COMISSÃO EUROPEIA Bruxelas, 16.12.2020 COM(2020) 829 final 2020/0365(COD) Proposta de DIRETIVA DO PARLAMENTO EUROPEU E DO CONSELHO relativa à resiliência das entidades críticas {SEC(2020) 433 final} - {SWD(2020) 358 final} - {SWD(2020) 359 final}



EXPOSIÇÃO DE MOTIVOS 1.CONTEXTO DA PROPOSTA ·Razões e objetivos da proposta Para proteger eficazmente os europeus, é necessário que a União Europeia continue a diminuir as vulnerabilidades, nomeadamente nas infraestruturas críticas que são essenciais para o funcionamento das nossas sociedades e economia. A subsistência dos cidadãos europeus e o bom funcionamento do mercado interno dependem de diferentes infraestruturas para a prestação fiável de serviços necessários à manutenção de atividades sociais e económicas críticas. Estes serviços, vitais em circunstâncias normais, revestem-se de uma importância ainda maior à medida que a Europa gere os efeitos da pandemia de COVID-19 e procura recuperar da mesma. Daqui decorre que as entidades que prestam serviços essenciais têm de ser resilientes, isto é, capazes de resistir, absorver, se adaptar e recuperar de incidentes que possam conduzir a perturbações graves, potencialmente transetoriais e transfronteiriças. A presente proposta visa reforçar a prestação, no mercado interno, de serviços essenciais para a manutenção de funções sociais ou atividades económicas vitais, aumentando a resiliência das entidades críticas que prestam tais serviços. Reflete os recentes apelos à ação por parte do Conselho e do Parlamento Europeu, que instaram a Comissão a rever a atual abordagem para ter melhor em consideração os crescentes desafios que se colocam às entidades críticas e para assegurar um maior alinhamento com a Diretiva Segurança das Redes e da Informação (SRI). A presente proposta é coerente e estabelece sinergias estreitas com a proposta de Diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União («Diretiva SRI 2»), que substituirá a Diretiva SRI, a fim de abordar a crescente interligação entre o mundo físico e o mundo digital através de um quadro legislativo com medidas eficazes em matéria de resiliência, tanto no que se refere aos aspetos de cibersegurança como aos físicos, tal como estabelecido na Estratégia para a União da Segurança. Além disso, a proposta reflete abordagens nacionais num número crescente de Estados-Membros, que tendem a enfatizar as interdependências transetoriais e transfronteiriças e baseiam-se cada vez mais no pensamento resiliente, em que a proteção é apenas um elemento a par da prevenção e da atenuação dos riscos, da continuidade das atividades e da recuperação das empresas. Dado que as infraestruturas críticas correm o risco de ser igualmente potenciais alvos de atos terroristas, as medidas destinadas a assegurar a resiliência das entidades críticas contidas na presente proposta contribuem para os objetivos da Agenda da UE em matéria de Luta contra o Terrorismo, recentemente adotada. Há muito que a União Europeia (UE) reconheceu a importância pan-europeia das infraestruturas críticas. Por exemplo, em 2006 a UE estabeleceu o Programa Europeu de Proteção das Infraestruturas Críticas (PEPIC) e, em 2008, adotou a Diretiva Infraestruturas Críticas Europeias (ICE). A Diretiva ICE, aplicável apenas aos setores da energia e dos transportes, prevê um procedimento de identificação e designação de ICE cuja perturbação ou destruição teria impactos transfronteiriços significativos em pelo menos dois Estados-Membros. Estabelece igualmente requisitos específicos de proteção dos operadores de ICE e das autoridades competentes dos Estados-Membros. Até à data, foram designadas 94 ICE, dois terços das quais estão localizadas em três Estados-Membros da Europa Central e Oriental. No entanto, o âmbito de ação da UE em matéria de resiliência de infraestruturas críticas estende-se para além destas medidas e inclui medidas setoriais e transetoriais, nomeadamente em matéria de resistência às alterações climáticas, proteção civil, investimento direto estrangeiro e cibersegurança. Entretanto, os próprios Estados-Membros tomaram as suas próprias medidas neste domínio de formas divergentes. É, portanto, evidente que o atual quadro de proteção de infraestruturas críticas não é suficiente para enfrentar os atuais desafios que se colocam às infraestruturas críticas e às entidades que as exploram. Dada a crescente interligação entre infraestruturas, redes e operadores que prestam serviços essenciais em todo o mercado interno, é necessário alterar fundamentalmente a atual abordagem de proteção de ativos específicos no sentido do reforço da resiliência das entidades críticas que os exploram. Nos últimos anos, o ambiente operacional em que as entidades críticas operam sofreu alterações significativas. Em primeiro lugar, o cenário de risco é mais complexo do que em 2008, envolvendo atualmente riscos naturais (em muitos casos exacerbados pelas alterações climáticas), ações híbridas patrocinadas pelo Estado, atos de terrorismo, ameaças internas, pandemias e acidentes (tais como acidentes industriais). Em segundo lugar, os operadores vêem-se confrontados com desafios na integração de novas tecnologias como as redes 5G e os veículos não tripulados nas suas operações, ao mesmo tempo que resolvem as vulnerabilidades que tais tecnologias poderiam potencialmente criar. Em terceiro lugar, estas tecnologias e outras tendências tornam os operadores cada vez mais dependentes uns dos outros. As implicações desta situação são claras – uma perturbação que afete a prestação de serviços por um operador num setor tem o potencial de gerar efeitos em cascata na prestação de serviços noutros setores, e também potencialmente noutros Estados-Membros ou em toda a União. Conforme demonstrado pela avaliação de 2019 da Diretiva ICE, as medidas europeias e nacionais em vigor comportam limitações no que se refere a ajudar os operadores a fazer face aos desafios operacionais que se lhes colocam atualmente e às vulnerabilidades que a sua natureza interdependente implica. Há várias razões para tal, conforme exposto na avaliação de impacto que apoiou o desenvolvimento da proposta. Em primeiro lugar, os operadores não estão plenamente conscientes ou não compreendem plenamente as implicações do cenário de risco dinâmico em que operam. Em segundo lugar, os esforços de resiliência divergem significativamente entre Estados-Membros e setores. Em terceiro lugar, tipos semelhantes de entidades são reconhecidos como sendo críticos por alguns Estados-Membros, mas não por outros, o que significa que entidades comparáveis recebem graus variáveis de apoio oficial ao reforço das capacidades (sob a forma, por exemplo, de orientações, formação e organização de exercícios), dependendo do local onde operam na União, e estão sujeitas a requisitos diferentes. O facto de os requisitos e o apoio governamental aos operadores variar de um Estado-Membro para outro cria obstáculos aos operadores quando atuam além-fronteiras, nomeadamente para as entidades críticas que operam em Estados-Membros com quadros mais rigorosos. Dada a natureza cada vez mais interligada da prestação de serviços e setores nos Estados-Membros e em toda a UE, um nível insuficiente de resiliência por parte de um operador representa um risco grave para entidades noutros pontos do mercado interno. Para além de comprometerem o bom funcionamento do mercado interno, as perturbações, especialmente aquelas com implicações transfronteiriças e potencialmente pan-europeias, têm possivelmente graves implicações negativas para os cidadãos, as empresas, os governos e o ambiente. De facto, a nível individual, as perturbações podem afetar a capacidade dos europeus de circular livremente, trabalhar e recorrer a serviços públicos essenciais como os cuidados de saúde. Em muitos casos, estes e outros serviços essenciais que estão na base da vida quotidiana são prestados por redes estreitamente interligadas de empresas europeias; uma perturbação numa empresa num setor pode ter efeitos em cascata em muitos outros setores económicos. Por último, perturbações como, por exemplo, cortes de energia em grande escala e acidentes de viação graves podem servir para comprometer a proteção e a segurança pública, provocando incerteza e minando a confiança em entidades críticas, bem como nas autoridades responsáveis pela sua supervisão e por manter a população segura e protegida. ·Coerência com as disposições existentes da mesma política setorial A presente proposta reflete as prioridades da Estratégia da UE para a União da Segurança, que apela a uma abordagem revista da resiliência das infraestruturas críticas que reflita melhor o cenário de risco atual e futuro previsto, as interdependências cada vez mais estreitas entre os diferentes setores e também as relações cada vez mais interdependentes entre infraestruturas físicas e digitais. A proposta de diretiva substitui a Diretiva ICE, tendo em conta e baseando-se noutros instrumentos existentes e previstos. A proposta de diretiva constitui uma alteração considerável em relação à Diretiva ICE, que se aplica apenas aos setores da energia e dos transportes, centra-se unicamente em medidas de proteção e prevê um procedimento de identificação e designação de ICE através do diálogo transfronteiriço. Em primeiro lugar, a proposta de diretiva teria um âmbito setorial muito mais vasto, abrangendo dez setores, nomeadamente os da energia, dos transportes, dos serviços bancários, das infraestruturas do mercado financeiro, da saúde, da água potável, das águas residuais, das infraestruturas digitais, da administração pública e do espaço. Em segundo lugar, a diretiva prevê um procedimento para os Estados-Membros identificarem entidades críticas utilizando critérios comuns com base numa avaliação nacional de riscos. Em terceiro lugar, a proposta estabelece obrigações para os Estados-Membros e as entidades críticas por eles identificadas, incluindo aquelas com especial relevância europeia, isto é, entidades críticas que prestam serviços essenciais a ou em mais de um terço dos Estados-Membros que estariam sujeitas a supervisão específica. Quando adequado, a Comissão prestará apoio às autoridades competentes e às entidades críticas no cumprimento das obrigações que lhes incumbem por força da diretiva. Além disso, o Grupo para a Resiliência das Entidades Críticas, que é um grupo de peritos da Comissão sujeito ao quadro horizontal aplicável a tais grupos, prestaria aconselhamento à Comissão e promoveria a cooperação estratégica e o intercâmbio de informações. Por último, uma vez que as interdependências não se detêm nas fronteiras externas da UE, é igualmente necessária uma colaboração com os países parceiros. A proposta de diretiva prevê a possibilidade de tal cooperação, por exemplo o domínio das avaliações de riscos. Coerência com outras políticas da União

