PROVÁDĚCÍ NAŘÍZENÍ KOMISE (EU) 2024/2690 ze dne 17. října 2024, kterým se stanoví pravidla pro uplatňování směrnice (EU) 2022/2555, pokud jde o technické a metodické požadavky na opatření k řízení kybernetických bezpečnostních rizik a bližší upřesnění případů, v nichž se incident považuje za významný, pokud jde o provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, poskytovatele služeb datových center, poskytovatele sítí pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatele služeb vytvářejících důvěru (Text s významem pro EHP)

(1)

Pokud jde o provozovatele DNS, registry domén nejvyšší úrovně, poskytovatele služeb cloud computingu, poskytovatele služeb datových center, poskytovatele sítí pro doručování obsahu, poskytovatele řízených služeb, poskytovatele řízených bezpečnostních služeb, poskytovatele on-line tržišť, internetových vyhledávačů a služeb platforem sociálních sítí a poskytovatele služeb vytvářejících důvěru, na které se vztahuje článek 3 směrnice (EU) 2022/2555 (dále jen „příslušné subjekty“), cílem tohoto nařízení je stanovit technické a metodické požadavky na opatření uvedená v čl. 21 odst. 2 směrnice (EU) 2022/2555 a dále upřesnit případy, v nichž se incident považuje za významný, jak je uvedeno v čl. 23 odst. 3 směrnice (EU) 2022/2555.

(2)

S ohledem na přeshraniční povahu jejich činností a v zájmu zajištění soudržného rámce pro poskytovatele služeb vytvářejících důvěru by toto nařízení mělo s ohledem na poskytovatele služeb vytvářejících důvěru kromě stanovení technických a metodických požadavků na opatření k řízení kybernetických bezpečnostních rizik dále upřesnit případy, v nichž se incident považuje za významný.

(3)

V návaznosti na čl. 21 odst. 5 třetí pododstavec směrnice (EU) 2022/2555 vycházejí technické a metodické požadavky na opatření pro řízení kybernetických bezpečnostních rizik stanovené v příloze tohoto nařízení z evropských a mezinárodních norem, jako jsou ISO/IEC 27001, ISO/IEC 27002 a ETSI EN 319401, a technických specifikací, jako je CEN/TS 18026:2024, které se týkají bezpečnosti sítí a informačních systémů.

(4)

Pokud jde o provádění a uplatňování technických a metodických požadavků na opatření k řízení kybernetických bezpečnostních rizik stanovených v příloze tohoto nařízení, v souladu se zásadou proporcionality by se měla při plnění technických a metodických požadavků na opatření k řízení kybernetických bezpečnostních rizik stanovených v příloze tohoto nařízení náležitě zohlednit rozdílná expozice příslušných subjektů rizikům, jako je kritičnost příslušného subjektu, rizika, jimž je vystaven, velikost příslušného subjektu a pravděpodobnost výskytu incidentů a jejich závažnost, včetně jejich společenského a ekonomického dopadu.

(5)

V souladu se zásadou proporcionality by měly mít příslušné subjekty v případech, kdy nemohou z důvodu své velikosti splnit některé technické a metodické požadavky na opatření k řízení kybernetických bezpečnostních rizik, možnost přijmout jiná kompenzační opatření, která jsou vhodná k dosažení účelu těchto požadavků. Například subjekty velmi malé velikosti mohou mít při určování rolí, odpovědností a pravomocí v oblasti bezpečnosti sítí a informačních systémů v rámci příslušného subjektu potíže s oddělením kolidujících povinností a protichůdných oblastí odpovědnosti. Tyto subjekty by měly mít možnost zvážit kompenzační opatření, jako je cílený dohled ze strany vedení subjektu nebo zvýšené monitorování a vedení protokolů.

(6)

Příslušné subjekty by měly požadavky stanovené v příloze tohoto nařízení uplatňovat tam, kde je to vhodné, použitelné nebo proveditelné. Pokud se příslušný subjekt domnívá, že není vhodné, použitelné nebo proveditelné, aby uplatnil určité technické a metodické požadavky stanovené v příloze tohoto nařízení, měl by za tímto účelem srozumitelně zdokumentovat své odůvodnění. Příslušné vnitrostátní orgány mohou při výkonu dohledu zohlednit přiměřenou dobu, kterou příslušné subjekty potřebují k provedení technických a metodických požadavků opatření k řízení kybernetických bezpečnostních rizik.

