CELEX ID: 32022L2557

--- ENGLISH ---

Document:
27.12.2022
EN
Official Journal of the European Union
L 333/164
DIRECTIVE (EU) 2022/2557 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 14 December 2022
on the resilience of critical entities and repealing Council Directive 2008/114/EC
(Text with EEA relevance)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
Having regard to the opinion of the Committee of the Regions 
(
2
)
,
Acting in accordance with the ordinary legislative procedure 
(
3
)
,
Whereas:
(1)
Critical entities, as providers of essential services, play an indispensable role in the maintenance of vital societal functions or economic activities in the internal market in an increasingly interdependent Union economy. It is therefore essential to set out a Union framework with the aim of both enhancing the resilience of critical entities in the internal market by laying down harmonised minimum rules and assisting them by means of coherent and dedicated support and supervision measures.
(2)
Council Directive 2008/114/EC 
(
4
)
 provides for a procedure for designating European critical infrastructure in the energy and transport sectors the disruption or destruction of which would have a significant cross-border impact on at least two Member States. That Directive focuses exclusively on the protection of such infrastructure. However, the evaluation of Directive 2008/114/EC conducted in 2019 found that, due to the increasingly interconnected and cross-border nature of operations using critical infrastructure, protective measures relating to individual assets alone are insufficient to prevent all disruptions from taking place. Therefore, it is necessary to shift the approach towards ensuring that risks are better accounted for, that the role and duties of critical entities as providers of services essential to the functioning of the internal market are better defined and coherent, and that Union rules are adopted to enhance the resilience of critical entities. Critical entities should be in a position to reinforce their ability to prevent, protect against, respond to, resist, mitigate, absorb, accommodate and recover from incidents that have the potential to disrupt the provision of essential services.
(3)
While a number of measures at Union level, such as the European Programme for Critical Infrastructure Protection, and at national level aim to support the protection of critical infrastructure in the Union, more should be done to better equip the entities operating such infrastructure to address the risks to their operations that could result in the disruption of the provision of essential services. More should also be done to better equip such entities because there is a dynamic threat landscape, which includes evolving hybrid and terrorist threats, and growing interdependencies between infrastructure and sectors. Moreover, there is an increased physical risk due to natural disasters and climate change, which intensifies the frequency and scale of extreme weather events and brings long-term changes in average climate conditions that can reduce the capacity, efficiency and lifespan of certain infrastructure types if climate adaptation measures are not in place. In addition, the internal market is characterised by fragmentation in respect of the identification of critical entities because relevant sectors and categories of entities are not recognised consistently as critical in all Member States. This Directive should therefore achieve a solid level of harmonisation in terms of the sectors and categories of entities falling within its scope.
(4)
While certain sectors of the economy, such as the energy and transport sectors, are already regulated by sector-specific Union legal acts, those legal acts contain provisions which relate only to certain aspects of resilience of entities operating in those sectors. In order to address in a comprehensive manner the resilience of those entities that are critical for the proper functioning of the internal market, this Directive creates an overarching framework that addresses the resilience of critical entities in respect of all hazards, whether natural or man-made, accidental or intentional.
(5)
The growing interdependencies between infrastructure and sectors are the result of an increasingly cross-border and interdependent network of service provision using key infrastructure across the Union in the energy, transport, banking, drinking water, waste water, production, processing and distribution of food, health, space, financial market infrastructure and digital infrastructure sectors and in certain aspects of the public administration sector. The space sector falls within the scope of this Directive with respect to the provision of certain services that depend on ground-based infrastructure owned, managed and operated either by Member States or by private parties; consequently, infrastructure owned, managed or operated by or on behalf of the Union as part of its space programme does not fall within the scope of this Directive.
In terms of the energy sector and in particular the methods of electricity generation and transmission (in respect of supply of electricity), it is understood that, where deemed appropriate, electricity generation can include electricity transmission parts of nuclear power plants but excludes the specifically nuclear elements covered by treaties and Union law, including relevant legal acts of the Union concerning nuclear power. The process for identifying critical entities in the food sector should adequately reflect the nature of the internal market in that sector and the extensive Union rules relating to the general principles and requirements of food law and food safety. Therefore, in order to ensure that there is a proportionate approach and to adequately reflect the role and importance of those entities at national level, critical entities should only be identified among food businesses, whether for profit or not and whether public or private, that are engaged exclusively in logistics and wholesale distribution and large-scale industrial production and processing with a significant market share as observed at national level. Those interdependencies mean that any disruption of essential services, even one which is initially confined to one entity or one sector, can have cascading effects more broadly, potentially resulting in a far-reaching and long-term negative impact on the delivery of services across the internal market. Major crises, such as the COVID-19 pandemic, have shown the vulnerability of our increasingly interdependent societies in the face of high-impact low-probability risks.
(6)
The entities involved in the provision of essential services are increasingly subject to diverging requirements imposed under national law. The fact that some Member States have less stringent security requirements on those entities not only leads to various levels of resilience but also risks negatively impacting the maintenance of vital societal functions or economic activities across the Union and leads to obstacles to the proper functioning of the internal market. Investors and companies can rely on and trust critical entities that are resilient, and reliability and trust are the cornerstones of a well-functioning internal market. Similar types of entities are considered as critical in some Member States but not in others, and those which are identified as critical are subject to divergent requirements in different Member States. That results in an additional and unnecessary administrative burden for companies operating across borders, in particular for companies active in Member States with more stringent requirements. A Union framework would therefore also have the effect of levelling the playing field for critical entities across the Union.
(7)
It is necessary to lay down harmonised minimum rules to ensure the provision of essential services in the internal market, to enhance the resilience of critical entities and to improve cross-border cooperation between competent authorities. It is important that those rules be future proof in terms of their design and implementation while allowing for necessary flexibility. It is also crucial to improve the capacity of critical entities to provide essential services in the face of a diverse set of risks.
(8)
In order to achieve a high level of resilience, Member States should identify critical entities that will be subject to specific requirements and supervision and that will be provided with particular support and guidance in the face of all relevant risks.
(9)
Given the importance of cybersecurity for the resilience of critical entities and in the interests of consistency, a coherent approach should be ensured, wherever possible, between this Directive and Directive (EU) 2022/2555 of the European Parliament and of the Council 
(
5
)
. In light of the higher frequency and particular characteristics of cyber risks, Directive (EU) 2022/2555 imposes comprehensive requirements on a large set of entities to ensure their cybersecurity. Given that cybersecurity is addressed sufficiently in Directive (EU) 2022/2555, the matters covered by that Directive should be excluded from the scope of this Directive, without prejudice to the particular regime for entities in the digital infrastructure sector.
(10)
Where provisions of sector-specific Union legal acts require critical entities to take measures to enhance their resilience, and where those requirements are recognised by Member States as at least equivalent to the corresponding obligations laid down in this Directive, the relevant provisions of this Directive should not apply, so as to avoid duplication and unnecessary burden. In that case, the relevant provisions of such Union legal acts should apply. Where the relevant provisions of this Directive do not apply, the provisions on supervision and enforcement laid down in this Directive should not apply either.
(11)
This Directive does not affect the competence of Member States and their authorities in terms of administrative autonomy or their responsibility for safeguarding national security and defence or their power to safeguard other essential State functions, in particular concerning public security, territorial integrity and the maintenance of law and order. The exclusion of public administration entities from the scope of this Directive should apply to entities whose activities are predominantly carried out in the areas of national security, public security, defence or law enforcement, including the investigation, detection and prosecution of criminal offences. However, public administration entities whose activities are only marginally related to those areas should fall within the scope of this Directive. For the purposes of this Directive, entities with regulatory competences are not considered to be carrying out activities in the area of law enforcement and are therefore not excluded on that ground from the scope of this Directive. Public administration entities that are jointly established with a third country in accordance with an international agreement are excluded from the scope of this Directive. This Directive does not apply to Member States’ diplomatic and consular missions in third countries.
Certain critical entities carry out activities in the areas of national security, public security, defence or law enforcement, including the investigation, detection and prosecution of criminal offences, or provide services exclusively to public administration entities that carry out activities predominantly in those areas. In light of the Member States’ responsibility for safeguarding national security and defence, Member States should be able to decide that the obligations on critical entities laid down in this Directive do not apply, in whole or in part, to those critical entities if the services they provide or the activities they perform are predominantly related to the areas of national security, public security, defence or law enforcement, including the investigation, detection and prosecution of criminal offences. Critical entities whose services or activities are only marginally related to those areas should fall within the scope of this Directive. No Member State should be required to supply information the disclosure of which would be contrary to the essential interests of its national security. Union or national rules for the protection of classified information and non-disclosure agreements are of relevance.
(12)
In order not to jeopardise national security or the security and commercial interests of critical entities, sensitive information should be accessed, exchanged and handled prudently and with particular attention to the transmission channels and storage capacities used.
(13)
With a view to ensuring a comprehensive approach to the resilience of critical entities, each Member State should have in place a strategy for enhancing the resilience of critical entities (the ‘strategy’). The strategy should set out the strategic objectives and policy measures to be implemented. In the interests of coherence and efficiency, the strategy should be designed to seamlessly integrate existing policies, building, wherever possible, upon relevant existing national and sectoral strategies, plans or similar documents. In order to achieve a comprehensive approach, Member States should ensure that their strategies provide for a policy framework for enhanced coordination between the competent authorities under this Directive and the competent authorities under Directive (EU) 2022/2555 in the context of information sharing on cybersecurity risks, cyber threats and cyber incidents and non-cyber risks, threats and incidents and in the context of the exercise of supervisory tasks. When putting in place their strategies, Member States should take due account of the hybrid nature of threats to critical entities.
(14)
Member States should communicate their strategies and substantial updates thereto to the Commission, in particular to enable the Commission to assess the correct application of this Directive as regards policy approaches to the resilience of critical entities at national level. Where necessary, the strategies could be communicated as classified information. The Commission should draw up a summary report of the strategies communicated by Member States to serve as a basis for exchanges to identify best practices and issues of common interest in the framework of a Critical Entities Resilience Group. Due to the sensitive nature of the aggregated information included in the summary report, whether classified or not, the Commission should manage the summary report with the appropriate level of awareness with respect for the security of critical entities, Member States and the Union. The summary report and the strategies should be safeguarded against unlawful or malicious action and should be accessible only to authorised persons in order to fulfil the objectives of this Directive. The communication of the strategies and substantial updates thereto should also help the Commission to understand developments in approaches to the resilience of critical entities and feed into the monitoring of the impact and added value of this Directive, which the Commission is to review periodically.
(15)
The actions of Member States to identify and help ensure the resilience of critical entities should follow a risk-based approach that focuses on the entities most relevant for the performance of vital societal functions or economic activities. In order to ensure such a targeted approach, each Member State should carry out, within a harmonised framework, an assessment of the relevant natural and man-made risks, including those of a cross-sectoral or cross-border nature, that could affect the provision of essential services, including accidents, natural disasters, public health emergencies such as pandemics and hybrid threats or other antagonistic threats, including terrorist offences, criminal infiltration and sabotage (‘Member State risk assessment’). When carrying out Member State risk assessments, Member States should take into account other general or sector-specific risk assessments carried out pursuant to other Union legal acts and should consider the extent to which sectors depend on one another, including on sectors in other Member States and third countries. The outcome of Member State risk assessments should be used for the purposes of identifying critical entities and assisting those entities in meeting their resilience requirements. This Directive applies only to Member States and critical entities that operate within the Union. Nevertheless, the expertise and knowledge generated by competent authorities, in particular through risk assessments, and by the Commission, in particular through various forms of support and cooperation, could be used, where appropriate and in accordance with the applicable legal instruments, for the benefit of third countries, in particular those in the direct neighbourhood of the Union, by feeding into existing cooperation on resilience.
(16)
In order to ensure that all relevant entities are subject to the resilience requirements of this Directive and to reduce divergences in that respect, it is important to lay down harmonised rules allowing for a consistent identification of critical entities across the Union, while also allowing Member States to adequately reflect the role and importance of those entities at national level. When applying the criteria laid down in this Directive, each Member State should identify entities that provide one or more essential services and that operate and have critical infrastructure located on its territory. An entity should be considered to operate on the territory of a Member State in which it carries out activities necessary for the essential service or services in question and in which that entity’s critical infrastructure, which is used to provide that service or those services, is located. Where no entity meets those criteria in a Member State, that Member State should be under no obligation to identify a critical entity in the corresponding sector or subsector. In the interests of effectiveness, efficiency, consistency and legal certainty, appropriate rules should be established as regards notifying entities that they have been identified as critical entities.
(17)
Member States should submit to the Commission, in a manner that fulfils the objectives of this Directive, a list of essential services, the number of critical entities identified for each of the sectors and subsectors set out in the Annex and for the essential service or services that each entity provides and, if applied, thresholds. It should be possible to present thresholds as such or in aggregated form, meaning that the information can be averaged by geographic area, by year, by sector, by subsector or by other means, and can include information on the range of the indicators provided.
(18)
Criteria should be established to determine the significance of a disruptive effect produced by an incident. Those criteria should build on the criteria set out in Directive (EU) 2016/1148 of the European Parliament and of the Council 
(
6
)
 in order to capitalise on the efforts carried out by Member States to identify operators of essential services as defined in that Directive and the experience gained in that regard. Major crises, such as the COVID-19 pandemic, have shown the importance of ensuring the security of the supply chain and have demonstrated how its disruption can have a negative economic and societal impact across a large number of sectors and across borders. Therefore, Member States should also consider effects on the supply chain, to the extent possible, when determining the extent to which other sectors and subsectors depend on the essential service provided by a critical entity.
(19)
In accordance with applicable Union and national law, including Regulation (EU) 2019/452 of the European Parliament and of the Council 
(
7
)
, which establishes a framework for the screening of foreign direct investments in the Union, the potential threat posed by foreign ownership of critical infrastructure within the Union is to be acknowledged because services, the economy and the free movement and safety of Union citizens depend on the proper functioning of critical infrastructure.
(20)
Directive (EU) 2022/2555 requires entities belonging to the digital infrastructure sector, which might be identified as critical entities under this Directive, to take appropriate and proportionate technical, operational and organisational measures to manage the risks posed to the security of network and information systems and to notify significant incidents and cyber threats. Since threats to the security of network and information systems can have different origins, Directive (EU) 2022/2555 applies an all-hazards approach that includes the resilience of network and information systems, as well as the physical components and environment of those systems.
Given that the requirements laid down in Directive (EU) 2022/2555 in that regard are at least equivalent to the corresponding obligations laid down in this Directive, the obligations laid down in Article 11 and Chapters III, IV and VI of this Directive should not apply to entities belonging to the digital infrastructure sector in order to avoid duplication and unnecessary administrative burden. However, considering the importance of the services provided by entities belonging to the digital infrastructure sector to critical entities belonging to all other sectors, Member States should identify, based on the criteria and using the procedure provided for in this Directive, entities belonging to the digital infrastructure sector as critical entities. Consequently, the strategies, the Member State risk assessments and the support measures set out in Chapter II of this Directive should apply. Member States should be able to adopt or maintain provisions of national law to achieve a higher level of resilience for those critical entities, provided that those provisions are consistent with applicable Union law.
(21)
Union financial services law establishes comprehensive requirements on financial entities to manage all risks they face, including operational risks, and to ensure business continuity. Such law includes Regulations (EU) No 648/2012 
(
8
)
, (EU) No 575/2013 
(
9
)
 and (EU) No 600/2014 
(
10
)
 of the European Parliament and of the Council and Directives 2013/36/EU 
(
11
)
 and 2014/65/EU 
(
12
)
 of the European Parliament and of the Council. That legal framework is complemented by Regulation (EU) 2022/2554 of the European Parliament and of the Council 
(
13
)
, which lays down requirements applicable to financial entities to manage Information and Communication Technology (ICT) risks, including concerning the protection of physical ICT infrastructure. Since the resilience of those entities is therefore comprehensively covered, Article 11 and Chapters III, IV and VI of this Directive should not apply to those entities in order to avoid duplication and unnecessary administrative burden.
However, considering the importance of the services provided by entities in the financial sector to critical entities belonging to all other sectors, Member States should identify, based on the criteria and using the procedure provided for in this Directive, entities in the financial sector as critical entities. Consequently, the strategies, the Member State risk assessments and the support measures set out in Chapter II of this Directive should apply. Member States should be able to adopt or maintain provisions of national law to achieve a higher level of resilience for those critical entities provided that those provisions are consistent with applicable Union law.
(22)
Member States should designate or establish authorities competent to supervise the application of and, where necessary, enforce the rules of this Directive and ensure that those authorities are adequately empowered and resourced. In light of the differences in national governance structures, in order to safeguard existing sectoral arrangements or Union supervisory and regulatory bodies, and in order to avoid duplication, Member States should be able to designate or establish more than one competent authority. Where Member States designate or establish more than one competent authority, they should clearly delineate the respective tasks of the authorities concerned and ensure that they cooperate smoothly and effectively. All competent authorities should also cooperate more generally with other relevant authorities, at both Union and national level.
(23)
In order to facilitate cross-border cooperation and communication and to enable the effective implementation of this Directive, each Member State should, without prejudice to the requirements of sector-specific Union legal acts, designate one single point of contact responsible for coordinating issues related to the resilience of critical entities and cross-border cooperation at Union level (‘single point of contact’), where relevant within a competent authority. Each single point of contact should liaise and coordinate communication, where relevant, with the competent authorities of its Member State, with the single points of contact of other Member States and with the Critical Entities Resilience Group.
(24)
The competent authorities under this Directive and the competent authorities under Directive (EU) 2022/2555 should cooperate and exchange information in relation to cybersecurity risks, cyber threats and cyber incidents and non-cyber risks, threats and incidents affecting critical entities as well as in relation to relevant measures taken by competent authorities under this Directive and competent authorities under Directive (EU) 2022/2555. It is important that Member States ensure that the requirements provided for in this Directive and in Directive (EU) 2022/2555 are implemented in a complementary manner and that critical entities are not subject to an administrative burden beyond that which is necessary to achieve the objectives of this Directive and that Directive.
(25)
Member States should support critical entities, including those that qualify as small or medium-sized enterprises, in strengthening their resilience, in compliance with Member State obligations laid down in this Directive, without prejudice to the critical entities’ own legal responsibility to ensure such compliance and, in so doing, prevent excessive administrative burden. Member States could, in particular, develop guidance materials and methodologies, support the organisation of exercises to test the resilience of critical entities and provide advice and training to the personnel of critical entities. Where necessary and justified by public interest objectives, Member States could provide financial resources and should facilitate voluntary information sharing and the exchange of good practices between critical entities, without prejudice to the application of competition rules laid down in the Treaty on the Functioning of the European Union (TFEU).
(26)
With the aim of enhancing the resilience of critical entities identified by Member States and in order to reduce the administrative burden on those critical entities, the competent authorities should consult one another, whenever appropriate, for the purpose of ensuring that this Directive is applied in a consistent manner. Those consultations should be entered into at the request of any interested competent authority and should focus on ensuring a convergent approach regarding interlinked critical entities that use critical infrastructure which is physically connected between two or more Member States, that belong to the same groups or corporate structures, or that have been identified in one Member State and that provide essential services to or in other Member States.
(27)
Where provisions of Union or national law require critical entities to assess risks relevant for the purposes of this Directive and to take measures to ensure their own resilience, those requirements should be adequately considered for the purpose of supervising the compliance of critical entities with this Directive.
(28)
Critical entities should have a comprehensive understanding of the relevant risks to which they are exposed and a duty to analyse those risks. To that end, they should carry out risk assessments whenever necessary in view of their particular circumstances and the evolution of those risks and, in any event, every four years, in order to assess all relevant risks that could disrupt the provision of their essential services (‘critical entity risk assessment’). Where critical entities have carried out other risk assessments or drawn up documents pursuant to obligations laid down in other legal acts that are relevant for their critical entity risk assessment, they should be able to use those assessments and documents to meet the requirements set out in this Directive concerning critical entity risk assessments. A competent authority should be able to declare that an existing risk assessment carried out by a critical entity that addresses the relevant risks and the relevant extent of dependence is compliant, in whole or in part, with the obligations laid down in this Directive.
(29)
Critical entities should take technical, security and organisational measures that are appropriate and proportionate to the risks they face so as to prevent, protect against, respond to, resist, mitigate, absorb, accommodate and recover from an incident. While critical entities should take those measures in accordance with this Directive, the details and extent of such measures should reflect the different risks that each critical entity has identified as part of its critical entity risk assessment and the specificities of such entity in an appropriate and proportionate way. To promote a coherent Union approach, the Commission should, after consulting the Critical Entities Resilience Group, adopt non-binding guidelines to further specify those technical, security and organisational measures. Member States should ensure that each critical entity designate a liaison officer or equivalent as point of contact with the competent authorities.
(30)
In the interests of effectiveness and accountability, critical entities should describe the measures they take, with a level of detail that sufficiently achieves the aims of effectiveness and accountability, having regard to the risks identified, in a resilience plan or in a document or documents that are equivalent to a resilience plan, and apply that plan in practice. Where a critical entity has already taken technical, security and organisational measures and drawn up documents pursuant to other legal acts that are relevant for resilience-enhancing measures under this Directive, it should be able, in order to avoid duplication, to use those measures and documents to meet the requirements as regards resilience measures under this Directive. In order to avoid duplication, a competent authority should be able to declare existing resilience measures taken by a critical entity that address its obligation to take technical, security and organisational measures pursuant to this Directive as compliant, in whole or in part, with the requirements of this Directive.
(31)
Regulations (EC) No 725/2004 
(
14
)
 and (EC) No 300/2008 
(
15
)
 of the European Parliament and of the Council and Directive 2005/65/EC of the European Parliament and of the Council 
(
16
)
 establish requirements applicable to entities in the aviation and maritime transport sectors to prevent incidents caused by unlawful acts and to resist and mitigate the consequences of such incidents. While the measures required under this Directive are broader in terms of risks addressed and types of measures to be taken, critical entities in those sectors should reflect in their resilience plan or equivalent documents the measures taken pursuant to those other Union legal acts. Critical entities are also to take into consideration Directive 2008/96/EC of the European Parliament and of the Council 
(
17
)
, which introduces a network-wide road assessment to map the risk of accidents and a targeted road safety inspection to identify hazardous conditions, defects and problems that increase the risk of accidents and injuries, based on site visits of existing roads or sections of roads. Ensuring the protection and resilience of critical entities is of the utmost importance for the railway sector and, when implementing resilience measures under this Directive, critical entities are encouraged to refer to non-binding guidelines and good practices documents developed under sectorial workstreams, such as the EU Rail Passenger Security Platform set up by Commission Decision 2018/C 232/03 
(
18
)
.
(32)
The risk of employees of critical entities or their contractors misusing, for instance, their access rights within the critical entity’s organisation to harm and cause damage is of increasing concern. Member States should therefore specify the conditions under which critical entities are permitted, in duly reasoned cases and taking into account Member State risk assessments, to submit requests for background checks on persons falling within specific categories of its personnel. It should be ensured that the relevant authorities assess such requests within a reasonable timeframe and process them in accordance with national law and procedures and relevant and applicable Union law, including on the protection of personal data. In order to corroborate the identity of a person who is the subject of a background check, it is appropriate for Member States to require proof of identity, such as a passport, a national identity card or a digital form of identification, in accordance with applicable law.
Background checks should include a check of the criminal records of the person concerned. Member States should use the European Criminal Records Information System in accordance with the procedures set out in Council Framework Decision 2009/315/JHA 
(
19
)
 and, where relevant and applicable, Regulation (EU) 2019/816 of the European Parliament and of the Council 
(
20
)
 for the purpose of obtaining information from criminal records held by other Member States. Member States might also, where relevant and applicable, draw on the Second Generation Schengen Information System (SIS II) established by Regulation (EU) 2018/1862 of the European Parliament and of the Council 
(
21
)
, intelligence and any other objective information available that might be necessary to determine the suitability of the person concerned to work in the position in relation to which the critical entity has requested a background check.
(33)
A mechanism for the notification of certain incidents should be established to allow the competent authorities to respond to incidents rapidly and adequately and to have a comprehensive overview of the impact, nature, cause and possible consequences of incidents with which the critical entities deal. Critical entities should notify, without undue delay, the competent authorities of incidents that significantly disrupt or have the potential to significantly disrupt the provision of essential services. Unless operationally unable to do so, critical entities should submit an initial notification no later than 24 hours after becoming aware of an incident. The initial notification should only include the information strictly necessary to make the competent authority aware of the incident and allow the critical entity to seek assistance, if required. Such a notification should indicate, where possible, the presumed cause of the incident. Member States should ensure that the requirement to submit that initial notification does not divert the critical entity’s resources from activities related to incident handling, which should be prioritised. The initial notification should be followed, where relevant, by a detailed report no later than one month after the incident. The detailed report should complement the initial notification and provide a more complete overview of the incident.
(34)
Standardisation should remain primarily a market-driven process. However, there might still be situations in which it is appropriate to require compliance with specific standards. Member States should, where useful, encourage the use of European and international standards and technical specifications relevant to the security and resilience measures applicable to critical entities.
(35)
While critical entities generally operate as part of an increasingly interconnected network of service provision and infrastructure and often provide essential services in more than one Member State, some of those critical entities are of particular significance for the Union and its internal market because they provide essential services to or in six or more Member States and, therefore, could benefit from specific support at Union level. Rules on advisory missions in respect of such critical entities of particular European significance should therefore be established. Those rules are without prejudice to the rules on supervision and enforcement set out in this Directive.
(36)
On a reasoned request from the Commission or from one or more Member States to or in which the essential service is provided, where additional information is necessary to be able to advise a critical entity in meeting its obligations under this Directive or to assess the compliance of a critical entity of particular European significance with those obligations, the Member State that has identified a critical entity of particular European significance as a critical entity should provide the Commission with certain information as set out in this Directive. In agreement with the Member State that has identified the critical entity of particular European significance as a critical entity, the Commission should be able to organise an advisory mission to assess the measures put in place by that entity. In order to ensure that such advisory missions are carried out properly, complementary rules should be established, in particular on the organisation and conduct of the advisory missions, the follow-up actions to be taken and the obligations for the critical entities of particular European significance concerned. The advisory mission should, without prejudice to the need for the Member State in which the advisory mission is conducted and the critical entity concerned to comply with the rules laid down in this Directive, be conducted subject to the detailed rules of the law of that Member State, for instance on the precise conditions to be fulfilled in order to obtain access to relevant premises or documents and on judicial redress. Specific expertise required for such advisory missions could, where relevant, be requested through the Emergency Response Coordination Centre established by Decision No 1313/2013/EU of the European Parliament and of the Council 
(
22
)
.
(37)
In order to support the Commission and facilitate cooperation among Member States and the exchange of information, including best practices, on issues relating to this Directive, a Critical Entities Resilience Group should be established as a Commission expert group. Member States should endeavour to ensure that the designated representatives of their competent authorities in the Critical Entities Resilience Group effectively and efficiently cooperate, including by designating representatives who hold security clearance, where appropriate. The Critical Entities Resilience Group should begin to perform its tasks as soon as possible, so as to provide additional means for appropriate cooperation during the transposition period of this Directive. The Critical Entities Resilience Group should interact with other relevant sector-specific expert working groups.
(38)
The Critical Entities Resilience Group should cooperate with the Cooperation Group established under Directive (EU) 2022/2555 with a view to supporting a comprehensive framework for cyber and non-cyber resilience of critical entities. The Critical Entities Resilience Group and the Cooperation Group established under Directive (EU) 2022/2555 should engage in a regular dialogue to promote cooperation between the competent authorities under this Directive and the competent authorities under Directive (EU) 2022/2555 and to facilitate the exchange of information, in particular on topics of relevance to both groups.
(39)
In order to achieve the objectives of this Directive and without prejudice to the legal responsibility of Member States and critical entities to ensure compliance with their respective obligations laid down therein, the Commission should, where it considers it appropriate, support competent authorities and critical entities with the aim of facilitating their compliance with their respective obligations. When providing support to Member States and critical entities in the implementation of obligations under this Directive, the Commission should build on existing structures and tools, such as those under the Union Civil Protection Mechanism, established by Decision No 1313/2013/EU, and the European Reference Network for Critical Infrastructure Protection. In addition, it should inform Member States about resources available at Union level, such as within the Internal Security Fund, established by Regulation (EU) 2021/1149 of the European Parliament and of the Council 
(
23
)
, Horizon Europe, established by Regulation (EU) 2021/695 of the European Parliament and of the Council 
(
24
)
, or other instruments relevant for the resilience of critical entities.
(40)
Member States should ensure that their competent authorities have certain specific powers for the proper application and enforcement of this Directive in relation to critical entities, where those entities fall under their jurisdiction as specified in this Directive. Those powers should include, in particular, the power to conduct inspections and audits, the power to supervise, the power to require critical entities to provide information and evidence relating to the measures they have taken to comply with their obligations and, where necessary, the power to issue orders to remedy identified infringements. When issuing such orders, Member States should not require measures which go beyond what is necessary and proportionate to ensure the compliance of the critical entity concerned, taking account of, in particular, the seriousness of the infringement and the economic capacity of the critical entity concerned. More generally, those powers should be accompanied by appropriate and effective safeguards to be specified in national law in accordance with the Charter of Fundamental Rights of the European Union. When assessing the compliance of a critical entity with its obligations as laid down in this Directive, the competent authorities under this Directive should be able to request the competent authorities under Directive (EU) 2022/2555 to exercise their supervisory and enforcement powers in relation to an entity under that Directive that has been identified as a critical entity under this Directive. The competent authorities under this Directive and the competent authorities under Directive (EU) 2022/2555 should cooperate and exchange information for that purpose.
