19.7.2016   

SK

Úradný vestník Európskej únie

L 194/1

(1)

Siete a informačné systémy a služby zohrávajú v spoločnosti kľúčovú úlohu. Ich spoľahlivosť a bezpečnosť sú nevyhnutné pre hospodárske a spoločenské činnosti, a najmä pre fungovanie vnútorného trhu.

(2)

Rozsah, frekvencia a vplyv bezpečnostných incidentov sa zvyšujú a predstavujú významnú hrozbu pre fungovanie sietí a informačných systémov. Tieto systémy sa tiež môžu stať cieľom úmyselného škodlivého konania, účelom ktorého je poškodiť alebo prerušiť fungovanie týchto systémov. Takéto incidenty môžu zabraňovať realizácii ekonomických aktivít, spôsobovať značné finančné straty, narúšať dôveru používateľa a spôsobovať značné škody hospodárstvu Únie.

(3)

Siete a informačné systémy, a predovšetkým internet zohrávajú zásadnú úlohu pri uľahčovaní cezhraničného pohybu tovaru, služieb a osôb. Z dôvodu tohto nadnárodného charakteru môžu mať zásadné narušenia týchto systémov, či už úmyselné, alebo nie, a bez ohľadu na to, kde k nim dôjde, dôsledky pre jednotlivé členské štáty aj Úniu ako celok. Bezpečnosť sietí a informačných systémov je preto základným predpokladom hladkého fungovania vnútorného trhu.

(4)

Na základe značného pokroku, ktorý sa dosiahol v rámci Európskeho fóra členských štátov pri podpore diskusií a výmen týkajúcich sa osvedčených postupov vrátane formulácie zásad pre európsku spoluprácu pri kybernetickej kríze, by sa mala zriadiť skupina pre spoluprácu zložená zo zástupcov členských štátov, Komisie a Agentúry Európskej únie pre sieťovú a informačnú bezpečnosť (ďalej len „agentúra ENISA“) na účely podpory a uľahčenia strategickej spolupráce medzi členskými štátmi v oblasti bezpečnosti sietí a informačných systémov. Aby bola práca tejto skupiny efektívna a inkluzívna, všetky členské štáty musia disponovať minimálnymi spôsobilosťami a stratégiou, ktoré by na ich území zaistili vysokú úroveň bezpečnosti sietí a informačných systémov. Okrem toho by sa na prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb mali uplatňovať bezpečnostné a oznamovacie požiadavky s cieľom podporovať kultúru riadenia rizika a zaistiť oznamovanie najzávažnejších incidentov.

(5)

Existujúce spôsobilosti nie sú na zaručenie vysokej úrovne bezpečnosti sietí a informačných systémov v Únii postačujúce. V členských štátoch je rôzna úroveň pripravenosti, čo vedie k fragmentácii prístupov v Únii. To má za následok rozdielnu úroveň ochrany spotrebiteľov a podnikov a narúša celkovú úroveň bezpečnosti sietí a informačných systémov v rámci Únie. Neexistencia spoločných požiadaviek na prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb zase znemožňuje, aby sa na úrovni Únie vytvoril globálny a účinný mechanizmus spolupráce. Univerzity a výskumné centrá zohrávajú rozhodujúcu úlohu pri podnecovaní výskumu, vývoja a inovácií v týchto oblastiach.

(6)

Účinné reagovanie na výzvy, pokiaľ ide o bezpečnosť sietí a informačných systémov, si preto vyžaduje komplexný prístup na úrovni Únie, ktorý by sa vzťahoval na spoločné minimálne požiadavky na budovanie kapacít a plánovanie, výmenu informácií, spoluprácu a spoločné bezpečnostné požiadavky pre prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb. Prevádzkovateľom základných služieb a poskytovateľom digitálnych služieb sa však nebráni uplatňovať prísnejšie bezpečnostné opatrenia, než sú opatrenia stanovené v tejto smernici.

(7)

Táto smernica by sa v záujme obsiahnutia všetkých relevantných incidentov a rizík mala uplatňovať tak na prevádzkovateľov základných služieb, ako aj poskytovateľov digitálnych služieb. Povinnosti vzťahujúce sa na prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb by sa však nemali uplatňovať na podniky poskytujúce verejné komunikačné siete alebo verejne dostupné elektronické komunikačné služby v zmysle smernice Európskeho parlamentu a Rady 2002/21/ES (3), ktoré podliehajú osobitným požiadavkám týkajúcim sa bezpečnosti a integrity stanoveným v uvedenej smernici, ani by sa nemali uplatňovať na poskytovateľov dôveryhodných služieb v zmysle nariadenia Európskeho parlamentu a Rady (EÚ) č. 910/2014 (4), ktorí podliehajú bezpečnostným požiadavkám stanoveným v uvedenom nariadení.

(8)

Touto smernicou by nemala byť dotknutá možnosť každého členského štátu prijať potrebné opatrenia na zaručenie ochrany základných záujmov vlastnej bezpečnosti, chrániť verejný poriadok a verejnú bezpečnosť a umožniť vyšetrovanie a odhaľovanie trestných činov, ako aj stíhanie ich páchateľov. V súlade s článkom 346 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“) nie je žiadny členský štát povinný poskytovať informácie, ktorých sprístupnenie podľa neho odporuje základným záujmom jeho bezpečnosti. V tejto súvislosti je relevantné rozhodnutie Rady 2013/488/EÚ (5) a dohody o zachovaní mlčanlivosti alebo neformálne dohody o zachovaní mlčanlivosti, ako je napr. tzv. semaforový protokol (Traffic Light Protocol – TLP).

(9)

Určité odvetvia hospodárstva sú už regulované alebo môžu byť v budúcnosti regulované právnymi aktmi Únie, ktoré sú špecifické pre jednotlivé odvetvia a zahŕňajú predpisy týkajúce sa bezpečnosti sietí a informačných systémov. Vždy keď tieto právne akty Únie obsahujú ustanovenia, ktorými sa ukladajú požiadavky týkajúce sa bezpečnosti sietí a informačných systémov alebo oznamovania incidentov, mali by sa uvedené ustanovenia uplatňovať, ak obsahujú požiadavky, ktorých účinok je aspoň rovnocenný s účinkom povinností obsiahnutých v tejto smernici. Členské štáty by potom mali uplatňovať ustanovenia takýchto právnych aktov Únie špecifických pre jednotlivé odvetvia vrátane ustanovení, ktoré sa týkajú právomoci, a nemali by vykonávať proces identifikácie prevádzkovateľov základných služieb v zmysle tejto smernice. V tejto súvislosti by členské štáty mali poskytnúť Komisii informácie o uplatňovaní takýchto ustanovení lex specialis. Pri určovaní, či sú požiadavky na bezpečnosť sietí a informačných systémov a oznamovanie incidentov obsiahnuté v právnych aktoch Únie špecifických pre jednotlivé odvetvia rovnocenné s požiadavkami stanovenými v tejto smernici, by sa mali zohľadňovať iba ustanovenia príslušných právnych aktov Únie a ich uplatňovanie v členských štátoch.

(10)

V odvetví vodnej dopravy sa bezpečnostné požiadavky pre spoločnosti, lode, prístavné zariadenia, prístavy a plavebno-prevádzkové služby podľa právnych aktov Únie vzťahujú na všetky operácie vrátane rádiových a telekomunikačných systémov, počítačových systémov a sietí. Časť povinných postupov, ktoré sa majú dodržiavať, zahŕňa oznamovanie všetkých incidentov, a preto by sa mala považovať za lex specialis, pokiaľ sú tieto požiadavky aspoň rovnocenné s príslušnými ustanoveniami tejto smernice.

(11)

Pri identifikácii prevádzkovateľov v odvetví vodnej dopravy by členské štáty mali zohľadniť súčasné a budúce medzinárodné kódexy a usmernenia, najmä Medzinárodnej námornej organizácie, s cieľom poskytovať jednotlivým prevádzkovateľom námornej dopravy ucelený prístup.

(12)

Regulácia a dohľad v odvetviach bankovníctva a infraštruktúr finančných trhov sú na úrovni Únie vo veľkej miere harmonizované, a to prostredníctvom primárneho a sekundárneho práva Únie a noriem vypracovaných spoločne s európskymi orgánmi dohľadu. V bankovej únii zabezpečuje uplatňovanie uvedených požiadaviek a dohľad nad nimi jednotný mechanizmus dohľadu. V prípade členských štátov, ktoré nie sú súčasťou bankovej únie, sa to zabezpečuje prostredníctvom príslušných bankových regulačných orgánov členských štátov. Vysoký stupeň štandardizácie a zbližovania postupov v oblasti dohľadu zabezpečuje v iných oblastiach regulácie finančného odvetvi aj európsky systém finančného dohľadu. Európsky orgán pre cenné papiere a trhy taktiež vykonáva pre niektoré subjekty, najmä ratingové agentúry a archívy obchodných údajov, funkciu priameho dohľadu.