(7)

Agentura ENISA nebo příslušné vnitrostátní orgány podle směrnice (EU) 2022/2555 mohou vydat pokyny s cílem podpořit příslušné subjekty při identifikaci, analýze a posuzování rizik za účelem provádění technických a metodických požadavků týkajících se zavedení a udržování vhodného rámce řízení rizik. Tyto pokyny mohou zahrnovat zejména vnitrostátní a odvětvová posouzení rizik, ale i posouzení rizik specifická pro určitý typ subjektu. Pokyny mohou rovněž obsahovat nástroje nebo šablony pro vytvoření rámce řízení rizik na úrovni příslušných subjektů. Příslušné subjekty mohou při prokazování souladu s tímto nařízením rovněž podpořit rámce, pokyny nebo jiné mechanismy stanovené vnitrostátními právními předpisy členských států, jakož i příslušné evropské a mezinárodní normy. Agentura ENISA nebo příslušné vnitrostátní orgány podle směrnice (EU) 2022/2555 mohou navíc podporovat příslušné subjekty při určování a zavádění vhodných řešení na řešení rizik zjištěných v těchto posouzeních rizik. Těmito pokyny by neměla být dotčena povinnost příslušných subjektů identifikovat a dokumentovat rizika pro bezpečnost sítí a informačních systémů a povinnost příslušných subjektů provádět technické a metodické požadavky na opatření k řízení kybernetických bezpečnostních rizik stanovená v příloze tohoto nařízení podle svých potřeb a zdrojů.

(8)

Opatření v oblasti bezpečnosti sítí, která se týkají: i) přechodu na komunikační protokoly síťové vrstvy nejnovější generace; ii) zavedení mezinárodně dohodnutých a interoperabilních moderních standardů pro e-mailovou komunikaci a iii) uplatňování osvědčených postupů pro zabezpečení DNS a pro bezpečnost a hygienu směrování na internetu, s sebou nesou specifické problémy, pokud jde o určení nejlepších dostupných standardů a technik zavádění. V zájmu co nejrychlejšího dosažení vysoké společné úrovně kybernetické bezpečnosti ve všech sítích by Komise měla s pomocí Agentury Evropské unie pro kybernetickou bezpečnost (ENISA) a ve spolupráci s příslušnými orgány, průmyslem (včetně telekomunikačního průmyslu) a dalšími zúčastněnými stranami podpořit vytvoření fóra mnoha zúčastněných stran, jehož úkolem bude určit tyto nejlepší dostupné normy a techniky zavádění. Těmito pokyny zahrnujícími mnoho zúčastněných stran by neměla být dotčena povinnost příslušných subjektů provádět technické a metodické požadavky na opatření k řízení kybernetických bezpečnostních rizik stanovené v příloze tohoto nařízení.

(9)

Podle čl. 21 odst. 2 písm. a) směrnice (EU) 2022/2555 by základní a důležité subjekty měly mít kromě politiky analýzy rizik také politiku bezpečnosti informačních systémů. Za tímto účelem by příslušné subjekty měly vytvořit politiku bezpečnosti sítí a informačních systémů a také tematicky zaměřené politiky, jako jsou postupy kontroly přístupu, které by měly být v souladu s politikou bezpečnosti sítí a informačních systémů. Politika bezpečnosti sítí a informačních systémů by měla být dokumentem nejvyšší úrovně, který stanoví celkový přístup příslušných subjektů k bezpečnosti jejich sítí a informačních systémů, a měla by být schválena řídícími orgány příslušných subjektů. Tematicky zaměřené politiky by měly být schváleny odpovídající úrovní vedení. Politika by měla stanovit ukazatele a opatření pro sledování jejího provádění a aktuálního stavu, pokud jde o úroveň vyspělosti v oblasti bezpečnosti sítí a informací příslušných subjektů, zejména s cílem usnadnit dohled nad prováděním opatření k řízení kybernetických bezpečnostních rizik prostřednictvím řídících orgánů.

