---
title: "Директива N 2008/114/ЕС Совета Европейского Союза"
number: "2008/114/ЕС"
issuer: "Европейский Союз"
status: утратил силу
canonical: "https://bukva.ai/docs/direktiva-2008114es"
---
## Директива N 2008/114/ЕС Совета Европейского Союза
"О европейских критических инфраструктурах и мерах по их защите" [рус., англ.]
(Вместе с "Перечнем отраслей ECI", "Процедурой, предусмотренной OSP ECI", "Процедурой идентификации...")
(Принята в г. Брюсселе 08.12.2008)
> [!WARNING]
> Документ утратил силу 18 октября 2024 года в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222557/statya-27#p100393) Европейского парламента и Совета Европейского Союза от 14.12.2022 N 2022/2557.
> Документ вступил в силу 12 января 2009 года (официальный сайт законодательства Европейского Союза http://eur-lex.europa.eu/). Россия не участвует.
> В соответствии со [статьей 13](https://bukva.ai/docs/direktiva-2008114es/statya-13#p100122) данный документ вступил в силу на двадцатый день с момента его опубликования в Официальном журнале Европейского Союза.
[неофициальный перевод] <*>
**ЕВРОПЕЙСКИЙ СОЮЗ**
**ДИРЕКТИВА N 2008/114/ЕС**
**СОВЕТА ЕС О ЕВРОПЕЙСКИХ КРИТИЧЕСКИХ ИНФРАСТРУКТУРАХ**
И МЕРАХ ПО ИХ ЗАЩИТЕ <**>
(Брюссель, 8 декабря 2008 года)
(действие Директивы распространяется
на Европейское экономическое пространство)
---
<*> Перевод Зяблицевой В.А.
<**> Council Directive 2008/114/EC of 8 December 2008 on the identification and designation of European critical infrastructures and the assessment of the need to improve their protection (Text with EEA relevance). Опубликована в Официальном журнале (далее - ОЖ) N L 345, 23.12.2008, стр. 75.
Совет Европейского Союза,
руководствуясь [Договором](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-1) об учреждении Европейского сообщества, и, в частности, [статьей 308](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-308#p101740) Договора,
на основании предложения Европейской комиссии,
руководствуясь Заключением Европейского парламента <*>,
---
<*> Заключение от 10 июля 2007 г. (еще не опубликовано в ОЖ).
на основании Заключения Европейского центрального банка <*>,
---
<*> ОЖ N C 116, 26.05.2007, стр. 1.
принимая во внимание следующие обстоятельства:
1) В июне 2004 г. Совет ЕС выступил с требованием о подготовке всеобщей стратегии по защите критических инфраструктур. В связи с этим 20 октября 2004 г. Европейская комиссия приняла Сообщение о защите критических инфраструктур в борьбе с терроризмом, в котором выдвинуты предложения относительно тех мер, которые будут способствовать готовности европейских стран к предотвращению и отражению террористических атак, затрагивающих критические инфраструктуры.
2) Семнадцатого ноября 2005 г. Европейская комиссия приняла Зеленую книгу Европейской программы по защите критических инфраструктур, предусматривающую стратегические варианты по утверждению программы, а также информационную сеть для предупреждений об угрозах критическим инфраструктурам. В отзывах на содержание Зеленой книги была подчеркнута первостепенная значимость рамок Сообщества по защите критических инфраструктур. Была признана необходимость повышения европейского потенциала к защите критических инфраструктур и содействия снижению их уязвимости. Особое значение было придано принципам субсидиарности, пропорциональности и комплементарности, а также сотрудничеству заинтересованных субъектов.
3) В декабре 2005 г. Европейский совет по правосудию и внутренним делам призвал Европейскую комиссию выступить с предложением о принятии Европейской программы по защите критических инфраструктур ("EPCIP"), указывая, что в основе программы должен быть заложен принцип противостояния всем опасностям в условиях борьбы с угрозами терроризма. Данный принцип предусматривает, что в процессе защиты критических инфраструктур следует принимать во внимание опасности, связанные с деятельностью человека, технологические угрозы и природные катаклизмы, однако приоритетное значение должно быть придано угрозе терроризма.
4) В апреле 2007 г. Совет ЕС принял заключение относительно EPCIP, в котором подтвердил, что государства-члены ЕС несут окончательную ответственность за реализацию мер по защите критических инфраструктур в пределах их национальных границ; при этом Совет ЕС одобрил деятельность Европейской комиссии, связанную с усовершенствованием европейской процедуры выявления и установления европейских критических инфраструктур ("ECIs") и проведения оценки необходимости усиления их защиты.
5) Настоящая Директива представляет собой первый этап в поэтапном процессе выявления и установления ECIs и проведения оценки необходимости усиления их защиты. Так, объектом внимания настоящей Директивы являются энергетическая и транспортная отрасли, однако Директива должна быть пересмотрена с целью проведения оценки ее влияния и необходимости включения иных отраслей в сферу ее регулирования, inter alia, отрасли информационных и коммуникационных технологий ("ICT").
6) Основная и конечная ответственность по защите ECIs возлагается на государства-члены ЕС и владельцев/операторов таких инфраструктур.
7) В Сообществе существует определенное количество критических инфраструктур, нарушение или уничтожение которых окажет существенное трансграничное влияние. К таковым могут быть отнесены трансграничные межсекторальные последствия, вызванные взаимозависимостью связанных между собой инфраструктур. Такие ECIs должны быть выявлены и установлены в рамках общей процедуры. Оценка требований к безопасности таких инфраструктур должна быть произведена в соответствии с общим минимальным подходом. Двусторонние схемы сотрудничества между государствами-членами ЕС в сфере защиты критических инфраструктур предусматривают надежные и эффективные способы работы с трансграничными критическими инфраструктурами. Такое сотрудничество должно быть положено в основу EPCIP. Информация, связанная с присвоением статуса ECI конкретной инфраструктуре, должна быть засекречена на соответствующем уровне в соответствии с действующим в Сообществе и государствах-членах ЕС законодательством.
8) Поскольку в различных отраслях накоплены специальные знания, опыт, установлены конкретные требования к защите критических инфраструктур, подход Сообщества к защите критических инфраструктур должен совершенствоваться и применяться с учетом отраслевых особенностей и мер защиты, отвечающих специфике существующих отраслей, включая меры, уже существующие в Сообществе, на национальном или региональном уровнях, а также заключенные ранее между владельцами/операторами критических инфраструктур трансграничные соглашения о взаимопомощи. Учитывая значительное участие частного сектора в осуществлении надзора и управлении рисками, планировании непрерывности деловых процессов и восстановлении после стихийных бедствий, подход Сообщества должен быть направлен на поощрение полноценного участия частного сектора.
9) Ввиду особенностей энергетической отрасли и, в частности, методов производства и передачи электроэнергии (в отношении электроснабжения), очевидно, что при наличии целесообразности процесс производства электроэнергии может частично включать передачу электроэнергии атомными электростанциями, за исключением отдельных электростанций, подпадающих под действие соответствующего атомного законодательства, в том числе соответствующих договоров и законодательства Сообщества.
