19.7.2016   

HU

Az Európai Unió Hivatalos Lapja

L 194/1

(1)

A hálózati és információs rendszerek és szolgáltatások létfontosságú szerepet játszanak társadalmunkban. Megbízhatóságuk és biztonságuk alapvetően lényeges a gazdasági és társadalmi tevékenységek, és különösen a belső piac működése szempontjából.

(2)

A biztonsági események nagyságrendje, gyakorisága és hatása növekszik, ami súlyos fenyegetést jelent a hálózati és az információs rendszerek működésére nézve. E rendszerek emellett a működésük akadályozására vagy megszakítására irányuló szándékos és ártalmas cselekmények célpontjaivá válhatnak. Az ilyen események nehezíthetik a gazdasági tevékenységek folytatását, jelentős pénzügyi veszteségeket okozhatnak, alááshatják a felhasználói bizalmat és súlyos károkat okozhatnak az Unió gazdaságának.

(3)

A hálózati és információs rendszerek, és mindenekelőtt az internet, alapvető szerepet játszanak az áruk, a szolgáltatások és a személyek határokon átnyúló mozgásának elősegítésében. Transznacionális jellegük miatt e rendszerek jelentős zavara érinthet egyes tagállamokat, de akár az Unió egészét is, függetlenül attól, hogy azt szándékosan vagy nem szándékosan okozták-e, illetve tekintet nélkül az előfordulás helyére. A hálózati és információs rendszerek biztonsága ezért alapvető fontosságú a belső piac zavartalan működése szempontjából.

(4)

A tagállamok európai fórumának keretében jelentős előrelépés történt a bevált szakpolitikai gyakorlatokkal – és például a kiberválságokat érintő európai együttműködés elveinek kidolgozásával – kapcsolatos megbeszélések és véleménycserék előmozdításában, amire építve helyénvaló együttműködési csoportot létrehozni a tagállamok képviselői, a Bizottság, valamint az Európai Uniós Hálózat- és Információbiztonsági Ügynökség (a továbbiakban: ENISA) közreműködésével, amelynek feladata a hálózati és információs rendszerek biztonsága tekintetében a tagállamok között folytatott stratégiai együttműködés támogatása és elősegítése. E csoport eredményességének és inkluzív jellegének biztosítása érdekében alapvető fontosságú, hogy minden tagállam rendelkezzen minimális képességekkel, és a saját területén a hálózati és információs rendszerek biztonsága magas szintjét biztosító stratégiával. Ezenkívül biztonsági és bejelentési követelményeknek kell vonatkozniuk az alapvető szolgáltatásokat nyújtó szereplőkre és a digitális szolgáltatókra a kockázatkezelés kultúrájának előmozdítása és annak biztosítása érdekében, hogy sor kerüljön a legsúlyosabb események bejelentésére.

(5)

A meglévő képességek nem elegendőek ahhoz, hogy garantálják a hálózati és információs rendszerek magas biztonsági szintjét az Unión belül. A tagállamok felkészültségi szintje nagyon különböző, ami sokféle megközelítés alkalmazásához vezetett az Unióban. Ez a fogyasztók és a vállalkozások egyenlőtlen védelmét eredményezi, továbbá aláássa a hálózati és információs rendszerek biztonságának általános szintjét az Unión belül. Az alapvető szolgáltatásokat nyújtó szereplőkre és a digitális szolgáltatókra vonatkozó egységes követelmények hiánya miatt nem lehetséges uniós szinten átfogó és hatékony együttműködési mechanizmust létrehozni. Az egyetemek és a kutatóközpontok döntő szerepet játszanak a szóban forgó területekre irányuló kutatás, fejlesztés és innováció ösztönzésében.

(6)

A hálózati és információs rendszerek biztonsági kihívásainak hatékony kezelése ezért olyan globális megközelítést igényel uniós szinten, amely kiterjed a kapacitásépítésre és a tervezésre vonatkozó közös minimumkövetelményekre, az információcserére, az együttműködésre, valamint az alapvető szolgáltatásokat nyújtó szereplőkre és a digitális szolgáltatókra vonatkozó közös biztonsági követelményekre is. Az alapvető szolgáltatásokat nyújtó szereplők és a digitális szolgáltatók azonban végrehajthatnak az ebben az irányelvben meghatározottaknál szigorúbb biztonsági intézkedéseket is.

(7)

Annak érdekében, hogy a szabályozás valamennyi lényeges biztonsági eseményre és kockázatra kiterjedjen, ezt az irányelvet mind az alapvető szolgáltatásokat nyújtó szereplőkre, mind a digitális szolgáltatókra alkalmazni kell. Az alapvető szolgáltatásokat nyújtó szereplőkre és a digitális szolgáltatókra vonatkozó kötelezettségeket azonban nem kell alkalmazni azokra a vállalkozásokra, amelyek a 2002/21/EK európai parlamenti és tanácsi irányelv (3) szerinti olyan, nyilvános hírközlő hálózatokat üzemeltetnek vagy nyilvánosan elérhető elektronikus hírközlési szolgáltatásokat nyújtanak, amelyek az említett irányelvben megállapított különös biztonsági és integritási követelmények hatálya alá tartoznak, továbbá nem kell alkalmazni a 910/2014/EU európai parlamenti és tanácsi rendelet (4) szerinti olyan bizalmi szolgáltatókra sem, amelyek az említett rendeletben megállapított biztonsági követelmények hatálya alá tartoznak.

(8)

Ezen irányelv nem sértheti a tagállamok számára biztosított azon lehetőséget, hogy megtegyék az alapvető biztonsági érdekeik védelméhez, a közrend és a közbiztonság megóvásához, valamint a bűncselekmények kivizsgálásának, felderítésének és a büntetőeljárások lefolytatásának lehetővé tételéhez szükséges intézkedéseket. Az Európai Unió működéséről szóló szerződés (EUMSZ) 346. cikke értelmében egyetlen tagállam sem köteles olyan információt szolgáltatni, amelynek közlését ellentétesnek tartja alapvető biztonsági érdekeivel. Ebben az összefüggésben figyelembe kell venni a 2013/488/EU tanácsi határozatot (5) valamint a titoktartási megállapodásokat és a nem hivatalos megállapodásokat, például a TLP-protokollt (jelzőlámpa-protokoll).

(9)

Egyes gazdasági ágazatokat már szabályoznak vagy a jövőben szabályozhatnak olyan ágazatspecifikus uniós jogi aktusok, amelyek tartalmaznak a hálózati és az információs rendszerek biztonságával kapcsolatos szabályokat. Minden olyan esetben, amikor uniós jogi aktusok a hálózati és az információs rendszerek biztonságára vagy a biztonsági események bejelentésére vonatkozó követelményeket meghatározó rendelkezéseket tartalmaznak, az említett rendelkezéseket kell alkalmazni, ha azok olyan követelményeket tartalmaznak, amelyek a kötelezettségek hatását tekintve legalább egyenlőek az ebben az irányelvben meghatározottakkal. Ilyen esetben a tagállamoknak az adott ágazatspecifikus uniós jogi aktus rendelkezéseit kell alkalmazniuk, a joghatósággal kapcsolatos rendelkezéseket is beleértve, és nem kell elvégezniük az ezen irányelv meghatározása szerinti alapvető szolgáltatásokat nyújtó szereplők azonosítására szolgáló eljárást. Ezzel összefüggésben a tagállamoknak tájékoztatniuk kell a Bizottságot az ilyen lex specialis-ra vonatkozó rendelkezések alkalmazásáról. Annak megállapításakor, hogy a hálózati és információs rendszerek biztonságára és az események bejelentésére vonatkozóan az ágazatspecifikus uniós jogi aktusokban foglalt követelmények egyenértékűek-e az ezen irányelvben szereplőkkel, kizárólag a vonatkozó uniós jogi aktusok rendelkezéseit és azoknak a tagállamokban való alkalmazását kell figyelembe venni.

(10)

A vízi közlekedési ágazat esetében a vállalatokra, hajókra, kikötői létesítményekre, kikötőkre és hajóforgalmi szolgálatokra vonatkozó biztonsági követelményeket az uniós jogi aktusok értelmében minden műveletre alkalmazni kell, ideértve a rádió- és távközlési rendszereket, számítógépes rendszereket és hálózatokat is. A követendő kötelező eljárások közé tartozik minden biztonsági esemény bejelentése, és lex specialis-nak tekintendők, amennyiben legalább egyenértékűek ezen irányelv vonatkozó rendelkezéseivel.

(11)

A vízi közlekedési ágazatban működő gazdasági szereplők azonosításakor a tagállamoknak figyelembe kell venniük a már meglévő és a jövőbeli nemzetközi szabályzatokat és iránymutatásokat, különösen a Nemzetközi Tengerészeti Szervezet által kidolgozottakat annak érdekében, hogy a tengerhasznosítási ágazat szereplői számára koherens megközelítést biztosítsanak.

