(1)

So zvyšovaním miery prepojenia a vzájomnej závislosti orgánov verejnej správy členského štátu, podnikov a občanov bez ohľadu na hranice a odvetvia hospodárstva stúpa význam používania informačných a komunikačných technológií a závislosti od nich vo všetkých odvetviach hospodárskej činnosti a spoločnosti, pričom zároveň vznikajú nové zraniteľnosti.

(2)

Rozsah, frekvencia a dosah kybernetických bezpečnostných incidentov vrátane útokov na dodávateľský reťazec na účely kybernetickej špionáže, ransomware alebo narušenia sa v celej Únii, ako aj na globálnej úrovni, zvyšujú. Tieto incidenty predstavujú závažnú hrozbu pre fungovanie sietí a informačných systémov. Hrozba možných rozsiahlych kybernetických bezpečnostných incidentov, ktoré by mohli významne narušiť alebo poškodiť kritické infraštruktúry, si vzhľadom na rýchly vývoj situácie v oblasti hrozieb vyžaduje vyššiu mieru pripravenosti rámca kybernetickej bezpečnosti v Únii. Táto hrozba nevyplýva len z útočnej vojny Ruska proti Ukrajine a vzhľadom na veľký počet aktérov, ktorí sa podieľajú na aktuálnom geopolitickom napätí, môže pretrvávať. Takéto incidenty môžu zabraňovať poskytovaniu verejných služieb, keďže kybernetické útoky sú často zamerané na miestne, regionálne alebo vnútroštátne verejné služby a infraštruktúru, pričom miestne orgány sú obzvlášť zraniteľné, a to aj z dôvodu ich obmedzených zdrojov. Môžu taktiež zabraňovať realizácii hospodárskych činností v odvetviach s vysokou úrovňou kritickosti alebo v iných kritických odvetviach, spôsobovať značné finančné straty, narúšať dôveru používateľa, spôsobovať značné škody na hospodárstve a na demokratických systémoch Únie a dokonca by mohli mať zdravie alebo život ohrozujúce dôsledky. Kybernetické bezpečnostné incidenty sú navyše nepredvídateľné, keďže často vznikajú a vyvíjajú sa rýchlo, nie sú obmedzené na konkrétnu geografickú oblasť a vyskytujú sa súčasne v mnohých krajinách alebo sa v nich ihneď rozširujú. Je potrebná úzka spolupráca medzi verejným sektorom, súkromným sektorom, akademickou obcou, občianskou spoločnosťou a médiami.

(3)

Je nevyhnutné posilniť konkurenčné postavenie priemyslu a služieb v Únii v rámci celého digitálneho hospodárstva a podporiť ich digitálnu transformáciu, a to posilnením úrovne kybernetickej bezpečnosti na digitálnom jednotnom trhu podľa odporúčaní v troch rôznych návrhoch Konferencie o budúcnosti Európy. Je nevyhnutné zvýšiť odolnosť občanov, podnikov vrátane mikropodnikov, malých a stredných podnikov a startupov, a subjektov pôsobiacich v kritickej infraštruktúre voči rastúcim kybernetickým hrozbám, ktoré môžu mať zničujúci spoločenský a hospodársky dôsledok. Sú preto potrebné investície do infraštruktúry a služieb a do budovania spôsobilostí na rozvíjanie zručností v oblasti kybernetickej bezpečnosti, ktorými sa podporí rýchlejšie odhaľovanie kybernetických hrozieb a incidentov a rýchlejšia reakcia na ne. Členské štáty okrem toho potrebujú pomoc, aby sa mohli lepšie pripraviť na významné kybernetické bezpečnostné incidenty a rozsiahle kybernetické bezpečnostné incidenty a dokázali na ne lepšie reagovať, ako aj pomoc pri počiatočnom zotavení sa z nich. Stavajúc na existujúcich štruktúrach a v úzkej spolupráci s nimi by Únia by takisto mala zvýšiť svoje kapacity v týchto oblastiach, najmä pokiaľ ide o zber a analýzu údajov o kybernetických hrozbách a incidentoch.

(4)

Únia už prijala niekoľko opatrení na zníženie zraniteľnosti a zvýšenie odolnosti kritickej infraštruktúry a subjektov voči rizikám, najmä nariadenie Európskeho parlamentu a Rady (EÚ) 2019/881 (5), smernice Európskeho parlamentu a Rady 2013/40/EÚ (6) a (EÚ) 2022/2555 (7) a odporúčanie Komisie (EÚ) 2017/1584 (8). Okrem toho sa v odporúčaní Rady z 8. decembra 2022 o celoúniovom koordinovanom prístupe k posilneniu odolnosti kritickej infraštruktúry členské štáty vyzývajú, aby prijali opatrenia a spolupracovali medzi sebou, s Komisiou a inými príslušnými verejnými orgánmi, ako aj dotknutými subjektmi, a zvýšili tak odolnosť kritickej infraštruktúry, ktorá sa využíva pri poskytovaní základných služieb na vnútornom trhu.

(5)

Čoraz väčšie kybernetickobezpečnostné riziká a celkové prostredie komplexných hrozieb s jasným rizikom rýchleho presahu incidentov z jedného členského štátu do iných členských štátov a z tretej krajiny do Únie si v záujme lepšieho odhaľovania kybernetických hrozieb a incidentov, prípravy, reakcie na ne a zotavenia sa z nich vyžadujú posilnenie solidarity na úrovni Únie, najmä posilnením spôsobilostí existujúcich štruktúr. Okrem toho sa v záveroch Rady z 23. mája 2022 o vývoji prístupu Európskej Únie ku kybernetickej bezpečnosti vyzvala Komisia, aby predložila návrh nového Fondu pre reakcie na núdzové situácie v oblasti kybernetickej bezpečnosti.

(6)

V spoločnom oznámení Komisie a vysokého predstaviteľa Únie pre zahraničné veci a bezpečnostnú politiku z 10. novembra 2022 Európskemu parlamentu a Rade o politike EÚ v oblasti kybernetickej obrany bola oznámená iniciatíva na podporu kybernetickej solidarity EÚ s cieľmi posilniť spoločné spôsobilosti EÚ týkajúce sa odhaľovania, situačnej informovanosti a reakcie presadzovaním zavádzania infraštruktúry centier bezpečnostných operácií v EÚ, podporovať postupné vybudovanie rezervy EÚ na účely kybernetickej bezpečnosti so službami od dôveryhodných súkromných poskytovateľov a podporovať testovanie možných zraniteľností kritických subjektov na základe posúdení rizika na úrovni EÚ.

(7)

Je nevyhnutné posilniť odhaľovanie kybernetických hrozieb a incidentov a situačnú informovanosť o nich v celej Únii a posilniť solidaritu zvýšením pripravenosti a spôsobilostí členských štátov a Únie predchádzať významným kybernetickým bezpečnostným incidentom a rozsiahlym kybernetickým bezpečnostným incidentom a reagovať na ne. Mala by sa preto zriadiť celoeurópska sieť kybernetických centier (ďalej len „európsky systém varovania pred kybernetickobezpečnostnými hrozbami“) s cieľom vybudovať koordinované spôsobilosti týkajúce sa odhaľovania a situačnej informovanosti, posilniť spôsobilosti Únie v oblasti odhaľovania hrozieb a zdieľania informácií; mal by sa zriadiť mechanizmus na riešenie kybernetickobezpečnostných núdzových situácií s cieľom podporiť členské štáty na ich žiadosť pri príprave na významné kybernetické bezpečnostné incidenty a rozsiahle kybernetické bezpečnostné incidenty, pri reakcii na ne, zmierňovaní ich vplyvu a pri začatí zotavenia sa po nich a podporovať ostatných používateľov pri reakcii na významné kybernetické bezpečnostné incidenty a rozsiahle rovnocenné kybernetické bezpečnostné incidenty; a mal by sa zriadiť európsky mechanizmus preskúmania kybernetických bezpečnostných incidentov s cieľom preskúmať a posúdiť konkrétne významné kybernetické bezpečnostné incidenty alebo rozsiahle kybernetické bezpečnostné incidenty. Opatrenia prijaté podľa tohto nariadenia by sa mali vykonávať s náležitým ohľadom na právomoci členských štátov a mali by dopĺňať, a nie duplikovať činnosti vykonávané sieťou jednotiek CSIRT, Európskou sieťou styčných organizácií pre kybernetické krízy (ďalej len „sieť EU-CyCLONe“) alebo skupinou pre spoluprácu (ďalej „skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti“), ktoré boli všetky zriadené podľa smernice (EÚ) 2022/2555. Týmito opatreniami nie sú dotknuté články 107 a 108 Zmluvy o fungovaní Európskej únie (ďalej len „ZFEÚ“).

