PRILOGA

V tej prilogi so opisani cilji, načela, glavni akterji, medsebojni vpliv z obstoječimi mehanizmi za odzivanje na krize in delovanje načrta za usklajevanje odzivanja na incidente na kritični infrastrukturi z velikim čezmejnim pomenom (v nadaljnjem besedilu: načrt EU za kritično infrastrukturo) ter po potrebi izboljšanje sodelovanja med državami članicami ter ustreznimi institucijami, organi, uradi in agencijami Unije v zvezi s takimi incidenti v skladu z veljavnimi pravili in postopki. Ta načrt EU za kritično infrastrukturo nikakor ne vpliva na vlogo in delovanje drugih ureditev.

Del I: Cilji, načela, akterji in drugi instrumenti

1.   Cilji

Namen načrta EU za kritično infrastrukturo je spodbujati naslednje tri glavne cilje v odziv na incident na kritični infrastrukturi z velikim čezmejnim pomenom, kadar je to ustrezno:

(a)	skupno situacijsko zavedanje, saj je dobro razumevanje incidenta na kritični infrastrukturi z velikim čezmejnim pomenom v državah članicah, njegovega izvora in morebitnih posledic za vse zadevne deležnike na operativni in strateški/politični ravni bistvenega pomena za ustrezen usklajen odziv;

(b)

usklajeno komuniciranje z javnostjo, saj to pomaga ublažiti negativne učinke incidenta na kritični infrastrukturi z velikim čezmejnim pomenom in čim bolj zmanjšati razlike med sporočili, ki jih države članice sporočijo javnosti, ob polnem spoštovanju nacionalnih pristojnosti za krizno komuniciranje. Kadar je to v interesu javnosti in če to komuniciranje ne ovira operacij kriznega upravljanja in obvladovanja izrednih razmer, je jasno komuniciranje z javnostjo pomembno tudi za ublažitev posledic dezinformacij;

(c)

usklajen in učinkovit odziv, saj krepitev odziva držav članic ter sodelovanja med njimi in z ustreznimi institucijami, organi, uradi in agencijami Unije lahko prispeva k blažitvi učinkov incidenta na kritični infrastrukturi z velikim čezmejnim pomenom ter pripomore k hitri ponovni vzpostavitvi bistvenih storitev na način, ki čim bolj zmanjšuje ranljivost za nadaljnje pomembne incidente.

2.   Načela

Sorazmernost

Incidenti, ki povzročijo motnje na kritični infrastrukturi in/ali v zagotavljanju bistvenih storitev, so pogosto pod pragom incidenta na kritični infrastrukturi z velikim čezmejnim pomenom, kakor je opredeljen v točki 2 tega priporočila. Kot take jih je načeloma mogoče učinkovito obravnavati na nacionalni ravni. Zato bi morala biti uporaba načrta EU za kritično infrastrukturo omejena na incidente na kritični infrastrukturi z velikim čezmejnim pomenom.

Subsidiarnost

Za odzivanje na motnje na kritični infrastrukturi ali v bistvenih storitvah, ki jih zagotavljajo kritični subjekti, so v skladu s pravom Unije v prvi vrsti odgovorne države članice. Vendar imajo ustrezne institucije, organi, uradi in agencije Unije ter zlasti Evropska služba za zunanje delovanje (v nadaljnjem besedilu: ESZD) veliko dopolnilno vlogo v primeru incidenta na kritični infrastrukturi z velikim čezmejnim pomenom, saj lahko tak incident vpliva na več sektorjev ali celo na vse sektorje gospodarske dejavnosti na notranjem trgu, življenje državljanov, ki živijo v Uniji, varnost Unije in njene mednarodne odnose s partnerji, brez poseganja v odgovornost držav članic za zaščito nacionalne varnosti in obrambe.

Dopolnjevanje

Načrt EU za kritično infrastrukturo bi moral upoštevati in odražati delovanje obstoječih mehanizmov kriznega upravljanja in obvladovanja izrednih razmer na ravni Unije, in sicer enotne ureditve Sveta za politično odzivanje na krize (v nadaljnjem besedilu: IPCR), sistema Komisije za notranje krizno usklajevanje ARGUS, mehanizma Unije na področju civilne zaščite (v nadaljnjem besedilu: UCPM), ki ga podpira Center za usklajevanje nujnega odziva (v nadaljnjem besedilu: ERCC), ustanovljen v okviru UCPM s Sklepom št. 1313/2013/EU Evropskega parlamenta in Sveta (1), in mehanizma ESZD za krizno odzivanje. Opirati bi se moral tudi na sektorske ureditve, vključno z določbami o usklajenem obvladovanju kibernetskih incidentov velikih razsežnosti iz Direktive (EU) 2022/2555 Evropskega parlamenta in Sveta (2), okvirom za sistemsko usklajevanje kibernetskih incidentov, ki ga je priporočil Evropski odbor za sistemska tveganja (ESRB) (3), mrežo kontaktnih točk za prevoz (4), Evropsko koordinacijsko celico za krizne razmere v letalstvu (5) ter koordinacijskimi skupinami za električno energijo (6), plin (7) in nafto (8).

Poleg tega bi moral načrt EU za kritično infrastrukturo temeljiti na obstoječih strukturah in mehanizmih na ravni Unije ter jih uporabljati, vključno z ustreznimi delovnimi skupinami Sveta (in sicer Delovno skupino PROCIV CER), in tistimi, vzpostavljenimi z Direktivo (EU) 2022/2557 Evropskega parlamenta in Sveta (9), zlasti kar zadeva sodelovanje med pristojnimi organi držav članic in Komisijo ter v skupini za odpornost kritičnih subjektov (v nadaljnjem besedilu: CERG) ustanovljene z Direktivo (EU) 2022/2557. Upoštevati bi moral tudi odgovornosti ustreznih institucij, organov, uradov in agencij Unije na podlagi pravnega okvira, ki se zanje uporablja. Dejavnosti odzivanja na krize v zvezi s kritično infrastrukturo dopolnjujejo druge mehanizme kriznega upravljanja in obvladovanja izrednih razmer na ravni Unije ter nacionalni in sektorski ravni, ki podpirajo večsektorsko usklajevanje.

