Komise by případně poskytla příslušným orgánům a kritickým subjektům podporu při plnění jejich povinností podle této směrnice. Skupina pro posílení odolnosti kritických subjektů, což je expertní skupina Komise podléhající horizontálnímu rámci, který se na tyto skupiny vztahuje, by navíc poskytovala Komisi poradenství a podporovala strategickou spolupráci a výměnu informací. A konečně, protože vzájemná závislost nekončí na vnějších hranicích EU, je rovněž nezbytná spolupráce s partnerskými zeměmi. Navrhovaná směrnice možnost takové spolupráce stanoví, například v oblasti posouzení rizik.

Navrhovaná směrnice nahrazuje směrnici o EKI a zohledňuje další stávající a předpokládané nástroje a vychází z nich. Navrhovaná směrnice představuje podstatnou změnu ve srovnání se směrnicí o EKI, která se vztahuje pouze na odvětví energetiky a dopravy, zaměřuje se výhradně na ochranná opatření a stanoví postup pro určení a označení evropských kritických infrastruktur prostřednictvím přeshraničního dialogu. Navrhovaná směrnice by především měla mít mnohem širší působnost napříč odvětvími, zahrnující deset odvětví, konkrétně energetiku, dopravu, bankovnictví, infrastrukturu finančního trhu, zdraví, pitnou vodu, odpadní vodu, digitální infrastrukturu, veřejnou správu a vesmírný program. Zadruhé stanoví směrnice postup pro členské státy za účelem určení kritických subjektů pomocí společných kritérií na základě vnitrostátního posouzení rizik. Zatřetí stanoví návrh povinností členských států a jimi určených kritických subjektů včetně subjektů se zvláštním evropským významem, tj. kritických subjektů, které poskytují základní služby do více než jedné třetiny členských států nebo ve více než jedné třetině členských států, které by podléhaly zvláštnímu dozoru.

Provozní prostředí, ve kterém kritické subjekty působí, se v posledních letech významně změnilo. Zaprvé, rizikové prostředí je složitější než v roce 2008 a zahrnuje nynější přírodní nebezpečí (v mnoha případech zhoršená změnou klimatu), hybridní opatření podporovaná státem, terorismus, vnitřní hrozby, pandemie a havárie (například průmyslové havárie). Zadruhé, provozovatelé čelí výzvám při integraci nových technologií, jako jsou 5G sítě a samořiditelná vozidla, do svých provozů a zároveň řeší zranitelnosti, které by tyto technologie mohly případně vytvářet. Zatřetí, díky těmto technologiím a dalším trendům se provozovatelé stále více spoléhají na sebe. Důsledky jsou jasné – narušení ovlivňující poskytování služeb jedním provozovatelem v jednom odvětví může vytvořit kaskádové účinky na poskytování služeb v jiných odvětvích, a také případně v jiných členských státech nebo v celé Unii.

Evropská unie musí za účelem účinné ochrany Evropanů neustále snižovat zranitelnost, a to i v případě kritických infrastruktur, které jsou zásadní pro fungování našich společností a hospodářství. Životní podmínky evropských občanů a dobré fungování vnitřního trhu závisí na různých infrastrukturách, které musí spolehlivě poskytovat služby potřebné k zachování kritických společenských a hospodářských činností. Tyto služby, které jsou za normálních okolností životně důležité, jsou o to důležitější v době, kdy se Evropa snaží zvládnout dopady pandemie COVID-19 a kdy usiluje o to, aby se z této pandemie zotavila. Z toho vyplývá, že subjekty poskytující základní služby musí být odolné, tj. schopné odolat incidentům, které mohou vést k vážným narušením napříč odvětvími a hranicemi, dále musí být schopné tyto incidenty absorbovat, přizpůsobit se jim a zotavit se z nich.

Pokud jde o udržitelnost, očekávalo se, že určité účinky vzniklé na základě směrnice (např. přeshraniční jednání, povinnost podávat hlášení o incidentech) zaniknou, pokud bude směrnice zrušena a nebude nahrazena. V rámci hodnocení bylo dále zjištěno, že členské státy nadále podporují zapojení EU do úsilí o posílení odolnosti kritické infrastruktury a že existují určité obavy, že přímé zrušení směrnice by mohlo mít v této oblasti nepříznivé dopady, zejména na ochranu určených EKI. Členské státy usilovaly o zajištění toho, aby Unie v dané oblasti nadále působila v souladu se zásadou subsidiarity, podporovala opatření na vnitrostátní úrovni a usnadňovala přeshraniční spolupráci, a to i se třetími zeměmi.

