NEUVOSTON SUOSITUS,

annettu 25 päivänä kesäkuuta 2024,

suunnitelmaksi koordinoidusta unionin tason reagoinnista kriittisen infrastruktuurin häiriöihin, joilla on huomattavaa rajatylittävää merkitystä

(ETA:n kannalta merkityksellinen teksti)

(C/2024/4371)

EUROOPAN UNIONIN NEUVOSTO, joka

ottaa huomioon Euroopan unionin toiminnasta tehdyn sopimuksen ja erityisesti sen 292 artiklan yhdessä sen 114 artiklan kanssa,

ottaa huomioon Euroopan komission ehdotuksen,

sekä katsoo seuraavaa:

(1)

Sisämarkkinoiden ja koko yhteiskunnan moitteettoman toiminnan kannalta on olennaisen tärkeää, että voidaan luottaa häiriönsietokykyiseen kriittiseen infrastruktuuriin ja häiriönsietokykyisiin kriittisiin toimijoihin, jotka tarjoavat välttämättömien yhteiskunnan toimintojen, talouden toiminnan, kansanterveyden, yleisen turvallisuuden tai ympäristön ylläpitämisen kannalta olennaisia palveluja.

(2)

Nykyisessä muuttuvassa riskiympäristössä ja infrastruktuurien ja toimialojen keskinäisten riippuvuuksien sekä laajemmin toimialojen ja maiden rajojen välisten yhteyksien lisääntyessä on käsiteltävä kriittisen infrastruktuurin suojaamista ja tällaista infrastruktuuria ylläpitävien kriittisten toimijoiden häiriönsietokykyä sekä vahvistettava niitä.

(3)

Poikkeamalla, joka aiheuttaa häiriötä kriittiselle infrastruktuurille ja siten estää keskeisten palvelujen tarjoamisen tai vaikeuttaa sitä vakavasti, voi olla huomattavia rajatylittäviä seurauksia ja kielteisiä vaikutuksia sisämarkkinoihin. Kohdennetun, oikeasuhteisen ja tehokkaan lähestymistavan varmistamiseksi olisi toteutettava toimenpiteitä, joilla puututaan erityisesti tässä suosituksessa täsmennettyihin kriittisen infrastruktuurin poikkeamiin, joilla on huomattavaa rajatylittävää merkitystä.

(4)

Koordinoitu reagointi tällaiseen poikkeamaan, jolla on huomattavaa rajatylittävää merkitystä, voi osoittautua olennaiseksi, jotta vältetään merkittävät häiriöt sisämarkkinoilla ja varmistetaan sellaisten keskeisten palvelujen tarjonnan palauttaminen mahdollisimman pian, joihin kohdistuu vaikutuksia, koska tällaisella poikkeamalla voi olla vakavia seurauksia unionin taloudelle ja kansalaisille. Unionin tason ripeä ja tehokas reagointi tällaiseen poikkeamaan edellyttää kaikkien asiaankuuluvien toimijoiden nopeaa ja tehokasta yhteistyötä ja koordinoituja toimia, joita tuetaan unionin tasolla. Tällainen reagointi edellyttää siis etukäteen luotuja ja siinä määrin kuin mahdollista hyvin harjoiteltuja yhteistyömenettelyjä ja -mekanismeja, joissa on määritelty kansallisen, kahdenvälisen, monenvälisen ja tarvittaessa unionin tason keskeisten toimijoiden roolit ja vastuut.

(5)

Vaikka ensisijainen vastuu kriittisen infrastruktuurin merkittäviin poikkeamiin reagoinnista on jäsenvaltioilla ja kriittistä infrastruktuuria ylläpitävillä ja keskeisiä palveluja tarjoavilla toimijoilla, unionin tason koordinoinnin lisääminen voi olla aiheellista tapauksissa, joissa häiriöillä on huomattavaa rajatylittävää merkitystä. Reagoinnin ripeys ja tehokkuus voi riippua paitsi kansallisten mekanismien käyttöönotosta jäsenvaltioissa myös unionin tasolla tuetuista koordinoiduista toimista sekä asianmukaisesta, nopeasta ja tehokkaasta yhteistyöstä.

(6)

Reagointi kriittisen infrastruktuurin poikkeamiin, myös niihin, joilla on huomattavaa rajatylittävää merkitystä, on ensisijaisesti jäsenvaltioiden toimivaltaisten viranomaisten vastuulla. Unionin lainsäädännön mukaisesti tämä suositus ei vaikuta jäsenvaltioiden vastuuseen kansallisen turvallisuuden ja puolustuksen turvaamisesta eikä niiden toimivaltaan valtion muiden keskeisten tehtävien turvaamisessa, erityisesti yleisen turvallisuuden, alueellisen koskemattomuuden sekä lain ja järjestyksen ylläpitämisen osalta. Tätä suositusta ei sen vuoksi sovelleta kyseisiä aloja koskevaan kriittiseen infrastruktuuriin. Tämä suositus ei myöskään vaikuta kansallisiin prosesseihin, kuten kriittistä infrastruktuuria ylläpitävien toimijoiden viestintään ja yhteydenpitoon toimivaltaisten kansallisten viranomaisten kanssa. Tätä suositusta sovelletaan niin, että ei vaikuteta jäsenvaltioiden tekemiin ja välisiin asiaankuuluviin kahden- tai monenvälisiin järjestelyihin.

(7)

Euroopan kriittisen infrastruktuurin suojaamista säännellään tällä hetkellä neuvoston direktiivillä 2008/114/EY (1), joka kattaa vain kaksi toimialaa eli liikenteen ja energian. Direktiivillä otetaan käyttöön menettely Euroopan kriittisen infrastruktuurin määrittämistä ja nimeämistä varten sekä yhteinen lähestymistapa sen suojaamisen parantamiseen liittyvien tarpeiden arvioimista varten. Se on keskeinen pilari Euroopan elintärkeiden infrastruktuurien suojaamista koskevassa ohjelmassa, jäljempänä ”EPCIP-ohjelma”, jonka komissio perusti 12 päivänä joulukuuta 2006 antamassaan tiedonannossa (2) ja jossa on vahvistettu kriittisen infrastruktuurin suojaamiseen tähtäävä, kaikki vaaratekijät huomioiva unionin laajuinen kehys.

(8)

Jotta voidaan toimia kriittisen infrastruktuurin suojaamista laajemmin ja varmistaa kattavammin keskeisiä palveluja sisämarkkinoilla tarjoavien kriittistä infrastruktuuria ylläpitävien kriittisten toimijoiden häiriönsietokyky, Euroopan parlamentin ja neuvoston direktiivillä (EU) 2022/2557 (3) korvataan direktiivi 2008/114/EY 18 päivästä lokakuuta 2024 alkaen. Direktiivi (EU) 2022/2557 kattaa 11 toimialaa, ja siinä säädetään jäsenvaltioiden ja kriittisten toimijoiden häiriönsietokyvyn vahvistamista koskevista velvoitteista, jäsenvaltioiden välisestä ja komission kanssa tehtävästä yhteistyöstä, komission tuesta kansallisille viranomaisille ja kriittisille toimijoille sekä jäsenvaltioiden tuesta kriittisille toimijoille.

(9)

Nord Stream -kaasuputkien sabotoinnin johdosta ja komission ehdotuksen perusteella neuvosto antoi suosituksen unionin koordinoidusta lähestymistavasta kriittisen infrastruktuurin häiriönsietokyvyn vahvistamiseen (4), jäljempänä ”suositus 2023/C 20/01”. Suosituksen tavoitteena on parantaa varautumista ja reagointia sekä unionin että kansainvälisen tason yhteistyötä kyseisellä osa-alueella. Kyseisessä suosituksessa korostettiin erityisesti tarvetta varmistaa unionin tasolla koordinoitu ja toimiva reagointi ja operatiivinen varautuminen torjuttaessa välittömiä ja välillisiä vaikutuksia, joita aiheutuu häiriöistä, joita ilmenee kriittisen infrastruktuurin tarjoamissa asiaankuuluvissa keskeisissä palveluissa ja joilla on huomattavaa rajatylittävää merkitystä

(10)

Sen vuoksi tällä suosituksella, joka on ei-sitova toimi, on tarpeen tukea ja täydentää nykyistä oikeudellista kehystä neuvoston lisäsuosituksella, jossa vahvistetaan suunnitelma koordinoidusta reagoinnista kriittisen infrastruktuurin häiriöihin, joilla on huomattavaa rajatylittävää merkitystä, jäljempänä ”kriittistä infrastruktuuria koskeva EU:n suunnitelma”, hyödyntäen samalla olemassa olevia unionin tason järjestelyjä.

(11)	Tämä suositus on yhdenmukainen suosituksen 2023/C 20/01 kanssa johdonmukaisuuden varmistamiseksi ja päällekkäisyyksien välttämiseksi. Sen vuoksi tämä suositus ei sellaisenaan kata muita kriisien ja hätätilanteiden hallinnan osatekijöitä eli ennaltaehkäisyä, varautumista ja palautumista.

(12)

Tällä suosituksella olisi täydennettävä direktiiviä (EU) 2022/2557 erityisesti koordinoidun reagoinnin osalta, ja se olisi pantava täytäntöön varmistaen samalla yhdenmukaisuus kyseisen direktiivin ja muiden unionin lainsäädännön sovellettavien sääntöjen kanssa. Tällä suosituksella otetaan käyttöön kaikki vaaratekijät huomioiva toimintamalli, ja siinä hyödynnetään mahdollisuuksien mukaan sekä olemassa olevia rakenteita ja mekanismeja, mukaan lukien asiaankuuluvat neuvoston työryhmät (eli pelastuspalvelutyöryhmä ja sen kriittisten toimijoiden häiriönsietokykyä käsittelevä kokoonpano PROCIV-CER), että kyseisen direktiivin käsitteitä, välineitä ja prosesseja, kuten kriittisten toimijoiden häiriönsietokykyä käsittelevää ryhmää, joka toimii kyseisessä direktiivissä säädettyjen tehtäviensä rajoissa, ja yhteyspisteitä. Lisäksi tässä suosituksessa käytetty kriittisen infrastruktuurin käsite olisi ymmärrettävä samalla tavoin kuin suosituksen 2023/C 20/01 johdanto-osan 7 kappaleessa esitetään eli siten, että se sisältää asiaankuuluvan kriittisen infrastruktuurin, jonka joko jäsenvaltio on määritellyt kansallisella tasolla tai joka direktiivin 2008/114/EY mukaan on nimetty eurooppalaiseksi kriittiseksi infrastruktuuriksi, sekä direktiivin (EU) 2022/2557 mukaan määriteltävät kriittiset toimijat. Jotta voidaan varmistaa yhdenmukaisuus direktiivin (EU) 2022/2557 kanssa, tässä suosituksessa käytettyjen kyseisten käsitteiden olisi tulkittava tarkoittavan samaa kuin kyseisessä direktiivissä. Esimerkiksi kyseisen direktiivin 2 artiklan 2 alakohdassa määritelty häiriönsietokyvyn käsite olisi ymmärrettävä siten, että sillä tarkoitetaan kriittisen infrastruktuurin kykyä ehkäistä, torjua tai lieventää tapahtumia, jotka merkittävästi häiritsevät tai voivat merkittävästi häiritä keskeisten palveluiden tarjoamista sisämarkkinoilla, suojautua niiltä, vaimentaa niiden vaikutuksia, reagoida tai sopeutua niihin tai palautua niistä. Keskeisillä palveluilla tarkoitetaan palveluja, jotka ovat olennaisia välttämättömien yhteiskunnan toimintojen, taloudellisen toiminnan, kansanterveyden, yleisen turvallisuuden tai ympäristön ylläpitämiseksi.

(13)

Tämän suosituksen soveltamisala kattaa ainoastaan direktiivin (EU) 2022/2557 soveltamisalaan kuuluvat toimialat, alasektorit ja toimijat. Tässä suosituksessa ei käsitellä kysymyksiä, jotka on jätetty kyseisen direktiivin soveltamisalan ulkopuolelle. Tässä suosituksessa olisi myöskin vältettävä päällekkäisyyttä niiden järjestelyjen ja rakenteiden kanssa, joista jo säädetään asiaankuuluvissa alakohtaisissa unionin säädöksissä.

