EUROOPAN KOMISSIO Bryssel 16.12.2020 COM(2020) 829 final 2020/0365(COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI kriittisten toimijoiden häiriönsietokyvystä {SEC(2020) 433 final} - {SWD(2020) 358 final} - {SWD(2020) 359 final}



PERUSTELUT 1.EHDOTUKSEN TAUSTA ·Ehdotuksen perustelut ja tavoitteet Eurooppalaisten tehokas suojelu edellyttää, että Euroopan unioni jatkaa haavoittuvuuksien minimoimista, mikä sisältää myös talouden ja koko yhteiskunnan toimivuuden kannalta ratkaisevan tärkeiden kriittisten toimijoiden haavoittuvuuksien minimoimisen. Eurooppalaisten elinkeinot ja sisämarkkinoiden sujuva toiminta ovat riippuvaisia siitä, että erilaiset infrastruktuurit tuottavat luotettavasti yhteiskunnan välttämättömien toimintojen tai taloudellisen toiminnan ylläpitämisen kannalta tarvittavia palveluja. Nämä palvelut ovat välttämättömiä normaalitilanteessa, ja niiden merkitys on korostunut Euroopan hallitessa covid-19-pandemian vaikutuksia ja suuntautuessa pandemian jälkeiseen aikaan. Keskeisiä palveluja tarjoavien toimijoiden häiriönsietokyvyn on siksi oltava vahva, mikä tarkoittaa, että niiden olisi pystyttävä torjumaan sellaisia poikkeamia, vaimentamaan sellaisten poikkeamien vaikutuksia sekä sopeutumaan sellaisiin poikkeamiin ja palautumaan sellaisista poikkeamista, jotka voivat johtaa useita eri toimialoja koskettaviin ja rajat ylittäviin vakaviin häiriöihin. Tämän ehdotuksen tavoitteena on parantaa yhteiskunnalle välttämättömien toimintojen tai taloudellisen toiminnan kannalta keskeisten palvelujen tarjoamista sisämarkkinoilla vahvistamalla näitä palveluita tarjoavien kriittisten toimijoiden häiriönsietokykyä. Ehdotus on vastaus neuvoston ja Euroopan parlamentin viimeaikaisiin kehotuksiin, joissa komissiota on kannustettu uudistamaan nykyistä lähestymistapaa siten, että siinä huomioitaisiin paremmin kriittisiin toimijoihin kohdistuvat kasvavat haasteet, ja parantamaan sen yhdenmukaisuutta verkko- ja tietojärjestelmistä (NIS) annetun direktiivin kanssa. Tämä ehdotus on yhdenmukainen ja luo tiiviitä synergioita ehdotetun NIS 2 -direktiivin (ehdotus direktiiviksi toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi koko unionissa) kanssa. NIS-direktiivin korvaava NIS 2 -direktiivi pureutuu fyysisen ja digitaalisen maailman jatkuvasti lisääntyviin keskinäisiin riippuvuuksiin kyberturvallisuutta ja fyysistä turvallisuutta koskevia, vankkoja häiriönsietokykyä parantavia toimenpiteitä sisältävällä lainsäädäntökehyksellä turvallisuusunionistrategian mukaisesti. Ehdotuksessa huomioidaan myös yhä useamman jäsenvaltion soveltamat kansalliset lähestymistavat, joissa korostuu toimialojen keskinäinen ja rajat ylittävä riippuvuus ja jotka perustuvat yhä enenevässä määrin resilienssiajatteluun, jossa suojaaminen on vain yksi väline riskien ehkäisyn ja lievittämisen sekä liiketoiminnan jatkuvuuden ja palautumisen ohessa. Koska kriittiset infrastruktuurit ovat myös mahdollisia terrori-iskujen kohteita, ehdotuksen toimenpiteet, joiden tavoitteena on turvata kriittisten toimijoiden häiriönsietokyky, täydentävät äskettäin annetun EU:n terrorisminvastaisen ohjelman tavoitteita. Euroopan unioni (EU) on jo pitkään ymmärtänyt kriittisten infrastruktuurien merkityksen koko Euroopalle: Euroopan unioni vahvisti Euroopan elintärkeiden infrastruktuureiden suojaamisohjelman (EPCIP) vuonna 2006, ja Euroopan elintärkeitä infrastruktuureja koskeva direktiivi (EEI-direktiivi) annettiin vuonna 2008. Energian ja liikenteen toimialoihin rajoittuvassa EEI-direktiivissä säädetään menettelystä, jolla määritellään ja nimetään ne Euroopan elintärkeät infrastruktuurit, joiden vahingoittumisella tai tuhoutumisella olisi merkittävä rajat ylittävä vaikutus ainakin kahteen jäsenvaltioon. Direktiivissä säädetään myös EEI:n ylläpitäjiä koskevista erityisistä suojausvaatimuksista ja jäsenvaltioiden toimivaltaisista viranomaisista. Toistaiseksi on nimetty 94 Euroopan elintärkeää infrastruktuuria, joista kaksi kolmannesta sijaitsee kolmessa Keski- ja Itä-Euroopassa sijaitsevassa jäsenvaltiossa. EU:n toimet kriittisten infrastruktuurien häiriönsietokyvyn parantamiseksi eivät kuitenkaan rajoitu näihin toimenpiteisiin, vaan sisältävät lisäksi mm. toimialakohtaisia ja eri toimialojen yhteisiä toimenpiteitä, jotka koskevat muun muassa ilmastonkestävyyden varmistamista, pelastustoimintaa, ulkomaisten suorien sijoitusten seurantaa ja kyberturvallisuutta. Samaan aikaan jäsenvaltioissa on toteutettu toisistaan poikkeavia toimenpiteitä, joilla on pyritty vastaamaan näihin haasteisiin. On siis selvää, ettei nykyinen kriittisen infrastruktuurin suojaamista koskeva yhteisön kehys tarjoa riittävää vastausta kriittisten infrastruktuurien ja niitä ylläpitävien toimijoiden kohtaamiin haasteisiin. Koska koko sisämarkkinoille keskeisiä palveluita toimittavat infrastruktuurit, verkostot ja ylläpitäjät ovat enenevässä määrin riippuvaisia toisistaan, nykyisestä lähestymistavasta, jossa keskitytään suojaamaan yksittäisiä infrastruktuurihyödykkeitä, olisi siirryttävä perustavanlaatuisesti toisenlaiseen lähestymistapaan, joka vahvistaa kriittisiä infrastruktuureita ylläpitävien kriittisten toimijoiden häiriönsietokykyä. Kriittisten toimijoiden toimintaympäristö on muuttunut merkittävästi viime vuosina. Ensinnäkin riskiympäristö on moniulotteisempi kuin vuonna 2008 ja sisältää nykyään luonnonkatastrofit (joita ilmastonmuutos usein pahentaa), valtioiden tukeman hybriditoiminnan, terrorismin, sisäpiiriuhkat, pandemiat ja onnettomuudet (esimerkiksi teollisuusonnettomuudet). Toiseksi ylläpitäjien on vastattava haasteisiin, jotka ovat seurausta uuden teknologian kuten esimerkiksi 5G-verkonn ja miehittämättömien alusten, integroimisesta niiden toimintoihin ja reagoitava samalla näiden uusien teknologioiden mahdollisesti aiheuttamiin haavoittuvuuksiin. Kolmanneksi uusi teknologia ja muut trendit lisäävät entisestään ylläpitäjien keskinäistä riippuvuutta. Tilanteesta tehtävät johtopäätökset ovat ilmeisiä: yhtä toimijaa yhdellä toimialalla koskeva häiriö palvelujen tarjonnassa voi aiheuttaa kerrannaisvaikutuksia palveluntarjontaan myös muilla toimialoilla, mahdollisesti myös muissa jäsenvaltioissa tai koko unionin alueella. Vuonna 2019 tehdyssä EEI-direktiivin arvioinnissa todettiin, että nykyisin eurooppalaisin ja kansallisin menettelyin voidaan tukea ylläpitäjiä toiminnan haasteisiin ja keskinäisen riippuvuuden seurauksena syntyneisiin haavoittuvuuksiin vastaamisessa vain rajallisesti. Syitä on useita ja ne käyvät ilmi vaikutustenarvioinnista, jota käytettiin tämän ehdotuksen laatimisen tukena. Ensinnäkin ylläpitäjät eivät ole täysin tietoisia toimintaympäristönsä dynaamisista riskeistä tai eivät täysin ymmärrä niitä. Toiseksi jäsenvaltioiden ja toimialojen pyrkimykset parantaa häiriönsietokykyä ovat varsin erilaisia. Kolmanneksi samantyyppisiä toimijoita pidetään joissakin jäsenvaltioissa kriittisinä mutta toisissa ei, joten toisiinsa verrattavissa oleva toimijat saavat eri määrän viranomaistukea valmiuksiensa vahvistamiseen (esimerkiksi ohjausta, koulutusta tai harjoitusten järjestämistä) riippuen siitä, millä unionin alueella ne toimivat, ja myös niihin kohdistuvat vaatimukset poikkeavat toisistaan. Jäsenvaltioiden ylläpitäjille asettamien vaatimusten ja valtion tarjoaman tuen vaihtelevuus aiheuttaa ongelmia rajat ylittävissä toiminnoissa erityisesti niille kriittisille toimijoille, jotka toimivat jäsenvaltioissa, joissa sovelletaan muita tiukempia vaatimuksia. Koska palvelujen tarjonta ja toimialat ovat jäsenvaltioissa ja unionissa enenevässä määrin toisistaan riippuvaisia, yhden toimijan riittämätön häiriönsietokyky on vakava riski myös muille sisämarkkinoiden toimijoille. Sisämarkkinoiden sujuvan toiminnan vaarantamisen lisäksi häiriöt voivat aiheuttaa vakavia kielteisiä vaikutuksia kansalaisille, yrityksille, hallituksille ja ympäristölle, erityisesti jos niillä on rajat ylittäviä ja mahdollisesti koko Euroopan alueelle leviäviä vaikutuksia. Yksilötasolla erilaiset häiriötilanteet voivat vaikuttaa eurooppalaisten vapaaseen liikkuvuuteen, elinkeinon harjoittamiseen ja keskeisiin julkisiin palveluihin, esimerkiksi terveydenhuoltoon. Usein näiden ja muiden arkielämän peruspalvelujen tarjonnasta huolehtivat eurooppalaisten yritysten muodostamat toisistaan läheisesti riippuvaiset verkostot, ja yhteen yritykseen yhdellä toimialalla kohdistuvalla häiriöllä voi olla kerrannaisvaikutuksia useilla muilla talouden aloilla. Viime kädessä häiriöt, kuten laajamittaiset sähkökatkokset ja vakavat liikenneonnettomuudet, voivat rapauttaa yleistä turvallisuutta ja synnyttää epävarmuutta sekä heikentää luottamusta kriittisiin toimijoihin ja näiden valvonnasta ja väestön turvallisuudesta vastaaviin viranomaisiin. ·Yhdenmukaisuus muiden alaa koskevien politiikkojen säännösten kanssa Tämä ehdotus vastaa komission laatiman EU:n turvallisuusunionistrategian prioriteetteja, joissa kehotetaan uudistamaan kriittisen infrastruktuurin häiriönsietokyvyn turvaamisen nykyistä lähestymistapaa, jotta se huomioisi paremmin nykyisten ja tulevaisuudessa odotettavissa olevan riskiympäristön, eri toimialojen välisen keskinäisen riippuvuuden vahvistumisen sekä fyysisten ja digitaalisten infrastruktuurien yhä syvenevän riippuvuuden toisistaan. Ehdotettu direktiivi korvaa EEI-direktiivin sekä huomioi muut olemassa olevat ja suunnitellut välineet ja myös perustuu niihin. Ehdotettu direktiivi poikkeaa ratkaisevasti energian ja liikenteen toimialoihin rajoittuvasta EEI-direktiivistä, jonka painopiste on hyödykkeiden suojaamisessa ja jossa säädetään menettelystä Euroopan elintärkeiden infrastruktuurien määrittämiseksi ja nimeämiseksi rajat ylittävässä dialogissa. Ensinnäkin ehdotetun direktiivin soveltamisala olisi huomattavasti laajempi kattaen kymmenen toimialaa: energia, liikenne, pankkitoiminta, finanssimarkkinoiden infrastruktuurit, terveydenhuolto, juomavesi, jätevesi, digitaalinen infrastruktuuri, julkishallinto ja avaruus. Toiseksi ehdotetussa direktiivissä säädetään jäsenvaltioita koskevasta menettelystä kriittisten toimijoiden määrittämiseksi yhteisin perustein, kansallisen riskienarvioinnin perusteella. Kolmanneksi ehdotuksessa esitetään jäsenvaltioita ja niiden määrittämiä kriittisiä toimijoita koskevat velvoitteet. Toimijoihin luetaan myös Euroopan kannalta erityisen merkitykselliset toimijat eli kriittiset toimijat, jotka tarjoavat keskeisiä palveluita yli kolmannekselle tai yli kolmanneksessa jäsenvaltioista ja jotka olisivat erityisen valvonnan alaisia. Komissio tarjoaisi toimivaltaisille viranomaisille ja kriittisille toimijoille tarvittaessa tukea, jotta ne pystyvät täyttämään tämän direktiivin mukaiset velvoitteensa. Lisäksi kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä, joka on komission asiantuntijaryhmä, johon sovelletaan samaa horisontaalista kehystä kuin muihinkin vastaaviin ryhmiin, ohjeistaisi komissiota ja edistäisi strategista yhteistyötä ja tietojen vaihtoa. Ja koska keskinäinen riippuvuus ei rajoitu EU:n ulkorajojen sisäpuolelle, yhteistyö kumppanimaiden kanssa on tarpeen. Tämä ehdotus direktiiviksi mahdollistaa tällaisen yhteistyön esimerkiksi riskinarviointien laadinnassa. Yhdenmukaisuus unionin muiden politiikkojen kanssa

