a także mając na uwadze, co następuje:(1) Sieci oraz systemy i usługi informatyczne pełnią w społeczeństwie istotną rolę. Ich niezawodność i bezpieczeństwo mają zasadnicze znaczenie dla wolności i ogólnego bezpieczeństwa obywateli Unii, a także dla działalności gospodarczej i dobrobytu społeczeństwa, a w szczególności dla funkcjonowania rynku wewnętrznego. [Popr. 1]
(2) Skala, częstotliwość i częstotliwość umyślnych lub przypadkowych konsekwencje incydentów w obszarze bezpieczeństwa stają się coraz większe i stanowią poważne zagrożenie dla funkcjonowania sieci i systemów informatycznych. Systemy te mogą się również stać łatwym celem umyślnych szkodliwych działań, mających na celu uszkodzenie lub przerwanie działania tych systemów. Incydenty takie mogą utrudniać prowadzenie działalności gospodarczej, powodować znaczne straty finansowe, podważać zaufanie użytkowników i inwestorów oraz powodować znaczne straty w gospodarce Unii, a w konsekwencji stanowić zagrożenie dla dobrobytu obywateli Unii oraz zdolności państw członkowskich do zapewnienia własnej ochrony oraz bezpieczeństwa infrastruktury krytycznej. [Popr. 2]
(3) Jako ponadgraniczne narzędzia komunikacji cyfrowe systemy informatyczne, a przede wszystkim internet, odgrywają istotną rolę w ułatwianiu transgranicznego przepływu towarów, usług i osób. Ze względu na ponadnarodowy charakter tych narzędzi poważne zakłócenia systemów w jednym państwie członkowskim mogą mieć wpływ na pozostałe państwa członkowskie oraz na Unię jako całość. Odporność i stabilność sieci i systemów informatycznych mają zatem zasadnicze znaczenie dla zapewnienia sprawnego funkcjonowania rynku wewnętrznego.
(3a) Zważywszy, że do awarii systemów najczęściej dochodzi nadal z przyczyn niezamierzonych, jak przyczyny naturalne lub błędy ludzkie, infrastruktura powinna być odporna zarówno na zamierzone, jak i niezamierzone zakłócenia, a operatorzy infrastruktury krytycznej powinni projektować systemy oparte na zasadzie odporności. [Popr. 3]
(4) Na poziomie Unii należy ustanowić mechanizm współpracy, który umożliwi wymianę informacji i podejmowanie skoordynowanych działań w zakresie zapobiegania wykrywania i reagowania w odniesieniu do bezpieczeństwa sieci i informacji. Aby mechanizm ten był skuteczny i dostępny dla wszystkich, konieczne jest, by wszystkie państwa członkowskie posiadały minimalne zdolności i strategię zapewniające wysoki poziom bezpieczeństwa sieci i informacji na ich terytorium. Aby promować kulturę wspierającą przeciwdziałanie zagrożeniom i zapewnić zgłaszanie najpoważniejszych incydentów, należy wprowadzić minimalne wymogi w zakresie bezpieczeństwa również w odniesieniu do organów administracji publicznej i przynajmniej niektórych rynkowych operatorów krytycznej infrastruktury teleinformatycznej. Należy zachęcać spółki notowane na giełdzie do dobrowolnego ujawniania incydentów w swoich sprawozdaniach finansowych. Ramy prawne powinny opierać się na potrzebie zabezpieczenia prywatności i integralności obywateli. Sieci ostrzegania o zagrożeniach dla infrastruktury krytycznej należy rozszerzyć na podmioty gospodarcze objęte niniejszą dyrektywą. [Popr. 4]
(4a) Podczas gdy organy administracji publicznej - z uwagi na swoją misję publiczną - powinny zarządzać własnymi sieciami i systemami informatycznymi oraz chronić je z należytą starannością, niniejsza dyrektywa powinna skupić się na infrastrukturze krytycznej, która ma zasadnicze znaczenie dla utrzymania kluczowych działań gospodarczych i społecznych w dziedzinach energetyki, transportu, bankowości, infrastruktury rynków finansowych i opieki zdrowotnej. Z zakresu niniejszej dyrektywy należy wyłączyć twórców oprogramowania i producentów sprzętu. [Popr. 5]
(4b) Współpracę i koordynację między właściwymi organami unijnymi z wysokim przedstawicielem/wiceprzewodniczącym Komisji - odpowiedzialnymi za wspólną politykę zagraniczną i bezpieczeństwa oraz wspólną politykę bezpieczeństwa i obrony - oraz koordynatorem UE ds. zwalczania terroryzmu należy zagwarantować w przypadkach, w których charakter incydentów mających znaczące konsekwencje uważa się za zewnętrzny lub terrorystyczny. [Popr. 6]
(5) W celu uwzględnienia wszystkich istotnych incydentów i zagrożeń niniejsza dyrektywa powinna mieć zastosowanie do wszystkich sieci i systemów informatycznych. Obowiązki nałożone na organy administracji publicznej i podmioty gospodarcze nie powinny mieć jednak zastosowania w odniesieniu do przedsiębiorstw udostępniających publiczne sieci łączności lub świadczących publicznie dostępne usługi łączności elektronicznej w rozumieniu dyrektywy 2002/21/WE Parlamentu Europejskiego i Rady 3 , które podlegają szczególnym wymogom w zakresie bezpieczeństwa i integralności ustanowionym w art. 13a tej dyrektywy, ani nie powinny mieć zastosowania w odniesieniu do dostawców usług zaufania.
