Член 1

Предмет и обхват

1.С настоящата директива се установяват мерки с цел постигане на високо общо ниво на сигурност на мрежите и информационните системи в Съюза, така че да се подобри функционирането на вътрешния пазар.

2.За тази цел с настоящата директива:

а) се предвиждат задължения за всички държави членки да приемат национална стратегия относно сигурността на мрежите и информационните системи;

б) се създава група за сътрудничество с цел подкрепа и улесняване на стратегическото сътрудничество и обмен на информация между държавите членки и изграждане на доверие сред тях;

в) се създава мрежа на екипите за реагиране при инциденти с компютърната сигурност (наричана по-долу „мрежата на ЕРИКС“) с цел да се способства за изграждане на доверие между държавите членки и да се насърчи бързото и ефективно оперативно сътрудничество;

г) се установяват изискванията за сигурност и уведомяване за операторите на основни услуги и за доставчиците на цифрови услуги;

д) се предвиждат задълженията на държавите членки да определят националните компетентни органи, единните звена за контакт и ЕРИКС със задачи, свързани със сигурността на мрежите и информационните системи.

3.Изискванията за сигурност и уведомяване, предвидени в настоящата директива, не се прилагат нито за предприятията, за които се прилагат изискванията по членове 13а и 13б от Директива 2002/21/ЕО, нито за доставчиците на удостоверителни услуги, за които се прилагат изискванията по член 19 от Регламент (ЕС) № 910/2014.

4.Настоящата директива се прилага, без да се засягат Директива 2008/114/ЕО на Съвета (14) и директиви 2011/93/ЕС (15) и 2013/40/ЕС (16) на Европейския парламент и на Съвета.

5.Без да се засяга член 346 ДФЕС, информацията, която е поверителна съгласно правилата на Съюза и националните правила, например правилата за търговската тайна, се обменят с Комисията и други съответни органи само когато този обмен е необходим за прилагането на настоящата директива. Обменяната информация е ограничена до информацията, която има значение за целите на този обмен и която е пропорционална на тези цели. При този обмен на информация се запазва поверителността на информацията, както и сигурността и търговските интереси на операторите на основни услуги и доставчиците на цифрови услуги.

6.Настоящата директива не засяга действията, предприети от държавите членки за защита на техните основни държавнически функции, по-специално за защита на националната сигурност, включително действия за защита на информацията, разкриването на която държавите членки считат за противоречащо на основните интереси на своята сигурност, и за поддържане на законността и реда, по-специално да се осигури възможност за разследване, разкриване и наказателно преследване на престъпления.

7.Когато в правен акт на Съюза, който е специален за конкретен сектор, е предвидено операторите на основни услуги или доставчиците на цифрови услуги да гарантират сигурността на своите мрежи и информационни системи или да уведомяват за инциденти, се прилагат разпоредбите на специалния за сектора правен акт на Съюза, при условие че изискванията са най-малкото равностойни като резултат на задълженията, предвидени в настоящата директива.

Член 2

Обработване на личните данни

1.Съгласно настоящата директива личните данни се обработват в съответствие с Директива 95/46/ЕО.

2.Обработването на лични данни от институции и органи на Съюза съгласно настоящата директива се извършва в съответствие с Регламент (ЕО) № 45/2001.

Член 3

Минимална хармонизация

Без да се засягат член 16, параграф 10 и задълженията на държавите членки съгласно правото на Съюза, държавите членки могат да приемат или запазват разпоредби с оглед постигането на по-високо ниво на сигурност на мрежите и информационните системи.

Член 4

Определения

За целите на настоящата директива се прилагат следните определения:

1) „мрежа и информационна система“ означава:

а) електронна съобщителна мрежа по смисъла на член 2, буква а) от Директива 2002/21/ЕО;

б) всяко устройство или всяка група взаимосвързани или имащи връзка помежду си устройства, едно или няколко от които по програма обработва автоматично цифрови данни; или

в) цифрови данни, съхранявани, обработвани, извличани или пренасяни от елементи, обхванати от букви а) и б), с цел обработване, използване, защита и поддръжка;

2) „сигурност на мрежите и информационните системи“ означава способността на мрежите и информационните системи да издържат — при дадено равнище на увереност — на действия, засягащи отрицателно наличието, истинността, целостта или поверителността на съхранявани, пренасяни или обработвани данни или на свързаните с тях услуги, предлагани от тези мрежи и информационни системи или достъпни чрез тях;

3) „национална стратегия относно сигурността на мрежите и информационните системи“ означава рамка, включваща стратегически цели и приоритети в областта на сигурността на мрежите и информационните системи на национално равнище;

4) „оператор на основни услуги“ означава публичен или частен субект от посочените в приложение II категории, който отговаря на критериите, определени в член 5, параграф 2;

5) „цифрова услуга“ означава услуга по смисъла на член 1, параграф 1, буква б) от Директива (ЕС) № 2015/1535 на Европейския парламент и на Съвета (17) от категориите, изброени в приложение III;