Direktiiviehdotuksella on selkeä yhteys muihin toimialakohtaisiin ja monialaisiin EU:n aloitteisiin, jotka koskevat mm. ilmastonkestävyyden varmistamista, pelastustoimintaa, ulkomaisten suorien sijoitusten (FDI) seurantaa, kyberturvallisuutta ja finanssipalveluita koskevaa säännöstöä, ja se on niiden kanssa sopusoinnussa. Ehdotus on yhdenmukainen ja vahvistaa synergiaetuja erityisesti ehdotetun NIS 2 -direktiivin kanssa. NIS 2 -direktiivin tavoitteena on parantaa sellaisten ’keskeisten toimijoiden’ ja ’tärkeiden toimijoiden’ tieto- ja viestintäteknologioiden häiriönsietokykyä kaikkia uhkia vastaan, jotka ylittävät tietyt kynnysarvot useilla eri toimialoilla. Tällä direktiiviehdotuksella kriittisten toimijoiden häiriönsietokyvystä pyritään varmistamaan, että tämän direktiivin ja ehdotetun NIS 2 ‑direktiivin nojalla nimitetyt toimivaltaiset viranomaiset toimivat toisiaan täydentävästi ja vaihtavat tarvittavassa määrin kyberuhkien ja muiden uhkien sietokykyä koskevaa tietoa ja että erityisesti ehdotetun NIS 2 -direktiivin mukaisesti ’keskeisiksi’ katsottujen alojen kriittisiin toimijoihin sovelletaan myös yleisempiä suojaa parantavia velvoitteita, jotka painottuvat muihin kuin kyberuhkiin. Ehdotetussa NIS 2 -direktiivissä säädetään kattavasti digitaalisen infrastruktuurin alan toimijoiden verkko- ja tietojärjestelmien fyysisestä turvallisuudesta kyseisten toimijoiden kyberturvallisuusriskien hallinnan ja raportointivelvoitteiden yhteydessä. Ehdotus perustuu myös finanssipalveluita koskevaan säännöstöön, joka sisältää laajoja operatiivisten riskien hallinnan ja liiketoiminnan jatkuvuudesta huolehtimisen velvoitteita rahoitusalan toimijoille. Tästä johtuen digitaalisen infrastruktuurin, pankkitoiminnan ja rahoitusinfrastruktuurin toimialoihin liittyviä toimijoita olisi kohdeltava tämän direktiivin mukaisia kriittisiä toimijoita vastaavina toimijoina jäsenvaltioiden velvoitteita ja toimia sovellettaessa, vaikka tämä direktiivi ei aiheuta kyseisille toimijoille lisävelvoitteita. Ehdotuksessa huomioidaan myös muut alakohtaiset ja monialaiset aloitteet, jotka koskevat esimerkiksi pelastustoimintaa, katastrofiriskin vähentämistä ja sopeutumista ilmastonmuutokseen. Lisäksi ehdotuksessa otetaan huomioon se, että tietyissä tapauksissa nykyisessä EU-lainsäädännössä säädetään suojatoimenpiteistä, jotka velvoittavat toimijat varautumaan riskeihin. Tällaisissa tapauksissa, jotka voivat koskea esimerkiksi ilmailun tai merenkulun turvallisuutta, kriittisten toimijoiden olisi lisättävä näistä kuvaukset häiriönsietokykyä koskeviin suunnitelmiinsa. Ehdotetulla direktiivillä ei myöskään rajoita Euroopan unionin toiminnasta tehdyssä sopimuksessa vahvistettujen kilpailusääntöjen soveltamista. 2.OIKEUSPERUSTA, TOISSIJAISUUSPERIAATE JA SUHTEELLISUUSPERIAATE ·Oikeusperusta Toisin kuin direktiivi 2008/114/EY, joka perustui Euroopan yhteisön perustamissopimuksen 308 artiklaan (vastaa nykyisen Euroopan unionin toiminnasta tehdyn sopimuksen 352 artiklaa), tämä ehdotus direktiiviksi perustuu Euroopan unionin toiminnasta tehdyn sopimuksen 114 artiklaan, joka koskee lakien lähentämistä sisämarkkinoiden kehittämiseksi. Tämä on perusteltua, koska direktiivin tavoite, soveltamisala ja sisältö ovat muuttuneet, keskinäinen riippuvuus on lisääntynyt ja kriittisille toimijoille olisi luotava tasapuoliset toimintaedellytykset. Sen sijaan, että direktiivillä suojattaisiin rajallista joukkoa fyysisiä infrastruktuureita, joiden häiriintymisellä tai tuhoutumisella olisi merkittäviä rajat ylittäviä vaikutuksia, tavoitteena on parantaa yhteiskunnalle välttämättömien toimintojen tai taloudellisen toiminnan ylläpitämisen kannalta keskeisiä palveluita tarjoavien jäsenvaltioiden toimijoiden häiriönsietokykyä. Kyseiset toimijat edustavat useita eri toimialoja ja niiden tarjoamat palvelut ovat edellytys unionin talouden muiden alojen toiminnalle. Koska eri toimialojen kriittisiä infrastruktuureita hyödyntämällä tarjotut rajat ylittävät palvelut ovat enenevässä määrin toisistaan riippuvaisia, häiriö yhdessä jäsenvaltiossa voi laajentua koskemaan myös muita jäsenvaltioita tai koko unionia. Nykyinen, kyseisiä palveluita säätelevä oikeudellinen kehys on vahvistettu jäsenvaltioiden tasolla, ja palveluihin kohdistuvat velvoitteet vaihtelevat jäsenvaltioiden välillä suuresti, ja tämän vaihtelun odotetaan lisääntyvän. Kriittisiä toimijoita koskevat, toisistaan poikkeavat kansalliset säännöt vaarantavat palvelujen luotettavan tarjonnan sisämarkkinoilla ja saattavat vaikuttaa kielteisesti kilpailuun. Tämä johtuu pääosin siitä, että samantyyppisiä palveluita tarjoavia samantyyppisiä toimijoita pidetään joissakin jäsenvaltioissa kriittisinä mutta toisissa ei. Tämä tarkoittaa, että toimijoihin, jotka toimivat tai tahtoisivat toimia useammassa kuin yhdessä jäsenvaltioissa, kohdistuu vaihtelevia vaatimuksia ja toimiminen sisämarkkinoilla voi olla tiukempia vaatimuksia soveltavien jäsenvaltioiden toimijoille hankalampaa kuin löyhemmän sääntelyn jäsenvaltioiden toimijoille. Jäsenvaltioiden väliset erot ovat sellaisia, että niillä on suora kielteinen vaikutus sisämarkkinoiden toimintaan. ·Toissijaisuusperiaate Alan yhteinen lainsäädäntökehys Euroopan tasolla on perusteltu, koska kriittisten infrastruktuurien toiminnot ja tuotokset, eli keskeiset palvelut, ovat rajat ylittäviä ja toisistaan riippuvaisia. Yhdessä jäsenvaltiossa sijaitseva ylläpitäjä voi tarjota tiiviiden verkostojen välityksellä palveluita useissa muissa jäsenvaltioissa tai koko unionin alueella. Ylläpitäjää koskevan häiriön vaikutukset voivat siten olla kauaskantoisia ja levitä myös muihin toimialoihin ja ylittää kansalliset rajat. Häiriöiden mahdollisesti koko Euroopan alueelle leviävät vaikutukset edellyttävät toimintaa EU:n tasolla. Lisäksi jäsenvaltioiden toisistaan poikkeavilla säännöillä on suora kielteinen vaikutus sisämarkkinoiden toimintaan. Kuten vaikutustenarviointi osoittaa, useat jäsenvaltiot ja teollisuuden sidosryhmät pitävät toimijoiden riittävän häiriönsietokyvyn takaavaa yhtenäisempää ja koordinoidumpaa eurooppalaista lähestymistapaa tarpeellisena. Vaikka toimijoihin kohdistuvat riskit poikkeavat hieman toisistaan eri jäsenvaltioiden välillä, ne aiheuttavat myös yhteisiä haasteita, joiden ratkaisemiseen kansallisen tason tai yksittäisen ylläpitäjän toimet eivät riitä. ·Suhteellisuusperiaate Ehdotus on oikeassa suhteessa asetettuun kokonaisvaltaiseen tavoitteeseen. Jäsenvaltioihin ja kriittisiin toimijoihin kohdistuvat velvoitteet saattavat joissakin tapauksissa lisätä hallinnollista taakkaa, esimerkiksi jos jäsenvaltion on laadittava kansallinen strategia tai kriittisten toimijoiden otettava käyttöön teknisiä ja organisatorisia toimenpiteitä, mutta nämä jäänevät pääsääntöisesti vähäisiksi. Lisäksi olisi huomioitava, että monet toimijat ovat jo ottaneet käyttöön toimenpiteitä suojatakseen infrastruktuureitaan ja turvatakseen liiketoiminnan jatkuvuuden. Joissakin tapauksissa direktiiviin noudattaminen voi kuitenkin vaatia merkittäviä investointeja. Mutta näissäkin tilanteissa investoinnit ovat perusteltuja, koska ne parantavat häiriönsietokykyä ylläpitäjän tasolla ja vahvistavat systeemistä resilienssiä ja yhdenmukaista lähestymistapaa sekä luotettavien palvelujen tarjoamista koko unionin alueella. Lisäksi direktiivistä mahdollisesti aiheutuva lisärasite jää todennäköisesti huomattavan pieneksi verrattuna niihin kustannuksiin, jotka aiheutuvat merkittävän häiriön vaikutusten hallinnasta ja häiriötilanteesta toipumisesta, kun tapahtuu häiriö, joka vaarantaa yhteiskunnalle välttämättömien toimintojen tai ylläpitäjien, yksittäisen jäsenvaltioiden, unionin tai kansalaisten taloudellisen hyvinvoinnin kannalta keskeisten palvelujen keskeytyksettömän tarjonnan. ·Toimintatavan valinta Direktiivin muodossa annetun ehdotuksen tavoitteena on varmistaa, että unionin alueella noudatetaan entistä yhtenäisempää lähestymistapaa eri alojen kriittisten toimijoiden häiriönsietokyvyn turvaamiseksi. Ehdotus velvoittaa toimivaltaiset viranomaiset määrittämään kriittiset toimijat kaikille yhteisten perusteiden ja riskinarvioinnin tulosten perusteella. Direktiivillä voidaan varmistaa, että jäsenvaltiot soveltavat kriittisten toimijoiden määrittämiseen yhtenäistä lähestymistapaa, ja samalla huomioida kansalliset erityispiirteet, kuten erot riskeille altistumisessa sekä toimialojen väliset ja rajat ylittävät riippuvuussuhteet. 3.JÄLKIARVIOINTIEN, SIDOSRYHMIEN KUULEMISTEN JA VAIKUTUSTENARVIOINTIEN TULOKSET ·Jälkiarvioinnit/toimivuustarkastukset Vuonna 2019 toteutettiin Euroopan elintärkeitä infrastruktuureja koskevan direktiivin arviointi, jossa tarkasteltiin direktiivin täytäntöönpanoa sen merkityksellisyyden, johdonmukaisuuden, vaikuttavuuden, tehokkuuden, EU:n tason lisäarvon ja kestävyyden kannalta. Arvioinnissa todettiin, että toimintaedellytykset ovat muuttuneet huomattavasti direktiivin voimaantulon jälkeen. Muutokset huomioiden voitiin todeta, että direktiivi on vain osittain merkityksellinen. Arvioinnissa todettiin, että direktiivi sopii yleisesti ottaen yhteen asiaa koskevan EU:n alakohtaisen lainsäädännön ja kansainvälisellä tasolla sovellettavan politiikan kanssa, mutta se on ollut vain osittain vaikuttava, koska eräät direktiivin säännökset ovat niin yleisiä. Direktiivin todettiin tuottavan EU:n tasolla lisäarvoa, koska sen avulla on saavutettu tuloksia (eli yhteinen kehys Euroopan elintärkeän infrastruktuurin suojaamiseksi), joita ei olisi saavutettu kansallisilla tai muilla EU:n toimilla muutoin kuin käynnistämällä pidempiä, kalliimpia ja heikommin rajattuja prosesseja. Edellä olevasta huolimatta direktiivin tiettyjen säännösten todettiin antaneen vain vähän lisäarvoa monille jäsenvaltioille. Kestävyydestä voidaan todeta, että eräät direktiivin aikaansaamat vaikutukset (esim. valtioiden väliset keskustelut, raportointivaatimukset) todennäköisesti lakkaisivat, jos direktiivi kumottaisiin eikä sitä korvattaisi muulla säädöksellä. Arvioinnin perusteella voitiin todeta, että EU:n osallistuminen kriittisten infrastruktuurien häiriönsietokyvyn vahvistamiseen saa edelleen tukea jäsenvaltioilta ja että direktiivin suoran kumoamisen pelätään voivan johtaa kielteisiin vaikutuksiin tällä alalla ja erityisesti Euroopan kriittisten infrastruktuurien suojaamiseen liittyen. Jäsenvaltiot halusivat varmistaa, että unionin toiminta tällä alalla on edelleen toissijaisuusperiaatteen mukaista ja että se tukee kriittisten infrastruktuurien suojaamista koskevia kansallisen tason toimia ja helpottaa rajat ylittävää yhteistyötä, myös kolmansien maiden kanssa. ·Sidosryhmien kuuleminen Tätä ehdotusta laatiessaan komissio on kuullut laajasti mm. seuraavia sidosryhmiä: Euroopan unionin toimielimet ja virastot; kansainväliset järjestöt; jäsenvaltioiden viranomaiset; yksityiset toimijat, kuten yksittäiset ylläpitäjät ja kansallisen ja Euroopan tason eri toimialoja edustavien ylläpitäjien toimialajärjestöt; asiantuntijat ja asiantuntijaverkostot, kuten elintärkeiden infrastruktuurien turvaamisen eurooppalainen osaamisverkosto (ERNCIP); tiedeyhteisön jäsenet; kansalaisjärjestöt; ja suuren yleisön edustajat.

