράγραφος 7 της οδηγίας απαιτεί από τα κράτη μέλη να κοινοποιούν στην Επιτροπή τα αποτελέσματα της εν λόγω διαδικασίας προσδιορισμού. Για τον συντονισμό των κοινοποιήσεων, τόσο η Επιτροπή 3 όσο και η ομάδα συνεργασίας που συστάθηκε βάσει της οδηγίας 4 παρείχαν καθοδήγηση στα κράτη μέλη σχετικά με τη διαδικασία προσδιορισμού.

Σύμφωνα με το άρθρο 23 παράγραφος 1, στην παρούσα έκθεση αξιολογείται η συνοχή των προσεγγίσεων των κρατών μελών όσον αφορά τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών. Δεδομένης της στενής σχέσης μεταξύ της συνοχής των προσεγγίσεων προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών και του κινδύνου κατακερματισμού στον εν λόγω τομέα της εσωτερικής αγοράς, η παρούσα έκθεση θα αξιοποιηθεί επίσης στο πλαίσιο της ευρύτερης αξιολόγησης της οδηγίας NIS, όπως ορίζεται στο άρθρο 23 παράγραφος 2, βάσει του οποίου η Επιτροπή υποχρεούται να επανεξετάζει ανά περιόδους τη συνολική λειτουργία της οδηγίας και να αξιολογεί τον κατάλογο των τομέων και υποτομέων που υπόκεινται στη διαδικασία προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών και τα είδη ψηφιακών υπηρεσιών που καλύπτονται από την οδηγία. Η πρώτη έκθεση αυτού του είδους πρόκειται να υποβληθεί έως τις 9 Μαΐου 2021.

1.1Σκοπός της έκθεσης

Λόγω του σημαντικού τους ρόλου για την οικονομία και την κοινωνία στο σύνολό της, οι φορείς εκμετάλλευσης βασικών υπηρεσιών πρέπει να παρουσιάζουν ιδιαίτερα υψηλό βαθμό ανθεκτικότητας έναντι κυβερνοσυμβάντων. Από αυτή την άποψη, είναι σημαντικό τα κράτη μέλη να υιοθετήσουν μια συνεκτική προσέγγιση όσον αφορά τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών, για τους ακόλουθους λόγους:

1.Μείωση των κινδύνων που σχετίζονται με τις διασυνοριακές εξαρτήσεις:

Η αδυναμία συνεκτικού προσδιορισμού των σημαντικών φορέων εκμετάλλευσης που παρέχουν διασυνοριακές υπηρεσίες ενδέχεται να έχει ως αποτέλεσμα ανομοιόμορφο βαθμό κυβερνοανθεκτικότητας μεταξύ των διαφόρων κρατών μελών, αυξάνοντας τον κίνδυνο ένα διασυνοριακό συμβάν να προκαλέσει ζημιά σε κρίσιμες υποδομές ή απώλεια ζωών πολιτών 5 . Για παράδειγμα, οι διαχειριστές συστήματος μεταφοράς ενέργειας ή τα μητρώα τομέων ανωτάτου επιπέδου, που ανήκουν αμφότερα στον κατάλογο ειδών οντοτήτων του παραρτήματος II, είναι οντότητες που αξιοποιούν στο έπακρον την εσωτερική αγορά παρέχοντας διασυνοριακές υπηρεσίες σε καταναλωτές και επιχειρήσεις. Ως εκ τούτου, ο συνεκτικός προσδιορισμός των εν λόγω παρόχων σε ολόκληρη την Ένωση μπορεί να συμβάλει στην αποτροπή της διάδοσης κυβερνοαπειλών σε ολόκληρη την εσωτερική αγορά 6 .

2.Διασφάλιση ισότιμων όρων ανταγωνισμού για τους φορείς εκμετάλλευσης στην εσωτερική αγορά:

Βάσει της οδηγίας NIS απαιτείται από τα κράτη μέλη να θεσπίσουν απαιτήσεις ασφάλειας και κοινοποίησης συμβάντων για τους φορείς εκμετάλλευσης βασικών υπηρεσιών. Καθώς στην οδηγία υιοθετείται μια προσέγγιση ελάχιστης εναρμόνισης όσον αφορά τους φορείς εκμετάλλευσης βασικών υπηρεσιών, τα κράτη μέλη μπορούν να επιβάλλουν στους φορείς εκμετάλλευσης απαιτήσεις αυστηρότερες των απαιτήσεων που προβλέπει η οδηγία. Παρότι ενισχύουν την ανθεκτικότητα των κρατών μελών, τα εν λόγω μέτρα ενδέχεται να επιφέρουν πρόσθετο κανονιστικό κόστος στους ενδιαφερόμενους φορείς εκμετάλλευσης. Συνεπώς, είναι σημαντικό οι φορείς εκμετάλλευσης που παρέχουν παρόμοιες υπηρεσίες να υπόκεινται σε παρόμοια κανονιστική μεταχείριση.

3.Μείωση του κινδύνου αποκλινουσών ερμηνειών της οδηγίας:

Η οδηγία έχει σχεδιαστεί κατά τρόπον ώστε να παρέχει στα κράτη μέλη το περιθώριο ελιγμών όσον αφορά την επιλογή των σχετικών οντοτήτων, προκειμένου να λαμβάνονται υπόψη οι ιδιαιτερότητες κάθε χώρας. Ταυτόχρονα, η εν λόγω προσέγγιση αυξάνει τον κίνδυνο αποκλίσεων κατά την εφαρμογή των διατάξεων της οδηγίας και μπορεί δυνητικά να οδηγήσει σε ανεπαρκή συνοχή των μέτρων που θεσπίζουν τα κράτη μέλη. Αυτό είναι ιδιαίτερα σημαντικό για επιχειρήσεις που δραστηριοποιούνται σε περισσότερες από μία χώρες και οι οποίες, ως εκ τούτου, οφείλουν να ανταποκριθούν στις κανονιστικές απαιτήσεις περισσότερων του ενός κρατών μελών.

4.Ανάπτυξη ολοκληρωμένης επισκόπησης του βαθμού κυβερνοανθεκτικότητας σε ολόκληρη την ΕΕ:

Οι φορείς εκμετάλλευσης βασικών υπηρεσιών υπόκεινται σε εποπτικές δραστηριότητες που αποσκοπούν στην επαλήθευση της αποτελεσματικής εφαρμογής των πολιτικών για την ασφάλεια καθώς και της κοινοποίησης των σημαντικών συμβάντων. Η εποπτεία ευνοεί την ανάπτυξη ισχυρότερης συνεργασίας δημόσιου και ιδιωτικού τομέα, με αποτέλεσμα την ανάπτυξη κοινών γνώσεων σχετικά με την ετοιμότητα για την κυβερνοασφάλεια στο εσωτερικό ενός κράτους μέλους. Χάρη στην ομάδα συνεργασίας, οι πληροφορίες που ανταλλάσσονται σχετικά με την εθνική εμπειρία, συμπεριλαμβανομένων των πληροφοριών σχετικά με τα κοινοποιηθέντα συμβάντα 7 , μπορούν να συγκεντρωθούν σε επίπεδο ΕΕ και να συμβάλουν στην ακριβέστερη αξιολόγηση των κύριων απειλών και αναγκών. Ωστόσο, προϋπόθεση για να είναι αποτελεσματική η εν λόγω άσκηση ανταλλαγής πληροφοριών είναι η κοινή κατανόηση του ποιες οντότητες θα πρέπει να προσδιορίζονται ως φορείς εκμετάλλευσης βασικών υπηρεσιών.

1.2Διαδικασία προσδιορισμού βάσει της οδηγίας NIS

Στο παράρτημα II της οδηγίας NIS παρέχεται κατάλογος επτά τομέων και των αντίστοιχων υποτομέων και ειδών οντοτήτων που σχετίζονται με τη διαδικασία προσδιορισμού ( πίνακας 1 ). Βάσει του άρθρου 5 παράγραφος 3, απαιτείται από τα κράτη μέλη να καταρτίσουν κατάλογο βασικών υπηρεσιών με βάσει τους εν λόγω τομείς, υποτομείς και είδη οντοτήτων. Η προσέγγιση ελάχιστης εναρμόνισης της οδηγίας επιτρέπει στα κράτη μέλη να υπερβαίνουν το πεδίο εφαρμογής του παραρτήματος II και να προβαίνουν σε προσδιορισμό σε πρόσθετους τομείς και υποτομείς.

Πίνακας 1: Τομείς και υποτομείς που απαριθμούνται στο παράρτημα II της οδηγίας NIS

Στο άρθρο 5 παράγραφος 2 καθορίζονται τρία κριτήρια που πρέπει να χρησιμοποιούν τα κράτη μέλη για τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών:

1.Η υπό εξέταση οντότητα πρέπει να παρέχει υπηρεσία ουσιώδη για τη διατήρηση κρίσιμων κοινωνικών ή/και οικονομικών δραστηριοτήτων. Για τον σκοπό αυτόν, οι εθνικές αρμόδιες αρχές πρέπει να συμβουλεύονται τους καταλόγους βασικών υπηρεσιών που έχουν ήδη καταρτίσει.

2.Η παρεχόμενη υπηρεσία πρέπει να στηρίζεται σε δικτύου και πληροφοριών.

3.Τυχόν συμβάν θα πρέπει να προκαλεί σοβαρή διατάραξη της παροχής της σχετικής υπηρεσίας. Στο άρθρο 6 ορίζεται ότι η σημασία ενός συμβάντος αξιολογείται με χρήση διατομεακών παραγόντων και, ανάλογα με την περίπτωση, παραγόντων που αφορούν συγκεκριμένους τομείς 8 .

