(1)

Võrgul ja infosüsteemidel ning -teenustel on ühiskonnas eluliselt tähtis koht. Nende usaldusväärsus ja turvalisus on ELi kodanike vabaduse ja üldise julgeoleku, majandustegevuse ja sotsiaalse heaolu ning ennekõike siseturu toimimise jaoks hädavajalik. [ME 1]

(2)

Tahtlike ja juhuslike Turvaintsidentide ulatus, sagedus ja mõju suurenevad ning see kujutab endast suurt ohtu võrkude ja infosüsteemide toimimisele. Need süsteemid võivad saada ka hõlpsaks sihtmärgiks tahtlikule kahjustamisele süsteemide töö häirimise või peatamise eesmärgil. Sellised intsidendid võivad takistada majandustegevust, põhjustada olulist finantskahju, vähendada kasutajate ja investorite usaldust ja tekitada ELi majandusele suurt kahju ning lõpptulemusena ohustada ELi kodanike heaolu ja ELi liikmesriikide suutlikkust end kaitsta ja tagada elutähtsate infrastruktuuride turvalisus . [ME 2]

(3)

Piire ületava sidevahendina on digitaalsetel infosüsteemidel ja eriti internetil oluline roll kaupade, teenuste ja inimeste piiriülese liikumise hõlbustamisel. Sellisest riikidevahelisusest tulenevalt võib nende süsteemide töö katkestus ühes liikmesriigis mõjutada ka teisi liikmesriike ja ELi tervikuna. Seepärast on võrgu ja infosüsteemide vastupidavus ja stabiilsus siseturu sujuvaks toimimiseks hädavajalikud.

(3a)

Kuna süsteemirikete põhjused on enamasti tahtmatud, nagu looduslikud protsessid või inimlik eksimus, peaks infrastruktuur olema vastupidav nii tahtlikele kui ka juhuslikele häiretele ja elutähtsate infrastruktuuride operaatorid peaksid töötama välja vastupanuvõimelisi süsteeme. [ME 3]

(4)

ELi tasandil tuleks luua koostöömehhanism, mis võimaldaks vahetada võrgu- ja infoturbe alast teavet ning tegeleda selles vallas koordineeritud ennetuse, avastamise ja reageerimisega. Et selline mehhanism oleks tõhus ja kaasav, on oluline, et kõigil liikmesriikidel oleks miinimumsuutlikkus ja strateegia võrgu- ja infoturbe kõrge taseme tagamiseks oma territooriumil. Minimaalseid turvanõudeid tuleks kohaldada ka haldusasutuste ja elutähtsa vähemalt teatavate infotaristu operaatorite suhtes, et edendada riskihalduse kultuuri ja tagada, et kõige raskematest intsidentidest teatatakse. Börsil noteeritud äriühinguid tuleks julgustada andma intsidentidest oma finantsaruannetes vabatahtlikkuse alusel teada. Õigusraamistik peaks põhinema vajadusel kaitsta kodanike eraelu puutumatust ja isikupuutumatust. Käesoleva direktiiviga hõlmatud operaatoritele tuleks laiendada elutähtsate infrastruktuuridega seotud teabe vahetuse infosüsteemi. [ME 4]

(4a)

Samal ajal kui haldusasutused peaksid oma avalike ülesannete tõttu näitama oma võrgu ja infosüsteemide juhtimisel ja kaitsmisel üles vajalikku hoolsust, tuleks käesoleva direktiiviga keskenduda energeetika, transpordi-, pangandus-, finantsturu taristu ja tervishoiuvaldkonnas esmatähtsa majandusliku ja ühiskondliku tegevuse säilitamiseks vajalikule elutähtsale infrastruktuurile. Tarkvaraarendajad ja riistvaratootjad tuleks jätta direktiivi reguleerimisalast välja. [ME 5]

(4b)

Tuleks tagada asjaomaste liidu ametiasutuste koostöö ja tegevuse kooskõlastamine ühise välis- ja julgeolekupoliitika ja ühise julgeoleku- ja kaitsepoliitika eest vastutava liidu välisasjade ja julgeolekupoliitika kõrge esindaja ja komisjoni asepresidendiga, ning ELi terrorismivastase võitluse koordinaatoriga kõigi suurt mõju omavate intsidentide puhul, mille puhul võib eeldada väliste ja terrorismiga seotud riskide esinemist. [ME 6]

(5)

Et hõlmatud oleks kõik asjakohased intsidendid ja riskid, tuleks käesolevat direktiivi kohaldada kõigi võrgu- ja infosüsteemide suhtes. Haldusasutuste ja operaatorite suhtes kehtestatud kohustusi ei tuleks siiski kohaldada ettevõtjate suhtes, kes pakuvad üldkasutatavaid sidevõrke või üldkasutatavaid elektroonilisi sideteenuseid Euroopa Parlamendi ja nõukogu direktiivi 2002/21/EÜ (3) tähenduses ja kelle suhtes kehtivad konkreetsed turva- ja terviklusnõuded, mis on sätestatud nimetatud direktiivi artiklis 13a, ning neid ei tuleks kohaldada ka usaldusteenuse pakkujate suhtes.

(6)

Praegune suutlikkus ei ole ELis võrgu ja infoturbe kõrge taseme tagamiseks piisav. Liikmesriikide valmisoleku tase on väga erinev ning see põhjustab ELi lõikes lähenemisviiside killustatuse. See omakorda toob kaasa tarbijate ja ettevõtjate kaitstuse ebaühtluse ja vähendab võrgu- ja infoturbe üldist taset ELis. Kui haldusasutuste ja operaatorite suhtes ei kohaldata ühised miinimumnõuded, ei ole ELi tasemel võimalik luua üldist tõhusat koostöömehhanismi. Ülikoolidel ja teaduskeskustel on tähtis roll teadusuuringute, arendustegevuse ja innovatsiooni edendamises kõnealustes valdkondades ja seetõttu tuleks neile tagada piisav rahastamine. [ME 7]

(7)

