EUROPA-KOMMISSIONEN Bruxelles, den 16.12.2020 COM(2020) 829 final 2020/0365(COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV om kritiske enheders modstandsdygtighed {SEC(2020) 433 final} - {SWD(2020) 358 final} - {SWD(2020) 359 final}



BEGRUNDELSE 1.BAGGRUND FOR FORSLAGET ·Forslagets begrundelse og formål For at yde europæerne effektiv beskyttelse er Den Europæiske Union nødt til fortsat at mindske sårbarhederne, herunder for de kritiske infrastrukturer, der er afgørende for, at vores samfund og økonomi kan fungere. De europæiske borgeres levebrød og et velfungerende indre marked afhænger af forskellige infrastrukturer til pålidelig levering af de tjenester, der er nødvendige for at opretholde kritiske samfundsmæssige og økonomiske aktiviteter. Disse tjenester, som er af afgørende betydning under normale omstændigheder, er så meget desto vigtigere nu, hvor Europa håndterer virkningerne af og ser frem til at komme sig efter covid-19-pandemien. Det følger heraf, at enheder, der leverer væsentlige tjenester, skal være modstandsdygtige, dvs. være i stand til at modstå, absorbere, tilpasse sig og komme sig over hændelser, der kan føre til alvorlige, potentielt tværsektorielle og grænseoverskridende forstyrrelser. Dette forslag har til formål at forbedre leveringen på det indre marked for tjenesteydelser, der er afgørende for opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter, ved at øge modstandsdygtigheden hos kritiske enheder, der leverer sådanne tjenester. Det afspejler de seneste opfordringer til handling fra Rådet og Europa-Parlamentet, som begge har opfordret Kommissionen til at revidere den nuværende tilgang for bedre at afspejle de øgede udfordringer for kritiske enheder og sikre en tættere tilpasning til direktivet om net- og informationssystemer (NIS). Dette forslag er konsekvent i forhold til og skaber tæt synergi med direktivet om foranstaltninger, der skal sikre et højt fælles cybersikkerhedsniveau i hele Unionen ("NIS 2-direktivet"), som skal erstatte NIS-direktivet med henblik på at håndtere den øgede indbyrdes forbundethed mellem den fysiske og den digitale verden gennem en lovgivningsmæssig ramme med robuste foranstaltninger til sikring af modstandsdygtighed, både for cyberrelaterede og fysiske aspekter som fastsat i strategien for sikkerhedsunionen. Forslaget afspejler desuden nationale tilgange i et stigende antal medlemsstater, som har tendens til at lægge vægt på tværsektoriel og grænseoverskridende indbyrdes afhængighed og er mere og mere inspireret af en tankegang om modstandsdygtighed, hvor beskyttelse kun er ét element sammen med risikoforebyggelse og -begrænsning, forretningskontinuitet og genopretning. Eftersom kritiske infrastrukturer også risikerer at blive potentielle terrormål, bidrager de foranstaltninger, der har til formål at sikre modstandsdygtigheden hos kritiske enheder i dette forslag, til målene i den nyligt vedtagne EU-dagsorden om terrorbekæmpelse. Den Europæiske Union (EU) har længe anerkendt den paneuropæiske betydning af kritisk infrastruktur. EU oprettede f.eks. det europæiske program for beskyttelse af kritisk infrastruktur (EPCIP) i 2006 og vedtog direktivet om europæisk kritisk infrastruktur i 2008. I direktivet om europæisk kritisk infrastruktur, som kun finder anvendelse på energi- og transportsektoren, fastsættes en procedure for identifikation og udpegelse af europæisk kritisk infrastruktur, hvis forstyrrelse eller ødelæggelse ville have betydelige grænseoverskridende virkninger i mindst to medlemsstater. Der fastsættes også specifikke beskyttelseskrav til operatører af europæisk kritisk infrastruktur og kompetente myndigheder i medlemsstaterne. Indtil videre er der udpeget 94 europæiske kritiske infrastrukturer, hvoraf to tredjedele er beliggende i tre medlemsstater i Central- og Østeuropa. Anvendelsesområdet for EU's indsats vedrørende kritisk infrastrukturs modstandsdygtighed rækker imidlertid ud over disse foranstaltninger og omfatter sektorspecifikke og tværsektorielle foranstaltninger vedrørende bl.a. klimasikring, civilbeskyttelse, udenlandske direkte investeringer og cybersikkerhed. I mellemtiden har medlemsstaterne selv truffet foranstaltninger på dette område på forskellig vis. Det er derfor klart, at den nuværende ramme for beskyttelse af kritisk infrastruktur ikke er tilstrækkelig til at tackle de aktuelle udfordringer for kritisk infrastruktur og de enheder, der driver den. I betragtning af den stigende sammenkobling mellem infrastrukturer, net og operatører, der leverer væsentlige tjenester i hele det indre marked, er det nødvendigt grundlæggende at ændre den nuværende tilgang fra at beskytte specifikke aktiver til at styrke modstandsdygtigheden hos de kritiske enheder, der driver dem. Det operationelle miljø, som kritiske enheder opererer i, har ændret sig betydeligt i de seneste år. For det første er risikolandskabet mere komplekst end i 2008, og det omfatter i dag naturkatastrofer (i mange tilfælde forværret af klimaændringer), statsstøttede hybride aktioner, terror, insidertrusler, pandemier og ulykker (f.eks. industriulykker). For det andet står operatørerne over for udfordringer med hensyn til at integrere nye teknologier såsom 5G og førerløse køretøjer i deres drift, samtidig med at de tager fat på de sårbarheder, som sådanne teknologier potentielt kan medføre. For det tredje gør disse teknologier og andre tendenser i stigende grad operatørerne afhængige af hinanden. Konsekvenserne af dette er tydelige — en forstyrrelse, der påvirker en operatørs levering af tjenester i én sektor, har potentiale til at skabe kaskadevirkninger for leveringen af tjenesteydelser i andre sektorer og potentielt også i andre medlemsstater eller i hele Unionen. Som det fremgår af evalueringen af direktivet om europæisk kritisk infrastruktur i 2019, har de eksisterende europæiske og nationale foranstaltninger deres begrænsninger med hensyn til at hjælpe operatørerne med at tackle de operationelle udfordringer, de står over for i dag, og de sårbarheder, som deres indbyrdes afhængige karakter medfører. Der er flere grunde hertil, som anført i konsekvensanalysen, der støttede udarbejdelsen af forslaget. For det første er operatørerne ikke fuldt ud klar over eller forstår ikke fuldt ud konsekvenserne af det dynamiske risikolandskab, de opererer inden for. For det andet varierer indsatsen for modstandsdygtighed betydeligt mellem medlemsstater og sektorer. For det tredje anerkendes typer af enheder, der ligner hinanden, som kritiske af nogle medlemsstater, men ikke af andre, hvilket betyder, at sammenlignelige enheder modtager forskellige niveauer af offentlig kapacitetsopbygningsstøtte (f.eks. i form af vejledning, uddannelse og tilrettelæggelse af øvelser), afhængigt af hvor i Unionen de opererer, og de er underlagt forskellige krav. Det forhold, at kravene og den offentlige støtte til operatører varierer fra medlemsstat til medlemsstat, skaber hindringer for operatørerne, når de handler på tværs af grænserne, navnlig for de kritiske enheder, der opererer i medlemsstater med strengere rammer. I betragtning af at levering af tjenesteydelser og sektorer i medlemsstaterne og i hele EU bliver stadig mere indbyrdes forbundet, udgør en utilstrækkelig grad af modstandsdygtighed hos én operatør en alvorlig risiko for enheder andre steder i det indre marked. Ud over at bringe det indre markeds funktion i fare kan forstyrrelser, navnlig afbrydelser med grænseoverskridende og potentielt paneuropæiske konsekvenser, muligvis have alvorlige negative konsekvenser for borgere, virksomheder, regeringer og miljøet. På det individuelle plan kan afbrydelser påvirke europæernes mulighed for at rejse frit, arbejde og udnytte vigtige offentlige tjenester såsom sundhedspleje. I mange tilfælde leveres disse og andre centrale tjenester, der understøtter dagligdagen, af tæt sammenkoblede net af europæiske virksomheder, og en forstyrrelse af én virksomhed i én sektor kan få kaskadevirkninger på tværs af mange andre økonomiske sektorer. Endelig kan afbrydelser som f.eks. storstilede strømafbrydelser og alvorlige trafikulykker bidrage til at undergrave sikkerheden og den offentlige sikkerhed, skabe usikkerhed og undergrave tilliden til kritiske enheder samt til de myndigheder, der er ansvarlige for tilsynet med dem og for at gøre befolkningen sikker og tryg. ·Sammenhæng med de gældende regler på samme område Dette forslag afspejler prioriteterne i Kommissionens strategi for EU's sikkerhedsunion, hvor man opfordrer til en revideret tilgang til kritisk infrastrukturs modstandsdygtighed, som i højere grad afspejler det nuværende og forventede fremtidige risikolandskab, den stadig tættere indbyrdes afhængighed mellem forskellige sektorer og også de stadig mere indbyrdes afhængige relationer mellem fysiske og digitale infrastrukturer. Det foreslåede direktiv erstatter direktivet om europæisk kritisk infrastruktur samt redegør for og bygger på andre eksisterende og planlagte instrumenter. Forslaget til direktiv udgør en betydelig ændring i forhold til direktivet om europæisk kritisk infrastruktur, som kun gælder for energi- og transportsektoren, udelukkende fokuserer på beskyttelsesforanstaltninger og fastsætter en procedure for identifikation og udpegelse af europæisk kritisk infrastruktur gennem grænseoverskridende dialog. For det første vil det foreslåede direktiv have et langt bredere anvendelsesområde, der dækker ti sektorer, nemlig energi, transport, bankvæsen, finansmarkedsinfrastruktur, sundhed, drikkevand, spildevand, digital infrastruktur, offentlig forvaltning og rummet. For det andet fastsættes i direktivet en procedure, hvorefter medlemsstaterne kan identificere kritiske enheder ved hjælp af fælles kriterier på grundlag af en national risikovurdering. For det tredje fastsættes med forslaget forpligtelser for medlemsstaterne og de kritiske enheder, som de udpeger, herunder enheder med særlig europæisk betydning, dvs. kritiske enheder, der leverer væsentlige tjenester til eller i mere end en tredjedel af medlemsstaterne, og som vil være underlagt specifikt tilsyn. Hvor det er relevant, vil Kommissionen yde de kompetente myndigheder og kritiske enheder bistand med at opfylde deres forpligtelser i henhold til direktivet. Desuden vil gruppen for kritiske enheders modstandsdygtighed, som er en ekspertgruppe i Kommissionen, der er underlagt de horisontale rammer, som gælder for sådanne grupper, rådgive Kommissionen og fremme strategisk samarbejde og udveksling af oplysninger. Endelig er det også nødvendigt at samarbejde med partnerlande, da den indbyrdes afhængighed ikke stopper ved EU's ydre grænser. Det foreslåede direktiv giver mulighed for et sådant samarbejde, f.eks. i forbindelse med risikovurderinger. Sammenhæng med Unionens politik på andre områder

Det foreslåede direktiv har tydelige forbindelser og er i overensstemmelse med andre sektorspecifikke og tværsektorielle EU-initiativer om bl.a. klimasikring, civilbeskyttelse, udenlandske direkte investeringer, cybersikkerhed og gældende EU-ret om finansielle tjenesteydelser. Navnlig er forslaget nøje afstemt med og skaber tæt synergi med det foreslåede NIS 2-direktiv, der har til formål at øge informations- og kommunikationsteknologiens (IKT) modstandsdygtighed over for alle farer for så vidt angår "væsentlige enheder" og "vigtige enheder", der opfylder specifikke tærskler i en lang række sektorer. Dette forslag til direktiv om kritiske enheders modstandsdygtighed har til formål at sikre, at kompetente myndigheder, der er udpeget i henhold til dette direktiv, og de myndigheder, der er udpeget i henhold til det foreslåede NIS 2-direktiv, træffer supplerende foranstaltninger og udveksler oplysninger efter behov vedrørende cyberrelateret og ikkecyberrelateret modstandsdygtighed, og at særligt kritiske enheder i de sektorer, der anses for at være "væsentlige" i henhold til det foreslåede NIS 2-direktiv, også er underlagt mere generelle forpligtelser til at håndtere risici, som ikke er cyberrelaterede. Den fysiske sikkerhed i net- og informationssystemer for enheder i den digitale infrastruktursektor behandles indgående i forslaget til NIS 2-direktiv som en del af disse enheders forpligtelser med hensyn til risikostyring og rapportering vedrørende cybersikkerhed. Desuden bygger forslaget på gældende EU-ret om finansielle tjenesteydelser, som fastsætter omfattende krav til finansielle enheder med hensyn til styring af operationelle risici og sikring af forretningskontinuitet. Enheder, der vedrører sektorerne for digital infrastruktur, bankvirksomhed og finansiel infrastruktur, bør derfor behandles som enheder svarende til kritiske enheder i henhold til dette direktiv med hensyn til medlemsstaternes forpligtelser og aktiviteter, mens dette direktiv ikke vil medføre yderligere forpligtelser for disse enheder. Forslaget tager også højde for andre sektorspecifikke og tværsektorielle initiativer vedrørende f.eks. civilbeskyttelse, katastroferisikobegrænsning og tilpasning til klimaændringer. Desuden anerkendes det i forslaget, at eksisterende EU-lovgivning i visse tilfælde pålægger enheder forpligtelser til at imødegå visse risici ved hjælp af beskyttelsesforanstaltninger. I sådanne tilfælde, f.eks. vedrørende luftfartssikkerhed eller sikkerhed til søs, bør de kritiske enheder beskrive disse foranstaltninger i deres planer for modstandsdygtighed. Det foreslåede direktiv gælder desuden med forbehold af anvendelsen af konkurrencereglerne som fastsat i traktaten om Den Europæiske Unions funktionsmåde (TEUF). 2.RETSGRUNDLAG, NÆRHEDSPRINCIPPET OG PROPORTIONALITETSPRINCIPPET ·Retsgrundlag I modsætning til direktiv 2008/114/EF, der var baseret på artikel 308 i traktaten om oprettelse af Det Europæiske Fællesskab (svarende til den nuværende artikel 352 i traktaten om Den Europæiske Unions funktionsmåde), er dette forslag til direktiv baseret på artikel 114 i TEUF, som indebærer en tilnærmelse af lovgivningerne med henblik på forbedring af det indre marked. Dette er begrundet i ændringen af direktivets formål, anvendelsesområde og indhold, den øgede indbyrdes afhængighed og behovet for at skabe mere lige vilkår for kritiske enheder. I stedet for at beskytte et begrænset antal fysiske infrastrukturer, hvis forstyrrelse eller ødelæggelse ville have betydelige virkninger på tværs af grænserne, er målet at øge modstandsdygtigheden hos enheder i medlemsstaterne, som er afgørende for leveringen af tjenester, der har afgørende betydning for opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter i det indre marked inden for en række sektorer, der understøtter funktionen af mange andre sektorer i Unionens økonomi. På grund af den øgede indbyrdes afhængighed på tværs af grænserne mellem de tjenester, der leveres ved hjælp af kritisk infrastruktur i disse sektorer, kan en afbrydelse i én medlemsstat få konsekvenser for andre medlemsstater eller Unionen som helhed. Den nuværende retlige ramme, der er fastlagt på medlemsstatsniveau, og som regulerer de pågældende tjenester, medfører betydelige forskelle i forpligtelserne, som sandsynligvis vil blive større. De forskelligartede nationale regler, som kritiske enheder er underlagt, kompromitterer ikke blot en pålidelig levering af tjenesteydelser i hele det indre marked, men risikerer også at påvirke konkurrencen negativt. Dette skyldes hovedsagelig, at typer af enheder, der minder om hinanden, og som leverer typer af tjenesteydelser, der minder om hinanden, betragtes som kritiske i nogle medlemsstater, men ikke i andre. Det betyder, at enheder, der er eller ønsker at være aktive i mere end én medlemsstat, er underlagt forskellige forpligtelser, når de handler på tværs af det indre marked, og at enheder, der er aktive i medlemsstater med strengere krav, kan støde på hindringer i forhold til enheder i medlemsstater med mere lempelige rammer. Disse forskelle er af en sådan beskaffenhed, at de har en direkte negativ indvirkning på det indre markeds funktion. ·Nærhedsprincippet En fælles lovgivningsmæssig ramme på europæisk plan på dette område er berettiget i betragtning af den indbyrdes afhængighed og grænseoverskridende karakter af forbindelserne mellem kritiske infrastrukturoperationer og deres output, dvs. væsentlige tjenester. En operatør, der er etableret i én medlemsstat, kan faktisk levere tjenester i flere andre medlemsstater eller i hele EU gennem tæt forbundne net. Det følger heraf, at en afbrydelse, der påvirker denne operatør, kan få vidtrækkende konsekvenser for andre sektorer og på tværs af nationale grænser. De potentielle paneuropæiske konsekvenser af afbrydelser kræver handling på EU-plan. Desuden har forskellige nationale regler en direkte negativ indvirkning på det indre markeds funktion. Som konsekvensanalysen har vist, mener mange medlemsstater og interessenter fra erhvervslivet, at der er behov for en mere fælles og koordineret europæisk tilgang med henblik på at sikre, at enheder er tilstrækkeligt modstandsdygtige over for forskellige risici, som, selv om de er noget forskellige fra den ene medlemsstat til den anden, skaber mange fælles udfordringer, der ikke kan løses gennem nationale foranstaltninger eller af individuelle operatører alene. ·Proportionalitetsprincippet Forslaget står i et rimeligt forhold til initiativets erklærede overordnede mål. Selv om medlemsstaternes og kritiske enheders forpligtelser i visse tilfælde kan medføre en yderligere administrativ byrde, f.eks. når medlemsstaterne har behov for at udvikle en national strategi, eller når kritiske enheder skal gennemføre visse tekniske og organisatoriske foranstaltninger, forventes disse generelt at være begrænsede. I den forbindelse skal det bemærkes, at mange enheder allerede har truffet visse sikkerhedsforanstaltninger for at beskytte deres infrastrukturer og sikre forretningskontinuitet. I nogle tilfælde kan det imidlertid kræve større investeringer at opnå overensstemmelse med direktivet. Selv i sådanne tilfælde er disse investeringer berettigede, for så vidt som de vil bidrage til øget modstandsdygtighed på operatørniveau og systemisk modstandsdygtighed samt en mere sammenhængende tilgang og øget evne til at levere pålidelige tjenester i hele Unionen. Desuden forventes enhver yderligere byrde som følge af direktivet langt at blive overgået af de omkostninger, der er forbundet med håndtering af og genopretning efter større afbrydelser, der bringer den uafbrudte levering af tjenester i forbindelse med vitale samfundsmæssige funktioner og operatørernes, de enkelte medlemsstaters, Unionens og dens borgeres økonomiske velfærd i fare. ·Valg af retsakt Forslaget har form af et direktiv, der har til formål at sikre en mere fælles tilgang til modstandsdygtigheden hos kritiske enheder i en række sektorer i hele Unionen. I forslaget fastsættes der specifikke forpligtelser for de kompetente myndigheder til at identificere kritiske enheder på grundlag af fælles kriterier og resultaterne af risikovurderingen. Ved hjælp af et direktiv er det muligt at sikre, at medlemsstaterne anvender en ensartet tilgang til identificering af kritiske enheder, samtidig med at der tages hensyn til særlige forhold på nationalt plan, herunder forskellige niveauer af risikoeksponering og indbyrdes afhængighed mellem sektorer og grænser. 3.RESULTATER AF EFTERFØLGENDE EVALUERINGER, HØRINGER AF INTERESSEREDE PARTER OG KONSEKVENSANALYSER ·Efterfølgende evalueringer/kvalitetskontrol af gældende lovgivning Direktivet om europæisk kritisk infrastruktur var i 2019 genstand for en evaluering med henblik på at vurdere gennemførelsen af direktivet med hensyn til dets relevans, sammenhæng, virkningsfuldhed, effektivitet, EU-merværdi og bæredygtighed. Evalueringen viste, at konteksten har ændret sig betydeligt, siden direktivet trådte i kraft. På baggrund af disse ændringer blev det konstateret, at direktivet kun havde delvis relevans. Evalueringen viste, at direktivet generelt var i overensstemmelse med relevant europæisk sektorlovgivning og -politik på internationalt plan, men det blev kun anset for at være delvis effektivt, idet nogle af dets bestemmelser havde generel karakter. Det blev konstateret, at direktivet havde skabt EU-merværdi, for så vidt som det skabte resultater (dvs. en fælles ramme for beskyttelse af europæisk kritisk infrastruktur), som hverken nationale eller andre europæiske initiativer ellers kunne have opnået uden at iværksætte meget længerevarende, dyrere og mindre veldefinerede processer. Når det er sagt, blev det konstateret, at visse bestemmelser har haft begrænset merværdi for mange medlemsstater. Med hensyn til bæredygtighed forventedes visse virkninger af direktivet (f.eks. grænseoverskridende drøftelser, rapporteringskrav) at ophøre, hvis direktivet blev ophævet og ikke erstattet. Evalueringen viste, at der fortsat er støtte fra medlemsstaternes side til, at EU engagerer sig i bestræbelserne på at styrke kritisk infrastrukturs modstandsdygtighed, og at der hersker en vis bekymring for, at en decideret ophævelse af direktivet kan have negative virkninger på dette område, navnlig på beskyttelsen af udpegede europæiske kritiske infrastrukturer. Medlemsstaterne var ivrige efter at sikre, at Unionens engagement på området fortsat overholder nærhedsprincippet, støtter foranstaltninger på nationalt plan og fremmer grænseoverskridende samarbejde, herunder med tredjelande. ·Høringer af interesserede parter I forbindelse med udarbejdelsen af dette forslag har Kommissionen hørt en lang række interesserede parter, herunder: Den Europæiske Unions institutioner og agenturer, internationale organisationer, medlemsstaternes myndigheder, private enheder, herunder individuelle operatører og nationale og europæiske branchesammenslutninger, der repræsenterer operatører i mange forskellige sektorer, eksperter og ekspertnetværk, herunder det europæiske netværk af referencecentre for beskyttelse af kritisk infrastruktur (ERNCIP), repræsentanter for den akademiske verden, ikkestatslige organisationer og medlemmer af offentligheden.

Interessenterne er blevet hørt på en række forskellige måder, herunder: en offentlig mulighed for at give feedback vedrørende den indledende konsekvensanalyse af dette forslag, rådgivende seminarer, målrettede spørgeskemaer, bilaterale drøftelser og en offentlig høring (til støtte for evalueringen af direktivet om europæisk kritisk infrastruktur i 2019). Desuden gennemførte den eksterne kontrahent, der var ansvarlig for feasibilityundersøgelsen, som understøttede udarbejdelsen af konsekvensanalysen, høringer af mange interessenter, f.eks. en onlineundersøgelse, et skriftligt spørgeskema, en-til-en-interviews og virtuelle "besøg i marken" i 10 medlemsstater. Disse høringer gjorde det muligt for Kommissionen at undersøge effektiviteten, virkningsfuldheden, relevansen, sammenhængen og EU-merværdien af den eksisterende ramme for kritisk infrastrukturs modstandsdygtighed (dvs. udgangssituationen), hvilke problemer den har skabt, forskellige politiske løsningsmodeller, der kan overvejes i forbindelse med håndteringen af disse problemer, og de specifikke virkninger, som disse muligheder kan forventes at få. Generelt pegede høringerne på en række områder, hvor der herskede generel enighed blandt interessenterne, ikke mindst om, at den eksisterende EU-ramme for kritisk infrastrukturs modstandsdygtighed bør moderniseres i lyset af den voksende indbyrdes afhængighed på tværs af sektorer og et skiftende trusselsbillede. Interessenterne var generelt enige om, at enhver ny tilgang bør bestå af en kombination af bindende og ikkebindende foranstaltninger, fokusere på modstandsdygtighed snarere end på beskyttelse, der er centreret omkring aktiverne, og skabe en tydeligere forbindelse mellem foranstaltninger, der har til formål at styrke cyberrelateret og ikkecyberrelateret modstandsdygtighed. Desuden støttede de en tilgang, der tager højde for bestemmelser i eksisterende sektorlovgivning, der som minimum dækker de sektorer, der er omfattet af det nuværende NIS-direktiv, og mere ensartede forpligtelser for kritiske enheder på nationalt plan, som igen bør kunne foretage tilstrækkelig sikkerhedskontrol af personale med adgang til følsomme faciliteter/oplysninger. Desuden foreslog interessenterne, at enhver ny tilgang bør skabe muligheder for, at medlemsstaterne kan føre øget tilsyn med kritiske enheders aktiviteter, men også sikre, at kritiske enheder af paneuropæisk betydning identificeres og er tilstrækkeligt modstandsdygtige. Endelig argumenterede de for mere EU-finansiering og støtte til f.eks. indførelse af nye instrumenter, kapacitetsopbygning på nationalt plan og offentlig-privat koordinering/samarbejde samt udveksling af god praksis, viden og ekspertise på forskellige niveauer. Det foreliggende forslag indeholder bestemmelser, der generelt afspejler de synspunkter og præferencer, som interessenterne har givet udtryk for. ·Indhentning og brug af ekspertbistand Som nævnt i det foregående afsnit har Kommissionen trukket på ekstern ekspertise i forbindelse med høringer af f.eks. uafhængige eksperter, ekspertnetværk og repræsentanter for den akademiske verden i forbindelse med udarbejdelsen af det foreliggende forslag. ·Konsekvensanalyse I den konsekvensanalyse, der understøttede udviklingen af dette initiativ, undersøgte man forskellige politiske løsningsmodeller for de generelle og specifikke problemer, der er beskrevet tidligere. Ud over udgangssituationen, som ikke ville medføre nogen ændringer i forhold til den nuværende situation, omfattede disse muligheder: –Løsningsmodel 1: Bibeholdelse af det eksisterende direktiv om europæisk kritisk infrastruktur ledsaget af frivillige foranstaltninger inden for rammerne af det eksisterende EPCIP-program –Løsningsmodel 2: Revision af det eksisterende direktiv om europæisk kritisk infrastruktur, så det dækker de samme sektorer som det eksisterende NIS-direktiv og fokuserer mere på modstandsdygtighed. Det nye direktiv om europæisk kritisk infrastruktur vil medføre ændringer i den eksisterende proces for udpegning af europæisk kritisk infrastruktur på tværs af grænserne, herunder nye udpegelseskriterier, og nye krav til medlemsstater og operatører –Løsningsmodel 3: Erstatning af det eksisterende direktiv om europæisk kritisk infrastruktur med et nyt instrument, der har til formål at øge modstandsdygtigheden hos kritiske enheder i de sektorer, der betragtes som væsentlige i det foreslåede NIS 2-direktiv. Under denne løsningsmodel vil man fastsætte minimumskrav for medlemsstater og kritiske enheder, der er identificeret i henhold til den nye ramme. Der vil blive indført en procedure for identifikation af kritiske enheder, der tilbyder tjenester til eller i flere EU-medlemsstater om ikke alle. Gennemførelsen af lovgivningen vil blive støttet af et særligt videncenter i Kommissionen. –Løsningsmodel 4: Erstatning af det eksisterende direktiv om europæisk kritisk infrastruktur med et nyt instrument, der har til formål at øge modstandsdygtigheden hos kritiske enheder i de sektorer, der betragtes som væsentlige i det foreslåede NIS 2-direktiv, samt en mere væsentlig rolle for Kommissionen med hensyn til at identificere kritiske enheder og oprettelse af et særligt EU-agentur med ansvar for kritisk infrastrukturs modstandsdygtighed (som vil påtage sig rollerne og ansvarsområderne for videncentret, der er foreslået i den foregående løsningsmodel). I lyset af de forskellige økonomiske, sociale og miljømæssige virkninger, der er forbundet med hver af løsningsmodellerne, men også deres værdi med hensyn til effektivitet, virkningsfuldhed og proportionalitet viste konsekvensanalysen, at den foretrukne løsningsmodel var løsningsmodel 3. Mens løsningsmodel 1 og 2 ikke vil medføre de ændringer, der er nødvendige for at løse problemet, vil løsningsmodel 3 resultere i en harmoniseret og mere omfattende ramme for modstandsdygtighed, som også vil være tilpasset og tage højde for eksisterende EU-lovgivning på beslægtede områder. Løsningsmodel 3 blev også anset for at være forholdsmæssig og synes at være politisk gennemførlig, da den er i overensstemmelse med Rådets og Parlamentets erklæringer om behovet for en EU-indsats på dette område. Man konstaterede desuden, at denne løsningsmodel sandsynligvis ville sikre fleksibilitet og tilbyde en fremtidssikret ramme, der ville gøre det muligt for kritiske enheder at reagere på forskellige risici over tid. Endelig viste konsekvensanalysen, at denne løsningsmodel vil supplere eksisterende sektorspecifikke og tværsektorielle rammer og instrumenter. I denne løsningsmodel tages der f.eks. højde for, at når udpegede enheder opfylder visse forpligtelser i dette nye instrument gennem forpligtelser i eksisterende, vil de ikke være forpligtet til at træffe yderligere foranstaltninger. På den anden side forventes de at træffe visse foranstaltninger, når de eksisterende instrumenter ikke dækker området eller er begrænset til kun at omfatte visse typer af risici eller foranstaltninger. Konsekvensanalysen blev gennemgået af Udvalget for Forskriftskontrol, som afgav en positiv udtalelse med forbehold den 20. november 2020. Udvalget pegede på en række elementer i konsekvensanalysen, som bør tages op. Specifikt anmodede Udvalget om yderligere præcisering af de risici, der er forbundet med kritisk infrastruktur og den grænseoverskridende dimension, forbindelsen mellem initiativet og den igangværende revision af NIS-direktivet og forholdet mellem den foretrukne løsningsmodel og anden sektorspecifik lovgivning. Endvidere fandt Udvalget, at der var behov for yderligere begrundelser for at udvide instrumentets sektormæssige anvendelsesområde, og anmodede om yderligere oplysninger om kriterierne for udvælgelse af kritiske enheder. Endelig ønskede Udvalget med hensyn til proportionalitet en yderligere afklaring af, hvordan den foretrukne løsningsmodel vil føre til bedre nationale reaktioner på grænseoverskridende risici. Disse og andre mere detaljerede bemærkninger fra Udvalget er blevet behandlet i den endelige udgave af konsekvensanalysen, som f.eks. indeholder en mere detaljeret beskrivelse af de grænseoverskridende risici for kritisk infrastruktur og forholdet mellem dette forslag og forslaget til NIS 2-direktivet. Der er også taget hensyn til Udvalgets bemærkninger i det følgende forslag til direktiv. ·Målrettet regulering og forenkling I overensstemmelse med Kommissionens program for målrettet og effektiv regulering (REFIT) bør alle initiativer, der har til formål at ændre den eksisterende EU-lovgivning, søge at forenkle og opfylde erklærede politiske mål mere effektivt. Resultaterne af konsekvensanalysen tyder på, at forslaget vil mindske den samlede byrde for medlemsstaterne. En nærmere tilpasning til den tjenesteorienterede tilgang i det nuværende NIS-direktiv vil sandsynligvis føre til lavere overholdelsesomkostninger over tid. F.eks. vil den besværlige grænseoverskridende identifikations- og udpegningsproces, der findes i det eksisterende direktiv om europæisk kritisk infrastruktur, blive erstattet af en risikobaseret procedure på nationalt plan, der udelukkende tager sigte på at identificere kritiske enheder, som er underlagt forskellige forpligtelser. På grundlag af risikovurderingen vil medlemsstaterne identificere kritiske enheder, hvoraf de fleste allerede er udpeget som operatører af væsentlige tjenester i henhold til det nuværende NIS-direktiv. Ved at træffe foranstaltninger til at øge deres modstandsdygtighed vil kritiske enheder desuden være mindre tilbøjelige til at opleve afbrydelser. Sandsynligheden for hændelser i form af afbrydelser, der påvirker leveringen af væsentlige tjenester negativt i de enkelte medlemsstater og i hele Europa, vil således blive mindsket. Dette vil sammen med de positive virkninger af harmonisering af divergerende nationale regler på EU-plan have en positiv indvirkning på virksomheder, herunder mikrovirksomheder samt små og mellemstore virksomheder, Unionens økonomis overordnede sundhed og et velfungerende indre marked. ·Grundlæggende rettigheder Formålet med den foreslåede lovgivning er at øge modstandsdygtigheden hos kritiske enheder, der leverer forskellige former for væsentlige tjenester, samtidig med at lovgivningsmæssige hindringer for deres evne til at levere deres tjenester i hele Unionen fjernes. Derved vil den samlede risiko for forstyrrelser på både samfundsmæssigt og individuelt plan blive reduceret, og byrderne vil blive reduceret. Dette vil bidrage til at sikre et højere niveau af offentlig sikkerhed og samtidig også have en positiv indvirkning på virksomhedernes frihed til at drive virksomhed samt på mange andre økonomiske aktører, der er afhængige af leveringen af væsentlige tjenester, hvilket i sidste ende vil være til gavn for forbrugerne. Forslagets bestemmelser, der har til formål at sikre en effektiv forvaltning af medarbejdernes sikkerhed, vil normalt omfatte behandling af personoplysninger. Dette er begrundet i behovet for at foretage baggrundskontrol af specifikke personalekategorier. Desuden vil enhver sådan behandling af personoplysninger altid være underlagt Unionens regler om beskyttelse af personoplysninger, herunder den generelle forordning om databeskyttelse. 4.VIRKNINGER FOR BUDGETTET Det foreslåede direktiv har virkninger for Unionens budget. De samlede finansielle ressourcer, der er nødvendige for at støtte gennemførelsen af dette forslag, anslås til 42,9 mio. EUR for perioden 2021-2027, hvoraf 5,1 mio. EUR er administrationsudgifter. Omkostningerne fordeler sig på følgende måde:

–Kommissionens støtteaktiviteter, herunder personale, projekter, undersøgelser og støtteaktiviteter –Rådgivende missioner tilrettelagt af Kommissionen –Regelmæssige møder i gruppen for kritiske enheders modstandsdygtighed, komitologiudvalget og andre møder. Mere detaljerede oplysninger findes i finansieringsoversigten, der ledsager dette forslag. 5.ANDRE FORHOLD ·Planer for gennemførelsen og foranstaltninger til overvågning, evaluering og rapportering Gennemførelsen af det foreslåede direktiv vil blive evalueret senest fire et halvt år efter dets ikrafttræden, hvorefter Kommissionen vil forelægge en rapport for Europa-Parlamentet og Rådet. I denne rapport vil det blive vurderet, i hvilket omfang medlemsstaterne har truffet de nødvendige foranstaltninger for at efterkomme direktivet. Kommissionen vil senest seks år efter direktivets ikrafttræden forelægge Europa-Parlamentet og Rådet en rapport med en vurdering af direktivets virkning og merværdi. ·Nærmere redegørelse for de enkelte bestemmelser i forslaget Genstand, anvendelsesområde og definitioner (artikel 1-2) I artikel 1 fastsættes direktivets genstand og anvendelsesområde, hvor medlemsstaterne forpligtes til at træffe visse foranstaltninger med henblik på at sikre levering i det indre marked af tjenester, der er væsentlige for opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter, navnlig med henblik på at identificere kritiske enheder og sætte dem i stand til at opfylde specifikke forpligtelser, der har til formål at øge deres modstandsdygtighed og forbedre deres evne til at levere disse tjenester i det indre marked. I direktivet fastsættes også regler for tilsyn med og håndhævelse over for kritiske enheder samt specifikt tilsyn med kritiske enheder, der anses for at være af særlig europæisk betydning. I artikel 1 forklares også forholdet mellem direktivet og andre relevante EU-retsakter og betingelserne for udveksling af oplysninger, der er fortrolige i henhold til EU-bestemmelser og nationale bestemmelser, med Kommissionen og andre relevante myndigheder. Artikel 2 indeholder en liste over definitioner, der finder anvendelse. Nationale rammer for kritiske enheders modstandsdygtighed (artikel 3-9) Artikel 3 indeholder en bestemmelse om, at medlemsstaterne skal vedtage en strategi for styrkelse af kritiske enheders modstandsdygtighed, en beskrivelse af de elementer, den bør indeholde, en forklaring af, at den bør ajourføres regelmæssigt og om nødvendigt, og en bestemmelse om, at medlemsstaterne skal meddele Kommissionen deres strategier og eventuelle ajourføringer af deres strategier. I artikel 4 fastsættes, at de kompetente myndigheder skal udarbejde en liste over væsentlige tjenester og regelmæssigt foretage en vurdering af alle relevante risici, der kan påvirke leveringen af disse væsentlige tjenester, med henblik på at identificere kritiske enheder. Denne vurdering skal tage højde for de risikovurderinger, der er foretaget i overensstemmelse med andre relevante EU-retsakter, de risici, der opstår som følge af afhængigheden mellem specifikke sektorer, og tilgængelige oplysninger om hændelser. Medlemsstaterne sikrer, at relevante elementer af risikovurderingen stilles til rådighed for kritiske enheder, og at data om de identificerede risikotyper og resultaterne af deres risikovurderinger regelmæssigt stilles til rådighed for Kommissionen. I henhold til artikel 5 skal medlemsstaterne identificere kritiske enheder i specifikke sektorer og delsektorer. Identifikationsprocessen bør tage højde for resultaterne af risikovurderingen og anvende specifikke kriterier. Medlemsstaterne skal opstille en liste over kritiske enheder, som om nødvendigt ajourføres regelmæssigt. Kritiske enheder skal underrettes behørigt om deres identifikation og de forpligtelser, som dette medfører. De kompetente myndigheder, der er ansvarlige for gennemførelsen af direktivet, skal underrette de kompetente myndigheder, som er ansvarlige for gennemførelsen af NIS 2-direktivet, om identifikationen af kritiske enheder. Hvis en enhed er blevet identificeret som kritisk af to eller flere medlemsstater, indgår medlemsstaterne i samråd med hinanden med henblik på at mindske byrden på den kritiske enhed. Hvis kritiske enheder leverer tjenester til eller i mere end en tredjedel af medlemsstaterne, skal den pågældende medlemsstat underrette Kommissionen om identiteten af disse kritiske enheder. I artikel 6 defineres begrebet "væsentlig forstyrrende virkning", jf. artikel 5, stk. 2, og det kræves, at medlemsstaterne forelægger Kommissionen visse former for oplysninger vedrørende de kritiske enheder, som de identificerer, og hvordan de blev identificeret. I artikel 6 gives Kommissionen også beføjelse til efter høring af gruppen for kritiske enheders modstandsdygtighed at vedtage relevante retningslinjer. I artikel 7 fastsættes det, at medlemsstaterne bør identificere enheder i sektorerne for bankvæsen, finansiel markedsinfrastruktur og digital infrastruktur, der kun skal behandles som svarende til kritiske enheder med henblik på kapitel II. Disse enheder bør underrettes om, at de er blevet identificeret. I artikel 8 fastsættes det, at hver medlemsstat udpeger og sikrer, at der stilles tilstrækkelige ressourcer til rådighed for en eller flere kompetente myndigheder, der er ansvarlige for den korrekte anvendelse af direktivet på nationalt plan, samt et centralt kontaktpunkt, som har til opgave at sikre grænseoverskridende samarbejde. Det centrale kontaktpunkt forelægger regelmæssigt Kommissionen en sammenfattende rapport om anmeldelser af hændelser. Ifølge artikel 8 skal de kompetente myndigheder, der er ansvarlige for anvendelsen af direktivet, samarbejde med andre relevante nationale myndigheder, herunder de kompetente myndigheder, der er udpeget i henhold til NIS 2-direktivet. I artikel 9 fastsættes det, at medlemsstaterne skal yde støtte til kritiske enheder for at sikre deres modstandsdygtighed og fremme samarbejdet og den frivillige udveksling af oplysninger og god praksis mellem kompetente myndigheder og kritiske enheder. Kritiske enheders modstandsdygtighed (artikel 10-13) I henhold til artikel 10 skal kritiske enheder regelmæssigt vurdere alle relevante risici på grundlag af nationale risikovurderinger og andre relevante informationskilder. I artikel 11 fastsættes det, at kritiske enheder skal træffe passende og forholdsmæssige tekniske og organisatoriske foranstaltninger for at sikre deres modstandsdygtighed, og sikre, at disse foranstaltninger er beskrevet i en plan for modstandsdygtighed eller i et eller flere tilsvarende dokumenter. Medlemsstaterne kan anmode Kommissionen om at tilrettelægge rådgivende missioner for at yde rådgivning til kritiske enheder i forbindelse med opfyldelsen af deres forpligtelser. I artikel 11 gives Kommissionen også beføjelse til om nødvendigt at vedtage delegerede retsakter og gennemførelsesretsakter. I henhold til artikel 12 skal medlemsstaterne sikre, at kritiske enheder kan indgive anmodninger om baggrundskontrol af personer, der henhører eller kan komme til at henhøre under visse specifikke kategorier af personale, og at disse anmodninger skal vurderes hurtigt af de myndigheder, der er ansvarlige for at foretage en sådan baggrundskontrol. I artiklen beskrives formålet med, omfanget og indholdet af baggrundskontrollen, som alle skal være i overensstemmelse med den generelle forordning om databeskyttelse. I henhold til artikel 13 skal medlemsstaterne sikre, at kritiske enheder underretter den kompetente myndighed om hændelser, der i væsentlig grad forstyrrer eller har potentiale til i væsentlig grad at forstyrre deres aktiviteter. De kompetente myndigheder giver derefter den meddelende kritiske enhed relevante opfølgende oplysninger. Via det centrale kontaktpunkt underretter de kompetente myndigheder også de centrale kontaktpunkter i andre berørte medlemsstater, hvis hændelsen har eller kan have grænseoverskridende virkninger i en eller flere andre medlemsstater.

Specifikt tilsyn med kritiske enheder af særlig europæisk betydning (artikel 14-15) I artikel 14 defineres kritiske enheder af særlig europæisk betydning som enheder, der er blevet identificeret som kritiske enheder, og som leverer væsentlige tjenester til eller i mere end en tredjedel af medlemsstaterne. Når Kommissionen har modtaget en meddelelse i henhold til artikel 5, stk. 6, underretter den den pågældende enhed om, at den anses for at være en kritisk enhed af særlig europæisk betydning, de forpligtelser, dette medfører, og datoen, fra hvilken disse forpligtelser begynder at finde anvendelse. I artikel 15 beskrives de specifikke tilsynsordninger, der gælder for kritiske enheder af særlig europæisk betydning, som efter anmodning indebærer, at værtsmedlemsstater giver Kommissionen og gruppen for kritiske enheders modstandsdygtighed oplysninger om risikovurderingen i henhold til artikel 10 og de foranstaltninger, der er truffet i overensstemmelse med artikel 11, samt eventuelle tilsyns- eller håndhævelsesforanstaltninger. I artikel 15 fastsættes også, at Kommissionen kan tilrettelægge rådgivende missioner for at vurdere de foranstaltninger, der er iværksat af specifikke kritiske enheder af særlig europæisk betydning. På grundlag af en analyse af resultaterne af den rådgivende mission foretaget af gruppen for kritiske enheders modstandsdygtighed meddeler Kommissionen den medlemsstat, hvor enhedens infrastruktur er beliggende, sine synspunkter om, hvorvidt enheden opfylder sine forpligtelser, og, hvis det er relevant, hvilke foranstaltninger der kan træffes for at forbedre enhedens modstandsdygtighed. I artiklen beskrives sammensætningen, tilrettelæggelsen og finansieringen af de rådgivende missioner. Det fastsættes også, at Kommissionen skal vedtage en gennemførelsesretsakt med regler for de proceduremæssige ordninger for gennemførelse af og udarbejdelse af rapporter om rådgivende missioner. Samarbejde og rapportering (artikel 16-17) I artikel 16 beskrives den rolle og de opgaver, som gruppen for kritiske enheders modstandsdygtighed, der består af repræsentanter for medlemsstaterne og Kommissionen, skal varetage. Den støtter Kommissionen og letter det strategiske samarbejde og muligheden for information. Det forklares i artiklen, at Kommissionen vedtager gennemførelsesretsakter, hvori der fastlægges proceduremæssige ordninger, som er nødvendige for gruppen for kritiske enheders modstandsdygtigheds funktion. I henhold til artikel 17 skal Kommissionen, hvor det er relevant, bistå medlemsstater og kritiske enheder med at opfylde deres forpligtelser i henhold til direktivet og supplere medlemsstaternes aktiviteter som omhandlet i artikel 9. Tilsyn og håndhævelse (artikel 18-19) I henhold til artikel 18 har medlemsstaterne visse beføjelser, midler og ansvarsområder til at sikre gennemførelsen og håndhævelsen af direktivet. Medlemsstaterne sikrer, at en kompetent myndighed, når den vurderer en kritisk enheds overholdelse af reglerne, underretter de kompetente myndigheder i den berørte medlemsstat, der er udpeget i henhold til NIS 2-direktivet, og kan anmode disse myndigheder om at vurdere en sådan enheds cybersikkerhed og bør samarbejde og udveksle oplysninger med henblik herpå. I henhold til artikel 19 skal medlemsstaterne i overensstemmelse med mangeårig praksis fastsætte bestemmelser om sanktioner for overtrædelser og træffe alle nødvendige foranstaltninger for at sikre, at de iværksættes. Afsluttende bestemmelser (artikel 20-26) I henhold til artikel 20 bistås Kommissionen af et udvalg som omhandlet i forordning (EU) nr. 182/2011. Dette er en standardartikel. Artikel 21 tillægger Kommissionen beføjelse til at vedtage delegerede retsakter på de betingelser, der er fastsat i artiklen. Dette er også en standardartikel. I artikel 22 fastsættes det, at Kommissionen forelægger en rapport for Europa-Parlamentet og Rådet med en vurdering af, i hvilket omfang medlemsstaterne har truffet de foranstaltninger, der er nødvendige for at efterleve dette direktiv. Europa-Parlamentet og Rådet skal regelmæssigt forelægges en rapport med en vurdering af direktivets virkninger og merværdi, og af, hvorvidt direktivets anvendelsesområde bør udvides til andre sektorer eller delsektorer, herunder fødevareproduktions-, forarbejdnings- og distributionssektoren. I artikel 23 fastsættes det, at Direktiv 2008/114/EU ophæves med virkning fra datoen for direktivets ikrafttræden. I henhold til artikel 24 skal medlemsstaterne inden for den fastsatte frist vedtage og offentliggøre de love og administrative bestemmelser, der er nødvendige for at efterkomme direktivet, og underrette Kommissionen herom. Teksten til de vigtigste nationale retsforskrifter, som de udsteder på det område, der er omfattet af dette direktiv, meddeles Kommissionen. I artikel 25 fastsættes, at direktivet træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende. I artikel 26 bestemmes det, at direktivet er rettet til medlemsstaterne.



2020/0365 (COD) Forslag til EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV om kritiske enheders modstandsdygtighed EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR –– under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114, under henvisning til forslag fra Europa-Kommissionen, efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter, under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg, under henvisning til udtalelse fra Regionsudvalget,

efter den almindelige lovgivningsprocedure, og ud fra følgende betragtninger: (1)Rådets direktiv 2008/114/EF indeholder bestemmelser om en procedure for udpegning af europæisk kritisk infrastruktur i energi- og transportsektoren, hvis afbrydelse eller ødelæggelse ville få betydelige grænseoverskridende konsekvenser for mindst to medlemsstater. Direktivet fokuserede udelukkende på beskyttelsen af sådanne infrastrukturer. Evalueringen af direktiv 2008/114/EF, der blev foretaget i 2019, viste imidlertid, at på grund af den stadig mere indbyrdes forbundne og grænseoverskridende karakter af operationer, der anvender kritisk infrastruktur, er beskyttelsesforanstaltninger vedrørende individuelle aktiver i sig selv utilstrækkelige til at forhindre alle afbrydelser. Det er derfor nødvendigt at ændre tilgangen til sikring af kritiske enheders modstandsdygtighed, dvs. deres evne til at afbøde, absorbere, tilpasse sig til og komme på fode igen efter hændelser, der potentielt kan afbryde den kritiske enheds aktiviteter. (2)På trods af eksisterende foranstaltninger på EU-plan og nationalt plan, der har til formål at støtte beskyttelsen af kritisk infrastruktur i Unionen, er de enheder, der driver disse infrastrukturer, ikke tilstrækkeligt udstyret til at håndtere nuværende og forventede fremtidige risici for deres drift, som kan føre til afbrydelser i leveringen af tjenester, der er afgørende for udførelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter. Dette skyldes et dynamisk trusselsbillede med en voksende terrortrussel og voksende indbyrdes afhængighed mellem infrastrukturer og sektorer samt en øget fysisk risiko som følge af naturkatastrofer og klimaændringer, der øger hyppigheden og omfanget af ekstreme vejrforhold og medfører langsigtede ændringer i det gennemsnitlige klima, som kan reducere kapaciteten og effektiviteten af visse infrastrukturtyper, hvis der ikke er truffet foranstaltninger til at sikre modstandsdygtighed eller klimatilpasning. Desuden anerkendes relevante sektorer og typer af enheder ikke konsekvent som kritiske i alle medlemsstater. (3)Denne voksende indbyrdes afhængighed er resultatet af et stadig mere grænseoverskridende og indbyrdes afhængigt net af tjenester, der anvender centrale infrastrukturer i hele Unionen inden for sektorerne energi, transport, bankvæsen, finansmarkedsinfrastruktur, digital infrastruktur, drikkevand og spildevand, sundhed, visse aspekter af den offentlige forvaltning samt rummet, for så vidt angår levering af visse tjenester afhængigt af jordbaserede infrastrukturer, der ejes, forvaltes og drives enten af medlemsstaterne eller af private parter, og som derfor ikke dækker infrastrukturer, der ejes, forvaltes eller drives af eller på vegne af Unionen som led i Unionens rumprogrammer. Disse indbyrdes afhængighedsforhold betyder, at enhver afbrydelse, selv en, der oprindeligt var begrænset til én enhed eller én sektor, kan have kaskadevirkninger mere generelt, hvilket potentielt kan føre til vidtrækkende og langvarige negative virkninger for leveringen af tjenester i hele det indre marked. Covid-19-pandemien har vist, at vores stadig mere indbyrdes afhængige samfund er sårbare over for risici med lav sandsynlighed. (4)De enheder, der er involveret i leveringen af væsentlige tjenester, er i stigende grad underlagt forskellige krav i henhold til medlemsstaternes lovgivning. Det forhold, at nogle medlemsstater har mindre strenge sikkerhedskrav til disse enheder, risikerer ikke kun at have en negativ indvirkning på opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter i hele Unionen, men fører også til hindringer for et velfungerende indre marked. Enheder af samme type betragtes som kritiske i nogle medlemsstater, men ikke i andre, og de enheder, der er identificeret som kritiske, er underlagt forskellige krav i de forskellige medlemsstater. Dette medfører yderligere og unødvendige administrative byrder for virksomheder, der opererer på tværs af grænserne, navnlig for virksomheder, der er aktive i medlemsstater med strengere krav. (5)Det er derfor nødvendigt at fastsætte harmoniserede minimumsregler for at sikre leveringen af væsentlige tjenester i det indre marked og styrke kritiske enheders modstandsdygtighed. (6)For at nå dette mål bør medlemsstaterne identificere kritiske enheder, der bør være underlagt specifikke krav og tilsyn, men også yde særlig støtte og vejledning med henblik på at opnå en høj grad af modstandsdygtighed over for alle relevante risici. (7)Visse økonomiske sektorer såsom energi og transport er allerede reguleret eller kan reguleres i fremtiden gennem sektorspecifikke EU-retsakter, der indeholder regler vedrørende visse aspekter af modstandsdygtigheden hos enheder, som opererer inden for disse sektorer. For at håndtere modstandsdygtigheden hos de enheder, der er afgørende for et velfungerende indre marked, på en omfattende måde bør disse sektorspecifikke foranstaltninger suppleres af de foranstaltninger, der er fastsat i dette direktiv, og som skaber en overordnet ramme, der tager højde for kritiske enheders modstandsdygtighed over for alle farer, dvs. naturlige og menneskeskabte, utilsigtede og forsætlige. (8)I betragtning af cybersikkerhedens betydning for kritiske enheders modstandsdygtighed og af hensyn til konsekvensen er der behov for en sammenhængende tilgang mellem dette direktiv og Europa-Parlamentets og Rådets direktiv (EU) XX/YY [forslag til direktiv om foranstaltninger, der skal sikre et højt fælles cybersikkerhedsniveau i hele Unionen (i det følgende benævnt "NIS 2-direktivet")], hvor det er muligt. I betragtning af cyberrisicienes øgede hyppighed og særlige karakteristika pålægger NIS 2-direktivet en lang række enheder omfattende krav for at sikre deres cybersikkerhed. Da cybersikkerhed behandles tilstrækkeligt i NIS 2-direktivet, bør de spørgsmål, der er omfattet af det, udelukkes fra dette direktivs anvendelsesområde, uden at dette berører den særlige ordning for enheder i sektoren for digital infrastruktur. (9)Hvis bestemmelser i andre EU-retsakter kræver, at kritiske enheder vurderer relevante risici, træffer foranstaltninger for at sikre deres modstandsdygtighed eller anmelder hændelser, og disse krav som minimum svarer til de tilsvarende forpligtelser i dette direktiv, bør de relevante bestemmelser i dette direktiv ikke finde anvendelse for at undgå dobbeltarbejde og unødvendige byrder. I så fald bør de relevante bestemmelser i sådanne andre retsakter finde anvendelse. Hvis de relevante bestemmelser i dette direktiv ikke finder anvendelse, bør dets bestemmelser om tilsyn og håndhævelse heller ikke finde anvendelse. Medlemsstaterne bør ikke desto mindre medtage alle de sektorer, der er opført i bilaget, i deres strategi for styrkelse af kritiske enheders modstandsdygtighed, risikovurderingen og støtteforanstaltningerne i henhold til kapitel II og være i stand til at identificere kritiske enheder i de sektorer, hvor de gældende betingelser er opfyldt, under hensyntagen til den særlige ordning for enheder i banksektoren, den finansielle markedsinfrastruktur og den digitale infrastruktursektor. (10)Med henblik på at sikre en samlet tilgang til kritiske enheders modstandsdygtighed bør hver medlemsstat have en strategi, der fastsætter de mål og politiske foranstaltninger, der skal gennemføres. For at opnå dette bør medlemsstaterne sikre, at deres cybersikkerhedsstrategier skaber en politisk ramme for øget koordinering mellem den kompetente myndighed i henhold til dette direktiv og NIS 2-direktivet i forbindelse med udveksling af oplysninger om hændelser og cybertrusler og udøvelse af tilsynsopgaver. (11)Medlemsstaternes foranstaltninger til at identificere og bidrage til at sikre kritiske enheders modstandsdygtighed bør følge en risikobaseret tilgang, hvor indsatsen målrettes mod de enheder, der er mest relevante for udførelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter. For at sikre en sådan målrettet tilgang bør hver medlemsstat inden for en harmoniseret ramme foretage en vurdering af alle relevante naturlige og menneskeskabte risici, der kan påvirke leveringen af væsentlige tjenester, herunder ulykker, naturkatastrofer, folkesundhedskriser såsom pandemier og antagonistiske trusler, herunder terrorhandlinger. Når medlemsstaterne foretager disse risikovurderinger, bør de tage hensyn til andre generelle eller sektorspecifikke risikovurderinger, der er foretaget i henhold til andre EU-retsakter, og tage hensyn til afhængigheden mellem sektorer, herunder fra andre medlemsstater og tredjelande. Resultaterne af risikovurderingen bør anvendes i processen med at identificere kritiske enheder og hjælpe disse enheder med at opfylde kravene til modstandsdygtighed i dette direktiv. (12)For at sikre, at alle relevante enheder er omfattet af disse krav, og for at mindske forskellene i denne henseende er det vigtigt at fastsætte harmoniserede regler, der muliggør en konsekvent identifikation af kritiske enheder i hele Unionen, samtidig med at medlemsstaterne får mulighed for at afspejle særlige nationale forhold. Der bør derfor fastsættes kriterier for identifikation af kritiske enheder. Af hensyn til effektivitet, virkningsfuldhed, konsekvens og retssikkerhed bør der også fastsættes passende regler for underretning og samarbejde vedrørende en sådan identifikation samt de retlige konsekvenser af den. For at gøre det muligt for Kommissionen at vurdere, om dette direktiv anvendes korrekt, bør medlemsstaterne på en måde, der er så detaljeret og specifik som muligt, forelægge Kommissionen relevante oplysninger og under alle omstændigheder en liste over væsentlige tjenester, antallet af kritiske enheder, som er identificeret for hver sektor og delsektor, der er omhandlet i bilaget, og de væsentlige tjenester, som hver enhed leverer, samt eventuelle anvendte tærskler. (13)Der bør også fastsættes kriterier til bestemmelse af betydningen af en forstyrrende virkning som følge af sådanne hændelser. Disse kriterier bør være baseret på kriterierne i Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 for at udnytte medlemsstaternes indsats for at identificere disse operatører og de erfaringer, der er gjort i den forbindelse. (14)Enheder, der vedrører sektoren for digital infrastruktur, er i det væsentlige baseret på net- og informationssystemer og falder ind under anvendelsesområdet for NIS 2-direktivet, som omhandler den fysiske sikkerhed for sådanne systemer som en del af deres forpligtelser med hensyn til risikostyring og rapportering vedrørende cybersikkerhed. Da disse spørgsmål er omfattet af NIS 2-direktivet, finder forpligtelserne i dette direktiv ikke anvendelse på sådanne enheder. I betragtning af den betydning, som tjenester, der leveres af enheder i den digitale infrastruktursektor, har for leveringen af andre væsentlige tjenester, bør medlemsstaterne på grundlag af kriterierne og ved anvendelse af proceduren i dette direktiv med de fornødne ændringer identificere enheder vedrørende sektoren for digital infrastruktur, der kun bør behandles som svarende til kritiske enheder med henblik på kapitel II, herunder bestemmelsen om medlemsstaternes støtte til at styrke disse enheders modstandsdygtighed. Sådanne enheder bør derfor ikke være underlagt de forpligtelser, der er fastsat i kapitel III-VI. Eftersom de i kapitel II fastsatte forpligtelser for kritiske enheder til at give visse oplysninger til de kompetente myndigheder vedrører anvendelsen af kapitel III og IV, bør disse enheder heller ikke være omfattet af disse forpligtelser. (15)I gældende EU-ret om finansielle tjenesteydelser fastsættes der omfattende krav til finansielle enheder om at håndtere alle risici, de står over for, herunder operationelle risici, og sikre forretningskontinuitet. Dette omfatter Europa-Parlamentets og Rådets forordning (EF) nr. 648/2012, Europa-Parlamentets og Rådets forordning (EF) 2014/65/EU og Europa-Parlamentets og Rådets forordning (EF) nr. 600/2014 samt Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 og Europa-Parlamentets og Rådets Direktiv 2013/36/EU. Kommissionen har for nylig foreslået at supplere denne ramme med Europa-Parlamentets og Rådets forordning XX/YYYY [forslag til forordning om digital operationel modstandsdygtighed i den finansielle sektor (i det følgende benævnt "DORA-forordningen")], som fastsætter krav til finansielle virksomheder om at styre IKT-risici, herunder beskyttelse af fysiske IKT-infrastrukturer. Eftersom modstandsdygtigheden hos de enheder, der er opført i punkt 3 og 4 i bilaget, er fuldt ud omfattet af gældende EU-ret om finansielle tjenesteydelser, bør disse enheder også behandles som svarende til kritiske enheder med henblik på kapitel II i dette direktiv. For at sikre en konsekvent anvendelse af reglerne om operationel risiko og digital modstandsdygtighed i den finansielle sektor bør medlemsstaternes støtte til forbedring af den samlede modstandsdygtighed hos finansielle enheder svarende til kritiske enheder sikres af de myndigheder, der er udpeget i henhold til artikel 41 i [DORA-forordningen], og med forbehold af de procedurer, der er fastsat i denne lovgivning, på en fuldt ud harmoniseret måde. (16)Medlemsstaterne bør udpege myndigheder, der har kompetence til at føre tilsyn med anvendelsen af og om nødvendigt håndhæve reglerne i dette direktiv, og sikre, at disse myndigheder har tilstrækkelige beføjelser og ressourcer. I betragtning af forskellene i de nationale forvaltningsstrukturer og for at beskytte allerede eksisterende sektorspecifikke ordninger eller tilsyns- og reguleringsorganer på EU-plan og for at undgå overlapning bør medlemsstaterne kunne udpege mere end én kompetent myndighed. I så fald bør de dog klart afgrænse de berørte myndigheders respektive opgaver og sikre, at de samarbejder gnidningsløst og effektivt. Alle kompetente myndigheder bør også samarbejde mere generelt med andre relevante myndigheder, både på nationalt plan og EU-plan. (17)For at lette grænseoverskridende samarbejde og kommunikation og muliggøre en effektiv gennemførelse af dette direktiv bør hver medlemsstat, uden at dette berører sektorspecifikke EU-retlige krav, inden for en af de myndigheder, den har udpeget som kompetent myndighed i henhold til dette direktiv, udpege et centralt kontaktpunkt med ansvar for at koordinere spørgsmål vedrørende kritiske enheders modstandsdygtighed og grænseoverskridende samarbejde på EU-plan i denne henseende. (18)Eftersom enheder, der er identificeret som kritiske enheder, og identificerede enheder i sektoren for digital infrastruktur, der skal behandles som ækvivalente i henhold til dette direktiv, er underlagt cybersikkerhedskravene i NIS 2-direktivet, bør de kompetente myndigheder, der er udpeget i henhold til de to direktiver, samarbejde, navnlig i forbindelse med cybersikkerhedsrisici og -hændelser, der påvirker disse enheder.

(19)Medlemsstaterne bør støtte kritiske enheder i at styrke deres modstandsdygtighed i overensstemmelse med deres forpligtelser i henhold til dette direktiv, uden at dette berører enhedernes eget retlige ansvar for at sikre en sådan overholdelse. Medlemsstaterne kan navnlig udvikle vejledningsmaterialer og -metoder, støtte tilrettelæggelsen af øvelser for at teste deres modstandsdygtighed og tilbyde uddannelse til personale i kritiske enheder. I betragtning af den indbyrdes afhængighed mellem enheder og sektorer bør medlemsstaterne desuden indføre redskaber til udveksling af oplysninger til støtte for frivillig udveksling af oplysninger mellem kritiske enheder, uden at dette berører anvendelsen af konkurrencereglerne i traktaten om Den Europæiske Unions funktionsmåde. (20)For at kunne sikre deres modstandsdygtighed bør kritiske enheder have en omfattende forståelse af alle relevante risici, som de er eksponeret for, og analysere disse risici. Med henblik herpå bør de foretage risikovurderinger, når det er nødvendigt i lyset af deres særlige omstændigheder og udviklingen i disse risici, dog under alle omstændigheder hvert fjerde år. Kritiske enheders risikovurderinger bør baseres på den risikovurdering, som medlemsstaterne har foretaget. (21)Kritiske enheder bør træffe organisatoriske og tekniske foranstaltninger, der er passende og står i et rimeligt forhold til de risici, de står over for, for at forebygge, modstå, afbøde, absorbere, tilpasse sig og komme på fode igen efter en hændelse. Selv om kritiske enheder bør træffe foranstaltninger på alle de punkter, der er anført i dette direktiv, bør detaljerne og omfanget af foranstaltningerne afspejle de forskellige risici, som hver enhed har identificeret som led i sin risikovurdering, og de særlige forhold, der gør sig gældende for en sådan enhed, på en hensigtsmæssig og forholdsmæssig måde. (22)Af hensyn til effektiviteten og ansvarligheden bør kritiske enheder beskrive disse foranstaltninger med en detaljeringsgrad for i tilstrækkelig grad at nå disse mål, under hensyntagen til de identificerede risici, i en plan for modstandsdygtighed eller i et eller flere dokumenter, der svarer til en plan for modstandsdygtighed, og anvende denne plan i praksis. Et sådant tilsvarende dokument eller sådanne tilsvarende dokumenter kan udarbejdes i overensstemmelse med krav og standarder, der er udviklet i forbindelse med internationale aftaler om fysisk beskyttelse, som medlemsstaterne er parter i, herunder konventionen om fysisk beskyttelse af nukleare materialer og nukleare anlæg, alt efter hvad der er relevant. (23)I Europa-Parlamentets og Rådets forordning (EF) nr. 300/2008, Europa-Parlamentets og Rådets forordning (EF) nr. 725/2004 og Europa-Parlamentets og Rådets direktiv 2005/65/EF fastsættes krav til enheder i luftfarts- og søtransportsektoren med henblik på at forebygge hændelser forårsaget af ulovlige handlinger og modstå og afbøde følgerne af sådanne hændelser. Selv om de foranstaltninger, der kræves i dette direktiv, er bredere med hensyn til de risici, der skal håndteres, og de typer af foranstaltninger, der skal træffes, bør kritiske enheder i disse sektorer i deres plan for modstandsdygtighed eller tilsvarende dokumenter afspejle de foranstaltninger, der er truffet i henhold til disse andre EU-retsakter. Desuden kan kritiske enheder, når de gennemfører modstandsdygtighedsforanstaltninger i henhold til dette direktiv, overveje at henvise til ikkebindende retningslinjer og dokumenter om god praksis, der er udarbejdet under sektorspecifikke arbejdsgange, såsom EU's sikkerhedsplatform for jernbanepassagerer. (24)Risikoen for, at ansatte i kritiske enheder misbruger f.eks. deres adgangsret inden for enhedens organisation til at skade og forvolde skade, giver anledning til stigende bekymring. Denne risiko forværres af det voksende fænomen med radikalisering, der fører til voldelig ekstremisme og terrorisme. Det er derfor nødvendigt at give kritiske enheder mulighed for at anmode om baggrundskontrol af personer, der tilhører specifikke kategorier af dens personale, og sikre, at disse anmodninger vurderes hurtigt af de relevante myndigheder i overensstemmelse med de gældende EU-regler og national ret, herunder om beskyttelse af personoplysninger. (25)Kritiske enheder bør, så snart det med rimelighed er muligt under de givne omstændigheder, underrette medlemsstaternes kompetente myndigheder om hændelser, der i væsentlig grad forstyrrer eller har potentiale til i væsentlig grad at forstyrre deres aktiviteter. Underretningen bør gøre det muligt for de kompetente myndigheder at reagere hurtigt og hensigtsmæssigt på hændelser og danne sig et samlet overblik over de samlede risici, som kritiske enheder står over for. Med henblik herpå bør der fastlægges en procedure for anmeldelse af visse hændelser, og der bør fastsættes parametre for at fastslå, hvornår den faktiske eller potentielle forstyrrelse er væsentlig, og hændelserne derfor skal anmeldes. I betragtning af de potentielle grænseoverskridende virkninger af sådanne forstyrrelser bør der indføres en procedure for, at medlemsstaterne kan underrette andre berørte medlemsstater via centrale kontaktpunkter. (26)Selv om kritiske enheder generelt opererer som en del af et stadig mere sammenkoblet net af tjenester og infrastrukturer og ofte leverer væsentlige tjenester i mere end én medlemsstat, er nogle af disse enheder af særlig betydning for Unionen, fordi de leverer væsentlige tjenester til et stort antal medlemsstater og derfor kræver specifikt tilsyn på EU-plan. Der bør derfor fastsættes regler for det specifikke tilsyn med sådanne kritiske enheder af særlig europæisk betydning. Disse regler berører ikke reglerne om tilsyn og håndhævelse i dette direktiv. (27)Hvis en medlemsstat mener, at der er behov for yderligere oplysninger for at kunne rådgive en kritisk enhed om opfyldelse af dens forpligtelser i henhold til kapitel III eller vurdere, om en kritisk enhed af særlig europæisk betydning opfylder disse forpligtelser, bør Kommissionen efter aftale med den medlemsstat, hvor den pågældende enheds infrastruktur er beliggende, tilrettelægge en rådgivende mission for at vurdere de foranstaltninger, som den pågældende enhed har iværksat. For at sikre, at sådanne rådgivende missioner gennemføres korrekt, bør der fastsættes supplerende regler, navnlig for deres tilrettelæggelse og gennemførelse, den opfølgning, der skal foretages, og forpligtelserne for de berørte kritiske enheder af særlig europæisk betydning. De rådgivende missioner bør, uden at det berører behovet for, at den medlemsstat, hvor den rådgivende mission gennemføres, og den berørte enhed overholder reglerne i dette direktiv, gennemføres i henhold til de detaljerede regler i den pågældende medlemsstats lovgivning, f.eks. om de præcise betingelser, der skal opfyldes for at få adgang til relevante lokaler eller dokumenter, og om domstolsprøvelse. Der kan, hvor det er relevant, anmodes om specifik ekspertbistand til sådanne missioner via katastrofeberedskabskoordinationscentret. (28)For at støtte Kommissionen og lette strategisk samarbejde og udveksling af oplysninger, herunder bedste praksis, om spørgsmål vedrørende dette direktiv bør der nedsættes en gruppe for kritiske enheders modstandsdygtighed, som er en ekspertgruppe under Kommissionen. Medlemsstaterne bør bestræbe sig på at sikre et effektivt samarbejde mellem de udpegede repræsentanter for deres kompetente myndigheder i gruppen for kritiske enheders modstandsdygtighed. Gruppen bør begynde at udføre sine opgaver seks måneder efter dette direktivs ikrafttræden for at tilvejebringe yderligere midler til passende samarbejde i løbet af gennemførelsesperioden for dette direktiv. (29)For at nå målene i dette direktiv, og uden at dette berører medlemsstaternes og kritiske enheders retlige ansvar for at sikre, at de respektive forpligtelser, der er fastsat heri, overholdes, bør Kommissionen, når den finder det hensigtsmæssigt, gennemføre visse støtteaktiviteter med henblik på at lette overholdelsen af disse forpligtelser. Når Kommissionen yder støtte til medlemsstaterne og kritiske enheder i forbindelse med gennemførelsen af forpligtelserne i henhold til dette direktiv, bør den tage udgangspunkt i eksisterende strukturer og værktøjer såsom dem under EU-civilbeskyttelsesmekanismen og det europæiske netværk af referencecentre for beskyttelse af kritisk infrastruktur. (30)Medlemsstaterne bør sikre, at deres kompetente myndigheder har visse specifikke beføjelser til at sikre en korrekt anvendelse og håndhævelse af dette direktiv i forbindelse med kritiske enheder, når disse enheder hører under deres jurisdiktion som fastsat i dette direktiv. Disse beføjelser bør navnlig omfatte beføjelse til at gennemføre inspektioner, tilsyn og revision, kræve, at kritiske enheder fremlægger oplysninger og dokumentation vedrørende de foranstaltninger, de har truffet for at opfylde deres forpligtelser, og om nødvendigt udstede påbud for at afhjælpe konstaterede overtrædelser. Når medlemsstaterne udsteder sådanne påbud, bør de ikke kræve foranstaltninger, der går ud over, hvad der er nødvendigt og rimeligt for at sikre, at den pågældende kritiske enhed overholder kravene, navnlig under hensyntagen til overtrædelsens alvor og den kritiske enheds økonomiske formåen. Mere generelt bør disse beføjelser ledsages af passende og effektive garantier, der fastsættes i national ret i overensstemmelse med kravene i Den Europæiske Unions charter om grundlæggende rettigheder. Ved vurderingen af, om en kritisk enhed overholder sine forpligtelser i henhold til dette direktiv, bør de kompetente myndigheder, der er udpeget i henhold til dette direktiv, kunne anmode de kompetente myndigheder, som er udpeget i henhold til NIS 2-direktivet, om at vurdere disse enheders cybersikkerhed. Disse kompetente myndigheder bør samarbejde og udveksle oplysninger med henblik herpå. (31)For at tage hensyn til nye risici, teknologiske udviklinger eller særlige forhold i en eller flere af sektorerne bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i traktaten om Den Europæiske Unions funktionsmåde for at supplere de modstandsdygtighedsforanstaltninger, som kritiske enheder skal træffe, ved yderligere at specificere nogle af eller alle disse foranstaltninger. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelsen af delegerede retsakter. (32)For at sikre ensartede betingelser for gennemførelsen af dette direktiv tillægges Kommissionen gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011. (33)Målene for dette direktiv, nemlig at sikre levering på det indre marked af tjenester, der er væsentlige for opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter, og at øge modstandsdygtigheden hos kritiske enheder, som leverer sådanne tjenester, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af foranstaltningens virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke videre, end hvad der er nødvendigt for at nå disse mål. (34)Direktiv 2008/114/EF bør derfor ophæves — VEDTAGET DETTE DIREKTIV: KAPITEL I

Genstand, anvendelsesområde og definitioner Artikel 1

Genstand og anvendelsesområde

1.Ved nærværende direktiv (a)fastsættes forpligtelser for medlemsstaterne til at træffe visse foranstaltninger med henblik på at sikre levering på det indre marked af tjenester, der er væsentlige for opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter, navnlig med henblik på at identificere kritiske enheder og enheder, der skal behandles som ligestillede i visse henseender, og sætte dem i stand til at opfylde deres forpligtelser (b)fastsættes forpligtelser for kritiske enheder med henblik på at øge deres modstandsdygtighed og forbedre deres evne til at levere disse tjenester på det indre marked (c)fastsættes regler for tilsyn med og håndhævelse over for kritiske enheder samt specifikt tilsyn med kritiske enheder, der anses for at være af særlig europæisk betydning. 2.Dette direktiv finder ikke anvendelse på spørgsmål, der er omfattet af direktiv (EU) XX/YY [forslag til direktiv om foranstaltninger, der skal sikre et højt fælles cybersikkerhedsniveau i hele Unionen ("NIS 2-direktivet")], jf. dog artikel 7. 3.Hvis bestemmelser i sektorspecifikke EU-retsakter kræver, at kritiske enheder træffer foranstaltninger som fastsat i kapitel III, og hvis disse krav som minimum svarer til de forpligtelser, der er fastsat i dette direktiv, finder de relevante bestemmelser i dette direktiv, herunder bestemmelsen om tilsyn og håndhævelse i kapitel VI, ikke anvendelse. 4.Oplysninger, der er fortrolige i henhold til EU-regler og nationale regler, som f.eks. regler om forretningshemmeligheder, udveksles med forbehold af artikel 346 i TEUF kun med Kommissionen og andre relevante myndigheder, hvis en sådan udveksling er nødvendig for anvendelsen af dette direktiv. De udvekslede oplysninger begrænses til, hvad der er relevant og forholdsmæssigt under hensyn til formålet med udvekslingen. Udvekslingen af oplysninger sikrer de nævnte oplysningers fortrolighed og beskytter sikkerheden og de kommercielle interesser hos kritiske enheder. Artikel 2

Definitioner I dette direktiv forstås ved: (1)"kritisk enhed": en offentlig eller privat enhed af den type, der er omhandlet i bilaget, og som er blevet identificeret som sådan af en medlemsstat i overensstemmelse med artikel 5 (2)"modstandsdygtighed": evnen til at forebygge, modstå, afbøde, absorbere, tilpasse sig til og komme på fode igen efter en hændelse, der afbryder eller har potentiale til at afbryde en kritisk enheds drift (3)"hændelse": enhver begivenhed, der har potentiale til at afbryde eller afbryder den kritiske enheds drift (4) "infrastruktur": et aktiv, et system eller en del heraf, som er nødvendigt for levering af en væsentlig tjeneste (5) "væsentlig tjeneste": en tjeneste, der er væsentlig for opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter (6)"risiko": enhver omstændighed eller begivenhed, der har en potentiel negativ indvirkning på kritiske enheders modstandsdygtighed (7)"risikovurdering": en metode til at bestemme arten og omfanget af en risiko ved at analysere potentielle trusler og farer samt evaluere eksisterende sårbarhedsforhold, der kan afbryde den kritiske enheds drift. KAPITEL II

Nationale rammer for kritiske enheders modstandsdygtighed Artikel 3

Strategi for kritiske enheders modstandsdygtighed 1.Hver medlemsstat vedtager senest den [tre år efter dette direktivs ikrafttræden] en strategi til styrkelse af kritiske enheders modstandsdygtighed. Denne strategi skal indeholde strategiske mål og politiske foranstaltninger med henblik på at opnå og opretholde en høj grad af modstandsdygtighed hos disse kritiske enheder og som minimum omfatte de sektorer, der er omhandlet i bilaget.

2.Strategien skal som minimum indeholde følgende elementer: (a)strategiske mål og prioriteter med henblik på at styrke kritiske enheders overordnede modstandsdygtighed under hensyntagen til den indbyrdes afhængighed på tværs af grænser og sektorer (b)en forvaltningsramme for at nå de strategiske mål og prioriteter, herunder en beskrivelse af roller og ansvarsområder for de forskellige myndigheder, kritiske enheder og andre parter, der er involveret i gennemførelsen af strategien (c)en beskrivelse af de foranstaltninger, der er nødvendige for at øge kritiske enheders samlede modstandsdygtighed, herunder en national risikovurdering, identifikation af kritiske enheder og enheder svarende til kritiske enheder, og de foranstaltninger til støtte for kritiske enheder, der træffes i overensstemmelse med dette kapitel (d)en politisk ramme for øget koordinering mellem de kompetente myndigheder i henhold til artikel 8 i dette direktiv og i henhold til [NIS 2-direktivet] med henblik på udveksling af oplysninger om hændelser og cybertrusler samt udøvelse af tilsynsopgaver. Strategien ajourføres, når det er nødvendigt, og mindst hvert fjerde år. 3.Medlemsstaterne meddeler deres strategier og eventuelle ajourføringer af deres strategier til Kommissionen senest tre måneder efter vedtagelsen heraf. Artikel 4

Medlemsstaternes risikovurdering 1.De kompetente myndigheder, der er udpeget i henhold til artikel 8, udarbejder en liste over væsentlige tjenester i de sektorer, der er omhandlet i bilaget. De foretager senest den [tre år efter dette direktivs ikrafttræden] og efterfølgende, når det er nødvendigt, og mindst hvert fjerde år en vurdering af alle relevante risici, der kan påvirke leveringen af disse væsentlige tjenester, med henblik på at identificere kritiske enheder i overensstemmelse med artikel 5, stk. 1, og på at bistå disse kritiske enheder med at træffe foranstaltninger i henhold til artikel 11. Ved risikovurderingen tages der højde for alle relevante naturlige og menneskeskabte risici, herunder ulykker, naturkatastrofer, folkesundhedskriser, antagonistiske trusler, herunder terrorhandlinger i henhold til Europa-Parlamentets og Rådets direktiv (EU) 2017/541. 2.Ved udførelsen af risikovurderingen tager medlemsstaterne som minimum hensyn til: (a)den generelle risikovurdering, som udføres i henhold til artikel 6, stk. 1, i Europa-Parlamentets og Rådets af afgørelse nr. 1313/2013 (b)andre relevante risikovurderinger, der udføres i overensstemmelse med kravene i de relevante sektorspecifikke EU-retsakter, herunder Europa-Parlamentets og Rådets forordning (EU) 2019/941 og Europa-Parlamentets og Rådets forordning (EU) 2017/1938 (c)eventuelle risici som følge af afhængigheden mellem de sektorer, der er omhandlet i bilaget, herunder fra andre medlemsstater og tredjelande, og den indvirkning, som en afbrydelse i en sektor kan have på andre sektorer (d)eventuelle oplysninger om hændelser, der er anmeldt i overensstemmelse med artikel 13. Med henblik på første afsnit, litra c), samarbejder medlemsstaterne med de kompetente myndigheder i andre medlemsstater og tredjelande, alt efter hvad der er relevant. 3.Medlemsstaterne stiller de relevante elementer af den i stk. 1 omhandlede risikovurdering til rådighed for de kritiske enheder, som de identificerede i overensstemmelse med artikel 5, med henblik på at bistå disse kritiske enheder med at udføre deres risikovurdering i henhold til artikel 10 og træffe foranstaltninger til at sikre deres modstandsdygtighed i henhold til artikel 11. 4.Hver medlemsstat forsyner Kommissionen med data om de identificerede risikotyper og resultaterne af risikovurderingerne pr. sektor og delsektor, jf. bilaget, senest den [tre år efter dette direktivs ikrafttræden] og derefter, når det er nødvendigt, og mindst hvert fjerde år. 5.Kommissionen kan i samarbejde med medlemsstaterne udvikle en frivillig fælles indberetningsmodel med henblik på at overholde stk. 4. Artikel 5

Identifikation af kritiske enheder

1.Senest den [tre år og tre måneder efter dette direktivs ikrafttræden ] identificerer medlemsstaterne for hver sektor og delsektor, der er omhandlet i bilaget, bortset fra punkt 3, 4 og 8 heri, de kritiske enheder. 2.Når medlemsstaterne identificerer kritiske enheder i henhold til stk. 1, tager de hensyn til resultaterne af risikovurderingen, jf. artikel 4, og anvender følgende kriterier: (a)enheden leverer en eller flere væsentlige tjenester (b)(leveringen af den pågældende tjeneste afhænger af den infrastruktur, der er beliggende i medlemsstaten) og (c)en hændelse vil have betydelige forstyrrende virkninger for leveringen af tjenesten eller andre væsentlige tjenester i de sektorer, der er omhandlet i bilaget, og som er afhængige af tjenesten. 3.Hver medlemsstat opstiller en liste over de identificerede kritiske enheder og sikrer, at disse kritiske enheder underrettes om deres identifikation som kritiske enheder inden for en måned efter denne identifikation, og underretter dem om deres forpligtelser, jf. kapitel II og III, og om den dato, fra hvilken bestemmelserne i disse kapitler finder anvendelse på dem. For de berørte kritiske enheder finder bestemmelserne i dette kapitel anvendelse fra datoen for meddelelsen, og bestemmelserne i kapitel III finder anvendelse fra seks måneder efter denne dato. 4.Medlemsstaterne sikrer, at deres kompetente myndigheder, som er udpeget i henhold til artikel 8 i dette direktiv, underretter de kompetente myndigheder, som medlemsstaterne har udpeget i henhold til artikel 8 i [NIS 2-direktivet], om identiteten af de kritiske enheder, som de har identificeret i henhold til denne artikel, senest en måned efter denne identifikation. 5.Efter den i stk. 3 omhandlede underretning sikrer medlemsstaterne, at kritiske enheder giver de kompetente myndigheder, der er udpeget i henhold til artikel 8 i dette direktiv, oplysninger om, hvorvidt de er blevet identificeret som en kritisk enhed i en eller flere andre medlemsstater. Hvis en enhed er blevet identificeret som kritisk af to eller flere medlemsstater, indgår disse medlemsstater i samråd med hinanden med henblik på at mindske byrden for den kritiske enhed for så vidt angår forpligtelserne i henhold til kapitel III. 6.Med henblik på kapitel IV sikrer medlemsstaterne, at kritiske enheder efter den i stk. 3 omhandlede underretning giver de kompetente myndigheder, der er udpeget i henhold til artikel 8 i dette direktiv, oplysninger om, hvorvidt de leverer væsentlige tjenester til eller i mere end en tredjedel af medlemsstaterne. Hvis dette er tilfældet, underretter den pågældende medlemsstat uden unødig forsinkelse Kommissionen om identiteten af disse kritiske enheder. 7.Medlemsstaterne reviderer og ajourfører om nødvendigt og under alle omstændigheder mindst hvert fjerde år listen over identificerede kritiske enheder. Hvis disse ajourføringer fører til identifikation af yderligere kritiske enheder, finder stk. 3, 4, 5 og 6 anvendelse. Medlemsstaterne sikrer desuden, at enheder, der ikke længere identificeres som kritiske enheder i henhold til en sådan ajourføring, får meddelelse herom og underrettes om, at de ikke længere er omfattet af forpligtelserne i henhold til kapitel III fra modtagelsen af disse oplysninger. Artikel 6

Væsentlig forstyrrende virkning 1.Ved fastlæggelsen af betydningen af en forstyrrende virkning, jf. artikel 5, stk. 2, litra c), tager medlemsstaterne som minimum hensyn til følgende kriterier: (a)antal brugere, der er afhængige af de tjenester, som udbydes af enheden (b)andre sektorers, jf. bilaget, afhængighed af den pågældende tjeneste (c)de konsekvenser, som hændelser kan have med hensyn til omfang og varighed på økonomiske og samfundsmæssige aktiviteter, miljøet og den offentlige sikkerhed (d)virksomhedens markedsandel på markedet for sådanne tjenester (e)det geografiske område, der kan blive berørt af en hændelse, herunder eventuelle grænseoverskridende virkninger (f)enhedens betydning med henblik på at opretholde et tilstrækkeligt tjenesteniveau under hensyntagen til tilgængelige alternative måder til levering af denne tjeneste.

2.Medlemsstaterne sender senest den [tre år og tre måneder efter dette direktivs ikrafttræden] Kommissionen følgende oplysninger: (a)den i artikel 4, stk. 1, nævnte liste over tjenester (b)antallet af identificerede kritiske enheder for hver sektor og delsektor, der er omhandlet i bilaget, og den eller de tjenesteydelser, der er omhandlet i artikel 4, stk. 1, som hver enhed leverer (c)eventuelle tærskler, der anvendes til at specificere et eller flere af kriterierne i stk. 1. De forelægger efterfølgende disse oplysninger, når det er nødvendigt, og mindst hvert fjerde år. 3.Kommissionen kan efter høring af gruppen for kritiske enheders modstandsdygtighed vedtage retningslinjer for at lette anvendelsen af kriterierne i stk. 1 under hensyntagen til de i stk. 2 omhandlede oplysninger. Artikel 7

Enheder svarende til kritiske enheder i henhold til dette kapitel 1. For så vidt angår de sektorer, der er omhandlet i punkt 3, 4 og 8 i bilaget, identificerer medlemsstaterne senest den [tre år og tre måneder efter dette direktivs ikrafttræden] de enheder, der skal behandles som svarende til kritiske enheder med henblik på dette kapitel. De anvender bestemmelserne i artikel 3, artikel 4, artikel 5, stk. 1-4 og stk. 7, og artikel 9 på disse enheder. 2. For så vidt angår enheder i de sektorer, der er omhandlet i punkt 3 og 4 i bilaget, som er identificeret i henhold til stk. 1, sikrer medlemsstaterne med henblik på anvendelsen af artikel 8, stk. 1, at de myndigheder, der er udpeget som kompetente myndigheder, er de kompetente myndigheder, som er udpeget i henhold til artikel 41 i [DORA-forordningen]. 3. Medlemsstaterne sikrer, at de i stk. 1 omhandlede enheder uden unødig forsinkelse underrettes om deres identifikation som enheder som omhandlet i denne artikel. Artikel 8

Kompetente myndigheder og centralt kontaktpunkt 1.Hver medlemsstat udpeger en eller flere kompetente myndigheder, der er ansvarlige for korrekt anvendelse og om nødvendigt håndhævelse af reglerne i dette direktiv på nationalt plan ("kompetent myndighed"). Medlemsstaterne kan udpege en eller flere eksisterende myndigheder. Hvis de udpeger mere end én myndighed, skal de klart angive de berørte myndigheders respektive opgaver og sikre, at de samarbejder effektivt for at udføre deres opgaver i henhold til dette direktiv, herunder med hensyn til udpegelsen af det centrale kontaktpunkt og dets aktiviteter, jf. stk. 2. 2.Hver medlemsstat udpeger inden for rammerne af den kompetente myndighed et centralt kontaktpunkt til at varetage en forbindelsesfunktion for at sikre grænseoverskridende samarbejde med kompetente myndigheder i andre medlemsstater og med gruppen for kritiske enheders modstandsdygtighed, jf. artikel 16 ("centralt kontaktpunkt"). 3.Senest den [tre år og seks måneder efter dette direktivs ikrafttræden] og derefter hvert år forelægger de centrale kontaktpunkter en sammenfattende rapport for Kommissionen og for gruppen for kritiske enheders modstandsdygtighed om de modtagne underretninger, herunder antallet af underretninger, arten af anmeldte hændelser og de foranstaltninger, der er truffet i overensstemmelse med artikel 13, stk. 3. 4.Hver medlemsstat sikrer, at den kompetente myndighed, herunder det centrale kontaktpunkt, der er udpeget inden for denne, har beføjelser og tilstrækkelige finansielle, menneskelige og tekniske ressourcer til på en virkningsfuld og effektiv måde at udføre de opgaver, den har fået pålagt. 5.Medlemsstaterne sikrer, at deres kompetente myndigheder, når det er hensigtsmæssigt og i overensstemmelse med EU-retten og national ret, hører og samarbejder med andre relevante nationale myndigheder, navnlig dem, der er ansvarlige for civilbeskyttelse, retshåndhævelse og beskyttelse af personoplysninger, samt med relevante interesserede parter, herunder kritiske enheder. 6.Medlemsstaterne sikrer, at deres kompetente myndigheder, der er udpeget i henhold til denne artikel, samarbejder med kompetente myndigheder, der er udpeget i henhold til [NIS 2-direktivet], om cybersikkerhedsrisici og cyberhændelser, som påvirker kritiske enheder, samt de foranstaltninger, der træffes af kompetente myndigheder, der er udpeget i henhold til [NIS 2-direktivet], og som er relevante for kritiske enheder. 7.Hver medlemsstat underretter Kommissionen om udpegelsen af den kompetente myndighed og det centrale kontaktpunkt senest tre måneder efter udpegelsen, herunder deres præcise opgaver og ansvarsområder i henhold til dette direktiv, deres kontaktoplysninger og eventuelle efterfølgende ændringer heraf. Hver medlemsstat offentliggør sin udpegelse af den kompetente myndighed og det centrale kontaktpunkt. 8.Kommissionen offentliggør listen over medlemsstaternes centrale kontaktpunkter.

Artikel 9

Medlemsstaternes støtte til kritiske enheder 1.Medlemsstaterne støtter kritiske enheder i deres bestræbelser på at øge deres modstandsdygtighed. Denne støtte kan omfatte udvikling af vejledningsmaterialer og -metoder, støtte til tilrettelæggelse af øvelser med henblik på at teste deres modstandsdygtighed og uddannelse af personale i kritiske enheder. 2.Medlemsstaterne sikrer, at de kompetente myndigheder samarbejder og udveksler oplysninger og god praksis med kritiske enheder i de sektorer, der er omhandlet i bilaget. 3.Medlemsstaterne indfører værktøjer til udveksling af oplysninger til støtte for frivillig udveksling af oplysninger mellem kritiske enheder i forbindelse med spørgsmål, der er omfattet af dette direktiv, i overensstemmelse med EU-retten og national ret om navnlig konkurrence og beskyttelse af personoplysninger. Kapitel III

Kritiske enheders modstandsdygtighed Artikel 10

Kritiske enheders risikovurdering Medlemsstaterne sikrer, at kritiske enheder senest seks måneder efter modtagelsen af den i artikel 5, stk. 3, omhandlede underretning og efterfølgende, når det er nødvendigt, og mindst hvert fjerde år på grundlag af medlemsstaternes risikovurderinger og andre relevante informationskilder vurderer alle relevante risici, der kan forstyrre deres drift. Risikovurderingen tager højde for alle relevante risici, der er omhandlet i artikel 4, stk. 1, og som kan føre til afbrydelse af leveringen af væsentlige tjenester. Den tager hensyn til andre sektorers eventuelle afhængighed af den væsentlige tjeneste, der leveres af den kritiske enhed, herunder i nabomedlemsstater og tredjelande, hvor det er relevant, og den indvirkning, som en afbrydelse af leveringen af væsentlige tjenester i en eller flere af disse sektorer kan have på den væsentlige tjeneste, der leveres af den kritiske enhed. Artikel 11

Foranstaltninger til sikring af kritiske enheders modstandsdygtighed 1.Medlemsstaterne sikrer, at kritiske enheder træffer passende og forholdsmæssige tekniske og organisatoriske foranstaltninger for at sikre deres modstandsdygtighed, herunder foranstaltninger, der er nødvendige for at: (a)forebygge hændelser, herunder gennem foranstaltninger til nedbringelse af katastroferisici og klimatilpasning (b)sikre tilstrækkelig fysisk beskyttelse af følsomme områder, faciliteter og anden infrastruktur, herunder hegn, barrierer, værktøjer og rutiner til overvågning af perimetre samt detektionsudstyr og adgangskontrol (c)modstå og afbøde følgerne af hændelser, herunder gennemførelsen af risiko- og krisestyringsprocedurer samt protokoller og varslingsrutiner (d)sikre genopretning efter hændelser, herunder foranstaltninger vedrørende forretningskontinuitet og identifikation af alternative forsyningskæder (e)sikre passende sikkerhedsstyring for medarbejderne, herunder ved at fastsætte kategorier af personale, der udøver kritiske funktioner, fastlægge adgangsrettigheder til følsomme områder, faciliteter og anden infrastruktur og til følsomme oplysninger samt identificere specifikke personalekategorier med henblik på artikel 12 (f)øge bevidstheden blandt det relevante personale om de foranstaltninger, der er omhandlet i litra a)-e). 2.Medlemsstaterne sikrer, at kritiske enheder har indført og anvender en plan for modstandsdygtighed eller et eller flere tilsvarende dokumenter med en detaljeret beskrivelse af foranstaltningerne i henhold til stk. 1. Hvis kritiske enheder har truffet foranstaltninger i henhold til forpligtelser i andre EU-retsakter, som også er relevante for de foranstaltninger, der er omhandlet i stk. 1, beskriver de også disse foranstaltninger i planen for modstandsdygtighed eller et eller flere tilsvarende dokumenter. 3.Efter anmodning fra den medlemsstat, der identificerede den kritiske enhed, og med samtykke fra den berørte kritiske enhed tilrettelægger Kommissionen rådgivende missioner i overensstemmelse med de ordninger, som er fastsat i artikel 15, stk. 4, 5, 7 og 8, for at rådgive den pågældende kritiske enhed om opfyldelsen af dens forpligtelser i henhold til kapitel III. Den rådgivende mission aflægger rapport til Kommissionen, den pågældende medlemsstat og den berørte kritiske enhed om sine resultater. 4.Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 21 med henblik på at supplere stk. 1 ved at fastsætte detaljerede regler, der præciserer nogle af eller alle de foranstaltninger, der skal træffes i henhold til nævnte stykke. Den vedtager disse delegerede retsakter i det omfang, det er nødvendigt for en effektiv og konsekvent anvendelse af nævnte stykke i overensstemmelse med målene for dette direktiv, under hensyntagen til enhver relevant udvikling inden for risici, teknologi eller levering af de pågældende tjenester samt til eventuelle særlige forhold vedrørende bestemte sektorer og typer af enheder.

5.Kommissionen vedtager gennemførelsesretsakter med henblik på at fastsætte de nødvendige tekniske og metodiske specifikationer vedrørende anvendelsen af de i stk. 1 omhandlede foranstaltninger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 20, stk. 2. Artikel 12

Baggrundskontrol 1.Medlemsstaterne sikrer, at kritiske enheder kan indgive anmodninger om baggrundskontrol af personer, der tilhører visse specifikke kategorier af deres personale, herunder personer, de overvejer at ansætte i stillinger inden for disse kategorier, og at disse anmodninger hurtigt vurderes af de myndigheder, der er kompetente til at foretage en sådan baggrundskontrol. 2.I overensstemmelse med gældende EU-ret og national ret, herunder Europa-Parlamentets og Rådets forordning (EU) 2016/679 skal en baggrundskontrol som omhandlet i stk. 1: (a)fastslå en persons identitet på grundlag af dokumentation (b)omfatte alle strafferegistre i mindst de foregående fem år og i højst ti år om lovovertrædelser, der er relevante for ansættelse i en bestemt stilling, i den eller de medlemsstater, hvor den pågældende person er statsborger, og i en af de medlemsstater eller tredjelande, hvor vedkommende har bopæl i den pågældende periode (c)omfatte tidligere beskæftigelse, uddannelse og eventuelle huller i uddannelse eller beskæftigelse i den pågældendes CV i mindst de foregående fem år og i højst ti år. For så vidt angår første afsnit, litra b), sikrer medlemsstaterne, at deres myndigheder, der har kompetence til at foretage baggrundskontrol, indhenter oplysninger om strafferegistre fra andre medlemsstater gennem ECRIS i overensstemmelse med procedurerne i Rådets rammeafgørelse 2009/315/RIA og, hvor det er relevant, Europa-Parlamentets og Rådets forordning (EU) 2019/816. De centrale myndigheder, jf. artikel 3 i nævnte rammeafgørelse og artikel 3, stk. 5, i nævnte forordning, besvarer anmodninger om sådanne oplysninger senest 10 arbejdsdage efter modtagelsen af anmodningen. 3.I overensstemmelse med gældende EU-ret og national ret, herunder forordning (EU) 2016/679, sikrer hver medlemsstat, at en baggrundskontrol som omhandlet i stk. 1 også kan udvides på grundlag af en behørigt begrundet anmodning fra den kritiske enhed for at trække på efterretninger og alle andre tilgængelige objektive oplysninger, som måtte være nødvendige for at fastslå, om den pågældende person er egnet til at beklæde den stilling, for hvilken den kritiske enhed har anmodet om en udvidet baggrundskontrol. Artikel 13

Underretning om hændelser 1.Medlemsstaterne sikrer, at kritiske enheder uden unødig forsinkelse underretter den kompetente myndighed om hændelser, der i væsentlig grad forstyrrer eller har potentiale til i væsentlig grad at forstyrre deres drift. Underretninger skal indeholde alle tilgængelige oplysninger, der er nødvendige for, at den kompetente myndighed kan forstå hændelsens art, årsag og mulige konsekvenser, herunder med henblik på at fastslå hændelsens eventuelle grænseoverskridende virkninger. Underretningen medfører ikke et øget ansvar for den kritiske enhed. 2.Med henblik på at fastlægge omfanget af en hændelses konsekvenser tages navnlig følgende kriterier i betragtning: (a)antallet af brugere, der berøres af forstyrrelsen eller den potentielle forstyrrelse af den væsentlige tjeneste (b)varigheden af forstyrrelsen eller den forventede varighed af en potentiel forstyrrelse (c)det geografiske område, der er berørt af forstyrrelsen eller den potentielle forstyrrelse. 3.På grundlag af oplysningerne i underretningen fra den kritiske enhed underretter den kompetente myndighed via sit centrale kontaktpunkt det centrale kontaktpunkt i andre berørte medlemsstater, hvis hændelsen har eller kan have en væsentlig indvirkning på kritiske enheder og kontinuiteten i leveringen af væsentlige tjenester i en eller flere andre medlemsstater. I den forbindelse behandler de centrale kontaktpunkter i overensstemmelse med EU-retten eller national lovgivning, der er i overensstemmelse med EU-retten, oplysningerne på en måde, der respekterer oplysningernes fortrolighed og beskytter den pågældende kritiske enheds sikkerhed og kommercielle interesser. 4.Så snart den kompetente myndighed er blevet underrettet i overensstemmelse med stk. 1, giver den den kritiske enhed, der har underrettet den, relevante oplysninger om opfølgningen af underretningen, herunder oplysninger, som kan understøtte den kritiske enheds effektive reaktion på hændelsen. Kapitel IV

Specifikt tilsyn med kritiske enheder af særlig europæisk betydning

Artikel 14

Kritiske enheder af særlig europæisk betydning 1.Kritiske enheder af