EVROPSKA KOMISIJA Bruselj, 16.12.2020 COM(2020) 829 final 2020/0365(COD) Predlog DIREKTIVA EVROPSKEGA PARLAMENTA IN SVETA o odpornosti kritičnih subjektov {SEC(2020) 433 final} - {SWD(2020) 358 final} - {SWD(2020) 359 final}



OBRAZLOŽITVENI MEMORANDUM 1.OZADJE PREDLOGA ·Razlogi za predlog in njegovi cilji Evropska unija mora za učinkovito zaščito Evropejcev še naprej zmanjševati ranljivosti, tudi v kritičnih infrastrukturah, ki so bistvene za delovanje naših družb in gospodarstva. Preživetje evropskih državljanov in dobro delovanje notranjega trga sta odvisna od različnih infrastruktur za zanesljivo zagotavljanje storitev, potrebnih za ohranjanje kritičnih družbenih in gospodarskih dejavnosti. Te storitve, ki so v običajnih razmerah ključnega pomena, so zdaj, ko Evropa obvladuje učinke pandemije COVID-19 in si prizadeva za okrevanje po njej, še toliko pomembnejše. Iz tega sledi, da morajo biti subjekti, ki zagotavljajo bistvene storitve, odporni, tj. zmožni se upreti incidentom, ki lahko povzročijo resne, medsektorske in čezmejne motnje, jih absorbirati, se jim prilagoditi in okrevati po njih. Cilj tega predloga je okrepiti zagotavljanje storitev na notranjem trgu, ki so bistvene za ohranjanje ključnih družbenih funkcij ali gospodarskih dejavnosti, s povečanjem odpornosti kritičnih subjektov, ki zagotavljajo take storitve. Odraža nedavne pozive Sveta in Evropskega parlamenta k ukrepanju, oba sta namreč Komisijo spodbudila k reviziji sedanjega pristopa, da bi bolje odražal povečane izzive za kritične subjekte, ter k zagotavljanju tesnejše uskladitve z direktivo o varnosti omrežij in informacijskih sistemov (direktiva VOIS). Ta predlog je skladen in vzpostavlja tesne sinergije s predlagano direktivo o ukrepih za visoko skupno raven kibernetske varnosti po vsej Uniji (v nadaljnjem besedilu: direktiva VOIS 2), ki bo nadomestila direktivo VOIS, da bi obravnavali povečano medsebojno povezanost fizičnega in digitalnega sveta z zakonodajnim okvirom z zanesljivimi ukrepi za odpornost, in sicer tako za kibernetske kot fizične vidike, kot je določeno v strategiji za varnostno unijo. Poleg tega predlog odraža nacionalne pristope v vse večjem številu držav članic, ki čedalje bolj poudarjajo medsektorsko in čezmejno soodvisnost ter vse bolj temeljijo na razmišljanju, ki upošteva odpornosti in v katerem je zaščita poleg preprečevanja in zmanjševanja tveganj, neprekinjenosti poslovanja in okrevanja le eden od elementov. Glede na to, da obstaja tveganje, da so lahko kritične infrastrukture tudi potencialne tarče terorizma, ukrepi, namenjeni zagotavljanju odpornosti kritičnih subjektov iz tega predloga, prispevajo k ciljem nedavno sprejete agende EU za boj proti terorizmu. Evropska unija (EU) že dolgo priznava vseevropski pomen kritičnih infrastruktur. EU je na primer leta 2006 vzpostavila evropski program za zaščito kritične infrastrukture (EPCIP) in leta 2008 sprejela direktivo o evropski kritični infrastrukturi (direktiva EKI). Direktiva EKI, ki se uporablja samo za energetski in prometni sektor, določa postopek za ugotavljanje in določanje EKI, pri katerih bi imela motnja v delovanju ali njihovo uničenje znatne čezmejne učinke v vsaj dveh državah članicah. Določa tudi posebne zahteve glede zaščite za izvajalce EKI in pristojne organe držav članic. Doslej je bilo imenovanih 94 EKI, od katerih se jih dve tretjini nahajata v treh državah članicah Srednje in Vzhodne Evrope. Vendar pa obseg ukrepanja EU v zvezi z odpornostjo kritične infrastrukture presega te ukrepe ter vključuje sektorske in medsektorske ukrepe, med drugim v zvezi s krepitvijo podnebne odpornosti, civilno zaščito, neposrednimi tujimi naložbami in kibernetsko varnostjo. Medtem so države članice same sprejele ukrepe na tem področju, ki se med seboj razlikujejo. Zato je očitno, da sedanji okvir za varovanje kritične infrastrukture ne zadostuje za reševanje trenutnih izzivov, ki so jim izpostavljene kritične infrastrukture in subjekti, ki jih upravljajo. Glede na vse večjo medsebojno povezanost infrastruktur, omrežij in izvajalcev, ki zagotavljajo bistvene storitve na notranjem trgu, je treba sedanji pristop v osnovi preusmeriti z zaščite specifičnih sredstev na krepitev odpornosti kritičnih subjektov, ki jih izvajajo. Operativno okolje, v katerem delujejo kritični subjekti, se je v zadnjih letih močno spremenilo. Prvič, obstoječa tveganjska krajina je bolj zapletena kot leta 2008, saj danes vključuje naravne nevarnosti (ki jih v številnih primerih še pospešujejo podnebne spremembe), hibridne ukrepe, ki jih podpirajo države, terorizem, notranje grožnje, pandemije in nesreče (kot so industrijske nesreče). Drugič, izvajalci se soočajo z izzivi pri vključevanju novih tehnologij, kot so 5G in brezpilotna vozila, v svoje delovanje, hkrati pa obravnavajo ranljivosti, ki bi jih take tehnologije lahko povzročile. Tretjič, zaradi teh tehnologij in drugih trendov so izvajalci čedalje bolj odvisni drug od drugega. Posledice tega so jasne – motnja, ki vpliva na zagotavljanje storitev s strani enega izvajalca v enem sektorju, lahko povzroči kaskadne učinke na zagotavljanje storitev v drugih sektorjih, potencialno pa tudi v drugih državah članicah ali po vsej Uniji. Kot je razvidno iz ocene direktive EKI iz leta 2019, se obstoječi evropski in nacionalni ukrepi soočajo z omejitvami pri pomoči izvajalcem pri reševanju operativnih izzivov, s katerimi se soočajo danes, in ranljivosti, ki jih prinaša njihova soodvisnost. Za to obstaja več razlogov, kot je navedeno v oceni učinka, s katero je bila podprta priprava predloga. Prvič, izvajalci se ne zavedajo ali ne razumejo v celoti posledic hitrega spreminjanja tveganjske krajine, v kateri delujejo. Drugič, prizadevanja za odpornost se med državami članicami in sektorji močno razlikujejo. Tretjič, nekatere države članice priznavajo podobne vrste subjektov za kritične, druge pa ne, kar pomeni, da primerljivi subjekti prejemajo različne stopnje uradne podpore za gradnjo zmogljivosti (npr. v obliki smernic, usposabljanja in organizacije vaj), odvisno od tega, kje v Uniji delujejo, in da zanje veljajo različne zahteve. Dejstvo, da se zahteve in vladna podpora izvajalcem med državami članicami razlikujejo, ustvarja ovire za izvajalce pri čezmejnem delovanju, zlasti za tiste kritične subjekte, ki delujejo v državah članicah s strožjimi okviri. Glede na čedalje večjo medsebojno povezanost zagotavljanja storitev in sektorjev v državah članicah in po vsej EU nezadostna raven odpornosti enega izvajalca pomeni resno tveganje za subjekte drugje na notranjem trgu. Motnje, zlasti tiste s čezmejnimi in potencialno vseevropskimi posledicami, imajo lahko poleg ogrožanja nemotenega delovanja notranjega trga resne negativne posledice za državljane, podjetja, vlade in okolje. Na individualni ravni lahko motnje dejansko vplivajo na zmožnost Evropejcev, da prosto potujejo, delajo in uporabljajo osnovne javne storitve, kot je zdravstveno varstvo. Te in druge osrednje storitve, ki so temelj vsakdanjega življenja, v številnih primerih zagotavljajo tesno povezana omrežja evropskih podjetij; motnje v enem podjetju v enem sektorju imajo lahko kaskadne učinke v številnih drugih gospodarskih sektorjih. Kot zadnje, motnje, kot so na primer obsežni izpadi električne energije in hude prometne nesreče, lahko ogrozijo varnost in javno varnost ter s tem povzročijo negotovost in spodkopavanje zaupanja v kritične subjekte ter v organe, odgovorne za njihov nadzor in ohranjanje varnosti in zaščite prebivalstva. ·Skladnost z veljavnimi predpisi s področja zadevne politike Ta predlog odraža prednostne naloge strategije Komisije za varnostno unijo EU, ki poziva k revidiranemu pristopu k odpornosti kritične infrastrukture, ki bo bolje odražal sedanjo in predvideno prihodnjo tveganjsko krajino, čedalje tesnejše soodvisnosti med različnimi sektorji ter čedalje bolj soodvisna razmerja med fizičnimi in digitalnimi infrastrukturami. Predlagana direktiva nadomešča direktivo EKI ter upošteva in nadgrajuje druge obstoječe in predvidene instrumente. Predlagana direktiva pomeni znatno spremembo v primerjavi z direktivo EKI, ki se uporablja le za energetski in prometni sektor, osredotoča zgolj na zaščitne ukrepe ter določa postopek za opredeljevanje in imenovanje EKI prek čezmejnega dialoga. Prvič, področje uporabe predlagane direktive bi bilo veliko širše, saj bi zajemalo deset sektorjev, in sicer energetiko, promet, bančništvo, infrastrukturo finančnega trga, zdravje, pitno vodo, odpadno vodo, digitalno infrastrukturo, javno upravo in vesolje. Drugič, direktiva določa postopek, po katerem države članice opredelijo kritične subjekte z uporabo skupnih meril na podlagi nacionalne ocene tveganja. Tretjič, predlog določa obveznosti za države članice in kritične subjekte, ki jih opredelijo države članice, vključno s tistimi, ki so posebnega evropskega pomena, tj. kritičnimi subjekti, ki zagotavljajo bistvene storitve več kot tretjini ali v več kot tretjini držav članic, ki bi bili pod posebnim nadzorom. Komisija bi po potrebi pristojnim organom in kritičnim subjektom zagotovila podporo pri izpolnjevanju njihovih obveznosti iz direktive. Poleg tega bi Komisiji svetovala skupina za odpornost kritičnih subjektov, ki je strokovna skupina Komisije, za katero velja horizontalni okvir, ki se uporablja za takšne skupine, spodbujala pa bi tudi strateško sodelovanje in izmenjavo informacij. Kot zadnje, ker se soodvisnosti ne končajo na zunanjih mejah EU, je potrebno tudi sodelovanje s partnerskimi državami. Predlagana direktiva omogoča takšno sodelovanje, na primer na področju ocen tveganja. Skladnost z drugimi politikami Unije

