52020PC0829

This document is an excerpt from the EUR-Lex website

EUROPA
EUR-Lex home
EUR-Lex - 52020PC0829 - EN

Help

Search tips

Need more search options? Use the Advanced search

Document 52020PC0829

Help

Proposta de DIRETIVA DO PARLAMENTO EUROPEU E DO CONSELHO relativa à resiliência das entidades críticas

COM/2020/829 final

Date of document:: 16/12/2020
Date of dispatch:: 16/12/2020; transmitido ao Conselho
Date of dispatch:: 16/12/2020; transmitido ao Parlamento
Date of end of validity:: 14/12/2022; adotado por 32022L2557

Author:: Comissão Europeia, Direção-Geral da Migração e dos Assuntos Internos
Responsible body:: HOME
Form:: Proposta de diretiva

Procedure number:

2020/0365/COD

Link

European Parliament - Legislative observatory

Treaty:

Tratado sobre o Funcionamento da União Europeia

Legal basis:

12016E114

Adopted act:

32022L2557 Adopted on: 14/12/2022

Link

Select all documents mentioning this document

Earlier related instruments:

32008L0114 Proposal to amend revogação

Subsequent related instruments:

ESC Opinion 52020AE5749
COR Opinion 52021AR0570 parecer modificativo
EP Opinion 52022AP0394 parecer favorável

Instruments cited:

Related document(s):

52020SC0358 Relation
52020SC0359 Relation

EUROVOC descriptor:

Subject matter:

Política externa e de segurança comum

Directory code:

18.00.00.00 Política Externa e de Segurança Comum

HTML

DOC

PDF

COMISSÃO EUROPEIA

Bruxelas, 16.12.2020

COM(2020) 829 final

2020/0365(COD)

Proposta de

DIRETIVA DO PARLAMENTO EUROPEU E DO CONSELHO

relativa à resiliência das entidades críticas

{SEC(2020) 433 final} - {SWD(2020) 358 final} - {SWD(2020) 359 final}

EXPOSIÇÃO DE MOTIVOS

1.CONTEXTO DA PROPOSTA

·Razões e objetivos da proposta

Para proteger eficazmente os europeus, é necessário que a União Europeia continue a diminuir as vulnerabilidades, nomeadamente nas infraestruturas críticas que são essenciais para o funcionamento das nossas sociedades e economia. A subsistência dos cidadãos europeus e o bom funcionamento do mercado interno dependem de diferentes infraestruturas para a prestação fiável de serviços necessários à manutenção de atividades sociais e económicas críticas. Estes serviços, vitais em circunstâncias normais, revestem-se de uma importância ainda maior à medida que a Europa gere os efeitos da pandemia de COVID-19 e procura recuperar da mesma. Daqui decorre que as entidades que prestam serviços essenciais têm de ser resilientes, isto é, capazes de resistir, absorver, se adaptar e recuperar de incidentes que possam conduzir a perturbações graves, potencialmente transetoriais e transfronteiriças.

A presente proposta visa reforçar a prestação, no mercado interno, de serviços essenciais para a manutenção de funções sociais ou atividades económicas vitais, aumentando a resiliência das entidades críticas que prestam tais serviços. Reflete os recentes apelos à ação por parte do Conselho 1 e do Parlamento Europeu 2 , que instaram a Comissão a rever a atual abordagem para ter melhor em consideração os crescentes desafios que se colocam às entidades críticas e para assegurar um maior alinhamento com a Diretiva Segurança das Redes e da Informação (SRI) 3 . A presente proposta é coerente e estabelece sinergias estreitas com a proposta de Diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União («Diretiva SRI 2»), que substituirá a Diretiva SRI, a fim de abordar a crescente interligação entre o mundo físico e o mundo digital através de um quadro legislativo com medidas eficazes em matéria de resiliência, tanto no que se refere aos aspetos de cibersegurança como aos físicos, tal como estabelecido na Estratégia para a União da Segurança 4 .

Além disso, a proposta reflete abordagens nacionais num número crescente de Estados-Membros, que tendem a enfatizar as interdependências transetoriais e transfronteiriças e baseiam-se cada vez mais no pensamento resiliente, em que a proteção é apenas um elemento a par da prevenção e da atenuação dos riscos, da continuidade das atividades e da recuperação das empresas. Dado que as infraestruturas críticas correm o risco de ser igualmente potenciais alvos de atos terroristas, as medidas destinadas a assegurar a resiliência das entidades críticas contidas na presente proposta contribuem para os objetivos da Agenda da UE em matéria de Luta contra o Terrorismo, recentemente adotada 5 .

Há muito que a União Europeia (UE) reconheceu a importância pan-europeia das infraestruturas críticas. Por exemplo, em 2006 a UE estabeleceu o Programa Europeu de Proteção das Infraestruturas Críticas (PEPIC) 6 e, em 2008, adotou a Diretiva Infraestruturas Críticas Europeias (ICE) 7 . A Diretiva ICE, aplicável apenas aos setores da energia e dos transportes, prevê um procedimento de identificação e designação de ICE cuja perturbação ou destruição teria impactos transfronteiriços significativos em pelo menos dois Estados-Membros. Estabelece igualmente requisitos específicos de proteção dos operadores de ICE e das autoridades competentes dos Estados-Membros. Até à data, foram designadas 94 ICE, dois terços das quais estão localizadas em três Estados-Membros da Europa Central e Oriental. No entanto, o âmbito de ação da UE em matéria de resiliência de infraestruturas críticas estende-se para além destas medidas e inclui medidas setoriais e transetoriais, nomeadamente em matéria de resistência às alterações climáticas, proteção civil, investimento direto estrangeiro e cibersegurança 8 . Entretanto, os próprios Estados-Membros tomaram as suas próprias medidas neste domínio de formas divergentes.

É, portanto, evidente que o atual quadro de proteção de infraestruturas críticas não é suficiente para enfrentar os atuais desafios que se colocam às infraestruturas críticas e às entidades que as exploram. Dada a crescente interligação entre infraestruturas, redes e operadores que prestam serviços essenciais em todo o mercado interno, é necessário alterar fundamentalmente a atual abordagem de proteção de ativos específicos no sentido do reforço da resiliência das entidades críticas que os exploram.

Nos últimos anos, o ambiente operacional em que as entidades críticas operam sofreu alterações significativas. Em primeiro lugar, o cenário de risco é mais complexo do que em 2008, envolvendo atualmente riscos naturais 9 (em muitos casos exacerbados pelas alterações climáticas), ações híbridas patrocinadas pelo Estado, atos de terrorismo, ameaças internas, pandemias e acidentes (tais como acidentes industriais). Em segundo lugar, os operadores vêem-se confrontados com desafios na integração de novas tecnologias como as redes 5G e os veículos não tripulados nas suas operações, ao mesmo tempo que resolvem as vulnerabilidades que tais tecnologias poderiam potencialmente criar. Em terceiro lugar, estas tecnologias e outras tendências tornam os operadores cada vez mais dependentes uns dos outros. As implicações desta situação são claras – uma perturbação que afete a prestação de serviços por um operador num setor tem o potencial de gerar efeitos em cascata na prestação de serviços noutros setores, e também potencialmente noutros Estados-Membros ou em toda a União.

Conforme demonstrado pela avaliação de 2019 da Diretiva ICE 10 , as medidas europeias e nacionais em vigor comportam limitações no que se refere a ajudar os operadores a fazer face aos desafios operacionais que se lhes colocam atualmente e às vulnerabilidades que a sua natureza interdependente implica.

Há várias razões para tal, conforme exposto na avaliação de impacto que apoiou o desenvolvimento da proposta. Em primeiro lugar, os operadores não estão plenamente conscientes ou não compreendem plenamente as implicações do cenário de risco dinâmico em que operam. Em segundo lugar, os esforços de resiliência divergem significativamente entre Estados-Membros e setores. Em terceiro lugar, tipos semelhantes de entidades são reconhecidos como sendo críticos por alguns Estados-Membros, mas não por outros, o que significa que entidades comparáveis recebem graus variáveis de apoio oficial ao reforço das capacidades (sob a forma, por exemplo, de orientações, formação e organização de exercícios), dependendo do local onde operam na União, e estão sujeitas a requisitos diferentes. O facto de os requisitos e o apoio governamental aos operadores variar de um Estado-Membro para outro cria obstáculos aos operadores quando atuam além-fronteiras, nomeadamente para as entidades críticas que operam em Estados-Membros com quadros mais rigorosos. Dada a natureza cada vez mais interligada da prestação de serviços e setores nos Estados-Membros e em toda a UE, um nível insuficiente de resiliência por parte de um operador representa um risco grave para entidades noutros pontos do mercado interno.

Para além de comprometerem o bom funcionamento do mercado interno, as perturbações, especialmente aquelas com implicações transfronteiriças e potencialmente pan-europeias, têm possivelmente graves implicações negativas para os cidadãos, as empresas, os governos e o ambiente. De facto, a nível individual, as perturbações podem afetar a capacidade dos europeus de circular livremente, trabalhar e recorrer a serviços públicos essenciais como os cuidados de saúde. Em muitos casos, estes e outros serviços essenciais que estão na base da vida quotidiana são prestados por redes estreitamente interligadas de empresas europeias; uma perturbação numa empresa num setor pode ter efeitos em cascata em muitos outros setores económicos. Por último, perturbações como, por exemplo, cortes de energia em grande escala e acidentes de viação graves podem servir para comprometer a proteção e a segurança pública, provocando incerteza e minando a confiança em entidades críticas, bem como nas autoridades responsáveis pela sua supervisão e por manter a população segura e protegida.

·Coerência com as disposições existentes da mesma política setorial

A presente proposta reflete as prioridades da Estratégia da UE para a União da Segurança 11 , que apela a uma abordagem revista da resiliência das infraestruturas críticas que reflita melhor o cenário de risco atual e futuro previsto, as interdependências cada vez mais estreitas entre os diferentes setores e também as relações cada vez mais interdependentes entre infraestruturas físicas e digitais.

A proposta de diretiva substitui a Diretiva ICE, tendo em conta e baseando-se noutros instrumentos existentes e previstos. A proposta de diretiva constitui uma alteração considerável em relação à Diretiva ICE, que se aplica apenas aos setores da energia e dos transportes, centra-se unicamente em medidas de proteção e prevê um procedimento de identificação e designação de ICE através do diálogo transfronteiriço. Em primeiro lugar, a proposta de diretiva teria um âmbito setorial muito mais vasto, abrangendo dez setores, nomeadamente os da energia, dos transportes, dos serviços bancários, das infraestruturas do mercado financeiro, da saúde, da água potável, das águas residuais, das infraestruturas digitais, da administração pública e do espaço. Em segundo lugar, a diretiva prevê um procedimento para os Estados-Membros identificarem entidades críticas utilizando critérios comuns com base numa avaliação nacional de riscos. Em terceiro lugar, a proposta estabelece obrigações para os Estados-Membros e as entidades críticas por eles identificadas, incluindo aquelas com especial relevância europeia, isto é, entidades críticas que prestam serviços essenciais a ou em mais de um terço dos Estados-Membros que estariam sujeitas a supervisão específica.

Quando adequado, a Comissão prestará apoio às autoridades competentes e às entidades críticas no cumprimento das obrigações que lhes incumbem por força da diretiva. Além disso, o Grupo para a Resiliência das Entidades Críticas, que é um grupo de peritos da Comissão sujeito ao quadro horizontal aplicável a tais grupos, prestaria aconselhamento à Comissão e promoveria a cooperação estratégica e o intercâmbio de informações. Por último, uma vez que as interdependências não se detêm nas fronteiras externas da UE, é igualmente necessária uma colaboração com os países parceiros. A proposta de diretiva prevê a possibilidade de tal cooperação, por exemplo o domínio das avaliações de riscos.

Coerência com outras políticas da União

A proposta de diretiva tem ligações óbvias e é coerente com outras iniciativas setoriais e transetoriais da UE, nomeadamente em matéria de resistência às alterações climáticas, proteção civil, o investimento direto estrangeiro (IDE), cibersegurança e acervo em matéria de serviços financeiros. Em particular, a proposta está estreitamente alinhada e estabelece sinergias estreitas com a Diretiva SRI 2 proposta, que visa reforçar a resiliência das tecnologias da informação e da comunicação (TIC) face a todos os riscos por parte das «entidades essenciais» e das «entidades importantes» que respeitam limiares específicos num grande número de setores. A presente proposta de diretiva relativa à resiliência das entidades críticas visa assegurar que as autoridades competentes designadas ao abrigo desta diretiva e aquelas designadas ao abrigo da Diretiva SRI 2 proposta adotam medidas complementares e trocam as informações necessárias sobre ciber-resiliência e resiliência a outros níveis, e que as entidades particularmente críticas nos setores considerados «essenciais» de acordo com a Diretiva SRI 2 proposta estão também sujeitas a obrigações mais gerais destinadas a reforçar a resiliência para fazer face a riscos não relacionados com a cibersegurança. A segurança física das redes e dos sistemas de informação das entidades do setor das infraestruturas digitais é abordada de forma abrangente na Diretiva SRI 2 proposta, como parte das obrigações de gestão dos riscos de cibersegurança e de notificação que incumbem a essas entidades. Além disso, a proposta baseia-se no acervo existente em matéria de serviços financeiros, que estabelece requisitos abrangentes a respeitar pelas entidades financeiras para gerir os riscos operacionais e assegurar a continuidade das atividades. Por conseguinte, as entidades pertencentes aos setores das infraestruturas digitais, dos serviços bancários e das infraestruturas financeiras devem ser tratadas como entidades equivalentes a entidades críticas nos termos da presente diretiva, para efeitos das obrigações e atividades dos Estados-Membros, embora a presente diretiva não imponha obrigações adicionais a essas entidades.

A proposta tem igualmente em conta outras iniciativas setoriais e transetoriais, por exemplo, em matéria de proteção civil, redução do risco de catástrofes e adaptação às alterações climáticas. Além disso, a proposta reconhece que, em determinados casos, a legislação da UE em vigor impõe às entidades a obrigação de enfrentarem determinados riscos através de medidas de proteção. Nesses casos, por exemplo, em matéria de segurança aérea ou marítima, as entidades críticas devem descrever essas medidas nos seus planos de resiliência. Adicionalmente, a proposta de diretiva não prejudica a aplicação das regras em matéria de concorrência estabelecidas no Tratado sobre o Funcionamento da União Europeia (TFUE).

2.BASE JURÍDICA, SUBSIDIARIEDADE E PROPORCIONALIDADE

·Base jurídica

Ao contrário da Diretiva 2008/114/CE, que se baseou no artigo 308.º do Tratado que institui a Comunidade Europeia (correspondente ao atual artigo 352.º do Tratado sobre o Funcionamento da União Europeia), a presente proposta de diretiva baseia-se no artigo 114.º do TFUE, que envolve a aproximação das legislações para a melhoria do mercado interno. Tal justifica-se pela alteração do objetivo, do âmbito de aplicação e do conteúdo da diretiva, pelo aumento das interdependências e pela necessidade de estabelecer condições de concorrência mais equitativas para as entidades críticas. Em vez de proteger um conjunto limitado de infraestruturas físicas cuja perturbação ou destruição teria um impacto transfronteiriço significativo, o objetivo consiste em aumentar a resiliência das entidades nos Estados-Membros que são críticas para a prestação de serviços essenciais para a manutenção de funções vitais para a sociedade ou de atividades económicas no mercado interno em vários setores subjacentes ao funcionamento de muitos outros setores da economia da União. Devido ao aumento das interdependências transfronteiriças entre os serviços prestados utilizando infraestruturas críticas nesses setores, uma perturbação num Estado-Membro pode ter implicações noutros Estados-Membros ou na União no seu conjunto.

O atual quadro jurídico, tal como estabelecido a nível dos Estados-Membros, que regula os serviços em questão implica obrigações substancialmente divergentes, que são suscetíveis de aumentar. As regras nacionais divergentes a que as entidades críticas estão sujeitas não só comprometem a prestação fiável de serviços em todo o mercado interno, como também correm o risco de afetar negativamente a concorrência. Tal deve-se principalmente ao facto de tipos semelhantes de entidades que prestam tipos semelhantes de serviços serem consideradas críticas em alguns Estados-Membros, mas não noutros. Tal significa que as entidades que exercem as suas atividades, ou que pretendem exercê-las, em mais do que um Estado-Membro estão sujeitas a obrigações divergentes quando atuam no mercado interno e que as entidades ativas em Estados-Membros com requisitos mais rigorosos podem enfrentar obstáculos em comparação com as que exercem as suas atividades em Estados-Membros com enquadramentos mais flexíveis. Estas divergências são de tal ordem que têm um efeito negativo direto no funcionamento do mercado interno.

·Subsidiariedade

Um quadro legislativo comum a nível europeu neste domínio justifica-se dada a natureza interdependente e transfronteiriça das relações entre as operações das infraestruturas críticas e as suas realizações, isto é, serviços essenciais. Com efeito, um operador situado num Estado-Membro pode prestar serviços em vários outros Estados-Membros ou em toda a UE através de redes estreitamente interligadas. Daqui decorre que uma perturbação que afete este operador pode ter efeitos profundos noutros setores e para além das fronteiras nacionais. As potenciais implicações pan-europeias das perturbações exigem uma ação a nível da UE. Além disso, regras nacionais divergentes resultam num efeito negativo direto sobre o funcionamento do mercado interno. Tal como demonstrado pela avaliação de impacto, muitos Estados-Membros e partes interessadas da indústria consideram necessária a adoção de uma abordagem europeia mais comum e coordenada destinada a assegurar que as entidades sejam suficientemente resilientes face a diferentes riscos que, embora algo diferentes de um Estado-Membro para outro, criam muitos desafios comuns que não podem ser enfrentados através de medidas nacionais ou pelos diferentes operadores de forma isolada.

·Proporcionalidade

A proposta é proporcional em relação ao objetivo global declarado da iniciativa. Embora as obrigações que incumbem aos Estados-Membros e às entidades críticas possam, em determinados casos, implicar alguns encargos administrativos adicionais, por exemplo, quando os Estados-Membros necessitam de desenvolver uma estratégia nacional ou quando as entidades críticas têm de aplicar determinadas medidas técnicas e organizacionais, prevê-se que estas sejam, em geral, de natureza limitada. Neste contexto, note-se que muitas entidades já tomaram algumas medidas de segurança para proteger as suas infraestruturas e assegurar a continuidade das atividades.

Em alguns casos, no entanto, o cumprimento da diretiva pode exigir investimentos mais substanciais. Mesmo nesses casos, porém, estes investimentos justificam-se na medida em que contribuiriam para uma maior resiliência sistémica e ao nível do operador, bem como para uma abordagem mais coerente e para uma maior capacidade de prestar serviços fiáveis em toda a União. Além disso, prevê-se que qualquer encargo adicional resultante da diretiva seja largamente ultrapassado pelos custos associados à necessidade de gerir e recuperar de grandes perturbações que ponham em risco a prestação ininterrupta de serviços relacionados com funções vitais para a sociedade e o bem-estar económico dos operadores, dos Estados-Membros considerados individualmente, da União e dos seus cidadãos em geral.

·Escolha do instrumento

A proposta assume a forma de uma diretiva destinada a assegurar uma abordagem mais comum da resiliência das entidades críticas em vários setores em toda a União. A proposta estabelece obrigações específicas para as autoridades competentes, incumbindo-as de identificar as entidades críticas com base em critérios comuns e nos resultados da avaliação de riscos. Através de uma diretiva, é possível assegurar que os Estados-Membros apliquem uma abordagem uniforme na identificação das entidades críticas, tendo simultaneamente em conta as especificidades a nível nacional, incluindo os níveis variáveis de exposição ao risco e as interdependências entre setores e além-fronteiras.

3.RESULTADOS DAS AVALIAÇÕES EX POST, DAS CONSULTAS DAS PARTES INTERESSADAS E DAS AVALIAÇÕES DE IMPACTO

·Avaliações ex post/balanços de qualidade da legislação existente

Em 2019, a Diretiva Infraestruturas Críticas Europeias (ICE) foi objeto de uma avaliação destinada a avaliar a aplicação da diretiva em termos da sua pertinência, coerência, eficácia, eficiência, valor acrescentado da UE e sustentabilidade 12 .

A avaliação constatou que o contexto sofreu alterações consideráveis desde a entrada em vigor da diretiva. Tendo em conta estas alterações, considerou-se que a diretiva era apenas parcialmente pertinente. Embora a avaliação tenha concluído que a diretiva era, de um modo geral, coerente com a legislação setorial europeia pertinente e com a política a nível internacional, considerou-se que a mesma era apenas parcialmente eficaz devido à generalidade de algumas das suas disposições. Considerou-se que a diretiva gerou valor acrescentado da UE na medida em que alcançou resultados (isto é, um quadro comum para a proteção das ICE) que nem as iniciativas nacionais nem outras iniciativas europeias poderiam, de outra forma, ter alcançado sem dar início a processos muito mais morosos, dispendiosos e menos bem definidos. Dito isto, considerou-se que determinadas disposições tiveram um valor acrescentado limitado para muitos Estados-Membros.

