Directiva (UE) 2022/2557 a Parlamentului European și a Consiliului din 14 decembrie 2022 privind reziliența entităților critice și de abrogare a Directivei 2008/114/CE a Consiliului (Text cu relevanță pentru SEE)

având în vedere Tratatul privind funcționarea Uniunii Europene, în special articolul 114,

având în vedere propunerea Comisiei Europene,

după transmiterea proiectului de act legislativ parlamentelor naționale,

având în vedere avizul Comitetului Economic și Social European,

având în vedere avizul Comitetului Regiunilor,

hotărând în conformitate cu procedura legislativă ordinară,

În calitatea lor de furnizoare de servicii esențiale, entitățile critice joacă un rol indispensabil în menținerea funcțiilor societale sau a activităților economice vitale pe piața internă, într-o economie a Uniunii din ce în ce mai interdependentă. Prin urmare, este esențial să se stabilească un cadru la nivelul Uniunii, care să urmărească atât consolidarea rezilienței entităților critice de pe piața internă prin stabilirea unor norme minime armonizate, cât și sprijinirea acestora prin intermediul unor măsuri coerente și specifice de sprijin și supraveghere.

Directiva 2008/114/CE a Consiliului prevede o procedură de desemnare a infrastructurilor critice europene din sectoarele energiei și transporturilor a căror perturbare sau distrugere ar avea efecte transfrontaliere semnificative asupra a cel puțin două state membre. Directiva menționată se axează exclusiv pe protecția unor astfel de infrastructuri. Cu toate acestea, în cadrul evaluării Directivei 2008/114/CE efectuate în 2019 s-a constatat că, dat fiind faptul că operațiunile care utilizează infrastructura critică sunt tot mai interconectate și au din ce în ce mai mult un caracter transfrontalier, măsurile de protecție care se referă numai la elemente individuale sunt insuficiente pentru a preveni producerea tuturor perturbărilor. Prin urmare, este necesar ca abordarea să fie reorientată către asigurarea faptului că riscurile sunt mai bine luate în considerare, că rolul și sarcinile entităților critice în calitate de furnizori de servicii esențiale pentru funcționarea pieței interne sunt mai bine definite și sunt coerente, precum și că se adoptă norme ale Uniunii pentru a consolida reziliența entităților critice. Entitățile critice ar trebui să fie în măsură să își consolideze capacitatea de a preveni incidente care pot să perturbe furnizarea de servicii esențiale, de a oferi protecție și de a rezista în cazul producerii incidentelor respective, de a răspunde la acestea, de a le atenua și a le absorbi, de a se adapta la ele și de a se redresa în urma lor.

Deși o serie de măsuri la nivelul Uniunii, precum programul european privind protecția infrastructurilor critice, și la nivel național urmăresc să sprijine protecția infrastructurilor critice din Uniune, ar trebui depuse mai multe eforturi pentru a pregăti mai bine entitățile care operează astfel de infrastructuri pentru a aborda riscurile la adresa operațiunilor lor care ar putea conduce la perturbarea furnizării de servicii esențiale. Ar trebui depuse mai multe eforturi pentru a pregăti mai bine entitățile menționate dată fiind dinamica amenințărilor, care include amenințări hibride și teroriste aflate în evoluție, precum și interdependențele tot mai accentuate între infrastructură și sectoare. În plus, există un risc fizic sporit din cauza dezastrelor naturale și a schimbărilor climatice, care intensifică frecvența și amploarea fenomenelor meteorologice extreme și aduce schimbări pe termen lung în privința condițiilor climatice medii care pot reduce capacitatea,, eficiența și durata de viață a anumitor tipuri de infrastructură dacă nu se instituie măsuri de adaptare la schimbările climatice. În plus, piața internă este caracterizată de fragmentare în ceea ce privește identificarea entităților critice, întrucât sectoarele și categoriile de entități relevante nu sunt recunoscute în mod consecvent ca fiind critice în toate statele membre. Prin urmare, prezenta directivă ar trebui să ofere un nivel solid de armonizare în ceea ce privește sectoarele și categoriile de entități care intră sub incidența sa.

Deși anumite sectoare ale economiei, cum ar fi sectoarele energiei și transporturilor, sunt deja reglementate prin acte sectoriale din dreptul Uniunii, actele respective conțin norme care se referă numai la anumite aspecte ale rezilienței entităților care își desfășoară activitatea în sectoarele respective. Pentru a aborda în mod cuprinzător reziliența entităților care sunt critice pentru buna funcționare a pieței interne, prezenta directivă creează un cadru global care abordează reziliența entităților critice în ceea ce privește toate pericolele, indiferent dacă sunt naturale sau provocate de om, accidentale sau intenționate.

Interdependențele tot mai accentuate între infrastructură și sectoare sunt rezultatul unei rețele de furnizare de servicii al cărei caracter transfrontalier și interdependent devine tot mai pregnant, care utilizează infrastructuri-cheie în întreaga Uniune în sectorul energiei, al transporturilor, bancar, al apei potabile, al apelor uzate, al producției, prelucrării și distribuției de produse alimentare, al sănătății, în sectorul spațial, al infrastructurii pieței financiare, al infrastructurii digitale, precum și în anumite aspecte ale administrației publice. Sectorul spațial intră sub incidența prezentei directive în ceea ce privește furnizarea anumitor servicii care depind de infrastructura terestră deținută, gestionată și operată fie de statele membre, fie de părți private; prin urmare, infrastructura deținută, gestionată sau operată de Uniune sau în numele acesteia în cadrul programului său spațial nu intră sub incidența prezentei directive.În ceea ce privește sectorul energetic și, în special, metodele de producere și transport a energiei electrice (din punctul de vedere al furnizării acesteia), se înțelege că, atunci când se consideră adecvat, producerea de energie electrică poate include părți ale transportului de energie electrică din centralele nucleare, cu excepția însă a elementelor strict nucleare care intră sub incidența tratatelor și a dreptului Uniunii, inclusiv a actelor din dreptul Uniunii relevante în domeniul nuclear. Procesul de identificare a entităților critice din sectorul alimentar ar trebui să reflecte în mod adecvat natura pieței interne din sectorul respectiv, precum și normele cuprinzătoare ale Uniunii referitoare la principiile și cerințele generale ale legislației alimentare și ale siguranței alimentare. Prin urmare, pentru a asigura existența unei abordări proporționale și pentru a reflecta în mod adecvat rolul și importanța acestor entități la nivel național, ar trebui să fie identificate entități critice numai în rândul acelor întreprinderi din sectorul alimentar, indiferent dacă au sau nu un scop lucrativ sau dacă sunt publice sau private, care își desfășoară activitatea exclusiv în domeniul logisticii, al distribuției angro și al producției și prelucrării industriale la scară largă, cu o cotă de piață semnificativă observată la nivel național. Aceste interdependențe înseamnă că orice perturbare a serviciilor esențiale, chiar și cele care inițial sunt limitate la o singură entitate sau la un singur sector, poate avea efecte în cascadă mai ample, ceea ce ar putea avea efecte negative considerabile și pe termen lung asupra furnizării de servicii pe piața internă. Crizele majore, precum pandemia de COVID-19, au demonstrat vulnerabilitatea societăților noastre, care sunt din ce în ce mai interdependente în fața riscurilor cu probabilitate redusă de producere dar cu efect major.

Entitățile implicate în furnizarea serviciilor esențiale fac din ce în ce mai mult obiectul unor cerințe divergente impuse de dreptul intern. Faptul că unele state membre impun entităților respective cerințe de securitate mai puțin stricte nu numai că creează niveluri de reziliență diferite, ci riscă de asemenea să aibă un efect negativ asupra funcțiilor societale sau a activităților economice vitale în întreaga Uniune și creează obstacole în calea bunei funcționări a pieței interne. Investitorii și întreprinderile se pot baza pe entitățile critice care sunt reziliente și pot avea încredere în ele, iar fiabilitatea și încrederea constituie fundamentele unei piețe interne funcționale. Tipuri similare de entități sunt considerate critice în unele state membre, dar nu și în altele, iar cele care sunt identificate ca fiind critice fac obiectul unor cerințe divergente în diferite state membre. Acest lucru duce la o sarcină administrativă suplimentară și inutilă pentru întreprinderile care își desfășoară activitatea la nivel transfrontalier, în special pentru întreprinderile care își desfășoară activitatea în statele membre cu cerințe mai stricte. Un cadru la nivelul Uniunii ar avea, prin urmare, și efectul de a crea condiții de concurență echitabile pentru entitățile critice din întreaga Uniune.

Este necesar să se stabilească norme minime armonizate pentru a se asigura furnizarea serviciilor esențiale pe piața internă, pentru a consolida reziliența entităților critice și pentru a îmbunătăți cooperarea transfrontalieră între autoritățile competente. Este important ca normele respective să fie adaptate exigențelor viitorului în ceea ce privește conceperea și punerea lor în aplicare, permițând totodată flexibilitatea necesară. De asemenea, este esențial să se îmbunătățească capacitatea entităților critice de a furniza servicii esențiale atunci când sunt confruntate cu diverse riscuri.

Pentru a obține un nivel înalt de reziliență, statele membre ar trebui să identifice entitățile critice care vor face obiectul unor cerințe și al unei supravegheri specifice, dar cărora li se va acorda un sprijin special și orientări speciale în fața tuturor riscurilor relevante.

Având în vedere importanța securității cibernetice pentru reziliența entităților critice și din motive de consecvență, ar trebui să se asigure, ori de câte ori este posibil, o abordare coerentă între prezenta directivă și Directiva (UE) 2022/2555 a Parlamentului European și a Consiliului. Având în vedere frecvența sporită și caracteristicile specifice ale riscurilor cibernetice, Directiva (UE) 2022/2555 impune cerințe cuprinzătoare unei game ample de entități pentru a garanta securitatea lor cibernetică. Dat fiind că securitatea cibernetică este abordată suficient de Directiva (UE) 2022/2555, aspectele reglementate de directiva respectivă ar trebui să fie excluse din domeniul de aplicare al prezentei directive, fără a aduce atingere regimului special al entităților din sectorul infrastructurii digitale.

În cazul în care dispozițiile actelor sectoriale din dreptul Uniunii impun entităților critice să ia măsuri menite pentru a-și spori reziliența, iar cerințele respective sunt recunoscute de statele membre ca fiind cel puțin echivalente cu obligațiile corespunzătoare prevăzute în prezenta directivă, dispozițiile relevante ale prezentei directive nu ar trebui să se aplice, pentru a se evita suprapunerile și sarcinile inutile. În acest caz, ar trebui să se aplice dispozițiile relevante ale unor astfel de acte din dreptul Uniunii. În cazul în care nu se aplică dispozițiile relevante ale prezentei directive, nu ar trebui să se aplice nici dispozițiile privind supravegherea și asigurarea respectării legislației stabilite prin prezenta directivă.

Prezenta directivă nu afectează competențele statelor membre și ale autorităților lor în materie de autonomie administrativă, sau responsabilitatea de a proteja securitatea și apărarea națională sau competența lor de a proteja alte funcții esențiale ale statului, în special în materie de siguranță publică, integritate teritorială și menținerea ordinii publice. Excluderea entităților administrației publice din domeniul de aplicare al prezentei directive ar trebui să se aplice entităților care desfășoară activități în principal în domeniul securității naționale, al siguranței publice, al apărării sau al asigurării respectării legii, inclusiv în ceea ce privește cercetarea, depistarea și pedepsirea infracțiunilor. Cu toate acestea, entitățile administrației publice ale căror activități sunt legate doar într-o mică măsură de domeniile menționate ar trebui să intre sub incidența prezentei directive. În sensul prezentei directive, entitățile cu competențe de reglementare nu sunt considerate ca desfășurând activități în domeniul asigurării respectării legii și, prin urmare, nu sunt excluse din aceste motive din domeniul de aplicare al prezentei directive. Entitățile administrației publice care sunt înființate în comun cu o țară terță în conformitate cu un acord internațional sunt excluse din domeniul de aplicare al prezentei directive. Prezenta directivă nu se aplică misiunilor diplomatice și consulare ale statelor membre în țări terțe.Anumite entități critice desfășoară activități în domeniul securității naționale, al siguranței publice, al apărării sau al asigurării respectării legii, inclusiv în ceea ce privește cercetarea, depistarea și pedepsirea infracțiunilor sau furnizează servicii exclusiv pentru entități ale administrației publice care desfășoară activități în principal în domeniile menționate. Având în vedere responsabilitatea statelor membre de a proteja securitatea și apărarea națională, statele membre ar trebui să poată decide că obligațiile stabilite prin prezenta directivă entităților critice nu se aplică, integral sau parțial, respectivelor entități critice în cazul în care serviciile pe care acestea le furnizează sau activitățile pe care le desfășoară sunt legate în principal de domeniul securității naționale, al siguranței publice, al apărării sau al asigurării respectării legii, inclusiv în ceea ce privește cercetarea, depistarea și pedepsirea infracțiunilor. Entitățile critice ale căror servicii sau activități sunt legate doar într-o mică măsură de domeniile menționate ar trebui să intre sub incidența prezentei directive. Niciun stat membru nu ar trebui să aibă obligația de a furniza informații a căror divulgare ar fi contrară intereselor esențiale ale siguranței sale naționale. Sunt relevante normele din dreptul Uniunii sau cele de drept intern privind protecția informațiilor clasificate și acordurile de nedivulgare.

