19.7.2016   

HR

Službeni list Europske unije

L 194/1

(1)

Mrežni i informacijski sustavi i usluge imaju ključnu ulogu u društvu. Njihova pouzdanost i sigurnost ključne su za gospodarske i društvene aktivnosti, a posebno za funkcioniranje unutarnjeg tržišta.

(2)

Sigurnosni incidenti sve su većeg razmjera, učestalosti i utjecaja te predstavljaju veliku prijetnju funkcioniranju mrežnih i informacijskih sustava. Ti sustavi također mogu postati meta za namjerne štetne radnje kojima je cilj nanijeti štetu ili prekinuti rad sustavâ. Takvi incidenti mogu ugroziti izvršavanje gospodarskih aktivnosti, prouzročiti znatne financijske gubitke, narušiti povjerenje korisnika i nanijeti znatnu štetu gospodarstvu Unije.

(3)

Mrežni i informacijski sustavi, a ponajprije internet, imaju ključnu ulogu u pojednostavljivanju prekograničnog kretanja robe, usluga i ljudi. Zbog takve transnacionalne prirode sustavâ, znatan poremećaj u njihovu radu, bez obzira na to je li on namjeran ili nenamjeran te bez obzira na to gdje do njega dođe, može utjecati na pojedine države članice te na Uniju u cjelini. Stoga je sigurnost mrežnih i informacijskih sustava ključna za neometano funkcioniranje unutarnjeg tržišta.

(4)

Na temelju znatnog napretka koji je unutar Europskog foruma država članica postignut u poticanju rasprava i razmjeni dobrih političkih praksi, uključujući razvoj načela za europsku suradnju za kibernetičke krize, trebalo bi uspostaviti skupinu za suradnju sastavljenu od predstavnikâ država članica, Komisije i Agencije Europske unije za mrežnu i informacijsku sigurnost („ENISA”) kako bi se podržala i pospješila strateška suradnja među državama članicama u pogledu sigurnosti mrežnih i informacijskih sustava. Da bi ta skupina bila djelotvorna i uključiva, nužno je da sve države članice raspolažu minimalnim sposobnostima i strategijom za osiguravanje visoke razine sigurnosti mrežnih i informacijskih sustava na svojem državnom području. Osim toga, zahtjevi za sigurnost i obavješćivanje trebali bi se primjenjivati na operatore ključnih usluga i na pružatelje digitalnih usluga kako bi se promicala kultura upravljanja rizicima i osiguralo da najozbiljniji incidenti budu prijavljeni.

(5)

Postojeće sposobnosti nisu dovoljne za osiguranje visoke razine sigurnosti mrežnih i informacijskih sustava unutar Unije. Države članice imaju vrlo različite razine pripravnosti, što je dovelo do postojanja rascjepkanih pristupa širom Unije. To rezultira nejednakom razinom zaštite potrošača i poduzeća te narušava ukupnu razinu sigurnosti mrežnih i informacijskih sustava unutar Unije. Nepostojanje zajedničkih zahtjeva za operatore ključnih usluga i pružatelje digitalnih usluga onemogućuje uspostavu globalnog i učinkovitog mehanizma suradnje na razini Unije. Sveučilišta i istraživački centri imaju odlučujuću ulogu u poticanju istraživanja, razvoja i inovacije u tim područjima.

(6)

Stoga je za djelotvoran odgovor na izazove u pogledu sigurnosti mrežnih i informacijskih sustava potreban globalan pristup na razini Unije koji bi obuhvatio zajedničke minimalne zahtjeve za izgradnju kapaciteta i planiranje, razmjenu informacija, suradnju te zajedničke sigurnosne zahtjeve za operatore ključnih usluga i pružatelje digitalnih usluga. Međutim, operatore ključnih usluga i pružatelje digitalnih usluga ne sprečava se da provode sigurnosne mjere koje su strože od onih predviđenih ovom Direktivom.

(7)

Kako bi se obuhvatilo sve relevantne incidente i rizike, ova Direktiva trebala bi se primjenjivati i na operatore ključnih usluga i na pružatelje digitalnih usluga. Međutim, obveze za operatore ključnih usluga i pružatelje digitalnih usluga ne bi se smjele odnositi na poduzeća koja pružaju javne komunikacijske mreže ili javno dostupne elektroničke komunikacijske usluge, kako je određeno Direktivom 2002/21/EZ Europskog parlamenta i Vijeća (3) i na koje se primjenjuju posebni zahtjevi u pogledu sigurnosti i cjelovitosti utvrđeni u toj Direktivi, a te obveze ne bi se trebale primjenjivati ni na pružatelje usluga povjerenja u smislu Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća (4), na koje se primjenjuju sigurnosni zahtjevi utvrđeni u toj Uredbi.

(8)

Ovom Direktivom ne bi se trebalo dovoditi u pitanje mogućnost da svaka država članica poduzme mjere koje su potrebne za osiguranje zaštite osnovnih interesa njezine sigurnosti, za zaštitu javne politike i javne sigurnosti te za omogućivanje istrage, otkrivanja i kažnjavanja kaznenih djela. U skladu s člankom 346. Ugovora o funkcioniranju Europske unije (UFEU) nijednu državu članicu ne treba obvezivati na davanje podataka za čije otkrivanje smatra da je u suprotnosti s temeljnim interesima njezine sigurnosti. U tom kontekstu važni su Odluka Vijeća 2013/488/EU (5) te sporazumi o povjerljivosti podataka, ili neformalni sporazumi o povjerljivosti podataka kao što je Protokol o semaforu.

(9)

Određeni sektori gospodarstva već su uređeni, ili će možda biti regulirani u budućnosti, pravnim aktima Unije specifičnim za pojedini sektor koji sadrže pravila u vezi sa sigurnošću mrežnih i informacijskih sustava. Kad god ti pravni akti Unije sadrže odredbe kojima se propisuju zahtjevi za sigurnost mrežnih i informacijskih sustava ili za obavijesti o incidentima, te odredbe trebale bi se primjenjivati ako su njima propisani zahtjevi po učinku barem jednaki obvezama iz ove Direktive. Države članice zatim bi trebale primjenjivati odredbe takvih pravnih akata Unije specifičnih za pojedini sektor, među ostalim odredbe koje se odnose na nadležnost, te ne bi trebale provoditi postupak identifikacije operatora ključnih usluga kako je to određeno u ovoj Direktivi. U tom kontekstu države članice Komisiji bi trebale dostaviti podatke o primjeni takvih odredbi koje predstavljaju lex specialis. Pri određivanju toga jesu li zahtjevi za sigurnost mrežnih i informacijskih sustava i za obavijesti o incidentima koji su sadržani u pravnim aktima Unije za pojedini sektor istovjetni zahtjevima sadržanima u člancima ove Direktive u obzir bi se trebale uzeti samo odredbe relevantnih pravnih akata Unije i njihova primjena u državama članicama.

(10)

Za sektor vodnog prometa, sigurnosnim zahtjevima za poduzeća, brodove, lučke objekte, luke i službe za nadzor i upravljanje pomorskim prometom na temelju pravnih akata Unije obuhvaćene su sve aktivnosti, što uključuje radijske i telekomunikacijske sustave te računalne sustave i mreže. Među obveznim postupcima koje treba slijediti je izvješćivanje o svim incidentima i stoga bi se trebali smatrati lex specialisom, u onoj mjeri u kojoj su ti zahtjevi barem jednakovrijedni odgovarajućim odredbama ove Direktive.

(11)

Pri identifikaciji operatora u sektoru vodnog prometa države članice trebale bi uzeti u obzir postojeće i buduće međunarodne kodekse i smjernice, posebno one koje je razvila Međunarodna pomorska organizacija, kako bi pojedinačnim pomorskim operatorima na raspolaganju bio usklađen pristup.

