19.7.2016   

RO

Jurnalul Oficial al Uniunii Europene

L 194/1

(1)

Rețelele împreună cu sistemele și serviciile informatice îndeplinesc un rol vital în societate. Fiabilitatea și securitatea lor sunt esențiale pentru activitățile economice și societale și, în special, pentru funcționarea pieței interne.

(2)

Amploarea, frecvența și impactul incidentelor de securitate sunt în creștere și reprezintă o amenințare gravă pentru funcționarea rețelelor și a sistemelor informatice. Sistemele respective pot să devină, de asemenea, o țintă pentru acțiunile dăunătoare deliberate menite să afecteze sau să întrerupă funcționarea sistemelor. Astfel de incidente pot să împiedice desfășurarea activităților economice, să genereze pierderi financiare substanțiale, să submineze încrederea utilizatorilor și să provoace pagube majore economiei Uniunii.

(3)

Rețelele și sistemele informatice și, în principal, internetul joacă un rol esențial în facilitarea circulației transfrontaliere a produselor, serviciilor și persoanelor. Datorită naturii lor transnaționale, o perturbare majoră a acestor sisteme, intenționată sau neintenționată și indiferent de locul în care se petrece, poate afecta fiecare stat membru în parte și Uniunea în ansamblul său. Prin urmare, securitatea rețelelor și a sistemelor informatice este esențială pentru buna funcționare a pieței interne.

(4)

Pe baza progreselor semnificative obținute în cadrul Forumului european al statelor membre în încurajarea dezbaterilor și a schimburilor de bune practici în materie de politici, inclusiv a elaborării principiilor de cooperare în caz de criză informatică europeană, ar trebui să se instituie un grup de cooperare, compus din reprezentanți ai statelor membre, Comisie și Agenția Uniunii Europene pentru Securitatea Rețelelor și a Informațiilor („ENISA”) pentru a sprijini și a facilita cooperarea strategică dintre statele membre în ceea ce privește securitatea rețelelor și a sistemelor informatice. Pentru ca acest grup să fie eficace și reprezentativ, este esențial ca toate statele membre să dispună de capacitățile minime necesare și de o strategie care să asigure un nivel ridicat de securitate a rețelelor și a sistemelor informatice pe teritoriul lor. În plus, operatorilor de servicii esențiale și furnizorilor de servicii digitale ar trebui să li se aplice cerințe de securitate și de notificare pentru a se promova o cultură a gestionării riscurilor și pentru a se asigura raportarea celor mai grave incidente.

(5)

Capacitățile existente nu sunt suficiente pentru asigurarea unui nivel ridicat de securitate a rețelelor și a sistemelor informatice în Uniune. Statele membre au niveluri de pregătire foarte diferite, ceea ce a condus la o abordare fragmentară în Uniune. Aceasta determină un nivel inegal de protecție a consumatorilor și a întreprinderilor și subminează nivelul general de securitate a rețelelor și a sistemelor informatice în Uniune. La rândul său, absența unor cerințe comune pentru operatorii de servicii esențiale și furnizorii de servicii digitale face imposibilă instituirea unui mecanism general și eficace de cooperare la nivelul Uniunii. Universităților și centrelor de cercetare le revine un rol decisiv în cultivarea cercetării, dezvoltării și inovării în aceste domenii.

(6)

Prin urmare, pentru a răspunde eficient la provocările din domeniul securității rețelelor și a sistemelor informatice, se impune o abordare globală la nivelul Uniunii, care să includă cerințe comune privind crearea capacităților minime și planificarea, schimb de informații, cooperare și cerințe comune de securitate pentru operatorii de servicii esențiale și furnizorii de servicii digitale. Cu toate acestea, operatorii de servicii esențiale și furnizorii de servicii digitale nu sunt împiedicați să pună în aplicare măsuri de securitate care să fie mai stricte decât cele prevăzute în temeiul prezentei directive.

(7)

Pentru a putea acoperi toate incidentele și riscurile relevante, prezenta directivă ar trebui să se aplice atât operatorilor de servicii esențiale, cât și furnizorilor de servicii digitale. Cu toate acestea, obligațiile care revin operatorilor de servicii esențiale și furnizorilor de servicii digitale nu ar trebui să se aplice nici întreprinderilor care pun la dispoziție rețele de comunicații publice sau servicii de comunicații electronice accesibile publicului în sensul Directivei 2002/21/CE a Parlamentului European și a Consiliului (3), cărora li se aplică cerințele specifice de securitate și integritate prevăzute în directiva respectivă, nici furnizorilor de servicii de încredere în sensul Regulamentului (UE) nr. 910/2014 al Parlamentului European și al Consiliului (4), cărora li se aplică cerințele de securitate prevăzute în regulamentul respectiv.

(8)

Prezenta directivă nu ar trebui să aducă atingere posibilității de care dispune fiecare stat membru de a lua măsurile necesare pentru a asigura protecția intereselor sale esențiale de securitate, a apăra ordinea și siguranța publică și a permite investigarea, detectarea și urmărirea infracțiunilor. În conformitate cu articolul 346 din Tratatul privind funcționarea Uniunii Europene (TFUE), niciun stat membru nu are obligația de a furniza informații a căror divulgare o consideră contrară intereselor esențiale ale siguranței sale. În acest context, sunt relevante Decizia 2013/488/UE a Consiliului (5) și acordurile de nedivulgare sau acordurile de nedivulgare informale, precum „Traffic Light Protocol”.

(9)

Anumite sectoare ale economiei sunt deja reglementate sau ar putea fi reglementate în viitor prin acte juridice ale Uniunii specifice fiecărui sector care includ norme legate de securitatea rețelelor și a sistemelor informatice. Atunci când aceste acte juridice ale Uniunii conțin dispoziții care impun cerințe privind securitatea rețelelor și a sistemelor informatice sau notificarea incidentelor, aceste dispoziții ar trebui să se aplice în cazul în care conțin cerințe care sunt cel puțin echivalente ca efect cu obligațiile conținute în prezenta directivă. În acest caz, statele membre ar trebui să aplice dispozițiile unor astfel de acte juridice ale Uniunii specifice fiecărui sector, inclusiv cele privind jurisdicția, și nu ar trebui să execute procesul de identificare pentru operatorii de servicii esențiale definit de prezenta directivă. În acest context, statele membre ar trebui să furnizeze Comisiei informații privind aplicarea dispoziției privind astfel de dispoziții de lex specialis. Atunci când se stabilește dacă cerințele privind securitatea rețelelor și a sistemelor informatice și notificarea incidentelor conținute de acte juridice ale Uniunii specifice fiecărui sector sunt echivalente cu cele prevăzute de prezenta directivă, ar trebui să se ia în considerare doar dispozițiile actelor juridice relevante ale Uniunii și aplicarea acestora în statele membre.

(10)

În sectorul transportului pe apă, cerințele de securitate pentru societăți, nave, instalații portuare, porturi și servicii de trafic naval în temeiul actelor juridice ale Uniunii reglementează toate operațiunile, inclusiv sistemele de radio și telecomunicații, sistemele informatice și rețelele. Printre procedurile obligatorii care trebuie să fie urmate se numără raportarea tuturor incidentelor și ar trebui, prin urmare, să fie considerate lex specialis, în măsura în care cerințele respective sunt cel puțin echivalente cu dispozițiile corespunzătoare ale prezentei directive.

(11)

La identificarea operatorilor din sectorul transportului pe apă, statele membre ar trebui să țină cont de codurile și orientările internaționale existente și viitoare elaborate în special de Organizația Maritimă Internațională, pentru a se oferi operatorilor maritimi individuali o abordare coerentă.

