UZASADNIENIE
1.KONTEKST AKTU DELEGOWANEGO
Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych i uchylająca dyrektywę Rady 2008/114/WE (dyrektywa CER) weszła w życie 16 stycznia 2023 r. Dyrektywa CER ma na celu zapewnienie, aby usługi kluczowe dla utrzymania niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej były świadczone na rynku wewnętrznym w sposób niezakłócony oraz aby zwiększona została odporność podmiotów krytycznych świadczących takie usługi.
W dyrektywie CER na podmioty krytyczne nałożono obowiązki mające na celu zwiększenie ich odporności oraz ustanowiono przepisy dotyczące nadzoru nad podmiotami krytycznymi, egzekwowania przepisów i identyfikacji podmiotów krytycznych o szczególnym znaczeniu europejskim. W dyrektywie tej ustanowiono również wspólne procedury dotyczące współpracy i sprawozdawczości w zakresie jej stosowania.
Dyrektywą CER nałożono na państwa członkowskie obowiązek przeprowadzania ocen ryzyka i identyfikowania podmiotów krytycznych, które świadczą usługi kluczowe. W tym kontekście, zgodnie z art. 5 dyrektywy CER i warunkami określonymi w art. 23 tej dyrektywy, Komisja jest uprawniona do przyjęcia w terminie do 17 listopada 2023 r. aktu delegowanego w celu uzupełnienia tej dyrektywy przez ustanowienie niewyczerpującego wykazu usług kluczowych w sektorach i podsektorach, określonych w załączniku do tej dyrektywy. Zgodnie z dyrektywą CER z tego wykazu korzystać będą właściwe organy przy przeprowadzaniu ocen ryzyka, a następnie przy identyfikacji podmiotów krytycznych na podstawie dyrektywy.
Z uwagi na zastosowane w dyrektywie CER podejście polegające na minimalnej harmonizacji oraz fakt, że wykaz nie jest wyczerpujący, państwa członkowskie mogą, zgodnie z prawem UE, uzupełniać go o dodatkowe usługi kluczowe na poziomie krajowym w celu uwzględnienia krajowej specyfiki w zakresie świadczenia usług kluczowych.
W zaleceniu Rady w sprawie ogólnounijnego skoordynowanego podejścia do kwestii wzmocnienia odporności infrastruktury krytycznej wzywa się Komisję do terminowego przyjęcia niniejszego aktu delegowanego.
2.KONSULTACJE PRZEPROWADZONE PRZED PRZYJĘCIEM AKTU
W trakcie prac przygotowawczych nad niniejszym aktem delegowanym Komisja przeprowadziła odpowiednie konsultacje, w tym na szczeblu eksperckim z przedstawicielami państw członkowskich. Ponadto, zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym w sprawie lepszego stanowienia prawa z dnia 13 kwietnia 2016 r., aby zapewnić udział Parlamentu Europejskiego i Rady w przygotowaniu aktów delegowanych na równych zasadach, instytucje te otrzymały wszelkie dokumenty w tym samym czasie co eksperci państw członkowskich, a eksperci tych instytucji mogli systematycznie brać udział w posiedzeniach grupy eksperckiej Komisji zajmującej się przygotowaniem aktu delegowanego.
Pierwsze formalne konsultacje z ekspertami z państw członkowskich odbyły się 25 stycznia 2023 r. w ramach ustanowionej dyrektywą CER Grupy ds. Odporności Podmiotów Krytycznych (CERG). Państwa członkowskie wezwano do przedstawienia uwag na temat projektu tekstu zarówno w trakcie tych konsultacji, jak i po nich na piśmie.
Drugie formalne konsultacje odbyły się 20 marca w ramach CERG. Skonsolidowaną wersję niniejszego aktu delegowanego przesłano państwom członkowskim 1 czerwca 2023 r. i uwzględniono w niej, w stosownych przypadkach, odpowiednie uwagi.
Protokoły i porządki posiedzeń opublikowano w rejestrze grup ekspertów zgodnie z zasadą przejrzystości i dobrej administracji.