(12)

Az elsődleges és másodlagos uniós jog, valamint az európai felügyeleti hatóságokkal közösen kidolgozott szabványok uniós szinten biztosítják a banki és pénzügyi piaci infrastruktúrákra vonatkozó szabályozás és felügyelet magas szintű harmonizációját. Az említett szabályok és szabványok alkalmazásáról és felügyeletéről a bankunión belül az egységes felügyeleti mechanizmus gondoskodik. A bankunió részét nem képező tagállamokban ezt a feladatot a tagállamok megfelelő banki szabályozói látják el. A pénzügyi szabályozás más területeit illetően a Pénzügyi Felügyeletek Európai Rendszere biztosítja a felügyeleti gyakorlatok magas fokú hasonlóságát és összehangoltságát. Az Európai Értékpapír-piaci Hatóság szintén közvetlen felügyeleti szerepet tölt be bizonyos szervek, nevezetesen a hitelminősítő intézetek és a kereskedési adattárak tekintetében.

(13)

A működési kockázat a banki és pénzügyi piaci infrastruktúrákra vonatkozó prudenciális szabályozás és felügyelet alapvető része, és kiterjed a működés minden elemére, így a hálózati és információs rendszerek biztonságára, integritására és ellenálló képességére is. Az e rendszerekre vonatkozó követelmények – amelyek gyakran túlmutatnak az ezen irányelvben előírt követelményeken – számos uniós jogi aktusban vannak meghatározva, köztük: a hitelintézetek tevékenységéhez való hozzáférésre és a hitelintézetek és befektetési vállalkozások prudenciális felügyeletére, valamint a hitelintézetekre és befektetési vállalkozásokra vonatkozó prudenciális követelményekre vonatkozó szabályokban, amelyek követelményeket írnak elő a működési kockázat tekintetében; a pénzügyi eszközök piacaira vonatkozó szabályokban, amelyek követelményeket írnak elő a befektetési vállalkozások és a szabályozott piacok kockázatértékelése tekintetében; a tőzsdén kívüli származtatott ügyletekre, a központi szerződő felekre és a kereskedési adattárakre vonatkozó szabályokban, amelyek követelményeket írnak elő a központi szerződő felek és a kereskedési adattárak működési kockázatai tekintetében; továbbá az Unión belüli értékpapír-kiegyenlítés javítására és a központi értéktárakra vonatkozó szabályokban, amelyek követelményeket írnak elő a működési kockázat tekintetében. Ezen túlmenően a biztonsági események bejelentésére vonatkozó követelmények a pénzügyi ágazatra jellemző rendes felügyeleti gyakorlatoknak is részét képezik, és gyakran szerepelnek a felügyeleti kézikönyvekben. A tagállamoknak a lex specialis alkalmazása során figyelembe kell venniük az említett szabályokat és követelményeket.

(14)

Ahogyan azt az Európai Központi Bank a hálózat- és információbiztonsági javaslatról szóló, 2014. július 25-i véleményében (6) megállapította, ez az irányelv nem érinti a fizetési és elszámolási rendszerek eurorendszerbeli felügyeletére vonatkozó uniós jogi szabályozást. Célszerű lenne, hogy az említett felügyeletért felelős hatóságok és az ezen irányelv szerinti illetékes hatóságok tapasztalatot cseréljenek egymással a hálózati- és információs rendszerek biztonságával kapcsolatos kérdésekről. Ugyanez érvényes a Központi Bankok Európai Rendszerének az euroövezetben nem résztvevő tagjaira is, akik nemzeti jogszabályok és előírások alapján végzik a fizetési és elszámolási rendszerek felügyeletét.

(15)

Az online piacterek lehetővé teszik, hogy a fogyasztók és a kereskedők online adás-vételi és szolgáltatási szerződéseket kössenek kereskedőkkel, emellett ezek a piacterek az említett szerződések megkötésének végpontjai. Ez nem vonatkozik az olyan online szolgáltatásokra, amelyek csupán köztes lépéseket jelentenek olyan harmadik fél által nyújtott szolgáltatások előtt, amelyek keretében a szerződések végleges megkötésére sor kerülhet. Ennélfogva nem vonatkozik olyan online szolgáltatásokra, amelyek különböző kereskedők által kínált azonos termékek vagy szolgáltatások árát hasonlítják össze, majd a termék megvásárlása céljából a kiválasztott kereskedőhöz irányítják a felhasználót. Az online piacterek által nyújtott számítástechnikai szolgáltatások magukba foglalhatják az ügyletek feldolgozását, adatok összesítését vagy felhasználói profilok alkotását. Az alkalmazásokat értékesítő – harmadik felek alkalmazásainak vagy számítógépes programjainak digitális értékesítését lehetővé tevő – online üzleteket az online piacterek egyik válfajának kell tekinteni.

(16)

Az online keresőprogramoknak lehetővé teszik a felhasználók számára, hogy egy adott kulcsszó alapján elvben minden webhelyen keresést hajtsanak végre bármely témában. A keresések meghatározott nyelvű webhelyekre is összpontosulhatnak. Az online keresőprogramok ezen irányelvben szereplő fogalommeghatározása nem terjed ki olyan keresőfunkciókra, amelyek meghatározott webhely tartalmára korlátozódnak, függetlenül attól, hogy a keresőfunkciót külső keresőprogram biztosítja-e. Nem terjed ki olyan online szolgáltatásokra sem, amelyek különböző kereskedők által kínált azonos termékek vagy szolgáltatások árát hasonlítják össze, majd a termék megvásárlása céljából a kiválasztott kereskedőhöz irányítják a felhasználót.

(17)

A felhőlapú számítástechnikai szolgáltatások a tevékenységek széles körét foglalhatják magukban, amelyeket különböző modellek szerint lehet biztosítani. Ezen irányelv alkalmazásában a „felhőlapú számítástechnikai szolgáltatások” kifejezés olyan szolgáltatásokra terjed ki, amelyek hozzáférést tesznek lehetővé a megosztható számítástechnikai erőforrások méretezhető és rugalmas pooljához. Az említett számítástechnikai erőforrások olyan erőforrásokat foglalnak magukban, mint a hálózatok, a szerverek vagy más infrastruktúra, a tárolás, az alkalmazások és a szolgáltatások. A „méretezhető” kifejezés olyan számítástechnikai erőforrásokra vonatkozik, amelyeket annak szolgáltatója a keresletbeli ingadozások kezelése érdekében rugalmasan oszt el, az erőforrások földrajzi elhelyezkedésétől függetlenül. A „rugalmas pool” kifejezés azokat a számítástechnikai erőforrásokat foglalja magában, amelyeket a keresletnek megfelelően nyújtanak és bocsátanak rendelkezésre annak érdekében, hogy a rendelkezésre álló erőforrások a munkatehernek megfelelően gyors ütemben növekedjenek vagy csökkenjenek. A „megosztható” kifejezés alatt az értendő, hogy az adott számítástechnikai erőforrásokat több olyan felhasználó számára biztosítják, akik közös hozzáféréssel rendelkeznek a szolgáltatáshoz, de a feldolgozás minden felhasználó tekintetében külön történik, noha a szolgáltatás nyújtására ugyanazon elektronikus eszközről kerül sor.

(18)

Az internetes exchange pontok (a továbbiakban: IXP) funkciója a hálózatok összekapcsolása. Az IXP-k nem biztosítanak hálózati hozzáférést, és nem működnek tranzitszolgáltatóként vagy adattovábbítóként sem. Az IXP-k nem nyújtanak az összekapcsoláshoz nem tartozó egyéb szolgáltatásokat sem, noha ez nem zárja ki azt, hogy egy IXP-üzemeltető ilyen, nem kapcsolódó szolgáltatásokat nyújtson. Az IXP-k célja, hogy összekapcsoljanak egymástól műszakilag és szervezetileg külön álló hálózatokat. A műszakilag önálló hálózatok megnevezésére az „autonóm rendszer” kifejezés használatos.

(19)

A tagállamok felelősségi körébe kell tartozzon annak meghatározása, hogy mely szervezetek esetében teljesülnek az alapvető szolgáltatásokat nyújtó szereplő fogalommeghatározásának kritériumai. Az egységes megközelítés biztosítása érdekében az alapvető szolgáltatásokat nyújtó szereplő fogalommeghatározását minden tagállamnak koherens módon kell alkalmaznia. Ennek érdekében ez az irányelv rendelkezik az egyes ágazatokban és alágazatokban tevékenykedő szervezetek értékeléséről, az alapvető szolgáltatások jegyzékének létrehozásáról, az annak eldöntésére szolgáló ágazatközi tényezők közös jegyzékének a mérlegeléséről, hogy egy potenciális biztonsági esemény jelentős zavart okozna-e, az egynél több tagállamban szolgáltatásokat nyújtó szervezetek esetében az érintett tagállamok bevonásával zajló egyeztetési folyamatról, valamint az azonosítási eljárás során az együttműködési csoport támogatásáról. Annak biztosítása érdekében, hogy az azonosított gazdasági szereplők jegyzéke pontosan tükrözze az esetleges piaci változásokat, a jegyzéket a tagállamoknak rendszeresen felül kell vizsgálniuk és szükség esetén naprakésszé kell tenniük. Végezetül a tagállamoknak be kell nyújtaniuk a Bizottság részére az annak értékeléséhez szükséges információkat, hogy ez a közös módszertan milyen mértékben tette lehetővé a fogalommeghatározás tagállamok általi egységes alkalmazását.

