(1)

Direktiva (EU) 2016/1148 Evropskega parlamenta in Sveta (4) je bila namenjena razvoju zmogljivosti za kibernetsko varnost po vsej Uniji, ublažitvi groženj za omrežja in informacijske sisteme, ki se uporabljajo za opravljanje bistvenih storitev v ključnih sektorjih, ter zagotovitvi neprekinjenega izvajanja takih storitev pri spoprijemanju z incidenti, s čimer naj bi prispevala k varnosti Unije ter učinkovitemu delovanju njenega gospodarstva in družbe.

(2)

Od začetka veljavnosti Direktive (EU) 2016/1148 je bil dosežen velik napredek pri zviševanju ravni kibernetske odpornosti v Uniji. Pregled navedene direktive je pokazal, da se je uporabljala kot katalizator za institucionalni in regulativni pristop h kibernetski varnosti v Uniji, s čimer je utrla pot do velike spremembe v mišljenju. Navedena direktiva je zagotovila dokončanje nacionalnih okvirov za varnost omrežij in informacijskih sistemov z vzpostavitvijo nacionalnih strategij za varnost omrežij in informacijskih sistemov ter z vzpostavitvijo nacionalnih zmogljivosti in izvajanjem regulativnih ukrepov, ki so zajemali bistvene infrastrukture in subjekte, ki jih je določila vsaka država članica. Direktiva (EU) 2016/1148 je prispevala tudi k sodelovanju na ravni Unije z ustanovitvijo skupine za sodelovanje in mreže nacionalnih skupin za odzivanje na incidente na področju računalniške varnosti. Kljub tem dosežkom pa so bile pri pregledu Direktive (EU) 2016/1148 razkrite pomanjkljivosti, zaradi katerih z navedeno direktivo ni mogoče učinkovito obravnavati sedanjih in nastajajočih izzivov na področju kibernetske varnosti.

(3)

Omrežni in informacijski sistemi so se razvili v osrednjo značilnost vsakdanjega življenja s hitro digitalno preobrazbo in medsebojno povezanostjo družbe, vključno s čezmejnimi izmenjavami. Ta razvoj je privedel do razširitve splošne kibernetske ogroženosti, s čimer so se pojavili novi izzivi, ki zahtevajo prilagojene, usklajene in inovativne odzive v vseh državah članicah. Število, obseg, izpopolnjenost, pogostost in vpliv incidentov so vse večji ter pomenijo večjo grožnjo delovanju omrežnih in informacijskih sistemov. Posledično lahko incidenti ovirajo gospodarske dejavnosti na notranjem trgu, ustvarjajo finančno izgubo, slabijo zaupanje uporabnikov ter povzročajo veliko škodo gospodarstvu in družbi Unije. Pripravljenost in učinkovitost na področju kibernetske varnosti sta zato zdaj pomembnejši za ustrezno delovanje notranjega trga kot kdaj koli prej. Poleg tega je kibernetska varnost eden od glavnih dejavnikov, ki številnim ključnim sektorjem omogočajo, da se uspešno podajo na pot digitalne preobrazbe ter v celoti izkoristijo gospodarske, družbene in trajnostne prednosti digitalizacije.

(4)

Pravna podlaga Direktive (EU) 2016/1148 je bil člen 114 Pogodbe o delovanju Evropske unije (PDEU), katerega cilj je vzpostavitev in delovanje notranjega trga z okrepitvijo ukrepov za približevanje nacionalnih pravil. Zahteve glede kibernetske varnosti, ki jih morajo izpolnjevati subjekti, ki opravljajo storitve ali izvajajo dejavnosti, ki so gospodarsko pomembne, se med državami članicami močno razlikujejo v smislu vrste zahtev, njihove ravni podrobnosti in metode nadzora. Te razlike povzročajo dodatne stroške in ustvarjajo težave za subjekte, ki blago ali storitve ponujajo čez meje. Zahteve, ki jih naloži ena država članica in ki se razlikujejo od zahtev, ki jih naloži druga država članica, ali so celo v nasprotju z njimi, lahko bistveno vplivajo na takšne čezmejne dejavnosti. Poleg tega bo možnost neustreznega oblikovanja ali izvajanja zahtev glede kibernetske varnosti v eni državi članici verjetno vplivala na raven kibernetske varnosti drugih držav članic, zlasti glede na intenzivnost čezmejnih izmenjav. Pregled Direktive (EU) 2016/1148 je pokazal velike razlike v njenem izvajanju v državah članicah, tudi v zvezi z njenim področjem uporabe, katerega razmejitev je bila v zelo veliki meri prepuščena presoji držav članic. Direktiva (EU) 2016/1148 je državam članicam zagotovila tudi zelo široko polje proste presoje, kar zadeva izvajanje obveznosti glede varnosti in poročanja o incidentih, določenih v Direktivi. Te obveznosti so se zato na nacionalni ravni izvajale na zelo različne načine. Podobne razlike obstajajo pri izvajanju določb Direktive (EU) 2016/1148 o nadzoru in izvrševanju.

(5)

Vse te razlike povzročajo razdrobljenost notranjega trga in lahko škodljivo učinkujejo na njegovo delovanje, kar vpliva zlasti na čezmejno opravljanje storitev in raven kibernetske odpornosti zaradi uporabe različnih ukrepov. Navsezadnje bi lahko te razlike privedle do večje ranljivosti nekaterih držav članic za kibernetske grožnje, kar bi lahko povzročilo učinke prelivanja po vsej Uniji. Cilj te direktive je odpraviti tovrstne velike razlike med državami članicami, zlasti z določitvijo minimalnih pravil v zvezi z delovanjem usklajenega regulativnega okvira, določitvijo mehanizmov za učinkovito sodelovanje med pristojnimi organi v vsaki državi članici, posodobitvijo seznama sektorjev in dejavnosti, za katere veljajo obveznosti glede kibernetske varnosti, ter določitvijo učinkovitih pravnih sredstev in izvršilnih ukrepov, ki so ključni za učinkovito izvrševanje teh obveznosti. Zato bi bilo treba Direktivo (EU) 2016/1148 razveljaviti in nadomestiti s to direktivo.

(6)

Z razveljavitvijo Direktive (EU) 2016/1148 bi bilo treba področje uporabe po sektorjih razširiti na večji del gospodarstva, da bi se zagotovila celovita pokritost sektorjev in storitev, ki so bistvenega pomena za ključne družbene in gospodarske dejavnosti na notranjem trgu. Cilj te direktive je zlasti odpraviti pomanjkljivosti razlikovanja med izvajalci bistvenih storitev in ponudniki digitalnih storitev, ki se je izkazalo za zastarelo, saj ne odraža pomena sektorjev ali storitev za družbene in gospodarske dejavnosti na notranjem trgu.

(7)

Na podlagi Direktive (EU) 2016/1148 so bile države članice odgovorne za določitev subjektov, ki izpolnjujejo merila, na podlagi katerih se štejejo za izvajalce bistvenih storitev. Za odpravo velikih razlik med državami članicami v zvezi s tem in zagotovitev pravne varnosti v zvezi z ukrepi kibernetske varnosti za obvladovanje tveganja in obveznosti poročanja za vse ustrezne subjekte bi bilo treba določiti enotno merilo, ki bi določalo, kateri subjekti spadajo na področje uporabe te direktive. To merilo bi moralo vključevati uporabo pravila omejitve velikosti, v skladu s katerim na področje uporabe te direktive spadajo vsi subjekti, ki se na podlagi člena 2 Priloge k Priporočilu Komisije 2003/361/ES (5) štejejo za srednja podjetja, ali presegajo zgornje meje za srednja podjetja iz odstavka 1 navedenega člena, in ki delujejo v sektorjih in opravljajo vrste storitev ali izvajajo dejavnosti, zajete s to direktivo. Države članice bi morale tudi zagotoviti, da na področje uporabe te direktive spadajo nekatera mala podjetja in mikropodjetja, kot so opredeljena v členu 2(2) in (3) navedene priloge, ki izpolnjujejo posebna merila, ki kažejo na ključno vlogo za družbo, gospodarstvo ali za določene sektorje ali vrste storitev.

(8)

Izključitev subjektov javne uprave s področja uporabe te direktive bi morala veljati za subjekte, katerih dejavnosti se večinoma izvajajo na področjih nacionalne varnosti, javne varnosti, obrambe ali kazenskega pregona, vključno s preprečevanjem, preiskovanjem, odkrivanjem in pregonom kaznivih dejanj. Vendar subjekti javne uprave, katerih dejavnosti so le obrobno povezane s temi področji, ne bi smeli biti izključeni s področja uporabe te direktive. Za namene te direktive se za subjekte z regulativno pristojnostjo ne šteje, da opravljajo dejavnosti na področju kazenskega pregona, in zato iz tega razloga niso izključeni s področja uporabe te direktive. Subjekti javne uprave, ki so ustanovljeni skupaj s tretjo državo v skladu z mednarodnim sporazumom, so izključeni s področja uporabe te direktive. Ta direktiva se ne uporablja za diplomatska in konzularna predstavništva držav članic v tretjih državah ali za njihove omrežne in informacijske sisteme, če so ti sistemi v prostorih predstavništva ali če delujejo za uporabnike v tretji državi.

(9)

Države članice bi morale imeti možnost, da sprejmejo potrebne ukrepe, s katerimi zaščitijo bistvene interese nacionalne varnosti, javni red in javno varnost ter omogočijo preprečevanje, preiskovanje, odkrivanje in pregon kaznivih dejanj. V ta namen bi morale imeti države članice možnost, da posebne subjekte, ki izvajajo dejavnosti na področjih nacionalne varnosti, javne varnosti, obrambe ali kazenskega pregona, vključno s preprečevanjem, preiskovanjem, odkrivanjem in pregonom kaznivih dejanj, izvzamejo iz določenih obveznosti iz te direktive v zvezi s temi dejavnostmi. Kadar subjekt opravlja storitve izključno za subjekt javne uprave, ki je izključen s področja uporabe te direktive, bi morale imeti države članice možnost, da ta subjekt izvzamejo iz določenih obveznosti iz te direktive v zvezi s temi storitvami. Poleg tega se od nobene države članice ne bi smelo zahtevati, da daje informacije, katerih razkritje bi bilo v nasprotju z bistvenimi interesi njene nacionalne varnosti, javne varnosti ali obrambe. V tem okviru bi bilo potrebno upoštevati pravila Unije ali nacionalna pravila za varovanje tajnih podatkov, sporazume o nerazkritju informacij in neuradne sporazume o nerazkritju informacij, kot je semaforski protokol (Traffic Light Protocol). Semaforski protokol je treba razumeti kot sredstvo za zagotavljanje informacij o kakršnih koli omejitvah v zvezi z nadaljnjim širjenjem informacij. Uporablja se v skoraj vseh skupinah za odzivanje na incidente na področju računalniške varnosti (v nadaljnjem besedilu: skupine CSIRT) ter v nekaterih centrih za analizo in izmenjavo informacij.

(10)

Čeprav se ta direktiva uporablja za subjekte, ki opravljajo dejavnosti na področju proizvodnje električne energije v jedrskih elektrarnah, so nekatere od teh dejavnosti lahko povezane z nacionalno varnostjo. V primeru, da je temu tako, bi morala imeti država članica možnost, da uveljavlja svojo odgovornost za zaščito svoje nacionalne varnosti v zvezi s temi dejavnostmi, vključno z dejavnostmi znotraj jedrske vrednostne verige, v skladu s Pogodbama.

(11)

Nekateri subjekti izvajajo dejavnosti na področju nacionalne varnosti, javne varnosti, obrambe ali kazenskega pregona, vključno s preprečevanjem, preiskovanjem, odkrivanjem in pregonom kaznivih dejanj, hkrati pa zagotavljajo storitve zaupanja. Ponudniki storitev zaupanja, ki spadajo na področje uporabe Uredbe (EU) št. 910/2014 Evropskega parlamenta in Sveta (6), bi morali spadati na področje uporabe te direktive, da se zagotovi enaka raven varnostnih zahtev in nadzora, kot je bila poprej v zvezi s ponudniki storitev zaupanja predpisana v navedeni uredbi. Skladno z izključitvijo nekaterih posebnih storitev iz Uredbe (EU) št. 910/2014 se ta uredba ne bi smela uporabljati za zagotavljanje storitev zaupanja, ki se uporabljajo izključno znotraj zaprtih sistemov, ki obstajajo na podlagi nacionalnega prava ali sporazumov med določeno skupino udeležencev.

(12)

Ponudniki poštnih storitev, kot so opredeljeni v Direktivi 97/67/ES Evropskega parlamenta in Sveta (7), vključno s ponudniki kurirskih storitev, bi morali biti predmet te direktive, če zagotavljajo vsaj en korak v verigi poštne dostave, zlasti sprejem, usmerjanje, prevoz ali dostavo poštnih pošiljk, vključno s storitvami prevzema, ob upoštevanju stopnje njihove odvisnosti od omrežnih in informacijskih sistemov. Storitve prenosa, ki se ne izvajajo v povezavi z enim od teh korakov, bi bilo treba izključiti iz obsega poštnih storitev.

(13)

Glede na okrepitev in večjo izpopolnjenost kibernetskih groženj bi si morale države članice prizadevati zagotoviti, da subjekti, ki so izključeni s področja uporabe te direktive, dosežejo visoko raven kibernetske varnosti, in podpirati izvajanje enakovrednih ukrepov za obvladovanje tveganj za kibernetsko varnost, ki odražajo občutljivo naravo teh subjektov.

(14)

Pravo Unije o varstvu podatkov in pravo Unije o zasebnosti se uporablja za vsakršno obdelavo osebnih podatkov na podlagi te direktive. Ta direktiva zlasti ne posega v Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta (8) ter Direktivo 2002/58/ES Evropskega parlamenta in Sveta (9). Ta direktiva zato med drugim ne bi smela vplivati na naloge in pooblastila organov, pristojnih za spremljanje skladnosti z veljavnim pravom Unije o varstvu podatkov in pravom Unije o zasebnosti.

(15)

Subjekti, ki spadajo na področje uporabe te direktive za namene izpolnjevanja ukrepov za obvladovanje tveganj za kibernetsko varnost in obveznosti poročanja, bi morali biti razvrščeni v dve kategoriji, in sicer bistvene in pomembne subjekte, ki bi odražali, v kolikšni meri so kritični glede na sektor ali vrsto storitev, ki jih zagotavljajo, ter na njihovo velikost. V zvezi s tem bi bilo treba po potrebi ustrezno upoštevati vse ustrezne sektorske ocene tveganja ali usmeritve pristojnih organov. Pri teh dveh kategorijah subjektov bi bilo treba razlikovati med ureditvijo nadzora in ureditvijo izvrševanja, da bi se zagotovilo ustrezno ravnovesje med zahtevami na podlagi tveganj in obveznostmi na eni strani ter upravnim bremenom, ki izhaja iz nadzora nad izpolnjevanjem zahtev in obveznosti, na drugi strani.

(16)

Da bi se preprečilo, da bi se subjekti, ki imajo partnerska podjetja ali so povezana podjetja, šteli za bistvene ali pomembne subjekte, kadar bi bilo to nesorazmerno, lahko države članice pri uporabi člena 6(2) Priloge k Priporočilu 2003/361/ES upoštevajo stopnjo neodvisnosti, ki jo ima subjekt v razmerju do svojih partnerskih ali povezanih podjetij. Države članice lahko zlasti upoštevajo, da je subjekt neodvisen od svojega partnerja ali povezanih podjetij, kar zadeva omrežne in informacijske sisteme, ki jih ta subjekt uporablja pri opravljanju svojih storitev, in storitev, ki jih subjekt opravlja. Na podlagi tega lahko države članice po potrebi štejejo, da tak subjekt ne izpolnjuje pogojev za srednje podjetje na podlagi člena 2 Priloge k Priporočilu 2003/361/ES ali ne presega zgornjih mej za srednje podjetje iz odstavka 1 navedenega člena, če bi se ob upoštevanju stopnje neodvisnosti tega subjekta zanj štelo, da ne izpolnjuje pogojev za srednje podjetje ali da presega navedene zgornje meje, če bi se upoštevali samo njegovi podatki. To ne vpliva na obveznosti iz te direktive za partnerska in povezana podjetja, ki spadajo na področje uporabe te direktive.

(17)

Države članice bi morale imeti možnost, da se odločijo, da se subjekti, ki so bili pred začetkom veljavnosti te direktive določeni kot izvajalci bistvenih storitev v skladu z Direktivo (EU) 2016/1148, štejejo za bistvene subjekte.

(18)

Za zagotovitev jasnega pregleda subjektov, ki spadajo na področje uporabe te direktive, bi morale države članice oblikovati seznam bistvenih in pomembnih subjektov, kot tudi subjektov, ki opravljajo storitve registracije domenskih imen. V ta namen bi morale države članice od subjektov zahtevati, da pristojnim organom predložijo vsaj naslednje informacije, in sicer ime, naslov in ažurne kontaktne podatke, vključno z naslovi elektronske pošte, bloki naslovov IP in telefonskimi številkami subjekta, ustrezni sektor in podsektor iz prilog, kadar je to primerno, po potrebi pa tudi seznam držav članic, v katerih opravljajo storitve, ki spadajo na področje uporabe te direktive. V ta namen bi morala Komisija ob pomoči Agencije Evropske unije za kibernetsko varnost (ENISA) brez nepotrebnega odlašanja sprejeti smernice in obrazce v zvezi z obveznostjo predložitve informacij. Za lažje oblikovanje in posodabljanje seznama bistvenih in pomembnih subjektov, kot tudi subjektov, ki opravljajo storitve registracije domenskih imen, bi morale imeti države članice možnost, da vzpostavijo nacionalne mehanizme za registracijo subjektov. Če obstajajo registri na nacionalni ravni, se lahko države članice odločijo o ustreznih mehanizmih, ki omogočajo identifikacijo subjektov, ki spadajo na področje uporabe te direktive.