(13)

Operačné riziko je kľúčovou časťou prudenciálnej regulácie a dohľadu v odvetviach bankovníctva a infraštruktúr finančných trhov. Vzťahuje sa na všetky operácie vrátane bezpečnosti, integrity a odolnosti sietí a informačných systémov. Požiadavky v súvislosti s uvedenými systémami, ktoré sú často prísnejšie ako požiadavky stanovené v tejto smernici, sú stanovené vo viacerých právnych aktoch Únie vrátane: pravidiel týkajúcich sa prístupu k činnosti úverových inštitúcií a prudenciálneho dohľadu nad úverovými inštitúciami a investičnými spoločnosťami a pravidiel týkajúcich sa prudenciálnych požiadaviek na úverové inštitúcie a investičné spoločnosti, medzi ktoré patria požiadavky týkajúce sa operačného rizika; pravidiel týkajúcich sa trhov s finančnými nástrojmi, medzi ktoré patria požiadavky týkajúce sa posudzovania rizika pre investičné spoločnosti a regulované trhy; pravidiel týkajúcich sa OTC derivátov, centrálnych protistrán a archívov obchodných údajov, medzi ktoré patria požiadavky týkajúce sa operačného rizika pre centrálne protistrany a archívy obchodných údajov; a pravidiel týkajúcich sa zlepšenia vyrovnania transakcií s cennými papiermi v Únii a centrálnych depozitárov cenných papierov, medzi ktoré patria požiadavky týkajúce sa operačného rizika. Navyše sú požiadavky na oznamovanie incidentov súčasťou bežných postupov dohľadu vo finančnom odvetví a sú často zahrnuté do príručiek týkajúcich sa dohľadu. Členské štáty by mali zvážiť uvedené pravidlá a požiadavky pri uplatňovaní lex specialis.

(14)

Ako poznamenala Európska centrálna banka vo svojom stanovisku z 25. júla 2014 (6), táto smernica nemá vplyv na režim Eurosystému pre dohľad nad platobnými a zúčtovacími systémami podľa práva Únie. Bolo by vhodné, aby si podľa tejto smernice orgány zodpovedné za takýto dohľad vymieňali skúsenosti v otázkach týkajúcich sa bezpečnosti sietí a informačných systémov s príslušnými orgánmi. To isté platí pre členov Európskeho systému centrálnych bánk, ktorí nepatria do eurozóny a ktorí vykonávajú takýto dohľad nad platobnými a zúčtovacími systémami na základe vnútroštátnych zákonov a iných právnych predpisov.

(15)

Online trhovisko umožňuje spotrebiteľom a obchodníkom uzatvárať s obchodníkmi online kúpne zmluvy alebo zmluvy o službách a je na uzatváranie takýchto zmlúv konečným miestom. Nemalo by pokrývať online služby, ktoré len sprostredkúvajú služby tretích strán, prostredníctvom ktorých možno zmluvu naozaj uzavrieť. Nemalo by preto pokrývať online služby, ktoré porovnávajú ceny určitých výrobkov alebo služieb od rozličných obchodníkov a následne presmerujú používateľa na uprednostňovaného obchodníka tak, aby si kúpil jeho výrobok. Počítačové služby poskytované prostredníctvom online trhoviska môžu zahŕňať spracúvanie transakcií, zosumarizovanie údajov alebo profilovanie používateľov. Obchody s aplikáciami, ktoré fungujú ako online obchody umožňujúce digitálnu distribúciu aplikácií alebo softvérových programov od tretích strán, sa majú považovať za druh online trhoviska.

(16)

Internetový vyhľadávač umožňuje používateľovi vyhľadávanie v zásade všetkých webových sídiel na základe dopytu na akúkoľvek tému. Alternatívne môže byť zameraný na internetové stránky v určitom jazyku. Vymedzenie internetového vyhľadávača stanovené v tejto smernici by sa nemalo vzťahovať na vyhľadávacie funkcie, ktoré sú obmedzené na obsah určitého webového sídla, bez ohľadu na to, či funkciu vyhľadávania poskytuje externý vyhľadávač. Nemalo by taktiež pokrývať online služby, ktoré porovnávajú ceny určitých výrobkov alebo služieb od rozličných obchodníkov a následne presmerujú používateľa na uprednostňovaného obchodníka, aby si kúpil jeho výrobok.

(17)

Služby cloud computingu zahŕňajú širokú škálu činností, ktoré sa môžu realizovať podľa rôznych modelov. Na účely tejto smernice pojem „služby cloud computingu“ zahŕňa služby, ktoré umožňujú prístup k škálovateľnému a pružnému súboru zdieľateľných počítačových zdrojov. Uvedené počítačové zdroje zahŕňajú zdroje, ako sú napríklad siete, servery alebo iná infraštruktúra, úložiská, aplikácie a služby. Pojem „škálovateľné“ odkazuje na počítačové zdroje, ktoré pružne prideľuje poskytovateľ cloudových služieb bez ohľadu na zemepisnú polohu zdrojov s cieľom zvládať výkyvy v dopyte. Pojem „pružný súbor“ sa používa na označenie tých počítačových zdrojov, ktoré sa poskytujú a uvoľňujú na základe dopytu s cieľom rýchlo zvýšiť a znížiť dostupné zdroje v závislosti od záťaže. Pojem „zdieľateľný“ sa používa na označenie tých počítačových zdrojov, ktoré sa poskytujú viacerým používateľom, ktorí zdieľajú spoločný prístup k službe, ale spracúvanie sa vykonáva oddelene pre každého používateľa, hoci sa služba poskytuje z toho istého elektronického zariadenia.

(18)

Funkciou internetového prepojovacieho uzla (internet exchange point – ďalej len „IXP“) je prepájať siete. IXP neposkytuje prístup do siete ani neslúži ako poskytovateľ služieb tranzitu ani ako poskytovateľ infraštruktúry pre služby tranzitu. Cez IXP sa neposkytujú ani iné služby, ktoré nesúvisia s prepojením, hoci to prevádzkovateľovi IXP nebráni poskytovať nesúvisiace služby. Cez IXP sa prepájajú siete, ktoré sú technicky a organizačne oddelené. Na opísanie technicky samostatnej siete sa používa pojem „autonómny systém“.

(19)

Členské štáty by mali byť zodpovedné za určenie subjektov, ktoré spĺňajú kritériá vymedzenia pojmu „prevádzkovateľ základných služieb“. V záujme zaistenia konzistentného prístupu by sa vymedzenie pojmu „prevádzkovateľ základných služieb“ malo jednotne uplatňovať vo všetkých členských štátoch. Na tento účel sa v smernici stanovuje posúdenie subjektov pôsobiacich v konkrétnych odvetviach a pododvetviach, vytvorenie zoznamu základných služieb, zohľadnenie spoločného zoznamu medziodvetvových faktorov na určenie toho, či by potenciálny incident mal závažný rušivý vplyv, konzultačný proces medzi príslušnými členskými štátmi v prípade subjektov poskytujúcich služby vo viac ako jednom členskom štáte a podporu skupiny pre spoluprácu pri procese identifikácie. S cieľom zabezpečiť, aby boli prípadné zmeny na trhu presne zaznamenané, by členské štáty mali pravidelne kontrolovať a v prípade potreby aktualizovať zoznam identifikovaných prevádzkovateľov. Napokon by členské štáty mali Komisii predložiť informácie potrebné na posúdenie miery, do akej táto spoločná metodika umožnila konzistentné uplatňovanie vymedzenia pojmu zo strany členských štátov.

(20)

V rámci procesu identifikácie prevádzkovateľov základných služieb by členské štáty mali posudzovať, aspoň pre každé pododvetvie uvedené v tejto smernici, ktoré služby sa musia považovať za základné pre zachovanie rozhodujúcich spoločenských a hospodárskych činností a či subjekty, ktoré sú uvedené v odvetviach a pododvetviach uvedených v tejto smernici a ktoré poskytujú tieto služby, spĺňajú kritériá na identifikáciu prevádzkovateľov. Pri posudzovaní toho, či subjekt poskytuje služby, ktoré sú pre zachovanie rozhodujúcich spoločenských alebo hospodárskych činností zásadné, stačí preskúmať, či uvedený subjekt poskytuje službu, ktorá je zahrnutá do zoznamu základných služieb. Okrem toho by sa malo preukázať, že poskytovanie základnej služby závisí od sietí a informačných systémov. Napokon by členské štáty pri posudzovaní toho, či by incident mal závažný rušivý vplyv na poskytovanie služby, mali zohľadniť viacero medziodvetvových faktorov a podľa potreby aj faktory špecifické pre určité odvetvie.