(14)

Lisäksi merkittävän haitallisen vaikutuksen käsite olisi ymmärrettävä ottaen huomioon direktiivin (EU) 2022/2557 7 artiklan 1 kohdassa säädetyt perusteet, joissa viitataan seuraaviin seikkoihin: i) asianomaisen toimijan tarjoamasta keskeisestä palvelusta riippuvaisten käyttäjien lukumäärä, ii) se, missä määrin muut kyseisen direktiivin liitteessä tarkoitetut toimialat ja alasektorit ovat riippuvaisia kyseisestä keskeisestä palvelusta; iii) vaikutukset, joita poikkeamilla voisi vakavuutensa ja kestonsa perusteella olla talouden ja yhteiskunnan toimintoihin, ympäristöön, yleiseen järjestykseen ja turvallisuuteen tai väestön terveyteen; iv) toimijan markkinaosuus kyseisen keskeisen palvelun tai asianomaisten keskeisten palvelujen markkinoilla; v) maantieteellinen alue, johon poikkeama voisi vaikuttaa, mukaan lukien rajat ylittävät vaikutukset, ottaen huomioon haavoittuvuus, joka on yhteydessä saarialueiden, kaukaisten alueiden tai vuoristoalueiden kaltaisten tietyntyyppisten maantieteellisten alueiden eristyneisyyden asteeseen; vi) toimijan merkitys keskeisen palvelun riittävän tason ylläpitämisessä ottaen huomioon kyseisen keskeisen palvelun tarjoamista koskevien vaihtoehtoisten keinojen saatavuus.

(15)

Tehokkuuden ja vaikuttavuuden vuoksi kriittistä infrastruktuuria koskevassa EU:n suunnitelmassa olisi reagointitoimien koordinoinnin osalta noudatettava kaikilta osin neuvoston poliittisen kriisitoiminnan integroituja järjestelyjä, jäljempänä ”IPCR-järjestelyt” (5). Kyseisen suunnitelman olisi myös oltava täysin koordinoitu, yhdenmukainen ja yhteentoimiva kaikkien muiden alakohtaisten unionin välineiden tai prosessien kanssa. Näitä prosesseja ovat muun muassa ne, jotka kuvataan EU:n hybridivälineistössä (6) ja tarkistetussa hybridiuhkien torjumista koskevassa EU:n protokollassa (7). Lisäksi kyseisessä suunnitelmassa olisi otettava huomioon Euroopan kyberkriisien yhteysorganisaatioiden verkosto, jäljempänä ”EU-CyCLONe”, ja tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksikköjen verkosto, jäljempänä ”CSIRT-verkosto”, joista säädetään Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2555 (8), sekä kunnioitettava niiden toimeksiantoja. Näiden lisäksi huomioon olisi tarvittaessa otettava myös komission suosituksessa (EU) 2017/1584 (9) vahvistettu suunnitelma koordinoiduksi tavaksi reagoida laajamittaisiin rajatylittäviin kyberturvallisuuspoikkeamiin ja -kriiseihin, jäljempänä ”kybersuunnitelma”, sekä Euroopan järjestelmäriskikomitean, jäljempänä ”EJRK”, suosittama yleiseurooppalainen systeemisten kyberpoikkeamien koordinointikehys asiaankuuluvia viranomaisia varten, jäljempänä ”EU-SCICF”. Rakenteiden ja toimintojen päällekkäisyyttä olisi vältettävä mahdollisimman pitkälle.

(16)

Tämä suositus perustuu olemassa oleviin kahden- tai monenvälisiin järjestelyihin sekä unionin vakiintuneisiin kriisien ja hätätilanteiden hallintamekanismeihin ja on laajemmin tarkasteltuna niiden kanssa yhdenmukainen ja niitä täydentävä. Kyseessä ovat erityisesti neuvoston IPCR-järjestelyt, komission sisäinen yleishälytysjärjestelmä ARGUS (10) ja unionin pelastuspalvelumekanismi (11), jota tukee EU:n hätäavun koordinointikeskus (ERCC) (12), Euroopan ulkosuhdehallinnon, jäljempänä ”EUH”, kriisinhallintamekanismi sekä asetus sisämarkkinoiden hätätilaa ja häiriönsietokykyä koskevan toimenpidekehyksen perustamisesta; näillä kaikilla voi olla rooli reagoitaessa kriittisen infrastruktuurin toimintaan kohdistuviin merkittäviin häiriöihin.

(17)

Reagoitaessa kriittisen infrastruktuurin poikkeamaan, jolla on huomattavaa rajatylittävää merkitystä, voidaan käyttää edellä mainittuja unionin tason välineitä ja mekanismeja niihin sovellettavien sääntöjen ja menettelyjen mukaisesti. Tämän suosituksen on määrä täydentää niitä, mutta se ei saa vaikuttaa niihin. Esimerkiksi neuvoston IPCR-järjestelyt ovat edelleen tärkein väline koordinoitaessa toimia unionin poliittisella tasolla jäsenvaltioiden kesken. Komission sisäinen koordinointi tapahtuu ARGUS-järjestelmän monialaisen kriisinkoordinointiprosessin mukaisesti. Jos kriisillä on ulkoinen ulottuvuus, voitaisiin käyttää Euroopan ulkosuhdehallinnon kriisinhallintamekanismia. Päätöksen N:o 1313/2013/EU mukaisesti unionin pelastuspalvelumekanismi voidaan aktivoida luonnon ja ihmisen aiheuttaman katastrofin tai välittömästi uhkaavan katastrofin (myös sellaisen, joka johtuu poikkeamista, jotka vaikuttavat kriittiseen infrastruktuuriin) yhteydessä unionissa ja sen ulkopuolella. Operatiivista tukea antaa ERCC. Hätäavun koordinointikeskus tekee tiivistä yhteistyötä kansallisten pelastuspalveluviranomaisten sekä asiaankuuluvien unionin elinten kanssa monialaisen lähestymistavan edistämiseksi katastrofinhallinnassa.

(18)

Tässä suosituksessa vahvistetut prosessit olisi otettava tarvittaessa huomioon näiden muiden välineiden tai mekanismien mahdollisen käytön alettua, mutta siltä varalta, että niitä ei käytetä ja ne eivät ole asiaankuuluvia, tässä suosituksessa kuvataan myös toimet, jotka voitaisiin toteuttaa unionin tasolla yhteisen tilannetietoisuuden, koordinoidun julkisen viestinnän ja unionin kriisinkoordinointimekanismien ulkopuolisen tehokkaan reagoinnin osalta.

(19)

Jotta voidaan tarvittaessa koordinoida paremmin reagointia sellaisten kriittisen infrastruktuurin poikkeamien tapauksessa, joilla on huomattavaa rajatylittävää merkitystä, jäsenvaltioiden ja unionin toimielinten, asiaankuuluvien unionin elinten ja laitosten välistä yhteistyötä olisi vahvistettava voimassa olevien järjestelyjen pohjalta kriittistä infrastruktuuria koskevan EU:n suunnitelman mukaisesti. Kriittistä infrastruktuuria koskevaa EU:n suunnitelmaa olisi sen vuoksi sovellettava, kun vähintään kuusi jäsenvaltiota ilmoittaa merkittävästä häiriöstä yhden tai useamman keskeisten palvelujen tarjonnassa ja kun yksi tai useampi jäsenvaltio ilmoittaa häiriön vaikuttavan Euroopan kannalta erityisen merkittävään kriittiseen toimijaan, kuten direktiivissä (EU) 2022/2557 säädetään. Kyseistä suunnitelmaa olisi sovellettava myös, kun poikkeamilla on merkittävä haitallinen vaikutus keskeisten palvelujen tarjontaan vähintään kahdelle tai vähintään kahdessa jäsenvaltiossa ja neuvoston puheenjohtajavaltio katsoo yhteisymmärryksessä asianomaisten jäsenvaltioiden kanssa ja komissiota kuullen, että unionin tason reagoinnin nopea koordinointi on tarpeen.

(20)

Vaikka unionin tason yhteistyökehystä, joka koskee koordinoitua reagointia kriittisen infrastruktuurin poikkeamiin, joilla on huomattavaa rajatylittävää merkitystä, pidetään välttämättömänä, sen ei pitäisi ohjata kriittisten toimijoiden ja toimivaltaisten viranomaisten resursseja pois poikkeamien käsittelystä, vaan sen olisi oltava etusijalla, kuitenkin niin, ettei niiden vastuuta lisätä.

(21)

Kriittistä infrastruktuuria koskevan EU:n suunnitelman täytäntöönpanoon osallistuvat asiaankuuluvat toimijat olisi yksilöitävä selvästi, jotta saadaan selkeä ja kattava yleiskuva toimielimistä, elimistä, laitoksista ja viranomaisista, jotka voisivat reagoida kriittisen infrastruktuurin poikkeamaan, jolla on huomattavaa rajatylittävää merkitystä.

(22)

Jotta kriittistä infrastruktuuria koskevan EU:n suunnitelman yhteydessä voidaan tehdä tehokasta ja ripeää yhteistyötä, asianomaisten toimijoiden on olennaisen tärkeää nimetä tai perustaa yhteyspisteet. Yhdenmukaisuuden varmistamiseksi jäsenvaltioiden olisi harkittava sitä mahdollisuutta, että tässä yhteydessä nimettävät tai perustettavat yhteyspisteet olisivat direktiivin (EU) 2022/2557 yhteydessä nimettävät tai perustettavat yhteyspisteet.

(23)

Tehokkuuden vuoksi kriittistä infrastruktuuria koskevan EU:n suunnitelman testaamisen ja sen käytön harjoittelun sekä suunnitelman soveltamisesta saaduista kokemuksista raportoimisen ja keskustelemisen olisi oltava olennainen osa korkean valmiustason ylläpitämistä sellaisten kriittisen infrastruktuurin poikkeamien varalta, joilla on huomattavaa rajatylittävää merkitystä, sekä sen varmistamista, että kyetään reagoimaan nopeasti ja hyvin koordinoidusti ja että toimiin osallistuvat asiaankuuluvat toimijat.

(24)

Kun otetaan huomioon neuvoston IPCR-kriisinkoordinointimekanismin rakenne ja laajemmin unionin tasolla jo käytössä olevien kriisin koordinointimekanismien mahdollinen aktivointi, kriittistä infrastruktuuria koskevaan EU:n suunnitelmaan olisi sisällyttävä kaksi yhteistyömuotoa, joilla reagoidaan kriittisen infrastruktuurin poikkeamaan, jolla on huomattavaa rajatylittävää merkitystä. Ensimmäiseen olisi kuuluttava asiaankuuluva tietojenvaihto, johon osallistuvat kaikki asiaankuuluvat toimijat, julkisen viestinnän koordinointi ja toiminnan koordinointi olemassa olevien mekanismien kautta, jos niitä käytetään. Näitä mekanismeja ovat esimerkiksi neuvoston IPCR-järjestelyt, komission sisäinen ARGUS-koordinointi, jota tukee EU:n hätäavun koordinointikeskus ympärivuorokautisena IPCR:n ja ARGUSin yhteyspisteenä, sekä EUH:n kriisinhallintamekanismi. Toiseen olisi sisällyttävä lisätoimia poikkeaman laajuuden ja koordinoidun reagoinnin merkityksellisyyden mukaan. Tähän yhteistyöhön olisi osallistuttava operatiivisella ja strategisella/poliittisella tasolla, jotka vastaavat suosituksessa (EU) 2017/1584 ja hybridiuhkien torjumista koskevassa EU:n protokollassa kuvattuja tasoja, jotta voidaan koordinoida toimia ja reagoida tuloksekkaasti ja tehokkaasti poikkeamiin, joilla on huomattavaa rajatylittävää merkitystä. Suhteellisuutta, toissijaisuutta, tietojen luottamuksellisuutta ja täydentävyyttä koskevien periaatteiden perusteella ja tehokkaan yhteistyön varmistamiseksi kriittistä infrastruktuuria koskevassa EU:n suunnitelmassa olisi kuvattava sitä, miten asiaankuuluvat toimijat muodostavat yhteisen tilannekuvan, sekä koordinoitua julkista viestintää ja tehokasta reagointia.

