I.   ВЪВЕДЕНИЕ

1.

Целта на Директива (ЕС) 2022/2557 за устойчивостта на критичните субекти (1) („директивата“) е да се гарантира, че услуги, които са от основно значение за поддържането на жизненоважни обществени функции или икономически дейности, се предоставят безпрепятствено в рамките на вътрешния пазар. Чрез директивата се повишава устойчивостта на критичните субекти, които предоставят такива услуги, като се създава цялостна рамка за устойчивост на всички опасности (природни или антропогенни, случайни или умишлени).

2.

В съответствие с член 6, параграф 1 от директивата държавите членки трябва да установят своите критични субекти за секторите и подсекторите, посочени в приложението към директивата, до 17 юли 2026 г. За да се постигне високо равнище на устойчивост, тези критични субекти имат задължения съгласно директивата, включително задължението, предвидено в член 13, да предприемат подходящи и пропорционални технически мерки, мерки за сигурност и организационни мерки, за да гарантират своята устойчивост. Във връзка с това с член 13, параграф 5 от директивата на Комисията се възлага да приеме необвързващи насоки за допълнително конкретизиране на техническите мерки, мерките за сигурност и организационните мерки, които могат да бъдат предприети от критичните субекти.

3.

В съответствие с посочените по-горе разпоредби преди приемането на настоящото съобщение бяха проведени консултации с държавите членки и заинтересованите страни в рамките на семинар, проведен на 29 септември 2025 г. С Групата по въпросите на устойчивостта на критичните субекти (ГВУКС) бяха проведени консултации по проекта на съобщението на заседанията ѝ на 10 април, 19 май и 30 септември 2025 г.. На 14 ноември 2025 г. с ГВУКС бяха проведени консултации и по проекта на текста на съобщението, като на 25 февруари 2026 г. ѝ беше представена актуализирана версия. На 6 март 2026 г. с ГВУКС се проведе окончателна консултация по проекта на насоки.

4.

Настоящото съобщение не е правно обвързващо и не засяга тълкуването на правото на Съюза от страна на Съда на Европейския съюз.

II.   НЕОБВЪРЗВАЩИ НАСОКИ ОТНОСНО МЕРКИТЕ ЗА ПОВИШАВАНЕ НА УСТОЙЧИВОСТТА

А.   ОБЩИ СЪОБРАЖЕНИЯ

5.

Настоящите необвързващи насоки имат за цел допълнително да се конкретизират техническите мерки, мерките за сигурност и организационните мерки, които могат да бъдат предприети от критичните субекти съгласно член 13, параграф 1, букви а) — е) от директивата. Списъкът с мерки не е изчерпателен и може да бъде допълван.

6.

Съгласно член 13, параграф 1 при прилагането на тези мерки критичните субекти трябва да вземат предвид следното: а) относимата информация, предоставена от държавите членки относно оценката на риска на държавата членка, извършена съгласно член 5 от директивата. Държавите членки следва да изпращат навременна, сбита и съобразена с конкретните нужди информация на своите критични субекти. Тази информация може да включва докладите, посочени в член 9, параграф 3 от директивата, изпратени на Комисията, като се използва общият образец за докладване; б) относимата информация относно резултатите от оценката на риска на критичния субект, извършена съгласно член 12 от директивата. Критичните субекти се насърчават да осигурят цялостен подход, като преминат от обикновена защита на критичната инфраструктура към осигуряване на непрекъснатост на основните услуги, които предоставят, и да обвържат резултатите от оценката на риска със своите мерки за повишаване на устойчивостта. За да подкрепят мерките за повишаване на устойчивостта, критичните субекти следва да обмислят извършването на всеобхватни оценки на риска, които надхвърлят преките им зависимости, като отчитат трансграничните, секторните и системните аспекти на взаимозависимост.

7.

Съгласно член 13, параграф 1 от директивата мерките, които трябва да бъдат предприети от критичните субекти, трябва да бъдат подходящи и пропорционални. Дали мерките са подходящи и пропорционални следва да се оценява във връзка с резултатите от посочените по-горе оценки на риска. а) „Подходящи“ следва да се разбира като основани на риска или на въздействието, ефективни и уместни мерки, които могат да направят критичния субект напълно устойчив при предоставянето на основни услуги. Дали дадена мярка е подходяща може да варира в зависимост от особеностите на отделните критични субекти. б) „Пропорционални“ следва да се разбира като необходими и достатъчни мерки, които не са прекомерни по отношение на нивото на риска и значимостта на инцидента с нарушаващо въздействие. Мерките следва да бъдат съобразени с особеностите на въпросния критичен субект и да вземат предвид аспекти като естеството на предоставяните основни услуги, веригата на доставки и взаимозависимостите, разходната ефективност на мерките, размера на субекта и географското въздействие на предоставяните услуги.

8.

Насоките вземат предвид всички сектори, обхванати от глава III от директивата (2). Неизчерпателният списък с примери може да не се прилага еднакво за всички сектори и всички видове критична инфраструктура.

9.

Мерките, които трябва да бъдат предприети, ще зависят от резултата от оценката на риска на държавата членка и от оценките на риска на критичните субекти.

10.

Мерките за повишаване на устойчивостта, предприети от критичните субекти съгласно член 13, параграф 1, буква а)—е), следва да се прилагат, без да се засягат мерките, произтичащи от съответното секторно законодателство, и в съответствие с него, като например законодателството, посочено в съображение 31 от директивата, както и Директивата за мрежова и информационна система 2 (МИС 2) (3), Европейския закон за климата (4), Регламента за готовност за справяне с рискове в електроенергийния сектор (5), Регламента за сигурността на доставките на газ (6), Директивата относно безопасността на свързаните с нефт и газ дейности в крайбрежни води (7), рамката на ЕС за морска и пристанищна сигурност (8), Общия регламент относно защитата на данните (ОРЗД) (9), Регламента за прилагане на Единното европейско небе (10), Регламента за Агенцията за авиационна безопасност на Европейския съюз (11) и Регламента за изпълнение относно мрежовите функции за управление на въздушното движение (12).

11.

Когато използват изкуствен интелект (ИИ) в своите мерки за повишаване на устойчивостта (напр. система с ИИ за наблюдение на водното налягане в язовир или за контролиране на електроенергийна мрежа), критичните субекти трябва да са наясно, че високорисковите системи с ИИ трябва да отговарят на изискванията за безопасност на Акта на ЕС за изкуствения интелект (13). „Високорискови“ означава, че те са предназначени да се използват като защитни елементи (14) при управлението и експлоатацията на критичната цифрова инфраструктура, движението по пътищата или водоснабдяването, газоснабдяването, отоплението или електроснабдяването (15). Отказ или повреда във функционирането им могат да изложат на риск живота и здравето на хората в голям мащаб и да доведе до значителни смущения в нормалното провеждане на социалните и икономическите дейности.

12.

