ΑΝΑΚΟΙΝΩΣΗ ΤΗΣ ΕΠΙΤΡΟΠΗΣ ΠΡΟΣ ΤΟ ΕΥΡΩΠΑΪΚΟ ΚΟΙΝΟΒΟΥΛΙΟ ΚΑΙ ΤΟ ΣΥΜΒΟΥΛΙΟ

EL ΕΥΡΩΠΑΪΚΗ ΕΠΙΤΡΟΠΗ Βρυξέλλες, 4.10.2017 COM(2017) 476 final NOTE This language version reflects the corrections done to the original EN version transmitted under COM(2017) 476 final of 13.9.2017 and retransmitted (with corrections) under COM(2017) 476 final/2 of 4.10.2017 ΑΝΑΚΟΙΝΩΣΗ ΤΗΣ ΕΠΙΤΡΟΠΗΣ ΠΡΟΣ ΤΟ ΕΥΡΩΠΑΪΚΟ ΚΟΙΝΟΒΟΥΛΙΟ ΚΑΙ ΤΟ ΣΥΜΒΟΥΛΙΟ Αξιοποιώντας την ΑΔΠ στο έπακρον Για την αποτελεσματική εφαρμογή της οδηγίας (ΕΕ) 2016/1148 σχετικά με μέτρα για υψηλό κοινό επίπεδο ασφάλειας συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ένωση

Εισαγωγή Η οδηγία (ΕΕ) 2016/1148 σχετικά με την ασφάλεια συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ένωση 1 (εφεξής «οδηγία ΑΔΠ» ή «οδηγία»), που εκδόθηκε στις 6 Ιουλίου 2016, είναι η πρώτη οριζόντια νομοθετική πράξη της ΕΕ που πραγματεύεται τις προκλήσεις στον τομέα της ασφάλειας στον κυβερνοχώρο και αποτελεί πραγματική τομή για την ανθεκτικότητα και τη συνεργασία στην Ευρώπη όσον αφορά την ασφάλεια στον κυβερνοχώρο. Η οδηγία επιδιώκει τρεις βασικούς στόχους: βελτίωση των εθνικών ικανοτήτων στον τομέα της ασφάλειας στον κυβερνοχώρο ανάπτυξη συνεργασίας σε επίπεδο ΕΕ και προώθηση νοοτροπίας διαχείρισης κινδύνου και κοινοποίησης συμβάντων μεταξύ των κύριων οικονομικών φορέων, ιδίως δε των φορέων εκμετάλλευσης βασικών υπηρεσιών για τη διατήρηση των οικονομικών και κοινωνικών δραστηριοτήτων, και των παρόχων ψηφιακών υπηρεσιών. Η οδηγία ΑΔΠ αποτελεί ακρογωνιαίο λίθο της απάντησης της ΕΕ στις αυξανόμενες απειλές και προκλήσεις στον κυβερνοχώρο οι οποίες συνοδεύουν την ψηφιοποίηση της οικονομικής και κοινωνικής ζωής, και η εφαρμογή της συνιστά επομένως καίρια πτυχή της δέσμης μέτρων για την ασφάλεια στον κυβερνοχώρο που παρουσιάστηκε στις 13 Σεπτεμβρίου 2017. Όσο δεν ολοκληρώνεται η μεταφορά της οδηγίας ΑΔΠ στα δίκαια όλων των κρατών μελών της ΕΕ, η αποτελεσματικότητα της αντίδρασης της ΕΕ παραμένει περιορισμένη, γεγονός που αναγνωρίστηκε επίσης ως κρίσιμης σημασίας στοιχείο στην ανακοίνωση της Επιτροπής του 2016 για την ενίσχυση του συστήματος κυβερνοανθεκτικότητας της Ευρώπης 2. Η καινοτομία της οδηγίας ΑΔΠ και η ανάγκη επείγουσας αντιμετώπισης των ταχέως εξελισσόμενων απειλών στον κυβερνοχώρο δικαιολογούν την ιδιαίτερη προσοχή που δίδεται στις προκλήσεις που αντιμετωπίζουν όλοι οι παράγοντες όσον αφορά τη διασφάλιση της έγκαιρης και επιτυχούς μεταφοράς της οδηγίας στα εθνικά δίκαια. Ενόψει της εκπνοής της προθεσμίας μεταφοράς της οδηγίας στα εθνικά δίκαια στις 9 Μαΐου 2018, καθώς και της προθεσμίας προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών στις 9 Νοεμβρίου 2018, η Επιτροπή στηρίζει τη διαδικασία