(12)

Reglementarea și supravegherea în sectoarele infrastructurilor bancare și ale piețelor financiare sunt armonizate în mare măsură la nivelul Uniunii prin utilizarea legislației primare și a celei secundare ale Uniunii și a standardelor elaborate împreună cu autoritățile europene de supraveghere. În cadrul uniunii bancare, aplicarea și supravegherea acestor cerințe sunt asigurate de mecanismul unic de supraveghere. Pentru statele membre care nu fac parte din uniunea bancară, acestea sunt asigurate de autoritățile de reglementare relevante din domeniul bancar ale statelor membre. În alte domenii ale reglementării sectorului financiar, Sistemul european al supraveghetorilor financiari asigură și el un grad înalt de asemănare și convergență în practicile de supraveghere. De asemenea, Autoritatea Europeană pentru Valori Mobiliare și Piețe are un rol direct de supraveghere pentru anumite entități, mai precis pentru agenții de rating de credit și registre centrale de tranzacții.

(13)

Riscul operațional reprezintă o parte esențială a reglementării și supravegherii prudențiale în sectoarele infrastructurilor bancare și ale pieței financiare. Acesta acoperă toate operațiunile, inclusiv securitatea, integritatea și reziliența rețelelor și a sistemelor informatice. Cerințele cu privire la aceste sisteme, care depășesc adesea cerințele prevăzute în temeiul prezentei directive, figurează în mai multe acte juridice ale Uniunii, inclusiv în normele privind accesul la activitatea instituțiilor de credit și supravegherea prudențială a instituțiilor de credit și a firmelor de investiții și în normele privind cerințele prudențiale pentru instituțiile de credit și firmele de investiții, care includ cerințe privind riscul operațional; norme privind piețele instrumentelor financiare, care includ cerințe privind evaluarea riscului pentru firmele de investiții și pentru piețele reglementate, dar și în normele privind instrumentele financiare derivate extrabursiere, contrapartidele centrale și registrele centrale de tranzacții, care includ cerințe privind riscul operațional pentru contrapartidele centrale și registrele centrale de tranzacții și în normele privind îmbunătățirea decontării titlurilor de valoare în Uniune și privind depozitarele centrale pentru instrumente financiare, care includ cerințe privind riscul operațional. În plus, cerințele de notificare a incidentelor fac parte din practica normală de supraveghere în sectorul financiar și sunt incluse adesea în manualele de supraveghere. Statele membre ar trebui să ia în considerare dispozițiile și cerințele respective atunci când aplică lex specialis.

(14)

După cum a remarcat Banca Centrală Europeană în avizul său din 25 iulie 2014 (6), prezenta directivă nu afectează regimul de supraveghere, în temeiul dreptului Uniunii, de către Eurosistem a sistemelor de plată și de decontare. Ar fi adecvat ca autoritățile responsabile pentru această supraveghere să facă schimb de experiență în aspecte legate de securitatea rețelelor și a sistemelor informatice cu autoritățile competente în temeiul prezentei directive. Aceeași considerație se aplică și membrilor Sistemului European al Băncilor Centrale care nu fac parte din zona euro, care exercită această supraveghere a sistemelor de plată și de decontare pe baza actelor legislative și de reglementare naționale.

(15)

O piață online ar trebui să permită consumatorilor și comercianților să încheie contracte de vânzări sau servicii online cu comercianții și reprezintă destinația finală pentru încheierea acestor contracte. Aceasta nu ar trebui să includă servicii online care folosesc doar ca intermediar pentru servicii prestate de o parte terță prin care în final se încheie un contract. Prin urmare, aceasta nu ar trebui să includă serviciile online care compară prețul anumitor produse sau servicii de la diferiți comercianți și reorientează apoi utilizatorul la comerciantul preferat pentru achiziționarea produsului. Serviciile de calcul oferite de piața online pot include tratarea tranzacțiilor, cumularea datelor sau profilarea utilizatorilor. Magazinele de aplicații, care funcționează ca magazine online, permițând distribuția digitală a aplicațiilor sau a programelor software de la părți terțe, urmează să fie înțelese ca un tip de piață online.

(16)

Un motor de căutare online permite utilizatorului să efectueze căutări în principiu pe toate site-urile internet pe baza unei interogații pe orice subiect. Alternativ, această căutare s-ar putea concentra pe site-uri internet într-o anumită limbă. Definiția unui motor de căutare online prevăzută de prezenta directivă nu ar trebui să cuprindă funcțiile de căutare limitate la conținutul unui anumit site internet, chiar și atunci când funcția de căutare este furnizată de un motor de căutare extern. De asemenea, aceasta nu ar trebui să acopere serviciile online care compară prețul anumitor produse sau servicii de la diferiți comercianți și reorientează apoi utilizatorul la comerciantul preferat pentru achiziționarea produsului.

(17)

Serviciile de cloud computing includ o gamă largă de activități care pot fi oferite în funcție de diferite modele. În sensul prezentei directive, „servicii de cloud computing” înseamnă servicii care permit accesul la un bazin redimensionabil și elastic de resurse informatice care pot fi puse în comun. Noțiunea „resurse informatice” include resurse precum rețelele, serverele sau alte infrastructuri, stocarea, aplicațiile și serviciile. Noțiunea de „redimensionabil” se referă la resursele informatice care se alocă flexibil de către furnizorul de servicii cloud, indiferent de poziția geografică a resurselor, pentru a administra fluctuațiile de cerere. Noțiunea „bazin elastic” descrie acele resurse informatice care sunt atribuite și transferate în funcție de cerere, pentru a înmulți și a reduce rapid resursele disponibile în conformitate cu necesarul de lucru. Sintagma „care pot fi puse în comun” descrie acele resurse informatice care sunt furnizate mai multor utilizatori care au acces comun la serviciu, dar tratamentul se efectuează separat pentru fiecare utilizator, deși serviciul este furnizat de același echipament electronic.

(18)

Funcția unui internet exchange point (IXP) este de a interconecta rețele. Un IXP nu oferă acces la rețea și nici nu acționează ca furnizor sau transportator de tranzit. De asemenea, un IXP nu furnizează nici alte servicii care nu au legătură cu interconectarea (deși aceasta nu împiedică un operator IXP să furnizeze și astfel de servicii). Un IXP există pentru a interconecta rețele separate din punct de vedere tehnic și organizațional. Noțiunea de „sistem autonom” se utilizează pentru a descrie o rețea care se autosusține din punct de vedere tehnic.

(19)

Statele membre ar trebui să fie responsabile pentru stabilirea entităților care îndeplinesc criteriile definiției operatorului de servicii esențiale. Pentru a se asigura o abordare uniformă, toate statele membre ar trebui să aplice în mod consistent definiția operatorului de servicii esențiale. În acest scop, prezenta directivă prevede evaluarea entităților active în sectoare și subsectoare specifice, instituirea unei liste de servicii esențiale, luarea în considerare a unei liste comune a factorilor transsectoriali care urmează să stabilească dacă un incident potențial ar avea un efect perturbator semnificativ, un proces de consultare care să implice statele membre relevante în cazul entităților care furnizează servicii în mai multe state membre și sprijinul grupului de cooperare în procesul de identificare. Pentru a asigura reflectarea corectă a posibilelor modificări în piață, statele membre ar trebui să revizuiască periodic lista operatorilor identificați și ar trebui să o actualizeze atunci când este necesar. În sfârșit, statele membre ar trebui să transmită Comisiei informațiile necesare pentru a evalua măsura în care această metodologie comună permite o aplicare coerentă a definiției de către statele membre.

(20)

În procesul de identificare a operatorilor de servicii esențiale, statele membre ar trebui să evalueze, cel puțin pentru fiecare subsector menționat în prezenta directivă, care dintre servicii trebuie să fie considerate drept esențiale pentru susținerea activităților societale și economice de cea mai mare importanță și să evalueze dacă entitățile enumerate în sectoarele și în subsectoarele menționate în prezenta directivă care furnizează serviciile respective îndeplinesc criteriile de identificare a operatorilor. Atunci când se evaluează dacă o entitate furnizează un serviciu esențial pentru susținerea activităților societale și economice de cea mai mare importanță, este suficient să se examineze dacă o anumită entitate furnizează un serviciu inclus pe lista serviciilor esențiale. În plus, ar trebui să se demonstreze că furnizarea unui serviciu esențial depinde de rețele și de sisteme informatice. În sfârșit, atunci când evaluează dacă un incident ar avea un efect perturbator semnificativ asupra furnizării serviciului, statele membre ar trebui să țină cont de mai mulți factori transsectoriali, precum și, după caz, de factorii sectoriali specifici.