Pentru a nu pune în pericol securitatea națională sau securitatea și interesele comerciale ale entităților critice, accesul la informații sensibile, schimbul de astfel de informații și prelucrarea acestora ar trebui realizate cu grijă, acordând o atenție deosebită canalelor de transmitere și capacităților de stocare utilizate.

În vederea asigurării unei abordări cuprinzătoare în ce privește reziliența entităților critice, fiecare stat membru ar trebui să dispună de o strategie pentru sporirea rezilienței entităților critice (denumită în continuare strategia). Strategia respectivă ar trebui să stabilească obiective strategice și măsuri de politică care să fie puse în aplicare. Din motive de coerență și eficiență, strategia ar trebui să fie concepută pentru a integra fără probleme politicile existente, bazându-se, ori de câte ori este posibil, pe strategii, planuri ori documente similare existente relevante la nivel național sau sectorial. Pentru a realiza o abordare cuprinzătoare, statele membre ar trebui să se asigure că strategiile lor oferă un cadru de politică pentru o coordonare consolidată între autoritățile competente în temeiul prezentei directive și autoritățile competente în temeiul Directivei (UE) 2022/2555 în contextul schimbului de informații privind riscurile de securitate cibernetică, amenințările cibernetice și incidentele cibernetice și riscurile, amenințările și incidentele non-cibernetice, precum și în contextul exercitării sarcinilor de supraveghere. Atunci când își pun în aplicare strategiile, statele membre ar trebui să țină seama în mod corespunzător de natura hibridă a amenințărilor la adresa entităților critice.

Statele membre ar trebui să comunice Comisiei strategiile lor și toate actualizările substanțiale ale acestora, în special pentru a permite Comisiei să evalueze aplicarea corectă a prezentei directive în materie de abordări de politică privind reziliența entităților critice la nivel național. Strategiile ar putea fi comunicate sub formă de informații clasificate, dacă este necesar. Comisia ar trebui să elaboreze un raport de sinteză privind strategiile comunicate de statele membre pentru a servi drept bază pentru schimburi în vederea identificării bunelor practici și a aspectelor de interes comun în cadrul Grupului privind reziliența entităților critice. Având în vedere caracterul sensibil al informațiilor agregate incluse în raportul de sinteză – indiferent dacă sunt sau nu clasificate – Comisia ar trebui să gestioneze acest raport de sinteză cu un nivel de sensibilizare adecvat în ceea ce privește securitatea entităților critice, a statelor membre și a Uniunii. Raportul de sinteză și strategiile ar trebui să fie protejate împotriva acțiunilor ilegale sau răuvoitoare și ar trebui să fie accesibile numai persoanelor autorizate pentru a îndeplini obiectivele prezentei directive. Comunicarea strategiilor și a actualizărilor substanțiale ale acestora ar trebui, de asemenea, să contribuie la înțelegerea de către Comisie a evoluțiilor privind abordările în materie de reziliență a entităților critice și să contribuie la monitorizarea impactului și a valorii adăugate a prezentei directive, pe care Comisia urmează să o revizuiască periodic.

Acțiunile întreprinse de statele membre pentru a identifica și a contribui la asigurarea rezilienței entităților critice ar trebui să urmeze o abordare bazată pe riscuri, care se concentrează pe entitățile cele mai relevante pentru îndeplinirea funcțiilor societale sau a activităților economice vitale. Pentru a se asigura o astfel de abordare direcționată, fiecare stat membru ar trebui să efectueze, într-un cadru armonizat, o evaluare a riscurilor naturale și provocate de om relevante, inclusiv a celor intersectoriale și transfrontaliere, care ar putea să afecteze furnizarea serviciilor esențiale, inclusiv a accidentelor, a dezastrelor naturale, a situațiilor de urgență din domeniul sănătății publice, cum ar fi pandemiile și amenințările hibride sau alte amenințări antagoniste, printre care infracțiunile de terorism, infiltrarea unor elemente infracționale și sabotajul (denumită în continuare evaluarea riscurilor de către statul membru). Atunci când efectuează evaluări ale riscurilor de către statul membru, statele membre ar trebui să țină seama de alte evaluări generale sau sectoriale ale riscurilor efectuate în temeiul altor acte din dreptul Uniunii și ar trebui să ia în considerare gradul de dependență între sectoare, inclusiv între sectoarele din alte state membre și țări terțe. Rezultatele evaluării riscurilor de către statul membru ar trebui utilizate în scopul de identificare a entităților critice și de a sprijini aceste entități în îndeplinirea cerințelor care le revin în materie de reziliență. Prezenta directivă se aplică numai statelor membre și entităților critice care își desfășoară activitatea în Uniune. Cu toate acestea, expertiza și cunoștințele generate de autoritățile competente, în special prin evaluări ale riscurilor, precum și de Comisie, în special prin diverse forme de sprijin și cooperare, ar putea fi utilizate, după caz și în conformitate cu instrumentele juridice aplicabile, în beneficiul țărilor terțe, în special al celor din vecinătatea directă a Uniunii, alimentând cooperarea existentă în materie de reziliență.

Pentru a se asigura faptul că toate entitățile relevante fac obiectul cerințelor în materie de reziliență ale prezentei directive și pentru a se reduce divergențele în această privință, este important să se stabilească norme armonizate care să permită identificarea consecventă a entităților critice în întreaga Uniune, permițând totodată statelor membre să reflecte în mod adecvat rolul și importanța acestor entități la nivel național. Atunci când aplică criteriile prevăzute în prezenta directivă, fiecare stat membru ar trebui să identifice entitățile care furnizează unul sau mai multe servicii esențiale și care operează și dețin infrastructuri critice situate pe teritoriul său. Ar trebui să se considere că o entitate operează pe teritoriul unui stat membru atunci când în acel stat membru își desfășoară activitățile necesare pentru serviciul sau serviciile esențiale în cauză și infrastructura sa critică, care este utilizată pentru a furniza serviciul sau serviciile respective, se găsește în acel stat membru. În cazul în care nu există nicio entitate care să îndeplinească criteriile respective într-un stat membru, statul membru respectiv nu ar trebui să aibă obligația de a identifica o entitate critică în sectorul sau subsectorul corespunzător. Din motive de eficacitate, eficiență, consecvență și securitate juridică, ar trebui să se stabilească, de asemenea, norme corespunzătoare privind notificarea entităților care au fost identificate drept entități critice.

Statele membre ar trebui să transmită Comisiei, într-un mod care îndeplinește obiectivele prezentei directive, o listă privind serviciile esențiale, numărul de entități critice identificate pentru fiecare sector și subsector prevăzut în anexă, precum și, în cazul serviciului sau serviciilor esențiale furnizate de fiecare entitate, dacă acest lucru se aplică, pragurile. Pragurile ar trebui să poată fi prezentate ca atare sau în formă agregată, adică informațiile pot fi prezentate ca valori medii pe zonă geografică, pe an, pe sector, pe subsector sau prin alte mijloace și pot include informații privind gama de indicatori furnizați.

Ar trebui să se stabilească criterii pentru determinarea importanței unui efect perturbator produs de un incident. Respectivele criterii ar trebui să se bazeze pe criteriile prevăzute în Directiva (UE) 2016/1148 a Parlamentului European și a Consiliului pentru a valorifica eforturile depuse de statele membre în vederea identificării operatorilor de servicii esențiale definite în directiva menționată, precum și experiența dobândită în această privință. Crizele majore, cum ar fi pandemia de COVID-19, au demonstrat importanța asigurării securității lanțului de aprovizionare și au demonstrat modul în care perturbarea acestuia poate avea efecte economice și societale negative asupra unui număr mare de sectoare, precum și la nivel transfrontalier. Prin urmare, statele membre ar trebui, de asemenea, să ia în considerare efectele asupra lanțului de aprovizionare, în măsura posibilului, atunci când determină gradul de dependență al altor sectoare și subsectoare față de serviciul esențial furnizat de o entitate critică.

În conformitate cu dreptul Uniunii și cu dreptul intern aplicabile, inclusiv cu Regulamentul (UE) 2019/452 al Parlamentului European și al Consiliului care stabilește un cadru pentru examinarea investițiilor străine directe în Uniune, trebuie recunoscută amenințarea potențială reprezentată de controlul străin asupra infrastructurilor critice din Uniune, deoarece serviciile, economia, libera circulație și siguranța cetățenilor Uniunii depind de buna funcționare a infrastructurii critice.

Directiva (UE) 2022/2555 impune entităților din sectorul infrastructurii digitale, care ar putea fi identificate ca fiind entități critice în temeiul prezentei directive, să ia măsuri tehnice, operaționale și organizatorice adecvate și proporționale pentru a gestiona riscurile la adresa securității rețelelor și a sistemelor informatice, precum și pentru a notifica incidentele și amenințările cibernetice semnificative. Întrucât amenințările la adresa securității rețelelor și a sistemelor informatice pot avea origini diferite, Directiva (UE) 2022/2555 aplică o abordare care ține seama de toate riscurile, care include reziliența rețelelor și a sistemelor informatice, precum și a componentelor lor fizice și a mediului sistemelor respective.Având în vedere că cerințele stabilite prin Directiva (UE) 2022/2555 în acest sens sunt cel puțin echivalente cu obligațiile corespunzătoare stabilite prin prezenta directivă, obligațiile stabilite la articolul 11 și în capitolele III, IV și VI din prezenta directivă nu ar trebui să se aplice entităților din sectorul infrastructurii digitale, pentru a se evita suprapunerile și sarcinile administrative inutile. Cu toate acestea, având în vedere importanța serviciilor furnizate de entitățile din sectorul infrastructurii digitale unor entități critice care aparțin tuturor celorlalte sectoare, statele membre ar trebui să identifice, pe baza criteriilor și utilizând procedura prevăzută în prezenta directivă, entitățile din sectorul infrastructurii digitale ca fiind entități critice. În consecință, ar trebui să se aplice strategiile, evaluările riscurilor de către statele membre și măsurile de sprijin prevăzute în capitolul II din prezenta directivă. Statele membre ar trebui să poată adopta sau menține dispoziții de drept intern pentru a atinge un nivel mai ridicat de reziliență pentru entitățile critice respective, cu condiția ca respectivele dispoziții să fie coerente cu dreptul aplicabil al Uniunii.

Dreptul Uniunii în domeniul serviciilor financiare instituie cerințe cuprinzătoare pentru entitățile financiare de a gestiona toate riscurile cu care se confruntă acestea, inclusiv riscurile operaționale, și de a asigura continuitatea activității. Dreptul respectiv include Regulamentele (UE) nr. 648/2012, (UE) nr. 575/2013 și (UE) nr. 600/2014 ale Parlamentului European și ale Consiliului și Directivele 2013/36/UE și 2014/65/UE ale Parlamentului European și ale Consiliului. Cadrul juridic menționat este completat de Regulamentul (UE) 2022/2554 al Parlamentului European și al Consiliului, care stabilește cerințele aplicabile entităților financiare în ceea ce privește gestionarea riscurilor TIC, inclusiv protecția infrastructurilor TIC fizice. Întrucât reziliența entităților respective este, prin urmare, reglementată în mod cuprinzător, articolul 11 și capitolele III, IV și VI din prezenta directivă nu ar trebui să se aplice entităților respective, pentru a evita suprapunerile și sarcinile administrative inutile.Cu toate acestea, având în vedere importanța serviciilor furnizate de entitățile din sectorul financiar unor entități critice care aparțin tuturor celorlalte sectoare, statele membre ar trebui să identifice, pe baza criteriilor și utilizând procedura prevăzută în prezenta directivă, entitățile din sectorul financiar ca fiind entități critice. În consecință, ar trebui să se aplice strategiile, evaluările riscurilor de către statele membre și măsurile de sprijin prevăzute în capitolul II din prezenta directivă. Statele membre ar trebui să poată adopta sau menține dispoziții de drept intern pentru a atinge un nivel mai ridicat de reziliență pentru entitățile critice respective, cu condiția ca respectivele dispoziții să fie coerente cu dreptul aplicabil al Uniunii.