Predlagana direktiva ima očitne povezave in je skladna z drugimi sektorskimi in medsektorskimi pobudami EU, med drugim s pravnim redom na področjih krepitve podnebne odpornosti, civilne zaščite, neposrednih tujih naložb, kibernetske varnosti in finančnih storitev. Predlog je zlasti tesno usklajen in vzpostavlja tesne sinergije s predlagano direktivo VOIS 2, katere cilj je, da „bistveni subjekti“ in „pomembni subjekti“, ki dosegajo specifične mejne vrednosti v številnih sektorjih, povečajo odpornost informacijskih in komunikacijskih tehnologij (IKT) na vse nevarnosti. Cilj tega predloga direktive o odpornosti kritičnih subjektov je zagotoviti, da pristojni organi, imenovani v skladu s to direktivo in s predlagano direktivo VOIS 2, sprejmejo dopolnilne ukrepe in si po potrebi izmenjujejo informacije o kibernetski in nekibernetski odpornosti ter da za še posebej kritične subjekte v sektorjih, ki se v skladu s predlagano direktivo VOIS 2 štejejo za „bistvene“, veljajo tudi splošnejše obveznosti za krepitev odpornosti za obravnavanje nekibernetskih tveganj. Fizična varnost omrežij in informacijskih sistemov subjektov v sektorju digitalne infrastrukture je celovito obravnavana v predlagani direktivi VOIS 2 kot del obveznosti teh subjektov glede obvladovanja tveganj in poročanja na področju kibernetske varnosti. Poleg tega predlog temelji na obstoječem pravnem redu na področju finančnih storitev, ki določa celovite zahteve za finančne subjekte za obvladovanje operativnih tveganj in zagotavljanje neprekinjenega poslovanja. Zato bi bilo treba subjekte v sektorjih digitalne infrastrukture, bančništva in finančne infrastrukture za namene obveznosti in dejavnosti držav članic obravnavati kot subjekte, enakovredne kritičnim subjektom v skladu s to direktivo, medtem ko ta direktiva tem subjektom ne bi nalagala dodatnih obveznosti. Predlog upošteva tudi druge sektorske in medsektorske pobude na področjih, kot so civilna zaščita, zmanjševanje tveganja nesreč in prilagajanje podnebnim spremembam. Poleg tega predlog priznava, da obstoječa zakonodaja EU v nekaterih primerih za subjekte določa obveznosti, da nekatera tveganja obravnavajo z zaščitnimi ukrepi. V takih primerih, npr. na področju letalske ali pomorske varnosti, bi morali kritični subjekti te ukrepe opisati v svojih načrtih za odpornost. Poleg tega predlagana direktiva ne posega v uporabo pravil o konkurenci iz Pogodbe o delovanju Evropske unije (PDEU). 2.PRAVNA PODLAGA, SUBSIDIARNOST IN SORAZMERNOST ·Pravna podlaga Za razliko od Direktive 2008/114/ES, ki je temeljila na členu 308 Pogodbe o ustanovitvi Evropske skupnosti (ki ustreza sedanjemu členu 352 Pogodbe o delovanju Evropske unije), ta predlog direktive temelji na členu 114 PDEU, ki vključuje približevanje zakonodaje za izboljšanje notranjega trga. To je upravičeno zaradi spremembe cilja, področja uporabe in vsebine direktive, večje soodvisnosti in potrebe po vzpostavitvi bolj enakih konkurenčnih pogojev za kritične subjekte. Namesto zaščite omejenega nabora fizičnih infrastruktur, pri katerih bi imela motnja v delovanju ali njihovo uničenje znatne čezmejne učinke, je cilj okrepiti odpornost subjektov v državah članicah, ki so kritičnega pomena za zagotavljanje storitev, bistvenih za ohranjanje ključnih družbenih funkcij ali gospodarskih dejavnosti na notranjem trgu v številnih sektorjih, ki podpirajo delovanje številnih drugih sektorjev gospodarstva Unije. Zaradi povečane čezmejne soodvisnosti med storitvami, ki se zagotavljajo z uporabo kritičnih infrastruktur v teh sektorjih, ima lahko motnja v eni državi članici posledice v drugih državah članicah ali Uniji kot celoti. Sedanji pravni okvir, kot je bil vzpostavljen na ravni držav članic in ureja zadevne storitve, vključuje precej različne obveznosti, ki se bodo verjetno še povečale. Različna nacionalna pravila, ki veljajo za kritične subjekte, ne ogrožajo le zanesljivega opravljanja storitev na notranjem trgu, ampak lahko tudi negativno vplivajo na konkurenco. Razlog za to je predvsem dejstvo, da se podobne vrste subjektov, ki zagotavljajo podobne vrste storitev, v nekaterih državah članicah štejejo za kritične, v drugih pa ne. To pomeni, da za subjekte, ki delujejo ali želijo delovati v več kot eni državi članici, veljajo različne obveznosti pri delovanju na notranjem trgu in da se lahko subjekti, ki delujejo v državah članicah s strožjimi zahtevami, srečujejo z ovirami v primerjavi s subjekti v državah članicah z manj strogimi okviri. Te razlike so take, da neposredno negativno vplivajo na delovanje notranjega trga. ·Subsidiarnost Skupni zakonodajni okvir na evropski ravni na tem področju je upravičen zaradi soodvisnosti in čezmejne narave razmerij med dejavnostmi kritične infrastrukture in njihovimi rezultati, tj. bistvenimi storitvami. Dejansko lahko izvajalec s sedežem v eni državi članici prek tesno prepletenih omrežij zagotavlja storitve v več drugih državah članicah ali po vsej EU. Iz tega sledi, da bi lahko imela motnja, ki bi vplivala na tega izvajalca, daljnosežne posledice za druge sektorje in prek nacionalnih meja. Morebitne vseevropske posledice motenj zahtevajo ukrepanje na ravni EU. Poleg tega različna nacionalna pravila povzročajo neposreden negativen učinek na delovanje notranjega trga. Kot je pokazala ocena učinka, številne države članice in deležniki iz industrije vidijo potrebo po bolj enotnem in usklajenem evropskem pristopu, s katerim bi zagotovili, da so subjekti dovolj odporni na različna tveganja, ki se sicer nekoliko razlikujejo od ene države članice do druge, vendar ustvarjajo številne skupne izzive, ki jih ni mogoče obravnavati z nacionalnimi ukrepi ali s strani posameznih izvajalcev. ·Sorazmernost Predlog je sorazmeren glede na navedeni krovni cilj pobude. Čeprav lahko obveznosti, naložene državam članicam in kritičnim subjektom, v nekaterih primerih pomenijo dodatno upravno breme, npr. kadar morajo države članice razviti nacionalno strategijo ali kadar morajo kritični subjekti uvesti določene tehnične in organizacijske ukrepe, se pričakuje, da bodo te na splošno omejene. V zvezi s tem je treba opozoriti, da so številni subjekti že sprejeli nekatere varnostne ukrepe za zaščito svoje infrastrukture in zagotovitev neprekinjenega poslovanja. V nekaterih primerih pa bodo za doseganje skladnosti z direktivo morda potrebne večje naložbe. Tudi v takih primerih so te naložbe upravičene, če bi prispevale k večji odpornosti na ravni izvajalcev in sistemski odpornosti ter k skladnejšemu pristopu in večji zmogljivosti za zagotavljanje zanesljivih storitev po vsej Uniji. Poleg tega se pričakuje, da bi stroški zaradi reševanja in okrevanja po večjih motnjah, ki bi ogrozile neprekinjeno zagotavljanje storitev v zvezi z bistvenimi družbenimi funkcijami in gospodarsko blaginjo izvajalcev, posameznih držav članic, Unije in njenih državljanov na splošno, znatno presegli vsako dodatno breme, ki izhaja iz direktive. ·Izbira instrumenta Predlog je v obliki direktive, katere cilj je zagotoviti enotnejši pristop k odpornosti kritičnih subjektov v številnih sektorjih po vsej Uniji. Predlog določa specifične obveznosti pristojnih organov, da opredelijo kritične subjekte na podlagi skupnih meril in rezultatov ocene tveganja. Z direktivo je mogoče zagotoviti, da države članice uporabljajo enoten pristop pri opredelitvi kritičnih subjektov, hkrati pa upoštevajo posebnosti na nacionalni ravni, vključno z različnimi ravnmi izpostavljenosti tveganju in soodvisnosti med sektorji in prek meja. 3.REZULTATI NAKNADNIH OCEN, POSVETOVANJ Z DELEŽNIKI IN OCEN UČINKA ·Naknadne ocene/preverjanja primernosti obstoječe zakonodaje Direktiva o evropski kritični infrastrukturi (direktiva EKI) je bila leta 2019 predmet ocene, katere cilj je bil oceniti njeno ustreznost, skladnost, uspešnost, učinkovitost, dodano vrednost EU in trajnost. V oceni je bilo ugotovljeno, da so se razmere od začetka veljavnosti direktive bistveno spremenile. Glede na te spremembe je bilo ugotovljeno, da je direktiva le delno relevantna. Čeprav je bilo v oceni ugotovljeno, da je direktiva na splošno skladna z ustrezno evropsko sektorsko zakonodajo in politiko na mednarodni ravni, se je zaradi splošnosti nekaterih njenih določb smatrala za le delno učinkovito. Ugotovljeno je bilo, da je direktiva ustvarila dodano vrednost EU, saj je dosegla rezultate (tj. skupni okvir za zaščito EKI), ki jih sicer ne bi mogle doseči niti nacionalne niti druge evropske pobude, ne da bi se začeli veliko daljši, dražji in manj natančno opredeljeni postopki. Kljub temu je bilo ugotovljeno, da so imele nekatere določbe omejeno dodano vrednost za številne države članice. V zvezi s trajnostjo se je pričakovalo, da bodo nekateri učinki direktive (npr. čezmejne razprave, zahteve glede poročanja) prenehali, če bi bila direktiva razveljavljena in ne bi bila nadomeščena. V oceni je bilo ugotovljeno, da države članice še naprej podpirajo sodelovanje EU pri prizadevanjih za krepitev odpornosti kritične infrastrukture in da obstaja nekaj pomislekov, da bi lahko imela popolna razveljavitev direktive negativne učinke na tem področju, zlasti na zaščito imenovanih EKI. Države članice so želele zagotoviti, da delovanje Unije na tem področju še naprej spoštuje načelo subsidiarnosti, podpira ukrepe na nacionalni ravni in olajšuje čezmejno sodelovanje, tudi s tretjimi državami. ·Posvetovanja z deležniki Komisija se je pri pripravi tega predloga posvetovala s številnimi deležniki, vključno z: institucijami in agencijami Evropske unije; mednarodnimi organizacijami; organi držav članic; zasebnimi subjekti, vključno s posameznimi izvajalci ter nacionalnimi in evropskimi panožnimi združenji, ki zastopajo izvajalce v številnih različnih sektorjih; strokovnjaki in mrežami strokovnjakov, vključno z evropsko referenčno mrežo za zaščito kritičnih infrastruktur (ERNCIP); člani akademskega sveta; nevladnimi organizacijami in splošno javnostjo.

Posvetovanja z deležniki so potekala na več načinov, vključno z: možnostjo javnosti za povratne informacije v zvezi z začetno oceno učinka tega predloga, posvetovalnimi seminarji, ciljno usmerjenimi vprašalniki, dvostranskimi izmenjavami in javnim posvetovanjem (v podporo oceni direktive EKI iz leta 2019). Poleg tega je zunanji izvajalec, odgovoren za študijo izvedljivosti, ki je podprla pripravo ocene učinka, vključil posvetovanja s številnimi deležniki, npr. prek spletne ankete, s pisnim vprašalnikom, individualnimi intervjuji in virtualnimi „obiski na terenu“ v 10 državah članicah. Ta posvetovanja so Komisiji omogočila, da je preučila uspešnost, učinkovitost, ustreznost, skladnost in dodano vrednost EU obstoječega okvira za odpornost kritične infrastrukture (tj. izhodiščno stanje), težave, ki jih je povzročil, različne možnosti politike, ki bi prišle v poštev pri reševanju teh težav, in specifične učinke, ki bi jih lahko imele te možnosti. Na splošno so posvetovanja pokazala številna področja, na katerih so bili deležniki na splošno soglasni, med drugim tudi glede tega, da bi bilo treba obstoječi okvir EU za odpornost kritične infrastrukture prenoviti glede na naraščajočo medsektorsko soodvisnost in spreminjajoče se grožnje. Natančneje, deležniki so se na splošno strinjali, da bi moral vsak nov pristop vključevati kombinacijo zavezujočih in nezavezujočih ukrepov, biti bolj osredotočen na odpornost kot na zaščito sredstev ter zagotoviti jasnejšo povezavo med ukrepi, namenjenimi krepitvi kibernetske in nekibernetske odpornosti. Poleg tega so podprli pristop, ki upošteva določbe v obstoječi sektorski zakonodaji, zajema vsaj tiste sektorje, ki jih zajema veljavna direktiva VOIS, in enotnejše obveznosti za kritične subjekte na nacionalni ravni, ki pa bi morali biti sposobni izvajati zadosten varnostni nadzor osebja z dostopom do občutljivih objektov/informacij. Ob tem so deležniki predlagali, da bi moral vsak nov pristop za države članice ustvariti priložnosti, da izvajajo okrepljen nadzor nad dejavnostmi kritičnih subjektov, hkrati pa zagotoviti, da so kritični subjekti vseevropskega pomena opredeljeni in dovolj odporni. Nazadnje so se zavzeli tudi za več finančnih sredstev in podpore EU, npr. za izvajanje novih instrumentov, krepitev zmogljivosti na nacionalni ravni, usklajevanje/sodelovanje med javnim in zasebnim sektorjem ter izmenjavo dobrih praks, znanja in strokovnega znanja na različnih ravneh. Obravnavani predlog vsebuje določbe, ki na splošno ustrezajo stališčem in preferencam, ki so jih izrazili deležniki. ·Zbiranje in uporaba strokovnih mnenj Kot je navedeno v prejšnjem oddelku, se je Komisija pri pripravi obravnavanega predloga oprla na zunanje strokovno znanje v okviru posvetovanj z npr. neodvisnimi strokovnjaki, mrežami strokovnjakov in člani akademskega sveta. ·Ocena učinka V oceni učinka, ki je podprla razvoj te pobude, so bile preučene različne možnosti politike za reševanje zgoraj opisanih splošnih in posebnih težav. Poleg izhodiščnega stanja, ki ne bi pomenilo spremembe sedanjega stanja, so bile med njimi: –možnost 1: ohranitev obstoječe direktive EKI, ki jo spremljajo prostovoljni ukrepi v okviru obstoječega evropskega programa za zaščito kritične infrastrukture; –možnost 2: revizija obstoječe direktive EKI, da bi zajela iste sektorje kot obstoječa direktiva VOIS ter se bolj osredotočila na odpornost. Nova direktiva EKI bi prinesla spremembe obstoječega postopka določanja čezmejne EKI, vključno z novimi merili za določanje, ter nove zahteve za države članice in izvajalce; –možnost 3: nadomestitev obstoječe direktive EKI z novim instrumentom, namenjenim povečanju odpornosti kritičnih subjektov v sektorjih, ki jih predlagana direktiva VOIS 2 šteje za bistvene. Ta možnost bi določala minimalne zahteve za države članice in kritične subjekte, opredeljene v novem okviru. Zagotovljen bi bil postopek za opredelitev kritičnih subjektov, ki ponujajo storitve več državam članicam ali v več državah članicah, če ne v vseh državah članicah EU. Izvajanje zakonodaje bi podpiralo namensko vozlišče znanj znotraj Komisije; –možnost 4: nadomestitev obstoječe direktive EKI z novim instrumentom, namenjenim povečanju odpornosti kritičnih subjektov v sektorjih, ki jih predlagana direktiva VOIS 2 šteje za bistvene, ter pomembnejša vloga Komisije pri opredelitvi kritičnih subjektov in ustanovitev namenske agencije EU, odgovorne za odpornost kritične infrastrukture (ki bi prevzela vloge in odgovornosti, dodeljene vozlišču znanj, predlaganem v prejšnji možnosti). Glede na različne gospodarske, socialne in okoljske učinke, povezane z vsako od možnosti, pa tudi njihovo vrednost v smislu uspešnosti, učinkovitosti in sorazmernosti je bilo v oceni učinka ugotovljeno, da je prednostna možnost možnost 3. Medtem ko možnosti 1 in 2 ne bi prinesli sprememb, potrebnih za reševanje problema, bi možnost 3 privedla do usklajenega in celovitejšega okvira za odpornost, ki bi bil tudi usklajen z veljavnim pravom Unije na povezanih področjih in bi ga upošteval. Ugotovljeno je bilo tudi, da je možnost 3 sorazmerna in se zdi politično izvedljiva, saj je skladna z izjavami Sveta in Parlamenta o potrebi po ukrepanju Unije na tem področju. Poleg tega je bilo ugotovljeno, da bo ta možnost verjetno zagotovila prožnost in okvir, primeren za prihodnost, ki bi kritičnim subjektom omogočil, da se sčasoma odzovejo na različna tveganja. Nazadnje je bilo v oceni učinka ugotovljeno, da bi ta možnost dopolnjevala obstoječe sektorske in medsektorske okvire in instrumente. Ta možnost na primer dopušča, da imenovani subjekti izpolnijo določene obveznosti iz tega novega instrumenta z obveznostmi v obstoječih instrumentih, pri čemer jim v tem primeru ne bi bilo treba sprejeti dodatnih ukrepov. Po drugi strani bi se od njih pričakovalo, da bodo sprejeli določene ukrepe, kadar obstoječi instrumenti ne pokrivajo določene zadeve ali so omejeni le na nekatere vrste tveganj ali ukrepov. Oceno učinka je pregledal Odbor za regulativni nadzor, ki je 20. novembra 2020 izdal pozitivno mnenje s pridržki. Odbor je opozoril na številne elemente ocene učinka, ki bi jih bilo treba obravnavati. Natančneje, Odbor je zahteval dodatna pojasnila v zvezi s tveganji, povezanimi s kritično infrastrukturo in čezmejno razsežnostjo, povezavo med pobudo in trenutno revizijo direktive VOIS ter razmerjem med prednostno možnostjo politike in drugimi sektorskimi zakonodajnimi akti. Poleg tega je Odbor menil, da je treba dodatno utemeljiti razširitev sektorskega področja uporabe instrumenta, in zahteval dodatne informacije o merilih za izbiro kritičnih subjektov. Nazadnje je Odbor, kar zadeva sorazmernost, zaprosil za dodatna pojasnila o tem, kako bi prednostna možnost privedla do boljših nacionalnih odzivov na čezmejna tveganja. Te in druge podrobnejše pripombe, ki jih je predložil Odbor, so bile obravnavane v končni različici ocene učinka, v kateri so na primer podrobneje opisana čezmejna tveganja za kritične infrastrukture ter razmerje med tem predlogom in predlogom direktive VOIS 2. Pripombe Odbora so bile upoštevane tudi v predlogu direktive, ki sledi. ·Primernost in poenostavitev ureditve V skladu s programom Komisije glede ustreznosti in uspešnosti predpisov (REFIT) bi si morale vse pobude, namenjene spreminjanju obstoječe zakonodaje EU, prizadevati za poenostavitev in učinkovitejše doseganje navedenih ciljev politike. Ugotovitve ocene učinka kažejo, da bi moral predlog zmanjšati splošno obremenitev držav članic. S tesnejšo uskladitvijo s pristopom, osredotočenim na storitve, iz sedanje direktive VOIS se bodo stroški usklajevanja sčasoma verjetno zmanjšali. Obremenjujoči postopek čezmejne opredelitve in določitve iz obstoječe direktive EKI bi bil na primer nadomeščen s postopkom na podlagi tveganja na nacionalni ravni, ki bi bil namenjen le opredelitvi kritičnih subjektov, za katere bi veljale različne obveznosti. Države članice bi na podlagi ocene tveganja opredelile kritične subjekte, od katerih je večina že imenovana za izvajalce bistvenih storitev v skladu s sedanjo direktivo VOIS. Poleg tega bo s sprejetjem ukrepov za povečanje odpornosti kritičnih subjektov manj verjetno, da bo prišlo do motenj. Tako bi se zmanjšala verjetnost incidentov, ki povzročajo motnje v delovanju in bi negativno vplivali na zagotavljanje bistvenih storitev v posameznih državah članicah in po vsej Evropi. To bi skupaj s pozitivnimi učinki uskladitve različnih nacionalnih pravil na ravni Unije pozitivno vplivalo na podjetja, vključno z mikro, malimi in srednjimi podjetji, splošno zdravje gospodarstva Unije in zanesljivo delovanje notranjega trga. ·Temeljne pravice Namen predlagane zakonodaje je okrepiti odpornost kritičnih subjektov, ki zagotavljajo različne oblike bistvenih storitev, hkrati pa odpraviti regulativne ovire za njihovo zmožnost zagotavljanja storitev po vsej Uniji. S tem bi se zmanjšalo skupno tveganje za motnje na družbeni in individualni ravni ter zmanjšala obremenitev. To bi prispevalo k zagotavljanju višje ravni javne varnosti, hkrati pa pozitivno vplivalo na svobodo gospodarske pobude podjetij ter na številne druge gospodarske subjekte, ki so odvisni od zagotavljanja bistvenih storitev, kar bi nazadnje koristilo potrošnikom. Določbe predloga, katerih namen je zagotoviti učinkovito upravljanje varnosti zaposlenih, bodo običajno vključevale obdelavo osebnih podatkov. To je utemeljeno s potrebo po preverjanju preteklosti določenih kategorij osebja. Poleg tega bo vsaka taka obdelava osebnih podatkov vedno skladna s pravili Unije o varstvu osebnih podatkov, vključno s Splošno uredbo o varstvu podatkov. 4.PRORAČUNSKE POSLEDICE Predlagana direktiva vpliva na proračun Unije. Skupna finančna sredstva, potrebna za podporo izvajanju tega predloga, so za obdobje 2021–2027 ocenjena na 42,9 milijona EUR, od tega 5,1 milijona EUR predstavljajo upravni odhodki. Ti stroški se lahko razčlenijo na naslednji način:

–podporne dejavnosti Komisije, vključno z zaposlovanjem osebja, projekti, študijami in podpornimi dejavnostmi; –svetovalne misije, ki jih organizira Komisija; –redna srečanja skupine za odpornost kritičnih subjektov, odbora za komitologijo in druga srečanja. Podrobnejše informacije so navedene v oceni finančnih posledic zakonodajnega predloga, ki je priložena temu predlogu. 5.DRUGI ELEMENTI ·Načrti za izvedbo ter ureditev spremljanja, ocenjevanja in poročanja Izvajanje predlagane direktive bo pregledano štiri leta in pol po začetku njene veljavnosti, nato pa bo Komisija predložila poročilo Evropskemu parlamentu in Svetu. V poročilu bo ocenila obseg, v katerem so države članice sprejele potrebne ukrepe za uskladitev s to direktivo. Komisija bo v šestih letih po začetku veljavnosti direktive Evropskemu parlamentu in Svetu predložila poročilo o oceni učinka in dodane vrednosti direktive. ·Natančnejša pojasnitev posameznih določb predloga Predmet urejanja, področje uporabe in opredelitev pojmov (člena 1 in 2) Člen 1 določa predmet urejanja in področje uporabe direktive, ki določa obveznosti držav članic, da sprejmejo določene ukrepe za zagotavljanje storitev, bistvenih za ohranjanje ključnih družbenih funkcij ali gospodarskih dejavnosti, na notranjem trgu, zlasti da opredelijo kritične subjekte in jim omogočijo izpolnjevanje specifičnih obveznosti, katerih cilj je povečati njihovo odpornost in izboljšati njihovo zmožnost zagotavljanja teh storitev na notranjem trgu. Direktiva določa tudi pravila o nadzoru in izvrševanju kritičnih subjektov ter posebnem nadzoru kritičnih subjektov, za katere se šteje, da imajo poseben evropski pomen. V členu 1 so pojasnjeni tudi razmerje med direktivo in drugimi ustreznimi akti prava Unije ter pogoji, pod katerimi se s Komisijo in drugimi ustreznimi organi izmenjujejo informacije, ki so v skladu s pravili Unije in nacionalnimi pravili zaupne. Člen 2 vsebuje seznam opredelitev pojmov, ki se uporabljajo. Nacionalni okviri za odpornost kritičnih subjektov (členi 3–9) Člen 3 določa, da države članice sprejmejo strategijo za krepitev odpornosti kritičnih subjektov, opisuje elemente, ki bi jih morala vsebovati, pojasnjuje, da bi jo bilo treba redno in po potrebi posodabljati, ter določa, da države članice Komisiji sporočijo svoje strategije in vse njihove posodobitve. Člen 4 določa, da pristojni organi sestavijo seznam bistvenih storitev in redno ocenjujejo vsa relevantna tveganja, ki bi lahko vplivala na zagotavljanje teh bistvenih storitev, da bi opredelili kritične subjekte. V tej oceni se upoštevajo ocene tveganja, izvedene v skladu z drugimi ustreznimi akti prava Unije, tveganja, ki izhajajo iz odvisnosti med posameznimi sektorji, in razpoložljive informacije o incidentih. Države članice zagotovijo, da so kritičnim subjektom na voljo ustrezni elementi ocene tveganja ter da so podatki o vrstah ugotovljenih tveganj in rezultatih njihovih ocen tveganja redno na voljo Komisiji. Člen 5 določa, da države članice opredelijo kritične subjekte v določenih sektorjih in podsektorjih. Pri postopku opredelitve bi bilo treba upoštevati rezultate ocene tveganja in uporabiti specifična merila. Države članice sestavijo seznam kritičnih subjektov, ki se po potrebi in redno posodablja. Kritični subjekti so ustrezno obveščeni, da so bili opredeljeni kot kritični subjekti, in o obveznostih, ki izhajajo iz tega. Pristojni organi, odgovorni za izvajanje direktive, uradno obvestijo pristojne organe, odgovorne za izvajanje direktive VOIS 2, o opredelitvi kritičnih subjektov. Kadar subjekt kot kritičen opredelita dve ali več držav članic, se države članice med seboj posvetujejo, da zmanjšajo obremenitev kritičnega subjekta. Kadar kritični subjekti zagotavljajo storitve več kot tretjini ali v več kot tretjini držav članic, zadevna država članica Komisijo uradno obvesti o identitetah teh kritičnih subjektov. Člen 6 opredeljuje pojem „pomembni moteči učinek“ iz člena 5(2) in zahteva, da države članice Komisiji predložijo določene oblike informacij o kritičnih subjektih, ki jih opredelijo, in o načinu opredelitve. Člen 6 prav tako Komisijo pooblašča, da po posvetovanju s skupino za odpornost kritičnih subjektov sprejme ustrezne smernice. Člen 7 določa, da bi morale države članice opredeliti subjekte v sektorjih bančništva, infrastrukture finančnega trga in digitalne infrastrukture, ki jih je treba obravnavati kot enakovredne kritičnim subjektom samo za namene poglavja II. Te subjekte bi bilo treba obvestiti o tem, da so bili opredeljeni kot kritični subjekti. Člen 8 določa, da vsaka država članica imenuje enega ali več pristojnih organov, odgovornih za pravilno uporabo direktive na nacionalni ravni, ter enotno kontaktno točko, zadolženo za zagotavljanje čezmejnega sodelovanja, ter jim zagotovi ustrezne vire. Enotna kontaktna točka Komisiji redno pošilja zbirno poročilo o priglasitvah incidentov. Člen 8 zahteva, da pristojni organi, odgovorni za uporabo direktive, sodelujejo z drugimi ustreznimi nacionalnimi organi, vključno s pristojnimi organi, imenovanimi v skladu z direktivo VOIS 2. Člen 9 določa, da države članice zagotavljajo podporo kritičnim subjektom pri zagotavljanju njihove odpornosti ter omogočajo lažje sodelovanje in prostovoljno izmenjavo informacij in dobrih praks med pristojnimi organi in kritičnimi subjekti. Odpornost kritičnih subjektov (členi 10–13) Člen 10 določa, da kritični subjekti redno ocenjujejo vsa relevantna tveganja na podlagi nacionalnih ocen tveganja in drugih ustreznih virov informacij. Člen 11 določa, da kritični subjekti sprejmejo ustrezne in sorazmerne tehnične in organizacijske ukrepe za zagotovitev svoje odpornosti ter zagotovijo, da so ti ukrepi opisani v načrtu za odpornost ali enakovrednem dokumentu ali dokumentih. Države članice lahko zahtevajo, da Komisija organizira svetovalne misije za svetovanje kritičnim subjektom pri izpolnjevanju njihovih obveznosti. Člen 11 prav tako pooblašča Komisijo, da po potrebi sprejme delegirane in izvedbene akte. Člen 12 določa, da države članice zagotovijo, da lahko kritični subjekti vložijo zahtevke za preverjanje preteklosti oseb, ki spadajo ali bi lahko spadale v nekatere specifične kategorije osebja, in da te zahtevke organi, pristojni za izvajanje takšnih preverjanj preteklosti, obravnavajo hitro. V členu so opisani namen, obseg in vsebina preverjanj preteklosti, ki so v skladu s Splošno uredbo o varstvu podatkov. Člen 13 določa, da države članice zagotovijo, da kritični subjekti pristojnemu organu priglasijo incidente, ki povzročijo ali bi lahko povzročili pomembno motnjo v njihovem delovanju. Pristojni organi pa nato kritičnemu subjektu, ki je poslal uradno obvestilo, pošljejo ustrezne informacije o nadaljnjem ukrepanju. Pristojni organi prek enotne kontaktne točke obvestijo tudi enotne kontaktne točke v drugih prizadetih državah članicah, če incident ima ali bi lahko imel čezmejne učinke v eni ali več drugih državah članicah.