(19)

Države članice bi morale biti odgovorne, da Komisiji predložijo vsaj število bistvenih in pomembnih subjektov za vsak sektor in podsektor iz prilog ter ustrezne informacije o številu identificiranih subjektov in določbi iz te direktive, na podlagi katere so bili identificirani, ter o vrsti storitve, ki jo zagotavljajo. Države članice se spodbuja, da si s Komisijo izmenjujejo informacije o bistvenih in pomembnih subjektih ter v primeru kibernetskega incidenta velikih razsežnosti ustrezne informacije, kot je ime zadevnega subjekta.

(20)

Komisija bi morala v sodelovanju s skupino za sodelovanje in po posvetovanju z ustreznimi deležniki določiti smernice o izvajanju meril, ki se uporabljajo za ocenjevanje, ali mikropodjetja in mala podjetja spadajo na področje uporabe te direktive. Komisija bi morala pripraviti tudi ustrezne smernice za vsa mikropodjetja in mala podjetja, ki spadajo na področje uporabe ta direktive. Komisija bi morala ob pomoči držav članic mikropodjetjem in malim podjetjem dati na voljo informacije v zvezi s tem.

(21)

Komisija bi lahko zagotovila navodila, da bi državam članicam pomagala pri izvajanju določb te direktive glede področja uporabe in pri oceni sorazmernosti ukrepov, ki se sprejmejo na podlagi te direktive, zlasti za subjekte z zapletenimi poslovnimi modeli ali delovnimi okolji, pri čemer lahko subjekt hkrati izpolnjuje merila, dodeljena tako bistvenim kot pomembnim subjektom, ali hkrati izvaja dejavnosti, od katerih nekatere spadajo na področje uporabe te direktive, druge pa so z njega izključene.

(22)

Ta direktiva določa izhodišče za ukrepe za obvladovanje tveganj za kibernetsko varnost in obveznosti poročanja v sektorjih, ki spadajo na njeno področje uporabe. Da bi se preprečila razdrobljenost določb pravnih aktov Unije o kibernetski varnosti, bi morala Komisija, kadar se šteje, da so za zagotavljanje visoke ravni kibernetske varnosti po vsej Uniji potrebni nadaljnji sektorski pravni akti Unije glede ukrepov za obvladovanje tveganj za kibernetsko varnost in obveznosti poročanja, oceniti, ali bi se takšne nadaljnje določbe lahko določile v izvedbenem aktu na podlagi te direktive. Če takšen izvedbeni akt ne bi bil primeren za to, bi sektorski pravni akti Unije lahko prispevali k zagotavljanju visoke ravni kibernetske varnosti po vsej Uniji, ob polnem upoštevanju posebnosti in kompleksnosti zadevnih sektorjev. Zato ta direktiva ne izključuje sprejetja nadaljnjih sektorskih pravnih aktov Unije, ki bi obravnavali ukrepe za obvladovanje tveganj za kibernetsko varnost in obveznosti poročanja ter pri katerih bi se ustrezno upoštevala potrebo po celovitem in doslednem okviru za kibernetsko varnost. Ta direktiva ne posega v obstoječa izvedbena pooblastila, ki so bila podeljena Komisiji v številnih sektorjih, vključno s prometom in energetiko.

(23)

Kadar sektorski pravni akti Unije vsebuje določbe, ki zahtevajo, da bistveni ali pomembni subjekti sprejmejo ukrepe za obvladovanje tveganj za kibernetsko varnost ali da priglasijo pomembne incidente, in kadar so takšne zahteve po učinku vsaj enakovredne obveznostim iz te direktive, bi se morale te določbe, tudi tiste o nadzoru in izvrševanju, uporabljati za take subjekte. Če sektorski pravni akt Unije ne zajema vseh subjektov v določenem sektorju, ki spadajo na področje uporabe te direktive, bi se morale ustrezne določbe te direktive še naprej uporabljati za subjekte, ki jih ta akt ne zajema.

(24)

Kadar določbe sektorskega pravnega akta Unije od bistvenih ali pomembnih subjektov zahtevajo, da izpolnjujejo obveznosti poročanja, ki imajo vsaj enakovreden učinek kot obveznosti poročanja iz te direktive, bi bilo treba zagotoviti skladnost in učinkovitost pri obravnavi priglasitev incidentov. V ta namen bi morale določbe sektorskega pravnega akta Unije v zvezi s priglasitvijo incidentov skupinam CSIRT, pristojnim organom ali enotnim kontaktnim točkam za kibernetsko varnost (v nadaljnjem besedilu: enotna kontaktna točka) na podlagi te direktive zagotavljati takojšen dostop do priglasitev incidentov, ki se predložijo v skladu s sektorskim pravnim aktom Unije. Tak takojšen dostop se lahko zagotovi zlasti, če se priglasitve incidentov brez nepotrebnega odlašanja posredujejo skupini CSIRT, pristojnemu organu ali enotni kontaktni točki iz te direktive. Države članice bi morale po potrebi vzpostaviti mehanizem samodejnega in neposrednega poročanja, ki bi v zvezi z obravnavo takih priglasitev incidentov zagotavljal sistematično in takojšnjo izmenjavo informacij s skupinami CSIRT, pristojnimi organi ali enotno kontaktno točko. Za namene poenostavitve poročanja in izvajanja mehanizma samodejnega in neposrednega poročanja bi lahko države članice v skladu s sektorskim pravnim aktom Unije uporabile enotno vstopno točko.

(25)

V sektorskih pravnih aktih Unije, ki predpisujejo ukrepe za obvladovanje tveganj za kibernetsko varnost ali obveznosti poročanja, ki so po učinku vsaj enakovredni tistim iz te direktive, bi se lahko določilo, da pristojni organi iz tovrstnih aktov izvajajo svoja nadzorna in izvršilna pooblastila v zvezi s takšnimi ukrepi ali obveznostmi s pomočjo pristojnih organov iz te direktive. Zadevni pristojni organi bi lahko v ta namen sklenili dogovore o sodelovanju. V takšnih dogovorih o sodelovanju bi se lahko med drugim določili postopki za usklajevanje nadzornih dejavnosti, vključno s postopki preiskav in inšpekcijskih pregledov na kraju samem v skladu z nacionalnim pravom, ter mehanizem za izmenjavo relevantnih informacij o nadzoru in izvrševanju med pristojnimi organi, vključno z dostopom do informacij v zvezi s kibernetsko varnostjo, ki jih zahtevajo pristojni organi iz te direktive.

(26)

Kadar se v sektorskih pravnih aktih Unije od subjektov zahteva ali se jih spodbuja, da priglasijo pomembne kibernetske grožnje, bi morale države članice spodbujati tudi izmenjavo pomembnih kibernetskih groženj s skupinami CSIRT, pristojnimi organi ali enotnimi kontaktnimi točkami na podlagi te direktive, da bi se zagotovila višja raven ozaveščenosti teh organov o splošni kibernetski ogroženosti ter se jim omogočil učinkovit in pravočasen odziv, če bi se pomembne kibernetske grožnje uresničile.

(27)

V nadaljnjih sektorskih pravnih aktih Unije bi se morali ustrezno upoštevati opredelitve ter nadzorni in izvršilni okvir iz te direktive.

(28)

Uredba (EU) 2022/2554 Evropskega parlamenta in Sveta (10) bi se morala šteti za sektorski pravni akt Unije v zvezi s to direktivo, kar zadeva finančne subjekte. Določbe Uredbe (EU) 2022/2554 v zvezi z ukrepi za obvladovanje tveganj na področju informacijske in komunikacijske tehnologije (IKT), obvladovanjem incidentov, povezanih z IKT, in zlasti poročanjem o večjih incidentih, povezanih z IKT, kot tudi testiranjem digitalne operativne odpornosti, dogovori o izmenjavi informacij in tveganjem tretjih oseb na področju IKT bi se morale uporabljati namesto določb te direktive. Države članice zato ne bi smele uporabljati določb te direktive o obvladovanju tveganj za kibernetsko varnost in obveznostih poročanja ter nadzoru in izvrševanju za finančne subjekte, zajete z Uredbo (EU) 2022/2554. Hkrati je pomembno ohranjati tesno povezavo in izmenjavo informacij s finančnim sektorjem na podlagi te direktive. V ta namen Uredba (EU) 2022/2554 evropskim nadzornim organom in pristojnim organom iz navedene uredbe omogoča, da sodelujejo pri dejavnostih skupine za sodelovanje ter si izmenjujejo informacije in sodelujejo z enotnimi kontaktnimi točkami, kot tudi s skupinami CSIRT in pristojnimi organi iz te direktive. Pristojni organi iz Uredbe (EU) 2022/2554 bi morali podrobnosti o večjih incidentih, povezanih z IKT, in po potrebi pomembnih kibernetskih grožnjah posredovati tudi skupinam CSIRT, pristojnim organom ali enotnim kontaktnim točkam iz te direktive. To je mogoče doseči z zagotovitvijo takojšnjega dostopa do priglasitev incidentov in njihovega posredovanja neposredno ali prek enotne vstopne točke. Poleg tega bi morale države članice še naprej vključevati finančni sektor v svoje strategije za kibernetsko varnost, skupine CSIRT pa lahko vključijo finančni sektor v svoje dejavnosti.

(29)

V izogib vrzelim ali podvajanju obveznosti glede kibernetske varnosti, ki veljajo za subjekte v letalskem sektorju, bi morali nacionalni organi iz uredb (ES) št. 300/2008 (11) in (EU) 2018/1139 (12) Evropskega parlamenta in Sveta ter pristojni organi iz te direktive sodelovati pri izvajanju ukrepov za obvladovanje tveganj za kibernetsko varnost in nadzoru spoštovanja teh ukrepov na nacionalni ravni. Pristojni organi iz te direktive bi lahko skladnost subjekta z varnostnimi zahtevami iz uredb (ES) št. 300/2008 in (EU) 2018/1139 ter iz ustreznih delegiranih in izvedbenih aktov, sprejetih na podlagi navedenih uredb, šteli za skladnost z ustreznimi zahtevami iz te direktive.

(30)

Glede na medsebojne povezave med kibernetsko varnostjo in fizično varnostjo subjektov bi bilo treba zagotoviti skladen pristop med Direktivo (EU) 2022/2557 Evropskega parlamenta in Sveta (13) in to direktivo. Za dosego tega bi se morali subjekti, ki so identificirani kot kritični na podlagi Direktive (EU) 2022/2557, šteti za bistvene subjekte iz te direktive. Poleg tega bi morala vsaka država članica zagotoviti, da njena nacionalna strategija za kibernetsko varnost določa okvir politike za okrepljeno usklajevanje v tej državi članici med njenimi pristojnimi organi iz te direktive in pristojnimi organi iz Direktive (EU) 2022/2557 v okviru izmenjave informacij o tveganjih, kibernetskih grožnjah in incidentih, pa tudi o nekibernetskih tveganjih, grožnjah in incidentih, ter izvajanja nadzornih nalog. Pristojni organi iz te direktive in pristojni organi iz Direktive (EU) 2022/2557 bi morali sodelovati in si brez nepotrebnega odlašanja izmenjevati informacije, zlasti v zvezi z identifikacijo kritičnih subjektov, tveganji, kibernetskimi grožnjami in incidenti, pa tudi v zvezi z nekibernetskimi tveganji, grožnjami in incidenti, ki vplivajo na kritične subjekte, vključno z ukrepi za kibernetsko varnost in fizičnimi ukrepi, ki jih sprejmejo kritični subjekti, kot tudi rezultati nadzornih dejavnosti, opravljenih v zvezi s takšnimi subjekti.

Poleg tega bi si morali pristojni organi za racionalizacijo nadzornih dejavnosti med pristojnimi organi iz te direktive in pristojni organi iz Direktive (EU) 2022/2557 in za zmanjšanje upravnega bremena za zadevne subjekte prizadevati za harmonizacijo predlog za priglasitev incidentov in nadzornih postopkov. Kadar je ustrezno, bi morali imeti pristojni organi iz Direktive (EU) 2022/2557 možnost, da od pristojnih organov iz te direktive zahtevajo, da izvajajo nadzorna in izvršilna pooblastila v zvezi s subjektom, ki je identificiran kot kritičen subjekt iz Direktive (EU) 2022/2557. Pristojni organi iz te direktive in pristojni organi iz Direktive (EU) 2022/2557 bi morali v ta namen sodelovati in si izmenjevati informacije, po možnosti v realnem času.

(31)

Subjekti, ki spadajo v sektor digitalne infrastrukture, v bistvu temeljijo na omrežnih in informacijskih sistemih, zato bi morale obveznosti, ki se tem subjektom nalagajo na podlagi te direktive, celovito obravnavati fizično varnost takšnih sistemov kot del njihovih ukrepov obvladovanja tveganj za kibernetsko varnost in obveznosti poročanja. Ker so te zadeve zajete v tej direktivi, se obveznosti iz poglavij III, IV in VI Direktive (EU) 2022/2557 ne uporabljajo za takšne subjekte.

(32)

Podpiranje in ohranjanje zanesljivega, odpornega in varnega sistema domenskih imen (DNS) sta ključna dejavnika pri ohranjanju celovitosti interneta ter bistvena za njegovo neprekinjeno in stabilno delovanje, od katerega sta odvisna digitalno gospodarstvo in družba. Zato bi se morala ta direktiva uporabljati za registre vrhnjih domenskih imen (TLD) in ponudnike storitev DNS, ki bi se morali šteti za subjekte, ki zagotavljajo javno dostopne storitve rekurzivnega razreševanja domenskih imen za končne uporabnike interneta ali storitve avtoritativnega razreševanja domenskih imen, ki jih uporabljajo tretje strani. Ta direktiva se ne bi smela uporabljati za korenske imenske strežnike.

(33)

Storitve računalništva v oblaku bi morale zajemati digitalne storitve, ki omogočajo upravljanje na zahtevo in širok oddaljeni dostop do prožnega in po obsegu prilagodljivega nabora deljivih računalniških virov, tudi kadar so ti viri porazdeljeni na več lokacijah. Računalniški viri vključujejo vire, kot so omrežja, strežniki ali druga infrastruktura, operacijski sistemi, programska oprema, pomnilniki, aplikacije in storitve. Modeli storitev računalništva v oblaku med drugim vključujejo infrastrukturo kot storitev (IaaS), platformo kot storitev (PaaS), programsko opremo kot storitev (SaaS) in omrežje kot storitev (NaaS). Modeli uvajanja računalništva v oblaku bi morali vključevati zasebni, skupnostni, javni in hibridni oblak. Storitev računalništva v oblaku in modeli uvajanja imajo enak pomen kot izrazi za storitve in modele uvajanja, opredeljeni v standardu ISO/IEC 17788:2014. Zmožnost uporabnika računalništva v oblaku, da enostransko samostojno zagotavlja računalniške zmogljivosti, kot je čas strežnika ali omrežno shranjevanje, brez kakršne koli človeške interakcije ponudnika računalništva v oblaku, bi bilo mogoče opisati kot upravljanje na zahtevo.

Izraz „širok oddaljeni dostop“ se uporablja za opis, da se zmogljivosti oblaka zagotavljajo prek omrežja in da se do njih dostopa z mehanizmi, ki spodbujajo uporabo raznolikih platform tankih in debelih odjemalcev, vključno z mobilnimi telefoni, tablicami, prenosniki in delovnimi postajami. Izraz „prožen“ se nanaša na računalniške vire, ki jih ponudnik storitev v oblaku prilagodljivo dodeljuje, ne glede na geografsko lokacijo virov, da bi se tako lahko odzvali na spremembe v povpraševanju. Izraz „prilagodljiv nabor“ opisuje računalniške vire, ki se zagotavljajo in sproščajo glede na povpraševanje, da bi se tako število razpoložljivih virov hitro povečalo ali zmanjšalo, odvisno od delovne obremenitve. Izraz „deljivi“ opisuje računalniške vire, ki se zagotavljajo več uporabnikom, ki imajo skupen dostop do storitve, vendar obdelava poteka ločeno za vsakega uporabnika, čeprav se storitev zagotavlja z isto elektronsko opremo. Izraz „porazdeljeni“ se uporablja za opis računalniških virov, ki so na različnih omrežnih računalnikih ali napravah ter ki medsebojno komunicirajo in se usklajujejo z izmenjevanjem sporočil.

(34)

Zaradi pojava inovativnih tehnologij in novih poslovnih modelov se pričakuje, da se bodo na notranjem trgu pojavili nove storitve računalništva v oblaku in novi modeli uvajanja v odziv na razvijajoče se potrebe strank. V tem okviru se lahko storitve računalništva v oblaku zagotavljajo v zelo porazdeljeni obliki, še bližje lokaciji, kjer se podatki pridobivajo ali zbirajo, kar pomeni premik s tradicionalnega modela na zelo porazdeljen model (računalništvo na robu).