(12)

Regulacija i nadzor u sektorima bankarske infrastrukture i infrastrukture financijskog tržišta usklađeni su do visokog stupnja na razini Unije primjenom primarnog i sekundarnog prava Unije i standardima koji su razvijeni zajedno s europskim nadzornim tijelima. U okviru bankovne unije primjenu i nadzor tih zahtjeva osigurava jedinstveni nadzorni mehanizam. Za države članice koje ne čine dio bankovne unije to osiguravaju odgovarajuća bankarska regulatorna tijela država članica. Za druga područja regulacije financijskog sektora visok stupanj preklapanja i konvergencija nadzornih praksi također osigurava Europski sustav financijskog nadzora. Europsko nadzorno tijelo za vrijednosne papire i tržišta kapitala također ima izravnu nadzornu ulogu za određene subjekte, osobito agencije za kreditni rejting i trgovinske repozitorije.

(13)

Operativni rizik ključan je dio bonitetne regulative i nadzora u sektorima bankarske infrastrukture i infrastrukture financijskog tržišta. On obuhvaća sve aktivnosti, među ostalim sigurnost, cjelovitost i otpornost mrežnih i informacijskih sustava. Zahtjevi u pogledu tih sustava, koji često prelaze zahtjeve predviđene ovom Direktivom, utvrđeni su u više pravnih akata Unije, uključujući: pravila o pristupu aktivnostima kreditnih institucija i bonitetnom nadzoru kreditnih institucija i investicijskih društava, pravila o bonitetnim zahtjevima za kreditne institucije i investicijska društva, koja uključuju zahtjeve u pogledu operativnog rizika; pravila o tržištu financijskih instrumenata, koja uključuju zahtjeve u pogledu procjene rizika za investicijska društva i za regulirana tržišta; pravila o neuvrštenim (OTC) izvedenicama, središnjoj drugoj ugovornoj strani i trgovinskom repozitoriju, koja uključuju zahtjeve u pogledu operativnog rizika za središnje druge ugovorne strane i trgovinske repozitorije; te pravila za poboljšavanje namire vrijednosnih papira u Uniji i pravila o središnjim depozitorijima vrijednosnih papira, koja uključuju zahtjeve u pogledu operativnog rizika. Nadalje, zahtjevi za obavješćivanje o incidentima dio su uobičajene nadzorne prakse u financijskom sektoru te su često obuhvaćeni nadzornim priručnicima. Države članice trebale bi razmotriti ta pravila i zahtjeve kod primjene lex specialisa.

(14)

Kao što je Europska središnja banka navela u svom mišljenju od 25. srpnja 2014 (6), ova Direktiva ne utječe na režim na temelju prava Unije za nadzor Eurosustava nad platnim sustavom i sustavom namire. Bilo bi primjereno da tijela nadležna za takav nadzor razmjenjuju iskustva o pitanjima povezanim sa sigurnošću mrežnih i informacijskih sustava s nadležnim tijelima prema ovoj Direktivi. Isto vrijedi i za članove Europskog sustava središnjih banaka koji nisu dio europodručja, a koji obavljaju takav nadzor platnog sustava i sustava namire na temelju nacionalnih zakona i propisa.

(15)

Internetsko tržište potrošačima i trgovcima omogućuje da putem interneta sklapaju kupoprodajne ugovore ili ugovore o uslugama s trgovcima te je krajnje odredište za sklapanje tih ugovora. Ne bi trebalo obuhvaćati internetske usluge koje imaju samo posredničku ulogu za usluge koje pružaju treće strane putem kojih se na kraju može sklopiti ugovor. Stoga ono ne bi trebalo obuhvaćati internetske usluge kojima se uspoređuje cijena određenih proizvoda ili usluga kod različitih trgovaca te se korisnika zatim preusmjerava na preporučenog trgovca radi kupovine tog proizvoda. Računalne usluge koje pružaju internetska tržišta mogu uključivati obradu transakcija, agregiranje podataka ili izradu profila korisnika. Trgovine aplikacijama, koje djeluju kao internetske trgovine kojima se omogućuje digitalna distribucija aplikacija ili softverskih programa trećih strana, trebaju se smatrati vrstom internetskih tržišta.

(16)

Internetske tražilice korisniku omogućuju da obavlja pretraživanja u načelu svih internetskih stranica na temelju upita o bilo kojoj temi. Alternativno, mogu biti usmjerene na internetske stranice na određenom jeziku. Definicija internetske tražilice predviđena u ovoj Direktivi ne bi trebala obuhvaćati funkcije pretraživanja koje su ograničene na sadržaj određene internetske stranice, bez obzira na to pruža li tu funkciju pretraživanja neka vanjska tražilica. Ne bi trebala ni obuhvaćati internetske usluge kojima se uspoređuje cijena određenih proizvoda ili usluga kod različitih trgovaca te se korisnika zatim preusmjerava na preporučenog trgovca radi kupovine tog proizvoda.

(17)

Usluge računalstva u oblaku obuhvaćaju širok raspon aktivnosti koje se mogu pružati na temelju različitih modela. Za potrebe ove Direktive pojam „usluge računalstva u oblaku” obuhvaća usluge kojima se omogućuje pristup nadogradivom i elastičnom skupu djeljivih računalnih resursa. Ti računalni resursi obuhvaćaju resurse poput mreža, poslužitelja ili drugih infrastruktura, pohrane, aplikacija i usluga. Pojam „nadogradivi” odnosi se na računalne usluge koje pružatelj usluga u oblaku dodjeljuje na fleksibilan način, bez obzira na zemljopisnu lokaciju resursâ, s ciljem rješavanja fluktuacija u potražnji. Pojam „elastičan skup” upotrebljava se za opisivanje onih računalnih resursa koji se predviđaju i isporučuju u skladu s potražnjom, kako bi se raspoloživi resursi mogli brzo povećati i smanjiti ovisno o radnom opterećenjem. Pojam „djeljivi” upotrebljava se za opisivanje onih računalnih resursa koji se pružaju većem broju korisnika koji dijele zajednički pristup toj usluzi, ali da se obrada provodi odvojeno za svakog korisnika, iako se usluga pruža preko iste elektroničke opreme.

(18)

Funkcija središta za razmjenu internetskog prometa (IXP) međusobno je povezivanje mreža. IXP ne pruža pristup mreži te ne djeluje kao pružatelj prijenosa ni kao nositelj prijenosa. Također, IXP ne pruža ni druge usluge koje nisu vezane za međusobno povezivanje, iako to operatora IXP-a ne sprečava da pruža i nepovezane usluge. IXP služi međusobnom povezivanju mreža koje su tehnički i organizacijski odvojene. Pojam „autonomni sustav” upotrebljava se za opisivanje mreže koja je tehnički samostalna.

(19)

Državama članicama trebalo bi povjeriti zadaću utvrđivanja subjekata koji ispunjavaju kriterije iz definicije operatora ključnih usluga. Kako bi se osigurao dosljedan pristup, definicija operatora ključnih usluga trebala bi se dosljedno primjenjivati u svim državama članicama. Ovom se Direktivom u tu svrhu predviđa procjena subjekata koji djeluju u specifičnim sektorima i podsektorima, izrada popisa ključnih usluga, razmatranje zajedničkog popisa međusektorskih čimbenika za utvrđivanje bi li potencijalni incident imao znatan negativan učinak, postupak savjetovanja u kojem bi sudjelovale relevantne države članice u slučaju da je riječ o subjektima koji pružaju usluge u više od jedne države članice te potpora skupine za suradnju u postupku identifikacije. Kako bi se osiguralo da popis identificiranih operatora točno odražava moguće promjene na tržištu, države članice trebale bi ga redovito preispitivati i, prema potrebi, ažurirati. Naposljetku, države članice Komisiji bi trebale dostaviti informacije potrebne za procjenu opsega u kojem je ta zajednička metodologija omogućila dosljednu primjenu te definicije u državama članicama.

(20)

U postupku identifikacije operatora ključnih usluga države članice trebale bi, barem za svaki podsektor iz ove Direktive, procijeniti koje usluge treba smatrati ključnima za održavanje ključnih društvenih i gospodarskih aktivnosti te ispunjavaju li subjekti iz sektorâ i podsektorâ iz ove Direktive koji te usluge pružaju kriterije za identifikaciju operatora. Prilikom procjene toga pruža li neki subjekt uslugu koja je ključna za održavanje ključnih društvenih ili ekonomskih djelatnosti dovoljno je provjeriti pruža li taj subjekt uslugu koja se nalazi na popisu ključnih usluga. Nadalje, trebalo bi dokazati da to pružanje ključne usluge ovisi o mrežnim i informacijskim sustavima. Naposljetku, prilikom procjene toga bi li incident imao znatan negativan učinak na pružanje usluge, države članice u obzir bi trebale uzeti niz međusektorskih čimbenika, kao i, prema potrebi, čimbenike specifične za pojedine sektore.