Sidosryhmiä kuultiin mm. seuraavin tavoin: mahdollisuus antaa julkista palautetta ehdotusta koskevasta alustavasta vaikutustenarvioinnista; seminaarit; kohdennetut kyselylomakkeet; kahdenväliset tietojenvaihdot; ja julkinen kuuleminen (vuonna 2019 tehdyn EEI-direktiivin arvioinnin tueksi). Lisäksi vaikutustenarviointia tukevan toteutettavuustutkimuksen suorittanut ulkoinen toimija kuuli useita sidosryhmiä esimerkiksi verkkopohjaisen kyselylomakkeen ja kirjallisen lomakkeen välityksellä, kahdenkeskeisissä haastatteluissa ja virtuaalisilla ”kenttävierailuilla” 10 jäsenvaltiossa. Kuulemisten ansiosta komissio pystyi tutkimaan nykyisen elintärkeiden infrastruktuurien häiriönsietokyvyn kehyksen (lähtötilanne) tuloksellisuutta, tehokkuutta, merkityksellisyyttä, johdonmukaisuutta ja EU:n tasolla tuottamaa lisäarvoa; mitä ongelmia nykyinen kehys on aiheuttanut; toimenpidevaihtoehtoja, joita voisi harkita ongelmien ratkaisemiseksi ja toimenpidevaihtoehtojen mahdollisia vaikutuksia. Yleisesti ottaen kuulemisissa tuli esiin lukuisia alueita, joista sidosryhmät olivat yksimielisiä. Näistä merkittävin oli se, että EU:n nykyinen elintärkeiden infrastruktuurien häiriönsietokyvyn kehys olisi uudistettava eri alojen keskinäisten riippuvuussuhteiden lisääntyessä ja uhkaympäristön muuttuessa. Sidosryhmät olivat yleisesti ottaen yksimielisiä siitä, että uuden lähestymistavan olisi sisällettävä sekä sitovia että vapaaehtoisia toimenpiteitä, siinä olisi painotettava häiriönsietokykyä eikä niinkään yksittäisten hyödykkeiden suojaamista ja sen pitäisi olla selkeämmin yhteydessä toimenpiteisiin, joilla turvataan varautuminen kyberuhkiin ja muihin uhkiin. Lisäksi sidosryhmät kannattivat lähestymistapaa, jossa huomioidaan toimialoja koskevan nykyisen lainsäädännön säännökset, joka sisältää vähintäänkin nykyisen NIS-direktiivin sisältämät toimialat ja joka asettaa kriittisille toimijoille yhdenmukaiset velvoitteet kansallisella tasolla ja takaa näille oikeuden tehdä tarvittavat turvallisuusselvitykset työntekijöistä, joilla on pääsy herkkiin tiloihin tai arkaluonteisiin tietoihin. Lisäksi sidosryhmät ehdottivat, että uuden lähestymistavan olisi tarjottava jäsenvaltioille mahdollisuus valvoa kriittisten toimijoiden toimintaa tarkemmin, mutta samalla varmistettava, että Euroopan kannalta erityisen merkitykselliset kriittiset toimijat määritetään ja niiden riittävästä häiriönsietokyvystä huolehditaan. Lopuksi sidosryhmät toivoivat lisärahoitusta ja tukea EU:lta esimerkiksi uusien välineiden käyttöönottoon, valmiuksien vahvistamiseen kansallisella tasolla ja tiiviimpään toiminnan koordinointiin ja/tai yhteistyöhön julkisen ja yksityisen sektorin välillä sekä hyvien käytäntöjen, osaamisen ja asiantuntijatiedon jakamiseen eri tasoilla. Tämän ehdotuksen säännökset vastaavat pääosin sidosryhmien näkemyksiä ja suosituksia. ·Asiantuntijatiedon keruu ja käyttö Kuten edellisessä kohdassa mainitaan, komissio on hyödyntänyt tämän ehdotuksen valmistelussa ulkoista asiantuntemusta esimerkiksi itsenäisten asiantuntijoiden, asiantuntijaverkostojen ja tiedeyhteisön jäsenten kuulemisten välityksellä. ·Vaikutustenarviointi Tämän aloitteen laatimista tukevassa vaikutustenarvioinnissa tutkittiin mahdollisia toimenpidevaihtoehtoja edellä kuvattujen yleisten ja erityisten ongelmien ratkaisemiseksi. Toimenpidevaihtoehdot lähtötason (ei muutosta nykyiseen tilanteeseen) lisäksi: –Vaihtoehto 1: Säilytetään nykyinen EEI-direktiivi, lisätään vapaaehtoisia toimenpiteitä olemassa olevan EPCIP-ohjelman puitteissa; –Vaihtoehto 2: Tarkistetaan nykyistä EEI-direktiiviä siten, että se kattaa samat toimialat kuin nykyinen NIS-direktiivi ja painottaa suuremmassa määrin häiriönsietokykyä. Tarkistetussa EEI-direktiivissä muutettaisiin rajat ylittävien EEI-infrastruktuurien nimeämisprosessia, otettaisiin käyttöön uudet nimeämisperusteet, ja vahvistettaisiin jäsenvaltioita ja ylläpitäjiä koskevat uudet vaatimukset; –Vaihtoehto 3: EEI-direktiivi korvataan uudella välineellä, jonka tavoitteena on parantaa ehdotetun NIS 2 -direktiivin mukaisten keskeisten toimialojen kriittisten toimijoiden häiriönsietokykyä. Tässä vaihtoehdossa jäsenvaltioita ja kriittisiä toimijoita koskevat vähimmäisvaatimukset määritettäisiin uuden kehyksen puitteissa. Sen yhteydessä laadittaisiin menetelmä, jolla määritetään kaikki kriittiset toimijat, jotka tarjoavat palveluita useissa tai kaikissa jäsenvaltioissa tai useisiin tai kaikkiin jäsenvaltioihin. Lainsäädännön täytäntöönpanoa tuettaisiin komission perustamalla tietokeskuksella. –Vaihtoehto 4: EEI-direktiivi korvataan uudella välineellä, jonka tavoitteena on parantaa ehdotetun NIS 2 -direktiivin mukaisten keskeisten toimialojen kriittisten toimijoiden häiriönsietokykyä; komissiolle osoitetaan merkittävämpi rooli kriittisten toimijoiden määrittämisessä ja luodaan kriittisten infrastruktuurien häiriönsietokyvystä vastaava EU:n virasto (joka ottaisi edellisessä vaihtoehdossa ehdotetulle tietokeskukselle määritetyt roolit ja vastuut). Vaikutustenarvioinnissa arvioitiin näiden vaihtoehtojen taloudellisia, yhteiskunnallisia ja ympäristövaikutuksia sekä niiden vaikuttavuutta, tehokkuutta ja oikeasuhteisuutta, ja vaihtoehto 3 todettiin parhaaksi vaihtoehdoksi. Vaihtoehdot 1 ja 2 eivät saisi aikaan riittäviä muutoksia ongelman ratkaisemiseksi, mutta vaihtoehdon 3 seurauksena syntyy yhdenmukainen ja aikaisempaa kattavampi resilienssikehys, joka on yhdenmukainen kyseisiin aloihin sovellettavien unionin säädösten kanssa ja huomioi ne. Vaihtoehto 3 todettiin oikeasuhteiseksi ja se vaikutti poliittisesti toteuttamiskelpoiselta, koska se vastaa neuvoston ja parlamentin lausuntoja tämän asian suhteen tarpeellisiksi katsotuista unionin tason toimista. Lisäksi todettiin, että tämä vaihtoehto todennäköisesti varmistaa joustavuuden ja tarjoaa tulevaisuudenkestävän kehyksen, jonka puitteissa kriittiset toimijat pystyvät vastaamaan myös tuleviin riskeihin. Lopuksi vaikutustenarvioinnissa todettiin, että tämä vaihtoehto täydentää toimialakohtaisia ja monialaisia kehyksiä ja välineitä. Tämä vaihtoehto mahdollistaa esimerkiksi sen, ettei määritettyjen toimijoiden tarvitse ryhtyä lisätoimenpiteisiin, jos ne täyttävät uuden välineen vaatimukset olemassa olevien vaatimusten johdosta. Toisaalta niiden odotetaan ryhtyvän tiettyihin toimenpiteisiin, jos nykyiset välineet eivät kata kyseistä aihetta tai rajoittuvat vain tietyn tyyppisiin riskeihin tai toimenpiteisiin. Sääntelyntarkastelulautakunta on tarkastanut vaikutustenarvioinnin ja antoi siitä myönteisen lausunnon varauksin 20. marraskuuta 2020. Lautakunta nosti vaikutustenarvioinnista esiin useita kohtia, jotka vaativat tarkennusta. Erityisesti lautakunta pyysi lisäselvitystä kriittisiin infrastruktuureihin ja rajat ylittävään ulottuvuuteen kohdistuvista riskeistä, aloitteen ja NIS-direktiivin käynnissä olevan tarkistuksen välisestä yhteydestä sekä parhaaksi arvioidun toimenpidevaihtoehdon ja muun toimialakohtaisen lainsäädännön välisestä suhteesta. Lisäksi lautakunta edellytti lisäperusteluja välineen laajentamisesta koskemaan useampia toimialoja ja pyysi lisätietoja kriittisten toimijoiden valintaperusteista. Oikeasuhtaisuuden osalta lautakunta halusi saada lisäselvityksiä siitä, millä tavalla parhaaksi arvioitu vaihtoehto johtaisi parempiin kansallisiin toimiin rajat ylittäviin riskeihin varautumisessa. Lautakunnan näihin ja muihin, yksityiskohtaisempiin huomautuksiin on vastattu vaikutustenarvioinnin lopullisessa versiossa, jossa esimerkiksi kuvataan yksityiskohtaisesti kriittisiin infrastruktuureihin kohdistuvat rajat ylittävät riskit sekä tämän ehdotuksen ja ehdotetun NIS 2 -direktiivin välinen suhde. Lautakunnan huomautukset on myös otettu huomioon jäljempänä olevassa direktiiviehdotuksessa. ·Sääntelyn toimivuus ja yksinkertaistaminen Sääntelyn toimivuutta ja tuloksellisuutta koskevan komission ohjelman (REFIT) mukaan kaikissa EU-lainsäädännön muuttamiseen tähtäävissä aloitteissa olisi pyrittävä poliittisten tavoitteiden yksinkertaistamiseen ja tehostamiseen. Vaikutustenarvioinnin tulokset viittaavat siihen, että ehdotus todennäköisesti vähentää jäsenvaltioiden kokonaisrasitusta. Parempi yhdenmukaisuus nykyisen NIS-direktiivin palvelulähtöisen lähestymistavan kanssa johtaa todennäköisesti säännösten noudattamisesta aiheutuvien kustannusten pienenemiseen ajan kuluessa. Esimerkiksi nykyisen EEI-direktiivin mukainen, kuormittava rajat ylittävän määrittämisen ja nimeämisen prosessi korvattaisiin kansallisen tason riskipohjaisella menettelyllä, jonka ainoa tavoite on määrittää kriittiset toimijat, joihin kohdistuu erilaisia velvoitteita. Jäsenvaltiot määrittäisivät riskinarvioinnin perusteella kriittiset toimijat, joista useimmat ovat jo nykyisen NIS-direktiivin mukaisia keskeisten palvelujen nimettyjä ylläpitäjiä. Lisäksi, kun kriittiset toimijat toteuttavat toimenpiteitä parantaakseen häiriönsietokykyään, häiriöiden esiintymisen todennäköisyys pienenee. Näin ollen pienenisi myös sen todennäköisyys, että häiriöitä aiheuttavat poikkeamat vaikuttaisivat kielteisesti keskeisten palvelujen tarjontaan jäsenvaltioissa ja koko Euroopassa. Yhdessä niiden myönteisten vaikutusten kanssa, jotka ovat seurausta toisistaan poikkeavien kansallisten sääntöjen yhdenmukaistamisesta unionin tasolla, tämä vaikuttaisi myönteisesti yrityksiin, mikroyritykset ja pk-yritykset mukaan lukien, unionin talouden kokonaistilaan ja sisämarkkinoiden luotettavaan toimintaan. ·Perusoikeudet Ehdotetun lainasäädännön tavoitteena on vahvistaa monenlaisia keskeisiä palveluita tarjoavien kriittisten toimijoiden häiriönsietokykyä ja eliminoida säädökselliset esteet palvelujen tarjoamiselle koko unionin alueella. Se pienentäisi häiriöiden kokonaisriskiä sekä yhteiskunnan että yksilön tasolla ja vähentäisi rasitusta. Tämä parantaisi yleistä turvallisuutta ja vaikuttaisi samalla myönteisesti yritysten vapauteen harjoittaa liiketoimintaa sekä moniin muihin talouden toimijoihin, jotka ovat riippuvaisia keskeisten palvelujen tarjonnasta, mikä hyödyttäisi viime kädessä kuluttajia. Ehdotuksen säännökset, joiden tavoitteena on varmistaa työntekijöiden turvallisuus, sisältävät yleensä henkilötietojen käsittelyä. Henkilötietojen käsittelyn peruste on tiettyihin tehtäviin palkattavien henkilöiden taustan selvittäminen. Lisäksi henkilötietojen käsittelyyn sovelletaan aina henkilötietojen suojaamisesta annettuja unionin sääntöjä ja yleistä tietosuoja-asetusta. 4.TALOUSARVIOVAIKUTUKSET Ehdotettu direktiivi vaikuttaa unionin talousarvioon. Ehdotuksen täytäntöönpanoa varten tarvitaan arviolta yhteensä 42,9 miljoonaa euroa vuosina 2021–2027, josta 5,1 miljoonaa euroa on hallinnollisia kuluja. Kustannukset jakautuvat seuraavasti:

–komission tukitoimet, mukaan lukien henkilöstökulut, hankkeet, tutkimukset ja tukitoimet. –komission järjestämät neuvontaoperaatiot; –kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän ja komiteamenettelyyn osallistuvan komitean säännölliset kokoukset ja muut kokoukset. Lisätietoja on ehdotukseen liitetyssä säädösehdotukseen liittyvässä rahoitusselvityksessä. 5.LISÄTIEDOT ·Toteuttamissuunnitelmat, seuranta, arviointi ja raportointijärjestelyt Ehdotetun direktiivin täytäntöönpanoa arvioidaan neljän ja puolen vuoden kuluttua sen voimaantulosta, minkä jälkeen komissio antaa kertomuksen Euroopan parlamentille ja neuvostolle. Kertomuksessa arvioidaan, missä määrin jäsenvaltiot ovat toteuttaneet direktiivin noudattamiseksi tarvittavat toimenpiteet. Komissio toimittaa viimeistään kuuden vuoden kuluttua direktiivin voimaantulosta Euroopan parlamentille ja neuvostolle kertomuksen, jossa arvioidaan direktiivin vaikuttavuutta ja sen tuottamaa lisäarvoa. ·Ehdotukseen sisältyvien säännösten yksityiskohtaiset selitykset Kohde, soveltamisala ja määritelmät (1–2 artikla) Direktiivin 1 artiklassa ilmoitetaan direktiivin kohde ja soveltamisala ja säädetään jäsenvaltioiden velvoitteista toteuttaa tiettyjä toimenpiteitä, joilla varmistetaan yhteiskunnan välttämättömien toimintojen tai taloudellisen toiminnan ylläpitämisen kannalta keskeisten palvelujen tarjonta sisämarkkinoilla, ja erityisesti määrittää kriittiset toimijat ja mahdollistaa se, että nämä pystyvät täyttämään velvoitteensa, joiden tavoitteena on vahvistaa häiriönsietokykyä ja parantaa niiden kykyä tarjota mainittuja palveluita sisämarkkinoilla. Direktiivissä myös vahvistetaan säännöt, jotka koskevat kriittisten toimijoiden valvontaa ja niille asetettujen velvoitteiden täytäntöönpanon valvontaa sekä Euroopan kannalta erityisen merkittävinä pidettävien kriittisten toimijoiden erityistä valvontaa. Lisäksi 1 artiklassa selvitetään direktiivin ja muiden unionin merkityksellisten säädösten välinen suhde ja ehdot, joiden nojalla unionin ja kansallisen tason sääntöjen mukaan luottamuksellisia tietoja voidaan vaihtaa komission ja muiden merkityksellisten viranomaisten kanssa. Ehdotuksen 2 artiklassa esitetään sovellettavat määritelmät. Kriittisten toimijoiden häiriönsietokykyä koskevat kansalliset kehykset (3–9 artikla) Direktiivin 3 artiklassa säädetään, että jäsenvaltioiden on laadittava strategia kriittisten toimijoiden häiriönsietokyvyn vahvistamiseksi, kuvataan sen osat, todetaan, että se olisi päivitettävä säännöllisesti ja aina tarvittaessa, ja säädetään, että jäsenvaltiot antavat strategiansa ja niiden päivitykset komissiolle tiedoksi. Direktiivin 4 artiklassa säädetään, että toimivaltaiset viranomaiset vahvistavat luettelon keskeisistä palveluista ja arvioivat säännöllisesti kaikki keskeisten palvelujen tarjoamista uhkaavat merkitykselliset riskit, jotta kriittiset toimijat vodaan määrittää. Arvioinnissa huomioidaan unionin muiden merkityksellisten säädösten mukaisesti tehdyt riskinarvioinnit, eri alojen keskinäisestä riippuvuudesta aiheutuvat riskit ja poikkeamista saatavilla olevat tiedot. Jäsenvaltiot vastaavat siitä, että riskinarvioinnin merkitykselliset osat annetaan kriittisten toimintojen käyttöön ja tiedot määritetyistä riskityypeistä ja riskinarvioinnin tuloksista ilmoitetaan säännöllisesti komissiolle. Direktiivin 5 artiklassa säädetään, että jäsenvaltiot määrittävät tiettyjen toimialojen ja alasektoreiden kriittiset toimijat. Määritysprosessissa olisi huomioitava riskinarvioinnin tulokset ja soveltaa täsmällisiä perusteita. Jäsenvaltiot vahvistavat kriittisten toimijoiden luettelon, jota päivitetään tarvittaessa ja säännöllisesti. Kriittisille toimijoille ilmoitetaan niiden määrittämisestä kriittisiksi ja siitä aiheutuvista velvoitteista. Direktiivin täytäntöönpanosta vastaavat toimivaltaiset viranomaiset ilmoittavat kriittisten toimijoiden määrittämisestä NIS 2 -direktiivin täytäntöönpanosta vastaaville toimivaltaisille viranomaisille. Kun yksi tai useampi jäsenvaltio on määrittänyt toimijan kriittiseksi, jäsenvaltiot neuvottelevat keskenään kriittiseen toimijaan kohdistuvan rasituksen vähentämisestä. Jos kriittiset toimijat tarjoavat palveluita yli kolmannekselle tai yli kolmanneksessa jäsenvaltioista, asiaankuuluva jäsenvaltio ilmoittaa komissiolle näiden kriittisten toimijoiden tiedot. Direktiivin 6 artiklassa määritellään termi ’merkittävä haitallinen vaikutus’, johon viitataan 5 artiklan 2 kohdassa, ja säädetään, että jäsenvaltiot toimittavat komissiolle tietolomakkeet, joissa on tiedot niiden määrittämistä kriittisistä toimijoista sekä siitä, miten ne määritettiin. Lisäksi 6 artiklassa annetaan komissiolle valtuudet antaa asiaan liittyviä ohjeita sen jälkeen, kun se on keskustellut asiasta kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän kanssa. Direktiivin 7 artiklassa vahvistetaan, että jäsenvaltioiden olisi määritettävä pankkitoiminnan, finanssimarkkinoiden infrastruktuurin ja digitaalisen infrastruktuurin toimialojen toimijat, joita olisi kohdeltava kriittisiä toimijoita vastaavina toimijoina vain sovellettaessa II lukua. Toimijoille olisi ilmoitettava niiden määrittämisestä kriittisiksi. Direktiivin 8 artiklassa säädetään, että jokaisen jäsenvaltion olisi nimettävä vähintään yksi direktiivin asianmukaisesta soveltamisesta kansallisella tasolla vastaava toimivaltainen viranomainen sekä keskitetty yhteyspiste, joka vastaa rajat ylittävästä yhteistyöstä, ja varmistettava, että niille osoitetaan riittävät resurssit. Keskitetty yhteyspiste toimittaa komissiolle säännöllisesti tiivistelmän poikkeamailmoituksista. Direktiivin 8 artiklassa säädetään, että direktiivin soveltamisesta vastaavat toimivaltaiset viranomaiset tekevät yhteistyötä muiden merkityksellisten kansallisten viranomaisten ja myös NIS 2 -direktiivin mukaisesti nimettyjen toimivaltaisten viranomaisten kanssa. Direktiivin 9 artiklassa säädetään, että jäsenvaltioiden on tarjottava kriittisille toimijoille tukea niiden häiriönsietokyvyn varmistamisessa ja edistettävä yhteistyötä ja vapaaehtoista tietojen ja hyvien käytäntöjen vaihtoa toimivaltaisten viranomaisten ja kriittisten toimijoiden välillä. Kriittisten toimijoiden häiriönsietokyky (10–13 artikla) Direktiivin 10 artiklassa säädetään, että kriittisten toimijoiden tulee säännöllisesti arvioida kaikki merkitykselliset riskit kansallisten riskinarviointien ja muiden relevanttien tietolähteiden perusteella. Direktiivin 11 artiklassa säädetään, että kriittisten toimijoiden on otettava käyttöön asianmukaiset ja oikeasuhteiset tekniset ja organisatoriset toimenpiteet häiriönsietokykynsä varmistamiseksi ja huolehdittava, että nämä toimenpiteet kuvataan häiriönsietokykyä koskevassa suunnitelmassa tai vastaavassa asiakirjassa tai asiakirjoissa. Jäsenvaltiot voivat pyytää komissiota järjestämään neuvontaoperaatioita, jotta kriittiset toimijat saavat ohjeita niitä koskevien velvoitteiden täyttämiseksi. Direktiivin 11 artiklassa annetaan komissiolle valta antaa delegoituja ja täytäntöönpanosäädöksiä. Direktiivin 12 artiklassa säädetään jäsenvaltioiden velvoitteesta varmistaa, että kriittiset toimijat voivat pyytää tiettyihin henkilöstöryhmiin kuuluvien tai palkattavien henkilöiden taustan tarkistusta ja että asianomaiset viranomaiset arvioivat pyynnöt viipymättä Artiklassa kuvataan taustan tarkistusten syy, laajuus ja sisältö, jotka kaikki ovat yleisen tietosuoja-asetuksen mukaisia. Direktiivin 13 artiklassa säädetään jäsenvaltioiden velvoitteesta varmistaa, että kriittiset toimijat ilmoittavat toimivaltaiselle viranomaiselle poikkeamista, jotka häiritsevät tai voisivat häiritä niiden toimintoja merkittävästi. Toimivaltaiset viranomaiset puolestaan antavat ilmoituksen tehneelle kriittiselle toimijalle asiaankuuluvia seurantatietoja. Toimivaltaiset viranomaiset ilmoittavat poikkeamasta keskitetyn yhteyspisteen välityksellä muiden jäsenvaltioiden keskitetylle yhteyspisteelle, jos poikkeamalla on tai voi olla rajat ylittäviä vaikutuksia yhdessä tai useammassa jäsenvaltiossa.