(35)

Storitve, ki jih ponujajo ponudniki storitev podatkovnih centrov, se morda ne zagotavljajo vedno v obliki storitve računalništva v oblaku. Zato podatkovni centri morda niso vedno del infrastrukture računalništva v oblaku. Za obvladovanje vseh tveganj za varnost omrežnih in informacijskih sistemov bi morala ta direktiva torej zajemati ponudnike storitev podatkovnih centrov, ki niso storitve računalništva v oblaku. V tej direktivi bi moral izraz „storitev podatkovnega centra“ zajemati opravljanje storitve, ki vključuje strukture ali skupine struktur, namenjene centralizirani namestitvi, medsebojnemu povezovanju in delovanju opreme za informacijsko tehnologijo (IT) in omrežne opreme, za shranjevanje, obdelavo in prenos podatkov skupaj z vsemi zmogljivostmi in infrastrukturami za distribucijo električne energije in okoljski nadzor. Izraz „storitev podatkovnega centra“ se ne bi smel nanašati na podatkovne centre v podjetjih, ki so v lasti zadevnega subjekta in jih ta upravlja za lastne namene.

(36)

Raziskovalne dejavnosti imajo ključno vlogo pri razvijanju novih proizvodov in postopkov. Številne od teh dejavnosti izvajajo subjekti, ki delijo, razširjajo ali izkoriščajo rezultate svojih raziskav v komercialne namene. Ti subjekti so zato lahko pomembni akterji v vrednostnih verigah, zato je varnost njihovih omrežnih in informacijskih sistemov sestavni del splošne kibernetske varnosti notranjega trga. Raziskovalne organizacije bi bilo treba razumeti tako, da vključujejo subjekte, ki bistveni del svojih dejavnosti namenjajo izvajanju uporabnih raziskav ali eksperimentalnega razvoja v smislu Frascatskega priročnika Organizacije za gospodarsko sodelovanje in razvoj iz leta 2015: Smernice za zbiranje in sporočanje podatkov o raziskavah in razvoju, da bi izkoristile njihove rezultate v komercialne namene, kot sta proizvodnja ali razvoj izdelka ali postopka, zagotavljanje storitve ali njihovo trženje.

(37)

Vse večje medsebojne odvisnosti so rezultat vse bolj čezmejne in medsebojno odvisne mreže opravljanja storitev z uporabo ključnih infrastruktur po vsej Uniji v sektorjih, kot so energetika, promet, digitalna infrastruktura, pitna in odpadna voda, zdravje, nekateri vidiki javne uprave ter vesolje, kar zadeva opravljanje nekaterih storitev, ki so odvisne od talne infrastrukture, ki jih imajo v lasti, jih upravljajo in vodijo bodisi države članice bodisi zasebni subjekti, s čimer torej niso zajete infrastrukture, ki jih ima v lasti, jih upravlja ali vodi Unija ali ki so v lasti, se upravljajo ali vodijo v imenu Unije v okviru njenega vesoljskega programa. Te medsebojne odvisnosti pomenijo, da ima lahko kakršna koli motnja, tudi takšna, ki je prvotno omejena na en subjekt ali en sektor, širše kaskadne učinke, ki imajo lahko daljnosežne in dolgotrajne negativne učinke na opravljanje storitev na notranjem trgu. Okrepljeni kibernetski napadi med pandemijo COVID-19 so razkrili ranljivost vse bolj medsebojno odvisnih družb zaradi tveganj z majhno verjetnostjo.

(38)

Glede na razlike v nacionalnih strukturah upravljanja in zaradi varovanja že obstoječih sektorskih dogovorov ali nadzornih in regulativnih organov Unije bi morale imeti države članice možnost, da imenujejo ali ustanovijo enega ali več pristojnih organov, odgovornih za kibernetsko varnost ter za nadzorne naloge na podlagi te direktive.

(39)

Za zagotavljanje lažjega čezmejnega sodelovanja in komunikacije med organi ter za učinkovito izvajanje te direktive je nujno, da vsaka država članica imenuje enotno kontaktno točko, odgovorno za usklajevanje vprašanj v zvezi z varnostjo omrežnih in informacijskih sistemov ter za čezmejno sodelovanje na ravni Unije.

(40)

Enotne kontaktne točke bi morale zagotavljati učinkovito čezmejno sodelovanje z ustreznimi organi drugih držav članic ter po potrebi s Komisijo in ENISA. Enotne kontaktne točke bi zato morale biti zadolžene za posredovanje priglasitev pomembnih incidentov s čezmejnim vplivom enotnim kontaktnim točkam drugih prizadetih držav članic na zahtevo skupine CSIRT ali pristojnega organa. Na nacionalni ravni bi morale enotne kontaktne točke omogočati nemoteno medsektorsko sodelovanje z drugimi pristojnimi organi. Enotne kontaktne točke bi tudi lahko prejemale ustrezne informacije o incidentih v zvezi s finančnimi subjekti od pristojnih organov iz Uredbe (EU) 2022/2554, ki bi jih morale biti sposobne posredovati, kakor je ustrezno, skupinam CSIRT ali ustreznim pristojnim nacionalnim organom iz te direktive.

(41)

Države članice bi morale imeti ustrezne tehnične in organizacijske zmogljivosti za preprečevanje in odkrivanje incidentov in tveganj, odzivanje nanje in okrevanje po njih ter za ublažitev njihovih vplivov. Zato bi morale države članice v skladu s to direktivo ustanoviti ali imenovati eno ali več skupin CSIRT ter zagotoviti, da imajo ustrezna sredstva in tehnične zmogljivosti. Skupine CSIRT bi morale izpolnjevati zahteve iz te direktive, da bi se zagotovile učinkovite in združljive zmogljivosti za obvladovanje incidentov in tveganj ter zagotovilo učinkovito sodelovanje na ravni Unije. Države članice bi morale imeti možnost, da kot skupine CSIRT določijo obstoječe skupine za odzivanje na računalniške grožnje (skupine CERT). Za okrepitev odnosa zaupanja med subjekti in skupinami CSIRT, kadar je skupina CSIRT del pristojnega organa, bi morale imeti države članice možnost, da razmislijo o funkcionalnem ločevanju med operativnimi nalogami, ki jih opravljajo skupine CSIRT, zlasti v zvezi z izmenjavo informacij in podporo, ki se nudi subjektom, in nadzornimi dejavnostmi pristojnih organov.

(42)

Skupine CSIRT so zadolžene za obvladovanje incidentov. To vključuje obdelavo velikih količin podatkov, ki so včasih občutljivi. Države članice bi morale zagotoviti, da imajo skupine CSIRT infrastrukturo za izmenjavo in obdelavo informacij ter ustrezno opremljeno osebje, ki zagotavlja zaupnost in zanesljivost njihovih dejavnosti. Skupine CSIRT bi lahko v zvezi s tem sprejele tudi kodekse ravnanja.

(43)

Kar zadeva osebne podatke, bi moralo biti skupinam CSIRT omogočeno, da v skladu z Uredbo (EU) 2016/679 na zahtevo bistvenega ali pomembnega subjekta, zagotovijo proaktivni pregled omrežnih in informacijskih sistemov, ki se uporabljajo za opravljanje storitev subjekta. Kadar je to primerno, bi si morale države članice prizadevati za zagotovitev enake ravni tehničnih zmogljivosti za vse sektorske skupine CSIRT. Države članice bi morale imeti možnost, da pri oblikovanju svojih skupin CSIRT zaprosijo za pomoč ENISA.

(44)

Skupine CSIRT bi morale imeti možnost, da na zahtevo bistvenega ali pomembnega subjekta spremljajo njegova sredstva, povezana z internetom, tako v njegovih prostorih kot drugje, da bi prepoznale, razumele in obvladale splošna organizacijska tveganja za subjekt, kar zadeva na novo odkrite grožnje v dobavni verigi ali kritične ranljivosti. Subjekt bi bilo treba spodbujati, naj skupini CSIRT sporoči, ali uporablja privilegirani upravljalni vmesnik, saj bi to lahko vplivalo na hitrost sprejemanja ublažitvenih ukrepov.

(45)

Mednarodno sodelovanje na področju kibernetske varnosti je pomembno, zato bi morali skupinam CSIRT poleg sodelovanja v mreži skupin CSIRT, vzpostavljeni s to direktivo, omogočiti sodelovanje tudi v mrežah mednarodnega sodelovanja. Zato bi morali imeti skupine CSIRT in pristojni organi za namene opravljanja svojih nalog možnost, da izmenjujejo informacije, vključno z osebnimi podatki, z nacionalnimi skupinami za odzivanje na incidente na področju računalniške varnosti ali pristojnimi organi tretjih držav, če so izpolnjeni pogoji iz prava Unije o varstvu podatkov za prenose osebnih podatkov tretjim državam, med drugim pogoji iz člena 49 Uredbe (EU) 2016/679.

(46)

Bistveno je zagotoviti ustrezna sredstva za doseganje ciljev te direktive in pristojnim organom in skupinam CSIRT omogočiti izvajanje nalog, predpisanih v tej direktivi. Države članice lahko na nacionalni ravni uvedejo mehanizem financiranja za kritje potrebnih odhodkov, povezanih z izvajanjem nalog javnih subjektov, odgovornih za kibernetsko varnost v državi članici v skladu s to direktivo. Tak mehanizem bi moral biti skladen s pravom Unije ter sorazmeren in nediskriminatoren ter bi moral upoštevati različne pristope k zagotavljanju varnih storitev.

(47)

Mreža skupin CSIRT bi morala še naprej prispevati h krepitvi zaupanja ter spodbujati hitro in učinkovito operativno sodelovanje med državami članicami. Za okrepitev operativnega sodelovanja na ravni Unije bi morala mreža skupin CSIRT razmisliti o tem, da bi k sodelovanju pri svojem delu povabila organe in agencije Unije, vključene v politiko na področju kibernetske varnosti, kot je Europol.

(48)

Za doseganje in ohranjanje visoke ravni kibernetske varnosti bi morale biti nacionalne strategije za kibernetsko varnost, ki se zahtevajo na podlagi te direktive, sestavljene iz skladnih okvirov, ki določajo strateške cilje in prednostne naloge na področju kibernetske varnosti in upravljanja za njihovo doseganje. Te strategije lahko sestavlja eden ali več zakonodajnih ali nezakonodajnih instrumentov.

(49)

Politike kibernetske higiene predstavljajo temelje za zaščito varnosti infrastruktur omrežnih in informacijskih sistemov, strojne opreme, programske opreme in spletnih aplikacij ter poslovnih podatkov ali podatkov končnih uporabnikov, ki jih subjekti uporabljajo. Politike kibernetske higiene zajemajo skupni izhodiščni nabor praks, vključno s posodobitvijo programske in strojne opreme, menjavanjem gesel, upravljanjem novih namestitev, omejevanjem računov s skrbniško ravnjo dostopa in varnostnim kopiranjem podatkov, omogočanjem proaktivnega okvira pripravljenosti ter splošno varnostjo in zaščito v primeru incidentov ali kibernetskih groženj. ENISA bi morala spremljati in analizirati politike kibernetske higiene držav članic.

(50)

Ozaveščenost o kibernetski varnosti in kibernetska higiena sta bistveni za izboljšanje ravni kibernetske varnosti v Uniji, zlasti glede na vse večje število povezanih naprav, ki se vse pogosteje uporabljajo pri kibernetskih napadih. Prizadevati bi si bilo treba za izboljšanje splošne ozaveščenosti o tveganjih, povezanih s takimi napravami, ocene na ravni Unije pa bi lahko pomagale zagotoviti enotno razumevanje takih tveganj na notranjem trgu.

(51)

Države članice bi morale spodbujati uporabo vseh inovativnih tehnologij, tudi umetne inteligence, katerih uporaba bi lahko izboljšala odkrivanje in preprečevanje kibernetskih napadov, kar bi omogočilo učinkovitejšo preusmeritev sredstev proti kibernetskim napadom. Zato bi morale države članice v svojih nacionalnih strategijah za kibernetsko varnost spodbujati dejavnosti na področju raziskav in razvoja, da bi olajšale uporabo teh tehnologij, zlasti tistih, ki zadevajo avtomatizirana ali polavtomatizirana orodja za kibernetsko varnost, in po potrebi izmenjave podatkov, potrebnih za usposabljanje uporabnikov take tehnologije in za njeno izboljšanje. Uporaba vsake inovativne tehnologije, tudi umetne inteligence, bi morala biti skladna s pravom Unije o varstvu podatkov, vključno z načeli varstva podatkov, in sicer točnost podatkov, minimizacija podatkov, pravičnost in preglednost, ter varnost podatkov, kot je najsodobnejše šifriranje. V celoti bi bilo treba izkoristiti zahteve glede vgrajenega in privzetega varstva podatkov, določene v Uredbi (EU) 2016/679.

(52)

Odprtokodna orodja in aplikacije za kibernetsko varnost lahko prispevajo k višji stopnji odprtosti in lahko pozitivno vplivajo na učinkovitost industrijskih inovacij. Odprti standardi omogočajo interoperabilnost med orodji za varnost in koristijo varnosti industrijskih deležnikov. Odprtokodna orodja in aplikacije za kibernetsko varnost lahko spodbudijo širšo skupnost razvijalcev, kar omogoča diverzifikacijo dobaviteljev. Odprta koda lahko vodi k preglednejšemu postopku preverjanja orodij, povezanih s kibernetsko varnostjo, in k procesu odkrivanja ranljivosti, ki ga vodi skupnost. Države članice bi zato morale imeti možnost, da spodbujajo uporabo odprtokodne programske opreme in odprtih standardov z izvajanjem politik v zvezi z uporabo odprtih podatkov in odprtih virov kot dela varnosti prek preglednosti. Politike za spodbujanje uvajanja in trajnostne uporabe odprtokodnih orodij in aplikacij za kibernetsko varnost so še posebej pomembne za mala in srednja podjetja, ki se soočajo z velikimi stroški izvajanja, ki bi jih bilo mogoče zmanjšati, če bi se zmanjšala potreba po točno določenih aplikacijah ali orodjih.

(53)

Javne dobrine so vse bolj povezane z digitalnimi omrežji v mestih za namene izboljšanja mestnih prometnih omrežij, nadgradnje infrastrukture za oskrbo z vodo in odlagališč odpadkov ter povečanja učinkovitost razsvetljave in ogrevanja stavb. Te digitalizirane javne dobrine so izpostavljene kibernetskim napadom in v primeru, da so ti uspešni, tvegajo, da zaradi njihove medsebojne povezanosti škodo utrpi veliko število državljanov. Države članice bi morale v okviru svojih nacionalnih strategij za kibernetsko varnost razviti politike, ki obravnavajo razvoj takih povezanih ali pametnih mest ter njihove morebitne učinke na družbo.

(54)

V zadnjih letih se je v Uniji eksponentno povečalo število napadov z izsiljevalskim programjem, pri katerih zlonamerna programska oprema šifrira podatke in sisteme ter za njihovo sprostitev zahteva plačilo odkupnine. Vse pogostejši in hujši napadi z izsiljevalskim programjem so lahko posledica več dejavnikov, kot so različni vzorci napadov, kriminalni poslovni modeli v zvezi z „izsiljevalskim programjem kot storitvijo“ in kriptovalutami, zahteve po odkupninah in porast napadov na dobavne verige. Države članice bi morale v okviru svojih nacionalnih strategij za kibernetsko varnost oblikovati politike za boj proti porastu napadov z izsiljevalskim programjem.

(55)

Javno-zasebna partnerstva na področju kibernetske varnosti lahko zagotovijo primeren okvir za izmenjavo znanja, širjenje dobrih praks in vzpostavitev skupne ravni razumevanja med deležniki. Države članice bi morale spodbujati politike, na katere se opira ustanavljanje javno-zasebnih partnerstev, ki se posebej ukvarjajo s kibernetsko varnostjo. Te politike bi morale med drugim jasno opredeliti področje uporabe in vključene deležnike, model upravljanja, razpoložljive možnosti financiranja in interakcijo med sodelujočimi deležniki, kar zadeva javno-zasebna partnerstva. Javno-zasebna partnerstva lahko izkoristijo strokovno znanje subjektov iz zasebnega sektorja za pomoč pristojnim organom pri razvijanju najsodobnejših storitev in procesov, vključno z izmenjavo informacij, zgodnjim opozarjanjem, vajami na področju kibernetskih groženj in incidentov, obvladovanjem kriz in načrtovanjem odpornosti.

