Opinia Europejskiego Komitetu Ekonomiczno-Społecznego a) Wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), europejskich ram certyfikacji cyberbezpieczeństwa i bezpieczeństwa łańcucha dostaw ICT oraz uchylenia rozporządzenia (UE) 2019/881 (drugi akt o cyberbezpieczeństwie) (COM(2026) 11 final - 2026/11 (COD) oraz b) Wniosek dotyczący dyrektywy Parlamentu Europejskiego i Rady zmieniającej dyrektywę (UE) 2022/2555 w zakresie środków upraszczających i dostosowania do (wniosku dotyczącego aktu o cyberbezpieczeństwie 2) (COM(2026) 13 final - 2026/12 (COD))
Opinia Europejskiego Komitetu Ekonomiczno-Społecznegoa) Wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), europejskich ram certyfikacji cyberbezpieczeństwa i bezpieczeństwa łańcucha dostaw ICT oraz uchylenia rozporządzenia (UE) 2019/881 (drugi akt o cyberbezpieczeństwie) COM(2026) 11 final - 2026/11 (COD) oraz b) Wniosek dotyczący dyrektywy Parlamentu Europejskiego i Rady zmieniającej dyrektywę (UE) 2022/2555 w zakresie środków upraszczających i dostosowania do (wniosku dotyczącego aktu o cyberbezpieczeństwie 2) (COM(2026) 13 final - 2026/12 (COD))
Sprawozdawca:
Miroslav HAJNOŠ
| Doradczynie i doradcy | Pavlina PAVLOVA (z ramienia sprawozdawcy) |
| Procedura ustawodawcza | EU Law Tracker EU Law Tracker |
| Wniosek o konsultację | a) Parlament Europejski, 5.2.2026 Rada Unii Europejskiej, 23.3.2026 b) Parlament Europejski, 6.2.2026 Rada Unii Europejskiej, 23.3.2026 |
| Podstawa prawna | Art. 114 Traktatu o funkcjonowaniu Unii Europejskiej |
| Dokumenty Komisji Europejskiej | COM(2026) 11 final - 2026/11 (COD) COM(2026) 13 final - 2026/12 (COD) Streszczenie |
| Odpowiednie cele zrównoważonego rozwoju | Cel 8 - Wzrost gospodarczy i godna praca Cel 9 - Innowacyjność, przemysł, infrastruktura Cel 12 - Odpowiedzialna konsumpcja i produkcja Cel 17 - Partnerstwa na rzecz celów |
| Sekcja odpowiedzialna | Sekcja Jednolitego Rynku, Produkcji i Konsumpcji |
| Data przyjęcia przez sekcję | 15.4.2026 |
| Data przyjęcia na sesji plenarnej | 29.4.2026 |
| Sesja plenarna nr | 605 |
| Wynik głosowania (za/przeciw/wstrzymało się) | 193/0/0 |
1. ZALECENIA
EUROPEJSKI KOMITET EKONOMICZNO-SPOŁECZNY (EKES)
1.1. Z zadowoleniem przyjmuje inicjatywę Komisji dotyczącą przeglądu aktu o cyberbezpieczeństwie i wprowadzenia zmian do dyrektywy NIS 2 oraz popiera cele pakietu dotyczące wzmocnienia odporności UE na cyberzagrożenia, poprawy jasności prawa i koordynacji instytucjonalnej, uproszczenia ram zgodności i zmniejszenia obciążeń administracyjnych dla podmiotów objętych regulacją, przy jednoczesnym zachowaniu konkurencyjności i zdolności innowacyjnych europejskiego rynku. Podkreśla, że cyberbezpieczeństwo i bezpieczeństwo łańcucha dostaw sektora ICT musi być postrzegane jako aspekt bezpieczeństwa gospodarczego i odporności geopolitycznej, a nie tylko jako zagadnienie techniczne lub regulacyjne.