(8)

Na dosiahnutie týchto cieľov je nevyhnutné v určitých oblastiach zmeniť nariadenie Európskeho parlamentu a Rady (EÚ) 2021/694 (9). Nariadenie (EÚ) 2021/694 malo týmto nariadením zmeniť najmä v súvislosti s doplnením nových operačných cieľov týkajúcich sa európskeho systému varovania pred kybernetickobezpečnostnými hrozbami a mechanizmu na riešenie kybernetických núdzových situácií v rámci špecifického cieľa 3 programu Digitálna Európa, ktorý je zameraný na zaručenie odolnosti, integrity a dôveryhodnosti digitálneho jednotného trhu, na posilnenie kapacít na monitorovanie kybernetických útokov a hrozieb a reakcie na ne a na posilnenie cezhraničnej spolupráce a koordinácie v oblasti kybernetickej bezpečnosti. Európsky systém varovania pred kybernetickobezpečnostnými hrozbami by mohol zohrávať dôležitú úlohu pri podpore členských štátov pri predvídaní kybernetických hrozieb a ochrane pred nimi, pričom rezerva EÚ na účely kybernetickej bezpečnosti by mohla zohrávať dôležitú úlohu pri podpore členských štátov, inštitúcií, orgánov, úradov a agentúr Únie a tretích krajín pridružených k programu Digitálna Európa pri reagovaní na významné kybernetické bezpečnostné incidenty, rozsiahle kybernetické bezpečnostné incidenty a rozsiahle rovnocenné kybernetické bezpečnostné incidenty a ich zmierňovaní. Tento vplyv by mohol zahŕňať značnú majetkovú alebo nemajetkovú ujmu a vážne riziká v oblasti verejnej bezpečnosti a ochrany. Vzhľadom na osobitné úlohy, ktoré by mohol zohrávať európsky systém varovania pred kybernetickobezpečnostnými hrozbami a rezerva EÚ na účely kybernetickej bezpečnosti, by sa týmto nariadením malo zmeniť nariadenie (EÚ) 2021/694, pokiaľ ide o účasť právnych subjektov, ktoré sú usadené v Únii, ale sú kontrolované z tretích krajín, keď existuje reálne riziko, že v Únii nie sú k dispozícii potrebné a dostatočné nástroje, infraštruktúra a služby alebo technológia, odborné znalosti a kapacity, a prínosy zapojenia takýchto subjektov prevyšujú bezpečnostné riziko. Mali by sa stanoviť osobitné podmienky za ktorých možno prideliť finančnú podporu opatreniam, ktorými sa vykonáva európsky systém varovania pred kybernetickobezpečnostnými hrozbami a rezerva EÚ na účely kybernetickej bezpečnosti, a mali by sa stanoviť mechanizmy riadenia a koordinácie potrebné na dosiahnutie zamýšľaných cieľov. Medzi ďalšie zmeny nariadenia (EÚ) 2021/694 by mal patriť opis navrhovaných opatrení v rámci nových operačných cieľov, ako aj merateľné ukazovatele na monitorovanie vykonávania týchto nových operačných cieľov.

(9)

Na posilnenie reakcie Únie na kybernetické hrozby a incidenty je kľúčové koordinovať s medzinárodnými inštitúciami, ako aj s dôveryhodnými, podobne zmýšľajúcimi medzinárodnými partnermi. V tejto súvislosti by sa pod dôveryhodnými, podobne zmýšľajúcimi medzinárodnými partnermi mali rozumieť krajiny, ktoré majú spoločné zásady, ktoré inšpirovali vznik Únie, a to demokraciu, právny štát, univerzálnosť a nedeliteľnosť ľudských práv a základných slobôd, rešpektovanie ľudskej dôstojnosti, zásady rovnosti a solidarity a dodržiavanie zásad Charty Organizácie Spojených národov a medzinárodného práva, a ktoré neoslabujú základné bezpečnostné záujmy Únie alebo jej členských štátov. Takáto spolupráca by mohla byť prospešná aj pokiaľ ide o opatrenia prijaté podľa tohto nariadenia, najmä pokiaľ ide o európsky systém varovania pred kybernetickobezpečnostnými hrozbami a rezervu EÚ na účely kybernetickej bezpečnosti. V nariadení (EÚ) 2021/694 by sa za určitých podmienok dostupnosti a bezpečnosti malo stanoviť, že verejné súťaže pre európsky systém varovania pred kybernetickobezpečnostnými hrozbami a rezervu EÚ na účely kybernetickej bezpečnosti budú otvorené pre právne subjekty kontrolované z tretích krajín, pričom by podliehali bezpečnostným požiadavkám. Pri posudzovaní bezpečnostného rizika takéhoto otvorenia obstarávania je dôležité zohľadniť zásady a hodnoty, ktoré Únia zdieľa s podobne zmýšľajúcimi medzinárodnými partnermi, ak sa tieto zásady a hodnoty týkajú základných bezpečnostných záujmov Únie. Okrem toho, ak sa takéto bezpečnostné požiadavky posudzujú podľa nariadenia (EÚ) 2021/694, mohlo by sa zohľadniť niekoľko prvkov, ako je podniková štruktúra a rozhodovací proces subjektu, bezpečnosť údajov a utajovaných alebo citlivých informácií a zabezpečenie toho, aby výsledky opatrenia nepodliehali kontrole alebo obmedzeniam zo strany neoprávnených tretích krajín.

(10)

Financovanie opatrení v rámci tohto nariadenia by sa malo stanoviť v nariadení (EÚ) 2021/694, ktoré by malo zostať príslušným základným aktom pre tieto opatrenia zakotvené v špecifickom cieli 3 programu Digitálna Európa. Osobitné podmienky účasti týkajúce sa každého opatrenia sa majú stanoviť v príslušných pracovných programoch v súlade s nariadením (EÚ) 2021/694.

(11)

Na toto nariadenie sa vzťahujú horizontálne rozpočtové pravidlá prijaté Európskym parlamentom a Radou na základe článku 322 ZFEÚ. Uvedené pravidlá sú stanovené v nariadení Európskeho parlamentu a Rady (EÚ, Euratom) 2024/2509 (10) a určujú najmä postup stanovovania a plnenia rozpočtu Únie a stanovujú kontroly zodpovednosti účastníkov finančných operácií. Pravidlá prijaté na základe článku 322 ZFEÚ zahŕňajú aj všeobecný režim podmienenosti na ochranu rozpočtu Únie, ako sa stanovuje v nariadení Európskeho parlamentu a Rady (EÚ, Euratom) 2020/2092 (11).

(12)

Hoci opatrenia v oblasti prevencie a pripravenosti sú nevyhnutné na zvýšenie odolnosti Únie pri riešení významných kybernetických bezpečnostných incidentov, rozsiahlych kybernetických bezpečnostných incidentov a rozsiahlych rovnocenných kybernetických bezpečnostných incidentov, výskyt, načasovanie a rozsah takýchto incidentov sú svojou povahou nepredvídateľné. Finančné zdroje potrebné na zabezpečenie primeranej reakcie sa môžu z roka na rok výrazne líšiť a mali by byť okamžite k dispozícii. Zosúladenie rozpočtovej zásady predvídateľnosti s nutnosťou rýchlej reakcie na nové potreby preto vyžaduje prispôsobiť finančné vykonávanie pracovných programov. Je teda vhodné povoliť prenos nepoužitých rozpočtových prostriedkov, ale len do nasledujúceho roka a len na kybernetickobezpečnostnú rezervu EÚ a na opatrenia podporujúce vzájomnú pomoc, a to navyše k prenosu rozpočtových prostriedkov schválených podľa článku 12 ods. 4 nariadenia (EÚ, Euratom) 2024/2509.

(13)

S cieľom účinnejšie predchádzať kybernetickým hrozbám a incidentom, posudzovať ich, reagovať na ne a zotaviť sa z nich sa musia vybudovať komplexnejšie znalosti o hrozbách pre kritické aktíva a infraštruktúru na území Únie vrátane ich geografického rozloženia, vzájomného prepojenia a potenciálnych účinkov v prípade kybernetických útokov, ktoré by zasiahli túto infraštruktúru. Proaktívny prístup k identifikácii, zmierňovaniu a prevencii kybernetických hrozieb zahŕňa zvýšenú kapacitu pokročilých spôsobilostí odhaľovania. Európsky systém varovania pred kybernetickobezpečnostnými hrozbami by mal pozostávať z niekoľkých spolupracujúcich cezhraničných kybernetických centier, z ktorých každé zoskupuje tri alebo viac národných kybernetických centier. Táto infraštruktúra by mala slúžiť záujmom a potrebám v oblasti kybernetickej bezpečnosti na vnútroštátnej úrovni a na úrovni Únie, pričom by mala využívať najmodernejšie technológie pokročilého zberu relevantných údajov a informácií, vo vhodných prípadoch anonymizovaných, a analytické nástroje, čím by sa zlepšili koordinované spôsobilosti týkajúce sa odhaľovania a zvládania kybernetických hrozieb a poskytovanie situačnej informovanosti v reálnom čase. Táto infraštruktúra by mala slúžiť na zlepšenie prístupu ku kybernetickej bezpečnosti zvýšením odhaľovania, agregácie a analýzy údajov a informácií s cieľom predchádzať kybernetickým hrozbám a incidentov, a tak dopĺňať a podporovať subjekty a siete Únie zodpovedné za riadenie kybernetických kríz v Únii, najmä sieť EU-CyCLONe.

(14)

Účasť na európskom systéme varovania pred kybernetickobezpečnostnými hrozbami je pre členské štáty dobrovoľná. Každý členský štát by mal na vnútroštátnej úrovni určiť jeden subjekt poverený v danom členskom štáte koordináciou činností v oblasti odhaľovania kybernetických hrozieb. Tieto národné kybernetické centrá by mali fungovať ako referenčné miesto a brána na vnútroštátnej úrovni, pokiaľ ide o účasť na európskom systéme varovania pred kybernetickobezpečnostnými hrozbami a mali by zabezpečiť, aby sa informácie o kybernetických hrozbách od verejných a súkromných subjektov zdieľali a zhromažďovali na vnútroštátnej úrovni účinným a efektívnym spôsobom. Národné kybernetické centrá by mohli posilniť spoluprácu a zdieľanie informácií medzi verejnými a súkromnými subjektmi a mohli by podporovať aj výmenu relevantných údajov a informácií s príslušnými odvetvovými a medziodvetvovými komunitami vrátane príslušných odvetvových stredísk pre výmenu a analýzu informácií (ďalej len „ISAC“). Úzka a koordinovaná spolupráca medzi verejnými a súkromnými subjektmi má zásadný význam pre posilnenie kybernetickej odolnosti Únie. Takáto spolupráca je obzvlášť cenná v kontexte zdieľania spravodajských informácií o kybernetických hrozbách s cieľom zlepšiť aktívnu kybernetickú ochranu. V rámci takejto spolupráce a zdieľania informácií by národné kybernetické centrá mohli žiadať a prijímať konkrétne informácie. Tieto národné kybernetické centrá nie sú podľa tohto nariadenia povinné ani oprávnené presadzovať takéto žiadosti. Vo vhodných prípadoch a v súlade s právom Únie a vnútroštátnym právom by vyžiadané alebo prijaté informácie mohli zahŕňať údaje z telemetrie, senzorov a logovania od subjektov, ako sú napríklad poskytovatelia riadených bezpečnostných služieb, ktorí pôsobia v odvetviach s vysokou úrovňou kritickosti alebo v iných kritických odvetviach v danom členskom štáte, s cieľom zlepšiť rýchle odhaľovanie potenciálnych kybernetických hrozieb a incidentov v skoršom štádiu, čím sa zlepší situačná informovanosť. Ak národné kybernetické centrum nie je príslušným orgánom určeným alebo zriadeným príslušným členským štátom podľa článku 8 ods. 1 smernice (EÚ) 2022/2555, je nevyhnutné, aby s týmto príslušným orgánom koordinovalo žiadosti o takéto údaje a ich prijímanie.

