VYKONÁVACIE NARIADENIE KOMISIE (EÚ) 2024/2690 zo 17. októbra 2024, ktorým sa stanovujú pravidlá uplatňovania smernice (EÚ) 2022/2555, pokiaľ ide o technické a metodické požiadavky na opatrenia na riadenie kybernetických rizík a o bližšie určenie prípadov, v ktorých sa incident považuje za významný, vo vzťahu k poskytovateľom služieb DNS, správcom názvov TLD, poskytovateľom služieb cloud computingu, poskytovateľom služieb dátového centra, poskytovateľom sietí na sprístupňovanie obsahu, poskytovateľom riadených služieb, poskytovateľom riadených bezpečnostných služieb, poskytovateľom online trhov, internetových vyhľadávačov a platforiem služieb sociálnej siete a poskytovateľom dôveryhodných služieb (Text s významom pre EHP)

(1)

Cieľom tohto nariadenia je stanoviť technické a metodické požiadavky na opatrenia uvedené v článku 21 ods. 2 smernice (EÚ) 2022/2555 a bližšie určiť prípady, v ktorých by sa mal incident považovať za významný, ako sa uvádza v článku 23 ods. 3 smernice (EÚ) 2022/2555, vo vzťahu k poskytovateľom služieb DNS, správcom názvov TLD, poskytovateľom služieb cloud computingu, poskytovateľom služieb dátového centra, poskytovateľom sietí na sprístupňovanie obsahu, poskytovateľom riadených služieb, poskytovateľom riadených bezpečnostných služieb, poskytovateľom online trhov, internetových vyhľadávačov a platforiem služieb sociálnych sietí a poskytovateľom dôveryhodných služieb, na ktorých sa vzťahuje článok 3 smernice (EÚ) 2022/2555 (ďalej len „príslušné subjekty“).

(2)

Vzhľadom na cezhraničnú povahu ich činností a s cieľom zabezpečiť jednotný rámec pre poskytovateľov dôveryhodných služieb by sa v tomto nariadení vo vzťahu k poskytovateľom dôveryhodných služieb mali bližšie určiť prípady, v ktorých sa incident má považovať za významný, ako aj stanoviť technické a metodické požiadavky na opatrenia na riadenie kybernetických rizík.

(3)

Podľa článku 21 ods. 5 tretieho pododseku smernice (EÚ) 2022/2555 sú technické a metodické požiadavky na opatrenia na riadenie kybernetických rizík, ktoré sa stanovujú v prílohe k tomuto nariadeniu, založené na európskych a medzinárodných normách, ako sú normy ISO/IEC 27001, ISO/IEC 27002 a ETSI EN 319401, a technických špecifikáciách, ako je norma CEN/TS 18026:2024, týkajúcich sa bezpečnosti sietí a informačných systémov.

(4)

Pokiaľ ide o vykonávanie a uplatňovanie technických a metodických požiadaviek na opatrenia na riadenie kybernetických rizík stanovených v prílohe k tomuto nariadeniu v súlade so zásadou proporcionality, pri dodržiavaní technických a metodických požiadaviek na opatrenia na riadenie kybernetických rizík stanovených v prílohe k tomuto nariadeniu by sa mala náležite zohľadniť odlišná expozícia príslušných subjektov voči rizikám, napríklad kritickosť príslušného subjektu, riziká, ktorým je vystavený, jeho veľkosť a štruktúra, ako aj pravdepodobnosť výskytu incidentov a ich závažnosť vrátane ich spoločenského a hospodárskeho vplyvu.

(5)

V prípade, keď príslušné subjekty z dôvodu svojej veľkosti nemôžu vykonávať niektoré z technických a metodických požiadaviek na opatrenia na riadenie kybernetických rizík, v súlade so zásadou proporcionality by tieto subjekty mali mať možnosť prijať iné kompenzačné opatrenia vhodné na dosiahnutie účelu týchto požiadaviek. Napríklad pri vymedzovaní úloh, povinností a právomocí pre bezpečnosť sietí a informačných systémov v rámci príslušného subjektu by pre mikrosubjekty mohlo byť náročné oddeliť úlohy a oblasti právomocí, ktoré sa navzájom vylučujú. Tieto subjekty by mali mať možnosť zvážiť kompenzačné opatrenia, ako sú cielený dohľad vykonávaný vedením subjektu alebo zvýšené monitorovanie a logovanie.