Във връзка с член 13, параграф 2 от директивата в съображение 30 се пояснява, че [в] интерес на ефективността и отчетността критичните субекти следва да опишат мерките, които предприемат, с достатъчно подробности за постигането на целите за ефективност и отчетност, като вземат предвид идентифицираните рискове, в план за устойчивост или в документ или документи, които са равностойни на плана за устойчивост, и да прилагат този план на практика. Когато критичните субекти вече са предприели технически мерки, мерки за сигурност и организационни мерки и са изготвили документи съгласно други правни актове, които имат отношение към мерките за повишаване на устойчивостта съгласно настоящата директива, с цел да се избегне дублиране те следва да могат да използват тези мерки и документи за целите на спазването на установените в настоящата директива изисквания във връзка с мерките за повишаване на устойчивостта […].

13.

Функцията на служителя за връзка, определен от критичния субект в съответствие с член 13, параграф 3 от директивата, е от решаващо значение за ефективното приемане и изпълнение на мерки за повишаване на устойчивостта, тъй като той осигурява ефикасна и ефективна комуникация и координация между критичния субект и компетентните органи по отношение на задълженията на критичния субект и цялостната рамка за устойчивост.

14.

При предприемането на мерки за повишаване на устойчивостта критичните субекти се насърчават да идентифицират всички съответни активи, съоръжения и оборудване и да вземат предвид трансграничните аспекти и аспектите на взаимозависимост, като се има предвид силно взаимосвързаният характер на секторите, обхванати от директивата, включително физическите аспекти, аспектите, свързани с околната среда, киберсигурността и веригата на доставки. Нарушаването на услугите в една област може да има каскадно въздействие върху целия вътрешен пазар, като по този начин се нарушава предоставянето на основни услуги.

15.

Основният механизъм за разглеждане на взаимозависимостите е оценката на риска на критичния субект и националната оценка на риска. При оценката на риска следва да се оценят и да се вземат предвид степента на зависимост на други сектори от основните услуги, предоставяни от критичния субект, и степента на зависимост на критичните субекти от основни услуги, предоставяни от други субекти в други сектори, включително, когато е приложимо, в съседни държави членки и в трети държави.

16.

При предприемането на мерки за повишаване на устойчивостта критичните субекти следва да обмислят вземането предвид на съответните международни и европейски стандарти.

17.

Следва да се вземат предвид особеностите на критичната морска инфраструктура: тази инфраструктура е по-трудна за наблюдение и защита; в открито море откриването и локализирането на инциденти, както и ремонтите отнемат повече време и са по-скъпи.

Б.   ПРЕВАНТИВНИ МЕРКИ (член 13, параграф 1, буква а) от директивата)

18.

Критичните субекти се насърчават да предприемат мерки, които повишават тяхната устойчивост, като подобряват способността им да предотвратяват повреди или нарушавания. Тези мерки следва да бъдат интегрирани в плана за устойчивост, посочен в член 13, параграф 2 от директивата, и да се разглеждат като част от интегрирана система, а не като изолирани елементи. Ефективността на всяка отделна мярка зависи от взаимодействието ѝ с други мерки, включително физическата защита на помещенията, реакцията, устойчивостта и възстановяването от инциденти с нарушаващо въздействие, както и подходящото управление на сигурността на служителите.

19.

Мерките за намаляване на риска от бедствия и адаптиране към изменението на климата следва да се основават на реалистични климатични прогнози през жизнения цикъл на критичната инфраструктура. Критичните субекти се насърчават да избягват поставянето на критична инфраструктура (напр. центрове за данни или подстанции) във високорискови зони; да предприемат мерки за структурно укрепване на въпросната инфраструктура (например огнеустойчивост, устояване на наводнения, засушаване и взривове, хидроустойчивост), както и неструктурни мерки (например протоколи за обучение и безопасност) за предотвратяване на сблъсъци, експлозии, разливи на опасни материали или радиация; да намират природосъобразни решения, като например интегриране на екологосъобразна инфраструктура (напр. възстановени влажни зони за абсорбиране на бурни вълни или градски гори за намаляване на ефекта на „топлинния остров“ върху електрическото оборудване); да обмислят непосредствените и дългосрочните промени в климатичните модели, които биха могли да влошат целостта на системата с течение на времето, като например екстремни горещини, наводнения и покачване на морското равнище; да извършват планиране за евентуален недостиг на вода; да провеждат стрес тестове, за да се гарантира, че субектът може да функционира в значително по-неблагоприятна среда (напр. по-топли, по-студени, по-влажни, по-сухи, непостоянни или несезонни условия).

20.

Критичните субекти се насърчават да обмислят създаването на база данни за инциденти, като допринасят за базите данни на ЕС за инциденти (16) и прилагат система за систематично докладване на инциденти, която предоставя история на събитията и дава възможност не само за предотвратяване на инциденти и намаляване на риска, но и за възстановяване на активи.

21.

За да се предотвратят човешки грешки, критичните субекти се насърчават да идентифицират задачи с висока вероятност за допускане на грешки и да прилагат подходящи мерки за противодействие, включително автоматизация, непрекъснато обучение на служителите, надзор и ясна отчетност, подробно документиране на процесите, редовни одити и инспекции, както и развитие на култура на устойчивост и отговорност.

22.

За да се гарантира, че мерките за повишаване на устойчивостта се прилагат в съответствие с Директивата МИС2, критичните субекти се насърчават да вземат под внимание предвид мерки, които са от значение за сигурността на мрежите и информационните системи, както е определено в Директивата МИС2, когато прилагат своите мерки за повишаване на устойчивостта. Мерките, определени в Регламент за изпълнение (ЕС) 2024/2690 на Комисията (17), приложими за определени видове субекти в секторите на цифровата инфраструктура, управлението на услуги в областта на ИКТ (между предприятия) и доставчиците на цифрови услуги, определени в Директивата МИС 2 (18), както и придружаващите насоки за прилагане на ENISA (19), могат да послужат като допълнителна препратка.

23.

Що се отнася до технологиите на дейността, критичните субекти следва да предвидят ръчно изключване и разпоредби за човешка намеса във веригата, определящи специфичните условия и изисквания за човешка намеса и ръчен контрол в отговор на опасности.

В.   МЕРКИ ЗА ФИЗИЧЕСКА ЗАЩИТА (член 13, параграф 1, буква б) от директивата)

24.

Критичните субекти се насърчават да предприемат физически мерки срещу природни и причинени от човека заплахи (напр. хибридни заплахи, саботаж, тероризъм, престъпни деяния, военни/военновременни нападения, шпионаж) и да въведат процедурни проверки, които служат за откриване, възпиране, забавяне, недопускане, реагиране и намаляване на въздействието на инциденти с нарушаващо въздействие.

25.

При планирането на подходящи и пропорционални мерки за повишаване на устойчивостта срещу причинени от човека заплахи критичните субекти следва да вземат предвид релевантността на конкретните сценарии за заплаха. По-специално те се насърчават: i) да вземат предвид необходимостта от протоколи за тясна публично-частна координация в подкрепа на оперативното сътрудничество с компетентните органи и да гарантират подходящ и реципрочен поток от информация за заплахи и инциденти в интерес на общата ситуационна осведоменост; ii) в случай на потенциални хибридни заплахи от държавни субекти, които в случая на критични субекти са главно опити за саботаж с цел нарушаване на функционирането на активи и оборудване или подготовка за такива опити (включително шпионаж/наблюдение), да се има предвид, че държавните субекти могат да спонсорират и насочват уязвими марионетни сили или такива, които могат да бъдат използвани (напр. лица или групи), за да постигнат своите цели, и че държавните субекти могат да участват в координирани атаки чрез множество вектори на атаки в множество области и/или да използват множество марионетни сили; iii) да вземат предвид други потенциални заплахи, по-специално произтичащите от тероризма и насилническия екстремизъм, от престъпни дейности, военни нападения, вътрешни заплахи, активизъм и др.

