COMISIÓN EUROPEA Bruselas, 16.12.2020 COM(2020) 829 final 2020/0365(COD) Propuesta de DIRECTIVA DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativa a la resiliencia de las entidades críticas {SEC(2020) 433 final} - {SWD(2020) 358 final} - {SWD(2020) 359 final}



EXPOSICIÓN DE MOTIVOS 1.CONTEXTO DE LA PROPUESTA ·Razones y objetivos de la propuesta Para proteger eficazmente a los europeos, la Unión Europea debe seguir reduciendo las vulnerabilidades, en particular de las infraestructuras críticas que son esenciales para el funcionamiento de nuestras sociedades y nuestra economía. Los medios de subsistencia de los ciudadanos europeos y el buen funcionamiento del mercado interior dependen de diferentes infraestructuras para la prestación fiable de los servicios necesarios para mantener actividades sociales y económicas críticas. Estos servicios, vitales en circunstancias normales, son tanto más importantes cuanto que Europa gestiona los efectos de la pandemia de COVID-19 y procura recuperarse de ella. Cabe deducir que las entidades que prestan servicios esenciales deben ser resilientes, es decir, capaces de resistir, absorber, adaptarse y recuperarse de incidentes que pueden dar lugar a perturbaciones graves, potencialmente intersectoriales y transfronterizas. La presente propuesta tiene por objeto mejorar la prestación en el mercado interior de servicios esenciales para el mantenimiento de funciones sociales o actividades económicas vitales, aumentando la resiliencia de las entidades críticas que prestan tales servicios. Da respuesta a los recientes llamamientos a la acción del Consejo y del Parlamento Europeo, que han inducido a la Comisión a revisar el enfoque actual para reflejar mejor los crecientes desafíos a los que se enfrentan las entidades críticas y garantizar una mayor armonización con la Directiva sobre redes y sistemas de información (SRI). La presente propuesta es coherente y establece estrechas sinergias con la Directiva relativa a las medidas destinadas a garantizar un nivel común de ciberseguridad en toda la Unión (la «Directiva SRI 2»), que sustituirá a la vigente Directiva SRI con el fin de hacer frente al aumento de la interconexión entre el mundo físico y digital mediante un marco legislativo con sólidas medidas de resiliencia, tanto para los aspectos cibernéticos como físicos, tal como se establece en la Estrategia para una Unión de la Seguridad. Además, la propuesta refleja los enfoques nacionales de un número cada vez más numeroso de Estados miembros, que tienden a hacer hincapié en las interdependencias intersectoriales y transfronterizas y están cada vez más informados por el concepto de resiliencia, en el que la protección es solo un elemento junto con la prevención y mitigación de riesgos, la continuidad de las actividades y la recuperación. Dado que las infraestructuras críticas corren el riesgo de ser también posibles objetivos terroristas, las medidas destinadas a garantizar la resiliencia de las entidades críticas incluidas en la presente propuesta contribuyen a los objetivos de la recientemente adoptada Agenda de lucha contra el terrorismo de la UE. Hace tiempo que la Unión Europea (UE) reconoció la importancia paneuropea de las infraestructuras críticas. Por ejemplo, la UE creó el Programa Europeo para la Protección de Infraestructuras Críticas (PEPIC) en 2006 y adoptó la Directiva sobre las infraestructuras críticas europeas (ICE) en 2008. La Directiva ICE, que solo se aplica a los sectores de la energía y los transportes, establece un procedimiento para identificar y designar ICE europeas cuya perturbación o destrucción tendría importantes repercusiones transfronterizas en al menos dos Estados miembros. También establece requisitos específicos de protección de los operadores de ICE y las autoridades competentes de los Estados miembros. Hasta la fecha, se han designado noventa y cuatro ICE, dos tercios de las cuales se encuentran en tres Estados miembros de Europa Central y Oriental. Sin embargo, el ámbito de aplicación de la acción de la UE en materia de resiliencia de las infraestructuras críticas va más allá de estas medidas e incluye medidas sectoriales e intersectoriales sobre, entre otras cosas, la protección contra el cambio climático, la protección civil, la inversión extranjera directa y la ciberseguridad. Mientras tanto, los Estados miembros han adoptado sus propias medidas en este ámbito, que difieren entre sí. Por lo tanto, es evidente que el marco vigente de protección de las infraestructuras críticas no basta para hacer frente a los retos actuales de las infraestructuras críticas y de las entidades que las gestionan. Dada la creciente interconexión entre infraestructuras, redes y operadores que prestan servicios esenciales en todo el mercado interior, es necesario cambiar radicalmente el enfoque actual de proteger activos específicos para reforzar la resiliencia de las entidades críticas que los gestionan. El entorno operativo en el que operan las entidades críticas ha cambiado significativamente en los últimos años. En primer lugar, el panorama de riesgos es más complejo que en 2008 e implica actualmente peligros naturales (en muchos casos agravados por el cambio climático), acciones híbridas patrocinadas por el Estado, terrorismo, amenazas internas, pandemias y accidentes (como los accidentes industriales). En segundo lugar, los operadores afrontan retos al integrar en sus operaciones nuevas tecnologías como la 5G y los vehículos no tripulados, solucionando al mismo tiempo las vulnerabilidades que estas tecnologías podrían crear. En tercer lugar, estas tecnologías y otras tendencias hacen que los operadores dependan cada vez más entre sí. Las consecuencias son claras: una perturbación que afecte a la prestación de servicios por parte de un operador de un sector puede generar efectos en cascada en la prestación de servicios en otros sectores, y también potencialmente en otros Estados miembros o en toda la Unión. Como pone de manifiesto la evaluación de 2019 de la Directiva ICE, las medidas europeas y nacionales existentes tienen limitaciones a la hora de ayudar a los operadores a hacer frente a los retos operativos que afrontan actualmente y a las vulnerabilidades resultantes de su naturaleza interdependiente. Existen varias razones para ello, tal como se expone en la evaluación de impacto que respaldó la elaboración de la propuesta. En primer lugar, los operadores no son totalmente conscientes o no comprenden plenamente las implicaciones del panorama dinámico de riesgos en el que operan. En segundo lugar, los esfuerzos de resiliencia difieren considerablemente entre Estados miembros y sectores. En tercer lugar, algunos Estados miembros reconocen que algunas categorías de entidades similares son críticas, pero otras no, lo que significa que entidades comparables reciben distintos grados de apoyo oficial al desarrollo de capacidades (en forma, por ejemplo, de orientación, formación y organización del ejercicio), en función del lugar en el que operan en la Unión, y están sujetas a requisitos diferentes. El hecho de que los requisitos y el apoyo gubernamental a los operadores varíen de un Estado miembro a otro crea obstáculos a los operadores que actúan a través de las fronteras, en particular a las entidades críticas que operan en Estados miembros con marcos más estrictos. Dado el carácter cada vez más interconectado de la prestación de servicios y de los sectores en los Estados miembros y en toda la UE, un nivel insuficiente de resiliencia por parte de un operador supone un grave riesgo para otras entidades del mercado interior. Además de poner en peligro el buen funcionamiento del mercado interior, las perturbaciones, especialmente las que tienen implicaciones transfronterizas y potencialmente paneuropeas, pueden tener graves consecuencias negativas para los ciudadanos, las empresas, los gobiernos y el medio ambiente. De hecho, a nivel individual, las interrupciones pueden afectar a la capacidad de los europeos de viajar libremente, trabajar y utilizar los servicios públicos esenciales, como la asistencia sanitaria. En muchos casos, estos y otros servicios básicos que sustentan la vida cotidiana son prestados por redes estrechamente interconectadas de empresas europeas; la perturbación de una empresa en un sector puede tener efectos en cascada en muchos otros sectores económicos. Por último, perturbaciones como, por ejemplo, las interrupciones de energía a gran escala y los accidentes graves de transporte, pueden contribuir a erosionar la protección y la seguridad públicas, lo que genera incertidumbre y socava la confianza en las entidades críticas, así como en las autoridades responsables de su supervisión y de garantizar la protección y la seguridad de la población. ·Coherencia con las disposiciones vigentes en este ámbito La presente propuesta refleja las prioridades de la Estrategia de la UE para una Unión de la Seguridad de la Comisión, que aboga por un enfoque revisado de la resiliencia de las infraestructuras críticas que refleje mejor el panorama de riesgos actual y las previsiones para el futuro, las interdependencias cada vez más estrechas entre los distintos sectores y las relaciones cada vez más interdependientes entre las infraestructuras físicas y digitales. La Directiva propuesta sustituye a la Directiva ICE, a la vez que tiene en cuenta y se basa en otros instrumentos existentes y previstos. La propuesta de Directiva representa un cambio considerable con respecto a la Directiva sobre las infraestructuras críticas europeas, que se aplica únicamente a los sectores de la energía y los transportes, se centra exclusivamente en las medidas de protección y establece un procedimiento para identificar y designar las ICE mediante el diálogo transfronterizo. En primer lugar, la Directiva propuesta tendría un ámbito de aplicación sectorial mucho más amplio, que abarcaría diez sectores, a saber, la energía, el transporte, la banca, la infraestructura del mercado financiero, la salud, el agua potable, las aguas residuales, la infraestructura digital, la administración pública y el espacio. En segundo lugar, la Directiva establece un procedimiento para que los Estados miembros identifiquen las entidades críticas utilizando criterios comunes, sobre la base de una evaluación nacional de riesgos. En tercer lugar, la propuesta establece obligaciones de los Estados miembros y las entidades críticas que estos identifiquen, sobre todo las que tengan una importancia europea particular, es decir, las entidades críticas que prestan servicios esenciales a un tercio o más de los Estados miembros que serían objeto de una supervisión específica. Cuando proceda, la Comisión prestará apoyo a las autoridades competentes y a las entidades críticas en el cumplimiento de sus obligaciones en virtud de la Directiva. Además, el Grupo de Resiliencia de las Entidades Críticas, que es un grupo de expertos de la Comisión sujeto al marco horizontal aplicable a dichos grupos, asesoraría a la Comisión y fomentaría la cooperación estratégica y el intercambio de información. Por último, dado que las interdependencias no se detienen en las fronteras exteriores de la UE, también es necesario un compromiso con los países socios. La propuesta de Directiva prevé la posibilidad de tal cooperación, por ejemplo, en el ámbito de las evaluaciones de riesgos. ·Coherencia con otras políticas de la Unión

