V prípade potreby by Komisia poskytla príslušným orgánom a kritickým subjektom podporu pri plnení ich povinností vyplývajúcich z tejto smernice. Skupina pre odolnosť kritických subjektov, ktorá je expertnou skupinou Komisie podliehajúcou horizontálnemu rámcu vzťahujúcemu sa na takéto skupiny, by okrem toho poskytovala Komisii poradenstvo a podporovala by strategickú spoluprácu a výmenu informácií. Napokon, keďže vzájomná závislosť nekončí na vonkajších hraniciach Európskej únie, je potrebná aj spolupráca s partnerskými krajinami. V navrhovanej smernici sa stanovuje možnosť takejto spolupráce, napríklad v oblasti posudzovania rizík.

Navrhovaná smernica nahrádza smernicu ECI a zároveň zohľadňuje iné existujúce a plánované nástroje a vychádza z nich. Navrhovaná smernica predstavuje podstatnú zmenu v porovnaní so smernicou ECI, ktorá sa vzťahuje len na odvetvia energetiky a dopravy, zameriava sa výlučne na ochranné opatrenia a stanovuje postup na identifikáciu a označovanie európskych kritických infraštruktúr prostredníctvom cezhraničného dialógu. V prvom rade by navrhovaná smernica mala mať oveľa širší rozsah pôsobnosti, ktorý by zahŕňal desať odvetví, a to energetiku, dopravu, bankovníctvo, infraštruktúru finančného trhu, zdravotníctvo, pitnú vodu, odpadovú vodu, digitálnu infraštruktúru, verejnú správu a vesmírny priestor. Po druhé, v smernici sa pre členské štáty stanovuje postup na identifikáciu kritických subjektov pomocou spoločných kritérií na základe vnútroštátneho posúdenia rizík. Po tretie, v návrhu sa stanovujú povinnosti pre členské štáty a nimi identifikované kritické subjekty, vrátane tých, ktoré majú osobitný európsky význam, t. j. kritické subjekty, ktoré poskytujú základné služby do viac ako tretiny členských štátov, resp. vo viac ako tretine členských štátov a ktoré by podliehali osobitnému dohľadu.

Prevádzkové prostredie, v ktorom kritické subjekty pôsobia, sa v posledných rokoch výrazne zmenilo. Po prvé, rizikové prostredie je zložitejšie ako v roku 2008 a v súčasnosti zahŕňa aj prírodné nebezpečenstvá (v mnohých prípadoch zhoršené zmenou klímy), štátom podporované hybridné akcie, terorizmus, vnútorné hrozby, pandémie a havárie (ako sú priemyselné havárie). Po druhé, prevádzkovatelia čelia výzvam pri integrácii nových technológií, ako napríklad 5G a bezpilotných vozidiel, do svojej prevádzky, a zároveň riešia slabé miesta, ktoré by takéto technológie mohli potenciálne vytvoriť. Po tretie, vďaka týmto technológiám a iným trendom sa prevádzkovatelia čoraz viac spoliehajú jeden na druhého. Dôsledky sú jasné – narušenie, ktoré ovplyvní poskytovanie služieb jedným prevádzkovateľom v jednom odvetví môže vyvolať kaskádové účinky na poskytovanie služieb v iných odvetviach a prípadne aj v iných členských štátoch alebo v celej Únii.

Návrh okrem toho odzrkadľuje vnútroštátne prístupy v čoraz väčšom počte členských štátov, ktoré majú tendenciu klásť dôraz na vzájomnú závislosť naprieč odvetviami a hranicami a čoraz viac sa zaoberajú úvahami o odolnosti, v rámci ktorých je ochrana len jedným prvkom popri predchádzaní rizikám a ich zmierňovaní, kontinuite činností a obnove. Vzhľadom na to, že kritickým infraštruktúram hrozí riziko, že by sa mohli stať aj teroristickými cieľmi, opatrenia zamerané na zabezpečenie odolnosti kritických subjektov uvedené v tomto návrhu prispievajú k cieľom nedávno prijatého programu EÚ na boj proti terorizmu.

Cieľom tohto návrhu je posilniť poskytovanie služieb na vnútornom trhu, ktoré sú nevyhnutné na zachovanie životne dôležitých spoločenských funkcií alebo hospodárskych činností, a to zvýšením odolnosti kritických subjektov, ktoré takéto služby poskytujú. Návrh je odpoveďou na nedávne výzvy na prijatie opatrení, ktoré vyjadrili Rada a Európsky parlament, ktorí vyzvali Komisiu k tomu, aby prehodnotila súčasný prístup s cieľom lepšie zohľadniť rastúce výzvy pre kritické subjekty a zabezpečiť užší súlad so smernicou o sieťovej a informačnej bezpečnosti (ďalej len „smernica NIS“). Tento návrh je v súlade a vytvára úzke synergie s navrhovanou smernicou o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii (ďalej len „smernica o kybernetickej bezpečnosti“), ktorá nahradí smernicu NIS s cieľom riešiť zvýšenú prepojenosť fyzického a digitálneho sveta prostredníctvom legislatívneho rámca so spoľahlivými opatreniami na zabezpečenie odolnosti, pokiaľ ide o kybernetické aj fyzické aspekty, ako sa stanovuje v Stratégii EÚ pre bezpečnostnú úniu.

Európska únia musí v záujme účinnej ochrany Európanov naďalej zmierňovať zraniteľnosť, a to aj pokiaľ ide o kritické infraštruktúry, ktoré sú nevyhnutné pre fungovanie našich spoločností a hospodárstva. Živobytie európskych občanov a dobré fungovanie vnútorného trhu závisia od rôznych infraštruktúr, ktorých úlohou je spoľahlivé poskytovanie služieb nevyhnutných na zachovanie kritických spoločenských a hospodárskych činností. Tieto služby, ktoré sú za bežných okolností životne dôležité, sú o to dôležitejšie, že Európa sa snaží zvládnuť účinky pandémie COVID-19 a usiluje sa o to, aby sa z nej zotavila. Z toho vyplýva, že subjekty poskytujúce základné služby musia byť odolné, t. j. musia byť schopné odolávať incidentom, ktoré môžu viesť k vážnym, prípadne medziodvetvovým a cezhraničným narušeniam, absorbovať ich, prispôsobiť sa im a zotaviť sa z nich.