μεταφοράς που πραγματοποιούν τα κράτη μέλη καθώς και τις σχετικές εργασίες τους στο πλαίσιο της ομάδας συνεργασίας. Η παρούσα ανακοίνωση και το παράρτημά της βασίζονται στις προπαρασκευαστικές εργασίες και την ανάλυση της Επιτροπής σχετικά με την έως τώρα εφαρμογή της οδηγίας ΑΔΠ, στη συνεισφορά του Οργανισμού της Ευρωπαϊκής Ένωσης για την Ασφάλεια Δικτύων και Πληροφοριών (ENISA) και στις συζητήσεις που πραγματοποιήθηκαν με τα κράτη μέλη 1 Οδηγία (ΕΕ) 2016/1148 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 6ης Ιουλίου 2016, σχετικά με μέτρα για υψηλό κοινό επίπεδο ασφάλειας συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ένωση. Η οδηγία άρχισε να ισχύει στις 8 Αυγούστου 2016. 2 COM(2016) 410 final. 2

κατά τη φάση μεταφοράς της οδηγίας, ιδίως στους κόλπους της ομάδας συνεργασίας 3. Η παρούσα ανακοίνωση συμπληρώνει τις σημαντικές προσπάθειες που έχουν καταβληθεί μέχρι στιγμής, συγκεκριμένα μέσω: των εντατικών εργασιών της ομάδας συνεργασίας, η οποία έχει συμφωνήσει ένα σχέδιο εργασίας που εστιάζει πρώτιστα στη μεταφορά της οδηγίας ΑΔΠ, και ειδικότερα στο ζήτημα του προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών και των υποχρεώσεών τους όσον αφορά τις απαιτήσεις ασφαλείας και τις κοινοποιήσεις συμβάντων. Παρότι η οδηγία προβλέπει ότι τα κράτη μέλη έχουν διακριτική ευχέρεια ως προς τη μεταφορά των διατάξεων που διέπουν τους φορείς εκμετάλλευσης βασικών υπηρεσιών, τα ίδια τα κράτη μέλη αναγνώρισαν ότι είναι σημαντικό να υιοθετήσουν εναρμονισμένη προσέγγιση στο συγκεκριμένο θέμα 4. της δημιουργίας και άμεσης λειτουργίας του δικτύου ομάδων απόκρισης για συμβάντα που αφορούν την ασφάλεια υπολογιστών (CSIRT) σύμφωνα με το άρθρο 12 παράγραφος 1 της οδηγίας. Το εν λόγω δίκτυο έχει ήδη αρχίσει, από τότε που δημιουργήθηκε, να προετοιμάζει το έδαφος για την ανάπτυξη διαρθρωμένης επιχειρησιακής συνεργασίας σε επίπεδο ΕΕ. Η πλήρης δέσμευση όλων των κρατών μελών για την επίτευξη του στόχου υψηλού κοινού επιπέδου ασφάλειας των συστημάτων δικτύου και πληροφοριών στην Ένωση είναι απολύτως απαραίτητη τόσο για το πολιτικό όσο και για το επιχειρησιακό επίπεδο που εκπροσωπούνται από τις δύο προαναφερθείσες δομές. Η παρούσα ανακοίνωση και το παράρτημά της θα συμβάλουν στην ενίσχυση των εν λόγω προσπαθειών μέσω της συλλογής και σύγκρισης των βέλτιστων πρακτικών που εφαρμόζονται στα κράτη μέλη σε σχέση με την εφαρμογή της οδηγίας, μέσω της παροχής πρόσθετης καθοδήγησης για τον ορθό τρόπο εφαρμογής της οδηγίας και μέσω της παράθεσης λεπτομερέστερων διευκρινίσεων για συγκεκριμένες διατάξεις. Πρωταρχική επιδίωξη είναι η παροχή στήριξης στα κράτη μέλη προκειμένου να επιτευχθεί η αποτελεσματική και εναρμονισμένη εφαρμογή της οδηγίας ΑΔΠ σε