EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 32022L2557
Directive (EU) 2022/2557 of the European Parliament and of the Council of 14 December 2022 on the resilience of critical entities and repealing Council Directive 2008/114/EC (Text with EEA relevance)
Europa-Parlamentets og Rådets direktiv (EU) 2022/2557 af 14. december 2022 om kritiske enheders modstandsdygtighed og om ophævelse af Rådets direktiv 2008/114/EF (EØS-relevant tekst)
Europa-Parlamentets og Rådets direktiv (EU) 2022/2557 af 14. december 2022 om kritiske enheders modstandsdygtighed og om ophævelse af Rådets direktiv 2008/114/EF (EØS-relevant tekst)
PE/51/2022/REV/1
EUT L 333 af 27.12.2022, p. 164–198
(BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)
In force
27.12.2022 |
DA |
Den Europæiske Unions Tidende |
L 333/164 |
EUROPA-PARLAMENTETS OG RÅDETS DIREKTIV (EU) 2022/2557
af 14. december 2022
om kritiske enheders modstandsdygtighed og om ophævelse af Rådets direktiv 2008/114/EF
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg (1),
under henvisning til udtalelse fra Regionsudvalget (2),
efter den almindelige lovgivningsprocedure (3), og
ud fra følgende betragtninger:
(1) |
Kritiske enheder spiller som leverandører af væsentlige tjenester en uundværlig rolle med hensyn til opretholdelse af vitale samfundsmæssige funktioner eller økonomiske aktiviteter på det indre marked i en stadig mere indbyrdes afhængig EU-økonomi. Det er derfor vigtigt at fastlægge en EU-ramme med det formål at både styrke kritiske enheders modstandsdygtighed på det indre marked ved at fastsætte harmoniserede minimumsregler og bistå dem gennem sammenhængende og målrettede støtte- og tilsynsforanstaltninger. |
(2) |
Rådets direktiv 2008/114/EF (4) indeholder bestemmelser om en procedure for udpegning af europæisk kritisk infrastruktur i energi- og transportsektoren, hvis forstyrrelse eller ødelæggelse vil få betydelig grænseoverskridende indvirkning på mindst to medlemsstater. Nævnte direktiv fokuserer udelukkende på beskyttelse af sådan infrastruktur. Den evaluering af direktiv 2008/114/EF, der blev foretaget i 2019, viste imidlertid, at på grund af den stadig mere indbyrdes forbundne og grænseoverskridende karakter af operationer, der anvender kritisk infrastruktur, er beskyttelsesforanstaltninger vedrørende individuelle aktiver i sig selv utilstrækkelige til at forhindre alle forstyrrelser. Det er derfor nødvendigt at ændre tilgangen til sikring af, at der tages bedre hensyn til risici, at kritiske enheders rolle og opgaver som leverandører af tjenester, der er væsentlige for det indre markeds funktion, defineres bedre og er sammenhængende, og at der vedtages EU-regler for at styrke kritiske enheders modstandsdygtighed. Kritiske enheder bør være i stand til at styrke deres evne til at forebygge, beskytte mod, reagere på, modstå, afbøde, absorbere, tilpasse sig til og komme på fode igen efter hændelser, der har potentiale til at forstyrre leveringen af væsentlige tjenester. |
(3) |
Selv om en række foranstaltninger på EU-plan, såsom det europæiske program for beskyttelse af kritisk infrastruktur, og på nationalt plan har til formål at støtte beskyttelsen af kritisk infrastruktur i Unionen, bør der gøres mere for bedre at udstyre de enheder, der driver sådan infrastruktur, til at håndtere risiciene for deres drift, som kunne føre til forstyrrelse i leveringen af væsentlige tjenester. Der bør også gøres mere for bedre at udstyre sådanne enheder, da der foreligger et dynamisk trusselsbillede, der omfatter voksende hybride trusler og terrortrusler, og voksende indbyrdes afhængighed mellem infrastruktur og sektorer. Desuden er der en øget fysisk risiko som følge af naturkatastrofer og klimaændringer, hvilket intensiverer hyppigheden og omfanget af ekstreme vejrforhold og medfører langsigtede ændringer i de gennemsnitlige klimaforhold, der kan reducere visse infrastrukturtypers kapacitet, effektivitet og levetid, hvis foranstaltninger til klimatilpasning ikke er på plads. Endvidere er det indre marked kendetegnet ved fragmentering med hensyn til identifikation af kritiske enheder, fordi relevante sektorer og kategorier af enheder ikke anerkendes konsekvent som kritiske i alle medlemsstaterne. Dette direktiv bør derfor opnå et solidt harmoniseringsniveau med hensyn til de sektorer og kategorier af enheder, der er omfattet af dets anvendelsesområde. |
(4) |
Visse sektorer af økonomien, såsom energi- og transportsektorerne, er allerede reguleret gennem sektorspecifikke EU-retsakter, men disse retsakter indeholder bestemmelser, der kun vedrører visse aspekter af modstandsdygtigheden af enheder, som opererer inden for disse sektorer. For at håndtere modstandsdygtigheden af de enheder, der er kritiske for et velfungerende indre marked, på en omfattende måde skaber dette direktiv en overordnet ramme, der tager højde for kritiske enheders modstandsdygtighed over for alle farer, hvad enten de er naturlige eller menneskeskabte, hændelige eller tilsigtede. |
(5) |
Den voksende indbyrdes afhængighed mellem infrastruktur og sektorer er resultatet af et stadig mere grænseoverskridende og indbyrdes afhængigt net af tjenester, der anvender nøgleinfrastruktur i hele Unionen, i sektorerne energi, transport, bankvæsen, drikkevand, spildevand, produktion, tilvirkning og distribution af fødevarer, sundhed, rummet, finansiel markedsinfrastruktur og digital infrastruktur samt i visse aspekter af sektoren for offentlig forvaltning. Rumsektoren er omfattet af dette direktivs anvendelsesområde med hensyn til levering af visse tjenester, der er afhængige af jordbaseret infrastruktur, som ejes, forvaltes og drives af enten medlemsstaterne eller private parter; derfor er infrastruktur, der ejes, forvaltes eller drives af eller på vegne af Unionen som led i dens rumprogram, ikke omfattet af dette direktivs anvendelsesområde. Hvad angår energisektoren og navnlig metoderne til produktion og transmission af elektricitet (med hensyn til elforsyning), er det underforstået, at elproduktion, for så vidt det skønnes hensigtsmæssigt, kan inkludere eltransmissionsdele af kernekraftværker uden at inkludere de specifikt nukleare elementer, der er omfattet af traktater og EU-retten, herunder relevante EU-retsakter vedrørende kernekraft. Processen for identifikation af kritiske enheder i fødevaresektoren bør på passende vis afspejle det indre markeds karakter i denne sektor og de omfattende EU-regler vedrørende de generelle principper og krav for fødevareret og fødevaresikkerhed. For at sikre, at der er en forholdsmæssig tilgang og for på passende vis at afspejle disse enheders rolle og betydning på nationalt plan bør kritiske enheder derfor kun identificeres blandt fødevarevirksomheder, hvad enten de er med eller uden gevinst for øje, og uanset om de er offentlige eller private, som udelukkende beskæftiger sig med logistik, engrosdistribution og industriel produktion og tilvirkning i stor skala med en betydelig markedsandel som observeret på nationalt plan. Disse indbyrdes afhængighedsforhold betyder, at enhver forstyrrelse af væsentlige tjenester, selv en, der oprindeligt var begrænset til én enhed eller én sektor, kan have kaskadevirkninger mere generelt, hvilket potentielt kan føre til en vidtrækkende og langsigtet negativ indvirkning på leveringen af tjenester på hele det indre marked. Store kriser, såsom covid-19-pandemien, har vist, at vores stadig mere indbyrdes afhængige samfund er sårbare over for risici med stor indvirkning og lav sandsynlighed. |
(6) |
De enheder, der er involveret i levering af væsentlige tjenester, er i stigende grad underlagt forskellige krav i henhold til national ret. Det forhold, at nogle medlemsstater stiller mindre strenge sikkerhedskrav til disse enheder, fører ikke kun til forskellige grader af modstandsdygtighed, men risikerer også at have negativ indvirkning på opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter i hele Unionen og fører til hindringer for et velfungerende indre marked. Investorer og virksomheder kan støtte sig til og stole på kritiske enheder, der er modstandsdygtige, og pålidelighed og tillid er hjørnestenene i et velfungerende indre marked. Enheder af samme type betragtes som kritiske i nogle medlemsstater, men ikke i andre, og de enheder, der er identificeret som kritiske, er underlagt forskellige krav i forskellige medlemsstater. Dette medfører en yderligere og unødvendig administrativ byrde for virksomheder, der opererer på tværs af grænserne, navnlig for virksomheder, der er aktive i medlemsstater med strengere krav. En EU-ramme vil derfor også skabe lige konkurrencevilkår for kritiske enheder i hele Unionen. |
(7) |
Det er nødvendigt at fastsætte harmoniserede minimumsregler for at sikre leveringen af væsentlige tjenester på det indre marked, styrke kritiske enheders modstandsdygtighed og forbedre det grænseoverskridende samarbejde mellem kompetente myndigheder. Det er vigtigt, at disse regler er fremtidssikrede med hensyn til udformning og gennemførelse, samtidig med at der gives mulighed for den nødvendige fleksibilitet. Det er også afgørende at forbedre kritiske enheders kapacitet til at levere væsentlige tjenester i lyset af en række forskellige risici. |
(8) |
For at opnå en høj grad af modstandsdygtighed bør medlemsstaterne identificere kritiske enheder, som vil være underlagt specifikke krav og specifikt tilsyn og som vil ydes særlig støtte og vejledning over for alle relevante risici. |
(9) |
I betragtning af betydning af cybersikkerhed for kritiske enheders modstandsdygtighed og af hensyn til konsistens bør der i videst muligt omfang sikres en sammenhængende tilgang mellem dette direktiv og Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 (5). I lyset af cyberrisicis øgede hyppighed og særlige karakteristika pålægger direktiv (EU) 2022/2555 en lang række enheder omfattende krav for at sikre deres cybersikkerhed. Da cybersikkerhed behandles tilstrækkeligt i direktiv (EU) 2022/2555, bør de spørgsmål, der er omfattet af nævnte direktiv, udelukkes fra nærværende direktivs anvendelsesområde, uden at det berører den særlige ordning for enheder i sektoren for digital infrastruktur. |
(10) |
Hvor bestemmelser i sektorspecifikke EU-retsakter kræver, at kritiske enheder træffer foranstaltninger for at styrke deres modstandsdygtighed, og hvor disse krav er anerkendt af medlemsstaterne som svarende mindst til de tilsvarende forpligtelser i dette direktiv, bør de relevante bestemmelser i dette direktiv ikke finde anvendelse for at undgå dobbeltarbejde og unødvendige byrder. I så fald bør de relevante bestemmelser i sådanne EU-retsakter finde anvendelse. Hvis de relevante bestemmelser i dette direktiv ikke finder anvendelse, bør bestemmelserne om tilsyn og håndhævelse i dette direktiv heller ikke finde anvendelse. |
(11) |
Dette direktiv berører ikke medlemsstaternes og deres myndigheders kompetencer med hensyn til administrativ autonomi eller deres ansvar for at varetage national sikkerhed og forsvar eller deres beføjelse til at varetage andre væsentlige statslige funktioner, navnlig vedrørende offentlig sikkerhed, territorial integritet og opretholdelse af lov og orden. Udelukkelsen af offentlige forvaltningsenheder fra dette direktivs anvendelsesområde bør gælde for enheder, hvis aktiviteter hovedsageligt udføres på områderne national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger. Offentlige forvaltningsenheder, hvis aktiviteter kun er marginalt relateret til disse områder, bør dog være omfattet af dette direktivs anvendelsesområde. Med henblik på dette direktiv anses enheder med reguleringsbeføjelser ikke for at udføre aktiviteter inden for retshåndhævelse, og de er derfor ikke på dette grundlag udelukket fra dette direktivs anvendelsesområde. Offentlige forvaltningsenheder, der er etableret i fællesskab med et tredjeland i overensstemmelse med en international aftale, er udelukket fra dette direktivs anvendelsesområde. Dette direktiv finder ikke anvendelse på medlemsstaternes diplomatiske og konsulære missioner i tredjelande. Visse kritiske enheder udfører aktiviteter på områderne national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger, eller leverer udelukkende tjenester til offentlige forvaltningsenheder, der hovedsageligt udfører aktiviteter på disse områder. I betragtning af medlemsstaternes ansvar for at varetage national sikkerhed og forsvar bør medlemsstater kunne beslutte, at kritiske enheders forpligtelser fastsat i dette direktiv helt eller delvist ikke finder anvendelse på disse kritiske enheder, hvis de tjenester, som de leverer, eller de aktiviteter, som de udfører, hovedsageligt vedrører områderne national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger. Kritiske enheder, hvis tjenester eller aktiviteter kun er marginalt relaterede til disse områder, bør stadig være omfattet af dette direktivs anvendelsesområde. Ingen medlemsstat bør være forpligtet til at meddele oplysninger, hvis videregivelse vil stride mod væsentlige interesser med hensyn til dens nationale sikkerhed. EU-regler eller nationale regler om beskyttelse af klassificerede informationer og hemmeligholdelsesaftaler er relevante. |
(12) |
For ikke at bringe national sikkerhed eller kritiske enheders sikkerhed og kommercielle interesser i fare bør adgang til samt udveksling og håndtering af følsomme oplysninger foregå med omtanke og med særlig vægt på de transmissionskanaler og lagringskapaciteter, der anvendes. |
(13) |
Med henblik på at sikre en samlet tilgang til kritiske enheders modstandsdygtighed bør hver medlemsstat have en strategi for styrkelse af kritiske enheders modstandsdygtighed på plads (»strategien«). Strategien bør fastsætte de strategiske mål og politikforanstaltninger, der skal gennemføres. Af hensyn til sammenhæng og effektivitet bør strategien udformes således, at de uden problemer kan integrere eksisterende politikker, og så vidt muligt bygge på eksisterende nationale og sektorspecifikke strategier, planer eller lignende dokumenter. For at opnå en samlet tilgang bør medlemsstaterne sikre, at deres strategier skaber en politikramme for øget koordinering mellem de kompetente myndigheder i henhold til dette direktiv og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 i forbindelse med udveksling af oplysninger om cybersikkerhedsrisici, cybertrusler og cyberhændelser og ikkecyberrisici, -trusler og -hændelser samt i forbindelse med udførelse af tilsynsopgaver. Når medlemsstaterne indfører deres strategier, bør medlemsstaterne tage behørigt hensyn til den hybride karakter af trusler mod kritiske enheder. |
(14) |
Medlemsstaterne bør meddele Kommissionen deres strategier og væsentlige ajourføringer heraf, navnlig for at sætte Kommissionen i stand til at vurdere, om dette direktiv anvendes korrekt for så vidt angår politiktilgange til kritiske enheders modstandsdygtighed på nationalt plan. Strategierne vil, hvor det er nødvendigt, kunne meddeles som klassificerede informationer. Kommissionen bør udarbejde en sammenfattende rapport om de strategier, som medlemsstaterne har meddelt, der skal tjene som grundlag for udvekslinger med henblik på at identificere bedste praksis og spørgsmål af fælles interesse inden for rammerne af en Gruppe for Kritiske Enheders Modstandsdygtighed. På grund af den følsomme karakter af de samlede oplysninger, der vil være indeholdt i den sammenfattende rapport, uanset om de er klassificerede eller ej, bør Kommissionen forvalte den sammenfattende rapport med et passende niveau af opmærksomhed med hensyn til kritiske enheders, medlemsstaters og Unionens sikkerhed. Den sammenfattende rapport og strategierne bør beskyttes mod ulovlige eller ondsindede handlinger og bør kun være tilgængelige for bemyndigede personer med henblik på at opfylde målene i dette direktiv. Meddelelsen af strategierne og væsentlige ajourføringer heraf bør også hjælpe Kommissionen med at forstå udviklingen i tilgangene til kritiske enheders modstandsdygtighed og bidrage til overvågningen af dette direktivs indvirkning og merværdi, som Kommissionen regelmæssigt skal gennemgå. |