Pokiaľ ide o udržateľnosť, očakávalo sa, že určité účinky smernice (napr. cezhraničné diskusie, požiadavky na podávanie správ) zaniknú, ak sa smernica zruší a nenahradí. Z hodnotenia vyplynulo, že členské štáty naďalej podporujú zapojenie Európskej únie do úsilia o posilnenie odolnosti kritickej infraštruktúry a že existujú určité obavy, že úplné zrušenie smernice by mohlo mať v tejto oblasti negatívne účinky, a to najmä na ochranu označených európskych kritických infraštruktúr. Členské štáty sa usilovali o zaistenie toho, aby EÚ naďalej konala v tejto oblasti v súlade so zásadou subsidiarity, podporovala opatrenia na vnútroštátnej úrovni a uľahčovala cezhraničnú spoluprácu, a to aj s tretími krajinami.

3.VÝSLEDKY HODNOTENÍ EX POST, KONZULTÁCIÍ SO ZAINTERESOVANÝMI STRANAMI A POSÚDENÍ VPLYVU

V niektorých prípadoch si však dosiahnutie súladu so smernicou môže vyžadovať rozsiahlejšie investície. Aj v takýchto prípadoch sú však tieto investície odôvodnené tým, že by prispeli k zvýšeniu odolnosti na úrovni prevádzkovateľov a systému, ako aj k súdržnejšiemu prístupu a zvýšenej schopnosti poskytovať spoľahlivé služby v celej Únii. Okrem toho sa predpokladá, že akúkoľvek ďalšiu záťaž vyplývajúcu zo smernice by výrazne prevýšili náklady spojené s potrebou riadiť a prekonať vážne narušenia, ktoré ohrozujú nepretržité poskytovanie služieb súvisiacich so životne dôležitými spoločenskými funkciami a hospodárskou prosperitou prevádzkovateľov, jednotlivých členských štátov, Únie a jej občanov vo všeobecnosti.

Spoločný právny rámec na európskej úrovni v tejto oblasti je odôvodnený vzájomnou závislou cezhraničnou povahou vzťahov medzi prevádzkami kritickej infraštruktúry a jej výstupmi, t. j. základnými službami. Operátor so sídlom v jednom členskom štáte môže v skutočnosti poskytovať služby vo viacerých iných členských štátoch alebo v celej Európskej únii prostredníctvom úzko prepojených sietí. Z toho vyplýva, že narušenie s vplyvom na tohto prevádzkovateľa, by mohlo mať ďalekosiahle následky v iných odvetviach a presahujúce vnútroštátne hranice. Potenciálne celoeurópske dôsledky narušení si vyžadujú prijímanie opatrení na úrovni Európskej únie. Rozdielne vnútroštátne pravidlá majú navyše priamy negatívny vplyv na fungovanie vnútorného trhu. Ako sa ukázalo v posúdení vplyvu, mnohé členské štáty a zainteresované strany z jednotlivých odvetví vidia potrebu jednotnejšieho a koordinovanejšieho európskeho prístupu zameraného na zabezpečenie toho, aby boli subjekty dostatočne odolné voči rôznym rizikám, ktoré sa síce v jednotlivých členských štátoch líšia, ale vytvárajú mnohé spoločné výzvy, ktoré nie je možné riešiť prostredníctvom vnútroštátnych opatrení alebo ktoré nemôžu riešiť jednotliví prevádzkovatelia samostatne.

Súčasný právny rámec stanovený na úrovni členských štátov, ktorý upravuje predmetné služby, zahŕňa podstatne odlišné povinnosti, ktoré budú pravdepodobne narastať. Rozdielne vnútroštátne pravidlá, ktorým kritické subjekty podliehajú, nielenže ohrozujú spoľahlivé poskytovanie služieb na celom vnútornom trhu, ale takisto by mohli mať negatívny vplyv na hospodársku súťaž. Dôvodom je najmä skutočnosť, že podobné typy subjektov poskytujúcich podobné druhy služieb sa v niektorých členských štátoch považujú za kritické, ale v iných nie. To znamená, že subjekty, ktoré sú alebo chcú byť aktívne vo viac ako jednom členskom štáte, podliehajú v rámci pôsobenia na vnútornom trhu rozdielnym povinnostiam a subjekty pôsobiace v členských štátoch s prísnejšími požiadavkami môžu v porovnaní so subjektmi v členských štátoch s miernejšími rámcami čeliť prekážkam. Tieto rozdiely sú takého charakteru, že majú priamy negatívny vplyv na fungovanie vnútorného trhu.

Na rozdiel od smernice 2008/114/ES, ktorá bola založená na článku 308 Zmluvy o založení Európskeho spoločenstva (zodpovedajúcom súčasnému článku 352 Zmluvy o fungovaní Európskej únie), sa tento návrh smernice zakladá na článku 114 ZFEÚ, ktorý zahŕňa aproximáciu práva na účely zlepšenia vnútorného trhu. Je to odôvodnené posunutím cieľa, rozsahu pôsobnosti a obsahu smernice, väčšou vzájomnou závislosťou a potrebou vytvoriť spravodlivejšie podmienky pre kritické subjekty. Namiesto ochrany obmedzeného súboru fyzických infraštruktúr, ktorých narušenie alebo zničenie by malo závažné cezhraničné dôsledky, je cieľom zvýšiť odolnosť subjektov v členských štátoch, ktoré sú kritické pre poskytovanie služieb nevyhnutných na zachovanie životne dôležitých spoločenských funkcií alebo hospodárskych činností na vnútornom trhu vo viacerých odvetviach, ktoré sú základom pre fungovanie mnohých ďalších odvetví hospodárstva Únie. Vzhľadom na zvýšenú cezhraničnú vzájomnú závislosť služieb poskytovaných prostredníctvom kritických infraštruktúr v týchto odvetviach môže mať narušenie v jednom členskom štáte dôsledky v iných členských štátoch alebo v Únii ako celku.