Zaupnost informacij

Načrt EU za kritično infrastrukturo bi moral upoštevati pomen varovanja zaupnosti tajnih podatkov in občutljivih netajnih podatkov, povezanih s kritično infrastrukturo in kritičnimi subjekti.

Od nobene države članice se ne pričakuje, da daje informacije, katerih razkritje bi bilo v nasprotju z bistvenimi interesi njene nacionalne varnosti, javne varnosti ali obrambe. Brez poseganja v člen 346 PDEU bi se morale informacije, ki so zaupne v skladu s predpisi Unije ali nacionalnimi predpisi, na primer o poslovni tajnosti, s Komisijo in drugimi ustreznimi organi izmenjati le, kadar je taka izmenjava potrebna za uporabo tega priporočila. Izmenjava informacij bi morala biti omejena na obseg, ki je ustrezen in sorazmeren glede na namen take izmenjave. Pri izmenjavi informacij bi se morala ohraniti zaupnost teh informacij ter varnost in poslovni interesi kritičnih subjektov, ob spoštovanju varnosti držav članic.

3.   Ustrezni akterji

Vsaka država članica ter ustrezne institucije, organi, uradi in agencije Unije iz spodnjih točk (a) do (g) bi morali v skladu s pravili in postopki, ki se zanje uporabljajo, opredeliti ustreznega akterja oziroma ustrezne akterje za vsak incident na kritični infrastrukturi z velikim čezmejnim pomenom, po potrebi odvisno od prizadetega sektorja oziroma sektorjev in vrste incidenta.

(a)   države članice

—	pristojni organi (npr. organi, pristojni za kritično infrastrukturo, ustrezni sektorski organi, enotne kontaktne točke, imenovane ali vzpostavljene na podlagi člena 9(2) Direktive (EU) 2022/2557, organi, imenovani ali vzpostavljeni na podlagi člena 9(1) Direktive (EU) 2022/2557);

—	drugi deležniki, vključno s subjekti ali osebami iz zasebnega sektorja, ki imajo posebne funkcije, kot so upravljavci kritične infrastrukture, vključno s tistimi, ki so identificirani kot kritični subjekti;

—	ministri, pristojni za odpornost kritične infrastrukture, in/ali ministri, pristojni za sektor oziroma sektorje, ki jih je zadevni incident na kritični infrastrukturi z velikim čezmejnim pomenom najbolj prizadel;

(b)   Svet

—	predsedstvo Sveta:

—	Coreper, Politični in varnostni odbor ter IPCR;

—	ustrezne delovne skupine, kot je Delovna skupina za civilno zaščito – odpornost kritičnih subjektov (v nadaljnjem besedilu: Delovna skupina PROCIV CER), in predsednik oziroma predsedniki druge ustrezne delovne skupine oziroma drugih ustreznih delovnih skupin;

—	Generalni sekretariat Sveta;

(c)   Evropski svet

—	predsednik Evropskega sveta;

(d)   Komisija

—	imenovana vodilna služba ter Generalni direktorat za migracije in notranje zadeve kot pristojna služba za področje, v primeru medsektorskega incidenta pa Generalni direktorat za migracije in notranje zadeve ter druge ustrezne službe Komisije;

—	Generalni direktorat za komuniciranje in služba uradnega govorca;

—	Generalni direktorat HERA (evropski organ za pripravljenost in odzivanje na izredne zdravstvene razmere);

—	CERG, ki ji predseduje predstavnik Komisije (Generalni direktorat za migracije in notranje zadeve), ter druge ustrezne strokovne skupine in odbori;

—	ERCC, ustanovljen v okviru UCPM (operativno vozlišče za obvladovanje izrednih razmer v okviru UCPM, ki neprekinjeno deluje v okviru Generalnega direktorata za evropsko civilno zaščito in evropske operacije humanitarne pomoči);

—	Odbor za zdravstveno varnost ustanovljen s členom 4 Uredbe (EU) 2022/2371 Evropskega parlamenta in Sveta (10);

—	Generalni sekretariat Komisije (sekretariat sistema ARGUS) in generalni sekretar (oziroma njegov namestnik) (za sistem ARGUS), Generalni direktorat za človeške vire (Direktorat za varnost);

—	druge ustrezne strokovne skupine Komisije, ki pomagajo Komisiji pri usklajevanju ukrepov v izrednih ali kriznih razmerah;

—

druga omrežja za krizno upravljanje in obvladovanje izrednih razmer, vključno s sektorskimi (npr. mreža kontaktnih točk za prevoz, ki jo upravlja Generalni direktorat za mobilnost in promet, medinstitucionalna projektna skupina za kibernetske krize (11), Evropska koordinacijska celica za krizne razmere v letalstvu);

—	predsednik in/ali pristojni podpredsednik/komisar;

—	druge službe Komisije, ki imajo lahko pristojnosti na posameznih strokovnih področjih;

(e)   ESZD

—	Enotna zmogljivost za analizo obveščevalnih podatkov (v nadaljnjem besedilu: SIAC), ki jo sestavljata Obveščevalni in situacijski center (v nadaljnjem besedilu: IntCen) in Obveščevalni direktorat Vojaškega štaba EU (v nadaljnjem besedilu: EUMS Int);

—	Center za krizno odzivanje (v nadaljnjem besedilu: CRC);

—	visoki predstavnik Unije za zunanje zadeve in varnostno politiko/podpredsednik Komisije (v nadaljnjem besedilu: visoki predstavnik);

(f)   ustrezni organi, uradi Unije ter agencije, kot sta Europol ali ENISA, odvisno od prizadetega sektorja oziroma prizadetih sektorjev (12)

(g)   druge ustrezne strukture

—	Evropska organizacijska mreža za povezovanje v kibernetski krizi (v nadaljnjem besedilu: EU-CyCLONe) ustanovljena s členom 16 Direktive (EU) 2022/2555;

—	mreža skupin za odzivanje na incidente na področju računalniške varnosti (CSIRT) ustanovljena s členom 15 Direktive (EU) 2022/2555;

—	vseevropski okvir za usklajevanje v primeru sistemskih kibernetskih incidentov (v nadaljnjem besedilu: EU-SCICF) iz Priporočila ESRB/2021/17 ESRB.

