Proponowana dyrektywa zastępuje dyrektywę w sprawie europejskiej infrastruktury krytycznej, a także opiera się na innych istniejących i planowanych instrumentach oraz je uwzględnia. Proponowana dyrektywa stanowi znaczącą zmianę w stosunku do dyrektywy w sprawie europejskiej infrastruktury krytycznej, która ma zastosowanie wyłącznie do sektorów energii i transportu, koncentruje się wyłącznie na środkach ochrony i przewiduje procedurę rozpoznawania i wyznaczania europejskich infrastruktur krytycznych w drodze dialogu transgranicznego. Po pierwsze, proponowana dyrektywa miałaby znacznie szerszy zakres sektorowy obejmujący dziesięć sektorów, a mianowicie sektory energii, transportu, bankowości, infrastruktury rynku finansowego, zdrowia, wody pitnej, ścieków, infrastruktury cyfrowej, administracji publicznej i przestrzeni kosmicznej. Po drugie, w dyrektywie przewidziano procedurę umożliwiającą państwom członkowskim wskazanie podmiotów krytycznych na podstawie wspólnych kryteriów w oparciu o krajową ocenę ryzyka. Po trzecie, we wniosku określono obowiązki państw członkowskich i wskazanych przez nie podmiotów krytycznych, w tym podmiotów o szczególnym znaczeniu europejskim, tj. podmiotów krytycznych, które świadczą usługi kluczowe na rzecz ponad jednej trzeciej lub w ponad jednej trzeciej państw członkowskich i które podlegałyby szczególnemu nadzorowi.

Niniejszy wniosek odzwierciedla priorytety opracowanej przez Komisję strategii UE w zakresie unii bezpieczeństwa. Wzywa się w niej do zmiany podejścia do odporności infrastruktury krytycznej, które lepiej odzwierciedla obecny i przewidywany w przyszłości krajobraz ryzyka, coraz ściślejszą współzależność między różnymi sektorami, jak również coraz bardziej współzależne relacje między infrastrukturą fizyczną i cyfrową.

Zakłócenia – w szczególności te o skutkach transgranicznych i potencjalnych paneuropejskich – oprócz tego, że zagrażają sprawnemu funkcjonowaniu rynku wewnętrznego, mogą mieć poważne negatywne skutki dla obywateli, przedsiębiorstw, rządów i środowiska. Na poziomie jednostki zakłócenia mogą mieć bowiem wpływ na zdolność Europejczyków do swobodnego podróżowania, pracy i korzystania z kluczowych usług publicznych, takich jak opieka zdrowotna. W wielu przypadkach świadczenie tych i innych usług podstawowych, które stanowią podstawę codziennego życia, odbywa się za pośrednictwem ściśle powiązanych ze sobą sieci europejskich przedsiębiorstw; zakłócenia dotyczące jednego przedsiębiorstwa w jednym sektorze mogą mieć kaskadowe skutki w wielu innych sektorach gospodarki. Ponadto zakłócenia, takie jak na przykład przerwy w dostawie energii elektrycznej na dużą skalę i poważne wypadki transportowe, mogą przyczynić się do osłabienia ochrony i bezpieczeństwa publicznego, wywołując niepewność i podważając zaufanie do podmiotów krytycznych, a także do organów odpowiedzialnych za ich nadzór oraz za zapewnienie bezpieczeństwa społeczeństwa.

Istnieje kilka powodów ku temu, przedstawionych w ocenie skutków, która stanowiła podstawę do opracowania wniosku. Po pierwsze, operatorzy nie są w pełni świadomi lub nie rozumieją w pełni skutków dynamicznego krajobrazu ryzyka, w ramach którego działają. Po drugie, istnieją znaczące rozbieżności między działaniami na rzecz zwiększania odporności w poszczególnych państwach członkowskich i sektorach. Po trzecie, podobne rodzaje podmiotów są uznawane za krytyczne przez niektóre państwa członkowskie, ale przez inne – nie, co oznacza, że porównywalne podmioty otrzymują różny poziom oficjalnego wsparcia w zakresie budowania zdolności (np. w formie wytycznych, organizacji szkoleń i ćwiczeń) w zależności od tego, w którym miejscu w Unii prowadzą działalność, i podlegają różnym wymogom. Fakt, że wymogi i wsparcie rządowe dla operatorów różnią się w poszczególnych państwach członkowskich, tworzy przeszkody dla operatorów prowadzących działania transgraniczne, w szczególności w przypadku tych podmiotów krytycznych, które działają w państwach o bardziej rygorystycznych ramach prawnych. Biorąc pod uwagę coraz bardziej współzależny charakter świadczenia usług i sektorów w państwach członkowskich i w UE, niewystarczający poziom odporności u jednego operatora stwarza poważne ryzyko dla podmiotów w innych miejscach w obrębie rynku wewnętrznego.

Unia Europejska (UE) od dawna uznaje paneuropejskie znaczenie infrastruktur krytycznych. Na przykład w 2006 r. UE ustanowiła europejski program ochrony infrastruktury krytycznej, a w 2008 r. przyjęła dyrektywę w sprawie europejskiej infrastruktury krytycznej. W dyrektywie w sprawie europejskiej infrastruktury krytycznej, mającej zastosowanie wyłącznie do sektorów energii i transportu, przewidziano procedurę rozpoznawania i wyznaczania europejskich infrastruktur krytycznych, których zakłócenie lub zniszczenie miałoby istotne transgraniczne skutki w co najmniej dwóch państwach członkowskich. Określono w niej również szczegółowe wymogi w zakresie ochrony dla operatorów europejskiej infrastruktury krytycznej i właściwych organów państw członkowskich. Dotychczas wyznaczono 94 europejskie infrastruktury krytyczne, z których dwie trzecie są zlokalizowane w trzech państwach członkowskich w Europie Środkowo-Wschodniej. Zakres unijnego działania na rzecz zwiększenia odporności infrastruktury krytycznej wykracza jednak poza te środki i obejmuje środki sektorowe oraz międzysektorowe między innymi w zakresie uodparniania na klimat, ochrony ludności, bezpośrednich inwestycji zagranicznych i cyberbezpieczeństwa. Tymczasem państwa członkowskie we własnym zakresie wprowadzały w tej dziedzinie środki, które różnią się między sobą.