Projekt aktu został ponadto opublikowany na portalu Komisji „Wyraź swoją opinię” na okres czterech tygodni, podczas których opinia publiczna mogła zgłaszać swoje uwagi. Okres ten dobiegł końca 29 czerwca 2023 r. i w jego trakcie otrzymano dziesięć informacji zwrotnych od obywateli, podmiotów prywatnych i publicznych, w tym stowarzyszeń – otrzymane opinie zostały uwzględnione w stosownych przypadkach oraz w odpowiednim zakresie. W szczególności zmieniono art. 2 ust. 2 lit. c) ppkt (ii), aby usunąć odniesienie do „usług w zakresie ochrony” jako przykładu usług świadczonych przez organy zarządzające portami, w tym obiektami portowymi.
3.ASPEKTY PRAWNE AKTU DELEGOWANEGO
Niniejszy akt delegowany przyjmuje się na podstawie uprawnienia przyznanego Komisji w art. 5 ust. 1 dyrektywy CER, zgodnie z art. 290 TFUE i warunkami określonymi w art. 23 dyrektywy CER.
W niniejszym akcie delegowanym ustanawia się niewyczerpujący wykaz usług kluczowych świadczonych w sektorach i podsektorach, określonych w załączniku do dyrektywy CER, przez podmioty prywatne lub publiczne wymienione w trzeciej kolumnie tego załącznika („Kategorie podmiotów”). Wykaz usług kluczowych należy czytać w ścisłym związku ze wspomnianą trzecią kolumną, ponieważ za usługi kluczowe uznaje się wyłącznie usługi świadczone przez podmioty określone w prawodawstwie wymienionym w odnośnej trzeciej kolumnie. Ponadto wykaz ten należy odczytywać z uwzględnieniem definicji usług kluczowych zawartej w art. 2 ust. 5 dyrektywy CER. Zgodnie z tym artykułem usługi kluczowe oznaczają usługi, które mają decydujące znaczenie dla utrzymania niezbędnych funkcji społecznych, niezbędnej działalności gospodarczej, zdrowia i bezpieczeństwa publicznego lub środowiska.
Wykaz obejmuje następujące sektory, w których świadczone są usługi kluczowe: energia, transport, infrastruktura cyfrowa, bankowość, infrastruktura rynków finansowych, zdrowie, woda pitna, ścieki, administracja publiczna, przestrzeń kosmiczna oraz produkcja, przetwarzanie i dystrybucja żywności.
Jak wspomniano powyżej, państwa członkowskie mogą uzupełnić ten wykaz o dodatkowe usługi kluczowe na szczeblu krajowym. Zgodnie z art. 7 ust. 2 lit. a) dyrektywy CER państwa członkowskie bez zbędnej zwłoki przekazują Komisji wykaz usług kluczowych, jeżeli istnieją dodatkowe usługi kluczowe w porównaniu z wykazem określonym w niniejszym akcie delegowanym.
ROZPORZĄDZENIE DELEGOWANE KOMISJI (UE) …/…
z dnia 25.7.2023 r.
uzupełniające dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2557 przez ustanowienie wykazu usług kluczowych
(Tekst mający znaczenie dla EOG)
KOMISJA EUROPEJSKA,
uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,
uwzględniając dyrektywę Parlamentu Europejskiego i Rady (UE) 2022/2557 z dnia 14 grudnia 2022 r. w sprawie odporności podmiotów krytycznych i uchylającą dyrektywę Rady 2008/114/WE, w szczególności jej art. 5 ust. 1,
a także mając na uwadze, co następuje:
(1)Dyrektywa (UE) 2022/2557 ma na celu zapewnienie, aby usługi kluczowe dla utrzymania niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej były świadczone na rynku wewnętrznym w sposób niezakłócony oraz aby zwiększona została odporność podmiotów krytycznych świadczących takie usługi.
(2)W tym celu i zgodnie z art. 5 ust. 1 dyrektywy (UE) 2022/2557 Komisja jest uprawniona do przyjęcia aktu delegowanego ustanawiającego niewyczerpujący wykaz usług kluczowych w sektorach i podsektorach, określonych w załączniku do tej dyrektywy. Z tego wykazu korzystać będą właściwe organy przy przeprowadzaniu oceny ryzyka, która następnie zostanie wykorzystana przy identyfikacji podmiotów krytycznych.