Poseben nadzor nad kritičnimi subjekti posebnega evropskega pomena (člena 14 in 15) V členu 14 so kritični subjekti posebnega evropskega pomena opredeljeni kot subjekti, ki so bili opredeljeni kot kritični subjekti in ki zagotavljajo bistvene storitve več kot tretjini ali v več kot tretjini držav članic. Komisija po prejemu uradnega obvestila v skladu s členom 5(6) zadevni subjekt obvesti, da se šteje za kritični subjekt posebnega evropskega pomena, o obveznostih, ki jih to zajema, in datumu, od katerega začnejo te obveznosti veljati. V členu 15 so opisane posebne ureditve nadzora, ki se uporabljajo za kritične subjekte posebnega evropskega pomena, ki vključujejo tudi zahtevo, da države članice gostiteljice Komisiji in skupini za odpornost kritičnih subjektov na zahtevo predložijo informacije o oceni tveganja v skladu s členom 10 in ukrepih, sprejetih v skladu s členom 11, ter o vseh nadzornih ali izvršilnih ukrepih. Člen 15 določa tudi, da lahko Komisija organizira svetovalne misije za oceno ukrepov, ki jih sprejmejo posamezni kritični subjekti posebnega evropskega pomena. Komisija na podlagi analize ugotovitev svetovalne misije, ki jo je opravila skupina za odpornost kritičnih subjektov, državi članici, v kateri se nahaja infrastruktura subjekta, sporoči svoja stališča o tem, ali ta subjekt izpolnjuje svoje obveznosti, in po potrebi o tem, katere ukrepe bi bilo mogoče sprejeti za izboljšanje odpornosti subjekta. Člen opisuje sestavo, organizacijo in financiranje svetovalnih misij. Določa tudi, da Komisija sprejme izvedbeni akt, v katerem določi pravila o postopkovnih ureditvah za izvajanje svetovalnih misij in poročanje o njih. Sodelovanje in poročanje (člena 16 in 17) Člen 16 opisuje vlogo in naloge skupine za odpornost kritičnih subjektov, ki jo sestavljajo predstavniki držav članic in Komisije. Skupina podpira Komisijo ter lajša strateško sodelovanje in izmenjavo informacij. V členu je pojasnjeno, da lahko Komisija sprejme izvedbene akte, s katerimi določi postopkovne ureditve, potrebne za delovanje skupine za odpornost kritičnih subjektov. Člen 17 določa, da Komisija po potrebi podpira države članice in kritične subjekte pri izpolnjevanju njihovih obveznosti iz direktive ter dopolnjuje dejavnosti držav članic iz člena 9. Nadzor in izvršilni ukrepi (člena 18 in 19) Člen 18 določa, da imajo države članice določena pooblastila, sredstva in odgovornosti pri zagotavljanju izvajanja in izvrševanja direktive. Države članice zagotovijo, da pristojni organ po oceni, ali kritični subjekt izpolnjuje svoje obveznosti iz te direktive, o tem obvesti pristojne organe zadevne države članice, imenovane v skladu z direktivo VOIS 2, in lahko od teh organov zahteva, naj ocenijo kibernetsko varnost takega subjekta ter v ta namen sodelujejo in izmenjujejo informacije. Člen 19 določa, da države članice v skladu z dolgoletno prakso določijo pravila o kaznih, ki se uporabljajo za kršitve, in sprejmejo vse potrebne ukrepe za zagotovitev njihovega izvajanja. Končne določbe (členi 20–26) Člen 20 določa, da Komisiji pomaga odbor v smislu Uredbe (EU) št. 182/2011. To je standardni člen. Člen 21 Komisijo pooblašča za sprejemanje delegiranih aktov pod pogoji, določenimi v tem členu. Tudi to je standardni člen. Člen 22 določa, da Komisija Evropskemu parlamentu in Svetu predloži poročilo, v katerem oceni, v kolikšni meri so države članice sprejele potrebne ukrepe za uskladitev s to direktivo. Evropskemu parlamentu in Svetu je treba redno predložiti poročilo o oceni učinka in dodane vrednosti direktive ter o tem, ali bi bilo treba področje uporabe direktive razširiti na druge sektorje ali podsektorje, vključno s sektorjem proizvodnje, predelave in distribucije hrane. Člen 23 določa, da se Direktiva 2008/114/ES razveljavi z učinkom od dneva začetka veljavnosti te direktive. Člen 24 določa, da države članice v določenem roku sprejmejo in objavijo zakone in druge predpise, potrebne za uskladitev s to direktivo, ter o tem obvestijo Komisijo. Komisiji se sporočijo besedila temeljnih predpisov nacionalnega prava, sprejetih na področju, ki ga ureja ta direktiva. Člen 25 določa, da začne direktiva veljati dvajseti dan po objavi v Uradnem listu Evropske unije. Člen 26 določa, da je direktiva naslovljena na države članice.



2020/0365 (COD) Predlog DIREKTIVA EVROPSKEGA PARLAMENTA IN SVETA o odpornosti kritičnih subjektov EVROPSKI PARLAMENT IN SVET EVROPSKE UNIJE STA – ob upoštevanju Pogodbe o delovanju Evropske unije in zlasti člena 114 Pogodbe, ob upoštevanju predloga Evropske komisije, po posredovanju osnutka zakonodajnega akta nacionalnim parlamentom, ob upoštevanju mnenja Evropskega ekonomsko-socialnega odbora, ob upoštevanju mnenja Odbora regij,

v skladu z rednim zakonodajnim postopkom, ob upoštevanju naslednjega: (1)Direktiva Sveta 2008/114/ES določa postopek za določitev evropskih kritičnih infrastruktur v energetskem in prometnem sektorju, pri katerih bi imela motnja v delovanju ali njihovo uničenje pomemben čezmejni učinek na vsaj dve državi članici. Navedena direktiva je bila osredotočena izključno na zaščito takih infrastruktur. Vendar je bilo v oceni Direktive 2008/114/ES, opravljeni leta 2019, ugotovljeno, da zaščitni ukrepi, ki se nanašajo samo na posamezna sredstva, zaradi čedalje bolj medsebojno povezane in čezmejne narave operacij, pri katerih se uporablja kritična infrastruktura, ne zadostujejo za preprečitev vseh motenj. Zato je treba pristop preusmeriti k zagotavljanju odpornosti kritičnih subjektov, tj. njihove sposobnosti za blažitev, absorpcijo, prilagoditev in okrevanje po incidentih, ki bi lahko povzročili motnje v delovanju kritičnega subjekta. (2)Kljub obstoječim ukrepom na ravni Unije in nacionalni ravni, namenjenim podpori zaščite kritičnih infrastruktur v Uniji, subjekti, ki upravljajo te infrastrukture, niso ustrezno opremljeni za obravnavanje sedanjih in predvidenih prihodnjih tveganj za njihovo delovanje, ki bi lahko povzročila motnje pri zagotavljanju storitev, ki so bistvene za opravljanje ključnih družbenih funkcij ali gospodarskih dejavnosti. Razlog za to so dinamične grožnje z naraščajočo teroristično grožnjo in čedalje večjo soodvisnostjo infrastruktur in sektorjev ter povečano fizično tveganje zaradi naravnih nesreč in podnebnih sprememb, kar povečuje pogostost in obseg skrajnih vremenskih pojavov ter povzroča dolgoročne spremembe povprečnih podnebnih razmer, ki lahko zmanjšajo zmogljivost in učinkovitost nekaterih vrst infrastrukture, če niso vzpostavljeni ukrepi za odpornost ali prilagajanje podnebnim spremembam. Poleg tega ustrezni sektorji in vrste subjektov niso enako priznani kot kritični v vseh državah članicah. (3)Te naraščajoče soodvisnosti so posledica čedalje bolj čezmejne in soodvisne mreže zagotavljanja storitev, ki uporablja kritične infrastrukture po vsej Uniji v sektorjih energetike, prometa, bančništva, infrastrukture finančnega trga, digitalne infrastrukture, pitne in odpadne vode, zdravja, nekaterih vidikov javne uprave ter vesolja, kadar gre za zagotavljanje nekaterih storitev, ki so odvisne od zemeljskih infrastruktur, ki jih imajo v lasti, vodijo in upravljajo države članice ali zasebne stranke, zato ne zajemajo infrastruktur, ki jih ima v lasti, vodi ali upravlja Unija ali se vodijo ali upravljajo v njenem imenu kot del njenih vesoljskih programov. Tovrstne soodvisnosti pomenijo, da ima lahko vsaka motnja, tudi tista, ki je bila prvotno omejena na en subjekt ali en sektor, širše kaskadne učinke, kar bi lahko imelo daljnosežne in dolgotrajne negativne učinke na zagotavljanje storitev na notranjem trgu. Pandemija COVID-19 je razkrila ranljivost naših čedalje bolj soodvisnih družb ob soočenju s tveganji z majhno verjetnostjo. (4)Za subjekte, ki sodelujejo pri zagotavljanju bistvenih storitev, vedno pogosteje veljajo različne zahteve, ki jih nalagajo zakonodaje držav članic. Dejstvo, da imajo nekatere države članice manj stroge varnostne zahteve za te subjekte, lahko ne samo negativno vpliva na ohranjanje ključnih družbenih funkcij ali gospodarskih dejavnosti po vsej Uniji, ampak lahko tudi povzroča ovire za pravilno delovanje notranjega trga. Podobne vrste subjektov se v nekaterih državah članicah štejejo za kritične, v drugih pa ne, za tiste, ki so opredeljeni kot kritični, pa veljajo različne zahteve v različnih državah članicah. To povzroča dodatna in nepotrebna upravna bremena za podjetja, ki poslujejo čezmejno, zlasti za podjetja, ki delujejo v državah članicah s strožjimi zahtevami. (5)Zato je treba določiti usklajena minimalna pravila, da se zagotovi zagotavljanje bistvenih storitev na notranjem trgu in okrepi odpornost kritičnih subjektov. (6)Za dosego tega cilja bi morale države članice opredeliti kritične subjekte, za katere bi morale veljati posebne zahteve in nadzor, pa tudi uvesti posebno podporo in smernice, namenjene doseganju visoke ravni odpornosti na vsa relevantna tveganja. (7)Določeni gospodarski sektorji, kot sta energetika in promet, so že regulirani ali pa bi jih v prihodnosti lahko regulirali sektorski akti prava Unije, ki vsebujejo pravila v zvezi z določenimi vidiki odpornosti subjektov, ki delujejo v teh sektorjih. Da bi celovito obravnavali odpornost tistih subjektov, ki so kritičnega pomena za pravilno delovanje notranjega trga, bi bilo treba te sektorske ukrepe dopolniti z ukrepi iz te direktive, ki vzpostavlja krovni okvir za obravnavanje odpornosti kritičnih subjektov v zvezi z vsemi nevarnostmi, to je naravnimi in tistimi, ki jih namerno ali nenamerno povzroči človek. (8)Glede na pomen kibernetske varnosti za odpornost kritičnih subjektov in zaradi doslednosti je nujno, da sta pristopa te direktive in Direktive (EU) XX/YY Evropskega parlamenta in Sveta [predlagana direktiva o ukrepih za visoko skupno raven kibernetske varnosti v Uniji (v nadaljnjem besedilu: direktiva VOIS 2)] usklajena povsod, kjer je to mogoče. Glede na večjo pogostost in posebne značilnosti kibernetskih tveganj direktiva VOIS 2 določa celovite zahteve za velik sklop subjektov, da se zagotovi njihova kibernetska varnost. Glede na to, da je kibernetska varnost zadostno obravnavana v direktivi VOIS 2, bi bilo treba zadeve, ki jih zajema, izključiti iz področja uporabe te direktive, brez poseganja v posebno ureditev za subjekte v sektorju digitalne infrastrukture. (9)Kadar določbe drugih aktov Unije od kritičnih subjektov zahtevajo, da ocenijo relevantna tveganja, sprejmejo ukrepe za zagotovitev svoje odpornosti ali priglasijo incidente, te zahteve pa so vsaj enakovredne ustreznim obveznostim iz te direktive, se ustrezne določbe te direktive ne bi smele uporabljati, da bi se izognili podvajanju in nepotrebnim bremenom. V tem primeru bi se morale uporabljati ustrezne določbe teh drugih aktov. Če se ustrezne določbe te direktive ne uporabljajo, se tudi njene določbe o nadzoru in izvrševanju ne bi smele uporabljati. Države članice bi morale kljub temu v svojo strategijo za krepitev odpornosti kritičnih subjektov, oceno tveganja in podporne ukrepe v skladu s poglavjem II vključiti vse sektorje, navedene v Prilogi, ter biti zmožne opredeliti kritične subjekte v tistih sektorjih, v katerih so veljavni pogoji izpolnjeni, ob upoštevanju posebne ureditve za subjekte v sektorju bančništva, infrastrukture finančnega trga in digitalne infrastrukture. (10)Za zagotovitev celovitega pristopa k odpornosti kritičnih subjektov bi morala imeti vsaka država članica strategijo, ki določa cilje in ukrepe politike, ki jih je treba izvesti. Da bi to dosegle, bi morale države članice zagotoviti, da njihove strategije za kibernetsko varnost zagotavljajo okvir politike za okrepljeno usklajevanje med pristojnim organom iz te direktive in tistim iz direktive VOIS 2 v okviru izmenjave informacij o incidentih in kibernetskih grožnjah ter izvajanja nadzornih nalog. (11)Ukrepi držav članic za opredelitev in pomoč pri zagotavljanju odpornosti kritičnih subjektov bi morali slediti pristopu, ki temelji na tveganju in svoja prizadevanja usmerja v subjekte, ki so najpomembnejši za izvajanje ključnih družbenih funkcij ali gospodarskih dejavnosti. Za zagotovitev takega ciljno usmerjenega pristopa bi morala vsaka država članica v usklajenem okviru izvesti oceno vseh relevantnih naravnih tveganj in tveganj, ki jih povzroči človek, ki lahko vplivajo na zagotavljanje bistvenih storitev, vključno z nesrečami, naravnimi nesrečami, izrednimi razmerami v javnem zdravju, kot so pandemije, in antagonističnimi grožnjami, vključno s terorističnimi kaznivimi dejanji. Države članice bi morale pri izvajanju teh ocen tveganja upoštevati druge splošne ali sektorske ocene tveganja, izvedene v skladu z drugimi akti prava Unije, in odvisnosti med sektorji, tudi tiste iz drugih držav članic in tretjih držav. Rezultate ocene tveganja bi bilo treba uporabiti v postopku opredelitve kritičnih subjektov in za pomoč tem subjektom pri izpolnjevanju zahtev glede odpornosti iz te direktive. (12)Da se zagotovi, da navedene zahteve veljajo za vse zadevne subjekte, in da se zmanjšajo razlike v zvezi s tem, je pomembno določiti harmonizirana pravila, ki omogočajo dosledno opredeljevanje kritičnih subjektov po vsej Uniji, hkrati pa državam članicam omogočajo, da upoštevajo nacionalne posebnosti. Zato bi bilo treba določiti merila za opredelitev kritičnih subjektov. Zaradi uspešnosti, učinkovitosti, doslednosti in pravne varnosti bi bilo treba določiti tudi ustrezna pravila o uradnem obveščanju in sodelovanju v zvezi s takim opredeljevanjem ter njegove pravne posledice. Da bi Komisija lahko ocenila pravilno uporabo te direktive, bi ji morale države članice predložiti čim bolj podrobne in natančne ustrezne informacije in v vsakem primeru seznam bistvenih storitev, število kritičnih subjektov, opredeljenih za vsak sektor in podsektor iz Priloge, ter bistvene storitve ali storitve, ki jih zagotavlja vsak subjekt, in vse uporabljene mejne vrednosti. (13)Določiti bi bilo treba tudi merila za določitev pomembnosti negativnega vpliva, ki ga povzročijo taki incidenti. Ta merila bi morala temeljiti na merilih iz Direktive (EU) 2016/1148 Evropskega parlamenta in Sveta, da bi izkoristili prizadevanja držav članic za opredelitev teh izvajalcev in izkušnje, pridobljene v zvezi s tem. (14)Subjekti v sektorju digitalne infrastrukture v bistvu temeljijo na omrežnih in informacijskih sistemih ter spadajo na področje uporabe direktive VOIS 2, ki obravnava fizično varnost takih sistemov kot del njihovih obveznosti glede obvladovanja tveganj in poročanja na področju kibernetske varnosti. Ker so te zadeve zajete v direktivi VOIS 2, se obveznosti iz te direktive za take subjekte ne uporabljajo. Vendar bi morale države članice ob upoštevanju pomena storitev, ki jih zagotavljajo subjekti v sektorju digitalne infrastrukture za opravljanje drugih bistvenih storitev, na podlagi meril in smiselno z uporabo postopka iz te direktive opredeliti subjekte v sektorju digitalne infrastrukture, ki bi jih bilo treba obravnavati kot enakovredne kritičnim subjektom samo za namene poglavja II, vključno z zagotavljanjem podpore držav članic pri krepitvi odpornosti teh subjektov. Zato za take subjekte ne bi smele veljati obveznosti iz poglavij III do VI. Ker se obveznosti kritičnih subjektov iz poglavja II glede zagotavljanja določenih informacij pristojnim organom nanašajo na uporabo poglavij III in IV, tudi te obveznosti ne bi smele veljati za te subjekte. (15)Pravni red EU na področju finančnih storitev določa celovite zahteve za finančne subjekte za obvladovanje vseh tveganj, s katerimi se soočajo, vključno z operativnimi tveganji in zagotavljanjem neprekinjenega poslovanja. To vključuje Uredbo (EU) št. 648/2012 Evropskega parlamenta in Sveta, Direktivo 2014/65/EU Evropskega parlamenta in Sveta, Uredbo (EU) št. 600/2014 Evropskega parlamenta in Sveta ter Uredbo (EU) št. 575/2013 Evropskega parlamenta in Sveta in Direktivo 2013/36/EU Evropskega parlamenta in Sveta. Komisija je nedavno predlagala dopolnitev tega okvira z Uredbo XX/YYYY Evropskega parlamenta in Sveta [predlagana uredba o digitalni operativni odpornosti za finančni sektor (v nadaljnjem besedilu: uredba DORA)], ki določa zahteve za finančna podjetja glede obvladovanja tveganj na področju IKT, vključno z zaščito fizičnih infrastruktur IKT. Ker je odpornost subjektov iz točk 3 in 4 Priloge v celoti zajeta v pravnem redu EU na področju finančnih storitev, bi bilo treba tudi te subjekte obravnavati kot enakovredne kritičnim subjektom samo za namene poglavja II te direktive. Da se zagotovi dosledna uporaba pravil o operativnem tveganju in digitalni odpornosti v finančnem sektorju, bi morali organi, imenovani v skladu s členom 41 [uredbe DORA], in v skladu s postopki, določenimi v navedeni zakonodaji, na popolnoma usklajen način zagotoviti podporo držav članic za krepitev splošne odpornosti finančnih subjektov, enakovrednih kritičnim subjektom. (16)Države članice bi morale imenovati organe, pristojne za nadzor uporabe in po potrebi izvrševanje pravil te direktive, ter zagotoviti, da imajo ti organi ustrezna pooblastila in vire. Zaradi razlik v nacionalnih strukturah upravljanja in za zaščito že obstoječih sektorskih ureditev ali nadzornih in regulativnih organov Unije ter za preprečevanje podvajanja bi morale imeti države članice možnost imenovati več kot en pristojni organ. Vendar bi morale v tem primeru jasno razmejiti naloge zadevnih organov ter zagotoviti njihovo nemoteno in učinkovito sodelovanje. Vsi pristojni organi bi morali sodelovati tudi z drugimi ustreznimi organi, tako na nacionalni ravni kot na ravni Unije. (17)Da bi olajšali čezmejno sodelovanje in komunikacijo ter omogočili učinkovito izvajanje te direktive, bi morala vsaka država članica brez poseganja v sektorske pravne zahteve Unije v enem od organov, ki jih je imenovala za pristojni organ v skladu s to direktivo, imenovati enotno kontaktno točko, odgovorno za usklajevanje vprašanj v zvezi z odpornostjo kritičnih subjektov in s tem povezanim čezmejnim sodelovanjem na ravni Unije. (18)Glede na to, da v skladu z direktivo VOIS 2 za subjekte, opredeljene kot kritične subjekte, in opredeljene subjekte v sektorju digitalne infrastrukture, ki jih je treba v skladu s to direktivo obravnavati kot enakovredne, veljajo zahteve glede kibernetske varnosti iz direktive VOIS 2, bi morali pristojni organi, imenovani v skladu z navedenima direktivama, sodelovati, zlasti kar zadeva tveganja in incidente na področju kibernetske varnosti, ki vplivajo na te subjekte.