(15) |
Medlemsstaternes tiltag til at identificere og bidrage til at sikre kritiske enheders modstandsdygtighed bør følge en risikobaseret tilgang, hvor der fokuseres på de enheder, der er mest relevante for udførelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter. For at sikre en sådan målrettet tilgang bør hver medlemsstat inden for en harmoniseret ramme foretage en vurdering af de relevante naturlige og menneskeskabte risici, herunder tværsektorielle eller grænseoverskridende risici, der vil kunne påvirke leveringen af væsentlige tjenester, herunder ulykker, naturkatastrofer, folkesundhedskriser såsom pandemier og hybride trusler eller andre antagonistiske trusler, herunder terrorhandlinger, kriminel infiltration og sabotage (»medlemsstatsrisikovurdering«). Når medlemsstaterne foretager medlemsstatsrisikovurderinger, bør de tage hensyn til andre generelle eller sektorspecifikke risikovurderinger, der er foretaget i henhold til andre EU-retsakter, og til omfanget af afhængighed mellem sektorer, herunder af sektorer i andre medlemsstater og tredjelande. Resultaterne af medlemsstatsrisikovurderinger bør anvendes til at identificere kritiske enheder og bistå disse enheder med at opfylde deres modstandsdygtighedskrav. Dette direktiv finder kun anvendelse på medlemsstater og kritiske enheder, der opererer i Unionen. Ikke desto mindre vil den ekspertise og viden, der genereres af kompetente myndigheder, navnlig gennem risikovurderinger, og af Kommissionen, navnlig gennem forskellige former for støtte og samarbejde, kunne anvendes, hvor det er relevant og i overensstemmelse med de gældende retlige instrumenter, til fordel for tredjelande, navnlig dem i Unionens umiddelbare nærområde, ved at bidrage til eksisterende samarbejde om modstandsdygtighed. |
(16) |
For at sikre, at alle relevante enheder er omfattet af dette direktivs modstandsdygtighedskrav, og for at mindske forskellene i denne henseende er det vigtigt at fastsætte harmoniserede regler, der muliggør en konsekvent identifikation af kritiske enheder i hele Unionen, samtidig med at medlemsstaterne også får mulighed for i tilstrækkelig grad at afspejle disse enheders rolle og betydning på nationalt plan. Ved anvendelse af de kriterier, der er fastlagt i dette direktiv, bør hver medlemsstat identificere enheder, der leverer en eller flere væsentlige tjenester, og som opererer og har kritisk infrastruktur, der er beliggende på dens område. En enhed bør anses for at operere på en medlemsstats område, hvor den udfører de aktiviteter, der er nødvendige for den eller de pågældende væsentlige tjenester, og hvor enhedens kritiske infrastruktur, som anvendes til at levere den eller de pågældende tjenester, er beliggende. Hvis der ikke er nogen enhed, der opfylder disse kriterier i en medlemsstat, bør den pågældende medlemsstat ikke være forpligtet til at identificere en kritisk enhed i den tilsvarende sektor eller delsektor. Af hensyn til effektivitet, virkningsfuldhed, konsistens og retssikkerhed bør der fastsættes passende regler med hensyn til underretning af enheder om, at de er identificeret som kritiske enheder. |
(17) |
Medlemsstaterne bør på en måde, der opfylder målene i dette direktiv, forelægge Kommissionen en liste over væsentlige tjenester, antallet af kritiske enheder, som er identificeret for hver sektor og delsektor anført i bilaget og for den eller de væsentlige tjenester, som hver enhed leverer, og såfremt sådanne anvendes, tærskler. Det bør være muligt at fremlægge tærskler som sådan eller i sammenfattet form, hvorved forstås, at oplysningerne kan gøres til genstand for en gennemsnitsberegning efter geografisk område, år, sektor, delsektor eller andre metoder og kan omfatte oplysninger om omfanget af de forelagte indikatorer. |
(18) |
Der bør fastlægges kriterier for bestemmelse af betydningen af en forstyrrende virkning som følge af en hændelse. Disse kriterier bør være baseret på kriterierne i Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 (6) for at udnytte medlemsstaternes indsats for at identificere operatører af væsentlige tjenester som defineret i nævnte direktiv og de erfaringer, der er gjort i denne forbindelse. Større kriser, såsom covid-19-pandemien, har vist, hvor vigtigt det er at sørge for forsyningskædesikkerhed, og har påvist, hvordan forstyrrelse heraf kan have negativ økonomisk og samfundsmæssig indvirkning inden for en lang række sektorer og på tværs af grænserne. Medlemsstaterne bør derfor også i det omfang, det er muligt, overveje virkningerne på forsyningskæden, når de fastslår i hvilket omfang andre sektorer og delsektorer afhænger af de væsentlige tjenester, der udbydes af en kritisk enhed. |
(19) |
I overensstemmelse med gældende EU-ret og national ret, herunder Europa-Parlamentets og Rådets forordning (EU) 2019/452 (7), som fastlægger et regelsæt for screening af udenlandske direkte investeringer i Unionen, skal den potentielle trussel, som udenlandsk ejerskab af kritisk infrastruktur i Unionen udgør, anerkendes, idet tjenester, økonomien og EU-borgernes frie bevægelighed og sikkerhed er afhængige af velfungerende kritisk infrastruktur. |
(20) |
I henhold til direktiv (EU) 2022/2555 skal enheder, der tilhører sektoren for digital infrastruktur, og som kunne betragtes som kritiske enheder i henhold til nærværende direktiv, træffe passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at styre risiciene for sikkerheden i net- og informationssystemer samt underrette om væsentlige hændelser og cybertrusler. Da trusler mod sikkerheden i net- og informationssystemer kan have forskellig oprindelse, anvender direktiv (EU) 2022/2555 en tilgang, der omfatter alle farer, og som omfatter net- og informationssystemers modstandsdygtighed samt disse systemers fysiske komponenter og fysiske miljø. Eftersom kravene i forbindelse hermed i direktiv (EU) 2022/2555 mindst svarer til de tilsvarende forpligtelser i nærværende direktiv, bør forpligtelserne i artikel 11 og kapitel III, IV og VI i nærværende direktiv ikke finde anvendelse på enheder, der tilhører sektoren for digital infrastruktur, for at undgå dobbeltarbejde og unødvendige administrative byrder. I betragtning af den betydning, som tjenester, der leveres af enheder, der tilhører den digitale infrastruktursektor, har for kritiske enheder, der tilhører alle andre sektorer, bør medlemsstaterne imidlertid på grundlag af kriterierne og ved anvendelse af proceduren i dette direktiv identificere enheder, der tilhører sektoren for digital infrastruktur, som kritiske enheder. Derfor bør strategierne, medlemsstatsrisikovurderingerne og støtteforanstaltningerne fastsat i dette direktivs kapitel II finde anvendelse. Medlemsstaterne bør kunne vedtage eller opretholde bestemmelser i national ret for at opnå en højere grad af modstandsdygtighed for disse kritiske enheder, forudsat at disse bestemmelser er i overensstemmelse med gældende EU-ret. |
(21) |
I EU-retten om finansielle tjenesteydelser fastsættes omfattende krav til finansielle enheder om at håndtere alle risici, som de står over for, herunder operationelle risici, og sikre forretningskontinuitet. Denne ret omfatter Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 (8), (EU) nr. 575/2013 (9) og (EU) nr. 600/2014 (10) og Europa-Parlamentets og Rådets direktiv 2013/36/EU (11) og 2014/65/EU (12). Denne retlige ramme suppleres med Europa-Parlamentets og Rådets forordning (EU) 2022/2554 (13), som fastsætter krav til finansielle enheder om at styre risici i forbindelse med informations- og kommunikationsteknologi (IKT), herunder vedrørende beskyttelse af fysisk IKT-infrastruktur. Eftersom disse enheders modstandsdygtighed derfor er fuldt ud dækket, bør artikel 11 og kapitel III, IV og VI i dette direktiv ikke finde anvendelse på disse enheder for at undgå dobbeltarbejde og unødvendige administrative byrder. I betragtning af den betydning, som tjenester, der leveres af enheder i den finansielle sektor, har for kritiske enheder, der tilhører alle andre sektorer, bør medlemsstaterne imidlertid på grundlag af kriterierne og ved anvendelse af proceduren i dette direktiv identificere enheder i den finansielle sektor som kritiske enheder. Derfor bør strategierne, medlemsstatsrisikovurderingerne og støtteforanstaltningerne fastsat i dette direktivs kapitel II finde anvendelse. Medlemsstaterne bør kunne vedtage eller opretholde bestemmelser i national ret for at opnå en højere grad af modstandsdygtighed for disse kritiske enheder, forudsat at disse bestemmelser er i overensstemmelse med gældende EU-ret. |
(22) |
Medlemsstaterne bør udpege eller oprette myndigheder, der har kompetence til at føre tilsyn med anvendelsen af og om nødvendigt håndhæve reglerne i dette direktiv, og sikre, at disse myndigheder har tilstrækkelige beføjelser og ressourcer. I lyset af forskellene i nationale forvaltningsstrukturer, for at sikre allerede eksisterende sektorspecifikke ordninger eller EU-tilsyns- og reguleringsorganer og for at undgå dobbeltarbejde bør medlemsstaterne kunne udpege eller oprette mere end én kompetent myndighed. Hvis medlemsstaterne udpeger eller opretter mere end én kompetent myndighed, bør de klart afgrænse de berørte myndigheders respektive opgaver og sikre, at de samarbejder gnidningsløst og effektivt. Alle kompetente myndigheder bør også samarbejde mere generelt med andre relevante myndigheder, både på EU-plan og nationalt plan. |
(23) |
For at lette grænseoverskridende samarbejde og kommunikation og muliggøre en effektiv gennemførelse af dette direktiv bør hver medlemsstat, uden at dette berører kravene i sektorspecifikke EU-retsakter, udpege et centralt kontaktpunkt med ansvar for at koordinere spørgsmål vedrørende kritiske enheders modstandsdygtighed og grænseoverskridende samarbejde på EU-plan i denne henseende, hvis relevant inden for en kompetent myndighed. Hvert centralt kontaktpunkt bør holde kontakt med og koordinere kommunikationen, hvor det er relevant, med sin medlemsstats kompetente myndigheder, med andre medlemsstaters centrale kontaktpunkter og med Gruppen for Kritiske Enheders Modstandsdygtighed. |
(24) |
De kompetente myndigheder i henhold til dette direktiv, og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555, bør samarbejde og udveksle oplysninger om cybersikkerhedsrisici, cybertrusler og cyberhændelser og ikkecyberrisici, -trusler og -hændelser, som berører kritiske enheder, samt i forhold til relevante foranstaltninger, der er truffet af de kompetente myndigheder i henhold til nærværende direktiv og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 Det er vigtigt, at medlemsstaterne sikrer, at kravene i nærværende direktiv og i direktiv (EU) 2022/2555 gennemføres på en komplementær måde, og at kritiske enheder ikke pålægges en administrativ byrde, der går ud over, hvad der er nødvendigt for at nå målene i nærværende direktiv og nævnte direktiv. |
(25) |
Medlemsstaterne bør støtte kritiske enheder, herunder dem, der kan betegnes som små eller mellemstore virksomheder, med at styrke deres modstandsdygtighed i overensstemmelse med medlemsstaternes forpligtelser i dette direktiv, uden at dette berører de kritiske enheders eget retlige ansvar for at sikre en sådan opfyldelse, og i denne forbindelse hindre uforholdsmæssigt store administrative byrder. Medlemsstaterne vil navnlig kunne udvikle vejledningsmaterialer og -metoder, støtte tilrettelæggelse af øvelser for at afprøve kritiske enheders modstandsdygtighed og yde rådgivning og tilbyde uddannelse til personale i kritiske enheder. Hvor det er nødvendigt og begrundet i almene hensyn, kan medlemsstaterne stille finansielle ressourcer til rådighed og bør lette frivillig udveksling af oplysninger og udveksling af god praksis mellem kritiske enheder, uden at det berører anvendelsen af konkurrencereglerne i traktaten om Den Europæiske Unions funktionsmåde (TEUF). |
(26) |
For at styrke modstandsdygtigheden af kritiske enheder, som er identificeret af medlemsstaterne, og for at mindske den administrative byrde for disse kritiske enheder bør de kompetente myndigheder konsultere hinanden, når det er hensigtsmæssigt, med henblik på at sikre en konsistent anvendelse af dette direktiv. Disse konsultationer bør indledes efter anmodning fra enhver interesseret kompetent myndighed og bør fokusere på at sikre en konvergerende tilgang til indbyrdes forbundne kritiske enheder, der anvender kritisk infrastruktur, som er fysisk sammenkoblet mellem to eller flere medlemsstater, og som tilhører de samme koncerner eller selskabsstrukturer, eller som er blevet identificeret i én medlemsstat og leverer væsentlige tjenester til eller i andre medlemsstater. |
(27) |
Hvis bestemmelser i EU-retten eller national ret kræver, at kritiske enheder vurderer risici, der er relevante i forbindelse med dette direktiv, og træffer foranstaltninger for at sikre deres egen modstandsdygtighed, bør der tages tilstrækkeligt hensyn til disse krav med henblik på at føre tilsyn med kritiske enheders overholdelse af dette direktiv. |
(28) |
Kritiske enheder bør have en omfattende forståelse af de relevante risici, som de er eksponeret for, og en pligt til at analysere disse risici. Med henblik herpå bør de foretage risikovurderinger, når det er nødvendigt i lyset af deres særlige omstændigheder og udviklingen af disse risici og under alle omstændigheder hvert fjerde år, for at vurdere alle relevante risici, der vil kunne forstyrre leveringen af deres væsentlige tjenester (»kritiske enheders risikovurdering«). Hvor kritiske enheder har foretaget andre risikovurderinger eller udarbejdet dokumenter i henhold til forpligtelser i andre retsakter, der er relevante for deres risikovurdering, bør de kunne anvende disse vurderinger og dokumenter til at opfylde kravene i dette direktiv vedrørende kritiske enheders risikovurdering. En kompetent myndighed bør kunne erklære, at en eksisterende risikovurdering foretaget af en kritisk enhed, der behandler de relevante risici og det relevante omfang af afhængighed, helt eller delvist opfylder forpligtelserne i dette direktiv. |
(29) |
Kritiske enheder bør træffe passende tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, der står i et rimeligt forhold til de risici, som de står over for, for at forebygge, beskytte mod, reagere på, modstå, afbøde, absorbere, tilpasse sig til og komme på fode igen efter en hændelse. Mens kritiske enheder bør træffe disse foranstaltninger i overensstemmelse med dette direktiv, bør sådanne foranstaltningers nærmere enkeltheder og omfang afspejle de forskellige risici, som hver kritiske enhed har identificeret som led i sin risikovurdering, og de særlige forhold, der gør sig gældende for en sådan enhed, på en passende og forholdsmæssig måde. For at fremme en sammenhængende EU-tilgang bør Kommissionen efter høring af Gruppen for Kritiske Enheders Modstandsdygtighed vedtage ikkebindende retningslinjer for nærmere at præcisere disse tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger. Medlemsstaterne bør sikre, at hver kritisk enhed udpeger en forbindelsesofficer eller tilsvarende som kontaktpunkt for de kompetente myndigheder. |
(30) |
Af hensyn til effektivitet og ansvarlighed bør kritiske enheder under hensyntagen til de identificerede risici beskrive de foranstaltninger, som de træffer, med en detaljeringsgrad, som i tilstrækkelig grad når målene om effektivitet og ansvarlighed, i en plan for modstandsdygtighed eller i et eller flere dokumenter, der svarer til en plan for modstandsdygtighed, og anvende denne plan i praksis. Hvis en kritisk enhed allerede har truffet tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger og udarbejdet dokumenter i henhold til andre retsakter, der er relevante for modstandsdygtighedsstyrkende foranstaltninger i henhold til dette direktiv, bør den for at undgå dobbeltarbejde kunne anvende disse foranstaltninger og dokumenter til at opfylde kravene med hensyn til modstandsdygtighedsforanstaltninger i henhold til dette direktiv. For at undgå dobbeltarbejde bør en kompetent myndighed kunne erklære, at en kritisk enheds eksisterende modstandsdygtighedsforanstaltninger, der tager hånd om dens forpligtelse til at træffe tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger i henhold til dette direktiv, helt eller delvist opfylder kravene i dette direktiv. |