(6)

Určité technické a metodické požiadavky stanovené v prílohe k tomuto nariadeniu by príslušné subjekty mali uplatňovať v prípade potreby, v náležitých prípadoch alebo pokiaľ to je možné. Ak príslušný subjekt nepovažuje za potrebné, náležité ani možné, aby uplatňoval určité technické a metodické požiadavky stanovené v prílohe k tomuto nariadeniu, mal by zrozumiteľným spôsobom zaznamenať svoje odôvodnenie v tejto súvislosti. Príslušné vnútroštátne orgány môžu pri výkone dohľadu zohľadniť primeraný čas, ktorý príslušné subjekty potrebujú na splnenie technických a metodických požiadaviek na opatrenia na riadenie kybernetických rizík.

(7)

Agentúra Európskej únie pre kybernetickú bezpečnosť (ďalej len „ENISA“) alebo príslušné vnútroštátne orgány podľa smernice (EÚ) 2022/2555 môžu poskytovať usmernenia na podporu príslušných subjektov pri rozpoznávaní, analyzovaní a posudzovaní rizík na účely vykonávania technických a metodických požiadaviek týkajúcich sa vytvorenia a udržiavania vhodného rámca pre riadenie rizík. Tieto usmernenia môžu zahŕňať najmä vnútroštátne a odvetvové posúdenia rizík, ako aj posúdenia rizík špecifických pre určitý typ subjektu. Usmernenia môžu zahŕňať aj nástroje alebo vzory na vytvorenie rámca pre riadenie rizík na úrovni príslušných subjektov. Rámce, usmernenia alebo iné mechanizmy stanovené vo vnútroštátnom práve členských štátov, ako aj príslušné európske a medzinárodné normy takisto môžu podporovať príslušné subjekty pri preukazovaní súladu s týmto vykonávacím nariadením. Agentúra ENISA alebo príslušné vnútroštátne orgány podľa smernice (EÚ) 2022/2555 okrem toho môžu poskytovať podporu príslušným subjektom pri určovaní a vykonávaní vhodných riešení na ošetrenie rizík zistených pri takomto posudzovaní rizík. Týmito usmerneniami by nemali byť dotknuté povinnosti príslušných subjektov týkajúce sa určovania a zaznamenávania rizík pre bezpečnosť sietí a informačných systémov a povinnosť príslušných subjektov plniť technické a metodické požiadavky na opatrenia na riadenie kybernetických rizík stanovené v prílohe k tomuto nariadeniu podľa ich potrieb a zdrojov.

(8)

Opatrenia na zaistenie bezpečnosti siete týkajúce sa: i) prechodu na najnovšiu generáciu komunikačných protokolov sieťovej vrstvy; ii) zavedenia medzinárodne schválených a interoperabilných moderných noriem e-mailovej komunikácie a iii) uplatňovania najlepších postupov bezpečnosti systému názvov domén (DNS) a bezpečnosti a hygieny smerovania internetu prinášajú osobitné problémy pri určovaní najlepších dostupných noriem a techník zavádzania. Komisia s pomocou agentúry ENISA a v spolupráci s príslušnými orgánmi, odvetvím – vrátane telekomunikačného odvetvia – a ďalšími zainteresovanými stranami by v záujme čo najrýchlejšieho dosiahnutia vysokej spoločnej úrovne kybernetickej bezpečnosti vo všetkých sieťach mala podporiť vznik multilaterálneho fóra, ktorého úlohou bude určiť tieto najlepšie dostupné normy a techniky zavádzania. Týmito usmerneniami pre viaceré zainteresované strany by nemala byť dotknutá povinnosť príslušných subjektov plniť technické a metodické požiadavky na opatrenia na riadenie kybernetických rizík stanovené v prílohe k tomuto nariadeniu.

(9)

Podľa článku 21 ods. 2 písm. a) smernice (EÚ) 2022/2555 by kľúčové a dôležité subjekty mali mať okrem zásad analýzy rizík aj zásady bezpečnosti informačných systémov. Na tento účel by príslušné subjekty mali stanoviť zásady bezpečnosti sietí a informačných systémov, ako aj tematické zásady, ako sú zásady kontroly prístupu, ktoré by mali byť v súlade so zásadami bezpečnosti sietí a informačných systémov. Zásady bezpečnosti sietí a informačných systémov by mali predstavovať dokument najvyššej úrovne, v ktorom sa stanoví celkový prístup príslušných subjektov k bezpečnosti ich sietí a informačných systémov, a mali by ich schváliť riadiace orgány príslušných subjektov. Tematické zásady by sa mali schvaľovať na vhodnej úrovni riadenia. V rámci zásad by sa mali stanoviť ukazovatele a opatrenia na monitorovanie ich vykonávania a aktuálneho stavu úrovne vyspelosti sieťovej a informačnej bezpečnosti príslušných subjektov, najmä s cieľom uľahčiť dohľad riadiacich orgánov nad vykonávaním opatrení na riadenie kybernetických rizík.