No que diz respeito à sustentabilidade, esperava-se que determinados efeitos gerados pela diretiva (por exemplo, debates transfronteiriços, requisitos em matéria de notificação) cessassem se a diretiva fosse revogada e não substituída. A avaliação concluiu que existe um apoio contínuo por parte dos Estados-Membros à participação da UE nos esforços para reforçar a resiliência das infraestruturas críticas, e que existe alguma preocupação de que a revogação pura e simples da diretiva possa ter efeitos negativos neste domínio, especificamente na proteção das ICE designadas. Os Estados-Membros fizeram questão de assegurar que a participação da União neste domínio continuasse a respeitar o princípio da subsidiariedade, apoiasse medidas a nível nacional e facilitasse a cooperação transfronteiriça, nomeadamente com países terceiros.

·Consultas das partes interessadas

Aquando da elaboração da presente proposta, a Comissão consultou uma grande variedade de partes interessadas, nomeadamente: instituições e agências da União Europeia; organizações internacionais; autoridades dos Estados-Membros; entidades privadas, incluindo operadores individuais e associações industriais nacionais e europeias que representam operadores em muitos setores diferentes; peritos e redes de peritos, incluindo a rede europeia de referência para a proteção das infraestruturas críticas (ERNCIP); membros do meio académico; organizações não governamentais; e membros do público.

As partes interessadas foram consultadas através de diversos meios, nomeadamente: uma oportunidade para obter reações do público relativamente à avaliação de impacto inicial da presente proposta; seminários consultivos; questionários específicos; intercâmbios bilaterais; e uma consulta pública (para apoiar a avaliação de 2019 da Diretiva ICE). Além disso, o contratante externo responsável pelo estudo de viabilidade que apoiou a elaboração da avaliação de impacto envolveu consultas com muitas partes interessadas através, por exemplo, de um inquérito em linha, de um questionário escrito, de entrevistas individuais e de «visitas no terreno» virtuais em dez Estados-Membros.

Estas consultas permitiram à Comissão explorar a eficácia, a eficiência, a pertinência, a coerência e o valor acrescentado da UE do quadro existente para a resiliência das infraestruturas críticas (isto é, a situação inicial), os problemas gerados pelo mesmo, diferentes opções estratégicas que poderiam ser tidas em consideração na abordagem destes problemas e os impactos específicos que se pode esperar que estas opções venham a ter. De um modo geral, as consultas apontaram para uma série de domínios em que se verificou um consenso geral entre as partes interessadas, nomeadamente no sentido de que o atual quadro da UE em matéria de resiliência das infraestruturas críticas deve ser renovado à luz das crescentes interdependências transetoriais e de um cenário de ameaças em mutação.

Especificamente, as partes interessadas concordaram, de um modo geral, que qualquer nova abordagem deve consistir numa combinação de medidas vinculativas e não vinculativas, centrar-se na resiliência em vez de na proteção centrada nos ativos e proporcionar uma ligação mais óbvia entre as medidas destinadas a reforçar a ciber-resiliência e a resiliência a outros níveis. Além disso, apoiaram uma abordagem que tenha em conta as disposições da legislação setorial em vigor e abranja pelo menos os setores abrangidos pela atual Diretiva SRI, bem como obrigações mais uniformes para as entidades críticas a nível nacional, as quais, por sua vez, devem poder exercer um controlo de segurança suficiente do pessoal com acesso a instalações/informações sensíveis. Além disso, as partes interessadas sugeriram que qualquer nova abordagem deve criar oportunidades para os Estados-Membros levarem a cabo uma supervisão reforçada das atividades das entidades críticas, mas também assegurar que as entidades críticas de importância pan-europeia sejam identificadas e suficientemente resilientes. Por último, defenderam um maior financiamento e apoio da UE, por exemplo, à aplicação de qualquer novo instrumento, ao reforço das capacidades a nível nacional, à coordenação/cooperação público-privada e à partilha de boas práticas, conhecimentos e competências especializadas a diferentes níveis. A proposta em apreço contém disposições que geralmente correspondem às opiniões e preferências expressas pelas partes interessadas.

·Recolha e utilização de conhecimentos especializados

Tal como mencionado na secção anterior, a Comissão recorreu a peritos externos no contexto das consultas efetuadas, por exemplo, junto de peritos independentes, redes de peritos e membros do meio académico para elaborar a presente proposta.

·Avaliação de impacto

A avaliação de impacto que apoiou a elaboração desta iniciativa explorou diferentes opções estratégicas para abordar os problemas gerais e específicos descritos anteriormente. Para além da situação inicial, que não implicaria qualquer alteração em relação à situação atual, estas opções incluíam:

–Opção 1: A manutenção da Diretiva ICE existente, acompanhada de medidas voluntárias no contexto do atual Programa Europeu de Proteção das Infraestruturas Críticas (PEPIC);

–Opção 2: A revisão da Diretiva ICE existente para abranger os mesmos setores que a Diretiva SRI existente e para se concentrar mais na resiliência. A nova Diretiva ICE implicaria alterações no que se refere ao atual processo de designação de ICE transfronteiriças, incluindo novos critérios de designação, e novos requisitos para os Estados-Membros e operadores;

–Opção 3: A substituição da Diretiva ICE existente por um novo instrumento destinado a reforçar a resiliência das entidades críticas nos setores considerados essenciais pela Diretiva SRI 2 proposta. Esta opção estabeleceria requisitos mínimos para os Estados-Membros e as entidades críticas identificadas no âmbito do novo quadro. Prever-se-ia um procedimento de identificação de entidades críticas que prestam serviços a ou em vários, se não todos os, Estados-Membros da UE. A aplicação da legislação seria apoiada por um polo de conhecimentos específico no seio da Comissão.

–Opção 4: A substituição da Diretiva ICE existente por um novo instrumento destinado a reforçar a resiliência das entidades críticas nos setores considerados essenciais pela Diretiva SRI 2 proposta, bem como um papel mais substancial da Comissão na identificação das entidades críticas e a criação de uma agência da UE específica responsável pela resiliência das infraestruturas críticas (que assumiria as funções e responsabilidades atribuídas ao polo de conhecimentos proposto na opção anterior).

Tendo em conta os vários impactos económicos, sociais e ambientais associados a cada uma das opções, mas também o seu valor em termos de eficácia, eficiência e proporcionalidade, a avaliação de impacto concluiu que a opção preferida era a opção 3. Embora as opções 1 e 2 não produzissem as alterações necessárias para resolver o problema, a opção 3 resultaria num quadro de resiliência harmonizado e mais abrangente que estaria igualmente alinhado com a legislação da União em vigor em domínios conexos e teria em consideração a mesma. A opção 3 foi igualmente considerada proporcional e politicamente viável, uma vez que se alinha com as declarações do Conselho e do Parlamento sobre a necessidade de ação a nível da União neste domínio. Além disso, esta opção foi considerada suscetível de assegurar flexibilidade e proporcionar um quadro duradouro que permitiria às entidades críticas responder a diferentes riscos ao longo do tempo. Por último, a avaliação de impacto concluiu que esta opção seria complementar dos quadros e instrumentos setoriais e transetoriais existentes. Por exemplo, esta opção permite que se façam concessões quando as entidades designadas cumpram determinadas obrigações contidas neste novo instrumento através de obrigações contidas em instrumentos existentes, caso em que não seriam obrigadas a tomar outras medidas. Por outro lado, esperar-se-ia que tomassem determinadas medidas quando os instrumentos existentes não abrangem a questão ou estão limitados apenas a determinados tipos de riscos ou medidas.

A avaliação de impacto foi objeto de controlo pelo Comité de Controlo da Regulamentação, que emitiu um parecer positivo com reservas em 20 de novembro de 2020. O Comité apontou uma série de elementos da avaliação de impacto que devem ser abordados. Especificamente, o Comité solicitou mais esclarecimentos sobre os riscos relacionados com infraestruturas críticas e a dimensão transfronteiriça, a ligação entre a iniciativa e a revisão em curso da Diretiva SRI, e a relação entre a opção estratégica preferida e outros atos legislativos setoriais. Além disso, o Comité considerou necessária uma justificação suplementar para o alargamento do âmbito de aplicação setorial do instrumento e solicitou informações adicionais relativas aos critérios de seleção das entidades críticas. Por último, no que diz respeito à proporcionalidade, o Comité procurou obter esclarecimentos adicionais sobre a forma como a opção preferida conduziria a melhores respostas nacionais aos riscos transfronteiriços. Estas e outras observações mais pormenorizadas fornecidas pelo Comité foram abordadas na versão final da avaliação de impacto que, por exemplo, descreve mais pormenorizadamente os riscos transfronteiriços para as infraestruturas críticas e a relação entre a presente proposta e a proposta de Diretiva SRI 2. As observações do Comité foram igualmente tidas em conta na proposta de diretiva que se segue.

·Adequação da regulamentação e simplificação

Em consonância com o programa para a adequação e a eficácia da regulamentação (REFIT) da Comissão, todas as iniciativas destinadas a alterar a legislação da UE em vigor devem procurar simplificar e concretizar os objetivos políticos declarados de forma mais eficiente. As conclusões da avaliação de impacto sugerem que a proposta deve reduzir o encargo global que recai sobre os Estados-Membros. Um alinhamento mais estreito com a abordagem orientada para os serviços da atual Diretiva SRI é suscetível de conduzir a uma redução dos custos de conformidade ao longo do tempo. Por exemplo, o oneroso processo de identificação e designação transfronteiriço contido na atual Diretiva ICE seria substituído por um procedimento baseado no risco a nível nacional destinado apenas a identificar entidades críticas sujeitas a várias obrigações. Com base na avaliação de riscos, os Estados-Membros identificariam entidades críticas, a maioria das quais já são operadores designados de serviços essenciais nos termos da atual Diretiva SRI.

Além disso, ao tomarem medidas para aumentar a sua resiliência, as entidades críticas terão menos probabilidades de sofrer perturbações. Assim, a probabilidade de incidentes que provoquem perturbações que afetem negativamente a prestação de serviços essenciais em cada Estado-Membro e em toda a Europa seria reduzida. Este facto, aliado aos efeitos positivos resultantes da harmonização, a nível da União, das regras nacionais divergentes, teria um impacto positivo nas empresas, nomeadamente nas micro, pequenas e médias empresas, na saúde global da economia da União e no funcionamento fiável do mercado interno.

·Direitos fundamentais

A legislação proposta destina-se a reforçar a resiliência das entidades críticas que prestam várias formas de serviços essenciais, eliminando simultaneamente os obstáculos regulamentares à sua capacidade de prestar os seus serviços em toda a União. Ao fazê-lo, o risco global de perturbações, tanto a nível social como individual, seria reduzido, bem como os encargos. Tal contribuiria para assegurar um nível mais elevado de segurança pública, afetando simultaneamente de forma positiva a liberdade de as empresas exercerem as suas atividades, bem como muitos outros operadores económicos dependentes da prestação de serviços essenciais, beneficiando, em última análise, os consumidores. Normalmente, as disposições da proposta destinadas a assegurar uma gestão eficaz da segurança dos funcionários envolverão o tratamento de dados pessoais. Tal justifica-se pela necessidade de efetuar verificações dos antecedentes de categorias específicas de pessoal. Além disso, qualquer tratamento de dados pessoais estará sempre sujeito ao cumprimento das regras da União em matéria de proteção de dados pessoais, incluindo o Regulamento Geral sobre a Proteção de Dados 13 .

4.INCIDÊNCIA ORÇAMENTAL

A proposta de diretiva tem implicações para o orçamento da União. Estima-se que os recursos financeiros totais necessários para apoiar a aplicação da presente proposta ascendam a 42,9 milhões de EUR para o período 2021-2027, dos quais 5,1 milhões de EUR para despesas administrativas. Estes custos podem ser repartidos da seguinte forma:

–atividades de apoio da Comissão incluindo recrutamento, projetos, estudos e atividades de apoio,

–missões consultivas organizadas pela Comissão,

–reuniões regulares do grupo para a resiliência das entidades críticas, do comité de comitologia e outras reuniões.

Estão disponíveis informações mais pormenorizadas na ficha financeira legislativa que acompanha a presente proposta.

5.OUTROS ELEMENTOS

·Planos de execução e acompanhamento, avaliação e prestação de informações

A aplicação da proposta de diretiva será revista quatro anos e meio após a sua entrada em vigor, após o que a Comissão apresentará um relatório ao Parlamento Europeu e ao Conselho. Este relatório avaliará em que medida os Estados-Membros tomaram as medidas necessárias para dar cumprimento à diretiva. A Comissão apresentará ao Parlamento Europeu e ao Conselho um relatório de avaliação do impacto e do valor acrescentado da diretiva até seis anos após a entrada em vigor da diretiva.

·Explicação pormenorizada das disposições específicas da proposta

Objeto, âmbito de aplicação e definições (artigos 1.º a 2.º)

O artigo 1.º define o objeto e o âmbito de aplicação da diretiva, que estabelece obrigações para os Estados-Membros no sentido de tomarem determinadas medidas destinadas a assegurar a prestação, no mercado interno, de serviços essenciais para a manutenção de funções sociais ou atividades económicas vitais, em particular a obrigação de identificar entidades críticas e permitir-lhes cumprir obrigações específicas destinadas a reforçar a sua resiliência e melhorar a sua capacidade de prestar esses serviços no mercado interno. A diretiva estabelece igualmente regras em matéria de supervisão e execução de entidades críticas e de supervisão específica de entidades críticas consideradas de especial relevância europeia. O artigo 1.º explica igualmente a relação entre a diretiva e outros atos pertinentes do direito da União, bem como as condições em que as informações confidenciais nos termos das regras da União e nacionais serão trocadas com a Comissão e com outras autoridades pertinentes. O artigo 2.º apresenta uma lista das definições aplicáveis.

Quadros nacionais em matéria de resiliência das entidades críticas (artigos 3.º a 9.º)

O artigo 3.º estabelece que os Estados-Membros devem adotar uma estratégia para reforçar a resiliência das entidades críticas, descreve os elementos que esta deve conter, explica que a estratégia em causa deve ser atualizada regularmente e sempre que necessário e estipula que os Estados-Membros devem comunicar as suas estratégias e quaisquer atualizações das suas estratégias à Comissão. O artigo 4.º estabelece que as autoridades competentes devem elaborar uma lista de serviços essenciais e efetuar regularmente uma avaliação de todos os riscos pertinentes que possam afetar a prestação desses serviços essenciais, com vista a identificar as entidades críticas. Esta avaliação deve ter em conta as avaliações de riscos efetuadas em conformidade com outros atos pertinentes do direito da União, os riscos decorrentes das dependências entre setores específicos e as informações disponíveis sobre incidentes. Os Estados-Membros devem assegurar que os elementos pertinentes da avaliação de riscos sejam disponibilizados às entidades críticas e que os dados sobre os tipos de riscos identificados e os resultados das suas avaliações de riscos sejam disponibilizados regularmente à Comissão.

O artigo 5.º estabelece que os Estados-Membros devem identificar as entidades críticas em setores e subsetores específicos. O processo de identificação deve ter em conta os resultados da avaliação de riscos e aplicar critérios específicos. Os Estados-Membros devem elaborar uma lista de entidades críticas, que deve ser atualizada sempre que necessário e regularmente. As entidades críticas devem ser devidamente notificadas da sua identificação e das obrigações que a mesma implica. As autoridades competentes responsáveis pela aplicação da diretiva devem notificar as autoridades competentes responsáveis pela aplicação da Diretiva SRI 2 da identificação das entidades críticas. Sempre que uma entidade tenha sido identificada como crítica por dois ou mais Estados-Membros, os Estados-Membros devem consultar-se mutuamente com vista a reduzir os encargos que recaem sobre a entidade crítica. Sempre que as entidades críticas prestem serviços a ou em mais de um terço dos Estados-Membros, o Estado-Membro em causa deve notificar a Comissão das identidades dessas entidades críticas.

O artigo 6.º define a expressão «efeito perturbador importante» tal como referido no artigo 5.º, n.º 2, e exige que os Estados-Membros apresentem à Comissão certas formas de informação relativas às entidades críticas por eles identificadas e à forma como as mesmas foram identificadas. O artigo 6.º habilita igualmente a Comissão, após consulta do Grupo para a Resiliência das Entidades Críticas, a adotar orientações pertinentes.

O artigo 7.º estabelece que os Estados-Membros devem identificar entidades nos setores dos serviços bancários, das infraestruturas do mercado financeiro e das infraestruturas digitais que devem ser tratadas como equivalentes a entidades críticas apenas para efeitos do capítulo II. Estas entidades devem ser notificadas da sua identificação.

O artigo 8.º estipula que cada Estado-Membro deve designar e assegurar que sejam disponibilizados recursos adequados a uma ou mais autoridades competentes responsáveis pela correta aplicação da diretiva a nível nacional, bem como um ponto de contacto único encarregado de assegurar a cooperação transfronteiriça. O ponto de contacto único deve apresentar regularmente à Comissão um relatório de síntese sobre as notificações de incidentes. O artigo 8.º exige que as autoridades competentes responsáveis pela aplicação da diretiva cooperem com outras autoridades nacionais pertinentes, nomeadamente com as autoridades competentes designadas nos termos da Diretiva SRI 2. O artigo 9.º estipula que os Estados-Membros devem prestar apoio às entidades críticas no sentido de assegurar a sua resiliência e facilitar a cooperação e o intercâmbio voluntário de informações e de boas práticas entre as autoridades competentes e as entidades críticas.

Resiliência das entidades críticas (artigos 10.º a 13.º)

O artigo 10.º estabelece que as entidades críticas devem avaliar regularmente todos os riscos pertinentes com base em avaliações de riscos nacionais e noutras fontes de informação pertinentes. O artigo 11.º estipula que as entidades críticas devem tomar medidas técnicas e organizacionais adequadas e proporcionadas para assegurar a sua resiliência, e devem assegurar que essas medidas sejam descritas num plano de resiliência ou documento(s) equivalente(s). Os Estados-Membros podem solicitar à Comissão que organize missões consultivas para aconselhar as entidades críticas no cumprimento das suas obrigações. O artigo 11.º habilita igualmente a Comissão, quando necessário, a adotar atos delegados e de execução.

O artigo 12.º estabelece que os Estados-Membros devem assegurar que as entidades críticas possam apresentar pedidos de verificação de antecedentes de pessoas que se enquadram ou que possam vir a enquadrar-se em determinadas categorias específicas de pessoal, e que estes pedidos sejam avaliados rapidamente pelas autoridades responsáveis pela realização de tais verificações de antecedentes. O artigo descreve a finalidade, o âmbito e o conteúdo das verificações de antecedentes, devendo todos estes elementos estar em conformidade com o Regulamento Geral sobre a Proteção de Dados.

O artigo 13.º estabelece que os Estados-Membros devem assegurar que as entidades críticas notifiquem a autoridade competente de incidentes que perturbem significativamente ou que sejam suscetíveis de perturbar significativamente as suas operações. Por sua vez, as autoridades competentes devem apresentar à entidade crítica notificadora as informações de acompanhamento pertinentes. Através do ponto de contacto único, as autoridades competentes devem igualmente informar os pontos de contacto únicos de outros Estados-Membros afetados, caso o incidente tenha, ou possa vir a ter, impactos transfronteiriços em um ou vários Estados-Membros.

Supervisão específica das entidades críticas de especial relevância europeia (artigos 14.º a 15.º)

O artigo 14.º define entidades críticas de especial relevância europeia como entidades que foram identificadas como entidades críticas e que prestam serviços essenciais a ou em mais de um terço dos Estados-Membros. Ao receber a notificação nos termos do artigo 5.º, n.º 6, a Comissão deve informar a entidade em causa de que é considerada uma entidade crítica de especial relevância europeia, das obrigações que tal implica e da data a partir da qual essas obrigações começam a ser aplicáveis. O artigo 15.º descreve as disposições específicas em matéria de supervisão aplicáveis às entidades críticas de especial relevância europeia, que incluem, mediante pedido, que os Estados-Membros de acolhimento forneçam à Comissão e ao Grupo para a Resiliência das Entidades Críticas informações relativas à avaliação de riscos nos termos do artigo 10.º e às medidas tomadas em conformidade com o artigo 11.º, bem como a quaisquer medidas de supervisão ou de execução coerciva. O artigo 15.º estipula igualmente que a Comissão pode organizar missões consultivas para avaliar as medidas adotadas por entidades críticas específicas de especial relevância europeia. Com base numa análise das conclusões da missão consultiva pelo Grupo para a Resiliência das Entidades Críticas, a Comissão deve comunicar a sua opinião ao Estado-Membro em que se situa a infraestrutura da entidade sobre a questão de saber se essa entidade cumpre as suas obrigações e, se for caso disso, as medidas que poderão ser tomadas para melhorar a resiliência da entidade. O artigo descreve a composição, a organização e o financiamento das missões consultivas. Estipula igualmente que a Comissão deve adotar um ato de execução que estabeleça regras sobre as disposições processuais relativas à realização e aos relatórios das missões consultivas.

Cooperação e apresentação de relatórios (artigos 16.º a 17.º)

O artigo 16.º descreve o papel e as funções do Grupo para a Resiliência das Entidades Críticas, que deve ser composto por representantes dos Estados-Membros e da Comissão. O grupo deve apoiar a Comissão e facilitar a cooperação estratégica e o intercâmbio de informações. O artigo explica que a Comissão pode adotar atos de execução que estabeleçam as disposições processuais necessárias para o funcionamento do Grupo para a Resiliência das Entidades Críticas. O artigo 17.º estipula que a Comissão deve apoiar, quando adequado, os Estados-Membros e as entidades críticas no cumprimento das obrigações que lhes incumbem nos termos da diretiva, e deve complementar as atividades dos Estados-Membros referidas no artigo 9.º.