La Directiva propuesta tiene vínculos evidentes y es coherente con otras iniciativas sectoriales e intersectoriales de la UE relativas, entre otras cosas, a la protección contra el cambio climático, la protección civil, la inversión extranjera directa (IED), la ciberseguridad y el acervo en materia de servicios financieros. En particular, la propuesta está claramente alineada y establece estrechas sinergias con la propuesta de Directiva SRI 2, cuyo objetivo es aumentar la resiliencia de las tecnologías de la información y la comunicación (TIC) ante todos los riesgos posibles por parte de las «entidades esenciales» y las «entidades importantes» que alcancen umbrales específicos en un gran número de sectores. La presente propuesta de Directiva relativa a la resiliencia de las entidades críticas tiene por objeto garantizar que las autoridades competentes designadas en virtud de la presente Directiva y las designadas en virtud de la Directiva SRI 2 adopten medidas complementarias e intercambien información cuando sea necesario en relación con la ciberresiliencia y la resiliencia no cibernética, y que las entidades especialmente críticas de los sectores considerados «esenciales» con arreglo a la propuesta de Directiva SRI 2 también estén sujetas a obligaciones más generales de mejora de la resiliencia para hacer frente a los riesgos no cibernéticos. La seguridad física de las redes y los sistemas de información de las entidades del sector de las infraestructuras digitales se regula de forma exhaustiva en la propuesta de Directiva SRI 2 como parte de las obligaciones de estas entidades en materia de gestión de riesgos de ciberseguridad e información. Además, la propuesta se basa en el acervo en materia de servicios financieros, que establece requisitos generales para que las entidades financieras gestionen los riesgos operativos y garanticen la continuidad de las actividades. Por consiguiente, las entidades pertenecientes a los sectores de infraestructuras digitales, bancarias y financieras deben ser tratadas como entidades equivalentes a las entidades críticas en virtud de la presente Directiva a efectos de las obligaciones y actividades de los Estados miembros, mientras que la presente Directiva no impondría obligaciones adicionales a esas entidades. La propuesta también tiene en cuenta otras iniciativas sectoriales e intersectoriales relativas, por ejemplo, a la protección civil, la reducción del riesgo de catástrofes y la adaptación al cambio climático. Además, la propuesta reconoce que, en determinados casos, la legislación de la UE vigente impone a las entidades la obligación de afrontar determinados riesgos mediante medidas de protección. En tales casos, por ejemplo, en materia de seguridad aérea o marítima, las entidades críticas deberán describir dichas medidas en sus planes de resiliencia. Además, la Directiva propuesta se entiende sin perjuicio de la aplicación de las normas de competencia establecidas en el Tratado de Funcionamiento de la Unión Europea (TFUE). 2.BASE JURÍDICA, SUBSIDIARIEDAD Y PROPORCIONALIDAD ·Base jurídica A diferencia de la Directiva 2008/114/CE, que se basaba en el artículo 308 del Tratado constitutivo de la Comunidad Europea (correspondiente al actual artículo 352 del Tratado de Funcionamiento de la Unión Europea), la presente propuesta de Directiva se basa en el artículo 114 del TFUE, que implica la aproximación de las legislaciones para la mejora del mercado interior. Esto se justifica por el cambio del objetivo, el ámbito de aplicación y el contenido de la Directiva, el aumento de las interdependencias y la necesidad de establecer unas condiciones de competencia más equitativas para las entidades críticas. En lugar de proteger un conjunto limitado de infraestructuras físicas cuya perturbación o destrucción tendría un impacto transversal significativo, el objetivo es aumentar la resiliencia de las entidades de los Estados miembros que son críticas para la prestación de servicios esenciales para el mantenimiento de funciones sociales o de actividades económicas vitales en el mercado interior en una serie de sectores que sustentan el funcionamiento de muchos otros sectores de la economía de la Unión. Debido al aumento de las interdependencias transfronterizas entre los servicios prestados mediante infraestructuras críticas en esos sectores, una perturbación en un Estado miembro puede tener implicaciones en otros Estados miembros o en la Unión en su conjunto. El marco jurídico regulador de los servicios en cuestión vigente en los Estados miembros impone obligaciones sustancialmente divergentes, divergencias que probablemente se acrecienten. Las normas nacionales divergentes a las que están sujetas las entidades críticas no solo comprometen la fiabilidad de la prestación de servicios en todo el mercado interior, sino que también pueden afectar negativamente a la competencia. Ello se debe principalmente a que entidades similares que prestan servicios similares se consideran críticas en unos Estados miembros, pero no en otros. Esto significa que las entidades que operan o desean operar en más de un Estado miembro están sujetas a obligaciones divergentes cuando actúan en el mercado interior, y que las entidades que operan en Estados miembros con requisitos más estrictos pueden enfrentarse a obstáculos en comparación con las que operan en Estados miembros con marcos más favorables. Estas divergencias tienen un efecto negativo directo en el funcionamiento del mercado interior. ·Subsidiariedad Un marco legislativo común europeo en este ámbito se justifica por el carácter interdependiente y transfronterizo de las relaciones entre las operaciones de las infraestructuras críticas y sus resultados, es decir, los servicios esenciales. De hecho, un operador situado en un Estado miembro puede prestar servicios en otros Estados miembros o en toda la UE a través de redes estrechamente interrelacionadas. De ello se deduce que una perturbación que afecte a este operador podría tener efectos de gran alcance en otros sectores y más allá de las fronteras nacionales. Las posibles implicaciones paneuropeas de las perturbaciones exigen una actuación a escala de la UE. Además, las normas nacionales divergentes tienen un efecto negativo directo en el funcionamiento del mercado interior. Como ha demostrado la evaluación de impacto, muchos Estados miembros y partes interesadas del sector consideran necesario un enfoque europeo más común y coordinado para garantizar que las entidades sean suficientemente resilientes frente a distintos riesgos que, pese a las diferencias de un Estado miembro a otro, generan muchos retos comunes que no pueden afrontarse con medidas nacionales o de los operadores por sí solos. ·Proporcionalidad La propuesta es proporcionada en relación con el objetivo general declarado de la iniciativa. Si bien las obligaciones de los Estados miembros y las entidades críticas pueden implicar en determinados casos una carga administrativa adicional, por ejemplo, cuando los Estados miembros necesiten desarrollar una estrategia nacional o cuando las entidades críticas deban aplicar determinadas medidas técnicas y organizativas, se prevé que sean, en general, de naturaleza limitada. A este respecto, cabe señalar que muchas entidades ya han adoptado algunas medidas de seguridad para proteger sus infraestructuras y garantizar la continuidad de las actividades. No obstante, en algunos casos, el cumplimiento de la Directiva podrá requerir inversiones más importantes. Incluso en tales casos, estas inversiones están justificadas en la medida en que contribuirían a reforzar la resiliencia de los operadores y el sistema, así como a un enfoque más coherente y a una mayor capacidad para prestar servicios fiables en toda la Unión. Además, se espera que cualquier carga adicional derivada de la Directiva se vea ampliamente superada por los costes asociados a tener que gestionar y recuperarse de perturbaciones graves que pongan en peligro la prestación ininterrumpida de servicios relacionados con funciones sociales vitales y el bienestar económico de los operadores, los Estados miembros, la Unión y sus ciudadanos en general. ·Elección del instrumento La propuesta adopta la forma de una Directiva destinada a garantizar un enfoque más común de la resiliencia de las entidades críticas en una serie de sectores en toda la Unión. La propuesta establece obligaciones específicas para que las autoridades competentes identifiquen las entidades críticas sobre la base de criterios comunes y los resultados de la evaluación de riesgos. Con una Directiva es posible garantizar que los Estados miembros apliquen un enfoque uniforme para identificar las entidades críticas, teniendo en cuenta al mismo tiempo las especificidades nacionales, en particular los distintos niveles de exposición al riesgo y las interdependencias intersectoriales y transfronterizas. 3.RESULTADOS DE LAS EVALUACIONES EX POST, LAS CONSULTAS CON LAS PARTES INTERESADAS Y LAS EVALUACIONES DE IMPACTO ·Evaluaciones ex post / control de calidad de la legislación vigente La Directiva relativa a las infraestructuras críticas europeas fue objeto en 2019 de una evaluación de su aplicación en términos de pertinencia, coherencia, eficacia, eficiencia, valor añadido de la UE y sostenibilidad. La evaluación llegó a la conclusión de que el contexto había cambiado considerablemente desde la entrada en vigor de la Directiva. A la vista de estos cambios, se consideró que la Directiva solo tenía una relevancia parcial. Aunque la evaluación concluyó que la Directiva era en general coherente con la legislación sectorial europea y la política internacional, se consideró que solo era parcialmente eficaz debido a la generalidad de algunas de sus disposiciones. Se constató que la Directiva había generado valor añadido europeo en la medida en que logró resultados (es decir, un marco común para la protección de las ICE) que, de otro modo, ni las iniciativas nacionales ni otras europeas habrían podido lograr sin emprender procesos mucho más largos, más costosos y menos definidos. Dicho esto, se constató que algunas disposiciones tenían un valor añadido limitado para muchos Estados miembros. Por lo que se refiere a la sostenibilidad, se esperaba que determinados efectos generados por la Directiva (por ejemplo, debates transfronterizos o requisitos de información) cesaran en caso de que se derogara y no se sustituyera. La evaluación puso de manifiesto que los Estados miembros siguen apoyando la participación de la UE en los esfuerzos por reforzar la resiliencia de las infraestructuras críticas, y que existe cierta preocupación por que la derogación total de la Directiva pueda tener efectos negativos en este ámbito, concretamente en la protección de las infraestructuras críticas europeas designadas. Los Estados miembros se mostraron dispuestos a garantizar que el compromiso de la Unión en este ámbito siga respetando el principio de subsidiariedad, apoye medidas a nivel nacional y facilite la cooperación transfronteriza, también con terceros países. ·Consulta de las partes interesadas Al elaborar la presente propuesta, la Comisión ha consultado a una amplia gama de partes interesadas, entre ellas: instituciones y agencias de la Unión Europea; organizaciones internacionales; autoridades de los Estados miembros; entidades privadas, incluidos operadores y asociaciones industriales nacionales y europeas que representan a operadores de muchos sectores diferentes; expertos y redes de expertos, incluida la Red Europea de Referencia para la Protección de Infraestructuras Críticas (ERNCIP); representantes del mundo académico; organizaciones no gubernamentales y el público en general.