26.

Критичните субекти се насърчават да обмислят мерки за укрепване на периметъра (възпиране и забавяне), като огради с висока степен на сигурност (напр. които препятстват изкачването/срязването), подсилени стени, порти, намаляване на риска от атаки с превозни средства, сигнализация и осветление (напр. предупреждения с висока видимост за възпиране на нарушители, които се възползват от слабости в системата, и защитно осветление за премахване на мъртвите зони за наблюдение).

27.

Достъпът на превозни средства, персонал и стоки до съответните помещения следва да се осъществява през ограничен брой подлежащи на проверка контролни пунктове. Маршрутите за пряк подход на превозното средство следва да бъдат ограничени с комбинация от физически бариери (напр. неподвижни и прибиращи се боларди, естествени препятствия или други мерки за контрол на скоростта) и следва да се спазва предписаното максимално разстояние между съседни бариери, за да се предотврати проникването на превозни средства.

28.

Външните входящи точки (например порти, врати) към съответните помещения следва да бъдат със здрава конструкция или снабдени (модернизирани) със сигурни панти и заключващи механизми. Рамките на съоръженията (напр. прозорци, капандури) също следва да бъдат снабдени (модернизирани) със заключващи механизми и защитни слоеве (напр. решетки, устойчиви на удар стъкла, защитни мембрани). Неконвенционалните входящи точки (напр. покривни люкове, шахти и отдушници) към съоръжения или активи също следва да бъдат обезопасени срещу неразрешено отваряне и манипулиране.

29.

Критичните субекти се насърчават да обмислят наблюдение и засичане на периметъра с цел установяване на нарушения в реално време (напр. инсталиране на алармени системи или системи за откриване на проникване, включително вътрешни и външни датчици). Те следва да имат подходящо зонално покритие, да бъдат предмет на последователни протоколи за мониторинг и реагиране и да бъдат подлагани на редовни функционални изпитвания. Законосъобразното засичане, неизправностите в системата и фалшивите положителни резултати следва да бъдат анализирани и да се приложат корективни мерки за запазване на неприкосновеността.

30.

Критичните субекти се насърчават да обмислят възможността да гарантират, че видеосистемите осигуряват ясно, съобразено с околната среда и документирано в реално време покритие на съответните активи, съоръжения и оборудване, както и на маршрутите за подход в помещенията и входящите точки. Синхронизирането на времето на наблюдение, състоянието на записване и периодите на съхранение следва да се проверяват редовно. Субектите следва да извършват рутинни проверки чрез преглед на записите, за да потвърдят, че лицата, действията и събитията могат да бъдат идентифицирани за целите на криминалистиката след потенциални инциденти. Резервните критични елементи (напр. носители за съхранение на данни, захранващи блокове) следва да се съхраняват пропорционално.

31.

Критичните субекти се насърчават да гарантират, че осветлението осигурява равномерно осветяване на входовете, паркингите, пътеките и зрителните полета на камерата, като се избягват заслепяването и „дълбоката сянка“, които биха могли да възпрепятстват засичането или записването. Аварийното и резервното осветление следва да се тества редовно. Следва редовно да се прилагат коригиращи мерки (например подмяна на лампи, коригиране на покритието, подрязване на растителността).

32.

Сигнализацията следва ясно да посочва ограниченията във връзка със сигурността, информацията за наблюдението и неприкосновеността на зоните, както и маршрутите за персонала, посетителите и доставките.

33.

Критичните субекти се насърчават да обмислят мерки за контрол (отказ) на достъпа, като използват многопластови зони за сигурност, управление на физическия достъп (напр. четци на пропуски, биометрични скенери), шлюзови кабини и врати с блокировка. Следва да се обмисли използването на персонал по сигурността на място за патрулиране и управление на контрола на достъпа до съответните съоръжения, входящи точки или оборудване. Служителите по сигурността следва да изпълняват и функция за реагиране при инциденти. Те следва да поддържат тесни и редовни контакти със съответните правоприлагащи органи и участници в областта на отбраната.

34.

Помещенията и загражденията, в които се помещават електрическа, водна, газова, отоплителна, вентилационна, климатична, телекомуникационна, охранителна или мрежова инфраструктура или оборудване или друга чувствителна инфраструктура или оборудване, следва да бъдат заключени и достъпът да бъде контролиран, наред с пропорционални мерки срещу неразрешено отваряне и манипулиране.

35.

Помещенията, в които се приема пощата, и складовете за доставки следва да бъдат разположени далеч от съответните активи, съоръжения, оборудване и зони с голям брой ползватели и да бъдат оборудвани за отделяне и проверка за сигурност на потенциално подозрителни предмети. Служителите следва да бъдат запознати с ясни процедури за работа с подозрителни предмети, включително изолиране, намаляване на напрежението и уведомяване на съответните вътрешни и външни заинтересовани страни. При необходимост следва да са на разположение инструменти за отваряне и лични предпазни средства. Веригата за проследяване на ценни или контролирани доставки следва да се документира от получаването до получателя. Редовно следва да се извършват и протоколират проверки на място.

36.

Всички външни активи, съоръжения или оборудване следва да подлежат в еднаква степен на пропорционални защитни мерки. Всички физически защитни мерки, предприети от критичните субекти, изискват редовна проверка и поддръжка.

37.

Мерките, свързани с контрола върху достъпа на персонала и физическата сигурност на чувствителната или класифицираната информация, не обезсилват задълженията за управление на риска в областта на киберсигурността, определени в Директивата МИС 2 (20).

38.

В допълнение към насоките в част Е от настоящите инструкции относно управлението на сигурността на служителите критичните субекти се насърчават да поддържат единен авторитетен регистър на физическите ключове и (електронните) пълномощия за достъп, включително датите на издаване, анулиране и връщане. При съмнение за непозволен достъп изгубените или откраднати ключове или пълномощия за достъп следва да бъдат незабавно анулирани, а заключващите механизми — препрограмирани.

39.

Критичните субекти се насърчават да гарантират, че правата на достъп следват принципа на „най-малко привилегии“ и се преразглеждат редовно или при промяна на функциите. В съответните пространства следва да има зонална архитектура, контролирана чрез съответни мерки за упълномощени лица (напр. разграничаване на зони за обществено ползване, работни зони, зони с ограничен достъп и критични зони) и съчетаваща физически, технически и административни проверки. Достъпът следва да се регистрира. Посетителите следва да преминават през контролен пункт, да бъдат регистрирани, да имат видима идентификация и да бъдат придружавани извън приемната, освен ако не е разрешено друго. Средствата за идентификация следва незабавно да бъдат дезактивирани при напускане. Съответните процедури следва да бъдат прости, документирани и съобщени на целия персонал, по-специално на персонала в приемната и охраната.

40.

Всички чувствителни информационни активи следва да бъдат разположени, защитени и съхранявани по начин, който намалява рисковете за неприкосновеността им (напр. неразрешено или случайно разглеждане, манипулиране, кражба, екологични щети) и достъпът до тях следва да се осъществява въз основа на принципа „необходимост да се знае“.

