--- title: "Директива N 2016/1148 Европейского парламента и Совета Европейского Союза" number: "2016/1148" issuer: "Европейский Союз" status: утратил силу canonical: "https://bukva.ai/docs/direktiva-20161148" --- ## Директива N 2016/1148 Европейского парламента и Совета Европейского Союза "О мерах по достижению высокого общего уровня безопасности сетевых и информационных систем Союза" [рус., англ.] (Вместе с "Требованиями к группам реагирования на инциденты, связанные с компьютерной безопасностью ("CSIRTs"), и их задачами", <Типами предприятий и цифровых услуг>") (Принята в г. Страсбурге 06.07.2016) > [!WARNING] > Документ утратил силу 18 октября 2024 года в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-44#p100826) N 2022/2555 Европейского парламента и Совета Европейского Союза от 14.12.2022. > Документ утратил силу 18 октября 2024 года в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-44#p100826) N 2022/2555 Европейского парламента и Совета Европейского Союза от 14.12.2022 (официальный сайт законодательства Европейского Союза http://eur-lex.europa.eu по состоянию на 09.10.2025). > Документ вступил в силу 8 августа 2016 года (официальный сайт законодательства Европейского Союза http://eur-lex.europa.eu по состоянию на 26.05.2017). Россия не участвует. > В соответствии со [статьей 26](https://bukva.ai/docs/direktiva-20161148/statya-26#p100391) данный документ вступил в силу на двадцатый день после его официального опубликования в Официальном Журнале Европейского Союза.
[неофициальный перевод] <*>
**ЕВРОПЕЙСКИЙ СОЮЗ** **ДИРЕКТИВА (ЕС) N 2016/1148** **ЕВРОПЕЙСКОГО ПАРЛАМЕНТА И СОВЕТА ЕС О МЕРАХ ПО ДОСТИЖЕНИЮ** **ВЫСОКОГО ОБЩЕГО УРОВНЯ БЕЗОПАСНОСТИ СЕТЕВЫХ И ИНФОРМАЦИОННЫХ** СИСТЕМ СОЮЗА <1> (Страсбург, 6 июля 2016 года) --- <*> Перевод Сапегиной А.В. <1> Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union. Опубликована в Официальном Журнале (далее - ОЖ) N L 194, 19.07.2016, стр. 1. Европейский Парламент и Совет Европейского Союза, Руководствуясь [Договором](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-1) о функционировании Европейского Союза, и, в частности, [Статьей 114](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-114#p100757) Договора, На основании предложения Европейской Комиссии, После передачи проекта законодательного акта национальным парламентам, Руководствуясь заключением Европейского комитета по экономическим и социальным вопросам <2>, --- <2> ОЖ N C 271, 19.09.2013, стр. 133. Действуя в соответствии с обычной законодательной процедурой <3>, --- <3> Позиция Европейского Парламента от 13 марта 2014 г. (еще не опубликована в ОЖ) и позиция Совета ЕС в первом чтении от 17 мая 2016 г. (еще не опубликована в ОЖ). Позиция Европейского Парламента от 16 июля 2016 г. (еще не опубликована в ОЖ). Принимая во внимание следующие обстоятельства: (1) Сетевые и информационные системы и услуги играют важную роль в обществе. Их надежность и безопасность имеют большое значение для экономической и социальной деятельности, в частности, для функционирования внутреннего рынка. (2) Возрастает величина, количество и влияние инцидентов, связанных с нарушением безопасности, которые представляют серьезную угрозу функционированию сетевых и информационных систем. Указанные системы также могут стать мишенью преднамеренных вредоносных действий, направленных на причинение вреда или нарушение работы систем. Указанные нарушения могут препятствовать осуществлению экономической деятельности, могут привести к значительным финансовым потерям, могут подрывать доверие пользователей, а также могут причинить серьезный ущерб экономике Союза. (3) Сетевые и информационные системы, в первую очередь Интернет, играют важную роль в упрощении трансграничного перемещения товаров, услуг и людей. В связи с транснациональным характером указанных систем любое их существенное нарушение, преднамеренное и непреднамеренное, независимо от места совершения нарушения может повлиять на отдельные государства-члены ЕС, а также на Союз в целом. В этой связи безопасность сетевых и информационных систем играет важную роль в обеспечении нормального функционирования внутреннего рынка. (4) Опираясь на значительный прогресс, достигнутый в рамках Европейского форума государств-членов ЕС по вопросам содействия обсуждению и обмену передовым опытом в области осуществления политики, включая разработку принципов европейского киберкризисного сотрудничества, необходимо создать группу по сотрудничеству, состоящую из представителей государств-членов ЕС, Европейской Комиссии и Европейского агентства по сетевой и информационной безопасности ("ENISA" <4>), для оказания поддержки и содействия стратегическому сотрудничеству государств-членов ЕС в области безопасности сетевых и информационных систем. Для того чтобы работа указанной группы была эффективной и всеобъемлющей, все государства-члены ЕС должны иметь минимальные возможности и стратегии, гарантирующие высокий уровень безопасности сетевых и информационных систем на их территории. Кроме того, операторы основных услуг и провайдеры цифровых услуг должны отвечать требованиям в области обеспечения безопасности и нотификации в целях содействия формированию культуры управления рисками и обеспечения соблюдения отчетности о наиболее серьезных инцидентах. --- <4> Англ. - European Union Agency for Network and Informational Security - прим. перевод. (5) Существующие технические возможности недостаточны для обеспечения высокого уровня безопасности сетевых и информационных сетей в рамках Союза. Степень подготовленности государств-членов ЕС различна, что ведет к фрагментации действий по Союзу, что, в свою очередь, сказывается на обеспечении различного уровня защиты потребителей и субъектов предпринимательской деятельности, а также снижает общий уровень безопасности сетевых и информационных систем Союза. Отсутствие общих требований к операторам основных услуг и провайдерам цифровых услуг, в свою очередь, делает невозможным установление единого и эффективного механизма сотрудничества на уровне Союза. Университеты и исследовательские центры играют ключевую роль в развитии научных исследований, разработок и инноваций в указанных сферах. (6) Таким образом, эффективное реагирование на проблемы, связанные с обеспечением безопасности сетевых и информационных систем, требует установления единой системы действий на уровне Союза, охватывающей общие минимальные требования по наращиванию потенциала и требования по планированию к операторам основных услуг и провайдерам цифровых услуг по обмену информацией, взаимодействию и обеспечению общей безопасности. Тем не менее ничто не препятствует операторам основных услуг и провайдерам цифровых услуг применять более строгие меры, чем меры, предусмотренные в настоящей Директиве. (7) Для того чтобы под действие настоящей Директивы попали все возможные инциденты и риски, она должна распространяться на операторов основных услуг и провайдеров цифровых услуг. Однако обязательства операторов основных услуг и провайдеров цифровых услуг не должны распространяться на предприятия, оказывающие услуги в сфере общественных сетей связи и общедоступных электронных коммуникаций в значении [Директивы](https://bukva.ai/docs/direktiva-200221es/statya-1) 2002/21/ЕС Европейского Парламента и Совета ЕС <5>, так как они подпадают под особые требования в области безопасности и целостности, установленные в указанной [Директиве](https://bukva.ai/docs/direktiva-200221es/statya-1), а также обязательства не распространяются на провайдеров удостоверительных сервисов в значении [Регламента](https://bukva.ai/docs/reglament-9102014/statya-1) (ЕС) 910/2014 Европейского Парламента и Совета ЕС <6>, так как они подпадают под требования в области безопасности, установленные в указанном [Регламенте](https://bukva.ai/docs/reglament-9102014/statya-1). --- <5> [Директива](https://bukva.ai/docs/direktiva-200221es/statya-1) 2002/21/ЕС Европейского Парламента и Совета ЕС от 7 марта 2002 г. об общих рамках регулирования электронных коммуникационных сетей и услуг (Рамочная Директива) (ОЖ N L 108, 24.04.2002, стр. 33). <6> [Регламент](https://bukva.ai/docs/reglament-9102014/statya-1) (ЕС) 910/2014 Европейского Парламента и Совета ЕС от 23 июля 2014 г. об электронной идентификации и удостоверительных сервисах для электронных трансакций на внутреннем рынке и об отмене Директивы 1999/93/EC (ОЖ N L 257, 28.08.2014, стр. 73). (8) Настоящая Директива применяется без ущерба возможности для каждого государства-члена ЕС принимать необходимые меры, гарантирующие защиту интересов своей безопасности, охрану общественного порядка и общественной безопасности, а также меры, направленные на проведение расследования, раскрытия и уголовного преследования преступлений. В соответствии со [Статьей 346](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-346#p102317) Договора о функционировании Европейского Союза (TFEU) государства-члены ЕС не обязаны предоставлять информацию, раскрытие которой противоречит существенным интересам их безопасности. В данном случае значимыми являются Решение 2013/488/ЕС Совета ЕС <7> и соглашения о неразглашении или неофициальные соглашения о неразглашении, такие как протокол Traffic Light <8>. --- <7> Решение 2013/488/ЕС Совета ЕС от 23 сентября 2013 г. о правилах безопасности для защиты секретных данных в ЕС (ОЖ N L 274, 15.10.2013, стр. 1). <8> Протокол Traffic Light (Traffic Light Protocol) - набор обозначений для маркировки конфиденциальной информации с целью указания аудитории ее дальнейшего распространения - прим. перевод. (9) Определенные секторы экономики уже урегулированы или могут быть в будущем урегулированы внутриотраслевыми законодательными актами Союза, содержащими нормы о безопасности сетевых и информационных систем. Если в указанных законодательных актах Союза имеются положения, содержащие требования к безопасности сетевых и информационных систем или об уведомлениях о нарушениях, указанные положения применяются только в том случае, если содержащиеся в них требования по существу аналогичны обязательствам, содержащимся в настоящей Директиве. В указанных случаях государства-члены ЕС применяют положения внутриотраслевых законодательных актов Союза, в том числе затрагивающие вопросы юрисдикции, и не придерживаются процесса идентификации операторов основных услуг, указанного в настоящей Директиве. При этом государства-члены ЕС предоставляют Европейской Комиссии сведения о применении положений указанных lex specialis. При определении аналогичности требований к безопасности сетевых и информационных систем или об уведомлениях о нарушениях, содержащихся во внутриотраслевых законодательных актах Союза, требованиям, содержащимся в настоящей Директиве, необходимо учитывать исключительно положения соответствующих законодательных актов Союза и их применение в государствах-членах ЕС. (10) В секторе водного транспорта требования по обеспечению безопасности к компаниям, судам, портовым сооружениям, портам и службам управления движением судов, содержащиеся в законодательных актах Союза, охватывают всю деятельность, в том числе работу радио- и телекоммуникационных систем, компьютерных систем и сетей. В рамках обязательных для соблюдения процедур предусмотрены и процедуры по сообщению обо всех инцидентах, которые рассматриваются как lex specialis, поскольку указанные требования эквивалентны соответствующим положениям настоящей Директивы. (11) При определении операторов в секторе водного транспорта государства-члены ЕС должны учитывать действующие, а также принимаемые в будущем международные кодексы и руководящие принципы, разработанные в том числе и Международной морской организацией, для обеспечения согласованного подхода к отдельным морским операторам. (12) Регулирование и надзор за банковским сектором и инфраструктурами финансового рынка хорошо гармонизированы на уровне Союза посредством использования основного и вторичного законодательства и стандартов Союза, разработанных при участии Европейских надзорных органов. В банковском союзе применение указанных требований и надзор за их исполнением гарантируется единым надзорным механизмом. В государствах-членах ЕС, не являющихся участниками банковского союза, указанные гарантии предоставляются за счет регуляторов банковской системы государств-членов ЕС. В других областях регулирования финансового сектора Европейская система финансового надзора также гарантирует высокую степень однородности и совпадения надзорной практики. Европейский орган по ценным бумагам и рынкам также выполняет функции прямого надзора за определенными субъектами, а именно за кредитно-рейтинговыми агентствами и торговыми репозиториями. (13) Операционный риск является важной частью пруденциального регулирования и надзора в банковском секторе и инфраструктурах финансового рынка. Он охватывает всю деятельность, в том числе обеспечение безопасности, целостности и устойчивости сетевых и информационных систем. Требования к указанным системам, часто выходящие за пределы требований, установленных в настоящей Директиве, установлены в нескольких законодательных актах Союза, в том числе в: правилах о доступе к деятельности кредитных организаций и о пруденциальном надзоре за кредитными организациями и инвестиционными фирмами и правилах о пруденциальных требованиях к кредитным организациям и инвестиционным фирмам, которые содержат требования к операционным рискам; правилах о рынках финансовых инструментов, которые содержат требования по оценке рисков инвестиционных фирм и регулируемых рынков; правилах в отношении внебиржевых деривативов, центральных контрагентов и торговых репозиториев; и правилах по совершенствованию расчетов по ценным бумагам в Союзе и правилах в отношении центрального депозитария ценных бумаг, которые содержат требования к операционным рискам. Более того, требования по уведомлению об инцидентах представляют собой часть обычной надзорной практики в финансовом секторе и часто включаются в руководства по надзору. Государства-члены ЕС должны учитывать указанные правила и требования при применении lex specialis. (14) Как отмечает Европейский Центральный Банк в своем заключении от 25 июля 2014 г. <9>, настоящая Директива не затрагивает надзора Евросистемы за платежными и расчетными системами. Органам, ответственным за указанный надзор, будет необходимо обмениваться опытом по вопросам обеспечения безопасности сетевых и информационных систем с компетентными органами, указанными в настоящей Директиве. Те же рекомендации распространяются на страны, находящиеся за пределами еврозоны, но являющиеся членами Европейской системы центральных банков, которые осуществляют указанный надзор за платежными и расчетными системами в соответствии с национальным законодательством и нормативными положениями. --- <9> ОЖ N C 352, 07.10.2014, стр. 4. (15) Интернет-магазины позволяют потребителям и продавцам совершать продажи или заключать договоры на оказание услуг с продавцами через Интернет и представляют собой конечный пункт для заключения указанных договоров. Их действие не распространяется на онлайн-услуги, которые являются исключительно посредническими в услугах, оказываемых третьей стороной, если через них может быть в конечном итоге заключен договор. Следовательно, их действие также не распространяется на онлайн-услуги, в рамках которых представляется сравнительный анализ цен на определенные товары или услуги, предоставляемые различными поставщиками, и осуществляется дальнейшее направление пользователя к выбранному им поставщику для покупки продукта. Компьютерные услуги, оказываемые интернет-магазинами, могут включать в себя обработку трансакций, агрегацию данных или создание профайлов пользователей. Магазины приложений, функционирующие как онлайн-магазины, позволяющие осуществлять цифровую дистрибуцию приложений или программного обеспечения от имени третьих лиц, рассматриваются как вид интернет-магазинов. (16) Онлайн-поисковые системы позволяют пользователям осуществлять поиск практически всех веб-сайтов по запросу на любую тему. Кроме того, они могут быть ориентированы на веб-сайты на определенном языке. Определение онлайн-поисковой системы, содержащееся в настоящей Директиве, не должно охватывать поисковые функции, ограниченные содержанием определенного веб-сайта, независимо от того, предоставлена ли поисковая функция внешней поисковой системой или нет. Также оно не должно охватывать онлайн-услуги, в рамках которых представляется сравнительный анализ цен на определенные товары или услуги, предоставляемые различными поставщиками, и осуществляется дальнейшее направление пользователя к выбранному им поставщику для покупки продукта. (17) Операционная система на базе облака охватывает широкий спектр деятельности, который может быть представлен в соответствии с различными моделями. Для целей настоящей Директивы термин "операционная система на базе облака" охватывает услуги, которые позволяют получить доступ к расширяемому и адаптивному пулу многопользовательских компьютерных ресурсов. Указанные компьютерные ресурсы включают в себя такие ресурсы, как сети, серверы и другие объекты инфраструктуры, системы хранения данных, приложения и услуги. Термин "расширяемый" относится к компьютерным ресурсам, которые предоставляются провайдером облачных сервисов в гибкой форме независимо от географического расположения ресурсов, с целью обработки колебаний запросов. Термин "адаптивный пул" используется для определения доступных и предоставляемых в соответствии с запросом компьютерных ресурсов с целью быстрого повышения или снижения ресурсов, степень доступа к которым зависит от нагрузки. Термин "многопользовательский" применяется для определения тех компьютерных ресурсов, которые предоставляются нескольким пользователям, имеющим один и тот же доступ к услуге, но в которых обработка данных производится отдельно для каждого пользователя, при предоставлении услуги через одно электронное оборудование. (18) Функция точки обмена интернет-трафиком (IXP <10>) используется для соединения сетей. IXP не предоставляет доступа к сети, а также не выступает транзитным провайдером или поставщиком услуг связи. IXP также не оказывает и другие услуги, не связанные с соединением, указанное правило не препятствует операторам IXP оказывать несвязанные услуги. IXP существует для соединения сетей, которые технически и организационно разделены. Термин "автономная система" используется для определения технически обособленной сети. --- <10> Англ. - internet exchange point - прим. перевод. (19) Государства-члены ЕС ответственны за определение организаций, которые соответствуют критериям определения оператора основных услуг. Для обеспечения единого подхода определение оператора основных услуг должно согласованно применяться всеми государствами-членами ЕС. Для достижения указанной цели настоящая Директива предусматривает оценку деятельности организаций в определенных отраслях и подотраслях, устанавливает список основных услуг, предусматривает возможность введения единого списка межотраслевых факторов, необходимых для определения оказания потенциальными инцидентами существенного негативного воздействия, устанавливает консультационный механизм, в котором будут принимать участие соответствующие государства-члены ЕС в случае, если организация оказывает услуги в нескольких государствах-членах ЕС, а также предусматривает оказание поддержки Консультационной группе в процессе идентификации. Для обеспечения адекватной реакции на возможные изменения на рынке список идентифицированных операторов должен регулярно пересматриваться государствами-членами ЕС и при необходимости обновляться. И, наконец, государства-члены ЕС должны передать Европейской Комиссии информацию, необходимую для проведения оценки степени влияния указанной единой методологии на обеспечение согласованного применения определения государствами-членами ЕС. (20) В процессе идентификации операторов основных услуг государства-члены ЕС должны оценивать в каждой подотрасли, указанной в настоящей Директиве, какие услуги рассматриваются как основные с точки зрения поддержания важнейшей социально-экономической деятельности, а также насколько организации, указанные в отраслях и подотраслях, установленных в настоящей Директиве, оказывающие указанные услуги, отвечают критериям для идентификации операторов. При установлении того факта, оказывает ли организация услуги, необходимые для поддержания важнейшей социально-экономической деятельности, необходимо проверять, оказывает ли организация услугу, включенную в список основных услуг. Более того, необходимо подтвердить, что предоставление основной услуги зависит от сетевых и информационных систем. И, наконец, при оценке того, будет ли инцидент иметь существенное негативное влияние на предоставление услуг, государства-члены ЕС должны учитывать ряд межотраслевых факторов, а также при необходимости внутриотраслевые факторы. (21) Для целей идентификации операторов основных услуг размещение организаций в государствах-членах ЕС подразумевает эффективное и реальное осуществление деятельности в соответствии с устоявшимися формами организации. Правовая форма указанной организации, будь то филиал или дочернее предприятие, обладающие правоспособностью, в данном случае не является определяющим фактором. (22) Существует возможность оказания организациями, работающими в отраслях и подотраслях, указанных в настоящей Директиве, основных и неосновных услуг. Например, в отрасли воздушных перевозок, аэропорты оказывают услуги, которые рассматриваются государствами-членами ЕС как основные, так как они осуществляют управление взлетно-посадочными полосами, но также они оказывают ряд услуг, которые рассматриваются как неосновные, например, предоставление торговых площадей. Операторы основных услуг должны отвечать особым требованиям в области обеспечения безопасности только в отношении тех услуг, которые считаются основными. Таким образом, для целей идентификации операторов государства-члены ЕС должны установить список услуг, которые считаются основными. (23) Список услуг должен включать в себя перечень всех услуг, предоставляемых на территории государства-члена ЕС, отвечающего всем требованиям, установленным в настоящей Директиве. Государства-члены ЕС должны иметь возможность дополнить список, включив в него новые услуги. Список услуг служит для государств-членов ЕС отправной точкой при идентификации операторов основных услуг. Его целью является определение типов основных услуг в любой отрасли, указанной в настоящей Директиве, а также отделение указанных услуг от сопутствующих услуг, которые может выполнять организация, работающая в определенной отрасли. Список услуг, установленный каждым государством-членом ЕС, вносит вклад в оценку регулятивной практики каждого государства-члена ЕС для обеспечения общей согласованности процесса идентификации среди государств-членов ЕС. (24) Для целей процесса идентификации, если организация оказывает основные услуги в двух или более государствах-членах ЕС, указанные государства-члены ЕС должны проводить между собой двусторонние или многосторонние переговоры. Целью указанного консультационного процесса является оказание помощи государствам-членам ЕС в проведении оценки степени воздействия оператора на трансграничные отношения, что в свою очередь позволяет заинтересованным государствам-членам ЕС высказать свое мнение о рисках, связанных с предоставляемыми услугами. В указанном процессе заинтересованные государства-члены ЕС должны учитывать мнения друг друга, а также в указанных целях должны иметь возможность обратиться за помощью к Группе по сотрудничеству. (25) В результате идентификационного процесса государства-члены ЕС должны принять меры по определению организаций, которые должны исполнять обязательства по обеспечению безопасности сетевых и информационных систем. Указанные цели могут быть достигнуты путем принятия перечня всех операторов основных услуг или принятия национальных мер, в том числе объективных количественных критериев, таких как производительная мощность оператора или количество пользователей, которые позволят определить организации, которые должны исполнять обязательства по обеспечению безопасности сетевых и информационных систем. Уже действующие или принятые в свете настоящей Директивы национальные меры должны содержать все правовые меры, административные и политические меры, которые позволяют провести идентификацию операторов основных услуг в соответствии с настоящей Директивой. (26) Для определения значимости идентифицированного оператора основных услуг в соответствующей отрасли государства-члены ЕС должны учитывать количество и размер указанных операторов, например, с точки зрения занимаемой доли рынка или объемов производства или поставляемых услуг, при этом на них не возлагается