Ponadto we wniosku uwzględniono podejścia krajowe w coraz większej liczbie państw członkowskich, które kładą nacisk na międzysektorowe i transgraniczne współzależności i coraz bardziej świadomie uwzględniają kwestię odporności, w której ochrona jest tylko jednym z elementów obok zapobiegania ryzyku i jego ograniczania, ciągłości działania i odbudowy. Biorąc pod uwagę fakt, że infrastruktura krytyczna jest również zagrożona jako potencjalny cel ataków terrorystycznych, przewidziane w niniejszym wniosku środki mające na celu zapewnienie odporności podmiotów krytycznych przyczyniają się do realizacji celów niedawno przyjętego Planu dla UE w dziedzinie zwalczania terroryzmu.

Celem niniejszego wniosku jest wzmocnienie świadczenia na rynku wewnętrznym usług o kluczowym znaczeniu dla utrzymania niezbędnych funkcji społecznych lub działalności gospodarczej poprzez zwiększenie odporności podmiotów krytycznych świadczących takie usługi. Niniejszy wniosek odzwierciedla niedawne wezwania do podjęcia działań ze strony Rady i Parlamentu Europejskiego, które zachęciły Komisję do przeglądu obecnego podejścia, aby lepiej odzwierciedlić rosnące wyzwania stojące przed podmiotami krytycznymi oraz zapewnić lepsze dostosowanie do dyrektywy w sprawie bezpieczeństwa sieci i informacji (NIS). Niniejszy wniosek jest spójny i tworzy ścisłą synergię z proponowaną dyrektywą w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii („dyrektywa NIS 2”), która zastąpi dyrektywę w sprawie bezpieczeństwa sieci i informacji („dyrektywa NIS”), aby uwzględnić kwestię coraz silniejszych wzajemnych powiązań między światem fizycznym a cyfrowym dzięki ramom legislacyjnym obejmującym zdecydowane środki na rzecz zwiększania odporności zarówno w odniesieniu do aspektów cybernetycznych, jak fizycznych, określonych w strategii UE w zakresie unii bezpieczeństwa.

Aby skutecznie chronić Europejczyków, Unia Europejska musi nadal ograniczać podatność na zagrożenia między innymi infrastruktury krytycznej, która ma zasadnicze znaczenie dla funkcjonowania naszych społeczeństw i gospodarki. Źródła utrzymania obywateli Unii oraz dobre funkcjonowanie rynku wewnętrznego zależą od różnych rodzajów infrastruktury zapewniającej niezawodne świadczenie usług niezbędnych do utrzymania krytycznej działalności społecznej i gospodarczej. Usługi te – o kluczowym znaczeniu w normalnych warunkach – są tym bardziej istotne w sytuacji, gdy Europa zmaga się ze skutkami pandemii COVID-19 i myśli o odbudowie po jej zakończeniu. Podmioty świadczące usługi kluczowe muszą być zatem odporne, tj. muszą być w stanie stawić opór w przypadku incydentów, które mogą prowadzić do poważnych, potencjalnie międzysektorowych i transgranicznych zakłóceń, a także stłumić te incydenty, dostosować się do nich oraz usunąć ich skutki.

Wniosek ma formę dyrektywy w celu zapewnienia stosowania bardziej ujednoliconego podejścia do kwestii odporności podmiotów krytycznych w szeregu sektorów w całej Unii. We wniosku określono szczegółowe obowiązki właściwych organów w zakresie wskazywania podmiotów krytycznych w oparciu o wspólne kryteria i wyniki oceny ryzyka. W drodze dyrektywy można zapewnić, aby państwa członkowskie stosowały jednolite podejście do wskazywania podmiotów krytycznych, jednocześnie uwzględniając krajową specyfikę, w tym różne poziomy ekspozycji na ryzyko i współzależności między sektorami i ponad granicami.

W niektórych przypadkach osiągnięcie zgodności z dyrektywą może jednak wymagać większych inwestycji. Nawet w takich przypadkach inwestycje te mają jednak uzasadnienie, ponieważ przyczyniłyby się do zwiększenia odporności na poziomie operatora i odporności systemowej, a także do stosowania spójniejszego podejścia i zwiększenia zdolności do świadczenia niezawodnych usług w całej Unii. Ponadto jakiekolwiek dodatkowe obciążenia wynikające z dyrektywy będą najprawdopodobniej dużo mniejsze niż koszty związane z koniecznością zarządzania poważnymi zakłóceniami, które zagrażają nieprzerwanemu świadczeniu usług związanych z niezbędnymi funkcjami społecznymi i dobrobytem gospodarczym operatorów, poszczególnych państw członkowskich, Unii i, ogólniej rzecz ujmując, jej obywateli, oraz usuwania ich skutków.

Wniosek jest proporcjonalny w stosunku do określonego celu nadrzędnego inicjatywy. Chociaż obowiązki państw członkowskich i podmiotów krytycznych mogą w niektórych przypadkach wiązać się z dodatkowymi obciążeniami administracyjnymi, np. jeżeli państwa członkowskie muszą opracować strategię krajową lub jeżeli podmioty krytyczne muszą wdrożyć pewne środki techniczne i organizacyjne, przewiduje się, że będą one zasadniczo ograniczone. W związku z tym należy zauważyć, że wiele podmiotów wprowadziło już pewne środki bezpieczeństwa w celu ochrony swojej infrastruktury i zapewnienia ciągłości działania.

Obecne ramy prawne ustanowione na szczeblu państw członkowskich, regulujące przedmiotowe usługi wiążą się z istotnie rozbieżnymi obowiązkami, które prawdopodobnie jeszcze się rozwiną. Rozbieżne przepisy krajowe, którym podlegają podmioty krytyczne, nie tylko zagrażają niezawodnemu świadczeniu usług na całym rynku wewnętrznym, ale także mogą mieć negatywny wpływ na konkurencję. Wynika to głównie z faktu, że w niektórych państwach członkowskich, lecz nie we wszystkich, za krytyczne uznaje się podobne rodzaje podmiotów świadczące podobne rodzaje usług. Oznacza to, że podmioty, które prowadzą lub chcą prowadzić działalność w więcej niż jednym państwie członkowskim, podlegają różnym obowiązkom, gdy działają na rynku wewnętrznym, oraz że podmioty prowadzące działalność w państwach członkowskich, w których obowiązują bardziej rygorystyczne wymogi, mogą napotykać trudności w porównaniu z podmiotami w państwach członkowskich o łagodniejszych ramach prawnych. Rozbieżności te są tak duże, że mają bezpośredni negatywny wpływ na funkcjonowanie rynku wewnętrznego.