41.

Критичните субекти се насърчават да създадат и поддържат инвентарен опис и/или хранилище за чувствителни информационни активи. Активите следва да се класифицират в съответствие с нивото на чувствителност на стопанската дейност или сигурността. Въз основа на класификацията субектите следва да използват схема за документиране на информационните активи (напр. с ограничен достъп, вътрешни, публични или еквивалентни) и да обозначават и обработват тези активи по съответния начин. Правилата и процедурите за класифициране и обработване следва да се съобщават на целия упълномощен персонал и периодично да се преразглеждат. Това включва правила за достъп до информация на бюро или от екран, както и за създаване или копиране на информация.

42.

Когато е подходящо, критичните субекти следва да имат предвид приложимите национални правила за защита на класифицираната информация, за която се счита, че е от значение за националната сигурност.

43.

Ако външните заинтересовани страни се нуждаят от достъп до информационни активи, критичните субекти се насърчават да обмислят изготвянето на насоки за ползвателите и споразумения за неразкриване на информация или други съответни договорни механизми, когато е подходящо.

44.

Всички съоръжения, в които се помещават чувствителни информационни активи (напр. архиви, сървърни помещения), или други зони, от които потенциално могат да бъдат извлечени чувствителни информационни активи, следва да бъдат определени и наблюдавани като защитени зони с особено строг контрол на достъпа, разглеждането и изнасянето.

45.

Критичните субекти следва да гарантират, че правата на достъп подлежат на редовна проверка и преразглеждане. За чувствителните информационни активи следва да бъдат определени срокове на съхранение. След изтичането на тези срокове или ако други събития наложат прекласифицирането на информационните активи, следва да се предприемат подходящи мерки за пълното и необратимо премахване или унищожаване на активите.

46.

Що се отнася до заплахите, породени от безпилотните системи (21) (дронове), критичните субекти се насърчават да прилагат мерки за улесняване на откриването, проследяването и идентифицирането на безпилотни системи (напр. радари, радиочестотни скенери, дневни и термокамери, акустични датчици). Когато е възможно, критичните субекти следва също така да си сътрудничат с доставчиците на далекосъобщителни услуги, за да получават достъп до данни, получени чрез технологиите за интегрирано засичане и комуникация (ISAC), с цел откриване на неразрешена дейност на дронове в техния периметър за сигурност.

47.

Заплахата от шпионаж/следене от нeсъдействащи безпилотни системи следва да бъде смекчена чрез затрудняване на видимостта (въздушна, морска или наземна) на чувствителните активи или оборудване (напр. скриване или преместване) и, когато е целесъобразно, чрез осигуряване на помещаване в затворени съоръжения.

48.

Критичните субекти следва също така да смекчат заплахата от саботаж на съоръжения, активи или оборудване от страна на нeсъдействащи безпилотни системи. Сред примерите за мерки за смекчаване на заплахата са противодронните мрежи и решетки и други структурни подсилващи мерки, като например взривоустойчиви прозорци, подсилване на покривнaта конструкция или цялостни структурни заграждения.

49.

Критичните субекти могат да обмислят използването на географски зони за управлението и смекчаването на рисковете, свързани с неразрешени или опасни операции с дронове в близост до техните помещения. Всяко решение за създаване на такива зони следва да подлежи на оценка на риска и пропорционалността, извършвана за всеки отделен случай, като се взема предвид потенциалната чувствителност на информацията, която би могла да бъде разкрита чрез оповестяването на географски данни, свързани с критични субекти. За тази цел субектите ще трябва да си сътрудничат с компетентните национални органи, за да се гарантира, че съответните географски зони са надлежно определени и оповестени в цифров вид в съответствие с приложимата рамка за въздухоплаването. Тези зони следва като минимум да дават възможност на операторите на дронове да се възползват от функционалните възможности за геопространствено ориентиране. С развитието на техническите способности и когато това е подкрепено от регулаторната рамка, критичните субекти могат също така да обмислят постепенното използване на функционалните възможности за геозониране. Геозонирането може да служи като превантивна предпазна мярка, като намали вероятността от неволно навлизане в чувствителни зони на спазващи изискванията дронове. Критичните субекти следва да поддържат пряка оперативна връзка с управителя на географската зона. Това ще даде възможност за своевременна видимост на разрешените и неразрешените действия на дронове в близост до тях и ще подпомогне по-добре ситуационната осведоменост и координацията с компетентните органи.

50.

От съществено значение е да се укрепят партньорствата и комуникацията с извършващите дейности по противодействие на дронове в местните правоприлагащи органи и в отбраната или с други участници, които са законово оправомощени със способности за неутрализиране (напр. радиочестотно заглушаване, спуфинг и други кинетични или некинетични мерки). За тази цел критичните субекти се насърчават да улесняват използването на противодронни системи за защита на периметъра си в съответствие с приложимата правна рамка.

Г.   МЕРКИ ЗА РЕАГИРАНЕ, ПРОТИВОДЕЙСТВИЕ И СМЕКЧАВАНЕ НА ПОСЛЕДИЦИТЕ (член 13, параграф 1, буква в) от директивата)

51.

Критичните субекти се насърчават да обмислят следните мерки за смекчаване на последиците от инциденти. а) Управление на кризи и бедствия извън обекта: мерки за смекчаване на неблагоприятните последици извън обекта от сериозен инцидент с нарушаващо въздействие и за бързо уведомяване на съответните органи за управление на кризи и бедствия, за да се даде възможност за изпълнение на защитни действия извън обекта. Това изисква тясна координация със съответните органи, установяване на изпитани и добре функциониращи канали за комуникация, както и редовни учения за управление на кризи и бедствия. б) Помощ извън обекта: мерки за ефективно интегриране на помощта извън обекта в действията за реагиране в обекта (включително управление на тежки аварии, действия за смекчаване на последиците и реагиране при извънредни ситуации). в) Проектиране на инфраструктура, така че да е безопасна при отказ, като се гарантира, че смущенията не засягат безопасността на хората (включително безопасността на персонала) и че каскадните въздействия върху други активи биват смекчени. Функциите за безопасност при отказ позволяват на инфраструктурата да поддържа основни функции при отказ или да поддържа процедури за контролирано изключване, които предотвратяват повреда на оборудването и осигуряват възможност за повторно пускане, когато условията позволят това. Поддържането на критични животоподдържащи условия или пасивна способност за оцеляване може да се постигне чрез подходящ капацитет за съхранение, контрол на топлинния капацитет, подходящо аварийно захранване и обезпечена сигурност на опасните материали.

52.

При проектирането на безопасна при отказ инфраструктура критичните субекти се насърчават да вземат под внимание следните елементи: капацитетът за съхранение, необходим при най-лошия сценарий за отказ, така че да се поддържат критични животоподдържащи условия; аварийното захранване, необходимо за поддържане на критичните дейности и за подпомагане на контролираното изключване на инфраструктурните дейности; сигурността на всички опасни материали, съхранявани или налични в критичната инфраструктура, като се гарантира, че те са включени в планове за класифициране и управление на опасните материали и че са надлежно защитени в случай на отказ на инфраструктурата; и мерки за топлинна безопасност за активи на критичната инфраструктура, в които се помещават персонал или чувствително към температурата оборудване. Тези мерки могат да включват както отоплителна, така и охладителна мощност, за да се предотвратят жертви вследствие на екстремни температури по време на продължително нарушаване на предоставянето на услугата.