Statele membre ar trebui să desemneze sau să înființeze autorități competente care să supravegheze aplicarea și, dacă este necesar, să asigure respectarea normelor prezentei directive și să garanteze faptul că aceste autorități dispun de competențele și de resursele adecvate. Având în vedere diferențele dintre structurile naționale de guvernanță, pentru a salvgarda dispozițiile sectoriale existente sau organismele de supraveghere și de reglementare ale Uniunii, precum și pentru a evita suprapunerile, statele membre ar trebui să poată desemna sau înființa una sau mai multe autorități competente. Atunci când desemnează sau înființează mai multe autorități competente, statele membre ar trebui să delimiteze în mod clar sarcinile care le revin autorităților în cauză și să se asigure că acestea cooperează în mod armonios și eficace. Toate autoritățile competente ar trebui, de asemenea, să coopereze pe un plan mai general cu alte autorități relevante, la nivelul Uniunii și la nivel național.

Pentru a facilita cooperarea și comunicarea la nivel transfrontalier și pentru a permite punerea în aplicare eficace a prezentei directive, fiecare stat membru ar trebui, fără a aduce atingere actelor sectoriale din dreptul Uniunii, să desemneze un punct unic de contact responsabil cu coordonarea aspectelor legate de reziliența entităților critice și de cooperarea transfrontalieră la nivelul Uniunii (denumit în continuare punct unic de contact), după caz în cadrul unei autorități competente. Fiecare punct unic de contact ar trebui să asigure legăturile și să coordoneze comunicarea, atunci când acest lucru este relevant, cu autoritățile competente din statul său membru, cu punctele unice de contact din alte state membre și cu Grupul privind reziliența entităților critice.

Autoritățile competente în temeiul prezentei directive și autoritățile competente în temeiul Directivei (UE) 2022/2555 ar trebui să coopereze și să facă schimb de informații în ceea ce privește riscurile de securitate cibernetică, amenințările cibernetice și incidentele cibernetice și riscurile, amenințările și incidentele non-cibernetice care afectează entitățile critice, precum și în ceea ce privește măsurile relevante luate de autoritățile competente în temeiul prezentei directive și de autoritățile competente în temeiul Directivei (UE) 2022/2555. Este important ca statele membre să se asigure că cerințele prevăzute în prezenta directivă și în Directiva (UE) 2022/2555 sunt puse în aplicare în mod complementar și că entitățile critice nu sunt supuse unei sarcini administrative mai mari decât cea necesară pentru a atinge obiectivele prezentei directive și pe cele ale directivei menționate.

Statele membre ar trebui să sprijine entitățile critice, inclusiv pe cele care pot fi considerate întreprinderi mici sau mijlocii, să își consolideze reziliența, în conformitate cu obligațiile care le revin statelor membre în temeiul prezentei directive, fără a aduce atingere responsabilității juridice a entităților critice de a asigura această conformitate, iar în cadrul demersurilor lor, ar trebui să evite sarcinile administrative excesive. Statele membre ar putea, în special, să elaboreze materiale de orientare și metodologii, să sprijine organizarea de exerciții pentru a testa reziliența entităților critice și să asigure furnizarea de consiliere și formarea personalului acestora. Atunci când acest lucru este necesar și justificat de obiective de interes public, statele membre ar putea furniza resurse financiare și ar trebui să faciliteze schimbul voluntar de informații și de bune practici între entitățile critice, fără a aduce atingere aplicării normelor în materie de concurență prevăzute în Tratatul privind funcționarea Uniunii Europene (TFUE).

Pentru a consolida reziliența entităților critice identificate de statele membre și pentru a reduce sarcinile administrative ale acestor entități critice, autoritățile competente ar trebui să se consulte reciproc ori de câte ori acest lucru este oportun pentru a asigura aplicarea în mod coerent a prezentei directive. Consultările respective ar trebui să fie inițiate la cererea oricărei autorități competente interesate și ar trebui să se axeze pe asigurarea unei abordări convergente în ceea ce privește entitățile critice interconectate care utilizează infrastructuri critice conectate fizic între două sau mai multe state membre, care aparțin acelorași grupuri sau structuri corporative sau care au fost identificate într-un stat membru și furnizează servicii esențiale pentru alte state membre sau pe teritoriul acestora.

În cazul în care dispoziții din dreptul Uniunii sau dreptul intern impun entităților critice să evalueze riscuri relevante în sensul prezentei directive și să ia măsuri pentru a asigura propria lor reziliență, cerințele respective ar trebui să fie luate în considerare în mod adecvat în scopul supravegherii respectării de către entitățile critice a prezentei directive.

Entitățile critice ar trebui să aibă o înțelegere cuprinzătoare a riscurilor relevante la care sunt expuse, precum și sarcina de a le analiza. În acest scop, entitățile critice ar trebui să efectueze evaluări ale riscurilor, ori de câte ori este necesar, având în vedere situația lor specifică și evoluția respectivelor riscuri, și, în orice caz, o dată la patru ani, în vederea evaluării tuturor riscurilor relevante care ar putea întrerupe furnizarea serviciilor lor esențiale (denumită în continuare evaluarea riscurilor de către entitatea critică). Atunci când au efectuat alte evaluări ale riscurilor sau au întocmit documente în temeiul obligațiilor prevăzute în alte acte de drept care sunt relevante pentru evaluarea riscurilor de către entitatea critică, entitățile critice ar trebui să poată utiliza evaluările și documentele respective pentru a îndeplini cerințele prevăzute în prezenta directivă referitoare la evaluarea riscurilor de către entitatea critică. O autoritate competentă ar trebui să poată declara o evaluare existentă a riscurilor efectuată de o entitate critică, care abordează riscurile relevante și gradul de dependență existent, ca fiind conformă, integral sau parțial, cu obligațiile stabilite prin prezenta directivă.

Entitățile critice ar trebui să ia măsuri tehnice, de securitate și organizatorice corespunzătoare și proporționale cu riscurile cu care se confruntă, astfel încât să prevină incidentele, să ofere protecție și să reziste în cazul producerii acestora, să răspundă și să reziste la ele, să le atenueze, să le absoarbă, să se adapteze la ele și să se redreseze în urma lor. În măsura în care entitățile critice ar trebui să ia măsurile menționate în conformitate cu prezenta directivă, detaliile și amploarea măsurilor respective ar trebui să reflecte, într-un mod adecvat și proporțional, diferitele riscuri pe care fiecare entitate critică le-a identificat în cadrul evaluării riscurilor de către entitatea critică, precum și specificitățile respectivei entități. Pentru a promova o abordare coerentă la nivelul Uniunii, Comisia ar trebui, după consultarea Grupului privind reziliența entităților critice, să adopte orientări fără caracter obligatoriu pentru a detalia măsurile tehnice, de securitate și organizatorice respective. Statele membre ar trebui să se asigure că fiecare entitate critică desemnează un ofițer de legătură sau un echivalent al acestuia ca punct de contact în relația cu autoritățile competente.

Din motive de eficacitate și de asigurare a asumării răspunderii, entitățile critice ar trebui să descrie măsurile pe care le adoptă, cu un nivel de detaliere care permite realizarea într-o măsură suficientă a obiectivelor de eficacitate și de asigurare a asumării răspunderii, ținând seama de riscurile identificate, într-un plan de reziliență sau într-un document echivalent sau în documente echivalente cu un plan de reziliență, și să aplice în practică respectivul plan. În scopul de a evita suprapunerile, atunci când o entitate critică a adoptat deja măsuri tehnice, de securitate și organizatorice și a întocmit documente în temeiul altor acte de drept care sunt relevante pentru măsurile de consolidare a rezilienței în temeiul prezentei directive, entitatea critică în cauză ar trebui să poată utiliza măsurile și documentele respective pentru a-și îndeplini obligațiile în ceea ce privește măsurile de reziliență în temeiul prezentei directive. În scopul de a evita suprapunerile, o autoritate competentă ar trebui să poată declara măsurile de reziliență existente adoptate de o entitate critică pentru a-și îndeplini obligația de a adopta măsuri tehnice, de securitate și organizatorice în temeiul prezentei directive, ca fiind integral sau parțial conforme cu cerințele prezentei directive.

Regulamentele (CE) nr. 725/2004 și (CE) nr. 300/2008 ale Parlamentului European și ale Consiliului și Directiva 2005/65/CE a Parlamentului European și a Consiliului stabilesc cerințe aplicabile entităților din sectoarele aviației și transportului maritim pentru a preveni incidentele cauzate de acte ilegale, a rezista în cazul producerii unor astfel de incidente și a le atenua consecințele. Cu toate că măsurile necesare în temeiul prezentei directive sunt mai ample în ceea ce privește riscurile abordate și tipurile de măsuri care urmează să fie adoptate, entitățile critice din aceste sectoare ar trebui să reflecte în planul lor de reziliență sau în documente echivalente măsurile luate în temeiul altor acte de drept al Uniunii. Entitățile critice trebuie să ia în considerare și Directiva 2008/96/CE a Parlamentului European și a Consiliului, care introduce o evaluare la nivelul întregii rețele rutiere pentru a inventaria riscurile de accidente și o inspecție specifică în materie de siguranță rutieră pentru a identifica condițiile periculoase, defectele și problemele care sporesc riscul de accidente și de vătămare corporală, prin vizitarea la fața locului a drumurilor existente sau a tronsoanelor de drum. Asigurarea protecției și rezilienței entităților critice este extrem de importantă pentru sectorul feroviar și, atunci când pun în aplicare măsuri de reziliență în temeiul prezentei directive, entitățile critice sunt încurajate să ia în considerare orientările fără caracter obligatoriu și documentele de bune practici elaborate în cadrul unor fluxuri de lucru sectoriale, cum ar fi Platforma UE pentru securitatea călătorilor din transportul feroviar instituită prin Decizia 2018/C 232/03 a Comisiei.

Riscul ca angajații sau contractanții entităților critice să abuzeze, de exemplu, de drepturile lor de acces în cadrul organizației entității critice pentru a provoca daune și a aduce prejudicii este din ce în ce mai îngrijorător. Prin urmare, statele membre ar trebui să precizeze condițiile în care entităților critice li se permite, în cazuri justificate în mod corespunzător și ținând seama de evaluarea riscurilor de către statul membru, să depună cereri de verificare a antecedentelor persoanelor aparținând unor categorii de personal propriu. Ar trebui să se asigure faptul că autoritățile relevante analizează astfel de cereri într-un termen rezonabil și le prelucrează în conformitate cu dreptul intern și procedurile naționale, precum și cu dreptul relevant și aplicabil al Uniunii, inclusiv în ceea ce privește protecția datelor cu caracter personal. Pentru a confirma identitatea unei persoane care face obiectul unei verificări a antecedentelor, statele membre pot solicita o dovadă a identității, precum un pașaport, o carte națională de identitate sau o formă digitală de identificare, în conformitate cu dreptul aplicabil.Verificarea antecedentelor ar trebui să includă verificarea cazierului judiciar al persoanei vizate. Statele membre ar trebui să folosească Sistemul european de informații cu privire la cazierele judiciare, în conformitate cu procedurile prevăzute în Decizia-cadru 2009/315/JAI a Consiliului și, dacă este relevant și aplicabil, în Regulamentul (UE) 2019/816 al Parlamentului European și al Consiliului, pentru a obține informații din cazierele judiciare păstrate în alte state membre. Statele membre ar putea, de asemenea, dacă este relevant și aplicabil, să utilizeze Sistemul de informații Schengen de a doua generație (SIS II) instituit prin Regulamentul (UE) 2018/1862 al Parlamentului European și al Consiliului, informații operative și orice alte informații obiective disponibile care ar putea fi necesare pentru a stabili dacă persoana în cauză este adecvată pentru a ocupa postul în legătură cu care entitatea critică a solicitat o verificare a antecedentelor.