(3)Wykaz usług kluczowych należy sporządzić w sposób ogólny, aby uwzględnić specyfikę poszczególnych państw członkowskich, na przykład pod względem ich wielkości, gęstości zaludnienia lub położenia geograficznego. Powinien on jednak obejmować wyłącznie usługi kluczowe dotyczące kategorii podmiotów określonych w załączniku do dyrektywy (UE) 2022/2557. W tym celu za usługi kluczowe, w rozumieniu definicji zawartej w art. 2 pkt 5 dyrektywy (UE) 2022/2557, należy uznawać wyłącznie usługi świadczone przez podmioty należące do tych kategorii.
(4)Ogólnie rzecz biorąc, z wykazu usług kluczowych należy korzystać zgodnie ze wszystkimi odpowiednimi przepisami dyrektywy (UE) 2022/2557. Obejmuje to definicję usług kluczowych jako usług, które mają decydujące znaczenie dla utrzymania niezbędnych funkcji społecznych, niezbędnej działalności gospodarczej, zdrowia i bezpieczeństwa publicznego lub środowiska, a także definicję podmiotu administracji publicznej i przepisy dotyczące zakresu stosowania dyrektywy. Zgodnie z art. 1 ust. 6 dyrektywy (UE) 2022/2557 nie dotyczy to jednak podmiotów administracji publicznej, które prowadzą swoją działalność w obszarach bezpieczeństwa narodowego, bezpieczeństwa publicznego, obronności lub egzekwowania prawa, w tym w zakresie prowadzenia postępowań przygotowawczych oraz wykrywania i ścigania przestępstw.
(5)W związku z tym rodzaje działalności gospodarczej wymienione w sposób niewyczerpujący w niniejszym rozporządzeniu delegowanym powinny być uznawane za usługi kluczowe do celów niniejszego rozporządzenia delegowanego i dyrektywy (UE) 2022/2557 wyłącznie wówczas, gdy kwalifikują się jako usługi kluczowe zgodnie z definicją zawartą w tej dyrektywie.
PRZYJMUJE NINIEJSZE ROZPORZĄDZENIE:
Artykuł 1
Przedmiot
Niniejszym rozporządzeniem ustanawia się, zgodnie z art. 5 ust. 1 dyrektywy (UE) 2022/2557, niewyczerpujący wykaz usług kluczowych, w rozumieniu definicji zawartej w art. 2 pkt 5 dyrektywy, świadczonych w sektorach i podsektorach, określonych w załączniku do tej dyrektywy.
Artykuł 2
Niewyczerpujący wykaz usług kluczowych
Niewyczerpujący wykaz usług kluczowych, o którym mowa w art. 1, jest następujący:
1)sektor energii:
a)podsektor energii elektrycznej:
(I)dostawa energii elektrycznej (przedsiębiorstwa energetyczne);
(II)eksploatacja, utrzymanie i rozwój systemu dystrybucji energii elektrycznej (operatorzy systemów dystrybucyjnych);
(III)eksploatacja, utrzymanie i rozwój systemu przesyłowego energii elektrycznej (operatorzy systemów przesyłowych);
(IV)wytwarzanie energii elektrycznej (wytwórcy);
(V)usługi wyznaczonego operatora rynku energii elektrycznej (wyznaczeni operatorzy rynku energii elektrycznej);
(VI)odpowiedź odbioru (uczestnicy rynku energii elektrycznej);
(VII)agregacja energii elektrycznej (uczestnicy rynku energii elektrycznej);
(VIII)magazynowanie energii (uczestnicy rynku energii elektrycznej);
b)podsektor systemu ciepłowniczego i systemu chłodniczego: dostarczanie systemów ciepłowniczych lub systemów chłodniczych (operatorzy systemów ciepłowniczych lub systemów chłodniczych);
c)podsektor ropy naftowej:
(I)przesył ropy naftowej (operatorzy ropociągów);
(II)produkcja ropy naftowej (operatorzy produkcji ropy naftowej);
(III)rafinacja i przetwarzanie ropy naftowej (operatorzy instalacji służących do rafinacji, przetwarzania ropy naftowej);
(IV)magazynowanie ropy naftowej (operatorzy magazynowania ropy naftowej);
(V)zarządzanie zapasami naftowymi, w tym zapasami interwencyjnymi i zapasami specjalnymi (krajowe centrale zapasów);
d)podsektor gazu:
(I)dostawa gazu (przedsiębiorstwa dostarczające gaz);
(II)dystrybucja gazu (operatorzy systemów dystrybucyjnych);