(20)

Az alapvető szolgáltatásokat nyújtó szereplőkre irányuló azonosítási eljárás során értékelni kell legalább az ebben az irányelvben említett alágazatok mindegyike tekintetében, hogy mely szolgáltatások tekintendők alapvetőnek a kritikus társadalmi és gazdasági tevékenységek fenntartása szempontjából, valamint hogy az ebben az irányelvben említett ágazatokban és alágazatokban tevékenykedő és a szóban forgó szolgáltatásokat nyújtó szervezetek esetében teljesülnek-e a szereplők azonosítására vonatkozó kritériumok. Annak értékelése során, hogy a szervezet kritikus társadalmi és gazdasági tevékenységek fenntartásához szükséges szolgáltatást nyújt-e, elegendő megvizsgálni, hogy az adott szervezet az alapvető szolgáltatások jegyzékében foglalt szolgáltatást nyújt-e. Bizonyítani kell továbbá, hogy az alapvető szolgáltatás nyújtása hálózati és információs rendszerektől függ. Végezetül annak értékelése során, hogy egy biztonsági esemény jelentős zavart okozna-e a szolgáltatás nyújtásában, a tagállamoknak figyelembe kell venniük ágazatközi, valamint adott esetben ágazatspecifikus tényezőket is.

(21)

Az alapvető szolgáltatásokat nyújtó szereplők azonosítása céljából egy adott tagállamban történő letelepedés a tevékenység tényleges és valós, állandó keretek között történő végzését jelenti. E keretek jogi formája – legyen szó akár fióktelepről vagy jogi személyiséggel rendelkező leányvállalatról – e tekintetben nem meghatározó tényező.

(22)

Lehetséges, hogy az ezen irányelvben említett ágazatokban és alágazatokban tevékenykedő szervezetek alapvető és nem alapvető szolgáltatásokat is nyújtanak. Például a légi közlekedési ágazatban a repülőterek nyújtanak olyan szolgáltatásokat, amelyeket valamely tagállam alapvetőnek tekint, például a futópályák kezelését, de olyanokat is, amelyeket nem alapvetőnek lehet tekinteni, például a bevásárlóterületek üzemeltetését. Az alapvető szolgáltatásokat nyújtó szereplőkkel szemben csak az alapvetőnek tekintett szolgáltatások vonatkozásában kell különös biztonsági követelményeket támasztani. A gazdasági szereplők azonosítása céljából ezért a tagállamoknak össze kell állítaniuk azon szolgáltatások jegyzékét, amelyeket alapvetőnek tekintenek.

(23)

A szolgáltatások jegyzékében szerepelnie kell a tagállam területén nyújtott minden olyan szolgáltatásnak, amelynek esetében teljesülnek az ezen irányelv szerinti követelmények. A tagállamoknak képesnek kell lenniük arra, hogy a meglévő jegyzéket új szolgáltatásokkal egészítsék ki. A szolgáltatások jegyzékének referenciapontként kell szolgálnia a tagállamok számára az alapvető szolgáltatásokat nyújtó szereplők azonosításához. Célja, hogy lehetővé tegye az ezen irányelvben említett bármely ágazatban az alapvető szolgáltatások azonosítását, ezáltal megkülönböztetve ezeket a nem alapvető szolgáltatásoktól, amelyeket az ágazatok bármelyikében tevékeny szervezet nyújthat. A szolgáltatások egyes tagállamok által összeállított jegyzékei további támpontként szolgálnának az egyes tagállamok szabályozási gyakorlatának értékelése során, biztosítandó, hogy az azonosítási eljárás a tagállamok között egységes legyen.

(24)

Az azonosítási eljárás céljából, ha egy szervezet két vagy annál több tagállamban nyújt alapvető szolgáltatást, az érintett tagállamoknak két- vagy többoldalú egyeztetéseket kell folytatniuk egymással. Ennek az egyeztetési eljárásnak a célja, hogy segítsék egymást a gazdasági szereplő kritikus jellege határokon átnyúló hatásainak értékelése tekintetében, ezáltal lehetővé téve minden érintett tagállam számára, hogy ismertesse a szolgáltatásokhoz társuló kockázatokkal kapcsolatos nézeteit. Az érintett tagállamoknak figyelembe kell venniük egymás véleményét, illetve kérhetik e tekintetben az együttműködési csoport segítségét.

(25)

Az azonosítási eljárás eredményeként a tagállamoknak olyan nemzeti intézkedéseket kell elfogadniuk, amelyek meghatározzák, hogy mely szervezetekre vonatkoznak a hálózati és információs rendszerek biztonságát szabályozó kötelezettségek. Ez történhet az alapvető szolgáltatásokat nyújtó minden gazdasági szereplőt felsoroló jegyzék összeállításával vagy olyan nemzeti intézkedések – köztük objektív módon számszerűsíthető kritériumok – elfogadásával, mint például a gazdasági szereplő teljesítménye vagy a felhasználók száma, amely intézkedések lehetővé tennék annak meghatározását, hogy mely szervezetekre vonatkoznak a hálózati és információs rendszerek biztonságát szabályozó kötelezettségek. A nemzeti intézkedések közé kell tartoznia minden olyan jogi és közigazgatási intézkedésnek, valamint szakpolitikának, amely lehetővé teszi az ezen irányelv szerinti alapvető szolgáltatásokat nyújtó szereplők azonosítását, tekintet nélkül arra, hogy ezek az intézkedések már léteznek vagy elfogadásukra ezen irányelvvel összefüggésben került sor.

(26)

Annak érdekében, hogy jelezni lehessen az azonosított, alapvető szolgáltatásokat nyújtó szereplők fontosságát az érintett ágazat szempontjából, a tagállamoknak figyelembe kell venniük az említett szereplők számát és méretét, például piaci részesedésük vagy az általuk előállított vagy szállított mennyiségek tekintetében, anélkül, hogy kötelesek lennének olyan információkat közzétenni, amelyek felfednék az azonosított szereplők kilétét.

(27)

Annak meghatározása érdekében, hogy egy adott biztonsági esemény jelentős zavart okozna-e egy adott szolgáltatás nyújtásában, a tagállamoknak több különböző tényezőt kell figyelembe venniük, mint például az adott szolgáltatásra magán vagy szakmai célokból hagyatkozó felhasználók számát. Az említett szolgáltatás használata történhet közvetlenül, közvetetten vagy közvetítőn keresztül. Annak értékelése során, hogy egy biztonsági esemény mértékét és időtartamát tekintve milyen hatást gyakorolna a gazdasági és társadalmi tevékenységekre vagy a közbiztonságra, a tagállamoknak azt is fel kell mérniük, hogy az üzemzavar negatív hatása vélhetően mennyi idő elteltével nyilvánulna meg.

(28)

Az ágazatközi tényezőkön túl ágazatspecifikus tényezőket is figyelembe kell venni annak meghatározása érdekében, hogy egy adott biztonsági esemény jelentős zavart okozna-e egy adott szolgáltatás nyújtásában. Ezek a tényezők magukban foglalhatnák a következőket: az energiaszolgáltatók tekintetében a tagállamban előállított energia volumenét vagy arányát; az olajszállítók esetében a napi mennyiséget; a légi közlekedés – beleértve a repülőtereket és a légi fuvarozókat – a vasúti közlekedés és a tengeri kikötők esetében a tagállambeli szállítás volumenének arányát, valamint az utasok vagy a teherszállítási műveletek éves számát; a banki vagy pénzügyi piaci infrastruktúrák tekintetében a teljes vagyonukon vagy e vagyonnak a GDP-hez viszonyított arányán alapuló rendszerszintű jelentőségüket; az egészségügyi ágazat esetében a szolgáltató által évente ellátott betegek számát; a víztermelés, -feldolgozás és -szolgáltatás esetében a mennyiséget, valamint a szolgáltatást igénybe vevő felhasználók számát és típusát, például azt, hogy kórházakról, közszolgálatokról, szervezetekről vagy egyénekről van-e szó, valamint olyan alternatív vízforrások meglétét, amelyekkel ugyanazt a földrajzi területet el lehet látni.

(29)

A hálózati és információs rendszerek magas biztonsági szintjének elérése és fenntartása érdekében minden tagállamnak rendelkeznie kell a nemzeti hálózati és információs rendszerek biztonsági stratégiájával, amely meghatározza a stratégiai célokat és a végrehajtandó konkrét szakpolitikai intézkedéseket.

