EUROPESE COMMISSIE Brussel, 16.12.2020 COM(2020) 829 final 2020/0365(COD) Voorstel voor een RICHTLIJN VAN HET EUROPEES PARLEMENT EN DE RAAD betreffende de veerkracht van kritieke entiteiten {SEC(2020) 433 final} - {SWD(2020) 358 final} - {SWD(2020) 359 final}



TOELICHTING 1.ACHTERGROND VAN HET VOORSTEL ·Motivering en doel van het voorstel Om Europeanen doeltreffend te beschermen, moet de Europese Unie kwetsbare punten blijven aanpakken, ook met betrekking tot de kritieke infrastructuur, die van essentieel belang is voor de werking van onze samenlevingen en van onze economie. De bestaanszekerheid van Europese burgers en de goede werking van de interne markt zijn afhankelijk van verschillende infrastructuren voor de betrouwbare verlening van diensten die nodig zijn om kritieke maatschappelijke en economische activiteiten in stand te houden. Deze diensten, die onder normale omstandigheden al cruciaal zijn, zijn des te belangrijker nu Europa kampt met de gevolgen van de COVID-19-pandemie en zich daarvan tracht te herstellen. De entiteiten die essentiële diensten verlenen, moeten dus veerkrachtig zijn, dat wil zeggen: in staat om, bij incidenten die tot ernstige, mogelijk intersectorale en grensoverschrijdende verstoringen kunnen leiden, deze te weerstaan, op te vangen, zich eraan aan te passen en daarvan te herstellen. Dit voorstel heeft tot doel binnen de interne markt de verlening van diensten die voor het behoud van vitale maatschappelijke functies of economische activiteiten van essentieel belang zijn, te verbeteren door de veerkracht van de kritieke entiteiten die dergelijke diensten verlenen, te vergroten. Het sluit aan bij de recente oproep tot actie van de Raad en het Europees Parlement, die de Commissie beide hebben gestimuleerd om de huidige aanpak te herzien en meer in overeenstemming te brengen met de grotere opgaven waarvoor de kritieke entiteiten staan, en te zorgen voor betere afstemming op de richtlijn beveiliging van netwerk- en informatiesystemen (NIS-richtlijn). Dit voorstel is consistent met de voorgestelde richtlijn inzake maatregelen voor een hoog gemeenschappelijk cyberbeveiligingsniveau in de Unie (hierna “de NIS 2-richtlijn genoemd”), die de NIS-richtlijn zal vervangen om aan de toegenomen onderlinge verwevenheid van de fysieke en de digitale wereld recht te doen door middel van een wetgevingskader met robuuste veerkrachtmaatregelen, zowel wat betreft fysieke als cyberaspecten, overeenkomstig de EU-strategie voor de veiligheidsunie.

Het voorstel weerspiegelt ook het feit dat een toenemend aantal lidstaten kiest voor een nationale benadering waarbij de nadruk wordt gelegd op intersectorale en grensoverschrijdende onderlinge afhankelijkheden en steeds meer aandacht wordt geschonken aan veerkracht. Van die aanpak is bescherming slechts één element, naast risicopreventie en -beperking, bedrijfscontinuïteit en herstel. Aangezien kritieke infrastructuren ook potentiële terroristische doelwitten kunnen zijn, dragen de in dit voorstel vervatte maatregelen om de veerkracht van kritieke entiteiten te waarborgen ook bij tot de verwezenlijking van de doelstellingen van de onlangs vastgestelde EU-agenda voor terrorismebestrijding. De Europese Unie onderkent al heel lang het pan-Europese belang van kritieke infrastructuren. Zo heeft de EU in 2006 het Europees programma voor de bescherming van kritieke infrastructuur (EPCIP) opgezet en in 2008 de richtlijn betreffende Europese kritieke infrastructuur vastgesteld. Die richtlijn betreffende Europese kritieke infrastructuur (European Critical Infrastructure, ECI), die alleen van toepassing is op de sectoren energie en vervoer, voorziet in een procedure voor het identificeren en als kritiek aanmerken van Europese infrastructuren waarvan de ontwrichting of vernietiging voor ten minste twee lidstaten aanzienlijke grensoverschrijdende gevolgen zou hebben. Ook zijn in de richtlijn specifieke beschermingsvereisten opgenomen voor de exploitanten van ECI’s en de bevoegde autoriteiten van de lidstaten. Tot op heden zijn 94 infrastructuren als ECI’s aangemerkt, waarvan twee derde zich in drie lidstaten in Midden- en Oost-Europa bevindt. Het optreden van de EU inzake de veerkracht van kritieke infrastructuur reikt echter verder; het omvat ook sectorale en intersectorale maatregelen inzake onder meer klimaatbestendigheid, civiele bescherming, buitenlandse directe investeringen en cyberbeveiliging. De lidstaten hebben inmiddels zelf ook maatregelen op dit gebied genomen en zij zijn daarbij op verschillende manieren te werk gegaan. Het is dan ook duidelijk dat het huidige kader voor de bescherming van kritieke infrastructuur niet volstaat om het hoofd te bieden aan de uitdagingen waarvoor de kritieke infrastructuren en de entiteiten die deze exploiteren thans worden gesteld. Gezien de toenemende onderlinge verwevenheid van de infrastructuren, netwerken en exploitanten die overal op de interne markt essentiële diensten leveren, is een fundamentele omslag nodig: de huidige aanpak, waarbij specifieke infrastructuur wordt beschermd, moet plaatsmaken voor het versterken van de veerkracht van de kritieke entiteiten die een dergelijke infrastructuur exploiteren. De operationele omgeving waarin kritieke entiteiten opereren, is de laatste jaren aanzienlijk veranderd. Ten eerste is het risicobeeld complexer dan in 2008: er is thans sprake van natuurrampengevaar (dikwijls verergerd door klimaatverandering), van staatswege gesteunde hybride acties, terrorisme, dreiging van binnenuit, pandemieën en ongevallen (zoals industriële ongevallen). Ten tweede krijgen exploitanten te maken met uitdagingen bij de operationele integratie van nieuwe technologieën, zoals 5G en onbemande voertuigen, en treffen zij tegelijkertijd maatregelen in verband met de kwetsbaarheden die dergelijke technologieën zouden kunnen veroorzaken. Ten derde worden exploitanten door deze technologieën en andere trends steeds afhankelijker van elkaar. De gevolgen hiervan zijn duidelijk: een verstoring van de dienstverlening van een exploitant in één sector kan cascade-effecten veroorzaken voor de dienstverlening in andere sectoren, en mogelijk ook in andere lidstaten of de hele Unie. Zoals is gebleken uit de in 2019 verrichte evaluatie van de ECI-richtlijn, kunnen de Europese en nationale maatregelen exploitanten slechts in beperkte mate helpen de huidige operationele problemen op te lossen en de kwetsbaarheden te ondervangen waarmee hun onderlinge afhankelijkheid gepaard gaat. Dit heeft meerdere oorzaken, zoals is uiteengezet in de effectbeoordeling die de ontwikkeling van het voorstel ondersteunde. Ten eerste onderkennen of begrijpen exploitanten de implicaties van het dynamische risicolandschap waarin zij opereren niet volledig. Ten tweede zijn er aanzienlijke verschillen wat betreft de inspanningen die lidstaten en sectoren op het gebied van veerkracht leveren. Ten derde worden vergelijkbare soorten entiteiten door sommige lidstaten wel en door andere niet als kritiek aangemerkt, waardoor zij, afhankelijk van de plaats van hun activiteiten in de Unie, meer of minder overheidssteun voor capaciteitsopbouw (in de vorm van bv. begeleiding, opleiding en organisatie van oefeningen) ontvangen en aan verschillende vereisten moeten voldoen. Het feit dat de vereisten en overheidssteun voor exploitanten per lidstaat verschillen, creëert belemmeringen voor exploitanten die grensoverschrijdend actief zijn. Dat geldt met name voor kritieke entiteiten die opereren in lidstaten met strengere regelgeving. Aangezien de dienstverlening en de dienstensectoren in de lidstaten en binnen de EU steeds nauwer met elkaar verweven zijn, houdt een ontoereikende veerkracht van één exploitant een ernstig risico in voor entiteiten elders op de interne markt. Verstoringen brengen niet alleen de goede werking van de interne markt in gevaar. Zeker als zij tot grensoverschrijdende en mogelijk pan-Europese gevolgen leiden, kunnen zij ook ernstige negatieve consequenties hebben voor burgers, bedrijven, overheden en het milieu. Zo kunnen verstoringen op individueel niveau gevolgen hebben voor de mate waarin Europeanen vrij kunnen reizen, kunnen werken en gebruik kunnen maken van essentiële openbare diensten zoals gezondheidszorg. Openbare en andere kerndiensten die van fundamenteel belang zijn voor het dagelijks leven, worden vaak verleend door middel van nauw met elkaar verbonden netwerken van Europese bedrijven; een verstoring van één bedrijf in één sector kan dan ook cascade-effecten hebben in tal van andere economische sectoren. Ten slotte kunnen verstoringen zoals grootschalige stroomonderbrekingen of ernstige verkeersongevallen hun weerslag hebben op het gebied van beveiliging en openbare veiligheid. In dat geval ontstaat onzekerheid en wordt het vertrouwen ondermijnd in de kritieke entiteiten en in de autoriteiten die verantwoordelijk zijn voor het toezicht op die entiteiten en voor de veiligheid van de bevolking. ·Verenigbaarheid met bestaande bepalingen op het beleidsterrein Dit voorstel weerspiegelt de prioriteiten die de Commissie heeft geformuleerd in haar EU-strategie voor de veiligheidsunie. Daarin wordt ervoor gepleit de veerkracht van kritieke infrastructuur anders te benaderen, nl. op een wijze die beter aansluit bij het huidige risicolandschap én dat van de toekomst, bij de steeds nauwere onderlinge afhankelijkheid van verschillende sectoren en bij de steeds hechtere wisselwerking tussen fysieke en digitale infrastructuren. De voorgestelde richtlijn vervangt de ECI-richtlijn en daarbij wordt rekening gehouden met en voortgebouwd op andere bestaande en beoogde instrumenten. De voorgestelde richtlijn houdt een aanzienlijke verandering in ten opzichte van de ECI-richtlijn, die alleen voor de sectoren energie en vervoer geldt, uitsluitend op beschermende maatregelen gericht is en voorziet in een procedure voor het identificeren en als zodanig aanmerken van ECI’s door middel van grensoverschrijdende dialoog. Ten eerste heeft de voorgestelde richtlijn een veel ruimer sectoraal toepassingsgebied, dat tien sectoren omvat: energie, vervoer, bankwezen, financiële markt, volksgezondheid, drinkwater, afvalwater, digitale dienstverlening, openbaar bestuur en ruimtevaart. Ten tweede voorziet de richtlijn in een procedure die lidstaten kunnen gebruiken om kritieke entiteiten te identificeren op basis van gemeenschappelijke criteria en een nationale risicobeoordeling. Ten derde houdt het voorstel verplichtingen in voor de lidstaten en de door de lidstaten geïdentificeerde kritieke entiteiten, met inbegrip van de entiteiten die van bijzonder Europees belang zijn, d.w.z. kritieke entiteiten die essentiële diensten aan dan wel in meer dan een derde van de lidstaten verlenen en onder specifiek toezicht zullen staan. Indien nodig zal de Commissie de bevoegde autoriteiten en kritieke entiteiten ondersteuning bieden bij de naleving van hun verplichtingen uit hoofde van de richtlijn. Voorts zal de Groep voor de veerkracht van kritieke entiteiten, die als deskundigengroep van de Commissie onderworpen is aan het horizontale kader voor zulke groepen, de Commissie adviseren en ijveren voor strategische samenwerking en de uitwisseling van informatie. Ten slotte is ook overleg met partnerlanden geboden, omdat onderlinge afhankelijkheid niet ophoudt aan de buitengrenzen van de EU. De voorgestelde richtlijn maakt dergelijke samenwerking mogelijk, bijvoorbeeld op het gebied van risicobeoordelingen. Verenigbaarheid met andere beleidsterreinen van de Unie