(10)

Na účely technických a metodických požiadaviek uvedených v prílohe k tomuto nariadeniu by sa pojem „používateľ“ mal vzťahovať na všetky právnické a fyzické osoby, ktoré majú prístup k sieťam a informačným systémom subjektu.

(11)

Na určenie a riešenie rizík pre bezpečnosť sietí a informačných systémov by príslušné subjekty mali vytvoriť a udržiavať vhodný rámec riadenia rizík. Príslušné subjekty by ako súčasť rámca riadenia rizík mali stanoviť, vykonať a monitorovať plán ošetrenia rizika. Príslušné subjekty môžu využiť plán ošetrenia rizika na určenie možností a opatrení na ošetrenie rizika a stanovenie ich priorít. Možnosti na ošetrenie rizika zahŕňajú najmä predchádzanie riziku, jeho znižovanie alebo vo výnimočných prípadoch akceptáciu rizika. Vo výbere možností na ošetrenie rizika by sa mali zohľadniť výsledky posúdenia rizík, ktoré vykonal príslušný subjekt, pričom by tento výber mal byť v súlade so zásadami bezpečnosti sietí a informačných systémov príslušného subjektu. Na uplatnenie zvolených možností na ošetrenie rizík by príslušné subjekty mali prijať vhodné opatrenia na ošetrenie rizika.

(12)

Na účely odhaľovania udalostí, udalostí odvrátených v poslednej chvíli a incidentov by príslušné subjekty mali monitorovať svoje siete a informačné systémy a prijať opatrenia na vyhodnocovanie udalostí, udalostí odvrátených v poslednej chvíli a incidentov. Tieto opatrenia by mali dokázať umožniť včas odhaľovať sieťové útoky na základe nezvyčajnej štruktúry prichádzajúcej a odchádzajúcej prevádzky a útoky na vyradenie služby.

(13)

Keď príslušné subjekty analyzujú vplyv na obchodnú činnosť, odporúča sa, aby vykonali komplexnú analýzu, pri ktorej podľa potreby určia maximálnu prípustnú dĺžku výpadku, časové ciele obnovy, ciele bodu obnovy a ciele poskytovania služieb.

(14)

S cieľom zmierniť riziká vyplývajúce z dodávateľského reťazca príslušného subjektu a z jeho vzťahu s dodávateľmi by príslušné subjekty mali zaviesť zásady bezpečnosti dodávateľského reťazca, ktorými by sa riadili ich vzťahy s priamymi dodávateľmi a poskytovateľmi služieb. Tieto subjekty by mali v zmluvách s priamymi dodávateľmi alebo poskytovateľmi služieb stanoviť náležité bezpečnostné doložky, napríklad by sa v nich mali v prípade potreby požadovať opatrenia na riadenie kybernetických rizík podľa článku 21 ods. 2 smernice (EÚ) 2022/2555 alebo podľa iných podobných právnych požiadaviek.

(15)

Príslušné subjekty by mali pravidelne vykonávať testy zabezpečenia založené na vyhradených zásadách a postupoch, aby sa overilo vykonanie a riadne fungovanie opatrení na riadenie kybernetických rizík. Testy zabezpečenia sa môžu vykonávať v prípade konkrétnych sietí a informačných systémov alebo príslušných subjektov ako celku a môžu zahŕňať automatizované alebo manuálne testy, penetračné testy, skenovanie zraniteľnosti, statické a dynamické testy zabezpečenia aplikácií, testy konfigurácie alebo bezpečnostné audity. Príslušné subjekty môžu vykonávať testy zabezpečenia na svojich sieťach a informačných systémoch pri ich nastavovaní, po modernizácii alebo zmenách infraštruktúry alebo aplikácie, ktoré považujú za významné, alebo po údržbe. Zistenia z testov zabezpečenia by mali poslúžiť ako podklady pre zásady a postupy príslušných subjektov s cieľom posúdiť účinnosť opatrení na riadenie kybernetických rizík, ako aj pre nezávislé preskúmania ich zásad v oblasti sieťovej a informačnej bezpečnosti.