Ar trebui să se stabilească un mecanism de notificare a anumitor incidente care să permită autorităților competente să reacționeze rapid și în mod adecvat la incidente și să aibă o imagine de ansamblu cuprinzătoare asupra efectelor, naturii, cauzei și posibilelor consecințe ale incidentelor cu care se confruntă entitățile critice. Entitățile critice ar trebui să notifice autorităților competente, fără întârzieri nejustificate, incidentele care perturbă în mod semnificativ sau care au potențialul de a perturba în mod semnificativ furnizarea serviciilor esențiale. Cu excepția cazului în care nu pot face acest lucru din motive operaționale, entitățile critice ar trebui să transmită o notificare inițială în termen de cel mult 24 de ore de la data la care au luat cunoștință de un incident. Notificarea inițială ar trebui să includă numai informațiile absolut necesare pentru a informa autoritatea competentă cu privire la incident și pentru a permite entității critice să solicite asistență, dacă este necesar. O astfel de notificare ar trebui să indice, dacă este posibil, cauza presupusă a incidentului. Statele membre ar trebui să se asigure că cerința de transmitere a acestei notificări inițiale nu deviază resursele entității critice raportoare de la activitățile legate de gestionarea incidentelor, care ar trebui să aibă prioritate. Notificarea inițială ar trebui să fie urmată, după caz, de un raport detaliat în termen de cel mult o lună de la incident. Raportul detaliat ar trebui să completeze notificarea inițială și să ofere o imagine de ansamblu mai completă a incidentului.

Standardizarea ar trebui să rămână, în principal, un proces bazat pe piață. Cu toate acestea, ar mai putea exista situații în care este oportun să se impună respectarea unor standarde specificate. Atunci când acest lucru este util, statele membre ar trebui să încurajeze utilizarea standardelor și specificațiilor tehnice europene și a celor internaționale care sunt pertinente pentru măsurile de securitate și de reziliență aplicabile entităților critice.

Cu toate că entitățile critice își desfășoară în general activitatea în cadrul unei rețele tot mai interconectate de furnizare de servicii și de infrastructură și furnizează adesea servicii esențiale în mai multe state membre, unele dintre aceste entități critice au o importanță deosebită pentru Uniune și pentru piața internă a acesteia, deoarece furnizează servicii esențiale pentru șase sau mai multe state membre sau pe teritoriul acestora și, prin urmare, ar putea să beneficieze de sprijin specific la nivelul Uniunii. Prin urmare, ar trebui să se instituie norme privind misiuni de consiliere în ceea ce privește astfel de entități critice de importanță europeană deosebită. Normele respective nu aduc atingere normelor privind supravegherea și asigurarea respectării legislației, prevăzute în prezenta directivă.

La cererea motivată din partea Comisiei sau din partea unuia sau a mai multor state membre cărora sau pe teritoriul cărora se furnizează serviciul esențial, în cazul în care sunt necesare informații suplimentare pentru a putea consilia o entitate critică în îndeplinirea obligațiilor care îi revin în temeiul prezentei directive sau pentru a evalua respectarea acestor obligații de către o entitate critică de importanță europeană deosebită, statul membru care a identificat o entitate critică de importanță europeană deosebită ca fiind o entitate critică ar trebui să pună la dispoziția Comisiei anumite informații astfel cum se prevede în prezenta directivă. De comun acord cu statul membru care a identificat entitatea critică de importanță europeană deosebită ca fiind o entitate critică, Comisia ar trebui să aibă posibilitatea de a organiza o misiune de consiliere pentru a evalua măsurile instituite de entitatea în cauză. Pentru a se asigura buna desfășurare a acestor misiuni de consiliere, ar trebui să se instituie norme complementare, în special în ceea ce privește organizarea și desfășurarea misiunilor de consiliere, acțiunile subsecvente desfășurate și obligațiile care le revin entităților critice de importanță europeană deosebită vizate. Fără a aduce atingere necesității ca statul membru în care se efectuează misiunea de consiliere și entitatea critică în cauză să respecte normele stabilite prin prezenta directivă, misiunea de consiliere ar trebui să se desfășoare cu respectarea normelor de drept detaliate ale respectivului stat membru, de exemplu cele privind condițiile exacte care trebuie să fie îndeplinite pentru a avea acces la sediile sau la documentele relevante și cele privind căile de atac. Expertiza specifică necesară pentru aceste misiuni de consiliere ar putea fi solicitată, după caz, prin intermediul Centrului de coordonare a răspunsului la situații de urgență instituit prin Decizia nr. 1313/2013/UE a Parlamentului European și a Consiliului.

Pentru a sprijini Comisia și pentru a facilita cooperarea între statele membre și schimbul de informații, inclusiv de bune practici, cu privire la aspectele referitoare la prezenta directivă, ar trebui să se constituie Grupul privind reziliența entităților critice, ca grup de experți al Comisiei. Statele membre ar trebui să depună eforturi pentru a asigura o cooperare eficace și eficientă a reprezentanților desemnați ai autorităților lor competente în cadrul Grupului privind reziliența entităților critice, inclusiv prin desemnarea unor reprezentanți care să dețină autorizarea de securitate adecvată, atunci când este cazul. Grupul privind reziliența entităților critice ar trebui să înceapă să își îndeplinească sarcinile cât mai curând posibil, astfel încât să pună la dispoziție mijloace suplimentare pentru o cooperare corespunzătoare pe parcursul perioadei de transpunere a prezentei directive. Grupul privind reziliența entităților critice ar trebui să interacționeze cu alte grupuri de lucru relevante la nivel de experți, specifice sectorului.

Grupul privind reziliența entităților critice ar trebui să coopereze cu Grupul de cooperare constituit în temeiul Directivei (UE) 2022/2555 în vederea sprijinirii unui cadru cuprinzător pentru reziliența cibernetică și non-cibernetică a entităților critice. Grupul privind reziliența entităților critice și Grupul de cooperare constituit în temeiul Directivei (UE) 2022/2555 ar trebui să se angajeze într-un dialog periodic pentru a promova cooperarea dintre autoritățile competente în temeiul prezentei directive și autoritățile competente în temeiul Directivei (UE) 2022/2555 și pentru a facilita schimbul de informații, în special cu privire la subiecte relevante pentru ambele grupuri.

Pentru a realiza obiectivele prezentei directive și fără a aduce atingere responsabilității juridice a statelor membre și a entităților critice de a asigura respectarea obligațiilor care le revin în temeiul prezentei directive, Comisia ar trebui, atunci când consideră oportun, să sprijine autoritățile competente și entitățile critice în vederea facilitării respectării de către acestea a obligațiilor care le revin. Atunci când acordă sprijin statelor membre și entităților critice în punerea în aplicare a obligațiilor care le revin în temeiul prezentei directive, Comisia ar trebui să se bazeze pe structurile și instrumentele existente, cum ar fi cele din cadrul mecanismului de protecție civilă al Uniunii, instituit prin Decizia nr. 1313/2013/UE și al Rețelei europene de referință pentru protecția infrastructurii critice. În plus, Comisia ar trebui să informeze statele membre cu privire la resursele disponibile la nivelul Uniunii, cum ar fi cele din cadrul Fondului pentru securitate internă instituit prin Regulamentul (UE) 2021/1149 al Parlamentului European și al Consiliului, al programului Orizont Europa instituit prin Regulamentul (UE) 2021/695 al Parlamentului European și al Consiliului, sau al altor instrumente relevante pentru reziliența entităților critice.

Statele membre ar trebui să asigure faptul că autoritățile lor competente dispun de anumite competențe specifice pentru aplicarea și asigurarea respectării în mod corespunzător a prezentei directive în ceea ce privește entitățile critice, în cazul în care aceste entități țin de jurisdicția lor, astfel cum se specifică în prezenta directivă. Printre aceste competențe ar trebui să se numere, în special, competența de a efectua inspecții și audituri, competența de a supraveghea, competența de a solicita entităților critice să furnizeze informații și dovezi cu privire la măsurile pe care le-au luat pentru a-și îndeplini obligațiile și, dacă este necesar, competența de a emite ordine pentru a remedia încălcările identificate. Atunci când emit astfel de ordine, statele membre nu ar trebui să impună măsuri care să depășească ceea ce este necesar și proporțional pentru a asigura respectarea normelor de către entitatea critică în cauză, ținând seama în special de gravitatea încălcării și de capacitatea economică a entității critice în cauză. La un nivel mai general, aceste competențe ar trebui să fie însoțite de garanții corespunzătoare și eficace care să fie specificate în dreptul intern în conformitate cu Carta drepturilor fundamentale a Uniunii Europene. Atunci când analizează respectarea de către o entitate critică a obligațiilor care îi revin în temeiul prezentei directive, autoritățile competente în temeiul prezentei directive ar trebui să poată solicita autorităților competente în temeiul Directivei (UE) 2022/2555 să își exercite competențele de supraveghere și de asigurare a respectării legislației în legătură cu o entitate care intră sub incidența respectivei directive și care a fost identificată drept o entitate critică în temeiul prezentei directive. Autoritățile competente în temeiul prezentei directive și autoritățile competente în temeiul Directivei (UE) 2022/2555 ar trebui să coopereze și să facă schimb de informații în acest scop.

Pentru a aplica prezenta directivă într-un mod eficace și consecvent, competența de a adopta acte în conformitate cu articolul 290 din TFUE ar trebui delegată Comisiei pentru a completa prezenta directivă prin elaborarea unei liste de servicii esențiale. Lista respectivă ar trebui să fie utilizată de autoritățile competente în scopul efectuării evaluării riscurilor de către statul membru și al identificării entităților critice în temeiul prezentei directive. În conformitate cu abordarea armonizării minime din prezenta directivă, lista menționată nu este exhaustivă, iar statele membre ar putea să o completeze cu servicii esențiale suplimentare la nivel național pentru a ține seama de particularitățile naționale în furnizarea serviciilor esențiale. Este deosebit de important ca, în cursul lucrărilor sale pregătitoare, Comisia să organizeze consultări adecvate, inclusiv la nivel de experți, și ca respectivele consultări să se desfășoare în conformitate cu principiile stabilite în Acordul interinstituțional din 13 aprilie 2016 privind o mai bună legiferare. În special, pentru a asigura participarea egală la pregătirea actelor delegate, Parlamentul European și Consiliul primesc toate documentele în același timp cu experții din statele membre, iar experții acestor instituții au acces sistematic la reuniunile grupurilor de experți ale Comisiei însărcinate cu pregătirea actelor delegate.

În vederea asigurării unor condiții uniforme pentru punerea în aplicare a prezentei directive, Comisiei ar trebui să i se confere competențe de executare. Respectivele competențe ar trebui exercitate în conformitate cu Regulamentul (UE) nr. 182/2011 al Parlamentului European și al Consiliului.

Întrucât obiectivele prezentei directive, și anume de a asigura că serviciile esențiale pentru menținerea funcțiilor societale sau a activităților economice vitale sunt furnizate pe piața internă fără a fi obstrucționate și de a consolida reziliența entităților critice care furnizează astfel de servicii, nu pot fi realizate în mod satisfăcător de către statele membre și, având în vedere efectele acțiunii, pot fi realizate mai bine la nivelul Uniunii, aceasta poate adopta măsuri în conformitate cu principiul subsidiarității, astfel cum este prevăzut la articolul 5 din Tratatul privind Uniunea Europeană. În conformitate cu principiul proporționalității, astfel cum este prevăzut la articolul 5 menționat, prezenta directivă nu depășește ceea ce este necesar pentru realizarea acestor obiective.

Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului și a emis un aviz la 11 august 2021.