Supervisão e execução coerciva (artigos 18.º a 19.º)

O artigo 18.º estabelece que os Estados-Membros têm determinadas competências, meios e responsabilidades no que se refere a assegurar a aplicação e execução da diretiva. Os Estados-Membros devem assegurar que, quando uma autoridade competente avaliar a conformidade de uma entidade crítica, informe as autoridades competentes do Estado-Membro em causa designadas nos termos da Diretiva SRI 2, podendo solicitar a essas autoridades que avaliem a cibersegurança dessa entidade, devendo para o efeito cooperar e trocar informações. O artigo 19.º estabelece que, em conformidade com a prática consagrada, os Estados-Membros devem estabelecer as regras em matéria de sanções aplicáveis às violações e tomar todas as medidas necessárias para assegurar a sua aplicação.

Disposições finais (artigos 20.º a 26.º)

O artigo 20.º estabelece que a Comissão é assistida por um comité na aceção do Regulamento (UE) n.º 182/2011. É um artigo-tipo. O artigo 21.º confere à Comissão o poder de adotar atos delegados nas condições estabelecidas no artigo. Também este é um artigo-tipo. O artigo 22.º estabelece que a Comissão deve apresentar um relatório ao Parlamento Europeu e ao Conselho no qual avalie em que medida os Estados-Membros tomaram as medidas necessárias para dar cumprimento à diretiva. Deve ser apresentado regularmente ao Parlamento Europeu e ao Conselho um relatório no qual se avalie o impacto e o valor acrescentado da diretiva e se o âmbito de aplicação da diretiva deve ser alargado a outros setores ou subsetores, nomeadamente ao setor da produção, transformação e distribuição de géneros alimentícios.

O artigo 23.º estabelece que a Diretiva 2008/114/CE é revogada com efeitos a partir da data de entrada em aplicação da diretiva. O artigo 24.º estabelece que os Estados-Membros devem adotar e publicar, no prazo fixado, as disposições legislativas, regulamentares e administrativas necessárias para dar cumprimento à diretiva, e informar do facto a Comissão. Os Estados-Membros devem comunicar à Comissão o texto das principais disposições de direito interno que adotarem no domínio abrangido pela presente diretiva. O artigo 25.º estabelece que a diretiva entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia. O artigo 26.º estabelece que os destinatários da diretiva são os Estados-Membros.

2020/0365 (COD)

Proposta de

DIRETIVA DO PARLAMENTO EUROPEU E DO CONSELHO

relativa à resiliência das entidades críticas

O PARLAMENTO EUROPEU E O CONSELHO DA UNIÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia, nomeadamente o artigo 114.º,

Tendo em conta a proposta da Comissão Europeia,

Após transmissão do projeto de ato legislativo aos parlamentos nacionais,

Tendo em conta o parecer do Comité Económico e Social Europeu 14 ,

Tendo em conta o parecer do Comité das Regiões 15 ,

Deliberando de acordo com o processo legislativo ordinário 16 ,

Considerando o seguinte:

(1)A Diretiva 2008/114/CE do Conselho 17 prevê um procedimento de designação de infraestruturas críticas europeias nos setores da energia e dos transportes cuja perturbação ou destruição teria um impacto transfronteiriço significativo em pelo menos dois Estados Membros. Essa diretiva centrou-se exclusivamente na proteção de tais infraestruturas. No entanto, a avaliação da Diretiva 2008/114/CE realizada em 2019 18 concluiu que, devido à natureza cada vez mais interligada e transfronteiriça das operações que utilizam infraestruturas críticas, as medidas de proteção relativas apenas a ativos individuais são insuficientes para evitar a ocorrência de todas as perturbações. Por conseguinte, é necessário alterar a abordagem no sentido de assegurar a resiliência das entidades críticas, ou seja, a sua capacidade de atenuar, absorver, se adaptar e recuperar de incidentes com potencial para perturbar as operações da entidade crítica.

(2)Apesar das medidas em vigor a nível da União 19 e a nível nacional destinadas a apoiar a proteção de infraestruturas críticas na União, as entidades que exploram essas infraestruturas não estão adequadamente equipadas para fazer face aos riscos atuais e futuros previstos para as suas operações que possam resultar em perturbações na prestação de serviços essenciais para o desempenho de funções sociais ou atividades económicas vitais. Tal deve-se a um cenário de ameaças dinâmico com uma ameaça terrorista em evolução e interdependências crescentes entre infraestruturas e setores, bem como a um aumento do risco físico devido a catástrofes naturais e a alterações climáticas, o que aumenta a frequência e a dimensão de eventos meteorológicos extremos e origina alterações a longo prazo no clima médio que podem reduzir a capacidade e a eficiência de determinados tipos de infraestruturas se não forem adotadas medidas de resiliência ou de adaptação às alterações climáticas. Além disso, alguns setores e tipos de entidades pertinentes não são reconhecidos consistentemente como críticos em todos os Estados-Membros.

(3)Estas crescentes interdependências resultam do facto de uma rede de prestação de serviços com um caráter cada vez mais transfronteiriço e interdependente utilizar infraestruturas essenciais em toda a União nos setores da energia, dos transportes, dos serviços bancários, das infraestruturas do mercado financeiro, das infraestruturas digitais, da água potável e das águas residuais, da saúde, de determinados aspetos da administração pública, bem como no setor do espaço no que se refere à prestação de determinados serviços que dependem de infraestruturas terrestres detidas, geridas e operadas por Estados-Membros ou por entidades privadas, não abrangendo, portanto, as infraestruturas detidas, geridas ou operadas pela União ou em seu nome no âmbito dos seus programas espaciais. Em virtude destas interdependências, qualquer perturbação, mesmo que esteja inicialmente confinada a uma entidade ou a um setor, pode ter repercussões mais vastas e resultar em impactos negativos generalizados e duradouros na prestação de serviços em todo o mercado interno. A pandemia de COVID-19 revelou a vulnerabilidade das nossas sociedades, cada vez mais interdependentes, perante riscos com baixa probabilidade de ocorrência.

(4)As entidades envolvidas na prestação de serviços essenciais estão cada vez mais sujeitas a requisitos divergentes impostos pelas legislações dos Estados-Membros. O facto de alguns Estados-Membros imporem requisitos de segurança menos rigorosos a estas entidades não só corre o risco de ter um impacto negativo na manutenção de funções sociais ou atividades económicas vitais em toda a União, como também conduz a obstáculos ao bom funcionamento do mercado interno. Tipos semelhantes de entidades são considerados críticos em alguns Estados-Membros mas não noutros, e as entidades que são identificadas como críticas estão sujeitas a requisitos divergentes em diferentes Estados-Membros. Tal resulta em encargos administrativos adicionais e desnecessários para as empresas que operam além-fronteiras, nomeadamente para as empresas ativas em Estados-Membros com requisitos mais rigorosos.

(5)Por conseguinte, é necessário estabelecer regras mínimas harmonizadas para assegurar a prestação de serviços essenciais no mercado interno e reforçar a resiliência das entidades críticas.

(6)A fim de alcançar esse objetivo, os Estados-Membros devem identificar as entidades críticas que devem estar sujeitas a requisitos específicos e a uma supervisão determinada, mas receber igualmente apoio e orientações especialmente concebidos com vista a alcançar um elevado nível de resiliência face a todos os riscos pertinentes.

(7)Determinados setores da economia, como os da energia e dos transportes, já são ou poderão vir a ser regulamentados no futuro por atos setoriais específicos do direito da União que contêm regras relacionadas com determinados aspetos da resiliência das entidades que operam nesses setores. A fim de abordar, de forma abrangente, a resiliência das entidades críticas para o bom funcionamento do mercado interno, essas medidas setoriais específicas devem ser complementadas pelas previstas na presente diretiva, que cria um quadro global que aborda a resiliência das entidades críticas relativamente a todos os riscos, ou seja, naturais e de origem humana, acidentais e intencionais.

(8)Dada a importância da cibersegurança para a resiliência das entidades críticas, e por uma questão de coerência, é necessária uma abordagem coerente entre a presente diretiva e a Diretiva (UE) XX/YY do Parlamento Europeu e do Conselho 20 [Proposta de diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União (a seguir designada por «Diretiva SRI 2»)], sempre que possível. Tendo em conta a maior frequência e as características particulares dos riscos relacionados com a cibersegurança, a Diretiva SRI 2 impõe requisitos abrangentes a um vasto conjunto de entidades para assegurar a sua cibersegurança. Dado que a cibersegurança é suficientemente abordada na Diretiva SRI 2, as matérias por ela abrangidas devem ser excluídas do âmbito de aplicação da presente diretiva, sem prejuízo do regime específico aplicável às entidades do setor das infraestruturas digitais.

(9)Quando as disposições de outros atos do direito da União exigirem que as entidades críticas avaliem os riscos pertinentes, tomem medidas para assegurar a sua resiliência ou notifiquem incidentes, e esses requisitos forem pelo menos equivalentes às obrigações correspondentes estabelecidas na presente diretiva, as disposições pertinentes da presente diretiva não são aplicáveis, a fim de evitar duplicações e encargos desnecessários. Nesse caso, devem aplicar-se as disposições pertinentes desses outros atos. Quando as disposições pertinentes da presente diretiva não forem aplicáveis, as suas disposições em matéria de supervisão e de execução coerciva também não serão aplicáveis. No entanto, os Estados-Membros devem incluir todos os setores enumerados no anexo na sua estratégia de reforço da resiliência das entidades críticas, na avaliação de riscos e nas medidas de apoio nos termos do capítulo II e ser capazes de identificar as entidades críticas nos setores em que as condições aplicáveis tenham sido cumpridas, tendo em conta o regime específico das entidades dos setores dos serviços bancários, das infraestruturas do mercado financeiro e das infraestruturas digitais.

(10)A fim de assegurar uma abordagem abrangente da resiliência das entidades críticas, cada Estado-Membro deve adotar uma estratégia que estabeleça objetivos e medidas políticas a aplicar. Para o efeito, os Estados-Membros devem assegurar que as respetivas estratégias de cibersegurança preveem um quadro político para o reforço da cooperação entre a autoridade competente ao abrigo da presente diretiva e da Diretiva SRI 2 no contexto da partilha de informações sobre incidentes e ciberameaças e do exercício de atribuições de supervisão.

(11)As ações dos Estados-Membros para identificar e ajudar a assegurar a resiliência das entidades críticas devem seguir uma abordagem baseada no risco que oriente os esforços para as entidades mais pertinentes para o desempenho de funções sociais ou atividades económicas vitais. A fim de assegurar essa abordagem orientada, cada Estado-Membro deve realizar, num quadro harmonizado, uma avaliação de todos os riscos naturais e de origem humana pertinentes que possam afetar a prestação de serviços essenciais, nomeadamente acidentes, catástrofes naturais, emergências de saúde pública, como pandemias, e ameaças antagónicas, incluindo infrações terroristas. Ao efetuarem essas avaliações de riscos, os Estados-Membros devem ter em conta outras avaliações de riscos gerais ou específicas do setor efetuadas nos termos de outros atos do direito da União, e devem ter em consideração as dependências entre setores, incluindo de outros Estados-Membros e de países terceiros. Os resultados da avaliação de riscos devem ser utilizados no processo de identificação de entidades críticas e para ajudar essas entidades a cumprir os requisitos em matéria de resiliência da presente diretiva.

(12)A fim de assegurar que todas as entidades pertinentes estão sujeitas a esses requisitos e de reduzir as divergências a este respeito, é importante estabelecer regras harmonizadas que permitam uma identificação coerente das entidades críticas em toda a União, permitindo simultaneamente que os Estados-Membros reflitam as especificidades nacionais. Por conseguinte, devem ser estabelecidos critérios para identificar as entidades críticas. Por razões de eficácia, eficiência, coerência e segurança jurídica, devem igualmente ser estabelecidas regras adequadas em matéria de notificação e cooperação relacionadas com essa identificação, bem como com as consequências jurídicas da mesma. A fim de permitir à Comissão avaliar a correta aplicação da presente diretiva, os Estados-Membros devem apresentar à Comissão, da forma mais pormenorizada e específica possível, informações pertinentes e, em todo o caso, a lista de serviços essenciais, o número de entidades críticas identificadas para cada setor e subsetor referido no anexo e o(s) serviço(s) essencial(ais) prestado(s) por cada entidade, bem como quaisquer limiares aplicados.

(13)Devem igualmente ser estabelecidos critérios para determinar o significado de um efeito perturbador produzido por tais incidentes. Esses critérios devem basear-se nos critérios previstos na Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho 21 , a fim de tirar partido dos esforços envidados pelos Estados-Membros para identificar esses operadores e da experiência adquirida neste contexto.

(14)As entidades pertencentes ao setor das infraestruturas digitais baseiam-se essencialmente em redes e sistemas de informação e são abrangidas pelo âmbito de aplicação da Diretiva SRI 2, que aborda a segurança física de tais sistemas como parte das suas obrigações de gestão dos riscos de cibersegurança e de notificação. Uma vez que estas matérias são abrangidas pela Diretiva SRI 2, as obrigações da presente diretiva não se aplicam a essas entidades. Todavia, tendo em consideração a importância dos serviços prestados por entidades do setor das infraestruturas digitais para a prestação de outros serviços essenciais, os Estados-Membros devem identificar, com base nos critérios e recorrendo ao procedimento previsto na presente diretiva, mutatis mutandis, as entidades pertencentes ao setor das infraestruturas digitais que devem ser tratadas como equivalentes a entidades críticas apenas para efeitos do capítulo II, incluindo a disposição relativa ao apoio dos Estados-Membros para o reforço da resiliência dessas entidades. Consequentemente, tais entidades não devem estar sujeitas às obrigações estabelecidas nos capítulos III a VI. Uma vez que as obrigações que incumbem às entidades críticas estabelecidas no capítulo II de fornecer determinadas informações às autoridades competentes estão relacionadas com a aplicação dos capítulos III e IV, essas entidades também não devem estar sujeitas a essas obrigações.

(15)O acervo da UE em matéria de serviços financeiros estabelece requisitos abrangentes aplicáveis às entidades financeiras no sentido de gerir todos os riscos que enfrentam, incluindo os riscos operacionais, e assegurar a continuidade das atividades. Tal inclui o Regulamento (UE) n.º 648/2012 do Parlamento Europeu e do Conselho 22 , a Diretiva 2014/65/UE do Parlamento Europeu e do Conselho 23 e o Regulamento (UE) n.º 600/2014 do Parlamento Europeu e do Conselho 24 , bem como o Regulamento (UE) n.º 575/2013 do Parlamento Europeu e do Conselho 25 e a Diretiva 2013/36/UE do Parlamento Europeu e do Conselho 26 . A Comissão propôs recentemente complementar este quadro com o Regulamento XX/YYYY do Parlamento Europeu e do Conselho [proposta de Regulamento relativo à resiliência operacional digital do setor financeiro (a seguir designado por «Regulamento DORA») 27 ], que estabelece requisitos para as empresas financeiras gerirem os riscos no domínio das TIC, incluindo a proteção das infraestruturas físicas de TIC. Uma vez que a resiliência das entidades enumeradas nos pontos 3 e 4 do anexo é amplamente abrangida pelo acervo da UE em matéria de serviços financeiros, essas entidades devem igualmente ser tratadas como equivalentes a entidades críticas apenas para efeitos do capítulo II da presente diretiva. Para assegurar uma aplicação coerente das regras em matéria de risco operacional e de resiliência digital no setor financeiro, o apoio dos Estados-Membros ao reforço da resiliência global das entidades financeiras equivalentes a entidades críticas deve ser assegurado pelas autoridades designadas nos termos do artigo 41.º do [Regulamento DORA] e sujeito aos procedimentos estabelecidos nessa legislação de uma forma plenamente harmonizada.

(16)Os Estados-Membros devem designar autoridades competentes para supervisionar a aplicação das regras da presente diretiva e, se necessário, fazê-las cumprir, e assegurar que essas autoridades dispõem dos poderes e recursos adequados. Dadas as diferenças nas estruturas de governação nacionais e a fim de salvaguardar as disposições setoriais em vigor ou os organismos de supervisão e de regulamentação da União, bem como para evitar duplicações, os Estados-Membros devem poder designar mais do que uma autoridade competente. Nesse caso, devem, contudo, delinear claramente as respetivas funções das autoridades em causa e assegurar a cooperação harmoniosa e eficaz entre as mesmas. Todas as autoridades competentes devem igualmente cooperar, de um modo mais geral, com outras autoridades pertinentes, tanto a nível nacional como da União.

(17)A fim de facilitar a cooperação e a comunicação transfronteiriças e permitir a aplicação efetiva da presente diretiva, cada Estado-Membro deve, sem prejuízo dos requisitos legais setoriais específicos da União, designar, no seio de uma das autoridades por si designadas como autoridades competentes nos termos da presente diretiva, um ponto de contacto único responsável pela coordenação das questões relacionadas com a resiliência das entidades críticas e a cooperação transfronteiriça a nível da União nesta matéria.

(18)Dado que, nos termos da Diretiva SRI 2, as entidades identificadas como entidades críticas, bem como as entidades identificadas no setor das infraestruturas digitais que devem ser tratadas como equivalentes nos termos da presente diretiva, estão sujeitas aos requisitos de cibersegurança da Diretiva SRI 2, as autoridades competentes designadas nos termos das duas diretivas devem cooperar, particularmente no que diz respeito aos riscos e incidentes de cibersegurança que afetam essas entidades.

(19)Os Estados-Membros devem apoiar as entidades críticas no reforço da sua resiliência, no cumprimento das obrigações que lhes incumbem nos termos da presente diretiva, sem prejuízo da responsabilidade jurídica própria das entidades para assegurar esse cumprimento. Os Estados-Membros poderiam, nomeadamente, desenvolver materiais e metodologias de orientação, apoiar a organização de exercícios para testar a sua resiliência e proporcionar formação ao pessoal das entidades críticas. Além disso, dadas as interdependências entre entidades e setores, os Estados-Membros devem estabelecer instrumentos de partilha de informações para apoiar a partilha voluntária de informações entre entidades críticas, sem prejuízo da aplicação das regras em matéria de concorrência estabelecidas no Tratado sobre o Funcionamento da União Europeia.

(20)A fim de poderem assegurar a sua resiliência, as entidades críticas devem ter um conhecimento abrangente de todos os riscos pertinentes a que estão expostas e analisar esses riscos. Para o efeito, devem efetuar avaliações de riscos, sempre que necessário, tendo em conta as suas circunstâncias particulares e a evolução desses riscos, mas em todo o caso de quatro em quatro anos. As avaliações de riscos realizadas pelas entidades críticas devem basear-se na avaliação de riscos realizada pelos Estados-Membros.

(21)As entidades críticas devem tomar medidas organizacionais e técnicas adequadas e proporcionais aos riscos que enfrentam, de modo a prevenirem, resistirem, atenuarem, absorverem, se adaptarem e recuperarem de um incidente. Embora as entidades críticas devam tomar medidas sobre todos os pontos especificados na presente diretiva, os pormenores e a extensão das medidas devem refletir os diferentes riscos que cada entidade tenha identificado como parte da sua avaliação de riscos e as especificidades de tal entidade de forma adequada e proporcional.

(22)Por razões de eficácia e de responsabilização, as entidades críticas devem descrever essas medidas com um nível de pormenor suficiente para alcançar esses objetivos, tendo em conta os riscos identificados, num plano de resiliência ou documento(s) equivalente(s) a um plano de resiliência, e aplicar esse plano na prática. Esse(s) documento(s) equivalente(s) pode(m) ser elaborado(s) em conformidade com os requisitos e as normas desenvolvidos no contexto de acordos internacionais em matéria de proteção física em que os Estados-Membros sejam partes, incluindo a Convenção sobre a Proteção Física dos Materiais e das Instalações Nucleares, conforme o caso.

(23)O Regulamento (CE) n.º 300/2008 do Parlamento Europeu e do Conselho 28 , o Regulamento (CE) n.º 725/2004 do Parlamento Europeu e do Conselho 29 e a Diretiva 2005/65/CE do Parlamento Europeu e do Conselho 30 estabelecem requisitos aplicáveis às entidades dos setores da aviação e dos transportes marítimos para prevenir incidentes causados por atos ilícitos e resistir a tais incidentes e atenuar as consequências dos mesmos. Embora as medidas exigidas na presente diretiva sejam mais amplas em termos de riscos abordados e de tipos de medidas a tomar, as entidades críticas nesses setores devem refletir no seu plano de resiliência ou documentos equivalentes as medidas tomadas em conformidade com esses atos da União. Além disso, ao aplicarem medidas de resiliência nos termos da presente diretiva, as entidades críticas podem ponderar fazer referência a orientações não vinculativas e a documentos de boas práticas desenvolvidos no âmbito de fluxos de trabalho setoriais, como a plataforma de segurança dos passageiros ferroviários da UE 31 .

(24)O risco de funcionários de entidades críticas fazerem uma utilização abusiva, por exemplo, dos seus direitos de acesso no seio da organização da entidade para prejudicar e causar danos é cada vez mais preocupante. Esse risco é exacerbado pelo fenómeno crescente de radicalização que conduz ao extremismo violento e ao terrorismo. Por conseguinte, é necessário permitir que as entidades críticas possam solicitar a verificação dos antecedentes das pessoas que se enquadrem em categorias específicas do seu pessoal e assegurar que esses pedidos são avaliados rapidamente pelas autoridades competentes, em conformidade com as regras aplicáveis da União e do direito nacional, nomeadamente em matéria de proteção de dados pessoais.