(21)

Pentru identificarea operatorilor de servicii esențiale, instituirea într-un stat membru implică exercitarea efectivă și reală a activității prin acorduri stabile. Forma juridică a acestor acorduri, prin intermediul unei sucursale sau al unei filiale cu personalitate juridică, nu este factorul determinant în această privință.

(22)

Este posibil ca entitățile care operează în sectoarele și subsectoarele menționate în prezenta directivă să furnizeze atât servicii esențiale, cât și neesențiale. De exemplu, în sectorul transportului aerian, aeroporturile furnizează servicii care pot fi considerate de către un stat membru ca fiind esențiale, precum gestionarea pistelor de aterizare/decolare, dar și mai multe servicii care pot fi considerate neesențiale, precum furnizarea de spații comerciale. Operatorii de servicii esențiale ar trebui să facă obiectul unor cerințe de securitate specifice doar în legătură cu serviciile considerate esențiale. Pentru identificarea operatorilor, statele membre ar trebui, prin urmare, să stabilească o listă a serviciilor considerate drept esențiale.

(23)

Lista serviciilor ar trebui să conțină toate serviciile furnizate pe teritoriul unui anumit stat membru care îndeplinesc cerințele prevăzute de prezenta directivă. Statele membre ar trebui să fie capabile să includă noi servicii pe lista existentă. Lista serviciilor ar trebui să servească drept punct de referință statelor membre, permițând identificarea operatorilor de servicii esențiale. Scopul acesteia este de a identifica tipurile de servicii esențiale în orice sector dat menționat în prezenta directivă, distingându-le, astfel, de activitățile neesențiale de care ar putea fi răspunzătoare o entitate activă în orice sector determinat. Lista serviciilor instituită de fiecare stat membru ar servi drept informație suplimentară în evaluarea practicii de reglementare a fiecărui stat membru, în vederea asigurării nivelului general de coerență între statele membre al procesului de identificare.

(24)

În sensul procesului de identificare, atunci când o entitate furnizează un serviciu esențial în două sau mai multe state membre, statele membre respective ar trebui să intre în discuții bilaterale sau multilaterale unele cu altele. Acest proces de consultare este destinat să le ajute să evalueze importanța operatorului din punct de vedere al impactului transfrontalier și să permită fiecărui stat membru implicat să își exprime opiniile în privința riscurilor asociate serviciilor furnizate. Statele membre implicate ar trebui să țină cont de opiniile exprimate de fiecare dintre ele în cadrul acestui proces și ar trebui să poată solicita în această privință asistența grupului de cooperare.

(25)

Ca rezultat al procesului de identificare, statele membre ar trebui să adopte la nivel național măsuri prin care se stabilesc entitățile cărora le revin obligații referitoare la securitatea rețelelor și a sistemelor informatice. Acest rezultat ar putea fi obținut prin adoptarea unei liste care include toți operatorii de servicii esențiale sau prin adoptarea la nivel național a unor măsuri care includ criterii obiective cuantificabile (de exemplu, rezultatele operatorului sau numărul de utilizatori), care permit să se determine căror entități le revin obligații referitoare la securitatea rețelelor și a sistemelor informatice. Măsurile la nivel național deja existente sau cele adoptate în cadrul prezentei directive ar trebui să includă toate măsurile legislative, administrative și de politică permițând identificarea operatorilor de servicii esențiale în temeiul prezentei directive.

(26)

Pentru a indica importanța operatorilor de servicii esențiale identificați în raport cu sectorul în cauză, statele membre ar trebui să țină cont de numărul și de dimensiunea operatorilor respectivi, de exemplu în ceea ce privește cota de piață sau cantitatea produsă sau transportată, fără a fi obligate să divulge informații care ar dezvălui care operatori au fost identificați.

(27)

Pentru a stabili importanța efectului perturbator al unui incident asupra unui serviciu esențial, statele membre ar trebui să țină cont de o serie de diverși factori, ca de exemplu numărul utilizatorilor serviciului respectiv în scop privat sau profesional. Utilizarea serviciului respectiv poate fi directă, indirectă sau prin intermediere. La evaluarea impactului pe care l-ar putea avea respectivul incident, din punct de vedere al gradului și duratei acestuia, asupra activităților economice și societale sau a siguranței publice, statele membre ar trebui să evalueze și intervalul de timp probabil până când discontinuitatea ar începe să aibă un impact negativ.

(28)

Pentru a stabili dacă un incident ar putea avea un efect perturbator asupra furnizării unui serviciu, în afara factorilor transsectoriali, ar trebui să se ia în considerare și factori specifici fiecărui sector. În ceea ce privește furnizorii de energie, printre acești factori s-ar putea număra volumul sau proporția de energie generată la nivel național; pentru furnizorii de petrol, volumul zilnic; pentru transportul aerian, inclusiv aeroporturile și transportatorii aerieni, transportul feroviar și porturile maritime, volumul de trafic național și numărul de pasageri sau de operațiuni de transport de mărfuri pe an; pentru infrastructurile piețelor bancare sau financiare, importanța lor sistemică, pe baza activelor totale sau a raportului dintre activele totale respective și PIB; pentru sectorul sănătății, numărul anual de pacienți aflați în grija furnizorului; pentru producția, tratarea și furnizarea de apă, volumul și numărul și tipul de utilizatori incluzând, de exemplu, spitale, organizații de serviciu public sau persoane fizice, precum și existența surselor de apă alternative care să acopere aceeași zonă geografică.

(29)

Pentru a atinge și menține un nivel ridicat de securitate a rețelelor și a sistemelor informatice, fiecare stat membru ar trebui să aibă o strategie națională privind securitatea rețelelor și a sistemelor informatice, care să definească obiectivele strategice și acțiunile concrete de politică ce trebuie puse în aplicare.

(30)

Având în vedere diferențele dintre structurile naționale de guvernanță și pentru a salvgarda acordurile sectoriale sau organismele de supraveghere și de reglementare ale Uniunii deja existente și a evita suprapunerile, statele membre ar trebui să fie capabile să desemneze mai multe autorități naționale competente responsabile cu îndeplinirea atribuțiilor legate de securitatea rețelelor și a sistemelor informatice ale operatorilor de servicii esențiale și ale furnizorilor de servicii digitale în temeiul prezentei directive.

(31)

Pentru a facilita cooperarea și comunicarea transfrontalieră și pentru a permite aplicarea efectivă a prezentei directive, este necesar ca fiecare stat membru, fără a aduce atingere acordurilor de reglementare sectoriale, să desemneze un punct unic de contact la nivel național responsabil pentru coordonarea aspectelor legate de securitatea rețelelor și a sistemelor informatice și pentru cooperarea transfrontalieră la nivelul Uniunii. Ar trebui să se acorde autorităților competente și punctelor unice de contact resurse tehnice, financiare și umane adecvate pentru a se asigura posibilitatea acestora de a-și îndeplini efectiv și eficient atribuțiile și a realiza astfel obiectivele prezentei directive. Având în vedere că prezenta directivă vizează îmbunătățirea funcționării pieței interne prin consolidarea încrederii reciproce, este necesar ca organismele statelor membre să aibă posibilitatea de a coopera efectiv cu actorii economici și să fie structurate în consecință.

(32)

Autoritățile competente sau echipele de intervenție în caz de incidente de securitate informatică („CSIRT”) ar trebui să primească notificările incidentelor. Punctele unice de contact nu ar trebui să primească direct nicio notificare de incident, cu excepția cazului în care acționează și în calitate de autoritate competentă sau de CSIRT. Totuși, o autoritate competentă sau o CSIRT ar trebui să poată atribui punctului unic de contract responsabilitatea de a transmite notificările de incidente punctelor unice de contact ale altor state membre afectate.

