a także mając na uwadze, co następuje:(1) Podmioty krytyczne, jako dostawcy usług kluczowych, odgrywają nieodzowną rolę w utrzymaniu niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej na rynku wewnętrznym w coraz bardziej współzależnej gospodarce Unii. Konieczne jest zatem określenie unijnych ram mających na celu zarówno zwiększenie odporności podmiotów krytycznych na rynku wewnętrznym poprzez ustanowienie zharmonizowanych przepisów określających minimalne standardy, jak i pomaganie tym podmiotom poprzez spójne i ukierunkowane środki wsparcia i nadzoru.
(2) Dyrektywa Rady 2008/114/WE 4 przewiduje procedurę wyznaczania w sektorach energii i transportu europejskiej infrastruktury krytycznej, której zakłócenie lub zniszczenie miałoby istotny wpływ transgraniczny na co najmniej dwa państwa członkowskie. Dyrektywa ta koncentruje się wyłącznie na ochronie takiej infrastruktury. Ocena dyrektywy 2008/114/WE przeprowadzona w 2019 r. wykazała jednak, że ze względu na w coraz większym stopniu wzajemnie powiązany i transgraniczny charakter operacji wykorzystujących infrastrukturę krytyczną środki ochronne związane wyłącznie z pojedynczymi składnikami infrastruktury są niewystarczające, aby zapobiec wszystkim zakłóceniom. Wobec tego niezbędna jest zmiana podejścia z myślą o zapewnieniu lepszego uwzględniania ryzyk, lepszego zdefiniowania i uspójnienia ról i obowiązków podmiotów krytycznych jako dostawców usług kluczowych dla funkcjonowania rynku wewnętrznego oraz przyjęcia unijnych przepisów na rzecz zwiększenia odporności podmiotów krytycznych. Podmioty krytyczne powinny być w stanie zwiększyć swoje zdolności do zapobiegania incydentom mogącym zakłócić świadczenie usług kluczowych, ochrony przed takimi incydentami i odpowiedzi na nie, stawiania im oporu, łagodzenia i absorbowania ich oraz adaptacji i odtworzenia po takich incydentach.
(3) Chociaż pewne środki istniejące na poziomie unijnym, takie jak europejski program ochrony infrastruktury krytycznej, i krajowym mają na celu wspieranie ochrony infrastruktury krytycznej w Unii, należy zrobić więcej, aby lepiej przygotować podmioty będące operatorami takiej infrastruktury do reagowania na ryzyko dla ich funkcjonowania, które mogłoby prowadzić do zakłóceń w świadczeniu usług kluczowych. Należy również zrobić więcej, aby lepiej przygotować takie podmioty na dynamiczny krajobraz zagrożeń, obejmujący m.in. ewoluujące zagrożenia hybrydowe i terrorystyczne, i na rosnące współzależności między infrastrukturą a sektorami. Ponadto istnieje zwiększone fizyczne ryzyko związane z klęskami żywiołowymi i zmianą klimatu, która zwiększa częstotliwość i skalę ekstremalnych zdarzeń pogodowych i wywołuje długoterminowe zmiany średnich warunków klimatycznych, co może ograniczyć zdolności, skuteczność i okres eksploatacji niektórych rodzajów infrastruktury, jeżeli nie zostaną wdrożone środki z zakresu przystosowania się do zmiany klimatu. Ponadto rynek wewnętrzny charakteryzuje się fragmentacją w zakresie identyfikacji podmiotów krytycznych, ponieważ odpowiednie sektory i kategorie podmiotów nie są spójnie uznawane za krytyczne we wszystkich państwach członkowskich. Niniejsza dyrektywa powinna zatem umocnić harmonizację w odniesieniu do sektorów i kategorii podmiotów objętych jej zakresem stosowania.
(4) Chociaż niektóre sektory gospodarki, takie jak sektory energii i transportu, są już regulowane sektorowymi aktami prawnymi Unii, te akty prawne zawierają przepisy dotyczące jedynie niektórych aspektów odporności podmiotów prowadzących działalność w tych sektorach. Aby podejść w sposób kompleksowy do kwestii odporności podmiotów, które są krytyczne dla prawidłowego funkcjonowania rynku wewnętrznego, niniejsza dyrektywa tworzy nadrzędne ramy dotyczące odporności podmiotów krytycznych na wszystkie zagrożenia, bez względu na to, czy są to zagrożenia naturalne czy spowodowane przez człowieka, przypadkowe czy zamierzone.
(5) Te rosnące współzależności między infrastrukturą a sektorami są rezultatem w coraz większym stopniu transgra- nicznej i współzależnej sieci świadczenia usług wykorzystującej kluczową infrastrukturę w całej Unii w sektorach energii, transportu, bankowości, wody pitnej, ścieków, produkcji, przetwarzania i dystrybucji żywności, zdrowia, w sektorze kosmicznym, w sektorach infrastruktury rynku finansowego i infrastruktury cyfrowej, a także w zakresie niektórych aspektów sektora administracji publicznej. Sektor kosmiczny jest objęty zakresem stosowania niniejszej dyrektywy w odniesieniu do świadczenia niektórych usług zależnych od naziemnej infrastruktury, której właścicielami, zarządcami i operatorami są państwa członkowskie lub podmioty prywatne; w związku z tym infrastruktura, której właścicielem jest, którą zarządza lub którą obsługuje Unia w ramach swojego programu kosmicznego lub jeśli odbywa się to w jej imieniu nie jest objęta zakresem stosowania niniejszej dyrektywy.
Jeżeli chodzi o sektor energii, a w szczególności metody wytwarzania i przesyłania energii elektrycznej (w odniesieniu do dostaw energii elektrycznej), rozumie się, że w stosownych przypadkach wytwarzanie energii elektrycznej może obejmować części elektrowni jądrowych zajmujące się przesyłaniem energii elektrycznej, z wyłączeniem elementów wyraźnie jądrowych, które są objęte umowami międzynarodowymi i prawem Unii, w tym odpowiednimi aktami prawnymi Unii dotyczącymi energii jądrowej. Proces identyfikacji podmiotów krytycznych w sektorze spożywczym powinien odpowiednio odzwierciedlać charakter rynku wewnętrznego w tym sektorze oraz kompleksowe przepisy unijne dotyczące ogólnych zasad i wymogów prawa żywnościowego i w zakresie bezpieczeństwa żywności. Dlatego też, w celu zapewnienia proporcjonalnego podejścia oraz odpowiedniego odzwierciedlenia roli i znaczenia tych podmiotów na poziomie krajowym, podmioty krytyczne należy identyfikować jedynie spośród tych przedsiębiorstw spożywczych, które zajmują się wyłącznie logistyką, dystrybucją hurtową oraz produkcją przemysłową i przetwórstwem przemysłowym na dużą skalę i o znaczącym udziale w rynku na poziomie krajowym - przy czym nie ma znaczenia, czy działają one w celach zarobkowych czy nie i czy mają charakter publiczny czy prywatny. Współzależności te oznaczają, że jakiekolwiek zakłócenie usług kluczowych, nawet takie, które początkowo ogranicza się do jednego podmiotu lub jednego sektora, może wywołać efekt kaskadowy na szerszą skalę, potencjalnie prowadzący do daleko idącego i długoterminowego negatywnego wpływu na świadczenie usług na rynku wewnętrznym. Poważne kryzysy, takie jak pandemia COVID-19, uwidoczniają podatność naszych w coraz większym stopniu współzależnych społeczeństw na ryzyko o dużym wpływie i niskim prawdopodobieństwie.
