CELEX ID: 32008L0114

--- ENGLISH ---

Document:
23.12.2008
EN
Official Journal of the European Union
L 345/75
COUNCIL DIRECTIVE 2008/114/EC
of 8 December 2008
on the identification and designation of European critical infrastructures and the assessment of the need to improve their protection
(Text with EEA relevance)
THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty establishing the European Community, and in particular Article 308 thereof,
Having regard to the proposal from the Commission,
Having regard to the opinion of the European Parliament 
(
1
)
,
Having regard to the opinion of the European Central Bank 
(
2
)
,
Whereas:
(1)
In June 2004 the European Council asked for the preparation of an overall strategy to protect critical infrastructures. In response, on 20 October 2004, the Commission adopted a Communication on critical infrastructure protection in the fight against terrorism which put forward suggestions as to what would enhance European prevention of, preparedness for and response to terrorist attacks involving critical infrastructures.
(2)
On 17 November 2005 the Commission adopted a Green Paper on a European programme for critical infrastructure protection which provided policy options on the establishment of the programme and the Critical Infrastructure Warning Information Network. The responses received to the Green Paper emphasised the added value of a Community framework concerning critical infrastructure protection. The need to increase the critical infrastructure protection capability in Europe and to help reduce vulnerabilities concerning critical infrastructures was acknowledged. The importance of the key principles of subsidiarity, proportionality and complementarity, as well as of stakeholder dialogue was emphasised.
(3)
In December 2005 the Justice and Home Affairs Council called upon the Commission to make a proposal for a European programme for critical infrastructure protection (‘EPCIP’) and decided that it should be based on an all-hazards approach while countering threats from terrorism as a priority. Under this approach, man-made, technological threats and natural disasters should be taken into account in the critical infrastructure protection process, but the threat of terrorism should be given priority.
(4)
In April 2007 the Council adopted conclusions on the EPCIP in which it reiterated that it was the ultimate responsibility of the Member States to manage arrangements for the protection of critical infrastructures within their national borders while welcoming the efforts of the Commission to develop a European procedure for the identification and designation of European critical infrastructures (‘ECIs’) and the assessment of the need to improve their protection.
(5)
This Directive constitutes a first step in a step-by-step approach to identify and designate ECIs and assess the need to improve their protection. As such, this Directive concentrates on the energy and transport sectors and should be reviewed with a view to assessing its impact and the need to include other sectors within its scope, 
inter alia
, the information and communication technology (‘ICT’) sector.
(6)
The primary and ultimate responsibility for protecting ECIs falls on the Member States and the owners/operators of such infrastructures.
(7)
There are a certain number of critical infrastructures in the Community, the disruption or destruction of which would have significant cross-border impacts. This may include transboundary cross-sector effects resulting from interdependencies between interconnected infrastructures. Such ECIs should be identified and designated by means of a common procedure. The evaluation of security requirements for such infrastructures should be done under a common minimum approach. Bilateral schemes for cooperation between Member States in the field of critical infrastructure protection constitute a well-established and efficient means of dealing with transboundary critical infrastructures. EPCIP should build on such cooperation. Information pertaining to the designation of a particular infrastructure as an ECI should be classified at an appropriate level in accordance with existing Community and Member State legislation.
(8)
Since various sectors have particular experience, expertise and requirements concerning critical infrastructure protection, a Community approach to critical infrastructure protection should be developed and implemented taking into account sector specificities and existing sector based measures including those already existing at Community, national or regional level, and where relevant cross-border mutual aid agreements between owners/operators of critical infrastructures already in place. Given the very significant private sector involvement in overseeing and managing risks, business continuity planning and post-disaster recovery, a Community approach needs to encourage full private sector involvement.
(9)
In terms of the energy sector and in particular the methods of electricity generation and transmission (in respect of supply of electricity), it is understood that where deemed appropriate, electricity generation may include electricity transmission parts of nuclear power plants, but exclude the specifically nuclear elements covered by relevant nuclear legislation including treaties and Community law.
(10)
This Directive complements existing sectoral measures at Community level and in the Member States. Where Community mechanisms are already in place, they should continue to be used and will contribute to the overall implementation of this Directive. Duplication of, or contradiction between, different acts or provisions should be avoided.
(11)
Operator security plans (‘OSPs’) or equivalent measures comprising an identification of important assets, a risk assessment and the identification, selection and prioritisation of counter measures and procedures should be in place in all designated ECIs. With a view to avoiding unnecessary work and duplication, each Member State should first assess whether the owners/operators of designated ECIs possess relevant OSPs or similar measures. Where such plans do not exist, each Member State should take the necessary steps to make sure that appropriate measures are put in place. It is up to each Member State to decide on the most appropriate form of action with regard to the establishment of OSPs.
(12)
Measures, principles, guidelines, including Community measures as well as bilateral and/or multilateral cooperation schemes that provide for a plan similar or equivalent to an OSP or provide for a Security Liaison Officer or equivalent, should be deemed to satisfy the requirements of this Directive in relation to the OSP or the Security Liaison Officer respectively.
(13)
Security Liaison Officers should be identified for all designated ECIs in order to facilitate cooperation and communication with relevant national critical infrastructure protection authorities. With a view to avoiding unnecessary work and duplication, each Member State should first assess whether the owners/operators of designated ECIs already possess a Security Liaison Officer or equivalent. Where such a Security Liaison Officer does not exist, each Member State should take the necessary steps to make sure that appropriate measures are put in place. It is up to each Member State to decide on the most appropriate form of action with regard to the designation of Security Liaison Officers.
(14)
The efficient identification of risks, threats and vulnerabilities in the particular sectors requires communication both between owners/operators of ECIs and the Member States, and between the Member States and the Commission. Each Member State should collect information concerning ECIs located within its territory. The Commission should receive generic information from the Member States concerning risks, threats and vulnerabilities in sectors where ECIs were identified, including where relevant information on possible improvements in the ECIs and cross-sector dependencies, which could be the basis for the development of specific proposals by the Commission on improving the protection of ECIs, where necessary.
(15)
In order to facilitate improvements in the protection of ECIs, common methodologies may be developed for the identification and classification of risks, threats and vulnerabilities to infrastructure assets.
(16)
Owners/operators of ECIs should be given access primarily through relevant Member State authorities to best practices and methodologies concerning critical infrastructure protection.
(17)
Effective protection of ECIs requires communication, coordination, and cooperation at national and Community level. This is best achieved through the nomination of European critical infrastructure protection contact points (‘ECIP contact points’) in each Member State, who should coordinate European critical infrastructure protection issues internally, as well as with other Member States and the Commission.
(18)
In order to develop European critical infrastructure protection activities in areas which require a degree of confidentiality, it is appropriate to ensure a coherent and secure information exchange in the framework of this Directive. It is important that the rules of confidentiality according to applicable national law or Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 regarding public access to European Parliament, Council and Commission documents 
(
3
)
 are observed with regard to specific facts about critical infrastructure assets, which could be used to plan and act with a view to causing unacceptable consequences for critical infrastructure installations. Classified information should be protected in accordance with relevant Community and Member State legislation. Each Member State and the Commission should respect the relevant security classification given by the originator of a document.
(19)
Information sharing regarding ECIs should take place in an environment of trust and security. The sharing of information requires a relationship of trust such that companies and organisations know that their sensitive and confidential data will be sufficiently protected.
(20)
Since the objectives of this Directive, namely the creation of a procedure for the identification and designation of ECIs, and a common approach to the assessment of the need to improve the protection of such infrastructures, cannot be sufficiently achieved by the Member States and can therefore, by reason of the scale of the action, be better achieved at Community level, the Community may adopt measures in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty. In accordance with the principle of proportionality, as set out in that Article, this Directive does not go beyond what is necessary in order to achieve those objectives.
(21)
This Directive respects the fundamental rights and observes the principles recognised in particular by the Charter of Fundamental Rights of the European Union,
HAS ADOPTED THIS DIRECTIVE:
Article 1
Subject matter
This Directive establishes a procedure for the identification and designation of European critical infrastructures (‘ECIs’), and a common approach to the assessment of the need to improve the protection of such infrastructures in order to contribute to the protection of people.