10) Положения настоящей Директивы дополняют отраслевые меры, существующие на уровне Сообщества и в государствах-членах ЕС. Существующие в Сообществе механизмы должны использоваться и в дальнейшем, способствуя всеобщему применению настоящей Директивы. Следует избегать возникновения дублирования и противоречий между различными актами или положениями.
11) Операторские планы обеспечения безопасности ("OSPs") или иные эквивалентные меры, включающие определение наиболее важных активов, оценку степени риска, а также выявление, выбор и установление приоритетных встречных мер, должны присутствовать во всех установленных ECIs. Во избежание излишней работы и дублирования каждое государство-член ЕС должно в первую очередь установить, применяют ли владельцы/операторы установленных ECIs соответствующие OSPs или схожие меры. При отсутствии таких планов каждое государство-член ЕС обязано предпринять необходимые шаги, дабы убедиться, что соответствующие меры вводятся в действие. Каждое государство-член ЕС самостоятельно избирает надлежащую форму деятельности по учреждению OSPs.
12) Меры, принципы, руководства, включая меры Сообщества, а также двусторонние и/или многосторонние схемы сотрудничества, предусматривающие план, эквивалентный или схожий с OSP, или предусматривающие назначение специалиста по обеспечению безопасности связи или эквивалентного специалиста, должны быть расценены как отвечающие требованиям настоящей Директивы в отношении OSP или специалистов по обеспечению безопасности связи соответственно.
13) Специалисты по обеспечению безопасности связи должны быть назначены во всех установленных ECIs в целях содействия сотрудничеству и обмену данными между соответствующими национальными органами власти по защите критических инфраструктур. Во избежание излишней работы и дублирования каждое государство-член ЕС должно в первую очередь установить, обладают ли владельцы/операторы установленных ECIs специалистами по обеспечению безопасности связи или эквивалентными специалистами. При отсутствии таких специалистов по обеспечению безопасности связи каждое государство-член ЕС обязано предпринять необходимые шаги, чтобы убедиться, что соответствующие меры вводятся в действие. Каждое государство-член ЕС самостоятельно избирает надлежащую форму деятельности по назначению специалиста по обеспечению безопасности связи.
14) Эффективное выявление рисков, угроз и уязвимых мест в отдельных отраслях требует осуществления взаимодействия между владельцами/операторами ECIs и государствами-членами ЕС, а также между государствами-членами ЕС и Европейской комиссией. Каждое государство-член ЕС должно вести учет сведений о ECIs, расположенных на его территории. Европейская комиссия должна получать от государств-членов ЕС общие сведения, касающиеся рисков, угроз и уязвимых мест в отраслях, где выявлены ECIs, включая соответствующую информацию о возможностях усовершенствования ECIs и межотраслевых взаимозависимостей; при необходимости такие сведения могут являться основой для разработки Европейской комиссией специальных предложений по совершенствованию защиты ECIs.
15) В целях содействия усилению защиты ECIs могут быть разработаны общие методики идентификации и классификации рисков, угроз и уязвимых мест в активах инфраструктуры.
16) Владельцам/операторам ECIs должен быть предоставлен доступ в первую очередь соответствующими органами государства-члена ЕС, к наилучшим методикам и практикам работы по защите критических инфраструктур.
17) Эффективная защита ECIs требует взаимодействия, координирования и сотрудничества на национальном уровне и внутри Сообщества. Наилучшим образом это может быть достигнуто посредством установления контактных центров по защите европейских критических инфраструктур ("контактные центры ECIP") в каждом государстве-члене ЕС, которое должно разрешать проблемы по защите европейских критических инфраструктур самостоятельно, а также при содействии иных государств-членов ЕС и Европейской комиссии.
18) В целях развития деятельности по защите европейских критических инфраструктур в сферах, требующих определенной степени конфиденциальности, в рамках настоящей Директивы необходимо обеспечить последовательный и безопасный информационный обмен. Следует учитывать, что правила конфиденциальности в соответствии с подлежащим применению национальным законодательством или [Регламентом](https://bukva.ai/docs/reglament-10492001/statya-1) 1049/2001 Европейского парламента и Совета ЕС от 30 мая 2001 г. о всеобщем доступе к документам Европейского парламента, Совета ЕС и Европейской комиссии <*> должны соблюдаться в отношении отдельных сведений об активах критических инфраструктур, которые могут быть использованы при планировании или осуществлении действий, направленных на создание неприемлемых последствий для объектов критических инфраструктур. Секретная информация подлежит защите в соответствии с подлежащим применению законодательством Сообщества или государства-члена ЕС. Каждое государство-член ЕС и Европейская комиссия обязаны соблюдать степень секретности, установленную автором документа.
---
<*> ОЖ N L 145, 31.5.2001, стр. 43.
19) Обмен информацией, касающейся ECIs, должен осуществляться в атмосфере доверия и безопасности. Обмен информацией требует доверительных отношений, в рамках которых компании и организации могут быть уверены, что их секретные и конфиденциальные данные защищены надлежащим образом.
20) Поскольку цели настоящей Директивы, а именно создание процедуры выявления и установления ECIs, а также утверждение общего подхода к проведению оценки необходимости усиления защиты таких инфраструктур, не могут быть в полной мере достигнуты государствами-членами ЕС, и могут поэтому, в силу масштабности действий, быть в наилучшей степени достигнуты на уровне Сообщества, Сообщество вправе принимать меры в соответствии с принципом субсидиарности, установленным [статьей 5](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-5#p100065) Договора. В соответствии с принципом пропорциональности, установленным в указанной [статье](https://bukva.ai/docs/dogovor-uchrezhdayuschiy-evropeyskoe/statya-5#p100065), настоящая Директива не выходит за пределы, необходимые для достижения указанных целей.
21) Настоящая Директива признает основные права и соблюдает принципы, признанные, в частности, [Хартией](https://bukva.ai/docs/hartiya-osnovnyh-prav-evropeyskogo-soyuza/statya-1) Европейского Союза об основных правах,
принял настоящую Директиву:
## Статья 1
### Статья 1
Предмет
Настоящая Директива устанавливает процедуру выявления и установления европейских критических инфраструктур (ECIs), а также общий подход к проведению оценки необходимости усиления защиты таких инфраструктур в целях содействия обеспечению безопасности населения.