(6) Obecne zdolności nie są wystarczające w celu zapewnienia wysokiego poziomu bezpieczeństwa sieci i informacji w Unii. Państwa członkowskie bardzo się różnią pod względem poziomu gotowości, co powoduje rozdrobnienie podejścia w obrębie Unii. Prowadzi to do nierównego poziomu ochrony konsumentów i przedsiębiorstw oraz negatywnie wpływa na ogólny poziom bezpieczeństwa sieci i informacji w Unii. Brak wspólnych minimalnych wymogów dla organów administracji publicznej i podmiotów gospodarczych uniemożliwia z kolei ustanowienie globalnego i skutecznego mechanizmu współpracy na poziomie Unii. Uniwersytety i placówki badawcze odgrywają zasadniczą rolę w pobudzaniu badań, rozwoju i innowacyjności w tych obszarach i należy udzielać im odpowiedniego wsparcia finansowego. [Popr. 7]
(7) Skuteczne reagowanie na wyzwania związane z zapewnieniem bezpieczeństwa sieci i systemów informatycznych wymaga zatem przyjęcia całościowego podejścia na poziomie Unii, które będzie obejmować wprowadzenie wymogów dotyczących budowania i planowania wspólnych minimalnych zdolności, rozwijanie dostatecznych umiejętności z zakresu bezpieczeństwa cybernetycznego, wymianę informacji i koordynację działań oraz wprowadzenie wspólnych minimalnych wymogów w zakresie bezpieczeństwa dla wszystkich podmiotów gospodarczych, których dotyczy ten problem, oraz dla organów administracji publicznej. Minimalne wspólne normy należy stosować zgodnie z odpowiednimi zaleceniami grup koordynacji bezpieczeństwa cybernetycznego. [Popr. 8]
(8) Przepisy niniejszej dyrektywy nie powinny naruszać przysługujących każdemu państwu członkowskiemu praw do wprowadzania niezbędnych środków w celu zapewnienia ochrony podstawowych interesów w zakresie bezpieczeństwa narodowego, do ochrony porządku publicznego i bezpieczeństwa publicznego oraz do zezwalania na prowadzenie dochodzeń dotyczących przestępstw karnych oraz na ich wykrywanie i ściganie. Zgodnie z art. 346 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) żadne państwo członkowskie nie ma obowiązku udzielania informacji, których ujawnienie uznaje za sprzeczne z podstawowymi interesami jego bezpieczeństwa. Żadne państwo członkowskie nie ma obowiązku ujawniania niejawnych informacji UE zgodnie z decyzją Rady 2011/ 292/UE 4 , informacji objętych postanowieniami umów o zachowaniu poufności lub nieformalnych umów o zachowaniu poufności, takich jak protokół TLP. [Popr. 9]
(9) W celu osiągnięcia i utrzymania wspólnego wysokiego poziomu bezpieczeństwa sieci i systemów informatycznych każde państwo członkowskie powinno posiadać krajową strategię w zakresie bezpieczeństwa sieci i informacji określającą cele strategiczne i konkretne działania, które należy wdrożyć. Na poziome krajowym należy opracować spełniające zasadnicze wymagania plany współpracy w zakresie bezpieczeństwa sieci i informacji, tak aby osiągnąć poziom zdolności reagowania umożliwiający skuteczną i sprawną współpracę na poziomach krajowym i unijnym w przypadku wystąpienia incydentów, przy poszanowaniu i ochronie życia prywatnego i danych osobowych. Każde państwo członkowskie powinno zatem być zobowiązane do wypełniania wspólnych norm dotyczących formatu i wymienialności danych, które mają być udostępniane i oceniane. Państwa członkowskie powinny mieć możliwość zwrócenia się do Europejskiej Agencji ds. Bezpieczeństwa Sieci i Informacji (ENISA) o pomoc w opracowywaniu krajowych strategii w zakresie bezpieczeństwa sieci i informacji na podstawie wspólnej minimalnej strategii w zakresie bezpieczeństwa sieci i informacji. [Popr. 10]
(10) W celu umożliwienia skutecznego wprowadzenia w życie przepisów przyjętych zgodnie z niniejszą dyrektywą w każdym państwie członkowskim należy ustanowić lub wyznaczyć organ odpowiedzialny za koordynowanie kwestii związanych z bezpieczeństwem sieci i informacji oraz działający jako centralny punkt kontaktowy ds. współpracy transgranicznej na poziomie UE. Organom tym należy zapewnić wystarczające zasoby techniczne, finansowe i ludzkie, aby mogły one skutecznie i efektywnie realizować powierzone im zadania w celu osiągnięcia celów niniejszej dyrektywy.