(10)

Pro účely technických a metodických požadavků stanovených v příloze tohoto nařízení by měl pojem „uživatel“ zahrnovat všechny právnické a fyzické osoby, které mají přístup do sítě a informačních systémů subjektu.

(11)

Aby bylo možné určit a řešit rizika ohrožující bezpečnost sítí a informačních systémů, měly by příslušné subjekty zavést a udržovat vhodný rámec řízení rizik. Jako součást rámce řízení rizik by příslušné subjekty měly zavést, realizovat a sledovat plán ošetření rizik. Příslušné subjekty mohou plán ošetření rizik použít k určení možností a opatření k ošetření rizik a ke stanovení pořadí jejich důležitosti. Možnosti ošetření rizik zahrnují zejména zamezení, omezení nebo ve výjimečných případech přijetí rizika. Volba možností ošetření rizik by měla zohledňovat výsledky posouzení rizik provedeného příslušným subjektem a měla by být v souladu s politikou příslušného subjektu týkající se bezpečnosti sítí a informačních systémů. Za účelem provedení zvolených možností ošetření rizik by příslušné subjekty měly přijmout vhodná opatření k ošetření rizik.

(12)

Aby mohly odhalit příhody, významné události a incidenty, měly by příslušné subjekty monitorovat své sítě a informační systémy a přijmout opatření k vyhodnocení příhod, významných událostí a incidentů. Tato opatření by měla dokázat včas odhalit síťové útoky založené na anomálních vzorcích příchozího nebo odchozího provozu a útoky odmítnutím služby.

(13)

Pokud příslušné subjekty provádějí analýzu obchodního dopadu, doporučuje se, aby provedly komplexní analýzu, která případně stanoví maximální přípustnou dobu výpadku, cíle doby potřebné k obnovení provozu, cíle bodu obnovy a cíle poskytování služeb.

(14)

Za účelem zmírnění rizik vyplývajících z dodavatelského řetězce příslušného subjektu a jeho vztahů s dodavateli by příslušné subjekty měly zavést bezpečnostní politiku dodavatelského řetězce, která upravuje jejich vztahy s přímými dodavateli a poskytovateli služeb. Tyto subjekty by měly ve smlouvách se svými přímými dodavateli nebo poskytovateli služeb stanovit odpovídající doložky o bezpečnosti, například tím, že budou v případě potřeby vyžadovat opatření k řízení kybernetických bezpečnostních rizik podle čl. 21 odst. 2 směrnice (EU) 2022/2555 nebo jiné podobné právní požadavky.

(15)

Příslušné subjekty by měly pravidelně provádět bezpečnostní testy na základě specifické politiky a specifických postupů, aby ověřily, zda jsou opatření k řízení kybernetických bezpečnostních rizik zavedena a řádně fungují. Bezpečnostní testy mohou být prováděny na konkrétních sítích a informačních systémech nebo na příslušném subjektu jako celku a mohou zahrnovat automatické nebo manuální testy, penetrační testy, skenování zranitelnosti, statické a dynamické testy bezpečnosti aplikací, testy konfigurace nebo bezpečnostní audity. Příslušné subjekty mohou provádět bezpečnostní testy svých sítí a informačních systémů při jejich nastavení, po modernizaci nebo úpravách infrastruktury nebo aplikace, které považují za významné, nebo po údržbě. Závěry bezpečnostních testů by měly být podkladem pro politiky a postupy příslušných subjektů k posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik, ale i pro nezávislé přezkumy jejich politik bezpečnosti sítí a informací.

(16)

Aby se zabránilo významnému narušení a škodám způsobeným zneužitím neopravených zranitelností v sítích a informačních systémech, měly by příslušné subjekty stanovit a uplatňovat vhodné postupy správy bezpečnostních záplat, které jsou v souladu s postupy příslušných subjektů v oblasti řízení změn, řízení zranitelností, řízení rizik a dalšími příslušnými postupy. Příslušné subjekty by měly přijmout opatření přiměřená svým zdrojům, aby zajistily, že bezpečnostní záplaty neodhalí další zranitelnosti nebo nestabilitu. V případě plánované nedostupnosti služby způsobené instalací bezpečnostních záplat se příslušným subjektům doporučuje, aby zákazníky předem náležitě informovaly.