(21)

Za potrebe identifikacije operatora ključne usluge poslovni nastan u državi članici podrazumijeva učinkovito i stvarno obavljanje djelatnosti u okviru stabilnih aranžmana. Pravni oblik takvih aranžmana, bilo posredstvom podružnice ili društva kćeri s pravnom osobnošću, nije odlučujući čimbenik u tom pogledu.

(22)

Moguće je da subjekti koji djeluju u sektorima i podsektorima navedenima u ovoj Direktivi mogu pružati i ključne i sporedne usluge. Na primjer, u sektoru zračnog prometa zračne luke pružaju usluge koje bi države članice mogle smatrati ključnim uslugama, poput upravljanja uzletno-sletnim stazama, ali i niz usluga koje bi se mogle smatrati sporednima, kao što je ponuda trgovačkih prostora. Posebni sigurnosni zahtjevi trebali bi se na operatore ključnih usluga primjenjivati samo s obzirom na one usluge koje se smatraju ključnima. U svrhu identificiranja operatora države članice stoga bi trebale izraditi popis usluga koje smatraju ključnima.

(23)

Popis usluga trebao bi sadržavati sve usluge koje se pružaju na državnom području određene države članice koje ispunjavaju zahtjeve iz ove Direktive. Države članice trebale bi biti u mogućnosti dopuniti postojeći popis dodavanjem novih usluga. Popis usluga trebao bi poslužiti kao referentna točka za države članice i omogućiti identifikaciju operatora ključnih usluga. Njegova je svrha identificiranje vrsta ključnih usluga u bilo kojem sektoru iz ove Direktive, po čemu bi ih se na taj način razlikovalo od sporednih djelatnosti za koje bi neki subjekt koji djeluje u određenom sektoru mogao biti odgovoran. Popis usluga koji sastavlja svaka država članica služio bi kao dodatna informacija u procjeni regulatorne prakse svake države članice s ciljem osiguravanja opće razine dosljednosti među državama članicama u postupku identifikacije.

(24)

Ako subjekt pruža ključnu uslugu u dvjema državama članicama ili više njih, te države članice trebale bi se za potrebe postupka identifikacije uključiti u međusobne bilateralne ili multilateralne rasprave. Cilj je tog postupka savjetovanja pomoći im da procijene kritičnost operatora u pogledu prekograničnog učinka, čime se svakoj dotičnoj državi članici omogućuje da predstavi svoja stajališta o rizicima povezanima s pruženim uslugama. Države članice trebale bi u okviru tog postupka u obzir uzeti mišljenje drugih država članica i trebale bi moći u tom pogledu zatražiti pomoć skupine za suradnju.

(25)

Kao rezultat postupka identifikacije države članice trebale bi donijeti nacionalne mjere radi utvrđivanja na koje se subjekte primjenjuju obveze u pogledu sigurnosti mrežnih i informacijskih sustava. Taj rezultat može se postići izradom popisa na kojem se navode svi operatori ključnih usluga ili donošenjem nacionalnih mjera, što uključuje objektivne mjerljive kriterije, kao što su podaci o učinku operatora ili broj korisnika, koji omogućuju da se utvrdi koji subjekti podliježu obvezama u pogledu sigurnosti mrežnih i informacijskih sustava. Nacionalne mjere, bilo da one već postoje ili su donesene u kontekstu ove Direktive, trebale bi uključivati sve pravne mjere, administrativne mjere i politike kojima se omogućuje identifikacija operatora ključnih usluga u okviru ove Direktive.

(26)

Kako bi dale naznaku važnosti, u odnosu na dotični sektor, identificiranih operatora ključnih usluga, države članice trebale bi uzeti u obzir broj i veličinu tih operatora, na primjer u pogledu tržišnog udjela ili količine koja je proizvedena ili prenesena, a da pritom ne moraju odati informacije koje bi otkrile koji su operatori identificirani.

(27)

Radi utvrđivanja bi li neki incident imao značajan negativan učinak na pružanje ključne usluge, države članice trebale bi uzeti u obzir različite faktore poput broja fizičkih osoba i pravnih subjekata koji se oslanjanju na tu uslugu u privatne ili poslovne svrhe. Korištenje tom uslugom može biti izravno, neizravno ili posredno. Pri procjeni učinka koji bi incident mogao imati, u pogledu težine i trajanja, na gospodarske i društvene aktivnosti ili javnu sigurnost, države članice trebale bi također procijeniti vjerojatno razdoblje do nastupanja negativnog učinka prekida.

(28)

Osim međusektorskih čimbenika države članice trebale bi u obzir uzeti i čimbenike za pojedine sektore da bi se utvrdilo bi li incident imao znatan negativan učinak na pružanje neke usluge. U pogledu dobavljača energije takvi faktori mogli bi uključivati količinu ili udio proizvedene nacionalne energije; za dobavljače nafte, dnevnu količinu; za zračni promet, što uključuje zračne luke i zračne prijevoznike, željeznički promet i morske luke, udio u opsegu nacionalnog prometa i godišnji broj putnika ili prevezenog tereta; za bankarsku infrastrukturu ili infrastrukturu financijskog tržišta, njihovu sustavnu važnost koja se temelji na ukupnoj imovini ili omjeru te ukupne imovine i BDP-a; za zdravstveni sektor, godišnji broj pacijenata kojima se pruža zdravstvena skrb; za proizvodnju i obradu vode te za vodoopskrbu, količinu te broj i vrste opskrbljenih korisnika, što primjerice uključuje bolnice, organizacije javnih službi ili pojedince, te postojanje alternativnih izvora vode za isto zemljopisno područje.

(29)

Da bi se postigla i održavala visoka razina sigurnosti mrežnih i informacijskih sustava, svaka država članica trebala bi imati nacionalnu strategiju za sigurnost mrežnih i informacijskih sustava u kojoj će biti definirani strateški ciljevi i konkretna politička djelovanja koja treba poduzeti.

(30)

S obzirom na razlike u nacionalnim upravljačkim strukturama i radi zaštite već postojećih sektorskih rješenja ili nadzornih i regulatornih tijela Unije te kako bi se izbjegla udvostručivanja, države članice trebale bi biti u mogućnosti odrediti više od jednog nadležnog nacionalnog tijela čija je odgovornost izvršavanje zadaća povezanih sa sigurnošću mrežnih i informacijskih sustava operatorâ ključnih usluga i pružateljâ digitalnih usluga u okviru ove Direktive.

(31)

Da bi se olakšala prekogranična suradnja i komunikacija i da bi se omogućila djelotvorna provedba ove Direktive, nužno je da svaka država članica, ne dovodeći u pitanje sektorska regulatorna rješenja, odredi jedinstvenu nacionalnu kontaktnu točku odgovornu za koordinaciju pitanjâ sigurnosti mrežnih i informacijskih sustava te za prekograničnu suradnju na razini Unije. Nadležnim tijelima i jedinstvenim kontaktnim točkama trebalo bi osigurati odgovarajuće tehničke, financijske i ljudske resurse kako bi im se omogućilo djelotvorno i učinkovito izvršavanje zadaća koje su im dodijeljene te time postizanje ciljeva ove Direktive. Budući da je cilj ove Direktive poboljšanje funkcioniranja unutarnjeg tržišta izgradnjom povjerenja i pouzdanja, tijela u državama članicama moraju biti u stanju djelotvorno surađivati s gospodarskim subjektima te biti strukturirana na odgovarajući način.

(32)

Nadležna tijela ili timovi za odgovor na računalne sigurnosne incidente (CSIRT-ovi) trebali bi zaprimati obavijesti o takvim incidentima. Jedinstvene kontaktne točke ne bi trebale izravno zaprimati obavijesti o incidentima, osim ako također obavljaju dužnost nadležnog tijela ili CSIRT-a. Međutim, nadležno tijelo ili CSIRT jedinstvenoj kontaktnoj točki trebali bi moći naložiti da obavijesti o incidentima proslijedi jedinstvenim kontaktnim točkama u drugim pogođenim državama članicama.