(41)
In order to apply this Directive in an effective and consistent manner, the power to adopt acts in accordance with Article 290 TFEU should be delegated to the Commission to supplement this Directive by drawing up a list of essential services. That list should be used by competent authorities for the purpose of conducting Member State risk assessments and identifying critical entities pursuant to this Directive. In light of the minimum harmonisation approach of this Directive, that list is non-exhaustive, and Member States could complement it with additional essential services at national level in order to take into account national specificities in the provision of essential services. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making 
(
25
)
. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States’ experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts.
(42)
In order to ensure uniform conditions for the implementation of this Directive, implementing powers should be conferred on the Commission. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
26
)
.
(43)
Since the objectives of this Directive, namely to ensure that services essential for the maintenance of vital societal functions or economic activities are provided in an unobstructed manner in the internal market and to enhance the resilience of critical entities providing such services, cannot be sufficiently achieved by the Member States, but can rather, by reason of the effects of the action, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on the European Union. In accordance with the principle of proportionality as set out in that Article 5, this Directive does not go beyond what is necessary in order to achieve those objectives.
(44)
The European Data Protection Supervisor was consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 of the European Parliament and of the Council 
(
27
)
 and delivered an opinion on 11 August 2021.
(45)
Directive 2008/114/EC should therefore be repealed,
HAVE ADOPTED THIS DIRECTIVE:
CHAPTER I
GENERAL PROVISIONS
Article 1
Subject matter and scope
1.   This Directive:
(a)
lays down obligations on Member States to take specific measures aimed at ensuring that services which are essential for the maintenance of vital societal functions or economic activities within the scope of Article 114 TFEU are provided in an unobstructed manner in the internal market, in particular obligations to identify critical entities and to support critical entities in meeting the obligations imposed on them;
(b)
lays down obligations for critical entities aimed at enhancing their resilience and ability to provide services as referred to in point (a) in the internal market;
(c)
establishes rules:
(i)
on the supervision of critical entities;
(ii)
on enforcement;
(iii)
for the identification of critical entities of particular European significance and on advisory missions to assess the measures that such entities have put in place to meet their obligations under Chapter III;
(d)
establishes common procedures for cooperation and reporting on the application of this Directive;
(e)
lays down measures with a view to achieving a high level of resilience of critical entities in order to ensure the provision of essential services within the Union and to improve the functioning of the internal market.
2.   This Directive shall not apply to matters covered by Directive (EU) 2022/2555, without prejudice to Article 8 of this Directive. In light of the relationship between the physical security and cybersecurity of critical entities, Member States shall ensure that this Directive and Directive (EU) 2022/2555 are implemented in a coordinated manner.
3.   Where provisions of sector-specific Union legal acts require critical entities to take measures to enhance their resilience and where those requirements are recognised by Member States as at least equivalent to the corresponding obligations laid down in this Directive, the relevant provisions of this Directive, including the provisions on supervision and enforcement laid down in Chapter VI, shall not apply.
4.   Without prejudice to Article 346 TFEU, information that is confidential pursuant to Union or national rules, such as rules on business confidentiality, shall be exchanged with the Commission and other relevant authorities in accordance with this Directive only where that exchange is necessary for the application of this Directive. The information exchanged shall be limited to that which is relevant and proportionate to the purpose of that exchange. The exchange of information shall preserve the confidentiality of that information and the security and commercial interests of critical entities, while respecting the security of Member States.
5.   This Directive is without prejudice to the Member States’ responsibility for safeguarding national security and defence and their power to safeguard other essential State functions, including ensuring the territorial integrity of the State and maintaining law and order.
6.   This Directive does not apply to public administration entities that carry out their activities in the areas of national security, public security, defence or law enforcement, including the investigation, detection and prosecution of criminal offences.
7.   Member States may decide that Article 11 and Chapters III, IV and VI, in whole or in part, do not apply to specific critical entities which carry out activities in the areas of national security, public security, defence or law enforcement, including the investigation, detection and prosecution of criminal offences, or which provide services exclusively to the public administration entities referred to in paragraph 6 of this Article.
8.   The obligations laid down in this Directive shall not entail the supply of information the disclosure of which would be contrary to the essential interests of Member States’ national security, public security or defence.
9.   This Directive is without prejudice to Union law on the protection of personal data, in particular Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
28
)
 and Directive 2002/58/EC of the European Parliament and of the Council 
(
29
)
.
Article 2
Definitions
For the purposes of this Directive, the following definitions apply:
(1)
‘critical entity’ means a public or private entity which has been identified by a Member State in accordance with Article 6 as belonging to one of the categories set out in the third column of the table in the Annex;
(2)
‘resilience’ means a critical entity’s ability to prevent, protect against, respond to, resist, mitigate, absorb, accommodate and recover from an incident;
(3)
‘incident’ means an event which has the potential to significantly disrupt, or that disrupts, the provision of an essential service, including when it affects the national systems that safeguard the rule of law;
(4)
‘critical infrastructure’ means an asset, a facility, equipment, a network or a system, or a part of an asset, a facility, equipment, a network or a system, which is necessary for the provision of an essential service;
(5)
‘essential service’ means a service which is crucial for the maintenance of vital societal functions, economic activities, public health and safety, or the environment;
(6)
‘risk’ means the potential for loss or disruption caused by an incident and is to be expressed as a combination of the magnitude of such loss or disruption and the likelihood of occurrence of the incident;
(7)
‘risk assessment ’ means the overall process for determining the nature and extent of a risk by identifying and analysing potential relevant threats, vulnerabilities and hazards which could lead to an incident and by evaluating the potential loss or disruption of the provision of an essential service caused by that incident;
(8)
‘standard’ means a standard as defined in Article 2, point (1), of Regulation (EU) No 1025/2012 of the European Parliament and of the Council 
(
30
)
;
(9)
‘technical specification’ means a technical specification as defined in Article 2, point (4), of Regulation (EU) No 1025/2012;
(10)
‘public administration entity’ means an entity recognised as such in a Member State in accordance with national law, not including the judiciary, parliaments or central banks, which complies with the following criteria:
(a)
it is established for the purpose of meeting needs in the general interest and does not have an industrial or commercial character;
(b)
it has legal personality or is entitled by law to act on behalf of another entity with legal personality;
(c)
it is financed, for the most part, by the State authorities or by other central-level bodies governed by public law, is subject to management supervision by those authorities or bodies, or has an administrative, managerial or supervisory board, more than half of whose members are appointed by the State authorities or by other central-level bodies governed by public law;
(d)
it has the power to address to natural or legal persons administrative or regulatory decisions affecting their rights in the cross-border movement of persons, goods, services or capital.
Article 3
Minimum harmonisation
This Directive shall not preclude Member States from adopting or maintaining provisions of national law with a view to achieving a higher level of resilience of critical entities, provided that such provisions are consistent with Member States’ obligations laid down in Union law.
CHAPTER II
NATIONAL FRAMEWORKS ON THE RESILIENCE OF CRITICAL ENTITIES
Article 4
Strategy on the resilience of critical entities
1.   Following a consultation that is, to the extent practically possible, open to relevant stakeholders, each Member State shall adopt by 17 January 2026 a strategy for enhancing the resilience of critical entities (the ‘strategy’). The strategy shall set out strategic objectives and policy measures, building upon relevant existing national and sectoral strategies, plans or similar documents, with a view to achieving and maintaining a high level of resilience on the part of critical entities and covering at least the sectors set out in the Annex.
2.   Each strategy shall contain at least the following elements:
(a)
strategic objectives and priorities for the purposes of enhancing the overall resilience of critical entities, taking into account cross-border and cross-sectoral dependencies and interdependencies;
(b)
a governance framework to achieve the strategic objectives and priorities, including a description of the roles and responsibilities of the different authorities, critical entities and other parties involved in the implementation of the strategy;
(c)
a description of measures necessary to enhance the overall resilience of critical entities, including a description of the risk assessment referred to in Article 5;
(d)
a description of the process by which critical entities are identified;
(e)
a description of the process supporting critical entities in accordance with this Chapter, including measures to enhance cooperation between the public sector, on the one hand, and the private sector and public and private entities, on the other hand;
(f)
a list of the main authorities and relevant stakeholders, other than critical entities, involved in the implementation of the strategy;
(g)
a policy framework for coordination between the competent authorities under this Directive (‘competent authorities’) and the competent authorities under Directive (EU) 2022/2555 for the purposes of information sharing on cybersecurity risks, cyber threats and cyber incidents and non-cyber risks, threats and incidents and the exercise of supervisory tasks;
(h)
a description of measures already in place which aim to facilitate the implementation of obligations under Chapter III of this Directive by small and medium-sized enterprises within the meaning of the Annex to Commission Recommendation 2003/361/EC 
(
31
)
 that the Member State in question has identified as critical entities.
Following a consultation that is, to the extent practically possible, open to relevant stakeholders, Member States shall update their strategies at least every four years.
3.   Member States shall communicate their strategies, and substantial updates thereto, to the Commission within three months of their adoption.
Article 5
Risk assessment by Member States
1.   The Commission is empowered to adopt a delegated act, in accordance with Article 23, by 17 November 2023 to supplement this Directive by establishing a non-exhaustive list of essential services in the sectors and subsectors set out in the Annex. The competent authorities shall use that list of essential services for the purpose of carrying out a risk assessment (‘Member State risk assessment’) by 17 January 2026, whenever necessary subsequently, and at least every four years. The competent authorities shall use Member State risk assessments for the purpose of identifying critical entities in accordance with Article 6 and assisting those critical entities to take measures pursuant to Article 13.
Member State risk assessments shall account for the relevant natural and man-made risks, including those of a cross-sectoral or cross-border nature, accidents, natural disasters, public health emergencies and hybrid threats or other antagonistic threats, including terrorist offences as provided for in Directive (EU) 2017/541 of the European Parliament and of the Council 
(
32
)
.
2.   In carrying out Member State risk assessments, Member States shall take into account at least the following:
(a)
the general risk assessment carried out pursuant to Article 6(1) of Decision No 1313/2013/EU;
(b)
other relevant risk assessments, carried out in accordance with the requirements of the relevant sector-specific Union legal acts, including Regulations (EU) 2017/1938 
(
33
)
 and (EU) 2019/941 
(
34
)
 of the European Parliament and of the Council and Directives 2007/60/EC 
(
35
)
 and 2012/18/EU 
(
36
)
 of the European Parliament and of the Council;
(c)
the relevant risks arising from the extent to which the sectors set out in the Annex depend on one another, including from the extent to which they depend on entities located within other Member States and third countries, and the impact that a significant disruption in one sector may have on other sectors, including any significant risks to citizens and the internal market;
(d)
any information on incidents notified in accordance with Article 15.
For the purposes of the first subparagraph, point (c), Member States shall cooperate with the competent authorities of other Member States and the competent authorities of third countries, as appropriate.
3.   Member States shall make the relevant elements of Member State risk assessments available, where relevant through their single points of contact, to the critical entities that they have identified in accordance with Article 6. Member States shall ensure that the information provided to critical entities assists them in carrying out their risk assessments pursuant to Article 12 and in taking measures to ensure their resilience pursuant to Article 13.
4.   Within three months of carrying out a Member State risk assessment, a Member State shall provide the Commission with relevant information on the types of risks identified following, and the outcomes of, that Member State risk assessment, per sector and subsector set out in the Annex.
5.   The Commission shall, in cooperation with the Member States, develop a voluntary common reporting template for the purpose of complying with paragraph 4.
Article 6
Identification of critical entities
1.   By 17 July 2026, each Member State shall identify the critical entities for the sectors and subsectors set out in the Annex.
2.   When a Member State identifies critical entities pursuant to paragraph 1, it shall take into account the outcomes of its Member State risk assessment and its strategy and shall apply all of the following criteria:
(a)
the entity provides one or more essential services;
(b)
the entity operates, and its critical infrastructure is located, on the territory of that Member State; and
(c)
an incident would have significant disruptive effects, as determined in accordance with Article 7(1), on the provision by the entity of one or more essential services or on the provision of other essential services in the sectors set out in the Annex that depend on that or those essential services.
3.   Each Member State shall establish a list of the critical entities identified pursuant to paragraph 2 and ensure that those critical entities are notified that they have been identified as critical entities within one month of that identification. Member States shall inform those critical entities of their obligations under Chapters III and IV and the date from which those obligations apply to them, without prejudice to Article 8. Member States shall inform critical entities in the sectors set out in points 3, 4 and 8 of the table in the Annex that they have no obligations under Chapters III and IV, unless national measures provide otherwise.
For the critical entities concerned, Chapter III shall apply from 10 months after the date of the notification referred to in the first subparagraph of this paragraph.
4.   Member States shall ensure that their competent authorities under this Directive notify the competent authorities under Directive (EU) 2022/2555 of the identity of the critical entities that they have identified under this Article within one month of that identification. That notification shall specify, where applicable, that the critical entities concerned are entities in the sectors set out in points 3, 4 and 8 of the table in the Annex to this Directive and have no obligations under Chapters III and IV thereof.
5.   Member States shall, where necessary and in any event at least every four years, review and, where appropriate, update the list of identified critical entities referred to in paragraph 3. Where those updates lead to the identification of additional critical entities, paragraphs 3 and 4 shall apply to those additional critical entities. In addition, Member States shall ensure that entities that are no longer identified as critical entities following any such update are notified in due time of that fact and the fact that they are no longer subject to the obligations under Chapter III from the date of receipt of that notification.
6.   The Commission shall, in cooperation with the Member States, develop recommendations and non-binding guidelines to support Member States in identifying critical entities.
Article 7
Significant disruptive effect
1.   When determining the significance of a disruptive effect as referred to in Article 6(2), point (c), Member States shall take into account the following criteria:
(a)
the number of users relying on the essential service provided by the entity concerned;
(b)
the extent to which other sectors and subsectors as set out in the Annex depend on the essential service in question;
(c)
the impact that incidents could have, in terms of degree and duration, on economic and societal activities, the environment, public safety and security, or the health of the population;
(d)
the entity’s market share in the market for the essential service or essential services concerned;
(e)
the geographic area that could be affected by an incident, including any cross-border impact, taking into account the vulnerability associated with the degree of isolation of certain types of geographic areas, such as insular regions, remote regions or mountainous areas;
(f)
the importance of the entity in maintaining a sufficient level of the essential service, taking into account the availability of alternative means for the provision of that essential service.
2.   After the identification of the critical entities under Article 6(1), each Member State shall submit the following information to the Commission without undue delay:
(a)
a list of essential services in that Member State where there are any additional essential services as compared to the list of essential services referred to in Article 5(1);
(b)
the number of critical entities identified for each sector and subsector set out in the Annex and for each essential service;
(c)
any thresholds applied to specify one or more of the criteria in paragraph 1.
Thresholds as referred to in the first subparagraph, point (c), may be presented as such or in aggregated form.
Member States shall subsequently submit information referred to in the first subparagraph whenever necessary and at least every four years.
3.   The Commission shall, after consulting the Critical Entities Resilience Group referred to in Article 19, adopt non-binding guidelines to facilitate the application of the criteria referred to in paragraph 1 of this Article, taking into account the information referred to in paragraph 2 of this Article.
Article 8
Critical entities in the banking, financial market infrastructure and digital infrastructure sectors
Member States shall ensure that Article 11 and Chapters III, IV and VI do not apply to critical entities that they have identified in the sectors set out in points 3, 4 and 8 of the table in the Annex. Member States may adopt or maintain provisions of national law to achieve a higher level of resilience for those critical entities, provided that those provisions are consistent with applicable Union law.
Article 9
Competent authorities and single point of contact
1.   Each Member State shall designate or establish one or more competent authorities responsible for the correct application and, where necessary, enforcement of the rules set out in this Directive at national level.
As regards the critical entities in the sectors set out in points 3 and 4 of the table in the Annex to this Directive, the competent authorities shall, in principle, be the competent authorities referred to in Article 46 of Regulation (EU) 2022/2554. As regards the critical entities in the sector set out in point 8 of the table in the Annex to this Directive, the competent authorities shall, in principle, be the competent authorities under Directive (EU) 2022/2555. Member States may designate a different competent authority for the sectors set out in points 3, 4 and 8 of the table in the Annex to this Directive in accordance with existing national frameworks.
Where Member States designate or establish more than one competent authority, they shall clearly set out the tasks of each of the authorities concerned and ensure that they cooperate effectively to fulfil their tasks under this Directive, including with regard to the designation and activities of the single point of contact referred to in paragraph 2.
2.   Each Member State shall designate or establish one single point of contact to exercise a liaison function for the purpose of ensuring cross-border cooperation with the single points of contact of other Member States and the Critical Entities Resilience Group referred to in Article 19 (‘single point of contact’). Where relevant, a Member State shall designate its single point of contact within a competent authority. Where relevant, a Member State may provide that its single point of contact also exercise a liaison function with the Commission and ensure cooperation with third countries.
3.   By 17 July 2028, and every two years thereafter, the single points of contact shall submit a summary report to the Commission and to the Critical Entities Resilience Group referred to in Article 19 on the notifications they have received, including the number of notifications, the nature of notified incidents and the actions taken in accordance with Article 15(3).
The Commission shall, in cooperation with the Critical Entities Resilience Group, develop a common reporting template. The competent authorities may use, on a voluntary basis, that common reporting template for the purpose of submitting summary reports as referred to in the first subparagraph.
4.   Each Member State shall ensure that its competent authority and single point of contact have the powers and the adequate financial, human and technical resources to carry out, in an effective and efficient manner, the tasks assigned to them.
5.   Each Member State shall ensure that its competent authority, whenever appropriate, and in accordance with Union and national law, consults and cooperates with other relevant national authorities, including those in charge of civil protection, law enforcement and the protection of personal data, and with critical entities and relevant interested parties.
6.   Each Member State shall ensure that its competent authority under this Directive cooperates and exchanges information with competent authorities under Directive (EU) 2022/2555 on cybersecurity risks, cyber threats and cyber incidents and non-cyber risks, threats and incidents affecting critical entities, including with regard to relevant measures its competent authority and competent authorities under Directive (EU) 2022/2555 have taken.
7.   Within three months of the designation or establishment of the competent authority and the single point of contact, each Member State shall notify the Commission of their identity and their tasks and responsibilities under this Directive, their contact details and any subsequent change thereto. Member States shall inform the Commission where they decide to designate an authority other than the competent authorities referred to in paragraph 1, second subparagraph, as the competent authorities in respect of the critical entities in the sectors set out in points 3, 4 and 8 of the table in the Annex. Each Member State shall make public the identity of its competent authority and single point of contact.
8.   The Commission shall make a list of the single points of contact publicly available.
Article 10
Member States’ support to critical entities
1.   Member States shall support critical entities in enhancing their resilience. That support may include developing guidance materials and methodologies, supporting the organisation of exercises to test their resilience and providing advice and training to the personnel of critical entities. Without prejudice to applicable rules on State aid, Member States may provide financial resources to critical entities, where necessary and justified by public interest objectives.
2.   Each Member State shall ensure that its competent authority cooperates and exchanges information and good practices with critical entities of the sectors set out in the Annex.
3.   Member States shall facilitate voluntary information sharing between critical entities in relation to matters covered by this Directive, in accordance with Union and national law on, in particular, classified and sensitive information, competition and protection of personal data.
Article 11
Cooperation between Member States
1.   Whenever appropriate, Member States shall consult one another regarding critical entities for the purpose of ensuring that this Directive is applied in a consistent manner. Such consultations shall take place, in particular, regarding critical entities that:
(a)
use critical infrastructure which is physically connected between two or more Member States;
(b)
are part of corporate structures that are connected with, or linked to, critical entities in other Member States;
(c)
have been identified as critical entities in one Member State and provide essential services to or in other Member States.
2.   The consultations referred to in paragraph 1 shall aim at enhancing the resilience of critical entities and, where possible, reducing the administrative burden on them.
CHAPTER III
RESILIENCE OF CRITICAL ENTITIES
Article 12
Risk assessment by critical entities
1.   Notwithstanding the deadline set out in Article 6(3), second subparagraph, Member States shall ensure that critical entities carry out a risk assessment within nine months of receiving the notification referred to in Article 6(3), whenever necessary subsequently, and at least every four years, on the basis of Member State risk assessments and other relevant sources of information, in order to assess all relevant risks that could disrupt the provision of their essential services (‘critical entity risk assessment’).
2.   Critical entity risk assessments shall account for all the relevant natural and man-made risks which could lead to an incident, including those of a cross-sectoral or cross-border nature, accidents, natural disasters, public health emergencies and hybrid threats and other antagonistic threats, including terrorist offences as provided for in Directive (EU) 2017/541. A critical entity risk assessment shall take into account the extent to which other sectors as set out in the Annex depend on the essential service provided by the critical entity and the extent to which that critical entity depends on essential services provided by other entities in such other sectors, including, where relevant, in neighbouring Member States and third countries.
Where a critical entity has carried out other risk assessments or drawn up documents pursuant to obligations laid down in other legal acts that are relevant for its critical entity risk assessment, it may use those assessments and documents to meet the requirements set out in this Article. When exercising its supervisory functions, the competent authority may declare an existing risk assessment carried out by a critical entity that addresses the risks and extent of dependence referred to in the first subparagraph of this paragraph as compliant, in whole or in part, with the obligations under this Article.
Article 13
Resilience measures of critical entities
1.   Member States shall ensure that critical entities take appropriate and proportionate technical, security and organisational measures to ensure their resilience, based on the relevant information provided by Member States on the Member State risk assessment and on the outcomes of the critical entity risk assessment, including measures necessary to:
(a)
prevent incidents from occurring, duly considering disaster risk reduction and climate adaptation measures;
(b)
ensure adequate physical protection of their premises and critical infrastructure, duly considering, for example, fencing, barriers, perimeter monitoring tools and routines, detection equipment and access controls;
(c)
respond to, resist and mitigate the consequences of incidents, duly considering the implementation of risk and crisis management procedures and protocols and alert routines;
(d)
recover from incidents, duly considering business continuity measures and the identification of alternative supply chains, in order to resume the provision of the essential service;
(e)
ensure adequate employee security management, duly considering measures such as setting out categories of personnel who exercise critical functions, establishing access rights to premises, critical infrastructure and sensitive information, setting up procedures for background checks in accordance with Article 14 and designating the categories of persons who are required to undergo such background checks, and laying down appropriate training requirements and qualifications;
(f)
raise awareness about the measures referred to in points (a) to (e) among relevant personnel, duly considering training courses, information materials and exercises.
For the purposes of the first subparagraph, point (e), Member States shall ensure that critical entities take into account the personnel of external service providers when setting out categories of personnel who exercise critical functions.
2.   Member States shall ensure that critical entities have in place and apply a resilience plan or equivalent document or documents which describe the measures taken pursuant to paragraph 1. Where critical entities have drawn up documents or taken measures pursuant to obligations laid down in other legal acts that are relevant for the measures referred to in paragraph 1, they may use those documents and measures to meet the requirements set out in this Article. When exercising its supervisory functions, the competent authority may declare existing resilience-enhancing measures taken by a critical entity that address, in an appropriate and proportionate manner, the technical, security and organisational measures referred to in paragraph 1 as compliant, in whole or in part, with the obligations under this Article.
3.   Member States shall ensure that each critical entity designates a liaison officer or equivalent as the point of contact with the competent authorities.
4.   At the request of the Member State that has identified the critical entity and with the agreement of the critical entity concerned, the Commission shall organise advisory missions, in accordance with the arrangements set out in Article 18(6), (8) and (9), to provide advice to the critical entity concerned in meeting its obligations under Chapter III. The advisory mission shall report its findings to the Commission, that Member State and the critical entity concerned.
5.   The Commission shall, after consulting the Critical Entities Resilience Group referred to in Article 19, adopt non-binding guidelines to further specify the technical, security and organisational measures that may be taken pursuant to paragraph 1 of this Article.
6.   The Commission shall adopt implementing acts in order to set out the necessary technical and methodological specifications relating to the application of the measures referred to in paragraph 1 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 24(2).
Article 14
Background checks
1.   Member States shall specify the conditions under which a critical entity is permitted, in duly reasoned cases and taking into account the Member State risk assessment, to submit requests for background checks on persons who:
(a)
hold sensitive roles in or for the benefit of the critical entity, in particular in relation to the resilience of the critical entity;
(b)
are authorised to directly or remotely access its premises, information or control systems, including in connection with the security of the critical entity;
(c)
are under consideration for recruitment to positions that fall under the criteria set out in point (a) or (b).
2.   Requests as referred to in paragraph 1 of this Article shall be assessed within a reasonable timeframe and processed in accordance with national law and procedures and relevant and applicable Union law, including Regulation (EU) 2016/679 and Directive (EU) 2016/680 of the European Parliament and of the Council 
(
37
)
. Background checks shall be proportionate and strictly limited to what is necessary. They shall be carried out for the sole purpose of evaluating a potential security risk to the critical entity concerned.
3.   A background check as referred to in paragraph 1 shall, at least:
(a)
corroborate the identity of the person who is the subject of the background check;
(b)
check the criminal records of that person with regards to offences which would be relevant for a specific position.
When carrying out background checks, Member States shall use the European Criminal Records Information System in accordance with the procedures set out in Framework Decision 2009/315/JHA and, where relevant and applicable, Regulation (EU) 2019/816 for the purpose of obtaining information from criminal records held by other Member States. The central authorities referred to in Article 3(1) of Framework Decision 2009/315/JHA and in Article 3, point (5), of Regulation (EU) 2019/816 shall provide replies to requests for such information within 10 working days from the date on which the request was received in accordance with Article 8(1) of Framework Decision 2009/315/JHA.
Article 15
Incident notification
1.   Member States shall ensure that critical entities notify the competent authority, without undue delay, of incidents that significantly disrupt or have the potential to significantly disrupt the provision of essential services. Member States shall ensure that, unless operationally unable to do so, critical entities submit an initial notification no later than 24 hours after becoming aware of an incident, followed, where relevant, by a detailed report no later than one month thereafter. In order to determine the significance of a disruption, the following parameters shall, in particular, be taken into account:
(a)
the number and proportion of users affected by the disruption;
(b)
the duration of the disruption;
(c)
the geographical area affected by the disruption, taking into account whether the area is geographically isolated.
Where an incident has or might have a significant impact on the continuity of the provision of essential services to or in six or more Member States, the competent authorities of the Member States affected by the incident shall notify the Commission of that incident.
2.   Notifications as referred to in paragraph 1, first subparagraph, shall include any available information necessary to enable the competent authority to understand the nature, cause and possible consequences of the incident, including any available information necessary to determine any cross-border impact of the incident. Such notifications shall not subject critical entities to increased liability.
3.   On the basis of the information provided by a critical entity in a notification as referred to in paragraph 1, the relevant competent authority, via the single point of contact, shall inform the single point of contact of other affected Member States where the incident has or might have a significant impact on critical entities and the continuity of the provision of essential services to or in one or more other Member States.
Single points of contact sending and receiving information pursuant to the first subparagraph shall, in accordance with Union or national law, treat that information in a way that respects its confidentiality and protects the security and commercial interest of the critical entity concerned.
4.   As soon as possible following a notification as referred to in paragraph 1, the competent authority concerned shall provide the critical entity concerned with relevant follow-up information, including information that could support that critical entity’s effective response to the incident in question. Member States shall inform the public where they determine that it would be in the public interest to do so.
Article 16
Standards
In order to promote the convergent implementation of this Directive, Member States shall, where useful and without imposing or discriminating in favour of the use of a particular type of technology, encourage the use of European and international standards and technical specifications relevant to the security and resilience measures applicable to critical entities.
CHAPTER IV
CRITICAL ENTITIES OF PARTICULAR EUROPEAN SIGNIFICANCE
Article 17
Identification of critical entities of particular European significance
1.   An entity shall be considered a critical entity of particular European significance where it:
(a)
has been identified as a critical entity pursuant to Article 6(1);
(b)
provides the same or similar essential services to or in six or more Member States; and
(c)
has been notified pursuant to paragraph 3 of this Article.
2.   Member States shall ensure that a critical entity, following the notification referred to in Article 6(3), informs its competent authority where it provides essential services to or in six or more Member States. In such a case, Member States shall ensure that the critical entity informs its competent authority of the essential services it provides to or in those Member States and of the Member States to which or in which it provides such essential services. Member States shall notify the Commission, without undue delay, of the identity of such critical entities and of the information they provide under this paragraph.
The Commission shall consult the competent authority of the Member State which identified a critical entity as referred to in the first subparagraph, the competent authority of other Member States concerned and the critical entity in question. During those consultations, each Member State shall inform the Commission where it deems that the services provided to that Member State by the critical entity are essential services.
3.   Where the Commission establishes, on the basis of the consultations referred to in paragraph 2 of this Article, that the critical entity concerned provides essential services to or in six or more Member States, the Commission shall notify that critical entity, through its competent authority, that it is considered a critical entity of particular European significance and inform that critical entity of its obligations under this Chapter and the date from which those obligations apply to it. Once the Commission informs the competent authority of its decision to consider a critical entity as a critical entity of particular European significance, the competent authority shall forward that notification to that critical entity without undue delay.
4.   This Chapter shall apply to the critical entity of particular European significance concerned from the date of receipt of the notification referred to in paragraph 3 of this Article.
Article 18
Advisory missions
1.   At the request of the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1), the Commission shall organise an advisory mission to assess the measures that that critical entity has put in place to meet its obligations under Chapter III.