(10a) Z uwagi na różnice w krajowych strukturach zarządzania oraz w celu zabezpieczenia obowiązujących już ustaleń sektorowych lub unijnych organów nadzorczych i regulacyjnych, a także w celu unikania powielania należy umożliwić państwom członkowskim wyznaczanie więcej niż jednego właściwego organu krajowego odpowiedzialnego za realizację zadań związanych z bezpieczeństwem sieci i systemów informatycznych podmiotów gospodarczych objętych niniejszą dyrektywą. Jednak w celu zapewnienia sprawnej współpracy i komunikacji transgranicznej konieczne jest, aby każde państwo członkowskie, bez uszczerbku dla sektorowych ustaleń regulacyjnych, wyznaczyło tylko jeden krajowy pojedynczy punkt kontaktowy odpowiedzialny za współpracę transgraniczną na szczeblu unijnym. Jeżeli wymaga tego struktura konstytucyjna lub inne ustalenia danego państwa członkowskiego, powinno mieć ono prawo do wyznaczenia tylko jednego organu, który będzie wykonywał zadania właściwego organu i pojedynczego punktu kontaktowego. Właściwe organy i krajowe pojedyncze punkty kontaktowe powinny być podmiotami cywilnymi podlegającymi pełnej kontroli demokratycznej i nie powinny wypełniać żadnych zadań w dziedzinie wywiadu, egzekwowania prawa czy obrony ani też być organizacyjnie powiązane w żadnej formie z podmiotami działającymi aktywnie w tych obszarach. [Popr. 11]
(11) Wszystkie państwa członkowskie i podmioty gospodarcze powinny zostać odpowiednio wyposażone, zarówno pod względem zdolności technicznych, jak i możliwości organizacyjnych, w celu zapobiegania incydentom i zagrożeniom dotyczącym sieci i systemów informatycznych, wykrywania ich, reagowania na nie i łagodzenia ich skutków w dowolnym momencie. Systemy bezpieczeństwa administracji publicznej powinny być bezpieczne i podlegać demokratycznej kontroli i nadzorowi. Wspólnie wymagane wyposażenie i zdolności powinny odpowiadać wspólnie uzgodnionym normom technicznym oraz standardowym procedurom działania. We wszystkich państwach członkowskich należy zatem ustanowić sprawnie funkcjonujące i spełniające zasadnicze wymagania zespoły reagowania na incydenty komputerowe(CERT), które zagwarantują skuteczne i kompatybilne zdolności reagowania na incydenty i zagrożenia oraz zapewnią skuteczną współpracę na poziomie unijnym. CERT powinny mieć możliwość interakcji na podstawie wspólnych standardów technicznych i standardowych procedur działania. Z uwagi na różne cechy istniejących CERT, które odpowiadają różnym potrzebom tematycznym i podmiotom, państwa członkowskie powinny zagwarantować, że każdy sektor wymieniony w wykazie podmiotów gospodarczych określonych w niniejszej dyrektywie jest obsługiwany przez co najmniej jeden CERT. W odniesieniu do współpracy transgranicznej CERT państwa członkowskie powinny dopilnować, aby CERT posiadały środki wystarczające do udziału w już działających międzynarodowych i unijnych sieciach współpracy. [Popr. 12]
(12) Opierając się na znacznych postępach dokonanych w ramach europejskiego forum państw członkowskich (EFMS), które umożliwiły prowadzenie dialogu i wymianę doświadczeń dotyczących sprawdzonych rozwiązań, w tym opracowywanie zasad współpracy na wypadek kryzysów cybernetycznych w Europie, państwa członkowskie i Komisja powinny stworzyć sieć w celu zapewnienia ich stałej komunikacji i wsparcia ich współpracy. Ten bezpieczny i skuteczny mechanizm współpracy, w którym zapewnia się w stosownych przypadkach udział podmiotów gospodarczych, powinien umożliwić uporządkowaną i skoordynowaną wymianę informacji, wykrywanie incydentów oraz reagowanie na nie na poziomie Unii. [Popr. 13]
(13) Europejska Agencja ds. Bezpieczeństwa Sieci i Informacji (ENISA) powinna wspierać działania państw członkowskich i Komisji poprzez zapewnianie wiedzy specjalistycznej i doradztwa oraz poprzez ułatwianie wymiany najlepszych praktyk. W szczególności Komisja powinna i państwa członkowskie powinny konsultować się z ENISA przy stosowaniu niniejszej dyrektywy. W celu zapewnienia skutecznego i terminowego informowania państw członkowskich i Komisji wczesne ostrzeżenia dotyczące incydentów i zagrożeń należy zgłaszać poprzez sieć współpracy. Aby budować zdolności i wiedzę wśród państw członkowskich, sieć współpracy powinna również służyć jako narzędzie wymiany najlepszych praktyk, pomagać członkom w budowaniu zdolności oraz kierować organizacją wzajemnej weryfikacji i ćwiczeń w zakresie bezpieczeństwa sieci i informacji. [Popr. 14]
(13a) W stosownych przypadkach podczas stosowania przepisów niniejszej dyrektywy państwa członkowskie powinny móc wykorzystywać lub dostosowywać istniejące struktury lub strategie organizacyjne. [Popr. 15]
(14) Aby umożliwić wymianę szczególnie chronionych i poufnych informacji w ramach sieci współpracy, należy zapewnić bezpieczną infrastrukturę do wymiany informacji. W tym celu należy w pełni wykorzystywać istniejące w Unii struktury. Bez uszczerbku dla obowiązków związanych ze zgłaszaniem incydentów i zagrożeń o znaczeniu ogólnounijnym w ramach sieci współpracy, dostęp do informacji poufnych z innych państw członkowskich można przyznać wyłącznie tym państwom członkowskim, które wykazały, że ich zasoby i procedury techniczne i finansowe oraz zasoby ludzkie, jak również ich infrastruktura łączności, gwarantują ich skuteczne, sprawne i bezpieczne uczestnictwo w sieci przy zastosowaniu przejrzystych metod. [Popr. 16]
(15) Ponieważ większość sieci i systemów informatycznych eksploatowana jest przez podmioty prywatne, niezbędna jest współpraca między sektorem publicznym i prywatnym. Podmioty gospodarcze należy zachęcać do tworzenia własnych nieformalnych mechanizmów współpracy w celu zapewnienia bezpieczeństwa sieci i informacji. Powinny one również współpracować z sektorem publicznym oraz dzielić się z nim obustronnie informacjami i najlepszymi praktykami w zamian za, co obejmuje także wzajemną wymianę odpowiednich informacji, wsparcie operacyjne i informacje analizowane pod kątem strategicznym w przypadku incydentów. W celu aktywnego zachęcania do dzielenia się informacjami oraz najlepszymi praktykami konieczne jest zapewnienie, by podmioty gospodarcze uczestniczące w wymianie nie doświadczały strat w wyniku tej współpracy. Konieczne są odpowiednie zabezpieczenia w celu zapewnienia, by tego rodzaju współpraca nie narażała takich podmiotów na wyższe ryzyko braku zgodności lub na nowe zobowiązania na podstawie m.in. prawa konkurencji, własności intelektualnej, ochrony danych czy cyberprzestępczości oraz by nie narażała ich na podwyższone ryzyko operacyjne lub związane z bezpieczeństwem. [Popr. 17]
(16) W celu zapewnienia przejrzystości i w celu odpowiedniego informowania obywateli UE Unii i unijnych podmiotów gospodarczych właściwe organy pojedyncze punkty kontaktowe powinny założyć wspólną ogólnounijną stronę internetową, na której publikowane będą niemające poufnego charakteru informacje na temat incydentów, zagrożeń i zagrożeń sposobów ich łagodzenia oraz gdzie będzie się udzielać porad dotyczących odpowiedniej obsługi technicznej. Informacje na stronie internetowej powinny być dostępne bez względu na rodzaj urządzenia. Wszelkie dane osobowe publikowane na tej stronie internetowej powinny ograniczać się do tego, co niezbędne, i być jak najbardziej anonimowe. [Popr. 18]
(17) W przypadku gdy informacje uznaje się za poufne zgodnie z unijnymi i krajowymi przepisami dotyczącymi tajemnicy handlowej, w trakcie wykonywania czynności i realizacji celów określonych w niniejszej dyrektywie należy zapewnić taką poufność.