обязанность по раскрытию информации, позволяющей выявить идентифицированного оператора. (27) Для определения инцидентов, способных оказать существенное негативное воздействие на предоставление основных услуг, государства-члены ЕС должны учитывать ряд различных факторов, таких как количество пользователей, прибегающих к указанной услуге в личных или профессиональных целях. Под использованием услуги понимается непосредственное, косвенное использование или использование через представителя. При оценке возможного воздействия инцидента на социально-экономическую деятельность или общественную безопасность с точки зрения его масштаба и продолжительности государства-члены ЕС также должны оценивать, сколько пройдет времени, прежде чем перерыв начнет оказывать отрицательное воздействие. (28) В дополнение к межотраслевым факторам также необходимо при определении возможности оказания инцидентами существенного негативного воздействия на предоставление основных услуг учитывать внутриотраслевые факторы. Для поставщиков энергии в число указанных факторов необходимо включать объем или долю вырабатываемой электроэнергии на национальном уровне; для поставщиков нефти - ежедневные объемы; для воздушного транспорта, в том числе аэропортов и авиаперевозчиков, железнодорожного транспорта и морских портов - долю национального объема перевозок и количество пассажиров или грузовых операций в год; для банковского сектора и инфраструктур финансового рынка - их системную значимость в зависимости от совокупных активов или отношение указанных совокупных активов к ВВП; для отрасли здравоохранения - количество пациентов, обслуживаемых поставщиком медицинских услуг, в год; для отрасли по добыче, обработке и поставке воды - объем, количество и тип пользователей, которым была поставлена вода, в том числе, например, больницы, организации по обслуживанию населения или отдельных физических лиц, а также наличие альтернативных источников воды на той же географической территории. (29) Для достижения и поддержания высокого уровня безопасности сетевых и информационных систем каждое государство-член ЕС должно разработать национальную стратегию по обеспечению безопасности сетевых и информационных систем, в которой будут определены цели стратегии и конкретные тактические действия, подлежащие реализации. (30) В связи с различными национальными структурами управления, а также в целях обеспечения сохранности существующих отраслевых систем регулирования или органов надзора и регулирования на уровне Союза, а также во избежание дублирования государства-члены ЕС должны иметь возможность назначить несколько национальных компетентных органов, ответственных за выполнение задач, связанных с обеспечением безопасности сетевых и информационных систем операторами основных услуг и провайдерами цифровых услуг в соответствии с настоящей Директивой. (31) Для упрощения трансграничного сотрудничества и взаимодействия, а также для обеспечения эффективной имплементации настоящей Директивы каждое государство-член ЕС без ущерба действию положений, направленных на отраслевое регулирование, должно назначить единый национальный контактный пункт, ответственный за осуществление деятельности в области координации по вопросам безопасности сетевых и информационных систем и трансграничное взаимодействие на уровне Союза. Компетентные органы и единые контактные пункты должны обладать надлежащими техническими, финансовыми и человеческими ресурсами для эффективного и квалифицированного выполнения своих задач, а также для достижения целей настоящей Директивы. Поскольку настоящая Директива направлена на улучшение функционирования внутреннего рынка путем укрепления доверия и уверенности, органы государств-членов ЕС должны иметь возможность эффективно взаимодействовать с субъектами экономической деятельности, а также должны быть надлежащим образом структурированы. (32) Уведомления об инцидентах должны предоставляться в компетентные органы или в группы реагирования на инциденты, связанные с компьютерной безопасностью ("CSIRTs" <11>). Непосредственно в единые контактные пункты уведомления об инцидентах не направляются, за исключением случаев, когда они также действуют в качестве компетентного органа или CSIRT. Однако компетентный орган или CSIRT может уполномочить единый контактный пункт на передачу уведомлений об инцидентах в единые контактные пункты других заинтересованных государств-членов ЕС. --- <11> Англ. - computer security incident response team, CSIRTs. При употреблении в единственном числе - CSIRT - прим. перевод. (33) В целях надлежащей передачи информации государствам-членам ЕС и Европейской Комиссии единый контактный пункт должен представить Группе по сотрудничеству сводный отчет, сведения в котором должны быть обезличены для обеспечения конфиденциальности уведомления и сведений об операторах основных услуг и провайдерах цифровых услуг, также для обмена передовым опытом в рамках Группы по координации не требуется предоставление информации об организации, направившей уведомление. В сводном отчете должна быть указана информация о количестве полученных уведомлений, а также данные о характере инцидента, в отношении которого направлено уведомление, такие как типы нарушений безопасности, их тяжесть и длительность. (34) Государства-члены ЕС должны иметь надлежащее техническое и организационное оснащение для предотвращения, выявления, реагирования и снижения последствий инцидентов и рисков в области сетевых и информационных систем. Государства-члены ЕС также должны гарантировать надлежащее функционирование на их территории CSIRTs, также известных как группы быстрого реагирования на нарушения компьютерной безопасности (CERTs <12>), соответствующих основным требованиям в области обеспечения эффективной и последовательной борьбы с инцидентами и рисками и обеспечения эффективного сотрудничества на уровне Союза. Для того чтобы все виды операторов основных услуг и провайдеров цифровых услуг могли воспользоваться преимуществами указанной борьбы и сотрудничества, государства-члены ЕС должны обеспечить, чтобы в отношении каждого вида операторов действовала назначенная CSIRT. Учитывая важность международного сотрудничества в области кибербезопасности, CSIRTs должны иметь возможность принимать участие не только в сетях CSIRTs, установленных в соответствии с настоящей Директивой, но и дополнительно в сетях по международному сотрудничеству. --- <12> Англ. - computer emergency response team, CERTs. При употреблении в единственном числе - CERT - прим. перевод. (35) Поскольку большинство сетевых и информационных систем находится в частной собственности, сотрудничество между государственным и частным секторами имеет большое значение. Необходимо поощрять операторов основных услуг и провайдеров цифровых услуг в разработке своих собственных механизмов неформального сотрудничества для обеспечения безопасности сетевых и информационных систем. Группа по сотрудничеству при необходимости должна иметь возможность пригласить заинтересованные стороны принять участие в обсуждении. Для оказания активного содействия обмену информацией и передовым опытом необходимо обеспечить, чтобы операторам основных услуг и провайдерам цифровых услуг, участвующим в подобном обмене, не был причинен ущерб указанным сотрудничеством. (36) ENISA должно оказывать помощь государствам-членам ЕС, предоставляя консультации и рекомендации, а также упрощая процесс обмена передовым опытом. В частности, в ходе применения настоящей Директивы Европейская Комиссия должна обращаться за консультациями к ENISA, а государства-члены ЕС должны иметь возможность обращаться за указанными консультациями. В целях наращивания потенциала и распространения знаний в государствах-членах ЕС обмен передовым опытом, обсуждение возможностей и готовности государств-членов ЕС на добровольной основе оказывать помощь членам Группы по сотрудничеству в оценке национальных стратегий по обеспечению безопасности сетевых и информационных систем, а также наращивание потенциала и оценка опыта в области обеспечения безопасности сетевых и информационных систем должны происходить также и в рамках деятельности Группы по сотрудничеству. (37) При необходимости государства-члены ЕС должны иметь возможность в ходе применения настоящей Директивы использовать или приспосабливать уже существующие организационные структуры или стратегии. (38) Сопредельные задачи Группы по сотрудничеству и ENISA взаимозависимы и дополняют друг друга. В целом ENISA должно оказывать помощь Группе по сотрудничеству в достижении ее задач в соответствии с целью ENISA, установленной в Регламенте (ЕС) 526/2013 Европейского Парламента и Совета ЕС <13>, а именно, оказывать помощь организациям, органам, учреждениям и агентствам Союза, а также государствам-членам ЕС в реализации политики, необходимой для выполнения законодательных и регламентарных требований в области обеспечения безопасности сетевых и информационных систем, в соответствии с действующими и принимаемыми в будущем правовыми актами Союза. В частности, ENISA должно оказывать содействие в областях, соответствующих его задачам согласно Регламенту (ЕС) 526/2013, а именно проведение анализа стратегий по обеспечению безопасности сетевых и информационных систем, обмен информацией и передовым опытом в области повышения осведомленности и проведения обучения. Также ENISA должно участвовать в разработке руководств по определению внутриотраслевых критериев оценки существенности влияния инцидентов. --- <13> Регламент (ЕС) 526/2013 Европейского Парламента и Совета ЕС от 21 мая 2013 г. о Европейском агентстве по сетевой и информационной безопасности ("ENISA") и об отмене Регламента (ЕС) 460/2004 (ОЖ N L 165, 18.06.2013, стр. 41). (39) В целях развития улучшенной безопасности сетевых и информационных систем Группа по сотрудничеству должна при необходимости сотрудничать с соответствующими организациями, органами, учреждениями и агентствами Союза для обмена ноу-хау и передовой практикой, а также для предоставления консультации по вопросам безопасности сетевых и информационных систем, оказывающим влияние на их деятельность, при одновременном соблюдении правил обмена секретной информацией. При сотрудничестве с правоохранительными органами по вопросам, связанным с обеспечением безопасности сетевых и информационных систем, затрагивающим их деятельность, Группа по сотрудничеству должна придерживаться существующих каналов обмена информацией и установленных сетей. (40) Информация по инцидентам представляет особую значимость для общественности и предприятий, в частности для малых и средних предприятий. В некоторых случаях указанная информация также предоставляется через веб-сайты на национальном уровне на языке определенной страны и освещает инциденты и происшествия, произошедшие на территории государства. Учитывая, что указанные предприятия все чаще осуществляют трансграничную деятельность, а граждане пользуются онлайн-услугами, информация об инцидентах должна предоставляться в обобщенном виде на уровне Союза. Секретариату сети CSIRTs рекомендуется поддерживать веб-сайт или создать отдельную страницу на существующем веб-сайте, на которых будет размещена в общем доступе информация об основных инцидентах, произошедших на территории Союза, особое внимание в которой будет обращено на интересы и потребности предприятий. Поощряется участие CSIRTs в сетях CSIRTs для размещения информации на добровольной основе на указанном веб-сайте, за исключением конфиденциальной и секретной информации. (41) Если информация в соответствии с нормами Союза и национальными нормами о коммерческой тайне считается конфиденциальной, указанная тайна должна быть гарантирована при осуществлении деятельности и выполнении обязательств в соответствии с настоящей Директивой. (42) Учения, в рамках которых в режиме реального времени моделируются сценарии инцидентов, играют важную роль в проверке готовности государств-членов ЕС и степени их сотрудничества в области обеспечения безопасности сетевых и информационных систем. Цикл учений CyberEurope, проводимый ENISA при участии государств-членов ЕС, представляет собой полезный механизм для проведения проверки и составления рекомендаций по будущему улучшению действий, направленных на борьбу с инцидентами на уровне Союза. Поскольку в настоящее время государства-члены ЕС не обязаны участвовать в планировании или проведении учений, создание в соответствии с настоящей Директивой сети CSIRTs позволит государствам-членам ЕС принимать участие в учениях на основе точного планирования и принятия стратегических решений. В рамках Группы по сотрудничеству, учрежденной в соответствии с настоящей Директивой, должно проходить обсуждение стратегических решений, относящихся к учениям, в том числе по вопросам частоты проведения учений и их сценариев, но не ограничиваясь ими. В соответствии со своим мандатом ENISA должно поддерживать организацию и проведение учений на уровне Союза, предоставляя экспертную оценку и консультируя Группу по сотрудничеству и сеть CSIRTs. (43) Принимая во внимание глобальный характер проблем в области безопасности сетевых и информационных систем, необходимо создавать более тесное международное сотрудничество для улучшения стандартов безопасности и обмена информацией, а также для содействия общему глобальному подходу к вопросам безопасности. (44) В значительной степени ответственность за обеспечение безопасности сетевых и информационных систем лежит на операторах основных услуг и провайдерах цифровых услуг. Необходимо развивать культуру управления рисками, в том числе оценку рисков и осуществление мер по обеспечению безопасности в связи с возможными рисками, а также разрабатывать культуру путем принятия соответствующих нормативных требований и развития добровольной практики в определенной отрасли. Установление заслуживающих доверия равных условий также играет важную роль в обеспечении надлежащего функционирования Группы по сотрудничеству и сети CSIRTs и гарантировании эффективного сотрудничества государств-членов ЕС. (45) Настоящая Директива распространяется только на те государственные административные органы, которые были идентифицированы как операторы основных услуг. Следовательно, государства-члены ЕС обязаны гарантировать безопасность сетевых и информационных систем административных органов, не подпадающих под сферу действия настоящей Директивы. (46) Меры, направленные на управление рисками, включают в себя меры по определению любых рисков наступления инцидентов, по предотвращению, обнаружению и устранению инцидентов, а также по смягчению их последствий. Безопасность сетевых и информационных систем включает в себя безопасность хранения, передачи и обработки данных. (47) За компетентными органами должно сохраниться право на принятие на национальном уровне руководств, касающихся обстоятельств, в которых операторы основных услуг должны уведомлять об инцидентах. (48) Многие предприятия в Союзе полагаются на провайдеров цифровых услуг при оказании своих услуг. Поскольку некоторые цифровые услуги являются важным ресурсом для пользователей, в том числе операторов основных услуг, а также поскольку у указанных пользователей не всегда имеются иные варианты, настоящая Директива также должна применяться и к провайдерам указанных услуг. Безопасность, стабильность и надежность указанных в настоящей Директиве типов цифровых услуг играют ключевую роль в нормальном функционировании многих предприятий. Нарушение работы указанных цифровых услуг может препятствовать оказанию других услуг, основанных на цифровых услугах, а следовательно, повлиять на основные виды экономической и социальной деятельности в Союзе. В этой связи указанные цифровые услуги могут оказывать существенное влияние на нормальное функционирование зависящих от них предприятий и, более того, на деятельность указанных предприятий на внутреннем рынке и в области трансграничной торговли на территории Союза. Под действие настоящей Директивы подпадают те провайдеры цифровых услуг, на цифровые услуги которых полагается все больше предприятий в Союзе. (49) Провайдеры цифровых услуг должны обеспечивать уровень безопасности, соответствующий степени риска, угрожающего безопасности предоставляемых ими цифровых услуг, с учетом влияния их услуг на функционирование других предприятий в Союзе. На практике степень риска операторов основных услуг, которые часто играют важную роль в поддержании ключевой социально-экономической деятельности, выше, чем степень риска провайдеров цифровых услуг. Следовательно, требования к провайдерам цифровых услуг в области обеспечения безопасности должны быть более мягкими. Провайдеры цифровых услуг должны сохранять за собой право принимать по своему усмотрению меры, необходимые для управления рисками, угрожающими безопасности их сетевых и информационных систем. В связи с трансграничной природой провайдеров цифровых услуг к ним должен применяться более гармонизированный подход на уровне Союза. Спецификации и имплементации указанных мер должны способствовать имплементационные акты. (50) Хотя производители технического оборудования и разработчики программного обеспечения не являются операторами основных услуг или провайдерами цифровых услуг, их продукция повышает безопасность сетевых и информационных систем. В этой связи они играют важную роль в гарантировании операторами основных услуг и провайдерами цифровых услуг безопасности их сетевых и информационных систем. На указанные аппаратные и программные продукты также распространяются действующие нормы, регулирующие ответственность за качество продукции. (51) Возложенные на операторов основных услуг и провайдеров цифровых услуг технические и организационные меры не должны возлагать обязанности по проектированию, разработке или производству определенным образом продуктов коммерческой информации и продуктов коммуникационных технологий. (52) Операторы основных услуг и провайдеры цифровых услуг должны гарантировать безопасность используемых ими сетевых и информационных систем. Они, как правило, представляют собой частные сетевые или информационные сети, управляемые собственным IT-персоналом, или их безопасность обеспечивается за счет привлечения сторонних специалистов. Требования в области обеспечения безопасности и уведомления распространяются на операторов основных услуг и провайдеров цифровых услуг независимо от того, сами ли они осуществляют управление сетевыми и информационными системами или привлекают сторонних специалистов. (53) Для того чтобы операторы основных услуг и провайдеры цифровых услуг не несли излишнее финансовое и административное бремя, требования должны соответствовать рискам, угрожающим соответствующим сетевым и информационным системам, с учетом последних технических разработок в области указанных мер. Что касается провайдеров цифровых услуг, указанные меры не применяются к микропредприятиям и малым предприятиям. (54) Если органы государственного управления в государствах-членах ЕС пользуются услугами провайдеров цифровых услуг, в частности, операционными системами на базе облака, они имеют право требовать от провайдеров указанных услуг принятия дополнительных мер безопасности, выходящих за рамки мер, обычно предлагаемых провайдерами цифровых услуг в соответствии с настоящей Директивой. Сделать это возможно путем установления договорных обязательств. (55) Содержащиеся в настоящей Директиве определения онлайн-магазинов, онлайн-поисковых систем и операционных систем на базе облака используются для конкретных целей настоящей Директивы и не затрагивают другие акты. (56) Настоящая Директива не препятствует государствам-членам ЕС принимать национальные меры, требующие от органов государственного сектора обеспечивать выполнение особых требований в области безопасности при заключении договоров об использовании операционных систем на базе облака. Указанные национальные меры применяются к органам государственного сектора, а не к провайдерам операционных систем на базе облака. (57) Учитывая фундаментальные различия между операторами основных услуг, в частности, их прямую связь с материальной базой, и провайдерами цифровых услуг, в частности, их трансграничную природу, в настоящей Директиве должны применяться различные подходы к указанным двум группам субъектов с точки зрения уровня гармонизации. В отношении операторов основных услуг государства-члены ЕС должны быть уполномочены проводить идентификацию соответствующих операторов и предъявлять к ним более строгие требования, чем установлены в настоящей Директиве. Государства-члены ЕС не должны проводить идентификацию провайдеров цифровых услуг, поскольку настоящая Директива применяется ко всем провайдерам цифровых услуг, подпадающим под ее сферу действия. Кроме того, настоящая Директива и принятые в соответствии с ней имплементационные акты должны обеспечивать высокий уровень гармонизации требований по обеспечению безопасности и уведомлению, предъявляемых к провайдерам цифровых услуг. Указанное требование позволит установить одинаковое отношение к провайдерам цифровых услуг на территории Союза, соответствующее их природе и уровню риска, с которым они могут столкнуться. (58) Настоящая Директива не препятствует государствам-членам ЕС возлагать на предприятия, не являющиеся провайдерами цифровых услуг, подпадающими под действие настоящей Директивы, требования по обеспечению безопасности и уведомлению, без ущерба действию обязательств государств-членов ЕС в соответствии с законодательством Союза. (59) Компетентные органы должны уделять внимание сохранению неформальных и надежных каналов обмена информацией. При предании гласности инцидентов, о которых было сообщено компетентным органам, должен соблюдаться баланс интересов общественности, которая имеет право получать информацию о возможных угрозах для репутации и коммерческих угрозах для операторов основных услуг и провайдеров цифровых услуг, сообщающих об инцидентах. При осуществлении своих обязательств по уведомлению компетентные органы и CSIRTs должны уделять особое внимание необходимости сохранять строгую конфиденциальность информации об уязвимости продукта до публикации соответствующих корректировок безопасности. (60) Надзорная деятельность провайдеров цифровых услуг должна носить упрощенный характер, и характер последующего реагирования согласно природе оказываемых услуг и операций. В этой связи заинтересованные компетентные органы должны принимать меры только после получения от самого провайдера цифровых услуг, от другого компетентного органа, в том числе компетентного органа другого государства-члена ЕС, или от потребителя услуг доказательств того, что провайдер цифровых услуг не выполняет требований настоящей Директивы, в частности, вследствие наступления инцидента. Следовательно, на компетентные органы не должны возлагаться общие обязательства по надзору за провайдерами цифровых услуг. (61) Компетентные органы должны обладать всеми необходимыми средствами для выполнения своих обязательств, в том числе полномочиями по получению достаточной для проведения оценки уровня безопасности сетевых и информационных систем информации. (62) Инциденты могут быть результатом преступной деятельности, предупреждение, расследование и судебное преследование которой осуществляется при координации деятельности и взаимодействии операторов основных услуг, провайдеров цифровых услуг, компетентных органов и правоохранительных органов. Если существует подозрение, что инцидент связан с тяжкой преступной деятельностью в соответствии с правом Союза или национальным правом, государства-члены ЕС должны поощрять операторов основных услуг или провайдеров цифровых услуг за сообщение об инцидентах, которые могут быть связаны с тяжкими преступлениями, в соответствующие правоохранительные органы. При необходимости желательно, чтобы Европейский центр по борьбе с киберпреступностью <14> (EC3) и ENISA способствовали взаимодействию компетентных органов и правоохранительных органов. --- <14> Англ. - European Cybercrime Center - прим. перевод. (63) Во многих случаях в результате инцидентов подвергаются риску персональные данные. В связи с этим компетентные органы и органы по надзору за соблюдением законодательства о защите персональных данных должны сотрудничать и обмениваться информацией по всем соответствующим вопросам для противодействия нарушениям персональных данных, вызванных инцидентами. (64) Провайдеры цифровых услуг должны относиться к юрисдикции государств-членов ЕС, которые являются основным местом размещения в Союзе, что фактически соответствует месту размещения головного офиса провайдера в Союзе. Размещение подразумевает под собой эффективное фактическое осуществление деятельности в соответствии с устоявшимися формами организации. Правовая форма указанной организации, будь то филиал или дочернее предприятие, обладающие