(1)

Ottaen huomioon terrorismin rahoituksen torjunnasta 12 päivänä helmikuuta 2016 annetut neuvoston päätelmät, Euroopan parlamentille ja neuvostolle terrorismin rahoituksen torjunnan vahvistamista koskevasta toimintasuunnitelmasta 2 päivänä helmikuuta 2016 annetun komission tiedonannon ja Euroopan parlamentin ja neuvoston direktiivin (EU) 2017/541 (2) olisi kolmansien maiden kanssa käytävästä kaupasta hyväksyttävä yhteiset säännöt, jotta voidaan varmistaa, että kulttuuriesineitä suojellaan tehokkaasti laittomalta kaupalta sekä niiden häviämiseltä tai tuhoutumiselta, että ihmiskunnan kulttuuriperintö säilyy ja että sellainen terrorismin rahoitus ja rahanpesu, joka tapahtuu myymällä ryöstettyjä kulttuuriesineitä unionissa oleville ostajille, estetään.

(2)

Kansojen ja alueiden riisto voi johtaa kulttuuriesineiden laittomaan kauppaan, erityisesti kun tällaisen laittoman kaupan taustalla on aseellinen konflikti. Tältä osin tässä asetuksessa olisi otettava huomioon pikemminkin kansojen ja alueiden alueelliset ja paikalliset ominaispiirteet kuin kulttuuriesineiden markkina-arvo.

(3)

Kulttuuriesineet ovat osa kulttuuriperintöä, ja niillä on usein huomattavaa kulttuurista, taiteellista, historiallista ja tieteellistä merkitystä. Kulttuuriperintö on yksi sivilisaation keskeisistä osatekijöistä, koska sillä on muun muassa symbolista arvoa ja se muodostaa osan ihmiskunnan kulttuurisesta muistista. Se rikastuttaa kaikkien kansojen kulttuurielämää ja yhdistää ihmisiä yhteisen muistin, tiedon ja sivilisaation kehittymisen kautta. Sitä olisi tämän vuoksi suojeltava luvattomalta käyttöönotolta ja ryöstelyltä. Arkeologisia kohteita on ryöstelty aina, mutta nyt ryöstely on saavuttanut teolliset mittasuhteet, ja on yhdessä laittomissa kaivauksissa löydetyillä kulttuuriesineillä käytävän kaupan kanssa vakava rikos, joka aiheuttaa merkittävää kärsimystä niille, joihin se vaikuttaa suoraan tai epäsuorasti. Kulttuuriesineiden laiton kauppa edistää monissa tapauksissa pakotettua kulttuurista homogenisointia tai pakotettua kulttuuri-identiteetin menettämistä, ja kulttuuriesineiden ryöstely johtaa muun muassa kulttuurien hajoamiseen. Niin kauan kuin on mahdollista käydä kannattavaa kauppaa laittomissa kaivauksissa löydetyillä kulttuuriesineillä ja saada niistä hyötyä ilman mainittavia riskejä, tällaisia kaivauksia ja ryöstelyä jatketaan. Kulttuuriesineiden taloudellisen ja taiteellisen arvon johdosta niillä on voimakasta kysyntää kansainvälisillä markkinoilla. Vaikuttavien kansainvälisten oikeudellisten toimenpiteiden puute ja olemassa olevien toimenpiteiden tehoton täytäntöönpano johtaa siihen, että tällaiset esineet siirtyvät varjotalouden piiriin. Unionin olisi näin ollen kiellettävä laittomasti kolmansista maista vietyjen kulttuuriesineiden siirtäminen unionin tullialueelle painottaen erityisesti kulttuuriesineitä kolmansista maista, jotka ovat aseellisten konfliktien vaikutuspiirissä, etenkin silloin kun terroristi- tai muut rikollisjärjestöt ovat käyneet laittomasti kauppaa tällaisilla kulttuuriesineillä. Vaikka tämä yleinen kielto ei edellytä järjestelmällisiä tarkastuksia, jäsenvaltioiden olisi voitava puuttua asiaan saatuaan tiedon epäilyttävistä kuljetuksista ja toteuttaa kaikki aiheelliset toimenpiteet laittomasti vietyjen kulttuuriesineiden kiinni saamiseksi.

(4)

Kun otetaan huomioon jäsenvaltioissa sovellettavat erilaiset säännöt kulttuuriesineiden unionin tullialueelle tuonnin yhteydessä, olisi toteutettava toimenpiteitä erityisesti sen varmistamiseksi, että tiettyjen kulttuuriesineiden tuontiin sovelletaan yhtenäistä valvontaa niiden unionin tullialueelle saapumisen yhteydessä nykyisten prosessien, menettelyjen ja hallinnollisten välineiden avulla Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 952/2013 yhdenmukaisen täytäntöönpanon toteuttamiseksi (3).

(5)

Sellaisten kulttuuriesineiden suojelu, jotka katsotaan jäsenvaltioiden kansallisaarteiksi, kuuluu jo neuvoston asetuksen (EY) N:o 116/2009 (4) ja Euroopan parlamentin ja neuvoston direktiivin 2014/60/EU (5) soveltamisalaan. Tätä asetusta ei näin ollen olisi sovellettava kulttuuriesineisiin, jotka on luotu unionin tullialueella tai löydetty unionin tullialueelta. Tällä asetuksella käyttöön otettujen yhteisten sääntöjen olisi katettava sellaisten unionin tullialueelle saapuvien kulttuuriesineiden tullikohtelu, jotka eivät ole unionitavaroita. Merkityksellisen tullialueen olisi tätä asetusta sovellettaessa oltava unionin tullialue tuonnin ajankohtana.

(6)

Vapaa-alueiden ja niin sanottujen vapaasatamien kohdalla käyttöön otettavien valvontatoimenpiteiden olisi oltava asianomaisten tullimenettelyjen osalta soveltamisalaltaan mahdollisimman laajat, jotta tätä asetusta ei voisi kiertää käyttämällä hyväksi mainittuja vapaa-alueita, joita voidaan mahdollisesti käyttää laittoman kaupan jatkuvaan leviämiseen. Näiden valvontatoimenpiteiden olisi näin ollen koskettava vapaaseen liikkeeseen luovutettujen kulttuuriesineiden lisäksi erityiseen tullimenettelyyn asetettuja kulttuuriesineitä. Soveltamisala ei kuitenkaan saisi ylittää sitä, mikä on tarpeen laittomasti vietyjen kulttuuriesineiden unionin tullialueelle saapumisen estämiseksi. Vaikka soveltamisalaan olisi sisällyttävä vapaaseen liikkeeseen luovutus ja eräät niistä erityisistä tullimenettelyistä, joihin unionin tullialueelle saapuvat tavarat voidaan asettaa, passitus olisi jätettävä järjestelmällisten valvontatoimenpiteiden ulkopuolelle.

(7)

Kulttuuriomaisuuden luvattoman tuonnin, viennin ja omistusoikeuden siirron kieltämiseksi ja ehkäisemiseksi tehdyssä, 14 päivänä marraskuuta 1970 Pariisissa allekirjoitetussa Unescon yleissopimuksessa, jäljempänä ’vuoden 1970 Unescon yleissopimus’, jonka sopimuspuolina on huomattava määrä jäsenvaltioita, ja varastetuista tai laittomasti maasta viedyistä kulttuuriesineistä tehdyssä, 24 päivänä kesäkuuta 1995 Roomassa allekirjoitetussa Unidroit’n yleissopimuksessa käytetyt määritelmät ovat tuttuja monille kolmansille maille ja useimmille jäsenvaltioille. Tässä asetuksessa käytetään sen vuoksi määritelmiä, jotka perustuvat kyseisiin määritelmiin.

(8)

Kulttuuriesineiden viennin laillisuus olisi tutkittava ensisijaisesti sen maan lakien ja asetusten perusteella, jossa kyseiset kulttuuriesineet luotiin tai josta ne löydettiin. Jottei laillista kauppaa kuitenkaan haitattaisi kohtuuttomasti, henkilön, joka haluaa tuoda kulttuuriesineitä unionin tullialueelle, olisi tietyissä tapauksissa tämän sijaan poikkeuksellisesti sallittava osoittaa laillinen vienti jostain muusta kolmannesta maasta, jossa kulttuuriesineet sijaitsivat ennen niiden lähettämistä unioniin. Tätä poikkeusta olisi sovellettava tapauksissa, joissa maata, jossa kulttuuriesineet luotiin tai josta ne löydettiin, ei voida luotettavasti määrittää tai jos kyseiset kulttuuriesineet vietiin ennen kuin vuoden 1970 Unescon yleissopimus tuli voimaan 24 päivänä huhtikuuta 1972. Jotta tätä asetusta ei voisi kiertää yksinkertaisesti lähettämällä laittomasti vietyjä kulttuuriesineitä johonkin muuhun kolmanteen maahan ennen niiden tuontia unioniin, poikkeuksia olisi sovellettava, kun kulttuuriesineet ovat sijainneet kolmannessa maassa yli viiden vuoden ajan ja muuta tarkoitusta kuin väliaikaista käyttöä, passitusta, jälleenvientiä tai jälleenlaivausta varten. Jos nämä edellytykset täyttyvät useamman kuin yhden maan osalta, huomioon olisi otettava viimeinen niistä maista, joissa kulttuuriesineet sijaitsivat ennen niiden siirtämistä unionin tullialueelle.

(9)

Vuoden 1970 Unescon yleissopimuksen 5 artiklassa sopimusvaltioita kehotetaan perustamaan yksi tai useampi kansallinen laitos kulttuuriesineiden suojelemiseksi laitonta tuontia, vientiä ja omistusoikeuden siirtoa vastaan. Tällaisilla kansallisilla laitoksilla olisi oltava riittävä määrä pätevää henkilökuntaa mainitun yleissopimuksen mukaisen suojelun varmistamiseksi, ja niiden olisi myös mahdollistettava se, että mainitun yleissopimuksen sopimuspuolina olevien jäsenvaltioiden toimivaltaisten viranomaisten kesken voidaan tehdä tarvittavaa aktiivista yhteistyötä turvallisuuskysymyksissä ja kulttuuriesineiden laittoman tuonnin torjunnassa, erityisesti alueilta, jotka ovat aseellisen konfliktin vaikutuspiirissä.

(10)

Jotta ei kohtuuttomasti estettäisi kulttuuriesineiden kauppaa unionin ulkorajojen yli, tätä asetusta olisi sovellettava ainoastaan sellaisiin kulttuuriesineisiin, jotka ylittävät tietyn tällä asetuksella vahvistettavan ikärajan. Lisäksi vaikuttaa asianmukaiselta vahvistaa myös rahallinen kynnys, jotta arvoltaan vähäisemmät kulttuuriesineet jätettäisiin kulttuuriesineiden tuontia unionin tullialueelle koskevien edellytysten ja menettelyjen soveltamisen ulkopuolelle. Näillä rajoilla ja kynnyksillä varmistetaan, että tässä asetuksessa säädetyt toimenpiteet keskittyvät niihin kulttuuriesineisiin, joihin ryöstely konfliktialueilla todennäköisimmin kohdistuu, jättämättä huomiotta muita esineitä, joiden valvonta on tarpeen kulttuuriperinnön suojelun varmistamiseksi.

(11)

Ryöstettyjen kulttuuriesineiden laiton kauppa on todettu terrorismin rahoituksen ja rahanpesun mahdolliseksi lähteeksi ylikansallisessa riskinarvioinnissa, jossa selvitettiin sisämarkkinoihin vaikuttavia rahanpesun ja terrorismin rahoituksen riskejä.

(12)

Tietyt kulttuuriesineiden luokat, nimittäin arkeologiset esineet ja muistomerkkien osat, ovat erityisen alttiita ryöstelylle ja hävittämiselle, joten näyttää olevan tarpeen säätää tehostetun valvonnan järjestelmästä ennen kuin niiden sallitaan saapua unionin tullialueelle. Tällaisessa järjestelmässä olisi edellytettävä jäsenvaltion toimivaltaisen viranomaisen myöntämän tuontiluvan esittämistä ennen kuin kyseiset kulttuuriesineet voidaan luovuttaa vapaaseen liikkeeseen unioniin tai asettaa johonkin muuhun erityiseen tullimenettelyyn kuin passitukseen. Tällaista lupaa hakevien henkilöiden olisi voitava osoittaa laillinen vienti maasta, jossa kulttuuriesineet luotiin tai josta ne löydettiin, asianmukaisilla asiakirjoilla ja todistuksilla, kuten vientitodistuksilla tai omistusoikeuden osoittavilla asiakirjoilla, laskuilla, myyntisopimuksilla, vakuutusasiakirjoilla, kuljetusasiakirjoilla ja asiantuntijoiden arvioinneilla. Jäsenvaltioiden toimivaltaisten viranomaisten olisi täydellisen ja tarkan hakemuksen pohjalta päätettävä luvan myöntämisestä ilman aiheetonta viivytystä. Kaikki tuontiluvat olisi tallennettava sähköiseen järjestelmään.

(13)

Ikoni on mikä tahansa uskonnollisten hahmojen tai uskonnollisten tapahtumien kuvaus. Se voi olla valmistettu eri materiaaleista ja sen koko voi vaihdella, ja se voi olla erittäin suuri tai kannettava. Ikoni on tärkeä ja erottamaton osa jumalanpalveluksia ja liturgista elämää, ja se olisi katsottava osiin puretun uskonnollisen muistomerkin erottamattomaksi osaksi, jos se on joskus ollut osa esimerkiksi kirkon, luostarin tai kappelin sisätiloja joko erillisenä teoksena tai osana arkkitehtonista kalustoa, esimerkiksi ikonostaasia tai ikonijalustaa. Myös tapauksissa, joissa ei tarkkaan tiedetä, mihin muistomerkkiin ikoni kuului, mutta joissa on todisteita siitä, että se oli joskus erottamaton osa jotain muistomerkkiä, erityisesti kun siinä on merkkejä tai osia, jotka osoittavat, että se oli joskus osa ikonostaasia tai ikonijalustaa, ikonin olisi edelleen kuuluttava liitteessä lueteltuun luokkaan ”taiteellisten tai historiallisten muistomerkkien tai kiinteiden muinaisjäännösten osat”.

(14)

Kun otetaan huomioon kulttuuriesineiden erityisluonne, tulliviranomaisten rooli on erittäin tärkeä ja heidän olisi voitava tarvittaessa vaatia ilmoittajalta lisätietoja ja analysoida kulttuuriesineitä suorittamalla fyysinen tarkastus.

(15)

Niiden kulttuuriesineiden, joiden tuonti ei edellytä tuontilupaa, luokkien osalta henkilöiden, jotka haluavat tuoda tällaisia tavaroita unionin tullialueelle, olisi vakuutuksen avulla todistettava niiden laillinen vienti kolmannesta maasta ja otettava tästä vastuu sekä esitettävä riittävät tiedot, jotta tulliviranomaiset voivat tunnistaa kyseiset kulttuuriesineet. Menettelyn helpottamiseksi ja oikeusvarmuuden vuoksi kulttuuriesinettä koskevat tiedot olisi esitettävä käyttäen vakiomuotoista asiakirjaa. Kulttuuriesineiden kuvaamiseen voitaisiin käyttää Object ID -standardia, jota Unesco suosittelee. Tavaroiden haltijan olisi rekisteröitävä nämä tiedot sähköiseen järjestelmään, jotta tulliviranomaisten olisi helpompi tunnistaa ne ja jotta voidaan mahdollistaa riskianalyysi ja kohdennetut tarkastukset sekä varmistaa jäljitettävyys kulttuuriesineiden saavuttua sisämarkkinoille.

(16)

Komission vastuulla olisi oltava perustaa tullia koskevan EU:n keskitetyn asiointipisteen yhteyteen keskitetty sähköinen järjestelmä tuontilupahakemusten ja tuojien vakuutusten toimittamiseksi sekä tietojen, jotka koskevat erityisesti tuojien vakuutuksia ja tuontilupia, vaihtamiseksi jäsenvaltioiden viranomaisten välillä.

(17)

Tämän asetuksen mukaisen tietojen käsittelyn olisi voitava koskea myös henkilötietoja, ja tällainen tietojen käsittely olisi toteutettava unionin oikeuden mukaisesti. Jäsenvaltioiden ja komission olisi käsiteltävä henkilötietoja ainoastaan tämän asetuksen tarkoituksia varten tai asianmukaisesti perustelluissa olosuhteissa rikosten ennalta estämistä, tutkimista, paljastamista tai rikoksiin liittyviä syytetoimia tai rikosoikeudellisten seuraamusten täytäntöönpanoa varten, mukaan lukien yleiseen turvallisuuteen kohdistuvilta uhkilta suojelua ja tällaisten uhkien ehkäisyä varten. Tämän asetuksen soveltamisalaan kuuluvaan henkilötietojen keräämiseen, luovuttamiseen, siirtämiseen, antamiseen tiedoksi ja muuhun käsittelyyn olisi sovellettava Euroopan parlamentin ja neuvoston asetusten (EU) 2016/679 (6) ja (EU) 2018/1725 (7) vaatimuksia. Henkilötietojen käsittelyssä tämän asetuksen tarkoituksia varten olisi myös noudatettava yksityis- ja perhe-elämän kunnioittamista koskevaa oikeutta, joka tunnustetaan ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn Euroopan neuvoston yleissopimuksen 8 artiklassa, sekä oikeutta yksityis- ja perhe-elämän kunnioittamiseen ja oikeutta henkilötietojen suojaan, jotka tunnustetaan Euroopan unionin perusoikeuskirjan 7 ja 8 artiklassa.

(18)

Kulttuuriesineistä, joita ei ole luotu unionin tullialueella tai löydetty unionin tullialueelta, mutta jotka on viety unionitavaroina, ei olisi esitettävä tuontilupaa tai tuojan vakuutusta, kun ne palautetaan kyseiselle alueelle asetuksessa (EU) N:o 952/2013 tarkoitettuina palautustavaroina.

(19)

Kulttuuriesineiden väliaikaisesta maahantuonnista kasvatuksellisiin, tieteellisiin, konservointi-, restaurointi-, näyttely-, digitointi- tai esittävien taiteiden tarkoituksiin, akateemisten laitosten toteuttaman tutkimuksen taikka museoiden tai vastaavien laitosten välisen yhteistyön tarkoituksiin ei myöskään olisi esitettävä lupaa tai vakuutusta.

(20)

Maista, jotka ovat aseellisen konfliktin tai luonnonkatastrofin vaikutuspiirissä, tuotavien kulttuuriesineiden varastointiin, jonka yksinomaisena tarkoituksena on etsiä turvallinen paikka, jossa niiden turvallinen säilyttäminen ja säilyminen voidaan varmistaa viranomaisen toimesta tai valvonnassa, ei olisi sovellettava tuontiluvan tai tuojan vakuutuksen esittämistä koskevaa vaatimusta.

(21)

Jotta kulttuuriesineiden esittämistä kaupallisilla taidemessuilla voitaisiin helpottaa, tuontiluvan ei olisi oltava tarpeen, kun kulttuuriesineet on asetettu asetuksen (EU) N:o 952/2013 250 artiklassa tarkoitettuun väliaikaisen maahantuonnin menettelyyn ja kun tuontiluvan sijasta on toimitettu tuojan vakuutus. Tuontiluvan esittämistä olisi kuitenkin vaadittava silloin kun tällaisten kulttuuriesineiden on määrä jäädä unioniin taidemessujen jälkeen.

(22)

Jotta voidaan varmistaa tämän asetuksen yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa hyväksyä erityiset yksityiskohtaiset järjestelyt, joita sovelletaan kulttuuriesineisiin, jotka ovat palautettuja kulttuuriesineitä, tai kulttuuriesineiden väliaikaiseen maahantuontiin unionin tullialueelle ja turvalliseen säilyttämiseen siellä, tuontilupahakemusten ja -lomakkeiden sekä tuojan vakuutusten ja niiden liiteasiakirjojen mallit sekä tarkemmat niiden toimittamista ja käsittelyä koskevat menettelysäännöt. Komissiolle olisi lisäksi siirrettävä täytäntöönpanovaltaa tehdä järjestelyjä sähköisen järjestelmän perustamiseksi tuontilupahakemusten ja tuojien vakuutusten toimittamista sekä tietojen tallentamista ja jäsenvaltioiden välistä tietojenvaihtoa varten. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (8) mukaisesti.

(23)

Jotta voidaan varmistaa toimien tehokas koordinointi ja välttää niiden päällekkäisyys organisoitaessa koulutusta, valmiuksien kehittämistoimia ja tiedotuskampanjoita sekä teettää asiaankuuluvia tutkimuksia ja tapauksen mukaan laatia standardeja, komission ja jäsenvaltioiden olisi tehtävä yhteistyötä kansainvälisten järjestöjen ja elinten, kuten Unescon, Interpolin, Europolin, Maailman tullijärjestön, Kulttuuriomaisuuden säilyttämisen ja entistämisen kansainvälisen tutkimuskeskuksen ja Kansainvälisen museoneuvoston (ICOM), kanssa.

(24)

Jäsenvaltioiden ja komission olisi kerättävä sähköisesti ja jaettava kulttuuriesineiden kauppavirroista merkityksellistä tietoa, jotta voidaan tukea tämän asetuksen tehokasta täytäntöönpanoa ja luoda perusta sen tulevalle arvioinnille. Avoimuuden ja julkisen valvonnan varmistamiseksi olisi julkaistava mahdollisimman paljon tietoa. Kulttuuriesineiden kauppavirtoja ei voida tehokkaasti seurata vain niiden arvon tai painon mukaan. On olennaisen tärkeää kerätä sähköisesti tietoja ilmoitettujen esineiden lukumäärästä. Koska yhdistetyssä nimikkeistössä ei ole vahvistettu paljousyksikköä kulttuuriesineitä varten, on tarpeen edellyttää, että esineiden lukumäärä ilmoitetaan.

(25)

Tullialan riskienhallintaa koskevassa EU:n strategiassa ja toimintasuunnitelmassa pyritään muun muassa vahvistamaan tulliviranomaisten valmiuksia vastata tehokkaammin kulttuuriesineiden alalla ilmeneviin riskeihin. Asetuksessa (EU) N:o 952/2013 vahvistettuja yhteisen riskinhallintajärjestelmän puitteita olisi käytettävä ja asian kannalta merkityksellisiä riskeihin liittyviä tietoja olisi vaihdettava tulliviranomaisten välillä.

(26)

Jotta kulttuurialalla toimivien kansainvälisten järjestöjen ja elinten asiantuntemusta sekä niiden kokemusta kulttuuriesineillä käytävästä laittomasta kaupasta voidaan hyödyntää, näiden järjestöjen ja elinten antamat suositukset ja ohjeet olisi otettava huomioon yhteisen riskinhallintajärjestelmän puitteissa kulttuuriesineisiin liittyviä riskejä määritettäessä. Erityisesti ICOMin julkaisemia ”punaisia listoja” olisi käytettävä ohjeena määritettäessä ne kolmannet maat, joiden perintö on eniten uhattuna, ja joista viedyillä esineillä tultaisiin muita useammin käymään laitonta kauppaa.

(27)

Kulttuuriesineiden ostajille on tarpeen järjestää tiedotuskampanjoita, jotka koskevat laittoman kaupan riskiä, ja auttaa markkinatoimijoita tämän asetuksen ymmärtämisessä ja soveltamisessa. Jäsenvaltioiden olisi otettava asiaankuuluvat kansalliset yhteyspisteet ja muut tiedotuspalvelut mukaan näiden tietojen levittämiseen.

(28)

Komission olisi varmistettava, että mikroyrityksille sekä pienille ja keskisuurille yrityksille, jäljempänä ’pk-yritykset’, annetaan asianmukaista teknistä apua, ja helpotettava tietojen antamista niille tämän asetuksen panemiseksi tehokkaasti täytäntöön. Unioniin sijoittautuneiden kulttuuriesineitä tuovien pk-yritysten olisi näin ollen voitava hyötyä pienten ja keskisuurten yritysten kilpailukykyä tukevista nykyisistä ja tulevista unionin ohjelmista.

(29)

Vaatimusten noudattamiseen kannustamiseksi ja niiden kiertämisen estämiseksi jäsenvaltioiden olisi otettava käyttöön tehokkaita, oikeasuhteisia ja varoittavia seuraamuksia sellaisia tilanteita varten, joissa tämän asetuksen säännöksiä ei noudateta, ja annettava nämä seuraamukset tiedoksi komissiolle. Jäsenvaltioiden asettamilla tämän asetuksen rikkomista koskevilla seuraamuksilla olisi oltava koko unionissa vastaava pelotevaikutus.

(30)

Jäsenvaltioiden olisi varmistettava, että tulliviranomaiset ja toimivaltaiset viranomaiset sopivat asetuksen (EU) N:o 952/2013 198 artiklan mukaisista toimenpiteistä. Näiden toimenpiteiden yksityiskohtiin olisi sovellettava kansallista lainsäädäntöä.