(30)

Tekintettel a nemzeti kormányzási struktúrák közötti különbségekre, valamint a meglévő ágazati intézkedések vagy az uniós felügyeleti és szabályozó szervek megőrzése és az átfedések elkerülése érdekében a tagállamoknak lehetőséget kell kapniuk arra, hogy az ezen irányelv hatálya alá tartozó alapvető szolgáltatásokat nyújtó szereplők és digitális szolgáltatók hálózati és információs rendszereinek biztonságával összefüggő feladatok ellátására egynél több nemzeti illetékes hatóságot jelöljenek ki.

(31)

A határokon átnyúló együttműködés és a kommunikáció elősegítése, valamint ezen irányelv eredményes végrehajtása érdekében szükség van arra, hogy minden egyes tagállam – az ágazati szabályozási intézkedések sérelme nélkül – kijelöljön egy egyedüli nemzeti kapcsolattartó pontot, amely a hálózati és információs rendszerek biztonságával kapcsolatos kérdések koordinálásáért és az uniós szinten folytatott határokon átnyúló együttműködésért felel. Az illetékes hatóságok és az egyedüli kapcsolattartó pontok számára biztosítani kell a megfelelő műszaki, pénzügyi és emberi erőforrásokat annak érdekében, hogy feladataikat eredményesen és hatékonyan végezhessék el, és hogy ezáltal teljesülhessenek ezen irányelv céljai. Mivel ezen irányelv célja az, hogy bizalomteremtés révén javítsa a belső piac működését, a tagállami szerveknek képesnek kell lenniük eredményesen együttműködni a gazdasági szereplőkkel, és struktúrájukat ennek megfelelően kell kialakítani.

(32)

Az illetékes hatóságoknak vagy a számítógép-biztonsági eseményekre reagáló csoportoknak (a továbbiakban: CSIRT) bejelentést kell kapniuk a biztonsági eseményekről. Az egyedüli kapcsolattartó pontoknak nem kell közvetlenül bejelenteni a biztonsági eseményeket, kivéve ha illetékes hatóságként vagy CSIRT-ként is eljárnak. Valamely illetékes hatóság vagy CSIRT azonban megbízhatja az egyedüli kapcsolattartó pontot azzal, hogy továbbítsa az eseményről küldött bejelentést más érintett tagállamok egyedüli kapcsolattartó pontjai részére.

(33)

A tagállamok és a Bizottság hatékony tájékoztatásának biztosítása érdekében, az összefoglaló jelentést az egyedüli kapcsolattartó pontnak kell benyújtania az együttműködési csoport részére és azt anonimmá kell tennie a bejelentések bizalmas jellegének megőrzése, valamint az alapvető szolgáltatásokat nyújtó szereplők és digitális szolgáltatók kilétének fel nem fedése érdekében, mivel a bejelentést tevő szervezet kilétére vonatkozó információkra nincs szükség a legjobb gyakorlatoknak az együttműködési csoport keretében történő cseréjéhez. Az összefoglaló jelentésnek tartalmaznia kell a kézhez kapott bejelentések számára vonatkozó adatokat, valamint ismertetnie kell a bejelentett biztonsági események jellegét, például a biztonsági szabályok megsértésének típusát, súlyosságát vagy időtartamát.

(34)

A tagállamoknak rendelkezniük kell a hálózati és információs rendszereket érintő biztonsági események és kockázatok megelőzéséhez, észleléséhez, kezeléséhez és mérsékléséhez szükséges műszaki és szervezeti képességekkel. A tagállamoknak biztosítaniuk kell, hogy jól működő CSIRT-ekkel – más néven hálózatbiztonsági vészhelyzeteket elhárító csoportokkal (a továbbiakban: CERT) – rendelkezzenek, amelyek megfelelnek a biztonsági események és kockázatok kezeléséhez szükséges hatékony és kompatibilis képességek garantálására, valamint az eredményes uniós szintű együttműködés biztosítására vonatkozó alapvető követelményeknek. Annak érdekében, hogy az alapvető szolgáltatásokat nyújtó szereplők és a digitális szolgáltatók minden típusa élhessen az ilyen képességek és együttműködés nyújtotta előnyökkel, a tagállamoknak biztosítaniuk kell, hogy e szereplők és szolgáltatók minden típusa tekintetében sor kerül egy CSIRT kijelölésére. Tekintettel a kiberbiztonság területén folytatott nemzetközi együttműködés fontosságára, a CSIRT-ek számára lehetővé kell tenni, hogy részt vegyenek nemzetközi együttműködési hálózatokban, az ezzel az irányelvvel létrehozott CSIRT-ek hálózatán túl is.

(35)

Mivel a hálózati és információs rendszerek üzemeltetése a legtöbb esetben magánkézben van, a magán- és a közszektor közötti együttműködés alapvetően fontos. Az alapvető szolgáltatásokat nyújtó gazdasági szereplőket és a digitális szolgáltatókat ösztönözni kell, hogy alakítsanak ki a hálózati és információs rendszerek biztonságának garantálására irányuló saját informális együttműködési mechanizmusokat. Az együttműködési csoportot fel kell jogosítani arra, hogy adott esetben meghívjon érintett érdekelt feleket a megbeszélésekre. Az információk és a legjobb gyakorlatok megosztásának hathatós ösztönzése érdekében lényeges annak biztosítása, hogy az e véleménycserékben részt vevő alapvető szolgáltatásokat nyújtó szereplők és a digitális szolgáltatók az együttműködésük következtében ne szenvedjenek hátrányt.

(36)

Az ENISA-nak szakértői véleményével és tanácsaival, valamint a bevált gyakorlatok cseréjének előmozdításával kell segítenie a tagállamokat és a Bizottságot. Ezen irányelv alkalmazásában a Bizottságnak ki kell kérnie, a tagállamoknak pedig lehetőségükben áll kikérniük az ENISA véleményét. A tagállamok körében való kapacitásépítés és ismeretgyarapítás érdekében az együttműködési csoportnak olyan eszközként kell szolgálnia, amelynek keretében lehetőség nyílik a bevált gyakorlatok cseréjére, a tagállamok képességeinek és felkészültségének megvitatására, valamint arra, hogy a csoport önkéntes alapon támogassa tagjait a nemzeti hálózati és információs rendszerek biztonsági stratégiájának értékelésében, a kapacitásépítésben valamint a hálózati és információs rendszerek biztonsági gyakorlatainak értékelésben.

(37)

Adott esetben lehetővé kell tenni a tagállamok számára, hogy ezen irányelv alkalmazása során használhassák a meglévő szervezeti struktúrákat vagy stratégiákat, illetve azokat az említett rendelkezésekhez igazíthassák.

(38)

Az együttműködési csoport és az ENISA feladatai kölcsönösen összefüggenek egymással és kiegészítik egymást. Az ENISA-nak segítséget kell nyújtania a létrehozott együttműködési csoport számára feladatai elvégzésében, mégpedig az ENISA-nak az 526/2013/EU európai parlamenti és tanácsi rendeletben (7) foglalt céljának megfelelően, miszerint az ENISA segíti az uniós intézményeket, szerveket, hivatalokat és ügynökségeket, valamint a tagállamokat a hálózati- és információs rendszerek biztonsága területén az Unió jelenlegi és jövőbeni jogi aktusai értelmében alkalmazandó jogi és szabályozási követelmények teljesítéséhez szükséges politikák végrehajtásában. Az ENISA-nak mindenekelőtt a saját feladataival egybeeső területeken kell segítséget nyújtania, az 526/2013/EU rendeletben foglaltak szerint; ilyen feladat például a hálózati és információs rendszerek biztonsági stratégiájának elemzése, az uniós hálózati és információs rendszerek biztonsági gyakorlatai megszervezésének és lebonyolításának támogatása, továbbá a tájékoztatással és a képzéssel kapcsolatos információk és bevált gyakorlatok megosztása. Az ENISA-nak emellett részt kell vennie a biztonsági események által kifejtett hatások jelentőségének meghatározását szolgáló ágazatspecifikus kritériumokra vonatkozó iránymutatások kidolgozásában.

(39)

A hálózati és információs rendszerek magasabb szintű biztonságának előmozdítása céljából az együttműködési csoportnak adott esetben együtt kell működnie az érintett uniós intézményekkel, szervekkel, hivatalokkal és ügynökségekkel annak érdekében, hogy – a korlátozott hozzáférésű információk cseréjére vonatkozó rendelkezések betartása mellett – meg lehessen egymással osztani a know-how-t és a bevált gyakorlatokat, valamint tanácsot lehessen nyújtani a hálózati és információs rendszerek biztonságának azon szempontjairól, amelyek esetlegesen hatást gyakorolhatnak az említett szervek munkájára. Amennyiben az együttműködési csoport bűnüldözési hatóságokkal folytat együttműködést olyan hálózat- és információbiztonsági kérdések tekintetében, amelyek azok munkájára esetlegesen hatást gyakorolhatnak, tiszteletben kell tartania a meglévő információs csatornákat és hálózatokat.