Tulemuslik reageerimine võrgu ja infosüsteemide turvalisusega seotud probleemidele eeldab seega ELi tasandil üldist lähenemist, mis hõlmaks ühise miinimumsuutlikkuse loomist ja kavandamisnõudeid, piisavate küberjulgeoleku alaste oskuste arendamist, teabevahetust ja tegevuse koordineerimist ning turvalisuse ühiseid miinimumnõudeid kõigile asjaomastele operaatoritele ja haldusasutustele. Küberjulgeoleku koordineerimise rühmade (Cyber Security Co-Ordination Groups – CSGCd) asjakohaste soovituste kohaselt tuleks kohaldada ühiseid miinimumstandardeid. [ME 8]

(8)

Käesoleva direktiivi sätted ei tohiks piidata liikmesriikide võimalust võtta vajalikke meetmeid, et tagada oma oluliste turvalisusega seotud huvide kaitse, tagada avalik kord ja julgeolek ning võimaldada kriminaalkuritegude uurimist, avastamist ja nende eest vastutuselevõtmist. Vastavalt Euroopa Liidu toimimise lepingu (ELi toimimise leping) artiklile 346 ei tohi ühtki liikmesriiki kohustada andma teavet, mille avalikustamist ta peab oma oluliste julgeolekuhuvide vastaseks. Ühtegi liikmesriiki ei kohustata avaldama teavet, mis on ELi salastatud teave vastavalt nõukogu otsusele 2011/292/EL  (4) või vaikimiskokkulepete või mitteametlike vaikimiskokkulepete alla kuuluv teave, näiteks protokoll teabe tundlikkuse märgistamise kohta fooritulede analoogia põhjal. [ME 9]

(9)

Et saavutada võrgu ja infosüsteemide turvalisuse kõrge tase ja see säilitada, peaks igal liikmesriigil olema riiklik võrgu- ja infoturbe strateegia, milles oleks määratletud strateegilised eesmärgid ja konkreetsed poliitilised meetmed, mida rakendada. Riikide tasemel tuleb käesolevas direktiivis sätestatud miinimumnõuete põhjal välja töötada olulistele nõuetele vastavad võrgu- ja infoturbe koostöökavad, et saavutada selline reageerimissuutlikkuse tase, mis võimaldaks teha intsidentide korral tulemuslikku ja tõhusat koostööd nii riikide kui ka ELi tasemel tasandil, austades ja kaitstes seejuures eraelu ja isikuandmeid . Iga liikmesriik peaks seega olema kohustatud pidama kinni ühistest standarditest, mis puudutavad andmete vormi ja jagatavate ja hinnatavate andmete vahetusvõimalusi. Liikmesriikidel peaks olema õigus paluda Euroopa Võrgu- ja Infoturbeameti (ENISA) koostöövõrgu abi riiklike võrgu- ja infoturbe strateegiate väljatöötamisel, võttes aluseks võrgu- ja infoturbe strateegiate ühise miinimumkava . [ME 10]

(10)

Käesoleva direktiivi kohaselt vastuvõetud sätete tõhusa rakendamise huvides tuleks igas liikmesriigis luua või nimetada organ, kes vastutab võrgu- ja infoturbe alaste küsimuste koordineerimise eest ning tegutseb ELi taseme piiriülese koostöö keskusena. Sellistele organitele tuleks anda piisavad tehnilised, rahalised ja inimressursid, mis võimaldaksid neil oma ülesandeid tulemuslikult ja tõhusalt täita ning seeläbi saavutada käesoleva direktiivi eesmärgid.

(10a)

Arvestades riikide juhtimisstruktuuride erinevusi ning selleks, et kaitsta juba kehtivat valdkondlikku korda või liidu reguleerivaid ja järelevalveasutusi ning et vältida dubleerimist, peaksid liikmesriigid saama käesoleva direktiivi alusel nimetada operaatorite võrkude ja infosüsteemide turbega seotud ülesannete täitmiseks rohkem kui ühe riikliku pädeva asutuse. Kuid sujuva piiriülese koostöö ja suhtluse tagamiseks on vajalik, et iga liikmesriik nimetaks ainult ühe riikliku ühtse kontaktpunkti, kes juhib liidu tasandil piiriülest koostööd, ilma et see piiraks valdkondliku reguleerimiskorra kohaldamist. Kui see on tingitud põhiseaduslikust korrast või muust korrast, peaks liikmesriik saama nimetada ainult ühe asutuse, kes täidab pädeva asutuse ja ühtse kontaktpunkti ülesandeid. Pädevad asutused, ühtsed kontaktpunktid peaksid olema tsiviilorganid, kelle üle teostatakse demokraatlikku kontrolli ning kes ei peaks täitma mingeid ülesandeid luuretegevuse, õiguskaitse või kaitse valdkonnas või olema organisatsiooniliselt seotud mõne nendes valdkondades tegevate organitega. [ME 11]

(11)

Kõik liikmesriigid ja operaatorid peaksid olema nii tehniliselt kui ka töökorralduse mõttes piisavalt varustatud, et igal ajal vältida ja avastada võrgu ja infosüsteemidega seotud intsidente ja riske ning neile reageerida ja nende mõju leevendada. Haldusasutuste turvasüsteemid peavad olema turvalised ja nende suhtes tuleb kohaldada demokraatlikku kontrolli ja järelevalvet. Üldkohustuslik varustus ja suutlikkus peaks olema kooskõlas ühiselt kokkulepitud tehniliste standardite ja standardse töökorraga. Seepärast tuleks kõigis liikmesriikides luua hästi toimivad ja olulistele nõuetele vastavad infoturbeintsidentidega tegelevad meeskonnad rühmad (CERTid) , et kindlustada tulemuslik ja ühilduv suutlikkus tulla toime intsidentide ja riskidega ning tagada ELi tasandil tõhus koostöö. Neil CERTidel peaks olema võimalik suhelda omavahel ühiste tehniliste standardite ja SPO põhjal. Olemasolevate infoturbeintsidentidega tegelevate meeskondade (CERTid) erinevate omaduste seisukohalt, mis reageerib erinevatele erialastele vajadustele ja osalistele, peaksid liikmesriigid tagama, et kõikidele käesoleva direktiiviga hõlmatud sektoritele osutaks teenuseid vähemalt üks CERT. Liikmesriigid peaksid seoses CERTide piiriülese koostööga tagama, et CERTidel on piisavad vahendid juba olemasolevates rahvusvahelistes üleeuroopalistes koostöövõrkudes osalemiseks. [ME 12]

(12)