Prin urmare, Directiva 2008/114/CE ar trebui să fie abrogată,

CAPITOLUL I

Prezenta directivă:

stabilește pentru statele membre obligații de a lua măsuri specifice menite să asigure furnizarea neîngrădită pe piața internă a serviciilor esențiale pentru menținerea funcțiilor societale sau a activităților economice vitale, în limitele domeniului de aplicare al articolului 114 din TFUE, în special obligații de a identifica entitățile critice și de a sprijini entitățile critice pentru a-și îndeplini obligațiile care le revin;

stabilește pentru entitățile critice obligații menite să le sporească reziliența și capacitatea de a furniza pe piața internă serviciile menționate la litera (a);

stabilește norme privind:

supravegherea entităților critice;

asigurarea respectării legii;

identificarea entităților critice de importanță europeană deosebită și privind evaluarea de către misiunile de consiliere a măsurilor pe care entitățile menționate le-au pus în aplicare pentru a-și îndeplini obligațiile care le revin în temeiul capitolului III;

stabilește proceduri comune de cooperare și raportare în ceea ce privește aplicarea prezentei directive;

stabilește măsuri menite să asigure un nivel ridicat al rezilienței entităților critice pentru a asigura furnizarea serviciilor esențiale în Uniune și pentru a îmbunătăți funcționarea pieței interne.

supravegherea entităților critice;

asigurarea respectării legii;

identificarea entităților critice de importanță europeană deosebită și privind evaluarea de către misiunile de consiliere a măsurilor pe care entitățile menționate le-au pus în aplicare pentru a-și îndeplini obligațiile care le revin în temeiul capitolului III;

Prezenta directivă nu se aplică aspectelor reglementate de Directiva (UE) 2022/2555, fără a aduce atingere articolului 8 din prezenta directivă. Având în vedere relația dintre securitatea fizică și securitatea cibernetică a entităților critice, statele membre asigură punerea în aplicare coordonată a prezentei directive și a Directivei (UE) 2022/2555.

Dispozițiile relevante ale prezentei directive, inclusiv dispozițiile privind supravegherea și asigurarea respectării legislației prevăzute în capitolul VI, nu se aplică în cazul în care dispozițiile actelor sectoriale din dreptul Uniunii impun entităților critice să ia măsuri de consolidare a rezilienței, iar cerințele respective sunt recunoscute de statele membre ca fiind cel puțin echivalente cu obligațiile corespunzătoare prevăzute în prezenta directivă.

Fără a aduce atingere articolului 346 din TFUE, informațiile confidențiale în temeiul normelor Uniunii sau al normelor naționale, cum ar fi cele privind secretul comercial, fac obiectul schimbului de informații cu Comisia și cu alte autorități relevante în conformitate cu prezenta directivă numai dacă acest lucru este necesar pentru aplicarea prezentei directive. Informațiile care fac obiectul schimbului se limitează la informații relevante și proporționale cu scopul respectivului schimb. Acest schimb de informații păstrează confidențialitatea informațiilor respective și securitatea și interesele comerciale ale entităților critice, respectând totodată securitatea statelor membre.

Prezenta directivă nu aduce atingere responsabilității statelor membre de a proteja securitatea și apărarea națională sau competenței acestora de a proteja alte funcții esențiale ale statului, inclusiv asigurarea integrității teritoriale a statului și menținerea ordinii publice.

Prezenta directivă nu se aplică entităților administrației publice care își desfășoară activitățile în domeniul securității naționale, al siguranței publice, al apărării sau al asigurării respectării legii, inclusiv în ceea ce privește cercetarea, depistarea și urmărirea penală a infracțiunilor.

Statele membre pot decide că articolul 11 și capitolele III, IV și VI nu se aplică, integral sau parțial, anumitor entități critice care își desfășoară activitățile în domeniul securității naționale, al siguranței publice, al apărării sau al asigurării respectării legii, inclusiv în ceea ce privește cercetarea, depistarea și urmărirea penală a infracțiunilor, sau care prestează servicii exclusiv entităților administrației publice menționate la alineatul (6) de la prezentul articol.

Obligațiile prevăzute în prezenta directivă nu implică furnizarea de informații a căror divulgare ar contraveni intereselor esențiale ale statelor membre în materie de securitate națională, siguranță publică sau apărare.

Prezenta directivă nu aduce atingere dreptului Uniunii privind protecția datelor cu caracter personal, în special Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului și Directivei 2002/58/CE a Parlamentului European și a Consiliului.

În sensul prezentei directive, se aplică următoarele definiții:

entitate critică înseamnă o entitate publică sau privată care a fost identificată de un stat membru în conformitate cu articolul 6 ca aparținând uneia dintre categoriile menționate în a treia coloană a tabelului din anexă;

reziliență înseamnă capacitatea unei entități critice de a preveni un incident, de a oferi protecție și de a rezista în cazul producerii unui incident, de a răspunde la un incident, de a atenua un incident, de a absorbi un incident, de a se adapta unui incident și de a se redresa în urma unui incident;

incident înseamnă orice eveniment care are potențialul de a perturba în mod semnificativ sau care perturbă furnizarea unui serviciu esențial, inclusiv atunci când afectează sistemele naționale care protejează statul de drept;

infrastructură critică înseamnă un activ, o instalație, un echipament, o rețea ori un sistem, sau o componentă a unui activ, instalații, echipament, rețea ori sistem, care este necesar(ă) pentru furnizarea unui serviciu esențial;

serviciu esențial înseamnă un serviciu care este indispensabil pentru menținerea funcțiilor societale vitale, a activităților economice vitale, a sănătății și siguranței publice, sau a mediului;

risc înseamnă potențialele pierderi sau perturbări cauzate de un incident și se exprimă ca o combinație între amploarea unei astfel de pierderi sau perturbări și probabilitatea producerii incidentului respectiv;

evaluarea riscurilor înseamnă procesul global prin care se determină natura și amploarea unui risc prin identificarea și analiza potențialelor amenințări, vulnerabilități și pericole relevante care ar putea conduce la un incident și prin evaluarea potențialelor pierderi sau perturbări ale furnizării unui serviciu esențial provocate de incidentul respectiv;

standard înseamnă un standard în înțelesul definiției de la articolul 2 punctul 1 din Regulamentul (UE) nr. 1025/2012 al Parlamentului European și al Consiliului;

specificație tehnică înseamnă o specificație tehnică în înțelesul definiției de la articolul 2 punctul 4 din Regulamentul (UE) nr. 1025/2012;

entitate a administrației publice înseamnă o entitate, recunoscută ca atare într-un stat membru în conformitate cu dreptul intern, cu excepția autorităților judecătorești, parlamentare sau a băncilor centrale, care îndeplinește următoarele criterii:

a fost înființată în scopul satisfacerii unor nevoi de interes general și nu are caracter industrial sau comercial;

are personalitate juridică sau este abilitată prin lege să acționeze în numele unei alte entități cu personalitate juridică;

este finanțată, în cea mai mare parte, de autoritățile statului sau de alte organisme centrale de drept public, face obiectul unui control de gestiune din partea autorităților sau a organismelor respective, sau are un consiliu de administrație, de conducere sau de supraveghere ai cărui membri sunt desemnați în proporție de peste 50 % de autoritățile statului sau de alte organisme centrale de drept public;

are competența de a adresa persoanelor fizice sau juridice decizii administrative sau de reglementare care le afectează drepturile în ceea ce privește circulația transfrontalieră a persoanelor, mărfurilor, serviciilor sau capitalurilor.

Prezenta directivă nu împiedică adoptarea sau menținerea de către statele membre a unor dispoziții de drept intern în vederea obținerii unui nivel mai ridicat de reziliență a entităților critice, cu condiția care dispozițiile respective să fie conforme cu obligațiilor care revin statelor membre în temeiul dreptului Uniunii.

CAPITOLUL II

În urma unei consultări care este, în măsura în care este posibil din punct de vedere practic, deschisă părților interesate relevante, fiecare stat membru adoptă o strategie de consolidare a rezilienței entităților critice (denumită în continuare strategia) până la 17 ianuarie 2026. Strategia stabilește obiective strategice și măsuri de politică, pe baza strategiilor naționale și sectoriale existente relevante, a planurilor sau a unor documente similare, în vederea atingerii și menținerii unui nivel ridicat de reziliență a entităților critice și care acoperă cel puțin sectoarele prevăzute în anexă.

Fiecare strategie include cel puțin următoarele elemente:

obiectivele strategice și prioritățile în scopul consolidării rezilienței generale a entităților critice, ținând seama de dependențele și interdependențele transfrontaliere și intersectoriale;

un cadru de guvernanță pentru realizarea obiectivelor strategice și a priorităților, inclusiv o descriere a rolurilor și responsabilităților diferitelor autorități, ale entităților critice și ale altor părți implicate în punerea în aplicare a strategiei;

o descriere a măsurilor necesare pentru a consolida reziliența generală a entităților critice, inclusiv o descriere a evaluării riscurilor, astfel cum se menționează la articolul 5;

o descriere a procesului prin care sunt identificate entitățile critice;

o descriere a procesului de sprijinire a entităților critice în conformitate cu prezentul capitol, inclusiv a măsurilor de consolidare a cooperării dintre sectorul public, pe de o parte, și sectorul privat și entitățile publice și private, pe de altă parte;

o listă a principalelor autorități și a părților interesate relevante, altele decât entitățile critice, implicate în punerea în aplicare a strategiei;

un cadru de politică pentru coordonarea dintre autoritățile competente în temeiul prezentei directive (denumite în continuare autoritățile competente) și autoritățile competente în temeiul Directivei (UE) 2022/2555 în scopul schimbului de informații privind riscurile de securitate cibernetică, amenințările cibernetice și incidentele cibernetice și riscurile, amenințările și incidentele non-cibernetice și al exercitării sarcinilor de supraveghere;

o descriere a măsurilor deja în vigoare menite să faciliteze punerea în aplicare a obligațiilor care le revin în temeiul capitolului III din prezenta directivă de către întreprinderile mici și mijlocii în înțelesul anexei la Recomandarea 2003/361/CE a Comisiei pe care statul membru în cauză le-a identificat drept entități critice.

Statele membre transmit Comisiei strategiile și orice actualizări substanțiale ale acestora în termen de trei luni de la adoptarea lor.

Până la 17 noiembrie 2023, Comisia este împuternicită să adopte un act delegat în conformitate cu articolul 23 pentru a completa prezenta directivă prin stabilirea unei liste neexhaustive a serviciilor esențiale din sectoarele și subsectoarele prevăzute în anexă. Autoritățile competente utilizează respectiva listă de servicii esențiale în scopul efectuării unei evaluări a riscurilor (denumită în continuare evaluarea riscurilor efectuată de statul membru) până la 17 ianuarie 2026 și, ulterior, ori de câte ori este necesar, dar cel puțin o dată la fiecare patru ani. Autoritățile competente utilizează evaluarea riscurilor efectuată de statul membru pentru a identifica entitățile critice în conformitate cu articolul 6 și pentru a le sprijini în ceea ce privește luarea măsurilor prevăzute la articolul 13.

La evaluarea riscurilor efectuată de statul membru, statele membre iau în considerare cel puțin următoarele:

evaluarea generală a riscurilor efectuată în temeiul articolului 6 alineatul (1) din Decizia nr. 1313/2013/UE;

alte evaluări relevante ale riscurilor, efectuate în conformitate cu cerințele actelor sectoriale relevante din dreptul Uniunii, inclusiv Regulamentele (UE) 2017/1938 și (UE) 2019/941 ale Parlamentului European și ale Consiliului și Directivele 2007/60/CE și 2012/18/UE ale Parlamentului European și ale Consiliului;

riscurile relevante care decurg din gradul de dependență existentă între sectoarele prevăzute în anexă, inclusiv din gradul de dependență a acestora de entități situate în alte state membre și în țări terțe, și impactul pe care o perturbare semnificativă într-un sector îl poate avea asupra altor sectoare, inclusiv orice risc semnificativ la adresa cetățenilor sau a pieței interne;

orice informații privind incidentele notificate în conformitate cu articolul 15.

Statele membre pun la dispoziția entităților critice pe care le-au identificat în conformitate cu articolul 6 elementele relevante ale evaluării riscurilor efectuată de statul membru, după caz, prin intermediul punctelor unice de contact. Statele membre se asigură că informațiile furnizate entităților critice vin în sprijinul acestora în evaluarea riscurilor efectuată de acestea în temeiul articolului 12 și în luarea unor măsuri care să le asigure reziliența în temeiul articolului 13.

În termen de trei luni de la evaluarea riscurilor efectuată de statul membru, un stat membru furnizează Comisiei informațiile relevante privind tipurile de riscuri identificate și rezultatele respectivei evaluări a riscurilor efectuată de statul membru, pentru fiecare sector și subsector prevăzut în anexă.

Comisia, în cooperare cu statele membre, elaborează un model comun de raportare voluntar care să poată fi utilizat pentru asigurarea conformității cu alineatul (4).