(6) Podmioty zaangażowane w świadczenie usług kluczowych w coraz większym stopniu podlegają rozbieżnym wymaganiom nakładanym na nie na mocy prawa krajowego. Fakt, iż niektóre państwa członkowskie mają względem tych podmiotów mniej surowe wymagania w zakresie bezpieczeństwa, nie tylko prowadzi do zróżnicowania poziomów odporności, ale może też negatywnie wpływać na utrzymanie niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej w Unii oraz prowadzi do powstawania przeszkód dla prawidłowego funkcjonowania rynku wewnętrznego. Inwestorzy i przedsiębiorstwa mogą polegać na podmiotach krytycznych i im ufać, jeśli są one odporne, a niezawodność i zaufanie są fundamentami dobrze funkcjonującego rynku wewnętrznego. Podobne rodzaje podmiotów uznaje się za krytyczne w niektórych państwach członkowskich, a w innych państwach członkowskich nie mają one tego statusu, natomiast te zidentyfikowane jako krytyczne podlegają zróżnicowanym wymaganiom w poszczególnych państwach członkowskich. Prowadzi to do powstania dodatkowego i zbędnego obciążenia administracyjnego dla przedsiębiorstw prowadzących działalność transgraniczną, w szczególności dla przedsiębiorstw działających w państwach członkowskich o surowszych wymaganiach. Dlatego unijne ramy doprowadziłyby również do wyrównania warunków działania podmiotów krytycznych w całej Unii.
(7) Konieczne jest wprowadzenie zharmonizowanych przepisów określających minimalne standardy, aby zapewnić świadczenie usług kluczowych na rynku wewnętrznym, zwiększyć odporność podmiotów krytycznych, a także usprawnić transgraniczną współpracę między właściwymi organami. Ważne jest, aby standardy te nie ulegały dezaktualizacji pod względem ich konstrukcji i wdrażania, a jednocześnie pozwalały na niezbędną elastyczność. Kluczowe znaczenie ma również poprawa zdolności podmiotów krytycznych do świadczenia usług kluczowych w obliczu różnego rodzaju zagrożeń.
(8) Aby osiągnąć wysoki poziom odporności, państwa członkowskie powinny zidentyfikować podmioty krytyczne, które będą podlegać szczególnym wymogom i nadzorowi i które będą otrzymywać szczególne wsparcie i wytyczne w przypadku wystąpienia wszystkich istotnych ryzyk.
(9) Biorąc pod uwagę znaczenie cyberbezpieczeństwa z punktu widzenia odporności podmiotów krytycznych oraz mając na względzie zachowanie spójności, należy zapewnić jednolite podejście w niniejszej dyrektywie i dyrektywie Parlamentu Europejskiego i Rady (UE) 2022/2555 5 . Ze względu na większą częstotliwość i szczególny charakter ryzyka w cyberprzestrzeni dyrektywą (UE) 2022/2555 nakłada się kompleksowe wymagania na dużą grupę podmiotów celem zapewnienia ich cyberbezpieczeństwa. Zważywszy, że w dyrektywie (UE) 2022/2555 w wystarczający sposób uregulowano kwestię cyberbezpieczeństwa, aspekty regulowane przez tę dyrektywę należy wykluczyć z zakresu stosowania niniejszej dyrektywy, bez uszczerbku dla szczególnych uregulowań dotyczących podmiotów w sektorze infrastruktury cyfrowej.
(10) W przypadku gdy przepisy sektorowych aktów prawnych Unii nakładają na podmioty krytyczne wymóg zastosowania środków zwiększających ich odporność, i jeżeli wymogi te są uznawane przez państwa członkowskie za co najmniej równoważne odpowiadającym im obowiązkom przewidzianym w niniejszej dyrektywie, nie powinno się stosować odpowiednich przepisów niniejszej dyrektywy, co pozwoli uniknąć powielania działań i zbędnego obciążenia. W takim przypadku należy stosować odpowiednie przepisy takich innych aktów prawnych Unii. Jeżeli nie stosuje się odpowiednich przepisów niniejszej dyrektywy, przepisów określonych w niniejszej dyrektywie dotyczących nadzoru i egzekwowania przepisów również nie należy stosować.
(11) Niniejsza dyrektywa nie wpływa na kompetencje państw członkowskich i ich organów w zakresie autonomii administracyjnej, ani na ich obowiązek gwarantowania bezpieczeństwa narodowego i obronności lub ich uprawnienia do gwarantowania innych podstawowych funkcji państwa, w szczególności w zakresie bezpieczeństwa publicznego, integralności terytorialnej i utrzymywania porządku publicznego. Wyłączenie podmiotów administracji publicznej z zakresu stosowania niniejszej dyrektywy powinno mieć zastosowanie do podmiotów, które prowadzą działalność głównie w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw. Niemniej podmioty administracji publicznej, których działalność jest jedynie w niewielkim stopniu związana z tymi obszarami, powinny być objęte zakresem stosowania niniejszej dyrektywy. Do celów niniejszej dyrektywy podmioty posiadające kompetencje regulacyjne nie są uznawane za prowadzące działalność w obszarze egzekwowania prawa i w związku z tym nie są na tej podstawie wyłączone z zakresu jej stosowania. Podmioty administracji publicznej ustanowione wspólnie z państwem trzecim zgodnie z umową międzynarodową, są wyłączone z zakresu stosowania niniejszej dyrektywy. Niniejsza dyrektywa nie ma zastosowania do misji dyplomatycznych i konsularnych państw członkowskich w państwach trzecich.
Niektóre podmioty krytyczne prowadzą działalność w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw, lub świadczą usługi wyłącznie na rzecz podmiotów administracji publicznej, które prowadzą działalność głównie w wymienionych obszarach. W świetle odpowiedzialności państw członkowskich za gwarantowanie bezpieczeństwa narodowego i obronności państwa członkowskie powinny mieć możliwość zdecydowania, że obowiązki podmiotów krytycznych ustanowione w niniejszej dyrektywie nie mają zastosowania, w całości lub w części, do tych podmiotów krytycznych, jeżeli świadczone przez nie usługi lub prowadzona przez nie działalność są głównie związane z obszarami bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw. Podmioty krytyczne, których usługi lub działalność są jedynie w niewielkim stopniu związane z tymi obszarami, powinny być objęte zakresem stosowania niniejszej dyrektywy. Żadne państwo członkowskie nie powinno mieć obowiązku udzielania informacji, których ujawnienie byłoby sprzeczne z podstawowymi interesami jego bezpieczeństwa narodowego. Istotne znaczenie mają w tym zakresie unijne lub krajowe przepisy dotyczące ochrony informacji niejawnych oraz umowy o zachowaniu poufności.