(25)As entidades críticas devem notificar, logo que seja razoavelmente possível nas circunstâncias em questão, as autoridades competentes dos Estados-Membros de incidentes que perturbem significativamente ou que sejam suscetíveis de perturbar significativamente as suas operações. A notificação deve permitir às autoridades competentes responder aos incidentes de forma rápida e adequada e obter uma visão abrangente dos riscos globais que as entidades críticas enfrentam. Para o efeito, deve ser estabelecido um procedimento para a notificação de determinados incidentes e devem ser previstos parâmetros para determinar quando a perturbação real ou potencial é significativa e os incidentes devem, por conseguinte, ser notificados. Dados os potenciais impactos transfronteiriços de tais perturbações, deve ser estabelecido um procedimento que permita aos Estados-Membros informar outros Estados-Membros afetados através de pontos de contacto únicos.

(26)Embora as entidades críticas operem geralmente como parte de uma rede cada vez mais interligada de prestação de serviços e infraestruturas e prestem, frequentemente, serviços essenciais em mais do que um Estado-Membro, algumas dessas entidades revestem-se de especial relevância para a União, uma vez que prestam serviços essenciais a um grande número de Estados-Membros e, por conseguinte, exigem uma supervisão específica a nível da União. Devem, pois, ser estabelecidas regras sobre a supervisão específica dessas entidades críticas de especial relevância europeia. Essas regras não prejudicam as regras em matéria de supervisão e de execução coerciva estabelecidas na presente diretiva.

(27)Sempre que qualquer Estado-Membro considere que são necessárias informações adicionais para poder aconselhar uma entidade crítica no cumprimento das obrigações que lhe incumbem nos termos do capítulo III ou para avaliar o cumprimento dessas obrigações por parte de uma entidade crítica de especial relevância europeia, de comum acordo com o Estado-Membro em que a infraestrutura dessa entidade está localizada, a Comissão deve organizar uma missão consultiva para avaliar as medidas adotadas por essa entidade. A fim de garantir que tais missões consultivas sejam devidamente realizadas, devem ser estabelecidas regras complementares, nomeadamente no que se refere à sua organização e realização, ao seguimento a dar e às obrigações que incumbem às entidades críticas de especial relevância europeia em causa. As missões consultivas devem, sem prejuízo da necessidade de o Estado-Membro em que a missão consultiva é realizada e de a entidade em causa cumprirem as regras da presente diretiva, ser realizadas sob reserva das regras pormenorizadas da legislação desse Estado-Membro, por exemplo, sobre as condições precisas a preencher para obter acesso a instalações ou documentos pertinentes e sobre o recurso judicial. Os conhecimentos específicos necessários para a realização de tais missões podem, quando pertinente, ser solicitados através do Centro de Coordenação de Resposta de Emergência.

(28)A fim de apoiar a Comissão e facilitar a cooperação estratégica e o intercâmbio de informações, incluindo boas práticas, sobre questões relacionadas com a presente diretiva, deve ser criado um Grupo para a Resiliência das Entidades Críticas, que é um grupo de peritos da Comissão. Os Estados-Membros devem esforçar-se por assegurar uma cooperação eficaz e eficiente dos representantes designados das suas autoridades competentes no Grupo para a Resiliência das Entidades Críticas. O grupo deve começar a desempenhar as suas funções seis meses após a entrada em vigor da presente diretiva, a fim de proporcionar meios adicionais para uma cooperação adequada durante o período de transposição da presente diretiva.

(29)A fim de alcançar os objetivos da presente diretiva, e sem prejuízo da responsabilidade jurídica dos Estados-Membros e das entidades críticas de assegurar o cumprimento das respetivas obrigações nela estabelecidas, a Comissão deve, sempre que considerar adequado, empreender determinadas atividades de apoio destinadas a facilitar o cumprimento dessas obrigações. Aquando da prestação de apoio aos Estados-Membros e às entidades críticas no cumprimento das obrigações decorrentes da presente diretiva, a Comissão deve basear-se nas estruturas e instrumentos existentes, como os do Mecanismo de Proteção Civil da União Europeia e da rede europeia de referência para a proteção das infraestruturas críticas.

(30)Os Estados-Membros devem assegurar que as suas autoridades competentes dispõem de determinados poderes específicos para assegurar a correta aplicação e execução da presente diretiva em relação a entidades críticas, sempre que essas entidades se encontrem sob a sua jurisdição, tal como especificado na presente diretiva. Esses poderes devem incluir, nomeadamente, o poder de realizar inspeções e auditorias, de supervisão, de exigir que as entidades críticas forneçam informações e elementos de prova relativos às medidas por si tomadas para cumprir as obrigações que lhes incumbem e, se necessário, de emitir ordens para corrigir as infrações identificadas. Ao emitir tais ordens, os Estados-Membros não devem exigir medidas que vão além do necessário e proporcionado para assegurar a conformidade da entidade crítica em causa, tendo especialmente em conta a gravidade da infração e a capacidade económica da entidade crítica. De um modo mais geral, esses poderes devem ser acompanhados de garantias adequadas e eficazes a especificar na legislação nacional, em conformidade com os requisitos decorrentes da Carta dos Direitos Fundamentais da União Europeia. Ao avaliar o cumprimento, por uma entidade crítica, das obrigações que lhe incumbem nos termos da presente diretiva, as autoridades competentes designadas nos termos da presente diretiva devem poder solicitar às autoridades competentes designadas nos termos da Diretiva SRI 2 que avaliem a cibersegurança dessas entidades. Essas autoridades competentes devem cooperar e trocar informações para o efeito.

(31)A fim de ter em conta novos riscos, desenvolvimentos tecnológicos ou especificidades de um ou mais setores, o poder de adotar atos em conformidade com o artigo 290.º do Tratado sobre o Funcionamento da União Europeia deve ser delegado na Comissão para complementar as medidas de resiliência que as entidades críticas devem tomar, especificando mais pormenorizadamente algumas ou todas essas medidas. É particularmente importante que a Comissão proceda às consultas adequadas durante os trabalhos preparatórios, inclusive ao nível de peritos, e que essas consultas sejam conduzidas de acordo com os princípios estabelecidos no Acordo Interinstitucional sobre legislar melhor de 13 de abril de 2016 32 . Em particular, a fim de assegurar a igualdade de participação na preparação dos atos delegados, o Parlamento Europeu e o Conselho recebem todos os documentos ao mesmo tempo que os peritos dos Estados-Membros, e os respetivos peritos têm sistematicamente acesso às reuniões dos grupos de peritos da Comissão que tratem da preparação dos atos delegados.

(32)A fim de assegurar condições uniformes de execução da presente diretiva, devem ser atribuídas competências de execução à Comissão. Essas competências devem ser exercidas em conformidade com o Regulamento (UE) n.º 182/2011 do Parlamento Europeu e do Conselho 33 .

(33)Atendendo a que os objetivos da presente diretiva, a saber, assegurar a prestação, no mercado interno, de serviços essenciais para a manutenção de funções sociais ou atividades económicas vitais e reforçar a resiliência das entidades críticas que prestam tais serviços, não podem ser suficientemente alcançados pelos Estados-Membros, mas podem, devido aos efeitos da ação considerada, ser mais eficazmente alcançados ao nível da União, a União pode tomar medidas, em conformidade com o princípio da subsidiariedade consagrado no artigo 5.º do Tratado da União Europeia. Em conformidade com o princípio da proporcionalidade consagrado no referido artigo 5.º, a presente diretiva não excede o necessário para alcançar esses objetivos.

(34)Por conseguinte, a Diretiva 2008/114/CE deve ser revogada,

ADOTARAM A PRESENTE DIRETIVA:

Capítulo I
Objeto, âmbito de aplicação e definições

Artigo 1.º
Objeto e âmbito de aplicação

1.A presente diretiva:

(a)Estabelece a obrigação de os Estados-Membros tomarem determinadas medidas destinadas a assegurar a prestação, no mercado interno, de serviços essenciais para a manutenção de funções sociais ou de atividades económicas vitais, em especial de identificarem as entidades críticas e as entidades que devem ser tratadas como equivalentes em certos aspetos, e de lhes permitir cumprir as suas obrigações;

(b)Estabelece obrigações para as entidades críticas destinadas a reforçar a sua resiliência e a melhorar a sua capacidade de prestar esses serviços no mercado interno;

(c)Estabelece regras em matéria de supervisão das entidades críticas e de execução coerciva, bem como de supervisão específica das entidades críticas consideradas de especial relevância europeia.

2.A presente diretiva não se aplica às matérias abrangidas pela Diretiva (UE) XX/YY [proposta de diretiva relativa a medidas destinadas a garantir um elevado nível comum de cibersegurança na União («Diretiva SRI 2»)], sem prejuízo do artigo 7.º.

3.Nos casos em que disposições de atos jurídicos setoriais da União exijam que as entidades críticas tomem medidas tal como estabelecidas no capítulo III, e se tais exigências forem pelo menos equivalentes às obrigações estabelecidas na presente diretiva, as disposições pertinentes desta última, incluindo as disposições em matéria de supervisão e execução coerciva estabelecidas no capítulo VI, não se aplicam.

4.Sem prejuízo do artigo 346.º do TFUE, as informações classificadas como confidenciais nos termos de regras da União e de regras nacionais, tais como as regras em matéria de sigilo comercial, só podem ser trocadas com a Comissão e com outras autoridades competentes nos casos em que esse intercâmbio seja necessário para efeitos de aplicação da presente diretiva. As informações trocadas devem limitar-se ao que for pertinente e proporcionado em relação ao objetivo desse intercâmbio. O intercâmbio de informações deve preservar a confidencialidade dessas informações e salvaguardar a segurança e os interesses comerciais das entidades críticas.

Artigo 2.º
Definições

Para efeitos da presente diretiva, entende-se por:

(1)«Entidade crítica», uma entidade pública ou privada de um dos tipos referidos no anexo, que tenha sido identificada como tal por um Estado-Membro nos termos do artigo 5.º;

(2)«Resiliência», a capacidade de prevenir, resistir, atenuar, absorver, adaptar-se e recuperar de um incidente que perturbe ou tenha potencial para perturbar as operações de uma entidade crítica;

(3)«Incidente», qualquer evento com potencial para perturbar ou que perturba as operações de uma entidade crítica;

(4) «Infraestrutura», um ativo, um sistema ou parte deste, necessário para a prestação de um serviço essencial;

(5) «Serviço essencial», um serviço que é essencial para a manutenção de funções sociais ou de atividades económicas vitais;

(6)«Risco», uma circunstância ou um evento com um efeito adverso potencial na resiliência das entidades críticas;

(7)«Avaliação de riscos», uma metodologia para determinar a natureza e o alcance de um risco, analisando potenciais ameaças e perigos e avaliando as condições de vulnerabilidade existentes suscetíveis de perturbar as operações de uma entidade crítica.

Capítulo II
Quadros nacionais para reforçar a resiliência das entidades críticas

Artigo 3.º
Estratégia para a resiliência das entidades críticas

1.Cada Estado-Membro deve adotar, até [três anos após a entrada em vigor da presente diretiva], uma estratégia para reforçar a resiliência das entidades críticas. Tal estratégia deve estabelecer objetivos e medidas estratégicos com vista a alcançar e manter um elevado nível de resiliência dessas entidades críticas e abranger, pelo menos, os setores referidos no anexo.

2.A referida estratégia deve contemplar, pelo menos, os seguintes elementos:

(a)Objetivos e prioridades estratégicos no intuito de reforçar a resiliência global das entidades críticas, tendo em conta as interdependências transfronteiriças e transetoriais;

(b)Um quadro de governação para alcançar os objetivos e prioridades estratégicos, incluindo uma descrição das funções e responsabilidades das diferentes autoridades, entidades críticas e outras partes envolvidas na execução da estratégia;

(c)Uma descrição das medidas necessárias para reforçar a resiliência global das entidades críticas, incluindo uma avaliação nacional dos riscos, a identificação das entidades críticas e das entidades equivalentes a entidades críticas, bem como as medidas de apoio às entidades críticas tomadas em conformidade com o presente capítulo;

(d)Um quadro estratégico para reforçar a coordenação entre as autoridades competentes designadas nos termos do artigo 8.º da presente diretiva e nos termos da [Diretiva SRI 2] para efeitos de partilha de informações sobre incidentes e ciberameaças e do exercício de funções de supervisão.

A estratégia deve ser atualizada sempre que necessário e, pelo menos, de quatro em quatro anos.

3.Os Estados-Membros devem comunicar as suas estratégias, e eventuais atualizações das mesmas, à Comissão no prazo de três meses a contar da sua adoção.

Artigo 4.º
Avaliação de riscos pelos Estados-Membros

1.As autoridades competentes designadas nos termos do artigo 8.º devem estabelecer uma lista dos serviços essenciais nos setores referidos no anexo. Devem efetuar, até [três anos após a entrada em vigor da presente diretiva] e, subsequentemente quando necessário, e pelo menos de quatro em quatro anos, uma avaliação de todos os riscos relevantes suscetíveis de afetar a prestação desses serviços essenciais, com vista a identificar as entidades críticas em conformidade com o artigo 5.º, n.º 1, bem como a ajudar essas entidades críticas a tomar medidas nos termos do artigo 11.º.

A avaliação de riscos deve ter em conta todos os riscos naturais e de origem humana relevantes, incluindo acidentes, catástrofes naturais, emergências de saúde pública, ameaças antagonistas, incluindo infrações terroristas, na aceção da Diretiva (UE) 2017/541 do Parlamento Europeu e do Conselho 34 .

2.Ao efetuar a avaliação dos riscos, os Estados-Membros devem ter em conta, no mínimo:

(a)A avaliação geral de riscos realizada nos termos do artigo 6.º, n.º 1, da Decisão 1313/2013/UE do Parlamento Europeu e do Conselho 35 ;

(b)Outras avaliações de riscos relevantes, realizadas em conformidade com os requisitos dos atos setoriais pertinentes do direito da União, nomeadamente o Regulamento (UE) 2019/941 do Parlamento Europeu e do Conselho 36 e o Regulamento (UE) 2017/1938 do Parlamento Europeu e do Conselho 37 ;

(c)Quaisquer riscos decorrentes das dependências entre os setores referidos no anexo, inclusive de outros Estados-Membros e de países terceiros, e o impacto que uma perturbação num setor pode ter noutros setores;

(d)Quaisquer informações sobre incidentes notificados em conformidade com o artigo 13.º.

Para efeitos do primeiro parágrafo, alínea c), os Estados-Membros devem cooperar com as autoridades competentes de outros Estados-Membros e países terceiros, consoante o caso.

3.Os Estados-Membros devem disponibilizar os elementos relevantes da avaliação de riscos a que se refere o n.º 1 às entidades críticas que identificaram nos termos do artigo 5.º, a fim de as ajudar a efetuar a sua avaliação de riscos, em conformidade com o artigo 10.º, e a tomar medidas para assegurar a sua resiliência tal como disposto no artigo 11.º.

4.Cada Estado-Membro deve fornecer à Comissão dados sobre os tipos de riscos identificados e os resultados das avaliações de riscos, por setor e subsetor referidos no anexo, até [três anos após a entrada em vigor da presente diretiva] e, subsequentemente quando necessário, e pelo menos de quatro em quatro anos.

5.A Comissão pode, em cooperação com os Estados-Membros, elaborar um modelo comum de comunicação voluntária para efeitos do cumprimento do disposto no n.º 4.

Artigo 5.º
Identificação das entidades críticas

1.Até [três anos e três meses após a entrada em vigor da presente diretiva], os Estados-Membros devem identificar as entidades críticas para cada setor e subsetor referido no anexo, com exceção dos pontos 3, 4 e 8.

2.Ao identificarem as entidades críticas nos termos do n.º 1, os Estados-Membros devem ter em conta os resultados da avaliação de riscos, realizada em conformidade com o artigo 4.º, e aplicar os seguintes critérios:

(a)A entidade presta um ou mais serviços essenciais;

(b)A prestação desse serviço depende da infraestrutura localizada no Estado-Membro; e

(c)Um incidente teria efeitos perturbadores significativos sobre a prestação do serviço ou de outros serviços essenciais nos setores referidos no anexo que dependem do serviço.

3.Cada Estado-Membro deve elaborar uma lista das entidades críticas identificadas e assegurar que essas entidades críticas são notificadas da sua identificação como entidades críticas no prazo de um mês a contar dessa identificação, informando-as das suas obrigações por força dos capítulos II e III e da data a partir da qual as disposições desses capítulos lhes são aplicáveis.

As disposições do presente capítulo são aplicáveis às entidades críticas em causa a partir da data da notificação e as disposições do capítulo III são aplicáveis seis meses após essa data.

4.Os Estados-Membros devem assegurar que as suas autoridades competentes designadas nos termos do artigo 8.º da presente diretiva notificam às autoridades competentes designadas pelos Estados-Membros nos termos do artigo 8.º da [Diretiva SRI 2] a identidade das entidades críticas que tiverem identificado nos termos do presente artigo no prazo de um mês a contar da referida identificação.

5.Na sequência da notificação a que se refere o n.º 3, os Estados-Membros devem assegurar que as entidades críticas comunicam às respetivas autoridades competentes designadas nos termos do artigo 8.º da presente diretiva se foram identificadas como entidades críticas num ou mais Estados-Membros. Sempre que uma entidade tiver sido identificada como crítica por dois ou mais Estados-Membros, estes devem proceder a consultas entre si com vista a reduzir os encargos que recaem sobre a entidade crítica no que diz respeito às obrigações previstas no capítulo III.

6.Para efeitos do capítulo IV, os Estados-Membros devem assegurar que as entidades críticas, na sequência da notificação a que se refere o n.º 3, comunicam às respetivas autoridades competentes designadas nos termos do artigo 8.º da presente diretiva se prestam serviços essenciais a, ou em, mais de um terço dos Estados-Membros. Nesse caso, o Estado-Membro em causa deve notificar à Comissão, sem demora injustificada, a identidade dessas entidades críticas.

7.Os Estados-Membros devem, se necessário e, em qualquer caso, pelo menos de quatro em quatro anos, rever e, se for caso disso, atualizar a lista das entidades críticas identificadas.

Caso essas atualizações conduzam à identificação de outras entidades críticas, aplicam-se os n.os 3, 4, 5 e 6. Além disso, os Estados-Membros devem assegurar que as entidades que deixarem de ser identificadas como entidades críticas de acordo com essas atualizações são notificadas e informadas de que deixam de estar sujeitas às obrigações previstas no capítulo III a partir da receção dessa informação.

Artigo 6.º
Efeito perturbador significativo

1.Ao determinar a importância de um efeito perturbador tal como referido no artigo 5.º, n.º 2, alínea c), os Estados-Membros têm em conta os seguintes critérios:

(a)O número de utilizadores que dependem do serviço prestado pela entidade;

(b)A dependência de outros setores referidos no anexo em relação a esse serviço;

(c)O possível impacto dos incidentes, em termos de intensidade e duração, sobre as atividades económicas e sociais, o ambiente e a segurança pública;

(d)A quota de mercado da entidade no mercado desses serviços;

(e)A zona geográfica suscetível de ser afetada por um incidente, incluindo eventuais impactos transfronteiriços;

(f)A importância da entidade na manutenção de um nível de serviço suficiente, tendo em conta a disponibilidade de meios alternativos para a prestação desse serviço.

2.Os Estados-Membros devem apresentar à Comissão, até [três anos e três meses após a entrada em vigor da presente diretiva], as seguintes informações:

(a)A lista dos serviços a que se refere o artigo 4.º, n.º 1;

(b)O número de entidades críticas identificadas para cada setor e subsetor referidos no anexo e o serviço ou serviços a que se refere o artigo 4.º, n.º 1, prestados por cada entidade;

(c)Quaisquer limiares aplicados para especificar um ou mais dos critérios referidos no n.º 1.

Subsequentemente, os Estados-Membros devem transmitir essas informações sempre que necessário e, pelo menos, de quatro em quatro anos.

3.A Comissão pode, após consulta do Grupo para a Resiliência das Entidades Críticas, adotar orientações com vista a facilitar a aplicação dos critérios referidos no n.º 1, tendo em conta as informações referidas no n.º 2.

Artigo 7.º
Entidades equivalentes a entidades críticas ao abrigo do presente capítulo

1. No que respeita aos setores referidos nos pontos 3, 4 e 8 do anexo, os Estados-Membros devem, até [três anos e três meses após a entrada em vigor da presente diretiva], identificar as entidades que devem ser tratadas como equivalentes a entidades críticas para efeitos do presente capítulo. Os Estados-Membros devem aplicar a essas entidades o disposto nos artigos 3.º e 4.º, no artigo 5.º, n.os 1 a 4 e 7, e no artigo 9.º.

2. No que respeita às entidades dos setores referidos nos pontos 3 e 4 do anexo identificadas nos termos do n.º 1, os Estados-Membros devem assegurar que, para efeitos da aplicação do artigo 8.º, n.º 1, as autoridades designadas como autoridades competentes são as autoridades competentes designadas nos termos do artigo 41.º do [Regulamento DORA].

3. Os Estados-Membros devem assegurar que as entidades a que se refere o n.º 1 são, sem demora injustificada, notificadas da sua identificação como entidades a que se refere o presente artigo.

Artigo 8.º
Autoridades competentes e ponto de contacto único

1.Cada Estado-Membro deve designar uma ou mais autoridades competentes responsáveis pela correta aplicação e, se necessário, pela execução coerciva do disposto na presente diretiva a nível nacional («autoridade competente»). Os Estados-Membros podem designar uma ou mais autoridades existentes.