(III)przesył gazu (operatorzy systemów przesyłowych);
(IV)magazynowanie gazu (operatorzy systemów magazynowania);
(V)eksploatacja systemu skroplonego gazu ziemnego (LNG) (operatorzy systemów LNG);
(VI)produkcja gazu ziemnego (przedsiębiorstwa gazowe);
(VII)zakup gazu ziemnego (przedsiębiorstwa gazowe);
(VIII)rafinacja i przetwarzanie gazu ziemnego (operatorzy instalacji służących do rafinacji i przetwarzania gazu ziemnego);
e)podsektor wodoru:
(I)produkcja wodoru (operatorzy produkcji wodoru);
(II)magazynowanie wodoru (operatorzy magazynowania wodoru);
(III)przesył wodoru (operatorzy przesyłu wodoru);
2)sektor transportu:
a)podsektor transportu lotniczego:
(I)usługi w zakresie (pasażerskiego i towarowego) transportu lotniczego do celów handlowych (przewoźnicy lotniczy);
(II)obsługa i utrzymanie portów lotniczych oraz infrastruktury sieci portów lotniczych oraz zarządzanie nimi (organy zarządzające portem lotniczym);
(III)służby kontroli ruchu lotniczego (operatorzy zarządzający ruchem lotniczym);
b)podsektor transportu kolejowego:
(I)usługi w zakresie transportu kolejowego (pasażerskiego i towarowego) (przedsiębiorstwa kolejowe);
(II)eksploatacja i utrzymanie infrastruktury kolejowej, w tym stacji pasażerskich, terminali towarowych, stacji rozrządowych i centrów sterowania ruchem, i zarządzanie nimi (zarządcy infrastruktury);
(III)eksploatacja i utrzymanie obiektów kolejowej infrastruktury usługowej i zarządzanie nimi (operatorzy obiektów infrastruktury usługowej);
(IV)eksploatacja i utrzymanie instalacji i systemów związanych z zarządzaniem i sterowaniem ruchem kolejowym oraz telekomunikacją, które są wykorzystywane do sterowania ruchem, oraz zarządzanie tymi systemami i instalacjami (zarządcy infrastruktury);
c)podsektor transportu wodnego:
(I)usługi w zakresie śródlądowego, morskiego i przybrzeżnego transportu wodnego (pasażerskiego i towarowego) (armatorzy śródlądowego, morskiego i przybrzeżnego wodnego transportu pasażerów i towarów);
(II)eksploatacja i utrzymanie portu oraz obiektów portowych i zarządzanie nimi, wykonywanie prac i operowanie sprzętem znajdującym się w portach, w tym bunkrowanie, przeładunek ładunku, cumowanie, usługi przewozu pasażerskiego, wyładowanie odpadów wytwarzanych przez statki i pozostałości ładunku, usługi w zakresie pilotażu i holowania (organy zarządzające portami oraz podmioty wykonujące prace i operujące sprzętem znajdującym się w portach);
(III)systemy kontroli ruchu statków (operatorzy systemów kontroli ruchu statków);
d)podsektor transportu drogowego:
(I)zarządzanie ruchem drogowym – w tym aspekty związane z planowaniem sieci drogowej, jej kontrolą i zarządzaniem nią – z wyłączeniem zarządzania ruchem lub obsługi inteligentnych systemów transportowych, jeżeli nie stanowią one istotnej części ogólnej działalności podmiotów publicznych (organy administracji drogowej);
(II)usługi związane z inteligentnymi systemami transportowymi (operatorzy inteligentnych systemów transportowych);
e)podsektor transportu publicznego: usługi publiczne w zakresie kolejowego i drogowego transportu pasażerskiego i inne środki transportu szynowego (podmioty świadczące usługi publiczne);
3)sektor bankowości:
(I)przyjmowanie depozytów (instytucje kredytowe);
(II)udzielanie pożyczek i kredytów (instytucje kredytowe);
4)sektor infrastruktury rynków finansowych;
(I)obsługa systemu obrotu (operatorzy systemów obrotu);
(II)obsługa systemów rozliczeniowych (kontrahenci centralni);
5)sektor zdrowia:
(I)świadczenie usług opieki zdrowotnej (świadczeniodawcy);
(II)przeprowadzanie analiz przez laboratorium referencyjne Unii Europejskiej (laboratoria referencyjne UE);