правоспособностью, в данном случае не является определяющим фактором. Указанный критерий не должен зависеть от фактического расположения сетевых или информационных систем в указанном месте; само по себе наличие и использование указанных систем не представляет собой указанное основное место размещения, а следовательно, не является критерием для определения основного места размещения. (65) Если провайдер цифровых услуг, не учрежденный на территории Союза, оказывает услуги на территории Союза, он должен назначить представителя. Для того чтобы определить, оказывает ли провайдер цифровых услуг услуги на территории Союза, необходимо бесспорно установить, что провайдер цифровых услуг намерен предлагать свои услуги лицам в одном или нескольких государствах-членах ЕС. Только доступность в Союзе веб-сайта провайдера цифровых услуг или его посредника, его адреса электронной почты или иной контактной информации, а также использование языка, обычно используемого в третьей стране, в которой учрежден провайдер цифровых услуг, не является достаточным подтверждением указанных намерений. Однако такие факты, как использование языка или валюты, обычно используемых в одном или нескольких государствах-членах ЕС, с предоставлением возможности заказа услуг на указанном языке или упоминание находящихся в Союзе потребителей или пользователей, могут явно свидетельствовать о намерении провайдера цифровых услуг оказывать услуги на территории Союза. Представитель должен действовать от имени провайдера цифровых услуг, а компетентным органам или CSIRTs должна быть предоставлена возможность связаться с представителем. В письменном предписании провайдера цифровых услуг должно быть четко указано на полномочия представителя действовать от имени провайдера по обязательствам последнего, установленным в настоящей Директиве, в том числе сообщать об инцидентах. (66) Стандартизация требований в области безопасности представляет собой процесс, подчиняющийся законам рынка. В целях обеспечения единообразного применения стандартов безопасности государства-члены ЕС должны поощрять соответствие установленным стандартам или их соблюдение в целях обеспечения высокого уровня безопасности сетевых и информационных систем на уровне Союза. ENISA должно оказывать в этом содействие государствам-членам ЕС путем предоставления консультаций и рекомендаций. Для достижения указанной цели будет целесообразно разработать проект гармонизированных стандартов в соответствии с [Регламентом](https://bukva.ai/docs/reglament-10252012/statya-1) (ЕС) 1025/2012 Европейского Парламента и Совета ЕС <15>. --- <15> [Регламент](https://bukva.ai/docs/reglament-10252012/statya-1) (ЕС) 1025/2012 Европейского Парламента и Совета ЕС от 25 октября 2012 г. о европейской стандартизации, изменении Директив 89/686/ЕЭС и 93/15/ЕЭС Совета ЕС и Директив 94/9/EC, 94/25/EC, 95/16/EC, 97/23/EC, 98/34/EC, 2004/22/EC, 2007/23/EC, 2009/23/EC и 2009/105/EC Европейского Парламента и Совета ЕС и отмене Решения 87/95/ЕЭС Совета ЕС и Решения 1673/2006/ЕС Европейского парламента и Совета ЕС (ОЖ N L 316, 14.11.2012, стр. 12). (67) Организации, не подпадающие под сферу действия настоящей Директивы, могут столкнуться с инцидентами, оказывающими серьезное влияние на оказываемые ими услуги. Если организации решат, что сообщение о возникновении указанных инцидентов соответствует общественным интересам, они должны иметь возможность добровольно сообщить о них. Указанные сообщения должны рассматриваться компетентными органами или CSIRT, за исключением случаев, когда такое рассмотрение может возложить на заинтересованные государства-члены ЕС чрезмерное и неоправданное бремя. (68) С целью обеспечения единых условий имплементации настоящей Директивы имплементационные полномочия по принятию процессуальных норм, необходимых для функционирования группы по сотрудничеству, и по принятию требований в области обеспечения безопасности и нотификации, применимых к провайдерам цифровых услуг, должны быть возложены на Европейскую Комиссию. Указанные полномочия должны осуществляться в соответствии с [Регламентом](https://bukva.ai/docs/reglament-1822011/statya-1) (ЕС) 182/2011 Европейского Парламента и Совета ЕС <16>. При принятии имплементационных актов в отношении процедурных норм, необходимых для функционирования группы по сотрудничеству, Европейская Комиссия должна учитывать заключение ENISA. --- <16> [Регламент](https://bukva.ai/docs/reglament-1822011/statya-1) (ЕС) 182/2011 Европейского Парламента и Совета ЕС от 16 февраля 2011 г., устанавливающий правила и общие принципы относительно механизмов контроля государствами-членами ЕС выполнения Европейской Комиссией имплементационных полномочий (ОЖ N L 55, 28.02.2011, стр. 13). (69) При принятии имплементационных актов в отношении требований в области обеспечения безопасности, применимых к провайдерам цифровых услуг, Европейская Комиссия должна учитывать заключение ENISA, а также должна консультироваться с заинтересованными сторонами. Кроме того, Европейской Комиссии рекомендуется принимать во внимание следующие примеры: в отношении безопасности систем и предприятий: физическую и экологическую безопасность, безопасность поставок, контроль доступа к сетевым и информационным системам и целостность сетевых и информационных систем; в отношении управления инцидентами: процедуры управления инцидентами, способность выявления инцидентов, отчеты и сообщения об инцидентах; в отношении управления устойчивостью бизнеса: стратегию непрерывности услуг и чрезвычайный план, средства аварийного восстановления; и в отношении мониторинга, аудита и тестирования: политику в области мониторинга и регистрации данных, осуществление чрезвычайных планов, тестирование сетевых и информационных систем, оценку безопасности и мониторинг соответствия. (70) При имплементации настоящей Директивы Европейская Комиссия должна при необходимости устанавливать связь с соответствующими отраслевыми комитетами и соответствующими органами, учрежденными на уровне Союза, в областях, подпадающих под действие настоящей Директивы. (71) Европейская Комиссия должна периодически пересматривать положения настоящей Директивы, прибегая к консультациям с заинтересованными сторонами, в частности, с точки зрения необходимости внесения изменений в свете изменений в обществе, политике, а также технологических или рыночных условиях. (72) Процесс обмена информацией по вопросам рисков и инцидентов в рамках Группы по сотрудничеству и сети CSIRTs, а также процесс выполнения требований по уведомлению национальных компетентных органов или CSIRTs об инцидентах может потребовать обработки персональных данных. Указанная обработка должна соответствовать требованиям [Директивы](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС Европейского Парламента и Совета ЕС <17> и [Регламента](https://bukva.ai/docs/reglament-452001/statya-1) (ЕС) 45/2001 Европейского Парламента и Совета ЕС <18>. При применении настоящей Директивы при необходимости должен применяться [Регламент](https://bukva.ai/docs/reglament-10492001/statya-1) (ЕС) 1049/2001 Европейского Парламента и Совета ЕС <19>. --- <17> [Директива](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС Европейского Парламента и Совета ЕС от 24 октября 1995 г. о защите физических лиц в отношении обработки персональных данных и о свободном обращении таких данных (ОЖ N L 281, 23.11.1995, стр. 31). <18> [Регламент](https://bukva.ai/docs/reglament-452001/statya-1) (ЕС) 45/2001 Европейского Парламента и Совета ЕС от 18 декабря 2000 г. о защите физических лиц в отношении обработки персональных данных, осуществляемой учреждениями и органами Сообщества, и о свободном обращении таких данных (ОЖ N L 8, 12.01.2001, стр. 1). <19> [Регламент](https://bukva.ai/docs/reglament-10492001/statya-1) (ЕС) 1049/2001 Европейского Парламента и Совета ЕС от 30 мая 2001 г. о доступе к документам Европейского Парламента, Совета ЕС и Европейской Комиссии (ОЖ N L 145, 31.05.2001, стр. 43). (73) В соответствии со [Статьей 28(2)](https://bukva.ai/docs/reglament-452001/statya-28#p100320) Регламента (ЕС) 45/2001 с Европейским инспектором по защите данных были проведены консультации, и он представил свое заключение от 14 июня 2013 г. <20> --- <20> ОЖ N C 32, 04.02.2014, стр. 19. (74) Поскольку цель настоящей Директивы, а именно достижение единого высокого уровня безопасности сетевых и информационных систем в Союзе, не может быть полностью достигнута государствами-членами ЕС, но в силу последствий деятельности может быть эффективнее достигнута на уровне Союза, Союз может принять меры в соответствии с принципом субсидиарности, установленным в [Статье 5](https://bukva.ai/docs/dogovor-o-evropeyskom-soyuze-rus-angl/statya-5#p100099) Договора о Европейском Союзе. В соответствии с принципом пропорциональности, установленным данной [Статьей](https://bukva.ai/docs/dogovor-o-evropeyskom-soyuze-rus-angl/statya-5#p100099), настоящая Директива не выходит за пределы того, что необходимо для достижения указанной цели. (75) Настоящая Директива учитывает основные права и соблюдает принципы, признанные [Хартией](https://bukva.ai/docs/hartiya-2007s-30301/statya-1) Европейского Союза об основных правах, в частности, право на уважение частной жизни и конфиденциальность сообщений, защиту личных данных, свободу ведения бизнеса, право собственности, право на эффективное средство досудебной правовой защиты и право быть выслушанными. Имплементация настоящей Директивы должна осуществляться в соответствии с указанными правами и принципами, Приняли настоящую Директиву: ## Статья 1 ### Глава I. ОБЩИЕ ПОЛОЖЕНИЯ ### Статья 1 Предмет и сфера действия 1. Настоящая Директива устанавливает меры, направленные на достижение единого высокого уровня безопасности сетевых и информационных систем в Союзе с целью улучшения функционирования внутреннего рынка. 2. В указанных целях настоящая Директива: (a) возлагает на все государства-члены ЕС обязательства по принятию национальной стратегии по обеспечению безопасности сетевых и информационных систем; (b) создает Группу по сотрудничеству для оказания помощи и содействия стратегическому взаимодействию и обмену информацией между государствами-членами ЕС, а также для укрепления доверия между ними; (c) устанавливает сеть групп реагирования на инциденты, связанные с компьютерной безопасностью ("сеть CSIRTs"), чтобы способствовать укреплению доверия между государствами-членами ЕС и быстрому и эффективному оперативному сотрудничеству; (d) устанавливает требования к операторам основных услуг и провайдерам цифровых услуг по обеспечению безопасности и уведомлению; (e) возлагает на государства-члены ЕС обязательства по назначению национальных компетентных органов, единого контактного пункта и CSIRTs с возложением на них задач по обеспечению безопасности сетевых и информационных систем. 3. Требования по обеспечению безопасности и уведомлению, установленные в настоящей Директиве, не распространяются на предприятия, подпадающие под требования, установленные в [Статьях 13a](https://bukva.ai/docs/direktiva-200221es/statya-14#p100318) и [13b](https://bukva.ai/docs/direktiva-200221es/statya-14#p100324) Директивы 2002/21/ЕС, а также на провайдеров удостоверительных сервисов, подпадающих под требования [Статьи 19](https://bukva.ai/docs/reglament-9102014/statya-19#p100343) Регламента (ЕС) 910/2014. 4. Настоящая Директива применяется без ущерба действию [Директивы](https://bukva.ai/docs/direktiva-2008114es/statya-1) 2008/144/ЕС Совета ЕС [<21>](https://bukva.ai/docs/direktiva-20161148/statya-1#p100138) и Директив 2011/93/ЕС [<22>](https://bukva.ai/docs/direktiva-20161148/statya-1#p100139) и [2013/40/ЕС](https://bukva.ai/docs/direktiva-201340es/statya-1) [<23>](https://bukva.ai/docs/direktiva-20161148/statya-1#p100140) Европейского Парламента и Совета ЕС. --- <21> [Директива](https://bukva.ai/docs/direktiva-2008114es/statya-1) 2008/144/ЕС Совета ЕС от 8 декабря 2008 г. об определении и обозначении европейских объектов жизнеобеспечения и оценке необходимости в укреплении их защиты (ОЖ N L 345, 23.12.2008, стр. 75). <22> Директива 2011/93/ЕС Европейского Парламента и Совета ЕС от 13 декабря 2011 г. о борьбе с сексуальным насилием, сексуальной эксплуатацией детей и детской порнографией и о замене Рамочного Решения 2004/68/ПВД Совета ЕС (ОЖ N L 335, 17.12.2011, стр. 1). <23> [Директива](https://bukva.ai/docs/direktiva-201340es/statya-1) 2013/40/ЕС Европейского Парламента и Совета ЕС от 12 августа 2013 г. об атаках на информационные системы и о замене Рамочного Решения 2005/222/ПВД Совета ЕС (ОЖ N L 218, 14.08.2013, стр. 8). 5. Без ущерба действию положений [Статьи 346](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-346#p102317) TFEU обмен информацией, подпадающей под категорию конфиденциальной информации в соответствии с нормами Союза или национальными нормами, например, нормами о коммерческой тайне, с Европейской Комиссией и другими соответствующими органами может быть осуществлен, только если он необходим для применения настоящей Директивы. Информационный обмен должен быть ограничен рамками соответствия и пропорциональности целям указанного обмена. Указанный обмен информацией должен соблюдать режим конфиденциальности информации и охранять безопасность и коммерческие интересы операторов основных услуг и провайдеров цифровых услуг. 6. Настоящая Директива применятся без ущерба осуществлению государствами-членами ЕС действий, направленных на защиту основных государственных функций, в частности, защиту национальной безопасности, в том числе действий, направленных на защиту информации, раскрытие которой, по мнению государства-члена ЕС, будет противоречить соблюдению основных интересов его безопасности, а также поддержание законности и порядка, в частности, обеспечение раскрытия, расследования и уголовного преследования преступлений. 7. Если внутриотраслевые правовые акты Союза требуют от операторов основных услуг или провайдеров цифровых услуг обеспечивать безопасность их сетевых и информационных систем и уведомлять об инцидентах, при условии, что указанные требования по своему действию эквивалентны обязательствам, установленным в настоящей Директиве, применяются указанные внутриотраслевые правовые акты Союза. ## Статья 2 ### Статья 2 Обработка персональных данных 1. Обработка персональных данных в рамках настоящей Директивы должна осуществляться в соответствии с требованиями [Директивы](https://bukva.ai/docs/direktiva-9546es/statya-1) 95/46/ЕС. 2. Обработка персональных данных учреждениями и органами Союза в рамках настоящей Директивы должна осуществляться в соответствии с требованиями [Регламента](https://bukva.ai/docs/reglament-452001/statya-1) (ЕС) 45/2001. ## Статья 3 ### Статья 3 Минимальная гармонизация Без ущерба действию положений [Статьи 16(10)](https://bukva.ai/docs/direktiva-20161148/statya-16#p100342) и обязательств государств-членов ЕС в соответствии с законодательством Союза государства-члены ЕС могут принимать и применять положения, направленные на достижение высокого уровня безопасности сетевых и информационных систем. ## Статья 4 ### Статья 4 Определения Для целей настоящей Директивы применяются следующие определения: (1) "сетевые и информационные системы": (a) сеть электронных коммуникаций в значении [пункта (a) Статьи 2](https://bukva.ai/docs/direktiva-200221es/statya-2#p100107) Директивы 2002/21/ЕС; (b) любое устройство или группа соединенных или связанных между собой устройств, одно или несколько из которых в соответствии с программой автоматически выполняют обработку цифровых данных; или (c) цифровые данные, хранение, получение и передача которых осуществляется элементами, указанными в [пунктах (a)](https://bukva.ai/docs/direktiva-20161148/statya-4#p100155) и [(b)](https://bukva.ai/docs/direktiva-20161148/statya-4#p100156), для целей их обработки, использования, защиты и обслуживания; (2) "безопасность сетевых и информационных систем" - способность сетевых и информационных систем на заданном уровне уверенности противостоять любым действиям, угрожающим доступности, достоверности, целостности или конфиденциальности хранимых, передаваемых или обрабатываемых данных или связанных с ними услуг, предлагаемых или доступных через указанные сетевые и информационные системы; (3) "национальная стратегия по обеспечению безопасности сетевых и информационных систем" - рамочные положения, содержащие стратегические цели и приоритеты в области обеспечения безопасности сетевых и информационных систем на национальном уровне; (4) "оператор основных услуг" - государственное или частное предприятие, подпадающее под типы, указанные в [Приложении II](https://bukva.ai/docs/direktiva-20161148/statya-27#p100422), отвечающее требованиям, установленным в [Статье 5(2)](https://bukva.ai/docs/direktiva-20161148/statya-5#p100185); (5) "цифровые услуги" - услуги в понимании [пункта (b) Статьи 1(1)](https://bukva.ai/docs/direktiva-20151535/statya-1#p100046) Директивы (ЕС) 2015/1535 Европейского Парламента и Совета ЕС [<24>](https://bukva.ai/docs/direktiva-20161148/statya-4#p100163), относящиеся к типам, указанным в [Приложении III](https://bukva.ai/docs/direktiva-20161148/statya-27#p100492); --- <24> [Директива](https://bukva.ai/docs/direktiva-20151535/statya-1) (ЕС) 2015/1535 Европейского Парламента и Совета ЕС от 9 сентября 2015 г. о процедуре предоставления информации в области технических регламентов, а также правил оказания услуг в информационном обществе (ОЖ N L 241, 17.09.2015, стр. 1). (6) "провайдер цифровых услуг" - юридическое лицо, оказывающее цифровые услуги; (7) "инцидент" - событие, оказывающее непосредственное отрицательное воздействие на сетевые и информационные системы; (8) "управление инцидентами" - все процедуры, способствующие обнаружению, анализу и ликвидации инцидентов, а также реагированию на инциденты; (9) "риск" - объективно предсказуемые обстоятельства или события, которые могут оказать отрицательное влияние на безопасность сетевых или информационных систем; (10) "представитель" - физическое или юридическое лицо, учрежденное на территории Союза, назначенное действовать от имени провайдера цифровых услуг, учрежденного за пределами Союза, к которому могут обратиться национальный компетентный орган или CSIRT вместо обращения к провайдеру цифровых услуг в связи с обязательствами указанного провайдера цифровых услуг в соответствии с настоящей Директивой; (11) "стандарт" - стандарт в соответствии с [пунктом 1 Статьи 2](https://bukva.ai/docs/reglament-10252012/statya-2#p100131) Регламента (ЕС) 1025/2012; (12) "спецификация" - техническая спецификация в соответствии с [пунктом (4) Статьи 2](https://bukva.ai/docs/reglament-10252012/statya-2#p100138) Регламента (ЕС) 1025/2012; (13) "точка обмена интернет-трафиком (IXP)" - сетевой объект, позволяющий соединить более двух независимых автономных систем, в первую очередь для облегчения обмена интернет-трафиком; IXP обеспечивает соединение только автономных систем; соединение через IXP не требует, чтобы интернет-трафик, проходящий через пары задействованных автономных систем, проходил через третью автономную систему, а также чтобы оно изменяло указанный трафик или каким-либо иным образом влияло на него; (14) "система доменных имен (DNS)" - иерархическая система распределенных имен в сети, которая посылает запросы для доменных имен; (15) "провайдер DNS-услуг" - организация, оказывающая DNS-услуги в сети Интернет; (16) "регистратор доменных имен верхнего уровня" - организация, управляющая доменными именами в Интернете в специальном домене верхнего уровня (TLD [<25>](https://bukva.ai/docs/direktiva-20161148/statya-4#p100176)) и осуществляющая их регистрацию; --- <25> Англ. - top-level domain - прим. перевод. (17) "интернет-магазин" - цифровой сервис, позволяющий потребителям и/или продавцам согласно определению, содержащемуся в [пункте (a)](https://bukva.ai/docs/direktiva-201311es/statya-4#p100134) и в [пункте (b) Статьи 4(1)](https://bukva.ai/docs/direktiva-201311es/statya-4#p100135) Директивы 2013/11/ЕС Европейского Парламента и Совета ЕС [<26>](https://bukva.ai/docs/direktiva-20161148/statya-4#p100179), соответственно совершать онлайн-продажи или заключать договоры на оказание услуг с продавцами на веб-сайте интернет-магазина или веб-сайте продавца, использующего вычислительные услуги, предоставляемые интернет-магазином; --- <26> Директива 2013/11/ЕС Европейского Парламента и Совета ЕС от 21 мая 2013 г. об альтернативном рассмотрении споров потребителей и об изменении Регламента (EC) 2006/2004 и Директивы 2009/22/EC (Директива об ADR потребителей) (ОЖ N L 165, 18.06.2013, стр. 63). (18) "онлайн-поисковые системы" - цифровой сервис, позволяющий пользователям осуществлять поиск практически всех веб-сайтов или веб-сайтов на определенном языке по запросу на любую тему в виде ключевого слова, фразы или иных вводимых данных, в ответ на который предоставляются ссылки, содержащие информацию, относящуюся к запросу; (19) "операционная система на базе облака" - цифровой сервис, который позволяет получить доступ к расширяемому и адаптивному пулу многопользовательских компьютерных ресурсов. ## Статья 5 ### Статья 5 Идентификация операторов основных услуг 1. До 9 ноября 2018 г. государства-члены ЕС должны идентифицировать операторов основных услуг, учрежденных на их территории, в каждой отрасли и подотрасли, установленных в [Приложении II](https://bukva.ai/docs/direktiva-20161148/statya-27#p100422). 2. Для идентификации операторов основных услуг согласно [пункту (4) Статьи 4](https://bukva.ai/docs/direktiva-20161148/statya-4#p100160) используются следующие критерии: (a) организации, предоставляющие услуги, которые являются основными с точки зрения поддержания важнейшей социальной и/или экономической деятельности; (b) оказание услуг зависит от сетевых и информационных систем; и (c) инцидент оказывает существенное негативное воздействие на оказание услуги. 3. Для целей [параграфа 1](https://bukva.ai/docs/direktiva-20161148/statya-5#p100184) каждое государство-член ЕС должно разработать список услуг, указанных в [пункте (a) параграфа 2](https://bukva.ai/docs/direktiva-20161148/statya-5#p100186). 4. Для целей [параграфа 1](https://bukva.ai/docs/direktiva-20161148/statya-5#p100184), если организация оказывает услуги, указанные в [пункте (a) параграфа 2](https://bukva.ai/docs/direktiva-20161148/statya-5#p100186), на территории нескольких государств-членов ЕС, указанные государства-члены ЕС должны провести совместные консультации. Указанные консультации проводятся до принятия решения об идентификации. 5. Государства-члены ЕС должны регулярно, но не реже чем каждые два года после 9 мая 2018 г. пересматривать, а при необходимости обновлять список идентифицированных операторов основных услуг. 6. В соответствии с задачами, указанными в [Статье 11](https://bukva.ai/docs/direktiva-20161148/statya-11#p100246), группа по сотрудничеству оказывает поддержку государствам-членам ЕС в установлении единообразного подхода к процессу идентификации операторов основных услуг. 7. Для целей пересмотра, указанного в [Статье 23](https://bukva.ai/docs/direktiva-20161148/statya-23#p100376), начиная с 9 ноября 2018 г. и каждые последующие два года государства-члены ЕС должны передавать в Европейскую Комиссию сведения, необходимые для проведения Европейской Комиссией оценки имплементации настоящей Директивы, в частности, единообразия подходов государств-членов ЕС к идентификации операторов основных услуг. Указанные сведения должны содержать следующую информацию: (a) национальные меры, направленные на идентификацию операторов основных услуг; (b) список услуг, указанный в [параграфе 3](https://bukva.ai/docs/direktiva-20161148/statya-5#p100189); (c) количество идентифицированных операторов основных услуг в каждой отрасли, указанной в [Приложении II](https://bukva.ai/docs/direktiva-20161148/statya-27#p100422), а также определение их важности для указанной отрасли; (d) пороговое значение, если оно имеется, необходимое для определения соответствующего уровня поставки со ссылкой на количество пользователей указанной услуги в соответствии с [пунктом (a) Статьи 6(1)](https://bukva.ai/docs/direktiva-20161148/statya-6#p100202) или на важность конкретного оператора для основных услуг согласно [пункту (f) Статьи 6(1)](https://bukva.ai/docs/direktiva-20161148/statya-6#p100207). Для упрощения предоставления информации для сравнения Европейская Комиссия с учетом заключения ENISA может принять соответствующие технические рекомендации по параметрам информации, указанной в настоящем параграфе. ## Статья 6 ### Статья 6 Существенное негативное воздействие 1. При определении существенности негативного воздействия согласно [пункту (c) Статьи 5(2)](https://bukva.ai/docs/direktiva-20161148/statya-5#p100188) государства-члены ЕС должны учитывать следующие межотраслевые факторы: (a) количество пользователей услуги, предоставляемой заинтересованной организацией; (b) зависимость других отраслей, указанных в [Приложении II](https://bukva.ai/docs/direktiva-20161148/statya-27#p100422), от услуги, предоставляемой указанной организацией; (c) тяжесть и длительность влияния, которое инцидент может оказать на экономическую и социальную деятельность и общественную безопасность; (d) доля, которую организация занимает на рынке; (e) географическое распространение области, на которую может оказать влияние инцидент; (f) влияние организации на поддержание необходимого уровня оказания услуги с учетом доступности альтернативных способов оказания указанной услуги. 2. Для определения существенности негативного воздействия инцидента государства-члены ЕС также при необходимости должны учитывать внутриотраслевые факторы. ## Статья 7 ### Глава II. НАЦИОНАЛЬНЫЕ СТАНДАРТЫ ПО БЕЗОПАСНОСТИ СЕТЕВЫХ И ИНФОРМАЦИОННЫХ СИСТЕМ ### Статья 7 Национальная стратегия по обеспечению безопасности сетевых
и информационных систем 1. Каждое государство-член ЕС должно принять национальную стратегию по обеспечению безопасности сетевых и информационных систем, в которой будут определены цели стратегии, соответствующие политические и регламентарные меры, направленные на достижение и поддержание высокого уровня безопасности сетевых и информационных систем, охватывающую отрасли, указанные в [Приложении II](https://bukva.ai/docs/direktiva-20161148/statya-27#p100422), и услуги, указанные в [Приложении III](https://bukva.ai/docs/direktiva-20161148/statya-27#p100492). В национальной стратегии по обеспечению безопасности сетевых и информационных систем должны быть освещены следующие вопросы: (a) цели и приоритеты национальной стратегии по обеспечению безопасности сетевых и информационных систем; (b) рамки управления для достижения целей и приоритетов национальной стратегии по обеспечению безопасности сетевых и информационных систем, в том числе функции и обязанности государственных органов и других заинтересованных сторон; (c) определение мер, касающихся готовности, реагирования и восстановления, в том числе мер по взаимодействию государственного и частного секторов; (d) определение образовательных программ, программ по повышению осведомленности и профессиональной подготовки в области национальной стратегии по обеспечению безопасности сетевых и информационных систем; (e) определение планов научных исследований и разработок в области национальной стратегии по обеспечению безопасности сетевых и информационных систем; (f) план по оценке рисков, направленный на выявление рисков; (g) список различных заинтересованных сторон, вовлеченных в имплементацию национальной стратегии по обеспечению безопасности сетевых и информационных систем. 2. Государства-члены ЕС могут попросить содействия ENISA в разработке национальной стратегии по обеспечению безопасности сетевых и информационных систем. 3. В течение трех месяцев после принятия национальной стратегии по обеспечению безопасности сетевых и информационных систем государства-члены ЕС должны передать ее в Европейскую Комиссию. При этом государства-члены ЕС могут исключить из стратегии элементы, относящиеся к национальной безопасности. ## Статья 8 ### Статья 8 Национальные компетентные органы и единый национальный