Navrhovaná smernica má zjavné väzby a je v súlade s ostatnými odvetvovými a medziodvetvovými iniciatívami Európskej únie okrem iného v oblasti zvýšenia odolnosti proti zmene klímy, civilnej ochrany, priamych zahraničných investícií, kybernetickej bezpečnosti a acquis v oblasti finančných služieb. Návrh je predovšetkým v úzkom súlade a vytvára úzke synergie s navrhovanou smernicou o kybernetickej bezpečnosti, ktorej cieľom je zvýšiť odolnosť informačných a komunikačných technológií „kľúčových subjektov“ a „dôležitých subjektov“, ktoré spĺňajú konkrétne prahové hodnoty vo veľkom počte odvetví, proti všetkým nebezpečenstvám. Cieľom tohto návrhu smernice o odolnosti kritických subjektov je zabezpečiť, aby príslušné orgány určené podľa tejto smernice a orgány určené podľa navrhovanej smernice o kybernetickej bezpečnosti prijali doplnkové opatrenia a podľa potreby si vymieňali informácie, pokiaľ ide o kybernetickú a nekybernetickú odolnosť, a aby mimoriadne kritické subjekty v odvetviach, ktoré sa podľa navrhovanej smernice o kybernetickej bezpečnosti považujú za „kľúčové“, takisto podliehali povinnostiam súvisiacim so všeobecnejším zvyšovaním odolnosti s cieľom riešiť nekybernetické riziká. Fyzická bezpečnosť sietí a informačných systémov subjektov v odvetví digitálnej infraštruktúry sa komplexne rieši v navrhovanej smernici o kybernetickej bezpečnosti ako súčasť povinností týchto subjektov v oblasti riadenia kybernetických rizík a oznamovania. Návrh okrem toho vychádza z existujúceho acquis v oblasti finančných služieb, v ktorom sa stanovujú komplexné požiadavky na finančné subjekty, pokiaľ ide o riadenie prevádzkových rizík a zaistenie kontinuity činností. Preto by sa so subjektmi pôsobiacimi v odvetví digitálnej infraštruktúry, bankovníctva a finančnej infraštruktúry malo na účely povinností a činností členských štátov zaobchádzať ako so subjektmi, ktoré sú rovnocenné kritickým subjektom podľa tejto smernice, pričom z tejto smernice by pre tieto subjekty nevyplývali dodatočné povinnosti.

Cieľom navrhovaného právneho predpisu je zvýšiť odolnosť kritických subjektov poskytujúcich rôzne formy základných služieb a zároveň odstrániť regulačné prekážky, ktoré bránia ich schopnosti poskytovať služby v celej Únii. Tým by sa znížilo celkové riziko narušení na spoločenskej aj individuálnej úrovni a znížila by sa záťaž. Prispelo by to k zabezpečeniu vyššej úrovne verejnej bezpečnosti a zároveň by to pozitívne ovplyvnilo slobodu podnikania spoločností, ako aj mnohých ďalších hospodárskych subjektov závislých od poskytovania základných služieb, z čoho by mali v konečnom dôsledku prospech spotrebitelia. Ustanovenia návrhu zamerané na zabezpečenie účinného riadenia bezpečnosti zamestnancov budú obvykle zahŕňať spracovanie osobných údajov. Je to odôvodnené potrebou vykonávať previerky konkrétnych kategórií zamestnancov. Každé takéto spracovanie osobných údajov navyše vždy bude podliehať súladu s pravidlami Únie o ochrane osobných údajov vrátane všeobecného nariadenia o ochrane údajov.

Prijatím opatrení na zvýšenie ich odolnosti sa navyše zníži pravdepodobnosť, že kritické subjekty budú vystavené narušeniam. Pravdepodobnosť rušivých incidentov negatívne ovplyvňujúcich poskytovanie základných služieb v jednotlivých členských štátoch a v celej Európe by sa preto znížila. Spolu s pozitívnymi účinkami vyplývajúcimi z harmonizácie rozdielnych vnútroštátnych pravidiel na úrovni Únie by to malo pozitívny vplyv na podniky vrátane mikropodnikov a malých a stredných podnikov, celkové zdravie hospodárstva Únie a spoľahlivé fungovanie vnútorného trhu.

V súlade s Programom regulačnej vhodnosti a efektívnosti (REFIT) Komisie by sa všetky iniciatívy zamerané na zmenu existujúcich právnych predpisov EÚ mali snažiť o efektívnejšie zjednodušenie a dosiahnutie stanovených politických cieľov. Zo zistení posúdenia vplyvu vyplýva, že návrh by mal znížiť celkovú záťaž členských štátov. Užšie zosúladenie s prístupom súčasnej smernice NIS zameraným na služby pravdepodobne časom povedie k zníženiu nákladov na dodržiavanie predpisov. Napríklad zaťažujúci proces cezhraničnej identifikácie a označovania obsiahnutý v existujúcej smernici ECI by sa nahradil postupom založeným na rizikách na vnútroštátnej úrovni zameraným len na identifikáciu kritických subjektov, na ktoré by sa vzťahovali rôzne povinnosti. Na základe posúdenia rizík by členské štáty identifikovali kritické subjekty, z ktorých väčšina už je označená za prevádzkovateľov základných služieb podľa súčasnej smernice NIS.