W przeciwieństwie do dyrektywy 2008/114/WE, którą oparto na art. 308 Traktatu ustanawiającego Wspólnotę Europejską (który odpowiada obecnemu art. 352 Traktatu o funkcjonowaniu Unii Europejskiej), niniejszy wniosek dotyczący dyrektywy opiera się na art. 114 TFUE, który dotyczy zbliżenia przepisów w celu usprawnienia rynku wewnętrznego. Jest to uzasadnione zmianą celu, zakresu i treści dyrektywy, rosnącymi współzależnościami i potrzebą zapewnienia podmiotom krytycznym równiejszych szans. Zamiast ochrony ograniczonej liczby elementów infrastruktury fizycznej, w przypadku których zakłócenie działania lub zniszczenie miałoby istotne skutki transgraniczne, celem jest zwiększenie odporności podmiotów w państwach członkowskich, które mają kluczowe znaczenie dla świadczenia usług koniecznych do utrzymania niezbędnych funkcji społecznych lub prowadzenia działalności gospodarczej na rynku wewnętrznym w szeregu sektorów stanowiących podstawę funkcjonowania wielu innych sektorów gospodarki Unii. Ze względu na rosnące współzależności transgraniczne między usługami świadczonymi z wykorzystaniem infrastruktury krytycznej w tych sektorach zakłócenie w jednym państwie członkowskim może wywołać skutki w innych państwach członkowskich lub w całej Unii.

We wniosku uwzględniono również inne inicjatywy sektorowe i międzysektorowe dotyczące np. ochrony ludności, zmniejszania ryzyka związanego z klęskami żywiołowymi i przystosowania się do zmiany klimatu. Ponadto we wniosku uznaje się, że w niektórych przypadkach istniejące przepisy UE nakładają na podmioty obowiązek reagowania na określone ryzyko za pomocą środków ochronnych. W takich przypadkach, np. w odniesieniu do ochrony lotnictwa lub bezpieczeństwa morskiego, podmioty krytyczne powinny opisać te środki w swoich planach zwiększania odporności. Ponadto proponowana dyrektywa pozostaje bez uszczerbku dla zastosowania reguł konkurencji ustanowionych w Traktacie o funkcjonowaniu Unii Europejskiej (TFUE).

Proponowana dyrektywa jest wyraźnie powiązana oraz spójna z innymi sektorowymi i międzysektorowymi inicjatywami UE dotyczącymi m.in. uodparniania na klimat, ochrony ludności, bezpośrednich inwestycji zagranicznych (BIZ), cyberbezpieczeństwa i dorobku prawnego UE w dziedzinie usług finansowych. W szczególności wniosek jest ściśle dostosowany do proponowanej dyrektywy NIS 2, która ma na celu zwiększenie odporności „podmiotów niezbędnych” i „podmiotów istotnych” osiągających określone progi w wielu sektorach na wszelkie zagrożenia związane z technologiami informacyjno-komunikacyjnymi (ICT), oraz tworzy z nią ścisłą synergię. Niniejszy wniosek dotyczący dyrektywy w sprawie odporności podmiotów krytycznych ma na celu zapewnienie, aby właściwe organy wyznaczone na podstawie niniejszej dyrektywy oraz organy wyznaczone na podstawie proponowanej dyrektywy NIS 2 stosowały wzajemnie się uzupełniające środki i w razie potrzeby wymieniały się informacjami dotyczącymi cyberodporności i odporności niezwiązanej z cyberbezpieczeństwem, a także aby najważniejsze podmioty krytyczne w sektorach uznawanych za „niezbędne” zgodnie z proponowaną dyrektywą NIS 2 podlegały również ogólniejszym obowiązkom w zakresie zwiększania odporności w celu uwzględnienia ryzyka poza cyberprzestrzenią. Do fizycznego bezpieczeństwa sieci i systemów informatycznych podmiotów sektora infrastruktury cyfrowej odniesiono się szczegółowo w proponowanej dyrektywie NIS 2 w ramach obowiązków tych podmiotów w zakresie zarządzania ryzykiem w cyberprzestrzeni i sprawozdawczości. Ponadto wniosek opiera się na istniejącym dorobku prawnym UE w dziedzinie usług finansowych, w którym ustanowiono kompleksowe wymagania względem podmiotów finansowych odnoszące się do zarządzania ryzykiem operacyjnym oraz zapewnienia ciągłości działania. W związku z tym podmioty związane z sektorami infrastruktury cyfrowej, bankowości i infrastruktury finansowej należy traktować jak podmioty równoważne z podmiotami krytycznymi zgodnie z niniejszą dyrektywą na potrzeby obowiązków i działań państw członkowskich, a niniejsza dyrektywa nie wiązałaby się w takim przypadku z dodatkowymi obowiązkami dla tych podmiotów.

Celem proponowanych przepisów jest zwiększenie odporności podmiotów krytycznych świadczących różne formy usług kluczowych przy jednoczesnym wyeliminowaniu przeszkód regulacyjnych zakłócających ich zdolność do świadczenia swoich usług w całej Unii. Dzięki takim działaniom doszłoby do zmniejszenia ogólnego ryzyka zakłóceń na poziomie społeczeństwa i jednostki oraz do ograniczenia obciążenia. Przyczyniłoby się to do zapewnienia wyższego poziomu bezpieczeństwa publicznego, jednocześnie wywierając pozytywny wpływ na wolność działalności gospodarczej przedsiębiorstw, a także wielu innych podmiotów gospodarczych zależnych od świadczenia usług kluczowych, co w ostatecznym rozrachunku przyniosłoby korzyści konsumentom. Zawarte we wniosku przepisy mające na celu zapewnienie skutecznego zarządzania bezpieczeństwem pracowników będą standardowo obejmować przetwarzanie danych osobowych. Jest to uzasadnione potrzebą sprawdzenia przeszłości w przypadku szczególnych kategorii personelu. Ponadto wszelkie przetwarzanie danych osobowych tego rodzaju będzie zawsze podlegać unijnym przepisom dotyczącym ochrony danych osobowych, w tym ogólnemu rozporządzeniu o ochronie danych.

Zgodnie z programem sprawności i wydajności regulacyjnej (REFIT) Komisji wszystkie inicjatywy mające na celu zmianę istniejących przepisów UE powinny przyczyniać się do uproszczenia i skuteczniejszego osiągnięcia określonych celów polityki. Z ustaleń zawartych w ocenie skutków wynika, że wniosek powinien prowadzić do ograniczenia ogólnego obciążenia państw członkowskich. Lepsze dostosowanie do podejścia ukierunkowanego na usługi zastosowanego w obecnej dyrektywie w sprawie bezpieczeństwa sieci i informacji (dyrektywa NIS) może prowadzić z czasem do ograniczenia kosztów przestrzegania przepisów. Na przykład obciążający transgraniczny proces rozpoznawania i wyznaczania przewidziany w obecnie obowiązującej dyrektywie w sprawie europejskiej infrastruktury krytycznej zostałby zastąpiony procedurą opartą na analizie ryzyka na poziomie krajowym mającą na celu wyłącznie wskazanie podmiotów krytycznych podlegających różnym obowiązkom. W oparciu o ocenę ryzyka państwa członkowskie wskazywałyby podmioty krytyczne, z których większość jest już wyznaczonymi operatorami usług kluczowych na podstawie obecnej dyrektywy w sprawie bezpieczeństwa sieci i informacji (dyrektywa NIS).