(25)

Tällää suosituksella ei saisi rajoittaa Euroopan unionin toiminnasta tehdyn sopimuksen 346 artiklan soveltamista. Tietoja, jotka katsotaan luottamuksellisiksi unionin tai kansallisten sääntöjen, kuten liikesalaisuuksia koskevien sääntöjen mukaisesti, olisi vaihdettava komission ja muiden asianomaisten viranomaisten kanssa tiedonsaantitarpeen perusteella ja vain silloin, kun tällainen vaihto on välttämätöntä tämän suosituksen soveltamiseksi. Minkään jäsenvaltion ei olisi tämän suosituksen nojalla odotettava antavan tietoja, joiden luovuttaminen vaarantaisi sen keskeiset edut, kansallisen turvallisuuden, yleisen turvallisuuden tai puolustuksen taikka kriittistä infrastruktuuria ylläpitävien toimijoiden kaupalliset edut. Sen vuoksi arkaluonteisiin tietoihin pääsyssä sekä niiden vaihdossa ja käsittelyssä olisi noudatettava huolellisuutta ja ne olisi rajattava siihen, mikä on sovellettavien sääntöjen mukaisesti tarpeen ja oikeasuhteista kiinnittäen erityistä huomiota käytettäviin tiedonsiirtokanaviin ja säilytysvalmiuksiin,

SUOSITTAA SEURAAVAA:

Jäsenvaltioiden, neuvoston, komission ja tarvittaessa Euroopan ulkosuhdehallinnon, jäljempänä ”EUH”, sekä asiaankuuluvien unionin elinten ja laitosten olisi tehtävä keskenään yhteistyötä tämän suosituksen sisältämän kriittistä infrastruktuuria koskevan EU:n suunnitelman puitteissa, jotta voidaan saavuttaa liitteessä olevan I osan 1 jaksossa esitetyt tavoitteet ja, ottaen huomioon liitteessä olevan I osan 2 jaksossa vahvistetut periaatteet, reagoitava koordinoidusti kriittisen infrastruktuurin poikkeamiin, joilla on huomattavaa rajatylittävää merkitystä.

Jäsenvaltioiden, neuvoston, komission ja tarvittaessa EUH:n sekä asiaankuuluvien unionin elinten ja laitosten olisi sovellettava kriittistä infrastruktuuria koskevaa EU:n suunnitelmaa ilman aiheetonta viivytystä aina, kun ilmenee kriittisen infrastruktuurin poikkeama, jolla on huomattavaa rajatylittävää merkitystä, ja niin kauan kuin jäsenvaltio, jonka alueella kriittinen infrastruktuuri sijaitsee, antaa hyväksyntänsä. Tässä kriittistä infrastruktuuria koskevassa EU:n suunnitelmassa tarkoitetaan kriittisen infrastruktuurin poikkeamalla, jolla on merkittävää rajatylittävää merkitystä, sellaista kriittiseen infrastruktuuriin kohdistuvaa poikkeamaa, jolla on jokin seuraavista vaikutuksista:

a)	merkittävä haitallinen vaikutus keskeisten palvelujen tarjontaan siten kuin vähintään kuusi jäsenvaltiota on määrittänyt ja ilmoittanut neuvoston puheenjohtajavaltiolle ja komissiolle;

merkittävä haitallinen vaikutus keskeisten palvelujen tarjontaan, kun on kyse Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2557 (13) 17 artiklassa tarkoitetusta Euroopan kannalta erityisen merkittävästä kriittisestä toimijasta, siten kuin yksi tai useampi asianomainen jäsenvaltio on määrittänyt ja ilmoittanut neuvoston puheenjohtajavaltiolle ja komissiolle; tai

merkittävä haitallinen vaikutus keskeisten palvelujen tarjontaan vähintään kahdelle jäsenvaltiolle tai vähintään kahdessa jäsenvaltiossa, jos neuvoston puheenjohtajavaltio katsoo yhteisymmärryksessä asianomaisten jäsenvaltioiden kanssa ja komissiota kuullen, että unionin tason reagoinnin oikea-aikainen koordinointi on tarpeen esimerkiksi siksi, että poikkeamalla on laaja-alaisia ja merkittäviä seurauksia teknisellä tai poliittisella tasolla.

Kriittistä infrastruktuuria koskevan EU:n suunnitelman asiaankuuluvien toimijoiden, jotka on yksilöity operatiivisella ja strategisella/poliittisella tasolla liitteessä olevan I osan 3 jakson mukaisesti, olisi pyrittävä keskinäiseen täydentävään vuorovaikutukseen ja yhteistyöhön. Niiden olisi varmistettava riittävä ja ripeä asiaankuuluvien tietojen vaihto, mukaan lukien julkisen viestinnän koordinointi ja reagoinnin koordinointi liitteessä olevan II osan mukaisesti.

Kriittistä infrastruktuuria koskevaa EU:n suunnitelmaa olisi sovellettava ottaen huomioon muut asiaankuuluvat välineet ja yhdenmukaisesti niiden kanssa liitteessä olevan I osan 4 kohdan mukaisesti. Jos poikkeama vaikuttaa sekä kriittisen infrastruktuurin fyysisiin näkökohtiin että sen kyberturvallisuuteen, olisi huolehdittava koordinoinnista ja synergiasta Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2555 (14) säädettyjen laajamittaisten kyberturvallisuuspoikkeamien koordinoitua hallintaa koskevien säännösten kanssa.

5)	Jäsenvaltioiden olisi varmistettava, että ne reagoivat tehokkaasti kansallisella tasolla ja unionin lainsäädännön mukaisesti kriittisen infrastruktuurin häiriöihin, jotka ovat seurausta kriittisen infrastruktuurin poikkeamista – olipa niillä huomattavaa rajatylittävää merkitystä tai ei.

Jäsenvaltioiden, neuvoston, EUH:n, Euroopan unionin lainvalvontayhteistyöviraston, jäljempänä ”Europol”, ja muiden asiaankuuluvien unionin virastojen sekä komission olisi nimettävä tai perustettava yhteyspiste kriittistä infrastruktuuria koskevaan EU:n suunnitelmaan liittyviä asioita varten. Tietoja olisi käsiteltävä vakiintuneiden menettelyjen ja määräysten mukaisesti, ottaen huomioon myös turvallisuusluokiteltujen tietojen käsittely. Yhteyspisteiden olisi tuettava kriittistä infrastruktuuria koskevan EU:n suunnitelman soveltamista toimittamalla tarvittavat tiedot ja autettava toteuttamaan koordinointitoimenpiteitä, joilla reagoidaan kriittisen infrastruktuurin merkittävään poikkeamaan. Jäsenvaltioiden olisi mahdollisuuksien mukaan käytettävä samoja yhteyspisteitä kuin direktiivin (EU) 2022/2557 9 artiklan 2 kohdan mukaisesti nimettävät tai perustettavat keskitetyt yhteyspisteet.

Neuvoston puheenjohtajuutta hoitavan jäsenvaltion olisi yhteisymmärryksessä asianomaisten jäsenvaltioiden kanssa ilmoitettava asiaankuuluville toimijoille, jotka osallistuvat toimiin poikkeamaan reagoimiseksi, 6 kohdassa tarkoitettujen yhteyspisteiden välityksellä kriittisen infrastruktuurin poikkeamasta, jolla on huomattavaa rajatylittävää merkitystä, ja kriittistä infrastruktuuria koskevan EU:n suunnitelman soveltamisesta. Tietojenvaihto kriittisen infrastruktuurin poikkeamasta, jolla on huomattavaa rajatylittävää merkitystä, olisi rajoitettava siihen, mikä on merkityksellistä ja oikeasuhteista kyseisen tietojenvaihdon tarkoitukseen nähden, ja se olisi toteutettava asiaankuuluvien viestintäkanavien kautta, tarvittaessa poliittisen kriisitoiminnan integroitujen järjestelyjen (15), jäljempänä ”IPCR-järjestelyt”, verkkofoorumin ja hätäavun koordinointikeskuksen kautta.

Tiedonsiirtokanaviin olisi tarvittaessa sisällyttävä suojattuja kanavia, jotta ei vaaranneta kansallista turvallisuutta eikä kriittisten toimijoiden turvallisuutta ja kaupallisia etuja. Liitteen mukainen tietojenvaihto ei saisi sisältää tietoja, joiden luovuttaminen olisi vastoin jäsenvaltioiden kansallisen turvallisuuden, yleisen turvallisuuden tai puolustuksen keskeisiä etuja taikka kriittisten toimijoiden turvallisuusetuja ja kaupallisia etuja, ja se olisi suoritettava unionin oikeuden mukaisesti. Erityisesti arkaluonteisiin tietoihin pääsyssä sekä niiden vaihdossa ja käsittelyssä olisi noudatettava huolellisuutta. Turvallisuusluokiteltujen tietojen käsittelyssä ja vaihdossa olisi käytettävä saatavilla olevia akkreditoituja välineitä ja riittäviä turvatoimia.

Asiaankuuluvien toimijoiden olisi harjoiteltava ja testattava kriittistä infrastruktuuria koskevan EU:n suunnitelman käyttöä ja koordinoitua reagointiaan kriittisen infrastruktuurin poikkeamaan, jolla on huomattavaa rajatylittävää merkitystä, kansallisella, alueellisella ja unionin tasolla, esimerkiksi järjestämällä harjoituksia. Tällaisiin käytäntöihin ja testeihin voisi osallistua yksityisen sektorin toimijoita yhteisymmärryksessä kaikkien osapuolten ja erityisesti asianomaisten jäsenvaltioiden kanssa. Mahdolliset yhteydenotot kriittisiin toimijoihin olisi toteutettava asianomaisten jäsenvaltioiden kautta. Komission olisi järjestettävä unionin tason harjoitus, johon sisältyy fyysisiä ja kybernäkökohtia, tiiviissä yhteistyössä jäsenvaltioiden kanssa muun muassa PROCIV CER -työryhmän, EU-CyCLONen ja CSIRT-verkoston kautta sekä ENISAn tuella. Harjoituksen tavoitteista olisi sovittava etukäteen jäsenvaltioiden kanssa. Harjoitus olisi toteutettava viimeistään 26 päivänä joulukuuta 2026. Sen perusteella, millaista tietojenvaihtoa harjoituksesta saaduista kokemuksista käydään jäsenvaltioiden kanssa, olisi harkittava lisäharjoitusten tarvetta ja asianmukaisia skenaarioita.

10)

Sen jälkeen, kun kriittistä infrastruktuuria koskevaa EU:n suunnitelmaa on sovellettu kriittisen infrastruktuurin poikkeamaan, jolla on merkittävää rajatylittävää merkitystä, neuvoston PROCIV CER -työryhmän olisi keskusteltava saaduista kokemuksista, jotka voivat viitata puutteisiin ja aloihin, joilla tarvitaan parannuksia. Tarvittaessa tähän saatuja kokemuksia koskevaan keskusteluprosessiin voitaisiin ottaa mukaan myös muita asiaankuuluvia työryhmiä. Jäsenvaltioita kannustetaan tapauksen mukaan keräämään kokemuksia kaikilta asiaankuuluvilta toimijoilta, jotka osallistuvat suoraan toimiin poikkeamaan reagoimiseksi. Neuvoston puheenjohtajavaltion olisi kyseisten keskustelujen pohjalta laadittava selvitys saaduista kokemuksista neuvoston pääsihteeristön tuella sekä komissiota ja asianomaisia jäsenvaltioita kuullen. Tarvittaessa raportti olisi turvallisuusluokiteltava asiaankuuluvalla tasolla.

Tehty Luxemburgissa 25 päivänä kesäkuuta 2024.

Neuvoston puolesta

Puheenjohtaja

H. LAHBIB

(1) Neuvoston direktiivi 2008/114/EY, annettu 8 päivänä joulukuuta 2008, Euroopan elintärkeän infrastruktuurin määrittämisestä ja nimeämisestä sekä arvioinnista, joka koskee tarvetta parantaa sen suojaamista (EUVL L 345, 23.12.2008, s. 75).