Arvestades liikmesriikide Euroopa foorumi (EFMS) märkimisväärset edu heade poliitiliste tavade üle peetud arutelude ja teabevahetuse soodustamisel, kaasa arvatud küberkriisialase Euroopa koostöö põhimõtete väljatöötamist, peaksid liikmesriigid ja komisjon looma võrgu, mis võimaldaks neil pidevalt suhelda ja toetaks nende koostööd. Turvaline ja tulemuslik koostöömehhanism , mis vajaduse korral hõlmab operaatorite osalemist, peaks võimaldama struktureeritud ja koordineeritud teabevahetust ning probleemide avastamist ja neile reageerimist ELi tasandil. [ME 13]

(13)

Euroopa Võrgu- ja Infoturbeamet (ENISA) peaks liikmesriike ja komisjoni abistama, pakkudes neile oma teadmisi ja andes nõu ning toetades parimate tavade vahetamist. Eriti peaks peaksid komisjon ja liikmesriigid ENISAga konsulteerima käesoleva direktiivi kohaldamise üle. Et tagada liikmesriikide ja komisjoni tulemuslik ja õigeaegne teavitamine, tuleks varajased hoiatused intsidentide ja riskide kohta edastada koostöövõrgus. Liikmesriikide suutlikkuse ja teadmiste parandamise huvides peaks koostöövõrk pakkuma võimalusi ka parimate tavade vahetamiseks ning abistama oma liikmeid suutlikkuse suurendamisel ja juhtima vastastikuste eksperdihindamiste ja võrgu- ja infoturbe õppuste korraldamist. [ME 14]

(13a)

Võimaluse korral peaks liikmesriigid saama käesoleva direktiivi sätete kohaldamisel kasutada või kohandada olemasolevat organisatsioonilist struktuuri. [ME 15]

(14)

Luua tuleks turvaline teabejagamistaristu, mis võimaldaks vahetada koostöövõrgus tundlikku ja konfidentsiaalset teavet. Selle eesmärgi saavutamiseks tuleks täielikult kasutada liidus olemasolevaid struktuure. Ilma et see piiraks liikmesriikide kohustust teatada koostöövõrgule ELi jaoks olulistest intsidentidest ja riskidest, peaksid liikmesriigid saama juurdepääsu teiste riikide konfidentsiaalsele teabele alles pärast seda, kui nad on tõendanud, et nende tehnilised, finants- ja inimressursid, protsessid ja sidetaristu tagavad nende tulemusliku, tõhusa ja turvalise osalemise võrgu töös , kasutades läbipaistvaid vahendeid . [ME 16]

(15)

Enamiku võrkude ja infosüsteemide operaatorid on eraettevõtjad ning seepärast on avaliku ja erasektori koostöö hädavajalik. Soodustada tuleks operaatorite endi mitteametlikke koostöömehhanisme võrgu- ja infoturbe tagamiseks. Nad peaksid koostööd tegema ka avaliku sektoriga ning jagama vastastikku teavet ja parimaid tavasid, et saada sealhulgas pakkuma intsidentide korral pakutavat tegevustoetust asjakohast teavet ja tegevustoetust ning strateegiliselt analüüsitud teavet . Selleks et soodustada tulemuslikult teabe ja parimate tavade vahetamist, on tähtis tagada, et sellises teabevahetuses osalevad operaatorid ei oleks oma koostöö tõttu ebasoodsamas olukorras. On vaja piisavaid kaitsemeetmeid, et selline koostöö ei põhjustaks neile operaatoritele suuremaid nõuete mittejärgimisest tulenevaid riske või uusi kohustusi tulenevalt muu hulgas konkurentsi, intellektuaalomandi, andmekaitse või küberkuritegevuse alastest õigusaktidest, samuti suuremaid tegevus- või turvariske. [ME 17]

(16)

Et tagada läbipaistvus ja ELi kodanikke ja operaatoreid nõuetekohaselt teavitada, peaksid pädevad asutused ühtsed kontaktpunktid looma ühise ELi-ülese veebisaidi, millel avaldada mittekonfidentsiaalset teavet intsidentide, riskide ja nende leevendamise võimaluste kohta ja anda vajaduse korral nõu asjakohaste hooldusmeetmete küsimustes . Veebisaidil olev teave peaks olema kasutatavast seadmest sõltumatult kättesaadav. Sel veebisaidil tuleb piirduda ainult vajalike ja võimalikult anonüümsete isikuandmete avaldamisega . [ME 18]

(17)

Kui teavet peetakse konfidentsiaalseks vastavalt ELi ja riikide ärisaladust käsitlevatele eeskirjadele, tuleb käesolevas direktiivis sätestatud toimingute teostamisel ja direktiivi eesmärkide täitmisel selline konfidentsiaalsus tagada.

(18)

Lähtudes eelkõige riikide kriisihalduse alastest kogemustest, peaksid komisjon ja liikmesriigid koostöös ENISAga töötama välja ELi võrgu- ja infoturbe koostöökava, milles määratletakse koostöömehhanismid, parimad tavad ja tegevusmudelid, et riske ja intsidente ennetada, avastada, neist teada anda ja nendega toime tulla riskide ja intsidentidega. Koostöövõrgus edastatavate varajaste hoiatuste puhul tuleks seda kava nõuetekohaselt arvesse võtta. [ME 19]

(19)

Varajastest hoiatustest tuleks võrgus teatada vaid siis, kui asjaomase intsidendi või riski ulatus või raskusaste on nii olulised või võivad muutuda nii oluliseks, et vajalik on teavitamine või reageerimise koordineerimine ELi tasandil. Seega tuleks varajast hoiatamist kasutada vaid tegelike või võimalike intsidentide või riskide puhul, mille ulatus kasvab kiiresti, mis ületavad riigi reageerimissuutlikkuse või mis mõjutavad mitut liikmesriiki. Nõuetekohase hindamise tarvis tuleks edastada kogu riski või intsidendi hindamiseks vajalik teave koostöövõrgule. [ME 20]

(20)

Kui pädevad asutused ühtsed kontaktpunktid on saanud varajase hoiatuse ja seda hinnanud, peaksid nad kokku leppima koordineeritud reageerimises vastavalt ELi võrgu- ja infoturbe koostöökavale. Pädevatele asutustele Ühtsetele kontaktpunktidele, ENISAle ja komisjonile tuleks teatada koordineeritud reageerimise tulemusena riigi tasandil võetud meetmetest. [ME 21]