## Статья 2
### Статья 2
Определения
Для целей настоящей Директивы:
a) "критическая инфраструктура" означает активы, систему или ее часть, расположенные в государствах-членах ЕС, функционирование которых необходимо для решения наиболее важных социальных задач, обеспечения здоровья, безопасности, защиты, экономического или социального благополучия населения; нарушение или уничтожение таких инфраструктур способно вызвать значительные последствия для государства-члена ЕС в виде неспособности исполнения указанных функций;
b) "европейская критическая инфраструктура" или "ECI" означает критическую инфраструктуру, расположенную на территории государств-членов ЕС, нарушение или уничтожение которой способно вызвать значительные последствия, по крайней мере, для двух государств-членов ЕС. Значительность последствий оценивается в соответствии с межотраслевыми критериями. Это включает в себя последствия, возникающие в результате межсекторальной зависимости от других типов инфраструктур;
c) "оценка рисков" означает рассмотрение соответствующих ситуаций, связанных с возникновением угроз, в целях проведения оценки уязвимых мест и потенциальных последствий нарушения или уничтожения критической инфраструктуры;
d) "секретная информация о защите критической инфраструктуры" означает сведения о критической инфраструктуре, которые в случае их рассекречивания могут быть использованы в целях планирования или осуществления действий, направленных на нарушение или уничтожение объектов критической инфраструктуры;
e) "защита" означает все виды деятельности, направленной на обеспечение функциональности, непрерывности работы и целостности критических инфраструктур в целях сдерживания, смягчения или нейтрализации угроз, рисков или уязвимости;
f) "владельцы/операторы ECIs" означает организации, ответственные за финансирование и/или ежедневное функционирование конкретных активов, системы или части системы, которым присвоен статус ECI в соответствии с настоящей Директивой.
## Статья 3
### Статья 3
Выявление ECIs
1. В соответствии с процедурой, предусмотренной в [Приложении III](https://bukva.ai/docs/direktiva-2008114es/statya-14#p100153), каждое государство-член ЕС обязано выявлять потенциальные ECIs, которые отвечают межотраслевым и отраслевым критериям и соответствуют определениям, указанным в [статье 2 "a"](https://bukva.ai/docs/direktiva-2008114es/statya-2#p100049) и ["b"](https://bukva.ai/docs/direktiva-2008114es/statya-2#p100050).
По запросу государств-членов ЕС Европейская комиссия вправе оказывать помощь при выявлении ECIs.
Европейская комиссия вправе обратить внимание соответствующих государств-членов ЕС на наличие потенциальных критических инфраструктур, которые могут считаться отвечающими требованиям для присвоения статуса ECI.
Все государства-члены ЕС, а также Европейская комиссия должны на постоянной основе продолжать деятельность по выявлению ECIs.
2. Межотраслевые критерии, указанные в [параграфе 1](https://bukva.ai/docs/direktiva-2008114es/statya-3#p100057), должны включать:
a) критерий по числу жертв (оценка производится с учетом количества потенциальных погибших или раненых);
b) критерий, связанный с экономическими последствиями (оценка производится с точки зрения значительности экономических потерь и/или степени ухудшения качества продуктов или услуг; включает возможные последствия для окружающей среды);
c) критерий воздействия на население (оценка производится с точки зрения воздействия на общественное доверие, физических мучений и нарушения повседневной жизни, включая утрату возможности предоставления важных услуг).
Пороги межотраслевых критериев должны устанавливаться с учетом тяжести последствий в виде нарушения или уничтожения конкретной инфраструктуры. Четкие пороги, применимые к межотраслевым критериям, должны определяться в каждом конкретном случае на индивидуальной основе теми государствами-членами ЕС, интересы которых связаны с конкретной критической инфраструктурой. Каждое государство-член ЕС обязано ежегодно информировать Европейскую комиссию о количестве инфраструктур в каждой отрасли, в отношении которых проводились обсуждения о порогах межотраслевых критериев.
Отраслевые критерии должны учитывать особенности отдельных отраслей ECI.
Европейская комиссия совместно с государствами-членами ЕС должна разработать руководство по применению межотраслевых и отраслевых критериев и примерных пороговых значений, предназначенных для использования в целях выявления ECIs. Критерии должны быть классифицированы. Использование такого руководства не является обязательным для государств-членов ЕС.
3. Действие настоящей Директивы распространяется на энергетическую и транспортную отрасли. Подотрасли определены в [Приложении I](https://bukva.ai/docs/direktiva-2008114es/statya-14#p100131).
При необходимости в случае пересмотра настоящей Директивы в соответствии со [статьей 11](https://bukva.ai/docs/direktiva-2008114es/statya-11#p100115) может быть установлено, что действие настоящей Директивы распространяется и на иные отрасли. В первую очередь это должно касаться отрасли ICT.
## Статья 4
### Статья 4
Установление ECIs
1. Каждое государство-член ЕС обязано информировать другие государства-члены ЕС, на которые ECI может оказать существенное влияние, о выявлении такой ECI и причинах возможного присвоения ей статуса ECI.
2. Каждое государство-член ЕС, на территории которого располагается потенциальная ECI, должно вступить в двусторонние и/или многосторонние переговоры с другими государствами-членами ЕС, на которые ECI может оказать существенное влияние. Европейская комиссия вправе участвовать в таких переговорах, однако ей не предоставляется доступ к подробной информации, которая позволяет однозначно идентифицировать конкретную инфраструктуру.
Государство-член ЕС, имеющее основания полагать, что на его деятельность может оказать существенное влияние потенциальная ECI, не идентифицированная в качестве таковой государством-членом ЕС, на территории которого она находится, вправе информировать Европейскую комиссию о своем желании участвовать в двусторонних и/или многосторонних переговорах по данному вопросу. Европейская комиссия обязана незамедлительно уведомить об этом государство-член ЕС, на территории которого располагается потенциальная ECI, а также приложить все усилия для достижения соглашения между сторонами.
3. Государство-член ЕС, на территории которого располагается потенциальная ECI, при присвоении ей статуса ECI должно руководствоваться соглашением между государством-членом ЕС и государствами-членами ЕС, на которые ECI может оказать существенное влияние.
Требуется согласие государства-члена ЕС, на чьей территории располагается инфраструктура, которой надлежит присвоить статус ECI.
4. Государство-член ЕС, на территории которого располагается установленная ECI, обязано ежегодно информировать Европейскую комиссию о количестве установленных инфраструктур в каждой отрасли, а также о количестве государств-членов ЕС, находящихся в зависимости от каждой установленной ECI. Подробной информацией о ECI вправе обладать только те государства-члены ЕС, на которые ECI может оказать существенное влияние.
5. Государства-члены ЕС, на территории которых располагается ECI, обязаны информировать владельца/оператора соответствующей инфраструктуры о присвоении ей статуса ECI. Информация, связанная с присвоением статуса ECI инфраструктуре, должна быть засекречена на соответствующем уровне.
6. Процесс идентификации и установления ECIs в соответствии со [статьей 3](https://bukva.ai/docs/direktiva-2008114es/statya-3#p100055) и настоящей статьей должен быть завершен к 12 января 2011 г. Его результаты должны регулярно пересматриваться.
## Статья 5
### Статья 5
Операторские планы обеспечения безопасности
1. Процедура, предусмотренная операторским планом обеспечения безопасности ("OSP"), должна быть направлена на выявление важных активов ECI и мер безопасности, существующих или применяемых для их защиты. Минимальное содержание процедуры, предусмотренной OSP ECI, установлено в [Приложении II](https://bukva.ai/docs/direktiva-2008114es/statya-14#p100145).