(33)

Da bi se osiguralo učinkovito pružanje informacija državama članicama i Komisiji, jedinstvena kontaktna točka trebala bi podnositi sažeto izvješće skupini za suradnju te bi ono trebalo biti anonimizirano kako bi se očuvala povjerljivost obavijesti i identitet operatora ključnih usluga i pružatelja digitalnih usluga zato što podaci o identitetu subjekta koji je obavijest podnio nisu potrebni za razmjenu najbolje prakse u okviru skupine za suradnju. Sažeto izvješće trebalo bi sadržavati informacije o broju zaprimljenih obavijesti, kao i naznaku prirode incidenata o kojima je zaprimljena obavijest, primjerice o vrsti povreda sigurnosti, njihovoj ozbiljnost ili trajanju.

(34)

Države članice trebale bi biti dostatno opremljene, u smislu tehničkih i organizacijskih sposobnosti, za sprečavanje i otkrivanje incidenata i rizika u mrežnim i informacijskim sustavima, davanje odgovora na njih i njihovo ublažavanje. Države članice stoga bi trebale osigurati da njihovi CSIRT-ovi, također poznati i kao timovi za odgovor na računalne opasnosti („CERT-ovi”), dobro funkcioniraju i da poštuju ključne zahtjeve kako bi se zajamčile djelotvorne i uskladive sposobnosti za rješavanje incidenata i rizika te kako bi se osigurala učinkovita suradnja na razini Unije. Kako bi sve vrste operatora ključnih usluga i pružatelja digitalnih usluga imale koristi od takvih sposobnosti i suradnje, države članice trebale bi osigurati da imenovani CSIRT-ovi pokrivaju sve njih. S obzirom na važnost međunarodne suradnje za kibersigurnost CSIRT-ovi bi trebali moći, uz mrežu CSIRT-ova uspostavljenu ovom Direktivom, sudjelovati i u međunarodnim mrežama suradnje.

(35)

Budući da većinom mrežnih i informacijskih sustava upravljaju privatni subjekti, suradnja javnog i privatnog sektora od ključne je važnosti. Operatore ključnih usluga i pružatelje digitalnih usluga trebalo bi poticati da slijede vlastite neformalne mehanizme suradnje s ciljem osiguravanja sigurnosti mrežnih i informacijskih sustava. Skupina za suradnju trebala bi biti u mogućnosti, prema potrebi, pozvati relevantne dionike na sudjelovanje u raspravama. Kako bi se učinkovito poticalo dijeljenje informacija i najbolje prakse, ključno je osigurati da operatori ključnih usluga i pružatelji digitalnih usluga koji sudjeluju u takvom dijeljenju zbog suradnje ne dođu u nepovoljan položaj.

(36)

ENISA bi državama članicama i Komisiji trebala pomoći pružanjem stručnog znanja i savjetovanjem te olakšavanjem razmjene najbolje prakse. Konkretno, u pogledu primjene ove Direktive Komisija bi se trebala, a države članice trebale bi se moći, savjetovati s ENISA-om. Za izgradnju sposobnost i unaprjeđivanje znanja među državama članicama skupina za suradnju također bi trebala služiti kao instrument za razmjenu najbolje prakse, rasprave o sposobnostima i pripravnosti država članica te, na dobrovoljnoj osnovi, pružati pomoć svojim članovima u ocjenjivanju nacionalnih strategija za sigurnost mrežnih i informacijskih sustava, izgradnji kapaciteta i ocjenjivanju vježbi koje se odnose na sigurnost mrežnih i informacijskih sustava.

(37)

Prilikom primjene ove Direktive države članice bi, prema potrebi, trebale biti u mogućnosti koristiti se postojećim organizacijskim strukturama ili strategijama ili ih prilagoditi.

(38)

Odgovarajuće zadaće skupine za suradnju i ENISA-e međuovisne su i međusobno se dopunjuju. ENISA bi općenito skupini za suradnju trebala pomagati u izvršavanju njezinih zadaća, u skladu s ciljem ENISA-e određenim u Uredbi (EU) br. 526/2013 Europskog parlamenta i Vijeća (7), osobito pomagati institucijama, tijelima, uredima i agencijama Unije i državama članicama u provedbi politika potrebnih za ispunjavanje pravnih i regulatornih zahtjeva u vezi sa sigurnošću mrežnih i informacijskih sustava u skladu s postojećim i budućim pravnim aktima Unije. ENISA bi konkretno trebala pružati pomoć u područjima koja odgovaraju njezinim vlastitim zadaćama, kako su određene u Uredbi (EU) br. 526/2013, osobito analiziranju strategija sigurnosti mrežnih i informacijskih sustava, podupiranju organizacije i provođenju vježbi Unije koje se odnose na sigurnost mrežnih i informacijskih sustava te razmjeni informacija i najbolje prakse za podizanje svijesti i osposobljavanja. ENISA bi također trebala biti uključena u razvoj smjernica za kriterije za pojedine sektore s ciljem utvrđivanja važnosti učinka pojedinog incidenta.

(39)

Radi promicanja napredne sigurnosti mrežnih i informacijskih sustava, skupina za suradnju bi, prema potrebi, trebala surađivati s odgovarajućim institucijama, tijelima, uredima i agencijama Unije s ciljem razmjene znanja i najbolje prakse i pružanja savjeta o aspektima sigurnosti mrežnih i informacijskih sustava koji bi mogli utjecati na njihov rad, poštujući pritom postojeće aranžmane za razmjenu povjerljivih informacija. Pri suradnji s tijelima za izvršavanje zakonodavstva u vezi sa sigurnosnim aspektima mrežnih i informacijskih sustava koji mogu utjecati na njihov rad, skupina za suradnju trebala bi poštovati postojeće informacijske kanale i uspostavljene mreže.

(40)

Informacije o incidentima imaju sve veću vrijednost za javnost i poduzeća, posebno za mala i srednja poduzeća. U nekim slučajevima takve informacije na nacionalnoj razini već se pružaju putem internetskih stranica, na jeziku određene zemlje, pri čemu se najveća važnost većinom pridaje incidentima i događajima koji imaju nacionalnu dimenziju. Budući da poduzeća sve više djeluju preko granice i da se građani sve više koriste internetskim uslugama, informacije o incidentima u zbirnom obliku trebalo bi pružiti na razini Unije. Tajništvo mreže CSIRT-ova potiče se da vodi internetsku stranicu ili da na neku već postojeću internetsku stranicu uvrsti i posebnu stranicu na kojoj bi se javnosti na raspolaganje stavljale opće informacije o većim incidentima do kojih je došlo diljem Unije, s posebnim naglaskom na interese i potrebe poduzeća. CSIRT-ovi koji sudjeluju u mreži CSIRT-ova potiču se da na dobrovoljnoj osnovi pružaju informacije za objavu na toj internetskoj stranici bez uključivanja povjerljivih i osjetljivih informacija.

(41)

Ako informaciju treba smatrati povjerljivom u skladu s Unijinim i nacionalnim pravilima o poslovnoj tajni, njezinu tajnost trebalo bi osigurati pri provedbi aktivnosti i pri ispunjavanju ciljeva postavljenih ovom Direktivom.

(42)

Vježbe kojima se u realnom vremenu simuliraju scenariji incidenata ključne su za ispitivanja pripravnosti i suradnje država članica u pogledu sigurnosti mrežnih i informacijskih sustava. Ciklus vježbi CyberEurope kojim koordinira ENISA, uz sudjelovanje država članica, koristan je alat za testiranje i izradu preporuka o tome kako bi se rješavanje incidenata na razini Unije s vremenom trebalo poboljšati. Budući da države članice trenutačno nemaju obvezu planiranja vježbi ili sudjelovanja u njima, stvaranje mreže CSIRT-ova na temelju ove Direktive državama članicama trebalo bi omogućiti da sudjeluju u vježbama na temelju preciznog planiranja i strateških odabira. Skupina za suradnju uspostavljena na temelju ove Direktive trebala bi raspravljati o strateškim odlukama u vezi s vježbama, posebno, ali ne isključivo, u pogledu pravilnosti vježbi i izrade scenarija. ENISA bi u skladu sa svojim mandatom trebala pružiti potporu pri organizaciji i provođenju vježbi na razini Unije pružajući svoje stručno znanje i savjete skupini za suradnju i mreži CSIRT-ova.