(33)

Pentru a furniza efectiv informații statelor membre și Comisiei, punctul unic de contact ar trebui să transmită grupului de cooperare un raport de sinteză care ar trebui să fie anonimizat pentru a se păstra confidențialitatea notificărilor și identitatea operatorilor de servicii esențiale și a furnizorilor de servicii digitale, deoarece informațiile privind identitatea entităților care notifică nu sunt necesare pentru schimbul de bune practici în grupul de cooperare. Raportul de sinteză ar trebui să includă informații privind numărul de notificări primite, dar și să indice natura incidentelor notificate, precum tipurile de încălcări ale securității, gravitatea sau durata acestora.

(34)

Statele membre ar trebui să fie echipate în mod adecvat, din punct de vedere al capacității atât tehnice, cât și organizatorice, pentru a preveni, a detecta, a combate și a atenua incidentele și riscurile la care sunt supuse rețelele și sistemele informatice. Prin urmare, statele membre ar trebui să se asigure că dețin CSIRT care funcționează corespunzător, cunoscute și drept echipe de intervenție în caz de urgență informatică („CERT”), care respectă cerințele esențiale pentru a garanta existența capacităților eficace și compatibile care să administreze incidentele și riscurile și să asigure o cooperare eficientă la nivelul Uniunii. Pentru ca toate tipurile de operatori de servicii esențiale și furnizori de servicii digitale să beneficieze de pe urma acestor capacități și a acestei cooperări, statele membre ar trebui să se asigure că toate tipurile sunt acoperite de o CSIRT desemnată. Având în vedere importanța cooperării internaționale în privința securității cibernetice, CSIRT ar trebui să aibă posibilitatea să participe la rețele de cooperare internațională, în plus față de rețeaua CSIRT instituită prin prezenta directivă.

(35)

Deoarece majoritatea rețelelor și a sistemelor informatice au operatori privați, cooperarea dintre sectorul public și cel privat este esențială. Operatorii de servicii esențiale și furnizorii de servicii digitale ar trebui să fie încurajați să-și creeze propriile mecanisme de cooperare informală pentru asigurarea securității rețelelor și a sistemelor informatice. Grupul de cooperare ar trebui să aibă posibilitatea de a invita părți interesate relevante la discuții, după caz. Pentru a încuraja efectiv schimbul de informații și de bune practici, este esențial să se asigure că operatorii de servicii esențiale și furnizorii de servicii digitale care participă la aceste schimburi nu sunt dezavantajați ca urmare a cooperării lor.

(36)

ENISA ar trebui să asiste statele membre și Comisia, oferind experiență, asigurând consiliere și facilitând schimbul de bune practici. În special la aplicarea prezentei directive, Comisia ar trebui să consulte ENISA, iar statele membre ar trebui să poate să consulte ENISA, de asemenea. În vederea dezvoltării capacităților și a cunoștințelor statelor membre, grupul de cooperare ar trebui să slujească și drept instrument de schimb de bune practici, de discuție privind capacitățile și pregătirea statelor membre și, voluntar, să-i asiste pe membrii săi la evaluarea strategiilor naționale privind securitatea rețelelor și a sistemelor informatice, la consolidarea capacității și la exerciții de evaluare privind securitatea rețelelor și a sistemelor informatice.

(37)

După caz, statele membre ar trebui să poată utiliza sau adapta structurile organizatorice sau strategiile existente atunci când aplică prezenta directivă.

(38)

Atribuțiile grupului de cooperare, respectiv ale ENISA sunt interdependente și complementare. În general, ENISA ar trebui să ajute grupul de cooperare la îndeplinirea atribuțiilor sale, în conformitate cu obiectivul ENISA stabilit în Regulamentul (UE) nr. 526/2013 al Parlamentului European și al Consiliului (7), în special pentru a oferi asistență instituțiilor, organelor, oficiilor și agențiilor Uniunii și statelor membre la punerea în aplicare a politicilor necesare pentru îndeplinirea cerințelor legale și de reglementare referitoare la securitatea rețelelor și a sistemelor informatice în temeiul actelor juridice existente și viitoare ale Uniunii. În mod deosebit, ENISA ar trebui să ofere asistență în domeniile care corespund propriilor atribuții, astfel cum sunt stabilite în Regulamentul (UE) nr. 526/2013, mai precis analizarea strategiilor privind securitatea rețelelor și a sistemelor informatice, sprijinirea organizării și executării exercițiilor la nivelul Uniunii privind securitatea rețelelor și a sistemelor informatice și schimbul de informații și bune practici privind sensibilizarea și formarea. ENISA ar trebui să se implice, de asemenea, în dezvoltarea de orientări pentru criterii specifice fiecărui sector pentru stabilirea importanței impactului unui incident.

(39)

Pentru a promova un nivel avansat de securitate a rețelelor și a sistemelor informatice, grupul de cooperare ar trebui, după caz, să coopereze cu instituțiile, organele, oficiile și agențiile relevante ale Uniunii pentru a face schimb de cunoștințe de specialitate și de bune practici și pentru a oferi consiliere privind aspectele legate de securitatea rețelelor și a sistemelor informatice care ar putea avea un impact asupra activității acestora, respectând, în același timp, acordurile existente privind schimbul de informații cu circulație restrânsă. În cooperarea sa cu autoritățile de aplicare a legii, cu privire la aspectele de securitate a rețelelor și a sistemelor informatice care ar putea avea un impact asupra activității acestora, grupul de cooperare ar trebui să respecte canalele de informații și rețelele existente.

(40)

Informațiile privind incidentele sunt tot mai valoroase pentru publicul larg și pentru întreprinderi, în special pentru întreprinderile mici și mijlocii. În unele cazuri, aceste informații se furnizează deja prin site-uri internet la nivel național, în limba unei anumite țări și sunt orientate în special asupra incidentelor și evenimentelor cu dimensiune națională. Având în vedere că întreprinderile operează din ce în ce mai mult transfrontalier și că cetățenii utilizează servicii online, informațiile privind incidentele ar trebui să fie furnizate într-o formă agregată la nivelul Uniunii. Secretariatul rețelei CSIRT este încurajat să întrețină un site internet sau să găzduiască o pagină dedicată pe un site internet existent, în care să pună la dispoziția publicului larg informații generale privind incidente de securitate grave care afectează rețelele și sistemele informatice care se petrec în întreaga Uniune, cu accent specific pe interesele și necesitățile întreprinderilor. CSIRT participante la rețeaua CSIRT sunt încurajate să furnizeze voluntar informațiile care urmează să fie publicate pe site-ul internet respectiv, fără a se include informații confidențiale sau sensibile.

(41)

Dacă informațiile sunt considerate a fi confidențiale în conformitate cu normele Uniunii și cele naționale privind secretul comercial, această confidențialitate ar trebui să fie asigurată atunci când se efectuează activitățile și se îndeplinesc obiectivele stabilite de prezenta directivă.

(42)

Exercițiile prin care se simulează scenarii de incidente în timp real sunt esențiale pentru testarea pregătirii statelor membre și a cooperării dintre acestea în ceea ce privește securitatea rețelelor și a sistemelor informatice. Ciclul de exerciții CyberEurope, coordonat de ENISA cu participarea statelor membre, este un instrument util pentru testarea și elaborarea recomandărilor cu privire la modul în care ar trebui să se îmbunătățească în timp administrarea incidentelor la nivelul Uniunii. Ținând cont că în prezent statelor membre nu le revine nicio obligație de a planifica exerciții sau de a participa la acestea, crearea rețelei CSIRT în temeiul prezentei directive ar trebui să permită statelor membre să participe la exerciții pe baza unei planificări precise și a unor opțiuni strategice. Grupul de cooperare instituit în temeiul prezentei directive ar trebui să abordeze deciziile strategice privind exercițiile, în special, dar nu exclusiv, în ceea ce privește regularitatea exercițiilor și concepția scenariilor. În conformitate cu mandatul său, ENISA ar trebui să sprijine organizarea și executarea exercițiilor la nivelul UE, oferindu-și expertiza și consultanța grupului de cooperare și rețelei CSIRT.