(21)

Na účely identifikácie prevádzkovateľov základných služieb si naplnenie pojmu prevádzkareň v členskom štáte vyžaduje účinné a skutočné vykonávanie činnosti prostredníctvom stabilných zariadení. Právna forma takýchto zariadení, či už ide o pobočku, alebo dcérsku spoločnosť s právnou subjektivitou, nie je v tomto ohľade určujúcim faktorom.

(22)

Je pravdepodobné, že subjekty pôsobiace v odvetviach a pododvetviach uvedených v tejto smernici poskytujú základné aj druhotné služby. Napríklad v odvetví leteckej dopravy letiská poskytujú služby, ktoré by členské štáty mohli považovať za základné, ako napríklad riadenie vzletových a pristávacích dráh, ale aj viaceré služby, ktoré by bolo možné považovať za druhotné, ako napríklad poskytovanie nákupných zón. Prevádzkovatelia základných služieb by mali podliehať osobitným bezpečnostným požiadavkám iba vo vzťahu k tým službám, ktoré sa považujú za základné. Na účely identifikácie prevádzkovateľov by preto členské štáty mali vytvoriť zoznam služieb, ktoré sa považujú za základné.

(23)

Zoznam služieb by mal obsahovať všetky služby poskytované na území daného členského štátu, ktoré spĺňajú požiadavky tejto smernice. Členské štáty by mali mať možnosť doplniť existujúci zoznam zahrnutím nových služieb. Zoznam služieb by mal pre členské štáty slúžiť ako referenčný bod umožňujúci identifikáciu prevádzkovateľov základných služieb. Jeho účelom je určiť typy základných služieb v ktoromkoľvek danom odvetví uvedenom v tejto smernici, čím sa odlíšia od druhotných činnosti, za ktoré by subjekt pôsobiaci v ktoromkoľvek z daných odvetví mohol byť zodpovedný. Zoznam služieb, ktorý zavedie každý členský štát, by slúžil ako ďalší vstup pri posudzovaní regulačnej praxe každého členského štátu s cieľom zabezpečiť celkovú jednotnosť procesu identifikácie medzi členskými štátmi.

(24)

V prípade, že subjekt poskytuje základnú službu v dvoch alebo vo viacerých členských štátoch, tieto členské štáty by sa mali na účely procesu identifikácie zapojiť do vzájomnej dvojstrannej alebo viacstrannej diskusie. Tento konzultačný proces im má pomôcť posúdiť kritickú povahu prevádzkovateľa, pokiaľ ide o cezhraničný vplyv, pričom každému dotknutému členskému štátu umožňuje vyjadriť svoje stanovisko k rizikám spojeným s poskytovanými službami. Dotknuté členské štáty by v tomto procese mali navzájom zohľadňovať svoje názory a mali by mať v tejto súvislosti možnosť požiadať o pomoc skupinu pre spoluprácu.

(25)

V dôsledku procesu identifikácie by členské štáty mali prijať vnútroštátne opatrenia, ktorými sa určia subjekty, ktoré podliehajú povinnostiam v oblasti bezpečnosti sietí a informačných systémov. To by sa mohlo dosiahnuť prijatím zoznamu všetkých prevádzkovateľov základných služieb alebo prijatím vnútroštátnych opatrení vrátane objektívnych kvantifikovateľných kritérií, ako napríklad výkon prevádzkovateľa alebo počet používateľov, ktoré umožnia určiť, ktoré subjekty podliehajú povinnostiam týkajúcim sa bezpečnosti sietí a informačných systémov. Vnútroštátne opatrenia, či už existujúce, alebo prijaté v súvislosti s touto smernicou, by mali zahŕňať všetky právne opatrenia, administratívne opatrenia a politiky, ktoré umožňujú identifikáciu prevádzkovateľov základných služieb podľa tejto smernice.

(26)

S cieľom poskytnúť vo vzťahu k dotknutému odvetviu informáciu o význame identifikovaných prevádzkovateľov základných služieb by členské štáty mali brať do úvahy počet a veľkosť uvedených prevádzkovateľov napríklad z hľadiska trhového podielu alebo produkovaného alebo prenášaného objemu, a to bez toho, aby boli povinné poskytnúť informácie, ktoré by identifikovaných prevádzkovateľov odhalili.

(27)

S cieľom určiť, či by incident mal závažný rušivý vplyv na poskytovanie základnej služby, by členské štáty mali zohľadňovať viacero rôznych faktorov, ako napríklad počet používateľov využívajúcich túto službu na súkromné alebo profesionálne účely. Táto služba sa môže využívať priamo, nepriamo alebo sprostredkovane. Pri posudzovaní dôsledkov, ktoré by incident mohol mať, pokiaľ ide o ich mieru a trvanie, pre hospodárske a spoločenské činnosti alebo verejnú bezpečnosť, by členské štáty mali tiež vyhodnotiť pravdepodobnú dĺžku obdobia, ktoré uplynie, kým by spôsobená diskontinuita začala mať negatívny vplyv.

(28)

Popri medziodvetvových faktoroch by sa mali zohľadniť aj faktory špecifické pre jednotlivé odvetvia s cieľom určiť, či by incident mal závažný rušivý vplyv na poskytovanie základnej služby. Pokiaľ ide o dodávateľov energie, medzi takéto faktory by mohol patriť objem produkcie elektrickej energie na celoštátnej úrovni alebo podiel na tejto produkcii; v prípade dodávateľov ropy objem za deň; v prípade leteckej dopravy vrátane letísk a leteckých prepravcov, železničnej dopravy a námorných prístavov podiel na celoštátnej preprave a počet cestujúcich alebo operácií nákladnej dopravy za rok; v prípade infraštruktúry bankového alebo finančného trhu jej systémový význam vyplývajúci z celkového objemu aktív alebo pomeru tohto celkového objemu aktív k HDP; v prípade zdravotníctva počet pacientov, ktorí sú v starostlivosti daného poskytovateľa za rok; v prípade produkcie, spracovania a dodávania vody objem produkcie, počet a typ odberateľov, ako napríklad nemocníc, organizácií poskytujúcich verejné služby alebo jednotlivcov a existencia alternatívnych zdrojov vody na pokrytie potrieb tej istej geografickej oblasti.

(29)

S cieľom dosiahnuť a udržiavať vysokú úroveň bezpečnosti sietí a informačných systémov by každý členský štát mal mať národnú stratégiu v oblasti bezpečnosti sietí a informačných systémov, v ktorej by boli vymedzené strategické ciele a konkrétne opatrenia, ktoré sa majú v rámci tejto politiky vykonať.

(30)

Vzhľadom na rozdiely vo vnútroštátnych štruktúrach riadenia a s cieľom chrániť už existujúce odvetvové dohody alebo orgány dohľadu a regulačné orgány Únie a zamedziť zdvojeniu by členské štáty mali mať možnosť určiť viac než jeden vnútroštátny príslušný orgán zodpovedný za vykonávanie úloh súvisiacich s bezpečnosťou sietí a informačných systémov prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb podľa tejto smernice.

(31)

V záujme uľahčenia cezhraničnej spolupráce a komunikácie a s cieľom umožniť účinné vykonávanie tejto smernice je potrebné, aby každý členský štát bez toho, aby boli dotknuté odvetvové regulačné dohody, určil národné jednotné kontaktné miesto zodpovedné za koordináciu záležitostí týkajúcich sa bezpečnosti sietí a informačných systémov a cezhraničnú spoluprácu na úrovni Únie. Príslušné orgány a jednotné kontaktné miesta by mali mať k dispozícii primerané technické, finančné a ľudské zdroje, aby mohli efektívnym a účinným spôsobom vykonávať úlohy, ktoré sú im pridelené, a tak dosahovať ciele tejto smernice. Keďže táto smernica je zameraná na zlepšenia fungovania vnútorného trhu vybudovaním dôvery, je potrebné, aby orgány členských štátov boli schopné účinne spolupracovať s hospodárskymi subjektmi a aby boli zodpovedajúcim spôsobom štruktúrované.

