1.

Kako bi se osiguralo funkcioniranje unutarnjeg tržišta, u interesu je svih država članica i Unije u cjelini da se unutar njega jasno utvrdi i zaštiti relevantna kritična infrastruktura koja pruža osnovne usluge, posebno u ključnim sektorima kao što su energetika, digitalna infrastruktura, promet i svemir, kao i kritična infrastruktura od znatne prekogranične važnosti (1), čiji bi poremećaj mogao znatno utjecati na druge države članice.

2.

Ova Preporuka, koja je neobvezujući akt, pokazuje političku volju država članica da međusobno surađuju i njihovu predanost preporučenim mjerama, istaknutima u planu od pet točaka koji je izdala predsjednica Europske komisije, uz potpuno poštovanje nadležnosti država članica. Ova Preporuka ne utječe na zaštitu ključnih interesa nacionalne sigurnosti, javne sigurnosti ili obrane država članica te se od nijedne države članice ne bi trebalo očekivati da razmjenjuje informacije koje štete tim interesima.

3.

Iako su države članice i njihovi operatori kritične infrastrukture i dalje prvenstveno odgovorni za jamčenje sigurnosti kritične infrastrukture i za to da ona pruža osnovne usluge, primjereno je pojačati koordinaciju na razini Unije, posebno s obzirom na sve prijetnje koje evoluiraju i koje mogu istodobno utjecati na nekoliko država članica, kao što je agresivni rat Rusije protiv Ukrajine i hibridne kampanje protiv država članica, ili na otpornost i dobro funkcioniranje Unijina gospodarstva, unutarnjeg tržišta i društva u cjelini. Posebnu pozornost trebalo bi posvetiti kritičnoj infrastrukturi izvan državnog područja država članica, kao što su podmorska kritična infrastruktura ili odobalna energetska infrastruktura.

4.

Europsko vijeće u svojim je zaključcima od 20. i 21. listopada 2022. snažno osudilo činove sabotaže usmjerene na kritičnu infrastrukturu, poput onih kojima su pogođeni plinovodi Sjeverni tok, ističući da će Unija ujedinjeno i odlučno odgovoriti na svako namjerno narušavanje kritične infrastrukture ili druga hibridna djelovanja.

5.

S obzirom na prijetnje koje brzo evoluiraju, u ključnim sektorima kao što su energetika, digitalna infrastruktura, promet i svemir i u drugim relevantnim sektorima koje su utvrdile države članice trebalo bi prioritetno poduzeti mjere za jačanje otpornosti. Takve bi mjere trebale biti usmjerene na jačanje otpornosti kritične infrastrukture, uzimajući u obzir relevantne rizike, posebno kaskadne učinke, poremećaje u lancu opskrbe, ovisnost, učinke klimatskih promjena, nepouzdane dobavljače i partnere te hibridne prijetnje i kampanje, uključujući inozemnu manipulaciju informacijama i uplitanja. Kad je riječ o nacionalnoj kritičnoj infrastrukturi, s obzirom na moguće posljedice prioritet bi trebala imati kritična infrastruktura od znatne prekogranične važnosti. Države članice potiču se da hitno, prema potrebi, osiguraju takve mjere za jačanje otpornosti i da pritom zadrže pristup utvrđen u pravnom okviru koji stalno evoluira.

(6)

Zaštita europske kritične infrastrukture u energetskom i prometnom sektoru trenutačno je uređena Direktivom Vijeća 2008/114/EZ (2), a sigurnost mrežnih i informacijskih sustava širom Unije usmjerena na kiberprijetnje osigurana je Direktivom (EU) 2016/1148 (3) Europskog parlamenta i Vijeća. Kako bi se osigurala viša zajednička razina otpornosti i zaštite kritične infrastrukture, kibersigurnosti i financijskog tržišta, postojeći se pravni okvir mijenja i dopunjuje donošenjem novih pravila koja se primjenjuju na kritične subjekte (Direktiva o otpornosti kritičnih subjekata – „Direktiva CER”), ojačanih pravila za visoku zajedničku razinu kibersigurnosti diljem Unije („Direktiva NIS 2”) i novih pravila koja se primjenjuju na digitalnu operativnu otpornost financijskog sektora („DORA”).

7.