(2) Komission tiedonanto, annettu 12 päivänä joulukuuta 2006, elintärkeiden infrastruktuurien suojaamista koskevasta eurooppalaisesta ohjelmasta (COM(2006) 786 final).

(3) Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2557, annettu 14 päivänä joulukuuta 2022, kriittisten toimijoiden häiriönsietokyvystä ja direktiivin 2008/114/EY kumoamisesta (EUVL L 333, 27.12.2022, s. 164).

(4) Neuvoston suositus, annettu 8 päivänä joulukuuta 2022, unionin koordinoidusta lähestymistavasta kriittisen infrastruktuurin häiriönsietokyvyn vahvistamiseen, (2023/C 20/01) (EUVL C 20, 20.1.2023, s. 1).

(5) Neuvoston täytäntöönpanopäätös (EU) 2018/1993, annettu 11 päivänä joulukuuta 2018, EU:n poliittisen kriisitoiminnan integroiduista järjestelyistä (EUVL L 320, 17.12.2018, s. 28).

(6) Ks. 21 päivänä kesäkuuta 2022 annetut neuvoston päätelmät puitteista EU:n koordinoidulle hybridikampanjoihin reagoinnille, ja neuvoston 13 päivänä joulukuuta 2022 hyväksymät täytäntöönpano-ohjeet EU:n koordinoitua hybridikampanjoihin reagointia koskeville puitteille.

(7) Joint Staff Working Document – EU Protocol for countering hybrid threats (SWD(2023) 116 final).

(8) Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi) (EUVL L 333, 27.12.2022, s. 80).

(9) Komission suositus (EU) 2017/1584, annettu 13 päivänä syyskuuta 2017, koordinoidusta reagoinnista laajamittaisiin kyberturvallisuuspoikkeamiin ja -kriiseihin (EUVL L 239, 19.9.2017, s. 36).

(10) Komission 23 päivänä joulukuuta 2005 antama tiedonanto Euroopan parlamentille, neuvostolle, Euroopan talous- ja sosiaalikomitealle ja alueiden komitealle – Nopeaa yleishälytysjärjestelmää ARGUSIA koskevat komission säännökset (COM(2005) 662 final).

(11) Euroopan parlamentin ja neuvoston päätös N:o 1313/2013/EU, annettu 17 päivänä joulukuuta 2013, unionin pelastuspalvelumekanismista (EUVL L 347, 20.12.2013, s. 924).

(12) Päätöksellä N:o 1313/2013/EU luodaan kaikki vaaratekijät huomioiva kehys, jossa vahvistetaan unionin tason ennaltaehkäisy-, varautumis- ja avustusjärjestelyt kaikenlaisten luonnon ja ihmisen aiheuttamien katastrofien tai välittömästi uhkaavien katastrofien hallinnoimiseksi unionissa ja sen ulkopuolella.

(13) Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2557, annettu 14 päivänä joulukuuta 2022, kriittisten toimijoiden häiriönsietokyvystä ja direktiivin 2008/114/EY kumoamisesta (EUVL L 333, 27.12.2022, s. 164).

(14) Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi) (EUVL L 333, 27.12.2022, s. 80).

(15) Neuvoston täytäntöönpanopäätös (EU) 2018/1993, annettu 11 päivänä joulukuuta 2018, EU:n poliittisen kriisitoiminnan integroiduista järjestelyistä (EUVL L 320, 17.12.2018, s. 28).

LIITE

Tässä liitteessä kuvataan tavoitteet, periaatteet, keskeiset asiaankuuluvat toimijat, toiminta ja vuorovaikutus muiden asiaankuuluvien kriisinhallintamekanismien ja hätätilanteiden hallintamekanismien kanssa, jotka liittyvät suunnitelmaan koordinoiduksi reagoinniksi kriittisen infrastruktuurin poikkeamaan, jolla on huomattavaa rajatylittävää merkitystä, jäljempänä ”kriittistä infrastruktuuria koskeva EU:n suunnitelma”. Kriittistä infrastruktuuria koskevalla EU:n suunnitelmalla pyritään tarvittaessa parantamaan yhteistyötä jäsenvaltioiden ja asiaankuuluvien unionin toimielinten, elinten ja laitosten välillä, kun on kyse tällaisista poikkeamista, sovellettavien sääntöjen ja menettelyjen mukaisesti. Kriittistä infrastruktuuria koskeva EU:n suunnitelma ei millään tavoin vaikuta muiden järjestelyjen tehtävään tai toimintaan.

Osa I: Tavoitteet, periaatteet, toimijat ja muut välineet

1. Tavoitteet

Kriittistä infrastruktuuria koskevalla EU:n suunnitelmalla pyritään tapauksen mukaan edistämään seuraavia kolmea päätavoitetta reaktiona kriittisen infrastruktuurin poikkeamaan, jolla on merkittävää rajatylittävää merkitystä:

Yhteinen tilannekuva – hyvä ymmärrys kriittisen infrastruktuurin poikkeamasta, jolla on jäsenvaltioissa huomattavaa rajatylittävää merkitystä, sen syistä ja mahdollisista seurauksista kaikille asiaankuuluville sidosryhmille operatiivisella ja strategisella/poliittisella tasolla on olennaisen tärkeää, jotta siihen voidaan reagoida koordinoidusti ja asianmukaisesti.

Koordinoitu julkinen viestintä – tällainen viestintä auttaa lieventämään kielteisiä vaikutuksia, joita aiheutuu kriittisen infrastruktuurin poikkeamasta, jolla on huomattavaa rajatylittävää merkitystä, ja minimoimaan ristiriitaisuudet eri jäsenvaltioissa suurelle yleisölle suunnatuissa viesteissä kunnioittaen täysin kansallista toimivaltaa kriisiviestinnän alalla. Kun on kyse yleisestä edusta eikä tällainen viestintä haittaa kriisien ja hätätilanteiden hallintatoimia, julkisen viestinnän selkeys on tärkeää myös disinformaation seurausten lieventämisen kannalta.

Koordinoitu ja tehokas reagointi – vahvistamalla jäsenvaltioiden reagointia sekä yhteistyötä niiden välillä ja asiaankuuluvien unionin toimielinten, elinten ja laitosten kanssa voidaan osaltaan lieventää sellaisen kriittisen infrastruktuurin poikkeaman vaikutuksia, jolla on huomattavaa rajatylittävää merkitystä, ja palauttaa keskeiset palvelut ripeästi toimintakykyisiksi tavalla, joka minimoi haavoittuvuuden uusille merkittäville poikkeamille.

2. Periaatteet

Suhteellisuus

Poikkeamissa, jotka aiheuttavat häiriöitä kriittiseen infrastruktuuriin ja/tai keskeisten palvelujen tarjontaan, ei useinkaan ole kyse tämän suosituksen 2 kohdassa täsmennetystä kriittisen infrastruktuurin poikkeamasta, jolla on huomattava rajatylittävä merkitys. Niihin voidaan periaatteessa puuttua tehokkaasti kansallisella tasolla. Sen vuoksi kriittistä infrastruktuuria koskevan EU:n suunnitelman soveltaminen olisi rajoitettava kriittisen infrastruktuurin poikkeamiin, joilla on merkittävää rajatylittävää merkitystä.

Toissijaisuus

EU:n lainsäädännön mukaan kriittisen infrastruktuurin häiriöihin ja kriittisten toimijoiden tarjoamien keskeisten palvelujen häiriöihin reagointi on ensisijaisesti jäsenvaltioiden vastuulla. Asianomaisilla unionin toimielimillä, elimillä ja laitoksilla, erityisesti Euroopan ulkosuhdehallinnolla, jäljempänä ”EUH”, voi kuitenkin olla tärkeä täydentävä rooli silloin, kun kyseessä on kriittisen infrastruktuurin poikkeama, jolla on huomattavaa rajatylittävää merkitystä, koska tällainen poikkeama voi vaikuttaa useisiin tai jopa kaikkiin sisämarkkinoiden taloudellisen toiminnan osa-alueisiin, unionin alueella asuviin kansalaisiin sekä unionin turvallisuuteen ja kansainvälisiin suhteisiin kumppaneiden kanssa, rajoittamatta jäsenvaltioiden velvollisuutta taata kansallinen turvallisuus ja puolustus.

Täydentävyys

Kriittistä infrastruktuuria koskevassa EU:n suunnitelmassa olisi otettava huomioon unionin tasolla olemassa olevat kriisien ja hätätilanteiden hallintamekanismit eli neuvoston poliittisen kriisitoiminnan integroidut järjestelyt, jäljempänä ”IPCR-järjestelyt”, komission sisäinen nopea yleishälytysjärjestelmä ARGUS, Euroopan unionin pelastuspalvelumekanismi, jota tukee unionin pelastuspalvelumekanismin puitteissa Euroopan parlamentin ja neuvoston päätöksellä N:o 1313/2013/EU (1) perustettu EU:n hätäavun koordinointikeskus (ERCC), ja EUH:n kriisinhallintamekanismi. Siinä olisi myös hyödynnettävä alakohtaisia järjestelyjä, kuten Euroopan parlamentin ja neuvoston direktiivin (EU) 2022/2555 (2) laajamittaisen kyberturvallisuuspoikkeaman koordinoitua hallintaa koskevia säännöksiä, Euroopan järjestelmäriskikomitean, jäljempänä ”EJRK”, suosittamaa EU-SCICF-kehystä (3), liikennealan kansallisten yhteyspisteiden verkostoa (4), Euroopan ilmaliikenteen kriisien koordinointiyksikköä (5) sekä sähkö- (6), kaasu- (7) ja öljyalan (8) koordinointiryhmiä.

Lisäksi kriittistä infrastruktuuria koskevassa EU:n suunnitelmassa olisi hyödynnettävä olemassa olevia unionin tason rakenteita ja mekanismeja, mukaan lukien asiaankuuluvat neuvoston työryhmät (erityisesti PROCIV-CER), sekä niitä, jotka vahvistetaan Euroopan parlamentin ja neuvoston direktiivissä (EU) 2022/2557 (9), erityisesti kun on kyse yhteistyöstä jäsenvaltioiden toimivaltaisten viranomaisten välillä, komission kanssa ja direktiivillä (EU) 2022/2557 perustetussa kriittisten toimijoiden häiriönsietokykyä käsittelevässä ryhmässä, jäljempänä ”CERG”. Siinä olisi myös otettava huomioon asiaankuuluvien unionin toimielinten, elinten ja laitosten velvollisuudet niihin sovellettavan oikeudellisen kehyksen mukaisesti. Kriittistä infrastruktuuria koskevat kriisitoimet täydentävät muita unionin tason, kansallisia ja alakohtaisia kriisien ja hätätilanteiden hallintamekanismeja, jotka tukevat monialaista koordinointia.

Tietojen luottamuksellisuus

Kriittistä infrastruktuuria koskevassa EU:n suunnitelmassa olisi otettava huomioon kriittistä infrastruktuuria ja kriittisiä toimijoita koskevien turvallisuusluokiteltujen tietojen ja arkaluonteisten turvallisuusluokittelemattomien tietojen suojaamisen tärkeys.

Minkään jäsenvaltion ei odoteta antavan tietoja, joiden luovuttaminen olisi vastoin sen keskeisiä kansalliseen turvallisuuteen, yleiseen turvallisuuteen tai puolustukseen liittyviä etuja. Tietoja, jotka katsotaan luottamuksellisiksi unionin tai kansallisten sääntöjen, kuten liikesalaisuuksia koskevien sääntöjen mukaisesti, saa vaihtaa komission ja muiden asianomaisten viranomaisten kanssa vain silloin, kun tällainen vaihtaminen on välttämätöntä tämän suosituksen soveltamiseksi, sanotun kuitenkaan rajoittamatta SEUT 346 artiklan soveltamista. Tällöin olisi vaihdettava ainoastaan sellaisia tietoja, jotka ovat merkityksellisiä ja oikeasuhteisia tällaisen vaihdon tarkoituksen kannalta. Tietojenvaihdossa olisi säilytettävä kyseisten tietojen luottamuksellisuus sekä kriittisten toimijoiden turvallisuusedut ja kaupalliset edut ottaen samalla huomioon jäsenvaltioiden turvallisuus.