6) „доставчик на цифрови услуги“ означава юридическо лице, предоставящо цифрова услуга;

7) „инцидент“ означава събитие, което има реално неблагоприятно въздействие върху сигурността на мрежите и информационните системи;

8) „действия при инцидент“ означава всички процедури, подпомагащи установяването, анализа и ограничаването на инцидент и реагирането на такъв инцидент;

9) „риск“ означава разумно установимо обстоятелство или събитие, което може да има неблагоприятно въздействие върху сигурността на мрежите и информационните системи;

10) „представител“ означава физическо или юридическо лице, установено в Съюза, което е изрично определено да действа от името на доставчик на цифрови услуги, който не е установен в Съюза, и към което националните компетентен орган или ЕРИКС може да се обърне вместо към доставчика на цифрови услуги във връзка със задълженията на доставчика на цифрови услуги по настоящата директива;

11) „стандарт“ означава стандарт по смисъла на член 2, точка 1 от Регламент (ЕС) № 1025/2012;

12) „спецификация“ означава техническа спецификация по смисъла на член 2, точка 4 от Регламент (ЕС) № 1025/2012;

13) „точка за обмен в интернет (ТОИ)“ означава мрежово средство, което дава възможност за свързване на повече от две независими автономни системи, преди всичко с цел улесняване на обмена на интернет трафик; чрез ТОИ се осъществява свързване само на автономни системи; свързването чрез ТОИ не изисква интернет трафикът, преминаващ между които и да е две участващи автономни системи, да преминава през трета автономна система, нито изменя или засяга този трафик по друг начин;

14) „система за имена на домейни (Domain Name System — DNS)“ означава йерархично разпределена и мрежова система за именуване на домейни, която разпределя заявки за имена на домейни;

15) „доставчик на DNS услуги“ означава субект, предоставящ DNS услуги по интернет;

16) „регистър на имена на домейни от първо ниво“ означава субект, който извършва и управлява регистрацията на имената на интернет домейни в специален домейн от първо ниво (top-level domain — TLD);

17) „онлайн място за търговия“ означава цифрова услуга, която дава на потребители и/или търговци — по смисъла на определенията, съдържащи се съответно в член 4, параграф 1, букви а) и б) от Директива 2013/11/ЕС на Европейския парламент и на Съвета (18) — възможността да сключват договори за онлайн продажби или услуги с търговци или на уебсайта на онлайн мястото за търговия, или на уебсайт на търговеца, използващ електронни услуги, предоставяни от онлайн мястото за търговия;

18) „онлайн търсачка“ означава цифрова услуга, която дава възможност на ползвателите на интернет да извършват търсене по правило на всички уебсайтове или уебсайтове на даден език въз основа на запитване по всякакви теми под формата на ключова дума, израз или друг вид въведени данни, в отговор на което тя подава интернет връзки, съдържащи информация, свързана с исканото съдържание;

19) „компютърна услуга „в облак“ означава цифрова услуга, която дава възможност за достъп до променлив по мащаб и еластичен набор от компютърни ресурси, които могат да бъдат ползвани съвместно.

Член 5

Определяне на операторите на основни услуги

1.До 9 ноември 2018 г. за всеки сектор и подсектор, посочен в приложение II, държавите членки определят операторите на основни услуги с място на установяване на тяхна територия.

2.Критериите за определянето на операторите на основни услуги, посочени в член 4, точка 4, са, както следва:

а) субектът предоставя услуга, която е от основно значение за поддържането на особено важни обществени и/или стопански дейности;

б) предоставянето на тази услуга зависи от мрежи и информационни системи; и

в) евентуален инцидент би имал значително увреждащо въздействие върху предоставянето на тази услуга.

3.За целите на параграф 1 всяка държава членка изготвя списък на услугите, посочени в параграф 2, буква а).

4.За целите на параграф 1, когато даден субект предоставя услуга, посочена в параграф 2, буква а), в две или повече държави членки, тези държави членки провеждат консултации помежду си. Тези консултации се провеждат преди вземането на решение относно определянето.

5.Държавите членки преразглеждат списъка на определените оператори на основни услуги редовно и най-малкото на всеки две години след 9 май 2018 г., като при необходимост го актуализират.

6.Ролята на групата за сътрудничество е, в съответствие с посочените в член 11 задачи, да подкрепя държавите членки при възприемането на последователен подход в процеса на определяне на операторите на основни услуги.

7.За целите на прегледа, посочен в член 23, в срок до 9 ноември 2018 г., както и на всеки две години след това, държавите членки предоставят на Комисията информацията, която ѝ е необходима, за да може тя да извърши оценка на изпълнението на настоящата директива, по-специално на последователността на подходите на държавите членки по отношение на определянето на операторите на основни услуги. Тази информация включва най-малкото:

а) националните мерки, които дават възможност за определяне на операторите на основни услуги;

б) списъка на услугите, посочен в параграф 3;

в) броят на операторите на основни услуги, определени за всеки сектор, посочен в приложение II, и посочване на тяхното значение във връзка с този сектор;

г) прагове, когато има такива, за определяне на съответното равнище на доставките спрямо броя на ползвателите, разчитащи на тази услуга, в съответствие с посоченото в член 6, параграф 1, буква а), или значението на конкретния оператор на основни услуги в съответствие с посоченото в член 6, параграф 1, буква е).