(32)

Oznámenia o incidentoch by sa mali posielať príslušným orgánom alebo jednotkám pre riešenie počítačových bezpečnostných incidentov (computer security incident response team – ďalej len „CSIRT“). Jednotným kontaktným miestam by sa oznámenia o incidentoch priamo posielať nemali, pokiaľ tiež nekonajú ako príslušný orgán alebo jednotka CSIRT. Príslušný orgán alebo jednotka CSIRT by však mali mať možnosť jednotnému kontaktnému miestu nariadiť, aby oznámenia o incidentoch postúpilo jednotným kontaktným miestam ostatných dotknutých členských štátov.

(33)

S cieľom zabezpečiť účinné poskytovanie informácií členským štátom a Komisii by jednotné kontaktné miesto malo skupine pre spoluprácu predkladať súhrnnú správu, ktorá by mala byť anonymizovaná v záujme zachovania dôverného charakteru oznámení a utajenia totožnosti prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb, keďže informácie o totožnosti oznamujúcich subjektov sa na účely výmeny najlepších postupov v rámci skupiny pre spoluprácu nevyžadujú. Súhrnná správa by mala obsahovať informácie o počte prijatých oznámení, ako aj údaje o povahe oznamovaných incidentov, ako je druh porušenia bezpečnosti, jeho závažnosť alebo dĺžka jeho trvania.

(34)

Členské štáty by mali mať primerané vybavenie, pokiaľ ide o technické a organizačné spôsobilosti, aby mohli predchádzať incidentom a rizikám v oblasti sietí a informačných systémov, odhaľovať ich, reagovať na ne a zmierňovať ich. Členské štáty by preto mali zabezpečiť, aby mali dobre fungujúce jednotky CSIRT, známe aj ako jednotky reakcie na núdzové počítačové situácie (computer emergency response teams – ďalej len „jednotky CERT“), ktoré budú dodržiavať základné požiadavky s cieľom zaručiť účinné a zlučiteľné spôsobilosti na riešenie incidentov a rizík a zabezpečiť účinnú spoluprácu na úrovni Únie. Aby mohli mať z takýchto spôsobilostí a spolupráce úžitok všetky typy prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb, členské štáty by mali zabezpečiť, aby určená jednotka CSIRT pokrývala všetky tieto typy. Vzhľadom na význam medzinárodnej spolupráce v oblasti kybernetickej bezpečnosti by sa malo jednotkám CSIRT umožniť, aby sa okrem siete jednotiek CSIRT zriadenej podľa tejto smernice mohli stať súčasťou sietí medzinárodnej spolupráce.

(35)

Keďže väčšinu sietí a informačných systémov prevádzkujú súkromní operátori, spolupráca medzi verejným a súkromným sektorom je nevyhnutná. Prevádzkovatelia základných služieb a poskytovatelia digitálnych služieb by sa mali nabádať, aby sa v záujme zaistenia bezpečnosti sietí a informačných systémov usilovali o vytvorenie vlastných neformálnych mechanizmov spolupráce. Skupina pre spoluprácu by mala mať možnosť pozývať v prípade potreby relevantné zainteresované strany do diskusie. V záujme účinnej podpory výmeny informácií a najlepších postupov má zásadný význam zaistenie toho, aby prevádzkovatelia základných služieb a poskytovatelia digitálnych služieb, ktorí sa na týchto výmenách podieľajú, neboli z dôvodu svojej spolupráce znevýhodnení.

(36)

Agentúra ENISA by mala členským štátom a Komisii pomáhať poskytovaním odborných znalostí a poradenstva a uľahčovaním výmeny najlepších postupov. Najmä pri uplatňovaní tejto smernice by sa Komisia mala radiť s agentúrou ENISA a členské štáty by mali mať takú možnosť konzultácie s agentúrou ENISA. Na účely budovania kapacít a rozvoja vedomosti medzi členskými štátmi by skupina pre spoluprácu mala slúžiť aj ako nástroj na výmenu najlepších postupov, diskusiu o spôsobilostiach a pripravenosti členských štátov a dobrovoľnú pomoc svojim členom pri hodnotení národných stratégií v oblasti bezpečnosti sietí a informačných systémov, budovaní kapacít a hodnotení cvičení v oblasti bezpečnosti sietí a informačných systémov.

(37)

Ak je to vhodné, členské štáty by mali mať pri uplatňovaní tejto smernice možnosť využiť alebo upraviť existujúce organizačné štruktúry alebo stratégie.

(38)

Úlohy skupiny pre spoluprácu a agentúry ENISA sú vzájomne závislé a navzájom sa dopĺňajú. Agentúra ENISA by vo všeobecnosti mala pomáhať skupine pre spoluprácu pri plnení jej úloh v súlade s cieľom agentúry ENISA stanoveným v nariadení Európskeho parlamentu a Rady (EÚ) č. 526/2013 (7), a to najmä pomáhať inštitúciám, orgánom, úradom a agentúram Únie a členským štátom vykonávať politiky potrebné na splnenie právnych a regulačných požiadaviek v oblasti bezpečnosti sietí a informačných systémov stanovených v platných a budúcich právnych aktoch Únie. Agentúra ENISA by mala predovšetkým poskytovať pomoc v tých oblastiach, ktoré zodpovedajú jej vlastným úlohám, ako sa stanovuje v nariadení (EÚ) č. 526/2013, a to najmä pri analýze stratégií v oblasti bezpečnosti sietí a informačných systémov, podpore pri organizácii a realizácii cvičení v oblasti bezpečnosti sietí a informačných systémov v Únii a výmene informácií a najlepších postupov týkajúcich sa informovanosti a odbornej prípravy. Agentúra ENISA by tiež mala byť zapojená do vypracúvania usmernení ku kritériám špecifickým pre jednotlivé odvetvia na určenie významnosti vplyvu incidentu.

(39)

S cieľom presadzovať pokročilú bezpečnosť sietí a informačných systémov by skupina pre spoluprácu mala v prípade potreby spolupracovať s relevantnými inštitúciami, orgánmi, úradmi a agentúrami Únie, vymieňať si know-how a najlepšie postupy a poskytovať poradenstvo o bezpečnostných aspektoch sietí a informačných systémov, ktoré by mohli mať vplyv na ich prácu, rešpektujúc pritom existujúce dojednania týkajúce sa výmeny dôverných informácií. Pri spolupráci s orgánmi presadzovania práva v otázkach bezpečnosti sietí a informačných systémov, ktoré by mohli mať vplyv na ich prácu, by skupina pre spoluprácu mala rešpektovať existujúce informačné kanály a zavedené siete.

(40)

Informácie o incidentoch majú pre širokú verejnosť a podniky, najmä malé a stredné podniky, čoraz väčšiu hodnotu. V niektorých prípadoch sa tieto informácie už poskytujú prostredníctvom webových sídiel na vnútroštátnej úrovni, v jazyku danej krajiny a so zameraním najmä na incidenty a udalosti, ktoré majú vnútroštátny rozmer. Vzhľadom na to, že podniky čoraz väčšmi vykonávajú cezhraničnú činnosť a občania využívajú online služby, informácie o incidentoch by sa mali poskytovať v súhrnnej podobe na úrovni Únie. Sekretariát siete jednotiek CSIRT sa nabáda, aby viedol webové sídlo alebo poskytoval hosting osobitnej webovej stránke na existujúcom webovom sídle, kde by sa širokej verejnosti sprístupňovali všeobecné informácie o závažných incidentoch, ktoré sa vyskytli v Únii, pričom osobitný ohľad sa musí brať na záujmy a potreby podnikov. Jednotky CSIRT, ktoré sú súčasťou siete jednotiek CSIRT, sa nabádajú, aby dobrovoľne poskytovali informácie, ktoré by sa na uvedenom webovom sídle mali uverejňovať, pričom by to nemalo zahŕňať dôverné ani citlivé informácie.

(41)

Ak sa informácie považujú v súlade s pravidlami Únie a vnútroštátnymi pravidlami o obchodnom tajomstve za dôverné, dôvernosť týchto informácií by sa pri výkone činností a plnení cieľov stanovených v tejto smernici mala zaručiť.

(42)

Cvičenia, ktoré simulujú priebeh incidentov v reálnom čase, sú pre testovanie pripravenosti a spolupráce členských štátov v oblasti bezpečnosti sietí a informačných systémov kľúčové. Cyklus cvičení CyberEurope, ktorý koordinuje agentúra ENISA a na ktorom sa zúčastňujú členské štáty, je užitočný nástroj na testovanie a zostavovanie odporúčaní týkajúcich sa toho, ako by sa malo postupne zlepšovať riešenie incidentov na úrovni Únie. Vzhľadom na to, že v súčasnosti členské štáty nie sú povinné plánovať cvičenia ani zúčastňovať sa na nich, vytvorenie siete jednotiek CSIRT podľa tejto smernice by malo členským štátom umožniť zúčastňovať sa na cvičeniach na základe presného plánovania a strategickej voľby. Skupina pre spoluprácu zriadená podľa tejto smernice by mala prediskutovať strategické rozhodnutia týkajúce sa cvičení, najmä, nie však výlučne, pokiaľ ide o pravidelnosť cvičení a tvorbu scenárov incidentov. Agentúra ENISA by v súlade so svojím mandátom mala podporovať organizáciu a realizáciu cvičení v celej Únii, a to poskytovaním svojich odborných znalostí a poradenstva skupine pre spoluprácu a sieti jednotiek CSIRT.