Article 2
Definitions
For the purpose of this Directive:
(a)
‘critical infrastructure’ means an asset, system or part thereof located in Member States which is essential for the maintenance of vital societal functions, health, safety, security, economic or social well-being of people, and the disruption or destruction of which would have a significant impact in a Member State as a result of the failure to maintain those functions;
(b)
‘European critical infrastructure’ or ‘ECI’ means critical infrastructure located in Member States the disruption or destruction of which would have a significant impact on at least two Member States. The significance of the impact shall be assessed in terms of cross-cutting criteria. This includes effects resulting from cross-sector dependencies on other types of infrastructure;
(c)
‘risk analysis’ means consideration of relevant threat scenarios, in order to assess the vulnerability and the potential impact of disruption or destruction of critical infrastructure;
(d)
‘sensitive critical infrastructure protection related information’ means facts about a critical infrastructure, which if disclosed could be used to plan and act with a view to causing disruption or destruction of critical infrastructure installations;
(e)
‘protection’ means all activities aimed at ensuring the functionality, continuity and integrity of critical infrastructures in order to deter, mitigate and neutralise a threat, risk or vulnerability;
(f)
‘owners/operators of ECIs’ means those entities responsible for investments in, and/or day-to-day operation of, a particular asset, system or part thereof designated as an ECI under this Directive.
Article 3
Identification of ECIs
1.   Pursuant to the procedure provided in Annex III, each Member State shall identify potential ECIs which both satisfy the cross-cutting and sectoral criteria and meet the definitions set out in Article 2(a) and (b).
The Commission may assist Member States at their request to identify potential ECIs.
The Commission may draw the attention of the relevant Member States to the existence of potential critical infrastructures which may be deemed to satisfy the requirements for designation as an ECI.
Each Member State and the Commission shall continue on an ongoing basis the process of identifying potential ECIs.
2.   The cross-cutting criteria referred to in paragraph 1 shall comprise the following:
(a)
casualties criterion (assessed in terms of the potential number of fatalities or injuries);
(b)
economic effects criterion (assessed in terms of the significance of economic loss and/or degradation of products or services; including potential environmental effects);
(c)
public effects criterion (assessed in terms of the impact on public confidence, physical suffering and disruption of daily life; including the loss of essential services).
The cross-cutting criteria thresholds shall be based on the severity of the impact of the disruption or destruction of a particular infrastructure. The precise thresholds applicable to the cross-cutting criteria shall be determined on a case-by-case basis by the Member States concerned by a particular critical infrastructure. Each Member State shall inform the Commission on an annual basis of the number of infrastructures per sector for which discussions were held concerning the cross-cutting criteria thresholds.
The sectoral criteria shall take into account the characteristics of individual ECI sectors.
The Commission together with the Member States shall develop guidelines for the application of the cross-cutting and sectoral criteria and approximate thresholds to be used to identify ECIs. The criteria shall be classified. The use of such guidelines shall be optional for the Member States.
3.   The sectors to be used for the purposes of implementing this Directive shall be the energy and transport sectors. The subsectors are identified in Annex I.
If deemed appropriate and in conjunction with the review of this Directive as laid down in Article 11, subsequent sectors to be used for the purpose of implementing this Directive may be identified. Priority shall be given to the ICT sector.
Article 4
Designation of ECIs
1.   Each Member State shall inform the other Member States which may be significantly affected by a potential ECI about its identity and the reasons for designating it as a potential ECI.
2.   Each Member State on whose territory a potential ECI is located shall engage in bilateral and/or multilateral discussions with the other Member States which may be significantly affected by the potential ECI. The Commission may participate in these discussions but shall not have access to detailed information which would allow for the unequivocal identification of a particular infrastructure.
A Member State that has reason to believe that it may be significantly affected by the potential ECI, but has not been identified as such by the Member State on whose territory the potential ECI is located, may inform the Commission about its wish to be engaged in bilateral and/or multilateral discussions on this issue. The Commission shall without delay communicate this wish to the Member State on whose territory the potential ECI is located and endeavour to facilitate agreement between the parties.
3.   The Member State on whose territory a potential ECI is located shall designate it as an ECI following an agreement between that Member State and those Member States that may be significantly affected.
The acceptance of the Member State on whose territory the infrastructure to be designated as an ECI is located, shall be required.
4.   The Member State on whose territory a designated ECI is located shall inform the Commission on an annual basis of the number of designated ECIs per sector and of the number of Member States dependent on each designated ECI. Only those Member States that may be significantly affected by an ECI shall know its identity.
5.   The Member States on whose territory an ECI is located shall inform the owner/operator of the infrastructure concerning its designation as an ECI. Information concerning the designation of an infrastructure as an ECI shall be classified at an appropriate level.
6.   The process of identifying and designating ECIs pursuant to Article 3 and this Article shall be completed by 12 January 2011 and reviewed on a regular basis.
Article 5
Operator security plans
1.   The operator security plan (‘OSP’) procedure shall identify the critical infrastructure assets of the ECI and which security solutions exist or are being implemented for their protection. The minimum content to be addressed by an ECI OSP procedure is set out in Annex II.
2.   Each Member State shall assess whether each designated ECI located on its territory possesses an OSP or has in place equivalent measures addressing the issues identified in Annex II. If a Member State finds that such an OSP or equivalent exists and is updated regularly, no further implementation action shall be necessary.
3.   If a Member State finds that such an OSP or equivalent has not been prepared, it shall ensure by any measures deemed appropriate, that the OSP or equivalent is prepared addressing the issues identified in Annex II.
Each Member State shall ensure that the OSP or equivalent is in place and is reviewed regularly within one year following designation of the critical infrastructure as an ECI. This period may be extended in exceptional circumstances, by agreement with the Member State authority and with a notification to the Commission.
4.   In a case where supervisory or oversight arrangements already exist in relation to an ECI such arrangements are not affected by this Article and the relevant Member State authority referred to in this Article shall be the supervisor under those existing arrangements.
5.   Compliance with measures including Community measures which in a particular sector require, or refer to a need to have, a plan similar or equivalent to an OSP and oversight by the relevant authority of such a plan, is deemed to satisfy all the requirements of Member States under, or adopted pursuant to, this Article. The guidelines for application referred to in Article 3(2) shall contain an indicative list of such measures.
Article 6
Security Liaison Officers
1.   The Security Liaison Officer shall function as the point of contact for security related issues between the owner/operator of the ECI and the relevant Member State authority.
2.   Each Member State shall assess whether each designated ECI located on its territory possesses a Security Liaison Officer or equivalent. If a Member State finds that such a Security Liaison Officer is in place or an equivalent exists, no further implementation action shall be necessary.
3.   If a Member State finds that a Security Liaison Officer or equivalent does not exist in relation to a designated ECI, it shall ensure by any measures deemed appropriate, that such a Security Liaison Officer or equivalent is designated.
4.   Each Member State shall implement an appropriate communication mechanism between the relevant Member State authority and the Security Liaison Officer or equivalent with the objective of exchanging relevant information concerning identified risks and threats in relation to the ECI concerned. This communication mechanism shall be without prejudice to national requirements concerning access to sensitive and classified information.
5.   Compliance with measures including Community measures which in a particular sector require, or refer to a need to have, a Security Liaison Officer or equivalent, is deemed to satisfy all the requirements of Member States in, or adopted pursuant to, this Article. The guidelines for application referred to in Article 3(2) shall contain an indicative list of such measures.
Article 7
Reporting
1.   Each Member State shall conduct a threat assessment in relation to ECI subsectors within one year following the designation of critical infrastructure on its territory as an ECI within those subsectors.
2.   Each Member State shall report every two years to the Commission generic data on a summary basis on the types of risks, threats and vulnerabilities encountered per ECI sector in which an ECI has been designated pursuant to Article 4 and is located on its territory.
A common template for these reports may be developed by the Commission in cooperation with the Member States.
Each report shall be classified at an appropriate level as deemed necessary by the originating Member State.
3.   Based on the reports referred to in paragraph 2, the Commission and the Member States shall assess on a sectoral basis whether further protection measures at Community level should be considered for ECIs. This process shall be undertaken in conjunction with the review of this Directive as laid down in Article 11.