(40)

A biztonsági eseményekre vonatkozó információk egyre értékesebbé válnak mind a lakosság, mind a vállalkozások, mégpedig elsősorban a kis- és középvállalkozások számára. Néhány esetben ezek az információk tagállami weboldalakon keresztül már rendelkezésre állnak az adott ország nyelvén, és a hangsúlyt itt mindenekelőtt a tagállami dimenzióval bíró biztonsági események kapják. Tekintettel arra, hogy a vállalkozásokra egyre inkább jellemző a határokon átnyúló tevékenység, a polgárok pedig egyre többször vesznek igénybe online szolgáltatásokat, a biztonsági eseményekre vonatkozó információkat összesített formában, uniós szinten kell rendelkezésre bocsátani. Ezért célszerű lenne, ha a CSIRT-ek hálózatának titkársága maga is fenntartana egy olyan weboldalt, vagy egy meglévő weboldalon működtetne egy olyan oldalt, ahol a lakosság általános információkhoz juthat az Unióban bekövetkezett főbb biztonsági eseményekről, különös hangsúlyt helyezve a vállalkozások érdekeire és szükségleteire. A CSIRT-ek hálózatában részt vevő számítógép-biztonsági eseményekre reagáló csoportokat javasolt arra ösztönözni, hogy önkéntes alapon rendelkezésre bocsájtsák azokat az információkat, amelyeket közzé kell tenni ezen a weboldalon, amely weboldal nem tartalmazhat bizalmas vagy különleges adatokat.

(41)

Az üzleti titokra vonatkozó uniós és nemzeti szabályok értelmében bizalmasnak minősített információk esetében az ezen irányelvben előírt tevékenységek végrehajtása és célkitűzések megvalósítása során biztosítani kell a szóban forgó információk bizalmas kezelését.

(42)

A tagállamok hálózati és információs rendszerek biztonsága vonatkozásában fennálló felkészültségének és együttműködésének teszteléséhez elengedhetetlenek a valós idejű biztonsági események forgatókönyvét szimuláló gyakorlatok. Az ENISA által koordinált és a tagállamok részvételével zajló CyberEurope gyakorlatok hasznos eszközt jelentenek a tesztelésre és azoknak az ajánlásoknak a kidolgozására, amelyek arra vonatkoznak, hogy hosszabb távon miként lehetne uniós szinten javítani a biztonsági események kezelését. Figyelembe véve azt, hogy a tagállamok számára jelenleg nem kötelező sem ilyen gyakorlatok tervezése, sem az azokban való részvétel, a CSIRT-ek hálózatának ezen irányelv szerinti létrehozása lehetővé tenné a tagállamok számára, hogy pontos tervezési és stratégiai döntések alapján részt vegyenek a gyakorlatokban. Az ezen irányelv értelmében létrehozott együttműködési csoportnak kell megvitatnia a gyakorlatokra vonatkozó stratégiai döntéseket, mindenekelőtt de nem kizárólag a gyakorlatok rendszerességét és a forgatókönyvek kialakítását illetően. Az ENISA-nak a megbízatásával összhangban támogatnia kell az unió szintjén zajló gyakorlatok megszervezését és lebonyolítását, mégpedig annak révén, hogy szakértői véleménnyel és tanácsadással segíti az együttműködési csoportot és a CSIRT-ek hálózatát.

(43)

A hálózati és információs rendszerek biztonságát érintő problémák globális jellegére való tekintettel szorosabb nemzetközi együttműködésre van szükség a biztonsági előírások és az információcsere továbbfejlesztése, valamint a biztonságot érintő közös globális megközelítés előmozdítása érdekében.

(44)

A hálózati és információs rendszerek biztonságának biztosítása nagymértékben az alapvető szolgáltatásokat nyújtó szereplők és a digitális szolgáltatók felelőssége. Megfelelő szabályozási követelményeken és önkéntes ágazati gyakorlatokon keresztül ösztönözni és fejleszteni kell a – kockázatértékelésre és a felmerülő kockázatok súlyosságának megfelelő biztonsági intézkedések végrehajtására egyaránt kiterjedő – kockázatkezelési kultúrát. Az együttműködési csoport és a CSIRT-ek hálózatának eredményes működése és ezen keresztül a tagállamok hatékony együttműködése szempontjából mindemellett rendkívül fontos a minden kétséget kizáróan egyenlő versenyfeltételek megteremtése.

(45)

Ez az irányelv kizárólag azon közigazgatási szervekre alkalmazandó, amelyeket alapvető szolgáltatásokat nyújtó szereplőként azonosítottak. Az ezen irányelv hatálya nem alá nem tartozó közigazgatási szervek hálózati és információs rendszereik esetében ezért a tagállamok felelőssége, hogy gondoskodjanak azok biztonságáról.

(46)

A kockázatkezelési intézkedések körébe olyan intézkedések tartoznak, mint a biztonsági események kockázatainak azonosítása, a biztonsági események megelőzése, felderítése és kezelése, valamint hatásaik enyhítése. A hálózati és információs rendszerek biztonsága magában foglalja a tárolt, továbbított és kezelt adatok biztonságát.

(47)

Az illetékes hatóságok számára továbbra is biztosítani kell azt a jogot, hogy nemzeti iránymutatásokat fogadjanak el arról, hogy az alapvető szolgáltatást nyújtó szereplőknek milyen körülmények esetén kell bejelenteniük a biztonsági eseményeket.

(48)

Az Unióban számos vállalkozás digitális szolgáltatókat vesz igénybe szolgáltatásai nyújtásához. Mivel néhány digitális szolgáltatás fontos forrást jelenthet az azt igénybe vevői számára, így az alapvető szolgáltatást nyújtó szereplők számára is, és mivel ezeknek a felhasználóknak nem állnak mindig rendelkezésükre más elérhető alternatívák, ezt az irányelvet alkalmazni kell az ilyen szolgáltatókra is. Az ezen irányelvben említett digitális szolgáltatástípusok biztonságos volta, folyamatossága és megbízhatósága számos vállalkozás zavartalan működésének nélkülözhetetlen eleme. A felsorolt digitális szolgáltatásokban bekövetkező zavar akadályozhatja más, arra épülő szolgáltatások nyújtását is, és emiatt az Unió egészében hatást gyakorolhat alapvető gazdasági és társadalmi tevékenységekre. Az ilyen digitális szolgáltatások ezért rendkívül fontosak lehetnek a tőlük függő vállalkozások zavartalan működéséhez, sőt, a belső piacon való szereplésükhöz és az Unión belüli határokon átnyúló kereskedelemben való részvételükhöz is. Az ezen irányelv hatálya alá tartozó digitális szolgáltatók alatt azokat a szolgáltatókat kell érteni, akik olyan digitális szolgáltatásokat kínálnak, amelyeket az Unióban működő vállalkozások egyre nagyobb mértékben igénybe vesznek.

(49)

Figyelemmel arra, hogy a digitális szolgáltatók szolgáltatásai mennyire fontosak az Unión belüli más vállalkozások működéséhez, a digitális szolgáltatóknak olyan biztonsági szintről kell gondoskodniuk, amely arányos az általuk nyújtott digitális szolgáltatás biztonságát érintő kockázatok mértékével. A gyakorlatban a kritikus társadalmi és gazdasági tevékenységek fenntartásához gyakran elengedhetetlen alapvető szolgáltatásokat nyújtó szereplők tekintetében jelentkező kockázatok mértéke magasabb, mint a digitális szolgáltatók esetében. A digitális szolgáltatókra vonatkozó biztonsági követelményeknek ezért enyhébbeknek kell lenniük. A digitális szolgáltatók számára továbbra is lehetővé kell tenni, hogy meghozzák azokat az intézkedéseket, amelyeket megfelelőnek ítélnek a hálózati és információs rendszereik biztonságát érintő kockázatok kezelésére. Tevékenységeik határokon átnyúló jellege miatt a digitális szolgáltatókra uniós szinten egy harmonizáltabb megközelítést kell alkalmazni. A vonatkozó intézkedések meghatározását és végrehajtását végrehajtási jogi aktusok útján kell könnyebbé tenni.

(50)

Bár a hardvergyártók és a szoftverfejlesztők nem minősülnek alapvető szolgáltatást nyújtó szereplőknek vagy digitális szolgáltatóknak, termékeik fokozzák a hálózati és információs rendszerek biztonságát. Emiatt fontos szerepet játszanak, hiszen lehetővé teszik az alapvető szolgáltatásokat nyújtó szereplők és a digitális szolgáltatók számára, hogy biztonságossá tegyék hálózati és információs rendszereiket. Az említett hardver- és szoftvertermékekre a termékfelelősségre vonatkozó hatályos szabályok vonatkoznak.

(51)

Az alapvető szolgáltatásokat nyújtó szereplőkre és a digitális szolgáltatókra vonatkozó műszaki és szervezeti intézkedések nem követelhetik meg, hogy egy adott információ- vagy kommunikációtechnológiai kereskedelmi termék tervezése, kialakítása vagy előállítása valamely meghatározott módon történjék.