De voorgestelde richtlijn sluit duidelijk aan bij, en is verenigbaar met, andere sectorale en intersectorale EU-initiatieven op het gebied van bijvoorbeeld klimaatbestendigheid, civiele bescherming, buitenlandse directe investeringen, cyberbeveiliging en het acquis op het gebied van financiële diensten. Het voorstel is met name zorgvuldig afgestemd op de voorgestelde NIS 2-richtlijn en brengt daarmee nauwe synergieën tot stand. Voornoemde richtlijn heeft ten doel in een groot aantal sectoren bij essentiële entiteiten en belangrijke entiteiten die boven bepaalde drempelwaarden komen, de informatie- en communicatietechnologie (ICT) inzake alle risico’s veerkrachtiger te maken. Dit voorstel voor een richtlijn betreffende de veerkracht van kritieke entiteiten beoogt te waarborgen dat bevoegde autoriteiten die uit hoofde van deze richtlijn respectievelijk de voorgestelde NIS 2-richtlijn zijn aangewezen, zo nodig aanvullende maatregelen nemen en informatie uitwisselen over cyber- en niet-cyberveerkracht, en dat in de op grond van de voorgestelde NIS 2-richtlijn als essentieel beschouwde sectoren bijzonder kritieke entiteiten ook worden onderworpen aan meer algemene veerkracht bevorderende verplichtingen om niet-cyberrisico’s aan te pakken. De fysieke beveiliging van netwerk- en informatiesystemen van entiteiten in de digitale-infrastructuursector wordt in de voorgestelde NIS 2-richtlijn breed benaderd in het kader van de verplichtingen die deze entiteiten hebben inzake risicobeheer en -rapportage met betrekking tot cyberbeveiliging. Verder bouwt het voorstel voort op het bestaande acquis inzake financiële diensten, dat financiële entiteiten brede verplichtingen oplegt om operationele risico’s te beheren en de bedrijfscontinuïteit te waarborgen. Entiteiten die deel uitmaken van de digitale, bancaire en financiële infrastructuren moeten wat betreft de verplichtingen en activiteiten van de lidstaten uit hoofde van deze richtlijn dan ook worden behandeld als entiteiten die gelijkwaardig zijn aan kritieke entiteiten, ofschoon deze richtlijn voor die entiteiten zelf geen aanvullende verplichtingen inhoudt. Het voorstel houdt ook rekening met andere sectorale en intersectorale initiatieven op het gebied van bv. civiele bescherming, rampenrisicovermindering en aanpassing aan de klimaatverandering. Voorts wordt in het voorstel onderkend dat de bestaande EU-wetgeving entiteiten in sommige gevallen verplicht om beschermende maatregelen te nemen in verband met bepaalde risico’s. In dergelijke gevallen moeten de kritieke entiteiten die maatregelen, bv. op het gebied van maritieme of luchtvaartbeveiliging, in hun plannen inzake veerkracht beschrijven. Overigens doet de voorgestelde richtlijn geen afbreuk aan de toepassing van de mededingingsregels als vervat in het Verdrag betreffende de werking van de Europese Unie (VWEU). 2.RECHTSGRONDSLAG, SUBSIDIARITEIT EN EVENREDIGHEID ·Rechtsgrondslag Anders dan Richtlijn 2008/114/EG, die gebaseerd was op artikel 308 van het Verdrag tot oprichting van de Europese Gemeenschap (dat overeenkomt met het huidige artikel 352 van het Verdrag betreffende de werking van de Europese Unie), berust dit voorstel voor een richtlijn op artikel 114 VWEU, dat betrekking heeft op de harmonisatie van wetgeving ter verbetering van de interne markt. De reden hiervoor is dat doel, toepassingsgebied en inhoud van deze richtlijn anders zijn, de onderlinge afhankelijkheden zijn toegenomen en er een gelijker speelveld voor kritieke entiteiten tot stand moet worden gebracht. Het doel is niet een beperkt aantal fysieke infrastructuren te beschermen waarvan de ontwrichting of vernietiging aanzienlijke grensoverschrijdende gevolgen zou hebben, maar de veerkracht van juist die entiteiten in de lidstaten te versterken welke van kritiek belang zijn voor het verlenen van diensten die, in een aantal sectoren die de werking van vele andere economische sectoren van de Unie schragen, essentieel zijn voor het behoud van vitale maatschappelijke functies of economische activiteiten in de interne markt. Doordat in die sectoren de grensoverschrijdende onderlinge afhankelijkheid van de via kritieke infrastructuur verleende diensten is toegenomen, kan een verstoring in één lidstaat gevolgen hebben voor andere lidstaten of de Unie als geheel. Het huidige rechtskader voor de betrokken diensten, dat op het niveau van de lidstaten is opgezet, gaat gepaard met sterk uiteenlopende verplichtingen en die ontwikkeling zal waarschijnlijk nog sterker worden. Dat de nationale voorschriften waaraan kritieke entiteiten moeten voldoen, onderling verschillen, doet niet alleen afbreuk aan de betrouwbaarheid van de dienstverlening op de interne markt, maar kan ook negatieve gevolgen hebben voor de mededinging. Dit is voornamelijk te wijten aan het feit dat vergelijkbare entiteiten die vergelijkbare diensten verlenen in sommige lidstaten wel als kritiek gelden, maar in andere niet. Het betekent dat entiteiten die actief zijn of willen zijn in meer dan één lidstaat, aan uiteenlopende verplichtingen moeten voldoen en dat entiteiten die actief zijn in lidstaten met strengere vereisten, kunnen stuiten op belemmeringen waarmee entiteiten in lidstaten met soepeler kaders niet te maken hebben. Deze verschillen zijn van dien aard dat zij een rechtstreeks negatief effect hebben op de werking van de interne markt. ·Subsidiariteit Gezien de onderlinge afhankelijkheid en de grensoverschrijdende aard van de verbanden tussen kritieke infrastructuren en de essentiële diensten die daarmee worden verleend, is een gemeenschappelijk wetgevingskader op Europees niveau op dit gebied gerechtvaardigd. Een exploitant die in één lidstaat is gevestigd, kan door middel van hechte netwerken namelijk diensten verlenen in verschillende andere lidstaten of in de hele EU. Als deze exploitant door een verstoring wordt getroffen, zou dat dus vérstrekkende gevolgen kunnen hebben, ook voor andere sectoren en in andere landen. Omdat verstoringen pan-Europese gevolgen kunnen hebben, is optreden op EU-niveau geboden. Bovendien hebben verschillen tussen nationale voorschriften een rechtstreeks negatief effect op de werking van de interne markt. Zoals de effectbeoordeling heeft uitgewezen, achten vele lidstaten en belanghebbenden uit de sector een meer gemeenschappelijke en gecoördineerde Europese aanpak nodig. Deze aanpak zou ervoor moeten zorgen dat entiteiten over voldoende veerkracht beschikken in het licht van uiteenlopende risico’s die weliswaar enigszins per lidstaat verschillen, maar tot tal van gemeenschappelijke problemen leiden die niet met louter nationale maatregelen of door individuele exploitanten alleen kunnen worden opgelost. ·Evenredigheid Het voorstel staat in verhouding tot de aangegeven overkoepelende doelstelling van het initiatief. Hoewel de verplichtingen voor de lidstaten en kritieke entiteiten in bepaalde gevallen enige aanvullende administratieve lasten kunnen meebrengen, bv. omdat lidstaten een nationale strategie moeten ontwikkelen of kritieke entiteiten bepaalde technische en organisatorische maatregelen moeten uitvoeren, zullen deze naar verwachting over het algemeen beperkt van aard zijn. Daarbij komt dat veel entiteiten reeds een aantal veiligheidsmaatregelen hebben genomen om hun infrastructuren te beschermen en de bedrijfscontinuïteit te waarborgen. In sommige gevallen kan naleving van de richtlijn echter meer substantiële investeringen vereisen. Ook in die gevallen zijn deze investeringen echter gerechtvaardigd, voor zover zij zowel de veerkracht van de exploitanten en de systemen versterken als de mogelijkheid bevorderen om in de hele Unie op coherente wijze te zorgen voor betrouwbare dienstverlening. Bovendien zullen de aanvullende lasten die het gevolg zijn van deze richtlijn naar verwachting in het niet vallen bij de kosten van het beheren en herstellen van grote verstoringen die een gevaar vormen voor de ononderbroken verlening van diensten die verband houden met vitale maatschappelijke functies en het economisch welzijn van exploitanten, afzonderlijke lidstaten, de Unie en haar burgers. ·Keuze van het instrument Het voorstel heeft de vorm van een richtlijn die moet zorgen voor een meer gemeenschappelijke aanpak van de veerkracht van kritieke entiteiten in een aantal sectoren in de Unie. Het voorstel voorziet in specifieke verplichtingen voor de bevoegde autoriteiten om kritieke entiteiten te identificeren op grond van gemeenschappelijke criteria en de resultaten van de risicobeoordeling. Met een richtlijn kan worden gewaarborgd dat de lidstaten bij het identificeren van kritieke entiteiten op dezelfde manier te werk gaan en kan tegelijkertijd rekening worden gehouden met de specifieke kenmerken op nationaal niveau, zoals uiteenlopende niveaus van risicoblootstelling en onderlinge afhankelijkheid van intersectorale en grensoverschrijdende aard. 3.EVALUATIE, RAADPLEGING VAN BELANGHEBBENDEN EN EFFECTBEOORDELING ·Evaluatie van bestaande wetgeving en controle van de resultaatgerichtheid ervan De richtlijn betreffende Europese kritieke infrastructuur (ECI) is in 2019 geëvalueerd om de uitvoering ervan te beoordelen uit het oogpunt van relevantie, coherentie, doeltreffendheid, doelmatigheid, EU-meerwaarde en duurzaamheid. De evaluatie wees uit dat de context sinds de inwerkingtreding van de richtlijn aanzienlijk is veranderd. Gezien deze veranderingen werd geconstateerd dat de richtlijn nog maar ten dele relevant is. Hoewel uit de evaluatie bleek dat de richtlijn over het algemeen in overeenstemming was met de relevante Europese sectorale wetgeving en het relevante beleid op internationaal niveau, werd hij wegens de algemeenheid van een aantal van de bepalingen ervan slechts ten dele doeltreffend geacht. Vastgesteld werd dat de richtlijn EU-meerwaarde had gegenereerd in de zin dat er resultaten mee waren bereikt (nl. een gemeenschappelijk kader voor de bescherming van ECI’s) die in het kader van nationale of andere Europese initiatieven alleen hadden kunnen worden verwezenlijkt via veel langere, duurdere en minder welomschreven processen. Niettemin bleek een aantal bepalingen voor veel lidstaten beperkte meerwaarde te hebben gehad. Wat duurzaamheid betreft, zouden bepaalde resultaten van de richtlijn (bv. grensoverschrijdende besprekingen, rapportagevereisten) naar verwachting wegvallen, mocht de richtlijn worden ingetrokken en niet worden vervangen. Volgens de evaluatie zijn de lidstaten er nog steeds voorstander van dat de EU bijdraagt tot de inspanningen om de veerkracht van kritieke infrastructuur te versterken en bestaat er enige vrees dat als de richtlijn zonder meer wordt ingetrokken, zulks negatieve gevolgen zou kunnen hebben op dit gebied en met name voor de bescherming van als ECI aangemerkte infrastructuur. De lidstaten wilden graag waarborgen dat de Unie bij haar optreden ter zake het beginsel van subsidiariteit in acht blijft nemen, maatregelen op nationaal niveau ondersteunt en grensoverschrijdende samenwerking – ook met derde landen – bevordert. ·Raadpleging van belanghebbenden Bij de ontwikkeling van dit voorstel heeft de Commissie allerlei belanghebbenden geraadpleegd, waaronder: instellingen en agentschappen van de Europese Unie, internationale organisaties, autoriteiten in de lidstaten, particuliere entiteiten, waaronder individuele exploitanten en nationale en Europese brancheorganisaties van exploitanten uit tal van verschillende sectoren, deskundigen en deskundigennetwerken, waaronder het Europees referentienetwerk voor de bescherming van kritieke infrastructuur (ERNCIP), leden van de academische wereld, niet-gouvernementele organisaties, en leden van het publiek.