Sempre que designarem mais do que uma autoridade, devem definir claramente as respetivas funções e assegurar que estas cooperam eficazmente no desempenho das suas funções ao abrigo da presente diretiva, nomeadamente no que diz respeito à designação e às atividades do ponto de contacto único a que se refere o n.º 2.

2.Cada Estado-Membro deve designar, no âmbito da autoridade competente, um ponto de contacto único para exercer uma função de ligação com vista a assegurar a cooperação transfronteiriça com as autoridades competentes de outros Estados-Membros e com o Grupo para a Resiliência das Entidades Críticas a que se refere o artigo 16.º («ponto de contacto único»).

3.Até [três anos e seis meses após a entrada em vigor da presente diretiva] e, posteriormente, todos os anos, os pontos de contacto únicos devem apresentar um relatório de síntese à Comissão e ao Grupo para a Resiliência das Entidades Críticas sobre as notificações recebidas, incluindo o número de notificações, a natureza dos incidentes notificados e as medidas tomadas em conformidade com o artigo 13.º, n.º 3.

4.Cada Estado-Membro deve assegurar que a autoridade competente, incluindo o ponto de contacto único designado no seu âmbito, dispõe dos poderes e dos recursos financeiros, humanos e técnicos adequados para desempenhar, de forma eficaz e eficiente, as funções que lhe são atribuídas.

5.Os Estados-Membros devem assegurar que as suas autoridades competentes, sempre que adequado e em conformidade com o direito da União e o direito nacional, consultam e cooperam com outras autoridades nacionais pertinentes, em especial as autoridades responsáveis pela proteção civil, pela aplicação da lei e pela proteção dos dados pessoais, bem como com as partes interessadas pertinentes, incluindo as entidades críticas.

6.Os Estados-Membros devem assegurar que as suas autoridades competentes designadas nos termos do presente artigo cooperam com as autoridades competentes designadas nos termos da [Diretiva SRI 2] no que diz respeito aos riscos de cibersegurança e aos ciberincidentes que afetam as entidades críticas, bem como às medidas tomadas pelas autoridades competentes designadas ao abrigo da [Diretiva SRI 2] relevantes para as entidades críticas.

7.Cada Estado-Membro deve notificar à Comissão a designação da autoridade competente e do ponto de contacto único no prazo de três meses a contar dessa designação, incluindo as suas funções e responsabilidades precisas ao abrigo da presente diretiva, os seus dados de contacto e eventuais alterações subsequentes. Cada Estado-Membro deve tornar pública a sua designação da autoridade competente e do ponto de contacto único.

8.A Comissão deve publicar uma lista dos pontos de contacto únicos dos Estados-Membros.

Artigo 9.º
Apoio dos Estados-Membros às entidades críticas

1.Os Estados-Membros devem apoiar as entidades críticas no reforço da sua resiliência. Esse apoio pode incluir o desenvolvimento de materiais e metodologias de orientação, ajuda à organização de exercícios para testar a sua resiliência e a prestação de formação ao pessoal das entidades críticas.

2.Os Estados-Membros devem assegurar que as autoridades competentes cooperam e trocam informações e boas práticas com as entidades críticas dos setores referidos no anexo.

3.Os Estados-Membros devem criar instrumentos de partilha de informações para apoiar a partilha voluntária de informações entre entidades críticas sobre as matérias abrangidas pela presente diretiva, em conformidade com o direito da União e o direito nacional, em especial sobre a concorrência e a proteção de dados pessoais.

Capítulo III
Resiliência das entidades críticas

Artigo 10.º
Avaliação de riscos pelas entidades críticas

Os Estados-Membros devem assegurar que as entidades críticas avaliam, no prazo de seis meses após a receção da notificação a que se refere o artigo 5.º, n.º 3, e subsequentemente quando necessário, e pelo menos de quatro em quatro anos, com base nas avaliações de riscos dos Estados-Membros e noutras fontes de informação pertinentes, todos os riscos relevantes suscetíveis de perturbar as suas operações.

A avaliação de riscos deve ter em conta todos os riscos relevantes a que se refere o artigo 4.º, n.º 1, suscetíveis de perturbar a prestação de serviços essenciais. Tal avaliação deve ter em conta a eventual dependência de outros setores referidos no anexo do serviço essencial prestado pela entidade crítica, incluindo nos Estados-Membros vizinhos e países terceiros, se for caso disso, e o impacto que uma perturbação da prestação de serviços essenciais num ou mais desses setores pode ter no serviço essencial prestado pela entidade crítica.

Artigo 11.º
Medidas de resiliência das entidades críticas

1.Os Estados-Membros devem assegurar que as entidades críticas tomam medidas técnicas e organizativas adequadas e proporcionadas para garantir a sua resiliência, incluindo as medidas necessárias para:

(a)Prevenir a ocorrência de incidentes, nomeadamente através da redução do risco de catástrofes e de medidas de adaptação às alterações climáticas;

(b)Assegurar uma proteção física adequada das zonas, instalações e outras infraestruturas sensíveis, nomeadamente através de vedações, barreiras, ferramentas e rotinas de vigilância do perímetro, bem como de equipamento de deteção e de controlo do acesso;

(c)Resistir e atenuar as consequências dos incidentes, designadamente aplicando procedimentos e protocolos de gestão de riscos e de crises e rotinas de alerta;

(d)Recuperar de incidentes, nomeadamente através da adoção de medidas de continuidade das atividades e da identificação de cadeias de abastecimento alternativas;

(e)Assegurar uma gestão adequada da segurança dos trabalhadores, nomeadamente através da definição das categorias de pessoal que exercem funções críticas, do estabelecimento de direitos de acesso a zonas, instalações e outras infraestruturas sensíveis e a informações sensíveis, bem como da identificação de categorias específicas de pessoal, tendo em conta o disposto no artigo 12.º;

(f)Sensibilizar o pessoal relevante para as medidas referidas nas alíneas a) a e).

2.Os Estados-Membros devem assegurar que as entidades críticas implementam e aplicam um plano de resiliência ou um documento equivalente, descrevendo em pormenor as medidas previstas no n.º 1. Caso as entidades críticas tenham tomado medidas em conformidade com as obrigações previstas noutros atos jurídicos da União que sejam igualmente relevantes para as medidas referidas no n.º 1, estas devem descrever igualmente tais medidas no plano de resiliência ou no documento ou documentos equivalentes.

3.A pedido do Estado-Membro que identificou a entidade crítica em causa e com o acordo desta, a Comissão deve organizar missões consultivas, em conformidade com o disposto no artigo 15.º, n.os 4, 5, 7 e 8, com vista a ajudar a referida entidade crítica a cumprir as suas obrigações nos termos do capítulo III. A missão consultiva deve comunicar as suas conclusões à Comissão, ao Estado-Membro e à entidade crítica em causa.

4.A Comissão está habilitada a adotar atos delegados em conformidade com o artigo 21.º, em complemento do n.º 1, estabelecendo regras pormenorizadas que especificam algumas ou todas as medidas a tomar nos termos do referido número. A Comissão deve adotar esses atos delegados na medida do necessário para a aplicação efetiva e coerente desse número, em conformidade com os objetivos da presente diretiva, tendo em conta qualquer evolução pertinente dos riscos, da tecnologia ou da prestação dos serviços em causa, bem como quaisquer especificidades relacionadas com determinados setores e tipos de entidades.

5.A Comissão deve adotar atos de execução a fim de estabelecer as especificações técnicas e metodológicas necessárias para a aplicação das medidas a que se refere o n.º 1. Os referidos atos de execução devem ser adotados em conformidade com o procedimento de exame a que se refere o artigo 20.º, n.º 2.

Artigo 12.º
Verificação de antecedentes

1.Os Estados-Membros devem assegurar que as entidades críticas podem apresentar pedidos de verificação dos antecedentes de pessoas pertencentes a determinadas categorias específicas do seu pessoal, incluindo pessoas suscetíveis de serem recrutadas para cargos abrangidos por essas categorias, e que esses pedidos são prontamente avaliados pelas autoridades competentes para a realização dessas verificações de antecedentes.

2.Em conformidade com o direito da União e o direito nacional aplicáveis, nomeadamente o Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho 38 , a verificação de antecedentes a que se refere o n.º 1 deve:

(a)Estabelecer a identidade da pessoa com base em provas documentais;

(b)Abranger os registos criminais, pelo menos, dos cinco anos anteriores e, no máximo, de dez anos, relativos a crimes relevantes para o recrutamento num posto específico, no Estado-Membro ou Estados-Membros de nacionalidade da pessoa e em cada um dos Estados-Membros ou países terceiros de residência durante esse período;

(c)Abranger os empregos anteriores, a formação académica e quaisquer lacunas na formação ou no emprego no currículo apresentado pela pessoa em causa durante, pelo menos, os cinco anos anteriores e durante um máximo de dez anos.

No que se refere ao primeiro parágrafo, alínea b), os Estados-Membros devem assegurar que as suas autoridades competentes para efetuar verificações de antecedentes obtêm as informações sobre os registos criminais de outros Estados-Membros através do ECRIS, em conformidade com os procedimentos estabelecidos na Decisão-Quadro 2009/315/JAI do Conselho e, se for caso disso, no Regulamento (UE) 2019/816 do Parlamento Europeu e do Conselho 39 . As autoridades centrais mencionadas no artigo 3.º da referida decisão-quadro e no artigo 3.º, n.º 5, do referido regulamento devem responder aos pedidos de informações no prazo de 10 dias úteis a contar da data de receção do pedido.

3.Em conformidade com o direito da União e o direito nacional aplicáveis, nomeadamente o Regulamento (UE) 2016/679, cada Estado-Membro deve assegurar que a verificação de antecedentes referida no n.º 1 pode também ser alargada, com base num pedido devidamente justificado da entidade crítica, para poder tirar partido de informações secretas e de quaisquer outras informações objetivas disponíveis que possam ser necessárias para determinar a aptidão da pessoa em causa para ocupar o posto em relação ao qual a entidade crítica solicitou uma verificação de antecedentes alargada.

Artigo 13.º
Notificação de incidentes

1.Os Estados-Membros devem assegurar que as entidades críticas notificam sem demora injustificada à autoridade competente os incidentes que perturbam ou tenham potencial para perturbar significativamente as suas operações. As notificações devem incluir todas as informações disponíveis necessárias para permitir à autoridade competente compreender a natureza, a causa e as possíveis consequências do incidente, nomeadamente com vista a determinar o seu impacto transfronteiriço. A notificação não acarreta responsabilidades acrescidas para as entidades críticas.

2.A fim de determinar a importância da perturbação ou potencial perturbação para as operações da entidade crítica em consequência de um incidente, devem ser tidos em conta, em especial, os seguintes parâmetros:

(a)O número de utilizadores afetados pela perturbação ou potencial perturbação;

(b)A duração da perturbação ou a duração prevista de uma potencial perturbação;

(c)A zona geográfica afetada pela perturbação ou potencial perturbação.

3.Com base nas informações prestadas na notificação pela entidade crítica, a autoridade competente, através do seu ponto de contacto único, deve informar o ponto de contacto único dos outros Estados-Membros afetados se o incidente tiver ou puder ter um impacto significativo nas entidades críticas e na continuidade da prestação de serviços essenciais num ou mais Estados-Membros.

Ao fazê-lo, os pontos de contacto únicos devem, em conformidade com o direito da União ou com a legislação nacional conforme com o direito da União, tratar as informações de forma a respeitar a sua confidencialidade e a proteger a segurança e os interesses comerciais da entidade crítica em causa.

4.Após ter sido notificada em conformidade com o n.º 1, a autoridade competente deve, logo que possível, prestar à entidade crítica que a notificou informações relevantes sobre o seguimento dado à sua notificação, incluindo informações que possam apoiar uma resposta eficaz da entidade crítica ao incidente.

Capítulo IV
Supervisão específica das entidades críticas de especial relevância europeia

Artigo 14.º
Entidades críticas de especial relevância europeia

1.As entidades críticas de especial relevância europeia devem ser objeto de supervisão específica, em conformidade com o presente capítulo.

2.Uma entidade deve ser considerada uma entidade crítica de especial relevância europeia quando tiver sido identificada como entidade crítica e prestar serviços essenciais a, ou em, mais de um terço dos Estados-Membros e tiver sido notificada como tal à Comissão nos termos do artigo 5.º, n.os 1 e 6, respetivamente.

3.A Comissão deve, sem demora injustificada após a receção da notificação nos termos do artigo 5.º, n.º 6, notificar a entidade em causa de que é considerada uma entidade crítica de especial relevância europeia, informando-a das suas obrigações nos termos do presente capítulo e da data a partir da qual essas obrigações lhe são aplicadas.

As disposições do presente capítulo são aplicáveis à entidade crítica de especial relevância europeia em causa a partir da data de receção da referida notificação.

Artigo 15.º
Supervisão específica

1.A pedido de um ou mais Estados-Membros ou da Comissão, o Estado-Membro em que está localizada a infraestrutura da entidade crítica de especial relevância europeia deve, juntamente com essa entidade, informar a Comissão e o Grupo para a Resiliência das Entidades Críticas do resultado da avaliação de riscos efetuada nos termos do artigo 10.º e das medidas tomadas nos termos do artigo 11.º.

Esse Estado-Membro deve informar igualmente, sem demora injustificada, a Comissão e o Grupo para a Resiliência das Entidades Críticas de quaisquer medidas de supervisão ou de execução, incluindo as avaliações de conformidade ou as ordens emitidas, que a sua autoridade competente tiver tomado nos termos dos artigos 18.º e 19.º em relação a essa entidade.

2.A pedido de um ou mais Estados-Membros, ou por sua própria iniciativa, e com o acordo do Estado-Membro onde está localizada a infraestrutura da entidade crítica de especial relevância europeia, a Comissão deve organizar uma missão consultiva para avaliar as medidas que essa entidade adotou para cumprir as suas obrigações nos termos do capítulo III. Sempre que necessário, as missões consultivas podem solicitar conhecimentos especializados no domínio da gestão do risco de catástrofes através do Centro de Coordenação de Resposta de Emergência.

3.A missão consultiva deve comunicar as suas conclusões à Comissão, ao Grupo para a Resiliência das Entidades Críticas e à entidade crítica de especial relevância europeia em causa no prazo de três meses após a sua conclusão.

O Grupo para a Resiliência das Entidades Críticas deve analisar o relatório e, se necessário, aconselhar a Comissão dando-lhe indicações sobre o cumprimento pela entidade crítica de especial relevância europeia em causa das suas obrigações nos termos do capítulo III e, se for caso disso, sobre as medidas que poderão ser tomadas para melhorar a resiliência dessa entidade.

Com base nesse parecer, a Comissão deve comunicar os seus pontos de vista ao Estado-Membro onde está localizada a infraestrutura dessa entidade, ao Grupo para a Resiliência das Entidades Críticas e à própria entidade sobre se esta última cumpre as suas obrigações nos termos do capítulo III e, se for caso disso, quais as medidas que poderão ser tomadas para melhorar a sua resiliência.

Esse Estado-Membro deve ter devidamente em conta esses pontos de vista e informar a Comissão e o Grupo para a Resiliência das Entidades Críticas sobre quaisquer medidas que tiver tomado em conformidade com a comunicação.

4.Cada missão consultiva é composta por peritos dos Estados-Membros e por representantes da Comissão. Os Estados-Membros podem propor candidatos para fazerem parte de uma missão consultiva. A Comissão seleciona e nomeia os membros de cada missão consultiva em função da sua capacidade profissional assegurando uma representação geograficamente equilibrada entre os Estados-Membros. A Comissão suporta os custos relacionados com a participação na missão consultiva.

A Comissão deve organizar o programa de uma missão consultiva, em consulta com os membros da missão consultiva específica e em concertação com o Estado-Membro onde está localizada a infraestrutura da entidade crítica ou a entidade crítica de especial relevância europeia em causa.

5.A Comissão deve adotar um ato de execução que estabelece as regras processuais relativas à realização das missões consultivas e aos seus relatórios. O referido ato de execução deve ser adotado em conformidade com o procedimento de exame a que se refere o artigo 20.º, n.º 2.

6.Os Estados-Membros devem assegurar que a entidade crítica de especial relevância europeia em causa faculta à missão consultiva acesso a todas as informações, sistemas e instalações relacionados com a prestação dos seus serviços essenciais necessários ao desempenho das suas funções.

7.A missão consultiva deve ser realizada em conformidade com a legislação nacional aplicável do Estado-Membro onde está localizada a infraestrutura.

8.Ao organizar as missões consultivas, a Comissão deve ter em conta os relatórios das inspeções efetuadas pela Comissão ao abrigo do Regulamento (CE) n.º 300/2008 e do Regulamento (CE) n.º 725/2004, bem como os relatórios de qualquer controlo efetuado pela Comissão ao abrigo da Diretiva 2005/65/CE relativamente à entidade crítica ou à entidade crítica de especial relevância europeia, consoante o caso.

Capítulo V
Cooperação e apresentação de relatórios

Artigo 16.º
Grupo para a Resiliência das Entidades Críticas

1.É criado um Grupo para a Resiliência das Entidades Críticas com efeitos a partir de [seis meses após a entrada em vigor da presente diretiva]. O referido grupo deve apoiar a Comissão e facilitar a cooperação estratégica e o intercâmbio de informações sobre questões relacionadas com a presente diretiva.

2.O Grupo para a Resiliência das Entidades Críticas é composto por representantes dos Estados-Membros e da Comissão. Se tal for pertinente para o desempenho das suas funções, o Grupo para a Resiliência das Entidades Críticas pode convidar representantes das partes interessadas a participar nos seus trabalhos.

O representante da Comissão preside ao Grupo para a Resiliência das Entidades Críticas.

3.O Grupo para a Resiliência das Entidades Críticas tem as seguintes atribuições:

(a)Ajudar a Comissão a prestar assistência aos Estados-Membros no reforço da sua capacidade para assegurar a resiliência das entidades críticas em conformidade com a presente diretiva;

(b)Avaliar as estratégias de resiliência das entidades críticas referidas no artigo 3.º e identificar as melhores práticas no que respeita a essas estratégias;

(c)Facilitar o intercâmbio de boas práticas relativamente à identificação de entidades críticas pelos Estados-Membros, em conformidade com o artigo 5.º, nomeadamente no que diz respeito às dependências transfronteiriças, bem como aos riscos e incidentes;

(d)Contribuir, mediante pedido, para a elaboração das orientações a que se refere o artigo 6.º, n.º 3, e dos atos delegados e de execução adotados por força da presente diretiva;

(e)Analisar anualmente os relatórios de síntese a que se refere o artigo 8.º, n.º 3;

(f)Proceder à troca de boas práticas em matéria de intercâmbio de informações relacionadas com a notificação de incidentes a que se refere o artigo 13.º;

(g)Analisar e prestar aconselhamento sobre os relatórios das missões consultivas, em conformidade com o artigo 15.º, n.º 3;

(h)Proceder ao intercâmbio de informações e de boas práticas em matéria de investigação e desenvolvimento relacionadas com a resiliência das entidades críticas, em conformidade com a presente diretiva;

(i)Se for caso disso, proceder ao intercâmbio de informações em matéria de resiliência das entidades críticas com as instituições, órgãos e organismos relevantes da União.

4.Até [24 meses após a entrada em vigor da presente diretiva] e, posteriormente, de dois em dois anos, o Grupo para a Resiliência das Entidades Críticas deve definir um programa de trabalho relativo às ações a empreender para cumprir os seus objetivos e as suas atribuições, que deve ser coerente com os requisitos e objetivos da presente diretiva.

5.O Grupo para a Resiliência das Entidades Críticas deve reunir-se regularmente e, pelo menos, uma vez por ano com o grupo de cooperação criado ao abrigo da [Diretiva SRI 2] para promover a cooperação estratégica e o intercâmbio de informações.

6.A Comissão pode adotar atos de execução que estabeleçam as disposições processuais necessárias ao funcionamento do Grupo para a Resiliência das Entidades Críticas. Os referidos atos de execução devem ser adotados em conformidade com o procedimento de exame a que se refere o artigo 20.º, n.º 2.

7.A Comissão deve apresentar ao Grupo para a Resiliência das Entidades Críticas um relatório de síntese das informações prestadas pelos Estados-Membros nos termos do artigo 3.º, n.º 3, e do artigo 4.º, n.º 4, até [três anos e seis meses após a entrada em vigor da presente diretiva] e posteriormente, quando necessário e, pelo menos, de quatro em quatro anos.

Artigo 17.º
Apoio da Comissão às autoridades competentes e às entidades críticas

1.A Comissão deve, se for caso disso, apoiar os Estados-Membros e as entidades críticas no cumprimento das obrigações que lhes incumbem por força da presente diretiva, nomeadamente elaborando uma panorâmica a nível da União dos riscos transfronteiriços e intersetoriais para a prestação de serviços essenciais, organizando as missões consultivas a que se referem o artigo 11.º, n.º 3, e o artigo 15.º, n.º 3, e facilitando o intercâmbio de informações entre peritos na União.

2.A Comissão deve complementar as atividades dos Estados-Membros referidas no artigo 9.º desenvolvendo boas práticas e metodologias, bem como atividades de formação transfronteiriças e exercícios para testar a resiliência das entidades críticas.