(18) Na podstawie zwłaszcza krajowych doświadczeń w zarządzaniu kryzysowym i we współpracy z ENISA Komisja i państwa członkowskie powinny opracować unijny plan współpracy w zakresie bezpieczeństwa sieci i informacji określający mechanizmy współpracy oraz najlepsze praktyki i wzorce działania służące do zwalczania zagrożeń i incydentów zapobieganiu zagrożeniom i incydentom oraz ich wykrywaniu, zgłaszaniu i zwalczaniu. Plan ten należy odpowiednio uwzględniać podczas korzystania z systemu wczesnego ostrzegania w ramach sieci współpracy. [Popr. 19]
(19) Przekazywanie wczesnych ostrzeżeń w ramach sieci powinno być wymagane tylko w przypadku, gdy skala i waga danego incydentu lub zagrożenia są lub mogą być w przyszłości na tyle znaczące, że konieczna jest wymiana informacji lub koordynacja reakcji na poziomie Unii. Wczesne ostrzeżenia powinny być zatem ograniczone do rzeczywistych lub potencjalnych incydentów lub zagrożeń, które się szybko rozwijają, przekraczają krajowe zdolności reagowania lub mają wpływ na więcej niż jedno państwo członkowskie. W celu umożliwienia właściwej oceny wszystkie informacje niezbędne do oceny zagrożenia lub incydentu należy przekazywać do sieci współpracy. [Popr. 20]
(20) Po otrzymaniu wczesnego ostrzeżenia i dokonaniu jego oceny właściwe organypojedyncze punkty kontaktowe powinny uzgodnić skoordynowaną reakcję zgodnie z unijnym planem współpracy w zakresie bezpieczeństwa sieci i informacji. O środkach przyjętych na poziomie krajowym w wyniku skoordynowanej reakcji należy poinformować właściwe organy pojedyncze punkty kontaktowe, ENISA oraz Komisję. [Popr. 21]
(21) Ze względu na globalny charakter problemów związanych z bezpieczeństwem sieci i informacji istnieje potrzeba zacieśnienia współpracy międzynarodowej w celu poprawy norm bezpieczeństwa i wymiany informacji oraz w celu promowania wspólnego globalnego podejścia w zakresie bezpieczeństwa sieci i informacji. Wszelkie ramy takiej współpracy międzynarodowej powinny podlegać przepisom dyrektywy Parlamentu Europejskiego i Rady 95/46/ WE 5 i rozporządzenia (WE) nr 45/2001 Parlamentu Europejskiego i Rady 6 . [Popr. 22]
(22) Odpowiedzialność za zapewnienie bezpieczeństwa sieci i informacji w dużym stopniu spoczywa na organach administracji publicznej i podmiotach gospodarczych. Za pomocą stosownych wymogów regulacyjnych i dobrowolnych praktyk branżowych należy wspierać i rozwijać kulturę przeciwdziałania zagrożeniom, ścisłej współpracy i zaufania, obejmującą przeprowadzanie ocen zagrożenia i wdrażanie środków bezpieczeństwa stosownych do danego zagrożenia i incydentów, zarówno umyślnych, jak i przypadkowych. Stworzenie godnych zaufania, równych warunków działania ma również kluczowe znaczenie dla skutecznego funkcjonowania sieci współpracy w celu zapewnienia skutecznej współpracy ze strony wszystkich państw członkowskich. [Popr. 23]
(23) Dyrektywa 2002/21/WE wymaga, by przedsiębiorstwa udostępniające publiczne sieci łączności elektronicznej lub świadczące publicznie dostępne usługi łączności elektronicznej podejmowały odpowiednie środki w celu zabezpieczenia integralności i bezpieczeństwa oraz wprowadza wymogi dotyczące zgłaszania przypadków naruszeń bezpieczeństwa i utraty integralności. Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady 7 wymaga od dostawcy publicznie dostępnych usług łączności elektronicznej podjęcia właściwych środków technicznych i organizacyjnych w celu zapewnienia bezpieczeństwa oferowanych przez siebie usług.