Până la 17 iulie 2026, fiecare stat membru identifică entitățile critice pentru sectoarele și subsectoarele prevăzute în anexă.

Atunci când identifică entitățile critice în temeiul alineatului (1), un stat membru ia în considerare rezultatele propriei evaluări a riscurilor efectuată de statul membru și strategia sa și aplică cumulativ următoarele criterii:

entitatea furnizează unul sau mai multe servicii esențiale;

entitatea operează, și infrastructura sa critică este situată, pe teritoriul statului membru respectiv; și

un incident ar avea efecte perturbatoare semnificative, determinate în conformitate cu articolul 7 alineatul (1), asupra furnizării de către o entitate a unuia sau mai multor servicii esențiale ori asupra furnizării altor servicii esențiale în sectoarele prevăzute în anexă care depind de acel serviciu esențial sau de acele servicii esențiale.

Fiecare stat membru stabilește o listă a entităților critice identificate în temeiul alineatului (2) și se asigură că respectivele entități critice sunt notificate cu privire la identificarea lor ca entități critice în termen de o lună de la identificarea respectivă. Statele membre informează entitățile critice respective cu privire la obligațiile care le revin în temeiul capitolelor III și IV și cu privire la data de la care obligațiile respective le revin, fără a aduce atingere articolului 8. Statele membre informează entitățile critice din sectoarele prevăzute la punctele 3, 4 și 8 din tabelul din anexă cu privire la faptul că nu le revin obligații în temeiul capitolelor III și IV, cu excepția cazului în care norme naționale prevăd altfel.

Statele membre se asigură că autoritățile lor competente în temeiul prezentei directive notifică autorităților competente în temeiul Directivei (UE) 2022/2555 identitatea entităților critice pe care le-au identificat în temeiul prezentului articol, în termen de o lună de la identificarea respectivă. Notificarea respectivă specifică, dacă este cazul, că entitățile critice vizate sunt entități din sectoarele prevăzute la punctele 3, 4 și 8 din tabelul din anexa la prezenta directivă și că acestora nu le revin obligații în temeiul capitolelor III și IV din prezenta directivă.

Atunci când este necesar și, în orice caz, cel puțin o dată la fiecare patru ani, statele membre revizuiesc și, după caz, actualizează lista entităților critice identificate menționate la alineatul (3). În cazul în care actualizările respective conduc la identificarea unor entități critice suplimentare, acelor entități critice suplimentare li se aplică alineatele (3) și (4). În plus, statele membre se asigură că entitățile care nu mai sunt identificate ca entități critice în urma unei astfel de actualizări sunt notificate în timp util cu privire la aceasta și cu privire la faptul că, de la primirea notificării respective, nu le mai revin obligațiile prevăzute în capitolul III.

Comisia, în cooperare cu statele membre, elaborează recomandări și orientări fără caracter obligatoriu pentru a sprijini statele membre în identificarea entităților critice.

La determinarea importanței unui efect perturbator astfel cum se menționează la articolul 6 alineatul (2) litera (c), statele membre țin cont de următoarele criterii:

numărul de utilizatori care se bazează pe serviciul esențial furnizat de entitatea în cauză;

gradul de dependență al altor sectoare și subsectoare prevăzute în anexă de serviciul esențial respectiv;

efectele pe care l-ar putea avea incidentele, ca intensitate și durată, asupra activităților economice și societale, a mediului, a siguranței și securității publice, sau a sănătății populației;

cota de piață a entității pe piața serviciului esențial sau a serviciilor esențiale respective;

zona geografică ce ar putea fi afectată de un incident, inclusiv eventualele efecte transfrontaliere, ținând seama de vulnerabilitatea asociată cu gradul de izolare al anumitor tipuri de zone geografice, cum ar fi regiunile insulare, regiunile îndepărtate sau zonele montane;

importanța entității pentru menținerea unui nivel suficient al serviciului esențial, ținând cont de disponibilitatea unor mijloace alternative pentru furnizarea serviciului esențial respectiv.

După identificarea entităților critice în temeiul articolului 6 alineatul (1), fiecare stat membru transmite fără întârziere Comisiei următoarele informații:

o listă a serviciilor esențiale în respectivul stat membru atunci când există servicii esențiale suplimentare față de cele care figurează în lista serviciilor esențiale menționată la articolul 5 alineatul (1);

numărul de entități critice identificate pentru fiecare sector și subsector prevăzut în anexă și pentru fiecare serviciu esențial;

orice praguri aplicate pentru a specifica unul sau mai multe dintre criteriile de la alineatul (1).

După consultarea Grupului privind reziliența entităților critice menționat la articolul 19, Comisia adoptă orientări fără caracter obligatoriu pentru a facilita aplicarea criteriilor menționate la alineatul (1) de la prezentul articol, ținând seama de informațiile menționate la alineatul (2) de la prezentul articol.

Statele membre se asigură că articolul 11 și capitolele III, IV și VI nu se aplică entităților critice pe care le-au identificat din sectoarele prevăzute la punctele 3, 4 și 8 din tabelul din anexă. Statele membre pot adopta sau menține dispoziții de drept intern pentru a atinge un nivel mai ridicat de reziliență pentru entitățile critice respective, cu condiția ca respectivele dispoziții să fie coerente cu dreptul aplicabil al Uniunii.

Fiecare stat membru desemnează sau înființează una sau mai multe autorități competente responsabile cu aplicarea corectă și, după caz, cu asigurarea respectării dispozițiilor prezentei directive la nivel național.

Fiecare stat membru desemnează sau înființează un punct unic de contact care să exercite o funcție de legătură pentru a asigura cooperarea transfrontalieră cu punctele unice de contact ale altor state membre și cu Grupul privind reziliența entităților critice menționat la articolul 19 (denumit în continuare punctul unic de contact). După caz, un stat membru desemnează punctul său unic de contact în cadrul unei autorități competente. După caz, un stat membru poate dispune ca punctul său unic de contact să exercite și o funcție de legătură cu Comisia și să asigure cooperarea cu țările terțe.

Până la 17 iulie 2028 și, ulterior, la fiecare doi ani, punctele unice de contact prezintă Comisiei și Grupului privind reziliența entităților critice menționat la articolul 19 un raport de sinteză privind notificările pe care le-au primit, inclusiv cu privire la numărul de notificări, natura incidentelor notificate și măsurile luate în conformitate cu articolul 15 alineatul (3).

Fiecare stat membru se asigură că autoritatea sa competentă și punctul unic de contact dețin competențele și resursele financiare, umane și tehnice adecvate pentru a îndeplini, în mod eficace și eficient, sarcinile care le sunt încredințate.

Fiecare stat membru se asigură că autoritatea sa competentă se consultă și cooperează, după caz și în conformitate cu dreptul Uniunii și cu dreptul intern, cu alte autorități naționale relevante, inclusiv cu cele responsabile de protecția civilă, de asigurarea respectării legii și de protecția datelor cu caracter personal, precum și cu entitățile critice și cu părțile interesate relevante.

Fiecare stat membru se asigură că autoritatea sa competentă în temeiul prezentei directive cooperează și face schimb de informații cu autoritățile competente în temeiul Directivei (UE) 2022/2555 în ceea ce privește riscurile de securitate cibernetică, amenințările cibernetice și incidentele cibernetice, precum și riscurile, amenințările și incidentele non-cibernetice care afectează entitățile critice, precum și în ceea ce privește măsurile relevante luate de autoritatea competentă și de autoritățile competente în temeiul Directivei (UE) 2022/2555.

Fiecare stat membru notifică Comisiei desemnarea sau înființarea autorității competente și a punctului unic de contact în termen de trei luni de la desemnarea sau înființarea acestora, inclusiv sarcinile și responsabilitățile care le revin în temeiul prezentei directive, datele lor de contact și orice modificare ulterioară a acestora. Statele membre informează Comisia cu privire la decizia de a desemna o altă autoritate decât autoritățile competente menționate la alineatul (1) al doilea paragraf drept autoritate competentă în ceea ce privește entitățile critice din sectoarele prevăzute la punctele 3, 4 și 8 din tabelul din anexă. Fiecare stat membru face publică identitatea autorității sale competente și a punctului său unic de contact.

Comisia întocmește și publică o listă a punctelor unice de contact.

Statele membre acordă sprijin entităților critice în vederea consolidării rezilienței acestora. Sprijinul respectiv poate include elaborarea de materiale de orientare și metodologii, sprijinul pentru organizarea de exerciții pentru a testa reziliența acestor entități și furnizarea de consiliere și formare personalului entităților critice. Fără a aduce atingere normelor aplicabile privind ajutoarele de stat, statele membre pot furniza resurse financiare entităților critice, atunci când acest lucru este necesar și justificat de obiective de interes public.

Fiecare stat membru se asigură că autoritatea sa competentă cooperează și face schimb de informații și de bune practici cu entitățile critice din sectoarele prevăzute în anexă.

Statele membre facilitează schimbul voluntar de informații între entitățile critice în ceea ce privește aspectele reglementate de prezenta directivă, în conformitate cu dreptul Uniunii și cu dreptul intern privind, în special, informațiile clasificate și sensibile, concurența și protecția datelor cu caracter personal.

Statele membre se consultă reciproc cu privire la entitățile critice, ori de câte ori acest lucru este necesar, în scopul asigurării aplicării consecvente a prezentei directive. Consultările respective au loc în special în ceea ce privește entitățile critice:

care utilizează o infrastructură critică conectată fizic între două sau mai multe state membre;

care fac parte din structuri corporative conectate cu entități critice din alte state membre sau legate de acestea;

care au fost identificate drept entități critice într-un stat membru și furnizează servicii esențiale pentru alte state membre sau pe teritoriul acestora.

Consultările menționate la alineatul (1) vizează consolidarea rezilienței entităților critice și, acolo unde este posibil, reducerea sarcinii administrative care incumbă acestora.

CAPITOLUL III

Prin excepție de la termenul prevăzut la articolul 6 alineatul (3) al doilea paragraf, statele membre se asigură că entitățile critice efectuează o evaluare a riscurilor în termen de nouă luni după primirea notificării menționate la articolul 6 alineatul (3) și, ulterior, ori de câte ori este necesar dar cel puțin o dată la fiecare patru ani, pe baza evaluărilor riscurilor efectuate de statele membre și a altor surse relevante de informații, în vederea evaluării tuturor riscurilor relevante care ar putea perturba furnizarea serviciilor lor esențiale (denumită în continuare evaluarea riscurilor efectuată de entitatea critică).

Evaluarea riscurilor efectuată de entitatea critică ține seama de toate riscurile naturale și de cele provocate de om care ar putea provoca producerea unui incident, inclusiv cele intersectoriale sau transfrontaliere, accidentele, dezastrele naturale, situațiile de urgență din domeniul sănătății publice și amenințările hibride, precum și alte amenințări antagoniste, inclusiv infracțiunile de terorism prevăzute de Directiva (UE) 2017/541. Evaluarea riscurilor efectuată de entitatea critică ține seama de gradul de dependență al altor sectoare prevăzute în anexă față de serviciul esențial furnizat de entitatea critică și gradul de dependență al entității critice față de serviciile esențiale furnizate de alte entități în sectoarele respective inclusiv, după caz, în statele membre și țările terțe învecinate.

Statele membre se asigură că entitățile critice iau măsuri tehnice, de securitate și organizatorice adecvate și proporționale pentru a-și asigura reziliența, pe baza informațiilor relevante furnizate de statele membre în evaluarea riscurilor efectuată de statul membru precum și a rezultatelor evaluării riscurilor efectuată de entitatea critică, inclusiv măsuri necesare pentru:

a preveni apariția incidentelor, luând în considerare în mod corespunzător măsuri de reducere a riscului de dezastre și de adaptare la schimbările climatice;

a asigura o protecție fizică adecvată a spațiilor și a infrastructurii critice, luând în considerare în mod corespunzător de exemplu instalarea de garduri, bariere, instrumente și proceduri de monitorizare a perimetrului, echipamente pentru detectarea și controlul accesului;

a răspunde, a rezista la consecințele incidentelor și a le atenua, luând în considerare în mod corespunzător implementarea unor proceduri și protocoale de gestionare a riscurilor și a crizelor și a unor proceduri de alertă;

a se redresa în urma incidentelor, luând în considerare în mod corespunzător măsuri de asigurare a continuității activității și identificarea unor lanțuri de aprovizionare alternative, pentru a relua furnizarea serviciului esențial;

a asigura gestionarea adecvată a securității în ceea ce privește angajații, luând în considerare în mod corespunzător măsuri precum determinarea categoriilor de personal care exercită funcții critice, stabilirea drepturilor de acces la spații, la infrastructura critică și la informațiile sensibile, stabilirea de proceduri de verificare a antecedentelor în conformitate cu articolul 14, desemnarea unor categorii de persoane care trebuie să facă obiectul unor astfel de verificări ale antecedentelor, precum și stabilirea unor cerințe de formare și calificări adecvate;

a conștientiza personalul relevant cu privire la măsurile menționate la literele (a)-(e), luând în considerare în mod corespunzător cursuri de formare, materiale informative și exerciții.