(12) Aby nie narażać na szwank bezpieczeństwa narodowego ani bezpieczeństwa i interesów handlowych podmiotów krytycznych, dostęp do informacji szczególnie chronionych, ich wymiana i postępowanie z nimi powinny odbywać się z zachowaniem ostrożności i zwróceniem szczególnej uwagi na wykorzystywane kanały transmisji i zdolności przechowywania.
(13) W celu zapewnienia kompleksowego podejścia do odporności podmiotów krytycznych każde państwo członkowskie powinno dysponować strategią mającą na celu zwiększenie odporności podmiotów krytycznych (zwaną dalej "strategią"). Strategie powinny określać cele strategiczne i środki z zakresu polityki, które należy wdrożyć. Dla zachowania spójności i efektywności strategia powinna zostać opracowana w taki sposób, aby sprawnie zintegrować istniejące polityki, w miarę możliwości opierając się na odpowiednich istniejących strategiach krajowych i sektorowych, planach lub podobnych dokumentach. Aby wypracować kompleksowe podejście, państwa członkowskie powinny zapewnić, aby ich strategie przewidywały ramy polityczne umożliwiające zwiększoną koordynację między właściwymi organami na mocy niniejszej dyrektywy i właściwymi organami na mocy dyrektywy (UE) 2022/2555, w kontekście wymiany informacji na temat ryzyk w cyberprzestrzeni, cyberzagrożeń i cyberincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią oraz w kontekście wykonywania zadań nadzorczych. Przy określaniu swoich strategii państwa członkowskie powinny należycie uwzględnić hybrydowy charakter zagrożeń dotyczących podmiotów krytycznych.
(14) Państwa członkowskie powinny przekazywać Komisji swoje strategie oraz ich istotne aktualizacje, w szczególności aby umożliwić Komisji ocenę prawidłowego stosowania niniejszej dyrektywy w odniesieniu do przyjętych na poziomie krajowym podejść politycznych do odporności podmiotów krytycznych. W razie potrzeby strategie te mogłyby być przekazywane jako informacje niejawne. Komisja powinna sporządzić sprawozdanie podsumowujące strategie przekazane przez państwa członkowskie, które w ramach prac Grupy ds. Odporności Podmiotów Krytycznych posłuży za podstawę wymiany informacji w celu identyfikowania najlepszych praktyk i kwestii będących przedmiotem wspólnego zainteresowania. Ze względu na wrażliwy charakter zagregowanych informacji zawartych w sprawozdaniu podsumowującym - niezależnie od tego, czy informacje te mają charakter niejawny - Komisja powinna przygotowywać sprawozdanie podsumowujące zwracając odpowiednią uwagę na bezpieczeństwo podmiotów krytycznych, państw członkowskich i Unii. Sprawozdanie podsumowujące i strategie powinny być chronione przed działaniami niezgodnymi z prawem lub działaniami w złym zamiarze i powinny być dostępne wyłącznie dla upoważnionych osób z myślą o realizowaniu celów niniejszej dyrektywy. Przekazywanie strategii i ich istotnych aktualizacji powinno również pomóc Komisji w zrozumieniu ewolucji podejść do odporności podmiotów krytycznych oraz wpisać się w proces monitorowania skutków i wartości dodanej niniejszej dyrektywy, która podlegać będzie regularnemu przeglądowi dokonywanemu przez Komisję.
(15) Działania państw członkowskich mające na celu identyfikację podmiotów krytycznych i przyczynienie się do zapewniania ich odporności powinny być zgodne z podejściem opierającym się na analizie ryzyka skoncentrowanym na podmiotach najważniejszych dla pełnienia niezbędnych funkcji społecznych lub prowadzenia niezbędnej działalności gospodarczej. W celu zapewnienia takiego ukierunkowanego podejścia każde państwo członkowskie powinno przeprowadzić - w zharmonizowanych ramach - ocenę istotnych czynników ryzyka, naturalnych i spowodowanych przez człowieka, w tym tych o charakterze międzysektorowym lub transgranicznym, które mogą wpływać na świadczenie usług kluczowych, z uwzględnieniem wypadków, klęsk żywiołowych, stanów zagrożenia zdrowia publicznego, takich jak pandemie, oraz zagrożeń hybrydowych lub innych zagrożeń związanych z konfliktem, w tym przestępstw terrorystycznych, infiltracji przestępczej i sabotażu (zwaną dalej "oceną ryzyka państwa członkowskiego"). Przeprowadzając oceny ryzyka państw członkowskich, państwa członkowskie powinny uwzględnić inne ogólne lub sektorowe oceny ryzyka przeprowadzone na podstawie innych aktów prawnych Unii oraz powinny wziąć pod uwagę stopień zależności między sektorami, w tym sektorami w innych państwach członkowskich i w państwach trzecich. Wyniki ocen ryzyka państw członkowskich należy wykorzystać do celów identyfikacji podmiotów krytycz- nych i wspierania tych podmiotów w spełnianiu odnoszących się do nich wymogów dotyczących odporności. Niniejsza dyrektywa ma zastosowanie wyłącznie do państw członkowskich i podmiotów krytycznych prowadzących działalność w Unii. Niemniej jednak wiedza fachowa i wiedza ogólna wytworzona przez właściwe organy, w szczególności na podstawie ocen ryzyka, oraz przez Komisję, w szczególności w wyniku różnych form wsparcia i współpracy, może być wykorzystywana, w stosownych przypadkach i zgodnie z mającymi zastosowanie instrumentami prawnymi, z pożytkiem dla państw trzecich, szczególnie dla tych w bezpośrednim sąsiedztwie Unii, poprzez uwzględnienie jej w istniejącej współpracy na rzecz odporności.
