(1)

Mrežni i informacijski sustavi i usluge imaju ključnu ulogu u društvu. Njihova pouzdanost i sigurnost ključne su za slobodu i opću sigurnost građana Unije kao i za gospodarske aktivnosti i društvenu dobrobit, a posebno za funkcioniranje unutarnjeg tržišta. [Am. 1]

(2)

Razmjer , učestalost i učestalost namjernih ili slučajnih utjecaj sigurnosnih incidenata sve su veći i predstavljaju veliku prijetnju funkcioniranju mreža i informacijskih sustava. Ti sustavi također mogu postati lake mete za namjerne štetne radnje čiji je cilj nanijeti štetu ili prekinuti rad sustava. Takvi incidenti mogu ugroziti izvršavanje gospodarskih aktivnosti, generirati znatne financijske gubitke, narušiti povjerenje korisnika i ulagača i nanijeti veliku štetu gospodarstvu Unije te, konačno, ugroziti dobrobit građana Unije i sposobnost država članica da se zaštite i osiguraju sigurnost kritičnih infrastruktura . [Am. 2]

(3)

Kao instrument komunikacije bez granica, digitalni informacijski sustavi, a ponajprije internet, igraju ključnu ulogu u pojednostavljivanju prekograničnog kretanja roba, usluga i ljudi. S obzirom na takvu transnacionalnu prirodu sustava, prekid u njihovu radu u jednoj državi članici može utjecati i na druge države članice te na EU u cjelini. Stoga su otpornost i stabilnost mrežnih i informacijskih sustava ključne za neometano funkcioniranje unutarnjeg tržišta.

(3.a)

Budući da su češći uzroci kvarova sustava i dalje nehotični kao što su prirodni uzroci ili ljudske pogreške, infrastruktura bi trebala biti otporna na hotimične i nehotimične poremećaje, a operateri kritičnih infrastruktura trebali bi osmisliti sustave temeljene na otpornosti. [Am. 3]

(4)

Potrebno je uspostaviti mehanizam suradnje na razini Unije da bi se omogućila razmjena informacija i koordinirano koordinirana prevencija, otkrivanje te odgovor u vezi sa sigurnosti mreža i podataka („NIS”). Da bi taj mehanizam bio djelotvoran i uključiv nužno je da sve države članice imaju minimalne mogućnosti i strategiju koje bi osigurale visoku razinu NIS-a na njihovu teritoriju. Minimalni sigurnosni uvjeti trebaju se također odnositi i na javne uprave i barem na određene tržišne operatere kritičnih informacijskih infrastruktura informacijske infrastrukture kako bi se promicala kultura upravljanja rizikom i osiguralo prijavljivanje najozbiljnijih incidenata. Društva koja kotiraju na burzi trebalo bi poticati da na dobrovoljnoj bazi u svojim financijskim izvještajima objavljuju incidente. Pravni okvir trebao bi se temeljiti na potrebi zaštite privatnosti i integriteta građana. Informacijska mreža za uzbunjivanje u vezi s kritičnom infrastrukturom (CIWIN) trebala bi se proširiti na tržišne operatere obuhvaćene ovom Direktivom. [Am. 4]

(4.a)

Dok bi javne uprave, zbog svoje javne misije, trebale marljivo upravljati vlastitim mrežnim i informacijskim sustavima te ih štititi, ova Direktiva trebala bi se usredotočiti na ključnu infrastrukturu koja je nužna za upravljanje vitalnim gospodarskim i društvenim aktivnostima u područjima energije, prometa, bankarstva, infrastruktura financijskog tržišta i zdravstva. Programeri i proizvođači strojne opreme trebali bi biti isključeni iz područja primjene ove Direktive. [Am. 5]

(4.b)

Trebale bi se jamčiti suradnja i koordinacija relevantnih tijela Unije s Visokom predstavnicom/potpredsjednicom nadležnom za zajedničku vanjsku i sigurnosnu politiku kao i s koordinatorom EU-a za borbu protiv terorizma u slučajevima u kojima se incidente koji imaju znatan učinak doživljava kao vanjsku ili terorističku prijetnju. [Am. 6]

(5)

Da bi se pokrili svi relevantni incidenti i rizici, ova se Direktiva treba primijeniti na sve mrežne i informacijske sustave. Obveze za javne uprave i tržišne subjekte ne trebaju se, međutim, odnositi na tvrtke koje pružaju javne komunikacijske mreže ili javno dostupne elektroničke komunikacijske usluge, kako je određeno Direktivom 2002/21/EZ Europskog parlamenta i Vijeća (3), koje podliježu posebnim zahtjevima sigurnosti i cjelovitosti kako je opisano u članku 13.a te Direktive, niti bi se trebale primjenjivati na davatelje usluga skrbništva.

(6)

Postojeće mogućnosti nisu dovoljne za osiguranje visoke razine NIS-a unutar Unije. Države članice imaju vrlo različite razine pripravnosti, što vodi do rascjepkanih pristupa širom Unije. Ovo vodi do nejednake razine zaštite potrošača i poslovanja te narušava ukupnu razinu NIS-a unutar Unije. Pomanjkanje Nedostatak zajedničkih minimalnih uvjeta za javne uprave i, s druge strane, u odnosu na tržišne subjekte onemogućuje operatere onemogućava uspostavu globalnog i djelotvornog učinkovitog mehanizma za suradnju suradnje na razini Unije. Sveučilišta i istraživački centri imaju odlučujuću ulogu u poticanju istraživanja, razvoja i inovacije u tim područjima i trebalo bi im se omogućiti odgovarajuće financiranje. [Am. 7]

(7)

Stoga je za djelotvoran odgovor na sigurnosne izazove mrežnih i informacijskih sustava potreban globalni pristup na razini Unije koji će obuhvatiti minimalne uvjete za izgradnju kapaciteta i planiranje, razvoj dostatnih vještina na području kibernetičke sigurnosti, razmjenu informacija i koordinaciju aktivnosti te zajedničke minimalne sigurnosne uvjete za sve uključene tržišne subjekte i javne uprave. . Minimalni zajednički standardi trebali bi se primjenjivati u skladu s odgovarajućim preporukama Koordinacijskih skupina za kibernetičku sigurnost (CSGC) . [Am. 8]