2. Каждое государство-член ЕС должно выяснить, предусмотрены ли при каждой установленной ECI, расположенной на его территории, OSP или иные эквивалентные меры, направленные на решение задач, указанных в [Приложении II](https://bukva.ai/docs/direktiva-2008114es/statya-14#p100145). В случае если государством-членом ЕС установлено, что такой OSP или эквивалентные меры существуют и регулярно обновляются, необходимость в осуществлении дальнейших действий отсутствует.
3. В случае если государством-членом ЕС установлено, что такой OSP или эквивалентные меры не подготовлены, оно обязано любыми надлежащими способами обеспечить подготовку OSP или эквивалентных мер, направленных на решение задач, указанных в [Приложении II](https://bukva.ai/docs/direktiva-2008114es/statya-14#p100145).
Каждое государство-член ЕС обязано обеспечить наличие OSP или эквивалентных мер, а также их регулярный пересмотр по истечении года с момента присвоения критической инфраструктуре статуса ECI. В исключительных случаях указанный срок может быть увеличен при согласии уполномоченного органа государства-члена ЕС и с уведомлением Европейской комиссии.
4. Действие данной статьи не распространяется на существующие соглашения об осуществлении контроля или надзора в отношении ECI, и соответствующий уполномоченный орган государства-члена ЕС, указанный в данной статье, осуществляет контроль в рамках существующих соглашений.
5. Соблюдение всех мер, включая меры Сообщества, которые связаны с требованием или указанием на необходимость присутствия в конкретной отрасли плана, эквивалентного или схожего с OSP, и осуществления соответствующим уполномоченным органом надзора за соблюдением такого плана, должно быть расценено как исполнение требований государств-членов ЕС, принятых в соответствии с настоящей статьей или установленных ею. Руководство по применению, указанное в [статье 3 (2)](https://bukva.ai/docs/direktiva-2008114es/statya-3#p100061), должно содержать примерный перечень таких мер.
## Статья 6
### Статья 6
Специалисты по обеспечению безопасности связи
1. Специалист по обеспечению безопасности связи должен выступать в качестве связующего звена между владельцем/оператором ECI и уполномоченным органом соответствующего государства-члена ЕС для разрешения вопросов безопасности.
2. Каждое государство-член ЕС должно выяснить, предусмотрен ли при каждой ECI, расположенной на его территории, специалист по обеспечению безопасности связи или иной эквивалентный специалист. В случае если государством-членом ЕС установлено, что такой специалист по обеспечению безопасности связи или иной эквивалентный специалист существуют, необходимость в осуществлении дальнейших действий отсутствует.
3. В случае если государством-членом ЕС установлено, что такой специалист по обеспечению безопасности связи или иной эквивалентный специалист отсутствуют, оно обязано любыми надлежащими способами обеспечить назначение такого специалиста по обеспечению безопасности связи или иного эквивалентного специалиста.
4. Каждое государство-член ЕС обязано имплементировать надлежащий механизм коммуникации между уполномоченным органом соответствующего государства-члена ЕС и специалистом по обеспечению безопасности связи или иным эквивалентным специалистом в целях обмена соответствующей информацией, касающейся выявленных рисков и угроз в отношении ECI. Такой механизм коммуникации должен применяться без ущерба действию национальных требований о доступе к секретной и конфиденциальной информации.
5. Соблюдение всех мер, включая меры Сообщества, которые связаны с требованием или указанием на необходимость присутствия в конкретной отрасли специалиста по обеспечению безопасности связи или эквивалентного специалиста, должно быть расценено как исполнение требований государств-членов ЕС, принятых в соответствии с настоящей статьей или установленных ею. Руководство по применению, указанное в [статье 3 (2)](https://bukva.ai/docs/direktiva-2008114es/statya-3#p100061), должно содержать примерный перечень таких мер.
## Статья 7
### Статья 7
Отчетность
1. Каждое государство-член ЕС обязано провести оценку угрозы в отношении подотраслей ECI в течение одного года с момента присвоения критической инфраструктуре на его территории статуса ECI в рамках указанных подотраслей.
2. Каждое государство-член ЕС обязано раз в два года в краткой форме предоставлять Европейской комиссии общие данные о типах рисков, угроз и уязвимых местах, выявленных в каждой отрасли ECI, которой присвоен статус ECI в соответствии со [статьей 4](https://bukva.ai/docs/direktiva-2008114es/statya-4#p100070) и которая находится на его территории.
Единый шаблон для предоставления такой отчетности может быть разработан Европейской комиссией при содействии государств-членов ЕС.
Каждый отчет должен быть засекречен на соответствующем уровне в порядке, который сочтет необходимым подготовившее его государство-член ЕС.
3. На основании отчетов, указанных в [параграфе 2](https://bukva.ai/docs/direktiva-2008114es/statya-7#p100098), Европейская комиссия и государства-члены ЕС на отраслевой основе должны установить, существует ли необходимость в рассмотрении возможности принятия на уровне Сообщества дополнительных мер защиты в отношении ECIs. Этот процесс должен осуществляться в порядке пересмотра настоящей Директивы в соответствии со [статьей 11](https://bukva.ai/docs/direktiva-2008114es/statya-11#p100115).
4. Европейская комиссия при содействии государств-членов ЕС может разработать общее методологическое руководство по проведению оценки рисков в отношении ECIs. Использование такого руководства не является обязательным для государств-членов ЕС.
## Статья 8
### Статья 8
Поддержка ECIs Европейской комиссией
Европейская комиссия должна, действуя через уполномоченные органы соответствующего государства-члена ЕС, оказывать поддержку владельцам/операторам установленных ECIs посредством предоставления им доступа к наилучшим методикам и практикам работы по защите критических инфраструктур, а также должна содействовать обучению и обмену информацией о новых технических разработках, касающихся защиты критических инфраструктур.
## Статья 9
### Статья 9
Секретная информация о защите критической инфраструктуры
1. Любое лицо, осуществляющее обработку конфиденциальной информации от имени государства-члена ЕС или Европейской комиссии, должно пройти проверку безопасности соответствующего уровня.
Государства-члены ЕС, Европейская комиссия и соответствующие органы контроля должны гарантировать, что секретная информация о защите европейской критической инфраструктуры, переданная государствам-членам ЕС или Европейской комиссии, не используется ни для каких иных целей, помимо осуществления защиты критической инфраструктуры.
2. Положения настоящей статьи применяются также к неписьменной информации, обмен которой был осуществлен в ходе переговоров, где обсуждались секретные вопросы.
## Статья 10
### Статья 10
Контактные центры по защите
европейской критической инфраструктуры
1. Каждое государство-член ЕС должно учредить контактный центр по защите европейской критической инфраструктуры (контактный центр ECIP).