ολόκληρη την ΕΕ. Η παρούσα ανακοίνωση θα συμπληρωθεί με τον εκτελεστικό κανονισμό που καταρτίζει επί του παρόντος η Επιτροπή για τον περαιτέρω προσδιορισμό των στοιχείων και των παραμέτρων που διέπουν τις απαιτήσεις ασφάλειας και κοινοποίησης συμβάντων για παρόχους ψηφιακών υπηρεσιών, σύμφωνα με το άρθρο 16 παράγραφος 8 της οδηγίας ΑΔΠ. 3 Μηχανισμός στρατηγικής συνεργασίας μεταξύ των κρατών μελών δυνάμει της οδηγίας ΑΔΠ, άρθρο 11. 4 Η ομάδα συνεργασίας ασχολείται επί του παρόντος με τη σύνταξη καθοδηγητικών εγγράφων αναφοράς σχετικά, μεταξύ άλλων, με: τα κριτήρια ορισμού της κρίσιμης φύσης ενός φορέα εκμετάλλευσης σύμφωνα με το άρθρο 5 παράγραφος 2 της οδηγίας τις περιστάσεις υπό τις οποίες οι φορείς εκμετάλλευσης βασικών υπηρεσιών είναι υποχρεωμένοι να κοινοποιούν συμβάντα βάσει του άρθρου 14 παράγραφος 7 της οδηγίας και τις απαιτήσεις ασφάλειας που προβλέπονται για τους φορείς εκμετάλλευσης βασικών υπηρεσιών, σύμφωνα με το άρθρο 14 παράγραφοι 1 και 2. 3

Ο εκτελεστικός κανονισμός θα διευκολύνει την εφαρμογή της οδηγίας ως προς το σκέλος των υποχρεώσεων που διέπουν τους παρόχους ψηφιακών υπηρεσιών 5. Η ανακοίνωση παρουσιάζει τα βασικά συμπεράσματα που προέκυψαν από την ανάλυση των συναφών ζητημάτων, τα οποία θεωρούνται ως σημαντικά σημεία αναφοράς και πιθανές πηγές έμπνευσης για τη μεταφορά της οδηγίας στα εθνικά δίκαια. Ως προς το συγκεκριμένο θέμα, το κύριο βάρος δίδεται στις διατάξεις που αφορούν τις δυνατότητες και τις υποχρεώσεις που έχουν τα κράτη μέλη σε σχέση με τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής της οδηγίας. Στο παράρτημα εξετάζονται αναλυτικότερα οι τομείς στους οποίους η Επιτροπή κρίνει ότι πρέπει να δώσει περισσότερη πρακτική καθοδήγηση για τη μεταφορά της οδηγίας στα εθνικά δίκαια, επεξηγώντας και ερμηνεύοντας η ίδια ορισμένες διατάξεις της οδηγίας και παρουσιάζοντας τις βέλτιστες πρακτικές και την πείρα που έχει αποκτηθεί μέχρι στιγμής σε σχέση με την οδηγία. Επιδιώκοντας την αποτελεσματική εφαρμογή της οδηγίας ΑΔΠ Ο στόχος της οδηγίας ΑΔΠ είναι η επίτευξη υψηλού κοινού επιπέδου ασφάλειας των συστημάτων δικτύου και πληροφοριών εντός της ΕΕ. Αυτό σημαίνει βελτίωση της ασφάλειας του διαδικτύου και των ιδιωτικών δικτύων και συστημάτων πληροφοριών που υποστηρίζουν τη λειτουργία της κοινωνίας και της οικονομίας μας. Το πρώτο σημαντικό στοιχείο στο πλαίσιο αυτό είναι η ετοιμότητα των κρατών μελών, η οποία θα πρέπει να εξασφαλιστεί μέσω της χάραξης εθνικών στρατηγικών για την ασφάλεια στον κυβερνοχώρο, κατά τα προβλεπόμενα στην οδηγία, και μέσω των σχετικών εργασιών των CSIRTS και των αρμόδιων εθνικών αρχών. Υιοθέτηση ολοκληρωμένων εθνικών στρατηγικών Είναι σημαντικό τα κράτη μέλη να εκμεταλλευτούν την ευκαιρία