(8)

Odredbe iz ove Direktive ne bi trebale dovoditi u pitanje mogućnost za svaku državu članicu da poduzme potrebne mjere za osiguranje zaštite svojih ključnih sigurnosnih interesa, zaštitu javne politike i javne sigurnosti te da dopusti istragu, otkrivanje i kažnjavanje kaznenih djela. U skladu s člankom 346. TFEU-a Ugovora o funkcioniranju Europske unije (UFEU) nijedna država članica nije obvezna davati podatke čije se otkrivanje smatra suprotnim temeljnim interesima njezine sigurnosti. Niti jedna država članica nije obvezna dati povjerljive podatke EU-a u skladu s Odlukom Vijeća 2011/292/EU  (4) , podatke na koje se primjenjuju ugovori o poslovnoj tajni ili neformalni ugovori o poslovnoj tajni, kao što je Protokol o semaforu. [Am. 9]

(9)

Da bi se postigla i održavala zajednička visoka razina sigurnosti mrežnih i informacijskih sustava, svaka država članica treba imati nacionalnu strategiju za NIS koja će definirati strateške ciljeve i provedbu konkretnih političkih akcija. Planove suradnje za NIS usklađene s ključnim uvjetima potrebno je razviti na državnoj nacionalnoj razini, na temelju minimalnih zahtjeva određenih u ovoj Direktivi, kako bi se dostigli kapaciteti za reakciju dovoljni za djelotvornu i učinkovitu suradnju na nacionalnoj razini države i na razini Unije u slučaju incidenata , poštujući i štiteći privatnost i osobne podatke . Svaka država članica trebala bi stoga imati obvezu poštovanja zajedničkih standarda u vezi s oblikom podataka i mogućnosti razmjene podataka koji se dijele i vrednuju. Države članice trebale bi biti u mogućnosti tražiti pomoć od Europske agencije za sigurnost mreža i podataka (ENISA) za razvoj vlastitih nacionalnih strategija u vezi s NIS-om, temeljenih na zajedničkom minimalnom strateškom nacrtu za NIS. [Am. 10].

(10)

Da bi se omogućila djelotvorna provedba usvojenih odredaba prema ovoj Direktivi, u svakoj državi članici se treba uspostaviti ili utvrditi nadležno tijelo za koordinaciju pitanja NIS-a koje će djelovati kao središte prekogranične suradnje na razini Unije. Tim bi tijelima trebalo pružiti odgovarajuće tehničke, financijske i ljudske resurse kako bi im se omogućilo djelotvorno i učinkovito izvršavanje dodijeljenih im zadataka te time postizanje ciljeva ove Direktive.

(10.a)

U svjetlu razlika u postojećem državnom ustrojstvu i radi zaštite prethodno postojećih sektorskih rješenja ili nadzornih i regulatornih tijela Unije te izbjegavanja udvostručavanja, države članice trebale bi moći odrediti više od jednog nacionalnog tijela nadležnog za ispunjavanje zadaća povezanih sa sigurnošću mrežnih i informacijskih sustava tržišnih operatera u okviru ove Direktive. Međutim, kako bi se osigurala nesmetana prekogranična suradnja i komunikacija, nužno je da svaka država članica, ne dovodeći u pitanje sektorska regulatorna rješenja, odredi samo jednu nacionalnu jedinstvenu kontaktnu točku nadležnu za prekograničnu suradnju na razini Unije. Ako to zahtjeva ustavno ustrojstvo ili druga rješenja, država članica trebala bi moći odrediti samo jedno tijelo za provedbu zadaća nadležnog tijela i jedinstvene kontaktne točke. Nadležna tijela i jedinstvene kontaktne točke trebaju biti civilna tijela, podložna potpunom demokratskom nadzoru i ne bi trebali ispunjavati nikakve zadatke u području obavještajnog rada, provedbe zakona ili obrane ili na bilo koji način biti organizacijski povezani s tijelima aktivnima u tim područjima. [Am. 11]

(11)

Sve bi države članice trebale i tržišni operateri trebali biti odgovarajuće opremljene, opremljeni i u smislu tehničkih i organizacijskih mogućnosti, za sprečavanje, otkrivanje, odgovor i ublažavanje incidenata i rizika u mrežnim i informacijskim sustavima u svakom trenutku . Sigurnosni sustavi javnih uprava trebali bi biti sigurni i podložni demokratskom nadzoru i kontroli. Oprema koja je obično potrebna i kapaciteti trebali bi biti u skladu sa zajednički dogovorenim tehničkim standardima kao i sa standardnim operativnim postupcima (SOP). Stoga je u svim državama članicama potrebno sastaviti timove za hitne računalne intervencije (CERT-ovi) koji dobro funkcioniraju i koji su usklađeni s ključnim uvjetima, što će jamčiti djelotvorne i kompatibilne resurse za rješavanje incidenata i rizika te osigurati učinkovitu suradnju na razini Unije. Ti CERT-ovi trebali bi surađivati na temelju zajedničkih tehničkih standarda i SOP-a. U svjetlu različitih svojstava postojećih CERT-ova, koji odgovaraju potrebama različitih subjekata i dionika, države članice trebale bi osigurati da barem jedan CERT pruža usluge svakom od sektora navedenih u popisu tržišnih operatera utvrđenom u ovoj Direktivi. S obzirom na prekograničnu suradnju CERT-a, države članice trebale bi osigurati da CERT-ovi imaju dovoljno sredstava za sudjelovanje u postojećim i već uspostavljenim međunarodnim mrežama suradnje i mrežama suradnje u Uniji. [Am. 12]

(12)