Euroopan kannalta erityisen merkityksellisten kriittisten toimijoiden erityinen valvonta (14–15 artikla) Direktiivin 14 artiklassa määritetään Euroopan kannalta erityisen merkitykselliset kriittiset toimijat. Näitä ovat kriittiset toimijat, jotka tarjoavat keskeisiä palveluita yli kolmannekselle tai yli kolmanneksessa jäsenvaltioista. Kun komissio saa 5 artiklan 6 kohdan mukaisen ilmoituksen, se ilmoittaa kyseiselle toimijalle, että se on Euroopan kannalta erityisen merkityksellinen kriittinen toimija, sekä tähän liittyvät vaatimukset ja päivämäärän, josta alkaen velvoitteita aletaan soveltaa. Direktiivin 15 artiklassa kuvataan Euroopan kannalta erityisen merkityksellisten kriittisten toimijoiden erityiset valvontajärjestelyt, joihin kuuluu, että isännöivä jäsenvaltio toimittaa komissiolle ja kriittisten toimijoiden häiriönsietokykyä käsittelevälle ryhmälle pyydettäessä tiedot 10 artiklan mukaisesta riskinarvioinnista ja 11 artiklan mukaisista toimista sekä mahdollisista valvonta- tai täytäntöönpanotoimista. Lisäksi 15 artiklassa säädetään, että komissio voi järjestää neuvontaoperaatioita arvioidakseen Euroopan kannalta erityisen merkityksellisten kriittisten toimijoiden käyttöön ottamia toimenpiteitä. Kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä analysoi neuvontaoperaation tulokset, minkä perusteella komissio ilmoittaa sille jäsenvaltiolle, missä toimijan infrastruktuuri sijaitsee, näkemyksensä siitä, noudattaako toimija sille kuuluvia velvoitteita ja tarvittaessa mihin toimenpiteisiin voitaisiin ryhtyä toimijan häiriönsietokyvyn parantamiseksi. Artiklassa kuvataan neuvontaoperaatioiden kokoonpano, organisaatio ja rahoitus. Lisäksi artiklassa säädetään, että komissio antaa täytäntöönpanosäädöksen, jossa säädetään neuvontaoperaatioiden toteutuksen ja raporttien järjestämisestä. Yhteistyö ja raportointi (16–17 artikla) Direktiivin 16 artiklassa kuvataan jäsenvaltioiden ja komission edustajista koostuvan kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän rooli ja tehtävät. Se tukee komissiota ja helpottaa strategista yhteistyötä ja tietojen vaihtoa. Artiklassa selostetaan, että komissio voi antaa täytäntöönpanosäädöksiä, joilla vahvistetaan kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän toiminnan kannalta välttämättömät järjestelyt. Direktiivin 17 artiklassa säädetään, että komissio voi tarvittaessa tukea jäsenvaltioita ja kriittisiä toimijoita direktiivin mukaistenvelvoitteiden noudattamisessa ja täydentää jäsenvaltioiden 9 artiklassa tarkoitettuja toimia. Valvonta ja täytäntöönpano (18–19 artikla) Direktiivin 18 artiklassa säädetään jäsenvaltioiden valtuuksista, keinoista ja velvoitteista, jotka koskevat direktiivin täytäntöönpanon ja noudattamisen valvonnan varmistamista. Jäsenvaltiot varmistavat, että kun toimivaltainen viranomainen arvioi kriittisen toimijan direktiivin mukaisten vaatimusten noudattamista, se ilmoittaa tästä kyseisen jäsenvaltion NIS 2 -direktiivin nojalla nimetyille toimivaltaisille viranomaisille ja voi pyytää kyseisiä viranomaisia arvioimaan toimijan kyberturvallisuutta, toimien asiassa yhteistyössä ja vaihtaen asiaan liittyviä tietoja. Direktiivin 19 artiklassa säädetään, että jäsenvaltiot antavat vakiintuneen käytännön mukaisesti säädökset rikkomusten seuraamuksista ja varmistavat kaikin mahdollisin tavoin, että ne pannaan täytäntöön. Loppusäännökset (20–26 artikla) Direktiivin 20 artiklassa todetaan, että komissiota avustaa asetuksessa (EU) N:o 182/2011 tarkoitettu komitea. Kyseessä on vakioartikla. Direktiivin 21 artiklassa siirretään komissiolle valta antaa delegoituja säädöksiä tässä artiklassa säädetyin edellytyksin. Tämäkin on vakioartikla. Direktiivin 22 artiklassa todetaan, että komissio antaa Euroopan parlamentille ja neuvostolle kertomuksen, jossa arvioidaan, missä määrin jäsenvaltiot ovat toteuttaneet tarvittavat toimenpiteet tämän direktiivin noudattamiseksi. Euroopan parlamentille on toimitettava säännöllisesti kertomus, jossa arvioidaan direktiivin vaikuttavuutta ja sen tuottamaa lisäarvoa sekä sitä, olisiko direktiivin soveltamisalaa tarpeen laajentaa muille aloille ja alasektoreille, esimerkiksi elintarvikkeiden tuotantoon, jalostukseen ja jakeluun. Direktiivin 23 artiklassa todetaan, että direktiivi 2008/114/EY kumotaan tämän direktiivin soveltamispäivästä alkaen. Direktiivin 24 artiklassa todetaan, että jäsenvaltioiden on määritetyn ajanjakson sisällä annettava ja julkaistava tämän direktiivin noudattamisen edellyttämät lait, asetukset ja hallinnolliset määräykset ja ilmoitettava niistä komissiolle. Tässä direktiivissä säännellyistä kysymyksistä annetut keskeiset kansalliset säännökset toimitetaan komissiolle. Direktiivin 25 artiklan mukaan direktiivi tulee voimaan kahdentenakymmenentenä päivänä sen jälkeen, kun se on julkaistu Euroopan unionin virallisessa lehdessä. Direktiivin 26 artiklan mukaan direktiivi on osoitettu kaikille jäsenvaltioille.



2020/0365 (COD) Ehdotus EUROOPAN PARLAMENTIN JA NEUVOSTON DIREKTIIVI kriittisten toimijoiden häiriönsietokyvystä EUROOPAN PARLAMENTTI JA EUROOPAN UNIONIN NEUVOSTO, jotka ottavat huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 114 artiklan, ottavat huomioon Euroopan komission ehdotuksen, sen jälkeen kun esitys lainsäätämisjärjestyksessä hyväksyttäväksi säädökseksi on toimitettu kansallisille parlamenteille, ottavat huomioon Euroopan talous- ja sosiaalikomitean lausunnon, ottavat huomioon alueiden komitean lausunnon,