контактный пункт 1. Каждое государство-член ЕС должно назначить один или несколько национальных компетентных органов, ответственных за безопасность сетевых и информационных систем ("компетентный орган"), регулирующих деятельность в отраслях, указанных в [Приложении II](https://bukva.ai/docs/direktiva-20161148/statya-27#p100422), и оказание услуг, указанных в [Приложении III](https://bukva.ai/docs/direktiva-20161148/statya-27#p100492). Государства-члены ЕС могут передать указанную функцию уже существующему органу или органам. 2. Компетентные органы должны осуществлять контроль за имплементацией настоящей Директивы на национальном уровне. 3. Каждое государство-член ЕС должно назначить единый национальный контактный пункт по вопросам безопасности сетевых и информационных систем ("единый контактный пункт"). Государства-члены ЕС могут передать указанную функцию уже существующему органу. Если государство-член ЕС назначает только один компетентный орган, то он выполняет также функции единого контактного пункта. 4. Единый контактный пункт выполняет функции связующего звена, гарантирующего трансграничное сотрудничество между органами государства-члена ЕС и соответствующими органами других государств-членов ЕС, а также взаимодействие с Группой по сотрудничеству, указанной в [Статье 11](https://bukva.ai/docs/direktiva-20161148/statya-11#p100246), и сетью CSIRTs, указанной в [Статье 12](https://bukva.ai/docs/direktiva-20161148/statya-12#p100271). 5. Государства-члены ЕС обеспечивают оснащение компетентных органов и единых контактных пунктов надлежащими ресурсами, необходимыми для эффективного и квалифицированного выполнения своих задач, а также достижения целей настоящей Директивы. Государства-члены ЕС гарантируют эффективное, рациональное и безопасное взаимодействие представителей, назначенных для осуществления деятельности в группе по сотрудничеству. 6. При необходимости компетентные органы и единые контактные пункты должны в соответствии с национальным законодательством консультироваться и сотрудничать с соответствующими национальными правоохранительными органами и национальными органами по защите персональных данных. 7. Каждое государство-член ЕС незамедлительно уведомляет Европейскую Комиссию о назначении компетентного органа и единого контактного пункта, а также об их задачах и всех последующих изменениях. Каждое государство-член ЕС должно обнародовать информацию о назначенном компетентном органе и едином контактном пункте. Европейская Комиссия обнародует список назначенных единых контактных пунктов. ## Статья 9 ### Статья 9 Группы реагирования на инциденты, связанные с компьютерной
безопасностью ("CSIRTs") 1. Каждое государство-член ЕС должно назначить одну или несколько CSIRTs, отвечающих требованиям, установленным в [пункте (1)](https://bukva.ai/docs/direktiva-20161148/statya-27#p100402) Приложения I, регулирующих деятельность в отраслях, указанных в [Приложении II](https://bukva.ai/docs/direktiva-20161148/statya-27#p100422), и оказание услуг, указанных в [Приложении III](https://bukva.ai/docs/direktiva-20161148/statya-27#p100492), которые будут нести ответственность за риски и управление инцидентами в соответствии с четко определенными процессуальными нормами. CSIRTs могут быть учреждены в рамках компетентного органа. 2. Государства-члены ЕС обеспечивают оснащение CSIRTs надлежащими ресурсами, необходимыми для эффективного выполнения задач в соответствии с [пунктом (2)](https://bukva.ai/docs/direktiva-20161148/statya-27#p100410) Приложения I. Государства-члены ЕС обеспечивают эффективное, рациональное и безопасное взаимодействие их CSIRTs в рамках сети CSIRTs, указанной в [Статье 12](https://bukva.ai/docs/direktiva-20161148/statya-12#p100271). 3. Государства-члены ЕС гарантируют, что их CSIRTs имеют доступ к соответствующей, безопасной и устойчивой коммуникационной и информационной инфраструктуре на национальном уровне. 4. Государства-члены ЕС уведомляют Европейскую Комиссию о задачах своих CSIRTs, а также об основных элементах процесса управления инцидентами. 5. Государства-члены ЕС могут обратиться за помощью к ENISA для создания национальных CSIRTs. ## Статья 10 ### Статья 10 Взаимодействие на национальном уровне 1. Если компетентный орган, единый контактный пункт и CSIRTs одного государства-члена ЕС разделены, они должны взаимодействовать в целях исполнения обязательств, установленных в настоящей Директиве. 2. Государства-члены ЕС гарантируют, что компетентные органы или CSIRTs получают уведомление об инциденте, передаваемое в соответствии с настоящей Директивой. Если государство-член ЕС принимает решение, что уведомление не будет передаваться в CSIRTs, то CSIRTs должен быть предоставлен доступ к сведениям об инциденте, передаваемым операторами основных услуг в соответствии со [Статьей 14(3)](https://bukva.ai/docs/direktiva-20161148/statya-14#p100300) и [(5)](https://bukva.ai/docs/direktiva-20161148/statya-14#p100305) или провайдерами цифровых услуг в соответствии со [Статьей 16(3)](https://bukva.ai/docs/direktiva-20161148/statya-16#p100329) и [(6)](https://bukva.ai/docs/direktiva-20161148/statya-16#p100338). Объем указанного доступа ограничивается задачами CSIRTs. 3. Государства-члены ЕС гарантируют, что компетентные органы или CSIRTs сообщат в единый контактный пункт об уведомлении об инциденте, полученном в соответствии с настоящей Директивой. До 9 августа 2018 г. и каждый последующий год единый контактный пункт должен передавать в Группу по сотрудничеству сводный отчет о полученных уведомлениях об инциденте, в том числе сведения о количестве уведомлений, природе инцидентов и о мерах, принятых в соответствии со [Статьей 14(3)](https://bukva.ai/docs/direktiva-20161148/statya-14#p100300) и [(5)](https://bukva.ai/docs/direktiva-20161148/statya-14#p100305) и [Статьей 16(3)](https://bukva.ai/docs/direktiva-20161148/statya-16#p100329) и [(6)](https://bukva.ai/docs/direktiva-20161148/statya-16#p100338). ## Статья 11 ### Глава III. СОТРУДНИЧЕСТВО ### Статья 11 Группа по сотрудничеству 1. Настоящим учреждается Группа по сотрудничеству для оказания поддержки и упрощения стратегического сотрудничества и обмена информацией между государствами-членами ЕС, укрепления доверия и уверенности, а также для достижения высокого уровня безопасности сетевых и информационных систем в Союзе. Группа по сотрудничеству выполняет свои задачи на основе двухгодичной рабочей программы в соответствии со [вторым подпараграфом параграфа 3](https://bukva.ai/docs/direktiva-20161148/statya-11#p100267). 2. В состав Группы по сотрудничеству входят представители государств-членов ЕС, Европейской Комиссии и ENISA. При необходимости Группа по сотрудничеству может пригласить для участия в ее работе соответствующих представителей заинтересованных сторон. Европейская Комиссия должна обеспечивать секретариат. 3. Перед Группой по сотрудничеству стоят следующие задачи: (a) обеспечение стратегического руководства деятельностью сети CSIRTs, учрежденной в соответствии со [Статьей 12](https://bukva.ai/docs/direktiva-20161148/statya-12#p100271); (b) обмен передовой практикой в области обмена информацией, относящейся к уведомлениям об инцидентах согласно [Статье 14(3)](https://bukva.ai/docs/direktiva-20161148/statya-14#p100300) и [(5)](https://bukva.ai/docs/direktiva-20161148/statya-14#p100305) и [Статье 16(3)](https://bukva.ai/docs/direktiva-20161148/statya-16#p100329) и [(6)](https://bukva.ai/docs/direktiva-20161148/statya-16#p100338); (c) осуществление обмена передовым опытом между государствами-членами ЕС и оказание помощи государствам-членам ЕС при содействии ENISA в укреплении потенциала в области обеспечения безопасности сетевых и информационных систем; (d) обсуждение возможностей и готовности государств-членов ЕС, добровольная оценка национальных стратегий по обеспечению безопасности сетевых и информационных систем и эффективности работы CSIRTs, а также выявление передового опыта; (e) обмен информацией и передовым опытом в ходе программ по повышению осведомленности и профессиональной подготовки; (f) обмен информацией и передовым опытом в области научных исследований и разработок в области национальной стратегии по обеспечению безопасности сетевых и информационных систем; (g) при необходимости обмен опытом по вопросам, связанным с обеспечением безопасности сетевых и информационных систем с соответствующими организациями, органами, учреждениями и агентствами Союза; (h) обсуждение стандартов и спецификаций, указанных в [Статье 19](https://bukva.ai/docs/direktiva-20161148/statya-19#p100359), с представителями соответствующих Европейских организаций по стандартизации; (i) сбор информации о передовом опыте в области рисков и инцидентов; (j) ежегодная проверка сводных отчетов, указанных во [втором подпараграфе Статьи 10(3)](https://bukva.ai/docs/direktiva-20161148/statya-10#p100244); (k) обсуждение деятельности, связанной с обеспечением безопасности сетевых и информационных систем, образовательных программ и программ профессионального обучения, в том числе работы, проделанной ENISA; (l) обмен передовым опытом в области проводимой государствами-членами ЕС идентификации операторов основных услуг при содействии ENISA, в том числе трансграничной взаимозависимости, связанной с рисками и инцидентами; (m) обсуждение обязанности по уведомлению об инцидентах в соответствии со [Статьями 14](https://bukva.ai/docs/direktiva-20161148/statya-14#p100296) и [16](https://bukva.ai/docs/direktiva-20161148/statya-16#p100320). До 9 февраля 2018 г. и каждые последующие два года Группа по сотрудничеству должна принимать рабочую программу, содержащую список действий, принятие которых необходимо для осуществления ее целей и задач, которая должна соответствовать целям настоящей Директивы. 4. Для целей пересмотра, указанного в [Статье 23](https://bukva.ai/docs/direktiva-20161148/statya-23#p100376), до 9 августа 2018 г. и каждые последующие полтора года Группа по сотрудничеству должна подготавливать отчет об оценке опыта, накопленного посредством стратегического сотрудничества, осуществляемого в соответствии с настоящей Статьей. 5. Европейская Комиссия должна принять имплементационные акты, содержащие процессуальные нормы, регулирующие деятельность Группы по сотрудничеству. Указанные имплементационные акты принимаются в соответствии с процедурой проверки, указанной в [Статье 22(2)](https://bukva.ai/docs/direktiva-20161148/statya-22#p100375). Для целей [первого подпараграфа](https://bukva.ai/docs/direktiva-20161148/statya-11#p100269) Европейская Комиссия должна до 9 февраля 2017 г. передать первый проект имплементационного акта в комитет, указанный в [Статье 22(1)](https://bukva.ai/docs/direktiva-20161148/statya-22#p100374). ## Статья 12 ### Статья 12 Сеть CSIRTs 1. Для укрепления доверия и уверенности в отношениях государств-членов ЕС, а также для развития быстрого и эффективного оперативного сотрудничества настоящим устанавливается сеть национальных CSIRTs. 2. Сеть CSIRTs состоит из представителей CSIRTs государств-членов ЕС и CERT ЕС. В сети CSIRTs Европейская Комиссия осуществляет надзорные функции. ENISA обеспечивает секретариат и активно способствует сотрудничеству между CSIRTs. 3. Перед сетью CSIRTs стоят следующие задачи: (a) обмен информацией об услугах, функционировании и возможностях сотрудничества CSIRTs; (b) по запросу представителей CSIRTs государства-члена ЕС, на которое может оказать влияние инцидент, обмен и обсуждение некоммерческой конфиденциальной информации, касающейся указанного инцидента и связанных с ним рисков; CSIRTs любого государства-члена ЕС может отказаться от участия в указанных обсуждениях, если это может воспрепятствовать проведению расследования инцидента; (c) обмен и добровольное обнародование неконфиденциальной информации о конкретных инцидентах; (d) по запросу представителей CSIRTs государства-члена ЕС обсуждение и по возможности определение согласованных ответных действий на инцидент, который был идентифицирован в рамках юрисдикции указанного государства-члена ЕС; (e) оказание поддержки государствам-членам ЕС при разрешении трансграничных инцидентов на основе добровольной взаимопомощи; (f) обсуждение, изучение и выявление дальнейших форм оперативного сотрудничества, в том числе в области: (i) категорий рисков и инцидентов; (ii) раннего предупреждения; (iii) взаимопомощи; (iv) принципов и возможностей сотрудничества при реагировании государств-членов ЕС на трансграничные риски и инциденты; (g) сообщение Группе по сотрудничеству о ее деятельности и дальнейших формах оперативного сотрудничества, предложенных в соответствии с [пунктом (f)](https://bukva.ai/docs/direktiva-20161148/statya-12#p100281), и просьба о содействии в указанной области; (h) обсуждение уроков, извлеченных из учений, связанных с обеспечением безопасности сетевых и информационных систем, в том числе организованных ENISA; (i) по запросу отдельной CSIRT обсуждение возможностей и готовности указанной CSIRT; (j) подготовка рекомендаций, направленных на содействие сближению оперативных практик, связанных с применением положений настоящей Статьи об оперативном сотрудничестве. 4. Для целей пересмотра, указанного в [Статье 23](https://bukva.ai/docs/direktiva-20161148/statya-23#p100376), до 9 августа 2018 г. и каждые последующие полтора года сеть CSIRTs должна подготавливать отчет об оценке опыта, накопленного в ходе оперативного сотрудничества, в том числе выводы и рекомендации, сделанные в соответствии с настоящей Статьей. Указанный отчет должен быть также передан в Группу по сотрудничеству. 5. Сеть CSIRTs должна самостоятельно установить свои процессуальные нормы. ## Статья 13 ### Статья 13 Международное сотрудничество В соответствии со [Статьей 28](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-28#p100219) TFEU Союз может заключать международные соглашения с третьими странами или международными организациями, согласно которым им будет позволено или будет установлено их участие в определенной деятельности Группы по сотрудничеству. При заключении указанных соглашений необходимо учитывать положения о надлежащей защите данных. ## Статья 14 ### Глава IV. БЕЗОПАСНОСТЬ СЕТЕВЫХ И ИНФОРМАЦИОННЫХ СИСТЕМ ОПЕРАТОРОВ ОСНОВНЫХ УСЛУГ ### Статья 14 Требования по обеспечению безопасности и уведомление
об инциденте 1. Государства-члены ЕС гарантируют, что операторы основных услуг принимают необходимые пропорциональные технические и организационные меры, направленные на управление рисками, связанными с используемыми ими в процессе работы сетевыми и информационными системами. Указанные меры должны гарантировать уровень безопасности сетевых и информационных систем, соответствующий имеющимся рискам согласно уровню технического развития. 2. Государства-члены ЕС гарантируют, что операторы основных услуг принимают необходимые меры, направленные на предупреждение и минимизацию воздействия инцидентов, влияющих на безопасность сетевых и информационных систем, используемых для оказания основных услуг, с точки зрения их непрерывности. 3. Государства-члены ЕС гарантируют, что операторы основных услуг незамедлительно уведомляют компетентный орган или CSIRT об инцидентах, оказывающих существенное воздействие на непрерывность оказываемых ими услуг. Уведомление должно содержать сведения, позволяющие компетентному органу или CSIRT определить наличие трансграничного воздействия инцидента. Уведомление не повышает ответственности уведомляющей стороны. 4. При определении существенности влияния инцидента необходимо учитывать следующие параметры: (a) количество пользователей, пострадавших от сбоев в оказании основной услуги; (b) продолжительность инцидента; (c) географическое распространение области, пострадавшей от инцидента. 5. На основании информации, предоставленной оператором основных услуг в уведомлении, компетентный орган или CSIRT должны уведомить другое пострадавшее государство-член ЕС (государства-члены ЕС) об инциденте, который оказал существенное влияние на непрерывность оказания основных услуг в указанном государстве-члене ЕС. При этом компетентный орган или CSIRT в соответствии с законодательством Союза или национальным законодательством, соответствующим законодательству Союза, должны сохранять безопасность и коммерческие интересы оператора основных услуг, а также конфиденциальность информации, содержащейся в уведомлении. Если обстоятельства позволяют, компетентный орган или CSIRT должны предоставить уведомляющему оператору основных услуг соответствующую информацию, содержащую сведения о действиях, предпринятых после получения уведомления, например, информацию, направленную на обеспечение эффективного управления инцидентом. По требованию компетентного органа или CSIRT единый контактный пункт передает уведомления согласно [первому подпараграфу](https://bukva.ai/docs/direktiva-20161148/statya-14#p100305) в единые контактные пункты других пострадавших государств-членов ЕС. 6. После консультаций с уведомляющим оператором основных услуг компетентный орган или CSIRT могут обнародовать сведения об отдельных инцидентах, если указанное обнародование необходимо для предупреждения инцидента или разрешения длящегося инцидента. 7. Компетентные органы совместно в рамках Группы по сотрудничеству могут разработать и принять руководства в отношении обстоятельств, при которых операторы основных услуг обязаны уведомлять об инцидентах, в том числе о параметрах определения существенности влияния инцидента в соответствии с [параграфом 4](https://bukva.ai/docs/direktiva-20161148/statya-14#p100301). ## Статья 15 ### Статья 15 Имплементация и применение 1. Государства-члены ЕС гарантируют, что компетентные органы обладают необходимыми полномочиями и ресурсами для проведения оценки исполнения операторами основных услуг своих обязательств, установленных в [Статье 14](https://bukva.ai/docs/direktiva-20161148/statya-14#p100296), а также влияния указанной деятельности на обеспечение безопасности сетевых и информационных систем. 2. Государства-члены ЕС гарантируют, что компетентные органы обладают полномочиями и ресурсами, необходимыми для требования от операторов основных услуг предоставления: (a) информации, необходимой для проведения оценки безопасности сетевых и информационных систем, в том числе документально оформленных правил безопасности; (b) доказательств эффективного применения правил безопасности, например, результаты аудита безопасности, проводимого компетентным органом или квалифицированным аудитором, а в последнем случае - предоставление результатов аудита компетентным органам, в том числе подтверждающих результаты сведений. Если компетентный орган требует предоставления указанной информации или доказательств, он должен указать цели запроса и определить перечень запрашиваемой информации. 3. После проведения оценки информации или результатов аудита безопасности, указанных в [параграфе 2](https://bukva.ai/docs/direktiva-20161148/statya-15#p100313), компетентный орган может дать оператору основных услуг обязательные для исполнения рекомендации по устранению выявленных недостатков. 4. При работе с инцидентами, связанными с нарушением персональных данных, компетентные органы должны тесно сотрудничать с органами по надзору за соблюдением законодательства о защите персональных данных. ## Статья 16 ### Глава V. БЕЗОПАСНОСТЬ СЕТЕВЫХ И ИНФОРМАЦИОННЫХ СИСТЕМ ПРОВАЙДЕРОВ ЦИФРОВЫХ УСЛУГ ### Статья 16 Требования по обеспечению безопасности и уведомление