4.   Medsebojni vpliv z drugimi ustreznimi mehanizmi in instrumenti kriznega upravljanja in obvladovanja izrednih razmer

Načrt EU za kritično infrastrukturo bi moral biti prožno orodje, ki opredeljuje različne ukrepe, ki bi jih bilo mogoče delno ali v celoti obravnavati z uporabo različnih obstoječih ureditev, odvisno od narave in resnosti incidenta na kritični infrastrukturi z velikim čezmejnim pomenom ter potrebe po operativnem in strateškem/političnem usklajevanju.

(a)   enotna ureditev za politično odzivanje na krize (IPCR)

V skladu z Izvedbenim sklepom Sveta (EU) 2018/1993 (13) bi lahko bili v primeru krize, za katero je bila aktivirana IPCR, ukrepi v okviru načrta EU za kritično infrastrukturo del odziva EU na politični ravni. V tem primeru se bo uporabljal postopek odločanja IPCR, načrt EU za kritično infrastrukturo pa bi se lahko uporabljal kot dopolnilno orodje za zagotavljanje posebne podpore za kritično infrastrukturo IPCR, da se zagotovi dobro usklajen odziv. IPCR je zasnovana tako, da omogoča pravočasno usklajevanje politik in odzivanje na politični ravni Unije (Coreper/Svet) v primeru izrednih razmer ali kriz večjih razsežnosti. IPCR se uporablja tudi za usklajevanje, na strateški/politični ravni, odziva na sklicevanje na uveljavljanje solidarnostne klavzule (člen 222 PDEU), da se zagotovita koherentnost in dopolnjevanje ukrepov Unije in držav članic. Kako Unija izvaja solidarnostno klavzulo, je opredeljeno v Sklepu Sveta 2014/415/EU (14).

(b)   mehanizem Unije na področju civilne zaščite (UCPM)

Na podlagi Sklepa št. 1313/2013/EU se lahko ta aktivira za odzivanje na dejanske ali grozeče naravne nesreče in nesreče, ki jih povzroči človek, v Uniji in zunaj nje (vključno s tistimi, ki izhajajo iz incidentov, ki vplivajo na kritično infrastrukturo), z operativno podporo ERCC. ERCC tesno sodeluje z nacionalnimi organi civilne zaščite in ustreznimi organi Unije pri spodbujanju medsektorskega pristopa k obvladovanju nesreč.

(c)   nabor orodij EU za odzivanje na hibridne grožnje in protokol EU za preprečevanje hibridnih groženj

V protokolu EU za preprečevanje hibridnih groženj (15) (v nadaljnjem besedilu: protokol EU za preprečevanje hibridnih groženj) so opisani postopki in orodja, ki se uporabljajo v primeru hibridnih groženj ali kampanj v celotnem ciklu kriznega upravljanja in obvladovanja izrednih razmer.

V primeru pomembnega incidenta na kritični infrastrukturi s hibridno razsežnostjo se procesi in orodja, opisani v protokolu EU za preprečevanje hibridnih groženj, uporabljajo v dopolnjevanju z načrtom EU za kritično infrastrukturo, kadar je to ustrezno, npr. za posebne informacije, analizo ali komuniciranje o hibridnih vidikih incidenta na kritični infrastrukturi z velikim čezmejnim pomenom in v zvezi s sodelovanjem z zunanjimi partnerji. Nabor orodij EU za odzivanje na hibridne grožnje (16) zlasti zagotavlja okvir za usklajen odziv na hibridne kampanje. Ker so za preprečevanje hibridnih groženj v prvi vrsti odgovorne države članice, se uporablja postopek odločanja, opisan v Izvedbenih smernicah za okvir za usklajen odziv Unije na hibridne kampanje.

(d)   določbe za usklajeno obvladovanje kibernetskih incidentov velikih razsežnosti iz Direktive (EU) 2022/2555

Direktiva (EU) 2022/2555vsebuje določbe za usklajeno obvladovanje kibernetskih incidentov velikih razsežnosti prek obstoječih mrež za sodelovanje, zlasti EU-CyCLONe in mreže CSIRT. EU-CyCLONe in mreža CSIRT sodelujeta na podlagi postopkovnih ureditev, ki določajo podrobnosti tega sodelovanja, in se izogibata morebitnemu podvajanju nalog.

EU-CyCLONe pri kibernetskih incidentih velikih razsežnosti in krizah deluje kot posrednik med tehnično in politično ravnjo ter krepi sodelovanje na operativni ravni in podpira odločanje na politični ravni. EU-CyCLONe temelji na ugotovitvah mreže CSIRT ter uporablja lastne zmogljivosti za pripravo analize učinka kibernetskih incidentov velikih razsežnosti in kriz. V primeru incidenta na kritični infrastrukturi z velikim čezmejnim pomenom, ki sovpada s kibernetskim incidentom velikih razsežnosti ali za katerega se zdi, da je z njim povezan, bi morale ustrezne delovne skupine Sveta opredeliti ustrezno usklajevanje na operativni ravni, tudi v sodelovanju z EU-CyCLONe. Namen usklajevanja bi moral biti določiti, kateri akterji, orodje oziroma orodja ali mehanizem oziroma mehanizmi bi lahko najučinkoviteje prispevali k odzivu na incident na kritični infrastrukturi z velikim čezmejnim pomenom, pri čemer se je treba izogibati podvajanju in vzporednemu delovanju. Tako usklajevanje bi moralo biti skladno z obstoječimi ustreznimi ureditvami v času incidenta.