noudattavat tavallista lainsäätämisjärjestystä, sekä katsovat seuraavaa: (1)Neuvoston direktiivissä 2008/114/EY säädetään menettelystä sellaisten Euroopan elintärkeiden infrastruktuurien nimeämiseksi energian ja liikenteen toimialoilla, joiden vahingoittumisella tai tuhoutumisella olisi merkittävä rajat ylittävä vaikutus vähintään kahteen jäsenvaltioon. Direktiivin pääpaino on yksinomaan tällaisten infrastruktuurien suojaamisessa. Vuonna 2019 tehdyssä direktiivin 2008/114/EY arvioinnissa todettiin, etteivät yksittäisten infrastruktuurihyödykkeiden suojaamiseen liittyvät menetelmät riitä ehkäisemään kaikenlaisia häiriöitä, koska kriittisiä infrastruktuureita hyödyntävät toiminnot ovat enenevässä määrin rajat ylittäviä ja toisistaan riippuvaisia. Sen vuoksi painopiste on tarpeen siirtää kriittisten toimijoiden häiriönsietokyvyn varmistamiseen eli niiden kykyyn lieventää poikkeamia, jotka saattavat aiheuttaa häiriötä kriittisen toimijan toiminnoille, vaimentaa niiden vaikutuksia, sopeutua niihin ja palautua niistä. (2)Vaikka unionin ja kansallisella tasolla on käytössä kriittisten infrastruktuurien suojaamista unionissa tukevia toimenpiteitä, kyseisiä infrastruktuureita ylläpitävät toimijat eivät pysty riittävän hyvin vastaamaan toimintojaan uhkaaviin tämänhetkisiin ja ennakoituihin tulevaisuuden riskeihin, jotka toteutuessaan voisivat aiheuttaa häiriöitä yhteiskunnalle välttämättömien toimintojen tai taloudellisen toiminnan kannalta keskeisten palvelujen tarjonnassa. Tämä johtuu dynaamisesta uhkaympäristöstä, jossa terrorismin uhka kasvaa ja infrastruktuurit ja toimialat ovat enenevässä määrin riippuvaisia toisistaan. Myös fyysiset riskit ovat kasvaneet luonnonkatastrofien ja ilmastonmuutoksen vuoksi. Ilmastonmuutos lisää äärimmäisten sääilmiöiden esiintymistiheyttä ja voimakkuutta ja aiheuttaa ilmaston keskiarvoihin pitkällä aikavälillä muutoksia, jotka saattavat heikentää tiettyjen infrastruktuurityyppien kapasiteettia ja tehokkuutta, ellei häiriönsietokykyä ja ilmastonmuutokseen sopeutumista vahvistavia toimenpiteitä ole otettu käyttöön. Lisäksi merkityksellisiä toimialoja ja toimijatyyppejä ei ole nimetty kriittisiksi yhdenmukaisesti eri jäsenvaltioissa. (3)Keskinäisen riippuvuuden vahvistuminen on seurausta rajat ylittävästä toisistaan riippuvaisten palvelujen tarjonnan verkostosta, joka hyödyntää keskeisiä infrastruktuureita koko unionissa energian, liikenteen, pankkitoiminnan, rahoitusmarkkinoiden infrastruktuurin, digitaalisen infrastruktuurin, juomaveden, jäteveden ja terveydenhuollon aloilla, eräillä julkishallinnon aloilla sekä avaruusalalla siltä osin kuin tarkoitetaan tiettyjen, jäsenvaltioiden tai yksityisten tahojen omistamista, hallinnoimista ja operoimista maainfrastruktuureista riippuvaisten palvelujen tarjontaa mutta ei unionin tai jonkin muun tahon unionin puolesta osana unionin avaruusohjelmia omistamia, hallinnoimia tai operoimia infrastruktuureita. Tällainen keskinäinen riippuvuus merkitsee, että myös alun perin yhteen toimijaan tai yhdelle toimialalle rajoittuneella häiriöllä voi olla laajoja kerrannaisvaikutuksia, minkä seurauksena mahdolliset kielteiset vaikutukset palvelujen toimittamiseen sisämarkkinoilla voivat olla kauaskantoisia ja pitkäkestoisia. Covid-19-pandemia on osoittanut, miten haavoittuvaisia enenevässä määrin toisistaan riippuvaiset yhteiskuntamme ovat epätodennäköisten riskien toteutuessa. (4)Keskeisten palvelujen tarjoamiseen osallistuviin toimijoihin kohdistuu enenevässä määrin erilaisia, jäsenvaltioiden lainsäädännössä asetettuja vaatimuksia. Koska näille toimijoille asetetut turvallisuusvaatimukset eivät ole kaikissa jäsenvaltioissa yhtä tiukkoja, vaarana on, että tämä vaikuttaa kielteisesti yhteiskunnan välttämättömien toimintojen tai taloudellisen toiminnan ylläpitämiseen koko unionin alueella synnyttäen sisämarkkinoiden moitteetonta toimintaa haittaavia esteitä. Samantyyppisiä toimijoita pidetään joissakin jäsenvaltioissa kriittisinä mutta toisissa ei, ja lisäksi kriittisiksi määriteltyjä toimijoita koskevat erilaiset vaatimukset eri jäsenvaltioissa. Seurauksena on ylimääräinen ja tarpeeton hallinnollinen taakka yrityksille, joilla on rajat ylittävää toimintaa, ja erityisesti yrityksille, jotka toimivat niissä jäsenvaltioissa, joissa sovelletaan muita tiukempia vaatimuksia. (5)Sen vuoksi on tarpeen määrittää yhdenmukaiset vähimmäisvaatimukset, joilla voidaan turvata keskeisten palvelujen tarjonta sisämarkkinoilla ja parantaa kriittisten toimijoiden häiriönsietokykyä. (6)Tavoitteen saavuttamiseksi jäsenvaltioiden olisi määritettävä kriittiset toimijat, joihin olisi kohdistuttava erityisiä vaatimuksia ja valvontaa, mutta joille myös tarjotaan erityistä tukea ja ohjeistusta korkeatasoisen häiriönsietokyvyn saavuttamiseksi kaikkien merkittävien riskien varalta. (7)Tiettyjä talouden aloja, kuten energiaa ja liikennettä, säännellään jo tai voidaan tulevaisuudessa säännellä alakohtaisilla unionin säädöksillä, joihin sisältyy näillä toimialoilla toimivien toimijoiden häiriönsietokyvyn tiettyihin osa-alueisiin liittyviä sääntöjä. Jotta alakohtaisilla toimenpiteillä voitaisiin kattavasti vaikuttaa sisämarkkinoiden moitteettoman toiminnan kannalta kriittisten toimijoiden häiriönsietokykyyn, niitä olisi täydennettävä tässä direktiivissä säädetyillä toimenpiteillä. Tällä direktiivillä luodaan yhtenäinen kehys kriittisten toimijoiden häiriönsietokyvyn vahvistamiseksi kaikkia uhkatekijöitä vastaan, olivat ne sitten luonnon tai ihmisen aiheuttamia, onnettomuuksia tai tahallaan aiheutettuja. (8)Ottaen huomioon kyberturvallisuuden merkityksen kriittisten toimijoiden häiriönsietokyvylle ja yhdenmukaisuuden säilyttämiseksi tämän direktiivin ja Euroopan parlamentin ja neuvoston direktiivin (EU) XX/YY [ehdotus direktiiviksi toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi koko unionissa, jäljempänä ’toinen verkko- ja tietoturvadirektiivi’] välillä, lähestymistapojen yhdenmukaisuus on varmistettava niin pitkälti kuin mahdollista. Kyberriskien erityispiirteiden ja suuremman esiintyvyyden takia toisessa verkko- ja tietoturvadirektiivissä säädetään kattavista vaatimuksista laajalle joukolle toimijoita näiden kyberturvallisuuden varmistamiseksi. Toisessa verkko- ja tietoturvadirektiivissä ryhdytään riittäviin toimiin kyberturvallisuuden suhteen, ja sen vuoksi siinä katettuja asioita ei tulisi sisällyttää tähän direktiiviin, sanotun kuitenkaan rajoittamatta digitaalisen infrastruktuurin toimialan toimijoiden erityistä järjestelmää. (9)Jos muissa unionin säädöksissä edellytetään kriittisten toimijoiden arvioivan asiaankuuluvat riskit, ryhtyvän toimenpiteisiin häiriönsietokykynsä turvaamiseksi tai ilmoittavan poikkeamista, ja kyseiset vaatimukset ovat vaikutukseltaan vähintään vastaavia kuin tässä direktiivissä säädetyt velvoitteet, tämän direktiivin kyseisiä säännöksiä ei tulisi soveltaa, jotta voidaan välttää päällekkäisyydet ja tarpeeton rasitus. Tällaisessa tilanteessa olisi sovellettava näiden muiden säädösten säännöksiä. Mikäli tämän direktiivin asiaankuuluvia säännöksiä ei sovelleta, ei tulisi soveltaa myöskään sen valvonta- ja täytäntöönpanosäännöksiä. Jäsenvaltioiden olisi kuitenkin II luvun nojalla sisällytettävä kaikki liitteessä luetellut toimialat kriittisten toimijoiden häiriönsietokyvyn vahvistamista, riskinarviointia ja tukitoimenpiteitä koskevaan strategiaansa ja kyettävä määrittämään näiden toimialojen kriittiset toimijat, jos ne täyttävät sovellettavat ehdot, ottaen huomioon pankkitoiminnan, finanssimarkkinoiden infrastruktuurin ja digitaalisen infrastruktuurin toimialojen toimijoihin sovellettavan erityisen järjestelmän. (10)Jotta kriittisten toimijoiden häiriönsietokyky voitaisiin turvata kattavasti, kullakin jäsenvaltiolla olisi oltava strategia, jossa määritellään tavoitteet ja toteutettavat poliittiset toimet. Tämän tavoitteen saavuttamiseksi jäsenvaltioiden olisi varmistettava, että niiden kyberturvallisuusstrategiat sisältävät kehyksen tämän direktiivin ja toisen verkko- ja tietoturvadirektiivin mukaisten toimivaltaisten viranomaisten välisen koordinoinnin tehostamiselle poikkeamia ja kyberuhkia koskevan tietojenvaihdon ja valvontatehtävien hoitamisen yhteydessä. (11)Jäsenvaltioiden toimien kriittisten toimijoiden määrittämiseksi ja niiden häiriönsietokyvyn turvaamisen tukemiseksi olisi perustuttava riskipohjaiseen lähestymistapaan, jossa toimet kohdennetaan niille toimijoille, joiden merkitys yhteiskunnan välttämättömille toiminnoille tai taloudelliselle toiminnalle on suurin. Kohdennetun lähestymistavan varmistamiseksi jokaisen jäsenvaltion olisi arvioitava yhdenmukaistetun kehyksen puitteissa kaikki luonnon ja ihmisen aiheuttamat riskit, jotka saattavat uhata keskeisten palvelujen tarjoamista. Tällaisia riskejä ovat esimerkiksi onnettomuudet, luonnonkatastrofit, uhkat kansanterveydelle (esimerkiksi pandemiat) ja vihamieliset uhkat, kuten terrorismirikokset. Riskejä arvioidessaan jäsenvaltioiden olisi otettava huomioon muut yleiset tai alakohtaiset riskinarvioinnit, jotka on tehty unionin muiden säädösten nojalla, sekä toimialojen keskinäiset riippuvuudet myös muissa jäsenvaltioissa ja kolmansissa maissa. Riskinarvioinnin tuloksia olisi hyödynnettävä kriittisten toimijoiden määrittämisessä ja käytettävä kyseisten toimijoiden apuna tässä direktiivissä häiriönsietokyvylle asetettujen vaatimusten täyttämisessä. (12)Jotta voidaan varmistaa, että nämä vaatimukset koskevat kaikkia asiaankuuluvia toimijoita, ja vähentää eroavaisuuksia tässä asiassa, on tärkeää määrittää yhdenmukaiset säännöt, joiden perusteella kriittiset toimijat voidaan määrittää yhdenmukaisesti koko unionin alueella mutta jotka antavat samalla jäsenvaltioiden ottaa omat kansalliset erityispiirteensä huomioon. Sen vuoksi olisi vahvistettava kriittisten toimijoiden määrittämisperusteet. Vaikuttavuus, tehokkuus, yhdenmukaisuus ja oikeusvarmuus edellyttävät, että myös määrittämiseen liittyvälle ilmoittamiselle ja yhteistoiminnalle laaditaan asianmukaiset säännöt, oikeudelliset seuraamukset mukaan lukien. Jotta komissio voi varmistaa tämän direktiivin asianmukaisen soveltamisen arvioinnin, jäsenvaltioiden olisi toimitettava asiaankuuluvat tiedot komissiolle mahdollisimman tarkasti ja yksityiskohtaisesti eriteltyinä, ja joka tapauksessa luettelo keskeisistä palveluista, kaikkien liitteessä mainituilla toimialoilla ja alasektoreilla määritettyjen kriittisten toimijoiden lukumäärä ja kunkin toimijan tarjoama keskeinen palvelu tai palvelut sekä mahdollisesti sovelletut kynnysarvot. (13)Lisäksi olisi laadittava perusteet tällaisten poikkeamien aiheuttaman haitallisen vaikutuksen merkityksen määrittämiseksi. Niiden olisi perustuttava Euroopan parlamentin ja neuvoston direktiivissä (EU) 2016/1148 säädettyihin perusteisiin, jotta voidaan hyödyntää jäsenvaltioiden toimia näiden toimijoiden määrittämiseksi ja niistä saatua kokemusta. (14)Digitaalisen infrastruktuurin toimialaan liittyvät toimijat perustavat toimintansa olennaisin osin verkko- ja tietojärjestelmiin ja kuuluvat siten toisen verkko- ja tietoturvadirektiivin soveltamisalaan. Näiden järjestelmien fyysinen turvallisuus on osa kyseisen direktiivin mukaista kyberturvallisuusriskien hallintaa ja raportointivelvoitteita. Koska kyseiset seikat kuuluvat toisen verkko- ja tietoturvadirektiivin soveltamisalaan, tässä direktiivissä säädetyt velvoitteet eivät koske kyseisiä toimijoita. Kun otetaan huomioon digitaalisen infrastruktuurin toimialan toimijoiden tarjoamien palvelujen merkitys muiden keskeisten palvelujen tarjoamiselle, jäsenvaltioiden olisi kuitenkin määritettävä tässä direktiivissä säädettyjen perusteiden mukaan ja soveltuvin osin tämän direktiivin mukaista menettelyä noudattaen digitaalisen infrastruktuurin toimialaan liittyvät toimijat, joita olisi kohdeltava kriittisiä toimijoita vastaavina toimijoina ainoastaan sovellettaessa II lukua, mukaan lukien säännös jäsenvaltioiden tuesta näiden toimijoiden häiriönsietokyvyn parantamiseksi. Tämän seurauksena näihin toimijoihin ei tulisi soveltaa III–VI luvussa säädettyjä velvoitteita. Koska kriittisille toimijoille II luvussa säädetyt velvoitteet toimittaa tiettyjä tietoja toimivaltaisille viranomaisille liittyvät III ja IV luvun soveltamiseen, näitäkään velvoitteita ei tulisi soveltaa kyseisiin toimijoihin. (15)Finanssipalveluja koskevassa EU:n säännöstössä on säädetty kattavasti finanssialan toimijoiden velvoitteesta hallita kaikkia mahdollisia riskejä, mukaan lukien operatiiviset riskit ja liiketoiminnan jatkuvuuden turvaaminen. Siihen kuuluvat Euroopan parlamentin ja neuvoston asetus (EU) N:o 648/2012, Euroopan parlamentin ja neuvoston direktiivi 2014/65/EU ja Euroopan parlamentin ja neuvoston asetus (EU) N:o 600/2014 sekä Euroopan parlamentin ja neuvoston asetus (EU) N:o 575/2013 ja Euroopan parlamentin ja neuvoston direktiivi 2013/36/EU. Komissio on äskettäin ehdottanut tämän kehyksen täydentämistä Euroopan parlamentin ja neuvoston asetuksella XX/YYYY [ehdotus Euroopan parlamentin ja neuvoston asetukseksi finanssialan digitaalisesta häiriönsietokyvystä, jäljempänä ’finanssialan digitaalisesta häiriönsietokyvystä annettu asetus’], jossa velvoitetaan finanssialan yhteisöt hallitsemaan TVT-riskejä ja suojaamaan fyysiset TVT-infrastruktuurit. Koska finanssipalveluja koskeva EU:n säännöstö kattaa laajasti liitteen 3 ja 4 kohdassa lueteltujen toimijoiden häiriönsietokyvyn, myös näitä toimijoita olisi kohdeltava kriittisiä toimijoita vastaavina toimijoina ainoastaan sovellettaessa tämän direktiivin II lukua. Operatiivisia riskejä ja digitaalista häiriönsietokykyä koskevien sääntöjen yhdenmukaisen soveltamisen varmistamiseksi [finanssialan digitaalisesta häiriönsietokyvystä annetun asetuksen] 41 artiklan mukaisesti nimettyjen viranomaisten olisi varmistettava, että jäsenvaltiot tukevat kriittisiä toimijoita vastaavien finanssialan toimijoiden yleisen häiriönsietokyvyn parantamista, kyseisessä lainsäädännössä määritettyjä menettelyjä täysin yhdenmukaisesti soveltaen. (16)Jäsenvaltioiden olisi nimettävä viranomaiset, jotka ovat toimivaltaisia valvomaan tämän direktiivin sääntöjen soveltamista ja tarvittaessa niiden täytäntöönpanoa ja varmistettava, että kyseisillä viranomaisilla on riittävä toimivalta ja resurssit. Koska kansallisissa hallintorakenteissa on eroja ja jotta taataan jo olemassa olevien toimialakohtaisten järjestelyjen tai unionin valvonta- ja sääntelyelinten säilyttäminen ja vältetään päällekkäisyyksiä, jäsenvaltioiden olisi voitava nimetä useampi kuin yksi kansallinen toimivaltainen viranomainen. Jäsenvaltioiden olisi tällöin kuitenkin määriteltävä selkeästi kunkin asianomaisen viranomaisen tehtävät ja varmistettava, että näiden välinen yhteistyö on sujuvaa ja toimivaa. Kaikkien toimivaltaisten viranomaisten olisi yleisemminkin tehtävä yhteistyötä muiden merkityksellisten viranomaisten kanssa niin kansallisella kuin unionin tasolla. (17)Rajat ylittävän yhteistyön ja viestinnän helpottamiseksi ja jotta tämä direktiivi voitaisiin panna tehokkaasti täytäntöön, jokaisen jäsenvaltion olisi nimettävä tämän direktiivin mukaisesti nimettyjen toimivaltaisten viranomaisten joukosta keskitetty yhteyspiste, joka vastaa kriittisten toimijoiden häiriönsietokykyyn liittyvien asioiden koordinoinnista sekä siihen liittyvästä rajat ylittävästä yhteistyöstä unionin tasolla, sanotun kuitenkaan rajoittamatta unionin toimialakohtaisten oikeudellisten vaatimusten soveltamista. (18)Koska toisessa verkko- ja tietoturvadirektiivissä säädetyt kyberturvallisuusvaatimukset koskevat kyseisen direktiivin mukaan kriittisiksi määritettyjä toimijoita sekä tämän direktiivin mukaisesti kriittisiä toimijoita vastaavina toimijoina kohdeltavia digitaalisen infrastruktuurin toimialan määritettyjä toimijoita, molempien direktiivien mukaisesti nimettyjen toimivaltaisten viranomaisten olisi tehtävä yhteistyötä erityisesti sellaisten kyberturvallisuusriskien ja poikkeamien osalta, jotka vaikuttavat kyseisiin toimijoihin.