Posúdenie vplyvu preskúmal výbor pre kontrolu regulácie, ktorý 20. novembra 2020 vydal kladné stanovisko s výhradami. Výbor poukázal na niekoľko prvkov posúdenia vplyvu, ktoré by sa mali riešiť. Konkrétne požiadal o ďalšie objasnenie týkajúce sa rizík súvisiacich s kritickou infraštruktúrou a cezhraničným rozmerom, prepojenia medzi touto iniciatívou a prebiehajúcou revíziou smernice NIS a vzťahu medzi uprednostňovanou možnosťou politiky a inými odvetvovými právnymi predpismi. Okrem toho výbor videl potrebu, aby sa ďalej odôvodnilo rozšírenie rozsahu pôsobnosti nástroja naprieč odvetviami, a požiadal o dodatočné informácie týkajúce sa kritérií výberu kritických subjektov. Napokon, pokiaľ ide o proporcionalitu, výbor sa usiloval o ďalšie objasnenie toho, ako by uprednostňovaná možnosť viedla k lepším vnútroštátnym reakciám na cezhraničné riziká. Tieto a ďalšie podrobnejšie pripomienky výboru sa riešili v konečnej verzii posúdenia vplyvu, v ktorej sa napríklad podrobnejšie opisujú cezhraničné riziká pre kritické infraštruktúry a vzťah medzi týmto návrhom a návrhom smernice o kybernetickej bezpečnosti. Pripomienky výboru boli zohľadnené aj v tejto navrhovanej smernici.

Vzhľadom na rôzne hospodárske, sociálne a environmentálne vplyvy spojené s každou z možností, ale aj na ich hodnotu z hľadiska účinnosti, efektívnosti a proporcionality sa v posúdení vplyvu zistilo, že uprednostňovanou možnosťou je možnosť 3. Zatiaľ čo možnosti 1 a 2 by nepriniesli zmeny potrebné na riešenie problému, možnosť 3 by viedla k vytvoreniu harmonizovaného a komplexnejšieho rámca odolnosti, ktorý by bol takisto v súlade s existujúcim právom Únie v súvisiacich oblastiach a zohľadňoval by ho. Možnosť 3 sa takisto považovala za primeranú a pravdepodobne politicky uskutočniteľnú, keďže je v súlade s vyhláseniami Rady a Parlamentu o potrebe prijatia opatrení Únie v tejto oblasti. Okrem toho sa zistilo, že táto možnosť pravdepodobne zabezpečí flexibilitu a ponúkne nadčasový rámec, ktorý by umožnil kritickým subjektom reagovať na rôzne riziká, ktorým budú postupom času vystavené. V posúdení vplyvu sa napokon zistilo, že táto možnosť by dopĺňala existujúce odvetvové a medziodvetvové rámce a nástroje. Táto možnosť napríklad počíta s tým, že ak by označené subjekty spĺňali určité povinnosti obsiahnuté v tomto novom nástroji spĺňaním povinností podľa už existujúcich nástrojov, neboli by v takomto prípade povinné prijať ďalšie opatrenia. Na druhej strane by sa od nich očakávalo, že prijmú určité opatrenia, ak sa existujúce nástroje nevzťahujú na danú záležitosť alebo sa obmedzujú len na určité druhy rizík alebo opatrení.

–Možnosť 3: Nahradenie existujúcej smernice ECI novým nástrojom zameraným na zvýšenie odolnosti kritických subjektov v odvetviach, ktoré sa považujú za kľúčové v navrhovanej smernici o kybernetickej bezpečnosti. Touto možnosťou by sa stanovili minimálne požiadavky pre členské štáty a kritické subjekty identifikované podľa nového rámca. Stanovil by sa postup identifikácie kritických subjektov ponúkajúcich služby viacerým, ak nie všetkým, členským štátom Európskej únie alebo vo viacerých, ak nie vo všetkých, členských štátoch Európskej únie. Vykonávanie právneho predpisu by podporovalo osobitné vedomostné centrum v rámci Komisie,

–Možnosť 2: Revízia existujúcej smernice ECI s cieľom pokryť rovnaké odvetvia ako existujúca smernica NIS a zamerať sa viac na odolnosť. Nová smernica ECI by priniesla zmeny do existujúceho cezhraničného procesu označovania európskej kritickej infraštruktúry vrátane nových kritérií na označovanie a nových požiadaviek na členské štáty a prevádzkovateľov,

Konkrétne sa zainteresované strany celkovo zhodli na tom, že akýkoľvek nový prístup by mal pozostávať z kombinácie záväzných a nezáväzných opatrení, zamerať sa skôr na odolnosť než na ochranu štruktúr a poskytnúť jasnejšie prepojenie medzi opatreniami zameranými na zvýšenie kybernetickej a nekybernetickej odolnosti. Okrem toho podporili prístup, ktorý zohľadňuje ustanovenia existujúcich odvetvových právnych predpisov, zahŕňa aspoň tie odvetvia, na ktoré sa vzťahuje súčasná smernica NIS, ako aj jednotnejšie povinnosti pre kritické subjekty na vnútroštátnej úrovni, ktoré by zase mali byť schopné vykonávať dostatočnú bezpečnostnú previerku zamestnancov s prístupom k citlivým zariadeniam/informáciám. Zainteresované strany navyše navrhli, že akýkoľvek nový prístup by mal pre členské štáty vytvoriť príležitosti na vykonávanie posilneného dohľadu nad činnosťami kritických subjektov, ale mal by takisto zabezpečiť, aby sa identifikovali kritické subjekty celoeurópskeho významu a aby sa zaistila ich dostatočná odolnosť. Napokon sa zainteresované strany zasadzovali za väčšie financovanie a podporu zo strany Európskej únie, napr. pokiaľ ide o vykonávanie akéhokoľvek nového nástroja, budovanie kapacít na vnútroštátnej úrovni a koordináciu/spoluprácu verejného a súkromného sektora či výmenu osvedčených postupov, poznatkov a odborných znalostí na rôznych úrovniach. Tento návrh obsahuje ustanovenia, ktoré vo všeobecnosti zodpovedajú názorom a preferenciám vyjadreným zainteresovanými stranami.

Tieto konzultácie umožnili Komisii preskúmať účinnosť, efektívnosť, relevantnosť, súdržnosť a pridanú hodnotu EÚ, pokiaľ ide o existujúci rámec pre odolnosť kritickej infraštruktúry (t. j. východiskovú situáciu), analyzovať, aké problémy vytvorila, aké rôzne možnosti politiky by sa mohli zvážiť pri riešení týchto problémov a aké konkrétne vplyvy by tieto možnosti mohli mať. Vo všeobecnosti sa v rámci konzultácií poukázalo na niekoľko oblastí, v ktorých sa zainteresované strany celkovo zhodli, a v neposlednom rade aj na to, že existujúci rámec Európskej únie pre odolnosť kritickej infraštruktúry by sa mal vzhľadom na rastúcu vzájomnú závislosť medzi odvetviami a meniacu sa panorámu hrozieb prepracovať.