(e)   drugi sektorski ali medsektorski mehanizmi in instrumenti

Načrt EU za kritično infrastrukturo se ne bi smel podvajati z drugimi sektorskimi ali medsektorskimi orodji za krizno upravljanje in obvladovanje izrednih razmer ali mehanizmi usklajevanja. Kadar taka orodja ali mehanizmi že obstajajo, bi se moral načrt EU za kritično infrastrukturo v okviru svojega področja uporabe uporabiti kot dopolnilno orodje k sektorskim ali medsektorskim orodjem ali mehanizmom, vendar jih ne bi smel nadomestiti. V izogib takemu podvajanju bi bilo treba zagotoviti potrebno usklajevanje med različnimi akterji. V primeru aktivacije IPCR bo politično in strateško usklajevanje potekalo v njenem okviru. Znotraj Komisije notranje krizno usklajevanje omogoča njen sistem za notranje krizno usklajevanje ARGUS, ki ga podpira ERCC.

Del II: Izmenjava informacij in usklajeno odzivanje

Spodaj opisani ukrepi vključujejo načine sodelovanja, in sicer izmenjavo informacij, usklajeno komuniciranje in odzivanje. Ta struktura ustreza načinom delovanja mehanizma Sveta za krizno usklajevanje IPCR, v širšem pogledu pa upošteva morebitno uporabo mehanizmov za krizno usklajevanje, ki že obstajajo na ravni Unije. Ta struktura kaže, kako bi se ti načini sodelovanja v njej povezovali, če bi se uporabljali. Vendar se lahko večina teh ukrepov sprejme tudi samostojno: niso namreč odvisni od uporabe navedenega mehanizma, temveč ga dopolnjujejo. Ukrepi so predstavljeni v kronološkem vrstnem redu, pri čemer se upošteva, da se lahko v primeru krize velikih razsežnosti, ki predstavlja incident na kritični infrastrukturi z velikim čezmejnim pomenom, več ukrepov izvede hkrati in neprekinjeno.

1.   Izmenjava informacij

(a)   na operativni ravni

Države članice, ki jih je prizadel incident na kritični infrastrukturi z velikim čezmejnim pomenom, bi morale uporabiti lastne kontingenčne ukrepe ter zagotoviti usklajevanje z ustreznimi nacionalnimi mehanizmi kriznega upravljanja in obvladovanja izrednih razmer in po potrebi vključitev vseh ustreznih nacionalnih, regionalnih in lokalnih akterjev.

Kadar je to ustrezno v zvezi s pomočjo civilne zaščite in UCPM, se usklajevanje med državami članicami in s Komisijo zagotavlja prek ERCC in kontaktnih točk držav članic v skladu z zakonodajo UCPM.

(i)   Izmenjava informacij in priglasitev s strani pristojnih nacionalnih organov

Poleg obveznosti priglasitve in obveščanja na podlagi člena 15 Direktive (EU) 2022/2557 ter v skladu z ustreznimi nacionalnimi pravnimi okviri bi morali nacionalni pristojni organi, odgovorni za kritično infrastrukturo v državah članicah, ki jih je prizadel incident na kritični infrastrukturi z velikim čezmejnim pomenom, predsedstvu Sveta in Komisiji prek svojih enotnih kontaktnih točk in brez nepotrebnega odlašanja, razen če tega operativno ne morejo storiti, sporočiti ustrezne informacije, ki bi lahko vključevale informacije, prejete od kritičnih subjektov ali upravljavca oziroma upravljavcev kritične infrastrukture ali iz drugih virov, v zvezi z aktiviranimi mehanizmi kriznega upravljanja in obvladovanja izrednih razmer.

Izmenjava informacij o incidentu na kritični infrastrukturi z velikim čezmejnim pomenom bi morala biti omejena na izmenjavo, ki je ustrezna in sorazmerna z njenim namenom, ter bi morala potekati prek ustreznih komunikacijskih kanalov z ustreznimi službami Komisije. Kadar je to ustrezno in primerno, bi se lahko uporabila platforma IPCR in ERCC. Z informacijami bi bilo treba ravnati v skladu z uveljavljenimi postopki in predpisi, vključno z ravnanjem s tajnimi podatki. Potencialna uporaba ERCC ne bi smela vplivati na vire UCPM ali na razpoložljivost ERCC, da bi še naprej v celoti služil UCPM.

Taka izmenjava informacij bi lahko po potrebi vključevala naravo in vzrok incidenta na kritični infrastrukturi z velikim čezmejnim pomenom, opaženi ali ocenjeni učinek motnje na kritično infrastrukturo in zagotavljanje bistvenih storitev, posledice incidenta v različnih sektorjih in različnih državah članicah ter blažilne ukrepe, ki so že bili sprejeti ali so predvideni na nacionalni ravni ali z ustreznimi drugimi državami članicami in Komisijo na podlagi obstoječih ureditev, npr. ureditev v zvezi z izmenjavo informacij na podlagi členov 9 in 15 Direktive (EU) 2022/2557. Ta izmenjava informacij bi morala biti zagotovljena brez preusmerjanja virov kritične infrastrukture ali, v nekaterih primerih, kritičnega subjekta ali države članice od dejavnosti, povezanih z obvladovanjem incidentov, čemur je treba dati prednost.

Za zagotovitev nadaljnjega ukrepanja uradno obveščene službe Komisije, vključno s tistimi, ki so pristojne za sektor oziroma sektorje, v katerih je prišlo do incidenta na kritični infrastrukturi z velikim čezmejnim pomenom, obvestijo kontaktno točko na Generalnem direktoratu za migracije in notranje zadeve ter Generalni sekretariat Komisije.

Če bi bile informacije lahko pomembne za obravnavo razsežnosti kibernetske varnosti ali če bi bile povezane s kibernetskim incidentom, bi morala Komisija in predsedstvo Sveta ustrezne informacije sporočiti EU-CyCLONe. Pristojni organi na podlagi Direktive (EU) 2022/2557 in pristojni organi na podlagi Direktive (EU) 2022/2555 bi morali prav tako sodelovati in si brez nepotrebnega odlašanja izmenjevati informacije v zvezi s takimi incidenti.