(19)Jäsenvaltioiden olisi tuettava kriittisiä toimijoita niiden häiriönsietokyvyn vahvistamisessa niille tässä direktiivissä säädettyjen velvoitteiden mukaisesti, sanotun kuitenkaan rajoittamatta toimijoiden omaa oikeudellista vastuuta varmistaa velvoitteiden noudattaminen. Jäsenvaltiot voisivat erityisesti laatia ohjemateriaaleja ja menetelmiä, tukea häiriönsietokykytestien järjestämistä ja järjestää kriittisille toimijoille koulutusta. Lisäksi, kun otetaan huomioon toimijoiden ja toimialojen keskinäinen riippuvuus, jäsenvaltioiden olisi otettava käyttöön tiedonjakovälineitä, jotka tukevat kriittisten toimijoiden välistä vapaaehtoista tietojen vaihtoa, sanotun kuitenkaan rajoittamatta Euroopan unionin toiminnasta tehdyssä sopimuksessa vahvistettujen kilpailusääntöjen soveltamista. (20)Jotta kriittiset toimijat voivat varmistaa häiriönsietokykynsä, niiden olisi ymmärrettävä kokonaisvaltaisesti kaikki niihin kohdistuvat merkitykselliset riskit ja analysoitava kyseiset riskit. Tämän tavoitteen saavuttamiseksi niiden olisi suoritettava riskinarviointeja erityisolosuhteidensa ja kyseisten riskien kehittymisen sitä edellyttäessä ja joka tapauksessa aina neljän vuoden välein. Kriittisten toimijoiden suorittamien riskinarviointien olisi perustuttava jäsenvaltioiden suorittamaan riskinarviointiin. (21)Kriittisten toimijoiden olisi toteuttava niihin kohdistuvien riskien suhteen asianmukaiset ja oikeasuhteiset tekniset ja organisatoriset toimenpiteet voidakseen ehkäistä, torjua ja lieventää poikkeamia, vaimentaa niiden vaikutuksia, sopeutua niihin ja palautua niistä. Kriittisten toimijoiden olisi toteutettava toimenpiteet kaikkien direktiivissä määritettyjen seikkojen osalta, mutta toimenpiteiden yksityiskohtien ja laajuuden olisi vastattava asianmukaisesti ja oikeasuhteisesti eri toimijoiden riskinarvioinnissaan määrittämiä riskejä ja toimijan omia erityispiirteitä. (22)Vaikuttavuuden ja vastuuvelvollisuuden vuoksi kriittisten toimijoiden olisi kuvattava nämä toimenpiteet häiriönsietokykyä koskevassa suunnitelmassa tai sitä vastaavassa asiakirjassa tai asiakirjoissa riittävän yksityiskohtaisesti tavoitteiden saavuttamiseksi ja määritetyt riskit huomioiden, sekä sovellettava suunnitelmaa käytännössä. Vastaava asiakirja tai vastaavat asiakirjat voidaan tarvittaessa laatia noudattaen sellaisten fyysistä suojaamista koskevien kansainvälisten sopimusten, esimerkiksi ydinaineita ja ydinlaitoksia koskevista turvajärjestelyistä tehdyn yleissopimuksen, yhteydessä laadittuja vaatimuksia ja standardeja, joiden osapuolia jäsenvaltiot ovat. (23)Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 300/2008, Euroopan parlamentin ja neuvoston asetuksessa (EY) N:o 725/2004 ja Euroopan parlamentin ja neuvoston direktiivissä 2005/65/EY vahvistetaan ilmailun ja merikuljetusten toimialojen toimijoihin sovellettavat vaatimukset ehkäistä laittomien tekojen aiheuttamat välikohtaukset ja torjua ja hillitä tällaisten välikohtausten aiheuttamia seurauksia. Vaikka tämän direktiivin edellyttämät toimenpiteet ovat riskien ja toteutettavien toimenpiteiden suhteen laaja-alaisempia, näiden toimialojen kriittisten toimijoiden häiriönsietokykyä koskevan suunnitelman tai vastaavien asiakirjojen olisi vastattava näiden unionin muiden säädösten mukaisesti toteutettuja toimenpiteitä. Kun häiriönsietokykyä parantavia toimenpiteitä toteutetaan tämän direktiivin nojalla, kriittiset toimijat voisivat lisäksi ottaa huomioon toimialakohtaisissa toimintalinjoissa, kuten EU:n rautateiden henkilöliikenteen turvallisuusfoorumissa, laaditut velvoittamattomat ohjeet ja hyviä käytäntöjä koskevat asiakirjat. (24)Riski siitä, että kriittisten toimijoiden työntekijät hyödyntävät esimerkiksi käyttöoikeuksiaan aiheuttaakseen haittaa tai vahinkoa, on yhä suurempi ongelma. Väkivaltaiseen ääriliikehdintään ja terrorismiin johtavan radikalisoitumisen lisääntyminen pahentaa tätä riskiä. Sen vuoksi on tarpeen antaa kriittisille toimijoille mahdollisuus pyytää tiettyihin henkilöstönsä ryhmiin kuuluvien henkilöiden taustan tarkistusta ja lisäksi varmistaa, että asianomaiset viranomaiset arvioivat pyynnöt viipymättä soveltuvien unionin ja kansallisten sääntöjen, mukaan lukien henkilötietojen suojaa koskevien sääntöjen mukaisesti. (25)Kriittisten toimijoiden olisi ilmoitettava jäsenvaltioiden toimivaltaisille viranomaisille heti, kun se on kyseisissä olosuhteissa kohtuudella mahdollista poikkeamista, jotka merkittävästi häiritsevät tai voisivat merkittävästi häiritä niiden toimintaa. Ilmoituksen olisi mahdollistettava toimivaltaisten viranomaisten nopea ja asianmukainen reagointi poikkeamaan ja annettava niille kattava yleiskuva kriittisiin toimijoihin kohdistuvista kokonaisriskeistä. Tätä varten olisi vahvistettava tiettyjä poikkeamia koskeva ilmoitusmenettely sekä parametrit, joiden perusteella voidaan määrittää, milloin todellinen tai mahdollinen häiriötapahtuma on merkittävä ja poikkeamista olisi ilmoitettava. Koska tällaisten häiriöiden vaikutukset ovat mahdollisesti rajat ylittäviä, olisi vahvistettava menettely, jolla jäsenvaltiot voivat ilmoittaa asiasta keskitettyjen yhteyspisteiden kautta muille jäsenvaltioille, joita tilanne koskettaa. (26)Yleisesti ottaen kriittiset toimijat toimivat enenevässä määrin yhteenliitetyssä palveluntarjonnan ja infrastruktuurien verkostossa ja tarjoavat usein keskeisiä palveluita useammassa kuin yhdessä jäsenvaltiossa. Joidenkin toimijoiden merkitys unionille on kuitenkin erityisen suuri, koska ne tarjoavat keskeisiä palveluita suurelle määrälle jäsenvaltioita, ja siksi niiden toimintaa olisi valvottava unionin tasolla. Tämän vuoksi olisi vahvistettava säännöt, jotka koskevat Euroopan kannalta erityisen merkityksellisten kriittisten toimijoiden erityistä valvontaa. Nämä säännöt eivät kuitenkaan rajoittaisi tässä direktiivissä esitettyjä valvonta- ja täytäntöönpanosäännöksiä. (27)Jos jokin jäsenvaltio katsoo tarvitsevansa lisätietoja voidakseen neuvoa kriittiselle toimijalle, miten tämä voi noudattaa III luvun mukaisia velvoitteitaan, tai arvioidakseen, miten hyvin Euroopan kannalta erityisen merkityksellinen kriittinen toimija noudattaa kyseisiä velvoitteita, komission olisi sovittava neuvontaoperaation järjestämisestä toimijan toteuttamien toimenpiteiden arvioimiseksi sen jäsenvaltion kanssa, jossa kyseisen toimijan infrastruktuuri sijaitsee. Jotta voidaan varmistaa tällaisten neuvontaoperaatioiden asianmukainen toteuttaminen, olisi vahvistettava täydentävät säännöt erityisesti neuvontaoperaatioiden järjestämisestä ja toteuttamisesta, jatkotoimista ja kyseisiä Euroopan kannalta erityisen merkityksellisiä kriittisiä toimijoita koskevista velvoitteista. Neuvontaoperaatioiden toteutuksessa olisi noudatettava kyseisen jäsenvaltion yksityiskohtaisia oikeusnormeja, jotka koskevat esimerkiksi ehtoja pääsyoikeuden saamiseksi kyseessä oleviin tiloihin tai asiakirjoihin, sekä oikeussuojakeinoja, sanotun kuitenkaan rajoittamatta sen jäsenvaltion, jossa neuvontaoperaatio toteutetaan, ja kyseessä olevan toimijan velvollisuutta noudattaa tämän direktiivin säännöksiä. Tällaisten operaatioiden edellyttämää erityistä asiantuntemusta voidaan tarvittaessa pyytää EU:n hätäavun koordinointikeskuksen kautta. (28)Komission tukemiseksi sekä strategisen yhteistyön ja tähän direktiiviin liittyviä seikkoja koskevan tietojenvaihdon, myös parhaiden käytäntöjen jakamisen, helpottamiseksi olisi perustettava kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä, joka on komission asiantuntijaryhmä. Jäsenvaltioiden olisi pyrittävä varmistamaan toimivaltaisten viranomaistensa nimettyjen edustajien tuloksellinen ja tehokas yhteistyö kriittisten toimijoiden häiriönsietokykyä käsittelevässä ryhmässä. Ryhmän olisi aloitettava tehtävässään kuuden kuukauden kuluttua tämän direktiivin voimaantulosta voidakseen tarjota lisäkeinoja asianmukaisen yhteistyön toteuttamiseksi saatettaessa tämä direktiivi osaksi kansallista lainsäädäntöä asetetun määräajan kuluessa. (29)Tämän direktiivin tavoitteiden saavuttamiseksi ja rajoittamatta jäsenvaltioiden ja kriittisten toimijoiden oikeudellista vastuuta varmistaa siinä määritettyjen velvoitteidensa noudattaminen komission olisi toteutettava näiden velvoitteiden noudattamista helpottavia tukitoimia, jos se pitää sitä tarpeellisena. Tukiessaan jäsenvaltioita ja kriittisiä toimijoita tämän direktiivin mukaisten velvoitteiden täytäntöönpanossa komission olisi käytettävä olemassa olevia, esimerkiksi unionin pelastuspalvelumekanismin ja kriittisen infrastruktuurin turvaamista käsittelevän eurooppalaisen osaamisverkoston rakenteita ja välineitä. (30)Jäsenvaltioiden olisi varmistettava, että niiden toimivaltaisilla viranomaisilla on tämän direktiivin asianmukaista soveltamista ja täytäntöönpanoa varten tietyt toimivaltuudet suhteessa kriittisiin toimijoihin, jotka tämän direktiivin mukaisesti kuuluvat niiden lainkäyttövaltaan. Näiden toimivaltuuksien olisi sisällettävä erityisesti oikeus suorittaa tutkimuksia, valvontaa ja tarkastuksia, vaatia kriittisiä toimijoita toimittamaan tiedot ja todisteet toteuttamistaan toimenpiteistä velvoitteidensa täyttämiseksi ja tarvittaessa antaa määräys havaittujen rikkomisten korjaamiseksi. Antaessaan tällaisen määräyksen jäsenvaltio ei saisi edellyttää sellaisia toimenpiteitä, jotka ylittävät kriittisen toimijan säännösten noudattamisen varmistamiseksi tarpeellisen ja oikeasuhtaisen tason. Lisäksi jäsenvaltion on määräystä antaessaan otettava erityisesti huomioon rikkomisen vakavuus ja kriittisen toimijan taloudelliset valmiudet. Toimivaltuuksiin olisi liityttävä kansallisessa lainsäädännössä määritettävät asianmukaiset ja tehokkaat suojatoimet Euroopan unionin perusoikeuskirjassa säädettyjen vaatimusten mukaisesti. Arvioidessaan, onko kriittinen toimija noudattanut tämän direktiivin mukaisia velvoitteitaan, tämän direktiivin mukaisesti nimettyjen toimivaltaisten viranomaisten olisi voitava pyytää toisen verkko- ja tietoturvadirektiivin mukaisesti nimettyjä toimivaltaisia viranomaisia arvioimaan kyseisten toimijoiden kyberturvallisuus. Toimivaltaisten viranomaisten olisi tehtävä asiassa yhteistyötä ja vaihdettava tietoja. (31)Yhtä tai useampaa toimialaa koskevien uusien riskien, tekniikan kehittymisen tai ominaisuuksien huomioon ottamiseksi komissiolle olisi siirrettävä valta hyväksyä Euroopan unionin toiminnasta tehdyn sopimuksen 290 artiklan mukaisesti säädösvallan siirron nojalla annettavia delegoituja säädöksiä, jotta se voisi täydentää häiriönsietokykyä parantavia toimenpiteitä, joita kriittisten toimijoiden on toteutettava, täsmentämällä kaikkia tai osaa kyseisistä toimenpiteistä. On erityisen tärkeää, että komissio asiaa valmistellessaan toteuttaa asianmukaiset kuulemiset, myös asiantuntijatasolla, ja että nämä kuulemiset toteutetaan paremmasta lainsäädännöstä 13 päivänä huhtikuuta 2016 tehdyssä toimielinten välisessä sopimuksessa vahvistettujen periaatteiden mukaisesti. Jotta voitaisiin erityisesti varmistaa tasavertainen osallistuminen delegoitujen säädösten valmisteluun, Euroopan parlamentille ja neuvostolle toimitetaan kaikki asiakirjat samaan aikaan kuin jäsenvaltioiden asiantuntijoille, ja Euroopan parlamentin ja neuvoston asiantuntijoilla on järjestelmällisesti oikeus osallistua komission asiantuntijaryhmien kokouksiin, joissa valmistellaan delegoituja säädöksiä. (32)Jotta voidaan varmistaa tämän direktiivin yhdenmukainen täytäntöönpano, komissiolle olisi siirrettävä täytäntöönpanovaltaa. Tätä valtaa olisi käytettävä Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 182/2011 mukaisesti. (33)Jäsenvaltiot eivät voi riittävällä tavalla saavuttaa tämän direktiivin tavoitetta eli turvata yhteiskunnan välttämättömien toimintojen tai taloudellisen toiminnan kannalta keskeisten palvelujen tarjoamista sisämarkkinoilla ja parantaa näitä palveluja tarjoavien kriittisten toimijoiden häiriönsietokykyä, vaan se voidaan toiminnan vaikutusten vuoksi saavuttaa paremmin unionin tasolla. Sen vuoksi unioni voi toteuttaa toimenpiteitä Euroopan unionista tehdyn sopimuksen 5 artiklassa vahvistetun toissijaisuusperiaatteen mukaisesti. Mainitussa 5 artiklassa vahvistetun suhteellisuusperiaatteen mukaisesti tässä direktiivissä ei ylitetä sitä, mikä on näiden tavoitteiden saavuttamiseksi tarpeen. (34)Sen vuoksi direktiivi 2008/114/EY olisi kumottava, OVAT HYVÄKSYNEET TÄMÄN DIREKTIIVIN: I luku