(21)

Arvestades võrgu ja info turvalisusega seotud probleemide globaalsust, on vaja teha tihedamat rahvusvahelist koostööd, et parandada turbestandardeid ja teabevahetust ning edendada ühtset üleilmselt lähenemist võrgu- ja infoturbe küsimustele. Sellise rahvusvahelise koostöö raamistik peab vastama Euroopa Parlamendi ja nõukogu direktiivile 95/46/EÜ  (5) ja Euroopa Parlamendi ja nõukogu määrusele (EÜ) nr 45/2001  (6) . [ME 22]

(22)

Vastutus võrgu ja info turvalisuse tagamise eest lasub suuresti haldusasutustel ja operaatoritel. Asjakohaste regulatiivsete nõuete ja tööstuse vabatahtlike tegutsemisviiside kaudu tuleks levitada ja arendada riskihalduskultuuri riskihalduse , tiheda koostöö ja usalduse kultuuri, mis hõlmaks riskihindamist ja riskist ja pahatahtlikust või juhuslikust intsidendist lähtuvalt asjakohaste turvameetmete rakendamist. Samuti on oluline kehtestada usaldusväärsed võrdsed tingimused, et koostöövõrk saaks tegelikult toimida ja et oleks tagatud kõigi liikmesriikide tulemuslik koostöö. [ME 23]

(23)

Direktiiviga 2002/21/EÜ on kehtestatud nõue, et üldkasutatavaid elektroonilisi sidevõrke või üldkasutatavaid elektroonilisi sideteenuseid pakkuvad ettevõtjad peavad võtma asjakohased meetmed, et kindlustada nende terviklus ja turvalisus, ning nõuded teatada turvalisuse rikkumisest ja tervikluskaost. Euroopa Parlamendi ja nõukogu direktiivis 2002/58/EÜ (7), on sätestatud nõue, et üldkasutatava elektroonilise sideteenuse pakkuja peab võtma oma teenuste turvalisuse tagamiseks asjakohased tehnilised ja korralduslikud meetmed.

(24)

Neid kohustusi tuleks peale elektroonilise side sektori kohaldada ka elutähtsate infrastruktuuride operaatorite suhtes, kes sõltuvad suurel määral info- ja kommunikatsioonitehnoloogiast ning kelle tegevus on äärmiselt oluline, et säilitada majanduse ja ühiskonna jaoks hädavajalikud funktsioonid; nende hulka kuuluvad näiteks elektri-, gaasi-, transpordi- ja krediidiettevõtted, finantsturu taristu ja tervishoiuasutused. Selliste võrkude ja infosüsteemide töö katkestused mõjutaksid siseturgu. Kuigi käesolevas direktiivis sätestatud kohustusi ei tohiks peale elektroonilise side sektori kohaldada ka infoühiskonnateenuste peamiste pakkujate suhtes, kes on määratletud Euroopa Parlamendi ja nõukogu direktiivis 98/34/EÜ (8), ning kelle teenustele toetuvad infoühiskonna järgmise tasandi teenused ja tegevus internetis, nagu e-kaubanduse platvormid, internetimaksete lüüsid, sotsiaalvõrgustikud, otsingumootorid, pilvandmetöötluse teenused üldiselt või tarkvarakauplustes. Katkestused sellistes infoühiskonna üldteenustes takistavad ka muude infoühiskonna teenuste pakkumist, mille olulised sisendid sõltuvad just sellistest üldteenustest. Tarkvaraarendajad ja riistvaratootjad ei ole infoühiskonna teenuste pakkujad ja seega jäetakse nemad välja. Need kohustused peaksid laienema ka haldusasutustele ja elutähtsate infrastruktuuride operaatoritele, kes sõltuvad suurel määral info- ja kommunikatsioonitehnoloogiast ning kelle tegevus on äärmiselt oluline, et säilitada majanduse ja ühiskonna jaoks hädavajalikud funktsioonid; nende hulka kuuluvad näiteks elektri-, gaasi-, transpordi- ja krediidiettevõtted, väärtpaberibörsid ja tervishoiuasutused. Selliste võrkude ja infosüsteemide töö katkestused mõjutaksid siseturgu. , võivad kõnealused pakkujad vabatahtlikkuse alusel teavitada pädevat asutust või ühtset kontaktpunkti nendest võrgu turvaintsidentidest, mida nad vajalikuks peavad . Pädev asutus või ühtne kontaktpunkt esitab juhul, kui see on mõistlikult võimalik, intsidendist teatanud operaatoritele strateegilise analüüsitud teabe, mis aitab turvaohtu ületada. [ME 24]

(24a)

Kuigi riist- ja tarkvaratoodete pakkujaid ei ole käesoleva direktiiviga hõlmatud ettevõtjatega samaväärsed ettevõtjad, tugevdavad nende tooted võrgu ja teabesüsteemide turvalisust. Seetõttu on neil tähtis roll operaatorite toetamisel oma võrgu ja teabeinfrastruktuuri turvalisuse tagamises. Pidades silmas, et riist- ja tarkvaratoodete suhtes juba kohaldatakse kehtivaid tootjavastutuse eeskirju, peaksid liikmesriigid tagama nende eeskirjade jõustamise. [ME 25]

(25)

Haldusasutuste ja Operaatorite suhtes kehtestatud tehnilised ja korralduslikud meetmed ei tohiks tähendada, et konkreetset turustatavat info- ja kommunikatsioonitehnoloogilist toodet tuleks projekteerida, arendada või toota konkreetsel viisil. [ME 26]

(26)

Haldusasutused ja Operaatorid peaksid tagama nende kontrolli all olevate võrkude ja süsteemide turvalisuse. Eelkõige on tegemist privaatvõrkude ja -süsteemidega, mida haldavad kas asutuse enda IT-töötajad või mille turbega seotud teenused ostetakse sisse. Turbe- ja teatamiskohustust tuleks asjaomaste operaatorite ja haldusasutuste suhtes kohaldada olenemata sellest, kas nad haldavad oma võrke ja infosüsteeme ise või ostavad selle teenuse sisse. [ME 27]

(27)

Vältimaks väikeste operaatorite ja kasutajate ebaproportsionaalset finants- ja halduskoormust, peaksid nõuded olema proportsionaalsed asjaomase võrgu või infosüsteemi puhul esineva riskiga, võttes sealjuures arvesse selliste meetmete kõrget tehnilist taset. Kõnealuseid nõudeid ei tuleks kohaldada mikroettevõtjate suhtes.