(16)

S cieľom predísť značným narušeniam a škodám spôsobeným využitím neopravených zraniteľností v sieťach a informačných systémoch by príslušné subjekty mali stanoviť a uplatňovať vhodné postupy riadenia bezpečnostných záplat, ktoré budú v súlade s postupmi riadenia zmien, riadenia zraniteľnosti, riadenia rizík a iných relevantných postupov príslušných subjektov. Príslušné subjekty by mali prijať opatrenia primerané svojim zdrojom s cieľom zabezpečiť, že sa bezpečnostnými záplatami nezavedú ďalšie zraniteľnosti alebo nestability. V prípade plánovanej nedostupnosti služby spôsobenej inštaláciou bezpečnostných záplat sa príslušným subjektom odporúča, aby vopred riadne informovali zákazníkov.

(17)

Príslušné subjekty by mali riadiť riziká vyplývajúce z nadobudnutia produktov alebo služieb IKT od dodávateľov alebo poskytovateľov služieb a mali byť získať uistenie, že produkty alebo služby IKT, ktoré sa nadobúdajú, dosahujú určité úrovne ochrany kybernetickej bezpečnosti, napríklad prostredníctvom európskych certifikátov kybernetickej bezpečnosti a EÚ vyhlásení o zhode pre produkty alebo služby IKT vydaných v rámci európskeho systému certifikácie kybernetickej bezpečnosti prijatého podľa článku 49 nariadenia Európskeho parlamentu a Rady (EÚ) 2019/881 (2). Keď príslušné subjekty stanovia bezpečnostné požiadavky, ktoré sa majú vzťahovať na nadobúdané produkty IKT, mali by zohľadniť základné požiadavky kybernetickej bezpečnosti stanovené v nariadení Európskeho parlamentu a Rady o horizontálnych požiadavkách kybernetickej bezpečnosti pre produkty s digitálnymi prvkami.

(18)

V záujme ochrany pred kybernetickými hrozbami a podpory predchádzania porušeniam ochrany údajov a zamedzenia ich šírenia by príslušné subjekty mali zaviesť riešenia týkajúce sa bezpečnosti siete. Medzi typické riešenia týkajúce sa bezpečnosti siete patrí používanie firewallov na ochranu interných sietí príslušných subjektov, obmedzenie spojení a prístupu k službám na prípady, keď sú spojenia a prístup absolútne nevyhnutné, používanie virtuálnych neverejných sietí na vzdialený prístup a umožnenie spojení poskytovateľov služieb len na základe žiadosti o autorizáciu a len na stanovený čas, ako je trvanie činnosti údržby.

(19)

V záujme ochrany sietí príslušných subjektov a ich informačných systémov pred škodlivým a neautorizovaným softvérom by tieto subjekty mali vykonávať kontroly, ktorými sa zabráni používaniu neautorizovaného softvéru alebo sa odhalí jeho používanie, a v prípade potreby by mali používať softvér na detekciu a reakciu. Príslušné subjekty by takisto mali zvážiť vykonávacie opatrenia na minimalizáciu plochy útoku, na zmenšenie množstva zraniteľností, ktoré by mohli využiť útočníci, na kontrolu spúšťania aplikácií v koncových bodoch a na nasadenie e-mailových filtrov a filtrov pre webové aplikácie na zníženie expozície škodlivému obsahu.

(20)

Členské štáty majú podľa článku 21 ods. 2 písm. g) smernice (EÚ) 2022/2555 zabezpečiť, aby kľúčové a dôležité subjekty uplatňovali základné postupy kybernetickej hygieny a odbornú prípravu v oblasti kybernetickej bezpečnosti. Základné postupy kybernetickej hygieny môžu zahŕňať zásady nulovej dôvery, aktualizácie softvéru, konfiguráciu zariadení, segmentáciu siete, správu identít a prístupu alebo informovanosť používateľov, organizovanie odbornej prípravy pre zamestnancov a zvyšovanie informovanosti o kybernetických hrozbách, phishingu alebo technikách sociálneho inžinierstva. Postupy kybernetickej hygieny tvoria súčasť jednotlivých technických a metodických požiadaviek na opatrenia na riadenie kybernetických rizík stanovených v prílohe k tomuto nariadeniu. Pokiaľ ide o základné postupy kybernetickej hygieny pre používateľov, príslušné subjekty by mali zvážiť postupy, ako sú zásada čistého stola a obrazovky, používanie viacstupňovej autentifikácie a iných prostriedkov autentifikácie, bezpečné používanie e-mailu a prehľadávanie webu, ochrana pred phishingom a sociálnym inžinierstvom a bezpečné postupy práce na diaľku.

(21)

Príslušné subjekty by s cieľom zabrániť neoprávnenému prístupu k svojim aktívam mali stanoviť a vykonať tematické zásady zaoberajúce sa prístupom osôb a sietí a informačných systémov, ako sú aplikácie.