Na temelju značajnog znatnog napretka unutar Europskog foruma država članica („EFMS”) u poticanju rasprava i razmjena dobrih političkih praksi, uključujući razvoj načela za europsku suradnju za kibernetičku krizu, države članice i Komisija trebaju zasnovati mrežu za trajnu komunikaciju i potporu međusobnoj suradnji. Ovaj sigurni i učinkoviti djelotvorni mehanizam Tim sigurnim i učinkovitim mehanizmom, uključujući, prema potrebi, sudjelovanjem tržišnih operatera, treba omogućiti strukturiranu i koordiniranu razmjenu informacija, otkrivanje i odgovor na razini Unije. [Am. 13]

(13)

Europska agencija za sigurnost mreža i podataka („ENISA”) treba pomoći državama članicama i Komisiji pružanjem stručnog znanja i savjetovanjem te omogućivanjem razmjene najboljih praksi. Posebice u primjeni ove Direktive, Komisija i države članice trebaju se treba savjetovati s ENISA-om. Da bi se osiguralo učinkovito i pravodobno informiranje država članica i Komisije , rana upozorenja na incidente i rizike trebaju se izdavati unutar mreže suradnje. Za izgradnju kapaciteta i znanja među državama članicama mreža suradnje također treba služiti kao instrument za razmjenu najboljih praksi, pomoć članovima u izgradnji kapaciteta, vođenje organizacije stručnih recenzija recenzija i vježbi za NIS. [Am. 14]

(13.a)

Prema potrebi, države članice trebale bi moći koristiti ili prilagoditi postojeće organizacijske strukture ili strategije prilikom primjene odredbi ove Direktive. [Am. 15]

(14)

Potrebno je izgraditi sigurnu infrastrukturu za dijeljenje informacija kako bi se omogućila razmjena osjetljivih i povjerljivih podataka unutar mreže suradnje. Postojeće strukture unutar Unije trebale bi se u potpunosti koristiti u te svrhe. Ne dovodeći u pitanje njihovu obvezu prijave incidenata i rizika na razini Unije mreži suradnje, pristup povjerljivim podacima ostalih država članica treba se odobriti državama članicama samo ako dokažu da njihovi tehnički, financijski i ljudski resursi i postupci, kao i komunikacijska infrastruktura, jamče njihovo djelotvorno, učinkovito i sigurno sudjelovanje u mreži , koristeći transparentne metode . [Am. 16]

(15)

Budući da većinom mrežnih i informacijskih sustava upravljaju privatne tvrtke, suradnja javnog i privatnog sektora od ključne je važnosti. Tržišne subjekte operatere treba poticati da slijede vlastite neformalne mehanizme suradnje za osiguranje NIS-a. Oni također trebaju surađivati s javnim sektorom i međusobno dijeliti informacije i najbolje prakse , uključujući uzajamnu razmjenu relevantnih informacija i operativne potpore te strateški analiziranih informacija u zamjenu za operativnu potporu u slučaju incidenata. Kako bi se učinkovito poticalo dijeljenje informacija i najboljih praksi, ključno je osigurati da tržišni operateri koji sudjeluju u takvom dijeljenju ne dođu u nepovoljan položaj zbog suradnje. Potrebne su odgovarajuće zaštitne mjere kako bi se osiguralo da takva suradnja ne izlaže te operatere većem riziku koji proizlazi iz nepoštovanja odredaba ili novim obvezama iz, između ostalog, zakona o tržišnom natjecanju, intelektualnom vlasništvu, zaštiti podataka ili kibernetičkom kriminalu niti ih izložiti povećanim operativnim ili sigurnosnim rizicima. [Am. 17]

(16)

Da bi se osigurala transparentnost te ispravno informirali građani EU-a Unije i tržišni subjekti, nadležna tijela operateri, jedinstvene kontaktne točke trebaju postaviti uspostaviti zajedničku internetsku lokaciju stranicu za cijelu Uniju za objavu informacija o incidentima , rizicima i rizicima koje nisu povjerljive. načinima ublažavanja rizika i prema potrebi savjeta o odgovarajućim mjerama održavanja . Informacije na internetskoj stranici trebale bi biti dostupne neovisno o uređaju koji se koristi. Svi osobni podaci objavljeni na toj internetskoj stranici trebali bi biti ograničeni samo na ono što je nužno i trebali bi biti u što većoj mjeri anonimni. [Am. 18]

(17)

Ako se informacija smatra povjerljivom u skladu s Unijinim i nacionalnim pravilima o poslovnoj tajni, tajnost se osigurava pri provedbi aktivnosti i ispunjavanju ciljeva postavljenih ovom Direktivom.

(18)

Na temelju iskustava u upravljanju rizikom posebno na državnoj nacionalnoj razini i u suradnji s ENISA-om, Komisija i države članice trebaju razviti plan suradnje za NIS koji će definirati mehanizme suradnje , najbolje prakse i načine djelovanja za sprječavanje, otkrivanje, prijavu i suzbijanje rizika i incidenata. Taj se plan treba uzeti u obzir pri ranim upozorenjima unutar mreže suradnje. [Am. 19]

(19)

Objava ranog upozorenja unutar mreže trebala bi biti potrebna samo u slučaju da opseg i ozbiljnost predmetnog incidenta ili rizika jesu ili bi mogli postati toliko značajni da je nužno informiranje ili koordinacija odgovora na razini Unije. Stoga se Rana upozorenja trebaju ograničiti na stvarne ili potencijalne bi stoga trebala biti ograničena na incidente ili rizike koji rastu velikom brzinom se brzo šire , prelaze kapacitete nacionalnu sposobnost odgovora na državnoj razini ili utječu na više od jedne države članice. Da bi se omogućila ispravna procjena, potrebno je dostaviti sve podatke potrebne za procjenu rizika ili bi se incident trebao priopćiti mreži suradnje. [Am. 20]

(20)

Nakon primitka Po primitku ranog upozorenja i njegove procjene, nadležna tijela trebaju ocjene, jedinstvene kontaktne točke moraju se dogovoriti koordinirani odgovor prema EU-ovu planu suradnje za NIS. Nadležna tijela, kao oko koordiniranog odgovora u okviru plana Unije o suradnji na području NIS-a. Jedinstvene kontaktne točke, ENISA i Komisija, trebaju biti informirana informirane o mjerama usvojenima na državnoj nacionalnoj razini, kao i o rezultatu koordiniranog odgovora. [Am. 21]