Na področju pomorstva bi morali pristojni nacionalni organi razmisliti o možnosti uporabe skupnega okolja za izmenjavo informacij (v nadaljnjem besedilu: CISE), da bi se informacije izmenjevale brez nepotrebnega odlašanja.

(ii)   Izmenjava informacij na ravni Unije

Komisija čim prej skliče sejo CERG, da bi olajšala izmenjavo relevantnih informacij med nacionalnimi pristojnimi organi, odgovornimi za kritično infrastrukturo, ter ustreznimi institucijami, organi, uradi in agencijami Unije o incidentu (vrsta, vzrok, vpliv in posledice v različnih sektorjih in različnih državah članicah), in o tem obvesti predsedstvo Sveta. Ker bo ta seja CERG osredotočena na zadevni incident na kritični infrastrukturi z velikim čezmejnim pomenom in njegove posledice, je treba države članice opozoriti, da lahko od Komisije zahtevajo, da na to sejo CERG povabi nacionalne zadevne strokovnjake, da se omogoči najustreznejša zastopanost držav članic. Odvisno od žarišča incidenta bi lahko bile ustrezne službe Komisije tesno povezane s sejo CERG z namenom izmenjave informacij, zbranih v okviru obstoječih sektorskih instrumentov.

V primeru incidentov s kombinacijo kibernetskovarnostnih in fizičnih nekibernetskih vidikov bosta mreža CSIRT in EU-CyCLONe sodelovali na podlagi postopkovnih ureditev iz člena 15(6) Direktive (EU) 2022/2555. Predsedstvo bi moralo zagotoviti usklajevanje z ustreznimi delovnimi skupinami, ustreznimi službami Komisije, ESZD, CERT-EU, ENISA in Europolom. CERT-EU po potrebi izmenjuje ustrezne informacije z mrežo CSIRT, Komisija pa informacije izmenjuje z EU-CyCLONe. V dogovoru z zadevnima predsedujočima lahko Komisija (Generalni direktorat za migracije in notranje zadeve ter Generalni direktorat za komunikacijska omrežja, vsebine in tehnologijo) po potrebi predlaga skupno sejo CERG z EU-CyCLONe in mrežo CSIRT ter o tem obvesti predsedstvo Sveta.

V primeru medsektorskega incidenta na kritični infrastrukturi z velikim čezmejnim pomenom in obsežnim vplivom ali političnim pomenom na ravni Unije lahko predsedstvo Sveta na lastno pobudo in po posvetovanju s prizadeto državo članico oziroma prizadetimi državami članicami, Komisijo in visokim predstavnikom ali na zahtevo ene ali več držav članic preuči možnosti za medsektorsko usklajevanje prek IPCR. V primeru aktivacije IPCR, na primer v načinu izmenjave informacij, bi v okviru IPCR potekalo politično in strateško usklajevanje, pri čemer bi načrt EU za kritično infrastrukturo zagotavljal potreben prispevek v zvezi s kritično infrastrukturo v podporo delu IPCR.

V primeru, da incident na kritični infrastrukturi z velikim čezmejnim pomenom vpliva tudi na tretjo državo, bi moralo predsedstvo Sveta v posvetovanju s prizadetimi državami članicami in Komisijo razmisliti o primernosti in načinih sodelovanja s tretjo državo.

(iii)   Podpora s strani Komisije in agencij Unije

Europol po potrebi in v skladu s svojimi pristojnostmi predstavi poročilo o stanju incidenta na ravni Unije. Druge agencije Unije po potrebi in v skladu s svojimi pristojnostmi sporočijo ustrezne informacije, ki prispevajo k situacijskemu zavedanju ali usklajenemu odzivu na incident na kritični infrastrukturi z velikim čezmejnim pomenom, svojim „matičnim“ generalnim direktoratom, ki nato poročajo Komisiji (Generalnemu direktoratu za migracije in notranje zadeve) kot predsedujočemu CERG. Komisija ustrezno obvešča predsedstvo Sveta.

Komisija lahko prispeva k situacijskemu zavedanju z uporabo sredstev vesoljskega programa Unije (17), na primer programa Copernicus, sistema Galileo in EGNOS, kadar je to ustrezno in v skladu z veljavnim pravnim okvirom Unije in nacionalnimi pravnimi okviri.

(b)   na strateški ravni

(i)   Priprava poročil na podlagi prispevkov držav članic

Komisija pripravi poročilo na področju odpornosti kritične infrastrukture na podlagi informacij (o incidentu na kritični infrastrukturi z velikim čezmejnim pomenom in obstoječih dobrih praksah v zvezi z obravnavanjem takega incidenta), ki jih pristojni nacionalni organi izmenjajo na seji CERG ali skupnih srečanjih z ustreznimi službami, strokovnimi skupinami ali mrežami, ter drugih razpoložljivih informacij. To poročilo bo poslano članom CERG, članom Delovne skupine PROCIV CER in po posvetovanju s predsedstvom Sveta drugim zadevnim deležnikom. Poročilo bo po potrebi razvrščeno na ustrezno raven tajnosti in v vsakem primeru poslano ustreznim prejemnikom v državah članicah v skladu s pravili in postopki v zvezi z informacijsko varnostjo, kot so določeni v veljavnih pravnih okvirih.

To poročilo bo, kadar je to ustrezno, upoštevalo rezultate ustreznih ocen tveganja na ravni Unije ter ocen in scenarijev z vidika kibernetske varnosti, vključno s tistimi, ki jih pripravijo Komisija in visoki predstavnik ter skupina za sodelovanje.

V primeru aktivacije IPCR lahko to poročilo prispeva k poročilu o celovitem situacijskem zavedanju in analizi (v nadaljnjem besedilu: ISAA), ki ga pripravijo službe Komisije in ESZD.

SIAC po potrebi predstavi posodobljeno oceno incidenta na podlagi obveščevalnih podatkov.