(52)

Az alapvető szolgáltatásokat nyújtó szereplőknek és a digitális szolgáltatóknak gondoskodniuk kell az általuk használt hálózati és információs rendszerek biztonságáról. Ezek elsősorban olyan magánkézben lévő hálózati és információs rendszerek, amelyek kezelését saját informatikus munkatársak végzik, illetve amelyek biztonsági karbantartását kiszervezték. A biztonsági és jelentéstételi követelményeket alkalmazni kell az alapvető szolgáltatásokat nyújtó érintett gazdasági szereplőkre és az érintett digitális szolgáltatókra, függetlenül attól, hogy saját maguk végzik vagy kiszervezik hálózati és információs rendszereik karbantartását.

(53)

Annak elkerülése érdekében, hogy az alapvető szolgáltatásokat nyújtó szereplőkre és a digitális szolgáltatókra aránytalanul nagy pénzügyi és adminisztratív terhek háruljanak, a követelményeknek – a legújabb technikai lehetőségekre figyelemmel – arányosaknak kell lenniük az adott hálózati és információs rendszert érintő kockázatokkal. Digitális szolgáltatók esetében az említett követelmények a mikro- és kisvállalkozásokra nem alkalmazandók.

(54)

Amennyiben a tagállami közigazgatási szervek digitális szolgáltatók által kínált szolgáltatásokat, különösen felhőlapú számítástechnikai szolgáltatásokat vesznek igénybe, a szolgáltatótól kérhetik kiegészítő – a digitális szolgáltatók által az ezen irányelv követelményeinek való megfelelés céljából kínált intézkedéseken túlmutató – biztonsági intézkedések meghozatalát. Erre az említett közigazgatási szerveknek szerződéses kötelezettségek útján nyílhat lehetősége.

(55)

Az online piactér, az online keresőprogram és a felhőlapú számítástechnikai szolgáltatás fogalmának ezen irányelvben foglalt meghatározása ezen irányelv alkalmazásában érvényes, és nem érint semmilyen más jogi eszközt.

(56)

Ez az irányelv nem gátolja a tagállamokat abban, hogy nemzeti szintű intézkedéseket fogadjanak el, amelyek arra kötelezik a közigazgatási szerveket, hogy felhőlapú számítástechnikai szolgáltatásokra vonatkozó szerződések megkötése esetén konkrét biztonsági követelmények érvényesítéséről gondoskodjanak. Minden ilyen nemzeti intézkedésnek az érintett közigazgatási szervre kell vonatkoznia, nem pedig a felhőlapú számítástechnikai szolgáltatást nyújtó szolgáltatóra.

(57)

Szem előtt tartva azokat a jelentős különbségeket, amelyek egyrészről az alapvető szolgáltatásokat nyújtó szereplők között állnak fenn különösen a fizikai infrastruktúrához való közvetlen kapcsolódásuk tekintetében, másrészről pedig a digitális szolgáltatók között különösen a határokon átnyúló jellegük tekintetében, ez az irányelv e két csoport esetében differenciált megközelítést alkalmaz a harmonizáció szintjét illetően. Az alapvető szolgáltatásokat nyújtó szereplők vonatkozásában a tagállamoknak képesnek kell lenniük mind az érintett szereplők azonosítására, mind pedig arra, hogy az ezen irányelvben foglalt követelményeknél szigorúbb követelményeket állapítsanak meg e szereplők számára. A tagállamoknak a digitális szolgáltatókat nem kell azonosítaniuk, mivel ezt az irányelvet a hatálya alá tartozó minden digitális szolgáltatóra alkalmazni kell. Ezen túlmenően ennek az irányelvnek – csakúgy, mint az értelmében elfogadott valamennyi végrehajtási jogi aktusnak – a digitális szolgáltatók esetében biztosítania kell a biztonsági és bejelentési követelmények magas szintű harmonizációját. Mindennek lehetővé kell tennie az Unió egészében a digitális szolgáltatók egységes kezelését, a jellegükkel és az őket esetlegesen érintő kockázatok mértékével arányos módon.

(58)

Ez az irányelv nem gátolja a tagállamokat abban, hogy az uniós jog szerinti kötelezettségeik sérelme nélkül biztonsági és bejelentési követelményeket állapítsanak meg azon szervekre vonatkozóan, amelyek nem minősülnek az e rendelet hatálya szerinti digitális szolgáltatónak.

(59)

Az illetékes hatóságoknak kellő figyelmet kell fordítaniuk az informális és bizalmi információmegosztási csatornák megőrzésére. Az illetékes hatóságok felé bejelentett biztonsági események nyilvánosságra hozatala tekintetében két dolgot kell kellően mérlegelni: egyrészt azt, hogy milyen előnyök származnak abból, ha a nyilvánosságot tájékoztatják a fenyegetésekről, másrészt pedig azt, hogy a nyilvánosságra hozatal esetlegesen milyen károkat okozhat a biztonsági eseményeket bejelentő, alapvető szolgáltatásokat nyújtó szereplők és digitális szolgáltatók hírneve és kereskedelmi tevékenysége szempontjából. A bejelentési kötelezettségek teljesítése során az illetékes hatóságoknak és a CSIRT-eknek külön figyelmet kell fordítaniuk arra, hogy a megfelelő biztonsági korrekciós intézkedések meghozataláig a termékek gyenge pontjai szigorúan titokban maradjanak.

(60)

A digitális szolgáltatókra az általuk nyújtott szolgáltatások és az általuk végzett tevékenységek jellege okán kevésbé szigorú és reaktív utólagos felügyeleti tevékenységnek kell vonatkoznia. Az érintett illetékes hatóságnak ezért csak akkor – különösen egy biztonsági esemény bekövetkeztét követően – kell lépéseket tennie, ha minden kétséget kizáróan tudomást szerez arról, például magától a digitális szolgáltatótól, egy másik – akár egy másik tagállami – illetékes hatóságtól, vagy a szolgáltatás igénybevevőjétől, hogy a digitális szolgáltató nem felel meg ezen irányelv követelményeinek. A digitális szolgáltatók felügyeletét ezért nem kell az illetékes hatóság számára általános kötelezettségként előírni.

(61)

Az illetékes hatóságoknak rendelkezniük kell a feladataik teljesítéséhez szükséges eszközökkel, beleértve azt a hatáskört is, hogy megszerezzék a hálózati és információs rendszerek biztonsági szintjének értékeléséhez szükséges megfelelő mennyiségű információt.

(62)

A biztonsági események hátterében bűncselekmények is állhatnak, ezek megelőzését, kivizsgálását és büntetőeljárás alá vonását elősegíti, ha az alapvető szolgáltatásokat nyújtó szereplők, a digitális szolgáltatók, az illetékes hatóságok és a bűnüldöző hatóságok koordinálják tevékenységeiket és együttműködnek egymással. Amennyiben egy biztonsági esemény gyaníthatóan uniós vagy nemzeti jog szerinti súlyos bűncselekményekhez köthető, a tagállamoknak arra kell ösztönözniük az alapvető szolgáltatásokat nyújtó szereplőket és a digitális szolgáltatókat, hogy a gyaníthatóan súlyos bűncselekmény jellegét öltő biztonsági eseményt jelentsék az érintett bűnüldöző hatóságok felé. Adott esetben ajánlott, hogy a Számítástechnikai Bűnözés Elleni Európai Központ és az ENISA elősegítse a különböző tagállamokban működő illetékes hatóságok és bűnüldöző hatóságok közötti koordinációt.

(63)

A biztonsági események kapcsán sok esetben személyes adatok kerülnek veszélybe. Ebben az összefüggésben az illetékes hatóságoknak és az adatvédelmi hatóságoknak együtt kell működniük és információt kell cserélniük egymással minden vonatkozó kérdésről, hogy fel lehessen venni a küzdelmet a személyes adatok biztonsági eseményekből eredő bármely megsértése ellen.

(64)

A digitális szolgáltatónak azon tagállam joghatósága alá kell tartoznia, amelyben az érintett digitális szolgáltatónak az Unióban a központi ügyvezetés helye található, és amely elvben megegyezik az Unión belüli székhelyével. A letelepedés valamely tevékenység tényleges és valós, tartós jelleget biztosító keretek közötti gyakorlását feltételezi. E keretek jogi formája – legyen szó akár fióktelepről vagy jogi személyiséggel rendelkező leányvállalatról – e tekintetben nem meghatározó tényező. Ez a kritérium nem függhet attól, hogy a hálózati és információs rendszerek fizikailag egy adott helyen találhatók-e; e rendszerek tényleges jelenléte és használata önmagában nem hoz létre központi ügyvezetési helyet, ezért nem is alkalmazható kritériumként a központi ügyvezetés helyének meghatározásához.