53.

Критичните субекти се насърчават да предприемат мерки, за да гарантират наличност, поддръжка и капацитет за ремонт и ясно да определят своите нужди по отношение на снабдяването, да диверсифицират източниците на доставки чрез алтернативни доставчици и маршрути, да осъществят подсилване на инфраструктурата и резервиране и да създадат резервни системи със спецификации за функцията, продължителността и приоритета за възстановяване.

54.

Критичните субекти се насърчават да предприемат подходящи мерки, за да гарантират целостта на ИТ мрежите и системите и софтуера, използвани в оборудването, по-специално по отношение на зависимостта от високорискови доставчици, както и защитата от смущения от радиочестотни сигнали и кибератаки.

55.

Алтернативните системи за захранване могат да включват генератори и акумулаторни батерии за непрекъсваемо електрозахранване (UPS). Следва да се провежда периодично изпитване на резервните системи; следва да се поддържа автономност по отношение на горивото за захранване за най-малко 72 часа и да се задействат договори с доставчиците за подкрепа в извънредни ситуации (снабдяване, интервенции и ремонт).

56.

По отношение на устойчивостта на водоснабдяването критичните субекти могат да ограничат използването на вода до критични функции по време на нарушавания и да използват алтернативни източници, включително резервни кладенци, резервоари, преносими устройства за пречистване и гъвкави варианти за съхранение. Критичните субекти в сектора на питейната вода се насърчават да определят приоритетни точки на доставка, за да се гарантира адекватно реагиране при извънредни ситуации или по време на прекъсване на доставките. При предприемането на мерки за повишаване на устойчивостта критичните субекти трябва да гарантират, че водата, предназначена за консумация от човека, отговаря на стандартите за качество, определени в Директива (ЕС) 2020/2184 (22).

57.

За други специфични за даден сектор услуги (напр. топла вода, охладена вода, парен котел) и доставки (напр. химикали, суровини, резервни части) при планирането на действия при извънредни ситуации във веригите на доставки следва да се обмисли преминаване, когато е целесъобразно, от модели на инвентаризация „точно навреме“ към модели на инвентаризация „за всеки случай“. Алтернативните системи следва да включват предварително установени резервни ресурси и запаси (буферни запаси и запаси за безопасност/извънредни ситуации).

58.

Критичните субекти се насърчават да разработят всеобхватни програми за поддръжка въз основа на препоръките на производителя, експлоатационния опит и оценките на риска. Може да се извършва диагностичната поддръжка, като се използват модерни технологии за наблюдение с интегрирани мрежи от датчици. Редовната и диагностичната основана на резултатите поддръжка, при която се използват инструменти за анализ на данни и ИИ за наблюдение на стареенето и прогнозиране на неизправности, може да бъде подходяща за оптимизиране на графика на всички необходими интервенции. Следва да се установят ясни протоколи за реагиране на сигнали от системата за наблюдение, включително проверка на сигнали, оценка на спешността и мобилизиране на ресурси за поддръжка. Тези протоколи следва да определят поетапни процедури за ситуации, изискващи незабавно внимание. Редовните инспекции на инфраструктурата допълват автоматизираното наблюдение.

59.

Що се отнася до управлението, критичните субекти следва да считат, че устойчивостта трябва да бъде интегрирана от най-високите до най-ниските равнища на управленската структура. Те следва да определят цели за устойчивост и да приемат стратегия, политика и планиране за устойчивост, да ги съобщават на съответните заинтересовани страни въз основа на принципа „необходимост да се знае“ и да извършват редовни прегледи. Следва да се отчитат съществуващите уязвимости и способите за по-добро предотвратяване, защита, реагиране, устояване, смекчаване на последиците, поемане, приспособяване и възстановяване от инциденти.

60.

Критичните субекти се насърчават да установят ясни йерархии за вземане на решения. Наличието на достатъчна компетентност по отношение на устойчивостта следва да бъде консолидирано на равнище управителен съвет и във функции, свързани с устойчивостта или управлението на риска, така че да се гарантират адекватна стратегия, адекватна политика и адекватно оперативно планиране за устойчивост. Критичните субекти се насърчават да обмислят назначаването на служител по устойчивостта и да гарантират ясното разграничаване на координационните функции и отговорностите за изпълнението на целите за устойчивост.

61.

В този контекст е от значение също установяването и формализирането на сътрудничество със съответните публични органи, включително създателите на политики, правоприлагащите органи, службите за спешно реагиране и участниците в областта на отбраната. Критичните субекти се насърчават да изяснят функциите и процедурите за обмен на информация, уведомяването и координацията при инциденти и взаимните очаквания.

62.

Може да се обмисли и установяването и формализирането на сътрудничество с имащи отношение участници от частния сектор в собствения сектор на субекта, други сектори и други държави членки.

63.

Следва да се установят протоколи за комуникация при кризи, за да се гарантира навременен поток от точна информация към вътрешните и външните заинтересовани страни (включително клиентите и обществеността) по време на инциденти. Критичните субекти следва да поддържат предварително одобрени образци за комуникация, рутинни процедури за уведомяване на заинтересованите страни и способности за комуникация по множество канали, включително резервирани системи. Комуникацията следва да бъде адаптирана към различни аудитории, като се вземат също така предвид нуждата от използване на множество езици и изискванията за достъпност.

64.

Проектирането за многомащабно резервиране гарантира, че услугите могат да се предоставят на трансгранично, национално, регионално и местно равнище при ефективна оперативна съвместимост.

65.

Критичните субекти се насърчават да гарантират, че процедурите за реагиране при извънредни ситуации включват системи за предупреждение по множество канали с възможности за географско насочване, като например космическата спътникова услуга на програмата „Галилео“ за предупреждение при извънредни ситуации, ясни комуникационни командни вериги, включително определени говорители, и специфични за опасността стандартни оперативни процедури (СОП), съобразени с конкретните за обекта рискове. Критичните субекти следва да поддържат аварийно оборудване, да определят и обучат екипи за реагиране при извънредни ситуации и да гарантират, че процедурите за евакуация са достъпни и редовно се упражняват.

Д.   МЕРКИ ЗА ВЪЗСТАНОВЯВАНЕ (член 13, параграф 1, буква г) от директивата)

66.

За да се гарантира непрекъснатостта на дейността, критичните субекти се насърчават да обмислят мерки за резервиране, които да гарантират, че основните услуги продължават да се предоставят при отказ на основните системи. Тези мерки могат да включват определяне на конкретните подуслуги, които са най-критични, така че те да са първите, които следва да бъдат възстановени (приоритизиране на услугите), поддържане на способността за ръчно функциониране на хардуера, в случай на отказ или манипулиране на автоматизираните или задвижваните от ИИ системи, както и възстановяване на работната сила в случай на инцидент с нарушаващо въздействие.

67.