(ii)   Aktivacija mehanizmov Unije za krizno usklajevanje in uporaba orodij Unije

ERCC lahko v skladu z zakonodajo UCPM začne zagotavljati podporo za situacijsko zavedanje v zvezi z incidentom, kadar je aktiviran UCPM (18). Poleg tega lahko prizadete države članice prek storitve programa Copernicus za ravnanje v izrednih razmerah zahtevajo satelitske posnetke svojega ozemlja.

Kadar se zdi izmenjava informacij med službami Komisije ter ESZD in ustreznimi agencijami Unije ustrezna, vodilni generalni direktorat ali Generalni direktorat za migracije in notranje zadeve usklajeno z Generalnim sekretariatom aktivira sistem Komisije za notranje krizno usklajevanje ARGUS – faza I, in sicer z odprtjem dogodka v informacijskem orodju Argus. Komisija zagotavlja, da se ustrezne informacije izmenjujejo z državami članicami na sestankih IPCR in prek platforme IPCR.

Predsedstvo Sveta lahko aktivira IPCR v načinu izmenjave informacij, kar vključuje pripravo poročil ISAA s strani Komisije in ESZD s prispevki pristojnih nacionalnih organov in po potrebi drugih virov. Tudi če se IPCR ne aktivira, lahko predsedstvo Sveta vzpostavi stran za spremljanje na spletni platformi IPCR. Generalni sekretariat Sveta lahko v dogovoru s predsedstvom ustvari stran za spremljanje, po možnosti na zahtevo zadevne države članice, služb Komisije ali ESZD.

Po potrebi se lahko v skladu z ustreznimi postopki aktivirajo drugi (sektorski) mehanizmi in orodja Unije za krizno upravljanje in obvladovanje izrednih razmer. Komisija bo zagotovila usklajevanje med temi mehanizmi in orodji.

Če fizični incident sovpada s kibernetskim incidentom velikih razsežnosti, kot je opredeljen v členu 6, točka (7) Direktive (EU) 2022/2555, ali se zdi, da je z njim povezan, lahko predsedstvo Sveta uporabi tudi določbe za usklajeno obvladovanje kibernetskih incidentov velikih razsežnosti iz Direktive (EU) 2022/2555, da opredeli ustrezno usklajevanje, v katerega so med drugim vključene Horizontalna delovna skupina za kibernetska vprašanja, Delovna skupina PROCIV CER, CERG, EU-CyCLONe in mreža CSIRT, v skladu s svojimi pravili in postopki.

(iii)   Usklajevanje komuniciranja z javnostjo

Države članice, ki jih incident na kritični infrastrukturi z velikim čezmejnim pomenom zadeva, bi morale v največji možni meri usklajevati svoje komuniciranje z javnostjo o krizi, pri tem pa spoštovati nacionalne pristojnosti in upravne okvire v zvezi s tem. Po potrebi se lahko vključi mreža kriznih posrednikov IPCR.

Delovna skupina PROCIV CER lahko na podlagi skupnega situacijskega zavedanja v sodelovanju s prizadetimi državami članicami in ob posvetovanju s Komisijo organizira izmenjavo mnenj o pristopih držav članic in Komisije h komuniciranju z javnostjo. Delovna skupina PROCIV CER bi si morala po potrebi prizadevati za iskanje skupnih temeljev, da bi olajšala usklajevanje med državami članicami.

Pri tem je treba upoštevati, da prizadevanja za komuniciranje ne bi smela ogroziti nacionalnih operacij kriznega upravljanja in obvladovanja izrednih razmer.

Europol in druge ustrezne agencije Unije na podlagi skupnega situacijskega zavedanja in ob posvetovanju s prizadetimi državami članicami usklajujejo svoje dejavnosti komuniciranja z javnostjo s službo uradnega govorca Komisije. ERCC ne bo imel vloge pri kriznem komuniciranju z javnostjo v okviru načrta.

Če incident na kritični infrastrukturi z velikim čezmejnim pomenom vključuje zunanjo ali hibridno razsežnost, se komuniciranje z javnostjo usklajuje z ESZD in službo uradnega govorca Komisije v skladu s protokolom EU za preprečevanje hibridnih groženj.

2.   Odziv (ki vključuje stalne ukrepe, opisane v okviru izmenjave informacij, in dodatne ukrepe na strateški/politični ravni)

(a)   na strateški ravni

(i)   Stalna priprava poročil o stanju

Delovna skupina PROCIV CER bi morala biti obveščena o pripravi poročil (npr. ISAA v primeru aktivacije IPCR ali poročila na podlagi prispevkov držav članic na področju odpornosti kritične infrastrukture, ki ga pripravi Komisija) in bi morala pripraviti sejo Coreperja, če slednji še ni bil sklican, ali sejo Političnega in varnostnega odbora, kot je ustrezno.

SIAC okrepi svoje stike z obveščevalnimi službami držav članic, združi informacije iz vseh virov ter pripravi analizo in oceno incidenta ter ju po potrebi redno posodablja.

(ii)   Organizacija usklajevalnih srečanj

Predsedstvo Sveta bi moralo na podlagi skupnega situacijskega zavedanja čim prej sklicati seje Delovne skupine PROCIV CER, da bi na področju odpornosti kritične infrastrukture razpravljali o vrzelih v odzivu Unije na incident na kritični infrastrukturi z velikim čezmejnim pomenom in preučili možnosti usklajevanja med državami članicami ter institucijami, organi, uradi in agencijami EU. Če bi bila IPCR aktivirana, bi lahko predsedstvo ugotovitve s teh sej vključilo v krizne sestanke IPCR. Na kriznih sestankih IPCR je mogoče opredeliti tudi nekatere posebne vrzeli v odzivu na incidente na kritični infrastrukturi z velikim čezmejnim pomenom ter med drugim naložiti Delovni skupini PROCIV CER, naj jih obravnava in o rezultatih poroča na prihodnjih kriznih sestankih IPCR v podporo prizadevanjem za politično in strateško usklajevanje IPCR.