(17)

Příslušné subjekty by měly řídit rizika plynoucí z pořízení produktů IKT nebo služeb IKT od dodavatelů nebo poskytovatelů služeb a měly by získat jistotu, že pořizované produkty IKT nebo služby IKT dosahují určitých úrovní kybernetické bezpečnosti, například prostřednictvím evropských certifikátů kybernetické bezpečnosti a prohlášení EU o shodě pro produkty IKT nebo služby IKT vydaných v rámci evropského systému certifikace kybernetické bezpečnosti přijatého podle článku 49 nařízení Evropského parlamentu a Rady (EU) 2019/881 (2). Pokud příslušné subjekty stanoví bezpečnostní požadavky, které se mají uplatnit na pořizované produkty IKT, měly by zohlednit základní požadavky na kybernetickou bezpečnost stanovené v nařízení Evropského parlamentu a Rady o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky.

(18)

Za účelem ochrany před kybernetickými hrozbami a podpory prevence a zamezení šíření úniků dat by příslušné subjekty měly zavést řešení v oblasti bezpečnosti sítí. Typická řešení pro bezpečnost sítě zahrnují používání firewallů k ochraně vnitřních sítí příslušných subjektů, omezení připojení a přístupu ke službám na případy, kdy jsou připojení a přístup nezbytně nutné, a využívání virtuálních soukromých sítí pro dálkový přístup a umožnění připojení poskytovatelů služeb pouze na základě žádosti o povolení a po stanovenou dobu, jako je doba trvání údržby.

(19)

Za účelem ochrany sítí příslušných subjektů a jejich informačních systémů před škodlivým a neoprávněným softwarem by tyto subjekty měly zavést kontroly, které zabrání používání neoprávněného softwaru nebo jej odhalí, a v příslušných případech by měly používat software pro detekci a reakci. Příslušné subjekty by rovněž měly zvážit prováděcí opatření k minimalizaci plochy útoku, snížení zranitelností, které mohou útočníci využít, kontrolu provádění aplikací na koncových bodech a zavedení e-mailových a internetových aplikačních filtrů, aby se snížilo vystavení škodlivému obsahu.

(20)

Podle čl. 21 odst. 2 písm. g) směrnice (EU) 2022/2555 mají členské státy zajistit, aby základní a důležité subjekty uplatňovaly základní postupy kybernetické hygieny a školení o kybernetické bezpečnosti. K základním postupům v oblasti kybernetické hygieny může patřit architektura nulové důvěry, aktualizace softwaru, konfigurace zařízení, segmentace sítě, řízení identity a přístupu nebo povědomí uživatelů, měly by pořádat školení pro své zaměstnance a zvyšovat povědomí o kybernetických hrozbách, phishingu či technikách sociálního inženýrství. Postupy v oblasti kybernetické hygieny jsou součástí různých technických a metodických požadavků na opatření k řízení kybernetických bezpečnostních rizik stanovená v příloze tohoto nařízení. Pokud jde o základní postupy v oblasti kybernetické hygieny pro uživatele, příslušné subjekty by měly zvážit postupy, jako jsou zásady čistého pracovního stolu a obrazovky, používání vícefaktorových a jiných autentizačních prostředků, bezpečné používání e-mailů a prohlížení internetových stránek, ochrana před phishingem a sociálním inženýrstvím, bezpečné postupy práce na dálku.

(21)

Aby se zabránilo neoprávněnému přístupu k aktivům příslušných subjektů, měly by příslušné subjekty zavést a uplatňovat tematicky zaměřenou politiku zabývající se přístupem pro osoby a pro sítě a informační systémy, jako jsou aplikace.