3. Asiaan liittyvät toimijat

Kunkin jäsenvaltion ja jäljempänä a–g alakohdassa tarkoitetun asiaan liittyvän unionin toimielimen, elimen ja laitoksen olisi tarvittaessa määritettävä niihin sovellettavien sääntöjen ja menettelyjen mukaisesti kullekin kriittisen infrastruktuurin poikkeamalle, jolla on kriittistä rajatylittävää merkitystä, asiaankuuluvat toimijat sen perusteella, mistä aloista ja millaisesta poikkeamasta on kyse.

a) Jäsenvaltiot

—

Toimivaltaiset viranomaiset (esim. kriittisestä infrastruktuurista vastaavat viranomaiset, kunkin alan viranomaiset, direktiivin (EU) 2022/2557 9 artiklan 2 kohdan nojalla nimetyt tai perustetut keskitetyt yhteyspisteet, direktiivin (EU) 2022/2557 9 artiklan 1 kohdan nojalla nimetyt tai perustetut viranomaiset).

—	Muut sidosryhmät, mukaan lukien erityistoimintaa suorittavat yksityisen sektorin toimijat tai henkilöt, kuten kriittisen infrastruktuurin ylläpitäjät, mukaan lukien kriittisiksi toimijoiksi määritellyt.

—	Ministerit, joiden vastuulla on kriittisen infrastruktuurin häiriönsietokyky ja/tai ministerit, jotka vastaavat niistä aloista, joihin kriittisen infrastruktuurin poikkeama, jolla on kriittistä rajatylittävää merkitystä, eniten vaikuttaa.

b) Neuvosto

—	Neuvoston puheenjohtajavaltio.

—	Pysyvien edustajien komitea, poliittisten ja turvallisuusasioiden komitea ja IPCR-järjestelyt.

—	Asiaan liittyvät työryhmät, kuten pelastuspalvelutyöryhmä – kriittisten toimijoiden häiriönsietokykyä käsittelevä työryhmä (PROCIV-CER), sekä muiden asiaankuuluvien työryhmien puheenjohtajat.

—	Neuvoston pääsihteeristö.

c) Eurooppa-neuvosto

—	Eurooppa-neuvoston puheenjohtaja.

d) Komissio

—	Nimetty johtava yksikkö sekä aihepiiristä yleisesti vastaava muuttoliike- ja sisäasioiden pääosasto; lisäksi rajat ylittävien poikkeamien sattuessa tukena ovat muuttoliike- ja sisäasioiden pääosasto ja muut asiaan liittyvät komission yksiköt.

—	Viestinnän pääosasto ja tiedotuspalvelu.

—	Terveyshätätilanteiden EU:n valmiusviranomainen (HERA).

—	Kriittisten toimijoiden häiriönsietokykyä käsittelevä ryhmä (CERG), jonka puheenjohtajana toimii komission edustaja (muuttoliike- ja sisäasioiden pääosasto) sekä muut asiaan liittyvät asiantuntijaryhmät ja komiteat.

—

Hätäavun koordinointikeskus, joka on perustettu Euroopan unionin pelastuspalvelumekanismin puitteissa (Euroopan unionin pelastuspalvelumekanismin alainen ympärivuorokautinen hätäavun koordinointikeskus, joka on sijoitettu EU:n pelastuspalveluasioiden ja humanitaarisen avun operaatioiden pääosaston yhteyteen).

—	Euroopan parlamentin ja neuvoston asetuksen (EU) 2022/2371 (10) 4 artiklalla perustettu terveysturvakomitea.

—	Komission pääsihteeristö (ARGUS-sihteeristö) ja (apulais)pääsihteeri (ARGUS-järjestelmä), henkilöstöhallinnon ja turvallisuustoiminnan pääosasto (turvallisuudesta vastaava linja).

—	Muut asiaan liittyvät komission asiantuntijaryhmät, jotka avustavat komissiota hätä- tai kriisitilanteessa toteutettavien toimien koordinoinnissa.

—	Muut kriisin- ja hätätilanteiden hallintaverkostot, mukaan lukien alakohtaiset verkostot (esim. liikenteen ja liikkumisen pääosaston hallinnoima liikennealan yhteyspisteiden verkosto, toimielinten välinen kyberkriisityöryhmä (11) ja Euroopan ilmaliikenteen kriisien koordinointiyksikkö).

—	Euroopan komission puheenjohtaja ja/tai asiasta vastaava varapuheenjohtaja tai komission jäsen.

—	Muut komission yksiköt, joilla voi olla erityisasiantuntemusta.

e) EUH

—	Yhtenäinen tiedustelun analysointikyky (SIAC), joka koostuu EU:n tiedusteluanalyysikeskuksesta (EU INTCEN) ja EU:n tiedustelusta vastaavasta osastosta (EUMS INT).

—	Kriisinhallintakeskus.

—	Unionin ulkoasioiden ja turvallisuuspolitiikan korkea edustaja/Euroopan komission varapuheenjohtaja, jäljempänä ”korkea edustaja”.

f) Asiaan liittyvät unionin elimet ja laitokset, kuten Europol tai ENISA, sen mukaan, mitä alaa poikkeama koskee (12)

g) Muut asiaankuuluvat rakenteet

—	Direktiivin (EU) 2022/2555 16 artiklalla perustettu Euroopan kyberkriisien yhteysorganisaatioiden verkosto (EU-CyCLONe).

—	Direktiivin (EU) 2022/2555 15 artiklalla perustettu tietoturvaloukkauksiin reagoivien ja niitä tutkivien yksiköiden verkosto (CSIRT-verkosto).

—	EJRK:n suosituksessa EJRK/2021/17 tarkoitettu Euroopan laajuinen systeemisten kyberpoikkeamien koordinointikehys (EU-SCICF).

4. Vuorovaikutus muiden asiaan liittyvien kriisin- ja hätätilanteen hallintamekanismien ja -välineiden kanssa

Kriittistä infrastruktuuria koskevan EU:n suunnitelman olisi oltava joustava väline sellaisten eri toimien kartoittamiseen, joita voidaan toteuttaa osittain tai kokonaan hyödyntämällä jo olemassa olevia järjestelyjä riippuen kriittisen infrastruktuurin poikkeaman, jolla on kriittistä rajatylittävää merkitystä, luonteesta ja vakavuudesta sekä operatiivisen tai strategisen/poliittisen koordinoinnin tarpeesta.

a) Poliittisen kriisitoiminnan integroidut järjestelyt (IPCR)

Neuvoston täytäntöönpanopäätöksen (EU) 2018/1993 (13) mukaisesti kriisitilanteessa, jota varten IPCR-järjestelyt on aktivoitu, kriittistä infrastruktuuria koskevan EU:n suunnitelman mukaiset toimenpiteet voisivat olla osa EU:n toimia poliittisella tasolla. Tällaisessa tapauksessa sovellettaisiin IPCR-järjestelyjen päätöksentekoprosessia, ja kriittistä infrastruktuuria koskevaa EU:n suunnitelmaa voitaisiin käyttää täydentävänä välineenä, jolla IPCR-järjestelyille annetaan kriittistä infrastruktuuria koskevaa erityistukea hyvin koordinoidun toiminnan varmistamiseksi. EU:n poliittisen kriisitoiminnan integroitujen järjestelyjen tarkoituksena on mahdollistaa oikea-aikainen politiikan koordinointi ja reagointi unionin poliittisella tasolla (pysyvien edustajien komitea / neuvosto) vakavissa hätätilanteissa tai kriiseissä. EU:n poliittisen kriisitoiminnan integroituja järjestelyjä käytetään myös yhteisvastuulausekkeeseen (SEUT-sopimuksen 222 artikla) vetoamiseen liittyvien toimien koordinoimiseen strategisella ja poliittisella tasolla, jotta varmistetaan unionin ja jäsenvaltioiden toimien johdonmukaisuus ja täydentävyys. Yhteisvastuulausekkeen täytäntöönpanojärjestelyt unionissa on määritelty neuvoston päätöksessä 2014/415/EU (14).

b) Unionin pelastuspalvelumekanismi

Päätöksen N:o 1313/2013/EU mukaisesti unionin pelastuspalvelumekanismi voidaan aktivoida luonnon ja ihmisen aiheuttaman katastrofin tai välittömästi uhkaavan katastrofin (myös sellaisen, joka johtuu poikkeamista, jotka vaikuttavat kriittiseen infrastruktuuriin) yhteydessä unionissa ja sen ulkopuolella. Operatiivista tukea antaa ERCC. Hätäavun koordinointikeskus tekee tiivistä yhteistyötä kansallisten pelastuspalveluviranomaisten sekä asiaankuuluvien unionin elinten kanssa monialaisen lähestymistavan edistämiseksi katastrofinhallinnassa.

c) EU:n hybridivälineistö ja EU:n protokolla hybridiuhkien torjumiseksi

Hybridiuhkien torjuntaa koskevassa EU:n protokollassa (15), jäljempänä ”hybridiuhkien torjuntaa koskeva EU:n protokolla”, esitetään prosessit ja välineet, joita sovelletaan hybridiuhkien tai -kampanjoiden torjumiseen kattavasti kriisien ja hätätilanteiden hallinnassa.

Mikäli kriittisen infrastruktuurin merkittävällä poikkeamalla on hybridiulottuvuus, hybridiuhkien torjuntaa koskevassa EU:n protokollassa kuvattuja prosesseja ja välineitä sovelletaan tarpeen mukaan kriittistä infrastruktuuria koskevaa EU:n suunnitelmaa täydentävästi, esimerkiksi kriittisen infrastruktuurin poikkeaman, jolla on kriittistä rajatylittävää merkitystä, hybridiulottuvuuksia koskevan tiedon hankintaa ja analysointia ja niistä tiedottamista sekä ulkoisten kumppanien kanssa tehtävää yhteistyötä varten. Erityisesti EU:n hybridivälineistö (16) tarjoaa puitteet hybridikampanjoiden koordinoidulle torjumiselle. Koska ensisijainen vastuu hybridiuhkien torjunnasta on jäsenvaltioilla, sovelletaan täytäntöönpano-ohjeissa unionin koordinoitua hybridikampanjoihin reagointia koskeville puitteille kuvattua päätöksentekoprosessia.

d) Direktiivissä (EU) 2022/2555 säädetyt laajamittaisten kyberturvallisuuspoikkeamien koordinoitua hallintaa koskevat säännökset

Direktiivi (EU) 2022/2555 sisältää säännöksiä laajamittaisten kyberturvallisuuspoikkeamien koordinoidusta hallinnasta olemassa olevien yhteistyöverkostojen, erityisesti EU-CyCLONen ja CSIRT-verkoston, kautta. Euroopan kyberkriisien yhteysorganisaatioiden verkosto (EU-CyCLONe) ja CSIRT-verkosto tekevät yhteistyötä sellaisten menettelytapajärjestelyjen pohjalta, joissa täsmennetään kyseisen yhteistyön yksityiskohdat, ja välttävät tehtävien päällekkäisyyttä.

