BEGRÜNDUNG

1.KONTEXT DES VORSCHLAGS

·Gründe und Ziele des Vorschlags

Um ihre Bürger wirksam zu schützen, muss die Europäische Union weiterhin Schwachstellen beseitigen – auch bei kritischen Infrastrukturen, die für das Funktionieren unserer Gesellschaften und Wirtschaft unerlässlich sind. Die Lebensgrundlage der Unionsbürger und das reibungslose Funktionieren des Binnenmarkts sind von verschiedenen Infrastrukturen für die zuverlässige Erbringung von Diensten abhängig, die für die Aufrechterhaltung kritischer gesellschaftlicher und wirtschaftlicher Tätigkeiten wesentlich sind. Diese bereits unter normalen Umständen unentbehrlichen Dienste gewinnen in Zeiten, in denen Europa mit den Auswirkungen der COVID-19-Pandemie und der Erholung davon beschäftigt ist, noch mehr an Bedeutung. Folglich müssen Einrichtungen, die wesentliche Dienste erbringen, resilient, d. h. in der Lage sein, Sicherheitsvorfälle, die zu schwerwiegenden und potenziell sektor- und grenzübergreifenden Störungen führen können, abzuwehren, aufzufangen, zu bewältigen und sich von ihnen zu erholen.

Mit diesem Vorschlag soll die Erbringung von Diensten auf dem Binnenmarkt verbessert werden, die für die Aufrechterhaltung essenzieller gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten wesentlich sind, indem die Resilienz von kritischen Einrichtungen, die diese Dienste erbringen, erhöht wird. In dem Vorschlag werden die jüngsten Aufrufe des Rates 1 und des Europäischen Parlaments 2 aufgegriffen, in denen die Kommission zur Überarbeitung des aktuellen Konzepts aufgefordert wurde, um den gestiegenen Herausforderungen für kritische Einrichtungen besser Rechnung zu tragen und für eine stärkere Angleichung an die Richtlinie über Netz- und Informationssysteme (NIS) 3 zu sorgen. Dieser Vorschlag steht im Einklang mit der vorgeschlagenen Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (im Folgenden „NIS-2-Richtlinie“) und sorgt für starke entsprechende Synergieeffekte; mit der genannten Richtlinie soll die NIS-Richtlinie ersetzt werden, um der zunehmenden Verflechtung zwischen physischer und digitaler Welt durch einen Rechtsrahmen mit robusten Resilienzmaßnahmen gegen digitale und physische Aspekte gemäß der Strategie für eine Sicherheitsunion 4 Rechnung zu tragen.

Darüber hinaus wird in dem Vorschlag auf die nationalen Ansätze in immer mehr Mitgliedstaaten eingegangen, bei denen tendenziell sektor- und grenzüberschreitende Abhängigkeiten hervorgehoben werden und immer häufiger ein Resilienzdenken vorherrscht, bei dem der Schutz neben der Risikoprävention und ‑minderung, Fortführung des Geschäftsbetriebs und Notfallwiederherstellung nur einen Aspekt darstellt. Da auch kritische Infrastrukturen zum Ziel von Terroristen werden können, leisten die im vorliegenden Vorschlag enthaltenen Maßnahmen zur Gewährleistung der Resilienz kritischer Einrichtungen einen Beitrag zu den Zielen der kürzlich angenommenen EU-Agenda für Terrorismusbekämpfung 5 .

Die europaweite Bedeutung kritischer Infrastrukturen wird von der Europäischen Union (EU) seit Langem anerkannt. So hat die EU beispielsweise 2006 das Europäische Programm für den Schutz kritischer Infrastrukturen (EPSKI) 6 aufgelegt und 2008 die Richtlinie über europäische kritische Infrastrukturen 7 (EKI) angenommen. Diese Richtlinie, die nur für den Energie- und den Verkehrssektor gilt, sieht ein Verfahren zur Ermittlung und Ausweisung von EKI vor, deren Störung oder Zerstörung erhebliche grenzüberschreitende Auswirkungen in mindestens zwei Mitgliedstaaten hätte. Außerdem werden in ihr bestimmte Schutzanforderungen für die Betreiber von EKI und die zuständigen Behörden der Mitgliedstaaten festgelegt. Bisher wurden 94 EKI ausgewiesen, von denen zwei Drittel in drei Mitgliedstaaten in Mittel- und Osteuropa liegen. Der Anwendungsbereich der EU-Maßnahmen zur Resilienz kritischer Infrastrukturen geht jedoch über diese Maßnahmen hinaus und umfasst auch sektorspezifische und sektorübergreifende Maßnahmen, unter anderem in den Bereichen Klimasicherung, Katastrophenschutz, ausländische Direktinvestitionen und Cybersicherheit 8 . Mittlerweile haben die Mitgliedstaaten in diesem Bereich selbst eigene Maßnahmen ergriffen, die sich voneinander unterscheiden.

Folglich ist es offensichtlich, dass der derzeitige Rahmen zum Schutz kritischer Infrastrukturen nicht ausreicht, um die aktuellen Herausforderungen zu bewältigen, vor denen kritische Infrastrukturen und die sie betreibenden Einrichtungen stehen. Da die Verflechtung zwischen den Infrastrukturen, Netzen und Betreibern, die wesentliche Dienste auf dem Binnenmarkt erbringen, immer stärker wird, muss das aktuelle Konzept grundlegend dahingehend geändert werden, dass es vom Schutz bestimmter Anlagen weg in Richtung Stärkung der Resilienz der sie betreibenden kritischen Einrichtungen verlagert wird.

Das operative Umfeld, in dem kritische Einrichtungen tätig sind, hat sich in den letzten Jahren stark verändert. Erstens ist die Risikolandschaft komplexer als 2008 und umfasst heute natürliche Gefahren 9 (die durch den Klimawandel oftmals noch verschlimmert werden), staatlich geförderte hybride Aktionen, Terrorismus, Insider-Bedrohungen, Pandemien und Unfälle (wie Industrieunfälle). Zweitens sind die Betreiber mit Herausforderungen konfrontiert, wenn sie neue Technologien wie 5G und unbemannte Fahrzeuge in ihren Betrieb integrieren und gleichzeitig die Schwachstellen beseitigen sollen, die mit solchen Technologien verbunden sein können. Drittens werden die Betreiber durch solche Technologien und andere Entwicklungen immer stärker voneinander abhängig. Die Folgen dessen sind klar: Wird ein Betreiber in einem Sektor in der Erbringung seines Dienstes gestört, kann dies zu einer Kettenreaktion bei der Erbringung von Diensten in anderen Sektoren und möglicherweise auch in anderen Mitgliedstaaten oder der gesamten Union führen.

Wie die Evaluierung der EKI-Richtlinie 10 aus dem Jahr 2019 gezeigt hat, können die Betreiber durch die bestehenden europäischen und nationalen Maßnahmen nur in begrenztem Maße dabei unterstützt werden, die aktuellen operativen Herausforderungen zu bewältigen und die Anfälligkeiten, die sich aus ihrer gegenseitigen Abhängigkeit ergeben, zu beseitigen.

Wie in der im Rahmen der Ausarbeitung des Vorschlags durchgeführten Folgenabschätzung dargestellt, gibt es hierfür mehrere Gründe. Erstens sind sich die Betreiber nicht gänzlich darüber im Klaren, welche Auswirkungen die dynamische Risikolandschaft, in der sie tätig sind, haben kann, oder sie verstehen diese Auswirkungen nicht voll und ganz. Zweitens unterscheiden sich die Bemühungen um Resilienz erheblich zwischen den einzelnen Mitgliedstaaten und Sektoren. Drittens werden ähnliche Arten von Einrichtungen in einigen Mitgliedstaaten als kritisch anerkannt, in anderen jedoch nicht, was bedeutet, dass vergleichbare Einrichtungen je nach Standort in der Union von offizieller Seite in unterschiedlichem Maße beim Kapazitätsaufbau unterstützt werden (z. B. bei der Organisation von Beratung, Ausbildung und Übungen) und unterschiedliche Anforderungen erfüllen müssen. Die Tatsache, dass die Anforderungen und die staatliche Unterstützung für die Betreiber je nach Mitgliedstaat unterschiedlich sind, birgt Hindernisse für grenzüberschreitend tätige Betreiber und insbesondere für diejenigen kritischen Einrichtungen, die in Mitgliedstaaten mit strengeren Rahmenbedingungen tätig sind. Aufgrund der immer stärkeren Verflechtung der Dienstleistungserbringung und der Sektoren in den Mitgliedstaaten und der EU stellt eine unzureichende Resilienz eines Betreibers eine ernste Gefahr für Einrichtungen in anderen Bereichen des Binnenmarkts dar.

Störungen – insbesondere solche mit grenzüberschreitenden und potenziell europaweiten Auswirkungen – gefährden nicht nur das reibungslose Funktionieren des Binnenmarkts, sondern können auch ernste negative Auswirkungen für die Bürger, Unternehmen, Regierungen und die Umwelt mit sich bringen. Auf individueller Ebene können Störungen sogar dazu führen, dass Unionsbürger nicht mehr frei reisen, arbeiten und grundlegende öffentliche Dienstleistungen wie die Gesundheitsversorgung in Anspruch nehmen können. In vielen Fällen werden diese und andere Kerndienstleistungen des täglichen Lebens von eng miteinander verflochtenen Netzen europäischer Unternehmen erbracht; eine Störung eines Unternehmens in einem Sektor kann Kettenreaktionen in vielen anderen Wirtschaftszweigen nach sich ziehen. Störungen wie beispielsweise große Stromausfälle und schwere Verkehrsunfälle können die allgemeine und öffentliche Sicherheit gefährden, was zu Unsicherheit führt und das Vertrauen in kritische Einrichtungen und die Behörden, die für ihre Aufsicht und die Sicherheit der Bevölkerung zuständig sind, schwinden lässt.

·Kohärenz mit den bestehenden Vorschriften in diesem Bereich

In diesem Vorschlag werden die Prioritäten der EU-Strategie für eine Sicherheitsunion 11 der Kommission aufgegriffen, in der ein überarbeitetes Konzept für die Widerstandsfähigkeit kritischer Infrastruktur gefordert wird, bei dem die aktuelle und zu erwartende Risikolage, die zunehmenden wechselseitigen Abhängigkeiten zwischen den verschiedenen Sektoren und auch die immer stärkeren Wechselbeziehungen zwischen physischen und digitalen Infrastrukturen besser berücksichtigt werden.

Mit der vorgeschlagenen Richtlinie wird die EKI-Richtlinie ersetzt und auf andere bestehende und geplante Instrumente eingegangen und aufgebaut. Sie stellt eine wesentliche Änderung gegenüber der EKI-Richtlinie dar, die nur für den Energie- und den Verkehrssektor gilt, sich ausschließlich mit Schutzmaßnahmen befasst und ein Verfahren zur Ermittlung und Ausweisung von EKI durch grenzüberschreitenden Dialog vorsieht. Erstens würde die vorgeschlagene Richtlinie auf wesentlich mehr Wirtschaftszweige anwendbar sein und für folgende zehn Sektoren gelten: Energie, Verkehr, Banken, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung und Raumfahrt. Zweitens wird mit der Richtlinie ein Verfahren eingeführt, mit dem die Mitgliedstaaten mithilfe gemeinsamer Kriterien auf der Grundlage einer nationalen Risikobewertung kritische Einrichtungen ermitteln können. Drittens enthält der Vorschlag Verpflichtungen für die Mitgliedstaaten und die von ihnen ermittelten kritischen Einrichtungen – einschließlich derjenigen Einrichtungen mit besonderer europäischer Bedeutung, d. h. kritischer Einrichtungen, die wesentliche Dienste für bzw. in mehr als einem Drittel der Mitgliedstaaten erbringen –, die einer besonderen Aufsicht unterliegen würden.

Die Kommission würde die zuständigen Behörden und kritischen Einrichtungen gegebenenfalls bei der Erfüllung ihrer Verpflichtungen im Rahmen der Richtlinie unterstützen. Darüber hinaus würde die Gruppe für die Resilienz kritischer Einrichtungen, eine Sachverständigengruppe der Kommission, die dem für solche Gruppen geltenden horizontalen Rahmen unterliegt, die Kommission beraten und die strategische Zusammenarbeit und den Informationsaustausch fördern. Zudem ist auch eine Einbeziehung der Partnerländer erforderlich, da die wechselseitigen Abhängigkeiten nicht an den EU-Außengrenzen haltmachen. Im Richtlinienvorschlag ist die Möglichkeit einer solchen Zusammenarbeit vorgesehen, beispielsweise im Bereich der Risikobewertungen.

Kohärenz mit der Politik der Union in anderen Bereichen

Die vorgeschlagene Richtlinie besitzt eindeutige Verbindungen und steht im Einklang mit anderen sektorspezifischen und sektorübergreifenden Initiativen der EU, unter anderen in den Bereichen Klimasicherung, Katastrophenschutz, ausländische Direktinvestitionen (ADI), Cybersicherheit und beim Besitzstand im Bereich Finanzdienstleistungen. Konkret weist der Vorschlag enge Synergien mit der vorgeschlagenen NIS-2-Richtlinie auf und ist stark auf sie abgestimmt, deren Ziel darin besteht, die Resilienz der Informations- und Kommunikationstechnologien (IKT) „wesentlicher Einrichtungen“ und „wichtiger Einrichtungen“, die bestimmte Schwellenwerte in zahlreichen Sektoren erreichen, gegen alle Arten von Gefahren zu verbessern. Mit diesem Vorschlag für eine Richtlinie über die Resilienz kritischer Einrichtungen soll sichergestellt werden, dass die gemäß dieser Richtlinie und der im Rahmen der vorgeschlagenen NIS-2-Richtlinie benannten zuständigen Behörden einander ergänzende Maßnahmen treffen und gegebenenfalls Informationen zur cyberbezogenen und zur nicht cyberbezogenen Resilienz austauschen und dass für besonders kritische Einrichtungen in den Sektoren, die gemäß der vorgeschlagenen NIS-2-Richtlinie als „wesentlich“ eingestuft werden, auch allgemeinere resilienzfördernde Verpflichtungen zur Bewältigung nicht cyberbezogener Risiken gelten. Die physische Sicherheit von Netz- und Informationssystemen von Einrichtungen im Bereich der digitalen Infrastruktur wird in der vorgeschlagenen NIS-2-Richtlinie als Teil der Cybersicherheitsrisikomanagement- und Meldepflichten dieser Einrichtungen umfassend behandelt. Darüber hinaus baut der Vorschlag auf dem bestehenden Besitzstand im Bereich Finanzdienstleistungen auf, der umfassende Anforderungen für Finanzunternehmen zur Steuerung operativer Risiken und zur Gewährleistung der Betriebskontinuität beinhaltet. Daher sollten Einrichtungen in den Sektoren digitale Infrastruktur, Banken und Finanzinfrastruktur für die Zwecke der Pflichten und Tätigkeiten der Mitgliedstaaten als Einrichtungen behandelt werden, die kritischen Einrichtungen im Sinne dieser Richtlinie gleichgestellt sind, wobei diese Richtlinie keine zusätzlichen Verpflichtungen für diese Einrichtungen mit sich bringen würde.

In dem Vorschlag werden auch andere sektorbezogene und sektorübergreifende Initiativen zum Beispiel im Bereich Katastrophenschutz, Katastrophenvorsorge und Anpassung an den Klimawandel berücksichtigt. Darüber hinaus wird in dem Vorschlag anerkannt, dass in bestimmten Fällen die bestehenden EU-Rechtsvorschriften Einrichtungen dazu verpflichten, bestimmten Risiken durch Schutzmaßnahmen zu begegnen. In solchen Fällen, wie z. B. im Bereich der Luft- oder Seeverkehrssicherheit, sollten die kritischen Einrichtungen die einschlägigen Maßnahmen in ihren Resilienzplänen beschreiben. Darüber hinaus berührt die vorgeschlagene Richtlinie nicht die Anwendung der im Vertrag über die Arbeitsweise der Europäischen Union (AEUV) festgelegten Wettbewerbsregeln.

2.RECHTSGRUNDLAGE, SUBSIDIARITÄT UND VERHÄLTNISMÄSSIGKEIT

·Rechtsgrundlage

Anders als die Richtlinie 2008/114/EG, die auf Artikel 308 des Vertrags zur Gründung der Europäischen Gemeinschaft (entspricht dem derzeitigen Artikel 352 des Vertrags über die Arbeitsweise der Europäischen Union) beruht, stützt sich dieser Richtlinienvorschlag auf Artikel 114 AEUV, in dem die Angleichung der Rechtsvorschriften zur Verbesserung des Binnenmarktes vorgesehen ist. Dies ist aufgrund der Verlagerung des Ziels, Anwendungsbereichs und Gegenstands der Richtlinie, der zunehmenden wechselseitigen Abhängigkeiten und der notwendigen Schaffung einheitlicherer Ausgangsbedingungen für kritische Einrichtungen gerechtfertigt. Anstatt eine begrenzte Anzahl physischer Infrastrukturen zu schützen, deren Störung oder Zerstörung erhebliche grenzüberschreitende Auswirkungen hätte, besteht das Ziel darin, die Resilienz der Einrichtungen in den Mitgliedstaaten zu verbessern, die entscheidend für die Erbringung von Diensten sind, die in einer Reihe von Sektoren, die das Funktionieren vieler anderer Wirtschaftszweige der Union stützen, für die Aufrechterhaltung essenzieller gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten auf dem Binnenmarkt wesentlich sind. Aufgrund der zunehmenden grenzüberschreitenden wechselseitigen Abhängigkeiten zwischen den Diensten, die über kritische Infrastrukturen in diesen Sektoren erbracht werden, kann eine Störung in einem Mitgliedstaat Auswirkungen auf andere Mitgliedstaaten oder die Union insgesamt haben.

Der aktuelle Rechtsrahmen, der auf Ebene der Mitgliedstaaten zur Regulierung der betreffenden Dienste festgelegt wurde, beinhaltet erhebliche Unterschiede bezüglich der Verpflichtungen, wobei diese Unterschiede aller Voraussicht nach noch zunehmen werden. Die unterschiedlichen nationalen Vorschriften, denen kritische Einrichtungen unterliegen, gefährden nicht nur die zuverlässige Erbringung von Diensten auf dem gesamten Binnenmarkt, sondern bergen auch die Gefahr negativer Auswirkungen auf den Wettbewerb. Dies ist in erster Linie darauf zurückzuführen, dass ähnliche Arten von Einrichtungen, die ähnliche Dienste erbringen, in einigen Mitgliedstaaten als kritisch eingestuft werden, in anderen jedoch nicht. Dies bedeutet, dass Einrichtungen, die in mehr als einem Mitgliedstaat tätig sind oder tätig werden möchten, bei ihrer Tätigkeit auf dem Binnenmarkt unterschiedliche Verpflichtungen erfüllen müssen, und Einrichtungen, die in Mitgliedstaaten mit strengeren Anforderungen tätig sind, im Vergleich zu Mitgliedstaaten mit weniger strikten Rahmenbedingungen möglicherweise mit Hindernissen konfrontiert werden. Aufgrund dieser Unterschiede kommt es zu unmittelbaren negativen Auswirkungen auf das Funktionieren des Binnenmarkts.

·Subsidiarität

Angesichts des von wechselseitiger Abhängigkeit geprägten grenzüberschreitenden Charakters der Beziehungen zwischen den Betreibern kritischer Infrastrukturen und ihren Ergebnissen – den wesentlichen Diensten – ist ein gemeinsamer Rechtsrahmen auf europäischer Ebene in diesem Bereich gerechtfertigt. Denn ein in einem Mitgliedstaat ansässiger Betreiber kann über eng miteinander verflochtene Netze Dienste in mehreren anderen Mitgliedstaaten oder in der gesamten EU erbringen. Folglich könnte eine Störung eines solchen Betreibers weitreichende Auswirkungen auf andere Sektoren sowie über die Landesgrenzen hinaus haben. Die potenziellen europaweiten Folgen von Störungen machen Maßnahmen auf EU-Ebene erforderlich. Darüber hinaus führen unterschiedliche nationale Vorschriften zu unmittelbaren negativen Auswirkungen auf das Funktionieren des Binnenmarkts. Wie anhand der Folgenabschätzung deutlich wurde, sehen viele Mitgliedstaaten und Interessenträger aus der Industrie die Notwendigkeit eines stärker koordinierten und gemeinsamen europäischen Konzepts, mit dem sichergestellt wird, dass die Einrichtungen resilient genug gegen unterschiedliche Risiken sind, die sich zwar von Mitgliedstaat zu Mitgliedstaat geringfügig unterscheiden können, aber viele gemeinsame Herausforderungen mit sich bringen, die nicht durch nationale Maßnahmen oder einzelne Betreiber allein bewältigt werden können.

·Verhältnismäßigkeit

Der Vorschlag steht in einem angemessenen Verhältnis zu dem erklärten übergeordneten Ziel der Initiative. Während die Verpflichtungen der Mitgliedstaaten und kritischen Einrichtungen in bestimmten Fällen mit einem gewissen zusätzlichen Verwaltungsaufwand verbunden sein können, z. B. wenn die Mitgliedstaaten eine nationale Strategie entwickeln oder die kritischen Einrichtungen bestimmte technische und organisatorische Maßnahmen umsetzen müssen, dürften diese im Allgemeinen begrenzt sein. Hier sei darauf hingewiesen, dass viele Einrichtungen bereits Sicherheitsmaßnahmen ergriffen haben, um ihre Infrastrukturen zu schützen und die Betriebskontinuität zu gewährleisten.

In manchen Fällen können für die Einhaltung der Richtlinie jedoch umfangreichere Investitionen erforderlich sein. Selbst in solchen Fällen sind diese Investitionen jedoch insofern gerechtfertigt, als sie zur Verbesserung der Resilienz der Betreiber und des Systems sowie zu einem kohärenteren Konzept und zu einer besseren Erbringung zuverlässiger Dienste in der gesamten Union beitragen würden. Darüber hinaus dürfte jede durch die Richtlinie entstehende zusätzliche Belastung wesentlich geringer ausfallen als die Kosten, die damit verbunden sind, dass größere Störungen bewältigt und ausgeglichen werden müssen, die die ununterbrochene Erbringung von Diensten im Zusammenhang mit essenziellen gesellschaftlichen Funktionen und das wirtschaftliche Wohlergehen der Betreiber, der einzelnen Mitgliedstaaten, der Union und ihrer Bürger im Allgemeinen gefährden.

·Wahl des Instruments

Der Vorschlag hat die Form einer Richtlinie und soll in der gesamten Union in einer Reihe von Sektoren für ein gemeinsames Konzept bezüglich der Resilienz kritischer Einrichtungen sorgen. Er enthält spezifische Pflichten für die zuständigen Behörden, die anhand gemeinsamer Kriterien und der Ergebnisse der Risikobewertung kritische Einrichtungen ermitteln müssen. Durch eine Richtlinie kann sichergestellt werden, dass die Mitgliedstaaten bei der Ermittlung kritischer Einrichtungen ein einheitliches Konzept anwenden und gleichzeitig den Besonderheiten auf nationaler Ebene – darunter unterschiedlichen Risikoexpositionen und wechselseitigen sektor- und grenzübergreifenden Abhängigkeiten – Rechnung tragen.

3.ERGEBNISSE DER EX-POST-BEWERTUNGEN, KONSULTATIONEN DER INTERESSENTRÄGER UND FOLGENABSCHÄTZUNGEN

·Ex-post-Bewertungen/Eignungsprüfungen bestehender Rechtsvorschriften

Die Richtlinie über europäische kritische Infrastrukturen (EKI) wurde im Jahr 2019 evaluiert, um ihre Umsetzung in Bezug auf Relevanz, Kohärenz, Wirksamkeit, Effizienz, EU-Mehrwert und Nachhaltigkeit zu bewerten 12 .

Die Evaluierung ergab, dass sich die Rahmenbedingungen seit Inkrafttreten der Richtlinie erheblich verändert haben. In Anbetracht dieser Veränderungen wurde festgestellt, dass die Richtlinie nur in Teilen relevant war. Der Evaluierung zufolge stand die Richtlinie generell im Einklang mit den einschlägigen sektoralen europäischen Rechtsvorschriften und den Maßnahmen auf internationaler Ebene, doch aufgrund einiger allgemein gehaltener Bestimmungen erwies sie sich nur als teilweise wirksam. Es wurde festgestellt, dass die Richtlinie einen EU-Mehrwert bewirkte, insofern als Ergebnisse (d. h. ein gemeinsamer Rahmen für den Schutz europäischer kritischer Infrastrukturen) erzielt werden konnten, die weder mit nationalen noch mit anderen europäischen Initiativen ohne längere, kostenintensivere und weniger genau definierte Verfahren hätten erreicht werden können. Allerdings wurde einigen Bestimmungen für viele Mitgliedstaaten nachweislich nur ein begrenzter Mehrwert zugeschrieben.

Hinsichtlich der Nachhaltigkeit wurde davon ausgegangen, dass einige Wirkungen der Richtlinie (z. B. grenzüberschreitende Debatten und Berichtspflichten) wahrscheinlich verebben würden, wenn die Richtlinie aufgehoben und nicht ersetzt werden würde. Laut der Evaluierung unterstützen die Mitgliedstaaten weiterhin eine Beteiligung der EU an Bemühungen zur Stärkung der Resilienz kritischer Infrastrukturen und gibt es gewisse Bedenken, dass die vollständige Aufhebung der Richtlinie negative Folgen in diesem Bereich und insbesondere für den Schutz ausgewiesener kritischer europäischer Infrastrukturen haben könnte. Die Mitgliedstaaten waren darauf bedacht sicherzustellen, dass das Engagement der EU in diesem Bereich weiterhin das Subsidiaritätsprinzip wahrt sowie Maßnahmen auf nationaler Ebene unterstützt und die grenzüberschreitende Zusammenarbeit auch mit Drittstaaten erleichtert wird.