(15)

V rámci európskeho systému varovania pred kybernetickobezpečnostnými hrozbami by sa malo zriadiť niekoľko cezhraničných kybernetických centier. Tieto cezhraničné kybernetické centrá by mali združovať vnútroštátne kybernetické centrá aspoň z troch členských štátov s cieľom zabezpečiť, aby bolo možné v plnej miere dosiahnuť prínos z cezhraničného odhaľovania hrozieb a zdieľania a riadenia informácií. Všeobecným cieľom cezhraničných kybernetických centier by malo byť posilnenie kapacít týkajúcich sa analýzy kybernetických hrozieb, predchádzania týmto hrozbám a ich odhaľovania a podpora získavania kvalitných spravodajských informácií o kybernetických hrozbách, najmä prostredníctvom zdieľania relevantných informácií, vo vhodných prípadoch anonymizovaných, v dôveryhodnom a bezpečnom prostredí, z rozličných zdrojov, verejných či súkromných, ako aj prostredníctvom zdieľania a spoločného využívania najmodernejších nástrojov a spoločného rozvoja spôsobilostí týkajúcich sa odhaľovania, analýzy a prevencie v dôveryhodnom a bezpečnom prostredí. Cezhraničné kybernetické centrá by mali vytvárať nové dodatočné kapacity, ktoré by vychádzali z existujúcich centier bezpečnostných operácií, jednotiek CSIRT a iných príslušných aktérov vrátane siete CSIRT a dopĺňali ich.

(16)

Členský štát vybraný Európskym centrom priemyselných, technologických a výskumných kompetencií v oblasti kybernetickej bezpečnosti (ďalej len „ECCC“) zriadeným nariadením Európskeho parlamentu a Rady (EÚ) 2021/887 (12) na základe výzvy na vyjadrenie záujmu na zriadenie alebo posilnenie spôsobilostí národného kybernetického centra by mal spoločne s centrom ECCC nakúpiť príslušné nástroje, infraštruktúru a služby. Takýto členský štát by mal byť oprávnený získať grant na prevádzku nástrojov, infraštruktúry alebo služieb. Hostiteľské konzorcium pozostávajúce najmenej z troch členských štátov, ktoré bolo vybrané centrom ECCC na základe výzvy na vyjadrenie záujmu na zriadenie alebo posilnenie spôsobilostí cezhraničného kybernetického centra, by malo nakupovať príslušné nástroje, infraštruktúru alebo služby spoločne s centrom ECCC. Hostiteľské konzorcium by malo byť oprávnené získať grant na prevádzku nástrojov, infraštruktúry alebo služieb. Postup verejného obstarávania na nákup príslušných nástrojov, infraštruktúry alebo služieb by mali spoločne vykonávať centrum ECCC a príslušní verejní obstarávatelia z členských štátov vybraní na základe takýchto výziev na vyjadrenie záujmu. Takéto obstarávanie by malo byť v súlade s článkom 168 ods. 2 nariadenia (EÚ, Euratom) 2024/2509 a rozpočtovými pravidlami centra ECCC. Súkromné subjekty by preto nemali byť oprávnené zúčastňovať sa na výzvach na vyjadrenie záujmu o nákup nástrojov, infraštruktúry alebo služieb spolu s centrom ECCC, ani na získanie grantov na prevádzku týchto nástrojov, infraštruktúry alebo služieb. Členské štáty by však mali mať možnosť zapojiť súkromné subjekty do zriaďovania, zlepšovania a prevádzky svojich národných kybernetických centier a cezhraničných kybernetických centier inými spôsobmi, ktoré považujú za vhodné, v súlade s právom Únie a vnútroštátnym právom. Súkromné subjekty by mohli byť oprávnené aj na získanie finančných prostriedkov Únie podľa nariadenia (EÚ) 2021/887 na účely poskytovania podpory národným kybernetickým centrám.

(17)

S cieľom zlepšiť odhaľovanie kybernetických hrozieb a situačnú informovanosť v Únii by sa členský štát, ktorý je na základe výzvy na vyjadrenie záujmu vybraný na zriadenie alebo posilnenie spôsobilosti národného kybernetického centra, mal zaviazať, že požiada o účasť na cezhraničnom kybernetickom centre. Ak členský štát nie je účastníkom cezhraničného kybernetického centra do dvoch rokov odo dňa nadobudnutia nástrojov, infraštruktúry alebo služieb alebo od dátumu, keď dostane grantové financovanie, podľa toho, čo nastane skôr, nemal by byť oprávnený zúčastňovať sa na ďalších podporných opatreniach Únie v rámci Európskeho systému varovania v oblasti kybernetickej bezpečnosti na posilnenie spôsobilostí svojho národného kybernetického centra. V takýchto prípadoch by sa subjekty z členských štátov mohli stále zúčastniť na výzvach na predkladanie návrhov týkajúcich sa iných tém v rámci programu Digitálna Európa alebo iných programov financovania Únie vrátane výziev na kapacity na odhaľovanie kybernetických hrozieb a na zdieľanie informácií za predpokladu, že tieto subjekty spĺňajú kritériá oprávnenosti stanovené v uvedených programoch.

(18)

Jednotky CSIRT si v súlade so smernicou (EÚ) 2022/2555 vymieňajú informácie v rámci siete jednotiek CSIRT. Európsky systém varovania pred kybernetickobezpečnostnými hrozbami by mal predstavovať novú spôsobilosť, ktorá bude dopĺňať sieť jednotiek CSIRT tým, že prispeje k budovaniu situačnej informovanosti Únie, ktorá umožní posilnenie spôsobilostí siete jednotiek CSIRT. Cezhraničné kybernetické centrá by mali koordinovať a úzko spolupracovať so sieťou jednotiek CSIRT. Mali by fungovať združovaním údajov a zdieľaním relevantných informácií, vo vhodných prípadoch anonymizovaných, o kybernetických hrozbách od verejných a súkromných subjektov, zvyšovať hodnotu takýchto údajov a informácií prostredníctvom odborných analýz, spoločne nadobudnutej infraštruktúry a najmodernejších nástrojov a prispievaním k technologickej suverenite Únie, jej otvorenej strategickej autonómii, konkurencieschopnosti a odolnosti a k rozvoju spôsobilostí Únie.

(19)

Cezhraničné kybernetické centrá by mali fungovať ako ústredné kontaktné miesta umožňujúce rozsiahle zhromažďovanie relevantných údajov a spravodajských informácií o kybernetických hrozbách a umožňovať rozširovanie informácií o hrozbách rozsiahlemu a rozmanitému súboru zúčastnených strán, ako napríklad tímom reakcie na núdzové počítačové situácie (CERT), jednotkám CSIRT, strediskám ISAC a prevádzkovateľom kritických infraštruktúr. Členovia hostiteľského konzorcia by mali v dohode o konzorciu špecifikovať relevantné informácie, ktoré sa majú zdieľať medzi účastníkmi dotknutého cezhraničného kybernetického centra. Medzi informácie, ktoré sú predmetom výmeny medzi účastníkmi cezhraničného kybernetického centra, by mohli patriť napríklad údaje zo sietí a senzorov, informačné kanály pre spravodajské informácie o hrozbách, indikátory ohrozenia a kontextualizované informácie o incidentoch, kybernetických hrozbách, udalostiach odvrátených v poslednej chvíli, zraniteľnostiach, technikách a postupoch, nepriateľských taktikách, informácie špecifické pre jednotlivých aktérov hrozieb, kybernetickobezpečnostné varovania a odporúčania týkajúce sa konfigurácie nástrojov kybernetickej bezpečnosti na odhaľovanie kybernetických útokov. Navyše by cezhraničné kybernetické centrá mali medzi sebou takisto uzatvárať dohody o spolupráci. V takýchto dohodách o spolupráci by sa mali špecifikovať najmä zásady zdieľania informácií a interoperabilita. Ich ustanovenia týkajúce sa interoperability, najmä formátov a protokolov na zdieľanie informácií, by sa mali riadiť usmerneniami pre interoperabilitu vydanými Agentúrou Európskej únie pre kybernetickú bezpečnosť zriadenou nariadením (EÚ) 2019/881 (ďalej len „ENISA“) a preto by mali byť aj ich východiskovým bodom. Tieto usmernenia by sa mali vydať rýchlo, aby sa zabezpečilo, že cezhraničné kybernetické centrá ich budú môcť zohľadniť v počiatočnom štádiu. Mali by zohľadňovať medzinárodné normy a najlepšie postupy a fungovanie všetkých zriadených cezhraničných kybernetických centier.