EU-CyCLONe toimii teknisen ja poliittisen tason välisenä yhdyssiteenä laajamittaisten kyberturvallisuuspoikkeamien ja kriisien aikana, ja se tehostaa operatiivisen tason yhteistyötä ja tukee poliittisen tason päätöksentekoa. EU-CyCLONe hyödyntää CSIRT-verkoston havaintoja ja käyttää omia valmiuksiaan laajamittaisten kyberturvallisuuspoikkeamien ja -kriisien vaikutusten analysoimiseen. Kun on kyse kriittisen infrastruktuurin poikkeamasta, jolla on kriittinen rajatylittävä merkitys ja joka osuu samaan aikaan laajamittaisen kyberturvallisuuspoikkeaman kanssa tai näyttää liittyvän siihen, asiaankuuluvien neuvoston työryhmien olisi määritettävä asianmukainen toimien koordinointi operatiivisella tasolla, muun muassa yhteistyössä EU-CyCLONen kanssa. Koordinoinnin tarkoituksena olisi oltava määrittää, mikä toimija voi tehokkaimmin vastata kriittisen infrastruktuurin poikkeamaan, jolla on kriittistä rajatylittävää merkitystä, ja millä välineillä tai mekanismeilla siten, ettei synny päällekkäisyyksiä tai rinnakkaisia toimintalinjoja. Tällaisen koordinoinnin olisi oltava johdonmukaista poikkeaman ajankohtana voimassa olevien asiaankuuluvien järjestelyjen kanssa.

e) Muut alakohtaiset tai monialaiset mekanismit ja välineet

Kriittistä infrastruktuuria koskeva EU:n suunnitelma ei saisi olla päällekkäinen muiden alakohtaisten tai monialaisten kriisin- ja hätätilanteen hallintavälineiden tai koordinointimekanismien kanssa. Jos on jo käytössä tällaisia välineitä tai mekanismeja, kriittistä infrastruktuuria koskevaa EU:n suunnitelmaa voitaisiin käyttää sen soveltamisalalla näitä alakohtaisia tai monialaisia välineitä tai mekanismeja täydentävästi, mutta se ei saisi korvata niitä. Toimijoiden välisen koordinoinnin onnistuminen on taattava, jotta päällekkäisyyksiä ei synny. Jos IPCR-järjestelyt aktivoidaan, poliittinen ja strateginen koordinointi toteutettaisiin IPCR-järjestelyjen puitteissa. Komission sisäistä kriisikoordinointia tukee sen sisäisen kriisikoordinoinnin ARGUS-järjestelmä, ja sen tukena on ERCC.

Osa II: Tietojenvaihto ja koordinoitu reagointi

Jäljempänä kuvatut toimet koostuvat yhteistyömuodoista, joita ovat tietojenvaihto, koordinoitu viestintä ja reagointi. Rakenne vastaa neuvoston IPCR-kriisinkoordinointimekanismin toimintatiloja, ja siinä otetaan laajemmin huomioon mahdollisuudet hyödyntää unionin tasolla jo olemassa olevia kriisinkoordinointimekanismeja. Tämä rakenne osoittaa, kuinka nämä yhteistyömuodot sijoittuisivat rakenteeseen niitä käytettäessä. Useimmat näistä toimista voidaan kuitenkin toteuttaa itsenäisesti, eivätkä ne riipu mekanismin käytöstä vaan pikemminkin täydentävät sitä. Toimet on esitetty aikajärjestyksessä ottaen kuitenkin huomioon, että laajamittaisen, kriittisen infrastruktuurin poikkeamaksi, jolla on kriittistä rajatylittävää merkitystä, katsottavan kriisin sattuessa useita toimia voitaisiin toteuttaa samanaikaisesti ja jatkuvasti.

1. Tietojenvaihto

a) Operatiivisella tasolla

Jäsenvaltioiden, joihin kriittisen infrastruktuurin poikkeama, jolla on kriittistä rajatylittävää merkitystä, vaikuttaa, olisi toteuttava omat varautumistoimensa, varmistettava, että toimet koordinoidaan asiaankuuluvien kansallisten kriisin- ja hätätilanteen hallintamekanismien kanssa, sekä varmistettava, että niihin osallistuvat kaikki tarvittavat kansalliset, alueelliset ja paikalliset tahot.

Pelastuspalveluavun ja pelastuspalvelumekanismin osalta koordinointi jäsenvaltioiden välillä ja komission kanssa varmistetaan tarvittaessa ERCC:n ja jäsenvaltioiden yhteyspisteiden kautta unionin pelastuspalvelumekanismia koskevien säännösten mukaisesti.

i) Tietojenvaihto ja kansallisten toimivaltaisten viranomaisten ilmoitukset

Direktiivin (EU) 2022/2557 15 artiklan mukaisten ilmoitus- ja tiedonantovelvoitteiden lisäksi ja asiaankuuluvia kansallisia oikeudellisia kehyksiä noudattaen jäsenvaltioiden, joihin kriittisen infrastruktuurin poikkeama vaikuttaa, kriittisestä infrastruktuurista vastaavien kansallisten toimivaltaisten viranomaisten olisi toimitettava neuvoston puheenjohtajavaltiolle ja komissiolle keskitettyjen yhteyspisteidensä kautta ja ilman aiheetonta viivytystä, paitsi jos tämä on operatiivisesti mahdotonta, aktivoituja kriisin- ja hätätilanteen hallintamekanismeja koskevat asiaankuuluvat tiedot, joihin voi sisältyä kriittisiltä toimijoilta tai kriittisen infrastruktuurin ylläpitäjiltä tai muista lähteistä saatuja tietoja.

Tietojenvaihto kriittisen infrastruktuurin poikkeamasta, jolla on merkittävää rajatylittävää merkitystä, olisi rajoitettava siihen, joka on merkityksellistä ja oikeasuhteista kyseisen tietojenvaihdon tarkoitukseen nähden, ja se olisi toteutettava asiaankuuluvien komission yksiköiden kanssa asianmukaisten viestintäkanavien kautta. Tarvittaessa voitaisiin käyttää IPCR-järjestelyjen verkkofoorumia ja ERCC:tä. Tietoja olisi käsiteltävä vakiintuneiden menettelyjen ja sääntöjen mukaisesti, ottaen huomioon myös turvallisuusluokiteltujen tietojen käsittely. ERCC:n mahdollinen hyödyntäminen ei saisi vaikuttaa unionin pelastuspalvelumekanismin resursseihin eikä ERCC:n käytettävyyteen, jotta se voisi edelleen toimia täysimääräisesti unionin pelastuspalvelumekanismin hyödyksi.

Tällainen tietojenvaihto voisi tarpeen mukaan käsitellä kriittisen infrastruktuurin poikkeaman, jolla on kriittistä rajatylittävää merkitystä, luonnetta ja syytä, siitä aiheutuvan häiriön havaittua tai arvioitua vaikutusta kriittiseen infrastruktuuriin ja keskeisten palvelujen tarjontaan, poikkeaman seurauksia eri aloilla ja maiden rajojen yli sekä kansallisia tai muiden asiaan liittyvien jäsenvaltioiden ja komission kanssa yhteistyössä tehtyjä tai suunniteltuja lieventäviä toimia olemassa olevien järjestelyjen pohjalta, kuten direktiivin (EU) 2022/2557 9 ja 15 artiklan mukaiset tietojenvaihtojärjestelyt. Tietojenvaihdon olisi tapahduttava sen viemättä resursseja, joita kriittinen infrastruktuuri tai joissakin tapauksissa kriittinen toimija tai jäsenvaltio tarvitsevat poikkeaman käsittelyyn, jonka on oltava ensisijaista.

Jatkotoimien varmistamiseksi ilmoituksen saaneiden komission yksiköiden, mukaan lukien kriittisen infrastruktuurin poikkeamasta, jolla on kriittistä rajatylittävää merkitystä, kärsineistä aloista vastaavat yksiköt, olisi ilmoitettava poikkeamasta muuttoliike- ja sisäasioiden pääosaston yhteyspisteelle ja komission pääsihteeristölle.

Jos tiedoilla saattaa olla merkitystä kyberturvallisuusulottuvuuden kannalta tai ne saattavat liittyä kyberturvallisuuspoikkeamaan, komissio ja neuvoston puheenjohtajavaltio jakavat asiaa koskevat tiedot EU-CyCLONelle. Direktiiveissä (EU) 2022/2557 ja (EU) 2022/2555 tarkoitettujen toimivaltaisten viranomaisten olisi myös tehtävä yhteistyötä ja vaihdettava tietoja tällaisiin poikkeamiin liittyen ilman aiheetonta viivytystä.

Meriasioissa toimivaltaisten kansallisten viranomaisten olisi harkittava mahdollisuutta käyttää yhteistä merialueiden valvonnan tietojenvaihtoympäristöä (CISE), jonka kautta tietoa voi jakaa ilman viivytystä.

ii) Tietojenvaihto unionin tasolla

Komissio kutsuu mahdollisimman pian koolle CERG-ryhmän helpottamaan tietojenvaihtoa poikkeamasta (luonne, syy, vaikutus, seuraukset eri aloilla ja maiden rajojen yli) asiaankuuluvien kriittisestä infrastruktuurista vastaavien toimivaltaisten kansallisten viranomaisten ja asiaankuuluvien unionin toimielinten, elinten ja laitosten välillä ja tekee ilmoituksen neuvoston puheenjohtajavaltiolle. Koska kyseisessä CERG-ryhmän kokouksessa keskityttäisiin kriittisen infrastruktuurin poikkeamaan, jolla on kriittinen rajatylittävä merkitys, ja sen seurauksiin, jäsenvaltioita muistutetaan siitä, että ne voivat pyytää komissiota kutsumaan kyseisen ryhmän kokoukseen kansallisia asiantuntijoita, jotta jäsenvaltioiden edustus voi toteutua asianmukaisimmalla tavalla. Kunkin poikkeaman kannalta keskeiset komission yksiköt voisivat osallistua tiiviisti CERG-ryhmän kokoukseen, jotta ne voivat tarvittaessa jakaa olemassa olevien alakohtaisten välineiden avulla hankittua tietoa.

Jos poikkeamiin liittyy sekä kyberturvallisuusnäkökohtia että muita kuin kyberturvallisuuteen liittyviä fyysisiä näkökohtia, CSIRT-verkosto ja EU-CyCLONe tekisivät yhteistyötä direktiivin (EU) 2022/2555 15 artiklan 6 kohdassa mainittujen menettelytapajärjestelyjen pohjalta. Puheenjohtajavaltion olisi varmistettava koordinointi asiaankuuluvien työryhmien, asiaankuuluvien komission yksiköiden, EUH:n, CERT-EU:n, ENISAn ja Europolin kanssa. CERT-EU jakaisi tarvittaessa asiaankuuluvia tietoja CSIRT-verkoston kanssa, kun taas komissio jakaisi tietoja EU-CyCLONen kanssa. Komissio (muuttoliike- ja sisäasioiden pääosasto ja viestintäverkkojen, sisältöjen ja teknologian pääosasto) voi asianomaisten puheenjohtajien suostumuksella tarvittaessa ehdottaa järjestettäväksi CERG-ryhmän yhteistä kokousta EU-CyCLONen ja CSIRT-verkoston kanssa ja ilmoittaa asiasta neuvoston puheenjohtajavaltiolle.

Jos kyseessä on monialainen kriittisen infrastruktuurin poikkeama, jolla on kriittinen rajatylittävä merkitys, ja jolla on laaja tai poliittinen merkitys unionin tasolla, neuvoston puheenjohtajavaltio voi omasta aloitteestaan ja asianomaisia jäsenvaltioita, komissiota ja korkeaa edustajaa kuultuaan taikka yhden tai useamman jäsenvaltion pyynnöstä tutkia vaihtoehtoja IPCR-järjestelyjen kautta toteutettavalle monialaiselle koordinoinnille. Jos IPCR-järjestelyt aktivoidaan esimerkiksi tietojenvaihdon yhteistyömuodossa, IPCR-järjestelyjen puitteissa toteutettaisiin poliittista ja strategista koordinointia, ja kriittistä infrastruktuuria koskevassa EU:n suunnitelmassa annetaan tarvittava kriittistä infrastruktuuria koskeva panos IPCR-järjestelyjen puitteissa tapahtuvan työn tueksi.

Jos kriittisen infrastruktuurin poikkeama, jolla on kriittinen rajatylittävä merkitys, vaikuttaa myös kolmanteen maahan, neuvoston puheenjohtajavaltion olisi asianomaisia jäsenvaltioita ja komissiota kuullen harkittava kolmannen maan kanssa mahdollisesti tehtävän yhteistyön soveltuvuutta ja yksityiskohtaisia sääntöjä.

iii) Komission ja unionin virastojen tarjoama tuki

Europol esittää tarvittaessa ja tehtävänsä mukaisesti unionin tason tilanneraportin. Muut unionin virastot ilmoittavat merkitykselliset tilannetietoisuuteen vaikuttavat tai kriittisen infrastruktuurin poikkeamaa, jolla on kriittinen rajatylittävä merkitys, koskevaan koordinoituun reagointiin liittyvät tiedot tarvittaessa ja tehtävänsä mukaisesti vastuupääosastolleen, joka ilmoittaa niistä edelleen komissiolle (muuttoliike- ja sisäasioiden pääosastolle, joka toimii CERG-ryhmän puheenjohtajana). Komissio tiedottaa asiasta asianmukaisesti neuvoston puheenjohtajavaltiolle.