V článku 13 sa stanovuje, že členské štáty zabezpečia, aby kritické subjekty oznamovali príslušnému orgánu incidenty, ktoré významne narúšajú alebo by mohli významne narušiť ich prevádzku. Príslušné orgány zase poskytnú oznamujúcemu kritickému subjektu relevantné informácie týkajúce sa následných opatrení. Príslušné orgány prostredníctvom miesta jednotného kontaktu informujú aj miesta jednotného kontaktu ostatných dotknutých členských štátov v prípade, že incident má alebo by mohol mať cezhraničné dôsledky v jednom alebo vo viacerých iných členských štátoch.

V článku 12 sa stanovuje, že členské štáty zabezpečia, aby kritické subjekty mohli predkladať žiadosti o previerku osôb, ktoré patria alebo by mohli patriť do určitých osobitných kategórií zamestnancov, a aby tieto žiadosti urýchlene posúdili orgány zodpovedné za vykonávanie takýchto previerok osôb. V článku sa opisuje účel, rozsah a obsah previerok osôb, ktoré musia byť v súlade so všeobecným nariadením o ochrane údajov.

V článku 7 sa stanovuje, že členské štáty by mali identifikovať subjekty v odvetví bankovníctva, infraštruktúry finančného trhu a digitálnej infraštruktúry, s ktorými sa má zaobchádzať ako s kritickými subjektmi len na účely kapitoly II. Tieto subjekty by mali byť informované o ich identifikácii.

V článku 5 sa stanovuje, že členské štáty identifikujú kritické subjekty v konkrétnych odvetviach a pododvetviach. V procese identifikácie by sa mali zohľadňovať výsledky posúdenia rizík a uplatňovať osobitné kritériá. Členské štáty zostavia zoznam kritických subjektov, ktorý sa v prípade potreby a pravidelne aktualizuje. Kritické subjekty musia byť náležite informované o ich identifikácii a povinnostiach, ktoré im z toho vyplývajú. Príslušné orgány zodpovedné za vykonávanie tejto smernice informujú príslušné orgány zodpovedné za vykonávanie smernice o kybernetickej bezpečnosti o identifikácii kritických subjektov. Ak dva alebo viaceré členské štáty identifikujú ako kritický ten istý subjekt, tieto členské štáty navzájom konzultujú s cieľom znížiť zaťaženie kritického subjektu. Ak kritické subjekty poskytujú služby do viac ako tretiny členských štátov, resp. vo viac ako tretine členských štátov, dotknutý členský štát oznámi Komisii totožnosť týchto kritických subjektov.

V článku 3 sa stanovuje, že členské štáty prijmú stratégiu na zvýšenie odolnosti kritických subjektov, opisujú sa v ňom prvky, ktoré by mala táto stratégia obsahovať, vysvetľuje sa v ňom, že by sa mala pravidelne a v prípade potreby aktualizovať, a stanovuje sa v ňom, že členské štáty oznámia svoje stratégie a akékoľvek ich aktualizácie Komisii. V článku 4 sa stanovuje, že príslušné orgány vypracujú zoznam základných služieb a pravidelne vykonávajú posúdenie všetkých relevantných rizík, ktoré môžu ovplyvniť poskytovanie týchto základných služieb, s cieľom identifikovať kritické subjekty. V tomto posúdení sa zohľadňujú posúdenia rizík vykonávané v súlade s inými príslušnými právnymi predpismi Únie, riziká vyplývajúce zo závislostí medzi konkrétnymi odvetviami a dostupné informácie o incidentoch. Členské štáty zabezpečia, aby boli kritickým subjektom sprístupnené relevantné prvky posúdenia rizík a aby sa Komisii pravidelne poskytovali údaje o typoch zistených rizík a výsledkoch ich posúdení rizík.

Vykonávanie navrhovanej smernice sa preskúma do štyroch a pol roka po nadobudnutí jej účinnosti, a potom Komisia predloží správu Európskemu parlamentu a Rade. V tejto správe sa posúdi rozsah, v akom členské štáty prijali opatrenia potrebné na dosiahnutie súladu s touto smernicou. Správu, v ktorej sa posúdi vplyv a pridaná hodnota smernice, predloží Komisia Európskemu parlamentu a Rade do šiestich rokov od nadobudnutia účinnosti tejto smernice.

V článku 14 sa kritické subjekty osobitného európskeho významu vymedzujú ako subjekty, ktoré boli identifikované ako kritické subjekty a ktoré poskytujú základné služby do viac ako tretiny členských štátov, resp. vo viac ako tretine členských štátov. Komisia po prijatí oznámenia podľa článku 5 ods. 6 oznámi dotknutému subjektu, že sa považuje za kritický subjekt osobitného európskeho významu, a informuje ho o jeho povinnostiach, ktoré mu z toho vyplývajú, a o dni, od ktorého sa na neho tieto povinnosti vzťahujú. V článku 15 sa opisujú osobitné mechanizmy dohľadu vzťahujúce sa na kritické subjekty osobitného európskeho významu, ktoré zahŕňajú skutočnosť, že hostiteľské členské štáty poskytnú na požiadanie Komisii a skupine pre odolnosť kritických subjektov informácie týkajúce sa posúdenia rizík podľa článku 10 a opatrení prijatých v súlade s článkom 11, ako aj akýchkoľvek opatrení v oblasti dohľadu alebo presadzovania. V článku 15 sa takisto stanovuje, že Komisia môže organizovať poradné misie s cieľom posúdiť opatrenia zavedené konkrétnymi kritickými subjektmi osobitného európskeho významu. Komisia na základe analýzy zistení poradnej misie skupiny pre odolnosť kritických subjektov oznámi členskému štátu, v ktorom sa nachádza infraštruktúra daného subjektu, svoje stanoviská k tomu, či si tento subjekt plní svoje povinnosti, a ak je to vhodné, aké opatrenia by sa mohli prijať na zlepšenie odolnosti tohto subjektu. V článku sa opisuje zloženie, organizácia a financovanie poradných misií. Takisto sa v ňom stanovuje, že Komisia prijme vykonávací akt, v ktorom stanoví pravidlá týkajúce sa procedurálnych mechanizmov na účely realizácie poradných misií a podávania správ o týchto misiách.