(16) W celu zapewnienia, aby wszystkie odpowiednie podmioty były objęte przewidzianymi w niniejszej dyrektywie wymogami w zakresie odporności, i w celu ograniczenia rozbieżności w tym zakresie należy wprowadzić zharmonizowane przepisy pozwalające na spójne identyfikowanie podmiotów krytycznych na terenie Unii, umożliwiając jednocześnie państwom członkowskim odpowiednie odzwierciedlenie roli i znaczenia tych podmiotów na poziomie krajowym. Stosując kryteria określone w niniejszej dyrektywie, każde państwo członkowskie powinno zidentyfikować podmioty, które świadczą co najmniej jedną usługę kluczową i które prowadzą działalność na jego terytorium i posiadają na tym terytorium infrastrukturę krytyczną. Należy uznać, że podmiot prowadzi działalność na terytorium tego państwa członkowskiego, w którym prowadzi działania niezbędne do świadczenia danej usługi kluczowej lub danych usług kluczowych, i na terytorium którego znajduje się jego infrastruktura krytyczna wykorzystywana do świadczenia tej usługi lub tych usług. Jeżeli w danym państwie członkowskim nie ma podmiotu spełniającego te kryteria, to państwo członkowskie nie powinno mieć obowiązku identyfikacji podmiotu krytycznego w odnośnym sektorze lub podsektorze. Przez wzgląd na skuteczność, efektywność, spójność oraz pewność prawa należy ustanowić odpowiednie przepisy dotyczące powiadamiania podmiotów, które zostały zidentyfikowane jako podmioty krytyczne.
(17) Państwa członkowskie powinny przekazać Komisji, w sposób, który realizuje cele niniejszej dyrektywy, wykaz usług kluczowych, liczbę zidentyfikowanych podmiotów krytycznych w podziale na sektory i podsektory określone w załączniku, oraz w podziale na usługę kluczową świadczoną lub usługi kluczowe świadczone przez każdy taki podmiot, a także progi, o ile je zastosowano. Powinno być możliwe przedstawienie progów wprost lub w formie zagregowanej, co oznacza, że informacje te można uśrednić według obszaru geograficznego, roku, sektora, podsektora lub w inny sposób, a także, że mogą one zawierać informacje na temat zakresu przedstawionych wskaźników.
(18) Należy ustanowić kryteria umożliwiające określenie znaczenia skutku zakłócającego wywołanego przez incydent. Kryteria te powinny opierać się na kryteriach określonych w dyrektywie Parlamentu Europejskiego i Rady (UE) 2016/1148 6 w celu wykorzystania starań, jakie państwa członkowskie włożyły w identyfikację operatorów usług kluczowych zdefiniowanych w tej dyrektywie, oraz doświadczenia zdobytego w tym zakresie. Poważne kryzysy, takie jak pandemia COVID-19, pokazały, jak ważne jest zapewnienie bezpieczeństwa łańcucha dostaw i jak jego zakłócenia mogą mieć negatywne wielosektorowe i transgraniczne skutki gospodarcze i społeczne. Dlatego też państwa członkowskie przy ustalaniu stopnia zależności innych sektorów i podsektorów od usługi kluczowej świadczonej przez podmiot krytyczny powinny również w miarę możliwości uwzględniać wpływ na łańcuch dostaw.
(19) Zgodnie z mającym zastosowanie prawem Unii i prawem krajowym, w tym z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2019/452 7 ustanawiającym ramy monitorowania bezpośrednich inwestycji zagranicznych w Unii, należy dostrzec potencjalne zagrożenie, jakie wiąże się z zagranicznymi udziałami w infrastrukturze krytycznej w Unii, gdyż usługi, gospodarka, swoboda przemieszczania się i bezpieczeństwo obywateli Unii zależą od należytego funkcjonowania infrastruktur krytycznych.
(20) Dyrektywa (UE) 2022/2555 zobowiązuje podmioty należące do sektora infrastruktury cyfrowej, które mogą być zidentyfikowane jako podmioty krytyczne na mocy niniejszej dyrektywy, do wprowadzania odpowiednich i proporcjonalnych środków technicznych, operacyjnych i organizacyjnych w celu zarządzania ryzykiem dla bezpieczeństwa sieci i systemów informatycznych, a także do zgłaszania znaczących incydentów i cyberzagrożeń. Ponieważ zagrożenia dla bezpieczeństwa sieci i systemów informatycznych mogą mieć różne źródła, dyrektywa (UE) 2022/2555 stosuje podejście uwzględniające wszystkie zagrożenia, które obejmuje odporność sieci i systemów informatycznych, a także ich fizycznych komponentów i ich środowiska fizycznego.
Biorąc pod uwagę, że wymogi określone w tym zakresie w dyrektywie (UE) 2022/2555 są co najmniej równoważne odpowiadającym im obowiązkom określonym w niniejszej dyrektywie, obowiązki określone w art. 11 i rozdziałach III, IV i VI niniejszej dyrektywy nie powinny mieć zastosowania do podmiotów należących do sektora infrastruktury cyfrowej, tak aby uniknąć powielania działań i zbędnego obciążenia administracyjnego. Niemniej biorąc pod uwagę znaczenie usług świadczonych przez podmioty należące do sektora infrastruktury cyfrowej na rzecz podmiotów krytycznych należących do wszystkich innych sektorów, państwa członkowskie powinny identyfikować - na podstawie kryteriów i z wykorzystaniem procedury przewidzianych w niniejszej dyrektywie - podmioty należące do sektora infrastruktury cyfrowej jako podmioty krytyczne. W związku z tym powinny mieć zastosowanie określone w rozdziale II niniejszej dyrektywy strategie, oceny ryzyka państw członkowskich i środki wsparcia. Państwa członkowskie powinny mieć możliwość przyjęcia lub utrzymania przepisów prawa krajowego w celu osiągnięcia wyższego poziomu odporności tych podmiotów krytycznych, pod warunkiem że przepisy te są zgodne z mającym zastosowanie prawem Unii.
(21) W prawie Unii dotyczącym usług finansowych ustanowiono kompleksowe wymagania względem podmiotów finansowych polegające na zarządzaniu wszystkimi czynnikami ryzyka, z jakimi się zmagają, w tym ryzykiem operacyjnym, oraz zapewnieniu ciągłości działania. Prawo to obejmuje rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 648/2012 8 , (UE) nr 575/2013 9 i (UE) nr 600/2014 10 oraz dyrektywy Parlamentu Europejskiego i Rady 2013/36/UE 11 i 2014/65/UE 12 . Te ramy prawne uzupełnione są rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 13 , w którym określono wymagania mające zastosowanie do podmiotów finansowych w zakresie zarządzania czynnikami ryzyka związanymi z technologiami informacyjno-komunikacyjnymi (ICT), w tym dotyczące ochrony fizycznej infrastruktury ICT. Zatem, ponieważ odporność tych podmiotów została kompleksowo uwzględniona, art. 11 i rozdziały III, IV i VI niniejszej dyrektywy nie powinny mieć do nich zastosowania, tak aby uniknąć powielania działań i zbędnego obciążenia administracyjnego.