Komissio voi edistää tilannetietoisuutta hyödyntämällä unionin avaruusohjelman (17) resursseja, kuten Copernicusta, Galileoa tai EGNOS-järjestelmää, tarpeen mukaan ja sovellettavien unionin ja kansallisten oikeudellisten kehysten mukaisesti.

b) Strategisella tasolla

i) Kertomusten laatiminen jäsenvaltioiden toimittamien tietojen perusteella

Komissio laatii kriittisen infrastruktuurin häiriönsietokykyä koskevan kertomuksen, joka perustuu tietoihin (kriittisen infrastruktuurin poikkeamasta, jolla on kriittinen rajatylittävä merkitys, ja tällaisen poikkeaman käsittelyä koskevista olemassa olevista parhaista käytännöistä), jotka kansalliset toimivaltaiset viranomaiset ovat jakaneet CERG-ryhmän kokouksessa tai yhteisissä kokouksissa asiaankuuluvien yksiköiden, asiantuntijaryhmien tai verkostojen kanssa, sekä muihin saatavilla oleviin tietoihin. Raportti jaetaan CERG-ryhmän jäsenille, PROCIV CER -työryhmän jäsenille ja – neuvoston puheenjohtajavaltiota kuullen – muille asiaankuuluville sidosryhmille. Tarvittaessa raportille määritellään riittävän tason turvallisuusluokitus, ja se jaetaan joka tapauksessa asiaankuuluville vastaanottajille jäsenvaltioissa noudattaen sovellettavassa oikeudellisessa kehyksessä vahvistettuja tietoturvaa koskevia sääntöjä ja menettelyjä.

Kyseisessä raportissa otetaan tarvittaessa huomioon asiaan liittyvien unionin tason kyberturvallisuuden näkökulmasta laadittujen riskinarviointien ja riskiskenaarioiden päätelmät, mukaan lukien komission, korkean edustajan ja yhteistyöryhmän laatimat arvioinnit ja skenaariot.

Mikäli IPRC-kriisinhallintamekanismi aktivoidaan, kyseistä raporttia voidaan hyödyntää komission yksiköiden ja EUH:n laatimassa yhteisen tilannetietoisuuden ja -analyysin (ISAA) raportissa.

SIAC esittää poikkeamatilanteesta tarvittaessa ajantasaisen tiedustelutietoihin perustuvan arvion.

ii) Unionin kriisinkoordinointimekanismien aktivointi ja unionin välineiden käyttö

ERCC voi alkaa tarjota poikkeamaan liittyvää tilannetietoisuutta koskevaa tukea pelastuspalvelumekanismia koskevien säännösten mukaisesti, kun unionin pelastuspalvelumekanismi on aktivoitu (18). Lisäksi jäsenvaltiot, joihin poikkeama vaikuttaa, voivat pyytää Copernicuksen hätätilanteiden hallintapalveluilta satelliittikuvia omista alueistaan.

Mikäli komission laajuisesti jaetun tiedon jakaminen EUH:lle ja asiaan liittyville unionin virastoille katsotaan aiheelliseksi, asian käsittelyä johtava pääosasto tai muuttoliike- ja sisäasioiden pääosasto aktivoi komission sisäisen kriisikoordinointiprosessin nopean yleishälytysjärjestelmän ARGUSin ensimmäisen vaiheen yhdessä pääsihteeristön kanssa kirjaamalla tapahtuman yleishälytysjärjestelmän IT-työkaluun. Komissio varmistaa, että asiaankuuluvat tiedot jaetaan jäsenvaltioiden kanssa pyöreän pöydän IPCR-kokouksissa ja IPCR-järjestelyjen verkkofoorumin kautta.

Neuvoston puheenjohtajavaltio voi aktivoida IPCR-järjestelyt tietojenvaihdon yhteistyömuodossa, jolloin komissio ja EUH laativat ISAA-raportteja toimivaltaisilta kansallisilta viranomaisilta ja tarpeen mukaan myös muista lähteistä saatujen tietojen pohjalta. Neuvoston puheenjohtajavaltio voi tietyin edellytyksin perustaa IPCR-järjestelyjen verkkofoorumille seurantasivun myös ilman, että IPCR-järjestelyt aktivoidaan. Neuvoston pääsihteeristö voi puheenjohtajavaltion suostumuksella luoda seurantasivun asianomaisen jäsenvaltion, komission yksiköiden tai EUH:n mahdollisesti esittämästä pyynnöstä.

Myös muita (alakohtaisia) unionin kriisin- ja hätätilanteen hallintamekanismeja ja työkaluja voidaan tarvittaessa aktivoida niitä koskevien menettelyjen mukaisesti. Komissio varmistaa näiden mekanismien ja välineiden koordinoinnin.

Jos fyysinen poikkeama tapahtuu samaan aikaan kuin direktiivin (EU) 2022/2555 6 artiklan 7 kohdassa määritelty laajamittainen kyberturvallisuuspoikkeama tai näyttää liittyvän siihen, neuvoston puheenjohtajavaltio voi myös soveltaa direktiivissä (EU) 2022/2555 säädettyjä laajamittaisten kyberturvallisuuspoikkeamien koordinoitua hallintaa koskevia säännöksiä määrittääkseen asianmukaisen toimien koordinoinnin, johon osallistuvat muun muassa kyberkysymysten horisontaalinen työryhmä, PROCIV CER -työryhmä, CERG-ryhmä, EU-CyCLONe ja CSIRT-verkosto omien sääntöjensä ja menettelyjensä mukaisesti.

iii) Julkisen viestinnän koordinointi

Jäsenvaltioiden, joihin kriittisen infrastruktuurin poikkeama, jolla on kriittinen rajatylittävä merkitys, vaikuttaa, olisi koordinoitava kansallisten toimivallan mukaisesti ja hallinnollisten kehystensä puitteissa omaa kriisiviestintäänsä mahdollisuuksien mukaan. IPCR-kriisiviestintäverkosto voi tarvittaessa osallistua koordinointiin.

PROCIV CER -työryhmä voi yhteisen tilannetietoisuuden perusteella yhteistyössä asianomaisten jäsenvaltioiden kanssa ja komissiota kuullen järjestää vuoropuhelun julkiseen viestintään liittyvistä jäsenvaltioiden ja komission lähestymistavoista. PROCIV CER -työryhmän olisi tarvittaessa pyrittävä löytämään yhteinen toimintaperusta jäsenvaltioiden välisen koordinoinnin helpottamiseksi.

Tämä olisi tehtävä pitäen mielessä, että viestintätoimet eivät saisi heikentää kansallisia kriisi- ja hätätilanteiden hallintaoperaatioita.

Europol ja muut asiaankuuluvat unionin virastot koordinoivat julkista viestintäänsä yhdessä komission tiedotuspalvelun kanssa yhteisen tilannetietoisuuden pohjalta ja kuullen asianomaisia jäsenvaltioita. ERCC ei osallistu EU:n suunnitelmaan sisältyvään yleisölle suunnattavaan kriisiviestintään.

Jos kriittisen infrastruktuurin poikkeamalla, jolla on kriittinen rajatylittävä merkitys, on ulkoinen tai hybridiulottuvuus, julkinen viestintä koordinoidaan EUH:n ja komission tiedotuspalvelun kanssa hybridiuhkien torjuntaa koskevassa EU:n protokollassa määrätyllä tavalla.

2. Reagointi (eli Tietojenvaihto-kohdassa luetellut jatkuvat toimet ja strategisen/poliittisen tason lisätoimet)

a) Strategisella tasolla

i) Tilanneraporttien jatkuva tuottaminen

PROCIV CER -työryhmälle olisi ilmoitettava raporttien laatimisesta (esim. ISAA-raportista IPCR-järjestelyjen aktivoinnin tapauksessa tai kyseessä ollessa komission laatima raportti, joka keskittyy jäsenvaltioiden panokseen kriittisen infrastruktuurin häiriönsietokyvyn alalla), ja sen olisi valmisteltava pysyvien edustajien komiteaa, jos viimeksi mainittua ei ole vielä kutsuttu koolle, tai tarpeen mukaan poliittisten ja turvallisuusasioiden komitean kokousta.

SIAC tiivistää yhteydenpitoaan jäsenvaltioiden tiedustelupalvelujen kanssa, kokoaa yhteen kaiken lähdetiedon ja laatii poikkeamasta analyysin ja arvion ja päivittää niitä tarpeen mukaan.

ii) Koordinointikokousten järjestäminen

Neuvoston puheenjohtajavaltion olisi yhteisen tilannetietoisuuteen perustuen kutsuttava mahdollisimman pian koolle PROCIV CER -työryhmän kokouksia, joissa keskustellaan kriittisen infrastruktuurin häiriönsietokyvyn alan unionin toimissa olevista puutteista, jotka liittyvät kriittisen infrastruktuurin poikkeamaan, jolla on kriittinen rajatylittävä merkitys, ja tarkasteltava vaihtoehtoja jäsenvaltioiden ja unionin toimielinten, elinten ja laitosten välisessä koordinoinnissa. Jos IPCR-järjestelyt aktivoidaan, puheenjohtajavaltio voisi välittää näiden kokousten tulokset kriisiä käsitteleviin pyöreän pöydän IPCR-kokouksiin. Kriisejä käsittelevissä pyöreän pöydän IPCR-kokouksissa voidaan myös tunnistaa joitakin erityisiä puutteita reagoinnissa kriittisen infrastruktuurin poikkeamiin, joilla on kriittinen rajatylittävä merkitys, ja ohjata PROCIV CER -työryhmää puuttumaan niihin ja raportoimaan tuloksista takaisin tulevissa pyöreän pöydän IPCR-kokouksissa, joilla tuetaan IPCR-järjestelyjen poliittisia ja strategisia koordinointitoimia.

iii) Unionin kriisinkoordinointimekanismien täysimittainen aktivointi ja unionin välineiden käyttö

Mikäli neuvoston puheenjohtajavaltio aktivoi IPCR-kriisinhallintamekanismin täysimittaisesti:

Neuvoston olisi koordinoitava toimia unionin poliittisella tasolla IPCR-järjestelyjen avulla.

Neuvoston puheenjohtajavaltio kehottaa järjestämään hyvissä ajoin epävirallisen pyöreän pöydän kokouksen, jossa kokoontuvat asiaankuuluvat kansalliset, unionin ja kansainväliset toimijat ja jossa asianomaiset jäsenvaltiot voivat raportoida poikkeamasta, puheenjohtajavaltio voi raportoida asiaankuuluvien neuvoston työryhmien havainnoista ja komission yksiköt voivat raportoida aiemmin koolle kutsutuista ryhmien kokouksista, EUH:n antaessa täydentäviä tietoja tarpeen mukaan.

SIACia ja asiaankuuluvia unionin virastoja voidaan pyytää esittämään kyseisessä kokouksessa tilannekatsaus kriittisen infrastruktuurin poikkeamasta, jolla on kriittinen rajatylittävä merkitys.

ISAAn johtava yksikkö (komissiossa tai EUH:ssa) valmistelee ISAA-raportin asiaankuuluvien komission yksiköiden, asiaankuuluvien unionin elinten ja laitosten sekä toimivaltaisten kansallisten viranomaisten toimittamien tietojen pohjalta. Jäsenvaltioita pyydetään myös antamaan palautetta IPCR-järjestelyjen verkkofoorumin kautta.