(19)Države članice bi morale podpirati kritične subjekte pri krepitvi njihove odpornosti v skladu z njihovimi obveznostmi iz te direktive, brez poseganja v pravno odgovornost subjektov, da zagotovijo tako skladnost. Države članice bi lahko zlasti razvile smernice in metodologije, podprle organizacijo vaj za preskušanje njihove odpornosti in zagotovile usposabljanje za osebje kritičnih subjektov. Poleg tega bi morale države članice glede na soodvisnosti med subjekti in sektorji vzpostaviti orodja za izmenjavo informacij v podporo prostovoljni izmenjavi informacij med kritičnimi subjekti, brez poseganja v uporabo pravil o konkurenci iz Pogodbe o delovanju Evropske unije. (20)Da bi lahko zagotovili svojo odpornost, bi morali imeti kritični subjekti izčrpno razumevanje vseh relevantnih tveganj, ki so jim izpostavljeni, ter jih analizirati. V ta namen bi morali izvajati ocene tveganja, kadar koli je to potrebno glede na njihove specifične okoliščine in razvoj teh tveganj, v vsakem primeru pa vsaka štiri leta. Ocene tveganja, ki jih izvedejo kritični subjekti, bi morale temeljiti na oceni tveganja, ki jo izvedejo države članice. (21)Kritični subjekti bi morali sprejeti organizacijske in tehnične ukrepe, ki so ustrezni in sorazmerni glede na tveganja, s katerimi se soočajo, da bi preprečili incident, se mu bili zmožni upreti, ga ublažili, ga absorbirali, se mu prilagodili in okrevali po njem. Čeprav bi morali kritični subjekti sprejeti ukrepe v zvezi z vsemi točkami, določenimi v tej direktivi, bi morale podrobnosti in obseg ukrepov ustrezno in sorazmerno odražati različna tveganja, ki jih je vsak subjekt opredelil v okviru svoje ocene tveganja, in posebnosti takega subjekta. (22)Zaradi uspešnosti in odgovornosti bi morali kritični subjekti te ukrepe v načrtu za odpornost ali v dokumentu ali dokumentih, ki so enakovredni načrtu za odpornost, ob upoštevanju ugotovljenih tveganj opisati tako podrobno, da bi lahko v zadostni meri dosegli navedene cilje, in ta načrt uporabljati v praksi. Taki enakovredni dokumenti se lahko sestavijo v skladu z zahtevami in standardi, oblikovanimi v okviru mednarodnih sporazumov o fizični zaščiti, katerih pogodbenice so države članice, vključno s Konvencijo o fizičnem varovanju jedrskega materiala in jedrskih objektov, kakor je ustrezno. (23)Uredba (ES) št. 300/2008 Evropskega parlamenta in Sveta, Uredba (ES) št. 725/2004 Evropskega parlamenta in Sveta ter Direktiva Evropskega parlamenta in Sveta 2005/65/ES določajo zahteve, ki se uporabljajo za subjekte v letalskem in pomorskem prometu, da se preprečijo incidenti, ki jih povzročijo nezakonita dejanja, ter zagotovita odpornost na posledice takih incidentov in njihova ublažitev. Čeprav so ukrepi, ki jih zahteva ta direktiva, širši v smislu obravnavanih tveganj in vrst ukrepov, ki jih je treba sprejeti, bi morali kritični subjekti v teh sektorjih v svojih načrtih za odpornost ali enakovrednih dokumentih upoštevati ukrepe, sprejete v skladu z navedenimi drugimi akti Unije. Poleg tega lahko kritični subjekti pri izvajanju ukrepov za odpornost v skladu s to direktivo razmislijo o sklicevanju na nezavezujoče smernice in dokumente o dobrih praksah, pripravljene v okviru sektorskih delovnih področij, kot je platforma EU za varnost potnikov v železniškem prometu. (24)Tveganje, da bi zaposleni v kritičnih subjektih zlorabljali na primer svoje pravice do dostopa v organizaciji subjekta za ogrožanje in povzročanje škode, je čedalje bolj zaskrbljujoče. To tveganje še zaostruje naraščajoč pojav radikalizacije, ki vodi v nasilni ekstremizem in terorizem. Zato je treba kritičnim subjektom omogočiti, da zahtevajo preverjanje preteklosti oseb, ki spadajo v posebne kategorije njihovega osebja, in zagotoviti, da zadevni organi te zahteve hitro ocenijo v skladu z veljavnimi pravili prava Unije in nacionalnega prava, vključno z varstvom osebnih podatkov. (25)Kritični subjekti bi morali takoj, ko je v danih okoliščinah to razumno mogoče, pristojnim organom držav članic priglasiti incidente, ki povzročijo ali bi lahko povzročili pomembne motnje v njihovem delovanju. Priglasitev bi morala pristojnim organom omogočiti hiter in ustrezen odziv na incidente ter celovit pregled nad skupnimi tveganji, s katerimi se soočajo kritični subjekti. V ta namen bi bilo treba vzpostaviti postopek za priglasitev določenih incidentov in določiti parametre za določitev, kdaj je dejanska ali morebitna motnja pomembna in bi bilo zato treba incidente priglasiti. Glede na morebitne čezmejne učinke takih motenj bi bilo treba vzpostaviti postopek, s katerim bi države članice prek enotnih kontaktnih točk obveščale druge prizadete države članice. (26)Čeprav kritični subjekti na splošno delujejo kot del čedalje bolj povezane mreže za zagotavljanje storitev in infrastruktur ter pogosto zagotavljajo bistvene storitve v več kot eni državi članici, so nekateri od teh subjektov še posebej pomembni za Unijo, ker zagotavljajo bistvene storitve za veliko število držav članic, in posledično zahtevajo poseben nadzor na ravni Unije. Zato bi bilo treba določiti pravila o posebnem nadzoru nad temi kritičnimi subjekti posebnega evropskega pomena. Ta pravila ne posegajo v pravila o nadzoru in izvrševanju iz te direktive. (27)Kadar katera koli država članica meni, da potrebuje dodatne informacije, da lahko kritičnemu subjektu svetuje pri izpolnjevanju obveznosti iz poglavja III ali da oceni, ali kritični subjekt posebnega evropskega pomena izpolnjuje te obveznosti, bi morala Komisija v dogovoru z državo članico, v kateri se nahaja infrastruktura tega subjekta, organizirati svetovalno misijo za oceno ukrepov, ki jih je sprejel navedeni subjekt. Da bi zagotovili pravilno izvajanje svetovalnih misij, bi bilo treba določiti dopolnilna pravila, zlasti o njihovi organizaciji in izvajanju, nadaljnjem ukrepanju in obveznostih zadevnih kritičnih subjektov posebnega evropskega pomena. Svetovalne misije bi morale brez poseganja v potrebo, da država članica, v kateri poteka svetovalna misija, in zadevni subjekt izpolnjujeta pravila te direktive, potekati v skladu s podrobnimi predpisi te države članice, na primer v zvezi s točnimi pogoji, ki morajo biti izpolnjeni za pridobitev dostopa do ustreznih prostorov ali dokumentov, in sodnim varstvom. Posebno strokovno znanje, potrebno za takšne misije, bi se lahko po potrebi zahtevalo prek Centra za usklajevanje nujnega odziva. (28)Da bi podprli Komisijo in olajšali strateško sodelovanje ter izmenjavo informacij, vključno z najboljšimi praksami, o vprašanjih, povezanih s to direktivo, bi bilo treba ustanoviti skupino za odpornost kritičnih subjektov, ki je strokovna skupina Komisije. Države članice bi si morale prizadevati za zagotovitev uspešnega in učinkovitega sodelovanja imenovanih predstavnikov svojih pristojnih organov v skupini za odpornost kritičnih subjektov. Skupina bi morala začeti opravljati svoje naloge šest mesecev po začetku veljavnosti te direktive, da bi zagotovila dodatna sredstva za ustrezno sodelovanje v obdobju prenosa te direktive. (29)Za doseganje ciljev te direktive in brez poseganja v pravno odgovornost držav članic in kritičnih subjektov, da zagotovijo izpolnjevanje svojih obveznosti iz te direktive, bi morala Komisija, kadar meni, da je to primerno, začeti nekatere podporne dejavnosti, katerih cilj je olajšati izpolnjevanje teh obveznosti. Komisija bi morala pri zagotavljanju podpore državam članicam in kritičnim subjektom pri izvajanju obveznosti iz te direktive graditi na obstoječih strukturah in orodjih, kot so tista v okviru mehanizma Unije na področju civilne zaščite in evropske referenčne mreže za zaščito kritičnih infrastruktur. (30)Države članice bi morale zagotoviti, da imajo njihovi pristojni organi določena posebna pooblastila za pravilno uporabo in izvrševanje te direktive v zvezi s kritičnimi subjekti, kadar ti spadajo v njihovo pristojnost, kot je določeno v tej direktivi. Ta pooblastila bi morala vključevati zlasti pooblastilo za izvajanje inšpekcijskih pregledov, nadzora in revizij, pooblastilo, da lahko od kritičnih subjektov zahtevajo predložitev informacij in dokazov v zvezi z ukrepi, ki so jih sprejeli za izpolnitev svojih obveznosti, in pooblastilo, da po potrebi izdajo odredbe za odpravo ugotovljenih kršitev. Države članice pri izdaji takih odredb ne bi smele zahtevati ukrepov, ki presegajo tisto, kar je potrebno in sorazmerno za zagotovitev skladnosti zadevnega kritičnega subjekta, ter pri tem zlasti upoštevati resnost kršitve in gospodarsko zmogljivost kritičnega subjekta. Splošneje, ta pooblastila bi morali spremljati ustrezni in učinkoviti zaščitni ukrepi, ki bi jih bilo treba določiti v nacionalnem pravu v skladu z zahtevami iz Listine Evropske unije o temeljnih pravicah. Pristojni organi, imenovani na podlagi te direktive, bi morali imeti pri ocenjevanju, ali kritični subjekt izpolnjuje svoje obveznosti iz te direktive, možnost, da od pristojnih organov, imenovanih v skladu z direktivo VOIS 2, zahtevajo, naj ocenijo kibernetsko varnost teh subjektov. Ti pristojni organi bi morali v ta namen sodelovati in si izmenjevati informacije. (31)Da bi se upoštevala nova tveganja, tehnološki razvoj ali posebnosti enega ali več sektorjev, bi bilo treba na Komisijo prenesti pooblastilo, da v skladu s členom 290 Pogodbe o delovanju Evropske unije sprejme akte za dopolnitev ukrepov za odpornost, ki jih morajo sprejeti kritični subjekti, in v njih podrobneje opredeli nekatere ali vse te ukrepe. Zlasti je pomembno, da se Komisija pri svojem pripravljalnem delu ustrezno posvetuje, tudi na ravni strokovnjakov, in da se ta posvetovanja izvedejo v skladu z načeli, določenimi v Medinstitucionalnem sporazumu z dne 13. aprila 2016 o boljši pripravi zakonodaje. Za zagotovitev enakopravnega sodelovanja pri pripravi delegiranih aktov Evropski parlament in Svet zlasti prejmeta vse dokumente sočasno s strokovnjaki iz držav članic, njuni strokovnjaki pa se sistematično lahko udeležujejo sestankov strokovnih skupin Komisije, ki zadevajo pripravo delegiranih aktov. (32)Za zagotovitev enotnih pogojev izvajanja te direktive bi bilo treba na Komisijo prenesti izvedbena pooblastila. Ta pooblastila bi bilo treba izvajati v skladu z Uredbo (EU) št. 182/2011 Evropskega parlamenta in Sveta. (33)Ker ciljev te direktive, in sicer zagotavljanja bistvenih storitev za ohranjanje ključnih družbenih funkcij ali gospodarskih dejavnosti na notranjem trgu in povečanja odpornosti kritičnih subjektov, ki zagotavljajo te storitve, države članice ne morejo zadovoljivo doseči, temveč se zaradi učinkov ukrepov lažje dosežeta na ravni Unije, lahko Unija sprejme ukrepe v skladu z načelom subsidiarnosti iz člena 5 Pogodbe o Evropski uniji. V skladu z načelom sorazmernosti iz navedenega člena 5 ta direktiva ne presega tistega, kar je potrebno za doseganje navedenih ciljev. (34)Direktivo 2008/114/ES bi bilo zato treba razveljaviti – SPREJELA NASLEDNJO DIREKTIVO: Poglavje I