A proposta de diretiva tem ligações óbvias e é coerente com outras iniciativas setoriais e transetoriais da UE, nomeadamente em matéria de resistência às alterações climáticas, proteção civil, o investimento direto estrangeiro (IDE), cibersegurança e acervo em matéria de serviços financeiros. Em particular, a proposta está estreitamente alinhada e estabelece sinergias estreitas com a Diretiva SRI 2 proposta, que visa reforçar a resiliência das tecnologias da informação e da comunicação (TIC) face a todos os riscos por parte das «entidades essenciais» e das «entidades importantes» que respeitam limiares específicos num grande número de setores. A presente proposta de diretiva relativa à resiliência das entidades críticas visa assegurar que as autoridades competentes designadas ao abrigo desta diretiva e aquelas designadas ao abrigo da Diretiva SRI 2 proposta adotam medidas complementares e trocam as informações necessárias sobre ciber-resiliência e resiliência a outros níveis, e que as entidades particularmente críticas nos setores considerados «essenciais» de acordo com a Diretiva SRI 2 proposta estão também sujeitas a obrigações mais gerais destinadas a reforçar a resiliência para fazer face a riscos não relacionados com a cibersegurança. A segurança física das redes e dos sistemas de informação das entidades do setor das infraestruturas digitais é abordada de forma abrangente na Diretiva SRI 2 proposta, como parte das obrigações de gestão dos riscos de cibersegurança e de notificação que incumbem a essas entidades. Além disso, a proposta baseia-se no acervo existente em matéria de serviços financeiros, que estabelece requisitos abrangentes a respeitar pelas entidades financeiras para gerir os riscos operacionais e assegurar a continuidade das atividades. Por conseguinte, as entidades pertencentes aos setores das infraestruturas digitais, dos serviços bancários e das infraestruturas financeiras devem ser tratadas como entidades equivalentes a entidades críticas nos termos da presente diretiva, para efeitos das obrigações e atividades dos Estados-Membros, embora a presente diretiva não imponha obrigações adicionais a essas entidades. A proposta tem igualmente em conta outras iniciativas setoriais e transetoriais, por exemplo, em matéria de proteção civil, redução do risco de catástrofes e adaptação às alterações climáticas. Além disso, a proposta reconhece que, em determinados casos, a legislação da UE em vigor impõe às entidades a obrigação de enfrentarem determinados riscos através de medidas de proteção. Nesses casos, por exemplo, em matéria de segurança aérea ou marítima, as entidades críticas devem descrever essas medidas nos seus planos de resiliência. Adicionalmente, a proposta de diretiva não prejudica a aplicação das regras em matéria de concorrência estabelecidas no Tratado sobre o Funcionamento da União Europeia (TFUE). 2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE ·Base jurídica Ao contrário da Diretiva 2008/114/CE, que se baseou no artigo 308.º do Tratado que institui a Comunidade Europeia (correspondente ao atual artigo 352.º do Tratado sobre o Funcionamento da União Europeia), a presente proposta de diretiva baseia-se no artigo 114.º do TFUE, que envolve a aproximação das legislações para a melhoria do mercado interno. Tal justifica-se pela alteração do objetivo, do âmbito de aplicação e do conteúdo da diretiva, pelo aumento das interdependências e pela necessidade de estabelecer condições de concorrência mais equitativas para as entidades críticas. Em vez de proteger um conjunto limitado de infraestruturas físicas cuja perturbação ou destruição teria um impacto transfronteiriço significativo, o objetivo consiste em aumentar a resiliência das entidades nos Estados-Membros que são críticas para a prestação de serviços essenciais para a manutenção de funções vitais para a sociedade ou de atividades económicas no mercado interno em vários setores subjacentes ao funcionamento de muitos outros setores da economia da União. Devido ao aumento das interdependências transfronteiriças entre os serviços prestados utilizando infraestruturas críticas nesses setores, uma perturbação num Estado-Membro pode ter implicações noutros Estados-Membros ou na União no seu conjunto. O atual quadro jurídico, tal como estabelecido a nível dos Estados-Membros, que regula os serviços em questão implica obrigações substancialmente divergentes, que são suscetíveis de aumentar. As regras nacionais divergentes a que as entidades críticas estão sujeitas não só comprometem a prestação fiável de serviços em todo o mercado interno, como também correm o risco de afetar negativamente a concorrência. Tal deve-se principalmente ao facto de tipos semelhantes de entidades que prestam tipos semelhantes de serviços serem consideradas críticas em alguns Estados-Membros, mas não noutros. Tal significa que as entidades que exercem as suas atividades, ou que pretendem exercê-las, em mais do que um Estado-Membro estão sujeitas a obrigações divergentes quando atuam no mercado interno e que as entidades ativas em Estados-Membros com requisitos mais rigorosos podem enfrentar obstáculos em comparação com as que exercem as suas atividades em Estados-Membros com enquadramentos mais flexíveis. Estas divergências são de tal ordem que têm um efeito negativo direto no funcionamento do mercado interno. ·Subsidiariedade Um quadro legislativo comum a nível europeu neste domínio justifica-se dada a natureza interdependente e transfronteiriça das relações entre as operações das infraestruturas críticas e as suas realizações, isto é, serviços essenciais. Com efeito, um operador situado num Estado-Membro pode prestar serviços em vários outros Estados-Membros ou em toda a UE através de redes estreitamente interligadas. Daqui decorre que uma perturbação que afete este operador pode ter efeitos profundos noutros setores e para além das fronteiras nacionais. As potenciais implicações pan-europeias das perturbações exigem uma ação a nível da UE. Além disso, regras nacionais divergentes resultam num efeito negativo direto sobre o funcionamento do mercado interno. Tal como demonstrado pela avaliação de impacto, muitos Estados-Membros e partes interessadas da indústria consideram necessária a adoção de uma abordagem europeia mais comum e coordenada destinada a assegurar que as entidades sejam suficientemente resilientes face a diferentes riscos que, embora algo diferentes de um Estado-Membro para outro, criam muitos desafios comuns que não podem ser enfrentados através de medidas nacionais ou pelos diferentes operadores de forma isolada. ·Proporcionalidade A proposta é proporcional em relação ao objetivo global declarado da iniciativa. Embora as obrigações que incumbem aos Estados-Membros e às entidades críticas possam, em determinados casos, implicar alguns encargos administrativos adicionais, por exemplo, quando os Estados-Membros necessitam de desenvolver uma estratégia nacional ou quando as entidades críticas têm de aplicar determinadas medidas técnicas e organizacionais, prevê-se que estas sejam, em geral, de natureza limitada. Neste contexto, note-se que muitas entidades já tomaram algumas medidas de segurança para proteger as suas infraestruturas e assegurar a continuidade das atividades. Em alguns casos, no entanto, o cumprimento da diretiva pode exigir investimentos mais substanciais. Mesmo nesses casos, porém, estes investimentos justificam-se na medida em que contribuiriam para uma maior resiliência sistémica e ao nível do operador, bem como para uma abordagem mais coerente e para uma maior capacidade de prestar serviços fiáveis em toda a União. Além disso, prevê-se que qualquer encargo adicional resultante da diretiva seja largamente ultrapassado pelos custos associados à necessidade de gerir e recuperar de grandes perturbações que ponham em risco a prestação ininterrupta de serviços relacionados com funções vitais para a sociedade e o bem-estar económico dos operadores, dos Estados-Membros considerados individualmente, da União e dos seus cidadãos em geral. ·Escolha do instrumento A proposta assume a forma de uma diretiva destinada a assegurar uma abordagem mais comum da resiliência das entidades críticas em vários setores em toda a União. A proposta estabelece obrigações específicas para as autoridades competentes, incumbindo-as de identificar as entidades críticas com base em critérios comuns e nos resultados da avaliação de riscos. Através de uma diretiva, é possível assegurar que os Estados-Membros apliquem uma abordagem uniforme na identificação das entidades críticas, tendo simultaneamente em conta as especificidades a nível nacional, incluindo os níveis variáveis de exposição ao risco e as interdependências entre setores e além-fronteiras. 3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO ·Avaliações ex post/balanços de qualidade da legislação existente Em 2019, a Diretiva Infraestruturas Críticas Europeias (ICE) foi objeto de uma avaliação destinada a avaliar a aplicação da diretiva em termos da sua pertinência, coerência, eficácia, eficiência, valor acrescentado da UE e sustentabilidade. A avaliação constatou que o contexto sofreu alterações consideráveis desde a entrada em vigor da diretiva. Tendo em conta estas alterações, considerou-se que a diretiva era apenas parcialmente pertinente. Embora a avaliação tenha concluído que a diretiva era, de um modo geral, coerente com a legislação setorial europeia pertinente e com a política a nível internacional, considerou-se que a mesma era apenas parcialmente eficaz devido à generalidade de algumas das suas disposições. Considerou-se que a diretiva gerou valor acrescentado da UE na medida em que alcançou resultados (isto é, um quadro comum para a proteção das ICE) que nem as iniciativas nacionais nem outras iniciativas europeias poderiam, de outra forma, ter alcançado sem dar início a processos muito mais morosos, dispendiosos e menos bem definidos. Dito isto, considerou-se que determinadas disposições tiveram um valor acrescentado limitado para muitos Estados-Membros. No que diz respeito à sustentabilidade, esperava-se que determinados efeitos gerados pela diretiva (por exemplo, debates transfronteiriços, requisitos em matéria de notificação) cessassem se a diretiva fosse revogada e não substituída. A avaliação concluiu que existe um apoio contínuo por parte dos Estados-Membros à participação da UE nos esforços para reforçar a resiliência das infraestruturas críticas, e que existe alguma preocupação de que a revogação pura e simples da diretiva possa ter efeitos negativos neste domínio, especificamente na proteção das ICE designadas. Os Estados-Membros fizeram questão de assegurar que a participação da União neste domínio continuasse a respeitar o princípio da subsidiariedade, apoiasse medidas a nível nacional e facilitasse a cooperação transfronteiriça, nomeadamente com países terceiros. ·Consultas das partes interessadas Aquando da elaboração da presente proposta, a Comissão consultou uma grande variedade de partes interessadas, nomeadamente: instituições e agências da União Europeia; organizações internacionais; autoridades dos Estados-Membros; entidades privadas, incluindo operadores individuais e associações industriais nacionais e europeias que representam operadores em muitos setores diferentes; peritos e redes de peritos, incluindo a rede europeia de referência para a proteção das infraestruturas críticas (ERNCIP); membros do meio académico; organizações não governamentais; e membros do público.