С цел да способства за предоставянето на съпоставима информация Комисията, като отчита в максимална степен становището на ENISA, може да приеме подходящи технически насоки относно параметрите на информацията, посочена в настоящия параграф.

Член 6

Значително увреждащо въздействие

1.При определяне на значимостта на увреждащото въздействие в съответствие с посоченото в член 5, параграф 2, буква в) държавите членки вземат предвид най-малко следните фактори, валидни за всички сектори:

а) броят на ползвателите, разчитащи на услугите, предоставяни от субекта;

б) зависимостта на други сектори, посочени в приложение II, от услугата, предоставяна от субекта;

в) въздействието, което инцидентите биха могли да имат от гледна точка на мащаб и продължителност върху стопанските и обществените дейности или обществената безопасност;

г) пазарния дял на субекта;

д) географският обхват, що се отнася до областта, която би била засегната от даден инцидент;

е) значението на субекта за поддържането на достатъчно ниво на услугата, като се взема предвид наличието на други средства за предоставянето на тази услуга.

2.За да се определи дали даден инцидент би имал значително увреждащо въздействие, държавите членки вземат предвид и характерните за сектора фактори, когато е целесъобразно.

Член 7

Национална стратегия относно сигурността на мрежите и информационните системи

1.Всяка държава членка приема национална стратегия относно сигурността на мрежите и информационните системи, в която са определени стратегическите цели и подходящи мерки на политиката, както и подходящи регулаторни мерки за постигане и поддържане на високо ниво на сигурност на мрежите и информационните системи и която обхваща най-малко секторите, посочени в приложение II, и услугите, посочени в приложение III. В националната стратегия относно сигурността на мрежите и информационните системи се разглеждат по-специално следните въпроси:

а) целите и приоритетите на националната стратегия относно сигурността на мрежите и информационните системи;

б) управленска рамка за постигане на целите и приоритетите на националната стратегия относно сигурността на мрежите и информационните системи, включително ролите и отговорностите на държавните органи и на съответните други участници;

в) набелязване на мерки във връзка с подготвеността, реагирането и възстановяването, включително сътрудничеството между публичния и частния сектор;

г) основна информация за образователните и обучителните програми и програмите за повишаване на осведомеността във връзка с националната стратегия относно сигурността на мрежите и информационните системи;

д) посочване на плановете за научноизследователска и развойна дейност във връзка с националната стратегия относно сигурността на мрежите и информационните системи;

е) план за оценка на риска с цел набелязване на рисковете;

ж) списък на различните участници в изпълнението на националната стратегия относно сигурността на мрежите и информационните системи;

2.Държавите членки може да поискат съдействие от ENISA при изготвянето на националните стратегии относно сигурността на мрежите и информационните системи.

3.Държавите членки съобщават своите национални стратегии относно сигурността на мрежите и информационните системи на Комисията в тримесечен срок след приемането им. При това държавите членки могат да изключат някои елементи на стратегията, свързани с националната сигурност.

Член 8

Национални компетентни органи и единни звена за контакт

1.Всяка държава членка определя един или повече национални компетентни органи по сигурността на мрежите и информационните системи (наричани по-долу „компетентният орган“), който обхваща най-малко секторите, посочени в приложение II, и услугите, посочени в приложение III. Държавите членки могат да възложат тези функции на съществуващ орган или органи.

2.Компетентните органи наблюдават прилагането на настоящата директива на национално равнище.

3.Всяка държава членка определя единно национално звено за контакт по сигурността на мрежите и информационните системи (наричано по-долу „единното звено за контакт“). Държавите членки могат да възложат тези функции на съществуващ орган. Когато държава членка определи само един компетентен орган, този компетентен орган изпълнява функцията и на единно звено за контакт.

4.Единното звено за контакт изпълнява функция за връзка, така че да се осигури трансграничното сътрудничество между органите на държавите членки и със съответните органи в други държави членки и с групата за сътрудничество, посочена в член 11, и с мрежата на ЕРИКС, посочена в член 12.

5.Държавите членки гарантират, че компетентните органи и единните звена за контакт разполагат с достатъчно ресурси, за да изпълняват ефективно и ефикасно възложените им задачи и по този начин да постигат целите на настоящата директива. Държавите членки гарантират ефективно, ефикасно и сигурно сътрудничество на определените представители в групата за сътрудничество.

6.Когато е целесъобразно и в съответствие с националното право, компетентните органи и единните звена за контакт провеждат консултации и осъществяват сътрудничество със съответните национални правоприлагащи органи и национални органи за защита на данните.