(56)

Države članice bi morale v svojih nacionalnih strategijah za kibernetsko varnost obravnavati posebne potrebe malih in srednjih podjetij na področju kibernetske varnosti. Mala in srednja podjetja po vsej Uniji predstavljajo velik odstotek industrijskega in poslovnega trga ter se pogosto težje prilagajajo novim poslovnim praksam v bolj povezanem svetu in digitalnem okolju, v katerem zaposleni delajo od doma, poslovanje pa vse bolj poteka prek spleta. Nekatera mala in srednja podjetja se soočajo s posebnimi izzivi na področju kibernetske varnosti, kot so slaba kibernetska ozaveščenost, slaba informacijska varnost pri poslovanju na daljavo, visoki stroški rešitev za kibernetsko varnost in višja stopnja ogroženosti, na primer zaradi izsiljevalskega programja, za kar bi jim bilo treba nuditi usmerjanje in podporo. Mala in srednja podjetja so vse pogosteje tarča napadov na dobavne verige zaradi manj strogih ukrepov za obvladovanje tveganj na področju kibernetske varnosti in obvladovanje napadov ter dejstva, da so njihova sredstva za varnost omejena. Taki napadi na dobavne verige ne vplivajo zgolj na mala in srednja podjetja ter njihovo poslovanje, ampak imajo lahko tudi kaskadne učinke za večje napade na subjekte, katerim ta dobavljajo blago. Države članice bi morale prek svojih nacionalnih strategij za kibernetsko varnost pomagati malim in srednjim podjetjem pri spoprijemanju z izzivi, s katerimi se soočajo v svojih dobavnih verigah. Države članice bi morale imeti kontaktno točko na nacionalni ali regionalni ravni za mala in srednja podjetja, ki bi tem zagotavljala smernice in pomoč ali jih napotila na ustrezne organe za usmerjanje in pomoč v zvezi z vprašanji, povezanimi s kibernetsko varnostjo. Države članice se tudi spodbuja, naj mikropodjetjem in malim podjetjem, ki nimajo teh zmogljivosti, ponudijo storitve, kot sta konfiguracija spletišč in omogočanje beleženja.

(57)

Države članice bi morale v okviru svojih nacionalnih strategij za kibernetsko varnost sprejeti politike za spodbujanje aktivne kibernetske zaščite kot dela širše obrambne strategije. Bolj kot za reaktivno odzivanje gre pri aktivni kibernetski zaščiti za aktivno preprečevanje, odkrivanje, spremljanje, analiziranje in ublažitev kršitev varnosti omrežja, skupaj z uporabo zmogljivosti znotraj in zunaj ogroženega omrežja. To bi lahko vključevalo nudenje, s strani držav članic, brezplačnih storitev ali orodij nekaterim subjektom, vključno s samopostrežnimi pregledi, orodji za odkrivanje in storitvami odstranjevanja. Sposobnost hitre in avtomatske izmenjave ter razumevanja informacij o grožnjah in njihove analize, opozorila o kibernetski dejavnosti ter odzivanje so kritični za doseganje enotnosti prizadevanj za uspešno preprečevanje, odkrivanje, obvladovanje in blokiranje napadov na omrežne in informacijske sisteme. Aktivna kibernetska zaščita temelji na obrambni strategiji, ki izključuje ofenzivne ukrepe.

(58)

Ker lahko izkoriščanje ranljivosti v omrežnih in informacijskih sistemih povzroči hude motnje in škodo, sta hitro odkrivanje in odpravljanje takih ranljivosti pomemben dejavnik pri zmanjševanju tveganja. Subjekti, ki razvijajo ali upravljajo omrežne in informacijske sisteme, bi morali zato vzpostaviti ustrezne postopke za obravnavanje ranljivosti, ko jih odkrijejo. Ker ranljivosti pogosto odkrijejo in jih razkrijejo tretje osebe, bi moral proizvajalec ali ponudnik proizvodov IKT ali storitev IKT vzpostaviti tudi potrebne postopke za prejemanje informacij o ranljivostih od tretjih oseb. V zvezi s tem mednarodna standarda ISO/IEC 30111 in ISO/IEC 29147 določata usmeritve o obravnavanju in razkrivanju ranljivosti. Okrepitev usklajevanja med poročajočimi fizičnimi in pravnimi osebami in proizvajalci ali ponudniki proizvodov IKT ali storitev IKT je še posebej pomembna za spodbujanje prostovoljnega okvira za razkrivanje ranljivosti. Usklajeno razkrivanje ranljivosti določa strukturiran postopek, prek katerega se ranljivosti sporočijo proizvajalcu ali ponudniku potencialno ranljivega proizvoda IKT ali storitve IKT tako, da lahko diagnosticira in odpravi ranljivost, preden se podrobne informacije o ranljivosti razkrijejo tretji osebi ali javnosti. Usklajeno razkrivanje ranljivosti bi moralo vključevati tudi usklajevanje med poročajočo fizično ali pravno osebo in proizvajalcem ali ponudnikom potencialno ranljivega proizvoda IKT ali storitve IKT v zvezi s časovnim okvirom za odpravo in objavo ranljivosti.

(59)

Komisija, ENISA in države članice bi morale še naprej spodbujati usklajevanje z mednarodnimi standardi in obstoječimi dobrimi praksami industrije na področju obvladovanja tveganj za kibernetsko varnost, na primer na področju ocen varnosti dobavne verige, izmenjave informacij in razkrivanja ranljivosti.

(60)

Države članice bi morale v sodelovanju z ENISA sprejeti ukrepe za olajšanje usklajenega razkrivanja ranljivosti z vzpostavitvijo ustrezne nacionalne politike. Države članice bi si morale v okviru svoje nacionalne politike prizadevati, da v skladu z nacionalnim pravom čim bolje obravnavajo izzive, s katerimi se soočajo raziskovalci ranljivosti, vključno z njihovo morebitno izpostavljenostjo kazenski odgovornosti. Glede na to, da bi bile lahko fizične in pravne osebe, ki raziskujejo ranljivosti, v nekaterih državah članicah izpostavljene kazenski in civilnopravni odgovornosti, se države članice spodbuja, naj sprejmejo smernice v zvezi s tem, da se raziskovalcev informacijske varnosti kazensko ne preganja in da so njihove dejavnosti izvzete iz civilnopravne odgovornosti.

(61)

Države članice bi morale eno od svojih skupin CSIRT imenovati za koordinatorja, ki bi po potrebi deloval kot zaupanja vreden posrednik med poročajočimi fizičnimi ali pravnimi osebami in proizvajalci ali ponudniki proizvodov IKT ali storitev IKT, ki bi jih ranljivost lahko prizadela. Naloge skupine CSIRT, ki je imenovana za koordinatorja, bi morale vključevati identifikacijo prizadetih subjektov in vzpostavitev stika z njimi, podpiranje fizičnih ali pravnih oseb, ki poročajo o ranljivosti, pogajanja o časovnicah razkrivanja in obvladovanja ranljivosti, ki vplivajo na več subjektov (usklajeno razkrivanje ranljivosti več strani). Kadar bi ranljivosti lahko pomembno vplivale na subjekte v več državah članicah, bi morale skupine CSIRT, ki so imenovane kot koordinatorji, po potrebi sodelovati v okviru mreže skupin CSIRT.

(62)

Dostop do točnih in pravočasnih informacij o ranljivostih, ki vplivajo na proizvode IKT in storitve IKT, prispeva k okrepljenemu obvladovanju tveganj za kibernetsko varnost. Viri javno dostopnih informacij o ranljivostih so pomembno orodje za subjekte in uporabnike njihovih storitev, pa tudi za pristojne organe in skupine CSIRT. Zato bi morala ENISA vzpostaviti evropsko podatkovno zbirko ranljivosti, v kateri bi subjekti, ne glede na to, ali spadajo na področje uporabe te direktive, in njihovi dobavitelji omrežnih in informacijskih sistemov, kot tudi pristojni organi in skupine CSIRT, lahko prostovoljno razkrivali in evidentirali javno znane ranljivosti z namenom, da se uporabnikom omogoči sprejetje ustreznih blažilnih ukrepov. Namen te podatkovne zbirke je obravnava edinstvenih izzivov, ki jih tveganja pomenijo za subjekte Unije. Poleg tega bi morala ENISA vzpostaviti ustrezen postopek v zvezi s postopkom objave, da bi imeli subjekti čas za sprejetje blažilnih ukrepov v zvezi s svojimi ranljivostmi, ter uporabiti najsodobnejše ukrepe za obvladovanje tveganj za kibernetsko varnost, kot tudi strojno berljive nabore podatkov in ustrezne vmesnike. Za spodbujanje kulture razkrivanja ranljivosti razkritje ne bi smelo negativno vplivati na poročajočo fizično ali pravno osebo.

(63)

Čeprav podobni registri ali podatkovne zbirke o ranljivostih obstajajo, te upravljajo in vzdržujejo subjekti, ki nimajo sedeža v Uniji. Evropska podatkovna zbirka ranljivosti, ki bi jo vzdrževala ENISA, bi zagotovila večjo preglednost v zvezi s postopkom objave pred javnim razkritjem ranljivosti in odpornost v primeru motnje ali prekinitve pri opravljanju podobnih storitev. Da bi v največji možni meri preprečila podvajanje prizadevanj in poskušala doseči dopolnjevanje, bi morala ENISA preučiti možnost sklenitve sporazumov o strukturnem sodelovanju s podobnimi registri ali podatkovnimi zbirkami, ki spadajo v jurisdikcije tretjih držav. ENISA bi morala zlasti preučiti možnost tesnega sodelovanja z upravljavci sistema skupnih ranljivosti in izpostavljenosti.

(64)

Skupina za sodelovanje bi morala podpirati in spodbujati strateško sodelovanje in izmenjavo informacij ter krepiti zaupanje med državami članicami. Skupina za sodelovanje bi morala vsaki dve leti pripraviti delovni program. Ta program bi moral vključevati ukrepe, ki jih skupina za sodelovanje sprejme za izvajanje svojih ciljev in nalog. Časovni okvir za pripravo prvega delovnega programa na podlagi te direktive bi moral biti usklajen s časovnim okvirom zadnjega delovnega programa, pripravljenega na podlagi Direktive (EU) 2016/1148, da bi se preprečile morebitne motnje pri delu skupine za sodelovanje.

(65)

Skupina za sodelovanje bi morala pri pripravi smernic dosledno evidentirati nacionalne rešitve in izkušnje, oceniti vpliv svojih dosežkov na nacionalne pristope, razpravljati o izzivih v zvezi z izvajanjem in oblikovati posebna priporočila, zlasti o lažjem usklajevanju med državami članicami pri prenosu te direktive, ki bi se obravnavala z boljšim izvajanjem obstoječih pravil. Skupina za sodelovanje bi poleg tega lahko evidentirala nacionalne rešitve, da bi se spodbudila združljivost rešitev na področju kibernetske varnosti, ki se uporabljajo v vsakem posameznem sektorju po Uniji. To je zlasti pomembno za sektorje mednarodne ali čezmejne narave.

(66)

Skupina za sodelovanje bi morala ostati prilagodljiv forum in biti sposobna odzivati se na spreminjajoče se in nove prednostne naloge politike in izzive, ob upoštevanju razpoložljivosti sredstev. Organizirala bi lahko redne skupne sestanke z ustreznimi zasebnimi deležniki iz vse Unije, na katerih bi se razpravljalo o dejavnostih, ki jih izvaja skupina za sodelovanje, in zbirali podatki in informacije o nastajajočih izzivih politike. Poleg tega bi morala skupina za sodelovanje redno ocenjevati položaj, kar zadeva kibernetske grožnje ali incidente, kot je izsiljevalsko programje. Za okrepitev sodelovanja na ravni Unije bi morala skupina za sodelovanje razmisliti o tem, da bi k sodelovanju pri svojem delu povabila ustrezne institucije, organe, urade in agencije Unije, vključene v politiko na področju kibernetske varnosti, kot so Evropski parlament, Europol, Evropski odbor za varstvo podatkov, Agencija Evropske unije za varnost v letalstvu, ustanovljena z Uredbo (EU) 2018/1139, in Agencija Evropske unije za vesoljski program, ustanovljena z Uredbo (EU) 2021/696 Evropskega parlamenta in Sveta (14).

(67)

Pristojni organi in skupine CSIRT bi morali imeti možnost, da sodelujejo v programih izmenjave uradnikov iz drugih držav članic, in sicer v posebnem okviru in, kadar je ustrezno, z zahtevano varnostno odobritvijo za uradnike, ki sodelujejo v takih programih izmenjave, da bi se izboljšalo sodelovanje in okrepilo zaupanje med državami članicami. Pristojni organi bi morali sprejeti potrebne ukrepe, s katerimi bi uradnikom iz drugih držav članic omogočili učinkovito sodelovanje v dejavnostih pristojnega organa ali skupine CSIRT gostiteljice.

(68)

Države članice bi morale prispevati k vzpostavitvi okvira EU za odzivanje na krize na področju kibernetske varnosti, določenega v Priporočilu Komisije (EU) 2017/1584 (15), z obstoječimi mrežami za sodelovanje, zlasti Evropsko organizacijsko mrežo za povezovanje v kibernetski krizi (v nadaljnjem besedilu: mreža EU-CyCLONe), mrežo skupin CSIRT in skupino za sodelovanje. Mreža EU-CyCLONe in mreža skupin CSIRT bi morali sodelovati na podlagi postopkovnih ureditev, ki določajo podrobnosti tega sodelovanja, in se izogibati morebitnemu podvajanju nalog. V poslovniku mreže EU-CyCLONe bi morale biti podrobneje opredeljene ureditve delovanja te mreže, vključno z njenimi vlogami, načini sodelovanja, stiki z drugimi ustreznimi akterji in predlogami za izmenjavo informacij ter sredstvi komuniciranja. Za obvladovanje krize na ravni Unije bi se morale ustrezne strani zanašati na enotno ureditev EU za politično odzivanje na krize iz Izvedbenega sklepa Sveta (EU) 2018/1993 (16). Komisija bi morala v ta namen uporabljati postopek medsektorskega kriznega usklajevanja na visoki ravni v okviru sistema ARGUS. Če ima kriza znaten vpliv na zunanjo ali skupno varnostno in obrambno politiko, bi bilo treba sprožiti mehanizem Evropske službe za zunanje delovanje za krizno odzivanje.

(69)

V skladu s Prilogo k Priporočilu (EU) 2017/1584 bi moral velik kibernetski incident pomeniti incident, ki povzroči motnje, ki presegajo zmožnost države članice za odziv nanje, ali pomembno vpliva na vsaj dve državi članici. Glede na njihov vzrok in vpliv se lahko kibernetski incidenti velikih razsežnosti stopnjujejo in sprevržejo v popolno krizo, ki ne omogoča ustreznega delovanja notranjega trga, ali pomenijo resna tveganja za javno varnost ter varnost subjektov ali državljanov v več državah članicah ali Uniji kot celoti. Glede na velik obseg in večinoma čezmejno naravo takih incidentov bi morali države članice ter ustrezne institucije, organi, uradi in agencije Unije sodelovati na tehnični, operativni in politični ravni za ustrezno usklajevanje odziva po vsej Uniji.

(70)

V primeru kibernetskih incidentov velikih razsežnosti in kriz na ravni Unije je potrebno usklajeno delovanje, da bi se zagotovil hiter in učinkovit odziv, saj je medsebojna odvisnost sektorjev in držav članic zelo velika. Razpoložljivost kibernetsko odpornih omrežnih in informacijskih sistemov ter razpoložljivost, zaupnost in celovitost podatkov so bistvenega pomena za varnost Unije in zaščito njenih državljanov, podjetij in institucij pred incidenti in kibernetskimi grožnjami, pa tudi za krepitev zaupanja posameznikov in organizacij v zmožnost Unije, da spodbuja in varuje globalen, odprt, svoboden, stabilen in varen kibernetski prostor, ki temelji na človekovih pravicah, temeljnih svoboščinah, demokraciji in pravni državi.

(71)

Mreža EU-CyCLONe bi morala pri kibernetskih incidentih velikih razsežnosti in krizah delovati kot posrednik med tehnično in politično ravnjo, okrepiti sodelovanje na operativni ravni in podpirati odločanje na politični ravni. Ob upoštevanju pristojnosti Komisije na področju obvladovanja kriz bi morala mreža EU-CyCLONe sodelovati s Komisijo in se opirati na ugotovitve mreže skupin CSIRT ter uporabiti lastne zmogljivosti za pripravo analize vpliva kibernetskih incidentov velikih razsežnosti in kriz.

(72)

Kibernetski napadi so čezmejne narave in pomembni incident lahko zmoti ali poškoduje kritično informacijsko infrastrukturo, od katere je odvisno nemoteno delovanje notranjega trga. Priporočilo (EU) 2017/1584 obravnava vlogo vseh ustreznih akterjev. Komisija je v okviru mehanizma Unije na področju civilne zaščite, vzpostavljenega s Sklepom št. 1313/2013/EU Evropskega parlamenta in Sveta (17), tudi pristojna za dejavnosti splošne pripravljenosti, vključno z vodenjem Centra za usklajevanje nujnega odziva in skupnega komunikacijskega in informacijskega sistema za primer nesreč, ohranjanjem in nadaljnjim razvojem situacijskega zavedanja in analitične zmožnosti ter vodenjem zmožnosti za mobilizacijo in napotitev strokovnih ekip v primeru prošnje države članice ali tretje države za pomoč. Komisija je odgovorna tudi za zagotavljanje analitičnih poročil za enotno ureditev za politično odzivanje na krize v skladu z Izvedbenim sklepom (EU) 2018/1993, tudi v zvezi s situacijskim zavedanjem na področju kibernetske varnosti in pripravljenostjo ter za situacijsko zavedanje in krizno odzivanje na področju kmetijstva, slabih vremenskih razmer, kartiranja in napovedi konfliktov, sistemov zgodnjega opozarjanja na naravne nesreče, izrednih zdravstvenih razmer, nadzora okužb, zdravja rastlin, kemičnih incidentov, varnosti hrane in krme, migracij, carine, jedrske energije, izrednih radioloških dogodkov ter energije na splošno.