(65)

Annak a digitális szolgáltatónak, amely szolgáltatásait az Unión belül kínálja, de az Unióban nincs letelepedve, képviselőt kell kineveznie. Annak megállapítása érdekében, hogy az ilyen digitális szolgáltató az Unión belül kínálja-e szolgáltatásait, meg kell bizonyosodni arról, hogy nyilvánvaló-e, hogy a digitális szolgáltatónak szándékában áll szolgáltatásokat nyújtani személyek számára egy vagy több tagállamban. Nem tekintendő e szándék nyilvánvaló jelének annak a puszta ténye, hogy a digitális szolgáltató vagy valamely közvetítő honlapja, e-mail címe vagy más elérhetősége hozzáférhető az Unióban, sem pedig a digitális szolgáltató letelepedési helye szerinti harmadik országban általánosan használt nyelv használata. Ha viszont például a digitális szolgáltató olyan nyelvet vagy pénznemet használ, amely egy vagy több tagállamban is általánosan használatos, és így lehetőséget biztosít szolgáltatásoknak az említett másik nyelven történő megrendelésére, vagy unióbeli fogyasztókra vagy felhasználókra tesz utalást, az egyértelműen jelezheti, hogy a digitális szolgáltató szolgáltatásokat szándékozik kínálni az Unión belül. A képviselőnek a digitális szolgáltató nevében kell eljárnia, az illetékes hatóságoknak vagy a CSIRT-nek pedig lehetősége kell hogy legyen arra, hogy felvegye a kapcsolatot a képviselővel. A digitális szolgáltatónak írásban kell felhatalmaznia a képviselőt arra, hogy a nevében eljárjon az ezen irányelv szerinti kötelezettségei vonatkozásában, ideértve a biztonsági események bejelentését is.

(66)

A biztonsági követelmények szabványosítása piacvezérelt folyamat. A biztonsági szabványok egymáshoz közelítő alkalmazásának biztosítása érdekében a tagállamoknak ösztönözniük kell a meghatározott szabványoknak való megfelelést, hogy ezzel uniós szinten is érvényesüljön a hálózati és információs rendszerek magas szintű biztonsága. Az ENISA-nak e kérdésben tanácsadással és iránymutatásokkal kell segítenie a tagállamokat. E célból hasznos lehet harmonizált szabványok kidolgozása, amit az 1025/2012/EU európai parlamenti és tanácsi rendelettel (8) összhangban kell végezni.

(67)

Az ezen irányelv hatályán kívül eső szervezetek is szembesülhetnek olyan biztonsági eseményekkel, amelyek jelentős hatást gyakorolnak az általuk nyújtott szolgáltatásokra. Lehetővé kell tenni, hogy amennyiben ezek a szervezetek úgy vélik, hogy közérdeket szolgál az ilyen események bejelentése, azt önkéntes alapon megtehessék. A bejelentéseket az illetékes hatóságoknak vagy a CSIRT-nek kell feldolgozniuk, ha az nem jelent aránytalan vagy indokolatlan terhet az érintett tagállamok számára.

(68)

Ezen irányelv egységes feltételek mellett történő végrehajtásának biztosítása érdekében a Bizottságot végrehajtási hatáskörökkel kell felruházni annak érdekében, hogy meghatározza az együttműködési csoport működéséhez szükséges eljárásrendet, valamint a digitális szolgáltatókra alkalmazandó biztonsági és bejelentési követelményeket. Ezt a hatáskört a 182/2011/EU európai parlamenti és tanácsi rendeletnek (9) megfelelően kell gyakorolni. Az együttműködési csoport működéséhez szükséges eljárásrendre vonatkozó végrehajtási jogi aktusok elfogadásakor a Bizottságnak a lehető legnagyobb mértékben figyelembe kell vennie az ENISA véleményét.

(69)

A digitális szolgáltatókra alkalmazandó biztonsági és bejelentési követelményekre vonatkozó végrehajtási jogi aktusok elfogadásakor a Bizottságnak a lehető legnagyobb mértékben figyelembe kell vennie az ENISA véleményét, és konzultálnia kell az érdekelt felekkel. Emellett ajánlott, hogy a a Bizottság vegye figyelembe a következőket: a rendszerek és létesítmények biztonsága tekintetében: fizikai és környezeti biztonság, az ellátás biztonsága, a hálózati és információs rendszerek integritása és az e rendszerekhez való hozzáférés ellenőrzése; a biztonsági események kezelése tekintetében: a biztonsági esemény kezelésére szolgáló eljárások, a biztonsági esemény észlelésének képessége, a biztonsági esemény bejelentése és az eseményről való tájékoztatás; az üzletmenetfolytonosság-menedzsment tekintetében: a szolgáltatások folytonosságát szolgáló stratégiai és vészhelyzeti tervek, katasztrófaelhárítási képességek; a monitoring, az audit és a tesztelés tekintetében: a monitoringra és a naplózásra vonatkozó előírások, a vészhelyzeti tervek gyakorlása, a hálózati és információs rendszerek tesztelése, biztonsági értékelések és a megfelelés monitoringja.

(70)

Ezen irányelv végrehajtása során a Bizottságnak megfelelő kapcsolatot kell fenntartania az érintett ágazati bizottságokkal és az irányelv hatálya alá tartozó területeken uniós szinten létrehozott érintett szervekkel.

(71)

A Bizottságnak ezen irányelv rendelkezéseit – az érdekelt felekkel egyeztetve – időszakonként felül kell vizsgálnia, különösen annak megállapítása céljából, hogy a társadalmi, politikai, technológiai és piaci feltételek változásai tükrében szükség van-e az irányelv módosítására.

(72)

A kockázatokkal és a biztonsági eseményekkel kapcsolatos információknak az együttműködési csoportokon és a CSIRT-ek hálózatán keresztül történő megosztása, valamint a biztonsági eseményeknek a nemzeti illetékes hatóságok vagy a CSIRT-ek számára történő bejelentésére vonatkozó követelményeknek való megfelelés személyes adatok kezelését teheti szükségessé. Az ilyen adatkezelésnek meg kell felelnie a 95/46/EK európai parlamenti és tanácsi irányelvben (10) és a 45/2001/EK európai parlamenti és tanácsi rendeletben (11) foglaltaknak. Ezen irányelv alkalmazásakor adott esetben alkalmazni kell az 1049/2001/EK európai parlamenti és tanácsi rendeletet (12).

(73)

Az európai adatvédelmi biztossal való konzultáció a 45/2001/EK rendelet 28. cikkének (2) bekezdésével összhangban megtörtént, a biztos 2013. június 14-én nyilvánított véleményt (13).

(74)

Mivel e rendelet célját, nevezetesen a hálózati és információs rendszerek egységesen magas szintű biztonságának uniós megvalósítását a tagállamok nem tudják kielégítően megvalósítani, az Unió szintjén azonban az intézkedés hatása miatt e cél jobban megvalósítható, az Unió intézkedéseket hozhat az Európai Unióról szóló szerződés 5. cikkében foglalt szubszidiaritás elvének megfelelően. Az említett cikkben foglalt arányosság elvének megfelelően ez az irányelv nem lépi túl az említett cél eléréséhez szükséges mértéket.

(75)

Ez az irányelv tiszteletben tartja az Európai Unió Alapjogi Chartája által elismert alapvető jogokat és szem előtt tartja az abban rögzített elveket, különösen a magánélet és a kapcsolattartás tiszteletben tartásához való jogot, a személyes adatok védelméhez való jogot, a vállalkozás szabadságát, a tulajdonhoz való jogot, a bíróság előtti hatékony jogorvoslathoz való jogot és a meghallgatáshoz való jogot. Ezen irányelvet az említett elvekkel és jogokkal összhangban kell végrehajtani,

a)

valamennyi tagállam számára kötelezettségeket állapít meg a hálózati és információs rendszerek biztonsága nemzeti stratégiájának elfogadására vonatkozóan;

b)

létrehoz egy együttműködési csoportot a tagállamok közötti stratégiai együttműködés és információcsere támogatása és elősegítése, valamint a közöttük lévő bizalom erősítése céljából;

c)

létrehozza a számítógép-biztonsági eseményekre reagáló csoportok hálózatát (a továbbiakban: CSIRT-ek hálózata) a tagállamok közötti bizalom erősítéséhez való hozzájárulás, valamint a gyors és hatékony operatív együttműködés előmozdítása céljából;

d)

biztonsági és bejelentési követelményeket állapít meg az alapvető szolgáltatásokat nyújtó szereplők és a digitális szolgáltatók számára;

e)

a tagállamok számára kötelezettségeket állapít meg arra vonatkozóan, hogy a hálózati és információs rendszerek biztonságával kapcsolatos feladatok ellátására jelöljenek ki nemzeti illetékes hatóságokat, egyedüli kapcsolattartó pontokat, valamint CSIRT-eket.

a)

a 2002/21/EK irányelv 2. cikkének a) pontja szerinti elektronikus hírközlő hálózat;

b)

minden olyan eszköz vagy egymással összekapcsolt vagy kapcsolatban álló eszközök csoportja, amelyek közül egy vagy több valamely program alapján digitális adatok automatizált kezelését végzi; vagy

c)

az a) és b) pontban szereplő elemek által működésük, használatuk, védelmük és karbantartásuk céljából tárolt, kezelt, visszakeresett vagy továbbított digitális adatok;

a)

a szervezet a kritikus társadalmi és/vagy gazdasági tevékenységek fenntartásához alapvető szolgáltatást nyújt;

b)

az adott szolgáltatás nyújtása hálózati és információs rendszerektől függ; és

c)

az említett szolgáltatást érintő biztonsági esemény jelentős zavart okozna a szolgáltatás nyújtásában.