(24) Obowiązki te powinny obejmować nie tylko sektor łączności elektronicznej, lecz również operatorów infrastruktury, którzy są w dużym stopniu uzależnieni od technologii informacyjnych i komunikacyjnych i którzy mają kluczowe znaczenie dla utrzymania istotnych funkcji gospodarczych lub społecznych, takich jak dostawy energii elektrycznej i gazu, usługi transportowe, działalność instytucji kredytowych, infrastruktura rynków finansowych i opieka zdrowotna. Zakłócenia tych sieci i systemów informatycznych miałyby wpływ na rynek wewnętrzny. O ile obowiązki ustanowione w niniejszej dyrektywie nie powinny obejmować głównych dostawców usług społeczeństwa informacyjnego, określonych w dyrektywie 98/34/WE Parlamentu Europejskiego i Rady 8 , na których opierają się pochodne usługi społeczeństwa informacyjnego oraz działania w prowadzone w internecie, takie jak platformy handlu elektronicznego, internetowe portale płatnicze, portale społecznościowe, wyszukiwarki, usługi chmur obliczeniowych, ogólnie lub sklepy z aplikacjami. Zakłócenia tych podstawowych usług społeczeństwa informacyjnego uniemożliwiają świadczenie innych usług społeczeństwa informacyjnego, dla których stanowią one podstawę. Twórcy oprogramowania i producenci sprzętu nie są dostawcami usług społeczeństwa informacyjnego, a zatem nie są oni objęci zakresem powyższych przepisów. Obowiązki te powinny również zostać rozszerzone na organy administracji publicznej oraz operatorów infrastruktury krytycznej, którzy są w dużym stopniu uzależnieni od technologii informacyjnych i komunikacyjnych i którzy mają kluczowe znaczenie dla utrzymania istotnych funkcji gospodarczych i społecznych, takich jak dostawy energii elektrycznej i gazu, usługi transportowe oraz działalność instytucji kredytowych, giełd papierów wartościowych i placówek opieki zdrowotnej. Zakłócenia tych sieci i systemów informatycznych miałyby wpływ na rynek wewnętrzny. Podmioty te mogą na zasadzie dobrowolności informować właściwy organ lub pojedynczy punkt kontaktowy o tych incydentach związanych z bezpieczeństwem sieci, które uznają za stosowne. Na ile to możliwe, właściwy organ lub pojedynczy punkt kontaktowy powinien przedstawić podmiotom gospodarczym, które powiadomiły o incydencie, informacje przeanalizowane pod kątem strategicznym, które pomogą przezwyciężyć zagrożenie dla bezpieczeństwa. [Popr. 24]
(24a) Podczas gdy dostawcy sprzętu i oprogramowania nie są podmiotami gospodarczymi porównywalnymi z tymi, którzy są objęci niniejszą dyrektywą, ich produkty sprzyjają zapewnieniu bezpieczeństwa sieci i systemów informatycznych. Odgrywają zatem ważną rolę w umożliwieniu podmiotom gospodarczym zabezpieczenia ich infrastruktury sieci i infrastruktury informatycznej. Jako że sprzęt i oprogramowanie podlega już obowiązującym zasadom odpowiedzialności za produkt, państwa członkowskie powinny dopilnować egzekwowania tych zasad. [Popr. 25]
(25) Nałożenie na organy administracji publicznej i podmioty gospodarcze obowiązku wprowadzenia środków organizacyjnych i technicznych nie powinno wiązać się z koniecznością zaprojektowania, opracowania i wyprodukowania specjalnego komercyjnego produktu informatycznego w określony sposób. [Popr. 26]
(26) Organy administracji publicznej oraz Podmioty gospodarcze powinny zapewnić bezpieczeństwo sieci i systemów, które są pod ich kontrolą. Dotyczy to przede wszystkim sieci i systemów prywatnych, które są zarządzane przez wewnętrzny personel informatyczny lub w przypadku których zapewnienie bezpieczeństwa zlecono na zewnątrz. Wymogi w zakresie bezpieczeństwa i zgłaszania incydentów powinny mieć zastosowanie do odpowiednich podmiotów gospodarczych i organów administracji publicznej bez względu na to, czy one same zapewniają obsługę swoich sieci i systemów informatycznych, czy też zlecają tę obsługę innym podmiotom. [Popr. 27]
(27) Aby uniknąć nakładania nieproporcjonalnie dużych obciążeń finansowych i administracyjnych na małe podmioty i na małych użytkowników, wymogi powinny być proporcjonalne do zagrożenia związanego z daną siecią lub danym systemem informatycznym oraz powinny uwzględniać najnowszy stan wiedzy na temat tego rodzaju środków. Wymogi te nie powinny mieć zastosowania w odniesieniu do mikroprzedsiębiorstw.
