Предмет і сфера застосування
1. Ця Директива встановлює інструменти, маючи на меті досягти високого спільного рівня безпеки мережевих та інформаційних систем в межах Союзу для того, щоб покращити функціонування внутрішнього ринку.
2. З цією метою ця Директива:
(a) встановлює обов’язки для всіх держав-членів для ухвалення національної стратегії безпеки мережевих та інформаційних систем;
(b) створює Групу співпраці для підтримки та сприяння стратегічній співпраці та обміну інформацією серед держав-членів та розвитку повної довіри між ними;
(c) створює мережу груп реагування на інциденти, пов’язані з комп’ютерною безпекою («мережа CSIRT») з метою зміцнення повної довіри між державами-членами та сприяння швидкій та дієвій оперативній взаємодії;
(d) встановлює вимоги до безпеки та повідомлення для операторів основних послуг та надавачів цифрових послуг;
(e) встановлює обов’язки для держав-членів для призначення національних компетентних органів, єдиних контактних пунктів та CSIRT із завданнями, пов’язаними з безпекою мережевих та інформаційних систем.
3. Вимоги до безпеки та повідомлення, передбачені в цій Директиві, не повинні застосовуватися до підприємств, на які розповсюджуються вимоги статей 13a та 13b Директиви 2002/21/ЄС, або до надавачів довірчих послуг, на яких розповсюджуються вимоги статті 19 Регламенту (ЄС) № 910/2014.
4. Цю Директиву застосовують без обмеження Директиви Ради 2008/114/ЄС ( - 14 ). та Директив Європейського Парламенту і Ради 2011/93/ЄС ( - 15 ) та 2013/40/ЄС ( - 16 ).
5. Без обмеження статті 346 TFEU інформацією, яка є конфіденційною відповідно до правил Союзу та національних правил, таких як правила щодо комерційної таємниці, обмінюються з Комісією та іншими відповідними органами лише, якщо такий обмін необхідний для застосування цієї Директиви. Обсяг інформації для обміну обмежують до рівня, доцільного та пропорційного цілі такого обміну. Обмінюючись інформацією, необхідно зберігати її конфіденційність та захищати безпекові та комерційні інтереси операторів основних послуг та надавачів цифрових послуг.
6. Ця Директива не обмежує дій, що їх вживають держави-члени для охорони своїх істотних державних функцій, зокрема для забезпечення національної безпеки, у тому числі дій щодо захисту інформації, розкриття якої держави-члени вважають таким, що суперечить суттєвим інтересам їхньої безпеки, та для підтримки закону та порядку, зокрема щоби уможливити розслідування, розкриття та кримінальне переслідування кримінальних правопорушень.
7. Якщо секторальний правовий акт Союзу вимагає від операторів основних послуг чи надавачів цифрових послуг забезпечувати безпеку своїх мережевих та інформаційних систем або повідомляти про інциденти, за умови, що такі вимоги є щонайменше еквівалентними по суті обов’язкам, встановленим у цій Директиві, то необхідно застосовувати зазначені положення такого секторального правового акту ЄС.