(31) |
I Europa-Parlamentets og Rådets forordning (EF) nr. 725/2004 (14) og (EF) nr. 300/2008 (15) og Europa-Parlamentets og Rådets direktiv 2005/65/EF (16) fastsættes krav til enheder i luftfarts- og søtransportsektoren med henblik på at forebygge hændelser forårsaget af ulovlige handlinger og modstå og afbøde følgerne af sådanne hændelser. Selv om de foranstaltninger, der kræves i henhold til nærværende direktiv, er bredere med hensyn til de risici, der håndteres, og de typer af foranstaltninger, der skal træffes, bør kritiske enheder i disse sektorer i deres plan for modstandsdygtighed eller tilsvarende dokumenter afspejle de foranstaltninger, der er truffet i henhold til disse andre EU-retsakter. Kritiske enheder skal også tage hensyn til Europa-Parlamentets og Rådets direktiv 2008/96/EF (17), som indfører en vejnetvurdering med henblik på at kortlægge risiciene for ulykker og en målrettet trafiksikkerhedsinspektion med henblik på at afdække farlige forhold, mangler og problemer, som øger risikoen for ulykker og tilskadekomst, baseret på besigtigelse af eksisterende veje eller vejstrækninger. Sikring af kritiske enheders beskyttelse og modstandsdygtighed er af allerstørste betydning for jernbanesektoren, og kritiske enheder tilskyndes til at henvise til ikkebindende retningslinjer og dokumenter om god praksis, der er udarbejdet under sektorspecifikke arbejdsgange, såsom EU-sikkerhedsplatformen for jernbanepassagerer, der er oprettet ved Kommissionens afgørelse 2018/C 232/03 (18), når de gennemfører modstandsdygtighedsforanstaltninger i henhold til dette direktiv. |
(32) |
Risikoen for, at ansatte i kritiske enheder eller deres kontrahenter misbruger for eksempel deres adgangsret inden for den kritiske enheds organisation til at skade og forvolde skade, giver anledning til stigende bekymring. Medlemsstaterne bør derfor angive de betingelser, på hvilke kritiske enheder i behørigt begrundede tilfælde og under hensyntagen til medlemsstatsrisikovurderinger har tilladelse til at indgive anmodninger om baggrundskontrol af personer, der tilhører specifikke kategorier af deres personale. Det bør sikres, at de relevante myndigheder vurderer sådanne anmodninger inden for en rimelig frist og behandler dem i overensstemmelse med national ret og nationale procedurer samt relevant og gældende EU-ret, herunder om beskyttelse af personoplysninger. For at bekræfte identiteten af en person, der er genstand for en baggrundskontrol, er det hensigtsmæssigt, at medlemsstaterne kræver et identitetsbevis, såsom et pas, et nationalt identitetskort eller en digital form for identifikation, i overensstemmelse med gældende ret. Baggrundskontrol bør omfatte kontrol af strafferegistre for den pågældende person. Medlemsstaterne bør anvende det europæiske informationssystem vedrørende strafferegistre i overensstemmelse med procedurerne i Rådets rammeafgørelse 2009/315/RIA (19) og, hvor det er relevant og finder anvendelse, Europa-Parlamentets og Rådets forordning (EU) 2019/816 (20) med henblik på indhentning af oplysninger fra andre medlemsstaters strafferegistre. Medlemsstaterne kan også, hvor det er relevant og finder anvendelse, trække på anden generation af Schengeninformationssystemet (SIS II), der blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2018/1862 (21), efterretninger og alle andre tilgængelige objektive oplysninger, som måtte være nødvendige for at fastslå, om den berørte person er egnet til at beklæde den stilling, for hvilken den kritiske enhed har anmodet om en baggrundskontrol. |
(33) |
Der bør oprettes en mekanisme til underretning om visse hændelser for at gøre det muligt for de kompetente myndigheder at reagere hurtigt og hensigtsmæssigt på hændelser og danne sig et samlet overblik over indvirkningen, arten, årsagen og de mulige konsekvenser af hændelser, som kritiske enheder håndterer. Kritiske enheder bør uden unødigt ophold underrette de kompetente myndigheder om hændelser, der i betydelig grad forstyrrer eller har potentiale til i betydelig grad at forstyrre leveringen af væsentlige tjenester. Medmindre det operationelt ikke er muligt, bør kritiske enheder indgive en første underretning senest 24 timer efter, at de er blevet opmærksomme på en hændelse. Den første underretning bør kun indeholde de oplysninger, der er strengt nødvendige for at gøre den kompetente myndighed opmærksom på hændelsen og give den kritiske enhed mulighed for at søge bistand, hvis det er nødvendigt. En sådan underretning bør, hvor det er muligt, angive den formodede årsag til hændelsen. Medlemsstaterne bør sikre, at kravet om at foretage denne første underretning ikke afleder den kritiske enheds ressourcer fra aktiviteter vedrørende håndtering af hændelser, der bør prioriteres. Den første underretning bør, hvor det er relevant, efterfølges af en detaljeret rapport senest en måned efter hændelsen. Den detaljerede rapport bør supplere den første underretning og give et mere fuldstændigt overblik over hændelsen. |
(34) |
Standardisering bør fortsat primært være en markedsstyret proces. Der kan imidlertid stadig være situationer, hvor det er hensigtsmæssigt at kræve overholdelse af specifikke standarder. Medlemsstaterne bør, hvor det er nyttigt, tilskynde til anvendelse af europæiske og internationale standarder og tekniske specifikationer af relevans for de sikkerheds- og modstandsdygtighedsforanstaltninger, som finder anvendelse på kritiske enheder. |
(35) |
Selv om kritiske enheder generelt opererer som en del af et stadig mere sammenkoblet net af tjenester og infrastruktur og ofte leverer væsentlige tjenester i mere end én medlemsstat, er nogle af disse kritiske enheder af særlig betydning for Unionen og dens indre marked, fordi de leverer væsentlige tjenester til eller i seks eller flere medlemsstater og derfor vil kunne drage fordel af specifik støtte på EU-plan. Der bør derfor fastsættes regler om rådgivende missioner for sådanne kritiske enheder af særlig europæisk betydning. Disse regler berører ikke reglerne om tilsyn og håndhævelse i dette direktiv. |
(36) |
Efter en begrundet anmodning fra Kommissionen eller en eller flere medlemsstater, hvortil eller hvori en væsentlig tjeneste leveres, bør en medlemsstat, der har identificeret en kritisk enhed af særlig europæisk betydning som kritisk enhed, give Kommissionen visse oplysninger som fastsat dette direktiv, hvis der er behov for yderligere oplysninger for at kunne rådgive den kritiske enhed om opfyldelse af dens forpligtelser i henhold til dette direktiv eller vurdere, om den kritiske enhed af særlig europæisk betydning opfylder disse forpligtelser. Efter aftale med den medlemsstat, der har identificeret den kritiske enhed af særlig europæisk betydning som kritisk enhed, bør Kommissionen kunne tilrettelægge en rådgivende mission for at vurdere de foranstaltninger, som den pågældende enhed har truffet. For at sikre, at sådanne rådgivende missioner gennemføres korrekt, bør der fastsættes supplerende regler, navnlig for de rådgivende missioners tilrettelæggelse og gennemførelse, de opfølgende tiltag, der skal tages, og forpligtelserne for berørte kritiske enheder af særlig europæisk betydning. Rådgivende missioner bør, uden at det berører behovet for, at den medlemsstat, hvor en rådgivende mission gennemføres, og den berørte enhed overholder reglerne i dette direktiv, gennemføres i henhold til de detaljerede regler i den pågældende medlemsstats nationale ret, f.eks. om de præcise betingelser, der skal opfyldes for at få adgang til relevante lokaler eller dokumenter, og om domstolsprøvelse. Der vil, hvor det er relevant, kunne anmodes om specifik ekspertbistand til sådanne rådgivende missioner via Katastrofeberedskabskoordinationscentret, som er oprettet ved Europa-Parlamentets og Rådets afgørelse nr. 1313/2013/EU (22). |
(37) |
For at støtte Kommissionen og lette samarbejde mellem medlemsstaterne og udveksling af oplysninger, herunder bedste praksis, om spørgsmål vedrørende dette direktiv bør der nedsættes en Gruppe for Kritiske Enheders Modstandsdygtighed som en ekspertgruppe i Kommissionen. Medlemsstaterne bør bestræbe sig på at sikre et effektivt samarbejde mellem de udpegede repræsentanter for deres kompetente myndigheder i Gruppen for Kritiske Enheders Modstandsdygtighed, herunder ved at udpege repræsentanter, der er sikkerhedsgodkendt, hvis det er relevant. Gruppen for Kritiske Enheders Modstandsdygtighed bør begynde at udføre sine opgaver så snart som muligt for at tilvejebringe yderligere midler til passende samarbejde i løbet af gennemførelsesperioden for dette direktiv. Gruppen for Kritiske Enheders Modstandsdygtighed bør indgå i et samspil med andre relevante sektorspecifikke ekspertgrupper. |
(38) |
Gruppen for Kritiske Enheders Modstandsdygtighed bør samarbejde med den samarbejdsgruppe, der er nedsat i henhold til direktiv (EU) 2022/2555, med henblik på at støtte en omfattende ramme for kritiske enheders cyber- og ikkecybermodstandsdygtighed. Gruppen for Kritiske Enheders Modstandsdygtighed og den samarbejdsgruppe, der er nedsat i henhold til direktiv (EU) 2022/2555, bør indgå i en regelmæssig dialog for at fremme samarbejde mellem de kompetente myndigheder i henhold til nærværende direktiv og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555, og for at lette udveksling af oplysninger, navnlig om emner af relevans for begge grupper. |
(39) |
For at nå målene i dette direktiv, og uden at dette berører medlemsstaternes og kritiske enheders retlige ansvar for at sikre, at de respektive forpligtelser, der er fastsat heri, opfyldes, bør Kommissionen, hvor den finder det hensigtsmæssigt, støtte kompetente myndigheder og kritiske enheder med henblik på at lette opfyldelsen af deres respektive forpligtelser. Når Kommissionen yder støtte til medlemsstaterne og kritiske enheder ved opfyldelsen af forpligtelserne i henhold til dette direktiv, bør den tage udgangspunkt i eksisterende strukturer og værktøjer såsom dem inden for rammerne af EU-civilbeskyttelsesmekanismen, der blev oprettet ved afgørelse nr. 1313/2013/EU, og det europæiske referencenetværk for beskyttelse af kritisk infrastruktur. Den bør desuden orientere medlemsstaterne om midler, der er til rådighed på EU-plan, f.eks. inden for Fonden for Intern Sikkerhed, der blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2021/1149 (23), Horisont Europa, der blev oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2021/695 (24), eller andre instrumenter, der er relevante for kritiske enheders modstandsdygtighed. |
(40) |
Medlemsstaterne bør sikre, at deres kompetente myndigheder har visse specifikke beføjelser til at sikre en korrekt anvendelse og håndhævelse af dette direktiv i forbindelse med kritiske enheder, når disse enheder hører under deres jurisdiktion som fastsat i dette direktiv. Disse beføjelser bør navnlig omfatte beføjelse til at foretage inspektioner og revision, til at føre tilsyn, til at kræve, at kritiske enheder fremlægger oplysninger og dokumentation vedrørende de foranstaltninger, som de har truffet for at opfylde deres forpligtelser, og, hvor det er nødvendigt, til at udstede påbud for at afhjælpe konstaterede overtrædelser. Når medlemsstaterne udsteder sådanne påbud, bør de ikke kræve foranstaltninger, der går ud over, hvad der er nødvendigt og rimeligt for at sikre, at den pågældende kritiske enhed opfylder forpligtelserne, navnlig under hensyntagen til overtrædelsens alvor og den pågældende kritiske enheds økonomiske formåen. Mere generelt bør disse beføjelser ledsages af passende og effektive garantier, der fastsættes i national ret i overensstemmelse med Den Europæiske Unions charter om grundlæggende rettigheder. Ved vurderingen af, om en kritisk enhed opfylder sine forpligtelser som fastsat i dette direktiv, bør de kompetente myndigheder i henhold til dette direktiv kunne anmode de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 om at udøve deres tilsyns- og håndhævelsesbeføjelser over for en enhed i henhold til nævnte direktiv, som er identificeret som kritisk enhed i henhold til nærværende direktiv. De kompetente myndigheder i henhold til nærværende direktiv og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 bør samarbejde og udveksle oplysninger med henblik herpå. |
(41) |
For at dette direktiv kan anvendes på en effektiv og konsekvent måde, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i TEUF med henblik på at supplere dette direktiv ved at udarbejde en liste over væsentlige tjenester. Denne liste bør anvendes af kompetente myndigheder med henblik på at foretage medlemsstatsrisikovurderinger og identificere kritiske enheder i henhold til dette direktiv. I lyset af dette direktivs tilgang med minimumsharmonisering er denne liste ikkeudtømmende, og medlemsstaterne kan supplere den med yderligere væsentlige tjenester på nationalt plan for at tage hensyn til særlige nationale forhold i forbindelse med levering af væsentlige tjenester. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning (25). For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelse af delegerede retsakter. |
(42) |
For at sikre ensartede betingelser for gennemførelsen af dette direktiv bør Kommissionen tillægges gennemførelsesbeføjelser. Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 (26). |
(43) |
Målene for dette direktiv, nemlig at sikre at tjenester, der er væsentlige for opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter, leveres uhindret på det indre marked, og at styrke modstandsdygtigheden af kritiske enheder, som leverer sådanne tjenester, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af foranstaltningens virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel 5, går dette direktiv ikke videre, end hvad der er nødvendigt for at nå disse mål. |
(44) |
Den Europæiske Tilsynsførende for Databeskyttelse er blevet hørt i overensstemmelse med artikel 42, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 (27) og afgav udtalelse den 11. august 2021. |
(45) |
Direktiv 2008/114/EF bør derfor ophæves — |
VEDTAGET DETTE DIREKTIV:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Genstand og anvendelsesområde
1. Ved dette direktiv:
a) |
fastsættes forpligtelser for medlemsstaterne til at træffe specifikke foranstaltninger med henblik på at sikre, at tjenester, der er væsentlige for opretholdelsen af vitale samfundsmæssige funktioner eller økonomiske aktiviteter inden for anvendelsesområdet for artikel 114 i TEUF, leveres uhindret på det indre marked, navnlig forpligtelser til at identificere kritiske enheder og til at støtte kritiske enheder i at opfylde de forpligtelser, som de er pålagt |
b) |
fastsættes forpligtelser for kritiske enheder med henblik på at styrke deres modstandsdygtighed og evne til at levere de i litra a) omhandlede tjenester på det indre marked |
c) |
fastsættes regler for:
|
d) |
fastsættes fælles procedurer for samarbejde og rapportering med henblik på anvendelse af dette direktiv |
e) |
indføres foranstaltninger med henblik på at opnå en høj grad af modstandsdygtighed i kritiske enheder for at sikre levering af væsentlige tjenester i Unionen og forbedre det indre markeds funktion. |
2. Dette direktiv finder ikke anvendelse på spørgsmål, der er omfattet af direktiv (EU) 2022/2555, jf. dog nærværende direktivs artikel 8. I lyset af forbindelsen mellem kritiske enheders fysiske sikkerhed og cybersikkerhed sikrer medlemsstaterne en koordineret gennemførelse af nærværende direktiv og direktiv (EU) 2022/2555.