(43)

Având în vedere dimensiunea mondială a problemelor de securitate care afectează rețelele și sistemele informatice, este nevoie de o cooperare internațională mai strânsă pentru a îmbunătăți standardele de securitate și schimbul de informații și pentru a promova o abordare internațională comună a aspectelor de securitate.

(44)

Responsabilitatea asigurării securității rețelelor și a sistemelor informatice revine în mare măsură operatorilor de servicii esențiale și furnizorilor de servicii digitale. Ar trebui să se promoveze și să se dezvolte prin cerințe adecvate de reglementare și practici voluntare sectoriale o cultură a gestionării riscurilor, care să implice evaluarea riscurilor și aplicarea unor măsuri de securitate adecvate riscurilor întâmpinate. Stabilirea unor condiții de concurență al căror caracter echitabil să prezinte încredere este și ea esențială pentru funcționarea eficace a grupului de cooperare și a rețelei CSIRT în scopul asigurării unei cooperări efective din partea tuturor statelor membre.

(45)

Prezenta directivă se aplică numai administrațiilor publice identificate drept operatori de servicii esențiale. Prin urmare, revine statelor membre responsabilitatea de a asigura securitatea rețelelor și a sistemelor informatice ale administrațiilor publice care nu intră în domeniul de aplicare al prezentei directive.

(46)

Măsurile de gestionare a riscurilor includ măsurile de identificare a oricăror riscuri de incidente, de prevenire, detectare și administrare a incidentelor și de diminuare a impactului acestora. Securitatea rețelelor și a sistemelor informatice include securitatea datelor stocate, transmise și prelucrate.

(47)

Autoritățile competente ar trebui să își păstreze capacitatea de a adopta orientări la nivel național privind circumstanțiale în care operatorii de servicii esențiale sunt obligați să notifice incidente.

(48)

Numeroase întreprinderi din Uniune se bazează, pentru furnizarea propriilor servicii, pe furnizori de servicii digitale. Ținând cont că unele servicii digitale ar putea reprezenta o resursă importantă pentru utilizatorii lor, inclusiv operatorii de servicii esențiale, și ținând cont că acești utilizatori s-ar putea să nu aibă întotdeauna la dispoziție alternative, prezenta directivă ar trebui să se aplice și furnizorilor de astfel de servicii. Securitatea, continuitatea și fiabilitatea tipului de servicii digitale menționat în prezenta directivă sunt esențiale pentru buna funcționare a multor întreprinderi. O perturbare a unui astfel de serviciu digital ar putea împiedica furnizarea altor servicii care se bazează pe acesta și ar putea, astfel, să aibă impact asupra unor activități economice și societale esențiale în Uniune. Aceste servicii digitale ar putea fi, prin urmare, de importanță esențială pentru buna funcționare a întreprinderilor care depind de ele și, mai mult, pentru participarea acestor întreprinderi la piața internă și la comerțul transfrontalier în întreaga Uniune. Furnizorii de servicii digitale care intră sub incidența prezentei directive sunt cei considerați că oferă servicii digitale pe care se bazează din ce în ce mai mult numeroase întreprinderi din Uniune.

(49)

Furnizorii de servicii digitale ar trebui să asigure un nivel de securitate proporțional cu gradul de risc prezentat pentru securitatea serviciilor digitale pe care le furnizează, ținând cont de importanța serviciilor lor pentru operațiunile altor întreprinderi din cadrul Uniunii. În practică, gradul de risc pentru operatorii de servicii esențiale, care sunt adesea de cea mai mare importanță pentru întreținerea unor activități societale și economice esențiale, este mai mare decât pentru furnizorii de servicii digitale. Prin urmare, cerințele de securitate pentru furnizorii de servicii digitale ar trebui să fie mai puțin stricte. Furnizorii de servicii digitale ar trebui să rămână liberi să adopte măsuri pe care le consideră adecvate pentru gestionarea riscurilor pentru securitatea rețelelor și sistemelor lor informatice. Ca urmare a naturii lor transfrontaliere, furnizorii de servicii digitale ar trebui să facă obiectul unei abordări mai armonizate la nivelul Uniunii. Actele de punere în aplicare ar trebui să faciliteze precizarea și aplicarea acestor măsuri.

(50)

Deși fabricanții de echipamente și creatorii de programe informatice nu sunt operatori de servicii esențiale și nici furnizori de servicii digitale, produsele lor ameliorează securitatea rețelelor și a sistemelor informatice. Prin urmare, acestora le revine un rol important în a permite operatorilor de servicii esențiale și furnizorilor de servicii digitale să asigure securitatea rețelelor și a sistemelor lor informatice. Aceste echipamente și programe informatice fac deja obiectul normelor existente în materie de răspundere pentru produsele cu defect.

(51)

Măsurile tehnice și organizatorice impuse operatorilor de servicii esențiale și furnizorilor de servicii digitale nu ar trebui să implice proiectarea, dezvoltarea sau fabricarea într-un anumit mod a unui anumit produs comercial al tehnologiei informației și comunicațiilor.

(52)

Operatorii de servicii esențiale și furnizorii de servicii digitale ar trebui să asigure securitatea rețelelor și a sistemelor informatice pe care le utilizează. Acestea sunt în principal rețele și sisteme informatice private, gestionarea securității lor fiind efectuată de către personalul IT intern sau externalizată. Cerințele în materie de securitate și de notificare ar trebui să se aplice operatorilor de servicii esențiale și furnizorilor de servicii digitale relevanți, indiferent dacă aceștia asigură ei înșiși întreținerea propriilor rețele și sisteme informatice sau externalizează această activitate.

(53)

Pentru a evita impunerea unei sarcini financiare și administrative disproporționate asupra operatorilor de servicii esențiale și a furnizorilor de servicii digitale, cerințele ar trebui să fie proporționale cu riscurile la care este expusă rețeaua și sistemul informatic în cauză, ținând seama de cea mai avansată tehnologie corespunzătoare unor astfel de măsuri. În cazul furnizorilor de servicii digitale, aceste cerințe nu ar trebui să se aplice microîntreprinderilor și întreprinderilor mici.

(54)

În cazul în care folosesc servicii oferite de furnizorii de servicii digitale, în special servicii de cloud computing, administrațiile publice din statele membre ar putea dori să solicite furnizorilor acestor servicii măsuri de securitate suplimentare față de cele pe care le-ar oferi în mod normal furnizorii de servicii digitale în conformitate cu cerințele prezentei directive. Administrațiile ar trebui să poată include aceste solicitări în cadrul obligațiilor contractuale.

(55)

Definițiile piețelor online, motoarelor de căutare online și serviciilor de cloud computing din prezenta directivă servesc obiectivelor specifice ale prezentei directive și nu aduc atingere altor instrumente.

(56)

Prezenta directivă nu ar trebui să împiedice statele membre să adopte măsuri la nivel național prin care să impună organismelor din sectorul public să asigure cerințe specifice de securitate atunci când contractează servicii de cloud computing. Orice astfel de măsuri la nivel național ar trebui să se aplice organismului din sectorul public și nu furnizorului de servicii de cloud computing.

(57)

Ținând cont de diferențele fundamentale dintre operatorii de servicii esențiale, în special de legătura lor directă cu infrastructura fizică, și furnizorii de servicii digitale, în special natura transfrontalieră a acestora, prezenta directivă ar trebui să adopte o abordare diferențiată în legătură cu nivelul de armonizare în legătură cu aceste două grupuri de entități. Pentru operatorii de servicii esențiale, statele membre ar trebui să fie capabile să identifice operatorii relevanți și să impună cerințe mai stricte decât cele prevăzute de prezenta directivă. Statele membre nu ar trebui să identifice furnizorii de servicii digitale, deoarece prezenta directivă ar trebui să se aplice tuturor furnizorilor de servicii digitale din domeniul său de aplicare. În plus, prezenta directivă și actele de punere în aplicare adoptate în temeiul ei ar trebui să asigure un nivel ridicat de armonizare pentru furnizorii de servicii digitale în ceea ce privește cerințele de securitate și de notificare. Aceasta ar trebui să permită un tratament uniform al furnizorilor de servicii digitale în întreaga Uniune, proporțional cu natura acestora și cu gradul de risc cu care aceștia s-ar putea confrunta.