De belanghebbenden zijn geraadpleegd op verschillende manieren, waaronder: een openbare gelegenheid om feedback te geven over de aanvangseffectbeoordeling voor dit voorstel, raadplegingsseminars, gerichte vragenlijsten, bilateraal overleg, en een openbare raadpleging (ter ondersteuning van de evaluatie van 2019 van de ECI-richtlijn). Bovendien heeft de externe contractant die in het kader van de ontwikkeling van de effectbeoordeling belast was met de haalbaarheidsstudie, tal van belanghebbenden geraadpleegd door middel van bv. een online-enquête, een schriftelijke vragenlijst, één-op-ééngesprekken en virtuele plaatsbezoeken in tien lidstaten. Dankzij deze raadplegingen heeft de Commissie de doeltreffendheid, doelmatigheid, relevantie, coherentie en EU-meerwaarde van het huidige kader voor de veerkracht van kritieke infrastructuur (d.w.z. de uitgangssituatie) kunnen onderzoeken en kunnen nagaan welke problemen dit kader heeft veroorzaakt, welke beleidsopties zouden kunnen worden overwogen om deze problemen op te lossen, en welke specifieke effecten deze opties vermoedelijk zouden hebben. In algemene zin bleek uit de raadplegingen dat de belanghebbenden het over een aantal zaken roerend eens waren. Die consensus betrof met name de noodzaak het huidige EU-kader inzake de veerkracht van kritieke infrastructuur te moderniseren, gezien de toenemende intersectorale afhankelijkheid en het veranderende dreigingslandschap. Met name waren de meeste belanghebbenden het er over eens dat een eventuele nieuwe aanpak bindende en niet-bindende maatregelen moest omvatten, op veerkracht in plaats van op infrastructuurgerichte bescherming gericht moest zijn, en het verband tussen maatregelen ter verbetering van cyber- en niet-cybergerelateerde veerkracht moest verduidelijken. Bovendien spraken zij zich uit voor een aanpak die rekening houdt met bepalingen in de bestaande sectorale wetgeving en tenminste de door de huidige NIS-richtlijn bestreken sectoren omvat, alsook eenvormiger verplichtingen voor kritieke entiteiten op nationaal niveau, die op hun beurt personeel dat toegang heeft tot gevoelige faciliteiten/informatie, aan toereikende veiligheidscontroles moeten kunnen onderwerpen. Voorts raadden belanghebbenden aan ervoor te zorgen dat een nieuwe aanpak de lidstaten mogelijkheden biedt om beter toezicht uit te oefenen op de activiteiten van kritieke entiteiten, maar tevens waarborgt dat kritieke entiteiten van pan-Europees belang worden geïdentificeerd en voldoende veerkrachtig zijn. Ten slotte pleitten zij voor meer EU-financiering en -steun voor bv. de toepassing van nieuwe instrumenten, capaciteitsopbouw op nationaal niveau, publiek-private coördinatie/samenwerking en het uitwisselen van goede praktijken, kennis en deskundigheid op diverse niveaus. Het voorliggende voorstel bevat bepalingen die over het geheel genomen stroken met de standpunten en voorkeuren die de belanghebbenden kenbaar hebben gemaakt. ·Bijeenbrengen en gebruik van expertise Zoals hierboven is opgemerkt, heeft de Commissie voor de ontwikkeling van dit voorstel gebruikgemaakt van externe deskundigheid door o.m. onafhankelijke deskundigen, deskundigennetwerken en leden van de academische wereld te raadplegen. ·Effectbeoordeling Bij de effectbeoordeling ten behoeve van de ontwikkeling van dit initiatief zijn verschillende beleidsopties voor de reeds genoemde algemene en specifieke problemen onderzocht. Naast het basisscenario (d.w.z. geen veranderingen ten opzichte van de huidige situatie) ging het om de volgende opties: –optie 1: Behoud van de huidige ECI-richtlijn, vergezeld van vrijwillige maatregelen in het kader van het huidige EPCIP-programma; –optie 2: Aanpassing van de huidige ECI-richtlijn, zodat deze geldt voor dezelfde sectoren als de huidige NIS-richtlijn en zich nadrukkelijker op veerkracht toespitst. De nieuwe ECI-richtlijn zou leiden tot veranderingen van de wijze waarop grensoverschrijdende ECI’s momenteel worden aangemerkt en onder meer voorzien in nieuwe criteria voor het aanwijzen van ECI’s en in nieuwe vereisten voor de lidstaten en exploitanten; –optie 3: Vervanging van de bestaande ECI-richtlijn door een nieuw instrument, dat ten doel heeft de veerkracht te versterken van de kritieke entiteiten in de sectoren die uit hoofde van de voorgestelde NIS 2-richtlijn als essentieel zijn aangemerkt. Deze optie zou leiden tot minimumvereisten voor de lidstaten en de in het nieuwe kader geïdentificeerde kritieke entiteiten. Er zou een procedure worden vastgesteld voor de identificatie van kritieke entiteiten die diensten verlenen aan of in meerdere – zo niet alle – EU-lidstaten. De uitvoering van de wetgeving zou worden ondersteund door een speciaal kenniscentrum binnen de Commissie. –optie 4: Vervanging van de bestaande ECI-richtlijn door een nieuw instrument dat ten doel heeft de veerkracht te versterken van kritieke entiteiten in de sectoren die uit hoofde van de voorgestelde NIS 2-richtlijn als essentieel zijn aangemerkt, en een substantiëlere rol voor de Commissie bij het identificeren van kritieke entiteiten en de totstandbrenging van een speciaal EU-agentschap voor de veerkracht van kritieke infrastructuur (dat de taken en verantwoordelijkheden zou krijgen die in de vorige optie zouden worden vervuld door het kenniscentrum). Rekening houdend met de diverse economische, sociale en milieueffecten van elk van de opties, maar ook met de doeltreffendheid, doelmatigheid en evenredigheid ervan, heeft optie 3 volgens de effectbeoordeling de voorkeur. Terwijl de opties 1 en 2 niet de veranderingen teweegbrengen die nodig zijn om het probleem te verhelpen, zou optie 3 leiden tot een geharmoniseerd en breder kader voor veerkracht, dat ook zou zijn afgestemd op en rekening zou houden met het bestaande recht van de Unie op aanverwante gebieden. Ook werd vastgesteld dat optie 3 evenredig is en waarschijnlijk politiek haalbaar, aangezien zij in overeenstemming is met de verklaringen van de Raad en het Parlement over de noodzaak van EU-optreden op dit gebied. Voorts gold deze optie als een oplossing die waarschijnlijk zou zorgen voor flexibiliteit en zou voorzien in een toekomstbestendig kader dat kritieke entiteiten in staat zou stellen om in de loop der tijd te reageren op uiteenlopende risico’s. Ten slotte zou deze optie volgens de effectbeoordeling een aanvulling vormen op de bestaande sectorale en intersectorale kaders en instrumenten. Deze optie houdt er bijvoorbeeld rekening mee dat aangemerkte entiteiten wellicht al aan bepaalde verplichtingen van dit nieuwe instrument voldoen uit hoofde van verplichtingen vervat in bestaande instrumenten; in dat geval zouden zij geen aanvullende actie hoeven te ondernemen. Wel zouden zij worden geacht bepaalde maatregelen te nemen ingeval bestaande instrumenten de aangelegenheid niet bestrijken of enkel op bepaalde soorten risico’s of maatregelen betrekking hebben. De effectbeoordeling werd grondig gecontroleerd door de Raad voor regelgevingstoetsing, die op 20 november 2020 een positief advies met voorbehoud uitbracht. De Raad voor regelgevingstoetsing wees op een aantal elementen van de effectbeoordeling dat voor verbetering vatbaar was. Met name verzocht de raad om nadere verduidelijking ten aanzien van de risico’s in verband met de kritieke infrastructuur en de grensoverschrijdende dimensie, het verband tussen het initiatief en de lopende herziening van de NIS-richtlijn, en de relatie tussen de voorkeursoptie en andere sectorale wetgeving. Voorts achtte de raad het noodzakelijk de verruiming van het sectorale toepassingsgebied van het instrument uitgebreider te rechtvaardigen en verzocht hij om aanvullende informatie over de criteria voor het selecteren van kritieke entiteiten. Wat ten slotte de evenredigheid betreft, wilde de raad meer duidelijkheid over de wijze waarop de voorkeursoptie zou leiden tot een betere nationale aanpak van nationale grensoverschrijdende risico’s. In de definitieve versie van de effectbeoordeling is rekening gehouden met deze en andere, meer gedetailleerde opmerkingen van de raad. Zo wordt nu uitvoeriger ingegaan op de grensoverschrijdende risico’s voor kritieke infrastructuur en op de relatie tussen dit voorstel en het voorstel voor de NIS 2-richtlijn. De opmerkingen van de raad zijn ook verwerkt in de hieronder voorgestelde richtlijn. ·Resultaatgerichtheid en vereenvoudiging Conform het programma voor gezonde en resultaatgerichte regelgeving (Refit) van de Commissie moeten alle initiatieven die ten doel hebben de bestaande EU-wetgeving te veranderen, vereenvoudiging nastreven en de geformuleerde beleidsdoelstellingen efficiënter verwezenlijken. De resultaten van de effectbeoordeling duiden erop dat het voorstel de algehele lasten van de lidstaten zal verlichten. Mettertijd zal nauwere afstemming op de dienstgerichte aanpak van de huidige NIS-richtlijn de nalevingskosten waarschijnlijk drukken. Zo zal het omslachtige proces voor grensoverschrijdende identificatie en aanwijzing als vervat in de huidige ECI-richtlijn worden vervangen door een risicogebaseerde procedure op nationaal niveau die uitsluitend gericht is op het identificeren van kritieke entiteiten, waarvoor verschillende verplichtingen gelden. Op basis van de risicobeoordeling zouden de lidstaten kritieke entiteiten identificeren; de meeste daarvan zijn al als exploitanten van essentiële diensten aangemerkt krachtens de huidige NIS-richtlijn. Door maatregelen te nemen om hun veerkracht te versterken, zullen kritieke entiteiten bovendien minder snel verstoringen ondervinden. Dit verkleint de kans dat verstorende incidenten hun weerslag hebben op de verlening van essentiële diensten in afzonderlijke lidstaten en in heel Europa. Samen met de positieve effecten van een harmonisatie op Unieniveau van de uiteenlopende nationale regels, zou dit gunstig zijn voor het bedrijfsleven, met inbegrip van micro-ondernemingen en kmo’s, de algemene gezondheid van de economie van de Unie en de betrouwbaarheid van de werking van de interne markt. ·Grondrechten De voorgestelde wetgeving beoogt zowel de veerkracht te versterken van kritieke entiteiten die verschillende soorten essentiële diensten verlenen als een einde te maken aan regelgeving die deze entiteiten belemmert hun diensten in de hele Unie te verlenen. Zodoende wordt het algemene risico op verstoringen op maatschappelijk en individueel niveau beperkt en worden de lasten verlicht. Deze aanpak vergroot de openbare veiligheid en de vrijheid van ondernemingen om zaken te doen, is bevorderlijk voor vele andere marktdeelnemers die afhankelijk zijn van de verlening van essentiële diensten en komt uiteindelijk ook consumenten ten goede. De bepalingen van het voorstel die een doeltreffend veiligheidsonderzoek van werknemers moeten waarborgen, impliceren in de regel de verwerking van persoonsgegevens. Dit is nodig omdat specifieke personeelscategorieën antecedentenonderzoeken moeten ondergaan. Bovendien moet een dergelijke verwerking van persoonsgegevens altijd in overeenstemming zijn met de regels van de Unie inzake de bescherming van persoonsgegevens, waaronder de algemene verordening gegevensbescherming. 4.GEVOLGEN VOOR DE BEGROTING De voorgestelde richtlijn heeft gevolgen voor de begroting van de Unie. De totale financiële middelen die nodig zijn om de uitvoering van dit voorstel te ondersteunen, worden voor de periode 2021-2027 geraamd op 42,9 miljoen EUR; 5,1 miljoen EUR daarvan betreft administratieve uitgaven. Deze kosten kunnen als volgt worden uitgesplitst:

–ondersteunende activiteiten van de Commissie met inbegrip van personeel, projecten, studies en ondersteunende activiteiten, –adviesmissies georganiseerd door de Commissie, –regelmatige vergaderingen van de Groep voor de veerkracht van kritieke entiteiten en het comitologiecomité, en andere vergaderingen. Nadere gegevens zijn opgenomen in het financieel memorandum bij dit voorstel. 5.OVERIGE ELEMENTEN ·Uitvoeringsplanning en regelingen betreffende controle, evaluatie en rapportage De uitvoering van de voorgestelde richtlijn zal vier en een half jaar na de inwerkingtreding ervan worden geëvalueerd, waarna de Commissie verslag zal uitbrengen aan het Europees Parlement en de Raad. In dit verslag zal worden nagegaan in hoeverre de lidstaten de nodige maatregelen hebben genomen om aan de richtlijn te voldoen. Zes jaar na de inwerkingtreding van de richtlijn zal de Commissie bij het Europees Parlement en de Raad een verslag indienen met een beoordeling van het effect en de meerwaarde van de richtlijn. ·Artikelsgewijze toelichting Onderwerp, toepassingsgebied en definities (artikelen 1 en 2) Artikel 1 beschrijft het onderwerp en het toepassingsgebied van de richtlijn, uit hoofde waarvan de lidstaten verplicht zijn een aantal maatregelen te nemen om te waarborgen dat diensten die essentieel zijn voor het behoud van vitale maatschappelijke functies of economische activiteiten, op de interne dienstenmarkt worden verleend. Daarbij gaat het er met name om kritieke entiteiten te identificeren en deze identiteiten in staat te stellen te voldoen aan specifieke verplichtingen die erop gericht zijn zowel hun veerkracht als hun vermogen om die diensten op de interne markt te verlenen, te bevorderen. De richtlijn stelt ook regels vast voor het toezicht op en de handhaving inzake kritieke entiteiten en het specifieke toezicht op kritieke entiteiten die van bijzonder Europees belang worden geacht. Verder worden in artikel 1 de verhouding tussen de richtlijn en andere relevante handelingen van Unierecht toegelicht en de voorwaarden uiteengezet waaronder informatie die krachtens EU- en nationale voorschriften als vertrouwelijk geldt, met de Commissie en andere relevante autoriteiten dient te worden uitgewisseld. Artikel 2 bevat een lijst van toepasselijke definities. Nationale kaders inzake de veerkracht van kritieke entiteiten (artikelen 3-9) Artikel 3 bepaalt dat de lidstaten een strategie moeten vaststellen om de veerkracht van kritieke entiteiten te versterken, beschrijft de elementen die een dergelijke strategie moet omvatten, licht toe dat de strategie regelmatig en wanneer nodig moet worden bijgewerkt en bepaalt dat de lidstaten hun strategieën en eventuele actualiseringen daarvan aan de Commissie moeten meedelen. Artikel 4 bepaalt dat de bevoegde autoriteiten een lijst van essentiële diensten moeten opstellen en regelmatig een beoordeling moeten uitvoeren van alle relevante risico’s die van invloed kunnen zijn op de verlening van die essentiële diensten, met het oog op de identificatie van kritieke entiteiten. Deze beoordeling houdt rekening met de overeenkomstig andere relevante handelingen van Unierecht uitgevoerde risicobeoordelingen, de risico’s die voortvloeien uit de afhankelijkheden tussen de specifieke sectoren en de beschikbare informatie over incidenten. De lidstaten dienen ervoor te zorgen dat de relevante elementen van de risicobeoordeling ter beschikking van de kritieke entiteiten worden gesteld en dat er regelmatig gegevens over de geïdentificeerde soorten risico’s en de resultaten van de risicobeoordelingen aan de Commissie worden verstrekt. Artikel 5 bepaalt dat de lidstaten kritieke entiteiten in specifieke sectoren en deelsectoren dienen te identificeren. Bij het identificatieproces moet rekening worden gehouden met de resultaten van de risicobeoordeling en moeten specifieke criteria worden toegepast. De lidstaten dienen een lijst van kritieke entiteiten op te stellen en die wanneer dat nodig is en regelmatig bij te werken. De kritieke entiteiten dienen naar behoren in kennis te worden gesteld van hun identificatie en de daaruit voortvloeiende verplichtingen. De bevoegde autoriteiten die verantwoordelijk zijn voor de uitvoering van de richtlijn, delen de bevoegde autoriteiten die verantwoordelijk zijn voor de tenuitvoerlegging van de NIS 2-richtlijn mee welke entiteiten als kritiek zijn geïdentificeerd. Wanneer twee of meer lidstaten een entiteit als kritiek hebben geïdentificeerd, moeten de lidstaten overleg met elkaar plegen om de last voor de kritische entiteit te verminderen. Wanneer kritieke entiteiten diensten verlenen aan of in meer dan een derde van de lidstaten, moet de betrokken lidstaat de Commissie in kennis stellen van de identiteit van die kritieke entiteiten. Artikel 6 definieert het begrip “aanzienlijk verstorend effect” als bedoeld in artikel 5, lid 2, en vereist dat de lidstaten de Commissie in kennis stellen van bepaalde gegevens over de kritieke entiteiten die zij identificeren en over de wijze waarop zij bij de identificatie te werk zijn gegaan. Artikel 6 geeft de Commissie ook de bevoegdheid om, na raadpleging van de Groep voor de veerkracht van kritieke entiteiten, relevante richtsnoeren vaststellen. Artikel 7 bepaalt dat de lidstaten in de bancaire- en financiëlemarktinfrastructuren en de digitale infrastructuur de entiteiten moeten identificeren die uitsluitend voor de toepassing van hoofdstuk II als gelijkwaardig aan kritieke entiteiten moeten worden behandeld. Deze entiteiten moeten in kennis worden gesteld van hun identificatie. Artikel 8 bepaalt dat elke lidstaat een of meer bevoegde autoriteiten moet aanwijzen die verantwoordelijk zijn voor de correcte toepassing van de richtlijn op nationaal niveau, ervoor moet zorgen dat deze autoriteiten voldoende middelen tot hun beschikking hebben, en een centraal contactpunt dient te belasten met het waarborgen van grensoverschrijdende samenwerking. Het centrale contactpunt dient regelmatig een samenvattend verslag over de meldingen van incidenten in te dienen bij de Commissie. Artikel 8 bepaalt dat de bevoegde autoriteiten die verantwoordelijk zijn voor de toepassing van de richtlijn dienen samen te werken met andere relevante nationale autoriteiten, waaronder uit hoofde van de NIS 2-richtlijn aangewezen bevoegde autoriteiten Artikel 9 bepaalt dat de lidstaten steun moeten verlenen aan kritieke entiteiten bij het waarborgen van hun veerkracht. Ook moeten zij de samenwerking en de vrijwillige uitwisseling van informatie en goede praktijken tussen bevoegde autoriteiten en kritieke entiteiten bevorderen. Veerkracht van kritieke entiteiten (artikelen 10-13) Artikel 10 bepaalt dat kritieke entiteiten alle relevante risico’s regelmatig op basis van nationale risicobeoordelingen en andere relevante informatiebronnen moeten beoordelen. Artikel 11 bepaalt dat de kritieke entiteiten passende en evenredige technische en organisatorische maatregelen moeten nemen om hun veerkracht te waarborgen en dat zij die maatregelen ook in het plan inzake veerkracht of een gelijkwaardig document of gelijkwaardige documenten moeten beschrijven. De lidstaten kunnen de Commissie verzoeken adviesmissies te organiseren om kritieke entiteiten te adviseren over de nakoming van hun verplichtingen. Artikel 11 verleent de Commissie ook de bevoegdheid om zo nodig gedelegeerde handelingen en uitvoeringshandelingen vast te stellen. Artikel 12 bepaalt dat de lidstaten ervoor moeten zorgen dat kritieke entiteiten verzoeken om een antecedentenonderzoek kunnen indienen ten aanzien van personen die tot bepaalde specifieke categorieën van hun personeel behoren of zouden kunnen gaan behoren, en dat die verzoeken snel worden beoordeeld door de autoriteiten die voor de uitvoering van dergelijke antecedentenonderzoeken verantwoordelijk zijn. Het artikel beschrijft het doel, de reikwijdte en de inhoud van de antecedentenonderzoeken, die alle drie in overeenstemming moeten zijn met de algemene verordening gegevensbescherming. Artikel 13 bepaalt dat de lidstaten moeten waarborgen dat de kritieke entiteiten bevoegde autoriteit in kennis stellen van incidenten die hun functioneren aanzienlijk verstoren of zouden kunnen verstoren. De bevoegde autoriteiten voorzien op hun beurt de kennisgevende kritieke entiteit van relevante follow-upinformatie. Via het centrale contactpunt dienen de bevoegde autoriteiten ook de centrale contactpunten in andere getroffen lidstaten te informeren, ingeval het incident in een of meer andere lidstaten grensoverschrijdende gevolgen heeft of zou kunnen hebben.

Specifiek toezicht op kritieke entiteiten van bijzonder Europees belang (artikelen 14-15) Artikel 14 definieert kritieke entiteiten die van bijzonder Europees belang zijn als entiteiten die als kritiek zijn aangemerkt en die essentiële diensten verlenen aan of in meer dan een derde van de lidstaten. Bij ontvangst van de kennisgeving krachtens artikel 5, lid 6, moet de Commissie de betrokken entiteit meedelen dat zij wordt beschouwd als een kritieke entiteit van bijzonder Europees belang, welke verplichtingen daaruit voortvloeien en op welke datum deze verplichtingen van toepassing worden. Artikel 15 beschrijft de specifieke voorschriften inzake het toezicht op de kritieke entiteiten van bijzonder Europees belang, zoals de bepaling dat de gastlidstaten de Commissie en de Groep voor de veerkracht van kritieke entiteiten op verzoek in kennis moeten stellen van informatie over de overeenkomstig artikel 10 uitgevoerde risicobeoordeling en de overeenkomstig artikel 11 genomen maatregelen, alsook van toezichts- of handhavingsmaatregelen. Artikel 15 bepaalt ook dat de Commissie adviesmissies kan organiseren om de maatregelen te beoordelen die specifieke kritieke entiteiten van bijzonder Europees belang hebben genomen. Op basis van een analyse van de bevindingen van de adviesmissie door de Groep voor de veerkracht van kritieke entiteiten deelt de Commissie aan de lidstaat waar de infrastructuur van de entiteit zich bevindt, haar standpunt mee over de vraag of die entiteit haar verplichtingen nakomt en, in voorkomend geval, over de maatregelen die zouden kunnen worden genomen om de veerkracht van die entiteit te verbeteren. Dit artikel beschrijft de samenstelling, organisatie en financiering van de adviesmissies. Ook wordt erin bepaald dat de Commissie een uitvoeringshandeling moet vaststellen met voorschriften inzake de procedureregels voor het verloop van en de verslagen over adviesmissies. Samenwerking en verslaglegging (artikelen 16-17) Artikel 16 beschrijft de rol en taken van de Groep voor de veerkracht van kritieke entiteiten, die dient te bestaan uit vertegenwoordigers van de lidstaten en de Commissie. Deze groep dient de Commissie te ondersteunen en zowel strategische samenwerking als informatie-uitwisseling te vergemakkelijken. Het artikel legt uit dat de Commissie uitvoeringshandelingen kan vaststellen met procedureregels die nodig zijn voor de werking van de Groep voor de veerkracht van kritieke entiteiten. Artikel 17 bepaalt dat de Commissie in voorkomend geval de lidstaten en kritieke entiteiten bij het nakomen van hun verplichtingen uit hoofde van de richtlijn moet ondersteunen en de in artikel 9 bedoelde activiteiten van de lidstaten moet aanvullen. Toezicht en handhaving (artikel 18-19) Artikel 18 bepaalt dat de lidstaten een aantal bevoegdheden, middelen en verantwoordelijkheden hebben wat betreft de uitvoering en handhaving van de richtlijn. De lidstaten moeten ervoor zorgen dat een bevoegde autoriteit, bij het beoordelen van de naleving door een kritieke entiteit, de krachtens de NIS 2-richtlijn aangewezen bevoegde autoriteiten van de betrokken lidstaat daarvan in kennis stelt, deze autoriteiten kan verzoeken om de cyberbeveiliging van een dergelijke entiteit te beoordelen en daartoe moet samenwerken en informatie moet uitwisselen. Artikel 19 bepaalt dat de lidstaten, overeenkomstig de gevestigde praktijk, de regels betreffende de sancties op overtredingen moeten vaststellen en alle nodige maatregelen moeten nemen om ervoor te zorgen dat deze ten uitvoer worden gelegd. Slotbepalingen (artikelen 20-26) Artikel 20 bepaalt dat de Commissie moet worden bijgestaan door een comité in de zin van Verordening (EU) nr. 182/2011. Dit is een standaardartikel. Artikel 21 kent de Commissie de bevoegdheid toe om gedelegeerde handelingen vast te stellen onder de in dat artikel neergelegde voorwaarden. Dit is eveneens een standaardartikel. Artikel 22 bepaalt dat de Commissie een verslag moet indienen bij het Europees Parlement en de Raad waarin wordt beoordeeld in hoeverre de lidstaten de nodige maatregelen hebben genomen om aan de richtlijn te voldoen. Bij het Europees Parlement en de Raad moet regelmatig een verslag worden ingediend waarin het effect en de meerwaarde van de richtlijn worden beoordeeld en waarin wordt nagegaan of het toepassingsgebied van de richtlijn moet worden uitgebreid tot andere sectoren of deelsectoren, zoals voedselproductie, -verwerking en -distributie. Artikel 23 bepaalt dat Richtlijn 2008/114/EG wordt ingetrokken op de datum waarop de richtlijn in werking treedt. Artikel 24 bepaalt dat de lidstaten binnen de gestelde termijn de nodige wettelijke en bestuursrechtelijke bepalingen moeten vaststellen en bekendmaken om aan de richtlijn te voldoen en de Commissie daarvan in kennis moeten stellen. De tekst van de belangrijkste bepalingen van intern recht die de lidstaten op het onder deze richtlijn vallende gebied vaststellen, moet worden meegedeeld aan de Commissie. Artikel 25 bepaalt dat deze richtlijn in werking dient te treden op de twintigste dag na die van de bekendmaking ervan in het Publicatieblad van de Europese Unie. Artikel 26 bepaalt dat de richtlijn tot de lidstaten is gericht.