(73)

Unija lahko, kadar je ustrezno, v skladu s členom 218 PDEU sklepa mednarodne sporazume s tretjimi državami ali mednarodnimi organizacijami, ki omogočajo in urejajo njihovo sodelovanje pri nekaterih dejavnostih skupine za sodelovanje, mreže skupin CSIRT ter mreže EU-CyCLONe. Taki sporazumi bi morali zagotoviti upoštevanje interesov Unije in ustrezno varstvo podatkov. To ne bi smelo izključevati pravice držav članic do sodelovanja s tretjimi državami pri obvladovanju ranljivosti in obvladovanju tveganj za kibernetsko varnost, ki omogoča poročanje in souporabo splošnih informacij v skladu s pravom Unije.

(74)

Da bi se olajšalo učinkovito izvajanje te direktive, kar med drugim zadeva obvladovanje ranljivosti, ukrepe obvladovanja tveganj za kibernetsko varnost, obveznosti poročanja in dogovore o izmenjavi informacij o kibernetski varnosti, lahko države članice sodelujejo s tretjimi državami in izvajajo dejavnosti, ki se štejejo kot ustrezne za ta namen, vključno z izmenjavo informacij o kibernetskih grožnjah, incidentih, ranljivostih, orodjih in metodah, taktikah, tehnikah in postopkih, pripravljenostjo in vajami za obvladovanje kibernetskih kriz, usposabljanjem, vzpostavljanjem zaupanja in dogovori o strukturirani izmenjavi informacij.

(75)

Uvesti bi bilo treba medsebojne strokovne preglede, da bi se pripomoglo k učenju iz skupnih izkušenj, krepilo medsebojno zaupanje in dosegla visoko skupno raven kibernetske varnosti. Medsebojni strokovni pregledi lahko omogočijo pomembna spoznanja in priporočila, ki krepijo splošne zmogljivosti za kibernetsko varnost, ustvarijo dodatno funkcionalno pot za izmenjavo primerov dobre prakse med državami članicami in prispevajo k izboljšanju zrelosti držav članic na področju kibernetske varnosti. Poleg tega bi morali medsebojni strokovni pregledi upoštevati rezultate podobnih mehanizmov, kot je sistem medsebojnega strokovnega pregleda mreže skupin CSIRT, dodati vrednost in preprečiti podvajanje. Izvajanje medsebojnih strokovnih pregledov ne bi smelo posegati v pravo Unije ali nacionalno pravo o varstvu zaupnih ali tajnih podatkov.

(76)

Skupina za sodelovanje bi morala vzpostaviti metodologijo samoocenjevanja za države članice, da bi zajela dejavnike, kot so raven izvajanja ukrepov za obvladovanje tveganj za kibernetsko varnost in obveznosti poročanja, raven zmogljivosti in učinkovitost izvajanja nalog pristojnih organov, operativne zmogljivosti skupin CSIRT, raven izvajanja skupne pomoči, raven izvajanja dogovorov o izmenjavi informacij o kibernetski varnosti ali posebna vprašanja čezmejne ali medsektorske narave. Države članice bi bilo treba spodbujati, da redno izvajajo samoocenjevanje ter v okviru skupine za sodelovanje predstavijo rezultate svoje samoocene in o njih razpravljajo.

(77)

Za zagotavljanje varnosti omrežnih in informacijskih sistemov so v veliki meri odgovorni bistveni in pomembni subjekti. Spodbujati in razvijati bi bilo treba kulturo obvladovanja tveganj, ki vključuje oceno tveganja in izvajanje ukrepov za obvladovanje tveganja na področju kibernetske varnosti, ki ustrezajo trenutnim tveganjem.

(78)

Pri ukrepih za obvladovanje tveganj za kibernetsko varnost bi bilo treba upoštevati stopnjo odvisnosti bistvenega ali pomembnega subjekta od omrežnih in informacijskih sistemov, mednje pa bi morali spadati ukrepi za prepoznavanje tveganj incidentov, preprečevanje in odkrivanje incidentov, odzivanje nanje in okrevanje po njih ter ublažitev njihovega vpliva. Varnost omrežnih in informacijskih sistemov bi morala vključevati varnost shranjenih, prenesenih in obdelanih podatkov. Ukrepi za obvladovanje tveganj za kibernetsko varnost bi morali zagotoviti sistemske analize, ob upoštevanju človeškega faktorja, da bi se pridobila celotna slika varnosti omrežnega in informacijskega sistema.

(79)

Ker imajo lahko grožnje za varnost omrežnih in informacijskih sistemov različen izvor, bi morali ukrepi za obvladovanje tveganj za kibernetsko varnost temeljiti na pristopu, ki vključuje vse nevarnosti in katerega namen je zaščititi omrežne in informacijske sisteme ter fizično okolje teh sistemov pred dogodki, kot so kraja, požar, poplave, izpadi telekomunikacij ali električne energije, ali pred kakršnim koli nepooblaščenim fizičnim dostopom in poškodbami ali poseganjem v informacije bistvenega ali pomembnega subjekta in njegovo opremo za obdelavo informacij, ki bi lahko ogrozili razpoložljivost, avtentičnost, celovitost ali zaupnost shranjenih, prenesenih ali obdelanih podatkov ali storitev, ki se ponujajo ali so dostopne prek omrežnih in informacijskih sistemov. Ukrepi za obvladovanje tveganj za kibernetsko varnost bi zato morali obravnavati tudi fizično in okoljsko varnost omrežnih in informacijskih sistemov z vključitvijo ukrepov za zaščito tovrstnih sistemov pred okvarami sistemov, človeškimi napakami, zlonamernimi dejanji ali naravnimi pojavi v skladu z evropskimi ali mednarodno priznanimi standardi, kot so tisti iz serije ISO/IEC 27000. V zvezi s tem bi morali bistveni in pomembni subjekti v okviru svojih ukrepov za obvladovanje tveganj za kibernetsko varnost obravnavati tudi varnost človeških virov in imeti vzpostavljene ustrezne politike za nadzor dostopa. Ti ukrepi bi morali biti skladni z Direktivo (EU) 2022/2557.

(80)

Države članice bi morale za dokazovanje skladnosti z ukrepi za obvladovanje tveganj za kibernetsko varnost in, če ni ustreznih evropskih certifikacijskih shem za kibernetsko varnost, sprejetih v skladu z Uredbo (EU) 2019/881 Evropskega parlamenta in Sveta (18), ob posvetovanju s skupino za sodelovanje in Evropsko certifikacijsko skupino za kibernetsko varnost spodbujati uporabo ustreznih evropskih in mednarodnih standardov pri bistvenih in pomembnih subjektih ali pa od subjektov zahtevati, naj uporabljajo certificirane proizvode IKT, storitve in postopke IKT.

(81)

Da bistvenim in pomembnim subjektom ne bi bilo naloženo nesorazmerno finančno in upravno breme, bi morale biti zahteve glede obvladovanja tveganj za kibernetsko varnost sorazmerne s tveganji za zadevni omrežni in informacijski sistem, ob upoštevanju dovršenosti takih ukrepov ter po potrebi ustreznih evropskih in mednarodnih standardov in stroškov njihovega izvajanja.

(82)

Ukrepi za obvladovanje tveganj za kibernetsko varnost bi morali biti sorazmerni s stopnjo izpostavljenosti bistvenega ali pomembnega subjekta tveganjem ter družbenim in gospodarskim vplivom, ki bi ga incident imel. Pri določanju ukrepov za obvladovanje tveganj za kibernetsko varnost, prilagojenih bistvenim in pomembnih subjektom, bi bilo treba ustrezno upoštevati različno izpostavljenost tveganjem, ki jo imajo bistveni in pomembni subjekti, kot so kritična pomembnost subjekta, tveganja, vključno z družbenimi tveganji, katerim je subjekt izpostavljen, velikost subjekta ter verjetnost incidentov in njihovo resnost, vključno z njihovim družbenim in gospodarskim vplivom.

(83)

Bistveni in pomembni subjekti bi morali zagotoviti varnost omrežnih in informacijskih sistemov, ki jih uporabljajo pri svojih dejavnostih. Ti sistemi so predvsem zasebni omrežni in informacijski sistemi, ki jih upravlja njihovo notranje osebje za IT ali za varnost katerih skrbi zunanji izvajalec. Zahteve glede ukrepov za obvladovanje tveganj za kibernetsko varnost in obveznosti poročanja, določene v tej direktivi, bi se morale uporabljati za ustrezne bistvene in pomembne subjekte ne glede na to, ali ti subjekti svoje omrežne in informacijske sisteme vzdržujejo sami ali pa njihovo vzdrževanje oddajajo zunanjim izvajalcem.

(84)

Ponudniki storitev sistema domenskih imen, registri vrhnjih domenskih imen, ponudniki storitev računalništva v oblaku, ponudniki storitev podatkovnih centrov, ponudniki omrežij za dostavo vsebine, ponudniki upravljanih storitev, ponudniki upravljanih varnostnih storitev, ponudniki spletnih tržnic, spletnih brskalnikov in platform za storitve družbenega mreženja ter ponudniki storitev zaupanja bi morali biti zaradi svoje čezmejne narave predmet večje harmonizacije na ravni Unije. Izvajanje ukrepov za obvladovanje tveganj za kibernetsko varnost v zvezi s temi subjekti bi bilo zato treba olajšati z izvedbenim aktom.

(85)

Obravnavanje tveganj, ki izhajajo iz dobavne verige subjekta in njegovega razmerja z njegovimi dobavitelji, kot so ponudniki storitev shranjevanja in obdelave podatkov ali ponudniki upravljanih varnostnih storitev ter urejevalci programske opreme, je še zlasti pomembno glede na razširjenost incidentov, v katerih so bili subjekti žrtve kibernetskih napadov in v katerih so bili zlonamerni akterji sposobni ogroziti varnost omrežnih in informacijskih sistemov subjekta z izkoriščanjem ranljivosti, ki vplivajo na proizvode in storitve tretje osebe. Bistveni in pomembni subjekti bi morali zato oceniti in upoštevati splošno kakovost in odpornost proizvodov in storitev, v njih zajetih ukrepov za obvladovanje tveganj za kibernetsko varnost ter praks svojih dobaviteljev in ponudnikov storitev na področju kibernetske varnosti, vključno z njihovimi varnimi razvojnimi postopki. Bistvene in pomembne subjekte bi bilo treba zlasti spodbujati, da ukrepe za obvladovanje tveganj za kibernetsko varnost vključijo v pogodbene dogovore s svojimi neposrednimi dobavitelji in ponudniki storitev. Ti subjekti bi lahko upoštevali tveganja, ki izhajajo iz drugih ravni dobaviteljev in ponudnikov storitev.

(86)

Med ponudniki storitev imajo ponudniki upravljanih varnostnih storitev na področjih, kot so odzivanje na incidente, penetracijsko testiranje, varnostne presoje in svetovanje, še posebej pomembno vlogo pri zagotavljanju pomoči subjektom pri njihovih prizadevanjih za preprečevanje in odkrivanje incidentov ter odzivanje nanje ali okrevanje po njih. Vendar pa so bili ponudniki upravljanih varnostnih storitev tudi sami tarče kibernetskih napadov in zaradi svoje tesne vključenosti v delovanje izvajalcev pomenijo posebno tveganje. Bistveni in pomembni subjekti bi morali biti zato še bolj skrbni pri izbiri ponudnika upravljanih varnostnih storitev.

(87)

Tudi pristojni organi lahko v okviru svojih nadzornih nalog uporabljajo storitve kibernetske varnosti, kot so varnostne presoje in penetracijsko testiranje ali odzivi na incidente.

(88)

Bistveni in pomembni subjekti bi morali obravnavati tudi tveganja, ki izhajajo iz njihovih stikov in odnosov z drugimi deležniki v okviru širšega ekosistema, tudi v zvezi s preprečevanjem industrijskega vohunjenja in zaščito poslovnih skrivnosti. Ti subjekti bi morali zlasti sprejeti ustrezne ukrepe za zagotovitev, da njihovo sodelovanje z akademskimi in raziskovalnimi ustanovami poteka v skladu z njihovimi politikami na področju kibernetske varnosti in sledi dobrim praksam v zvezi z varnim dostopom in razširjanjem informacij na splošno ter še posebno z varstvom intelektualne lastnine. Podobno bi morali bistveni in pomembni subjekti glede na pomen in vrednost podatkov za dejavnosti teh subjektov pri uporabi storitev pretvorbe podatkov in podatkovne analitike, ki jih opravljajo tretje osebe, sprejeti vse ustrezne ukrepe za obvladovanje tveganj za kibernetsko varnost.

(89)

Bistveni in pomembni subjekti bi morali sprejeti širok nabor osnovnih praks računalniške higiene, kot so načela popolnega nezaupanja, posodobitve programske opreme, konfiguracija naprav, segmentacija omrežja, upravljanje identitete in dostopa ter ozaveščenost uporabnikov, organizirati usposabljanje in ozaveščanje svojega osebja v zvezi s kibernetskimi grožnjami podjetjem, lažnim predstavljanjem in tehnikami socialnega inženiringa. Ti subjekti bi morali tudi oceniti lastne zmogljivosti glede kibernetske varnosti in si po potrebi prizadevati za vključevanje tehnologij za povečanje kibernetske varnosti, kot so umetna inteligenca ali sistemi strojnega učenja, da okrepijo svoje zmogljivosti in varnost omrežnih in informacijskih sistemov.

(90)

Za nadaljnje obravnavanje ključnih tveganj za dobavno verigo ter zagotavljanje pomoči bistvenim in pomembnim subjektom, ki delujejo v sektorjih, zajetih s to direktivo, pri ustreznem obvladovanju varnostnih tveganj, povezanih z dobavno verigo in dobavitelji, bi morala skupina za sodelovanje v sodelovanju s Komisijo in ENISA ter po potrebi po posvetovanju z ustreznimi deležniki izvesti usklajene ocene tveganja za varnost v zvezi s kritičnimi dobavnimi verigami, kot je že storila za omrežja 5G na podlagi Priporočila Komisije (EU) 2019/534 (19), da bi identificirala kritične storitve IKT, sisteme IKT ali proizvode IKT, zadevne grožnje in ranljivosti za posamezne sektorje. Pri teh usklajenih ocenah tveganja za varnost bi bilo treba določiti ukrepe, načrte za ublažitev in dobre prakse za preprečevanje kritičnih odvisnosti, morebitnih kritičnih točk odpovedi, groženj, ranljivosti in drugih tveganj, povezanih z dobavno verigo, ter preučiti načine za nadaljnje spodbujanje bistvenih in pomembnih subjektov k njihovemu širšemu sprejetju. Morebitni netehnični dejavniki tveganja, kot je neprimeren vpliv tretje države na dobavitelje in ponudnike storitev, zlasti v primeru alternativnih modelov upravljanja, vključujejo prikrite ranljivosti ali stranska vrata in morebitne sistemske motnje v oskrbi, zlasti v primeru tehnološke vezanosti na ponudnika ali odvisnosti od njega.

(91)

Pri usklajenih ocenah tveganja za varnost v zvezi s kritičnimi dobavnimi verigami bi bilo treba glede na značilnosti zadevnega sektorja upoštevati tehnične in, kadar je ustrezno, netehnične dejavnike, vključno z dejavniki, opredeljenimi v Priporočilu (EU) 2019/534, iz usklajene ocene EU tveganj za kibernetsko varnost omrežij 5G in nabora orodij EU za kibernetsko varnost omrežij 5G, o katerem se je dogovorila skupina za sodelovanje. Za identifikacijo dobavnih verig, ki bi morale biti predmet usklajene ocene tveganja za varnost, bi bilo treba upoštevati naslednja merila: (i) obseg, v katerem bistveni in pomembni subjekti uporabljajo določene kritične storitve IKT, sisteme IKT ali proizvode IKT in se zanašajo nanje; (ii) pomembnost določenih kritičnih storitev IKT, sistemov IKT ali proizvodov IKT za izvajanje kritičnih ali občutljivih funkcij, vključno z obdelavo osebnih podatkov; (iii) razpoložljivost alternativnih storitev IKT, sistemov IKT ali proizvodov IKT; (iv) odpornost celotne dobavne verige storitev IKT, sistemov IKT ali proizvodov IKT skozi njihov življenjski cikel proti dogodkom, ki povzročajo motnje v delovanju, in (v) morebiten prihodnji pomen nastajajočih storitev, sistemov ali proizvodov IKT za dejavnosti subjektov. Poleg tega bi bilo treba posebno pozornost nameniti storitvam IKT, sistemom IKT ali izdelkom IKT, za katere veljajo posebne zahteve, ki izhajajo iz tretjih držav.

(92)

Za racionalizacijo obveznosti, naloženih ponudnikom javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev in ponudnikom storitev zaupanja, povezanih z varnostjo njihovih omrežnih in informacijskih sistemov, ter za omogočanje zadevnim subjektom in pristojnim organom iz Direktive (EU) 2018/1972 Evropskega parlamenta in Sveta (20) oziroma Uredbe (EU) št. 910/2014, da izkoristijo pravni okvir, vzpostavljen s to direktivo, vključno z imenovanjem skupine CSIRT, odgovorne za obravnavanje incidentov, sodelovanje pristojnih organov pri delu skupine za sodelovanje in mreže skupin CSIRT, bi morali biti ti subjekti vključeni na področje uporabe te direktive. Zato bi bilo treba črtati ustrezne določbe iz Uredbe (EU) št. 910/2014 ter Direktive (EU) 2018/1972, ki se nanašajo na uvedbo zahteve glede varnosti in priglasitve za tovrstne subjekte. Pravila o obveznostih poročanja ne bi smela vplivati na Uredbo (EU) 2016/679 in Direktivo 2002/58/ES.