(III)badania i rozwój w zakresie produktów leczniczych (podmioty prowadzące działania badawczo-rozwojowe w zakresie produktów leczniczych);
(IV)produkcja podstawowych produktów farmaceutycznych oraz podstawowych leków i pozostałych wyrobów farmaceutycznych (podmioty produkujące podstawowe produkty farmaceutyczne oraz leki i pozostałe wyroby farmaceutyczne);
(V)produkcja wyrobów medycznych, w odniesieniu do których uznano, że mają one krytyczne znaczenie podczas stanu zagrożenia zdrowia publicznego (podmioty produkujące wyroby medyczne);
(VI)dystrybucja produktów leczniczych (podmioty posiadające pozwolenie na dystrybucję);
6)sektor wody pitnej: dostarczanie i dystrybucja wody pitnej, z wyłączeniem dystrybucji wody przeznaczonej do spożycia przez ludzi, w przypadku gdy usługa ta stanowi inną niż istotna część ogólnej działalności dystrybutorów polegającej na dystrybucji innych produktów i towarów (dostawcy i dystrybutorzy wody przeznaczonej do spożycia przez ludzi);
7)sektor ścieków: zbieranie, oczyszczanie i odprowadzanie ścieków, z wyłączeniem zbierania, odprowadzania lub oczyszczania ścieków komunalnych, bytowych lub przemysłowych, jeżeli usługi te nie stanowią istotnej części ogólnej działalności przedsiębiorstw (przedsiębiorstwa zbierające, odprowadzające lub oczyszczające ścieki komunalne, ścieki bytowe i ścieki przemysłowe);
8)sektor infrastruktury cyfrowej:
(I)dostarczanie i obsługa punktów wymiany ruchu internetowego (dostawcy punktów wymiany ruchu internetowego);
(II)świadczenie usług związanych z systemem nazw domen (DNS), z wyłączeniem usług związanych z głównymi serwerami nazw (dostawcy usług DNS);
(III)obsługa rejestrów nazw domen najwyższego poziomu (TLD) i administrowanie nimi (rejestry TLD);
(IV)świadczenie usług chmurowych (dostawcy usług chmurowych);
(V)świadczenie usług ośrodka przetwarzania danych (dostawcy usług ośrodka przetwarzania danych);
(VI)zapewnianie sieci dostarczania treści/danych/zawartości (dostawcy sieci dostarczania treści/danych/zawartości);
(VII)świadczenie usług zaufania (dostawcy usług zaufania);
(VIII)dostarczanie publicznych sieci łączności elektronicznej (dostawcy sieci łączności elektronicznej);
(IX)dostarczanie publicznych sieci łączności elektronicznej (dostawcy publicznych sieci łączności elektronicznej);
9)sektor administracji publicznej; usług świadczone przez podmioty administracji publicznej – w rozumieniu definicji zawartej w art. 2 pkt 10 dyrektywy (UE) 2022/2557 – w ramach instytucji rządowych na szczeblu centralnym zdefiniowane przez państwa członkowskie zgodnie z prawem krajowym (podmioty administracji publicznej w ramach instytucji rządowych);
10)sektor przestrzeni kosmicznej: obsługa infrastruktury naziemnej, której właścicielami, zarządcami i operatorami są państwa członkowskie lub podmioty prywatne, które wspierają świadczenie usług kosmicznych, z wyjątkiem dostawców publicznych sieci łączności elektronicznej (operatorzy infrastruktury naziemnej);
11)sektor produkcji, przetwarzania i dystrybucji żywności (przedsiębiorstwa spożywcze zajmujące się wyłącznie logistyką i dystrybucją hurtową oraz produkcją przemysłową i przetwórstwem przemysłowym na dużą skalę):
(I)produkcja przemysłowa i przetwórstwo przemysłowe żywności na dużą skalę;
(II)usługi związane z łańcuchem dostaw żywności, w tym jej przechowywanie i logistyka;
(III)dystrybucja hurtowa żywności.
Artykuł 3
Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.
Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.
Sporządzono w Brukseli dnia 25.7.2023 r.
W imieniu Komisji
Przewodnicząca
Ursula VON DER LEYEN