4.   Common methodological guidelines for carrying out risk analyses in respect of ECIs may be developed by the Commission in cooperation with the Member States. The use of such guidelines shall be optional for the Member States.
Article 8
Commission support for ECIs
The Commission shall support, through the relevant Member State authority, the owners/operators of designated ECIs by providing access to available best practices and methodologies as well as support training and the exchange of information on new technical developments related to critical infrastructure protection.
Article 9
Sensitive European critical infrastructure protection-related information
1.   Any person handling classified information pursuant to this Directive on behalf of a Member State or the Commission shall have an appropriate level of security vetting.
Member States, the Commission and relevant supervisory bodies shall ensure that sensitive European critical infrastructure protection-related information submitted to the Member States or to the Commission is not used for any purpose other than the protection of critical infrastructures.
2.   This Article shall also apply to non-written information exchanged during meetings at which sensitive subjects are discussed.
Article 10
European critical infrastructure protection contact points
1.   Each Member State shall appoint a European critical infrastructure protection contact point (‘ECIP contact point’).
2.   ECIP contact points shall coordinate European critical infrastructure protection issues within the Member State, with other Member States and with the Commission. The appointment of an ECIP contact point does not preclude other authorities in a Member State from being involved in European critical infrastructure protection issues.
Article 11
Review
A review of this Directive shall begin on 12 January 2012.
Article 12
Implementation
Member States shall take the necessary measures to comply with this Directive by 12 January 2011. They shall forthwith inform the Commission thereof and communicate the text of those measures and their correlation with this Directive.
When they are adopted by Member States, these measures shall contain a reference to this Directive or shall be accompanied by such reference on the occasion of their official publication. The methods of making such reference shall be laid down by Member States.
Article 13
Entry into force
This Directive shall enter into force on the 20th day following its publication in the 
Official Journal of the European Union
.
Article 14
Addressees
This Directive is addressed to the Member States.
Done at Brussels, 8 December 2008.
For the Council
The President
B. KOUCHNER
(
1
)
  Opinion of 10 July 2007 (not yet published in the Official Journal).
(
2
)
  
            
OJ C 116, 26.5.2007, p. 1
.
(
3
)
  
            
OJ L 145, 31.5.2001, p. 43
.
ANNEX I
List of ECI sectors
Sector
Subsector
I
Energy
1.
Electricity
Infrastructures and facilities for generation and transmission of electricity in respect of supply electricity
2.
Oil
Oil production, refining, treatment, storage and transmission by pipelines
3.
Gas
Gas production, refining, treatment, storage and transmission by pipelines
LNG terminals
II
Transport
4.
Road transport
5.
Rail transport
6.
Air transport
7.
Inland waterways transport
8.
Ocean and short-sea shipping and ports
The identification by the Member States of critical infrastructures which may be designated as ECIs is undertaken pursuant to Article 3. Therefore the list of ECI sectors in itself does not generate a generic obligation to designate an ECI in each sector.
ANNEX II
ECI OSP PROCEDURE
The OSP will identify critical infrastructure assets and which security solutions exist or are being implemented for their protection. The ECI OSP procedure will cover at least:
1.
identification of important assets;
2.
conducting a risk analysis based on major threat scenarios, vulnerability of each asset, and potential impact; and
3.
identification, selection and prioritisation of counter-measures and procedures with a distinction between:
—
permanent security measures, which identify indispensable security investments and means which are relevant to be employed at all times. This heading will include information concerning general measures such as technical measures (including installation of detection, access control, protection and prevention means); organisational measures (including procedures for alerts and crisis management); control and verification measures; communication; awareness raising and training; and security of information systems,
—
graduated security measures, which can be activated according to varying risk and threat levels.
ANNEX III
Procedure for the identification by the Member States of critical infrastructures which may be designated as an ECI pursuant to Article 3
Article 3 requires each Member State to identify the critical infrastructures which may be designated as an ECI. This procedure shall be implemented by each Member State through the following series of consecutive steps.
A potential ECI which does not satisfy the requirements of one of the following sequential steps is considered to be ‘non-ECI’ and is excluded from the procedure. A potential ECI which does satisfy the requirements shall be subjected to the next steps of this procedure.
Step 1
Each Member State shall apply the sectoral criteria in order to make a first selection of critical infrastructures within a sector.
Step 2
Each Member State shall apply the definition of critical infrastructure pursuant to Article 2(a) to the potential ECI identified under step 1.
The significance of the impact will be determined either by using national methods for identifying critical infrastructures or with reference to the cross-cutting criteria, at an appropriate national level. For infrastructure providing an essential service, the availability of alternatives, and the duration of disruption/recovery will be taken into account.
Step 3
Each Member State shall apply the transboundary element of the definition of ECI pursuant to Article 2(b) to the potential ECI that has passed the first two steps of this procedure. A potential ECI which does satisfy the definition will follow the next step of the procedure. For infrastructure providing an essential service, the availability of alternatives, and the duration of disruption/recovery will be taken into account.
Step 4
Each Member State shall apply the cross-cutting criteria to the remaining potential ECIs. The cross-cutting criteria shall take into account: the severity of impact; and, for infrastructure providing an essential service, the availability of alternatives; and the duration of disruption/recovery. A potential ECI which does not satisfy the cross-cutting criteria will not be considered to be an ECI.
A potential ECI which has passed through this procedure shall only be communicated to the Member States which may be significantly affected by the potential ECI.

Summary:
Protecting critical infrastructure
SUMMARY OF:
Directive 2008/114/EC — identification and designation of European critical infrastructures and assessment of the need to improve their protection
WHAT IS THE AIM OF THE DIRECTIVE?
It establishes a European Union (EU) process for identifying and designating European critical infrastructures
*
 (ECIs), and sets out an approach for improving their protection.
KEY POINTS
Identification and designation of ECIs
EU countries go through a process of identifying potential ECIs, with the help of the 
European Commission
 if required. When identifying potential ECIs, they should use:
cross
-
cutting criteria
 such as possible casualties, economic effects and effect on the public; and
sectoral criteria
 specific to the type of ECI.
EU countries go through a cooperative designation process (e.g. discussions with other EU countries) for potential ECIs located on their territory.
EU countries regularly review the identification and designation of ECIs.
The directive applies only to the energy and transport sectors (see Annex I of the directive). In time, other sectors may be added to its scope.
Operator security plans
EU countries ensure that an 
operator security plan
 (OSP) is in place for each ECI.
The purpose of the OSP process is to identify the critical assets of the ECI, as well as the existing security solutions for protecting them.
Security liaison officers
EU countries ensure that a security liaison officer is designated for each ECI.
The officer serves as the contact point between the owner/operator of the ECI and the EU country’s authority concerned.
Reporting
EU countries conduct 
threat assessments
 in relation to ECIs within 1 year following the designation of critical infrastructure.
EU countries report general data to the Commission on the types of risks, threats and vulnerabilities every 2 years.
FROM WHEN DOES THE DIRECTIVE APPLY?
It has applied since 12 January 2009. EU countries had to incorporate it into national law by 12 January 2011.
BACKGROUND
National authorities are predominantly responsible for the protection of critical infrastructure. However, disruptions to critical infrastructure can be felt across national borders. That is why an EU dimension to help manage these risks is needed. In 2007, the Council of the EU adopted conclusions on a 
European programme for critical infrastructure protection (EPCIF)
. This programme aims to improve the protection of critical infrastructures against all types of threats and hazards.
Following a review of Directive 2008/114/EC, the Commission, in 2013, set out a new 
approach
 towards implementing the European programme for critical infrastructure protection. This aims at building common tools and a common approach in the EU to critical infrastructure protection and resilience, taking better account of interdependencies between critical infrastructures, industry and state actors.
For more information, see:
‘
                      
Critical infrastructure
’ on the European Commission's website.
* KEY TERMS
Critical infrastructure:
 assets or systems essential for the maintenance of vital social functions, health, safety, security, and economic or social wellbeing of people. European critical infrastructure (ECI) is critical infrastructure in EU countries whose disruption or destruction would have a significant impact on at least 2 EU countries (e.g. electricity power plants or oil transmission pipelines).