Kohde, soveltamisala ja määritelmät 1 artikla

Kohde ja soveltamisala

1.Tällä direktiivillä a)säädetään jäsenvaltioiden velvoitteista toteuttaa tiettyjä toimenpiteitä, joilla varmistetaan yhteiskunnan välttämättömien toimintojen tai taloudellisen toiminnan ylläpitämisen kannalta keskeisten palvelujen tarjonta sisämarkkinoilla, ja erityisesti määrittää kriittiset toimijat ja toimijat, joita on tietyiltä osin kohdeltava kriittistä toimijaa vastaavina toimijoina, sekä antaa niille mahdollisuus täyttää velvoitteensa; b)säädetään kriittisten toimijoiden velvoitteista, joiden tarkoituksena on parantaa niiden häiriönsietokykyä ja kykyä tarjota kyseisiä palveluja sisämarkkinoilla; c)vahvistetaan säännöt, jotka koskevat kriittisten toimijoiden valvontaa ja niille asetettujen velvoitteiden täytäntöönpanon valvontaa sekä Euroopan kannalta erityisen merkittävinä pidettävien kriittisten toimijoiden erityistä valvontaa. 2.Tätä direktiiviä ei sovelleta direktiivin (EU) XX/YY [ehdotettu direktiivi toimenpiteistä yhteisen korkean kyberturvatason varmistamiseksi koko unionissa, jäljempänä ’toinen verkko- ja tietoturvadirektiivi’], soveltamisalaan kuuluviin seikkoihin, sanotun kuitenkaan rajoittamatta 7 artiklan soveltamista. 3.Kun alakohtaisissa unionin säädöksissä edellytetään kriittisten toimijoiden toteuttavan III luvussa säädettyjä toimenpiteitä ja kun kyseiset vaatimukset ovat vähintään vastaavia kuin tässä direktiivissä säädetyt velvoitteet, tämän direktiivin asiaa koskevia säännöksiä, mukaan lukien VI luvussa olevat valvontaa ja täytäntöönpanon valvontaa koskevat säännökset, ei sovelleta. 4.Tietoja, jotka katsotaan luottamuksellisiksi unionin ja kansallisten sääntöjen, kuten liikesalaisuuksia koskevien sääntöjen mukaisesti, saa vaihtaa komission ja muiden asianomaisten viranomaisten kanssa vain silloin, kun tällainen vaihtaminen on välttämätöntä tämän direktiivin soveltamiseksi, sanotun kuitenkaan rajoittamatta Euroopan unionin toiminnasta tehdyn sopimuksen 346 artiklan soveltamista. Tällöin saadaan vaihtaa ainoastaan sellaisia tietoja, jotka ovat merkityksellisiä ja oikeasuhteisia tällaisen vaihdon tarkoituksen kannalta. Tiedonvaihdossa on säilytettävä kyseisten tietojen luottamuksellisuus sekä suojeltava kriittisten toimijoiden turvallisuusetuja ja kaupallisia etuja. 2 artikla

Määritelmät Tässä direktiivissä tarkoitetaan: 1)’kriittisellä toimijalla’ julkista tai yksityistä toimijaa, joka on liitteessä tarkoitettua tyyppiä ja jonka jäsenvaltio on määrittänyt sellaiseksi 5 artiklan mukaisesti; 2)’häiriönsietokyvyllä’ kykyä ehkäistä, torjua, lieventää ja vaimentaa poikkeamaa, joka häiritsee tai voi häiritä kriittisen toimijan toimintaa, sopeutua siihen ja palautua siitä; 3)’poikkeamalla’ tapahtumaa, joka voi häiritä tai joka häiritsee kriittisen toimijan toimintaa; 4) ’infrastruktuurilla’ hyödykkeitä ja järjestelmiä tai niiden osia, jotka ovat välttämättömiä keskeisen palvelun toimittamiseksi; 5) ’keskeisellä palvelulla’ palvelua, joka on keskeinen yhteiskunnan elintärkeiden toimintojen tai taloudellisen toiminnan ylläpitämiseksi; 6)’riskillä’ tilannetta tai tapahtumaa, joka voi vaikuttaa haitallisesti kriittisten toimijoiden häiriönsietokykyyn; 7)’riskinarvioinnilla’ menetelmiä, joiden avulla määritetään riskin luonne ja laajuus analysoimalla mahdolliset uhkatekijät ja vaarat ja arvioimalla olemassa olevat haavoittuvuudet, jotka voivat häiritä kriittisen toimijan toimintaa. II luku

Kriittisten toimijoiden häiriönsietokykyä koskevat kansalliset kehykset 3 artikla

Kriittisten toimijoiden häiriönsietokykyä koskeva strategia 1.Kunkin jäsenvaltion on hyväksyttävä viimeistään ... päivänä ...kuuta ... [kolmen vuoden kuluttua tämän direktiivin voimaantulosta] strategia kriittisten toimijoiden häiriönsietokyvyn vahvistamiseksi. Strategiassa on esitettävä strategiset tavoitteet ja poliittiset toimenpiteet kriittisten toimijoiden hyvän häiriönsietokyvyn saavuttamiseksi ja ylläpitämiseksi, ja sen on katettava vähintään liitteessä tarkoitetut toimialat.

2.Strategian on sisällettävä vähintään seuraavat seikat: a)strategiset tavoitteet ja painopisteet kriittisten toimijoiden yleisen häiriönsietokyvyn parantamiseksi ottaen huomioon rajat ylittävät ja eri toimialojen keskinäiset riippuvuussuhteet; b)ohjauskehys strategisten tavoitteiden ja painopisteiden saavuttamiseksi, mukaan lukien kuvaus eri viranomaisten, kriittisten toimijoiden ja muiden strategian täytäntöönpanoon osallistuvien tahojen tehtävistä ja vastuista; c)kuvaus kriittisten toimijoiden yleisen häiriönsietokyvyn parantamiseen tarvittavista toimenpiteistä, mukaan lukien kansallinen riskinarviointi, kriittisten toimijoiden ja kriittisiä toimijoita vastaavien toimijoiden määrittäminen sekä tämän luvun mukaisesti toteuttavat toimenpiteet kriittisten toimijoiden tukemiseksi; d)toimintapuitteet tämän direktiivin 8 artiklan ja [toisen verkko- ja tietoturvadirektiivin] mukaisesti nimettyjen toimivaltaisten viranomaisten välisen koordinoinnin lisäämiseksi poikkeamia ja kyberuhkia koskevaa tiedonvaihtoa ja valvontatehtävien suorittamista varten. Strategia on päivitettävä tarvittaessa ja vähintään neljän vuoden välein. 3.Jäsenvaltioiden on toimitettava strategiansa ja strategioiden päivitykset komissiolle kolmen kuukauden kuluessa niiden hyväksymisestä. 4 artikla

Jäsenvaltioiden suorittama riskinarviointi 1.Jäljempänä olevan 8 artiklan mukaisesti nimettyjen toimivaltaisten viranomaisten on laadittava luettelo keskeisistä palveluista liitteessä tarkoitetuilla toimialoilla. Niiden on tehtävä viimeistään ... päivänä ...kuuta ... [kolmen vuoden kuluttua tämän direktiivin voimaantulosta] ja sen jälkeen tarvittaessa ja vähintään neljän vuoden välein arviointi kaikista kyseisten keskeisten palvelujen tarjoamiseen mahdollisesti vaikuttavista merkityksellisistä riskeistä kriittisten toimijoiden määrittämiseksi 5 artiklan 1 kohdan mukaisesti ja näiden kriittisten toimijoiden avustamiseksi 11 artiklassa tarkoitettujen toimenpiteiden toteuttamisessa. Riskinarvioinnissa on käsiteltävä kaikkia merkityksellisiä luonnonriskejä ja ihmisen aiheuttamia riskejä, mukaan lukien onnettomuudet, luonnonkatastrofit, kansanterveysuhat ja vihamieliset uhat, kuten Euroopan parlamentin ja neuvoston direktiivissä (EU) 2017/541 tarkoitetut terrorismirikokset. 2.Tehdessään riskinarviointia jäsenvaltioiden on otettava huomioon vähintään: a)Euroopan parlamentin ja neuvoston päätöksen N:o 1313/2013/EU 6 artiklan 1 kohdan mukaisesti tehtävä yleinen riskinarviointi; b)muut merkitykselliset riskinarvioinnit, jotka tehdään asiaankuuluvien alakohtaisten unionin säädösten, mukaan lukien Euroopan parlamentin ja neuvoston asetus (EU) 2019/941 ja Euroopan parlamentin ja neuvoston asetus (EU) 2017/1938, vaatimusten mukaisesti; c)liitteessä tarkoitettujen toimialojen välisistä riippuvuussuhteista aiheutuvat riskit, mukaan lukien muista jäsenvaltioista ja kolmansista maista aiheutuvat riskit, ja yhdellä toimialalla tapahtuvan häiriön mahdolliset vaikutukset muihin toimialoihin; d)13 artiklan mukaisesti ilmoitettuja poikkeamia koskevat tiedot. Ensimmäisen alakohdan c alakohtaa sovellettaessa jäsenvaltioiden on tarvittaessa tehtävä yhteistyötä muiden jäsenvaltioiden ja kolmansien maiden toimivaltaisten viranomaisten kanssa. 3.Jäsenvaltioiden on asetettava 1 kohdassa tarkoitetun riskinarvioinnin olennaiset seikat 5 artiklan mukaisesti määrittämiensä kriittisten toimijoiden saataville avustaakseen niitä 10 artiklassa tarkoitetun riskinarvioinnin tekemisessä ja niiden häiriönsietokyvyn varmistamiseen tarkoitettujen toimenpiteiden toteuttamisessa 11 artiklan mukaisesti. 4.Kunkin jäsenvaltion on toimitettava viimeistään ... päivänä ...kuuta ... [kolmen vuoden kuluttua tämän direktiivin voimaantulosta] ja sen jälkeen tarvittaessa ja vähintään neljän vuoden välein komissiolle tiedot määritetyistä riskityypeistä ja riskinarviointien tuloksista kullakin liitteessä tarkoitetulla toimialalla ja alasektorilla. 5.Komissio voi laatia yhteistyössä jäsenvaltioiden kanssa vapaaehtoisen yhteisen raportointimallin 4 kohdan noudattamiseksi. 5 artikla

Kriittisten toimijoiden määrittäminen

1.Jäsenvaltioiden on määritettävä viimeistään ... päivänä ...kuuta ... [kolmen vuoden ja kolmen kuukauden kuluttua tämän direktiivin voimaantulosta] kriittiset toimijat kullakin liitteessä tarkoitetulla toimialalla ja alasektorilla, lukuun ottamatta liitteessä olevassa 3, 4 ja 8 kohdassa tarkoitettuja toimialoja ja alasektoreita. 2.Määrittäessään 1 kohdassa tarkoitetut kriittiset toimijat jäsenvaltioiden on otettava huomioon 4 artiklan mukaisen riskinarvioinnin tulokset ja sovellettava seuraavia perusteita: a)toimija tarjoaa yhtä tai useampaa keskeistä palvelua; b)kyseisen palvelun tarjoaminen on riippuvainen jäsenvaltiossa sijaitsevasta infrastruktuurista; ja c)poikkeamalla olisi merkittäviä haitallisia vaikutuksia kyseisen palvelun tarjoamiseen tai muiden kyseisestä palvelusta riippuvaisten keskeisten palvelujen tarjoamiseen liitteessä tarkoitetuilla toimialoilla. 3.Kunkin jäsenvaltion on laadittava luettelo määritetyistä kriittisistä toimijoista ja varmistettava, että niille ilmoitetaan niiden määrittämisestä kriittisiksi toimijoiksi yhden kuukauden kuluessa määrittämisestä, sekä annettava niille tiedoksi niiden II ja III luvun mukaiset velvoitteet ja päivämäärä, josta lukien niihin sovelletaan näiden lukujen säännöksiä. Kyseisiin kriittisiin toimijoihin sovelletaan tämän luvun säännöksiä ilmoituspäivästä lukien ja III luvun säännöksiä kuuden kuukauden kuluttua kyseisestä päivämäärästä. 4.Jäsenvaltioiden on varmistettava, että niiden tämän direktiivin 8 artiklan mukaisesti nimeämät toimivaltaiset viranomaiset ilmoittavat jäsenvaltioiden [toisen verkko- ja tietoturvadirektiivin] 8 artiklan mukaisesti nimeämille toimivaltaisille viranomaisille jäsenvaltioiden tämän artiklan mukaisesti määrittämät kriittiset toimijat yhden kuukauden kuluessa niiden määrittämisestä. 5.Jäsenvaltioiden on varmistettava 3 kohdassa tarkoitetun ilmoituksen jälkeen, että kriittiset toimijat antavat jäsenvaltioiden tämän direktiivin 8 artiklan mukaisesti nimeämille toimivaltaisille viranomaisille tiedon siitä, onko ne määritetty kriittiseksi toimijaksi yhdessä tai useammassa muussa jäsenvaltiossa. Jos vähintään kaksi jäsenvaltiota on määrittänyt toimijan kriittiseksi, kyseisten jäsenvaltioiden on kuultava toisiaan kriittiselle toimijalle III luvun mukaisista velvoitteista aiheutuvan rasituksen vähentämiseksi. 6.Jäljempänä olevaa IV lukua sovellettaessa jäsenvaltioiden on varmistettava, että kriittiset toimijat antavat 3 kohdassa tarkoitetun ilmoituksen jälkeen jäsenvaltioiden tämän direktiivin 8 artiklan mukaisesti nimeämille toimivaltaisille viranomaisille tiedon siitä, tarjoavatko ne keskeisiä palveluja useammalle kuin yhdelle kolmasosalle tai useammassa kuin yhdessä kolmasosassa jäsenvaltioista. Jos ne tarjoavat, kyseisen jäsenvaltion on ilmoitettava kyseiset kriittiset toimijat komissiolle ilman aiheetonta viivytystä. 7.Jäsenvaltioiden on tarvittaessa ja joka tapauksessa vähintään neljän vuoden välein tarkistettava ja tarvittaessa päivitettävä luettelo määritetyistä kriittisistä toimijoista. Kun kyseiset päivitykset johtavat uusien kriittisten toimijoiden määrittämiseen, sovelletaan 3, 4, 5 ja 6 kohtaa. Lisäksi jäsenvaltioiden on varmistettava, että toimijoille, joita ei tällaisen päivityksen perusteella enää määritetä kriittisiksi toimijoiksi, ilmoitetaan asiasta ja niille annetaan tieto siitä, ettei niihin enää sovelleta III luvun mukaisia velvoitteita niiden saatua kyseisen tiedon. 6 artikla

Merkittävä haitallinen vaikutus 1.Määrittäessään 5 artiklan 2 kohdan c alakohdassa tarkoitetun haitallisen vaikutuksen merkitystä jäsenvaltioiden on otettava huomioon seuraavat perusteet: a)toimijan tarjoamasta palvelusta riippuvaisten käyttäjien lukumäärä; b)muiden liitteessä tarkoitettujen toimialojen riippuvuus kyseisestä palvelusta; c)vaikutukset, joita poikkeamilla voisi vakavuutensa ja kestonsa perusteella olla talouden ja yhteiskunnan toimintoihin, ympäristöön ja yleiseen turvallisuuteen; d)toimijan markkinaosuus kyseisten palvelujen markkinoilla; e)maantieteellinen alue, johon poikkeama voisi vaikuttaa, mukaan lukien rajat ylittävät vaikutukset; f)toimijan merkitys palvelun riittävän tason ylläpitämisessä ottaen huomioon kyseisen palvelun tarjoamista koskevien vaihtoehtoisten keinojen saatavuus.