Επιπλέον, βάσει του άρθρου 5 παράγραφος 4 της οδηγίας, τα κράτη μέλη απαιτείται να διαβουλεύονται μεταξύ τους σε περίπτωση που διαπιστώσουν ότι ένας πιθανός φορέας εκμετάλλευσης βασικών υπηρεσιών παρέχει υπηρεσίες σε περισσότερα του ενός κράτη μέλη. Η εν λόγω υποχρεωτική διαδικασία αποσκοπεί, αφενός, να βοηθήσει τα κράτη μέλη να αξιολογούν τον δυνητικό αντίκτυπο ενός κυβερνοσυμβάντος που επηρεάζει οντότητες με διασυνοριακές δραστηριότητες και, αφετέρου, να αποτελέσει δικλίδα ασφαλείας για τις επιχειρήσεις που επηρεάζονται από τη διαδικασία σε διάφορα κράτη μέλη.

1.3Μεθοδολογία της έκθεσης

Τα αποτελέσματα της έκθεσης βασίζονται σε αξιολόγηση που διενεργήθηκε τη χρονική περίοδο μεταξύ Νοεμβρίου 2018 και Σεπτεμβρίου 2019. Πολλά κράτη μέλη δεν είχαν καταστήσει εγκαίρως διαθέσιμες στην Επιτροπή τις πληροφορίες που απαιτούνται για την εκπόνηση της παρούσας έκθεσης. Ως εκ τούτου, η έγκριση της έκθεσης ήταν αναγκαίο να αναβληθεί πέραν της 9ης Μαΐου 2019, δηλαδή της ημερομηνίας έγκρισης που προβλέπεται στο άρθρο 23 παράγραφος 1 της οδηγίας NIS. Τα δεδομένα συγκεντρώθηκαν μέσω πολλών διαύλων: πληροφορίες που υπέβαλαν τα κράτη μέλη βάσει τυποποιημένου προτύπου που εκπόνησε ο ENISA, τυποποιημένες συνεντεύξεις με επιλεγμένες εθνικές αρχές, και συνεδριάσεις της ομάδας εργασίας, συμπεριλαμβανομένου ενός εργαστηρίου με αντικείμενο το συγκεκριμένο θέμα που διεξήχθη στις 19 Μαρτίου 2019.

Με βάση τις πληροφορίες που συγκεντρώθηκαν, στην έκθεση αξιολογείται ο βαθμός συνοχής των προσεγγίσεων προσδιορισμού των κρατών μελών με τους ακόλουθους τρόπους:

1.σύγκριση των διαφορετικών μεθοδολογιών προσδιορισμού που επέλεξαν οι εθνικές αρχές,

2.εξέταση των καταλόγων βασικών υπηρεσιών και των κατώτατων ορίων που επέλεξαν τα κράτη μέλη,

3.ανάλυση των αριθμών των φορέων εκμετάλλευσης βασικών υπηρεσιών σε κάθε κράτος μέλος.

Στην έκθεση αξιολογείται επίσης ο τρόπος εφαρμογής των διατάξεων της οδηγίας αναφορικά με τη διαδικασία διασυνοριακής διαβούλευσης (άρθρο 5 παράγραφος 4) και την αρχή lex specialis (άρθρο 1 παράγραφος 7). Στην έκθεση περιλαμβάνεται πραγματολογική ανάλυση της διαδικασίας προσδιορισμού που εφαρμόζουν τα κράτη μέλη, συνοδευόμενη από προκαταρκτικά συμπεράσματα και εκκρεμή ζητήματα προς περαιτέρω εξέταση.

1.4Διαθεσιμότητα δεδομένων

Οι διατάξεις της οδηγίας NIS απαιτούν από τα κράτη μέλη να παρέχουν περιορισμένο μόνο σύνολο δεδομένων στην Επιτροπή. Για παράδειγμα, δεν απαιτείται από τις εθνικές αρχές να υποβάλλουν τις ονομασίες των προσδιορισθέντων φορέων εκμετάλλευσης βασικών υπηρεσιών, γεγονός που καθιστά δυσχερές για τις υπηρεσίες της Επιτροπής να συγκρίνουν τα αποτελέσματα της διαδικασίας προσδιορισμού από την άποψη της πληρότητας του καταλόγου και τις επιπτώσεις στις επιχειρήσεις του ίδιου μεγέθους που ανήκουν στον ίδιο τομέα.

Βάσει των όρων που καθορίζονται στο άρθρο 5 παράγραφος 7, όλα τα κράτη μέλη έπρεπε να έχουν υποβάλει τα δεδομένα που απαιτούνται για την παρούσα έκθεση το αργότερο έως τις 9 Νοεμβρίου 2018. Ωστόσο, μέχρι τη συγκεκριμένη ημερομηνία μόνο 15 χώρες είχαν υποβάλει ουσιώδη δεδομένα (βλέπε τον πίνακα που προσαρτάται στην ενότητα 4.1). Μετά από επανειλημμένες υπενθυμίσεις εκ μέρους της Επιτροπής, εξακολουθούσαν να υφίστανται σημαντικές ελλείψεις στα δεδομένα. Κατόπιν τούτου, η Επιτροπή έστειλε στις 26 Ιουλίου 2019 προειδοποιητικές επιστολές σε 6 κράτη μέλη 9 , καλώντας τα να υποβάλουν τα δεδομένα που έλειπαν εντός δύο μηνών.

Κατά την ημερομηνία δημοσίευσης της παρούσας έκθεσης, 23 κράτη μέλη έχουν υποβάλει το σύνολο των δεδομένων που απαιτούνται βάσει του άρθρου 5 παράγραφος 7: Βουλγαρία, Κροατία, Κύπρος, Τσεχική Δημοκρατία, Γερμανία, Δανία, Εσθονία, Ελλάδα, Ισπανία, Φινλανδία, Γαλλία, Ιρλανδία, Ιταλία, Λιθουανία, Λουξεμβούργο, Λετονία, Μάλτα, Κάτω Χώρες, Πολωνία, Πορτογαλία, Σουηδία, Σλοβακία και Ηνωμένο Βασίλειο. Τα υπόλοιπα 5 κράτη μέλη (Αυστρία, Βέλγιο, Ουγγαρία, Ρουμανία και Σλοβενία) υπέβαλαν μόνο εν μέρει δεδομένα σχετικά με τον προσδιορισμό των εθνικών φορέων εκμετάλλευσης βασικών υπηρεσιών, επειδή δεν ολοκλήρωσαν εγκαίρως την οικεία διαδικασία προσδιορισμού για τη δημοσίευση της παρούσας έκθεσης.

2.Προσδιορισμός των φορέων εκμετάλλευσης βασικών υπηρεσιών στα κράτη μέλη

Στην οδηγία NIS καθορίζεται ένα πλαίσιο για τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών το οποίο παρέχει στα κράτη μέλη τη δυνατότητα να λαμβάνουν υπόψη τις εθνικές ιδιαιτερότητες. Ως αποτέλεσμα, τα κράτη μέλη ανέπτυξαν ένα ευρύ φάσμα πρακτικών προσδιορισμού.

2.1Μεθοδολογίες που χρησιμοποιούν τα κράτη μέλη

Τα κράτη μέλη έχουν επινοήσει διάφορες μεθοδολογίες για να προσδιορίζουν τους φορείς εκμετάλλευσης βασικών υπηρεσιών, αξιοποιώντας πλήρως την ευελιξία που παρέχει η οδηγία NIS. Ένα από τα στοιχεία που επηρέασαν τις εθνικές μεθοδολογίες ήταν το ήδη υπάρχον πλαίσιο, όπως η οδηγία 2008/114/ΕΚ του Συμβουλίου σχετικά με τις υποδομές ζωτικής σημασίας 10 ή άλλες εθνικές διατάξεις περί «φορέων εκμετάλλευσης ζωτικής σημασίας». Σε αυτές τις περιπτώσεις, τα κράτη μέλη χρησιμοποίησαν την προηγούμενη εμπειρία τους ως σημείο αναφοράς και ενσωμάτωσαν τις ιδιαιτερότητες που σχετίζονταν με την οδηγία NIS στις υφιστάμενες μεθοδολογίες.

Οι διαφορές μεταξύ των εθνικών μεθοδολογιών εμπίπτουν στις ακόλουθες κύριες κατηγορίες: βασικές υπηρεσίες, χρήση κατώτατων ορίων, βαθμός κεντρικής οργάνωσης, αρχές επιφορτισμένες με τον προσδιορισμό και την αξιολόγηση της εξάρτησης των συστημάτων δικτύου και πληροφοριών. Λόγω της σημασίας τους όσον αφορά την αξιολόγηση της συνοχής των προσεγγίσεων προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών, αφιερώθηκαν χωριστές ενότητες στην ανάλυση των βασικών υπηρεσιών και των κατώτατων ορίων. Τα υπόλοιπα κριτήρια εξετάζονται στην παρούσα ενότητα.

Βαθμός κεντρικής οργάνωσης

Τα περισσότερα κράτη μέλη επέλεξαν να αναθέσουν μέρος της διαδικασίας λήψης αποφάσεων αναφορικά με διάφορα στοιχεία της διαδικασίας προσδιορισμού στις τομεακές αρχές (υπουργεία, οργανισμοί κ.λπ.). Ο βαθμός αποκέντρωσης διαφέρει ανάλογα με την περίπτωση, ενώ τα περισσότερα κράτη μέλη αναθέτουν σε μία μεμονωμένη αρχή την παροχή καθοδήγησης στις τομεακές αρχές και την ενοποίηση των πληροφοριών. Ωστόσο, ορισμένες χώρες έχουν επιλέξει να διατηρήσουν τη διαδικασία προσδιορισμού υπό τον έλεγχο μίας μεμονωμένης αρχής. Υπάρχουν επίσης περιπτώσεις εξαιρετικά υψηλού βαθμού αποκέντρωσης, στις οποίες οι τομεακές αρχές είναι αρμόδιες για την ανάπτυξη των δικών τους μεθοδολογιών.