Predmet urejanja, področje uporabe in opredelitev pojmov Člen 1

Predmet urejanja in področje uporabe

1.Ta direktiva: (a)določa obveznosti za države članice v zvezi s sprejemanjem določenih ukrepov za zagotavljanje storitev, ki so bistvene za ohranjanje ključnih družbenih funkcij ali gospodarskih dejavnosti, na notranjem trgu, zlasti v zvezi z opredelitvijo kritičnih subjektov in subjektov, ki jih je treba v nekaterih pogledih obravnavati kot enakovredne, ter v zvezi s tem, da tem subjektom omogočijo izpolnjevanje njihovih obveznosti; (b)določa obveznosti za kritične subjekte, namenjene krepitvi njihove odpornosti in izboljšanju njihove zmogljivosti za zagotavljanje teh storitev na notranjem trgu; (c)določa pravila o nadzoru in izvrševanju kritičnih subjektov ter posebnem nadzoru kritičnih subjektov, ki veljajo za subjekte posebnega evropskega pomena. 2.Ta direktiva se ne uporablja za zadeve, ki jih zajema Direktiva (EU) XX/YY [predlagana direktiva o ukrepih za visoko skupno raven kibernetske varnosti v Uniji (v nadaljnjem besedilu: direktiva VOIS 2)], brez poseganja v člen 7. 3.Kadar določbe sektorskih aktov prava Unije zahtevajo, da kritični subjekti sprejmejo ukrepe iz poglavja III, in kadar so te zahteve vsaj enakovredne obveznostim iz te direktive, se ustrezne določbe te direktive, vključno z določbami o nadzoru in izvrševanju iz poglavja VI, ne uporabljajo. 4.Brez poseganja v člen 346 PDEU se informacije, ki so zaupne v skladu s predpisi Unije in nacionalnimi predpisi, na primer o poslovni tajnosti, s Komisijo in drugimi ustreznimi organi izmenjajo le, če je takšna izmenjava potrebna za uporabo te direktive. Izmenjava informacij je omejena na obseg, ki je ustrezen in sorazmeren glede na namen te izmenjave. Pri izmenjavi informacij se ohrani zaupnost zadevnih informacij ter zaščitijo varnost in poslovni interesi kritičnih subjektov. Člen 2

Opredelitev pojmov V tej direktivi se uporabljajo naslednje opredelitve pojmov: (1)„kritični subjekt“ pomeni javni ali zasebni subjekt iz skupin, navedenih v Prilogi, ki ga je kot takega opredelila država članica v skladu s členom 5; (2)„odpornost“ pomeni sposobnost preprečevanja, upiranja, blaženja, absorpcije, prilagajanja in okrevanja po incidentu, ki povzroči ali bi lahko povzročil motnje v delovanju kritičnega subjekta; (3)„incident“ pomeni vsak dogodek, ki bi lahko povzročil motnje ali ki povzroči motnje v delovanju kritičnega subjekta; (4) „infrastruktura“ pomeni sredstvo, sistem ali njegov del, ki je nujen za zagotavljanje bistvene storitve; (5) „bistvena storitev“ pomeni storitev, ki je bistvena za ohranitev ključnih družbenih funkcij ali gospodarskih dejavnosti; (6)„tveganje“ pomeni okoliščino ali dogodek, ki ima lahko negativen učinek na odpornost kritičnih subjektov; (7)„ocena tveganja“ pomeni metodologijo za določitev narave in obsega tveganja z analizo potencialnih groženj in nevarnosti ter ovrednotenjem obstoječih razmer ranljivosti, ki bi lahko povzročile motnje v delovanju kritičnega subjekta. Poglavje II

Nacionalni okviri za odpornost kritičnih subjektov Člen 3

Strategija o odpornosti kritičnih subjektov 1.Vsaka država članica do [tri leta po začetku veljavnosti te direktive] sprejme strategijo za krepitev odpornosti kritičnih subjektov. V tej strategiji so določeni strateški cilji in ukrepi politike za doseganje in ohranjanje visoke ravni odpornosti teh kritičnih subjektov, ki zajemajo vsaj sektorje iz Priloge.

2.Strategija vsebuje vsaj naslednje elemente: (a)strateške cilje in prednostne naloge za povečanje skupne odpornosti kritičnih subjektov ob upoštevanju čezmejnih in medsektorskih soodvisnosti; (b)okvir upravljanja za doseganje strateških ciljev in prednostnih nalog, vključno z opisom vlog in odgovornosti različnih organov, kritičnih subjektov in drugih strani, ki sodelujejo pri izvajanju strategije; (c)opis ukrepov, potrebnih za povečanje skupne odpornosti kritičnih subjektov, vključno z nacionalno oceno tveganja, opredelitvijo kritičnih subjektov in subjektov, enakovrednih kritičnim subjektom, ter ukrepi za podporo kritičnim subjektom, sprejetimi v skladu s tem poglavjem; (d)okvir politike za okrepljeno usklajevanje med pristojnimi organi, imenovanimi v skladu s členom 8 te direktive in v skladu z [direktivo VOIS 2] za izmenjavo informacij o incidentih in kibernetskih grožnjah ter izvajanje nadzornih nalog. Strategija se posodobi po potrebi in vsaj vsaka štiri leta. 3.Države članice Komisiji sporočijo svoje strategije in vse njihove posodobitve v treh mesecih po njihovem sprejetju. Člen 4

Ocena tveganja, ki jo izvedejo države članice 1.Pristojni organi, imenovani v skladu s členom 8, pripravijo seznam bistvenih storitev v sektorjih iz Priloge. Do [tri leta po začetku veljavnosti te direktive] ter nato po potrebi in vsaj vsaka štiri leta izvedejo oceno vseh relevantnih tveganj, ki bi lahko vplivala na zagotavljanje teh bistvenih storitev, da bi opredelili kritične subjekte v skladu s členom 5(1) in tem kritičnim subjektom pomagali pri sprejemanju ukrepov v skladu s členom 11. Ocena tveganja upošteva vsa ustrezna naravna tveganja in tveganja, ki jih povzroči človek, vključno z nesrečami, naravnimi nesrečami, izrednimi razmerami v javnem zdravju in antagonističnimi grožnjami, vključno s terorističnimi kaznivimi dejanji v skladu z Direktivo (EU) 2017/541 Evropskega parlamenta in Sveta. 2.Države članice pri izvajanju ocene tveganja upoštevajo vsaj: (a)splošno oceno tveganja, izvedeno v skladu s členom 6(1) Sklepa št. 1313/2013/EU Evropskega parlamenta in Sveta; (b)druge ustrezne ocene tveganja, izvedene v skladu z zahtevami ustreznih sektorskih aktov prava Unije, vključno z Uredbo (EU) 2019/941 Evropskega parlamenta in Sveta ter Uredbo (EU) 2017/1938 Evropskega parlamenta in Sveta; (c)vsa tveganja, ki izhajajo iz soodvisnosti sektorjev iz Priloge, vključno s tistimi iz drugih držav članic in tretjih držav, ter učinek, ki bi ga lahko imela motnja v enem sektorju v drugih sektorjih; (d)vse informacije o incidentih, priglašenih v skladu s členom 13. Za namene točke (c) prvega pododstavka države članice po potrebi sodelujejo s pristojnimi organi drugih držav članic in tretjih držav. 3.Države članice dajo kritičnim subjektom, ki so jih opredelile v skladu s členom 5, na voljo ustrezne elemente ocene tveganja iz odstavka 1, da jim pomagajo pri izvedbi njihove ocene tveganja v skladu s členom 10 in pri sprejemanju ukrepov za zagotovitev njihove odpornosti v skladu s členom 11. 4.Vsaka država članica Komisiji do [tri leta po začetku veljavnosti te direktive] ter nato po potrebi in vsaj vsaka štiri leta predloži podatke o vrstah ugotovljenih tveganj in rezultatih ocen tveganja po sektorjih in podsektorjih iz Priloge. 5.Komisija lahko v sodelovanju z državami članicami pripravi prostovoljno skupno predlogo za poročanje za namene izpolnjevanja obveznosti iz odstavka 4. Člen 5

Opredelitev kritičnih subjektov

1.Države članice do [tri leta in tri mesece po začetku veljavnosti te direktive] za vsak sektor in podsektor iz Priloge, razen točk 3, 4 in 8 Priloge, opredelijo kritične subjekte. 2.Države članice pri opredeljevanju kritičnih subjektov v skladu z odstavkom 1 upoštevajo rezultate ocene tveganja v skladu s členom 4 in uporabijo naslednja merila: (a)subjekt zagotavlja eno ali več bistvenih storitev; (b)zagotavljanje te storitve je odvisno od infrastrukture, ki se nahaja v državi članici, in (c)incident bi imel pomembni moteči učinek na zagotavljanje storitve ali drugih bistvenih storitev v sektorjih iz Priloge, ki so odvisni od storitve. 3.Vsaka država članica pripravi seznam opredeljenih kritičnih subjektov in zagotovi, da so ti kritični subjekti v enem mesecu od opredelitve uradno obveščeni o tem, da so opredeljeni kot kritični subjekti, ter jih hkrati obvesti o njihovih obveznostih v skladu s poglavjema II in III ter o datumu, od katerega zanje veljajo določbe navedenih poglavij. Za zadevne kritične subjekte se določbe tega poglavja uporabljajo od datuma uradnega obvestila, določbe poglavja III pa se začnejo uporabljati šest mesecev po tem datumu. 4.Države članice zagotovijo, da njihovi pristojni organi, imenovani v skladu s členom 8 te direktive, pristojne organe, ki so jih države članice imenovale v skladu s členom 8 [direktive VOIS 2], uradno obvestijo o kritičnih subjektih, ki so jih opredelile v skladu s tem členom, v enem mesecu od opredelitve. 5.Države članice po uradnem obvestilu iz odstavka 3 zagotovijo, da kritični subjekti svojim pristojnim organom, imenovanim v skladu s členom 8 te direktive, predložijo informacije o tem, ali so bili opredeljeni kot kritični subjekti v eni ali več drugih državah članicah. Kadar subjekt kot kritičen opredelita dve ali več držav članic, se te države članice med seboj posvetujejo, da zmanjšajo obremenitev kritičnega subjekta v zvezi z obveznostmi iz poglavja III. 6.Za namene poglavja IV države članice zagotovijo, da kritični subjekti po uradnem obvestilu iz odstavka 3 svojim pristojnim organom, imenovanim v skladu s členom 8 te direktive, zagotovijo informacije o tem, ali zagotavljajo bistvene storitve več kot tretjini ali v več kot tretjini držav članic. Če je tako, zadevna država članica brez nepotrebnega odlašanja Komisijo uradno obvesti o identiteti teh kritičnih subjektov. 7.Države članice po potrebi in v vsakem primeru vsaj vsaka štiri leta pregledajo in po potrebi posodobijo seznam opredeljenih kritičnih subjektov. Kadar te posodobitve privedejo do opredelitve dodatnih kritičnih subjektov, se uporabljajo odstavki 3, 4, 5 in 6. Poleg tega države članice zagotovijo, da subjekte, ki po vsaki taki posodobitvi niso več opredeljeni kot kritični subjekti, o tem uradno obvestijo in jim sporočijo, da od prejema teh informacij zanje ne veljajo več obveznosti iz poglavja III. Člen 6

Pomembni moteči učinek 1.Države članice pri določanju pomembnosti negativnega vpliva iz točke (c) člena 5(2) upoštevajo naslednja merila: (a)število uporabnikov, ki so odvisni od storitve subjekta; (b)odvisnost drugih sektorjev iz Priloge od te storitve; (c)stopnjo in trajanje učinkov, ki bi jih incidenti lahko imeli na gospodarske in družbene dejavnosti, okolje in javno varnost; (d)tržni delež subjekta na trgu takih storitev; (e)geografsko območje, na katero bi lahko vplival incident, vključno z morebitnimi čezmejnimi učinki; (f)pomen subjekta pri ohranjanju zadostne ravni storitve ob upoštevanju razpoložljivosti alternativnih načinov za zagotavljanje zadevne storitve.