1.2. Zwraca uwagę, że mandat Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) w znacznym stopniu przyczynia się do zwiększenia cyberodporności Unii. Proponowane doprecyzowanie roli ENISA powinno w pierwszej kolejności służyć konsolidacji mandatu Agencji oraz włączeniu nowych zadań wynikających z rozszerzonych unijnych ram regulacyjnych.
1.3. Kładzie nacisk na to, że gdy wniosek rozszerza zakres obowiązków ENISA, należy zapewnić odpowiednie zwiększenie zasobów i wyspecjalizowanego personelu w celu wsparcia skutecznego wdrażania. Wszelkie dodatkowe zadania powierzone ENISA powinny być wyraźnie uzależnione od ustanowienia obowiązkowego planu dotyczącego personelu.
1.4. Podkreśla, że odporność w zakresie cyberbezpieczeństwa jest uzależniona od umiejętności pracowników, szkoleń i kultury organizacji. Proponowana rola ENISA dotycząca europejskich ram umiejętności w dziedzinie cyberbezpieczeństwa (ECSF) i upoważnień dotyczących poświadczeń umiejętności, które można przenosić między państwami członkowskimi, jest pożądanym nowym elementem, pod warunkiem że zadania odpowiednich instytucji i organów są jasno określone, wzajemnie się wzmacniają i nie powielają obowiązującej certyfikacji.
1.5. Zwraca uwagę, że cyberbezpieczeństwo jest również podstawowym elementem odporności demokratycznej, i podkreśla rosnące ryzyko cyberzagrożeń wymierzonych w procesy demokratyczne, w tym wybory, poprzez kampanie dezinformacyjne, manipulacje infrastrukturą cyfrową i obce ingerencje. Wzywa do wzmocnienia koordynacji na poziomie UE w celu ochrony systemów wyborczych, w tym monitorowania zagrożeń, wymiany informacji i wsparcia ram bezpieczeństwa wyborów w państwach członkowskich.
1.6. Popiera opracowywanie, wdrażanie i upowszechnianie systemów certyfikacji jako narzędzia wzmacniającego zaufanie na jednolitym rynku, a jednocześnie podkreśla swoje wieloletnie zaangażowanie na rzecz zharmonizowanych unijnych ram cyberbezpieczeństwa opartych na pewności prawa, przejrzystości i proporcjonalności oraz na rzecz traktowania spójności i użyteczności jako ważniejszych niż mnożenie przepisów.
1.7. Podkreśla, że certyfikacja musi działać jak rzeczywisty czynnik wspomagający przestrzeganie przepisów, w szczególności w przypadku operatorów transgranicznych i wielonarodowych podlegających nakładającym się na siebie obowiązkom w zakresie cyberbezpieczeństwa. Zmienione ramy certyfikacji muszą obejmować solidne przepisy dotyczące utrzymania programu, przejrzystości, jasności zarządzania i ochrony konsumentów.
1.8. Odnotowuje propozycję ustanowienia uporządkowanych ram na poziomie UE dla identyfikacji kluczowych zasobów ICT oraz opracowania proporcjonalnych środków ograniczających ryzyko, w tym - tam, gdzie jest to uzasadnione - środków odnoszących się do dostawców wysokiego ryzyka, zgodnie z podejściem polegającym na ograniczaniu ryzyka w łańcuchach dostaw ICT w celu zmniejszenia zależności od dostawców mających siedzibę w krajach stwarzające obawy w zakresie cyberbezpieczeństwa lub kontrolowanych przez te kraje. Podkreśla, że wszelkie środki dotyczące bezpieczeństwa łańcucha dostaw ICT muszą opierać się na jasnych, przewidywalnych i przejrzystych wymaganiach.
1.9. Wzywa do pełnego uwzględnienia konsekwencji gospodarczych i skutków proponowanej interwencji w łańcuchu dostaw na niższych poziomach, w tym wykonalności, dostępności rozwiązań alternatywnych, ograniczeń związanych z cyklem życia, ryzyka zakłóceń operacyjnych, kosztów operacyjnych, wpływu na ceny i jakość usług dla użytkowników końcowych, wpływu na rynek pracy i innowacji.