(28) Właściwe organy i pojedyncze punkty kontaktowe powinny zwracać należytą uwagę na zachowanie nieformalnych i bezpiecznych kanałów wymiany informacji między podmiotami gospodarczymi i między sektorami publicznym i prywatnym. Właściwe organy oraz pojedyncze punkty kontaktowe powinny informować producentów i usługodawców danych produktów i usług ICT o zgłoszonych im incydentach mających znaczące konsekwencje. Decyzje o informowaniu społeczeństwa o incydentach zgłoszonych właściwym organom i pojedynczym punktom kontaktowym należy podejmować przy zachowaniu równowagi między interesem publicznym, zgodnie z którym społeczeństwo powinno być informowane o zagrożeniach, a ryzykiem utraty reputacji i poniesienia szkód handlowych, na jakie narażone są organy administracji publicznej i podmioty gospodarcze zgłaszające incydenty. Wykonując obowiązki w zakresie powiadamiania, właściwe organy i pojedyncze punkty kontaktowe powinny zwracać szczególną uwagę na potrzebę zachowania poufności w odniesieniu do informacji dotyczących słabych punktów produktów, aż do momentu udostępnienia wdrożenia stosownych rozwiązań problemów bezpieczeństwa. Z zasady pojedyncze punkty kontaktowe nie powinny ujawniać danych osobowych osób zaangażowanych w incydenty. Pojedyncze punkty kontaktowe powinny ujawniać dane osobowe wyłącznie wtedy, kiedy ujawnienie takich danych jest niezbędne i współmierne do celu, w którym są ujawniane. [Popr. 28]
(29) Właściwe organy powinny dysponować niezbędnymi środkami do wykonywania swoich obowiązków, w tym uprawnieniami do uzyskiwania wystarczających informacji od podmiotów gospodarczych i organów administracji publicznej, w celu oceny poziomu bezpieczeństwa sieci i systemów informatycznych, zmierzenia liczby, skali i zakresu incydentów, jak również wiarygodnymi i pełnymi danymi na temat incydentów, które mają wpływ na funkcjonowanie sieci i systemów informatycznych. [Popr. 29]
(30) Źródłem incydentu w wielu przypadkach jest działalność przestępcza. Przestępczy charakter incydentów można podejrzewać nawet wtedy, gdy początkowo dowody nie są wystarczająco przekonujące. W tym kontekście odpowiednia współpraca między właściwymi organami, pojedynczymi punktami kontaktowymi i organami ścigania powinna oraz współpraca z EC3 (ośrodek Europolu ds. cyberprzestępczości) i z ENISA powinny stanowić część skutecznej i kompleksowej reakcji na zagrożenie związane z możliwością wystąpienia incydentu zagrażającego bezpieczeństwu. Wspieranie rozwoju bezpiecznego, chronionego i bardziej odpornego środowiska wymaga w szczególności systematycznego zgłaszania organom ścigania poważnych incydentów, które mogą mieć charakter przestępczy. Poważne incydenty o charakterze przestępczym należy oceniać w świetle prawa Unii w zakresie cyberprzestępczości. [Popr. 30]
(31) W wyniku incydentów w wielu przypadkach istnieje niebezpieczeństwo naruszenia danych osobowych. Państwa członkowskie i podmioty gospodarcze powinny chronić przechowywane, przetwarzane i przekazywane dane osobowe przed przypadkowym lub bezprawnym zniszczeniem, przypadkową utratą lub zmianą, a także nieupoważnionym czy bezprawnym przechowywaniem, dostępem, ujawnianiem lub rozpowszechnianiem. Powinny też zapewnić wdrożenie polityki bezpieczeństwa w odniesieniu do przetwarzania danych osobowych. W tym kontekście właściwe organy, pojedyncze punkty kontaktowe oraz organy ochrony danych powinny ze sobą współpracować i wymieniać się informacjami dotyczącymi wszystkich istotnych kwestii, w stosownych przypadkach z podmiotami gospodarczymi, w celu rozwiązywania problemów związanych z przypadkami naruszeń danych osobowych w wyniku incydentów zgodnie z mającymi zastosowanie przepisami w dziedzinie ochrony danych. Państwa członkowskie powinny wdrożyć zgodnie z mającymi zastosowanie przepisami w dziedzinie ochrony danych. Obowiązek zgłaszania incydentów zagrażających bezpieczeństwu należy wypełniać w sposób, który minimalizuje obciążenia administracyjne w przypadku, gdy incydent zagrażający bezpieczeństwu stanowi również naruszenie zasad dotyczących danych osobowych, które wymaga zgłoszenia zgodnie z prawem Unii w rozumieniu rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w zakresie przetwarzania ochrony danych osobowych i swobodnego przepływu tych danych 9 . Współpracując z właściwymi organami i organami ochrony danych, ENISA mogłaby opracować ENISA powinna udzielić pomocy, opracowując mechanizmy i wzory formularzy na potrzeby wymiany informacji, dzięki czemu nie byłoby konieczne stosowanie dwóch formularzy. Pojedynczy formularz ułatwiłby i jednolity wzór formularza, które ułatwiłyby zgłaszanie incydentów, które stanowią stanowiących naruszenie danych osobowych, zmniejszając tym samym obciążenia administracyjne dla przedsiębiorstw i organów administracji publicznej. [Popr. 31]
(32) Normalizacja wymogów w zakresie bezpieczeństwa jest dobrowolnym procesem napędzanym przez rynek, który powinien umożliwić podmiotom gospodarczym korzystanie z alternatywnych środków w celu osiągnięcia co najmniej podobnych wyników. W celu zapewnienia spójnego stosowania norm bezpieczeństwa państwa członkowskie powinny wspierać dążenie do zgodności lub zbieżności z określonymi interoperacyjnymi normami w celu zapewnienia wysokiego poziomu bezpieczeństwa na poziomie Unii. W tym celu konieczne należy rozważyć stosowanie otwartych norm międzynarodowych do bezpieczeństwa sieci i informacji lub opracowanie takich narzędzi. Kolejnym koniecznym krokiem naprzód może być przygotowanie ujednoliconych norm, czego należy dokonać zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 1025/2012 10 . W szczególności należy upoważnić ETSI, CEN i CENELEC do proponowania skutecznych i wydajnych otwartych unijnych norm bezpieczeństwa, w których unika się preferencji technologicznych w jak najwyższym stopniu i którymi mogą łatwo zarządzać małe i średnie podmioty gospodarcze. Normy międzynarodowe dotyczące bezpieczeństwa cybernetycznego należy dokładnie sprawdzić w celu zapewnienia, że nie zostały one naruszone, ustanawiają odpowiednie poziomy bezpieczeństwa, tym samym gwarantując, że zalecona zgodność z normami bezpieczeństwa cybernetycznego zwiększa, a nie zmniejsza ogólny poziom tego bezpieczeństwa w Unii. [Popr. 32]
(33) Komisja powinna okresowo dokonywać przeglądu niniejszej dyrektywy, w drodze konsultacji ze wszystkimi zainteresowanymi stronami, w szczególności w celu sprawdzenia, czy konieczne jest wprowadzenie zmian w świetle zmieniających się technologii i warunków społecznych, politycznych lub rynkowych. [Popr. 33]
(34) W celu umożliwienia prawidłowego funkcjonowania sieci współpracy należy przekazać Komisji uprawnienia do przyjęcia aktów zgodnie z art. 290 TFUE w odniesieniu do określenia kryteriów, które państwo członkowskie musi spełnić, aby móc uczestniczyć w bezpiecznym systemie wspólnego zestawu norm w zakresie wzajemnych połączeń i bezpieczeństwa dla potrzeb bezpiecznej infrastruktury służącej do wymiany informacji, sprecyzowania, które zdarzenia wymagają wczesnego ostrzegania, a także określenia okoliczności, w których podmioty gospodarcze i organy administracji publicznej są zobowiązane do zgłaszania incydentów. [Popr. 34]
(35) Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów. Przygotowując i opracowując akty delegowane, Komisja powinna zapewnić jednoczesne, terminowe i odpowiednie przekazywanie stosownych dokumentów Parlamentowi Europejskiemu i Radzie.