(43)

Vzhľadom na globálny charakter bezpečnostných problémov ovplyvňujúcich siete a informačné systémy je potrebná užšia medzinárodná spolupráca s cieľom zlepšiť bezpečnostné normy a výmenu informácií a presadzovať spoločný globálny prístup k bezpečnostným otázkam.

(44)

Zodpovednosť za zaistenie bezpečnosti sietí a informačných systémov nesú vo veľkej miere prevádzkovatelia základných služieb a poskytovatelia digitálnych služieb. Kultúra riadenia rizika vrátane hodnotenia rizika a vykonávania bezpečnostných opatrení, ktoré sú primerané existujúcim rizikám, by sa mala podporovať a rozvíjať prostredníctvom vhodných regulačných požiadaviek a dobrovoľných postupov v danom odvetví. Vytvorenie hodnoverných rovnakých podmienok pre všetkých je tiež kľúčové pre účinné fungovanie skupiny pre spoluprácu a siete jednotiek CSIRT v záujme zabezpečenia účinnej spolupráce všetkých členských štátov.

(45)

Táto smernica sa uplatňuje iba na tie orgány verejnej správy, ktoré sú identifikované ako prevádzkovatelia základných služieb. Zodpovednosť za zaistenie bezpečnosti sietí a informačných systémov orgánov verejnej správy, ktoré nepatria do rozsahu pôsobnosti tejto smernice, nesú preto členské štáty.

(46)

Opatrenia na riadenie rizika zahŕňajú opatrenia na identifikáciu rizika incidentov, opatrenia na predchádzanie incidentom a ich odhaľovanie a zvládanie, ako aj opatrenia na zmiernenie ich vplyvu. Bezpečnosť sietí a informačných systémov zahŕňa bezpečnosť uchovávaných, prenášaných a spracúvaných údajov.

(47)

Príslušné orgány by mali mať naďalej možnosť prijímať vnútroštátne usmernenia týkajúce sa okolností, za akých sa od prevádzkovateľov základných služieb vyžaduje, aby oznamovali incidenty.

(48)

Mnohé podniky v Únii závisia pri poskytovaní svojich služieb od poskytovateľov digitálnych služieb. Keďže určité digitálne služby by mohli byť pre ich používateľov vrátane prevádzkovateľov základných služieb dôležitým zdrojom a užívatelia ako takí by nemuseli mať vždy k dispozícii alternatívy, táto smernica by sa mala vzťahovať aj na poskytovateľov takýchto služieb. Bezpečnosť, kontinuita a spoľahlivosť typov digitálnych služieb uvedených v tejto smernici majú pre hladké fungovanie mnohých podnikov zásadný význam. Narušenie takejto digitálnej služby by mohlo brániť poskytovaniu iných služieb, ktoré od nej závisia, a mohlo by tak mať vplyv na kľúčové hospodárske a spoločenské činnosti v Únii. Takéto digitálne služby by preto mohli mať zásadný význam pre hladké fungovanie podnikov, ktoré od nich závisia, a okrem toho pre účasť týchto podnikov na vnútornom trhu a cezhraničnom obchode v rámci Únie. Poskytovateľmi digitálnych služieb, na ktorých sa vzťahuje táto smernica, sú tí poskytovatelia, ktorí sú považovaní za ponúkajúcich digitálne služby, od ktorých čoraz viac závisia mnohé podniky v Únii.

(49)

Poskytovatelia digitálnych služieb by mali zabezpečiť úroveň bezpečnosti primeranú stupňu rizika ohrozujúceho bezpečnosť digitálnych služieb, ktoré poskytujú, vzhľadom na význam ich služieb pre fungovanie ostatných podnikov v Únii. V praxi prevádzkovatelia základných služieb, ktoré sú často základné pre zachovanie rozhodujúcich spoločenských a hospodárskych činností, čelia vyššiemu stupňu rizika ako poskytovatelia digitálnych služieb. Bezpečnostné požiadavky na poskytovateľov digitálnych služieb by preto mali byť menej prísne. Poskytovatelia digitálnych služieb by mali mať naďalej právo slobodne prijímať opatrenia, ktoré považujú za vhodné na riadenie rizík v oblasti bezpečnosti ich sietí a informačných systémov. Z dôvodu ich cezhraničného charakteru by poskytovatelia digitálnych služieb mali podliehať harmonizovanejšiemu prístupu na úrovni Únie. Špecifikáciu a vykonávanie takýchto opatrení by mali uľahčiť vykonávacie akty.

(50)

Hoci výrobcovia hardvéru a vývojári softvéru nie sú prevádzkovateľmi základných služieb ani poskytovateľmi digitálnych služieb, ich produkty zlepšujú bezpečnosť sietí a informačných systémov. Zohrávajú teda dôležitú úlohu, pretože prevádzkovateľom základných služieb a poskytovateľom digitálnych služieb umožňujú zabezpečiť ich siete a informačné systémy. Na takéto hardvérové a softvérové produkty sa už vzťahujú existujúce pravidlá o zodpovednosti za výrobok.

(51)

V technických a organizačných opatreniach uložených prevádzkovateľom základných služieb a poskytovateľom digitálnych služieb by sa nemalo vyžadovať, aby bol určitý komerčný produkt informačnej a komunikačnej technológie navrhnutý, vyvinutý alebo vyrobený určitým spôsobom.

(52)

Prevádzkovatelia základných služieb a poskytovatelia digitálnych služieb by mali zaistiť bezpečnosť sietí a informačných systémov, ktoré používajú. Ide predovšetkým o súkromné siete a informačné systémy, ktoré spravujú ich interní pracovníci IT alebo ktorých bezpečnosť zaisťujú externí dodávatelia. Požiadavky týkajúce sa bezpečnosti a oznamovania by sa mali vzťahovať na relevantných prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb bez ohľadu na to, či údržbu svojich sietí a informačných systémov vykonávajú interne, alebo prostredníctvom externého dodávateľa.

(53)

S cieľom vyhnúť sa neprimeranému finančnému a administratívnemu zaťaženiu prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb by požiadavky mali byť primerané riziku, ktorým čelí daná sieť a daný informačný systém, berúc pritom do úvahy najnovší vývin v oblasti takýchto opatrení. V prípade poskytovateľov digitálnych služieb by sa uvedené požiadavky nemali týkať mikropodnikov a malých podnikov.

(54)

V prípade, že orgány verejnej správy členských štátov využívajú služby ponúkané poskytovateľmi digitálnych služieb, najmä služby v oblasti cloud computingu, mohli by sa tieto orgány rozhodnúť, že budú od poskytovateľov takýchto služieb požadovať dodatočné bezpečnostné opatrenia nad rámec toho, čo poskytovatelia digitálnych služieb bežne ponúkajú v súlade s požiadavkami tejto smernice. Mali by mať možnosť tak urobiť prostredníctvom zmluvných záväzkov.

(55)

Pojmy online trhovisko, online vyhľadávač a služby cloud computingu v tejto smernici sú vymedzené na osobitný účel tejto smernice a nie sú tým dotknuté nijaké iné nástroje.

(56)

Táto smernica by nemala členským štátom brániť v prijímaní vnútroštátnych opatrení, ktorými sa od subjektov verejného sektora požaduje splnenie osobitných bezpečnostných požiadaviek v prípade, že si zmluvne objednajú služby cloud computingu. Takéto vnútroštátne opatrenia by sa mali uplatňovať na dotknutý subjekt verejného sektora, a nie na poskytovateľa služieb cloud computingu.

(57)

Vzhľadom na fundamentálne rozdiely medzi prevádzkovateľmi základných služieb, najmä na ich priame spojenie s fyzickou infraštruktúrou, a poskytovateľmi digitálnych služieb, najmä na ich cezhraničný charakter, by sa v tejto smernici mal zaujať diferencovaný prístup, pokiaľ ide o úroveň harmonizácie vo vzťahu k týmto dvom skupinám subjektov. Pokiaľ ide o prevádzkovateľov základných služieb, členské štáty by mali byť schopné identifikovať príslušných prevádzkovateľov a ukladať prísnejšie požiadavky než požiadavky stanovené v tejto smernici. Členské štáty by nemali identifikovať poskytovateľov digitálnych služieb, keďže rozsah pôsobnosti tejto smernice by sa mal vzťahovať na všetkých poskytovateľov digitálnych služieb. Touto smernicou a vykonávacími aktmi prijatými na jej základe by sa okrem toho mala pre poskytovateľov digitálnych služieb zabezpečiť vysoká úroveň harmonizácie s ohľadom na bezpečnostné a oznamovacie požiadavky. To by malo umožňovať rovnaké zaobchádzanie s poskytovateľmi digitálnych služieb v celej Únii, a to spôsobom primeraným ich povahe a stupňu rizika, ktorému by mohli čeliť.

(58)

Touto smernicou by sa nemalo členským štátom brániť v tom, aby ukladali bezpečnostné a oznamovacie požiadavky subjektom, ktoré nie sú poskytovateľmi digitálnych služieb patriacimi do rozsahu pôsobnosti tejto smernice, bez toho, aby boli dotknuté povinnosti členských štátov podľa práva Únie.

(59)

Príslušné orgány by mali venovať náležitú pozornosť zachovaniu neformálnych a dôveryhodných kanálov na zdieľanie informácií. Pri uverejňovaní incidentov oznámených príslušným orgánom by sa mala náležitým spôsobom udržiavať rovnováha medzi záujmom verejnosti mať informácie o hrozbách a možným poškodením dobrej povesti a obchodných záujmov prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb, ktorí incidenty oznámia. Pri vykonávaní oznamovacej povinnosti by príslušné orgány a jednotky CSIRT mali venovať osobitnú pozornosť potrebe, aby sa pred vydaním vhodných bezpečnostných opráv zachovali informácie o zraniteľných stránkach produktu v prísnej tajnosti.

(60)

Na poskytovateľov digitálnych služieb by sa mali vzťahovať mierne a reaktívne následné činnosti dohľadu, odôvodnené povahou ich služieb a operácií. Dotknutý príslušný orgán by mal preto prijať opatrenia iba v prípade, ak sa mu poskytol dôkaz, napríklad zo strany samotného poskytovateľa digitálnych služieb, iného príslušného orgánu vrátane príslušného orgánu iného členského štátu alebo používateľa služieb, že poskytovateľ digitálnych služieb nespĺňa požiadavky tejto smernice, najmä po výskyte incidentu. Príslušný orgán by preto nemal mať všeobecnú povinnosť dohľadu nad poskytovateľmi digitálnych služieb.

(61)

Príslušné orgány by mali mať prostriedky potrebné na plnenie svojich povinností vrátane právomocí získať dostatočné informácie na účely posúdenia úrovne bezpečnosti sietí a informačných systémov.

(62)

Incidenty môžu byť výsledkom trestnej činnosti, ktorej prevenciu, vyšetrovanie a stíhanie podporuje koordinácia a spolupráca medzi prevádzkovateľmi základných služieb, poskytovateľmi digitálnych služieb, príslušnými orgánmi a orgánmi presadzovania práva. Ak existuje podozrenie, že incident súvisí so závažnou trestnou činnosťou podľa práva Únie alebo vnútroštátneho práva, členské štáty by mali nabádať prevádzkovateľov základných služieb a poskytovateľov digitálnych služieb, aby príslušným orgánom presadzovania práva oznamovali incidenty, pri ktorých existuje podozrenie o ich súvise so závažnou trestnou činnosťou. Tam, kde je to vhodné, je potrebné zabezpečiť, aby koordináciu medzi príslušnými orgánmi a orgánmi presadzovania práva rôznych členských štátov uľahčovalo Európske centrum boja proti počítačovej kriminalite (EC3) a agentúra ENISA.

(63)

V dôsledku incidentov je v mnohých prípadoch porušená ochrana osobných údajov. V tejto súvislosti by príslušné orgány a orgány na ochranu údajov mali navzájom spolupracovať a vymieňať si informácie o všetkých súvisiacich otázkach s cieľom riešiť akékoľvek prípady porušenia ochrany osobných údajov v dôsledku incidentov.

(64)

Právomoc vzťahujúca sa na poskytovateľov digitálnych služieb by sa mala udeliť členskému štátu, v ktorom má dotknutý poskytovateľ digitálnych služieb svoju hlavnú prevádzkareň v Únii, čo v zásade zodpovedá miestu, kde má poskytovateľ v Únii svoje sídlo. Pod prevádzkarňou sa rozumie miesto, kde dochádza k účinnému a skutočnému výkonu činnosti prostredníctvom stabilných zariadení. Právna forma takýchto zariadení, či už ide o pobočku, alebo dcérsku spoločnosť s právnou subjektivitou, nie je v tomto ohľade určujúcim faktorom. Toto kritérium by nemalo závisieť od toho, či sa siete a informačné systémy fyzicky nachádzajú na danom mieste; samotná prítomnosť a používanie takýchto sietí a systémov nepredstavuje hlavnú prevádzkareň, a preto nejde o kritérium na jej určenie.

(65)

Keď poskytovateľ digitálnych služieb, ktorý nie je usadený v Únii, ponúka služby v Únii, mal by určiť svojho zástupcu. Aby bolo možné určiť, či takýto poskytovateľ digitálnych služieb ponúka služby v Únii, malo by sa zistiť, či je zrejmé, že daný poskytovateľ digitálnych služieb plánuje ponúkať služby osobám v jednom alebo vo viacerých členských štátoch. Samotná dostupnosť webového sídla poskytovateľa digitálnych služieb alebo jeho sprostredkovateľa v Únii alebo e-mailovej adresy a iných kontaktných údajov alebo použitie jazyka, ktorý sa všeobecne používa v tretej krajine, v ktorej je poskytovateľ digitálnych služieb usadený, nepostačuje na potvrdenie takého úmyslu. Na základe faktorov, ako je používanie jazyka alebo meny bežne používaných v jednom alebo vo viacerých členských štátoch s možnosťou objednania služieb v tomto druhom jazyku alebo spomenutie zákazníkov alebo používateľov, ktorí sa nachádzajú v Únii, môže byť však zjavné, že poskytovateľ digitálnych služieb plánuje ponúkať služby v Únii. Zástupca by mal konať v mene poskytovateľa digitálnych služieb a príslušné orgány alebo jednotky CSIRT by mali mať možnosť obrátiť sa na zástupcu. Poskytovateľ digitálnych služieb by mal výslovne určiť zástupcu prostredníctvom písomného mandátu oprávneného konať v mene daného poskytovateľa digitálnych služieb v súvislosti s povinnosťami prevádzkovateľa podľa tejto smernice vrátane oznamovania incidentov.

(66)

Normalizácia bezpečnostných požiadaviek je proces poháňaný trhom. V záujme zaistenia zbližujúceho sa uplatňovania bezpečnostných noriem by členské štáty mali podporovať plnenie určených noriem alebo súlad s nimi s cieľom zabezpečiť vysoký stupeň bezpečnosti sietí a informačných systémov na úrovni Únie. Agentúra ENISA by mala pomáhať členským štátom prostredníctvom poradenstva a usmernení. Na tento účel by mohlo byť užitočné navrhnúť harmonizované normy, čo by sa malo uskutočniť v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 1025/2012 (8).

(67)

Subjekty, ktoré nepatria do rozsahu pôsobnosti tejto smernice, môžu byť vystavené incidentom, ktoré majú významný vplyv na služby, ktoré poskytujú. Ak sa tieto subjekty domnievajú, že je vo verejnom záujme oznámiť, že k takýmto incidentom došlo, mali by mať možnosť dobrovoľne ich oznamovať. Takéto oznámenia by mal príslušný orgán alebo jednotka CSIRT spracovať, ak to nepredstavuje neprimerané ani nenáležité zaťaženie dotknutých členských štátov.

(68)

S cieľom zabezpečiť jednotné podmienky vykonávania tejto smernice by sa na Komisiu mali preniesť vykonávacie právomoci, pokiaľ ide o stanovenie procesných opatrení potrebných na fungovanie skupiny pre spoluprácu a o stanovenie bezpečnostných a oznamovacích požiadaviek uplatniteľných na poskytovateľov digitálnych služieb. Uvedené právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011 (9). Pri prijímaní vykonávacích aktov týkajúcich sa procesných opatrení potrebných na fungovanie skupiny pre spoluprácu by Komisia mala v čo najväčšej miere zohľadniť stanovisko agentúry ENISA.

(69)

Pri prijímaní vykonávacích aktov týkajúcich sa bezpečnostných požiadaviek na poskytovateľov digitálnych služieb by Komisia mala v čo najväčšej miere zohľadniť stanovisko agentúry ENISA a mala by sa radiť so zainteresovanými stranami. Komisia sa okrem toho nabáda, aby zohľadnila tieto príklady: pokiaľ ide o bezpečnosť systémov a zariadení: fyzickú a environmentálnu bezpečnosť, bezpečnosť dodávok, kontrolu prístupu k sieťam a informačným systémom a ich integritu; pokiaľ ide o riešenie incidentov: postupy riešenia incidentov, nástroj na odhaľovanie incidentov, oznamovanie incidentov a súvisiacu komunikáciu; pokiaľ ide o riadenie kontinuity činností: stratégiu kontinuity služieb a plánovanie pre nepredvídané udalosti, spôsobilosti obnovy po núdzovej udalosti; a pokiaľ ide o monitorovanie, audit a testovanie: politiky týkajúce sa monitorovania a vedenia záznamov, cvičné plány pre nepredvídané udalosti, testovanie sietí a informačných systémov, hodnotenie bezpečnosti a monitorovanie dodržiavania požiadaviek.

(70)

Pri vykonávaní tejto smernice by Komisia mala podľa potreby spolupracovať s relevantnými odvetvovými výbormi a orgánmi zriadenými na úrovni Únie v oblastiach, na ktoré sa táto smernica vzťahuje.

(71)

Komisia by mala túto smernicu pravidelne preskúmavať a radiť sa pritom so zainteresovanými subjektmi najmä s cieľom určiť, či je potrebné zmeniť ju na základe zmien spoločenských, politických, technologických a trhových podmienok.

(72)

Zdieľanie informácií o rizikách a incidentoch v rámci skupiny pre spoluprácu a siete jednotiek CSIRT a dodržiavanie požiadaviek oznamovať incidenty vnútroštátnym príslušným orgánom alebo jednotkám CSIRT by si mohlo vyžadovať spracúvanie osobných údajov. Takéto spracúvanie by malo byť v súlade so smernicou Európskeho parlamentu a Rady 95/46/ES (10) a nariadením Európskeho parlamentu a Rady (ES) č. 45/2001 (11). Pri uplatňovaní tejto smernice by sa malo podľa potreby uplatňovať nariadenie Európskeho parlamentu a Rady (ES) č. 1049/2001 (12).

(73)

S európskym dozorným úradníkom pre ochranu údajov sa konzultovalo v súlade s článkom 28 ods. 2 nariadenia (ES) č. 45/2001 a 14. júna 2013 európsky dozorný úradník pre ochranu údajov vydal stanovisko (13).

(74)

Keďže cieľ tejto smernice, a to dosiahnutie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii, nie je možné uspokojivo dosiahnuť na úrovni samotných členských štátov, ale z dôvodu účinku tohto opatrenia ho možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku táto smernica neprekračuje rámec nevyhnutný na dosiahnutie tohto cieľa.

(75)

V tejto smernici sa dodržiavajú základné práva a zásady uznané Chartou základných práv Európskej únie, najmä právo na rešpektovanie súkromného života a komunikácie, ochrana osobných údajov, sloboda podnikania, právo vlastniť majetok, právo na účinný prostriedok nápravy pred súdom a právo na vypočutie. Táto smernica by sa mala vykonávať v súlade s uvedenými právami a zásadami,

a)

stanovujú pre všetky členské štáty povinnosti prijať národnú stratégiu v oblasti bezpečnosti sietí a informačných systémov;

b)

vytvára skupina pre spoluprácu s cieľom podporiť a uľahčiť strategickú spoluprácu a výmenu informácií medzi členskými štátmi a rozvíjať vzájomnú dôveru medzi nimi;

c)

vytvára sieť jednotiek pre riešenie počítačových bezpečnostných incidentov (computer security incident response teams network – ďalej len „sieť jednotiek CSIRT“) s cieľom prispievať k rozvoju dôvery medzi členskými štátmi a podporovať rýchlu a účinnú operačnú spoluprácu;

d)

stanovujú bezpečnostné a oznamovacie požiadavky pre prevádzkovateľov základných služieb a pre poskytovateľov digitálnych služieb;

e)

stanovujú povinnosti členských štátov určiť príslušné vnútroštátne orgány, národné jednotné kontaktné miesta a jednotky CSIRT s úlohami súvisiacimi s bezpečnosťou sietí a informačných systémov.

1.

„sieť a informačný systém“ je:

2.

„bezpečnosť sietí a informačných systémov“ je schopnosť sietí a informačných systémov odolávať na určitom stupni spoľahlivosti akémukoľvek konaniu, ktoré ohrozuje dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo súvisiacich služieb poskytovaných alebo prístupných prostredníctvom týchto sietí a informačných systémov;

3.

„národná stratégia v oblasti bezpečnosti sietí a informačných systémov“ je rámec, v ktorom sa stanovujú strategické ciele a priority v oblasti bezpečnosti sietí a informačných systémov na vnútroštátnej úrovni;

4.

„prevádzkovateľ základných služieb“ je verejný alebo súkromný subjekt, ktorého typ sa uvádza v prílohe II, spĺňajúci kritériá stanovené v článku 5 ods. 2;

5.

„digitálna služba“ je služba v zmysle článku 1 ods. 1 písm. b) smernice Európskeho parlamentu a Rady (EÚ) 2015/1535 (17), ktorej druh sa uvádza v prílohe III;

6.

„poskytovateľ digitálnych služieb“ je každá právnická osoba, ktorá poskytuje digitálnu službu;

7.

„incident“ je každá udalosť, ktorá má skutočne nepriaznivý vplyv na bezpečnosť sietí a informačných systémov;

8.

„riešenie incidentov“ sú všetky postupy na podporu odhaľovania, analýzy a obmedzenia následkov incidentu a reakcie naň;

9.

„riziko“ je každá primerane rozpoznateľná okolnosť alebo udalosť, ktorá môže mať nepriaznivý vplyv na bezpečnosť sietí a informačných systémov;

10.

„zástupca“ je akákoľvek fyzická alebo právnická osoba usadená v Únii, ktorá je výslovne poverená konať v mene poskytovateľa digitálnej služby, ktorý nie je usadený v Únii, na ktorú sa môže vnútroštátny príslušný orgán alebo jednotka CSIRT obrátiť namiesto poskytovateľa digitálnych služieb, pokiaľ ide o povinnosti uvedeného poskytovateľa digitálnych služieb podľa tejto smernice;

11.

„norma“ je norma v zmysle článku 2 bodu 1 nariadenia (EÚ) č. 1025/2012;

12.

„špecifikácia“ je technická špecifikácia v zmysle článku 2 bodu 4 nariadenia (EÚ) č. 1025/2012;

13.

„internetový prepojovací uzol (IXP)“ je sieťové zariadenie, ktoré umožňuje prepojenie viac než dvoch nezávislých autonómnych systémov najmä na účely uľahčenia internetového dátového toku; IXP prepojuje len autonómne systémy; pri IXP nemusí internetový dátový tok medzi ktoroukoľvek dvojicou zúčastnených autonómnych systémov prechádzať cez žiadny tretí autonómny systém, pričom tento dátový tok sa nijako nemení ani sa doň nijako nezasahuje;

14.

„systém názvov domén (DNS)“ je hierarchický distribuovaný systém pomenovaní v sieti, ktorý prekladá vyhľadávanie názvov domén;

15.

„poskytovateľ služieb DNS“ je subjekt, ktorý poskytuje na internete služby DNS;

16.

„register domén najvyššej úrovne“ je subjekt, ktorý spravuje a prevádzkuje registráciu názvov internetových domén v rámci určitej domény najvyššej úrovne (TLD);

17.

„online trhovisko“ je digitálna služba, ktorá umožňuje spotrebiteľom a/alebo obchodníkom v zmysle článku 4 ods. 1 písm. a) a b) smernice Európskeho parlamentu a Rady 2013/11/EÚ (18) uzavierať online kúpne zmluvy alebo zmluvy o službách s obchodníkmi buď na webovom sídle online trhoviska, alebo na webovom sídle obchodníka, ktoré využíva počítačové služby poskytované online trhoviskom;

18.

„internetový vyhľadávač“ je digitálna služba, ktorá umožňuje používateľom vyhľadávať v zásade na všetkých webových sídlach alebo na webových sídlach v konkrétnom jazyku informácie o akejkoľvek téme na základe kľúčového slova, vety alebo iných zadaných údajov, pričom jeho výsledkom sú linky, prostredníctvom ktorých možno nájsť informácie súvisiace s požadovaným obsahom;

19.

„služba v oblasti cloud computingu“ je digitálna služba, ktorá umožňuje prístup ku škálovateľnému a pružnému súboru počítačových zdrojov, ktoré možno zdieľať.

a)

subjekt poskytuje službu, ktorá má zásadný význam z hľadiska zachovania kľúčových spoločenských a/alebo hospodárskych činností;

b)

poskytovanie tejto služby je závislé od sietí a informačných systémov a

c)

incident by mal závažný rušivý vplyv na poskytovanie uvedenej služby.

a)

vnútroštátne opatrenia umožňujúce identifikáciu prevádzkovateľov základných služieb;

b)

zoznam služieb uvedený v odseku 3;

c)

počet prevádzkovateľov základných služieb určených pre každé z odvetví uvedených v prílohe II a ich význam pre dané odvetvie;

d)

prípadné prahové hodnoty na určenie príslušnej úrovne poskytovania podľa počtu používateľov využívajúcich túto službu, ako sa uvádza v článku 6 ods. 1 písm. a), alebo významu konkrétneho prevádzkovateľa základných služieb, ako sa uvádza v článku 6 ods. 1 písm. f).

a)

počet používateľov využívajúcich službu, ktorú poskytuje daný subjekt;

b)

závislosť ostatných odvetví uvedených v prílohe II od služby, ktorú poskytuje daný subjekt;

c)

vplyvu, ktorý by mohli mať incidenty z hľadiska rozsahu a trvania na hospodárske a spoločenské činnosti alebo verejnú bezpečnosť;

d)

trhový podiel daného subjektu;

e)

geografické rozšírenie z hľadiska oblasti, ktorú by incident mohol postihnúť;

f)

význam subjektu z hľadiska zachovania dostatočnej úrovne služby, berúc do úvahy dostupnosť alternatívnych spôsobov poskytovania danej služby.

a)

ciele a priority národnej stratégie v oblasti bezpečnosti sietí a informačných systémov;

b)

rámec riadenia na dosiahnutie cieľov a priorít národnej stratégie v oblasti bezpečnosti sietí a informačných systémov vrátane úloh a zodpovedností vládnych orgánov a ďalších relevantných aktérov;

c)

identifikácia opatrení týkajúcich sa pripravenosti, reakcie a obnovy vrátane spolupráce medzi verejným a súkromným sektorom;

d)

určenie vzdelávacích programov, programov na zvyšovanie informovanosti a programov odbornej prípravy súvisiacich s národnou stratégiou v oblasti bezpečnosti sietí a informačných systémov;

e)

určenie plánov výskumu a vývoja súvisiacich s národnou stratégiou v oblasti bezpečnosti sietí a informačných systémov;

f)

plán posudzovania rizika na účely identifikácie rizík;

g)

zoznam rôznych aktérov zapojených do vykonávania národnej stratégie v oblasti bezpečnosti sietí a informačných systémov.

a)

poskytovanie strategického usmernenia pre činnosť siete jednotiek CSIRT zriadenej podľa článku 12;

b)

vymieňanie si najlepších postupov v oblasti výmeny informácií týkajúcich sa oznamovania incidentov podľa článku 14 ods. 3 a 5 a článku 16 ods. 3 a 6;

c)

vymieňanie si najlepších postupov medzi členskými štátmi a v spolupráci s agentúrou ENISA, pomáhanie členským štátom pri budovaní kapacít na zaistenie bezpečnosti sietí a informačných systémov;

d)

diskutovanie o spôsobilostiach a pripravenosti členských štátov a na dobrovoľnom základe hodnotenie národných stratégií v oblasti bezpečnosti sietí a informačných systémov a účinnosti jednotiek CSIRT, ako aj identifikovanie najlepších postupov;

e)

vymieňanie si informácií a najlepších postupov v oblasti zvyšovania informovanosti a odbornej prípravy;

f)

vymieňanie si informácií a najlepších postupov v oblasti výskumu a vývoja bezpečnosti sietí a informačných systémov;

g)

vo vhodných prípadoch vymieňanie si skúsenosti v otázkach bezpečnosti sietí a informačných systémov s príslušnými inštitúciami, orgánmi, úradmi a agentúrami Únie;

h)

diskutovanie o normách a špecifikáciách uvedených v článku 19 so zástupcami príslušných európskych organizácií pre normalizáciu;

i)

zbieranie informácií o najlepších postupoch v súvislosti s rizikami a incidentmi;

j)

každoročné skúmanie súhrnných správ uvedených v článku 10 ods. 3 druhom pododseku;

k)

diskutovanie o práci vykonanej v súvislosti s cvičeniami v oblasti bezpečnosti sietí a informačných systémov, vzdelávacími programami a odbornou prípravou vrátane práce vykonanej agentúrou ENISA;

l)

s pomocou agentúry ENISA vymieňanie si najlepších postupov, pokiaľ ide o identifikáciu prevádzkovateľov základných služieb zo strany členských štátov aj pokiaľ ide o cezhraničnú závislosť v súvislosti s rizikami a incidentmi;

m)

diskutovanie o spôsoboch informovania o oznámených incidentoch podľa článkov 14 a 16.

a)

vymieňanie si informácií o službách, operáciách a spôsobilostiach spolupráce jednotiek CSIRT;

b)

na žiadosť zástupcu jednotky CSIRT z členského štátu, ktorý je potenciálne postihnutý incidentom, vymieňanie si a prerokúvanie informácií, ktoré nie sú citlivé z obchodného hľadiska a týkajú sa daného incidentu a súvisiacich rizík; avšak ktorákoľvek jednotka CSIRT členského štátu môže odmietnuť prispieť k tejto diskusii, ak hrozí riziko ovplyvnenia vyšetrovania daného incidentu;

c)

na dobrovoľnom základe vymieňanie si a sprístupňovanie informácií o jednotlivých incidentoch, ktoré nie sú dôverné;

d)

na žiadosť zástupcu jednotky CSIRT členského štátu prediskutovanie a pokiaľ možno identifikovanie koordinovanej reakcie na incident, ktorý bol identifikovaný v jurisdikcii tohto členského štátu;

e)

poskytovanie podpory členským štátom pri riešení cezhraničných incidentov na základe ich dobrovoľnej vzájomnej pomoci;

f)

diskutovanie o ďalších formách operačnej spolupráce, preskúmavanie a identifikovanie ich, a to aj v súvislosti:

g)

informovanie skupiny pre spoluprácu o svojej činnosti a o ďalších formách operačnej spolupráce, o ktorých sa diskutuje podľa písmena f), a požadovanie usmernení v tomto ohľade;

h)

diskutovanie o ponaučeniach z cvičení v oblasti bezpečnosti sietí a informačných systémov vrátane tých, ktoré organizuje agentúra ENISA;

i)

na žiadosť určitej jednotky CSIRT diskutovanie o spôsobilostiach a pripravenosti tejto jednotky CSIRT;

j)

vydávanie usmernení s cieľom uľahčiť konvergenciu operačných postupov so zreteľom na uplatňovanie ustanovení tohto článku, pokiaľ ide o operačnú spoluprácu.

a)

počet používateľov postihnutých narušením základnej služby;

b)

dĺžka trvania incidentu;

c)

geografické rozšírenie z hľadiska oblasti, ktorú incident postihol.

a)

informácie potrebné na posúdenie bezpečnosti svojich sietí a informačných systémov vrátane zdokumentovaných bezpečnostných politík;

b)

dôkazy o účinnom vykonávaní bezpečnostných politík, ako sú výsledky bezpečnostného auditu, ktorý vykoná príslušný orgán alebo kvalifikovaný audítor, pričom v prípade, že ho vykoná kvalifikovaný audítor, sa výsledky spolu s podkladovými dôkazmi poskytnú príslušnému orgánu.

a)

bezpečnosť systémov a zariadení;

b)

riešenie incidentov;

c)

riadenie kontinuity činnosti;

d)

monitorovanie, audit a skúšanie;

e)

súlad s medzinárodnými normami.

a)

počet používateľov postihnutých incidentom, najmä používateľov využívajúcich danú službu na účely poskytovania vlastných služieb;

b)

dĺžka trvania incidentu;

c)

geografické rozšírenie z hľadiska oblasti, ktorú incident postihol;

d)

stupeň narušenia fungovania služby;

e)

rozsah vplyvu na hospodárske a spoločenské činnosti.

a)

poskytovanie informácií potrebných na posúdenie bezpečnosti ich sietí a informačných systémov vrátane zdokumentovaných bezpečnostných politík;

b)

napravenie akéhokoľvek nesplnenia požiadaviek stanovených v článku 16.