(43)

S obzirom na globalnu prirodu sigurnosnih problema koji utječu na mrežne i informacijske sustave postoji potreba za užom međunarodnom suradnjom radi unapređenja sigurnosnih standarda i razmjene podataka te za promicanjem zajedničkog globalnog pristupa pitanjima sigurnosti.

(44)

Odgovornost za osiguranje sigurnosti mrežnih i informacijskih sustava uvelike snose operatori ključnih usluga i pružatelji digitalnih usluga. Kulturu upravljanja rizikom, među ostalim procjenu rizika i provedbu sigurnosnih mjera primjerenih riziku s kojim se suočava, trebalo bi poticati i razvijati prikladnim regulatornim zahtjevima i dobrovoljnim industrijskim praksama. Postavljanje pouzdanih ravnopravnih uvjeta također je ključno za učinkovito funkcioniranje skupine za suradnju i mreže CSIRT-ova, kako bi se osigurala djelotvorna suradnja svih država članica.

(45)

Ova Direktiva primjenjuje se samo na one javne uprave koje su identificirane kao operatori ključnih usluga. Stoga su države članice odgovorne za osiguravanje sigurnosti mrežnih i informacijskih sustava javnih uprava koje ne pripadaju u područje primjene ove Direktive.

(46)

Mjere za upravljanje rizikom uključuju mjere za utvrđivanje rizika od incidenata, sprječavanje, otkrivanje i rješavanje incidenata i ublažavanje njihova učinka. Sigurnost mrežnih i informacijskih sustava uključuje sigurnost podataka koji se pohranjuju, prenose i obrađuju.

(47)

Nadležna tijela trebala bi i dalje imati mogućnost donošenja nacionalnih smjernica u vezi s okolnostima u kojima su operatori ključnih usluga dužni obavijestiti o incidentima.

(48)

Mnoga poduzeća u Uniji se za pružanje svojih usluga oslanjaju na pružatelje digitalnih usluga. Budući da bi neke digitalne usluge mogle biti važan resurs za njihove korisnike, uključujući operatore ključnih usluga, te zato što je moguće da takvim korisnicima nije uvijek na raspolaganju alternativa, ova bi se Direktiva trebala primjenjivati i na pružatelje takvih usluga. Sigurnost, kontinuitet i pouzdanost vrsta digitalnih usluga navedenih u ovoj Direktivi ključni su za nesmetan rad mnogih poduzeća. Prekid neke od tih digitalnih usluga mogao bi onemogućiti pružanje drugih usluga koje se na tu uslugu oslanjaju te bi stoga mogao utjecati na ključne gospodarske i društvene aktivnosti u Uniji. Takve digitalne usluge stoga bi mogle biti od ključne važnosti za nesmetano funkcioniranje poduzeća koja ovise o njima te, osim toga, i za sudjelovanje takvih poduzeća na unutarnjem tržištu i u prekograničnoj trgovini diljem Unije. Pružatelji tih digitalnih usluga koji podliježu ovoj Direktivi jesu oni pružatelji za koje se smatra da nude digitalne usluge na koje se sve više oslanjaju mnoga poduzeća u Uniji.

(49)

Pružatelji digitalnih usluga trebali bi osigurati razinu sigurnosti koja je u skladu sa stupnjem rizika kojima je izložena sigurnost usluga koje pružaju, s obzirom na važnost njihovih usluga za rad drugih poduzeća unutar Unije. U praksi je stupanj rizika za operatore ključnih usluga, koje su često neophodne za održavanje ključnih društvenih i gospodarskih aktivnosti, veći nego za pružatelje digitalnih usluga. Stoga bi sigurnosni zahtjevi za pružatelje digitalnih usluga trebali biti blaži. Pružatelji digitalnih usluga trebali bi i dalje imati slobodu poduzimanja mjera koje smatraju primjerenima za upravljanje rizicima kojima je izložena sigurnost njihovih mrežnih i informacijskih sustava. Zbog prekogranične prirode pružatelja digitalnih usluga na njih bi se trebao primjenjivati usklađeniji pristup na razini Unije. Provedbeni akti trebali bi olakšati specifikaciju i provedbu takvih mjera.

(50)

Iako proizvođači hardvera i programski inženjeri nisu operatori ključnih usluga niti su pružatelji digitalnih usluga, njihovi proizvodi poboljšavaju sigurnost mrežnih i informacijskih sustava. Stoga oni imaju važnu ulogu jer operatorima ključnih usluga i pružateljima digitalnih usluga omogućuju da osiguraju svoje mrežne i informacijske sustave. Na takve hardverske i softverske proizvode već se primjenjuju postojeća pravila o odgovornosti za proizvode.

(51)

Tehničke i organizacijske mjere nametnute operatorima ključnih usluga i pružateljima digitalnih usluga ne bi trebale uvjetovati definiran način za osmišljavanje, razvoj i proizvodnju određenog komercijalnog proizvoda informacijske i komunikacijske tehnologije.

(52)

Operatori ključnih usluga i pružatelji digitalnih usluga trebali bi osigurati sigurnost mrežnih i informacijskih sustavâ kojima se koriste. To su ponajprije privatne mreže i sustavi kojima upravljaju njihovi vlastiti zaposlenici u IT-u ili vanjski zaposlenici koji se brinu o sigurnosti. Zahtjevi u pogledu sigurnosti i obavješćivanja trebali bi se primijeniti na relevantne operatore ključnih usluga i pružatelje digitalnih usluga bez obzira na to održavaju li sami svoje mrežne i informacijske sustave ili to eksternaliziraju.

(53)

Da bi se izbjeglo nerazmjerno financijsko i administrativno opterećenje za operatore ključnih usluga i pružatelje digitalnih usluga, zahtjevi bi trebali biti razmjerni riziku kojemu je izložen dotični mrežni ili informacijski sustav, uzimajući u obzir suvremenost takvih mjera. U slučaju pružatelja digitalnih usluga ti zahtjevi ne bi se trebali primjenjivati na mikropoduzeća i mala poduzeća.

(54)

Ako se javne uprave u državama članicama koriste uslugama koje nude pružatelji digitalnih usluga, posebno uslugama računalstva u oblaku, one bi od pružatelja takvih usluga mogle zahtijevati dodatne sigurnosne mjere koje premašuju ono što pružatelji digitalnih usluga obično nude u skladu sa zahtjevima ove Direktive. To bi trebali moći učiniti putem ugovorne obveze.

(55)

Definicije internetskih tržišta, internetskih tražilica i usluga računalstva u oblaku u ovoj Direktivi namijenjene su za posebne svrhe ove Direktive i ne dovode u pitanje bilo koje druge instrumente.

(56)

Ova Direktiva države članice ne bi trebala sprečavati da donesu nacionalne mjere kojima se od tijela javnog sektora zahtijeva osiguravanje posebnih sigurnosnih zahtjeva pri sklapanju ugovora za usluge računalstva u oblaku. Sve takve nacionalne mjere trebale bi se primjenjivati na dotično tijelo javnog sektora, a ne na pružatelja usluge računalstva u oblaku.

(57)

S obzirom na bitne razlike između operatora ključnih usluga, posebno s obzirom na njihovu izravnu vezu s fizičkom infrastrukturom, i pružatelja digitalnih usluga, posebno s obzirom na njihovu prekograničnu prirodu, u okviru ove Direktive trebalo bi zauzeti diferencirani pristup u pogledu razine usklađivanja za te dvije skupine subjekata. Za operatore ključnih usluga države članice trebale bi moći identificirati relevantne operatore i nametnuti strože zahtjeve od onih koji su utvrđeni ovom Direktivom. Države članice ne bi trebale identificirati pružatelje digitalnih usluga jer bi se ova Direktiva trebala primjenjivati na sve pružatelje digitalnih usluga obuhvaćene područjem njezine primjene. Osim toga, ova Direktiva i na temelju nje doneseni provedbeni akti trebali bi osigurati visoku razinu usklađenosti u pogledu zahtjeva za sigurnost i obavješćivanje za pružatelje digitalnih usluga. To bi trebalo omogućiti da se prema pružateljima digitalnih usluga postupa ujednačeno diljem Unije, na način koji je razmjeran njihovoj prirodi i stupnju rizika kojem bi mogli biti izloženi.