V hodnocení se zjistilo, že se souvislosti od vstupu směrnice v platnost značně změnily. S ohledem na tyto změny bylo shledáno, že směrnice má jen částečnou relevanci. I když bylo v hodnocení zjištěno, že směrnice je obecně v souladu s příslušnými evropskými odvětvovými právními předpisy a politikou na mezinárodní úrovni, vzhledem k obecnosti některých jejích ustanovení se ukázalo, že je pouze částečně účinná. Bylo shledáno, že směrnice přinesla přidanou hodnotu EU, protože dosáhla výsledků (tj. společného rámce pro ochranu EKI), kterých by jinak nemohly dosáhnout ani národní, ani jiné evropské iniciativy, aniž by zahájily mnohem delší, nákladnější a méně přesně definované procesy. Zároveň však bylo zjištěno, že některá ustanovení měla pro mnoho členských států jen omezenou přidanou hodnotu.

V některých případech však dosažení souladu se směrnicí může vyžadovat rozsáhlejší investice. I v takových případech jsou však tyto investice oprávněné, jelikož by přispěly k posílení odolnosti na úrovni provozovatelů a systému, jakož i soudržnějšímu přístupu a zvýšené schopnosti poskytovat spolehlivé služby v celé Unii. Jakákoli další zátěž vyplývající ze směrnice by byla daleko překročena náklady spojenými s nutností zvládnout a zotavit se ze zásadních narušení, která ohrožují nepřetržité poskytování služeb souvisejících s nejdůležitějšími společenskými funkcemi a hospodářskou prosperitou provozovatelů, jednotlivých členských států, Unie a obecně jejích občanů.

Na rozdíl od směrnice 2008/114/ES, která byla založena na článku 308 Smlouvy o založení Evropského společenství (odpovídá stávajícímu článku 352 Smlouvy o fungování Evropské unie), je tento návrh směrnice založen na článku 114 SFEU, který obsahuje sbližování právních předpisů, jejichž účelem je zlepšení fungování vnitřního trhu. To je odůvodněno posunem, pokud jde o cíl, rozsah a obsah směrnice, narůstající vzájemné závislosti a potřebu vytvořit rovnější podmínky pro kritické subjekty. Namísto ochrany omezeného souboru fyzických infrastruktur, jejichž narušení nebo zničení by mělo významné přeshraniční dopady, je cílem posílit odolnost subjektů v členských státech, které jsou zásadní pro poskytování služeb nezbytných pro zachování nejdůležitějších společenských funkcí nebo hospodářských činností na vnitřním trhu v řadě odvětví, o která se opírá fungování mnoho dalších odvětví hospodářství Unie. Z důvodu narůstající přeshraniční vzájemné závislosti mezi službami poskytovanými pomocí kritických infrastruktur v těchto odvětvích může mít narušení v jednom členském státě důsledky pro jiné členské státy nebo Unii jako celek.

Navrhovaná směrnice má zjevné vazby na další iniciativy EU v rámci jiných odvětví a napříč nimi a je s nimi v souladu. Tyto iniciativy se týkají mimo jiné posilování odolnosti vůči klimatickým změnám, civilní ochrany, přímých zahraničních investic (PZI), kybernetické bezpečnosti a acquis v oblasti finančních služeb. Návrh je zejména úzce provázán a vytváří úzkou synergii s navrhovanou směrnicí o bezpečnosti sítí a informací 2, jejímž cílem je posílit odolnost informačních a komunikačních technologií (IKT) „zásadních subjektů“ a „důležitých subjektů“, které splňují konkrétní mezní hodnoty ve velkém počtu odvětví, a to proti všem rizikům. Cílem tohoto návrhu směrnice o posílení odolnosti kritických subjektů je zajistit, aby příslušné orgány určené podle této směrnice a orgány určené podle navrhované směrnice o bezpečnosti sítí a informací 2 přijaly doplňková opatření a v případě potřeby si vyměňovaly informace týkající se kybernetické i nekybernetické odolnosti a aby se na zvláště kritické subjekty v odvětvích, které se považují za „zásadní“ podle navrhované směrnice o bezpečnosti sítí a informací 2 rovněž vztahovaly obecnější povinnosti, které souvisí s posilováním odolnosti, jejichž cílem je řešení nekybernetických rizik. Fyzická bezpečnost sítí a informačních systémů subjektů v odvětví digitální infrastruktury je komplexně řešena v navrhované směrnici o bezpečnosti sítí a informací 2 jako součást povinností těchto subjektů v oblasti řízení kybernetických bezpečnostních rizik a oznamovacích povinností. Návrh dále vychází ze stávajícího acquis v oblasti finančních služeb, které stanoví komplexní požadavky na finanční subjekty za účelem řešení provozních rizik a zajištění kontinuity činnosti. Se subjekty souvisejícími s digitální infrastrukturou, bankovnictvím a finanční infrastrukturou by se proto mělo pro účely povinností a činností členských států zacházet jako se subjekty rovnocennými kritickým subjektům podle této směrnice, přičemž by tato směrnice těmto subjektům další povinnosti neukládala.