(20)

Cezhraničné kybernetické centrá a sieť jednotiek CSIRT by mali úzko spolupracovať s cieľom zabezpečiť synergie a komplementárnosť činností. Na tento účel by sa mali dohodnúť na procedurálnych dojednaniach týkajúcich sa spolupráce a zdieľania relevantných informácií. Mohlo by to zahŕňať zdieľanie relevantných informácií o kybernetických hrozbách a významných kybernetických bezpečnostných incidentoch a zabezpečenie toho, aby sa so sieťou jednotiek CSIRT zdieľali skúsenosti s najmodernejšími nástrojmi, najmä s umelou inteligenciou a technológiou analýzy údajov, ktoré sa používajú v rámci cezhraničných kybernetických centier.

(21)

Spoločná situačná informovanosť relevantných orgánov je nevyhnutnou podmienkou pripravenosti a koordinácie celej Únie, pokiaľ ide o významné kybernetické bezpečnostné incidenty a rozsiahle kybernetické incidenty. Smernicou (EÚ) 2022/2555 sa zriadila sieť EU-CyCLONe s cieľom podporiť koordinované riadenie rozsiahlych kybernetických bezpečnostných incidentov a kríz na operačnej úrovni a zabezpečiť pravidelnú výmenu relevantných informácií medzi členskými štátmi a inštitúciami, orgánmi, úradmi a agentúrami Únie. Smernicou (EÚ) 2022/2555 sa taktiež zriadila sieť CSIRT, ktorá by mala podporovať rýchlu a účinnú operačnú spoluprácu medzi členskými štátmi. Na zabezpečenie situačnej informovanosti a posilnenie solidarity, v situáciách, keď cezhraničné kybernetické centrá získajú informácie týkajúce sa potenciálneho alebo prebiehajúceho rozsiahleho kybernetického bezpečnostného incidentu, by mali poskytnúť relevantné informácie sieti CSIRT a ako včasné varovanie informovať sieť EU-CyCLONe. V závislosti od situácie by medzi informácie určené na zdieľanie mohli patriť najmä technické informácie, informácie o povahe a motívoch útočníka alebo potenciálneho útočníka a netechnické informácie vyššej úrovne o potenciálnom alebo prebiehajúcom rozsiahlom kybernetickom bezpečnostnom incidente. V tejto súvislosti by sa mala náležitá pozornosť venovať zásade potreby poznať a potenciálne citlivej povahe zdieľaných informácií. V smernici (EÚ) 2022/2555 sa tiež opätovne potvrdzujú zodpovednosti Komisie v rámci mechanizmu Únie v oblasti civilnej ochrany zriadeného rozhodnutím Európskeho parlamentu a Rady č. 1313/2013/EÚ (13), a jej zodpovednosť za poskytovanie analytických správ týkajúcich sa dojednaní EÚ o integrovanej politickej reakcii na krízu (ďalej len „dojednania IPRK“) podľa vykonávacieho rozhodnutia (EÚ) 2018/1993 (14). Ak cezhraničné kybernetické centrá zdieľajú relevantné informácie a včasné varovania týkajúce sa potenciálneho alebo prebiehajúceho rozsiahleho kybernetického bezpečnostného incidentu so sieťou EU-CyCLONe a sieťou CSIRT, je nevyhnutné, aby sa tieto informácie zdieľali prostredníctvom týchto sietí s orgánmi členských štátov, ako aj s Komisiou. V tejto súvislosti sa v smernici (EÚ) 2022/2555 stanovuje, že účelom siete EU-CyCLONe je podporiť koordinované riadenie rozsiahlych kybernetických bezpečnostných incidentov a kríz na operačnej úrovni a zabezpečiť pravidelnú výmenu relevantných informácií medzi členskými štátmi a inštitúciami, orgánmi, úradmi a agentúrami Únie. Medzi úlohy siete EU-CyCLONe patrí rozvíjanie spoločnej situačnej informovanosti o takýchto incidentoch a krízach. Je mimoriadne dôležité, aby sieť EU-CyCLONe v súlade s týmto účelom a so svojimi úlohami zabezpečila, aby sa takéto informácie bezodkladne poskytli príslušným zástupcom členských štátov a Komisii. Na tento účel je veľmi dôležité, aby rokovací poriadok siete EU-CyCLONe obsahoval primerané ustanovenia.

(22)

Subjekty zúčastňujúce sa na európskom systéme varovania pred kybernetickobezpečnostnými hrozbami by mali zabezpečiť vysokú úroveň interoperability medzi sebou, a to vo vhodných prípadoch aj v súvislosti s formátmi údajov, taxonómiou, nástrojmi na spracovanie a analýzu údajov. Mali by tiež zabezpečiť bezpečné komunikačné kanály, minimálnu úroveň bezpečnosti aplikačnej vrstvy, prehľad situačnej informovanosti a ukazovatele. Pri prijímaní spoločnej taxonómie a vypracovaní vzorov situačných správ, ktoré slúžia na opis príčin odhalených kybernetických hrozieb a rizík, by sa mala zohľadniť existujúca práca v kontexte vykonávania smernice (EÚ) 2022/2555.

(23)

S cieľom umožniť výmenu podstatných údajov a informácií o kybernetických hrozbách z rôznych zdrojov, v širokom meradle a v dôveryhodnom a bezpečnom prostredí by subjekty zúčastnené na európskom systéme varovania pred kybernetickobezpečnostnými hrozbami mali byť vybavené najmodernejšími a mimoriadne bezpečnými nástrojmi, vybavením a infraštruktúrou a kvalifikovanými pracovníkmi. To by malo umožniť zlepšenie kapacít kolektívneho odhaľovania a včasného varovania pre orgány a príslušné subjekty, predovšetkým prostredníctvom používania najnovších technológií umelej inteligencie a analýzy údajov.

(24)

Vďaka zberu, analýze, zdieľaniu a výmene relevantných údajov a informácií by európsky systém varovania pred kybernetickobezpečnostnými hrozbami mal posilniť technologickú suverenitu a otvorenú strategickú autonómiu v oblasti kybernetickej bezpečnosti, konkurencieschopnosť a odolnosť Únie. Zhromažďovanie vybratých údajov vysokej kvality by mohlo takisto prispieť k rozvoju vyspelých technológií umelej inteligencie a analýzy údajov. Na zhromažďovanie vysokokvalitných údajov je naďalej nevyhnutný ľudský dohľad, a teda kvalifikovaná pracovná sila.

(25)

Hoci je európsky systém varovania pred kybernetickobezpečnostnými hrozbami civilný projekt, komunita kybernetickej obrany by mohla ťažiť zo silnejších civilných spôsobilostí týkajúcich sa odhaľovania a situačnej informovanosti vyvinutých na ochranu kritickej infraštruktúry.

(26)

Zdieľanie informácií medzi účastníkmi európskeho systému varovania pred kybernetickobezpečnostnými hrozbami by mala prebiehať v súlade s existujúcimi právnymi požiadavkami, a najmä s právom Únie a vnútroštátnym právom v oblasti ochrany údajov, ako aj s pravidlami Únie v oblasti hospodárskej súťaže, ktorými sa riadi výmena informácií. Pokiaľ je nevyhnutne potrebné spracúvanie osobných údajov, príjemca informácií by mal zaviesť technické a organizačné opatrenia, ktorými sa zaručia práva a slobody dotknutých osôb, a údaje by mal zničiť hneď, keď už nie sú potrebné na uvedený účel, a o ich zničení by mal informovať subjekt, ktorý údaje sprístupnil.

(27)

Zachovanie dôvernosti a informačnej bezpečnosti je mimoriadne dôležité pre všetky tri piliere tohto nariadenia, či už na podnecovanie zdieľania alebo výmeny informácií v kontexte európskeho systému varovania pred kybernetickobezpečnostnými hrozbami, ochranu záujmov subjektov žiadajúcich o podporu v rámci mechanizmu na riešenie kybernetickobezpečnostných núdzových situácií alebo na zabezpečenie toho, aby správy v rámci európskeho mechanizmu preskúmania kybernetických bezpečnostných incidentov mohli priniesť užitočné ponaučenia bez toho, aby to malo negatívny vplyv na subjekty postihnuté incidentmi. Účasť členských štátov a subjektov na týchto mechanizmoch závisí od vzťahu dôvery medzi ich zložkami. Ak sú informácie dôverné podľa pravidiel Únie alebo vnútroštátnych predpisov, ich zdieľanie alebo výmena podľa tohto nariadenia by sa mala obmedziť na tie, ktoré sú relevantné a primerané účelu zdieľania alebo výmeny. Uvedeným zdieľaním alebo výmenou by sa mala tiež zachovať dôvernosť uvedených informácií vrátane ochrany bezpečnostných a obchodných záujmov dotknutých subjektov. Zdieľanie alebo výmena informácií podľa tohto nariadenia by sa mohli uskutočňovať prostredníctvom dohôd o nezverejňovaní informácií alebo usmernení o distribúcii informácií, ako je semaforový protokol (Traffic Light Protocol – TLP). Semaforový protokol sa má chápať ako prostriedok na poskytovanie informácií o akýchkoľvek obmedzeniach, pokiaľ ide o ďalšie šírenie informácií. Používa sa takmer vo všetkých jednotkách CSIRT a v niektorých strediskách ISAC. Okrem týchto všeobecných požiadaviek, pokiaľ ide o európsky systém varovania pred kybernetickobezpečnostnými hrozbami, by sa v dohodách o hostiteľských konzorciách mali stanoviť osobitné pravidlá týkajúce sa podmienok zdieľania informácií v rámci dotknutého cezhraničného kybernetického centra. V týchto dohodách by sa mohlo najmä vyžadovať, aby sa informácie zdieľali len v súlade s právom Únie a vnútroštátnym právom.