Πολλά κράτη μέλη στάθμισαν προσεκτικά τις διάφορες πτυχές του θεσμικού πλαισίου της διαδικασίας προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών. Οι αρχές έχουν συγκαταλέγουν στα πλεονεκτήματα της κεντρικής οργάνωσης της διαδικασίας προσδιορισμού την αποφυγή της σύγκρουσης συμφερόντων. Οι φορείς εκμετάλλευσης φαίνεται ότι διστάζουν περισσότερο να κοινοποιούν σχετικές πληροφορίες στις τομεακές ρυθμιστικές αρχές, καθώς φοβούνται ότι οι εν λόγω πληροφορίες ενδέχεται να χρησιμοποιηθούν και για άλλους κανονιστικούς σκοπούς.

Από την άλλη μεριά, οι αποκεντρωμένες προσεγγίσεις φαίνεται να ευνοούν τον διάλογο μεταξύ των αρμόδιων αρχών για την ασφάλεια δικτύων και πληροφοριών (τόσο των αρχών κυβερνοασφάλειας όσο και των τομεακών αρχών), καθώς τις βοηθούν να προσδιορίζουν τις επιπτώσεις των διατομεακών εξαρτήσεων. Επιπλέον, οι τομεακές αρχές έχουν συνήθως βαθύτερη γνώση των τομέων σε σχέση με τις κεντρικές αρχές.

Διαδικασία προσδιορισμού (προσέγγιση από την κορυφή προς τη βάση και προσέγγιση από τη βάση προς την κορυφή)

Μία ακόμη σημαντική διάκριση μπορεί να γίνει μεταξύ κρατών μελών στα οποία οι δημόσιες αρχές διεκπεραιώνουν τη διαδικασία προσδιορισμού (προσδιορισμός από την κορυφή προς τη βάση) και κρατών μελών όπου οι διαχειριστές αγοράς καλούνται να επαληθεύουν οι ίδιοι κατά πόσον πληρούν τις απαιτήσεις ως φορείς εκμετάλλευσης βασικών υπηρεσιών (ο αποκαλούμενος προσδιορισμός από τη βάση προς την κορυφή ή αυτοπροσδιορισμός). Για την αποτελεσματική λειτουργία της τελευταίας προσέγγισης, τα κράτη μέλη θα πρέπει να επιβάλλουν πρόστιμα αρκετά υψηλά ώστε να αποτρέπουν τους φορείς εκμετάλλευσης βασικών υπηρεσιών από το να μην παρουσιάζονται αυτοβούλως, όπως ορίζεται στο άρθρο 21 της οδηγίας NIS. Στις περισσότερες περιπτώσεις, η διαδικασία προσδιορισμού είναι από την κορυφή προς τη βάση. Ωστόσο, στην πράξη, συχνά οι αρχές βασίζονται εν μέρει σε ορισμένα στοιχεία αυτοαξιολόγησης, όπως ερωτηματολόγια που συμπληρώνουν οι δυνητικοί φορείς εκμετάλλευσης βασικών υπηρεσιών.

Εφόσον οι κανόνες και τα κατώτατα όρια που διέπουν τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών είναι ρητά και διαφανή, τόσο ο προσδιορισμός από την κορυφή προς τη βάση όσο και ο προσδιορισμός από τη βάση προς την κορυφή αναμένεται ότι θα αποφέρουν παρόμοια αποτελέσματα. Ως εκ τούτου, η επιλογή μεταξύ της μιας ή της άλλης προσέγγισης δεν θα πρέπει, καταρχήν, να έχει επιπτώσεις στη συνοχή.

Αξιολόγηση της εξάρτησης από τα δίκτυα

Όπως επεξηγείται στην ενότητα 1.2, βάσει του άρθρου 5 παράγραφος 2 στοιχείο β), τα κράτη μέλη απαιτείται να αξιολογούν την εξάρτηση ενός φορέα εκμετάλλευσης βασικών υπηρεσιών από τα συστήματα δικτύου και πληροφοριών στο πλαίσιο της διαδικασίας προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών. Πολλά κράτη μέλη, κατά την εφαρμογή των εν λόγω κριτηρίων, θεωρούν δεδομένη την εξάρτηση από τα συστήματα δικτύου και πληροφοριών στη σύγχρονη ψηφιακή κοινωνία. Εντούτοις, ορισμένες αρχές επιλέγουν πιο σύνθετες πρακτικές, για παράδειγμα, τη διεξαγωγή λεπτομερών αξιολογήσεων ή το να ζητούν από τους φορείς εκμετάλλευσης να αξιολογούν οι ίδιοι τον βαθμό εξάρτησής τους.

2.2Προσδιορισμός των υπηρεσιών

Στην αιτιολογική σκέψη 23 της οδηγίας NIS αναφέρονται ρητώς οι κατάλογοι των βασικών υπηρεσιών ως στοιχεία προς χρήση για την «αξιολόγηση της ρυθμιστικής πρακτικής κάθε κράτους μέλους με στόχο τη διασφάλιση του γενικότερου επιπέδου συνεκτικότητας της διαδικασίας προσδιορισμού στο σύνολο των κρατών μελών». Δεδομένου ότι οι κατάλογοι που καταρτίζουν τα κράτη μέλη χρησιμοποιούνται ως βάση για τον προσδιορισμό των φορέων εκμετάλλευσης, οι διαφορές στις προσδιοριζόμενες υπηρεσίες μπορεί να οδηγήσουν σε ανεπαρκή συνεκτικότητα όσον αφορά τον προσδιορισμό των φορέων εκμετάλλευσης στα διάφορα κράτη μέλη, ιδίως σε περίπτωση που συγκεκριμένες υπηρεσίες που παρέχονται σε όλες τις χώρες προσδιορίζονται μόνο από μερικά κράτη μέλη.

Οι αριθμοί των υπηρεσιών που προσδιόρισαν τα κράτη μέλη ως αναφερόμενες στο παράρτημα II της οδηγίας NIS οι οποίοι έχουν κοινοποιηθεί στην Επιτροπή παρουσιάζουν σημαντικές διαφορές μεταξύ των κρατών μελών (οι αριθμοί για όλα τα κράτη μέλη διατίθενται στο παράρτημα της ενότητας 4.2). Με μέσο όρο 35 υπηρεσιών ανά κράτος μέλος, ο αριθμός των προσδιορισθεισών υπηρεσιών κυμαίνεται από 12 έως 87, όπως εμφαίνεται στο διάγραμμα 1 . Ενώ τα μεγαλύτερα κράτη μέλη τείνουν πράγματι να προσδιορίζουν ελαφρώς μεγαλύτερο αριθμό υπηρεσιών σε σύγκριση με τα μικρότερα κράτη μέλη, δεν φαίνεται να υπάρχει ισχυρή συσχέτιση μεταξύ του μεγέθους ενός κράτους μέλους και του αριθμού των προσδιορισθεισών υπηρεσιών. Αυτό είναι αναμενόμενο, καθώς στην πράξη οι καταναλωτές και οι επιχειρήσεις έχουν συνήθως πρόσβαση στα ίδια είδη υπηρεσιών σε όλα τα κράτη μέλη, ανεξαρτήτως του μεγέθους της χώρας.

Διάγραμμα 1: Συνολικός αριθμός βασικών υπηρεσιών που προσδιορίστηκαν από τα κράτη μέλη

Ο αριθμός των προσδιορισθεισών υπηρεσιών διαφέρει όχι μόνο όταν εξετάζουμε τα κράτη μέλη στο σύνολό τους αλλά και όταν εξετάζουμε πιο προσεκτικά τους τομείς και υποτομείς. Για παράδειγμα, στον τραπεζικό τομέα, ο αριθμός των προσδιορισθεισών υπηρεσιών κυμαίνεται από 1 έως 21. Όπως απεικονίζεται στο διάγραμμα 2 , το εύρος των προσδιορισθεισών υπηρεσιών παρουσιάζει σημαντική διακύμανση μεταξύ των χωρών όσον αφορά τους περισσότερους τομείς και υποτομείς.

Διάγραμμα 2: Αριθμός υπηρεσιών που προσδιορίστηκαν από τα κράτη μέλη σε κάθε τομέα και υποτομέα. Κάθε σημείο δεδομένων αντιπροσωπεύει τον αριθμό των προσδιορισθεισών υπηρεσιών από ένα κράτος μέλος στον αντίστοιχο (υπο)τομέα 11 .