Účelem navrhovaného právního předpisu je posílit odolnost kritických subjektů poskytujících různé formy základních služeb a současně odstranit regulační překážky, které brání jejich schopnosti poskytovat služby v celé Unii. Tím by se snížilo celkové riziko narušení na společenské i individuální úrovni a snížila by se zátěž. Přispělo by to k zajištění vyšší úrovně veřejné bezpečnosti a zároveň pozitivně ovlivnilo svobodu podnikání společností i mnoha dalších hospodářských subjektů závislých na poskytování základních služeb, což by v konečném důsledku přineslo prospěch spotřebitelům. Ustanovení návrhu zaměřená na zajištění účinné správy bezpečnosti zaměstnanců obvykle zahrnují zpracování osobních údajů. To je odůvodněno potřebou provádět ověření spolehlivosti u konkrétních kategorií zaměstnanců. Každé takové zpracování osobních údajů bude navíc vždy podléhat souladu s pravidly Unie o ochraně osobních údajů, včetně obecného nařízení o ochraně osobních údajů.

Přijetím opatření k posílení jejich odolnosti bude pravděpodobnost narušení u kritických subjektů nižší. Tím by se snížila pravděpodobnost rušivých událostí nepříznivě ovlivňujících poskytování základních služeb v jednotlivých členských státech a v celé Evropě. To by spolu s pozitivními účinky vyplývajícími z harmonizace odlišných vnitrostátních pravidel na úrovni Unie mělo pozitivní dopad na podniky, včetně mikropodniků a malých a středních podniků, na celkový stav hospodářství Unie a spolehlivé fungování vnitřního trhu.

V souladu s programem Komise pro účelnost a účinnost právních předpisů (REFIT) by všechny iniciativy zaměřené na změnu stávajících právních předpisů EU měly usilovat o účinnější zjednodušení a dosažení stanovených politických cílů. Zjištění v rámci posouzení dopadů naznačují, že návrh by měl celkovou zátěž členských států snížit. Užší sladění s přístupem stávající směrnice o bezpečnosti sítí a informací zaměřeným na služby pravděpodobně povede v průběhu času ke snížení nákladů na dodržování předpisů. Například zatěžující přeshraniční postup určování a označování obsažený ve stávající směrnici o EKI by byl nahrazen postupem založeným na posouzení rizik na vnitrostátní úrovni, který by byl zaměřen pouze na určení kritických subjektů podléhajících různým povinnostem. Na základě posouzení rizik by členské státy určily kritické subjekty, z nichž většina podle současné směrnice o bezpečnosti sítí a informací již určenými provozovateli základních služeb je.

Posouzení dopadů bylo předmětem kontroly Výboru pro kontrolu regulace, která dne 20. listopadu 2020 vydala kladné stanovisko s výhradami. Výbor poukázal na řadu prvků posouzení dopadů, které by se měly řešit. Konkrétně Výbor požadoval další objasnění týkající se rizik souvisejících s kritickou infrastrukturou a přeshraniční dimenzí, vazby mezi iniciativou a probíhající revizí směrnice o bezpečnosti sítí a informací a vztahu mezi upřednostňovanou politickou možností a dalšími odvětvovými právními předpisy. Výbor dále viděl potřebu dalšího odůvodnění pro rozšíření odvětvové oblasti působnosti nástroje a vyžádal si další informace týkající se kritérií pro výběr kritických subjektů. A konečně, pokud jde o proporcionalitu, usiloval Výbor o další objasnění toho, jak by upřednostňovaná možnost vedla k lepším vnitrostátním reakcím na přeshraniční rizika. Těmito a dalšími podrobnějšími připomínkami, které Výbor předložil, se zabývala konečná verze posouzení dopadů, která například podrobněji popisuje přeshraniční rizika pro kritické infrastruktury a vztah mezi tímto návrhem a návrhem směrnice o bezpečnosti sítí a informací 2. Připomínky Výboru byly zohledněny také v navrhované směrnici uvedené níže.

S ohledem na různé hospodářské, sociální a environmentální dopady spojené s každou z možností, ale rovněž s ohledem na jejich hodnotu z hlediska účinnosti, účelnosti a proporcionality, bylo v posouzení dopadů zjištěno, že upřednostňovanou možností byla možnost č. 3. Vzhledem k tomu, že by č. 1 a 2 nepřinesly změny potřebné k řešení problému, možnost č. 3 by vedla k harmonizovanému a komplexnějšímu rámci pro posílení odolnosti, který by byl rovněž sladěn se stávajícími právními předpisy Unie v souvisejících oblastech a zohledňoval by je. Rovněž byla možnost č. 3 shledána jako přiměřená a politicky proveditelná, protože je v souladu s prohlášeními Rady a Parlamentu o potřebě opatření Unie v této oblasti. Dále se zjistilo, že tato možnost by pravděpodobně zajistila flexibilitu a nabídla rámec, jenž by obstál v budoucnosti a který by umožnil kritickým subjektům průběžně reagovat na různá rizika. V posouzení dopadů bylo nakonec zjištěno, že tato možnost by doplňovala stávající odvětvové a meziodvětvové rámce a nástroje. Tato možnost například umožňuje zohlednit případy, kdy určené subjekty splní určité povinnosti obsažené v tomto novém nástroji prostřednictvím povinností ve stávajících nástrojích, v takovém případě by od nich pak nebyla vyžadována další opatření. Na druhé straně by se od nich očekávalo, že přijmou určitá opatření, pokud stávající nástroje danou záležitost nepokrývají nebo jsou omezeny pouze na určité typy rizik nebo opatření.