·Konsultationen der Interessenträger

Bei der Ausarbeitung des vorliegenden Vorschlags hat die Kommission die unterschiedlichsten Interessenträger konsultiert, darunter: Institutionen und Agenturen der Europäischen Union, internationale Organisationen, Behörden der Mitgliedstaaten, private Einrichtungen, darunter einzelne Betreiber und nationale sowie europäische Industrieverbände, die Betreiber vieler verschiedener Sektoren vertreten, Sachverständige und deren Netzwerke, darunter das Europäische Referenznetz für den Schutz kritischer Infrastrukturen (ERNCIP), Wissenschaftler, Nichtregierungsorganisationen und Mitglieder der Öffentlichkeit.

Die Interessenträger wurden auf unterschiedliche Arten konsultiert, z. B. durch: eine öffentliche Rückmeldung zur Folgenabschätzung in der Anfangsphase für diesen Vorschlag; beratende Seminare, gezielte Fragebögen, bilaterale Austauschmöglichkeiten und eine öffentliche Konsultation (zur Unterstützung der 2019 durchgeführten Evaluierung der EKI-Richtlinie). Darüber hinaus führte der für die Durchführbarkeitsstudie verantwortliche externe Auftragnehmer, der die Ausarbeitung der Folgenabschätzung unterstützte, Konsultationen mit vielen Interessenträgern durch, z. B. über eine Online-Umfrage, einen schriftlichen Fragebogen, Einzelinterviews und virtuelle „Besuche vor Ort“ in zehn Mitgliedstaaten.

Auf der Grundlage dieser Konsultationen konnte die Kommission die Wirksamkeit, Effizienz, Relevanz, Kohärenz und den EU-Mehrwert des bestehenden Rechtsrahmens für die Resilienz kritischer Infrastrukturen (d. h. die Ausgangssituation) sowie die damit verbundenen Probleme analysieren, die verschiedenen politischen Optionen untersuchen, die zur Lösung dieser Probleme in Betracht gezogen werden können, und sich mit den möglicherweise zu erwartenden spezifischen Folgen dieser Optionen befassen. Generell wurden durch die Konsultationen etliche Bereiche aufgezeigt, bei denen ein allgemeiner Konsens der Interessenträger herrschte, nicht zuletzt dahin gehend, dass der bestehende EU-Rahmen für die Resilienz kritischer Infrastrukturen angesichts zunehmender sektorübergreifender Interdependenzen und einer sich verändernden Bedrohungslage überarbeitet werden sollte.

Insbesondere waren sich die Interessenträger generell einig, dass jedes neue Konzept aus einer Kombination von verbindlichen und unverbindlichen Maßnahmen bestehen, sich eher auf Resilienz als auf den Schutz der Anlagen konzentrieren und eine offensichtlichere Verbindung zwischen Maßnahmen zur Verbesserung der cyberbezogenen und nicht cyberbezogenen Resilienz herstellen sollte. Zudem befürworteten sie ein Konzept, das den Bestimmungen der bestehenden sektorspezifischen Rechtsvorschriften Rechnung trägt und zumindest die von der geltenden NIS-Richtlinie abgedeckten Sektoren umfasst sowie einheitlichere Verpflichtungen für kritische Einrichtungen auf nationaler Ebene, die ihrerseits in der Lage sein sollten, eine ausreichende Sicherheitskontrolle des Personals mit Zugang zu sensiblen Einrichtungen/Informationen durchzuführen. Darüber hinaus schlugen die Interessenträger vor, dass jedes neue Konzept den Mitgliedstaaten die Möglichkeit bieten sollte, eine verstärkte Aufsicht über die Tätigkeiten kritischer Einrichtungen auszuüben, aber auch sicherstellen sollte, dass kritische Einrichtungen von europaweiter Bedeutung ermittelt werden und resilient genug sind. Schließlich sprachen sie sich für mehr EU-Mittel und ‑Unterstützung aus, z. B. für die Umsetzung neuer Instrumente, den Kapazitätsaufbau auf nationaler Ebene, die Koordinierung/Zusammenarbeit zwischen öffentlichem und privatem Sektor und den Austausch von bewährten Verfahren, Wissen und Fachkenntnissen auf verschiedenen Ebenen. Der vorliegende Vorschlag enthält Bestimmungen, die im Allgemeinen den Ansichten und Präferenzen der Interessenträger entsprechen.

·Einholung und Nutzung von Expertenwissen

Wie bereits erwähnt, hat die Kommission bei der Ausarbeitung des vorliegenden Vorschlags auf externes Fachwissen im Rahmen von Konsultationen, z. B. mit unabhängigen Sachverständigen, Expertennetzen und Wissenschaftlern, zurückgegriffen.

·Folgenabschätzung

In der Folgenabschätzung, mit der die Ausarbeitung dieser Initiative unterstützt wurde, wurden verschiedene politische Optionen zur Lösung der oben beschriebenen allgemeinen und spezifischen Probleme untersucht. Neben der Ausgangssituation, die keine Veränderung gegenüber der derzeitigen Situation mit sich bringen würde, sahen diese Optionen Folgendes vor:

–Option 1: Die Beibehaltung der bestehenden EKI-Richtlinie in Kombination mit freiwilligen Maßnahmen im Rahmen des bestehenden EPSKI-Programms.

–Option 2: Die Überarbeitung der bestehenden EKI-Richtlinie zur Abdeckung derselben Sektoren wie die bestehende NIS-Richtlinie und zur stärkeren Schwerpunktsetzung auf die Resilienz. Die neue EKI-Richtlinie würde Änderungen am bestehenden grenzübergreifenden Verfahren zur Ausweisung von EKI, einschließlich neuer Ausweisungskriterien, sowie neue Anforderungen für die Mitgliedstaaten und Betreiber mit sich bringen.

–Option 3: Die Ersetzung der bestehenden EKI-Richtlinie durch ein neues Instrument zur Verbesserung der Resilienz kritischer Einrichtungen in den Sektoren, die gemäß der vorgeschlagenen NIS-2-Richtlinie als wesentlich erachtet werden. Bei dieser Option würden Mindestanforderungen an die Mitgliedstaaten und die mithilfe des neuen Rahmens ermittelten kritischen Einrichtungen festgelegt. Es stünde ein Verfahren zur Ermittlung der kritischen Einrichtungen zur Verfügung, die in mehreren oder sogar allen EU-Mitgliedstaaten Dienste anbieten. Die Umsetzung des Rechtsakts würde durch ein spezielles Wissenszentrum innerhalb der Kommission unterstützt.

–Option 4: Die Ersetzung der bestehenden EKI-Richtlinie durch ein neues Instrument zur Verbesserung der Resilienz kritischer Einrichtungen in den Sektoren, die gemäß der vorgeschlagenen NIS-2-Richtlinie als wesentlich erachtet werden, sowie eine Stärkung der Rolle der Kommission bei der Ermittlung kritischer Einrichtungen und die Schaffung einer speziellen EU-Agentur, die für die Resilienz kritischer Infrastrukturen zuständig ist (die die Aufgaben und Zuständigkeiten übernehmen würde, die dem in der vorherigen Option vorgeschlagenen Wissenszentrum zugewiesen wurden).

In Anbetracht der verschiedenen wirtschaftlichen, sozialen und ökologischen Auswirkungen der einzelnen Optionen, aber auch ihres Werts in Bezug auf Wirksamkeit, Effizienz und Verhältnismäßigkeit wurde in der Folgenabschätzung festgestellt, dass Option 3 die bevorzugte Option darstellte. Während die Optionen 1 und 2 nicht die zur Lösung des Problems erforderlichen Änderungen bewirken würden, würde Option 3 zu einem harmonisierten und umfassenderen Resilienzrahmen führen, der auch mit dem geltenden Unionsrecht in verwandten Bereichen in Einklang stünde und diesem Rechnung trüge. Option 3 wurde ebenfalls als verhältnismäßig und politisch durchführbar erachtet, da sie im Einklang mit den Erklärungen des Rates und des Parlaments steht, wonach die Union in diesem Bereich tätig werden müsse. Darüber hinaus wurde festgestellt, dass diese Option für Flexibilität sorgen und einen zukunftssicheren Rahmen bieten dürfte, der es kritischen Einrichtungen ermöglicht, im Laufe der Zeit auf unterschiedliche Risiken zu reagieren. Abschließend wurde in der Folgenabschätzung festgestellt, dass diese Option bestehende sektorspezifische und sektorübergreifende Rahmenregelungen und Instrumente ergänzen würde. Bei dieser Option wird beispielsweise berücksichtigt, wenn benannte Einrichtungen bestimmte Verpflichtungen, die in diesem neuen Instrument enthalten sind, durch Verpflichtungen in bereits bestehenden Instrumenten erfüllen; in diesem Fall wären sie nicht verpflichtet, weitere Maßnahmen zu ergreifen. Andererseits wird von ihnen erwartet, dass sie bestimmte Maßnahmen ergreifen, wenn bestehende Instrumente der Angelegenheit nicht gerecht werden oder sich nur auf bestimmte Arten von Risiken oder Maßnahmen beschränken.

Die Folgenabschätzung wurde vom Ausschuss für Regulierungskontrolle geprüft, der am 20. November 2020 eine befürwortende Stellungnahme mit Vorbehalten abgab. Der Ausschuss wies auf einige Elemente der Folgenabschätzung hin, die angegangen werden sollten. So forderte er insbesondere weitere Erläuterungen zu den Risiken im Zusammenhang mit kritischen Infrastrukturen und der grenzüberschreitenden Dimension, zum Zusammenhang zwischen der Initiative und der laufenden Überarbeitung der NIS-Richtlinie und zum Verhältnis zwischen der bevorzugten politischen Option und anderen sektorspezifischen Rechtsvorschriften. Darüber hinaus hielt der Ausschuss eine weitere Begründung für die Ausweitung des sektorspezifischen Anwendungsbereichs des Instruments für erforderlich und forderte zusätzliche Informationen zu den Kriterien für die Auswahl kritischer Einrichtungen. Bezüglich der Verhältnismäßigkeit bat der Ausschuss um eine zusätzliche Erläuterung, inwiefern die bevorzugte Option zu besseren nationalen Reaktionen auf grenzüberschreitende Risiken führen würde. Diese und andere ausführlichere Anmerkungen des Ausschusses wurden in der endgültigen Fassung der Folgenabschätzung behandelt, in der beispielsweise die grenzüberschreitenden Risiken für kritische Infrastrukturen und der Zusammenhang zwischen diesem Vorschlag und dem Vorschlag für die NIS-2-Richtlinie ausführlicher beschrieben werden. Die Anmerkungen des Ausschusses wurden auch im nachfolgenden Richtlinienvorschlag berücksichtigt.

·Effizienz der Rechtsetzung und Vereinfachung

Im Einklang mit dem Programm der Kommission zur Gewährleistung der Effizienz und Leistungsfähigkeit der Rechtsetzung (REFIT) sollten alle Initiativen zur Änderung bestehender EU-Rechtsvorschriften darauf abzielen, die erklärten politischen Ziele zu vereinfachen und effizienter umzusetzen. Die Ergebnisse der Folgenabschätzung legen nahe, dass sich die Gesamtbelastung für die Mitgliedstaaten durch den Vorschlag verringern dürfte. Eine stärkere Angleichung an den dienstleistungsorientierten Ansatz der aktuellen NIS-Richtlinie dürfte im Laufe der Zeit zu geringeren Befolgungskosten führen. So würde beispielsweise das aufwändige grenzüberschreitende Ermittlungs- und Ausweisungsverfahren, das in der geltenden EKI-Richtlinie vorgesehen ist, durch ein risikobasiertes Verfahren auf nationaler Ebene ersetzt, das nur auf die Ermittlung kritischer Einrichtungen abzielt, für die verschiedene Verpflichtungen gelten. Auf der Grundlage der Risikobewertung würden die Mitgliedstaaten kritische Einrichtungen ermitteln, von denen die meisten bereits als Betreiber wesentlicher Dienste im Sinne der geltenden NIS-Richtlinie ausgewiesen sind.

Darüber hinaus werden kritische Einrichtungen durch Maßnahmen zur Verbesserung ihrer Resilienz wahrscheinlich wenig störungsanfällig sein. Dies würde die Wahrscheinlichkeit von Störfällen verringern, die sich negativ auf die Erbringung wesentlicher Dienste in den einzelnen Mitgliedstaaten und in ganz Europa auswirken. Zusammen mit den positiven Auswirkungen, die sich aus der Harmonisierung divergierender nationaler Vorschriften auf Unionsebene ergeben, hätte dies positive Auswirkungen auf Unternehmen, einschließlich Kleinstunternehmen und kleine und mittlere Unternehmen, die allgemeine Gesundheit der Wirtschaft der Union und das zuverlässige Funktionieren des Binnenmarkts.

·Grundrechte

Ziel des vorgeschlagenen Rechtsakts ist es, die Resilienz kritischer Einrichtungen, die verschiedene Arten wesentlicher Dienste erbringen, zu verbessern und gleichzeitig regulatorische Hindernisse zu beseitigen, die einer unionsweiten Erbringung dieser Dienste entgegenstehen. Dadurch würde das Gesamtrisiko für Störungen sowohl auf gesellschaftlicher als auch auf individueller Ebene verringert und die Belastung reduziert werden. Dies würde ein höheres Maß an öffentlicher Sicherheit gewährleisten und gleichzeitig die unternehmerische Freiheit sowie viele andere, auf die Erbringung wesentlicher Dienste angewiesene Wirtschaftsteilnehmer positiv beeinflussen, was letztlich den Verbrauchern zugutekäme. Die Bestimmungen des Vorschlags, mit denen ein wirksames Sicherheitsmanagement für die Beschäftigten gewährleistet werden soll, beinhalten normalerweise die Verarbeitung personenbezogener Daten. Dies ist insofern gerechtfertigt, als Zuverlässigkeitsüberprüfungen bei bestimmten Mitarbeiterkategorien durchgeführt werden müssen. Zudem unterliegt jegliche derartige Verarbeitung personenbezogener Daten stets den Unionsvorschriften zum Schutz personenbezogener Daten, einschließlich der Datenschutz-Grundverordnung 13 .

4.AUSWIRKUNGEN AUF DEN HAUSHALT

Die vorgeschlagene Richtlinie hat Auswirkungen auf den Unionshaushalt. Die für die Umsetzung dieses Vorschlags benötigten Finanzmittel werden für den Zeitraum 2021–2027 mit insgesamt 42,9 Mio. EUR veranschlagt, wovon 5,1 Mio. EUR auf Verwaltungsausgaben entfallen. Diese Kosten lassen sich wie folgt aufschlüsseln:

–Unterstützungsmaßnahmen der Kommission, einschließlich Personalausstattung, Projekte, Studien und Unterstützungsmaßnahmen;

–von der Kommission organisierte Beratungsmissionen;

–regelmäßige Treffen der Gruppe für die Resilienz kritischer Einrichtungen und des Komitologieausschusses sowie sonstige Treffen.

Weitere Angaben zum Haushalt enthält der diesem Vorschlag beigefügte Finanzbogen zu Rechtsakten.

5.WEITERE ANGABEN

·Durchführungspläne sowie Monitoring-, Bewertungs- und Berichterstattungsmodalitäten

Viereinhalb Jahre nach dem Inkrafttreten der vorgeschlagenen Richtlinie wird ihre Umsetzung überprüft, woraufhin die Kommission dem Europäischen Parlament und dem Rat einen Bericht vorlegen wird. In diesem Bericht wird dargelegt, inwieweit die Mitgliedstaaten die erforderlichen Maßnahmen zur Umsetzung der Richtlinie ergriffen haben. Spätestens sechs Jahre nach Inkrafttreten der Richtlinie wird die Kommission dem Europäischen Parlament und dem Rat einen Bericht zur Beurteilung der Folgen und des Mehrwerts der Richtlinie vorlegen.

·Ausführliche Erläuterung einzelner Bestimmungen des Vorschlags

Gegenstand, Anwendungsbereich und Begriffsbestimmungen (Artikel 1 und 2)

In Artikel 1 werden Gegenstand und Anwendungsbereich der Richtlinie festgelegt; demnach werden die Mitgliedstaaten zur Ergreifung bestimmter Maßnahmen verpflichtet, um auf dem Binnenmarkt die Erbringung von Diensten sicherzustellen, die für die Aufrechterhaltung essenzieller gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten wesentlich sind, insbesondere um kritische Einrichtungen zu ermitteln und sie in die Lage zu versetzen, spezifische Verpflichtungen zu erfüllen, die auf die Verbesserung ihrer Resilienz und ihrer Fähigkeit zur Erbringung dieser Dienste auf dem Binnenmarkt abzielen. Darüber hinaus werden in der Richtlinie Vorschriften über die Aufsicht und Durchsetzung kritischer Einrichtungen und die besondere Aufsicht über kritische Einrichtungen mit besonderer europäischer Bedeutung festgelegt. In Artikel 1 werden auch der Zusammenhang zwischen der Richtlinie und anderen einschlägigen Rechtsakten der Union sowie die Bedingungen erläutert, unter denen Informationen, die gemäß den Vorschriften der Union und der Mitgliedstaaten vertraulich sind, mit der Kommission und anderen zuständigen Behörden ausgetauscht werden. Artikel 2 enthält eine Liste der geltenden Begriffsbestimmungen.

Nationale Resilienzrahmen für kritische Einrichtungen (Artikel 3–9)

In Artikel 3 ist festgelegt, dass die Mitgliedstaaten eine Strategie zur Stärkung der Resilienz kritischer Einrichtungen annehmen; außerdem werden die Elemente dieser Strategie beschrieben und wird erläutert, dass diese regelmäßig und bei Bedarf aktualisiert werden sollten, und vorgeschrieben, dass die Mitgliedstaaten der Kommission ihre Strategien sowie etwaige Aktualisierungen derselben mitteilen. Artikel 4 zufolge müssen die zuständigen Behörden eine Liste wesentlicher Dienste erstellen und regelmäßig eine Bewertung aller relevanten Risiken vornehmen, die sich auf die Erbringung dieser wesentlichen Dienste auswirken können, um kritische Einrichtungen zu ermitteln. Bei dieser Bewertung werden die gemäß anderen einschlägigen Unionsvorschriften durchgeführten Risikobewertungen, die sich aus den Abhängigkeiten zwischen bestimmten Sektoren ergebenden Risiken und die verfügbaren Informationen über Sicherheitsvorfälle berücksichtigt. Die Mitgliedstaaten stellen sicher, dass die relevanten Elemente der Risikobewertung den kritischen Einrichtungen zur Verfügung gestellt werden und dass die Daten über die ermittelten Arten von Risiken sowie die Ergebnisse ihrer Risikobewertungen regelmäßig an die Kommission übermittelt werden.

Gemäß Artikel 5 ermitteln die Mitgliedstaaten kritische Einrichtungen in bestimmten Sektoren und Teilsektoren. Dabei sollten die Ergebnisse der Risikobewertung berücksichtigt und bestimmte Kriterien angewandt werden. Die Mitgliedstaaten erstellen eine Liste kritischer Einrichtungen, die regelmäßig und bei Bedarf aktualisiert wird. Die kritischen Einrichtungen werden ordnungsgemäß darüber unterrichtet, dass sie als kritisch eingestuft wurden und welche Verpflichtungen damit einhergehen. Die für die Umsetzung der Richtlinie zuständigen Behörden teilen den für die Umsetzung der NIS-2-Richtlinie zuständigen Behörden die Ermittlung kritischer Einrichtungen mit. Wurde eine Einrichtung von zwei oder mehr Mitgliedstaaten als kritisch eingestuft, konsultieren die Mitgliedstaaten einander, um die Belastung der kritischen Einrichtung zu verringern. Erbringen kritische Einrichtungen Dienste für bzw. in mehr als einem Drittel der Mitgliedstaaten, teilt der betreffende Mitgliedstaat der Kommission die Identität dieser kritischen Einrichtungen mit.

In Artikel 6 wird der Begriff „erhebliche Störung“ im Sinne von Artikel 5 Absatz 2 definiert und werden die Mitgliedstaaten verpflichtet, der Kommission bestimmte Arten von Informationen über die von ihnen ermittelten kritischen Einrichtungen und die Art und Weise der Ermittlung zur Verfügung zu stellen. Außerdem wird der Kommission in Artikel 6 die Befugnis übertragen, nach Anhörung der Gruppe für die Resilienz kritischer Einrichtungen einschlägige Leitlinien zu erlassen.

In Artikel 7 ist festgelegt, dass die Mitgliedstaaten Einrichtungen in den Sektoren Banken, Finanzmarktinfrastruktur und digitale Infrastruktur ermitteln sollten, die ausschließlich für die Zwecke des Kapitels II als kritischen Einrichtungen gleichwertig zu behandeln sind. Diese Einrichtungen sollten darüber unterrichtet werden, dass sie als kritischen Einrichtungen gleichwertig eingestuft wurden.

Gemäß Artikel 8 benennt jeder Mitgliedstaat eine oder mehrere Behörden, die auf nationaler Ebene für die ordnungsgemäße Anwendung der Richtlinie zuständig sind, sowie eine für die Gewährleistung der grenzüberschreitenden Zusammenarbeit verantwortliche zentrale Anlaufstelle und stellt deren angemessene Mittelausstattung sicher. Die zentrale Anlaufstelle legt der Kommission regelmäßig einen zusammenfassenden Bericht über die Meldung von Sicherheitsvorfällen vor. Nach Artikel 8 müssen die für die Anwendung der Richtlinie zuständigen Behörden mit anderen einschlägigen nationalen Behörden sowie den gemäß der NIS-2-Richtlinie benannten zuständigen Behörden zusammenarbeiten. Laut Artikel 9 müssen die Mitgliedstaaten kritische Einrichtungen bei der Gewährleistung ihrer Resilienz unterstützen und die Zusammenarbeit und den freiwilligen Austausch von Informationen und bewährten Verfahren zwischen den zuständigen Behörden und kritischen Einrichtungen erleichtern.

Resilienz kritischer Einrichtungen (Artikel 10–13)

Gemäß Artikel 10 bewerten kritische Einrichtungen regelmäßig alle relevanten Risiken auf der Grundlage nationaler Risikobewertungen und anderer relevanter Informationsquellen. In Artikel 11 ist vorgeschrieben, dass kritische Einrichtungen geeignete und verhältnismäßige technische und organisatorische Maßnahmen ergreifen, um ihre Resilienz zu gewährleisten, und sicherstellen, dass diese Maßnahmen in einem Resilienzplan oder gleichwertigen Dokument(en) beschrieben werden. Die Mitgliedstaaten können die Kommission ersuchen, Beratungsmissionen zu organisieren, um kritische Einrichtungen bei der Erfüllung ihrer Verpflichtungen zu beraten. Mit Artikel 11 wird der Kommission auch die Befugnis übertragen, erforderlichenfalls delegierte Rechtsakte und Durchführungsrechtsakte zu erlassen,

Gemäß Artikel 12 stellen die Mitgliedstaaten sicher, dass kritische Einrichtungen Anträge auf Sicherheitsüberprüfungen für Personen stellen können, die bestimmten Mitarbeiterkategorien angehören oder angehören könnten, und dass diese Anträge von den für die Durchführung solcher Sicherheitsüberprüfungen zuständigen Behörden zügig geprüft werden. In dem Artikel werden Zweck, Umfang und Inhalt der Sicherheitsüberprüfungen beschrieben, die alle im Einklang mit der Datenschutz-Grundverordnung stehen müssen.

Gemäß Artikel 13 stellen die Mitgliedstaaten sicher, dass kritische Einrichtungen der zuständigen Behörde Sicherheitsvorfälle melden, die ihren Betrieb erheblich stören oder erheblich beeinträchtigen könnten. Die zuständigen Behörden stellen der meldenden kritischen Einrichtung ihrerseits relevante Folgeinformationen zur Verfügung. Über die zentrale Anlaufstelle unterrichten die zuständigen Behörden auch die zentralen Anlaufstellen in anderen betroffenen Mitgliedstaaten, wenn der Sicherheitsvorfall grenzüberschreitende Auswirkungen in einem oder mehreren anderen Mitgliedstaaten hat oder haben könnte.

Besondere Aufsicht über kritische Einrichtungen von besonderer europäischer Bedeutung (Artikel 14 und 15)

Gemäß Artikel 14 handelt es sich bei kritischen Einrichtungen von besonderer europäischer Bedeutung um Einrichtungen, die als kritische Einrichtungen eingestuft wurden und wesentliche Dienste für bzw. in mehr als einem Drittel der Mitgliedstaaten erbringen. Nach Erhalt der Mitteilung gemäß Artikel 5 Absatz 6 teilt die Kommission der betreffenden Einrichtung mit, dass sie als kritische Einrichtung von besonderer europäischer Bedeutung gilt, welche Verpflichtungen sich daraus ergeben und ab wann diese Verpflichtungen gelten. In Artikel 15 werden die besonderen Aufsichtsvereinbarungen für kritische Einrichtungen von besonderer europäischer Bedeutung beschrieben, wozu auch gehört, dass die Aufnahmemitgliedstaaten der Kommission und der Gruppe für die Resilienz kritischer Einrichtungen Informationen über die Risikobewertung gemäß Artikel 10 und die gemäß Artikel 11 ergriffenen Maßnahmen sowie etwaige Aufsichts- oder Durchsetzungsmaßnahmen übermitteln. Ferner ist in Artikel 15 vorgesehen, dass die Kommission Beratungsmissionen organisieren kann, um die Maßnahmen zu bewerten, die von bestimmten kritischen Einrichtungen von besonderer europäischer Bedeutung ergriffen wurden. Auf der Grundlage einer Analyse der Ergebnisse der Beratungsmission durch die Gruppe für die Resilienz kritischer Einrichtungen teilt die Kommission dem Mitgliedstaat, in dem sich die Infrastruktur der Einrichtung befindet, ihre Auffassung darüber mit, ob diese Einrichtung ihren Verpflichtungen nachkommt und welche Maßnahmen gegebenenfalls zur Verbesserung der Resilienz ergriffen werden könnten. In dem Artikel werden die Zusammensetzung, Organisation und Finanzierung der Beratungsmissionen beschrieben. Ferner ist darin vorgesehen, dass die Kommission einen Durchführungsrechtsakt erlässt, in dem die Modalitäten für die Durchführung und die Berichte über Beratungsmissionen festgelegt werden.