Σε κάποιο βαθμό, οι αριθμοί που απεικονίζονται στο διάγραμμα 2 αντανακλούν τις διαφορετικές μεθοδολογικές προσεγγίσεις μεταξύ των χωρών. Για παράδειγμα, ορισμένα κράτη μέλη έχουν επιλέξει μια πιο αναλυτική προσέγγιση όσον αφορά τον προσδιορισμό των υπηρεσιών σε σχέση με άλλα κράτη μέλη, με αποτέλεσμα να παρουσιάζουν μεγαλύτερους αριθμούς. Με βάση, ωστόσο, τα δεδομένα που έχει λάβει η Επιτροπή από τα κράτη μέλη καταδεικνύεται σαφώς ότι οι διαφορές στους αριθμούς είναι επίσης αποτέλεσμα της ανεπαρκούς συνοχής των προσεγγίσεων που επέλεξαν τα κράτη μέλη, όπως αποδεικνύεται και από τα παραδείγματα των υποτομέων ηλεκτρικής ενέργειας και σιδηροδρομικών μεταφορών:

Πίνακας 2: Παραδείγματα προσεγγίσεων που επέλεξαν τα κράτη μέλη για τον προσδιορισμό των βασικών υπηρεσιών στον υποτομέα ηλεκτρικής ενέργειας

Στον πίνακα 2 συγκρίνονται ορισμένοι από τους τρόπους με τους οποίους τα κράτη μέλη προσδιόρισαν τις βασικές υπηρεσίες στον υποτομέα ηλεκτρικής ενέργειας. Ορισμένες χώρες (όπως η Εσθονία) επέλεξαν έναν πολύ γενικό τίτλο που επιτρέπει στην πράξη τον προσδιορισμό οποιουδήποτε φορέα εκμετάλλευσης θεωρούν βασικό στον υποτομέα ηλεκτρικής ενέργειας. Άλλες χώρες (όπως η Πορτογαλία, η Δανία και η Βουλγαρία) επέλεξαν μια πολύ πιο αναλυτική προσέγγιση. Για παράδειγμα, η Βουλγαρία κατάρτισε έναν εξαιρετικά λεπτομερή κατάλογο υπηρεσιών, που περιλαμβάνει ακόμη και μια υπηρεσία που δεν αναφέρεται στο παράρτημα II (αγορές ηλεκτρικής ενέργειας). Η Πορτογαλία και η Δανία, ωστόσο, υιοθέτησαν μια αναλυτική προσέγγιση, επιλέγοντας να μην συμπεριλάβουν ορισμένες υπηρεσίες που συμπεριλήφθηκαν από άλλες χώρες. Αυτό θα μπορούσε να έχει ως αποτέλεσμα τη διαμόρφωση μη ισότιμων όρων ανταγωνισμού μεταξύ των φορέων εκμετάλλευσης βασικών υπηρεσιών στην εσωτερική αγορά.

Οι ελλείψεις συνοχής, όπως αυτές που προσδιορίζονται στον πίνακα 2 είναι το αποτέλεσμα διαφορετικών τρόπων εφαρμογής της οδηγίας NIS σε εθνικό επίπεδο, και, στην περίπτωση τομέων που δεν εμπίπτουν στο παράρτημα II (όπως οι αγορές ηλεκτρικής ενέργειας), είναι συνέπεια της υιοθέτησης της προσέγγισης ελάχιστης εναρμόνισης. Ως εκ τούτου, οι ελλείψεις συνοχής δεν συνεπάγονται απαραιτήτως ότι τα κράτη μέλη που δεν έχουν προσδιορίσει μια ορισμένη υπηρεσία δεν εφάρμοσαν ορθά τις διατάξεις της οδηγίας.

Στον πίνακα 3 παρουσιάζονται οι προσεγγίσεις που επέλεξαν τέσσερις χώρες όσον αφορά τον υποτομέα των σιδηροδρομικών μεταφορών. Ενώ η Γαλλία κατάρτισε έναν ιδιαίτερα λεπτομερή και περιεκτικό κατάλογο των υπηρεσιών που είναι απαραίτητες για τη λειτουργία των σιδηροδρομικών μεταφορών, οι άλλες τρεις χώρες επέλεξαν ένα μικρό μόνο υποσύνολο των εν λόγω υπηρεσιών. Στην περίπτωση της Πολωνίας, δεν είναι απολύτως σαφές ποιες υπηρεσίες εμπίπτουν στις κατηγορίες των «σιδηροδρομικών εμπορευματικών μεταφορών» και των «σιδηροδρομικών επιβατικών μεταφορών». Οι τίτλοι τους είναι τόσο γενικοί που θα μπορούσαν κάλλιστα να περιλαμβάνουν ορισμένες από τις υπηρεσίες που προσδιορίστηκαν από τη Γαλλία, όπως «έλεγχος και διαχείριση της σιδηροδρομικής κυκλοφορίας». Αξίζει να επισημανθεί ότι η Επιτροπή δεν διαθέτει τα απαραίτητα μέσα για να διερευνήσει περαιτέρω τις εν λόγω περιπτώσεις: βάσει της οδηγίας NIS, οι εθνικές αρχές δεν απαιτείται να κοινοποιήσουν αναλυτικότερες πληροφορίες.

Πίνακας 3: Παραδείγματα προσεγγίσεων που επέλεξαν τα κράτη μέλη για τον προσδιορισμό των βασικών υπηρεσιών στον υποτομέα σιδηροδρομικών μεταφορών

Τα κράτη μέλη που συμπεριλήφθηκαν στον πίνακα 2 και στον πίνακα 3 είναι απλώς ενδεικτικά και επιλέχθηκαν λόγω της ευκολίας σύγκρισης των μεθοδολογικών προσεγγίσεών τους. Τα υπόλοιπα κράτη μέλη επέλεξαν στην πλειονότητά τους παρόμοιες υπηρεσίες και, ως εκ τούτου, εμφανίζουν παρόμοιες «ελλείψεις συνοχής». Στην πραγματικότητα, «ελλείψεις συνοχής» όπως εκείνες στους υποτομείς ηλεκτρικής ενέργειας και σιδηροδρομικών μεταφορών, υπάρχουν σε όλα τα κράτη μέλη και τους τομείς που περιλαμβάνονται στο παράρτημα II της οδηγίας. Η εν λόγω έλλειψη συνοχής οφείλεται κατά κύριο λόγο στο γεγονός ότι ορισμένες υπηρεσίες προσδιορίζονται σε μερικά και όχι σε όλα τα κράτη μέλη. Οι πλήρεις κατάλογοι των υπηρεσιών στους υποτομείς ηλεκτρικής ενέργειας και σιδηροδρομικών μεταφορών για το σύνολο των κρατών μελών περιλαμβάνονται στο παράρτημα της παρούσας έκθεσης.

2.3Κατώτατα όρια

Παρότι τα περισσότερα κράτη μέλη εφαρμόζουν κατώτατα όρια για τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών, ο ρόλος των εν λόγω κατώτατων ορίων διαφέρει μεταξύ των χωρών. Όσον αφορά τα διατομεακά κατώτατα όρια, είναι εφικτός ο καθορισμός κατώτατων ορίων βάσει

·ενός μοναδικού ποσοτικού παράγοντα (π.χ. του αριθμού των χρηστών που βασίζονται στην υπηρεσία) προκειμένου να προσδιοριστεί κατά πόσον μια οντότητα πρέπει να θεωρηθεί φορέας εκμετάλλευσης βασικών υπηρεσιών σε σχέση με μια ορισμένη υπηρεσία,

·ενός μεγαλύτερου συνόλου ποσοτικών παραγόντων (π.χ. του αριθμού των χρηστών που βασίζονται σε μια υπηρεσία συν το μερίδιο αγοράς),

·ενός συνδυασμού ποσοτικών και ποιοτικών παραγόντων.

Επιπλέον, η οδηγία επιτρέπει στα κράτη μέλη να εφαρμόζουν ειδικά ανά τομέα κατώτατα όρια, πέραν των διατομεακών κατώτατων ορίων. Κατ’ αυτόν τον τρόπο παρέχονται στις εθνικές αρχές μεγαλύτερα περιθώρια προκειμένου να λαμβάνουν υπόψη τα εθνικά και τομεακά ιδιαίτερα χαρακτηριστικά κατά τη διαδικασία προσδιορισμού. Ταυτόχρονα, διαμορφώνεται ένα ιδιαίτερα σύνθετο μείγμα κατώτατων ορίων, το οποίο μπορεί να έχει αρνητικές επιπτώσεις στη συνολική συνοχή των προσεγγίσεων προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών.

Ένα παράδειγμα της εν λόγω πολυμορφίας των προσεγγίσεων παρέχεται στον πίνακα 4 . Στο παράδειγμα καταδεικνύεται ότι τα κατώτατα όρια που επιλέχθηκαν από τα κράτη μέλη στον τομέα των ψηφιακών υποδομών δεν ποικίλλουν μόνο από ποσοτική άποψη (για παράδειγμα, στη Γερμανία οι πάροχοι DNS προσδιορίζονται ως φορείς εκμετάλλευσης βασικών υπηρεσιών, μόνον εφόσον διαχειρίζονται τουλάχιστον 250 000 τομείς, ενώ η Πολωνία έχει καθορίσει κατώτατο όριο μόνο 100 000 τομέων) αλλά και από ποιοτική άποψη (για παράδειγμα, «αριθμός συνδεδεμένων αυτόνομων συστημάτων» έναντι «μεριδίου αγοράς»).

Η συνεπής επιλογή ποσοτικών κατώτατων ορίων καθαυτή δεν διασφαλίζει την πλήρη συνοχή των εθνικών προσεγγίσεων. Δεδομένου ότι τα κατώτατα όρια αποτελούν σε ορισμένα κράτη μέλη ένα μόνο από τα κριτήρια που χρησιμοποιούνται για τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών, τα αποτελέσματα της διαδικασίας προσδιορισμού μπορούν και πάλι να είναι πολύ διαφορετικά, ακόμη και όταν υπάρχουν παρόμοια κατώτατα όρια. Για παράδειγμα, ορισμένα κράτη μέλη χρησιμοποιούν σύνθετα συστήματα βαθμολόγησης, στο πλαίσιο των οποίων ένας μεμονωμένος τύπος περιλαμβάνει πολλούς παράγοντες 12 . Στους εν λόγω παράγοντες μπορεί, για παράδειγμα, να συγκαταλέγεται η εξάρτηση μιας οντότητας από τα συστήματα δικτύου και πληροφοριών ή ορισμένοι από τους παράγοντες που αναφέρονται στο άρθρο 6 παράγραφος 1 της οδηγίας NIS. Επιπλέον, ορισμένα κράτη μέλη δεν χρησιμοποιούν καθόλου κατώτατα όρια ή τα χρησιμοποιούν μόνο κατά την προκαταρκτική φάση της αξιολόγησης. Τα παραπάνω ισχύουν όχι μόνο για τον τομέα των ψηφιακών υποδομών αλλά και για όλους τους τομείς που περιλαμβάνονται στο παράρτημα II.