Capítulo VI
SUPERVISÃO E EXECUÇÃO COERCIVA

Artigo 18.º
Aplicação e execução

1.A fim de avaliar a conformidade das entidades que os Estados-Membros identificaram como entidades críticas nos termos do artigo 5.º com as obrigações decorrentes da presente diretiva, os Estados-Membros devem assegurar que as autoridades competentes dispõem dos poderes e dos meios necessários para:

(a)Realizar inspeções no local das instalações que a entidade crítica utiliza para prestar os seus serviços essenciais, e supervisionar fora do local as medidas tomadas pelas entidades críticas nos termos do artigo 11.º;

(b)Realizar ou encomendar auditorias a essas entidades.

2.Os Estados-Membros devem assegurar que as autoridades competentes dispõem dos poderes e dos meios para exigir, sempre que necessário para o exercício das suas funções ao abrigo da presente diretiva, que as entidades que tiverem identificado como entidades críticas nos termos do n.º 5 fornecem, num prazo razoável fixado pelas referidas autoridades:

(a)As informações necessárias para avaliar se as medidas tomadas por essas entidades para assegurar a sua resiliência cumprem os requisitos do artigo 11.º;

(b)Elementos comprovativos da aplicação efetiva dessas medidas, incluindo os resultados de uma auditoria realizada por um auditor independente e qualificado selecionado por essa entidade a expensas desta.

Ao requererem essas informações, as autoridades competentes devem declarar a finalidade do seu pedido e especificar as informações requeridas.

3.Sem prejuízo da possibilidade de impor sanções por força do artigo 19.º, as autoridades competentes podem, na sequência das medidas de supervisão a que se refere o n.º 1, ou da avaliação das informações a que se refere o n.º 2, ordenar às entidades críticas em causa que tomem as medidas necessárias e proporcionadas para corrigir as infrações identificadas à presente diretiva, num prazo razoável fixado pelas referidas autoridades, e que as informem das medidas tomadas. Tais ordens devem ter em conta, nomeadamente, a gravidade da infração.

4.Os Estados-Membros devem assegurar que os poderes previstos nos n.os 1, 2 e 3 só podem ser exercidos com as garantias adequadas. Tais garantias devem assegurar, em especial, que esses poderes são exercidos de forma objetiva, transparente e proporcionada e que os direitos e interesses legítimos das entidades críticas afetadas são devidamente salvaguardados, incluindo o direito de serem ouvidas, de defesa e de um recurso efetivo perante um tribunal independente.

5.Os Estados-Membros devem assegurar que, quando uma autoridade competente avalia a conformidade de uma entidade crítica nos termos do presente artigo, informa as autoridades competentes do Estado-Membro em causa designadas nos termos da [Diretiva SRI 2] e pode solicitar a essas autoridades que avaliem a cibersegurança dessa entidade e cooperem e troquem informações para esse efeito.

Artigo 19.º
Sanções

Os Estados-Membros devem estabelecer as regras relativas às sanções aplicáveis em caso de violação das disposições nacionais adotadas nos termos da presente diretiva e tomar todas as medidas necessárias para garantir a sua aplicação. As sanções previstas devem ser efetivas, proporcionadas e dissuasivas. Os Estados-Membros devem notificar essas disposições à Comissão até [dois anos após a data de entrada em vigor da presente diretiva], devendo também notificar sem demora qualquer alteração subsequente das mesmas.

CAPÍTULO VII
DISPOSIÇÕES FINAIS

Artigo 20.º
Procedimento de comité

1.A Comissão é assistida por um comité. Este comité é um comité na aceção do Regulamento (UE) n.º 182/2011.

2.Sempre que se faça referência ao presente número, aplica-se o artigo 5.º do Regulamento (UE) n.º 182/2011.

Artigo 21.º
Exercício da delegação

1.O poder de adotar atos delegados é conferido à Comissão nas condições estabelecidas no presente artigo.

2.O poder de adotar atos delegados referido no artigo 11.º, n.º 4, é conferido à Comissão por um período de cinco anos a contar da data de entrada em vigor da presente diretiva ou qualquer outra data fixada pelos colegisladores.

3.A delegação de poderes referida no artigo 11.º, n.º 4, pode ser revogada em qualquer momento pelo Parlamento Europeu ou pelo Conselho. A decisão de revogação põe termo à delegação dos poderes nela especificados. Produz efeitos a partir do dia seguinte ao da sua publicação no Jornal Oficial da União Europeia ou numa data posterior nela especificada. A decisão de revogação não afeta os atos delegados já em vigor.

4.Antes de adotar um ato delegado, a Comissão consulta os peritos designados por cada Estado-Membro de acordo com os princípios estabelecidos no Acordo Interinstitucional, de 13 de abril de 2016, sobre legislar melhor.

5.Assim que adotar um ato delegado, a Comissão notifica-o simultaneamente ao Parlamento Europeu e ao Conselho.

6.Os atos delegados adotados nos termos do artigo 11.º, n.º 4, só entram em vigor se não tiverem sido formuladas objeções pelo Parlamento Europeu ou pelo Conselho no prazo de dois meses a contar da notificação do ato ao Parlamento Europeu e ao Conselho, ou se, antes do termo desse prazo, o Parlamento Europeu e o Conselho tiverem informado a Comissão de que não têm objeções a formular. O referido prazo é prorrogável por dois meses por iniciativa do Parlamento Europeu ou do Conselho.

Artigo 22.°
Apresentação de relatórios e revisão

A Comissão deve, até [54 meses após a entrada em vigor da presente diretiva], apresentar um relatório ao Parlamento Europeu e ao Conselho, no qual avalie em que medida os Estados-Membros tomaram as medidas necessárias para dar cumprimento à presente diretiva.

A Comissão avalia periodicamente a aplicação da presente diretiva e apresenta um relatório ao Parlamento Europeu e ao Conselho. O relatório deve avaliar, em especial, o impacto e o valor acrescentado da presente diretiva em assegurar a resiliência das entidades críticas e se o âmbito de aplicação da diretiva deve ser alargado de modo a abranger outros setores ou subsetores. O primeiro relatório deve ser apresentado até [seis anos após a entrada em vigor da presente diretiva] e avaliar, em especial, se o âmbito de aplicação da diretiva deve ser alargado de modo a incluir o setor da produção, transformação e distribuição de alimentos.

Artigo 23.º
Revogação da Diretiva 2008/114/CE

A Diretiva 2008/114/CE é revogada com efeitos a partir de [data de entrada em vigor da presente diretiva].

Artigo 24.º
Transposição

1.Os Estados-Membros adotam e publicam, o mais tardar [18 meses após a entrada em vigor da presente diretiva], as disposições legislativas, regulamentares e administrativas necessárias para dar cumprimento à presente diretiva. Os Estados-Membros comunicam imediatamente à Comissão o texto dessas disposições.

Os Estados-Membros devem aplicar as referidas disposições a partir de [dois anos após a entrada em vigor da presente diretiva + um dia].

As disposições adotadas pelos Estados-Membros devem fazer referência à presente diretiva ou ser acompanhadas dessa referência aquando da sua publicação oficial. Os Estados‑Membros estabelecem o modo como deve ser feita a referência.

2.Os Estados-Membros devem comunicar à Comissão o texto das principais disposições de direito interno que adotarem no domínio abrangido pela presente diretiva.

Artigo 25.º
Entrada em vigor

A presente diretiva entra em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial da União Europeia.

Artigo 26.º
Destinatários

Os destinatários da presente diretiva são os Estados-Membros.

Feito em Bruxelas, em

Pelo Parlamento Europeu Pelo Conselho

O Presidente O Presidente

FICHA FINANCEIRA LEGISLATIVA

1.CONTEXTO DA PROPOSTA/INICIATIVA

1.1.Denominação da proposta/iniciativa

DIRETIVA DO PARLAMENTO EUROPEU E DO CONSELHO

relativa à resiliência das entidades críticas

1.2.Domínio(s) de intervenção em causa

Segurança

1.3.A proposta/iniciativa refere-se a:

◻ uma nova ação

◻ uma nova ação na sequência de um projeto-piloto/ação preparatória 40

☑ uma prorrogação de uma ação existente

◻ fusão ou reorientação de uma ou mais ações para outra/nova ação

1.4.Objetivo(s)

1.4.1.Objetivo(s) geral(is)

Os operadores de infraestruturas críticas prestam serviços em vários setores (como os transportes, a energia, a saúde, a água, etc.) que são necessários para funções sociais e atividades económicas vitais. Por conseguinte, os operadores têm de ser resilientes, ou seja, estar bem protegidos, mas também ser capazes de voltar rapidamente a entrar em funcionamento em caso de perturbação.

O objetivo geral da proposta é reforçar a resiliência desses operadores (aqui designados por «entidades críticas») contra uma série de riscos naturais e de origem humana, intencionais ou não intencionais.

1.4.2.Objetivo(s) específico(s)

A iniciativa visa dar resposta a quatro objetivos específicos:

- assegurar um nível mais elevado de compreensão dos riscos e das interdependências com que se deparam as entidades críticas, bem como dos meios para lhes dar resposta;

- assegurar que todas as entidades relevantes são designadas como «entidades críticas» pelas autoridades dos Estados-Membros;

- assegurar que todo o espetro de atividades de resiliência seja incluído nas políticas públicas e na prática operacional;

- reforçar as capacidades e melhorar a cooperação e a comunicação entre as partes interessadas.

Estes objetivos contribuirão para a realização do objetivo geral da iniciativa.

1.4.3.Resultados e impacto esperados

Especificar os efeitos que a proposta/iniciativa poderá ter nos beneficiários/na população visada

Espera-se que a iniciativa tenha efeitos positivos na segurança das entidades críticas, que passariam a ser mais resilientes face aos riscos e perturbações. Poderiam atenuar melhor os riscos, dar resposta a potenciais perturbações e minimizar os impactos negativos nos casos em que ocorram incidentes.

Uma maior resiliência das entidades críticas significa também que as suas operações serão mais fiáveis e que os seus serviços em muitos setores vitais serão prestados de forma contínua, contribuindo assim para o bom funcionamento do mercado interno. Por sua vez, tal terá um impacto positivo para o público em geral e para as empresas, dado que estas dependem, nas suas atividades diárias, desses serviços.

As autoridades públicas beneficiariam igualmente da estabilidade decorrente do bom funcionamento das principais atividades económicas e da prestação constante de serviços essenciais aos seus cidadãos.

1.4.4.Indicadores de resultados

Especificar os indicadores que permitem acompanhar os progressos e os resultados.

Os indicadores para acompanhar os progressos e as realizações estarão ligados aos objetivos específicos da iniciativa:

- o número e o âmbito das avaliações de risco efetuadas pelas autoridades e entidades críticas serão um indicador da maior compreensão dos riscos por parte dos principais intervenientes.

- o número de «entidades críticas» identificadas pelos Estados-Membros será um reflexo da abrangência das políticas em matéria de infraestruturas críticas.

- a integração da resiliência nas políticas públicas e na prática operacional refletir-se-á nas estratégias nacionais e nas medidas de resiliência das entidades críticas.

- as melhorias em termos de capacidades e de cooperação serão avaliadas com base nas atividades de reforço das capacidades e nas iniciativas de cooperação desenvolvidas.

1.5.Justificação da proposta/iniciativa

1.5.1.Necessidade(s) a satisfazer a curto ou a longo prazo, incluindo um calendário pormenorizado para a concretização da aplicação da iniciativa

Para satisfazer os requisitos da iniciativa, os Estados-Membros terão de desenvolver, a curto e a médio prazo, uma estratégia sobre a resiliência das entidades críticas; realizar avaliações de riscos a nível nacional; e identificar quais os operadores que são «entidades críticas» com base nos resultados da avaliação de riscos e em critérios específicos. Estas atividades serão realizadas regularmente, se necessário, e pelo menos uma vez de quatro em quatro anos. Os Estados-Membros terão igualmente de estabelecer mecanismos de cooperação entre as partes interessadas pertinentes.

Os operadores designados como «entidades críticas» seriam obrigados a efetuar, a curto ou médio prazo, a sua própria avaliação de riscos; tomar medidas técnicas e organizativas adequadas e proporcionadas para assegurar a sua resiliência; e notificar os incidentes às autoridades competentes.

1.5.2.Valor acrescentado da intervenção da União (que pode resultar de diferentes fatores, como, por exemplo, ganhos de coordenação, segurança jurídica, maior eficácia ou complementaridades). Para efeitos do presente ponto, entende-se por «valor acrescentado da intervenção da União» o valor resultante da intervenção da União que se acrescenta ao valor que teria sido criado pelos Estados-Membros de forma isolada.

Razões para uma ação a nível europeu (ex ante):

O objetivo desta iniciativa é reforçar a resiliência das entidades críticas face a uma série de riscos. Este objetivo não pode ser plenamente alcançado pelos Estados-Membros isoladamente: a ação da UE é justificada pela natureza comum dos riscos que as entidades críticas enfrentam; o caráter transnacional dos serviços que prestam; e as interdependências e as ligações entre si (transetoriais e transfronteiriças). Isto significa que uma vulnerabilidade ou perturbação de uma única instalação pode criar perturbações transetoriais e transfronteiriças.

Valor acrescentado previsto para a intervenção da UE (ex post):

Em comparação com a situação atual, a iniciativa proposta trará valor acrescentado, nomeadamente:

- estabelecendo um quadro geral que promove um maior alinhamento das políticas dos Estados-Membros (âmbito setorial coerente, critérios para a designação de entidades críticas, requisitos comuns em termos de avaliação dos riscos),

- assegurando que as entidades críticas tomam medidas de resiliência adequadas,

- reunindo conhecimentos e competências de toda a UE que otimizam a resposta das entidades críticas e das autoridades,

- reduzindo as discrepâncias entre os Estados-Membros e aumentando a resiliência das entidades críticas em toda a UE.

1.5.3.Ensinamentos retirados de experiências anteriores semelhantes

A proposta baseia-se nos ensinamentos retirados da aplicação da Diretiva relativa às infraestruturas críticas europeias (Diretiva 2008/114/CE) e da sua avaliação (SWD(2019) 308).

1.5.4.Compatibilidade com o quadro financeiro plurianual e eventuais sinergias com outros instrumentos adequados

A presente proposta é um dos elementos constitutivos da nova Estratégia da UE para a União da Segurança, que visa alcançar um ambiente de segurança adequado às exigências do futuro.

Podem ser desenvolvidas sinergias com o Mecanismo de Proteção Civil da União Europeia em matéria de prevenção, atenuação e gestão de catástrofes.

1.6.Duração e impacto financeiro da proposta/iniciativa

◻ duração limitada

◻ em vigor entre [DD/MM]AAAA e [DD/MM]AAAA

◻ Impacto financeiro no período compreendido entre AAAA e AAAA para as dotações de autorização e entre AAAA a AAAA para as dotações de pagamento.

☑ duração ilimitada

·Aplicação com um período de arranque entre 2021 e 2027,

·seguido de um período de aplicação a um ritmo de cruzeiro.

1.7.Modalidade(s) de gestão prevista(s) 41

☑ Gestão direta pela Comissão

☑ pelos seus serviços, incluindo o pessoal nas delegações da União;

◻ pelas agências de execução

☑ Gestão partilhada com os Estados-Membros

◻ Gestão indireta, confiando tarefas de execução orçamental:

◻ a países terceiros ou a organismos por estes designados;

◻ a organizações internacionais e respetivas agências (a especificar);

◻ ao BEI e ao Fundo Europeu de Investimento;

◻ aos organismos referidos nos artigos 70.º e 71.º do Regulamento Financeiro;

◻ a organismos de direito público;

◻ a organismos regidos pelo direito privado com uma missão de serviço público, na medida em que prestem garantias financeiras adequadas;

◻ a organismos regidos pelo direito privado de um Estado-Membro com a responsabilidade pela execução de uma parceria público-privada e que prestem garantias financeiras adequadas;

◻ a pessoas encarregadas da execução de ações específicas no quadro da PESC por força do título V do Tratado da União Europeia, identificadas no ato de base pertinente.

Se assinalar mais de uma modalidade de gestão, queira especificar na secção «Observações».

Observações

A gestão direta abrangerá principalmente: despesas administrativas da DG HOME, o acordo administrativo com o JRC e as subvenções geridas pela Comissão.

A gestão partilhada abrangerá os projetos no quadro da gestão partilhada: os Estados-Membros terão de desenvolver uma estratégia e uma avaliação de riscos, e poderão utilizar as suas dotações nacionais para esse efeito.

2.MEDIDAS DE GESTÃO

2.1.Disposições em matéria de acompanhamento e prestação de informações

Especificar a periodicidade e as condições

De acordo com a proposta de regulamento do Parlamento Europeu e do Conselho que cria, no âmbito do Fundo para a Segurança Interna, o instrumento da União dedicado ao domínio da segurança (COM(2018) 472 final):

Gestão partilhada:

Cada Estado-Membro deve estabelecer sistemas de gestão e de controlo para o seu programa e garantir a qualidade e a fiabilidade do sistema de monitorização e dos dados sobre os indicadores, em conformidade com o Regulamento Disposições Comuns (RDC). De modo a facilitar o rápido início da execução, é possível «reconduzir» os sistemas de gestão e de acompanhamento existentes que funcionam bem para o período de programação seguinte.

Nesse contexto, os Estados-Membros serão convidados a criar um comité de acompanhamento, no qual a Comissão participará a título consultivo. O comité de acompanhamento deve reunir-se, pelo menos, uma vez por ano. O referido comité deve analisar todos os problemas que afetam o progresso do programa com vista à consecução dos seus objetivos.

Os Estados-Membros enviarão um relatório anual de desempenho, que deverá conter informações sobre os progressos realizados na execução do programa e na consecução dos objetivos intermédios e das metas. O relatório deve igualmente mencionar quaisquer problemas que afetem o desempenho do programa e descrever as medidas tomadas para os resolver.

No final do período de programação, cada Estado-Membro apresentará um relatório final de desempenho. O relatório final deve incidir sobre os progressos alcançados na realização dos objetivos do programa e apresentar uma panorâmica dos principais problemas que afetaram o seu desempenho, as medidas tomadas para os corrigir e a avaliação da eficácia dessas medidas. Além disso, deve apresentar o contributo do programa para fazer face aos desafios identificados nas recomendações relevantes da UE dirigidas ao Estado-Membro, os progressos alcançados na realização dos objetivos estabelecidos no quadro de desempenho, as conclusões das avaliações pertinentes e o seguimento dado às referidas conclusões, bem como os resultados das ações de comunicação.

De acordo com a proposta de RDC, os Estados-Membros devem enviar anualmente um pacote de garantia que inclui as contas anuais, a declaração de gestão e os pareceres da autoridade de auditoria sobre as contas, o relatório anual de controlo, tal como exigido pelo artigo 92.º, n.º 1, alínea d), do RDC, o sistema de gestão e controlo e a legalidade e regularidade das despesas declaradas nas contas anuais. Este pacote será utilizado pela Comissão para determinar o montante a imputar ao Fundo para o exercício contabilístico.

De dois em dois anos, será organizada uma reunião de avaliação entre a Comissão e cada Estado-Membro, a fim de se analisar o desempenho de cada programa.

Os Estados-Membros enviam seis vezes por ano dados relativos a cada programa, discriminados por objetivos específicos. Esses dados referem-se ao custo das operações e aos valores dos indicadores comuns de realizações e de resultados.

Em geral:

A Comissão deve efetuar uma avaliação intercalar e uma avaliação retrospetiva das ações executadas ao abrigo do Fundo mencionado, em conformidade com o Regulamento Disposições Comuns. A avaliação intercalar deve basear-se, em particular, na avaliação intercalar dos programas apresentada pelos Estados-Membros à Comissão até 31 de dezembro de 2024.

2.2.Sistema(s) de gestão e de controlo

2.2.1.Justificação da(s) modalidade(s) de gestão, do(s) mecanismo(s) de execução do financiamento, das modalidades de pagamento e da estratégia de controlo propostos

Tanto as avaliações ex post dos fundos 2007-2013 da DG HOME como as avaliações intercalares dos atuais fundos da DG HOME mostram que uma combinação de modos de execução nos domínios da migração e dos assuntos internos permitiu alcançar eficazmente os objetivos dos fundos. A conceção global dos mecanismos de execução é mantida e inclui a gestão partilhada, direta e indireta.

Através da gestão partilhada, os Estados-Membros executam programas que contribuem para os objetivos políticos da União e são adaptados ao seu contexto nacional. A gestão partilhada garante a disponibilidade de apoio financeiro em todos os Estados-Membros participantes. Além disso, a gestão partilhada permite a previsibilidade do financiamento e possibilita aos Estados-Membros, que são quem melhor conhece os desafios a enfrentar a longo prazo, planear as suas dotações em conformidade. Como novidade, o Fundo também pode prestar ajuda de emergência através de gestão partilhada, para além da gestão direta e indireta.

Através da gestão direta, a Comissão presta apoio a outras ações que contribuem para os objetivos políticos comuns da União. As ações permitem prestar um apoio adaptado às necessidades urgentes e específicas em cada Estado-Membro («ajuda de emergência»), apoiar redes e atividades transnacionais, testar ações inovadoras que podem ser reforçadas no âmbito de programas nacionais e abranger estudos com interesse para o conjunto da União («ações da União»).

Através da gestão indireta, o Fundo mantém a possibilidade de delegar tarefas de execução orçamental, designadamente em organizações internacionais e agências do domínio dos assuntos internos para fins específicos.