об инциденте 1. Государства-члены ЕС гарантируют, что провайдеры цифровых услуг определяют и принимают необходимые пропорциональные технические и организационные меры, направленные на управление рисками, связанными с используемыми ими в процессе оказания на территории Союза услуг, указанных в [Приложении III](https://bukva.ai/docs/direktiva-20161148/statya-27#p100492), сетевыми и информационными системами. Указанные меры должны гарантировать уровень безопасности сетевых и информационных систем, соответствующий имеющимся рискам согласно уровню технического развития, с учетом следующих элементов: (a) безопасность сетей и предприятий; (b) управление инцидентами; (c) управление устойчивостью бизнеса; (d) мониторинг, аудит и тестирование; (e) соответствие международным стандартам. 2. Государства-члены ЕС гарантируют, что провайдеры цифровых услуг принимают необходимые меры, направленные на предупреждение и минимизацию воздействия инцидентов, влияющих на безопасность сетевых и информационных систем, используемых для оказания на территории Союза услуг, указанных в [Приложении III](https://bukva.ai/docs/direktiva-20161148/statya-27#p100492), с точки зрения их непрерывности. 3. Государства-члены ЕС гарантируют, что провайдеры цифровых услуг незамедлительно уведомляют компетентный орган или CSIRT об инцидентах, оказывающих существенное воздействие на оказание на территории Союза услуг, указанных в [Приложении III](https://bukva.ai/docs/direktiva-20161148/statya-27#p100492). Уведомление должно содержать сведения, позволяющие компетентному органу или CSIRT определить наличие трансграничного воздействия инцидента. Уведомление не повышает степени ответственности уведомляющей стороны. 4. При определении существенности влияния инцидента необходимо учитывать следующие параметры: (a) количество пользователей, пострадавших от инцидента, в частности, пользователей, использующих услугу для предоставления своих услуг; (b) продолжительность инцидента; (c) географическое распространение области, пострадавшей от инцидента; (d) степень нарушения услуги; (e) степень воздействия на экономическую и социальную деятельность. Обязательства по уведомлению об инциденте распространятся на провайдеров цифровых услуг, только если они имеют доступ к информации, необходимой для проведения оценки влияния инцидента с точки зрения параметров, указанных в [первом подпараграфе](https://bukva.ai/docs/direktiva-20161148/statya-16#p100330). 5. Если оператор основных услуг в ходе оказания услуг, являющихся основными с точки зрения поддержания важнейшей социальной и экономической деятельности, пользуется услугами провайдера цифровых услуг третьей стороны, указанный оператор обязан уведомить о существенном влиянии инцидента, от которого пострадал провайдер цифровых услуг, на непрерывность оказания основных услуг. 6. При необходимости, например, в тех случаях, когда инцидент, указанный в [параграфе 3](https://bukva.ai/docs/direktiva-20161148/statya-16#p100329), затронул интересы нескольких государств-членов ЕС, компетентный орган или CSIRT должны уведомить другие пострадавшие государства-члены ЕС. При этом компетентные органы, CSIRTs или единые контактные пункты в соответствии с законодательством Союза или национальным законодательством, соответствующим законодательству Союза, должны сохранять безопасность и коммерческие интересы провайдера цифровых услуг, а также конфиденциальность информации, содержащейся в уведомлении. 7. После консультаций с заинтересованным провайдером цифровых услуг компетентный орган или CSIRT, а при необходимости органы или CSIRTs других заинтересованных государств-членов ЕС могут обнародовать сведения об отдельных инцидентах или потребовать от провайдера цифровых услуг обнародовать указанные сведения, если указанное обнародование необходимо для предупреждения инцидента, разрешения длящегося инцидента или необходимо для соблюдения общественных интересов по иным основаниям. 8. Европейская Комиссия должна принять имплементационные акты, подробнее определяющие элементы, указанные в [параграфе 1](https://bukva.ai/docs/direktiva-20161148/statya-16#p100322), и параметры, перечисленные в [параграфе 4](https://bukva.ai/docs/direktiva-20161148/statya-16#p100330) настоящей Статьи. Указанные имплементационные акты принимаются в соответствии с процедурой проверки, указанной в [Статье 22(2)](https://bukva.ai/docs/direktiva-20161148/statya-22#p100375), до 9 августа 2017 г. 9. Европейская Комиссия должна принять имплементационные акты, устанавливающие формат уведомления и процедурные требования к уведомлению. Указанные имплементационные акты принимаются в соответствии с процедурой проверки, указанной в [Статье 22(2)](https://bukva.ai/docs/direktiva-20161148/statya-22#p100375). 10. Без ущерба действию положений [Статьи 1(6)](https://bukva.ai/docs/direktiva-20161148/statya-1#p100142) государства-члены ЕС не могут возлагать на провайдеров цифровых услуг дополнительные требования по обеспечению безопасности и уведомлению. 11. Глава V не применяется к микропредприятиям и малым предприятиям согласно положениям Рекомендации 2003/361/ЕС Европейской Комиссии [<27>](https://bukva.ai/docs/direktiva-20161148/statya-16#p100345). --- <27> Рекомендация 2003/361/ЕС Европейской Комиссии от 6 мая 2003 г. относительно определения микропредприятий, малых и средних предприятий (ОЖ N L 124, 20.05.2003, стр. 60). ## Статья 17 ### Статья 17 Имплементация и применение 1. Государства-члены ЕС гарантируют, что компетентные органы при необходимости принимают надзорные меры последующего реагирования после получения доказательств того, что провайдер цифровых услуг не выполняет требования, установленные в [Статье 16](https://bukva.ai/docs/direktiva-20161148/statya-16#p100320). Указанные доказательства могут быть представлены компетентным органом другого государства-члена ЕС, в котором оказывается услуга. 2. Для целей [параграфа 1](https://bukva.ai/docs/direktiva-20161148/statya-17#p100348) компетентные органы должны обладать полномочиями и ресурсами, необходимыми для требования от провайдеров цифровых услуг: (a) предоставления информации, необходимой для проведения оценки безопасности их сетевых и информационных систем, в том числе документально оформленных правил безопасности; (b) устранения любых несоответствий требованиям, установленным в [Статье 16](https://bukva.ai/docs/direktiva-20161148/statya-16#p100320). 3. Если основное отделение или представительство провайдера цифровых услуг находится в государстве-члене ЕС, а его сетевые или информационные системы располагаются в одном или нескольких других государствах-членах ЕС, компетентные органы государства-члена ЕС, в котором находятся основное отделение или представительство, и компетентные органы других указанных государств-членов ЕС должны сотрудничать и оказывать друг другу содействие при необходимости. Указанное содействие и сотрудничество может заключаться в обмене информацией между заинтересованными компетентными органами, а также в выдвижении требований о принятии мер по надзору, указанных в [параграфе 2](https://bukva.ai/docs/direktiva-20161148/statya-17#p100349). ## Статья 18 ### Статья 18 Юрисдикция и территориальность 1. Для целей настоящей Директивы предполагается, что провайдер цифровых услуг находится в юрисдикции государства-члена ЕС, в котором располагается его основное отделение. Основное отделение провайдера цифровых услуг находится в государстве-члене ЕС, в котором располагается его головной офис. 2. Провайдер цифровых услуг, оказывающий услуги, указанные в [Приложении III](https://bukva.ai/docs/direktiva-20161148/statya-27#p100492), на территории Союза, но учрежденный за пределами Союза, должен назначить представителя на территории Союза. Представитель должен быть учрежден на территории одного из государств-членов ЕС, где оказываются услуги. Предполагается, что провайдер цифровых услуг находится в юрисдикции государства-члена ЕС, в котором учрежден его представитель. 3. Назначение представителя провайдером цифровых услуг не оказывает влияния на судебные процессы, которые могут быть инициированы в отношении самого провайдера цифровых услуг. ## Статья 19 ### Глава VI. СТАНДАРТИЗАЦИЯ И ДОБРОВОЛЬНОЕ УВЕДОМЛЕНИЕ ### Статья 19 Стандартизация 1. Для содействия единообразной имплементации [Статьи 14(1)](https://bukva.ai/docs/direktiva-20161148/statya-14#p100298) и [(2)](https://bukva.ai/docs/direktiva-20161148/statya-14#p100299) и [Статьи 16(1)](https://bukva.ai/docs/direktiva-20161148/statya-16#p100322) и [(2)](https://bukva.ai/docs/direktiva-20161148/statya-16#p100328) государства-члены ЕС, не навязывая использование определенных типов технологий или не ставя использование указанных технологий в преимущественное положение, должны поощрять использование признанных в Европе или на международном уровне стандартов и спецификаций, относящихся к безопасности сетевых и информационных систем. 2. При содействии государств-членов ЕС ENISA должно составить рекомендации и указания в области технических отраслей, которые должны быть приняты во внимание в свете [параграфа 1](https://bukva.ai/docs/direktiva-20161148/statya-19#p100361), а также в области уже действующих стандартов, в том числе национальных стандартов государств-членов ЕС, которые позволят охватить указанные отрасли. ## Статья 20 ### Статья 20 Добровольное уведомление 1. Без ущерба действию положений [Статьи 3](https://bukva.ai/docs/direktiva-20161148/statya-3#p100148) предприятия, которые не были идентифицированы как операторы основных услуг и которые не являются провайдерами цифровых услуг, могут добровольно уведомлять об инцидентах, оказывающих существенное воздействие на непрерывность оказываемых ими услуг. 2. При обработке уведомлений государства-члены ЕС должны действовать в соответствии с процедурными нормами, установленными в [Статье 14](https://bukva.ai/docs/direktiva-20161148/statya-14#p100296). Государства-члены ЕС могут установить приоритет обработки обязательных уведомлений перед обработкой добровольных уведомлений. Добровольные уведомления рассматриваются только в тех случаях, когда такое рассмотрение не возлагает на заинтересованные государства-члены ЕС чрезмерное и неоправданное бремя. Добровольное уведомление не возлагает на уведомляющее предприятие дополнительных обязанностей, которые оно не должно было выполнять, если бы не подало уведомление. ## Статья 21 ### Глава VII. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ ### Статья 21 Санкции Государства-члены ЕС принимают нормы о санкциях, применимых за нарушения национальных положений, принятых в соответствии с настоящей Директивой, а также принимают все необходимые меры для обеспечения их исполнения. Предусмотренные санкции должны быть эффективными, соразмерными и оказывающими сдерживающее воздействие. Государства-члены ЕС сообщают указанные нормы и меры Европейской Комиссии до 9 мая 2018 г., а также незамедлительно сообщают обо всех последующих изменениях, оказывающих на них влияние. ## Статья 22 ### Статья 22 Процедура Комитета 1. Комитет по обеспечению сетевой и информационной безопасности оказывает содействие Европейской Комиссии. Указанный комитет рассматривается в значении комитета согласно [Регламенту](https://bukva.ai/docs/reglament-1822011/statya-1) (ЕС) 182/2011. 2. Если имеются ссылки на настоящий параграф, применяется [Статья 5](https://bukva.ai/docs/reglament-1822011/statya-5#p100078) Регламента (ЕС) 182/2011. ## Статья 23 ### Статья 23 Пересмотр 1. До 9 мая 2019 г. Европейская Комиссия передает в Европейский Парламент и Совет ЕС отчет, содержащий оценку единообразия подходов государств-членов ЕС к идентификации операторов основных услуг. 2. Периодически Европейская Комиссия проводит пересмотр действия настоящей Директивы и сообщает об этом Европейскому Парламенту и Совету ЕС. В указанных целях, а также для дальнейшего содействия стратегическому и оперативному сотрудничеству Европейская Комиссия рассматривает отчеты группы по сотрудничеству и CSIRTs о стратегическом и оперативном опыте. Также при пересмотре настоящей Директивы Европейская Комиссия должна оценивать списки, содержащиеся в [Приложениях II](https://bukva.ai/docs/direktiva-20161148/statya-27#p100422) и [III](https://bukva.ai/docs/direktiva-20161148/statya-27#p100492), а также согласованность подходов при идентификации операторов основных услуг и услуг в отраслях, указанных в [Приложении II](https://bukva.ai/docs/direktiva-20161148/statya-27#p100422). Первый отчет должен быть передан до 9 мая 2021 г. ## Статья 24 ### Статья 24 Переходные положения 1. Без ущерба действию положений [Статьи 25](https://bukva.ai/docs/direktiva-20161148/statya-25#p100385) в целях предоставления государствам-членам ЕС дополнительных возможностей для осуществления надлежащего сотрудничества в переходный период Группа по сотрудничеству и сеть CSIRTs приступят к выполнению своих задач, указанных в [Статьях 11(3)](https://bukva.ai/docs/direktiva-20161148/statya-11#p100253) и [12(3)](https://bukva.ai/docs/direktiva-20161148/statya-12#p100275) соответственно, с 9 февраля 2017 г. 2. С 9 февраля 2017 г. по 9 ноября 2018 г. в целях оказания содействия государствам-членам ЕС в принятии согласованного подхода к процессу идентификации операторов основных услуг Группа по сотрудничеству должна рассмотреть процесс, характер и тип национальных мер, направленных на идентификацию операторов основных услуг в определенной отрасли в соответствии с критериями, установленными в [Статьях 5](https://bukva.ai/docs/direktiva-20161148/statya-5#p100182) и [6](https://bukva.ai/docs/direktiva-20161148/statya-6#p100199). По запросу государства-члена ЕС Группа по сотрудничеству также должна рассмотреть отдельный проект национальных мер указанного государства-члена ЕС, направленных на идентификацию операторов основных услуг в определенной отрасли в соответствии с критериями, установленными в [Статьях 5](https://bukva.ai/docs/direktiva-20161148/statya-5#p100182) и [6](https://bukva.ai/docs/direktiva-20161148/statya-6#p100199). 3. Для целей настоящей Статьи до 9 февраля 2017 г. государства-члены ЕС должны обеспечить участие представителей в Группе по сотрудничеству и сети CSIRTs. ## Статья 25 ### Статья 25 Преобразование в национальное право 1. До 9 мая 2018 г. государства-члены ЕС должны принять и опубликовать законодательные, регламентарные и административные положения, необходимые для выполнения требований настоящей Директивы. Они незамедлительно информируют о них Европейскую Комиссию. Указанные положения применяются с 10 мая 2018 г. При принятии указанных актов они должны содержать ссылки на настоящую Директиву или должны сопровождаться такими ссылками при их официальном опубликовании. Государства-члены ЕС самостоятельно определяют, каким образом делаются данные ссылки. 2. Государства-члены ЕС должны довести до сведения Европейской Комиссии текст основных положений национального законодательства, которое они принимают в области, подпадающей под действие настоящей Директивы. ## Статья 26 ### Статья 26 Вступление в силу Настоящая Директива вступает в силу на двадцатый день после ее официального опубликования в Официальном Журнале Европейского Союза. ## Статья 27 ### Статья 27 Адресаты Настоящая Директива адресована государствам-членам ЕС. Совершено в Страсбурге 6 июля 2016 г.
(Подписи)
Приложение I
**ТРЕБОВАНИЯ** **К ГРУППАМ РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ, СВЯЗАННЫЕ** С КОМПЬЮТЕРНОЙ БЕЗОПАСНОСТЬЮ ("CSIRTs"), И ИХ ЗАДАЧИ Требования к CSIRTs и их задачи должны быть четко, надлежащим образом определены и подкреплены национальными политическими и/или регламентарными положениями. К ним относятся следующие положения: (1) Требования к CSIRTs: (a) CSIRTs должны обеспечить высокий уровень доступности своих каналов связи при одновременном обеспечении отсутствия компонентов, отказ которых приводит к отказу всей системы, а также должны обеспечить функционирование нескольких средств связи с ними и связи с другими группами в любое время. Более того, каналы связи должны быть четко определены и хорошо известны представляемым сторонам и партнерам. (b) Помещения, где располагаются CSIRTs, и поддерживающие информационные системы должны быть расположены в безопасных местах. (c) Устойчивость бизнеса: (i) CSIRTs должны быть оборудованы надлежащими системами управления и направления запросов для упрощения передачи обслуживания; (ii) CSIRTs имеют достаточное количество персонала, обеспечивающее их постоянную доступность; (iii) CSIRTs пользуются сетевым оборудованием, непрерывность работы которого гарантирована. В указанных целях необходимо обеспечить наличие дуплексных систем и резервных рабочих пространств. (d) Если CSIRTs желают, они должны иметь возможность участвовать в международных сетях сотрудничества. 2. Задачи CSIRTs: (a) Как минимум в задачи CSIRTs должно входить следующее: (i) мониторинг инцидентов на национальном уровне; (ii) распространение заблаговременных предупреждений, сигналов об опасности, сообщение и распространение информации среди заинтересованных сторон о рисках и об инцидентах; (iii) реагирование на инциденты; (iv) проведение динамического анализа рисков и инцидентов и поддержание ситуационной осведомленности; (v) участие в сети CSIRTs. (b) Построение взаимоотношений сотрудничества с частным сектором. (c) В целях содействия сотрудничеству CSIRTs поощряют принятие и использование единых и стандартизированных методов определения: (i) процедур управления инцидентами и рисками; (ii) схем классификации инцидентов, рисков и информации.
Приложение II
ТИПЫ ПРЕДПРИЯТИЙ ДЛЯ ЦЕЛЕЙ [ПУНКТА (4) СТАТЬИ 4](https://bukva.ai/docs/direktiva-20161148/statya-4#p100160)
ОтрасльПодотрасльТип предприятия
1. Энергетика(a) Электрическая энергия- Электроэнергетические предприятия в соответствии с пунктом (35) Статьи 2 Директивы 2009/72/ЕС Европейского Парламента и Совета ЕС <28>, осуществляющие функции поставки в соответствии с пунктом (19) Статьи 2 указанной Директивы
- Операторы распределительной сети в соответствии с пунктом (6) Статьи 2 Директивы 2009/72/ЕС
- Операторы передающей сети в соответствии с пунктом (4) Статьи 2 Директивы 2009/72/ЕС
(b) Нефть- Операторы нефтяных трубопроводов
- Операторы нефтедобычи, перегонки нефти, объектов подготовки нефти, нефтехранилищ и передачи нефти
(c) Газ- Поставляющие предприятия в соответствии с пунктом (8) Статьи 2 Директивы 2009/73/ЕС Европейского Парламента и Совета ЕС <29>
- Операторы распределительной системы в соответствии с пунктом (6) Статьи 2 Директивы 2009/73/ЕС
- Оператор транспортной системы в соответствии с пунктом (4) Статьи 2 Директивы 2009/73/ЕС
- Оператор системы хранения в соответствии с пунктом (10) Статьи 2 Директивы 2009/73/ЕС
- Оператор системы сжиженного газа в соответствии с пунктом (12) Статьи 2 Директивы 2009/73/ЕС
- Предприятие в секторе природного газа в соответствии с пунктом (1) Статьи 2 Директивы 2009/73/ЕС
- Операторы перегонки природного газа и объектов подготовки природного газа
2. Транспорт(a) Воздушный транспорт- Авиаперевозчики в соответствии с пунктом (4) Статьи 3 Регламента (ЕС) 300/2008 Европейского Парламента и Совета ЕС <30>
- Органы управления аэропортом в соответствии с пунктом (2) Статьи 2 Директивы 2009/12/ЕС Европейского Парламента и Совета ЕС <31>, аэропорты в соответствии с пунктом (1) Статьи 2 указанной Директивы, в том числе аэропорты центральной зоны, перечисленные в Разделе 2 Приложения II к Регламенту (ЕС) 1315/2013 Европейского Парламента и Совета ЕС <32>, предприятия по работе с вспомогательным оборудованием, расположенным в аэропортах
- Операторы регулирования транспортного потока, осуществляющие управление воздушным движением (ATC <33>) в соответствии с пунктом (1) Статьи 2 Регламента 549/2004 Европейского Парламента и Совета ЕС <34>
(b) Железнодорожный транспорт- Операторы железнодорожной структуры в соответствии с пунктом (2) Статьи 3 Директивы 2012/34/ЕС Европейского Парламента и Совета ЕС <35>
- Железнодорожные предприятия в соответствии с пунктом (1) Статьи 3 Директивы 2012/34/ЕС, в том числе операторы предприятий обслуживания в соответствии с пунктом (12) Статьи 3 Директивы 2012/34/ЕС
(c) Водный транспорт- Транспортные компании внутренних водных путей, морских и прибрежных перевозок пассажиров и грузов в соответствии с определением морского транспорта, содержащимся в Приложении I к Регламенту (ЕС) 725/2004 Европейского Парламента и Совета ЕС <36>, за исключением частных судов, управляемых указанными компаниями
- Органы управления портами в соответствии с пунктом (1) Статьи 3 Директивы 2005/65/ЕС Европейского Парламента и Совета ЕС <37>, в том числе портовыми сооружениями в соответствии с пунктом (11) Статьи 2 Регламента (ЕС) 725/2004, предприятия по работе с установками и оборудованием, расположенным в портах
- Операторы службы управления движением судов в соответствии с пунктом (o) Статьи 3 Директивы 2002/59/ЕС Европейского Парламента и Совета ЕС <38>
(d) Автодорожный транспорт- Дорожное управление в соответствии с пунктом (12) Статьи 2 Делегированного Регламента (ЕС) 2015/962 Европейской Комиссии <39>, ответственное за регулирование транспортного потока
- Операторы Интеллектуальной транспортной системы в соответствии с пунктом (1) Статьи 4 Директивы 2010/40/ЕС Европейского Парламента и Совета ЕС <40>
3. Банковское делоКредитные организации в соответствии с пунктом (1) Статьи 4 Регламента (ЕС) 575/2013 Европейского Парламента и Совета ЕС <41>
4. Инфраструктуры финансового рынка- Операторы торговых площадок в соответствии с пунктом (24) Статьи 4 Директивы 2014/65/ЕС Европейского Парламента и Совета ЕС <42>
- Центральные контрагенты (CCPs <43>) в соответствии с пунктом (1) Статьи 2 Регламента (ЕС) 648/2012 Европейского Парламента и Совета ЕС <44>
5. ЗдравоохранениеУчреждения здравоохранения (в том числе больницы и частные клиники)Поставщики медицинских услуг в соответствии с пунктом (g) Статьи 3 Директивы 2011/24/ЕС Европейского Парламента и Совета ЕС <45>
6. Поставка и дистрибуция питьевой водыПоставщики и дистрибьюторы воды, предназначенной для потребления людьми, в соответствии с пунктом 1(a) Статьи 2 Директивы 98/83/ЕС Совета ЕС <46>, за исключением дистрибьюторов, для которых дистрибуция воды, предназначенной для потребления людьми, является только частью их основного вида деятельности по дистрибуции других предметов и товаров, которая не относится к основным услугам
7. Цифровая инфраструктура- IXPs
- Провайдеры DNS-услуг
- регистраторы TLD-имен
--- <28> [Директива](https://bukva.ai/docs/direktiva-200972es/statya-1) 2009/72/ЕС Европейского Парламента и Совета ЕС от 13 июля 2009 г. об общих правилах внутреннего рынка электрической энергии и об отмене Директивы 2003/54/ЕС (ОЖ N L 211, 14.08.2009, стр. 55). <29> [Директива](https://bukva.ai/docs/direktiva-200973es/statya-1) 2009/73/ЕС Европейского Парламента и Совета ЕС от 13 июля 2009 г. об общих правилах внутреннего рынка для природного газа и об отмене Директивы 2003/55/ЕС (ОЖ N L 211, 14.08.2009, стр. 94). <30> [Регламент](https://bukva.ai/docs/reglament-3002008/statya-1) (ЕС) 300/2008 Европейского Парламента и Совета ЕС от 11 марта 2008 г. об общих правилах в области безопасности гражданской авиации и об отмене Регламента (ЕС) 2320/2002 (ОЖ N L 97, 09.04.2008, стр. 72). <31> [Директива](https://bukva.ai/docs/direktiva-200912ec/statya-1) 2009/12/ЕС Европейского Парламента и Совета ЕС от 11 марта 2009 г. о сборах на услуги аэропортов (ОЖ N L 70, 14.03.2009, стр. 11). <32> Регламент (ЕС) 1315/2013 Европейского Парламента и Совета ЕС от 11 декабря 2013 г. о руководящих принципах Союза для развития трансъевропейской транспортной сети, а также об отмене Решения 661/2010/ЕС (ОЖ N L 348, 20.12.2013, стр. 1). <33> ATC - англ. Air traffic control - прим. перевод. <34> [Регламент](https://bukva.ai/docs/reglament-5492004/statya-1) (ЕС) 549/2004 Европейского Парламента и Совета ЕС от 10 марта 2004 г., устанавливающий правовую базу для создания Единого европейского неба (рамочный Регламент) (ОЖ N L 96, 31.03.2004, стр. 1) <35> [Директива](https://bukva.ai/docs/direktiva-201234es/statya-1) 2012/34/ЕС Европейского Парламента и Совета ЕС от 21 ноября 2012 г., устанавливающая единое европейское железнодорожное пространство (ОЖ N L 343, 14.12.2012, стр. 32). <36> Регламент (ЕС) 725/2004 Европейского Парламента и Совета ЕС от 31 марта 2004 г. о повышении безопасности судов и портовых сооружений (ОЖ N L 129, 29.04.2004, стр. 6). <37> [Директива](https://bukva.ai/docs/direktiva-200565es/statya-1) 2005/65/ЕС Европейского Парламента и Совета ЕС от 26 октября 2005 г. о повышении безопасности портов (ОЖ N L 310, 25.11.2005, стр. 28). <38> Директива 2002/59/ЕС Европейского Парламента и Совета ЕС от 27 июня 2002 г. о создании системы мониторинга движения судов и информационного обеспечения в Сообществе и об отмене Директивы 93/75/ЕС Совета ЕС (ОЖ N L 208, 05.08.2002, стр. 10). <39> Делегированный Регламент (ЕС) 2015/962 Европейской Комиссии от 18 декабря 2014 г., дополняющий Директиву 2010/40/ЕС Европейского Парламента и Совета ЕС о службах ЕС, предоставляющих информацию о дорожном движении в режиме реального времени (ОЖ N L 157, 23.6.2015, стр. 21). <40> [Директива](https://bukva.ai/docs/direktiva-201040es/statya-1) 2010/40/ЕС Европейского Парламента и Совета ЕС от 7 июля 2010 г. об общих рамках для размещении ITS (Intelligent Transport Systems) в сфере дорожного транспорта и взаимодействия с другими видами транспорта (ОЖ N L 207, 6.8.2010, стр. 1). <41> Регламент (ЕС) 575/2013 Европейского Парламента и Совета ЕС от 26 июня 2013 г. о пруденциальных требованиях к кредитным организациям и инвестиционным фирмам и внесении изменений в [Регламент](https://bukva.ai/docs/reglament-6482012/statya-1) (ЕС) 648/2012 (ОЖ N L 176, 27.06.2013, стр. 1). <42> [Директива](https://bukva.ai/docs/direktiva-201465es/statya-1) 2014/65/ЕС Европейского Парламента и Совета ЕС от 15 мая 2014 г. о рынках финансовых инструментов и внесении изменений в Директиву 2002/92/EC и Директиву 2011/61/ЕС (ОЖ N L 173, 12.06.2014, стр. 349). <43> CCPs - англ. Central counterparties - прим. перевод. <44> [Регламент](https://bukva.ai/docs/reglament-6482012/statya-1) (ЕС) 648/2012 Европейского Парламента и Совета ЕС от 4 июля 2012 г. о внебиржевых деривативах, центральных контрагентах и торговых репозиториях (ОЖ N L 201, 27.07.2012, стр. 1). <45> [Директива](https://bukva.ai/docs/direktiva-201124es/statya-1) 2011/24/ЕС Европейского Парламента и Совета ЕС от 9 марта 2011 г. о правах пациентов в трансграничном медицинском обслуживании (ОЖ N L 88, 04.04.2011, стр. 45). <46> [Директива](https://bukva.ai/docs/direktiva-9883es/statya-1) 98/83/ЕС Совета ЕС от 3 ноября 1998 г. о качестве воды, предназначенной для потребления людьми (ОЖ N L 330, 05.12.1998, стр. 32).