MAIN DOCUMENT
Council Directive 
2008/114/EC
 of 8 December 2008 on the identification and designation of European critical infrastructures and the assessment of the need to improve their protection (OJ L 345, 23.12.2008, pp. 75–82)
RELATED DOCUMENTS
Communication from the Commission to the Council and the European Parliament — Critical Infrastructure Protection in the fight against terrorism (
COM(2004) 702 final
, 20.10.2004)
Green Paper on a European programme for critical infrastructure protection (
COM(2005) 576 final
, 17.11.2005)
Communication from the Commission on a European Programme for Critical Infrastructure Protection (
COM(2006) 786 final
, 12.12.2006)
Commission Staff Working Document on a new approach to the European Programme for Critical Infrastructure Protection: Making European Critical Infrastructures more secure (
SWD(2013) 318 final
, 28.8.2013)
last update 14.11.2016

--- DANISH ---

Document:
23.12.2008
DA
Den Europæiske Unions Tidende
L 345/75
RÅDETS DIREKTIV 2008/114/EF
af 8. december 2008
om indkredsning og udpegning af europæisk kritisk infrastruktur og vurdering af behovet for at beskytte den bedre
(EØS-relevant tekst)
RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om oprettelse af Det Europæiske Fællesskab, særlig artikel 308,
under henvisning til forslag fra Kommissionen,
under henvisning til udtalelse fra Europa-Parlamentet 
(
1
)
,
under henvisning til udtalelse fra Den Europæiske Centralbank 
(
2
)
, og
ud fra følgende betragtninger:
(1)
I juni 2004 anmodede Det Europæiske Råd om, at der udarbejdes en overordnet strategi for beskyttelse af kritisk infrastruktur. Som reaktion herpå vedtog Kommissionen den 20. oktober 2004 en meddelelse vedrørende beskyttelse af kritisk infrastruktur i forbindelse med bekæmpelse af terrorisme, der indeholder forslag til, hvordan EU kan forbedre forebyggelsen af, beredskabet i forbindelse med og reaktionen på terrorangreb, der påvirker kritisk infrastruktur.
(2)
Den 17. november 2005 vedtog Kommissionen en grønbog om et europæisk program for beskyttelse af kritisk infrastruktur, hvori der redegøres for de politiske muligheder for at fastlægge programmet og oprette et informations- og varslingsnetværk vedrørende kritisk infrastruktur. I reaktionerne på grønbogen understregedes merværdien ved en fællesskabsramme for beskyttelse af kritisk infrastruktur. Det bekræftedes, at der er behov for at øge mulighederne for at beskytte kritisk infrastruktur i EU og mindske den kritiske infrastrukturs sårbarhed. Betydningen af de grundlæggende principper om subsidiaritet, proportionalitet og komplementaritet samt dialog med de berørte blev fremhævet.
(3)
I december 2005 opfordrede Rådet (retlige og indre anliggender) Kommissionen til at fremsætte forslag til et europæisk program for beskyttelse af kritisk infrastruktur (EPCIP-programmet (European Programme for Critical Infrastructure Protection)) og besluttede, at det skulle omfatte alle former for farer, idet der dog skulle lægges særlig vægt på terrortrusler. Der skulle tages hensyn til menneskeskabte teknologiske trusler og naturkatastrofer i forbindelse med beskyttelsen af kritisk infrastruktur, men terrortruslen skulle have førsteprioritet.
(4)
I april 2007 vedtog Rådet konklusioner om EPCIP, hvori det gentog, at medlemsstaterne har det endelige ansvar for forvaltningen af ordninger til beskyttelse af kritiske infrastrukturer inden for deres nationale grænser, samtidig med at det hilste Kommissionens bestræbelser på at udvikle en europæisk procedure til indkredsning og udpegning af europæisk kritisk infrastruktur og vurdering af behovet for at beskytte den velkommen.
(5)
Dette direktiv er det første trin i en trinvis metode til at indkredse og udpege europæisk kritisk infrastruktur og vurdere behovet for at beskytte den bedre. Direktivet er som sådan koncentreret om transport- og energisektoren og vil blive taget op til revision for at vurdere konsekvenserne af det og behovet for at udvide dets anvendelsesområde til også at omfatte andre sektorer, bl.a. informations- og kommunikationsteknologisektoren (ikt).
(6)
Hovedansvaret og det endelige ansvar for at beskytte europæisk kritisk infrastruktur påhviler medlemsstaterne og ejerne/operatørerne af den pågældende infrastruktur.
(7)
Der findes et vist antal kritiske infrastrukturer i Fællesskabet, hvis afbrydelse eller ødelæggelse ville få betydelige konsekvenser på tværs af grænserne. Det kan f.eks. være konsekvenser på tværs af grænser og sektorer som følge af den gensidige afhængighed af indbyrdes forbundne infrastrukturer. Disse europæiske kritiske infrastrukturer bør indkredses og udpeges ved hjælp af en fælles procedure. Evalueringen af sikkerhedskravene til en sådan infrastruktur bør ske i henhold til en fælles minimumsstrategi. Bilaterale samarbejdsordninger mellem medlemsstaterne på området beskyttelse af kritisk infrastruktur udgør et veletableret og effektivt middel til at tage fat på problemer med kritisk infrastruktur, der går på tværs af grænserne. EPCIP-programmet bør bygge på et sådant samarbejde. Oplysninger i forbindelse med udpegning af en bestemt infrastruktur som europæisk kritisk infrastruktur bør sikkerhedsklassificeres på et passende niveau i overensstemmelse med den eksisterende lovgivning i Fællesskabet og i medlemsstaterne.
(8)
Da de forskellige sektorer har særlig erfaring og ekspertise og særlige krav for så vidt angår beskyttelse af kritisk infrastruktur, bør der udvikles en fællesskabsstrategi for beskyttelse af kritisk infrastruktur, som skal gennemføres under hensyntagen til sektorernes karakteristika og eksisterende sektorbaserede foranstaltninger, herunder foranstaltninger, der allerede findes på fællesskabsplan, på nationalt eller regionalt plan, samt, hvor dette er relevant, allerede indgåede aftaler mellem ejere/operatører af kritisk infrastruktur om gensidig bistand på tværs af grænserne. Da den private sektor spiller en meget betydelig rolle i forbindelse med tilsyn og risikostyring, planer for fortsættelse af driften og genetablering efter en katastrofe, skal Fællesskabets strategi fremme fuld inddragelse af den private sektor.
(9)
Hvad angår energisektoren og navnlig metoderne til fremstilling og transmission af elektricitet (med henblik på elforsyning) ligger det fast, at elfremstilling, for så vidt det skønnes hensigtsmæssigt, kan inkludere eltransmissionsdele af kernekraftværker uden at inkludere de specifikt nukleare elementer, der er omfattet af den relevante nukleare lovgivning, herunder nukleare traktater og fællesskabsretten.
(10)
Dette direktiv supplerer de eksisterende sektorbaserede foranstaltninger på fællesskabsplan og i medlemsstaterne. De steder, hvor der allerede findes fællesskabsmekanismer, bør disse fortsat anvendes, og de vil hjælpe med til at sikre en generel gennemførelse af dette direktiv. Overlapning eller modstrid mellem forskellige retsakter eller bestemmelser bør undgås.
(11)
Sikkerhedsplaner for operatører eller tilsvarende foranstaltninger, der omfatter identifikation af vigtige aktiver, risikovurdering samt indkredsning, udvælgelse og prioritering af modforholdsregler og procedurer bør foreligge for alle udpegede europæiske kritiske infrastrukturer. For at undgå unødigt arbejde og dobbeltarbejde bør den enkelte medlemsstat først vurdere, hvorvidt ejerne/operatørerne af en udpeget europæisk kritisk infrastruktur råder over relevante sikkerhedsplaner for operatører eller lignende foranstaltninger. Hvis der ikke findes sådanne planer, bør den enkelte medlemsstat sørge for, at der iværksættes passende foranstaltninger. Den enkelte medlemsstat kan selv afgøre, hvad der vil være den mest hensigtsmæssige fremgangsmåde med hensyn til udformning af sikkerhedsplaner for operatører.