(28)

Pokiaľ ide o zavedenie rezervy EÚ na účely kybernetickej bezpečnosti, sú potrebné osobitné pravidlá dôvernosti. O podporu sa bude žiadať, bude sa posudzovať a poskytovať v kontexte krízy a vo vzťahu k subjektom pôsobiacim v citlivých odvetviach. Na účinné fungovanie rezervy EÚ na účely kybernetickej bezpečnosti je nevyhnutné, aby používatelia a subjekty mohli bezodkladne zdieľať všetky informácie, ktoré každý subjekt potrebuje na to, aby zohrával svoju úlohu pri posudzovaní žiadostí a zavádzaní podpory, a aby k nim mohli bezodkladne poskytnúť prístup. V tomto nariadení by sa preto malo stanoviť, že všetky takéto informácie sa používajú alebo zdieľajú len vtedy, ak je to potrebné na fungovanie rezervy EÚ na účely kybernetickej bezpečnosti, a že informácie, ktoré sú dôverné alebo utajované podľa práva Únie alebo vnútroštátneho práva, by sa mali používať a zdieľať len v súlade s uvedeným právom. Okrem toho by používatelia mali mať možnosť vo vhodných prípadoch používať protokoly na zdieľanie informácií, ako napríklad semaforový protokol, na ďalšie spresnenie obmedzení. Hoci používatelia majú v tejto súvislosti diskrečnú právomoc, je dôležité, aby pri uplatňovaní takýchto obmedzení zohľadnili možné dôsledky, najmä pokiaľ ide o oneskorené posúdenie alebo poskytnutie požadovaných služieb. V záujme efektívnej rezervy EÚ na účely kybernetickej bezpečnosti je dôležité, aby verejný obstarávateľ objasnil tieto dôsledky používateľovi pred podaním žiadosti. Tieto záruky sa obmedzujú na žiadosť a poskytovanie služieb rezervy EÚ na účely kybernetickej bezpečnosti a nemajú vplyv na výmenu informácií v iných kontextoch, napríklad pri obstarávaní rezervy EÚ na účely kybernetickej bezpečnosti.

(29)

So zreteľom na zvyšujúce sa riziká a čoraz väčší počet incidentov postihujúcich členské štáty je nevyhnutné zriadiť nástroj krízovej podpory, a to mechanizmus na riešenie kybernetickobezpečnostných núdzových situácií, s cieľom zlepšiť odolnosť Únie voči významným kybernetickým bezpečnostným incidentom, rozsiahlym kybernetickým bezpečnostným incidentom a rozsiahlym rovnocenným kybernetickým bezpečnostným incidentom a doplniť opatrenia členských štátov prostredníctvom núdzovej finančnej podpory určenej na pripravenosť, reakciu na incidenty a počiatočné zotavenie sa základných služieb. Keďže úplné zotavenie sa z incidentu je komplexný proces obnovenia fungovania subjektu postihnutého incidentom do stavu pred incidentom a mohol by byť dlhým procesom, ktorý so sebou prinesie značné náklady, podpora z rezervy EÚ na účely kybernetickej bezpečnosti by sa mala obmedziť na počiatočnú fázu procesu obnovy, ktorá povedie k obnove základných funkcií systémov. Mechanizmus na riešenie kybernetickobezpečnostných núdzových situácií by mal umožňovať rýchle a efektívne nasadenie pomoci vo vymedzených situáciách a za jasných podmienok a mal by umožniť dôkladné monitorovanie a hodnotenie spôsobu využívania zdrojov. Zatiaľ čo primárnu zodpovednosť za predchádzanie incidentom a krízam, za prípravu a reakciu na ne majú členské štáty, mechanizmus na riešenie kybernetickobezpečnostných núdzových situácií podporuje solidaritu medzi členskými štátmi v súlade s článkom 3 ods. 3 Zmluvy o Európskej únii (ďalej len „Zmluva o EÚ“).

(30)

Mechanizmus na riešenie kybernetickobezpečnostných núdzových situácií by mal poskytovať podporu členským štátom, ktorá bude dopĺňať ich vlastné opatrenia a zdroje a ďalšie existujúce možnosti podpory v prípade reakcie na významné kybernetické bezpečnostné incidenty, rozsiahle kybernetické bezpečnostné incidenty a rozsiahle rovnocenné kybernetické bezpečnostné incidenty a počiatočného zotavenia sa z nich, ako sú napríklad služby poskytované agentúrou ENISA v súlade s jej mandátom, koordinovaná reakcia a pomoc siete jednotiek CSIRT, podpora na zmierňovanie od siete EU-CyCLONe, ako aj vzájomná pomoc medzi členskými štátmi vrátane, v súvislosti s článkom 42 ods. 7 Zmluvy o EÚ a tímov rýchlej kybernetickej reakcie stálej štruktúrovanej spolupráce (PESCO) zriadenej podľa rozhodnutia Rady (SZBP) 2017/2315 (15). Mala by sa tým riešiť potreba zabezpečiť, aby na účely podpory pripravenosti, reakcie a zotavenia v prípade takýchto incidentov v celej Únii a v tretích krajinách pridružených k programu Digitálna Európa boli k dispozícii špecializované prostriedky.

(31)

Týmto nariadením nie sú dotknuté postupy a rámce na koordináciu reakcie na krízu na úrovni Únie, najmä smernica (EÚ) 2022/2555, mechanizmus Únie v oblasti civilnej ochrany zriadený rozhodnutím Európskeho parlamentu a Rady č. 1313/2013/EÚ (16), dojednania IPRK a odporúčanie Komisie (EÚ) 2017/1584 (17). Podporou poskytovanou z mechanizmu na riešenie kybernetickobezpečnostných núdzových situácií sa môže dopĺňať pomoc poskytnutá v kontexte spoločnej zahraničnej a bezpečnostnej politiky a spoločnej bezpečnostnej a obrannej politiky, a to aj prostredníctvom tímov rýchlej kybernetickej reakcie, s ohľadom na civilnú povahu mechanizmu na riešenie kybernetickobezpečnostných núdzových situácií. Podpora poskytovaná v rámci mechanizmu na riešenie kybernetickobezpečnostných núdzových situácií môže dopĺňať opatrenia vykonávané v kontexte článku 42 ods. 7 Zmluvy o EÚ vrátane pomoci, ktorú jeden členský štát poskytuje inému členskému štátu, alebo môže byť súčasťou spoločnej reakcie Únie a členských štátov alebo v situáciách uvedených v článku 222 ZFEÚ. Vykonávanie tohto nariadenia by sa malo vo vhodných prípadoch koordinovať s vykonávaním opatrení v rámci súboru nástrojov kybernetickej diplomacie.

(32)

Pomoc poskytovaná podľa tohto nariadenia by mala slúžiť na podporu opatrení, ktoré prijali členské štáty na vnútroštátnej úrovni, a mala by ich dopĺňať. Na tento účel treba zabezpečiť úzku spoluprácu a konzultácie medzi Komisiou, agentúrou ENISA, členskými štátmi, a v relevantných prípadoch centrom ECCC. Keď bude členský štát žiadať o podporu v rámci mechanizmu na riešenie kybernetickobezpečnostných núdzových situácií núdzových situácií v oblasti kybernetickej bezpečnosti, mal by poskytnúť relevantné informácie odôvodňujúce potrebu podpory.

(33)

Podľa smernice (EÚ) 2022/2555 musia členské štáty určiť alebo zriadiť aspoň jeden orgán pre riadenie kybernetických kríz a musia zabezpečiť, aby tieto orgány mali primerané zdroje na účinné a efektívne vykonávanie svojich úloh. Členské štáty podľa nej musia ďalej určiť spôsobilosti, aktíva a postupy, ktoré možno použiť v prípade krízy, a musia prijať národný plán reakcie na rozsiahle kybernetické bezpečnostné incidenty a krízy, v ktorom sa stanovia ciele a spôsoby riadenia rozsiahlych kybernetických bezpečnostných incidentov a kríz. Členské štáty takisto musia zriadiť jednu alebo viacero jednotiek CSIRT poverených zodpovednosťou za riešenie incidentov podľa presne stanoveného postupu, ktoré sa budú zaoberať prinajmenšom odvetviami, pododvetviami a druhmi subjektov, ktoré patria do rozsahu pôsobnosti uvedenej smernice, a musia zabezpečiť, aby tieto jednotky mali primerané zdroje na účinné plnenie svojich úloh. Týmto nariadením nie je dotknutá úloha Komisie pri zabezpečovaní dodržiavania povinností vyplývajúcich zo smernice (EÚ) 2022/2555 členskými štátmi. Mechanizmus na riešenie kybernetickobezpečnostných núdzových situácií by mal poskytovať pomoc pri opatreniach zameraných na posilňovanie pripravenosti, ako aj pri opatreniach reakcie na incidenty s cieľom zmierniť vplyv významných kybernetických bezpečnostných incidentov a rozsiahlych kybernetických bezpečnostných incidentov, podporovať počiatočné zotavenie a obnoviť základné funkcie služieb poskytovaných subjektmi pôsobiacimi v odvetviach s vysokou úrovňou kritickosti alebo subjektmi pôsobiacimi v iných kritických odvetviach.