As partes interessadas foram consultadas através de diversos meios, nomeadamente: uma oportunidade para obter reações do público relativamente à avaliação de impacto inicial da presente proposta; seminários consultivos; questionários específicos; intercâmbios bilaterais; e uma consulta pública (para apoiar a avaliação de 2019 da Diretiva ICE). Além disso, o contratante externo responsável pelo estudo de viabilidade que apoiou a elaboração da avaliação de impacto envolveu consultas com muitas partes interessadas através, por exemplo, de um inquérito em linha, de um questionário escrito, de entrevistas individuais e de «visitas no terreno» virtuais em dez Estados-Membros. Estas consultas permitiram à Comissão explorar a eficácia, a eficiência, a pertinência, a coerência e o valor acrescentado da UE do quadro existente para a resiliência das infraestruturas críticas (isto é, a situação inicial), os problemas gerados pelo mesmo, diferentes opções estratégicas que poderiam ser tidas em consideração na abordagem destes problemas e os impactos específicos que se pode esperar que estas opções venham a ter. De um modo geral, as consultas apontaram para uma série de domínios em que se verificou um consenso geral entre as partes interessadas, nomeadamente no sentido de que o atual quadro da UE em matéria de resiliência das infraestruturas críticas deve ser renovado à luz das crescentes interdependências transetoriais e de um cenário de ameaças em mutação. Especificamente, as partes interessadas concordaram, de um modo geral, que qualquer nova abordagem deve consistir numa combinação de medidas vinculativas e não vinculativas, centrar-se na resiliência em vez de na proteção centrada nos ativos e proporcionar uma ligação mais óbvia entre as medidas destinadas a reforçar a ciber-resiliência e a resiliência a outros níveis. Além disso, apoiaram uma abordagem que tenha em conta as disposições da legislação setorial em vigor e abranja pelo menos os setores abrangidos pela atual Diretiva SRI, bem como obrigações mais uniformes para as entidades críticas a nível nacional, as quais, por sua vez, devem poder exercer um controlo de segurança suficiente do pessoal com acesso a instalações/informações sensíveis. Além disso, as partes interessadas sugeriram que qualquer nova abordagem deve criar oportunidades para os Estados-Membros levarem a cabo uma supervisão reforçada das atividades das entidades críticas, mas também assegurar que as entidades críticas de importância pan-europeia sejam identificadas e suficientemente resilientes. Por último, defenderam um maior financiamento e apoio da UE, por exemplo, à aplicação de qualquer novo instrumento, ao reforço das capacidades a nível nacional, à coordenação/cooperação público-privada e à partilha de boas práticas, conhecimentos e competências especializadas a diferentes níveis. A proposta em apreço contém disposições que geralmente correspondem às opiniões e preferências expressas pelas partes interessadas. ·Recolha e utilização de conhecimentos especializados Tal como mencionado na secção anterior, a Comissão recorreu a peritos externos no contexto das consultas efetuadas, por exemplo, junto de peritos independentes, redes de peritos e membros do meio académico para elaborar a presente proposta. ·Avaliação de impacto A avaliação de impacto que apoiou a elaboração desta iniciativa explorou diferentes opções estratégicas para abordar os problemas gerais e específicos descritos anteriormente. Para além da situação inicial, que não implicaria qualquer alteração em relação à situação atual, estas opções incluíam: –Opção 1: A manutenção da Diretiva ICE existente, acompanhada de medidas voluntárias no contexto do atual Programa Europeu de Proteção das Infraestruturas Críticas (PEPIC); –Opção 2: A revisão da Diretiva ICE existente para abranger os mesmos setores que a Diretiva SRI existente e para se concentrar mais na resiliência. A nova Diretiva ICE implicaria alterações no que se refere ao atual processo de designação de ICE transfronteiriças, incluindo novos critérios de designação, e novos requisitos para os Estados-Membros e operadores; –Opção 3: A substituição da Diretiva ICE existente por um novo instrumento destinado a reforçar a resiliência das entidades críticas nos setores considerados essenciais pela Diretiva SRI 2 proposta. Esta opção estabeleceria requisitos mínimos para os Estados-Membros e as entidades críticas identificadas no âmbito do novo quadro. Prever-se-ia um procedimento de identificação de entidades críticas que prestam serviços a ou em vários, se não todos os, Estados-Membros da UE. A aplicação da legislação seria apoiada por um polo de conhecimentos específico no seio da Comissão. –Opção 4: A substituição da Diretiva ICE existente por um novo instrumento destinado a reforçar a resiliência das entidades críticas nos setores considerados essenciais pela Diretiva SRI 2 proposta, bem como um papel mais substancial da Comissão na identificação das entidades críticas e a criação de uma agência da UE específica responsável pela resiliência das infraestruturas críticas (que assumiria as funções e responsabilidades atribuídas ao polo de conhecimentos proposto na opção anterior). Tendo em conta os vários impactos económicos, sociais e ambientais associados a cada uma das opções, mas também o seu valor em termos de eficácia, eficiência e proporcionalidade, a avaliação de impacto concluiu que a opção preferida era a opção 3. Embora as opções 1 e 2 não produzissem as alterações necessárias para resolver o problema, a opção 3 resultaria num quadro de resiliência harmonizado e mais abrangente que estaria igualmente alinhado com a legislação da União em vigor em domínios conexos e teria em consideração a mesma. A opção 3 foi igualmente considerada proporcional e politicamente viável, uma vez que se alinha com as declarações do Conselho e do Parlamento sobre a necessidade de ação a nível da União neste domínio. Além disso, esta opção foi considerada suscetível de assegurar flexibilidade e proporcionar um quadro duradouro que permitiria às entidades críticas responder a diferentes riscos ao longo do tempo. Por último, a avaliação de impacto concluiu que esta opção seria complementar dos quadros e instrumentos setoriais e transetoriais existentes. Por exemplo, esta opção permite que se façam concessões quando as entidades designadas cumpram determinadas obrigações contidas neste novo instrumento através de obrigações contidas em instrumentos existentes, caso em que não seriam obrigadas a tomar outras medidas. Por outro lado, esperar-se-ia que tomassem determinadas medidas quando os instrumentos existentes não abrangem a questão ou estão limitados apenas a determinados tipos de riscos ou medidas. A avaliação de impacto foi objeto de controlo pelo Comité de Controlo da Regulamentação, que emitiu um parecer positivo com reservas em 20 de novembro de 2020. O Comité apontou uma série de elementos da avaliação de impacto que devem ser abordados. Especificamente, o Comité solicitou mais esclarecimentos sobre os riscos relacionados com infraestruturas críticas e a dimensão transfronteiriça, a ligação entre a iniciativa e a revisão em curso da Diretiva SRI, e a relação entre a opção estratégica preferida e outros atos legislativos setoriais. Além disso, o Comité considerou necessária uma justificação suplementar para o alargamento do âmbito de aplicação setorial do instrumento e solicitou informações adicionais relativas aos critérios de seleção das entidades críticas. Por último, no que diz respeito à proporcionalidade, o Comité procurou obter esclarecimentos adicionais sobre a forma como a opção preferida conduziria a melhores respostas nacionais aos riscos transfronteiriços. Estas e outras observações mais pormenorizadas fornecidas pelo Comité foram abordadas na versão final da avaliação de impacto que, por exemplo, descreve mais pormenorizadamente os riscos transfronteiriços para as infraestruturas críticas e a relação entre a presente proposta e a proposta de Diretiva SRI 2. As observações do Comité foram igualmente tidas em conta na proposta de diretiva que se segue. ·Adequação da regulamentação e simplificação Em consonância com o programa para a adequação e a eficácia da regulamentação (REFIT) da Comissão, todas as iniciativas destinadas a alterar a legislação da UE em vigor devem procurar simplificar e concretizar os objetivos políticos declarados de forma mais eficiente. As conclusões da avaliação de impacto sugerem que a proposta deve reduzir o encargo global que recai sobre os Estados-Membros. Um alinhamento mais estreito com a abordagem orientada para os serviços da atual Diretiva SRI é suscetível de conduzir a uma redução dos custos de conformidade ao longo do tempo. Por exemplo, o oneroso processo de identificação e designação transfronteiriço contido na atual Diretiva ICE seria substituído por um procedimento baseado no risco a nível nacional destinado apenas a identificar entidades críticas sujeitas a várias obrigações. Com base na avaliação de riscos, os Estados-Membros identificariam entidades críticas, a maioria das quais já são operadores designados de serviços essenciais nos termos da atual Diretiva SRI. Além disso, ao tomarem medidas para aumentar a sua resiliência, as entidades críticas terão menos probabilidades de sofrer perturbações. Assim, a probabilidade de incidentes que provoquem perturbações que afetem negativamente a prestação de serviços essenciais em cada Estado-Membro e em toda a Europa seria reduzida. Este facto, aliado aos efeitos positivos resultantes da harmonização, a nível da União, das regras nacionais divergentes, teria um impacto positivo nas empresas, nomeadamente nas micro, pequenas e médias empresas, na saúde global da economia da União e no funcionamento fiável do mercado interno. ·Direitos fundamentais A legislação proposta destina-se a reforçar a resiliência das entidades críticas que prestam várias formas de serviços essenciais, eliminando simultaneamente os obstáculos regulamentares à sua capacidade de prestar os seus serviços em toda a União. Ao fazê-lo, o risco global de perturbações, tanto a nível social como individual, seria reduzido, bem como os encargos. Tal contribuiria para assegurar um nível mais elevado de segurança pública, afetando simultaneamente de forma positiva a liberdade de as empresas exercerem as suas atividades, bem como muitos outros operadores económicos dependentes da prestação de serviços essenciais, beneficiando, em última análise, os consumidores. Normalmente, as disposições da proposta destinadas a assegurar uma gestão eficaz da segurança dos funcionários envolverão o tratamento de dados pessoais. Tal justifica-se pela necessidade de efetuar verificações dos antecedentes de categorias específicas de pessoal. Além disso, qualquer tratamento de dados pessoais estará sempre sujeito ao cumprimento das regras da União em matéria de proteção de dados pessoais, incluindo o Regulamento Geral sobre a Proteção de Dados. 4.INCIDÊNCIA ORÇAMENTAL A proposta de diretiva tem implicações para o orçamento da União. Estima-se que os recursos financeiros totais necessários para apoiar a aplicação da presente proposta ascendam a 42,9 milhões de EUR para o período 2021-2027, dos quais 5,1 milhões de EUR para despesas administrativas. Estes custos podem ser repartidos da seguinte forma:

–atividades de apoio da Comissão incluindo recrutamento, projetos, estudos e atividades de apoio, –missões consultivas organizadas pela Comissão, –reuniões regulares do grupo para a resiliência das entidades críticas, do comité de comitologia e outras reuniões. Estão disponíveis informações mais pormenorizadas na ficha financeira legislativa que acompanha a presente proposta. 5.OUTROS ELEMENTOS ·Planos de execução e acompanhamento, avaliação e prestação de informações A aplicação da proposta de diretiva será revista quatro anos e meio após a sua entrada em vigor, após o que a Comissão apresentará um relatório ao Parlamento Europeu e ao Conselho. Este relatório avaliará em que medida os Estados-Membros tomaram as medidas necessárias para dar cumprimento à diretiva. A Comissão apresentará ao Parlamento Europeu e ao Conselho um relatório de avaliação do impacto e do valor acrescentado da diretiva até seis anos após a entrada em vigor da diretiva. ·Explicação pormenorizada das disposições específicas da proposta Objeto, âmbito de aplicação e definições (artigos 1.º a 2.º) O artigo 1.º define o objeto e o âmbito de aplicação da diretiva, que estabelece obrigações para os Estados-Membros no sentido de tomarem determinadas medidas destinadas a assegurar a prestação, no mercado interno, de serviços essenciais para a manutenção de funções sociais ou atividades económicas vitais, em particular a obrigação de identificar entidades críticas e permitir-lhes cumprir obrigações específicas destinadas a reforçar a sua resiliência e melhorar a sua capacidade de prestar esses serviços no mercado interno. A diretiva estabelece igualmente regras em matéria de supervisão e execução de entidades críticas e de supervisão específica de entidades críticas consideradas de especial relevância europeia. O artigo 1.º explica igualmente a relação entre a diretiva e outros atos pertinentes do direito da União, bem como as condições em que as informações confidenciais nos termos das regras da União e nacionais serão trocadas com a Comissão e com outras autoridades pertinentes. O artigo 2.º apresenta uma lista das definições aplicáveis. Quadros nacionais em matéria de resiliência das entidades críticas (artigos 3.º a 9.º) O artigo 3.º estabelece que os Estados-Membros devem adotar uma estratégia para reforçar a resiliência das entidades críticas, descreve os elementos que esta deve conter, explica que a estratégia em causa deve ser atualizada regularmente e sempre que necessário e estipula que os Estados-Membros devem comunicar as suas estratégias e quaisquer atualizações das suas estratégias à Comissão. O artigo 4.º estabelece que as autoridades competentes devem elaborar uma lista de serviços essenciais e efetuar regularmente uma avaliação de todos os riscos pertinentes que possam afetar a prestação desses serviços essenciais, com vista a identificar as entidades críticas. Esta avaliação deve ter em conta as avaliações de riscos efetuadas em conformidade com outros atos pertinentes do direito da União, os riscos decorrentes das dependências entre setores específicos e as informações disponíveis sobre incidentes. Os Estados-Membros devem assegurar que os elementos pertinentes da avaliação de riscos sejam disponibilizados às entidades críticas e que os dados sobre os tipos de riscos identificados e os resultados das suas avaliações de riscos sejam disponibilizados regularmente à Comissão. O artigo 5.º estabelece que os Estados-Membros devem identificar as entidades críticas em setores e subsetores específicos. O processo de identificação deve ter em conta os resultados da avaliação de riscos e aplicar critérios específicos. Os Estados-Membros devem elaborar uma lista de entidades críticas, que deve ser atualizada sempre que necessário e regularmente. As entidades críticas devem ser devidamente notificadas da sua identificação e das obrigações que a mesma implica. As autoridades competentes responsáveis pela aplicação da diretiva devem notificar as autoridades competentes responsáveis pela aplicação da Diretiva SRI 2 da identificação das entidades críticas. Sempre que uma entidade tenha sido identificada como crítica por dois ou mais Estados-Membros, os Estados-Membros devem consultar-se mutuamente com vista a reduzir os encargos que recaem sobre a entidade crítica. Sempre que as entidades críticas prestem serviços a ou em mais de um terço dos Estados-Membros, o Estado-Membro em causa deve notificar a Comissão das identidades dessas entidades críticas. O artigo 6.º define a expressão «efeito perturbador importante» tal como referido no artigo 5.º, n.º 2, e exige que os Estados-Membros apresentem à Comissão certas formas de informação relativas às entidades críticas por eles identificadas e à forma como as mesmas foram identificadas. O artigo 6.º habilita igualmente a Comissão, após consulta do Grupo para a Resiliência das Entidades Críticas, a adotar orientações pertinentes. O artigo 7.º estabelece que os Estados-Membros devem identificar entidades nos setores dos serviços bancários, das infraestruturas do mercado financeiro e das infraestruturas digitais que devem ser tratadas como equivalentes a entidades críticas apenas para efeitos do capítulo II. Estas entidades devem ser notificadas da sua identificação. O artigo 8.º estipula que cada Estado-Membro deve designar e assegurar que sejam disponibilizados recursos adequados a uma ou mais autoridades competentes responsáveis pela correta aplicação da diretiva a nível nacional, bem como um ponto de contacto único encarregado de assegurar a cooperação transfronteiriça. O ponto de contacto único deve apresentar regularmente à Comissão um relatório de síntese sobre as notificações de incidentes. O artigo 8.º exige que as autoridades competentes responsáveis pela aplicação da diretiva cooperem com outras autoridades nacionais pertinentes, nomeadamente com as autoridades competentes designadas nos termos da Diretiva SRI 2. O artigo 9.º estipula que os Estados-Membros devem prestar apoio às entidades críticas no sentido de assegurar a sua resiliência e facilitar a cooperação e o intercâmbio voluntário de informações e de boas práticas entre as autoridades competentes e as entidades críticas. Resiliência das entidades críticas (artigos 10.º a 13.º) O artigo 10.º estabelece que as entidades críticas devem avaliar regularmente todos os riscos pertinentes com base em avaliações de riscos nacionais e noutras fontes de informação pertinentes. O artigo 11.º estipula que as entidades críticas devem tomar medidas técnicas e organizacionais adequadas e proporcionadas para assegurar a sua resiliência, e devem assegurar que essas medidas sejam descritas num plano de resiliência ou documento(s) equivalente(s). Os Estados-Membros podem solicitar à Comissão que organize missões consultivas para aconselhar as entidades críticas no cumprimento das suas obrigações. O artigo 11.º habilita igualmente a Comissão, quando necessário, a adotar atos delegados e de execução. O artigo 12.º estabelece que os Estados-Membros devem assegurar que as entidades críticas possam apresentar pedidos de verificação de antecedentes de pessoas que se enquadram ou que possam vir a enquadrar-se em determinadas categorias específicas de pessoal, e que estes pedidos sejam avaliados rapidamente pelas autoridades responsáveis pela realização de tais verificações de antecedentes. O artigo descreve a finalidade, o âmbito e o conteúdo das verificações de antecedentes, devendo todos estes elementos estar em conformidade com o Regulamento Geral sobre a Proteção de Dados. O artigo 13.º estabelece que os Estados-Membros devem assegurar que as entidades críticas notifiquem a autoridade competente de incidentes que perturbem significativamente ou que sejam suscetíveis de perturbar significativamente as suas operações. Por sua vez, as autoridades competentes devem apresentar à entidade crítica notificadora as informações de acompanhamento pertinentes. Através do ponto de contacto único, as autoridades competentes devem igualmente informar os pontos de contacto únicos de outros Estados-Membros afetados, caso o incidente tenha, ou possa vir a ter, impactos transfronteiriços em um ou vários Estados-Membros.

Supervisão específica das entidades críticas de especial relevância europeia (artigos 14.º a 15.º) O artigo 14.º define entidades críticas de especial relevância europeia como entidades que foram identificadas como entidades críticas e que prestam serviços essenciais a ou em mais de um terço dos Estados-Membros. Ao receber a notificação nos termos do artigo 5.º, n.º 6, a Comissão deve informar a entidade em causa de que é considerada uma entidade crítica de especial relevância europeia, das obrigações que tal implica e da data a partir da qual essas obrigações começam a ser aplicáveis. O artigo 15.º descreve as disposições específicas em matéria de supervisão aplicáveis às entidades críticas de especial relevância europeia, que incluem, mediante pedido, que os Estados-Membros de acolhimento forneçam à Comissão e ao Grupo para a Resiliência das Entidades Críticas informações relativas à avaliação de riscos nos termos do artigo 10.º e às medidas tomadas em conformidade com o artigo 11.º, bem como a quaisquer medidas de supervisão ou de execução coerciva. O artigo 15.º estipula igualmente que a Comissão pode organizar missões consultivas para avaliar as medidas adotadas por entidades críticas específicas de especial relevância europeia. Com base numa análise das conclusões da missão consultiva pelo Grupo para a Resiliência das Entidades Críticas, a Comissão deve comunicar a sua opinião ao Estado-Membro em que se situa a infraestrutura da entidade sobre a questão de saber se essa entidade cumpre as suas obrigações e, se for caso disso, as medidas que poderão ser tomadas para melhorar a resiliência da entidade. O artigo descreve a composição, a organização e o financiamento das missões consultivas. Estipula igualmente que a Comissão deve adotar um ato de execução que estabeleça regras sobre as disposições processuais relativas à realização e aos relatórios das missões consultivas. Cooperação e apresentação de relatórios (artigos 16.º a 17.º) O artigo 16.º descreve o papel e as funções do Grupo para a Resiliência das Entidades Críticas, que deve ser composto por representantes dos Estados-Membros e da Comissão. O grupo deve apoiar a Comissão e facilitar a cooperação estratégica e o intercâmbio de informações. O artigo explica que a Comissão pode adotar atos de execução que estabeleçam as disposições processuais necessárias para o funcionamento do Grupo para a Resiliência das Entidades Críticas. O artigo 17.º estipula que a Comissão deve apoiar, quando adequado, os Estados-Membros e as entidades críticas no cumprimento das obrigações que lhes incumbem nos termos da diretiva, e deve complementar as atividades dos Estados-Membros referidas no artigo 9.º. Supervisão e execução coerciva (artigos 18.º a 19.º) O artigo 18.º estabelece que os Estados-Membros têm determinadas competências, meios e responsabilidades no que se refere a assegurar a aplicação e execução da diretiva. Os Estados-Membros devem assegurar que, quando uma autoridade competente avaliar a conformidade de uma entidade crítica, informe as autoridades competentes do Estado-Membro em causa designadas nos termos da Diretiva SRI 2, podendo solicitar a essas autoridades que avaliem a cibersegurança dessa entidade, devendo para o efeito cooperar e trocar informações. O artigo 19.º estabelece que, em conformidade com a prática consagrada, os Estados-Membros devem estabelecer as regras em matéria de sanções aplicáveis às violações e tomar todas as medidas necessárias para assegurar a sua aplicação. Disposições finais (artigos 20.º a 26.º) O artigo 20.º estabelece que a Comissão é assistida por um comité na aceção do Regulamento (UE) n.º 182/2011. É um artigo-tipo. O artigo 21.º confere à Comissão o poder de adotar atos delegados nas condições estabelecidas no artigo. Também este é um artigo-tipo. O artigo 22.º estabelece que a Comissão deve apresentar um relatório ao Parlamento Europeu e ao Conselho no qual avalie em que medida os Estados-Membros tomaram as medidas necessárias para dar cumprimento à diretiva. Deve ser apresentado regularmente ao Parlamento Europeu e ao Conselho um relatório no qual se avalie o impacto e o valor acrescentado da diretiva e se o âmbito de aplicação da diretiva deve ser alargado a outros setores ou subsetores, nomeadamente ao setor da produção, transformação e distribuição de géneros alimentícios. O artigo 23.º estabelece que a Diretiva 2008/114/CE é revogada com efeitos a partir da data de entrada em aplicação da diretiva. O artigo 24.º estabelece que os Estados-Membros devem adotar e publicar, no prazo fixado, as disposições legislativas, regulamentares e administrativas necessárias para dar cumprimento à diretiva, e informar do facto a Comissão. Os Estados-Membros devem comunicar à Comissão o texto das principais disposições de direito interno que adotarem no domínio abrangido pela presente diretiva. O artigo 25.º estabelece que a diretiva entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. O artigo 26.º estabelece que os destinatários da diretiva são os Estados-Membros.



2020/0365 (COD) Proposta de DIRETIVA DO PARLAMENTO EUROPEU E DO CONSELHO relativa à resiliência das entidades críticas O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA, Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.º, Tendo em conta a proposta da Comissão Europeia, Após transmissão do projeto de ato legislativo aos parlamentos nacionais, Tendo em conta o parecer do Comité Económico e Social Europeu, Tendo em conta o parecer do Comité das Regiões,