–Možnost č. 3: Nahrazení stávající směrnice o EKI novým nástrojem zaměřeným na posílení odolnosti kritických subjektů v odvětvích, která navrhovaná směrnice o bezpečnosti sítí a informací 2 považuje za zásadní. Tato možnost by stanovila minimální požadavky na členské státy a kritické subjekty určené podle nového rámce. Byl by stanoven postup pro určení kritických subjektů nabízejících služby v několika nebo do několika členských států, případně do všech členských států EU. Provádění právních předpisů by podporovalo specializované znalostní centrum v rámci Komise.

Konkrétně se zúčastněné strany obecně shodly na tom, že jakýkoli nový přístup by měl sestávat z kombinace závazných a nezávazných opatření, zaměřit se spíše na odolnost než na ochranu zaměřenou na majetek a poskytnout jasnější souvislost mezi opatřeními zaměřenými na posílení kybernetické odolnosti a odolnosti s kybernetikou nesouvisející. Zúčastněné strany dále podpořily přístup, který zohledňuje ustanovení stávajících právních předpisů v daném odvětví, zahrnuje přinejmenším odvětví, na něž se vztahuje stávající směrnice o bezpečnosti sítí a informací, a jednotnější povinnosti pro kritické subjekty na vnitrostátní úrovni, které by zase měly být schopny provádět dostatečnou bezpečnostní kontrolu zaměstnanců s přístupem k citlivým zařízením/informacím. Zúčastněné strany dále navrhly, aby jakýkoli nový přístup vytvořil členským státům příležitosti k provádění posíleného dozoru nad činnostmi kritických subjektů, ale také zajistil, aby byly určeny kritické subjekty s celoevropským významem a byla zajištěna jejich dostatečná odolnost. Nakonec strany diskutovaly o větším množství finančních prostředků a podpoře ze strany EU pro např. provádění jakéhokoli nového nástroje, budování kapacit na vnitrostátní úrovni a koordinace/spolupráce soukromého a veřejného sektoru a sdílení osvědčených postupů, znalostí a odborné expertízy na různých úrovních. Tento návrh obsahuje ustanovení, která obecně odpovídají názorům a preferencím vyjádřeným zúčastněnými stranami.

Tyto konzultace umožnily Komisi prozkoumat účinnost, účelnost, relevanci, soudržnost a přidanou hodnotu EU stávajícího rámce pro posílení odolnosti kritické infrastruktury (tj. základní situace), jaké problémy vytvořila, různé možnosti politiky, které by mohly být zvažovány při řešení těchto problémů a konkrétní dopady, které by tyto možnosti mohly mít. Obecně lze říci, že konzultace poukázaly na řadu oblastí, kde panovala mezi zúčastněnými stranami všeobecná shoda, v neposlední řadě i na to, že stávající rámec EU pro posílení odolnosti kritické infrastruktury by měl být přepracován s ohledem na narůstající vzájemné závislosti napříč odvětvími a měnící se formy hrozeb.

Článek 12 stanoví, že členské státy zajistí, aby kritické subjekty mohly podávat žádosti o ověření spolehlivosti u osob, které spadají nebo by mohly spadat do určitých konkrétních kategorií zaměstnanců, a aby tyto žádosti byly rychle posouzeny orgány odpovědnými za provádění těchto ověření spolehlivosti. Článek popisuje účel, rozsah a obsah těchto ověření spolehlivosti, které musí být v souladu s obecným nařízením o ochraně údajů.

Článek 7 stanoví, že by členské státy měly určit subjekty v odvětví bankovnictví, infrastruktury finančního trhu a digitální infrastruktury, které mají být považovány za rovnocenné kritickým subjektům pouze pro účely kapitoly II. Tyto subjekty by měly být o svém určení informovány.

Článek 5 stanoví, že členské státy určí kritické subjekty v konkrétních odvětvích a pododvětvích. Postup určování by měl zohledňovat výsledky posouzení rizik a uplatňovat konkrétní kritéria. Členské státy vytvoří seznam kritických subjektů, který se pravidelně a v případě potřeby aktualizuje. Kritické subjekty musí být o svém určení a povinnostech, které z toho vyplývají, řádně informovány. Příslušné orgány odpovědné za provádění směrnice oznámí příslušným orgánům odpovědným za provádění směrnice o bezpečnosti sítí a informací 2 určení kritických subjektů. Pokud je subjekt určen jako kritický dvěma nebo více členskými státy, zahájí členské státy vzájemné konzultace s cílem snížit zátěž pro tento kritický subjekt. Pokud kritické subjekty poskytují služby do více než jedné třetiny členských států nebo ve více než jedné třetině členských států, informuje dotyčný členský stát Komisi o totožnosti těchto kritických subjektů.