1.10. Podkreśla, że trzeba zapewnić, by obowiązki wynikające ze zmienionych ram były stosowane w sposób proporcjonalny i nie prowadziły do pośredniego lub nadmiernego przenoszenia obciążeń regulacyjnych na podmioty nieobjęte zakresem ram, pozwalały unikać dumpingu regulacyjnego i pozostawały spójne z celami dotyczącymi uproszczenia, jasności prawa i wrażliwości na potrzeby MŚP, leżącymi u podstaw programu uproszczeń realizowanego w akcie dotyczącym cyberodporności i dyrektywie NIS 2.
1.11. Apeluje, by systematycznie angażować partnerów społecznych, MŚP, organizacje konsumenckie, odpowiednie organizacje społeczeństwa obywatelskiego, środowiska akademickie i ośrodki analityczne w opracowywanie, wdrażanie i monitorowanie programów w celu zapewnienia, aby ramy były sprawiedliwe pod względem operacyjnym, demokratycznie zrozumiałe i wykonalne w praktyce oraz aby wspierały suwerenność technologiczną i przewagę konkurencyjną Unii.
2. NOTY WYJAŚNIAJĄCE
Argumenty na poparcie zalecenia 1.1
2.1. Akt o cyberbezpieczeństwie (rozporządzenie (UE) 2019/881) (1) jest obecnie poddawany przeglądowi z wymogiem kompleksowej oceny ENISA i europejskich ram certyfikacji cyberbezpieczeństwa (ECCF), aby uwzględnić rosnącą złożoność i różnorodność polityk związanych z cyberbezpieczeństwem, wstrzymane wdrażanie ECCF i rosnące zagrożenia w łańcuchu dostaw ICT.
Argumenty na poparcie zalecenia 1.2
2.2. W ramach przeglądu rozszerzono i zreorganizowano zadania ENISA. EKES uważa, że priorytetem wniosku powinno być skonsolidowanie i usprawnienie realizacji mandatu ENISA oraz przyjęcie nowych zadań ściśle zgodnych z aktem dotyczącym cyberodporności i dyrektywą NIS 2.
2.3. Komitet popiera ustanowienie pojedynczego punktu kontaktowego do zgłaszania incydentów - aby usprawnić równoległe obowiązki sprawozdawcze wynikające z dyrektywy NIS 2, DORA i przepisów sektorowych - z interoperacyjnymi i znormalizowanymi wzorami sprawozdań, jasno określonymi terminami składania sprawozdań i wymogami dotyczącymi treści. Takie uproszczenie musi mieć charakter operacyjny, a nie jedynie formalny: jedno kompleksowe sprawozdanie powinno być wystarczające z punktu widzenia wszystkich odpowiednich systemów regulacyjnych.
Argumenty na poparcie zalecenia 1.3
2.4. Proponowany budżet może nie wystarczyć na pokrycie wszystkich zadań. Rozszerzeniu lub reorganizacji zadań muszą towarzyszyć odpowiednie i trwałe zasoby finansowe oraz wyspecjalizowany personel, aby uniknąć tworzenia mandatu bez źródeł finansowania, co mogłoby osłabić skuteczność ENISA i jej zdolność do wykazania wartości dodanej (2) . EKES z zadowoleniem przyjąłby dodatkowe zasoby i instytucjonalizację umów o przyznanie wkładu oraz odzwierciedlenie ich w formalnym budżecie.
2.5. We wniosku wskazano, że budżet Agencji będzie częściowo pokrywany z mechanizmów samofinansowania za pośrednictwem opłat za wspieranie utrzymania europejskich programów certyfikacji cyberbezpieczeństwa, zezwoleń i poświadczania umiejętności. Te szacunki opierają się na oczekiwanym upowszechnieniu certyfikacji w całej Unii i mogą nie odzwierciedlać w pełni rzeczywistego wykorzystania w praktyce.