Deliberando de acordo com o processo legislativo ordinário, Considerando o seguinte: (1)A Diretiva 2008/114/CE do Conselho prevê um procedimento de designação de infraestruturas críticas europeias nos setores da energia e dos transportes cuja perturbação ou destruição teria um impacto transfronteiriço significativo em pelo menos dois Estados Membros. Essa diretiva centrou-se exclusivamente na proteção de tais infraestruturas. No entanto, a avaliação da Diretiva 2008/114/CE realizada em 2019 concluiu que, devido à natureza cada vez mais interligada e transfronteiriça das operações que utilizam infraestruturas críticas, as medidas de proteção relativas apenas a ativos individuais são insuficientes para evitar a ocorrência de todas as perturbações. Por conseguinte, é necessário alterar a abordagem no sentido de assegurar a resiliência das entidades críticas, ou seja, a sua capacidade de atenuar, absorver, se adaptar e recuperar de incidentes com potencial para perturbar as operações da entidade crítica. (2)Apesar das medidas em vigor a nível da União e a nível nacional destinadas a apoiar a proteção de infraestruturas críticas na União, as entidades que exploram essas infraestruturas não estão adequadamente equipadas para fazer face aos riscos atuais e futuros previstos para as suas operações que possam resultar em perturbações na prestação de serviços essenciais para o desempenho de funções sociais ou atividades económicas vitais. Tal deve-se a um cenário de ameaças dinâmico com uma ameaça terrorista em evolução e interdependências crescentes entre infraestruturas e setores, bem como a um aumento do risco físico devido a catástrofes naturais e a alterações climáticas, o que aumenta a frequência e a dimensão de eventos meteorológicos extremos e origina alterações a longo prazo no clima médio que podem reduzir a capacidade e a eficiência de determinados tipos de infraestruturas se não forem adotadas medidas de resiliência ou de adaptação às alterações climáticas. Além disso, alguns setores e tipos de entidades pertinentes não são reconhecidos consistentemente como críticos em todos os Estados-Membros. (3)Estas crescentes interdependências resultam do facto de uma rede de prestação de serviços com um caráter cada vez mais transfronteiriço e interdependente utilizar infraestruturas essenciais em toda a União nos setores da energia, dos transportes, dos serviços bancários, das infraestruturas do mercado financeiro, das infraestruturas digitais, da água potável e das águas residuais, da saúde, de determinados aspetos da administração pública, bem como no setor do espaço no que se refere à prestação de determinados serviços que dependem de infraestruturas terrestres detidas, geridas e operadas por Estados-Membros ou por entidades privadas, não abrangendo, portanto, as infraestruturas detidas, geridas ou operadas pela União ou em seu nome no âmbito dos seus programas espaciais. Em virtude destas interdependências, qualquer perturbação, mesmo que esteja inicialmente confinada a uma entidade ou a um setor, pode ter repercussões mais vastas e resultar em impactos negativos generalizados e duradouros na prestação de serviços em todo o mercado interno. A pandemia de COVID-19 revelou a vulnerabilidade das nossas sociedades, cada vez mais interdependentes, perante riscos com baixa probabilidade de ocorrência. (4)As entidades envolvidas na prestação de serviços essenciais estão cada vez mais sujeitas a requisitos divergentes impostos pelas legislações dos Estados-Membros. O facto de alguns Estados-Membros imporem requisitos de segurança menos rigorosos a estas entidades não só corre o risco de ter um impacto negativo na manutenção de funções sociais ou atividades económicas vitais em toda a União, como também conduz a obstáculos ao bom funcionamento do mercado interno. Tipos semelhantes de entidades são considerados críticos em alguns Estados-Membros mas não noutros, e as entidades que são identificadas como críticas estão sujeitas a requisitos divergentes em diferentes Estados-Membros. Tal resulta em encargos administrativos adicionais e desnecessários para as empresas que operam além-fronteiras, nomeadamente para as empresas ativas em Estados-Membros com requisitos mais rigorosos. (5)Por conseguinte, é necessário estabelecer regras mínimas harmonizadas para assegurar a prestação de serviços essenciais no mercado interno e reforçar a resiliência das entidades críticas. (6)A fim de alcançar esse objetivo, os Estados-Membros devem identificar as entidades críticas que devem estar sujeitas a requisitos específicos e a uma supervisão determinada, mas receber igualmente apoio e orientações especialmente concebidos com vista a alcançar um elevado nível de resiliência face a todos os riscos pertinentes. (7)Determinados setores da economia, como os da energia e dos transportes, já são ou poderão vir a ser regulamentados no futuro por atos setoriais específicos do direito da União que contêm regras relacionadas com determinados aspetos da resiliência das entidades que operam nesses setores. A fim de abordar, de forma abrangente, a resiliência das entidades críticas para o bom funcionamento do mercado interno, essas medidas setoriais específicas devem ser complementadas pelas previstas na presente diretiva, que cria um quadro global que aborda a resiliência das entidades críticas relativamente a todos os riscos, ou seja, naturais e de origem humana, acidentais e intencionais. (8)Dada a importância da cibersegurança para a resiliência das entidades críticas, e por uma questão de coerência, é necessária uma abordagem coerente entre a presente diretiva e a Diretiva (UE) XX/YY do Parlamento Europeu e do Conselho [Proposta de diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União (a seguir designada por «Diretiva SRI 2»)], sempre que possível. Tendo em conta a maior frequência e as características particulares dos riscos relacionados com a cibersegurança, a Diretiva SRI 2 impõe requisitos abrangentes a um vasto conjunto de entidades para assegurar a sua cibersegurança. Dado que a cibersegurança é suficientemente abordada na Diretiva SRI 2, as matérias por ela abrangidas devem ser excluídas do âmbito de aplicação da presente diretiva, sem prejuízo do regime específico aplicável às entidades do setor das infraestruturas digitais. (9)Quando as disposições de outros atos do direito da União exigirem que as entidades críticas avaliem os riscos pertinentes, tomem medidas para assegurar a sua resiliência ou notifiquem incidentes, e esses requisitos forem pelo menos equivalentes às obrigações correspondentes estabelecidas na presente diretiva, as disposições pertinentes da presente diretiva não são aplicáveis, a fim de evitar duplicações e encargos desnecessários. Nesse caso, devem aplicar-se as disposições pertinentes desses outros atos. Quando as disposições pertinentes da presente diretiva não forem aplicáveis, as suas disposições em matéria de supervisão e de execução coerciva também não serão aplicáveis. No entanto, os Estados-Membros devem incluir todos os setores enumerados no anexo na sua estratégia de reforço da resiliência das entidades críticas, na avaliação de riscos e nas medidas de apoio nos termos do capítulo II e ser capazes de identificar as entidades críticas nos setores em que as condições aplicáveis tenham sido cumpridas, tendo em conta o regime específico das entidades dos setores dos serviços bancários, das infraestruturas do mercado financeiro e das infraestruturas digitais. (10)A fim de assegurar uma abordagem abrangente da resiliência das entidades críticas, cada Estado-Membro deve adotar uma estratégia que estabeleça objetivos e medidas políticas a aplicar. Para o efeito, os Estados-Membros devem assegurar que as respetivas estratégias de cibersegurança preveem um quadro político para o reforço da cooperação entre a autoridade competente ao abrigo da presente diretiva e da Diretiva SRI 2 no contexto da partilha de informações sobre incidentes e ciberameaças e do exercício de atribuições de supervisão. (11)As ações dos Estados-Membros para identificar e ajudar a assegurar a resiliência das entidades críticas devem seguir uma abordagem baseada no risco que oriente os esforços para as entidades mais pertinentes para o desempenho de funções sociais ou atividades económicas vitais. A fim de assegurar essa abordagem orientada, cada Estado-Membro deve realizar, num quadro harmonizado, uma avaliação de todos os riscos naturais e de origem humana pertinentes que possam afetar a prestação de serviços essenciais, nomeadamente acidentes, catástrofes naturais, emergências de saúde pública, como pandemias, e ameaças antagónicas, incluindo infrações terroristas. Ao efetuarem essas avaliações de riscos, os Estados-Membros devem ter em conta outras avaliações de riscos gerais ou específicas do setor efetuadas nos termos de outros atos do direito da União, e devem ter em consideração as dependências entre setores, incluindo de outros Estados-Membros e de países terceiros. Os resultados da avaliação de riscos devem ser utilizados no processo de identificação de entidades críticas e para ajudar essas entidades a cumprir os requisitos em matéria de resiliência da presente diretiva. (12)A fim de assegurar que todas as entidades pertinentes estão sujeitas a esses requisitos e de reduzir as divergências a este respeito, é importante estabelecer regras harmonizadas que permitam uma identificação coerente das entidades críticas em toda a União, permitindo simultaneamente que os Estados-Membros reflitam as especificidades nacionais. Por conseguinte, devem ser estabelecidos critérios para identificar as entidades críticas. Por razões de eficácia, eficiência, coerência e segurança jurídica, devem igualmente ser estabelecidas regras adequadas em matéria de notificação e cooperação relacionadas com essa identificação, bem como com as consequências jurídicas da mesma. A fim de permitir à Comissão avaliar a correta aplicação da presente diretiva, os Estados-Membros devem apresentar à Comissão, da forma mais pormenorizada e específica possível, informações pertinentes e, em todo o caso, a lista de serviços essenciais, o número de entidades críticas identificadas para cada setor e subsetor referido no anexo e o(s) serviço(s) essencial(ais) prestado(s) por cada entidade, bem como quaisquer limiares aplicados. (13)Devem igualmente ser estabelecidos critérios para determinar o significado de um efeito perturbador produzido por tais incidentes. Esses critérios devem basear-se nos critérios previstos na Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, a fim de tirar partido dos esforços envidados pelos Estados-Membros para identificar esses operadores e da experiência adquirida neste contexto. (14)As entidades pertencentes ao setor das infraestruturas digitais baseiam-se essencialmente em redes e sistemas de informação e são abrangidas pelo âmbito de aplicação da Diretiva SRI 2, que aborda a segurança física de tais sistemas como parte das suas obrigações de gestão dos riscos de cibersegurança e de notificação. Uma vez que estas matérias são abrangidas pela Diretiva SRI 2, as obrigações da presente diretiva não se aplicam a essas entidades. Todavia, tendo em consideração a importância dos serviços prestados por entidades do setor das infraestruturas digitais para a prestação de outros serviços essenciais, os Estados-Membros devem identificar, com base nos critérios e recorrendo ao procedimento previsto na presente diretiva, mutatis mutandis, as entidades pertencentes ao setor das infraestruturas digitais que devem ser tratadas como equivalentes a entidades críticas apenas para efeitos do capítulo II, incluindo a disposição relativa ao apoio dos Estados-Membros para o reforço da resiliência dessas entidades. Consequentemente, tais entidades não devem estar sujeitas às obrigações estabelecidas nos capítulos III a VI. Uma vez que as obrigações que incumbem às entidades críticas estabelecidas no capítulo II de fornecer determinadas informações às autoridades competentes estão relacionadas com a aplicação dos capítulos III e IV, essas entidades também não devem estar sujeitas a essas obrigações. (15)O acervo da UE em matéria de serviços financeiros estabelece requisitos abrangentes aplicáveis às entidades financeiras no sentido de gerir todos os riscos que enfrentam, incluindo os riscos operacionais, e assegurar a continuidade das atividades. Tal inclui o Regulamento (UE) n.º 648/2012 do Parlamento Europeu e do Conselho, a Diretiva 2014/65/UE do Parlamento Europeu e do Conselho e o Regulamento (UE) n.º 600/2014 do Parlamento Europeu e do Conselho, bem como o Regulamento (UE) n.º 575/2013 do Parlamento Europeu e do Conselho e a Diretiva 2013/36/UE do Parlamento Europeu e do Conselho. A Comissão propôs recentemente complementar este quadro com o Regulamento XX/YYYY do Parlamento Europeu e do Conselho [proposta de Regulamento relativo à resiliência operacional digital do setor financeiro (a seguir designado por «Regulamento DORA»)], que estabelece requisitos para as empresas financeiras gerirem os riscos no domínio das TIC, incluindo a proteção das infraestruturas físicas de TIC. Uma vez que a resiliência das entidades enumeradas nos pontos 3 e 4 do anexo é amplamente abrangida pelo acervo da UE em matéria de serviços financeiros, essas entidades devem igualmente ser tratadas como equivalentes a entidades críticas apenas para efeitos do capítulo II da presente diretiva. Para assegurar uma aplicação coerente das regras em matéria de risco operacional e de resiliência digital no setor financeiro, o apoio dos Estados-Membros ao reforço da resiliência global das entidades financeiras equivalentes a entidades críticas deve ser assegurado pelas autoridades designadas nos termos do artigo 41.º do [Regulamento DORA] e sujeito aos procedimentos estabelecidos nessa legislação de uma forma plenamente harmonizada. (16)Os Estados-Membros devem designar autoridades competentes para supervisionar a aplicação das regras da presente diretiva e, se necessário, fazê-las cumprir, e assegurar que essas autoridades dispõem dos poderes e recursos adequados. Dadas as diferenças nas estruturas de governação nacionais e a fim de salvaguardar as disposições setoriais em vigor ou os organismos de supervisão e de regulamentação da União, bem como para evitar duplicações, os Estados-Membros devem poder designar mais do que uma autoridade competente. Nesse caso, devem, contudo, delinear claramente as respetivas funções das autoridades em causa e assegurar a cooperação harmoniosa e eficaz entre as mesmas. Todas as autoridades competentes devem igualmente cooperar, de um modo mais geral, com outras autoridades pertinentes, tanto a nível nacional como da União. (17)A fim de facilitar a cooperação e a comunicação transfronteiriças e permitir a aplicação efetiva da presente diretiva, cada Estado-Membro deve, sem prejuízo dos requisitos legais setoriais específicos da União, designar, no seio de uma das autoridades por si designadas como autoridades competentes nos termos da presente diretiva, um ponto de contacto único responsável pela coordenação das questões relacionadas com a resiliência das entidades críticas e a cooperação transfronteiriça a nível da União nesta matéria. (18)Dado que, nos termos da Diretiva SRI 2, as entidades identificadas como entidades críticas, bem como as entidades identificadas no setor das infraestruturas digitais que devem ser tratadas como equivalentes nos termos da presente diretiva, estão sujeitas aos requisitos de cibersegurança da Diretiva SRI 2, as autoridades competentes designadas nos termos das duas diretivas devem cooperar, particularmente no que diz respeito aos riscos e incidentes de cibersegurança que afetam essas entidades.