2.   On its own initiative or at the request of one or more Member States to or in which the essential service is provided, and provided that the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1) so agrees, the Commission shall organise an advisory mission as referred to in paragraph 1 of this Article.
3.   On a reasoned request from the Commission or from one or more Member States to or in which the essential service is provided, the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1) shall provide the following to the Commission:
(a)
the relevant parts of the critical entity risk assessment;
(b)
a list of relevant measures taken in accordance with Article 13;
(c)
supervisory or enforcement actions, including assessments of compliance or orders issued, that its competent authority has undertaken pursuant to Articles 21 and 22 in respect of that critical entity.
4.   The advisory mission shall report its findings to the Commission, to the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1), to the Member States to or in which the essential service is provided and to the critical entity concerned within three months of the conclusion of the advisory mission.
The Member States to or in which the essential service is provided shall analyse the report referred to in the first subparagraph and, where necessary, shall advise the Commission as to whether the critical entity of particular European significance concerned complies with its obligations under Chapter III and, where appropriate, as to the measures which could be taken to improve the resilience of that critical entity.
The Commission shall, based on the advice referred to in the second subparagraph of this paragraph, communicate its opinion to the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1), to the Member States to or in which the essential service is provided and to that critical entity as to whether that critical entity complies with its obligations under Chapter III and, where appropriate, as to the measures which could be taken to improve the resilience of that critical entity.
The Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1) shall ensure that its competent authority and the critical entity concerned take into account the opinion referred to in the third subparagraph of this paragraph and provide information to the Commission and the Member States to or in which the essential service is provided on the measures it has taken pursuant to that opinion.
5.   Each advisory mission shall consist of experts from the Member State in which the critical entity of particular European significance is located, experts from the Member States to or in which the essential service is provided, and Commission representatives. Those Member States may propose candidates to be part of an advisory mission. The Commission shall, following a consultation with the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1), select and appoint the members of each advisory mission in accordance with their professional capacity and ensuring, where possible, a geographically balanced representation from all those Member States. Whenever necessary, members of the advisory mission shall have valid and appropriate security clearance. The Commission shall bear the costs related to participation in advisory missions.
The Commission shall organise the programme of each advisory mission, in consultation with the members of the advisory mission in question and in agreement with the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1).
6.   The Commission shall adopt an implementing act laying down rules on the procedural arrangements for requests to organise advisory missions, for handling such requests, for the conduct and reports of advisory missions and for handling the communication of the Commission’s opinion referred to in paragraph 4, third subparagraph, of this Article and of the measures taken, duly taking into account the confidentiality and commercial sensitivity of the information concerned. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 24(2).
7.   Member States shall ensure that critical entities of particular European significance provide advisory missions with access to information, systems and facilities relating to the provision of their essential services necessary for carrying out the advisory mission concerned.
8.   Advisory missions shall be carried out in compliance with the applicable national law of the Member State in which they take place, with respect for that Member State’s responsibility for national security and the protection of its security interests.
9.   When organising advisory missions, the Commission shall take into account the reports of any inspections carried out by the Commission under Regulations (EC) No 725/2004 and (EC) No 300/2008 and the reports of any monitoring carried out by the Commission under Directive 2005/65/EC in respect of the critical entity concerned.
10.   The Commission shall inform the Critical Entities Resilience Group referred to in Article 19 whenever an advisory mission is organised. The Member State in which the advisory mission took place and the Commission shall also inform the Critical Entities Resilience Group of the main findings of the advisory mission and the lessons learned with a view to promoting mutual learning.
CHAPTER V
COOPERATION AND REPORTING
Article 19
Critical Entities Resilience Group
1.   A Critical Entities Resilience Group is hereby established. The Critical Entities Resilience Group shall support the Commission and facilitate cooperation among Member States and the exchange of information on issues relating to this Directive.
2.   The Critical Entities Resilience Group shall be composed of representatives of the Member States and the Commission who hold security clearance, where appropriate. Where relevant for the performance of its tasks, the Critical Entities Resilience Group may invite relevant stakeholders to participate in its work. Where requested by the European Parliament, the Commission may invite experts from the European Parliament to attend meetings of the Critical Entities Resilience Group.
The Commission’s representative shall chair the Critical Entities Resilience Group.
3.   The Critical Entities Resilience Group shall have the following tasks:
(a)
supporting the Commission in assisting Member States in reinforcing their capacity to contribute to ensuring the resilience of critical entities in accordance with this Directive;
(b)
analysing the strategies in order to identify best practices in respect of the strategies;
(c)
facilitating the exchange of best practices with regard to the identification of critical entities by the Member States pursuant to Article 6(1), including in relation to cross-border and cross-sectoral dependencies and regarding risks and incidents;
(d)
where appropriate, contributing on issues relating to this Directive to documents concerning resilience at Union level;
(e)
contributing to the preparation of the guidelines referred to in Article 7(3) and Article 13(5) and, upon request, any delegated or implementing acts adopted pursuant to this Directive;
(f)
analysing the summary reports referred to in Article 9(3) with a view to promoting the sharing of best practices on the action taken in accordance with Article 15(3);
(g)
exchanging best practices related to the notification of incidents referred to in Article 15;
(h)
discussing the summary reports of advisory missions and the lessons learned in accordance with Article 18(10);
(i)
exchanging information and best practices on innovation, research and development relating to the resilience of critical entities in accordance with this Directive;
(j)
where relevant, exchanging information on matters concerning the resilience of critical entities with relevant Union institutions, bodies, offices and agencies.
4.   By 17 January 2025 and every two years thereafter, the Critical Entities Resilience Group shall establish a work programme in respect of actions to be undertaken to implement its objectives and tasks. That work programme shall be consistent with the requirements and objectives of this Directive.
5.   The Critical Entities Resilience Group shall meet on a regular basis and in any event at least once a year with the Cooperation Group established under Directive (EU) 2022/2555 to promote and facilitate cooperation and the exchange of information.
6.   The Commission may adopt implementing acts laying down procedural arrangements necessary for the functioning of the Critical Entities Resilience Group, respecting Article 1(4). Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 24(2).
7.   The Commission shall provide the Critical Entities Resilience Group with a summary report of the information provided by the Member States pursuant to Article 4(3) and Article 5(4) by 17 January 2027, whenever necessary subsequently, and at least every four years.
Article 20
Commission support to competent authorities and critical entities
1.   The Commission shall, where appropriate, support Member States and critical entities in complying with their obligations under this Directive. The Commission shall prepare a Union-level overview of cross-border and cross-sectoral risks to the provision of essential services, organise advisory missions as referred to in Article 13(4) and Article 18 and facilitate information exchange among Member States and experts across the Union.
2.   The Commission shall complement Member States’ activities as referred to in Article 10 by developing best practices, guidance materials and methodologies, and cross-border training activities and exercises to test the resilience of critical entities.
3.   The Commission shall inform Member States about financial resources at Union level available to Member States for enhancing the resilience of critical entities.
CHAPTER VI
SUPERVISION AND ENFORCEMENT
Article 21
Supervision and enforcement
1.   In order to assess the compliance of the entities identified by Member States as critical entities pursuant to Article 6(1) with the obligations laid down in this Directive, Member States shall ensure that the competent authorities have the powers and means to:
(a)
conduct on-site inspections of the critical infrastructure and the premises that the critical entity uses to provide its essential services, and off-site supervision of measures taken by critical entities in accordance with Article 13;
(b)
conduct or order audits in respect of critical entities.
2.   Member States shall ensure that the competent authorities have the powers and means to require, where necessary for the performance of their tasks under this Directive, that the entities under Directive (EU) 2022/2555 that Member States have identified as critical entities under this Directive provide, within a reasonable time limit set by those authorities:
(a)
the information necessary to assess whether the measures taken by those entities to ensure their resilience meet the requirements set out in Article 13;
(b)
evidence of the effective implementation of those measures, including the results of an audit conducted by an independent and qualified auditor selected by that entity and conducted at its expense.
When requiring that information, the competent authorities shall state the purpose of the requirement and specify the information required.
3.   Without prejudice to the possibility to impose penalties in accordance with Article 22, the competent authorities may, following the supervisory actions referred to in paragraph 1 of this Article or the assessment of the information referred to in paragraph 2 of this Article, order the critical entities concerned to take the necessary and proportionate measures to remedy any identified infringement of this Directive, within a reasonable time limit set by those authorities, and to provide those authorities with information on the measures taken. Those orders shall take into account, in particular, the seriousness of the infringement.
4.   Member State shall ensure that the powers provided for in paragraphs 1, 2 and 3 can only be exercised subject to appropriate safeguards. Those safeguards shall guarantee, in particular, that such exercise takes place in an objective, transparent and proportionate manner, and that the rights and legitimate interests of the critical entities affected, such as the protection of trade and business secrets, are duly safeguarded, including the right to be heard, the right of defence and the right to an effective remedy before an independent court.
5.   Member States shall ensure that, where a competent authority under this Directive assesses the compliance of a critical entity pursuant to this Article, that competent authority informs the competent authorities of the Member States concerned under Directive (EU) 2022/2555. For that purpose, Member States shall ensure that competent authorities under this Directive can request the competent authorities under Directive (EU) 2022/2555 to exercise their supervisory and enforcement powers in relation to an entity under that Directive that has been identified as a critical entity under this Directive. For that purpose, Member States shall ensure that competent authorities under this Directive cooperate and exchange information with the competent authorities under Directive (EU) 2022/2555.
Article 22
Penalties
Member States shall lay down the rules on penalties applicable to infringements of the national measures adopted pursuant to this Directive and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive. Member States shall, by 17 October 2024, notify the Commission of those rules and of those measures and shall notify it, without delay, of any subsequent amendment affecting them.
CHAPTER VII
DELEGATED AND IMPLEMENTING ACTS
Article 23
Exercise of the delegation
1.   The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article.
2.   The power to adopt delegated acts referred to in Article 5(1) shall be conferred on the Commission for a period of five years from 16 January 2023.
3.   The delegation of power referred to in Article 5(1) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the 
Official Journal of the European Union
 or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.
4.   Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making.
5.   As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council.
6.   A delegated act adopted pursuant to Article 5(1) shall enter into force only if no objection has been expressed either by the European Parliament or by the Council within a period of two months of notification of that act to the European Parliament and the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by two months at the initiative of the European Parliament or of the Council.
Article 24
Committee procedure
1.   The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
CHAPTER VIII
FINAL PROVISIONS
Article 25
Reporting and review
By 17 July 2027, the Commission shall submit to the European Parliament and to the Council a report assessing the extent to which each Member State has taken the necessary measures to comply with this Directive.
The Commission shall periodically review the functioning of this Directive and report to the European Parliament and to the Council. That report shall, in particular, assess the added value of this Directive, its impact on ensuring the resilience of critical entities and whether the Annex to this Directive should be modified. The Commission shall submit the first such report by 17 June 2029. For the purpose of reporting under this Article, the Commission shall take into account relevant documents of the Critical Entities Resilience Group.
Article 26
Transposition
1.   By 17 October 2024, Member States shall adopt and publish the measures necessary to comply with this Directive. They shall immediately inform the Commission thereof.
They shall apply those measures from 18 October 2024.
2.   When Member States adopt the measures referred to in paragraph 1, they shall contain a reference to this Directive or be accompanied by such reference on the occasion of their official publication. The methods of making such reference shall be laid down by Member States.
Article 27
Repeal of Directive 2008/114/EC
Directive 2008/114/EC is repealed with effect from 18 October 2024.
References to the repealed Directive shall be construed as references to this Directive.
Article 28
Entry into force
This Directive shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
Article 29
Addressees
This Directive is addressed to the Member States.
Done at Strasbourg, 14 December 2022.
For the European Parliament
The President
R. METSOLA
For the Council
The President
M. BEK
(
1
)
  
            
OJ C 286, 16.7.2021, p. 170
.
(
2
)
  
            
OJ C 440, 29.10.2021, p. 99
.
(
3
)
  Position of the European Parliament of 22 November 2022 (not yet published in the Official Journal) and Council decision of 8 December 2022.
(
4
)
  Council Directive 2008/114/EC of 8 December 2008 on the identification and designation of European critical infrastructures and the assessment of the need to improve their protection (
OJ L 345, 23.12.2008, p. 75
).
(
5
)
  Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (see page 80 of this Official Journal).
(
6
)
  Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union (
OJ L 194, 19.7.2016, p. 1
).
(
7
)
  Regulation (EU) 2019/452 of the European Parliament and of the Council of 19 March 2019 establishing a framework for the screening of foreign direct investments into the Union (
OJ L 79 I, 21.3.2019, p. 1
).
(
8
)
  Regulation (EU) No 648/2012 of the European Parliament and of the Council of 4 July 2012 on OTC derivatives, central counterparties and trade repositories (
OJ L 201, 27.7.2012, p. 1
).
(
9
)
  Regulation (EU) No 575/2013 of the European Parliament and of the Council of 26 June 2013 on prudential requirements for credit institutions and amending Regulation (EU) No 648/2012 (
OJ L 176, 27.6.2013, p. 1
).
(
10
)
  Regulation (EU) No 600/2014 of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments and amending Regulation (EU) No 648/2012 (
OJ L 173, 12.6.2014, p. 84
).
(
11
)
  Directive 2013/36/EU of the European Parliament and of the Council of 26 June 2013 on access to the activity of credit institutions and the prudential supervision of credit institutions and investment firms, amending Directive 2002/87/EC and repealing Directives 2006/48/EC and 2006/49/EC (
OJ L 176, 27.6.2013, p. 338
).
(
12
)
  Directive 2014/65/EU of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments and amending Directive 2002/92/EC and Directive 2011/61/EU (
OJ L 173, 12.6.2014, p. 349
).
(
13
)
  Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU) No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011 (see page 1 of this Official Journal).
(
14
)
  Regulation (EC) No 725/2004 of the European Parliament and of the Council of 31 March 2004 on enhancing ship and port facility security (
OJ L 129, 29.4.2004, p. 6
).
(
15
)
  Regulation (EC) No 300/2008 of the European Parliament and of the Council of 11 March 2008 on common rules in the field of civil aviation security and repealing Regulation (EC) No 2320/2002 (
OJ L 97, 9.4.2008, p. 72
).
(
16
)
  Directive 2005/65/EC of the European Parliament and of the Council of 26 October 2005 on enhancing port security (
OJ L 310, 25.11.2005, p. 28
).
(
17
)
  Directive 2008/96/EC of the European Parliament and of the Council of 19 November 2008 on road infrastructure safety management (
OJ L 319, 29.11.2008, p. 59
).
(
18
)
  Commission Decision of 29 June 2018 setting up the EU Rail Passenger Security Platform 2018/C 232/03 (
OJ C 232, 3.7.2018, p. 10
).
(
19
)
  Council Framework Decision 2009/315/JHA of 26 February 2009 on the organisation and content of the exchange of information extracted from the criminal record between Member States (
OJ L 93, 7.4.2009, p. 23
).
(
20
)
  Regulation (EU) 2019/816 of the European Parliament and of the Council of 17 April 2019 establishing a centralised system for the identification of Member States holding conviction information on third-country nationals and stateless persons (ECRIS-TCN) to supplement the European Criminal Records Information System and amending Regulation (EU) 2018/1726 (
OJ L 135, 22.5.2019, p. 1
).
(
21
)
  Regulation (EU) 2018/1862 of the European Parliament and of the Council of 28 November 2018 on the establishment, operation and use of the Schengen Information System (SIS) in the field of police cooperation and judicial cooperation in criminal matters, amending and repealing Council Decision 2007/533/JHA, and repealing Regulation (EC) No 1986/2006 of the European Parliament and of the Council and Commission Decision 2010/261/EU (
OJ L 312, 7.12.2018, p. 56
).
(
22
)
  Decision No 1313/2013/EU of the European Parliament and of the Council of 17 December 2013 on a Union Civil Protection Mechanism (
OJ L 347, 20.12.2013, p. 924
).
(
23
)
  Regulation (EU) 2021/1149 of the European Parliament and of the Council of 7 July 2021 establishing the Internal Security Fund (
OJ L 251, 15.7.2021, p. 94
).
(
24
)
  Regulation (EU) 2021/695 of the European Parliament and of the Council of 28 April 2021 establishing Horizon Europe – the Framework Programme for Research and Innovation, laying down its rules for participation and dissemination, and repealing Regulations (EU) No 1290/2013 and (EU) No 1291/2013 (
OJ L 170, 12.5.2021, p. 1
).
(
25
)
  
            
OJ L 123, 12.5.2016, p. 1
.
(
26
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by the Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
27
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
28
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
29
)
  Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (
OJ L 201, 31.7.2002, p. 37
).
(
30
)
  Regulation (EU) No 1025/2012 of the European Parliament and of the Council of 25 October 2012 on European standardisation, amending Council Directives 89/686/EEC and 93/15/EEC and Directives 94/9/EC, 94/25/EC, 95/16/EC, 97/23/EC, 98/34/EC, 2004/22/EC, 2007/23/EC, 2009/23/EC and 2009/105/EC of the European Parliament and of the Council and repealing Council Decision 87/95/EEC and Decision No 1673/2006/EC of the European Parliament and of the Council (
OJ L 316, 14.11.2012, p. 12
).
(
31
)
  Commission Recommendation 2003/361/EC of 6 May 2003 concerning the definition of micro, small and medium-sized enterprises (
OJ L 124, 20.5.2003, p. 36
).
(
32
)
  Directive (EU) 2017/541 of the European Parliament and of the Council of 15 March 2017 on combating terrorism and replacing Council Framework Decision 2002/475/JHA and amending Council Decision 2005/671/JHA (
OJ L 88, 31.3.2017, p. 6
).
(
33
)
  Regulation (EU) 2017/1938 of the European Parliament and of the Council of 25 October 2017 concerning measures to safeguard the security of gas supply and repealing Regulation (EU) No 994/2010 (
OJ L 280, 28.10.2017, p. 1
).
(
34
)
  Regulation (EU) 2019/941 of the European Parliament and of the Council of 5 June 2019 on risk-preparedness in the electricity sector and repealing Directive 2005/89/EC (
OJ L 158, 14.6.2019, p. 1
).
(
35
)
  Directive 2007/60/EC of the European Parliament and of the Council of 23 October 2007 on the assessment and management of flood risks (
OJ L 288, 6.11.2007, p. 27
).
(
36
)
  Directive 2012/18/EU of the European Parliament and of the Council of 4 July 2012 on the control of major-accident hazards involving dangerous substances, amending and subsequently repealing Council Directive 96/82/EC (
OJ L 197, 24.7.2012, p. 1
).
(
37
)
  Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (
OJ L 119, 4.5.2016, p. 89
).
ANNEX
SECTORS, SUBSECTORS AND CATEGORIES OF ENTITIES
Sectors
Subsectors
Categories of entities
1.
Energy
(a)
Electricity
—
Electricity undertakings as defined in Article 2, point (57), of Directive (EU) 2019/944 of the European Parliament and of the Council
 (
1
)
, which carry out the function of ‘supply’ as defined in Article 2, point (12), of that Directive
—
Distribution system operators as defined in Article 2, point (29), of Directive (EU) 2019/944
—
Transmission system operators as defined in Article 2, point (35), of Directive (EU) 2019/944
—
Producers as defined in Article 2, point (38), of Directive (EU) 2019/944
—
Nominated electricity market operators as defined in Article 2, point (8), of Regulation (EU) 2019/943 of the European Parliament and of the Council
 (
2
)
—
Market participants as defined in Article 2, point (25), of Regulation (EU) 2019/943 providing aggregation, demand response or energy storage services as defined in Article 2, points (18), (20) and (59), of Directive (EU) 2019/944
(b)
District heating and cooling
—
Operators of district heating or district cooling as defined in Article 2, point (19), of Directive (EU) 2018/2001 of the European Parliament and of the Council
 (
3
)
(c)
Oil
—
Operators of oil transmission pipelines
—
Operators of oil production, refining and treatment facilities, storage and transmission
—
Central stockholding entities as defined in Article 2, point (f), of Council Directive 2009/119/EC
 (
4
)
(d)
Gas
—
Supply undertakings as defined in Article 2, point (8), of Directive 2009/73/EC of the European Parliament and of the Council
 (
5
)
—
Distribution system operators as defined in Article 2, point (6), of Directive 2009/73/EC
—
Transmission system operators as defined in Article 2, point (4), of Directive 2009/73/EC
—
Storage system operators as defined in Article 2, point (10), of Directive 2009/73/EC
—
LNG system operators as defined in Article 2, point (12), of Directive 2009/73/EC
—
Natural gas undertakings as defined in Article 2, point (1), of Directive 2009/73/EC
—
Operators of natural gas refining and treatment facilities
(e)
Hydrogen
—
Operators of hydrogen production, storage and transmission
2.
Transport
(a)
Air
—
Air carriers as defined in Article 3, point (4), of Regulation (EC) No 300/2008 used for commercial purposes
—
Airport managing bodies as defined in Article 2, point (2), of Directive 2009/12/EC of the European Parliament and of the Council
 (
6
)
, airports as defined in Article 2, point (1), of that Directive, including the core airports listed in Section 2 of Annex II to Regulation (EU) No 1315/2013 of the European Parliament and of the Council
 (
7
)
, and entities operating ancillary installations contained within airports
—
Traffic management control operators providing air traffic control (ATC) services as defined in Article 2, point (1), of Regulation (EC) No 549/2004 of the European Parliament and of the Council
 (
8
)
(b)
Rail
—
Infrastructure managers as defined in Article 3, point (2), of Directive 2012/34/EU of the European Parliament and of the Council
 (
9
)
—
Railway undertakings as defined in Article 3, point (1), of Directive 2012/34/EU and operators of service facilities as defined in Article 3, point (12), of that Directive
(c)
Water
—
Inland, sea and coastal passenger and freight water transport companies, as defined for maritime transport in Annex I to Regulation (EC) No 725/2004, not including the individual vessels operated by those companies
—
Managing bodies of ports as defined in Article 3, point (1), of Directive 2005/65/EC, including their port facilities as defined in Article 2, point (11), of Regulation (EC) No 725/2004, and entities operating works and equipment contained within ports
—
Operators of vessel traffic services (VTS) as defined in Article 3, point (o), of Directive 2002/59/EC of the European Parliament and of the Council
 (
10
)
(d)
Road
—
Road authorities as defined in Article 2, point (12), of Commission Delegated Regulation (EU) 2015/962
 (
11
)
 responsible for traffic management control, excluding public entities for whom traffic-management or the operation of intelligent transport systems is a non-essential part of their general activity
—
Operators of Intelligent Transport Systems as defined in Article 4, point (1), of Directive 2010/40/EU of the European Parliament and of the Council
 (
12
)
(e)
public transport
—
Public service operators as defined in Article 2, point (d), of Regulation (EC) No 1370/2007 of the European Parliament and of the Council
 (
13
)
3.
Banking
—
Credit institutions as defined in Article 4, point (1), of Regulation (EU) No 575/2013
4.
Financial market infrastructure
—
Operators of trading venues as defined in Article 4, point (24), of Directive 2014/65/EU
—
Central counterparties (CCPs) as defined in Article 2, point (1), of Regulation (EU) No 648/2012
5.
Health
—
Healthcare providers as defined in Article 3, point (g), of Directive 2011/24/EU of the European Parliament and of the Council
 (
14
)
—
EU reference laboratories as referred to in Article 15 of Regulation (EU) 2022/2371 of the European Parliament and of the Council
 (
15
)
—
Entities carrying out research and development activities of medicinal products as defined in Article 1, point (2), of Directive 2001/83/EC of the European Parliament and of the Council
 (
16
)
—
Entities manufacturing basic pharmaceutical products and pharmaceutical preparations as referred to in Section C division 21 of NACE Rev. 2
—
Entities manufacturing medical devices considered as critical during a public health emergency (‘public health emergency critical devices list’) within the meaning of Article 22 of Regulation (EU) 2022/123 of the European Parliament and of the Council
 (
17
)
—
Entities holding a distribution authorisation as referred to in Article 79 of Directive 2001/83/EC
6.
Drinking water
—
Suppliers and distributors of water intended for human consumption as defined in Article 2, point (1)(a), of Directive (EU) 2020/2184 of the European Parliament and of the Council
 (
18
)
, excluding distributors for which distribution of water for human consumption is a non-essential part of their general activity of distributing other commodities and goods
7.
Waste water
—
Undertakings collecting, disposing of or treating urban waste water, domestic waste water or industrial waste water as defined in Article 2, points (1), (2) and (3), of Council Directive 91/271/EEC
 (
19
)
, excluding undertakings for which collecting, disposing of or treating urban waste water, domestic waste water or industrial waste water is a non-essential part of their general activity
8.
Digital infrastructure
—
Providers of internet exchange points as defined in Article 6, point (18), of Directive (EU) 2022/2555
—
DNS service providers as defined in Article 6, point (20), of Directive (EU) 2022/2555, excluding operators of root name servers
—
top-level-domain name registries as defined in Article 6, point (21), of Directive (EU) 2022/2555
—
Providers of cloud computing services as defined in Article 6, point (30), of Directive (EU) 2022/2555
—
Providers of data centre services as defined in Article 6, point (31), of Directive (EU) 2022/2555
—
Providers of content delivery networks as defined in Article 6, point (32), of Directive (EU) 2022/2555
—
Trust service providers as defined in Article 3, point (19), of Regulation (EU) No 910/2014 of the European Parliament and of the Council
 (
20
)
—
Providers of public electronic communications networks as defined in Article 2, point (8), of Directive (EU) 2018/1972 of the European Parliament and of the Council
 (
21
)
—
Providers of electronic communications services as defined in Article 2, point (4), of Directive (EU) 2018/1972 insofar as their services are publicly available
9.
Public administration
—
Public administration entities of central governments as defined by Member States in accordance with national law
10.
Space
—
Operators of ground-based infrastructure, owned, managed and operated by Member States or by private parties, that support the provision of space-based services, excluding providers of public electronic communications networks as defined in Article 2, point (8), of Directive (EU) 2018/1972
11.
Production, processing and distribution of food
—
Food businesses as defined in Article 3, point (2), of Regulation (EC) No 178/2002 of the European Parliament and of the Council
 (
22
)
 which are engaged exclusively in logistics and wholesale distribution and large scale industrial production and processing
(
1
)
  Directive (EU) 2019/944 of the European Parliament and of the Council of 5 June 2019 on common rules for the internal market for electricity and amending Directive 2012/27/EU (
OJ L 158, 14.6.2019, p. 125
).
(
2
)
  Regulation (EU) 2019/943 of the European Parliament and of the Council of 5 June 2019 on the internal market for electricity (
OJ L 158, 14.6.2019, p. 54
).
(
3
)
  Directive (EU) 2018/2001 of the European Parliament and of the Council of 11 December 2018 on the promotion of the use of energy from renewable sources (
OJ L 328, 21.12.2018, p. 82
).
(
4
)
  Council Directive 2009/119/EC of 14 September 2009 imposing an obligation on Member States to maintain minimum stocks of crude oil and/or petroleum products (
OJ L 265, 9.10.2009, p. 9
).
(
5
)
  Directive 2009/73/EC of the European Parliament and of the Council of 13 July 2009 concerning common rules for the internal market in natural gas and repealing Directive 2003/55/EC (
OJ L 211, 14.8.2009, p. 94
).
(
6
)
  Directive 2009/12/EC of the European Parliament and of the Council of 11 March 2009 on airport charges (
OJ L 70, 14.3.2009, p. 11
).
(
7
)
  Regulation (EU) No 1315/2013 of the European Parliament and of the Council of 11 December 2013 on Union guidelines for the development of the trans-European transport network and repealing Decision No 661/2010/EU (
OJ L 348, 20.12.2013, p. 1
).
(
8
)
  Regulation (EC) No 549/2004 of the European Parliament and of the Council of 10 March 2004 laying down the framework for the creation of the single European sky (the framework Regulation) (
OJ L 96, 31.3.2004, p. 1
).
(
9
)
  Directive 2012/34/EU of the European Parliament and of the Council of 21 November 2012 establishing a single European railway area (
OJ L 343, 14.12.2012, p. 32
).
(
10
)
  Directive 2002/59/EC of the European Parliament and of the Council of 27 June 2002 establishing a Community vessel traffic monitoring and information system and repealing Council Directive 93/75/EEC (
OJ L 208, 5.8.2002, p. 10
).
(
11
)
  Commission Delegated Regulation (EU) 2015/962 of 18 December 2014 supplementing Directive 2010/40/EU of the European Parliament and of the Council with regard to the provision of EU-wide real-time traffic information services (
OJ L 157, 23.6.2015, p. 21
).
(
12
)
  Directive 2010/40/EU of the European Parliament and of the Council of 7 July 2010 on the framework for the deployment of Intelligent Transport Systems in the field of road transport and for interfaces with other modes of transport (
OJ L 207, 6.8.2010, p. 1
).
(
13
)
  Regulation (EC) No 1370/2007 of the European Parliament and of the Council of 23 October 2007 on public passenger transport services by rail and by road and repealing Council Regulations (EEC) Nos 1191/69 and 1107/70 (
OJ L 315, 3.12.2007, p. 1
).
(
14
)
  Directive 2011/24/EU of the European Parliament and of the Council of 9 March 2011 on the application of patients’ rights in cross–border healthcare (
OJ L 88, 4.4.2011, p. 45
).
(
15
)
  Regulation (EU) 2022/2371 of the European Parliament and of the Council of 23 November 2022 on serious cross-border threats to health and repealing Decision No 1082/2013/EU (
OJ L 314, 6.12.2022, p. 26
).