(22)

Aby se předešlo tomu, že zaměstnanci mohou zneužít například přístupová práva v rámci příslušného subjektu, a způsobit tak újmu a škodu, měly by příslušné subjekty zvážit odpovídající opatření k řízení bezpečnosti zaměstnanců a zvýšit povědomí zaměstnanců o těchto rizicích. Příslušné subjekty by měly zavést, sdělit a udržovat disciplinární postup pro řešení porušení zásad bezpečnosti sítí a informačních systémů příslušných subjektů, který může být začleněn do jiných disciplinárních postupů zavedených příslušnými subjekty. Ověřování spolehlivosti zaměstnanců a případně přímých dodavatelů a poskytovatelů služeb příslušných subjektů by mělo přispět k dosažení cíle bezpečnosti lidských zdrojů v příslušných subjektech a může zahrnovat opatření, jako je ověření rejstříku trestů nebo dřívějších profesních povinností dané osoby, a to v návaznosti na povinnosti dané osoby v rámci příslušného subjektu a v souladu s politikou příslušného subjektu týkající se bezpečnosti sítí a informačních systémů.

(23)

Kybernetickou bezpečnost subjektů může posílit vícefaktorová autentizace, přičemž subjekty by její zavedení měly zvážit zejména tehdy, když uživatelé mají přístup k sítím a informačním systémům ze vzdálených míst nebo mají přístup k citlivým informacím nebo privilegovaným účtům a účtům pro správu systému. Vícefaktorovou autentizaci lze kombinovat s dalšími technikami, a vyžadovat tak za určitých okolností existenci dalších faktorů, a to na základě předem definovaných pravidel a vzorců, jako je přístup z neobvyklého místa, z neobvyklého zařízení nebo v neobvyklém čase.

(24)

Příslušné subjekty by měly spravovat a chránit aktiva, která pro ně mají hodnotu, prostřednictvím řádné správy aktiv, která by měla rovněž sloužit jako základ pro analýzu rizik a řízení kontinuity činností. Příslušné subjekty by měly hospodařit s hmotnými i nehmotnými aktivy a měly by vytvořit soupis aktiv, přiřadit aktivům vymezené úrovně klasifikace, nakládat s aktivy a sledovat je a přijímat opatření na ochranu aktiv po celou dobu jejich životnosti.

(25)

Správa aktiv by měla zahrnovat klasifikaci aktiv podle jejich typu, citlivosti, úrovně rizika a bezpečnostních požadavků a použití vhodných opatření a kontrol k zajištění jejich dostupnosti, integrity, důvěrnosti a autenticity. Tím, že klasifikují aktiva podle úrovně rizika, by příslušné subjekty měly být schopny uplatňovat vhodná bezpečnostní opatření a kontroly na ochranu aktiv, jako je šifrování, kontrola přístupu včetně kontroly vnějšího a fyzického a logického přístupu, zálohování, vedení protokolů a monitorování, uchovávání a likvidace. Při provádění analýzy obchodního dopadu mohou příslušné subjekty určit úroveň klasifikace na základě důsledků narušení aktiv pro tyto subjekty. Všichni zaměstnanci subjektů, které nakládají s aktivy, by měli být seznámeni se zásadami a pokyny pro nakládání s aktivy.

(26)

Podrobnost soupisu aktiv by měla odpovídat potřebám příslušných subjektů. Úplný soupis aktiv by mohl s ohledem na jednotlivá aktiva uvádět přinejmenším jedinečný identifikátor, vlastníka aktiva, popis aktiva, umístění aktiva, druh aktiva, typ a klasifikaci informací zpracovávaných v rámci aktiva, datum poslední aktualizace nebo opravy aktiva, klasifikaci aktiva podle posouzení rizik a konec životnosti aktiva. Při určování vlastníka aktiva by příslušné subjekty měly rovněž určit osobu odpovědnou za zajišťování ochrany uvedeného aktiva.

(27)

Rozdělení a organizace úkolů, odpovědnosti a pravomocí v oblasti kybernetické bezpečnosti by měly vytvořit konzistentní strukturu pro řízení a provádění kybernetické bezpečnosti v rámci příslušných subjektů a měly by zajistit účinnou komunikaci v případě incidentů. Při definování a přidělování odpovědností za určité úkoly by příslušné subjekty měly vzít v potaz funkce, jako je vedoucí pracovník pro bezpečnost informací, pracovník pro bezpečnost informací, pracovník pro řešení incidentů, auditor nebo podobné rovnocenné role. Příslušné subjekty mohou přidělit úkoly a odpovědnost externím stranám, například externím poskytovatelům služeb IKT.