2020/0365 (COD) Voorstel voor een RICHTLIJN VAN HET EUROPEES PARLEMENT EN DE RAAD betreffende de veerkracht van kritieke entiteiten DE RAAD VAN DE EUROPESE UNIE, Gezien het Verdrag betreffende de werking van de Europese Unie, en met name artikel 114, Gezien het voorstel van de Europese Commissie, Na toezending van het ontwerp van wetgevingshandeling aan de nationale parlementen, Gezien het advies van het Europees Economisch en Sociaal Comité, Gezien het advies van het Comité van de Regio's,

Handelend volgens de gewone wetgevingsprocedure, Overwegende hetgeen volgt: (1)Richtlijn 2008/114/EG van de Raad voorziet in een procedure voor het aanwijzen van Europese kritieke infrastructuren in de sectoren energie en vervoer, waarvan de ontwrichting of vernietiging aanzienlijke grensoverschrijdende gevolgen zou hebben voor ten minste twee lidstaten. Die richtlijn was uitsluitend gericht op de bescherming van dergelijke infrastructuren. De in 2019 verrichte evaluatie van Richtlijn 2008/114/EG wees echter uit dat door de steeds sterkere verwevenheid en grensoverschrijdende aard van activiteiten waarbij gebruik wordt gemaakt van de kritieke infrastructuur, beschermende maatregelen met betrekking tot louter individuele activa niet volstaan om alle verstoringen te voorkomen. Die aanpak moet dan ook worden verruild voor een die de veerkracht van kritieke entiteiten waarborgt, dat wil zeggen hun vermogen om incidenten die hun functioneren kunnen verstoren, te beperken of op te vangen dan wel zich aan die incidenten aan te passen of daarvan te herstellen. (2)Ofschoon er op zowel het niveau van de Unie als het nationaal niveau maatregelen van kracht zijn die ten doel hebben de bescherming van kritieke infrastructuren in de Unie te ondersteunen, zijn de entiteiten die deze infrastructuren exploiteren, niet voldoende toegerust om het hoofd te kunnen bieden aan bestaande en nieuwe operationele risico’s welke kunnen leiden tot de verstoring van diensten die van essentieel belang zijn voor het verrichten van vitale maatschappelijke functies of economische activiteiten. Dit is het gevolg van een dynamisch dreigingslandschap met een evoluerende terroristische dreiging en toenemende onderlinge afhankelijkheid tussen infrastructuren en sectoren, alsook van een toenemend fysiek risico wegens natuurrampen en klimaatverandering, waardoor zich vaker en op grotere schaal extreme weersomstandigheden zullen voordoen en het klimaatgemiddelde langetermijnveranderingen ondergaat die, als er geen maatregelen inzake veerkracht en klimaatverandering van kracht zijn, afbreuk kunnen doen aan de capaciteit en efficiëntie van bepaalde soorten infrastructuur. Bovendien worden relevante sectoren en soorten entiteiten niet altijd in alle lidstaten als kritiek erkend. (3)Die toenemende onderlinge afhankelijkheid is het gevolg van een netwerk van in steeds sterkere mate grensoverschrijdende en onderling afhankelijke diensten waarvoor in de hele Unie wordt gebruikgemaakt van belangrijke infrastructuren in de sectoren energie, vervoer, bankwezen, financiële markt, digitale dienstverlening, drinkwater en afvalwater, volksgezondheid en bepaalde aspecten van openbaar bestuur, alsook ruimtevaart voor zover het gaat om de verlening van bepaalde diensten die afhankelijk zijn van grondinfrastructuren welke eigendom zijn van en beheerd en geëxploiteerd worden door lidstaten of particuliere partijen, en dus niet om diensten die afhankelijk zijn van infrastructuren welke eigendom zijn van en beheerd of geëxploiteerd worden door of namens de Unie in het kader van haar ruimtevaartprogramma’s. Deze onderlinge afhankelijkheden betekenen dat elke verstoring, ook als deze aanvankelijk beperkt is tot één entiteit of één sector, bredere cascade-effecten kan hebben, die in potentie verstrekkende en langdurige negatieve gevolgen kunnen hebben voor de verrichting van diensten op de interne markt. De COVID-19-pandemie heeft duidelijk gemaakt hoe kwetsbaar onze steeds meer onderling afhankelijke samenlevingen zijn voor onwaarschijnlijke risico’s. (4)De entiteiten die betrokken zijn bij de verlening van essentiële diensten, moeten uit hoofde van de wetgeving van de lidstaten steeds vaker voldoen aan uiteenlopende eisen. Het feit dat de veiligheidsvoorschriften voor deze entiteiten in sommige lidstaten minder streng zijn, kan niet alleen negatieve gevolgen hebben voor de instandhouding van vitale maatschappelijke functies of economische activiteiten in de hele Unie, maar veroorzaakt ook belemmeringen voor de goede werking van de interne markt. Vergelijkbare soorten entiteiten worden door sommige lidstaten wel en door andere niet als kritiek beschouwd, terwijl voor de entiteiten die wel als kritiek worden aangemerkt, in verschillende lidstaten uiteenlopende voorschriften gelden. Dit leidt tot extra en onnodige administratieve lasten voor bedrijven die grensoverschrijdend opereren, met name als zij actief zijn in lidstaten met strengere voorschriften. (5)Het is dan ook nodig geharmoniseerde minimumvoorschriften vast te stellen om de verlening van essentiële diensten op de interne markt te waarborgen en de veerkracht van kritieke entiteiten te versterken. (6)Daartoe moeten de lidstaten vaststellen welke kritieke entiteiten aan specifieke voorschriften en toezicht moeten worden onderworpen, maar ook moeten voorzien in bijzondere ondersteuning en begeleiding om te zorgen voor een hoog niveau van veerkracht ten aanzien van alle relevante risico’s. (7)Bepaalde economische sectoren zoals energie en vervoer zijn reeds gereguleerd of zouden in de toekomst kunnen worden gereguleerd door middel van sectorspecifieke handelingen van Unierecht met regels inzake een aantal aspecten van de veerkracht van entiteiten die in die sectoren actief zijn. Om op een brede manier de veerkracht te bevorderen van de entiteiten die van kritiek belang zijn voor de goede werking van de interne markt, moeten die sectorspecifieke maatregelen worden aangevuld door de maatregelen waarin is voorzien bij deze richtlijn, die een overkoepelend kader creëert betreffende de veerkracht van kritieke entiteiten ten aanzien van alle gevaren, d.w.z. zowel natuurrampen als rampen die – accidenteel of opzettelijk – door de mens worden veroorzaakt. (8)Gezien het belang van cyberbeveiliging voor de veerkracht van kritieke entiteiten, is, ook met het oog op consistentie, waar mogelijk een aanpak geboden die coherent is met deze richtlijn en met Richtlijn (EU) XX/YY van het Europees Parlement en de Raad [voorstel voor een richtlijn betreffende maatregelen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie (hierna “NIS 2-richtlijn” genoemd)]. Gezien de hogere frequentie en bijzondere kenmerken van cyberrisico’s legt de NIS 2-richtlijn een grote groep entiteiten brede verplichtingen op om hun cyberbeveiliging te waarborgen. Aangezien cyberbeveiliging voldoende aan bod komt in de NIS 2-richtlijn, moeten de zaken die daarin worden behandeld, worden uitgesloten van het toepassingsgebied van deze richtlijn, onverminderd de bijzondere regeling voor entiteiten in de digitale-infrastructuursector. (9)Wanneer bepalingen van andere handelingen van Unierecht kritieke entiteiten verplichten relevante risico’s te beoordelen, maatregelen te nemen om hun veerkracht te waarborgen of incidenten te melden, en wanneer die vereisten ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde overeenkomende verplichtingen, mogen de desbetreffende bepalingen van deze richtlijn niet van toepassing zijn, teneinde onnodig werk en dubbele lasten te voorkomen. In dat geval moeten de relevante bepalingen van die andere handelingen van toepassing zijn. Wanneer de relevante bepalingen van deze richtlijn niet van toepassing zijn, mogen de bepalingen daarvan inzake toezicht en handhaving evenmin van toepassing zijn. De lidstaten moeten echter alle in de bijlage vermelde sectoren bestrijken in hun strategie ter versterking van de veerkracht van kritieke entiteiten, de risicobeoordeling en de ondersteunende maatregelen krachtens hoofdstuk II alsook in staat zijn vast te stellen welke kritieke entiteiten in die sectoren aan de toepasselijke voorwaarden voldoen, met inachtneming van de bijzondere regeling voor entiteiten in de sectoren bankwezen, financiëlemarktinfrastructuur en digitale infrastructuur. (10)Om te zorgen voor een alomvattende aanpak van de veerkracht van kritieke entiteiten moet elke lidstaat over een strategie met doelstellingen en beleidsmaatregelen beschikken en deze uitvoeren Daartoe moeten de lidstaten ervoor zorgen dat hun cyberbeveiligingsstrategieën voorzien in een beleidskader voor versterkte coördinatie tussen de uit hoofde van deze richtlijn respectievelijk de NIS 2-richtlijn bevoegde autoriteiten in het kader van de uitwisseling van informatie over incidenten en cyberdreigingen en de uitoefening van toezichthoudende taken. (11)De acties van de lidstaten om kritieke entiteiten te identificeren en hun veerkracht te helpen waarborgen, moet een risicogebaseerde aanpak volgen waarbij de inspanningen worden gericht op de entiteiten die het meest relevant zijn voor de uitvoering van vitale maatschappelijke functies of economische activiteiten. Voor zo’n gerichte aanpak moet elke lidstaat binnen een geharmoniseerd kader een beoordeling verrichten van alle relevante natuurlijke en door de mens veroorzaakte risico’s die negatieve gevolgen kunnen hebben voor de verlening van essentiële diensten, waaronder ongevallen, natuurrampen, noodsituaties op het gebied van de volksgezondheid (zoals pandemieën) en antagonistische dreigingen, waaronder terroristische misdrijven. Bij het uitvoeren van die risicobeoordelingen moeten de lidstaten tevens rekening houden met andere algemene of sectorspecifieke risicobeoordelingen die krachtens andere handelingen van Unierecht zijn verricht, en moeten zij de onderlinge afhankelijkheid tussen sectoren in aanmerking nemen, ook waar het andere lidstaten en derde landen betreft. De resultaten van de risicobeoordeling moeten zowel worden benut bij het identificeren van kritieke entiteiten als dergelijke entiteiten helpen te voldoen aan de eisen inzake veerkracht van deze richtlijn. (12)Om te waarborgen dat die vereisten voor alle relevante entiteiten gelden en onderlinge verschillen in dat opzicht te beperken, is het van belang om geharmoniseerde regels vast te stellen op basis waarvan kritieke entiteiten in de hele Unie op consistente wijze kunnen worden geïdentificeerd, maar die de lidstaten ook vrij laten om met nationale bijzonderheden rekening te houden. Derhalve moeten er criteria worden vastgesteld voor het identificeren van kritieke entiteiten. Omwille van de doeltreffendheid, doelmatigheid, consistentie en rechtszekerheid moeten er ook passende regels worden vastgesteld inzake kennisgeving en samenwerking in verband met een dergelijke identificatie en inzake de rechtsgevolgen daarvan. Om de Commissie in staat te stellen te beoordelen of deze richtlijn correct wordt toegepast, moeten de lidstaten de Commissie relevante informatie verstrekken; deze moet zo gedetailleerd en specifiek mogelijk zijn en in elk geval de lijst van essentiële diensten, het aantal kritieke entiteiten dat voor elke in de bijlage vermelde sector en deelsector is geïdentificeerd, de essentiële dienst of diensten die elke entiteit verleent en de toegepaste drempels omvatten. (13)Ook moeten er criteria worden vastgesteld aan de hand waarvan kan worden bepaald hoe ernstig het verstorend effect van dergelijke incidenten is. Die criteria moeten voortbouwen op de criteria van Richtlijn (EU) 2016/1148 van het Europees Parlement en de Raad teneinde zowel de inspanningen van de lidstaten om die exploitanten te identificeren alsook de daarbij opgedane ervaring te benutten. (14)Entiteiten die deel uitmaken van de sector digitale infrastructuur zijn in wezen gebaseerd op netwerk- en informatiesystemen en vallen onder de NIS 2-richtlijn, die de fysieke beveiliging van dergelijke systemen regelt in het kader van de verplichtingen die deze hebben inzake risicobeheer en -rapportage met betrekking tot cyberbeveiliging. Daar deze aangelegenheden onder de NIS 2-richtlijn vallen, zijn de verplichtingen van deze richtlijn op dergelijke entiteiten niet van toepassing. Aangezien de diensten die door entiteiten in de sector digitale infrastructuur worden verleend, van belang zijn voor de verlening van andere essentiële diensten, moeten de lidstaten aan de hand van de criteria en procedure van deze richtlijn, mutatis mutandis, entiteiten in de sector digitale infrastructuur identificeren die enkel voor de toepassing van hoofdstuk II, met inbegrip van de bepaling inzake de ondersteuning van de lidstaten bij het versterken van de veerkracht van deze entiteiten, als gelijkwaardig aan kritieke entiteiten moeten worden behandeld. De verplichtingen van de hoofdstukken III tot en met VI mogen dan ook niet voor dergelijke entiteiten gelden. Aangezien de in hoofdstuk II vervatte verplichtingen voor kritieke entiteiten om bepaalde informatie aan de bevoegde autoriteiten te verstrekken, betrekking hebben op de toepassing van de hoofdstukken III en IV, mogen die verplichtingen voor dergelijke entiteiten evenmin gelden. (15)Het EU-acquis op het gebied van financiële diensten legt financiële entiteiten vergaande verplichtingen op om alle risico’s waarmee zij te maken krijgen, waaronder operationele risico’s, te beheren en de bedrijfscontinuïteit te waarborgen. Het gaat onder meer om Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad, Richtlijn 2014/65/EU van het Europees Parlement en de Raad, Verordening (EU) nr. 600/2014 van het Europees Parlement en de Raad, Verordening (EU) nr. 575/2013 van het Europees Parlement en de Raad en Richtlijn 2013/36/EU van het Europees Parlement en de Raad. De Commissie heeft onlangs voorgesteld dit kader aan te vullen met Verordening XX/YYYY van het Europees Parlement en de Raad [voorstel voor een verordening betreffende digitale operationele veerkracht van de financiële sector (hierna “de DORA-verordening” genoemd)], waarbij financiële ondernemingen worden verplicht ICT-risico’s te beheren en onder meer fysieke ICT-infrastructuren te beschermen. Aangezien de veerkracht van de in de punten 3 en 4 van de bijlage vermelde entiteiten volledig onder het EU-acquis inzake financiële diensten valt, moeten ook die entiteiten uitsluitend voor de toepassing van hoofdstuk II van deze richtlijn als gelijkwaardig aan kritieke entiteiten worden behandeld. Om te waarborgen dat de regels inzake operationele risico’s en digitale veerkracht in de financiële sector consistent worden toegepast, moet de ondersteuning door de lidstaten bij de versterking van de algehele veerkracht van financiële entiteiten die gelijkwaardig zijn aan kritieke entiteiten, worden gewaarborgd door de krachtens artikel 41 van [DORA-verordening] aangewezen autoriteiten, zulks met inachtneming van de in die wetgeving vervatte procedures en op volledig geharmoniseerde wijze. (16)De lidstaten moeten autoriteiten aanwijzen die gemachtigd zijn om toezicht te houden op de toepassing van de regels van deze richtlijn en om die regels zo nodig te handhaven, alsmede ervoor zorgen dat die autoriteiten over passende bevoegdheden en middelen beschikken. Om met de uiteenlopende nationale bestuursstructuren rekening te houden, reeds bestaande sectorale regelingen of toezichthoudende en regelgevende instanties van de Unie ongemoeid te laten en dubbel werk te voorkomen, moeten de lidstaten meer dan één nationale bevoegde autoriteit kunnen aanwijzen. Wanneer zij dat doen, moeten zij de respectieve taken van de betrokken autoriteiten wel duidelijk afbakenen en ervoor zorgen dat deze vlot en doeltreffend samenwerken. Alle bevoegde autoriteiten moeten ook meer in het algemeen met andere relevante autoriteiten samenwerken, zowel op nationaal als op Unieniveau. (17)Om grensoverschrijdende samenwerking en communicatie te vergemakkelijken en de doeltreffende uitvoering van deze richtlijn mogelijk te maken, moet elke lidstaat, onverminderd sectorspecifieke wettelijke vereisten van de Unie, binnen een van de autoriteiten die hij uit hoofde van deze richtlijn als bevoegde autoriteit heeft aangewezen, een centraal contactpunt aanwijzen dat verantwoordelijk is voor de coördinatie van kwesties in verband met de veerkracht van kritieke entiteiten en grensoverschrijdende samenwerking op Unieniveau in dit opzicht. (18)Aangezien krachtens de NIS 2-richtlijn als kritiek geïdentificeerde entiteiten evenals geïdentificeerde entiteiten in de sector digitale infrastructuur die uit hoofde van de onderhavige richtlijn als daarmee gelijkwaardig moeten worden behandeld, moeten voldoen aan de voorschriften inzake cyberbeveiliging van de NIS 2-richtlijn, moeten de bevoegde autoriteiten die uit hoofde van de twee richtlijnen zijn aangewezen, samenwerken, met name met betrekking tot cyberbeveiligingsrisico’s en -incidenten die voor die entiteiten negatieve gevolgen hebben.