(58)

Ovom Direktivom državama članicama ne bi se smjelo spriječiti uvođenje zahtjeva za sigurnost i obavješćivanje za subjekte koji nisu pružatelji digitalnih usluga obuhvaćeni područjem primjene ove Direktive, ne dovodeći u pitanje obveze država članica u skladu s pravom Unije.

(59)

Nadležna tijela trebala bi obratiti dužnu pozornost na očuvanje neformalnih i pouzdanih kanala za dijeljenje informacija. Objavom incidenata koji su prijavljeni nadležnim tijelima trebalo bi se na primjeren način uravnotežiti interes javnosti da bude informirana o prijetnjama i moguću štetu za ugled ili tržišnu štetu za operatore ključnih usluga i pružatelje digitalnih usluga koji incidente prijavljuju. U provedbi obveza obavješćivanja nadležna tijela i CSIRT-i posebno bi trebali obratiti pozornost na potrebu da se podaci o ranjivosti proizvoda drže u strogoj tajnosti prije objave odgovarajućih sigurnosnih popravaka.

(60)

Pružatelji digitalnih usluga povjerenja trebali bi biti podvrgnuti manje opsežnim i reaktivnim naknadnim (ex post) nadzornim aktivnostima koje su opravdane zbog prirode njihovih usluga i djelatnosti. Dotična nadležna tijela stoga bi trebala poduzimati mjere samo ako im se pruže dokazi, primjerice od strane samog pružatelja digitalnih usluga, drugog nadležnog tijela, uključujući nadležno tijelo druge države članice, ili od strane korisnika te usluge, da neki pružatelj digitalnih usluga ne poštuje zahtjeve ove Direktive, posebno nakon pojave incidenta. Nadležno tijelo stoga ne bi trebalo imati opću obvezu nadzora pružatelja digitalnih usluga.

(61)

Nadležna tijela trebala bi na raspolaganju imati sredstva potrebna za obavljanje njihovih dužnosti, što uključuje ovlasti za dobivanje informacija koje su potrebne kako bi se mogla odrediti razina sigurnosti mrežnih i informacijskih sustava.

(62)

Incidenti mogu biti rezultat kriminalnih aktivnosti, a njihovo sprečavanje, istragu i kazneni progon podržava se koordinacijom i suradnjom operatora ključnih usluga, pružatelja digitalnih usluga, nadležnih tijela i tijela za izvršavanje zakonodavstva. Ako se sumnja da je incident povezan s aktivnostima koje su prema pravu Unije ili nacionalnom pravu ozbiljne kriminalne aktivnosti, države članice trebale bi operatore ključnih usluga i pružatelje digitalnih usluga poticati da odgovarajućim tijelima za izvršavanje zakonodavstva prijave incidente za koje se sumnja da su ozbiljne kriminalne naravi. Poželjno je da koordinaciju između nadležnih tijela i tijela za izvršavanje zakonodavstva različitih država članica, prema potrebi, olakšavaju Europski centar za kiberkriminal (EC3) i ENISA.

(63)

U mnogim slučajevima osobni podaci ugroženi su zbog incidenata. U tom kontekstu nadležna tijela i tijela za zaštitu podataka trebala bi surađivati i razmjenjivati informacije o svim relevantnim temama za rješavanje kršenja tajnosti osobnih podataka uzrokovanih incidentima.

(64)

Nadležnost u pogledu pružateljâ digitalnih usluga trebala bi se dodijeliti samo državi članici u kojoj dotični pružatelj digitalnih usluga ima svoj glavni poslovni nastan u Uniji, a što u načelu odgovara mjestu u kojem pružatelj ima svoje sjedište u Uniji. Poslovni nastan podrazumijeva učinkovito i stvarno obavljanje djelatnosti u okviru stabilnih aranžmana. Pravni oblik takvih aranžmana, bilo posredstvom podružnice ili društva kćeri s pravnom osobnošću, nije odlučujući čimbenik u tom pogledu. Taj kriterij ne bi trebao ovisiti o tome jesu li mrežni i informacijski sustavi fizički smješteni na tom mjestu jer prisutnost tih sustava i korištenje njima ne predstavljaju sami po sebi takav glavni poslovni nastan te stoga nisu kriteriji za utvrđivanje glavnog poslovnog nastana.

(65)

Ako pružatelj digitalnih usluga koji nema poslovni nastan u Uniji nudi usluge u Uniji, trebao bi imenovati predstavnika. Kako bi se utvrdilo nudi li takav pružatelj digitalnih usluga usluge u Uniji, trebalo bi provjeriti može li se zaključiti da pružatelj digitalnih usluga planira ponuditi usluge osobama u jednoj državi članici ili više njih. Sama dostupnost u Uniji internetskih stranica pružatelja digitalnih usluga ili posrednog davatelja takvih usluga ili adrese elektroničke pošte i drugih podataka za kontakt ili korištenje jezikom koji je općenito u uporabi u trećoj zemlji u kojoj pružatelj digitalnih usluga ima poslovni nastan nedovoljna je za utvrđivanje takve namjere. Međutim, čimbenici kao što su korištenje jezikom ili valutom koji su općenito u uporabi u jednoj državi članica ili više njih, s mogućnošću naručivanja usluga na tom drugom jeziku ili spominjanje kupaca ili korisnika koji se nalaze u Uniji, mogu jasno pokazati da pružatelj digitalnih usluga planira ponuditi usluge u Uniji. Predstavnik bi trebao djelovati u ime pružatelja digitalnih usluga te bi tog predstavnika trebala moći kontaktirati nadležna tijela ili CSIRT-ovi. Pružatelj digitalnih usluga predstavnika bi trebao pisanim ovlaštenjem izričito imenovati da djeluje u njegovo ime s obzirom na obveze tog pružatelja digitalnih usluga prema ovoj Direktivi, što uključuje izvješćivanja o incidentima.

(66)

Standardizacija sigurnosnih zahtjeva proces je koji određuje tržište. Da bi se osigurala konvergentna primjena sigurnosnih standarda, države članice trebale bi poticati sukladnost ili usklađenost s posebnim standardima radi osiguranja visoke razine sigurnosti mrežnih i informacijskih sustava na razini Unije. ENISA bi davanjem savjeta i smjernica trebala pomagati državama članicama. U tu svrhu moglo bi biti korisno izraditi usklađene norme, koje bi trebalo izraditi u skladu s Uredbom (EU) br. 1025/2012 Europskog parlamenta i Vijeća (8).

(67)

Subjektima koji nisu obuhvaćeni područjem primjene ove Direktive mogu se dogoditi incidenti koji imaju znatan učinak na usluge koje pružaju. Ako ti subjekti smatraju da bi bilo u javnom interesu da obavijeste o pojavi takvih incidenata, trebali bi to moći učiniti na dobrovoljnoj osnovi. Takve obavijesti trebali bi obrađivati nadležno tijelo ili CSIRT ako takva obrada ne predstavlja nerazmjerno ili nepotrebno opterećenje za dotične države članice.

(68)

Radi osiguranja jedinstvenih uvjeta za provedbu ove Direktive, provedbene ovlasti trebalo bi dodijeliti Komisiji radi utvrđivanja postupovnih aranžmana potrebnih za funkcioniranje skupine za suradnju i za zahtjeve za sigurnost i obavješćivanje koji se primjenjuju na pružatelje digitalnih usluga. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća (9). Pri donošenju provedbenih akata koji se odnose na postupovne aranžmane potrebne za funkcioniranje skupine za suradnju Komisija bi trebala što je više moguće uzimati u obzir mišljenje ENISA-e.