Se consultó a las partes interesadas por diversos medios, entre ellos: un mecanismo de comentarios públicos a la evaluación inicial del impacto de la presente propuesta; seminarios consultivos; cuestionarios específicos; intercambios bilaterales y una consulta pública (para apoyar la evaluación de 2019 de la Directiva ICE. Además, el contratista externo responsable del estudio de viabilidad que apoyó el desarrollo de la evaluación de impacto incluyó consultas con muchas partes interesadas a través, por ejemplo, de una encuesta en línea, un cuestionario escrito, entrevistas únicas y visitas virtuales sobre el terreno en diez Estados miembros. Estas consultas permitieron a la Comisión explorar la eficacia, la eficiencia, la pertinencia, la coherencia y el valor añadido de la UE del marco vigente para la resiliencia de las infraestructuras críticas (es decir, la situación de partida), los problemas que ha generado, las diferentes opciones políticas que podrían tenerse en cuenta para resolver estos problemas y los efectos específicos que cabría esperar de estas opciones. En términos generales, las consultas señalaron una serie de ámbitos en los que había un consenso general entre las partes interesadas, sobre todo en el sentido de que el actual marco de la UE para la resiliencia de las infraestructuras críticas debería renovarse a la luz de las crecientes interdependencias intersectoriales y de un panorama de amenazas cambiante. Concretamente, las partes interesadas estuvieron de acuerdo en general en que cualquier nuevo enfoque debería consistir en una combinación de medidas vinculantes y no vinculantes, centrarse en la resiliencia en lugar de hacerlo en la protección de los activos y proporcionar un vínculo más obvio entre las medidas destinadas a mejorar la resiliencia cibernética y no cibernética. Además, apoyaron un enfoque que tenga en cuenta las disposiciones de la legislación sectorial vigente, abarcando al menos los sectores cubiertos por la Directiva SRI en vigor, y unas obligaciones más uniformes para las entidades críticas a escala nacional, que, a su vez, deberían poder realizar un control de seguridad suficiente del personal con acceso a instalaciones o información sensibles. Por otro lado, las partes interesadas sugirieron que cualquier nuevo enfoque debería crear oportunidades para que los Estados miembros lleven a cabo una supervisión reforzada de las actividades de las entidades críticas, pero también garantizar que las entidades críticas de importancia paneuropea estén identificadas y sean suficientemente resilientes. Por último, abogaron por una mayor financiación y apoyo de la UE, por ejemplo, la aplicación de cualquier nuevo instrumento, el desarrollo de capacidades a nivel nacional, la coordinación/cooperación entre los sectores público y privado y el intercambio de buenas prácticas, conocimientos y experiencia a distintos niveles. La presente propuesta contiene disposiciones que, en general, se corresponden con las opiniones y preferencias expresadas por las partes interesadas. ·Obtención y utilización de asesoramiento Como se ha mencionado en la sección anterior, la Comisión ha recurrido al asesoramiento externo en el contexto de las consultas, por ejemplo, con expertos independientes, redes de expertos y representantes del mundo académico, para elaborar la presente propuesta. ·Evaluación de impacto La evaluación de impacto que respaldó el desarrollo de esta iniciativa exploró diferentes opciones políticas para resolver los problemas generales y específicos descritos anteriormente. Además de la situación de partida, que no implicaría ningún cambio con respecto a la situación actual, estas opciones fueron: –Opción 1: mantenimiento de la vigente Directiva ICE, acompañada de medidas voluntarias en el contexto del actual programa PEPIC. –Opción 2: revisión de la vigente Directiva ICE para abarcar los mismos sectores que la vigente Directiva SRI y centrarse más en la resiliencia. La nueva Directiva sobre las infraestructuras críticas europeas supondría cambios en el actual proceso de designación transfronteriza de las ICE, en particular nuevos criterios de designación, y nuevos requisitos para los Estados miembros y los operadores. –Opción 3: sustitución de la vigente Directiva ICE por un nuevo instrumento destinado a aumentar la resiliencia de las entidades críticas en los sectores considerados esenciales en la propuesta de Directiva SRI 2. Esta opción establecería unos requisitos mínimos para los Estados miembros y las entidades críticas identificadas en el nuevo marco. Se establecería un procedimiento para la identificación de las entidades críticas que ofrezcan servicios a o en varios Estados miembros de la UE, si no todos. La aplicación de la legislación contaría con el apoyo de un centro de conocimientos específico dentro de la Comisión. –Opción 4: sustitución de la vigente Directiva ICE por un nuevo instrumento destinado a aumentar la resiliencia de las entidades críticas en los sectores considerados esenciales en la propuesta de Directiva SRI 2, así como una función más sustancial de la Comisión en la identificación de las entidades críticas y la creación de una agencia de la UE responsable de la resiliencia de las infraestructuras críticas (que asumiría las funciones y responsabilidades asignadas al centro de conocimientos propuesto en la opción anterior). A la luz de los diversos impactos económicos, sociales y medioambientales asociados a cada una de las opciones, pero también de su valor en términos de eficacia, eficiencia y proporcionalidad, la evaluación de impacto concluyó que la opción preferida era la opción 3. Si las opciones 1 y 2 no aportarían los cambios necesarios para resolver el problema, la opción 3 daría lugar a un marco de resiliencia armonizado y más completo que también se ajustaría a la legislación vigente de la Unión en ámbitos conexos y tendría en cuenta dicha legislación. La opción 3 también se consideró proporcionada y políticamente viable, ya que se ajusta a las declaraciones del Consejo y del Parlamento sobre la necesidad de una actuación de la Unión en este ámbito. Además, se consideró probable que esta opción garantice la flexibilidad y ofrezca un marco con visión de futuro que permita a las entidades críticas responder a diferentes riesgos a lo largo del tiempo. Por último, la evaluación de impacto concluyó que esta opción sería complementaria de los marcos e instrumentos sectoriales e intersectoriales existentes. Por ejemplo, esta opción permite tener en cuenta cuándo las entidades designadas cumplen determinadas obligaciones contenidas en este nuevo instrumento en virtud de obligaciones de los instrumentos ya existentes, en cuyo caso no se les exigiría que tomaran medidas adicionales. Por otra parte, se espera que adopten determinadas medidas cuando los instrumentos existentes no traten el asunto o se limiten a determinados tipos de riesgos o medidas. La evaluación de impacto fue examinada por el Comité de Control Reglamentario, que emitió un dictamen favorable con reservas el 20 de noviembre de 2020. El Comité señaló una serie de elementos de la evaluación de impacto que deben atenderse. Concretamente, solicitó aclaraciones adicionales sobre los riesgos relacionados con las infraestructuras críticas y la dimensión transfronteriza, el vínculo entre la iniciativa y la revisión en curso de la Directiva SRI, y la relación entre la opción preferida y otros actos legislativos sectoriales. Además, el Comité consideró necesaria una mayor justificación para ampliar el ámbito sectorial del instrumento, y solicitó información adicional sobre los criterios para seleccionar entidades críticas. Por último, por lo que se refiere a la proporcionalidad, el Comité pidió aclaraciones adicionales sobre cómo la opción preferida daría lugar a mejores respuestas nacionales a los riesgos transfronterizos. Estas y otras observaciones más detalladas formuladas por el Comité se han tomado en consideración en la versión final de la evaluación de impacto, que, por ejemplo, describe con más detalle los riesgos transfronterizos de las infraestructuras críticas y la relación entre la presente propuesta y la propuesta de Directiva SRI 2. Las observaciones del Comité también se han tenido en cuenta en la propuesta de Directiva que figura a continuación. ·Adecuación normativa y simplificación En consonancia con el Programa de Adecuación y Eficacia de la Reglamentación (REFIT) de la Comisión, todas las iniciativas destinadas a modificar la legislación vigente de la UE deben tratar de simplificar y alcanzar los objetivos políticos declarados de manera más eficiente. Las conclusiones de la evaluación de impacto sugieren que la propuesta debería reducir la carga global para los Estados miembros. Es probable que una mayor armonización con el enfoque orientado a los servicios de la vigente Directiva SRI dé lugar a una reducción de los costes de cumplimiento a lo largo del tiempo. Por ejemplo, el oneroso proceso transfronterizo de identificación y designación de la vigente Directiva ICE se sustituiría por un procedimiento basado en el riesgo a nivel nacional, destinado únicamente a identificar entidades críticas sujetas a diversas obligaciones. Sobre la base de la evaluación de riesgos, los Estados miembros identificarían las entidades críticas, la mayoría de las cuales ya están designadas como operadores de servicios esenciales con arreglo a la Directiva SRI en vigor. Además, al adoptar medidas para aumentar su resiliencia, las entidades críticas tendrán menos probabilidades de sufrir perturbaciones. Así pues, se reduciría la probabilidad de que se produzcan incidentes perturbadores que afecten negativamente a la prestación de servicios esenciales en los distintos Estados miembros y en toda Europa. Esto, junto con los efectos positivos resultantes de la armonización a escala de la Unión de normas nacionales divergentes, tendría un impacto positivo en las empresas, incluidas las microempresas y las pequeñas y medianas empresas, en la salud general de la economía de la Unión y en el funcionamiento fiable del mercado interior. ·Derechos fundamentales La propuesta legislativa tiene por objeto aumentar la resiliencia de las entidades críticas que prestan diversas formas de servicios esenciales, eliminando al mismo tiempo los obstáculos reglamentarios a su capacidad para prestar sus servicios en toda la Unión. De este modo, se reducirían el riesgo global de perturbaciones, tanto a nivel social como individual, y las cargas. Esto contribuiría a garantizar un mayor nivel de seguridad pública, al tiempo que afectaría positivamente a la libertad de las empresas, así como a muchos otros operadores económicos que dependen de la prestación de servicios esenciales, beneficiando en última instancia a los consumidores. Las disposiciones de la propuesta destinadas a garantizar una gestión eficaz de la protección de los empleados implicarán normalmente el tratamiento de datos personales. Esto se justifica por la necesidad de llevar a cabo controles de antecedentes de categorías específicas de personal. Además, todo tratamiento de datos personales siempre estará sujeto al cumplimiento de las normas de la Unión en materia de protección de datos personales, en particular el Reglamento general de protección de datos. 4.REPERCUSIONES PRESUPUESTARIAS La Directiva propuesta tiene repercusiones en el presupuesto de la Unión. Los recursos financieros totales necesarios para apoyar la aplicación de la presente propuesta se estiman en 42,9 millones EUR para el período 2021-2027, de los cuales 5,1 millones EUR corresponden a gastos administrativos. Estos costes pueden desglosarse del siguiente modo:

–actividades de apoyo de la Comisión, incluida la dotación de personal, proyectos, estudios y actividades de apoyo; –misiones de asesoramiento organizadas por la Comisión; –reuniones periódicas del Grupo de Resiliencia de las Entidades Críticas, del Comité de comitología y de otras reuniones. En la ficha financiera legislativa que acompaña a la presente propuesta se ofrece información más detallada. 5.OTROS ELEMENTOS ·Planes de ejecución y modalidades de seguimiento, evaluación y notificación La aplicación de la Directiva propuesta se revisará a más tardar cuatro años y medio después de su entrada en vigor, tras lo cual la Comisión presentará un informe al Parlamento Europeo y al Consejo. Este informe evaluará hasta qué punto los Estados miembros han adoptado las medidas necesarias para dar cumplimiento a lo dispuesto en la Directiva. La Comisión presentará al Parlamento Europeo y al Consejo un informe de evaluación del impacto y del valor añadido de la Directiva seis años después de su entrada en vigor. ·Explicación detallada de las disposiciones específicas de la propuesta Objeto, ámbito de aplicación y definiciones (artículos 1 y 2) El artículo1 define el objeto y el ámbito de aplicación de la Directiva, que establece la obligación de los Estados miembros de adoptar determinadas medidas destinadas a garantizar la prestación en el mercado interior de servicios esenciales para el mantenimiento de funciones sociales o actividades económicas vitales, en particular para identificar las entidades críticas y permitirles cumplir obligaciones específicas destinadas a aumentar su resiliencia y mejorar su capacidad de prestar esos servicios en el mercado interior. La Directiva también establece normas para la supervisión y ejecución de las entidades críticas y la supervisión específica de las entidades críticas consideradas de particular importancia europea. El artículo 1 también explica la relación entre la Directiva y otros actos pertinentes del Derecho de la Unión, así como las condiciones en las que se intercambiará con la Comisión y otras autoridades pertinentes información confidencial con arreglo a las normas de la Unión y nacionales. El artículo 2 contiene una lista de las definiciones aplicables. Marcos nacionales para la resiliencia de las entidades críticas (artículos 3 a 9) El artículo 3 dispone que los Estados miembros adoptarán una estrategia para reforzar la resiliencia de las entidades críticas, describe los elementos que debe contener, explica que debe actualizarse periódicamente y cuando sea necesario, y estipula que los Estados miembros comunicarán sus estrategias y cualquier actualización de sus estrategias a la Comisión. El artículo 4 dispone que las autoridades competentes establecerán una lista de los servicios esenciales y evaluarán periódicamente todos los riesgos pertinentes que puedan afectar a su prestación con el fin de identificar las entidades críticas. Esta evaluación tendrá en cuenta las evaluaciones de riesgos realizadas de conformidad con otros actos pertinentes del Derecho de la Unión, los riesgos derivados de las dependencias entre sectores específicos y la información disponible sobre incidentes. Los Estados miembros velarán por que los elementos pertinentes de la evaluación de riesgos se pongan a disposición de las entidades críticas y por que los datos sobre los tipos de riesgos identificados y los resultados de sus evaluaciones de riesgos se pongan periódicamente a disposición de la Comisión. El artículo 5 dispone que los Estados miembros identificarán las entidades críticas en sectores y subsectores específicos. El proceso de identificación deberá tener en cuenta los resultados de la evaluación de riesgos y aplicar criterios específicos. Los Estados miembros establecerán una lista de entidades críticas, que se actualizará cuando sea necesario y periódicamente. Se notificará debidamente a las entidades críticas su identificación y las obligaciones que ello conlleva. Las autoridades competentes responsables de la aplicación de la Directiva notificarán a las autoridades competentes responsables de la aplicación de la Directiva SRI 2 la identificación de las entidades críticas. Cuando una entidad sea considerada crítica por dos o más Estados miembros, los Estados miembros se consultarán mutuamente con el fin de reducir la carga que pesa sobre la entidad crítica. Cuando las entidades críticas presten servicios a un tercio o más de los Estados miembros, el Estado miembro de que se trate notificará a la Comisión la identidad de dichas entidades críticas. El artículo 6 define el concepto de «efecto perturbador significativo» a que se refiere el artículo 5, apartado 2, y exige que los Estados miembros presenten a la Comisión determinadas formas de información relativa a las entidades críticas que identifican y cómo las identifican. El artículo 6 también habilita a la Comisión, previa consulta al Grupo de Resiliencia de las Entidades Críticas, para que adopte las directrices pertinentes. El artículo 7 dispone que los Estados miembros deben identificar las entidades de los sectores bancario, de infraestructuras del mercado financiero y de infraestructuras digitales que deben tratarse como equivalentes de las entidades críticas únicamente a efectos del capítulo II. Debe notificarse a estas entidades su identificación. El artículo 8 establece que cada Estado miembro designará y velará por que se faciliten los recursos adecuados a una o varias autoridades competentes responsables de la correcta aplicación de la Directiva a nivel nacional, así como a un punto de contacto único encargado de garantizar la cooperación transfronteriza. El punto de contacto único presentará periódicamente a la Comisión un informe resumido sobre las notificaciones de incidentes. El artículo 8 exige que las autoridades competentes responsables de la aplicación de la Directiva cooperen con otras autoridades nacionales pertinentes, en particular las autoridades competentes designadas en virtud de la Directiva SRI 2. El artículo 9 establece que los Estados miembros prestarán apoyo a las entidades críticas para garantizar su resiliencia, y facilitarán la cooperación y el intercambio voluntario de información y buenas prácticas entre las autoridades competentes y las entidades críticas. Resiliencia de las entidades críticas (artículos 10 a 13) El artículo10 dispone que las entidades críticas evaluarán periódicamente todos los riesgos pertinentes sobre la base de las evaluaciones nacionales de riesgos y otras fuentes de información pertinentes. El artículo 11 establece que las entidades críticas adoptarán medidas técnicas y organizativas adecuadas y proporcionadas para garantizar su resiliencia, y velarán por que estas medidas se describan en un plan de resiliencia o un documento equivalente. Los Estados miembros podrán solicitar que la Comisión organice misiones de asesoramiento para asesorar a las entidades críticas en el cumplimiento de sus obligaciones. El artículo 11 también habilita a la Comisión, cuando sea necesario, para adoptar actos delegados y de ejecución. El artículo12 dispone que los Estados miembros velarán por que las entidades críticas puedan presentar solicitudes de verificación de los antecedentes personales de las personas que pertenezcan o puedan pertenecer a determinadas categorías específicas de personal, y por que dichas solicitudes sean evaluadas rápidamente por las autoridades responsables de llevar a cabo las comprobaciones de antecedentes personales. El artículo describe la finalidad, el alcance y el contenido de los controles de antecedentes, que deben ser todos ellos conformes con el Reglamento general de protección de datos. El artículo 13 establece que los Estados miembros velarán por que las entidades críticas notifiquen a la autoridad competente los incidentes que perturben o puedan perturbar de forma significativa sus operaciones. Las autoridades competentes, a su vez, facilitarán a la entidad crítica notificadora la información pertinente sobre el seguimiento. Las autoridades competentes también informarán, a través de su punto de contacto único, a los puntos de contacto únicos de los otros Estados miembros afectados en caso de que el incidente tenga o pueda tener repercusiones transfronterizas en otro u otros Estados miembros.

Supervisión específica de las entidades críticas de particular importancia europea (artículos 14 y 15) El artículo 14 define las entidades críticas de particular importancia europea como aquellas entidades que han sido identificadas como entidades críticas y que prestan servicios esenciales a un tercio o más de los Estados miembros. Una vez recibida la notificación con arreglo al artículo 5, apartado 6, la Comisión informará a la entidad de que se trate de que se considera una entidad crítica de una particular importancia europea, de las obligaciones que ello conlleva y de la fecha a partir de la cual dichas obligaciones empezarán a ser exigibles. El artículo 15 describe los mecanismos específicos de supervisión aplicables a las entidades críticas de particular importancia europea, que incluyen, previa solicitud, que los Estados miembros de acogida faciliten a la Comisión y al Grupo de Resiliencia de las Entidades Críticas información sobre la evaluación de riesgos con arreglo al artículo 10 y sobre las medidas adoptadas de conformidad con el artículo 11, así como acerca de cualquier medida de supervisión o ejecución. El artículo 15 también dispone que la Comisión podrá organizar misiones de asesoramiento para evaluar las medidas adoptadas por las entidades críticas específicas de particular importancia europea. Sobre la base de un análisis de las conclusiones de la misión de asesoramiento realizado por el Grupo de Resiliencia de las Entidades Críticas, la Comisión comunicará al Estado miembro en el que esté ubicada la infraestructura de la entidad sus puntos de vista sobre si esa entidad cumple sus obligaciones y, en su caso, qué medidas podrían adoptarse para mejorar la resiliencia de la entidad. El artículo describe la composición, organización y financiación de las misiones de asesoramiento. También dispone que la Comisión adoptará un acto de ejecución por el que se establezcan normas sobre las disposiciones de procedimiento para la realización de las misiones de asesoramiento y los informes correspondientes. Cooperación y presentación de informes (artículos 16 y 17) El artículo 16 describe la función y las tareas del Grupo de Resiliencia de las Entidades Críticas, que estará compuesto por representantes de los Estados miembros y de la Comisión. Apoyará a la Comisión y facilitará la cooperación estratégica y el intercambio de información. El artículo explica que la Comisión podrá adoptar actos de ejecución que establezcan las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de Resiliencia de las Entidades Críticas. El artículo17 establece que la Comisión apoyará, cuando proceda, a los Estados miembros y a las entidades críticas en el cumplimiento de sus obligaciones en virtud de la Directiva, y complementará las actividades de los Estados miembros a que se refiere el artículo 9. Supervisión y ejecución (artículos 18 y 19) El artículo18 establece que los Estados miembros tienen determinadas competencias, medios y responsabilidades para garantizar la aplicación y el cumplimiento de la Directiva. Los Estados miembros velarán por que, cuando una autoridad competente evalúe el cumplimiento de una entidad crítica, informe a las autoridades competentes del Estado miembro de que se trate designadas con arreglo a la Directiva SRI 2 y pueda solicitar a dichas autoridades que evalúen la ciberseguridad de esa entidad, y que cooperen e intercambien información a tal efecto. El artículo 19 establece que, de conformidad con una práctica consolidada, los Estados miembros establecerán el régimen de sanciones aplicables a las infracciones y adoptarán todas las medidas necesarias para garantizar su aplicación. Disposiciones finales (artículos 20 a 26) El artículo 20 establece que la Comisión estará asistida por un comité en el sentido del Reglamento (UE) n.º 182/2011. Es un artículo estándar. El artículo 21 habilita a la Comisión para adoptar actos delegados con arreglo a las condiciones establecidas en el propio artículo. También se trata de un artículo estándar. El artículo 22 dispone que la Comisión presentará al Parlamento Europeo y al Consejo un informe en el que se evalúe en qué medida los Estados miembros han adoptado las medidas necesarias para dar cumplimiento a lo dispuesto en la Directiva. Debe presentarse periódicamente al Parlamento Europeo y al Consejo un informe en el que se evalúe el impacto y el valor añadido de la Directiva, y si debe extenderse su ámbito de aplicación a otros sectores o subsectores, incluido el sector de la producción, la transformación y la distribución de alimentos. El artículo 23 dispone que la Directiva 2008/114/CE queda derogada con efectos a partir de la fecha de entrada en vigor de la presente Directiva. El artículo 24 dispone que los Estados miembros adoptarán y publicarán, dentro del plazo establecido, las disposiciones legales, reglamentarias y administrativas necesarias para dar cumplimiento a lo establecido en la presente Directiva, e informarán de ello a la Comisión. Comunicarán a la Comisión el texto de las principales disposiciones de Derecho interno que adopten en el ámbito regulado por la presente Directiva. El artículo 25 dispone que la Directiva entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. El artículo 26 establece que los destinatarios de la presente Directiva son los Estados miembros.