Rada ds. Kontroli Regulacyjnej poddała kontroli ocenę skutków i w dniu 20 listopada 2020 r. wydała pozytywną opinię z zastrzeżeniami. Rada ds. Kontroli Regulacyjnej wskazała szereg elementów oceny skutków, na które należy zwrócić uwagę. W szczególności zwróciła się o dodatkowe wyjaśnienia na temat ryzyka związanego z infrastrukturą krytyczną i wymiarem transgranicznym, związku między inicjatywą a trwającą rewizją dyrektywy w sprawie bezpieczeństwa sieci i informacji (dyrektywa NIS) oraz związku między preferowanym wariantem strategicznym a innymi aktami prawodawstwa sektorowego. Ponadto Rada ds. Kontroli Regulacyjnej dostrzegła potrzebę dalszego uzasadnienia rozszerzenia zakresu sektorowego instrumentu i zażądała dodatkowych informacji na temat kryteriów wyboru podmiotów krytycznych. Dodatkowo – jeżeli chodzi o proporcjonalność – Rada ds. Kontroli Regulacyjnej wniosła o udzielenie dodatkowych wyjaśnień dotyczących tego, w jaki sposób preferowany wariant miałby prowadzić do skuteczniejszych krajowych reakcji na ryzyko transgraniczne. Do tych oraz innych, bardziej szczegółowych uwag przekazanych przez Radę ds. Kontroli Regulacyjnej odniesiono się w wersji ostatecznej oceny skutków, w której na przykład opisano bardziej szczegółowo ryzyko transgraniczne ponoszone przez infrastruktury krytyczne oraz związek między niniejszym wnioskiem a wnioskiem dotyczącym dyrektywy NIS 2. Uwagi Rady ds. Kontroli Regulacyjnej uwzględniono również w proponowanej poniżej dyrektywie.

Po rozważeniu różnych skutków gospodarczych, społecznych i środowiskowych wynikających z poszczególnych wariantów, ale także wartości wariantów pod względem skuteczności, efektywności i proporcjonalności, w ocenie skutków stwierdzono, że najlepszym wariantem jest wariant 3. Warianty 1 i 2 nie przyniosłyby zmian wymaganych do rozwiązania problemu, a wariant 3 skutkowałby powstaniem zharmonizowanych i bardziej wszechstronnych ram odporności, które byłyby również dostosowane do prawa Unii obowiązującego w powiązanych dziedzinach i to prawo uwzględniały. Uznano również, że wariant 3 jest proporcjonalny i wydaje się, że jest politycznie wykonalny, ponieważ jest zgodny z oświadczeniami Rady i Parlamentu dotyczącymi potrzeby działania Unii w tej dziedzinie. Ponadto uznano, że wariant ten powinien zapewnić elastyczność i stworzyć dostosowane do przyszłych wyzwań ramy, które dadzą podmiotom krytycznym możliwości reagowania na różne rodzaje ryzyka w miarę upływu czasu. W ocenie skutków stwierdzono również, że wariant ten stanowiłby uzupełnienie istniejących ram i instrumentów sektorowych i międzysektorowych. Na przykład wariant ten umożliwia wyznaczonym podmiotom wypełniać określone zobowiązania przewidziane w tym nowym instrumencie poprzez wypełnianie zobowiązań przewidzianych w instrumentach już istniejących – w takim przypadku nie musiałyby one podejmować dalszych działań. Z drugiej strony musiałyby wprowadzić pewne środki, jeżeli zakres istniejących instrumentów nie obejmuje przedmiotowej kwestii lub ogranicza się jedynie do określonych rodzajów ryzyka lub środków.

–Wariant 3: zastąpienie obowiązującej dyrektywy w sprawie europejskiej infrastruktury krytycznej nowym instrumentem mającym na celu zwiększenie odporności podmiotów krytycznych w sektorach uznanych za niezbędne w proponowanej dyrektywie NIS 2. Wariant ten obejmowałby określenie minimalnych wymogów dla państw członkowskich i podmiotów krytycznych wskazanych zgodnie z nowymi ramami. Powstałaby procedura wskazywania podmiotów krytycznych oferujących usługi na rzecz wielu, jeżeli nie wszystkich, państw członkowskich UE lub w wielu, jeżeli nie we wszystkich, państwach członkowskich. We wdrożeniu przepisów pomagałoby specjalne centrum wiedzy działające w strukturach Komisji.

–Wariant 2: rewizja obowiązującej dyrektywy w sprawie europejskiej infrastruktury krytycznej w taki sposób, aby obejmowała te same sektory co obowiązująca dyrektywa w sprawie bezpieczeństwa sieci i informacji (dyrektywa NIS) oraz aby bardziej skupiała się na odporności. Nowa dyrektywa w sprawie europejskiej infrastruktury krytycznej obejmowałaby zmiany w istniejącym transgranicznym procesie wyznaczania europejskiej infrastruktury krytycznej, w tym nowe kryteria wyznaczania, a także nowe wymogi dla państw członkowskich i operatorów.

W szczególności zainteresowane strony były zasadniczo zgodne co do tego, że każde nowe podejście powinno być oparte na połączeniu środków wiążących i niewiążących, kłaść nacisk na odporność, a nie skupiać się na ochronie konkretnych składników infrastruktury, oraz w sposób bardziej wyraźny łączyć środki służące zwiększaniu odporności w zakresie cyberbezpieczeństwa ze środkami służącymi zwiększaniu odporności niezwiązanej z cyberbezpieczeństwem. Ponadto zainteresowane strony opowiedziały się za podejściem, które uwzględnia przepisy obowiązującego prawodawstwa sektorowego, obejmuje co najmniej te sektory, które wchodzą w zakres obowiązującej dyrektywy w sprawie bezpieczeństwa sieci i informacji (dyrektywa NIS), oraz za nakładaniem na szczeblu krajowym bardziej jednolitych obowiązków na podmioty krytyczne, które z kolei powinny mieć możliwość sprawowania wystarczającej kontroli bezpieczeństwa w odniesieniu do personelu posiadającego dostęp do obiektów o szczególnym znaczeniu/wrażliwych informacji. Ponadto zainteresowane strony zasugerowały, że każde nowe podejście powinno stwarzać państwom członkowskim możliwości sprawowania większego nadzoru nad działalnością podmiotów krytycznych, ale także gwarantować, aby podmioty krytyczne o znaczeniu dla całej Europy zostały wskazane i posiadały wystarczają odporność. Zainteresowane strony opowiedziały się również za zwiększeniem finansowania i wsparcia ze strony UE, np. w zakresie wdrażania jakichkolwiek nowych instrumentów, budowania zdolności na poziomie krajowym oraz koordynacji/współpracy publiczno-prywatnej, a także wymiany dobrych praktyk, wiedzy i know-how na różnych poziomach. Niniejszy wniosek zawiera przepisy, które zasadniczo odpowiadają poglądom i preferencjom wyrażonym przez zainteresowane strony.