(34)

V rámci opatrení v oblasti pripravenosti a v záujme presadzovania jednotného prístupu a zvýšenia bezpečnosti v celej Únii a na jej vnútornom trhu by sa mala poskytovať koordinovaná podpora na testovanie a posudzovanie kybernetickej bezpečnosti subjektov pôsobiacich v odvetviach s vysokou úrovňou kritickosti určených v súlade so smernicou (EÚ) 2022/2555, a to aj prostredníctvom cvičení a školení. Na tento účel by Komisia po konzultácii s agentúrou ENISA , so skupinou pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti a so sieťou EU-CyCLONe mala pravidelne určovať relevantné odvetvia alebo pododvetvia, ktoré by mali byť oprávnené prijímať finančnú podporu na koordinované testovanie pripravenosti na úrovni Únie. Odvetvia alebo pododvetvia by sa mali vyberať z odvetví s vysokou úrovňou kritickosti uvedených v prílohe I k smernici (EÚ) 2022/2555. Koordinované testovanie pripravenosti by malo vychádzať zo spoločných scenárov rizika a metodík. Aj vzhľadom na potrebu zabrániť duplicite by sa pri výbere odvetví a vypracúvaní scenárov rizika mali zohľadniť relevantné posúdenia rizík a scenáre rizika pre celú Úniu, ako sú napríklad hodnotenia rizík a scenáre rizika požadované v záveroch Rady o vývoji prístupu Európskej únie ku kybernetickej bezpečnosti , ktoré má vykonávať Komisia, vysoký predstaviteľ Únie pre zahraničné veci a bezpečnostnú politiku (ďalej len „vysoký predstaviteľ“) a skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti, v koordinácii s príslušnými civilnými a vojenskými orgánmi a agentúrami a vytvorenými sieťami vrátane siete EU-CyCLONe, ako aj posúdenie rizika komunikačných sietí a infraštruktúry požadované v spoločnej ministerskej výzve z Nevers, ktoré vykonáva skupina pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti s podporou Komisie a agentúry ENISA a v spolupráci s Orgánom európskych regulátorov pre elektronické komunikácie zriadeným nariadením Európskeho parlamentu a Rady (EÚ) 2018/1971 (18), koordinované posúdenia bezpečnostných rizík kritických dodávateľských reťazcov na úrovni Únie, ktoré sa majú vykonávať podľa článku 22 smernice (EÚ) 2022/2555, a testovanie digitálnej prevádzkovej odolnosti stanovené v nariadení Európskeho parlamentu a Rady (EÚ) 2022/2554 (19). Pri výbere odvetví by sa malo zohľadniť aj odporúčanie Rady o celoúniovom koordinovanom prístupe k posilneniu odolnosti kritickej infraštruktúry.

(35)

Mechanizmus na riešenie kybernetickobezpečnostných núdzových situácií by mal navyše poskytovať podporu na ďalšie opatrenia v oblasti pripravenosti a podporovať pripravenosť v iných odvetviach, na ktoré sa nevzťahuje koordinované testovanie pripravenosti subjektov pôsobiacich v odvetviach s vysokou úrovňou kritickosti alebo subjektov pôsobiacich v iných kritických odvetviach. Tieto opatrenia by mohli zahŕňať rozličné druhy vnútroštátnych činností zameraných na pripravenosť.

(36)

Keď členské štáty dostanú granty na podporu opatrení v oblasti pripravenosti, subjekty v odvetviach s vysokou úrovňou kritickosti sa môžu na týchto opatreniach dobrovoľne zúčastňovať. Osvedčeným postupom je, že po takýchto opatreniach zúčastnené subjekty vypracujú plán nápravy s cieľom vykonať všetky výsledné odporúčania konkrétnych opatrení s cieľom v čo najväčšej miere využiť opatrenie pripravenosti. Hoci je dôležité, aby členské štáty v rámci opatrení požadovali, aby zúčastnené subjekty vypracovali a vykonávali takéto plány nápravy, členské štáty nie sú podľa tohto nariadenia povinné ani oprávnené presadzovať takéto žiadosti. Takýmito žiadosťami nie sú dotknuté požiadavky na subjekty a právomoci príslušných orgánov v oblasti dohľadu v súlade so smernicou (EÚ) 2022/2555.

(37)

Mechanizmus na riešenie kybernetickobezpečnostných núdzových situácií by mal poskytovať aj podporu na opatrenia reakcie na incidenty s cieľom zmierniť vplyv významných kybernetických bezpečnostných incidentov, rozsiahlych kybernetických bezpečnostných incidentov a rozsiahlych rovnocenných kybernetických bezpečnostných incidentov, podporovať počiatočné zotavenie alebo obnoviť fungovanie základných služieb. Vo vhodných prípadoch by mal dopĺňať mechanizmus Únie v oblasti civilnej ochrany s cieľom zabezpečiť komplexný prístup k reakcii na vplyv incidentov na občanov.

(38)

Mechanizmus na riešenie kybernetickobezpečnostných núdzových situácií by mal podporovať technickú pomoc poskytovanú jedným členským štátom inému členskému štátu, ktorý je dotknutý významným kybernetickým bezpečnostným incidentom alebo rozsiahlym kybernetickým bezpečnostným incidentom, a to aj prostredníctvom jednotiek CSIRT, ako sa uvádza v článku 11 ods. 3 písm. f) smernice (EÚ) 2022/2555. Členským štátom poskytujúcim takúto pomoc by sa malo umožniť predkladať žiadosti na pokrytie nákladov súvisiacich s vysielaním tímov expertov v rámci vzájomnej pomoci. Oprávnené náklady by mohli zahŕňať príspevky na cestovné výdavky, na ubytovanie a diéty expertov na kybernetickú bezpečnosť.

(39)

Vzhľadom na zásadnú úlohu, ktorú zohrávajú súkromné podniky pri odhaľovaní rozsiahlych kybernetických bezpečnostných incidentov a rozsiahlych rovnocenných kybernetických bezpečnostných incidentov, pripravenosti a reakcii na ne, je dôležité uznať hodnotu dobrovoľnej pro bono spolupráce s takýmito podnikmi, v rámci ktorej ponúkajú služby bezplatne v prípade rozsiahlych kybernetických bezpečnostných incidentov a kríz a rozsiahlych rovnocenných kybernetických bezpečnostných incidentov a kríz. Agentúra ENISA by v spolupráci s sieťou EU-CyCLONe mohla monitorovať vývoj takýchto iniciatív pro bono a podporovať ich súlad s kritériami uplatniteľnými na dôveryhodných poskytovateľov riadených bezpečnostných služieb podľa tohto nariadenia, a to aj pokiaľ ide o dôveryhodnosť súkromných podnikov, ich skúsenosti, ako aj schopnosť nakladať s citlivými informáciami bezpečným spôsobom.

(40)

Ako súčasť mechanizmu na riešenie kybernetickobezpečnostných núdzových situácií by sa mala postupne zriadiť rezerva EÚ na účely kybernetickej bezpečnosti pozostávajúca zo služieb dôveryhodných poskytovateľov riadených bezpečnostných služieb na podporu reakcie a iniciovanie opatrení na zotavenie sa v prípadoch významných kybernetických bezpečnostných incidentov, rozsiahlych kybernetických bezpečnostných incidentov alebo rozsiahlych rovnocenných kybernetických bezpečnostných incidentov, ktoré majú vplyv na členské štáty, inštitúcie, orgány, úrady alebo agentúry Únie alebo tretie krajiny pridružené k programu Digitálna Európa. Rezerva EÚ na účely kybernetickej bezpečnosti by mala zabezpečovať dostupnosť a pripravenosť služieb. Mala by preto zahŕňať služby, ktoré sú viazané vopred, napríklad vrátane kapacít, ktoré sú v pohotovostnom režime a možno ich nasadiť v krátkom čase. Služby rezervy EÚ na účely kybernetickej bezpečnosti by mali slúžiť na podporu vnútroštátnych orgánov pri poskytovaní pomoci zasiahnutým subjektom pôsobiacim v odvetviach s vysokou úrovňou kritickosti alebo postihnutým subjektom pôsobiacim v iných kritických odvetviach ako doplnok k ich vlastným opatreniam na vnútroštátnej úrovni. Služby rezervy EÚ na účely kybernetickej bezpečnosti by mali byť za podobných podmienok schopné používať aj na podporu inštitúcií, orgánov, úradov a agentúr Únie. Rezerva EÚ na účely kybernetickej bezpečnosti by mohla prispieť aj k posilneniu konkurenčného postavenia priemyslu a služieb v Únii v celom digitálnom hospodárstve vrátane mikropodnikov a malých a stredných podnikov, ako aj startupov, a to aj poskytovaním stimulov na investície do výskumu a inovácií. Pri obstarávaní služieb pre rezervu EÚ na účely kybernetickej bezpečnosti je dôležité zohľadniť európsky rámec zručností v oblasti kybernetickej bezpečnosti agentúry ENISA. Keď používatelia žiadajú o podporu z rezervy EÚ na účely kybernetickej bezpečnosti, mali by do svojej žiadosti zahrnúť príslušné informácie týkajúce sa dotknutého subjektu a potenciálnych vplyvov, informácie o požadovanej službe z rezervy EÚ na účely kybernetickej bezpečnosti a podporu poskytovanú zasiahnutému subjektu na vnútroštátnej úrovni, ktorá by sa mala zohľadniť pri posudzovaní žiadosti žiadateľa. Na zabezpečenie komplementárnosti s inými formami podpory dostupnej pre zasiahnutý subjekt by mala žiadosť zahŕňať, ak sú dostupné, informácie o platných zmluvných dojednaniach o službách reakcie na incidenty a počiatočného zotavenia sa z nich, ako aj poistných zmlúv, ktoré sa potenciálne vzťahujú na takýto druh incidentu.

(41)

S cieľom zabezpečiť účinné využívanie finančných prostriedkov Únie by sa vopred vyčlenené služby v rámci rezervy EÚ na účely kybernetickej bezpečnosti mali v súlade s príslušnou zmluvou zmeniť na služby pripravenosti súvisiace s predchádzaním incidentom a reakciou na ne v prípade, že sa tieto vopred vyčlenené služby nevyužijú na reakciu na incidenty v čase, na ktorý sú vopred vyčlenené. Tieto služby by mali byť doplnkové a nemali by zdvojovať opatrenia v oblasti pripravenosti, ktoré má riadiť centrum ECCC.

(42)

Žiadosti o podporu z rezervy EÚ na účely kybernetickej bezpečnosti od orgánov pre riadenie kybernetických kríz a jednotiek CSIRT členských štátov alebo CERT-EU v mene inštitúcií, orgánov, úradov alebo agentúr Únie by mal posúdiť verejný obstarávateľ. Ak bola agentúra ENISA poverená správou a prevádzkou rezervy EÚ na účely kybernetickej bezpečnosti, týmto verejným obstarávateľom je agentúra ENISA. Žiadosti o podporu z tretích krajín pridružených k programu Digitálna Európa by mala posúdiť Komisia. S cieľom uľahčiť predkladanie a posudzovanie žiadostí o podporu by agentúra ENISA mohla zriadiť bezpečnú platformu.