2.6. Obowiązkowy plan dotyczący personelu powinien uwzględniać rozwój umiejętności, potrzeby szkoleniowe i rozłożenie obciążenia pracą, wraz z odpowiednimi rozwiązaniami zapobiegającymi nadmiernym nadgodzinom i wypaleniu zawodowemu oraz minimalnymi zabezpieczeniami zdolności zapewniającymi dalszą skuteczną realizację podstawowych zadań. Planowane wyznaczenie dwóch urzędników łącznikowych z każdego państwa członkowskiego może okazać się nierealistyczne, zwłaszcza w przypadku mniejszych państw członkowskich o niewystarczających zasobach.
Argumenty na poparcie zalecenia 1.4
2.7. EKES powtarza, że odporność w zakresie cyberbezpieczeństwa jest uzależniona od umiejętności personelu, szkoleń i zdolności organizacji. Proponowane programy poświadczeń umiejętności mogą przyczynić się do osiągnięcia tego celu, pod warunkiem że będą praktyczne, proporcjonalne i dostępne.
2.8. Poprawa umiejętności w zakresie cyberbezpieczeństwa wśród ogółu społeczeństwa jest niezbędnym uzupełnieniem rozwoju umiejętności zawodowych i należy do niej usilnie zachęcać w całej UE. Ludność lepiej poinformowana o cyberzagrożeniach i dezinformacji oraz o bezpiecznych zachowaniach cyfrowych, bezpośrednio przyczynia się do zmniejszenia podatności na zagrożenia na poziomie całego społeczeństwa. Taka świadomość jest szczególnie ważna w coraz bardziej cyfrowej gospodarce, w której czynnik ludzki pozostaje głównym wektorem cyberincydentów.
Argumenty na poparcie zalecenia 1.5
2.9. Cyberzagrożenia są w coraz większym stopniu wymierzone w demokratyczne instytucje i procesy, w tym wybory, za pomocą taktyk hybrydowych, takich jak dezinformacja, cyberataki na infrastrukturę wyborczą i manipulowanie dyskursem publicznym. Zagrożenia te mają skutki systemowe dla zaufania do instytucji publicznych i funkcjonowania systemów demokratycznych. W związku z tym EKES uważa, że zasadnicze znaczenie ma wzmocnienie koordynacji na szczeblu UE i wspieranie państw członkowskich w ochronie procesów wyborczych, przy jednoczesnym poszanowaniu kompetencji krajowych. Zwiększenie zarówno odporności instytucjonalnej, jak i świadomości społeczeństwa jest kluczowym elementem ochrony demokracji w erze cyfrowej.
Argumenty na poparcie zalecenia 1.6
2.10. EKES popiera systemy certyfikacji, w tym certyfikację stanu cyberbezpieczeństwa, jako sposób na uproszczenie przestrzegania przepisów w praktyce i budowanie zaufania na całym jednolitym rynku. W związku z tym Komitet popiera dostosowanie do dyrektywy NIS 2 poprzez ukierunkowane zmiany zaproponowane w dyrektywie towarzyszącej, które mają na celu zmniejszenie złożoności regulacyjnej, poprawę spójności unijnych przepisów dotyczących cyberbezpieczeństwa, ułatwienie przestrzegania przepisów podmiotom objętym regulacją oraz zwiększenie wsparcia dla nadzoru transgranicznego.
Argumenty na poparcie zalecenia 1.7
2.11. Certyfikacja powinna ograniczyć audyty i procedury zgodności. Wymaga to proporcjonalnych, opartych na analizie ryzyka systemów zgodnych z normami międzynarodowymi (ISO/IEC) dzięki sensownemu wzajemnemu uznawaniu i interoperacyjnemu podejściu przy zachowaniu otwartości globalnego rynku i umożliwieniu skutecznego konkurowania produktów i usług certyfikowanych przez UE.