(19)De lidstaten moeten kritieke entiteiten ondersteunen bij het versterken van hun veerkracht, overeenkomstig hun verplichtingen uit hoofde van deze richtlijn, onverminderd de eigen wettelijke verantwoordelijkheid van de entiteiten om deze naleving te waarborgen. De lidstaten zouden met name richtsnoeren en methoden kunnen ontwikkelen, ondersteuning kunnen verlenen bij de organisatie van oefeningen om de veerkracht van de kritieke entiteiten te testen en kunnen voorzien in opleiding van personeel van kritieke entiteiten. Gezien de afhankelijkheidsrelaties tussen entiteiten en sectoren, moeten de lidstaten bovendien instrumenten voor informatie-uitwisseling opzetten voor de ondersteuning van de vrijwillige uitwisseling van informatie tussen kritieke entiteiten, onverminderd de toepassing van de mededingingsregels als vervat in het Verdrag betreffende de werking van de Europese Unie. (20)Om hun veerkracht te kunnen waarborgen, moeten kritieke autoriteiten een breed inzicht hebben in alle relevante risico’s waaraan zij zijn blootgesteld, en die risico’s analyseren. Daartoe moeten zij, telkens wanneer hun specifieke omstandigheden en de evolutie van die risico’s daartoe nopen, maar in ieder geval om de vier jaar, risicobeoordelingen uitvoeren. De risicobeoordelingen door de kritieke entiteiten moeten zijn gebaseerd op de door de lidstaten uitgevoerde risicobeoordeling. (21)Kritieke entiteiten moeten organisatorische en technische maatregelen nemen die passen bij en evenredig zijn met de risico’s waarmee zij worden geconfronteerd, om incidenten te voorkomen, te weerstaan, te beperken of op te vangen, of zich aan een incident aan te passen of daarvan te herstellen. Hoewel kritieke entiteiten maatregelen moeten nemen ten aanzien van alle punten die in deze richtlijn worden genoemd, moeten de maatregelen wat betreft details en reikwijdte passend en evenredig zijn, naargelang de verschillende risico’s die elke entiteit in het kader van haar risicobeoordeling heeft geïdentificeerd en de specifieke kenmerken van de betrokken entiteit. (22)Met het oog op doeltreffendheid en verantwoording moeten kritieke entiteiten, rekening houdend met de geïdentificeerde risico’s, dergelijke maatregelen in een plan inzake veerkracht dan wel een of meer daarmee vergelijkbare documenten voldoende gedetailleerd beschrijven om die doelen te kunnen verwezenlijken, en dat plan in de praktijk toepassen. Dergelijke gelijkwaardige documenten kunnen worden opgesteld overeenkomstig de voorschriften en normen die zijn ontwikkeld in het kader van internationale overeenkomsten inzake fysieke bescherming waarbij lidstaten eventueel partij zijn, zoals het Verdrag inzake de fysieke beveiliging van kernmateriaal en kerninstallaties. (23)Bij Verordening (EG) nr. 300/2008 van het Europees Parlement en de Raad, Verordening (EG) nr. 725/2004 van het Europees Parlement en de Raad en Richtlijn 2005/65/EG van het Europees Parlement en de Raad zijn verplichtingen voor entiteiten in de sectoren luchtvaart en zeevervoer vastgesteld om incidenten als gevolg van wederrechtelijke gedragingen te voorkomen en de gevolgen van dergelijke incidenten het hoofd te bieden en te beperken. Hoewel de uit hoofde van deze richtlijn vereiste maatregelen breder zijn wat de bestreken risico’s en soorten te nemen maatregelen betreft, moeten de kritieke entiteiten in die sectoren de krachtens die andere handelingen van de Unie genomen maatregelen tot uitdrukking brengen in hun plan inzake veerkracht of daarmee vergelijkbare documenten. Bovendien kunnen kritieke autoriteiten bij de uitvoering van veerkrachtmaatregelen uit hoofde van deze richtlijn overwegen te verwijzen naar niet-bindende richtsnoeren en documenten met goede praktijken die zijn ontwikkeld in het kader van sectorale werkstromen, zoals het EU-platform voor de beveiliging van treinreizigers. (24)Het risico dat werknemers van kritieke entiteiten bijvoorbeeld hun toegangsrechten misbruiken om binnen de organisatie van de entiteit schade te veroorzaken, wordt steeds zorgwekkender geacht. Dit risico wordt versterkt door het toenemende verschijnsel van radicalisering die uitmondt in gewelddadig extremisme en terrorisme. Het is dan ook noodzakelijk dat kritieke entiteiten om antecedentenonderzoeken kunnen verzoeken in verband met personen die tot specifieke categorieën van hun personeel behoren en te waarborgen dat die verzoeken door de relevante autoriteiten snel worden beoordeeld overeenkomstig de toepasselijke regels van het Unierecht en het nationale recht, onder meer inzake de bescherming van persoonsgegevens. (25)De kritieke entiteiten moeten de bevoegde autoriteiten van de lidstaten, zo snel als in de gegeven omstandigheden redelijkerwijs mogelijk is, in kennis stellen van incidenten die hun activiteiten aanzienlijk verstoren of zouden kunnen verstoren. De kennisgeving moet de bevoegde autoriteiten in staat stellen snel en adequaat te reageren en een volledig overzicht te verkrijgen van de algehele risico’s waarmee de kritieke entiteiten te maken hebben. Daartoe moet een procedure voor de kennisgeving van bepaalde incidenten worden vastgesteld en worden voorzien in criteria aan de hand waarvan kan worden bepaald of de feitelijke of potentiële verstoring aanzienlijk is en de incidenten aldus moeten worden gemeld. Gezien de mogelijke grensoverschrijdende gevolgen van dergelijke verstoringen, moet een procedure worden vastgesteld die lidstaten dienen te volgen om andere getroffen lidstaten via centrale contactpunten te informeren. (26)Ofschoon kritieke entiteiten over het algemeen binnen een steeds hechter dienstverlenings- en infrastructureel netwerk opereren en dikwijls in meer dan een lidstaat essentiële diensten verlenen in meer dan een lidstaat, vereist een aantal van die entiteiten specifiek toezicht op Unieniveau, omdat zij van bijzonder belang voor de Unie zijn, gezien het grote aantal lidstaten waaraan zij essentiële diensten verlenen. Derhalve moeten er regels inzake het specifieke toezicht op dergelijke kritieke entiteiten van bijzonder Europees belang worden vastgesteld. Deze regels laten de in deze richtlijn vervatte regels inzake toezicht en handhaving onverlet. (27)Wanneer een lidstaat van oordeel is dat aanvullende informatie noodzakelijk is om een kritieke entiteit te kunnen adviseren bij het nakomen van haar verplichtingen krachtens hoofdstuk III of om te kunnen beoordelen of een kritieke entiteit van bijzonder Europees belang die verplichtingen nakomt, moet de Commissie, in overleg met de lidstaat waar de infrastructuur van die entiteit zich bevindt, een adviesmissie organiseren om de door die entiteit genomen maatregelen te beoordelen. Om ervoor te zorgen dat dergelijke adviesmissies naar behoren worden verricht, moeten aanvullende regels worden vastgesteld, met name inzake de organisatie en uitvoering daarvan, de te verlenen follow-up en de verplichtingen van de betrokken kritieke entiteiten van bijzonder Europees belang. De adviesmissies moeten worden uitgevoerd volgens de specifieke regels van het recht van de betrokken lidstaat, bijvoorbeeld inzake de precieze voorwaarden waaraan moet worden voldaan om toegang tot relevante gebouwen of documenten te krijgen en inzake hoger beroep, hetgeen onverlet laat dat de lidstaat waar de adviesmissie wordt uitgevoerd alsook de betrokken entiteit de regels van deze richtlijn moeten naleven. Om de specifieke deskundigheid die voor dergelijke missies vereist is, zou in voorkomend geval kunnen worden verzocht via het Coördinatiecentrum voor respons in noodsituaties. (28)Ter ondersteuning van de Commissie en ter vereenvoudiging van strategische samenwerking en uitwisseling van informatie, waaronder beste praktijken, betreffende kwesties in verband met deze richtlijn, moet een groep voor de veerkracht van kritieke entiteiten, welke een deskundigengroep van de Commissie is, worden opgericht. De lidstaten moeten trachten te waarborgen dat de aangewezen vertegenwoordigers van hun bevoegde autoriteiten binnen de Groep voor de veerkracht van kritieke entiteiten doeltreffend en doelmatig samenwerken. De Groep moet haar taken zes maanden na de inwerkingtreding van deze richtlijn aanvatten, teneinde te voorzien in aanvullende middelen voor passende samenwerking tijdens de omzettingsperiode van deze richtlijn. (29)Ter verwezenlijking van de doelstellingen van deze richtlijn en onverminderd de wettelijke verantwoordelijkheid van de lidstaten en kritieke entiteiten om te waarborgen dat zij hun respectieve verplichtingen uit hoofde van deze richtlijn naleven, moet de Commissie, voor zover zij zulks passend acht, bepaalde ondersteunende activiteiten ondernemen om die naleving te vergemakkelijken. Wanneer de Commissie de lidstaten en kritieke entiteiten bij de uitvoering van verplichtingen uit hoofde van deze richtlijn ondersteunt, moet zij voortbouwen op bestaande structuren en instrumenten, zoals die in het kader van het Uniemechanisme voor civiele bescherming en het Europees referentienetwerk voor de bescherming van kritieke infrastructuur. (30)De lidstaten moeten ervoor zorgen dat hun bevoegde autoriteiten over bepaalde specifieke bevoegdheden beschikken voor de juiste toepassingen en handhaving van deze richtlijn met betrekking tot de kritieke entiteiten, voor zover die entiteiten overeenkomstig deze richtlijn onder hun jurisdictie vallen. Daarbij gaat het met name om de bevoegdheid inspecties, toezicht en audits te verrichten, van kritieke entiteiten te verlangen dat deze informatie en bewijs verstrekken in verband met de maatregelen die zij hebben genomen met het oog op het nakomen van hun verplichtingen, en zo nodig opdracht te geven om vastgestelde inbreuken te verhelpen. Bij het geven van zulke opdrachten mogen de lidstaten geen maatregelen verlangen die verder gaan dan nodig en evenredig is om te waarborgen dat de betrokken kritieke entiteit aan haar verplichtingen voldoet, en moeten zij met name rekening houden met de ernst van de inbreuk en de economische capaciteit van de kritieke entiteit. Meer algemeen moeten die bevoegdheden vergezeld gaan van passende en doeltreffende waarborgen die in nationaal recht moeten worden vastgelegd, overeenkomstig de vereisten die voortvloeien uit het Handvest van de grondrechten van de Europese Unie. Bij de beoordeling of een kritieke entiteit haar verplichtingen uit hoofde van deze richtlijn nakomt, moeten de uit hoofde van deze richtlijn aangewezen bevoegde autoriteiten de uit hoofde van de NIS 2-richtlijn aangewezen bevoegde autoriteiten kunnen verzoeken om de cyberbeveiliging van die entiteiten te beoordelen. Die bevoegde autoriteiten moeten daartoe hun medewerking verlenen en informatie uitwisselen. (31)Teneinde rekening te houden met nieuwe risico’s, technologische ontwikkelingen of specifieke kenmerken van een of meer sectoren, moet de bevoegdheid om handelingen vast te stellen overeenkomstig artikel 290 van het Verdrag betreffende de werking van de Europese Unie aan de Commissie worden overgedragen, zodat zij de door die kritieke entiteiten te nemen veerkrachtmaatregelen kan aanvullen door sommige daarvan of al die maatregelen nader te specificeren. Het is van bijzonder belang dat de Commissie bij haar voorbereidende werkzaamheden passende raadplegingen houdt, onder meer op deskundigenniveau, en dat die raadplegingen plaatsvinden in overeenstemming met de beginselen die zijn vastgelegd in het Interinstitutioneel Akkoord van 13 april 2016 over beter wetgeven. Met name om te zorgen voor gelijke deelname aan de voorbereiding van gedelegeerde handelingen ontvangen het Europees Parlement en de Raad alle documenten op hetzelfde tijdstip als de deskundigen van de lidstaten, en hebben hun deskundigen systematisch toegang tot de vergaderingen van de deskundigengroepen van de Commissie die zich bezighouden met de voorbereiding van de gedelegeerde handelingen. (32)Om eenvormige voorwaarden voor de uitvoering van deze richtlijn te waarborgen, moeten aan de Commissie uitvoeringsbevoegdheden worden toegekend. Die bevoegdheden moeten worden uitgeoefend in overeenstemming met Verordening (EU) nr. 182/2011 van het Europees Parlement en de Raad. (33)Daar de doelstellingen van deze richtlijn, namelijk te verzekeren dat diensten die essentieel zijn voor het behoud van vitale maatschappelijke functies of economische activiteiten, binnen de interne dienstenmarkt worden verleend alsmede de veerkracht van de kritieke entiteiten die dergelijke diensten verlenen, te vergroten, niet voldoende door de lidstaten kunnen worden verwezenlijkt, maar vanwege de effecten van het optreden beter op het niveau van de Unie kunnen worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 van het Verdrag betreffende de Europese Unie neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel 5 neergelegde evenredigheidsbeginsel gaat deze richtlijn niet verder dan nodig is om deze doelstellingen te verwezenlijken. (34)Richtlijn 2008/114/EG moet derhalve worden ingetrokken, HEBBEN DE VOLGENDE RICHTLIJN VASTGESTELD: HOOFDSTUK I