Článek 3 stanoví, že členské státy přijmou strategii pro posílení odolnosti kritických subjektů, popisuje prvky, které by měla obsahovat, objasňuje, že by měla být pravidelně a v případě potřeby aktualizována, a stanoví, že členské státy o svých strategiích a veškerých aktualizacích těchto strategií informuje Komisi. Článek 4 stanoví, že příslušné orgány za účelem určení kritických subjektů vypracují seznam základních služeb a pravidelně provádějí posouzení všech příslušných rizik, která mohou mít vliv na poskytování těchto základních služeb. Toto posouzení zohlední posouzení rizik provedená v souladu s jinými příslušnými právními akty Unie, rizika vyplývající ze závislostí mezi konkrétními odvětvími a dostupné informace o incidentech. Členské státy zajistí, aby byly kritickým subjektům zpřístupněny příslušné prvky posouzení rizik a aby byly Komisi pravidelně poskytovány údaje o typech zjištěných rizik a výsledcích jejich posouzení rizik.

Provádění navrhované směrnice bude přezkoumáno do čtyř a půl let od jejího vstupu v platnost, poté Komise předloží zprávu Evropskému parlamentu a Radě. Tato zpráva zhodnotí rozsah, v jakém členské státy přijaly opatření nezbytná k dosažení souladu s touto směrnicí. Zprávu hodnotící dopad a přidanou hodnotu směrnice předloží Komise Evropskému parlamentu a Radě do šesti let po vstupu této směrnice v platnost.

Článek 20 stanoví, že Komisi je nápomocen výbor ve smyslu nařízení (EU) č. 182/2011. Toto je standardní článek. Článek 21 svěřuje Komisi pravomoc přijímat akty v přenesené pravomoci za podmínek stanovených v tomto článku. I to je standardní článek. Článek 22 stanoví, že Komise předloží Evropskému parlamentu a Radě zprávu, v níž posoudí, do jaké míry členské státy přijaly opatření nezbytná pro dosažení souladu s touto směrnicí. Zpráva, která posuzuje dopad a přidanou hodnotu směrnice a to, zda by měla být oblast působnosti směrnice rozšířena na další odvětví nebo pododvětví, včetně odvětví výroby, zpracování a distribuce potravin, musí být pravidelně předkládána Evropskému parlamentu a Radě.

Článek 18 stanoví, že při zajišťování provádění a vymáhání směrnice mají členské státy určité pravomoci, prostředky a povinnosti. Členské státy zajistí, že poté, co příslušný orgán posoudí, zda kritický subjekt dodržuje předpisy, informuje o tom příslušné orgány dotčeného členského státu určené podle směrnice o bezpečnosti sítí a informací 2 a může tyto orgány požádat o posouzení kybernetické bezpečnosti tohoto subjektu. Orgány by za tímto účelem měly spolupracovat a vyměňovat si informace. Článek 19 stanoví, že v souladu s dlouhodobou praxí členské státy zavedou pravidla pro ukládání sankcí za porušení předpisů a přijmou veškerá opatření nezbytná k zajištění jejich provádění.

Článek 14 vymezuje kritické subjekty zvláštního evropského významu jako subjekty, které byly určeny jako kritické subjekty a které poskytují základní služby do více než jedné třetiny členských států nebo ve více než jedné třetině členských států. Po obdržení oznámení podle článku 5 odst. 6 informuje Komise dotyčný subjekt, že je považován za kritický subjekt zvláštního evropského významu, o povinnostech, které z této skutečnosti plynou, a o datu, od kterého tyto povinnosti začnou platit. Článek 15 popisuje ujednání o zvláštním dozoru vztahující se na kritické subjekty zvláštního evropského významu, mezi něž patří, že hostitelské členské státy na žádost poskytnou Komisi a skupině pro posílení odolnosti kritických subjektů informace týkající se posouzení rizik podle článku 10 a opatření přijatých v souladu s článkem 11, jakož i o veškerých opatřeních v oblasti dohledu nebo vymáhání. Článek 15 rovněž stanoví, že Komise může uspořádat poradní mise k posouzení opatření zavedených konkrétními kritickými subjekty zvláštního evropského významu. Na základě analýzy zjištění poradní mise skupinou pro posílení odolnosti kritických subjektů sdělí Komise své názory členskému státu, ve kterém se nachází infrastruktura subjektu, ohledně toho, zda tento subjekt plní své povinnosti, a případně jaká by mohla být přijata opatření k posílení odolnosti subjektu. Článek popisuje složení, organizaci a financování poradních misí. Rovněž stanoví, že Komise přijme prováděcí akt, kterým se stanoví pravidla týkající se procesních opatření pro provádění a zprávy poradních misí.

v souladu s řádným legislativním postupem,

vzhledem k těmto důvodům:

(1)Směrnice Rady 2008/114/ES stanoví postup pro určování evropských kritických infrastruktur v odvětví energetiky a dopravy, jejichž narušení nebo zničení by mělo závažný přeshraniční dopad na nejméně dva členské státy. Uvedená směrnice se zaměřila výlučně na ochranu těchto infrastruktur. Z hodnocení směrnice 2008/114/ES provedeného v roce 2019 však vyplynulo, že vzhledem ke stále více propojené a přeshraniční povaze činností využívajících kritickou infrastrukturu nejsou ochranná opatření týkající se jednotlivého majetku sama o sobě dostatečná k tomu, aby zabránila vzniku veškerých narušení. Proto je nutné změnit přístup směrem k zajištění odolnosti kritických subjektů, tj. k zajištění jejich schopnosti zmírnit a absorbovat incidenty, které mohou narušit provoz kritických subjektů, těmto incidentům se přizpůsobit a zotavit se z nich.

(2)Navzdory stávajícím opatřením na úrovni Unie a na vnitrostátní úrovni zaměřeným na podporu ochrany kritických infrastruktur v Unii nejsou subjekty provozující tyto infrastruktury dostatečně vybavené k řešení stávajících a předpokládaných budoucích rizik pro jejich provoz, které mohou vést k narušení poskytování služeb, které jsou zásadní pro výkon nejdůležitějších společenských funkcí nebo hospodářských činností. Je to způsobeno dynamickým vývojem v oblasti hrozeb s vyvíjející se teroristickou hrozbou a narůstající vzájemnou závislostí mezi infrastrukturami a odvětvími, jakož i zvýšeným fyzickým rizikem, pokud jde o přírodní katastrofy a změny klimatu, což zvyšuje frekvenci a rozsah extrémních povětrnostních jevů a přináší dlouhodobé změny průměrného klimatu, které mohou snížit kapacitu a účinnost určitých typů infrastruktury, pokud nebudou zavedena opatření pro posílení odolnosti nebo přizpůsobení se změně klimatu. Příslušná odvětví a typy subjektů nejsou navíc shodně uznávány jako kritické ve všech členských státech.

(3)Tato narůstající vzájemná závislost je výsledkem stále častější přeshraniční a vzájemně závislé sítě poskytování služeb využívající klíčové infrastruktury v celé Unii v odvětvích energetiky, dopravy, bankovnictví, infrastruktury finančních trhů, digitální infrastruktury, pitné a odpadní vody, zdraví, určitých aspektů veřejné správy, jakož i v oblasti vesmírného programu, pokud jde o poskytování určitých služeb závislých na pozemních infrastrukturách, které jsou vlastněny, spravovány a provozovány buď členskými státy, nebo soukromými subjekty, a tudíž se nevztahují na infrastruktury vlastněné, spravované nebo provozované Unií nebo jejím jménem v rámci jejích vesmírných programů. Tyto vzájemné závislosti znamenají, že jakékoli narušení, dokonce i když se původně omezilo na jeden subjekt nebo jedno odvětví, může mít v širším měřítku kaskádové účinky, což může mít za následek dalekosáhlé a dlouhodobé nepříznivé dopady na poskytování služeb na vnitřním trhu. Pandemie COVID-19 ukázala zranitelnost našich stále více vzájemně závislých společností vůči rizikům s nízkou pravděpodobností.

(4)Na subjekty zapojené do poskytování základních služeb se stále více vztahují odlišné požadavky stanovené právními předpisy členských států. Skutečnost, že některé členské státy mají na tyto subjekty méně přísné bezpečnostní požadavky, nejen že může mít nepříznivý dopad na zachování nejdůležitějších společenských funkcí nebo hospodářských činností v celé Unii, ale také vede k překážkám řádného fungování vnitřního trhu. Podobné typy subjektů jsou v některých členských státech považovány za kritické, v jiných nikoli, a na ty, které jsou označeny jako kritické, se v různých členských státech vztahují odlišné požadavky. To má za následek další a zbytečnou administrativní zátěž pro společnosti působící přeshraničně, zejména pro společnosti působící v členských státech s přísnějšími požadavky.

(5)Je proto nezbytné stanovit minimální harmonizovaná pravidla, která zajistí poskytování základních služeb na vnitřním trhu a posílí odolnost kritických subjektů.

(6)K dosažení tohoto cíle by členské státy měly určit kritické subjekty, které by měly podléhat zvláštním požadavkům a dozoru, ale také získat zvláštní podporu a vedení zaměřené na dosažení vysoké úrovně odolnosti vůči všem příslušným rizikům.

(7)Některá odvětví hospodářství, jako je energetika a doprava, již jsou nebo v budoucnu mohou být regulována odvětvovými právními akty Unie, které obsahují pravidla týkající se určitých aspektů odolnosti subjektů působících v těchto odvětvích. Aby bylo možné komplexně řešit odolnost subjektů, které jsou zásadní pro řádné fungování vnitřního trhu, měla by být tato odvětvová opatření doplněna opatřeními stanovenými v této směrnici, jež tvoří zastřešující rámec, který řeší posílení odolnosti kritických subjektů vůči všem nebezpečím, a to jak přírodním, tak způsobeným člověkem, náhodným i úmyslným.

(8)Vzhledem k důležitosti kybernetické bezpečnosti pro odolnost kritických subjektů a v zájmu konzistentnosti je ucelený přístup mezi touto směrnicí a směrnicí Evropského parlamentu a Rady (EU) XX/YY [navrhovaná směrnice o opatřeních týkajících se vysoké společné úrovně kybernetické bezpečnosti v celé Unii; (dále jen „směrnice o bezpečnosti sítí a informací 2“)] nezbytný, kdekoli je to možné. Vzhledem k vyšší frekvenci a zvláštním rysům kybernetických rizik stanoví směrnice o bezpečnosti sítí a informací 2 komplexní požadavky na velkou skupinu subjektů za účelem zajištění jejich kybernetické bezpečnosti. Vzhledem k tomu, že kybernetická bezpečnost je dostatečně řešena ve směrnici o bezpečnosti sítí a informací 2, měly by být záležitosti, na které se vztahuje, vyloučeny z oblasti působnosti této směrnice, aniž by byl dotčen zvláštní režim pro subjekty v odvětví digitální infrastruktury.

(9)Pokud ustanovení jiných právních aktů Unie vyžadují, aby kritické subjekty vyhodnotily příslušná rizika, přijaly opatření k zajištění své odolnosti nebo ohlásily incidenty, a tyto požadavky jsou přinejmenším rovnocenné odpovídajícím povinnostem stanoveným v této směrnici, neměla by se příslušná ustanovení této směrnice uplatnit, aby se zabránilo duplicitě a zbytečné zátěži. V takovém případě by se měla použít příslušná ustanovení těchto jiných právních aktů. Pokud se nepoužijí příslušná ustanovení této směrnice, neměla by se použít ani její ustanovení o dohledu a vymáhání. Členské státy by nicméně měly do své strategie pro posílení odolnosti kritických subjektů, posouzení rizik a podpůrných opatření podle kapitoly II zahrnout všechna odvětví uvedená v příloze a být schopna určit kritické subjekty v odvětvích, kde byly příslušné podmínky splněny, s přihlédnutím ke konkrétnímu režimu pro subjekty v bankovnictví, infrastruktuře finančních trhů a digitální infrastruktuře.

(10)S cílem zajistit komplexní přístup k posílení odolnosti kritických subjektů by každý členský stát měl mít strategii stanovující cíle a politická opatření, která mají být provedena. Za tímto účelem by členské státy měly zajistit, aby jejich strategie v oblasti kybernetické bezpečnosti poskytovaly politický rámec pro lepší koordinaci mezi příslušným orgánem podle této směrnice a směrnice o bezpečnosti sítí a informací 2 v souvislosti se sdílením informací o incidentech a kybernetických hrozbách a při výkonu úkolů dohledu.

(11)Opatření členských států zaměřená na určení a pomoc při zajišťování odolnosti kritických subjektů by se měla řídit přístupem založeným na analýze rizik, který je zaměřen na úsilí subjektů, která jsou pro výkon nejdůležitějších společenských funkcí nebo hospodářských činností nejpodstatnější. V zájmu zajištění takového cíleného přístupu by měl každý členský stát v harmonizovaném rámci provést posouzení všech příslušných přírodních rizik a rizik způsobených člověkem, která mohou poskytování základních služeb ovlivnit, včetně havárií, přírodních katastrof, mimořádných událostí v oblasti veřejného zdraví, jako je pandemie, a nepřátelských hrozeb, včetně teroristických trestných činů. Při provádění těchto posouzení rizik by členské státy měly vzít v úvahu další obecné nebo odvětvové posouzení rizik provedené podle jiných právních aktů Unie a měly by zohlednit závislosti mezi odvětvími, mimo jiné i z jiných členských států a třetích zemí. Výsledky posouzení rizik by měly být použity v rámci postupu určování kritických subjektů a jako pomoc těmto subjektům při plnění požadavků této směrnice na posílení odolnosti.

(12)Aby bylo zajištěno, že se tyto požadavky vztahují na všechny příslušné subjekty, a aby se v tomto ohledu omezily rozdíly, je důležité stanovit harmonizovaná pravidla umožňující jednotné určování kritických subjektů v celé Unii a zároveň umožnit členským státům zohlednit vnitrostátní specifika. Měla by být proto stanovena kritéria pro určení kritických subjektů. V zájmu účinnosti, účelnosti, jednotnosti a právní jistoty by měla být stanovena příslušná pravidla pro hlášení incidentů a spolupráci týkající se určování a právních důsledků takového určování. Aby mohla Komise posoudit správné uplatňování této směrnice, měly by jí členské státy poskytnout co nejpodrobnějším a nejkonkrétnějším způsobem příslušné informace a v každém případě seznam základních služeb, počet kritických subjektů určených pro každé odvětví a pododvětví uvedené v příloze a základní službu nebo služby, které každý subjekt poskytuje, a uplatněné mezní hodnoty.

(13)Měla by být rovněž stanovena kritéria pro určení závažnosti narušení vyvolaného takovými incidenty. Tato kritéria by měla vycházet z kritérií stanovených ve směrnici Evropského parlamentu a Rady (EU) 2016/1148, aby bylo možné využít úsilí vynaloženého členskými státy na určení těchto subjektů a zkušeností získaných v tomto ohledu.