Zusammenarbeit und Berichterstattung (Artikel 16 und 17)

In Artikel 16 werden Funktion und Aufgaben der Gruppe für die Resilienz kritischer Einrichtungen beschrieben, die sich aus Vertretern der Mitgliedstaaten und der Kommission zusammensetzt. Sie unterstützt die Kommission und erleichtert die strategische Zusammenarbeit und den Informationsaustausch. In dem Artikel wird erläutert, dass die Kommission Durchführungsrechtsakte erlassen kann, in denen die Modalitäten für das Funktionieren der Gruppe für die Resilienz kritischer Einrichtungen festgelegt werden. Gemäß Artikel 17 unterstützt die Kommission die Mitgliedstaaten und kritischen Einrichtungen erforderlichenfalls bei der Einhaltung ihrer Verpflichtungen im Rahmen der Richtlinie und ergänzt die in Artikel 9 genannten Tätigkeiten der Mitgliedstaaten.

Überwachung und Durchsetzung (Artikel 18 und 19)

Gemäß Artikel 18 verfügen die Mitgliedstaaten über bestimmte Befugnisse, Mittel und Zuständigkeiten, um die Umsetzung und Durchsetzung der Richtlinie sicherzustellen. Die Mitgliedstaaten sorgen dafür, dass eine zuständige Behörde nach der Bewertung der Konformität einer kritischen Einrichtung die gemäß der NIS-2-Richtlinie benannten zuständigen Behörden des betreffenden Mitgliedstaats darüber informiert. Ferner kann die zuständige Behörde diese Behörden auffordern, die Cybersicherheit der betreffenden Einrichtung zu bewerten, und sollte zu diesem Zweck zusammenarbeiten und Informationen weitergeben. Gemäß Artikel 19 müssen die Mitgliedstaaten der langjährigen Praxis entsprechend Vorschriften über Sanktionen bei Verstößen erlassen und alle erforderlichen Maßnahmen ergreifen, um die Anwendung dieser Sanktionen sicherzustellen.

Schlussbestimmungen (Artikel 20–26)

Gemäß Artikel 20 wird die Kommission von einem Ausschuss im Sinne der Verordnung (EU) Nr. 182/2011 unterstützt. Hierbei handelt es sich um einen Standardartikel. Mit Artikel 21 wird der Kommission die Befugnis zum Erlass delegierter Rechtsakte unter den in diesem Artikel festgelegten Bedingungen übertragen. Auch hierbei handelt es sich um einen Standardartikel. Nach Artikel 22 legt die Kommission dem Europäischen Parlament und dem Rat einen Bericht darüber vor, inwieweit die Mitgliedstaaten die erforderlichen Maßnahmen getroffen haben, um dieser Richtlinie nachzukommen. Dem Europäischen Parlament und dem Rat ist regelmäßig ein Bericht vorzulegen, in dem die Folgen und der Mehrwert der Richtlinie beurteilt werden und bewertet wird, ob der Anwendungsbereich der Richtlinie auf andere Sektoren oder Teilsektoren, einschließlich Lebensmittelproduktion, ‑verarbeitung und ‑vertrieb, ausgeweitet werden sollte.

Gemäß Artikel 23 wird die Richtlinie 2008/114/EG von dem Datum an, zu dem die vorliegende Verordnung anwendbar ist, aufgehoben. Nach Artikel 24 erlassen und veröffentlichen die Mitgliedstaaten innerhalb der festgesetzten Frist die erforderlichen Rechts- und Verwaltungsvorschriften, um dieser Richtlinie nachzukommen, und setzen die Kommission darüber in Kenntnis. Die Mitgliedstaaten teilen der Kommission den Wortlaut der wichtigsten nationalen Rechtsvorschriften mit, die sie auf dem unter diese Richtlinie fallenden Gebiet erlassen. Gemäß Artikel 25 tritt die Richtlinie am zwanzigsten Tag nach dem Tag ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft. Gemäß Artikel 26 ist die Richtlinie an die Mitgliedstaaten gerichtet.

2020/0365 (COD)

Vorschlag für eine

RICHTLINIE DES EUROPÄISCHEN PARLAMENTS UND DES RATES

über die Resilienz kritischer Einrichtungen

DAS EUROPÄISCHE PARLAMENT UND DER RAT DER EUROPÄISCHEN UNION —

gestützt auf den Vertrag über die Arbeitsweise der Europäischen Union, insbesondere auf Artikel 114,

auf Vorschlag der Europäischen Kommission,

nach Zuleitung des Entwurfs des Gesetzgebungsakts an die nationalen Parlamente,

nach Stellungnahme des Europäischen Wirtschafts- und Sozialausschusses 14 ,

nach Stellungnahme des Ausschusses der Regionen 15 ,

gemäß dem ordentlichen Gesetzgebungsverfahren 16 ,

in Erwägung nachstehender Gründe:

(1)In der Richtlinie 2008/114/EG des Rates 17 ist ein Verfahren für die Ausweisung europäischer kritischer Infrastrukturen im Energiesektor und im Verkehrssektor vorgesehen, deren Störung oder Zerstörung erhebliche Auswirkungen in mindestens zwei Mitgliedstaaten hätte. Die Richtlinie betrifft ausschließlich den Schutz solcher Infrastrukturen. Bei der im Jahr 2019 durchgeführten Evaluierung der Richtlinie 2008/114/EG 18 wurde jedoch festgestellt, dass aufgrund des zunehmend vernetzten und grenzüberschreitenden Charakters von Tätigkeiten, bei denen kritische Infrastrukturen genutzt werden, Schutzmaßnahmen für einzelne Objekte allein nicht ausreichen, um alle Störungen zu verhindern. Deshalb muss der Ansatz so geändert werden, dass darauf abgestellt wird, die Resilienz kritischer Einrichtungen sicherzustellen, d. h., ihre Fähigkeit, die Folgen von Sicherheitsvorfällen, die ihren Betrieb stören könnten, zu begrenzen, aufzufangen, zu bewältigen und die Wiederherstellung zu gewährleisten.

(2)Zwar existieren sowohl auf Unionsebene 19 als auch auf nationaler Ebene Maßnahmen zum Schutz der kritischen Infrastrukturen in der Union, jedoch sind die Einrichtungen, die diese Infrastrukturen betreiben, nicht angemessen ausgestattet, um auf aktuelle und mögliche künftige operative Risiken reagieren zu können, die die Erbringung von Diensten, die für die Erfüllung essenzieller gesellschaftlicher Funktionen oder die Durchführung essenzieller wirtschaftlicher Tätigkeiten wesentlich sind, beeinträchtigen können. Dies ist zum einen auf die dynamische Bedrohungslage mit einer sich wandelnden terroristischen Bedrohung und wachsenden gegenseitigen Abhängigkeiten zwischen Infrastrukturen und Sektoren und zum anderen auf das erhöhte physische Risiko im Zusammenhang mit Naturkatastrophen und dem Klimawandel zurückzuführen, der die Häufigkeit und das Ausmaß von Wetterextremen erhöht und zu langfristigen Veränderungen der durchschnittlichen Klimaverhältnisse führt, die die Kapazität und Effizienz bestimmter Infrastrukturarten verringern können, wenn keine Maßnahmen zur Verbesserung der Resilienz oder zur Anpassung an den Klimawandel getroffen werden. Darüber hinaus werden die betreffenden Sektoren und Arten von Einrichtungen nicht in allen Mitgliedstaaten einheitlich als kritisch eingestuft.

(3)Diese wachsenden gegenseitigen Abhängigkeiten sind das Ergebnis eines sich über immer mehr Grenzen hinweg erstreckenden und zunehmend interdependenten Dienstleistungsnetzes, das zentrale Infrastrukturen in der gesamten Union nutzt, und zwar in den Sektoren Energie, Verkehr, Banken, Finanzmarktinfrastruktur, digitale Infrastruktur, Trinkwasser und Abwasser, Gesundheit, bestimmten Bereichen der öffentlichen Verwaltung sowie im Weltraumsektor, soweit es um die Erbringung bestimmter Dienste geht, die von Bodeninfrastrukturen abhängig sind, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden und von diesen verwaltet und betrieben werden; damit sind Infrastrukturen ausgenommen, die sich im Eigentum der Union befinden oder von der Union oder in ihrem Namen im Rahmen ihrer Weltraumprogramme verwaltet oder betrieben werden. Wegen dieser gegenseitigen Abhängigkeiten kann jede Störung, auch wenn sie anfänglich auf eine Einrichtung oder einen Sektor beschränkt ist, zu breiteren Kaskadeneffekten führen, die weitreichende und lang anhaltende negative Auswirkungen auf die Erbringung von Diensten im gesamten Binnenmarkt haben können. Die COVID-19-Pandemie hat gezeigt, wie anfällig unsere zunehmend interdependenten Gesellschaften für Risiken mit geringer Eintrittswahrscheinlichkeit sind.

(4)Die an der Erbringung wesentlicher Dienste beteiligten Einrichtungen unterliegen zunehmend unterschiedlichen Anforderungen, die sich aus den Rechtsvorschriften der Mitgliedstaaten ergeben. Die Tatsache, dass in einigen Mitgliedstaaten weniger strenge Sicherheitsanforderungen für diese Einrichtungen gelten, kann nicht nur die Aufrechterhaltung essenzieller gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten in der gesamten Union beeinträchtigen, sondern behindert auch das reibungslose Funktionieren des Binnenmarkts. Ähnliche Arten von Einrichtungen gelten in einigen Mitgliedstaaten als kritisch, in anderen jedoch nicht, und selbst die als kritisch eingestuften Einrichtungen unterliegen in verschiedenen Mitgliedstaaten unterschiedlichen Anforderungen. Dies führt zu zusätzlichem und unnötigem Verwaltungsaufwand für grenzübergreifend tätige Einrichtungen, insbesondere für solche, die in Mitgliedstaaten mit strengeren Anforderungen tätig sind.

(5)Um die Erbringung wesentlicher Dienste im Binnenmarkt zu gewährleisten und die Resilienz der kritischen Einrichtungen zu verbessern, müssen daher harmonisierte Mindestvorschriften festgelegt werden.

(6)Um dieses Ziel zu erreichen, sollten die Mitgliedstaaten kritische Einrichtungen ermitteln, die einerseits besonderen Anforderungen und einer spezifischen Aufsicht unterliegen sollten, andererseits aber auch in besonderem Maße unterstützt und mit speziellen Leitfäden ausgestattet werden sollten, um ein hohes Maß an Resilienz gegenüber allen einschlägigen Risiken zu erreichen.

(7)Für bestimmte Wirtschaftssektoren, wie den Energiesektor und den Verkehrssektor, gelten bereits sektorspezifische Rechtsakte der Union, die Vorschriften im Zusammenhang mit bestimmten Aspekten der Resilienz der in diesen Sektoren tätigen Einrichtungen beinhalten, oder es können künftig solche Rechtsakte verabschiedet werden. Um die Resilienz der Einrichtungen, die für das reibungslose Funktionieren des Binnenmarkts von entscheidender Bedeutung sind, umfassend anzugehen, sollten diese sektorspezifischen Maßnahmen durch die in dieser Richtlinie vorgesehenen Maßnahmen ergänzt werden, denn die Richtlinie schafft einen übergreifenden Rahmen, der die Resilienz kritischer Einrichtungen gegenüber allen – durch Naturkatastrophen oder vom Menschen verursachten, unbeabsichtigten und vorsätzlichen – Gefahren berücksichtigt.

(8)Angesichts der Bedeutung der Cybersicherheit für die Resilienz kritischer Einrichtungen und im Sinne der Kohärenz sollte dieser Richtlinie und der Richtlinie (EU) XX/YY des Europäischen Parlaments und des Rates 20 [vorgeschlagene Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Cybersicherheitsniveaus in der Union] (im Folgenden „NIS-2-Richtlinie) ein möglichst kohärenter Ansatz zugrunde liegen. Im Hinblick auf die häufiger auftretenden Cyberrisiken und ihre besonderen Merkmale sieht die NIS-2-Richtlinie für eine Vielzahl von Einrichtungen umfassende Anforderungen vor, die ihre Cybersicherheit gewährleisten sollen. Da die NIS-2-Richtlinie das Thema Cybersicherheit ausreichend abdeckt, sollte ihr Inhalt unbeschadet der besonderen Regelungen für Einrichtungen, die im Bereich der digitalen Infrastruktur tätig sind, vom Anwendungsbereich der vorliegenden Richtlinie ausgenommen werden.

(9)Um Doppelarbeit und unnötigen Verwaltungsaufwand zu vermeiden, sollten die einschlägigen Bestimmungen dieser Richtlinie keine Anwendung finden, wenn kritische Einrichtungen gemäß den Bestimmungen anderer Rechtsakte der Union entweder relevante Risiken bewerten oder Maßnahmen zur Gewährleistung ihrer Resilienz ergreifen oder Sicherheitsvorfälle melden müssen und die entsprechenden Anforderungen den in dieser Richtlinie festgelegten Verpflichtungen zumindest gleichwertig sind. In diesem Fall sollten die in diesen anderen Rechtsakten festgelegten Bestimmungen Anwendung finden. Wenn die einschlägigen Bestimmungen dieser Richtlinie nicht anwendbar sind, sollten auch ihre Aufsichts- und Durchsetzungsbestimmungen nicht anwendbar sein. Dennoch sollten die Mitgliedstaaten alle im Anhang aufgeführten Sektoren in ihre Strategie zur Erhöhung der Resilienz kritischer Einrichtungen, in die Risikobewertung und in die Unterstützungsmaßnahmen gemäß Kapitel II einbeziehen und in der Lage sein, zu ermitteln, welche kritischen Einrichtungen zu jenen Sektoren gehören, in denen die geltenden Bedingungen erfüllt sind, wobei die besonderen Regelungen für Einrichtungen im Bankensektor und im Bereich der Finanzmarkt- und Digitalinfrastruktur zu berücksichtigen sind.

(10)Um in Bezug auf die Resilienz kritischer Einrichtungen einen umfassenden Ansatz zu gewährleisten, sollte jeder Mitgliedstaat über eine Strategie verfügen, in der die Ziele und die politischen Maßnahmen zu ihrer Umsetzung festgelegt sind. Zu diesem Zweck sollten die Mitgliedstaaten sicherstellen, dass ihre Cybersicherheitsstrategien in Bezug auf den Informationsaustausch über Sicherheitsvorfälle und Cyberbedrohungen und in Bezug auf die Wahrnehmung von Aufsichtsaufgaben einen Rahmen für eine verstärkte Koordinierung zwischen der gemäß der vorliegenden Richtlinie zuständigen Behörde und der gemäß der NIS-2-Richtlinie zuständigen Behörde vorsehen.

(11)Die Maßnahmen der Mitgliedstaaten zur Ermittlung der kritischen Einrichtungen und zur Gewährleistung ihrer Resilienz sollten einem risikobasierten Ansatz folgen, bei dem diejenigen Einrichtungen im Fokus stehen, die für die Erfüllung essenzieller gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten am wichtigsten sind. Um einen solchen gezielten Ansatz zu ermöglichen, sollte jeder Mitgliedstaat innerhalb eines harmonisierten Rahmens eine Bewertung aller einschlägigen natürlichen und vom Menschen verursachten Risiken vornehmen, die sich auf die Erbringung wesentlicher Dienste auswirken können, wie Unfälle, Naturkatastrophen, Notsituationen im Bereich der öffentlichen Gesundheit, einschließlich Pandemien, und feindliche Bedrohungen, einschließlich terroristischer Straftaten. Bei der Durchführung dieser Risikobewertungen sollten die Mitgliedstaaten andere allgemeine oder sektorspezifische Risikobewertungen berücksichtigen, die gemäß anderen Unionsrechtsakten durchgeführt werden, und den Abhängigkeiten zwischen Sektoren, auch in Bezug auf andere Mitgliedstaaten und Drittstaaten, Rechnung tragen. Die Ergebnisse der Risikobewertung sollten bei der Ermittlung kritischer Einrichtungen verwendet werden sowie dazu, diese bei der Erfüllung der Resilienzanforderungen dieser Richtlinie zu unterstützen.

(12)Um sicherzustellen, dass alle betreffenden Einrichtungen diesen Anforderungen unterliegen, und um diesbezügliche Unterschiede zu verringern, ist es wichtig, harmonisierte Vorschriften festzulegen, die eine einheitliche Ermittlung kritischer Einrichtungen in der gesamten Union ermöglichen und die es den Mitgliedstaaten dennoch erlauben, nationalen Besonderheiten Rechnung zu tragen. Daher sollten für die Ermittlung kritischer Einrichtungen Kriterien festgelegt werden. Im Interesse der Wirksamkeit, Effizienz, Kohärenz und Rechtssicherheit sollten auch geeignete Vorschriften für die Mitteilung und Zusammenarbeit in Bezug auf die Ermittlung kritischer Einrichtungen sowie die Rechtsfolgen festgelegt werden. Damit die Kommission die ordnungsgemäße Anwendung dieser Richtlinie bewerten kann, sollten die Mitgliedstaaten der Kommission in möglichst detaillierter und präziser Form sachdienliche Informationen und in jedem Fall die Liste der wesentlichen Dienste, die Anzahl der für jeden im Anhang genannten Sektor und Teilsektor ermittelten kritischen Einrichtungen und die von jeder Einrichtung erbrachten wesentlichen Dienste sowie die gegebenenfalls angewandten Schwellenwerte übermitteln.

(13)Ferner sollten Kriterien festgelegt werden, um das Ausmaß einer durch einen Sicherheitsvorfall verursachten Störung zu bestimmen. Diese Kriterien sollten sich an den in der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates 21 festgelegten Kriterien orientieren, um die Anstrengungen der Mitgliedstaaten zur Ermittlung der betreffenden Betreiber und die diesbezüglich gewonnenen Erfahrungen zu nutzen.

(14)Die im Sektor der digitalen Infrastruktur tätigen Einrichtungen betreiben im Wesentlichen Netz- und Informationssysteme und fallen in den Anwendungsbereich der NIS-2-Richtlinie, sodass hinsichtlich der physischen Sicherheit solcher Systeme deren Anforderungen an das Risikomanagement und die Berichtspflichten im Bereich der Cybersicherheit gelten. Da die NIS-2-Richtlinie diesen Bereich bereits abdeckt, gelten die Verpflichtungen aus der vorliegenden Richtlinie nicht für diese Einrichtungen. Angesichts der Tatsache, dass die von Einrichtungen im Sektor der digitalen Infrastruktur erbrachten Dienste für die Erbringung anderer wesentlicher Dienste sehr wichtig sind, sollten die Mitgliedstaaten jedoch auf der Grundlage der in der vorliegenden Richtlinie vorgesehenen Kriterien und Verfahren auch die im Sektor der digitalen Infrastruktur tätigen Einrichtungen ermitteln, die lediglich für die Zwecke des Kapitels II als kritischen Einrichtungen gleichgestellt zu behandeln sind, was auch die Verpflichtung der Mitgliedstaaten umfasst, diese Einrichtungen beim Ausbau ihrer Resilienz zu unterstützen. Folglich sollten diese Einrichtungen nicht den in den Kapiteln III bis VI festgelegten Verpflichtungen unterliegen. Da sich die in Kapitel II festgelegte Verpflichtung für kritische Einrichtungen, den zuständigen Behörden bestimmte Informationen zu übermitteln, auf die Anwendung der Kapitel III und IV bezieht, sollten diese Einrichtungen auch von dieser Verpflichtung ausgenommen sein.

(15)Der EU-Besitzstand im Bereich der Finanzdienstleistungen enthält umfassende Anforderungen für Finanzunternehmen in Bezug auf die Steuerung aller Risiken, einschließlich der operationellen Risiken, und die Aufrechterhaltung des Betriebs. Er umfasst die Verordnung (EU) Nr. 648/2012 des Europäischen Parlaments und des Rates 22 , die Richtlinie 2014/65/EU des Europäischen Parlaments und des Rates 23 , die Verordnung (EU) Nr. 600/2014 des Europäischen Parlaments und des Rates 24 , die Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates 25 sowie die Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates 26 . Die Kommission hat kürzlich vorgeschlagen, diesen Rahmen durch die Verordnung XX/YYYY des Europäischen Parlaments und des Rates [vorgeschlagene Verordnung über die digitale Betriebsstabilität des Finanzsektors („DORA-Verordnung“) 27 ] zu ergänzen, in der Anforderungen für Finanzunternehmen in Bezug auf den Umgang mit IKT-Risiken und unter anderem auch auf den physischen Schutz der IKT-Infrastrukturen festgelegt sind. Da die Resilienz der unter den Nummern 3 und 4 des Anhangs aufgeführten Einrichtungen durch den EU-Besitzstand im Bereich der Finanzdienstleistungen umfassend abgedeckt wird, sollten diese Einrichtungen ebenfalls nur für die Zwecke des Kapitels II der vorliegenden Richtlinie als kritischen Einrichtungen gleichgestellt behandelt werden. Um eine kohärente Anwendung der Vorschriften in Bezug auf operationelle Risiken und digitale Betriebsstabilität im Finanzsektor zu gewährleisten, sollte die Unterstützung, die die Mitgliedstaaten den als kritischen Einrichtungen gleichgestellt zu behandelnden Finanzunternehmen beim Ausbau ihrer Gesamtresilienz angedeihen lassen, von den gemäß Artikel 41 der [DORA-Verordnung] benannten Behörden in vollständig harmonisierter Weise und gemäß den in dieser Verordnung festgelegten Verfahren gewährleistet werden.

(16)Die Mitgliedstaaten sollten Behörden benennen, die für die Überwachung der Anwendung dieser Richtlinie und erforderlichenfalls für die Durchsetzung ihrer Vorschriften zuständig sind, und dafür sorgen, dass diese Behörden über angemessene Befugnisse und Ressourcen verfügen. Angesichts der unterschiedlichen nationalen Verwaltungsstrukturen und zwecks Beibehaltung von bereits bestehenden sektorbezogenen Vereinbarungen und Aufsichts- und Regulierungsstellen der Union sowie zur Vermeidung von Doppelarbeit sollten die Mitgliedstaaten befugt sein, mehr als eine zuständige Behörde zu benennen. In diesem Fall sollten sie jedoch die jeweiligen Aufgaben der betreffenden Behörden klar abgrenzen und sicherstellen, dass sie reibungslos und wirksam zusammenarbeiten. Alle zuständigen Behörden sollten generell sowohl auf nationaler als auch auf Unionsebene mit anderen einschlägigen Behörden zusammenarbeiten.

(17)Zur Erleichterung der grenzüberschreitenden Zusammenarbeit und Kommunikation und um die effektive Umsetzung dieser Richtlinie zu ermöglichen, sollte jeder Mitgliedstaat unbeschadet sektorbezogener Rechtsvorschriften der Union eine nationale zentrale Anlaufstelle benennen, die für die Koordinierung von Fragen im Zusammenhang mit der Resilienz kritischer Einrichtungen und für die grenzüberschreitende Zusammenarbeit auf Unionsebene zuständig ist und die Teil einer der Behörden ist, die der Mitgliedstaat als zuständige Behörden im Sinne dieser Richtlinie benannt hat.

(18)Da Einrichtungen, die nach der NIS-2-Richtlinie als kritische Einrichtungen eingestuft wurden, sowie Einrichtungen im Bereich der digitalen Infrastruktur, die nach der vorliegenden Richtlinie als diesen gleichgestellt zu behandeln sind, den Anforderungen der NIS-2-Richtlinie an die Cybersicherheit unterliegen, sollten die gemäß den beiden Richtlinien benannten zuständigen Behörden insbesondere in Bezug auf Cybersicherheitsrisiken und -vorfälle, die diese Einrichtungen betreffen, zusammenarbeiten.

(19)Unbeschadet der eigenen rechtlichen Verantwortung der kritischen Einrichtungen, die in der vorliegenden Richtlinie enthaltenen Verpflichtungen einzuhalten, sollten die Mitgliedstaaten im Einklang mit ihren Verpflichtungen aus der vorliegenden Richtlinie die kritischen Einrichtungen beim Ausbau ihrer Resilienz unterstützen. Die Mitgliedstaaten könnten insbesondere Leitfäden und Methoden für ihre kritischen Einrichtungen entwickeln, sie bei der Organisation von Übungen zur Prüfung ihrer Resilienz unterstützen und Schulungen für ihr Personal bereitstellen. Darüber hinaus sollten die Mitgliedstaaten angesichts der gegenseitigen Abhängigkeiten zwischen kritischen Einrichtungen und Sektoren unbeschadet der Anwendung der im Vertrag über die Arbeitsweise der Europäischen Union festgelegten Wettbewerbsregeln Möglichkeiten für den freiwilligen Informationsaustausch zwischen kritischen Einrichtungen vorsehen.