Države članice trebale bi, u skladu s pravom Unije i nacionalnim pravom, iskoristiti sve dostupne alate kako bi ostvarile napredak i pomogle u jačanju fizičke otpornosti i kiberotpornosti. U tom pogledu trebalo bi smatrati da kritična infrastruktura obuhvaća relevantnu kritičnu infrastrukturu koju je država članica utvrdila na nacionalnoj razini ili koja je određena kao europska kritična infrastruktura na temelju Direktive 2008/114/EC, kao i kritične subjekte koje treba utvrditi na temelju Direktive CER ili, prema potrebi, subjekte na temelju Direktive NIS 2. Pojam otpornosti trebalo bi tumačiti na način da se odnosi na sposobnost kritične infrastrukture da spriječi događaje koji znatno narušavaju ili bi mogli znatno narušiti pružanje osnovnih usluga na unutarnjem tržištu, odnosno usluga koje su ključne za održavanje vitalnih društvenih i gospodarskih funkcija, javnu sigurnost i zaštitu, zdravlje stanovništva ili okoliš, te da se od navedenih događaja zaštiti, odgovori na njih, odupre im se, ublaži ih, apsorbira, prilagodi im se ili se oporavi od njih.

8.

Trebalo bi sazvati nacionalne stručnjake radi koordinacije rada na postizanju više zajedničke razine otpornosti i zaštite kritične infrastrukture koju treba uvesti novim pravilima koja se primjenjuju na kritične subjekte. Tim koordiniranim radom omogućila bi se suradnja među državama članicama i razmjena informacija o aktivnostima kao što je razrada metodologija za utvrđivanje osnovnih usluga koje pruža kritična infrastruktura. Komisija je već počela sazivati stručnjake i olakšavati njihov rad te planira s time i nastaviti. Kad Direktiva CER stupi na snagu i osnuje se Skupina za otpornost kritičnih subjekata na temelju te direktive, ta bi skupina trebala nastaviti s takvim anticipatornim radom u skladu sa svojim zadaćama.

9.

Uzimajući u obzir činjenicu da su se prijetnje promijenile, trebalo bi dodatno razviti potencijal provođenja testiranja otpornosti kritične infrastrukture na stres na nacionalnoj razini jer bi to testiranje moglo biti korisno za jačanje otpornosti kritične infrastrukture. S obzirom na posebnu važnost energetskog sektora i posljedice na razini Unije koje proizlaze iz njegova mogućeg poremećaja, taj bi sektor mogao imati najviše koristi od provedbe testiranja otpornosti na stres na temelju zajednički dogovorenih načela. Ta testiranja otpornosti na stres u nadležnosti su država članica koje bi trebale poticati i podupirati operatore kritične infrastrukture da provedu takva testiranja, ako se procijeni da je to korisno i u skladu s njihovim nacionalnim pravnim okvirima.

10.

Kako bi se osigurao koordiniran i djelotvoran odgovor na trenutačne i očekivane prijetnje, Komisiju se potiče da pruži dodatnu potporu državama članicama, posebno pružanjem relevantnih informacija u obliku informativnih dokumenata, neobvezujućih priručnika i smjernica. Europska služba za vanjsko djelovanje (ESVD), posebno putem Obavještajnog i situacijskog centra EU-a i njegove jedinice za otkrivanje hibridnih prijetnji, uz potporu Obavještajne uprave Vojnog stožera EU-a (EUMS) u okviru Službe za jedinstvenu obavještajnu analizu (SIAC), trebala bi pružiti procjene prijetnji. Komisija se također poziva da u suradnji s državama članicama promiče prihvaćanje istraživačkih i inovacijskih projekata koje financira Unija.

11.

Zbog sve veće međuovisnosti fizičke i digitalne infrastrukture moguće je da zlonamjerne kiberaktivnosti usmjerene na kritična područja dovedu do poremećaja ili oštećenja fizičke infrastrukture, ili da zbog sabotaže fizičke infrastrukture digitalne usluge postanu nedostupne. Države članice pozivaju se da na temelju iskustva stečenog u okviru Skupine za suradnju uspostavljene Direktivom (EU) 2016/1148 („Skupina za suradnju NIS”) što prije ubrzaju pripremni rad na prenošenju i primjeni novog pravnog okvira koji se primjenjuje na kritične subjekte i ojačanog pravnog okvira za kibersigurnost, imajući pritom na umu razdoblja prenošenja i činjenicu da bi se taj pripremni rad trebao odvijati usporedno i usklađeno.

12.