2020/0365 (COD) Propuesta de DIRECTIVA DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativa a la resiliencia de las entidades críticas EL PARLAMENTO EUROPEO Y EL CONSEJO DE LA UNIÓN EUROPEA, Visto el Tratado de Funcionamiento de la Unión Europea, y en particular su artículo 114, Vista la propuesta de la Comisión Europea, Una vez transmitido el proyecto de acto legislativo a los Parlamentos nacionales, Visto el dictamen del Comité Económico y Social Europeo, Visto el dictamen del Comité de las Regiones,

De conformidad con el procedimiento legislativo ordinario, Considerando que: (1)La Directiva 2008/114/CE del Consejo establece un procedimiento para designar las infraestructuras críticas europeas en los sectores de la energía y los transportes cuya perturbación o destrucción tendría un impacto transfronterizo significativo en al menos dos Estados miembros. Dicha Directiva se centra exclusivamente en la protección de tales infraestructuras. Sin embargo, la evaluación de la Directiva 2008/114/CE realizada en 2019 puso de manifiesto que, debido al carácter cada vez más interconectado y transfronterizo de las operaciones que utilizan infraestructuras críticas, las medidas de protección exclusiva de activos individuales son insuficientes para evitar que se produzcan todas las perturbaciones. Por lo tanto, es necesario modificar el enfoque para garantizar la resiliencia de las entidades críticas, es decir, su capacidad para mitigar, absorber, adaptarse y recuperarse de incidentes que puedan perturbar las operaciones de la entidad crítica. (2)A pesar de las medidas existentes a escala nacional y de la Unión destinadas a apoyar la protección de las infraestructuras críticas en la Unión, las entidades que explotan esas infraestructuras no están adecuadamente equipadas para hacer frente a los riesgos actuales y previstos para sus operaciones, que pueden dar lugar a perturbaciones en la prestación de servicios esenciales para el desempeño de funciones sociales o actividades económicas vitales. Esto se debe al panorama dinámico de las amenazas, con una amenaza terrorista en evolución y crecientes interdependencias entre infraestructuras y sectores, así como al aumento del riesgo físico a causa de los desastres naturales y el cambio climático, que aumenta la frecuencia y la escala de fenómenos meteorológicos extremos e introduce cambios a largo plazo en las condiciones climáticas medias que pueden reducir la capacidad y la eficiencia de determinados tipos de infraestructuras si no se aplican medidas de resiliencia o adaptación al cambio climático. Además, los sectores y tipos de entidades pertinentes no se reconocen sistemáticamente como críticos en todos los Estados miembros. (3)Estas crecientes interdependencias son el resultado de una red cada vez más transfronteriza e interdependiente de prestación de servicios que utiliza infraestructuras clave en toda la Unión en los sectores de la energía, el transporte, la banca, la infraestructura del mercado financiero, la infraestructura digital, el agua potable y las aguas residuales, la salud, determinados aspectos de la administración pública, así como el espacio, en lo que respecta a la prestación de determinados servicios que dependen de infraestructuras terrestres poseídas, gestionadas y operadas por los Estados miembros o por particulares, de modo que no se trata de infraestructuras poseídas, gestionadas y operadas por la Unión o por un tercero en su nombre como parte de sus programas espaciales. Estas interdependencias significan que cualquier perturbación, incluso inicialmente limitada a una entidad o a un sector, puede tener efectos en cascada más amplios, lo que podría tener repercusiones negativas de gran alcance y duraderas en la prestación de servicios en todo el mercado interior. La pandemia de COVID-19 ha puesto de manifiesto la vulnerabilidad de nuestras sociedades, cada vez más interdependientes frente a los riesgos de baja probabilidad. (4)Las entidades que intervienen en la prestación de servicios esenciales están cada vez más sujetas a requisitos divergentes impuestos por las legislaciones de los Estados miembros. El hecho de que algunos Estados miembros tengan unos requisitos de seguridad menos estrictos para estas entidades no solo puede afectar negativamente al mantenimiento de funciones sociales o actividades económicas vitales en toda la Unión, sino que también obstaculiza el correcto funcionamiento del mercado interior. Tipos de entidades similares se consideran críticos en algunos Estados miembros, pero no en otros, y las entidades consideradas críticas están sujetas a requisitos divergentes en los distintos Estados miembros. Esto da lugar a cargas administrativas adicionales e innecesarias para las empresas que operan a través de las fronteras, especialmente para las empresas que operan en Estados miembros con unos requisitos más estrictos. (5)Por consiguiente, es necesario establecer unas normas mínimas armonizadas para garantizar la prestación de servicios esenciales en el mercado interior y aumentar la resiliencia de las entidades críticas. (6)A fin de alcanzar ese objetivo, los Estados miembros tienen que identificar las entidades críticas que deben estar sujetas a unos requisitos y una supervisión específicos, pero también recibir apoyo y orientación específicos destinados a lograr un alto nivel de resiliencia frente a todos los riesgos pertinentes. (7)Algunos sectores de la economía, como la energía y el transporte, ya están regulados o pueden regularse en el futuro mediante actos sectoriales del Derecho de la Unión que contengan normas relativas a determinados aspectos de la resiliencia de las entidades que operan en dichos sectores. Con el fin de abordar de manera global la resiliencia de las entidades que son esenciales para el correcto funcionamiento del mercado interior, tales medidas sectoriales específicas deben complementarse con las medidas previstas en la presente Directiva, que crea un marco general regulador de la resiliencia de las entidades críticas con respecto a todos los peligros, es decir, naturales y provocados por el hombre, accidentales e intencionados. (8)Dada la importancia de la ciberseguridad para la resiliencia de las entidades críticas y en aras de la coherencia, es necesario, siempre que sea posible, un enfoque coherente entre la presente Directiva y la Directiva (UE) XX/YY del Parlamento Europeo y del Consejo [propuesta de Directiva relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (en lo sucesivo, «la Directiva SRI 2»)]. Teniendo en cuenta la mayor frecuencia y las características particulares de los riesgos cibernéticos, la Directiva SRI 2 impone unos requisitos exhaustivos a un amplio conjunto de entidades para garantizar su ciberseguridad. Dado que la ciberseguridad se trata de manera suficiente en la Directiva SRI 2, las materias reguladas por ella deben quedar excluidas del ámbito de aplicación de la presente Directiva, sin perjuicio del régimen particular aplicable a las entidades del sector de las infraestructuras digitales. (9)Cuando las disposiciones de otros actos del Derecho de la Unión exijan a las entidades críticas que evalúen los riesgos pertinentes, adopten medidas para garantizar su resiliencia o notifiquen incidentes, y dichos requisitos sean al menos equivalentes a las obligaciones correspondientes establecidas en la presente Directiva, no deberán aplicarse las disposiciones pertinentes de la presente Directiva a fin de evitar duplicaciones y cargas innecesarias. En tal caso, deberán aplicarse las disposiciones pertinentes de esos otros actos. Cuando no sean de aplicación las disposiciones pertinentes de la presente Directiva, tampoco deberán aplicarse sus disposiciones en materia de supervisión y ejecución. No obstante, los Estados miembros deberán incluir todos los sectores enumerados en el anexo en su estrategia para reforzar la resiliencia de las entidades críticas, la evaluación de riesgos y las medidas de apoyo con arreglo al capítulo II, y ser capaces de identificar las entidades críticas en aquellos sectores en los que se hayan cumplido las condiciones aplicables, teniendo en cuenta el régimen particular aplicable a las entidades del sector bancario, de las infraestructuras del mercado financiero y de las infraestructuras digitales. (10)Con el fin de garantizar un enfoque global de la resiliencia de las entidades críticas, cada Estado miembro deberá contar con una estrategia que establezca los objetivos y las medidas políticas que hayan de aplicarse. Para ello, los Estados miembros deberán velar por que sus estrategias de ciberseguridad establezcan un marco político para mejorar la coordinación entre las autoridades competentes en virtud de la presente Directiva y de la Directiva SRI 2 en el contexto del intercambio de información sobre incidentes y ciberamenazas y del ejercicio de las tareas de supervisión. (11)Las acciones de los Estados miembros para identificar las entidades críticas y ayudar a garantizar su resiliencia deberán seguir un enfoque basado en el riesgo que dirija los esfuerzos a las entidades más pertinentes para el desempeño de funciones sociales o actividades económicas vitales. A fin de garantizar este enfoque específico, cada Estado miembro deberá llevar a cabo, en un marco armonizado, una evaluación de todos los riesgos naturales y de origen humano pertinentes que puedan afectar a la prestación de servicios esenciales, incluidos los accidentes, las catástrofes naturales, las emergencias de salud pública, como las pandemias, y las amenazas antagónicas, en particular los delitos de terrorismo. Al llevar a cabo estas evaluaciones de riesgos, los Estados miembros deberán tener en cuenta otras evaluaciones de riesgos generales o sectoriales realizadas con arreglo a otros actos del Derecho de la Unión y las dependencias intersectoriales, también de otros Estados miembros y terceros países. Los resultados de la evaluación de riesgos deberán utilizarse en el proceso de identificación de las entidades críticas y para ayudarlas a cumplir los requisitos de resiliencia de la presente Directiva. (12)A fin de garantizar que todas las entidades pertinentes estén sujetas a esos requisitos y reducir las divergencias a este respecto, es importante establecer normas armonizadas que permitan una identificación coherente de las entidades críticas en toda la Unión, permitiendo al mismo tiempo que los Estados miembros reflejen las especificidades nacionales. Por lo tanto, deben establecerse criterios para identificar las entidades críticas. En aras de la eficacia, la eficiencia, la coherencia y la seguridad jurídica, también deben establecerse normas adecuadas en materia de notificación y cooperación en la identificación, así como sobre las consecuencias jurídicas de dicha identificación. A fin de que la Comisión pueda evaluar la correcta aplicación de la presente Directiva, los Estados miembros deberán presentarle, de la manera más detallada y concreta posible, la información pertinente y, en cualquier caso, la lista de los servicios esenciales, el número de entidades críticas identificadas en cada sector y subsector mencionado en el anexo y el servicio o los servicios esenciales que preste cada entidad, así como los umbrales aplicados. (13)También deben establecerse criterios para determinar la importancia de un efecto perturbador producido por tales incidentes. Esos criterios deben basarse en los criterios establecidos en la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, a fin de aprovechar los esfuerzos realizados por los Estados miembros para identificar a esos operadores y la experiencia adquirida a este respecto. (14)Las entidades pertenecientes al sector de las infraestructuras digitales se basan esencialmente en redes y sistemas de información, y entran en el ámbito de aplicación de la Directiva SRI 2, que regula la seguridad física de dichos sistemas como parte de sus obligaciones de gestión del riesgo de ciberseguridad y de presentación de informes. Dado que estas cuestiones están reguladas por la Directiva SRI 2, las obligaciones de la presente Directiva no se aplicarán a esas entidades. No obstante, teniendo en cuenta la importancia de los servicios prestados por las entidades en el sector de las infraestructuras digitales para la prestación de otros servicios esenciales, los Estados miembros deberán identificar, sobre la base de los criterios y utilizando mutatis mutandis el procedimiento previsto en la presente Directiva, las entidades pertenecientes al sector de las infraestructuras digitales que deberán ser tratadas como equivalentes a las entidades críticas únicamente a efectos del capítulo II, en particular la disposición sobre el apoyo de los Estados miembros a la mejora de la resiliencia de dichas entidades. Por consiguiente, tales entidades no deberán estar sujetas a las obligaciones establecidas en los capítulos III a VI. Dado que las obligaciones de las entidades críticas, establecidas en el capítulo II, de facilitar determinada información a las autoridades competentes se refieren a la aplicación de los capítulos III y IV, esas entidades tampoco deberán estar sujetas a tales obligaciones. (15)El acervo de la UE en materia de servicios financieros establece requisitos exhaustivos para que las entidades financieras gestionen todos los riesgos a los que se enfrentan, incluidos los riesgos operativos, y garanticen la continuidad de las actividades. Está integrado por el Reglamento (UE) n.º 648/2012 del Parlamento Europeo y del Consejo, la Directiva 2014/65/UE del Parlamento Europeo y del Consejo y el Reglamento (UE) n.º 600/2014 del Parlamento Europeo y del Consejo, así como el Reglamento (UE) n.º 575/2013 del Parlamento Europeo y del Consejo y la Directiva 2013/36/UE del Parlamento Europeo y del Consejo. La Comisión ha propuesto recientemente complementar este marco con el Reglamento XX/YYYY del Parlamento Europeo y del Consejo [propuesta de Reglamento sobre la resiliencia operativa digital del sector financiero (en lo sucesivo, «el Reglamento DORA»)], que establece los requisitos para que las entidades financieras gestionen los riesgos de las TIC, incluida la protección de las infraestructuras físicas de las TIC. Dado que la resiliencia de las entidades enumeradas en los puntos 3 y 4 del anexo está plenamente cubierta por el acervo de la UE en materia de servicios financieros, esas entidades también deberán ser tratadas como equivalentes a las entidades críticas únicamente a efectos del capítulo II de la presente Directiva. A fin de garantizar una aplicación coherente de las normas sobre el riesgo operativo y la resiliencia digital en el sector financiero, las autoridades designadas con arreglo al artículo 41 del [Reglamento DORA] deberán garantizar el apoyo de los Estados miembros al aumento de la resiliencia global de las entidades financieras equivalentes a las entidades críticas, con sujeción a los procedimientos establecidos en dicha legislación de manera plenamente armonizada. (16)Los Estados miembros deberán designar las autoridades competentes para supervisar la aplicación y, en su caso, hacer cumplir las normas de la presente Directiva, y velar por que dichas autoridades dispongan de las competencias y los recursos adecuados. Habida cuenta de las diferencias existentes entre las estructuras de gobernanza nacionales y con el fin de salvaguardar los acuerdos sectoriales o los organismos de supervisión y regulación de la Unión ya existentes, así como para evitar duplicaciones, los Estados miembros deberán poder designar más de una autoridad competente. En tal caso, deberán, no obstante, delimitar claramente las tareas respectivas de las autoridades interesadas y garantizar una cooperación fluida y eficaz. Todas las autoridades competentes también deberán cooperar de manera más general con las otras autoridades pertinentes, tanto a nivel nacional como de la Unión. (17)A fin de facilitar la cooperación y la comunicación transfronterizas y permitir la aplicación efectiva de la presente Directiva, cada Estado miembro deberá designar, sin perjuicio de los requisitos jurídicos sectoriales de la Unión, en el seno de una de las autoridades que haya designado como autoridad competente en virtud de la presente Directiva, un punto de contacto único responsable de coordinar las cuestiones relacionadas con la resiliencia de las entidades críticas y la cooperación transfronteriza a escala de la Unión a este respecto. (18)Dado que, en virtud de la Directiva SRI 2, las entidades identificadas como entidades críticas, así como las entidades identificadas en el sector de las infraestructuras digitales que deberán ser tratadas como equivalentes con arreglo a la presente Directiva, están sujetas a los requisitos de ciberseguridad de la Directiva SRI 2, las autoridades competentes designadas en virtud de ambas Directivas deberán cooperar, en particular en relación con los riesgos e incidentes de ciberseguridad que afecten a dichas entidades.