Niemniej biorąc pod uwagę znaczenie usług świadczonych przez podmioty w sektorze finansowym na rzecz podmiotów krytycznych należących do wszystkich innych sektorów, państwa członkowskie powinny identyfikować - na podstawie kryteriów i z wykorzystaniem procedury przewidzianych w niniejszej dyrektywie - podmioty z sektora finansowego jako podmioty krytyczne. Zatem zastosowanie powinny mieć określone w rozdziale II niniejszej dyrektywy strategie, oceny ryzyka państw członkowskich i środki wsparcia. Państwa członkowskie powinny mieć możliwość przyjęcia lub utrzymania przepisów prawa krajowego w celu osiągnięcia wyższego poziomu odporności tych podmiotów krytycznych, pod warunkiem że przepisy te są zgodne z mającym zastosowanie prawem Unii.
(22) Państwa członkowskie powinny wyznaczyć lub ustanowić organy odpowiedzialne za nadzór nad stosowaniem przepisów niniejszej dyrektywy i, w stosownych przypadkach, za ich egzekwowanie oraz zapewnić, aby organy te dysponowały odpowiednimi uprawnieniami i zasobami. Z uwagi na różnice pomiędzy krajowymi strukturami zarządzania, w celu zabezpieczenia obowiązujących ustaleń sektorowych lub działania unijnych organów nadzorczych i regulacyjnych, a także w celu unikania powielania działań, państwa członkowskie powinny móc wyznaczać lub ustanowić więcej niż jeden właściwy organ. W przypadku gdy państwa członkowskie wyznaczają lub ustanawiają więcej niż jeden właściwy organ, powinny one wyraźnie rozgraniczyć odpowiednie zadania tych organów oraz zapewnić, aby organy te współpracowały ze sobą w sposób płynny i skuteczny. Wszystkie właściwe organy powinny również współpracować w ujęciu bardziej ogólnym z innymi odpowiednimi organami, zarówno na poziomie Unii, jak i na poziomie krajowym.
(23) W celu ułatwienia współpracy i komunikacji transgranicznej oraz umożliwienia skutecznego wdrożenia niniejszej dyrektywy każde państwo członkowskie powinno, bez uszczerbku dla wymogów wynikających z sektorowych aktów prawnych Unii, wyznaczyć jeden pojedynczy punkt kontaktowy - w stosownych przypadkach w ramach właściwego organu - odpowiedzialny za koordynację kwestii związanych z odpornością podmiotów krytycznych oraz współpracę transgraniczną na poziomie Unii (zwany dalej "pojedynczym punktem kontaktowym"). Każdy pojedynczy punkt kontaktowy powinien również w stosownych przypadkach pełnić funkcję łącznika pomiędzy właściwymi organami swojego państwa członkowskiego, pojedynczymi punktami kontaktowymi innych państw członkowskich oraz Grupą ds. Odporności Podmiotów Krytycznych, a także koordynować komunikację między tymi podmiotami.
(24) Właściwe organy na podstawie niniejszej dyrektywy oraz właściwe organy na podstawie dyrektywy (UE) 2022/2555 powinny współpracować i wymieniać informacje w odniesieniu do ryzyk w cyberprzestrzeni, cyberzagrożeń i cybe- rincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią mających wpływ na podmioty krytyczne, a także w odniesieniu do odpowiednich środków podejmowanych przez właściwe organy na podstawie niniejszej dyrektywy i właściwe organy na podstawie dyrektywy (UE) 2022/2555 Ważne jest, aby państwa członkowskie zapewniły, by wymogi przewidziane w niniejszej dyrektywie i w dyrektywie (UE) 2022/2555 były wdrażane w sposób komplementarny oraz aby podmioty krytyczne nie podlegały obciążeniom administracyjnym wykraczającym poza to, co jest konieczne do osiągnięcia celów niniejszej dyrektywy i drugiej wspomnianej dyrektywy.
(25) Państwa członkowskie powinny wspierać podmioty krytyczne - w tym te, które kwalifikują się jako małe i średnie przedsiębiorstwa- we wzmacnianiu ich odporności, zgodnie z obowiązkami państw członkowskich przewidzianymi w niniejszej dyrektywie, bez uszczerbku dla własnej odpowiedzialności prawnej podmiotów krytycznych za zapewnienie takiej zgodności, a przy tym zapobiegać nakładaniu nadmiernego obciążenia administracyjnego. Państwa członkowskie mogłyby, w szczególności, opracować materiały zawierające wytyczne i metodyki, wspierać organizowanie ćwiczeń mających na celu sprawdzenie odporności podmiotów krytycznych oraz zapewnić doradztwo i szkolenia dla personelu podmiotów krytycznych. Jeżeli jest to konieczne i uzasadnione celami interesu publicznego, państwa członkowskie mogą zapewniać zasoby finansowe i powinny ułatwiać dobrowolną wymianę informacji i dobrych praktyk między podmiotami krytycznymi, bez uszczerbku dla zastosowania reguł konkurencji ustanowionych w Traktacie o funkcjonowaniu Unii Europejskiej (TFUE).
(26) W celu zwiększenia odporności podmiotów krytycznych zidentyfikowanych przez państwa członkowskie oraz w celu zmniejszenia obciążenia administracyjnego tych podmiotów krytycznych właściwe organy powinny w stosownych przypadkach konsultować się ze sobą w celu zapewnienia spójnego stosowania niniejszej dyrektywy. Konsultacje te powinno się rozpoczynać na wniosek dowolnego zainteresowanego właściwego organu i powinny one koncentrować się na zapewnieniu spójnego podejścia do wzajemnie powiązanych podmiotów krytycznych, które korzystają z infrastruktury krytycznej fizycznie połączonej na terytorium co najmniej dwóch państw członkowskich, należą do tych samych grup lub struktur przedsiębiorstw lub które zostały zidentyfikowane w jednym państwie członkowskim i świadczą usługi kluczowe na rzecz innych państw członkowskich lub w innych państwach członkowskich.
(27) W przypadku gdy przepisy prawa Unii lub prawa krajowego wymagają od podmiotów krytycznych dokonania oceny czynników ryzyka istotnych do celów niniejszej dyrektywy oraz wprowadzenia środków mających zapewnić im odporność, wymogi te należy odpowiednio uwzględnić do celów nadzoru przestrzegania niniejszej dyrektywy przez podmioty krytyczne.
(28) Podmioty krytyczne powinny mieć wszechstronną wiedzę o istotnych czynnikach ryzyka, na które są narażone, oraz być zobowiązane je analizować. W tym celu powinny przeprowadzać oceny ryzyka, gdy tylko jest to konieczne ze względu na ich szczególne okoliczności oraz zmianę tych czynników ryzyka, a w każdym przypadku co cztery lata, w celu oceny wszystkich istotnych czynników ryzyka, które mogłyby zakłócić świadczenie ich usług kluczowych (zwane dalej "ocenami ryzyka podmiotu krytycznego"). W przypadku gdy podmioty krytyczne przeprowadziły inne oceny ryzyka lub sporządziły dokumenty zgodnie z obowiązkami wynikającymi z innych aktów prawnych, które to oceny ryzyka lub dokumenty są istotne dla ich oceny ryzyka podmiotu krytycznego, podmioty te powinny mieć możliwość wykorzystania tych ocen i dokumentów w celu spełnienia wymogów określonych w niniejszej dyrektywie w odniesieniu do ocen ryzyka podmiotów krytycznych. Właściwy organ powinien mieć możliwość uznania istniejącej oceny ryzyka przeprowadzonej przez podmiot krytyczny, która odnosi się do istotnych czynników ryzyka i istotnego stopnia zależności, za spełniającą - w całości lub w części - obowiązki określone w niniejszej dyrektywie.