2. Контактные центры ECIP должны отвечать за координацию вопросов по защите европейской критической инфраструктуры внутри государства-члена ЕС с иными государствами-членами ЕС и с Европейской комиссией. Учреждение контактных центров ECIP не препятствует участию иных уполномоченных органов государства-члена ЕС в решении задач по защите европейской критической инфраструктуры.
## Статья 11
### Статья 11
Пересмотр
Пересмотр настоящей Директивы должен быть начат 12 января 2012 г.
## Статья 12
### Статья 12
Имплементация
Государства-члены ЕС должны до 12 января 2011 г. принять необходимые меры во исполнение настоящей Директивы. Они должны незамедлительно проинформировать Европейскую комиссию о принятых мерах и сообщить текст принятых актов и их корреляцию с положениями настоящей Директивы.
Принятые нормативные правовые акты должны содержать ссылку на настоящую Директиву или должны сопровождаться такой ссылкой в случае их официального опубликования. Способы размещения такой ссылки устанавливаются государствами-членами ЕС.
## Статья 13
### Статья 13
Вступление в силу
Настоящая Директива вступает в силу на двадцатый день с момента ее опубликования в Официальном журнале Европейского Союза.
## Статья 14
### Статья 14
Адресаты
Настоящая Директива адресована государствам-членам ЕС.
Совершено в Брюсселе 8 декабря 2008 г.
От имени Совета ЕС
Председатель
**B.KOUCHNER**
**ПЕРЕЧЕНЬ**
**ОТРАСЛЕЙ ECI**
| Отрасль | Подотрасль |
| I Энергетика | 1. Электричество | Инфраструктуры и сооружения для производства и передачи электроэнергии в отношении электроснабжения |
| 2. Нефть | Добыча, переработка, обработка, хранение и передача нефти по трубопроводам |
| 3. Газ | Добыча, переработка, обработка, хранение и передача газа по трубопроводам Терминалы СПГ <*> |
| II Транспорт | 4. Автомобильный транспорт 5. Железнодорожный транспорт 6. Воздушный транспорт 7. Внутренний водный транспорт 8. Океанское и каботажное судоходство и порты |
---
<*> Сжиженный природный газ - прим. перев.
Идентификация государствами-членами ЕС критических инфраструктур, которым может быть присвоен статус ECIs, осуществляется в соответствии со [статьей 3](https://bukva.ai/docs/direktiva-2008114es/statya-3#p100055). Поэтому перечень отраслей ECI сам по себе не предусматривает общего обязательства для установления ECI в каждом секторе.
**ПРОЦЕДУРА,**
**ПРЕДУСМОТРЕННАЯ OSP ECI**
OSP должен выявлять важные активы ECI и меры безопасности, существующие или применяемые для их защиты. Процедура, предусмотренная OSP ECI, включает как минимум:
1. выявление важных активов;
2. проведение оценки рисков, основанной на анализе основных угроз, уязвимости каждого актива и потенциальных последствий; и
3. выявление, выбор и установление приоритетных встречных мер и процедур с разграничением на:
- постоянно действующие меры безопасности, которые представляют собой необходимое финансирование обеспечения безопасности, и средства, которые подходят для использования в любых ситуациях. Данная категория включает сведения об общих мерах, таких как технические меры (в том числе, установка приборов для обнаружения, контроля доступа, защиты и предотвращения); организационные меры (включая процедуры для предупреждения и регулирования кризисов); меры контроля и верификации; связь; повышение уровня информированности и обучение; и безопасность информационных систем;
- ступенчатые меры безопасности, которые могут быть применены в соответствии с изменением уровней риска и угроз.
**ПРОЦЕДУРА ИДЕНТИФИКАЦИИ**
**ГОСУДАРСТВАМИ-ЧЛЕНАМИ ЕС КРИТИЧЕСКИХ ИНФРАСТРУКТУР,**
**КОТОРЫМ МОЖЕТ БЫТЬ ПРИСВОЕН СТАТУС ECI,**
**В СООТВЕТСТВИИ СО СТАТЬЕЙ 3**
[Статья 3](https://bukva.ai/docs/direktiva-2008114es/statya-3#p100055) обязывает государства-члены ЕС выявлять критические инфраструктуры, которым может быть присвоен статус ECI. Государства-члены ЕС должны соблюдать данную процедуру посредством прохождения ряда последовательных этапов.
Потенциальная ECI, которая не отвечает требованиям одного из следующих последовательных этапов, считается "не ECI" и исключается из процедуры. Потенциальная ECI, которая удовлетворяет требованиям, должна быть рассмотрена на следующих этапах процедуры.
Каждое государство-член ЕС должно применить отраслевой критерий в целях осуществления первичного отбора критических инфраструктур в рамках отрасли.
Каждое государство-член ЕС должно применить определение критической инфраструктуры, предусмотренное [статьей 2 "a"](https://bukva.ai/docs/direktiva-2008114es/statya-2#p100049), к потенциальной ECI, выявленной в рамках этапа 1.
Значительность последствий должна определяться посредством применения национальных методов выявления критических инфраструктур или посредством использования межотраслевых критериев на соответствующем национальном уровне. В отношении инфраструктуры, обеспечивающей предоставление наиболее важных услуг, следует принимать во внимание наличие альтернатив и продолжительность нарушения/восстановления.
Каждое государство-член ЕС должно применить к потенциальной ECI, прошедшей первые два этапа процедуры, трансграничное значение определения ECI в соответствии со [статьей 2 "b"](https://bukva.ai/docs/direktiva-2008114es/statya-2#p100050). Потенциальная ECI, которая соответствует определению, должна быть рассмотрена на следующем этапе процедуры. В отношении инфраструктуры, обеспечивающей предоставление наиболее важных услуг, следует принимать во внимание наличие альтернатив и продолжительность нарушения/восстановления.
Каждое государство-член ЕС должно применить межотраслевые критерии к оставшимся потенциальным ECIs. Межотраслевые критерии должны учитывать тяжесть последствий; и в отношении инфраструктуры, обеспечивающей предоставление наиболее важных услуг, - наличие альтернатив и продолжительность нарушения/восстановления. Потенциальная ECI, которая не отвечает межотраслевым критериям, не может рассматриваться в качестве ECI.
Информация о потенциальной ECI, прошедшей всю процедуру, должна быть доведена до сведения государств-членов ЕС, на которые потенциальная ECI может оказать существенное влияние.
COUNCIL DIRECTIVE No. 2008/114/EC
**ON THE IDENTIFICATION AND DESIGNATION**
**OF EUROPEAN CRITICAL INFRASTRUCTURES AND THE ASSESSMENT**
**OF THE NEED TO IMPROVE THEIR PROTECTION**
(Brussel, 8.XII.2008)
(Text with EEA relevance)
The Council of the European Union,
Having regard to the Treaty establishing the European Community, and in particular Article 308 thereof,
Having regard to the proposal from the Commission,
Having regard to the opinion of the European Parliament <*>,
---
<*> Opinion of 10 July 2007 (not yet published in the Official Journal).