(28)

V souladu s čl. 21 odst. 2 směrnice (EU) 2022/2555 mají být opatření k řízení kybernetických bezpečnostních rizik založena na přístupu zohledňujícím všechny druhy rizik, jehož cílem je chránit sítě a informační systémy a jejich fyzické prostředí před událostmi, jako jsou krádež, požár, povodeň, výpadky telekomunikací nebo elektrického proudu, nebo před neoprávněným fyzickým přístupem k informacím a zařízením pro zpracování informací základního nebo důležitého subjektu a jejich poškozením a zásahům do nich, jež by mohly narušit dostupnost, autenticitu, integritu nebo důvěrnost uchovávaných, předávaných nebo zpracovávaných dat nebo služeb, které tyto sítě a informační systémy nabízejí nebo které jsou jejich prostřednictvím přístupné. Technické a metodické požadavky opatření k řízení kybernetických bezpečnostních rizik by proto měly rovněž řešit fyzickou a environmentální bezpečnost sítí a informačních systémů tím, že zahrnou opatření na ochranu těchto systémů před selháním systému, lidskou chybou, zlovolným jednáním nebo přírodními jevy. Mezi další příklady fyzických a environmentálních hrozeb mohou patřit zemětřesení, výbuchy, sabotáž, vnitřní hrozba, občanské nepokoje, toxický odpad a emise z životního prostředí. Předcházení ztrátám, poškození nebo ohrožení sítí a informačních systémů nebo přerušení jejich provozu v důsledku selhání a narušení podpůrných služeb by mělo v příslušných subjektech přispět k cíli kontinuity činnosti. Ochrana před fyzickými a environmentálními hrozbami by navíc měla v příslušných subjektech přispět k bezpečnosti údržby sítí a informačních systémů.

(29)

Příslušné subjekty by měly navrhnout a provádět ochranná opatření proti fyzickým a environmentálním hrozbám a stanovit minimální a maximální prahové kontrolní hodnoty pro fyzické a environmentální hrozby a sledovat environmentální parametry. Měly by například zvážit instalaci systémů, které včas odhalí zaplavení prostor, v nichž jsou umístěny síťové a informační systémy. Pokud jde o nebezpečí požáru, příslušné subjekty by měly zvážit zřízení samostatného požárního úseku pro datové centrum, použití ohnivzdorných materiálů, čidel pro sledování teploty a vlhkosti, napojení budovy na požární poplachový systém s automatickým hlášením místnímu hasičskému sboru a systémy včasné detekce a hašení požáru. Příslušné subjekty by měly rovněž provádět pravidelná požární cvičení a požární kontroly. Kromě toho by příslušné subjekty měly v zájmu zajištění dodávky elektrické energie zvážit ochranu před přepětím a odpovídající nouzové napájení, a to v souladu s příslušnými normami. Vzhledem k tomu, že přehřátí představuje riziko pro dostupnost sítí a informačních systémů, mohly by příslušné subjekty, zejména poskytovatelé služeb datových center, zvážit odpovídající, nepřetržité záložní klimatizační systémy.

(30)

Toto nařízení má dále upřesnit případy, kdy by se měl incident považovat za významný pro účely čl. 23 odst. 3 směrnice (EU) 2022/2555. Kritéria by měla být taková, aby příslušné subjekty byly schopny posoudit, zda je incident významný, a mohly tak incident oznámit v souladu se směrnicí (EU) 2022/2555. Kritéria stanovená v tomto nařízení by navíc měla být považována za vyčerpávající, aniž je dotčen článek 5 směrnice (EU) 2022/2555. Toto nařízení vymezuje případy, kdy by incident měl být považován za významný, tím, že stanoví horizontální případy i případy specifické pro jednotlivé druhy subjektů.