Ο καθορισμός του κατάλληλου κατώτατου ορίου μπορεί να είναι δυσχερής, ιδίως όταν πρόκειται για τομείς που χαρακτηρίζονται από την ύπαρξη πολλών μικρών φορέων εκμετάλλευσης. Παράδειγμα αυτής της πολυμορφίας είναι οι πολλές εγκαταστάσεις υγειονομικής περίθαλψης μικρής κλίμακας (π.χ. κλινικές ή ιατρικές υπηρεσίες έκτακτης ανάγκης), που παρέχουν βασική υπηρεσία σε σχετικά μικρό αριθμό χρηστών, των οποίων όμως η μη διαθεσιμότητα, λόγω συμβάντος κυβερνοασφάλειας, μπορεί να έχει ως αποτέλεσμα την απώλεια ζωής. Ένα άλλο πρόβλημα προκύπτει όταν η λειτουργία των αλυσίδων εφοδιασμού εξαρτάται από τις υπηρεσίες που παρέχουν φορείς εκμετάλλευσης που αποτελούν μικρούς αλλά βασικούς κρίκους της αλυσίδας (για παράδειγμα σε τομείς όπως η εφοδιαστική 13 ). Ένα κράτος μέλος διερευνά τη χρήση των κριτηρίων που σχετίζονται με τη σημασία ή την κρισιμότητα της υπηρεσίας που παρέχεται ως πιθανή λύση στο εν λόγω πρόβλημα.

Πίνακας 4: Όρια που επιλέχθηκαν από 16 κράτη μέλη στον τομέα των ψηφιακών υποδομών

2.4Αριθμός προσδιορισθέντων φορέων εκμετάλλευσης

Οι κατάλογοι βασικών υπηρεσιών και τα κατώτατα όρια είναι οι σημαντικότεροι καθοριστικοί παράγοντες για τον συνεκτικό προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών. Στις προηγούμενες ενότητες καταδείχθηκε ότι και στις δύο περιπτώσεις τα κράτη μέλη εφάρμοσαν τις διατάξεις της οδηγίας NIS με διαφορετικούς τρόπους, και υποδείχθηκε ότι αυτό μπορεί να προκαλέσει πρόβλημα συνοχής όσον αφορά τον επακόλουθο προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών. Στην παρούσα ενότητα γίνεται σύγκριση των αριθμών των προσδιορισθέντων φορέων εκμετάλλευσης στους τομείς και υποτομείς του παραρτήματος II στα κράτη μέλη.

Διάγραμμα 3: Φορείς εκμετάλλευσης βασικών υπηρεσιών που προσδιορίστηκαν από τα κράτη μέλη σε όλους τους τομείς του παραρτήματος II (ανά 100 000 κατοίκους, οι ακραίες τιμές και τα ελλείποντα δεδομένα παραλείφθηκαν για λόγους σαφήνειας)

Οι συνολικοί αριθμοί των φορέων εκμετάλλευσης βασικών υπηρεσιών που κοινοποιήθηκαν στην Επιτροπή από τα κράτη μέλη κυμαίνονται από 20 έως 10 897, με μέσο όρο τους 633 φορείς εκμετάλλευσης βασικών υπηρεσιών ανά κράτος μέλος (οι αριθμοί για όλα τα κράτη μέλη διατίθενται στην ενότητα 4.2 του παραρτήματος της παρούσας έκθεσης). Γενικά, υπάρχει σαφής θετική σχέση μεταξύ του μεγέθους μιας χώρας και του αριθμού των προσδιορισθέντων φορέων εκμετάλλευσης. Ωστόσο, αυτό δεν εξηγεί επαρκώς τις μεγάλες διαφορές στους αριθμούς που κοινοποίησαν τα κράτη μέλη. Για την αποτύπωση της σχέσης μεγέθους και πληθυσμού, στο διάγραμμα 3 συγκρίνονται οι αριθμοί των προσδιορισθέντων φορέων εκμετάλλευσης βασικών υπηρεσιών στα κράτη μέλη ανά 100 000 κατοίκους. Το διάγραμμα υποδεικνύει ότι οι προσεγγίσεις που υιοθέτησαν τα κράτη μέλη για τον προσδιορισμό των φορέων εκμετάλλευσης απέδωσαν πολύ διαφορετικά αποτελέσματα.

Μια διεξοδικότερη μελέτη των τομέων και των υποτομέων αποκαλύπτει σημαντικές διαφορές μεταξύ των κρατών μελών όσον αφορά τους προσδιορισθέντες αριθμούς σε όλους τους τομείς που αναφέρονται παράρτημα II ( διάγραμμα 4 ). Για παράδειγμα, στον τομέα της ενέργειας, ο αριθμός κυμαίνεται από 0,3 φορείς εκμετάλλευσης έως 29 φορείς εκμετάλλευσης ανά 1 000 000 κατοίκους. Οι αριθμοί στον τραπεζικό τομέα κυμαίνονται από 0,07 φορείς εκμετάλλευσης έως 51 φορείς εκμετάλλευσης ανά 1 000 000 κατοίκους (χωρίς να λαμβάνονται υπόψη τα κράτη μέλη που δεν έχουν προσδιορίσει ούτε έναν φορέα εκμετάλλευσης βασικών υπηρεσιών στον εν λόγω τομέα).

Διάγραμμα 4: Αριθμός φορέων εκμετάλλευσης βασικών υπηρεσιών που προσδιορίστηκαν από 25 κράτη μέλη σε κάθε τομέα και υποτομέα (ανά 1 000 000 κατοίκους, σε λογαριθμική κλίμακα, οι ακραίες τιμές παραλείφθηκαν για λόγους σαφήνειας). Κάθε σημείο δεδομένων αντιπροσωπεύει τον αριθμό των προσδιορισθεισών φορέων εκμετάλλευσης βασικών υπηρεσιών από ένα κράτος μέλος στον αντίστοιχο (υπο)τομέα 14 .

2.5Εφαρμογή της οδηγίας σε άλλους τομείς πλην εκείνων που αναφέρονται στο παράρτημα II

Μια μελέτη των υποβληθέντων δεδομένων αποκαλύπτει ότι 11 από τα 28 κράτη μέλη προσδιόρισαν βασικές υπηρεσίες σε τομείς που δεν εμπίπτουν στο πεδίο εφαρμογής του παραρτήματος II της οδηγίας. Από τα εν λόγω 11 κράτη μέλη, τα 7 προσδιόρισαν συνολικά 157 φορείς εκμετάλλευσης βασικών υπηρεσιών που παρέχουν υπηρεσίες που δεν συγκαταλέγονται μεταξύ των ειδών οντοτήτων του παραρτήματος II.

Πίνακας 5: Τομείς που επιλέχθηκαν από τα κράτη μέλη, πέραν εκείνων που απαριθμούνται στο παράρτημα II

Οι πλέον δημοφιλείς κατηγορίες είναι οι υποδομές πληροφοριών (προσδιορίστηκαν από πέντε κράτη μέλη), οι χρηματοπιστωτικές υπηρεσίες που παρέχονται από οντότητες που δεν αναφέρονται στο παράρτημα II (προσδιορίστηκαν από τέσσερα κράτη μέλη) και οι κρατικές υπηρεσίες (προσδιορίστηκαν από τέσσερα κράτη μέλη) ( πίνακας 5 ).

Δεδομένης της μεγάλης σημασίας της κυβερνοανθεκτικότητας για τη λειτουργία της οικονομίας και της κοινωνίας στο σύνολό της, αρκετά κράτη μέλη αποφάσισαν να αξιοποιήσουν την ευκαιρία για να καλύψουν τομείς πέραν μόνο όσων αναφέρονται στο παράρτημα II. Το γεγονός ότι αρκετά κράτη μέλη επέλεξαν να εφαρμόσουν την οδηγία NIS σε πρόσθετους τομείς εγείρει το ερώτημα του κατά πόσον το ισχύον πεδίο εφαρμογής του παραρτήματος II είναι κατάλληλο για την εκπλήρωση του στόχου της προστασίας όλων των φορέων εκμετάλλευσης στην Ένωση που είναι ζωτικής σημασίας για την κοινωνία και την οικονομία.

2.6Η διαδικασία διασυνοριακής διαβούλευσης

Βάσει του άρθρου 5 παράγραφος 4 της οδηγίας NIS τα κράτη μέλη απαιτείται να διαβουλεύονται μεταξύ τους προτού καταλήξουν σε οριστική απόφαση αναφορικά με τον προσδιορισμό των φορέων εκμετάλλευσης που παρέχουν υπηρεσίες σε περισσότερα του ενός κράτη μέλη. Η ομάδα συνεργασίας εξέδωσε τον Ιούλιο του 2018 ένα έγγραφο αναφοράς προκειμένου να βοηθήσει τα κράτη μέλη να διεξάγουν διασυνοριακές διαβουλεύσεις με τον δέοντα τρόπο 15 .