Zgodnie z art. 10 podmioty krytyczne dokonują regularnej oceny wszystkich istotnych czynników ryzyka w oparciu o krajową ocenę ryzyka i inne odpowiednie źródła informacji. Art. 11 stanowi, że podmioty krytyczne wprowadzają odpowiednie i proporcjonalne środki techniczne i organizacyjne w celu zapewnienia swojej odporności, a także zapewniają, aby środki te były opisane w planie zwiększania odporności lub równoważnym dokumencie/równoważnych dokumentach. Państwa członkowskie mogą wnieść o to, aby Komisja zorganizowała misje doradcze celem zapewnienia podmiotom krytycznym doradztwa w zakresie dopełniania ich obowiązków. W art. 11 upoważniono również Komisję do przyjmowania w stosownych przypadkach aktów delegowanych i wykonawczych.

W art. 5 przewidziano, że państwa członkowskie wskazują podmioty krytyczne w poszczególnych sektorach i podsektorach. W procesie wskazywania należy uwzględnić wyniki oceny ryzyka oraz zastosować konkretne kryteria. Państwa członkowskie sporządzają wykaz podmiotów krytycznych, który podlega aktualizacji w razie potrzeby i regularnie. Podmioty krytyczne są należycie informowane o ich wskazaniu oraz wynikających z tego obowiązkach. Właściwe organy odpowiedzialne za wdrażanie dyrektywy informują właściwe organy odpowiedzialne za wdrażanie dyrektywy NIS 2 o wskazaniu podmiotów krytycznych. Gdy co najmniej dwa państwa członkowskie wskazały dany podmiot jako podmiot krytyczny, państwa członkowskie przystępują do wzajemnych konsultacji w celu ograniczenia obciążenia podmiotu krytycznego. W przypadku gdy podmioty krytyczne świadczą usługi na rzecz ponad jednej trzeciej lub w ponad jednej trzeciej państw członkowskich, odnośne państwo członkowskie przekazuje Komisji dane identyfikacyjne tych podmiotów krytycznych.

W art. 1 określono przedmiot i zakres dyrektywy, w której nakłada się na państwa członkowskie obowiązki polegające na przyjmowaniu pewnych środków mających na celu zapewnienie świadczenia na rynku wewnętrznym usług koniecznych do utrzymania niezbędnych funkcji społecznych lub działalności gospodarczej, a w szczególności na wskazywaniu podmiotów krytycznych oraz umożliwianiu im dopełniania konkretnych obowiązków celem zwiększenia ich odporności i poprawy ich zdolności do świadczenia tych usług na rynku wewnętrznym. W dyrektywie ustanawia się również przepisy dotyczące nadzoru nad podmiotami krytycznymi i egzekwowania, aby stosowały one przepisy, a także dotyczące szczególnego nadzoru nad podmiotami krytycznymi uznawanymi za podmioty o szczególnym znaczeniu europejskim. W art. 1 wyjaśniono również związek między dyrektywą a innymi właściwymi aktami prawa Unii, a także określono warunki wymiany z Komisją i innymi właściwymi organami informacji, które są poufne zgodnie z przepisami unijnymi i krajowymi. W art. 2 zawarto wykaz obowiązujących definicji.

Art. 23 stanowi, że dyrektywa 2008/114/WE traci moc ze skutkiem od dnia rozpoczęcia stosowania niniejszej dyrektywy. Zgodnie z art. 24 państwa członkowskie przyjmują i publikują – w określonym terminie – przepisy ustawowe, wykonawcze i administracyjne niezbędne do wykonania dyrektywy i informują o tym Komisję. Tekst podstawowych przepisów prawa krajowego przyjętych w dziedzinie objętej niniejszą dyrektywą przekazuje się Komisji. Art. 25 stanowi, że niniejsza dyrektywa wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej. Art. 26 stanowi, że dyrektywa jest skierowana do państw członkowskich.

Art. 20 stanowi, że Komisję wspiera komitet w rozumieniu rozporządzenia (UE) nr 182/2011. Jest to standardowy artykuł. W art. 21 nadano Komisji uprawnienie do przyjmowania aktów delegowanych na warunkach określonych w tym artykule. Jest to również standardowy artykuł. W art. 22 określono, że Komisja przedkłada Parlamentowi Europejskiemu i Radzie sprawozdanie oceniające, w jakim stopniu państwa członkowskie przyjęły środki niezbędne do zapewnienia zgodności z dyrektywą. Sprawozdanie oceniające wpływ i wartość dodaną dyrektywy oraz to, czy zakres dyrektywy należy rozszerzyć o inne sektory lub podsektory, w tym sektor produkcji, przetwarzania i dystrybucji żywności, należy przedkładać regularnie Parlamentowi Europejskiemu i Radzie.

W art. 18 przewidziano, że państwa członkowskie dysponują pewnymi uprawnieniami i środkami oraz że spoczywają na nich pewne obowiązki w zakresie zapewniania wdrożenia i egzekwowania dyrektywy. Państwa członkowskie zapewniają, aby w przypadku, gdy właściwy organ przeprowadza ocenę zgodności dotyczącą podmiotu krytycznego, informował on właściwe organy odnośnego państwa członkowskiego wyznaczone zgodnie z dyrektywą NIS 2 oraz mógł zwrócić się do tych organów o ocenę cyberbezpieczeństwa takiego podmiotu, a także by współpracował i wymieniał informacje w tym celu. Art. 19 stanowi, że zgodnie z ugruntowaną praktyką państwa członkowskie określają zasady dotyczące sankcji za naruszanie przepisów i podejmują wszystkie konieczne działania w celu zapewnienia ich wdrożenia.