Onderwerp, toepassingsgebied en definities Artikel 1

Onderwerp en toepassingsgebied

1.In deze richtlijn: (a)worden de verplichtingen voor de lidstaten vastgesteld tot het nemen van bepaalde maatregelen om te waarborgen dat op de interne markt diensten worden verleend die essentieel zijn voor de instandhouding van vitale maatschappelijke functies of economische activiteiten, met name de verplichting om kritieke entiteiten en entiteiten die in bepaalde opzichten als daaraan gelijkwaardig moeten worden behandeld, te identificeren en deze in staat te stellen aan hun verplichtingen te voldoen; (b)worden verplichtingen voor kritieke entiteiten vastgesteld die de veerkracht ervan moeten vergroten en hen beter in staat moeten stellen om deze diensten op de interne markt te verlenen; (c)worden regels vastgesteld voor het toezicht op en handhavingsmaatregelen ten aanzien van kritieke entiteiten en voor specifiek toezicht op kritieke entiteiten die van bijzonder Europees belang worden geacht. 2.Deze richtlijn is niet van toepassing op aangelegenheden die vallen onder Richtlijn (EU) XX/YY [voorstel voor een richtlijn betreffende maatregelen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie (“NIS 2-richtlijn”)], onverminderd artikel 7. 3.Wanneer bepalingen van sectorspecifieke handelingen van Unierecht vereisen dat kritieke entiteiten maatregelen nemen als bedoeld in hoofdstuk III, en wanneer die vereisten ten minste gelijkwaardig zijn aan de in deze richtlijn vastgestelde verplichtingen, zijn de desbetreffende bepalingen van deze richtlijn, met inbegrip van de bepalingen inzake toezicht en handhaving van hoofdstuk VI, niet van toepassing. 4.Onverminderd artikel 346 VWEU wordt informatie die op grond van EU- en nationale regelgeving vertrouwelijk is, zoals voorschriften inzake de vertrouwelijkheid van bedrijfsinformatie, uitsluitend met de Commissie en andere betrokken autoriteiten uitgewisseld wanneer dat noodzakelijk is voor de toepassing van deze richtlijn. Er wordt uitsluitend informatie uitgewisseld die relevant is voor en evenredig is met het doel van die uitwisseling. Bij de uitwisseling van informatie wordt de vertrouwelijkheid van die informatie gewaarborgd en worden de veiligheids- en commerciële belangen van kritieke entiteiten beschermd. Artikel 2

Definities Voor de toepassing van deze richtlijn wordt verstaan onder: (1)“kritieke entiteit”: een publieke of particuliere entiteit van een type als bedoeld in de bijlage, die overeenkomstig artikel 5 als zodanig door een lidstaat is geïdentificeerd; (2)“veerkracht”: het vermogen om een incident dat het functioneren van een kritieke entiteit verstoort of kan verstoren, te voorkomen, weerstaan, beperken of op te vangen of zich aan een dergelijk incident aan te passen of daarvan te herstellen; (3)“incident”: elke gebeurtenis die het functioneren van de kritieke entiteit kan verstoren of verstoort; (4) “infrastructuur”: een voorziening of een systeem of onderdeel daarvan die/dat noodzakelijk is voor de verlening van een essentiële dienst; (5) “essentiële dienst”: een dienst die van essentieel belang is voor de instandhouding van vitale maatschappelijke en/of economische activiteiten; (6)“risico”: elke omstandigheid of gebeurtenis die een negatief effect kan hebben op de veerkracht van kritieke entiteiten; (7)“risicobeoordeling”: een methode om de aard en omvang van een risico te bepalen door potentiële dreigingen en gevaren te analyseren en bestaande kwetsbare punten te evalueren die het functioneren van de kritieke entiteit zouden kunnen verstoren. HOOFDSTUK II

Nationale kaders inzake de veerkracht van kritieke entiteiten Artikel 3

Strategie inzake de veerkracht van kritieke entiteiten 1.Elke lidstaat stelt uiterlijk [drie jaar na de inwerkingtreding van deze richtlijn] een strategie vast om de veerkracht van kritieke entiteiten te versterken. Deze strategie bevat strategische doelstellingen en beleidsmaatregelen ter verwezenlijking en handhaving van een hoog niveau van veerkracht van die kritieke entiteiten, welke ten minste de in de bijlage genoemde sectoren bestrijken.

2.De strategie bevat ten minste de volgende elementen: (a)strategische doelstellingen en prioriteiten ter versterking van de algehele veerkracht van kritieke entiteiten met inachtneming van grensoverschrijdende en intersectorale onderlinge afhankelijkheden; (b)een governancekader ter verwezenlijking van de strategische doelstellingen en prioriteiten, met inbegrip van een beschrijving van de taken en verantwoordelijkheden van de verschillende autoriteiten, kritieke entiteiten en andere partijen die bij de uitvoering van de strategie betrokken zijn; (c)een beschrijving van de maatregelen die nodig zijn om de algehele veerkracht van kritieke entiteiten te vergroten, met inbegrip van een nationale risicobeoordeling, de identificatie van kritieke entiteiten en entiteiten die daaraan gelijkwaardig zijn, en de overeenkomstig dit hoofdstuk genomen maatregelen ter ondersteuning van kritieke entiteiten; (d)een beleidskader voor een betere coördinatie tussen de overeenkomstig artikel 8 van deze richtlijn en de overeenkomstig [de NIS 2-richtlijn] aangewezen bevoegde autoriteiten met het oog op de uitwisseling van informatie over incidenten en cyberdreigingen en de uitoefening van toezichthoudende taken. De strategie wordt wanneer dat nodig is en ten minste om de vier jaar geactualiseerd. 3.De lidstaten delen hun strategieën en eventuele actualiseringen daarvan binnen drie maanden na de vaststelling ervan aan de Commissie mee. Artikel 4

Risicobeoordeling door de lidstaten 1.De overeenkomstig artikel 8 aangewezen bevoegde autoriteiten stellen een lijst op van essentiële diensten in de in de bijlage genoemde sectoren. Zij voeren uiterlijk [drie jaar na de inwerkingtreding van deze richtlijn] en vervolgens wanneer dat nodig is en ten minste om de vier jaar, een beoordeling uit van alle relevante risico’s die van invloed kunnen zijn op de verlening van die essentiële diensten, met het oog op de identificatie van kritieke entiteiten overeenkomstig artikel 5, lid 1, en het bijstaan van die kritieke entiteiten bij het nemen van maatregelen uit hoofde van artikel 11. In de risicobeoordeling wordt rekening gehouden met alle relevante natuurlijke en door de mens veroorzaakte risico’s, met inbegrip van ongevallen, natuurrampen, noodsituaties op het gebied van de volksgezondheid en antagonistische dreigingen, waaronder terroristische misdrijven als bedoeld in Richtlijn (EU) 2017/541 van het Europees Parlement en de Raad. 2.Bij de uitvoering van de risicobeoordeling houden de lidstaten ten minste rekening met: (a)de algemene risicobeoordeling die is uitgevoerd overeenkomstig artikel 6, lid 1, van Besluit nr. 1313/2013/EU van het Europees Parlement en de Raad; (b)andere relevante risicobeoordelingen die zijn uitgevoerd overeenkomstig de voorschriften van de relevante sectorspecifieke handelingen van Unierecht, waaronder Verordening (EU) 2019/941 van het Europees Parlement en de Raad en Verordening (EU) 2017/1938 van het Europees Parlement en de Raad; (c)alle risico’s die voortvloeien uit de afhankelijkheid tussen de in de bijlage genoemde sectoren, ook waar het andere lidstaten en derde landen betreft, en de gevolgen die een verstoring in één sector kan hebben voor andere sectoren; (d)alle informatie over incidenten waarvan overeenkomstig artikel 13 is kennisgegeven. Voor de toepassing van de eerste alinea, punt c), werken de lidstaten samen met de bevoegde autoriteiten van andere lidstaten en derde landen, naargelang het geval. 3.De lidstaten stellen de relevante elementen van de in lid 1 bedoelde risicobeoordeling ter beschikking aan de kritieke entiteiten die zij overeenkomstig artikel 5 hebben geïdentificeerd, teneinde die kritieke entiteiten bij te staan bij het verrichten van hun risicobeoordeling overeenkomstig artikel 10 en bij het nemen van maatregelen om hun veerkracht te waarborgen overeenkomstig artikel 11. 4.Elke lidstaat verstrekt de Commissie uiterlijk op [drie jaar na de inwerkingtreding van deze richtlijn] en vervolgens wanneer dat nodig is en ten minste om de vier jaar, gegevens over de soorten geïdentificeerde risico’s en de resultaten van de risicobeoordelingen, per sector en deelsector als vermeld in de bijlage. 5.De Commissie kan, in samenwerking met de lidstaten, een vrijwillig gemeenschappelijk rapportagemodel ontwikkelen waarmee aan lid 4 kan worden voldaan. Artikel 5