της μεταφοράς της οδηγίας ΑΔΠ στα εθνικά τους δίκαια προκειμένου να επανεξετάσουν τις εθνικές στρατηγικές τους για την ασφάλεια στον κυβερνοχώρο υπό το πρίσμα των υφιστάμενων κενών, των βέλτιστων πρακτικών και των νέων προκλήσεων που αναφέρονται στο παράρτημα. Η οδηγία εστιάζει μεν, για ευνόητους λόγους, στις εταιρείες και τις υπηρεσίες καίριας σημασίας, όμως το θέμα που χρήζει ολοκληρωμένης και συνεκτικής αντιμετώπισης είναι η ασφάλεια της οικονομίας και της κοινωνίας συνολικά στον κυβερνοχώρο, με δεδομένη βεβαίως την διαρκώς αυξανόμενη εξάρτηση από τις ΤΠΕ. Επομένως, η θέσπιση ολοκληρωμένων εθνικών στρατηγικών καθ υπέρβαση των ελάχιστων απαιτήσεων της οδηγίας ΑΔΠ (που θα καλύπτουν, δηλαδή, περισσότερους τομείς και υπηρεσίες από όσους και όσες αναφέρονται στα παραρτήματα ΙΙ και ΙΙΙ αντιστοίχως της οδηγίας) αναμένεται να συμβάλει στην αύξηση του συνολικού επιπέδου ασφάλειας των συστημάτων δικτύου και πληροφοριών. 5 Το σχέδιο του εκτελεστικού κανονισμού είναι διαθέσιμο για δημόσια διαβούλευση στη διεύθυνση https://ec.europa.eu/info/law/better-regulation/have-your-say_el 4

Δεδομένου ότι η ασφάλεια στον κυβερνοχώρο είναι ένας σχετικά νέος και ταχέως αναπτυσσόμενος τομέας δημόσιας πολιτικής, στις περισσότερες περιπτώσεις απαιτούνται νέες επενδύσεις, παρά το γεγονός ότι η γενικότερη κατάσταση των δημόσιων οικονομικών επιβάλλει περικοπές και εξοικονομήσεις. Η λήψη φιλόδοξων αποφάσεων για την εξασφάλιση επαρκών οικονομικών και ανθρώπινων πόρων που είναι απαραίτητοι για την αποτελεσματική εφαρμογή των εθνικών στρατηγικών, περιλαμβανομένης της επαρκούς στελέχωσης και χρηματοδότησης των εθνικών αρμόδιων αρχών και των CSIRT, είναι επομένως θεμελιώδους σημασίας για την επίτευξη των στόχων της οδηγίας. Αποτελεσματική εφαρμογή και επιβολή του νόμου Η ανάγκη ορισμού εθνικών αρμόδιων αρχών και ενιαίων κέντρων επαφής σκιαγραφείται συνοπτικά στο άρθρο 8 της οδηγίας και αποτελεί στοιχείο καίριας σημασίας για τη διασφάλιση της αποτελεσματικής εφαρμογής της οδηγίας ΑΔΠ και της διασυνοριακής συνεργασίας. Ως προς το συγκεκριμένο θέμα, αναπτύχθηκαν στα κράτη μέλη κεντρικές αλλά και αποκεντρωμένες προσεγγίσεις. Όταν τα κράτη μέλη επιλέγουν αποκεντρωμένη προσέγγιση όσον αφορά τον ορισμό των εθνικών αρμόδιων αρχών, έχει αποδειχθεί ότι είναι σημαντικό να προβλέπονται ρυθμίσεις ενισχυμένης συνεργασίας ανάμεσα στις διάφορες αρχές και το ενιαίο κέντρο επαφής (βλ. πίνακα 1 της ενότητας 3.2. του παραρτήματος). Με τον τρόπο αυτόν, αναμένεται να αυξηθεί η αποτελεσματικότητα της εφαρμογής και να διευκολυνθεί η επιβολή του νόμου. Η εμπειρία που έχει ήδη αποκτηθεί στον τομέα της προστασίας υποδομών πληροφοριών ζωτικής σημασίας (CIIP) μπορεί να συμβάλει στον σχεδιασμό βέλτιστου μοντέλου διακυβέρνησης για τα κράτη μέλη, το οποίο θα διασφαλίζει τόσο την αποτελεσματική εφαρμογή της οδηγίας ΑΔΠ σε τομεακό επίπεδο όσο και τη συνεκτική οριζόντια προσέγγιση (βλ. ενότητα 3.1. του παραρτήματος). Ενίσχυση των ικανοτήτων των εθνικών CSIRT Η ΕΕ θα εξακολουθήσει να είναι εξαιρετικά ευάλωτη στις διασυνοριακές απειλές στον κυβερνοχώρο εάν δεν υπάρξει μέριμνα για τον ορισμό αποτελεσματικών εθνικών CSIRT με επαρκείς πόρους σε όλα τα κράτη μέλη, κατά τα προβλεπόμενα στο άρθρο 9 της οδηγίας ΑΔΠ. Τα κράτη μέλη θα μπορούσαν επομένως να εξετάσουν το ενδεχόμενο επέκτασης του πεδίου εφαρμογής των CSIRT πέραν των τομέων και των υπηρεσιών που περιλαμβάνονται στο πεδίο εφαρμογής της οδηγίας (βλ. ενότητα 3.3. του παραρτήματος). Με αυτόν τον τρόπο, οι εθνικές CSIRT θα είναι σε θέση να παρέχουν επιχειρησιακή υποστήριξη όταν προκύπτουν στον κυβερνοχώρο συμβάντα τα οποία αφορούν εταιρείες και οργανισμούς που δεν εμπίπτουν μεν στο πεδίο εφαρμογής της οδηγίας, είναι όμως εξίσου σημαντικοί για την κοινωνία και την οικονομία. Επιπλέον, τα κράτη μέλη θα μπορούσαν να αξιοποιήσουν πλήρως τις πρόσθετες χρηματοδοτικές ευκαιρίες που παρέχει το πρόγραμμα υποδομών 5

ψηφιακών υπηρεσιών (ΥΨΥ) για την ασφάλεια στον κυβερνοχώρο του χρηματοδοτικού μηχανισμού «Συνδέοντας την Ευρώπη», μέσω του οποίου επιδιώκεται η ενίσχυση των ικανοτήτων των εθνικών CSIRT και της μεταξύ τους συνεργασίας (βλ. ενότητα 3.5 του παραρτήματος). Εφαρμογή συνεκτικής διαδικασίας προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών Σύμφωνα με το άρθρο 5 της οδηγίας ΑΔΠ, τα κράτη μέλη οφείλουν να προσδιορίσουν, έως τις 9 Νοεμβρίου 2018, τις οντότητες που θα θεωρούνται φορείς εκμετάλλευσης βασικών υπηρεσιών. Σε σχέση με το συγκεκριμένο καθήκον, τα κράτη μέλη θα μπορούσαν να εξετάσουν το ενδεχόμενο να εφαρμόσουν τους ορισμούς και την καθοδήγηση που περιέχονται στην παρούσα ανακοίνωση με όσο το δυνατόν μεγαλύτερη συνοχή, προκειμένου να διασφαλιστεί ότι όλα τα κράτη μέλη θα προβούν, με την ίδια συνοχή, στον προσδιορισμό παρόμοιου τύπου οντοτήτων που διαδραματίζουν παρεμφερή ρόλο στην εσωτερική αγορά ως φορέων εκμετάλλευσης βασικών υπηρεσιών. Τα κράτη μέλη θα μπορούσαν επίσης να εξετάσουν το ενδεχόμενο επέκτασης του πεδίου εφαρμογής της οδηγίας ΑΔΠ στους φορείς δημόσιας διοίκησης, δεδομένου του ρόλου που διαδραματίζουν για την κοινωνία και την οικονομία συνολικά (βλ. ενότητες 2.1. και 4.1.3 του παραρτήματος). Θα ήταν πολύ χρήσιμο να ευθυγραμμιστούν στον μέγιστο δυνατό βαθμό οι προσεγγίσεις που ακολουθούν τα κράτη μέλη για τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών, ιδίως μέσω της τήρησης των κατευθυντήριων γραμμών που καταρτίζει η ομάδα συνεργασίας (βλ. ενότητα 4.1.2 του παραρτήματος), καθώς κάτι τέτοιο θα συνέβαλλε στην περισσότερο εναρμονισμένη εφαρμογή των διατάξεων της οδηγίας και κατά συνέπεια στη μείωση του κινδύνου κατακερματισμού της αγοράς. Όταν οι φορείς εκμετάλλευσης βασικών υπηρεσιών παρέχουν βασικές υπηρεσίες σε δύο ή περισσότερα κράτη μέλη, είναι καίριας σημασίας να επιδιώκεται η επίτευξη συμφωνίας ανάμεσα στα κράτη μέλη (μέσω της διαδικασίας διαβούλευσης που προβλέπεται στο άρθρο 5 παράγραφος 4) για τον συνεκτικό προσδιορισμό των οντοτήτων, (βλ. ενότητα 4.1.7 του παραρτήματος), καθώς με τον τρόπο αυτόν αποφεύγεται η διαφορετική κανονιστική μεταχείριση της ίδιας οντότητας στα διάφορα κράτη μέλη. Υποβολή των πληροφοριών σχετικά με τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών στην Επιτροπή Σύμφωνα με το άρθρο 5 παράγραφος 7, τα κράτη μέλη οφείλουν να υποβάλλουν στην Επιτροπή πληροφορίες για τα εθνικά μέτρα που επιτρέπουν τον προσδιορισμό των φορέων εκμετάλλευσης βασικών υπηρεσιών, τον κατάλογο βασικών υπηρεσιών, τον αριθμό των προσδιορισμένων φορέων εκμετάλλευσης βασικών υπηρεσιών και τη σημασία τους για τον εκάστοτε τομέα. Επιπλέον, τα κράτη μέλη οφείλουν να υποβάλλουν, εφόσον υπάρχουν, τα κατώτατα όρια που χρησιμοποιούνται στη διαδικασία προσδιορισμού για τον καθορισμό του σχετικού επιπέδου παροχής ή της σημασίας του συγκεκριμένου φορέα εκμετάλλευσης βασικών υπηρεσιών για τη διατήρηση επαρκούς επιπέδου παροχής. Τα κράτη μέλη θα 6

μπορούσαν επίσης να εξετάσουν το ενδεχόμενο να υποβάλλουν στην Επιτροπή - εμπιστευτικά, εφόσον απαιτείται - τους καταλόγους των προσδιορισμένων φορέων εκμετάλλευσης βασικών υπηρεσιών, καθώς αυτό θα συνέβαλλε στη βελτίωση της ακρίβειας και της ποιότητας της εκτίμησης της Επιτροπής (βλ. ενότητες 4.1.5. και 4.1.6. του παραρτήματος). Ευθυγραμμισμένες προσεγγίσεις όσον αφορά τις απαιτήσεις ασφάλειας και κοινοποίησης συμβάντων για τους φορείς εκμετάλλευσης βασικών υπηρεσιών Όσον αφορά τις υποχρεώσεις που απορρέουν από τις απαιτήσεις ασφάλειας και τις κοινοποιήσεις συμβάντων για τους φορείς εκμετάλλευσης βασικών υπηρεσιών (άρθρο 14 παράγραφοι 1, 2 και 3), η υιοθέτηση ευθυγραμμισμένης προσέγγισης ως προς τις απαιτήσεις ασφάλειας και τις κοινοποιήσεις συμβάντων με γνώμονα τη διευκόλυνση της διασυνοριακής συμμόρφωσης των φορέων εκμετάλλευσης βασικών υπηρεσιών των κρατών μελών της ΕΕ αναμένεται να συμβάλει στον μέγιστο δυνατό βαθμό στην ενίσχυση του αντίκτυπου της ενιαίας αγοράς. Σημείο αναφοράς ως προς το συγκεκριμένο θέμα είναι και πάλι οι εργασίες της ομάδας συνεργασίας για τη σύνταξη εγγράφου καθοδήγησης (βλ. ενότητες 4.2. και 4.3. του παραρτήματος). Σε περίπτωση συμβάντος μεγάλης κλίμακας στον κυβερνοχώρο το οποίο έχει αντίκτυπο σε αρκετά κράτη