(22)

S cieľom zabrániť tomu, aby zamestnanci mohli zneužívať napríklad prístupové práva v rámci príslušného subjektu na poškodenie a spôsobenie škody, by príslušné subjekty mali zvážiť vhodné opatrenia na riadenie bezpečnosti zamestnancov a zvyšovanie informovanosti zamestnancov o uvedených rizikách. Príslušné subjekty by mali stanoviť, oznámiť a udržiavať disciplinárny postup na riešenie porušení zásad príslušných subjektov v oblasti bezpečnosti sietí a informačných systémov, ktorý môže byť začlenený v ďalších disciplinárnych postupoch stanovených príslušnými subjektmi. Overenie spoľahlivosti zamestnancov a v náležitých prípadoch priamych dodávateľov a poskytovateľov služieb príslušných subjektov by malo prispievať k cieľu bezpečnosti ľudských zdrojov v príslušných subjektoch a môže zahŕňať opatrenia, ako sú kontroly výpisu z registra trestov danej osoby alebo overenie jej služobných povinností v minulosti, a to primerane podľa povinností tejto osoby v príslušnom subjekte a v súlade so zásadami bezpečnosti sietí a informačných systémov príslušného subjektu.

(23)

Viacstupňová autentifikácia môže zvýšiť kybernetickú bezpečnosť subjektov a subjekty by jej použitie mali zvážiť najmä v prípadoch, keď používatelia využívajú vzdialený prístup k sieťam a informačným systémom alebo keď pristupujú k citlivým informáciám alebo privilegovaným účtom a k účtom na správu systému. Viacstupňovú autentifikáciu možno kombinovať s inými technikami s cieľom vyžadovať v konkrétnych situáciách dodatočné prvky na základe vopred stanovených pravidiel a vzorcov, ako sú prístup z nezvyčajného miesta, z nezvyčajného zariadenia alebo v nezvyčajnom čase.

(24)

Príslušné subjekty by mali spravovať a ochraňovať aktíva, ktoré sú pre ne cenné, prostredníctvom spoľahlivej správy aktív, ktorá by mala okrem toho slúžiť ako základ pre analýzu rizík a riadenie kontinuity činností. Príslušné subjekty by mali spravovať hmotné aj nehmotné aktíva a mali by vytvoriť inventár aktív, priradiť aktívu vymedzenú úroveň klasifikácie, zaobchádzať s aktívami a sledovať ich a prijať opatrenia na ochranu aktív počas celého ich životného cyklu.

(25)

Správa aktív by mala zahŕňať klasifikáciu aktív podľa ich typu, citlivosti, úrovne rizika a požiadaviek na bezpečnosť a uplatnenie vhodných opatrení a kontrol s cieľom zabezpečiť ich dostupnosť, integritu, dôvernosť a pravosť. Na základe klasifikácie aktív podľa úrovne rizika by príslušné subjekty mali byť schopné uplatňovať vhodné bezpečnostné opatrenia a kontroly na ochranu aktív, ako sú šifrovanie, kontrola prístupu vrátane bezpečnostnej zóny a kontroly fyzického a logického prístupu, zálohovanie, logovanie a monitorovanie, uchovávanie a likvidácia. Príslušné subjekty môžu pri vykonávaní analýzy vplyvu na obchodnú činnosť určiť úroveň klasifikácie na základe následkov narušenia aktív pre subjekty. Všetci zamestnanci subjektov, ktorí zaobchádzajú s aktívami, by sa mali oboznámiť so zásadami zaobchádzania s aktívami a so súvisiacimi pokynmi.

(26)

Podrobnosť inventára aktív by mala byť primeraná potrebám príslušných subjektov. Komplexný inventár aktív by pre každé aktívum mohol zahŕňať aspoň jedinečný identifikátor, vlastníka aktíva, opis aktíva, umiestnenie aktíva, druh aktíva, druh a klasifikáciu informácií spracúvaných v aktíve, dátum poslednej aktualizácie alebo bezpečnostnej záplaty aktíva, klasifikáciu aktíva podľa posúdenia rizika a skončenie životnosti aktíva. Pri určovaní vlastníka aktíva by príslušné subjekty mali určiť aj osobu, ktorá zodpovedá za ochranu uvedeného aktíva.

(27)

Priraďovaním a organizáciou úloh, povinností a právomocí v oblasti kybernetickej bezpečnosti by sa mala stanoviť konzistentná štruktúra správy a vykonávania kybernetickej bezpečnosti v rámci príslušných subjektov a mala by sa nimi zabezpečiť účinná komunikácia v prípade incidentov. Pri vymedzovaní a prideľovaní povinností určitým úlohám by príslušné subjekty mali zohľadňovať úlohy, ako sú hlavný pracovník pre bezpečnosť informácií, pracovník pre bezpečnosť informácií, pracovník pre riešenie incidentov, audítor alebo porovnateľné ekvivalentné úlohy. Príslušné subjekty môžu prideľovať úlohy a povinnosti externým stranám, ako sú externí poskytovatelia IKT služieb.