7.Всяка държава членка уведомява незабавно Комисията за определянето на компетентен орган и единно звено за контакт, за техните задачи и за всякакви последващи промени във връзка с това. Всяка държава членка оповестява публично обстоятелството, че е определен компетентен орган и единно звено за контакт. Комисията публикува списъка на определените единни звена за контакт.

Член 9

Екипи за реагиране при инциденти с компютърната сигурност (ЕРИКС)

1.Всяка държава членка определя един или повече ЕРИКС, отговарящи на изискванията, посочени в точка 1 от приложение I, които обхващат най-малко секторите, посочени в приложение II, и услугите, посочени в приложение III, които отговарят за предприемането на действия при инциденти и рискове в съответствие с подробно определена процедура,. ЕРИКС може да бъде създаден в рамките на компетентен орган.

2.Държавите членки гарантират, че ЕРИКС разполагат с достатъчни ресурси, за да изпълняват ефективно задачите си, установени в точка 2 от приложение I.

Държавите членки гарантират, че чрез мрежата на ЕРИКС, посочена в член 12, техните ЕРИКС си сътрудничат ефективно, ефикасно и сигурно.

3.Държавите членки гарантират, че ЕРИКС имат достъп до подходяща, сигурна и устойчива комуникационна и информационна инфраструктура на национално равнище.

4.Държавите членки информират Комисията за обхвата на задачите на ЕРИКС, както и за основните елементи от тяхната процедура за предприемане на действия при инциденти.

5.Държавите членки може да поискат помощ от Агенцията на Европейския съюз за мрежова и информационна сигурност (ENISA) при създаването на националните ЕРИКС.

Член 10

Сътрудничество на национално равнище

1.Ако са отделени, компетентният орган, единното звено за контакт и ЕРИКС на една и съща държава членка си сътрудничат по отношение на изпълнението на задълженията, предвидени в настоящата директива.

2.Държавите членки гарантират, че компетентните органи или ЕРИКС получават уведомления за инциденти, подадени съгласно настоящата директива. Ако държава членка реши, че ЕРИКС няма да получават уведомления, на ЕРИКС — до степента, необходима за изпълнението на техните задачи — се предоставя достъп до данните за инцидентите, за които са постъпили уведомления от операторите на основни услуги съгласно член 14, параграфи 3 и 5 или от доставчиците на цифрови услуги съгласно член 16, параграфи 3 и 6.

3.Държавите членки гарантират, че компетентните органи или ЕРИКС информират единните звена за контакт за уведомленията за инциденти, подадени съгласно настоящата директива.

До 9 август 2018 г. а след това — веднъж годишно, единното звено за контакт представя обобщен доклад до групата за сътрудничество относно получените уведомления, включително броя уведомления и естеството на инцидентите, за които са подадени уведомленията, и относно действията, предприети в съответствие с член 14, параграфи 3 и 5 и член 16, параграфи 3 и 6.

Член 11

Група за сътрудничество

1.Създава се група за сътрудничество с цел да се подпомага и улеснява стратегическото сътрудничество и обмена на информация между държавите членки и да се изгражда доверие и с оглед постигането на високо общо ниво на сигурност на мрежите и информационните системи в Съюза.

Групата за сътрудничество изпълнява задачите си въз основа на двугодишните работни програми, посочени в параграф 3, втора алинея.

2.Групата за сътрудничество се състои от представители на държавите членки, Комисията и ENISA.

Групата за сътрудничество може да кани представители на съответните конституенти да участват в нейната работа, когато това е целесъобразно.

Комисията осигурява административното обслужване.

3.Групата за сътрудничество изпълнява следните задачи:

а) осигуряване на стратегически насоки за дейностите на мрежата на ЕРИКС, създадена съгласно член 12;

б) обмен на най-добри практики относно обмена на информация, свързана с уведомяването за инциденти, посочено в член 14, параграфи 3 и 5 и член 16, параграфи 3 и 6;

в) обмен на най-добри практики между държавите членки и, в сътрудничество с ENISA, подпомагане на държавите членки при изграждането на капацитет в областта на сигурността на мрежите и информационните системи;

г) обсъждане на капацитета и подготвеността на държавите членки и, на доброволна основа, оценка на националните стратегии относно сигурността на мрежите и информационните системи и ефективността на ЕРИКС, и набелязване на най-добри практики;

д) обмен на информация и най-добри практики в областта на повишаването на осведомеността и обучението;

е) обмен на информация и най-добри практики в областта на научноизследователската и развойната дейност относно сигурността на мрежите и информационните системи;

ж) когато е приложимо, обмен на опит по въпроси, свързани със сигурността на мрежите и информационните системи, със съответните институции, органи, служби и агенции на Съюза;

з) обсъждане на стандартите и спецификациите, посочени в член 19, с представители от съответните европейски организации по стандартизация;

и) събиране на информация за най-добри практики относно рисковете и инцидентите;

й) преглед на годишна основа на обобщените доклади, посочени в член 10, параграф 3, втора алинея;

к) обсъждане на работата, предприета във връзка с ученията в областта на сигурността на мрежите и информационните системи, образователните програми и обучението, включително работата на ENISA;

л) с помощта на ENISA, обмен на най-добри практики относно определянето на операторите на основни услуги от държавите членки, включително по отношение на трансграничната зависимост, свързана с рисковете и инцидентите;

м) обсъждане на правилата за докладване на уведомленията за инциденти, посочени в членове 14 и 16.