2.Države članice Komisiji do [tri leta in tri mesece po začetku veljavnosti te direktive] predložijo naslednje informacije: (a)seznam storitev iz člena 4(1); (b)število kritičnih subjektov, opredeljenih za vsak sektor in podsektor iz Priloge, ter storitev ali storitve iz člena 4(1), ki jih zagotavlja vsak subjekt; (c)vse mejne vrednosti, ki se uporabljajo za določitev enega ali več meril iz odstavka 1. Te informacije pozneje predložijo po potrebi in vsaj vsaka štiri leta. 3.Komisija lahko po posvetovanju s skupino za odpornost kritičnih subjektov sprejme smernice za lažjo uporabo meril iz odstavka 1, pri čemer upošteva informacije iz odstavka 2. Člen 7

Subjekti, enakovredni kritičnim subjektom na podlagi tega poglavja 1. Kar zadeva sektorje iz točk 3, 4 in 8 Priloge, države članice do [tri leta in tri mesece po začetku veljavnosti te direktive] opredelijo subjekte, ki se za namene tega poglavja obravnavajo kot enakovredni kritičnim subjektom. V zvezi s temi subjekti uporabljajo določbe členov 3 in 4, člena 5(1) do (4) in (7) ter člena 9. 2. Države članice v zvezi s subjekti v sektorjih iz točk 3 in 4 Priloge, opredeljenimi v skladu z odstavkom 1, zagotovijo, da so za namene uporabe člena 8(1) organi, imenovani kot pristojni organi, pristojni organi, imenovani v skladu s členom 41 [uredbe DORA]. 3. Države članice zagotovijo, da so subjekti iz odstavka 1 brez nepotrebnega odlašanja uradno obveščeni o tem, da so bili opredeljeni kot subjekti iz tega člena. Člen 8

Pristojni organi in enotna kontaktna točka 1.Vsaka država članica imenuje enega ali več pristojnih organov, odgovornih za pravilno uporabo in po potrebi izvrševanje pravil te direktive na nacionalni ravni (v nadaljnjem besedilu: pristojni organ). Države članice lahko imenujejo obstoječi organ ali organe. Kadar imenujejo več kot en organ, jasno določijo naloge zadevnih organov in zagotovijo učinkovito sodelovanje teh organov pri izpolnjevanju njihovih nalog iz te direktive, tudi v zvezi z imenovanjem in dejavnostmi enotne kontaktne točke iz odstavka 2. 2.Vsaka država članica v okviru pristojnega organa imenuje enotno kontaktno točko, ki ima povezovalno vlogo, da se zagotovi čezmejno sodelovanje s pristojnimi organi drugih držav članic in s skupino za odpornost kritičnih subjektov iz člena 16 (v nadaljnjem besedilu: enotna kontaktna točka). 3.Enotne kontaktne točke do [tri leta in šest mesecev po začetku veljavnosti te direktive] in nato vsako leto Komisiji in skupini za odpornost kritičnih subjektov predložijo zbirno poročilo o prejetih priglasitvah, vključno s številom priglasitev, naravo priglašenih incidentov in ukrepi, sprejetimi v skladu s členom 13(3). 4.Vsaka država članica zagotovi, da ima pristojni organ, vključno z enotno kontaktno točko, imenovano v okviru njega, pooblastila ter ustrezne finančne, človeške in tehnične vire za uspešno in učinkovito izvajanje dodeljenih nalog. 5.Države članice zagotovijo, da se njihovi pristojni organi po potrebi in v skladu s pravom Unije in nacionalnim pravom posvetujejo in sodelujejo z drugimi ustreznimi nacionalnimi organi, zlasti tistimi, ki so pristojni za civilno zaščito, kazenski pregon in varstvo osebnih podatkov, ter z zadevnimi zainteresiranimi stranmi, vključno s kritičnimi subjekti. 6.Države članice zagotovijo, da njihovi pristojni organi, imenovani v skladu s tem členom, sodelujejo s pristojnimi organi, imenovanimi na podlagi [direktive VOIS 2], glede kibernetskih tveganj in incidentov, ki vplivajo na kritične subjekte, ter glede ukrepov, ki jih sprejmejo pristojni organi, imenovani v skladu z [direktivo VOIS 2], in ki so pomembni za kritične subjekte. 7.Vsaka država članica uradno obvesti Komisijo o imenovanju pristojnega organa in enotne kontaktne točke v treh mesecih od imenovanja, vključno z natančno navedbo njunih nalog in odgovornosti v skladu s to direktivo, njunimi kontaktnimi podatki in morebitnimi poznejšimi spremembami v zvezi s tem. Vsaka država članica objavi imenovanje pristojnega organa in enotne kontaktne točke. 8.Komisija objavi seznam enotnih kontaktnih točk, imenovanih v državah članicah.

Člen 9

Podpora držav članic kritičnim subjektom 1.Države članice podpirajo kritične subjekte pri krepitvi njihove odpornosti. Ta podpora lahko vključuje razvoj smernic in metodologij, podporo pri organizaciji vaj za preskušanje njihove odpornosti in zagotavljanje usposabljanja za osebje kritičnih subjektov. 2.Države članice zagotovijo, da pristojni organi sodelujejo ter izmenjujejo informacije in dobre prakse s kritičnimi subjekti v sektorjih iz Priloge. 3.Države članice vzpostavijo orodja za izmenjavo informacij v podporo prostovoljni izmenjavi informacij med kritičnimi subjekti v zvezi z zadevami, ki jih zajema ta direktiva, v skladu s pravom Unije in nacionalnim pravom, zlasti na področju konkurence in varstva osebnih podatkov. Poglavje III

Odpornost kritičnih subjektov Člen 10

Ocena tveganja, ki jo izvedejo kritični subjekti Države članice zagotovijo, da kritični subjekti v šestih mesecih po prejemu uradnega obvestila iz člena 5(3) ter nato po potrebi in vsaj vsaka štiri leta na podlagi ocen tveganja, ki so jih pripravile države članice, in drugih ustreznih virov informacij ocenijo vsa relevantna tveganja, ki bi lahko povzročila motnje v njihovem delovanju. Ocena tveganja upošteva vsa relevantna tveganja iz člena 4(1), ki bi lahko povzročila motnje pri zagotavljanju bistvenih storitev. Upošteva vse odvisnosti drugih sektorjev iz Priloge od bistvene storitve, ki jo zagotavlja kritični subjekt, po potrebi tudi v sosednjih državah članicah in tretjih državah, ter učinek, ki bi ga lahko imela motnja v zagotavljanju bistvenih storitev v enem ali več navedenih sektorjih na bistveno storitev, ki jo zagotavlja kritični subjekt. Člen 11

Ukrepi kritičnih subjektov za odpornost 1.Države članice zagotovijo, da kritični subjekti sprejmejo ustrezne in sorazmerne tehnične in organizacijske ukrepe za zagotavljanje svoje odpornosti, vključno z ukrepi, ki so potrebni za: (a)preprečevanje nastanka incidentov, vključno z ukrepi za zmanjšanje tveganja nesreč in prilagajanje podnebnim spremembam; (b)zagotovitev ustrezne fizične zaščite občutljivih območij, objektov in druge infrastrukture, vključno z ograjami, pregradami, orodji in postopki za nadziranje zavarovanega območja ter opremo za odkrivanje in nadzorom dostopa; (c)zmožnost upreti se incidentom in ublažiti njihove posledice, vključno z izvajanjem postopkov in protokolov za obvladovanje tveganj in kriz ter postopki opozarjanja; (d)okrevanje po incidentih, vključno z ukrepi za neprekinjeno poslovanje in opredelitvijo alternativnih dobavnih verig; (e)zagotovitev ustreznega upravljanja varnosti zaposlenih, vključno z določitvijo kategorij osebja, ki opravlja kritične funkcije, določitvijo pravic dostopa do občutljivih območij, objektov in druge infrastrukture ter do občutljivih informacij ter z opredelitvijo posebnih kategorij osebja v skladu s členom 12; (f)ozaveščanje ustreznega osebja o ukrepih iz točk (a) do (e). 2.Države članice zagotovijo, da imajo kritični subjekti vzpostavljen in uporabljajo načrt za odpornost ali enakovreden dokument ali dokumente, ki podrobno opisujejo ukrepe v skladu z odstavkom 1. Če so kritični subjekti sprejeli ukrepe v skladu z obveznostmi iz drugih aktov prava Unije, ki so relevantni tudi za ukrepe iz odstavka 1, tudi te ukrepe opišejo v načrtu za odpornost ali enakovrednem dokumentu ali dokumentih. 3.Komisija na zahtevo države članice, ki je opredelila kritični subjekt, in v soglasju z zadevnim kritičnim subjektom organizira svetovalne misije v skladu z ureditvami iz člena 15(4), (5), (7) in (8) za svetovanje zadevnemu kritičnemu subjektu glede izpolnjevanja njegovih obveznosti iz poglavja III. Svetovalna misija o svojih ugotovitvah poroča Komisiji, zadevni državi članici in zadevnemu kritičnemu subjektu. 4.Komisija je pooblaščena za sprejemanje delegiranih aktov v skladu s členom 21 za dopolnitev odstavka 1 z določitvijo podrobnih pravil, ki določajo nekatere ali vse ukrepe, ki jih je treba sprejeti v skladu z navedenim odstavkom. Te delegirane akte sprejme, če je to potrebno za učinkovito in dosledno uporabo navedenega odstavka v skladu s cilji te direktive, ob upoštevanju vseh pomembnih sprememb na področju tveganj, tehnologije ali zagotavljanja zadevnih storitev ter vseh posebnosti, značilnih za določene sektorje in vrste subjektov.

5.Komisija sprejme izvedbene akte, s katerimi določi potrebne tehnične in metodološke specifikacije v zvezi z uporabo ukrepov iz odstavka 1. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 20(2). Člen 12

Preverjanje preteklosti 1.Države članice zagotovijo, da lahko kritični subjekti vložijo zahtevke za preverjanje preteklosti oseb, ki spadajo v določene specifične kategorije njihovega osebja, vključno z osebami, ki se obravnavajo za zaposlitev na delovna mesta iz teh kategorij, in da organi, pristojni za izvajanje takšnih preverjanj preteklosti, te zahtevke hitro ocenijo. 2.V skladu z veljavnim pravom Unije in nacionalnim pravom, vključno z Uredbo (EU) 2016/679 Evropskega parlamenta in Sveta, se pri preverjanju preteklosti iz odstavka 1: (a)ugotovi identiteta osebe na podlagi dokumentarnega dokazila; (b)zajamejo vse kazenske evidence iz vsaj zadnjih petih in največ desetih let o kaznivih dejanjih, pomembnih za zaposlitev na določenem delovnem mestu v državi članici ali državah članicah, katerih državljan je oseba, in v kateri koli državi članici ali tretji državi prebivališča v tem obdobju; (c)zajamejo prejšnje zaposlitve, izobrazba in morebitne vrzeli v izobraževanju ali zaposlitvi v življenjepisu osebe v vsaj zadnjih petih in največ desetih letih. Kar zadeva točko (b) prvega pododstavka, države članice zagotovijo, da njihovi organi, pristojni za preverjanje preteklosti, prek sistema ECRIS pridobijo informacije iz kazenskih evidenc iz drugih držav članic v skladu s postopki iz Okvirnega sklepa Sveta 2009/315/PNZ in po potrebi Uredbe (EU) 2019/816 Evropskega parlamenta in Sveta. Osrednji organi iz člena 3 navedenega okvirnega sklepa in člena 3(5) navedene uredbe odgovorijo na zahtevke za take informacije v 10 delovnih dneh od datuma prejema zahtevka. 3.V skladu z veljavnim pravom Unije in nacionalnim pravom, vključno z Uredbo (EU) 2016/679, vsaka država članica zagotovi, da se lahko preverjanje preteklosti iz odstavka 1 na podlagi ustrezno utemeljene zahteve kritičnega subjekta razširi tudi na obveščevalne podatke in vse druge razpoložljive objektivne informacije, ki so lahko potrebne za določitev primernosti zadevne osebe za delo na položaju, v zvezi s katerim je kritični subjekt zahteval razširjeno preverjanje preteklosti. Člen 13