Приложение III
ТИПЫ ЦИФРОВЫХ УСЛУГ ДЛЯ ЦЕЛЕЙ [ПУНКТА (5) СТАТЬИ 4](https://bukva.ai/docs/direktiva-20161148/statya-4#p100161) 1. Интернет-магазин. 2. Онлайн-поисковая система. 3. Операционная система на базе облака. DIRECTIVE (EU) No. 2016/1148 **OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL** **CONCERNING MEASURES FOR A HIGH COMMON LEVEL OF SECURITY** **OF NETWORK AND INFORMATION SYSTEMS ACROSS THE UNION** (Strasbourg, 6.VII.2016) The European Parliament and the Council of the European Union, Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof, Having regard to the proposal from the European Commission, After transmission of the draft legislative act to the national parliaments, Having regard to the opinion of the European Economic and Social Committee <1>, --- <1> OJ C 271, 19.9.2013, p. 133. Acting in accordance with the ordinary legislative procedure <2>, --- <2> Position of the European Parliament of 13 March 2014 (not yet published in the Official Journal) and position of the Council at first reading of 17 May 2016 (not yet published in the Official Journal). Position of the European Parliament of 6 July 2016 (not yet published in the Official Journal). Whereas: (1) Network and information systems and services play a vital role in society. Their reliability and security are essential to economic and societal activities, and in particular to the functioning of the internal market. (2) The magnitude, frequency and impact of security incidents are increasing, and represent a major threat to the functioning of network and information systems. Those systems may also become a target for deliberate harmful actions intended to damage or interrupt the operation of the systems. Such incidents can impede the pursuit of economic activities, generate substantial financial losses, undermine user confidence and cause major damage to the economy of the Union. (3) Network and information systems, and primarily the internet, play an essential role in facilitating the cross-border movement of goods, services and people. Owing to that transnational nature, substantial disruptions of those systems, whether intentional or unintentional and regardless of where they occur, can affect individual Member States and the Union as a whole. The security of network and information systems is therefore essential for the smooth functioning of the internal market. (4) Building upon the significant progress within the European Forum of Member States in fostering discussions and exchanges on good policy practices, including the development of principles for European cyber-crisis cooperation, a Cooperation Group, composed of representatives of Member States, the Commission, and the European Union Agency for Network and Information Security ("ENISA"), should be established to support and facilitate strategic cooperation between the Member States regarding the security of network and information systems. For that group to be effective and inclusive, it is essential that all Member States have minimum capabilities and a strategy ensuring a high level of security of network and information systems in their territory. In addition, security and notification requirements should apply to operators of essential services and to digital service providers to promote a culture of risk management and ensure that the most serious incidents are reported. (5) The existing capabilities are not sufficient to ensure a high level of security of network and information systems within the Union. Member States have very different levels of preparedness, which has led to fragmented approaches across the Union. This results in an unequal level of protection of consumers and businesses, and undermines the overall level of security of network and information systems within the Union. Lack of common requirements on operators of essential services and digital service providers in turn makes it impossible to set up a global and effective mechanism for cooperation at Union level. Universities and research centres have a decisive role to play in spurring research, development and innovation in those areas. (6) Responding effectively to the challenges of the security of network and information systems therefore requires a global approach at Union level covering common minimum capacity building and planning requirements, exchange of information, cooperation and common security requirements for operators of essential services and digital service providers. However, operators of essential services and digital service providers are not precluded from implementing security measures that are stricter than those provided for under this Directive. (7) To cover all relevant incidents and risks, this Directive should apply to both operators of essential services and digital service providers. However, the obligations on operators of essential services and digital service providers should not apply to undertakings providing public communication networks or publicly available electronic communication services within the meaning of Directive 2002/21/EC of the European Parliament and of the Council <1>, which are subject to the specific security and integrity requirements laid down in that Directive, nor should they apply to trust service providers within the meaning of Regulation (EU) No 910/2014 of the European Parliament and of the Council <2>, which are subject to the security requirements laid down in that Regulation. --- <1> Directive 2002/21/EC of the European Parliament and of the Council of 7 March 2002 on a common regulatory framework for electronic communications networks and services (Framework Directive) (OJ L 108, 24.4.2002, p. 33). <2> Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC (OJ L 257, 28.8.2014, p. 73). (8) This Directive should be without prejudice to the possibility for each Member State to take the necessary measures to ensure the protection of the essential interests of its security, to safeguard public policy and public security, and to allow for the investigation, detection and prosecution of criminal offences. In accordance with Article 346 of the Treaty on the Functioning of the European Union (TFEU), no Member State is to be obliged to supply information the disclosure of which it considers to be contrary to the essential interests of its security. In this context, Council Decision 2013/488/EU <3> and non-disclosure agreements, or informal non-disclosure agreements such as the Traffic Light Protocol, are of relevance. --- <3> Council Decision 2013/488/EU of 23 September 2013 on the security rules for protecting EU classified information (OJ L 274, 15.10.2013, p. 1). (9) Certain sectors of the economy are already regulated or may be regulated in the future by sector-specific Union legal acts that include rules related to the security of network and information systems. Whenever those Union legal acts contain provisions imposing requirements concerning the security of network and information systems or notifications of incidents, those provisions should apply if they contain requirements which are at least equivalent in effect to the obligations contained in this Directive. Member States should then apply the provisions of such sector-specific Union legal acts, including those relating to jurisdiction, and should not carry out the identification process for operators of essential services as defined by this Directive. In this context, Member States should provide information to the Commission on the application of such lex specialis provisions. In determining whether the requirements on the security of network and information systems and the notification of incidents contained in sector-specific Union legal acts are equivalent to those contained in this Directive, regard should only be had to the provisions of relevant Union legal acts and their application in the Member States. (10) In the water transport sector, security requirements for companies, ships, port facilities, ports and vessel traffic services under Union legal acts cover all operations, including radio and telecommunication systems, computer systems and networks. Part of the mandatory procedures to be followed includes the reporting of all incidents and should therefore be considered as lex specialis, in so far as those requirements are at least equivalent to the corresponding provisions of this Directive. (11) When identifying operators in the water transport sector, Member States should take into account existing and future international codes and guidelines developed in particular by the International Maritime Organisation, with a view to providing individual maritime operators with a coherent approach. (12) Regulation and supervision in the sectors of banking and financial market infrastructures is highly harmonised at Union level, through the use of primary and secondary Union law and standards developed together with the European supervisory authorities. Within the banking union, the application and the supervision of those requirements are ensured by the single supervisory mechanism. For Member States that are not part of the banking union, this is ensured by the relevant banking regulators of Member States. In other areas of financial sector regulation, the European System of Financial Supervision also ensures a high degree of commonality and convergence in supervisory practices. The European Securities Markets Authority also plays a direct supervision role for certain entities, namely credit-rating agencies and trade repositories. (13) Operational risk is a crucial part of prudential regulation and supervision in the sectors of banking and financial market infrastructures. It covers all operations including the security, integrity and resilience of network and information systems. The requirements in respect of those systems, which often exceed the requirements provided for under this Directive, are set out in a number of Union legal acts, including: rules on access to the activity of credit institutions and the prudential supervision of credit institutions and investment firms, and rules on prudential requirements for credit institutions and investment firms, which include requirements concerning operational risk; rules on markets in financial instruments, which include requirements concerning risk assessment for investment firms and for regulated markets; rules on OTC derivatives, central counterparties and trade repositories, which include requirements concerning operational risk for central counterparties and trade repositories; and rules on improving securities settlement in the Union and on central securities depositories, which include requirements concerning operational risk. Furthermore, requirements for notification of incidents are part of normal supervisory practice in the financial sector and are often included in supervisory manuals. Member States should consider those rules and requirements in their application of lex specialis. (14) As noted by the European Central Bank in its opinion of 25 July 2014 <1>, this Directive does not affect the regime under Union law for the Eurosystem's oversight of payment and settlement systems. It would be appropriate for the authorities responsible for such oversight to exchange experiences on matters concerning security of network and information systems with the competent authorities under this Directive. The same consideration applies to non-euro area members of the European System of Central Banks exercising such oversight of payment and settlement systems on the basis of national laws and regulations. --- <1> OJ C 352, 7.10.2014, p. 4. (15) An online marketplace allows consumers and traders to conclude online sales or service contracts with traders, and is the final destination for the conclusion of those contracts. It should not cover online services that serve only as an intermediary to third-party services through which a contract can ultimately be concluded. It should therefore not cover online services that compare the price of particular products or services from different traders, and then redirect the user to the preferred trader to purchase the product. Computing services provided by the online marketplace may include processing of transactions, aggregations of data or profiling of users. Application stores, which operate as online stores enabling the digital distribution of applications or software programmes from third parties, are to be understood as being a type of online marketplace. (16) An online search engine allows the user to perform searches of, in principle, all websites on the basis of a query on any subject. It may alternatively be focused on websites in a particular language. The definition of an online search engine provided in this Directive should not cover search functions that are limited to the content of a specific website, irrespective of whether the search function is provided by an external search engine. Neither should it cover online services that compare the price of particular products or services from different traders, and then redirect the user to the preferred trader to purchase the product. (17) Cloud computing services span a wide range of activities that can be delivered according to different models. For the purposes of this Directive, the term "cloud computing services" covers services that allow access to a scalable and elastic pool of shareable computing resources. Those computing resources include resources such as networks, servers or other infrastructure, storage, applications and services. The term "scalable" refers to computing resources that are flexibly allocated by the cloud service provider, irrespective of the geographical location of the resources, in order to handle fluctuations in demand. The term "elastic pool" is used to describe those computing resources that are provisioned and released according to demand in order to rapidly increase and decrease resources available depending on workload. The term "shareable" is used to describe those computing resources that are provided to multiple users who share a common access to the service, but where the processing is carried out separately for each user, although the service is provided from the same electronic equipment. (18) The function of an internet exchange point (IXP) is to interconnect networks. An IXP does not provide network access or act as a transit provider or carrier. Nor does an IXP provide other services unrelated to interconnection, although this does not preclude an IXP operator from providing unrelated services. An IXP exists to interconnect networks that are technically and organisationally separate. The term "autonomous system" is used to describe a technically stand-alone network. (19) Member States should be responsible for determining which entities meet the criteria of the definition of operator of essential services. In order to ensure a consistent approach, the definition of operator of essential services should be coherently applied by all Member States. To that end, this Directive provides for the assessment of the entities active in specific sectors and subsectors, the establishment of a list of essential services, the consideration of a common list of cross-sectoral factors to determine whether a potential incident would have a significant disruptive effect, a consultation process involving relevant Member States in the case of entities providing services in more than one Member State, and the support of the Cooperation Group in the identification process. In order to ensure that possible changes in the market are accurately reflected, the list of identified operators should be reviewed regularly by Member States and updated when necessary. Finally, Member States should submit to the Commission the information necessary to assess the extent to which this common methodology has allowed a consistent application of the definition by Member States. (20) In the process of identification of operators of essential services, Member States should assess, at least for each subsector referred to in this Directive, which services have to be considered as essential for the maintenance of critical societal and economic activities, and whether the entities listed in the sectors and subsectors referred to in this Directive and providing those services meet the criteria for the identification of operators. When assessing whether an entity provides a service which is essential for the maintenance of critical societal or economic activities, it is sufficient to examine whether that entity provides a service that is included in the list of essential services. Furthermore, it should be demonstrated that provision of the essential service is dependent on network and information systems. Finally, when assessing whether an incident would have a significant disruptive effect on the provision of the service, Member States should take into account a number of cross-sectoral factors, as well as, where appropriate, sector-specific factors. (21) For the purposes of identifying operators of essential services, establishment in a Member State implies the effective and real exercise of activity through stable arrangements. The legal form of such arrangements, whether through a branch or a subsidiary possessing legal personality, is not the determining factor in this respect. (22) It is possible that entities operating in the sectors and subsectors referred to in this Directive provide both essential and non-essential services. For example, in the air transport sector, airports provide services which might be considered by a Member State to be essential, such as the management of the runways, but also a number of services which might be considered as non-essential, such as the provision of shopping areas. Operators of essential services should be subject to the specific security requirements only with respect to those services which are deemed to be essential. For the purpose of identifying operators, Member States should therefore establish a list of the services which are considered as essential. (23) The list of services should contain all services provided in the territory of a given Member State that fulfil the requirements under this Directive. Member States should be able to supplement the existing list by including new services. The list of services should serve as a reference point for Member States, allowing for identification of operators of essential services. Its purpose is to identify the types of essential services in any given sector referred to in this Directive, thus distinguishing them from non-essential activities for which an entity active in any given sector might be responsible. The list of services established by each Member State would serve as further input in the assessment of the regulatory practice of each Member State with a view to ensuring the overall level of consistency of the identification process amongst Member States. (24) For the purposes of the identification process, where an entity provides an essential service in two or more Member States, those Member States should engage in bilateral or multilateral discussions with each other. This consultation process is intended to help them to assess the critical nature of the operator in terms of cross-border impact, thereby allowing each Member State involved to present its views regarding the risks associated with the services provided. The Member States concerned should take into account each other's views in this process, and should be able to request the assistance of the Cooperation Group in this regard. (25) As a result of the identification process, Member States should adopt national measures to determine which entities are subject to obligations regarding the security of network and information systems. This result could be achieved by adopting a list enumerating all operators of essential services or by adopting national measures including objective quantifiable criteria, such as the output of the operator or the number of users, which make it possible to determine which entities are subject to obligations regarding the security of network and information systems. The national measures, whether already existing or adopted in the context of this Directive, should include all legal measures, administrative measures and policies allowing for the identification of operators of essential services under this Directive. (26) In order to give an indication of the importance, in relation to the sector concerned, of the identified operators of essential services, Member States should take into account the number and the size of those operators, for example in terms of market share or of the quantity produced or carried, without being obliged to divulge information which would reveal which operators have been identified. (27) In order to determine whether an incident would have a significant disruptive effect on the provision of an essential service, Member States should take into account a number of different factors, such as the number of users relying on that service for private or professional purposes. The use of that service can be direct, indirect or by intermediation. When assessing the impact that an incident could have, in terms of its degree and duration, on economic and societal activities or public safety, Member States should also assess the time likely to elapse before the discontinuity would start to have a negative impact. (28) In addition to the cross-sectoral factors, sector-specific factors should also be considered in order to determine whether an incident would have a significant disruptive effect on the provision of an essential service. With regard to energy suppliers, such factors could include the volume or proportion of national power generated; for oil suppliers, the volume per day; for air transport, including airports and air carriers, rail transport and maritime ports, the proportion of national traffic volume and the number of passengers or cargo operations per year; for banking or financial market infrastructures, their systemic importance based on total assets or the ratio of those total assets to GDP; for the health sector, the number of patients under the provider's care per year; for water production, processing and supply, the volume and number and types of users supplied, including, for example, hospitals, public service organisations, or individuals, and the existence of alternative sources of water to cover the same geographical area. (29) To achieve and maintain a high level of security of network and information systems, each Member State should have a national strategy on the security of network and information systems defining the strategic objectives and concrete policy actions to be implemented. (30) In view of the differences in national governance structures and in order to safeguard already existing sectoral arrangements or Union supervisory and regulatory bodies, and to avoid duplication, Member States should be able to designate more than one national competent authority responsible for fulfilling the tasks linked to the security of the network and information systems of operators of essential services and digital service providers under this Directive. (31) In order to facilitate cross-border cooperation and communication and to enable this Directive to be implemented effectively, it is necessary for each Member State, without prejudice to sectoral regulatory arrangements, to designate a national single point of contact responsible for coordinating issues related to the security of network and information systems and cross-border cooperation at Union level. Competent authorities and single points of contact should have the adequate technical, financial and human resources to ensure that they can carry out the tasks assigned to them in an effective and efficient manner and thus achieve the objectives of this Directive. As this Directive aims to improve the functioning of the internal market by creating trust and confidence, Member State bodies need to be able to cooperate effectively with economic actors and to be structured accordingly. (32) Competent authorities or the computer security incident response teams ("CSIRTs") should receive notifications of incidents. The single points of contact should not receive directly any notifications of incidents unless they also act as a competent authority or a CSIRT. A competent authority or a CSIRT should however be able to task the single point of contact with forwarding incident notifications to the single points of contact of other affected Member States. (33) To ensure the effective provision of information to the Member States and to the Commission, a summary report should be submitted by the single point of contact to the Cooperation Group, and should be anonymised in order to preserve the confidentiality of the notifications and the identity of operators of essential services and digital service providers, as information on the identity of the notifying entities is not required for the exchange of best practice in the Cooperation Group. The summary report should include information on the number of notifications received, as well as an indication of the nature of the notified incidents, such as the types of security breaches, their seriousness or their duration. (34) Member States should be adequately equipped, in terms of both technical and organisational capabilities, to prevent, detect, respond to and mitigate network and information system incidents and risks. Member States should therefore ensure that they have well-functioning CSIRTs, also known as computer emergency response teams ("CERTs"), complying with essential requirements to guarantee effective and compatible capabilities to deal with incidents and risks and ensure efficient cooperation at Union level. In order for all types of operators of essential services and digital service providers to benefit from such capabilities and cooperation, Member States should ensure that all types are covered by a designated CSIRT. Given the importance of international cooperation on cybersecurity, CSIRTs should be able to participate in international cooperation networks in addition to the CSIRTs network established by this Directive. (35) As most network and information systems are privately operated, cooperation between the public and private sectors is essential. Operators of essential services and digital service providers should be encouraged to pursue their own informal cooperation mechanisms to ensure the security of network and information systems. The Cooperation Group should be able to invite relevant stakeholders to the discussions where appropriate. To encourage effectively the sharing of information and of best practice, it is essential to ensure that operators of essential services and digital service providers who participate in such exchanges are not disadvantaged as a result of their cooperation. (36) ENISA should assist the Member States and the Commission by providing expertise and advice and by facilitating the exchange of best practice. In particular, in the application of this Directive, the Commission should, and Member States should be able to, consult ENISA. To build capacity and knowledge among Member States, the Cooperation Group should also serve as an instrument for the exchange of best practice, discussion of capabilities and preparedness of the Member States and, on a voluntary basis, to assist its members in evaluating national strategies on the security of network and information systems, building capacity and evaluating exercises relating to the security of network and information systems. (37) Where appropriate, Member States should be able to use or adapt existing organisational structures or strategies when applying this Directive. (38) The respective tasks of the Cooperation Group and of ENISA are interdependent and complementary. In general, ENISA should assist the Cooperation Group in the execution of its tasks, in line with the objective of ENISA set out in Regulation (EU) No 526/2013 of the European Parliament and the Council <1>, namely to assist the Union institutions, bodies, offices and agencies and the Member States in implementing the policies necessary to meet the legal and regulatory requirements of network and information system security under existing and future legal acts of the Union. In particular, ENISA should provide assistance in those areas that correspond to its own tasks, as set out in Regulation (EU) No 526/2013, namely analysing network and information system security strategies, supporting the organisation and running of Union exercises relating to the security of network and information systems, and exchanging information and best practice on awareness-raising and training. ENISA should also be involved in the development of guidelines for sector-specific criteria for determining the significance of the impact of an incident. --- <1> Regulation (EU) No 526/2013 of the European Parliament and the Council of 21 May 2013 concerning the European Union Agency for Network and Information Security (ENISA) and repealing Regulation (EC) No 460/2004 (OJ L 165, 18.6.2013, p. 41). (39) In order to promote advanced security of network and information systems, the Cooperation Group should, where appropriate, cooperate with relevant Union institutions, bodies, offices and agencies, to exchange knowhow and best practice, and to provide advice on security aspects of network and information systems that might have an impact on their work, while respecting existing arrangements for the exchange of restricted information. In cooperating with law enforcement authorities regarding the security aspects of network and information systems that might have an impact on their work, the Cooperation Group should respect existing channels of information and established networks. (40) Information about incidents is increasingly valuable to the general public and businesses, particularly small and medium-sized enterprises. In some cases, such information is already provided via websites at the national level, in the language of a specific country and focusing mainly on incidents and occurrences with a national dimension. Given that businesses increasingly operate across borders and citizens use online services, information on incidents should be provided in an aggregated form at Union level. The secretariat of the CSIRTs network is encouraged to maintain a website or to host a dedicated page on an existing website, where general information on major incidents that have occurred across the Union is made available to the general public, with a specific focus on the interests and needs of businesses. CSIRTs participating in the CSIRTs network are encouraged to provide on a voluntary basis the information to be published on that website, without including confidential or sensitive information. (41) Where information is considered to be confidential in accordance with Union and national rules on business confidentiality, such confidentiality should be ensured when carrying out the activities and fulfilling the objectives set by this Directive. (42) Exercises which simulate real-time incident scenarios are essential for testing Member States' preparedness and cooperation regarding the security of network and information systems. The CyberEurope cycle of exercises coordinated by ENISA with the participation of the Member States is a useful tool for testing and drawing up recommendations on how incident-handling at Union level should improve over time. Considering that the Member States are not currently under any obligation to either plan or participate in exercises, the creation of the CSIRTs network under this Directive should enable Member States to participate in exercises on the basis of accurate planning and strategic choices. The Cooperation Group set up under this Directive should discuss the strategic decisions regarding exercises, in particular but not exclusively as regards the regularity of the exercises and the design of the scenarios. ENISA should, in accordance with its mandate, support the organisation and running of Union-wide exercises by providing its expertise and advice to the Cooperation Group and the CSIRTs network. (43) Given the global nature of security problems affecting network and information systems, there is a need for closer international cooperation to improve security standards and information exchange, and to promote a common global approach to security issues. (44) Responsibilities in ensuring the security of network and information systems lie, to a great extent, with operators of essential services and digital service providers. A culture of risk management, involving risk assessment and the implementation of security measures appropriate to the risks faced, should be promoted and developed through appropriate regulatory requirements and voluntary industry practices. Establishing a trustworthy level playing field is also essential to the effective functioning of the Cooperation Group and the CSIRTs network, to ensure effective cooperation from all Member States. (45) This Directive applies only to those public administrations which are identified as operators of essential services. Therefore, it is the responsibility of Member States to ensure the security of network and information systems of public administrations not falling within the scope of this Directive. (46) Risk-management measures include measures to identify any risks of incidents, to prevent, detect and handle incidents and to mitigate their impact. The security of network and information systems comprises the security of stored, transmitted and processed data. (47) Competent authorities should retain the ability to adopt national guidelines concerning the circumstances in which operators of essential services are required to notify incidents. (48) Many businesses in the Union rely on digital service providers for the provision of their services. As some digital services could be an important resource for their users, including operators of essential services, and as such users might not always have alternatives available, this Directive should also apply to providers of such services. The security, continuity and reliability of the type of digital services referred to in this Directive are of the essence for the smooth functioning of many businesses. A disruption of such a digital service could prevent the provision of other services which rely on it and could thus have an impact on key economic and societal activities in the Union. Such digital services might therefore be of crucial importance for the smooth functioning of businesses that depend on them and, moreover, for the participation of such businesses in the internal market and cross-border trade across the Union. Those digital service providers that are subject to this Directive are those that are considered to offer digital services on which many businesses in the Union increasingly rely. (49) Digital service providers should ensure a level of security commensurate with the degree of risk posed to the security of the digital services they provide, given the importance of their services to the operations of other businesses within the Union. In practice, the degree of risk for operators of essential services, which are often essential for the maintenance of critical societal and economic activities, is higher than for digital service providers. Therefore, the security requirements for digital service providers should be lighter. Digital service providers should remain free to take measures they consider appropriate to manage the risks posed to the security of their network and information systems. Because of their cross-border nature, digital service providers should be subject to a more harmonised approach at Union level. Implementing acts should facilitate the specification and implementation of such measures. (50) While hardware manufacturers and software developers are not operators of essential services, nor are they digital service providers, their products enhance the security of network and information systems. Therefore, they play an important role in enabling operators of essential services and digital service providers to secure their network and information systems. Such hardware and software products are already subject to existing rules on product liability. (51) Technical and organisational measures imposed on operators of essential services and digital service providers should not require a particular commercial information and communications technology product to be designed, developed or manufactured in a particular manner. (52) Operators of essential services and digital service providers should ensure the security of the network and information systems which they use. These are primarily private network and information systems managed by their internal IT staff or the security of