Tendo em conta os diferentes objetivos e necessidades, é proposto um instrumento temático no âmbito do Fundo, como forma de equilibrar a previsibilidade da afetação de financiamento plurianual aos programas nacionais com alguma flexibilidade no desembolso periódico do financiamento para ações com elevado nível de valor acrescentado para a União. O instrumento temático será utilizado para ações específicas nos Estados-Membros e entre eles, ações da União e ajuda de emergência. Assegurará que os fundos possam ser afetados e transferidos entre as diferentes modalidades acima referidas, com base numa programação bienal.

As modalidades de pagamento no âmbito da gestão partilhada são descritos no projeto de proposta de RDC que prevê um pré-financiamento anual, seguido de um máximo de quatro pagamentos intermédios por programa e por ano com base nos pedidos de pagamento enviados pelos Estados-Membros durante o exercício contabilístico. De acordo com o projeto de proposta de RDC, os pré-financiamentos são apurados no último exercício contabilístico dos programas.

A estratégia de controlo terá por base o novo Regulamento Financeiro e o Regulamento Disposições Comuns. O novo Regulamento Financeiro e o projeto de proposta de RDC deverão alargar a utilização de formas simplificadas de subvenções, tais como montantes únicos, taxas fixas e custos unitários. Introduzirá igualmente novas formas de pagamento, com base nos resultados alcançados e não no custo. Os beneficiários poderão receber um montante fixo em numerário caso demonstrem a realização de determinadas ações, tais como formações ou a prestação de ajuda humanitária. Estas alterações deverão simplificar os encargos de controlo ao nível quer dos beneficiários, quer dos Estados-Membros (por exemplo, verificação de faturas e recibos de despesas).

No que respeita à gestão partilhada, o projeto de proposta de RDC baseia-se na estratégia de gestão e de controlo em vigor para o período de programação 2014-2020, mas introduz algumas medidas destinadas a simplificar a execução e reduzir os encargos de controlo, tanto a nível dos beneficiários como dos Estados-Membros. As novidades incluem:

- a eliminação do processo de designação (que deverá permitir acelerar a execução dos programas);

- as verificações de gestão (administrativas e no local), a realizar pela autoridade de gestão em função dos riscos (em comparação com os controlos administrativos de 100 %, necessários no período de programação 2014-2020). Além disso, em determinadas condições, as autoridades de gestão podem aplicar medidas de controlo proporcionadas, em conformidade com os procedimentos nacionais.

- condições para evitar auditorias múltiplas relativas à mesma operação/despesa.

As autoridades responsáveis pelo programa deverão apresentar à Comissão os pedidos de pagamentos intermédios com base nas despesas suportadas pelos beneficiários. O projeto de proposta de RDC permite às autoridades de gestão efetuar verificações de gestão em função dos riscos e prevê igualmente controlos específicos (por exemplo, controlos no local por parte da autoridade de gestão e auditorias a operações/despesas pela autoridade de auditoria) após a declaração das despesas conexas à Comissão nos pedidos de pagamentos intermédios. A fim de reduzir o risco de reembolso de despesas não elegíveis, o projeto de RDC prevê limitar os pagamentos intermédios da Comissão a 90 %, uma vez que, nesta fase, os controlos nacionais só foram realizados parcialmente. A Comissão pagará o saldo remanescente na sequência do apuramento das contas anual, após a receção do pacote de garantias por parte das autoridades responsáveis pelo programa. Quaisquer irregularidades detetadas pela Comissão ou pelo Tribunal de Contas Europeu após a transmissão do pacote anual de garantias podem conduzir a uma correção financeira líquida.

Relativamente à parte executada através de gestão direta ao abrigo do instrumento temático, o sistema de gestão e de controlo aproveitará a experiência adquirida em 2014-2020, tanto em ações da União como na ajuda de emergência. Será estabelecido um regime simplificado para permitir um tratamento rápido das candidaturas a financiamento, reduzindo simultaneamente o risco de erros: os candidatos elegíveis limitar-se-ão aos Estados-Membros e às organizações internacionais, o financiamento assentará em opções de custos simplificados, serão elaborados modelos normalizados para as propostas de financiamento, para as convenções de subvenções/contribuições e para a elaboração de relatórios, e um comité permanente de avaliação analisará as candidaturas logo que estas sejam recebidas.

2.2.2.Informações sobre os riscos identificados e o(s) sistema(s) de controlo interno criado(s) para os atenuar

A DG HOME não tem sido confrontada com grandes riscos de erros nos seus programas de despesas. Esse facto é confirmado pela ausência recorrente de constatações relevantes nos relatórios anuais do Tribunal de Contas.

No quadro da gestão partilhada, os riscos gerais associados à execução dos programas atuais diz respeito à subutilização do Fundo pelos Estados-Membros, aos eventuais erros decorrentes da complexidade das regras e às insuficiências dos sistemas de gestão e de controlo. O projeto de RDC simplifica o quadro regulamentar através da harmonização das regras e dos sistemas de gestão e de controlo dos diferentes fundos executados em regime de gestão partilhada. Simplifica igualmente os requisitos de controlo (por exemplo, verificações de gestão em função dos riscos, possibilidade de medidas de controlo proporcionadas com base em procedimentos nacionais, limitações do trabalho de auditoria em termos de calendário e/ou operações específicas).

2.2.3.Estimativa e justificação da relação custo-eficácia dos controlos (rácio «custos de controlo ÷ valor dos respetivos fundos geridos») e avaliação dos níveis previstos de risco de erro (no pagamento e no encerramento)

O rácio «custos de controlo/valor dos respetivos fundos geridos» é comunicado pela Comissão. O RAA de 2019 da DG HOME indica 0,72 % para este rácio em relação à gestão partilhada, 1,31 % para as subvenções em regime de gestão direta e 6,05 % para os contratos públicos em regime de gestão direta. No caso da gestão partilhada, esta percentagem diminui normalmente ao longo do tempo, com ganhos de eficiência na execução dos programas e o aumento dos pagamentos aos Estados-Membros.

Espera-se que, com a introdução, no projeto de RDC, da abordagem baseada nos riscos em relação à gestão e aos controlos e uma maior tendência para adotar as opções de custos simplificados, o custo dos controlos para os Estados-Membros venha a diminuir ainda mais.

O Relatório Anual de Atividades de 2019 comunicou uma taxa de erro residual cumulativa de 1,57 % para os programas nacionais FAMI/FSI e uma taxa de erro residual cumulativa de 4,11 % para as subvenções de gestão direta não relacionadas com a investigação.

2.3.Medidas de prevenção de fraudes e irregularidades

Especificar as medidas de prevenção e de proteção existentes ou previstas, como, por exemplo, da estratégia antifraude

A DG HOME continuará a aplicar a sua estratégia antifraude em linha com a estratégia antifraude da Comissão, a fim de garantir, nomeadamente, que os seus controlos internos antifraude estejam plenamente alinhados com a referida estratégia e que a sua abordagem da gestão dos riscos de fraude esteja orientada para identificar os domínios com risco de fraude e dar respostas adequadas.

No que diz respeito à gestão partilhada, os Estados-Membros devem assegurar a legalidade e regularidade das despesas incluídas nas contas apresentadas à Comissão. Neste contexto, os Estados-Membros devem tomar todas as medidas necessárias para prevenir, detetar e corrigir as irregularidades. Tal como no atual ciclo de programação 2014-2020, os Estados-Membros são obrigados a aplicar procedimentos de deteção de irregularidades e de luta contra a fraude, juntamente com o regulamento delegado da Comissão relativo à comunicação de irregularidades. As medidas antifraude continuarão a ser um princípio transversal e uma obrigação para os Estados-Membros.

3.IMPACTO FINANCEIRO ESTIMADO DA PROPOSTA/INICIATIVA

3.1.Rubrica(s) do quadro financeiro plurianual e rubrica(s) orçamental(ais) de despesas envolvida(s)

(1) Novas rubricas orçamentais

Segundo a ordem das rubricas do quadro financeiro plurianual e das respetivas rubricas orçamentais.

Rubrica do quadro financeiro plurianual	Rubrica orçamental	Tipo de despesa	Participação
	Rubrica n.º 5: Resiliência, Segurança e Defesa	DD/DND 42 .	dos países da EFTA 43	dos países candidatos 44	de países terceiros	na aceção do artigo 21.º, n.º 2, alínea b), do Regulamento Financeiro
5	12.2.01 - «Fundo para a Segurança Interna»	DD	NÃO	NÃO	SIM	NÃO
5	12 01 01 - Despesas de apoio relativas ao «Fundo para a Segurança Interna»	DND	NÃO	NÃO	SIM	NÃO

Observações:

Note-se que as dotações operacionais solicitadas no contexto da proposta são cobertas por dotações já previstas na ficha financeira legislativa subjacente ao Regulamento FSI.

São solicitados recursos humanos adicionais no contexto da presente proposta legislativa.

3.2.Impacto financeiro estimado da proposta nas dotações

3.2.1.Síntese do impacto estimado nas dotações operacionais

◻ A proposta/iniciativa não acarreta a utilização de dotações operacionais

☑A proposta/iniciativa acarreta a utilização de dotações operacionais, tal como explicitado seguidamente:

Em milhões de EUR (três casas decimais)

Rubrica do quadro financeiro
plurianual

Resiliência, Segurança e Defesa

DG: HOME			2021	2022	2023	2024	2025	2026	2027	Após -2027	TOTAL
• Dotações operacionais
Rubrica orçamental 12 02 01 Fundo para a Segurança Interna	Autorizações	(1a)	0,124	4,348	5,570	6,720	7,020	7,020	7,020		37,822
	Pagamentos	(2 a)	0,540	4,323	5,357	5,403	5,403	5,403	5,403	5,989	37,822
Dotações de natureza administrativa financiadas a partir da dotação de programas específicos 45
Rubrica orçamental		(3)
TOTAL das dotações para a DG HOME	Autorizações	1a+1b +3	0,124	4,348	5,570	6,720	7,020	7,020	7,020		37,822
	Pagamentos	=2a+2b +3	0,540	4,323	5,357	5,403	5,403	5,403	5,403	5,989	37,822

• TOTAL das dotações operacionais	Autorizações	(4)
	Pagamentos	(5)
• TOTAL das dotações de natureza administrativa financiadas a partir da dotação de programas específicos		(6)
TOTAL das dotações no âmbito da RUBRICA 5 do quadro financeiro plurianual	Autorizações	=4+ 6	0,124	4,348	5,570	6,720	7,020	7,020	7,020		37,822
	Pagamentos	=5+ 6	0,540	4, 323	5,357	5,403	5,403	5,403	5,403	5,989	37,822

Se o impacto da proposta/iniciativa incidir sobre mais de uma rubrica operacional, repetir a secção acima:

• TOTAL das dotações operacionais (todas as rubricas operacionais)	Autorizações	(4)
	Pagamentos	(5)
TOTAL das dotações de natureza administrativa financiadas a partir da dotação de programas específicos (todas as rubricas operacionais)		(6)
TOTAL das dotações no âmbito das RUBRICAS 1 a 6 do quadro financeiro plurianual (quantia de referência)	Autorizações	=4+ 6	0,124	4,348	5,570	6,720	7,020	7,020	7,020		37,822
	Pagamentos	=5+ 6	0,540	4,323	5,357	5,403	5,403	5,403	5,403	5,989	37,822

Rubrica do quadro financeiro
plurianual

«Despesas administrativas»

Esta secção deve ser preenchida com «dados orçamentais de natureza administrativa» a inserir em primeiro lugar no anexo da ficha financeira legislativa (anexo V das regras internas), que é carregada no DECIDE para efeitos das consultas interserviços.

Em milhões de EUR (três casas decimais)

		2021	2022	2023	2024	2025	2026	2027	TOTAL
DG: HOME
• Recursos humanos		0,152	0,228	0,499	0,813	0,932	0,932	0,932	4,488
• Outras despesas administrativas		0,033	0,085	0,109	0,109	0,109	0,109	0,109	0,663
TOTAL DG HOME	Dotações	0,185	0,313	0,608	0,922	1,041	1,041	1,041	5,151

TOTAL das dotações
no âmbito da RUBRICA 7
do quadro financeiro plurianual

(Total das autorizações = total dos pagamentos)

0,185

0,313

0,608

0,922

1,041

5,151

Em milhões de EUR (três casas decimais)

		2021	2022	2023	2024	2025	2026	2027	Após 2027	TOTAL
TOTAL das dotações no âmbito das RUBRICAS 1 a 7 do quadro financeiro plurianual	Autorizações	0,309	4,661	6,178	7,642	8,061	8,061	8,061	-	42,973
	Pagamentos	0,725	4,636	5,965	6,325	6,444	6,444	6,444	5,989	42,973

3.2.2.Resultado estimado financiado com dotações operacionais Dotações de autorização em milhões de EUR (três casas decimais)

3.2.3.Síntese do impacto estimado nas dotações administrativas

◻ A proposta/iniciativa não acarreta a utilização de dotações de natureza administrativa

☑ A proposta/iniciativa acarreta a utilização de dotações de natureza administrativa, tal como explicitado seguidamente:

Em milhões de EUR (três casas decimais)

	2021	2022	2023	2024	2025	2026	2027	TOTAL
RUBRICA 7 do quadro financeiro plurianual
Recursos humanos	0,152	0,228	0,499	0,813	0,932	0,932	0,932	4,488
Outras despesas administrativas	0,033	0,085	0,109	0,109	0,109	0,109	0,109	0,663
Subtotal RUBRICA 7 do quadro financeiro plurianual	0,185	0,313	0,608	0,922	1,041	1,041	1,041	5,188

com exclusão da RUBRICA 7 46 of the multiannual financial framework
Recursos humanos
Outras despesas de natureza administrativa
Subtotal com exclusão da RUBRICA 7 do quadro financeiro plurianual

TOTAL

0,185

0,313

0,608

0,922

1,041

5,188

As dotações relativas aos recursos humanos e outras despesas administrativas necessárias serão cobertas pelas dotações da DG já afetadas à gestão da ação e/ou reafetadas na DG e, se necessário, pelas eventuais dotações adicionais que sejam atribuídas à DG gestora no âmbito do processo de afetação anual e atendendo às disponibilidades orçamentais.

3.2.3.1.Necessidades estimadas de recursos humanos

◻ A proposta/iniciativa não acarreta a utilização de recursos humanos.

☑ A proposta/iniciativa acarreta a utilização de recursos humanos, tal como explicitado seguidamente::

As estimativas devem ser expressas em termos de equivalente a tempo completo

		Ano 2021	Ano 2022	Ano 2023	Ano 2024	2025 2026 2027
• Lugares do quadro do pessoal (funcionários e agentes temporários)
20 01 02 01 (na sede e nos gabinetes de representação da Comissão)		1	2	4	5	5	5	5
XX 01 01 02 (nas delegações)
XX 01 05 01/11/21 (investigação indireta)
10 01 05 01/11 (investigação direta)
• Pessoal externo (em equivalente a tempo completo: ETC) 47
20 02 01 03 (AC, PND e TT da «dotação global»)				1	2	2	2	2
XX 01 02 02 (AC, AL, PND, TT e JPD nas delegações)
XX 01 04 yy 48	- na sede
	- nas delegações
XX 01 05 02/12/22 (AC, PND e TT - Investigação indireta)
10 01 05 02/12 (AC, PND e TT - Investigação direta)
Outras rubricas orçamentais (especificar)
TOTAL		1	2	5	7	7	7	7

XX constitui o domínio de intervenção ou título em causa.

As necessidades de recursos humanos serão cobertas pelos efetivos da DG já afetados à gestão da ação e/ou reafetados internamente a nível da DG, completados, caso necessário, por eventuais dotações adicionais que sejam atribuídas à DG gestora no âmbito do processo de afetação anual e atendendo às disponibilidades orçamentais.

Descrição das tarefas a executar:

Funcionários e agentes temporários

A proposta pressupõe 4 AD e 1 AST dedicados à aplicação da diretiva por parte da Comissão, dos quais 1 AD é já interno e os restantes ETC constituem recursos humanos adicionais a recrutar.

O plano de recrutamento prevê:

2022: +1 AD: responsável pela gestão de políticas encarregado da criação da capacidade de conhecimento e das atividades de apoio

2023: +1 AD (responsável pela gestão de políticas encarregado das equipas consultivas), 1 AST (assistente de equipas consultivas em matéria de resiliência)

2024: +1 AD (responsável pela gestão de políticas que contribui para as atividades de apoio às autoridades e aos operadores)

Pessoal externo

A proposta pressupõe 2 PND dedicados à aplicação da diretiva por parte da Comissão.

O plano de recrutamento prevê:

2023: +1 PND (perito em resiliência das infraestruturas críticas / contribuição para as atividades de apoio às autoridades e aos operadores)

2024: +1 PND (perito em resiliência das infraestruturas críticas / contribuição para as atividades de apoio às autoridades e aos operadores)

3.2.4.Compatibilidade com o atual quadro financeiro plurianual

A proposta/iniciativa:

☑ pode ser integralmente financiada por meio da reafetação de fundos no quadro da rubrica pertinente do quadro financeiro plurianual (QFP).

Despesas operacionais cobertas pelo FSI no âmbito do QFP 2021-2027

◻ requer o recurso à margem não afetada na rubrica em causa do QFP e/ou o recurso a instrumentos especiais em conformidade com o Regulamento QFP.

Explicitar as necessidades, especificando as rubricas orçamentais em causa e as quantias correspondentes, bem como os instrumentos cuja utilização é proposta.

◻ implica uma revisão do QFP.

Explicitar as necessidades, especificando as rubricas orçamentais em causa e as quantias correspondentes.

3.2.5.Participação de terceiros no financiamento

A proposta/iniciativa:

☑ não prevê o cofinanciamento por terceiros

◻ prevê o cofinanciamento por terceiros a seguir estimado:

Dotações em milhões de EUR (três casas decimais)

	Ano N 49	Ano N+1	Ano N+2	Ano N+3	Inserir os anos necessários para refletir a duração do impacto (ver ponto 1.6)	Total
Especificar o organismo de cofinanciamento
TOTAL das dotações cofinanciadas

3.3.Impacto estimado nas receitas

☑ A proposta/iniciativa não tem impacto financeiro nas receitas.

◻ A proposta/iniciativa tem o impacto financeiro a seguir descrito:

◻ nos recursos próprios

◻ noutras receitas

indicar se as receitas são afetadas a rubricas de despesas ◻

Em milhões de EUR (três casas decimais)

Rubrica orçamental das receitas:	Dotações disponíveis para o atual exercício	Impacto da proposta/iniciativa 50
		Ano N	Ano N+1	Ano N+2	Ano N+3	Inserir os anos necessários para refletir a duração do impacto (ver ponto 1.6)
Artigo ………….

Relativamente às receitas afetadas, especificar a(s) rubrica(s) orçamental(ais) de despesas envolvida(s).

[…]

Outras observações (p. ex., método/fórmula utilizado/a para o cálculo do impacto sobre as receitas ou qualquer outra informação).

[…]

(1) Conclusões do Conselho, de 10 de dezembro de 2019, sobre os esforços complementares para aumentar a resiliência e combater as ameaças híbridas (14972/19).

(2) Relatório sobre os resultados e as recomendações da Comissão Especial sobre o Terrorismo do Parlamento Europeu [2018/2044(INI)].

(3) Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União.

(4) COM(2020) 605.

(5) COM(2020) 795.

(6) Comunicação da Comissão relativa a um Programa Europeu de Proteção das Infraestruturas Críticas [COM(2006) 786].

(7) Diretiva 2008/114/CE do Conselho, de 8 de dezembro de 2008, relativa à identificação e designação das infraestruturas críticas europeias e à avaliação da necessidade de melhorar a sua proteção.

(8) Comunicação da Comissão — Estratégia da UE para a adaptação às alterações climáticas [COM(2013) 216]; Decisão n.º 1313/2013/UE do Parlamento Europeu e do Conselho, de 17 de dezembro de 2013, relativa a um Mecanismo de Proteção Civil da União Europeia; Regulamento (UE) 2019/452, de 19 de março de 2019, que estabelece um regime de análise dos investimentos diretos estrangeiros na União; Diretiva (UE) 2016/1148 relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União.

(9) Overview of natural and man-made disaster risks the European Union may face [Síntese dos riscos de catástrofes naturais e de origem humana na UE] [SWD(2020) 330].

(10) SWD(2019) 308.

(11) Comunicação da Comissão sobre a Estratégia da UE para a União da Segurança [COM(2020) 605].

(12) SWD(2019) 310.

(13) Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE.

(14) JO C de , p. .

(15) JO C […] de […], p. […].

(16) Posição do Parlamento Europeu […] e do Conselho […].

(17) Diretiva 2008/114/CE do Conselho, de 8 de dezembro de 2008, relativa à identificação e designação das infraestruturas críticas europeias e à avaliação da necessidade de melhorar a sua proteção (JO L 345 de 23.12.2008, p. 75).

(18) SWD(2019) 308.

(19) Programa Europeu de Proteção das Infraestruturas Críticas (PEPIC).

(20) [Referência à Diretiva SRI 2, uma vez adotada].

(21) Diretiva (UE) 2016/1148 do Parlamento Europeu e do Conselho, de 6 de julho de 2016, relativa a medidas destinadas a garantir um elevado nível comum de segurança das redes e da informação em toda a União (JO L 194 de 19.7.2016, p. 1).

(22) Regulamento (UE) n.º 648/2012 do Parlamento Europeu e do Conselho, de 4 de julho de 2012, relativo aos derivados do mercado de balcão, às contrapartes centrais e aos repositórios de transações (JO L 201 de 27.7.2012, p. 1).