3. Hvor bestemmelser i sektorspecifikke EU-retsakter kræver, at kritiske enheder træffer foranstaltninger for at styrke deres modstandsdygtighed, og hvor disse krav er anerkendt af medlemsstaterne som svarende mindst til de tilsvarende forpligtelser, der er fastsat i dette direktiv, finder de relevante bestemmelser i dette direktiv, herunder bestemmelsen om tilsyn og håndhævelse i kapitel VI, ikke anvendelse.
4. Uden at det berører artikel 346 i TEUF, udveksles oplysninger, der er fortrolige i henhold til EU-regler eller nationale regler, såsom regler om forretningshemmeligheder, kun med Kommissionen og andre relevante myndigheder i overensstemmelse med dette direktiv, hvor denne udveksling er nødvendig for anvendelsen af dette direktiv. De udvekslede oplysninger begrænses til, hvad der er relevant og forholdsmæssigt under hensyntagen til formålet med udvekslingen. Udvekslingen af oplysninger skal bevare de pågældende oplysningers fortrolighed og beskytte de kritiske enheders sikkerhed og kommercielle interesser, samtidig med at medlemsstaternes sikkerhed respekteres.
5. Dette direktiv berører ikke medlemsstaternes ansvar for at beskytte national sikkerhed og forsvar og deres beføjelse til at beskytte andre væsentlige statslige funktioner, herunder sikring af statens territoriale integritet og opretholdelse af lov og orden.
6. Dette direktiv finder ikke anvendelse på offentlige forvaltningsenheder, som udfører deres aktiviteter indenfor national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger.
7. Medlemsstaterne kan beslutte, at artikel 11 og kapitel III, IV og VI helt eller delvist ikke finder anvendelse på specifikke kritiske enheder, der udfører aktiviteter inden for national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder efterforskning, afsløring og retsforfølgning af strafbare handlinger, eller som udelukkende leverer tjenester til de offentlige forvaltningsenheder, der er omhandlet i nærværende artikels stk. 6.
8. De forpligtelser, der er fastsat i dette direktiv, omfatter ikke meddelelse af oplysninger, hvis videregivelse ville stride mod væsentlige interesser med hensyn til medlemsstaternes national sikkerhed, offentlig sikkerhed eller forsvar.
Artikel 2
Definitioner
I dette direktiv forstås ved:
1) |
»kritisk enhed«: en offentlig eller privat enhed, som er blevet identificeret af en medlemsstat i overensstemmelse med artikel 6 som tilhørende en af kategorierne anført i tredje kolonne i tabellen i bilaget |
2) |
»modstandsdygtighed«: en kritisk enheds evne til at forebygge, beskytte mod, reagere på, modstå, afbøde, absorbere, tilpasse sig og komme på fode igen efter en hændelse |
3) |
»hændelse«: en begivenhed, der har potentiale til i betydelig grad at forstyrre, eller som forstyrrer, leveringen af en væsentlig tjeneste, herunder når den påvirker de nationale systemer, der sikrer retsstatsprincippet |
4) |
»kritisk infrastruktur«: et aktiv, en facilitet, udstyr, et netværk eller et system, eller en del af et aktiv, en facilitet, udstyr, et netværk eller et system, som er nødvendig(t) for leveringen af en væsentlig tjeneste |
5) |
»væsentlig tjeneste«: en tjeneste, der er afgørende for opretholdelsen af vitale samfundsmæssige funktioner, økonomiske aktiviteter, folkesundhed og offentlig sikkerhed eller miljøet |
6) |
»risiko«: potentialet for tab eller forstyrrelse som følge af en hændelse, der skal udtrykkes som en kombination af størrelsen af et sådant tab eller en sådan forstyrrelse og sandsynligheden for, at hændelsen indtræffer |
7) |
»risikovurdering«: den samlede proces med henblik på at bestemme arten og omfanget af en risiko ved at identificere og analysere potentielle relevante trusler, sårbarheder og farer, der kunne føre til en hændelse, og ved at evaluere det potentielle tab eller den potentielle forstyrrelse af leveringen af en væsentlig tjeneste forårsaget af denne hændelse |
8) |
»standard«: en standard som defineret i artikel 2, nr. 1), i Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 (30) |
9) |
»teknisk specifikation«: en teknisk specifikation som defineret i artikel 2, nr. 4), i forordning (EU) nr. 1025/2012 |
10) |
»offentlig forvaltningsenhed«: en enhed, der er anerkendt som sådan i en medlemsstat i overensstemmelse med national ret, med undtagelse af retsvæsenet, parlamenter og centralbanker, som opfylder følgende kriterier:
|
Artikel 3
Minimumsharmonisering
Dette direktiv er ikke til hinder for, at medlemsstaterne vedtager eller opretholder bestemmelser i national ret med henblik på at opnå et højere niveau for kritiske enheders modstandsdygtighed, forudsat at sådanne bestemmelser er i overensstemmelse med medlemsstaternes forpligtelser, der er fastsat i EU-retten.
KAPITEL II
NATIONALE RAMMER FOR KRITISKE ENHEDERS MODSTANDSDYGTIGHED
Artikel 4
Strategi for kritiske enheders modstandsdygtighed
1. Efter en høring, der i det omfang, det er praktisk muligt, er åben for relevante interessenter, vedtager hver medlemsstat senest den 17. januar 2026 en strategi for styrkelse af kritiske enheders modstandsdygtighed (»strategien«). Byggende på relevante eksisterende nationale og sektorspecifikke strategier, planer eller lignende dokumenter skal strategien indeholde strategiske mål og politikforanstaltninger med henblik på at opnå og opretholde en høj grad af modstandsdygtighed i kritiske enheder og mindst omfatte de sektorer, der er anført i bilaget.
2. Hver strategi skal mindst indeholde følgende elementer:
a) |
strategiske mål og prioriteter med henblik på at styrke kritiske enheders overordnede modstandsdygtighed under hensyntagen til grænseoverskridende og tværsektoriel afhængighed og indbyrdes afhængighed |
b) |
en forvaltningsramme for at nå de strategiske mål og prioriteter, herunder en beskrivelse af roller og ansvarsområder for de forskellige myndigheder, kritiske enheder og andre parter, der er involveret i gennemførelsen af strategien |
c) |
en beskrivelse af de foranstaltninger, der er nødvendige for at styrke kritiske enheders overordnede modstandsdygtighed, herunder en beskrivelse af risikovurderingen omhandlet i artikel 5 |
d) |
en beskrivelse af den proces, hvorved kritiske enheder identificeres |
e) |
en beskrivelse af processen for støtte til kritiske enheder i overensstemmelse med dette kapitel, herunder foranstaltninger til styrkelse af samarbejdet mellem den offentlige sektor på den ene side og den private sektor og offentlige og private enheder på den anden side |
f) |
en liste over de vigtigste myndigheder og relevante interessenter, ud over kritiske enheder, der er involveret i gennemførelsen af strategien |
g) |
en politikramme for koordinering mellem de kompetente myndigheder i henhold til dette direktiv (»de kompetente myndigheder«) og de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 med henblik på udveksling af oplysninger om cybersikkerhedsrisici, cybertrusler og cyberhændelser og ikkecyberrisici, -trusler og -hændelser samt udøvelse af tilsynsopgaver |
h) |
en beskrivelse af allerede indførte foranstaltninger, der har til formål at lette opfyldelsen af forpligtelser i henhold til dette direktivs kapitel III for små og mellemstore virksomheder i den i bilaget til Kommissionens henstilling 2003/361/EF (31) anvendte betydning, som den pågældende medlemsstat har identificeret som kritiske enheder. |
Efter en høring, der i det omfang, det er praktisk muligt, er åben for relevante interessenter, ajourfører medlemsstaterne deres strategier mindst hvert fjerde år.
3. Medlemsstaterne meddeler Kommissionen deres strategier og væsentlige ajourføringer heraf inden for tre måneder efter deres vedtagelse.
Artikel 5
Medlemsstaternes risikovurdering
1. Kommissionen tillægges beføjelse til at vedtage en delegeret retsakt i overensstemmelse med artikel 23 senest den 17. november 2023 for at supplere dette direktiv ved at udarbejde en ikkeudtømmende liste over væsentlige tjenester i sektorerne og delsektorerne anført i bilaget. De kompetente myndigheder bruger denne liste over væsentlige tjenester til at foretage en risikovurdering (»medlemsstatsrisikovurdering«) senest den 17. januar 2026, når det er nødvendigt efterfølgende, og mindst hvert fjerde år. De kompetente myndigheder bruger medlemsstatsrisikovurderinger med henblik på at identificere kritiske enheder i overensstemmelse med artikel 6 og til at bistå disse kritiske enheder med at træffe foranstaltninger i henhold til artikel 13.
Medlemsstatsrisikovurderinger skal tage højde for de relevante naturlige og menneskeskabte risici, herunder af tværsektoriel eller grænseoverskridende karakter, ulykker, naturkatastrofer, folkesundhedskriser og hybride trusler eller andre antagonistiske trusler, herunder terrorhandlinger som fastsat i Europa-Parlamentets og Rådets direktiv (EU) 2017/541 (32).
2. Ved foretagelse af medlemsstatsrisikovurderinger tager medlemsstaterne mindst hensyn til følgende:
a) |
den generelle risikovurdering, som foretages i henhold til artikel 6, stk. 1, i afgørelse nr. 1313/2013/EU |
b) |
andre relevante risikovurderinger, der foretages i overensstemmelse med kravene i de relevante sektorspecifikke EU-retsakter, herunder Europa-Parlamentets og Rådets forordning (EU) 2017/1938 (33) og (EU) 2019/941 (34) og Europa-Parlamentets og Rådets direktiv 2007/60/EF (35) og 2012/18/EU (36) |
c) |
de relevante risici som følge af omfanget af afhængighed mellem de sektorer, der er anført i bilaget, herunder som følge af omfanget af afhængighed af enheder beliggende i andre medlemsstater og tredjelande, og den indvirkning, som en betydelig forstyrrelse i en sektor kan have på andre sektorer, herunder eventuelle betydelige risici for borgerne og det indre marked |
d) |
eventuelle oplysninger om hændelser, der er underrettet om i overensstemmelse med artikel 15. |
Med henblik på første afsnit, litra c), samarbejder medlemsstaterne med andre medlemsstaters og tredjelandes kompetente myndigheder, alt efter hvad der er relevant.
3. Medlemsstaterne stiller, hvor det er relevant gennem deres centrale kontaktpunkter, de relevante elementer i medlemsstatsrisikovurderinger til rådighed for de kritiske enheder, som de har identificeret i overensstemmelse med artikel 6. Medlemsstaterne sikrer, at de oplysninger, der gives til de kritiske enheder, bistår dem med at foretage deres risikovurdering i henhold til artikel 12 og træffe foranstaltninger for at sikre deres modstandsdygtighed i henhold til artikel 13.
4. Inden for tre måneder efter at have foretaget en medlemsstatsrisikovurdering meddeler en medlemsstat Kommissionen relevante oplysninger om risikotyperne identificeret som følge af, og resultaterne af, denne medlemsstatsrisikovurdering pr. sektor og delsektor anført i bilaget.
5. Kommissionen udarbejder i samarbejde med medlemsstaterne en frivillig fælles rapporteringsmodel med henblik på overholdelse af stk. 4.
Artikel 6
Identifikation af kritiske enheder
1. Senest den 17. juli 2026 identificerer medlemsstaterne de kritiske enheder for sektorerne og delsektorerne anført i bilaget.