(31)

Podle čl. 23 odst. 4 směrnice (EU) 2022/2555 by příslušné subjekty měly být povinny oznamovat významné incidenty ve lhůtách stanovených uvedeným ustanovením. Tyto lhůty pro oznámení běží od okamžiku, kdy se subjekt o těchto významných incidentech dozví. Příslušný subjekt je tudíž povinen oznamovat incidenty, které by na základě jeho prvotního posouzení mohly uvedenému subjektu způsobit závažné provozní narušení služeb nebo finanční ztrátu nebo postihnout jiné fyzické nebo právnické osoby tím, že by jim způsobily značnou hmotnou nebo nehmotnou újmu. Pokud tedy příslušný subjekt zjistí podezřelou událost nebo poté, co jej na potenciální incident upozorní třetí strana, například fyzická osoba, zákazník, subjekt, orgán, mediální organizace nebo jiný zdroj, měl by příslušný subjekt podezřelou událost včas posoudit a určit, zda se jedná o incident, a pokud ano, určit jeho povahu a závažnost. Proto se má za to, že se příslušný subjekt o významném incidentu „dozvěděl“, pokud má po tomto prvotním posouzení rozumnou míru jistoty, že k významnému incidentu došlo.

(32)

Aby bylo možné zjistit, zda je incident významný, by příslušné subjekty měly v příslušných případech spočítat počet uživatelů, na které měl incident dopad, přičemž by měly vzít v úvahu obchodní a koncové zákazníky, s nimiž mají příslušné subjekty smluvní vztah, ale i fyzické a právnické osoby, které jsou spojeny s obchodními zákazníky. Pokud příslušný subjekt není schopen vypočítat počet zasažených uživatelů, měl by se pro účely výpočtu celkového počtu uživatelů zasažených incidentem vzít v úvahu odhad příslušného subjektu ohledně možného maximálního počtu zasažených uživatelů. Významnost incidentu zahrnujícího službu vytvářející důvěru by se neměla určovat pouze podle počtu uživatelů, ale také podle počtu spoléhajících se stran, jelikož tyto strany mohou být významným incidentem zahrnujícím službu vytvářející důvěru rovněž dotčeny, pokud jde o provozní narušení a hmotnou nebo nehmotnou újmu. Poskytovatelé služeb vytvářejících důvěru by proto měli při zjišťování, zda je incident významný, případně zohlednit také počet spoléhajících se stran. Za tímto účelem by se spoléhajícími se stranami měly rozumět fyzické nebo právnické osoby, které se spoléhají na službu vytvářející důvěru.

(33)

Operace údržby, které mají za následek omezenou dostupnost nebo nedostupnost služeb, by neměly být za významné incidenty považovány v případě, že k omezené dostupnosti nebo nedostupnosti služby dojde v souladu s plánovanou údržbou. Kromě toho by se za významný incident neměly považovat případy, kdy je služba nedostupná z důvodu plánovaného přerušení, jako je přerušení nebo nedostupnost na základě předem stanoveného smluvního ujednání.

(34)

Doba trvání incidentu, který ovlivňuje dostupnost služby, by se měla měřit od přerušení řádného poskytování této služby až do doby obnovy. Pokud příslušný subjekt není schopen určit okamžik, kdy narušení začalo, měla by se doba trvání incidentu měřit od okamžiku, kdy byl incident zjištěn, nebo od okamžiku, kdy byl incident zaznamenán v síťových nebo systémových protokolech nebo jiných zdrojích dat, podle toho, co nastane dříve.

(35)

Úplná nedostupnost služby by se měla měřit od okamžiku, kdy je služba uživatelům plně nedostupná, do okamžiku, kdy jsou běžné činnosti nebo provoz obnoveny na úroveň služby, která byla poskytována před incidentem. Pokud příslušný subjekt není schopen určit, kdy úplná nedostupnost služby začala, měla by se nedostupnost měřit od okamžiku, kdy ji tento subjekt zjistil.