(19)Os Estados-Membros devem apoiar as entidades críticas no reforço da sua resiliência, no cumprimento das obrigações que lhes incumbem nos termos da presente diretiva, sem prejuízo da responsabilidade jurídica própria das entidades para assegurar esse cumprimento. Os Estados-Membros poderiam, nomeadamente, desenvolver materiais e metodologias de orientação, apoiar a organização de exercícios para testar a sua resiliência e proporcionar formação ao pessoal das entidades críticas. Além disso, dadas as interdependências entre entidades e setores, os Estados-Membros devem estabelecer instrumentos de partilha de informações para apoiar a partilha voluntária de informações entre entidades críticas, sem prejuízo da aplicação das regras em matéria de concorrência estabelecidas no Tratado sobre o Funcionamento da União Europeia. (20)A fim de poderem assegurar a sua resiliência, as entidades críticas devem ter um conhecimento abrangente de todos os riscos pertinentes a que estão expostas e analisar esses riscos. Para o efeito, devem efetuar avaliações de riscos, sempre que necessário, tendo em conta as suas circunstâncias particulares e a evolução desses riscos, mas em todo o caso de quatro em quatro anos. As avaliações de riscos realizadas pelas entidades críticas devem basear-se na avaliação de riscos realizada pelos Estados-Membros. (21)As entidades críticas devem tomar medidas organizacionais e técnicas adequadas e proporcionais aos riscos que enfrentam, de modo a prevenirem, resistirem, atenuarem, absorverem, se adaptarem e recuperarem de um incidente. Embora as entidades críticas devam tomar medidas sobre todos os pontos especificados na presente diretiva, os pormenores e a extensão das medidas devem refletir os diferentes riscos que cada entidade tenha identificado como parte da sua avaliação de riscos e as especificidades de tal entidade de forma adequada e proporcional. (22)Por razões de eficácia e de responsabilização, as entidades críticas devem descrever essas medidas com um nível de pormenor suficiente para alcançar esses objetivos, tendo em conta os riscos identificados, num plano de resiliência ou documento(s) equivalente(s) a um plano de resiliência, e aplicar esse plano na prática. Esse(s) documento(s) equivalente(s) pode(m) ser elaborado(s) em conformidade com os requisitos e as normas desenvolvidos no contexto de acordos internacionais em matéria de proteção física em que os Estados-Membros sejam partes, incluindo a Convenção sobre a Proteção Física dos Materiais e das Instalações Nucleares, conforme o caso. (23)O Regulamento (CE) n.º 300/2008 do Parlamento Europeu e do Conselho, o Regulamento (CE) n.º 725/2004 do Parlamento Europeu e do Conselho e a Diretiva 2005/65/CE do Parlamento Europeu e do Conselho estabelecem requisitos aplicáveis às entidades dos setores da aviação e dos transportes marítimos para prevenir incidentes causados por atos ilícitos e resistir a tais incidentes e atenuar as consequências dos mesmos. Embora as medidas exigidas na presente diretiva sejam mais amplas em termos de riscos abordados e de tipos de medidas a tomar, as entidades críticas nesses setores devem refletir no seu plano de resiliência ou documentos equivalentes as medidas tomadas em conformidade com esses atos da União. Além disso, ao aplicarem medidas de resiliência nos termos da presente diretiva, as entidades críticas podem ponderar fazer referência a orientações não vinculativas e a documentos de boas práticas desenvolvidos no âmbito de fluxos de trabalho setoriais, como a plataforma de segurança dos passageiros ferroviários da UE. (24)O risco de funcionários de entidades críticas fazerem uma utilização abusiva, por exemplo, dos seus direitos de acesso no seio da organização da entidade para prejudicar e causar danos é cada vez mais preocupante. Esse risco é exacerbado pelo fenómeno crescente de radicalização que conduz ao extremismo violento e ao terrorismo. Por conseguinte, é necessário permitir que as entidades críticas possam solicitar a verificação dos antecedentes das pessoas que se enquadrem em categorias específicas do seu pessoal e assegurar que esses pedidos são avaliados rapidamente pelas autoridades competentes, em conformidade com as regras aplicáveis da União e do direito nacional, nomeadamente em matéria de proteção de dados pessoais. (25)As entidades críticas devem notificar, logo que seja razoavelmente possível nas circunstâncias em questão, as autoridades competentes dos Estados-Membros de incidentes que perturbem significativamente ou que sejam suscetíveis de perturbar significativamente as suas operações. A notificação deve permitir às autoridades competentes responder aos incidentes de forma rápida e adequada e obter uma visão abrangente dos riscos globais que as entidades críticas enfrentam. Para o efeito, deve ser estabelecido um procedimento para a notificação de determinados incidentes e devem ser previstos parâmetros para determinar quando a perturbação real ou potencial é significativa e os incidentes devem, por conseguinte, ser notificados. Dados os potenciais impactos transfronteiriços de tais perturbações, deve ser estabelecido um procedimento que permita aos Estados-Membros informar outros Estados-Membros afetados através de pontos de contacto únicos. (26)Embora as entidades críticas operem geralmente como parte de uma rede cada vez mais interligada de prestação de serviços e infraestruturas e prestem, frequentemente, serviços essenciais em mais do que um Estado-Membro, algumas dessas entidades revestem-se de especial relevância para a União, uma vez que prestam serviços essenciais a um grande número de Estados-Membros e, por conseguinte, exigem uma supervisão específica a nível da União. Devem, pois, ser estabelecidas regras sobre a supervisão específica dessas entidades críticas de especial relevância europeia. Essas regras não prejudicam as regras em matéria de supervisão e de execução coerciva estabelecidas na presente diretiva. (27)Sempre que qualquer Estado-Membro considere que são necessárias informações adicionais para poder aconselhar uma entidade crítica no cumprimento das obrigações que lhe incumbem nos termos do capítulo III ou para avaliar o cumprimento dessas obrigações por parte de uma entidade crítica de especial relevância europeia, de comum acordo com o Estado-Membro em que a infraestrutura dessa entidade está localizada, a Comissão deve organizar uma missão consultiva para avaliar as medidas adotadas por essa entidade. A fim de garantir que tais missões consultivas sejam devidamente realizadas, devem ser estabelecidas regras complementares, nomeadamente no que se refere à sua organização e realização, ao seguimento a dar e às obrigações que incumbem às entidades críticas de especial relevância europeia em causa. As missões consultivas devem, sem prejuízo da necessidade de o Estado-Membro em que a missão consultiva é realizada e de a entidade em causa cumprirem as regras da presente diretiva, ser realizadas sob reserva das regras pormenorizadas da legislação desse Estado-Membro, por exemplo, sobre as condições precisas a preencher para obter acesso a instalações ou documentos pertinentes e sobre o recurso judicial. Os conhecimentos específicos necessários para a realização de tais missões podem, quando pertinente, ser solicitados através do Centro de Coordenação de Resposta de Emergência. (28)A fim de apoiar a Comissão e facilitar a cooperação estratégica e o intercâmbio de informações, incluindo boas práticas, sobre questões relacionadas com a presente diretiva, deve ser criado um Grupo para a Resiliência das Entidades Críticas, que é um grupo de peritos da Comissão. Os Estados-Membros devem esforçar-se por assegurar uma cooperação eficaz e eficiente dos representantes designados das suas autoridades competentes no Grupo para a Resiliência das Entidades Críticas. O grupo deve começar a desempenhar as suas funções seis meses após a entrada em vigor da presente diretiva, a fim de proporcionar meios adicionais para uma cooperação adequada durante o período de transposição da presente diretiva. (29)A fim de alcançar os objetivos da presente diretiva, e sem prejuízo da responsabilidade jurídica dos Estados-Membros e das entidades críticas de assegurar o cumprimento das respetivas obrigações nela estabelecidas, a Comissão deve, sempre que considerar adequado, empreender determinadas atividades de apoio destinadas a facilitar o cumprimento dessas obrigações. Aquando da prestação de apoio aos Estados-Membros e às entidades críticas no cumprimento das obrigações decorrentes da presente diretiva, a Comissão deve basear-se nas estruturas e instrumentos existentes, como os do Mecanismo de Proteção Civil da União Europeia e da rede europeia de referência para a proteção das infraestruturas críticas. (30)Os Estados-Membros devem assegurar que as suas autoridades competentes dispõem de determinados poderes específicos para assegurar a correta aplicação e execução da presente diretiva em relação a entidades críticas, sempre que essas entidades se encontrem sob a sua jurisdição, tal como especificado na presente diretiva. Esses poderes devem incluir, nomeadamente, o poder de realizar inspeções e auditorias, de supervisão, de exigir que as entidades críticas forneçam informações e elementos de prova relativos às medidas por si tomadas para cumprir as obrigações que lhes incumbem e, se necessário, de emitir ordens para corrigir as infrações identificadas. Ao emitir tais ordens, os Estados-Membros não devem exigir medidas que vão além do necessário e proporcionado para assegurar a conformidade da entidade crítica em causa, tendo especialmente em conta a gravidade da infração e a capacidade económica da entidade crítica. De um modo mais geral, esses poderes devem ser acompanhados de garantias adequadas e eficazes a especificar na legislação nacional, em conformidade com os requisitos decorrentes da Carta dos Direitos Fundamentais da União Europeia. Ao avaliar o cumprimento, por uma entidade crítica, das obrigações que lhe incumbem nos termos da presente diretiva, as autoridades competentes designadas nos termos da presente diretiva devem poder solicitar às autoridades competentes designadas nos termos da Diretiva SRI 2 que avaliem a cibersegurança dessas entidades. Essas autoridades competentes devem cooperar e trocar informações para o efeito. (31)A fim de ter em conta novos riscos, desenvolvimentos tecnológicos ou especificidades de um ou mais setores, o poder de adotar atos em conformidade com o artigo 290.º do Tratado sobre o Funcionamento da União Europeia deve ser delegado na Comissão para complementar as medidas de resiliência que as entidades críticas devem tomar, especificando mais pormenorizadamente algumas ou todas essas medidas. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional sobre legislar melhor de 13 de abril de 2016. Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados. (32)A fim de assegurar condições uniformes de execução da presente diretiva, devem ser atribuídas competências de execução à Comissão. Essas competências devem ser exercidas em conformidade com o Regulamento (UE) n.º 182/2011 do Parlamento Europeu e do Conselho. (33)Atendendo a que os objetivos da presente diretiva, a saber, assegurar a prestação, no mercado interno, de serviços essenciais para a manutenção de funções sociais ou atividades económicas vitais e reforçar a resiliência das entidades críticas que prestam tais serviços, não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido aos efeitos da ação considerada, ser mais eficazmente alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.º do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no referido artigo 5.º, a presente diretiva não excede o necessário para alcançar esses objetivos. (34)Por conseguinte, a Diretiva 2008/114/CE deve ser revogada, ADOTARAM A PRESENTE DIRETIVA: Capítulo I