2. Når en medlemsstat identificerer kritiske enheder i henhold til stk. 1, tager den hensyn til resultaterne af dens medlemsstatsrisikovurdering og dens strategi og anvender alle følgende kriterier:
a) |
enheden leverer en eller flere væsentlige tjenester |
b) |
enheden opererer og dens kritiske infrastruktur er beliggende på denne medlemsstats område og |
c) |
en hændelse vil have betydelige forstyrrende virkninger som fastslået i overensstemmelse med artikel 7, stk. 1, på enhedens levering af en eller flere væsentlige tjenester eller på leveringen af andre væsentlige tjenester i sektorerne anført i bilaget, som er afhængige af denne eller disse væsentlige tjenester. |
3. Hver medlemsstat opstiller en liste over de kritiske enheder, der er identificeret i henhold til stk. 2, og sikrer, at disse kritiske enheder inden for en måned efter denne identifikation underrettes om, at de er blevet identificeret som kritiske enheder. Medlemsstaterne orienterer disse kritiske enheder om deres forpligtelser i henhold til kapitel III og IV og om, fra hvilken dato disse forpligtelser finder anvendelse på dem, uden at det berører artikel 8. Medlemsstaterne orienterer kritiske enheder i sektorerne i punkt 3, 4 og 8 i tabellen i bilaget, om, at de ikke har nogen forpligtelser i henhold til kapitel III og IV, medmindre andet er fastsat i nationale foranstaltninger.
For de berørte kritiske enheder finder kapitel III anvendelse fra ti måneder efter datoen for underretningen omhandlet i dette stykkes første afsnit.
4. Medlemsstaterne sikrer, at deres kompetente myndigheder i henhold til dette direktiv underretter de kompetente myndigheder i henhold til direktiv (EU) 2022/2555, om identiteten af de kritiske enheder, som de har identificeret i henhold til denne artikel, inden for en måned efter denne identifikation. Af underretningen skal det, hvor det er relevant, fremgå, at de pågældende kritiske enheder er enheder i sektorerne i punkt 3, 4 og 8 i tabellen i bilaget til nærværende direktiv, og ikke har nogen forpligtelser i henhold til nærværende direktivs kapitel III og IV.
5. Medlemsstaterne gennemgår, hvor det er nødvendigt og under alle omstændigheder mindst hvert fjerde år, listen over identificerede kritiske enheder omhandlet i stk. 3 og ajourfører, hvor det er relevant, denne. Hvis disse ajourføringer fører til identifikation af yderligere kritiske enheder, finder stk. 3 og 4 anvendelse for de yderligere kritiske enheder. Medlemsstaterne sikrer desuden, at enheder, der ikke længere identificeres som kritiske enheder som følge af en sådan ajourføring, rettidigt underrettes herom og om, at de ikke længere er omfattet af forpligtelserne i henhold til kapitel III fra datoen for modtagelsen af denne orientering.
6. Kommissionen udarbejder i samarbejde med medlemsstaterne henstillinger og ikkebindende retningslinjer for at bistå medlemsstaterne med at identificere kritiske enheder.
Artikel 7
Betydelig forstyrrende virkning
1. Ved fastlæggelsen af betydningen af en forstyrrende virkning som omhandlet i artikel 6, stk. 2, litra c), skal medlemsstaterne tage hensyn til følgende kriterier:
a) |
antal brugere, der er afhængige af den væsentlige tjeneste, som udbydes af den berørte enhed |
b) |
omfanget af andre i bilaget anførte sektorers og delsektorers afhængighed af den pågældende væsentlige tjeneste |
c) |
den indvirkning, som hændelser kunne have med hensyn til omfang og varighed på økonomiske og samfundsmæssige aktiviteter, miljøet, den offentlige sikkerhed eller befolkningens sundhed |
d) |
enhedens markedsandel på markedet for den berørte væsentlige tjeneste eller de berørte væsentlige tjenester |
e) |
det geografiske område, der kunne blive berørt af en hændelse, herunder eventuel grænseoverskridende indvirkning, under hensyntagen til den sårbarhed, som er forbundet med den grad af afsondrethed, der kendetegner visse typer af geografiske områder, såsom øregioner, afsidesliggende regioner eller bjergområder |
f) |
enhedens betydning med hensyn til at opretholde et tilstrækkeligt niveau for den væsentlige tjeneste under hensyntagen til tilgængelighed af alternative måder at levere denne væsentlige tjeneste på. |
2. Efter identifikationen af de kritiske enheder i henhold til artikel 6, stk. 1, sender hver medlemsstat uden unødigt ophold Kommissionen følgende oplysninger:
a) |
en liste over væsentlige tjenester i pågældende medlemsstat, hvis der er yderligere væsentlige tjenester sammenlignet med den i artikel 5, stk. 1, omhandlede liste over væsentlige tjenester |
b) |
antallet af identificerede kritiske enheder for hver sektor og delsektor anført i bilaget og for hver væsentlig tjeneste |
c) |
eventuelle tærskler, der anvendes til at specificere et eller flere af kriterierne i stk. 1. |
Tærskler som omhandlet i første afsnits litra c) kan forelægges som de er eller i aggregeret form.
Medlemsstaterne sender efterfølgende de i første afsnit omhandlede oplysninger, når det er nødvendigt, og mindst hvert fjerde år.
3. Kommissionen vedtager efter høring af Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19 ikkebindende retningslinjer for at lette anvendelsen af kriterierne omhandlet i denne artikels stk. 1 under hensyntagen til de i denne artikels stk. 2 omhandlede oplysninger.
Artikel 8
Kritiske enheder i sektorerne bankvæsen, finansiel markedsinfrastruktur og digital infrastruktur
Medlemsstaterne sikrer, at artikel 11 og kapitel III, IV og VI ikke finder anvendelse på kritiske enheder, som de har identificeret i sektorerne i punkt 3, 4 og 8 i tabellen i bilaget. Medlemsstaterne kan vedtage eller opretholde bestemmelser i national ret for at opnå et højere niveau for disse kritiske enheders modstandsdygtighed, forudsat at disse bestemmelser er i overensstemmelse med gældende EU-ret.
Artikel 9
Kompetente myndigheder og centralt kontaktpunkt
1. Hver medlemsstat udpeger eller opretter en eller flere kompetente myndigheder, der er ansvarlige for korrekt anvendelse og, hvor det er nødvendigt, håndhævelse af reglerne fastsat i dette direktiv på nationalt plan.
For så vidt angår kritiske enheder i sektorerne i punkt 3 og 4 i tabellen i dette direktivs bilag, skal de kompetente myndigheder i princippet være de kompetente myndigheder, som er omhandlet i artikel 46 i forordning (EU) 2022/2554. For så vidt angår de kritiske enheder i den sektor, der er anført i punkt 8 i tabellen i bilaget til nærværende direktiv, skal de kompetente myndigheder i princippet være de kompetente myndigheder i henhold direktiv (EU) 2022/2555. Medlemsstaterne kan udpege en anden kompetent myndighed for sektorerne i punkt 3, 4 og 8 i tabellen i bilaget til nærværende direktiv i overensstemmelse med eksisterende nationale rammer.
Hvor medlemsstaterne udpeger eller opretter mere end én kompetent myndighed, skal de klart angive hver berørt myndigheds opgaver og sikre, at de samarbejder effektivt om at udføre deres opgaver i henhold til dette direktiv, herunder med hensyn til udpegelsen af et centralt kontaktpunkt og dets aktiviteter, der er omhandlet i stk. 2.
2. Hver medlemsstat udpeger eller opretter et centralt kontaktpunkt til at varetage en forbindelsesfunktion med henblik på at sikre grænseoverskridende samarbejde med de andre medlemsstaters centrale kontaktpunkter og Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19 (»centralt kontaktpunkt«). Hvis det er relevant, udpeger en medlemsstat sit centrale kontaktpunkt inden for en kompetent myndighed. Hvis det er relevant, kan en medlemsstat bestemme, at dens centrale kontaktpunkt også udøver en forbindelsesfunktion med Kommissionen og sikrer samarbejde med tredjelande.
3. Senest den 17. juli 2028 og derefter hvert andet år forelægger de centrale kontaktpunkter en sammenfattende rapport for Kommissionen og for Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19 om de underretninger, de har modtaget, herunder antallet af underretninger, arten af de hændelser, der er underrettet om, og de tiltag, der er taget i overensstemmelse med artikel 15, stk. 3.
Kommissionen udarbejder i samarbejde med Gruppen for Kritiske Enheders Modstandsdygtighed en fælles rapporteringsmodel. De kompetente myndigheder kan anvende denne fælles rapporteringsmodel på frivillig basis med henblik på at forelægge sammenfattende rapporter som omhandlet i første afsnit.
4. Hver medlemsstat sikrer, at dens kompetente myndighed og dets centrale kontaktpunkt har beføjelser og tilstrækkelige finansielle, menneskelige og tekniske ressourcer til på en virkningsfuld og effektiv måde at kunne udføre de opgaver, som de har fået pålagt.
5. Hver medlemsstat sikrer, at dens kompetente myndighed, når det er hensigtsmæssigt og i overensstemmelse med EU-retten og national ret, hører og samarbejder med andre relevante nationale myndigheder, herunder myndigheder med ansvar for civilbeskyttelse, retshåndhævelse og beskyttelse af personoplysninger, samt med kritiske enheder og med relevante interesserede parter.
6. Hver medlemsstat sikrer, at dens kompetente myndighed i henhold til dette direktiv samarbejder og udveksler oplysninger med kompetente myndigheder i henhold til direktiv (EU) 2022/2555 om cybersikkerhedsrisici, cybertrusler og cyberhændelser og ikkecyberrisici, -trusler og -hændelser, som påvirker kritiske enheder, herunder med hensyn til relevante foranstaltninger, der træffes af dens kompetente myndighed og kompetente myndigheder i henhold til direktiv (EU) 2022/2555.
7. Hver medlemsstat underretter Kommissionen om identiteten af den kompetente myndighed og det centrale kontaktpunkt inden for tre måneder efter udpegelsen eller oprettelsen af disse, samt om deres opgaver og ansvarsområder i henhold til dette direktiv, deres kontaktoplysninger og eventuelle efterfølgende ændringer heraf. Medlemsstaterne underretter Kommissionen, hvis de beslutter at udpege andre myndigheder end dem, der er omhandlet i stk. 1, andet afsnit, som de kompetente myndigheder for så vidt angår de kritiske enheder i sektorerne i punkt 3, 4 og 8 i tabellen i bilaget. Hver medlemsstat offentliggør identiteten af den kompetente myndighed og det centrale kontaktpunkt.
8. Kommissionen gør en liste over de centrale kontaktpunkter offentligt tilgængelig.
Artikel 10
Medlemsstaternes støtte til kritiske enheder
1. Medlemsstaterne støtter kritiske enheder med at styrke deres modstandsdygtighed. Denne støtte kan omfatte udvikling af vejledningsmaterialer og -metoder, støtte til tilrettelæggelse af øvelser for at afprøve deres modstandsdygtighed, og rådgivning og uddannelse af personale i kritiske enheder. Uden at dette berører gældende statsstøtteregler kan medlemsstaterne stille finansielle ressourcer til rådighed for kritiske enheder, hvor det er nødvendigt og begrundet i mål af samfundsmæssig interesse.
2. Hver medlemsstat sikrer, at dens kompetente myndighed samarbejder og udveksler oplysninger og god praksis med kritiske enheder i de sektorer, der er anført i bilaget.
3. Medlemsstaterne letter frivillig udveksling af oplysninger mellem kritiske enheder vedrørende spørgsmål, der er omfattet af dette direktiv, i overensstemmelse med EU-retten og national ret om navnlig klassificerede og følsomme informationer, konkurrence og beskyttelse af personoplysninger.
Artikel 11
Samarbejde mellem medlemsstaterne
1. Når det er relevant, konsulterer medlemsstaterne hinanden vedrørende kritiske enheder med henblik på at sikre en konsekvent anvendelse af dette direktiv. Sådanne konsultationer skal navnlig finde sted vedrørende kritiske enheder, der:
a) |
anvender kritisk infrastruktur, som er fysisk sammenkoblet mellem to eller flere medlemsstater |
b) |
er en del af selskabsstrukturer, som er sammenkoblet eller forbundet med kritiske enheder i en anden medlemsstat |
c) |
er blevet identificeret som kritiske enheder i en medlemsstat, og som leverer væsentlige tjenester til eller i andre medlemsstater. |
2. De i stk. 1 omhandlede konsultationer tager sigte på at styrke kritiske enheders modstandsdygtighed og, hvor det er muligt, mindske disses administrative byrde.
KAPITEL III
KRITISKE ENHEDERS MODSTANDSDYGTIGHED
Artikel 12
Kritiske enheders risikovurdering
1. Uanset fristen i artikel 6, stk. 3, andet afsnit, sikrer medlemsstaterne, at kritiske enheder inden for ni måneder efter modtagelsen af den i artikel 6, stk. 3, omhandlede underretning, når det er nødvendigt efterfølgende, og mindst hvert fjerde år, på grundlag af medlemsstatsrisikovurderinger og andre relevante informationskilder, foretager en risikovurdering for at vurdere alle relevante risici, der kunne forstyrre leveringen af deres væsentlige tjenester (»kritiske enheders risikovurderinger«).
2. Kritiske enheders risikovurderinger skal tage højde for alle relevante naturlige og menneskeskabte risici, der kunne føre til en hændelse, herunder af tværsektoriel eller grænseoverskridende karakter, ulykker, naturkatastrofer, folkesundhedskriser og hybride trusler og andre antagonistiske trusler, herunder terrorhandlinger som fastsat i direktiv (EU) 2017/541. En kritisk enheds risikovurdering skal tage hensyn til det omfang andre sektorer anført i bilaget afhænger af den væsentlige tjeneste, der leveres af den kritiske enhed, og det omfang den kritiske enheds afhænger af væsentlige tjenester, der leveres af andre enheder i sådanne andre sektorer, herunder i nabomedlemsstater og tredjelande hvor det er relevant.
Hvor en kritisk enhed har foretaget andre risikovurderinger eller udarbejdet dokumenter i henhold til forpligtelser i andre retsakter, der er relevante for dens risikovurdering, kan den anvende disse vurderinger og dokumenter til at opfylde de krav, der er fastsat i denne artikel. Ved udøvelsen af sine tilsynsfunktioner kan den kompetente myndighed erklære, at en kritisk enheds eksisterende risikovurdering, som behandler de risici og det omfang af afhængighed, der er omhandlet i dette stykkes første afsnit, helt eller delvist opfylder forpligtelserne i henhold til denne artikel.