(28)

V súlade s článkom 21 ods. 2 smernice (EÚ) 2022/2555 majú byť opatrenia na riadenie kybernetických rizík založené na prístupe zohľadňujúcom všetky riziká, ktorého cieľom je chrániť siete a informačné systémy a fyzické prostredie uvedených systémov pred udalosťami, ako je krádež, požiar, povodeň, výpadok telekomunikácie alebo elektrickej energie, alebo pred neoprávneným fyzickým prístupom, poškodením alebo zásahom v súvislosti s informáciami kľúčového alebo dôležitého subjektu a jeho zariadeniami na spracovanie informácií, čo by mohlo ohroziť dostupnosť, pravosť, integritu alebo dôvernosť uchovávaných, prenášaných alebo spracúvaných údajov alebo služieb poskytovaných alebo prístupných prostredníctvom sietí a informačných systémov. Technické a metodické požiadavky na opatrenia na riadenie kybernetických rizík by sa preto mali zaoberať aj fyzickou a environmentálnou bezpečnosťou sietí a informačných systémov tým, že budú zahŕňať opatrenia na ochranu takýchto systémov pred systémovými zlyhaniami, ľudskými chybami, zlomyseľným konaním alebo prírodnými javmi. Medzi ďalšie príklady fyzických a environmentálnych hrozieb môžu patriť zemetrasenia, výbuchy, sabotáž, vnútorné hrozby, občianske nepokoje, toxický odpad a emisie do životného prostredia. Prevencia straty, poškodenia alebo ohrozenia sietí a informačných systémov alebo prerušenia ich prevádzky z dôvodu zlyhania a narušenia podporných verejných služieb by mala prispieť k cieľu kontinuity činností v príslušných subjektoch. Okrem toho by ochrana proti fyzickým a environmentálnym hrozbám mala prispievať k bezpečnosti pri údržbe sietí a informačných systémov v príslušných subjektoch.

(29)

Príslušné subjekty by mali navrhovať a vykonávať opatrenia na ochranu pred fyzickými a environmentálnymi hrozbami, určovať minimálne a maximálne kontrolné prahové hodnoty pre fyzické a environmentálne hrozby a monitorovať environmentálne parametre. Mali by napríklad zvážiť inštaláciu systémov na detekciu zaplavenia oblastí, v ktorých sa nachádzajú siete a informačné systémy, vo včasnej fáze. Pokiaľ ide o riziko požiaru, mali by zvážiť vytvorenie samostatného uzavretého požiarneho úseku pre dátové centrum, používanie ohňovzdorných materiálov, senzory na monitorovanie teploty a vlhkosti, pripojenie budovy k požiarnemu poplachovému systému s automatickým upozornením miestnej hasičskej jednotky a systémy včasnej detekcie požiaru a hasiace systémy. Príslušné subjekty by tiež mali vykonávať pravidelné požiarne cvičenia a protipožiarne kontroly. Okrem toho by príslušné subjekty na zabezpečenie zdroja napájania mali zvážiť ochranu proti prepätiu a zodpovedajúci núdzový zdroj napájania v súlade s príslušnými normami. Navyše, keďže prehrievanie predstavuje riziko pre dostupnosť sietí a informačných systémov, príslušné subjekty, a najmä poskytovatelia služieb dátového centra, by mohli zvážiť primerané, kontinuálne a redundantné klimatizačné systémy.

(30)

Cieľom tohto nariadenia je bližšie určiť prípady, v ktorých by sa mal incident považovať za významný v zmysle článku 23 ods. 3 smernice (EÚ) 2022/2555. Kritériá by sa mali stanoviť tak, aby príslušné subjekty boli schopné posúdiť, či je incident významný, aby ho mohli oznámiť v súlade so smernicou (EÚ) 2022/2555. Okrem toho by sa kritériá stanovené v tomto nariadení mali považovať za úplné bez toho, aby bol dotknutý článok 5 smernice (EÚ) 2022/2555. Prípady, v ktorých by sa mal incident považovať za významný, sa v tomto nariadení určujú stanovením horizontálnych prípadov, ako aj prípadov špecifických pre daný typ subjektu.