a)

az alapvető szolgáltatásokat nyújtó szereplők azonosítását lehetővé tevő nemzeti intézkedések;

b)

a (3) bekezdésben említett szolgáltatások jegyzéke;

c)

a II. mellékletben felsorolt egyes ágazatokban azonosított, alapvető szolgáltatásokat nyújtó szereplők száma, és annak feltüntetése, hogy az adott ágazat szempontjából mekkora a jelentőségük;

d)

küszöbértékek – ha vannak – az adott szolgáltatásra támaszkodó felhasználók 6. cikk (1) bekezdésének a) pontjában említett száma vagy az alapvető szolgáltatásokat nyújtó konkrét gazdasági szereplő 6. cikk (1) bekezdésének f) pontjában említett jelentősége alapján történő releváns ellátási szint meghatározásához.

a)

az érintett szervezet által nyújtott szolgáltatásra támaszkodó felhasználók száma;

b)

a II. mellékletben említett más ágazatok függése az említett szervezet által nyújtott szolgáltatástól;

c)

az, hogy a biztonsági események – mértéküket és időtartamukat tekintve – milyen hatást gyakorolnának a gazdasági és társadalmi tevékenységekre vagy a közbiztonságra;

d)

az említett szervezet piaci részesedése;

e)

az adott biztonsági esemény által esetlegesen érintett terület földrajzi kiterjedése;

f)

az, hogy a szervezetnek mekkora jelentősége van a szolgáltatás elégséges szintjének fenntartásában, figyelembe véve az adott szolgáltatás nyújtásához rendelkezésre álló egyéb lehetőségeket is.

a)

a hálózati és információs rendszerek biztonságára vonatkozó nemzeti stratégia céljai és prioritásai;

b)

a hálózati és információs rendszerek biztonságára vonatkozó nemzeti stratégia céljainak és prioritásainak teljesítését szolgáló irányítási keretrendszer, ideértve a kormányzati szervek és egyéb érintett szereplők szerepkörét és felelősségét is;

c)

a felkészültségre, a reagálásra és a helyreállításra vonatkozó intézkedések azonosítása, ideértve a köz- és a magánszféra közötti együttműködést is;

d)

a hálózati és információs rendszerek biztonságára vonatkozó nemzeti stratégiához kapcsolódó oktatási, tájékoztató és képzési programok megjelölése;

e)

a hálózati és információs rendszerek biztonságára vonatkozó nemzeti stratégiához kapcsolódó kutatási és fejlesztési tervek megjelölése;

f)

a kockázatok feltárására szolgáló kockázatértékelési terv;

g)

a hálózati és információs rendszerek biztonságára vonatkozó nemzeti stratégia végrehajtásába bevont különböző szereplők jegyzéke.

a)

stratégiai iránymutatást nyújt a 12. cikk értelmében létrehozott CSIRT-ek hálózata által végzett tevékenységekhez;

b)

megosztja a 14. cikk (3) és (5) bekezdésében, valamint a 16. cikk (3) és (6) bekezdésében említett biztonsági események bejelentésével kapcsolatos információcserére vonatkozó bevált gyakorlatot;

c)

biztosítja a bevált gyakorlatok tagállamok közötti cseréjét, és az ENISA közreműködésével segítséget nyújt a tagállamoknak a hálózati és információs rendszerek biztonságának kapacitásbővítéséhez;

d)

megvitatja a tagállamok képességeit és felkészültségét, önkéntes alapon értékeli a hálózati és információs rendszerek biztonságára vonatkozó nemzeti stratégiákat és a CSIRT-ek hatékonyságát, továbbá meghatározza a bevált gyakorlatokat;

e)

megosztja a tájékoztatással és képzéssel kapcsolatos információkat és bevált gyakorlatot;

f)

megosztja a hálózati és információs rendszerek biztonságának kutatásával és fejlesztésével kapcsolatos információkat és bevált gyakorlatot;

g)

adott esetben megosztja a hálózati és információs rendszerek biztonságával kapcsolatos tapasztalatokat az érintett uniós intézményekkel, szervekkel, hivatalokkal és ügynökségekkel;

h)

megvitatja az érintett európai szabványügyi szervezetek képviselőivel a 19. cikkben említett szabványokat és előírásokat;

i)

összegyűjti a kockázatokkal és biztonsági eseményekkel kapcsolatos bevált gyakorlatra vonatkozó információkat;

j)

évente megvizsgálja a 10. cikk (3) bekezdésének második albekezdésében említett összefoglaló jelentéseket;

k)

megvitatja a hálózati és információs rendszerek biztonsági gyakorlataival, az oktatási programokkal és a képzéssel kapcsolatos munkát, ideértve az ENISA által végzett munkát is;

l)

az ENISA segítségével megosztja a bevált gyakorlatot az alapvető szolgáltatásokat nyújtó szereplők tagállami meghatározásával kapcsolatban, beleértve a határokon átnyúló függőségeket, a biztonsági kockázatokra és biztonsági eseményekre vonatkozóan is;

m)

megvitatja a biztonsági eseményekkel kapcsolatban tett, a 14. és a 16. cikkben említett bejelentések alapján hozott szabályokat.

a)

megosztja a CSIRT-ek szolgáltatási, operatív és együttműködési képességeivel kapcsolatos információkat;

b)

egy biztonsági esemény által potenciálisan érintett tagállami CSIRT képviselőjének kérésére megosztja és megvitatja az adott eseményre és a kapcsolódó kockázatokra vonatkozó, üzleti szempontból nem érzékeny információkat, bármely tagállami CSIRT megtagadhatja azonban az e vitában való közreműködést, ha emiatt sérülhet a biztonsági esemény kivizsgálása;

c)

önkéntesen megosztja és rendelkezésre bocsátja az egyes biztonsági eseményekre vonatkozó nem bizalmas információkat;

d)

valamely tagállami CSIRT képviselőjének kérésére megvitatja az érintett tagállam joghatósága alá tartozó területen bekövetkezett biztonsági eseményt, és lehetőség szerint koordinált választ ad a problémára;

e)

segítséget nyújt a tagállamoknak a határon átnyúló biztonsági események önkéntes kölcsönös segítségnyújtás keretében történő kezeléséhez;

f)

megvitatja, megvizsgálja és meghatározza az operatív együttműködés további formáit, többek között az alábbiakkal kapcsolatban:

g)

tájékoztatja az együttműködési csoportot a tevékenységeiről és az operatív együttműködésnek az f) pont szerint megvitatott további formáiról, és iránymutatást kér az operatív együttműködésre nézve;

h)

megvitatja a hálózati és információs rendszerek biztonsági gyakorlataiból levont tanulságokat, ideértve az ENISA által szervezett gyakorlatok tanulságait is;

i)

egy adott CSIRT kérésére megvitatja e CSIRT képességeit és felkészültségét;

j)

iránymutatásokat bocsát ki az e cikk rendelkezéseinek alkalmazása tekintetében az abban foglalt operatív együttműködésre vonatkozóan a működési gyakorlatok közelítésének megkönnyítése érdekében.

a)

az alapvető szolgáltatás zavara által érintett felhasználók száma;

b)

a biztonsági esemény időtartama;

c)

a biztonsági esemény által érintett terület földrajzi kiterjedése.

a)

bocsássák rendelkezésre a hálózatai és információs rendszereik biztonságának megállapításához szükséges adatokat, beleértve a biztonsági szabályzatukra vonatkozóakat is;

b)

igazolják a biztonsági szabályzatok eredményes végrehajtását, például egy illetékes hatóság vagy egy képesített ellenőr által végzett biztonsági ellenőrzés eredményeinek benyújtásával, és az utóbbi esetben bocsássák az eredményeket – az azokat alátámasztó bizonyítékokat is beleértve – az illetékes hatóság rendelkezésére.

a)

a rendszerek és a létesítmények biztonsága;

b)

a biztonsági események kezelés;,

c)

üzletmenetfolytonosság-menedzsment;

d)

monitoring, ellenőrzés és vizsgálat;

e)

a nemzetközi szabványoknak való megfelelés.

a)

a biztonsági esemény által érintett felhasználók száma, különös tekintettel azon felhasználókra, akik az érintett szolgáltatásra alapozzák a saját szolgáltatásaik nyújtását;

b)

a biztonsági esemény időtartama;

c)

a biztonsági esemény által érintett terület földrajzi kiterjedése;

d)

a szolgáltatás működésében támadt zavar mértéke;

e)

a gazdasági és társadalmi tevékenységekre gyakorolt hatás mértéke.

a)

bocsássák rendelkezésre a hálózati és információs rendszereik biztonságának megállapításához szükséges adatokat, beleértve a biztonsági szabályzataikra vonatkozóakat is;

b)

gondoskodjanak minden, a 16. cikkben foglalt követelményeknek való megfelelés terén tapasztalt hiányosság megszüntetéséről.