Artikel 13
Kritiske enheders modstandsdygtighedsforanstaltninger
1. Medlemsstaterne sikrer, at kritiske enheder træffer passende og forholdsmæssige tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger for at sikre deres modstandsdygtighed på grundlag af de relevante oplysninger, som medlemsstaterne har givet om medlemsstatsrisikovurderingen, og af resultaterne af de kritiske enheders risikovurderinger, herunder foranstaltninger, der er nødvendige for at:
a) |
forhindre hændelser i at indtræffe under behørig hensyntagen til katastroferisikoreduktions- og klimatilpasningsforanstaltninger |
b) |
sikre tilstrækkelig fysisk beskyttelse af deres lokaler og kritiske infrastruktur under behørig hensyntagen til f.eks. hegn, barrierer, værktøjer og rutiner til overvågning af perimetre, detektionsudstyr og adgangskontrol |
c) |
reagere på, modstå og afbøde følgerne af hændelser under behørig hensyntagen til gennemførelsen af risiko- og krisestyringsprocedurer og -protokoller samt varslingsrutiner |
d) |
sikre genopretning efter hændelser under behørig hensyntagen til forretningskontinuitetsforanstaltninger og identifikation af alternative forsyningskæder for at genoptage leveringen af væsentlige tjenester |
e) |
sikre passende medarbejdersikkerhedsstyring under behørig hensyntagen til foranstaltninger såsom fastsættelse af kategorier af personale, der udøver kritiske funktioner, fastlæggelse af adgangsrettigheder til lokaler, kritisk infrastruktur og følsomme oplysninger, fastsættelse af procedurer for baggrundskontrol i overensstemmelse med artikel 14 og udpegelse af kategorier af personer, som er forpligtet til at gennemgå sådanne baggrundskontrol, samt fastlæggelse af passende uddannelseskrav og kvalifikationer |
f) |
øge bevidstheden blandt det relevante personale om de foranstaltninger, der er omhandlet i litra a)-e), under behørig hensyntagen til uddannelseskurser, informationsmateriale og øvelser. |
Med henblik på første afsnits litra e) sikrer medlemsstaterne, at kritiske enheder tager hensyn til eksterne tjenesteudbyderes personale, når der fastsættes kategorier af personale, som udøver kritiske funktioner.
2. Medlemsstaterne sikrer, at kritiske enheder har indført og anvender en plan for modstandsdygtighed eller et eller flere tilsvarende dokumenter, der beskriver foranstaltningerne truffet i henhold til stk. 1. Hvis kritiske enheder har udarbejdet dokumenter eller truffet foranstaltninger i henhold til forpligtelser i andre retsakter, der er relevante for foranstaltningerne omhandlet i stk. 1, kan de anvende disse dokumenter og foranstaltninger til at opfylde de krav, der er fastsat i denne artikel. Den kompetente myndighed kan ved udøvelsen af sine tilsynsfunktioner erklære, at en kritisk enheds eksisterende modstandsdygtighedsstyrkende foranstaltninger, der på en passende og forholdsmæssig måde tager hånd om de tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, som er omhandlet i stk. 1, helt eller delvist opfylder forpligtelserne i henhold til denne artikel.
3. Medlemsstaterne sikrer, at hver kritisk enhed udpeger en forbindelsesofficer eller tilsvarende som kontaktpunkt for de kompetente myndigheder.
4. Efter anmodning fra en medlemsstat, der har identificeret en kritisk enhed, og med samtykke fra den berørte kritiske enhed tilrettelægger Kommissionen rådgivende missioner i overensstemmelse med de ordninger, som er fastsat i artikel 18, stk. 6, 8 og 9, for at rådgive den kritiske enhed om opfyldelsen af dens forpligtelser i henhold til kapitel III. Den rådgivende mission aflægger rapport til Kommissionen, den pågældende medlemsstat og den berørte kritiske enhed om sine resultater.
5. Kommissionen vedtager efter høring af Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19 ikkebindende retningslinjer for nærmere at præcisere de tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, der kan træffes i henhold til denne artikels stk. 1.
6. Kommissionen vedtager gennemførelsesretsakter med henblik på at fastsætte de nødvendige tekniske og metodiske specifikationer vedrørende anvendelsen af de i denne artikels stk. 1 omhandlede foranstaltninger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 24, stk. 2.
Artikel 14
Baggrundskontrol
1. Medlemsstaterne angiver, på hvilke betingelser en kritisk enhed i behørigt begrundede tilfælde og under hensyntagen til medlemsstatsrisikovurderingen har tilladelse til at indgive anmodninger om baggrundskontrol af personer, der:
a) |
varetager følsomme opgaver i eller til fordel for en kritisk enhed, navnlig vedrørende den kritiske enheds modstandsdygtighed |
b) |
er bemyndiget til at få direkte adgang eller fjernadgang til en kritisk enheds lokaler, oplysninger eller kontrolsystemer, herunder i forbindelse med den kritiske enheds sikkerhed |
c) |
overvejes ansat i stillinger, der hører under kriterierne i litra a) eller b). |
2. Anmodningers som omhandlet i denne artikels stk. 1 vurderes inden for en rimelig frist og behandles i overensstemmelse med national ret og nationale procedurer samt relevant og gældende EU-ret, herunder forordning (EU) 2016/679 og Europa-Parlamentets og Rådets direktiv (EU) 2016/680 (37). Baggrundskontrol skal være forholdsmæssig og strengt begrænset til, hvad der er nødvendigt. Den foretages udelukkende med henblik på at vurdere en potentiel sikkerhedsrisiko for den berørte kritiske enhed.
3. En baggrundskontrol som omhandlet i stk. 1 skal mindst:
a) |
bekræfte identiteten af den person, der er genstand for baggrundskontrollen |
b) |
kontrollere strafferegistrene for den pågældende person for så vidt angår lovovertrædelser, der ville være relevante for en bestemt stilling. |
Når medlemsstater foretager baggrundskontrol, skal de anvende det europæiske informationssystem vedrørende strafferegistre i overensstemmelse med procedurerne i rammeafgørelse 2009/315/RIA og, hvor det er relevant og finder anvendelse, forordning (EU) 2019/816 med henblik på indhentning af oplysninger fra andre medlemsstaters strafferegistre. De centrale myndigheder omhandlet i artikel 3, stk. 1, i rammeafgørelse 2009/315/RIA og i artikel 3, nr. 5), i forordning (EU) 2019/816, besvarer anmodninger om sådanne oplysninger inden for ti arbejdsdage efter datoen for modtagelsen af anmodningen i overensstemmelse med artikel 8, stk. 1, i rammeafgørelse 2009/315/RIA.
Artikel 15
Underretning om hændelser
1. Medlemsstaterne sikrer, at kritiske enheder uden unødigt ophold underretter den kompetente myndighed om hændelser, der i betydelig grad forstyrrer eller har potentiale til i betydelig grad at forstyrre leveringen af væsentlige tjenester. Medlemsstaterne sikrer, at kritiske enheder, med mindre det operationelt ikke er muligt, indgiver en første underretning senest 24 timer, efter at være blevet opmærksom på en hændelse, efterfulgt, hvor det er relevant, af en detaljeret rapport senest en måned derefter. Med henblik på at fastslå en forstyrrelses omfang tages navnlig følgende kriterier i betragtning:
a) |
antallet og andelen af brugere, der er berørt af forstyrrelsen |
b) |
forstyrrelsens varigheden |
c) |
det geografiske område, der er berørt af forstyrrelsen, idet der tages hensyn til, om det er et geografisk isoleret område. |
Hvor en hændelse har eller kunne have betydelig indvirkning på kontinuiteten i leveringen af væsentlige tjenester til eller i seks eller flere medlemsstater, underretter de kompetente myndigheder i de medlemsstater, der er berørt af hændelsen, Kommissionen om en denne hændelse.
2. Underretninger som omhandlet i stk. 1, første afsnit, skal indeholde alle tilgængelige oplysninger, der er nødvendige for, at den kompetente myndighed kan forstå hændelsens art, årsag og mulige konsekvenser, herunder alle tilgængelige oplysninger, der er nødvendige for at fastslå hændelsens eventuelle grænseoverskridende indvirkning. Sådanne underretninger medfører ikke et øget ansvar for kritiske enheder.
3. På grundlag af oplysningerne leveret af en kritisk enhed i en underretning som omhandlet i stk. 1 orienterer den relevante kompetente myndighed via det centrale kontaktpunkt andre berørte medlemsstaters centrale kontaktpunkter, hvis hændelsen har eller kunne have betydelig indvirkning på kritiske enheder og kontinuiteten i leveringen af væsentlige tjenester til eller i en eller flere andre medlemsstater.
Centrale kontaktpunkter, der fremsender og modtager oplysninger i medfør af første afsnit, behandler i overensstemmelse med EU-retten eller national ret disse oplysninger på en måde, der respekterer deres fortrolighed og beskytter den berørte kritiske enheds sikkerhed og kommercielle interesser.
4. Så snart som muligt efter modtagelse af en underretning som omhandlet i stk. 1 giver den kompetente myndighed den berørte kritiske enhed relevante opfølgende oplysninger, herunder oplysninger, som kunne understøtte en effektiv reaktion fra denne kritiske enhed på den pågældende hændelse. Medlemsstaterne orienterer offentligheden, hvor de vurderer, at det vil være i offentlighedens interesse at gøre det.
Artikel 16
Standarder
For at fremme en konvergerende gennemførelse af dette direktiv, og hvor det er hensigtsmæssigt og uden at pålægge, eller diskriminere til fordel for, anvendelse af en bestemt type teknologi, tilskynder medlemsstaterne til anvendelsen af europæiske og internationale standarder og tekniske specifikationer af relevans for sikkerheds- og modstandsdygtighedsforanstaltninger, som finder anvendelse på kritiske enheder.
KAPITEL IV
KRITISKE ENHEDER AF SÆRLIG EUROPÆISK BETYDNING
Artikel 17
Identifikation af kritiske enheder af særlig europæisk betydning
1. En enhed betragtes som en kritisk enhed af særlig europæisk betydning, hvor den:
a) |
er blevet identificeret som en kritisk enhed i henhold til artikel 6, stk. 1 |
b) |
leverer de samme eller lignende væsentlige tjenester til eller i seks eller flere medlemsstater og |
c) |
er blevet underrettet i henhold til nærværende artikels stk. 3. |
2. Medlemsstaterne sikrer, at en kritisk enhed efter den i artikel 6, stk. 3, omhandlede underretning oplyser sin kompetente myndighed, hvis den leverer væsentlige tjenester til eller i seks eller flere medlemsstater. I så fald sikrer medlemsstaterne, at den kritiske enhed oplyser sin kompetente myndighed om de væsentlige tjenester, den leverer til eller i disse medlemsstater, og om de medlemsstater hvortil eller hvori den leverer sådanne væsentlige tjenester. Medlemsstaterne underretter uden unødigt ophold Kommissionen om identiteten af sådanne kritiske enheder samt om de oplysninger de leverer i henhold til nærværende stykke.
Kommissionen konsulterer den kompetente myndighed i den medlemsstat, der identificerede en kritisk enhed som omhandlet i første afsnit, andre berørte medlemsstaters kompetente myndigheder og den pågældende kritiske enhed. Under disse konsultationer oplyser hver medlemsstat Kommissionen, såfremt den finder, at de tjenester, som leveres til denne medlemsstat af den kritiske enhed, er væsentlige tjenester.
3. Hvis Kommissionen på grundlag af de i denne artikels stk. 2 omhandlede konsultationer konstaterer, at den pågældende kritiske enhed leverer væsentlige tjenester til eller i seks eller flere medlemsstater, underretter Kommissionen den pågældende kritiske enhed gennem dennes kompetente myndighed om, at den anses for at være en kritisk enhed af særlig europæisk betydning, og oplyser denne kritiske enhed om dens forpligtelser i henhold til dette kapitel og om, fra hvilken dato disse forpligtelser finder anvendelse på den. Når Kommissionen har oplyst den kompetente myndighed om sin beslutning om at betragte en kritisk enhed som en kritisk enhed af særlig europæisk betydning, videresender den kompetente myndighed uden unødigt ophold denne underretning til den pågældende kritiske enhed.
4. Dette kapitel finder anvendelse på den berørte kritiske enhed af særlig europæisk betydning fra datoen for modtagelse af den underretning, der er omhandlet i denne artikels stk. 3.
Artikel 18
Rådgivende missioner
1. Efter anmodning fra en medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, tilrettelægger Kommissionen en rådgivende mission for at vurdere de foranstaltninger, som denne kritiske enhed har truffet for at opfylde sine forpligtelser i henhold til kapitel III.
2. På eget initiativ eller efter anmodning fra en eller flere medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, og forudsat at den medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, giver sit samtykke dertil, tilrettelægger Kommissionen en rådgivende mission som omhandlet i nærværende artikels stk. 1.
3. Efter en begrundet anmodning fra Kommissionen eller en eller flere medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, giver den medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, Kommissionen følgende:
a) |
de relevante dele af den kritiske enheds risikovurdering |
b) |
en oversigt over relevante foranstaltninger, der er truffet i overensstemmelse med artikel 13 |
c) |
tilsyns- eller håndhævelsestiltag, herunder vurderinger af overholdelse eller udstedte påbud, som den kompetente myndighed har taget i henhold til artikel 21 og 22 med hensyn til den pågældende kritiske enhed. |
4. Den rådgivende mission aflægger inden for tre måneder efter afslutningen af den rådgivende mission rapport om sine resultater til Kommissionen, til den medlemsstat, der har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, til de medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, og til den pågældende kritiske enhed.
De medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, analyserer den i første afsnit omhandlede rapport og rådgiver, hvor det er nødvendigt, Kommissionen om, hvorvidt den kritiske enhed af særlig europæisk betydning opfylder sine forpligtelser i henhold til kapitel III, og, hvis det er relevant, hvilke foranstaltninger der kunne træffes for at forbedre den pågældende kritiske enheds modstandsdygtighed.
Kommissionen meddeler på grundlag af den rådgivning, der er omhandlet i dette stykkes andet afsnit, den medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, de medlemsstater, hvortil og hvori den væsentlige tjeneste leveres, og den pågældende kritiske enhed en udtalelse om, hvorvidt den pågældende kritiske enhed opfylder sine forpligtelser i henhold til kapitel III, og, hvis det er relevant, hvilke foranstaltninger der kunne træffes for at forbedre den pågældende kritiske enheds modstandsdygtighed.
Den medlemsstat, der har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, sikrer, at dens kompetente myndighed og den berørte kritiske enhed tager hensyn til den i dette stykkes tredje afsnit omhandlede udtalelse, og giver Kommissionen og de medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, oplysninger om de foranstaltninger, som den har truffet i medfør af denne udtalelse.
5. Hver rådgivende mission består af eksperter fra den medlemsstat, hvor den kritiske enhed af særlig europæisk betydning er beliggende, eksperter fra de medlemsstater, hvortil eller hvori den væsentlige tjeneste leveres, og repræsentanter for Kommissionen. Disse medlemsstater kan foreslå kandidater til at deltage i en rådgivende mission. Kommissionen udvælger og udnævner efter en konsultation med den medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1, medlemmerne af hver rådgivende mission i overensstemmelse med deres faglige kapacitet og sikrer, hvor det er muligt, en geografisk afbalanceret repræsentation fra alle disse medlemsstater. Når det er nødvendigt, skal medlemmerne af den rådgivende mission have gyldig og passende sikkerhedsgodkendelse. Kommissionen afholder omkostningerne i forbindelse med deltagelse i rådgivende missioner.