(
16
)
  Directive 2001/83/EC of the European Parliament and of the Council of 6 November 2001 on the community code relating to medicinal products for human use (
OJ L 311, 28.11.2001, p. 67
).
(
17
)
  Regulation (EU) 2022/123 of the European Parliament and of the Council of 25 January 2022 on a reinforced role for the European Medicines Agency in crisis preparedness and management for medicinal products and medical devices (
OJ L 20, 31.1.2022, p. 1
).
(
18
)
  Directive (EU) 2020/2184 of the European Parliament and of the Council of 16 December 2020 on the quality of water intended for human consumption (
OJ L 435, 23.12.2020, p. 1
).
(
19
)
  Council Directive 91/271/EEC of 21 May 1991 concerning urban waste water treatment (
OJ L 135, 30.5.1991, p. 40
).
(
20
)
  Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC (
OJ L 257, 28.8.2014, p. 73
).
(
21
)
  Directive (EU) 2018/1972 of the European Parliament and of the Council of 11 December 2018 establishing the European Electronic Communication Code (
OJ L 321, 17.12.2018, p. 36
).
(
22
)
  Regulation (EC) No 178/2002 of the European Parliament and of the Council of 28 January 2002 laying down the general principles and requirements of food law, establishing the European Food Safety Authority and laying down procedures in matters of food safety (
OJ L 31, 1.2.2002, p. 1
).

Summary:
Making critical entities more resilient
SUMMARY OF:
Directive 2022/2557 on the resilience of critical entities
WHAT IS THE AIM OF THE DIRECTIVE?
The 
directive
 aims to:
reduce vulnerabilities and strengthen the physical resilience
1
 of critical entities in the 
European Union
 (EU) in order to ensure the unobstructed provision of 
services that are essential
 for the economy and society as a whole;
increase the 
resilience of the critical entities
 that provide these services.
KEY POINTS
EU 
Member States
 must, following a risk assessment, 
identify critical entities
 providing services that are essential for the maintenance of functions vital to society, the economy, public health and safety, or the environment, and where an incident would have significant disruptive effects on these essential services. This covers entities in the following sectors:
energy
, including electricity, district heating, oil, gas and hydrogen operators;
transport
 by air, rail, water and road, including public transport;
banking
, which is also subject to Regulation (EU) 
2022/2554
 (the Digital Operational Resilience Act – see 
summary
);
financial market infrastructure
, including trading venues, also subject to the Digital Operational Resilience Act;
health
, including healthcare providers, basic pharmaceutical product and critical device manufacturers and research and development of medicinal products;
drinking water
 suppliers and distributors;
wastewater
 disposal and treatment;
digital infrastructure
, including electronic communication services and data centres, which is also subject to Directive (EU) 
2022/2555
 (see 
summary
);
public administration
 entities at the central government level, excluding national security, public security, defence and law enforcement;
space
 operators of ground-based infrastructure; and
food
 businesses engaged exclusively in logistics and wholesale distribution and in large-scale industrial production and processing.
It should be noted that certain parts of the directive do not apply to entities in the banking, financial market infrastructure and digital infrastructure sectors.
Each Member State must:
adopt a 
national strategy
 and carry out regular 
risk assessments
;
taking into account the outcome of the risk assessments, 
identify entities
 that rely on critical infrastructure to provide essential services to society, the economy, public health and safety, or the environment;
support
 the identified critical entities in enhancing their resilience with, for instance, guidance material, exercises, advice and training;
ensure that national authorities have the powers, resources and means to carry out their supervisory tasks, including conducting 
on-site inspections of critical entities
 and introducing 
penalties for non-compliance
 as part of an enforcement mechanism;
specify the 
conditions
 under which a critical entity can submit requests for background checks on personnel holding sensitive roles.
Member States must identify the critical entities for the sectors and subsectors set out in the Annex to the directive by 
17 July 2026
.
Critical entities must:
carry out risk assessments
 of their own to 
identify risks
 that could disrupt their ability to provide essential services;
take technical, security and organisational measures
 to enhance their resilience;
report significant disruptive incidents
 to the national authorities.
If critical entities provide essential services in or to 
six or more Member States
, they may benefit from extra advice in the form of advisory missions that evaluate the risk assessment and the resilience-enhancing measures that the entity has put in place.
Delegated act
The 
European Commission
 adopted Delegated Regulation (EU) 
2023/2450
, establishing a 
non-exhaustive list of essential services
 in the abovementioned sectors and subsectors. Member States’ competent authorities are to use this list for the purpose of carrying out a risk assessment, and the risk assessment is thereafter to be used for the purpose of identifying critical entities.
The 
Critical Entities Resilience Group
 facilitates cooperation among Member States, including sharing information and good practices.
The 
Commission
 provides 
support
, including on cross-sectoral risks, best practices, methodologies, cross-border training and exercises to test the resilience of critical entities.
FROM WHEN DO THE RULES APPLY?
The directive has to be 
transposed
 into national law by 
17 October 2024
. These rules should apply from 
18 October 2024
.
BACKGROUND
The Commission’s 
EU security union strategy
 and the 
counter-terrorism agenda
 for the EU stress the importance of ensuring the resilience of critical entities in the face of physical and digital risks.
This directive is part of a package of legislative measures to improve the resilience and incident-response capacities of public and private entities in the EU in the fields of 
cybersecurity
 and critical infrastructure protection.
The Council also issued a 
recommendation
 on an EU-wide coordinated approach to strengthen the resilience of critical infrastructure in January 2023.
For further information, see:
How the EU responds to crises and builds resilience
 (European Council, Council of the European Union)
Critical infrastructure
 (European Commission).
KEY TERMS
Resilience.
 The capacity to prevent, protect against, respond to, resist, mitigate, absorb, accommodate and recover from incidents that may be caused by, among other things, natural disasters such as public health emergencies or human-made threats such as terrorism, sabotage or hybrid threats. Hybrid threats arise when state or non-state actors seek to exploit the vulnerabilities of critical infrastructure by using a mixture of measures (i.e. diplomatic, military, economic, technological) in a coordinated way while remaining below the threshold of formal warfare, for example mass disinformation campaigns that hinder the democratic process in elections.
MAIN DOCUMENT
Directive (EU) 
2022/2557
 of the European Parliament and of the Council of 
14 December 2022
 on the resilience of critical entities and repealing Council Directive 2008/114/EC (OJ L 333, 
27.12.2022
, 
pp. 164–198
).
RELATED DOCUMENTS
Commission Delegated Regulation (EU) 
2023/2450
 of 
25 July 2023
 supplementing Directive (EU) 2022/2557 of the European Parliament and of the Council by establishing a list of essential services (OJ L, 2023/2450, 
30.10.2023
).
Council 
Recommendation
 of 
8 December 2022
 on a Union-wide coordinated approach to strengthen the resilience of critical infrastructure (OJ C 20, 
20.1.2023
, 
pp. 1–11
).
Regulation (EU) 
2022/2554
 of the European Parliament and of the Council of 
14 December 2022
 on digital operational resilience for the financial sector and amending Regulations (EC) 
No 1060/2009
, (EU) 
No 648/2012
, (EU) 
No 600/2014
, (EU) 
No 909/2014
 and (EU) 2016/1011 (OJ L 333, 
27.12.2022
, 
pp. 1–79
).
Directive (EU) 
2022/2555
 of the European Parliament and of the Council of 
14 December 2022
 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) 
No 910/2014
 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (OJ L 333, 
27.12.2022
, 
pp. 80–152
).
Communication from the Commission to the European Parliament, the European Council, the Council, the European Economic and Social Committee and the Committee of the Regions – A Counter-Terrorism Agenda for the EU: Anticipate, Prevent, Protect, Respond (
COM(2020) 795 final
, 
9.12.2020
).
Communication from the Commission to the European Parliament, the European Council, the Council, the European Economic and Social Committee and the Committee of the Regions on the EU Security Union Strategy (
COM(2020) 605 final
, 
24.7.2020
).
Directive (EU) 
2019/944
 of the European Parliament and of the Council of 
5 June 2019
 on common rules for the internal market for electricity and amending Directive 2012/27/EU (recast) (OJ L 158, 
14.6.2019
, 
pp. 125–199
).
Successive amendments to Directive (EU) 2019/944 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
Regulation (EU) 
2019/943
 of the European Parliament and of the Council of 
5 June 2019
 on the internal market for electricity (recast) (OJ L 158, 
14.6.2019
, 
pp. 54–124
).
See 
consolidated version
.
Regulation (EU) 
2019/941
 of the European Parliament and of the Council of 
5 June 2019
 on risk-preparedness in the electricity sector and repealing Directive 2005/89/EC (OJ L 158, 
14.6.2019
, 
pp. 1–21
).
Directive (EU) 
2018/2001
 of the European Parliament and of the Council of 
11 December 2018
 on the promotion of the use of energy from renewable sources (recast) (OJ L 328, 
21.12.2018
, 
pp. 82–209
).
See 
consolidated version
.
Directive (EU) 
2017/541
 of the European Parliament and of the Council of 
15 March 2017
 on combating terrorism and replacing Council Framework Decision 2002/475/JHA and amending Council Decision 2005/671/JHA (OJ L 88, 
31.3.2017
, 
pp. 6–21
).
Regulation (EU) 
2017/1938
 of the European Parliament and of the Council of 
25 October 2017
 concerning measures to safeguard the security of gas supply and repealing Regulation (EU) 
No 994/2010
 (OJ L 280, 
28.10.2017
, 
pp. 1–56
).
See 
consolidated version
.
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, 
pp. 1–88
).
See 
consolidated version
.
Directive (EU) 
2016/680
 of the European Parliament and of the Council of 
27 April 2016
 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 
4.5.2016
, 
pp. 89–131
).
See 
consolidated version
.
Directive 
2012/18/EU
 of the European Parliament and of the Council of 
4 July 2012
 on the control of major-accident hazards involving dangerous substances, amending and subsequently repealing Council Directive 96/82/EC (OJ L 197, 
24.7.2012
, 
pp. 1–37
).
Regulation (EU) 
No 
1025/2012
 of the European Parliament and of the Council of 
25 October 2012
 on European standardisation, amending Council Directives 89/686/EEC and 93/15/EEC and Directives 94/9/EC, 94/25/EC, 95/16/EC, 97/23/EC, 98/34/EC, 2004/22/EC, 2007/23/EC, 2009/23/EC and 2009/105/EC of the European Parliament and of the Council and repealing Council Decision 87/95/EEC and Decision 
No 1673/2006/EC
 of the European Parliament and of the Council (OJ L 316, 
14.11.2012
, 
pp. 12–33
).
See 
consolidated version
.
Directive 
2009/73/EC
 of the European Parliament and of the Council of 
13 July 2009
 concerning common rules for the internal market in natural gas and repealing Directive 2003/55/EC (OJ L 211, 
14.8.2009
, 
pp. 94–136
).
See 
consolidated version
.
Directive 
2007/60/EC
 of the European Parliament and of the Council of 
23 October 2007
 on the assessment and management of flood risks (OJ L 288, 
6.11.2007
, 
pp. 27–34
).
Directive 
2002/58/EC
 of the European Parliament and of the Council of 
12 July 2002
 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (OJ L 201, 
31.7.2002
, 
pp. 37–47
).
See 
consolidated version
.
last update 
19.2.2024

--- DANISH ---

Document:
27.12.2022
DA
Den Europæiske Unions Tidende
L 333/164
EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV (EU) 2022/2557
af 14. december 2022
om kritiske enheders modstandsdygtighed og om ophævelse af Rådets direktiv 2008/114/EF
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
under henvisning til udtalelse fra Regionsudvalget 
(
2
)
,
efter den almindelige lovgivningsprocedure 
(
3
)
, og
ud fra følgende betragtninger:
(1)
Kritiske enheder spiller som leverandører af væsentlige tjenester en uundværlig rolle med hensyn til opretholdelse af vitale samfundsmæssige funktioner eller økonomiske aktiviteter på det indre marked i en stadig mere indbyrdes afhængig EU-økonomi. Det er derfor vigtigt at fastlægge en EU-ramme med det formål at både styrke kritiske enheders modstandsdygtighed på det indre marked ved at fastsætte harmoniserede minimumsregler og bistå dem gennem sammenhængende og målrettede støtte- og tilsynsforanstaltninger.
(2)
Rådets direktiv 2008/114/EF 
(
4
)
 indeholder bestemmelser om en procedure for udpegning af europæisk kritisk infrastruktur i energi- og transportsektoren, hvis forstyrrelse eller ødelæggelse vil få betydelig grænseoverskridende indvirkning på mindst to medlemsstater. Nævnte direktiv fokuserer udelukkende på beskyttelse af sådan infrastruktur. Den evaluering af direktiv 2008/114/EF, der blev foretaget i 2019, viste imidlertid, at på grund af den stadig mere indbyrdes forbundne og grænseoverskridende karakter af operationer, der anvender kritisk infrastruktur, er beskyttelsesforanstaltninger vedrørende individuelle aktiver i sig selv utilstrækkelige til at forhindre alle forstyrrelser. Det er derfor nødvendigt at ændre tilgangen til sikring af, at der tages bedre hensyn til risici, at kritiske enheders rolle og opgaver som leverandører af tjenester, der er væsentlige for det indre markeds funktion, defineres bedre og er sammenhængende, og at der vedtages EU-regler for at styrke kritiske enheders modstandsdygtighed. Kritiske enheder bør være i stand til at styrke deres evne til at forebygge, beskytte mod, reagere på, modstå, afbøde, absorbere, tilpasse sig til og komme på fode igen efter hændelser, der har potentiale til at forstyrre leveringen af væsentlige tjenester.
(3)
Selv om en række foranstaltninger på EU-plan, såsom det europæiske program for beskyttelse af kritisk infrastruktur, og på nationalt plan har til formål at støtte beskyttelsen af kritisk infrastruktur i Unionen, bør der gøres mere for bedre at udstyre de enheder, der driver sådan infrastruktur, til at håndtere risiciene for deres drift, som kunne føre til forstyrrelse i leveringen af væsentlige tjenester. Der bør også gøres mere for bedre at udstyre sådanne enheder, da der foreligger et dynamisk trusselsbillede, der omfatter voksende hybride trusler og terrortrusler, og voksende indbyrdes afhængighed mellem infrastruktur og sektorer. Desuden er der en øget fysisk risiko som følge af naturkatastrofer og klimaændringer, hvilket intensiverer hyppigheden og omfanget af ekstreme vejrforhold og medfører langsigtede ændringer i de gennemsnitlige klimaforhold, der kan reducere visse infrastrukturtypers kapacitet, effektivitet og levetid, hvis foranstaltninger til klimatilpasning ikke er på plads. Endvidere er det indre marked kendetegnet ved fragmentering med hensyn til identifikation af kritiske enheder, fordi relevante sektorer og kategorier af enheder ikke anerkendes konsekvent som kritiske i alle medlemsstaterne. Dette direktiv bør derfor opnå et solidt harmoniseringsniveau med hensyn til de sektorer og kategorier af enheder, der er omfattet af dets anvendelsesområde.
(4)
Visse sektorer af økonomien, såsom energi- og transportsektorerne, er allerede reguleret gennem sektorspecifikke EU-retsakter, men disse retsakter indeholder bestemmelser, der kun vedrører visse aspekter af modstandsdygtigheden af enheder, som opererer inden for disse sektorer. For at håndtere modstandsdygtigheden af de enheder, der er kritiske for et velfungerende indre marked, på en omfattende måde skaber dette direktiv en overordnet ramme, der tager højde for kritiske enheders modstandsdygtighed over for alle farer, hvad enten de er naturlige eller menneskeskabte, hændelige eller tilsigtede.
(5)
Den voksende indbyrdes afhængighed mellem infrastruktur og sektorer er resultatet af et stadig mere grænseoverskridende og indbyrdes afhængigt net af tjenester, der anvender nøgleinfrastruktur i hele Unionen, i sektorerne energi, transport, bankvæsen, drikkevand, spildevand, produktion, tilvirkning og distribution af fødevarer, sundhed, rummet, finansiel markedsinfrastruktur og digital infrastruktur samt i visse aspekter af sektoren for offentlig forvaltning. Rumsektoren er omfattet af dette direktivs anvendelsesområde med hensyn til levering af visse tjenester, der er afhængige af jordbaseret infrastruktur, som ejes, forvaltes og drives af enten medlemsstaterne eller private parter; derfor er infrastruktur, der ejes, forvaltes eller drives af eller på vegne af Unionen som led i dens rumprogram, ikke omfattet af dette direktivs anvendelsesområde.
Hvad angår energisektoren og navnlig metoderne til produktion og transmission af elektricitet (med hensyn til elforsyning), er det underforstået, at elproduktion, for så vidt det skønnes hensigtsmæssigt, kan inkludere eltransmissionsdele af kernekraftværker uden at inkludere de specifikt nukleare elementer, der er omfattet af traktater og EU-retten, herunder relevante EU-retsakter vedrørende kernekraft. Processen for identifikation af kritiske enheder i fødevaresektoren bør på passende vis afspejle det indre markeds karakter i denne sektor og de omfattende EU-regler vedrørende de generelle principper og krav for fødevareret og fødevaresikkerhed. For at sikre, at der er en forholdsmæssig tilgang og for på passende vis at afspejle disse enheders rolle og betydning på nationalt plan bør kritiske enheder derfor kun identificeres blandt fødevarevirksomheder, hvad enten de er med eller uden gevinst for øje, og uanset om de er offentlige eller private, som udelukkende beskæftiger sig med logistik, engrosdistribution og industriel produktion og tilvirkning i stor skala med en betydelig markedsandel som observeret på nationalt plan. Disse indbyrdes afhængighedsforhold betyder, at enhver forstyrrelse af væsentlige tjenester, selv en, der oprindeligt var begrænset til én enhed eller én sektor, kan have kaskadevirkninger mere generelt, hvilket potentielt kan føre til en vidtrækkende og langsigtet negativ indvirkning på leveringen af tjenester på hele det indre marked. Store kriser, såsom covid-19-pandemien, har vist, at vores stadig mere indbyrdes afhængige samfund er sårbare over for risici med stor indvirkning og lav sandsynlighed.
(6)
De enheder, der er involveret i levering af væsentlige tjenester, er i stigende grad underlagt forskellige krav i henhold til national ret. Det forhold, at nogle medlemsstater stiller mindre strenge sikkerhedskrav til disse enheder, fører ikke kun til forskellige grader af modstandsdygtighed, men risikerer også at have negativ indvirkning på opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter i hele Unionen og fører til hindringer for et velfungerende indre marked. Investorer og virksomheder kan støtte sig til og stole på kritiske enheder, der er modstandsdygtige, og pålidelighed og tillid er hjørnestenene i et velfungerende indre marked. Enheder af samme type betragtes som kritiske i nogle medlemsstater, men ikke i andre, og de enheder, der er identificeret som kritiske, er underlagt forskellige krav i forskellige medlemsstater. Dette medfører en yderligere og unødvendig administrativ byrde for virksomheder, der opererer på tværs af grænserne, navnlig for virksomheder, der er aktive i medlemsstater med strengere krav. En EU-ramme vil derfor også skabe lige konkurrencevilkår for kritiske enheder i hele Unionen.
(7)
Det er nødvendigt at fastsætte harmoniserede minimumsregler for at sikre leveringen af væsentlige tjenester på det indre marked, styrke kritiske enheders modstandsdygtighed og forbedre det grænseoverskridende samarbejde mellem kompetente myndigheder. Det er vigtigt, at disse regler er fremtidssikrede med hensyn til udformning og gennemførelse, samtidig med at der gives mulighed for den nødvendige fleksibilitet. Det er også afgørende at forbedre kritiske enheders kapacitet til at levere væsentlige tjenester i lyset af en række forskellige risici.
(8)
For at opnå en høj grad af modstandsdygtighed bør medlemsstaterne identificere kritiske enheder, som vil være underlagt specifikke krav og specifikt tilsyn og som vil ydes særlig støtte og vejledning over for alle relevante risici.
(9)
I betragtning af betydning af cybersikkerhed for kritiske enheders modstandsdygtighed og af hensyn til konsistens bør der i videst muligt omfang sikres en sammenhængende tilgang mellem dette direktiv og Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 
(
5
)
. I lyset af cyberrisicis øgede hyppighed og særlige karakteristika pålægger direktiv (EU) 2022/2555 en lang række enheder omfattende krav for at sikre deres cybersikkerhed. Da cybersikkerhed behandles tilstrækkeligt i direktiv (EU) 2022/2555, bør de spørgsmål, der er omfattet af nævnte direktiv, udelukkes fra nærværende direktivs anvendelsesområde, uden at det berører den særlige ordning for enheder i sektoren for digital infrastruktur.
(10)
Hvor bestemmelser i sektorspecifikke EU-retsakter kræver, at kritiske enheder træffer foranstaltninger for at styrke deres modstandsdygtighed, og hvor disse krav er anerkendt af medlemsstaterne som svarende mindst til de tilsvarende forpligtelser i dette direktiv, bør de relevante bestemmelser i dette direktiv ikke finde anvendelse for at undgå dobbeltarbejde og unødvendige byrder. I så fald bør de relevante bestemmelser i sådanne EU-retsakter finde anvendelse. Hvis de relevante bestemmelser i dette direktiv ikke finder anvendelse, bør bestemmelserne om tilsyn og håndhævelse i dette direktiv heller ikke finde anvendelse.
(11)
Dette direktiv berører ikke medlemsstaternes og deres myndigheders kompetencer med hensyn til administrativ autonomi eller deres ansvar for at varetage national sikkerhed og forsvar eller deres beføjelse til at varetage andre væsentlige statslige funktioner, navnlig vedrørende offentlig sikkerhed, territorial integritet og opretholdelse af lov og orden. Udelukkelsen af offentlige forvaltningsenheder fra dette direktivs anvendelsesområde bør gælde for enheder, hvis aktiviteter hovedsageligt udføres på områderne national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger. Offentlige forvaltningsenheder, hvis aktiviteter kun er marginalt relateret til disse områder, bør dog være omfattet af dette direktivs anvendelsesområde. Med henblik på dette direktiv anses enheder med reguleringsbeføjelser ikke for at udføre aktiviteter inden for retshåndhævelse, og de er derfor ikke på dette grundlag udelukket fra dette direktivs anvendelsesområde. Offentlige forvaltningsenheder, der er etableret i fællesskab med et tredjeland i overensstemmelse med en international aftale, er udelukket fra dette direktivs anvendelsesområde. Dette direktiv finder ikke anvendelse på medlemsstaternes diplomatiske og konsulære missioner i tredjelande.
Visse kritiske enheder udfører aktiviteter på områderne national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger, eller leverer udelukkende tjenester til offentlige forvaltningsenheder, der hovedsageligt udfører aktiviteter på disse områder. I betragtning af medlemsstaternes ansvar for at varetage national sikkerhed og forsvar bør medlemsstater kunne beslutte, at kritiske enheders forpligtelser fastsat i dette direktiv helt eller delvist ikke finder anvendelse på disse kritiske enheder, hvis de tjenester, som de leverer, eller de aktiviteter, som de udfører, hovedsageligt vedrører områderne national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger. Kritiske enheder, hvis tjenester eller aktiviteter kun er marginalt relaterede til disse områder, bør stadig være omfattet af dette direktivs anvendelsesområde. Ingen medlemsstat bør være forpligtet til at meddele oplysninger, hvis videregivelse vil stride mod væsentlige interesser med hensyn til dens nationale sikkerhed. EU-regler eller nationale regler om beskyttelse af klassificerede informationer og hemmeligholdelsesaftaler er relevante.
(12)
For ikke at bringe national sikkerhed eller kritiske enheders sikkerhed og kommercielle interesser i fare bør adgang til samt udveksling og håndtering af følsomme oplysninger foregå med omtanke og med særlig vægt på de transmissionskanaler og lagringskapaciteter, der anvendes.
(13)
Med henblik på at sikre en samlet tilgang til kritiske enheders modstandsdygtighed bør hver medlemsstat have en strategi for styrkelse af kritiske enheders modstandsdygtighed på plads (»strategien«). Strategien bør fastsætte de strategiske mål og politikforanstaltninger, der skal gennemføres. Af hensyn til sammenhæng og effektivitet bør strategien udformes således, at de uden problemer kan integrere eksisterende politikker, og så vidt muligt bygge på eksisterende nationale og sektorspecifikke strategier, planer eller lignende dokumenter. For at opnå en samlet tilgang bør medlemsstaterne sikre, at deres strategier skaber en politikramme for øget koordinering mellem de kompetente myndigheder i henhold til dette direktiv og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 i forbindelse med udveksling af oplysninger om cybersikkerhedsrisici, cybertrusler og cyberhændelser og ikkecyberrisici, -trusler og -hændelser samt i forbindelse med udførelse af tilsynsopgaver. Når medlemsstaterne indfører deres strategier, bør medlemsstaterne tage behørigt hensyn til den hybride karakter af trusler mod kritiske enheder.
(14)
Medlemsstaterne bør meddele Kommissionen deres strategier og væsentlige ajourføringer heraf, navnlig for at sætte Kommissionen i stand til at vurdere, om dette direktiv anvendes korrekt for så vidt angår politiktilgange til kritiske enheders modstandsdygtighed på nationalt plan. Strategierne vil, hvor det er nødvendigt, kunne meddeles som klassificerede informationer. Kommissionen bør udarbejde en sammenfattende rapport om de strategier, som medlemsstaterne har meddelt, der skal tjene som grundlag for udvekslinger med henblik på at identificere bedste praksis og spørgsmål af fælles interesse inden for rammerne af en Gruppe for Kritiske Enheders Modstandsdygtighed. På grund af den følsomme karakter af de samlede oplysninger, der vil være indeholdt i den sammenfattende rapport, uanset om de er klassificerede eller ej, bør Kommissionen forvalte den sammenfattende rapport med et passende niveau af opmærksomhed med hensyn til kritiske enheders, medlemsstaters og Unionens sikkerhed. Den sammenfattende rapport og strategierne bør beskyttes mod ulovlige eller ondsindede handlinger og bør kun være tilgængelige for bemyndigede personer med henblik på at opfylde målene i dette direktiv. Meddelelsen af strategierne og væsentlige ajourføringer heraf bør også hjælpe Kommissionen med at forstå udviklingen i tilgangene til kritiske enheders modstandsdygtighed og bidrage til overvågningen af dette direktivs indvirkning og merværdi, som Kommissionen regelmæssigt skal gennemgå.
(15)
Medlemsstaternes tiltag til at identificere og bidrage til at sikre kritiske enheders modstandsdygtighed bør følge en risikobaseret tilgang, hvor der fokuseres på de enheder, der er mest relevante for udførelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter. For at sikre en sådan målrettet tilgang bør hver medlemsstat inden for en harmoniseret ramme foretage en vurdering af de relevante naturlige og menneskeskabte risici, herunder tværsektorielle eller grænseoverskridende risici, der vil kunne påvirke leveringen af væsentlige tjenester, herunder ulykker, naturkatastrofer, folkesundhedskriser såsom pandemier og hybride trusler eller andre antagonistiske trusler, herunder terrorhandlinger, kriminel infiltration og sabotage (»medlemsstatsrisikovurdering«). Når medlemsstaterne foretager medlemsstatsrisikovurderinger, bør de tage hensyn til andre generelle eller sektorspecifikke risikovurderinger, der er foretaget i henhold til andre EU-retsakter, og til omfanget af afhængighed mellem sektorer, herunder af sektorer i andre medlemsstater og tredjelande. Resultaterne af medlemsstatsrisikovurderinger bør anvendes til at identificere kritiske enheder og bistå disse enheder med at opfylde deres modstandsdygtighedskrav. Dette direktiv finder kun anvendelse på medlemsstater og kritiske enheder, der opererer i Unionen. Ikke desto mindre vil den ekspertise og viden, der genereres af kompetente myndigheder, navnlig gennem risikovurderinger, og af Kommissionen, navnlig gennem forskellige former for støtte og samarbejde, kunne anvendes, hvor det er relevant og i overensstemmelse med de gældende retlige instrumenter, til fordel for tredjelande, navnlig dem i Unionens umiddelbare nærområde, ved at bidrage til eksisterende samarbejde om modstandsdygtighed.
(16)
For at sikre, at alle relevante enheder er omfattet af dette direktivs modstandsdygtighedskrav, og for at mindske forskellene i denne henseende er det vigtigt at fastsætte harmoniserede regler, der muliggør en konsekvent identifikation af kritiske enheder i hele Unionen, samtidig med at medlemsstaterne også får mulighed for i tilstrækkelig grad at afspejle disse enheders rolle og betydning på nationalt plan. Ved anvendelse af de kriterier, der er fastlagt i dette direktiv, bør hver medlemsstat identificere enheder, der leverer en eller flere væsentlige tjenester, og som opererer og har kritisk infrastruktur, der er beliggende på dens område. En enhed bør anses for at operere på en medlemsstats område, hvor den udfører de aktiviteter, der er nødvendige for den eller de pågældende væsentlige tjenester, og hvor enhedens kritiske infrastruktur, som anvendes til at levere den eller de pågældende tjenester, er beliggende. Hvis der ikke er nogen enhed, der opfylder disse kriterier i en medlemsstat, bør den pågældende medlemsstat ikke være forpligtet til at identificere en kritisk enhed i den tilsvarende sektor eller delsektor. Af hensyn til effektivitet, virkningsfuldhed, konsistens og retssikkerhed bør der fastsættes passende regler med hensyn til underretning af enheder om, at de er identificeret som kritiske enheder.