Statele membre se asigură că entitățile critice instituie și pun în aplicare un plan de reziliență sau un document sau documente echivalente, care descriu măsurile luate în temeiul alineatului (1). Atunci când entitățile critice au elaborat documente sau au luat măsuri în temeiul obligațiilor stabilite în alte acte de drept care sunt relevante pentru măsurile menționate la alineatul (1), acestea pot utiliza documentele și măsurile respective pentru a îndeplini cerințele prevăzute la prezentul articol. Atunci când își exercită funcțiile de supraveghere, autoritatea competentă poate declara măsurile existente de consolidare a rezilienței luate de o entitate critică, care abordează în mod adecvat și proporțional măsurile tehnice, de securitate și organizatorice menționate la alineatul (1), ca fiind conforme, integral sau parțial, cu obligațiile prevăzute la prezentul articol.

Statele membre se asigură că fiecare entitate critică desemnează un ofițer de legătură sau un echivalent al acestuia ca punct de contact în relația cu autoritățile competente.

La cererea statului membru care a identificat entitatea critică și cu acordul entității critice în cauză, Comisia organizează misiuni de consiliere, conform modalităților stabilite la articolul 18 alineatele (6), (8) și (9), pentru a oferi consultanță entității critice în cauză în vederea îndeplinirii obligațiilor care îi revin în temeiul capitolului III. Misiunea de consiliere raportează constatările sale Comisiei, statului membru respectiv și entității critice în cauză.

După consultarea Grupului privind reziliența entităților critice menționat la articolul 19, Comisia adoptă orientări fără caracter obligatoriu pentru a detalia măsurile tehnice, de securitate și organizatorice care pot fi luate în temeiul alineatului (1) de la prezentul articol.

Comisia adoptă acte de punere în aplicare pentru a stabili specificațiile tehnice și metodologice necesare privind aplicarea măsurilor menționate la alineatul (1) de la prezentul articol. Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 24 alineatul (2).

Statele membre precizează condițiile în care unei entități critice i se permite, în cazuri justificate în mod corespunzător și ținând seama de evaluarea riscurilor efectuată de statul membru, să depună cereri de verificare a antecedentelor persoanelor care:

îndeplinesc roluri sensibile în cadrul entității critice sau în beneficiul acesteia, în special în ceea ce privește reziliența entității critice;

sunt autorizate să aibă acces direct sau de la distanță în spațiile acesteia, la informațiile sale sau la sistemele sale de control, inclusiv în legătură cu securitatea entității critice;

sunt avute în vedere pentru a fi recrutate în posturi care intră sub incidența criteriilor prevăzute la litera (a) sau (b).

Cererile menționate la alineatul (1) de la prezentul articol sunt evaluate într-un termen rezonabil și prelucrate în conformitate cu dreptul și procedurile interne, precum și cu dreptul relevant și aplicabil al Uniunii, inclusiv cu Regulamentul (UE) 2016/679 și cu Directiva (UE) 2016/680 a Parlamentului European și a Consiliului. Verificările antecedentelor sunt proporționale și strict limitate la ceea ce este necesar. Acestea se efectuează exclusiv în scopul evaluării unui potențial risc de securitate pentru entitatea critică în cauză.

O verificare a antecedentelor menționată la alineatul (1) îndeplinește cel puțin următoarele:

confirmă identitatea persoanei care face obiectul verificării antecedentelor;

verifică cazierul judiciar al persoanei vizate în ceea ce privește infracțiunile care ar fi relevante pentru o anumită funcție.

Statele membre se asigură că entitățile critice notifică fără întârzieri nejustificate autorității competente incidentele care perturbă în mod semnificativ sau care au potențialul de a perturba în mod semnificativ furnizarea serviciilor esențiale. Cu excepția cazului în care nu sunt în măsură din punct de vedere operațional să facă acest lucru, statele membre se asigură că entitățile critice transmit o notificare inițială în cel mult 24 de ore de la constatarea unui incident, urmată, după caz, de un raport detaliat prezentat ulterior în cel mult o lună. Pentru a determina importanța perturbării, se iau în considerare, în special, următorii parametri:

numărul și proporția utilizatorilor afectați de perturbare;

durata perturbării;

zona geografică afectată de perturbare, ținând seama de eventuala izolare geografică a zonei respective.

Notificările menționate la primul paragraf de la alineatul (1) includ toate informațiile disponibile de care autoritatea competentă are nevoie pentru a înțelege natura, cauza și posibilele consecințe ale incidentului, inclusiv toate informațiile necesare pentru a determina orice efect transfrontalier al incidentului. Notificările respective nu agravează răspunderea entităților critice.

Pe baza informațiilor furnizate de entitatea critică în notificarea menționată la alineatul (1), autoritatea competentă relevantă informează, prin intermediul punctului unic de contact, punctul unic de contact al altor state membre afectate dacă incidentul are sau ar putea avea un efect semnificativ asupra entităților critice și asupra continuității furnizării de servicii esențiale pentru unul sau mai multe alte state membre sau pe teritoriul acestora.

Cât mai rapid posibil în urma notificării menționate la alineatul (1), autoritatea competentă relevantă furnizează entității critice în cauză informații complementare relevante, inclusiv informații care ar putea contribui la răspunsul eficace al entității critice la incidentul în cauză. Statele membre informează publicul în cazul în care consideră că aceasta ar fi de interes public.

Pentru a promova punerea în aplicare convergentă a prezentei directive, statele membre încurajează, în cazul în care acest lucru este util și fără a impune sau a discrimina în favoarea utilizării unui anumit tip de tehnologie, utilizarea standardelor și specificațiilor tehnice europene și internaționale care sunt pertinente pentru măsurile de securitate și cele de reziliență aplicabile entităților critice.

CAPITOLUL IV

O entitate este considerată entitate critică de importanță europeană deosebită atunci când:

a fost identificată ca entitate critică în temeiul articolului 6 alineatul (1);

furnizează servicii esențiale identice sau similare pentru șase sau mai multe state membre sau pe teritoriul acestora; și

a fost notificată în temeiul alineatului (3) de la prezentul articol.

Statele membre se asigură că, în urma notificării menționate la articolul 6 alineatul (3), o entitate critică informează autoritatea sa competentă atunci când furnizează servicii esențiale pentru șase sau mai multe state membre sau pe teritoriul acestora. În acest caz, statele membre se asigură că entitatea critică informează autoritatea sa competentă care sunt serviciile esențiale pe care le furnizează acelor state membre și care sunt statele membre cărora sau pe teritoriul cărora furnizează serviciile esențiale respective. Statele membre notifică Comisiei, fără întârzieri nejustificate, identitatea entităților critice în cauză și informațiile puse la dispoziție în temeiul prezentului alineat.

În cazul în care, pe baza consultărilor prevăzute la alineatul (2) de la prezentul articol, Comisia constată că entitatea critică în cauză furnizează servicii esențiale pentru șase sau mai multe state membre sau pe teritoriul acestora, aceasta notifică entității în cauză, prin intermediul autorității sale competente, faptul că este considerată o entitate critică de importanță europeană deosebită, informând-o cu privire la obligațiile care îi revin în temeiul prezentului capitol și cu privire la data de la care obligațiile respective i se aplică. De îndată ce Comisia a informat autoritatea competentă cu privire la decizia sa de a considera o entitate drept entitate critică de importanță europeană deosebită, autoritatea competentă transmite notificarea, fără întârzieri nejustificate, respectivei entități critice.

Prezentul capitol se aplică respectivei entități critice de importanță europeană deosebită de la data primirii notificării menționate la alineatul (3) de la prezentul articol.

La cererea unui stat membru care a identificat o entitate critică de importanță europeană deosebită ca entitate critică în temeiul articolului 6 alineatul (1), Comisia poate organiza o misiune de consiliere în vederea evaluării măsurilor puse în aplicare de entitatea în cauză pentru a-și îndeplini obligațiile în temeiul capitolului III.

Din proprie inițiativă sau la cererea unuia sau a mai multor state membre cărora sau pe teritoriul cărora este furnizat serviciul esențial, Comisia poate organiza, de asemenea, o misiune de consiliere menționată la alineatul (1) de la prezentul articol, cu condiția ca statul membru care a identificat o entitate critică de importanță europeană deosebită ca entitate critică în temeiul articolului 6 alineatul (1) să fie de acord.

La cererea motivată a Comisiei sau a unuia sau mai multor state membre cărora sau pe teritoriul cărora este furnizat serviciul esențial, statul membru care a identificat o entitate critică de importanță europeană deosebită ca entitate critică în temeiul articolului 6 alineatul (1) pune la dispoziția Comisiei:

părțile relevante ale evaluării riscurilor efectuate;

o listă a măsurilor luate în conformitate cu articolul 13;

măsurile de supraveghere sau de asigurare a respectării legislației, inclusiv evaluări ale conformității sau ordine emise, pe care autoritatea sa competentă le-a întreprins în temeiul articolelor 21 și 22 cu privire la entitatea critică respectivă.

Misiunea de consiliere raportează constatările sale Comisiei, statului membru care a identificat o entitate critică de importanță europeană deosebită ca entitate critică în temeiul articolului 6 alineatul (1), statelor membre cărora sau pe teritoriul cărora este furnizat serviciul esențial și entității critice în cauză în termen de trei luni de la încheierea misiunii de consiliere.

Fiecare misiune de consiliere este alcătuită din experți ai statului membru în care este situată entitatea critică de importanță europeană deosebită, din experți ai statelor membre cărora sau pe teritoriul cărora este furnizat serviciul esențial și din reprezentanți ai Comisiei. Statele membre respective pot propune candidați care să facă parte dintr-o misiune de consiliere. În urma consultărilor cu statul membru care a identificat o entitate critică de importanță europeană deosebită ca entitate critică în temeiul articolului 6 alineatul (1), Comisia selectează și numește membrii fiecărei misiuni de consiliere în funcție de capacitatea lor profesională, asigurând, dacă este posibil, o reprezentare echilibrată din punct de vedere geografic a tuturor statelor membre interesate. Ori de câte ori este necesar, membrii misiunii de consiliere dețin o autorizare de securitate valabilă și adecvată. Comisia suportă costurile legate de participarea la misiunea de consiliere.

Comisia adoptă un act de punere în aplicare prin care sunt stabilite norme procedurale cu privire la cererile de organizare a misiunilor de consiliere și la tratarea acestor cereri, la desfășurarea misiunilor de consiliere și la rapoartele prezentate de acestea, precum și la gestionarea comunicării cu privire la avizul Comisiei menționat la alineatul (4) al treilea paragraf de la prezentul articol și la măsurile luate, ținând seama în mod corespunzător de confidențialitatea și de sensibilitatea comercială a informațiilor în cauză. Respectivul act de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 24 alineatul (2).

Statele membre se asigură că entitatea critică de importanță europeană deosebită asigură misiunii de consiliere acces la informațiile, sistemele și instalațiile legate de furnizarea serviciilor sale esențiale care sunt necesare pentru desfășurarea misiunii de consiliere.

Misiunile de consiliere se desfășoară în conformitate cu dreptul intern aplicabil al statului membru în care acestea au loc, respectând responsabilitatea statului membru respectiv în ceea ce privește securitatea națională și protecția intereselor sale în materie de securitate.

Atunci când organizează misiuni de consiliere, Comisia ia în considerare rapoartele tuturor inspecțiilor efectuate de Comisie în temeiul Regulamentelor (CE) nr. 725/2004 și (CE) nr. 300/2008, precum și rapoartele privind orice monitorizare efectuată de Comisie în temeiul Directivei 2005/65/CE în ceea ce privește entitatea critică respectivă.