which has been outsourced. The security and notification requirements should apply to the relevant operators of essential services and digital service providers regardless of whether they perform the maintenance of their network and information systems internally or outsource it. (53) To avoid imposing a disproportionate financial and administrative burden on operators of essential services and digital service providers, the requirements should be proportionate to the risk presented by the network and information system concerned, taking into account the state of the art of such measures. In the case of digital service providers, those requirements should not apply to micro- and small enterprises. (54) Where public administrations in Member States use services offered by digital service providers, in particular cloud computing services, they might wish to require from the providers of such services additional security measures beyond what digital service providers would normally offer in compliance with the requirements of this Directive. They should be able to do so by means of contractual obligations. (55) The definitions of online marketplaces, online search engines and cloud computing services in this Directive are for the specific purpose of this Directive, and without prejudice to any other instruments. (56) This Directive should not preclude Member States from adopting national measures requiring public-sector bodies to ensure specific security requirements when they contract cloud computing services. Any such national measures should apply to the public-sector body concerned and not to the cloud computing service provider. (57) Given the fundamental differences between operators of essential services, in particular their direct link with physical infrastructure, and digital service providers, in particular their cross-border nature, this Directive should take a differentiated approach with respect to the level of harmonisation in relation to those two groups of entities. For operators of essential services, Member States should be able to identify the relevant operators and impose stricter requirements than those laid down in this Directive. Member States should not identify digital service providers, as this Directive should apply to all digital service providers within its scope. In addition, this Directive and the implementing acts adopted under it should ensure a high level of harmonisation for digital service providers with respect to security and notification requirements. This should enable digital service providers to be treated in a uniform way across the Union, in a manner proportionate to their nature and the degree of risk which they might face. (58) This Directive should not preclude Member States from imposing security and notification requirements on entities that are not digital service providers within the scope of this Directive, without prejudice to Member States' obligations under Union law. (59) Competent authorities should pay due attention to preserving informal and trusted channels of information-sharing. Publicity of incidents reported to the competent authorities should duly balance the interest of the public in being informed about threats against possible reputational and commercial damage for the operators of essential services and digital service providers reporting incidents. In the implementation of the notification obligations, competent authorities and the CSIRTs should pay particular attention to the need to keep information about product vulnerabilities strictly confidential, prior to the release of appropriate security fixes. (60) Digital service providers should be subject to light-touch and reactive ex post supervisory activities justified by the nature of their services and operations. The competent authority concerned should therefore only take action when provided with evidence, for example by the digital service provider itself, by another competent authority, including a competent authority of another Member State, or by a user of the service, that a digital service provider is not complying with the requirements of this Directive, in particular following the occurrence of an incident. The competent authority should therefore have no general obligation to supervise digital service providers. (61) Competent authorities should have the necessary means to perform their duties, including powers to obtain sufficient information in order to assess the level of security of network and information systems. (62) Incidents may be the result of criminal activities the prevention, investigation and prosecution of which is supported by coordination and cooperation between operators of essential services, digital service providers, competent authorities and law enforcement authorities. Where it is suspected that an incident is related to serious criminal activities under Union or national law, Member States should encourage operators of essential services and digital service providers to report incidents of a suspected serious criminal nature to the relevant law enforcement authorities. Where appropriate, it is desirable that coordination between competent authorities and law enforcement authorities of different Member States be facilitated by the European Cybercrime Centre (EC3) and ENISA. (63) Personal data are in many cases compromised as a result of incidents. In this context, competent authorities and data protection authorities should cooperate and exchange information on all relevant matters to tackle any personal data breaches resulting from incidents. (64) Jurisdiction in respect of digital service providers should be attributed to the Member State in which the digital service provider concerned has its main establishment in the Union, which in principle corresponds to the place where the provider has its head office in the Union. Establishment implies the effective and real exercise of activity through stable arrangements. The legal form of such arrangements, whether through a branch or a subsidiary with a legal personality, is not the determining factor in this respect. This criterion should not depend on whether the network and information systems are physically located in a given place; the presence and use of such systems do not, in themselves, constitute such main establishment and are therefore not criteria for determining the main establishment. (65) Where a digital service provider not established in the Union offers services within the Union, it should designate a representative. In order to determine whether such a digital service provider is offering services within the Union, it should be ascertained whether it is apparent that the digital service provider is planning to offer services to persons in one or more Member States. The mere accessibility in the Union of the digital service provider's or an intermediary's website or of an email address and of other contact details, or the use of a language generally used in the third country where the digital service provider is established, is insufficient to ascertain such an intention. However, factors such as the use of a language or a currency generally used in one or more Member States with the possibility of ordering services in that other language, or the mentioning of customers or users who are in the Union, may make it apparent that the digital service provider is planning to offer services within the Union. The representative should act on behalf of the digital service provider and it should be possible for competent authorities or the CSIRTs to contact the representative. The representative should be explicitly designated by a written mandate of the digital service provider to act on the latter's behalf with regard to the latter's obligations under this Directive, including incident reporting. (66) Standardisation of security requirements is a market-driven process. To ensure a convergent application of security standards, Member States should encourage compliance or conformity with specified standards so as to ensure a high level of security of network and information systems at Union level. ENISA should assist Member States through advice and guidelines. To this end, it might be helpful to draft harmonised standards, which should be done in accordance with Regulation (EU) No 1025/2012 of the European Parliament and of the Council <1>. --- <1> Regulation (EU) No 1025/2012 of the European Parliament and of the Council of 25 October 2012 on European standardisation, amending Council Directives 89/686/EEC and 93/15/EEC and Directives 94/9/EC, 94/25/EC, 95/16/EC, 97/23/EC, 98/34/EC, 2004/22/EC, 2007/23/EC, 2009/23/EC and 2009/105/EC of the European Parliament and of the Council and repealing Council Decision 87/95/EEC and Decision No 1673/2006/EC of the European Parliament and of the Council (OJ L 316, 14.11.2012, p. 12). (67) Entities falling outside the scope of this Directive may experience incidents having a significant impact on the services they provide. Where those entities consider that it is in the public interest to notify the occurrence of such incidents, they should be able to do so on a voluntary basis. Such notifications should be processed by the competent authority or the CSIRT where such processing does not constitute a disproportionate or undue burden on the Member States concerned. (68) In order to ensure uniform conditions for the implementation of this Directive, implementing powers should be conferred on the Commission to lay down the procedural arrangements necessary for the functioning of the Cooperation Group and the security and notification requirements applicable to digital service providers. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council <2>. When adopting implementing acts related to the procedural arrangements necessary for the functioning of the Cooperation Group, the Commission should take the utmost account of the opinion of ENISA. --- <2> Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by Member States of the Commission's exercise of implementing powers (OJ L 55, 28.2.2011, p. 13). (69) When adopting implementing acts on the security requirements for digital service providers, the Commission should take the utmost account of the opinion of ENISA and should consult interested stakeholders. Moreover, the Commission is encouraged to take into account the following examples: as regards security of systems and facilities: physical and environmental security, security of supplies, access control to network and information systems and integrity of network and information systems; as regards incident handling: incident-handling procedures, incident detection capability, incident reporting and communication; as regards business continuity management: service continuity strategy and contingency plans, disaster recovery capabilities; and as regards monitoring, auditing and testing: monitoring and logging policies, exercise contingency plans, network and information systems testing, security assessments and compliance monitoring. (70) In the implementation of this Directive, the Commission should liaise as appropriate with relevant sectoral committees and relevant bodies set up at Union level in the fields covered by this Directive. (71) The Commission should periodically review this Directive, in consultation with interested stakeholders, in particular with a view to determining the need for modification in the light of changes to societal, political, technological or market conditions. (72) The sharing of information on risks and incidents within the Cooperation Group and the CSIRTs network and the compliance with the requirements to notify incidents to the national competent authorities or the CSIRTs might require processing of personal data. Such processing should comply with Directive 95/46/EC of the European Parliament and the Council <1> and Regulation (EC) No 45/2001 of the European Parliament and of the Council <2>. In the application of this Directive, Regulation (EC) No 1049/2001 of the European Parliament and of the Council <3> should apply as appropriate. --- <1> Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995 on the protection of individuals with regard to the processing of personal data and on the free movement of such data (OJ L 281, 23.11.1995, p. 31). <2> Regulation (EC) No 45/2001 of the European Parliament and of the Council of 18 December 2000 on the protection of individuals with regard to the processing of personal data by the Community institutions and bodies and on the free movement of such data (OJ L 8, 12.1.2001, p. 1). <3> Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 regarding public access to European Parliament, Council and Commission documents (OJ L 145, 31.5.2001, p. 43). (73) The European Data Protection Supervisor was consulted in accordance with Article 28(2) of Regulation (EC) No 45/2001 and delivered an opinion on 14 June 2013 <4>. --- <4> OJ C 32, 4.2.2014, p. 19. (74) Since the objective of this Directive, namely to achieve a high common level of security of network and information systems in the Union, cannot be sufficiently achieved by the Member States but can rather, by reason of the effects of the action, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union. In accordance with the principle of proportionality as set out in that Article, this Directive does not go beyond what is necessary in order to achieve that objective. (75) This Directive respects the fundamental rights, and observes the principles, recognised by the Charter of Fundamental Rights of the European Union, in particular the right to respect for private life and communications, the protection of personal data, the freedom to conduct a business, the right to property, the right to an effective remedy before a court and the right to be heard. This Directive should be implemented in accordance with those rights and principles, Have adopted this Directive:
Article 1 Subject matter and scope
1. This Directive lays down measures with a view to achieving a high common level of security of network and information systems within the Union so as to improve the functioning of the internal market. 2. To that end, this Directive: (a) lays down obligations for all Member States to adopt a national strategy on the security of network and information systems; (b) creates a Cooperation Group in order to support and facilitate strategic cooperation and the exchange of information among Member States and to develop trust and confidence amongst them; (c) creates a computer security incident response teams network ("CSIRTs network") in order to contribute to the development of trust and confidence between Member States and to promote swift and effective operational cooperation; (d) establishes security and notification requirements for operators of essential services and for digital service providers; (e) lays down obligations for Member States to designate national competent authorities, single points of contact and CSIRTs with tasks related to the security of network and information systems. 3. The security and notification requirements provided for in this Directive shall not apply to undertakings which are subject to the requirements of Articles 13a and 13b of Directive 2002/21/EC, or to trust service providers which are subject to the requirements of Article 19 of Regulation (EU) No 910/2014. 4. This Directive applies without prejudice to Council Directive 2008/114/EC <1> and Directives 2011/93/EU <2> and 2013/40/EU <3> of the European Parliament and of the Council. --- <1> Council Directive 2008/114/EC of 8 December 2008 on the identification and designation of European critical infrastructures and the assessment of the need to improve their protection (OJ L 345, 23.12.2008, p. 75). <2> Directive 2011/93/EU of the European Parliament and of the Council of 13 December 2011 on combating the sexual abuse and sexual exploitation of children and child pornography, and replacing Council Framework Decision 2004/68/JHA (OJ L 335, 17.12.2011, p. 1). <3> Directive 2013/40/EU of the European Parliament and of the Council of 12 August 2013 on attacks against information systems and replacing Council Framework Decision 2005/222/JHA (OJ L 218, 14.8.2013, p. 8). 5. Without prejudice to Article 346 TFEU, information that is confidential pursuant to Union and national rules, such as rules on business confidentiality, shall be exchanged with the Commission and other relevant authorities only where such exchange is necessary for the application of this Directive. The information exchanged shall be limited to that which is relevant and proportionate to the purpose of such exchange. Such exchange of information shall preserve the confidentiality of that information and protect the security and commercial interests of operators of essential services and digital service providers. 6. This Directive is without prejudice to the actions taken by Member States to safeguard their essential State functions, in particular to safeguard national security, including actions protecting information the disclosure of which Member States consider contrary to the essential interests of their security, and to maintain law and order, in particular to allow for the investigation, detection and prosecution of criminal offences. 7. Where a sector-specific Union legal act requires operators of essential services or digital service providers either to ensure the security of their network and information systems or to notify incidents, provided that such requirements are at least equivalent in effect to the obligations laid down in this Directive, those provisions of that sector-specific Union legal act shall apply.
Article 2 Processing of personal data
1. Processing of personal data pursuant to this Directive shall be carried out in accordance with Directive 95/46/EC. 2. Processing of personal data by Union institutions and bodies pursuant to this Directive shall be carried out in accordance with Regulation (EC) No 45/2001.
Article 3 Minimum harmonisation
Without prejudice to Article 16(10) and to their obligations under Union law, Member States may adopt or maintain provisions with a view to achieving a higher level of security of network and information systems.
Article 4 Definitions
For the purposes of this Directive, the following definitions apply: (1) "network and information system" means: (a) an electronic communications network within the meaning of point (a) of Article 2 of Directive 2002/21/EC; (b) any device or group of interconnected or related devices, one or more of which, pursuant to a program, perform automatic processing of digital data; or (c) digital data stored, processed, retrieved or transmitted by elements covered under points (a) and (b) for the purposes of their operation, use, protection and maintenance; (2) "security of network and information systems" means the ability of network and information systems to resist, at a given level of confidence, any action that compromises the availability, authenticity, integrity or confidentiality of stored or transmitted or processed data or the related services offered by, or accessible via, those network and information systems; (3) "national strategy on the security of network and information systems" means a framework providing strategic objectives and priorities on the security of network and information systems at national level; (4) "operator of essential services" means a public or private entity of a type referred to in Annex II, which meets the criteria laid down in Article 5(2); (5) "digital service" means a service within the meaning of point (b) of Article 1(1) of Directive (EU) 2015/1535 of the European Parliament and of the Council <1> which is of a type listed in Annex III; --- <1> Directive (EU) 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying down a procedure for the provision of information in the field of technical regulations and of rules on Information Society services (OJ L 241, 17.9.2015, p. 1). (6) "digital service provider" means any legal person that provides a digital service; (7) "incident" means any event having an actual adverse effect on the security of network and information systems; (8) "incident handling" means all procedures supporting the detection, analysis and containment of an incident and the response thereto; (9) "risk" means any reasonably identifiable circumstance or event having a potential adverse effect on the security of network and information systems; (10) "representative" means any natural or legal person established in the Union explicitly designated to act on behalf of a digital service provider not established in the Union, which may be addressed by a national competent authority or a CSIRT instead of the digital service provider with regard to the obligations of that digital service provider under this Directive; (11) "standard" means a standard within the meaning of point (1) of Article 2 of Regulation (EU) No 1025/2012; (12) "specification" means a technical specification within the meaning of point (4) of Article 2 of Regulation (EU) No 1025/2012; (13) "internet exchange point (IXP)" means a network facility which enables the interconnection of more than two independent autonomous systems, primarily for the purpose of facilitating the exchange of internet traffic; an IXP provides interconnection only for autonomous systems; an IXP does not require the internet traffic passing between any pair of participating autonomous systems to pass through any third autonomous system, nor does it alter or otherwise interfere with such traffic; (14) "domain name system (DNS)" means a hierarchical distributed naming system in a network which refers queries for domain names; (15) "DNS service provider" means an entity which provides DNS services on the internet; (16) "top-level domain name registry" means an entity which administers and operates the registration of internet domain names under a specific top-level domain (TLD); (17) "online marketplace" means a digital service that allows consumers and/or traders as respectively defined in point (a) and in point (b) of Article 4(1) of Directive 2013/11/EU of the European Parliament and of the Council <1> to conclude online sales or service contracts with traders either on the online marketplace's website or on a trader's website that uses computing services provided by the online marketplace; --- <1> Directive 2013/11/EU of the European Parliament and of the Council of 21 May 2013 on alternative dispute resolution for consumer disputes and amending Regulation (EC) No 2006/2004 and Directive 2009/22/EC (Directive on consumer ADR) (OJ L 165, 18.6.2013, p. 63). (18) "online search engine" means a digital service that allows users to perform searches of, in principle, all websites or websites in a particular language on the basis of a query on any subject in the form of a keyword, phrase or other input, and returns links in which information related to the requested content can be found; (19) "cloud computing service" means a digital service that enables access to a scalable and elastic pool of shareable computing resources.
Article 5 Identification of operators of essential services
1. By 9 November 2018, for each sector and subsector referred to in Annex II, Member States shall identify the operators of essential services with an establishment on their territory. 2. The criteria for the identification of the operators of essential services, as referred to in point (4) of Article 4, shall be as follows: (a) an entity provides a service which is essential for the maintenance of critical societal and/or economic activities; (b) the provision of that service depends on network and information systems; and (c) an incident would have significant disruptive effects on the provision of that service. 3. For the purposes of paragraph 1, each Member State shall establish a list of the services referred to in point (a) of paragraph 2. 4. For the purposes of paragraph 1, where an entity provides a service as referred to in point (a) of paragraph 2 in two or more Member States, those Member States shall engage in consultation with each other. That consultation shall take place before a decision on identification is taken. 5. Member States shall, on a regular basis, and at least every two years after 9 May 2018, review and, where appropriate, update the list of identified operators of essential services. 6. The role of the Cooperation Group shall be, in accordance with the tasks referred to in Article 11, to support Member States in taking a consistent approach in the process of identification of operators of essential services. 7. For the purpose of the review referred to in Article 23 and by 9 November 2018, and every two years thereafter, Member States shall submit to the Commission the information necessary to enable the Commission to assess the implementation of this Directive, in particular the consistency of Member States' approaches to the identification of operators of essential services. That information shall include at least: (a) national measures allowing for the identification of operators of essential services; (b) the list of services referred to in paragraph 3; (c) the number of operators of essential services identified for each sector referred to in Annex II and an indication of their importance in relation to that sector; (d) thresholds, where they exist, to determine the relevant supply level by reference to the number of users relying on that service as referred to in point (a) of Article 6(1) or to the importance of that particular operator of essential services as referred to in point (f) of Article 6(1). In order to contribute to the provision of comparable information, the Commission, taking the utmost account of the opinion of ENISA, may adopt appropriate technical guidelines on parameters for the information referred to in this paragraph.
Article 6 Significant disruptive effect
1. When determining the significance of a disruptive effect as referred to in point (c) of Article 5(2), Member States shall take into account at least the following cross-sectoral factors: (a) the number of users relying on the service provided by the entity concerned; (b) the dependency of other sectors referred to in Annex II on the service provided by that entity; (c) the impact that incidents could have, in terms of degree and duration, on economic and societal activities or public safety; (d) the market share of that entity; (e) the geographic spread with regard to the area that could be affected by an incident; (f) the importance of the entity for maintaining a sufficient level of the service, taking into account the availability of alternative means for the provision of that service. 2. In order to determine whether an incident would have a significant disruptive effect, Member States shall also, where appropriate, take into account sector-specific factors.
Article 7 National strategy on the security of network and information
systems
1. Each Member State shall adopt a national strategy on the security of network and information systems defining the strategic objectives and appropriate policy and regulatory measures with a view to achieving and maintaining a high level of security of network and information systems and covering at least the sectors referred to in Annex II and the services referred to in Annex III. The national strategy on the security of network and information systems shall address, in particular, the following issues: (a) the objectives and priorities of the national strategy on the security of network and information systems; (b) a governance framework to achieve the objectives and priorities of the national strategy on the security of network and information systems, including roles and responsibilities of the government bodies and the other relevant actors; (c) the identification of measures relating to preparedness, response and recovery, including cooperation between the public and private sectors; (d) an indication of the education, awareness-raising and training programmes relating to the national strategy on the security of network and information systems; (e) an indication of the research and development plans relating to the national strategy on the security of network and information systems; (f) a risk assessment plan to identify risks; (g) a list of the various actors involved in the implementation of the national strategy on the security of network and information systems. 2. Member States may request the assistance of ENISA in developing national strategies on the security of network and information systems. 3. Member States shall communicate their national strategies on the security of network and information systems to the Commission within three months from their adoption. In so doing, Member States may exclude elements of the strategy which relate to national security.
Article 8 National competent authorities and single point of contact
1. Each Member State shall designate one or more national competent authorities on the security of network and information systems ("competent authority"), covering at least the sectors referred to in Annex II and the services referred to in Annex III. Member States may assign this role to an existing authority or authorities. 2. The competent authorities shall monitor the application of this Directive at national level. 3. Each Member State shall designate a national single point of contact on the security of network and information systems ("single point of contact"). Member States may assign this role to an existing authority. Where a Member State designates only one competent authority, that competent authority shall also be the single point of contact. 4. The single point of contact shall exercise a liaison function to ensure cross-border cooperation of Member State authorities and with the relevant authorities in other Member States and with the Cooperation Group referred to in Article 11 and the CSIRTs network referred to in Article 12. 5. Member States shall ensure that the competent authorities and the single points of contact have adequate resources to carry out, in an effective and efficient manner, the tasks assigned to them and thereby to fulfil the objectives of this Directive. Member States shall ensure effective, efficient and secure cooperation of the designated representatives in the Cooperation Group. 6. The competent authorities and single point of contact shall, whenever appropriate and in accordance with national law, consult and cooperate with the relevant national law enforcement authorities and national data protection authorities. 7. Each Member State shall notify to the Commission without delay the designation of the competent authority and single point of contact, their tasks, and any subsequent change thereto. Each Member State shall make public its designation of the competent authority and single point of contact. The Commission shall publish the list of designated single points of contacts.
Article 9 Computer security incident response teams (CSIRTs)
1. Each Member State shall designate one or more CSIRTs which shall comply with the requirements set out in point (1) of Annex I, covering at least the sectors referred to in Annex II and the services referred to in Annex III, responsible for risk and incident handling in accordance with a well-defined process. A CSIRT may be established within a competent authority. 2. Member States shall ensure that the CSIRTs have adequate resources to effectively carry out their tasks as set out in point (2) of Annex I. Member States shall ensure the effective, efficient and secure cooperation of their CSIRTs in the CSIRTs network referred to in Article 12. 3. Member States shall ensure that their CSIRTs have access to an appropriate, secure, and resilient communication and information infrastructure at national level. 4. Member States shall inform the Commission about the remit, as well as the main elements of the incident-handling process, of their CSIRTs. 5. Member States may request the assistance of ENISA in developing national CSIRTs.
Article 10 Cooperation at national level
1. Where they are separate, the competent authority, the single point of contact and the CSIRT of the same Member State shall cooperate with regard to the fulfilment of the obligations laid down in this Directive. 2. Member States shall ensure that either the competent authorities or the CSIRTs receive incident notifications submitted pursuant to this Directive. Where a Member State decides that CSIRTs shall not receive notifications, the CSIRTs shall, to the extent necessary to fulfil their tasks, be granted access to data on incidents notified by operators of essential services, pursuant to Article 14(3) and (5), or by digital service providers, pursuant to Article 16(3) and (6). 3. Member States shall ensure that the competent authorities or the CSIRTs inform the single points of contact about incident notifications submitted pursuant to this Directive. By 9 August 2018, and every year thereafter, the single point of contact shall submit a summary report to the Cooperation Group on the notifications received, including the number of notifications and the nature of notified incidents, and the actions taken in accordance with Article 14(3) and (5) and Article 16(3) and (6).
Article 11 Cooperation Group
1. In order to support and facilitate strategic cooperation and the exchange of information among Member States and to develop trust and confidence, and with a view to achieving a high common level of security of network and information systems in the Union, a Cooperation Group is hereby established. The Cooperation Group shall carry out its tasks on the basis of biennial work programmes as referred to in the second subparagraph of paragraph 3. 2. The Cooperation Group shall be composed of representatives of the Member States, the Commission and ENISA. Where appropriate, the Cooperation Group may invite representatives of the relevant stakeholders to participate in its work. The Commission shall provide the secretariat. 3. The Cooperation Group shall have the following tasks: (a) providing strategic guidance for the activities of the CSIRTs network established under Article 12; (b) exchanging best practice on the exchange of information related to incident notification as referred to in Article 14(3) and (5) and Article 16(3) and (6); (c) exchanging best practice between Member States and, in collaboration with ENISA, assisting Member States in building capacity to ensure the security of network and information systems; (d) discussing capabilities and preparedness of the Member States, and, on a voluntary basis, evaluating national strategies on the security of network and information systems and the effectiveness of CSIRTs, and identifying best practice; (e) exchanging information and best practice on awareness-raising and training; (f) exchanging information and best practice on research and development relating to the security of network and information systems; (g) where relevant, exchanging experiences on matters concerning the security of network and information systems with relevant Union institutions, bodies, offices and agencies; (h) discussing the standards and specifications referred to in Article 19 with representatives from the relevant European standardisation organisations; (i) collecting best practice information on risks and incidents; (j) examining, on an annual basis, the summary reports referred to in the second subparagraph of Article 10(3); (k) discussing the work undertaken with regard to exercises relating to the security of network and information systems, education programmes and training, including the work done by ENISA; (l) with ENISA's assistance, exchanging best practice with regard to the identification of operators of essential services by the Member States, including in relation to cross-border dependencies, regarding risks and incidents; (m) discussing modalities for reporting notifications of incidents as referred to in Articles 14 and 16. By 9 February 2018 and every two years thereafter, the Cooperation Group shall establish a work programme in respect of actions to be undertaken to implement its objectives and tasks, which shall be consistent with the objectives of this Directive. 4. For the purpose of the review referred to in Article 23 and by 9 August 2018, and every year and a half thereafter, the Cooperation Group shall prepare a report assessing the experience gained with the strategic cooperation pursued under this Article. 5. The Commission shall adopt implementing acts laying down procedural arrangements necessary for the functioning of the Cooperation Group. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 22(2). For the purposes of the first subparagraph, the Commission shall submit the first draft implementing act to the committee referred to in Article 22(1) by 9 February 2017.