Having regard to the opinion of the European Central Bank <*>,
---
<*> OJ C 116, 26.5.2007, p. 1.
Whereas:
(1) In June 2004 the European Council asked for the preparation of an overall strategy to protect critical infrastructures. In response, on 20 October 2004, the Commission adopted a Communication on critical infrastructure protection in the fight against terrorism which put forward suggestions as to what would enhance European prevention of, preparedness for and response to terrorist attacks involving critical infrastructures.
(2) On 17 November 2005 the Commission adopted a Green Paper on a European programme for critical infrastructure protection which provided policy options on the establishment of the programme and the Critical Infrastructure Warning Information Network. The responses received to the Green Paper emphasised the added value of a Community framework concerning critical infrastructure protection. The need to increase the critical infrastructure protection capability in Europe and to help reduce vulnerabilities concerning critical infrastructures was acknowledged. The importance of the key principles of subsidiarity, proportionality and complementarity, as well as of stakeholder dialogue was emphasised.
(3) In December 2005 the Justice and Home Affairs Council called upon the Commission to make a proposal for a European programme for critical infrastructure protection ("EPCIP") and decided that it should be based on an all-hazards approach while countering threats from terrorism as a priority. Under this approach, man-made, technological threats and natural disasters should be taken into account in the critical infrastructure protection process, but the threat of terrorism should be given priority.
(4) In April 2007 the Council adopted conclusions on the EPCIP in which it reiterated that it was the ultimate responsibility of the Member States to manage arrangements for the protection of critical infrastructures within their national borders while welcoming the efforts of the Commission to develop a European procedure for the identification and designation of European critical infrastructures ("ECIs") and the assessment of the need to improve their protection.
(5) This Directive constitutes a first step in a step-by-step approach to identify and designate ECIs and assess the need to improve their protection. As such, this Directive concentrates on the energy and transport sectors and should be reviewed with a view to assessing its impact and the need to include other sectors within its scope, inter alia, the information and communication technology ("ICT") sector.
(6) The primary and ultimate responsibility for protecting ECIs falls on the Member States and the owners/operators of such infrastructures.
(7) There are a certain number of critical infrastructures in the Community, the disruption or destruction of which would have significant cross-border impacts. This may include transboundary cross-sector effects resulting from interdependencies between interconnected infrastructures. Such ECIs should be identified and designated by means of a common procedure. The evaluation of security requirements for such infrastructures should be done under a common minimum approach. Bilateral schemes for cooperation between Member States in the field of critical infrastructure protection constitute a well-established and efficient means of dealing with transboundary critical infrastructures. EPCIP should build on such cooperation. Information pertaining to the designation of a particular infrastructure as an ECI should be classified at an appropriate level in accordance with existing Community and Member State legislation.
(8) Since various sectors have particular experience, expertise and requirements concerning critical infrastructure protection, a Community approach to critical infrastructure protection should be developed and implemented taking into account sector specificities and existing sector based measures including those already existing at Community, national or regional level, and where relevant cross-border mutual aid agreements between owners/operators of critical infrastructures already in place. Given the very significant private sector involvement in overseeing and managing risks, business continuity planning and post-disaster recovery, a Community approach needs to encourage full private sector involvement.
(9) In terms of the energy sector and in particular the methods of electricity generation and transmission (in respect of supply of electricity), it is understood that where deemed appropriate, electricity generation may include electricity transmission parts of nuclear power plants, but exclude the specifically nuclear elements covered by relevant nuclear legislation including treaties and Community law.
(10) This Directive complements existing sectoral measures at Community level and in the Member States. Where Community mechanisms are already in place, they should continue to be used and will contribute to the overall implementation of this Directive. Duplication of, or contradiction between, different acts or provisions should be avoided.
(11) Operator security plans ("OSPs") or equivalent measures comprising an identification of important assets, a risk assessment and the identification, selection and prioritisation of counter measures and procedures should be in place in all designated ECIs. With a view to avoiding unnecessary work and duplication, each Member State should first assess whether the owners/operators of designated ECIs possess relevant OSPs or similar measures. Where such plans do not exist, each Member State should take the necessary steps to make sure that appropriate measures are put in place. It is up to each Member State to decide on the most appropriate form of action with regard to the establishment of OSPs.
(12) Measures, principles, guidelines, including Community measures as well as bilateral and/or multilateral cooperation schemes that provide for a plan similar or equivalent to an OSP or provide for a Security Liaison Officer or equivalent, should be deemed to satisfy the requirements of this Directive in relation to the OSP or the Security Liaison Officer respectively.
(13) Security Liaison Officers should be identified for all designated ECIs in order to facilitate cooperation and communication with relevant national critical infrastructure protection authorities. With a view to avoiding unnecessary work and duplication, each Member State should first assess whether the owners/operators of designated ECIs already possess a Security Liaison Officer or equivalent. Where such a Security Liaison Officer does not exist, each Member State should take the necessary steps to make sure that appropriate measures are put in place. It is up to each Member State to decide on the most appropriate form of action with regard to the designation of Security Liaison Officers.
(14) The efficient identification of risks, threats and vulnerabilities in the particular sectors requires communication both between owners/operators of ECIs and the Member States, and between the Member States and the Commission. Each Member State should collect information concerning ECIs located within its territory. The Commission should receive generic information from the Member States concerning risks, threats and vulnerabilities in sectors where ECIs were identified, including where relevant information on possible improvements in the ECIs and cross-sector dependencies, which could be the basis for the development of specific proposals by the Commission on improving the protection of ECIs, where necessary.
(15) In order to facilitate improvements in the protection of ECIs, common methodologies may be developed for the identification and classification of risks, threats and vulnerabilities to infrastructure assets.
(16) Owners/operators of ECIs should be given access primarily through relevant Member State authorities to best practices and methodologies concerning critical infrastructure protection.
(17) Effective protection of ECIs requires communication, coordination, and cooperation at national and Community level. This is best achieved through the nomination of European critical infrastructure protection contact points ("ECIP contact points") in each Member State, who should coordinate European critical infrastructure protection issues internally, as well as with other Member States and the Commission.
(18) In order to develop European critical infrastructure protection activities in areas which require a degree of confidentiality, it is appropriate to ensure a coherent and secure information exchange in the framework of this Directive. It is important that the rules of confidentiality according to applicable national law or Regulation (EC) No 1049/2001 of the European Parliament and of the Council of 30 May 2001 regarding public access to European Parliament, Council and Commission documents <*> are observed with regard to specific facts about critical infrastructure assets, which could be used to plan and act with a view to causing unacceptable consequences for critical infrastructure installations. Classified information should be protected in accordance with relevant Community and Member State legislation. Each Member State and the Commission should respect the relevant security classification given by the originator of a document.
---
<*> OJ L 145, 31.5.2001, p. 43.
(19) Information sharing regarding ECIs should take place in an environment of trust and security. The sharing of information requires a relationship of trust such that companies and organisations know that their sensitive and confidential data will be sufficiently protected.