(20)Damit sie ihre Resilienz gewährleisten können, sollten den kritischen Einrichtungen die Risiken, denen sie ausgesetzt sind, in ihrer Gesamtheit bekannt sein, und sie sollten diese Risiken analysieren. Zu diesem Zweck sollten sie immer, wenn ihre besondere Situation oder die Entwicklung der Risiken dies rechtfertigen, in jedem Fall jedoch alle vier Jahre Risikobewertungen durchführen. Die Risikobewertungen der kritischen Einrichtungen sollten sich auf die von den Mitgliedstaaten durchgeführte Risikobewertung stützen.

(21)Die kritischen Einrichtungen sollten organisatorische und technische Maßnahmen ergreifen, die den Risiken, denen sie ausgesetzt sind, angemessen und geeignet sind, einen Sicherheitsvorfall zu verhindern, abzuwehren, die Folgen eines solchen Vorfalls zu begrenzen, aufzufangen, zu bewältigen und die Wiederherstellung zu gewährleisten. Obwohl die kritischen Einrichtungen in allen in dieser Richtlinie genannten Punkten Maßnahmen ergreifen sollten, sollten die Detailliertheit und der Umfang der jeweiligen Maßnahmen die einzelnen Risiken, die jede Einrichtung im Rahmen ihrer Risikobewertung ermittelt hat, und die besondere Situation der betreffenden Einrichtung auf angemessene und verhältnismäßige Weise widerspiegeln.

(22)Um diese Ziele in Bezug auf die ermittelten Risiken zu erreichen, sollten die kritischen Einrichtungen diese Maßnahmen – auch im Interesse ihrer Rechenschaftspflicht und der Wirksamkeit der Maßnahmen – in einem Resilienzplan oder in Dokumenten, die einem Resilienzplan gleichwertig sind, hinreichend detailliert beschreiben und diesen Plan in der Praxis anwenden. Diese gleichwertigen Dokumente können gegebenenfalls gemäß Anforderungen und Standards erstellt werden, die im Rahmen internationaler Übereinkünfte über den physischen Schutz, denen die Mitgliedstaaten als Vertragsparteien angehören, ausgearbeitet wurden, beispielsweise im Rahmen des Übereinkommens über den physischen Schutz von Kernmaterial und Kernanlagen.

(23)Die Verordnung (EG) Nr. 300/2008 des Europäischen Parlaments und des Rates 28 , die Verordnung (EG) Nr. 725/2004 des Europäischen Parlaments und des Rates 29 und die Richtlinie 2005/65/EG des Europäischen Parlaments und des Rates 30 enthalten Verpflichtungen für im Luft- und Seeverkehr tätige Einrichtungen, die darauf abstellen, Sicherheitsvorfälle, die auf rechtswidrige Handlungen zurückzuführen sind, zu verhindern und abzuwehren und die Folgen solcher Vorfälle zu begrenzen. Zwar sind die in dieser Richtlinie geforderten Maßnahmen breiter gefasst, was die zu behandelnden Risiken und die Art der zu ergreifenden Maßnahmen angeht, doch sollten die kritischen Einrichtungen der genannten Sektoren in ihrem Resilienzplan oder gleichwertigen Dokumenten auch auf die gemäß diesen anderen Rechtsakten der Union ergriffenen Maßnahmen eingehen. Darüber hinaus können die kritischen Einrichtungen bei der Umsetzung von Resilienzmaßnahmen im Rahmen dieser Richtlinie in Erwägung ziehen, auf nicht verbindliche Leitlinien und Dokumente über bewährte Verfahren zu verweisen, die im Rahmen sektorspezifischer Initiativen, wie etwa der EU-Plattform für die Sicherheit im Schienenpersonenverkehr 31 , ausgearbeitet wurden.

(24)Das Risiko, dass Mitarbeiter kritischer Einrichtungen beispielsweise ihre Zugangsrechte innerhalb der Organisation missbrauchen, um Schaden zu verursachen, gibt zunehmend Anlass zur Sorge. Diese Gefahr wird durch das zunehmende Phänomen der zu gewaltbereitem Extremismus und Terrorismus führenden Radikalisierung noch verschärft. Daher muss es für kritische Einrichtungen möglich sein, für bestimmte Kategorien ihres Personals Zuverlässigkeitsüberprüfungen zu beantragen, und es ist dafür zu sorgen, dass diese Anträge von den betreffenden Behörden im Einklang mit den geltenden nationalen und EU-Rechtsvorschriften, auch hinsichtlich des Schutzes personenbezogener Daten, zügig geprüft werden.

(25)Kritische Einrichtungen sollten den zuständigen Behörden der Mitgliedstaaten, sobald dies unter den jeweiligen Umständen nach vernünftigem Ermessen möglich ist, Sicherheitsvorfälle melden, die ihren Betrieb erheblich stören oder erheblich stören könnten. Die Meldung sollte es den zuständigen Behörden ermöglichen, rasch und angemessen auf Sicherheitsvorfälle zu reagieren und sich einen umfassenden Überblick über die Risiken zu verschaffen, denen kritische Einrichtungen insgesamt ausgesetzt sind. Zu diesem Zweck sollte ein Verfahren für die Meldung bestimmter Sicherheitsvorfälle eingeführt werden, und es sollten Parameter vorgesehen werden, anhand deren festgestellt werden kann, ob die tatsächliche oder potenzielle Störung erheblich ist und der Sicherheitsvorfall gemeldet werden sollte. Angesichts der möglicherweise grenzüberschreitenden Auswirkungen solcher Störungen sollte ein Verfahren eingeführt werden, nach dem die Mitgliedstaaten die anderen betroffenen Mitgliedstaaten über zentrale Anlaufstellen informieren.

(26)Zwar sind kritische Einrichtungen in der Regel als Teil eines immer stärker verflochtenen Dienste- und Infrastrukturennetzes tätig und erbringen häufig wesentliche Dienste in mehr als einem Mitgliedstaat, doch sind einige dieser Einrichtungen für die Union von besonderer Bedeutung, da sie wesentliche Dienste für eine große Zahl von Mitgliedstaaten erbringen und daher eine spezifische Aufsicht auf Unionsebene erfordern. Daher sollten für die spezifische Aufsicht über solche kritischen Einrichtungen, die für Europa von besonderer Bedeutung sind, Vorschriften festgelegt werden. Diese Vorschriften sollten die Aufsichts- und Durchsetzungsvorschriften der vorliegenden Richtlinie unberührt lassen.

(27)Ist ein Mitgliedstaat der Auffassung, dass zusätzliche Informationen erforderlich sind, um eine kritische Einrichtung bei der Erfüllung ihrer Verpflichtungen nach Kapitel III beraten zu können oder um zu bewerten, ob eine kritische Einrichtung, die für Europa von besonderer Bedeutung ist, diese Verpflichtungen erfüllt, sollte die Kommission im Einvernehmen mit dem Mitgliedstaat, in dem sich die Infrastruktur dieser Einrichtung befindet, eine Beratungsmission zur Bewertung der von dieser Einrichtung ergriffenen Maßnahmen organisieren. Um sicherzustellen, dass diese Beratungsmissionen ordnungsgemäß durchgeführt werden, sollten insbesondere in Bezug auf ihre Organisation und Durchführung, die zu ergreifenden Folgemaßnahmen und die Verpflichtungen, die sich für die betreffenden kritischen Einrichtungen, die für Europa von besonderer Bedeutung sind, in diesem Zusammenhang ergeben, ergänzende Vorschriften festgelegt werden. Unbeschadet des Gebots, dass der Mitgliedstaat, in dem die Beratungsmission durchgeführt wird, sowie die betreffende Einrichtung die Vorschriften dieser Richtlinie einhalten müssen, sollten die Beratungsmissionen den Rechtsvorschriften dieses Mitgliedstaats – beispielsweise über die genauen Bedingungen für den Zugang zu den betreffenden Räumlichkeiten oder Dokumenten und über Rechtsbehelfe – unterliegen. Das für solche Missionen erforderliche Fachwissen könnte gegebenenfalls über das Zentrum für die Koordination von Notfallmaßnahmen angefordert werden.

(28)Um die Kommission zu unterstützen und die strategische Zusammenarbeit sowie den Austausch von Informationen und bewährten Verfahren zu Fragen im Zusammenhang mit dieser Richtlinie zu erleichtern, sollte eine Gruppe für die Resilienz kritischer Einrichtungen eingerichtet werden, bei der es sich um eine Expertengruppe der Kommission handelt. Die Mitgliedstaaten sollten sich bemühen, eine wirksame und effiziente Zusammenarbeit der benannten Vertreter ihrer zuständigen Behörden in der Gruppe für die Resilienz kritischer Einrichtungen sicherzustellen. Die Gruppe sollte ihre Arbeit sechs Monate nach Inkrafttreten dieser Richtlinie aufnehmen, damit während der Umsetzungsfrist dieser Richtlinie bereits zusätzliche Mittel für eine angemessene Zusammenarbeit zur Verfügung stehen.

(29)Zur Verwirklichung der Ziele dieser Richtlinie und unbeschadet der rechtlichen Verantwortung der Mitgliedstaaten und kritischen Einrichtungen, für die Erfüllung ihrer jeweiligen in der Richtlinie festgelegten Verpflichtungen zu sorgen, sollte die Kommission, sofern sie dies für angemessen hält, bestimmte unterstützende Tätigkeiten durchführen, um die Erfüllung dieser Verpflichtungen zu erleichtern. Bei ihrer Unterstützung der Mitgliedstaaten und kritischen Einrichtungen bei der Umsetzung der Verpflichtungen aus dieser Richtlinie sollte die Kommission auf bestehenden Strukturen und Instrumenten aufbauen, beispielsweise auf dem Katastrophenschutzverfahren der Union und dem Europäischen Referenznetz für den Schutz kritischer Infrastrukturen.

(30)Die Mitgliedstaaten sollten dafür sorgen, dass ihre zuständigen Behörden bestimmte spezifische Befugnisse für die ordnungsgemäße Anwendung und Durchsetzung dieser Richtlinie in Bezug auf kritische Einrichtungen haben, die gemäß dieser Richtlinie ihrer rechtlichen Zuständigkeit unterliegen. Diese Befugnisse sollten insbesondere die Möglichkeit umfassen, Inspektionen, Aufsichtsmaßnahmen und Audits durchzuführen, kritische Einrichtungen dazu zu verpflichten, Informationen und Nachweise über die Maßnahmen vorzulegen, die sie zur Erfüllung ihrer Verpflichtungen ergriffen haben, und erforderlichenfalls Anordnungen zur Behebung festgestellter Verstöße zu erlassen. Beim Erlass solcher Anordnungen sollten die Mitgliedstaaten keine Maßnahmen vorschreiben, die über das hinausgehen, was erforderlich und verhältnismäßig ist, um die Erfüllung der jeweiligen Verpflichtung durch die betreffende kritische Einrichtung sicherzustellen, wobei insbesondere der Schwere des Verstoßes und der wirtschaftlichen Leistungsfähigkeit der kritischen Einrichtung Rechnung zu tragen ist. Generell sollten diese Befugnisse mit angemessenen und wirksamen Garantien einhergehen, die im nationalen Recht im Einklang mit den sich aus der Charta der Grundrechte der Europäischen Union ergebenden Anforderungen festzulegen sind. Im Zuge der Bewertung, ob eine kritische Einrichtung ihre Verpflichtungen aus dieser Richtlinie erfüllt, sollten die nach dieser Richtlinie benannten zuständigen Behörden die gemäß der NIS-2-Richtlinie benannten zuständigen Behörden ersuchen können, die Cybersicherheit der betreffenden Einrichtung zu bewerten. Die zuständigen Behörden sollten zu diesem Zweck zusammenarbeiten und Informationen austauschen.

(31)Um neuen Risiken, technologischen Entwicklungen oder den Besonderheiten eines oder mehrerer Sektoren Rechnung zu tragen, sollte der Kommission die Befugnis übertragen werden, gemäß Artikel 290 des Vertrags über die Arbeitsweise der Europäischen Union Rechtsakte zu erlassen, in denen einige oder alle für kritische Einrichtungen vorgeschriebenen Resilienzmaßnahmen genauer spezifiziert werden. Es ist von besonderer Bedeutung, dass die Kommission im Zuge ihrer Vorbereitungsarbeit angemessene Konsultationen, auch auf der Ebene von Sachverständigen, durchführt, die mit den Grundsätzen in Einklang stehen, die in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung niedergelegt wurden 32 . Um insbesondere für eine gleichberechtigte Beteiligung an der Vorbereitung delegierter Rechtsakte zu sorgen, erhalten das Europäische Parlament und der Rat alle Dokumente zur gleichen Zeit wie die Sachverständigen der Mitgliedstaaten, und ihre Sachverständigen haben systematisch Zugang zu den Sitzungen der Sachverständigengruppen der Kommission, die mit der Vorbereitung der delegierten Rechtsakte befasst sind.

(32)Zur Gewährleistung einheitlicher Bedingungen für die Durchführung dieser Richtlinie sollten der Kommission Durchführungsbefugnisse übertragen werden. Diese Befugnisse sollten im Einklang mit der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates ausgeübt werden 33 .

(33)Da die Ziele dieser Richtlinie, nämlich die Gewährleistung der Erbringung von Diensten im Binnenmarkt, die für die Aufrechterhaltung essenzieller gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten von wesentlicher Bedeutung sind, und die Verbesserung der Resilienz der diese Dienste erbringenden kritischen Einrichtungen, von den Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern vielmehr wegen der Wirkung der Maßnahme auf Unionsebene besser zu verwirklichen sind, kann die Union im Einklang mit dem in Artikel 5 des Vertrags über die Europäische Union verankerten Subsidiaritätsprinzip tätig werden. Entsprechend dem in demselben Artikel genannten Grundsatz der Verhältnismäßigkeit geht diese Richtlinie nicht über das für die Verwirklichung dieser Ziele erforderliche Maß hinaus.

(34)Die Richtlinie 2008/114/EG sollte daher aufgehoben werden —

HABEN FOLGENDE RICHTLINIE ERLASSEN:

Kapitel I
Gegenstand, Anwendungsbereich und Begriffsbestimmungen

Artikel 1
Gegenstand und Anwendungsbereich

(1)Die vorliegende Richtlinie

a)verpflichtet die Mitgliedstaaten, zur Gewährleistung der Erbringung von Diensten im Binnenmarkt, die für die Aufrechterhaltung essenzieller gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten wesentlich sind, bestimmte Maßnahmen zu ergreifen und insbesondere kritische Einrichtungen und Einrichtungen, die in bestimmter Hinsicht als diesen gleichgestellt zu behandeln sind, zu ermitteln und sie in die Lage zu versetzen, ihre Verpflichtungen zu erfüllen;

b)legt Verpflichtungen für kritische Einrichtungen fest, die darauf abzielen, ihre Resilienz und ihre Fähigkeit zur Erbringung dieser Dienste im Binnenmarkt zu verbessern;

c)regelt die Beaufsichtigung von und die Durchsetzungsmaßnahmen gegenüber kritischen Einrichtungen sowie die spezifische Aufsicht über kritische Einrichtungen, die für Europa von besonderer Bedeutung sind.

(2)Unbeschadet des Artikels 7 gilt diese Richtlinie nicht für Angelegenheiten, die unter die Richtlinie (EU) XX/YY [vorgeschlagene Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Cybersicherheitsniveaus in der Union (im Folgenden „NIS-2-Richtlinie)] fallen.

(3)Wenn kritische Einrichtungen gemäß den Bestimmungen sektorspezifischer Rechtsakte der Union Maßnahmen nach Kapitel III ergreifen müssen und die entsprechenden Anforderungen den in dieser Richtlinie festgelegten Verpflichtungen, einschließlich der in Kapitel VI festgelegten Bestimmungen in Bezug auf die Aufsicht und die Durchsetzung, zumindest gleichwertig sind, finden die betreffenden Bestimmungen dieser Richtlinie keine Anwendung.

(4)Unbeschadet des Artikels 346 AEUV werden Informationen, die gemäß den Vorschriften der Union und der Mitgliedstaaten, wie z. B. Vorschriften über das Geschäftsgeheimnis, vertraulich sind, mit der Kommission und anderen zuständigen Behörden nur ausgetauscht, wenn dieser Austausch für die Anwendung dieser Richtlinie erforderlich ist. Die auszutauschenden Informationen werden auf den zum Zweck dieses Informationsaustauschs relevanten und angemessenen Umfang beschränkt. Beim Informationsaustausch werden die Vertraulichkeit der Informationen gewahrt sowie die Sicherheit und die geschäftlichen Interessen kritischer Einrichtungen geschützt.

Artikel 2
Begriffsbestimmungen

Für die Zwecke dieser Richtlinie bezeichnet der Ausdruck

1.„kritische Einrichtung“ eine öffentliche oder private Einrichtung einer im Anhang genannten Art, die ein Mitgliedstaat in Anwendung des Artikels 5 als solche eingestuft hat;

2.„Resilienz“ die Fähigkeit, einen Sicherheitsvorfall, der den Betrieb einer kritischen Einrichtung stört oder stören könnte, zu verhindern, abzuwehren, die Folgen eines solchen Vorfalls zu begrenzen, aufzufangen, zu bewältigen und die Wiederherstellung zu gewährleisten;

3.„Sicherheitsvorfall“ jedes Ereignis, das den Betrieb einer kritischen Einrichtung stört oder stören könnte;

4. „Infrastruktur“ ein Objekt, ein System oder einen Teil davon, das bzw. der für die Erbringung eines wesentlichen Dienstes erforderlich ist;

5. „wesentlicher Dienst“ einen Dienst, der für die Aufrechterhaltung essenzieller gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten wesentlich ist;

6.„Risiko“ alle Umstände oder Ereignisse, die potenziell schädliche Auswirkungen auf die Resilienz kritischer Einrichtungen haben;

7.„Risikobewertung“ eine Methode zur Bestimmung der Art und des Ausmaßes eines Risikos, bei der potenzielle Bedrohungen und Gefahren sowie bestehende Anfälligkeiten, die den Betrieb einer kritischen Einrichtung stören könnten, analysiert und bewertet werden.

Kapitel II
Nationale Resilienzrahmen für kritische Einrichtungen

Artikel 3
Resilienzstrategien für kritische Einrichtungen

(1)Jeder Mitgliedstaat verabschiedet spätestens am [drei Jahre nach Inkrafttreten dieser Richtlinie] eine Strategie zur Erhöhung der Resilienz kritischer Einrichtungen. In dieser Strategie sind die strategischen Ziele und politischen Maßnahmen festgelegt, mit denen ein hohes Resilienzniveau dieser kritischen Einrichtungen erreicht und aufrechterhalten und mindestens die im Anhang genannten Sektoren abgedeckt werden sollen.

(2)Die Strategie enthält mindestens Folgendes:

a)strategische Ziele und Prioritäten zur Verbesserung der Gesamtresilienz kritischer Einrichtungen unter Berücksichtigung grenzüberschreitender und sektorübergreifender gegenseitiger Abhängigkeiten;

b)einen Steuerungsrahmen zur Verwirklichung der strategischen Ziele und Prioritäten, einschließlich einer Beschreibung der Aufgaben und Zuständigkeiten der jeweiligen Behörden, kritischen Einrichtungen und sonstigen an der Umsetzung der Strategie beteiligten Akteure;

c)eine Beschreibung der Maßnahmen, die zur Verbesserung der Gesamtresilienz kritischer Einrichtungen erforderlich sind, einschließlich einer nationalen Risikobewertung, der Ermittlung kritischer Einrichtungen und von Einrichtungen, die als kritischen Einrichtungen gleichgestellt zu behandeln sind, sowie der Maßnahmen, die gemäß diesem Kapitel zur Unterstützung kritischer Einrichtungen zu ergreifen sind;

d)einen politischen Rahmen für eine verstärkte Koordinierung zwischen den gemäß Artikel 8 dieser Richtlinie und den gemäß der [NIS-2-Richtlinie] benannten zuständigen Behörden für die Zwecke des Informationsaustauschs über Sicherheitsvorfälle und Cyberbedrohungen sowie der Wahrnehmung von Aufsichtsaufgaben.

Die Strategie wird je nach Bedarf, mindestens jedoch alle vier Jahre, aktualisiert.

(3)Die Mitgliedstaaten teilen der Kommission ihre Strategien und aktualisierten Fassungen dieser Strategien innerhalb von drei Monaten nach ihrer Verabschiedung mit.

Artikel 4
Risikobewertungen durch die Mitgliedstaaten

(1)Die gemäß Artikel 8 benannten zuständigen Behörden erstellen eine Liste wesentlicher Dienste in den im Anhang genannten Sektoren. Sie führen bis zum [drei Jahre nach Inkrafttreten dieser Richtlinie] und anschließend je nach Bedarf, mindestens aber alle vier Jahre, eine Bewertung aller relevanten Risiken durch, die sich auf die Erbringung dieser wesentlichen Dienste auswirken könnten, um auf diese Weise kritische Einrichtungen gemäß Artikel 5 Absatz 1 zu ermitteln und diese bei der Ergreifung von Maßnahmen gemäß Artikel 11 zu unterstützen.

Bei der Risikobewertung werden alle relevanten natürlichen und vom Menschen verursachten Risiken berücksichtigt, darunter Unfälle, Naturkatastrophen, Notsituationen im Bereich der öffentlichen Gesundheit und feindliche Bedrohungen, einschließlich terroristischer Straftaten gemäß der Richtlinie (EU) 2017/541 des Europäischen Parlaments und des Rates 34 .

(2)Bei der Durchführung der Risikobewertung berücksichtigen die Mitgliedstaaten mindestens

a)die nach Artikel 6 Absatz 1 des Beschlusses Nr. 1313/2013/EU des Europäischen Parlaments und des Rates 35 vorgenommene allgemeine Risikobewertung;

b)sonstige einschlägige Risikobewertungen, die im Einklang mit den Anforderungen der einschlägigen sektorspezifischen Rechtsakte der Union, einschließlich der Verordnung (EU) 2019/941 des Europäischen Parlaments und des Rates 36 und der Verordnung (EU) 2017/1938 des Europäischen Parlaments und des Rates 37 , durchgeführt werden;

c)alle Risiken, die sich aus Abhängigkeiten zwischen den im Anhang genannten Sektoren, auch bezüglich anderer Mitgliedstaaten und Drittstaaten, ergeben, sowie die Auswirkungen, die eine in einem Sektor auftretende Störung auf andere Sektoren haben kann;

d)sämtliche gemäß Artikel 13 gemeldeten Informationen über Sicherheitsvorfälle.

Für die Zwecke von Unterabsatz 1 Buchstabe c arbeiten die Mitgliedstaaten mit den zuständigen Behörden anderer Mitgliedstaaten und gegebenenfalls aus Drittstaaten zusammen.

(3)Die Mitgliedstaaten stellen den kritischen Einrichtungen, die sie gemäß Artikel 5 ermittelt haben, die relevanten Elemente der Risikobewertung nach Absatz 1 zur Verfügung, um diese bei der Durchführung ihrer Risikobewertung gemäß Artikel 10 und beim Ergreifen von Maßnahmen zur Gewährleistung ihrer Resilienz gemäß Artikel 11 zu unterstützen.

(4)Jeder Mitgliedstaat übermittelt der Kommission spätestens am [drei Jahre nach Inkrafttreten dieser Richtlinie] und danach je nach Bedarf, mindestens aber alle vier Jahre, nach den im Anhang genannten Sektoren und Teilsektoren aufgeschlüsselte Daten über die ermittelten Arten von Risiken und die Ergebnisse der Risikobewertungen.

(5)Zum Zwecke der Erfüllung der in Absatz 4 festgelegten Meldepflichten kann die Kommission in Zusammenarbeit mit den Mitgliedstaaten ein unverbindliches gemeinsames Berichtsmuster ausarbeiten.

Artikel 5
Ermittlung kritischer Einrichtungen

(1)Die Mitgliedstaaten ermitteln bis zum [drei Jahre und drei Monate nach Inkrafttreten dieser Richtlinie] für jeden im Anhang genannten Sektor und Teilsektor mit Ausnahme der unter den Nummern 3, 4 und 8 genannten die kritischen Einrichtungen.

(2)Bei der Ermittlung kritischer Einrichtungen gemäß Absatz 1 berücksichtigen die Mitgliedstaaten die Ergebnisse der Risikobewertung gemäß Artikel 4 und wenden die folgenden Kriterien an:

a)Die Einrichtung erbringt einen oder mehrere wesentliche Dienste,

b)die Erbringung dieses Dienstes ist von in dem betreffenden Mitgliedstaat befindlichen Infrastrukturen abhängig und

c)ein Sicherheitsvorfall würde eine erhebliche Störung bei der Erbringung dieses Dienstes oder anderer wesentlicher Dienste in den im Anhang genannten Sektoren, die von dem Dienst abhängen, bewirken.

(3)Jeder Mitgliedstaat erstellt eine Liste der ermittelten kritischen Einrichtungen und stellt sicher, dass diesen Einrichtungen innerhalb eines Monats nach der entsprechenden Einstufung ihre Einstufung als kritische Einrichtung mitgeteilt und sie dabei über ihre Verpflichtungen gemäß den Kapiteln II und III sowie über das Datum, ab dem die Bestimmungen der genannten Kapitel auf sie Anwendung finden, informiert werden.

Für die betreffenden kritischen Einrichtungen gelten die Bestimmungen des vorliegenden Kapitels ab dem Datum der Mitteilung und die Bestimmungen des Kapitels III nach Ablauf von sechs Monaten nach diesem Datum.

(4)Die Mitgliedstaaten stellen sicher, dass ihre gemäß Artikel 8 benannten zuständigen Behörden den zuständigen Behörden, die die Mitgliedstaaten gemäß Artikel 8 der [NIS-2-Richtlinie] benannt haben, innerhalb eines Monats nach der entsprechenden Einstufung die Identität der kritischen Einrichtungen mitteilen, die sie gemäß diesem Artikel ermittelt haben.