2.12. Przewidywalne ramy czasowe, jasne procedury i proporcjonalne koszty mają zasadnicze znaczenie dla zapewnienia, aby MŚP i mniejsi usługodawcy nie znaleźli się w niekorzystnej sytuacji. Standardem operacyjnym musi być podejście "certyfikowane raz, certyfikowane wszędzie".
2.13. ENISA powinna zapewnić skuteczne utrzymanie europejskich programów certyfikacji cyberbezpieczeństwa i jasność zarządzania, uwzględniając wnioski płynące z istniejących ram, których skuteczność osłabiły ograniczone wykorzystanie, długotrwałe procedury i niewystarczająca jasność operacyjna. Aby wspierać zaufanie i absorpcję rynkową, ENISA powinna podawać do wiadomości publicznej jasne i porównywalne informacje na temat poziomów cyberbezpieczeństwa certyfikowanych produktów i usług.
Argumenty na poparcie zalecenia 1.8
2.14. Wniosek odnosi się do potrzeby zwiększenia odporności gospodarki Unii i łańcucha dostaw ICT, aby promować własne bezpieczeństwo i konkurencyjność UE. EKES z zadowoleniem przyjmuje inicjatywę Komisji (3) z zadowoleniem, ponieważ uważa, że UE nie powinna zamawiać ani integrować kluczowych komponentów ICT z krajów, które aktywnie podważają europejskie interesy bezpieczeństwa.
2.15. Gdy środki ograniczające ryzyko mogą prowadzić do ograniczeń lub stopniowego wycofywania dostawców uznanych za stwarzających wysokie ryzyko z punktu widzenia cyberbezpieczeństwa, zasadnicze znaczenie ma praktyczne planowanie transformacji. Plany transformacji powinny obejmować ewidencję aktywów, mapowanie zależności, realistyczne harmonogramy zastępowania i zabezpieczenia ciągłości usług. Warunki te są niezbędne do zapewnienia, aby UE mogła zwiększyć bezpieczeństwo łańcucha dostaw, a jednocześnie uniknąć zakłóceń operacyjnych i wstrząsów kosztowych dla operatorów i użytkowników końcowych.
Argumenty na poparcie zalecenia 1.9
2.16. W ocenach skutków gospodarczych należy w pełni uwzględniać praktyczne stosowanie ram, zwłaszcza w przypadku gdy oczekuje się, że kluczowi dostawcy i podmioty krytyczne zostaną objęci stopniowym wycofywaniem lub innymi środkami ograniczającymi. Kontrole łańcucha dostaw ICT mogą mieć znaczące skutki operacyjne i gospodarcze, a ich systematyczna ocena jest konieczna, gdyż sprzyja proporcjonalności, pewności prawa i akceptacji społecznej. Proponowane środki grożą ograniczeniem swobody zawierania umów przez przedsiębiorstwa i mogą mieć znaczący wpływ na dostawców usług telekomunikacyjnych, chmury i centra danych oraz wszelkie przedsiębiorstwa wykorzystujące technologie ICT i objęte dyrektywą NIS 2. W rezultacie przedsiębiorstwa mogą ponosić wyższe koszty związane ze zmianą sprzętu i dostawców, co może być szczególnie trudne dla MŚP i może ograniczyć wybór poprzez wykluczenie lub ograniczenie niektórych sprzedawców.
2.17. EKES wzywa do uznania, że odporność w zakresie cyberbezpieczeństwa zależy od rozwoju zasobów kadrowych i bezpiecznych warunków pracy dla specjalistów w dziedzinie cyberprzestrzeni, w tym w sektorach infrastruktury krytycznej, wszędzie tam, gdzie jest to istotne dla operacyjnej odporności w zakresie cyberbezpieczeństwa.