(28)

Pädevad asutused ja ühtsed kontaktpunktid peaksid pöörama piisavat tähelepanu mitteametlike ja usaldusväärsete teabejagamiskanalite säilitamisele operaatorite ning avaliku ja erasektori vahel. Pädevad asutused ja ühtsed kontaktpunktid peaksid teavitama puudutatud IKT toodete ja teenuste tootjaid ja teenuseosutajaid neile teatatud intsidentidest, millel on oluline mõju. Pädevatele asutustele ja ühtsetele kontaktpunktidele teatatud intsidentide avalikustamisel tuleks seada tasakaalu üldsuse huvi saada ohtudest teada ning kahju, mida selline olukord võib põhjustada intsidendist teatanud haldusasutuse või operaatori mainele ja kaubandustegevusele. Teatamiskohustuse rakendamisel peaksid pädevad asutused ja ühtsed kontaktpunktid pöörama erilist tähelepanu sellele, et teave toote nõrkuste kohta jääks rangelt konfidentsiaalseks kuni asjakohase turvapaiga kasutuselevõtuni avaldamiseni. Reeglina ei tohiks ühtsed kontaktpunktid avaldada intsidentides osalenud üksikisikute isikuandmeid. Ühtsed kontaktpunktid peaksid isikuandmeid avaldama üksnes siis, kui see on soovitud eesmärgi seisukohalt vajalik ja proportsionaalne. [ME 28]

(29)

Pädevatel asutustel peaksid olema oma ülesannete täitmiseks vajalikud vahendid, kaasa arvatud volitused saada operaatoritelt ja haldusasutustelt võrgu või infosüsteemi turvalisuse taseme hindamiseks ning intsidentide arvu, tõsiduse ja ulatuse mõõtmiseks piisavat teavet ning usaldusväärseid ja põhjalikke andmeid reaalsete intsidentide kohta, mis on mõjutanud võrgu või infosüsteemi tööd. [ME 29]

(30)

Sageli on intsidendi põhjuseks kuritegelik käitumine. Intsidendi seotust kuriteoga võib kahtlustada ka siis, kui alguses ei ole nende kahtluste kinnitamiseks piisavalt selgeid tõendeid. Sellises olukorras peaks pädevate asutuste , ühtsete kontaktpunktide ja õiguskaitseasutuste asjakohane koostöö ning koostöö küberkuritegevuse vastase võitluse Euroopa keskusega (EC3) ja ENISAga olema osa tulemuslikust ja igakülgsest reageerimisest turvaintsidentide ohule. Ohutu, turvalise ja vastupidavama keskkonna edendamine eeldab, et intsidentidest, mille puhul kahtlustatakse seotust raske kuriteoga, teatatakse süstemaatiliselt õiguskaitseasutustele. Intsidendi seotust raske kuriteoga tuleks hinnata lähtuvalt liidu õigusaktidest küberkuritegevuse kohta. [ME 30]

(31)

Sageli on intsidendi tagajärjeks isikuandmete kaitstuse rikkumine. Liikmesriigid ja operaatorid peaksid kaitsma salvestatud, töödeldud ja edastatud isikuandmeid juhusliku või ebaseadusliku hävitamise, juhusliku kaotsimineku või muutmise ning loata või ebaseadusliku salvestamise, juurdepääsu, avalikustamise ja levitamise eest ning tagama isikuandmete töötlemise turvapoliitika rakendamise. Sellises olukorras peaksid pädevad asutused , ühtsed kontaktpunktid ja andmekaitseasutused omavahel koostööd tegema ja vahetama teavet kõigis asjassepuutuvates küsimustes, asjakohasel juhul operaatoritega, et tulla toime intsidendi tagajärjel toimunud isikuandmetega seotud rikkumisega kooskõlas kehtivate andmekaitse-eeskirjadega . Liikmesriigid rakendavad Turvaintsidentidest teatamise kohustust tuleks rakendada selliselt, et kui turvaintsidendiga kaasneb isikuandmetega seotud rikkumine üksikisikute kaitset isikuandmete töötlemisel ja selliste andmete vaba liikumist käsitleva Euroopa Parlamendi ja nõukogu määruse  (9) tähenduses, millest tuleb teavitada kooskõlas kohaldatavate liidu andmekaitse-eeskirjadega, oleks halduskoormus võimalikult väike. ENISA peab sidet pädevate asutuste ja andmekaitseasutustega ning seega võiks ta aidata peaks aitama luua teabevahetusmehhanismid ja -vormid, et vältida olukorda, kus tuleb kasutada kaht teatamisvormi. Ühtne teatamisvorm hõlbustaks ühtse teavitamisvormi, mis hõlbustaks isikuandmete rikkumisega seotud intsidentidest teatamist ja vähendaks seega ettevõtjate ja haldusasutuste halduskoormust. [ME 31]

(32)

Turvanõuete standardimine on vabatahtlik turumajanduslik protsess , mis peaks võimaldama operaatoritel kasutada alternatiivseid meetmeid, et saavutada vähemalt samaväärseid tulemusi . Et tagada turvastandardite ühtne kohaldamine, peaksid liikmesriigid julgustama konkreetsete koostalitlevate standardite järgimist ja vastavust neile, et tagada ELi tasandil turvalisuse kõrge tase. Selleks on vaja kaaluda avatud rahvusvaheliste standardite kohaldamist võrgu- ja infoturbele või selliste vahendite kavandamist. Teise sammuna võib osutuda vajalikuks harmoneeritud standardite koostamine, mida tuleks teha kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) nr 1025/2012 (10). Eelkõige tuleks Euroopa Telekommunikatsioonistandardite Instituuti (ETSI), Euroopa Standardikomiteed (CEN) ja Euroopa Elektrotehnika Standardikomiteed (CENELEC) volitada välja pakkuma tõhusaid ja tulemuslikke ELi avatud turvastandardeid, mille juures tuleks võimalikult vältida tehnoloogilisi eelistusi ning mida peaks väikestel ja keskmise suurusega ettevõtjatel olema kerge järgida. Küberjulgeoleku rahvusvahelised standardid tuleks hoolikalt läbi vaadata, et tagada, et neid ei ole kompromiteeritud ja et nad annavad piisava kaitse, ning kindlustada niimoodi, et küberjulgeoleku standardite õiguspärane järgimine parandab liidu küberjulgeoleku üldist taset, mitte vastupidi. [ME 32]