(19)Los Estados miembros deberán ayudar a las entidades críticas a reforzar su resiliencia, de conformidad con sus obligaciones en virtud de la presente Directiva, sin perjuicio de la responsabilidad jurídica propia de las entidades de garantizar su cumplimiento. En particular, los Estados miembros podrían desarrollar materiales y metodologías de orientación, apoyar la organización de ejercicios para comprobar su resiliencia y proporcionar formación al personal de las entidades críticas. Además, dadas las interdependencias entre entidades y sectores, los Estados miembros deberán establecer herramientas de intercambio de información para apoyar el intercambio voluntario de información entre las entidades críticas, sin perjuicio de la aplicación de las normas de competencia establecidas en el Tratado de Funcionamiento de la Unión Europea. (20)Para poder garantizar su resiliencia, las entidades críticas deberán tener una comprensión cabal de todos los riesgos pertinentes a los que están expuestas y analizar dichos riesgos. A tal fin, deberán llevar a cabo evaluaciones de riesgos, siempre que sea necesario habida cuenta de sus circunstancias particulares y de la evolución de tales riesgos, pero, en cualquier caso, cada cuatro años. Las evaluaciones de riesgos realizadas por las entidades críticas deberán basarse en la evaluación de riesgos llevada a cabo por los Estados miembros. (21)Las entidades críticas deberán adoptar medidas organizativas y técnicas adecuadas y proporcionadas a los riesgos a los que se enfrenten para prevenir, resistir, mitigar, absorber, adaptarse y recuperarse de un incidente. Aunque las entidades críticas deberán tomar medidas en todos los puntos especificados en la presente Directiva, los detalles y el alcance de las medidas deberán reflejar los diferentes riesgos que cada entidad haya identificado como parte de su evaluación de riesgos y las características específicas de dicha entidad de manera adecuada y proporcionada. (22)En aras de la eficacia y la rendición de cuentas, las entidades críticas deberán describir esas medidas con un nivel de detalle suficiente para alcanzar los objetivos, teniendo en cuenta los riesgos detectados, en un plan de resiliencia, o en uno o varios documentos que sean equivalentes a un plan de resiliencia, y ponerlo en práctica. Los documentos equivalentes podrán elaborarse de conformidad con los requisitos y normas desarrollados en el contexto de los acuerdos internacionales sobre protección física de los que sean parte los Estados miembros, incluida la Convención sobre la protección física de los materiales nucleares y las instalaciones nucleares, en su caso. (23)El Reglamento (CE) n.º 300/2008 del Parlamento Europeo y del Consejo, el Reglamento (CE) n.º 725/2004 del Parlamento Europeo y del Consejo y la Directiva 2005/65/CE del Parlamento Europeo y del Consejo establecen requisitos aplicables a las entidades de los sectores del transporte aéreo y marítimo para prevenir incidentes causados por actos ilícitos, y para resistir y mitigar las consecuencias de tales incidentes. Si bien las medidas exigidas en la presente Directiva son más amplias en términos de riesgos y tipos de medidas que han de adoptarse, las entidades críticas de esos sectores deberán reflejar en su plan de resiliencia o en los documentos equivalentes las medidas adoptadas en virtud de esos otros actos de la Unión. Además, si se aplican medidas de resiliencia en virtud de la presente Directiva, las entidades críticas podrán considerar la posibilidad de remitirse a directrices no vinculantes y documentos de buenas prácticas elaborados en el marco de líneas de trabajo sectoriales, como la Plataforma de Seguridad de los Pasajeros Ferroviarios de la UE. (24)El riesgo de que los empleados de las entidades críticas hagan un uso indebido, por ejemplo, de sus derechos de acceso dentro de la organización de la entidad para causar daños y perjuicios es cada vez más preocupante. Este riesgo se ve agravado por el creciente fenómeno de la radicalización que conduce al extremismo violento y al terrorismo. Por tanto, es necesario permitir que las entidades críticas soliciten controles de los antecedentes personales de las personas pertenecientes a categorías específicas de su personal y garantizar que dichas solicitudes sean evaluadas rápidamente por las autoridades competentes, de conformidad con las normas aplicables del Derecho de la Unión y nacional, incluida la protección de datos personales. (25)Las entidades críticas deberán notificar, tan pronto como sea razonablemente posible en las circunstancias dadas, a las autoridades competentes de los Estados miembros los incidentes que perturben o puedan perturbar de forma significativa sus operaciones. La notificación deberá permitir a las autoridades competentes responder rápida y adecuadamente a los incidentes y tener una visión general de los riesgos globales a los que se enfrentan las entidades críticas. A tal fin, deberá establecerse un procedimiento para la notificación de determinados incidentes, así como parámetros para determinar cuándo la perturbación real o potencial es significativa y, por tanto, deben notificarse los incidentes. Habida cuenta de los posibles efectos transfronterizos de tales perturbaciones, deberá establecerse un procedimiento para que los Estados miembros informen a otros Estados miembros afectados a través de los puntos de contacto únicos. (26)Si bien las entidades críticas operan generalmente como parte de una red cada vez más interconectada de prestación de servicios e infraestructuras y a menudo prestan servicios esenciales en más de un Estado miembro, algunas de ellas revisten especial importancia para la Unión, ya que prestan servicios esenciales a un gran número de Estados miembros y, por lo tanto, requieren una supervisión específica a escala de la Unión. Por consiguiente, deberán establecerse normas sobre la supervisión específica de las entidades críticas de particular importancia europea. Dichas normas se entenderán sin perjuicio de las normas sobre supervisión y ejecución establecidas en la presente Directiva. (27)Cuando un Estado miembro considere que se necesita información adicional para poder asesorar a una entidad crítica en el cumplimiento de sus obligaciones con arreglo al capítulo III o para evaluar si una entidad crítica de particular importancia europea cumple las citadas obligaciones, la Comisión, de acuerdo con el Estado miembro en el que esté ubicada la infraestructura de dicha entidad, deberá organizar una misión de asesoramiento para evaluar las medidas adoptadas por esta. A fin de garantizar que estas misiones de asesoramiento se lleven a cabo correctamente, deberán establecerse normas complementarias, en particular sobre su organización y realización, el seguimiento que deba darse y las obligaciones de las entidades críticas de particular importancia europea de que se trate. Las misiones de asesoramiento deberán llevarse a cabo, sin perjuicio de la necesidad de que el Estado miembro donde se realicen y la entidad interesada cumplan las normas de la presente Directiva, de conformidad con las normas detalladas de la legislación de dicho Estado miembro, por ejemplo, sobre las condiciones precisas que deben cumplirse para tener acceso a los locales o documentos pertinentes y sobre las vías de recurso judicial. Los conocimientos específicos necesarios para estas misiones podrían, en su caso, recabarse del Centro de Coordinación de la Respuesta a Emergencias. (28)Con el fin de apoyar a la Comisión y facilitar la cooperación estratégica y el intercambio de información, incluidas las mejores prácticas, sobre las cuestiones relacionadas con la presente Directiva, deberá crearse un Grupo de Resiliencia de las Entidades Críticas, es decir, un grupo de expertos de la Comisión. Los Estados miembros deberán esmerarse en garantizar una cooperación eficaz y eficiente de los representantes designados de sus autoridades competentes en el Grupo de Resiliencia de las Entidades Críticas. El grupo comenzará a desempeñar sus funciones seis meses después de la entrada en vigor de la presente Directiva, a fin de proporcionar medios adicionales para una cooperación adecuada durante el período de transposición de la presente Directiva. (29)A fin de alcanzar los objetivos de la presente Directiva, y sin perjuicio de la responsabilidad jurídica de los Estados miembros y de las entidades críticas de garantizar el cumplimiento de sus respectivas obligaciones establecidas en la misma, la Comisión deberá emprender, cuando lo considere oportuno, determinadas actividades de apoyo destinadas a facilitar el cumplimiento de dichas obligaciones. Al prestar apoyo a los Estados miembros y a las entidades críticas en el cumplimiento de las obligaciones derivadas de la presente Directiva, la Comisión deberá basarse en las estructuras e instrumentos existentes, como el mecanismo de protección civil de la Unión y la Red Europea de Referencia para la Protección de Infraestructuras Críticas. (30)Los Estados miembros deberán velar por que sus autoridades competentes dispongan de determinadas facultades específicas para la correcta aplicación y ejecución de la presente Directiva en relación con las entidades críticas, cuando tales entidades estén sujetas a su jurisdicción según lo dispuesto en la presente Directiva. Dichas competencias deberán incluir, en particular, la facultad de llevar a cabo inspecciones, actividades de supervisión y auditorías; exigir a las entidades críticas que faciliten información y pruebas sobre las medidas que hayan adoptado para cumplir sus obligaciones y, en caso necesario, emitir órdenes para subsanar las infracciones detectadas. Al emitir tales órdenes, los Estados miembros no deberán exigir la adopción de medidas que vayan más allá de lo necesario y proporcionado para garantizar el cumplimiento de la entidad crítica de que se trate, teniendo en cuenta, en particular, la gravedad de la infracción y la capacidad económica de la entidad crítica. En términos más generales, estas competencias deberán ir acompañadas de garantías adecuadas y eficaces que se especificarán en el Derecho nacional, de conformidad con los requisitos derivados de la Carta de los Derechos Fundamentales de la Unión Europea. Al evaluar el cumplimiento por parte de una entidad crítica de sus obligaciones en virtud de la presente Directiva, las autoridades competentes designadas en virtud de la presente Directiva deberán poder solicitar a las autoridades competentes designadas en virtud de la Directiva SRI 2 que evalúen la ciberseguridad de esa entidad. Dichas autoridades competentes deberán cooperar e intercambiar información a tal efecto. (31)A fin de tener en cuenta los nuevos riesgos, los avances tecnológicos o las especificidades de uno o varios sectores, deberán delegarse en la Comisión las competencias necesarias para adoptar actos con arreglo al artículo 290 del Tratado de Funcionamiento de la Unión Europea con el fin de complementar las medidas de resiliencia que deban adoptar las entidades críticas, especificando en mayor medida algunas o todas ellas. Reviste especial importancia que la Comisión evacúe las consultas oportunas durante la fase preparatoria, en particular con expertos, y que esas consultas se realicen de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación. En particular, a fin de garantizar una participación equitativa en la preparación de los actos delegados, el Parlamento Europeo y el Consejo reciben toda la documentación al mismo tiempo que los expertos de los Estados miembros, y sus propios expertos tienen acceso sistemáticamente a las reuniones de los grupos de expertos de la Comisión que se ocupan de la preparación de los actos delegados. (32)Con el objeto de garantizar unas condiciones uniformes de ejecución de la presente Directiva, deberán conferirse a la Comisión competencias de ejecución. Dichas competencias deberán ejercerse de conformidad con el Reglamento (UE) n.º 182/2011 del Parlamento Europeo y del Consejo. (33)Dado que los objetivos de la presente Directiva, a saber, garantizar la prestación en el mercado interior de servicios esenciales para el mantenimiento de funciones sociales o actividades económicas vitales y aumentar la resiliencia de las entidades críticas que prestan tales servicios, no pueden ser alcanzados de manera suficiente por los Estados miembros, sino que, debido a los efectos de la acción, pueden lograrse mejor a escala de la Unión, esta puede adoptar medidas, de acuerdo con el principio de subsidiariedad consagrado en el artículo 5 del Tratado de la Unión Europea. De conformidad con el principio de proporcionalidad enunciado en el citado artículo 5, la presente Directiva no excede de lo necesario para alcanzar dichos objetivos. (34)Por consiguiente, debe derogarse la Directiva 2008/114/CE, HAN ADOPTADO LA PRESENTE DIRECTIVA: Capítulo I