(20) Since the objectives of this Directive, namely the creation of a procedure for the identification and designation of ECIs, and a common approach to the assessment of the need to improve the protection of such infrastructures, cannot be sufficiently achieved by the Member States and can therefore, by reason of the scale of the action, be better achieved at Community level, the Community may adopt measures in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty. In accordance with the principle of proportionality, as set out in that Article, this Directive does not go beyond what is necessary in order to achieve those objectives.
(21) This Directive respects the fundamental rights and observes the principles recognised in particular by the Charter of Fundamental Rights of the European Union,
Has adopted this Directive:
This Directive establishes a procedure for the identification and designation of European critical infrastructures ("ECIs"), and a common approach to the assessment of the need to improve the protection of such infrastructures in order to contribute to the protection of people.
For the purpose of this Directive:
(a) "critical infrastructure" means an asset, system or part thereof located in Member States which is essential for the maintenance of vital societal functions, health, safety, security, economic or social well-being of people, and the disruption or destruction of which would have a significant impact in a Member State as a result of the failure to maintain those functions;
(b) "European critical infrastructure" or "ECI" means critical infrastracture located in Member States the disruption or destruction of which would have a significant impact on at least two Member States. The significance of the impact shall be assessed in terms of cross-cutting criteria. This includes effects resulting from cross-sector dependencies on other types of infrastructure;
(c) "risk analysis" means consideration of relevant threat scenarios, in order to assess the vulnerability and the potential impact of disruption or destruction of critical infrastracture;
(d) "sensitive critical infrastracture protection related information" means facts about a critical infrastructure, which if disclosed could be used to plan and act with a view to causing disruption or destruction of critical infrastracture installations;
(e) "protection" means all activities aimed at ensuring the functionality, continuity and integrity of critical infrastructures in order to deter, mitigate and neutralise a threat, risk or vulnerability;
(f) "owners/operators of ECIs" means those entities responsible for investments in, and/or day-to-day operation of, a particular asset, system or part thereof designated as an ECI under this Directive.
Article 3
Identification of ECIs
1. Pursuant to the procedure provided in Annex III, each Member State shall identify potential ECIs which both satisfy the cross-cutting and sectoral criteria and meet the definitions set out in Article 2(a) and (b).
The Commission may assist Member States at their request to identify potential ECIs.
The Commission may draw the attention of the relevant Member States to the existence of potential critical infrastructures which may be deemed to satisfy the requirements for designation as an ECI.
Each Member State and the Commission shall continue on an ongoing basis the process of identifying potential ECIs.
2. The cross-cutting criteria referred to in paragraph 1 shall comprise the following:
(a) casualties criterion (assessed in terms of the potential number of fatalities or injuries);
(b) economic effects criterion (assessed in terms of the significance of economic loss and/or degradation of products or services; including potential environmental effects);
(c) public effects criterion (assessed in terms of the impact on public confidence, physical suffering and disruption of daily life; including the loss of essential services).
The cross-cutting criteria thresholds shall be based on the severity of the impact of the disruption or destruction of a particular infrastructure. The precise thresholds applicable to the cross-cutting criteria shall be determined on a case-by-case basis by the Member States concerned by a particular critical infrastructure. Each Member State shall inform the Commission on an annual basis of the number of infrastructures per sector for which discussions were held concerning the cross-cutting criteria thresholds.
The sectoral criteria shall take into account the characteristics of individual ECI sectors.
The Commission together with the Member States shall develop guidelines for the application of the cross-cutting and sectoral criteria and approximate thresholds to be used to identify ECIs. The criteria shall be classified. The use of such guidelines shall be optional for the Member States.
3. The sectors to be used for the purposes of implementing this Directive shall be the energy and transport sectors. The subsectors are identified in Annex I.
If deemed appropriate and in conjunction with the review of this Directive as laid down in Article 11, subsequent sectors to be used for the purpose of implementing this Directive may be identified. Priority shall be given to the ICT sector.
Article 4
Designation of ECIs
1. Each Member State shall inform the other Member States which may be significantly affected by a potential ECI about its identity and the reasons for designating it as a potential ECI.
2. Each Member State on whose territory a potential ECI is located shall engage in bilateral and/or multilateral discussions with the other Member States which may be significantly affected by the potential ECI. The Commission may participate in these discussions but shall not have access to detailed information which would allow for the unequivocal identification of a particular infrastructure.
A Member State that has reason to believe that it may be significantly affected by the potential ECI, but has not been identified as such by the Member State on whose territory the potential ECI is located, may inform the Commission about its wish to be engaged in bilateral and/or multilateral discussions on this issue. The Commission shall without delay communicate this wish to the Member State on whose territory the potential ECI is located and endeavour to facilitate agreement between the parties.
3. The Member State on whose territory a potential ECI is located shall designate it as an ECI following an agreement between that Member State and those Member States that may be significantly affected.
The acceptance of the Member State on whose territory the infrastructure to be designated as an ECI is located, shall be required.
4. The Member State on whose territory a designated ECI is located shall inform the Commission on an annual basis of the number of designated ECIs per sector and of the number of Member States dependent on each designated ECI. Only those Member States that may be significantly affected by an ECI shall know its identity.
5. The Member States on whose territory an ECI is located shall inform the owner/operator of the infrastructure concerning its designation as an ECI. Information concerning the designation of an infrastructure as an ECI shall be classified at an appropriate level.
6. The process of identifying and designating ECIs pursuant to Article 3 and this Article shall be completed by 12 January 2011 and reviewed on a regular basis.
Article 5
Operator security plans
1. The operator security plan ("OSP") procedure shall identify the critical infrastructure assets of the ECI and which security solutions exist or are being implemented for their protection. The minimum content to be addressed by an ECI OSP procedure is set out in Annex II.
2. Each Member State shall assess whether each designated ECI located on its territory possesses an OSP or has in place equivalent measures addressing the issues identified in Annex II. If a Member State finds that such an OSP or equivalent exists and is updated regularly, no further implementation action shall be necessary.
3. If a Member State finds that such an OSP or equivalent has not been prepared, it shall ensure by any measures deemed appropriate, that the OSP or equivalent is prepared addressing the issues identified in Annex II.
Each Member State shall ensure that the OSP or equivalent is in place and is reviewed regularly within one year following designation of the critical infrastructure as an ECI. This period may be extended in exceptional circumstances, by agreement with the Member State authority and with a notification to the Commission.
4. In a case where supervisory or oversight arrangements already exist in relation to an ECI such arrangements are not affected by this Article and the relevant Member State authority referred to in this Article shall be the supervisor under those existing arrangements.
5. Compliance with measures including Community measures which in a particular sector require, or refer to a need to have, a plan similar or equivalent to an OSP and oversight by the relevant authority of such a plan, is deemed to satisfy all the requirements of Member States under, or adopted pursuant to, this Article. The guidelines for application referred to in Article 3(2) shall contain an indicative list of such measures.
Security Liaison Officers
1. The Security Liaison Officer shall function as the point of contact for security related issues between the owner/operator of the ECI and the relevant Member State authority.