Objeto, âmbito de aplicação e definições Artigo 1.º

Objeto e âmbito de aplicação

1.A presente diretiva: (a)Estabelece a obrigação de os Estados-Membros tomarem determinadas medidas destinadas a assegurar a prestação, no mercado interno, de serviços essenciais para a manutenção de funções sociais ou de atividades económicas vitais, em especial de identificarem as entidades críticas e as entidades que devem ser tratadas como equivalentes em certos aspetos, e de lhes permitir cumprir as suas obrigações; (b)Estabelece obrigações para as entidades críticas destinadas a reforçar a sua resiliência e a melhorar a sua capacidade de prestar esses serviços no mercado interno; (c)Estabelece regras em matéria de supervisão das entidades críticas e de execução coerciva, bem como de supervisão específica das entidades críticas consideradas de especial relevância europeia. 2.A presente diretiva não se aplica às matérias abrangidas pela Diretiva (UE) XX/YY [proposta de diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União («Diretiva SRI 2»)], sem prejuízo do artigo 7.º. 3.Nos casos em que disposições de atos jurídicos setoriais da União exijam que as entidades críticas tomem medidas tal como estabelecidas no capítulo III, e se tais exigências forem pelo menos equivalentes às obrigações estabelecidas na presente diretiva, as disposições pertinentes desta última, incluindo as disposições em matéria de supervisão e execução coerciva estabelecidas no capítulo VI, não se aplicam. 4.Sem prejuízo do artigo 346.º do TFUE, as informações classificadas como confidenciais nos termos de regras da União e de regras nacionais, tais como as regras em matéria de sigilo comercial, só podem ser trocadas com a Comissão e com outras autoridades competentes nos casos em que esse intercâmbio seja necessário para efeitos de aplicação da presente diretiva. As informações trocadas devem limitar-se ao que for pertinente e proporcionado em relação ao objetivo desse intercâmbio. O intercâmbio de informações deve preservar a confidencialidade dessas informações e salvaguardar a segurança e os interesses comerciais das entidades críticas. Artigo 2.º

Definições Para efeitos da presente diretiva, entende-se por: (1)«Entidade crítica», uma entidade pública ou privada de um dos tipos referidos no anexo, que tenha sido identificada como tal por um Estado-Membro nos termos do artigo 5.º; (2)«Resiliência», a capacidade de prevenir, resistir, atenuar, absorver, adaptar-se e recuperar de um incidente que perturbe ou tenha potencial para perturbar as operações de uma entidade crítica; (3)«Incidente», qualquer evento com potencial para perturbar ou que perturba as operações de uma entidade crítica; (4) «Infraestrutura», um ativo, um sistema ou parte deste, necessário para a prestação de um serviço essencial; (5) «Serviço essencial», um serviço que é essencial para a manutenção de funções sociais ou de atividades económicas vitais; (6)«Risco», uma circunstância ou um evento com um efeito adverso potencial na resiliência das entidades críticas; (7)«Avaliação de riscos», uma metodologia para determinar a natureza e o alcance de um risco, analisando potenciais ameaças e perigos e avaliando as condições de vulnerabilidade existentes suscetíveis de perturbar as operações de uma entidade crítica. Capítulo II

Quadros nacionais para reforçar a resiliência das entidades críticas Artigo 3.º

Estratégia para a resiliência das entidades críticas 1.Cada Estado-Membro deve adotar, até [três anos após a entrada em vigor da presente diretiva], uma estratégia para reforçar a resiliência das entidades críticas. Tal estratégia deve estabelecer objetivos e medidas estratégicos com vista a alcançar e manter um elevado nível de resiliência dessas entidades críticas e abranger, pelo menos, os setores referidos no anexo.

2.A referida estratégia deve contemplar, pelo menos, os seguintes elementos: (a)Objetivos e prioridades estratégicos no intuito de reforçar a resiliência global das entidades críticas, tendo em conta as interdependências transfronteiriças e transetoriais; (b)Um quadro de governação para alcançar os objetivos e prioridades estratégicos, incluindo uma descrição das funções e responsabilidades das diferentes autoridades, entidades críticas e outras partes envolvidas na execução da estratégia; (c)Uma descrição das medidas necessárias para reforçar a resiliência global das entidades críticas, incluindo uma avaliação nacional dos riscos, a identificação das entidades críticas e das entidades equivalentes a entidades críticas, bem como as medidas de apoio às entidades críticas tomadas em conformidade com o presente capítulo; (d)Um quadro estratégico para reforçar a coordenação entre as autoridades competentes designadas nos termos do artigo 8.º da presente diretiva e nos termos da [Diretiva SRI 2] para efeitos de partilha de informações sobre incidentes e ciberameaças e do exercício de funções de supervisão. A estratégia deve ser atualizada sempre que necessário e, pelo menos, de quatro em quatro anos. 3.Os Estados-Membros devem comunicar as suas estratégias, e eventuais atualizações das mesmas, à Comissão no prazo de três meses a contar da sua adoção. Artigo 4.º

Avaliação de riscos pelos Estados-Membros 1.As autoridades competentes designadas nos termos do artigo 8.º devem estabelecer uma lista dos serviços essenciais nos setores referidos no anexo. Devem efetuar, até [três anos após a entrada em vigor da presente diretiva] e, subsequentemente quando necessário, e pelo menos de quatro em quatro anos, uma avaliação de todos os riscos relevantes suscetíveis de afetar a prestação desses serviços essenciais, com vista a identificar as entidades críticas em conformidade com o artigo 5.º, n.º 1, bem como a ajudar essas entidades críticas a tomar medidas nos termos do artigo 11.º. A avaliação de riscos deve ter em conta todos os riscos naturais e de origem humana relevantes, incluindo acidentes, catástrofes naturais, emergências de saúde pública, ameaças antagonistas, incluindo infrações terroristas, na aceção da Diretiva (UE) 2017/541 do Parlamento Europeu e do Conselho. 2.Ao efetuar a avaliação dos riscos, os Estados-Membros devem ter em conta, no mínimo: (a)A avaliação geral de riscos realizada nos termos do artigo 6.º, n.º 1, da Decisão 1313/2013/UE do Parlamento Europeu e do Conselho; (b)Outras avaliações de riscos relevantes, realizadas em conformidade com os requisitos dos atos setoriais pertinentes do direito da União, nomeadamente o Regulamento (UE) 2019/941 do Parlamento Europeu e do Conselho e o Regulamento (UE) 2017/1938 do Parlamento Europeu e do Conselho; (c)Quaisquer riscos decorrentes das dependências entre os setores referidos no anexo, inclusive de outros Estados-Membros e de países terceiros, e o impacto que uma perturbação num setor pode ter noutros setores; (d)Quaisquer informações sobre incidentes notificados em conformidade com o artigo 13.º. Para efeitos do primeiro parágrafo, alínea c), os Estados-Membros devem cooperar com as autoridades competentes de outros Estados-Membros e países terceiros, consoante o caso. 3.Os Estados-Membros devem disponibilizar os elementos relevantes da avaliação de riscos a que se refere o n.º 1 às entidades críticas que identificaram nos termos do artigo 5.º, a fim de as ajudar a efetuar a sua avaliação de riscos, em conformidade com o artigo 10.º, e a tomar medidas para assegurar a sua resiliência tal como disposto no artigo 11.º. 4.Cada Estado-Membro deve fornecer à Comissão dados sobre os tipos de riscos identificados e os resultados das avaliações de riscos, por setor e subsetor referidos no anexo, até [três anos após a entrada em vigor da presente diretiva] e, subsequentemente quando necessário, e pelo menos de quatro em quatro anos. 5.A Comissão pode, em cooperação com os Estados-Membros, elaborar um modelo comum de comunicação voluntária para efeitos do cumprimento do disposto no n.º 4. Artigo 5.º

Identificação das entidades críticas

1.Até [três anos e três meses após a entrada em vigor da presente diretiva], os Estados-Membros devem identificar as entidades críticas para cada setor e subsetor referido no anexo, com exceção dos pontos 3, 4 e 8. 2.Ao identificarem as entidades críticas nos termos do n.º 1, os Estados-Membros devem ter em conta os resultados da avaliação de riscos, realizada em conformidade com o artigo 4.º, e aplicar os seguintes critérios: (a)A entidade presta um ou mais serviços essenciais; (b)A prestação desse serviço depende da infraestrutura localizada no Estado-Membro; e (c)Um incidente teria efeitos perturbadores significativos sobre a prestação do serviço ou de outros serviços essenciais nos setores referidos no anexo que dependem do serviço. 3.Cada Estado-Membro deve elaborar uma lista das entidades críticas identificadas e assegurar que essas entidades críticas são notificadas da sua identificação como entidades críticas no prazo de um mês a contar dessa identificação, informando-as das suas obrigações por força dos capítulos II e III e da data a partir da qual as disposições desses capítulos lhes são aplicáveis. As disposições do presente capítulo são aplicáveis às entidades críticas em causa a partir da data da notificação e as disposições do capítulo III são aplicáveis seis meses após essa data. 4.Os Estados-Membros devem assegurar que as suas autoridades competentes designadas nos termos do artigo 8.º da presente diretiva notificam às autoridades competentes designadas pelos Estados-Membros nos termos do artigo 8.º da [Diretiva SRI 2] a identidade das entidades críticas que tiverem identificado nos termos do presente artigo no prazo de um mês a contar da referida identificação. 5.Na sequência da notificação a que se refere o n.º 3, os Estados-Membros devem assegurar que as entidades críticas comunicam às respetivas autoridades competentes designadas nos termos do artigo 8.º da presente diretiva se foram identificadas como entidades críticas num ou mais Estados-Membros. Sempre que uma entidade tiver sido identificada como crítica por dois ou mais Estados-Membros, estes devem proceder a consultas entre si com vista a reduzir os encargos que recaem sobre a entidade crítica no que diz respeito às obrigações previstas no capítulo III. 6.Para efeitos do capítulo IV, os Estados-Membros devem assegurar que as entidades críticas, na sequência da notificação a que se refere o n.º 3, comunicam às respetivas autoridades competentes designadas nos termos do artigo 8.º da presente diretiva se prestam serviços essenciais a, ou em, mais de um terço dos Estados-Membros. Nesse caso, o Estado-Membro em causa deve notificar à Comissão, sem demora injustificada, a identidade dessas entidades críticas. 7.Os Estados-Membros devem, se necessário e, em qualquer caso, pelo menos de quatro em quatro anos, rever e, se for caso disso, atualizar a lista das entidades críticas identificadas. Caso essas atualizações conduzam à identificação de outras entidades críticas, aplicam-se os n.os 3, 4, 5 e 6. Além disso, os Estados-Membros devem assegurar que as entidades que deixarem de ser identificadas como entidades críticas de acordo com essas atualizações são notificadas e informadas de que deixam de estar sujeitas às obrigações previstas no capítulo III a partir da receção dessa informação. Artigo 6.º

Efeito perturbador significativo 1.Ao determinar a importância de um efeito perturbador tal como referido no artigo 5.º, n.º 2, alínea c), os Estados-Membros têm em conta os seguintes critérios: (a)O número de utilizadores que dependem do serviço prestado pela entidade; (b)A dependência de outros setores referidos no anexo em relação a esse serviço; (c)O possível impacto dos incidentes, em termos de intensidade e duração, sobre as atividades económicas e sociais, o ambiente e a segurança pública; (d)A quota de mercado da entidade no mercado desses serviços; (e)A zona geográfica suscetível de ser afetada por um incidente, incluindo eventuais impactos transfronteiriços; (f)A importância da entidade na manutenção de um nível de serviço suficiente, tendo em conta a disponibilidade de meios alternativos para a prestação desse serviço.