(43)

V prípade prijatia viacerých súbežných žiadostí by sa tieto žiadosti mali priorizovať v súlade s kritériami stanovenými v tomto nariadení. Vzhľadom na všeobecné ciele tohto nariadenia by tieto kritériá mali zahŕňať rozsah a závažnosť incidentu, typ zasiahnutého subjektu, potenciálny vplyv na zasiahnuté členské štáty a používateľov, potenciálny cezhraničný charakter incidentu a riziko presahu a opatrenia, ktoré už používateľ prijal na pomoc pri reakcii a počiatočnom zotavení. Vzhľadom na tieto ciele a vzhľadom na to, že žiadosti používateľov z členských štátov sú určené výlučne na podporu subjektov v celej Únii pôsobiacich v odvetviach s vysokou úrovňou kritickosti alebo subjektov pôsobiacich v iných kritických odvetviach, je vhodné uprednostniť žiadosti používateľov z členských štátov, kde tieto kritériá vedú k tomu, že sa dve alebo viaceré žiadosti posúdia ako rovnocenné. Týmto nie sú dotknuté žiadne povinnosti, ktoré môžu mať členské štáty podľa príslušných dohôd o hosťovaní, prijímať opatrenia na ochranu a pomoc inštitúciám, orgánom, úradom alebo agentúram Únie.

(44)

Celkovú zodpovednosť za vykonávanie rezervy EÚ na účely kybernetickej bezpečnosti by mala niesť Komisia. Vzhľadom na rozsiahle skúsenosti, ktoré agentúra ENISA získala s opatreniami na podporu kybernetickej bezpečnosti, je agentúra ENISA najvhodnejšou agentúrou na vykonávanie rezervy EÚ na účely kybernetickej bezpečnosti. Preto by Komisia mala agentúru ENISA čiastočne alebo, ak to Komisia považuje za vhodné, úplne poveriť prevádzkou a správou rezervy EÚ na účely kybernetickej bezpečnosti. Poverenie by sa malo vykonať v súlade s príslušnými pravidlami podľa nariadenia (EÚ, Euratom) 2024/2509, a najmä by malo podliehať splneniu príslušných podmienok na podpísanie dohody o príspevku. Všetky aspekty prevádzky a správy rezervy EÚ na účely kybernetickej bezpečnosti, ktoré nie sú zverené agentúre ENISA, by mali podliehať priamemu riadeniu zo strany Komisie, a to aj pred podpísaním dohody o príspevku.

(45)

Členské štáty by mali zohrávať kľúčovú úlohu pri vytváraní, nasadzovaní a po nasadení rezervy EÚ na účely kybernetickej bezpečnosti. Keďže nariadenie (EÚ) 2021/694 je príslušným základným aktom pre akcie, ktorými sa vykonáva rezerva EÚ na účely kybernetickej bezpečnosti, opatrenia v rámci rezervy EÚ na účely kybernetickej bezpečnosti by sa mali stanoviť v pracovných programoch uvedených v článku 24 nariadenia (EÚ) 2021/694. Podľa odseku 6 uvedeného článku má uvedené pracovné programy prijať Komisia prostredníctvom vykonávacích aktov v súlade s postupom preskúmania. Okrem toho by Komisia v koordinácii so skupinou pre spoluprácu v oblasti sieťovej a informačnej bezpečnosti mala určiť priority a vývoj rezervy EÚ na účely kybernetickej bezpečnosti.

(46)

Zmluvy uzavreté v rámci rezervy EÚ na účely kybernetickej bezpečnosti by nemali mať vplyv na vzťah medzi podnikmi a existujúce povinnosti medzi dotknutým subjektom alebo používateľmi a poskytovateľom služieb.

(47)

Na účely výberu súkromných poskytovateľov služieb na poskytovanie služieb v kontexte rezervy EÚ na účely kybernetickej bezpečnosti je nevyhnutné stanoviť súbor minimálnych kritérií a požiadaviek, ktoré by sa mali uviesť vo výzve na predkladanie ponúk, na základe ktorej sa vyberú títo poskytovatelia, aby sa zabezpečilo, že budú splnené potreby orgánov členských štátov, subjektov pôsobiacich v odvetviach s vysokou úrovňou kritickosti alebo subjektov pôsobiacich iných kritických odvetviach. S cieľom riešiť osobitné potreby členských štátov by mal verejný obstarávateľ pri obstarávaní služieb pre rezervu EÚ na účely kybernetickej bezpečnosti vo vhodných prípadoch vypracovať dodatočné kritéria a požiadavky účasti popri kritériách a požiadavkách stanovených v tomto nariadení. Je dôležité podnecovať účasť menších poskytovateľov pôsobiacich na regionálnej a miestnej úrovni.

(48)

Pri výbere poskytovateľov, ktorí sa majú zahrnúť do rezervy EÚ na účely kybernetickej bezpečnosti, by sa verejný obstarávateľ mal snažiť zabezpečiť, aby rezerva EÚ na účely kybernetickej bezpečnosti ako celok obsahovala poskytovateľov, ktorí sú schopní vyhovieť jazykovým požiadavkám používateľov. Na tento účel by mal verejný obstarávateľ pred vypracovaním špecifikácií ponuky zistiť, či potenciálni používatelia rezervy EÚ na účely kybernetickej bezpečnosti majú osobitné jazykové požiadavky, aby bolo možné poskytovať služby podpory z rezervy EÚ na účely kybernetickej bezpečnosti v jazyku spomedzi úradných jazykov inštitúcií Únie alebo členských štátov, ktorému bude používateľ alebo dotknutý subjekt pravdepodobne rozumieť. V prípade, že používateľ potrebuje na poskytovanie služieb podpory z rezervy EÚ na účely kybernetickej bezpečnosti viac ako jeden jazyk a tieto služby boli obstarané v týchto jazykoch pre uvedeného používateľa, používateľ by mal mať možnosť v žiadosti o podporu z rezervy EÚ na účely kybernetickej bezpečnosti uviesť, v ktorom z týchto jazykov by sa mali služby poskytovať v súvislosti s konkrétnym incidentom, ktorý viedol k podaniu žiadosti.

(49)

Na podporu vytvorenia rezervy EÚ na účely kybernetickej bezpečnosti je dôležité, aby Komisia požiadala agentúru ENISA o vypracovanie kandidátskej schémy certifikácie kybernetickej bezpečnosti pre riadené bezpečnostné služby podľa nariadenia (EÚ) 2019/881 v oblastiach, na ktoré sa vzťahuje mechanizmus na riešenie kybernetickobezpečnostných núdzových situácií.

(50)

V záujme podpory cieľov tohto nariadenia týkajúcich sa presadzovania spoločnej situačnej informovanosti, zvyšovania odolnosti Únie a umožnenia účinnej reakcie na významné kybernetické bezpečnostné incidenty a rozsiahle kybernetické bezpečnostné incidenty by Komisia alebo sieť EU-CyCLONe s podporou sieti jednotiek CSIRT a so súhlasom dotknutého členského štátu mali mať možnosť požiadať agentúru ENISA o preskúmanie a posúdenie kybernetických hrozieb, známych zneužiteľných zraniteľností a zmierňujúcich opatrení s ohľadom na konkrétny významný kybernetický bezpečnostný incident alebo rozsiahly kybernetický bezpečnostný incident. Po dokončení preskúmania a posúdenia incidentu by agentúra ENISA mala vypracovať správu o preskúmaní incidentu, a to v spolupráci s dotknutým členským štátom, príslušnými zainteresovanými stranami vrátane zástupcov súkromného sektora, Komisie a iných relevantných inštitúcií, orgánov, úradov a agentúr Únie. Vychádzajúc zo spolupráce so zainteresovanými stranami vrátane súkromného sektora by sa správa o preskúmaní konkrétnych incidentov mala zamerať na posúdenie príčin, vplyvu incidentu a krokov na jeho zmiernenie po jeho výskyte. Osobitnú pozornosť by bolo treba venovať vstupným informáciám a poznatkom, ktoré zdieľajú poskytovatelia riadených bezpečnostných služieb, ktorí spĺňajú podmienky najvyššej úrovne odbornej integrity, nestrannosti a nevyhnutných technických odborných znalostí vyžadovaných týmto nariadením. Správa by sa mala doručiť sieti EU-CyCLONe, sieti jednotiek CSIRT a Komisii a mala by slúžiť ako podklad pre ich prácu, ako aj prácu agentúry ENISA. Ak incident súvisí s treťou krajinou pridruženou k programu Digitálna Európa, Komisia by mala správu poskytnúť aj vysokému predstaviteľovi.

(51)

S ohľadom na nepredvídateľnú povahu kybernetických útokov a na skutočnosť, že tieto útoky často nie sú obmedzené na konkrétnu geografickú oblasť a predstavujú vysoké riziko presahu, prispieva k ochrane celej Únie, a najmä jej vnútorného trhu a priemyslu ako celku, zvýšenie odolnosti susedných krajín a posilnenie ich kapacity účinne reagovať na významné kybernetické bezpečnostné incidenty a rozsiahle rovnocenné kybernetické bezpečnostné incidenty. Takéto činnosti by mohli ďalej prispievať ku kybernetickej diplomacii Únie. Tretie krajiny pridružené k programu Digitálna Európa by preto mali mať možnosť požiadať o podporu z rezervy EÚ na účely kybernetickej bezpečnosti na celom ich území alebo jeho časti, ak je to stanovené v dohode, prostredníctvom ktorej je tretia krajina pridružená k programu Digitálna Európa. Financovanie určené pre tretie krajiny pridružené k programu Digitálna Európa by mala podporiť Únia v rámci príslušných partnerstiev a nástrojov financovania týchto krajín. Podpora by sa mala vzťahovať na služby v oblasti reakcie na významné kybernetické bezpečnostné incidenty a rozsiahle rovnocenné kybernetické bezpečnostné incidenty a v oblasti počiatočného zotavenia sa z nich.