(14)Subjekty spadající do odvětví digitální infrastruktury jsou v zásadě založeny na síťových a informačních systémech a spadají do oblasti působnosti směrnice o bezpečnosti sítí a informací 2, která v rámci jejich povinností týkající se řízení rizik v oblasti kybernetické bezpečnosti a povinností hlásit incidenty řeší fyzickou bezpečnost těchto systémů. Jelikož se na tyto záležitosti vztahuje směrnice o bezpečnosti sítí a informací 2, povinnosti uvedené v této směrnici se na tyto subjekty nevztahují. Vzhledem k významu služeb poskytovaných subjekty v odvětví digitální infrastruktury pro poskytování dalších základních služeb by však členské státy měly na základě kritérií a obdobně s použitím postupu stanoveného v této směrnici určit subjekty v odvětví digitální infrastruktury, které by měly být považovány za rovnocenné kritickým subjektům pouze pro účely kapitoly II, včetně ustanovení o podpoře členských států při posilování odolnosti těchto subjektů. Na tyto subjekty by se zároveň neměly vztahovat povinnosti stanovené v kapitolách III až VI. Jelikož povinnosti kritických subjektů poskytovat příslušným orgánům určité informace stanovené v kapitole II souvisí s použitím kapitol III a IV, neměly by se na tyto subjekty vztahovat ani tyto povinnosti.

(15)Acquis EU v oblasti finančních služeb stanoví komplexní požadavky na finanční subjekty, a to za účelem řešení všech rizik, jimž čelí, včetně provozních rizik a zajištění kontinuity činnosti. To zahrnuje nařízení Evropského parlamentu a Rady (EU) č. 648/2012, směrnici Evropského parlamentu a Rady 2014/65/EU a nařízení Evropského parlamentu a Rady (EU) č. 600/2014, jakož i nařízení Evropského parlamentu a Rady (EU) č. 575/2013 a směrnici Evropského parlamentu a Rady 2013/36/EU. Komise nedávno navrhla doplnit tento rámec nařízením Evropského parlamentu a Rady XX/RRRR [navrhované nařízení o digitální provozní odolnosti pro finanční odvětví (dále jen „nařízení DORA“)], které stanoví požadavky na finanční společnosti za účelem řízení rizik IKT, včetně ochrany fyzických infrastruktur IKT. Vzhledem k tomu, že odolnost subjektů uvedených v bodech 3 a 4 přílohy je komplexně pokryta acquis EU v oblasti finančních služeb, mělo by se s těmito subjekty zacházet jako s rovnocennými kritickým subjektům pouze pro účely kapitoly II této směrnice. Aby bylo zajištěno důsledné uplatňování pravidel týkajících se provozního rizika a digitální odolnosti ve finančním odvětví, měly by orgány určené podle článku 41 [nařízení DORA] a s výhradou postupů stanovených v těchto právních předpisech plně harmonizovaným způsobem zajistit podporu členských států při posilování celkové odolnosti finančních subjektů rovnocenných kritickým subjektům.

(16)Členské státy by měly určit orgány příslušné k dohledu nad uplatňováním této směrnice a v případě nutnosti k prosazování jejích pravidel a zajistit, aby tyto orgány měly odpovídající zmocnění a zdroje. S ohledem na rozdíly ve vnitrostátních řídících strukturách a v zájmu ochrany již existujících odvětvových ujednání nebo kontrolních a regulačních orgánů Unie a za účelem zamezení duplicitě by členské státy měly mít možnost určit více než jeden příslušný orgán. V takovém případě by však měly jasně vymezit příslušné úkoly dotčených orgánů a zajistit jejich hladkou a účinnou spolupráci. Všechny příslušné orgány by rovněž měly obecněji spolupracovat s dalšími příslušnými orgány, a to jak na vnitrostátní úrovni, tak na úrovni Unie.

(17)Aby se usnadnila přeshraniční spolupráce a komunikace a umožnilo se účinné provádění této směrnice, měl by každý členský stát, aniž by byly dotčeny právní požadavky Unie v rámci odvětví, určit v rámci jednoho z orgánů, které určil jako příslušný orgán podle této směrnice, jednotné kontaktní místo odpovědné za koordinaci záležitostí souvisejících s odolností kritických subjektů a přeshraniční spoluprací v tomto ohledu na úrovni Unie.

(18)Vzhledem k tomu, že podle směrnice o bezpečnosti sítí a informací 2 podléhají subjekty určené jako kritické subjekty, jakož i určené subjekty v odvětví digitální infrastruktury, které mají být podle této směrnice považovány za rovnocenné, požadavkům na kybernetickou bezpečnost podle směrnice o bezpečnosti sítí a informací 2, měly by příslušné orgány určené podle těchto dvou směrnic spolupracovat, a to zejména ve vztahu k rizikům kybernetické bezpečnosti a incidentům majícím na tyto subjekty dopad.