(21)

S obzirom na globalnu prirodu problema povezanih s NIS-om, postoji potreba za bliskijom međunarodnom suradnjom radi unapređenja sigurnosnih standarda i razmjene podataka te za promicanjem zajedničkog globalnog pristupa pitanjima NIS-a. Na okvir za takvu međunarodnu suradnju moraju se primjenjivati Direktiva 95/46/EZ Europskog parlamenta i Vijeća  (5) i Uredba (EZ) br. 45/2001. Europskog parlamenta i Vijeća  (6) [Am. 22]

(22)

Odgovornost Za osiguranje NIS-a uvelike leži na javnim upravama i tržišnim subjektima. NSI-a u velikoj su mjeri odgovorni tržišni operateri . Kultura upravljanja rizikom, uključujući bliske suradnje i povjerenja, koja uključuje procjenu rizika i provedbu sigurnosnih mjera primjerenih suočenom riziku, rizicima i incidentima , bilo da su namjerni ili slučajni, treba se promicati i razvijati prikladnim regulatornim zahtjevima i dobrovoljnim praksama u toj industriji. Postavljanje pouzdanih jednakih uvjeta za sve također je ključno za učinkovito funkcioniranje mreže suradnje za osiguranje djelotvorne suradnje svih država članica. [Am. 23]

(23)

Direktiva 2002/21/EZ uvjetuje da tvrtke koje pružaju javne elektroničke komunikacijske mreže ili javno dostupne elektroničke komunikacijske usluge poduzmu odgovarajuće mjere za očuvanje svojeg integriteta i sigurnosti te uvodi uvjete za prijave kršenja sigurnosti i gubitka integriteta. Direktiva 2002/58/EZ Europskog parlamenta i Vijeća (7) uvjetuje davateljima javno dostupnih elektroničkih komunikacijkih usluga da poduzmu odgovarajuće tehničke i organizacijske mjere za zaštitu sigurnosti svojih usluga.

(24)

Ove se obveze trebaju proširiti izvan sektora elektroničkih komunikacija na operatere infrastrukture koji se u velikoj mjeri oslanjaju na informacijsku i komunikacijsku tehnologiju i od ključne davatelje su važnosti za održavanje vitalnih gospodarskih ili društvenih usluga kao što su električna energija i plin, prijevoz, kreditne institucije, infrastrukture financijskog tržišta i zdravstvo. Prekid u radu ovih mrežnih i informacijskih sustava naštetio bi unutarnjem tržištu. Dok se obveze određene u ovoj Direktivi ne bi trebale proširiti na ključne pružatelje usluga informacijskog društva, kako je definirano u Direktivi 98/34/EZ Europskog parlamenta i Vijeća (8), koje podupiru silazne usluge informacijskog društva ili internetskih aktivnosti, kao što su platforma za e-trgovinu, pristupnici za internetsko plaćanje, društvene mreže, tražilice, općenito usluge računarstva u oblaku ili trgovine aplikacija. Prekid u radu tih operatera koji omogućuju usluge informacijskog društva sprečava opskrbu drugih usluga informacijskog društva koje ovise o njima kao ključnim izvorima ulaznih podataka. Programski inženjeri i proizvođači hardvera nisu davatelji usluga informacijskog društva te stoga nisu uključeni u ove odredbe. Ove se obveze također trebaju proširiti na javne uprave i operatere kritične infrastrukture koji u velikoj mjeri ovise o informacijskoj i komunikacijskoj tehnologiji te su ključni za održavanje vitalnih gospodarskih i društvenih funkcija kao što su električna energija i plin, prijevoz, kreditne institucije, burza i zdravstvo. Prekid u radu ovih mrežnih i informacijskih sustava naštetio bi unutarnjem tržištu. , ti pružatelji usluga mogu, dobrovoljno, obavijestiti nadležno tijelo ili jedinstvenu kontaktnu točku o onim mrežnim sigurnosnim incidentima koje smatraju prikladnim . Nadležno tijelo ili jedinstvena kontaktna točka trebali bi, ako je moguće, pružiti tržišnim operaterima koji su je obavijestili o incidentu strateški analiziranu informaciju koja će pomoći u prevladavanju sigurnosne prijetnje. [Am. 24]

(24.a)

Iako pružatelji strojne opreme i programske podrške nisu tržišni operateri usporedivi s onima koje obuhvaća ova Direktiva, njihovi proizvodi olakšavaju sigurnost mreže i informacijskih sustava. Oni stoga imaju važnu ulogu u omogućavanju tržišnim operaterima da osiguraju svoje mreže i informacijske infrastrukture. S obzirom da proizvodi povezani sa strojnom opremom i programskom podrškom već podliježu postojećim zakonima o odgovornosti za proizvode, države članice trebale bi osigurati da se ti zakoni provode. [Am. 25]

(25)

Tehničke i organizacijske mjere nametnute javnim upravama određene tržišnim operaterima ne bi smjele zahtijevati da određeni komercijalni proizvod za informacijsku i komunikacijsku tehnologiju bude projektiran, razvijen ili proizveden na određeni način [Am. 26]

(26)

Javne uprave i Tržišni operateri moraju osigurati sigurnost mreža i sustava koji su pod svojim nadzorom njihovom kontrolom . To su ponajprije privatne mreže i sustavi kojima upravljaju njihovi vlastiti zaposlenici u IT-u ili vanjski zaposlenici pružatelji usluga koji se brinu o sigurnosti. Obveze za vezane uz sigurnost i obavijesti primjenjuju se na relevantne tržišne subjekte i javne uprave operatere bez obzira obavljaju li održavanje mreže i informacijskih sustava interno ili pomoću vanjskih pružatelja usluga. [Am. 27]

(27)

Da bi se izbjeglo nesrazmjerno financijsko i administrativno terećenje malih subjekata i korisnika, obveze trebaju biti razmjerne riziku kojemu je izložen predmetni mrežni ili informacijski sustav, uzimajući u obzir suvremenost takvih mjera. Ove obveze neće se primjenjivati na mikropoduzeća.