(36)

Pro účely stanovení přímých finančních ztrát v důsledku incidentu by příslušné subjekty měly vzít v úvahu všechny finanční ztráty, které jim v důsledku incidentu vznikly, jako jsou náklady na výměnu nebo přemístění softwaru, hardwaru nebo infrastruktury, náklady na zaměstnance, včetně nákladů spojených s výměnou nebo přemístěním zaměstnanců, nábor dalších zaměstnanců, odměny za přesčasy a obnovu ztracených nebo zhoršených dovedností, poplatky v důsledku nedodržení smluvních závazků, náklady na nápravu a kompenzace zákazníkům, ztráty v důsledku ušlých příjmů, náklady spojené s interní a externí komunikací, náklady na poradenství, včetně nákladů spojených s právním poradenstvím, forenzními službami a službami souvisejícími se zajišťováním nápravy a další náklady spojené s incidentem. Za finanční ztráty v důsledku incidentu by však neměly být považovány správní pokuty ani náklady, které jsou nezbytné pro každodenní provoz podniku, včetně nákladů na obecnou údržbu infrastruktury, zařízení, hardwaru a softwaru, udržování dovedností zaměstnanců na aktuální úrovni, interních nebo externích nákladů na podporu obchodní činnosti po incidentu, včetně modernizací, zlepšování a iniciativ k posuzování rizik, a pojistného. Příslušné subjekty by měly vypočítat výši finančních ztrát na základě dostupných údajů, a pokud nelze určit skutečnou výši finančních ztrát, měly by tyto částky odhadnout.

(37)

Příslušné subjekty by měly mít rovněž povinnost hlásit incidenty, které způsobily nebo mohou způsobit úmrtí fyzických osob nebo značnou újmu na zdraví fyzických osob, neboť tyto incidenty jsou zvlášť závažnými případy způsobení značné hmotné nebo nehmotné újmy. Incident, který příslušný subjekt postihne, může například způsobit nedostupnost zdravotní péče nebo záchranných služeb nebo ztrátu důvěrnosti či integrity údajů s dopadem na zdraví fyzických osob. Pro účely určení, zda incident způsobil nebo může způsobit značnou újmu na zdraví fyzické osoby, by příslušné subjekty měly vzít v úvahu, zda incident způsobil nebo může způsobit vážná zranění a špatný zdravotní stav. Za tímto účelem by příslušné subjekty neměly být povinny shromažďovat další informace, ke kterým nemají přístup.

(38)

Za omezenou dostupnost je třeba považovat zejména případy, kdy je služba poskytovaná příslušným subjektem výrazně pomalejší než průměrná doba odezvy nebo kdy nejsou k dispozici všechny funkce služby. Pokud je to možné, měla by být pro posouzení zpoždění v době odezvy použita objektivní kritéria založená na průměrných dobách odezvy u služeb poskytovaných příslušnými subjekty. Funkcí služby může být například funkce chatu nebo funkce vyhledávání obrázků.

(39)

Úspěšný podezřele zlovolný a neoprávněný přístup do sítě a informačních systémů příslušného subjektu by měl být považován za významný incident, pokud je takový přístup schopen způsobit vážné narušení provozu. Například pokud se aktér kybernetické hrozby předem umístí do sítě a informačních systémů příslušného subjektu s cílem způsobit narušení služeb v budoucnu, měl by být incident považován za významný.

(40)

Opakující se incidenty, které jsou spojeny stejnou hlavní příčinou a které jednotlivě nesplňují kritéria významného incidentu, by měly být společně považovány za významný incident za předpokladu, že společně splňují kritérium finanční ztráty a že k nim došlo alespoň dvakrát během šesti měsíců. Takové opakující se incidenty mohou poukazovat na významné nedostatky a slabiny v postupech řízení kybernetických bezpečnostních rizik příslušného subjektu a v úrovni jeho vyspělosti v oblasti kybernetické bezpečnosti. Takové opakující se incidenty navíc mohou příslušnému subjektu způsobit značné finanční ztráty.

(41)

Komise si v souladu s čl. 21 odst. 5 a čl. 23 odst. 11 směrnice (EU) 2022/2555 poskytuje se skupinou pro spolupráci a agenturou ENISA vzájemné poradenství a spolupracuje s nimi, pokud jde o návrhy prováděcích aktů.

(42)

V souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (ES) (3) byl konzultován evropský inspektor ochrany údajů, který vydal stanovisko dne 1. září 2024.

(43)

Opatření stanovená tímto nařízením jsou v souladu se stanoviskem výboru zřízeného podle článku 39 směrnice (EU) 2022/2555,