(58)

Prezenta directivă nu ar trebui să împiedice statele membre să impună cerințe de securitate și de notificare entităților care nu sunt furnizori de servicii digitale în domeniul de aplicare al prezentei directive, fără a aduce atingere obligațiilor statelor membre în temeiul dreptului Uniunii.

(59)

Autoritățile competente ar trebui să acorde atenția cuvenită menținerii unor canale informale și sigure pentru schimbul de informații. Anunțarea publică a incidentelor raportate autorităților competente ar trebui să găsească echilibrul cuvenit între interesul publicului de a fi informat cu privire la amenințări și eventualele daune comerciale sau de reputație pe care le pot suferi operatorii de servicii esențiale și furnizorii de servicii digitale care raportează incidente. Atunci când sunt puse în aplicare obligațiile de notificare, autoritățile competente și CSIRT ar trebui să acorde o atenție deosebită necesității de a păstra stricta confidențialitate a informațiilor despre vulnerabilitățile unui produs înainte de apariția unor soluții de securitate adecvate.

(60)

Furnizorii de servicii digitale ar trebui să facă obiectul unor activități de supraveghere ex post lejere și bazate pe reacție, justificate de natura serviciilor și a operațiunilor lor. Prin urmare, respectiva autoritate competentă ar trebui să acționeze doar atunci când i se prezintă dovezi (de exemplu, chiar de către furnizorul de servicii digitale, de către o altă autoritate competentă, inclusiv o autoritate competentă a unui alt stat membru, sau de către un utilizator al serviciului) conform cărora furnizorul de servicii digitale nu se conformează cerințelor prezentei directive, în special în urma unui incident care a avut loc. Prin urmare, autorității competente nu ar trebui să-i revină nicio obligație generală de a supraveghea furnizorii de servicii digitale.

(61)

Autoritățile competente ar trebui să dețină mijloacele necesare pentru a-și îndeplini atribuțiile, inclusiv competențele de a obține suficiente informații pentru a evalua nivelul securității rețelelor și a sistemelor informatice.

(62)

Incidentele pot fi rezultatul activităților criminale, a căror prevenire, anchetare și urmărire penală este sprijinită prin coordonarea și cooperarea dintre operatorii de servicii esențiale, furnizorii de servicii digitale, autoritățile competente și autoritățile de aplicare a legii. În cazul în care un incident este suspectat că ar fi legat de activități criminale grave în temeiul dreptului Uniunii sau al dreptului intern, statele membre ar trebui să încurajeze operatorii de servicii esențiale și furnizorii de servicii digitale să raporteze autorităților de aplicare a legii incidentele suspecte de a fi de natură criminală gravă. După caz, este de dorit ca Centrul European de combatere a criminalității informatice (EC3) și ENISA să faciliteze coordonarea dintre autoritățile competente și autoritățile de aplicare a legii ale diferitelor state membre.

(63)

În multe cazuri, datele cu caracter personal sunt compromise în urma unor incidente. În acest context, autoritățile competente și autoritățile de protecție a datelor ar trebui să coopereze și să facă schimb de informații cu privire la toate aspectele relevante pentru abordarea oricăror cazuri de încălcare a securității datelor cu caracter personal în urma unor incidente.

(64)

Jurisdicția cu privire la furnizorii de servicii digitale ar trebui să fie atribuită statului membru în care furnizorul de servicii digitale își are sediul principal în Uniune, care, în principiu, corespunde locului în care furnizorul își are sediul social în Uniune. Stabilirea implică exercitarea efectivă și reală a activității în cadrul unor acorduri stabile. Forma juridică a acestor acorduri, prin intermediul unei sucursale sau al unei filiale cu personalitate juridică, nu este factorul determinant în această privință. Acest criteriu nu ar trebui să depindă de situarea fizică sau nu a rețelei și a sistemelor informatice în locul respectiv, prezența și utilizarea acestor sisteme neconstituind, prin ele însele, acest sediu principal și, prin urmare, nu este un criteriu de determinare a sediului principal.

(65)

În cazul în care un furnizor de servicii digitale care nu este stabilit în Uniune oferă servicii în cadrul Uniunii, acesta ar trebui să desemneze un reprezentant. Pentru a determina dacă un astfel de furnizor de servicii digitale oferă servicii în cadrul Uniunii, ar trebui să se confirme că furnizorul de servicii digitale intenționează să ofere servicii persoanelor din unul sau mai multe state membre. Simpla accesibilitate în Uniune a unui site internet al furnizorului de servicii digitale sau al unui intermediar sau disponibilitatea unei adrese de e-mail și a altor date de contact, sau utilizarea unei limbi folosite în general în țara terță în care furnizorul de servicii digitale își are sediul, sunt insuficiente pentru a se confirma o astfel de intenție. Cu toate acestea, factori precum utilizarea unei limbi sau a unei monede utilizate în general în unul sau mai multe state membre cu posibilitatea de a comanda servicii în respectiva limbă sau menționarea unor clienți sau utilizatori din Uniune pot conduce la concluzia că furnizorul de servicii digitale intenționează să ofere servicii în Uniune. Reprezentantul ar trebui să acționeze în numele furnizorului de servicii digitale, iar autoritățile competente sau CSIRT ar trebui să poată contacta reprezentantul. Reprezentantul ar trebui să fie desemnat explicit printr-un mandat scris al furnizorului de servicii digitale să acționeze în numele acestuia în privința obligațiilor care îi revin acestuia în temeiul prezentei directive, inclusiv raportarea incidentelor.

(66)

Standardizarea cerințelor de securitate este un proces impulsionat de piață. Pentru a asigura o aplicare convergentă a standardelor de securitate, statele membre ar trebui să încurajeze respectarea standardelor indicate sau conformitatea cu acestea, în vederea garantării unui nivel ridicat de securitate al rețelelor și sistemelor informatice la nivelul Uniunii. ENISA ar trebui să asiste statele membre prin consiliere și orientări. În acest sens, ar putea fi util să se redacteze standarde armonizate în conformitate cu Regulamentul (UE) nr. 1025/2012 al Parlamentului European și al Consiliului (8).

(67)

Entitățile care nu intră în domeniul de aplicare al prezentei directive pot suferi incidente care au un impact semnificativ asupra serviciilor pe care le furnizează. Atunci când consideră că este de interes public să notifice apariția acestor incidente, entitățile respective ar trebui să aibă posibilitatea să facă acest lucru voluntar. Aceste notificări ar trebui să fie tratate de autoritățile competente sau CSIRT în cazul în care aceasta nu constituie o sarcină disproporționată sau neavenită asupra statului membru în cauză.

(68)

În vederea asigurării unor condiții uniforme de punere în aplicare a prezentei directive, ar trebui să se confere Comisiei competențe de executare de a stabili acordurile procedurale necesare pentru funcționarea grupului de cooperare și cerințele privind securitatea și notificarea aplicabile furnizorilor de servicii digitale. Respectivele competențe ar trebui exercitate în conformitate cu Regulamentul (UE) nr. 182/2011 al Parlamentului European și al Consiliului (9). La adoptarea actelor de punere în aplicare legate de acordurile procedurale necesare pentru funcționarea grupului de cooperare, Comisia ar trebui să țină cont în cea mai mare măsură de avizul ENISA.