Kommissionen tilrettelægger programmet for hver rådgivende mission i samråd med medlemmerne af den pågældende rådgivende mission og efter aftale med den medlemsstat, som har identificeret en kritisk enhed af særlig europæisk betydning som en kritisk enhed i henhold til artikel 6, stk. 1.
6. Kommissionen vedtager en gennemførelsesretsakt med regler for de proceduremæssige ordninger for anmodninger om tilrettelæggelse af rådgivende missioner, for behandling af sådanne anmodninger, for gennemførelse af og rapporter om rådgivende missioner og for behandling af meddelelsen om Kommissionens udtalelse omhandlet i denne artikels stk. 4, tredje afsnit, og om de foranstaltninger, der er truffet, under behørig hensyntagen til de pågældende oplysningers fortrolighed og kommercielle følsomhed. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 24, stk. 2.
7. Medlemsstaterne sikrer, at kritiske enheder af særlig europæisk betydning giver rådgivende missioner adgang til oplysninger, systemer og faciliteter, der vedrører levering af deres væsentlige tjenester, og som er nødvendige for at gennemføre den pågældende rådgivende mission.
8. Rådgivende missioner gennemføres i overensstemmelse med gældende national ret i den medlemsstat, hvor de finder sted, idet den pågældende medlemsstats ansvar for national sikkerhed og beskyttelse af sine sikkerhedsmæssige interesser respekteres.
9. Ved tilrettelæggelsen af rådgivende missioner tager Kommissionen hensyn til rapporter om eventuelle inspektioner foretaget af Kommissionen i henhold til forordning (EF) nr. 725/2004 og (EF) nr. 300/2008 og til rapporter om enhver overvågning, som Kommissionen har foretaget i henhold til direktiv 2005/65/EF vedrørende den berørte kritiske enhed.
10. Kommissionen orienterer Gruppen for Kritiske Enheders Modstandsdygtighed omhandlet i artikel 19, når der tilrettelægges en rådgivende mission. Den medlemsstat, hvor en rådgivende mission har fundet sted, og Kommissionen orienterer også Gruppen for Kritiske Enheders Modstandsdygtighed om den rådgivende missions vigtigste resultater og de indhøstede erfaringer med henblik på at fremme gensidig læring.
KAPITEL V
SAMARBEJDE OG RAPPORTERING
Artikel 19
Gruppen for Kritiske Enheders Modstandsdygtighed
1. Der nedsættes hermed en Gruppe for Kritiske Enheders Modstandsdygtighed. Gruppen for Kritiske Enheders Modstandsdygtighed støtter Kommissionen og letter samarbejdet mellem medlemsstaterne og udvekslingen af oplysninger om spørgsmål vedrørende dette direktiv.
2. Gruppen for Kritiske Enheders Modstandsdygtighed består af repræsentanter for medlemsstaterne og Kommissionen, hvor det er hensigtsmæssigt med en sikkerhedsgodkendelse. Hvor det er relevant for udførelsen af Gruppen for Kritiske Enheders Modstandsdygtigheds opgaver, kan den indbyde relevante interessenter til at deltage i sit arbejde. Hvis Europa-Parlamentet anmoder herom, kan Kommissionen indbyde eksperter fra Europa-Parlamentet til at deltage i møder i Gruppen for Kritiske Enheders Modstandsdygtighed.
Kommissionens repræsentant er formand for Gruppen for Kritiske Enheders Modstandsdygtighed.
3. Gruppen for Kritiske Enheders Modstandsdygtighed har følgende opgaver:
a) |
at støtte Kommissionen med at bistå medlemsstaterne med at styrke deres kapacitet til at bidrage til at sikre kritiske enheders modstandsdygtighed i overensstemmelse med dette direktiv |
b) |
at analysere strategierne med henblik på at identificere bedste praksis med hensyn til strategierne |
c) |
at lette udveksling af bedste praksis med hensyn til medlemsstaternes identifikation af kritiske enheder i henhold til artikel 6, stk. 1, herunder vedrørende grænseoverskridende og tværsektoriel afhængighed og med hensyn til risici og hændelser |
d) |
hvis det er relevant, at bidrage med hensyn til spørgsmål vedrørende dette direktiv til dokumenter om modstandsdygtighed på EU-plan |
e) |
at bidrage til udarbejdelsen af de i artikel 7, stk. 3, og artikel 13, stk. 5, omhandlede retningslinjer og efter anmodning eventuelle delegerede retsakter eller gennemførelsesretsakter vedtaget i henhold til dette direktiv |
f) |
at analysere de i artikel 9, stk. 3, omhandlede sammenfattende rapporter med henblik på at fremme udveksling af bedste praksis om de tiltag, der er taget i overensstemmelse med artikel 15, stk. 3 |
g) |
at udveksle bedste praksis vedrørende underretning om hændelser omhandlet i artikel 15 |
h) |
at drøfte de sammenfattende rapporter om rådgivende missioner og de indhøstede erfaringer i overensstemmelse med artikel 18, stk. 10 |
i) |
at udveksle oplysninger og bedste praksis om innovation, forskning og udvikling vedrørende kritiske enheders modstandsdygtighed i overensstemmelse med dette direktiv |
j) |
hvis det er relevant, at udveksle oplysninger om spørgsmål vedrørende kritiske enheders modstandsdygtighed med relevante EU-institutioner, -organer, -kontorer og -agenturer. |
4. Senest den 17. januar 2025 og derefter hvert andet år udarbejder Gruppen for Kritiske Enheders Modstandsdygtighed et arbejdsprogram vedrørende tiltag, der skal iværksættes for at gennemføre dens mål og opgaver. Dette arbejdsprogram skal være i overensstemmelse med målene i dette direktiv.
5. Gruppen for Kritiske Enheders Modstandsdygtighed mødes regelmæssigt og under alle omstændigheder mindst én gang om året med den samarbejdsgruppe, der er nedsat i henhold til direktiv (EU) 2022/2555, for at fremme og lette samarbejde og udveksling af oplysninger.
6. Kommissionen kan vedtage gennemførelsesretsakter, hvori der fastlægges proceduremæssige ordninger, som er nødvendige for Gruppen for Kritiske Enheders Modstandsdygtigheds funktion, med respekt af artikel 1, stk. 4. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 24, stk. 2.
7. Kommissionen forelægger Gruppen for Kritiske Enheders Modstandsdygtighed en sammenfattende rapport om de oplysninger, som medlemsstaterne har givet i henhold til artikel 4, stk. 3, og artikel 5, stk. 4, senest den 17. januar 2027, når det er nødvendigt efterfølgende, og mindst hvert fjerde år.
Artikel 20
Støtte fra Kommissionen til kompetente myndigheder og kritiske enheder
1. Kommissionen støtter, hvor det er relevant, medlemsstaterne og kritiske enheder med at opfylde deres forpligtelser i henhold til dette direktiv. Kommissionen udarbejder en oversigt på EU-plan over grænseoverskridende og tværsektorielle risici ved levering af væsentlige tjenester, tilrettelægger de i artikel 13, stk. 4, og artikel 18 omhandlede rådgivende missioner og letter udveksling af oplysninger mellem medlemsstaterne og eksperter i hele Unionen.
2. Kommissionen supplerer medlemsstaternes aktiviteter som omhandlet i artikel 10 ved at udvikle bedste praksis, vejledningsmaterialer og –metoder, og grænseoverskridende uddannelsesaktiviteter og øvelser for at afprøve kritiske enheders modstandsdygtighed.
3. Kommissionen orienterer medlemsstaterne om de finansielle midler på EU-plan, der er til rådighed for medlemsstaterne til at styrke kritiske enheders modstandsdygtighed.
KAPITEL VI
TILSYN OG HÅNDHÆVELSE
Artikel 21
Tilsyn og håndhævelse
1. Med henblik på at vurdere, om de enheder, som medlemsstaterne har identificeret som kritiske enheder i henhold til artikel 6, stk. 1, opfylder forpligtelserne i dette direktiv, sikrer medlemsstaterne, at de kompetente myndigheder har beføjelser og midler til:
a) |
at foretage inspektioner på stedet af den kritiske infrastruktur og de lokaler, som den kritiske enhed anvender til at levere sine væsentlige tjenester, og eksternt tilsyn med de foranstaltninger, som kritiske enheder har truffet i overensstemmelse med artikel 13 |
b) |
at foretage eller kræve revision af kritiske enheder. |
2. Medlemsstaterne sikrer, at de kompetente myndigheder har beføjelser og midler til, hvor det er nødvendigt for udførelsen af deres opgaver i henhold til dette direktiv, at kræve, at enhederne i henhold til direktiv (EU) 2022/2555, som medlemsstaterne har identificeret som kritiske enheder i henhold til nærværende direktiv, inden for en rimelig tidsfrist, der fastsættes af disse myndigheder, giver:
a) |
de oplysninger, der er nødvendige for at vurdere, hvorvidt de foranstaltninger, der træffes af disse enheder for at sikre deres modstandsdygtighed, opfylder kravene i artikel 13 |
b) |
dokumentation for faktisk gennemførelse af disse foranstaltninger, herunder resultaterne af en revision foretaget af en uafhængig og kvalificeret revisor udvalgt af denne enhed og foretaget på dennes regning. |
Når der anmodes om disse oplysninger, angiver de kompetente myndigheder formålet med kravet og anfører, hvilke oplysninger der kræves.
3. Uden at det berører muligheden for at pålægge sanktioner i overensstemmelse med artikel 22, kan de kompetente myndigheder efter de i denne artikels stk. 1 omhandlede tilsynsforanstaltninger eller vurderingen af de i denne artikels stk. 2 omhandlede oplysninger pålægge de berørte kritiske enheder at træffe de nødvendige og forholdsmæssige foranstaltninger for at afhjælpe enhver konstateret overtrædelse af dette direktiv inden for en rimelig frist, der fastsættes af disse myndigheder, og give disse myndigheder oplysninger om de trufne foranstaltninger. Disse påbud skal navnlig tage hensyn til overtrædelsens grovhed.
4. Medlemsstaterne sikrer, at de i stk. 1, 2 og 3 omhandlede beføjelser kun kan udøves med forbehold af passende garantier. Disse garantier skal navnlig sikre, at en sådan udøvelse finder sted på en objektiv, gennemsigtig og forholdsmæssig måde, og at de berørte kritiske enheders rettigheder og legitime interesser såsom beskyttelse af forretningshemmeligheder garanteres behørigt, herunder deres ret til at blive hørt, til et forsvar og til effektive retsmidler ved en uafhængig domstol.
5. Medlemsstaterne sikrer, at en kompetent myndighed i henhold til dette direktiv, hvor den vurderer en kritisk enheds overholdelse i henhold til denne artikel, orienterer denne kompetente myndighed de kompetente myndigheder i de berørte medlemsstater i henhold til direktiv (EU) 2022/2555. Med henblik herpå sikrer medlemsstaterne, at kompetente myndigheder i henhold til nærværende direktiv kan anmode de kompetente myndigheder i henhold til direktiv (EU) 2022/2555 om at udøve deres tilsyns- og håndhævelsesbeføjelser over for en enhed i henhold til nævnte direktiv, som er identificeret som en kritisk enhed i henhold til nærværende direktiv. Med henblik herpå sikrer medlemsstaterne, at kompetente myndigheder i henhold til nærværende direktiv samarbejder og udveksler oplysninger med de kompetente myndigheder i henhold til direktiv (EU) 2022/2555.
Artikel 22
Sanktioner
Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af de nationale foranstaltninger, der er vedtaget i medfør af dette direktiv, og træffer alle nødvendige foranstaltninger for at sikre, at de gennemføres. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Medlemsstaterne giver senest den 17. oktober 2024 Kommissionen meddelelse om disse regler og foranstaltninger, og underretter den straks om alle senere ændringer, der berører dem.
KAPITEL VII
DELEGEREDE RETSAKTER OG GENNEMFØRELSESRETSAKTER
Artikel 23
Udøvelse af de delegerede beføjelser
1. Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2. Beføjelsen til at vedtage delegerede retsakter, jf. artikel 5, stk. 1, tillægges Kommissionen for en periode på fem år fra den 16. januar 2023.
3. Den i artikel 5, stk. 1, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i Den Europæiske Unions Tidende eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4. Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5. Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6. En delegeret retsakt vedtaget i henhold til artikel 5, stk. 1, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på to måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med to måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 24
Udvalgsprocedure
1. Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2. Når der henvises til dette stykke, finder artikel 5 i forordning (EU) nr. 182/2011 anvendelse.
KAPITEL VIII
AFSLUTTENDE BESTEMMELSER
Artikel 25
Rapportering og evaluering
Senest den 17. juli 2027 forelægger Kommissionen en rapport for Europa-Parlamentet og Rådet, hvori vurderes det omfang, hvori de enkelte medlemsstater har truffet de nødvendige foranstaltninger med henblik på at efterleve dette direktiv.
Kommissionen evaluerer regelmæssigt, hvorledes dette direktiv fungerer, og forelægger en rapport til Europa-Parlamentet og Rådet. Denne rapport skal navnlig vurdere dette direktivs merværdi, dets indvirkning med hensyn til at sikre kritiske enheders modstandsdygtighed, og hvorvidt bilaget til direktivet bør ændres. Kommissionen forelægger den første rapport senest den 17. juni 2029. Med henblik på rapportering i henhold til denne artikel tager Kommissionen hensyn til relevante dokumenter fra Gruppen for Kritiske Enheders Modstandsdygtighed.
Artikel 26
Gennemførelse
1. Medlemsstaterne vedtager og offentliggør senest den 17. oktober 2024 de love og bestemmelser, der er nødvendige for at efterkomme dette direktiv. De underretter straks Kommissionen herom.
De anvender disse love og bestemmelser fra den 18. oktober 2024.
2. De i stk. 1 omhandlede love og bestemmelser skal ved vedtagelsen indeholde en henvisning til dette direktiv eller skal ved offentliggørelsen ledsages af en sådan henvisning. Medlemsstaterne fastsætter de nærmere regler for henvisningen.
Artikel 27
Ophævelse af direktiv 2008/114/EF
Direktiv 2008/114/EF ophæves med virkning fra den 18. oktober 2024.
Henvisninger til det ophævede direktiv gælder som henvisninger til nærværende direktiv.
Artikel 28
Ikrafttræden
Dette direktiv træder i kraft på tyvendedagen efter offentliggørelsen i Den Europæiske Unions Tidende.
Artikel 29
Adressater
Dette direktiv er rettet til medlemsstaterne.