konajúc v súlade s riadnym legislatívnym postupom,

keďže:

(1)V smernici Rady 2008/114/ES sa stanovuje postup na označenie európskych kritických infraštruktúr v odvetviach energetiky a dopravy, ktorých narušenie alebo zničenie by malo významný cezhraničný vplyv na najmenej dva členské štáty. Uvedená smernica sa zameriavala výlučne na ochranu takýchto infraštruktúr. V hodnotení smernice 2008/114/ES, ktoré sa uskutočnilo v roku 2019, sa však zistilo, že vzhľadom na čoraz prepojenejšiu a cezhraničnú povahu operácií využívajúcich kritickú infraštruktúru nie sú ochranné opatrenia týkajúce sa samotných jednotlivých aktív dostatočné na to, aby zabránili všetkým narušeniam. Preto je potrebné zmeniť prístup k zabezpečeniu odolnosti kritických subjektov, t. j. ich schopnosti zmierniť incidenty, ktoré majú potenciál narušiť prevádzku kritického subjektu, absorbovať ich, prispôsobiť sa im a zotaviť sa z nich.

(2)Napriek existujúcim opatreniam na úrovni Únie a na vnútroštátnej úrovni zameraným na podporu ochrany kritických infraštruktúr v Únii subjekty prevádzkujúce tieto infraštruktúry nie sú primerane vybavené na riešenie súčasných a predpokladaných budúcich rizík pre ich prevádzku, ktoré môžu viesť k narušeniu poskytovania služieb, ktoré sú nevyhnutné na vykonávanie životne dôležitých spoločenských funkcií alebo hospodárskych činností. Je tomu tak v dôsledku dynamickej panorámy hrozieb s vyvíjajúcou sa teroristickou hrozbou a rastúcej vzájomnej závislosti medzi infraštruktúrami a odvetviami, ako aj z dôvodu zvýšeného fyzického rizika v dôsledku prírodných katastrof a zmeny klímy, čo zvyšuje frekvenciu a rozsah extrémnych poveternostných javov a prináša dlhodobé zmeny priemernej klímy, ktoré môžu znížiť kapacitu a efektívnosť určitých typov infraštruktúry, ak nie sú zavedené opatrenia na zvýšenie odolnosti alebo adaptáciu na zmenu klímy. Okrem toho príslušné odvetvia a typy subjektov nie sú vo všetkých členských štátoch konzistentne uznávané ako kritické.

(3)Tieto rastúce vzájomné závislosti sú výsledkom čoraz viac cezhraničnej a vzájomne prepojenej siete poskytovania služieb využívajúcej kľúčové infraštruktúry v celej Únii v odvetviach energetiky, dopravy, bankovníctva, infraštruktúry finančného trhu, digitálnej infraštruktúry, pitnej a odpadovej vody, zdravotníctva, určitých aspektov verejnej správy, ako aj vesmírnych služieb, pokiaľ ide o poskytovanie určitých služieb závislých od pozemných infraštruktúr, ktoré vlastnia, spravujú a prevádzkujú buď členské štáty, alebo súkromné strany, a preto sa nevzťahujú na infraštruktúry, ktoré vlastní, spravuje alebo prevádzkuje Únia ako súčasť svojich vesmírnych programov, resp. ktoré sú vlastnené, spravované alebo prevádzkované v jej mene. Tieto vzájomné závislosti znamenajú, že akékoľvek narušenie, dokonca čo len jedno, sprvoti obmedzené na jeden subjekt alebo jedno odvetvie, môže mať kaskádové účinky vo všeobecnosti, čo môže viesť k ďalekosiahlym a dlhotrvajúcim negatívnym vplyvom na poskytovanie služieb na celom vnútornom trhu. Pandémia COVID-19 ukázala zraniteľnosť našich čoraz prepojenejších spoločností voči rizikám s nízkou pravdepodobnosťou.

(4)Na subjekty zapojené do poskytovania základných služieb sa čoraz viac vzťahujú odlišné požiadavky stanovené právnymi predpismi členských štátov. Skutočnosť, že v niektorých členských štátoch sa na tieto subjekty vzťahujú menej prísne bezpečnostné požiadavky, nielenže môže mať negatívny vplyv na zachovanie životne dôležitých spoločenských funkcií alebo hospodárskych činností v celej Únii, ale vedie aj k prekážkam riadneho fungovania vnútorného trhu. Podobné typy subjektov sa v niektorých členských štátoch považujú za kritické, pričom v iných nie, a tie, ktoré sú identifikované ako kritické, podliehajú v rôznych členských štátoch rôznym požiadavkám. To vedie k dodatočnej a zbytočnej administratívnej záťaži pre spoločnosti, ktoré vykonávajú cezhraničné činnosti, najmä pre spoločnosti pôsobiace v členských štátoch s prísnejšími požiadavkami.

(5)Je preto potrebné stanoviť harmonizované minimálne pravidlá s cieľom zabezpečiť poskytovanie základných služieb na vnútornom trhu a zvýšiť odolnosť kritických subjektov.

(6)Na dosiahnutie tohto cieľa by členské štáty mali identifikovať kritické subjekty, ktoré by mali podliehať osobitným požiadavkám a dohľadu, ale ktoré by mali zároveň získať osobitnú podporu a poradenstvo zamerané na dosiahnutie vysokej úrovne odolnosti voči všetkým relevantným rizikám.