(93)

Za obveznosti glede kibernetske varnosti iz te direktive bi bilo treba šteti, da dopolnjujejo zahteve, naložene ponudnikom storitev zaupanja na podlagi Uredbe (EU) št. 910/2014. Od ponudnikov storitev zaupanja bi bilo treba zahtevati, da sprejmejo vse ustrezne in sorazmerne ukrepe za obvladovanje tveganj za njihove storitve, tudi v zvezi s strankami in zanašajočimi se tretjimi stranmi, ter da poročajo o incidentih v skladu s to direktivo. Takšne obveznosti glede kibernetske varnosti in poročanja bi se morale nanašati tudi na fizično zaščito opravljenih storitev. Zahteve za ponudnike kvalificiranih storitev zaupanja iz člena 24 Uredbe (EU) št. 910/2014 se še naprej uporabljajo.

(94)

Države članice lahko vlogo pristojnih organov za storitve zaupanja dodelijo nadzornim organom v okviru Uredbe (EU) št. 910/2014, da zagotovijo nadaljevanje sedanjih praks ter nadgradijo znanje in izkušnje, pridobljene pri uporabi navedene uredbe. V tem primeru bi morali pristojni organi na podlagi te direktive pravočasno in tesno sodelovati s temi nadzornimi organi in si izmenjati ustrezne informacije, da se zagotovita učinkovit nadzor in skladnost ponudnikov storitev zaupanja z zahtevami iz te direktive in Uredbe (EU) št. 910/2014. Skupina CSIRT ali pristojni organ iz te direktive bi moral, kadar je ustrezno, nemudoma obvestiti nadzorni organ iz Uredbe (EU) št. 910/2014 o vsaki priglašeni pomembni kibernetski grožnji ali incidentu, ki vpliva na storitve zaupanja, ter o vseh kršitvah te direktive s strani ponudnika storitev zaupanja. Države članice lahko za namene poročanja po potrebi uporabijo enotno vstopno točko, ki je bila vzpostavljena za namene skupnega in samodejnega poročanja o incidentih nadzornemu organu iz Uredbe (EU) št. 910/2014 ter skupini CSIRT in pristojnemu organu iz te direktive.

(95)

Kadar je ustrezno in za preprečitev nepotrebnih motenj, bi bilo treba pri prenosu te direktive upoštevati obstoječe nacionalne smernice, sprejete za prenos pravil, povezanih z varnostnimi ukrepi, določenimi v členih 40 in 41 Direktive (EU) 2018/1972, s čimer bi se nadgradili znanje in spretnosti, ki so že bili pridobljeni v okviru Direktive (EU) 2018/1972 glede varnostnih ukrepov in priglasitev incidentov. Da bi se olajšala harmonizacija in prehod ter bi bile motnje čim manjše, lahko ENISA pripravi tudi usmeritve v zvezi z zahtevami glede varnosti in obveznosti poročanja za ponudnike javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev. Države članice lahko vlogo pristojnih organov za elektronske komunikacije dodelijo nacionalnim regulativnim organom iz Direktive (EU) 2018/1972, da zagotovijo nadaljevanje sedanjih praks ter nadgradijo znanje in izkušnje, pridobljene pri izvajanju navedene direktive.

(96)

Glede na vse večji pomen medosebnih komunikacijskih storitev, neodvisnih od številke, kot so opredeljene v Direktivi (EU) 2018/1972, je treba zagotoviti, da se tudi za take storitve uporabljajo ustrezne varnostne zahteve, ob upoštevanju njihove posebne narave in gospodarskega pomena. S širjenjem napadne površine postajajo medosebne komunikacijske storitve, neodvisne od številke, kot so sporočilne storitve, močno razširjeni napadni vektorji. Zlonamerni storilci uporabljajo platforme za komuniciranje in privabljanje žrtev, da odprejo spletne strani, ki niso varne, kar povečuje verjetnost incidentov, ki vključujejo izkoriščanje osebnih podatkov in s tem varnost omrežnih in informacijskih sistemov. Ponudniki medosebnih komunikacijskih storitev, neodvisnih od številke, bi morali zagotoviti raven varnosti omrežnih in informacijskih sistemov, primerno obstoječim tveganjem. Ker ponudniki medosebnih komunikacijskih storitev, neodvisnih od številke, običajno nimajo dejanskega nadzora nad prenosom signalov prek omrežja, je mogoče raven tveganj za take storitve v nekaterih pogledih šteti za manjšo kot pri tradicionalnih elektronskih komunikacijskih storitvah. Enako velja za medosebne komunikacijske storitve, kot so opredeljene v Direktivi (EU) 2018/1972, ki uporabljajo številke in nimajo dejanskega nadzora nad prenosom signalov.

(97)

Notranji trg je bolj odvisen od delovanja interneta kot kdaj koli prej. Storitve skoraj vseh bistvenih in pomembnih subjektov so odvisne od storitev, ki se opravljajo prek interneta. Za zagotovitev nemotenega opravljanja storitev bistvenih in pomembnih subjektov je pomembno, da imajo vsi ponudniki javnih elektronskih komunikacijskih omrežij vzpostavljene ustrezne ukrepe za obvladovanje tveganj za kibernetsko varnost in da poročajo o pomembnih incidentih v zvezi z njo. Države članice bi morale zagotoviti, da se ohrani varnost javnih elektronskih komunikacijskih omrežij in da so njihovi bistveni varnostni interesi zaščiteni pred sabotažo in vohunjenjem. Ker mednarodna povezljivost krepi in pospešuje konkurenčno digitalizacijo Unije in njenega gospodarstva, bi bilo treba o incidentih, ki vplivajo na podmorske komunikacijske kable, poročati skupini CSIRT ali po potrebi pristojnemu organu. Nacionalna strategija za kibernetsko varnost bi morala po potrebi upoštevati kibernetsko varnost podmorskih komunikacijskih kablov ter vključevati kartiranje morebitnih tveganj za kibernetsko varnost in blažilne ukrepe, da se zagotovi najvišja raven njihove zaščite.

(98)

Za zaščito varnosti javnih elektronskih komunikacijskih omrežij in javno dostopnih elektronskih komunikacijskih storitev bi bilo treba spodbujati uporabo tehnologij šifriranja, zlasti šifriranja od konca do konca, in drugih na podatkih temelječih varnostnih tehnologij, kot so kartiranje, segmentacija, označevanje, politika in upravljanje dostopa ter samodejne odločitve za dostop. Po potrebi bi morala biti uporaba šifriranja, zlasti šifriranja od konca do konca, obvezna za ponudnike javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev v skladu z načeloma privzete in vgrajene varnosti ter zasebnosti za namene člena te direktive. Uporabo šifriranja od konca do konca bi bilo treba uskladiti s pooblastili držav članic, da zagotovijo zaščito svojih bistvenih varnostnih interesov in javne varnosti ter omogočijo preprečevanje, preiskovanje, odkrivanje in pregon kaznivih dejanj v skladu s pravom Unije. Vendar to ne bi smelo oslabiti šifriranja od konca do konca, ki je ključna tehnologija za učinkovito varstvo podatkov ter zasebnosti in varnosti komunikacij.

(99)

Da bi se ohranila varnost ter preprečile zlorabe in manipulacije z javnimi elektronskimi komunikacijskimi omrežji in javno dostopnimi elektronskimi komunikacijskimi storitvami, bi bilo treba spodbujati uporabo varnih standardov usmerjanja za zagotovitev celovitosti in zanesljivosti funkcij usmerjanja v celotnem ekosistemu ponudnikov storitev dostopa do interneta.

(100)

Da bi se zaščitili funkcionalnost in celovitost interneta ter spodbujali varnost in odpornost DNS, bi bilo treba ustrezne deležnike, vključno s subjekti zasebnega sektorja Unije, ponudnike javno dostopnih elektronskih komunikacijskih storitev, zlasti ponudnike storitev dostopa do interneta, in ponudnike spletnih iskalnikov spodbujati, naj sprejmejo strategijo za diverzifikacijo razreševanja DNS. Poleg tega bi bilo treba države članice spodbujati, naj razvijejo in uporabljajo javno in varno evropsko storitev razreševanja DNS.

(101)

Direktiva določa večstopenjski pristop k poročanju o pomembnih incidentih za vzpostavitev ustreznega ravnovesja med, na eni strani, hitrim poročanjem, ki pomaga ublažiti morebitno širjenje pomembnih incidentov ter bistvenim in pomembnim subjektom omogoča, da zaprosijo za podporo, ter, na drugi strani, podrobnim poročanjem, pri katerem se pridobivajo dragocene izkušnje iz posameznih incidentov ter sčasoma poveča odpornost posameznih subjektov in celotnih sektorjev proti kibernetskim grožnjam. Glede tega bi morala direktiva vključevati poročanje o incidentih, ki lahko na podlagi začetne ocene zadevnega subjekta povzročijo znatne operativne motnje storitev ali finančne izgube za ta subjekt ali vplivajo na druge fizične ali pravne osebe, tako da bi povzročili precejšnjo premoženjsko ali nepremoženjsko škodo. Pri tovrstni začetni oceni bi bilo med drugim treba upoštevati prizadete omrežne in informacijske sisteme, zlasti njihov pomen pri zagotavljanju storitev subjekta, resnost in tehnične značilnosti kibernetske grožnje, obstoječe ranljivosti, ki se izkoriščajo, ter izkušnje subjekta s podobnimi incidenti. Kazalniki, kot so obseg vpliva na delovanje storitve, trajanje incidenta ali število prizadetih prejemnikov storitev, bi lahko imeli pomembno vlogo pri ugotavljanju, ali je operativna motnja storitve resna.

(102)

Kadar se bistveni ali pomembni subjekti seznanijo s pomembnim incidentom, bi se moralo od njih zahtevati, da brez nepotrebnega odlašanja in v vsakem primeru najpozneje v 24 urah predložijo zgodnje opozorilo. Temu zgodnjemu opozorilu bi moralo slediti obvestilo o incidentu. Zadevni subjekti bi morali incident priglasiti brez nepotrebnega odlašanja, v vsakem primeru pa v 72 urah po seznanitvi s pomembnim incidentom, zlasti da bi posodobili informacije, predložene z zgodnjim opozorilom, ter navedli začetno oceno pomembnega incidenta, vključno z njegovo resnostjo in vplivom ter kazalniki ogroženosti, če so na voljo. Končno poročilo bi bilo treba predložiti najpozneje en mesec po priglasitvi incidenta. Zgodnje opozorilo bi moralo vključevati informacije, ki so potrebne za seznanitev skupine CSIRT ali po potrebi pristojnega organa s pomembnim incidentom in zadevnemu subjektu omogočajo, da po potrebi zaprosi za pomoč. V tovrstnem zgodnjem opozorilu bi bilo treba po potrebi navesti, ali obstaja sum, da je pomemben incident nastal zaradi nezakonitih ali zlonamernih dejanj, in ali je verjetno, da bo imel čezmejni vpliv. Države članice bi morale zagotoviti, da se zaradi obveznosti zgodnjega opozarjanja ali naknadnega obvestila o incidentu ne preusmerijo sredstva priglasitvenega subjekta za dejavnosti, povezane z obvladovanjem incidentov, ki jim je treba dati prednost, ter da se zaradi obveznosti poročanja o incidentih ne bodo preusmerila sredstva od upravljanja odzivov na pomembne incidente ali drugače ogrozila prizadevanja subjektov v zvezi s tem. V primeru incidenta, ki je ob predložitvi končnega poročila še vedno v teku, bi morale države članice poskrbeti, da zadevni subjekti takrat predložijo poročilo o napredku, končno poročilo pa najpozneje en mesec po razrešitvi pomembnega incidenta.

(103)

Po potrebi bi morali bistveni in pomembni subjekti brez nepotrebnega odlašanja obvestiti prejemnike storitev o ukrepih in pravnih sredstvih, ki jih lahko sprejmejo za ublažitev posledičnega tveganja zaradi pomembne kibernetske grožnje. Kadar je ustrezno in zlasti kadar je verjetno, da se bo znatna kibernetska grožnja uresničila, bi morali ti subjekti o tej grožnji obvestiti tudi svoje prejemnike storitev. Zahteva glede obveščanja zadevnih prejemnikov o takih grožnjah subjektov bi se morala izvajati po najboljših močeh, vendar teh subjektov ne bi smela odvezati obveznosti, da na lastne stroške sprejmejo ustrezne in takojšnje ukrepe za preprečevanje ali odpravo vseh tovrstnih groženj in ponovno vzpostavitev običajne ravni varnosti storitve. Zagotavljanje takih informacij o pomembnih kibernetskih varnostnih grožnjah prejemnikom storitve bi moralo biti brezplačno ter napisano v zlahka razumljivem jeziku.

(104)

Ponudniki javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev bi morali izvajati privzeto in vgrajeno varnost ter prejemnike storitve obvestiti o pomembnih kibernetskih grožnjah ter ukrepih, ki jih lahko sprejmejo za zagotovitev varnosti svojih naprav in komunikacij, na primer z uporabo posebnih vrst programske opreme ali tehnologij šifriranja.

(105)

Proaktiven pristop h kibernetskim grožnjam je bistven element ukrepov za obvladovanje tveganj za kibernetsko varnost, ki bi moral pristojnim organom omogočiti, da učinkovito preprečijo, da bi se kibernetske grožnje udejanjile v incidentih, ki lahko povzročijo znatno premoženjsko ali nepremoženjsko škodo. V ta namen je priglasitev kibernetskih groženj ključnega pomena. Zato se subjekte spodbuja, naj prostovoljno poročajo o kibernetskih grožnjah.

(106)

Da bi se poenostavilo sporočanje informacij, ki se zahtevajo s to direktivo, ter da bi se zmanjšalo upravno breme za subjekte, bi morale države članice za predložitev ustreznih informacij, ki jih je treba sporočiti, zagotoviti tehnična sredstva, kot so enotna vstopna točka, avtomatizirani sistemi, spletni obrazci, uporabniku prijazni vmesniki, predloge, namenske platforme za uporabo subjektov, ne glede na to, ali spadajo na področje uporabe te direktive. Financiranje Unije, s katerim se podpira izvajanje te direktive, zlasti v okviru programa Digitalna Evropa, vzpostavljenega z Uredbo (EU) 2021/694 Evropskega parlamenta in Sveta (21), bi lahko vključevalo podporo za enotne vstopne točke. Poleg tega so subjekti pogosto v položaju, ko je treba zaradi obveznosti priglasitve, vključenih v različne pravne instrumente, o določenem incidentu zaradi njegovih značilnosti poročati različnim organom. Taki primeri ustvarjajo dodatno upravno breme in lahko privedejo tudi do negotovosti v zvezi z obliko in postopki takih priglasitev. Kadar se vzpostavi enotna vstopna točka, se države članice spodbuja, naj to enotno vstopno točko uporabljajo tudi za priglasitve varnostnih incidentov, ki se zahtevajo na podlagi drugega prava Unije, kot sta Uredba (EU) 2016/679 in Direktiva 2002/58/ES. Uporaba takšne enotne vstopne točke za poročanje o varnostnih incidentih na podlagi Uredbe (EU) 2016/679 in Direktive 2002/58/ES ne bi smela vplivati na uporabo določb Uredbe (EU) 2016/679 in Direktive 2002/58/ES, zlasti tistih, ki se nanašajo na neodvisnost organov iz navedenih aktov. ENISA bi morala v sodelovanju s skupino za sodelovanje oblikovati skupne predloge za priglasitev na podlagi smernic, da bi se poenostavile in racionalizirale informacije, ki jih je treba sporočiti na podlagi prava Unije, ter zmanjšalo upravno breme za priglasitvene subjekte.

(107)

V primeru suma, da je incident povezan s hudimi kaznivimi dejanji po pravu Unije ali nacionalnem pravu, bi morale države članice bistvene in pomembne subjekte na podlagi veljavnih pravil o kazenskem postopku v skladu s pravom Unije spodbujati, da incident, za katerega sumijo, da je hudo kaznivo dejanje, prijavijo ustreznim organom kazenskega pregona. Kadar je ustrezno in brez poseganja v pravila o varstvu osebnih podatkov, ki se uporabljajo za Europol, je zaželeno, da Evropski center za boj proti kibernetski kriminaliteti (EC3) in ENISA olajšata usklajevanje med pristojnimi organi in organi kazenskega pregona različnih držav članic.

(108)

V številnih primerih je zaradi incidentov ogrožena varnost osebnih podatkov. V tem okviru bi morali pristojni organi sodelovati in si izmenjevati informacije o vseh pomembnih zadevah z organi iz Uredbe (EU) 2016/679 in Direktive 2002/58/ES.