Article 12 CSIRTs network
1. In order to contribute to the development of confidence and trust between the Member States and to promote swift and effective operational cooperation, a network of the national CSIRTs is hereby established. 2. The CSIRTs network shall be composed of representatives of the Member States' CSIRTs and CERT-EU. The Commission shall participate in the CSIRTs network as an observer. ENISA shall provide the secretariat and shall actively support the cooperation among the CSIRTs. 3. The CSIRTs network shall have the following tasks: (a) exchanging information on CSIRTs' services, operations and cooperation capabilities; (b) at the request of a representative of a CSIRT from a Member State potentially affected by an incident, exchanging and discussing non-commercially sensitive information related to that incident and associated risks; however, any Member State's CSIRT may refuse to contribute to that discussion if there is a risk of prejudice to the investigation of the incident; (c) exchanging and making available on a voluntary basis non-confidential information concerning individual incidents; (d) at the request of a representative of a Member State's CSIRT, discussing and, where possible, identifying a coordinated response to an incident that has been identified within the jurisdiction of that same Member State; (e) providing Member States with support in addressing cross-border incidents on the basis of their voluntary mutual assistance; (f) discussing, exploring and identifying further forms of operational cooperation, including in relation to: (i) categories of risks and incidents; (ii) early warnings; (iii) mutual assistance; (iv) principles and modalities for coordination, when Member States respond to cross-border risks and incidents; (g) informing the Cooperation Group of its activities and of the further forms of operational cooperation discussed pursuant to point (f), and requesting guidance in that regard; (h) discussing lessons learnt from exercises relating to the security of network and information systems, including from those organised by ENISA; (i) at the request of an individual CSIRT, discussing the capabilities and preparedness of that CSIRT; (j) issuing guidelines in order to facilitate the convergence of operational practices with regard to the application of the provisions of this Article concerning operational cooperation. 4. For the purpose of the review referred to in Article 23 and by 9 August 2018, and every year and a half thereafter, the CSIRTs network shall produce a report assessing the experience gained with the operational cooperation, including conclusions and recommendations, pursued under this Article. That report shall also be submitted to the Cooperation Group. 5. The CSIRTs network shall lay down its own rules of procedure.
Article 13 International cooperation
The Union may conclude international agreements, in accordance with Article 218 TFEU, with third countries or international organisations, allowing and organising their participation in some activities of the Cooperation Group. Such agreements shall take into account the need to ensure adequate protection of data.
Article 14 Security requirements and incident notification
1. Member States shall ensure that operators of essential services take appropriate and proportionate technical and organisational measures to manage the risks posed to the security of network and information systems which they use in their operations. Having regard to the state of the art, those measures shall ensure a level of security of network and information systems appropriate to the risk posed. 2. Member States shall ensure that operators of essential services take appropriate measures to prevent and minimise the impact of incidents affecting the security of the network and information systems used for the provision of such essential services, with a view to ensuring the continuity of those services. 3. Member States shall ensure that operators of essential services notify, without undue delay, the competent authority or the CSIRT of incidents having a significant impact on the continuity of the essential services they provide. Notifications shall include information enabling the competent authority or the CSIRT to determine any cross-border impact of the incident. Notification shall not make the notifying party subject to increased liability. 4. In order to determine the significance of the impact of an incident, the following parameters in particular shall be taken into account: (a) the number of users affected by the disruption of the essential service; (b) the duration of the incident; (c) the geographical spread with regard to the area affected by the incident. 5. On the basis of the information provided in the notification by the operator of essential services, the competent authority or the CSIRT shall inform the other affected Member State(s) if the incident has a significant impact on the continuity of essential services in that Member State. In so doing, the competent authority or the CSIRT shall, in accordance with Union law or national legislation that complies with Union law, preserve the security and commercial interests of the operator of essential services, as well as the confidentiality of the information provided in its notification. Where the circumstances allow, the competent authority or the CSIRT shall provide the notifying operator of essential services with relevant information regarding the follow-up of its notification, such as information that could support the effective incident handling. At the request of the competent authority or the CSIRT, the single point of contact shall forward notifications as referred to in the first subparagraph to single points of contact of other affected Member States. 6. After consulting the notifying operator of essential services, the competent authority or the CSIRT may inform the public about individual incidents, where public awareness is necessary in order to prevent an incident or to deal with an ongoing incident. 7. Competent authorities acting together within the Cooperation Group may develop and adopt guidelines concerning the circumstances in which operators of essential services are required to notify incidents, including on the parameters to determine the significance of the impact of an incident as referred to in paragraph 4.
Article 15 Implementation and enforcement
1. Member States shall ensure that the competent authorities have the necessary powers and means to assess the compliance of operators of essential services with their obligations under Article 14 and the effects thereof on the security of network and information systems. 2. Member States shall ensure that the competent authorities have the powers and means to require operators of essential services to provide: (a) the information necessary to assess the security of their network and information systems, including documented security policies; (b) evidence of the effective implementation of security policies, such as the results of a security audit carried out by the competent authority or a qualified auditor and, in the latter case, to make the results thereof, including the underlying evidence, available to the competent authority. When requesting such information or evidence, the competent authority shall state the purpose of the request and specify what information is required. 3. Following the assessment of information or results of security audits referred to in paragraph 2, the competent authority may issue binding instructions to the operators of essential services to remedy the deficiencies identified. 4. The competent authority shall work in close cooperation with data protection authorities when addressing incidents resulting in personal data breaches.
Article 16 Security requirements and incident notification
1. Member States shall ensure that digital service providers identify and take appropriate and proportionate technical and organisational measures to manage the risks posed to the security of network and information systems which they use in the context of offering services referred to in Annex III within the Union. Having regard to the state of the art, those measures shall ensure a level of security of network and information systems appropriate to the risk posed, and shall take into account the following elements: (a) the security of systems and facilities; (b) incident handling; (c) business continuity management; (d) monitoring, auditing and testing; (e) compliance with international standards. 2. Member States shall ensure that digital service providers take measures to prevent and minimise the impact of incidents affecting the security of their network and information systems on the services referred to in Annex III that are offered within the Union, with a view to ensuring the continuity of those services. 3. Member States shall ensure that digital service providers notify the competent authority or the CSIRT without undue delay of any incident having a substantial impact on the provision of a service as referred to in Annex III that they offer within the Union. Notifications shall include information to enable the competent authority or the CSIRT to determine the significance of any cross-border impact. Notification shall not make the notifying party subject to increased liability. 4. In order to determine whether the impact of an incident is substantial, the following parameters in particular shall be taken into account: (a) the number of users affected by the incident, in particular users relying on the service for the provision of their own services; (b) the duration of the incident; (c) the geographical spread with regard to the area affected by the incident; (d) the extent of the disruption of the functioning of the service; (e) the extent of the impact on economic and societal activities. The obligation to notify an incident shall only apply where the digital service provider has access to the information needed to assess the impact of an incident against the parameters referred to in the first subparagraph. 5. Where an operator of essential services relies on a third-party digital service provider for the provision of a service which is essential for the maintenance of critical societal and economic activities, any significant impact on the continuity of the essential services due to an incident affecting the digital service provider shall be notified by that operator. 6. Where appropriate, and in particular if the incident referred to in paragraph 3 concerns two or more Member States, the competent authority or the CSIRT shall inform the other affected Member States. In so doing, the competent authorities, CSIRTs and single points of contact shall, in accordance with Union law, or national legislation that complies with Union law, preserve the digital service provider's security and commercial interests as well as the confidentiality of the information provided. 7. After consulting the digital service provider concerned, the competent authority or the CSIRT and, where appropriate, the authorities or the CSIRTs of other Member States concerned may inform the public about individual incidents or require the digital service provider to do so, where public awareness is necessary in order to prevent an incident or to deal with an ongoing incident, or where disclosure of the incident is otherwise in the public interest. 8. The Commission shall adopt implementing acts in order to specify further the elements referred to in paragraph 1 and the parameters listed in paragraph 4 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 22(2) by 9 August 2017. 9. The Commission may adopt implementing acts laying down the formats and procedures applicable to notification requirements. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 22(2). 10. Without prejudice to Article 1(6), Member States shall not impose any further security or notification requirements on digital service providers. 11. Chapter V shall not apply to micro- and small enterprises as defined in Commission Recommendation 2003/361/EC <1>. --- <1> Commission Recommendation 2003/361/EC of 6 May 2003 concerning the definition of micro, small and medium-sized enterprises (OJ L 124, 20.5.2003, p. 36).
Article 17 Implementation and enforcement
1. Member States shall ensure that the competent authorities take action, if necessary, through ex post supervisory measures, when provided with evidence that a digital service provider does not meet the requirements laid down in Article 16. Such evidence may be submitted by a competent authority of another Member State where the service is provided. 2. For the purposes of paragraph 1, the competent authorities shall have the necessary powers and means to require digital service providers to: (a) provide the information necessary to assess the security of their network and information systems, including documented security policies; (b) remedy any failure to meet the requirements laid down in Article 16. 3. If a digital service provider has its main establishment or a representative in a Member State, but its network and information systems are located in one or more other Member States, the competent authority of the Member State of the main establishment or of the representative and the competent authorities of those other Member States shall cooperate and assist each other as necessary. Such assistance and cooperation may cover information exchanges between the competent authorities concerned and requests to take the supervisory measures referred to in paragraph 2.
Article 18 Jurisdiction and territoriality
1. For the purposes of this Directive, a digital service provider shall be deemed to be under the jurisdiction of the Member State in which it has its main establishment. A digital service provider shall be deemed to have its main establishment in a Member State when it has its head office in that Member State. 2. A digital service provider that is not established in the Union, but offers services referred to in Annex III within the Union, shall designate a representative in the Union. The representative shall be established in one of those Member States where the services are offered. The digital service provider shall be deemed to be under the jurisdiction of the Member State where the representative is established. 3. The designation of a representative by the digital service provider shall be without prejudice to legal actions which could be initiated against the digital service provider itself.
Article 19 Standardisation
1. In order to promote convergent implementation of Article 14(1) and (2) and Article 16(1) and (2), Member States shall, without imposing or discriminating in favour of the use of a particular type of technology, encourage the use of European or internationally accepted standards and specifications relevant to the security of network and information systems. 2. ENISA, in collaboration with Member States, shall draw up advice and guidelines regarding the technical areas to be considered in relation to paragraph 1 as well as regarding already existing standards, including Member States' national standards, which would allow for those areas to be covered.
Article 20 Voluntary notification
1. Without prejudice to Article 3, entities which have not been identified as operators of essential services and are not digital service providers may notify, on a voluntary basis, incidents having a significant impact on the continuity of the services which they provide. 2. When processing notifications, Member States shall act in accordance with the procedure set out in Article 14. Member States may prioritise the processing of mandatory notifications over voluntary notifications. Voluntary notifications shall only be processed where such processing does not constitute a disproportionate or undue burden on Member States concerned. Voluntary notification shall not result in the imposition upon the notifying entity of any obligations to which it would not have been subject had it not given that notification.
Article 21 Penalties
Member States shall lay down the rules on penalties applicable to infringements of national provisions adopted pursuant to this Directive and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive. Member States shall, by 9 May 2018, notify the Commission of those rules and of those measures and shall notify it, without delay, of any subsequent amendment affecting them.
Article 22 Committee procedure
1. The Commission shall be assisted by the Network and Information Systems Security Committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011. 2. Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
Article 23 Review
1. By 9 May 2019, the Commission shall submit a report to the European Parliament and to Council, assessing the consistency of the approach taken by Member States in the identification of the operators of essential services. 2. The Commission shall periodically review the functioning of this Directive and report to the European Parliament and to the Council. For this purpose and with a view to further advancing the strategic and operational cooperation, the Commission shall take into account the reports of the Cooperation Group and the CSIRTs network on the experience gained at a strategic and operational level. In its review, the Commission shall also assess the lists contained in Annexes II and III, and the consistency in the identification of operators of essential services and services in the sectors referred to in Annex II. The first report shall be submitted by 9 May 2021.
Article 24 Transitional measures
1. Without prejudice to Article 25 and with a view to providing Member States with additional possibilities for appropriate cooperation during the period of transposition, the Cooperation Group and the CSIRTs network shall begin to perform the tasks set out in Articles 11(3) and 12(3) respectively by 9 February 2017. 2. For the period from 9 February 2017 to 9 November 2018, and for the purposes of supporting Member States in taking a consistent approach in the process of identification of operators of essential services, the Cooperation Group shall discuss the process, substance and type of national measures allowing for the identification of operators of essential services within a specific sector in accordance with the criteria set out in Articles 5 and 6. The Cooperation Group shall also discuss, at the request of a Member State, specific draft national measures of that Member State, allowing for the identification of operators of essential services within a specific sector in accordance with the criteria set out in Articles 5 and 6. 3. By 9 February 2017 and for the purposes of this Article, Member States shall ensure appropriate representation in the Cooperation Group and the CSIRTs network.
Article 25 Transposition
1. Member States shall adopt and publish, by 9 May 2018, the laws, regulations and administrative provisions necessary to comply with this Directive. They shall immediately inform the Commission thereof. They shall apply those measures from 10 May 2018. When Member States adopt those measures, they shall contain a reference to this Directive or shall be accompanied by such a reference on the occasion of their official publication. The methods of making such reference shall be laid down by Member States. 2. Member States shall communicate to the Commission the text of the main provisions of national law which they adopt in the field covered by this Directive.
Article 26 Entry into force
This Directive shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union.
Article 27 Addressees
This Directive is addressed to the Member States. Done at Strasbourg, 6 July 2016.
Annex I
**REQUIREMENTS** **AND TASKS OF COMPUTER SECURITY INCIDENT RESPONSE TEAMS** (CSIRTs) The requirements and tasks of CSIRTs shall be adequately and clearly defined and supported by national policy and/or regulation. They shall include the following: (1) Requirements for CSIRTs: (a) CSIRTs shall ensure a high level of availability of their communications services by avoiding single points of failure, and shall have several means for being contacted and for contacting others at all times. Furthermore, the communication channels shall be clearly specified and well known to the constituency and cooperative partners. (b) CSIRTs' premises and the supporting information systems shall be located in secure sites. (c) Business continuity: (i) CSIRTs shall be equipped with an appropriate system for managing and routing requests, in order to facilitate handovers. (ii) CSIRTs shall be adequately staffed to ensure availability at all times. (iii) CSIRTs shall rely on an infrastructure the continuity of which is ensured. To that end, redundant systems and backup working space shall be available. (d) CSIRTs shall have the possibility to participate, where they wish to do so, in international cooperation networks. (2) CSIRTs' tasks: (a) CSIRTs' tasks shall include at least the following: (i) monitoring incidents at a national level; (ii) providing early warning, alerts, announcements and dissemination of information to relevant stakeholders about risks and incidents; (iii) responding to incidents; (iv) providing dynamic risk and incident analysis and situational awareness; (v) participating in the CSIRTs network. (b) CSIRTs shall establish cooperation relationships with the private sector. (c) To facilitate cooperation, CSIRTs shall promote the adoption and use of common or standardised practices for: (i) incident and risk-handling procedures;
(ii) incident, risk and information classification schemes.
Annex II
**TYPES OF ENTITIES FOR THE PURPOSES OF POINT (4) OF ARTICLE 4**
SectorSubsectorType of entity
1. Energy(a) Electricity- Electricity undertakings as defined in point (35) of Article 2 of Directive 2009/72/EC of the European Parliament and of the Council <1>, which carry out the function of "supply" as defined in point (19) of Article 2 of that Directive
- Distribution system operators as defined in point (6) of Article 2 of Directive 2009/72/EC
- Transmission system operators as defined in point (4) of Article 2 of Directive 2009/72/EC
(b) Oil- Operators of oil transmission pipelines
- Operators of oil production, refining and treatment facilities, storage and transmission
(c) Gas- Supply undertakings as defined in point (8) of Article 2 of Directive 2009/73/EC of the European Parliament and of the Council <2>
- Distribution system operators as defined in point (6) of Article 2 of Directive 2009/73/EC
- Transmission system operators as defined in point (4) of Article 2 of Directive 2009/73/EC
- Storage system operators as defined in point (10) of Article 2 of Directive 2009/73/EC
- LNG system operators as defined in point (12) of Article 2 of Directive 2009/73/EC
- Natural gas undertakings as defined in point (1) of Article 2 of Directive 2009/73/EC
- Operators of natural gas refining and treatment facilities
2. Transport(a) Air transport- Air carriers as defined in point (4) of Article 3 of Regulation (EC) No 300/2008 of the European Parliament and of the Council <3>
- Airport managing bodies as defined in point (2) of Article 2 of Directive 2009/12/EC of the European Parliament and of the Council <4>, airports as defined in point (1) of Article 2 of that Directive, including the core airports listed in Section 2 of Annex II to Regulation (EU) No 1315/2013 of the European Parliament and of the Council <5>, and entities operating ancillary installations contained within airports
- Traffic management control operators providing air traffic control (ATC) services as defined in point (1) of Article 2 of Regulation (EC) No 549/2004 of the European Parliament and of the Council <6>
(b) Rail transport- Infrastructure managers as defined in point (2) of Article 3 of Directive 2012/34/EU of the European Parliament and of the Council <7>
- Railway undertakings as defined in point (1) of Article 3 of Directive 2012/34/EU, including operators of service facilities as defined in point (12) of Article 3 of Directive 2012/34/EU
(c) Water transport- Inland, sea and coastal passenger and freight water transport companies, as defined for maritime transport in Annex I to Regulation (EC) No 725/2004 of the European Parliament and of the Council <8>, not including the individual vessels operated by those companies
- Managing bodies of ports as defined in point (1) of Article 3 of Directive 2005/65/EC of the European Parliament and of the Council <9>, including their port facilities as defined in point (11) of Article 2 of Regulation (EC) No 725/2004, and entities operating works and equipment contained within ports
- Operators of vessel traffic services as defined in point (o) of Article 3 of Directive 2002/59/EC of the European Parliament and of the Council <10>
(d) Road transport- Road authorities as defined in point (12) of Article 2 of Commission Delegated Regulation (EU) 2015/962 <11> responsible for traffic management control
- Operators of Intelligent Transport Systems as defined in point (1) of Article 4 of Directive 2010/40/EU of the European Parliament and of the Council <12>
3. BankingCredit institutions as defined in point (1) of Article 4 of Regulation (EU) No 575/2013 of the European Parliament and of the Council <13>
4. Financial market infrastructures- Operators of trading venues as defined in point (24) of Article 4 of Directive 2014/65/EU of the European Parliament and of the Council <14>
- Central counterparties (CCPs) as defined in point (1) of Article 2 of Regulation (EU) No 648/2012 of the European Parliament and of the Council <15>
5. Health sectorHealth care settings (including hospitals and private clinics)Healthcare providers as defined in point (g) of Article 3 of Directive 2011/24/EU of the European Parliament and of the Council <16>
6. Drinking water supply and distributionSuppliers and distributors of water intended for human consumption as defined in point (1)(a) of Article 2 of Council Directive 98/83/EC <17> but excluding distributors for whom distribution of water for human consumption is only part of their general activity of distributing other commodities and goods which are not considered essential services
7. Digital Infrastructure- IXPs
- DNS service providers
- TLD name registries
<1> Directive 2009/72/EC of the European Parliament and of the Council of 13 July 2009 concerning common rules for the internal market in electricity and repealing Directive 2003/54/EC (OJ L 211, 14.8.2009, p. 55).
<2> Directive 2009/73/EC of the European Parliament and of the Council of 13 July 2009 concerning common rules for the internal market in natural gas and repealing Directive 2003/55/EC (OJ L 211, 14.8.2009, p. 94).
<3> Regulation (EC) No 300/2008 of the European Parliament and of the Council of 11 March 2008 on common rules in the field of civil aviation security and repealing Regulation (EC) No 2320/2002 (OJ L 97, 9.4.2008, p. 72).
<4> Directive 2009/12/EC of the European Parliament and of the Council of 11 March 2009 on airport charges (OJ L 70, 14.3.2009, p. 11).
<5> Regulation (EU) No 1315/2013 of the European Parliament and of the Council of 11 December 2013 on Union guidelines for the development of the trans-European transport network and repealing Decision No 661/2010/EU (OJ L 348, 20.12.2013, p. 1).
<6> Regulation (EC) No 549/2004 of the European Parliament and of the Council of 10 March 2004 laying down the framework for the creation of the single European sky (the framework Regulation) (OJ L 96, 31.3.2004, p. 1).
<7> Directive 2012/34/EU of the European Parliament and of the Council of 21 November 2012 establishing a single European railway area (OJ L 343, 14.12.2012, p. 32).
<8> Regulation (EC) No 725/2004 of the European Parliament and of the Council of 31 March 2004 on enhancing ship and port facility security (OJ L 129, 29.4.2004, p. 6).
<9> Directive 2005/65/EC of the European Parliament and of the Council of 26 October 2005 on enhancing port security (OJ L 310, 25.11.2005, p. 28).
<10> Directive 2002/59/EC of the European Parliament and of the Council of 27 June 2002 establishing a Community vessel traffic monitoring and information system and repealing Council Directive 93/75/EEC (OJ L 208, 5.8.2002, p. 10).
<11> Commission Delegated Regulation (EU) 2015/962 of 18 December 2014 supplementing Directive 2010/40/EU of the European Parliament and of the Council with regard to the provision of EU-wide real-time traffic information services (OJ L 157, 23.6.2015, p. 21).
<12> Directive 2010/40/EU of the European Parliament and of the Council of 7 July 2010 on the framework for the deployment of Intelligent Transport Systems in the field of road transport and for interfaces with other modes of transport (OJ L 207, 6.8.2010, p. 1).
<13> Regulation (EU) No 575/2013 of the European Parliament and of the Council of 26 June 2013 on prudential requirements for credit institutions and investment firms and amending Regulation (EU) No 648/2012 (OJ L 176, 27.6.2013, p. 1).
<14> Directive 2014/65/EU of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments and amending Directive 2002/92/EC and Directive 2011/61/EU (OJ L 173, 12.6.2014, p. 349).
<15> Regulation (EU) No 648/2012 of the European Parliament and of the Council of 4 July 2012 on OTC derivatives, central counterparties and trade repositories (OJ L 201, 27.7.2012, p. 1).
<16> Directive 2011/24/EU of the European Parliament and of the Council of 9 March 2011 on the application of patients' rights in cross-border healthcare (OJ L 88, 4.4.2011, p. 45).
<17> Council Directive 98/83/EC of 3 November 1998 on the quality of water intended for human consumption (OJ L 330, 5.12.1998, p. 32).
Annex III
**TYPES OF DIGITAL SERVICES** **FOR THE PURPOSES OF POINT (5) OF ARTICLE 4** 1. Online marketplace. 2. Online search engine. 3. Cloud computing service. ---