Identificatie van kritieke entiteiten

1.Uiterlijk op [drie jaar en drie maanden na de inwerkingtreding van deze richtlijn] identificeren de lidstaten de kritieke entiteiten voor elke sector en deelsector die wordt genoemd in de bijlage, met uitzondering van de punten 3, 4 en 8 daarvan. 2.Bij de identificatie van kritieke entiteiten overeenkomstig lid 1 houden de lidstaten rekening met de resultaten van de risicobeoordeling uit hoofde van artikel 4 en passen zij de volgende criteria toe: (a)de entiteit verleent een of meer essentiële diensten; (b)(de verlening van die diensten is afhankelijk van infrastructuur die zich in de lidstaat bevindt; en (c)een incident zou aanzienlijke verstorende effecten hebben op de verlening van de dienst of andere, van de dienst afhankelijke essentiële diensten in de in de bijlage genoemde sectoren. 3.Elke lidstaat stelt een lijst op van de geïdentificeerde kritieke entiteiten en zorgt ervoor dat die kritieke entiteiten binnen een maand na die identificatie in kennis worden gesteld van hun identificatie als kritieke entiteit, waarbij zij worden geïnformeerd over hun verplichtingen uit hoofde van de hoofdstukken II en III en over de datum met ingang waarvan de bepalingen van die hoofdstukken op hen van toepassing zijn. Voor de betrokken kritieke entiteiten gelden de bepalingen van dit hoofdstuk met ingang van de datum van kennisgeving en de bepalingen van hoofdstuk III na verloop van zes maanden na die datum. 4.De lidstaten zorgen ervoor dat hun overeenkomstig artikel 8 van deze richtlijn aangewezen bevoegde autoriteiten de bevoegde autoriteiten die de lidstaten overeenkomstig artikel 8 van [de NIS 2-richtlijn] hebben aangewezen, binnen een maand na de identificatie meedelen welke kritieke entiteiten zij op grond van dit artikel hebben geïdentificeerd. 5.De lidstaten zorgen ervoor dat kritieke entiteiten na de in lid 3 bedoelde kennisgeving hun overeenkomstig artikel 8 van deze richtlijn aangewezen bevoegde autoriteiten erover informeren dat zij in een of meer andere lidstaten als kritieke entiteit zijn geïdentificeerd. Wanneer twee of meer lidstaten een entiteit als kritiek hebben geïdentificeerd, plegen deze lidstaten overleg met elkaar om de last voor de kritieke entiteit met betrekking tot de verplichtingen uit hoofde van hoofdstuk III te verminderen. 6.Voor de toepassing van hoofdstuk IV zorgen de lidstaten ervoor dat kritieke entiteiten na de in lid 3 bedoelde kennisgeving aan hun overeenkomstig artikel 8 van deze richtlijn aangewezen bevoegde autoriteiten informatie verstrekken over de vraag of zij essentiële diensten verlenen aan of in meer dan een derde van de lidstaten. Wanneer dat het geval is, stelt de betrokken lidstaat de Commissie onverwijld in kennis van de identiteit van die kritieke entiteiten. 7.Wanneer dat nodig is en in ieder geval om de vier jaar, evalueren de lidstaten de lijst van geïdentificeerde kritieke entiteiten en actualiseren zij deze in voorkomend geval. Indien deze actualiseringen leiden tot de identificatie van meer kritieke entiteiten, zijn de leden 3, 4, 5 en 6 van toepassing. Daarnaast zorgen de lidstaten ervoor dat entiteiten die op grond van een dergelijke actualisering niet langer als kritiek worden geïdentificeerd, daarvan in kennis worden gesteld evenals van het feit dat zij na de ontvangst van die informatie niet langer onderworpen zijn aan de verplichtingen uit hoofde van hoofdstuk III. Artikel 6

Aanzienlijk verstorend effect 1.Bij het bepalen of een verstorend effect aanzienlijk is, als bedoeld in artikel 5, lid 2, punt c), houden de lidstaten rekening met de volgende criteria: (a)het aantal gebruikers dat afhankelijk is van de door de entiteit verleende dienst; (b)de mate waarin andere in de bijlage genoemde sectoren afhankelijk zijn van die dienst; (c)de ernst en duur van de gevolgen die incidenten kunnen hebben voor economische en maatschappelijke activiteiten, het milieu en de openbare veiligheid; (d)het marktaandeel van de entiteit op de markt voor dergelijke diensten; (e)het geografische gebied dat door een incident kan worden getroffen, met inbegrip van eventuele grensoverschrijdende gevolgen; (f)het belang van de entiteit voor de instandhouding van een toereikend dienstverleningsniveau, rekening houdend met de beschikbare alternatieven voor het verlenen van die dienst.

2.De lidstaten verstrekken de Commissie uiterlijk [drie jaar en drie maanden na de inwerkingtreding van deze richtlijn] de volgende informatie: (a)de in artikel 4, lid 1, bedoelde lijst van diensten; (b)het aantal kritieke entiteiten dat is geïdentificeerd voor elke in de bijlage bedoelde sector en deelsector en de in artikel 4, lid 1, bedoelde dienst of diensten die elke entiteit verleent; (c)eventuele drempels die worden toegepast om een of meer van de in lid 1 genoemde criteria te specificeren. Zij verstrekken die informatie wanneer dat nodig is en ten minste om de vier jaar. 3.De Commissie kan, na raadpleging van de Groep voor de veerkracht van kritieke entiteiten, richtsnoeren vaststellen om de toepassing van de in lid 1 bedoelde criteria te vergemakkelijken, rekening houdend met de in lid 2 bedoelde informatie. Artikel 7

Entiteiten die voor de toepassing van dit hoofdstuk gelijkwaardig zijn aan kritieke entiteiten 1. Met betrekking tot de in de punten 3, 4 en 8 van de bijlage genoemde sectoren identificeren de lidstaten uiterlijk op [drie jaar en drie maanden na de inwerkingtreding van deze richtlijn] de entiteiten die voor de toepassing van dit hoofdstuk als gelijkwaardig aan kritieke entiteiten worden behandeld. Zij passen ten aanzien van deze entiteiten de bepalingen van de artikelen 3 en 4, artikel 5, leden 1 tot en met 4 en lid 7, en artikel 9 toe. 2. Met betrekking tot de overeenkomstig lid 1 geïdentificeerde entiteiten in de in de punten 3 en 4 van de bijlage genoemde sectoren zorgen de lidstaten ervoor dat voor de toepassing van artikel 8, lid 1, de als bevoegde autoriteiten aangewezen autoriteiten de overeenkomstig artikel 41 van [DORA-verordening] aangewezen bevoegde autoriteiten zijn. 3. De lidstaten zorgen ervoor dat de in lid 1 bedoelde entiteiten onverwijld in kennis worden gesteld van hun identificatie als in dit artikel bedoelde entiteit. Artikel 8

Bevoegde autoriteiten en centraal contactpunt 1.Elke lidstaat wijst een of meer bevoegde autoriteiten aan die verantwoordelijk zijn voor de correcte toepassing en, waar nodig, handhaving van de voorschriften van deze richtlijn op nationaal niveau (“bevoegde autoriteit”). De lidstaten kunnen een of meer bestaande autoriteiten aanwijzen. Wanneer zij meer dan één autoriteit aanwijzen, stellen zij de respectieve taken van de betrokken autoriteiten duidelijk vast en zorgen zij ervoor dat zij doeltreffend samenwerken bij de vervulling van hun taken uit hoofde van deze richtlijn, onder meer met betrekking tot de aanwijzing en de activiteiten van het in lid 2 bedoelde centraal contactpunt. 2.Elke lidstaat wijst binnen de bevoegde autoriteit een centraal contactpunt aan dat een verbindingsfunctie vervult bij grensoverschrijdende samenwerking met de bevoegde autoriteiten van andere lidstaten en met de in artikel 16 bedoelde Groep voor de veerkracht van kritieke entiteiten (“centraal contactpunt”). 3.Uiterlijk op [drie jaar en zes maanden na de inwerkingtreding van deze richtlijn] en vervolgens elk jaar dienen de centrale contactpunten bij de Commissie en de Groep voor de veerkracht van kritieke entiteiten een samenvattend verslag in over de ontvangen kennisgevingen, met vermelding van het aantal daarvan, de aard van de gemelde incidenten en de overeenkomstig artikel 13, lid 3, genomen maatregelen. 4.Elke lidstaat zorgt ervoor dat de bevoegde autoriteit, met inbegrip van het daarbinnen aangewezen centraal contactpunt, over de bevoegdheden en toereikende financiële, personele en technische middelen beschikt om de haar toegewezen taken op doeltreffende en efficiënte wijze uit te voeren. 5.De lidstaten zorgen ervoor dat hun bevoegde autoriteiten, waar passend en in overeenstemming met het Unierecht en het nationale recht, overleggen en samenwerken met andere relevante nationale autoriteiten, en met name met de autoriteiten die belast zijn met civiele bescherming, rechtshandhaving en de bescherming van persoonsgegevens, alsook met relevante belanghebbende partijen, waaronder kritieke entiteiten. 6.De lidstaten zorgen ervoor dat hun overeenkomstig dit artikel aangewezen bevoegde autoriteiten met de krachtens [de NIS 2-richtlijn] aangewezen bevoegde autoriteiten samenwerken op het gebied van cyberbeveiligingsrisico’s en cyberincidenten die negatieve gevolgen hebben voor kritieke entiteiten, alsook op het gebied van de voor kritieke entiteiten relevante maatregelen die de krachtens [de NIS 2-richtlijn] aangewezen bevoegde autoriteiten hebben genomen. 7.Elke lidstaat stelt de Commissie binnen drie maanden na de aanwijzing van de bevoegde autoriteit en het centraal contactpunt in kennis van die aanwijzing alsook van hun precieze taken en verantwoordelijkheden uit hoofde van deze richtlijn, hun contactgegevens en eventuele latere wijzigingen daarvan. Elke lidstaat maakt zijn aanwijzing van de bevoegde autoriteit en het centraal contactpunt openbaar. 8.De Commissie maakt een lijst van de centrale contactpunten van de lidstaten bekend.

Artikel 9

Ondersteuning van kritieke entiteiten door de lidstaten 1.De lidstaten ondersteunen kritieke entiteiten bij het vergroten van hun veerkracht. Die ondersteuning kan onder meer bestaan in het ontwikkelen van richtsnoeren en methodologieën, hulp bij de organisatie van oefeningen om de veerkracht van de kritieke entiteiten te testen en het verstrekken van opleiding aan personeel van kritieke entiteiten. 2.De lidstaten zorgen ervoor dat de bevoegde autoriteiten met kritieke entiteiten uit de in de bijlage genoemde sectoren samenwerken en informatie en goede praktijken uitwisselen. 3.De lidstaten stellen instrumenten voor de uitwisseling van informatie vast ter ondersteuning van de vrijwillige uitwisseling van informatie tussen kritieke entiteiten over aangelegenheden die onder deze richtlijn vallen, overeenkomstig het Unierecht en het nationale recht inzake, met name, mededinging en bescherming van persoonsgegevens. Hoofdstuk III

Veerkracht van kritieke entiteiten Artikel 10

Risicobeoordeling door kritieke entiteiten De lidstaten zorgen ervoor dat kritieke entiteiten binnen zes maanden na ontvangst van de in artikel 5, lid 3, bedoelde kennisgeving en vervolgens wanneer dat nodig is en ten minste om de vier jaar, op basis van de risicobeoordelingen van de lidstaten en andere relevante informatiebronnen, alle relevante risico’s beoordelen die hun activiteiten kunnen verstoren. Bij de risicobeoordeling worden alle in artikel 4, lid 1, bedoelde relevante risico’s in aanmerking genomen die de verlening van essentiële diensten zouden kunnen verstoren. Daarbij wordt in aanmerking genomen of andere in de bijlage genoemde sectoren afhankelijk zijn van de door de kritieke entiteit verleende essentiële dienst, in voorkomend geval ook in naburige lidstaten en derde landen, en rekening gehouden met de gevolgen die een verstoring van de verlening van essentiële diensten in een of meer van die sectoren kan hebben voor de door de kritieke entiteit verleende essentiële dienst. Artikel 11

Veerkrachtmaatregelen van kritieke entiteiten 1.De lidstaten zorgen ervoor dat kritieke entiteiten passende en evenredige technische en organisatorische maatregelen nemen om hun veerkracht te waarborgen, met inbegrip van maatregelen die nodig zijn om: (a)te voorkomen dat zich incidenten voordoen, onder meer door maatregelen ter beperking van het risico op rampen en maatregelen voor aanpassing aan de klimaatverandering; (b)te zorgen voor adequate fysieke bescherming van kwetsbare gebieden, faciliteiten en andere infrastructuur, onder meer door middel van omheiningen, barrières, instrumenten en routines voor bewaking van de omgeving, alsmede detectieapparatuur en toegangscontroles; (c)de gevolgen van incidenten te weerstaan en te beperken, onder meer door de uitvoering van risico- en crisisbeheersingsprocedures en -protocollen en waarschuwingsroutines; (d)te herstellen van incidenten, onder meer door bedrijfscontinuïteitsmaatregelen en de identificatie van alternatieve toeleveringsketens; (e)te zorgen voor adequaat beheer van personeelsbeveiliging, onder meer door het vaststellen van categorieën personeel dat kritieke functies uitoefent, het vaststellen van het recht van toegang tot gevoelige plaatsen, faciliteiten en andere infrastructuur, alsook tot gevoelige informatie, en het vaststellen van specifieke personeelscategorieën voor de toepassing van artikel 12; (f)het relevante personeel bewust te maken van de in punt a) tot en met e) bedoelde maatregelen. 2.De lidstaten zorgen ervoor dat kritieke entiteiten beschikken over een plan inzake veerkracht of een gelijkwaardig document of gelijkwaardige documenten, waarin de maatregelen uit h