μέλη, είναι πολύ πιθανό να υποβάλλεται υποχρεωτική κοινοποίηση συμβάντος από φορέα εκμετάλλευσης βασικών υπηρεσιών ή πάροχο ψηφιακών υπηρεσιών σύμφωνα με το άρθρο 14 παράγραφος 3 και το άρθρο 16 παράγραφος 3 αντίστοιχα, είτε από άλλη οντότητα που δεν εμπίπτει στο πεδίο εφαρμογής της οδηγίας σε εθελούσια βάση σύμφωνα με το άρθρο 20 παράγραφος 1. Σύμφωνα με τη σύσταση της Επιτροπής για τη συντονισμένη αντιμετώπιση περιστατικών και κρίσεων μεγάλης κλίμακας στον κυβερνοχώρο, τα κράτη μέλη θα μπορούσαν να εξετάσουν το ενδεχόμενο να ευθυγραμμίσουν τις εθνικές τους προσεγγίσεις ώστε να παρέχουν το ταχύτερο δυνατό σχετικές πληροφορίες βάσει των εν λόγω κοινοποιήσεων στις αρμόδιες αρχές ή στις CSIRT άλλων εμπλεκόμενων κρατών μελών. Η παροχή αξιόπιστων πληροφοριών που επιτρέπουν την ανάληψη δράσης είναι ζωτικής σημασίας για τη μείωση του αριθμού των συμβάντων μόλυνσης από ιούς ή την αντιμετώπιση τυχόν τρωτών σημείων προτού κάποιος τα εκμεταλλευτεί. Στο πλαίσιο της συνεργασίας για την αξιοποίηση της οδηγίας ΑΔΠ στο έπακρον, η Επιτροπή σκοπεύει να επεκτείνει, μέσω της παρούσας νομοθετικής πράξης, σε όλους τους συναφείς ενδιαφερόμενους φορείς τη στήριξη που παρέχεται μέσω του χρηματοδοτικού μηχανισμού «Συνδέοντας την Ευρώπη». Παρά το γεγονός ότι το κύριο βάρος δίδεται στην ανάπτυξη των ικανοτήτων των CSIRT και στη δημιουργία πλατφόρμας που θα επιτρέπει την ταχεία και αποτελεσματική επιχειρησιακή συνεργασία, με απώτερο στόχο την ενίσχυση του δικτύου CSIRT, η Επιτροπή σκοπεύει τώρα να διερευνήσει με ποιον τρόπο η χρηματοδότηση μέσω του χρηματοδοτικού μηχανισμού «Συνδέοντας την Ευρώπη» μπορεί να ωφελήσει και τις εθνικές αρμόδιες αρχές, καθώς επίσης τους φορείς εκμετάλλευσης βασικών υπηρεσιών και τους παρόχους ψηφιακών υπηρεσιών. Συμπέρασμα 7

Ενόψει της επικείμενης εκπνοής της προθεσμίας μεταφοράς της οδηγίας ΑΔΠ στα εθνικά δίκαια στις 9 Μαΐου 2018 και ενόψει της εκπνοής της προθεσμίας προσδιορισμού των φορέων εκμετάλλευσης βασικών υπηρεσιών στις 9 Νοεμβρίου 2018, τα κράτη μέλη θα πρέπει να λάβουν τα κατάλληλα μέτρα προκειμένου να διασφαλίσουν ότι οι διατάξεις και τα πρότυπα συνεργασίας της οδηγίας ΑΔΠ είναι σε θέση να παράσχουν τα βέλτιστα δυνατά εργαλεία σε επίπεδο ΕΕ για την επίτευξη υψηλού κοινού επιπέδου ασφάλειας των συστημάτων δικτύου και πληροφοριών σε ολόκληρη την Ένωση. Η Επιτροπή καλεί τα κράτη μέλη να λάβουν υπόψη, στο πλαίσιο της εν λόγω διαδικασίας, τις σχετικές πληροφορίες, κατευθυντήριες γραμμές και συστάσεις που περιέχονται στην παρούσα ανακοίνωση. Η παρούσα ανακοίνωση είναι δυνατό να συμπληρωθεί περαιτέρω με άλλες νομοθετικές πράξεις, περιλαμβανομένων εκείνων που ενδέχεται να προκύψουν από τις υπό εξέλιξη εργασίες της ομάδας συνεργασίας. 8