Алтернативните обекти за възстановяване след бедствия могат да бъдат „горещи“ обекти (напълно оборудвани за незабавно използване), „топли“ обекти (частично оборудвани) или „студени“ обекти (изискващи инсталиране след смущението). Резервните обекти следва да бъдат достатъчно отдалечени от основните съоръжения, като същевременно остават достъпни. Когато е възможно, следва да се обмислят мобилни съоръжения (напр. командни центрове). Резервните копия следва да се съхраняват на физически отделени или логистично изолирани обекти.

68.

Без да се засяга Директивата МИС 2 (23), критичните субекти следва да разработят и поддържат всеобхватни планове за непрекъснатост на дейността (ПНД) въз основа на оценки на въздействието върху дейността (ОВД), в които се определят критичните функции, приоритетите за възстановяване, както и целевото време за възстановяване (ЦВВ) и целевите точки на възстановяване (ЦТВ), включително установяването на споразумения за нивото на обслужване. В ПНД следва да се определят ясни критерии за задействане, разпределение на ресурсите, функции и координационни механизми за етапите на реагиране, възстановяване, възобновяване и пълно възстановяване. Те следва да бъдат изпитвани, преразглеждани и актуализирани на планирани интервали от време и след всеки значителен инцидент или промяна в дейността.

69.

Процедурите за управление на кризи следва да включват командни структури при инциденти (КСИ) с ясно определени правомощия за вземане на решения и документирани планове за действие при инциденти. Критичните субекти следва да обмислят създаването на кризисни екипи с предварително определени функции, протоколи за ескалация, подходящо обучение и канали за комуникация (основни и алтернативни), за да се гарантира бързо и координирано реагиране на инциденти с нарушаващо въздействие.

70.

Планирането на работната сила следва да отговаря на изискванията за капацитет за спешно реагиране чрез поддържането на списък на квалифициран персонал за реагиране при инциденти, програми за обучение и предварително установени споразумения за взаимопомощ с партньорски организации. Критичните субекти следва да разработят рамки за компетентностите и планиране на приемствеността, за да се гарантира адекватна дълбочина по отношение на персонала с критични функции и да се поддържа оперативна способност по време на продължителни нарушавания или недостиг на персонал.

71.

За да се гарантира ефективно възстановяване след инциденти, критичните субекти следва да прилагат поетапни протоколи за повторно стартиране, отреждащи приоритет на възстановяването на критичните функции въз основа на оценка на риска или констатации от ОВД. Тези протоколи следва да включват систематични процедури за валидиране на критичните системи, всеобхватно изпитване за цялостността и функционалността на данните, мерки за контрол на качеството и контролиран преход от аварийна към нормална експлоатация чрез постепенно увеличаване на капацитета и наблюдение на ефективността.

72.

При разследванията след инцидент следва да се използват структурирани методики, като например анализ на първопричините, за да се установят системните причини, а не непосредствените симптоми. След всички учения и действителни инциденти следва да се извършват прегледи след действието (ПСД) с цел да се извлекат поуки, като констатациите се отразяват систематично и се интегрират в актуализирани процедури, програми за обучение и оценки на риска, за да се предотврати повторение на инцидента и да се укрепи организационната устойчивост.

73.

Що се отнася до веригите на доставки, устойчивостта е от съществено значение в контекста на възстановяването от инциденти с нарушаващо въздействие. В съответствие със своите оценки на риска критичните субекти следва да обмислят картографиране на веригата на доставки за предоставянето на основните им услуги, да разработят дългосрочни стратегии за устойчивост на веригата на доставки и редовно да преразглеждат и актуализират плана за действие при извънредни ситуации за веригата на доставки. Те се насърчават да определят алтернативни вериги на доставки в случай на инциденти с нарушаващо въздействие, засягащи техния основен доставчик или доставчици.

74.

Критичните субекти следва да обмислят стратегическо натрупване на запаси, включително буферни запаси, механизми за бързо повторно снабдяване и съхранение извън обекта, защитено от обичайни заплахи, така че да няма прекъсване на основните услуги при прекъсване на веригата на доставки.

75.

Струва си да се обмисли и сключването на официални договори с други субекти в същия сектор за споделяне на ресурси, оборудване или персонал при мащабни усилия за възстановяване.

Е.   МЕРКИ ЗА УПРАВЛЕНИЕ НА СИГУРНОСТТА НА СЛУЖИТЕЛИТЕ (член 13, параграф 1, буква д) от директивата)

76.

Свързаните с персонала заплахи следва да са предмет на оценка и действия, така че да се смекчат рискът от човешка грешка, саботаж, вътрешни заплахи и рискът от отсъствие поради заболяване, извънредни ситуации или външни заплахи. Критичните субекти се насърчават да определят и изготвят списъци на категориите персонал, изпълняващ критични функции, включително персонал от външни доставчици на услуги (изпълнители и подизпълнители).

77.

При изготвянето на тези списъци критичните субекти следва да вземат предвид особеностите на предоставяните основни услуги и да свържат тези услуги с персонала, участващ в тяхното предоставяне. За тази цел критичните субекти следва да поддържат ясна, изчерпателна и актуална документация за тези категории персонал.

78.

В допълнение към съображенията, свързани с горепосочените права на достъп, критичните субекти се насърчават да определят на кого и при какви условия се предоставя достъп до помещения, критична инфраструктура и чувствителна информация. Следва да бъдат въведени ефективни процеси за предоставяне и незабавно отнемане на физическия достъп и достъпа до системата, а правата на достъп следва да се прилагат строго.

79.

Критичните субекти се насърчават да предоставят разрешение само въз основа на принципа „необходимост да се знае“/„необходимост от достъп“; следва да се предоставя само минималното ниво на достъп, необходимо на персонала, за да изпълнява функциите си. Следва да се въведат стратегии за изпълнение, като например основан на функциите контрол на достъпа (ОФКД) (24), сигурно удостоверяване и управление на самоличността (25), разделение на задълженията (26), времеви ограничения и достъп „точно навреме“ (27), заедно с редовни одити и прегледи.

80.

Що се отнася до цялостните проверки, за да се гарантира високо равнище на сигурност на служителите, е важно да се въведат надеждни вътрешни процедури за искането на цялостни проверки съгласно член 14 от директивата и да се определят категориите лица, за които се изисква да преминат такива цялостни проверки. Следва да се въведат и процедури относно служителите, чиито разрешения за достъп са отнети.

81.

Критичните субекти се насърчават да определят политиката за цялостните проверки, като посочат кои функции са чувствителни, за кои функции има пряк или дистанционен достъп до помещения, информация или системи за контрол, както и видовете проверки, които трябва се извършват за всички, които изпълняват чувствителни функции, като например проверка на самоличността, регистрите за съдимост и трудова заетост и образованието.

82.

Когато е приложимо, мерките следва да бъдат съгласувани с дейностите за цялостни проверки съгласно Регламент за изпълнение (ЕС) 2024/2690 на Комисията (28). Следва също така да се осигури съгласуваност с мерките за сигурност на човешките ресурси, предприети от съответния субект съгласно член 21, параграф 2, буква и) от Директивата МИС2.

83.

