KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/1148 z dnia 6 lipca 2016 r. w sprawie środków na rzecz wysokiego wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii (¹), w szczególności jej art. 11 ust. 5,

a także mając na uwadze, co następuje:

(1) Strategiczna współpraca między państwami członkowskimi oraz wymiana informacji, doświadczeń i najlepszych praktyk dotyczących bezpieczeństwa sieci i systemów informatycznych są niezbędne do skutecznego reagowania na wyzwania w postaci incydentów i zagrożeń związanych z bezpieczeństwem tych systemów w całej Unii.

(2) Aby wesprzeć i ułatwić strategiczną współpracę i wymianę informacji między państwami członkowskimi oraz wzmocnić wśród nich zaufanie i pewność, w art. 11 dyrektywy (UE) 2016/1148 ustanowiono grupę współpracy złożoną z przedstawicieli państw członkowskich, Komisji i Agencji Unii Europejskiej ds. Bezpieczeństwa Sieci i Informacji.

(3) Zgodnie z art. 11 dyrektywy (UE) 2016/1148 grupa współpracy ma wykonywać swoje zadania na podstawie dwuletnich programów prac, z których pierwszy musi zostać opracowany do dnia 9 lutego 2018 r. Do zadań grupy współpracy należy między innymi udzielanie strategicznych wskazówek dotyczących działalności sieci zespołów reagowania na incydenty bezpieczeństwa komputerowego, wymiana informacji i najlepszych praktyk oraz omawianie zdolności i gotowości państw członkowskich. Grupa współpracy ma również obowiązek przedłożyć do dnia 9 sierpnia 2018 r., a następnie przedkładać co półtora roku, sprawozdanie oceniające doświadczenia zdobyte w ramach strategicznej współpracy prowadzonej na podstawie wspomnianego artykułu.

(4) Zgodnie z art. 24 ust. 2 dyrektywy (UE) 2016/1148 w okresie od dnia 9 lutego 2017 r. do dnia 9 listopada 2018 r. oraz w celu wspierania państw członkowskich w przyjmowaniu spójnego podejścia w procesie identyfikacji operatorów usług kluczowych grupa współpracy omawia ten proces, treść i rodzaj środków krajowych umożliwiających identyfikację operatorów usług kluczowych w określonym sektorze. Zadaniem grupy współpracy jest także omawianie, na wniosek państwa członkowskiego, konkretnych projektów środków krajowych tego państwa członkowskiego dotyczących identyfikacji operatorów usług kluczowych w określonym sektorze.

(5) Zgodnie z art. 14 ust. 7 dyrektywy (UE) 2016/1148 właściwe organy, działając wspólnie w ramach grupy współpracy, mogą opracować i przyjąć wytyczne dotyczące okoliczności, w których operatorzy usług kluczowych są zobowiązani do zgłaszania incydentów, w tym wytyczne dotyczące parametrów służących określeniu istotności wpływu incydentu.

(6) Zgodnie z art. 11 ust. 2 dyrektywy (UE) 2016/1148 Komisja zapewnia grupie współpracy sekretariat. Komisja powinna także zapewnić obsługę sekretariatu podgrupom utworzonym zgodnie z niniejszą decyzją.

(7) Grupie współpracy powinien przewodniczyć przedstawiciel państwa członkowskiego sprawującego prezydencję w Radzie Unii Europejskiej. Przewodniczącego w wykonywaniu obowiązków powinien wspierać przedstawiciel państwa członkowskiego, które sprawowało poprzednią prezydencję Rady Unii, oraz przedstawiciel państwa, które będzie sprawować następną. Przewodniczący może wskazać obowiązki, w odniesieniu do których potrzebne mu będzie takie wsparcie. W przypadku gdy państwo członkowskie sprawujące prezydencję w Radzie odstępuje od przewodniczenia grupie, wybiera się zastępczego przewodniczącego większością dwóch trzecich głosów członków grupy.

(8) W sprawowaniu swoich obowiązków przewodniczący powinien kierować się zasadami integracyjności, zaangażowania, poszanowania różnorodności i dążenia do konsensusu. W szczególności przewodniczący grupy współpracy powinien umożliwiać wszystkim członkom angażowanie się w prace grupy i przedstawianie różnorodnych poglądów i stanowisk, oraz starać się znajdować rozwiązania, które uzyskają jak najszersze poparcie wśród członków grupy współpracy.