(52)

Pri poskytovaní podpory tretím krajinám pridruženým k programu Digitálna Európa by sa mali uplatňovať podmienky stanovené v tomto nariadení pre rezervu EÚ na účely kybernetickej bezpečnosti a dôveryhodných poskytovateľov riadených bezpečnostných služieb. Tretie krajiny pridružené k programu Digitálna Európa by mali mať možnosť požiadať o podporu z rezervy EÚ na účely kybernetickej bezpečnosti, ak sú cielené subjekty, pre ktoré žiadajú o podporu z rezervy EÚ na účely kybernetickej bezpečnosti, subjektmi pôsobiacimi v odvetviach s vysokou úrovňou kritickosti alebo subjektmi pôsobiacimi v iných kritických odvetviach a ak zistené incidenty vedú k závažným narušeniam prevádzky alebo by mohli mať účinky presahovania v Únii. Tretie krajiny pridružené k programu Digitálna Európa by mali byť oprávnené na získanie podpory len vtedy, ak sa takáto podpora výslovne stanovuje v dohode, prostredníctvom ktorej sú pridružené k programu Digitálna Európa. Okrem toho by takéto tretie krajiny mali zostať oprávnené len vtedy, ak sú splnené tri kritériá. Po prvé, tretia krajina by mala v plnej miere dodržiavať príslušné podmienky uvedenej dohody. Po druhé, vzhľadom na komplementárnu povahu rezervy EÚ na účely kybernetickej bezpečnosti tretia krajina mala prijať primerané kroky na prípravu na významné kybernetické bezpečnostné incidenty alebo rozsiahle rovnocenné kybernetické bezpečnostné incidenty. Po tretie, poskytovanie podpory z rezervy EÚ na účely kybernetickej bezpečnosti by malo byť v súlade s politikou Únie voči tejto krajine a celkovými vzťahmi s ňou, ako aj s inými politikami Únie v oblasti bezpečnosti. V kontexte posúdenia súladu s uvedením tretím kritériom by Komisia mala konzultovať s vysokým predstaviteľom o zosúladení poskytovania takejto podpory so spoločnou zahraničnou a bezpečnostnou politikou.

(53)

Poskytovanie podpory tretím krajinám pridruženým k programu Digitálna Európa môže ovplyvniť vzťahy s tretími krajinami a bezpečnostnú politiku Únie, a to aj v kontexte spoločnej zahraničnej a bezpečnostnej politiky a spoločnej bezpečnostnej a obrannej politiky. Preto je vhodné, aby sa Rade udelili vykonávacie právomoci s cieľom povoliť a spresniť obdobie, počas ktorého sa môže poskytovať takáto podpora. Rada by mala konať na základe návrhu Komisie, pričom náležite zohľadní posúdenie týchto troch kritérií Komisiou. To isté by malo platiť pre obnovenia a návrhy na zmenu alebo zrušenie takýchto aktov. Ak sa Rada za výnimočných okolností domnieva, že došlo k významnej zmene okolností v súvislosti s tretím kritériom, Rada by mala mať možnosť konať z vlastnej iniciatívy a zmeniť alebo zrušiť vykonávací akt, bez čakania na návrh Komisie. Takéto významné zmeny si pravdepodobne vyžiadajú naliehavé opatrenia, budú mať pravdepodobne mimoriadne dôležité dôsledky na vzťahy s tretími krajinami a nebudú vopred vyžadovať podrobné posúdenie zo strany Komisie. Okrem toho by Komisia mala spolupracovať s vysokým predstaviteľom, pokiaľ ide o žiadosti a podporu z tretích krajín pridružených k programu Digitálna Európa a vykonávanie podpory poskytovanej takýmto tretím krajinám. Komisia by mala zohľadniť aj akékoľvek názory, ktoré poskytla agentúra ENISA v súvislosti s takýmito žiadosťami a podporou. Komisia by mala informovať Radu o výsledku posúdenia žiadostí vrátane príslušných úvah v tejto súvislosti a o nasadených službách.

(54)

V oznámení Komisie z 18. apríla 2023 o Akadémii kybernetických zručností sa uznal nedostatok kvalifikovaných odborníkov. Takéto zručnosti sú potrebné na dosiahnutie cieľov tohto nariadenia. Únia naliehavo potrebuje odborníkov so zručnosťami a kompetenciami na predchádzanie kybernetickým útokom, ich odhaľovanie a odrádzanie od nich a na obranu Únie vrátane jej najkritickejšej infraštruktúry pred takýmito útokmi a na zabezpečenie jej odolnosti. Na tento účel je dôležité podporovať spoluprácu medzi zainteresovanými stranami vrátane súkromného sektora, akademickej obce a verejného sektora. Rovnako dôležité je vytvoriť synergie na všetkých územiach Únie, aby investície do vzdelávania a odbornej prípravy podporovali vytváranie záruk na zabránenie úniku mozgov alebo rozšíreniu nedostatku zručností v niektorých regiónoch viac ako v iných. Je naliehavo potrebné odstrániť nedostatok zručností v oblasti kybernetickej bezpečnosti s osobitným zameraním na zníženie rodových rozdielov v pracovnej sile v oblasti kybernetickej bezpečnosti s cieľom podporiť prítomnosť žien a ich účasť na navrhovaní digitálnej správy.

(55)

V záujme podpory inovácií na digitálnom jednotnom trhu je dôležité posilniť výskum a inovácie v oblasti kybernetickej bezpečnosti, aby sa prispelo k zvýšeniu odolnosti členských štátov a otvorenej strategickej autonómie Únie, čo sú ciele tohto nariadenia. Synergie sú nevyhnutné na posilnenie spolupráce a koordinácie medzi rôznymi zainteresovanými stranami vrátane súkromného sektora, občianskej spoločnosti a akademickej obce.

(56)

Toto nariadenie by malo zohľadniť záväzok stanovený v spoločnom vyhlásení Európskeho parlamentu, Rady a Komisie z 26. januára 2022 s názvom Európske vyhlásenie o digitálnych právach a zásadách v digitálnom desaťročí na ochranu záujmov našich demokracií, ľudí, podnikov a verejných inštitúcií Únie pred kybernetickobezpečnostnými rizikami a počítačovou kriminalitou vrátane porušenia ochrany údajov a krádeže identity alebo manipulácie s ňou.

(57)

S cieľom doplniť určité nepodstatné prvky tohto nariadenia by sa mala na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 ZFEÚ s cieľom spresniť druhy a počet služieb reakcie potrebných pre rezervu EÚ na účely kybernetickej bezpečnosti. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov, a aby tieto konzultácie vykonávala v súlade so zásadami stanovenými v Medziinštitucionálnej dohode z 13. apríla 2016 o lepšej tvorbe práva (20). Predovšetkým v záujme rovnakého zastúpenia pri príprave delegovaných aktov sa všetky dokumenty doručujú Európskemu parlamentu a Rade v rovnakom čase ako expertom z členských štátov, a experti Európskeho parlamentu a Rady majú systematicky prístup na zasadnutia skupín expertov Komisie, ktoré sa zaoberajú prípravou delegovaných aktov.

(58)

V záujme zabezpečenia jednotných podmienok vykonávania tohto nariadenia by sa mali na Komisiu preniesť vykonávacie právomoci s cieľom ďalej spresniť podrobné procedurálne dojednania prideľovania podporných služieb rezervy EÚ na účely kybernetickej bezpečnosti. Uvedené právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011 (21).

(59)

Bez toho, aby boli dotknuté pravidlá týkajúce sa ročného rozpočtu Únie podľa zmlúv, by Komisia mala pri posudzovaní rozpočtových a personálnych potrieb agentúry ENISA zohľadniť povinnosti vyplývajúce z tohto nariadenia.

(60)

Komisia by mala pravidelne vykonávať hodnotenie opatrení stanovených v tomto nariadení. Prvé takéto hodnotenie by sa malo uskutočniť v prvých dvoch rokoch po dni nadobudnutia účinnosti tohto nariadenia a potom aspoň každé štyri roky, pričom sa zohľadní načasovanie revízie viacročného finančného rámca stanoveného podľa článku 312 ZFEÚ. Komisia by mala predložiť správu o dosiahnutom pokroku Európskemu parlamentu a Rade. S cieľom posúdiť rôzne požadované prvky vrátane rozsahu informácií zdieľaných v rámci európskeho systému varovania o kybernetickej bezpečnosti by sa Komisia mala opierať výlučne o informácie, ktoré sú ľahko dostupné alebo poskytnuté dobrovoľne. Vzhľadom na geopolitický vývoj a s cieľom zabezpečiť kontinuitu a ďalší rozvoj opatrení stanovených v tomto nariadení po roku 2027 je dôležité, aby Komisia vyhodnotila potrebu prideliť primeraný rozpočet vo viacročnom finančnom rámci na roky 2028 až 2034.

(61)

Keďže ciele tohto nariadenia, a to posilnenie konkurenčného postavenia priemyslu a služieb v Únii v celom digitálnom hospodárstve a prispievanie k technologickej suverenite a otvorenej strategickej autonómii Únie v oblasti kybernetickej bezpečnosti, nie je možné uspokojivo dosiahnuť na úrovni členských štátov, ale z dôvodov rozsahu alebo dôsledkov činnosti ich možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity stanovenou v článku 5 Zmluvy o EÚ. V súlade so zásadou proporcionality podľa uvedeného článku toto nariadenie neprekračuje rámec nevyhnutný na dosiahnutie uvedených cieľov,