Jos komission puheenjohtaja käynnistää komission sisäisen ARGUS-yleishälytysjärjestelmän toisen vaiheen, kriisinkoordinointikomitea kutsutaan nopeasti koolle kokouksiin, joihin osallistuvat asianomaiset komission yksiköt ja EU:n virastot sekä tarvittaessa EUH, koordinoimaan kaikkia kriittisen infrastruktuurin poikkeamaan liittyviä näkökohtia, joilla on merkittävää rajatylittävää merkitystä.

Kun on kyse kriittisen infrastruktuurin poikkeamasta, jolla on kriittinen rajatylittävä merkitys unionille ja Natolle, komission yksiköt ja EUH voivat järjestää häiriönsietokykyä koskevan EU:n ja Naton jäsennellyn vuoropuhelun kokouksen edistääkseen yhteistä tilannetietoisuutta sekä tietojenvaihtoa unionin ja Naton toteuttamista toimista kunnioittaen täysimääräisesti perussopimusten mukaista unionin ja jäsenvaltioiden toimivaltaa ja EU:n ja Naton yhteistyötä ohjaavia keskeisiä periaatteita, erityisesti vastavuoroisuutta, osallistavuutta ja päätöksenteon riippumattomuutta, ja noudattaen täyttä avoimuutta kaikkia jäsenvaltioita kohtaan. Unionin ja Naton välisen esteettömän tietojenvaihdon tärkeyden vahvistaen asianomaisen jäsenvaltion arkaluonteisiksi katsomista poikkeamista voitaisiin jakaa tietoa Natolle asianomaisen jäsenvaltion nimenomaisella suostumuksella. Jäsenvaltioille tiedotetaan kriittistä infrastruktuuria koskevan EU:n suunnitelman soveltamista koskevan jäsennellyn vuoropuhelun tuloksista.

iv) Julkinen viestintä

Neuvoston olisi tarvittaessa helpotettava julkiseen viestintään liittyvien lähestymistapojen vaihtoa ja pyrittävä tarvittaessa löytämään yhteinen toimintaperusta jäsenvaltioiden välisen ja komission kanssa tehtävän koordinoinnin helpottamiseksi. IPCR-kriisinhallintamekanismilla perustettu kriisiviestintää koskeva epävirallinen tukiverkosto voi avustaa sitä tässä työssä. Lisäksi komission yksiköt laativat tarvittaessa ja asianomaisia jäsenvaltioita kuullen julkisia viestintään tarkoitettuja viestejä.

Jos kriittisen infrastruktuurin poikkeamalla, jolla on kriittinen rajatylittävä merkitys, on ulkoinen tai hybridiulottuvuus, julkinen viestintä olisi koordinoitava EUH:n ja komission tiedotuspalvelun kanssa. ERCC ei osallistu EU:n suunnitelmaan sisältyvään yleisölle suunnattavaan kriisiviestintään.

v) Jäsenvaltioiden tukeminen ja tehokas reagointi

Neuvoston puheenjohtajavaltio voi kutsua koolle useampia PROCIV CER -työryhmän ja muiden asiaankuuluvien työryhmien kokouksia IPCR-järjestelyjen puitteissa toteutettavien toimien tukemiseksi, jos järjestelyt aktivoidaan.

Kriittisen infrastruktuurin poikkeaman, jolla on kriittinen rajatylittävä merkitys, vaikutuksen kohteena olevat jäsenvaltiot voivat pyytää teknistä tukea muilta jäsenvaltioilta kahdenvälisesti tai neuvoston puheenjohtajavaltion ja/tai PROCIV CER -työryhmän kautta, esimerkiksi erityistä asiantuntemusta kriittisen infrastruktuurin poikkeaman, jolla on kriittinen rajatylittävä merkitys, aiheuttamien haitallisten vaikutusten lieventämiseksi.

Kriittisen infrastruktuurin poikkeaman, jolla on kriittinen rajatylittävä merkitys, vaikutuksen kohteena olevat jäsenvaltiot voivat myös pyytää komissiolta tai asianomaisilta unionin virastoilta teknistä ja/tai taloudellista tukea. Tällaisen pyynnön saatuaan komissio arvioi yhteistyössä asiaankuuluvien unionin virastojen kanssa mahdollisuudet tuen antamiseen ja ryhtyy tarvittaessa ja asianomaisen jäsenvaltion suostumuksella unionin tasolla teknisiin lievittämistoimiin niihin sovellettavien menettelyjen mukaisesti ja koordinoi kyseisen kriittisen infrastruktuurin poikkeaman, jolla on kriittinen rajatylittävä merkitys, vaikutusten vähentämiseen tai estämiseen tarvittavia teknisiä valmiuksia. Komission ja puheenjohtajavaltion olisi tiedotettava toisilleen asianmukaisesti näistä pyynnöistä, jotta voidaan varmistaa tehokas koordinointi.

Asianomaiset maat voivat aktivoida unionin pelastuspalvelumekanismin avun pyytämiseksi, minkä jälkeen ERCC toimisi yhteistyössä jäsenvaltioiden yhteyspisteiden kanssa pelastuspalvelumekanismia koskevien säännösten mukaisesti avun antamisen koordinoimiseksi.

Toimivaltuuksiensa puitteissa ja pyynnöstä Europol ja muut asiaan liittyvät unionin virastot voivat tukea kriittisen infrastruktuurin poikkeaman, jolla on kriittinen rajatylittävä merkitys, tutkinnassa jäsenvaltioita, joihin poikkeama vaikuttaa.

b) Poliittisella tasolla

Neuvoston puheenjohtajavaltio voi harkita tarvetta järjestää pyöreän pöydän IPCR-kokouksia, neuvoston työryhmien kokouksia, Coreperin kokouksia ja neuvoston kokouksia keskustelemaan kriittisen infrastruktuurin poikkeaman, jolla on kriittinen rajatylittävä merkitys, mahdollisista syistä ja odotettavissa olevista seurauksista jäsenvaltioille ja unionille, sopimaan yhteisistä suuntaviivoista sekä tukemaan jäsenvaltioita, joihin tällainen poikkeama vaikuttaa, sen seurausten lieventämisessä. Eurooppa-neuvosto voi myös käsitellä asiaa.

Kaaviokuva kriittistä infrastruktuuria koskevasta EU:n suunnitelmasta

(1) Euroopan parlamentin ja neuvoston päätös N:o 1313/2013/EU, annettu 17 päivänä joulukuuta 2013, unionin pelastuspalvelumekanismista (EUVL L 347 20.12.2013, s. 924).

(2) Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2555, annettu 14 päivänä joulukuuta 2022, toimenpiteistä kyberturvallisuuden yhteisen korkean tason varmistamiseksi kaikkialla unionissa, asetuksen (EU) N:o 910/2014 ja direktiivin (EU) 2018/1972 muuttamisesta sekä direktiivin (EU) 2016/1148 kumoamisesta (NIS 2 -direktiivi) (EUVL L 333, 27.12.2022, s. 80).

(3) Euroopan järjestelmäriskikomitean suositus, annettu 2 päivänä joulukuuta 2021, Euroopan laajuisesta systeemisten kyberpoikkeamien koordinointikehyksestä asiaan liittyviä viranomaisia varten (EJRK/2021/17).

(4) Komission 23 päivänä toukokuuta 2022 antama tiedonanto ”Liikennealaa koskeva varautumissuunnitelma” (COM(2022) 211 final).

(5) Perustettu ilmaliikenteen hallintaverkon toimintojen toteuttamista koskevista yksityiskohtaisista säännöistä ja komission asetuksen (EU) N:o 677/2011 kumoamisesta 24 tammikuuta 2019 annetun komission täytäntöönpanoasetuksen (EU) 2019/123 19 artiklan nojalla (EUVL L 28, 31.1.2019, s. 1).

(6) Komission päätös 2012/C 353/02, annettu 15 päivänä marraskuuta 2012, sähköalan koordinointiryhmän perustamisesta (EUVL C 353 17.11.2012, s. 2).

(7) Euroopan parlamentin ja neuvoston asetus (EU) 2017/1938, annettu 25 päivänä lokakuuta 2017, toimista kaasun toimitusvarmuuden turvaamiseksi ja asetuksen (EU) 994/2010 kumoamisesta (EUVL L 280, 28.10.2017, s. 1).

(8) Neuvoston direktiivi 2009/119/EY, annettu 14 päivänä syyskuuta 2009, jäsenvaltioiden velvollisuudesta ylläpitää raakaöljy- ja/tai öljytuotevarastojen vähimmäistasoa (EUVL L 265, 9.10.2009, s. 9).

(9) Euroopan parlamentin ja neuvoston direktiivi (EU) 2022/2557, annettu 14 päivänä joulukuuta 2022, kriittisten toimijoiden häiriönsietokyvystä ja direktiivin 2008/114/EY kumoamisesta (EUVL L 333, 27.12.2022, s. 164).

(10) Euroopan parlamentin ja neuvoston asetus (EU) 2022/2371, annettu 23 päivänä marraskuuta 2022, rajatylittävistä vakavista terveysuhkista ja päätöksen N:o 1082/2013/EU kumoamisesta (EUVL L 314, 6.12.2022, s. 26).

(11) Epävirallinen ryhmä, jossa ovat edustettuina asiaan liittyvät komission yksiköt, EUH, Euroopan unionin kyberturvallisuusvirasto (ENISA), Unionin toimielinten, elinten ja virastojen tietotekniikan kriisiryhmä (CERT-EU) ja Europol, ja jonka puheenjohtajina toimivat viestintäverkkojen, sisältöjen ja teknologian pääosasto ja EUH.

(12) Kuten liikenteen alalla: Euroopan unionin lentoturvallisuusvirasto (EASA), Euroopan meriturvallisuusvirasto (EMSA) ja Euroopan rautatievirasto (ERA); terveysalalla: Euroopan tautienehkäisy- ja -valvontakeskus (ECDC) ja Euroopan lääkevirasto (EMA); energia-alalla: Energia-alan sääntelyviranomaisten yhteistyövirasto (ACER) avaruusalalla: Euroopan unionin avaruusohjelmavirasto (EUSPA); elintarvikealalla: Euroopan elintarviketurvallisuusviranomainen (EFSA); merenkulkualalla: Euroopan kalastuksenvalvontavirasto (EFCA); kyberturvallisuuspoikkeamien alalla: tietoturvaloukkauksiin reagoiva ja niitä tutkiva yksikkö (CSIRT-yksikkö), unionin toimielinten, elinten, toimistojen ja virastojen kyberturvallisuuspalvelu (CERT-EU), EKP, EJRK ja Euroopan valvontaviranomaiset.

(13) Neuvoston täytäntöönpanopäätös (EU) 2018/1993, annettu 11 päivänä joulukuuta 2018, EU:n poliittisen kriisitoiminnan integroiduista järjestelyistä (EUVL L 320, 17.12.2018, s. 28).

(14) Neuvoston päätös , annettu 24 päivänä kesäkuuta 2014, yhteisvastuulausekkeen täytäntöönpanojärjestelyistä unionissa (2014/415/EU) (EUVL L 192, 1.7.2014, s. 53).

(15) Joint Staff Working Document – EU Protocol for countering hybrid threats (SWD(2023) 116 final).

(16) Neuvoston päätelmät puitteista EU:n koordinoidulle hybridikampanjoihin reagoinnille (10016/22); Täytäntöönpano-ohjeet EU:n koordinoitua hybridikampanjoihin reagointia koskeville puitteille (15880/22).

(17) Euroopan parlamentin ja neuvoston asetus (EU) 2021/696, annettu 28 päivänä huhtikuuta 2021, unionin avaruusohjelman ja Euroopan unionin avaruusohjelmaviraston perustamisesta sekä asetusten (EU) N:o 912/2010, (EU) N:o 1285/2013 ja (EU) N:o 377/2014 ja päätöksen N:o 541/2014/EU kumoamisesta (EUVL L 170, 12.5.2021, s. 69).

(18) Esimerkiksi mediaseurannan tuotteiden, pelastuspalveluviestien, analyyttisten katsausten, humanitaarisen avun ja pelastuspalveluasioiden pääosaston (ECHO) päivittäisten karttojen ja tiedotteiden sekä muiden räätälöityjen tuotteiden julkaiseminen.