W art. 14 podmioty krytyczne o szczególnym znaczeniu europejskim zdefiniowano jako podmioty, które wskazano jako podmioty krytyczne i które świadczą usługi kluczowe na rzecz ponad jednej trzeciej lub w ponad jednej trzeciej państw członkowskich. Po otrzymaniu zgłoszenia na podstawie art. 5 ust. 6 Komisja informuje podmiot, którego to dotyczy, że uznaje się go za podmiot krytyczny o szczególnym znaczeniu europejskim, o wynikających z tego obowiązkach oraz o dacie, od której obowiązki zaczynają mieć zastosowanie. W art. 15 opisano ustalenia dotyczące szczególnego nadzoru mające zastosowanie do podmiotów krytycznych o szczególnym znaczeniu europejskim, które to ustalenia obejmują przekazywanie Komisji i Grupie ds. Odporności Podmiotów Krytycznych – na wniosek – informacji na temat oceny ryzyka, o której mowa w art. 10, oraz środków wdrożonych zgodnie z art. 11, a także na temat wszelkich działań z zakresu nadzoru lub egzekwowania ze strony państwa członkowskiego, w którym znajduje się infrastruktura. Art. 15 stanowi również, że Komisja może organizować misje doradcze celem dokonania oceny środków wdrożonych przez poszczególne podmioty krytyczne o szczególnym znaczeniu europejskim. W oparciu o analizę ustaleń misji doradczej przeprowadzoną przez Grupę ds. Odporności Podmiotów Krytycznych Komisja przekazuje państwu członkowskiemu, w którym znajduje się infrastruktura podmiotu, swoje uwagi na temat tego, czy podmiot ten wywiązuje się ze swoich obowiązków, oraz – w stosownych przypadkach – jakie środki można wprowadzić, aby zwiększyć odporność tego podmiotu. W artykule tym opisano skład, organizację i finansowanie misji doradczych. Stanowi on również, że Komisja przyjmuje akt wykonawczy ustanawiający przepisy dotyczące ustaleń proceduralnych na potrzeby prowadzenia misji doradczych i opracowywania sprawozdań z tych misji.

stanowiąc zgodnie ze zwykłą procedurą ustawodawczą,

a także mając na uwadze, co następuje:

(1)Dyrektywa Rady 2008/114/WE przewiduje procedurę wyznaczania europejskich infrastruktur krytycznych w sektorach energii i transportu, których zakłócenie lub zniszczenie miałoby istotny wpływ transgraniczny w co najmniej dwóch państwach członkowskich. W dyrektywie tej skoncentrowano się wyłącznie na ochronie takich infrastruktur. Ocena dyrektywy 2008/114/WE przeprowadzona w 2019 r. wykazała jednak, że ze względu na w coraz większym stopniu wzajemnie powiązany i transgraniczny charakter operacji wykorzystujących infrastrukturę krytyczną środki ochronne związane wyłącznie z pojedynczymi składnikami infrastruktury są niewystarczające, aby zapobiec wszystkim zakłóceniom. Wobec tego niezbędna jest zmiana podejścia na podejście zapewniające odporność podmiotów krytycznych, a mianowicie ich zdolność do łagodzenia i tłumienia incydentów mogących zakłócić funkcjonowanie podmiotu krytycznego oraz dostosowania się do nich i usunięcia ich skutków.

(2)Mimo istniejących środków na poziomie unijnym i krajowym mających na celu wsparcie ochrony infrastruktur krytycznych w Unii podmioty będące operatorami tych infrastruktur nie są odpowiednio przygotowane do reagowania na obecne i przewidywane ryzyko dla ich funkcjonowania, które może prowadzić do zakłóceń świadczenia usług koniecznych do pełnienia niezbędnych funkcji społecznych lub prowadzenia niezbędnej działalności gospodarczej. Wynika to z dynamicznego krajobrazu zagrożeń charakteryzującego się rozwijającym się zagrożeniem terrorystycznym i rosnącymi współzależnościami między infrastrukturami i sektorami, a także ze zwiększonego fizycznego ryzyka związanego z klęskami żywiołowymi i zmianą klimatu, które przyczynia się do zwiększenia częstotliwości i skali ekstremalnych zdarzeń pogodowych i wywołuje długoterminowe zmiany średnich warunków klimatycznych, co może ograniczyć zdolność i skuteczność niektórych rodzajów infrastruktury, jeżeli nie zostaną wdrożone środki z zakresu odporności lub przystosowania się do zmiany klimatu. Ponadto odpowiednich sektorów i rodzajów podmiotów nie uznaje się konsekwentnie za krytyczne we wszystkich państwach członkowskich.

(3)Te rosnące współzależności są rezultatem w coraz większym stopniu transgranicznej i współzależnej sieci świadczenia usług wykorzystującej kluczowe infrastruktury w całej Unii w sektorach energii, transportu, bankowości, infrastruktury rynku finansowego, infrastruktury cyfrowej, wody pitnej i ścieków, zdrowia, niektórych aspektów administracji publicznej, a także w sektorze kosmicznym – w zakresie obejmującym świadczenie niektórych usług zależnych od naziemnych infrastruktur, których właścicielami są, którymi zarządzają i które obsługują albo państwa członkowskie, albo podmioty prywatne, czyli z pominięciem infrastruktur, których właścicielem jest, którymi zarządza lub które obsługuje Unia lub odbywa się to w jej imieniu w ramach unijnych programów kosmicznych. Współzależności te oznaczają, że jakiekolwiek zakłócenie – nawet takie, które początkowo ogranicza się do jednego podmiotu lub jednego sektora – może wywołać szerzej zakrojony efekt kaskadowy, potencjalnie prowadzący do daleko idącego i długotrwałego negatywnego wpływu na świadczenie usług na rynku wewnętrznym. Pandemia COVID-19 uwidoczniła podatność naszych w coraz większym stopniu współzależnych społeczeństw w obliczu mało prawdopodobnego ryzyka.

(4)Podmioty zaangażowane w świadczenie usług kluczowych w coraz większym stopniu podlegają zróżnicowanym wymaganiom nakładanym na nie na gruncie prawa państw członkowskich. Fakt, iż niektóre państwa członkowskie mają mniej surowe wymagania w zakresie bezpieczeństwa względem tych podmiotów, może nie tylko negatywnie wpływać na utrzymanie niezbędnych funkcji społecznych lub działalności gospodarczej w Unii, lecz prowadzi również do powstania przeszkód dla prawidłowego funkcjonowania rynku wewnętrznego. W niektórych państwach członkowskich, lecz nie we wszystkich, za krytyczne uznaje się podobne rodzaje podmiotów, a podmioty wskazane jako krytyczne podlegają zróżnicowanym wymaganiom w poszczególnych państwach członkowskich. Prowadzi to do powstania dodatkowego i zbędnego obciążenia administracyjnego dla przedsiębiorstw prowadzących działalność transgraniczną, w szczególności dla przedsiębiorstw działających w państwach członkowskich o surowszych wymaganiach.