До 9 февруари 2018 г. и на всеки две години след това, групата за сътрудничество изготвя работна програма за действията, които трябва да бъдат предприети за изпълнение на нейните цели и задачи, която е съобразена с целите на настоящата директива

4.За целите на прегледа, посочен в член 23, до 9 август 2018 г. и на всяка година и половина след това групата за сътрудничество подготвя доклад за оценка на опита, придобит чрез стратегическото сътрудничество, осъществявано съгласно настоящия член.

5.Комисията установява чрез актове за изпълнение процедурните правила, необходими за работата на групата за сътрудничество. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 22, параграф 2.

За целите на първа алинея Комисията представя първия проект на акт за изпълнение на комитета, посочен в член 22, параграф 1, до 9 февруари 2017 г.

Член 12

Мрежа на ЕРИКС

1.Създава се мрежа на националните ЕРИКС с цел да се допринесе за изграждането на доверие между държавите членки и да се насърчи бързото и ефективно оперативно сътрудничество.

2.Мрежата на ЕРИКС се състои от представители на ЕРИКС на държавите членки и екипите за незабавно реагиране при компютърни инциденти (CERT) на ЕС. Комисията участва в мрежата на ЕРИКС като наблюдател. ENISA осигурява административното обслужване и активно подкрепя сътрудничеството между ЕРИКС.

3.Мрежата на ЕРИКС изпълнява следните задачи:

а) обмен на информация относно услугите, операциите и способностите за сътрудничество на ЕРИКС;

б) по искане на представител на ЕРИКС на държава членка, която е възможно да е засегната от инцидент — обмен и обсъждане на нетърговски чувствителна информация, свързана с този инцидент, и съпътстващите го рискове; въпреки това всеки ЕРИКС на държава членка може да откаже да участва в това обсъждане, ако съществува риск да бъде засегнато разследването на инцидента;

в) обмен и предоставяне на доброволна основа на неповерителна информация относно отделни инциденти;

г) по искане на представител на ЕРИКС на държава членка — обсъждане и, при възможност, набелязване на координирана реакция на инцидент, констатиран в рамките на юрисдикцията на същата държава членка;

д) оказване на подкрепа на държавите членки за справяне с трансгранични инциденти въз основа на доброволната им взаимопомощ;

е) обсъждане, проучване и набелязване на допълнителни форми на оперативно сътрудничество, включително по отношение на:

i) категории рискове и инциденти;

ii) ранни предупреждения;

iii)

взаимопомощ;

iv) принципи и условия за координация, когато държавите членки реагират на трансгранични рискове и инциденти;

ж) информиране на групата за сътрудничество относно дейностите на мрежата на ЕРИКС и допълнителните форми на оперативно сътрудничество, обсъдени в съответствие с буква е), и искане на насоки във връзка с това;

з) обсъждане на поуките, извлечени от ученията в областта на сигурността на мрежите и информационните системи, включително от организираните от ENISA;

и) по искане на отделен ЕРИКС — обсъждане на способностите и подготвеността на същия този ЕРИКС;

й) отправяне на насоки с цел да се улесни сближаването на оперативните практики по отношение на прилагането на разпоредбите на настоящия член във връзка с оперативното сътрудничество.

4.За целите на прегледа, посочен в член 23, до 9 август 2018 г. и на всяка година и половина след това мрежата на ЕРИКС изготвя доклад за оценка на опита, придобит чрез осъществяваното съгласно настоящия член оперативно сътрудничество, включително заключения и препоръки. Този доклад се представя и на групата за сътрудничество.

5.Мрежата на ЕРИКС утвърждава своя процедурен правилник.

Член 13

Международно сътрудничество

Съюзът може да сключва международни споразумения в съответствие с член 218 ДФЕС с трети държави или международни организации, които допускат и уреждат участието им в някои дейности на групата за сътрудничество. Подобни споразумения трябва да са съобразени с необходимостта да се гарантира надеждна защита на данните.

Член 14

Изисквания за сигурност и уведомяване за инциденти

1.Държавите членки гарантират, че операторите на основни услуги предприемат подходящи и пропорционални технически и организационни мерки за управление на рисковете за сигурността на мрежите и информационните системи, използвани от операторите за дейността им. Тези мерки осигуряват ниво на сигурност на мрежите и информационните системи, съответстващо на съществуващия риск, съобразно последните постижения в тази област.

2.Държавите членки гарантират, че операторите на основни услуги предприемат подходящи мерки за предотвратяване и намаляване до минимум на въздействието на инцидентите, засягащи сигурността на мрежите и информационните системи, които се използват за предоставянето на тези основни услуги, с цел осигуряване на непрекъснатост на тези услуги.