(69)

Prilikom donošenja provedbenih akata o sigurnosnim zahtjevima za pružatelje digitalnih usluga, Komisija bi trebala u najvećoj mogućoj mjeri uzeti u obzir mišljenje ENISA-e i savjetovati se sa zainteresiranim dionicima. Nadalje, Komisiju se potiče da uzme u obzir sljedeće primjere: u pogledu sigurnosti sustava i postrojenja: fizičku sigurnost i sigurnost okoliša, sigurnost opskrbe, kontrolu pristupa mrežnim i informacijskim sustavima i cjelovitost mrežnih i informacijskih sustava; u pogledu rješavanja incidenata: postupke za rješavanje incidenata, sposobnost otkrivanja incidenata, izvješćivanja o incidentima i komunikaciju o njima; u pogledu upravljanja kontinuitetom poslovanja: strategije za kontinuitet pružanja usluga i krizne planove, sposobnosti za oporavak od katastrofa; te u pogledu praćenja, revizije i testiranja: politike praćenja i evidencija, vježbe kriznih planova, testiranje mrežnih i informacijskih sustava, sigurnosne procjene i praćenje sukladnosti.

(70)

U provedbi ove Direktive Komisija bi, prema potrebi, trebala održavati vezu s relevantnim sektorskim odborima te relevantnim tijelima uspostavljenim na razini Unije, posebno u područjima koja obuhvaća ova Direktiva.

(71)

Komisija bi periodično trebala preispitivati ovu Direktivu, uz savjetovanje sa zainteresiranim dionicima, posebno u pogledu utvrđivanja toga postoji li potreba za njezinom izmjenom u svjetlu promjene društvenih, političkih, tehnoloških i tržišnih uvjeta.

(72)

Pri dijeljenju informacija o rizicima i incidentima u okviru skupine za suradnju i mreže CSIRT-ova te pri poštovanju zahtjeva da se o incidentima obavijeste nadležna nacionalna tijela ili CSIRT-ovi mogla bi biti potrebna obrada osobnih podataka. Takva obrada trebala bi se provoditi u skladu s Direktivom 95/46/EZ Europskog parlamenta i Vijeća (10) i Uredbom (EZ) br. 45/2001 Europskog parlamenta i Vijeća (11). U primjeni ove Direktive bi, prema potrebi, trebalo primjenjivati Uredbu (EZ) br. 1049/2001 Europskog parlamenta i Vijeća (12).

(73)

Izvršeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 28. stavkom 2. Uredbe (EZ) br. 45/2001 te je on dao mišljenje 14. lipnja 2013. (13).

(74)

S obzirom na to da cilj ove Direktive, to jest postizanje visoke zajedničke razine sigurnosti mrežnih i informacijskih sustava u Uniji, ne mogu dostatno ostvariti države članice, nego se zbog učinka djelovanja on na bolji način može ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Direktiva ne prelazi ono što je potrebno za ostvarivanje tog cilja.

(75)

Ova Direktiva poštuje temeljna prava i uzima u obzir načela priznata Poveljom Europske unije o temeljnim pravima, posebno pravo na poštovanje privatnog života i komuniciranja, zaštitu osobnih podataka, slobodu poduzetništva, pravo na vlasništvo, pravo na djelotvoran pravni lijek pred sudom i pravo na saslušanje. Ova Direktiva trebala bi se provoditi u skladu s tim pravima i načelima,

(a)

utvrđuje se obveza za sve države članice da donesu nacionalnu strategiju za sigurnost mrežnih i informacijskih sustava;

(b)

stvara se skupina za suradnju u svrhu podupiranja i olakšavanja strateške suradnje i razmjene informacija među državama članicama i razvijanja međusobnog povjerenja i pouzdanja;

(c)

stvara se mreža timova za odgovor na računalne sigurnosne incidente („mreža CSIRT-ova”) kako bi se doprinijelo razvoju pouzdanja i povjerenja među državama članicama i promicalo brzu i učinkovitu operativnu suradnju;

(d)

utvrđuju se zahtjevi za sigurnost i obavješćivanje za operatore ključnih usluga i za pružatelje digitalnih usluga;

(e)

utvrđuju se obveze za države članice da imenuju nacionalna nadležna tijela, jedinstvene kontaktne točke i CSIRT-ove čije su zadaće vezane uz sigurnost mrežnih i informacijskih sustava.

1.

„mrežni i informacijski sustav” znači:

2.

„sigurnost mrežnih i informacijskih sustava” znači sposobnost mrežnih i informacijskih sustava da odolijevaju, na određenoj razini pouzdanosti, bilo kojoj radnji koja ugrožava dostupnost, autentičnost, cjelovitost ili povjerljivost pohranjenih ili prenesenih ili obrađenih podataka ili srodnih usluga koje ti mrežni i informacijski sustavi nude ili kojima omogućuju pristup;

3.

„nacionalna strategija za sigurnost mrežnih i informacijskih sustava” znači okvir kojim se pružaju strateški ciljevi i prioriteti za sigurnost mrežnih i informacijskih sustava na nacionalnoj razini;

4.

„operator ključne usluge” znači javni ili privatni subjekt tipa navedenog u Prilogu II., koji ispunjava kriterije utvrđene u članku 5. stavku 2.;

5.

„digitalna usluga” znači usluga u smislu članka 1. stavka 1. točke (b) Direktive (EU) 2015/1535 Europskog parlamenta i Vijeća (17) tipa navedenog na popisu u Prilogu III.;

6.

„pružatelj digitalnih usluga” znači bilo koja pravna osoba koja pruža neku digitalnu uslugu;

7.

„incident” znači bilo koji događaj koji ima stvaran negativni učinak na sigurnost mrežnih i informacijskih sustava;

8.

„rješavanje incidenta” znači svi postupci koji podupiru otkrivanje, analizu i zaustavljanje incidenta te odgovor na njega;

9.

„rizik” znači bilo koja razumno prepoznatljiva okolnost ili događaj koji ima potencijalan negativni učinak na sigurnost mrežnih i informacijskih sustava;

10.

„predstavnik” znači bilo koja fizička ili pravna osoba s poslovnim nastanom u Uniji koju je pružatelj digitalnih usluga koji nema poslovni nastan u Uniji izričito imenovao da djeluje u njegovo ime i kojoj se nacionalno nadležno tijelo ili CSIRT mogu obratiti umjesto tom pružatelju digitalnih usluga u pogledu obveza tog pružatelja digitalnih usluga iz ove Direktive;

11.

„norma” znači norma u smislu članka 2. točke 1. Uredbe (EU) br. 1025/2012;

12.

„specifikacija” znači tehnička specifikacija u smislu članka 2. točke 4. Uredbe (EU) br. 1025/2012;

13.

„središte za razmjenu internetskog prometa (IXP)” znači mrežni instrument koji omogućuje međusobno povezivanje više od dvaju neovisnih autonomnih sustava, prvenstveno u svrhu olakšavanja razmjene internetskog prometa; IXP pruža međusobno povezivanje samo za autonomne sustave; za IXP nije potrebno da internetski promet između bilo kojih dvaju autonomnih sustava sudionika prođe kroz bilo koji treći autonomni sustav, on takav promet ne mijenja i ne utječe na njega ni na koji drugi način;

14.

„sustav naziva domena (DNS)” znači hijerarhijsko raspoređeni sustav imenovanja na mreži koji šalje upite o nazivima domena;

15.

„pružatelj DNS usluge” znači subjekt koji pruža DNS usluge na internetu;

16.

„registri naziva vršnih domena” znači subjekt koji upravlja i rukuje registracijom naziva internetskih domena za određenu vršnu domenu (TLD);

17.

„internetsko tržište” znači digitalna usluga koja potrošačima i/ili trgovcima, kako su utvrđeni u članku 4. stavku 1. točki (a) odnosno točki (b) Direktive 2013/11/EU Europskog parlamenta i Vijeća (18), omogućuje da na internetu sklapaju kupoprodajne ugovore i ugovore o uslugama s trgovcima na mrežnoj stranici tog internetskog tržišta ili na mrežnoj stranici tog trgovca koji se služi računalnim uslugama koje pruža internetsko tržište;

18.

„internetska tražilica” znači digitalna usluga koja korisniku omogućuje da vrši pretraživanja u načelu svih internetskih stranica ili internetskih stranica na određenom jeziku na temelju upita o bilo kojoj temi koji je u obliku ključne riječi, rečenice ili nekog drugog unosa, a rezultat su poveznice na kojima se mogu pronaći informacije koje su povezane sa zatraženim sadržajem;

19.

„usluga računalstva u oblaku” znači digitalna usluga kojom se pruža pristup nadogradivom i elastičnom skupu djeljivih računalnih resursa.