(36) W celu zapewnienia jednolitych warunków wykonywania niniejszej dyrektywy należy powierzyć Komisji uprawnienia wykonawcze w zakresie współpracy między właściwymi organami pojedynczymi punktami kontaktowymi i Komisją w ramach sieci współpracy, dostępu do bezpiecznej infrastruktury służącej do wymiany informacji, (bez uszczerbku dla istniejących mechanizmów współpracy na szczeblu krajowym) unijnego planu współpracy w zakresie bezpieczeństwa sieci i informacji, a także formatów i procedur mających zastosowanie wobec wymogów dotyczących informowania społeczeństwa o incydentach, oraz norm lub specyfikacji technicznych dotyczących bezpieczeństwa sieci i informacji zgłaszania incydentów mających znaczące konsekwencje. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011 11 . [Popr. 35]
(37) Przy stosowaniu niniejszej dyrektywy Komisja powinna w stosownych przypadkach współpracować z odpowiednimi komitetami sektorowymi i odpowiednimi organami ustanowionymi na poziomie UE Unii, zwłaszcza w dziedzinie administracji elektronicznej, energetyki, transportu i, opieki zdrowotnej i obrony. [Popr. 36]
(38) Informacjami, które właściwy organ lub pojedynczy punkt kontaktowy uznaje za poufne zgodnie z unijnymi i krajowymi przepisami dotyczącymi tajemnicy handlowej, można się wymieniać z Komisją i, jej odpowiednimi agencjami, innymi pojedynczymi punktami kontaktowymi i/lub innymi właściwymi organami krajowymi tylko wtedy, gdy wymiana taka jest absolutnie niezbędna w celu wykonania niniejszej dyrektywy. Ujawnione informacje powinny ograniczać się do tego, co jest właściwe istotne, niezbędne i proporcjonalne do celów takiej wymiany informacji, oraz być zgodne z ustalonymi wcześniej kryteriami poufności i bezpieczeństwa, na mocy decyzji Rady 2011/292/UE, do informacji objętych postanowieniami umów o zachowaniu poufności i nieformalnych umów o zachowaniu poufności, takich jak protokół TLP. [Popr. 37]
(39) Wymiana informacji dotyczących zagrożeń i incydentów w ramach sieci współpracy i zapewnienie zgodności z wymogami dotyczącymi zgłaszania incydentów właściwym organom krajowym lub pojedynczym punktom kontaktowym mogą oznaczać konieczność przetwarzania danych osobowych. Takie przetwarzanie danych osobowych jest niezbędne do realizacji celów niniejszej dyrektywy będących w interesie publicznym i w związku z tym jest uzasadnione na mocy art. 7 dyrektywy 95/46/WE. Nie stanowi ono, w odniesieniu do tych uzasadnionych celów, nieproporcjonalnej i niedopuszczalnej ingerencji naruszającej istotę prawa do ochrony danych osobowych, które gwarantuje art. 8 Karty praw podstawowych Unii Europejskiej. Przy wdrażaniu niniejszej dyrektywy zastosowanie powinno mieć, w stosownych przypadkach, rozporządzenie (WE) nr 1049/2001 Parlamentu Europejskiego i Rady 12 . W przypadku gdy dane są przetwarzane przez instytucje i organy Unii, tego rodzaju przetwarzanie w celu wprowadzenia niniejszej dyrektywy w życie powinno być zgodne z rozporządzeniem (WE) nr 45/2001. [Popr. 38]
(40) Ponieważ cel niniejszej dyrektywy, to jest zapewnienie wysokiego poziomu bezpieczeństwa sieci i informacji w Unii, nie może zostać osiągnięty w wystarczającym stopniu przez państwa członkowskie działające samodzielnie, natomiast z uwagi na skutki proponowanego działania możliwe jest lepsze jego osiągnięcie na poziomie unijnym, Unia może podjąć działania zgodnie z zasadą pomocniczości, o której mowa w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym artykule niniejsza dyrektywa nie wykracza poza to, co jest konieczne do osiągnięcia tych celów.