3.Държавите членки гарантират, че операторите на основни услуги уведомяват без неоправдано забавяне компетентния орган или ЕРИКС за инцидентите, които имат значително въздействие върху непрекъснатостта на предоставяните от тях основни услуги. Уведомленията включват информация, която дава възможност на компетентния орган или на ЕРИКС да определи евентуалното трансгранично въздействие на инцидента. Уведомлението не води до повишена отговорност за уведомяващия.

4.За да се определи значимостта на въздействието на даден инцидент, се вземат по-специално предвид следните показатели:

a) броят потребители, засегнати от нарушаването на основната услуга;

б) продължителността на инцидента;

в) географският обхват по отношение на областта, засегната от инцидента.

5.Въз основа на информацията, предоставена в уведомлението от оператора на основни услуги, компетентният орган или ЕРИКС информира другата (другите) засегната (засегнати) държава(и) членка(и), ако инцидентът има значително въздействие върху непрекъснатостта на основните услуги в тази държава членка. При това компетентният орган или ЕРИКС запазва сигурността и търговските интереси на оператора на основните услуги, както и поверителността на информацията, съдържаща се в уведомлението му, в съответствие с правото на Съюза или с националното законодателство, което е в съответствие с правото на Съюза.

Когато обстоятелствата го позволяват, компетентният орган или ЕРИКС предоставя на подалия уведомлението оператор на основни услуги съответната информация във връзка с последващите действия по уведомлението за инцидент, като например информация, която би спомогнала за предприемането на ефективни действия при инцидента.

По искане на компетентния орган или ЕРИКС единното звено за контакт предава посочените в първа алинея уведомления на единните звена за контакт на други засегнати държави членки.

6.След консултация с уведомяващия оператор на основни услуги уведоменият компетентен орган или ЕРИКС може да информира обществеността за отделни инциденти, когато е необходима обществена осведоменост с цел предотвратяване на инцидент или справяне с текущ инцидент.

7.Компетентните органи, като действат съвместно в рамките на групата за сътрудничество, могат да разработят и приемат насоки относно обстоятелствата, при които от операторите на основни услуги се изисква да уведомяват за инциденти, включително показателите за определяне значимостта на въздействието на даден инцидент, посочени в параграф 4.

Член 15

Прилагане и изпълнение

1.Държавите членки гарантират, че компетентните органи разполагат с всички необходими правомощия и средства за оценяване на това дали операторите на основни услуги изпълняват задълженията си по член 14 и на въздействието на това изпълнение върху сигурността на мрежите и информационните системи.

2.Държавите членки гарантират, че компетентните органи разполагат с правомощия и средства, за да изискват от операторите на основни услуги да предоставят:

а) информацията, необходима за оценка на сигурността на техните мрежи и информационни системи, включително съществуващи политики за сигурност;

б) доказателства за ефективното изпълнение на политиките за сигурност, като например резултатите от одит на сигурността, извършван от компетентния орган или от квалифициран одитор, а във втория случай — да предоставят на компетентния орган резултатите от одита, включително доказателствата, на които той се основава.

В искането за подобна информация или доказателства компетентните органи посочват целта на искането и уточняват каква информация се изисква.

3.След оценяването на информацията или на резултатите от одитите на сигурността, посочени в параграф 2, компетентният орган може да даде задължителни указания на операторите на основни услуги с цел отстраняване на установените пропуски.

4.Компетентният орган работи в тясно сътрудничество с органите за защита на данните при работа по инцидентите, които водят до нарушаване на сигурността на лични данни.

Член 16

Изисквания за сигурност и уведомяване за инциденти

1.Държавите членки гарантират, че доставчиците на цифрови услуги установяват и предприемат подходящи и пропорционални технически и организационни мерки за управление на рисковете за сигурността на мрежите и информационните системи, използвани от тези доставчици в контекста на предоставянето в Съюза на услугите, посочени в приложение III. Тези мерки осигуряват ниво на сигурност на мрежите и информационните системи, съответстващо на съществуващия риск, съобразно последните постижения в тази област и са съобразени със следните елементи:

а) сигурност на системите и съоръженията;

б) действия при инциденти;

в) управление на непрекъснатостта на дейностите;

г) наблюдение, одит и изпитване;

д) спазване на международни стандарти.

2.Държавите членки гарантират, че доставчиците на цифрови услуги предприемат мерки с цел предотвратяване и намаляване до минимум на въздействието на инцидентите, засягащи сигурността на техните мрежи и информационни системи, върху услугите, посочени в приложение III и предлагани в Съюза, с цел осигуряване на непрекъснатост на тези услуги.