(iii)   Polna aktivacija mehanizmov Unije za krizno usklajevanje in uporaba instrumentov Unije

Če predsedstvo Sveta sproži polno aktivacijo IPCR,

usklajevanje odzivanja Unije na politični ravni izvaja Svet z uporabo IPCR.

Predsedstvo Sveta poziva k pravočasnemu neformalnemu sestanku, na katerem bi se zbrali ustrezni nacionalni akterji, akterji Unije in mednarodni akterji ter bi lahko o incidentu poročale prizadeta država članica oziroma prizadete države članice, predsedstvo bi lahko poročalo o ugotovitvah ustreznih delovnih skupin Sveta, službe Komisije pa bi lahko poročale o predhodno sklicanih sestanku oziroma sestankih skupine, kar bi po potrebi dopolnila ESZD.

SIAC in ustrezne agencije Unije so lahko povabljeni, da na tem sestanku predstavijo najnovejše situacijske informacije o incidentu na kritični infrastrukturi z velikim čezmejnim pomenom.

Vodilna služba za ISAA (vodilna služba Komisije ali ESZD) pripravi poročilo ISAA s prispevki ustreznih služb Komisije, ustreznih organov, uradov in agencij Unije ter pristojnih nacionalnih organov. Tudi države članice so vabljene k predložitvi prispevkov prek spletne platforme IPCR.

Če predsednik Komisije aktivira sistem Komisije za notranje krizno usklajevanje ARGUS – faza II, se v kratkem roku skliče sestanek oziroma sestanki odbora za krizno usklajevanje, ki vključujejo ustrezne službe Komisije, agencije in po potrebi ESZD, da bi uskladili vse vidike pomembnega incidenta na kritični infrastrukturi.

V primeru incidenta na kritični infrastrukturi z velikim čezmejnim pomenom, ki je v skupnem interesu EU in Nata, lahko službe Komisije in ESZD skličejo srečanje v okviru strukturiranega dialoga med Unijo in Natom o odpornosti, da bi prispevale k skupnemu situacijskemu zavedanju in izmenjavi informacij o ukrepih, ki sta jih sprejela Unija in Nato, ob polnem spoštovanju pristojnosti Unije in držav članic v skladu s Pogodbama ter ključnih načel, ki usmerjajo sodelovanje med EU in Natom, o katerih se je dogovoril Evropski svet, zlasti vzajemnosti, vključenosti in avtonomije odločanja, ter ob polni preglednosti v odnosu do vseh držav članic. Ob ponovni potrditvi pomena neovirane izmenjave informacij med Unijo in Natom bi se lahko informacije o incidentih, ki jih prizadeta država članica šteje za občutljive, poslale Natu ob izrecnem soglasju prizadete države članice. Države članice bodo obveščene o rezultatih strukturiranega dialoga v zvezi z uporabo načrta EU za kritično infrastrukturo.

(iv)   Komuniciranje z javnostjo

Svet bi moral po potrebi olajšati izmenjave o pristopih h komuniciranju z javnostjo in si, če je to potrebno, prizadevati za skupne temelje, da bi olajšal usklajevanje med državami članicami in s Komisijo. To delo lahko podpre mreža kriznih posrednikov, vzpostavljena prek IPCR. Službe Komisije po potrebi in v posvetovanju s prizadetimi državami članicami pripravijo tudi sporočila za komuniciranje z javnostjo.

Če incident na kritični infrastrukturi z velikim čezmejnim pomenom vključuje zunanjo ali hibridno razsežnost, bi bilo treba komuniciranje z javnostjo usklajevati z ESZD in službo uradnega govorca Komisije. ERCC ne bo imel vloge pri kriznem komuniciranju z javnostjo v okviru načrta.

(v)   Podpora državam članicam in učinkovit odziv

Predsedstvo Sveta lahko skliče več sej Delovne skupine PROCIV CER in drugih ustreznih delovnih skupin v podporo dejavnostim v okviru IPCR, če bi bila aktivirana.

Države članice, ki jih je prizadel incident na kritični infrastrukturi z velikim čezmejnim pomenom, lahko zaprosijo za tehnično podporo drugih držav članic na dvostranski ravni ali prek predsedstva Sveta in/ali delovne skupine PROCIV CER, npr. posebno strokovno znanje za ublažitev negativnih učinkov incidenta na kritični infrastrukturi z velikim čezmejnim pomenom.

Države članice, ki jih je prizadel incident na kritični infrastrukturi z velikim čezmejnim pomenom, lahko Komisijo ali ustrezne agencije Unije zaprosijo tudi za tehnično in/ali finančno podporo. Komisija na podlagi take prošnje v sodelovanju z ustreznimi agencijami Unije oceni svojo možno podporo in po potrebi ter v soglasju s prizadetimi državami članicami aktivira tehnične blažilne ukrepe na ravni Unije v skladu z njihovimi postopki in usklajuje tehnične zmogljivosti, potrebne za zaustavitev ali zmanjšanje učinka incidenta na kritični infrastrukturi z velikim čezmejnim pomenom. Komisija in predsedstvo bi se morala o teh zahtevah ustrezno obveščati, da bi zagotovila učinkovito usklajevanje.

Prizadete države lahko aktivirajo UCPM, da bi zaprosile za pomoč, nato pa bi ERCC sodeloval s kontaktnimi točkami držav članic v skladu z zakonodajo UCPM, da bi usklajevali zagotavljanje pomoči.

Europol in druge ustrezne agencije Unije lahko v okviru svojih pooblastil in na zahtevo podprejo države članice, ki jih je prizadel incident na kritični infrastrukturi z velikim čezmejnim pomenom, pri preiskavi incidenta.