(69)

La adoptarea de acte de punere în aplicare privind cerințele de securitate pentru furnizorii de servicii digitale, Comisia ar trebui să țină cont în cea mai mare măsură de avizul ENISA și ar trebui să consulte părțile interesate care se manifestă. De asemenea, Comisia este încurajată să țină cont de următoarele exemple: în ceea ce privește securitatea sistemelor și a instalațiilor: securitatea fizică și a mediului, securitatea aprovizionării, controlul accesului la rețea și la sistemele informatice și integritatea rețelelor și a sistemelor informatice; în ceea ce privește gestionarea incidentelor: proceduri de gestionare a incidentelor, capacitate de detectare a incidentelor, raportare a incidentelor și comunicare; în ceea ce privește gestionarea continuității activității: strategie de continuitate a activității și planuri de urgență, capacități de redresare în caz de dezastru; și, în ceea ce privește monitorizarea, auditarea și testarea: politici de monitorizare și înregistrare, planuri de urgență de exercițiu, testarea rețelelor și a sistemelor informatice, evaluări de securitate și monitorizarea conformității.

(70)

În punerea în aplicare a prezentei directive, Comisia ar trebui să colaboreze, după caz, cu comitetele sectoriale relevante și cu organismele relevante instituite la nivelul Uniunii în domeniile reglementate de prezenta directivă.

(71)

Comisia ar trebui să revizuiască periodic prezenta directivă, consultându-se cu părțile interesate, în special pentru a stabili dacă este necesară efectuarea unor modificări ca urmare a evoluției condițiilor societale, politice, tehnologice sau de piață.

(72)

Schimbul de informații cu privire la riscuri și incidente desfășurat în cadrul grupului de cooperare și al rețelei CSIRT, precum și îndeplinirea cerințelor de notificare a incidentelor către autoritățile naționale competente sau CSIRT ar putea necesita prelucrarea datelor cu caracter personal. Prelucrarea acestora ar trebui să se conformeze Directivei 95/46/CE a Parlamentului European și a Consiliului (10) și Regulamentului (CE) nr. 45/2001 al Parlamentului European și al Consiliului (11). În aplicarea prezentei directive, ar trebui să se aplice Regulamentul (CE) nr. 1049/2001 al Parlamentului European și al Consiliului (12).

(73)

Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 28 alineatul (2) din Regulamentul (CE) nr. 45/2001 și a emis un aviz la 14 iunie 2013 (13).

(74)

Deoarece obiectivul prezentei directive, și anume obținerea unui nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniune, nu poate fi realizat în măsură suficientă de către statele membre ci, datorită efectelor acțiunii, poate fi realizat mai bine la nivelul Uniunii, Uniunea poate adopta măsuri în conformitate cu principiul subsidiarității stabilit la articolul 5 din Tratatul privind Uniunea Europeană. În conformitate cu principiul proporționalității prevăzut la articolul respectiv, prezenta directivă nu depășește ceea ce este necesar pentru atingerea obiectivului respectiv.

(75)

Prezenta directivă respectă drepturile fundamentale și principiile recunoscute de Carta drepturilor fundamentale a Uniunii Europene, în special dreptul la respectarea vieții private și a secretului comunicațiilor, dreptul la protecția datelor cu caracter personal, libertatea de a desfășura o activitate comercială, dreptul de proprietate, dreptul la o cale de atac eficientă în fața unei instanțe judecătorești și dreptul de a fi ascultat. Prezenta directivă ar trebui să fie pusă în aplicare în conformitate cu drepturile și principiile menționate,

(a)

stabilește pentru toate statele membre obligația de a adopta o strategie națională privind securitatea rețelelor și a sistemelor informatice;

(b)

creează un grup de cooperare pentru a sprijini și facilita cooperarea strategică și schimbul de informații între statele membre și pentru a dezvolta încrederea între acestea;

(c)

creează o rețea a echipelor de intervenție în caz de incidente de securitate informatică („rețeaua CSIRT”) pentru a contribui la dezvoltarea încrederii între statele membre și pentru a promova cooperarea operațională rapidă și eficace;

(d)

stabilește cerințe de securitate și notificare pentru operatorii de servicii esențiale și pentru furnizorii de servicii digitale;

(e)

stabilește pentru statele membre obligații de desemnare a autorităților competente la nivel național, a punctelor unice de contact și a CSIRT cu atribuții legate de securitatea rețelelor și a sistemelor informatice.

1.

„rețea și sistem informatic” înseamnă:

2.

„securitatea rețelelor și a sistemelor informatice” înseamnă capacitatea unei rețele și a unui sistem informatic de a rezista, la un nivel de încredere dat, oricărei acțiuni care compromite disponibilitatea, autenticitatea, integritatea sau confidențialitatea datelor stocate sau transmise sau prelucrate ori a serviciilor conexe oferite de rețeaua sau de sistemele informatice respective sau accesibile prin intermediul acestora;

3.

„strategie națională privind securitatea rețelelor și a sistemelor informatice” înseamnă un cadru care furnizează obiective și priorități strategice privind securitatea rețelelor și a sistemelor informatice la nivel național;

4.

„operator de servicii esențiale” înseamnă o entitate publică sau privată de tipul menționat în anexa II care îndeplinește criteriile prevăzute la articolul 5 alineatul (2);

5.

„serviciu digital” înseamnă un serviciu în sensul articolului 1 alineatul (1) litera (b) din Directiva (UE) 2015/1535 a Parlamentului European și a Consiliului (17) care este de un tip enumerat în anexa III;

6.

„furnizor de servicii digitale” înseamnă orice persoană juridică care furnizează un serviciu digital;

7.

„incident” înseamnă orice eveniment care are un efect real negativ asupra securității rețelelor și a sistemelor informatice;

8.

„administrarea incidentului” înseamnă toate procedurile utilizate pentru detectarea, analiza și limitarea unui incident și răspunsul la acesta;

9.

„risc” înseamnă orice circumstanță sau eveniment ce poate fi identificat în mod rezonabil care are un efect potențial negativ asupra securității rețelelor și a sistemelor informatice;

10.

„reprezentant” înseamnă orice persoană fizică sau juridică stabilită în Uniune desemnată explicit să acționeze în numele unui furnizor de servicii digitale nestabilit în Uniune, căreia i se poate adresa autoritatea competentă națională sau CSIRT în locul furnizorului de servicii digitale în ceea ce privește obligațiile furnizorului de servicii digitale în temeiul prezentei directive;

11.

„standard” înseamnă un standard în sensul articolului 2 punctul 1 din Regulamentul (UE) nr. 1025/2012;

12.

„specificație” înseamnă o specificație tehnică în sensul articolului 2 punctul 4 din Regulamentul (UE) nr. 1025/2012;

13.

„internet exchange point (IXP)” înseamnă o facilitate a rețelei care permite interconectarea a mai mult de două sisteme autonome independente, în special în scopul facilitării schimbului de trafic de internet; un IXP furnizează interconectare doar pentru sisteme autonome; un IXP nu necesită trecerea printr-un al treilea sistem autonom a traficului de internet dintre orice pereche de sisteme autonome participante și nici nu modifică sau interacționează într-un alt mod cu acest trafic;

14.

„domain name system (DNS)” înseamnă un sistem de atribuire de nume distribuite ierarhic într-o rețea în care se efectuează căutări de nume de domenii;

15.

„furnizor de servicii DNS” înseamnă o entitate care furnizează servicii DNS pe internet;

16.

„registru de nume de domenii Top-level” înseamnă o entitate care administrează și operează înregistrarea de nume de domenii de internet într-un domeniu Top-level (TLD) specific;

17.

„piață online” înseamnă un serviciu digital care permite consumatorilor și/sau comercianților, astfel cum sunt definiți la articolul 4 alineatul (1) litera (a) și, respectiv, la articolul 4 alineatul (1) litera (b) din Directiva 2013/11/UE a Parlamentului European și a Consiliului (18), să încheie online vânzări sau contracte de servicii cu comercianți fie pe site-ul internet al pieței online, fie pe site-ul internet al unui comerciant care utilizează servicii informatice furnizate de piața online;

18.

„motor de căutare online” înseamnă un serviciu digital care permite utilizatorilor să caute, în principiu, în toate site-urile internet sau site-urile internet într-o anumită limbă pe baza unei interogații privind orice subiect sub forma unui cuvânt, a unei fraze sau a unei alte informații-cheie și care revine cu linkuri în care se pot găsi informații legate de conținutul căutat;

19.