3.Държавите членки гарантират, че доставчиците на цифрови услуги уведомяват без неоправдано забавяне компетентния орган или ЕРИКС за всеки инцидент, който има съществено въздействие върху предоставянето от тях на услуга, посочена в приложение III, която те предлагат в Съюза. Уведомленията включват информация, която дава възможност на компетентния орган или на ЕРИКС да определи значимостта на евентуалното трансгранично въздействие на инцидента. Уведомлението не води до повишена отговорност за уведомяващия.

4.За да се определи дали въздействието на даден инцидент е съществено, се вземат по-специално предвид следните показатели:

а) броят ползватели, засегнати от инцидента, и по-специално ползвателите, които разчитат на услугата за предоставяне на собствените си услуги;

б) продължителността на инцидента;

в) географският обхват по отношение на областта, засегната от инцидента;

г) степента на нарушаване на функционирането на услугата;

д) степента на въздействие върху стопанските и обществени дейности.

Задължението за уведомяване за инцидент се прилага само когато доставчикът на цифрови услуги има достъп до информацията, която е необходима, за да се оцени въздействието на инцидента спрямо показателите по първа алинея.

5.Когато даден оператор на основни услуги разчита на доставчик на цифрови услуги, който е трето лице, за да предоставя услуга от основно значение за поддържането на особено важни обществени и стопански дейности, този оператор уведомява за всяко значително въздействие върху непрекъснатостта на основните услуги, дължащо се на инцидент, засягащ доставчика на цифрови услуги.

6.Когато е целесъобразно и особено ако инцидентът, посочен в параграф 3, засяга две или повече държави членки, компетентният орган или ЕРИКС информира другите засегнати държави членки. При това компетентните органи, ЕРИКС и единните звена за контакт запазват сигурността и търговските интереси на доставчика на цифрови услуги, както и поверителността на предоставената информация в съответствие с правото на Съюза или с националното законодателство, което е в съответствие с правото на Съюза.

7.След консултация със засегнатия доставчик на цифрови услуги компетентният орган или ЕРИКС и, когато е приложимо, органите или ЕРИКС на други засегнати държави членки може да информират обществеността за отделни инциденти или да изискат от доставчика на цифрови услуги да направи това, когато е необходима обществена осведоменост с цел предотвратяване на инцидент или справяне с текущ инцидент или когато разкриването на инцидента е в интерес на обществеността поради други причини.

8.На Комисията се предоставя правомощието да приема актове за изпълнение за допълнително конкретизиране на елементите, посочени в параграф 1, и на показателите, посочени в параграф 4 от настоящия член. Тези актове за изпълнение се приемат до 9 август 2017 г. в съответствие с процедурата по разглеждане, посочена член 22, параграф 2.

9.Комисията може да приеме актове за изпълнение за установяване на форматите и процедурите, приложими към изискванията за уведомяване. Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 22, параграф 2.

10.Без да се засяга член 1, параграф 6, държавите членки не налагат на доставчиците на цифрови услуги никакви други изисквания за сигурност или уведомяване.

11.Глава V не се прилага за микро- и малките предприятия съгласно определението в Препоръка 2003/361/ЕО на Комисията (19).

Член 17

Прилагане и изпълнение

1.Държавите членки гарантират, че компетентните органи предприемат действия, ако е необходимо, посредством последващи надзорни мерки, когато получат доказателства, че даден доставчик на цифрови услуги не отговаря на изискванията, установени в член 16. Тези доказателства могат да се предоставят от компетентен орган на друга държава членка, в която се предоставя услугата.

2.За целите на параграф 1 компетентните органи разполагат с необходимите правомощия и средства да изискват от доставчиците на цифрови услуги:

a) да предоставят информацията, необходима за оценка на сигурността на техните мрежи и информационни системи, включително съществуващи политики за сигурност;

б) да отстраняват всеки пропуск в изпълнението на изискванията, предвидени в член 16.

3.Ако даден доставчик на цифрови услуги има основно място на установяване или представител в държава членка, но неговите мрежи и информационни системи са разположени в една или повече други държави членки, компетентният орган на държавата членка на основното място на установяване или на представителя и компетентните органи на тези други държави членки си сътрудничат и се подпомагат взаимно, ако е необходимо. Тази помощ и сътрудничество може да обхващат обмена на информация между съответните компетентни органи и исканията за предприемане на надзорните мерки, посочени в параграф 2.

Член 18

Юрисдикция и териториалност

1.За целите на настоящата директива се приема, че даден доставчик на цифрови услуги е под юрисдикцията на държавата членка, в която е основното му място на установяване. Приема се, че основното място на установяване на доставчик на цифрови услуги е в дадена държава членка, ако главното му управление е в тази държава членка.

2.Доставчик на цифрови услуги, който не е установен в Съюза, но предлага в Съюза услугите, посочени в приложение III, определя представител в Съюза. Представителят трябва да е установен в една от държавите членки, в които се предлагат услугите. Приема се, че доставчикът на цифрови услуги е под юрисдикцията на държавата членка, в която е установен представителят.

3.Определянето на представител от доставчика на цифрови услуги не засяга съдебните производства, които биха могли да бъдат започнати срещу самия доставчик на цифрови услуги.