(9) Zgodnie z art. 11 ust. 2 dyrektywy (UE) 2016/1148 grupa współpracy może, w stosownych przypadkach, zaprosić przedstawicieli odpowiednich zainteresowanych stron do udziału w posiedzeniach grupy. W celu zapewnienia, by państwa przystępujące spełniały wymogi określone w dyrektywie (UE) 2016/1148 od dnia przystąpienia, należy zaprosić przedstawicieli tych państw do udziału w posiedzeniach grupy współpracy od dnia podpisania traktatu o przystąpieniu do UE. Decyzję o zaproszeniu przedstawicieli odpowiednich zainteresowanych stron lub ekspertów do udziału w posiedzeniu lub w części posiedzenia grupy współpracy powinien podejmować przewodniczący, chyba że zwykłą większością głosów członków grupa sprzeciwi się uczestnictwu danego przedstawiciela lub eksperta w posiedzeniu lub w jego części.

(10) Jak określono w art. 13 dyrektywy (UE) 2016/1148, Unia może zawierać umowy międzynarodowe zgodnie z art. 218 TFUE z państwami trzecimi i organizacjami międzynarodowymi, umożliwiające ich udział w określonych działaniach grupy współpracy i zawierające zasady organizacji takiego udziału.

(11) W celu usprawnienia swojej działalności grupa współpracy powinna mieć możliwość tworzenia podgrup.

(12) Z myślą o uproszczeniu zasad działania grupa współpracy powinna przyjąć szczegółowy regulamin wewnętrzny, w którym określone zostaną między innymi sposoby dystrybucji dokumentów, procedura pisemna czy też sporządzanie skróconych protokołów posiedzeń.

(13) Zasadniczo obrady grupy nie powinny być dostępne publicznie, ponieważ ich upublicznienie mogłoby mieć negatywny wpływ na budowanie wzajemnego zaufania między członkami, ze względu na fakt, że często dotyczą one kwestii bezpieczeństwa publicznego. Grupa może jednak zdecydować, w porozumieniu z przewodniczącym, o upublicznieniu obrad nad określonymi zagadnieniami oraz o ułatwieniu udostępniania publicznie odpowiedniej dokumentacji.

(14) W celu zapewnienia sprawnego funkcjonowania grupy od dnia, o którym mowa w art. 24 ust. 1 dyrektywy (UE) 2016/1148, niniejsza decyzja powinna wejść w życie w dniu następującym po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

(15) Środki przewidziane w niniejszej decyzji są zgodne z opinią Komitetu ds. Bezpieczeństwa Sieci i Systemów Informatycznych ustanowionego na mocy art. 22 dyrektywy (UE) 2016/1148,

PRZYJMUJE NINIEJSZĄ DECYZJĘ:

Artykuł 1

Cel

Niniejszą decyzją ustanawia się procedury niezbędne do funkcjonowania grupy współpracy ("grupa") powołanej na mocy art. 11 dyrektywy (UE) 2016/1148.

Artykuł 2

Przewodniczący grupy

1. Grupie przewodniczy przedstawiciel państwa członkowskiego sprawującego prezydencję w Radzie Unii Europejskiej. Przewodniczącego w wykonywaniu obowiązków wspiera przedstawiciel państwa członkowskiego, które sprawowało poprzednią prezydencję Rady Unii, oraz przedstawiciel państwa, które będzie sprawować następną.

2. W drodze odstępstwa od ust. 1 i na wniosek przedstawiciela państwa członkowskiego sprawującego prezydencję w Radzie Unii Europejskiej, w przypadku gdy państwo to odstąpiłoby od przewodniczenia grupie, grupa może podjąć decyzję większością dwóch trzecich głosów swoich członków o wybraniu spośród państw członkowskich zastępczego przewodniczącego na okres do momentu objęcia tej funkcji przez następnego przewodniczącego zgodnie z ust. 1.

Artykuł 3

Zwoływanie posiedzeń

1. Posiedzenia grupy zwołuje przewodniczący, bądź z własnej inicjatywy, bądź na wniosek zwykłej większości członków grupy. Przewodniczący przedstawia wstępny harmonogram posiedzeń w trakcie swojej kadencji, uwzględniając program prac grupy.

2. Posiedzenia grupy odbywają się co do zasady w pomieszczeniach Komisji.

Artykuł 4

Metody pracy

Grupa prowadzi prace, łącząc posiedzenia w formie spotkań fizycznych lub wirtualnych z procedurą pisemną.

Artykuł 5

Porządek obrad

1. Przewodniczący, z pomocą sekretariatu, opracowuje porządek obrad i przesyła go członkom grupy.

2. Grupa przyjmuje porządek obrad na początku posiedzenia.

Artykuł 6

Zasady głosowania i stanowiska zajmowane przez członków grupy

1. Decyzje grupy podejmowane są w drodze konsensusu, chyba że w niniejszej decyzji określono inaczej.

2. Jeżeli przeprowadza się głosowanie, członkowie, którzy głosowali przeciw albo wstrzymywali się od głosu, mają prawo do tego, by streszczenie uzasadnienia ich stanowiska zostało załączone do dokumentu poddawanego głosowaniu.