(5)Konieczne jest zatem wprowadzenie zharmonizowanych norm minimalnych celem zapewnienia świadczenia usług kluczowych na rynku wewnętrznym oraz zwiększenia odporności podmiotów krytycznych.

(6)Aby osiągnąć ten cel, państwa członkowskie powinny wskazać podmioty krytyczne, które z kolei powinny podlegać szczególnym wymogom i nadzorowi, otrzymując jednak również szczególne wsparcie i wytyczne mające na celu osiągnięcie wysokiego poziomu odporności w obliczu wszystkich istotnych czynników ryzyka.

(7)Niektóre sektory gospodarki, takie jak sektory energii i transportu, są już regulowane lub mogą być w przyszłości regulowane sektorowymi aktami prawa Unii, które zawierają przepisy dotyczące niektórych aspektów odporności podmiotów prowadzących działalność w tych sektorach. Aby podejść do kwestii odporności tych podmiotów, które są krytyczne dla prawidłowego funkcjonowania rynku wewnętrznego, w sposób kompleksowy, wspomniane środki sektorowe należy uzupełnić środkami przewidzianymi w niniejszej dyrektywie, która tworzy nadrzędne ramy dotyczące odporności podmiotów krytycznych na wszystkie zagrożenia, to znaczy zagrożenia naturalne i spowodowane przez człowieka, przypadkowe i zamierzone.

(8)Biorąc pod uwagę znaczenie cyberbezpieczeństwa z punktu widzenia odporności podmiotów krytycznych oraz mając na względzie spójność, niezbędne jest, aby w miarę możliwości zachować spójne podejście między niniejszą dyrektywą a dyrektywą Parlamentu Europejskiego i Rady (UE) XX/YY [proponowaną dyrektywą w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (dalej „dyrektywa NIS 2”)]. Ze względu na większą częstotliwość i szczególny charakter ryzyka w cyberprzestrzeni dyrektywą NIS 2 nakłada się kompleksowe wymagania na dużą grupę podmiotów celem zapewnienia ich cyberbezpieczeństwa. Zważywszy że w dyrektywie NIS 2 w wystarczający sposób uregulowano kwestię cyberbezpieczeństwa, aspekty regulowane przez tę dyrektywę należy wykluczyć z zakresu niniejszej dyrektywy, bez uszczerbku dla szczególnych uregulowań dotyczących podmiotów w sektorze infrastruktury cyfrowej.

(9)Jeżeli w przepisach innych aktów prawnych Unii nałożono na podmioty krytyczne obowiązek oceny istotnego ryzyka, zastosowania środków zapewniających ich odporność lub zgłaszania incydentów, a wymagania te są co najmniej równoważne z odpowiadającymi im obowiązkami przewidzianymi w niniejszej dyrektywie, odpowiednie przepisy niniejszej dyrektywy nie powinny mieć zastosowania, co pozwoli uniknąć powielania i zbędnego obciążenia. W takim przypadku należy stosować odpowiednie przepisy wspomnianych aktów. Jeżeli odpowiednie przepisy niniejszej dyrektywy nie mają zastosowania, jej przepisów dotyczących nadzoru i egzekwowania również nie należy stosować. Państwa członkowskie powinny jednak uwzględnić wszystkie sektory umieszczone w zawartym w załączniku wykazie w swojej strategii mającej na celu wzmocnienie odporności podmiotów krytycznych, ocenie ryzyka i działaniach wspierających, o których mowa w rozdziale II, oraz być w stanie wskazać podmioty krytyczne w tych sektorach, w których spełnione zostały obowiązujące warunki, biorąc przy tym pod uwagę szczególne uregulowania dotyczące podmiotów w sektorach bankowości, infrastruktury rynku finansowego i infrastruktury cyfrowej.

(10)W celu zapewnienia kompleksowego podejścia do odporności podmiotów krytycznych każde państwo członkowskie powinno dysponować strategią określającą cele i środki z zakresu polityki, które należy wdrożyć. Aby to osiągnąć, państwa członkowskie powinny zapewnić, aby ich strategie dotyczące cyberbezpieczeństwa przewidywały ramy polityczne umożliwiające zwiększoną koordynację między właściwymi organami, o których mowa w niniejszej dyrektywie i w dyrektywie NIS 2, w zakresie wymiany informacji na temat incydentów i cyberzagrożeń oraz wykonywania zadań nadzorczych.

(11)Podstawą działań państw członkowskich mających na celu wskazanie i przyczynienie się do zapewnienia odporności podmiotów krytycznych powinno być podejście oparte na analizie ryzyka, w ramach którego starania skupiają się na podmiotach najważniejszych dla pełnienia niezbędnych funkcji społecznych lub prowadzenia niezbędnej działalności gospodarczej. W celu zapewnienia takiego ukierunkowanego podejścia każde państwo członkowskie powinno przeprowadzić – w zharmonizowanych ramach – ocenę wszystkich istotnych zagrożeń, naturalnych i spowodowanych przez człowieka, które mogą wpływać na świadczenie usług kluczowych, w tym wypadków, klęsk żywiołowych, stanów zagrożenia zdrowia publicznego, takich jak pandemie, oraz zagrożeń związanych z konfliktem, w tym przestępstw terrorystycznych. Dokonując takich ocen ryzyka, państwa członkowskie powinny uwzględnić inne ogólne lub sektorowe oceny ryzyka przeprowadzone na podstawie innych aktów prawa Unii oraz powinny wziąć pod uwagę zależności między sektorami, w tym sektorami z innych państw członkowskich i państw trzecich. Wyniki oceny ryzyka należy wykorzystać w procesie wskazywania podmiotów krytycznych i wspierania tych podmiotów w spełnianiu wymogów dotyczących odporności przewidzianych w niniejszej dyrektywie.