Член 19

Стандартизация

1.С цел насърчаване на еднообразното прилагане на член 14, параграфи 1 и 2 и на член 16, параграфи 1 и 2 държавите членки, без да налагат употребата на определен тип технология или да упражняват дискриминация в нейна полза, насърчават използването на европейско или международно приетите стандарти и спецификации от значение за сигурността на мрежите и информационните системи.

2.В сътрудничество с държавите членки ENISA изготвя препоръки и насоки по отношение на техническите области, които да се вземат под внимание във връзка с параграф 1, както и по отношение на вече съществуващите стандарти, включително националните стандарти на държавите членки, което да позволи обхващането на тези области.

Член 20

Доброволно уведомяване

1.Без да се засяга член 3, субекти, които не са били определени като оператори на основни услуги и не са доставчици на цифрови услуги, може да уведомяват на доброволна основа за инциденти, които имат значително въздействие върху непрекъснатостта на предоставяните от тях услуги.

2.При обработването на уведомленията държавите членки действат в съответствие с процедурата по член 14. Държавите членки могат да обработват задължителните уведомления с предимство пред доброволните уведомления. Доброволните уведомления се обработват само когато обработването им не представлява несъразмерна или неоправдана тежест за съответните държави членки.

Доброволното уведомяване не трябва да води до налагане на задължения за уведомяващия субект, каквито не биха му били наложени, ако не беше подал уведомлението.

Член 21

Санкции

Държавите членки установяват система от санкции, приложими при нарушение на националните разпоредби, приети съгласно настоящата директива, и вземат всички необходими мерки за осигуряване на тяхното прилагане. Предвидените санкции са ефективни, пропорционални и възпиращи. До 9 май 2018 г. държавите членки уведомяват Комисията за тази система и мерки и я уведомяват незабавно за всяко последващо изменение, което ги засяга.

Член 22

Процедура на комитет

1.Комисията се подпомага от Комитета по сигурност на мрежите и информационните системи. Този комитет е комитет по смисъла на Регламент (ЕС) № 182/2011.

2.При позоваване на настоящия параграф се прилага член 5 от Регламент (ЕС) № 182/2011.

Член 23

Преглед

1.До 9 май 2019 г. Комисията представя на Европейския парламент и на Съвета доклад за оценка на последователността на подхода, възприет от държавите членки при определянето на операторите на основни услуги.

2.Комисията периодично прави преглед на действието на настоящата директива и докладва на Европейския парламент и Съвета. За тази цел и с оглед на допълнителното засилване на стратегическото и оперативното сътрудничество Комисията взема предвид докладите на групата за сътрудничество и мрежата на ЕРИКС за натрупания опит на стратегическо и оперативно равнище. В своя преглед Комисията прави също така оценка на списъците, съдържащи се в приложения II и III, и на последователността при определянето на операторите на основни услуги и на услугите в секторите, посочени в приложение II. Първият доклад се предава до 9 май 2021 г.

Член 24

Преходни мерки

1.Без да се засяга член 25 и с цел на държавите членки да се осигурят допълнителни възможности за подходящо сътрудничество по време на периода на транспониране, групата за сътрудничество и мрежата на ЕРИКС започват да изпълняват задачите си, установени съответно в член 11, параграф 3 и член 12, параграф 3, до 9 февруари 2017 г.

2.В периода от 9 февруари 2017 г. до 9 ноември 2018 г. и с цел оказването на подкрепа на държавите членки при възприемането на последователен подход в процеса на определяне на операторите на основни услуги, групата за сътрудничество обсъжда процеса, същността и вида на националните мерки, даващи възможност за определяне на операторите на основни услуги в конкретен сектор в съответствие с критериите, посочени в членове 5 и 6. По искане на държава членка групата за сътрудничество обсъжда също така конкретни проекти на национални мерки на тази държава членка, даващи възможност за определяне на операторите на основни услуги в конкретен сектор в съответствие с критериите, посочени в членове 5 и 6.

3.До 9 февруари 2017 г. и за целите на настоящия член държавите членки осигуряват подходящо представителство в групата за сътрудничество и в мрежата на ЕРИКС.

Член 25

Транспониране

1.Държавите членки приемат и публикуват до 9 май 2018 г. законовите, подзаконовите и административните разпоредби, необходими, за да се съобразят с директивата. Те незабавно информират Комисията за това.

Те прилагат тези разпоредби, считано от 10 май 2018 г.

Когато държавите членки приемат тези разпоредби, в тях се съдържа позоваване на настоящата директива или то се извършва при официалното им публикуване. Условията и редът на позоваване се определят от държавите членки.

2.Държавите членки съобщават на Комисията текста на основните разпоредби от националното право, които те приемат в областта, уредена с настоящата директива.

Член 26

Влизане в сила

Настоящата директива влиза в сила на двадесетия ден след публикуването ѝ в Официален вестник на Европейския съюз.

Член 27

Адресати

Адресати на настоящата директива са държавите членки.