Comisia informează Grupul privind reziliența entităților critice menționat la articolul 19 ori de câte ori se organizează o misiune de consiliere. Statul membru în care are loc misiunea de consiliere și Comisia informează, de asemenea, Grupul privind reziliența entităților critice cu privire la principalele constatări ale misiunii de consiliere și la lecțiile desprinse în vederea promovării învățării reciproce.

CAPITOLUL V

În temeiul prezentei directive se constituie Grupul privind reziliența entităților critice. Grupul sprijină Comisia și facilitează cooperarea dintre statele membre și schimbul de informații privind aspectele referitoare la prezenta directivă.

Grupul privind reziliența entităților critice este alcătuit din reprezentanți ai statelor membre și ai Comisiei care dețin autorizarea de securitate, după caz. Dacă este relevant pentru îndeplinirea sarcinilor sale, Grupul privind reziliența entităților critice poate invita părți interesate relevante să participe la lucrările sale. La cererea Parlamentului European, Comisia poate invita, de asemenea, experți ai Parlamentului să participe la reuniunile Grupului privind reziliența entităților critice.

Grupului privind reziliența entităților critice îi revin următoarele sarcini:

să sprijine Comisia în ceea ce privește asistența acordată statelor membre pentru consolidarea capacității acestora de a contribui la asigurarea rezilienței entităților critice în conformitate cu prezenta directivă;

să analizeze strategiile în vederea identificării bunelor practici în ceea ce privește strategiile respective;

să faciliteze schimbul de bune practici în ceea ce privește identificarea entităților critice de către statele membre în temeiul articolului 6 alineatul (1), inclusiv în legătură cu dependențele transfrontaliere și intersectoriale și în ceea ce privește riscurile și incidentele;

după caz, să contribuie, cu privire la aspectele legate de prezenta directivă, la documentele privind reziliența la nivelul Uniunii;

să contribuie la elaborarea orientărilor menționate la articolul 7 alineatul (3) și articolul 13 alineatul (5) și, la cerere, a oricăror acte delegate sau de punere în aplicare adoptate în temeiul prezentei directive;

să analizeze rapoartele de sinteză menționate la articolul 9 alineatul (3) în vederea promovării schimbului de bune practici cu privire la măsurile luate în conformitate cu articolul 15 alineatul (3);

să asigure schimbul de bune practici în legătură cu notificarea incidentelor menționată la articolul 15;

să discute rapoartele de sinteză ale misiunilor de consiliere și lecțiile desprinse în conformitate cu articolul 18 alineatul (10);

să asigure schimbul de informații și de bune practici privind inovarea, cercetarea și dezvoltarea referitoare la reziliența entităților critice, în conformitate cu prezenta directivă;

după caz, să asigure schimbul de informații privind aspecte legate de reziliența entităților critice cu instituțiile, organismele, oficiile și agențiile relevante ale Uniunii.

Până la 17 ianuarie 2025 și, ulterior, la fiecare doi ani, Grupul privind reziliența entităților critice stabilește un program de lucru cu privire la acțiunile care urmează să fie întreprinse pentru punerea în aplicare a obiectivelor și sarcinilor sale. Programul său de lucru trebuie să fie în concordanță cu cerințele și obiectivele prezentei directive.

Grupul privind reziliența entităților critice se reunește periodic și cel puțin o dată pe an cu grupul de cooperare constituit în temeiul Directivei (UE) 2022/2555 pentru a promova și facilita cooperarea și schimbul de informații.

Comisia poate adopta acte de punere în aplicare prin care sunt stabilite normele procedurale necesare pentru funcționarea Grupului privind reziliența entităților critice, cu respectarea articolului 1 alineatul (4). Respectivele acte de punere în aplicare se adoptă în conformitate cu procedura de examinare menționată la articolul 24 alineatul (2).

Comisia prezintă Grupului privind reziliența entităților critice un raport de sinteză privind informațiile furnizate de statele membre în temeiul articolului 4 alineatul (3) și al articolului 5 alineatul (4) până la 17 ianuarie 2027 și, ulterior, atunci când este necesar și cel puțin o dată la fiecare patru ani.

Comisia sprijină, după caz, statele membre și entitățile critice în vederea îndeplinirii obligațiilor care le revin în temeiul prezentei directive. Comisia elaborează o imagine de ansamblu la nivelul Uniunii a riscurilor transfrontaliere și intersectoriale la adresa furnizării serviciilor esențiale, organizează misiunile de consiliere menționate la articolul 13 alineatul (4) și la articolul 18 și facilitează schimbul de informații între statele membre și experții din întreaga Uniune.

Comisia completează activitățile menționate la articolul 10 ale statelor membre prin elaborarea de bune practici, materiale de orientare și metodologii, precum și prin activități de formare și exerciții transfrontaliere pentru a testa reziliența entităților critice.

Comisia informează statele membre cu privire la resursele financiare la nivelul Uniunii aflate la dispoziția statelor membre pentru consolidarea rezilienței entităților critice.

CAPITOLUL VI

Pentru a evalua respectarea de către entitățile pe care statele membre le-au identificat drept entități critice în temeiul articolului 6 alineatul (1) a obligațiilor care le revin în temeiul prezentei directive, statele membre se asigură că autoritățile competente dispun de competențele și de mijloacele necesare pentru:

a efectua inspecții in situ ale infrastructurii critice și ale spațiilor pe care le utilizează entitatea critică pentru a-și furniza serviciile esențiale, precum și a supraveghea ex situ măsurile luate de entitățile critice în conformitate cu articolul 13;

a efectua sau a ordona audituri ale entităților critice respective.

Statele membre se asigură că autoritățile competente dispun de competențele și mijloacele necesare pentru a solicita, atunci când este necesar pentru îndeplinirea sarcinilor care le revin în temeiul prezentei directive, ca entitățile în temeiul Directivei (UE) 2022/2555 pe care statele membre le-au identificat ca entități critice în temeiul prezentei directive să transmită, într-un termen rezonabil stabilit de autoritățile respective:

informațiile necesare pentru a evalua dacă măsurile luate de entitățile respective pentru a-și asigura reziliența îndeplinesc cerințele prevăzute la articolul 13;

dovada punerii în aplicare efective a măsurilor respective, inclusiv rezultatele unui audit efectuat de un auditor independent și calificat selectat de entitatea respectivă și efectuat pe cheltuiala acesteia.

Fără a aduce atingere posibilității de a aplica sancțiuni în conformitate cu articolul 22, autoritățile competente pot, în urma acțiunilor de supraveghere menționate la alineatul (1) de la prezentul articol sau după evaluarea informațiilor menționate la alineatul (2) de la prezentul articol, să ordone entităților critice în cauză să ia măsurile necesare și proporționale pentru a remedia orice încălcare identificată a prezentei directive, într-un termen rezonabil stabilit de autoritățile respective, și să furnizeze autorităților respective informații cu privire la măsurile luate. Aceste ordine țin seama, în special, de gravitatea încălcării.

Statele membre se asigură că competențele prevăzute la alineatele (1), (2) și (3) pot fi exercitate numai sub rezerva unor garanții adecvate. Garanțiile respective asigură, în special, faptul că o astfel de exercitare are loc în mod obiectiv, transparent și proporțional și că drepturile și interesele legitime ale entităților critice afectate, cum ar fi protecția secretelor comerciale și de afaceri, sunt protejate în mod corespunzător, inclusiv dreptul acestora de a fi ascultate, dreptul la apărare și dreptul la o cale de atac efectivă în fața unei instanțe independente.

Statele membre se asigură că, atunci când o autoritate competentă în temeiul prezentei directive evaluează în temeiul prezentului articol respectarea de către o entitate critică a obligațiilor care îi revin, autoritatea competentă respectivă informează autoritățile competente în temeiul Directivei (UE) 2022/2555 ale statelor membre interesate. În acest scop, statele membre se asigură că autoritățile competente în temeiul prezentei directive pot solicita autorităților competente în temeiul Directivei (UE) 2022/2555 să își exercite competențele de supraveghere și de asigurare a respectării legislației în legătură cu o entitate care intră sub incidența directivei menționate care a fost identificată drept entitate critică în temeiul prezentei directive. Statele membre se asigură că autoritățile competente în temeiul prezentei directive cooperează și fac schimb de informații în acest scop cu autoritățile competente în temeiul Directivei (UE) 2022/2555.

Statele membre adoptă normele privind sancțiunile care se aplică în cazul nerespectării dispozițiilor de drept intern adoptate în temeiul prezentei directive și iau toate măsurile necesare pentru a asigura aplicarea acestora. Sancțiunile trebuie să fie efective, proporționale și cu efect de descurajare. Statele membre notifică normele și măsurile respective Comisiei până la 17 octombrie 2024 și îi comunică acesteia, fără întârziere, orice modificare ulterioară a acestora.

CAPITOLUL VII

Competența de a adopta acte delegate este conferită Comisiei în condițiile prevăzute la prezentul articol.

Competența de a adopta acte delegate menționată la articolul 5 alineatul (1) se conferă Comisiei pe o perioadă de cinci ani, începând cu 16 ianuarie 2023.

Delegarea de competențe menționată la articolul 5 alineatul (1) poate fi revocată oricând de Parlamentul European sau de Consiliu. O decizie de revocare pune capăt delegării de competențe specificate în decizia respectivă. Decizia produce efecte din ziua care urmează datei publicării acesteia în Jurnalul Oficial al Uniunii Europene sau de la o dată ulterioară menționată în decizie. Decizia nu aduce atingere actelor delegate care sunt deja în vigoare.

Înainte de adoptarea unui act delegat, Comisia consultă experții desemnați de fiecare stat membru în conformitate cu principiile prevăzute în Acordul interinstituțional din 13 aprilie 2016 privind o mai bună legiferare.

De îndată ce adoptă un act delegat, Comisia îl notifică simultan Parlamentului European și Consiliului.

Un act delegat adoptat în temeiul articolului 5 alineatul (1) intră în vigoare numai în cazul în care nici Parlamentul European și nici Consiliul nu au formulat obiecții în termen de două luni de la notificarea acestuia către Parlamentul European și Consiliu sau în cazul în care, înaintea expirării termenului respectiv, Parlamentul European și Consiliul au informat Comisia că nu vor formula obiecții. Respectivul termen se prelungește cu două luni la inițiativa Parlamentului European sau a Consiliului.

Comisia este asistată de un comitet. Respectivul comitet reprezintă un comitet în înțelesul Regulamentului (UE) nr. 182/2011.

În cazul în care se face trimitere la prezentul alineat, se aplică articolul 5 din Regulamentul (UE) nr. 182/2011.

CAPITOLUL VIII

Până la 17 iulie 2027, Comisia prezintă Parlamentului European și Consiliului un raport în care evaluează măsura în care fiecare stat membru a luat măsurile necesare pentru a se conforma prezentei directive.

Comisia examinează periodic funcționarea prezentei directive și prezintă un raport Parlamentului European și Consiliului. Raportul respectiv evaluează în special valoarea adăugată a prezentei directive, impactul acesteia în ceea ce privește asigurarea rezilienței entităților critice, precum și dacă anexa la prezenta directivă ar trebui să fie modificată. Comisia transmite primul raport până la 17 iunie 2029. Comisia ia în considerare documentele relevante ale Grupului privind reziliența entităților critice în scopul raportării în temeiul prezentului articol.

Statele membre adoptă și publică, până la 17 octombrie 2024, dispozițiile necesare pentru a se conforma prezentei directive. Statele membre informează de îndată Comisia cu privire la aceasta.

Atunci când statele membre adoptă dispozițiile menționate la alineatul (1), acestea conțin o trimitere la prezenta directivă sau sunt însoțite de o asemenea trimitere la data publicării lor oficiale. Statele membre stabilesc modalitatea de efectuare a acestei trimiteri.

Directiva 2008/114/CE se abrogă de la 18 octombrie 2024.

Trimiterile la directiva abrogată se interpretează drept trimiteri la prezenta directivă.

Prezenta directivă intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Prezenta directivă se adresează statelor membre.

Adoptată la Strasbourg, 14 decembrie 2022.Pentru Parlamentul EuropeanPreședintaR. MetsolaPentru ConsiliuPreședinteleM. Bek

ANEXĂSectoare, subsectoare și categorii de entități

Tabelul 1