Objeto, ámbito de aplicación y definiciones Artículo 1

Objeto y ámbito de aplicación

1.La presente Directiva: a)establece la obligación de los Estados miembros de adoptar determinadas medidas destinadas a garantizar la prestación en el mercado interior de servicios esenciales para el mantenimiento de funciones sociales o actividades económicas vitales, en particular para identificar las entidades y entidades críticas que deberán considerarse equivalentes en determinados aspectos y para permitirles cumplir sus obligaciones; b)establece obligaciones de las entidades críticas destinadas a aumentar su resiliencia y mejorar su capacidad de prestar esos servicios en el mercado interior; c)establece normas sobre la supervisión y ejecución de las entidades críticas, y la supervisión específica de las entidades críticas consideradas de particular importancia europea. 2.La presente Directiva no se aplicará a las materias reguladas por la Directiva (UE) XX/AA [propuesta de Directiva relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (en lo sucesivo, «la Directiva SRI 2»), sin perjuicio de lo dispuesto en el artículo 7. 3.Cuando las disposiciones de actos sectoriales específicos del Derecho de la Unión exijan a las entidades críticas que adopten medidas con arreglo a lo dispuesto en el capítulo III, y cuando dichos requisitos sean al menos equivalentes a las obligaciones establecidas en la presente Directiva, no serán de aplicación las disposiciones pertinentes de la presente Directiva, incluidas las disposiciones sobre supervisión y ejecución establecidas en el capítulo VI. 4.Sin perjuicio de lo dispuesto en el artículo 346 del TFUE, la información que sea confidencial con arreglo al Derecho de la Unión y nacional aplicable, como las normas sobre el secreto comercial, se intercambiará con la Comisión y otras autoridades pertinentes únicamente cuando tal intercambio sea necesario para la aplicación de la presente Directiva. La información intercambiada se limitará a aquella que sea pertinente y proporcionada a la finalidad del intercambio. El intercambio de información preservará la confidencialidad de la información y protegerá los intereses comerciales y de seguridad de las entidades críticas. Artículo 2

Definiciones A efectos de la presente Directiva, se entenderá por: 1)«entidad crítica»: una entidad pública o privada de uno de los tipos mencionados en el anexo que haya sido identificada como tal por un Estado miembro de conformidad con el artículo 5; 2)«resiliencia»: la capacidad de prevenir, resistir, mitigar, absorber, adaptarse y recuperarse de un incidente que perturbe o pueda perturbar las operaciones de una entidad crítica; 3)«incidente»: cualquier acontecimiento que pueda perturbar o que perturbe las operaciones de la entidad crítica; 4)«infraestructura»: un activo, sistema o parte del mismo, necesario para la prestación de un servicio esencial; 5)«servicio esencial»: un servicio que sea esencial para el mantenimiento de funciones sociales o actividades económicas vitales; 6)«riesgo»: cualquier circunstancia o hecho que pueda tener un efecto adverso potencial en la resiliencia de las entidades críticas; 7)«evaluación de riesgos»: una metodología para determinar la naturaleza y el alcance de un riesgo mediante el análisis de amenazas y peligros potenciales, y la evaluación de las condiciones de vulnerabilidad existentes que podrían perturbar las operaciones de la entidad crítica. Capítulo II

Marcos nacionales para la resiliencia de las entidades críticas Artículo 3

Estrategia para la resiliencia de las entidades críticas 1.A más tardar el [tres años después de la entrada en vigor de la presente Directiva], cada Estado miembro adoptará una estrategia para reforzar la resiliencia de las entidades críticas. Esta estrategia establecerá objetivos estratégicos y medidas de actuación con vistas a alcanzar y mantener un alto nivel de resiliencia por parte de dichas entidades críticas y abarcará, como mínimo, los sectores enumerados en el anexo.

2.La estrategia incluirá, como mínimo, los elementos siguientes: a)las prioridades y los objetivos estratégicos con el fin de aumentar la resiliencia global de las entidades críticas, teniendo en cuenta las interdependencias transfronterizas e intersectoriales; b)un marco de gobernanza para alcanzar las prioridades y los objetivos estratégicos, incluida una descripción de las funciones y responsabilidades de las diferentes autoridades, entidades críticas y otras partes implicadas en la aplicación de la estrategia; c)una descripción de las medidas necesarias para aumentar la resiliencia global de las entidades críticas, incluida una evaluación nacional de riesgos, la identificación de las entidades críticas y de las entidades equivalentes a entidades críticas, y las medidas de apoyo a las entidades críticas adoptadas de conformidad con el presente capítulo; d)un marco político para mejorar la coordinación entre las autoridades competentes designadas de conformidad con el artículo 8 de la presente Directiva y con arreglo a la [Directiva SRI 2] a efectos del intercambio de información sobre incidentes y ciberamenazas y el ejercicio de las tareas de supervisión. La estrategia se actualizará cuando sea necesario y al menos cada cuatro años. 3.Los Estados miembros comunicarán sus estrategias, así como cualquier actualización de sus estrategias, a la Comisión en el plazo de tres meses a partir de la fecha de su adopción. Artículo 4

Evaluación de riesgos por los Estados miembros 1.Las autoridades competentes designadas de conformidad con el artículo 8 elaborarán una lista de los servicios esenciales en los sectores mencionados en el anexo. Llevarán a cabo, a más tardar el [tres años después de la entrada en vigor de la presente Directiva], y posteriormente cuando sea necesario, al menos cada cuatro años, una evaluación de todos los riesgos pertinentes que puedan afectar a la prestación de tales servicios esenciales, con vistas a identificar las entidades críticas de conformidad con el artículo 5, apartado 1, y ayudar a dichas entidades a adoptar medidas con arreglo al artículo 11. La evaluación de riesgos tendrá en cuenta todos los riesgos naturales y de origen humano pertinentes, incluidos los accidentes, las catástrofes naturales, las emergencias de salud pública y las amenazas antagónicas, en particular los delitos de terrorismo con arreglo a la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo. 2.Al llevar a cabo la evaluación de riesgos, los Estados miembros tendrán en cuenta como mínimo: a)la evaluación general de riesgos realizada de conformidad con el artículo 6, apartado 1, de la Decisión 1313/2013/UE del Parlamento Europeo y del Consejo; b)otras evaluaciones de riesgos pertinentes, realizadas de conformidad con los requisitos de los actos sectoriales pertinentes del Derecho de la Unión, incluidos el Reglamento (UE) 2019/941 del Parlamento Europeo y del Consejo y el Reglamento (UE) 2017/1938 del Parlamento Europeo y del Consejo; c)cualquier riesgo derivado de las dependencias entre los sectores mencionados en el anexo, incluidos los de otros Estados miembros y terceros países, y el impacto que una perturbación en un sector pueda tener en otros sectores; d)cualquier información sobre incidentes notificados de conformidad con el artículo 13. A efectos del párrafo primero, letra c), los Estados miembros cooperarán con las autoridades competentes de otros Estados miembros y terceros países, según proceda. 3.Los Estados miembros pondrán los elementos pertinentes de la evaluación de riesgos a que se refiere el apartado 1 a disposición de las entidades críticas que hayan identificado con arreglo al artículo 5, con el fin de ayudar a dichas entidades en la realización de su evaluación de riesgos, de conformidad con el artículo 10, y en la adopción de medidas para garantizar su resiliencia de conformidad con el artículo 11. 4.Cada Estado miembro facilitará a la Comisión datos sobre los tipos de riesgos identificados y los resultados de las evaluaciones de riesgos, por sector y subsector mencionados en el anexo, a más tardar el [tres años después de la entrada en vigor de la presente Directiva] y, posteriormente cuando sea necesario, al menos cada cuatro años. 5.La Comisión, en cooperación con los Estados miembros, podrá elaborar un modelo común voluntario de presentación de informes a efectos del cumplimiento de lo dispuesto en el apartado 4. Artículo 5