Με βάση τις ληφθείσες πληροφορίες, πολύ λίγες μόνο εθνικές αρχές επέλεξαν να επικοινωνήσουν με τους ομολόγους τους σε άλλα κράτη μέλη, ενώ μόνο δύο κράτη μέλη είχαν ολοκληρωμένη επικοινωνία με άλλα κράτη μέλη. Επιπλέον, λίγα μόνο κράτη μέλη ανέφεραν ότι έχουν αποταθεί σε άλλες αρχές με λιγότερο συστηματικό τρόπο. Παρά τη μεγάλη σημασία των διασυνοριακών υπηρεσιών στην εσωτερική αγορά, τα περισσότερα κράτη μέλη που επικοινώνησαν με άλλα κράτη μέλη το έπραξαν για πολύ περιορισμένο μόνο αριθμό φορέων εκμετάλλευσης. Παρά την περιορισμένη χρήση της διαδικασίας από τα κράτη μέλη, πολλές εθνικές αρχές εξέφρασαν το ενδιαφέρον τους για τη διαδικασία διασυνοριακής διαβούλευσης και τη θεωρούν σημαντικό στοιχείο του πλαισίου προσδιορισμού βάσει της οδηγίας NIS. Πράγματι, αρκετά κράτη μέλη εξέφρασαν την ανησυχία ότι χωρίς αποτελεσματική διασυνοριακή διαβούλευση οι φορείς εκμετάλλευσης μπορεί να υποχρεωθούν να αντεπεξέλθουν σε πληθώρα διαφορετικών κανονιστικών απαιτήσεων ή να περιέλθουν σε μειονεκτική θέση έναντι άλλων φορέων εκμετάλλευσης βασικών υπηρεσιών ενεργών στην αγορά οι οποίοι υπόκεινται σε λιγότερο αυστηρή ρύθμιση.

Η Επιτροπή προσδιόρισε μαζί με τις εθνικές αρχές αρκετούς λόγους για τους οποίους η διαδικασία διαβούλευσης δεν χρησιμοποιείται επί του παρόντος όσο αναμενόταν:

·Πολλά κράτη μέλη χρειάστηκαν περισσότερο από τον αναμενόμενο χρόνο προκειμένου να προσδιορίσουν τους οικείους φορείς εκμετάλλευσης βασικών υπηρεσιών. Ως εκ τούτου, οι χώρες που θέσπισαν πρώτες μέτρα δεν είχαν τη δυνατότητα να διαβουλευθούν με τις εν λόγω χώρες.

·Η έλλειψη ασφαλών διαύλων διαβίβασης πληροφοριών: ορισμένα κράτη μέλη εξέφρασαν διστακτικότητα όσον αφορά την επικοινωνία με τους ομολόγους τους, θεωρώντας τις ονομασίες των φορέων εκμετάλλευσης διαβαθμισμένες πληροφορίες.

·Ο σημαντικός αριθμός υφιστάμενων διασυνοριακών εξαρτήσεων, που είχε ως αποτέλεσμα την ανάγκη επικοινωνίας με σημαντικό αριθμό ενδιαφερόμενων κρατών μελών, ιδίως στην περίπτωση φορέων εκμετάλλευσης πανευρωπαϊκού επιπέδου.

·Η έλλειψη κοινής κατανόησης των στόχων και του πεδίου εφαρμογής της άσκησης διασυνοριακής διαβούλευσης: ενώ ορισμένα κράτη μέλη θεωρούν ότι αποτελεί απλώς ένα εργαλείο ανταλλαγής πληροφοριών μεταξύ τους σχετικά με τους προσδιορισμούς φορέων εκμετάλλευσης βασικών υπηρεσιών με διασυνοριακό αντίκτυπο, άλλα θεωρούν ότι σκοπός της είναι η ευθυγράμμιση των κατώτατων ορίων και των κανονιστικών απαιτήσεων. Στην αιτιολογική σκέψη 24 της οδηγίας υποδεικνύεται ότι πρόκειται πρωτίστως για διαδικασία από κοινού αξιολόγησης της κρισιμότητας ενός φορέα εκμετάλλευσης για τους σκοπούς της διαδικασίας προσδιορισμού.

·Ένα άλλο πρόβλημα προκύπτει όταν επικοινωνούν με ένα κράτος μέλος δύο άλλα κράτη μέλη αναφορικά με τον ίδιο φορέα εκμετάλλευσης. Σε αυτή την περίπτωση, το εν λόγω κράτος μέλος μπορεί να μην είναι σε θέση να ευθυγραμμίσει τους κανόνες του με αμφότερα τα κράτη μέλη ταυτόχρονα. Για αυτόν τον σκοπό, στην αιτιολογική σκέψη 24 προβλέπονται οι πολυμερείς διαβουλεύσεις. Είναι σημαντικό τα κράτη μέλη να κάνουν χρήση της συγκεκριμένης δυνατότητας για να διασφαλίζουν τη συνοχή.

2.7Εξέταση της αρχής lex specialis στο πλαίσιο της διαδικασίας προσδιορισμού

Η Επιτροπή διαπίστωσε έως έναν βαθμό έλλειψη συνοχής μεταξύ των κρατών μελών όσον αφορά την εφαρμογή της αρχής lex specialis. Αυτό οδήγησε σε ανομοιόμορφη εφαρμογή της οδηγίας, με αποτέλεσμα, αφενός, τον προσδιορισμό φορέων εκμετάλλευσης βασικών υπηρεσιών που διέπονται από ειδικούς ανά τομέα κανόνες και, αφετέρου, ανεπαρκή προσδιορισμό φορέων εκμετάλλευσης βασικών υπηρεσιών σε ορισμένους τομείς του παραρτήματος ΙΙ.

Το άρθρο 1 παράγραφος 3 ορίζει ότι η οδηγία NIS δεν εφαρμόζεται σε επιχειρήσεις που υπόκεινται στις απαιτήσεις της οδηγίας-πλαισίου για τις τηλεπικοινωνίες 16 . Ωστόσο, ορισμένα κράτη μέλη φαίνεται ότι έχουν προσδιορίσει φορείς εκμετάλλευσης βασικών υπηρεσιών οι οποίοι παρέχουν υπηρεσίες που στην πραγματικότητα θα έπρεπε να ρυθμίζονται από την οδηγία-πλαίσιο για τις τηλεπικοινωνίες, όπως η πρόσβαση στο διαδίκτυο και οι υπηρεσίες τηλεφωνίας.

Επιπλέον, σύμφωνα με το άρθρο 1 παράγραφος 7, οι διατάξεις της οδηγίας NIS σχετικά με τις απαιτήσεις ασφαλείας και κοινοποίησης συμβάντων δεν εφαρμόζονται σε φορείς εκμετάλλευσης που υπόκεινται ήδη σε κανονιστικές ρυθμίσεις ειδικών ανά τομέα ενωσιακών νομικών πράξεων στις οποίες καθορίζονται υποχρεώσεις τουλάχιστον ισοδύναμου αποτελέσματος.

Ενώ τα περισσότερα κράτη μέλη έχουν προσδιορίσει φορείς εκμετάλλευσης βασικών υπηρεσιών στον τραπεζικό τομέα και τον τομέα χρηματοπιστωτικών αγορών, ευάριθμα κράτη μέλη δεν έχουν προσδιορίσει φορείς εκμετάλλευσης βασικών υπηρεσιών, ισχυριζόμενα ότι οι φορείς εκμετάλλευσης παρέχουν υπηρεσίες που καλύπτονται από leges speciales.

Η Επιτροπή συνεχίζει να συγκεντρώνει λεπτομερείς πληροφορίες σχετικά με την εφαρμογή της αρχής lex specialis βάσει της οδηγίας NIS. Επί του παρόντος, διενεργεί ενδελεχείς ελέγχους της εθνικής νομοθεσίας και πραγματοποιεί επισκέψεις σε χώρες προκειμένου να αξιολογήσει τον υφιστάμενο βαθμό μεταφοράς της οδηγίας στο εθνικό δίκαιο και εφαρμογής της, συμπεριλαμβανομένων των διατάξεων lex specialis. Σε αυτό το πλαίσιο, η Επιτροπή σκοπεύει να θέσει υπό περαιτέρω εξέταση την αρχή lex specialis στην ομάδα συνεργασίας με σκοπό τη βελτίωση της ευθυγράμμισης μεταξύ των κρατών μελών.

3.Συμπεράσματα

Στην παρούσα έκθεση αξιολογούνται οι προσεγγίσεις που επέλεξαν τα κράτη μέλη για να προσδιορίσουν τους φορείς εκμετάλλευσης βασικών υπηρεσιών στο πλαίσιο της οδηγίας NIS. Στόχος της έκθεσης είναι να αξιολογηθεί ο βαθμός συνοχής μεταξύ των πρακτικών των κρατών μελών σε σχέση με τις πιθανές επιπτώσεις του ισχύοντος πλαισίου στη λειτουργία της εσωτερικής αγοράς και τη διαχείριση των κινδύνων που συνδέονται με την κυβερνοεξάρτηση.

Η διενεργηθείσα ανάλυση καταδεικνύει ότι η οδηγία NIS έχει επιδράσει καταλυτικά σε πολλά κράτη μέλη και ανοίγει τον δρόμο για πραγματικές αλλαγές στο θεσμικό και κανονιστικό τοπίο όσον αφορά την κυβερνοασφάλεια. Επίσης, η υποχρέωση προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών είχε ως αποτέλεσμα μια ολοκληρωμένη αξιολόγηση των κινδύνων που συνδέονται με τους φορείς εκμετάλλευσης που ασκούν δραστηριότητες ζωτικής σημασίας και δραστηριοποιούνται στον τομέα των σύγχρονων συστημάτων δικτύου και πληροφοριών στο σύνολο σχεδόν των κρατών μελών. Αυτό μπορεί να θεωρηθεί επίτευγμα για την Ένωση στο σύνολό της και σύμφωνο με τους στόχους της οδηγίας.