(12)
Foranstaltninger, principper og retningslinjer, herunder fællesskabsforanstaltninger samt bilaterale og/eller multilaterale samarbejdsordninger, som indeholder bestemmelser om en plan, der ligner eller svarer til en sikkerhedsplan for operatører, eller bestemmelser om en sikkerhedsforbindelsesofficer eller tilsvarende, bør anses for at opfylde dette direktivs krav til henholdsvis en sikkerhedsplan for operatører og en sikkerhedsforbindelsesofficer.
(13)
Der bør udpeges sikkerhedsforbindelsesofficerer for alle udpegede europæiske kritiske infrastrukturer for derved at lette samarbejdet og kommunikationen med de relevante nationale myndigheder for beskyttelse af kritisk infrastruktur. For at undgå unødigt arbejde og dobbeltarbejde bør den enkelte medlemsstat først vurdere, hvorvidt ejerne/operatørerne af en udpeget europæisk kritisk infrastruktur allerede har en sikkerhedsforbindelsesofficer eller tilsvarende. Hvis der ikke findes en sådan sikkerhedsforbindelsesofficer, bør den enkelte medlemsstat sørge for, at der iværksættes passende foranstaltninger. Den enkelte medlemsstat kan selv afgøre, hvad der vil være den mest hensigtsmæssige fremgangsmåde med hensyn til udpegning af sikkerhedsforbindelsesofficerer.
(14)
En effektiv indkredsning af risici, trusler og sårbarhed i de særlige sektorer forudsætter kommunikation både mellem ejere/operatører af europæisk kritisk infrastruktur og medlemsstaterne og mellem medlemsstaterne og Kommissionen. Hver medlemsstat bør indsamle oplysninger vedrørende europæisk kritisk infrastruktur, der er beliggende på dens område. Kommissionen bør modtage generelle oplysninger fra medlemsstaterne om risici, trusler og sårbarhed i de sektorer, hvor den europæiske kritiske infrastruktur blev indkredset, herunder relevante oplysninger om mulige forbedringer i den europæiske kritiske infrastruktur og afhængighed på tværs af sektorer, som kan udgøre grundlaget for Kommissionens udformning af specifikke forslag til forbedring af beskyttelsen af europæisk kritisk infrastruktur, når det er nødvendigt.
(15)
For at gøre det lettere at forbedre beskyttelsen af europæisk kritisk infrastruktur kan der udvikles fælles metoder til indkredsning og klassificering af risici, trusler og sårbarhed i forbindelse med infrastrukturen.
(16)
Ejere/operatører af europæisk kritisk infrastruktur bør have adgang primært gennem relevante myndigheder i medlemsstaterne til bedste praksis og de bedste metoder for så vidt angår beskyttelse af kritisk infrastruktur.
(17)
En effektiv beskyttelse af europæisk kritisk infrastruktur forudsætter kommunikation, koordinering og samarbejde på nationalt plan og fællesskabsplan. Det opnås bedst ved at udpege kontaktpunkter for beskyttelse af europæisk kritisk infrastruktur (CIP (Critical Infrastructure Protection)) i hver medlemsstat, som bør koordinere spørgsmål i forbindelse med beskyttelse af europæisk kritisk infrastruktur internt, samt med andre medlemsstater og Kommissionen.
(18)
For at udvikle aktiviteter i forbindelse med beskyttelse af europæisk kritisk infrastruktur på områder, der kræver en vis grad af fortrolighed, er det hensigtsmæssigt at sikre en sammenhængende og sikker udveksling af oplysninger inden for rammerne af dette direktiv. Det er vigtigt, at reglerne om fortrolighed i henhold til gældende national lovgivning eller Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter 
(
3
)
 overholdes med hensyn til særlige data om kritisk infrastruktur, som kan anvendes til at planlægge og handle med henblik på at forårsage uacceptable følger for infrastrukturen. Klassificerede oplysninger bør beskyttes i overensstemmelse med den relevante fællesskabslovgivning og lovgivningen i medlemsstaterne. Hver enkelt medlemsstat og Kommissionen bør respektere den sikkerhedsklassificering, som ophavsmanden til et dokument har givet det.
(19)
Informationsdeling for så vidt angår europæisk kritisk infrastruktur bør ske i en atmosfære af tillid og sikkerhed. Informationsdeling kræver relationer, der bygger på tillid, således at virksomheder og organisationer ved, at deres følsomme og fortrolige oplysninger beskyttes i tilstrækkelig grad.
(20)
Målene for dette direktiv, nemlig indførelsen af en procedure for indkredsning og udpegning af europæisk kritisk infrastruktur og en fælles fremgangsmåde til vurdering af behovene for at forbedre beskyttelsen af denne infrastruktur, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne og kan derfor på grund af foranstaltningernes omfang bedre nås på fællesskabsplan; Fællesskabet kan derfor træffe foranstaltninger i overensstemmelse med subsidiaritetsprincippet, jf. traktatens artikel 5. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går dette direktiv ikke ud over, hvad der er nødvendigt for at nå disse mål.
(21)
Dette direktiv respekterer de grundlæggende rettigheder og de principper, som anerkendes i bl.a. Den Europæiske Unions charter om grundlæggende rettigheder —
UDSTEDT FØLGENDE DIREKTIV:
Artikel 1
Anvendelsesområde
I dette direktiv fastsættes en procedure for indkredsning og udpegning af europæisk kritisk infrastruktur og en fælles fremgangsmåde til vurdering af behovet for at beskytte denne type infrastruktur med henblik på at bidrage til beskyttelsen af mennesker.
Artikel 2
Definitioner
I dette direktiv forstås ved:
a)
»kritisk infrastruktur«: aktiver, systemer eller dele deraf, der befinder sig i medlemsstaterne, og som er væsentlige for opretholdelsen af vitale samfundsmæssige funktioner og menneskers sundhed, sikkerhed og økonomiske eller sociale velfærd, og hvis afbrydelse eller ødelæggelse i væsentlig grad ville påvirke en medlemsstat som følge af, at disse funktioner ikke kan opretholdes
b)
»europæisk kritisk infrastruktur«: kritisk infrastruktur, der befinder sig i medlemsstaterne, og hvis afbrydelse eller ødelæggelse ville få betydelige konsekvenser for to eller flere medlemsstater. Betydningen af konsekvenserne vurderes ud fra de tværgående kriterier. Dette omfatter også konsekvenser som følge af afhængighed på tværs af sektorerne af andre typer infrastruktur
c)
»risikoanalyse«: overvejelse af relevante trusselscenarier for at vurdere sårbarheden og de potentielle konsekvenser af, at kritisk infrastruktur afbrydes eller ødelægges
d)
»følsomme oplysninger vedrørende beskyttelse af kritisk infrastruktur«: data om kritisk infrastruktur, som, hvis de blev offentliggjort, kunne anvendes til at planlægge og handle med henblik på at forårsage afbrydelse eller ødelæggelse af kritiske infrastrukturanlæg
e)
»beskyttelse«: alle aktiviteter, der tager sigte på at sikre kritisk infrastrukturs funktionalitet, kontinuitet og integritet med henblik på at afværge, afbøde og neutralisere en trussel, en risiko eller sårbarhed
f)
»ejere/operatører af europæisk kritisk infrastruktur«: enheder, der har ansvaret for investeringerne eller den daglige drift af og investeringen i et bestemt aktiv, system eller en del deraf, der er udpeget som europæisk kritisk infrastruktur i henhold til dette direktiv.
Artikel 3
Indkredsning af europæisk kritisk infrastruktur
1.   Hver medlemsstat indkredser efter proceduren i bilag III den potentielle europæiske kritiske infrastruktur, som både opfylder de tværgående og sektorbaserede kriterier og er i overensstemmelse med definitionerne i artikel 2, litra a) og b).
Kommissionen kan på medlemsstaternes anmodning bistå disse med at indkredse potentiel europæisk kritisk infrastruktur.
Kommissionen kan henlede de relevante medlemsstaters opmærksomhed på eksistensen af potentiel kritisk infrastruktur, der kan anses for at opfylde kravene for udpegning som europæisk kritisk infrastruktur.
Hver enkelt medlemsstat og Kommissionen fortsætter løbende processen med at indkredse potentiel europæisk kritisk infrastruktur.