(33)

Komisjon peaks kõigi huvitatud sidusrühmadega konsulteerides käesoleva direktiivi sätted regulaarselt läbi vaatama eelkõige selleks, et teha kindlaks, kas neid on vaja muuta seoses ühiskonna, poliitika, tehnoloogia ja turutingimuste muutumisega. [ME 33]

(34)

Et koostöövõrk saaks nõuetekohaselt toimida, tuleks komisjonile anda volitused võtta kooskõlas ELi toimimise lepingu artikliga 290 vastu õigusakte, et määratleda kriteeriumid, millele liikmesriik peab vastama, et tal lubataks osaleda turvalises teabevahetussüsteemis, ühised ühenduvuse- ja turbestandardid turvalise teabevahetuse infrastruktuuri jaoks ja panna paika selliste sündmuste täpsemad kirjeldused, mille puhul tuleks kasuta kasutada varajast hoiatust, ja määratleda asjaolud, mille korral operaatorid ja haldusasutused peavad intsidendist teatama. [ME 34]

(35)

On eriti tähtis, et komisjon viiks oma ettevalmistava töö käigus läbi asjakohaseid konsultatsioone, sealhulgas ekspertide tasandil. Komisjon peaks delegeeritud õigusaktide ettevalmistamise ja koostamise ajal tagama asjaomaste dokumentide sama- ja õigeaegse ning nõuetekohase edastamise Euroopa Parlamendile ja nõukogule.

(36)

Et tagada käesoleva direktiivi rakendamiseks ühetaolised tingimused, tuleks komisjonile anda rakendusvolitused seoses järgmisega: koostöövõrgu raames toimuv pädevate asutuste ühtsete kontaktpunktide ja komisjoni koostöö, juurdepääs turvalisele teabevahetustaristule ilma et see piiraks olemasolevate koostöömehhanismide tegevust riiklikul tasandil , ELi võrgu- ja infoturbe koostöökava, ning suure mõjuga intsidentidest üldsusele teatamise vorm ja kord ning võrgu- ja infoturbe jaoks olulised standardid ja/või tehnilised kirjeldused. Neid volitusi tuleks teostada vastavalt Euroopa Parlamendi ja nõukogu määrusele (EL) nr 182/2011 (11). [ME 35]

(37)

Käesoleva direktiivi kohaldamisel peaks komisjon pidama vastavalt vajadusele sidet asjaomaste valdkondlike komiteede ja asjaomaste organitega, mis on loodud ELi tasandil eelkõige e-valitsuse, energeetika, transpordi, tervishoiu ja kaitse valdkonnas. [ME 36]

(38)

Teavet, mida pädev asutus või ühtne kontaktpunkt peab konfidentsiaalseks vastavalt ärisaladusi käsitlevatele ELi ja siseriiklikele eeskirjadele, tuleks komisjoni , selle asjaomaste ametite, ühtsete kontaktpunktide ja/või ja teiste pädevate asutustega vahetada ainult siis, kui selline teabevahetus on hädavajalik käesoleva direktiivi kohaldamiseks. Vahetada võib ainult teavet, mis on sellise teabevahetuse eesmärgi seisukohast oluline , vajalik ja proportsionaalne ning mille puhul tuleb järgida eelmääratletud konfidentsiaalsuse ja turvalisuse kriteeriume vastavalt otsusele 2011/292/EL või vaikimiskokkulepete või mitteametlike vaikimiskokkulepete alla kuuluv teave, näiteks protokoll teabe tundlikkuse märgistamise kohta fooritulede analoogia põhjal . [ME 37]

(39)

Koostöövõrgus riskide ja intsidentide kohta teabe jagamine ning intsidentidest riigi pädevatele asutustele või ühtsetele kontaktpunktidele teatamise nõude järgimine võib eeldada isikuandmete töötlemist. Selline isikuandmete töötlemine on vajalik käesoleva direktiivi eesmärgiks oleva üldiste huvide järgimise jaoks ja on seega õiguspärane vastavalt direktiivi 95/46/EÜ artiklile 7. Nimetatud õiguspärast eesmärki arvestades ei ole tegemist ebaproportsionaalse ega talumatu sekkumisega, mis kahjustaks olemuslikult Euroopa Liidu põhiõiguste harta artikliga 8 tagatud õigust isikuandmete kaitsele. Käesoleva direktiivi kohaldamisel tuleks vajaduse korral kohaldada Euroopa Parlamendi ja nõukogu määrust (EÜ) nr 1049/2001 (12). Kui ELi institutsioonid ja organid töötlevad käesoleva direktiivi kohaldamisel andmeid, peaks see toimuma kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EÜ) nr 45/2001. [ME 38]

(40)

Kuna liikmesriigid üksi ei suuda piisavalt saavutada käesoleva direktiivi eesmärke, st võrgu- ja infoturbe kõrge taseme tagamist ELis, ning tegevuse mõju tõttu on seda parem teha liidu tasandil, võib liit võtta meetmeid kooskõlas Euroopa Liidu lepingu artiklis 5 sätestatud subsidiaarsuse põhimõttega. Kooskõlas nimetatud artiklis sätestatud proportsionaalsuse põhimõttega ei lähe käesolev direktiiv nimetatud eesmärkide saavutamiseks vajalikust kaugemale.

(41)

Käesolevas direktiivis järgitakse Euroopa Liidu põhiõiguste harta põhiõigusi ja põhimõtteid, eelkõige õigust eraelu ja edastatavate sõnumite puutumatusele, isikuandmete kaitset, ettevõtlusvabadust ning õigust tõhusale õiguskaitsevahendile kohtus ja õiglasele kohtulikule arutamisele. Käesolevat direktiivi tuleb rakendada kooskõlas nende õiguste ja põhimõtetega.