(17)
Medlemsstaterne bør på en måde, der opfylder målene i dette direktiv, forelægge Kommissionen en liste over væsentlige tjenester, antallet af kritiske enheder, som er identificeret for hver sektor og delsektor anført i bilaget og for den eller de væsentlige tjenester, som hver enhed leverer, og såfremt sådanne anvendes, tærskler. Det bør være muligt at fremlægge tærskler som sådan eller i sammenfattet form, hvorved forstås, at oplysningerne kan gøres til genstand for en gennemsnitsberegning efter geografisk område, år, sektor, delsektor eller andre metoder og kan omfatte oplysninger om omfanget af de forelagte indikatorer.
(18)
Der bør fastlægges kriterier for bestemmelse af betydningen af en forstyrrende virkning som følge af en hændelse. Disse kriterier bør være baseret på kriterierne i Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 
(
6
)
 for at udnytte medlemsstaternes indsats for at identificere operatører af væsentlige tjenester som defineret i nævnte direktiv og de erfaringer, der er gjort i denne forbindelse. Større kriser, såsom covid-19-pandemien, har vist, hvor vigtigt det er at sørge for forsyningskædesikkerhed, og har påvist, hvordan forstyrrelse heraf kan have negativ økonomisk og samfundsmæssig indvirkning inden for en lang række sektorer og på tværs af grænserne. Medlemsstaterne bør derfor også i det omfang, det er muligt, overveje virkningerne på forsyningskæden, når de fastslår i hvilket omfang andre sektorer og delsektorer afhænger af de væsentlige tjenester, der udbydes af en kritisk enhed.
(19)
I overensstemmelse med gældende EU-ret og national ret, herunder Europa-Parlamentets og Rådets forordning (EU) 2019/452 
(
7
)
, som fastlægger et regelsæt for screening af udenlandske direkte investeringer i Unionen, skal den potentielle trussel, som udenlandsk ejerskab af kritisk infrastruktur i Unionen udgør, anerkendes, idet tjenester, økonomien og EU-borgernes frie bevægelighed og sikkerhed er afhængige af velfungerende kritisk infrastruktur.
(20)
I henhold til direktiv (EU) 2022/2555 skal enheder, der tilhører sektoren for digital infrastruktur, og som kunne betragtes som kritiske enheder i henhold til nærværende direktiv, træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer samt underrette om væsentlige hændelser og cybertrusler. Da trusler mod sikkerheden i net- og informationssystemer kan have forskellig oprindelse, anvender direktiv (EU) 2022/2555 en tilgang, der omfatter alle farer, og som omfatter net- og informationssystemers modstandsdygtighed samt disse systemers fysiske komponenter og fysiske miljø.
Eftersom kravene i forbindelse hermed i direktiv (EU) 2022/2555 mindst svarer til de tilsvarende forpligtelser i nærværende direktiv, bør forpligtelserne i artikel 11 og kapitel III, IV og VI i nærværende direktiv ikke finde anvendelse på enheder, der tilhører sektoren for digital infrastruktur, for at undgå dobbeltarbejde og unødvendige administrative byrder. I betragtning af den betydning, som tjenester, der leveres af enheder, der tilhører den digitale infrastruktursektor, har for kritiske enheder, der tilhører alle andre sektorer, bør medlemsstaterne imidlertid på grundlag af kriterierne og ved anvendelse af proceduren i dette direktiv identificere enheder, der tilhører sektoren for digital infrastruktur, som kritiske enheder. Derfor bør strategierne, medlemsstatsrisikovurderingerne og støtteforanstaltningerne fastsat i dette direktivs kapitel II finde anvendelse. Medlemsstaterne bør kunne vedtage eller opretholde bestemmelser i national ret for at opnå en højere grad af modstandsdygtighed for disse kritiske enheder, forudsat at disse bestemmelser er i overensstemmelse med gældende EU-ret.
(21)
I EU-retten om finansielle tjenesteydelser fastsættes omfattende krav til finansielle enheder om at håndtere alle risici, som de står over for, herunder operationelle risici, og sikre forretningskontinuitet. Denne ret omfatter Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 
(
8
)
, (EU) nr. 575/2013 
(
9
)
 og (EU) nr. 600/2014 
(
10
)
 og Europa-Parlamentets og Rådets direktiv 2013/36/EU 
(
11
)
 og 2014/65/EU 
(
12
)
. Denne retlige ramme suppleres med Europa-Parlamentets og Rådets forordning (EU) 2022/2554 
(
13
)
, som fastsætter krav til finansielle enheder om at styre risici i forbindelse med informations- og kommunikationsteknologi (IKT), herunder vedrørende beskyttelse af fysisk IKT-infrastruktur. Eftersom disse enheders modstandsdygtighed derfor er fuldt ud dækket, bør artikel 11 og kapitel III, IV og VI i dette direktiv ikke finde anvendelse på disse enheder for at undgå dobbeltarbejde og unødvendige administrative byrder.
I betragtning af den betydning, som tjenester, der leveres af enheder i den finansielle sektor, har for kritiske enheder, der tilhører alle andre sektorer, bør medlemsstaterne imidlertid på grundlag af kriterierne og ved anvendelse af proceduren i dette direktiv identificere enheder i den finansielle sektor som kritiske enheder. Derfor bør strategierne, medlemsstatsrisikovurderingerne og støtteforanstaltningerne fastsat i dette direktivs kapitel II finde anvendelse. Medlemsstaterne bør kunne vedtage eller opretholde bestemmelser i national ret for at opnå en højere grad af modstandsdygtighed for disse kritiske enheder, forudsat at disse bestemmelser er i overensstemmelse med gældende EU-ret.
(22)
Medlemsstaterne bør udpege eller oprette myndigheder, der har kompetence til at føre tilsyn med anvendelsen af og om nødvendigt håndhæve reglerne i dette direktiv, og sikre, at disse myndigheder har tilstrækkelige beføjelser og ressourcer. I lyset af forskellene i nationale forvaltningsstrukturer, for at sikre allerede eksisterende sektorspecifikke ordninger eller EU-tilsyns- og reguleringsorganer og for at undgå dobbeltarbejde bør medlemsstaterne kunne udpege eller oprette mere end én kompetent myndighed. Hvis medlemsstaterne udpeger eller opretter mere end én kompetent myndighed, bør de klart afgrænse de berørte myndigheders respektive opgaver og sikre, at de samarbejder gnidningsløst og effektivt. Alle kompetente myndigheder bør også samarbejde mere generelt med andre relevante myndigheder, både på EU-plan og nationalt plan.
(23)
For at lette grænseoverskridende samarbejde og kommunikation og muliggøre en effektiv gennemførelse af dette direktiv bør hver medlemsstat, uden at dette berører kravene i sektorspecifikke EU-retsakter, udpege et centralt kontaktpunkt med ansvar for at koordinere spørgsmål vedrørende kritiske enheders modstandsdygtighed og grænseoverskridende samarbejde på EU-plan i denne henseende, hvis relevant inden for en kompetent myndighed. Hvert centralt kontaktpunkt bør holde kontakt med og koordinere kommunikationen, hvor det er relevant, med sin medlemsstats kompetente myndigheder, med andre medlemsstaters centrale kontaktpunkter og med Gruppen for Kritiske Enheders Modstandsdygtighed.
(24)
De kompetente myndigheder i henhold til dette direktiv, og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555, bør samarbejde og udveksle oplysninger om cybersikkerhedsrisici, cybertrusler og cyberhændelser og ikkecyberrisici, -trusler og -hændelser, som berører kritiske enheder, samt i forhold til relevante foranstaltninger, der er truffet af de kompetente myndigheder i henhold til nærværende direktiv og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 Det er vigtigt, at medlemsstaterne sikrer, at kravene i nærværende direktiv og i direktiv (EU) 2022/2555 gennemføres på en komplementær måde, og at kritiske enheder ikke pålægges en administrativ byrde, der går ud over, hvad der er nødvendigt for at nå målene i nærværende direktiv og nævnte direktiv.
(25)
Medlemsstaterne bør støtte kritiske enheder, herunder dem, der kan betegnes som små eller mellemstore virksomheder, med at styrke deres modstandsdygtighed i overensstemmelse med medlemsstaternes forpligtelser i dette direktiv, uden at dette berører de kritiske enheders eget retlige ansvar for at sikre en sådan opfyldelse, og i denne forbindelse hindre uforholdsmæssigt store administrative byrder. Medlemsstaterne vil navnlig kunne udvikle vejledningsmaterialer og -metoder, støtte tilrettelæggelse af øvelser for at afprøve kritiske enheders modstandsdygtighed og yde rådgivning og tilbyde uddannelse til personale i kritiske enheder. Hvor det er nødvendigt og begrundet i almene hensyn, kan medlemsstaterne stille finansielle ressourcer til rådighed og bør lette frivillig udveksling af oplysninger og udveksling af god praksis mellem kritiske enheder, uden at det berører anvendelsen af konkurrencereglerne i traktaten om Den Europæiske Unions funktionsmåde (TEUF).
(26)
For at styrke modstandsdygtigheden af kritiske enheder, som er identificeret af medlemsstaterne, og for at mindske den administrative byrde for disse kritiske enheder bør de kompetente myndigheder konsultere hinanden, når det er hensigtsmæssigt, med henblik på at sikre en konsistent anvendelse af dette direktiv. Disse konsultationer bør indledes efter anmodning fra enhver interesseret kompetent myndighed og bør fokusere på at sikre en konvergerende tilgang til indbyrdes forbundne kritiske enheder, der anvender kritisk infrastruktur, som er fysisk sammenkoblet mellem to eller flere medlemsstater, og som tilhører de samme koncerner eller selskabsstrukturer, eller som er blevet identificeret i én medlemsstat og leverer væsentlige tjenester til eller i andre medlemsstater.
(27)
Hvis bestemmelser i EU-retten eller national ret kræver, at kritiske enheder vurderer risici, der er relevante i forbindelse med dette direktiv, og træffer foranstaltninger for at sikre deres egen modstandsdygtighed, bør der tages tilstrækkeligt hensyn til disse krav med henblik på at føre tilsyn med kritiske enheders overholdelse af dette direktiv.
(28)
Kritiske enheder bør have en omfattende forståelse af de relevante risici, som de er eksponeret for, og en pligt til at analysere disse risici. Med henblik herpå bør de foretage risikovurderinger, når det er nødvendigt i lyset af deres særlige omstændigheder og udviklingen af disse risici og under alle omstændigheder hvert fjerde år, for at vurdere alle relevante risici, der vil kunne forstyrre leveringen af deres væsentlige tjenester (»kritiske enheders risikovurdering«). Hvor kritiske enheder har foretaget andre risikovurderinger eller udarbejdet dokumenter i henhold til forpligtelser i andre retsakter, der er relevante for deres risikovurdering, bør de kunne anvende disse vurderinger og dokumenter til at opfylde kravene i dette direktiv vedrørende kritiske enheders risikovurdering. En kompetent myndighed bør kunne erklære, at en eksisterende risikovurdering foretaget af en kritisk enhed, der behandler de relevante risici og det relevante omfang af afhængighed, helt eller delvist opfylder forpligtelserne i dette direktiv.
(29)
Kritiske enheder bør træffe passende tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, der står i et rimeligt forhold til de risici, som de står over for, for at forebygge, beskytte mod, reagere på, modstå, afbøde, absorbere, tilpasse sig til og komme på fode igen efter en hændelse. Mens kritiske enheder bør træffe disse foranstaltninger i overensstemmelse med dette direktiv, bør sådanne foranstaltningers nærmere enkeltheder og omfang afspejle de forskellige risici, som hver kritiske enhed har identificeret som led i sin risikovurdering, og de særlige forhold, der gør sig gældende for en sådan enhed, på en passende og forholdsmæssig måde. For at fremme en sammenhængende EU-tilgang bør Kommissionen efter høring af Gruppen for Kritiske Enheders Modstandsdygtighed vedtage ikkebindende retningslinjer for nærmere at præcisere disse tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger. Medlemsstaterne bør sikre, at hver kritisk enhed udpeger en forbindelsesofficer eller tilsvarende som kontaktpunkt for de kompetente myndigheder.
(30)
Af hensyn til effektivitet og ansvarlighed bør kritiske enheder under hensyntagen til de identificerede risici beskrive de foranstaltninger, som de træffer, med en detaljeringsgrad, som i tilstrækkelig grad når målene om effektivitet og ansvarlighed, i en plan for modstandsdygtighed eller i et eller flere dokumenter, der svarer til en plan for modstandsdygtighed, og anvende denne plan i praksis. Hvis en kritisk enhed allerede har truffet tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger og udarbejdet dokumenter i henhold til andre retsakter, der er relevante for modstandsdygtighedsstyrkende foranstaltninger i henhold til dette direktiv, bør den for at undgå dobbeltarbejde kunne anvende disse foranstaltninger og dokumenter til at opfylde kravene med hensyn til modstandsdygtighedsforanstaltninger i henhold til dette direktiv. For at undgå dobbeltarbejde bør en kompetent myndighed kunne erklære, at en kritisk enheds eksisterende modstandsdygtighedsforanstaltninger, der tager hånd om dens forpligtelse til at træffe tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger i henhold til dette direktiv, helt eller delvist opfylder kravene i dette direktiv.
(31)
I Europa-Parlamentets og Rådets forordning (EF) nr. 725/2004 
(
14
)
 og (EF) nr. 300/2008 
(
15
)
 og Europa-Parlamentets og Rådets direktiv 2005/65/EF 
(
16
)
 fastsættes krav til enheder i luftfarts- og søtransportsektoren med henblik på at forebygge hændelser forårsaget af ulovlige handlinger og modstå og afbøde følgerne af sådanne hændelser. Selv om de foranstaltninger, der kræves i henhold til nærværende direktiv, er bredere med hensyn til de risici, der håndteres, og de typer af foranstaltninger, der skal træffes, bør kritiske enheder i disse sektorer i deres plan for modstandsdygtighed eller tilsvarende dokumenter afspejle de foranstaltninger, der er truffet i henhold til disse andre EU-retsakter. Kritiske enheder skal også tage hensyn til Europa-Parlamentets og Rådets direktiv 2008/96/EF 
(
17
)
, som indfører en vejnetvurdering med henblik på at kortlægge risiciene for ulykker og en målrettet trafiksikkerhedsinspektion med henblik på at afdække farlige forhold, mangler og problemer, som øger risikoen for ulykker og tilskadekomst, baseret på besigtigelse af eksisterende veje eller vejstrækninger. Sikring af kritiske enheders beskyttelse og modstandsdygtighed er af allerstørste betydning for jernbanesektoren, og kritiske enheder tilskyndes til at henvise til ikkebindende retningslinjer og dokumenter om god praksis, der er udarbejdet under sektorspecifikke arbejdsgange, såsom EU-sikkerhedsplatformen for jernbanepassagerer, der er oprettet ved Kommissionens afgørelse 2018/C 232/03 
(
18
)
, når de gennemfører modstandsdygtighedsforanstaltninger i henhold til dette direktiv.
(32)
Risikoen for, at ansatte i kritiske enheder eller deres kontrahenter misbruger for eksempel deres adgangsret inden for den kritiske enheds organisation til at skade og forvolde skade, giver anledning til stigende bekymring. Medlemsstaterne bør derfor angive de betingelser, på hvilke kritiske enheder i behørigt begrundede tilfælde og under hensyntagen til medlemsstatsrisikovurderinger har tilladelse til at indgive anmodninger om baggrundskontrol af personer, der tilhører specifikke kategorier af deres personale. Det bør sikres, at de relevante myndigheder vurderer sådanne anmodninger inden for en rimelig frist og behandler dem i overensstemmelse med national ret og nationale procedurer samt relevant og gældende EU-ret, herunder om beskyttelse af personoplysninger. For at bekræfte identiteten af en person, der er genstand for en baggrundskontrol, er det hensigtsmæssigt, at medlemsstaterne kræver et identitetsbevis, såsom et pas, et nationalt identitetskort eller en digital form for identifikation, i overensstemmelse med gældende ret.
Baggrundskontrol bør omfatte kontrol af strafferegistre for den pågældende person. Medlemsstaterne bør anvende det europæiske informationssystem vedrørende strafferegistre i overensstemmelse med procedurerne i Rådets rammeafgørelse 2009/315/RIA 
(
19
)
 og, hvor det er relevant og finder anvendelse, Europa-Parlamentets og Rådets forordning (EU) 2019/816 
(
20
)
 med henblik på indhentning af oplysninger fra andre medlemsstaters strafferegistre. Medlemsstaterne kan også, hvor det er relevant og finder anvendelse, trække på anden generation af Schengeninformationssystemet (SIS II), der blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2018/1862 
(
21
)
, efterretninger og alle andre tilgængelige objektive oplysninger, som måtte være nødvendige for at fastslå, om den berørte person er egnet til at beklæde den stilling, for hvilken den kritiske enhed har anmodet om en baggrundskontrol.
(33)
Der bør oprettes en mekanisme til underretning om visse hændelser for at gøre det muligt for de kompetente myndigheder at reagere hurtigt og hensigtsmæssigt på hændelser og danne sig et samlet overblik over indvirkningen, arten, årsagen og de mulige konsekvenser af hændelser, som kritiske enheder håndterer. Kritiske enheder bør uden unødigt ophold underrette de kompetente myndigheder om hændelser, der i betydelig grad forstyrrer eller har potentiale til i betydelig grad at forstyrre leveringen af væsentlige tjenester. Medmindre det operationelt ikke er muligt, bør kritiske enheder indgive en første underretning senest 24 timer efter, at de er blevet opmærksomme på en hændelse. Den første underretning bør kun indeholde de oplysninger, der er strengt nødvendige for at gøre den kompetente myndighed opmærksom på hændelsen og give den kritiske enhed mulighed for at søge bistand, hvis det er nødvendigt. En sådan underretning bør, hvor det er muligt, angive den formodede årsag til hændelsen. Medlemsstaterne bør sikre, at kravet om at foretage denne første underretning ikke afleder den kritiske enheds ressourcer fra aktiviteter vedrørende håndtering af hændelser, der bør prioriteres. Den første underretning bør, hvor det er relevant, efterfølges af en detaljeret rapport senest en måned efter hændelsen. Den detaljerede rapport bør supplere den første underretning og give et mere fuldstændigt overblik over hændelsen.
(34)
Standardisering bør fortsat primært være en markedsstyret proces. Der kan imidlertid stadig være situationer, hvor det er hensigtsmæssigt at kræve overholdelse af specifikke standarder. Medlemsstaterne bør, hvor det er nyttigt, tilskynde til anvendelse af europæiske og internationale standarder og tekniske specifikationer af relevans for de sikkerheds- og modstandsdygtighedsforanstaltninger, som finder anvendelse på kritiske enheder.
(35)
Selv om kritiske enheder generelt opererer som en del af et stadig mere sammenkoblet net af tjenester og infrastruktur og ofte leverer væsentlige tjenester i mere end én medlemsstat, er nogle af disse kritiske enheder af særlig betydning for Unionen og dens indre marked, fordi de leverer væsentlige tjenester til eller i seks eller flere medlemsstater og derfor vil kunne drage fordel af specifik støtte på EU-plan. Der bør derfor fastsættes regler om rådgivende missioner for sådanne kritiske enheder af særlig europæisk betydning. Disse regler berører ikke reglerne om tilsyn og håndhævelse i dette direktiv.
(36)
Efter en begrundet anmodning fra Kommissionen eller en eller flere medlemsstater, hvortil eller hvori en væsentlig tjeneste leveres, bør en medlemsstat, der har identificeret en kritisk enhed af særlig europæisk betydning som kritisk enhed, give Kommissionen visse oplysninger som fastsat dette direktiv, hvis der er behov for yderligere oplysninger for at kunne rådgive den kritiske enhed om opfyldelse af dens forpligtelser i henhold til dette direktiv eller vurdere, om den kritiske enhed af særlig europæisk betydning opfylder disse forpligtelser. Efter aftale med den medlemsstat, der har identificeret den kritiske enhed af særlig europæisk betydning som kritisk enhed, bør Kommissionen kunne tilrettelægge en rådgivende mission for at vurdere de foranstaltninger, som den pågældende enhed har truffet. For at sikre, at sådanne rådgivende missioner gennemføres korrekt, bør der fastsættes supplerende regler, navnlig for de rådgivende missioners tilrettelæggelse og gennemførelse, de opfølgende tiltag, der skal tages, og forpligtelserne for berørte kritiske enheder af særlig europæisk betydning. Rådgivende missioner bør, uden at det berører behovet for, at den medlemsstat, hvor en rådgivende mission gennemføres, og den berørte enhed overholder reglerne i dette direktiv, gennemføres i henhold til de detaljerede regler i den pågældende medlemsstats nationale ret, f.eks. om de præcise betingelser, der skal opfyldes for at få adgang til relevante lokaler eller dokumenter, og om domstolsprøvelse. Der vil, hvor det er relevant, kunne anmodes om specifik ekspertbistand til sådanne rådgivende missioner via Katastrofeberedskabskoordinationscentret, som er oprettet ved Europa-Parlamentets og Rådets afgørelse nr. 1313/2013/EU 
(
22
)
.
(37)
For at støtte Kommissionen og lette samarbejde mellem medlemsstaterne og udveksling af oplysninger, herunder bedste praksis, om spørgsmål vedrørende dette direktiv bør der nedsættes en Gruppe for Kritiske Enheders Modstandsdygtighed som en ekspertgruppe i Kommissionen. Medlemsstaterne bør bestræbe sig på at sikre et effektivt samarbejde mellem de udpegede repræsentanter for deres kompetente myndigheder i Gruppen for Kritiske Enheders Modstandsdygtighed, herunder ved at udpege repræsentanter, der er sikkerhedsgodkendt, hvis det er relevant. Gruppen for Kritiske Enheders Modstandsdygtighed bør begynde at udføre sine opgaver så snart som muligt for at tilvejebringe yderligere midler til passende samarbejde i løbet af gennemførelsesperioden for dette direktiv. Gruppen for Kritiske Enheders Modstandsdygtighed bør indgå i et samspil med andre relevante sektorspecifikke ekspertgrupper.
(38)
Gruppen for Kritiske Enheders Modstandsdygtighed bør samarbejde med den samarbejdsgruppe, der er nedsat i henhold til direktiv (EU) 2022/2555, med henblik på at støtte en omfattende ramme for kritiske enheders cyber- og ikkecybermodstandsdygtighed. Gruppen for Kritiske Enheders Modstandsdygtighed og den samarbejdsgruppe, der er nedsat i henhold til direktiv (EU) 2022/2555, bør indgå i en regelmæssig dialog for at fremme samarbejde mellem de kompetente myndigheder i henhold til nærværende direktiv og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555, og for at lette udveksling af oplysninger, navnlig om emner af relevans for begge grupper.
(39)
For at nå målene i dette direktiv, og uden at dette berører medlemsstaternes og kritiske enheders retlige ansvar for at sikre, at de respektive forpligtelser, der er fastsat heri, opfyldes, bør Kommissionen, hvor den finder det hensigtsmæssigt, støtte kompetente myndigheder og kritiske enheder med henblik på at lette opfyldelsen af deres respektive forpligtelser. Når Kommissionen yder støtte til medlemsstaterne og kritiske enheder ved opfyldelsen af forpligtelserne i henhold til dette direktiv, bør den tage udgangspunkt i eksisterende strukturer og værktøjer såsom dem inden for rammerne af EU-civilbeskyttelsesmekanismen, der blev oprettet ved afgørelse nr. 1313/2013/EU, og det europæiske referencenetværk for beskyttelse af kritisk infrastruktur. Den bør desuden orientere medlemsstaterne om midler, der er til rådighed på EU-plan, f.eks. inden for Fonden for Intern Sikkerhed, der blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2021/1149 
(
23
)
, Horisont Europa, der blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2021/695 
(
24
)
, eller andre instrumenter, der er relevante for kritiske enheders modstandsdygtighed.
(40)
Medlemsstaterne bør sikre, at deres kompetente myndigheder har visse specifikke beføjelser til at sikre en korrekt anvendelse og håndhævelse af dette direktiv i forbindelse med kritiske enheder, når disse enheder hører under deres jurisdiktion som fastsat i dette direktiv. Disse beføjelser bør navnlig omfatte beføjelse til at foretage inspektioner og revision, til at føre tilsyn, til at kræve, at kritiske enheder fremlægger oplysninger og dokumentation vedrørende de foranstaltninger, som de har truffet for at opfylde deres forpligtelser, og, hvor det er nødvendigt, til at udstede påbud for at afhjælpe konstaterede overtrædelser. Når medlemsstaterne udsteder sådanne påbud, bør de ikke kræve foranstaltninger, der går ud over, hvad der er nødvendigt og rimeligt for at sikre, at den pågældende kritiske enhed opfylder forpligtelserne, navnlig under hensyntagen til overtrædelsens alvor og den pågældende kritiske enheds økonomiske formåen. Mere generelt bør disse beføjelser ledsages af passende og effektive garantier, der fastsættes i national ret i overensstemmelse med Den Europæiske Unions charter om grundlæggende rettigheder. Ved vurderingen af, om en kritisk enhed opfylder sine forpligtelser som fastsat i dette direktiv, bør de kompetente myndigheder i henhold til dette direktiv kunne anmode de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 om at udøve deres tilsyns- og håndhævelsesbeføjelser over for en enhed i henhold til nævnte direktiv, som er identificeret som kritisk enhed i henhold til nærværende direktiv. De kompetente myndigheder i henhold til nærværende direktiv og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 bør samarbejde og udveksle oplysninger med henblik herpå.
(41)
For at dette direktiv kan anvendes på en effektiv og konsekvent måde, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i TEUF med henblik på at supplere dette direktiv ved at udarbejde en liste over væsentlige tjenester. Denne liste bør anvendes af kompetente myndigheder med henblik på at foretage medlemsstatsrisikovurderinger og identificere kritiske enheder i henhold til dette direktiv. I lyset af dette direktivs tilgang med minimumsharmonisering er denne liste ikkeudtømmende, og medlemsstaterne kan supplere den med yderligere væsentlige tjenester på nationalt plan for at tage hensyn til særlige nationale forhold i forbindelse med levering af væsentlige tjenester. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 
(
25
)
. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelse af delegerede retsakter.
(42)
For at sikre ensartede betingelser for gennemførelsen af dette direktiv bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
26
)
.
(43)
Målene for dette direktiv, nemlig at sikre at tjenester, der er væsentlige for opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter, leveres uhindret på det indre marked, og at styrke modstandsdygtigheden af kritiske enheder, som leverer sådanne tjenester, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af foranstaltningens virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel 5, går dette direktiv ikke videre, end hvad der er nødvendigt for at nå disse mål.
(44)
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
27
)
 og afgav udtalelse den 11. august 2021.
(45)
Direktiv 2008/114/EF bør derfor ophæves —
VEDTAGET DETTE DIREKTIV:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Genstand og anvendelsesområde
1.   Ved dette direktiv:
a)
fastsættes forpligtelser for medlemsstaterne til at træffe specifikke foranstaltninger med henblik på at sikre, at tjenester, der er væsentlige for opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter inden for anvendelsesområdet for artikel 114 i TEUF, leveres uhindret på det indre marked, navnlig forpligtelser til at identificere kritiske enheder og til at støtte kritiske enheder i at opfylde de forpligtelser, som de er pålagt
b)
fastsættes forpligtelser for kritiske enheder med henblik på at styrke deres modstandsdygtighed og evne til at levere de i litra a) omhandlede tjenester på det indre marked
c)
fastsættes regler for:
i)
tilsyn med kritiske enheder
ii)
håndhævelse
iii)
identifikation af kritiske enheder af særlig europæisk betydning og for rådgivende missioner for at vurdere de foranstaltninger, som sådanne enheder har truffet for at opfylde deres forpligtelser i henhold til kapitel III
d)
fastsættes fælles procedurer for samarbejde og rapportering med henblik på anvendelse af dette direktiv
e)
indføres foranstaltninger med henblik på at opnå en høj grad af modstandsdygtighed i kritiske enheder for at sikre levering af væsentlige tjenester i Unionen og forbedre det indre markeds funktion.
2.   Dette direktiv finder ikke anvendelse på spørgsmål, der er omfattet af direktiv (EU) 2022/2555, jf. dog nærværende direktivs artikel 8. I lyset af forbindelsen mellem kritiske enheders fysiske sikkerhed og cybersikkerhed sikrer medlemsstaterne en koordineret gennemførelse af nærværende direktiv og direktiv (EU) 2022/2555.
3.   Hvor bestemmelser i sektorspecifikke EU-retsakter kræver, at kritiske enheder træffer foranstaltninger for at styrke deres modstandsdygtighed, og hvor disse krav er anerkendt af medlemsstaterne som svarende mindst til de tilsvarende forpligtelser, der er fastsat i dette direktiv, finder de relevante bestemmelser i dette direktiv, herunder bestemmelsen om tilsyn og håndhævelse i kapitel VI, ikke anvendelse.
4.   Uden at det berører artikel 346 i TEUF, udveksles oplysninger, der er fortrolige i henhold til EU-regler eller nationale regler, såsom regler om forretningshemmeligheder, kun med Kommissionen og andre relevante myndigheder i overensstemmelse med dette direktiv, hvor denne udveksling er nødvendig for anvendelsen af dette direktiv. De udvekslede oplysninger begrænses til, hvad der er relevant og forholdsmæssigt under hensyntagen til formålet med udvekslingen. Udvekslingen af oplysninger skal bevare de pågældende oplysningers fortrolighed og beskytte de kritiske enheders sikkerhed og kommercielle interesser, samtidig med at medlemsstaternes sikkerhed respekteres.