Για τους σκοπούς της παρούσας έκθεσης, η Επιτροπή εξέτασε τις εθνικές μεθοδολογίες προσδιορισμού, τις υπηρεσίες που κρίνονται ως βασικές από τις εθνικές αρχές, τα κατώτατα όρια προσδιορισμού, και τους αριθμούς των φορέων εκμετάλλευσης βασικών υπηρεσιών που προσδιορίστηκαν στους διάφορους τομείς που καλύπτει η οδηγία:

·Τα κράτη μέλη έχουν αναπτύξει διάφορες μεθοδολογίες σε ό,τι αφορά τη γενική προσέγγιση του προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών (ενότητα 2.1) αλλά και σε ό,τι αφορά τον ορισμό των βασικών υπηρεσιών και τον καθορισμό κατώτατων ορίων. Αυτό μπορεί να έχει αρνητικές συνέπειες όσον αφορά τη συνεπή εφαρμογή των διατάξεων της οδηγίας NIS σε ολόκληρη την Ένωση, με πιθανές επιπτώσεις στην εύρυθμη λειτουργία της εσωτερικής αγοράς και τον αποτελεσματικό χειρισμό των κυβερνοεξαρτήσεων.

·Επιπλέον, φαίνεται ότι υπάρχουν αποκλίνουσες ερμηνείες μεταξύ των κρατών μελών ως προς το τι συνιστά βασική υπηρεσία στο πλαίσιο της οδηγίας NIS, καθώς τα κράτη μέλη υιοθετούν προσεγγίσεις διαφορετικού βαθμού ανάλυσης (βλέπε ενότητα 2.2). Αυτό δυσχεραίνει τη σύγκριση των καταλόγων βασικών υπηρεσιών. Επίσης, το πεδίο εφαρμογής της οδηγίας κινδυνεύει να κατακερματιστεί, καθώς ορισμένοι φορείς εκμετάλλευσης υπόκεινται σε πρόσθετες κανονιστικές ρυθμίσεις (επειδή έχουν προσδιοριστεί από το αντίστοιχο κράτος μέλος), ενώ άλλοι που παρέχουν παρόμοιες υπηρεσίες εξακολουθούν να εξαιρούνται (επειδή δεν έχουν προσδιοριστεί). Για την αντιμετώπιση των εν λόγω ελλείψεων συνοχής, περαιτέρω εργασίες με βάση την εμπειρία των κρατών μελών μπορούν να συμβάλουν στη διαμόρφωση ενός πιο ευθυγραμμισμένου καταλόγου βασικών υπηρεσιών.

·Επιπλέον, στην έκθεση διαπιστώνονται σημαντικές ελλείψεις συνοχής όσον αφορά τον τρόπο με τον οποίο εφαρμόζονται τα κατώτερα όρια στα κράτη μέλη (ενότητα 2.3). Η περαιτέρω ευθυγράμμιση των κατώτατων ορίων σε επίπεδο ΕΕ μπορεί να συμβάλει στον μετριασμό του προβλήματος. Οι εν λόγω εργασίες μπορούν, για παράδειγμα, να πραγματοποιηθούν στο πλαίσιο τομεακών αξόνων εργασίας της ομάδας συνεργασίας, λαμβανομένων υπόψη των εθνικών ιδιαίτερων χαρακτηριστικών, όπως οι ειδικές απαιτήσεις των μικρών κρατών μελών.

·Το γεγονός ότι ορισμένες χώρες έχουν αξιοποιήσει τη δυνατότητα προσδιορισμού βασικών υπηρεσιών σε πρόσθετους τομείς ή υποτομείς, πέραν όσων αναφέρονται στο παράρτημα II, αναδεικνύει το ότι υπάρχουν και άλλοι τομείς δυνητικά ευάλωτοι σε κυβερνοσυμβάντα, πέραν των όσων αναφέρονται στην οδηγία NIS (ενότητα 2.5). Ο προσδιορισμός φορέων εκμετάλλευσης βασικών υπηρεσιών σε τομείς, όπως οι υποδομές πληροφοριών ή οι χρηματοπιστωτικές υπηρεσίες που δεν καλύπτονται από τις οντότητες που απαριθμούνται στο παράρτημα II και στο κράτος, μπορεί να βελτιώσει την κυβερνοανθεκτικότητα των οργανισμών των εν λόγω τομέων. Ωστόσο, σε περίπτωση που στους εν λόγω τομείς προσδιοριστούν φορείς εκμετάλλευσης βασικών υπηρεσιών από μερικά μόνο κράτη μέλη, θα μπορούσαν να υπάρξουν αρνητικές επιπτώσεις για την εσωτερική αγορά και τους ισότιμους όρους ανταγωνισμού, τους οποίους ο εν λόγω προσδιορισμός αποσκοπεί να διασφαλίσει.

Ο μεγάλος αριθμός μεθοδολογιών και βέλτιστων πρακτικών που επινόησαν οι εθνικές αρχές έχουν ιδιαίτερη αξία και θα πρέπει να λαμβάνονται υπόψη στο μέλλον, για παράδειγμα, στο πλαίσιο των εργασιών της ομάδας συνεργασίας και του συνεχούς προσδιορισμού φορέων εκμετάλλευσης βασικών υπηρεσιών από τα κράτη μέλη. Εντούτοις, ο υφιστάμενος βαθμός πολυμορφίας μπορεί να έχει αρνητικές επιπτώσεις όσον αφορά την επίτευξη των στόχων της οδηγίας.

Η Επιτροπή καταλήγει στο προκαταρκτικό συμπέρασμα ότι, ενώ η οδηγία NIS έχει θέσει σε κίνηση μια διαδικασία κρίσιμης σημασίας για την αύξηση και τη βελτίωση των πρακτικών διαχείρισης κινδύνου που εφαρμόζουν οι φορείς εκμετάλλευσης σε τομείς ζωτικής σημασίας, ο βαθμός κατακερματισμού σε ολόκληρη την Ένωση είναι σημαντικός σε ό,τι αφορά τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών. Αυτό οφείλεται εν μέρει στον σχεδιασμό της οδηγίας και εν μέρει στις διαφορετικές μεθοδολογίες εφαρμογής που χρησιμοποιούν τα κράτη μέλη.

Τα κράτη μέλη θα πρέπει να επιδιώξουν να εφαρμόσουν τις διατάξεις της οδηγίας NIS με όσο το δυνατόν πιο συνεκτικό τρόπο, αξιοποιώντας πλήρως τα έγγραφα καθοδήγησης που εκπόνησαν η Επιτροπή και η ομάδα συνεργασίας. Σε αυτό το πλαίσιο, η Επιτροπή προσδιόρισε διάφορες εθνικές δράσεις που μπορούν να συμβάλουν στον μετριασμό των προβλημάτων που επισημαίνονται στην παρούσα έκθεση:

·Πολλά κράτη μέλη δεν έχουν ολοκληρώσει τη διαδικασία προσδιορισμού φορέων εκμετάλλευσης βασικών υπηρεσιών εντός της προθεσμίας που προβλέπεται στην οδηγία. Επιπλέον, κατά την ημερομηνία δημοσίευσης της παρούσας έκθεσης, 23 κράτη μέλη έχουν υποβάλει το σύνολο των δεδομένων που απαιτούνται βάσει του άρθρου 5 παράγραφος 7. 5 ακόμη κράτη μέλη παρείχαν αποσπασματικές πληροφορίες. Η Επιτροπή παροτρύνει τις εθνικές αρχές που είναι αρμόδιες για τον προσδιορισμό να ολοκληρώσουν τη διαδικασία όσο το δυνατόν συντομότερα και να διαβιβάσουν τις απαραίτητες πληροφορίες στην Επιτροπή το συντομότερο δυνατό.

·Οι αρμόδιες αρχές θα πρέπει να επανεξετάζουν τακτικά τους καταλόγους τους βασικών υπηρεσιών και να διασφαλίζουν ότι προσδιορίζονται όλες οι υφιστάμενες βασικές υπηρεσίες προκειμένου να μειωθεί ο αριθμός των «ελλείψεων συνοχής» αναφορικά με τις βασικές υπηρεσίες.

·Τα κράτη μέλη θα πρέπει να συνεργάζονται πιο ενεργά με σκοπό την ευθυγράμμιση των κατώτατων ορίων όπου αυτό είναι εφικτό και ιδίως σε τομείς έντονου διασυνοριακού χαρακτήρα, όπως οι μεταφορές ή η ενέργεια. Αυτό μπορεί να επιτευχθεί διά της διαδικασίας διασυνοριακής διαβούλευσης που προβλέπεται στο άρθρο 5 παράγραφος 4 της οδηγίας NIS αλλά και διά της καλύτερης αξιοποίησης των υφιστάμενων δομών της ομάδας συνεργασίας.

·Οι εθνικές αρχές θα πρέπει να διαβουλεύονται μεταξύ τους για να διασφαλίζουν ότι οι διασυνοριακοί φορείς εκμετάλλευσης υπόκεινται σε παρόμοιες απαιτήσεις σχετικά με την ασφάλεια και την αναφορά συμβάντων στην εσωτερική αγορά. Επιπλέον, τα κράτη μέλη θα πρέπει να επικοινωνούν με τους εν λόγω φορείς εκμετάλλευσης για να συγκεντρώνουν περισσότερες πληροφορίες σχετικά με τις κανονιστικές αποκλίσεις. Η ενίσχυση της κυβερνοανθεκτικότητας δεν θα πρέπει να έχει ως τίμημα τον κατακερματισμό του κανονιστικού πλαισίου. Όπου απαιτείται, τα κράτη μέλη θα πρέπει επίσης να διεξάγουν πολυμερείς διαβουλεύσεις, όπως προβλέπεται στην αιτιολογική σκέψη 24 της οδηγίας NIS.