(23) Diretiva 2014/65/UE do Parlamento Europeu e do Conselho, de 15 de maio de 2014, relativa aos mercados de instrumentos financeiros e que altera a Diretiva 2002/92/CE e a Diretiva 2011/61/UE (JO L 173 de 12.6.2014, p. 349).

(24) Regulamento (UE) n.º 600/2014 do Parlamento Europeu e do Conselho, de 15 de maio de 2014, relativo aos mercados de instrumentos financeiros e que altera o Regulamento (UE) n.º 648/2012 (JO L 173 de 12.6.2014, p. 84).

(25) Regulamento (UE) n.º 575/2013 do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativo aos requisitos prudenciais para as instituições de crédito e para as empresas de investimento e que altera o Regulamento (UE) n.º 648/2012 (JO L 176 de 27.6.2013, p 1).

(26) Diretiva 2013/36/UE do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativa ao acesso à atividade das instituições de crédito e à supervisão prudencial das instituições de crédito e empresas de investimento, que altera a Diretiva 2002/87/CE e revoga as Diretivas 2006/48/CE e 2006/49/CE (JO L 176 de 27.6.2013, p. 338).

(27) Proposta de Regulamento do Parlamento Europeu e do Conselho relativo à resiliência operacional digital do setor financeiro e que altera os regulamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014 e (UE) n.º 909/2014 (COM(2020) 595).

(28) Regulamento (CE) n.º 300/2008 do Parlamento Europeu e do Conselho, de 11 de março de 2008, relativo ao estabelecimento de regras comuns no domínio da segurança da aviação civil e que revoga o Regulamento (CE) n.º 2320/2002 (JO L 97 de 9.4.2008, p. 72).

(29) Regulamento (CE) n.º 725/2004 do Parlamento Europeu e do Conselho, de 31 de março de 2004, relativo ao reforço da proteção dos navios e das instalações portuárias (JO L 129 de 29.4.2004, p. 6).

(30) Diretiva 2005/65/CE do Parlamento Europeu e do Conselho, de 26 de outubro de 2005, relativa ao reforço da segurança nos portos (JO L 310 de 25.11.2005, p. 28).

(31) Decisão da Comissão, de 29 de junho de 2018, que cria a plataforma de segurança dos passageiros ferroviários da UE (C/2018/4014).

(32) JO L 123 de 12.5.2016, p. 1.

(33) Regulamento (UE) n.º 182/2011 do Parlamento Europeu e do Conselho, de 16 de fevereiro de 2011, que estabelece as regras e os princípios gerais relativos aos mecanismos de controlo pelos Estados-Membros do exercício das competências de execução pela Comissão (JO L 55 de 28.2.2011, p. 13).

(34) Diretiva (UE) 2017/541 do Parlamento Europeu e do Conselho, de 15 de março de 2017, relativa à luta contra o terrorismo e que substitui a Decisão-Quadro 2002/475/JAI do Conselho e altera a Decisão 2005/671/JAI do Conselho (JO L 88 de 31.3.2017, p. 6).

(35) Decisão n.º 1313/2013/UE do Parlamento Europeu e do Conselho, de 17 de dezembro de 2013, relativa a um Mecanismo de Proteção Civil da União Europeia (JO L 347 de 20.12.2013, p. 924).

(36) Regulamento (UE) 2019/941 do Parlamento Europeu e do Conselho, de 5 de junho de 2019, relativo à preparação para riscos no setor da eletricidade e que revoga a Diretiva 2005/89/CE (JO L 158 de 14.6.2019, p. 1).

(37) Regulamento (UE) 2017/1938 do Parlamento Europeu e do Conselho, de 25 de outubro de 2017, relativo a medidas destinadas a garantir a segurança do aprovisionamento de gás e que revoga o Regulamento (UE) n.º 994/2010 (JO L 280 de 28.10.2017, p. 1).

(38) JO L 119 de 4.5.2016, p. 1.

(39) JO L 135 de 22.5.2019, p. 1.

(40) Como referido no artigo 58.º, n.º 2, alínea a) ou b), do Regulamento Financeiro.

(41) As explicações sobre as modalidades de gestão e as referências ao Regulamento Financeiro estão disponíveis no sítio BudgWeb: https://myintracomm.ec.europa.eu/budgweb/EN/man/budgmanag/Pages/budgmanag.aspx

(42) DD = dotações diferenciadas/DND = dotações não diferenciadas.

(43) EFTA: Associação Europeia de Comércio Livre.

(44) Países candidatos e, se aplicável, países candidatos potenciais dos Balcãs Ocidentais.

(45) Assistência técnica e/ou administrativa e despesas de apoio à execução de programas e/ou ações da UE (antigas rubricas «BA»), bem como investigação direta e indireta.

(46) Assistência técnica e/ou administrativa e despesas de apoio à execução de programas e/ou ações da UE (antigas rubricas «BA»), bem como investigação direta e indireta.

(47) AC = agente contratual; AL = agente local; PND = perito nacional destacado; TT = trabalhador temporário; JPD = jovem perito nas delegações.

(48) Sublimite máximo para o pessoal externo coberto pelas dotações operacionais (antigas rubricas «BA»).

(49) O ano N é o do início da aplicação da proposta/iniciativa. Substituir «N» pelo primeiro ano de execução previsto (por exemplo: 2021). Proceder do mesmo modo relativamente aos anos seguintes.

(50) No que diz respeito aos recursos próprios tradicionais (direitos aduaneiros e quotizações sobre o açúcar), as quantias indicadas devem ser apresentadas em termos líquidos, isto é, quantias brutas após dedução de 20 % a título de despesas de cobrança.

Top

COMISSÃO EUROPEIA

Bruxelas, 16.12.2020

COM(2020) 829 final

ANEXO

da proposta de

DIRETIVA DO PARLAMENTO EUROPEU E DO CONSELHO

relativa à resiliência das entidades críticas

{SEC(2020) 433 final} - {SWD(2020) 358 final} - {SWD(2020) 359 final}

ANEXO

Setores, subsetores e tipos de entidades

Setor	Subsetor	Tipo de entidade
1. Energia	a) Eletricidade	— Empresas de eletricidade na aceção do artigo 2.º, ponto 57, da Diretiva (UE) 2019/944 1 , que exercem a atividade de «comercialização» na aceção do artigo 2.º, ponto 12, da mesma diretiva
		— Operadores da rede de distribuição na aceção do artigo 2.º, ponto 29, da Diretiva (UE) 2019/944
		— Operadores da rede de transporte na aceção do artigo 2.º, ponto 35, da Diretiva (UE) 2019/944
		— Produtores na aceção do artigo 2.º, ponto 38, da Diretiva (UE) 2019/944
		— Operadores nomeados do mercado da eletricidade na aceção do artigo 2.º, ponto 8, do Regulamento (UE) 2019/943 2
		— Participantes no mercado da eletricidade na aceção do artigo 2.º, ponto 25, do Regulamento (UE) 2019/943, que prestam serviços de agregação, resposta da procura ou armazenamento de energia na aceção do artigo 2.º, pontos 18, 20 e 59, da Diretiva (UE) 2019/944
	b) Aquecimento e arrefecimento urbano	— Sistemas de aquecimento ou de arrefecimento urbano na aceção do artigo 2.º, ponto 19, da Diretiva (UE) 2018/2001 3 relativa à promoção da utilização de energia de fontes renováveis
	c) Petróleo	— Operadores de oleodutos de petróleo
		— Operadores de instalações de produção, refinamento e tratamento, armazenamento e transporte de petróleo
		— Entidades centrais de armazenagem de petróleo na aceção do artigo 2.º, alínea f), da Diretiva 2009/119/CE do Conselho 4
	d) Gás	— Empresas de comercialização na aceção do artigo 2.º, ponto 8, da Diretiva 2009/73/CE 5
		— Operadores da rede de distribuição na aceção do artigo 2.º, ponto 6, da Diretiva 2009/73/CE
		— Operadores da rede de transporte na aceção do artigo 2.º, ponto 4, da Diretiva 2009/73/CE
		— Operadores do sistema de armazenamento na aceção do artigo 2.º, ponto 10, da Diretiva 2009/73/CE
		— Operadores da rede de GNL na aceção do artigo 2.º, ponto 12, da Diretiva 2009/73/CE
		— Empresas de gás natural na aceção do artigo 2.º, ponto 1, da Diretiva 2009/73/CE
		— Operadores de instalações de refinamento e tratamento de gás natural
	e) Hidrogénio	— Operadores de produção, armazenamento e transporte de hidrogénio
2. Transportes	a) Transporte aéreo	— Transportadoras aéreas na aceção do artigo 3.º, ponto 4, do Regulamento (CE) n.º 300/2008 6
		— Entidades gestoras aeroportuárias na aceção do artigo 2.º, ponto 2, da Diretiva 2009/12/CE 7 , aeroportos na aceção do artigo 2.º, ponto 1, da referida diretiva, incluindo os aeroportos principais constantes da lista do anexo II, secção 2, do Regulamento (UE) n.º 1315/2013 8 , e as entidades que exploram instalações anexas existentes dentro dos aeroportos
		— Operadores de controlo da gestão do tráfego que prestam serviços de controlo de tráfego aéreo (CTA) na aceção do artigo 2.º, ponto 1, do Regulamento (CE) n.º 549/2004 do Parlamento Europeu e do Conselho 9
	b) Transporte ferroviário	— Gestores de infraestrutura na aceção do artigo 3.º, ponto 2, da Diretiva (UE) 2012/34 10
		— Empresas ferroviárias na aceção do artigo 3.º, ponto 1, da Diretiva 2012/34/UE, incluindo os operadores de instalações de serviço na aceção do artigo 3.º, ponto 12, da Diretiva 2012/34/UE
	c) Transporte por vias navegáveis	— Companhias de transporte marítimo, costeiro e por vias navegáveis interiores de passageiros e de mercadorias, na aceção, para o transporte marítimo, do anexo I do Regulamento (CE) n.º 725/2004 11 , não incluindo os navios explorados por essas companhias
		— Entidades gestoras dos portos na aceção do artigo 3.º, ponto 1, da Diretiva 2005/65/CE 12 , incluindo as respetivas instalações portuárias na aceção do artigo 2.º, ponto 11, do Regulamento (CE) n.º 725/2004, e as entidades que gerem as obras e o equipamento existentes dentro dos portos
		— Operadores de serviços de tráfego marítimo na aceção do artigo 3.º, alínea o), da Diretiva 2002/59/CE do Parlamento Europeu e do Conselho 13
	d) Transporte rodoviário	— Autoridades rodoviárias na aceção do artigo 2.º, ponto 12, do Regulamento Delegado (UE) n.º 2015/962 da Comissão 14 , responsáveis pelo controlo da gestão do tráfego
		— Operadores de sistemas de transporte inteligentes na aceção do artigo 4.º, ponto 1, da Diretiva (UE) 2010/40/CE 15
3. Setor bancário		Instituições de crédito na aceção do artigo 4.º, n.º 1, ponto 1, do Regulamento (UE) n.º 575/2013 16
4. Infraestruturas do mercado financeiro		— Operadores de plataformas de negociação na aceção do artigo 4.º, n.º 1, ponto 24, da Diretiva 2014/65/UE 17
		— Contrapartes centrais (CCP) na aceção do artigo 2.º, ponto 1, do Regulamento (UE) n.º 648/2012 18
5. Saúde		— Prestadores de cuidados de saúde na aceção do artigo 3.º, alínea g), da Diretiva (UE) 2011/24 19
		— Laboratórios de referência da UE na aceção do artigo 15.º do Regulamento [XX] relativo às ameaças transfronteiriças graves para a saúde 20
		— Entidades que realizam atividades de investigação e desenvolvimento de medicamentos na aceção do artigo 1.º, n.º 2, da Diretiva 2001/83/CE 21
		— Entidades que fabricam produtos farmacêuticos de base e preparações farmacêuticas a que se refere a secção C, divisão 21, da NACE Rev. 2
		— Entidades que fabricam dispositivos médicos considerados críticos durante uma emergência de saúde pública («lista de dispositivos médicos críticos para a emergência de saúde pública») na aceção do artigo 20.º do Regulamento XXXX 22
6. Água potável		Fornecedores e distribuidores de água destinada ao consumo humano, na aceção do artigo 2.º, ponto 1, alínea a), da Diretiva 98/83/CE do Conselho 23 , mas excluindo os distribuidores para os quais a distribuição de água para consumo humano é apenas uma parte da sua atividade geral de distribuição de outros produtos de base e mercadorias não considerados serviços essenciais ou importantes
7. Águas residuais		Empresas que recolhem, eliminam ou tratam águas residuais urbanas, domésticas e industriais na aceção do artigo 2.º, pontos 1 a 3, da Diretiva 91/271/CEE do Conselho 24
8. Infraestruturas digitais		— Fornecedores de pontos de troca de tráfego [na aceção do artigo 4.º, ponto X, da Diretiva SRI 2]
		— Prestadores de serviços de DNS [na aceção do artigo 4.º, ponto X, da Diretiva SRI 2
		— Registos de nomes de domínio de topo [na aceção do artigo 4.º, ponto X, da Diretiva SRI 2]
		— Prestadores de serviços de computação em nuvem [na aceção do artigo 4.º, ponto X, da Diretiva SRI 2]
		— Prestadores de serviços de centros de dados [na aceção do artigo 4.º, ponto X, da Diretiva SRI 2]
		— Fornecedores de redes de distribuição de conteúdos [na aceção do artigo 4.º, ponto X, da Diretiva SRI 2]
		— Prestadores de serviços de confiança na aceção do artigo 3.º, ponto 19, do Regulamento (UE) n.º 910/2014 25
		— Fornecedores de redes públicas de comunicações eletrónicas na aceção do artigo 2.º, ponto 8, da Diretiva (UE) 2018/1972 26 ou fornecedores de serviços de comunicações eletrónicas na aceção do artigo 2.º, ponto 4, da Diretiva (UE) 2018/1972, na medida em que os seus serviços sejam acessíveis ao público
9. Administração pública		— Entidades da administração pública [na aceção do artigo 4.º, ponto X, da Diretiva SRI 2], das administrações centrais
		— Entidades da administração pública [na aceção do artigo 4.º, ponto X, da Diretiva SRI 2], das regiões de nível NUTS 1 enumeradas no anexo I do Regulamento (CE) n.º 1059/2003 27
		— Entidades da administração pública [na aceção do artigo 4.º, ponto X, da Diretiva SRI 2], das regiões de nível NUTS 2 enumeradas no anexo I do Regulamento (CE) n.º 1059/2003
10. Espaço		— Operadores de infraestruturas terrestres detidas, geridas e operadas pelos Estados-Membros ou por entidades privadas que apoiam a oferta de serviços espaciais, excluindo os fornecedores de redes públicas de comunicações eletrónicas na aceção do artigo 2.º, ponto 8, da Diretiva 2018/1972.

(1) Diretiva (UE) 2019/944 do Parlamento Europeu e do Conselho, de 5 de junho de 2019, relativa a regras comuns para o mercado interno da eletricidade e que altera a Diretiva 2012/27/UE (JO L 158 de 14.6.2019, p. 125).

(2) Regulamento (UE) 2019/943 do Parlamento Europeu e do Conselho, relativo ao mercado interno da eletricidade (JO L 158 de 14.6.2019, p. 54).

(3) Diretiva (UE) 2018/2001 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2018, relativa à promoção da utilização de energia de fontes renováveis (JO L 328 de 21.12.2018, p. 82).

(4) Diretiva 2009/119/CE do Conselho, de 14 de setembro de 2009, que obriga os Estados-Membros a manterem um nível mínimo de reservas de petróleo bruto e/ou de produtos petrolíferos (JO L 265 de 9.10.2009, p. 9).

(5) Diretiva 2009/73/CE do Parlamento Europeu e do Conselho, de 13 de julho de 2009, que estabelece regras comuns para o mercado interno do gás natural e que revoga a Diretiva 2003/55/CE (JO L 211 de 14.8.2009, p. 94).

(6) Regulamento (CE) n.º 300/2008 do Parlamento Europeu e do Conselho, de 11 de março de 2008, relativo ao estabelecimento de regras comuns no domínio da segurança da aviação civil e que revoga o Regulamento (CE) n.º 2320/2002 (JO L 97 de 9.4.2008, p. 72).

(7) Diretiva 2009/12/CE do Parlamento Europeu e do Conselho, de 11 de março de 2009, relativa às taxas aeroportuárias (JO L 70 de 14.3.2009, p. 11).

(8) Regulamento (UE) n.º 1315/2013 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2013, relativo às orientações da União para o desenvolvimento da rede transeuropeia de transportes e que revoga a Decisão n.º 661/2010/UE (JO L 348 de 20.12.2013, p. 1).

(9) Regulamento (CE) n.º 549/2004 do Parlamento Europeu e do Conselho, de 10 de março de 2004, que estabelece o quadro para a realização do céu único europeu («regulamento-quadro») (JO L 96 de 31.3.2004, p. 1).

(10) Diretiva 2012/34/UE do Parlamento Europeu e do Conselho, de 21 de novembro de 2012, que estabelece um espaço ferroviário europeu único (JO L 343 de 14.12.2012, p. 32).

(11) Regulamento (CE) n.º 725/2004 do Parlamento Europeu e do Conselho, de 31 de março de 2004, relativo ao reforço da proteção dos navios e das instalações portuárias (JO L 129 de 29.4.2004, p. 6).

(12) Diretiva 2005/65/CE do Parlamento Europeu e do Conselho, de 26 de outubro de 2005, relativa ao reforço da segurança nos portos (JO L 310 de 25.11.2005, p. 28).

(13) Diretiva 2002/59/CE do Parlamento Europeu e do Conselho, de 27 de junho de 2002, relativa à instituição de um sistema comunitário de acompanhamento e de informação do tráfego de navios e que revoga a Diretiva 93/75/CEE do Conselho (JO L 208 de 5.8.2002, p. 10).

(14) Regulamento Delegado (UE) 2015/962 da Comissão, de 18 de dezembro de 2014, que complementa a Diretiva 2010/40/UE do Parlamento Europeu e do Conselho no respeitante à prestação de serviços de informação de tráfego em tempo real à escala da UE (JO L 157 de 23.6.2015, p. 21).

(15) Diretiva 2010/40/UE do Parlamento Europeu e do Conselho, de 7 de julho de 2010, que estabelece um quadro para a implantação de sistemas de transporte inteligentes no transporte rodoviário, inclusive nas interfaces com outros modos de transporte (JO L 207 de 6.8.2010, p. 1).

(16) Regulamento (UE) n.º 575/2013 do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativo aos requisitos prudenciais para as instituições de crédito e para as empresas de investimento e que altera o Regulamento (UE) n.º 648/2012 (JO L 176 de 27.6.2013, p. 1).

(17) Diretiva 2014/65/UE do Parlamento Europeu e do Conselho, de 15 de maio de 2014, relativa aos mercados de instrumentos financeiros e que altera a Diretiva 2002/92/CE e a Diretiva 2011/61/UE (JO L 173 de 12.6.2014, p. 349).

(18) Regulamento (UE) n.º 648/2012 do Parlamento Europeu e do Conselho, de 4 de julho de 2012, relativo aos derivados do mercado de balcão, às contrapartes centrais e aos repositórios de transações (JO L 201 de 27.7.2012, p. 1).

(19) Diretiva 2011/24/UE do Parlamento Europeu e do Conselho, de 9 de março de 2011, relativa ao exercício dos direitos dos doentes em matéria de cuidados de saúde transfronteiriços (JO L 88 de 4.4.2011, p. 45).

(20) [Regulamento do Parlamento Europeu e do Conselho relativo às ameaças transfronteiriças graves para a saúde e que revoga a Decisão n.º 1082/2013/UE, referência a atualizar quando a proposta COM(2020) 727 final for adotada].

(21) Diretiva 2001/83/CE do Parlamento Europeu e do Conselho, de 6 de novembro de 2001, que estabelece um código comunitário relativo aos medicamentos para uso humano (JO L 311 de 28.11.2001, p. 67).

(22) [Regulamento relativo ao reforço do papel da Agência Europeia de Medicamentos em matéria de preparação e gestão de crises no que diz respeito aos medicamentos e dispositivos médicos, COM(2020) 725 final], referência a atualizar quando a proposta for adotada].

(23) Diretiva 98/83/CE do Conselho, de 3 de novembro de 1998, relativa à qualidade da água destinada ao consumo humano (JO L 330 de 5.12.1998, p. 32).

(24) Diretiva 91/271/CEE do Conselho, de 21 de maio de 1991, relativa ao tratamento de águas residuais urbanas (JO L 135 de 30.5.1991, p. 40).

(25) Regulamento (UE) n.º 910/2014 do Parlamento Europeu e do Conselho, de 23 de julho de 2014, relativo à identificação eletrónica e aos serviços de confiança para as transações eletrónicas no mercado interno e que revoga a Diretiva 1999/93/CE (JO L 257 de 28.8.2014, p. 73).

(26) Diretiva (UE) 2018/1972 do Parlamento Europeu e do Conselho, de 11 de dezembro de 2018, que estabelece o Código Europeu das Comunicações Eletrónicas (JO L 321 de 17.12.2018, p. 36).

(27) Regulamento (CE) n.º 1059/2003 do Parlamento Europeu e do Conselho, de 26 de maio de 2003, relativo à instituição de uma Nomenclatura Comum das Unidades Territoriais Estatísticas (NUTS) (JO L 154 de 21.6.2003, p. 1).

Top

All

Choose the experimental features you want to try