„serviciu de cloud computing” înseamnă un serviciu digital care permite accesul la un bazin redimensionabil și elastic de resurse informatice care pot fi puse în comun.

(a)

o entitate furnizează un serviciu esențial pentru susținerea activităților societale și/sau economice de cea mai mare importanță;

(b)

furnizarea serviciului respectiv depinde de rețea și de sistemele informatice; și

(c)

un incident ar avea efecte perturbatoare semnificative asupra furnizării serviciului.

(a)

măsuri naționale care permit identificarea operatorilor de servicii esențiale;

(b)

lista serviciilor menționate la alineatul (3);

(c)

numărul operatorilor de servicii esențiale identificați pentru fiecare sector menționat în anexa II și o indicație a importanței lor în legătură cu sectorul respectiv;

(d)

limite, atunci când acestea există, pentru determinarea nivelului relevant de furnizare, în raport cu numărul de utilizatori care se bazează pe serviciul respectiv astfel cum se prevede la articolul 6 alineatul (1) litera (a) sau cu importanța operatorului de servicii esențiale respectiv astfel cum se prevede la articolul 6 alineatul (1) litera (f).

(a)

numărul de utilizatori care se bazează pe serviciul furnizat de entitatea în cauză;

(b)

dependența altor sectoare menționate în anexa II de serviciul furnizat de entitatea în cauză;

(c)

impactul pe care l-ar putea avea incidentele, în ceea ce privește intensitatea și durata, asupra activităților economice și societale sau asupra siguranței publice;

(d)

cota de piață a entității în cauză;

(e)

distribuția geografică în ceea ce privește zona care ar putea fi afectată de un incident;

(f)

importanța entității pentru menținerea unui nivel suficient al serviciului, ținând cont de disponibilitatea unor mijloace alternative pentru furnizarea serviciului respectiv.

(a)

obiectivele și prioritățile strategiei naționale privind securitatea rețelelor și a sistemelor informatice;

(b)

un cadru de guvernanță pentru realizarea obiectivelor și a priorităților strategiei naționale privind securitatea rețelelor și a sistemelor informatice, care să includă rolurile și responsabilitățile organismelor guvernamentale și ale altor actori relevanți;

(c)

identificarea măsurilor referitoare la gradul de pregătire, răspuns și redresare, inclusiv cooperarea dintre sectorul public și cel privat;

(d)

indicarea programelor de instruire, sensibilizare și formare legate de strategia națională privind securitatea rețelelor și a sistemelor informatice;

(e)

indicarea planurilor de cercetare și dezvoltare legate de strategia națională privind securitatea rețelelor și a sistemelor informatice;

(f)

un plan de evaluare a riscurilor pentru identificarea riscurilor;

(g)

o listă a diferiților actori implicați în punerea în aplicare a strategiei naționale privind securitatea rețelelor și a sistemelor informatice.

(a)

furnizează orientări strategice pentru activitățile rețelei CSIRT stabilite în temeiul articolului 12;

(b)

participă la schimbul de bune practici privind schimbul de informații legate de notificarea incidentelor menționată la articolul 14 alineatele (3) și (5) și la articolul 16 alineatele (3) și (6);

(c)

participă la schimbul de bune practici între statele membre și, în colaborare cu ENISA, asistă statele membre la consolidarea capacității în securitatea rețelelor și a sistemelor informatice;

(d)

discută despre capacitățile și nivelul de pregătire ale statelor membre și, pe bază de voluntariat, evaluează strategiile naționale privind securitatea rețelelor și a sistemelor informatice și eficacitatea echipelor CSIRT și identifică cele mai bune practici;

(e)

participă la schimbul de informații și de bune practici privind sensibilizarea și formarea;

(f)

participă la schimbul de informații și de bune practici privind cercetarea și dezvoltarea legate de securitatea rețelelor și a sistemelor informatice;

(g)

după caz, participă la schimbul de experiență privind aspecte legate de securitatea rețelelor și a sistemelor informatice cu instituții, organe, oficii și agenții relevante ale Uniunii;

(h)

discută standardele și specificațiile menționate la articolul 19 cu reprezentanți ai organizațiilor de standardizare europene relevante;

(i)

colectează informații referitoare la bunele practici privind riscurile și incidentele;

(j)

examinează anual rapoartele de sinteză menționate la articolul 10 alineatul (3) al doilea paragraf;

(k)

discută despre lucrările efectuate în legătură cu exercițiile privind securitatea rețelelor și a sistemelor informatice, programele educative și formarea, inclusiv lucrările ENISA;

(l)

cu asistența ENISA, participă la schimbul de bune practici privind identificarea operatorilor de servicii esențiale de către statele membre, inclusiv în legătură cu dependența transfrontalieră legată de riscuri și incidente de securitate;

(m)

discută modalități de raportare a notificărilor de incidente menționate la articolele 14 și 16.

(a)

participă la schimbul de informații privind serviciile, operațiunile și capacitățile de cooperare ale echipelor CSIRT;

(b)

la cererea reprezentantului unei echipe CSIRT a unui stat membru potențial afectat de un incident, schimbă și discută informații sensibile fără caracter comercial legate de incidentul respectiv și de riscurile asociate; cu toate acestea, orice echipă CSIRT a unui stat membru poate refuza să contribuie la discuția respectivă dacă există riscul de a se prejudicia anchetarea incidentului;

(c)

participă la schimbul de informații și pune la dispoziție în mod voluntar informații fără caracter confidențial privind incidente individuale;

(d)

la cererea reprezentantului unei echipe CSIRT dintr-un stat membru, discută și, după caz, identifică un răspuns coordonat la un incident care a fost identificat în jurisdicția respectivului stat membru;

(e)

acordă statelor membre sprijin în abordarea incidentelor transfrontaliere pe baza asistenței reciproce voluntare a acestora;

(f)

discută, explorează și identifică noi forme de cooperare operațională, inclusiv în legătură cu:

(g)

informează grupul de cooperare cu privire la activitățile sale și cu privire la noi forme de cooperare operațională discutate în conformitate cu litera (f) și solicită orientări aferente acestora;

(h)

discută lecțiile învățate din exercițiile care privesc securitatea rețelelor și sistemelor informatice, inclusiv din cele organizate de ENISA;

(i)

la cererea unei anumite echipe CSIRT, discută despre capacitățile și nivelul de pregătire al aceleiași echipe CSIRT;

(j)

emite orientări pentru a facilita convergența practicilor operaționale în ceea ce privește aplicarea dispozițiilor prezentului articol privind cooperarea operațională.

(a)

numărul de utilizatori afectați de perturbarea serviciului esențial;

(b)

durata incidentului;

(c)

distribuția geografică în ceea ce privește zona afectată de incident.

(a)

informațiile necesare pentru evaluarea securității rețelelor și a sistemelor lor informatice, inclusiv politicile de securitate documentate;

(b)

dovezi privind punerea efectivă în aplicare a politicilor de securitate, precum rezultatele unui audit de securitate realizat de autoritatea competentă sau de un auditor calificat și, în acest din urmă caz, să pună la dispoziția autorității competente rezultatele auditului, inclusiv probele pe care se bazează acesta.

(a)

securitatea sistemelor și a instalațiilor;

(b)

gestionarea incidentelor;

(c)

gestionarea continuității activității;

(d)

monitorizarea, auditarea și testarea;

(e)

conformitatea cu standardele internaționale.

(a)

numărul de utilizatori afectați de incident, în special utilizatori care se bazează pe serviciu pentru furnizarea propriilor servicii;

(b)

durata incidentului;

(c)

distribuția geografică în ceea ce privește zona afectată de incident;

(d)

amploarea perturbării funcționării serviciului;

(e)

amploarea impactului asupra activităților economice și societale.

(a)

să furnizeze informațiile necesare pentru evaluarea securității rețelelor și a sistemelor lor informatice, inclusiv politicile de securitate documentate;

(b)

să remedieze orice neîndeplinire a cerințelor specificate la articolul 16.