(28)

Nadležna tijela i jedinstvene kontaktne točke trebaju obratiti pozornost na očuvanje neformalnih i pouzdanih kanala za dijeljenje informacija između tržišnih subjekata operatera i između javnog i privatnog sektora. Objava Nadležna tijela i jedinstvene kontaktne točke trebale bi obavijestiti proizvođače i pružatelje usluga pogođenih proizvoda i usluga informacijskih i komunikacijskih tehnologija o incidentima o kojima su obaviješteni, a koji imaju znatan učinak. Prije objave incidenata prijavljenih stručnim koji su prijavljeni nadležnim tijelima treba primjereno uravnotežiti i jedinstvenim kontaktnim točkama potrebno je izvagati interes javnosti da informiranje bude informirana o mogućim prijetnjama s mogućom štetom po i moguću štetu za ugled ili komercijalnu vrijednost javnih uprava i tržišnih subjekata i komercijalne štete za tržišne operatere koji prijavljuju incidente. U provedbi obveza obavješćivanja stručna nadležna tijela i jedinstvene kontaktne točke posebno trebaju obratiti pozornost na potrebu da se podaci o ranjivosti proizvoda čuvaju u strogoj tajnosti prije objave primjene odgovarajućih sigurnosnih popravaka. Općenito je pravilo da jedinstvene kontaktne točke ne bi smjele otkrivati osobne podatke pojedinaca uključenih u incidente. Jedinstvene kontaktne točke trebale bi otkrivati samo osobne podatke ako je otkrivanje takvih podataka nužno i proporcionalnu u svjetlu cilja koji se nastoji ostvariti. [Am. 28]

(29)

Stručna nadležna tijela trebaju raspolagati nužnim sredstvima za obavljanje svojih dužnosti, uključujući ovlasti za dobivanje potrebnih informacija od tržišnih subjekata i javnih uprava operatera kako bi se odredila razina sigurnosti mrežnih i informacijskih sustava, zabilježio broj, razmjer i opseg incidenata, kao i pouzdanim i sveobuhvatnim podacima za dobivanje pouzdanih i sveobuhvatnih podataka o stvarnim incidentima koji su utjecali na rad mrežnih i informacijskih sustava. [Am. 29]

(30)

U mnogim su slučajevima iza incidenta prisutne kriminalne radnje. U kriminalne radnje može se posumnjati čak i ako dokazi za njihovu potvrdu nisu dovoljno jasni od samog početka. U tom kontekstu odgovarajuća suradnja među nadležnim tijelima , jedinstvenim kontaktnim točkama i policijskim vlastima tijelima za provedbu zakona kao i suradnja s Europolovim centrom za kibernetički kriminal EC3 i ENISA-om treba formirati dio učinkovitog i sveobuhvatnog odgovora na prijetnju sigurnosnim incidentima. Osobito promicanje sigurnog, pouzdanog i otpornijeg okruženja zahtijeva sustavno prijavljivanje policijskim vlastima tijelima za provedbu zakona onih incidenata za koje postoji sumnja da su ozbiljne kriminalne prirode. Ozbiljnu kriminalnu prirodu incidenata treba procijeniti u svjetlu zakonodavstva Unije o kibernetičkom kriminalu. [Am. 30]

(31)

U mnogim su slučajevima osobni podaci ugroženi zbog incidenata. Države članice i tržišni operateri trebali bi zaštititi osobne podatke koji se pohranjuju, obrađuju ili prenose od slučajnog ili nezakonitog uništenja, slučajnog gubitka ili izmjene i neovlaštenog ili nezakonitog pohranjivanja, pristupa, objavljivanja, ili širenja; i osigurati provedbu sigurnosne politike u vezi s obradom osobnih podataka. U tom kontekstu stručna nadležna tijela , jedinstvene kontaktne točke i tijela za zaštitu podataka trebaju surađivati i razmjenjivati informacije o svim relevantnim temama za rješavanje podatke uključujući, ako je prikladno, s tržišnim operaterima, u cilju rješavanja kršenja tajnosti osobnih podataka uzrokovanih incidentima. Države članice trebaju provoditi u skladu s primjenjivim zakonima o zaštiti podataka . Obvezu obavješćivanja o sigurnosnim incidentima potrebno je izvršavati na način koji bi umanjio administrativni teret u slučaju da je sigurnosni incident također narušio i tajnost osobnih podataka, što se mora prijaviti u skladu s Uredbom Europskog parlamenta i Vijeća sa zakonodavstvom Unije o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka  (9) . Održavajući vezu sa stručnim nadležnim tijelima i tijelima za zaštitu podataka, ENISA može pomoći bi trebala pomagati razvojem mehanizama za razmjenu podataka i predložaka kojima bi se izbjegla potreba za dva jedinstvenog predloška za prijavu. obavijesti kojim Ovakav jedinstveni predložak za prijavu pojednostavnit će se olakšati izvješćivanje o incidentima koji ugrožavaju osobne podatke i na taj način olakšati administrativni teret za tvrtke i javne uprave. [Am. 31]

(32)

Standardizacija sigurnosnih uvjeta dobrovoljan je proces je koji određuje tržište i koji bi tržišnim operaterima trebao omogućiti upotrebu alternativnih načina za postizanje barem sličnih rezultata . Da bi se osigurala podjednaka primjena sigurnosnih standarda, države članice trebaju poticati sukladnost ili usklađenost s posebnim interoperabilnim standardima kojima se osigurava visoka razina sigurnosti na razini EU-a Unije . U tu svrhu, možda će potrebno je razmotriti primjenu otvorenih međunarodnih standarda za sigurnost mreža i podataka ili oblikovanje takvih alata. Još jedan potreban korak naprijed može biti potrebno izraditi nacrt izrada nacrta usklađenih standarda, što treba učiniti u skladu s Uredbom (EU) br. 1025/2012 Europskog parlamenta i Vijeća (10). Posebno, treba ovlastiti ETSI, CEN i CENELEC da predlože djelotvorne i učinkovite otvorene sigurnosne standarde Unije, pri čemu treba što je više moguće izbjegavati davanje prednosti određenoj tehnologiji i kojima bi mali i srednji tržišni operateri mogli lako upravljati. Međunarodni standardi u vezi s kibernetičkom sigurnosti trebali bi se pažljivo sigurnosno provjeriti kako bi se osiguralo da nisu ugroženi i da pružaju dovoljnu razinu sigurnosti i time osiguravaju da propisano poštovanje standarda kibernetičke sigurnosti poboljšava opću razinu kibernetičke sigurnosti Unije, a ne da ju ugrožava. [Am. 32]

(33)

Komisija treba redovno povremeno revidirati ovu Direktivu, uz savjetovanje sa svim zainteresiranim dionicima, posebno u pogledu određivanja potrebe za izmjenom u svjetlu promjene društvenih, političkih, tehnoloških i tržišnih uvjeta. [Am. 33]

(34)

Da bi se omogućilo propisno funkcioniranje mreže suradnje, Komisiju treba ovlastiti za usvajanje akata u skladu s člankom 290. UFEU-a u vezi s definiranjem kriterija koje država članica mora ispuniti da bi joj se odobrilo sudjelovanje u sigurnom sustavu sa zajedničkim skupom standarda za međusobno povezivanje i sigurnost za sigurnu infrastrukturu za dijeljenje podataka, s informacija i dodatnim opisom određivanjem događaja koji uzrokuju rano upozorenje i s definiranjem okolnosti u kojima tržišni subjekti i javne uprave imaju obvezu prijave incidenata. [Am. 34]

(35)

Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući i ona na razini stručnjaka. Prilikom pripremanja i sastavljanja delegiranih akata Komisija bi trebala osigurati istodobnu, pravodobnu i prikladnu dostavu predmetnih dokumenata Europskom parlamentu i Vijeću.

(36)

Da bi se osigurali jedinstveni uvjeti za provedbu ove Direktive, Komisiji se trebaju dodijeliti provedbene ovlasti za suradnju stručnih nadležnih tijela između jedinstvenih kontaktnih točaka i Komisije unutar u okviru mreže za suradnju, ne dovodeći u pitanje postojeće mehanizme suradnje na nacionalnoj razini , pristup sigurnoj infrastrukturi za dijeljenje informacija, plan Unije za suradnju za NIS, načine i postupke koji se primjenjuju u informiranju javnosti na obavještavanje o incidentima te za standarde i/ili tehničke specifikacije relevantne za NIS. koji imaju znatan učinak. Te se ovlasti trebaju izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća (11). [Am. 35]

(37)

Primjenom ove direktive Komisija treba prema potrebi održavati vezu s relevantnim sektorskim odborima te relevantnim tijelima na razini EU-a Unije , posebno na polju u području e-vlade, energetike, prijevoza , zdravstva i zdravstva obrane . [Am. 36]

(38)

Podatak koji stručno nadležno tijelo ili jedinstvena kontaktna točka smatra povjerljivim u skladu s Unijinim pravilima Unije i nacionalnim pravilima o poslovnoj tajni treba se ustupiti Komisiji i razmijeniti s Komisijom, njezinim relevantnim agencijama, jedinstvenim kontaktnim točkama i/ili drugim stručnim nadležnim tijelima samo u slučaju kad je takva razmjena izričito nužna za primjenu ove Direktive. Ustupljeni podatak treba se ograničiti na ono što je relevantno , nužno i razmjerno svrsi takve razmjene , i treba poštovati unaprijed utvrđene kriterije zaštite povjerljivosti i sigurnost, u skladu s Odlukom 2011/292/EU, te na podatke na koje se primjenjuju ugovori o poslovnoj tajni ili neformalni ugovori o poslovnoj tajni, kao što je Protokol o semaforu. [Am. 37]

(39)

Razmjena podataka o rizicima i incidentima unutar u okviru mreže suradnje te izvršavanje obveze prijave i sukladnost sa zahtjevima vezanim uz prijavu incidenata nacionalnim nadležnim državnim tijelima možda će biti potrebna obrada ili jedinstvenim kontaktnim točkama može zahtijevati obradu osobnih podataka. Takva obrada osobnih podataka nužna je za postizanje ciljeva od javnog interesa koji su postavljeni u ovoj Direktivi te je time opravdana prema članku 7. Direktive 95/46/EZ. Obrada ne predstavlja, u odnosu na ove opravdane ciljeve, nesrazmjerno nerazmjerno i neprihvatljivo zadiranje u pravo na zaštitu osobnih podataka zajamčeno člankom 8. Povelje o temeljnim pravima niti narušava njegovu bit. U primjeni ove Direktive, Uredbu (EZ) br. 1049/2001 Europskog parlamenta i Vijeća (12) treba primjenjivati po potrebi. Ako podatke obrađuju institucije i tijela Unije, takva obrada u svrhu provedbe ove Direktive treba biti u skladu s Uredbom (EZ) br. 45/2001 . [Am. 38]

(40)

Budući da države članice ne mogu potpuno ostvariti cilj ove Direktive, odnosno osigurati visoku razinu NIS-a u Uniji, te se on stoga zbog učinka djelovanja može uspješnije ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti kao što je utvrđeno člankom 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti iz navedenog članka ova Direktiva ne prelazi okvire koji su potrebni za postizanje tog cilja.

(41)

Ova Direktiva poštuje temeljna prava i uzima u obzir načela priznata Poveljom o temeljnim pravima Europske unije, posebno pravo na poštovanje privatnog života i komuniciranja, zaštitu osobnih podataka, slobodu poduzetništva, pravo na vlasništvo, pravo na učinkoviti pravni lijek na sudu i pravo na saslušanje. Ova se Direktiva mora provoditi u skladu s ovim pravima i načelima

(41.a)

U skladu sa Zajedničkom političkom izjavom država članica i Komisije o obrazloženjima od 28. rujna 2011., u opravdanim se slučajevima države članice pridružuju obavještavanju o svojim mjerama za prijenos pomoću jednoga ili više dokumenata u kojima se objašnjava odnos između sastavnih dijelova direktive i odgovarajućih dijelova nacionalnih instrumenata za prijenos. U pogledu ove Direktive, zakonodavac smatra da je dostava tih dokumenata opravdana. [Am. 39]

(41.b)

Izvršeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 28. stavkom 2. Uredbe (EZ) br. 45/2001, koji je dao mišljenje 14. lipnja 2013. (13),

(a)

utvrđuje obveze za sve države članice u vezi sa sprečavanjem, rješavanjem i odgovaranjem na rizike i incidente koji utječu na mrežne i informacijske sustave;

(b)

kreira mehanizam suradnje među državama članicama kako bi se osigurala jedinstvena primjena ove Direktive unutar Unije i, ako je potrebno, koordinirano , učinkovito i učinkovito uspješno rješavanje i odgovor na rizike i incidente koji utječu na mrežne i informacijske sustave uz sudjelovanje relevantnih dionika ; [Am. 40]

(c)

uspostavlja sigurnosne uvjete za tržišne subjekte i javne uprave operatere . [Am. 41]

(1)

„mrežni i informacijski sustav” znači:

(2)

„sigurnost” znači sposobnost mrežnog i informacijskog sustava da odolijeva, na određenoj razini pouzdanosti, nezgodi ili zlonamjernoj radnji koja ugrožava dostupnost, autentičnost, cjelovitost i povjerljivost pohranjenih ili prenesenih podataka ili srodnih usluga koje taj mrežni i informacijski sustav nudi ili im omogućuje pristup; „sigurnost” uključuje odgovarajuće tehničke uređaje, rješenja i operativne postupke kojima se osiguravaju sigurnosni zahtjevi iz ove Direktive. [Am. 46]

(3)

„rizik” znači bilo koja razumno prepoznatljiva okolnost ili događaj koji ima potencijalan negativni učinak na sigurnost; [Am. 47]

(4)

„incident” znači bilo koja okolnost ili koji događaj koji ima stvaran negativni negativan učinak na sigurnost; [Am. 48]

(5)

„usluga informacijskog društva” znači usluga u smislu točke (2) članka 1. Direktive 98/34/EZ; [Am. 49]

(6)

„plan suradnje za NIS” znači plan za utvrđivanje okvira za organizacijske uloge, odgovornosti i postupke pri održavanju ili ponovnoj uspostavi rada mrežnih i informacijskih sustava u slučaju rizika ili incidenta koji utječe na njih;

(7)

„rješavanje incidenta” znači svi postupci koji podupiru otkrivanje, sprječavanje, analizu, zaustavljanje i odgovor na incident; [Am. 50]

(8)

„tržišni subjekt” znači:

(8.a)

„incident koji ima znatan učinak” znači incident koji utječe na sigurnost i kontinuitet informacijske mreže ili sustava i dovodi do velikih poremećaja vitalnih gospodarskih i društvenih funkcija; [Am. 53]

(9)

„standard” znači standard kako je definirano u Uredbi (EU) br. 1025/2012;

(10)

„specifikacija” znači specifikacija kako je definirano u Uredbi (EU) br. 1025/2012;

(11)

„Davatelj usluga skrbništva” znači fizička ili pravna osoba koja pruža bilo koju elektroničku uslugu koja se sastoji od kreiranja, ovjere, potvrđivanja, korištenja i očuvanja elektroničkih potpisa, elektroničkih pečata, elektroničkih vremenskih pečata, elektroničkih dokumenata, usluga elektroničke dostave, ovjere internetskih lokacija te elektroničkih certifikata, uključujući certifikate za elektronički potpis i za elektroničke pečate.

(11.a)

„regulirano tržište” znači regulirano tržište kako je definirano u točki 14. članka 4. Direktive 2004/39/EZ Europskog parlamenta i Vijeća  (17) ; [Am. 54]

(11.b)

„multilateralna trgovinska platforma (MTP)” znači multilateralni sustav kako je definirano u točki 15. članka 4. Direktive 2004/39/EZ; [Am. 55]

(11.c)

„organizirani trgovinski sustav” znači multilateralni sustav ili platforma koji nije uređeno tržište, multilateralni trgovinski sustav ili središnja druga ugovorna strana, kojom upravlja investicijska tvrtka ili tržišni operater, u kojem višestruko kupovanje i prodavanje udjela u obveznicama, strukturiranim financijskim proizvodima, emisijskim kvotama ili izvedenicama koje provode treće strane može međusobno djelovati u sustavu na način koji dovodi do ugovora u skladu s Glavom II. Direktive 2004/39/EZ; [Am. 56]

(a)

definicijom ciljeva i prioriteta strategije na temelju ažurne analize rizika i incidenata;

(b)

upravljačkim okvirom za postizanje strateških ciljeva i prioriteta, uključujući jasnu definiciju uloga i odgovornosti vladinih tijela i drugih relevantnih sudionika;

(c)

identifikacijom općih mjera pripravnosti, odgovora i ponovne uspostave, uključujući mehanizme suradnje između javnog i privatnog sektora;

(d)

pokazateljima edukacije, dizanja razine svijesti i programâ osposobljavanja;

(e)

planovima za istraživanje i razvoj te opisom načina na koji ovi planovi odražavaju prepoznate prioritete.

(ea)

države članice mogu zatražiti podršku ENISA-e u razvijanju svojih nacionalnih strategija za NIS i nacionalnih planova suradnje za NIS, na temelju zajedničke minimalne strategije za NIS. [Am. 57]

(a)

plan Okvir za upravljanje rizikom za određivanje metodologije za prepoznavanje, određivanje prioriteta, ocjenjivanje i obradu rizika, procjenu rizika kako bi se utvrdili rizici i procijenili učinci učinaka potencijalnih incidenata , mogućnosti sprječavanja i kontrole i za određivanje kriterija za izbor mogućih protumjera ; [Am. 58]

(b)

definiranje Definicija uloga i odgovornosti raznih sudionika različitih tijela i drugih zainteresiranih strana uključenih u provedbu plana okvira ; [Am. 59]

(c)

definiranje postupaka suradnje i komunikacije koji osiguravaju sprečavanje, otkrivanje, odgovor, popravak i ponovnu uspostavu rada te se prilagođavaju u skladu s razinom upozorenja;

(d)

plan vježbi i osposobljavanja za NIS kako bi se ovaj plan pojačao, potvrdio i testirao. Stečena iskustva moraju se dokumentirati i uključiti u dodatke planu.