5.   Dette direktiv berører ikke medlemsstaternes ansvar for at beskytte national sikkerhed og forsvar og deres beføjelse til at beskytte andre væsentlige statslige funktioner, herunder sikring af statens territoriale integritet og opretholdelse af lov og orden.
6.   Dette direktiv finder ikke anvendelse på offentlige forvaltningsenheder, som udfører deres aktiviteter indenfor national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger.
7.   Medlemsstaterne kan beslutte, at artikel 11 og kapitel III, IV og VI helt eller delvist ikke finder anvendelse på specifikke kritiske enheder, der udfører aktiviteter inden for national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger, eller som udelukkende leverer tjenester til de offentlige forvaltningsenheder, der er omhandlet i nærværende artikels stk. 6.
8.   De forpligtelser, der er fastsat i dette direktiv, omfatter ikke meddelelse af oplysninger, hvis videregivelse ville stride mod væsentlige interesser med hensyn til medlemsstaternes national sikkerhed, offentlig sikkerhed eller forsvar.
9.   Dette direktiv berører ikke EU-retten om beskyttelse af personoplysninger, navnlig Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
28
)
 og Europa-Parlamentets og Rådets direktiv 2002/58/EF 
(
29
)
.
Artikel 2
Definitioner
I dette direktiv forstås ved:
1)
»kritisk enhed«: en offentlig eller privat enhed, som er blevet identificeret af en medlemsstat i overensstemmelse med artikel 6 som tilhørende en af kategorierne anført i tredje kolonne i tabellen i bilaget
2)
»modstandsdygtighed«: en kritisk enheds evne til at forebygge, beskytte mod, reagere på, modstå, afbøde, absorbere, tilpasse sig og komme på fode igen efter en hændelse
3)
»hændelse«: en begivenhed, der har potentiale til i betydelig grad at forstyrre, eller som forstyrrer, leveringen af en væsentlig tjeneste, herunder når den påvirker de nationale systemer, der sikrer retsstatsprincippet
4)
»kritisk infrastruktur«: et aktiv, en facilitet, udstyr, et netværk eller et system, eller en del af et aktiv, en facilitet, udstyr, et netværk eller et system, som er nødvendig(t) for leveringen af en væsentlig tjeneste
5)
»væsentlig tjeneste«: en tjeneste, der er afgørende for opretholdelsen af vitale samfundsmæssige funktioner, økonomiske aktiviteter, folkesundhed og offentlig sikkerhed eller miljøet
6)
»risiko«: potentialet for tab eller forstyrrelse som følge af en hændelse, der skal udtrykkes som en kombination af størrelsen af et sådant tab eller en sådan forstyrrelse og sandsynligheden for, at hændelsen indtræffer
7)
»risikovurdering«: den samlede proces med henblik på at bestemme arten og omfanget af en risiko ved at identificere og analysere potentielle relevante trusler, sårbarheder og farer, der kunne føre til en hændelse, og ved at evaluere det potentielle tab eller den potentielle forstyrrelse af leveringen af en væsentlig tjeneste forårsaget af denne hændelse
8)
»standard«: en standard som defineret i artikel 2, nr. 1), i Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 
(
30
)
9)
»teknisk specifikation«: en teknisk specifikation som defineret i artikel 2, nr. 4), i forordning (EU) nr. 1025/2012
10)
»offentlig forvaltningsenhed«: en enhed, der er anerkendt som sådan i en medlemsstat i overensstemmelse med national ret, med undtagelse af retsvæsenet, parlamenter og centralbanker, som opfylder følgende kriterier:
a)
den er oprettet med henblik på at opfylde almennyttige formål og har ikke industriel eller kommerciel karakter
b)
den har status som juridisk person eller er ved lov berettiget til at handle på vegne af en anden enhed med status som juridisk person
c)
den finansieres overvejende af statslige myndigheder eller af andre offentligretlige organer på centralt niveau, er underlagt ledelsestilsyn af disse myndigheder eller organer, eller har et administrations-, ledelses- eller tilsynsorgan, hvor mere end halvdelen af medlemmerne udpeges af statslige myndigheder eller andre offentligretlige organer på centralt niveau
d)
den har beføjelse til at rette administrative eller lovgivningsmæssige afgørelser til fysiske eller juridiske personer, der påvirker deres rettigheder i forbindelse med grænseoverskridende bevægelighed for personer, varer, tjenester eller kapital.
Artikel 3
Minimumsharmonisering
Dette direktiv er ikke til hinder for, at medlemsstaterne vedtager eller opretholder bestemmelser i national ret med henblik på at opnå et højere niveau for kritiske enheders modstandsdygtighed, forudsat at sådanne bestemmelser er i overensstemmelse med medlemsstaternes forpligtelser, der er fastsat i EU-retten.
KAPITEL II
NATIONALE RAMMER FOR KRITISKE ENHEDERS MODSTANDSDYGTIGHED
Artikel 4
Strategi for kritiske enheders modstandsdygtighed
1.   Efter en høring, der i det omfang, det er praktisk muligt, er åben for relevante interessenter, vedtager hver medlemsstat senest den 17. januar 2026 en strategi for styrkelse af kritiske enheders modstandsdygtighed (»strategien«). Byggende på relevante eksisterende nationale og sektorspecifikke strategier, planer eller lignende dokumenter skal strategien indeholde strategiske mål og politikforanstaltninger med henblik på at opnå og opretholde en høj grad af modstandsdygtighed i kritiske enheder og mindst omfatte de sektorer, der er anført i bilaget.
2.   Hver strategi skal mindst indeholde følgende elementer:
a)
strategiske mål og prioriteter med henblik på at styrke kritiske enheders overordnede modstandsdygtighed under hensyntagen til grænseoverskridende og tværsektoriel afhængighed og indbyrdes afhængighed
b)
en forvaltningsramme for at nå de strategiske mål og prioriteter, herunder en beskrivelse af roller og ansvarsområder for de forskellige myndigheder, kritiske enheder og andre parter, der er involveret i gennemførelsen af strategien
c)
en beskrivelse af de foranstaltninger, der er nødvendige for at styrke kritiske enheders overordnede modstandsdygtighed, herunder en beskrivelse af risikovurderingen omhandlet i artikel 5
d)
en beskrivelse af den proces, hvorved kritiske enheder identificeres
e)
en beskrivelse af processen for støtte til kritiske enheder i overensstemmelse med dette kapitel, herunder foranstaltninger til styrkelse af samarbejdet mellem den offentlige sektor på den ene side og den private sektor og offentlige og private enheder på den anden side
f)
en liste over de vigtigste myndigheder og relevante interessenter, ud over kritiske enheder, der er involveret i gennemførelsen af strategien
g)
en politikramme for koordinering mellem de kompetente myndigheder i henhold til dette direktiv (»de kompetente myndigheder«) og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 med henblik på udveksling af oplysninger om cybersikkerhedsrisici, cybertrusler og cyberhændelser og ikkecyberrisici, -trusler og -hændelser samt udøvelse af tilsynsopgaver
h)
en beskrivelse af allerede indførte foranstaltninger, der har til formål at lette opfyldelsen af forpligtelser i henhold til dette direktivs kapitel III for små og mellemstore virksomheder i den i bilaget til Kommissionens henstilling 2003/361/EF 
(
31
)
 anvendte betydning, som den pågældende medlemsstat har identificeret som kritiske enheder.
Efter en høring, der i det omfang, det er praktisk muligt, er åben for relevante interessenter, ajourfører medlemsstaterne deres strategier mindst hvert fjerde år.
3.   Medlemsstaterne meddeler Kommissionen deres strategier og væsentlige ajourføringer heraf inden for tre måneder efter deres vedtagelse.
Artikel 5
Medlemsstaternes risikovurdering
1.   Kommissionen tillægges beføjelse til at vedtage en delegeret retsakt i overensstemmelse med artikel 23 senest den 17. november 2023 for at supplere dette direktiv ved at udarbejde en ikkeudtømmende liste over væsentlige tjenester i sektorerne og delsektorerne anført i bilaget. De kompetente myndigheder bruger denne liste over væsentlige tjenester til at foretage en risikovurdering (»medlemsstatsrisikovurdering«) senest den 17. januar 2026, når det er nødvendigt efterfølgende, og mindst hvert fjerde år. De kompetente myndigheder bruger medlemsstatsrisikovurderinger med henblik på at identificere kritiske enheder i overensstemmelse med artikel 6 og til at bistå disse kritiske enheder med at træffe foranstaltninger i henhold til artikel 13.
Medlemsstatsrisikovurderinger skal tage højde for de relevante naturlige og menneskeskabte risici, herunder af tværsektoriel eller grænseoverskridende karakter, ulykker, naturkatastrofer, folkesundhedskriser og hybride trusler eller andre antagonistiske trusler, herunder terrorhandlinger som fastsat i Europa-Parlamentets og Rådets direktiv (EU) 2017/541 
(
32
)
.
2.   Ved foretagelse af medlemsstatsrisikovurderinger tager medlemsstaterne mindst hensyn til følgende:
a)
den generelle risikovurdering, som foretages i henhold til artikel 6, stk. 1, i afgørelse nr. 1313/2013/EU
b)
andre relevante risikovurderinger, der foretages i overensstemmelse med kravene i de relevante sektorspecifikke EU-retsakter, herunder Europa-Parlamentets og Rådets forordning (EU) 2017/1938 
(
33
)
 og (EU) 2019/941 
(
34
)
 og Europa-Parlamentets og Rådets direktiv 2007/60/EF 
(
35
)
 og 2012/18/EU 
(
36
)
c)
de relevante risici som følge af omfanget af afhængighed mellem de sektorer, der er anført i bilaget, herunder som følge af omfanget af afhængighed af enheder beliggende i andre medlemsstater og tredjelande, og den indvirkning, som en betydelig forstyrrelse i en sektor kan have på andre sektorer, herunder eventuelle betydelige risici for borgerne og det indre marked
d)
eventuelle oplysninger om hændelser, der er underrettet om i overensstemmelse med artikel 15.
Med henblik på første afsnit, litra c), samarbejder medlemsstaterne med andre medlemsstaters og tredjelandes kompetente myndigheder, alt efter hvad der er relevant.
3.   Medlemsstaterne stiller, hvor det er relevant gennem deres centrale kontaktpunkter, de relevante elementer i medlemsstatsrisikovurderinger til rådighed for de kritiske enheder, som de har identificeret i overensstemmelse med artikel 6. Medlemsstaterne sikrer, at de oplysninger, der gives til de kritiske enheder, bistår dem med at foretage deres risikovurdering i henhold til artikel 12 og træffe foranstaltninger for at sikre deres modstandsdygtighed i henhold til artikel 13.
4.   Inden for tre måneder efter at have foretaget en medlemsstatsrisikovurdering meddeler en medlemsstat Kommissionen relevante oplysninger om risikotyperne identificeret som følge af, og resultaterne af, denne medlemsstatsrisikovurdering pr. sektor og delsektor anført i bilaget.
5.   Kommissionen udarbejder i samarbejde med medlemsstaterne en frivillig fælles rapporteringsmodel med henblik på overholdelse af stk. 4.
Artikel 6
Identifikation af kritiske enheder
1.   Senest den 17. juli 2026 identificerer medlemsstaterne de kritiske enheder for sektorerne og delsektorerne anført i bilaget.
2.   Når en medlemsstat identificerer kritiske enheder i henhold til stk. 1, tager den hensyn til resultaterne af dens medlemsstatsrisikovurdering og dens strategi og anvender alle følgende kriterier:
a)
enheden leverer en eller flere væsentlige tjenester
b)
enheden opererer og dens kritiske infrastruktur er beliggende på denne medlemsstats område og
c)
en hændelse vil have betydelige forstyrrende virkninger som fastslået i overensstemmelse med artikel 7, stk. 1, på enhedens levering af en eller flere væsentlige tjenester eller på leveringen af andre væsentlige tjenester i sektorerne anført i bilaget, som er afhængige af denne eller disse væsentlige tjenester.
3.   Hver medlemsstat opstiller en liste over de kritiske enheder, der er identificeret i henhold til stk. 2, og sikrer, at disse kritiske enheder inden for en måned efter denne identifikation underrettes om, at de er blevet identificeret som kritiske enheder. Medlemsstaterne orienterer disse kritiske enheder om deres forpligtelser i henhold til kapitel III og IV og om, fra hvilken dato disse forpligtelser finder anvendelse på dem, uden at det berører artikel 8. Medlemsstaterne orienterer kritiske enheder i sektorerne i punkt 3, 4 og 8 i tabellen i bilaget, om, at de ikke har nogen forpligtelser i henhold til kapitel III og IV, medmindre andet er fastsat i nationale foranstaltninger.
For de berørte kritiske enheder finder kapitel III anvendelse fra ti måneder efter datoen for underretningen omhandlet i dette stykkes første afsnit.
4.   Medlemsstaterne sikrer, at deres kompetente myndigheder i henhold til dette direktiv underretter de kompetente myndigheder i henhold til direktiv (EU) 2022/2555, om identiteten af de kritiske enheder, som de har identificeret i henhold til denne artikel, inden for en måned efter denne identifikation. Af underretningen skal det, hvor det er relevant, fremgå, at de pågældende kritiske enheder er enheder i sektorerne i punkt 3, 4 og 8 i tabellen i bilaget til nærværende direktiv, og ikke har nogen forpligtelser i henhold til nærværende direktivs kapitel III og IV.
5.   Medlemsstaterne gennemgår, hvor det er nødvendigt og under alle omstændigheder mindst hvert fjerde år, listen over identificerede kritiske enheder omhandlet i stk. 3 og ajourfører, hvor det er relevant, denne. Hvis disse ajourføringer fører til identifikation af yderligere kritiske enheder, finder stk. 3 og 4 anvendelse for de yderligere kritiske enheder. Medlemsstaterne sikrer desuden, at enheder, der ikke længere identificeres som kritiske enheder som følge af en sådan ajourføring, rettidigt underrettes herom og om, at de ikke længere er omfattet af forpligtelserne i henhold til kapitel III fra datoen for modtagelsen af denne orientering.
6.   Kommissionen udarbejder i samarbejde med medlemsstaterne henstillinger og ikkebindende retningslinjer for at bistå medlemsstaterne med at identificere kritiske enheder.
Artikel 7
Betydelig forstyrrende virkning
1.   Ved fastlæggelsen af betydningen af en forstyrrende virkning som omhandlet i artikel 6, stk. 2, litra c), skal medlemsstaterne tage hensyn til følgende kriterier:
a)
antal brugere, der er afhængige af den væsentlige tjeneste, som udbydes af den berørte enhed
b)
omfanget af andre i bilaget anførte sektorers og delsektorers afhængighed af den pågældende væsentlige tjeneste
c)
den indvirkning, som hændelser kunne have med hensyn til omfang og varighed på økonomiske og samfundsmæssige aktiviteter, miljøet, den offentlige sikkerhed eller befolkningens sundhed
d)
enhedens markedsandel på markedet for den berørte væsentlige tjeneste eller de berørte væsentlige tjenester
e)
det geografiske område, der kunne blive berørt af en hændelse, herunder eventuel grænseoverskridende indvirkning, under hensyntagen til den sårbarhed, som er forbundet med den grad af afsondrethed, der kendetegner visse typer af geografiske områder, såsom øregioner, afsidesliggende regioner eller bjergområder
f)
enhedens betydning med hensyn til at opretholde et tilstrækkeligt niveau for den væsentlige tjeneste under hensyntagen til tilgængelighed af alternative måder at levere denne væsentlige tjeneste på.
2.   Efter identifikationen af de kritiske enheder i henhold til artikel 6, stk. 1, sender hver medlemsstat uden unødigt ophold Kommissionen følgende oplysninger:
a)
en liste over væsentlige tjenester i pågældende medlemsstat, hvis der er yderligere væsentlige tjenester sammenlignet med den i artikel 5, stk. 1, omhandlede liste over væsentlige tjenester
b)
antallet af identificerede kritiske enheder for hver sektor og delsektor anført i bilaget og for hver væsentlig tjeneste
c)
eventuelle tærskler, der anvendes til at specificere et eller flere af kriterierne i stk. 1.
Tærskler som omhandlet i første afsnits litra c) kan forelægges som de er eller i aggregeret form.
Medlemsstaterne sender efterfølgende de i første afsnit omhandlede oplysninger, når det er nødvendigt, og mindst hvert fjerde år.
3.   Kommissionen vedtager efter høring af Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19 ikkebindende retningslinjer for at lette anvendelsen af kriterierne omhandlet i denne artikels stk. 1 under hensyntagen til de i denne artikels stk. 2 omhandlede oplysninger.
Artikel 8
Kritiske enheder i sektorerne bankvæsen, finansiel markedsinfrastruktur og digital infrastruktur
Medlemsstaterne sikrer, at artikel 11 og kapitel III, IV og VI ikke finder anvendelse på kritiske enheder, som de har identificeret i sektorerne i punkt 3, 4 og 8 i tabellen i bilaget. Medlemsstaterne kan vedtage eller opretholde bestemmelser i national ret for at opnå et højere niveau for disse kritiske enheders modstandsdygtighed, forudsat at disse bestemmelser er i overensstemmelse med gældende EU-ret.
Artikel 9
Kompetente myndigheder og centralt kontaktpunkt
1.   Hver medlemsstat udpeger eller opretter en eller flere kompetente myndigheder, der er ansvarlige for korrekt anvendelse og, hvor det er nødvendigt, håndhævelse af reglerne fastsat i dette direktiv på nationalt plan.
For så vidt angår kritiske enheder i sektorerne i punkt 3 og 4 i tabellen i dette direktivs bilag, skal de kompetente myndigheder i princippet være de kompetente myndigheder, som er omhandlet i artikel 46 i forordning (EU) 2022/2554. For så vidt angår de kritiske enheder i den sektor, der er anført i punkt 8 i tabellen i bilaget til nærværende direktiv, skal de kompetente myndigheder i princippet være de kompetente myndigheder i henhold direktiv (EU) 2022/2555. Medlemsstaterne kan udpege en anden kompetent myndighed for sektorerne i punkt 3, 4 og 8 i tabellen i bilaget til nærværende direktiv i overensstemmelse med eksisterende nationale rammer.
Hvor medlemsstaterne udpeger eller opretter mere end én kompetent myndighed, skal de klart angive hver berørt myndigheds opgaver og sikre, at de samarbejder effektivt om at udføre deres opgaver i henhold til dette direktiv, herunder med hensyn til udpegelsen af et centralt kontaktpunkt og dets aktiviteter, der er omhandlet i stk. 2.
2.   Hver medlemsstat udpeger eller opretter et centralt kontaktpunkt til at varetage en forbindelsesfunktion med henblik på at sikre grænseoverskridende samarbejde med de andre medlemsstaters centrale kontaktpunkter og Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19 (»centralt kontaktpunkt«). Hvis det er relevant, udpeger en medlemsstat sit centrale kontaktpunkt inden for en kompetent myndighed. Hvis det er relevant, kan en medlemsstat bestemme, at dens centrale kontaktpunkt også udøver en forbindelsesfunktion med Kommissionen og sikrer samarbejde med tredjelande.
3.   Senest den 17. juli 2028 og derefter hvert andet år forelægger de centrale kontaktpunkter en sammenfattende rapport for Kommissionen og for Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19 om de underretninger, de har modtaget, herunder antallet af underretninger, arten af de hændelser, der er underrettet om, og de tiltag, der er taget i overensstemmelse med artikel 15, stk. 3.
Kommissionen udarbejder i samarbejde med Gruppen for Kritiske Enheders Modstandsdygtighed en fælles rapporteringsmodel. De kompetente myndigheder kan anvende denne fælles rapporteringsmodel på frivillig basis med henblik på at forelægge sammenfattende rapporter som omhandlet i første afsnit.
4.   Hver medlemsstat sikrer, at dens kompetente myndighed og dets centrale kontaktpunkt har beføjelser og tilstrækkelige finansielle, menneskelige og tekniske ressourcer til på en virkningsfuld og effektiv måde at kunne udføre de opgaver, som de har fået pålagt.
5.   Hver medlemsstat sikrer, at dens kompetente myndighed, når det er hensigtsmæssigt og i overensstemmelse med EU-retten og national ret, hører og samarbejder med andre relevante nationale myndigheder, herunder myndigheder med ansvar for civilbeskyttelse, retshåndhævelse og beskyttelse af personoplysninger, samt med kritiske enheder og med relevante interesserede parter.
6.   Hver medlemsstat sikrer, at dens kompetente myndighed i henhold til dette direktiv samarbejder og udveksler oplysninger med kompetente myndigheder i henhold til direktiv (EU) 2022/2555 om cybersikkerhedsrisici, cybertrusler og cyberhændelser og ikkecyberrisici, -trusler og -hændelser, som påvirker kritiske enheder, herunder med hensyn til relevante foranstaltninger, der træffes af dens kompetente myndighed og kompetente myndigheder i henhold til direktiv (EU) 2022/2555.
7.   Hver medlemsstat underretter Kommissionen om identiteten af den kompetente myndighed og det centrale kontaktpunkt inden for tre måneder efter udpegelsen eller oprettelsen af disse, samt om deres opgaver og ansvarsområder i henhold til dette direktiv, deres kontaktoplysninger og eventuelle efterfølgende ændringer heraf. Medlemsstaterne underretter Kommissionen, hvis de beslutter at udpege andre myndigheder end dem, der er omhandlet i stk. 1, andet afsnit, som de kompetente myndigheder for så vidt angår de kritiske enheder i sektorerne i punkt 3, 4 og 8 i tabellen i bilaget. Hver medlemsstat offentliggør identiteten af den kompetente myndighed og det centrale kontaktpunkt.
8.   Kommissionen gør en liste over de centrale kontaktpunkter offentligt tilgængelig.
Artikel 10
Medlemsstaternes støtte til kritiske enheder
1.   Medlemsstaterne støtter kritiske enheder med at styrke deres modstandsdygtighed. Denne støtte kan omfatte udvikling af vejledningsmaterialer og -metoder, støtte til tilrettelæggelse af øvelser for at afprøve deres modstandsdygtighed, og rådgivning og uddannelse af personale i kritiske enheder. Uden at dette berører gældende statsstøtteregler kan medlemsstaterne stille finansielle ressourcer til rådighed for kritiske enheder, hvor det er nødvendigt og begrundet i mål af samfundsmæssig interesse.
2.   Hver medlemsstat sikrer, at dens kompetente myndighed samarbejder og udveksler oplysninger og god praksis med kritiske enheder i de sektorer, der er anført i bilaget.
3.   Medlemsstaterne letter frivillig udveksling af oplysninger mellem kritiske enheder vedrørende spørgsmål, der er omfattet af dette direktiv, i overensstemmelse med EU-retten og national ret om navnlig klassificerede og følsomme informationer, konkurrence og beskyttelse af personoplysninger.
Artikel 11
Samarbejde mellem medlemsstaterne
1.   Når det er relevant, konsulterer medlemsstaterne hinanden vedrørende kritiske enheder med henblik på at sikre en konsekvent anvendelse af dette direktiv. Sådanne konsultationer skal navnlig finde sted vedrørende kritiske enheder, der:
a)
anvender kritisk infrastruktur, som er fysisk sammenkoblet mellem to eller flere medlemsstater
b)
er en del af selskabsstrukturer, som er sammenkoblet eller forbundet med kritiske enheder i en anden medlemsstat
c)
er blevet identificeret som kritiske enheder i en medlemsstat, og som leverer væsentlige tjenester til eller i andre medlemsstater.
2.   De i stk. 1 omhandlede konsultationer tager sigte på at styrke kritiske enheders modstandsdygtighed og, hvor det er muligt, mindske disses administrative byrde.
KAPITEL III
KRITISKE ENHEDERS MODSTANDSDYGTIGHED
Artikel 12
Kritiske enheders risikovurdering
1.   Uanset fristen i artikel 6, stk. 3, andet afsnit, sikrer medlemsstaterne, at kritiske enheder inden for ni måneder efter modtagelsen af den i artikel 6, stk. 3, omhandlede underretning, når det er nødvendigt efterfølgende, og mindst hvert fjerde år, på grundlag af medlemsstatsrisikovurderinger og andre relevante informationskilder, foretager en risikovurdering for at vurdere alle relevante risici, der kunne forstyrre leveringen af deres væsentlige tjenester (»kritiske enheders risikovurderinger«).
2.   Kritiske enheders risikovurderinger skal tage højde for alle relevante naturlige og menneskeskabte risici, der kunne føre til en hændelse, herunder af tværsektoriel eller grænseoverskridende karakter, ulykker, naturkatastrofer, folkesundhedskriser og hybride trusler og andre antagonistiske trusler, herunder terrorhandlinger som fastsat i direktiv (EU) 2017/541. En kritisk enheds risikovurdering skal tage hensyn til det omfang andre sektorer anført i bilaget afhænger af den væsentlige tjeneste, der leveres af den kritiske enhed, og det omfang den kritiske enheds afhænger af væsentlige tjenester, der leveres af andre enheder i sådanne andre sektorer, herunder i nabomedlemsstater og tredjelande hvor det er relevant.
Hvor en kritisk enhed har foretaget andre risikovurderinger eller udarbejdet dokumenter i henhold til forpligtelser i andre retsakter, der er relevante for dens risikovurdering, kan den anvende disse vurderinger og dokumenter til at opfylde de krav, der er fastsat i denne artikel. Ved udøvelsen af sine tilsynsfunktioner kan den kompetente myndighed erklære, at en kritisk enheds eksisterende risikovurdering, som behandler de risici og det omfang af afhængighed, der er omhandlet i dette stykkes første afsnit, helt eller delvist opfylder forpligtelserne i henhold til denne artikel.
Artikel 13
Kritiske enheders modstandsdygtighedsforanstaltninger
1.   Medlemsstaterne sikrer, at kritiske enheder træffer passende og forholdsmæssige tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger for at sikre deres modstandsdygtighed på grundlag af de relevante oplysninger, som medlemsstaterne har givet om medlemsstatsrisikovurderingen, og af resultaterne af de kritiske enheders risikovurderinger, herunder foranstaltninger, der er nødvendige for at:
a)
forhindre hændelser i at indtræffe under behørig hensyntagen til katastroferisikoreduktions- og klimatilpasningsforanstaltninger
b)
sikre tilstrækkelig fysisk beskyttelse af deres lokaler og kritiske infrastruktur under behørig hensyntagen til f.eks. hegn, barrierer, værktøjer og rutiner til overvågning af perimetre, detektionsudstyr og adgangskontrol
c)
reagere på, modstå og afbøde følgerne af hændelser under behørig hensyntagen til gennemførelsen af risiko- og krisestyringsprocedurer og -protokoller samt varslingsrutiner
d)
sikre genopretning efter hændelser under behørig hensyntagen til forretningskontinuitetsforanstaltninger og identifikation af alternative forsyningskæder for at genoptage leveringen af væsentlige tjenester
e)
sikre passende medarbejdersikkerhedsstyring under behørig hensyntagen til foranstaltninger såsom fastsættelse af kategorier af personale, der udøver kritiske funktioner, fastlæggelse af adgangsrettigheder til lokaler, kritisk infrastruktur og følsomme oplysninger, fastsættelse af procedurer for baggrundskontrol i overensstemmelse med artikel 14 og udpegelse af kategorier af personer, som er forpligtet til at gennemgå sådanne baggrundskontrol, samt fastlæggelse af passende uddannelseskrav og kvalifikationer
f)
øge bevidstheden blandt det relevante personale om de foranstaltninger, der er omhandlet i litra a)-e), under behørig hensyntagen til uddannelseskurser, informationsmateriale og øvelser.
Med henblik på første afsnits litra e) sikrer medlemsstaterne, at kritiske enheder tager hensyn til eksterne tjenesteudbyderes personale, når der fastsættes kategorier af personale, som udøver kritiske funktioner.
2.   Medlemsstaterne sikrer, at kritiske enheder har indført og anvender en plan for modstandsdygtighed eller et eller flere tilsvarende dokumenter, der beskriver foranstaltningerne truffet i henhold til stk. 1. Hvis kritiske enheder har udarbejdet dokumenter eller truffet foranstaltninger i henhold til forpligtelser i andre retsakter, der er relevante for foranstaltningerne omhandlet i stk. 1, kan de anvende disse dokumenter og foranstaltninger til at opfylde de krav, der er fastsat i denne artikel. Den kompetente myndighed kan ved udøvelsen af sine tilsynsfunktioner erklære, at en kritisk enheds eksisterende modstandsdygtighedsstyrkende foranstaltninger, der på en passende og forholdsmæssig måde tager hånd om de tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, som er omhandlet i stk. 1, helt eller delvist opfylder forpligtelserne i henhold til denne artikel.
3.   Medlemsstaterne sikrer, at hver kritisk enhed udpeger en forbindelsesofficer eller tilsvarende som kontaktpunkt for de kompetente myndigheder.
4.   Efter anmodning fra en medlemsstat, der har identificeret en kritisk enhed, og med samtykke fra den berørte kritiske enhed tilrettelægger Kommissionen rådgivende missioner i overensstemmelse med de ordninger, som er fastsat i artikel 18, stk. 6, 8 og 9, for at rådgive den kritiske enhed om opfyldelsen af dens forpligtelser i henhold til kapitel III. Den rådgivende mission aflægger rapport til Kommissionen, den pågældende medlemsstat og den berørte kritiske enhed om sine resultater.
5.   Kommissionen vedtager efter høring af Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19 ikkebindende retningslinjer for nærmere at præcisere de tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, der kan træffes i henhold til denne artikels stk. 1.