(109)

Vzdrževanje točnih in popolnih podatkovnih zbirk o registraciji domenskih imen (podatki WHOIS) ter omogočanje zakonitega dostopa do takih podatkov sta bistvena za zagotavljanje varnosti, stabilnosti in odpornosti sistema domenskih imen, kar posledično prispeva k višji skupni ravni kibernetske varnosti v Uniji. V ta namen bi bilo treba od registrov vrhnjih domenskih imen in subjektov, ki zagotavljajo storitve registracije domenskih imen, zahtevati, da obdelajo nekatere podatke, potrebne za dosego tega namena. Takšna obdelava bi morala pomeniti zakonsko obveznost v smislu člena 6(1), točka (c), Uredbe (EU) 2016/679. Ta obveznost ne posega v možnost zbiranja podatkov o registraciji domenskih imen za druge namene, na primer na podlagi pogodbenih dogovorov ali zakonskih zahtev, določenih v drugem pravu Unije ali nacionalnem pravu. Namen te obveznosti je doseči popoln in točen nabor podatkov o registraciji in ne bi smela povzročiti večkratnega zbiranja istih podatkov. Registri vrhnjih domenskih imen in subjekti, ki zagotavljajo storitve registracije domenskih imen, bi morali med seboj sodelovati, da bi se preprečilo podvajanje te naloge.

(110)

Razpoložljivost in pravočasna dostopnost podatkov o registraciji domenskih imen za osebe, ki imajo upravičen razlog za dostop, je ključnega pomena za preprečevanje zlorab sistema domenskih imen in boj proti njim ter za preprečevanje in odkrivanje incidentov ter odzivanje nanje. Osebe, ki imajo upravičen razlog za dostop, se razumejo kot vse fizične ali pravne osebe, ki predložijo zahtevo na podlagi prava Unije ali nacionalnega prava. Vključujejo lahko organe, ki so na podlagi te direktive, in organe, ki so na podlagi prava Unije ali nacionalnega prava, pristojni za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ter skupine CERT ali CSIRT. Registri vrhnjih domenskih imen in subjekti, ki opravljajo storitve registracije domenskih imen, bi morali biti v skladu s pravom Unije in nacionalnim pravom dolžni zagotoviti zakonit dostop do podatkov o registraciji posameznih domenskih imen, ki so potrebne za namene zahteve za dostop, osebam, ki imajo upravičen razlog za dostop. Zahtevi oseb, ki imajo upravičen razlog za dostop, bi bilo treba priložiti obrazložitev, ki omogoča oceno potrebe po dostopu do podatkov.

(111)

Da bi se zagotovila razpoložljivost točnih in popolnih podatkov o registraciji domenskih imen, bi morali registri vrhnjih domenskih imen in subjekti, ki opravljajo storitve registracije domenskih imen, zbirati podatke o registraciji domenskih imen ter zagotavljati njihovo celovitost in razpoložljivost. Zlasti bi morali registri vrhnjih domenskih imen in subjekti, ki opravljajo storitve registracije domenskih imen, vzpostaviti politike in postopke za zbiranje ter vzdrževanje točnih in popolnih podatkov o registraciji domenskih imen ter za preprečevanje in popravljanje netočnih podatkov o registraciji v skladu s pravili Unije o varstvu podatkov. Te politike in postopki bi morali v največji možni meri upoštevati standarde, ki so jih razvile strukture upravljanja z več deležniki na mednarodni ravni. Registri vrhnjih domenskih imen in subjekti, ki opravljajo storitve registracije domenskih imen, bi morali sprejeti in izvajati sorazmerne postopke za preverjanje podatkov o registraciji domenskih imen. Ti postopki bi morali odražati primere dobre prakse, ki se uporabljajo v panogi, in v kar največjem obsegu napredek na področju elektronske identifikacije. Primeri postopkov preverjanja lahko vključujejo predhodne kontrole, izvedene v času registracije, in naknadne kontrole, izvedene po registraciji. Registri vrhnjih domenskih imen in subjekti, ki opravljajo storitve registracije domenskih imen, bi morali zlasti preveriti vsaj en način, s katerim registrator vzpostavlja stik.

(112)

Registri TLD imen in subjektov, ki zanje opravljajo storitve registracije domenskih imen, bi morali podatke o registraciji domenskih imen, ki ne spadajo na področje uporabe pravil Unije o varstvu podatkov, kot so podatki, ki se nanašajo na pravne osebe, v skladu s preambulo Uredbe (EU) 2016/679, narediti javno dostopne. Registri TLD imen in subjekti, ki zanje opravljajo storitve registracije domenskih imen, bi morali za pravne osebe narediti javno dostopno vsaj ime registratorja in kontaktno telefonsko številko. Objaviti bi bilo treba tudi kontaktni elektronski naslov, pod pogojem, da ta ne vsebuje osebnih podatkov, kot v primeru e-poštnega vzdevka ali funkcionalnih računov. Registri TLD imen in subjekti, ki opravljajo storitve registracije domenskih imen, bi morali v skladu s pravom Unije o varstvu podatkov zakonit dostop do podatkov o registraciji posameznih domenskih imen v zvezi s fizičnimi osebami omogočiti tudi osebam, ki imajo upravičen razlog za dostop. Države članice bi morale zagotoviti, da se registri TLD imen in subjekti, ki opravljajo storitve registracije domenskih imen, brez nepotrebnega odlašanja odzovejo na zahteve oseb, ki imajo upravičen razlog za dostop, glede razkritja podatkov o registraciji domenskih imen. Registri TLD imen in subjekti, ki opravljajo storitve registracije domenskih imen, bi morali vzpostaviti politike in postopke za objavo in razkritje podatkov o registraciji, vključno s sporazumi o ravni storitve, za obravnavanje zahtev za dostop s strani oseb, ki imajo upravičen razlog za dostop. Te politike in postopki bi morali v največji možni meri upoštevati smernice in standarde, ki so jih razvile strukture upravljanja z več deležniki na mednarodni ravni. Postopek dostopa lahko vključuje tudi uporabo vmesnika, portala ali drugih tehničnih orodij za zagotovitev učinkovitega sistema za predložitev zahtev in dostopanje do podatkov o registraciji. Komisija lahko za spodbujanje harmoniziranih praks na notranjem trgu in brez poseganja v pristojnosti Evropskega odbora za varstvo podatkov določi smernice o takih postopkih, ki v kar največji meri upoštevajo standarde, ki so jih razvile strukture upravljanja z več deležniki na mednarodni ravni. Države članice bi morale zagotoviti, da so vse vrste dostopa do osebnih in neosebnih podatkov o registraciji domenskih imen brezplačne.

(113)

Subjekti, ki spadajo na področje uporabe te direktive, bi morali spadati v pristojnost države članice, kjer imajo sedež. Vendar bi se moralo za ponudnike javnih elektronskih omrežij ali ponudnike javno dostopnih elektronskih komunikacijskih storitev šteti, da spadajo v pristojnost države članice, v kateri opravljajo svoje storitve. Za ponudnike storitev DNS, registre TLD imen, subjekte, ki opravljajo storitve registracije domenskih imen, ponudnike storitev računalništva v oblaku, ponudnike storitev podatkovnih centrov, ponudnike omrežij za dostavo vsebine, ponudnike upravljanih storitev, ponudnike upravljanih varnostnih storitev ter ponudnike spletnih tržnic, spletnih brskalnikov in platform za storitve družbenega mreženja bi se moralo šteti, da spadajo v pristojnost države članice, v kateri imajo glavni sedež v Uniji. Subjekti javne uprave bi morali spadati v pristojnost države članice, ki jih je ustanovila. Če subjekt opravlja storitve ali ima sedež v več kot eni državi članici, bi moral spadati v ločeno in sočasno pristojnost vsake od teh držav članic. Pristojni organi teh držav članic bi morali sodelovati, si medsebojno pomagati in, kadar je ustrezno, izvajati skupne nadzorne ukrepe. Kadar države članice izvajajo pristojnost, v skladu z načelom ne bis in idem ne bi smele več kot enkrat naložiti izvršilnih ukrepov ali sankcij za isto ravnanje.

(114)

Da bi se upoštevala čezmejna narava storitev in postopkov ponudnikov storitev DNS, registrov TLD imen, subjektov, ki opravljajo storitve registracije domenskih imen, ponudnikov storitev računalništva v oblaku, ponudnikov storitev podatkovnih centrov, ponudnikov omrežij za dostavo vsebine, ponudnikov upravljanih storitev, ponudnikov upravljanih varnostnih storitev ter ponudnikov spletnih tržnic, spletnih brskalnikov in platform za storitve družbenega mreženja, bi morala biti za te subjekte pristojna samo ena država članica. Pristojnost bi bilo treba dodeliti državi članici, v kateri ima zadevni subjekt glavni sedež v Uniji. Merilo sedeža za namene te direktive pomeni dejansko izvajanje dejavnosti na podlagi stabilnih ureditev. Pravna oblika takih ureditev, bodisi prek izpostave bodisi prek podružnice, ki je pravna oseba, v tem pogledu ni odločujoči dejavnik. Izpolnjevanje tega merila ne bi smelo biti odvisno od tega, ali so omrežni in informacijski sistemi fizično locirani na tistem mestu; prisotnost in uporaba teh sistemov sami po sebi ne pomenita tega glavnega sedeža in zato nista odločilni merili za ugotavljanje glavnega sedeža. Šteti bi bilo treba, da je glavni sedež v državi članici, kjer se v Uniji po večini sprejemajo odločitve v zvezi z ukrepi za obvladovanje tveganj za kibernetsko varnost. To običajno ustreza kraju osrednje uprave subjektov v Uniji. Če take države članice ni mogoče določiti ali če se take odločitve ne sprejemajo v Uniji, bi bilo treba šteti, da je glavni sedež v državi članici, kjer se izvajajo operacije v zvezi s kibernetsko varnostjo. Če take države članice ni mogoče določiti, bi bilo treba šteti, da je glavni sedež v državi članici, kjer ima subjekt sedež z največjim številom zaposlenih v Uniji. Kadar storitve opravljajo povezane družbe, bi bilo treba glavni sedež obvladujoče družbe šteti za glavni sedež povezanih družb.

(115)

Kadar javno dostopno rekurzivno storitev DNS opravlja ponudnik javnih elektronskih komunikacijskih omrežij ali javno dostopnih elektronskih komunikacijskih storitev le kot del storitve dostopa do interneta, bi bilo treba šteti, da je subjekt v pristojnosti vseh držav članic, v katerih se opravljajo njegove storitve.

(116)

Kadar ponudnik storitev DNS, register TLD imen, subjekt, ki opravlja storitve registracije domenskih imen, ponudnik storitev računalništva v oblaku, ponudnik storitev podatkovnih centrov, ponudnik omrežij za dostavo vsebine, ponudnik upravljanih storitev, ponudnik upravljanih varnostnih storitev ali ponudnik spletne tržnice, spletnega brskalnika ali platforme za storitve družbenega mreženja, ki nima sedeža v Uniji, ponuja storitve v Uniji, bi moral imenovati predstavnika v Uniji. Da bi se ugotovilo, ali tak subjekt ponuja storitve v Uniji, bi bilo treba preveriti, ali namerava subjekt svoje storitve ponujati posameznikom v eni ali več državah članicah. Sama dostopnost v Uniji spletnega mesta subjekta ali posrednika ali elektronskega naslova ali drugih kontaktnih podatkov ali uporaba jezika, ki se običajno uporablja v tretji državi, v kateri ima subjekt sedež, se ne bi smela šteti, da zadošča za določitev takšne namere. Vendar bi se lahko z dejavniki, kot je uporaba jezika ali valute, ki se običajno uporablja v eni ali več državah članicah, z možnostjo naročanja storitev v tem drugem jeziku, ali navedba strank ali uporabnikov, ki so v Uniji, jasno pokazalo, da namerava subjekt ponujati storitve v Uniji. Predstavnik bi moral delovati v imenu subjekta, pristojni organi ali skupine CSIRT pa bi morali imeti možnost, da nagovorijo predstavnika. Predstavnik bi moral biti izrecno imenovan s pisnim pooblastilom subjekta, da v njegovem imenu izvaja njegove obveznosti iz te direktive, vključno s poročanjem o incidentih.

(117)

Da bi se zagotovil jasen pregled ponudnikov storitev DNS, registrov TLD imen, subjektov, ki opravljajo storitve registracije domenskih imen, ponudnikov storitev računalništva v oblaku, ponudnikov storitev podatkovnih centrov, ponudnikov omrežij za dostavo vsebine, ponudnikov upravljanih storitev, ponudnikov upravljanih varnostnih storitev ter ponudnikov spletnih tržnic, spletnih brskalnikov in platform za storitve družbenega mreženja, ki po vsej Uniji zagotavljajo storitve, ki spadajo na področje uporabe te direktive, bi morala ENISA vzpostaviti in vzdrževati register tovrstnih subjektov na podlagi informacij, ki jih prejme od države članic, po potrebi preko nacionalnih mehanizmov, vzpostavljenih za to, da se subjekti registrirajo. Enotne kontaktne točke bi morale ENISA posredovati informacije in vse njihove spremembe. Za zagotovitev točnosti in popolnosti informacij, ki se vključijo v ta register, lahko države članice ENISA predložijo informacije o teh subjektih, ki so na voljo v nacionalnih registrih. ENISA in države članice bi morale sprejeti ukrepe za lajšanje interoperabilnosti takšnih registrov, hkrati pa zagotoviti varstvo zaupnih ali tajnih informacij. ENISA bi morala vzpostaviti ustrezne protokole za razvrščanje in upravljanje informacij, s čimer bi zagotovila varnost in zaupnost razkritih informacij ter omejila dostop, shranjevanje in prenos tovrstnih informacij predvidenim uporabnikom.

(118)

Kadar se podatki, ki so uvrščeni med tajne v skladu s pravom Unije ali nacionalnim pravom izmenjujejo, sporočajo ali drugače souporabljajo na podlagi te direktive, bi se morala uporabljati ustrezna pravila o ravnanju s tajnimi podatki. Poleg tega bi ENISA morala imeti vzpostavljeno infrastrukturo, postopke in pravila za obravnavo občutljivih in zaupnih informacij v skladu z veljavnimi varnostnimi predpisi za varovanje tajnih podatkov EU.

(119)

Ker so kibernetske grožnje vse bolj zapletene in izpopolnjene, so dobri ukrepi za odkrivanje in preprečevanje tovrstnih groženj večinoma odvisni od redne izmenjave obveščevalnih podatkov o grožnjah in ranljivostih med subjekti. Izmenjava informacij prispeva k večji ozaveščenosti o kibernetskih grožnjah, kar posledično krepi sposobnost subjektov za preprečevanje, da bi se tovrstne grožnje spremenile v dejanske incidente, in subjektom omogoča, da bolje omejijo učinke incidentov in si učinkoviteje opomorejo. Zdi se, da ob odsotnosti smernic na ravni Unije različni dejavniki ovirajo tako izmenjavo obveščevalnih podatkov, zlasti negotovost glede združljivosti s pravili o konkurenci in odgovornosti.

(120)

Države članice bi morale spodbuditi subjekte in jim pomagati, da skupaj izkoristijo svoje individualno znanje in praktične izkušnje na strateški, taktični in operativni ravni, da bi tako okrepili svoje zmogljivosti za ustrezno preprečevanje in odkrivanje incidentov, odzivanje nanje in okrevanje po njih ali ublažitev njihovega vpliva. Zato je treba omogočiti, da se na ravni Unije vzpostavijo prostovoljni dogovori o izmenjavi informacij o kibernetski varnosti. V ta namen bi morale države članice dejavno podpirati in spodbujati subjekte, kot so tisti, ki opravljajo storitve in raziskave s področja kibernetske varnosti, kot tudi ustrezne subjekte, ki ne spadajo na področje uporabe te direktive, naj sodelujejo v takih dogovorih o izmenjavi informacij o kibernetski varnosti. Ti dogovori bi se morale vzpostaviti v skladu s pravili Unije o konkurenci in pravom Unije o varstvu podatkov.

(121)

Obdelava osebnih podatkov v obsegu, ki je potreben in sorazmeren za zagotovitev varnosti omrežnih in informacijskih sistemov, ki jo izvajajo bistveni in pomembni subjekti, bi lahko štela za zakonito na podlagi tega, da je taka obdelava skladna s pravno obveznostjo, ki velja za upravljavca, v skladu z zahtevami iz člena 6(1), točka (c), in člena 6(3) Uredbe (EU) 2016/679. Obdelava osebnih podatkov bi lahko bila potrebna tudi za zakonite interese bistvenih in pomembnih subjektov ter ponudnikov varnostnih tehnologij in storitev, ki ravnajo v imenu teh subjektov, v skladu s členom 6(1), točka (f), Uredbe (EU) 2016/679, tudi kadar je taka obdelava potrebna za dogovore o izmenjavi informacij o kibernetski varnosti ali prostovoljno obveščanje o ustreznih informacijah v skladu s to direktivo. Ukrepi, povezani s preprečevanjem, odkrivanjem, prepoznavanjem, zajezitvijo in analizo incidentov ter odzivanjem nanje, ukrepi za ozaveščanje v zvezi s posebnimi kibernetskimi grožnjami, izmenjavo informacij v okviru odpravljanja in usklajenega razkrivanja ranljivosti ter prostovoljno izmenjavo informacij o takih incidentih, pa tudi o kibernetskih grožnjah in ranljivostih, kazalnikih ogroženosti, taktikah, tehnikah in postopkih, opozorilih glede kibernetske varnosti in orodjih za konfiguracijo, bi lahko zahtevali obdelavo nekaterih kategorij osebnih podatkov, kot so naslovi IP, enotni naslovi vira (URL), domenska imena, elektronski naslovi in, kadar ti razkrivajo osebne podatke, časovni žigi. Obdelava osebnih podatkov s strani pristojnih organov, enotnih kontaktnih točk in skupin CSIRT bi lahko pomenila pravno obveznost ali bi se lahko štela za potrebno za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu podatkov v skladu s členom 6(1), točki (c) ali (e), in členom 6(3) Uredbe (EU) 2016/679, ali za zasledovanje pravnega interesa bistvenih in pomembnih subjektov iz člena 6(1), točka (f), navedene uredbe. Poleg tega bi se lahko v nacionalnem pravu določila pravila, ki bi pristojnim organom, enotnim kontaktnim točkam in skupinam CSIRT omogočala, da v obsegu, ki je potreben in sorazmeren za zagotavljanje varnosti omrežnih in informacijskih sistemov bistvenih in pomembnih subjektov, obdelujejo posebne vrste osebnih podatkov v skladu s členom 9 Uredbe (EU) 2016/679, zlasti z določitvijo ustreznih in posebnih ukrepov za varstvo temeljnih pravic in interesov fizičnih oseb, vključno s tehničnimi omejitvami ponovne uporabe takih podatkov in uporabe najsodobnejših ukrepov za varnost in ohranjanje zasebnosti, kot so psevdonimizacija ali šifriranje, kadar lahko anonimizacija znatno vpliva na zastavljeni namen.

(122)

Za okrepitev nadzornih pooblastil in ukrepov, ki pomagajo zagotavljati dejansko skladnost, bi bilo treba v tej direktivi določiti minimalni seznam nadzornih ukrepov in sredstev, s katerimi lahko pristojni organi nadzorujejo bistvene in pomembne subjekte. Poleg tega bi bilo treba s to direktivo vzpostaviti razlikovanje nadzorne ureditve med bistvenimi in pomembnimi subjekti, da bi se zagotovilo ustrezno ravnovesje med obveznostmi teh subjektov in pristojnih organov. Tako bi morala za bistvene subjekte veljati celovita ureditev predhodnega in naknadnega nadzora, medtem ko bi morala za pomembne subjekte veljati manj stroga ureditev naknadnega nadzora. Od pomembnih subjektov se torej ne bi smelo zahtevati, da sistematično evidentirajo izpolnjevanje ukrepov za obvladovanje tveganj za kibernetsko varnost, pristojni organi pa bi morali uporabljati reaktivni naknadni pristop k nadzoru in tako ne bi imeli splošne obveznosti nadzorovanja teh subjektov. Naknadni nadzor pomembnih subjektov se lahko sproži na podlagi dokazov, znakov ali informacij, s katerimi se seznanijo pristojni organi in za katere ti organi menijo, da kažejo na morebitne kršitve te direktive. Ti dokazi, znaki ali informacije so lahko na primer takšni, kot jih pristojnim organom predložijo drugi organi, subjekti, državljani, mediji ali drugi viri, ali javno dostopne informacije, ali pa lahko izhajajo iz drugih dejavnosti, ki jih izvajajo pristojni organi pri izpolnjevanju svojih nalog.

(123)

Pristojni organi z izvajanjem nadzornih nalog ne bi smeli po nepotrebnem ovirati poslovnih dejavnosti zadevnega subjekta. Kadar pristojni organi izvajajo svoje nadzorne naloge v zvezi z bistvenimi subjekti, vključno z izvajanjem inšpekcijskih pregledov na kraju samem in na daljavo, preiskovanjem kršitev te direktive, izvajanjem varnostnih revizij ali varnostnih pregledov, bi morali karseda zmanjšati vpliv na poslovne dejavnosti zadevnega subjekta.

(124)

Pristojni organi bi morali imeti pri izvajanju predhodnega nadzora možnost, da se na sorazmeren način odločijo o prednostni razvrstitvi uporabe nadzornih ukrepov in sredstev, ki so jim na voljo. To pomeni, da se lahko pristojni organi odločijo za takšno prednostno razvrstitev uporabe na podlagi metodologij za nadzor, ki bi morale upoštevati pristop, ki temelji na tveganju. Natančneje, take metodologije bi lahko vključevale merila ali referenčne vrednosti za razvrstitev bistvenih subjektov v kategorije tveganja in ustrezne nadzorne ukrepe ter sredstva, ki se priporočajo glede na kategorijo tveganja, kot so uporaba, pogostost ali vrsta inšpekcijskih pregledov na kraju samem, ciljno usmerjene varnostne presoje ali varnostni pregledi, vrsta informacij, ki jih je treba zahtevati, in raven podrobnosti teh informacij. Takšne metodologije za nadzor bi lahko spremljali tudi delovni programi ter bi se lahko redno ocenjevale in pregledovale, tudi glede vidikov, kot so dodeljevanje sredstev in potrebe. V zvezi s subjekti javne uprave bi bilo treba nadzorna pooblastila izvajati v skladu z nacionalnimi zakonodajnimi in institucionalnimi okviri.

(125)

Pristojni organi bi morali zagotoviti, da njihove nadzorne naloge v zvezi z bistvenimi in pomembnimi subjekti izvajajo usposobljeni strokovnjaki, ki bi morali imeti potrebna znanja in spretnosti za izvajanje teh nalog, zlasti v zvezi z izvajanjem inšpekcijskih pregledov na kraju samem in nadzorom zunaj lokacije, vključno z prepoznavanjem pomanjkljivosti v podatkovnih zbirkah, strojni opremi, požarnih zidovih, šifriranju in omrežjih. Te inšpekcijske preglede in ta nadzor bi bilo treba izvajati na objektiven način.

(126)

Pristojni organ bi moral imeti v ustrezno utemeljenih primerih, ko je seznanjen s pomembno kibernetsko grožnjo ali neposrednim tveganjem, možnost, da sprejme takojšnje odločitve o izvrševanju, da bi preprečil incident ali se nanj odzval.

(127)

Da bi bilo izvrševanje učinkovito, bi bilo treba določiti minimalni seznam izvršilnih pooblastil, ki se lahko uporabijo za kršitve obveznosti glede ukrepov za obvladovanje tveganj za kibernetsko varnost in obveznosti poročanja iz te direktive ter vzpostaviti jasen in skladen okvir za tako izvrševanje po vsej Uniji. Ustrezno bi bilo treba upoštevati naravo, težo in trajanje kršitve te direktive, povzročeno premoženjsko ali nepremoženjsko škodo, ali je kršitev namerna ali posledica malomarnosti, ukrepe, sprejete za preprečevanje ali omilitev nastale premoženjske ali nepremoženjske škode, stopnjo odgovornosti ali vse zadevne predhodne kršitve, stopnjo sodelovanja s pristojnim organom in morebitne druge oteževalne ali olajševalne dejavnike. Izvršilni ukrepi, vključno z upravnimi globami, bi morali biti sorazmerni in za njihovo naložitev bi morali veljati ustrezni postopkovni zaščitni ukrepi v skladu s splošnimi načeli prava Unije in Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina), vključno s pravico do učinkovitega pravnega sredstva in nepristranskega sodišča, domnevo nedolžnosti in pravico do obrambe.

(128)

Ta direktiva od držav članic ne zahteva, naj določijo kazensko ali civilnopravno odgovornost v zvezi s fizičnimi osebami, ki so odgovorne za zagotavljanje, da subjekt ravna skladno s to direktivo za škodo, ki so jo zaradi kršitve te direktive utrpele tretje osebe.

(129)

Za zagotovitev učinkovitega izvrševanja obveznosti, določenih v tej direktivi, bi morali biti vsi pristojni organi pooblaščeni, da naložijo ali zahtevajo naložitev upravnih glob.

(130)

Kadar se upravne globe naložijo bistvenemu ali pomembnemu subjektu, ki je podjetje, bi se podjetje v te namene moralo razumeti kot podjetje v skladu s členoma 101 in 102 PDEU. Kadar se upravne globe naložijo osebam, ki niso podjetje, bi moral pristojni organ pri določanju ustreznega zneska te globe upoštevati splošno raven dohodka v državi članici in ekonomski položaj osebe. Države članice bi morale določiti, ali bi se morale upravne globe uporabljati tudi za javne organe in v kakšnem obsegu. Naložitev upravne globe ne vpliva na uporabo drugih pooblastil pristojnih organov ali drugih sankcij, določenih v nacionalnih pravilih za prenos ta direktive.

(131)

Državam članicam bi moralo biti omogočeno, da določijo pravila o kazenskih sankcijah za kršitve nacionalnih pravil za prenos te direktive. Naložitev kazenskih sankcij zaradi kršitev takih nacionalnih pravil in z njimi povezanih upravnih kazni pa ne bi smela voditi h kršitvi načela ne bis in idem, kakor ga razlaga Sodišče Evropske unije.

(132)

Kadar ta direktiva ne zagotavlja harmonizacije upravnih sankcij ali po potrebi v drugih primerih, denimo v primerih hude kršitve te direktive, bi morale države članice uporabiti sistem, ki zagotavlja učinkovite, sorazmerne in odvračilne sankcije. Narava takšnih sankcij, in dejstvo, ali so kazenske ali upravne, bi morala biti določena z nacionalnim pravom.

(133)

Za nadaljnjo krepitev učinkovitosti in odvračilnosti izvršilnih ukrepov, ki se uporabljajo za kršitve te direktive, bi morali biti pristojni organi pooblaščeni za začasen preklic ali zahtevo za uvedbo začasnega preklica certifikata ali dovoljenja za del ustreznih storitev ali vse ustrezne storitve, ki jih opravlja bistveni subjekt, in zahtevo za uvedbo začasne prepovedi opravljanja vodstvenih funkcij za fizično osebo, ki opravlja vodstvene funkcije na ravni glavnega izvršnega direktorja ali pravnega zastopnika. Glede na njihovo resnost in vpliv na dejavnosti subjektov ter končno na uporabnike bi se morali takšni začasni preklici ali prepovedi uporabljati le sorazmerno z resnostjo kršitve in ob upoštevanju posebnih okoliščin posameznega primera, vključno s tem, ali je kršitev namerna ali posledica malomarnosti, ter vseh ukrepov, sprejetih za preprečevanje ali ublažitev premoženjske ali nepremoženjske škode. Taki začasni preklici ali prepovedi bi se morali uporabljati le kot zadnje sredstvo, in sicer šele potem, ko so bili uporabljeni vsi drugi ustrezni izvršilni ukrepi, določeni v tej direktivi, in le dokler zadevni subjekt ne sprejme potrebnih ukrepov za odpravo pomanjkljivosti ali izpolnitev zahtev pristojnega organa, zaradi katerih so bili takšni začasni preklici ali prepovedi naloženi. Za uvedbo takšnega začasnega preklica ali prepovedi bi morali veljati ustrezni postopkovni zaščitni ukrepi v skladu s splošnimi načeli prava Unije in Listine, vključno s pravico do učinkovitega pravnega sredstva in nepristranskega sodišča, domnevo nedolžnosti in pravico do obrambe.

(134)

Da bi se zagotovilo, da subjekti izpolnjujejo svoje obveznosti, določene v tej direktivi, bi morale države članice sodelovati in si pomagati v zvezi z nadzornimi in izvršilnimi ukrepi, zlasti kadar subjekt opravlja storitve v več kot eni državi članici ali kadar se njegovi omrežni in informacijski sistemi nahajajo v državi članici, ki ni država članica, v kateri opravlja storitve. Zaprošeni pristojni organ bi moral pri zagotavljanju pomoči sprejeti nadzorne ali izvršilne ukrepe v skladu z nacionalnim pravom. Za zagotovitev nemotenega delovanja medsebojne pomoči na podlagi te direktive bi morali pristojni organi uporabiti skupino za sodelovanje kot forum za razpravo o zadevah in posebnih prošnjah za pomoč.

(135)

Za zagotovitev učinkovitega nadzora in izvrševanja, zlasti v primeru s čezmejno razsežnostjo, bi morale države članice, ki so prejele prošnjo za medsebojno pomoč, kolikor je to del prošnje, sprejeti ustrezne nadzorne in izvršilne ukrepe v zvezi z zadevnim subjektom, ki opravlja storitve ali ima omrežni in informacijski sistem na njihovem ozemlju.

(136)

V tej direktivi bi bilo treba določiti pravila sodelovanja med pristojnimi in nadzornimi organi iz Uredbe (EU) 2016/679 za obravnavanje kršitev te direktive, povezanih z osebnimi podatki.

(137)

Ta direktiva bi morala biti namenjena zagotavljanju visoke ravni odgovornosti za ukrepe za obvladovanje tveganj za kibernetsko varnost in obveznosti poročanja na ravni bistvenih in pomembnih subjektov. Zato bi morali upravljalni organi bistvenih in pomembnih subjektov odobriti ukrepe za obvladovanje tveganj za kibernetsko varnost in nadzorovati njihovo izvajanje.

(138)

Za zagotovitev visoke skupne ravni kibernetske varnosti po vsej Uniji na podlagi te direktive bi bilo treba na Komisijo prenesti pooblastilo, da v skladu s členom 290 PDEU sprejeme akte v zvezi z dopolnitvijo te direktive z določitvijo, za katere kategorije bistvenih in pomembnih subjektov je treba uporabiti nekatere certificirane proizvode IKT, storitve IKT in postopke IKT ali pridobiti certifikat v okviru evropske certifikacijske sheme za kibernetsko varnost. Zlasti je pomembno, da se Komisija pri svojem pripravljalnem delu ustrezno posvetuje, vključno na ravni strokovnjakov, in da se ta posvetovanja izvedejo v skladu z načeli, določenimi v Medinstitucionalnem sporazumu z dne 13. aprila 2016 o boljši pripravi zakonodaje (22). Za zagotovitev enakopravnega sodelovanja pri pripravi delegiranih aktov Evropski parlament in Svet zlasti prejmeta vse dokumente sočasno s strokovnjaki iz držav članic, njuni strokovnjaki pa se sistematično lahko udeležujejo sestankov strokovnih skupin Komisije, ki zadevajo pripravo delegiranih aktov.

(139)

Za zagotovitev enotnih pogojev izvajanja te direktive, bi bilo treba na Komisijo prenesti izvedbena pooblastila, da določi postopkovne ureditve, potrebne za delovanje skupine za sodelovanje, ter tehnične, metodične in sektorske zahteve v zvezi z ukrepi za obvladovanje tveganj na področju kibernetske varnosti ter dodatno opredeli vrste informacij, oblike in postopki priglasitve incidentov, kibernetskih groženj in skorajšnjih incidentov ter obveščanja o pomembnih kibernetskih grožnjah in kdaj se incident šteje za pomembnega. Ta pooblastila bi bilo treba izvajati v skladu z Uredbo (EU) št. 182/2011 Evropskega parlamenta in Sveta (23).

(140)

Komisija bi morala redno po posvetovanju z deležniki pregledovati to direktivo, zlasti da bi ugotovila, ali je treba predlagati spremembe ob upoštevanju družbenih, političnih, tehnoloških ali tržnih razmer. V okviru teh pregledov bi morala Komisija oceniti pomen velikosti zadevnih subjektov, sektorjev, podsektorjev in vrste subjektov iz prilog k tej direktivi za delovanje gospodarstva in družbe v zvezi s kibernetsko varnostjo. Komisija bi morala med drugim oceniti, ali je ponudnike, ki spadajo na področje uporabe te direktive, ki so imenovani kot zelo velike spletne platforme v smislu člena 33 Uredbe (EU) 2022/2065 Evropskega parlamenta in Sveta (24), mogoče identificirati kot bistvene subjekte na podlagi te direktive.

(141)

Ta direktiva ENISA nalaga nove naloge, s čimer bi se okrepila njena vloga, lahko pa bi tudi povzročila, da bi morala ENISA svoje obstoječe naloge v skladu z Uredbo (EU) 2019/881 izvajati na višji ravni kot prej. Da bi se ENISA zagotovili potrebni finančni in človeški viri za izvajanje obstoječih in novih nalog ter za izpolnjevanje vsakršnih višjih standardov izvajanja teh nalog, ki izhajajo iz njene okrepljene vloge, bi bilo treba njen proračun ustrezno povečati. Poleg tega bi bilo treba za zagotavljanje učinkovite rabe sredstev ENISA omogočiti večjo prožnost pri omogočanju notranjega razporejanja sredstev, da bi lahko učinkovito opravljala svoje naloge in izpolnila pričakovanja.

(142)

Ker cilja te direktive, in sicer doseganja visoke skupne ravni kibernetske varnosti po vsej Uniji, države članice ne morejo zadovoljivo doseči, temveč se zaradi učinkov ukrepov lažje doseže na ravni Unije, lahko Unija sprejme ukrepe v skladu z načelom subsidiarnosti iz člena 5 Pogodbe o Evropski uniji. V skladu z načelom sorazmernosti iz navedenega člena ta direktiva ne presega tistega, kar je potrebno za doseganje navedenega cilja.

(143)

Ta direktiva upošteva temeljne pravice in načela iz Listine, zlasti pravico do spoštovanja zasebnega življenja in komunikacij, varstvo osebnih podatkov, svobodo gospodarske pobude, lastninsko pravico, pravico do učinkovitega pravnega sredstva in pravičnega sojenja, domnevo nedolžnosti ter pravico do obrambe. Pravica do učinkovitega pravnega sredstva zajema prejemnike storitev, ki jih zagotavljajo bistveni in pomembni subjekti. To direktivo bi bilo treba izvajati v skladu s temi pravicami in načeli.

(144)

V skladu s členom 42(1) Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta (25) je bilo opravljeno posvetovanje z Evropskim nadzornikom za varstvo podatkov, ki je mnenje podal 11. marca 2021 (26) –