2.Jäsenvaltioiden on toimitettava komissiolle viimeistään ... päivänä ...kuuta ... [kolmen vuoden ja kolmen kuukauden kuluttua tämän direktiivin voimaantulosta] seuraavat tiedot: a)4 artiklan 1 kohdassa tarkoitettu luettelo palveluista; b)kullakin liitteessä tarkoitetulla toimialalla ja alasektorilla määritettyjen kriittisten toimijoiden lukumäärä ja 4 artiklan 1 kohdassa tarkoitettu palvelu tai palvelut, joita kukin toimija tarjoaa; c)mahdolliset yhden tai useamman 1 kohdassa esitetyn perusteen täsmentämiseen sovellettavat kynnysarvot. Sen jälkeen niiden on toimitettava kyseiset tiedot tarvittaessa ja vähintään neljän vuoden välein. 3.Komissio voi kriittisten toimijoiden häiriönsietokykyä käsittelevää ryhmää kuultuaan antaa suuntaviivoja 1 kohdassa tarkoitettujen perusteiden soveltamisen helpottamiseksi, ottaen huomioon 2 kohdassa tarkoitetut tiedot. 7 artikla

Tässä luvussa tarkoitettuja kriittisiä toimijoita vastaavat toimijat 1. Jäsenvaltioiden on määritettävä liitteessä olevassa 3, 4 ja 8 kohdassa tarkoitettujen toimialojen osalta viimeistään ... päivänä ...kuuta ... [kolmen vuoden ja kolmen kuukauden kuluttua tämän direktiivin voimaantulosta] toimijat, joita on kohdeltava kriittisiä toimijoita vastaavina toimijoina tätä lukua sovellettaessa. Niiden on sovellettava 3 artiklan, 4 artiklan, 5 artiklan 1–4 ja 7 kohdan ja 9 artiklan säännöksiä kyseisiin toimijoihin. 2. Jäsenvaltioiden on varmistettava liitteessä olevassa 3 ja 4 kohdassa tarkoitettujen toimialojen 1 kohdan mukaisesti määritettyjen toimijoiden osalta, että toimivaltaisiksi viranomaisiksi nimettyinä viranomaisina ovat [finanssialan digitaalisesta häiriönsietokyvystä annetun asetuksen] 41 artiklan mukaisesti nimetyt toimivaltaiset viranomaiset 8 artiklan 1 kohtaa sovellettaessa. 3. Jäsenvaltioiden on varmistettava, että 1 kohdassa tarkoitetuille toimijoille ilmoitetaan ilman aiheetonta viivytystä niiden määrittämisestä tässä artiklassa tarkoitetuiksi toimijoiksi. 8 artikla

Toimivaltaiset viranomaiset ja keskitetty yhteyspiste 1.Kunkin jäsenvaltion on nimettävä yksi tai useampi toimivaltainen viranomainen, joka vastaa tämän direktiivin säännösten asianmukaisesta soveltamisesta ja tarvittaessa täytäntöönpanosta kansallisella tasolla, jäljempänä ’toimivaltainen viranomainen’. Jäsenvaltiot voivat nimetä olemassa olevan viranomaisen tai viranomaiset. Nimetessään useamman kuin yhden viranomaisen niiden on esitettävä selvästi kunkin kyseisen viranomaisen tehtävät ja varmistettava, että ne tekevät tehokasta yhteistyötä tämän direktiivin mukaisten tehtäviensä hoitamisessa, mukaan lukien 2 kohdassa tarkoitetun keskitetyn yhteyspisteen nimeäminen ja toiminta. 2.Kunkin jäsenvaltion on nimettävä toimivaltaisessa viranomaisessa yhteydenpitoa hoitava keskitetty yhteyspiste, jäljempänä ’keskitetty yhteyspiste’, jotta voidaan varmistaa rajat ylittävä yhteistyö muiden jäsenvaltioiden toimivaltaisten viranomaisten kanssa sekä 16 artiklassa tarkoitetun kriittisten toimijoiden häiriönsietokykyä käsittelevän ryhmän kanssa. 3.Keskitettyjen yhteyspisteiden on toimitettava viimeistään ... päivänä ...kuuta ... [kolmen vuoden ja kuuden kuukauden kuluttua tämän direktiivin voimaantulosta] ja sen jälkeen vuosittain komissiolle ja kriittisten toimijoiden häiriönsietokykyä käsittelevälle ryhmälle tiivistelmä saaduista ilmoituksista, mukaan lukien ilmoitusten lukumäärä, ilmoitettujen poikkeamien luonne ja 13 artiklan 3 kohdan mukaisesti toteutetut toimet. 4.Kunkin jäsenvaltion on varmistettava, että toimivaltaisella viranomaisella, myös sen sisällä nimetyllä keskitetyllä yhteyspisteellä, on valtuudet ja riittävät taloudelliset, henkilöstö- ja tekniset voimavarat, jotta se voi suorittaa sille osoitetut tehtävät tuloksekkaasti ja tehokkaasti. 5.Jäsenvaltioiden on varmistettava, että niiden toimivaltaiset viranomaiset kuulevat tarvittaessa ja unionin ja kansallisen lainsäädännön mukaisesti muita asianomaisia kansallisia viranomaisia, erityisesti pelastuspalvelusta, lainvalvonnasta ja henkilötietojen suojasta vastaavia viranomaisia, sekä asianomaisia osapuolia, mukaan lukien kriittiset toimijat, ja tekevät yhteistyötä niiden kanssa. 6.Jäsenvaltioiden on varmistettava, että niiden tämän artiklan mukaisesti nimeämät toimivaltaiset viranomaiset tekevät yhteistyötä [toisen verkko- ja tietoturvadirektiivin] mukaisesti nimettyjen toimivaltaisten viranomaisten kanssa asioissa, jotka koskevat kriittisiin toimijoihin vaikuttavia kyberturvallisuusriskejä ja kyberturvallisuuspoikkeamia sekä [toisen verkko- ja tietoturvadirektiivin] mukaisesti nimettyjen toimivaltaisten viranomaisten toteuttamia, kriittisten toimijoiden kannalta olennaisia toimenpiteitä. 7.Kunkin jäsenvaltion on kolmen kuukauden kuluessa toimivaltaisen viranomaisen ja keskitetyn yhteyspisteen nimeämisestä ilmoitettava komissiolle niiden nimeämisestä, mukaan lukien niiden täsmälliset tämän direktiivin mukaiset tehtävät ja vastuut, yhteystiedot sekä näiden tietojen mahdolliset myöhemmät muutokset. Kunkin jäsenvaltion on julkistettava toimivaltaisen viranomaisen ja keskitetyn yhteyspisteen nimeäminen. 8.Komissio julkaisee jäsenvaltioiden keskitettyjen yhteyspisteiden luettelon.

9 artikla

Jäsenvaltioiden tuki kriittisille toimijoille 1.Jäsenvaltioiden on tuettava kriittisiä toimijoita niiden häiriönsietokyvyn parantamiseksi. Tukeen voi kuulua ohjemateriaalin ja menetelmien laatiminen, kriittisten toimijoiden häiriönsietokykyä testaavien harjoitusten järjestämisen tukeminen ja niiden henkilöstön koulutus. 2.Jäsenvaltioiden on varmistettava, että toimivaltaiset viranomaiset tekevät yhteistyötä ja vaihtavat tietoja ja hyviä käytäntöjä liitteessä tarkoitettujen toimialojen kriittisten toimijoiden kanssa. 3.Jäsenvaltioiden on otettava käyttöön tiedonvaihtovälineitä tukemaan kriittisten toimijoiden välistä vapaaehtoista tiedonvaihtoa tämän direktiivin soveltamisalaan kuuluvissa asioissa erityisesti kilpailua ja henkilötietojen suojaa koskevan unionin ja kansallisen lainsäädännön mukaisesti. III luku

Kriittisten toimijoiden häiriönsietokyky 10 artikla

Kriittisten toimijoiden suorittama riskinarviointi Jäsenvaltioiden on varmistettava, että kriittiset toimijat arvioivat jäsenvaltioiden riskinarviointien ja muiden asiaan liittyvien tiedonlähteiden perusteella kaikki merkitykselliset riskit, jotka voivat häiritä niiden toimintaa, kuuden kuukauden kuluessa 5 artiklan 3 kohdassa tarkoitetun ilmoituksen vastaanottamisesta ja sen jälkeen tarvittaessa ja vähintään neljän vuoden välein. Riskinarvioinnissa on käsiteltävä kaikkia 4 artiklan 1 kohdassa tarkoitettuja merkityksellisiä riskejä, jotka voivat aiheuttaa häiriöitä keskeisten palvelujen tarjoamisessa. Siinä on otettava huomioon liitteessä tarkoitettujen muiden toimialojen mahdollinen riippuvuus kriittisen toimijan tarjoamasta keskeisestä palvelusta, tapauksen mukaan myös naapurijäsenvaltioissa ja kolmansissa maissa, sekä vaikutukset, joita keskeisten palvelujen tarjoamisen häiriintymisellä yhdellä tai useammalla kyseisellä toimialalla voi olla kriittisen toimijan tarjoamaan keskeiseen palveluun. 11 artikla

Kriittisten toimijoiden toimenpiteet häiriönsietokyvyn varmistamiseksi 1.Jäsenvaltioiden on varmistettava, että kriittiset toimijat toteuttavat asianmukaisia ja oikeasuhteisia teknisiä ja organisatorisia toimenpiteitä häiriönsietokykynsä varmistamiseksi, mukaan lukien toimenpiteet, jotka ovat tarpeen: a)poikkeamien syntymisen estämiseksi, muun muassa katastrofiriskien vähentämiseen ja ilmastonmuutokseen sopeutumiseen liittyvillä toimenpiteillä; b)herkkien alueiden, tilojen ja muun infrastruktuurin riittävän fyysisen suojauksen varmistamiseksi, mukaan lukien aitaaminen, esteet, kehävalvontavälineet ja -käytännöt sekä ilmaisulaitteet ja kulunvalvonta; c)poikkeamien seurausten torjumiseksi ja lieventämiseksi, mukaan lukien riskien- ja kriisinhallintamenettelyjen ja -käytäntöjen ja hälytyskäytäntöjen toteuttaminen; d)poikkeamista palautumiseksi, mukaan lukien liiketoiminnan jatkuvuuteen liittyvät toimenpiteet ja vaihtoehtoisten toimitusketjujen kartoittaminen; e)asianmukaisen henkilöstöturvallisuuden hallinnan varmistamiseksi, muun muassa määrittämällä kriittisiä tehtäviä hoitavat henkilöstöryhmät, ottamalla käyttöön pääsyoikeudet herkille alueille, tiloihin ja muuhun infrastruktuuriin sekä arkaluonteisiin tietoihin sekä määrittämällä erityiset henkilöstöryhmät 12 artiklan soveltamiseksi; f)a–e alakohdassa tarkoitetuista toimenpiteistä tiedottamiseksi asianomaiselle henkilöstölle. 2.Jäsenvaltioiden on varmistettava, että kriittiset toimijat ovat laatineet ja ottaneet käyttöön häiriönsietokykyä koskevan suunnitelman tai vastaavan asiakirjan tai asiakirjat, joissa kuvataan yksityiskohtaisesti 1 kohdassa tarkoitetut toimenpiteet. Jos kriittiset toimijat ovat toteuttaneet muihin unionin säädöksiin sisältyvien velvoitteiden mukaisia toimenpiteitä, joilla on merkitystä myös 1 kohdassa tarkoitettujen toimenpiteiden kannalta, niiden on kuvattava myös kyseiset toimenpiteet häiriönsietokykyä koskevassa suunnitelmassa tai vastaavassa asiakirjassa tai asiakirjoissa. 3.Komissio järjestää kriittisen toimijan määrittäneen jäsenvaltion pyynnöstä ja kyseisen kriittisen toimijan suostumuksella neuvontaoperaatioita, jotka toteutetaan 15 artiklan 4, 5, 7 ja 8 kohdassa säädettyjen järjestelyjen mukaisesti ja joiden tarkoituksena on neuvoa kriittistä toimijaa sen III luvun mukaisten velvoitteiden täyttämisessä. Neuvontaoperaation on raportoitava havainnoistaan komissiolle sekä kyseiselle jäsenvaltiolle ja kriittiselle toimijalle. 4.Siirretään komissiolle valta antaa 21 artiklan mukaisesti 1 kohtaa täydentäviä delegoituja säädöksiä, joissa säädetään yksityiskohtaisesti joistakin tai kaikista kyseisen kohdan mukaisesti toteutettavista toimenpiteistä. Komissio antaa delegoidut säädökset sikäli kuin se on tarpeen kyseisen kohdan tehokkaan ja yhdenmukaisen soveltamisen varmistamiseksi tämän direktiivin tavoitteiden mukaisesti, ottaen huomioon riskeissä, teknologiassa tai kyseisten palvelujen tarjoamisessa tapahtuneen olennaisen kehityksen sekä mahdolliset tiettyihin toimialoihin ja toimijatyyppeihin liittyvät erityispiirteet.

5.Komissio hyväksyy täytäntöönpanosäädökset, joissa säädetään tarvittavista 1 kohdassa tarkoitettujen toimenpiteiden soveltamiseen liittyvistä teknisistä ja menetelmiä koskevista eritelmistä. Nämä täytäntöönpanosäädökset hyväksytään 20 artiklan 2 kohdassa tarkoitettua tarkastelumenettelyä noudattaen. 12 artikla

Taustan tarkistukset 1.Jäsenvaltioiden on varmistettava, että kriittiset toimijat voivat esittää taustan tarkistusta koskevia pyyntöjä tiettyihin henkilöstönsä ryhmiin kuuluvista henkilöistä, mukaan lukien henkilöt, joita harkitaan otettavaksi palvelukseen kyseisiin ryhmiin kuuluviin tehtäviin, ja että taustatarkistusten suorittamiseen toimivaltaiset viranomaiset arvioivat nämä pyynnöt ripeästi. 2.Sovellettavan unionin ja kansallisen lainsäädännön mukaisesti, mukaan lukien Euroopan parlamentin ja neuvoston asetus (EU) 2016/679, 1 kohdassa tarkoitetun taustan tarkistuksen on katettava seuraavat osat: a)henkilöllisyyden varmentaminen asiakirjatodisteiden pohjalta; b)rikosrekisteritiedot vähintään viiden edeltävän vuoden ajalta ja enintään kymmenen vuoden ajalta sellaisten rikosten osalta, joilla on merkitystä palvelukseen otossa tiettyyn tehtävään, henkilön kansalaisuusjäsenvaltiossa tai -valtioissa sekä muussa jäsenvaltiossa tai kolmannessa maassa, jossa henkilö on asunut kyseisenä aikana; c)henkilön aiemmat työsuhteet, koulutus ja mahdolliset koulutus- ja työhistorian aukot vähintään viiden edeltävän vuoden ajalta ja enintään kymmenen vuoden ajalta. Jäsenvaltioiden on varmistettava ensimmäisen alakohdan b alakohdan osalta, että niiden taustatarkistusten suorittamiseen toimivaltaiset viranomaiset saavat rikosrekisteritiedot muista jäsenvaltioista eurooppalaisen rikosrekisteritietojärjestelmän kautta neuvoston puitepäätöksessä 2009/315/YOS ja tarvittaessa Euroopan parlamentin ja neuvoston asetuksessa (EU) 2019/816 määritettyjen menettelyjen mukaisesti. Kyseisen puitepäätöksen 3 artiklassa ja kyseisen asetuksen 3 artiklan 5 kohdassa tarkoitettujen keskusviranomaisten on vastattava tällaisia tietoja koskeviin pyyntöihin kymmenen työpäivän kuluessa pyynnön vastaanottamisesta. 3.Sovellettavan unionin ja kansallisen lainsäädännön mukaisesti, mukaan lukien asetus (EU) 2016/679, kunkin jäsenvaltion on varmistettava, että 1 kohdassa tarkoitettua taustan tarkistusta voidaan kriittisen toimijan asianmukaisesti perustellusta pyynnöstä myös laajentaa sellaisten saatavilla olevien tiedustelutietojen ja muiden objektiivisten tietojen hyödyntämiseksi, jotka voivat olla tarpeen määritettäessä, onko kyseinen henkilö sopiva työskentelemään tehtävässä, jonka osalta kriittinen toimija on pyytänyt laajennettua taustan tarkistusta. 13 artikla

Poikkeamien ilmoittaminen 1.Jäsenvaltioiden on varmistettava, että kriittiset toimijat ilmoittavat ilman aiheetonta viivytystä toimivaltaiselle viranomaiselle poikkeamista, jotka häiritsevät ta