6.   Kommissionen vedtager gennemførelsesretsakter med henblik på at fastsætte de nødvendige tekniske og metodiske specifikationer vedrørende anvendelsen af de i denne artikels stk. 1 omhandlede foranstaltninger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 24, stk. 2.
Artikel 14
Baggrundskontrol
1.   Medlemsstaterne angiver, på hvilke betingelser en kritisk enhed i behørigt begrundede tilfælde og under hensyntagen til medlemsstatsrisikovurderingen har tilladelse til at indgive anmodninger om baggrundskontrol af personer, der:
a)
varetager følsomme opgaver i eller til fordel for en kritisk enhed, navnlig vedrørende den kritiske enheds modstandsdygtighed
b)
er bemyndiget til at få direkte adgang eller fjernadgang til en kritisk enheds lokaler, oplysninger eller kontrolsystemer, herunder i forbindelse med den kritiske enheds sikkerhed
c)
overvejes ansat i stillinger, der hører under kriterierne i litra a) eller b).
2.   Anmodningers som omhandlet i denne artikels stk. 1 vurderes inden for en rimelig frist og behandles i overensstemmelse med national ret og nationale procedurer samt relevant og gældende EU-ret, herunder forordning (EU) 2016/679 og Europa-Parlamentets og Rådets direktiv (EU) 2016/680 
(
37
)
. Baggrundskontrol skal være forholdsmæssig og strengt begrænset til, hvad der er nødvendigt. Den foretages udelukkende med henblik på at vurdere en potentiel sikkerhedsrisiko for den berørte kritiske enhed.
3.   En baggrundskontrol som omhandlet i stk. 1 skal mindst:
a)
bekræfte identiteten af den person, der er genstand for baggrundskontrollen
b)
kontrollere strafferegistrene for den pågældende person for så vidt angår lovovertrædelser, der ville være relevante for en bestemt stilling.
Når medlemsstater foretager baggrundskontrol, skal de anvende det europæiske informationssystem vedrørende strafferegistre i overensstemmelse med procedurerne i rammeafgørelse 2009/315/RIA og, hvor det er relevant og finder anvendelse, forordning (EU) 2019/816 med henblik på indhentning af oplysninger fra andre medlemsstaters strafferegistre. De centrale myndigheder omhandlet i artikel 3, stk. 1, i rammeafgørelse 2009/315/RIA og i artikel 3, nr. 5), i forordning (EU) 2019/816, besvarer anmodninger om sådanne oplysninger inden for ti arbejdsdage efter datoen for modtagelsen af anmodningen i overensstemmelse med artikel 8, stk. 1, i rammeafgørelse 2009/315/RIA.
Artikel 15
Underretning om hændelser
1.   Medlemsstaterne sikrer, at kritiske enheder uden unødigt ophold underretter den kompetente myndighed om hændelser, der i betydelig grad forstyrrer eller har potentiale til i betydelig grad at forstyrre leveringen af væsentlige tjenester. Medlemsstaterne sikrer, at kritiske enheder, med mindre det operationelt ikke er muligt, indgiver en første underretning senest 24 timer, efter at være blevet opmærksom på en hændelse, efterfulgt, hvor det er relevant, af en detaljeret rapport senest en måned derefter. Med henblik på at fastslå en forstyrrelses omfang tages navnlig følgende kriterier i betragtning:
a)
antallet og andelen af brugere, der er berørt af forstyrrelsen
b)
forstyrrelsens varigheden
c)
det geografiske område, der er berørt af forstyrrelsen, idet der tages hensyn til, om det er et geografisk isoleret område.
Hvor en hændelse har eller kunne have betydelig indvirkning på kontinuiteten i leveringen af væsentlige tjenester til eller i seks eller flere medlemsstater, underretter de kompetente myndigheder i de medlemsstater, der er berørt af hændelsen, Kommissionen om en denne hændelse.
2.   Underretninger som omhandlet i stk. 1, første afsnit, skal indeholde alle tilgængelige oplysninger, der er nødvendige for, at den kompetente myndighed kan forstå hændelsens art, årsag og mulige konsekvenser, herunder alle tilgængelige oplysninger, der er nødvendige for at fastslå hændelsens eventuelle grænseoverskridende indvirkning. Sådanne underretninger medfører ikke et øget ansvar for kritiske enheder.
3.   På grundlag af oplysningerne leveret af en kritisk enhed i en underretning som omhandlet i stk. 1 orienterer den relevante kompetente myndighed via det centrale kontaktpunkt andre berørte medlemsstaters centrale kontaktpunkter, hvis hændelsen har eller kunne have betydelig indvirkning på kritiske enheder og kontinuiteten i leveringen af væsentlige tjenester til eller i en eller flere andre medlemsstater.
Centrale kontaktpunkter, der fremsender og modtager oplysninger i medfør af første afsnit, behandler i overensstemmelse med EU-retten eller national ret disse oplysninger på en måde, der respekterer deres fortrolighed og beskytter den berørte kritiske enheds sikkerhed og kommercielle interesser.
4.   Så snart som muligt efter modtagelse af en underretning som omhandlet i stk. 1 giver den kompetente myndighed den berørte kritiske enhed relevante opfølgende oplysninger, herunder oplysninger, som kunne understøtte en effektiv reaktion fra denne kritiske enhed på den pågældende hændelse. Medlemsstaterne orienterer offentligheden, hvor de vurderer, at det vil være i offentlighedens interesse at gøre det.
Artikel 16
Standarder
For at fremme en konvergerende gennemførelse af dette direktiv, og hvor det er hensigtsmæssigt og uden at pålægge, eller diskriminere til fordel for, anvendelse af en bestemt type teknologi, tilskynder medlemsstaterne til anvendelsen af europæiske og internationale standarder og tekniske specifikationer af relevans for sikkerheds- og modstandsdygtighedsforanstaltninger, som finder anvendelse på kritiske enheder.
KAPITEL IV
KRITISKE ENHEDER AF SÆRLIG EUROPÆISK BETYDNING
Artikel 17
Identifikation af kritiske enheder af særlig europæisk betydning
1.   En enhed betragtes som en kritisk enhed af særlig europæisk betydning, hvor den:
a)
er blevet identificeret som en kritisk enhed i henhold til artikel 6, stk. 1
b)
leverer de samme eller lignende væsentlige tjenester til eller i seks eller flere medlemsstater og
c)
er blevet underrettet i henhold til nærværende artikels stk. 3.
2.   Medlemsstaterne sikrer, at en kritisk enhed efter den i artikel 6, stk. 3, omhandlede underretning oplyser sin kompetente myndighed, hvis den leverer væsentlige tjenester til eller i seks eller flere medlemsstater. I så fald sikrer medlemsstaterne, at den kritiske enhed oplyser sin kompetente myndighed om de væsentlige tjenester, den leverer til eller i disse medlemsstater, og om de medlemsstater hvortil eller hvori den leverer sådanne væsentlige tjenester. Medlemsstaterne underretter uden unødigt ophold Kommissionen om identiteten af sådanne kritiske enheder samt om de oplysninger de leverer i henhold til nærværende stykke.
Kommissionen konsulterer den kompetente myndighed i den medlemsstat, der identificerede en kritisk enhed som omhandlet i første afsnit, andre berørte medlemsstaters kompetente myndigheder og den pågældende kritiske enhed. Under disse konsultationer oplyser hver medlemsstat Kommissionen, såfremt den finder, at de tjenester, som leveres til denne medlemsstat af den kritiske enhed, er væsentlige tjenester.
3.   Hvis Kommissionen på grundlag af de i denne artikels stk. 2 omhandlede konsultationer konstaterer, at den pågældende kritiske enhed leverer væsentlige tjenester til eller i seks eller flere medlemsstater, underretter Kommissionen den pågældende kritiske enhed gennem dennes kompetente myndighed om, at den anses for at være en kritisk enhed af særlig europæisk betydning, og oplyser denne kritiske enhed om dens forpligtelser i henhold til dette kapitel og om, fra hvilken dato disse forpligtelser finder anvendelse på den. Når Kommissionen har oplyst den kompetente myndighed om sin beslutning om at betragte en kritisk enhed som en kritisk enhed af særlig europæisk betydning, videresender den kompetente myndighed uden unødigt ophold denne underretning til den pågældende kritiske enhed.
4.   Dette kapitel finder anvendelse på den berørte kritiske enhed af særlig europæisk betydning fra datoen for modtagelse af den underretning, der er omhandlet i denne artikels stk. 3.
Artikel 18
Rådgivende missioner
1.   Efter anmodning fra en medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, tilrettelægger Kommissionen en rådgivende mission for at vurdere de foranstaltninger, som denne kritiske enhed har truffet for at opfylde sine forpligtelser i henhold til kapitel III.
2.   På eget initiativ eller efter anmodning fra en eller flere medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, og forudsat at den medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, giver sit samtykke dertil, tilrettelægger Kommissionen en rådgivende mission som omhandlet i nærværende artikels stk. 1.
3.   Efter en begrundet anmodning fra Kommissionen eller en eller flere medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, giver den medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, Kommissionen følgende:
a)
de relevante dele af den kritiske enheds risikovurdering
b)
en oversigt over relevante foranstaltninger, der er truffet i overensstemmelse med artikel 13
c)
tilsyns- eller håndhævelsestiltag, herunder vurderinger af overholdelse eller udstedte påbud, som den kompetente myndighed har taget i henhold til artikel 21 og 22 med hensyn til den pågældende kritiske enhed.
4.   Den rådgivende mission aflægger inden for tre måneder efter afslutningen af den rådgivende mission rapport om sine resultater til Kommissionen, til den medlemsstat, der har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, til de medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, og til den pågældende kritiske enhed.
De medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, analyserer den i første afsnit omhandlede rapport og rådgiver, hvor det er nødvendigt, Kommissionen om, hvorvidt den kritiske enhed af særlig europæisk betydning opfylder sine forpligtelser i henhold til kapitel III, og, hvis det er relevant, hvilke foranstaltninger der kunne træffes for at forbedre den pågældende kritiske enheds modstandsdygtighed.
Kommissionen meddeler på grundlag af den rådgivning, der er omhandlet i dette stykkes andet afsnit, den medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, de medlemsstater, hvortil og hvori den væsentlige tjeneste leveres, og den pågældende kritiske enhed en udtalelse om, hvorvidt den pågældende kritiske enhed opfylder sine forpligtelser i henhold til kapitel III, og, hvis det er relevant, hvilke foranstaltninger der kunne træffes for at forbedre den pågældende kritiske enheds modstandsdygtighed.
Den medlemsstat, der har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, sikrer, at dens kompetente myndighed og den berørte kritiske enhed tager hensyn til den i dette stykkes tredje afsnit omhandlede udtalelse, og giver Kommissionen og de medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, oplysninger om de foranstaltninger, som den har truffet i medfør af denne udtalelse.
5.   Hver rådgivende mission består af eksperter fra den medlemsstat, hvor den kritiske enhed af særlig europæisk betydning er beliggende, eksperter fra de medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, og repræsentanter for Kommissionen. Disse medlemsstater kan foreslå kandidater til at deltage i en rådgivende mission. Kommissionen udvælger og udnævner efter en konsultation med den medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, medlemmerne af hver rådgivende mission i overensstemmelse med deres faglige kapacitet og sikrer, hvor det er muligt, en geografisk afbalanceret repræsentation fra alle disse medlemsstater. Når det er nødvendigt, skal medlemmerne af den rådgivende mission have gyldig og passende sikkerhedsgodkendelse. Kommissionen afholder omkostningerne i forbindelse med deltagelse i rådgivende missioner.
Kommissionen tilrettelægger programmet for hver rådgivende mission i samråd med medlemmerne af den pågældende rådgivende mission og efter aftale med den medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1.
6.   Kommissionen vedtager en gennemførelsesretsakt med regler for de proceduremæssige ordninger for anmodninger om tilrettelæggelse af rådgivende missioner, for behandling af sådanne anmodninger, for gennemførelse af og rapporter om rådgivende missioner og for behandling af meddelelsen om Kommissionens udtalelse omhandlet i denne artikels stk. 4, tredje afsnit, og om de foranstaltninger, der er truffet, under behørig hensyntagen til de pågældende oplysningers fortrolighed og kommercielle følsomhed. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 24, stk. 2.
7.   Medlemsstaterne sikrer, at kritiske enheder af særlig europæisk betydning giver rådgivende missioner adgang til oplysninger, systemer og faciliteter, der vedrører levering af deres væsentlige tjenester, og som er nødvendige for at gennemføre den pågældende rådgivende mission.
8.   Rådgivende missioner gennemføres i overensstemmelse med gældende national ret i den medlemsstat, hvor de finder sted, idet den pågældende medlemsstats ansvar for national sikkerhed og beskyttelse af sine sikkerhedsmæssige interesser respekteres.
9.   Ved tilrettelæggelsen af rådgivende missioner tager Kommissionen hensyn til rapporter om eventuelle inspektioner foretaget af Kommissionen i henhold til forordning (EF) nr. 725/2004 og (EF) nr. 300/2008 og til rapporter om enhver overvågning, som Kommissionen har foretaget i henhold til direktiv 2005/65/EF vedrørende den berørte kritiske enhed.
10.   Kommissionen orienterer Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19, når der tilrettelægges en rådgivende mission. Den medlemsstat, hvor en rådgivende mission har fundet sted, og Kommissionen orienterer også Gruppen for Kritiske Enheders Modstandsdygtighed om den rådgivende missions vigtigste resultater og de indhøstede erfaringer med henblik på at fremme gensidig læring.
KAPITEL V
SAMARBEJDE OG RAPPORTERING
Artikel 19
Gruppen for Kritiske Enheders Modstandsdygtighed
1.   Der nedsættes hermed en Gruppe for Kritiske Enheders Modstandsdygtighed. Gruppen for Kritiske Enheders Modstandsdygtighed støtter Kommissionen og letter samarbejdet mellem medlemsstaterne og udvekslingen af oplysninger om spørgsmål vedrørende dette direktiv.
2.   Gruppen for Kritiske Enheders Modstandsdygtighed består af repræsentanter for medlemsstaterne og Kommissionen, hvor det er hensigtsmæssigt med en sikkerhedsgodkendelse. Hvor det er relevant for udførelsen af Gruppen for Kritiske Enheders Modstandsdygtigheds opgaver, kan den indbyde relevante interessenter til at deltage i sit arbejde. Hvis Europa-Parlamentet anmoder herom, kan Kommissionen indbyde eksperter fra Europa-Parlamentet til at deltage i møder i Gruppen for Kritiske Enheders Modstandsdygtighed.
Kommissionens repræsentant er formand for Gruppen for Kritiske Enheders Modstandsdygtighed.
3.   Gruppen for Kritiske Enheders Modstandsdygtighed har følgende opgaver:
a)
at støtte Kommissionen med at bistå medlemsstaterne med at styrke deres kapacitet til at bidrage til at sikre kritiske enheders modstandsdygtighed i overensstemmelse med dette direktiv
b)
at analysere strategierne med henblik på at identificere bedste praksis med hensyn til strategierne
c)
at lette udveksling af bedste praksis med hensyn til medlemsstaternes identifikation af kritiske enheder i henhold til artikel 6, stk. 1, herunder vedrørende grænseoverskridende og tværsektoriel afhængighed og med hensyn til risici og hændelser
d)
hvis det er relevant, at bidrage med hensyn til spørgsmål vedrørende dette direktiv til dokumenter om modstandsdygtighed på EU-plan
e)
at bidrage til udarbejdelsen af de i artikel 7, stk. 3, og artikel 13, stk. 5, omhandlede retningslinjer og efter anmodning eventuelle delegerede retsakter eller gennemførelsesretsakter vedtaget i henhold til dette direktiv
f)
at analysere de i artikel 9, stk. 3, omhandlede sammenfattende rapporter med henblik på at fremme udveksling af bedste praksis om de tiltag, der er taget i overensstemmelse med artikel 15, stk. 3
g)
at udveksle bedste praksis vedrørende underretning om hændelser omhandlet i artikel 15
h)
at drøfte de sammenfattende rapporter om rådgivende missioner og de indhøstede erfaringer i overensstemmelse med artikel 18, stk. 10
i)
at udveksle oplysninger og bedste praksis om innovation, forskning og udvikling vedrørende kritiske enheders modstandsdygtighed i overensstemmelse med dette direktiv
j)
hvis det er relevant, at udveksle oplysninger om spørgsmål vedrørende kritiske enheders modstandsdygtighed med relevante EU-institutioner, -organer, -kontorer og -agenturer.
4.   Senest den 17. januar 2025 og derefter hvert andet år udarbejder Gruppen for Kritiske Enheders Modstandsdygtighed et arbejdsprogram vedrørende tiltag, der skal iværksættes for at gennemføre dens mål og opgaver. Dette arbejdsprogram skal være i overensstemmelse med målene i dette direktiv.
5.   Gruppen for Kritiske Enheders Modstandsdygtighed mødes regelmæssigt og under alle omstændigheder mindst én gang om året med den samarbejdsgruppe, der er nedsat i henhold til direktiv (EU) 2022/2555, for at fremme og lette samarbejde og udveksling af oplysninger.
6.   Kommissionen kan vedtage gennemførelsesretsakter, hvori der fastlægges proceduremæssige ordninger, som er nødvendige for Gruppen for Kritiske Enheders Modstandsdygtigheds funktion, med respekt af artikel 1, stk. 4. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 24, stk. 2.
7.   Kommissionen forelægger Gruppen for Kritiske Enheders Modstandsdygtighed en sammenfattende rapport om de oplysninger, som medlemsstaterne har givet i henhold til artikel 4, stk. 3, og artikel 5, stk. 4, senest den 17. januar 2027, når det er nødvendigt efterfølgende, og mindst hvert fjerde år.
Artikel 20
Støtte fra Kommissionen til kompetente myndigheder og kritiske enheder
1.   Kommissionen støtter, hvor det er relevant, medlemsstaterne og kritiske enheder med at opfylde deres forpligtelser i henhold til dette direktiv. Kommissionen udarbejder en oversigt på EU-plan over grænseoverskridende og tværsektorielle risici ved levering af væsentlige tjenester, tilrettelægger de i artikel 13, stk. 4, og artikel 18 omhandlede rådgivende missioner og letter udveksling af oplysninger mellem medlemsstaterne og eksperter i hele Unionen.
2.   Kommissionen supplerer medlemsstaternes aktiviteter som omhandlet i artikel 10 ved at udvikle bedste praksis, vejledningsmaterialer og –metoder, og grænseoverskridende uddannelsesaktiviteter og øvelser for at afprøve kritiske enheders modstandsdygtighed.
3.   Kommissionen orienterer medlemsstaterne om de finansielle midler på EU-plan, der er til rådighed for medlemsstaterne til at styrke kritiske enheders modstandsdygtighed.
KAPITEL VI
TILSYN OG HÅNDHÆVELSE
Artikel 21
Tilsyn og håndhævelse
1.   Med henblik på at vurdere, om de enheder, som medlemsstaterne har identificeret som kritiske enheder i henhold til artikel 6, stk. 1, opfylder forpligtelserne i dette direktiv, sikrer medlemsstaterne, at de kompetente myndigheder har beføjelser og midler til:
a)
at foretage inspektioner på stedet af den kritiske infrastruktur og de lokaler, som den kritiske enhed anvender til at levere sine væsentlige tjenester, og eksternt tilsyn med de foranstaltninger, som kritiske enheder har truffet i overensstemmelse med artikel 13
b)
at foretage eller kræve revision af kritiske enheder.
2.   Medlemsstaterne sikrer, at de kompetente myndigheder har beføjelser og midler til, hvor det er nødvendigt for udførelsen af deres opgaver i henhold til dette direktiv, at kræve, at enhederne i henhold til direktiv (EU) 2022/2555, som medlemsstaterne har identificeret som kritiske enheder i henhold til nærværende direktiv, inden for en rimelig tidsfrist, der fastsættes af disse myndigheder, giver:
a)
de oplysninger, der er nødvendige for at vurdere, hvorvidt de foranstaltninger, der træffes af disse enheder for at sikre deres modstandsdygtighed, opfylder kravene i artikel 13
b)
dokumentation for faktisk gennemførelse af disse foranstaltninger, herunder resultaterne af en revision foretaget af en uafhængig og kvalificeret revisor udvalgt af denne enhed og foretaget på dennes regning.
Når der anmodes om disse oplysninger, angiver de kompetente myndigheder formålet med kravet og anfører, hvilke oplysninger der kræves.
3.   Uden at det berører muligheden for at pålægge sanktioner i overensstemmelse med artikel 22, kan de kompetente myndigheder efter de i denne artikels stk. 1 omhandlede tilsynsforanstaltninger eller vurderingen af de i denne artikels stk. 2 omhandlede oplysninger pålægge de berørte kritiske enheder at træffe de nødvendige og forholdsmæssige foranstaltninger for at afhjælpe enhver konstateret overtrædelse af dette direktiv inden for en rimelig frist, der fastsættes af disse myndigheder, og give disse myndigheder oplysninger om de trufne foranstaltninger. Disse påbud skal navnlig tage hensyn til overtrædelsens grovhed.
4.   Medlemsstaterne sikrer, at de i stk. 1, 2 og 3 omhandlede beføjelser kun kan udøves med forbehold af passende garantier. Disse garantier skal navnlig sikre, at en sådan udøvelse finder sted på en objektiv, gennemsigtig og forholdsmæssig måde, og at de berørte kritiske enheders rettigheder og legitime interesser såsom beskyttelse af forretningshemmeligheder garanteres behørigt, herunder deres ret til at blive hørt, til et forsvar og til effektive retsmidler ved en uafhængig domstol.
5.   Medlemsstaterne sikrer, at en kompetent myndighed i henhold til dette direktiv, hvor den vurderer en kritisk enheds overholdelse i henhold til denne artikel, orienterer denne kompetente myndighed de kompetente myndigheder i de berørte medlemsstater i henhold til direktiv (EU) 2022/2555. Med henblik herpå sikrer medlemsstaterne, at kompetente myndigheder i henhold til nærværende direktiv kan anmode de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 om at udøve deres tilsyns- og håndhævelsesbeføjelser over for en enhed i henhold til nævnte direktiv, som er identificeret som en kritisk enhed i henhold til nærværende direktiv. Med henblik herpå sikrer medlemsstaterne, at kompetente myndigheder i henhold til nærværende direktiv samarbejder og udveksler oplysninger med de kompetente myndigheder i henhold til direktiv (EU) 2022/2555.
Artikel 22
Sanktioner
Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af de nationale foranstaltninger, der er vedtaget i medfør af dette direktiv, og træffer alle nødvendige foranstaltninger for at sikre, at de gennemføres. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Medlemsstaterne giver senest den 17. oktober 2024 Kommissionen meddelelse om disse regler og foranstaltninger, og underretter den straks om alle senere ændringer, der berører dem.
KAPITEL VII
DELEGEREDE RETSAKTER OG GENNEMFØRELSESRETSAKTER
Artikel 23
Udøvelse af de delegerede beføjelser
1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 5, stk. 1, tillægges Kommissionen for en periode på fem år fra den 16. januar 2023.
3.   Den i artikel 5, stk. 1, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i 
Den Europæiske Unions Tidende
 eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4.   Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6.   En delegeret retsakt vedtaget i henhold til artikel 5, stk. 1, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 24
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.
KAPITEL VIII
AFSLUTTENDE BESTEMMELSER
Artikel 25
Rapportering og evaluering
Senest den 17. juli 2027 forelægger Kommissionen en rapport for Europa-Parlamentet og Rådet, hvori vurderes det omfang, hvori de enkelte medlemsstater har truffet de nødvendige foranstaltninger med henblik på at efterleve dette direktiv.
Kommissionen evaluerer regelmæssigt, hvorledes dette direktiv fungerer, og forelægger en rapport til Europa-Parlamentet og Rådet. Denne rapport skal navnlig vurdere dette direktivs merværdi, dets indvirkning med hensyn til at sikre kritiske enheders modstandsdygtighed, og hvorvidt bilaget til direktivet bør ændres. Kommissionen forelægger den første rapport senest den 17. juni 2029. Med henblik på rapportering i henhold til denne artikel tager Kommissionen hensyn til relevante dokumenter fra Gruppen for Kritiske Enheders Modstandsdygtighed.
Artikel 26
Gennemførelse
1.   Medlemsstaterne vedtager og offentliggør senest den 17. oktober 2024 de love og bestemmelser, der er nødvendige for at efterkomme dette direktiv. De underretter straks Kommissionen herom.
De anvender disse love og bestemmelser fra den 18. oktober 2024.
2.   De i stk. 1 omhandlede love og bestemmelser skal ved vedtagelsen indeholde en henvisning til dette direktiv eller skal ved offentliggørelsen ledsages af en sådan henvisning. Medlemsstaterne fastsætter de nærmere regler for henvisningen.
Artikel 27
Ophævelse af direktiv 2008/114/EF
Direktiv 2008/114/EF ophæves med virkning fra den 18. oktober 2024.
Henvisninger til det ophævede direktiv gælder som henvisninger til nærværende direktiv.
Artikel 28
Ikrafttræden
Dette direktiv træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Artikel 29
Adressater
Dette direktiv er rettet til medlemsstaterne.
Udfærdiget i Strasbourg, den 14. december 2022.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
M. BEK
Formand
(
1
)
  
            
EUT C 286 af 16.7.2021, s. 170
.
(
2
)
  
            
EUT C 440 af 29.10.2021, s. 99
.
(
3
)
  Europa-Parlamentets holdning af 22.11.2022 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 8.12.2022.
(
4
)
  Rådets direktiv 2008/114/EF af 8. december 2008 om indkredsning og udpegning af europæisk kritisk infrastruktur og vurdering af behovet for at beskytte den bedre (
EUT L 345 af 23.12.2008, s. 75
).
(
5
)
  Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktiv) (se side 80 i denne EUT).
(
6
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (
EUT L 194 af 19.7.2016, s. 1
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/452 af 19. marts 2019 om et regelsæt for screening af udenlandske direkte investeringer i Unionen (
EUT L 79 I af 21.3.2019, s. 1
).
(
8
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 af 4. juli 2012 om OTC-derivater, centrale modparter og transaktionsregistre (
EUT L 201 af 27.7.2012, s. 1
).
(
9
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og om ændring af forordning (EU) nr. 648/2012 (
EUT L 176 af 27.6.2013, s. 1
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 600/2014 af 15. maj 2014 om markeder for finansielle instrumenter og om ændring af forordning (EU) nr. 648/2012 (
EUT L 173 af 12.6.2014, s. 84
).
(
11
)
  Europa-Parlamentets og Rådets direktiv 2013/36/EU af 26. juni 2013 om adgang til at udøve virksomhed som kreditinstitut og om tilsyn med kreditinstitutter og investeringsselskaber, om ændring af direktiv 2002/87/EF og om ophævelse af direktiv 2006/48/EF og 2006/49/EF (
EUT L 176 af 27.6.2013, s. 338
).
(
12
)
  Europa-Parlamentets og Rådets direktiv 2014/65/EU af 15. maj 2014 om markeder for finansielle instrumenter og om ændring af direktiv 2002/92/EF og direktiv 2011/61/EU (
EUT L 173 af 12.6.2014, s. 349
).
(
13
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 og (EU) 2016/1011 (se side 1 i denne EUT).
(
14
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 725/2004 af 31. marts 2004 om bedre sikring af skibe og havnefaciliteter (
EUT L 129 af 29.4.2004, s. 6
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 300/2008 af 11. marts 2008 om fælles bestemmelser om sikkerhed inden for civil luftfart og om ophævelse af forordning (EF) nr. 2320/2002 (
EUT L 97 af 9.4.2008, s. 72
).
(
16
)
  Europa-Parlamentets og Rådets direktiv 2005/65/EF af 26. oktober 2005 om bedre havnesikring (
EUT L 310 af 25.11.2005, s. 28
).
(
17
)
  Europa-Parlamentets og Rådets direktiv 2008/96/EF af 19. november 2008 om forvaltning af vejinfrastrukturens sikkerhed (
EUT L 319 af 29.11.2008, s. 59
).
(
18
)
  Kommissionens afgørelse af 29. juni 2018 om oprettelse af EU-sikkerhedsplatformen for togpassagerer 2018/C 232/03 (
EUT C 232 af 3.7.2018, s. 10
).
(
19
)
  Rådets rammeafgørelse 2009/315/RIA af 26. februar 2009 om tilrettelæggelsen og indholdet af udvekslinger af oplysninger fra strafferegistre mellem medlemsstaterne (
EUT L 93 af 7.4.2009, s. 23
).
(
20
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/816 af 17. april 2019 om oprettelse af et centralt system til bestemmelse af, hvilke medlemsstater der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer (ECRIS-TCN) for at supplere det europæiske informationssystem vedrørende strafferegistre, og om ændring af forordning (EU) 2018/1726 (
EUT L 135 af 22.5.2019, s. 1
).
(
21
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1862 af 28. november 2018 om oprettelse, drift og brug af Schengeninformationssystemet (SIS) på området politisamarbejde og strafferetligt samarbejde, om ændring og ophævelse af Rådets afgørelse 2007/533/RIA og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 1986/2006 og Kommissionens afgørelse 2010/261/EU (
EUT L 312 af 7.12.2018, s. 56
).
(
22
)
  Europa-Parlamentets og Rådets afgørelse nr. 1313/2013/EU af 17. december 2013 om en EU-civilbeskyttelsesmekanisme (
EUT L 347 af 20.12.2013, s. 924
).
(
23
)
  Europa-Parlamentets og Rådets forordning (EU) 2021/1149 af 7. juli 2021 om oprettelse af Fonden for Intern Sikkerhed (
EUT L 251 af 15.7.2021, s. 94
).