2.   De tværgående kriterier omfatter følgende:
a)
Kriteriet vedrørende ofre (en vurdering af det potentielle antal dræbte eller kvæstede)
b)
Kriteriet vedrørende de økonomiske konsekvenser (en vurdering af størrelsen af det økonomiske tab og/eller forringelsen af varer eller tjenester; herunder potentielle miljømæssige konsekvenser)
c)
Kriteriet vedrørende almene konsekvenser (en vurdering af konsekvenserne med hensyn til befolkningens tillid, fysiske lidelser og forstyrrelse af dagligdagen; herunder udfald af væsentlige tjenester).
Tærskelværdierne for de tværgående kriterier skal baseres på, hvor alvorlige følgerne er af afbrydelsen eller ødelæggelsen af en bestemt infrastruktur. De præcise tærskelværdier, der skal gælde for de tværgående kriterier, fastlægges i hvert enkelt tilfælde af de medlemsstater, der er berørt af en bestemt kritisk infrastruktur. Hver medlemsstat underretter hvert år Kommissionen om antallet af infrastrukturer pr. sektor, som har været genstand for drøftelser med hensyn til tærskelværdier for de tværgående kriterier.
De sektorbaserede kriterier tager hensyn til de særlige kendetegn for de enkelte sektorer med europæisk kritisk infrastruktur.
Kommissionen udarbejder sammen med medlemsstaterne retningslinjer for anvendelsen af de tværgående og sektorbaserede kriterier og de omtrentlige grænseværdier, der skal bruges til indkredsning af europæisk kritisk infrastruktur. Kriterierne klassificeres. Medlemsstaterne kan frit vælge, om de vil anvende sådanne retningslinjer.
3.   De sektorer, hvor gennemførelsen af dette direktiv skal iværksættes, er energi- og transportsektoren. Undersektorerne er angivet i bilag I.
I forbindelse med revisionen af dette direktiv, jf. artikel 11, kan der, hvis det skønnes hensigtsmæssigt, udpeges yderligere sektorer, hvor gennemførelsen af dette direktiv skal iværksættes. Informations- og kommunikationsteknologisektoren (ikt) skal have førsteprioritet.
Artikel 4
Udpegning af europæisk kritisk infrastruktur
1.   Hver medlemsstat underretter de øvrige medlemsstater, som kan blive berørt i betydelig grad af en potentiel europæisk kritisk infrastruktur, om dens identitet og om årsagerne til at udpege den som potentiel europæisk kritisk infrastruktur.
2.   Hver enkelt medlemsstat, på hvis område der befinder sig en potentiel europæisk kritisk infrastruktur, indleder bilaterale og/eller multilaterale drøftelser med de øvrige medlemsstater, som kan blive berørt i betydelig grad af den potentielle europæiske kritiske infrastruktur. Kommissionen kan deltage i disse drøftelser, men har ikke adgang til detaljerede oplysninger, som vil muliggøre en utvetydig indkredsning af en bestemt infrastruktur.
En medlemsstat, der har grund til at mene, at den kan blive berørt i betydelig grad af en potentiel europæisk kritisk infrastruktur, der imidlertid ikke er blevet indkredset som sådan af den medlemsstat, på hvis område den potentielle europæiske kritiske infrastruktur er beliggende, kan underrette Kommissionen om sit ønske om at indlede bilaterale og/eller multilaterale drøftelser om dette spørgsmål. Kommissionen underretter straks den medlemsstat, på hvis område den potentielle europæiske kritiske infrastruktur er beliggende, om dette ønske og bestræber sig på at fremme en aftale mellem parterne.
3.   Den medlemsstat, på hvis område en potentiel europæisk kritisk infrastruktur er beliggende, udpeger den som europæisk kritisk infrastruktur på grundlag af en aftale mellem denne medlemsstat og de medlemsstater, der kan blive berørt i betydelig grad.
Accepten fra den medlemsstat, på hvis område den infrastruktur, der skal udpeges som europæisk kritisk infrastruktur, er beliggende, er nødvendig.
4.   Den medlemsstat, på hvis område en udpeget europæisk kritisk infrastruktur er beliggende, underretter hvert år Kommissionen om antallet af udpegede europæiske kritiske infrastrukturer pr. sektor og antallet af medlemsstater, der er afhængige af hver udpeget europæisk kritisk infrastruktur. Kun de medlemsstater, som kan blive berørt i betydelig grad af en europæisk kritisk infrastruktur, får kendskab til dens identitet.
5.   De medlemsstater, på hvis område den europæiske kritiske infrastruktur er beliggende, underretter ejeren/operatøren af infrastrukturen om dens udpegning som europæisk kritisk infrastruktur. Oplysninger om udpegning af en infrastruktur som europæisk kritisk infrastruktur sikkerhedsklassificeres på et passende niveau.
6.   Processen med indkredsning og udpegning af europæisk kritisk infrastruktur, jf. artikel 3 og nærværende artikel, skal være tilendebragt senest den 12. januar 2011 og skal jævnligt tages op til revision.
Artikel 5
Sikkerhedsplaner for operatører
1.   Ved hjælp af proceduren vedrørende sikkerhedsplanen for operatører identificeres de kritiske infrastrukturaktiver i forbindelse med den europæiske kritiske infrastruktur, samt hvilke sikkerhedsløsninger der findes eller gennemføres med henblik på at beskytte dem. Det fremgår af bilag II, hvad en procedure vedrørende en sikkerhedsplan for operatører som minimum skal omfatte.
2.   Hver enkelt medlemsstat kontrollerer, at alle udpegede europæiske kritiske infrastrukturer, der er beliggende på dens område, har en sikkerhedsplan for operatører eller har iværksat tilsvarende foranstaltninger, der dækker de punkter, der er opstillet i bilag II. Hvis en medlemsstat konstaterer, at en sådan sikkerhedsplan for operatører eller tilsvarende findes og jævnligt ajourføres, er det ikke nødvendigt at foretage sig yderligere med henblik på gennemførelsen.
3.   Hvis en medlemsstat konstaterer, at der ikke er udarbejdet en sådan sikkerhedsplan for operatører eller tilsvarende, sikrer den ved hjælp af hensigtsmæssige foranstaltninger, at sikkerhedsplanen for operatører eller tilsvarende udarbejdes og dækker de punkter, der er opstillet i bilag II.
Hver medlemsstat sikrer senest et år efter, at den kritiske infrastruktur er blevet udpeget som europæisk kritisk infrastruktur, at sikkerhedsplanerne for operatører eller tilsvarende er iværksat og jævnligt tages op til revision. Denne periode kan forlænges under særlige omstændigheder efter aftale med medlemsstatens myndighed, og Kommissionen underrettes herom.
4.   Hvis der allerede findes tilsyns- eller overvågningsordninger i forbindelse med europæisk kritisk infrastruktur, berøres disse ordninger ikke af denne artikel, og medlemsstatens relevante myndighed, som nævnt i denne artikel, er den tilsynsførende i henhold til disse eksisterende ordninger.
5.   Ved overholdelse af foranstaltninger, herunder fællesskabsforanstaltninger, som i en bestemt sektor kræver eller henviser til et behov for at have en plan svarende til en sikkerhedsplan for operatører, og overvågning af en sådan plan foretaget af den relevante myndighed, anses alle medlemsstaternes krav i, eller vedtaget i henhold til, denne artikel for at være opfyldt. De retningslinjer for anvendelsen, der er omhandlet i artikel 3, stk. 2, skal indeholde en vejledende liste over sådanne foranstaltninger.
Artikel 6
Sikkerhedsforbindelsesofficerer
1.   Sikkerhedsforbindelsesofficeren fungerer som kontaktpunkt i forbindelse med sikkerhedsmæssige spørgsmål mellem ejeren/operatøren af den europæiske kritiske infrastruktur og medlemsstatens relevante myndighed.
2.   Hver enkelt medlemsstat kontrollerer, at alle udpegede europæiske kritiske infrastrukturer, der er beliggende på dens område, har en sikkerhedsforbindelsesofficer eller tilsvarende. Hvis en medlemsstat konstaterer, at der findes en sådan sikkerhedsforbindelsesofficer eller tilsvarende, er det ikke nødvendigt at foretage sig yderligere med henblik på gennemførelsen.