2.Os Estados-Membros devem apresentar à Comissão, até [três anos e três meses após a entrada em vigor da presente diretiva], as seguintes informações: (a)A lista dos serviços a que se refere o artigo 4.º, n.º 1; (b)O número de entidades críticas identificadas para cada setor e subsetor referidos no anexo e o serviço ou serviços a que se refere o artigo 4.º, n.º 1, prestados por cada entidade; (c)Quaisquer limiares aplicados para especificar um ou mais dos critérios referidos no n.º 1. Subsequentemente, os Estados-Membros devem transmitir essas informações sempre que necessário e, pelo menos, de quatro em quatro anos. 3.A Comissão pode, após consulta do Grupo para a Resiliência das Entidades Críticas, adotar orientações com vista a facilitar a aplicação dos critérios referidos no n.º 1, tendo em conta as informações referidas no n.º 2. Artigo 7.º

Entidades equivalentes a entidades críticas ao abrigo do presente capítulo 1. No que respeita aos setores referidos nos pontos 3, 4 e 8 do anexo, os Estados-Membros devem, até [três anos e três meses após a entrada em vigor da presente diretiva], identificar as entidades que devem ser tratadas como equivalentes a entidades críticas para efeitos do presente capítulo. Os Estados-Membros devem aplicar a essas entidades o disposto nos artigos 3.º e 4.º, no artigo 5.º, n.os 1 a 4 e 7, e no artigo 9.º. 2. No que respeita às entidades dos setores referidos nos pontos 3 e 4 do anexo identificadas nos termos do n.º 1, os Estados-Membros devem assegurar que, para efeitos da aplicação do artigo 8.º, n.º 1, as autoridades designadas como autoridades competentes são as autoridades competentes designadas nos termos do artigo 41.º do [Regulamento DORA]. 3. Os Estados-Membros devem assegurar que as entidades a que se refere o n.º 1 são, sem demora injustificada, notificadas da sua identificação como entidades a que se refere o presente artigo. Artigo 8.º

Autoridades competentes e ponto de contacto único 1.Cada Estado-Membro deve designar uma ou mais autoridades competentes responsáveis pela correta aplicação e, se necessário, pela execução coerciva do disposto na presente diretiva a nível nacional («autoridade competente»). Os Estados-Membros podem designar uma ou mais autoridades existentes. Sempre que designarem mais do que uma autoridade, devem definir claramente as respetivas funções e assegurar que estas cooperam eficazmente no desempenho das suas funções ao abrigo da presente diretiva, nomeadamente no que diz respeito à designação e às atividades do ponto de contacto único a que se refere o n.º 2. 2.Cada Estado-Membro deve designar, no âmbito da autoridade competente, um ponto de contacto único para exercer uma função de ligação com vista a assegurar a cooperação transfronteiriça com as autoridades competentes de outros Estados-Membros e com o Grupo para a Resiliência das Entidades Críticas a que se refere o artigo 16.º («ponto de contacto único»). 3.Até [três anos e seis meses após a entrada em vigor da presente diretiva] e, posteriormente, todos os anos, os pontos de contacto únicos devem apresentar um relatório de síntese à Comissão e ao Grupo para a Resiliência das Entidades Críticas sobre as notificações recebidas, incluindo o número de notificações, a natureza dos incidentes notificados e as medidas tomadas em conformidade com o artigo 13.º, n.º 3. 4.Cada Estado-Membro deve assegurar que a autoridade competente, incluindo o ponto de contacto único designado no seu âmbito, dispõe dos poderes e dos recursos financeiros, humanos e técnicos adequados para desempenhar, de forma eficaz e eficiente, as funções que lhe são atribuídas. 5.Os Estados-Membros devem assegurar que as suas autoridades competentes, sempre que adequado e em conformidade com o direito da União e o direito nacional, consultam e cooperam com outras autoridades nacionais pertinentes, em especial as autoridades responsáveis pela proteção civil, pela aplicação da lei e pela proteção dos dados pessoais, bem como com as partes interessadas pertinentes, incluindo as entidades críticas. 6.Os Estados-Membros devem assegurar que as suas autoridades competentes designadas nos termos do presente artigo cooperam com as autoridades competentes designadas nos termos da [Diretiva SRI 2] no que diz respeito aos riscos de cibersegurança e aos ciberincidentes que afetam as entidades críticas, bem como às medidas tomadas pelas autoridades competentes designadas ao abrigo da [Diretiva SRI 2] relevantes para as entidades críticas. 7.Cada Estado-Membro deve notificar à Comissão a designação da autoridade competente e do ponto de contacto único no prazo de três meses a contar dessa designação, incluindo as suas funções e responsabilidades precisas ao abrigo da presente diretiva, os seus dados de contacto e eventuais alterações subsequentes. Cada Estado-Membro deve tornar pública a sua designação da autoridade competente e do ponto de contacto único. 8.A Comissão deve publicar uma lista dos pontos de contacto únicos dos Estados-Membros.

Artigo 9.º

Apoio dos Estados-Membros às entidades críticas 1.Os Estados-Membros devem apoiar as entidades críticas no reforço da sua resiliência. Esse apoio pode incluir o desenvolvimento de materiais e metodologias de orientação, ajuda à organização de exercícios para testar a sua resiliência e a prestação de formação ao pessoal das entidades críticas. 2.Os Estados-Membros devem assegurar que as autoridades competentes cooperam e trocam informações e boas práticas com as entidades críticas dos setores referidos no anexo. 3.Os Estados-Membros devem criar instrumentos de partilha de informações para apoiar a partilha voluntária de informações entre entidades críticas sobre as matérias abrangidas pela presente diretiva, em conformidade com o direito da União e o direito nacional, em especial sobre a concorrência e a proteção de dados pessoais. Capítulo III

Resiliência das entidades críticas Artigo 10.º

Avaliação de riscos pelas entidades críticas Os Estados-Membros devem assegurar que as entidades críticas avaliam, no prazo de seis meses após a receção da notificação a que se refere o artigo 5.º, n.º 3, e subsequentemente quando necessário, e pelo menos de quatro em quatro anos, com base nas avaliações de riscos dos Estados-Membros e noutras fontes de informação pertinentes, todos os riscos relevantes suscetíveis de perturbar as suas operações. A avaliação de riscos deve ter em conta todos os riscos relevantes a que se refere o artigo 4.º, n.º 1, suscetíveis de perturbar a prestação de serviços essenciais. Tal avaliação deve ter em conta a eventual dependência de outros setores referidos no anexo do serviço essencial prestado pela entidade crítica, incluindo nos Estados-Membros vizinhos e países terceiros, se for caso disso, e o impacto que uma perturbação da prestação de serviços essenciais num ou mais desses setores pode ter no serviço essencial prestado pela entidade crítica. Artigo 11.º

Medidas de resiliência das entidades críticas 1.Os Estados-Membros devem assegurar que as entidades críticas tomam medidas técnicas e organizativas adequadas e proporcionadas para garantir a sua resiliência, incluindo as medidas necessárias para: (a)Prevenir a ocorrência de incidentes, nomeadamente através da redução do risco de catástrofes e de medidas de adaptação às alterações climáticas; (b)Assegurar uma proteção física adequada das zonas, instalações e outras infraestruturas sensíveis, nomeadamente através de vedações, barreiras, ferramentas e rotinas de vigilância do perímetro, bem como de equipamento de deteção e de controlo do acesso; (c)Resistir e atenuar as consequências dos incidentes, designadamente aplicando procedimentos e protocolos de gestão de riscos e de crises e rotinas de alerta; (d)Recuperar de incidentes, nomeadamente através da adoção de medidas de continuidade das atividades e da identificação de cadeias de abastecimento alternativas; (e)Assegurar uma gestão adequada da segurança dos trabalhadores, nomeadamente através da definição das categorias de pessoal que exercem funções críticas, do estabelecimento de direitos de acesso a zonas, instalações e outras infraestruturas sensíveis e a informações sensíveis, bem como da identificação de categorias específicas de pessoal, tendo em conta o disposto no artigo 12.º; (f)Sensibilizar o pessoal relevante para as medidas referidas nas alíneas a) a e). 2.Os Estados-Membros devem assegurar que as entidades críticas implementam e aplicam um plano de resiliência ou um documento equivalente, descrevendo em pormenor as medidas previstas no n.º 1. Caso as entidades críticas tenham tomado medidas em conformidade com as obrigações previstas noutros atos jurídicos da União que sejam igualmente relevantes para as medidas referidas no n.º 1, estas devem descrever igualmente tais medidas no plano de resiliência ou no documento ou documentos equivalentes. 3.A pedido do Estado-Membro que identificou a entidade crítica em causa e com o acordo desta, a Comissão deve organizar missões consultivas, em conformidade com o disposto no artigo 15.º, n.os 4, 5, 7 e 8, com vista a ajudar a referida entidade crítica a cumprir as suas obrigações nos termos do capítulo III. A missão consultiva deve comunicar as suas conclusões à Comissão, ao Estado-Membro e à entidade crítica em causa. 4.A Comissão está habilitada a adotar atos delegados em conformidade com o artigo 21.º, em complemento do n.º 1, estabelecendo regras pormenorizadas que especificam algumas ou todas as medidas a tomar nos termos do referido número. A Comissão deve adotar esses atos delegados na medida do necessário para a aplicação efetiva e coerente desse número, em conformidade com os objetivos da presente diretiva, tendo em conta qualquer evolução pertinente dos riscos, da tecnologia ou da prestação dos serviços em causa, bem como quaisquer especificidades relacionadas com determinados setores e tipos de entidades.

5.A Comissão deve adotar atos de execução a fim de estabelecer as especificações técnicas e metodológicas necessárias para a aplicação das medidas a que se refere o n.º 1. Os referidos atos de execução devem ser adotados em conformidade com o procedimento de exame a que se refere o artigo 20.º, n.º 2. Artigo 12.º

Verificação de antecedentes 1.Os Estados-Membros devem assegurar que as entidades críticas podem apresentar pedidos de verificação dos antecedentes de pessoas pertencentes a determinadas categorias específicas do seu pessoal, incluindo pessoas suscetíveis de serem recrutadas para cargos abrangidos por essas categorias, e que esses pedidos são prontamente avaliados pelas autoridades competentes para a realização dessas verificações de antecedentes. 2.Em conformidade com o direito da União e o direito nacional aplicáveis, nomeadamente o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, a verificação de antecedentes a que se refere o n.º 1 deve: (a)Estabelecer a identidade da pessoa com base em provas documentais; (b)Abranger os registos criminais, pelo menos, dos cinco anos anteriores e, no máximo, de dez anos, relativos a crimes relevantes para o recrutamento num posto específico, no Estado-Membro ou Estados-Membros de nacionalidade da pessoa e em cada um dos Estados-Membros ou países terceiros de residência durante esse período; (c)Abranger os empregos anteriores, a formação académica e quaisquer lacunas na formação ou no emprego no currículo apresentado pela pessoa em causa durante, pelo menos, os cinco anos anteriores e durante um máximo de dez anos. No que se refere ao primeiro parágrafo, alínea b), os Estados-Membros devem assegurar que as suas autoridades competentes para efetuar verificações de antecedentes obtêm as informações sobre os registos criminais de outros Estados-Membros