(12)W celu zapewnienia, aby wszystkie odpowiednie podmioty były objęte tymi wymogami, i w celu ograniczenia rozbieżności w tym zakresie należy wprowadzić zharmonizowane przepisy pozwalające na spójne wskazywanie podmiotów krytycznych na terenie Unii, umożliwiając przy tym państwom członkowskim odzwierciedlenie ich krajowej specyfiki. Należy zatem określić kryteria dotyczące wskazywania podmiotów krytycznych. Przez wzgląd na skuteczność, efektywność, spójność oraz pewność prawa należy ustanowić również odpowiednie przepisy dotyczące zgłaszania i współpracy w związku z takim wskazywaniem oraz jego skutki prawne. W celu umożliwienia Komisji oceny prawidłowego stosowania niniejszej dyrektywy państwa członkowskie powinny przekazać Komisji, w sposób jak najbardziej szczegółowy i konkretny, odpowiednie informacje i, w każdym wypadku, wykaz podmiotów krytycznych, liczbę podmiotów krytycznych wskazanych w każdym sektorze i podsektorze, o których mowa w załączniku, oraz usługę kluczową lub usługi kluczowe, które świadczy każdy z tych podmiotów, a także wszelkie zastosowane progi.

(13)Dodatkowo należy ustanowić kryteria umożliwiające określenie znaczenia skutku zakłócającego wywołanego przez takie incydenty. Kryteria te powinny opierać się na kryteriach przewidzianych w dyrektywie Parlamentu Europejskiego i Rady (UE) 2016/1148 w celu wykorzystania starań, jakie państwa członkowskie włożyły we wskazanie tych operatorów, oraz doświadczenia zdobytego w tym zakresie.

(14)Podmioty związane z sektorem infrastruktury cyfrowej opierają się w istocie na sieci i na systemach informatycznych oraz wchodzą w zakres stosowania dyrektywy NIS 2, która reguluje kwestię bezpieczeństwa fizycznego takich systemów w ramach ich obowiązku zarządzania ryzykiem w cyberprzestrzeni i obowiązku sprawozdawczego. Ponieważ aspekty te reguluje dyrektywa NIS 2, obowiązki przewidziane w niniejszej dyrektywie nie mają zastosowania do takich podmiotów. Niemniej biorąc pod uwagę znaczenie usług świadczonych przez podmioty w sektorze infrastruktury cyfrowej dla świadczenia innych usług kluczowych, państwa członkowskie powinny wskazać – na podstawie kryteriów i z wykorzystaniem procedury przewidzianych odpowiednio w niniejszej dyrektywie – podmioty związane z sektorem infrastruktury cyfrowej, które należy traktować jako równoważne z podmiotami krytycznymi wyłącznie do celów rozdziału II, w tym udzielić tym podmiotom wsparcia w zwiększaniu ich odporności. W rezultacie takie podmioty nie powinny podlegać obowiązkom określonym w rozdziałach III–VI. Ponieważ obowiązki podmiotów krytycznych przewidziane w rozdziale II i polegające na przekazywaniu pewnych informacji właściwym organom są związane ze stosowaniem rozdziałów III–IV, wspomniane podmioty nie powinny podlegać również tym obowiązkom.

(15)W dorobku prawnym UE dotyczącym usług finansowych ustanowiono kompleksowe wymagania względem podmiotów finansowych polegające na zarządzaniu wszystkimi czynnikami ryzyka, z jakimi się zmagają, w tym ryzykiem operacyjnym, oraz zapewnieniu ciągłości działania. Obejmuje on rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 648/2012, dyrektywę Parlamentu Europejskiego i Rady 2014/65/UE i rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 600/2014, a także rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 575/2013 i dyrektywę Parlamentu Europejskiego i Rady 2013/36/UE. Niedawno Komisja zaproponowała uzupełnienie tych ram rozporządzeniem Parlamentu Europejskiego i Rady XX/YYYY [proponowane rozporządzenie w sprawie operacyjnej odporności cyfrowej sektora finansowego (dalej „rozporządzenie DORA”)], w którym określono wymagania względem przedsiębiorstw finansowych dotyczące zarządzania ryzykiem związanym z ICT, w tym ochrony fizycznych infrastruktur ICT. Ponieważ odporność podmiotów wymienionych w załączniku pkt 3 i 4 jest kompleksowo uregulowana w dorobku prawnym UE dotyczącym usług finansowych, podmioty te również należy traktować jako równoważne z podmiotami krytycznymi wyłącznie do celów rozdziału II niniejszej dyrektywy. Aby zapewnić spójne stosowanie przepisów dotyczących ryzyka operacyjnego i odporności cyfrowej w sektorze finansowym, wsparcia ze strony państw członkowskich w zwiększaniu ogólnej odporności podmiotów finansowych równoważnych z podmiotami krytycznymi powinny udzielać organy wyznaczone zgodnie z art. 41 [rozporządzenia DORA] oraz powinno ono podlegać procedurom określonym w tych przepisach w sposób w pełni zharmonizowany.

(16)Państwa członkowskie powinny wyznaczyć organy odpowiedzialne za nadzór nad stosowaniem przepisów niniejszej dyrektywy i, w stosownych przypadkach, za ich egzekwowanie oraz zapewnić, aby organy te dysponowały odpowiednimi uprawnieniami i zasobami. Z uwagi na różnice w krajowych strukturach zarządzania oraz w celu zabezpieczenia obowiązujących już ustaleń sektorowych lub unijnych organów nadzorczych i regulacyjnych, a także w celu unikania powielania państwa członkowskie powinny móc wyznaczać więcej niż jeden właściwy organ. W takim wypadku powinny one jednak wyraźnie rozgraniczyć odpowiednie zadania tych organów oraz zapewnić, aby organy te współpracowały ze sobą w sposób płynny i skuteczny. Wszystkie właściwe organy powinny również współpracować w ujęciu bardziej ogólnym z innymi właściwymi organami, zarówno na szczeblu krajowym, jak i szczeblu unijnym.

(17)W celu ułatwienia współpracy i komunikacji transgranicznej oraz umożliwienia skutecznego wdrożenia niniejszej dyrektywy każde państwo członkowskie powinno, bez uszczerbku dla unijnych wymogów prawnych dotyczących danego sektora, wyznaczyć – w ramach jednego z organów wskazanych jako właściwe organy na podstawie niniejszej dyrektywy – pojedynczy punkt kontaktowy odpowiedzialny za koordynację kwestii związanych z odpornością podmiotów krytycznych oraz współpracę transgraniczną na poziomie Unii w tym zakresie.

(18)Zważywszy, że zgodnie z dyrektywą NIS 2 podmioty wskazane jako podmioty krytyczne, a także podmioty wskazane w sektorze infrastruktury cyfrowej, które należy traktować jako równoważne na podstawie niniejszej dyrektywy, podlegają wymaganiom dotyczącym cyberbezpieczeństwa przewidzianym w dyrektywie NIS 2, właściwe organy wyznaczone na podstawie obu tych dyrektyw powinny ze sobą współpracować, w szczególności w odniesieniu do ryzyka w cyberprzestrzeni i incydentów mających wpływ na te podmioty.