3.   Hvis en medlemsstat konstaterer, at der ikke findes en sikkerhedsforbindelsesofficer eller tilsvarende i forbindelse med en udpeget europæisk kritisk infrastruktur, sikrer den ved hjælp af hensigtsmæssige foranstaltninger, at der udpeges en sådan sikkerhedsforbindelsesofficer eller tilsvarende.
4.   Hver medlemsstat indfører en passende kommunikationsmekanisme mellem medlemsstatens relevante myndighed og sikkerhedsforbindelsesofficeren eller tilsvarende med henblik på at udveksle relevante oplysninger om de identificerede risici og trusler i forbindelse med den pågældende europæiske kritiske infrastruktur. Denne kommunikationsmekanisme berører ikke de nationale krav vedrørende adgang til følsomme og klassificerede oplysninger.
5.   Ved overholdelse af foranstaltninger, herunder fællesskabsforanstaltninger, som i en bestemt sektor kræver eller henviser til et behov for at have en sikkerhedsforbindelsesofficer eller tilsvarende, anses alle medlemsstaternes krav i, eller vedtaget i henhold til, denne artikel for at være opfyldt. De retningslinjer for anvendelsen, der er omhandlet i artikel 3, stk. 2, skal indeholde en vejledende liste over sådanne foranstaltninger.
Artikel 7
Rapportering
1.   Hver medlemsstat foretager en trusselsvurdering i forbindelse med undersektorerne af europæisk kritisk infrastruktur senest et år efter, at den kritiske infrastruktur på dens område er blevet udpeget som europæisk kritisk infrastruktur inden for de pågældende undersektorer.
2.   Hver medlemsstat rapporterer hvert andet år kortfattet til Kommissionen generelle oplysninger om de former for risici, trusler og sårbarhed, der er fundet pr. sektor for europæisk kritisk infrastruktur, inden for hvilken der er udpeget europæisk kritisk infrastruktur i medfør af artikel 4 på dens område.
Kommissionen kan i samarbejde med medlemsstaterne udforme en fælles model for disse rapporter.
Hver rapport klassificeres på et passende niveau, som oprindelsesmedlemsstaten skønner nødvendigt.
3.   På grundlag af de i stk. 2 nævnte rapporter vurderer Kommissionen og medlemsstaterne på sektorbasis, om der bør overvejes yderligere beskyttelsesforanstaltninger på fællesskabsplan for europæisk kritisk infrastruktur. Denne procedure gennemføres i forbindelse med revisionen af dette direktiv, jf. artikel 11.
4.   Kommissionen kan i samarbejde med medlemsstaterne udforme fælles metodiske retningslinjer til gennemførelse af risikoanalyser af europæisk kritisk infrastruktur. Medlemsstaterne vælger frit, om de vil anvende sådanne retningslinjer.
Artikel 8
Støtte fra Kommissionen til europæisk kritisk infrastruktur
Kommissionen støtter gennem medlemsstatens relevante myndighed ejere/operatører af udpeget europæisk kritisk infrastruktur ved at give dem adgang til bedste praksis og metoder samt ved uddannelse og udveksling af oplysninger om ny teknisk udvikling i tilknytning til beskyttelse af kritisk infrastruktur.
Artikel 9
Følsomme oplysninger vedrørende beskyttelse af europæisk kritisk infrastruktur
1.   Enhver person, der på en medlemsstats eller Kommissionens vegne behandler klassificerede oplysninger i medfør af dette direktiv, skal være sikkerhedsgodkendt på et passende niveau.
Medlemsstaterne, Kommissionen og de relevante tilsynsmyndigheder sikrer, at følsomme oplysninger vedrørende beskyttelse af europæisk kritisk infrastruktur, der gives til medlemsstaterne eller Kommissionen, ikke anvendes til andre formål end beskyttelse af kritisk infrastruktur.
2.   Denne artikel gælder også for ikke-skriftlige oplysninger, der udveksles under møder, hvor der drøftes følsomme emner.
Artikel 10
Kontaktpunkter for beskyttelse af europæisk kritisk infrastruktur
1.   Hver medlemsstat udpeger et kontaktpunkt for beskyttelse af europæisk kritisk infrastruktur.
2.   Kontaktpunktet koordinerer spørgsmål vedrørende beskyttelse af europæisk kritisk infrastruktur internt i medlemsstaten, med andre medlemsstater og med Kommissionen. Udpegelsen af et kontaktpunkt for beskyttelse af europæisk kritisk infrastruktur udelukker ikke, at andre myndigheder i en medlemsstat inddrages i spørgsmål vedrørende beskyttelse af europæisk kritisk infrastruktur.
Artikel 11
Revision
Dette direktiv tages op til revision senest den 12. januar 2012.
Artikel 12
Gennemførelse
Medlemsstaterne træffer de nødvendige foranstaltninger for at efterkomme dette direktiv senest den 12. januar 2011. De underretter straks Kommissionen herom.
Disse foranstaltninger skal ved vedtagelsen indeholde en henvisning til dette direktiv eller skal ved offentliggørelsen ledsages af en sådan henvisning. De nærmere regler for henvisningen fastsættes af medlemsstaterne.
Artikel 13
Ikrafttræden
Dette direktiv træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Artikel 14
Adressater
Dette direktiv er rettet til alle medlemsstaterne.
Udfærdiget i, den Bruxelles, den 8. december 2008.
På Rådets vegne
B. KOUCHNER
Formand
(
1
)
  Udtalelse af 10.7.2007 (endnu ikke offentliggjort i EUT).
(
2
)
  
            
EUT C 116 af 26.5.2007, s. 1
.
(
3
)
  
            
EFT L 145 af 31.5.2001, s. 43
.
BILAG I
Liste over europæisk kritisk infrastruktur-sektorer
Sektor
Undersektor
I
Energi
1.
Elektricitet
Infrastruktur og anlæg til elfremstilling og transmission med henblik på elforsyning
2.
Olie
Produktion, raffinering, behandling og lagring af olie, inklusive transport gennem rørledninger
3.
Gas
Produktion, raffinering, behandling og lagring af gas, inklusive transport gennem rørledninger
LNG-terminaler
II
Transport
4.
Vejtransport
5.
Jernbanetransport
6.
Lufttransport
7.
Transport ad indre vandveje
8.
Søtransport over lange og korte afstande samt havne
Medlemsstaternes indkredsning af kritisk infrastruktur, der kan udpeges som europæisk kritisk infrastruktur, sker i henhold til artikel 3. Listen over europæiske kritiske infrastruktursektorer medfører derfor ikke i sig selv en generel pligt til at udpege europæisk kritisk infrastruktur i hver enkelt sektor.
BILAG II
PROCEDURE VEDRØRENDE SIKKERHEDSPLAN FOR OPERATØRER
I sikkerhedsplanen for operatører indkredses de kritiske infrastrukturaktiver, og det præciseres, hvilke sikkerhedsløsninger der er iværksat eller er ved at blive gennemført med henblik på at beskytte dem. Proceduren vedrørende sikkerhedsplaner skal mindst dække følgende:
1)
indkredsning af vigtige aktiver
2)
gennemførelse af en risikoanalyse på grundlag af alvorlige trusselsscenarier, hvert aktivs sårbarhed og de potentielle konsekvenser, og
3)
indkredsning, udvælgelse og prioritering af modforholdsregler og procedurer med en sondring mellem:
—
permanente sikkerhedsforanstaltninger med præcisering af, hvilke investeringer og midler der er nødvendige for sikkerheden og relevante at bruge til enhver tid. Denne overskrift omfatter oplysninger om generelle foranstaltninger såsom tekniske foranstaltninger (herunder installering af detektorer, adgangskontrol samt beskyttelses- og forebyggelsesmidler), organisatoriske foranstaltninger (herunder varslingsprocedurer og krisestyring), kontrol- og verificeringsforanstaltninger, kommunikation, bevidstgørelse og uddannelse samt sikring af informationssystemer
—
graduerede sikkerhedsforanstaltninger, der kan aktiveres afhængigt af risiko- og trusselsniveauet.