(b)   na politični ravni

Predsedstvo Sveta lahko preuči, ali je treba sklicati okrogle mize IPCR, seje delovnih skupin Sveta, Coreperja ali Sveta, na katerih bi si izmenjali mnenja o možnem izvoru in pričakovanih posledicah incidenta na kritični infrastrukturi z velikim čezmejnim pomenom za države članice in Unijo, se dogovorili o skupnih smernicah ter sprejeli potrebne ukrepe v podporo državam članicam, ki jih je prizadel tak incident, in za ublažitev njegovih učinkov. Zadevo lahko obravnava tudi Evropski svet.

Shematski pregled načrta EU za kritično infrastrukturo

---

(1)  Sklep št. 1313/2013/EU Evropskega parlamenta in Sveta z dne 17. decembra 2013 o mehanizmu Unije na področju civilne zaščite (UL L 347, 20.12.2013, str. 924).

(2)  Direktiva (EU) 2022/2555 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o ukrepih za visoko skupno raven kibernetske varnosti v Uniji, spremembi Uredbe (EU) št. 910/2014 in Direktive (EU) 2018/1972 ter razveljavitvi Direktive (EU) 2016/1148 (NIS 2 Direktiva) (UL L 333, 27.12.2022, str. 80).

(3)  Priporočilo Evropskega odbora za sistemska tveganja z dne 2. decembra 2021 o vseevropskem okviru za sistemsko usklajevanje kibernetskih incidentov za ustrezne organe (ESRB/2021/17).

(4)  Sporočilo Komisije z dne 23. maja 2022 Krizni načrt za promet (COM(2022) 211 final).

(5)  Vzpostavljena na podlagi člena 19 Izvedbene uredbe Komisije (EU) 2019/123 z dne 24. januarja 2019 o določitvi podrobnih pravil za izvajanje funkcij omrežja za upravljanje zračnega prometa (ATM) ter razveljavitvi Uredbe Komisije (EU) št. 677/2011 (UL L 28, 31.1.2019, str. 1).

(6)  Sklep Komisije 2012/C 353/02 z dne 15. novembra 2012 o ustanovitvi usklajevalne skupine za električno energijo (UL C 353, 17.11.2012, str. 2).

(7)  Uredba (EU) 2017/1938 Evropskega parlamenta in Sveta z dne 25. oktobra 2017 o ukrepih za zagotavljanje zanesljivosti oskrbe s plinom in o razveljavitvi Uredbe (EU) št. 994/2010 (UL L 280, 28.10.2017, str. 1).

(8)  Direktiva Sveta 2009/119/ES z dne 14. septembra 2009 o obveznosti držav članic glede vzdrževanja minimalnih zalog surove nafte in/ali naftnih derivatov (UL L 265, 9.10.2009, str. 9).

(9)  Direktiva (EU) 2022/2557 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o odpornosti kritičnih subjektov in razveljavitvi Direktive Sveta 2008/114/ES (UL L 333, 27.12.2022, str. 164).

(10)  Uredba (EU) 2022/2371 Evropskega parlamenta in Sveta z dne 23. novembra 2022 o resnih čezmejnih grožnjah za zdravje in razveljavitvi Sklepa št. 1082/2013/EU (UL L 314, 6.12.2022, str. 26).

(11)  Neformalna skupina, ki vključuje ustrezne službe Komisije, ESZD, Agencijo Evropske unije za kibernetsko varnost (v nadaljnjem besedilu: ENISA), CERT-EU in Europol in ki ji sopredsedujeta Generalni direktorat za komunikacijska omrežja, vsebine in tehnologijo ter ESZD.

(12)  kot so: za promet: Agencija Evropske unije za varnost v letalstvu (v nadaljnjem besedilu: EASA), Evropska agencija za pomorsko varnost (v nadaljnjem besedilu: EMSA), Agencija Evropske unije za železnice (v nadaljnjem besedilu: ERA); za zdravje: Evropski center za preprečevanje in obvladovanje bolezni (v nadaljnjem besedilu: ECDC) in Evropska agencija za zdravila (v nadaljnjem besedilu: EMA); za energijo: Agencija za sodelovanje energetskih regulatorjev (v nadaljnjem besedilu: ACER); za vesolje: Agencija EU za vesoljski program (v nadaljnjem besedilu: EUSPA); za živilski sektor: Evropska agencija za varnost hrane (v nadaljnjem besedilu: EFSA); za pomorstvo: Evropska agencija za nadzor ribištva (v nadaljnjem besedilu: EFCA); za kibernetske incidente: skupine za odzivanje na incidente na področju računalniške varnosti (v nadaljnjem besedilu: CSIRT), skupina za odzivanje na računalniške grožnje za institucije, organe in agencije EU (v nadaljnjem besedilu: CERT-EU), ECB, ESRB, evropski nadzorni organi (v nadaljnjem besedilu: ESA);

(13)  Izvedbeni sklep Sveta (EU) 2018/1993 z dne 11. decembra 2018 o enotni ureditvi EU za politično odzivanje na krize (UL L 320, 17.12.2018, str. 28).

(14)  Sklep Sveta z dne 24. junija 2014 o načinu izvajanja solidarnostne klavzule s strani Unije (2014/415/EU) (UL L 192, 1.7.2014, str. 53).

(15)  Skupni delovni dokument služb Komisije – Protokol EU za preprečevanje hibridnih groženj (SWD(2023) 116 final).

(16)  Sklepi Sveta z dne 21. junija 2022 o okviru za usklajen odziv EU na hibridne kampanje; Izvedbene smernice za okvir za usklajen odziv EU na hibridne kampanje (15880/22).

(17)  Uredba (EU) 2021/696 Evropskega parlamenta in Sveta z dne 28. aprila 2021 o vzpostavitvi Vesoljskega programa Unije in ustanovitvi Agencije Evropske unije za vesoljski program ter razveljavitvi uredb (EU) št. 912/2010, (EU) št. 1285/2013 in (EU) št. 377/2014 ter Sklepa št. 541/2014/EU (UL L 170, 12.5.2021, str. 69).

(18)  Na primer objava produktov v zvezi s spremljanjem medijev, sporočila civilne zaščite, analitična poročila, dnevni zemljevidi ECHO, dnevni povzetki ECHO in drugi prilagojeni produkti.