(29) Podmioty krytyczne powinny wprowadzać środki techniczne, środki bezpieczeństwa i środki organizacyjne odpowiednie i proporcjonalne do czynników ryzyka, na które są narażone, w celu zapobiegania incydentom, ochrony przed nimi, odpowiedzi na nie, stawiania im oporu, łagodzenia i absorbowania ich, adaptacji oraz odtworzenia po incydencie. Podmioty krytyczne powinny wprowadzać te środki zgodnie z niniejszą dyrektywą, przy czym szczegóły i zakres takich środków powinny w sposób odpowiedni i proporcjonalny odzwierciedlać poszczególne czynniki ryzyka rozpoznane przez każdy z podmiotów krytycznych w ramach jego oceny ryzyka podmiotu krytycznego oraz specyfikę takiego podmiotu. W celu promowania spójnego unijnego podejścia Komisja powinna, po konsultacji z Grupą ds. Odporności Podmiotów Krytycznych, przyjąć niewiążące wytyczne w celu doprecyzowania tych środków technicznych, środków bezpieczeństwa i środków organizacyjnych. Państwa członkowskie powinny zapewnić, by każdy podmiot krytyczny wyznaczył urzędnika łącznikowego lub jego odpowiednika jako punkt kontaktowy z właściwymi organami.
(30) W celu zapewnienia skuteczności i rozliczalności, podmioty krytyczne w planie zwiększania odporności lub dokumencie równoważnym lub dokumentach równoważnych z planem zwiększania odporności powinny opisać podejmowane przez siebie środki z zachowaniem poziomu szczegółowości, który w wystarczającym stopniu pozwala osiągnąć cele dotyczące skuteczności i rozliczalności, uwzględniając zidentyfikowane ryzyka oraz powinny wdrożyć ten plan. Jeśli podmiot krytyczny wprowadził już środki techniczne, środki bezpieczeństwa i środki organizacyjne oraz sporządził dokumenty na podstawie innych aktów prawnych, które to środki i dokumenty są istotne dla środków w zakresie zwiększania odporności na podstawie niniejszej dyrektywy, podmiot ten, aby uniknąć powielania działań, powinien mieć możliwość, wykorzystania tych środków i dokumentów w celu spełnienia wymogów dotyczących środków w zakresie odporności na podstawie niniejszej dyrektywy. Aby uniknąć powielania działań, właściwy organ powinien mieć możliwość uznania wprowadzonych przez podmiot krytyczny środków w zakresie odporności odnoszących się do obowiązku tego podmiotu w zakresie wprowadzania środków technicznych, środków bezpieczeństwa i środków organizacyjnych za zgodne - w całości lub w części - z wymogami niniejszej dyrektywy.
(31) Rozporządzeniami Parlamentu Europejskiego i Rady (WE) nr 725/2004 14 i (WE) nr 300/2008 15 oraz dyrektywą Parlamentu Europejskiego i Rady 2005/65/WE 16 ustanowiono wymagania mające zastosowanie do podmiotów w sektorach transportu lotniczego i transportu morskiego w celu zapobiegania incydentom powodowanym bezprawnymi czynami oraz stawiania oporu skutkom takich incydentów i ograniczania tych skutków. Chociaż środki wymagane zgodnie z niniejszą dyrektywą obejmują szerszy zakres czynników ryzyka, których dotyczą, i rodzajów środków, które należy wdrożyć, podmioty krytyczne w tych sektorach powinny odzwierciedlić w swoim planie zwiększania odporności lub równoważnych dokumentach środki wdrożone na podstawie wspomnianych innych aktów prawnych Unii. Podmioty krytyczne muszą również uwzględniać dyrektywę Parlamentu Europejskiego i Rady 2008/96/WE 17 wprowadzającą ocenę bezpieczeństwa ruchu drogowego obejmującą całą sieć w celu określenia zagrożeń związanych z wypadkami oraz ukierunkowane kontrole bezpieczeństwa ruchu drogowego w celu zidentyfikowania niebezpiecznych warunków, uszkodzeń i problemów, które zwiększają ryzyko wypadków i obrażeń, przeprowadzane w oparciu o wizje lokalne na istniejących drogach lub odcinkach dróg. Zapewnienie ochrony i odporności podmiotów krytycznych ma ogromne znaczenie dla sektora kolejowego, a podczas wdrażania środków w zakresie odporności zgodnie z niniejszą dyrektywą podmioty krytyczne zachęca się do odwoływania się do niewiążących wytycznych i dokumentów dotyczących dobrych praktyk opracowanych w kontekście działań sektorowych, takich jak unijna platforma bezpieczeństwa pasażerów w ruchu kolejowym utworzona decyzją Komisji 2018/C 232/03 18 .
(32) Ryzyko, że pracownicy podmiotów krytycznych lub wykonawcy pracujący na rzecz podmiotów krytycznych nadużyją na przykład swoich praw dostępu w ramach organizacji podmiotu krytycznego w celu wyrządzenia szkody, budzi coraz większe obawy. Państwa członkowskie powinny zatem określić warunki, zgodnie z którymi podmioty krytyczne mogą - w należycie uzasadnionych przypadkach i z uwzględnieniem ocen ryzyka państw członkowskich- składać wnioski o sprawdzenie przeszłości osób należących do szczególnych kategorii ich personelu. Należy zapewnić, by odpowiednie organy oceniały takie wnioski w rozsądnym terminie i przetwarzały je zgodnie z prawem krajowym i procedurami krajowymi i z odpowiednim i mającym zastosowanie prawem Unii, w tym dotyczącym ochrony danych osobowych. W celu potwierdzenia tożsamości osoby podlegającej sprawdzeniu przeszłości państwa członkowskie powinny wymagać dowodu tożsamości, takiego jak paszport, krajowy dokument tożsamości lub cyfrowa forma identyfikacji, zgodnie z mającym zastosowanie prawem.