(31)

Komission olisi hyväksyttävä viipymättä säännöt tämän asetuksen täytäntöönpanosta, erityisesti ne, jotka koskevat tuontiluvan hakemisessa tai tuojan vakuutuksen laatimisessa käytettäviä asianmukaisia sähköisiä vakiolomakkeita, ja perustettava sen jälkeen sähköinen järjestelmä mahdollisimman lyhyessä määräajassa. Tuontilupaa ja tuojan vakuutusta koskevien säännösten soveltamista olisi lykättävä vastaavasti.

(32)

Suhteellisuusperiaatteen mukaisesti on tarpeen ja aiheellista tämän asetuksen perustavoitteiden toteuttamiseksi vahvistaa säännöt kulttuuriesineiden siirtämiselle sekä edellytykset ja menettelyt kulttuuriesineiden tuonnille unionin tullialueelle. Euroopan unionista tehdyn sopimuksen 5 artiklan 4 kohdan mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen aiottujen tavoitteiden saavuttamiseksi,

(1)

Verkko- ja tietojärjestelmillä ja sähköisen viestinnän verkoilla ja palveluilla on yhteiskunnassa elintärkeä rooli, ja niistä on tullut talouskasvun selkäranka. Tieto- ja viestintätekniikka luo pohjaa monimutkaisille järjestelmille, jotka tukevat yhteiskunnan päivittäisiä toimintoja, pitävät talouden pyörät pyörimässä keskeisillä aloilla, kuten terveydenhuollossa, energia-alalla, rahoitusalalla ja liikenteessä, ja erityisesti tukevat sisämarkkinoiden toimintaa.

(2)

Verkko- ja tietojärjestelmien käyttö on nykyisin laajalle levinnyttä kansalaisten, organisaatioiden ja yritysten piirissä kaikkialla unionissa. Digitalisoinnista ja verkkoyhteyksistä on tulossa keskeisiä ominaisuuksia yhä useammissa tuotteissa ja palveluissa, ja esineiden internetin myötä unionissa ennakoidaan otettavan käyttöön äärimmäisen suuri määrä verkkoon kytkettyjä digitaalisia laitteita seuraavan vuosikymmenen aikana. Yhä useammat laitteet liitetään internetiin huolehtimatta samalla siitä, että turvallisuus ja häiriönsietokyky ovat riittävällä tavalla sisäänrakennettuja, mikä johtaa puutteisiin kyberturvallisuudessa. Sertifioinnin vähäinen käyttö johtaa tässä yhteydessä siihen, että kansalaiset, organisaatiot ja yritykset eivät saa riittävästi tietoa tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien kyberturvallisuusominaisuuksista, mikä heikentää luottamusta digitaalisiin ratkaisuihin. Verkko- ja tietojärjestelmillä voidaan tukea kaikkia elämänaloja ja edistää unionin talouskasvua. Nämä järjestelmät ovat ratkaisevan tärkeitä digitaalisten sisämarkkinoiden toteuttamisen kannalta.

(3)

Digitalisoinnin ja verkkoyhteyksien yleistyminen lisää kyberturvallisuuteen liittyviä riskejä, mikä tekee koko yhteiskunnasta alttiimman kyberuhkille ja pahentaa yksilöihin, myös heikommassa asemassa oleviin henkilöihin, kuten lapsiin, kohdistuvia vaaroja. Näiden riskien lieventämiseksi kyberturvallisuutta on tarpeen parantaa unionissa kaikin tarvittavin toimenpitein, jotta kansalaisten, organisaatioiden ja yritysten – komission suosituksessa 2003/361/EY (4) määritellyistä pienistä ja keskisuurista yrityksistä, jäljempänä ’pk-yritykset’, elintärkeiden infrastruktuureiden ylläpitäjiin – käyttämät verkko- ja tietojärjestelmät, televiestintäverkot, digitaaliset tuotteet, palvelut ja laitteet voidaan suojata paremmin kyberuhilta.

(4)

Tuottamalla asiaa koskevaa tietoa ja asettamalla sitä yleisön saataville Euroopan parlamentin ja neuvoston asetuksella (EU) No 526/2013 (5) perustettu Euroopan unionin verkko- ja tietoturvavirasto, jäljempänä ’ENISA’, edistää kyberturvallisuusalan ja etenkin pk- ja startup-yritysten kehittymistä unionissa. ENISAn olisi pyrittävä tiiviimpään yhteistyöhän yliopistojen ja tutkimuslaitosten kanssa, jotta se voisi edistää osaltaan strategista lähestymistapaa, joka koskee riippuvuuden vähentämistä unionin ulkopuolelta peräisin olevista kyberturvallisuustuotteista ja -palveluista, ja vahvistaa unionin sisäisiä toimitusketjuja.

(5)

Kyberhyökkäyksiä tapahtuu yhä enemmän, ja verkottunut talous ja yhteiskunta, joka on alttiimpi kyberuhille ja -hyökkäyksille, edellyttää vahvempaa puolustusvalmiutta. Vaikka kyberhyökkäykset ovat usein rajat ylittäviä, kyberturvallisuus- ja lainvalvontaviranomaisten toimivaltuudet ja poliittiset vastatoimet ovat enimmäkseen kansallisia. Laajamittaiset poikkeamat voivat häiritä keskeisten palvelujen tarjoamista koko unionissa. Tämä edellyttää kohdennettuihin politiikkoihin ja laaja-alaisempiin eurooppalaisen yhteisvastuun ja keskinäisen avunannon välineisiin perustuvia tehokkaita ja koordinoituja vastatoimia ja kriisinhallintaa unionin tasolla. Politiikan laatijoille, toimialalle ja käyttäjille on tärkeää, että kyberturvallisuuden ja häiriönsietokyvyn tilaa unionissa arvioidaan säännöllisesti luotettavan unionin tiedon pohjalta ja että laaditaan järjestelmällisesti ennusteita tulevista kehityskuluista, haasteista ja uhkista unionin tasolla ja maailmanlaajuisesti.

(6)

Unioniin kohdistuvien kyberturvallisuushaasteiden lisääntymisen vuoksi tarvitaan kattava joukko toimenpiteitä, jotka pohjautuisivat aiempaan unionin toimintaan ja edistäisivät toisiaan vahvistavia tavoitteita. Näihin tavoitteisiin sisältyy tarve lisätä jäsenvaltioiden ja yritysten valmiuksia ja varautumiskykyä entisestään sekä parantaa yhteistyötä, tiedonjakamista ja koordinointia, jäsenvaltioiden ja unionin toimielinten, elinten ja laitosten välillä. Koska kyberuhkat ovat luonteeltaan rajattomia, on myös tarpeen lisätä valmiuksia unionin tasolla jäsenvaltioiden toimien täydentämiseksi erityisesti laajamittaisten rajat ylittävien poikkeamien ja kriisien tapauksessa ottaen samalla huomioon, että on tärkeää ylläpitää ja vahvistaa edelleen kansallisia valmiuksia vastata kaikenkokoisiin kyberuhkiin.

(7)

Tarvitaan myös lisätoimia kansalaisorganisaatioiden ja yritysten tietoisuuden lisäämiseksi kyberturvallisuuteen liittyvistä kysymyksistä. Koska poikkeamat lisäksi vähentävät luottamusta digitaalisten palvelujen tarjoajiin ja digitaalisiin sisämarkkinoihin etenkin kuluttajien keskuudessa, luottamusta olisi edelleen vahvistettava tarjoamalla tieto- ja viestintätekniikan tuotteista, palveluista ja prosesseista avointa tietoa, jossa korostetaan, että korkeatasoinenkaan kyberturvallisuussertifiointi ei voi taata, että tieto- ja viestintätekniikan tuote, palvelu tai prosessi olisi täysin turvallinen. Luotettavuuden kasvua voidaan helpottaa unionin laajuisella sertifioinnilla, joka tuo käyttöön yhteiset kyberturvallisuusvaatimukset ja -arviointiperusteet kansallisille markkinoille ja aloille.

(8)

Kyberturvallisuus ei ole ainoastaan teknologiaan liittyvä kysymys, vaan yhtä merkittävällä tavalla ihmisten käyttäytymiseen liittyvä kysymys. Sen vuoksi olisi voimakkaasti edistettävä ”kyberhygieniaa”, eli yksinkertaisia rutiinitoimenpiteitä, jotka säännöllisesti toimeenpantuina ja toteutettuina minimoivat kansalaisten, organisaatioiden ja yritysten altistumisen kyberuhkien riskeille.

(9)

Unionin kyberturvallisuuden rakenteiden vahvistamiseksi on tärkeää ylläpitää ja kehittää jäsenvaltioiden valmiuksia vastata kattavasti kyberuhkiin, myös rajat ylittävien poikkeamien tapauksessa.

(10)

Yrityksillä ja yksittäisillä kuluttajilla olisi oltava tarkat tiedot varmuustasosta, jolla tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien turvallisuus on sertifioitu. Samalla mikään tieto- ja viestintätekniikan tuote tai palvelu ei ole täysin kyberturvallinen, ja kyberhygienian perussääntöjä olisi edistettävä ja ne olisi asetettava etusijalle. Koska esineiden internetin laitteita on yhä enemmän saatavilla, yksityissektori voi toteuttaa useita vapaaehtoisia toimenpiteitä vahvistaakseen luottamusta tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien turvallisuuteen.

(11)

Nykyaikaiset tieto- ja viestintätekniikan tuotteet ja järjestelmät käsittävät usein yhden tai useamman kolmannen osapuolen teknologiaa ja komponentteja – kuten ohjelmistomoduuleja, ohjelmakirjastoja tai ohjelmointirajapintoja – ja ovat niistä riippuvaisia. Tämä riippuvuus voi aiheuttaa uusia kyberturvallisuusriskejä, koska kolmansien osapuolten komponenteissa olevat haavoittuvuudet voivat vaikuttaa myös tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien turvallisuuteen. Monissa tapauksissa riippuvuuksien tunnistaminen ja dokumentointi auttaa tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien loppukäyttäjiä parantamaan kyberturvallisuusriskien hallintatoimia parantamalla esimerkiksi käyttäjien toteuttamia kyberturvallisuuden haavoittuvuuden hallinta- ja korjaamismenettelyjä.

(12)

Tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien suunnitteluun ja kehittämiseen osallistuvia organisaatioita, valmistajia tai tarjoajia olisi kannustettava ottamaan käyttöön suunnittelun ja kehittämisen mahdollisimman varhaisissa vaiheissa toimenpiteitä kyseisten tuotteiden, prosessien ja palvelujen turvallisuuden suojaamiseksi parhaalla mahdollisella tavalla siten, että kyberhyökkäyksiä oletetaan tapahtuvan ja niiden vaikutukset minimoidaan, jäljempänä ’sisäänrakennettu turvallisuus’. Turvallisuuteen olisi kiinnitettävä huomiota tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin koko elinkaaren ajan, käyttämällä suunnittelu- ja kehittämisprosesseja, jotka muuttuvat jatkuvasti ilkivallasta aiheutuvan haitan muodostaman riskin madaltamiseksi.

(13)

Yritysten, organisaatioiden ja julkisen sektorin olisi konfiguroitava suunnittelemansa tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit tavalla, jolla varmistetaan korkeampi turvallisuuden taso, jonka ansiosta ensimmäinen käyttäjän pitäisi saada oletuskonfiguraatio, jossa on mahdollisimman turvalliset oletusasetukset, jäljempänä ’oletusarvoinen turvallisuus’, ja siten kevennettäisiin rasitetta, joka käyttäjälle aiheutuu siitä, että hänen pitää muuttaa tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin asetuksia asianmukaisesti. Oletusarvoinen turvallisuus ei saisi edellyttää mittavaa konfigurointia eikä teknistä erityisosaamista tai muuta kuin ilmeistä käyttäytymistä käyttäjältä, ja sen olisi täytäntöönpantuna toimittava helposti ja luotettavasti. Jos riski- ja käytettävyysanalyysin perusteella voidaan tapauskohtaisesti päätellä, että tällainen asetus ei ole toteutettavissa oletusarvoisena, käyttäjiä olisi pyydettävä valitsemaan kaikkein turvallisin asetus.

(14)

ENISA perustettiin Euroopan parlamentin ja neuvoston asetuksella (EY) N:o 460/2004 (6), tavoitteena osaltaan varmistaa korkeatasoinen ja tehokas verkko- ja tietoturva unionissa ja luoda verkko- ja tietoturvakulttuuri, josta on hyötyä kansalaisille, kuluttajille, yrityksille ja julkishallinnoille. Euroopan parlamentin ja neuvoston asetuksella (EY) N:o 1007/2008 (7), ENISAn toimikautta jatkettiin maaliskuuhun 2012. Euroopan parlamentin ja neuvoston asetuksella (EU) N:o 580/2011 (8) ENISAn toimikautta jatkettiin edelleen 13 päivään syyskuuta 2013. Asetuksella (EU) N:o 526/2013 ENISAn toimikautta jatkettiin 19 päivään kesäkuuta 2020.

(15)

Unioni on jo toteuttanut merkittäviä toimia varmistaakseen kyberturvallisuuden ja lisätäkseen luottamusta digitaaliteknologioihin. Vuonna 2013 hyväksyttiin Euroopan unionin kyberturvallisuusstrategia ohjaamaan unionin poliittisia vastatoimia kyberuhkiin ja -riskeihin. Tarjotakseen kansalaisille paremman suojan verkkoympäristössä unioni hyväksyi vuonna 2016 ensimmäisenä kyberturvallisuusalan säädöksenä Euroopan parlamentin ja neuvoston direktiivin (EU) 2016/1148 (9). Direktiivillä (EU) 2016/1148 otettiin käyttöön vaatimukset kansallisista valmiuksista kyberturvallisuuden alalla, ensimmäiset mekanismit jäsenvaltioiden strategisen ja operatiivisen yhteistyön tehostamiseksi sekä velvoitteet toteuttaa turvallisuustoimenpiteitä ja tehdä ilmoitukset poikkeamista talouden ja yhteiskunnan kannalta olennaisilla aloilla, kuten energia, liikenne, juomaveden toimittaminen ja jakelu, pankkitoiminta, rahoitusmarkkinoiden infrastruktuurit, terveydenhuolto ja digitaalinen infrastruktuuri sekä keskeisten digitaalisten palvelujen (hakukoneet, pilvipalvelut ja verkossa toimivat markkinapaikat) tarjoajat.

ENISAlle annettiin keskeinen rooli tukea kyseisen direktiivin täytäntöönpanoa. Lisäksi kyberrikollisuuden torjunta on tärkeä prioriteetti Euroopan turvallisuusagendassa, joka tältä osin edistää yleistä tavoitetta saavuttaa kyberturvallisuuden korkea taso. Myös muut säädökset, kuten Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (10) sekä Euroopan parlamentin ja neuvoston direktiivit 2002/58/EY (11) ja (EU) 2018/1972 (12), edistävät kyberturvallisuuden korkeaa tasoa digitaalisilla sisämarkkinoilla.

(16)

Sen jälkeen, kun Euroopan unionin kyberturvallisuusstrategia hyväksyttiin vuonna 2013 ja ENISAn toimeksiantoa viimeksi tarkistettiin, yleinen poliittinen tilanne on muuttunut merkittävästi, koska globaali toimintaympäristö on muuttunut epävarmemmaksi ja vähemmän turvatuksi. Tätä taustaa vasten ja ottaen huomioon ENISAn roolin myönteisen kehityksen neuvonnan ja asiantuntemuksen viitetahona, yhteistyön ja valmiuksien kehittämisen edistäjänä sekä osana uutta unionin kyberturvallisuuspolitiikkaa on tarpeen tarkistaa ENISAn toimeksiantoa, vahvistaa sen rooli muuttuneessa kyberturvallisuusekosysteemissä ja varmistaa, että se auttaa tehokkaasti unionia vastaamaan tästä perusteellisesti muuttuneesta kyberuhkaympäristöstä johtuviin kyberturvallisuushaasteisiin. Kuten ENISAn arvioinnissa todettiin, sen nykyinen toimeksianto ei ole riittävä näiden haasteiden kannalta.

(17)

Tällä asetuksella perustetun ENISAn olisi jatkettava asetuksella (EU) N:o 526/2013 perustetun ENISAn toimintaa. ENISAn olisi hoidettava tehtäviä, jotka sille annetaan tässä asetuksessa ja muissa unionin säädöksissä kyberturvallisuuden alalla, muun muassa tarjoamalla neuvontaa ja asiantuntemusta ja toimimalla unionin tietokeskuksena. Sen olisi edistettävä parhaiden käytäntöjen vaihtoa jäsenvaltioiden ja yksityisten sidosryhmien välillä antamalla toimintapoliittisia ehdotuksia komissiolle ja jäsenvaltioille, toimimalla viitetahona unionin alakohtaisille toimintapoliittisille aloitteille kyberturvallisuuskysymyksissä ja edistämällä operatiivista yhteistyötä sekä jäsenvaltioiden välillä että jäsenvaltioiden ja unionin toimielinten, elinten ja laitosten välillä.

(18)

Valtion- tai hallitusten päämiesten tasolla kokoontuneiden jäsenvaltioiden edustajien yhteisellä sopimuksella tehdyllä päätöksellä (EY, Euratom) 2004/97/ (13) jäsenvaltioiden edustajat päättivät, että ENISAn kotipaikaksi tulee Kreikan hallituksen myöhemmin nimeämä kaupunki Kreikassa. ENISAn isäntäjäsenvaltion olisi huolehdittava siitä, että ENISAlla on parhaat mahdolliset toimintaedellytykset. ENISAn tehtävien moitteettoman ja tehokkaan suorittamisen, henkilöstön palvelukseenoton ja sitouttamisen sekä verkostoitumisen tehokkuuden kannalta ENISAn on sijaittava soveltuvassa paikassa, jossa on muun muassa toimivat liikenneyhteydet ja palveluja ENISAn henkilöstön mukana tuleville puolisoille ja lapsille. Tarvittavat järjestelyt olisi vahvistettava ENISAn ja isäntäjäsenvaltion välisessä sopimuksessa, joka tehdään sen jälkeen kun ENISAn johtokunta on antanut hyväksyntänsä.

(19)

Unioniin kohdistuvien kyberturvallisuusriskien ja -haasteiden lisääntyessä ENISAn määrärahoja ja henkilöresursseja olisi lisättävä siten, että ne vastaavat sen uutta roolia ja tehtäviä sekä sen keskeistä asemaa unionin digitaalista ekosysteemiä puolustavassa organisaatioiden ekosysteemissä, mikä antaisi ENISAlle mahdollisuuden toteuttaa tehokkaasti sille tällä asetuksella annetut tehtävät.

(20)

ENISAn olisi kehitettävä ja ylläpidettävä korkealaatuista asiantuntemusta ja toimittava viitetahona, joka vahvistaa uskoa ja luottamusta sisämarkkinoihin riippumattomuutensa, antamansa neuvonnan ja levittämänsä tiedon laadun, menettelyjensä ja toimintatapojensa avoimuuden sekä tehtäviensä suorittamisessa osoittamansa huolellisuuden ansiosta. ENISAn olisi aktiivisesti tuettava kansallisia toimia ja osaltaan proaktiivisesti edistettävä unionin toimia ja suoritettava tehtävänsä täydessä yhteistyössä unionin toimielinten, elinten ja laitosten sekä jäsenvaltioiden kanssa, vältettävä päällekkäistä työtä sekä edistettävä synergiaa. Lisäksi ENISAn olisi hyödynnettävä yksityisen sektorin ja muiden asiaankuuluvien sidosryhmien näkemyksiä ja niiden kanssa tehtävää yhteistyötä. ENISAn tehtävänannossa olisi vahvistettava, miten ENISAn on määrä saavuttaa tavoitteensa niin, että se pystyy toimimaan joustavasti.

(21)

Jotta ENISA voisi tukea asianmukaisesti jäsenvaltioiden operatiivista yhteistyötä, sen olisi vahvistettava entisestään sen teknisiä ja henkilöstöön liittyviä valmiuksia ja taitoja. ENISAn olisi parannettava osaamistaan ja valmiuksiaan. ENISA ja jäsenvaltiot voisivat kehittää vapaaehtoisuuden pohjalta ohjelmia kansallisten asiantuntijoiden lähettämiseksi ENISAan, asiantuntijapoolien perustamiseksi ja henkilöstön vaihtamiseksi.

(22)

ENISAn olisi avustettava komissiota antamalla neuvoja, lausuntoja ja analyysejä kaikista unionin asioista, jotka liittyvät kyberturvallisuusalaa ja sen alakohtaisia näkökohtia koskevan toimintapolitiikan ja lainsäädännön kehittämiseen, päivittämiseen ja uudelleentarkasteluun, jotta kyberturvallisuuteen liittyvistä unionin toimintapolitiikoista ja lainsäädännöstä saataisiin merkityksellisempiä ja kyseiset toimintapolitiikat ja lainsäädäntö voitaisiin panna yhdenmukaisesti täytäntöön kansallisella tasolla. ENISAn olisi toimittava neuvonnan ja asiantuntemuksen viitetahona unionin alakohtaisille toimintapoliittisille ja lainsäädännöllisille aloitteille, kun niihin liittyy kyberturvallisuuskysymyksiä. ENISAn olisi säännöllisesti tiedotettava toiminnastaan Euroopan parlamentille.

(23)

Avoimen internetin julkinen ydin – eli sen tärkeimmät protokollat ja infrastruktuuri, jotka ovat globaali julkishyödyke – huolehtii koko internetin keskeisistä toiminnoista ja tukee sen normaalia toimintaa. ENISAn olisi tuettava muun muassa mutta ei pelkästään avoimen internetin julkisen ytimen keskeisten protokollien (erityisesti DNS:n, BGP:n ja iPv6:n) toiminnan turvallisuutta ja vakautta, verkkotunnusjärjestelmän toimintaa (mukaan lukien kaikkien aluetunnusten toiminta) sekä juurialueen toimintaa.

(24)

ENISAn lähtökohtaisena tehtävänä on edistää asianomaisen lainsäädännön johdonmukaista täytäntöönpanoa ja erityisesti direktiivin (EU) 2016/1148 ja muiden asiaankuuluvien kyberturvallisuusnäkökohtia käsittelevien säädösten tehokasta täytäntöönpanoa, millä on olennainen merkitys kyberresilienssin lisäämisen kannalta. Koska kyberuhkaympäristö muuttuu nopeasti, on selvää, että jäsenvaltioita on tuettava omaksumalla kokonaisvaltaisempi, monialainen lähestymistapa kyberresilienssin rakentamiseen.

(25)

ENISAn olisi avustettava jäsenvaltioita sekä unionin toimielimiä, elimiä ja laitoksia niiden pyrkimyksissä kehittää ja parantaa valmiuksia ja varautumiskykyä ehkäistä ja havaita kyberuhkia ja -poikkeamia ja reagoida niihin verkko- ja tietojärjestelmien turvallisuuden kannalta. ENISAn olisi erityisesti tuettava direktiivillä (EU) 2016/1148 perustettujen kansallisten ja unionin tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden, jäljempänä ’CSIRT-toimijat’, kehittämistä ja tehostamista, jotta niiden kehitysaste olisi yhteisellä korkealla tasolla unionissa. Jäsenvaltioiden operatiivisiin valmiuksiin liittyvien ENISAn toimien olisi tuettava aktiivisesti toimia, joita jäsenvaltiot toteuttavat täyttääkseen direktiivistä (EU) 2016/1148 johtuvat velvoitteensa. ENISAn toimet eivät siksi saisi syrjäyttää jäsenvaltioiden toimia.

(26)

ENISAn olisi myös autettava kehittämään ja päivittämään unionin ja pyynnöstä jäsenvaltioiden strategioita, jotka koskevat verkko- ja tietojärjestelmien turvallisuutta, erityisesti kyberturvallisuutta, ja sen olisi edistettävä tällaisten strategioiden levittämistä ja seurattava niiden täytäntöönpanon edistymistä. ENISAn olisi myös osallistuttava koulutusta ja koulutusmateriaalia koskevien tarpeiden kattamiseen, myös julkisten elinten tarpeiden osalta, ja tarvittaessa suuressa määrin ”koulutettava kouluttajia” kansalaisille tarkoitetun eurooppalaisen digitaalisten taitojen puitekehyksen pohjalta, jotta jäsenvaltioita sekä unionin toimielimiä, elimiä ja laitoksia voidaan auttaa kehittämään omia koulutusvalmiuksiaan.

(27)

ENISAn olisi tuettava jäsenvaltioita kyberturvallisuutta koskevan tietoisuuden lisäämisen ja koulutuksen alalla helpottamalla tiiviimpää yhteistyötä ja parhaiden käytäntöjen vaihtoa jäsenvaltioiden välillä. Tällaiseen tukeen voisi kuulua muun muassa kansallisten koulutusalan yhteyspisteiden verkoston ja kyberturvallisuuden koulutusfoorumin kehittäminen. Kansallisten koulutusalan yhteyspisteiden verkosto voisi toimia kansallisten yhteyshenkilöiden verkostossa ja olla tulevan jäsenvaltioiden sisäisen koordinoinnin käynnistäjä.