3. Grupa przyjmuje swój program prac większością dwóch trzecich głosów swoich członków.

Artykuł 7

Osoby trzecie i eksperci

1. Przedstawicieli państw przystępujących zaprasza się do udziału w posiedzeniach grupy od daty podpisania traktatu o przystąpieniu do UE.

2. Przewodniczący może, z własnej inicjatywy lub na wniosek członka grupy, podjąć decyzję o zaproszeniu przedstawicieli odpowiednich zainteresowanych stron lub ekspertów do udziału w posiedzeniu grupy lub w określonej części takiego posiedzenia. Członkowie grupy mogą jednak zwykłą większością głosów sprzeciwić się takiemu udziałowi.

3. Przedstawiciele osób trzecich i odpowiednich zainteresowanych stron oraz eksperci, o których mowa w ust. 1 i 2, nie mogą być obecni podczas głosowania grupy ani brać w nim udziału.

Artykuł 8

Tworzenie podgrup

1. Grupa może tworzyć podgrupy celem zbadania określonych kwestii w ramach swoich prac.

2. Grupa określa zakres obowiązków podgrup. Podgrupy składają grupie sprawozdania i są rozwiązywane po wypełnieniu swojego mandatu.

3. Komisja zapewnia podgrupom, o których mowa w ust. 1, obsługę sekretariatu.

4. Przepisy dotyczące dostępu do dokumentów i poufności, o których mowa w art. 10, przepisy dotyczące ochrony danych osobowych, o których mowa w art. 11, oraz przepisy dotyczące kosztów związanych z udziałem w posiedzeniach, o których mowa w art. 12, mają zastosowanie do podgrup.

Artykuł 9

Regulamin wewnętrzny

1. Grupa przyjmuje swój regulamin wewnętrzny większością dwóch trzecich głosów swoich członków.

2. Przewodniczący może zaproponować, na wniosek członka grupy lub z własnej inicjatywy, wprowadzenie zmian do regulaminu.

Artykuł 10

Dostęp do dokumentów i poufność

1. Skierowane do grupy wnioski o dostęp do dokumentów dotyczących działalności grupy rozpatruje Komisja zgodnie z rozporządzeniem (WE) nr 1049/2001 Parlamentu Europejskiego i Rady (²).

2. Obrady grupy nie są publicznie dostępne. W porozumieniu z przewodniczącym grupa może podjąć decyzję o upublicznieniu swoich obrad dotyczących pewnych zagadnień.

3. Dokumenty przekazywane członkom grupy, przedstawicielom osób trzecich i ekspertom nie są udostępniane publicznie, chyba że udzielono dostępu do tych dokumentów zgodnie z ust. 1 lub Komisja udostępnia je publicznie w innym trybie.

4. Przepisy Komisji dotyczące bezpieczeństwa w zakresie ochrony informacji niejawnych UE, ustanowione w decyzji Komisji (UE, Euratom) 2015/443 (³) i (UE, Euratom) 2015/444 (⁴) mają zastosowanie do wszelkich takich informacji otrzymanych bądź przetwarzanych przez grupę lub od niej pochodzących. Informacje przetwarzane przez grupę, które są objęte obowiązkiem zachowania tajemnicy zawodowej, muszą być należycie chronione.

5. Na członkach grupy, a także przedstawicielach osób trzecich i ekspertach, spoczywa obowiązek zachowania poufności, o którym mowa w niniejszym artykule. Przewodniczący zapewnia, by przedstawiciele osób trzecich i eksperci zostali powiadomieni o obowiązujących ich wymaganiach dotyczących poufności.

Artykuł 11

Ochrona danych osobowych

Przetwarzanie przez grupę danych osobowych musi odbywać się zgodnie z rozporządzeniem (WE) nr 45/2001 Parlamentu Europejskiego i Rady (⁵).

Artykuł 12

Koszty związane z udziałem w posiedzeniach

1. Komisja nie wypłaca wynagrodzenia osobom zaangażowanym w działania grupy za świadczone przez nie usługi.

2. Koszty podróży poniesione przez osoby uczestniczące w posiedzeniach grupy mogą być zwracane przez Komisję. Zwrot kosztów następuje zgodnie z przepisami obowiązującymi w Komisji oraz w granicach dostępnych środków przyznanych służbom Komisji w ramach rocznej procedury przydziału zasobów.

Artykuł 13

Wejście w życie

Niniejsza decyzja wchodzi w życie następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Sporządzono w Brukseli dnia 1 lutego 2017 r.