Sprawdzenie przeszłości powinno obejmować sprawdzenie rejestrów karnych odnośnej osoby. Państwa członkowskie powinny wykorzystywać europejski system przekazywania informacji z rejestrów karnych zgodnie z procedurami określonymi w decyzji ramowej Rady 2009/315/WSiSW 19 oraz, w razie potrzeby i w stosownych przypadkach, w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2019/816 20 , w celu uzyskiwania informacji z rejestrów karnych innych państw członkowskich. Państwa członkowskie mogą również, w razie potrzeby i w stosownych przypadkach, opierać się na informacjach uzyskanych z systemu informacyjnego Schengen drugiej generacji (SIS II) ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2018/1862 21 , danych wywiadowczych oraz na wszelkich innych dostępnych bezstronnych informacjach, które mogą być niezbędne do określenia, czy dana osoba jest odpowiednia do pracy na stanowisku, w odniesieniu do którego podmiot krytyczny zwrócił się o przeprowadzenie sprawdzenia przeszłości.
(33) Powinien zostać ustanowiony mechanizm zgłaszania określonych incydentów, by umożliwić właściwym organom szybką i adekwatną odpowiedź na nie oraz uzyskanie kompleksowego obrazu skutków, charakteru, przyczyn i możliwych konsekwencji danego incydentu, którym zajmują się podmioty krytyczne. Podmioty krytyczne powinny niezwłocznie zgłaszać właściwym organom incydenty, które istotnie zakłócają lub mogą istotnie zakłócać świadczenie usług kluczowych. Podmioty krytyczne powinny dokonać zgłoszenia wstępnego nie później niż 24 godziny od uzyskania wiedzy o wystąpieniu incydentu - chyba że jest to niemożliwe z operacyjnego punktu widzenia. Wstępne zgłoszenie powinno zawierać jedynie informacje absolutnie niezbędne do tego, by poinformować właściwy organ o wystąpieniu incydentu i umożliwić podmiotowi krytycznemu zwrócenie się o wsparcie, jeśli zachodzi taka potrzeba. Zgłoszenie takie powinno w miarę możliwości wskazywać potencjalną przyczynę incydentu. Państwa członkowskie powinny zapewnić, aby wymóg dokonania wstępnego zgłoszenia nie powodował przekierowania zasobów podmiotu krytycznego z działań podejmowanych w reakcji na incydent, które to działania powinny mieć charakter priorytetowy. W stosownych przypadkach, po wstępnym zgłoszeniu należy przedłożyć szczegółowe sprawozdanie - nie później niż miesiąc od zaistnienia incydentu. Szczegółowe sprawozdanie powinno uzupełniać wstępne zgłoszenie i oferować pełniejsze podsumowanie dotyczące incydentu.
(34) Proces normalizacji powinien pozostać procesem uzależnionym głównie od czynników rynkowych. Nadal mogą jednak zaistnieć sytuacje, w których należy wymagać przestrzegania określonych norm. Państwa członkowskie powinny zachęcać, gdy może to być przydatne, do stosowania europejskich i międzynarodowych norm i specyfikacji technicznych istotnych dla środków w zakresie bezpieczeństwa i w zakresie odporności mających zastosowanie do podmiotów krytycznych.
(35) Podczas gdy podmioty krytyczne działają zazwyczaj jako element w coraz większym stopniu wzajemnie powiązanej sieci świadczenia usług i infrastruktury oraz często świadczą usługi kluczowe w więcej niż jednym państwie członkowskim, niektóre z tych podmiotów krytycznych mają szczególne znaczenie dla Unii i jej rynku wewnętrznego, ponieważ świadczą usługi kluczowe na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach członkowskich, i mogłyby zatem korzystać ze szczególnego wsparcia na poziomie Unii. Należy zatem ustanowić przepisy dotyczące misji doradczych w odniesieniu do takich podmiotów krytycznych o szczególnym znaczeniu europejskim. Przepisy te pozostają bez uszczerbku dla przepisów dotyczących nadzoru i egzekwowania przepisów przewidzianych w niniejszej dyrektywie.
(36) Na uzasadniony wniosek Komisji lub co najmniej jednego państwa członkowskiego, na rzecz którego lub w którym świadczona jest usługa kluczowa, w przypadkach gdy do zapewnienia podmiotowi krytycznemu doradztwa w zakresie wypełniania jego obowiązków zgodnie z niniejszą dyrektywą lub do oceny wypełniania tych obowiązków przez podmiot krytyczny o szczególnym znaczeniu europejskim niezbędne są dodatkowe informacje, państwo członkowskie, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny, powinno przekazać Komisji określone informacje, jak określono w niniejszej dyrektywie. Komisja powinna mieć możliwość zorganizowania misji doradczej - w porozumieniu z państwem członkowskim, które zidentyfikowało podmiot krytyczny o szczególnym znaczeniu europejskim jako podmiot krytyczny - w celu oceny środków wdrożonych przez ten podmiot. Aby zapewnić prawidłowe powadzenie takich misji doradczych, należy ustanowić dodatkowe przepisy, w szczególności dotyczące organizacji i przebiegu misji doradczych, działań następczych, które należy podjąć, oraz obowiązków podmiotów krytycznych o szczególnym znaczeniu europejskim, których dotyczą
misje. Misje doradcze należy - bez uszczerbku dla konieczności przestrzegania przepisów niniejszej dyrektywy przez państwo członkowskie, w którym prowadzi się misję doradczą, oraz przez podmiot krytyczny, którego ona dotyczy - prowadzić zgodnie ze szczegółowymi przepisami prawa tego państwa członkowskiego, na przykład dotyczącymi konkretnych warunków, które należy spełnić, aby uzyskać dostęp do odpowiednich budynków lub terenów lub dokumentów, oraz dotyczącymi środka zaskarżenia. O konkretną wiedzę ekspercką wymaganą na potrzeby takich misji doradczych można by w stosownych przypadkach wnosić za pośrednictwem Centrum Koordynacji Reagowania Kryzysowego ustanowionego decyzją Parlamentu Europejskiego i Rady nr 1313/2013/EU 22 .
(37) W celu wsparcia Komisji i ułatwienia współpracy między państwami członkowskimi oraz wymiany informacji, w tym najlepszych praktyk, na temat kwestii związanych z niniejszą dyrektywą należy ustanowić Grupę ds. Odporności Podmiotów Krytycznych jako grupę ekspercką Komisji. Państwa członkowskie powinny dokładać starań, aby zapewnić skuteczną i efektywną współpracę wyznaczonych przedstawicieli ich właściwych organów w ramach Grupy ds. Odporności Podmiotów Krytycznych, w tym w stosownych przypadkach poprzez wyznaczanie przedstawicieli posiadających poświadczenie bezpieczeństwa osobowego. Grupa ds. Odporności Podmiotów Krytycznych powinna rozpocząć wykonywanie swoich zadań jak najszybciej, tak aby zapewnić dodatkowe środki na rzecz odpowiedniej współpracy w okresie transpozycji niniejszej dyrektywy. Grupa ds. Odporności Podmiotów Krytycznych powinna współdziałać z innymi odpowiednimi sektorowymi grupami roboczymi ekspertów.