Osim povećanja pripravnosti važno je i ojačati sposobnosti za brz i djelotvoran odgovor na poremećaj u osnovnim uslugama koje pruža kritična infrastruktura. Stoga ova Preporuka sadržava mjere i na razini Unije i na nacionalnoj razini, među ostalim isticanjem uloge pružanja potpore i dodane vrijednosti koje se mogu postići uspostavom pojačane suradnje i razmjene informacija u kontekstu Mehanizma Unije za civilnu zaštitu (UCPM) uspostavljenog Odlukom br. 1313/2013/EU Europskog parlamenta i Vijeća (4) i upotrebom relevantnih sredstava svemirskog programa Unije uspostavljenog na temelju Uredbe (EU) 2021/696 Europskog parlamenta i Vijeća (5).

13.

Komisija, Visoki predstavnik Unije za vanjske poslove i sigurnosnu politiku („Visoki predstavnik”) i Skupina za suradnju NIS u suradnji s relevantnim civilnim i vojnim tijelima i agencijama te uspostavljenim mrežama, uključujući Europsku mrežu organizacija za vezu za kiberkrize (EU-CyCLONe), trebaju provesti procjenu rizika i izraditi scenarije rizika. Međutim, u okviru daljnjeg postupanja u vezi sa Zajedničkim ministarskim pozivom iz Neversa, procjenu rizika trenutačno provodi Skupina za suradnju NIS uz potporu Komisije i Agencije Europske unije za kibersigurnost (ENISA) te u suradnji s Tijelom europskih regulatora za elektroničke komunikacije (BEREC). Ta će dva postupka biti dosljedna i koordinirana s postupkom izrade scenarija u okviru UCPM-a, uključujući događaje u području kibersigurnosti i njihov stvarni učinak, koji trenutačno razvijaju Komisija i države članice. U interesu učinkovitosti, djelotvornosti i dosljednosti te radi dobre primjene ove Preporuke, ishodi tih postupaka trebali bi se uzeti u obzir na nacionalnoj razini.

14.

Kako bi odmah ojačala pripravnost i kapacitet za odgovor na kibersigurnosni incident velikih razmjera, Komisija je uspostavila kratkoročni program za potporu državama članicama, dodijelivši dodatna sredstva ENISA-i. Predložene usluge uključuju, među ostalim, mjere pripravnosti, kao što je penetracijsko testiranje subjekata kako bi se utvrdile slabe točke. Programom se mogu povećati i mogućnosti za pomoć državama članicama u slučaju kibersigurnosnog incidenta velikih razmjera koji utječe na kritične subjekte. To je prvi korak u skladu sa Zaključcima Vijeća od 23. svibnja 2022. o razvoju položaja Europske unije u pogledu kiberprostora, u kojima se od Komisije traži da iznese prijedlog za Fond za odgovor na hitne situacije u području kibersigurnosti. Države članice trebale bi u potpunosti iskoristiti te mogućnosti u skladu s primjenjivim zahtjevima te ih se potiče da nastave s radom u području Unijina upravljanja kiberkrizama, posebno redovitim praćenjem i analizom napretka postignutog u provedbi plana za upravljanje kiberkrizama koji je Vijeće nedavno izradilo. Taj je plan dokument podložan promjenama i trebalo bi ga prema potrebi preispitati i ažurirati.

15.

Globalni podmorski komunikacijski kabeli ključni su za globalnu povezivost i povezivost unutar EU-a. Zbog znatne duljine takvih kabela i njihove ugradnje na morsko dno podvodni vizualni nadzor većine dijelova kabela iznimno je zahtjevan. Podijeljena nadležnost i druga pitanja nadležnosti koja se odnose na takve kabele zahtijevaju specifičnu europsku i međunarodnu suradnju u pogledu zaštite i obnove infrastrukture. Stoga je aktualne i planirane procjene rizika za digitalnu i fizičku infrastrukturu na kojoj se temelje digitalne usluge potrebno dopuniti specifičnim procjenama rizika i mogućnostima za mjere ublažavanja rizika za podmorske komunikacijske kabele. Države članice pozivaju Komisiju da u tu svrhu provede studije i obavijestiti države članice o njihovim rezultatima.

16.

Na energetski i prometni sektor mogu utjecati i prijetnje povezane s digitalnom infrastrukturom, primjerice u vezi s energetskim tehnologijama koje uključuju digitalne komponente. Sigurnost povezanih lanaca opskrbe važna je za kontinuitet pružanja osnovnih usluga i za stratešku kontrolu kritične infrastrukture u energetskom sektoru. Te bi okolnosti trebalo uzeti u obzir kad se poduzimaju mjere za jačanje otpornosti kritične infrastrukture u skladu s ovom Preporukom.