(31)

Podľa článku 23 ods. 4 smernice (EÚ) 2022/2555 by príslušné subjekty mali mať povinnosť oznamovať významné incidenty v lehotách stanovených uvedeným ustanovením. Tieto lehoty na oznamovanie začínajú plynúť od chvíle, keď subjekt zistí takýto významný incident. Príslušný subjekt preto musí oznamovať incidenty, pri ktorých by sa na základe prvotného posúdenia mohlo predpokladať, že by mohli viesť k vážnemu narušeniu prevádzky služieb alebo finančným stratám uvedeného subjektu alebo by mohli zasiahnuť iné fyzické alebo právnické osoby tým, že by im spôsobili značnú majetkovú alebo nemajetkovú ujmu. Preto v prípadoch, keď príslušný subjekt zistí podozrivú udalosť alebo keď ho na potenciálny incident upozorní tretia strana, ako sú napríklad osoba, zákazník, subjekt, orgán, mediálna organizácia alebo iný zdroj, príslušný subjekt by mal podozrivú udalosť včas posúdiť s cieľom určiť, či predstavuje incident, a ak áno, mal by určiť jeho povahu a závažnosť. Príslušný subjekt by sa preto mal považovať za subjekt, ktorý „zistil“ významný incident, vtedy, keď po takomto prvotnom posúdení nadobudne primeranú mieru istoty, že k významnému incidentu došlo.

(32)

S cieľom určiť, či je incident významný, by príslušné subjekty v relevantných prípadoch mali spočítať používateľov dotknutých incidentom, pričom by mali vziať do úvahy komerčných a koncových zákazníkov, s ktorými majú zmluvné vzťahy, ako aj fyzické a právnické osoby, ktoré sú pridružené ku komerčným zákazníkom. Ak príslušný subjekt nie je schopný vypočítať počet dotknutých používateľov, na účely výpočtu celkového počtu používateľov zasiahnutých incidentom by sa mal zvážiť odhad možného maximálneho počtu zasiahnutých používateľov vypracovaný príslušným subjektom. Významnosť incidentu týkajúceho sa dôveryhodnej služby by sa nemala určovať len na základe počtu používateľov, ale aj podľa počtu spoliehajúcich sa strán, keďže tie môžu byť takisto dotknuté významným incidentom týkajúcim sa dôveryhodnej služby, pokiaľ ide o narušenie prevádzky a majetkovú alebo nemajetkovú ujmu. Poskytovatelia dôveryhodných služieb by preto pri určovaní, či je incident významný, mali v náležitých prípadoch zohľadniť aj počet spoliehajúcich sa strán. Na tento účel by sa za spoliehajúce sa strany mali považovať fyzické alebo právnické osoby, ktoré sa spoliehajú na dôveryhodnú službu.

(33)

Činnosti údržby, ktorých výsledkom je obmedzená dostupnosť alebo nedostupnosť služieb, by sa nemali považovať za významné incidenty, ak k obmedzeniu dostupnosti alebo k nedostupnosti služby dôjde na základe plánovaných činností údržby. Okrem toho by sa nedostupnosť služby nemala považovať za významný incident, ak sú dôvodom nedostupnosti plánované prerušenia, ako sú prerušenia alebo nedostupnosť založené na vopred stanovenej zmluvnej dohode.

(34)

Dĺžka trvania incidentu, ktorý má vplyv na dostupnosť služby, by sa mala merať od narušenia riadneho poskytovania tejto služby až po obnovenie jej poskytovania. Ak príslušný subjekt nie je schopný určiť čas, keď sa narušenie začalo, dĺžka trvania incidentu by sa mala merať od odhalenia incidentu alebo odvtedy, keď bol incident zaznamenaný v sieťových alebo systémových logoch alebo v iných zdrojov údajov, podľa toho, čo nastane skôr.

(35)

Úplná nedostupnosť služby by sa mala merať od chvíle, keď používatelia úplne prídu o službu, až do obnovenia pravidelných činností alebo prevádzky na úroveň služby, ktorá bola poskytovaná pred incidentom. Ak príslušný subjekt nie je schopný určiť, odkedy je služba úplne nedostupná, nedostupnosť by sa mala merať od chvíle, keď ju tento subjekt odhalil.