Udfærdiget i Strasbourg, den 14. december 2022.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
M. BEK
Formand
(1) EUT C 286 af 16.7.2021, s. 170.
(2) EUT C 440 af 29.10.2021, s. 99.
(3) Europa-Parlamentets holdning af 22.11.2022 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 8.12.2022.
(4) Rådets direktiv 2008/114/EF af 8. december 2008 om indkredsning og udpegning af europæisk kritisk infrastruktur og vurdering af behovet for at beskytte den bedre (EUT L 345 af 23.12.2008, s. 75).
(5) Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktiv) (se side 80 i denne EUT).
(6) Europa-Parlamentets og Rådets direktiv (EU) 2016/1148 af 6. juli 2016 om foranstaltninger, der skal sikre et højt fælles sikkerhedsniveau for net- og informationssystemer i hele Unionen (EUT L 194 af 19.7.2016, s. 1).
(7) Europa-Parlamentets og Rådets forordning (EU) 2019/452 af 19. marts 2019 om et regelsæt for screening af udenlandske direkte investeringer i Unionen (EUT L 79 I af 21.3.2019, s. 1).
(8) Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 af 4. juli 2012 om OTC-derivater, centrale modparter og transaktionsregistre (EUT L 201 af 27.7.2012, s. 1).
(9) Europa-Parlamentets og Rådets forordning (EU) nr. 575/2013 af 26. juni 2013 om tilsynsmæssige krav til kreditinstitutter og om ændring af forordning (EU) nr. 648/2012 (EUT L 176 af 27.6.2013, s. 1).
(10) Europa-Parlamentets og Rådets forordning (EU) nr. 600/2014 af 15. maj 2014 om markeder for finansielle instrumenter og om ændring af forordning (EU) nr. 648/2012 (EUT L 173 af 12.6.2014, s. 84).
(11) Europa-Parlamentets og Rådets direktiv 2013/36/EU af 26. juni 2013 om adgang til at udøve virksomhed som kreditinstitut og om tilsyn med kreditinstitutter og investeringsselskaber, om ændring af direktiv 2002/87/EF og om ophævelse af direktiv 2006/48/EF og 2006/49/EF (EUT L 176 af 27.6.2013, s. 338).
(12) Europa-Parlamentets og Rådets direktiv 2014/65/EU af 15. maj 2014 om markeder for finansielle instrumenter og om ændring af direktiv 2002/92/EF og direktiv 2011/61/EU (EUT L 173 af 12.6.2014, s. 349).
(13) Europa-Parlamentets og Rådets forordning (EU) 2022/2554 af 14. december 2022 om digital operationel modstandsdygtighed i den finansielle sektor og om ændring af forordning (EF) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 og (EU) 2016/1011 (se side 1 i denne EUT).
(14) Europa-Parlamentets og Rådets forordning (EF) nr. 725/2004 af 31. marts 2004 om bedre sikring af skibe og havnefaciliteter (EUT L 129 af 29.4.2004, s. 6).
(15) Europa-Parlamentets og Rådets forordning (EF) nr. 300/2008 af 11. marts 2008 om fælles bestemmelser om sikkerhed inden for civil luftfart og om ophævelse af forordning (EF) nr. 2320/2002 (EUT L 97 af 9.4.2008, s. 72).
(16) Europa-Parlamentets og Rådets direktiv 2005/65/EF af 26. oktober 2005 om bedre havnesikring (EUT L 310 af 25.11.2005, s. 28).
(17) Europa-Parlamentets og Rådets direktiv 2008/96/EF af 19. november 2008 om forvaltning af vejinfrastrukturens sikkerhed (EUT L 319 af 29.11.2008, s. 59).
(18) Kommissionens afgørelse af 29. juni 2018 om oprettelse af EU-sikkerhedsplatformen for togpassagerer 2018/C 232/03 (EUT C 232 af 3.7.2018, s. 10).
(19) Rådets rammeafgørelse 2009/315/RIA af 26. februar 2009 om tilrettelæggelsen og indholdet af udvekslinger af oplysninger fra strafferegistre mellem medlemsstaterne (EUT L 93 af 7.4.2009, s. 23).
(20) Europa-Parlamentets og Rådets forordning (EU) 2019/816 af 17. april 2019 om oprettelse af et centralt system til bestemmelse af, hvilke medlemsstater der ligger inde med oplysninger om straffedomme afsagt over tredjelandsstatsborgere og statsløse personer (ECRIS-TCN) for at supplere det europæiske informationssystem vedrørende strafferegistre, og om ændring af forordning (EU) 2018/1726 (EUT L 135 af 22.5.2019, s. 1).
(21) Europa-Parlamentets og Rådets forordning (EU) 2018/1862 af 28. november 2018 om oprettelse, drift og brug af Schengeninformationssystemet (SIS) på området politisamarbejde og strafferetligt samarbejde, om ændring og ophævelse af Rådets afgørelse 2007/533/RIA og om ophævelse af Europa-Parlamentets og Rådets forordning (EF) nr. 1986/2006 og Kommissionens afgørelse 2010/261/EU (EUT L 312 af 7.12.2018, s. 56).
(22) Europa-Parlamentets og Rådets afgørelse nr. 1313/2013/EU af 17. december 2013 om en EU-civilbeskyttelsesmekanisme (EUT L 347 af 20.12.2013, s. 924).
(23) Europa-Parlamentets og Rådets forordning (EU) 2021/1149 af 7. juli 2021 om oprettelse af Fonden for Intern Sikkerhed (EUT L 251 af 15.7.2021, s. 94).
(24) Europa-Parlamentets og Rådets forordning (EU) 2021/695 af 28. april 2021 om oprettelse af Horisont Europa — rammeprogrammet for forskning og innovation — og om reglerne for deltagelse og formidling og om ophævelse af forordning (EU) nr. 1290/2013 og (EU) nr. 1291/2013 (EUT L 170 af 12.5.2021, s. 1).
(25) EUT L 123 af 12.5.2016, s. 1.
(26) Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (EUT L 55 af 28.2.2011, s. 13).
(27) Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT L 295 af 21.11.2018, s. 39).
(28) Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 4.5.2016, s. 1).
(29) Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (Direktiv om databeskyttelse inden for elektronisk kommunikation) (EFT L 201 af 31.7.2002, s. 37).
(30) Europa-Parlamentets og Rådets forordning (EU) nr. 1025/2012 af 25. oktober 2012 om europæisk standardisering, om ændring af Rådets direktiv 89/686/EØF og 93/15/EØF og Europa-Parlamentets og Rådets direktiv 94/9/EF, 94/25/EF, 95/16/EF, 97/23/EF, 98/34/EF, 2004/22/EF, 2007/23/EF, 2009/23/EF og 2009/105/EF og om ophævelse af Rådets beslutning 87/95/EØF og Europa-Parlamentets og Rådets afgørelse nr. 1673/2006/EF (EUT L 316 af 14.11.2012, s. 12).
(31) Kommissionens henstilling 2003/361/EF af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (EUT L 124 af 20.5.2003, s. 36).
(32) Europa-Parlamentets og Rådets direktiv (EU) 2017/541 af 15. marts 2017 om bekæmpelse af terrorisme og om erstatning af Rådets rammeafgørelse 2002/475/RIA og ændring af Rådets afgørelse 2005/671/RIA (EUT L 88 af 31.3.2017, s. 6).
(33) Europa-Parlamentets og Rådets forordning (EU) 2017/1938 af 25. oktober 2017 om foranstaltninger til opretholdelse af gasforsyningssikkerheden og ophævelse af forordning (EU) nr. 994/2010 (EUT L 280 af 28.10.2017, s. 1).
(34) Europa-Parlamentets og Rådets forordning (EU) 2019/941 af 5. juni 2019 om risikoberedskab i elsektoren og om ophævelse af direktiv 2005/89/EF (EUT L 158 af 14.6.2019, s. 1).
(35) Europa-Parlamentets og Rådets direktiv 2007/60/EF af 23. oktober 2007 om vurdering og styring af risikoen for oversvømmelser (EUT L 288 af 6.11.2007, s. 27).
(36) Europa-Parlamentets og Rådets direktiv 2012/18/EU af 4. juli 2012 om kontrol med risikoen for større uheld med farlige stoffer og om ændring og efterfølgende ophævelse af Rådets direktiv 96/82/EF (EUT L 197 af 24.7.2012, s. 1).
(37) Europa-Parlamentets og Rådets direktiv (EU) 2016/680 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med kompetente myndigheders behandling af personoplysninger med henblik på at forebygge, efterforske, afsløre eller retsforfølge strafbare handlinger eller fuldbyrde strafferetlige sanktioner og om fri udveksling af sådanne oplysninger og om ophævelse af Rådets rammeafgørelse 2008/977/RIA (EUT L 119 af 4.5.2016, s. 89).
BILAG
SEKTORER, DELSEKTORER OG ENHEDSKATEGORIER
Sektor |
Delsektor |
Enhedskategori |
||||||
|
|
|
||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
|
|
||||||
|
|
|||||||
|
|
|||||||
|
||||||||
|
||||||||
|
|
|
||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
|
|||||||
|
|
|
||||||
|
||||||||
|
||||||||
|
|
|
||||||
|
||||||||
|
|
|
||||||
|
|
|
||||||
|
||||||||
|
|
|
||||||
|
||||||||
|
|
|
||||||
|
|
|
||||||
|
|
|
||||||
|
||||||||
|
|
|
||||||
|
||||||||
|
||||||||
|
|
|
||||||
|
||||||||
|
||||||||
|
|
|
||||||
|
|
|
||||||
|
|
|
||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
|
|
||||||
|
||||||||
|
||||||||
|
||||||||
|
|
|
||||||
|
|
|
||||||
|
|
|
(1) Europa-Parlamentets og Rådets direktiv (EU) 2019/944 af 5. juni 2019 om fælles regler for det indre marked for elektricitet og om ændring af direktiv 2012/27/EU (EUT L 158 af 14.6.2019, s. 125).
(2) Europa-Parlamentets og Rådets forordning (EU) 2019/943 af 5. juni 2019 om det indre marked for elektricitet (EUT L 158 af 14.6.2019, s. 54).
(3) Europa-Parlamentets og Rådets direktiv (EU) 2018/2001 af 11. december 2018 om fremme af anvendelsen af energi fra vedvarende energikilder (EUT L 328 af 21.12.2018, s. 82).
(4) Rådets direktiv 2009/119/EF af 14. september 2009 om forpligtelse for medlemsstaterne til at holde minimumslagre af råolie og/eller olieprodukter (EUT L 265 af 9.10.2009, s. 9).
(5) Europa-Parlamentets og Rådets direktiv 2009/73/EF af 13. juli 2009 om fælles regler for det indre marked for naturgas og om ophævelse af direktiv 2003/55/EF (EUT L 211 af 14.8.2009, s. 94).
(6) Europa-Parlamentets og Rådets direktiv 2009/12/EF af 11. marts 2009 om lufthavnsafgifter (EUT L 70 af 14.3.2009, s. 11).
(7) Europa-Parlamentets og Rådets forordning (EU) nr. 1315/2013 af 11. december 2013 om Unionens retningslinjer for udvikling af det transeuropæiske transportnet og om ophævelse af afgørelse nr. 661/2010/EU (EUT L 348 af 20.12.2013, s. 1).
(8) Europa-Parlamentets og Rådets forordning (EF) nr. 549/2004 af 10. marts 2004 om rammerne for oprettelse af et fælles europæisk luftrum (»rammeforordningen«) (EUT L 96 af 31.3.2004, s. 1).
(9) Europa-Parlamentets og Rådets direktiv 2012/34/EU af 21. november 2012 om oprettelse af et fælles europæisk jernbaneområde (EUT L 343 af 14.12.2012, s. 32).
(10) Europa-Parlamentets og Rådets direktiv 2002/59/EF af 27. juni 2002 om oprettelse af et trafikovervågnings- og trafikinformationssystem for skibsfarten i Fællesskabet og om ophævelse af Rådets direktiv 93/75/EØF (EFT L 208 af 5.8.2002, s. 10).
(11) Kommissionens delegerede forordning (EU) 2015/962 af 18. december 2014 om supplerende regler til Europa-Parlamentets og Rådets direktiv 2010/40/EU for så vidt angår tilrådighedsstillelse af EU-dækkende tidstro trafikinformationstjenester (EUT L 157 af 23.6.2015, s. 21).
(12) Europa-Parlamentets og Rådets direktiv 2010/40/EU af 7. juli 2010 om rammerne for indførelse af intelligente transportsystemer på vejtransportområdet og for grænsefladerne til andre transportformer (EUT L 207 af 6.8.2010, s. 1).
(13) Europa-Parlamentets og Rådets forordning (EF) nr. 1370/2007 af 23. oktober 2007 om offentlig personbefordring med jernbane og ad vej og om ophævelse af Rådets forordning (EØF) nr. 1191/69 og (EØF) nr. 1107/70 (EUT L 315 af 3.12.2007, s. 1).
(14) Europa-Parlamentets og Rådets direktiv 2011/24/EU af 9. marts 2011 om patientrettigheder i forbindelse med grænseoverskridende sundhedsydelser (EUT L 88 af 4.4.2011, s. 45).
(15) Europa-Parlamentets og Rådets forordning (EU) 2022/2371 af 23. november 2022 om alvorlige grænseoverskridende sundhedstrusler og om ophævelse af afgørelse nr. 1082/2013/EU (EUT L 314 af 6.12.2022, s. 26).
(16) Europa-Parlamentets og Rådets direktiv 2001/83/EF af 6. november 2001 om oprettelse af en fællesskabskodeks for humanmedicinske lægemidler (EFT L 311 af 28.11.2001, s. 67).
(17) Europa-Parlamentets og Rådets forordning (EU) 2022/123 af 25. januar 2022 om styrkelse af Det Europæiske Lægemiddelagenturs rolle i forbindelse med kriseberedskab og krisestyring med hensyn til lægemidler og medicinsk udstyr (EUT L 20 af 31.1.2022, s. 1).
(18) Europa-Parlamentets og Rådets direktiv (EU) 2020/2184 af 16. december 2020 om kvaliteten af drikkevand (EUT L 435 af 23.12.2020, s. 1).
(19) Rådets direktiv 91/271/EØF af 21. maj 1991 om rensning af byspildevand (EFT L 135 af 30.5.1991, s. 40).
(20) Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (EUT L 257 af 28.8.2014, s. 73).
(21) Europa-Parlamentets og Rådets direktiv (EU) 2018/1972 af 11. december 2018 om oprettelse af en europæisk kodeks for elektronisk kommunikation (EUT L 321 af 17.12.2018, s. 36).
(22) Europa-Parlamentets og Rådets forordning (EF) nr. 178/2002 af 28. januar 2002 om generelle principper og krav i fødevarelovgivningen, om oprettelse af Den Europæiske Fødevaresikkerhedsautoritet og om procedurer vedrørende fødevaresikkerhed (EFT L 31 af 1.2.2002, s. 1).