(41a)

Kooskõlas liikmesriikide ja komisjoni 28. septembri 2011. aasta ühise poliitilise deklaratsiooniga selgitavate dokumentide kohta kohustuvad liikmesriigid lisama põhjendatud juhtudel ülevõtmismeetmeid käsitlevale teatele ühe või mitu dokumenti, milles selgitatakse seost direktiivi komponentide ja ülevõtvate siseriiklike õigusaktide vastavate osade vahel. Käesoleva direktiivi puhul leiab seadusandja, et kõnealuste dokumentide edastamine on põhjendatud. [ME 39]

(41b)

Euroopa andmekaitseinspektoriga konsulteeriti kooskõlas määruse (EÜ) nr 45/2001 artikli 28 lõikega 2 ning ta esitas arvamuse (13)14. juunil 2013,

a)

sätestatakse kõigile liikmesriikidele kohustused seoses võrke ja infosüsteeme mõjutavate riskide ja intsidentide vältimise ja käsitlemise ning neile reageerimisega;

b)

luuakse liikmesriikidevahelise koostöö mehhanism, et tagada käesoleva direktiivi ühetaoline kohaldamine ELis ning vajaduse korral võrke ja infosüsteeme mõjutavate riskide ja intsidentide koordineeritud, tõhus ja tulemuslik käsitlemine ja neile reageerimine asjakohaste sidusrühmade osalusel ; [ME 40]

c)

kehtestatakse operaatoritele ja haldusasutustele turvanõuded. [ME 41]

(1)

„võrk ja infosüsteem“ –

(2)

„turvalisus“ – võrgu ja infosüsteemi võime panna teatava kindlusega vastu õnnetusele või pahatahtlikule tegevusele, mis seab ohtu salvestatud või edastatud andmete või selle võrgu ja infosüsteemi kaudu pakutavate või nende kaudu juurdepääsetavate teenuste käideldavuse, autentsuse, tervikluse ja konfidentsiaalsuse; turvalisus hõlmab nõuetekohaseid tehnilisi seadmeid, lahendusi ja töökorda, mis tagavad käesolevas direktiivis sätestatud turvanõuded; [ME 46]

(3)

„risk“ – mõistlikult tuvastatav asjaolu või sündmus, mis võib kahjustada turvalisust; [ME 47]

(4)

„intsident“ – asjaolu või sündmus, mis tegelikult kahjustab turvalisust; [ME 48]

(5)

„infoühiskonna teenus“ – teenus direktiivi 98/34/EÜ artikli 1 punkti 2 tähenduses; [ME 49]

(6)

„võrgu- ja infoturbe koostöökava“ – kava, millega luuakse organisatsiooniliste ülesannete, vastutuse ja protseduuride raamistik, et säilitada või taastada võrkude ja infosüsteemide töö neid mõjutava ohu või intsidendi korral;

(7)

„intsidentide käsitlemine“ – intsidendi avastamist, ennetamist, analüüsimist ja ohjeldamist ning intsidendile reageerimist toetavad protseduurid; [ME 50]

(8)

„operaator“ –

(8a)

„olulise mõjuga intsident“ – infovõrgu või -süsteemi turvalisust ja pidevust kahjustav intsident, mis toob kaasa majanduse ja ühiskonna jaoks hädavajalike funktsioonide olulise katkestuse; [ME 53]

(9)

„standard“ – määruses (EL) nr 1025/2012 osutatud standard;

(10)

„spetsifikatsioon“ – määruses (EL) nr 1025/2012 osutatud spetsifikatsioon;

(11)

„usaldusteenuse pakkuja“ – füüsiline või juriidiline isik, kes pakub elektroonilist teenust, mis seisneb e-allkirjade, e-templite, e-ajatemplite, e-dokumentide, e-andmevahetusteenuste, veebisaitide autentimise ja e-tõendite, sealhulgas e-allkirja ja e-templi jaoks vajalike sertifikaatide loomises, kontrollimises, valideerimises, käsitlemises ja säilitamises.

(11a)

„reguleeritud turg“ – reguleeritud turg, nagu see on määratletud Euroopa Parlamendi ja nõukogu direktiivi 2004/39/EÜ artikli 4 punktis 14  (17) ; [ME 54]

(11b)

„mitmepoolne kauplemissüsteem“ – mitmepoolne kauplemissüsteem, nagu see on määratletud direktiivi 2004/39/EÜ artikli 4 punktis 15; [ME 55]

(11c)

„organiseeritud kauplemissüsteem“ – mitmepoolne süsteem, mis pole reguleeritud turg, mitmepoolne kauplemissüsteem või keskne osapool, kelle tegevust korraldab investeerimisettevõte või turu korraldaja, kus osakuid võlakirjades, struktureeritud finantstoodetes, lubatud heitkoguse ühikutes või tuletisinstrumentides ostev ja müüv kolmas osapool saab süsteemis suhelda viisil, mis viib lepingu sõlmimiseni kooskõlas direktiivi 2004/39/EÜ II jaotise sätetega. [ME 56]

a)

strateegia eesmärkide ja prioriteetide määratlus, lähtudes ajakohasest riski- ja intsidendianalüüsist;

b)

juhtimisraamistik, mille toel strateegia eesmärgid ja prioriteedid ellu viia; see hõlmab valitsusasutuste ja muude asjaosaliste ülesannete ja vastutuse selget määratlust;

c)

valmisoleku, reageerimise ja taaste üldmeetmete, kaasa arvatud avaliku ja erasektori koostöö mehhanismide kindlaksmääramine;

d)

teadlikkuse suurendamise ning haridus- ja koolitusprogrammide kirjeldus;

e)

teadus- ja arendustegevuse kavad ja kirjeldus selle kohta, kuidas neis kavades kajastuvad määratletud prioriteedid.