(5)Nach der Mitteilung gemäß Absatz 3 stellen die Mitgliedstaaten sicher, dass kritische Einrichtungen ihre gemäß Artikel 8 benannten zuständigen Behörden darüber informieren, ob sie in einem oder mehreren anderen Mitgliedstaaten als kritisch eingestuft wurden. Wurde eine Einrichtung von zwei oder mehr Mitgliedstaaten als kritisch eingestuft, so konsultieren diese Mitgliedstaaten einander, um den Aufwand für die kritische Einrichtung in Bezug auf die Verpflichtungen nach Kapitel III zu verringern.

(6)Für die Zwecke des Kapitels IV stellen die Mitgliedstaaten sicher, dass die kritischen Einrichtungen nach der Mitteilung gemäß Absatz 3 ihre gemäß Artikel 8 benannten zuständigen Behörden darüber informieren, ob sie für mehr als ein Drittel der Mitgliedstaaten oder in mehr als einem Drittel der Mitgliedstaaten wesentliche Dienste erbringen. Ist dies der Fall, so teilt der betreffende Mitgliedstaat der Kommission unverzüglich die Identität der betreffenden kritischen Einrichtungen mit.

(7)Die Mitgliedstaaten überprüfen die Liste der ermittelten kritischen Einrichtungen im Bedarfsfall, mindestens jedoch alle vier Jahre, und aktualisieren sie gegebenenfalls.

Führen diese Aktualisierungen zur Ermittlung weiterer kritischer Einrichtungen, so gelten die Absätze 3, 4, 5 und 6. Darüber hinaus stellen die Mitgliedstaaten sicher, dass Einrichtungen, die nach einer solchen Aktualisierung nicht mehr als kritische Einrichtung eingestuft werden, hiervon in Kenntnis gesetzt und darüber informiert werden, dass sie ab dem Erhalt dieser Information nicht mehr den Verpflichtungen nach Kapitel III unterliegen.

Artikel 6
Erhebliche Störung

(1)Bei der Bestimmung des Ausmaßes einer Störung gemäß Artikel 5 Absatz 2 Buchstabe c berücksichtigen die Mitgliedstaaten die folgenden Kriterien:

a)die Zahl der Nutzer, die den von der Einrichtung erbrachten Dienst in Anspruch nehmen;

b)die Abhängigkeit anderer im Anhang genannter Sektoren von diesem Dienst;

c)die möglichen Auswirkungen von Sicherheitsvorfällen – hinsichtlich Ausmaß und Dauer – auf wirtschaftliche und gesellschaftliche Tätigkeiten, die Umwelt und die öffentliche Sicherheit;

d)den Marktanteil der Einrichtung auf dem Markt für die betreffenden Dienste;

e)das geografische Gebiet, das von einem Sicherheitsvorfall betroffen sein könnte, einschließlich etwaiger grenzüberschreitender Auswirkungen;

f)die Bedeutung der Einrichtung für die Aufrechterhaltung des Dienstes in ausreichendem Umfang, unter Berücksichtigung der Verfügbarkeit von alternativen Mitteln für die Erbringung des betreffenden Dienstes.

(2)Die Mitgliedstaaten übermitteln der Kommission bis zum [drei Jahre und drei Monate nach Inkrafttreten dieser Richtlinie] folgende Informationen:

a)die Liste der Dienste gemäß Artikel 4 Absatz 1,

b)die Zahl der für jeden im Anhang genannten Sektor und Teilsektor ermittelten kritischen Einrichtungen und die in Artikel 4 Absatz 1 genannten Dienste, die jede Einrichtung erbringt,

c)alle Schwellenwerte, die zur Spezifizierung eines oder mehrerer der in Absatz 1 genannten Kriterien angewandt werden.

Anschließend übermitteln sie diese Informationen im Bedarfsfall, mindestens jedoch alle vier Jahre.

(3)Die Kommission kann nach Konsultation der Gruppe für die Resilienz kritischer Einrichtungen unter Berücksichtigung der in Absatz 2 genannten Informationen Leitlinien annehmen, um die Anwendung der in Absatz 1 genannten Kriterien zu erleichtern.

Artikel 7
Einrichtungen, die kritischen Einrichtungen nach diesem Kapitel gleichgestellt sind

(1) In Bezug auf die unter den Nummern 3, 4 und 8 des Anhangs genannten Sektoren ermitteln die Mitgliedstaaten bis zum [drei Jahre und drei Monate nach Inkrafttreten dieser Richtlinie] die Einrichtungen, die für die Zwecke dieses Kapitels als kritischen Einrichtungen gleichgestellt zu behandeln sind. Sie wenden in Bezug auf diese Einrichtungen Artikel 3, Artikel 4, Artikel 5 Absätze 1 bis 4 und Absatz 7 sowie Artikel 9 an.

(2) In Bezug auf die gemäß Absatz 1 ermittelten Einrichtungen in den unter den Nummern 3 und 4 des Anhangs genannten Sektoren stellen die Mitgliedstaaten sicher, dass die als zuständige Behörden benannten Behörden für die Zwecke der Anwendung des Artikels 8 Absatz 1 die gemäß Artikel 41 der [DORA-Verordnung] benannten zuständigen Behörden sind.

(3) Die Mitgliedstaaten stellen sicher, dass die Einrichtungen im Sinne des Absatzes 1 unverzüglich über ihre Einstufung als Einrichtungen gemäß diesem Artikel informiert werden.

Artikel 8
Zuständige Behörden und zentrale Anlaufstelle

(1)Jeder Mitgliedstaat benennt eine oder mehrere zuständige Behörden, die für die ordnungsgemäße Anwendung und erforderlichenfalls Durchsetzung der Vorschriften dieser Richtlinie auf nationaler Ebene zuständig sind (im Folgenden „zuständige Behörde“). Die Mitgliedstaaten können eine oder mehrere bereits bestehende Behörden benennen.

Benennen sie mehr als eine Behörde, so legen sie die jeweiligen Aufgaben der betreffenden Behörden eindeutig dar und stellen sicher, dass diese wirksam zusammenarbeiten, um ihre Aufgaben im Rahmen dieser Richtlinie, unter anderem in Bezug auf die Benennung und die Tätigkeiten der zentralen Anlaufstelle gemäß Absatz 2, zu erfüllen.

(2)Jeder Mitgliedstaat benennt innerhalb der zuständigen Behörde eine zentrale Anlaufstelle, die als Verbindungsstelle zur Gewährleistung der grenzüberschreitenden Zusammenarbeit mit den zuständigen Behörden anderer Mitgliedstaaten und mit der in Artikel 16 genannten Gruppe für die Resilienz kritischer Einrichtungen fungiert (im Folgenden „zentrale Anlaufstelle“).

(3)Bis zum [drei Jahre und sechs Monate nach Inkrafttreten dieser Richtlinie] und danach jährlich legen die zentralen Anlaufstellen der Kommission und der Gruppe für die Resilienz kritischer Einrichtungen einen zusammenfassenden Bericht über die eingegangenen Meldungen, einschließlich der Zahl der Meldungen, der Art der gemeldeten Sicherheitsvorfälle und der gemäß Artikel 13 Absatz 3 ergriffenen Maßnahmen vor.

(4)Jeder Mitgliedstaat stellt sicher, dass die zuständige Behörde, einschließlich der darin benannten zentralen Anlaufstelle, über die erforderlichen Befugnisse und angemessene finanzielle, personelle und technische Ressourcen verfügt, um die ihr übertragenen Aufgaben wirksam und effizient zu erfüllen.

(5)Die Mitgliedstaaten stellen sicher, dass ihre zuständigen Behörden im Einklang mit dem Unionsrecht und dem nationalen Recht gegebenenfalls andere einschlägige nationale Behörden, insbesondere diejenigen, die für den Katastrophenschutz, die Strafverfolgung und den Schutz personenbezogener Daten zuständig sind, sowie einschlägige interessierte Parteien, einschließlich kritischer Einrichtungen, konsultieren und mit ihnen zusammenarbeiten.

(6)Die Mitgliedstaaten stellen sicher, dass ihre gemäß diesem Artikel benannten zuständigen Behörden mit den gemäß der [NIS-2-Richtlinie] benannten zuständigen Behörden in Bezug auf Cybersicherheitsrisiken und Cybersicherheitsvorfälle, die kritische Einrichtungen betreffen, sowie in Bezug auf die Maßnahmen, die von den gemäß der [NIS-2-Richtlinie] benannten zuständigen Behörden ergriffen wurden und für kritische Einrichtungen relevant sind, zusammenarbeiten.

(7)Die Mitgliedstaaten teilen der Kommission innerhalb von drei Monaten nach der Benennung der zuständigen Behörde und der zentralen Anlaufstelle deren Kontaktangaben, genaue Aufgaben und Zuständigkeiten gemäß dieser Richtlinie und etwaige spätere Änderungen dieser Angaben mit. Die Mitgliedstaaten machen die Benennung der zuständigen Behörde und der zentralen Anlaufstelle öffentlich bekannt.

(8)Die Kommission veröffentlicht eine Liste der zentralen Anlaufstellen der Mitgliedstaaten.

Artikel 9
Unterstützung kritischer Einrichtungen durch die Mitgliedstaaten

(1)Die Mitgliedstaaten unterstützen kritische Einrichtungen bei der Verbesserung ihrer Resilienz. Diese Unterstützung kann die Entwicklung von Leitfäden und Methoden, die Unterstützung der Organisation von Übungen zur Prüfung ihrer Resilienz und die Bereitstellung von Schulungen für Personal kritischer Einrichtungen umfassen.

(2)Die Mitgliedstaaten stellen sicher, dass die zuständigen Behörden mit den kritischen Einrichtungen der im Anhang genannten Sektoren zusammenarbeiten sowie Informationen und bewährte Verfahren austauschen.

(3)Die Mitgliedstaaten richten Instrumente für den Informationsaustausch ein, um den freiwilligen Informationsaustausch zwischen kritischen Einrichtungen in unter diese Richtlinie fallenden Fragen im Einklang mit dem Unionsrecht und dem nationalen Recht, insbesondere im Bereich des Wettbewerbs und des Schutzes personenbezogener Daten, zu unterstützen.

KAPITEL III
Resilienz kritischer Einrichtungen

Artikel 10
Risikobewertungen durch kritische Einrichtungen

Die Mitgliedstaaten stellen sicher, dass kritische Einrichtungen innerhalb von sechs Monaten nach Erhalt der in Artikel 5 Absatz 3 genannten Mitteilung und anschließend im Bedarfsfall, mindestens jedoch alle vier Jahre, auf der Grundlage der Risikobewertungen der Mitgliedstaaten und anderer einschlägiger Informationsquellen alle relevanten Risiken bewerten, die ihren Betrieb stören können.

Die Risikobewertung trägt allen in Artikel 4 Absatz 1 genannten relevanten Risiken Rechnung, die zu einer Störung der Erbringung wesentlicher Dienste führen könnten. Ferner trägt sie etwaigen Abhängigkeiten anderer im Anhang genannter Sektoren von dem wesentlichen Dienst, der von ihr – gegebenenfalls auch in benachbarten Mitgliedstaaten und Drittländern – erbracht wird, sowie den Auswirkungen, die eine Störung der Verfügbarkeit wesentlicher Dienste in einem oder mehreren dieser Sektoren auf den von ihr erbrachten wesentlichen Dienst haben kann, Rechnung.

Artikel 11
Resilienzmaßnahmen kritischer Einrichtungen

(1)Die Mitgliedstaaten stellen sicher, dass die kritischen Einrichtungen geeignete und verhältnismäßige technische und organisatorische Maßnahmen zur Gewährleistung ihrer Resilienz ergreifen, unter anderem Maßnahmen, die erforderlich sind, um

a)das Auftreten von Sicherheitsvorfällen zu verhindern, unter anderem durch Katastrophenvorsorge und Maßnahmen zur Anpassung an den Klimawandel;

b)einen angemessenen physischen Schutz sensibler Bereiche, Anlagen und anderer Infrastrukturen zu gewährleisten, unter anderem durch Zäune, Sperren, Instrumente und Verfahren für die Überwachung der Umgebung sowie Detektionsgeräte und Zugangskontrollen;

c)Sicherheitsvorfälle abzuwehren und die Folgen solcher Vorfälle zu begrenzen, wie die Umsetzung von Risiko- und Krisenmanagementverfahren und -protokollen und vorgegebener Abläufe im Alarmfall;

d)nach Sicherheitsvorfällen die Wiederherstellung zu gewährleisten, wie Maßnahmen zur Aufrechterhaltung des Betriebs und die Ermittlung alternativer Lieferketten;

e)ein angemessenes Management der Mitarbeitersicherheit zu gewährleisten, wie die Festlegung von Kategorien von Personal, das kritische Funktionen wahrnimmt, die Festlegung von Zugangsrechten zu sensiblen Bereichen, Anlagen und sonstigen Infrastrukturen sowie zu sensiblen Informationen und die Ermittlung spezifischer Personalkategorien im Hinblick auf Artikel 12;

f)das betreffende Personal für die unter den Buchstaben a bis e genannten Maßnahmen zu sensibilisieren.

(2)Die Mitgliedstaaten stellen sicher, dass kritische Einrichtungen über einen Resilienzplan oder gleichwertige Dokumente, in denen die Maßnahmen gemäß Absatz 1 eingehend beschrieben werden, verfügen und diese anwenden. Haben kritische Einrichtungen Maßnahmen aufgrund von Verpflichtungen aus anderen Rechtsakten des Unionsrechts ergriffen, die auch für die in Absatz 1 genannten Maßnahmen von Belang sind, so beschreiben sie diese Maßnahmen ebenfalls im Resilienzplan oder in gleichwertigen Dokumenten.

(3)Auf Ersuchen des Mitgliedstaats, der die kritische Einrichtung ermittelt hat, und mit Zustimmung der betreffenden kritischen Einrichtung organisiert die Kommission im Einklang mit den Regelungen gemäß Artikel 15 Absätze 4, 5, 7 und 8 Beratungsmissionen, um die betreffende kritische Einrichtung im Hinblick auf die Erfüllung ihrer Verpflichtungen nach Kapitel III zu beraten. Die Beratungsmission erstattet der Kommission, dem betreffenden Mitgliedstaat und der betreffenden kritischen Einrichtung Bericht über ihre Ergebnisse.

(4)Der Kommission wird die Befugnis übertragen, delegierte Rechtsakte gemäß Artikel 21 zu erlassen, um Absatz 1 durch die Festlegung detaillierter Vorschriften zu ergänzen, in denen einige oder alle gemäß jenem Absatz zu ergreifenden Maßnahmen festgelegt werden. Sie erlässt diese delegierten Rechtsakte, soweit dies für die wirksame und kohärente Anwendung des genannten Absatzes im Einklang mit den Zielen dieser Richtlinie erforderlich ist, wobei sie alle relevanten Entwicklungen bei Risiken, Technologien oder der Erbringung der betreffenden Dienste sowie etwaige Besonderheiten im Zusammenhang mit bestimmten Sektoren und Arten von Einrichtungen berücksichtigt.

(5)Die Kommission erlässt Durchführungsrechtsakte, um die erforderlichen technischen und methodischen Spezifikationen für die Anwendung der in Absatz 1 genannten Maßnahmen festzulegen. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 20 Absatz 2 genannten Prüfverfahren erlassen.

Artikel 12
Zuverlässigkeitsüberprüfungen

(1)Die Mitgliedstaaten stellen sicher, dass kritische Einrichtungen Ersuchen um Zuverlässigkeitsüberprüfungen von Personen stellen können, die bestimmten Kategorien ihres Personals angehören, unter anderem von Personen, die für die Einstellung in Positionen dieser Kategorien in Betracht gezogen werden, und dass diese Ersuchen von den für die Durchführung solcher Zuverlässigkeitsüberprüfungen zuständigen Behörden zügig geprüft werden.

(2)Im Einklang mit dem geltenden Unionsrecht und dem geltenden nationalen Recht, einschließlich der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates 38 , umfasst eine Zuverlässigkeitsüberprüfung gemäß Absatz 1

a)die Feststellung der Identität der betreffenden Person anhand der zum Nachweis vorgelegten Papiere;

b)sämtliche Strafregistereinträge aus mindestens den letzten fünf und höchstens den letzten zehn Jahren im Zusammenhang mit für die Einstellung in einer bestimmten Position relevanten Straftaten in dem Mitgliedstaat oder den Mitgliedstaaten, dessen beziehungsweise deren Staatsangehörigkeit die betreffende Person besitzt, und in den Mitgliedstaaten oder Drittstaaten, in denen die betreffende Person während dieses Zeitraums ihren Wohnsitz hatte;

c)frühere Beschäftigungsverhältnisse, Ausbildung und Lücken (bei Ausbildung oder Beschäftigung) im Lebenslauf der betreffenden Person in mindestens den letzten fünf und höchstens den letzten zehn Jahren.

In Bezug auf Unterabsatz 1 Buchstabe b stellen die Mitgliedstaaten sicher, dass ihre für die Durchführung von Zuverlässigkeitsüberprüfungen zuständigen Behörden die Strafregisterinformationen von anderen Mitgliedstaaten gemäß den im Rahmenbeschluss 2009/315/JI des Rates und gegebenenfalls in der Verordnung (EU) 2019/816 des Europäischen Parlaments und des Rates 39 festgelegten Verfahren über das ECRIS einholen. Die in Artikel 3 des Rahmenbeschlusses und Artikel 3 Absatz 5 der genannten Verordnung genannten Zentralbehörden beantworten Ersuchen um solche Informationen innerhalb von zehn Arbeitstagen nach Eingang des Ersuchens.

(3)Im Einklang mit dem geltenden Unionsrecht und dem geltenden nationalen Recht, einschließlich der Verordnung (EU) 2016/679, stellt jeder Mitgliedstaat sicher, dass eine Zuverlässigkeitsüberprüfung nach Absatz 1 auf der Grundlage eines ordnungsgemäß begründeten Ersuchens der kritischen Einrichtung auch erweitert werden kann, damit auf weitere Erkenntnisse und sonstige verfügbare objektive Informationen zurückgegriffen werden kann, die unter Umständen erforderlich sind, um festzustellen, ob die betreffende Person, für die die kritische Einrichtung um eine erweiterte Zuverlässigkeitsüberprüfung ersucht hat, für die vorgesehene Position geeignet ist.

Artikel 13
Meldung von Sicherheitsvorfällen

(1)Die Mitgliedstaaten stellen sicher, dass die kritischen Einrichtungen der zuständigen Behörde Sicherheitsvorfälle, die ihren Betrieb erheblich stören oder erheblich stören könnten, unverzüglich melden. Die Meldungen müssen sämtliche verfügbaren Informationen enthalten, die erforderlich sind, damit die zuständige Behörde Art, Ursache und mögliche Folgen des Sicherheitsvorfalls verstehen und ermitteln kann, ob der Sicherheitsvorfall grenzüberschreitende Auswirkungen hat. Mit einer solchen Meldung wird keine höhere Haftung der betreffenden kritischen Einrichtung begründet.

(2)Zur Feststellung des Ausmaßes der tatsächlichen oder potenziellen Störung des Betriebs der kritischen Einrichtung infolge eines Sicherheitsvorfalls werden insbesondere folgende Parameter berücksichtigt:

a)Zahl der von der tatsächlichen oder potenziellen Störung betroffenen Nutzer;

b)Dauer der Störung oder erwartete Dauer einer potenziellen Störung;

c)von der tatsächlichen oder potenziellen Störung betroffenes geografisches Gebiet.

(3)Auf der Grundlage der in der Meldung der kritischen Einrichtung bereitgestellten Informationen unterrichtet die zuständige Behörde über ihre zentrale Anlaufstelle die zentralen Anlaufstellen anderer betroffener Mitgliedstaaten, sofern der Sicherheitsvorfall erhebliche Auswirkungen auf kritische Einrichtungen und die Aufrechterhaltung der Erbringung wesentlicher Dienste in einem oder mehreren anderen Mitgliedstaaten hat oder haben könnte.

Dabei behandeln die zentralen Anlaufstellen im Einklang mit dem Unionsrecht oder mit den dem Unionsrecht entsprechenden nationalen Rechtsvorschriften die Informationen so, dass ihre Vertraulichkeit gewahrt und die Sicherheit und die geschäftlichen Interessen der betreffenden kritischen Einrichtung geschützt werden.

(4)Sobald die zuständige Behörde eine Meldung gemäß Absatz 1 erhalten hat, übermittelt sie der kritischen Einrichtung, die die Meldung gemacht hat, schnellstmöglich sachdienliche Informationen über die Folgemaßnahmen zu ihrer Meldung, unter anderem Informationen, die die wirksame Reaktion der kritischen Einrichtung auf den Sicherheitsvorfall unterstützen könnten.

Kapitel IV
Spezifische Aufsicht über kritische Einrichtungen, die für Europa von besonderer Bedeutung sind

Artikel 14
Kritische Einrichtungen, die für Europa von besonderer Bedeutung sind

(1)Kritische Einrichtungen, die für Europa von besonderer Bedeutung sind, unterliegen gemäß diesem Kapitel einer spezifischen Aufsicht.

(2)Eine Einrichtung gilt als kritische Einrichtung von besonderer Bedeutung für Europa, wenn sie als kritische Einrichtung eingestuft wurde und für mehr als ein Drittel der Mitgliedstaaten oder in mehr als einem Drittel der Mitgliedstaaten wesentliche Dienste erbringt und der Kommission gemäß Artikel 5 Absatz 1 beziehungsweise Absatz 6 als solche mitgeteilt wurde.

(3)Die Kommission teilt der betreffenden Einrichtung nach Eingang der Mitteilung gemäß Artikel 5 Absatz 6 unverzüglich mit, dass sie als kritische Einrichtung von besonderer Bedeutung für Europa gilt, und informiert sie über ihre Verpflichtungen gemäß diesem Kapitel sowie das Datum, ab dem diese Verpflichtungen für sie gelten.

Die Bestimmungen dieses Kapitels gelten für die betreffende kritische Einrichtung von besonderer Bedeutung für Europa ab dem Tag des Eingangs dieser Mitteilung.

Artikel 15
Spezifische Aufsicht

(1)Auf Ersuchen eines oder mehrerer Mitgliedstaaten oder der Kommission informiert der Mitgliedstaat, in dem sich die Infrastruktur der kritischen Einrichtung von besonderer Bedeutung für Europa befindet, zusammen mit dieser Einrichtung die Kommission und die Gruppe für die Resilienz kritischer Einrichtungen über das Ergebnis der gemäß Artikel 10 durchgeführten Risikobewertung und die gemäß Artikel 11 ergriffenen Maßnahmen.

Zudem informiert dieser Mitgliedstaat die Kommission und die Gruppe für die Resilienz kritischer Einrichtungen unverzüglich über alle Aufsichts- oder Durchsetzungsmaßnahmen, die seine zuständige Behörde gemäß den Artikeln 18 und 19 in Bezug auf diese Einrichtung ergriffen hat, einschließlich aller Bewertungen der Einhaltung der Vorschriften oder der erteilten Anordnungen.

(2)Auf Ersuchen eines oder mehrerer Mitgliedstaaten oder auf eigene Initiative und im Einvernehmen mit dem Mitgliedstaat, in dem sich die Infrastruktur der kritischen Einrichtung von besonderer Bedeutung für Europa befindet, organisiert die Kommission eine Beratungsmission, die die Maßnahmen bewertet, die diese Einrichtung ergriffen hat, um ihre Verpflichtungen gemäß Kapitel III zu erfüllen. Bei Bedarf können die Beratungsmissionen über das Zentrum für die Koordination von Notfallmaßnahmen spezifisches Fachwissen im Bereich des Katastrophenrisikomanagements anfordern.

(3)Die Beratungsmission erstattet der Kommission, der Gruppe für die Resilienz kritischer Einrichtungen und der betreffenden kritischen Einrichtung von besonderer Bedeutung für Europa innerhalb von drei Monaten nach Abschluss der Beratungsmission über ihre Ergebnisse Bericht.

Die Gruppe für die Resilienz kritischer Einrichtungen analysiert den Bericht und berät die Kommission erforderlichenfalls in Bezug auf die Frage, ob die betreffende kritische Einrichtung von besonderer Bedeutung für Europa ihre Verpflichtungen gemäß Kapitel III erfüllt, und gegebenenfalls hinsichtlich der Maßnahmen, die ergriffen werden könnten, um die Resilienz der Einrichtung zu verbessern.

Auf der Grundlage dieser Ratschläge teilt die Kommission dem Mitgliedstaat, in dem sich die Infrastruktur der betreffenden Einrichtung befindet, der Gruppe für die Resilienz kritischer Einrichtungen und der betreffenden Einrichtung ihren Standpunkt zu der Frage, ob die betreffende Einrichtung ihre Verpflichtungen gemäß Kapitel III erfüllt, sowie gegebenenfalls zu den Maßnahmen, die ergriffen werden könnten, um die Resilienz dieser Einrichtung zu verbessern, mit.

Der betreffende Mitgliedstaat trägt diesem Standpunkt gebührend Rechnung und informiert die Kommission und die Gruppe für die Resilienz kritischer Einrichtungen über alle Maßnahmen, die er aufgrund der Mitteilung ergriffen hat.

(4)Jede Beratungsmission setzt sich aus Sachverständigen der Mitgliedstaaten und Vertretern der Kommission zusammen. Die Mitgliedstaaten können Kandidaten vorschlagen, die an einer beratenden Mission teilnehmen sollen. Die Kommission wählt die Mitglieder jeder Beratungsmission nach Maßgabe ihrer beruflichen Leistungsfähigkeit und unter Gewährleistung einer geografisch ausgewogenen Vertretung der Mitgliedstaaten aus und ernennt sie. Die Kommission trägt die Kosten im Zusammenhang mit der Teilnahme an einer Beratungsmission.

