zmanjšanje ranljivosti in krepitev fizične odpornosti1 kritičnih subjektov v Evropski uniji (EU), da se zagotovi neovirano izvajanje storitev, ki so bistvene za gospodarstvo in družbo kot celoto;
povečanje odpornosti kritičnih subjektov, ki zagotavljajo te storitve.
KLJUČNE TOČKE
Države članice EU morajo po oceni tveganja določiti kritične subjekte, ki zagotavljajo storitve, bistvene za vzdrževanje funkcij, ključnih za družbo, gospodarstvo, javno zdravje in varnost ali okolje, in kjer bi incident imel znatne moteče učinke na te bistvene storitve. To zajema subjekte v naslednjih sektorjih:
energetika, vključno z električno energijo, daljinskim ogrevanjem, upravljavci z nafto, plinom in vodikom;
promet po zraku, železnici, vodi in cesti, vključno z javnim prometom;
bančništvo, ki je tudi predmet Uredbe (EU) 2022/2554 (akt o digitalni operativni odpornosti – glej povzetek);
infrastruktura finančnega trga, vključno z mesti trgovanja, za katero velja tudi akt o digitalni operativni odpornosti;
zdravje, vključno z izvajalci zdravstvenega varstva, proizvajalci farmacevtskih surovin in kritičnih pripomočkov ter raziskavami in razvojem zdravil;
dobavitelji in distributerji pitne vode;
odvajanje in čiščenje odpadne vode;
digitalna infrastruktura, vključno z elektronskimi komunikacijskimi storitvami in podatkovnimi centri, ki je prav tako predmet Direktive (EU) 2022/2555 (glej povzetek);
subjekti javne uprave na centralni ravni države, razen nacionalne varnosti, javne varnosti, obrambe in kazenskega pregona;
vesoljski upravljavci talne infrastrukture in
izvajalci živilske dejavnosti, ki se ukvarjajo izključno z logistiko in veleprodajo ter industrijsko proizvodnjo in predelavo v velikem obsegu.
Opozoriti je treba, da določeni deli direktive ne veljajo za subjekte v bančnih sektorjih in sektorjih infrastrukture finančnega trga ter digitalne infrastrukture.
Vsaka država članica mora:
sprejeti nacionalno strategijo in izvajati redne ocene tveganja;
upoštevati izid ocen tveganja, opredeliti subjekte, ki so odvisni od kritične infrastrukture za zagotavljanje bistvenih storitev družbi, gospodarstvu, javnemu zdravju in varnosti ali okolju;
podpirati opredeljene kritične subjekte pri krepitvi njihove odpornosti, na primer s smernicami, vajami, nasveti in usposabljanjem;
zagotoviti, da imajo nacionalni organi pooblastila, vire in sredstva za izvajanje svojih nadzorniških nalog, vključno z izvajanjem inšpekcijskih pregledov kritičnih subjektov na kraju samem in uvedbo kazni za nespoštovanje kot del mehanizma izvrševanja;
določati pogoje v skladu s katerimi lahko kritični subjekt predloži zahteve za preverjanje preteklosti osebja, ki opravlja občutljive vloge.
Države članice morajo do opredeliti kritične subjekte za sektorje in podsektorje, določene v prilogi k direktivi.
Kritični subjekti morajo:
izvajati lastne ocene tveganja, da prepoznajo tveganja, ki bi lahko motila njihovo sposobnost zagotavljanja bistvenih storitev;
sprejeti tehnične, varnostne in organizacijske ukrepe za krepitev njihove odpornosti;
nacionalne organe obvestiti o pomembnih motečih incidentih.
Če kritični subjekti zagotavljajo bistvene storitve v ali za šest držav članic ali več, lahko koristijo dodatne nasvete v obliki svetovalnih misij, ki ocenijo oceno tveganja in ukrepe za izboljšanje tveganja, ki jih je vzpostavil subjekt.
Evropska komisija je sprejela Delegirano uredbo (EU) 2023/2450, ki določa neizčrpen seznam bistvenih storitev v zgoraj navedenih sektorjih in podsektorjih. Pristojni organi držav članic morajo ta seznam uporabiti za izvedbo ocene tveganja, ocena tveganja pa se nato uporabi za identifikacijo kritičnih subjektov.
Skupina za odpornost kritičnih subjektov olajša sodelovanje med državami članicami, vključno z izmenjavo informacij in dobrih praks.
Komisija zagotavlja podporo, vključno z medsektorskimi tveganji, najboljšimi praksami, metodologijami, čezmejnim usposabljanjem in vajami za preizkušanje odpornosti kritičnih subjektov.
OD KDAJ SE TA PRAVILA UPORABLJAJO?
Direktivo je treba v nacionalno zakonodajo prenesti do . Ta pravila se uporabljajo od .
Ta direktiva je del svežnja zakonodajnih ukrepov za izboljšanje odpornosti in zmogljivosti za odzivanje na incidente javnih in zasebnih subjektov v EU na področjih kibernetske varnosti in zaščite kritične infrastrukture.
Svet je januarja 2023 izdal tudi priporočilo o usklajenem vseevropskem pristopu za krepitev odpornosti kritične infrastrukture.