ea)

liikmesriigid võivad paluda ENISA abi oma riiklike võrgu- ja infoturbe strateegiate ja riiklike võrgu- ja infoturbe koostöökavade väljatöötamisel, tuginedes ühisele minimaalsele võrgu- ja infoturbe strateegiale ja koosköökavale. [ME 57]

a)

riski hindamise kava riskihalduse raamistik , et teha kindlaks riskid ja hinnata luua metoodika riskide kindlakstegemiseks, prioriseerimiseks, hindamiseks ja käsitlemiseks, võimalike intsidentide mõju hindamine, ennetus- ja kontrollivõimalused ning võimalike vastumeetmete valiku kriteeriumid ; [ME 58]

b)

kava raamistiku rakendamises osalevate asutuste ja muude isikute ülesannete ja vastutuse määratlus; [ME 59]

c)

vältimise, avastamise, reageerimise, parandamise ja taaste tagamiseks vajalike ja vastavalt hoiatustasemetele kohandatud koostöö- ja teavitusprotsesside määratlus;

d)

võrgu- ja infoturbe õppuste ja koolituste plaan, mille põhjal kava kinnistada, valideerida ja katsetada. Omandatud kogemused tuleb dokumenteerida ja kava ajakohastamisel neid arvesse võtta.

a)

levitavad varajasi hoiatusi riskide ja intsidentide kohta vastavalt artiklile 10;

b)

tagavad koordineeritud reageerimise vastavalt artiklile 11;

c)

avaldavad ühisel veebisaidil korrapäraselt mittekonfidentsiaalset teavet töös olevate varajaste hoiatuste ja koordineeritud reageerimise kohta;

d)

arutavad ja hindavad ühe liikmesriigi või komisjoni taotlusel ühiselt üht või mitut artiklis 5 osutatud riiklikku võrgu- ja infoturbe strateegiat või riiklikku võrgu- ja infoturbe koostöökava käesoleva direktiivi reguleerimisala piires;

e)

arutavad ja hindavad liikmesriigi või komisjoni taotlusel ühiselt CERTide töö tulemuslikkust, eelkõige juhul, kui ELi tasandil toimuvad võrgu- ja infoturbe õppused;

f)

teevad koostööd ja vahetavad infot oskusteavet asjakohastel teemadel võrgu- ja infoturbe kohta, eelkõige andmekaitse, energeetika, transpordi, panganduse, finantsturgude ja tervishoiu vallas Europoli juures tegutseva küberkuritegevuse vastase võitluse Euroopa keskuse ja muude asjaomaste Euroopa asutustega kõigil väärtpaberitega kauplemise;

fa)

vajaduse korral teavitavad ELi terrorismivastase võitluse koordinaatorit aruannete abil ning võivad paluda abi koostöövõrgustiku ettevalmistamise ja tegevuse analüüsimisel;

g)

vahetavad omavahel ja komisjoniga infot ja parimaid tavasid ning aitavad üksteist võrgu- ja infoturbe alase suutlikkuse loomisel;

h)

korraldavad vastastikku suutlikkuse ja valmisoleku eksperdihindamisi;

i)

korraldavad ELi tasandil võrgu- ja infoturbe õppusi ja osalevad vastavalt vajadusele rahvusvahelistel võrgu- ja infoturbe õppustel;

ia)

on kaasatud ja konsulteerivad operaatoritega nende võrku ja infosüsteeme kahjustavate ohtude ja intsidentide küsimuses ning vajaduse korral vahetavad selleteemalist teavet;

ib)

töötavad koostöös ENISAga lisaks artikli 14 lõikes 2 sätestatud parameetritele välja sektoripõhiste kriteeriumide suunised olulistest intsidentidest teatamiseks, et saavutada nende ühine tõlgendamine, järjepidev kohaldamine ja sidus rakendamine liidus [ME 78]

a)

turvalise ja vastupidava ning koostöövõrgu turvalise taristuga koosolu- ja koostalitlusvõimelise side- ja infotaristu käideldavus riigi tasandil vastavalt artikli 7 lõikele 3 ning

b)

piisavate tehniliste, rahaliste ja inimressursside ning protsesside olemasolu pädevas asutuses ja CERTis, mis võimaldaks tulemuslikku, tõhusat ja turvalist osalust turvalises infojagamissüsteemis vastavalt artikli 6 lõikele 3 ning artikli 7 lõigetele 2 ja 3. [ME 82]

a)

nende ulatus kasvab või võib kasvada kiiresti;

b)

need ületavad või võivad ühtne kontaktpunkt annab hinnangu, et risk või intsident võib ületada riigi reageerimissuulikkuse reageerimissuutlikkust ;

c)

need mõjutavad või võivad mõjutada ühtsete kontaktpunktide või komisjoni hinnangul mõjutab risk või intsident rohkem kui üht liikmesriiki. [ME 84]

a)

artikli 10 kohaldamiseks:

b)

artikli 11 kohase koordineeritud reageerimise protsessid, kaasa arvatud ülesannete, vastutuse ja koostööprotseduuride kindlaksmääramine;

c)

võrgu- ja infoturbe õppuste ja koolituste plaan, mille põhjal kava kinnistada, valideerida ja katsetada;

d)

liikmesriikide vahelise teadmussiirde programm suutlikkuse suurendamiseks ja vastastikuseks õppimiseks;

e)

liikmesriikidevaheline teadlikkuse suurendamise ja koolitusprogramm.

a)

nende kasutajate arv, kelle põhiteenust mõjutatakse; [ME 98]

b)

intsidendi kestus; [ME 99]

c)

intsidendist mõjutatud geograafilise ala ulatus. [ME 100]

a)

esitaksid oma võrkude ja infosüsteemide turvalisuse hindamiseks vajalikud andmed, sealhulgas dokumenteeritud turvapõhimõtted;

b)

laseksid tõendaksid turvapõhimõtete rakendamise tulemuslikkust, näiteks kvalifitseeritud sõltumatul asutusel või riigiasutusel teha sõltumatu asutuse või riigiasutuse tehtava turvaauditi tulemuste abil, ja avaldaksid selle tulemused tõendid pädevale asutusele või ühtsele kontaktpunktile . [ME 113]

a)

on vastavalt vajadusele kas pädevatel asutustel või ühtsetel kontaktpunktidel volitused esitada operaatoritele asjakohaselt konkreetne taotlus, milles nõutakse, et nad tõendaksid turvapõhimõtete rakendamise tulemuslikkust, näiteks kvalifitseeritud siseaudiitori tehtava turvaauditi tulemuste abil, ja avaldaksid tõendid pädevale asutusele või ühtsele kontaktpunktile;

b)

võib pädev asutus või ühtne kontaktpunkt pärast seda, kui operaator on esitanud punktis a osutatud taotluse, nõuda vajaduse korral lisatõendeid või et kvalifitseeritud sõltumatu asutus või riigiasutus teeks lisaauditi.