(7)Určité odvetvia hospodárstva, ako je energetika a doprava, sú už regulované alebo môžu byť v budúcnosti regulované odvetvovými aktmi práva Únie, ktoré obsahujú pravidlá týkajúce sa určitých aspektov odolnosti subjektov pôsobiacich v týchto odvetviach. S cieľom komplexne riešiť odolnosť subjektov, ktoré sú rozhodujúce pre riadne fungovanie vnútorného trhu, by tieto opatrenia pre jednotlivé odvetvia mali byť doplnené opatreniami stanovenými v tejto smernici, čím sa vytvára zastrešujúci rámec, ktorý rieši odolnosť kritických subjektov, pokiaľ ide o všetky nebezpečenstvá, t. j. prírodné a ľudskou činnosťou spôsobené, náhodné i úmyselné.

(8)Vzhľadom na význam kybernetickej bezpečnosti pre odolnosť kritických subjektov a v záujme konzistentnosti je jednotný prístup medzi touto smernicou a smernicou Európskeho parlamentu a Rady (EÚ) XX/YY [navrhovaná smernica o opatreniach na zabezpečenie vysokej spoločnej úrovne kybernetickej bezpečnosti v Únii, (ďalej len „smernica o kybernetickej bezpečnosti“)] potrebný vždy, keď je to možné. So zreteľom na vyšší výskyt a osobitné charakteristiky kybernetických rizík sa v smernici o kybernetickej bezpečnosti ukladajú komplexné požiadavky veľkému množstvu subjektov s cieľom zabezpečiť ich kybernetickú bezpečnosť. Vzhľadom na to, že kybernetická bezpečnosť sa dostatočne rieši v smernici o kybernetickej bezpečnosti, záležitosti, na ktoré sa vzťahuje, by sa mali vylúčiť z rozsahu pôsobnosti tejto smernice, a to bez toho, aby bol dotknutý osobitný režim pre subjekty v odvetví digitálnej infraštruktúry.

(9)Ak sa v ustanoveniach iných aktov práva Únie vyžaduje, aby kritické subjekty posúdili príslušné riziká, prijali opatrenia na zabezpečenie svojej odolnosti alebo oznamovali incidenty, a tieto požiadavky sú prinajmenšom rovnocenné zodpovedajúcim povinnostiam stanoveným v tejto smernici, príslušné ustanovenia tejto smernice by sa nemali uplatňovať, aby sa zabránilo duplicite a zbytočnému zaťaženiu. V takom prípade by sa mali uplatňovať príslušné ustanovenia týchto iných aktov. Ak sa príslušné ustanovenia tejto smernice neuplatňujú, nemali by sa uplatňovať ani jej ustanovenia o dohľade a presadzovaní. Členské štáty by však mali do svojej stratégie na posilnenie odolnosti kritických subjektov, posúdenia rizika a podporných opatrení podľa kapitoly II zahrnúť všetky odvetvia uvedené v prílohe a mali by byť schopné identifikovať kritické subjekty v týchto odvetviach, ak boli splnené príslušné podmienky, pričom by mali zohľadniť osobitný režim pre subjekty v odvetví bankovníctva, infraštruktúry finančného trhu a digitálnej infraštruktúry.

(10)S cieľom zabezpečiť komplexný prístup k odolnosti kritických subjektov by každý členský štát mal mať stratégiu stanovujúcu ciele a politické opatrenia, ktoré sa majú vykonať. Na dosiahnutie tohto cieľa by členské štáty mali zabezpečiť, aby sa v ich stratégiách kybernetickej bezpečnosti stanovil politický rámec pre posilnenú koordináciu medzi príslušným orgánom podľa tejto smernice a príslušným orgánom podľa smernice o kybernetickej bezpečnosti v kontexte výmeny informácií o incidentoch a kybernetických hrozbách a plnenia úloh v oblasti dohľadu.

(11)Opatrenia členských štátov zamerané na identifikáciu a pomoc pri zabezpečovaní odolnosti kritických subjektov by sa mali riadiť prístupom založeným na riziku, ktorý zameriava úsilie na subjekty, ktoré sú najdôležitejšie z hľadiska výkonu životne dôležitých spoločenských funkcií alebo hospodárskych činností. S cieľom zabezpečiť takýto cielený prístup by mal každý členský štát v harmonizovanom rámci vykonať posúdenie všetkých relevantných prírodných a ľudskou činnosťou spôsobených rizík, ktoré môžu ovplyvniť poskytovanie základných služieb vrátane nehôd, prírodných katastrof, ohrozenia verejného zdravia, ako sú pandémie, a antagonistických hrozieb vrátane trestných činov terorizmu. Pri vykonávaní týchto posúdení rizík by členské štáty mali zohľadniť ďalšie všeobecné alebo odvetvové posúdenia rizika, ktoré sa vykonávajú podľa iných aktov práva Únie, a mali by zvážiť závislosť medzi odvetviami, a to aj pokiaľ ide o odvetvia z iných členských štátov a tretích krajín. Výsledky posúdenia rizika by sa mali použiť v procese identifikácie kritických subjektov a na pomoc týmto subjektom pri plnení požiadaviek tejto smernice v oblasti odolnosti.

(12)S cieľom zabezpečiť, aby sa na všetky príslušné subjekty vzťahovali tieto požiadavky, a znížiť rozdiely v tejto súvislosti, je dôležité stanoviť harmonizované pravidlá umožňujúce jednotnú identifikáciu kritických subjektov v celej Únii a zároveň umožniť členským štátom, aby mohli zohľadniť vnútroštátne špecifiká. Preto by sa mali stanoviť kritériá na identifikáciu kritických subjektov. V záujme účinnosti, efektívnosti, konzistentnosti a právnej istoty by sa mali stanoviť aj vhodné pravidlá týkajúce sa oznamovania a spolupráce v súvislosti s takouto identifikáciou, ako aj právnych dôsledkov takejto identifikácie. S cieľom umožniť Komisii posúdiť správne uplatňovanie tejto smernice by členské štáty mali Komisii predložiť čo najpodrobnejšie a najkonkrétnejšie relevantné informácie a v každom prípade zoznam základných služieb, počet kritických subjektov identifikovaných pre každé odvetvie a pododvetvie uvedené v prílohe a základné služby alebo služby, ktoré každý subjekt poskytuje, a všetky uplatňované prahové hodnoty.