17.

Zbog sve veće važnosti svemirske infrastrukture, zemaljske imovine povezane sa svemirom, uključujući proizvodna postrojenja, i usluga u svemiru za aktivnosti povezane sa sigurnošću ključno je osigurati otpornost i zaštitu Unijine svemirske imovine i zemaljske imovine povezane sa svemirom te usluga u svemiru u okviru Unije. Zbog istih je razloga ključno, u okviru ove Preporuke, na strukturiraniji način upotrijebiti podatke i usluge iz svemira koje pružaju svemirski sustavi i programi za nadzor, praćenje i zaštitu kritične infrastrukture u drugim sektorima. U predstojećoj svemirskoj strategiji EU-a za sigurnost i obranu predložit će se odgovarajuće mjere u tom pogledu, koje bi trebalo uzeti u obzir pri provedbi ove Preporuke.

18.

Suradnja na međunarodnoj razini potrebna je i kako bi se djelotvorno uklonili rizici za kritičnu infrastrukturu, među ostalim, u međunarodnim vodama. Stoga se države članice pozivaju da surađuju s Komisijom i Visokim predstavnikom i da u cilju postizanja takve suradnje poduzmu određene korake, imajući na umu da se svi takvi koraci poduzimaju samo u skladu s njihovim zadaćama i odgovornostima na temelju prava Unije, posebno s odredbama Ugovorâ koje se odnose na vanjske odnose.

19.

Kako je utvrđeno u komunikaciji od 15. veljače 2022. naslovljenoj „Doprinos Komisije europskoj obrani”, Komisija će u suradnji s Visokim predstavnikom i državama članicama, kao potporu planu „Strateški kompas za sigurnost i obranu – za Europsku uniju koja štiti svoje građane, vrijednosti i interese te doprinosi međunarodnom miru i sigurnosti”, do 2023. procijeniti osnovni okvir sektorske otpornosti na hibridne prijetnje utvrđivanjem nedostataka i potreba te koraka za njihovo rješavanje. Ta bi inicijativa, pomažući da se pojačaju razmjena informacija i koordinacija djelovanja, trebala poslužiti kao temelj za rad u okviru ove Preporuke na daljnjem jačanju otpornosti, uključujući otpornost kritične infrastrukture.

20.

U Strategiji pomorske sigurnosti EU-a iz 2014. i njezinu revidiranom akcijskom planu poziva se na veću zaštitu kritične pomorske infrastrukture, uključujući podvodnu infrastrukturu, a posebno infrastrukturu za pomorski promet te energetsku i komunikacijsku infrastrukturu, među ostalim boljom informiranošću o stanju u pomorstvu putem poboljšane interoperabilnosti i pojednostavnjene (obvezne i dobrovoljne) razmjene informacija. Ta strategija i akcijski plan trenutačno se ažuriraju i uključivat će pojačane mjere za zaštitu kritične pomorske infrastrukture. Tim bi se mjerama trebala dopuniti ova Preporuka.

21.

Jačanje otpornosti kritične infrastrukture doprinosi širim naporima za suzbijanje hibridnih prijetnji i kampanja protiv Unije i njezinih država članica. Ova se Preporuka temelji na zajedničkoj komunikaciji Europskom parlamentu i Vijeću naslovljenoj „Zajednički okvir za suzbijanje hibridnih prijetnji – odgovor Europske unije”. Mjera 1. Zajedničkog okvira, odnosno istraživanje o hibridnom riziku, ima ključnu ulogu u utvrđivanju ranjivosti koje bi mogle utjecati na nacionalne i paneuropske strukture i mreže. Osim toga, provedbom Zaključaka Vijeća od 21. lipnja 2022. o okviru za koordinirani odgovor EU-a na hibridne kampanje osigurat će se snažnije koordinirano djelovanje primjenom instrumentarija EU-a za obranu od hibridnih prijetnji u svim pogođenim područjima,

1.

2.

3.

4.

5.

6.

7.

8.

9.

10.

11.

12.

13.

14.

15.

16.

17.

U radu tih imenovanih stručnjaka posebnu bi pozornost trebalo posvetiti međusektorskim ovisnostima i kritičnoj infrastrukturi od znatne prekogranične važnosti te bi, prema potrebi, u okviru Vijeća i Komisije trebalo poduzimati daljnje korake.

18.

19.

20.

21.

22.

23.

24.

25.

26.

27.

28.

29.

30.

31.

32.

33.

34.

35.

36.

37.

38.