Die Kommission organisiert das Programm einer Beratungsmission in Absprache mit den Mitgliedern der jeweiligen Beratungsmission und im Einvernehmen mit dem Mitgliedstaat, in dem sich die Infrastruktur der betreffenden kritischen Einrichtung oder der betreffenden kritischen Einrichtung von Bedeutung für Europa befindet.

(5)Die Kommission erlässt einen Durchführungsrechtsakt zur Festlegung von Vorschriften über die Verfahrensmodalitäten für die Durchführung von Beratungsmissionen und die diesbezügliche Berichterstattung. Dieser Durchführungsrechtsakt wird gemäß dem in Artikel 20 Absatz 2 genannten Prüfverfahren erlassen.

(6)Die Mitgliedstaaten stellen sicher, dass die betreffende kritische Einrichtung von besonderer Bedeutung für Europa der Beratungsmission Zugang zu allen Informationen, Systemen und Anlagen im Zusammenhang mit der Erbringung ihrer wesentlichen Dienste gewährt, die zur Erfüllung ihrer Aufgaben erforderlich sind.

(7)Die Beratungsmission wird im Einklang mit dem geltenden nationalen Recht des Mitgliedstaats, in dem sich die betreffende Infrastruktur befindet, durchgeführt.

(8)Bei der Organisation der Beratungsmissionen berücksichtigt die Kommission gegebenenfalls die Berichte über alle etwaigen Inspektionen gemäß der Verordnung (EG) Nr. 300/2008 und der Verordnung (EG) Nr. 725/2004 sowie über jegliche Überwachung gemäß der Richtlinie 2005/65/EG, die die Kommission in Bezug auf die kritische Einrichtung beziehungsweise die kritische Einrichtung von besonderer Bedeutung für Europa durchgeführt hat.

Kapitel V
Zusammenarbeit und Berichterstattung

Artikel 16
Gruppe für die Resilienz kritischer Einrichtungen

(1)Mit Wirkung vom [sechs Monate nach Inkrafttreten dieser Richtlinie] wird eine Gruppe für die Resilienz kritischer Einrichtungen eingesetzt. Sie unterstützt die Kommission und erleichtert die strategische Zusammenarbeit und den Informationsaustausch zu Fragen im Zusammenhang mit dieser Richtlinie.

(2)Die Gruppe für die Resilienz kritischer Einrichtungen setzt sich aus Vertretern der Mitgliedstaaten und der Kommission zusammen. Wenn es für die Erfüllung ihrer Aufgaben relevant ist, kann die Gruppe für die Resilienz kritischer Einrichtungen Vertreter interessierter Parteien zur Teilnahme an ihrer Arbeit einladen.

Der Vertreter der Kommission führt den Vorsitz der Gruppe für die Resilienz kritischer Einrichtungen.

(3)Die Gruppe für die Resilienz kritischer Einrichtungen hat folgende Aufgaben:

a)Unterstützung der Kommission bei der Unterstützung der Mitgliedstaaten beim Ausbau ihrer Kapazitäten im Hinblick auf die Gewährleistung der Resilienz kritischer Einrichtungen im Einklang mit dieser Richtlinie;

b)Bewertung der in Artikel 3 genannten Resilienzstrategien für kritische Einrichtungen und Ermittlung bewährter Verfahren bezüglich dieser Strategien;

c)Erleichterung des Austauschs bewährter Verfahren in Bezug auf die Ermittlung kritischer Einrichtungen durch die Mitgliedstaaten gemäß Artikel 5, auch im Zusammenhang mit grenzüberschreitenden Abhängigkeiten und im Hinblick auf Risiken und Sicherheitsvorfälle;

d)auf Ersuchen Mitwirkung an der Ausarbeitung der in Artikel 6 Absatz 3 genannten Leitlinien und aller delegierten Rechtsakte und Durchführungsrechtsakte im Rahmen dieser Richtlinie;

e)jährliche Prüfung der in Artikel 8 Absatz 3 genannten zusammenfassenden Berichte;

f)Austausch von bewährten Verfahren für den Informationsaustausch im Zusammenhang mit der Meldung von Sicherheitsvorfällen gemäß Artikel 13;

g)Analyse und Beratung zu den Berichten der Beratungsmissionen gemäß Artikel 15 Absatz 3;

h)Austausch von Informationen und bewährten Verfahren hinsichtlich der Forschung und Entwicklung im Zusammenhang mit kritischen Einrichtungen gemäß dieser Richtlinie;

i)gegebenenfalls Informationsaustausch zu Fragen, die die Resilienz kritischer Einrichtungen betreffen, mit den einschlägigen Organen, Einrichtungen und sonstigen Stellen der Union.

(4)Bis spätestens [24 Monate nach Inkrafttreten dieser Richtlinie] und danach alle zwei Jahre erstellt die Gruppe für die Resilienz kritischer Einrichtungen ein Arbeitsprogramm mit den Maßnahmen, die zur Umsetzung ihrer Ziele und Aufgaben im Einklang mit den Anforderungen und Zielen dieser Richtlinie zu ergreifen sind.

(5)Die Gruppe für die Resilienz kritischer Einrichtungen tagt regelmäßig, mindestens aber einmal jährlich, gemeinsam mit der durch die [NIS-2-Richtlinie] eingerichteten Kooperationsgruppe, um die strategische Zusammenarbeit und den Informationsaustausch zu fördern.

(6)Die Kommission kann Durchführungsrechtsakte zur Festlegung der Verfahrensmodalitäten erlassen, die für das Funktionieren der Gruppe für die Resilienz kritischer Einrichtungen erforderlich sind. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 20 Absatz 2 genannten Prüfverfahren erlassen.

(7)Die Kommission übermittelt der Gruppe für die Resilienz kritischer Einrichtungen bis spätestens [drei Jahre und sechs Monate nach Inkrafttreten dieser Richtlinie] und anschließend im Bedarfsfall, mindestens jedoch alle vier Jahre, einen zusammenfassenden Bericht über die von den Mitgliedstaaten gemäß Artikel 3 Absatz 3 und Artikel 4 Absatz 4 übermittelten Informationen.

Artikel 17
Unterstützung der zuständigen Behörden und kritischen Einrichtungen durch die Kommission

(1)Die Kommission unterstützt die Mitgliedstaaten und die kritischen Einrichtungen gegebenenfalls bei der Erfüllung ihrer Verpflichtungen gemäß dieser Richtlinie, insbesondere durch die Erstellung einer unionsweiten Übersicht über grenz- und sektorüberschreitende Risiken für die Erbringung wesentlicher Dienste, die Organisation der in Artikel 11 Absatz 3 und Artikel 15 Absatz 3 genannten Beratungsmissionen und die Erleichterung des Informationsaustauschs zwischen Sachverständigen in der gesamten Union.

(2)Die Kommission ergänzt die in Artikel 9 genannten Tätigkeiten der Mitgliedstaaten, indem sie bewährte Verfahren und Methoden ausarbeitet und grenzüberschreitende Schulungsmaßnahmen und Übungen zur Prüfung der Resilienz kritischer Einrichtungen entwickelt.

Kapitel VI
AUFSICHT UND DURCHSETZUNG

Artikel 18
Umsetzung und Durchsetzung

(1)Im Hinblick auf die Beurteilung, ob die Einrichtungen, die sie gemäß Artikel 5 als kritische Einrichtungen eingestuft haben, die Verpflichtungen aus dieser Richtlinie erfüllen, stellen die Mitgliedstaaten sicher, dass die zuständigen Behörden über die Befugnisse und Mittel verfügen,

a)Vor-Ort-Kontrollen in den Räumlichkeiten, die die kritische Einrichtung für die Erbringung ihrer wesentlichen Dienste nutzt, und externe Aufsichtsmaßnahmen bezüglich der Maßnahmen von kritischen Einrichtungen gemäß Artikel 11 durchzuführen;

b)Audits dieser Einrichtungen durchzuführen oder anzuordnen.

(2)Die Mitgliedstaaten stellen sicher, dass die zuständigen Behörden über die Befugnisse und Mittel verfügen, von den Einrichtungen, die sie gemäß Artikel 5 als kritische Einrichtungen eingestuft haben, wenn dies für die Wahrnehmung ihrer Aufgaben gemäß dieser Richtlinie erforderlich ist, zu verlangen, dass sie innerhalb einer von diesen Behörden festgelegten angemessenen Frist Folgendes übermitteln:

a)die Informationen, die erforderlich sind, um beurteilen zu können, ob die Maßnahmen, die sie zur Gewährleistung ihrer Resilienz ergriffen haben, die Anforderungen des Artikels 11 erfüllen;

b)Nachweise der wirksamen Umsetzung dieser Maßnahmen, einschließlich der Ergebnisse eines Audits, der von einem unabhängigen und qualifizierten von der betreffenden Einrichtung ausgewählten Prüfer auf Kosten der betreffenden Einrichtung durchgeführt wurde.

Bei der Anforderung dieser Informationen nennen die zuständigen Behörden den Zweck und geben an, welche Informationen verlangt werden.

(3)Unbeschadet der Möglichkeit, Sanktionen gemäß Artikel 19 zu verhängen, können die zuständigen Behörden im Anschluss an die in Absatz 1 genannten Aufsichtsmaßnahmen oder die Prüfung der in Absatz 2 genannten Informationen die betreffenden kritischen Einrichtungen anweisen, erforderliche und verhältnismäßige Maßnahmen zu ergreifen, um festgestellte Verstöße gegen diese Richtlinie innerhalb einer von diesen Behörden gesetzten angemessenen Frist zu beheben, und diesen Behörden Informationen über die ergriffenen Maßnahmen zu übermitteln. Diese Anweisungen tragen insbesondere der Schwere des Verstoßes Rechnung.

(4)Die Mitgliedstaaten stellen sicher, dass die in den Absätzen 1, 2 und 3 vorgesehenen Befugnisse nur vorbehaltlich angemessener Garantien ausgeübt werden können. Diese Garantien gewährleisten insbesondere, dass die Befugnisse auf objektive, transparente und verhältnismäßige Weise ausgeübt werden und dass die Rechte und berechtigten Interessen der betreffenden kritischen Einrichtungen, einschließlich ihres Rechts auf Anhörung, Verteidigung und einen wirksamen Rechtsbehelf vor einem unabhängigen Gericht, ordnungsgemäß gewahrt werden.

(5)Die Mitgliedstaaten stellen sicher, dass eine zuständige Behörde, wenn sie die Erfüllung der Verpflichtungen einer kritischen Einrichtung gemäß diesem Artikel bewertet, dies den gemäß der [NIS-2-Richtlinie] benannten zuständigen Behörden des betreffenden Mitgliedstaats mitteilt und diese Behörden ersuchen kann, die Cybersicherheit der betreffenden Einrichtung zu bewerten und zu diesem Zweck zusammenzuarbeiten und Informationen auszutauschen.

Artikel 19
Sanktionen

Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen die gemäß dieser Richtlinie erlassenen nationalen Vorschriften zu verhängen sind, und treffen alle für die Anwendung der Sanktionen erforderlichen Maßnahmen. Die vorgesehenen Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein. Die Mitgliedstaaten teilen der Kommission spätestens am [zwei Jahre nach Inkrafttreten dieser Richtlinie] die entsprechenden Bestimmungen mit und melden ihr umgehend etwaige spätere Änderungen dieser Bestimmungen.

Kapitel VII
SCHLUSSBESTIMMUNGEN

Artikel 20
Ausschussverfahren

(1)Die Kommission wird von einem Ausschuss unterstützt. Dieser Ausschuss ist ein Ausschuss im Sinne der Verordnung (EU) Nr. 182/2011.

(2)Wird auf diesen Absatz Bezug genommen, so gilt Artikel 5 der Verordnung (EU) Nr. 182/2011.

Artikel 21
Ausübung der Befugnisübertragung

(1)Die Befugnis zum Erlass delegierter Rechtsakte wird der Kommission unter den in diesem Artikel festgelegten Bedingungen übertragen.

(2)Die Befugnis zum Erlass delegierter Rechtsakte gemäß Artikel 11 Absatz 4 wird der Kommission für einen Zeitraum von fünf Jahren ab dem Datum des Inkrafttretens dieser Richtlinie oder einem anderen von den beiden gesetzgebenden Organen festgelegten Datum übertragen.

(3)Die Befugnisübertragung gemäß Artikel 11 Absatz 4 kann vom Europäischen Parlament oder vom Rat jederzeit widerrufen werden. Der Beschluss über den Widerruf beendet die Übertragung der in diesem Beschluss angegebenen Befugnis. Er wird am Tag nach seiner Veröffentlichung im Amtsblatt der Europäischen Union oder zu einem im Beschluss über den Widerruf angegebenen späteren Zeitpunkt wirksam. Die Gültigkeit von delegierten Rechtsakten, die bereits in Kraft sind, wird von dem Beschluss über den Widerruf nicht berührt.

(4)Vor dem Erlass eines delegierten Rechtsakts konsultiert die Kommission die von den einzelnen Mitgliedstaaten benannten Sachverständigen im Einklang mit den in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung enthaltenen Grundsätzen.

(5)Sobald die Kommission einen delegierten Rechtsakt erlässt, übermittelt sie ihn gleichzeitig dem Europäischen Parlament und dem Rat.

(6)Ein delegierter Rechtsakt, der gemäß Artikel 11 Absatz 4 erlassen wurde, tritt nur in Kraft, wenn weder das Europäische Parlament noch der Rat innerhalb einer Frist von zwei Monaten nach Übermittlung dieses Rechtsakts an das Europäische Parlament und den Rat Einwände erhoben haben oder wenn vor Ablauf dieser Frist das Europäische Parlament und der Rat beide der Kommission mitgeteilt haben, dass sie keine Einwände erheben werden. Auf Initiative des Europäischen Parlaments oder des Rates wird diese Frist um zwei Monate verlängert.

Artikel 22
Berichterstattung und Überprüfung

Die Kommission übermittelt dem Europäischen Parlament und dem Rat bis zum [54 Monate nach Inkrafttreten dieser Richtlinie] einen Bericht, in dem sie bewertet, inwieweit die Mitgliedstaaten die erforderlichen Maßnahmen getroffen haben, um dieser Richtlinie nachzukommen.

Die Kommission überprüft regelmäßig die Anwendung dieser Richtlinie und erstattet dem Europäischen Parlament und dem Rat Bericht. In dem Bericht werden insbesondere die Auswirkungen und der Mehrwert dieser Richtlinie für die Gewährleistung der Resilienz kritischer Einrichtungen beurteilt und geprüft, ob der Anwendungsbereich der Richtlinie auf andere Sektoren oder Teilsektoren ausgeweitet werden sollte. Im ersten Bericht, der bis zum [sechs Jahre nach Inkrafttreten dieser Richtlinie] vorgelegt wird, wird insbesondere beurteilt, ob der Anwendungsbereich der Richtlinie auf den Sektor Herstellung, Verarbeitung und Vertrieb von Lebensmitteln ausgeweitet werden sollte.

Artikel 23
Aufhebung der Richtlinie 2008/114/EG

Die Richtlinie 2008/114/EG wird mit Wirkung vom [Tag des Inkrafttretens der vorliegenden Richtlinie] aufgehoben.

Artikel 24
Umsetzung

(1)Die Mitgliedstaaten erlassen und veröffentlichen spätestens am [18 Monate nach Inkrafttreten dieser Richtlinie] die Rechts- und Verwaltungsvorschriften, die erforderlich sind, um dieser Richtlinie nachzukommen. Sie teilen der Kommission unverzüglich den Wortlaut dieser Vorschriften mit.

Sie wenden diese Vorschriften ab dem [zwei Jahre und einen Tag nach Inkrafttreten dieser Richtlinie] an.

Bei Erlass dieser Vorschriften nehmen die Mitgliedstaaten in den Vorschriften selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf diese Richtlinie Bezug. Die Mitgliedstaaten regeln die Einzelheiten dieser Bezugnahme.

(2)Die Mitgliedstaaten teilen der Kommission den Wortlaut der wichtigsten nationalen Rechtsvorschriften mit, die sie auf dem unter diese Richtlinie fallenden Gebiet erlassen.

Artikel 25
Inkrafttreten

Diese Richtlinie tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.

Artikel 26
Adressaten

Diese Richtlinie ist an die Mitgliedstaaten gerichtet.

Geschehen zu Brüssel am […]

Im Namen des Europäischen Parlaments Im Namen des Rates

Der Präsident Der Präsident

FINANZBOGEN ZU RECHTSAKTEN

1.RAHMEN DES VORSCHLAGS/DER INITIATIVE

1.1.Bezeichnung des Vorschlags/der Initiative

RICHTLINIE DES EUROPÄISCHEN PARLAMENTS UND DES RATES

über die Resilienz kritischer Einrichtungen

1.2.Politikbereich(e)

Sicherheit

1.3.Der Vorschlag/die Initiative betrifft:

◻eine neue Maßnahme

◻ eine neue Maßnahme im Anschluss an ein Pilotprojekt/eine vorbereitende Maßnahme 40

☑ die Verlängerung einer bestehenden Maßnahme

◻ die Zusammenführung mehrerer Maßnahmen oder die Neuausrichtung mindestens einer Maßnahme

1.4.Ziel(e)

1.4.1.Allgemeine(s) Ziel(e)

Die Betreiber kritischer Infrastrukturen erbringen Dienste in zahlreichen Sektoren (wie Verkehr, Energie, Gesundheit, Wasser usw.), die für essenzielle gesellschaftliche Funktionen und wirtschaftliche Tätigkeiten wesentlich sind. Aus diesem Grund müssen die Betreiber resilient sein, d. h., sie müssen sowohl gut geschützt als auch in der Lage sein, im Falle einer Störung rasch wieder ihren Betrieb aufzunehmen.

Das allgemeine Ziel des Vorschlags besteht in der Verbesserung der Resilienz dieser Betreiber (hier als „kritische Einrichtungen“ bezeichnet) gegen eine Reihe natürlicher und vom Menschen verursachter, beabsichtigter oder unbeabsichtigter Risiken.

1.4.2.Spezifische(s) Ziel(e)

Mit der Initiative sollen folgende vier spezifische Ziele erreicht werden:

– Gewährleistung eines besseren Verständnisses darüber, mit welchen Risiken und Abhängigkeiten kritische Einrichtungen konfrontiert sind und mit welchen Mitteln sich diese bewältigen lassen;

– Gewährleistung, dass alle relevanten Einrichtungen von den Behörden der Mitgliedstaaten als „kritische Einrichtungen“ ausgewiesen werden;

– Gewährleistung, dass das gesamte Spektrum der Resilienzmaßnahmen in die öffentliche Politik und operative Praxis einbezogen wird;

– Stärkung der Kapazitäten und Verbesserung der Zusammenarbeit und Kommunikation zwischen den Interessenträgern.

Diese Ziele werden zum Erreichen des allgemeinen Ziels der Initiative beitragen.

1.4.3.Erwartete Ergebnisse und Auswirkungen

Bitte geben Sie an, wie sich der Vorschlag/die Initiative auf die Begünstigten/Zielgruppen auswirken dürfte.

Die Initiative wird voraussichtlich insofern positive Auswirkungen auf die Sicherheit kritischer Einrichtungen haben, als diese resilienter gegen Risiken und Störungen würden. Sie wären besser in der Lage, Risiken zu mindern, mit potenziellen Störungen umzugehen und gegebenenfalls die negativen Auswirkungen von Sicherheitsvorfällen zu minimieren.

Eine größere Resilienz kritischer Einrichtungen bedeutet auch einen zuverlässigeren Betrieb derselben und eine kontinuierliche Erbringung ihrer Dienste in vielen wichtigen Sektoren, was zu einem reibungslosen Funktionieren des Binnenmarkts beiträgt. Dies wird sich wiederum positiv auf die breite Öffentlichkeit und die Unternehmen auswirken, da sie im Tagesgeschäft auf diese Dienste angewiesen sind.

Auch die Behörden würden von der Stabilität profitieren, die sich aus dem reibungslosen Funktionieren wichtiger Wirtschaftstätigkeiten und der kontinuierlichen Erbringung wesentlicher Dienste für ihre Bürger ergibt.

1.4.4.Leistungsindikatoren

Bitte geben Sie an, anhand welcher Indikatoren sich die Fortschritte und Ergebnisse verfolgen lassen.

Die Indikatoren für die Überwachung der Fortschritte und Ergebnisse werden an die spezifischen Ziele der Initiative geknüpft:

– Anzahl und Umfang der Risikobewertungen durch Behörden und kritische Einrichtungen werden als Näherungswert für das bessere Verständnis der Risiken durch die wichtigsten Akteure dienen.

– Die Zahl der von den Mitgliedstaaten ermittelten „kritischen Einrichtungen“ wird Aufschluss darüber geben, wie umfassend kritische Infrastrukturen bei politischen Maßnahmen berücksichtigt werden.

– Die durchgängige Berücksichtigung der Resilienz in der öffentlichen Politik und in der operativen Praxis wird sich in den nationalen Strategien und den Resilienzmaßnahmen der kritischen Einrichtungen niederschlagen.

– Die Verbesserung der Kapazitäten und der Zusammenarbeit wird auf der Grundlage von Maßnahmen zum Kapazitätsaufbau und von Kooperationsinitiativen bewertet.

1.5.Begründung des Vorschlags/der Initiative

1.5.1.Kurz- oder langfristig zu deckender Bedarf, einschließlich eines ausführlichen Zeitplans für die Durchführung der Initiative

Um die Anforderungen der Initiative zu erfüllen, müssen die Mitgliedstaaten kurz- bis mittelfristig eine Resilienzstrategie für kritische Einrichtungen entwickeln, eine nationale Risikobewertung durchführen und anhand der Ergebnisse der Risikobewertung und spezifischer Kriterien ermitteln, bei welchen Betreibern es sich um „kritische Einrichtungen“ handelt. Diese Tätigkeiten werden nach Bedarf regelmäßig, mindestens jedoch alle vier Jahre durchgeführt. Die Mitgliedstaaten müssen zudem Mechanismen für die Zusammenarbeit zwischen den einschlägigen Interessenträgern einrichten.

Die als „kritische Einrichtungen“ ausgewiesenen Betreiber müssten kurz- bis mittelfristig eine eigene Risikobewertung durchführen, geeignete und verhältnismäßige technische und organisatorische Maßnahmen ergreifen, um ihre Resilienz zu gewährleisten, und Sicherheitsvorfälle den zuständigen Behörden melden.

1.5.2.Mehrwert aufgrund des Tätigwerdens der Union (kann sich aus unterschiedlichen Faktoren ergeben, z. B. Vorteile durch Koordinierung, Rechtssicherheit, größerer Wirksamkeit oder Komplementarität). Für die Zwecke dieser Nummer bezeichnet der Ausdruck „Mehrwert aufgrund des Tätigwerdens der Union“ den Wert, der sich aus dem Tätigwerden der Union ergibt und den Wert ergänzt, der andernfalls allein von den Mitgliedstaaten geschaffen worden wäre.

Gründe für Maßnahmen auf europäischer Ebene (ex ante):

Das Ziel dieser Initiative ist die Verbesserung der Resilienz kritischer Einrichtungen gegen eine Reihe von Risiken. Dieses Ziel kann von den Mitgliedstaaten allein nicht in ausreichendem Maße erreicht werden: Die Maßnahmen der EU sind aufgrund des allgemeinen Charakters der Risiken, denen kritische Einrichtungen ausgesetzt sind, des länderübergreifenden Charakters der von ihnen erbrachten Dienste und der Abhängigkeiten und Verbindungen zwischen ihnen (über Sektoren und Grenzen hinweg) gerechtfertigt. Dies bedeutet, dass eine Schwachstelle oder eine Störung einer einzigen Einrichtung zu sektor- und grenzübergreifenden Störungen führen kann.

Erwarteter EU-Mehrwert (ex-post):

Im Vergleich zur aktuellen Situation wird die vorgeschlagene Initiative insbesondere durch folgende Elemente einen Mehrwert erbringen:

– Schaffung eines allgemeinen Rahmens, der eine stärkere Abstimmung der politischen Strategien der Mitgliedstaaten fördern würde (einheitlicher sektorspezifischer Anwendungsbereich, Kriterien für die Ausweisung kritischer Einrichtungen, gemeinsame Anforderungen an Risikobewertungen),

– Gewährleistung, dass kritische Einrichtungen angemessene Resilienzmaßnahmen ergreifen,

– Zusammenführung von Kenntnissen und Fachwissen aus der gesamten EU, um die Reaktion kritischer Einrichtungen und Behörden zu optimieren,

– Verringerung der Diskrepanzen zwischen den Mitgliedstaaten und Stärkung der Resilienz kritischer Einrichtungen in der EU.

1.5.3.Aus früheren ähnlichen Maßnahmen gewonnene Erkenntnisse

Der Vorschlag stützt sich auf die Erkenntnisse aus der Umsetzung der Richtlinie über europäische kritische Infrastrukturen (Richtlinie 2008/114/EG) und ihrer Evaluierung (SWD(2019) 308).

1.5.4.Vereinbarkeit mit dem mehrjährigen Finanzrahmen sowie mögliche Synergieeffekte mit anderen geeigneten Instrumenten

Dieser Vorschlag ist einer der Bausteine der neuen EU-Strategie für eine Sicherheitsunion, mit der ein zukunftsfähiges Sicherheitsumfeld geschaffen werden soll.

Es können Synergieeffekte mit dem Katastrophenschutzverfahren der Union in Bezug auf Katastrophenprävention, ‑minderung und ‑management entwickelt werden.