(13)Mali by sa stanoviť aj kritériá na určenie závažnosti rušivého účinku vyvolaného takýmito incidentmi. Tieto kritériá by mali vychádzať z kritérií stanovených v smernici Európskeho parlamentu a Rady (EÚ) 2016/1148, aby sa využilo úsilie členských štátov pri identifikácii daných prevádzkovateľov a skúsenosti získané v tejto súvislosti.

(14)Subjekty patriace do odvetvia digitálnej infraštruktúry sú v podstate založené na sieťach a informačných systémoch a patria do rozsahu pôsobnosti smernice o kybernetickej bezpečnosti, ktorá sa zaoberá fyzickou bezpečnosťou takýchto systémov ako súčasti ich povinností v oblasti riadenia kybernetických rizík a oznamovania. Keďže sa na tieto záležitosti vzťahuje smernica o kybernetickej bezpečnosti, táto smernica takýmto subjektom povinnosti neukladá. Vzhľadom na význam služieb poskytovaných subjektmi v odvetví digitálnej infraštruktúry pre poskytovanie iných základných služieb by však členské štáty mali na základe kritérií a s použitím postupu stanoveného v tejto smernici primerane identifikovať subjekty patriace do odvetvia digitálnej infraštruktúry, s ktorými by sa malo zaobchádzať ako s rovnocennými kritickým subjektom len na účely kapitoly II, a to aj pokiaľ ide o ustanovenie o podpore členských štátov pri zvyšovaní odolnosti týchto subjektov. V dôsledku toho by sa na takéto subjekty nemali vzťahovať povinnosti stanovené v kapitolách III až VI. Keďže povinnosti kritických subjektov poskytovať príslušným orgánom určité informácie, ktoré sú stanovené v kapitole II, sa týkajú uplatňovania kapitol III a IV, tieto subjekty by nemali podliehať ani týmto povinnostiam.

(15)V acquis EÚ v oblasti finančných služieb sa stanovujú komplexné požiadavky na finančné subjekty, aby mohli riadiť všetky riziká, ktorým čelia, vrátane prevádzkových rizík a zabezpečiť kontinuitu činností. Patrí sem nariadenie Európskeho parlamentu a Rady (EÚ) č. 648/2012, smernica Európskeho parlamentu a Rady 2014/65/EÚ a nariadenie Európskeho parlamentu a Rady (EÚ) č. 600/2014, ako aj nariadenie Európskeho parlamentu a Rady (EÚ) č. 575/2013 a smernica Európskeho parlamentu a Rady 2013/36/EÚ. Komisia nedávno navrhla doplniť tento rámec nariadením Európskeho parlamentu a Rady XX/YYYY [navrhované nariadenie o digitálnej prevádzkovej odolnosti finančného sektora (ďalej len „nariadenie DORA“)], ktorým sa stanovujú požiadavky na finančné spoločnosti, pokiaľ ide o riadenie IKT rizík vrátane ochrany fyzických infraštruktúr IKT. Keďže na odolnosť subjektov uvedených v bodoch 3 a 4 prílohy sa komplexne vzťahuje acquis EÚ v oblasti finančných služieb, aj s týmito subjektmi by sa malo zaobchádzať ako s rovnocennými kritickým subjektom len na účely kapitoly II tejto smernice. S cieľom zabezpečiť jednotné uplatňovanie pravidiel týkajúcich sa prevádzkového rizika a digitálnej odolnosti vo finančnom sektore by podporu členských štátov zameranú na zvýšenie celkovej odolnosti finančných subjektov rovnocenných kritickým subjektom mali zabezpečiť orgány určené podľa článku 41 [nariadenia DORA], pričom by sa na túto podporu mali vzťahovať postupy stanovené v uvedených právnych predpisoch úplne harmonizovaným spôsobom.

(16)Členské štáty by mali určiť orgány príslušné na dohľad nad uplatňovaním a v prípade potreby presadzovaním pravidiel tejto smernice a zabezpečiť, aby tieto orgány mali primerané právomoci a zdroje. Vzhľadom na rozdiely vo vnútroštátnych riadiacich štruktúrach a s cieľom chrániť už existujúce odvetvové mechanizmy alebo orgány dohľadu a regulačné orgány Únie a zabrániť duplicite by členské štáty mali mať možnosť určiť viac ako jeden príslušný orgán. V takom prípade by však mali jasne vymedziť príslušné úlohy dotknutých orgánov a zabezpečiť ich hladkú a účinnú spoluprácu. Všetky príslušné orgány by mali vo všeobecnosti spolupracovať aj s ostatnými príslušnými orgánmi na vnútroštátnej úrovni, ako aj na úrovni Únie.

(17)S cieľom uľahčiť cezhraničnú spoluprácu a komunikáciu a umožniť účinné vykonávanie tejto smernice by mal každý členský štát bez toho, aby boli dotknuté odvetvové právne požiadavky Únie, určiť jeden z orgánov, ktoré určil za príslušné orgány podľa tejto smernice, za miesto jednotného kontaktu zodpovedné za koordináciu otázok týkajúcich sa odolnosti kritických subjektov a cezhraničnej spolupráce v tejto oblasti na úrovni Únie.

(18)Vzhľadom na to, že podľa smernice o kybernetickej bezpečnosti subjekty identifikované ako kritické subjekty, ako aj identifikované subjekty v odvetví digitálnej infraštruktúry, s ktorými sa má podľa tejto smernice zaobchádzať ako s rovnocennými, podliehajú požiadavkám smernice o kybernetickej bezpečnosti týkajúcim sa kybernetickej bezpečnosti, by mali príslušné orgány určené podľa týchto dvoch smerníc spolupracovať, najmä pokiaľ ide o kybernetické riziká a incidenty, ktoré majú vplyv na tieto subjekty.