(a)

prosljeđuju rana upozorenja na rizike i incidente u skladu s člankom 10.;

(b)

osiguravaju koordinirani odgovor u skladu s člankom 11.;

(c)

na zajedničkoj internetskoj lokaciji stranici redovno objavljuju informacije bez uvjeta tajnosti koje nisu tajne o trenutačnim ranim upozorenjima te koordiniranom odgovoru;

(d)

zajednički sudjeluju u raspravama raspravljaju te procjenjuju, na zahtjev države članice i Komisije, jednu ili više državnih nacionalnih strategija za NIS i državne nacionalne planove za suradnju za NIS navedene u članku 5. unutar opsega ove Direktive.

(e)

sudjeluju u raspravama te zajednički raspravljaju i procjenjuju, na zahtjev države članice i Komisije, učinkovitost CERT-ova, posebno kad se vježbe za NIS izvode na razini Unije;

(f)

surađuju i razmjenjuju informacije o svim stručnost u relevantnim temama o mrežnoj i informacijskoj sigurnosti, posebno u područjima zaštite podataka, energetike, prometa, bankarstva, financijskih tržišta i zdravstva s Europskim centrom za kibernetički kriminal u sklopu Europola i s ostalim relevantnim europskim tijelima, posebno na poljima zaštite podataka, energetike, prijevoza, burzi i zdravstva;

(fa)

prema potrebi, putem izvješća obavještavaju koordinatora EU-a za borbu protiv terorizma, te mogu zatražiti pomoć u analizama, pripremnim radovima i djelovanju mreže suradnje;

(g)

razmjenjuju informacije i najbolje prakse među sobom međusobno i s Komisijom te si međusobno pomažu u izgradnji kapaciteta za NIS;

(h)

organiziraju redovne stručne procjene sposobnosti i pripravnosti;

(i)

organiziraju vježbe za NIS na razini Unije i sudjeluju, po potrebi, u međunarodnim vježbama za NIS.

(ia)

uključuju, savjetuju se s te razmjenjuju, prema potrebi, informacije s tržišnim operaterima po pitanju rizika i incidenata koji pogađaju njihove mreže i informacijske sustave;

(ib)

razvijaju, u suradnji s ENISA-om, smjernice za sektorski specifične kriterije za prijavljivanje značajnih incidenata, uz parametre propisane u članku 14. stavku 2. za zajedničko tumačenje, dosljednu primjenu i koherentnu provedbu unutar Unije. [Am. 78]

(a)

dostupnosti sigurne i otporne infrastrukture za komunikaciju i informiranje na državnoj razini, koja je kompatibilna i međuoperabilna sa sigurnom infrastrukturom mreže suradnje u skladu s člankom 7. stavkom 3., i

(b)

postojanja odgovarajućih tehničkih, financijskih i ljudskih resursa i postupaka za nadležno tijelo i CERT, što bi omogućilo djelotvorno, učinkovito i sigurno sudjelovanje u sigurnom sustavu za dijeljenje informacija prema članku 6. stavku 3., članku 7. stavku 2. i članku 7. stavku 3. [Am. 82]

(a)

rastu velikom brzinom ili bi mogli razmjerno brzo rasti;

(b)

prelaze ili bi mogli jedinstvena kontaktna točka procjenjuje da bi rizik ili incident mogao prijeći kapacitete odgovora na državnoj nacionalnoj razini;

(c)

jedinstvene kontaktne točke ili Komisija ocjenjuju utječu li rizik ili bi mogli utjecati incident na više od jedne države članice. [Am. 84]

(a)

za potrebe članka 10.:

(b)

postupke koje treba slijediti u slučaju koordiniranih odgovora prema članku 11., uključujući utvrđivanje uloga i odgovornosti te postupaka suradnje;

(c)

plan vježbi i osposobljavanja za NIS kako bi se ovaj plan pojačao, potvrdio i testirao;

(d)

program za prijenos znanja među državama članicama u vezi s izgradnjom kapaciteta i stručnom suradnjom;

(e)

program za podizanje svijesti i osposobljavanje među državama članicama.

(a)

broj korisnika na čije se ključne usluge utječe; [Am. 98]

(b)

trajanje incidenta; [Am. 99]

(c)

zemljopisna raširenost u odnosu na područje na koje utječe incident. [Am. 100]

(a)

pruže informacije potrebne za procjenu sigurnosti njihovih mreža i informacijskih sustava, uključujući dokumentirane sigurnosne propise;

(b)

pristupe reviziji dostave dokaze o učinkovitoj provedbi sigurnosnih politika, kao što su rezultati revizije sigurnosti koju provodi kvalificirano nezavisno neovisno tijelo ili državna institucija nacionalno tijelo te da dobivene rezultate učine dostupnima dokazi budu dostupni nadležnom tijelu ili jedinstvenoj kontaktnoj točki; [Am. 113]

(a)

nadležna tijela ili jedinstvene kontaktne točke, ako je primjenjivo, imaju ovlasti dostaviti dovoljno specifične zahtjeve tržišnim operaterima u kojima se od njih traži da dostave dokaze o učinkovitoj provedbi sigurnosnih politika, kao što su rezultati revizije sigurnosti koju je izvršio kvalificirani interni revizor te učiniti dokaze dostupnima nadležnom tijelu ili jedinstvenoj kontaktnoj točki;

(b)

ako je potrebno, nakon što je tržišni operater dostavio zahtjev iz točke (a), nadležno tijelo ili jedinstvena kontaktna točka mogu tražiti dodatne dokaze ili provedbu dodatne revizije od strane kvalificiranog neovisnog tijela ili nacionalnog tijela;