Odpornost. Zmogljivost za preprečevanje, zaščito pred, odzivanje, ublažitev, absorbiranje, poznavanje in okrevanje po incidentih, ki jih lahko med drugim povzročijo naravne nesreče, kot so izredne razmere na področju javnega zdravja ali grožnje, ki jih povzroča človek, kot so terorizem, sabotaža ali hibridne grožnje. Hibridne grožnje se pojavijo, ko skušajo državni ali nedržavni akterji izkoristiti ranljivosti kritične infrastrukture z uporabo usklajene mešanice ukrepov (tj. diplomatskih, vojaških, gospodarskih, tehnoloških), pri čemer pa ostajajo pod pragom formalnega vojskovanja, na primer za množične kampanje dezinformiranja, ki ovirajo demokratični proces volitev.
GLAVNI DOKUMENT
Direktiva (EU) 2022/2557 Evropskega parlamenta in Sveta z dne o odpornosti kritičnih subjektov in razveljavitvi Direktive Sveta 2008/114/ES (UL L 333, , str. 164–198).
POVEZANI DOKUMENTI
Delegirana uredba Komisije (EU) 2023/2450 z dne o dopolnitvi Direktive (EU) 2022/2557 Evropskega parlamenta in Sveta z določitvijo seznama bistvenih storitev (UL L, 2023/2450, ).
Priporočilo Sveta z dne o usklajenem vseevropskem pristopu za krepitev odpornosti kritične infrastrukture (UL L 20, , str. 1–11).
Uredba (EU) 2022/2554 Evropskega parlamenta in Sveta z dne o digitalni operativni odpornosti za finančni sektor in spremembi uredb (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014, (EU) št. 909/2014 in (EU) 2016/1011 (UL L 333, , str. 1–79).
Direktiva (EU) 2022/2555 Evropskega parlamenta in Sveta z dne o ukrepih za visoko skupno raven kibernetske varnosti v Uniji, spremembi Uredbe (EU) št. 910/2014 in Direktive (EU) 2018/1972 ter razveljavitvi Direktive (EU) 2016/1148 (direktiva NIS 2) (UL L 333, , str. 80–152).
Sporočilo Komisije Evropskemu parlamentu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij – Agenda EU za boj proti terorizmu: predvidevanje, preprečevanje, zaščita in odzivanje (COM(2020) 795 final z dne ).
Sporočilo Komisije Evropskemu parlamentu, Evropskemu svetu, Svetu, Evropskemu ekonomsko-socialnemu odboru in Odboru regij o strategiji EU za varnostno unijo (COM(2020) 605 final z dne ).
Direktiva (EU) 2019/944 Evropskega parlamenta in Sveta z dne o skupnih pravilih notranjega trga električne energije in spremembi Direktive 2012/27/EU (prenovitev) (UL L 158, , str. 125–199).
Nadaljnje spremembe Direktive (EU) 2019/944 so vključene v izvirno besedilo. Ta prečiščena različica ima samo dokumentarno vrednost.
Uredba (EU) 2019/943 Evropskega parlamenta in Sveta z dne o notranjem trgu električne energije (UL L 158, , str. 54–124).
Uredba (EU) 2019/941 Evropskega parlamenta in Sveta z dne o pripravljenosti na tveganja v sektorju električne energije in razveljavitvi Direktive 2005/89/ES (UL L 158, , str. 1–21).
Direktiva (EU) 2018/2001 Evropskega parlamenta in Sveta z dne o spodbujanju uporabe energije iz obnovljivih virov (prenovitev) (UL L 328, , str. 82–209).
Direktiva (EU) 2017/541 Evropskega parlamenta in Sveta z dne o boju proti terorizmu in nadomestitvi Okvirnega sklepa Sveta 2002/475/PNZ ter o spremembi Sklepa Sveta 2005/671/PNZ (UL L 88, , str. 6–21).
Uredba (EU) št. 2017/1938 Evropskega parlamenta in Sveta z dne o ukrepih za zagotavljanje zanesljivosti oskrbe s plinom in o razveljavitvi Direktive Sveta (EU) št. 994/2010 (UL L 280, , str. 1–56).
Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL L 119, , str. 1–88).
Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (UL L 119, , str. 89–131).
Direktiva 2012/18/EU Evropskega parlamenta in Sveta z dne o obvladovanju nevarnosti večjih nesreč, v katere so vključene nevarne snovi, ki spreminja in nato razveljavi Direktivo Sveta 96/82/ES (UL L 197, , str. 1–37)
Uredba (EU) št. 1025/2012 Evropskega parlamenta in Sveta z dne o evropski standardizaciji, spremembi direktiv Sveta 89/686/EGS in 93/15/EGS ter direktiv 94/9/ES, 94/25/ES, 95/16/ES, 97/23/ES, 98/34/ES, 2004/22/ES, 2007/23/ES, 2009/23/ES in 2009/105/ES Evropskega parlamenta in Sveta ter razveljavitvi Sklepa Sveta 87/95/EGS in Sklepa št. 1673/2006/ES Evropskega parlamenta in Sveta (UL L 316, , str. 12–33).
Direktiva 2009/73/ES Evropskega parlamenta in Sveta z dne o skupnih pravilih notranjega trga z zemeljskim plinom in o razveljavitvi Direktive 2003/55/ES (UL L 211, , str. 94–136).
Direktiva 2007/60/ES Evropskega parlamenta in Sveta z dne o oceni in obvladovanju poplavne ogroženosti (UL L 288, , str. 27–34).
Direktiva 2002/58/ES Evropskega parlamenta in Sveta z dne o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah) (UL L 201, , str. 37–47).