Изискването персоналът да има подходяща квалификация и обучение и предоставянето на такова обучение са част от осигуряването на подходящо управление на сигурността на служителите, повишаването на осведомеността на персонала относно мерките за повишаване на устойчивостта и подкрепата за предприетите от съответния критичен субект мерки за повишаване на устойчивостта. Оценката на риска на критичния субект, видът на основните услуги, които той предоставя, и планираните или предприетите мерки следва да определят вида и обхвата на обучението, необходимо на неговия персонал, за да се гарантира, че персоналът е не само като цяло запознат с мерките за повишаване на устойчивостта, но и е технически и процедурно компетентен да изпълнява задълженията си по устойчив начин.

84.

Изискванията за обучение и квалификация се отнасят, наред с другото, до оценката на риска (напр. за ръководния персонал/персонала, отговарящ за риска и съответствието), непрекъснатостта на дейността и управлението на кризи (напр. за персонала, отговарящ за непрекъснатостта на дейността), физическата сигурност (напр. за персонала по сигурността и служителите с права на достъп), реагирането при инциденти и смекчаването на последиците от тях (напр. за оперативния персонал, определените лица за реагиране при инциденти), контрола на достъпа и проучванията за надеждност (човешки ресурси, персонал по сигурността и ръководители на критични функции) и общата осведоменост относно мерките за повишаване на устойчивостта (на всички служители).

85.

Изискванията за квалификация зависят от особеностите на съответния критичен субект и основните услуги, които предоставя. Целта на тези изисквания следва да бъде да се гарантира, че персоналът е компетентен да изпълнява задачите, очертани в оценката на риска и плана за устойчивост, както и в протоколите за непрекъснатост на дейността и реагиране при инциденти, интегрирани в плана за устойчивост, в обхвата на предприетите от критичните субекти мерки за повишаване на устойчивостта. Изискванията за квалификация се отнасят до оперативни и технически, организационни и управленски задачи или задачи, свързани със сигурността и проучването за надеждност. Изискваните квалификации следва да са определени във вътрешните политики за устойчивост и човешки ресурси на съответния критичен субект.

Ж.   МЕРКИ ЗА ПОВИШАВАНЕ НА ОСВЕДОМЕНОСТТА (член 13, параграф 1, буква е)

86.

От съществено значение е наличието на добра програма за запознаване на персонала с мерките за повишаване на устойчивостта, приети от критичния субект, и за изграждане на култура на сигурност; персоналът е съществен елемент на всеки етап от цикъла на устойчивост — от предотвратяването на инциденти с нарушаващо въздействие и смекчаването на вътрешните заплахи до реагирането на такива чрез задействане на съответните процедури, докладването на инциденти и осигуряването на непрекъснатост на дейността, както и възстановяването на дейността до състоянието ѝ преди инцидента. Без добре обучен персонал дори най-добрите технически мерки, мерки за сигурност и организационни мерки биха могли да се провалят.

87.

При съобразяване с изискванията за чувствителната информация и с принципа „необходимост да се знае“, повишаването на осведомеността относно мерките за повишаване на устойчивостта гарантира оптимална култура на устойчивост, която превръща устойчивостта в споделена ценност на служителите на съответния критичен субект и намалява риска от вътрешни заплахи или социално инженерство.

88.

Мерките за повишаване на осведомеността следва да се предприемат заедно с мерките за основни киберхигиенни практики и обучение в областта на киберсигурносттa съгласно Директивата МИС2 (29).

89.

Организираното от критичните субекти обучение трябва да бъде свързано с изискванията за обучение на критичния субект, посочени в точки 82 и 83 по-горе.. Курсовете за обучение следва да обхващат мерките за повишаване на устойчивостта, предприети от субекта в съответствие с член 13, параграф 1, букви а) — д) от директивата, като по този начин обхващат целия жизнен цикъл на устойчивостта. Това означава разбиране на картината на заплахите, на ролята на критичния субект за поддържането на жизненоважни обществени функции и на тежките последици от прекъсването на услугите, бързо разпознаване и докладване на подозрителни дейности, уязвимости или необичайни инциденти, както и реагиране и смекчаване на последиците от инциденти. Следва да се осигури специфично за функциите обучение на персонала с критични функции.

90.

Критичните субекти се насърчават също така да обмислят обучение относно чувствителни към аспектите на пола подходи, които заедно с наблюдението на съответните показатели могат да укрепят устойчивостта, отчетността и дългосрочната устойчивост.

91.

Информационните материали, споделяни с персонала, следва да бъдат пряко свързани с оценката на риска на субекта и с предприетите мерки за повишаване на устойчивостта. Тези информационни материали следва да бъдат ясни и лесни за осмисляне и следва да обясняват критичната роля на субекта и въздействието на нарушаването на услугата върху обществото и икономиката, обхващането на всички опасности, основните принципи за сигурност, като например „видите ли нещо, сигнализирайте“, и принципа на функциониране с най-малка привилегия за достъпа до чувствителна информация.

92.

Информационните материали биха могли да включват визуални материали за бърза справка например относно нарушения на физическата сигурност, загуба на захранване/свързаност, откриване на подозрителни пакети, диаграми за уведомяване за инциденти и напомняния относно непрекъснатостта на дейността, извлечени от плана за непрекъснатост на дейността, насоки за физическа защита и политики за контрол на достъпа. За да се увеличи максимално осведомеността, тези материали следва да се предоставят в множество формати, например цифрови (30) и физически (31), и да са интерактивни (32).

93.

Ученията са от ключово значение за валидирането на плана за устойчивост на критичните субекти и за да се гарантира, че техният персонал може да изпълнява ефективно функциите си по време на реално настъпил инцидент. При подход, обхващащ всички опасности, субектите биха могли да организират учения, основани на обсъждане, например симулации с обсъждане (33), и учения, основани на операциите, например тренировъчни учения (34).

94.

При организирането на учения критичните субекти следва да се съсредоточат върху резултата от своята оценка на риска, да изпитват пълния цикъл на устойчивост и да гарантират добра междусекторна координация с други критични субекти, когато е целесъобразно, за да изпитват междусекторните зависимости. Те следва да осигурят сътрудничество със съответните публични органи, например правоприлагащите органи, органите за пожарна безопасност, други служби за спешно реагиране и общо екипите за първа помощ в случай на инциденти с нарушаващо въздействие, и да включват тези публични органи в ученията.

---

(1)  Директива (ЕС) 2022/2557 на Европейския парламент и на Съвета от 14 декември 2022 г. за устойчивостта на критичните субекти и за отмяна на Директива 2008/114/ЕО на Съвета (OB L 333, 27.12.2022 г., стр. 164).

(2)  Енергетика, транспорт, здравеопазване, питейна вода, отпадъчни води, публична администрация, космическо пространство, производство, преработка и дистрибуция на храни.

(3)  Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета от 14 декември 2022 г. относно мерки за високо общо ниво на киберсигурност в Съюза, за изменение на Регламент (ЕС) № 910/2014 и Директива (ЕС) 2018/1972 и за отмяна на Директива (ЕС) 2016/1148 (ОВ L 333, 27.12.2022 г., стр. 80).

(4)  Регламент (ЕС) 2021/1119 на Европейския парламент и на Съвета от 30 юни 2021 г. за създаване на рамката за постигане на неутралност по отношение на климата и за изменение на регламенти (ЕО) № 401/2009 и (ЕС) 2018/1999 (ОВ L 243, 9.7.2021 г., стр. 1), по-специално по отношение на член 5, който се отнася до адаптирането към изменението на климата.