(36)

Na účely určenia priamych finančných strát vyplývajúcich z incidentu by príslušné subjekty mali zohľadniť všetky finančné straty, ktoré im vznikli v dôsledku incidentu, ako sú náklady na výmenu alebo premiestnenie softvéru, hardvéru alebo infraštruktúry, náklady na zamestnancov vrátane nákladov spojených s nahradením alebo premiestnením zamestnancov, prijímaním ďalších zamestnancov, odmenami za nadčasy a obnovením stratených alebo zhoršených zručností, poplatky z dôvodu nedodržania zmluvných záväzkov, náklady na nápravu a odškodnenie zákazníkov, straty v dôsledku ušlých príjmov, náklady spojené s vnútornou a vonkajšou komunikáciou, náklady na poradenstvo vrátane nákladov spojených s právnym poradenstvom, forenznými službami a sanačnými službami a iné náklady spojené s incidentom. Za finančné straty vyplývajúce z incidentu by sa však nemali považovať správne pokuty ani náklady, ktoré sú potrebné na každodennú prevádzku podniku, vrátane nákladov na všeobecnú údržbu infraštruktúry, vybavenia, hardvéru a softvéru, nákladov na aktualizáciu zručností zamestnancov, interných alebo externých nákladov, ktorých cieľom je zlepšiť obchodné činnosti po incidente vrátane modernizácie, zlepšení, iniciatív na posúdenie rizika a poistného. Príslušné subjekty by mali vypočítať výšku finančných strát na základe dostupných údajov a v prípade, keď skutočnú výšku finančných strát nemožno určiť, príslušné subjekty by túto sumu mali odhadnúť.

(37)

Príslušné subjekty by takisto mali mať povinnosť oznamovať incidenty, ktoré spôsobili alebo môžu spôsobiť smrť alebo značné poškodenie zdravia fyzických osôb, keďže tieto incidenty predstavujú obzvlášť závažné prípady incidentov spôsobujúcich značnú majetkovú alebo nemajetkovú ujmu. Napríklad incident, ktorý ovplyvňuje príslušný subjekt, by mohol zapríčiniť nedostupnosť zdravotnej starostlivosti alebo záchranných služieb alebo stratu dôvernosti či integrity údajov s vplyvom na zdravie fyzických osôb. Na účely určenia toho, či incident spôsobil alebo môže spôsobiť značné poškodenie zdravia fyzickej osoby, by príslušné subjekty mali zohľadniť, či incident spôsobil alebo potenciálne môže spôsobiť ťažké zranenia a zlý zdravotný stav. Na tento účel by sa od príslušných subjektov nemalo vyžadovať, aby zhromažďovali ďalšie informácie, ku ktorým nemajú prístup.

(38)

Za obmedzenú dostupnosť by sa mali považovať najmä prípady, keď je služba, ktorú poskytuje príslušný subjekt, výrazne pomalšia než priemerný čas odozvy alebo keď nie sú k dispozícii všetky funkcie služby. Ak je to možné, na posúdenie omeškaní času odozvy by sa mali používať objektívne kritériá založené na priemerných časoch odozvy služieb poskytovaných príslušnými subjektmi. Funkciou služby môže byť napríklad funkcia chatu alebo funkcia vyhľadávania obrázkov.

(39)

Úspešný, domnelo zlomyseľný a neoprávnený prístup do sietí a informačných systémov príslušného subjektu by sa mal považovať za významný incident, ak by takýto prístup mohol spôsobiť vážne narušenie prevádzky. Napríklad v prípade, keď sa aktér kybernetickej hrozby predbežne nastaví v sieťach a informačných systémoch príslušného subjektu s cieľom narúšať služby v budúcnosti, incident by sa mal považovať za významný.

(40)

Opakujúce sa incidenty, ktoré sú prepojené rovnakou zjavnou hlavnou príčinou a ktoré jednotlivo nespĺňajú kritériá významného incidentu, by sa kolektívne mali považovať za významný incident za predpokladu, že spoločne spĺňajú kritérium finančnej straty a že k nim došlo aspoň dvakrát za šesť mesiacov. Takéto opakujúce sa incidenty môžu poukazovať na závažné nedostatky a slabé miesta v postupoch riadenia kybernetických rizík príslušného subjektu a v jeho úrovni vyspelosti v oblasti kybernetickej bezpečnosti. Takéto opakujúce sa incidenty navyše môžu príslušnému subjektu spôsobiť značnú finančnú stratu.

(41)

Pokiaľ ide o návrh vykonávacieho aktu, Komisia sa v súlade s článkom 21 ods. 5 a článkom 23 ods. 11 smernice (EÚ) 2022/2555 radila so skupinou pre spoluprácu a s agentúrou ENISA a spolupracovala s nimi.

(42)

V súlade s článkom 42 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (3) sa viedli konzultácie s európskym dozorným úradníkom pre ochranu údajov, ktorý vydal svoje stanovisko 1. septembra 2024.

(43)

Opatrenia stanovené v tomto nariadení sú v súlade so stanoviskom výboru zriadeného v súlade s článkom 39 smernice (EÚ) 2022/2555,