(28)

ENISAn olisi avustettava direktiivillä (EU) 2016/1148 perustettua yhteistyöryhmää sen tehtävien suorittamisessa erityisesti tarjoamalla asiantuntemusta ja neuvontaa sekä helpottamalla parhaiden käytäntöjen vaihtoa muun muassa jäsenvaltioiden toteuttamasta keskeisten palvelujen tarjoajien määrittämisestä, myös rajat ylittävien riippuvuussuhteiden osalta, siltä osin kuin kyse on riskeistä ja poikkeamista.

(29)

Julkisen ja yksityisen sektorin välisen ja yksityisen sektorin sisäisen yhteistyön edistämiseksi ja erityisesti kriittisten infrastruktuurien suojelun tukemiseksi ENISAn olisi tuettava alojen sisäistä ja niiden välistä tietojen jakamista – erityisesti direktiivin (EU) 2016/1148 liitteessä II lueteltujen alojen osalta – tarjoamalla käyttöön parhaita käytäntöjä ja ohjeita käytettävissä olevista välineistä ja menettelyistä sekä ohjeita tietojen jakamiseen liittyvien sääntelykysymysten ratkaisemiseksi esimerkiksi helpottamalla tietojen jakamisen ja analysoinnin alakohtaisten keskusten perustamista.

(30)

Koska tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien haavoittuvuuksien potentiaaliset kielteiset vaikutukset lisääntyvät jatkuvasti, tällaisten haavoittuvuuksien löytämisellä ja korjaamisella on merkittävä rooli kyberturvallisuuteen kohdistuvan kokonaisriskin pienentämisessä. Organisaatioiden, haavoittuvien tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien valmistajien tai tarjoajien sekä haavoittuvuuksia löytävien kyberturvallisuusalan tutkimusyhteisön jäsenten ja hallitusten välisen yhteistyön on todettu lisäävän merkittävästi tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien haavoittuvuuksien löytämistä ja korjaamista. Koordinoitu haavoittuvuuksien julkistaminen on jäsennelty yhteistyöprosessi, jossa haavoittuvuuksista raportoidaan tietojärjestelmän omistajalle, minkä ansiosta organisaatio voi diagnosoida ja korjata haavoittuvuuden ennen kuin sitä koskevat yksityiskohtaiset tiedot julkistetaan kolmansille osapuolille tai suurelle yleisölle. Prosessiin sisältyy myös löytäjän ja organisaation välinen koordinointi kyseisten haavoittuvuuksien julkaisemisen osalta. Koordinoiduilla haavoittuvuuksien julkistamisen hallintapolitiikalla voi olla merkittävä rooli kyberturvallisuuden lisäämiseen tähtäävissä jäsenvaltioiden toimissa.

(31)

ENISAn olisi koottava ja analysoitava CSIRT-toimijoiden ja Euroopan parlamentin, Eurooppa-neuvoston, Euroopan unionin neuvoston, Euroopan komission, Euroopan unionin tuomioistuimen, Euroopan keskuspankin, Euroopan tilintarkastustuomioistuimen, Euroopan ulkosuhdehallinnon, Euroopan talous- ja sosiaalikomitean, Euroopan alueiden komitean ja Euroopan investointipankin välisellä järjestelyllä unionin toimielinten, elinten ja virastojen tietotekniikan kriisiryhmän organisaatiosta ja toiminnasta perustetun unionin toimielinten, elinten ja laitosten tietotekniikan kriisiryhmän, jäljempänä CERT-EU (14), vapaaehtoisesti toimittamat kansalliset raportit tietojenvaihdossa käytettävien yhteisten menettelyjen, kielen ja terminologian vahvistamista varten. Tässä yhteydessä ENISAn olisi myös otettava yksityinen sektori mukaan direktiivin (EU) 2016/1148 kehykseen, jossa vahvistettiin perusta vapaaehtoiselle teknisten tietojen vaihdolle operatiivisella tasolla kyseisellä direktiivillä perustetussa tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden välisessä verkostossa, jäljempänä ’CSIRT-verkosto’.

(32)

ENISAn olisi osallistuttava unionin tason reagointiin laajamittaisten rajat ylittävien kyberturvallisuuspoikkeamien ja -kriisien tapauksessa. Tämä tehtävä olisi täytettävä ENISAn tämän asetuksen mukaisen toimeksiannon ja sen toimintamallin mukaisesti, josta jäsenvaltiot sopivat komission suosituksen (EU) 2017/1584 (15) ja EU:n koordinoidusta reagoinnista laajamittaisiin kyberturvallisuuspoikkeamiin ja -kriiseihin 26 päivänä kesäkuuta 2018 annettujen neuvoston päätelmien perusteella. Tähän tehtävään voisi kuulua tarvittavan tiedon keruu ja toimiminen välittäjänä CSIRT-verkoston ja tekniikan alan toimijoiden sekä kriisinhallinnasta vastaavien päätöksentekijöiden välillä. Lisäksi ENISAn olisi voitava yhden tai useamman jäsenvaltion pyynnöstä tukea jäsenvaltioiden välistä operatiivista yhteistyötä poikkeamien käsittelemisessä teknisestä näkökulmasta helpottamalla tarvittavaa ratkaisujen teknistä vaihtoa jäsenvaltioiden välillä ja osallistumalla julkiseen viestintään. ENISAn olisi tuettava tätä prosessia testaamalla tällaista yhteistyötä koskevia järjestelyjä säännöllisissä kyberturvallisuusharjoituksissa.

(33)

ENISAn olisi operatiivista yhteistyötä tukiessaan hyödynnettävä saatavilla olevaa CERT-EU:n teknistä ja operatiivista asiantuntemusta jäsennellyssä yhteistyössä. Tällainen jäsennelty yhteistyö voisi kehittää ENISAn asiantuntemusta. Tarvittaessa tällaisen yhteistyön käytännön toteutus olisi määriteltävä erityisin järjestelyin näiden kahden yhteisön välillä päällekkäisiä tehtäviä välttäen.

(34)

Operatiivista yhteistyötä CSIRT-verkostossa tukevia tehtäviänsä suorittaessaan ENISAn olisi voitava tarjota pyynnöstä tukea jäsenvaltioille esimerkiksi antamalla neuvoja siitä, miten nämä voivat kehittää valmiuksiaan ehkäistä ja havaita poikkeamia sekä reagoida niihin, helpottamalla vaikutukseltaan merkittävien poikkeamien teknistä käsittelyä tai varmistamalla, että kyberuhat ja poikkeamat analysoidaan. ENISAn olisi helpotettava vaikutukseltaan merkittävien poikkeamien teknistä käsittelyä erityisesti tukemalla teknisten ratkaisujen vapaaehtoista jakamista jäsenvaltioiden välillä tai tuottamalla yhdistettyjä teknisiä tietoja, kuten jäsenvaltioiden vapaaehtoisesti jakamia teknisiä ratkaisuja. Komission suosituksessa (EU) 2017/1584 suositellaan, että jäsenvaltiot tekisivät yhteistyötä vilpittömässä mielessä ja vaihtaisivat keskenään ja ENISAn kanssa tietoja laajamittaisista kyberturvallisuuspoikkeamista ja kyberturvallisuuskriiseihin liittyviä tietoja ilman aiheetonta viivytystä. Tällainen tieto auttaisi ENISAa sen operatiivisen yhteistyön tukemiseen liittyvien tehtävien suorittamisessa.

(35)

ENISAn olisi osana unionin tilannetietoisuutta tukevaa säännöllistä teknisen tason yhteistyötä laadittava poikkeamista ja kyberuhkista säännöllisesti ja tiiviissä yhteistyössä jäsenvaltioiden kanssa perusteellisia unionin kyberturvallisuuden teknisiä tilanneraportteja, jotka perustuvat julkisesti saatavilla oleviin tietoihin, sen omaan analyysiin sekä raportteihin, joita se on saanut jäsenvaltioiden CSIRT-toimijoilta tai direktiivillä (EU) 2016/1148 perustetuilta verkko- ja tietojärjestelmien turvallisuudesta vastaavilta keskitetyiltä kansallisilta yhteyspisteiltä, jäljempänä ’keskitetyt yhteyspisteet’, vapaehtoisuuteen perustuvassa tiedonvaihdossa taikka Europolissa toimivalta Euroopan kyberrikostorjuntakeskukselta, jäljempänä ’EC3’, ja CERT-EU:lta sekä tarvittaessa Euroopan unionin tiedusteluanalyysikeskukselta (EU INTCEN) ja Euroopan ulkosuhdehallinnolta. Raportti olisi asetettava neuvoston, komission ja unionin ulkoasioiden ja turvallisuuspolitiikan korkean edustajan asianomaisten yksiköiden ja CSIRT-verkoston saataville.

(36)

ENISAn tuessa vaikutukseltaan merkittävien poikkeamien jälkikäteen tehtävälle tekniselle tutkinnalle, jota asianomaiset jäsenvaltiot ovat pyytäneet, olisi keskityttävä poikkeamien välttämiseen jatkossa. Kyseisten jäsenvaltioiden olisi toimitettava ENISAlle tarvittavat tiedot ja apu, jotta tämä voi tehokkaasti tukea jälkikäteen tehtävää teknistä tutkintaa.

(37)

Jäsenvaltiot voivat pyytää yrityksiä, joita poikkeama koskee, tekemään yhteistyötä antamalla tarvittavan tiedon ja avun ENISAlle, sanotun kuitenkaan rajoittamatta niiden oikeutta suojata kaupallisesti arkaluonteiset tiedot ja yleisen turvallisuuden kannalta merkitykselliset tiedot.

(38)

Ymmärtääkseen paremmin kyberturvallisuuden alaan liittyviä haasteita ja tarjotakseen strategista pitkän aikavälin neuvontaa jäsenvaltioille ja unionin toimielimille, elimille ja laitoksille ENISAn on tarpeen analysoida nykyisiä ja kehittymässä olevia kyberturvallisuusriskejä. Tätä varten ENISAn olisi yhteistyössä jäsenvaltioiden ja tarvittaessa tilastokeskusten ja muiden elinten kanssa kerättävä tarvittavaa julkisesti saatavilla olevaa tai vapaaehtoisesti toimitettua tietoa sekä tehtävä analyysejä uusista teknologioista ja aihekohtaisia arviointeja teknologisten innovaatioiden odotettavissa olevista yhteiskunnallisista, oikeudellisista, taloudellisista ja sääntelyyn liittyvistä vaikutuksista verkko- ja tietoturvallisuuden ja erityisesti kyberturvallisuuden kannalta. ENISAn olisi myös tuettava jäsenvaltioita ja unionin toimielimiä, elimiä ja laitoksia riskien kartoittamisessa ja poikkeamien ehkäisyssä tekemällä analyyseja kyberuhkista, haavoittuvuuksista ja poikkeamista.

(39)

Unionin häiriönsietokyvyn lisäämiseksi ENISAn olisi kehitettävä erityisesti direktiivin (EU) 2016/1148 liitteessä II mainittuja aloja tukevien ja saman direktiivin liitteessä III mainittujen digitaalisten palvelujen tarjoajien hyödyntämien infrastruktuurien kyberturvallisuuteen liittyvää asiantuntemusta tarjoamalla neuvontaa, antamalla ohjeita ja vaihtamalla parhaita käytäntöjä. Jotta kyberturvallisuusriskeistä ja mahdollisista suojakeinoista saataisiin tietoa helpommin ja paremmin jäsennellyssä muodossa, ENISAn olisi kehitettävä unionin ”tietokeskus” ja ylläpidettävä sitä. Kyseessä on keskitetty verkkoportaali, josta yleisö saa unionin ja kansallisilta toimielimiltä, elimiltä ja laitoksilta peräisin olevaa tietoa kyberturvallisuudesta. Kyberturvallisuusriskejä ja mahdollisia suojakeinoja koskevien paremmin jäsenneltyjen tietojen saannin helpottaminen voi myös auttaa jäsenvaltioita kehittämään valmiuksiaan, yhdenmukaistamaan käytäntöjään ja siten parantamaan yleistä kyberhyökkäysten sietokykyä.

(40)

ENISAn olisi autettava lisäämään yleisön tietoisuutta kyberturvallisuusriskeistä, myös unionin laajuisella tiedotuskampanjalla koulutusta edistämällä, ja antamaan kansalaisten, organisaatioiden ja yritysten käyttöön yksittäisille käyttäjille tarkoitettuja ohjeita hyvistä toimintatavoista. ENISAn olisi myös osaltaan edistettävä parhaita käytäntöjä ja ratkaisuja, kuten kyberhygieniaa ja kyberlukutaitoa, kansalaisten, organisaatioiden ja yritysten tasolla keräämällä ja analysoimalla julkisesti saatavilla olevia tietoja merkittävistä poikkeamista ja kokoamalla ja julkaisemalla raportteja ja ohjeita ohjeistuksen antamiseksi kansalaisille, organisaatioille ja yrityksille yleisen varautumis- ja häiriönsietokykytason parantamiseksi. ENISAn olisi myös pyrittävä tarjoamaan kuluttajille asiaa koskevia tietoa sovellettavista sertifiointijärjestelmistä esimerkiksi tarjoamalla ohjeistusta ja suosituksia. ENISAn olisi myös järjestettävä 17 päivänä tammikuuta 2018 annetun komission tiedonannon perusteella perustetun digitaalisen koulutuksen toimintasuunnitelman mukaisesti ja yhteistyössä jäsenvaltioiden sekä unionin toimielinten, elinten, ja laitosten kanssa säännöllisiä loppukäyttäjille suunnattuja tiedotus- ja valistuskampanjoita, jotta edistetään turvallisempaa verkkokäyttäytymistä yksilötasolla ja digitaalista lukutaitoa ja lisätään tietoisuutta kybertoimintaympäristössä piilevistä mahdollisista kyberuhkista, mukaan lukien verkkourkintayritysten, bottiverkkojen, talous- ja pankkipetosten sekä tietopetostapahtumien kaltainen kyberrikollisuus, sekä edistetään yleisluonteisen neuvonnan antamista monivaiheista aitouden todentamista, paikkausta, salaamista, anonymisointia ja tietosuojaa koskevissa kysymyksissä.

(41)

ENISAlla olisi oltava keskeinen rooli pyrittäessä lisäämään loppukäyttäjien tietoisuutta laitteiden turvallisuudesta ja palvelujen turvallisesta käytöstä, ja sen olisi edistettävä unionin tasolla sisäänrakennettua turvallisuutta ja sisäänrakennettua yksityisyyttä. Tähän tavoitteeseen pyrkiessään ENISAn olisi hyödynnettävä mahdollisimman laajasti saatavilla olevia parhaita käytäntöjä ja kokemuksia, erityisesti akateemisilta laitoksilta sekä tietotekniikan turvallisuuden tutkijoilta.

(42)

Kyberturvallisuuden alalla toimivien yritysten ja kyberturvallisuusratkaisujen käyttäjien tukemiseksi ENISAn olisi kehitettävä ”markkinoiden seurantakeskus” ja ylläpidettävä sitä tekemällä säännöllisiä analyyseja kyberturvallisuusmarkkinoiden tärkeimmistä suuntauksista sekä kysyntä- että tarjontapuolella ja levittämällä tietoa näistä suuntauksista.

(43)

ENISAn olisi tuettava unionin toimia, joiden tavoitteena on edistää yhteistyötä kansainvälisten organisaatioiden kanssa sekä asianmukaisissa kansainvälisissä yhteistyöpuitteissa kyberturvallisuuden alalla. ENISAn olisi tarvittaessa tuettava erityisesti OECD:n, Etyjin ja Naton kaltaisten organisaatioiden kanssa tehtävää yhteistyötä. Yhteistyöhön voisi sisältyä muun muassa yhteisiä kyberturvallisuusharjoituksia ja yhteisen kyberturvallisuuspoikkeamiin reagoimisen koordinointia. Näissä toimissa on määrä noudattaa kaikilta osin osallistavuuden, vastavuoroisuuden ja unionin päätöksenteon riippumattomuuden periaatteita, vaikuttamatta yhdenkään jäsenvaltion turvallisuus- ja puolustuspolitiikan erityisluonteeseen.

(44)

Varmistaakseen tavoitteidensa täysimittaisen saavuttamisen ENISAn olisi oltava yhteydessä asiaankuuluviin unionin valvontaviranomaisiin ja muihin toimivaltaisiin viranomaisiin unionissa, unionin toimielimiin, elimiin ja laitoksiin, mukaan lukien CERT-EU, EC3, Euroopan puolustusvirasto (EDA), Euroopan GNSS-virasto, Euroopan sähköisen viestinnän sääntelyviranomaisten yhteistyöelin (BEREC), laaja-alaisten tietojärjestelmien operatiivisesta hallinnoinnista vastaava eurooppalainen virasto (eu-LISA), Euroopan keskuspankki (EKP), Euroopan pankkiviranomainen (EPV), Euroopan tietosuojaneuvosto, Energia-alan sääntelyviranomaisten yhteistyövirasto (ACER), Euroopan unionin lentoturvallisuusvirasto (EASA) sekä muut kyberturvallisuuteen liittyviä kysymyksiä käsittelevät unionin virastot. ENISAn olisi oltava yhteydessä myös tietosuoja-asioita käsitteleviin viranomaisiin, jotta voidaan vaihtaa tietotaitoa ja parhaita käytäntöjä, ja annettava neuvontaa kyberturvallisuuskysymyksistä, joilla voi olla vaikutusta niiden toimintaan. Kansallisten ja unionin lainvalvonta- ja tietosuojaviranomaisten edustajien olisi voitava olla edustettuina ENISAn neuvoa-antavassa ryhmässä. Ollessaan yhteydessä lainvalvontaviranomaisiin sellaisissa verkko- ja tietoturvakysymyksissä, joilla voi olla vaikutusta niiden toimintaan, ENISAn olisi käytettävä olemassa olevia tietojenvaihtokanavia ja vakiintuneita verkostoja.

(45)

Voitaisiin muodostaa kumppanuuksia sellaisten akateemisten laitosten kanssa, joilla on tutkimusaloitteita merkityksellisillä aloilla, ja olisi oltava sopivat kanavat kuluttajajärjestöiltä ja muilta järjestöiltä tuleville tiedoille, jotka olisi otettava huomioon

(46)

ENISAn olisi asemassaan CSIRT-verkoston sihteeristönä tuettava jäsenvaltioiden CSIRT-toimijoita ja CERT-EU:ta operatiivisessa yhteistyössä kaikkien asiaankuuluvien CSIRT-verkoston tehtävien osalta, sellaisina kuin niihin viitataan direktiivissä (EU) 2016/1148. ENISAn olisi lisäksi edistettävä ja tuettava yhteistyötä asianomaisten CSIRT-toimijoiden välillä tapauksissa, joissa CSIRT-toimijoiden hallinnoimiin tai suojaamiin verkkoihin tai infrastruktuureihin kohdistuu poikkeamia, hyökkäyksiä tai häiriöitä, jotka koskevat tai mahdollisesti koskevat vähintään kahta CSIRT-toimijaa, ottaen asianmukaisesti huomioon CSIRT-verkoston menettelyohjeet.

(47)

Jotta voidaan lisätä unionin varautumista kyberturvallisuuspoikkeamiin reagoimiseksi, ENISAn olisi järjestettävä säännöllisesti kyberturvallisuusharjoituksia unionin tasolla sekä tuettava jäsenvaltioita ja unionin toimielimiä, elimiä ja laitoksia niiden pyynnöstä harjoitusten järjestämisessä. Joka toinen vuosi olisi järjestettävä laajamittainen kattava harjoitus, joka sisältää teknisiä, operatiivisia ja strategisia osatekijöitä. Lisäksi ENISAn olisi voitava järjestää säännöllisesti vähemmän kattavia harjoituksia, joiden tavoitteena on samalla tavoin lisätä unionin varautumista poikkeamiin reagoimiseksi.

(48)

ENISAn olisi kehitettävä edelleen ja ylläpidettävä asiantuntemustaan kyberturvallisuussertifioinnissa, jotta voidaan tukea unionin politiikkaa kyseisellä alalla. ENISAn olisi kehitettävä edelleen nykyisiä parhaita käytäntöjä ja edistettävä kyberturvallisuussertifioinnin käyttöä unionissa muun muassa osallistumalla kyberturvallisuuden sertifiointikehyksen perustamiseen ja ylläpitoon unionin tasolla (eurooppalainen kyberturvallisuuden sertifiointikehys), jotta voidaan lisätä avoimuutta tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien kyberturvallisuuden varmistuksessa ja tällä tavoin vahvistaa luottamusta digitaalisiin sisämarkkinoihin.

(49)

Tehokkaan kyberturvallisuuspolitiikan olisi perustuttava kehittyneisiin riskinarviointimenetelmiin niin julkisella kuin yksityiselläkin sektorilla. Riskinarviointimenetelmiä käytetään eri tasoilla vailla yhteistä tehokasta soveltamiskäytäntöä. Riskinarvioinnin ja yhteentoimivien riskinhallintaratkaisujen parhaiden käytäntöjen edistäminen ja kehittäminen julkisen sektorin ja yksityisen sektorin organisaatioissa nostaa kyberturvallisuustasoa unionissa. Tätä varten ENISAn olisi tuettava sidosryhmien yhteistyötä unionin tasolla ja helpotettava niiden pyrkimyksiä laatia ja ottaa käyttöön eurooppalaisia ja kansainvälisiä standardeja riskinhallinnalle ja mitattavissa olevalle turvallisuudelle sähköisissä tuotteissa, järjestelmissä, verkoissa ja palveluissa, jotka yhdessä ohjelmistojen kanssa muodostavat verkko- ja tietojärjestelmät.

(50)

ENISAn olisi kannustettava jäsenvaltioita, tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien valmistajia ja tarjoajia tiukentamaan yleisiä turvallisuusnormejaan, jotta kaikki internetin käyttäjät voivat toteuttaa tarvittavat toimenpiteet oman kyberturvallisuutensa varmistamiseksi, ja niille olisi luotava kannustimia tätä tarkoitusta varten. Erityisesti tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien tuottajien olisi järjestettävä tarpeelliset päivitykset, ja niiden olisi vedettävä pois markkinoilta, poistettava tuotannosta tai kierrätettävä tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit, jotka eivät täytä kyberturvallisuusstandardeja, ja samalla maahantuojien ja jakelijoiden olisi varmistettava, että niiden unionin markkinoille saattamat tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit täyttävät sovellettavat vaatimukset eivätkä aiheuta riskiä unionin kuluttajille.

(51)

ENISAn olisi voitava yhteistyössä toimivaltaisten viranomaisten kanssa levittää tietoa sisämarkkinoilla tarjottavien tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien kyberturvallisuustasosta ja antaa varoituksia palveluntarjoajille ja valmistajille ja vaatia niitä parantamaan tieto- ja viestintätekniikan tuotteidensa, palvelujensa ja prosessiensa turvallisuutta, mukaan lukien kyberturvallisuus.

(52)

ENISAn olisi otettava täysimääräisesti huomioon meneillään olevat tutkimus-, kehittämis- ja teknologian arvioimistoimet, erityisesti sellaiset, joita toteutetaan unionin eri tutkimusaloitteissa, antaakseen unionin toimielimille, elimille ja laitoksille sekä tarvittaessa jäsenvaltioille niiden pyynnöstä neuvoja kyberturvallisuusalan tutkimustarpeista ja -prioriteeteista. ENISAn olisi myös kuultava asianomaisia käyttäjäryhmiä, jotta se voi määritellä tutkimustarpeet ja -prioriteetit. Olisi erityisesti tehtävä yhteistyötä Euroopan tutkimusneuvoston ja Euroopan innovaatio- ja teknologiainstituutin sekä Euroopan unionin turvallisuusalan tutkimuslaitoksen kanssa.

(53)

ENISAn olisi kuultava säännöllisesti standardointiorganisaatioita ja erityisesti eurooppalaisia standardointiorganisaatioita eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä valmistellessaan.

(54)

Kyberuhat ovat maailmanlaajuisia. Tarvitaan tiiviimpää kansainvälistä yhteistyötä kyberturvallisuusstandardien parantamiseksi, mihin sisältyy myös tarve yhteisten käyttäytymisnormien määrittelemiseen, käytännesääntöjen hyväksymiseen ja kansainvälisten standardien käyttämiseen, sekä tietojenvaihtoa kansainvälisen yhteistoiminnan nopeuttamiseksi verkko- ja tietoturvakysymyksissä samoin kuin yhteisen maailmanlaajuisen lähestymistavan edistämistä tällaisten kysymysten osalta. Tätä varten ENISAn olisi tuettava unionin osallistumista yhä enemmän kolmansien maiden ja kansainvälisten organisaatioiden kanssa harjoitettavaan yhteistyöhön tarjoamalla asianomaisten unionin toimielinten, elinten ja laitosten mahdollisesti tarvitsemaa asiantuntemusta ja analysointivalmiuksia.

(55)

ENISAn olisi voitava vastata tapauskohtaisiin neuvonta- ja avustamispyyntöihin, joita jäsenvaltiot ja unionin toimielimet, elimet ja laitokset esittävät ja jotka ovat ENISAn toimeksiannon mukaisia.

(56)

On järkevää ja suositeltavaa panna täytäntöön tiettyjä ENISAn hallintoa koskevia periaatteita, jotta voidaan noudattaa unionin erillisvirastoja käsittelevässä toimielinten välisessä työryhmässä heinäkuussa 2012 hyväksyttyä yhteistä julkilausumaa ja yhteistä lähestymistapaa, joiden tarkoituksena on tehostaa hajautettujen virastojen toimintaa ja parantaa niiden tuloksellisuutta. Yhteisen julkilausuman ja yhteisen lähestymistavan ohjeistus olisi myös otettava huomioon asianmukaisella tavalla ENISAn työohjelmissa, ENISAn arvioinneissa ja ENISAn raportointi- ja hallintokäytännöissä tässä asetuksessa.

(57)

Johtokunnan, jossa ovat edustettuna jäsenvaltiot ja komissio, olisi määriteltävä ENISAn toiminnan yleinen suunta ja varmistettava, että se hoitaa tehtäviään tämän asetuksen mukaisesti. Johtokunnalle olisi annettava tarvittavat valtuudet hyväksyä talousarvio, tarkastaa talousarvion toteuttamista, vahvistaa tarvittavat varainhoitoa koskevat säännöt, luoda avoimet menettelyt ENISAn päätöksentekoa varten, hyväksyä ENISAn yhtenäinen ohjelma-asiakirja, vahvistaa työjärjestyksensä, nimittää pääjohtaja sekä päättää tämän toimikauden jatkamisesta ja päättymisestä.

(58)

ENISAn moitteettoman ja tehokkaan toiminnan takaamiseksi komission ja jäsenvaltioiden olisi varmistettava, että johtokunnan jäseniksi nimitettävillä henkilöillä on riittävä ammatillinen asiantuntemus ja asianmukainen kokemus. Johtokunnan työn jatkuvuuden varmistamiseksi komission ja jäsenvaltioiden olisi myös pyrittävä rajoittamaan johtokunnassa olevien edustajiensa vaihtuvuutta.

(59)

ENISAn moitteeton toiminta edellyttää, että sen pääjohtaja nimitetään ansioiden ja todistuksin osoitettujen hallinnollisten taitojen ja johtamistaitojen sekä kyberturvallisuuden kannalta merkityksellisen pätevyyden ja kokemuksen perusteella. Pääjohtajan tehtäviä olisi hoidettava täysin riippumattomasti. Pääjohtajan olisi laadittava ehdotus ENISAn vuotuiseksi työohjelmaksi kuultuaan ensin komissiota ja toteutettava kaikki tarvittavat toimenpiteet varmistaakseen kyseisen työohjelman asianmukaisen toteuttamisen. Pääjohtajan olisi laadittava johtokunnalle esitettävä vuosikertomus, jossa käsitellään ENISAn vuotuisen työohjelman toteuttamista, sekä esitys ENISAn tuloja ja menoja koskevaksi ennakkoarvioksi ja vastattava talousarvion toteuttamisesta. Pääjohtajan olisi myös voitava perustaa tilapäisiä työryhmiä erityisesti tieteellisten, teknisten, oikeudellisten tai sosioekonomisten erityiskysymysten käsittelyä varten. Tilapäisen työryhmän perustamista pidetään tarpeellisena etenkin ehdolla olevan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän, jäljempänä ’ehdolla oleva järjestelmä’, valmisteluun liittyen. Pääjohtajan olisi varmistettava, että tilapäisten työryhmien jäsenet valitaan huippuasiantuntemuksen perusteella ja siten, että pyritään varmistamaan sukupuolten tasapaino ja tarkasteltavien kysymysten edellyttämällä tavalla edustuksellinen tasapaino jäsenvaltioiden julkishallintojen, unionin toimielinten, elinten ja laitosten sekä yksityisen sektorin välillä, mukaan lukien toimiala, käyttäjät ja tiedeyhteisöä edustavat verkko- ja tietoturva-asiantuntijat.

(60)

Hallituksen olisi edistettävä johtokunnan moitteetonta toimintaa. Osana johtokunnan päätöksiin liittyvää valmistelutyötään sen olisi tutkittava yksityiskohtaisesti asiaan liittyvät tiedot ja tarkasteltava käytettävissä olevia vaihtoehtoja sekä tarjottava neuvoja ja ratkaisuja johtokunnan päätösten valmistelemiseksi.

(61)

ENISAlla olisi oltava neuvoa-antavana elimenä ENISAn neuvoa-antava ryhmä, jotta voitaisiin varmistaa säännöllinen vuoropuhelu yksityisen sektorin, kuluttajajärjestöjen ja muiden asianosaisten sidosryhmien kanssa. ENISAn neuvoa-antavan ryhmän, jonka johtokunta perustaa pääjohtajan ehdotuksesta, olisi keskityttävä sidosryhmiä koskeviin asioihin ja saatettava ne ENISAn tietoon. ENISAn neuvoa-antavan ryhmän kokoonpanossa ja tälle ryhmälle, jota kuullaan erityisesti työohjelmaluonnoksesta, annettavissa tehtävissä olisi varmistettava sidosryhmien riittävä edustus ENISAn työskentelyssä.

(62)

Olisi perustettava sidosryhmien kyberturvallisuuden sertifiointiryhmä auttamaan ENISAa ja komissiota helpottamaan asianomaisten sidosryhmien kuulemista. Sidosryhmien kyberturvallisuuden sertifiointiryhmän jäsenten olisi edustettava oikeassa suhteessa toimialaa – sekä tieto- ja viestintätekniikan tuotteiden ja palvelujen kysyntä- että tarjontapuolta ja erityisesti pk-yrityksiä – digitaalisten palvelujen tarjoajia, eurooppalaisia ja kansainvälisiä standardointielimiä, kansallisia akkreditointielimiä, tietosuojaviranomaisia ja vaatimustenmukaisuuden arviointilaitoksia Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 765/2008 (16) mukaisesti, tiedeyhteisöä sekä kuluttajajärjestöjä.

(63)

ENISAlla olisi oltava säännöt eturistiriitojen ehkäisemisestä ja hallinnasta. ENISAn olisi sovellettava asiakirjojen saamista yleisön tutustuttavaksi koskevia asiaankuuluvia unionin säännöksiä, sellaisina kuin ne on vahvistettu Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1049/2001 (17). ENISAn suorittamassa henkilötietojen käsittelyssä olisi noudatettava Euroopan parlamentin ja neuvoston asetusta (EU) 2018/1725 (18). ENISAn olisi noudatettava tietojen käsittelyä koskevia unionin toimielimiin sovellettavia säännöksiä ja kansallista lainsäädäntöä, erityisesti kun on kyse arkaluonteisista turvallisuusluokittelemattomista tiedoista ja Euroopan unionin turvallisuusluokitelluista tiedoista (EUCI).

(64)

Jotta voidaan varmistaa ENISAn täydellinen itsemääräämisoikeus ja riippumattomuus ja jotta ENISA pystyy suorittamaan uusia ja täydentäviä tehtäviä, myös ennakoimattomia tehtäviä hätätilanteissa, ENISAlle olisi annettava riittävä ja itsenäinen talousarvio, jonka tulot muodostuisivat ensisijaisesti unionin rahoitusosuudesta ja ENISAn työhön osallistuvien kolmansien maiden rahoitusosuuksista. Asianmukaiset määrärahat ovat äärimmäisen tärkeät sen varmistamiseksi, että ENISAlla on riittävät valmiudet toteuttaa kaikki lisääntyvät tehtävänsä ja saavuttaa tavoitteensa. ENISAn henkilöstön enemmistön työtehtävien olisi liityttävä suoraan ENISAn toimeksiannon operatiiviseen täytäntöönpanoon. ENISAn isäntäjäsenvaltion ja minkä tahansa muun jäsenvaltion olisi voitava maksaa vapaaehtoisia rahoitusosuuksia ENISAlle. Unionin talousarviomenettelyä olisi sovellettava edelleen unionin yleisestä talousarviosta maksettaviin tukiin. Lisäksi tilintarkastustuomioistuimen olisi tarkastettava ENISAn tilit avoimuuden ja vastuuvelvollisuuden varmistamiseksi.

(65)

Kyberturvallisuussertifioinnilla on tärkeä rooli lisättäessä tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien turvallisuutta ja luottamusta niitä kohtaan. Digitaaliset sisämarkkinat ja erityisesti datatalous ja esineiden internet voivat menestyä vain, jos vallitsee yleinen julkinen luottamus siihen, että tällaisissa tuotteissa, palveluissa ja prosesseissa varmistetaan tietyntasoinen kyberturvallisuus. Verkkoyhteyksillä varustetut ja automatisoidut autot, sähköiset terveyspalvelut, teollisuusautomaation ohjausjärjestelmät ja älykkäät sähköverkot ovat joitakin esimerkkejä aloista, joilla sertifiointi on jo laajalti käytössä tai tulee todennäköisesti käyttöön lähitulevaisuudessa. Direktiivillä (EU) 2016/1148 säännellyt alat ovat samalla aloja, joilla kyberturvallisuussertifioinnilla on ratkaiseva merkitys.

(66)

Vuonna 2016 antamassaan tiedonannossa ”Euroopan kyberresilienssijärjestelmän vahvistaminen sekä kilpailukykyisen ja innovatiivisen kyberturvallisuustoimialan tukeminen” komissio linjasi tarpeen ottaa käyttöön laadukkaita, kohtuuhintaisia ja yhteentoimivia kyberturvallisuustuotteita ja -ratkaisuja. Tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien tarjonta sisämarkkinoilla on edelleen maantieteellisesti hyvin hajanaista. Tämä johtuu siitä, että Euroopan kyberturvallisuusala on kehittynyt suurelta osin kansallisista valtiollisen kysynnän lähtökohdista. Kyberturvallisuuden alalla sisämarkkinoiden toimintapuutteisiin kuuluu lisäksi yhteentoimivien ratkaisujen (teknisten standardien), toimintatapojen ja unionin laajuisten sertifiointimekanismien puuttuminen. Tämä yhtäältä vaikeuttaa eurooppalaisten yritysten kilpailua niin kansallisella kuin Euroopan ja maailmanlaajuisellakin tasolla. Toisaalta se vähentää yksilöiden ja yritysten saatavilla olevan hyödyllisen ja käyttökelpoisen kyberturvallisuusteknologian valinnanvaraa. Samoin myös komission vuonna 2017 antamassaan tiedonannossa ”Digitaalisten sisämarkkinoiden strategian täytäntöönpanon väliarviointi – Yhdennetyt digitaaliset sisämarkkinat kaikille” komissio korosti tarvetta huolehtia verkkoon liitettyjen tuotteiden ja järjestelmien turvallisuudesta ja totesi, että luomalla tieto- ja viestintätekniikan turvallisuudelle eurooppalaiset puitteet, joissa annetaan säännöt tieto- ja viestintäteknologian turvallisuussertifioinnin järjestämisestä unionissa, voitaisiin sekä ylläpitää luottamusta internetiin että puuttua sisämarkkinoiden nykyiseen hajanaisuuteen.

(67)

Tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien kyberturvallisuussertifiointia käytetään tällä hetkellä vain vähäisessä määrin. Kun sitä käytetään, käyttö rajoittuu enimmäkseen jäsenvaltioiden tasolle tai teollisuuslähtöisten järjestelmien piiriin. Tässä yhteydessä yhden kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen myöntämää sertifikaattia ei periaatteessa tunnusteta muissa jäsenvaltioissa. Yritykset voivat näin ollen joutua sertifioimaan tieto- ja viestintätekniikan tuotteensa, palvelunsa ja prosessinsa useissa jäsenvaltioissa, joissa ne toimivat, esimerkiksi voidakseen osallistua kansallisiin hankintamenettelyihin, mikä aiheuttaa yrityksille lisäkustannuksia. Syntymässä on uusia järjestelmiä, mutta vaikuttaa siltä, ettei ole olemassa johdonmukaista ja kokonaisvaltaista lähestymistapaa laaja-alaisiin kyberturvallisuuskysymyksiin esimerkiksi esineiden internetin alalla. Nykyisissä järjestelmissä on merkittäviä puutteita ja eroja, jotka liittyvät niiden tuotekatteeseen, varmuustasoihin, aineellisiin edellytyksiin ja tosiasialliseen käyttöön, mikä haittaa vastavuoroisten tunnustamismekanismien toimintaa unionissa.

(68)

Joillain toimilla on jo pyritty varmistamaan sertifikaattien vastavuoroinen tunnustaminen unionissa. Niiden tavoitteet on kuitenkin saavutettu vain osittain. Tärkein esimerkki tästä on johtavien virkamiesten tietoturvallisuusryhmän (SOG-IS) vastavuoroista tunnustamista koskeva sopimus (MRA). SOG-IS on tärkein malli yhteistyölle ja vastavuoroiselle tunnustamiselle turvallisuussertifioinnin alalla, mutta siihen kuuluu vain osa unionin jäsenvaltioista. Tämä seikka on rajoittanut SOG-ISia koskevan MRA-sopimuksen toimivuutta sisämarkkinoiden kannalta.

(69)

Sen vuoksi on tarpeen omaksua yhteinen lähestymistapa ja perustaa eurooppalainen kyberturvallisuuden sertifiointikehys, jossa vahvistetaan tärkeimmät horisontaaliset vaatimukset kehitettäville eurooppalaisille kyberturvallisuuden sertifiointijärjestelmille ja jonka ansiosta tieto- ja viestintätekniikan tuotteita, palveluja ja prosesseja koskevat eurooppalaiset kyberturvallisuussertifikaatit ja EU-vaatimustenmukaisuusilmoitukset voidaan tunnustaa ja niitä voidaan käyttää kaikissa jäsenvaltioissa. Tässä yhteydessä on olennaista käyttää perustana nykyisiä kansallisia ja kansainvälisiä järjestelmiä sekä vastavuoroisen tunnustamisen järjestelmiä, erityisesti SOG-IS-järjestelmää, sekä mahdollistaa sujuva siirtyminen tällaisten järjestelmien piiriin kuuluvista nykyisistä järjestelmistä eurooppalaisen kehyksen mukaisiin uusiin järjestelmiin. Eurooppalaisen sertifiointikehyksen olisi palveltava kahta tarkoitusta. Ensinnäkin sen pitäisi lisätä luottamusta tieto- ja viestintätekniikan tuotteisiin, palveluihin ja prosesseihin, jotka on sertifioitu eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien mukaisesti. Toiseksi sen pitäisi auttaa välttämään tilanne, jossa käytössä on monia keskenään ristiriitaisia tai päällekkäisiä kansallisia kyberturvallisuussertifiointeja, ja auttaa siten vähentämään digitaalisilla sisämarkkinoilla yrityksille aiheutuvia kustannuksia. Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien olisi oltava syrjimättömiä ja eurooppalaisiin tai kansainvälisiin standardeihin perustuvia, paitsi jos kyseiset standardit ovat tehottomia tai epäasianmukaisia unionin oikeutettujen tavoitteiden saavuttamiseksi.

(70)

Eurooppalaisen kyberturvallisuuden sertifiointikehyksen on oltava yhdenmukainen kaikissa jäsenvaltioissa, jotta vältetään ns. sertifiointishoppailu jäsenvaltioiden erilaisten vaatimustasojen vuoksi.

(71)

Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien olisi perustetuttava siihen, mikä on jo käytössä kansainvälisellä ja kansallisella tasolla, ja tarvittaessa eri foorumeiden ja konsortioiden teknisiin eritelmiin, nykyisten vahvuuksien hyödyntämiseen sekä heikkouksien arviointiin ja korjaamiseen.

(72)

Tarvitaan joustavia kyberturvallisuusratkaisuja, jotta toimialalla olisi etumatkaa kyberuhkiin nähden, joten sertifiointijärjestelmät olisi suunniteltava niin, että vältetään nopean vanhentumisen riski.

(73)

Komissiolle olisi siirrettävä valta hyväksyä eurooppalaiset kyberturvallisuuden sertifiointijärjestelmät yksittäisille tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien ryhmille. Kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten olisi vastattava näiden järjestelmien täytäntöönpanosta ja valvonnasta, ja näiden järjestelmien mukaisesti myönnettyjen sertifikaattien olisi oltava voimassa ja tunnustettuja kaikkialla unionissa. Toimialan tai muiden yksityisten organisaatioiden ylläpitämien sertifiointijärjestelmien ei tulisi kuulua tämän asetuksen soveltamisalaan. Tällaisia järjestelmiä ylläpitävien elinten olisi kuitenkin voitava ehdottaa, että komissio ottaa tällaiset järjestelmät lähtökohdaksi niiden hyväksymiseksi eurooppalaisena kyberturvallisuuden sertifiointijärjestelmänä.

(74)

Tämän asetuksen säännökset eivät saisi vaikuttaa unionin lainsäädäntöön, jossa annetaan erityiset säännöt tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien sertifioinnista. Erityisesti asetuksessa (EU) 2016/679 säädetään sertifiointimekanismeista sekä tietosuojasineteistä ja -merkeistä, joiden tarkoituksena on osoittaa, että rekisterinpitäjät ja henkilötietojen käsittelijät noudattavat kyseistä asetusta käsittelytoimia suorittaessaan. Rekisteröityjen olisi tällaisten sertifiointimekanismien ja tietosuojasinettien ja -merkkien avulla voitava nopeasti arvioida asianomaisten tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien tietosuojataso. Tämä asetus ei rajoita tietojenkäsittelytoimintojen sertifiointia asetuksen (EU) 2016/679 mukaisesti, ei myöskään silloin, kun nämä toimet on sisällytetty tieto- ja viestintätekniikan tuotteisiin, palveluihin ja prosesseihin.

(75)

Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tarkoituksena olisi oltava varmistaa, että tällaisissa järjestelmissä sertifioidut tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit täyttävät määritellyt vaatimukset, joiden tavoitteena on suojella tallennettujen, siirrettävien tai käsiteltävien tietojen tai niihin liittyvien, kyseisissä tuotteissa, palveluissa ja prosesseissa tarjottavien tai välitettävien tuotteiden, toimintojen ja palvelujen käytettävyyttä, aitoutta, eheyttä ja luottamuksellisuutta niiden koko elinkaaren ajan. Tässä asetuksessa ei ole mahdollista määritellä yksityiskohtaisesti kyberturvallisuusvaatimuksia kaikille tieto- ja viestintätekniikan tuotteille, palveluille ja prosesseille. Tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit ja näihin tuotteisiin, palveluihin ja prosesseihin liittyvät kyberturvallisuustarpeet ovat niin moninaiset, että on hyvin vaikeaa määritellä yleisiä kyberturvallisuusvaatimuksia, jotka olisivat voimassa kaikissa olosuhteissa. Siksi kyberturvallisuus olisi määriteltävä laajasti ja yleisesti sertifiointitarkoituksia varten, ja sitä olisi täydennettävä erityisillä kyberturvallisuustavoitteilla, jotka on tarpeen ottaa huomioon suunniteltaessa eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä. Järjestelyt, joilla tällaiset tavoitteet saavutetaan yksittäisissä tieto- ja viestintätekniikan tuotteissa, palveluissa ja prosesseissa, olisi täsmennettävä yksityiskohtaisemmin komission hyväksymien yksittäisten sertifiointijärjestelmien tasolla, esimerkiksi viittaamalla standardeihin tai teknisiin eritelmiin, jos asianmukaisia standardeja ei ole saatavilla.

(76)

Eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä käytettävien teknisten eritelmien olisi oltava Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1025/2012 (19) liitteessä II esitettyjen vaatimusten mukaiset. Poikkeuksia näihin periaatteisiin voidaan kuitenkin katsoa tarvittavan asianmukaisesti perustelluissa tapauksissa, joissa kyseisiä teknisiä eritelmiä käytetään eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän varmuustasolla ”korkea”. Tällaisten poikkeusten syyt olisi asetettava julkisesti saataville.

(77)

Sertifiointiin kuuluva vaatimustenmukaisuuden arviointi on menettely, jossa arvioidaan, täyttyvätkö tieto- ja viestintätekniikan tuotteeseen, palveluun tai prosessiin liittyvät määritellyt vaatimukset. Arvioinnin tekee riippumaton kolmas osapuoli, joka ei ole arvioinnin kohteena olevien tieto- ja viestintätekniikan tuotteiden, palvelujen tai prosessien valmistaja tai tarjoaja. Eurooppalainen kyberturvallisuussertifikaatti olisi myönnettävä, kun tieto- tai viestintätekniikan tuote, palvelu tai prosessi on läpäissyt arvioinnin. Eurooppalaista kyberturvallisuussertifikaattia olisi pidettävä vahvistuksena siitä, että kyseinen arviointi on tehty asianmukaisesti. Eurooppalaisessa kyberturvallisuusjärjestelmässä olisi varmuustasosta riippuen määritettävä, myöntääkö eurooppalaisen kyberturvallisuussertifikaatin yksityinen taho vai julkinen elin. Vaatimustenmukaisuuden arviointi ja sertifiointi eivät sinänsä takaa, että sertifioidut tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit ovat kyberturvallisia. Ne ovat pikemminkin menettelyjä ja teknisiä menetelmiä, jotka todistavat, että tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit on testattu ja että ne täyttävät tietyt kyberturvallisuusvaatimukset, jotka on vahvistettu muualla, esimerkiksi teknisissä standardeissa.

(78)

Eurooppalaisten kyberturvallisuussertifikaattien käyttäjien olisi valittava asianmukainen sertifiointi ja siihen liittyvät turvallisuusvaatimukset tieto- ja viestintätekniikan tuotteeseen, palveluun tai prosessiin liittyvien riskien analyysin perusteella. Varmuustason olisi näin ollen vastattava tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin käyttötarkoitukseen liittyvän riskin tasoa.

(79)

Eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä voidaan määrätä, että vaatimustenmukaisuuden arviointi on pelkästään tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien valmistajan tai tarjoajan vastuulla, jäljempänä ’vaatimustenmukaisuuden itsearviointi’. Tällaisissa tapauksissa olisi riittävää, että tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin valmistaja tai tarjoaja tekee itse kaikki tarkastukset, joilla varmistetaan, että tieto- tai viestintätekniikan tuote, palvelu tai prosessi on eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukainen. Vaatimustenmukaisuuden itsearviointi olisi katsottava asianmukaiseksi sellaisten yksinkertaisten tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien yhteydessä, jotka aiheuttavat vain vähäisen riskin yleisölle, kuten esimerkiksi yksinkertaiset suunnittelu- ja tuotantomekanismit. Vaatimustenmukaisuuden itsearviointi olisi lisäksi sallittava vain varmuustasoltaan perustason tieto- ja viestintätekniikan tuotteille, palveluille ja prosesseille.

(80)

Eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä voidaan tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien yhteydessä käyttää sekä vaatimustenmukaisuuden itsearviointeja että sertifiointeja. Tällaisen tilanteen varalta järjestelmässä olisi määriteltävä selkeät ja ymmärrettävät käytännöt, joiden avulla kuluttajat ja muut käyttäjät erottavat, minkä tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien arvioinnista on vastannut valmistaja tai tarjoaja ja mitkä tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit on sertifioinut kolmas osapuoli.

(81)

Tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien valmistajan tai tarjoajan, joka tekee vaatimustenmukaisuuden itsearvioinnin, olisi vaatimustenmukaisuuden arviointimenettelyn yhteydessä voitava antaa ja allekirjoittaa EU-vaatimustenmukaisuusilmoitus. EU-vaatimustenmukaisuusilmoitus on asiakirja, jossa todetaan, että tietty tieto- ja viestintätekniikan tuote, palvelu tai prosessi on järjestelmässä asetettujen vaatimusten mukainen. Antamalla ja allekirjoittamalla EU-vaatimustenmukaisuusilmoituksen valmistaja tai palveluntarjoaja ottaa vastuun siitä, että tieto- ja viestintätekniikan tuote, palvelu tai prosessi on eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetettujen oikeudellisten vaatimusten mukainen. Jäljennös EU-vaatimustenmukaisuusilmoituksesta olisi toimitettava kansalliselle kyberturvallisuussertifioinnin myöntävälle viranomaiselle ja ENISAlle.

(82)

Tieto- ja viestintätekniikan tuotteiden, palvelujen tai prosessien valmistajan tai tarjoajan olisi asetettava EU-vaatimustenmukaisuusilmoitus, tekniset asiakirjat ja kaikki tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä asetettujen vaatimusten mukaisuutta koskevat muut tiedot toimivaltaisen kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen saataville asianomaisessa eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä määrätyn ajanjakson ajaksi. Teknisissä asiakirjoissa olisi eriteltävä sovellettavat järjestelmän mukaiset vaatimukset, ja niiden olisi katettava tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin suunnittelu, valmistus ja toiminta siinä määrin kuin se on olennaista itsearvioinnin noudattamisen kannalta. Tekniset asiakirjat olisi laadittava siten, että niiden perusteella voidaan arvioida, noudattaako tieto- ja viestintätekniikan tuote, palvelu tai prosessi kyseisen järjestelmän mukaan sovellettavia vaatimuksia.

(83)

Eurooppalaisen kyberturvallisuuden sertifiontikehyksen hallinnossa otetaan huomioon jäsenvaltioiden osallistuminen sekä sidosryhmien asianmukainen osallistuminen ja vahvistetaan komission rooli eurooppalaisen kyberturvallisuuden sertifiointijärjestelmien suunnittelussa, ehdottamisessa, pyytämisessä, valmistelussa, hyväksymisessä ja uudelleentarkastelussa.

(84)

Komission olisi valmisteltava Euroopan kyberturvallisuuden sertifiointiryhmän ja sidosryhmien kyberturvallisuuden sertifiointiryhmän tuella ja avoimen ja laajan kuulemisen jälkeen eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä koskeva unionin jatkuva työohjelma ja julkaistava se asiakirjana, joka ei ole oikeudellisesti sitova. Unionin jatkuvan työohjelman olisi oltava strateginen asiakirja, jonka ansiosta erityisesti toimiala, kansalliset viranomaiset ja standardointielimet voivat erityisesti valmistella tulevia eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä etukäteen. Unionin jatkuvan työohjelman olisi sisällettävä monivuotinen yleiskatsaus sellaisia ehdolla olevia järjestelmiä koskevista pyynnöistä, jotka komissio aikoo toimittaa ENISAlle valmisteltaviksi perusteltujen syiden pohjalta. Komission olisi otettava huomioon unionin jatkuva työohjelma laatiessaan tieto- ja viestintätekniikan standardointia koskevaa jatkuvaa suunnitelmaa sekä eurooppalaisille standardointiorganisaatioille osoitettuja standardointipyyntöjä. Ottaen huomioon uuden teknologian nopea käyttöönotto ja, aiemmin tuntemattomien kyberturvallisuusriskien ilmaantuminen ja lainsäädännön ja markkinoiden kehittyminen, komission tai Euroopan kyberturvallisuuden sertifiointiryhmän olisi voitava pyytää ENISAa valmistelemaan sellaisia ehdolla olevia järjestelmiä, jotka eivät sisälly unionin jatkuvaan työohjelmaan. Komission ja Euroopan kyberturvallisuuden sertifiointiryhmän olisi tällöin arvioitava myös tällaisten pyyntöjen tarpeellisuus ottamalla huomioon tämän asetuksen yleiset päämäärät ja tavoitteet sekä tarve varmistaa ENISAn suunnittelun ja resurssien käytön jatkuvuus.

Tällaisen pyynnön saatuaan ENISAn olisi valmisteltava tieto- ja viestintätekniikan tuotteita, palveluja tai prosesseja varten ehdolla olevat järjestelmät ilman aiheetonta viivytystä. Komission olisi arvioitava pyyntönsä kyseisiin markkinoihin kohdistuvia myönteisiä ja kielteisiä vaikutuksia etenkin pk-yritysten, innovoinnin, kyseisille markkinoille pääsyn esteiden sekä loppukuluttajille aiheutuvien kustannusten kannalta. Komissiolle olisi annettava valtuudet hyväksyä ENISAn valmisteleman ehdolla olevan järjestelmän pohjalta eurooppalainen kyberturvallisuuden sertifiointijärjestelmä täytäntöönpanosäädöksillä. Kun otetaan huomioon tämän asetuksen yleinen tarkoitus ja siinä määritellyt turvallisuustavoitteet, komission hyväksymissä eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä olisi määritettävä tietyt vähimmäistekijät yksittäisen järjestelmän kohteen, soveltamisalan ja toiminnan osalta. Näihin tekijöihin olisi sisällyttävä muun muassa kyberturvallisuussertifioinnin soveltamisala ja kohde, mukaan lukien sertifioinnin kattamat tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien luokat, yksityiskohtainen eritelmä kyberturvallisuusvaatimuksista esimerkiksi viittaamalla standardeihin tai teknisiin eritelmiin, yksittäiset arviointiperusteet ja -menetelmät sekä tarkoitettu varmuustaso (”perustaso”, ”korotettu” tai ”korkea”) ja tarvittaessa arviointitasot. ENISAn olisi voitava asianmukaisesti perustelluissa tapauksissa hylätä Euroopan kyberturvallisuuden sertifiointiryhmän pyyntö. Johtokunnan olisi tehtävä tällaiset päätökset, ja ne olisi perusteltava.

(85)

ENISAn olisi ylläpidettävä verkkosivustoa, jolla annetaan tietoa eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä ja tehdään niitä tunnetuiksi. Tietojen olisi sisällettävä muun muassa pyynnöt valmistella ehdolla oleva järjestelmä sekä palaute, jota ENISA on saanut valmisteluvaiheessa tehdyistä kuulemisista. Verkkosivustolla olisi annettava tietoa myös tämän asetuksen nojalla myönnetyistä eurooppalaisista kyberturvallisuuden sertifikaateista ja annetuista EU-vaatimustenmukaisuusilmoituksista, myös tällaisten eurooppalaisten kyberturvallisuuden sertifikaattien ja EU-vaatimustenmukaisuusilmoitusten peruuttamisesta tai vanhentumisesta. Verkkosivustolla olisi myös ilmoitettava ne kansalliset kyberturvallisuuden sertifiointijärjestelmät, jotka on korvattu eurooppalaisella kyberturvallisuuden sertifiointijärjestelmällä.

(86)

Eurooppalaisen sertifiointijärjestelmän mukainen varmuustaso luo perustan sille, että tietty tieto- ja viestintätekniikan tuote, palvelu tai prosessi täyttää tietyn eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaiset turvallisuusvaatimukset. Sertifioituja tieto- ja viestintätekniikan tuotteita, palveluja ja prosesseja koskevan eurooppalaisessa kyberturvallisuuden sertifiointikehyksen yhdenmukaisuuden varmistamiseksi eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä olisi oltava mahdollista määrittää kyseisen järjestelmän nojalla myönnettyjen eurooppalaisten kyberturvallisuussertifikaattien ja EU-vaatimustenmukaisuusilmoitusten varmuustasot. Kussakin eurooppalaisessa kyberturvallisuuden sertifikaatissa viitattaisiin johonkin kolmesta varmuustasosta: ”perustaso”, ”korotettu” tai ”korkea”. EU-vaatimustenmukaisuusilmoituksessa voitaisiin puolestaan viitata vain perustason varmuustasoon. Varmuustasot antaisivat tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin arvioinnille vastaavan tiukkuuden ja kattavuuden, ja ne määritettäisiin viittaamalla teknisiin eritelmiin, standardeihin ja niihin liittyviin menetelmiin (myös teknisiin tarkastuksiin), joiden tarkoituksena on lieventää tai ehkäistä poikkeamia. Kunkin varmuustason olisi oltava yhdenmukainen eri aloilla, joilla sertifiointeja käytetään.

(87)

Eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä voitaisiin määritellä useita arviointitasoja sen mukaan, miten tiukkoja ja kattavia arviointimenetelmiä käytetään. Arviointitasojen olisi vastattava varmuustasoja ja ne olisi määriteltävä asianmukaisten osatekijöiden perusteella. Tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin olisi kaikilla varmuustasoilla sisällettävä tietty määrä järjestelmässä määriteltyjä turvallisia toimintoja, joita voivat olla esimerkiksi ennalta turvalliseksi määritetty kokoonpano, allekirjoitettu koodi, suojatut päivitykset ja hyväksikäyttömenetelmien lieventäminen sekä koko pino- tai kekomuistin suojaukset. Näiden toimintojen kehitystyössä ja ylläpidossa olisi noudatettava turvallisuuskeskeistä toimintatapaa ja hyödynnettävä siihen liittyviä välineitä. Näin varmistetaan, että ohjelmistoon ja laitteistoon saadaan luotettavasti sisällytettyä toimivia mekanismeja.

(88)

Varmuustason ”perustaso” arvioinnissa olisi käsiteltävä vähintään seuraavat varmuuden osatekijät: arvioinnin olisi sisällettävä vähintään vaatimustenmukaisuuden arviointilaitoksen arvio tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin teknisistä asiakirjoista. Jos sertifiointiin sisältyy tieto- ja viestintätekniikan prosesseja, tekninen arviointi olisi tehtävä myös prosessille, jota käytetään tieto- ja viestintätekniikan tuotteen tai palvelun suunnitteluun, kehittämiseen ja ylläpitoon. Tapauksissa, joissa eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaan voidaan soveltaa vaatimustenmukaisuuden itsearviointia, olisi katsottava riittäväksi, että kyseinen valmistaja tai palveluntarjoaja tekee itsearvioinnin tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin vaatimustenmukaisuudesta sertifiointijärjestelmän suhteen.

(89)

Varmuustason ”korotettu” arvioinnissa olisi varmuustason ”perustaso” vaatimusten lisäksi vähintään todennettava, noudattavatko tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin turvallisuustoiminnot sen teknisiä asiakirjoja.

(90)

Varmuustason ”korkea” arviointiin olisi varmuustason ”korotettu” vaatimusten lisäksi vähintään sisällyttävä tehokkuustesti, jolla arvioidaan tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin turvallisuustoimintojen vastustuskykyä sellaisten henkilöiden suorittamia vaativia pitkälle kehittyneitä kyberhyökkäyksiä vastaan, joilla on huomattavaa osaamista ja resursseja.

(91)

Eurooppalaisen kyberturvallisuussertifioinnin ja EU-vaatimustenmukaisuusilmoituksen käytön olisi oltava jatkossakin vapaaehtoista, jollei toisin säädetä unionin lainsäädännössä tai unionin oikeuden mukaisesti hyväksytyssä jäsenvaltioiden lainsäädännössä. Jos yhdenmukaista lainsäädäntöä ei ole, jäsenvaltiot voivat hyväksyä Euroopan parlamentin ja neuvoston direktiivin (EU) 2015/1535 (20) mukaisia kansallisia teknisiä määräyksiä, joissa säädetään pakollisesta eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän mukaisesta sertifioinnista. Jäsenvaltiot voivat myös käyttää eurooppalaista kyberturvallisuussertifiointia julkisissa hankinnoissa ja Euroopan parlamentin ja neuvoston direktiivin 2014/24/EU (21) yhteydessä.

(92)

Joillakin aloilla saattaa myöhemmin olla tarpeen vahvistaa erityisiä kyberturvallisuusvaatimuksia ja tehdä tiettyjen tieto- ja viestintätekniikan tuotteiden, palvelujen tai prosessien sertifioinnista pakollista kyberturvallisuuden tason parantamiseksi unionissa. Komission olisi säännöllisesti seurattava hyväksyttyjen eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien vaikutuksia turvallisten tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien saatavuuteen sisämarkkinoilla sekä säännöllisesti arvioitava, missä määrin tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien valmistajat tai tarjoajat käyttävät sertifiointijärjestelmiä unionissa. Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tehokkuutta ja sitä, olisiko tietyt järjestelmät tehtävä pakollisiksi, olisi arvioitava kyberturvallisuuteen liittyvän unionin lainsäädännön ja erityisesti direktiivin (EU) 2016/1148 valossa ottaen huomioon keskeisten palvelujen tarjoajien käyttämien verkko- ja tietojärjestelmien turvallisuus.

(93)

Eurooppalaisten kyberturvallisuussertifikaattien ja EU-vaatimustenmukaisuusilmoitusten olisi autettava loppukäyttäjiä tekemään tietoon perustuvia valintoja. Sen vuoksi tieto- ja viestintätekniikan tuotteiden, prosessien ja palvelujen, jotka on sertifioitu tai joista on annettu EU-vaatimustenmukaisuusilmoitus, mukana olisi oltava jäsennellyssä muodossa tietoja, jotka on mukautettu suunnitellun loppukäyttäjän odotettuun tekniseen tasoon. Kaikkien tällaisten tietojen olisi oltava saatavilla verkossa ja tapauksen mukaan fyysisessä muodossa. Loppukäyttäjän olisi voitava saada tiedot sertifiointijärjestelmän numerosta ja varmuustasosta, kuvaus tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin kyberturvallisuusriskeistä ja tieto sertifikaatin myöntävästä viranomaisesta tai elimestä tai heidän pitäisi voida saada kopio eurooppalaisesta kyberturvallisuussertifikaatista. Lisäksi loppukäyttäjälle olisi tiedotettava tieto- ja viestintätekniikan tuotteiden, prosessien tai palvelujen valmistajan tai tarjoajan noudattamasta kyberturvallisuuden tukemista koskevasta toimintapolitiikasta, eli siitä, kuinka kauan loppukäyttäjä voi odottaa saavansa kyberturvallisuuspäivityksiä tai -korjauksia. Tarvittaessa olisi annettava neuvontaa toimista tai asetuksista, joita loppukäyttäjä voi toteuttaa tieto- ja viestintätekniikan tuotteen, prosessin tai palvelun kyberturvallisuuden ylläpitämiseksi tai parantamiseksi, sekä yhteystiedot keskitetystä yhteyspisteestä, johon voi raportoida ja josta voi saada tukea kyberhyökkäysten tapauksissa (automaattisen raportoinnin lisäksi). Tiedot olisi päivitettävä säännöllisesti, ja niiden olisi saatettava saataville verkkosivustolla, joka tarjoaa tietoa eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä.

(94)

Jotta voitaisiin saavuttaa tämän asetuksen tavoitteet ja välttää hajanaisuus sisämarkkinoilla, sellaisten kansallisten kyberturvallisuuden sertifiointijärjestelmien tai -menettelyjen, joiden kattamat tieto- ja viestintätekniikan tuotteet, palvelut tai prosessit kuuluvat jonkin eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän soveltamisalaan, olisi lakattava tuottamasta oikeusvaikutuksia alkaen päivästä, jonka komissio vahvistaa täytäntöönpanosäädöksillä. Jäsenvaltiot eivät myöskään saisi ottaa käyttöön uusia kansallisia kyberturvallisuuden sertifiointijärjestelmiä tieto- ja viestintätekniikan tuotteille, palveluille tai prosesseille, jotka kuuluvat jo jonkin olemassa olevan eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän soveltamisalaan. Jäsenvaltioita ei kuitenkaan tulisi estää hyväksymästä tai pitämästä voimassa kansallisia kyberturvallisuussertifiointijärjestelmiä kansallisen turvallisuuden nimissä. Jäsenvaltioiden olisi toimitettava komissiolle ja Euroopan kyberturvallisuuden sertifiointiryhmälle tieto aikomuksestaan laatia uusia kansallisia kyberturvallisuuden sertifiointijärjestelmiä. Komission ja Euroopan kyberturvallisuuden sertifiointiryhmän olisi arvioitava uuden kansallisen kyberturvallisuuden sertifiointijärjestelmän vaikutuksia sisämarkkinoiden moitteettomaan toimintaan ja sitä, olisiko strategisesti asianmukaista pyytää käyttämään sen sijaan eurooppalaista kyberturvallisuuden sertifiointijärjestelmää.

(95)

Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tarkoituksena on auttaa yhdenmukaistamaan kyberturvallisuuskäytäntöjä unionissa. Niiden on tarpeen lisätä kyberturvallisuuden tasoa unionissa. Eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien suunnittelussa olisi otettava huomioon myös kyberturvallisuusalan uusien innovaatioiden kehittäminen ja mahdollistettava ne.

(96)

Eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä olisi otettava huomioon olemassa olevat ohjelmien ja laitteistojen kehitysmenetelmät ja erityisesti usein tapahtuvien ohjelmisto- tai valmisohjelmistopäivitysten vaikutus yksittäisiin eurooppalaisiin kyberturvallisuussertifikaatteihin. Eurooppalaisissa kyberturvallisuuden sertifiointijärjestelmissä olisi täsmennettävä olosuhteet, joiden vallitessa päivitys voi edellyttää tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin sertifioimista uudelleen tai yksittäisen eurooppalaisen kyberturvallisuussertifikaatin kattavuuden supistamista ottaen huomioon päivityksen mahdolliset haitalliset vaikutukset kyseisen sertifikaatin turvallisuusvaatimusten mukaisuuteen.

(97)

Kun eurooppalainen kyberturvallisuuden sertifiointijärjestelmä on hyväksytty, tieto- ja viestintätekniikan tuotteiden, palvelujen tai prosessien valmistajien tai tarjoajien olisi voitava jättää tuotteidensa tai palvelujensa sertifiointia koskeva hakemus valitsemalleen vaatimustenmukaisuuden arviointilaitokselle kaikkialla unionissa. Kansallisten vaatimustenmukaisuuden arviointilaitosten olisi saatava akkreditointi kansalliselta akkreditointielimeltä, jos ne täyttävät tässä asetuksessa vahvistetut tietyt erityiset vaatimukset. Akkreditointi olisi myönnettävä enintään viideksi vuodeksi, ja se olisi uusittava samoin edellytyksin, jos vaatimustenmukaisuuden arviointilaitos edelleen täyttää vaatimukset. Kansallisten akkreditointielinten olisi rajoitettava vaatimustenmukaisuuden arviointilaitoksen akkreditointia, keskeytettävä sen voimassaolo tai peruutettava se, jos akkreditoinnin edellytykset eivät täyty tai eivät enää täyty tai jos vaatimustenmukaisuuden arviointilaitoksen toiminta rikkoo tätä asetusta.

(98)

Kansallisessa lainsäädännössä olevat viittaukset kansallisiin standardeihin, jotka eivät ole enää voimassa eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän tultua voimaan, voivat mahdollisesti aiheuttaa. Jäsenvaltioiden olisi sen vuoksi otettava eurooppalaisen kyberturvallisuuden sertifiointijärjestelmän hyväksyminen huomioon kansallisessa lainsäädännössään.

(99)

Toisiaan vastaavien standardien soveltamiseksi koko unionissa, vastavuoroisen tunnustamisen helpottamiseksi sekä eurooppalaisten kyberturvallisuussertifikaattien ja EU-vaatimustenmukaisuusilmoitusten yleisen hyväksymisen edistämiseksi on perustettava kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten välinen vertaisarviointijärjestelmä. Vertaisarvioinnin olisi katettava menettelyt tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien eurooppalaisten kyberturvallisuussertifikaattien mukaisuuden valvontaa, itsearviointeja tekevien menettelyt tieto- ja viestintätekniikan tuotteiden, palvelujen tai prosessien valmistajien tai tarjoajien velvoitteiden seurantaa ja vaatimustenmukaisuuden arviointilaitosten valvontaa varten sekä varmuustason ”korkea” sertifikaatteja myöntävien elinten henkilöstön asiantuntemuksen asianmukaisuus. Komission olisi voitava täytäntöönpanosäädöksellä vahvistaa vertaisarviointeja varten vähintään viisivuotinen suunnitelma sekä säädettävä vertaisarviointijärjestelmän toimintaa koskevista kriteereistä ja menetelmistä.

(100)

Sanotun vaikuttamatta perustettavan yleisen vertaisarviointijärjestelmän soveltamiseen, joka kattaa kaikki eurooppalaiseen kyberturvallisuuden sertifiointikehykseen kuuluvat kansalliset kyberturvallisuussertifioinnin myöntävät viranomaiset, tiettyihin eurooppalaiseen kyberturvallisuuden sertifiointijärjestelmiin voi sisältyä vertaisarviointimekanismi, joka kattaa varmuustason ”korkea” eurooppalaisia kyberturvallisuussertifikaatteja näiden järjestelmien nojalla tieto- ja viestintätekniikan tuotteille, palveluille tai prosesseille myöntävät elimet. Eurooppalaisen kyberturvallisuuden sertifiointiryhmän olisi tuettava tällaisten vertaisarviointimekanismien täytäntöönpanoa. Vertaisarvioinneissa olisi arvioitava erityisesti sitä, hoitavatko kyseiset elimet tehtäviään yhdenmukaisella tavalla, ja niihin voi sisältyä muutoksenhakumekanismeja. Vertaisarviointien tulokset olisi julkistettava. Vertaisarvioinnin kohteena olevat elimet voivat toteuttaa aiheellisia toimenpiteitä, joilla ne mukauttavat käytäntöjään ja asiantuntemustaan vastaavasti.

(101)

Jäsenvaltioiden olisi nimettävä yksi tai useampi kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen valvomaan tästä asetuksesta johtuvien velvoitteiden noudattamista. Kansallinen kyberturvallisuussertifioinnin myöntävä viranomainen voi olla jo olemassa oleva tai uusi viranomainen. Jäsenvaltioiden olisi myös voitava päättää sovittuaan asiasta toisen jäsenvaltion kanssa yhden tai useamman kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen nimeämisestä kyseisen toisen jäsenvaltion alueelle.

(102)

Kansallisen kyberturvallisuussertifioinnin myöntävän viranomaisen olisi erityisesti saatettava voimaan kyseisen jäsenvaltion alueelle sijoittautuneiden tieto- ja viestintätekniikan tuotteiden, palvelujen tai prosessien valmistajien tai tarjoajien velvollisuudet, jotka liittyvät EU-vaatimustenmukaisuusilmoitukseen, ja valvottava näiden velvollisuuksien noudattamista, avustettava kansallisia akkreditointielimiä niiden seuratessa ja valvoessa vaatimustenmukaisuuden arviointilaitosten toimintaa tarjoamalla niille asiantuntemusta ja asiaankuuluvia tietoja, valtuutettava vaatimustenmukaisuuden arviointilaitokset suorittamaan tehtävänsä, kun niihin kohdistuu järjestelmässä määriteltyjä Euroopan kyberturvallisuuden sertifiointijärjestelmässä esitettyjä lisävaatimuksia, ja seurattava merkityksellistä kehitystä kyberturvallisuussertifioinnin alalla. Kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten olisi myös käsiteltävä luonnollisten tai oikeushenkilöiden tekemät valitukset, jotka liittyvät näiden viranomaisten myöntämiin eurooppalaisiin kyberturvallisuussertifikaatteihin tai vaatimustenmukaisuuden arviointilaitosten myöntämiin, varmuustasoa ”korkea” osoittaviin sertifikaatteihin, tutkittava asianmukaisessa määrin valituksen kohde ja ilmoitettava valituksen tekijälle tutkinnan etenemisestä ja tuloksesta kohtuullisessa ajassa. Lisäksi kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten olisi tehtävä yhteistyötä muiden kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten tai muiden viranomaisten kanssa esimerkiksi jakamalla tietoa mahdollisista tapauksista, joissa tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit eivät vastaa tämän asetuksen tai yksittäisten eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien vaatimuksia. Komission olisi helpotettava tätä tietojen jakamista asettamalla saataville yleinen sähköinen tietotukijärjestelmä, esimerkiksi markkinavalvontaa koskeva tieto- ja viestintäjärjestelmä (ICSMS) tai tuoteturvallisuutta koskeva unionin nopea tietojenvaihtojärjestelmä (RAPEX), joita markkinavalvontaviranomaiset jo käyttävät asetuksen (EY) N:o 765/2008 nojalla.

(103)

Eurooppalaisen kyberturvallisuuden sertifiointikehyksen johdonmukaisen soveltamisen varmistamiseksi olisi perustettava Euroopan kyberturvallisuuden sertifiointiryhmä, joka koostuu kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten tai muiden asiaankuuluvien kansallisten viranomaisten edustajista. Eurooppalaisen kyberturvallisuuden sertifiointiryhmän päätehtävinä olisi neuvoa ja avustaa komissiota sen pyrkiessä varmistamaan eurooppalaisen kyberturvallisuuden sertifiointikehyksen yhdenmukaisen täytäntöönpanon ja soveltamisen, avustaa ENISAa ehdolla olevien kyberturvallisuuden sertifiointijärjestelmien valmistelussa tiiviissä yhteistyössä sen kanssa, asianmukaisesti perustelluissa tapauksissa pyytää ENISAa valmistelemaan ehdolla olevan järjestelmän, sekä antaa ENISAlle osoitettuja lausuntoja ehdolla olevista järjestelmistä ja komissiolle osoitettuja lausuntoja voimassa olevien eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien ylläpitämisestä ja tarkistamisesta. Eurooppalaisen kyberturvallisuuden sertifiointiryhmän olisi helpotettava parhaiden käytäntöjen ja asiantuntemuksen vaihtoa erinäisten vaatimustenmukaisuuden arviointilaitosten valtuuttamisesta ja eurooppalaisten kyberturvallisuussertifikaattien myöntämisestä vastaavien kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten välillä.

(104)

Tietoisuuden lisäämiseksi ja tulevien eurooppalaisten kyberturvallisuusjärjestelmien hyväksymisen helpottamiseksi komissio voi antaa yleisiä tai alakohtaisia kyberturvallisuutta koskevia suuntaviivoja esimerkiksi hyvistä kyberturvallisuuskäytännöistä tai vastuullisesta kyberturvallisuuskäyttäytymisestä korostaen sertifioitujen tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien käytön myönteistä vaikutusta.

(105)

Tieto- ja viestintäalan toimitusketjut ovat maailmanlaajuisia, joten unioni voi Euroopan unionin toiminnasta tehdyn sopimuksen (SEUT) 218 artiklan mukaisesti kaupankäyntiä edelleen helpottaakseen tehdä eurooppalaisia kyberturvallisuussertifikaatteja koskevia sopimuksia vastavuoroisesta tunnustamisesta. Komissio voi ENISAn ja Euroopan kyberturvallisuuden sertifiointiryhmän neuvot huomioiden suosittaa näitä koskevien neuvottelujen aloittamista. Kussakin eurooppalaisessa kyberturvallisuuden sertifiointijärjestelmässä olisi määritettävä erikseen edellytykset tällaisille vastavuoroista tunnustamista koskeville sopimuksille kolmansien maiden kanssa.

(106)

Jotta voidaan varmistaa tämän asetuksen yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (22) mukaisesti.

(107)

Olisi sovellettava tarkastelumenettelyä hyväksyttäessä täytäntöönpanosäädöksiä, jotka koskevat tieto- ja viestintätekniikan tuotteiden, palvelujen tai prosessien eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä, ENISAn tutkimusten toteuttamista koskevia järjestelyjä, hyväksyttäessä täytäntöönpanosäädöksiä, jotka koskevat kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten vertaisarviointia koskevaa suunnitelmaa sekä hyväksyttäessä täytäntöönpanosäädöksiä, jotka koskevat kansallisten kyberturvallisuussertifioinnin myöntävien viranomaisten komissiolle tekemien, akkreditoituja vaatimustenmukaisuuden arviointilaitoksia koskevien ilmoitusten olosuhteita, muotoseikkoja ja menettelyjä.

(108)

ENISAn toimintaa olisi arvioitava säännöllisesti ja riippumattomasti. Arvioinnissa olisi otettava huomioon ENISAn tavoitteet, sen toimintatavat ja sen tehtävien merkityksellisyys, erityisesti niiden tehtävien, jotka liittyvät unionin tasolla tapahtuvaan operatiiviseen yhteistyöhön. Tässä arvioinnissa olisi myös arvioitava eurooppalaisen kyberturvallisuuden sertifiointikehyksen vaikutusta, vaikuttavuutta ja tehokkuutta. Komission olisi uudelleentarkastelussaan arvioitava, miten ENISAn roolia neuvonnan ja asiantuntemuksen viitetahona voidaan vahvistaa, sekä arvioitava myös ENISAn mahdollista roolia sellaisten unionin markkinoille tulevien kolmansien maiden tieto- ja viestintätekniikan tuotteiden ja palvelujen arvioinnin tukemisessa, jos tällaiset tuotteet, palvelut ja prosessit eivät ole unionin sääntöjen mukaisia.

(109)

Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän asetuksen tavoitteita, vaan ne voidaan saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen (SEU) 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä asetuksessa ei ylitetä sitä, mikä on tarpeen näiden tavoitteiden saavuttamiseksi.

(110)

Asetus (EU) N:o 526/2013 olisi kumottava,

(1)

Tämän direktiivin tarkoituksena on lähentää jäsenvaltioiden lakeja, asetuksia ja hallinnollisia määräyksiä, jotka koskevat tiettyjen tuotteiden ja palvelujen esteettömyysvaatimuksia, erityisesti poistamalla ja ehkäisemällä esteitä, joita tiettyjen esteettömien tuotteiden ja palvelujen vapaalle liikkuvuudelle aiheutuu jäsenvaltioiden erilaisista esteettömyysvaatimuksista. Näin voitaisiin lisätä esteettömien tuotteiden ja palvelujen saatavuutta sisämarkkinoilla ja parantaa asiaankuuluvien tietojen esteettömyyttä.

(2)

Esteettömistä tuotteista ja palveluista on suurta kysyntää, ja niiden henkilöiden määrän, joilla on jokin vamma, ennakoidaan kasvavan huomattavasti. Kun tuotteista ja palveluista tehdään esteettömämpiä, yhteiskunnasta tulee osallistavampi ja vammaisten henkilöiden itsenäinen elämä helpottuu. Tässä yhteydessä olisi pidettävä mielessä, että unionissa vammaisuus on yleisempää naisten kuin miesten keskuudessa.

(3)

Tässä direktiivissä määritellään vammaiset henkilöt 13 päivänä joulukuuta 2006 hyväksytyn Yhdistyneiden kansakuntien vammaisten henkilöiden oikeuksia koskevan yleissopimuksen, jäljempänä ’vammaisyleissopimus’, mukaisesti, jonka osapuolena unioni on ollut 21 päivästä tammikuuta 2011 alkaen ja jonka kaikki jäsenvaltiot ovat ratifioineet. Vammaisyleissopimuksessa todetaan, että ”vammaisiin henkilöihin” kuuluvat ”ne, joilla on sellainen pitkäaikainen ruumiillinen, henkinen, älyllinen tai aisteihin liittyvä vamma, joka vuorovaikutuksessa erilaisten esteiden kanssa saattaa estää heidän täysimääräisen ja tehokkaan osallistumisensa yhteiskuntaan yhdenvertaisesti muiden kanssa”. Direktiivi edistää täysimääräistä ja tehokasta osallistumista parantamalla sellaisten yleisten tuotteiden ja palvelujen saatavuutta, jotka alkuperäisessä muodossaan tai myöhemmin mukautettuina vastaavat vammaisten henkilöiden erityistarpeisiin.

(4)

Tästä direktiivistä hyötyisivät myös muut henkilöt, joilla on toimintarajoitteita, kuten ikääntyneet henkilöt, raskaana olevat naiset ja matkatavaroiden kanssa matkustavat henkilöt. Käsite ”toimintarajoitteiset henkilöt” kattaa tässä direktiivissä henkilöt, joilla on sellainen fyysinen, psyykkinen, älyllinen tai aisteihin liittyvä vamma, ikääntymiseen liittyvä vamma taikka jokin muu ihmiskehon toimintaan liittyvä pysyvä tai tilapäinen tekijä, joka vuorovaikutuksessa erilaisten esteiden kanssa rajoittaa kyseisten henkilöiden mahdollisuuksia käyttää tuotteita ja palveluja, minkä vuoksi kyseisiä tuotteita ja palveluja on mukautettava heidän erityistarpeisiinsa.

(5)

Erot jäsenvaltioiden sellaisten lakien, asetusten ja hallinnollisten määräysten välillä, jotka koskevat vammaisten henkilöiden käyttämien tuotteiden ja palvelujen esteettömyyttä, muodostavat esteitä tuotteiden ja palveluiden vapaalle liikkuvuudelle sekä vääristävät toimivaa kilpailua sisämarkkinoilla. Joidenkin tuotteiden ja palvelujen osalta tällaiset erot saattavat lisääntyä unionissa vammaisyleissopimuksen tultua voimaan. Tällaisilla esteillä on huomattavia vaikutuksia talouden toimijoihin, varsinkin pieniin ja keskisuuriin yrityksiin (pk-yrityksiin).

(6)

Kansallisten esteettömyysvaatimusten väliset erot eivät kannusta etenkään itsenäisiä ammatinharjoittajia, pk-yrityksiä ja mikroyrityksiä osallistumaan liiketoimintaan omien kotimarkkinoidensa ulkopuolella. Jäsenvaltioissa voimassa olevat kansalliset tai jopa alueelliset tai paikalliset esteettömyysvaatimukset eroavat toisistaan sekä kattavuudeltaan että tarkkuudeltaan. Nämä erot ovat haitaksi kilpailukyvylle ja kasvulle, koska esteettömien tuotteiden ja palvelujen kehittämisestä ja markkinoinnista kutakin yksittäistä kansallista markkinaa varten koituu lisäkustannuksia.

(7)

Esteettömien tuotteiden ja palvelujen kuluttajilta sekä apuvälineteknologian käyttäjiltä peritään korkeita hintoja, koska toimittajien välinen kilpailu on vähäistä. Kansallisten lainsäädäntöjen eroista johtuva hajanaisuus pienentää hyötyä, jota voitaisiin saada vaihtamalla kansallisella ja kansainvälisellä tasolla kokemuksia yhteiskunnalliseen ja tekniseen kehitykseen mukautumisesta.

(8)

Sisämarkkinoiden moitteettoman toiminnan takaamiseksi on välttämätöntä lähentää kansallisia säännöksiä unionin tasolla, jotta voidaan poistaa esteettömien tuotteiden ja palvelujen markkinoiden hajanaisuus, saada mittakaavaetuja, helpottaa valtioiden rajat ylittävää kauppaa ja liikkuvuutta sekä auttaa talouden toimijoita kohdistamaan resursseja innovointiin sen sijaan, että niitä käytettäisiin kattamaan lainsäädännön hajanaisuudesta aiheutuvia menoja koko unionissa.

(9)

Esteettömyysvaatimusten yhdenmukaistamisen tuomat sisämarkkinaedut on osoitettu hissejä koskevan Euroopan parlamentin ja neuvoston direktiivin 2014/33/EU (3) sekä liikenteen alaa koskevan Euroopan parlamentin ja neuvoston asetuksen (EY) N:o 661/2009 (4) soveltamisen yhteydessä.

(10)

Amsterdamin sopimukseen liitetyssä vammaisia henkilöitä koskevassa julistuksessa N:o 22 jäsenvaltioiden hallitusten edustajien konferenssi oli yhtä mieltä siitä, että unionin toimielinten on otettava huomioon vammaisten tarpeet suunniteltaessa Euroopan unionin toiminnasta tehdyn sopimuksen 114 artiklan mukaisia toimenpiteitä.

(11)

Komission 6 päivänä toukokuuta 2015 antaman tiedonannon ”Digitaalisten sisämarkkinoiden strategia Euroopalle” yleisenä tavoitteena on tuottaa kestäviä taloudellisia ja yhteiskunnallisia hyötyjä yhdennetyillä digitaalisilla sisämarkkinoilla sekä tällä tavoin edistää kauppaa ja tukea työllisyyttä unionissa. Kuluttajat eivät edelleenkään voi hyötyä kaikista sisämarkkinoiden tarjoamista hinta- ja valikoimaeduista unionissa, koska rajat ylittäviä verkko-ostoksia tehdään edelleen hyvin vähän. Hajanaisuus heikentää myös valtioiden rajat ylittävän verkkokaupan transaktioiden kysyntää. Lisäksi tarvitaan yhteensovitettuja toimia sen varmistamiseksi, että sähköinen sisältö, sähköiset viestintäpalvelut ja pääsy audiovisuaalisiin mediapalveluihin ovat rajoituksetta myös vammaisten henkilöiden saatavilla. Sen vuoksi on tarpeen yhdenmukaistaa esteettömyysvaatimukset digitaalisten sisämarkkinoiden koko laajuudelta ja varmistaa, että kaikki unionin kansalaiset voivat kykyihinsä katsomatta hyötyä sisämarkkinoiden tarjoamista eduista.

(12)

Unionin tultua vammaisyleissopimuksen osapuoleksi sopimuksen määräyksistä on tullut erottamaton osa unionin oikeusjärjestystä ja ne sitovat unionin toimielimiä ja jäsenvaltioita.

(13)

Vammaisyleissopimuksen mukaan sen osapuolten on toteutettava tarvittavat toimenpiteet varmistaakseen vammaisille henkilöille muiden kanssa yhdenvertaisen pääsyn fyysiseen ympäristöön, kuljetukseen, tiedottamiseen ja viestintään, muun muassa tieto- ja viestintäteknologiaan ja -järjestelmiin, sekä muihin yleisölle avoimiin tai tarjottaviin järjestelyihin ja palveluihin kaupunki- ja maaseutualueilla. Vammaisten henkilöiden oikeuksia käsittelevä Yhdistyneiden kansakuntien komitea on todennut, että on tarpeen luoda oikeuskehys, joka sisältää konkreettisia, toteuttamiskelpoisia ja aikataulusidonnaisia vertailuarvoja, jotta esteettömyyden asteittaista täytäntöönpanoa voidaan seurata.

(14)

Vammaisyleissopimuksessa kehotetaan sen osapuolia toteuttamaan tai edistämään vammaisille henkilöille soveltuvan uuden teknologian, mukaan lukien tieto- ja viestintäteknologian, liikkumisen apuvälineiden, laitteiden ja apuvälineteknologian, tutkimusta ja kehittämistä sekä edistämään niiden saatavuutta ja käyttöä. Vammaisyleissopimuksessa myös kehotetaan asettamaan etusijalle kohtuuhintainen teknologia.

(15)

Vammaisyleissopimuksen voimaantulo jäsenvaltioiden oikeusjärjestyksissä tarkoittaa sitä, että jäsenvaltioiden on annettava täydentäviä kansallisia säännöksiä tuotteiden ja palvelujen esteettömyydestä. Ilman unionin toimia nämä säännökset johtaisivat entistä suurempiin eroihin jäsenvaltioiden lakien, asetusten ja hallinnollisten määräysten välillä.

(16)

Siksi on tarpeen helpottaa vammaisyleissopimuksen täytäntöönpanoa unionissa säätämällä yhteisistä unionin säännöistä. Tämä direktiivi auttaa myös jäsenvaltioita niiden pyrkimyksissä täyttää yhdenmukaisella tavalla esteettömyyttä koskevat kansalliset sitoumuksensa ja vammaisyleissopimuksen mukaiset velvoitteensa.

(17)

Komission 15 päivänä marraskuuta 2010 antamassa tiedonannossa ”Euroopan vammaisstrategia 2010–2020: uudistettu sitoutuminen esteettömään Eurooppaan” tunnistetaan vammaisyleissopimuksen mukaisesti esteettömyys yhdeksi kahdeksasta toiminta-alasta, todetaan, että esteettömyys on yksi perusedellytyksistä yhteiskuntaan osallistumiselle, ja asetetaan tavoitteeksi varmistaa tuotteiden ja palvelujen esteettömyys.

(18)

Tämän direktiivin soveltamisalaan kuuluvat tuotteet ja palvelut määriteltiin vaikutusten arvioinnin valmistelun aikana toteutetun seulonnan perusteella, minkä yhteydessä yksilöitiin tuotteet ja palvelut, jotka ovat merkityksellisiä vammaisille henkilöille ja joista jäsenvaltiot ovat antaneet tai saattavat antaa toisistaan poikkeavia, sisämarkkinoiden toiminnalle vahingollisia kansallisia esteettömyysvaatimuksia.

(19)

Tämän direktiivin soveltamisalaan kuuluvien palvelujen esteettömyyden varmistamiseksi olisi vastaavasti edellytettävä, että kyseisten palvelujen tarjoamisessa käytettävät tuotteet, joiden kanssa kuluttaja on vuorovaikutuksessa, täyttävät tämän direktiivin sovellettavat esteettömyysvaatimukset.

(20)

Vaikka palvelu tai sen osa teetettäisiin alihankintana kolmannella osapuolella, palvelun esteettömyys ei saisi vaarantua ja palveluntarjoajien olisi noudatettava tämän direktiivin velvoitteita. Palveluntarjoajien olisi varmistettava henkilöstönsä asianmukainen ja jatkuva koulutus, jotta voidaan varmistaa, että se on perillä esteettömien tuotteiden ja palvelujen käyttötavoista. Koulutuksen olisi katettava muun muassa tiedotus-, neuvonta- ja mainontatoimet.

(21)

Esteettömyysvaatimukset olisi muotoiltava niin, että ne aiheuttavat talouden toimijoille ja jäsenvaltioille mahdollisimman pienen rasitteen.

(22)

On tarpeen täsmentää esteettömyysvaatimukset tämän direktiivin soveltamisalaan kuuluvien tuotteiden ja palvelujen markkinoille saattamista varten, jotta voidaan varmistaa kyseisten tuotteiden ja palvelujen vapaa liikkuvuus sisämarkkinoilla.

(23)

Tässä direktiivissä olisi tehtävä toiminnalliset esteettömyysvaatimukset pakollisiksi, ja ne olisi laadittava yleisten tavoitteiden muodossa. Kyseisten vaatimusten olisi oltava riittävän tarkkoja, jotta voidaan luoda oikeudellisesti sitovia velvoitteita, ja riittävän yksityiskohtaisia, jotta voidaan arvioida vaatimustenmukaisuutta ja varmistaa siten sisämarkkinoiden moitteeton toiminta tämän direktiivin soveltamisalaan kuuluvien tuotteiden ja palvelujen osalta, ja niissä olisi jätettävä joustovaraa innovointia varten.

(24)

Tämä direktiivi sisältää monia toiminnallista suorituskykyä koskevia vaatimuksia, jotka liittyvät tuotteiden ja palveluiden käyttötapoihin. Kyseisiä vaatimuksia ei ole tarkoitettu yleisesti käytettäväksi vaihtoehdoksi tämän direktiivin esteettömyysvaatimuksille, vaan niitä olisi käytettävä vain hyvin erityisissä olosuhteissa. Kyseisiä vaatimuksia olisi sovellettava tuotteiden ja palveluiden erityisiin toimintoihin tai ominaisuuksiin siten, että tuotteesta tai palvelusta tulee esteetön, jos tämän direktiivin esteettömyysvaatimuksissa ei oteta kantaa yhteen tai useampaan erityiseen toimintoon tai ominaisuuteen. Jos esteettömyysvaatimus sisältää tiettyjä teknisiä vaatimuksia ja tuotteessa tai palvelussa ne on täytetty vaihtoehtoisella teknisellä ratkaisulla, kyseisen teknisen ratkaisun olisi silti oltava asiaankuuluvien esteettömyysvaatimusten mukainen ja esteettömyydeltään vähintään vastaavan tasoinen asiaankuuluvien suorituskykyä koskevien vaatimusten mukaisesti.

(25)

Tämän direktiivin olisi katettava kuluttajille tarkoitetut yleiskäyttöiset tietokonelaitteistot. Jotta kyseiset laitteistot toimisivat esteettömästi, myös niiden käyttöjärjestelmien olisi oltava esteettömiä. Tällaisilla luonteeltaan monitoimisilla tietokonelaitteistoilla voidaan asianmukaisten ohjelmistojen avulla suorittaa yleisimpiä kuluttajien haluamia tietojenkäsittelytehtäviä, ja ne on tarkoitettu kuluttajien käyttöön. Tällaisia tietokonelaitteistoja ovat esimerkiksi henkilökohtaiset tietokoneet, mukaan lukien pöytätietokoneet, kannettavat tietokoneet, älypuhelimet ja taulutietokoneet. Kulutuselektroniikkatuotteisiin sulautetut erityistietokoneet eivät ole kuluttajille tarkoitettuja yleiskäyttöisiä tietokonelaitteistoja. Tämän direktiivin ei olisi katettava tapauskohtaisesti tiettyä toimintoa toteuttavia yksittäisiä osia, kuten emolevyjä tai muistisiruja, joita käytetään tai saatetaan käyttää mainituissa laitteistoissa.

(26)

Tämän direktiivin olisi katettava myös maksupäätteet, mukaan lukien niiden laitteistot ja ohjelmistot, sekä tietyt sellaiset vuorovaikutteiset itsepalvelupäätteet, mukaan lukien niiden laitteistot ja ohjelmistot, joita käytetään tämän direktiivin soveltamisalaan kuuluvien palvelujen tarjoamiseen, kuten pankkiautomaatit, tiettyihin palveluihin oikeuttavia lippuja toimittavat lippuautomaatit, kuten matkalippuautomaatit, pankkien konttorien jonotuslippuautomaatit, lähtöselvitysautomaatit sekä tietojen tarjoamiseen käytettävät vuorovaikutteiset itsepalvelupäätteet, muun muassa vuorovaikutteiset tiedotusnäytöt.

(27)

Tietyt tietojen tarjoamiseen käytettävät vuorovaikutteiset itsepalvelupäätteet, jotka on asennettu ajoneuvojen, lentokoneiden, laivojen tai liikkuvan kaluston kiinteiksi osiksi, olisi kuitenkin jätettävä tämän direktiivin soveltamisalan ulkopuolelle, koska ne muodostavat osan kyseisistä ajoneuvoista, lentokoneista, laivoista tai liikkuvasta kalustosta, jotka eivät kuulu tämän direktiivin soveltamisalaan.

(28)

Tämän direktiivin olisi katettava myös Euroopan parlamentin ja neuvoston direktiivissä (EU) 2018/1972 (5) määritellyt sähköiset viestintäpalvelut, mukaan lukien hätäviestintään tarkoitetut viestintäpalvelut. Jäsenvaltiot pyrkivät tällä hetkellä varmistamaan esteettömyyden vammaisille henkilöille erilaisilla toimenpiteillä, joita ei ole yhdenmukaistettu kaikkialla sisämarkkinoilla. Varmistamalla, että samoja esteettömyysvaatimuksia sovelletaan kaikkialla unionissa, tuotetaan mittakaavaetuja useissa jäsenvaltioissa toimiville taloudellisille toimijoille ja helpotetaan sitä, että nämä palvelut ovat tosiasiallisesti vammaisten henkilöiden saatavilla heidän omassa jäsenvaltiossaan ja kun he matkustavat muissa jäsenvaltioissa. Jotta sähköiset viestintäpalvelut, myös hätäviestintä, olisivat esteettömiä, palveluntarjoajien olisi äänen lisäksi järjestettävä reaaliaikainen tekstitys ja videokuvan sisältävät täydelliset interaktiivisuusominaisuudet (total conversation services) sekä varmistettava näiden kaikkien viestintävälineiden synkronointi. Sen lisäksi, että jäsenvaltiot noudattavat tämän direktiivin vaatimuksia direktiivin (EU) 2018/1972 mukaisesti, niiden olisi voitava määrittää välityspalvelujen tarjoaja, jota vammaiset henkilöt voisivat käyttää.

(29)

Tällä direktiivillä yhdenmukaistetaan sähköisiä viestintäpalveluja ja niihin liittyviä tuotteita koskevat esteettömyysvaatimukset ja täydennetään direktiiviä (EU) 2018/1972, jossa vahvistetaan vammaisten loppukäyttäjien vastaavia käyttö- ja valinnanmahdollisuuksia koskevat vaatimukset. Direktiivissä (EU) 2018/1972 vahvistetaan myös yleispalveluvelvollisuuksien osalta vaatimuksia, jotka koskevat internetyhteyden ja ääniviestintäpalvelujen kohtuuhintaisuutta sekä niihin liittyvien päätelaitteiden, erityislaitteiden ja vammaisille kuluttajille tarkoitettujen palvelujen kohtuuhintaisuutta ja saatavuutta.

(30)

Tämän direktiivin soveltamisalaan olisi kuuluttava myös kuluttajapäätelaitteet, joissa on vuorovaikutteisia tietojenkäsittelyominaisuuksia ja joita oletettavasti käytetään ensisijaisesti sähköisiin viestintäpalveluihin pääsemiseksi. Tässä direktiivissä olisi kyseisiin laitteisiin luettava reitittimen tai modeemin kaltaiset laitteet, joita käytetään osana sähköisten viestintäpalvelujen käyttöjärjestelyjä.

(31)

Tässä direktiivissä pääsyllä audiovisuaalisiin mediapalveluihin olisi tarkoitettava sitä, että audiovisuaaliseen sisältöön pääsy on esteetöntä ja käytössä on mekanismeja, joiden ansiosta vammaiset henkilöt voivat käyttää avustavia teknologioita. Audiovisuaalisiin mediapalveluihin pääsyn tarjoavia palveluja voisivat olla verkkosivustot, verkkosovellukset, digisovitinten sovellukset, ladattavat sovellukset, mobiililaitepohjaiset palvelut – muun muassa mobiilisovellukset ja niihin liittyvät mediatoistimet – sekä hybriditelevisiopalvelut. Audiovisuaalisten mediapalvelujen esteettömyyttä säännellään Euroopan parlamentin ja neuvoston direktiivillä 2010/13/EU (6); poikkeuksen muodostaa sähköisten ohjelmaoppaiden esteettömyys, joka sisällytetään audiovisuaalisiin mediapalveluihin pääsyn mahdollistavien palvelujen, joihin sovelletaan tätä direktiiviä, määritelmään.

(32)

Lento-, linja-auto-, rautatie- ja vesiliikenteen henkilöliikennepalvelujen yhteydessä tämän direktiivin soveltamisalaan olisi sisällytettävä muun muassa vammaisten matkustajien matkustamista varten pyytämien kuljetuspalveluja koskevien tietojen, reaaliaikaiset matkatiedot mukaan luettuina, välittäminen verkkosivustojen, mobiililaitepohjaisten palvelujen, vuorovaikutteisten tiedotusnäyttöjen ja vuorovaikutteisten itsepalvelupäätteiden avulla. Tähän voisivat kuulua palveluntarjoajan henkilöliikennetuotteita ja -palveluja koskevat tiedot, ennen matkaa annettavat tiedot, matkan aikana annettavat tiedot sekä tiedot, joita annetaan, jos palvelu peruutetaan tai sen lähtö viivästyy. Muuhun tiedottamiseen voisi myös kuulua hinnoista ja alennuksista annettavat tiedot.

(33)

Tätä direktiiviä olisi sovellettava myös verkkosivustoihin, mobiililaitepohjaisiin palveluihin, mukaan lukien henkilöliikennepalvelujen tarjoajien tämän direktiivin soveltamisalan mukaisesti kehittämiin tai saataville asettamiin tai niiden lukuun kehitettyihin ja saataville asetettuihin mobiilisovelluksiin, sähköisiin matkalippupalveluihin, sähköisiin matkalippuihin sekä vuorovaikutteisiin itsepalvelupäätteisiin.

(34)

Lento-, linja-auto-, rautatie- ja vesiliikenteen henkilöliikennepalvelujen alalla tämän direktiivin soveltamisalan olisi perustuttava matkustajien oikeuksia koskevaan nykyiseen lainsäädäntöön. Kun tätä direktiiviä ei sovelleta tietyntyyppisiin liikennepalveluihin, jäsenvaltioiden olisi kannustettava palveluntarjoajia soveltamaan tämän direktiivin asiaankuuluvia esteettömyysvaatimuksia.

(35)

Euroopan parlamentin ja neuvoston direktiivissä (EU) 2016/2102 (7) säädetään jo liikennepalveluja, myös kaupunki- ja esikaupunkiliikennepalveluja ja alueellisia liikennepalveluja, tarjoavien julkisten elinten velvollisuudesta tehdä verkkosivuistaan esteettömät. Tässä direktiivissä säädetään vapautuksia mikroyrityksille, jotka tarjoavat palveluja, mukaan lukien kaupunki-, esikaupunki- ja alueelliset liikennepalvelut. Lisäksi tämä direktiivi sisältää velvoitteita varmistaa, että verkkokauppasivustot ovat esteettömiä. Koska tämä direktiivi velvoittaa suurimman osan yksityisistä liikennepalvelujen tarjoajista tekemään lippujen verkkomyyntiin käyttämistään verkkosivuista esteettömiä, tässä direktiivissä ei ole tarpeen asettaa muita kaupunki- ja esikaupunkiliikennepalvelujen tarjoajien ja alueellisten liikennepalvelujen tarjoajien verkkosivustoja koskevia vaatimuksia.

(36)

Matkustajaliikenteen alalla voimassa oleva unionin lainsäädäntö kattaa jo joitakin tässä direktiivissä asetettujen esteettömyysvaatimusten osia erityisesti tietojen antamisen osalta. Tällaisia jo katettuja vaatimusten osia on esimerkiksi Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 261/2004 (8), Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1107/2006 (9), Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 1371/2007 (10), Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 1177/2010 (11) ja Euroopan parlamentin ja neuvoston asetuksessa (EU) N:o 181/2011 (12). Näihin kuuluvat myös Euroopan parlamentin ja neuvoston direktiivin 2008/57/EY (13) perusteella annetut asiaankuuluvat säädökset. Sääntelyn johdonmukaisuuden varmistamiseksi kyseisissä asetuksissa vahvistettuja esteettömyysvaatimuksia ja kyseisiä säädöksiä olisi sovellettava edelleen kuten ennenkin. Tämän direktiivin lisävaatimuksilla täydennetään kuitenkin nykyisiä vaatimuksia ja parannetaan siten sisämarkkinoiden toimintaa liikenteen alalla vammaisten henkilöiden edun mukaisesti.

(37)

Jos joitakin liikennepalvelujen osia tarjotaan jäsenvaltioiden alueen ulkopuolella, niitä ei olisi luettava tämän direktiivin soveltamisalaan, vaikka palvelu olisikin suunnattu unionin markkinoille. Näiden osien osalta henkilöliikennepalvelujen tarjoajat olisi velvoitettava varmistamaan tämän direktiivin vaatimusten noudattaminen vain siltä osin, kuin palvelu tarjotaan unionin alueella. Lentoliikenteen ollessa kyseessä unionin lentoliikenteen harjoittajien olisi kuitenkin varmistettava, että tämän direktiivin sovellettavat vaatimukset täyttyvät myös kolmannessa maassa sijaitsevalta lentoasemalta lähtevien ja jäsenvaltion alueella sijaitsevalle lentoasemalle saapuvien lentojen osalta. Lisäksi kaikkien lentoliikenteen harjoittajien, myös niiden, joilla ei ole toimilupaa unionissa, olisi varmistettava, että tämän direktiivin sovellettavat vaatimukset täyttyvät tapauksissa, joissa lennot lähtevät unionin alueelta kolmannen maan alueelle.

(38)

Kaupunkien viranomaisia olisi kannustettava sisällyttämään kestävän kaupunkiliikenteen suunnitelmiinsa kaupunkiliikennepalvelujen esteettömyys ja julkaisemaan säännöllisesti luetteloita parhaista käytännöistä, jotka koskevat julkisen kaupunkiliikenteen ja liikkuvuuspalvelujen esteettömyyttä.

(39)

Pankkipalveluja ja rahoituspalveluja koskevalla unionin oikeudella pyritään suojaamaan näiden palvelujen kuluttajia ja antamaan niille tietoa koko unionissa, mutta siihen ei sisälly esteettömyysvaatimuksia. Jotta vammaiset henkilöt voisivat käyttää näitä palveluja kaikkialla unionissa, myös verkkosivustojen ja mobiililaitepohjaisten palvelujen, mukaan lukien mobiilisovellusten, välityksellä tarjottavien palvelujen osalta, tehdä laajoihin tietoihin perustuvia päätöksiä ja luottaa siihen, että heitä suojataan asianmukaisesti yhdenvertaisesti muiden kuluttajien kanssa, ja jotta palveluntarjoajille varmistetaan tasapuoliset toimintaedellytykset, tässä direktiivissä olisi vahvistettava yhteiset esteettömyysvaatimukset tiettyjä kuluttajille tarjottavia pankki- ja rahoituspalveluja varten.

(40)

Asianmukaisia esteettömyysvaatimuksia olisi myös sovellettava tunnistustapoihin, sähköiseen allekirjoitukseen ja maksupalveluihin, koska niitä tarvitaan kuluttajan suorittaessa pankkitoimia.

(41)

Sähkökirjatiedostot perustuvat sähköiseen tietokonekoodaukseen, jonka avulla pääosin teksti- tai graafisessa muodossa olevaa kirjallista teosta voidaan levittää ja lukea. Sähkökirjatiedostojen esteettömyys määräytyy koodauksen tarkkuusasteen perusteella, varsinkin siltä osin kuin se koskee teoksen erilaisten olennaisten osatekijöiden määrittelyä ja sen rakenteen standardoitua kuvausta. Esteettömyyttä edistävän yhteentoimivuuden olisi optimoitava kyseisten tiedostojen yhteensopivuus asiakassovellusten sekä nykyisten ja tulevien avustavien teknologioiden kanssa. Erityisteosten, kuten sarjakuvien, lastenkirjojen ja taidekirjojen, ominaispiirteitä olisi tarkasteltava kaikkien sovellettavien esteettömyysvaatimusten osalta. Erilaisten esteettömyysvaatimusten soveltaminen jäsenvaltioissa vaikeuttaisi kustantajien ja muiden talouden toimijoiden mahdollisuutta hyötyä sisämarkkinoiden eduista, saattaisi aiheuttaa yhteentoimivuusongelmia sähköisten lukulaitteiden kanssa ja rajoittaisi vammaisten kuluttajien pääsyä palveluun. Sähkökirjojen yhteydessä palveluntarjoajan käsitteeseen voisivat sisältyä kustantajat ja muut kirjojen jakeluun osallistuvat talouden toimijat.

Vammaiset henkilöt kohtaavat tunnetusti edelleen tekijänoikeudella ja lähioikeuksilla suojatun sisällön saatavuuteen liittyviä esteitä, ja tilanteeseen onkin jo puututtu tietyillä toimenpiteillä, esimerkiksi hyväksymällä Euroopan parlamentin ja neuvoston direktiivi (EU) 2017/1564 (14) sekä Euroopan parlamentin ja neuvoston asetus (EU) 2017/1563 (15), ja tähän liittyviä unionin toimenpiteitä voitaisiin toteuttaa lisää tulevaisuudessa.

(42)

Tässä direktiivissä verkkokaupan palvelut määritellään palveluksi, joka suoritetaan etäpalveluna, verkkosivustojen ja mobiilipohjaisten palvelujen välityksellä, sähköisessä muodossa ja kuluttajan omasta pyynnöstä kuluttajasopimuksen tekemiseksi. Kyseisessä määritelmässä ilmaisulla ”etäpalvelu” tarkoitetaan palvelua, joka toimitetaan siten, että osapuolet eivät ole samanaikaisesti läsnä. Ilmaisulla ”sähköisessä muodossa” tarkoitetaan palvelua, joka lähetetään alun perin lähetyspaikasta ja vastaanotetaan määränpäässä tietoja elektronisesti käsittelevien (mukaan lukien digitaalinen pakkaaminen) ja tallentavien laitteiden avulla ja joka lähetetään, siirretään ja vastaanotetaan kokonaan linjoja, radioyhteyttä, optisia tai muita elektromagneettisia välineitä käyttäen. Ilmaisulla ”kuluttajan omasta pyynnöstä” tarkoitetaan palvelua, joka toimitetaan omasta pyynnöstä. Koska verkkokaupan palvelujen merkitys on kasvanut ja ne ovat hyvin teknologiakeskeisiä, on tärkeää yhdenmukaistaa niiden esteettömyyttä koskevat vaatimukset.

(43)

Tämän direktiivin verkkokaupan palveluja koskevia esteettömyysvaatimuksia olisi sovellettava kaikkien tuotteiden ja palvelujen verkkomyyntiin ja täten myös sellaisten tuotteiden ja palvelujen myyntiin, jotka tämä direktiivi kattaa sellaisenaan.

(44)

Hätäviesteihin vastaamisen esteettömyyteen liittyvät toimenpiteet olisi toteutettava rajoittamatta hätäpalvelujen organisointia ja vaikuttamatta kyseisten palvelujen organisointiin, joka kuuluu edelleen jäsenvaltioiden yksinomaiseen toimivaltaan.

(45)

Direktiivin (EU) 2018/1972 mukaisesti jäsenvaltioiden on määrä varmistaa, että hätäpalvelut ovat hätäviestien välityksellä vammaisten loppukäyttäjien saatavilla muiden loppukäyttäjien käyttömahdollisuuksia vastaavalla tavalla tuotteiden ja palvelujen esteettömyysvaatimukset yhdenmukaistavan unionin lainsäädännön mukaisesti. Komission ja kansallisten sääntelyviranomaisten tai muiden toimivaltaisten viranomaisten on määrä toteuttaa asianmukaiset toimenpiteet, joilla varmistetaan, että vammaiset loppukäyttäjät voivat käyttää hätäpalveluja vastaavin edellytyksin kuin muut loppukäyttäjät matkustaessaan toisessa jäsenvaltiossa, mahdollisuuksien mukaan ilman ennakkorekisteröintiä. Kyseisillä toimenpiteillä pyritään varmistamaan yhteentoimivuus kaikissa jäsenvaltioissa ja niiden on perustuttava mahdollisimman pitkälle direktiivin (EU) 2018/1972 39 artiklassa säädettyihin eurooppalaisiin standardeihin tai eritelmiin. Kyseiset toimenpiteet eivät estä jäsenvaltioita hyväksymästä lisävaatimuksia kyseisessä direktiivissä asetettujen tavoitteiden saavuttamiseksi. Jäsenvaltioiden olisi vaihtoehtoisesti voitava täyttää tässä direktiivissä asetetut esteettömyysvaatimukset, jotka koskevat vammaisten käyttäjien hätäviesteihin vastaamista, osoittamalla välityspalveluja tarjoava kolmas osapuoli, jota vammaiset henkilöt voivat käyttää viestiessään hätäkeskuksen kanssa, kunnes kyseiset hätäkeskukset pystyvät käyttämään sähköisiä viestintäpalveluja IP-yhteyskäytäntöjen kautta varmistaakseen hätäviesteihin vastaamisen esteettömyyden. Tämän direktiivin velvoitteita ei olisi kuitenkaan tulkittava niin, että rajoitettaisiin tai vähennettäisiin vammaisten loppukäyttäjien eduksi asetettuja velvoitteita, mukaan lukien vastaava pääsy sähköisiin viestintäpalveluihin ja hätäpalveluihin sekä direktiivissä (EU) 2018/1972 säädetyt esteettömyysvelvoitteet.

(46)

Direktiivissä (EU) 2016/2102 vahvistetaan esteettömyysvaatimuksia, jotka koskevat julkisen sektorin elinten verkkosivustoja ja mobiilisovelluksia sekä muita asiaan liittyviä näkökohtia, erityisesti asiaankuuluvien verkkosivustojen ja mobiilisovellusten vaatimustenmukaisuutta. Kyseisessä direktiivissä on kuitenkin luettelo tietyistä poikkeuksista. Vastaavanlaiset poikkeukset tulevat kysymykseen myös sovellettaessa tätä direktiiviä. Osassa tämän direktiivin soveltamisalaan kuuluvasta, julkisen sektorin elinten verkkosivustojen ja mobiilisovellusten kautta toteutettavasta toiminnasta, kuten henkilöliikennepalveluissa tai verkkokaupan palveluissa olisi lisäksi noudatettava tämän direktiivin sovellettavia esteettömyysvaatimuksia sen varmistamiseksi, että tuotteiden ja palveluiden verkkomyynti on vammaisten henkilöiden saavutettavissa riippumatta siitä, onko myyjä julkinen vaiko yksityinen talouden toimija. Tämän direktiivin esteettömyysvaatimusten olisi oltava yhdenmukaisia direktiivin (EU) 2016/2102 vaatimusten kanssa, lukuun ottamatta eroja esimerkiksi seurannassa, raportoinnissa ja täytäntöönpanon valvonnassa.

(47)

Verkkosivustojen ja direktiivissä (EU) 2016/2102 tarkoitettujen mobiilisovellusten saavutettavuuden neljä periaatetta ovat havaittavuus, joka tarkoittaa, että tiedot ja käyttöliittymän osat on esitettävä käyttäjille tavoilla, jotka he voivat havaita; hallittavuus, joka tarkoittaa, että käyttöliittymän osien ja navigoinnin on oltava hallittavia; ymmärrettävyys, joka tarkoittaa, että tietojen ja käyttöliittymän toiminnan on oltava käsitettäviä; ja toimintavarmuus, joka tarkoittaa, että sisällön on oltava riittävän toimintavarma, jotta hyvin erilaiset asiakassovellukset, mukaan lukien avustavat teknologiat, voivat tulkita sitä luotettavasti. Kyseiset periaatteet ovat merkityksellisiä myös tämän direktiivin kannalta.

(48)

Jäsenvaltioiden olisi toteutettava kaikki tarvittavat toimenpiteet sen varmistamiseksi, että tämän direktiivin kattamien ja sovellettavat esteettömyysvaatimukset täyttävien tuotteiden ja palvelujen vapaa liikkuvuus unionissa ei esty esteettömyysvaatimuksiin liittyvistä syistä.

(49)

Rakennettua ympäristöä koskevat yhtenäiset esteettömyysvaatimukset voisivat joissakin tapauksissa helpottaa asiaa koskevien palvelujen ja vammaisten henkilöiden vapaata liikkuvuutta. Sen vuoksi jäsenvaltioiden olisi voitava tämän direktiivin perusteella ottaa säännösten piiriin rakennettu ympäristö, jota käytetään tämän direktiivin soveltamisalaan kuuluvien palvelujen tarjoamiseen, sen varmistamiseksi, että liitteessä III vahvistetut esteettömyysvaatimukset täyttyvät.

(50)

Esteettömyys olisi toteutettava järjestelmällisesti poistamalla esteitä ja ehkäisemällä niiden syntyä, mieluiten noudattamalla universaalia tai kaikkia palvelevaa suunnittelutapaa, jolla edistetään sen varmistamista, että vammaisilla henkilöillä on muiden kanssa yhdenvertainen mahdollisuus saada palveluja ja tuotteita. Vammaisyleissopimuksen mukaan tämä lähestymistapa ”tarkoittaa tuotteiden, ympäristöjen, ohjelmien ja palvelujen suunnittelua sellaisiksi, että kaikki ihmiset voivat käyttää niitä mahdollisimman laajasti ilman mukautuksia tai erikoissuunnittelua”. Vammaisyleissopimusta vastaavasti kaikkia palveleva suunnittelu ”ei sulje pois yksittäisten vammaisryhmien mahdollisesti tarvitsemia apuvälineitä”. Esteettömyys ei myöskään saisi sulkea pois kohtuullisten mukauttamistoimien toteuttamista, jos sellaista vaaditaan unionin oikeudessa tai kansallisessa oikeudessa. Esteettömyyttä ja kaikkia palvelevaa suunnittelua olisi tulkittava vammaisten henkilöiden oikeuksien komitean laatiman yleisen huomautuksen nro 2 (2014) 9 artiklan (Esteettömyys) mukaisesti.

(51)

Tuotteen tai palvelun kuuluminen tämän direktiivin soveltamisalaan ei automaattisesti tarkoita, että tuote tai palvelu kuuluu neuvoston direktiivin 93/42/ETY (16) soveltamisalaan. Jotkin avustavat teknologiat, jotka ovat lääkinnällisiä laitteita, voisivat kuitenkin kuulua kyseisen direktiivin soveltamisalaan.

(52)

Pk- ja mikroyritykset luovat suurimman osan työpaikoista unionissa. Näille yrityksille, jotka ovat ratkaisevan tärkeitä tulevan kasvun kannalta, on hyvin usein hankalaa kehittää tuotteitaan tai palvelujaan, erityisesti rajatylittävässä toimintaympäristössä. Pk- ja mikroyritysten työtä on siksi helpotettava yhdenmukaistamalla kansallisia esteettömyyssäännöksiä, kuitenkin siten, että pidetään kiinni välttämättömistä varmistustoimista.

(53)

Jotta mikroyrityksiin ja pk-yrityksiin voidaan soveltaa tätä direktiiviä, niiden on täytettävä aidosti komission suosituksen 2003/361/EY (17) ja asiaankuuluvan oikeuskäytännön vaatimukset, joiden tarkoituksena on estää sen sääntöjen kiertäminen.

(54)

Unionin oikeuden johdonmukaisuuden varmistamiseksi tämän direktiivin olisi perustuttava Euroopan parlamentin ja neuvoston päätökseen N:o 768/2008/EY (18), sillä se koskee tuotteita, jotka jo kuuluvat unionin muiden säädösten soveltamisalaan, ottaen samalla huomioon tämän direktiivin esteettömyysvaatimusten erityispiirteet.

(55)

Kaikkien tämän direktiivin soveltamisalaan kuuluvien ja toimitus- ja jakeluketjuun osallistuvien talouden toimijoiden olisi varmistettava, että ne asettavat saataville markkinoille ainoastaan sellaisia tuotteita, jotka ovat tämän direktiivin mukaisia. Samaa olisi sovellettava palveluja tarjoaviin talouden toimijoihin. On tarpeen säätää selkeästä ja oikeasuhteisesta velvollisuuksien jakautumisesta, joka vastaa kunkin talouden toimijan tehtävää toimitus- ja jakeluprosessissa.

(56)

Talouden toimijoiden olisi oltava vastuussa tuotteiden ja palvelujen vaatimustenmukaisuudesta suhteessa niiden rooliin toimitusketjussa, jotta voidaan taata korkeatasoinen esteettömyyden suoja ja oikeudenmukainen kilpailu unionin markkinoilla.

(57)

Tämän direktiivin velvoitteita olisi sovellettava talouden toimijoihin yhtä lailla julkisella kuin yksityisellä sektorilla.

(58)

Valmistajalla on parhaat mahdollisuudet suorittaa täydellinen vaatimustenmukaisuuden arviointi, koska sillä on yksityiskohtaiset tiedot suunnittelu- ja valmistusprosessista. Vaikka vastuu tuotteiden vaatimustenmukaisuudesta säilyy valmistajalla, markkinavalvontaviranomaisilla olisi oltava keskeinen rooli sen tarkistamisessa, onko unionissa markkinoilla saataville asetettavat tuotteet valmistettu unionin oikeuden mukaisesti.

(59)

Tuojat ja jakelijat olisi otettava mukaan kansallisten viranomaisten suorittamiin markkinavalvontatehtäviin, ja niiden olisi osallistuttava toimiin aktiivisesti antamalla toimivaltaisille viranomaisille kaikki tarvittavat tiedot asiaankuuluvasta tuotteesta.

(60)

Tuojien olisi varmistettava, että kolmansista maista peräisin olevat tuotteet, jotka tulevat unionin markkinoille, ovat tämän direktiivin mukaisia, ja etenkin, että valmistajat ovat tehneet asianmukaisia vaatimustenmukaisuuden arviointimenettelyitä kyseisten tuotteiden osalta.

(61)

Tuotetta markkinoille saattaessaan maahantuojien olisi ilmoitettava tuotteessa nimensä, rekisteröity toiminimensä tai rekisteröity tavaramerkkinsä sekä osoite, josta niihin saa yhteyden.

(62)

Jakelijoiden olisi varmistettava, että niiden tuotteelle suorittama käsittely ei vaikuta haitallisesti tuotteen vaatimustenmukaisuuteen suhteessa tämän direktiivin esteettömyysvaatimuksiin.

(63)

Kutakin talouden toimijaa, joka saattaa tuotteen markkinoille omalla nimellään tai tavaramerkillään taikka muuttaa jo markkinoille saatettua tuotetta tavalla, joka saattaa vaikuttaa sovellettavien vaatimusten täyttymiseen, on pidettävä valmistajana, ja tällaisen talouden toimijan on otettava hoitaakseen valmistajalle kuuluvat velvoitteet.

(64)

Suhteellisuuteen liittyvistä syistä esteettömyysvaatimuksia olisi sovellettava ainoastaan siinä määrin, kuin ne eivät aiheuta kohtuutonta rasitetta asianomaiselle talouden toimijalle, tai siinä määrin, kuin ne eivät edellytä tuotteiden ja palvelujen perusteellista muuttamista siten, että niistä tulisi perustavanlaatuisesti erilaisia tämän direktiivin mukaisesti. Käytössä olisi kuitenkin oltava valvontamekanismeja, joilla voidaan tarkistaa, onko poikkeaminen esteettömyysvaatimusten soveltamisesta ollut oikeutettua.

(65)

Tässä direktiivissä olisi noudateltava ”pienet ensin” -periaatetta ja otettava huomioon pk-yrityksille aiheutuva hallinnollinen rasite. Tämän direktiivin olisi sisällettävä vain muutamia vaatimustenmukaisuuden arviointia koskevia sääntöjä, ja siinä olisi vahvistettava suojalausekkeet talouden toimijoita varten. Siinä ei siten säädetä yleisistä poikkeus- ja erityisjärjestelyistä kyseisiä yrityksiä varten. Näin ollen laadittaessa sääntöjä kaikkein asianmukaisimpien vaatimustenmukaisuuden arviointimenettelyjen valitsemista ja toteuttamista varten olisi otettava huomioon pk-yritysten tilanne, ja esteettömyysvaatimusten vaatimustenmukaisuuden arviointiin liittyvät velvoitteet olisi rajattava sellaisiksi, ettei niistä aiheudu pk-yrityksille kohtuutonta rasitetta. Lisäksi markkinavalvontaviranomaisten olisi toiminnassaan otettava riittävällä tavalla huomioon yritysten koko ja kyseisen tuotannon luonne (pienet sarjat tai muu kuin sarjatuotanto), eikä niiden pitäisi tässä yhteydessä luoda tarpeettomia esteitä pk-yrityksille eikä laiminlyödä yleisen edun suojaamista.

(66)

Jos poikkeustapauksissa tämän direktiivin esteettömyysvaatimukset aiheuttaisivat kohtuutonta rasitetta talouden toimijoille, talouden toimijoita olisi vaadittava noudattamaan kyseisiä vaatimuksia vain siltä osin, kuin ne eivät aiheuta kohtuutonta rasitetta. Tällaisissa asianmukaisesti perustelluissa tapauksissa talouden toimijan ei olisi kohtuudella mahdollista soveltaa täysin yhtä tai useampaa tämän direktiivin esteettömyysvaatimusta. Talouden toimijan olisi kuitenkin tehtävä tämän direktiivin soveltamisalaan kuuluva palvelu tai tuote mahdollisimman esteettömäksi soveltamalla kyseisiä vaatimuksia siinä määrin, kuin niistä ei aiheudu kohtuutonta rasitetta. Sellaisia esteettömyysvaatimuksia olisi sovellettava täysin, joiden talouden toimija ei katso aiheuttavan kohtuutonta rasitetta. Yhden tai useamman esteettömyysvaatimuksen täyttämistä koskevat poikkeukset, jotka perustuvat vaatimuksista aiheutuvaan kohtuuttomaan rasitteeseen, eivät saisi ylittää sitä, mikä on tarkkaan ottaen tarpeen kyseisen rasitteen vähentämiseksi asianomaisen tuotteen tai palvelun osalta kussakin yksittäistapauksessa. Kohtuuttoman rasitteen aiheuttavien toimenpiteiden olisi katsottava olevan sellaisia, joista talouden toimijalle aiheutuisi liiallinen organisatorinen tai taloudellinen lisärasite, kun otetaan huomioon toimenpiteistä vammaisille henkilöille todennäköisesti koituvat edut tässä direktiivissä säädettyjen perusteiden mukaisesti. Edellä esitetyn perusteella olisi määriteltävä perusteet, jotta sekä talouden toimijat että asiaankuuluvat viranomaiset voivat verrata erilaisia tilanteita ja arvioida järjestelmällisesti, esiintyykö kohtuutonta rasitetta. Ainoastaan oikeutetut perusteet olisi otettava huomioon arvioitaessa sitä, missä määrin esteettömyysvaatimuksia ei voida täyttää sen takia, että ne aiheuttaisivat kohtuuttoman rasitteen. Oikeutetuiksi perusteiksi ei olisi katsottava sitä, että asiaa ei pidetä tärkeänä, kuten ei myöskään ajan tai tiedon puutetta.

(67)

Yleinen arvio kohtuuttomasta rasitteesta olisi tehtävä käyttämällä liitteessä VI vahvistettuja perusteita. Talouden toimijan olisi dokumentoitava kohtuutonta rasitetta koskeva arvio ottamalla huomioon asiaankuuluvat perusteet. Palveluntarjoajien olisi uusittava arvionsa kohtuuttomasta rasitteesta vähintään joka viides vuosi.

(68)

Talouden toimijan olisi ilmoitettava asiaankuuluville viranomaisille, että se on soveltanut perusteellista muutosta ja/tai kohtuutonta rasitetta koskevia tämän direktiivin säännöksiä. Talouden toimijan olisi vasta asiaankuuluvien viranomaisten pyynnöstä toimitettava arvioinnista kopio, jossa selvitetään, miksi sen tuote tai palvelu ei ole täysin esteetön, ja toimitettava näyttöä kohtuuttomasta rasitteesta tai perusteellisesta muutoksesta tai molemmista.

(69)

Vaikka palveluntarjoaja vaaditun arvioinnin pohjalta toteaisi, että olisi kohtuuton rasite vaatia, että kaikki tämän direktiivin soveltamisalaan kuuluvien palvelujen tarjoamiseen käytettävät itsepalvelupäätteet täyttävät tämän direktiivin esteettömyysvaatimukset, palveluntarjoajan olisi silti sovellettava kyseisiä vaatimuksia siltä osin, kuin kyseiset vaatimukset eivät aiheuta sille kohtuutonta rasitetta. Näin ollen palveluntarjoajien olisi arvioitava, missä määrin se, että kaikki itsepalvelupäätteet ovat rajoitetusti esteettömiä tai täysin esteettömiä itsepalvelupäätteitä on rajoitettu määrä, antaisi niille mahdollisuuden välttää kohtuuton rasite, joka niille muuten aiheutuisi, ja ne olisi velvoitettava noudattamaan tämän direktiivin esteettömyysvaatimuksia ainoastaan näiltä osin.

(70)

Mikroyritykset eroavat kaikista muista yrityksistä rajallisten henkilöresurssiensa, vuotuisen liikevaihtonsa tai vuotuisen taseensa vuoksi. Sen vuoksi esteettömyysvaatimusten noudattamista koskeva rasite merkitsee mikroyrityksissä yleensä suurempaa osuutta niiden taloudellisista ja henkilöresursseista kuin muissa yrityksissä ja on todennäköisemmin kohtuuttoman suuri osuus kustannuksista. Merkittävä osuus mikroyritysten kustannuksista koostuu asiakirjojen ja kirjanpidon laatimisesta tai säilyttämisestä sen osoittamiseksi, että unionin oikeudessa vahvistettuja erilaisia vaatimuksia noudatetaan. Kaikkien tämän direktiivin soveltamisalaan kuuluvien talouden toimijoiden olisi voitava arvioida tämän direktiivin esteettömyysvaatimusten noudattamisen suhteellisuutta, ja niiden olisi noudatettava kyseisiä esteettömyysvaatimuksia vain, jos ne eivät ole kohtuuttomia; tällaisen arvioinnin edellyttäminen palveluja tarjoavilta mikroyrityksiltä olisi jo itsessään kohtuuton rasite. Tämän direktiivin vaatimuksia ja velvoitteita ei siksi tulisi soveltaa mikroyrityksiin, jotka tarjoavat direktiivin soveltamisalaan kuuluvia palveluja.

(71)

Tämän direktiivin vaatimusten ja velvoitteiden olisi oltava kevyemmät tämän direktiivin soveltamisalaan kuuluvia tuotteita käsitteleville mikroyrityksille, jotta vähennetään hallinnollista rasitetta.

(72)

Vaikka jotkin mikroyritykset on vapautettu tämän direktiivin velvoitteista, kaikkia mikroyrityksiä olisi kannustettava valmistamaan, tuomaan maahan tai jakelemaan sellaisia tuotteita sekä tarjoamaan sellaisia palveluja, jotka ovat tämän direktiivin esteettömyysvaatimusten mukaisia, jotta kyseisten yritysten kilpailukyky ja kasvupotentiaali sisämarkkinoilla lisääntyisi. Jäsenvaltioiden olisi sen vuoksi tarjottava mikroyrityksille ohjeita ja välineitä, jotka helpottavat niiden kansallisten toimenpiteiden soveltamista, joilla tämä direktiivi saatetaan osaksi kansallista lainsäädäntöä.

(73)

Kaikkien talouden toimijoiden olisi toimittava vastuullisesti ja noudattaen kaikkia sovellettavia oikeudellisia vaatimuksia, kun ne saattavat tuotteita markkinoille tai asettavat niitä saataville markkinoilla taikka tarjoavat palveluja markkinoilla.

(74)

Jotta vaatimustenmukaisuuden arviointi sovellettavien esteettömyysvaatimusten osalta olisi helpompaa, on tarpeen säätää vaatimustenmukaisuusolettamasta sellaisille tuotteille ja palveluille, jotka vastaavat vapaaehtoisia yhdenmukaistettuja standardeja, jotka on hyväksytty Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 1025/2012 (19) mukaisesti tarkoituksena laatia yksityiskohtaiset tekniset eritelmät kyseisiä vaatimuksia varten. Komissio on jo antanut Euroopan standardointiorganisaatioille useita esteettömyyttä koskevia standardointipyyntöjä, kuten standardointitoimeksiannot M/376, M/473 ja M/420, joilla on merkitystä yhdenmukaistettujen standardien valmistelun kannalta.

(75)

Asetuksessa (EU) N:o 1025/2012 säädetään yhdenmukaistetuista standardeista esitettäviä vastalauseita koskevasta menettelystä tapauksissa, joissa kyseiset standardit eivät täytä tämän direktiivin vaatimuksia.

(76)

Eurooppalaisten standardien olisi oltava markkinalähtöisiä, niissä olisi otettava huomioon yleinen etu ja toimintapoliittiset tavoitteet, jotka ilmaistaan selkeästi komission yhdelle tai useammalle eurooppalaiselle standardointiorganisaatiolle esittämässä pyynnössä yhdenmukaistettujen standardien laatimisesta, ja niiden olisi perustuttava yhteisymmärrykseen. Yhdenmukaistettujen standardien puuttuessa ja jos se on sisämarkkinoiden yhdenmukaistamiseksi tarpeen, komission olisi tietyissä tapauksissa voitava antaa täytäntöönpanosäädöksiä, joissa vahvistetaan tekniset eritelmät tämän direktiivin esteettömyysvaatimuksia varten. Teknisiin eritelmiin olisi turvauduttava vain tällaisissa tapauksissa. Komission olisi voitava hyväksyä teknisiä eritelmiä esimerkiksi silloin, kun standardointiprosessi on ajautunut umpikujaan siksi, että sidosryhmät eivät pääse yhteisymmärrykseen tai yhdenmukaistetun standardin laatiminen viivästyy aiheettomasti esimerkiksi siksi, että vaadittua laatua ei saavuteta. Kun komissio on esittänyt yhdelle tai useammalle eurooppalaiselle standardointiorganisaatiolle pyynnön yhdenmukaistettujen standardien laatimisesta, komission olisi jätettävä riittävästi aikaa niiden käsittelyyn, ennen kuin se hyväksyy samaa esteettömyysvaatimusta koskevia teknisiä eritelmiä. Komission ei olisi voitava hyväksyä teknistä eritelmää, jollei se ole tätä ennen yrittänyt saada esteettömyysvaatimuksia katetuiksi eurooppalaisella standardointijärjestelmällä, paitsi jos komissio voi osoittaa, että tekninen eritelmä on asetuksen (EU) N:o 1025/2012 liitteessä II vahvistettujen vaatimusten mukainen.

(77)

Jotta voidaan tehokkaimmalla tavalla ottaa käyttöön yhdenmukaistettuja standardeja ja teknisiä eritelmiä, joilla täytetään tämän direktiivin tuotteita ja palveluja koskevat esteettömyysvaatimukset, komission olisi otettava mukaan asian käsittelyyn vammaisia henkilöitä edustavat eurooppalaiset kattojärjestöt ja kaikki muut asiaankuuluvat sidosryhmät silloin, kun se on mahdollista.

(78)

Jotta varmistetaan tosiasiallinen mahdollisuus saada tietoja markkinavalvontaa varten, tiedot, joita vaaditaan vakuutuksen antamiseksi vaatimustenmukaisuudesta suhteessa kaikkiin sovellettaviin unionin säädöksiin, olisi asetettava saataville yhdessä ainoassa EU-vaatimustenmukaisuusvakuutuksessa. Hallinnollisen rasitteensa vähentämiseksi talouden toimijoiden olisi voitava sisällyttää tällaiseen yhteen ainoaan EU-vaatimustenmukaisuusvakuutukseen kaikki asiaa koskevat yksittäiset vaatimustenmukaisuusvakuutukset.

(79)

Tuotteiden vaatimustenmukaisuuden arvioinnin osalta tässä direktiivissä olisi käytettävä päätöksen N:o 768/2008/EY liitteessä II vahvistettua sisäisen tuotannonvalvonnan menettelyä (moduuli A), koska sen avulla talouden toimijat voivat osoittaa ja toimivaltaiset viranomaiset varmistaa ilman aiheetonta rasitetta, että markkinoilla saataville asetettavat tuotteet täyttävät esteettömyysvaatimukset.

(80)

Viranomaisten olisi tuotteiden markkinavalvonnan ja palvelujen vaatimustenmukaisuuden tarkastamisen yhteydessä tarkastettava myös vaatimustenmukaisuuden arvioinnit, mukaan lukien se, suoritettiinko asiaankuuluva perusteellista muutosta tai kohtuutonta rasitetta koskeva arviointi asianmukaisesti. Viranomaisten olisi tehtäviään hoitaessaan toimittava myös yhteistyössä vammaisten henkilöiden ja heitä ja heidän etujaan edustavien järjestöjen kanssa.

(81)

Tietojen, joita tarvitaan sen arvioimiseksi, ovatko palvelut tämän direktiivin esteettömyysvaatimusten mukaisia, olisi sisällyttävä yleisiin ehtoihin tai vastaavaan asiakirjaan, sanotun kuitenkaan rajoittamatta Euroopan parlamentin ja neuvoston direktiivin 2011/83/EU (20) soveltamista.

(82)

CE-merkintä osoittaa, että tuote on tämän direktiivin esteettömyysvaatimusten mukainen, ja se on näkyvä seuraus koko vaatimustenmukaisuuden arviointiprosessista laajassa merkityksessä. Tässä direktiivissä olisi noudatettava CE-merkintään sovellettavia yleisiä periaatteita, joista säädetään tuotteiden kaupan pitämiseen liittyvää akkreditointia ja markkinavalvontaa koskevista vaatimuksista annetussa Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 765/2008 (21). EU-vaatimustenmukaisuusvakuutuksen tekemisen ohella valmistajan olisi tiedotettava kuluttajille kustannustehokkaalla tavalla tuotteidensa esteettömyydestä.

(83)

Kiinnittämällä CE-merkinnän tuotteeseen valmistaja antaa asetuksen (EY) N:o 765/2008 mukaisesti vakuutuksen siitä, että tuote on kaikkien sovellettavien esteettömyysvaatimusten mukainen ja että valmistaja ottaa tuotteesta täyden vastuun.

(84)

Päätöksen N:o 768/2008/EY mukaisesti jäsenvaltiot ovat vastuussa vahvan ja tehokkaan tuotteiden markkinavalvonnan varmistamisesta alueellaan, ja niiden olisi annettava markkinavalvontaviranomaisilleen riittävästi toimivaltaa ja resursseja.

(85)

Jäsenvaltioiden olisi tarkastettava, ovatko palvelut tämän direktiivin velvoitteiden mukaisia, ja seurattava vaatimustenvastaisuuteen liittyvien valitusten tai raporttien käsittelyä sen varmistamiseksi, että korjaavia toimia toteutetaan.

(86)

Komissio voisi tarvittaessa antaa sidosryhmiä kuullen ei-sitovia suuntaviivoja, millä tuetaan markkinavalvontaviranomaisten ja palvelujen vaatimustenmukaisuuden tarkastamisesta vastaavien viranomaisten toimien koordinointia. Komission ja jäsenvaltioiden olisi voitava esittää aloitteita viranomaisten resurssien ja asiantuntemuksen jakamiseksi.

(87)

Jäsenvaltioiden olisi varmistettava, että markkinavalvontaviranomaiset ja palvelujen vaatimustenmukaisuuden tarkastamisesta vastaavat viranomaiset tarkastavat VIII ja IX luvun mukaisesti, noudattavatko talouden toimijat liitteessä VI vahvistettuja perusteita. Jäsenvaltioiden olisi voitava nimetä erikoistunut elin täyttämään tämän direktiivin mukaiset markkinavalvontaviranomaisten ja palvelujen vaatimustenmukaisuuden tarkastamisesta vastaavien viranomaisten velvoitteet. Jäsenvaltioiden olisi voitava päättää, että tällaisen erikoistuneen elimen toimivalta rajataan tämän direktiivin soveltamisalaan tai tiettyihin osiin siitä rajoittamatta asetuksen (EY) N:o 765/2008 mukaisia jäsenvaltioiden velvoitteita.

(88)

Olisi luotava suojalausekemenettely, jota sovelletaan ainoastaan silloin, kun jäsenvaltiot ovat eri mieltä jonkin jäsenvaltion toteuttamista toimenpiteistä, ja jonka kautta ne, joita asia koskee, saavat tietoa suunnitelluista toimista sellaisten tuotteiden suhteen, jotka eivät täytä tämän direktiivin esteettömyysvaatimuksia. Suojalausekemenettelyn avulla markkinavalvontaviranomaisten olisi jo varhaisemmassa vaiheessa mahdollista ryhtyä yhteisiin toimiin asiaankuuluvien talouden toimijoiden kanssa tällaisten tuotteiden suhteen.

(89)

Silloin kun jäsenvaltiot ja komissio ovat yhtä mieltä jäsenvaltion toteuttaman toimenpiteen oikeutuksesta, komissiolta ei pitäisi edellyttää jatkotoimia, paitsi jos vaatimustenvastaisuuden voidaan katsoa johtuvan yhdenmukaistettujen standardien tai teknisten eritelmien puutteista.

(90)

Julkisista hankinnoista annetuissa Euroopan parlamentin ja neuvoston direktiiveissä 2014/24/EU (22) ja 2014/25/EU (23), joissa määritellään menettelyt tiettyjä tavaroita (tuotteita), palveluja ja rakennusurakoita koskeville julkisille hankintasopimuksille ja suunnittelukilpailuille, vahvistetaan, että kaikissa hankinnoissa, jotka on tarkoitettu luonnollisten henkilöiden käyttöön, olipa kyse kansalaisista taikka hankintaviranomaisen tai -yksikön henkilöstöstä, tekniset eritelmät on asianmukaisesti perusteltuja tapauksia lukuun ottamatta määrä laatia siten, että voidaan ottaa huomioon esteettömyys vammaisille henkilöille tai kaikkien käyttäjien vaatimukset täyttävä suunnittelu. Lisäksi kyseisissä direktiiveissä vaaditaan, että jos pakolliset esteettömyysvaatimukset vahvistetaan unionin säädöksellä, tekniset eritelmät on määrä vahvistaa viittaamalla kyseiseen säädökseen, kun on kyse esteettömyydestä vammaisten henkilöiden kannalta tai kaikkien käyttäjien tarpeet huomioon ottavasta suunnittelusta. Tässä direktiivissä olisi vahvistettava sen soveltamisalaan kuuluvien tuotteiden ja palvelujen pakolliset esteettömyysvaatimukset. Tämän direktiivin esteettömyysvaatimukset eivät sido tuotteita ja palveluja, jotka eivät kuulu tämän direktiivin soveltamisalaan. Kyseisten esteettömyysvaatimusten käyttäminen muissa unionin säädöksissä kuin tässä direktiivissä vahvistettujen asiaankuuluvien velvoitteiden täyttämiseen kuitenkin helpottaisi esteettömyyden toteuttamista ja edistäisi osaltaan oikeusvarmuutta ja esteettömyysvaatimusten lähentämistä unionissa. Viranomaisia ei olisi estettävä vahvistamasta tämän direktiivin liitteessä I vahvistettuja esteettömyysvaatimuksia tiukempia vaatimuksia.

(91)

Tällä direktiivillä ei olisi muutettava muissa unionin säädöksissä olevien, esteettömyyttä koskevien säännösten pakollista tai vapaaehtoista luonnetta.

(92)

Tätä direktiiviä olisi sovellettava vain hankintamenettelyihin, joita varten on lähetetty tarjouskilpailukutsu tämän direktiivin soveltamisen alkamispäivän jälkeen, tai, jos tarjouskilpailukutsua ei ole tarkoitus lähettää, hankintamenettelyihin, jotka hankintaviranomainen tai -yksikkö on aloittanut tämän direktiivin soveltamisen alkamispäivän jälkeen.

(93)

Jotta voidaan varmistaa, että tätä direktiiviä sovelletaan asianmukaisesti, komissiolle olisi siirrettävä valta hyväksyä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, jotka koskevat niiden esteettömyysvaatimusten tarkempaa määrittelemistä, jotka eivät luontaisesti voi tuottaa aiottua vaikutustaan, ellei niitä tarkenneta unionin sitovissa säädöksissä; sen ajan muuttamista, jona talouden toimijoiden on voitava tunnistaa kaikki talouden toimijat, jotka ovat toimittaneet niille tuotetta tai joille ne ovat toimittaneet tuotetta; sekä sellaisten asiaankuuluvien perusteiden tarkempaa erittelyä, jotka talouden toimijan on otettava huomioon arvioidessaan sitä, aiheuttaako esteettömyysvaatimusten noudattaminen kohtuuttoman rasitteen. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa (24) vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä.

(94)

Jotta voidaan varmistaa tämän direktiivin yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa teknisten eritelmien osalta. Täytäntöönpanovaltaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 (25) mukaisesti.

(95)

Jäsenvaltioiden olisi varmistettava, että saatavilla on asianmukaisia ja tehokkaita keinoja tämän direktiivin noudattamisen varmistamiseksi, ja sen vuoksi otettava käyttöön asianmukaisia valvontamekanismeja, kuten markkinavalvontaviranomaisten harjoittama jälkikäteisvalvonta, jotta voidaan tarkistaa, onko esteettömyysvaatimusten soveltamista koskeva poikkeus oikeutettu. Jäsenvaltioiden olisi esteettömyyttä koskevia valituksia käsitellessään noudatettava yleistä hyvän hallinnon periaatetta ja erityisesti virkamiesten velvoitetta varmistaa, että kutakin valitusta koskeva päätös tehdään kohtuullisessa ajassa.

(96)

Komission olisi edistettävä tämän direktiivin yhdenmukaista täytäntöönpanoa perustamalla työryhmä, joka koostuu asiaankuuluvista viranomaisista ja sidosryhmistä ja jossa edistetään tietojen ja parhaiden käytäntöjen vaihtoa ja annetaan neuvontaa. Viranomaisten ja asiaankuuluvien sidosryhmien, myös vammaisten henkilöiden ja heitä edustavien järjestöjen, yhteistyötä olisi edistettävä, jotta voidaan muun muassa lisätä tämän direktiivin esteettömyysvaatimuksia koskevien säännösten soveltamisen yhdenmukaisuutta sekä valvoa sen perusteellista muutosta ja kohtuutonta rasitetta koskevien säännösten täytäntöönpanoa.

(97)

Kun otetaan huomioon muutoksenhakumenettelyihin direktiivien 2014/24/EU ja 2014/25/EU soveltamisalaan kuuluvilla aloilla sovellettava oikeudellinen kehys, tämän direktiivin täytäntöönpanoa ja seuraamuksia koskevia säännöksiä ei olisi sovellettava hankintamenettelyihin, joita tässä direktiivissä vahvistetut velvoitteet koskevat. Tällainen poissulkeminen ei vaikuta jäsenvaltioilla perussopimusten mukaisesti oleviin velvollisuuksiin toteuttaa kaikki tarvittavat toimenpiteet unionin oikeuden soveltamisen ja vaikuttavuuden takaamiseksi.

(98)

Seuraamusten olisi oltava riittäviä suhteessa rikkomisen luonteeseen ja olosuhteisiin, jotta talouden toimijat eivät kokisi niitä vaihtoehdoksi, jonka avulla ne välttävät velvoitteen tehdä tuotteistaan ja palveluistaan esteettömiä.

(99)

Jäsenvaltioiden olisi varmistettava, että käytettävissä on voimassa olevan unionin lainsäädännön mukaisesti vaihtoehtoisia riidanratkaisumekanismeja, joiden avulla voidaan ratkaista kaikki väitetyt tämän direktiivin vastaisuudet, ennen kuin asia viedään tuomioistuimen tai toimivaltaisen hallintoviranomaisen käsiteltäväksi.

(100)

Jäsenvaltiot ovat selittävistä asiakirjoista 28 päivänä syyskuuta 2011 annetun jäsenvaltioiden ja komission yhteisen poliittisen lausuman (26) mukaisesti sitoutuneet perustelluissa tapauksissa liittämään ilmoitukseen toimenpiteistä, jotka koskevat direktiivin saattamista osaksi kansallista lainsäädäntöä, yhden tai useamman asiakirjan, joista käy ilmi direktiivin osien ja kansallisen lainsäädännön osaksi saattamiseen tarkoitettujen välineiden vastaavien osien suhde. Tämän direktiivin osalta lainsäätäjä pitää tällaisten asiakirjojen toimittamista perusteltuna.

(101)

Jotta palveluntarjoajilla on riittävästi aikaa sopeutua tämän direktiivin vaatimuksiin, on aiheellista säätää tämän direktiivin soveltamispäivän jälkeisestä viiden vuoden siirtymäajasta, jonka aikana sellaisten palvelun tarjoamiseen käytettävien tuotteiden, jotka on saatettu unionin markkinoille ennen voimaantulopäivää, ei tarvitse täyttää tämän direktiivin esteettömyysvaatimuksia, ellei palvelun tarjoaja korvaa niitä siirtymäajan aikana. Kun otetaan huomioon itsepalvelupäätteiden kustannukset ja pitkä elinkaari, on aiheellista säätää, että jos tällaisia päätteitä käytetään palvelun tarjoamiseen, niiden käyttöä voidaan jatkaa niiden kestoiän päättymiseen saakka, niin kauan kuin niitä ei korvata toisella tämän ajanjakson aikana, mutta kuitenkin enintään 20 vuoden ajan.

(102)

Tämän direktiivin esteettömyysvaatimuksia olisi sovellettava sen päivän jälkeen markkinoille saatettaviin tuotteisiin ja tarjottaviin palveluihin, jona aletaan soveltaa kansallisia toimenpiteitä, joilla tämä direktiivi saatetaan osaksi kansallista lainsäädäntöä, myös käytettyihin tuotteisiin, jotka tuodaan kolmannesta maasta ja saatetaan markkinoille tuon päivän jälkeen.

(103)

Tässä direktiivissä kunnioitetaan perusoikeuksia ja noudatetaan periaatteita, jotka on tunnustettu erityisesti Euroopan unionin perusoikeuskirjassa, jäljempänä ’perusoikeuskirja’. Tällä direktiivillä pyritään erityisesti varmistamaan, että vammaisten henkilöiden oikeuksia hyötyä toimenpiteistä, joilla taataan heidän itsenäinen elämänsä, yhteiskunnallinen ja ammatillinen sopeutumisensa sekä osallistumisensa yhteiskuntaelämään, kunnioitetaan kaikilta osin, ja edistämään perusoikeuskirjan 21, 25 ja 26 artiklan soveltamista.

(104)

Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitetta, joka on tiettyjen esteettömien tuotteiden ja palvelujen vapaan liikkuvuuden esteiden poistaminen ja sen myötä sisämarkkinoiden moitteettoman toiminnan edistäminen, koska se edellyttää erilaisten voimassa olevien sääntöjen yhdenmukaistamista kunkin jäsenvaltion oikeusjärjestyksessä, vaan se voidaan saavuttaa paremmin unionin tasolla määrittelemällä yhtenäiset esteettömyysvaatimukset ja sisämarkkinoiden toimintaa koskevat säännöt. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei ylitetä sitä, mikä on tarpeen tämän tavoitteen saavuttamiseksi,