BILAG III
Procedure for medlemsstaternes indkredsning af kritisk infrastruktur, der kan udpeges som europæisk kritisk infrastruktur, jf. artikel 3
I henhold til artikel 3 skal hver medlemsstat indkredse kritisk infrastruktur, der kan udpeges som europæisk kritisk infrastruktur. Denne procedure gennemføres af hver medlemsstat via følgende fortløbende trin.
Potentiel europæisk kritisk infrastruktur, der ikke opfylder kravene i et af følgende fortløbende trin, betragtes ikke som europæisk infrastruktur og er ikke omfattet af proceduren. Potentiel europæisk kritisk infrastruktur, der opfylder definitionerne, skal gennemgå de næste trin i proceduren.
Trin 1
Hver medlemsstat anvender de sektorbaserede kriterier med henblik på at foretage en foreløbig udvælgelse af kritisk infrastruktur inden for sektoren.
Trin 2
Hver medlemsstat anvender definitionen af kritisk infrastruktur, jf. artikel 2, litra a), på potentiel europæisk kritisk infrastruktur som indkredset i trin 1.
Betydningen af konsekvenserne fastslås enten ved at anvende nationale metoder til at indkredse kritisk infrastruktur eller ved henvisning til de tværgående kriterier på et passende nationalt niveau. For så vidt angår infrastruktur, som leverer vigtige tjenester, vil der blive taget hensyn til, om der findes alternativer, og til varigheden af afbrydelsen/genetableringen.
Trin 3
Hver medlemsstat anvender definitionen af europæisk kritisk infrastruktur, jf. artikel 2, litra b), på potentiel europæisk kritisk infrastruktur, der har gennemgået de første to trin i denne procedure. Potentiel europæisk kritisk infrastruktur, der opfylder definitionen, skal gennemgå det næste trin i proceduren. For så vidt angår infrastruktur, som leverer vigtige tjenester, vil der blive taget hensyn til, om der findes alternativer, og til varigheden af afbrydelsen/genetableringen.
Trin 4
Hver medlemsstat anvender de tværgående kriterier på den resterende potentielle europæiske kritiske infrastruktur. De tværgående kriterier tager hensyn til: hvor alvorlige følgerne er, og for så vidt angår infrastruktur, som leverer vigtige tjenester, om der findes alternativer, og til varigheden af afbrydelsen/genetableringen. Potentiel europæisk kritisk infrastruktur, der ikke opfylder de tværgående kriterier, vil ikke blive betragtet som europæisk kritisk infrastruktur.
Potentiel europæisk kritisk infrastruktur, der har gennemgået denne procedure, vil kun blive meddelt de medlemsstater, som kan blive betydeligt berørt af den potentielle europæiske kritiske infrastruktur.

Summary:
Beskyttelse af kritisk infrastruktur
RESUMÉ AF:
Direktiv 2008/114/EF — indkredsning og udpegning af europæisk kritisk infrastruktur og vurdering af behovet for at beskytte den bedre
HVAD ER FORMÅLET MED DIREKTIVET?
Det fastsætter en proces i Den Europæiske Union (EU) til at indkredse og udpege europæisk kritisk infrastruktur
*
 og en fremgangsmåde for forbedring af beskyttelsen af den.
HOVEDPUNKTER
Indkredsning og udpegning af europæisk kritisk infrastruktur
EU-landene gennemgår en proces med indkredsning af potentiel europæisk kritisk infrastruktur, om nødvendigt med hjælp fra 
Europa-Kommissionen
. Ved indkredsning af potentiel europæisk kritisk infrastruktur skal de anvende:
tværgående kriterier
 som f.eks. mulige ofre, økonomiske konsekvenser og almene konsekvenser
sektorbaserede kriterier
, som er specifikke for den enkelte type af europæisk kritisk infrastruktur.
EU-landene gennemgår en udpegningsprocedure i fællesskab (f.eks. drøftelser med andre EU-lande) vedrørende potentiel europæisk kritisk infrastruktur i deres område.
EU-landene reviderer regelmæssigt indkredsningen og udpegningen af europæisk kritisk infrastruktur.
Direktivet finder kun anvendelse på energi- og transportsektorerne (se Bilag I til direktivet). Med tiden kan anvendelsesområdet blive udvidet til at omfatte andre sektorer.
Sikkerhedsplaner for operatører
EU-landene sikrer, at der er udarbejdet en 
sikkerhedsplan for operatører
 for hver europæisk kritisk infrastruktur.
Formålet med processen med sikkerhedsplaner er at identificere de kritiske aktiver i forbindelse med den europæiske kritiske infrastruktur samt de eksisterende sikkerhedsløsninger med henblik på at beskytte dem.
Sikkerhedsforbindelsesofficerer
EU-landene sikrer, at der er udpeget en sikkerhedsforbindelsesofficer for hver europæisk kritisk infrastruktur.
Officeren fungerer som kontaktpunkt mellem ejeren/operatøren af den europæiske kritiske infrastruktur og EU-landets relevante myndighed.
Rapportering
EU-landene foretager 
trusselvurderinger
 i forbindelse med europæisk kritisk infrastruktur senest et år efter, at den kritiske infrastruktur er blevet udpeget.
EU-landene rapporterer hvert andet år generelle oplysninger om risici, trusler og sårbarhed til Kommissionen.
HVORNÅR GÆLDER DIREKTIVET FRA?
Det trådte i kraft den 12. januar 2009. EU-landene skulle indarbejde det i national lovgivning inden den 12. januar 2011.
BAGGRUND
Det er hovedsageligt de nationale myndigheder, der har ansvaret for at beskytte infrastrukturen. Afbrydelse af kritisk infrastruktur kan dog mærkes på tværs af de nationale grænser. Derfor er der behov for en EU-dimension som en hjælp til at håndtere disse risici. I 2007 vedtog Rådet for Den Europæiske Union konklusioner om et 
europæisk program for beskyttelse af kritisk infrastruktur (EPCIF)
. Dette program har til formål at forbedre beskyttelsen af kritisk infrastruktur mod alle former for trusler og farer.
Efter en revision af direktiv 2008/114/EF fastlagde Kommissionen i 2013 en ny 
strategi
 for gennemførelse af det europæiske program for beskyttelse af kritisk infrastruktur. Den har til formål at skabe fælles værktøjer og en fælles tilgang til beskyttelse af kritisk infrastruktur i EU og dens robusthed, hvor der i højere grad tages højde for gensidig afhængighed mellem kritisk infrastruktur, industri og statsaktører.
For yderligere oplysninger henvises til:
»
                      
Kritisk infrastruktur
« på Europa-Kommissionens websted.
* VIGTIGE BEGREBER
Kritisk infrastruktur:
 aktiver eller systemer, som er væsentlige for opretholdelsen af vitale samfundsmæssige funktioner og menneskers sundhed, sikkerhed og økonomiske eller sociale velfærd. Europæisk kritisk infrastruktur er kritisk infrastruktur i EU-landene, hvis afbrydelse eller ødelæggelse ville få betydelige konsekvenser for to eller flere medlemsstater (f.eks. elkraftværker eller rørledninger til transport af olie).
HOVEDDOKUMENT
Rådets direktiv 
2008/114/EF
 af 8. december 2008 om indkredsning og udpegning af europæisk kritisk infrastruktur og vurdering af behovet for at beskytte den bedre (EUT L 345 af 23.12.2008, s. 75-82)
TILHØRENDE DOKUMENTER
Meddelelse fra Kommissionen til Rådet og Europa-Parlamentet — Beskyttelse af kritisk infrastruktur i forbindelse med bekæmpelse af terrorisme (
KOM(2004) 702 endelig
 af 20.10.2004)
Grønbog om et europæisk program for beskyttelse af kritisk infrastruktur (
KOM(2005) 576 endelig udg.
 af 17.11.2005)
Meddelelse fra Kommissionen om et europæisk program for beskyttelse af kritisk infrastruktur (
KOM(2006) 786 endelig udg.
 af 12.12.2006)
Arbejdsdokument fra Kommissionens tjenestegrene om en ny strategi for det europæiske program for beskyttelse af kritisk infrastruktur: Bedre sikring af europæisk kritisk infrastruktur (
SWD(2013) 318 final
 af 28.8.2013)
seneste ajourføring 14.11.2016