2.18. Oceny skutków gospodarczych i społecznych powinny obejmować odpowiednie wskaźniki rynku pracy. Powinny one dotyczyć między innymi wymogów w zakresie zmiany i podnoszenia kwalifikacji, liczby szkoleń i związanych z nimi kosztów, wpływu na obciążenie pracą w odniesieniu do kluczowych funkcji, takich jak IT, cyberbezpieczeństwo, zamówienia publiczne i zgodność z przepisami, a także potencjalnych potrzeb w zakresie restrukturyzacji i środków przejściowych mających na celu zapobieganie nagłym efektom przemieszczenia działalności.
Argumenty na poparcie zalecenia 1.10
2.19. Ponieważ wniosek może mieć wpływ na decyzje w zakresie zamówień publicznych, w omawianym procesie niezbędne są jasne, obiektywne i możliwe do zweryfikowania kryteria, przewidywalne procedury i przejrzyste uzasadnienia wszelkich przyjętych środków. Przepisy mające wpływ na dostawców muszą być ściśle oparte na analizie ryzyka i dowodach, aby chronić ciągłość usług i zapewnić przewidywalność inwestycji, w przeciwnym razie mogą one powodować niepewność, dodatkowe koszty, zakłócenia na rynku Unii oraz przeniesienie obowiązków na niższe poziomy łańcucha wartości, w szczególności na mniejszych dostawców i podwykonawców. Podmioty nie mogą podlegać obowiązkom w zakresie zgodności nieproporcjonalnym do ich wielkości i zdolności.
Argumenty na poparcie zalecenia 1.11
2.20. Środki w zakresie cyberbezpieczeństwa o znaczącym wpływie na łańcuchy dostaw oraz zamówienia publiczne i prywatne należy opracowywać i wdrażać przy zorganizowanym zaangażowaniu zainteresowanych stron - to pomoże ocenić skutki gospodarcze i społeczne i ustalić, które środki oparte na analizie ryzyka są potrzebne, odpowiednie, uzasadnione pod względem prawnym i wykonalne pod względem operacyjnym. Konsultacje z partnerami społecznymi powinny stanowić strukturalny element takich ocen i nie mogą być traktowane jedynie jako opcjonalna dobra praktyka.
3. PROPONOWANE ZMIANY DO WNIOSKU USTAWODAWCZEGO KOMISJI EUROPEJSKIEJ
Uzasadnienie
Cyberzagrożenia w coraz większym stopniu są wymierzone w instytucje demokratyczne i procesy wyborcze. Wzmocnienie zarówno gwarancji instytucjonalnych, jak i umiejętności cyfrowych w społeczeństwie ma zasadnicze znaczenie dla zapewnienia odporności demokratycznej i zaufania do środowiska cyfrowego.
Uzasadnienie
Poprawka ta wymaga ustrukturyzowanych planów transformacji i środków ochrony przed skutkiem kaskadowym, tak aby środki dotyczące łańcucha dostaw były proporcjonalne i nie przenosiły obciążeń związanych z przestrzeganiem przepisów na podmioty nieobjęte zakresem rozporządzenia.
Bruksela, dnia 29 kwietnia 2026 r.
Przewodniczący
Europejskiego Komitetu Ekonomiczno-Społecznego
Séamus BOLAND
| Identyfikator: | Dz.U.UE.C.2026.3549 |
| Rodzaj: | opinia |
| Tytuł: | Opinia Europejskiego Komitetu Ekonomiczno-Społecznego a) Wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), europejskich ram certyfikacji cyberbezpieczeństwa i bezpieczeństwa łańcucha dostaw ICT oraz uchylenia rozporządzenia (UE) 2019/881 (drugi akt o cyberbezpieczeństwie) (COM(2026) 11 final - 2026/11 (COD) oraz b) Wniosek dotyczący dyrektywy Parlamentu Europejskiego i Rady zmieniającej dyrektywę (UE) 2022/2555 w zakresie środków upraszczających i dostosowania do (wniosku dotyczącego aktu o cyberbezpieczeństwie 2) (COM(2026) 13 final - 2026/12 (COD)) |
| Data aktu: | 2026-04-29 |
| Data ogłoszenia: | 2026-07-22 |