2. Each Member State shall assess whether each designated ECI located on its territory possesses a Security Liaison Officer or equivalent. If a Member State finds that such a Security Liaison Officer is in place or an equivalent exists, no further implementation action shall be necessary.
3. If a Member State finds that a Security Liaison Officer or equivalent does not exist in relation to a designated ECI, it shall ensure by any measures deemed appropriate, that such a Security Liaison Officer or equivalent is designated.
4. Each Member State shall implement an appropriate communication mechanism between the relevant Member State authority and the Security Liaison Officer or equivalent with the objective of exchanging relevant information concerning identified risks and threats in relation to the ECI concerned. This communication mechanism shall be without prejudice to national requirements concerning access to sensitive and classified information.
5. Compliance with measures including Community measures which in a particular sector require, or refer to a need to have, a Security Liaison Officer or equivalent, is deemed to satisfy all the requirements of Member States in, or adopted pursuant to, this Article. The guidelines for application referred to in Article 3(2) shall contain an indicative list of such measures.
1. Each Member State shall conduct a threat assessment in relation to ECI subsectors within one year following the designation of critical infrastructure on its territory as an ECI within those subsectors.
2. Each Member State shall report every two years to the Commission generic data on a summary basis on the types of risks, threats and vulnerabilities encountered per ECI sector in which an ECI has been designated pursuant to Article 4 and is located on its territory.
A common template for these reports may be developed by the Commission in cooperation with the Member States.
Each report shall be classified at an appropriate level as deemed necessary by the originating Member State.
3. Based on the reports referred to in paragraph 2, the Commission and the Member States shall assess on a sectoral basis whether further protection measures at Community level should be considered for ECIs. This process shall be undertaken in conjunction with the review of this Directive as laid down in Article 11.
4. Common methodological guidelines for carrying out risk analyses in respect of ECIs may be developed by the Commission in cooperation with the Member States. The use of such guidelines shall be optional for the Member States.
Commission support for ECIs
The Commission shall support, through the relevant Member State authority, the owners/operators of designated ECIs by providing access to available best practices and methodologies as well as support training and the exchange of information on new technical developments related to critical infrastructure protection.
Article 9
Sensitive European critical infrastructure
protection-related information
1. Any person handling classified information pursuant to this Directive on behalf of a Member State or the Commission shall have an appropriate level of security vetting.
Member States, the Commission and relevant supervisory bodies shall ensure that sensitive European critical infrastructure protection-related information submitted to the Member States or to the Commission is not used for any purpose other than the protection of critical infrastructures.
2. This Article shall also apply to non-written information exchanged during meetings at which sensitive subjects are discussed.
European critical infrastructure protection contact points
1. Each Member State shall appoint a European critical infrastructure protection contact point ("ECIP contact point").
2. ECIP contact points shall coordinate European critical infrastructure protection issues within the Member State, with other Member States and with the Commission. The appointment of an ECIP contact point does not preclude other authorities in a Member State from being involved in European critical infrastructure protection issues.
Article 11
Review
A review of this Directive shall begin on 12 January 2012.
Article 12
Implementation
Member States shall take the necessary measures to comply with this Directive by 12 January 2011. They shall forthwith inform the Commission thereof and communicate the text of those measures and their correlation with this Directive.
When they are adopted by Member States, these measures shall contain a reference to this Directive or shall be accompanied by such reference on the occasion of their official publication. The methods of making such reference shall be laid down by Member States.
Article 13
Entry into force
This Directive shall enter into force on the 20th day following its publication in the Official Journal of the European Union.
This Directive is addressed to the Member States.
Done at Brussels, 8 December 2008.
For the Council
The President
**B.KOUCHNER**
**LIST**
**OF ECI SECTORS**
| Sector | Subsector |
| I. Energy | 1. Electricity | Infrastructures and facilities for generation and transmission of electricity in respect of supply electricity |
| 2. Oil | Oil production, refining, treatment, storage and transmission by pipelines |
| 3. Gas | Gas production, refining, treatment, storage and transmission by pipelines LNG terminals |
| II. Transport | 4. Road transport 5. Rail transport 6. Air transport 7. Inland waterways transport 8. Ocean and short-sea shipping and ports |
The identification by the Member States of critical infrastructures which may be designated as ECIs is undertaken pursuant to Article 3. Therefore the list of ECI sectors in itself does not generate a generic obligation to designate an ECI in each sector.
Annex II
**ECI OSP PROCEDURE**
The OSP will identify critical infrastracture assets and which security solutions exist or are being implemented for their protection. The ECI OSP procedure will cover at least:
1. identification of important assets;
2. conducting a risk analysis based on major threat scenarios, vulnerability of each asset, and potential impact; and
3. identification, selection and prioritisation of counter-measures and procedures with a distinction between:
- permanent security measures, which identify indispensable security investments and means which are relevant to be employed at all times. This heading will include information concerning general measures such as technical measures (including installation of detection, access control, protection and prevention means); organisational measures (including procedures for alerts and crisis management); control and verification measures; communication; awareness raising and training; and security of information systems,
- graduated security measures, which can be activated according to varying risk and threat levels.
Annex III
**PROCEDURE FOR THE IDENTIFICATION**
**BY THE MEMBER STATES OF CRITICAL INFRASTRUCTURES**
**WHICH MAY BE DESIGNATED AS AN ECI PURSUANT TO ARTICLE 3**
Article 3 requires each Member State to identify the critical infrastructures which may be designated as an ECI. This procedure shall be implemented by each Member State through the following series of consecutive steps.
A potential ECI which does not satisfy the requirements of one of the following sequential steps is considered to be "non-ECI" and is excluded from the procedure. A potential ECI which does satisfy the requirements shall be subjected to the next steps of this procedure.
Each Member State shall apply the sectoral criteria in order to make a first selection of critical infrastructures within a sector.
Each Member State shall apply the definition of critical infrastructure pursuant to Article 2(a) to the potential ECI identified under step 1.
The significance of the impact will be determined either by using national methods for identifying critical infrastructures or with reference to the cross-cutting criteria, at an appropriate national level. For infrastructure providing an essential service, the availability of alternatives, and the duration of disruption/recovery will be taken into account.
Each Member State shall apply the transboundary element of the definition of ECI pursuant to Article 2(b) to the potential ECI that has passed the first two steps of this procedure. A potential ECI which does satisfy the definition will follow the next step of the procedure. For infrastructure providing an essential service, the availability of alternatives, and the duration of disruption/recovery will be taken into account.
Each Member State shall apply the cross-cutting criteria to the remaining potential ECIs. The cross-cutting criteria shall take into account: the severity of impact; and, for infrastructure providing an essential service, the availability of alternatives; and the duration of disruption/recovery. A potential ECI which does not satisfy the cross-cutting criteria will not be considered to be an ECI.
A potential ECI which has passed through this procedure shall only be communicated to the Member States which may be significantly affected by the potential ECI.
---