(a)

subjekt pruža uslugu koja je ključna za održavanje ključnih društvenih i/ili ekonomskih djelatnosti;

(b)

pružanje takve usluge ovisi o mrežnim i informacijskim sustavima; i

(c)

incident bi imao znatan negativan učinak na pružanje te usluge.

(a)

nacionalne mjere kojima se omogućuje identifikacija operatora ključnih usluga;

(b)

popis usluga iz stavka 3.;

(c)

broj operatora ključnih usluga identificiranih za svaki sektor iz Priloga II. te oznaku njihove važnosti u odnosu na taj sektor;

(d)

pragove, ako postoje, za određivanje odgovarajuće razine opskrbe prema broju korisnika koji se oslanjaju na tu uslugu kako je navedeno u članku 6. stavku 1. točki (a) ili u skladu s važnošću tog određenog operatora ključnih usluga kako je navedeno u članku 6. stavku 1. točki (f).

(a)

broj korisnika koji se oslanjaju na usluge koje taj subjekt pruža;

(b)

ovisnost drugih sektora iz Priloga II. o uslugama koje dotični subjekt pruža;

(c)

mogući utjecaj incidenata, u pogledu njihova stupnja i trajanja, na gospodarske i društvene aktivnosti te na javnu sigurnost;

(d)

tržišni udio tog subjekta;

(e)

zemljopisnu raširenost u smislu područja na koje bi incident mogao utjecati;

(f)

važnost subjekta za održavanje dostatne razine usluge, uzimajući u obzir raspoloživost alternativnih sredstava za pružanje te usluge.

(a)

ciljevima i prioritetima nacionalnih strategija za sigurnost mrežnih i informacijskih sustava;

(b)

upravljačkim okvirom za postizanje ciljeva i prioriteta nacionalne strategije za sigurnost mrežnih i informacijskih sustava, među ostalim ulogama i odgovornostima vladinih tijela i drugih relevantnih sudionika;

(c)

određivanjem mjera u vezi s pripravnošću, odgovorom i ponovnom uspostavom, uključujući mehanizme suradnje između javnog i privatnog sektora;

(d)

određivanjem programâ edukacije, podizanja razine svijesti i osposobljavanja povezanih sa strategijom sigurnosti mrežnih i informacijskih sustava;

(e)

određivanjem istraživačkih i razvojnih planova u pogledu strategije za sigurnost mrežnih i informacijskih sustava;

(f)

planom za procjenu rizika s ciljem prepoznavanja rizika;

(g)

popisom različitih sudionika u provedbi nacionalne strategije za sigurnost mrežnih i informacijskih sustava.

(a)

pružanje strateških smjernica za aktivnosti mreže CSIRT-ova osnovane prema članku 12.;

(b)

razmjena najbolje prakse o razmjeni informacija povezanih s obavijestima o incidentima iz članka 14. stavaka 3. i 5. i članka 16. stavaka 3. i 6.;

(c)

razmjena najbolje prakse među državama članicama i, u suradnji s ENISA-om, pomaganje državama članicama u izgradnji kapaciteta za sigurnost mrežnih i informacijskih sustava;

(d)

rasprava o sposobnostima i pripravnosti država članica te, na dobrovoljnoj osnovi, obavljanje procjene nacionalnih strategija za sigurnost mrežnih i informacijskih sustava i učinkovitosti CSIRT-ova te utvrđivanje najbolje prakse;

(e)

razmjena informacija i najbolje prakse u pogledu podizanja svijesti i osposobljavanja;

(f)

razmjena informacija i najbolje prakse u pogledu istraživanja i razvoja u vezi sa sigurnošću mrežnih i informacijskih sustava;

(g)

prema potrebi, razmjena iskustava o pitanjima povezanima sa sigurnošću mrežnih i informacijskih sustava u relevantnim institucijama, tijelima, uredima i agencijama Unije;

(h)

rasprava o normama i specifikacijama iz članka 19. s predstavnicima relevantnih europskih organizacija za normizaciju;

(i)

prikupljanje informacija o najboljoj praksi u pogledu rizika i incidenata;

(j)

provjera, na godišnjoj osnovi, sažetih izvješća iz članka 10. stavka 3. drugog podstavka;

(k)

rasprava o radu obavljenom u pogledu vježbi koje se odnose na sigurnost mrežnih i informacijskih sustava, programa za obrazovanje i osposobljavanja, uključujući rad ENISA-e;

(l)

uz pomoć ENISA-e, razmjena najbolje prakse u pogledu identifikacije operatora ključnih usluga od strane država članica, među ostalim u pogledu prekograničnih ovisnosti u odnosu na rizike i incidente;

(m)

rasprava o modalitetima za slanje obavijesti o incidentima iz članka 14. i 16.

(a)

razmjena informacija o uslugama CSIRT-ova te njihovim aktivnostima i sposobnostima za suradnju;

(b)

na zahtjev predstavnika CSIRT-a iz države članice na koju bi incident mogao utjecati, razmjenjivanje informacija koje nisu komercijalno osjetljive naravi, a odnose se na taj incident i s njime povezane rizike, te rasprava o tim informacijama; međutim, CSIRT svake države članice može odbiti davanje doprinosa takvoj raspravi ako postoji rizik da se u pitanje dovede istraga o incidentu;

(c)

razmjena i stavljanje na raspolaganje na dobrovoljnoj osnovi informacija o pojedinačnim incidentima koje nisu povjerljive;

(d)

na zahtjev predstavnika CSIRT-a države članice, razmatranje, a ako je to moguće, i određivanje koordiniranog odgovora na incident koji je utvrđen u području za koje je nadležna ista ta država članica;

(e)

pružanje podrške državama članicama u rješavanju prekograničnih incidenata na temelju dobrovoljne uzajamne pomoći;

(f)

rasprava o daljnjim oblicima operativne suradnje te njihovo istraživanje i utvrđivanje, među ostalim u odnosu na:

(g)

obavješćivanje skupine za suradnju o svojim aktivnostima i daljnjim oblicima operativne suradnje razmotrenima u skladu s točkom (f) te traženje smjernica u tom pogledu;

(h)

rasprava o poukama stečenima u vježbama koje se odnose na sigurnost mrežnih i informacijskih sustava, među ostalim i onima koje organizira ENISA;

(i)

na zahtjev pojedinačnog CSIRT-a, rasprava o sposobnostima i pripravnosti tog CSIRT-a;

(j)

izdavanje smjernica radi olakšavanja konvergencije operativnih praksi s ciljem primjene odredaba ovoga članka u pogledu operativne suradnje.

(a)

broj korisnika pogođenih prekidom osnovnih usluga;

(b)

trajanje incidenta;

(c)

zemljopisna raširenost u smislu područja na koje bi incident mogao utjecati.

(a)

informacija potrebnih za procjenu sigurnosti njihovih mrežnih i informacijskih sustava, među ostalim dokumentirane sigurnosne politike;

(b)

dokaza o učinkovitoj provedbi sigurnosnih politika, primjerice rezultata revizije sigurnosti koju su obavili nadležno tijelo ili kvalificirani revizor te, u slučaju da je obavlja kvalificirani revizor, stavljanje tih rezultata, zajedno s dokazima na kojima se temelje, na raspolaganje nadležnom tijelu.

(a)

sigurnosti sustava i objekata;

(b)

rješavanju incidenata;

(c)

upravljanju kontinuitetom poslovanja;

(d)

praćenju, reviziji i testiranju;

(e)

sukladnosti s međunarodnim standardima.

(a)

broj korisnika na koje incident utječe, osobito ako je riječ o korisnicima koji se na te usluge oslanjaju za pružanje vlastitih usluga;

(b)

trajanje incidenta;

(c)

zemljopisna raširenost u smislu područja na koje bi incident mogao utjecati;

(d)

opseg poremećaja u funkcioniranju usluge;

(e)

opseg utjecaja na gospodarsko i društveno djelovanje.

(a)

dostavu informacija potrebnih za procjenu sigurnosti njihovih mrežnih i informacijskih sustava, među ostalim dokumentirane sigurnosne politike;

(b)

otklanjanje svakog nepoštovanja zahtjeva utvrđenih u članku 16.