1.6.Laufzeit und finanzielle Auswirkungen des Vorschlags/der Initiative

◻ befristete Laufzeit

◻ Laufzeit: [TT.MM.]JJJJ bis [TT.MM.]JJJJ

◻ Finanzielle Auswirkungen auf die Mittel für Verpflichtungen von JJJJ bis JJJJ und auf die Mittel für Zahlungen von JJJJ bis JJJJ

☑ unbefristete Laufzeit

·Umsetzung mit einer Anlaufphase von 2021 bis 2027,

·anschließend reguläre Umsetzung.

1.7.Vorgeschlagene Methode(n) der Mittelverwaltung 41

☑ Direkte Mittelverwaltung durch die Kommission

☑ durch ihre Dienststellen, einschließlich ihres Personals in den Delegationen der Union

◻ durch Exekutivagenturen

☑ Geteilte Mittelverwaltung mit Mitgliedstaaten

◻ Indirekte Mittelverwaltung durch Übertragung von Haushaltsvollzugsaufgaben an:

◻ Drittländer oder die von ihnen benannten Einrichtungen

◻ internationale Einrichtungen und deren Agenturen (bitte angeben)

◻ die EIB und den Europäischen Investitionsfonds

◻ Einrichtungen im Sinne der Artikel 70 und 71 der Haushaltsordnung

◻ öffentlich-rechtliche Körperschaften

◻ privatrechtliche Einrichtungen, die im öffentlichen Auftrag tätig werden, sofern sie ausreichende finanzielle Garantien bieten

◻ privatrechtliche Einrichtungen eines Mitgliedstaats, die mit der Einrichtung einer öffentlich-privaten Partnerschaft betraut werden und die ausreichende finanzielle Garantien bieten

◻ Personen, die mit der Durchführung bestimmter Maßnahmen im Bereich der GASP im Rahmen des Titels V EUV betraut und in dem maßgeblichen Basisrechtsakt benannt sind.

Falls mehrere Methoden der Mittelverwaltung angegeben werden, ist dies unter „Bemerkungen“ näher zu erläutern.

Bemerkungen

Die direkte Mittelverwaltung umfasst in erster Linie: Verwaltungskosten für die GD HOME, Verwaltungsvereinbarungen mit der JRC, von der Kommission verwaltete Finanzhilfen.

Die geteilte Mittelverwaltung umfasst: Projekte mit geteilter Mittelverwaltung: Die Mitgliedstaaten müssen eine Strategie und eine Risikobewertung ausarbeiten und können für diese Zwecke ihre nationalen Finanzrahmen verwenden.

2.VERWALTUNGSMASSNAHMEN

2.1.Überwachung und Berichterstattung

Bitte geben Sie an, wie oft und unter welchen Bedingungen diese Tätigkeiten erfolgen.

Gemäß dem Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Schaffung des Instruments der Union für den Bereich der Sicherheit im Rahmen des Fonds für die innere Sicherheit (COM(2018) 472 final):

Geteilte Mittelverwaltung:

Im Einklang mit der Verordnung mit gemeinsamen Bestimmungen (im Folgenden „Dachverordnung“) richtet jeder Mitgliedstaat ein Verwaltungs- und Kontrollsystem für sein Programm ein und gewährleistet die Qualität und Zuverlässigkeit des Überwachungssystems sowie der Daten zu Indikatoren. Damit rasch mit der Durchführung begonnen werden kann, können vorhandene gut funktionierende Verwaltungs- und Kontrollsysteme im nächsten Programmplanungszeitraum übernommen werden.

Daher werden die Mitgliedstaaten aufgefordert, einen Überwachungsausschuss einzusetzen, an dem sich die Kommission in beratender Funktion beteiligt. Der Überwachungsausschuss tritt mindestens einmal jährlich zusammen. Er prüft alle Punkte, die den Fortschritt des Programms beim Erreichen der Ziele beeinflussen.

Die Mitgliedstaaten übermitteln einen jährlichen Leistungsbericht, der Angaben zu den Fortschritten bei der Durchführung des Programms und der Erreichung der Etappenziele und Ziele enthalten sollte. Er sollte auch alle Aspekte aufzeigen, die die Leistung des Programms beeinflussen, und alle Maßnahmen erläutern, die in dieser Hinsicht ergriffen werden.

Am Ende des Zeitraums legt jeder Mitgliedstaat einen abschließenden Leistungsbericht vor. Dieser abschließende Bericht sollte insbesondere die bei der Verwirklichung der Programmziele erreichten Fortschritte aufzeigen, einen Überblick über die wichtigsten Aspekte geben, die die Leistung des Programms beeinflusst haben, die in dieser Hinsicht ergriffenen Maßnahmen erläutern und deren Wirksamkeit bewerten. Darüber hinaus sollte in dem Bericht dargelegt werden, inwiefern das Programm zur Bewältigung der Herausforderungen beigetragen hat, die in den einschlägigen Empfehlungen der EU an den Mitgliedstaat genannt wurden, welche Fortschritte bei der Umsetzung der Vorgaben des Leistungsrahmens erzielt wurden, zu welchen Ergebnissen die einschlägigen Evaluierungen geführt haben, welche diesbezüglichen Folgemaßnahmen eingeleitet wurden und was mit den Kommunikationsmaßnahmen erreicht wurde.

Nach dem vorgeschlagenen Dachverordnungsentwurf übermitteln die Mitgliedstaaten jährlich ein „Gewährpaket“, das die Jahresrechnungen, die Verwaltungserklärung und die Stellungnahmen der Prüfbehörde zu den Rechnungen, zum jährlichen Kontrollbericht nach Artikel 92 Absatz 1 Buchstabe d der Dachverordnung, zum Verwaltungs- und Kontrollsystem sowie zur Recht- und Ordnungsmäßigkeit der in den Jahresrechnungen geltend gemachten Ausgaben enthält. Dieses Gewährpaket wird von der Kommission zugrunde gelegt, um den Betrag zulasten des Fonds für das Geschäftsjahr festzulegen.

Alle zwei Jahre wird eine Überprüfungssitzung unter Beteiligung der Kommission und des jeweiligen Mitgliedstaats organisiert, um die Leistung jedes Programms zu untersuchen.

Sechsmal jährlich übermitteln die Mitgliedstaaten für jedes Programm nach den spezifischen Zielen aufgeschlüsselte Daten. Diese Daten beziehen sich auf die Kosten der Maßnahmen und die Werte der gemeinsamen Output- und Ergebnisindikatoren.

Allgemein gilt:

Im Einklang mit der Dachverordnung nimmt die Kommission eine Halbzeitevaluierung und eine rückblickende Evaluierung der im Rahmen dieses Fonds durchgeführten Maßnahmen vor. Die Halbzeitevaluierung sollte sich insbesondere auf die Halbzeitevaluierung der Programme stützen, die die Mitgliedstaaten der Kommission bis zum 31. Dezember 2024 vorlegen.

2.2.Verwaltungs- und Kontrollsystem(e)

2.2.1.Begründung der Methode(n) der Mittelverwaltung, des Durchführungsmechanismus/der Durchführungsmechanismen für die Finanzierung, der Zahlungsmodalitäten und der Kontrollstrategie, wie vorgeschlagen

Sowohl die Ex-post-Evaluierungen der Fonds der GD HOME für den Zeitraum 2007–2013 als auch die Zwischenevaluierungen der derzeitigen Fonds der GD HOME haben ergeben, dass die Fondsziele aufgrund einer Kombination der Mittelverwaltungsmethoden in den Bereichen Migration und Inneres wirksam erreicht werden konnten. Dieser ganzheitliche Ansatz wird beibehalten und umfasst die geteilte, direkte und indirekte Mittelverwaltung.

Im Wege der geteilten Mittelverwaltung führen die Mitgliedstaaten auf die jeweiligen nationalen Gegebenheiten zugeschnittene Programme durch, die zur Verwirklichung der politischen Ziele der Union beitragen. Die geteilte Mittelverwaltung gewährleistet, dass in allen teilnehmenden Staaten finanzielle Hilfe zur Verfügung steht. Darüber hinaus gewährleistet sie die Vorhersehbarkeit der Finanzierung und ermöglicht den Mitgliedstaaten, die die Herausforderungen, mit denen sie konfrontiert sind, selbst am besten kennen, entsprechende langfristige Planungen. Neu ist, dass aus dem Fonds auch Soforthilfe im Wege der geteilten Mittelverwaltung und nicht nur im Wege der direkten und der indirekten Mittelverwaltung bereitgestellt werden kann.

Im Wege der direkten Mittelverwaltung unterstützt die Kommission weitere Maßnahmen, die zur Verwirklichung der gemeinsamen politischen Ziele der Union beitragen. Die Maßnahmen ermöglichen eine maßgeschneiderte Unterstützung für dringende spezifische Bedürfnisse in einzelnen Mitgliedstaaten („Soforthilfe“), die Förderung transnationaler Netze und Tätigkeiten, die Erprobung innovativer Aktivitäten, die im Rahmen der nationalen Programme ausgebaut werden könnten, und die Durchführung von Studien im Interesse der gesamten Union („Unionsmaßnahmen“).

Im Wege der indirekten Mittelverwaltung ist es im Rahmen des Fonds weiterhin möglich, für besondere Zwecke Haushaltsvollzugsaufgaben unter anderem an internationale Einrichtungen und Agenturen im Bereich Inneres zu übertragen.

Unter Berücksichtigung der verschiedenen Ziele und Erfordernisse wird eine Thematische Fazilität im Rahmen des Fonds vorgeschlagen, um einerseits der Vorhersehbarkeit der mehrjährigen Zuweisung von Mitteln für die nationalen Programme und andererseits der Flexibilität bei der regelmäßigen Auszahlung von Mitteln für Maßnahmen mit einem hohen Mehrwert für die Union ausgewogen Rechnung zu tragen. Aus der Thematischen Fazilität werden spezifische Maßnahmen in und zwischen Mitgliedstaaten, Unionsmaßnahmen sowie Soforthilfe finanziert. Sie wird gewährleisten, dass die Mittel auf der Grundlage eines zweijährigen Programmplanungszyklus den verschiedenen oben genannten Methoden der Mittelverwaltung zugewiesen bzw. zwischen diesen übertragen werden können.

Die Zahlungsmodalitäten für die geteilte Mittelverwaltung enthält der Dachverordnungsentwurf, der eine jährliche Vorfinanzierung vorsieht, gefolgt von höchstens vier Zwischenzahlungen je Programm und Jahr auf der Grundlage der Zahlungsanträge der Mitgliedstaaten während des Geschäftsjahres. Gemäß dem Dachverordnungsentwurf wird die Vorfinanzierung im letzten Geschäftsjahr der Programme verrechnet.

Die Kontrollstrategie wird auf der neuen Haushaltsordnung und der Dachverordnung basieren. Die neue Haushaltsordnung und der Vorschlagsentwurf für die Dachverordnung dürften einen verstärkten Einsatz vereinfachter Formen von Finanzhilfen wie Pauschalbeträge, Pauschalfinanzierungen und Kosten je Einheit bewirken. Außerdem werden neue Formen von Zahlungen eingeführt, die sich auf die erzielten Ergebnisse und nicht auf die Kosten stützen. Die Begünstigten können einen festen Geldbetrag erhalten, wenn sie nachweisen, dass bestimmte Maßnahmen wie Schulungen oder humanitäre Hilfe erfolgt sind. Dadurch soll sich der Kontrollaufwand (z. B. Prüfung von Rechnungen und Kostenbelegen) sowohl für die Begünstigten als auch für die Mitgliedstaaten verringern.

In Bezug auf die geteilte Mittelverwaltung stützt sich der Dachverordnungsentwurf auf die Verwaltungs- und Kontrollstrategie für den Programmplanungszeitraum 2014–2020. Allerdings werden einige Maßnahmen zur Vereinfachung der Durchführung und zur Verringerung des Kontrollaufwands für die Begünstigten und die Mitgliedstaaten eingeführt. Unter anderem sind folgende Neuerungen vorgesehen:

– die Abschaffung des Benennungsverfahrens (was eine zügigere Durchführung der Programme ermöglichen dürfte);

– Verwaltungsüberprüfungen (Verwaltungs- und Vor-Ort-Kontrollen), die von der Verwaltungsbehörde auf Risikobasis durchzuführen sind (gegenüber den im Programmplanungszeitraum 2014–2020 in allen Fällen erforderlichen Verwaltungskontrollen). Außerdem können die Verwaltungsbehörden unter bestimmten Voraussetzungen verhältnismäßige Kontrollmaßnahmen durchführen, die mit den nationalen Verfahren in Einklang stehen;

– Vorgaben im Hinblick auf die Vermeidung von Mehrfachprüfungen bei demselben Vorhaben bzw. denselben Ausgaben.

Auf der Grundlage der den Begünstigten entstandenen Ausgaben legen die Programmbehörden der Kommission Zwischenzahlungsanträge vor. Der Dachverordnungsentwurf ermöglicht es den Verwaltungsbehörden, auf Risikobasis Verwaltungsüberprüfungen durchzuführen, und sieht zudem vor, dass spezifische Kontrollen (z. B. Vor-Ort-Kontrollen durch die Verwaltungsbehörde und Prüfungen von Vorhaben/Ausgaben durch die Prüfbehörde) vorgenommen werden, nachdem die entsprechenden Ausgaben in den Zwischenzahlungsanträgen bei der Kommission geltend gemacht wurden. Zur Minderung des Risikos, dass nicht förderfähige Ausgaben erstattet werden, wurde im Dachverordnungsentwurf für die Zwischenzahlungen der Kommission eine Obergrenze von 90 % vorgesehen, da die nationalen Kontrollen zu dem betreffenden Zeitpunkt erst zum Teil durchgeführt worden sind. Nach dem jährlichen Rechnungsabschlussverfahren zahlt die Kommission den Restbetrag, sobald sie das Gewährpaket von den Programmbehörden erhalten hat. Unregelmäßigkeiten, die von der Kommission oder dem Europäischen Rechnungshof nach Übermittlung des jährlichen Gewährpakets festgestellt werden, können zu einer Nettofinanzkorrektur führen.

In Bezug auf den im Rahmen der Thematischen Fazilität im Wege der direkten Mittelverwaltung durchgeführten Bereich wird sich die Verwaltungs- und Kontrollstrategie auf die Erfahrungen hinsichtlich der Unionsmaßnahmen und Soforthilfe aus dem Zeitraum 2014–2020 stützen. Eine vereinfachte Regelung wird eine rasche Bearbeitung der Finanzierungsanträge ermöglichen und gleichzeitig das Fehlerrisiko mindern: infrage kommende Antragsteller werden sich auf Mitgliedstaaten und internationale Organisation beschränken, die Finanzierung stützt sich auf vereinfachte Kostenoptionen, Standardformblätter werden für Finanzierungsanträge, Finanzhilfe-/Beitragsvereinbarungen und die Berichterstattung ausgearbeitet, ein ständiger Bewertungsausschuss wird die Anträge unverzüglich nach deren Eingang prüfen.

2.2.2.Angaben zu den ermittelten Risiken und dem/den zu deren Eindämmung eingerichteten System(en) der internen Kontrolle

Die Ausgabenprogramme der GD HOME wiesen bislang kein hohes Fehlerrisiko auf. Dies geht aus den Jahresberichten des Rechnungshofs hervor, der keine nennenswerten Fehler feststellen konnte.

Bei der geteilten Mittelverwaltung betreffen die allgemeinen Risiken im Zusammenhang mit der Durchführung der laufenden Programme die Nichtausschöpfung der Fondsmittel durch die Mitgliedstaaten und etwaige Fehler, die auf die Komplexität der Vorschriften und die Schwächen der Verwaltungs- und Kontrollsysteme zurückgehen. Mit der vorgeschlagenen Dachverordnung wird der Rechtsrahmen vereinfacht, indem die Vorschriften sowie die Verwaltungs- und Kontrollsysteme für die verschiedenen im Wege der geteilten Mittelverwaltung durchgeführten Fonds vereinheitlicht werden. Außerdem werden die Kontrollanforderungen vereinfacht (z. B. risikobasierte Verwaltungsüberprüfungen, die Möglichkeit verhältnismäßiger Kontrollmaßnahmen auf der Grundlage der nationalen Verfahren, Beschränkungen der Prüftätigkeit in Bezug auf zeitliche Vorgaben und/oder spezifische Maßnahmen).

2.2.3.Schätzung und Begründung der Kosteneffizienz der Kontrollen (Verhältnis zwischen den Kontrollkosten und dem Wert der betreffenden verwalteten Mittel) sowie Bewertung der erwarteten Höhe des Fehlerrisikos (bei Zahlung und beim Abschluss)

Die Kommission erstattet Bericht über das Verhältnis der Kontrollkosten zum Wert der betreffenden verwalteten Mittel. In ihrem jährlichen Tätigkeitsbericht für 2019 hat die GD HOME dieses Verhältnis in Bezug auf die geteilte Mittelverwaltung mit 0,72 %, die Zuschüsse im Rahmen der direkten Mittelverwaltung mit 1,31 % und die Beschaffung im Rahmen der direkten Mittelverwaltung mit 6,05 % beziffert. Mit den Effizienzgewinnen bei der Durchführung der Programme und den höheren Zahlungen an die Mitgliedstaaten geht dieser Prozentsatz bei der geteilten Mittelverwaltung im Laufe der Zeit in der Regel zurück.

Mit dem risikobasierten Verwaltungs- und Kontrollkonzept, das in den Dachverordnungsentwurf aufgenommen wurde, sowie den verstärkten Bestrebungen zur Annahme vereinfachter Kostenoptionen dürften die Kontrollkosten für die Mitgliedstaaten weiter zurückgehen.

Im jährlichen Tätigkeitsbericht für 2019 wurde in Bezug auf die nationalen AMIF/ISF-Programme eine Restfehlerquote von 1,57 % und für nicht forschungsbezogene Zuschüsse im Rahmen der direkten Mittelverwaltung eine Restfehlerquote von 4,11 % ausgewiesen.

2.3.Prävention von Betrug und Unregelmäßigkeiten

Bitte geben Sie an, welche Präventions- und Schutzmaßnahmen, z. B. im Rahmen der Betrugsbekämpfungsstrategie, bereits bestehen oder angedacht sind.

Die GD HOME wird diese Strategie im Einklang mit der Betrugsbekämpfungsstrategie der Kommission (CAFS) weiter anwenden, um unter anderem sicherzustellen, dass ihre internen Kontrollen zur Betrugsbekämpfung vollständig auf die CAFS abgestimmt sind und dass ihr Betrugsrisikomanagement darauf abzielt, Bereiche mit Betrugsrisiken zu ermitteln und entsprechende Abhilfemaßnahmen zu ergreifen.

In Bezug auf die geteilte Mittelverwaltung sorgen die Mitgliedstaaten für die Recht- und Ordnungsmäßigkeit der Ausgaben in den bei der Kommission eingereichten Rechnungen. In diesem Zusammenhang treffen die Mitgliedstaaten alle erforderlichen Vorkehrungen, um Unregelmäßigkeiten zu verhindern und aufzudecken sowie Korrekturmaßnahmen zu ergreifen. Wie im aktuellen Programmplanungszyklus (2014–2020) sind die Mitgliedstaaten weiterhin verpflichtet, Verfahren zur Aufdeckung von Unregelmäßigkeiten und zur Betrugsbekämpfung in Verbindung mit der spezifischen delegierten Verordnung der Kommission über die Meldung von Unregelmäßigkeiten einzuführen. Die Betrugsbekämpfung ist auch künftig ein horizontaler Grundsatz und eine Verpflichtung der Mitgliedstaaten.

3.GESCHÄTZTE FINANZIELLE AUSWIRKUNGEN DES VORSCHLAGS/DER INITIATIVE

3.1.Betroffene Rubrik(en) des mehrjährigen Finanzrahmens und Ausgabenlinie(n) im Haushaltsplan

(1) Neue Haushaltslinien

In der Reihenfolge der Rubriken des mehrjährigen Finanzrahmens und der Haushaltslinien.

Rubrik des mehrjährigen Finanzrahmens	Haushaltslinie	Art der Ausgaben	Beitrag
	Rubrik 5: Resilienz, Sicherheit und Verteidigung	GM/NGM 42	von EFTA-Ländern 43	von Kandidaten-ländern 44	von Drittländern	nach Artikel 21 Absatz 2 Buchstabe b der Haushaltsordnung
5	12.02.01 – „Fonds für die innere Sicherheit“	GM	NEIN	NEIN	JA	NEIN
5	12 01 01 – Unterstützungsausgaben für den Fonds für die innere Sicherheit	NGM	NEIN	NEIN	JA	NEIN

Anmerkung:

Im Zusammenhang mit dem Vorschlag beantragte operative Mittel sind durch Mittel gedeckt, die bereits in dem der ISF-Verordnung zugrunde liegenden Finanzbogen zu Rechtsakten vorgesehen sind.

Im Zusammenhang mit diesem Legislativvorschlag werden zusätzliche personelle Ressourcen beantragt.

3.2.Geschätzte finanzielle Auswirkungen des Vorschlags auf die Mittel

3.2.1.Übersicht über die geschätzten Auswirkungen auf die operativen Mittel

◻ Für den Vorschlag/die Initiative werden keine operativen Mittel benötigt.

☑ Für den Vorschlag/die Initiative werden die folgenden operativen Mittel benötigt:

in Mio. EUR (3 Dezimalstellen)

Rubrik des mehrjährigen
Finanzrahmens

Resilienz, Sicherheit und Verteidigung

GD: HOME

2021

2022

2023

2024

2025

2026

2027

Nach 2027

GESAMT

• Operative Mittel

Haushaltslinie 12 02 01 Fonds für die innere Sicherheit

Verpflichtungen

(1a)

0,124

4,348

5,570

6,720

7,020

7,020

7,020

37,822

Zahlungen

(2a)

0,540

4,323

5,357

5,403

5,403

5,403

5,403

5,989

37,822

Aus der Dotation bestimmter spezifischer Programme finanzierte Verwaltungsausgaben 45

Haushaltslinie

(3)

Mittel INSGESAMT
GD HOME

Verpflichtungen

=1a+1b+3

0,124

4,348

5,570

6,720

7,020

7,020

7,020

37,822

Zahlungen

=2a+2b

+3

0,540

4,323

5,357

5,403

5,403

5,403

5,403

5,989

37,822

•Operative Mittel INSGESAMT	Verpflichtungen	(4)
	Zahlungen	(5)
•Aus der Dotation bestimmter spezifischer Programme finanzierte Verwaltungsausgaben INSGESAMT		(6)
Mittel INSGESAMT unter RUBRIK 5 des mehrjährigen Finanzrahmens	Verpflichtungen	=4+6	0,124	4,348	5,570	6,720	7,020	7,020	7,020		37,822
	Zahlungen	=5+6	0,540	4,323	5,357	5,403	5,403	5,403	5,403	5,989	37,822

Wenn der Vorschlag/die Initiative mehrere operative Rubriken betrifft, ist der vorstehende Abschnitt zu wiederholen:

•Operative Mittel INSGESAMT (alle operativen Rubriken)	Verpflichtungen	(4)
	Zahlungen	(5)
Aus der Dotation bestimmter spezifischer Programme finanzierte Verwaltungsausgaben INSGESAMT (alle operativen Rubriken)		(6)
Mittel INSGESAMT unter den RUBRIKEN 1 bis 6 des mehrjährigen Finanzrahmens (Referenzbetrag)	Verpflichtungen	=4+6	0,124	4,348	5,570	6,720	7,020	7,020	7,020		37,822
	Zahlungen	=5+6	0,540	4,323	5,357	5,403	5,403	5,403	5,403	5,989	37,822

Rubrik des mehrjährigen
Finanzrahmens

„Verwaltungsausgaben“

Zum Ausfüllen dieses Teils ist die „Tabelle für Verwaltungsausgaben“ zu verwenden, die zuerst in den Anhang des Finanzbogens zu Rechtsakten (Anhang V der Internen Vorschriften), der für die dienststellenübergreifende Konsultation in DECIDE hochgeladen wird, aufgenommen wird.

in Mio. EUR (3 Dezimalstellen)

		2021	2022	2023	2024	2025	2026	2027	GESAMT
GD: HOME
•Personal		0,152	0,228	0,499	0,813	0,932	0,932	0,932	4,488
• Sonstige Verwaltungsausgaben		0,033	0,085	0,109	0,109	0,109	0,109	0,109	0,663
GD HOME INSGESAMT	Mittel	0,185	0,313	0,608	0,922	1,041	1,041	1,041	5,151

Mittel INSGESAMT
unter der RUBRIK 7
des mehrjährigen Finanzrahmens

(Verpflichtungen insges. = Zahlungen insges.)

0,185

0,313

0,608

0,922

1,041

1,041

1,041

5,151

in Mio. EUR (3 Dezimalstellen)

		2021	2022	2023	2024	2025	2026	2027	Nach 2027	INSGESAMT
Mittel INSGESAMT unter den RUBRIKEN 1 bis 7 des mehrjährigen Finanzrahmens	Verpflichtungen	0,309	4,661	6,178	7,642	8,061	8,061	8,061	-	42,973
	Zahlungen	0,725	4,636	5,965	6,325	6,444	6,444	6,444	5,989	42,973

3.2.2.Geschätzte Ergebnisse, die mit operativen Mitteln finanziert werden Mittel für Verpflichtungen in Mio. EUR (3 Dezimalstellen)

3.2.3.Übersicht über die geschätzten Auswirkungen auf die Verwaltungsmittel

◻ Für den Vorschlag/die Initiative werden keine Verwaltungsmittel benötigt.