(41) Niniejsza dyrektywa jest zgodna z prawami podstawowymi i zasadami uznanymi w Karcie praw podstawowych Unii Europejskiej, a w szczególności zasadami dotyczącymi prawa do poszanowania życia prywatnego i komunikowania się, prawa do ochrony danych osobowych i wolności prowadzenia działalności gospodarczej, prawa własności, prawa do skutecznego środka prawnego i prawa do bycia wysłuchanym. Niniejszą dyrektywę należy wdrażać zgodnie z tymi prawami i zasadami.
(41a) Zgodnie ze wspólną deklaracją polityczną państw członkowskich i Komisji dotyczącą dokumentów wyjaśniających z dnia 28 września 2011 r. państwa członkowskie zobowiązały się dołączać, w uzasadnionych przypadkach, do powiadomienia o środkach transpozycji jeden lub większą liczbę dokumentów wyjaśniających związki między elementami dyrektywy a odpowiadającymi im częściami krajowych instrumentów służących transpozycji. W odniesieniu do niniejszej dyrektywy ustawodawca uznaje, że przekazanie takich dokumentów jest uzasadnione. [Popr. 39]
(41b) Zgodnie z art. 28 ust. 2 rozporządzenia (WE) nr 45/2001 skonsultowano się z Europejskim Inspektorem Ochrony Danych Osobowych, który wydał opinię w dniu 14 czerwca 2013 r. 13 ,
PRZYJMUJĄ NINIEJSZĄ DYREKTYWĘ:
1 Dz.U. C 271 z 19.9.2013, s. 133
2 Stanowisko Parlamentu Europejskiego z dnia 13 marca 2014 r.
3 Dyrektywa 2002/21/WE Parlamentu Europejskiego i Rady z dnia 7 marca 2002 r. w sprawie wspólnych ram regulacyjnych sieci i usług łączności elektronicznej (dyrektywa ramowa) (Dz.U. L 108 z 24.4.2002, s. 33).
4 Decyzja Rady 2011/292/UE z dnia 31 marca 2011 r. w sprawie przepisów bezpieczeństwa dotyczących ochrony informacji niejawnych UE (Dz.U. L 141 z 27.5.2011, s. 17).
5 Dyrektywa Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U. L 281 z 23.11.1995, s. 31).
6 Rozporządzenie (WE) nr 45/2001 Parlamentu Europejskiego i Rady z dnia 18 grudnia 2000 r. o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje i organy wspólnotowe i o swobodnym przepływie takich danych (Dz.U. L 8 z 12.1.2001, s. 1).
7 Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U. L 201 z 31.7.2002, s. 37).
8 Dyrektywa 98/34/WE Parlamentu Europejskiego i Rady z dnia 22 czerwca 1998 r. ustanawiającej procedurę udzielania informacji w dziedzinie norm i przepisów technicznych oraz zasad dotyczących usług społeczeństwa informacyjnego (Dz.U. L 204 z 21.7.1998, s. 37).
9 SEC(2012) 72 final.
10 Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 1025/2012 z dnia 25 października 2012 r. w sprawie normalizacji europejskiej, zmieniającym dyrektywy Rady 89/686/EWG i 93/15/EWG oraz dyrektywy Parlamentu Europejskiego i Rady 94/9/ WE, 94/25/WE, 95/16/WE, 97/23/WE, 98/34/WE, 2004/22/WE, 2007/23/WE, 2009/23/WE i 2009/105/WE oraz uchylającym decyzję Rady 87/95/EWG i decyzję Parlamentu Europejskiego i Rady nr 1673/2006/WE (Dz.U. L 316 z 14.11.2012, s. 12).
11 Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 182/2011 z dnia 16 lutego 2011 r. ustanawiającym przepisy i zasady ogólne dotyczące trybu kontroli przez państwa członkowskie wykonywania uprawnień wykonawczych przez Komisję (Dz.U. L 55 z 28.2.2011, s. 13).
12 Rozporządzenie (WE) nr 1049/2001 Parlamentu Europejskiego i Rady z dnia 30 maja 2001 r. w sprawie publicznego dostępu do dokumentów Parlamentu Europejskiego, Rady i Komisji (Dz.U. L 145 z 31.5.2001, s. 43).
13 Dz.U. C 32 z 4.2.2014, s. 19.
14 Dyrektywa Rady 2008/114/WE z dnia 8 grudnia 2008 r. w sprawie rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej oraz oceny potrzeb w zakresie poprawy jej ochrony (Dz.U. L 345 z 23.12.2008, s. 75).
15 Decyzja Rady 2009/371/WSiSW z dnia 6 kwietnia 2009 r. ustanawiająca Europejski Urząd Policji (Europol) (Dz.U. L 121 z 15.5.2009, s. 37).
16 Rozporządzenie Komisji (UE) nr 611/2013 z dnia 24 czerwca 2013 r. w sprawie środków mających zastosowanie przy powiadamianiu o przypadkach naruszenia danych osobowych, na mocy dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady o prywatności i łączności elektronicznej (Dz.U. L 173 z 26.6.2013, s. 2).
17 Dyrektywa 2004/39/WE Parlamentu Europejskiego i Rady z dnia 21 kwietnia 2004 r. w sprawie rynków instrumentów finansowych (Dz.U. L 45 z 16.2.2005, s. 18).
18 Zalecenie Komisji 2003/361/WE z dnia 6 maja 2003 r. w sprawie definicji mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw (Dz.U. L 124 z 20.5.2003, s. 36).
19 SEC(2012) 72 final.
20 Dyrektywa Parlamentu Europejskiego i Rady 2006/48/WE z dnia 14 czerwca 2006 r. w sprawie podejmowania i prowadzenia działalności przez instytucje kredytowe (Dz.U. L 177 z 30.6.2006, s. 1).