Εκτός από τις δράσεις σε εθνικό επίπεδο, υπάρχει σειρά μέτρων που μπορούν δυνητικά να ληφθούν σε επίπεδο ΕΕ, τα οποία μπορούν να βελτιώσουν τη συνοχή. Η Επιτροπή θα ξεκινήσει συζητήσεις για τη βελτίωση του ανομοιογενούς και, ενίοτε, κατακερματισμένου τοπίου του προσδιορισμού. Ορισμένα από τα πιθανά μέτρα είναι τα ακόλουθα:

·Θα πρέπει να ενισχυθεί ο ρόλος της ομάδας συνεργασίας για την NIS προκειμένου να προαχθεί η κοινή κατανόηση του τρόπου εφαρμογής της οδηγίας με πιο συνεκτικό τρόπο. Για τον σκοπό αυτόν, η Επιτροπή θα προτείνει την ταχεία επανεξέταση, στο πλαίσιο του υφιστάμενου ειδικού άξονα εργασίας για τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών, των κατευθυντήριων γραμμών με σκοπό την καλύτερη αντιμετώπιση των υφιστάμενων ελλείψεων συνοχής. Η ομάδα συνεργασίας θα πρέπει επίσης να διερευνήσει τη δυνατότητα δημιουργίας πρόσθετων τομεακών αξόνων εργασίας 17 με σκοπό τη βελτίωση της συνοχής μεταξύ των κρατών μελών και τη χρήση ενός προσαρμοσμένου εργαλείου επικοινωνίας για τη βελτίωση της συνεργασίας εντός της ομάδας.

·Επί του παρόντος, πολύ λίγα κράτη μέλη κάνουν χρήση της διαδικασίας διασυνοριακής διαβούλευσης σε ό,τι αφορά τον προσδιορισμό των φορέων εκμετάλλευσης που παρέχουν βασικές υπηρεσίες σε περισσότερα του ενός κράτη μέλη. Για την ενίσχυση της ανταλλαγής πληροφοριών, η ομάδα συνεργασίας θα πρέπει να επανεξετάσει το έγγραφο αναφοράς της σχετικά με τους τρόπους της διαδικασίας διαβούλευσης σε περιπτώσεις με διασυνοριακές επιπτώσεις και να καταλήξει σε μία συνεπή ερμηνεία του πεδίου εφαρμογής, των στόχων και των διαδικασιών της εν λόγω άσκησης. Ταυτόχρονα, η Επιτροπή θα αναζητήσει τρόπους ασφαλούς ανταλλαγής πληροφοριών μεταξύ των αρμόδιων αρχών.

·Φαίνεται ότι μεταξύ των κρατών μελών υφίσταται ένας ορισμένος βαθμός έλλειψης συνοχής όσον αφορά την εφαρμογή των διατάξεων της οδηγίας ως προς την αρχή lex specialis. Ως εκ τούτου, η Επιτροπή θα αξιοποιήσει τις δομές της ομάδας συνεργασίας προκειμένου να θέσει υπό εξέταση τις περιπτώσεις κατά τις οποίες η εφαρμογή της αρχής lex specialis ενδέχεται να είναι εσφαλμένη.

Οι δράσεις που θα αναληφθούν σε ενωσιακό επίπεδο αναμένεται να διασφαλίσουν τη διαμόρφωση ενός συνεκτικού πλαισίου, στο οποίο θα λαμβάνονται υπόψη τόσο οι τομεακές δραστηριότητες που προβλέπουν ειδικές ή υψηλότερες απαιτήσεις κυβερνοασφάλειας όσο και άλλες νομοθετικές πράξεις της ΕΕ.

4.Παραρτήματα

4.1Επισκόπηση των διαθέσιμων δεδομένων ανά κράτος μέλος

4.2Αριθμοί υπηρεσιών και φορέων εκμετάλλευσης βασικών υπηρεσιών που προσδιορίστηκαν από κάθε κράτος μέλος

4.3Υπηρεσίες του υποτομέα της ηλεκτρικής ενέργειας που προσδιορίστηκαν από τα κράτη μέλη

4.4Υπηρεσίες του υποτομέα των σιδηροδρομικών μεταφορών που προσδιορίστηκαν από τα κράτη μέλη

(1)

ΕΕ L 194 της 19.7.2016, σ. 1.

(2)

Έως τον Σεπτέμβριο του 2019, και τα 28 κράτη μέλη κοινοποίησαν ότι είχαν ολοκληρώσει την πλήρη μεταφορά της οδηγίας στο εθνικό δίκαιο.

(3)

 Ανακοίνωση της Επιτροπής προς το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο: Αξιοποιώντας την ΑΔΠ στο έπακρον – Για την αποτελεσματική εφαρμογή της οδηγίας (ΕΕ) 2016/1148 σχετικά με μέτρα για υψηλό κοινό επίπεδο ασφάλειας συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ένωση, COM(2017) 476.

(4)

Η ομάδα συνεργασίας NIS, που απαρτίζεται από τα κράτη μέλη, την Επιτροπή και τον ENISA (Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια), δημιούργησε έναν χωριστό άξονα εργασίας με στόχο την ανταλλαγή πληροφοριών και βέλτιστων πρακτικών σχετικά με τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών μεταξύ των κρατών μελών.

(5)

Για παράδειγμα, το WannaCry, ένα λυτρισμικό cryptoworm, χρειάστηκε μία μόνο ημέρα τον Μάιο του 2017 για να διαδοθεί σε πάνω από 150 χώρες και να μολύνει 200 000 υπολογιστές, κατ’ εκτίμηση.

(6)

Σύμφωνα με την ομάδα συνεργασίας NIS, η ελεύθερη διακίνηση υπηρεσιών στην εσωτερική αγορά μπορεί να έχει ως συνέπεια «διασυνοριακούς κινδύνους και εξαρτήσεις που επηρεάζουν θεμελιωδώς τη διαθεσιμότητα, την ακεραιότητα και την εμπιστευτικότητα των εν λόγω υπηρεσιών».

(7)

Σύμφωνα με το άρθρο 10 παράγραφος 3 της οδηγίας NIS, τα κράτη μέλη υποβάλλουν κάθε χρόνο στην ομάδα συνοπτική έκθεση σχετικά με τις κοινοποιήσεις που έχουν παραλάβει.

(8)

Παραδείγματα διατομεακών παραγόντων είναι ο αριθμός των χρηστών που εξαρτώνται από την υπηρεσία ή το μερίδιο αγοράς μιας οντότητας. Παραδείγματα παραγόντων που αφορούν συγκεκριμένους τομείς είναι ο αριθμός των αυτόνομων συστημάτων που είναι συνδεδεμένα σε ένα σημείο ανταλλαγής κίνησης διαδικτύου (IXP) ή ο αριθμός των ετήσιων συναλλαγών ενός χρηματοπιστωτικού ιδρύματος.

(9)

Αυστρία, Βέλγιο, Ελλάδα, Ουγγαρία, Ρουμανία και Σλοβενία.

(10)

Οδηγία 2008/114/ΕΚ του Συμβουλίου, της 8ης Δεκεμβρίου 2008, σχετικά με τον προσδιορισμό και τον χαρακτηρισμό των ευρωπαϊκών υποδομών ζωτικής σημασίας, και σχετικά με την αξιολόγηση της ανάγκης βελτίωσης της προστασίας τους. Στόχος της οδηγίας είναι να ενισχύσει την προστασία των υποδομών ζωτικής σημασίας στους τομείς της ενέργειας και των μεταφορών.

(11)

Τα ταυτόσημα σημεία δεδομένων σχεδιάζονται το ένα επάνω στο άλλο. Αυτός είναι ο λόγος για τον οποίο δεν είναι και τα 28 σημεία δεδομένων εμφανή στα διαγράμματα. Για παράδειγμα, 17 κράτη μέλη έχουν προσδιορίσει ακριβώς τρεις βασικές υπηρεσίες στις Ψηφιακές υποδομές.

(12)

Για παράδειγμα, ένα κράτος μέλος έχει αναπτύξει επτά παράγοντες (τέσσερις «παράγοντες που εξαρτώνται από τον φορέα εκμετάλλευσης» και τρεις «παράγοντες που εξαρτώνται από τον αντίκτυπο») που ενσωματώνονται σε έναν μεμονωμένο τύπο. Εάν η τελική τιμή του υπολογισμού υπερβαίνει ένα ορισμένο κατώτατο όριο, ο υπό εξέταση φορέας εκμετάλλευσης θεωρείται ότι είναι φορέας εκμετάλλευσης βασικών υπηρεσιών.

(13)

Ο τομέας της εφοδιαστικής δεν αναφέρεται στο παράρτημα II της οδηγίας NIS.

(14)

Τα ταυτόσημα σημεία δεδομένων σχεδιάζονται το ένα επάνω στο άλλο. Αυτός είναι ο λόγος για τον οποίο δεν είναι και τα 25 σημεία δεδομένων εμφανή στα διαγράμματα. Για παράδειγμα, τόσο η Δανία όσο και οι Κάτω Χώρες προσδιόρισαν 0,35 φορείς εκμετάλλευσης βασικών υπηρεσιών ανά 1 000 000 κατοίκους στον υποτομέα των αεροπορικών μεταφορών.

(15)

«Identification of Operators of Essential Services – Reference document on modalities of the consultation process in cases with cross-border impact», Έκδοση της ομάδας συνεργασίας 07/2018.

(16)

Οδηγία 2002/21/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 7ης Μαρτίου 2002, σχετικά με κοινό κανονιστικό πλαίσιο για δίκτυα και υπηρεσίες ηλεκτρονικών επικοινωνιών.

(17)

Οι άξονες εργασίας σχετικά με την ενέργεια και τις ψηφιακές υποδομές έχουν δημιουργηθεί τον Ιούνιο του 2018 και τον Ιούλιο του 2019.

(18)

Εξαιτίας της μεθοδολογίας της Φινλανδίας, στον τομέα της υγείας προσδιορίστηκε πολύ μεγάλος αριθμός φορέων εκμετάλλευσης βασικών υπηρεσιών.