☑ Für den Vorschlag/die Initiative werden die folgenden Verwaltungsmittel benötigt:

in Mio. EUR (3 Dezimalstellen)

	2021	2022	2023	2024	2025	2026	2027	GESAMT
RUBRIK 7 des mehrjährigen Finanzrahmens
Personal	0,152	0,228	0,499	0,813	0,932	0,932	0,932	4,488
Sonstige Verwaltungsausgaben	0,033	0,085	0,109	0,109	0,109	0,109	0,109	0,663
Zwischensumme RUBRIK 7 des mehrjährigen Finanzrahmens	0,185	0,313	0,608	0,922	1,041	1,041	1,041	5,188

außerhalb der RUBRIK 7 46
des mehrjährigen Finanzrahmens

Personal

Sonstige
Verwaltungsausgaben

Zwischensumme
außerhalb der RUBRIK 7
des mehrjährigen Finanzrahmens

INSGESAMT

0,185

0,313

0,608

0,922

1,041

1,041

1,041

5,188

Der Mittelbedarf für Personal- und sonstige Verwaltungsausgaben wird durch der Verwaltung der Maßnahme zugeordnete Mittel der GD oder GD-interne Personalumschichtung gedeckt. Hinzu kommen etwaige zusätzliche Mittel, die der für die Verwaltung der Maßnahme zuständigen GD nach Maßgabe der verfügbaren Mittel im Rahmen der jährlichen Mittelzuweisung zugeteilt werden.

3.2.3.1.Geschätzter Personalbedarf

◻ Für den Vorschlag/die Initiative wird kein Personal benötigt.

☑ Für den Vorschlag/die Initiative wird folgendes Personal benötigt:

Schätzung in Vollzeitäquivalenten

		Jahr 2021	Jahr 2022	Jahr 2023	Jahr 2024	2025 2026 2027
• Im Stellenplan vorgesehene Planstellen (Beamte und Bedienstete auf Zeit)
20 01 02 01 (am Sitz und in den Vertretungen der Kommission)		1	2	4	5	5	5	5
XX 01 01 02 (in den Delegationen)
XX 01 05 01/11/21 (indirekte Forschung)
10 01 05 01/11 (direkte Forschung)
• Externes Personal (in Vollzeitäquivalenten – VZÄ) 47
2002 01 03 (VB, ANS und LAK der Globaldotation)				1	2	2	2	2
XX 01 02 02 (VB, ÖB, ANS, LAK und JFD in den Delegationen)
XX 01 04 jj 48	– am Sitz
	– in den Delegationen
XX 01 05 02/12/22 (VB, ANS, LAK der indirekten Forschung)
10 01 05 02/12 (VB, ANS und LAK der direkten Forschung)
Sonstige Haushaltslinien (bitte angeben)
GESAMT		1	2	5	7	7	7	7

XX steht für den jeweiligen Politikbereich bzw. Haushaltstitel.

Der Personalbedarf wird durch der Verwaltung der Maßnahme zugeordnetes Personal der GD oder GD-interne Personalumschichtung gedeckt. Hinzu kommen etwaige zusätzliche Mittel, die der für die Verwaltung der Maßnahme zuständigen GD nach Maßgabe der verfügbaren Mittel im Rahmen der jährlichen Mittelzuweisung zugeteilt werden.

Beschreibung der auszuführenden Aufgaben:

Beamte und Bedienstete auf Zeit

In dem Vorschlag wird von 4 AD und 1 AST ausgegangen, die sich aufseiten der Kommission mit der Umsetzung der Richtlinie befassen, von denen 1 AD bereits intern tätig ist und die verbleibenden VZÄ noch zusätzlich eingestellt werden müssten.

Im Einstellungsplan ist Folgendes vorgesehen:

2022: +1 AD: Referent für den Wissensaufbau und die Unterstützungsmaßnahmen

2023: +1 AD (Referent für die Beratungsteams), 1 AST (Assistent für die Resilienz-Beratungsteams)

2024: +1 AD (Referent zur Unterstützung der Aktivitäten bei Behörden und Betreibern)

Externes Personal

Im Vorschlag wird von 2 ANS ausgegangen, die sich aufseiten der Kommission mit der Umsetzung der Richtlinie befassen.

Im Einstellungsplan ist Folgendes vorgesehen:

2023: +1 END (Sachverständiger für die Resilienz kritischer Infrastrukturen/Unterstützung der Aktivitäten bei Behörden und Betreibern)

2024: 1 END (Sachverständiger für die Resilienz kritischer Infrastrukturen/Unterstützung der Aktivitäten bei Behörden und Betreibern)

3.2.4.Vereinbarkeit mit dem derzeitigen mehrjährigen Finanzrahmen

Der Vorschlag/die Initiative:

☑ kann durch Umschichtungen innerhalb der entsprechenden Rubrik des Mehrjährigen Finanzrahmens (MFR) in voller Höhe finanziert werden.

Operative Ausgaben durch den ISF im Rahmen des MFR 2021–2027 gedeckt

◻ erfordert die Inanspruchnahme des verbleibenden Spielraums unter der einschlägigen Rubrik des MFR und/oder den Einsatz der besonderen Instrumente im Sinne der MFR-Verordnung.

Bitte erläutern Sie den Bedarf unter Angabe der betreffenden Rubriken und Haushaltslinien, der entsprechenden Beträge und der vorgeschlagenen einzusetzenden Instrumente.

◻ erfordert eine Revision des MFR.

Bitte erläutern Sie den Bedarf unter Angabe der betreffenden Rubriken und Haushaltslinien sowie der entsprechenden Beträge.

3.2.5.Finanzierungsbeteiligung Dritter

Der Vorschlag/Die Initiative

☑ sieht keine Kofinanzierung durch Dritte vor.

◻ sieht folgende Kofinanzierung durch Dritte vor:

Mittel in Mio. EUR (3 Dezimalstellen)

	Jahr N 49	Jahr N+1	Jahr N+2	Jahr N+3	Bei länger andauernden Auswirkungen (siehe 1.6.) bitte weitere Spalten einfügen.	Gesamt
Kofinanzierende Einrichtung
Kofinanzierung INSGESAMT

3.3.Geschätzte Auswirkungen auf die Einnahmen

☑ Der Vorschlag/Die Initiative wirkt sich nicht auf die Einnahmen aus.

◻ Der Vorschlag/Die Initiative wirkt sich auf die Einnahmen aus, und zwar:

◻ auf die Eigenmittel

◻ auf die übrigen Einnahmen

Bitte geben Sie an, ob die Einnahmen bestimmten Ausgabenlinien zugewiesen sind. ◻

in Mio. EUR (3 Dezimalstellen)

Einnahmenlinie:	Für das laufende Haushaltsjahr zur Verfügung stehende Mittel	Auswirkungen des Vorschlags/der Initiative 50
		Jahr N	Jahr N+1	Jahr N+2	Jahr N+3	Bei länger andauernden Auswirkungen (siehe 1.6.) bitte weitere Spalten einfügen.
Artikel ………….

Bitte geben Sie für die zweckgebundenen Einnahmen die betreffende(n) Ausgabenlinie(n) im Haushaltsplan an.

[...]

Sonstige Anmerkungen (bei der Ermittlung der Auswirkungen auf die Einnahmen verwendete Methode/Formel oder weitere Informationen).

[…]

(1) Schlussfolgerungen des Rates vom 10. Dezember 2019 zu zusätzlichen Anstrengungen zur Stärkung der Resilienz und zur Abwehr hybrider Bedrohungen (14972/19).

(2) Bericht über die Feststellungen und Empfehlungen des Sonderausschusses Terrorismus des Europäischen Parlaments (2018/2044(INI)).

(3) Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union.

(4) COM(2020) 605 final.

(5) COM(2020) 795 final.

(6) Mitteilung der Kommission über ein Europäisches Programm für den Schutz kritischer Infrastrukturen. KOM(2006) 786 endg.

(7) Richtlinie 2008/114/EG des Rates vom 8. Dezember 2008 über die Ermittlung und Ausweisung europäischer kritischer Infrastrukturen und die Bewertung der Notwendigkeit, ihren Schutz zu verbessern.

(8) Mitteilung der Kommission „Eine EU-Strategie zur Anpassung an den Klimawandel“. COM(2013) 216 final; Beschluss Nr. 1313/2013/EU des Europäischen Parlaments und des Rates vom 17. Dezember 2013 über ein Katastrophenschutzverfahren der Union; Verordnung (EU) 2019/452 zur Schaffung eines Rahmens für die Überprüfung ausländischer Direktinvestitionen in der Union; Richtlinie (EU) 2016/1148 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union.

(9) Übersicht über die potenziellen Risiken von Naturkatastrophen und durch Menschen verursachten Katastrophen in der Europäischen Union. SWD(2020) 330.

(10) SWD(2019) 308.

(11) Mitteilung der Kommission „EU-Strategie für eine Sicherheitsunion“. COM(2020) 605 final.

(12) SWD(2019) 310.

(13) Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG.

(14) ABl. C […] vom […], S. […].

(15) ABl. C […] vom […], S. […].

(16) Standpunkt des Europäischen Parlaments […] und Standpunkt des Rates […].

(17) Richtlinie 2008/114/EG des Rates vom 8. Dezember 2008 über die Ermittlung und Ausweisung europäischer kritischer Infrastrukturen und die Bewertung der Notwendigkeit, ihren Schutz zu verbessern (ABl. L 345 vom 23.12.2008, S. 75).

(18) SWD(2019) 308.

(19) Europäisches Programm für den Schutz kritischer Infrastrukturen (EPSKI).

(20) [Angaben zur NIS-2-Richtlinie, sobald diese angenommen wurde]

(21) Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates vom 6. Juli 2016 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (ABl. L 194 vom 19.7.2016, S. 1).

(22) Verordnung (EU) Nr. 648/2012 des Europäischen Parlaments und des Rates vom 4. Juli 2012 über OTC-Derivate, zentrale Gegenparteien und Transaktionsregister (ABl. L 201 vom 27.7.2012, S. 1).

(23) Richtlinie 2014/65/EU des Europäischen Parlaments und des Rates vom 15. Mai 2014 über Märkte für Finanzinstrumente sowie zur Änderung der Richtlinien 2002/92/EG und 2011/61/EU (ABl. L 173 vom 12.6.2014, S. 349).

(24) Verordnung (EU) Nr. 600/2014 des Europäischen Parlaments und des Rates vom 15. Mai 2014 über Märkte für Finanzinstrumente und zur Änderung der Verordnung (EU) Nr. 648/2012 (ABl. L 173 vom 12.6.2014, S. 84).

(25) Verordnung (EU) Nr. 575/2013 des Europäischen Parlaments und des Rates vom 26. Juni 2013 über Aufsichtsanforderungen an Kreditinstitute und Wertpapierfirmen und zur Änderung der Verordnung (EU) Nr. 648/2012 (ABl. L 176 vom 27.6.2013, S. 1).

(26) Richtlinie 2013/36/EU des Europäischen Parlaments und des Rates vom 26. Juni 2013 über den Zugang zur Tätigkeit von Kreditinstituten und die Beaufsichtigung von Kreditinstituten und Wertpapierfirmen, zur Änderung der Richtlinie 2002/87/EG und zur Aufhebung der Richtlinien 2006/48/EG und 2006/49/EG (ABl. L 176 vom 27.6.2013, S. 338).

(27) Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Betriebsstabilität digitaler Systeme im Finanzsektor und zur Änderung der Verordnungen (EG) Nr. 1060/2009, (EU) Nr. 648/2012, (EU) Nr. 600/2014 und (EU) Nr. 909/2014 (COM(2020) 595 final).

(28) Verordnung (EG) Nr. 300/2008 des Europäischen Parlaments und des Rates vom 11. März 2008 über gemeinsame Vorschriften für die Sicherheit in der Zivilluftfahrt und zur Aufhebung der Verordnung (EG) Nr. 2320/2002 (ABl. L 97 vom 9.4.2008, S. 72).

(29) Verordnung (EG) Nr. 725/2004 des Europäischen Parlaments und des Rates vom 31. März 2004 zur Erhöhung der Gefahrenabwehr auf Schiffen und in Hafenanlagen (ABl. L 129 vom 29.4.2004, S. 6).

(30) Richtlinie 2005/65/EG des Europäischen Parlaments und des Rates vom 26. Oktober 2005 zur Erhöhung der Gefahrenabwehr in Häfen (ABl. L 310 vom 25.11.2005, S. 28).

(31) Beschluss C(2018) 4014 der Kommission vom 29. Juni 2018 zur Einrichtung der EU-Plattform für die Sicherheit im Schienenpersonenverkehr.

(32) ABl. L 123 vom 12.5.2016, S. 1.

(33) Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates vom 16. Februar 2011 zur Festlegung der allgemeinen Regeln und Grundsätze, nach denen die Mitgliedstaaten die Wahrnehmung der Durchführungsbefugnisse durch die Kommission kontrollieren (ABl. L 55 vom 28.2.2011, S. 13).

(34) Richtlinie (EU) 2017/541 des Europäischen Parlaments und des Rates vom 15. März 2017 zur Terrorismusbekämpfung und zur Ersetzung des Rahmenbeschlusses 2002/475/JI des Rates und zur Änderung des Beschlusses 2005/671/JI des Rates (ABl. L 88 vom 31.3.2017, S. 6).

(35) Beschluss Nr. 1313/2013/EU des Europäischen Parlaments und des Rates vom 17. Dezember 2013 über ein Katastrophenschutzverfahren der Union (ABl. L 347 vom 20.12.2013, S. 924).

(36) Verordnung (EU) 2019/941 des Europäischen Parlaments und des Rates vom 5. Juni 2019 über die Risikovorsorge im Elektrizitätssektor und zur Aufhebung der Richtlinie 2005/89/EG (ABl. L 158 vom 14.6.2019, S. 1).

(37) Verordnung (EU) 2017/1938 des Europäischen Parlaments und des Rates vom 25. Oktober 2017 über Maßnahmen zur Gewährleistung der sicheren Gasversorgung und zur Aufhebung der Verordnung (EU) Nr. 994/2010 (ABl. L 280 vom 28.10.2017, S. 1).

(38) ABl. L 119 vom 4.5.2016, S. 1.

(39) ABl. L 135 vom 22.5.2019, S. 1.

(40) Im Sinne des Artikels 58 Absatz 2 Buchstabe a oder b der Haushaltsordnung.

(41) Erläuterungen zu den Methoden der Mittelverwaltung und Verweise auf die Haushaltsordnung enthält die Website BudgWeb (in französischer und englischer Sprache): https://myintracomm.ec.europa.eu/budgweb/DE/man/budgmanag/Pages/budgmanag.aspx

(42) GM = Getrennte Mittel/NGM = Nichtgetrennte Mittel.

(43) EFTA: Europäische Freihandelsassoziation.

(44) Kandidatenländer und gegebenenfalls potenzielle Kandidatenländer des Westbalkans.

(45) Technische und/oder administrative Hilfe und Ausgaben zur Unterstützung der Durchführung von Programmen bzw. Maßnahmen der EU (vormalige BA-Linien), indirekte Forschung, direkte Forschung.

(46) Technische und/oder administrative Hilfe und Ausgaben zur Unterstützung der Durchführung von Programmen bzw. Maßnahmen der EU (vormalige BA-Linien), indirekte Forschung, direkte Forschung.

(47) VB = Vertragsbedienstete, ÖB = örtliche Bedienstete; ANS = Abgeordnete nationale Sachverständige, LAK = Leiharbeitskräfte, JFD = Juniorfachkräfte in Delegationen.

(48) Teilobergrenze für aus den operativen Mitteln finanziertes externes Personal (vormalige BA-Linien).

(49) Das Jahr N ist das Jahr, in dem mit der Umsetzung des Vorschlags/der Initiative begonnen wird. Bitte ersetzen Sie „N“ durch das voraussichtlich erste Jahr der Umsetzung (z. B. 2021). Dasselbe gilt für die folgenden Jahre.

(50) Bei den traditionellen Eigenmitteln (Zölle, Zuckerabgaben) sind die Beträge netto, d. h. abzüglich 20 % für Erhebungskosten, anzugeben.

Sektor	Teilsektor	Art der Einrichtung
1. Energie	a) Strom	— Elektrizitätsunternehmen im Sinne des Artikels 2 Nummer 57 der Richtlinie (EU) 2019/944 1 , die die Funktion „Versorgung“ im Sinne des Artikels 2 Nummer 12 jener Richtlinie wahrnehmen
		— Verteilernetzbetreiber im Sinne des Artikels 2 Nummer 29 der Richtlinie (EU) 2019/944
		— Übertragungsnetzbetreiber im Sinne des Artikels 2 Nummer 35 der Richtlinie (EU) 2019/944
		— Erzeuger im Sinne des Artikels 2 Nummer 38 der Richtlinie (EU) 2019/944
		— Nominierte Strommarktbetreiber im Sinne des Artikels 2 Nummer 8 der Verordnung (EU) 2019/943 2
		— Elektrizitätsmarktteilnehmer im Sinne des Artikels 2 Nummer 25 der Verordnung (EU) 2019/943, die Aggregierungs-, Laststeuerungs- oder Energiespeicherungsdienste im Sinne des Artikels 2 Nummern 18, 20 und 59 der Richtlinie (EU) 2019/944 anbieten
	b) Fernwärme und -kälte	— Fernwärme oder Fernkälte im Sinne des Artikels 2 Nummer 19 der Richtlinie (EU) 2018/2001 zur Förderung der Nutzung von Energie aus erneuerbaren Quellen 3
	c) Erdöl	— Betreiber von Erdöl-Fernleitungen
		— Betreiber von Anlagen zur Produktion, Raffination und Aufbereitung von Erdöl sowie Betreiber von Erdöllagern und Erdöl-Fernleitungen
		— Zentrale Erdölbevorratungsstellen im Sinne des Artikels 2 Buchstabe f der Richtlinie 2009/119/EG des Rates 4
	d) Erdgas	— Versorgungsunternehmen im Sinne des Artikels 2 Nummer 8 der Richtlinie 2009/73/EG 5
		— Verteilernetzbetreiber im Sinne des Artikels 2 Nummer 6 der Richtlinie 2009/73/EG
		— Fernleitungsnetzbetreiber im Sinne des Artikels 2 Nummer 4 der Richtlinie 2009/73/EG
		— Betreiber einer Speicheranlage im Sinne des Artikels 2 Nummer 10 der Richtlinie 2009/73/EG
		— Betreiber einer LNG-Anlage im Sinne des Artikels 2 Nummer 12 der Richtlinie 2009/73/EG
		— Erdgasunternehmen im Sinne des Artikels 2 Nummer 1 der Richtlinie 2009/73/EG
		— Betreiber von Anlagen zur Raffination und Aufbereitung von Erdgas
	e) Wasserstoff	— Betreiber im Bereich Wasserstofferzeugung, -speicherung und -fernleitung
2. Verkehr	a) Luftfahrt	— Luftfahrtunternehmen im Sinne des Artikels 3 Nummer 4 der Verordnung (EG) Nr. 300/2008 6
		— Flughafenleitungsorgane im Sinne des Artikels 2 Nummer 2 der Richtlinie 2009/12/EG 7 , Flughäfen im Sinne des Artikels 2 Nummer 1 jener Richtlinie, einschließlich der in Anhang II Abschnitt 2 der Verordnung (EU) Nr. 1315/2013 8 aufgeführten Flughäfen des Kernnetzes, und Einrichtungen, die innerhalb von Flughäfen befindliche zugehörige Einrichtungen betreiben
		— Betreiber von Verkehrsmanagement- und Verkehrssteuerungssystemen, die Flugverkehrskontrolldienste im Sinne des Artikels 2 Nummer 1 der Verordnung (EG) Nr. 549/2004 9 bereitstellen
	b) Schienenverkehr	— Infrastrukturbetreiber im Sinne des Artikels 3 Nummer 2 der Richtlinie 2012/34/EU 10
		— Eisenbahnunternehmen im Sinne des Artikels 3 Nummer 1 der Richtlinie 2012/34/EU, einschließlich Betreiber einer Serviceeinrichtung im Sinne des Artikels 3 Nummer 12 der Richtlinie 2012/34/EU
	c) Schifffahrt	— Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, wie sie in Anhang I der Verordnung (EG) Nr. 725/2004 11 für die Schifffahrt definiert sind, ausschließlich der einzelnen von diesen Unternehmen betriebenen Schiffe
		— Leitungsorgane von Häfen im Sinne des Artikels 3 Nummer 1 der Richtlinie 2005/65/EG 12 , einschließlich ihrer Hafenanlagen im Sinne des Artikels 2 Nummer 11 der Verordnung (EG) Nr. 725/2004, sowie Einrichtungen, die innerhalb von Häfen befindliche Anlagen und Ausrüstung betreiben
		— Betreiber von Schiffsverkehrsdiensten im Sinne des Artikels 3 Buchstabe o der Richtlinie 2002/59/EG des Europäischen Parlaments und des Rates 13
	d) Straßenverkehr	— Straßenverkehrsbehörden im Sinne des Artikels 2 Nummer 12 der Delegierten Verordnung (EU) 2015/962 der Kommission 14 , die für Verkehrsmanagement und Verkehrssteuerung verantwortlich sind
		— Betreiber intelligenter Verkehrssysteme im Sinne des Artikels 4 Nummer 1 der Richtlinie 2010/40/EU 15
3. Bankwesen		— Kreditinstitute im Sinne des Artikels 4 Nummer 1 der Verordnung (EU) Nr. 575/2013 16
4. Finanzmarktinfrastrukturen		— Betreiber von Handelsplätzen im Sinne des Artikels 4 Nummer 24 der Richtlinie 2014/65/EU 17
		— Zentrale Gegenparteien (CCP) im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 648/2012 18
5. Gesundheit		— Gesundheitsdienstleister im Sinne des Artikels 3 Buchstabe g der Richtlinie 2011/24/EU 19
		— EU-Referenzlaboratorien im Sinne des Artikels 15 der Verordnung [XX] zu schwerwiegenden grenzüberschreitenden Gesundheitsgefahren 20
		— Einrichtungen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel im Sinne des Artikels 1 Nummer 2 der Richtlinie 2001/83/EG 21 ausüben
		— Einrichtungen, die pharmazeutische Erzeugnisse im Sinne des Abschnitts C Abteilung 21 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) herstellen
		— Einrichtungen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch im Sinne des Artikels 20 der Verordnung XXXX 22 („Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit“) eingestuft werden
6. Trinkwasser		— Lieferanten von und Unternehmen der Versorgung mit „Wasser für den menschlichen Gebrauch“ im Sinne des Artikels 2 Nummer 1 Buchstabe a der Richtlinie 98/83/EG des Rates 23 , jedoch unter Ausschluss der Lieferanten, für die die Lieferung von Wasser für den menschlichen Gebrauch nur ein Teil ihrer allgemeinen Tätigkeit der Lieferung anderer Rohstoffe und Güter ist, die nicht als wesentliche oder wichtige Dienste eingestuft werden
7. Abwasser		— Unternehmen, die kommunales, häusliches oder industrielles Abwasser im Sinne des Artikels 2 Nummern 1 bis 3 der Richtlinie 91/271/EWG des Rates 24 sammeln, entsorgen oder behandeln
8. Digitale Infrastruktur		— Betreiber von Internet-Knoten [im Sinne des Artikels 4 Nummer X der NIS-2-Richtlinie]
		— DNS-Diensteanbieter [im Sinne des Artikels 4 Nummer X der NIS-2-Richtlinie]
		— TLD-Namenregister [im Sinne des Artikels 4 Nummer X der NIS-2-Richtlinie]
		— Anbieter von Cloud-Computing-Diensten [im Sinne des Artikels 4 Nummer X der NIS-2-Richtlinie]
		— Anbieter von Rechenzentrumsdiensten [im Sinne des Artikels 4 Nummer X der NIS-2-Richtlinie]
		— Betreiber von Inhaltszustellnetzen [im Sinne des Artikels 4 Nummer X der NIS-2-Richtlinie]
		— Vertrauensdiensteanbieter im Sinne des Artikels 3 Nummer 19 der Verordnung (EU) Nr. 910/2014 25
		— Anbieter öffentlicher elektronischer Kommunikationsnetze im Sinne des Artikels 2 Nummer 8 der Richtlinie (EU) 2018/1972 26 oder Anbieter elektronischer Kommunikationsdienste im Sinne des Artikels 2 Nummer 4 der Richtlinie (EU) 2018/1972 soweit deren Dienste öffentlich zugänglich sind
9. Öffentliche Verwaltung		— Einrichtungen der öffentlichen Verwaltung [im Sinne des Artikels 4 Nummer X der NIS-2-Richtlinie] von Zentralregierungen
		— Einrichtungen der öffentlichen Verwaltung [im Sinne des Artikels 4 Nummer X der NIS-2-Richtlinie] der in Anhang I der Verordnung (EG) Nr. 1059/2003 27 aufgeführten Regionen der NUTS-Ebene 1
		— Einrichtungen der öffentlichen Verwaltung [im Sinne des Artikels 4 Nummer X der NIS-2-Richtlinie] der in Anhang I der Verordnung (EG) Nr. 1059/2003 aufgeführten Regionen der NUTS-Ebene 2
10. Weltraum		— Betreiber von Bodeninfrastrukturen, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden und von diesen verwaltet und betrieben werden und die Erbringung von weltraumgestützten Diensten unterstützen, ausgenommen Anbieter öffentlicher elektronischer Kommunikationsnetze im Sinne des Artikels 2 Nummer 8 der Richtlinie (EU) 2018/1972

außerhalb der RUBRIK 7 46 des mehrjährigen Finanzrahmens
Personal
Sonstige Verwaltungsausgaben
Zwischensumme außerhalb der RUBRIK 7 des mehrjährigen Finanzrahmens