(
24
)
  Europa-Parlamentets og Rådets forordning (EU) 2021/695 af 28. april 2021 om oprettelse af Horisont Europa — rammeprogrammet for forskning og innovation — og om reglerne for deltagelse og formidling og om ophævelse af forordning (EU) nr. 1290/2013 og (EU) nr. 1291/2013 (
EUT L 170 af 12.5.2021, s. 1
).
(
25
)
  
            
EUT L 123 af 12.5.2016, s. 1
.
(
26
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
27
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
28
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
29
)
  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (
EFT L 201 af 31.7.2002, s. 37
).
(
30
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 af 25. oktober 2012 om europæisk standardisering, om ændring af Rådets direktiv 89/686/EØF og 93/15/EØF og Europa-Parlamentets og Rådets direktiv 94/9/EF, 94/25/EF, 95/16/EF, 97/23/EF, 98/34/EF, 2004/22/EF, 2007/23/EF, 2009/23/EF og 2009/105/EF og om ophævelse af Rådets beslutning 87/95/EØF og Europa-Parlamentets og Rådets afgørelse nr. 1673/2006/EF (
EUT L 316 af 14.11.2012, s. 12
).
(
31
)
  Kommissionens henstilling 2003/361/EF af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (
EUT L 124 af 20.5.2003, s. 36
).
(
32
)
  Europa-Parlamentets og Rådets direktiv (EU) 2017/541 af 15. marts 2017 om bekæmpelse af terrorisme og om erstatning af Rådets rammeafgørelse 2002/475/RIA og ændring af Rådets afgørelse 2005/671/RIA (
EUT L 88 af 31.3.2017, s. 6
).
(
33
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/1938 af 25. oktober 2017 om foranstaltninger til opretholdelse af gasforsyningssikkerheden og ophævelse af forordning (EU) nr. 994/2010 (
EUT L 280 af 28.10.2017, s. 1
).
(
34
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/941 af 5. juni 2019 om risikoberedskab i elsektoren og om ophævelse af direktiv 2005/89/EF (
EUT L 158 af 14.6.2019, s. 1
).
(
35
)
  Europa-Parlamentets og Rådets direktiv 2007/60/EF af 23. oktober 2007 om vurdering og styring af risikoen for oversvømmelser (
EUT L 288 af 6.11.2007, s. 27
).
(
36
)
  Europa-Parlamentets og Rådets direktiv 2012/18/EU af 4. juli 2012 om kontrol med risikoen for større uheld med farlige stoffer og om ændring og efterfølgende ophævelse af Rådets direktiv 96/82/EF (
EUT L 197 af 24.7.2012, s. 1
).
(
37
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (
EUT L 119 af 4.5.2016, s. 89
).
BILAG
SEKTORER, DELSEKTORER OG ENHEDSKATEGORIER
Sektor
Delsektor
Enhedskategori
1.
Energi
a)
Elektricitet
—
Elektricitetsvirksomheder som defineret i artikel 2, nr. 57), i Europa-Parlamentets og Rådets direktiv (EU) 2019/944
 (
1
)
, der varetager funktionen »levering« som defineret i nævnte direktivs artikel 2, nr. 12)
—
Distributionssystemoperatører som defineret i artikel 2, nr. 29), i direktiv (EU) 2019/944
—
Transmissionssystemoperatører som defineret i artikel 2, nr. 35), i direktiv (EU) 2019/944
—
Producenter som defineret i artikel 2, nr. 38), i direktiv (EU) 2019/944
—
Udpegede elektricitetsmarkedsoperatører som defineret i artikel 2, nr. 8), i Europa-Parlamentets og Rådets forordning (EU) 2019/943
 (
2
)
—
Markedsdeltagere som defineret i artikel 2, nr. 25), i forordning (EU) 2019/943, der leverer tjenester, der vedrører aggregering, fleksibelt elforbrug eller energilagring som defineret i artikel 2, nr. 18), 20) og 59), i direktiv (EU) 2019/944
b)
Fjernvarme og fjernkøling
—
Operatører af fjernvarme eller fjernkøling som defineret i artikel 2, nr. 19), i Europa-Parlamentets og Rådets direktiv (EU) 2018/2001
 (
3
)
c)
Olie
—
Olierørledningsoperatører
—
Operatører af olieproduktionsanlæg, -raffinaderier og -behandlingsanlæg, olielagre og olietransmission
—
Centrale lagerenheder som defineret i artikel 2, litra f), i Rådets direktiv 2009/119/EF
 (
4
)
d)
Gas
—
Forsyningsvirksomheder som defineret i artikel 2, nr. 8), i Europa-Parlamentets og Rådets direktiv 2009/73/EF
 (
5
)
—
Distributionssystemoperatører som defineret i artikel 2, nr. 6), i direktiv 2009/73/EF
—
Transmissionssystemoperatører som defineret i artikel 2, nr. 4), i direktiv 2009/73/EF
—
Lagersystemoperatører som defineret i artikel 2 nr. 10), i direktiv 2009/73/EF
—
LNG-systemoperatører som defineret i artikel 2, nr. 12), i direktiv 2009/73/EF
—
Naturgasvirksomheder som defineret i artikel 2, nr. 1), i direktiv 2009/73/EF
—
Operatører inden for naturgasraffinaderier og -behandlingsanlæg
e)
Brint
—
Operatører inden for brintproduktion, -lagring og -transmission
2.
Transport
a)
Luft
—
Luftfartsselskaber som defineret i artikel 3, nr. 4), i forordning (EF) nr. 300/2008, der anvendes til kommercielle formål
—
Lufthavnsdriftsorganer som defineret i artikel 2, nr. 2), i Europa-Parlamentets og Rådets direktiv 2009/12/EF
 (
6
)
, lufthavne som defineret i nævnte direktivs artikel 2, nr. 1), herunder de hovedlufthavne, der er anført i afsnit 2 i bilag II, til Europa-Parlamentets og Rådets forordning (EU) nr. 1315/2013
 (
7
)
, og enheder med tilknyttede anlæg i lufthavne
—
Trafikledelses- og kontroloperatører, der udøver flyvekontroltjenester som defineret i artikel 2, nr. 1), i Europa-Parlamentets og Rådets forordning (EF) nr. 549/2004
 (
8
)
b)
Jernbane
—
Infrastrukturforvaltere som defineret i artikel 3, nr. 2), i Europa-Parlamentets og Rådets direktiv 2012/34/EU
 (
9
)
—
Jernbanevirksomheder som defineret i artikel 3, nr. 1), i direktiv 2012/34/EU og operatører af servicefaciliteter som defineret i nævnte direktivs artikel 3, nr. 12)
c)
Vand
—
Rederier, som udfører passager- og godstransport ad indre vandveje, i højsøfarvand eller i kystnært farvand som defineret for søtransport i bilag I til forordning (EF) nr. 725/2004, bortset fra de enkelte fartøjer, som drives af disse rederier
—
Driftsorganer i havne som defineret i artikel 3, nr. 1), i direktiv 2005/65/EF, herunder deres havnefaciliteter som defineret i artikel 2, nr. 11), i forordning (EF) nr. 725/2004, og enheder, der driver anlæg og udstyr i havne
—
Operatører af skibstrafiktjenester som defineret i artikel 3, litra o), i Europa-Parlamentets og Rådets direktiv 2002/59/EF
 (
10
)
d)
Vejtransport
—
Vejmyndigheder som defineret i artikel 2, nr. 12), i Kommissionens delegerede forordning (EU) 2015/962
 (
11
)
, der er ansvarlige for trafikledelseskontrol, med undtagelse af offentlige enheder, for hvilke trafikledelse eller drift af intelligente transportsystemer er en ikkevæsentlig del af deres generelle aktivitet
—
Operatører af intelligente transportsystemer som defineret i artikel 4, nr. 1), i Europa-Parlamentets og Rådets direktiv 2010/40/EU
 (
12
)
e)
Offentlig transport
—
Operatører af offentlig trafikbetjening som defineret i artikel 2, litra d), i Europa-Parlamentets og Rådets forordning (EF) nr. 1370/2007
 (
13
)
3.
Bankvirksomhed
—
Kreditinstitutter som defineret i artikel 4, nr. 1), i forordning (EU) nr. 575/2013
4.
Finansiel markedsinfrastruktur
—
Operatører af markedspladser som defineret i artikel 4, nr. 24), i direktiv 2014/65/EU
—
Centrale modparter (CCP'er) som defineret i artikel 2, nr. 1), i forordning (EU) nr. 648/2012
5.
Sundhed
—
Sundhedstjenesteydere som defineret i artikel 3, litra g), i Europa-Parlamentets og Rådets direktiv 2011/24/EU
 (
14
)
—
EU-referencelaboratorier som omhandlet i artikel 15 i Europa-Parlamentets og Rådets forordning (EU) 2022/2371
 (
15
)
—
Enheder, der udfører forsknings- og udviklingsaktiviteter vedrørende lægemidler som defineret i artikel 1, nr. 2), i Europa-Parlamentets og Rådets direktiv 2001/83/EF
 (
16
)
—
Enheder, der fremstiller farmaceutiske råvarer og farmaceutiske præparater som omhandlet i hovedafdeling C, hovedgruppe 21, i NACE rev. 2
—
Enheder, som fremstiller medicinsk udstyr, der betragtes som kritisk i en folkesundhedsmæssigkrisesituation (»liste over kritisk medicinsk udstyr til folkesundhedsmæssige krisesituationer«) i den i artikel 22 i Europa-Parlamentets og Rådets forordning (EU) 2022/123
 (
17
)
 anvendte betydning
—
Enheder, der er indehavere af en forhandlingstilladelse som omhandlet i artikel 79 i direktiv 2001/83/EF
6.
Drikkevand
—
Leverandører og distributører af drikkevand som defineret i artikel 2, nr. 1), litra a), i Europa-Parlamentets og Rådets direktiv (EU) 2020/2184
 (
18
)
, bortset fra distributører, for hvilke distribution af drikkevand er en ikkevæsentlig del af deres generelle aktivitet med distribution af andre råvarer og varer
7.
Spildevand
—
Virksomheder, der indsamler, bortskaffer eller behandler byspildevand, husspildevand eller industrispildevand som defineret i artikel 2, nr. 1), 2) og 3), i Rådets direktiv 91/271/EØF
 (
19
)
, bortset fra virksomheder, for hvilke indsamling, bortskaffelse eller behandling af byspildevand, husspildevand eller industrispildevand er en ikkevæsentlig del af deres generelle aktivitet
8.
Digital infrastruktur
—
Udbydere af internetudvekslingspunkter som defineret i artikel 6, nr. 18), i direktiv (EU) 2022/2555
—
DNS-tjenesteudbydere omhandlet i artikel 6, nr. 20), i direktiv (EU) 2022/2555, bortset fra operatører af rodnavneservere
—
topdomænenavneadministratorer som defineret i artikel 6, nr. 21), i direktiv (EU) 2022/2555
—
Udbydere af cloudcomputingtjenester som defineret i artikel 6, nr. 30), i direktiv (EU) 2022/2555
—
Udbydere af datacentertjenester som defineret i artikel 6, nr. 31), i direktiv (EU) 2022/2555
—
Udbydere af indholdsleveringsnetværk som defineret i artikel 6, nr. 32), i direktiv (EU) 2022/2555
—
Tillidstjenesteudbydere som defineret i artikel 3, nr. 19), i Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014
 (
20
)
—
Udbydere af offentlige elektroniske kommunikationsnet som defineret i artikel 2, nr. 8), i Europa-Parlamentets og Rådets direktiv (EU) 2018/1972
 (
21
)
—
Udbydere af elektroniske kommunikationstjenester i den i artikel 2, nr. 4), i direktiv (EU) 2018/1972 anvendte betydning, for så vidt deres tjenester er offentligt tilgængelige
9.
Offentlig forvaltning
—
Offentlige forvaltningsenheder under den centrale forvaltning som defineret af medlemsstaterne i overensstemmelse med national ret
10.
Rummet
—
Operatører af jordbaseret infrastruktur, der ejes, forvaltes og drives af medlemsstater eller private parter, og som understøtter levering af rumbaserede tjenester, undtagen udbydere af offentlige elektroniske kommunikationsnet som defineret i artikel 2, nr. 8), i direktiv (EU) 2018/1972
11.
Produktion, tilvirkning og distribution af fødevarer
—
Fødevarevirksomheder som defineret i artikel 3, nr. 2), i Europa-Parlamentets og Rådets forordning (EF) nr. 178/2002
 (
22
)
, der udelukkende beskæftiger sig med logistik og engrosdistribution samt industriel produktion og tilvirkning i stor skala
(
1
)
  Europa-Parlamentets og Rådets direktiv (EU) 2019/944 af 5. juni 2019 om fælles regler for det indre marked for elektricitet og om ændring af direktiv 2012/27/EU (
EUT L 158 af 14.6.2019, s. 125
).
(
2
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/943 af 5. juni 2019 om det indre marked for elektricitet (
EUT L 158 af 14.6.2019, s. 54
).
(
3
)
  Europa-Parlamentets og Rådets direktiv (EU) 2018/2001 af 11. december 2018 om fremme af anvendelsen af energi fra vedvarende energikilder (
EUT L 328 af 21.12.2018, s. 82
).
(
4
)
  Rådets direktiv 2009/119/EF af 14. september 2009 om forpligtelse for medlemsstaterne til at holde minimumslagre af råolie og/eller olieprodukter (
EUT L 265 af 9.10.2009, s. 9
).
(
5
)
  Europa-Parlamentets og Rådets direktiv 2009/73/EF af 13. juli 2009 om fælles regler for det indre marked for naturgas og om ophævelse af direktiv 2003/55/EF (
EUT L 211 af 14.8.2009, s. 94
).
(
6
)
  Europa-Parlamentets og Rådets direktiv 2009/12/EF af 11. marts 2009 om lufthavnsafgifter (
EUT L 70 af 14.3.2009, s. 11
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 1315/2013 af 11. december 2013 om Unionens retningslinjer for udvikling af det transeuropæiske transportnet og om ophævelse af afgørelse nr. 661/2010/EU (
EUT L 348 af 20.12.2013, s. 1
).
(
8
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 549/2004 af 10. marts 2004 om rammerne for oprettelse af et fælles europæisk luftrum (»rammeforordningen«) (
EUT L 96 af 31.3.2004, s. 1
).
(
9
)
  Europa-Parlamentets og Rådets direktiv 2012/34/EU af 21. november 2012 om oprettelse af et fælles europæisk jernbaneområde (
EUT L 343 af 14.12.2012, s. 32
).
(
10
)
  Europa-Parlamentets og Rådets direktiv 2002/59/EF af 27. juni 2002 om oprettelse af et trafikovervågnings- og trafikinformationssystem for skibsfarten i Fællesskabet og om ophævelse af Rådets direktiv 93/75/EØF (
EFT L 208 af 5.8.2002, s. 10
).
(
11
)
  Kommissionens delegerede forordning (EU) 2015/962 af 18. december 2014 om supplerende regler til Europa-Parlamentets og Rådets direktiv 2010/40/EU for så vidt angår tilrådighedsstillelse af EU-dækkende tidstro trafikinformationstjenester (
EUT L 157 af 23.6.2015, s. 21
).
(
12
)
  Europa-Parlamentets og Rådets direktiv 2010/40/EU af 7. juli 2010 om rammerne for indførelse af intelligente transportsystemer på vejtransportområdet og for grænsefladerne til andre transportformer (
EUT L 207 af 6.8.2010, s. 1
).
(
13
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1370/2007 af 23. oktober 2007 om offentlig personbefordring med jernbane og ad vej og om ophævelse af Rådets forordning (EØF) nr. 1191/69 og (EØF) nr. 1107/70 (
EUT L 315 af 3.12.2007, s. 1
).
(
14
)
  Europa-Parlamentets og Rådets direktiv 2011/24/EU af 9. marts 2011 om patientrettigheder i forbindelse med grænseoverskridende sundhedsydelser (
EUT L 88 af 4.4.2011, s. 45
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/2371 af 23. november 2022 om alvorlige grænseoverskridende sundhedstrusler og om ophævelse af afgørelse nr. 1082/2013/EU (
EUT L 314 af 6.12.2022, s. 26
).
(
16
)
  Europa-Parlamentets og Rådets direktiv 2001/83/EF af 6. november 2001 om oprettelse af en fællesskabskodeks for humanmedicinske lægemidler (
EFT L 311 af 28.11.2001, s. 67
).
(
17
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/123 af 25. januar 2022 om styrkelse af Det Europæiske Lægemiddelagenturs rolle i forbindelse med kriseberedskab og krisestyring med hensyn til lægemidler og medicinsk udstyr (
EUT L 20 af 31.1.2022, s. 1
).
(
18
)
  Europa-Parlamentets og Rådets direktiv (EU) 2020/2184 af 16. december 2020 om kvaliteten af drikkevand (
EUT L 435 af 23.12.2020, s. 1
).
(
19
)
  Rådets direktiv 91/271/EØF af 21. maj 1991 om rensning af byspildevand (
EFT L 135 af 30.5.1991, s. 40
).
(
20
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (
EUT L 257 af 28.8.2014, s. 73
).
(
21
)
  Europa-Parlamentets og Rådets direktiv (EU) 2018/1972 af 11. december 2018 om oprettelse af en europæisk kodeks for elektronisk kommunikation (
EUT L 321 af 17.12.2018, s. 36
).
(
22
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 178/2002 af 28. januar 2002 om generelle principper og krav i fødevarelovgivningen, om oprettelse af Den Europæiske Fødevaresikkerhedsautoritet og om procedurer vedrørende fødevaresikkerhed (
EFT L 31 af 1.2.2002, s. 1
).

Summary:
Mere modstandsdygtige kritiske enheder
RESUMÉ AF:
Direktiv 2022/2557 om kritiske enheders modstandsdygtighed
HVAD ER FORMÅLET MED DIREKTIVET?
Direktivet
 har til formål at:
reducere sårbarheder og styrke den fysiske modstandsdygtighed
1
 af kritiske enheder i 
Den Europæiske Union
 (EU) for at sikre uhindret levering af 
tjenesteydelser, der er væsentlige
 for økonomien og samfundet som helhed
øge 
modstandsdygtigheden hos de kritiske enheder
, der leverer disse tjenester.
HOVEDPUNKTER
EU’s 
medlemsstater
 skal efter en risikovurdering 
identificere kritiske enheder
, der leverer tjenester, som er væsentlige for opretholdelsen af funktioner, som er yderst vigtige for samfundet, økonomien, folkesundheden og miljøet, og hvor en hændelse ville have betydelig indvirkning på disse væsentlige tjenester. Dette omfatter enheder i følgende sektorer:
energi
, herunder elektricitets-, fjernvarme-, olie-, gas- og brintoperatører
transport
 ad luftvejen, med jernbane, ad vand og ad vej, herunder offentlig transport
bankvirksomhed
, som også er omfattet af forordning (EU) 
2022/2554
 (forordningen om digital operationel modstandsdygtighed — se 
resumé
)
finansiel markedsinfrastruktur
, herunder handelsmarkeder, også underlagt forordningen om digital operationel modstandsdygtighed
sundhed
, herunder sundhedstjenesteydere, producenter af basislægemidler og kritisk udstyr samt forskning og udvikling af lægemidler
drikkevandsleverandører
 og -distributører
bortskaffelse og behandling af 
spildevand
digital infrastruktur
, herunder elektroniske kommunikationstjenester og datacentre, som også er omfattet af direktiv (EU) 
2022/2555
 (se 
resumé
)
offentlige forvaltningsenheder
 på centralt plan, undtagen national sikkerhed, offentlig sikkerhed, forsvar og retshåndhævelse
rumoperatører
 af jordbaseret infrastruktur og
fødevarevirksomheder
, der udelukkende beskæftiger sig med logistik og engrosdistribution samt storproduktion og -forarbejdning.
Det skal bemærkes, at visse dele af direktivet ikke gælder for enheder inden for bankvæsen, finansiel markedsinfrastruktur og digital infrastruktur.
Alle medlemsstater skal:
vedtage en 
national strategi
 og udføre 
regelmæssige risikovurderinger
under hensyntagen til resultatet af risikovurderingerne 
identificere enheder
, der er afhængige af kritisk infrastruktur for at kunne levere væsentlige tjenesteydelser til samfundet, økonomien, folkesundheden og miljøet
støtte
 de identificerede kritiske enheder i at øge deres modstandsdygtighed med for eksempel vejledningsmateriale, øvelser, rådgivning og uddannelse
sikre, at de nationale myndigheder har beføjelser, ressourcer og midler til at udføre deres tilsynsopgaver, herunder udføre 
inspektion på stedet af kritiske enheder
 og indføre 
sanktioner for manglende overholdelse
 som en del af en håndhævelsesmekanisme
angive de 
betingelser
, under hvilke en kritisk enhed kan indsende anmodninger om baggrundskontrol af personale, der varetager følsomme opgaver.
Medlemsstaterne skal identificere de kritiske enheder for de sektorer og delsektorer, der er angivet i bilaget til direktivet, senest den 
17. juli 2026
.
Kritiske enheder skal:
selv 
gennemføre risikovurderinger
 for at 
identificere risici
, der kan forstyrre deres evne til at levere væsentlige tjenester
træffe tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger
 for at øge deres modstandsdygtighed
indberette væsentlige forstyrrende hændelser
 til de nationale myndigheder.
Hvis kritiske enheder yder væsentlige tjenester i eller til 
seks eller flere medlemsstater
, kan de drage fordel af ekstra rådgivning i form af rådgivende missioner, der vurderer risikovurderingen og de modstandsdygtighedsstyrkende foranstaltninger, som enheden har indført.
Delegerede retsakter
Europa-Kommissionen
 vedtog den delegerede forordning (EU) 
2023/2450
, der opstiller en 
ikke-udtømmende liste over væsentlige tjenester
 inden for de ovennævnte sektorer og delsektorer. Medlemsstaternes kompetente myndigheder skal anvende denne liste til at foretage en risikovurdering, og risikovurderingen anvendes herefter til at identificere kritiske enheder.
Gruppen for Kritiske Enheders Modstandsdygtighed
 letter samarbejdet mellem medlemsstaterne, herunder udveksling af oplysninger og god praksis.
Kommissionen
 yder 
støtte
, herunder om grænseoverskridende risici, bedste praksis, metoder, grænseoverskridende uddannelse og øvelser, for at afprøve kritiske enheders modstandsdygtighed.
HVORNÅR GÆLDER BESTEMMELSERNE FRA?
Direktivet skal være 
gennemført
 i national lovgivning inden den 
17. oktober 2024
. Reglerne skal træde i kraft den 
18. oktober 2024
.
BAGGRUND
Kommissionens 
strategi for EU’s sikkerhedsunion
 og 
dagsordenen for bekæmpelse af terrorisme
 i EU understreger vigtigheden af at sikre kritiske enheders modstandsdygtighed over for fysiske og digitale risici.
Dette direktiv er en del af en pakke af lovgivningsmæssige foranstaltninger, der skal forbedre EU’s offentlige og private sektorers modstandsdygtighed og beredskabskapacitet inden for 
cybersikkerhed
 og beskyttelse af kritisk infrastruktur.
Rådet udsendte også en 
henstilling
 om en koordineret EU-tilgang til styrkelse af kritisk infrastrukturs modstandsdygtighed i januar 2023.
For yderligere oplysninger henvises til:
Hvordan EU reagerer på kriser og opbygger modstandsdygtighed
 (Det Europæiske Råd, Rådet for Den Europæiske Union)
Kritisk infrastruktur
 (Europa-Kommissionen).
VIGTIGE BEGREBER
Modstandsdygtighed.
 Kapacitet til at forebygge, beskytte mod, reagere på, modstå, afbøde, absorbere, tilpasse sig og komme på fode igen efter en hændelse, som blandt andet kan skyldes naturkatastrofer, f.eks. folkesundhedskriser, eller menneskeskabte trusler, f.eks. terrorisme, sabotage eller hybride trusler. Hybride trusler opstår, når aktører, såvel statslige som ikke-statslige, søger at udnytte kritiske infrastrukturers sårbarheder på en koordineret måde ved hjælp af en blanding af foranstaltninger (dvs. diplomatiske, militære, økonomiske, teknologiske), mens de holder sig under tærsklen for formel krigsførelse, for eksempel massedesinformationskampagner, der forhindrer den demokratiske proces ved valg.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets direktiv (EU) 
2022/2557
 af 
14. december 2022
 om kritiske enheders modstandsdygtighed og om ophævelse af Rådets direktiv 2008/114/EF (EUT L 333 af 
27.12.2022
, 
s. 164-198
).
TILHØRENDE DOKUMENTER
Kommissionens delegerede forordning (EU) 
2023/2450
 af 
25. juli 2023
, til supplering af Europa-Parlamentets og Rådets direktiv (EU) 2022/2557 ved opstilling af en liste over væsentlige tjenester (EUT L 2023/2450 af 
30.10.2023
).
Rådets 
henstilling
 af 
8. december 2022
 om en koordineret EU-tilgang til styrkelse af kritisk infrastrukturs modstandsdygtighed (EUT C 20 af 
20.1.2023
, 
s. 1-11
).
Europa-Parlamentets og Rådets forordning (EU) 
2022/2554
 af 
14. december 2022
 om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) 
nr. 1060/2009
, (EU) 
nr. 648/2012
, (EU) 
nr. 600/2014
, (EU) 
nr. 909/2014
 og (EU) 2016/1011 (EUT L 333 af 
27.12.2022
, 
s. 1-79
).
Europa-Parlamentets og Rådets direktiv (EU) 
2022/2555
 af 
14. december 2022
 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) 
nr. 910/2014
 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT L 333 af 
27.12.2022
, 
s. 80-152
).
Meddelelse fra Kommissionen til Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget — En dagsorden for bekæmpelse af terrorisme i EU: foregribe, forebygge, beskytte, reagere (
COM(2020) 795 final
 af 
9.12.2020
).
Meddelelse fra Kommissionen til Europa-Parlamentet, Det Europæiske Råd, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget om strategien for EU’s sikkerhedsunion (
COM(2020) 605 final
 af 
24.7.2020
).
Europa-Parlamentets og Rådets direktiv (EU) 
2019/944
 af 
5. juni 2019
 om fælles regler for det indre marked for elektricitet og om ændring af direktiv 2012/27/EU (omarbejdning) (EUT L 158 af 
14.6.2019
, 
s. 125-199
).
Efterfølgende ændringer til direktiv (EU) 2019/944 er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentets og Rådets forordning (EU) 
2019/943
 af 
5. juni 2019
 om det indre marked for elektricitet (omarbejdning) (EUT L 158 af 
14.6.2019
, 
s. 54-124
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2019/941
 af 
5. juni 2019
 om risikoberedskab i elsektoren og om ophævelse af direktiv 2005/89/EF (EUT L 158 af 
14.6.2019
, 
s. 1-21
).
Europa-Parlamentet og Rådets direktiv (EU) 
2018/2001
 af 
11. december 2018
 om fremme af anvendelsen af energi fra vedvarende energikilder (omarbejdning) (EUT L 328 af 
21.12.2018
, 
s. 82-209
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2017/541
 af 
15. marts 2017
 om bekæmpelse af terrorisme og om erstatning af Rådets rammeafgørelse 2002/475/RIA og ændring af Rådets afgørelse 2005/671/RIA (EUT L 88 af 
31.3.2017
, 
s. 6-21
).
Europa-Parlamentets og Rådets forordning (EU) 
2017/1938
 af 
25. oktober 2017
 om foranstaltninger til opretholdelse af gasforsyningssikkerheden og ophævelse af forordning (EU) 
nr. 994/2010
 (EUT L 280 af 
28.10.2017
, 
s. 1-56
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s. 1-88
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv (EU) 
2016/680
 af 
27. april 2016
 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 
4.5.2016
, 
s. 89-131
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv 
2012/18/EU
 af 
4. juli 2012
 om kontrol med risikoen for større uheld med farlige stoffer og om ændring og efterfølgende ophævelse af Rådets direktiv 96/82/EF (EUT L 197 af 
24.7.2012
, 
s. 1-37
).
Europa-Parlamentets og Rådets forordning (EU) 
nr. 
1025/2012
 af 
25. oktober 2012
 om europæisk standardisering, om ændring af Rådets direktiv 89/686/EØF og 93/15/EØF og Europa-Parlamentets og Rådets direktiv 94/9/EF, 94/25/EF, 95/16/EF, 97/23/EF, 98/34/EF, 2004/22/EF, 2007/23/EF, 2009/23/EF og 2009/105/EF og om ophævelse af Rådets beslutning 87/95/EØF og Europa-Parlamentets og Rådets afgørelse 
nr. 1673/2006/EF
 (EUT L 316 af 
14.11.2012
, 
s. 12-33
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets 
direktiv 2009/73/EF
 af 
13. juli 2009
 om fælles regler for det indre marked for naturgas og om ophævelse af direktiv 2003/55/EF (EUT L 211 af 
14.8.2009
, 
s. 94-136
).
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets direktiv 
2007/60/EF
 af 
23. oktober 2007
 om vurdering og styring af risikoen for oversvømmelser (EUT L 288 af 
6.11.2007
, 
s. 27-34
).
Europa-Parlamentets og Rådets direktiv 
2002/58/EF
 af 
12. juli 2002
 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktiv om databeskyttelse inden for elektronisk kommunikation) (EUT L 201 af 
31.7.2002
, 
s. 37-47
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
19.2.2024