Priglasitev incidentov 1.Države članice zagotovijo, da kritični subjekti pristojnemu organu brez nepotrebnega odlašanja priglasijo incidente, ki povzročijo ali bi lahko povzročili pomembno motnjo v njihovem delovanju. Priglasitve vključujejo vse razpoložljive informacije, ki jih potrebuje pristojni organ za razumevanje narave, vzroka in možnih posledic incidenta ter za ugotovitev morebitnega čezmejnega učinka incidenta. Takšna priglasitev ne povzroči dodatne odgovornosti kritičnega subjekta. 2.Za določitev pomembnosti motnje ali potencialne motnje v delovanju kritičnega subjekta, ki je posledica incidenta, se upoštevajo zlasti naslednji parametri: (a)število uporabnikov, ki jih je prizadela motnja ali potencialna motnja; (b)trajanje motnje ali pričakovano trajanje potencialne motnje; (c)geografsko območje, ki ga je prizadela motnja ali potencialna motnja. 3.Pristojni organ na podlagi informacij iz priglasitve kritičnega subjekta prek svoje enotne kontaktne točke obvesti enotne kontaktne točke drugih prizadetih držav članic, če incident pomembno vpliva ali bi lahko pomembno vplival na kritične subjekte in neprekinjeno zagotavljanje bistvenih storitev v eni ali več drugih državah članicah. Pri tem enotne kontaktne točke v skladu s pravom Unije ali nacionalno zakonodajo, ki je skladna s pravom Unije, informacije obravnavajo tako, da spoštujejo njihovo zaupnost ter varujejo varnost in poslovne interese zadevnega kritičnega subjekta. 4.Pristojni organ po prejemu priglasitve v skladu z odstavkom 1 kritičnemu subjektu, ki je priglasil incident, čim prej predloži ustrezne informacije o nadaljnjem ukrepanju po priglasitvi, vključno z informacijami, ki bi lahko podprle učinkovit odziv kritičnega subjekta na incident. Poglavje IV

Poseben nadzor nad kritičnimi subjekti posebnega evropskega pomena

Člen 14

Kritični subjekti posebnega evropskega pomena 1.Kritični subjekti posebnega evropskega pomena so predmet posebnega nadzora v skladu s tem poglavjem. 2.Subjekt se šteje za kritični subjekt posebnega evropskega pomena, kadar je opredeljen kot kritični subjekt in zagotavlja bistvene storitve več kot tretjini ali v več kot tretjini držav članic ter je bila Komisija o njem uradno obveščena v skladu s členom 5(1) oziroma (6). 3.Komisija po prejemu uradnega obvestila v skladu s členom 5(6) brez nepotrebnega odlašanja uradno obvesti zadevni subjekt, da se šteje za kritični subjekt posebnega evropskega pomena ter o obveznostih iz tega poglavja in datumu, od katerega začnejo te obveznosti veljati. Določbe tega poglavja se uporabljajo za kritični subjekt posebnega evropskega pomena od datuma prejema tega uradnega obvestila. Člen 15

Posebni nadzor 1.Na zahtevo ene ali več držav članic ali Komisije država članica, v kateri se nahaja infrastruktura kritičnega subjekta posebnega evropskega pomena, skupaj s tem subjektom obvesti Komisijo in skupino za odpornost kritičnih subjektov o rezultatih ocene tveganja, izvedene v skladu s členom 10, in ukrepih, sprejetih v skladu s členom 11. Ta država članica brez nepotrebnega odlašanja Komisijo in skupino za odpornost kritičnih subjektov obvesti tudi o vseh nadzornih ali izvršilnih ukrepih, vključno z vsemi ocenami skladnosti ali izdanimi odredbami, ki jih je v zvezi s tem subjektom sprejel njen pristojni organ v skladu s členoma 18 in 19. 2.Komisija na zahtevo ene ali več držav članic ali na lastno pobudo in v soglasju z državo članico, v kateri se nahaja infrastruktura kritičnega subjekta posebnega evropskega pomena, organizira svetovalno misijo za oceno ukrepov, ki jih je sprejel ta subjekt za izpolnjevanje svojih obveznosti iz poglavja III. Svetovalne misije lahko po potrebi zaprosijo za posebno strokovno znanje na področju obvladovanja tveganja nesreč prek Centra za usklajevanje nujnega odziva. 3.Svetovalna misija o svojih ugotovitvah poroča Komisiji, skupini za odpornost kritičnih subjektov in zadevnemu kritičnemu subjektu posebnega evropskega pomena v treh mesecih po zaključku svetovalne misije. Skupina za odpornost kritičnih subjektov analizira poročilo in po potrebi Komisiji svetuje o tem, ali zadevni kritični subjekt posebnega evropskega pomena izpolnjuje svoje obveznosti iz poglavja III, in po potrebi o tem, katere ukrepe bi bilo mogoče sprejeti za izboljšanje odpornosti zadevnega subjekta. Komisija na podlagi tega svetovanja državi članici, v kateri se nahaja infrastruktura zadevnega subjekta, skupini za odpornost kritičnih subjektov in zadevnemu subjektu sporoči svoja stališča o tem, ali ta subjekt izpolnjuje svoje obveznosti iz poglavja III, in po potrebi o tem, katere ukrepe bi bilo mogoče sprejeti za izboljšanje odpornosti zadevnega subjekta. Ta država članica ustrezno upošteva ta stališča ter Komisiji in skupini za odpornost kritičnih subjektov zagotovi informacije o vseh ukrepih, ki jih je sprejela v skladu s sporočilom. 4.Vsako svetovalno misijo sestavljajo strokovnjaki iz držav članic in predstavniki Komisije. Države članice lahko predlagajo kandidate za sodelovanje v svetovalni misiji. Komisija izbere in imenuje člane vsake svetovalne misije glede na njihovo strokovno usposobljenost in zagotovitev geografsko uravnotežene zastopanosti držav članic. Stroške, povezane s sodelovanjem v svetovalni misiji, krije Komisija. Komisija organizira program svetovalne misije po posvetovanju s člani posebne svetovalne misije in v dogovoru z državo članico, v kateri se nahaja infrastruktura zadevnega kritičnega subjekta ali kritičnega subjekta posebnega evropskega pomena. 5.Komisija sprejme izvedbeni akt, v katerem določi pravila o postopkovnih ureditvah za izvajanje svetovalnih misij in njihova poročila. Ta izvedbeni akt se sprejme v skladu s postopkom pregleda iz člena 20(2). 6.Države članice zagotovijo, da zadevni kritični subjekt posebnega evropskega pomena svetovalni misiji omogoči dostop do vseh informacij, sistemov in objektov, povezanih z zagotavljanjem njegovih bistvenih storitev, ki jih svetovalna misija potrebuje za izvedbo svojih nalog. 7.Svetovalna misija se izvede v skladu z veljavno nacionalno zakonodajo države članice, v kateri se nahaja ta infrastruktura. 8.Komisija pri organizaciji svetovalnih misij upošteva poročila o vseh inšpekcijskih pregledih, ki jih je opravila v skladu z Uredbo (ES) št. 300/2008 in Uredbo (ES) št. 725/2004, ter poročila o vsakem spremljanju, ki ga je opravila na podlagi Direktive 2005/65/ES v zvezi s kritičnim subjektom ali kritičnim subjektom posebnega evropskega pomena, kot je ustrezno.

Poglavje V

Sodelovanje in poročanje Člen 16

Skupina za odpornost kritičnih subjektov 1.Skupina za odpornost kritičnih subjektov se ustanovi z učinkom od [šest mesecev po začetku veljavnosti te direktive]. Skupina podpira Komisijo ter lajša strateško sodelovanje in izmenjavo informacij o zadevah, povezanih s to direktivo. 2.Skupino za odpornost kritičnih subjektov sestavljajo predstavniki držav članic in Komisije. Kadar je to potrebno za izvajanje njenih nalog, lahko skupina za odpornost kritičnih subjektov k sodelovanju pri svojem delu povabi predstavnike zainteresiranih strani. Skupini za odpornost kritičnih subjektov predseduje predstavnik Komisije. 3.Skupina za odpornost kritičnih subjektov ima naslednje naloge: (a)podpiranje Komisije pri pomoči državam članicam pri krepitvi njihovih zmogljivosti za prispevanje k zagotavljanju odpornosti kritičnih subjektov v skladu s to direktivo; (b)ocenjevanje strategij za odpornost kritičnih subjektov iz člena 3 in opredelitev najboljših praks v zvezi s temi strategijami; (c)olajševanje izmenjave najboljših praks v zvezi z opredelitvijo kritičnih subjektov s strani držav članic v skladu s členom 5, tudi v zvezi s čezmejnimi odvisnostmi ter tveganji in incidenti; (d)prispevanje, na zahtevo, k pripravi smernic iz člena 6(3) ter delegiranih in izvedbenih aktov na podlagi te direktive; (e)letna preučitev zbirnih poročil iz člena 8(3); (f)izmenjava najboljših praks na področju izmenjave informacij, povezanih s priglasitvijo incidentov iz člena 13; (g)analiziranje poročil svetovalnih misij v skladu s členom 15(3) in svetovanje glede njih; (h)izmenjava informacij in najboljših praks na področju raziskav in razvoja v zvezi z odpornostjo kritičnih subjektov v skladu s to direktivo; (i)izmenjava informacij o vprašanjih v zvezi z odpornostjo kritičnih subjektov z ustreznimi institucijami, organi, uradi in agencijami Unije, kadar je to potrebno. 4.Skupina za odpornost kritičnih subjektov do [24 mesecev po začetku veljavnosti te direktive] in nato vsaki dve leti določi delovni program glede ukrepov, ki jih je treba izvesti za uresničitev njenih ciljev in nalog, ki morajo biti skladni z zahtevami in cilji te direktive. 5.Skupina za odpornost kritičnih subjektov se redno in vsaj enkrat letno sestaja s skupino za sodelovanje, ustanovljeno na podlagi [direktive VOIS 2], da se spodbujata strateško sodelovanje in izmenjava informacij. 6.Komisija lahko sprejme izvedbene akte, s katerimi določi postopkovne ureditve, potrebne za delovanje skupine za odpornost kritičnih subjektov. Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 20(2). 7.Komisija do [tri leta in šest mesecev po začetku veljavnosti te direktive] ter nato po potrebi in vsaj vsaka štiri leta skupini za odpornost kritičnih subjektov predloži zbirno poročilo o informacijah, ki jih predložijo države članice v skladu s členoma 3(3) in 4(4). Člen 17

Podpora Komisije pristojnim organom in kritičnim subjektom

1.Komisija po potrebi podpira države članice in kritične subjekte pri izpolnjevanju njihovih obveznosti iz te direktive, zlasti s pripravo pregleda čezmejnih in medsektorskih tveganj za zagotavljanje bistvenih storitev na ravni Unije, organizacijo svetovalnih misij iz členov 11(3) in 15(3) ter omogočanjem izmenjave informacij med strokovnjaki po vsej Uniji. 2.Komisija dopolnjuje dejavnosti držav članic iz člena 9 z razvojem najboljših praks in metodologij ter z razvojem čezmejnih dejavnosti usposabljanja in vaj za preskušanje odpornosti kritičnih subjektov. Poglavje VI

NADZOR IN IZVRŠEVANJE Člen 18

Izvajanje in izvrševanje 1.Da bi ocenile, ali subjekti, ki so jih v skladu s členom 5 opredelile kot kritične subjekte, izpolnjujejo obveznosti iz te direktive, države članice zagotovijo, da imajo pristojni organi pooblastila in sredstva za: (a)izvajanje inšpekcijskih pregledov prostorov, ki jih kritični subjekt uporablja za zagotavljanje svojih bistvenih storitev, na kraju samem in nadzor ukrepov kritičnih subjektov na daljavo v skladu s členom 11; (b)izvajanje ali naročilo revizij v zvezi s temi subjekti. 2.Države članice zagotovijo, da imajo pristojni organi pooblastila in sredstva, s katerimi lahko zahtevajo, kadar je to potrebno za opravljanje njihovih nalog iz te direktive, da subjekti, ki so jih države članice v skladu z odstavkom 5 opredelile kot kritične subjekte, v razumnem roku, ki so ga določili ti organi, predložijo: (a)informacije, potrebne za oceno, ali ukrepi, ki so jih sprejeli za zagotovitev svoje odpornosti, izpolnjujejo zahteve iz člena 11; (b)dokazila o učinkovitem izvajanju teh ukrepov, vključno z rezultati revizije, ki jo je opravil neodvisen in usposobljen neodvisen revizor, ki ga je izbral navedeni subjekt, revizija pa je bila opravljena na njegove stroške. Kadar pristojni organi zahtevajo te informacije, navedejo namen zahteve in opredelijo, katere informacije zahtevajo. 3.Pristojni organi lahko brez poseganja v možnost nalaganja kazni v skladu s členom 19 po nadzornih ukrepih iz odstavka 1 ali oceni informacij iz odstavka 2 zadevnim kritičnim subjektom odredijo, naj v razumnem roku, ki ga določijo ti organi, sprejmejo potrebne in sorazmerne ukrepe za odpravo vseh ugotovljenih kršitev te direktive in tem organom zagotovijo informacije o sprejetih ukrepih. Pri teh odredbah se upošteva zlasti resnost kršitve. 4.Države članice zagotovijo, da se pooblastila iz odstavkov 1, 2 in 3 lahko izvajajo le ob upoštevanju ustreznih zaščitnih ukrepov. S temi zaščitnimi ukrepi se zlasti zagotovi, da se takšna pooblastila izvajajo objektivno, pregledno in sorazmerno ter da so pravice in zakoniti interesi zadevnih kritičnih subjektov ustrezno zaščiteni, vključno z njihovimi pravicami do zaslišanja, obrambe in učinkovitega pravnega sredstva pred neodvisnim sodiščem. 5.Države članice zagotovijo, da pristojni organ po oceni v skladu s tem členom, ali kritični subjekt izpolnjuje svoje obveznosti iz te direktive, o tem obvesti pristojne organe zadevne države članice, imenovane v skladu z [direktivo VOIS 2], in lahko od teh organov zahteva, naj ocenijo kibernetsko varnost takega subjekta ter v ta namen sodelujejo in izmenjujejo informacije. Člen 19

Kazni Države članice določijo pravila o kaznih, ki se uporabljajo za kršitve nacionalnih določb, sprejetih na podlagi te direktive, in sprejmejo vse potrebne ukrepe za zagotovitev, da se te kazni izvajajo. Te kazni so učinkovite, sorazmerne in odvračilne. Države članice uradno obvestijo Komisijo o navedenih določbah najpozneje do [dve leti po začetku veljavnosti te direktive] in brez odlašanja tudi o vseh poznejših spremembah navedenih določb. Poglavje VII

KONČNE DOLOČBE Člen 20

Postopek v odboru

1.