(5)  Регламент (ЕС) 2019/941 на Европейския парламент и на Съвета от 5 юни 2019 г. за готовност за справяне с рискове в електроенергийния сектор и за отмяна на Директива 2005/89/ЕО (ОВ L 158, 14.6.2019 г., стр. 1), по-специално по отношение на мерките, произтичащи от членове 10 и 11.

(6)  Регламент (ЕС) 2017/1938 на Европейския парламент и на Съвета от 25 октомври 2017 г. относно мерките за гарантиране на сигурността на доставките на газ и за отмяна на Регламент (ЕС) № 994/2010 (OВ L 280, 28.10.2017 г., стр. 1), по-специално по отношение на мерките, произтичащи от член 8.

(7)  Директива 2013/30/ЕС на Европейския парламент и на Съвета от 12 юни 2013 г. относно безопасността на свързаните с нефт и газ дейности в крайбрежни води и за изменение на Директива 2004/35/ЕО (ОВ L 178, 28.6.2013 г., стр. 66), по-специално по отношение на мерките, произтичащи от член 3.

(8)  Например Директива 2005/65/ЕО за повишаване на сигурността на пристанищата и Директива 2002/59/ЕО относно системи за контрол на движението на корабите и за информация.

(9)  Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (ОВ L 119, 4.5.2016 г., стр. 1).

(10)  Регламент (ЕС) 2024/2803 на Европейския парламент и на Съвета от 23 октомври 2024 г. за реализирането на Единното европейско небе (ОВ L, 2024/2803, 11.11.2024 г., ELI: http://data.europa.eu/eli/reg/2024/2803/oj), по-специално член 22, параграф 2, буква б).

(11)  Регламент (ЕС) 2018/1139 на Европейския парламент и на Съвета от 4 юли 2018 г. относно общи правила в областта на гражданското въздухоплаване и за създаването на Агенция за авиационна безопасност на Европейския съюз (ОВ L 212, 22.8.2018 г., стр. 1).

(12)  Регламент (ЕС) № 2019/123 на Комисията от 24 януари 2019 г. за определяне на подробни правила за прилагане на мрежовите функции за управление на въздушното движение (УВД) (ОВ L 28, 31.1.2019, стр. 1).

(13)  Регламент (ЕС) 2024/1689 на Европейския парламент и на Съвета от 13 юни 2024 г. за установяване на хармонизирани правила относно изкуствения интелект и за изменение на регламенти (ЕО) № 300/2008, (ЕС) № 167/2013, (ЕС) № 168/2013, (ЕС) 2018/858, (ЕС) 2018/1139 и (ЕС) 2019/2144 и директиви 2014/90/ЕС, (ЕС) 2016/797 и (ЕС) 2020/1828 (Акт за изкуствения интелект) (ОВ L, 2024/1689, 12.7.2024 г., ELI: http://data.europa.eu/eli/reg/2024/1689/oj).

(14)  Защитните елементи на критичната инфраструктура са системи, използвани за пряка защита на физическата цялост на критичната инфраструктура или на здравето и безопасността на хората и имуществото, но те не са необходими за функционирането на системата (член 3, параграф 14 и съображение 55 от Акта за изкуствения интелект).

(15)  Приложение III, точка 2 от Акта за изкуствения интелект.

(16)  В областта на въздухоплаването съответните бази данни на ЕС за инциденти включват системата на Агенцията за авиационна безопасност на Европейския съюз за докладване на инциденти, регистрите на инциденти на управителния орган на мрежата и системата за събития, свързани със сигурността на въздухоплаването.

(17)  Регламент за изпълнение (ЕС) 2024/2690 на Комисията от 17 октомври 2024 година за определяне на правила за прилагане на Директива (ЕС) 2022/2555 по отношение на техническите и методологичните изисквания относно мерките за управление на риска в областта на киберсигурността и за доуточняване на случаите, в които даден инцидент се счита за значителен по отношение на доставчиците на DNS услуги, регистрите на имена на домейни от първо ниво, доставчиците на компютърни услуги „в облак“, доставчиците на услуги на центрове за данни, доставчиците на мрежи за доставяне на съдържание, доставчиците на управлявани услуги, доставчиците на управлявани услуги за сигурност, доставчиците на онлайн места за търговия, на онлайн търсачките и на платформите на услуги за социални мрежи и доставчиците на удостоверителни услуги (OВ L, 2024/2690, 18.10.2024 г., ELI: http://data.europa.eu/eli/reg_impl/2024/2690/oj).

(18)  Съгласно член 8 от Директивата за устойчивостта на критичните субекти държавите членки гарантират, че някои разпоредби на директивата, включително член 13, не се прилагат за критични субекти, които те са установили в определени сектори, включително цифровата инфраструктура. Държавите членки могат да приемат или запазват разпоредби на националното право с цел постигане на по-високо равнище на устойчивост за тези критични субекти, при условие че тези разпоредби са в съответствие с приложимото право на Съюза. Управлението на услуги в областта на ИКТ (между предприятия) и доставчиците на цифрови услуги не са сред секторите, определени в приложението към Директивата за устойчивостта на критичните субекти.

(19)   https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance.

(20)  Член 21.

(21)  Съобщение (ЕС)2026 81 final от 11 февруари 2026 г. „План за действие за сигурност при дроновете и за противодействие на дронове“.

(22)  Директива (ЕС) 2020/2184 на Европейския парламент и на Съвета от 16 декември 2020 г. относно качеството на водата, предназначена за консумация от човека (преработена) (ОВ L 435, 23.12.2020 г., стр. 1).

(23)  Член 21, параграф 2, буква в) от Директивата МИС2.

(24)  Това би могло да означава определяне на специфични функции, като например „охрана на физическата сигурност“, предоставяне на предварително определен набор от права на достъп и възлагане на съответните функции на персонала.

(25)  Това би могло да означава многофакторна автентификация и уникални идентификатори.

(26)  Това би могло да означава разработване на контрол на достъпа с цел да се гарантира, че нито едно лице няма достатъчен достъп, за да завърши самостоятелно критичен, високорисков процес. Например лицето, което одобрява промяна в системата, не трябва да бъде същото лице, което извършва промяната.

(27)  На персонала следва да се предоставя достъп само временно, когато има активна нужда от него за конкретни задачи. След това достъпът следва незабавно да се отменя. Когато е целесъобразно, следва да има политика за ограничаване на правата на достъп извън определено работно време.

(28)  Точка 10.2 от приложението.

(29)  Член 21, параграф 2, буква ж) от Директивата МИС2.

(30)  Например интранет, задължителни модули за електронно обучение с препитване, кратки видеоклипове, скрийнсейвъри с ключови напомняния за безопасност.

(31)  Например плакати, брошури, карти за бърза справка.

(32)  Например често задавани въпроси.

(33)  Изпитване на процесите на координация, вземане на решения и комуникация в хода на симулиран инцидент (напр. сериозен отказ на инфраструктурата, продължително прекъсване на захранването, нарушение на вътрешната сигурност).

(34)  Изпитване на конкретна процедура, при която времето е от критично значение, например задействане на аварийния генератор, евакуиране на критична зона или изолиране на компрометиран панел за управление.