Identificación de las entidades críticas

1.A más tardar [tres años y tres meses después de la entrada en vigor de la presente Directiva], los Estados miembros identificarán, para cada sector y subsector a que se refiere el anexo, con excepción de sus puntos 3, 4 y 8, las entidades críticas. 2.Al identificar las entidades críticas con arreglo al apartado 1, los Estados miembros tendrán en cuenta los resultados de la evaluación de riesgos con arreglo al artículo 4 y aplicarán los siguientes criterios: a)la entidad presta uno o más servicios esenciales; b)la prestación de dicho servicio depende de la infraestructura situada en el Estado miembro, y c)un incidente tendría efectos perturbadores significativos en la prestación de ese servicio o de otros servicios esenciales en los sectores mencionados en el anexo que dependen del servicio. 3.Cada Estado miembro elaborará una lista de las entidades críticas identificadas y velará por que se les notifique su identificación como entidades críticas en el plazo de un mes a partir de la identificación, informándoles de sus obligaciones con arreglo a los capítulos II y III, así como de la fecha a partir de la cual les serán aplicables las disposiciones de dichos capítulos. A las entidades críticas de que se trate, las disposiciones del presente capítulo se les aplicarán a partir de la fecha de la notificación, y las disposiciones del capítulo III se les aplicarán seis meses después de esa fecha. 4.Los Estados miembros velarán por que sus autoridades competentes designadas con arreglo al artículo 8 de la presente Directiva notifiquen a las autoridades competentes, designadas por los Estados miembros de conformidad con el artículo 8 de la [Directiva SRI 2], la identidad de las entidades críticas que hayan identificado con arreglo al presente artículo en el plazo de un mes a partir de la identificación. 5.Tras la notificación a que se refiere el apartado 3, los Estados miembros velarán por que las entidades críticas faciliten a sus autoridades competentes designadas de conformidad con el artículo 8 de la presente Directiva información sobre si han sido identificadas como entidades críticas en otro u otros Estados miembros. Cuando una entidad haya sido identificada como entidad crítica por dos o más Estados miembros, estos se consultarán mutuamente con el fin de reducir la carga de obligaciones de la entidad crítica en virtud del capítulo III. 6.A efectos del capítulo IV, los Estados miembros velarán por que las entidades críticas, tras la notificación a que se refiere el apartado 3, faciliten a sus autoridades competentes, designadas con arreglo al artículo 8 de la presente Directiva, información sobre su eventual prestación de servicios esenciales a un tercio o más de los Estados miembros. En tal caso, el Estado miembro de que se trate notificará sin demora indebida a la Comisión la identidad de dichas entidades críticas. 7.Cuando sea necesario y, en cualquier caso, al menos cada cuatro años, los Estados miembros revisarán y, en su caso, actualizarán la lista de las entidades críticas identificadas. Cuando esas actualizaciones conduzcan a la identificación de entidades críticas adicionales, se aplicarán los apartados 3, 4, 5 y 6. Además, los Estados miembros velarán por que las entidades que ya no estén identificadas como entidades críticas en virtud de una actualización de este tipo reciban la notificación pertinente y sean informadas de que ya no están sujetas a las obligaciones establecidas en el capítulo III a partir de la fecha de recepción de esa información. Artículo 6

Efecto perturbador significativo 1.Al determinar la importancia de un efecto perturbador a que se refiere el artículo 5, apartado 2, letra c), los Estados miembros tendrán en cuenta los criterios siguientes: a)el número de usuarios que dependen del servicio prestado por la entidad; b)la dependencia de otros sectores mencionados en el anexo con respecto a dicho servicio; c)los efectos que los incidentes podrían tener, en términos de grado y duración, en las actividades económicas y sociales, el medio ambiente y la seguridad pública; d)la cuota de mercado de la entidad en el mercado de tales servicios; e)la zona geográfica que podría verse afectada por un incidente, incluido cualquier impacto transfronterizo; f)la importancia de la entidad para mantener un nivel de servicio suficiente, teniendo en cuenta la disponibilidad de medios alternativos para la prestación de dicho servicio.

2.Los Estados miembros presentarán a la Comisión, a más tardar el [tres años y tres meses después de la entrada en vigor de la presente Directiva], la información siguiente: a)la lista de servicios a que se refiere el artículo 4, apartado 1; b)el número de entidades críticas identificadas para cada sector y subsector a que se refiere el anexo y el servicio o los servicios a que se refiere el artículo 4, apartado 1, prestados por cada entidad; c)los umbrales aplicados para especificar uno o varios de los criterios del apartado 1. Posteriormente, presentarán esa información cuando sea necesario, al menos cada cuatro años. 3.La Comisión, previa consulta al Grupo de Resiliencia de las Entidades Críticas, podrá adoptar directrices para facilitar la aplicación de los criterios a que se refiere el apartado 1, teniendo en cuenta la información a que se refiere el apartado 2. Artículo 7

Entidades equivalentes a las entidades críticas con arreglo al presente capítulo 1. Por lo que respecta a los sectores a que se refieren los puntos 3, 4 y 8 del anexo, los Estados miembros identificarán, a más tardar el [tres años y tres meses después de la entrada en vigor de la presente Directiva], las entidades que serán tratadas como equivalentes a las entidades críticas a efectos del presente capítulo. Aplicarán a dichas entidades las disposiciones de los artículos 3, 4, 5, apartados 1 a 4 y 7, y 9. 2. En lo que respecta a las entidades de los sectores mencionados en los puntos 3 y 4 del anexo identificadas con arreglo al apartado 1, los Estados miembros velarán por que, a efectos de la aplicación del artículo 8, apartado 1, las autoridades designadas como autoridades competentes sean las autoridades competentes designadas con arreglo al artículo 41 del [Reglamento DORA]. 3. Los Estados miembros velarán por que se notifique sin demora injustificada a las entidades mencionadas en el apartado 1 su designación como entidades a que se refiere el presente artículo. Artículo 8

Autoridades competentes y punto de contacto único 1.Cada Estado miembro designará una o varias autoridades competentes responsables de la correcta aplicación y, en su caso, ejecución de las disposiciones de la presente Directiva a nivel nacional («autoridad competente»). Los Estados miembros podrán designar una o varias autoridades existentes. Cuando designen más de una autoridad, establecerán claramente las tareas respectivas de las autoridades interesadas y velarán por que cooperen eficazmente para desempeñar las funciones que les asigna la presente Directiva, también en lo que se refiere a la designación y las actividades del punto de contacto único a que se refiere el apartado 2. 2.Cada Estado miembro designará, dentro de la autoridad competente, un punto de contacto único para que ejerza una función de enlace con el fin de garantizar la cooperación transfronteriza con las autoridades competentes de otros Estados miembros y con el Grupo de Resiliencia de las Entidades Críticas a que se refiere el artículo 16 («punto de contacto único»). 3.A más tardar el [tres años y seis meses después de la entrada en vigor de la presente Directiva], y posteriormente cada año, el punto de contacto único presentará a la Comisión y al Grupo de Resiliencia de las Entidades Críticas un informe de síntesis sobre las notificaciones recibidas, incluido el número de notificaciones, la naturaleza de los incidentes notificados y las medidas adoptadas de conformidad con el artículo 13, apartado 3. 4.Cada Estado miembro velará por que la autoridad competente, incluido el punto de contacto único designado en su seno, tenga las competencias y los recursos financieros, humanos y técnicos adecuados para llevar a cabo, de manera eficaz y eficiente, las tareas que se le asignen. 5.Los Estados miembros velarán por que sus autoridades competentes, cuando proceda y de conformidad con el Derecho de la Unión y nacional aplicable, consulten y cooperen con otras autoridades nacionales pertinentes, en particular las encargadas de la protección civil, los servicios policiales y la protección de datos personales, así como con las partes interesadas pertinentes, incluidas las entidades críticas. 6.Los Estados miembros velarán por que sus autoridades competentes, designadas de conformidad con el presente artículo, cooperen con las autoridades competentes designadas con arreglo a la [Directiva SRI 2] en relación con los riesgos de ciberseguridad y los incidentes cibernéticos que afecten a las entidades críticas, así como con las medidas adoptadas por las autoridades competentes designadas en virtud de la [Directiva SRI 2] que sean pertinentes para las entidades críticas. 7.Cada Estado miembro notificará a la Comisión la designación de la autoridad competente y del punto de contacto único en el plazo de tres meses a partir de dicha designación, incluidas sus tareas y responsabilidades precisas con arreglo a la presente Directiva, sus datos de contacto y cualquier modificación posterior de los mismos. Los Estados miembros harán pública su designación de la autoridad competente y el punto de contacto único. 8.La Comisión publicará una lista de los puntos de contacto únicos de los Estados miembros.

Artículo 9

Apoyo de los Estados miembros a las entidades críticas 1.Los Estados miembros ayudarán a las entidades críticas a aumentar su resiliencia. Este apoyo podrá incluir el desarrollo de materiales y metodologías de orientación, el apoyo a la organización de ejercicios para probar su resiliencia y la prestación de formación al personal de las entidades críticas. 2.Los Estados miembros velarán por que las autoridades competentes cooperen e intercambien información y buenas prácticas con las entidades críticas de los sectores mencionados en el anexo. 3.Los Estados miembros establecerán herramientas de intercambio de información para apoyar el intercambio voluntario de información entre las entidades críticas en relación con las materias reguladas por la presente Directiva, de conformidad con el Derecho de la Unión y nacional en materia de competencia y protección de datos personales. Capítulo III

Resiliencia de las entidades críticas Artículo 10

Evaluación de riesgos por parte de las entidades críticas Los Estados miembros velarán por que las entidades críticas evalúen, en el plazo de seis meses a partir de la recepción de la notificación a que se refiere el artículo 5, apartado 3, y posteriormente cuando sea necesario, al menos cada cuatro años, sobre la base de las evaluaciones de riesgos de los Estados miembros y otras fuentes de información pertinentes, todos los riesgos pertinentes que puedan perturbar sus operaciones. La evaluación de riesgos tendrá por objeto todos los riesgos pertinentes a que se refiere el artículo 4, apartado 1, que puedan perturbar la prestación de servicios esenciales. Tendrá en cuenta cualquier dependencia del servicio esencial prestado por la entidad crítica de otros sectores mencionados en el anexo, incluso en Estados miembros vecinos y terceros países cuando proceda, y el impacto que una interrupción de la prestación de servicios esenciales en uno o varios de esos sectores pueda tener en el servicio esencial prestado por la entidad crítica. Artículo 11

Medidas de resiliencia de las entidades críticas 1.Los Estados miembros velarán por que las entidades críticas adopten medidas técnicas y organizativas adecuadas y proporcionadas para garantizar su resiliencia, incluidas las medidas necesarias para: a)evitar que se produzcan incidentes, en particular mediante medidas de reducción del riesgo de catástrofes y de adaptación al cambio climático; b)garantizar una protección física adecuada de las zonas, instalaciones y otras infraestructuras sensibles, incluidas vallas, barreras, herramientas y rutinas de vigilancia perimetral, así como equipos de detección y controles de acceso; c)resistir y mitigar las consecuencias de los incidentes, incluida la aplicación de procedimientos y protocolos de gestión de riesgos y crisis y rutinas de alerta; d)recuperarse de incidentes, incluidas las medidas de continuidad de las actividades y la identificación de cadenas de suministro alternativas; e)garantizar una gestión adecuada de la protección de los empleados, en particular mediante la definición de las categorías de personal que ejerza funciones esenciales, el establecimiento de derechos de acceso a zonas, instalac