(38) Grupa ds. Odporności Podmiotów Krytycznych powinna współpracować z Grupą Współpracy ustanowioną na podstawie dyrektywy (UE) 2022/2555 w celu wspierania kompleksowych ram dotyczących odporności podmiotów krytycznych w zakresie cyberbezpieczeństwa i ich odporności niezwiązanej z cyberbezpieczeństwem. Grupa ds. Odporności Podmiotów Krytycznych i Grupa Współpracy ustanowiona na podstawie dyrektywy (UE) 2022/2555 powinny prowadzić regularny dialog w celu promowania współpracy między właściwymi organami na podstawie niniejszej dyrektywy i właściwymi organami na podstawie dyrektywy (UE) 2022/2555 i ułatwiania wymiany informacji, w szczególności w zakresie tematów istotnych dla obu grup.
(39) Aby osiągnąć cele niniejszej dyrektywy i bez uszczerbku dla odpowiedzialności prawnej państw członkowskich i podmiotów krytycznych za wywiązywanie się z ich odpowiednich obowiązków określonych w niniejszej dyrektywie, Komisja powinna - jeżeli uzna to za stosowne -wspierać właściwe organy i podmioty krytyczne w celu ułatwienia wypełniania ich odpowiednich obowiązków. Udzielając wsparcia państwom członkowskim i podmiotom krytycznym w wykonywaniu obowiązków na podstawie niniejszej dyrektywy, Komisja powinna korzystać z istniejących struktur i narzędzi, takich jak te dostępne w ramach Unijnego Mechanizmu Ochrony Ludności, ustanowionego decyzją nr 1313/2013/UE oraz Europejskiej Sieci Referencyjnej ds. Ochrony Infrastruktury Krytycznej. Ponadto Komisja powinna informować państwa członkowskie o zasobach dostępnych na poziomie Unii, na przykład w ramach Funduszu Bezpieczeństwa Wewnętrznego ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/1149 23 , programu "Horyzont Europa" ustanowionego rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2021/695 24 lub innych instrumentów istotnych dla odporności podmiotów krytycznych.
(40) Państwa członkowskie powinny zapewnić, aby ich właściwe organy dysponowały pewnymi szczególnymi uprawnieniami umożliwiającymi im prawidłowe stosowanie i egzekwowanie przepisów niniejszej dyrektywy względem podmiotów krytycznych, jeżeli zgodnie z niniejszą dyrektywą podmioty te podlegają ich jurysdykcji. Uprawnienia te powinny obejmować w szczególności uprawnienie do prowadzenia inspekcji i audytów, uprawnienie do sprawowania nadzoru, uprawnienie do zobowiązania podmiotów krytycznych do przekazywania informacji i dowodów związanych ze środkami, które wdrożyły, aby wywiązać się ze swoich obowiązków, oraz w stosownych przypadkach uprawnienie do wydawania nakazów usunięcia skutków stwierdzonych naruszeń. Wydając takie nakazy, państwa członkowskie nie powinny wymagać środków wykraczających poza środki niezbędne i proporcjonalne do zapewnienia przestrzegania przepisów przez dane podmioty krytyczne, biorąc pod uwagę w szczególności powagę naruszenia oraz zdolność gospodarczą odnośnego podmiotu krytycznego. Mówiąc ogólniej, uprawnieniom tym powinny towarzyszyć odpowiednie i skuteczne zabezpieczenia przewidziane prawem krajowym i zgodne z Kartą praw podstawowych Unii Europejskiej. Dokonując oceny wypełniania przez podmiot krytyczny obowiązków określonych w niniejszej dyrektywie, właściwe organy na podstawie niniejszej dyrektywy powinny mieć możliwość zwrócenia się do właściwych organów na podstawie dyrektywy (UE) 2022/2555, by te ostatnie skorzystały ze swoich uprawnień w zakresie nadzoru i egzekwowania przepisów w odniesieniu do podmiotu na podstawie tej dyrektywy, który to podmiot został również zidentyfikowany jako podmiot krytyczny na podstawie niniejszej dyrektywy. W tym celu właściwe organy na podstawie niniejszej dyrektywy oraz właściwe organy na podstawie dyrektywy (UE) 2022/2555 powinny współpracować i wymieniać informacje.
(41) W celu skutecznego i spójnego stosowania niniejszej dyrektywy należy przekazać Komisji uprawnienia do przyjmowania aktów zgodnie z art. 290 TFUE w celu uzupełnienia niniejszej dyrektywy przez sporządzenie wykazu usług kluczowych. Wykaz ten powinien być wykorzystywany przez właściwe organy do celów przeprowadzania ocen ryzyka państw członkowskich oraz do identyfikacji podmiotów krytycznych zgodnie z niniejszą dyrektywą. Z uwagi na zastosowane w niniejszej dyrektywie podejście polegające na minimalnej harmonizacji wykaz ten nie jest wyczerpujący, a państwa członkowskie mogą go uzupełniać o dodatkowe usługi kluczowe na poziomie krajowym w celu uwzględnienia krajowej specyfiki w zakresie świadczenia usług kluczowych. Szczególnie ważne jest, aby w czasie prac przygotowawczych Komisja prowadziła stosowne konsultacje, w tym na poziomie ekspertów, oraz aby konsultacje te prowadzone były zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonal- nym z dnia 13 kwietnia 2016 r. w sprawie lepszego stanowienia prawa 25 . W szczególności, aby zapewnić Parlamentowi Europejskiemu i Radzie udział na równych zasadach w przygotowaniu aktów delegowanych, instytucje te otrzymują wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji mogą systematycznie brać udział w posiedzeniach grup eksperckich Komisji zajmujących się przygotowaniem aktów delegowanych.
(42) W celu zapewnienia jednolitych warunków wykonywania niniejszej dyrektywy należy powierzyć Komisji uprawnienia wykonawcze. Uprawnienia te powinny być wykonywane zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) nr 182/2011 26 .
(43) Ponieważ cele niniejszej dyrektywy - a mianowicie zapewnienie niezakłóconego świadczenia na rynku wewnętrznym usług kluczowych dla utrzymania niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej oraz zwiększenie odporności podmiotów krytycznych świadczących takie usługi - nie mogą zostać osiągnięte w sposób wystarczający przez państwa członkowskie, natomiast ze względu na skutki działań możliwe jest ich lepsze osiągnięcie na poziomie Unii, może ona podjąć działania zgodnie z zasadą pomocniczości określoną w art. 5 Traktatu o Unii Europejskiej. Zgodnie z zasadą proporcjonalności określoną w tym art. 5 niniejsza dyrektywa nie wykracza poza to, co jest konieczne do osiągnięcia tych celów.
(44) Zgodnie z art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 27 skonsultowano się z Europejskim Inspektorem Ochrony Danych, który wydał opinię w dniu 11 sierpnia 2021 r.
(45) Należy zatem uchylić dyrektywę 2008/114/WE,
PRZYJMUJĄ NINIEJSZĄ DYREKTYWĘ:
