--- title: "Директива N 2022/2557 Европейского парламента и Совета Европейского Союза" number: "2022/2557" issuer: "Европейский Союз" status: действует canonical: "https://bukva.ai/docs/direktiva-20222557" --- ## Директива N 2022/2557 Европейского парламента и Совета Европейского Союза "Об устойчивости критически важных организаций, а также об отмене Директивы 2008/114/ЕС Совета ЕС" [рус., англ.] (Вместе с "Отраслями, подотраслями и категориями организаций") (Принята в г. Страсбурге 14.12.2022) > [!IMPORTANT] > Документ вступил в силу 16 января 2023 года (официальный сайт законодательства Европейского Союза http://eur-lex.europa.eu/ по состоянию на 08.11.2023). Россия не участвует. > В соответствии со [статьей 28](https://bukva.ai/docs/direktiva-20222557/statya-28#p100397) данный документ вступил в силу на двадцатый день после опубликования в Официальном журнале Европейского Союза.
[неофициальный перевод] <*>
**ЕВРОПЕЙСКИЙ СОЮЗ** **ДИРЕКТИВА (ЕС) N 2022/2557**
**ЕВРОПЕЙСКОГО ПАРЛАМЕНТА И СОВЕТА ЕС**
**ОБ УСТОЙЧИВОСТИ КРИТИЧЕСКИ ВАЖНЫХ ОРГАНИЗАЦИЙ, А ТАКЖЕ**
**ОБ ОТМЕНЕ ДИРЕКТИВЫ 2008/114/EC СОВЕТА ЕС <**>** **(Страсбург, 14 декабря 2022 года)** (Действие Директивы распространяется
на Европейское экономическое пространство)
--- <*> Перевод Сухановой Е.В. <**> Directive (EU) 2022/2557 of the European Parliament and of the Council of 14 December 2022 on the resilience of critical entities and repealing Council Directive 2008/114/EC (Text with EEA relevance). Опубликована в Официальном Журнале (далее - ОЖ) N L 333, 30.4.2004, стр. 164. Европейский Парламент и Совет Европейского Союза, Руководствуясь [Договором](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-1) о функционировании Европейского Союза, и, в частности, [Статьей 114](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-114#p100757) данного Договора, Руководствуясь предложением Европейской Комиссии, После передачи проекта законодательного акта национальным парламентам, Руководствуясь заключением Европейского комитета по экономическим и социальным вопросам <*>, --- <*> ОЖ N C 286, 16.7.2021, стр. 170. После консультаций с Комитетом регионов <*>, --- <*> ОЖ N C 440, 29.10.2021, стр. 99. Действуя в соответствии с обычной законодательной процедурой <*>, --- <*> Позиция Европейского Парламента от 22 ноября 2022 г. (еще не опубликована в ОЖ) и Решение Совета ЕС от 8 декабря 2022 г. Принимая во внимание следующие обстоятельства: (1) Критически важные организации как поставщики основных услуг играют незаменимую роль в поддержании жизненно необходимых социальных функций или экономической деятельности на внутреннем рынке во все более взаимозависимой экономике Союза. Следовательно, необходимо установление рамок правовой базы с целью усиления устойчивости критически важных организаций на внутреннем рынке путем установления гармонизированных минимальных правил и организации содействия их выполнению с помощью последовательной и целенаправленной поддержки и надзорных мер. (2) [Директива](https://bukva.ai/docs/direktiva-2008114es/statya-1) 2008/114/ЕС <*> Совета ЕС предусматривает процедуру установления европейских критических инфраструктур в энергетическом и транспортном секторах, нарушение или уничтожение которых оказало бы существенное трансграничное воздействие как минимум на два государства-члена ЕС. Указанная [Директива](https://bukva.ai/docs/direktiva-2008114es/statya-1) фокусируется исключительно на защите таких инфраструктур. Однако оценка [Директивы](https://bukva.ai/docs/direktiva-2008114es/statya-1) 2008/114/ЕС, проведенная в 2019 г., выявила, что в связи с все более взаимосвязанным и трансграничным характером операций с использованием критических инфраструктур защитные меры, касающиеся только отдельных активов, недостаточны для предотвращения нарушений. Следовательно, необходимо сместить подход в направлении гарантий того, что риски тщательно просчитываются, что роль и обязанности критических инфраструктур в качестве поставщиков услуг, имеющих большое значение для функционирования внутреннего рынка, лучше определены и более последовательны, а также что принимаются правила Союза для усиления устойчивости критически важных организаций. Критически важные организации должны быть в состоянии расширять свои возможности, чтобы предотвращать, смягчать, противостоять воздействию, нейтрализовывать и улаживать инциденты, которые могут нарушить предоставление основных услуг. --- <*> [Директива](https://bukva.ai/docs/direktiva-2008114es/statya-1) 2008/114/ЕС Совета ЕС от 8 декабря 2008 г. о европейских критических инфраструктурах и мерах по их защите (ОЖ N L 345, 23.12.2008, стр. 75). (3) В то время как ряд мер на уровне Союза, таких как Европейская программа по защите критических инфраструктур, а также на национальном уровне направлен на поддержание защиты критических инфраструктур на территории Союза, необходимо приложить дополнительные усилия для более полного оснащения организаций, обслуживающих данные инфраструктуры, в целях устранения рисков для их оперативной деятельности, которые могут привести к нарушению предоставления основных услуг. Также необходимо сделать больше, чтобы лучше подготовить такие организации, поскольку имеются динамичный ландшафт угроз, включающий смешанные и террористические угрозы, и возрастающая взаимозависимость между инфраструктурой и отраслями. Более того, возрастает физический риск, связанный с природными катастрофами и изменением климата, который увеличивает частоту и масштаб экстремальных погодных явлений и влечет долгосрочные изменения средних параметров климатических условий, которые могут сократить мощность, эффективность и жизненный цикл определенных видов инфраструктур при отсутствии мер климатической адаптации. Также внутренний рынок характеризуется фрагментарностью в отношении идентификации критически важных организаций, поскольку соответствующие отрасли и категории организаций не всегда признаются критически важными во всех государствах-членах ЕС. Настоящая Директива должна, таким образом, достичь высокого уровня гармонизации с точки зрения отраслей и категорий организаций, подпадающих под ее действие. (4) В то время как определенные отрасли экономики, такие как энергетический и транспортный сектора, уже регулируются специальными отраслевыми законодательными актами Союза, такие законодательные акты содержат положения, которые касаются только отдельных аспектов устойчивости организаций, действующих в данных отраслях. Чтобы всесторонне рассмотреть устойчивость данных организаций, которые являются критически важными для надлежащего функционирования внутреннего рынка, настоящая Директива создает общую основу, которая рассматривает устойчивость критически важных организаций в отношении всех опасностей природного или техногенного характера, случайных или преднамеренных. (5) Растущая взаимозависимость между инфраструктурой и отраслями является результатом все более трансграничной и взаимозависимой сети предоставления услуг с использованием ключевых инфраструктур на территории Союза в энергетическом, транспортном, банковском секторе, секторе питьевой воды, водоотведения, секторе производства, переработки и дистрибуции пищевых продуктов, секторе здравоохранения, космическом секторе, в секторах инфраструктуры финансового рынка и цифровой инфраструктуры, а также в определенных аспектах сектора государственного управления. Космический сектор подпадает под действие настоящей Директивы в отношении оказания определенных услуг, зависящих от наземной инфраструктуры, которая находится во владении, управлении или использовании государств-членов ЕС либо частных лиц; следовательно, инфраструктура, которая находится во владении, управлении или использовании Союза либо от его имени в качестве составной части его космической программы, не подпадает под действие настоящей Директивы. Ввиду особенностей энергетической отрасли и, в частности методов производства и передачи электроэнергии (в отношении электроснабжения), очевидно, что при наличии целесообразности процесс производства электроэнергии может частично включать передачу электроэнергии атомными электростанциями, за исключением специальных атомных элементов, подпадающих под действие договоров и законодательства Союза, в том числе соответствующих законодательных актов Союза, касающихся атомной энергии. Процесс идентификации критически важных организаций в пищевом секторе должен надлежащим образом отражать характер внутреннего рынка в указанном секторе, а также многочисленные правила Союза, касающиеся общих принципов и требований продовольственного законодательства и безопасности пищевых продуктов. Таким образом, чтобы обеспечить пропорциональный подход и надлежащим образом отражать роль и значимость данных организаций на национальном уровне, критически важные организации должны идентифицироваться среди предприятий пищевого сектора, коммерческих или некоммерческих, государственных или частных, которые занимаются исключительно логистикой и оптовой торговлей, а также крупномасштабным промышленным производством и переработкой, занимающих значительную долю рынка, что отмечается на национальном уровне. Данные взаимозависимости означают, что любое нарушение оказания основных услуг, даже которое первоначально ограничивается одной организацией или одним сектором, может вызвать более широкий каскадный эффект, потенциально приводящий к далеко идущим и долгосрочным негативным последствиям для предоставления услуг на внутреннем рынке. Крупные кризисы, такие как пандемия COVID-19, показали уязвимость нашего все более взаимозависимого общества перед лицом маловероятных рисков с высокой степенью воздействия. (6) Организациям, участвующим в оказании основных услуг, все чаще предъявляются противоречивые требования в соответствии с национальным законодательством. Тот факт, что некоторые государства-члены ЕС имеют менее строгие требования безопасности к таким организациям, ведет не только к разным уровням устойчивости, но вызывает риски негативного воздействия на поддержание жизненно важных социальных функций или на экономическую активность на территории Союза, а также препятствует надлежащему функционированию внутреннего рынка. Инвесторы и компании могут доверять критически важным организациям, которые устойчивы, и полагаться на них; надежность и доверие являются краеугольными камнями эффективно функционирующего внутреннего рынка. Схожие виды организаций считаются критически важными в некоторых государствах-членах ЕС, но не признаются таковыми в других, а также те организации, которые идентифицируются как критически важные, подпадают под действие различных требований в разных государствах-членах ЕС. Это приводит к дополнительной и ненужной административной нагрузке для компаний, ведущих трансграничную деятельность, в частности для компаний, действующих в государствах-членах ЕС с более строгими требованиями. Рамки Союза должны создавать равные условия для критически важных организаций на территории Союза. (7) Необходимо установить гармонизированные минимальные правила, чтобы гарантировать предоставление основных услуг на внутреннем рынке, усилить устойчивость критически важных организаций и улучшить трансграничное сотрудничество между компетентными органами. Важно, чтобы указанные правила соответствовали требованиям завтрашнего дня с точки зрения их разработки и имплементации, в то же время позволяя необходимую гибкость. Также крайне необходимо расширять возможности критически важных организаций по оказанию основных услуг перед лицом разнообразных рисков. (8) Для достижения высокого уровня устойчивости государства-члены ЕС должны идентифицировать критически важные организации, которые подлежат специальным требованиям и надзору, а также будут обеспечены особой поддержкой и руководством в свете всех релевантных рисков. (9) С учетом важности кибербезопасности для устойчивости критически важных организаций и в целях обеспечения последовательности, необходим согласованный подход, по возможности, между настоящей Директивой и [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555 Европейского Парламента и Совета ЕС <*>. В свете более частого возникновения и особых характеристик киберрисков [Директива](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555 возлагает комплексные требования на широкую группу предприятий, чтобы гарантировать их кибербезопасность. Учитывая, что кибербезопасность достаточно подробно рассматривается в [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) 2022/2555, вопросы, охватываемые этой Директивой, должны быть исключены из сферы применения настоящей Директивы без ущерба для особого режима организаций сектора цифровой инфраструктуры. --- <*> [Директива](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555 Европейского Парламента и Совета ЕС от 14 декабря 2022 г. о мерах по обеспечению высокого общего уровня кибербезопасности на территории Союза, а также об отмене Директивы (ЕС) 2016/1148 (Директива NIS 2) (см. стр. 80 настоящего ОЖ). (10) В тех случаях, когда положения отраслевых законодательных актов Союза требуют, чтобы критически важные организации приняли меры к повышению устойчивости, и когда такие требования признаются государствами-членами ЕС как минимум эквивалентными релевантным обязательствам, установленным в настоящей Директиве, соответствующие положения настоящей Директивы не применяются во избежание дублирования и ненужной нагрузки. В таком случае должны применяться соответствующие положения данных законодательных актов Союза. В том случае, когда соответствующие положения настоящей Директивы не применяются, положения о надзоре и принудительном применении, установленные настоящей Директивой, также не подлежат применению. (11) Настоящая Директива не затрагивает компетенцию государств-членов ЕС и их органов с точки зрения административной автономии или их ответственности за обеспечение национальной безопасности и обороны или их полномочий по охране основных функций государства, в частности, касающихся государственной безопасности, территориальной целостности и поддержания права и правопорядка. Исключения государственных административных организаций из сферы применения настоящей Директивы применяются к организациям, чья деятельность ведется преимущественно в сфере национальной безопасности, государственной безопасности, обороны или охраны правопорядка, в том числе расследования, выявления и судебного преследования уголовных преступлений. Однако государственные административные учреждения, чья деятельность лишь незначительно связана с данными сферами, должны подпадать под действие настоящей Директивы. Для целей настоящей Директивы учреждения, обладающие регулирующими полномочиями, не считаются ведущими деятельность в сфере охраны правопорядка и, следовательно, не исключаются из сферы применения настоящей Директивы по этим основаниям. Государственные административные учреждения, которые созданы совместно с третьей страной в соответствии с международным соглашением, исключаются из сферы применения настоящей Директивы. Настоящая Директива не применяется к консульским и дипломатическим миссиям государств-членов ЕС в третьих странах. Некоторые критически важные организации ведут деятельность в сфере национальной безопасности, государственной безопасности, обороны или охраны правопорядка, в том числе расследования, выявления и судебного преследования уголовных преступлений, или предоставляют услуги исключительно государственным административным учреждениям, которые ведут деятельность преимущественно в этих сферах. В свете своей ответственности за обеспечение национальной безопасности и обороны государства-члены ЕС должны иметь возможность принимать решения о том, что обязательства критически важных организаций, установленные в настоящей Директиве, не применяются в целом или в части к таким критически важным организациям, если услуги, которые они предоставляют, или деятельность, которую они ведут, преимущественно связаны со сферами национальной безопасности, государственной безопасности, обороны или охраны правопорядка, в том числе расследования, выявления и судебного преследования уголовных преступлений. Критически важные организации, услуги или деятельность которых лишь незначительно связана с указанными сферами, подпадают под действие настоящей Директивы. Ни от одного государства-члена ЕС не должно требоваться предоставление информации, раскрытие которой противоречит жизненно важным интересам национальной безопасности. Правила Союза или национальные правила о защите секретной информации и соглашения о неразглашении имеют большое значение. (12) Во избежание угрозы национальной безопасности или безопасности и коммерческим интересам критически важных организаций доступ, обмен и обращение с секретной информацией должны осуществляться разумно и с особым вниманием к используемым каналам передачи и мощностям хранения. (13) Для обеспечения комплексного подхода к устойчивости критически важных организаций каждое государство-член ЕС должно иметь стратегию по повышению устойчивости критически важных организаций ("стратегия"). Стратегия устанавливает стратегические объекты и политические меры для имплементации. В интересах согласованности и эффективности стратегия должна разрабатываться таким образом, чтобы обеспечить плавную интеграцию действующей политики, и, если это возможно, на основе существующих национальных и отраслевых стратегий, планов или подобных документов. Для достижения комплексного подхода государства-члены ЕС должны гарантировать, что их стратегии обеспечивают политические рамки для улучшения координации между компетентными органами, назначенными в соответствии с настоящей Директивой, и между компетентными органами, назначенными согласно [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, в контексте обмена информацией по рискам кибербезопасности, цифровых угроз и цифровых инцидентов, и нецифровых рисков, угроз и инцидентов, а также в контексте выполнения задач по надзору. При введении в действие стратегий государства-члены ЕС должны надлежащим образом учитывать смешанный характер угроз для критически важных организаций. (14) Государства-члены ЕС должны сообщать Европейской Комиссии о своих стратегиях и о внесении в них существенных изменений, чтобы Комиссия имела возможность оценить правильность применения настоящей Директивы в том, что касается политических подходов к устойчивости критически важных организаций на национальном уровне. В случае необходимости стратегии могут быть сообщены как секретная информация. Европейская Комиссия составляет сводный отчет по стратегиям, информация о которых передана государствами-членами ЕС, чтобы он служил основой для обмена с целью выявления лучших практик и вопросов, представляющих общий интерес, в рамках Группы по устойчивости критически важных организаций. В связи с конфиденциальным характером обобщенной информации, включенной в сводный отчет по стратегиям, о которых сообщено государствами-членами ЕС, как секретной, так и несекретной, Европейская Комиссия работает со сводным отчетом с соответствующим уровнем осведомленности в целях обеспечения безопасности критически важных организаций, государств-членов ЕС и Европейского Союза. Сводный отчет и стратегии должны быть защищены от незаконных или вредоносных действий и доступны только для авторизованных лиц, чтобы обеспечить выполнение целей настоящей Директивы. Сообщение стратегий и существенных изменений в них также помогает Комиссии в понимании изменений в подходах к устойчивости критически важных организаций и вносит вклад в мониторинг влияния и эффекта от применения настоящей Директивы, которые Европейская Комиссия периодически пересматривает. (15) Действия государств-членов ЕС по идентификации и содействию в обеспечении устойчивости критически важных организаций должны соответствовать подходу, основанному на анализе рисков, и ориентированному на организации, которые имеют наиболее непосредственное отношение к выполнению жизненно важных социальных функций или экономической деятельности. Чтобы обеспечить такой целенаправленный подход, каждое государство-член ЕС в рамках гармонизированной правовой базы проводит оценку соответствующих природных и антропогенных рисков, в том числе межотраслевого и трансграничного характера, которые могут повлиять на предоставление жизненно важных услуг, включая несчастные случаи, природные катастрофы, чрезвычайные ситуации в сфере здравоохранения, такие как пандемии и смешанные угрозы, и другие антагонистические угрозы, включая террористические преступления, коррупцию и саботаж ("оценка рисков государства-члена ЕС"). При проведении оценки рисков государства-члена ЕС, государства-члены ЕС должны принимать во внимание и другие общие или отраслевые оценки рисков, проводимые в соответствии с иными законодательными актами Союза, а также должны учитывать то, насколько отрасли зависят друг от друга и от отраслей других государств-членов ЕС и третьих стран. Результаты оценок рисков государств-членов ЕС должны использоваться для целей идентификации критически важных организаций и содействовать этим организациям в соблюдении требований устойчивости. Настоящая Директива применяется только к государствам-членам ЕС и критически важным организациям, которые действуют на территории Союза. Тем не менее, опыт и знания, полученные компетентными органами, в частности, в ходе оценки рисков, а также Европейской Комиссией, в частности, в результате различных форм содействия и сотрудничества, могут быть использованы, если это целесообразно и в соответствии с действующими правовыми актами, в интересах третьих стран, в частности, непосредственно граничащими с Европейским Союзом, путем применения в существующем сотрудничестве по устойчивости. (16) Чтобы гарантировать, что на все соответствующие организации распространяются требования настоящей Директивы по устойчивости и в целях сокращения расхождений в этом отношении, важно установить гармонизированные правила, обеспечивающие последовательную идентификацию критически важных организаций на территории Союза, в то же время позволяя государствам-членам ЕС соответствующим образом отражать роль и важность этих организаций на национальном уровне. При применении критериев, установленных в настоящей Директиве, каждое государство-член ЕС должно идентифицировать организации, которые предоставляют одну или более основных услуг, а также эксплуатируют и имеют критически важную инфраструктуру, расположенную на его территории. Организация считается действующей на территории того государства-члена ЕС, в котором осуществляет деятельность, необходимую для рассматриваемой основной услуги или услуг, и в котором расположена критически важная инфраструктура этой организации, которая используется для предоставления этой услуги или услуг. В случаях, когда ни одна организация не отвечает этим критериям в государстве-члене ЕС, на данное государство-член ЕС не возлагается обязанность по идентификации критически важной организации в соответствующей отрасли или подотрасли. В интересах эффективности, действенности, последовательности и правовой определенности необходимо установить соответствующие правила касаемо уведомления организаций о том, что они были идентифицированы как критически важные. (17) Государства-члены ЕС должны представлять Европейской Комиссии способом, который соответствует целям настоящей Директивы, перечень основных услуг, количество критических организаций, идентифицированных для каждой отрасли и подотрасли, указанных в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404), и для основной услуги или услуг, которые каждая организация предоставляет, а также, если это применимо, пороговые значения. Должна быть обеспечена возможность предоставления пороговых значений как таковых или в агрегированной форме, чтобы информация могла быть усреднена по географической зоне, году, отрасли, подотрасли или другим способом, и могла включать информацию о диапазоне представленных показателей. (18) Необходимо установить критерии для определения значимости негативного эффекта, оказываемого инцидентом. Эти критерии должны основываться на критериях, установленных в [Директиве](https://bukva.ai/docs/direktiva-20161148/statya-1) (ЕС) 2016/1148 Европейского Парламента и Совета ЕС <*>, в целях использования усилий, предпринимаемых государствами-членами ЕС для идентификации операторов основных услуг, как определено в этой [Директиве](https://bukva.ai/docs/direktiva-20161148/statya-1), а также полученного в этой связи опыта. Основные кризисы, такие как пандемия COVID-19, показали важность обеспечения безопасности продовольственной цепи и продемонстрировали, что ее нарушение может иметь негативные экономические и социальные последствия для большого числа отраслей и между странами. Таким образом, государства-члены ЕС должны учитывать, насколько это возможно, воздействие на продовольственную цепь при определении степени зависимости других отраслей и подотраслей от основной услуги, предоставляемой критически важной организацией. --- <*> [Директива](https://bukva.ai/docs/direktiva-20161148/statya-1) (ЕС) 2016/1148 Европейского Парламента и Совета ЕС от 6 июля 2016 г. о мерах по достижению высокого общего уровня безопасности сетевых и информационных систем Союза (ОЖ N L 194, 19.7.2016, стр. 1). (19) В соответствии с действующим законодательством Союза и национальным законодательством, включая [Регламент](https://bukva.ai/docs/reglament-2019452/statya-1) (ЕС) 2019/452 Европейского Парламента и Совета ЕС <*>, который устанавливает правовые рамки для проверки прямых иностранных инвестиций в Союз, необходимо осознавать потенциальную угрозу, создаваемую иностранным владением критической инфраструктурой на территории Союза, поскольку экономика и свободное перемещение и безопасность граждан Союза зависят от надлежащего функционирования критически важной инфраструктуры. --- <*> [Регламент](https://bukva.ai/docs/reglament-2019452/statya-1) (ЕС) 2019/452 Европейского Парламента и Совета ЕС от 19 марта 2019 г. об установлении правовых рамок для проверки прямых иностранных инвестиций в Союз (ОЖ N L 79 I, 21.3.2019, стр. 1). (20) [Директива](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555 требует, чтобы организации, принадлежащие к сектору цифровой инфраструктуры, которые могли бы быть идентифицированы как критически важные организации согласно настоящей Директиве, принимали надлежащие и пропорциональные технические, операционные и организационные меры для управления рисками безопасности сети и информационных систем и уведомляли о серьезных инцидентах и цифровых угрозах. Поскольку угрозы безопасности сети и информационных систем могут иметь различное происхождение, [Директива](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555 применяет принцип учета всех опасностей, который включает устойчивость сети и информационных систем, а также физических компонентов и среды этих систем. При условии, что требования, установленные в [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, в этом отношении как минимум эквивалентны соответствующим обязательствам, установленным в настоящей Директиве, обязательства, установленные в [Статье 11](https://bukva.ai/docs/direktiva-20222557/statya-11#p100241) и [Главах III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248), [IV](https://bukva.ai/docs/direktiva-20222557/statya-17#p100296) и [VI](https://bukva.ai/docs/direktiva-20222557/statya-21#p100352) настоящей Директивы, не должны применяться к организациям, относящимся к сектору цифровой инфраструктуры, во избежание дублирования и ненужной административной нагрузки. Однако учитывая важность услуг, предоставляемых организациями, относящимися к сектору цифровой инфраструктуры, для критически важных организаций, относящихся ко всем остальным отраслям, государства-члены ЕС должны идентифицировать на основе критериев и с применением процедуры, предусмотренной в настоящей Директиве, организации, относящиеся к сектору цифровой инфраструктуры в качестве критически важных организаций. Следовательно, должны применяться стратегии, оценка рисков государств-членов ЕС и меры поддержки, установленные в [Главе II](https://bukva.ai/docs/direktiva-20222557/statya-4#p100155) настоящей Директивы. Государства-члены ЕС должны иметь возможность принимать или продолжать применение положений национального законодательства для достижения более высокого уровня устойчивости таких критически важных организаций, при условии, что данные положения соответствуют действующему законодательству Союза. (21) Законодательство о финансовых услугах Союза устанавливает комплексные требования к финансовым организациям в целях управления всеми рисками, с которыми они сталкиваются, а также в целях обеспечения непрерывности бизнес-процессов. Такое законодательство включает Регламенты (ЕС) [648/2012](https://bukva.ai/docs/reglament-6482012/statya-1) <1>, (ЕС) 575/2013 <2> и (ЕС) [600/2014](https://bukva.ai/docs/reglament-6002014/statya-1) <3> Европейского Парламента и Совета ЕС и Директивы [2013/36/ЕС](https://bukva.ai/docs/direktiva-201336es/statya-1) <4> и [2014/65/ЕС](https://bukva.ai/docs/direktiva-201465es/statya-1) <5> Европейского Парламента и Совета ЕС. Данная правовая база дополняется Регламентом (ЕС) 2022/2554 Европейского Парламента и Совета ЕС <6>, который устанавливает требования, применяемые к финансовым организациям для управления рисками информационных и коммуникационных технологий (ICT), в том числе касающиеся защиты физической инфраструктуры ICT. Поскольку таким образом устойчивость этих организаций регулируется комплексно, [Статьи 11](https://bukva.ai/docs/direktiva-20222557/statya-11#p100241) и [Главы III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248), [IV](https://bukva.ai/docs/direktiva-20222557/statya-17#p100296) и [VI](https://bukva.ai/docs/direktiva-20222557/statya-21#p100352) настоящей Директивы не должны применяться к таким организациям во избежание дублирования и ненужной административной нагрузки. --- <1> [Регламент](https://bukva.ai/docs/reglament-6482012/statya-1) (ЕС) 648/2012 Европейского Парламента и Совета ЕС от 4 июля 2012 г. о внебиржевых деривативах, центральных контрагентах и торговых репозиториях (ОЖ N L 201, 27.7.2012, стр. 1). <2> Регламент (ЕС) 575/2013 Европейского Парламента и Совета ЕС от 26 июня 2013 г. о пруденциальных требованиях к кредитным организациям и инвестиционным фирмам и внесении изменений в Регламент (ЕС) 648/2012 (ОЖ N L 176, 27.6.2013, стр. 1) <3> [Регламент](https://bukva.ai/docs/reglament-6002014/statya-1) (ЕС) 600/2014 Европейского Парламента и Совета ЕС о рынках финансовых инструментов и о внесении изменений в Регламент (ЕС) 648/2012 (ОЖ N L 173, 12.6.2014, стр. 84). <4> [Директива](https://bukva.ai/docs/direktiva-201336es/statya-1) 2013/36/ЕС Европейского Парламента и Совета ЕС от 26 июня 2013 г. о доступе к деятельности кредитных учреждений и пруденциальном надзоре за кредитными учреждениями и инвестиционными фирмами и о внесении изменений в Директиву 2002/87/ЕС и об отмене Директив 2006/48/ЕС и 2006/49/EC (ОЖ N L 176, 27.6.13, стр. 338). <5> [Директива](https://bukva.ai/docs/direktiva-201465es/statya-1) 2014/65/ЕС Европейского Парламента и Совета ЕС от 15 мая 2014 г. о рынках финансовых инструментов и об изменении Директивы 2002/92/ЕС и Директивы 2011/61/ЕС (ОЖ N L 173, 12.6.2014, стр. 349). <6> Регламент (ЕС) 2022/2554 Европейского Парламента и Совета ЕС от 14 декабря 2022 г. о цифровой операционной устойчивости финансового сектора, а также об изменении Регламентов (EC) 1060/2009, (ЕС) 648/2012, (ЕС) 600/2014, (ЕС) 909/2014 и (ЕС) 2016/1011 (см. стр. 1 настоящего ОЖ). Однако учитывая важность услуг, предоставляемых организациями финансового сектора критически важным организациям, относящимся ко всем другим отраслям, государства-члены ЕС должны идентифицировать на основе критериев и с применением процедуры, предусмотренной в настоящей Директиве, организации финансового сектора в качестве критически важных организаций. Следовательно, должны применяться стратегии, оценки рисков государств-членов ЕС и меры поддержки, установленные в [Главе II](https://bukva.ai/docs/direktiva-20222557/statya-4#p100155) настоящей Директивы. Государства-члены ЕС должны иметь возможность принимать или продолжать применение положений национального законодательства для достижения более высокого уровня устойчивости таких критически важных организаций, при условии, что данные положения соответствуют действующему законодательству Союза. (22) Государства-члены ЕС должны назначить или учредить органы, уполномоченные осуществлять надзор за применением и, при необходимости, обеспечивать применение правил настоящей Директивы, а также должны гарантировать, что эти органы наделены надлежащими полномочиями и ресурсами. В свете различий в национальных структурах управления для защиты существующих отраслевых механизмов или надзорных и регулирующих органов Союза и во избежание дублирования государства-члены ЕС должны иметь возможность назначать или учреждать несколько компетентных органов. В случаях, когда государства-члены ЕС назначают или учреждают несколько компетентных органов, они должны четко определить соответствующие задачи рассматриваемых органов и обеспечить их слаженное и эффективное сотрудничество. Все компетентные органы также должны более широко сотрудничать с другими соответствующими органами на уровне Союза и на национальном уровне. (23) Чтобы обеспечить трансграничное сотрудничество и связи, а также чтобы обеспечить эффективную имплементацию настоящей Директивы, каждое государство-член ЕС должно без ущерба требованиям отраслевых законодательных актов Союза назначить единый контактный пункт, ответственный за координирование вопросов, связанных с устойчивостью критически важных организаций и трансграничным сотрудничеством на уровне Союза ("единый контактный пункт"), если это применимо - в структуре компетентного органа. Каждый единый контактный пункт должен поддерживать контакты и координировать связь, если это применимо, совместно с компетентными органами государства-члена ЕС, с другими едиными контактными пунктами других государств-членов ЕС и Группой по устойчивости критически важных организаций. (24) Компетентные органы, назначенные согласно настоящей Директиве, и компетентные органы, назначенные согласно [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, должны сотрудничать и обмениваться информацией относительно рисков кибербезопасности, цифровых угроз и цифровых инцидентов и нецифровых рисков, угроз и инцидентов, влияющих на критические организации, а также относительно соответствующих мер, предпринимаемых компетентными органами, назначенными согласно настоящей Директиве, и компетентными органами, назначенными в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555. Важно, чтобы государства-члены ЕС обеспечивали имплементацию требований, предусмотренных в настоящей Директиве и [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, на основе взаимодополняемости и гарантировали, что критически важные организации не подвергаются административной нагрузке свыше необходимого для достижения целей настоящей Директивы и [Директивы](https://bukva.ai/docs/direktiva-20222555/statya-1) 2022/2555. (25) Государства-члены ЕС должны поддерживать критически важные организации, включая те, которые квалифицируются как малые и средние предприятия, в повышении их устойчивости в соответствии с обязательствами государств-членов ЕС, установленными в настоящей Директиве, без ущерба собственной правовой ответственности критически важных организаций по обеспечению соблюдения обязательств, и, таким образом исключая ненужную административную нагрузку. Государства-члены ЕС могут, в частности, разрабатывать материалы по руководству и методологии, оказывать содействие в организации мероприятий по тестированию устойчивости критически важных организаций, а также давать рекомендации и организовывать обучение персонала критически важных организаций. В необходимых случаях и когда это оправдано общественными интересами, государства-члены ЕС могут предоставить финансовые ресурсы и обеспечивают добровольный обмен информацией и лучшими практиками между критически важными организациями, без ущерба применению правил о конкуренции, установленных в [Договоре](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-1) о функционировании Европейского Союза (TFEU). (26) В целях усиления устойчивости критически важных организаций, идентифицированных государствами-членами ЕС, и сокращения административной нагрузки на такие критически важные организации, компетентные органы должны в соответствующих случаях консультироваться друг с другом, чтобы обеспечить согласованное применение настоящей Директивы. Такие консультации должны проводиться по запросу любого заинтересованного компетентного органа и быть сосредоточены на конвергентном подходе относительно взаимосвязанных критически важных организаций, которые используют критически важную инфраструктуру, физически подключенную между двумя и более государствами-членами ЕС, которые принадлежат к тем же группам или корпоративным структурам, или которые были идентифицированы в одном государстве-члене ЕС, или которые предоставляют основные услуги этому государству-члену ЕС или в других государствах-членах ЕС. (27) В тех случаях, когда положения национального законодательства или законодательства Союза требуют, чтобы критически важные организации оценивали риски, касающиеся целей настоящей Директивы, и принимали меры для обеспечения собственной устойчивости, такие требования должны быть соответствующим образом учтены для целей надзора за соблюдением настоящей Директивы критически важными организациями. (28) Критически важные организации должны иметь комплексное понимание соответствующих рисков, которым они подвергаются, и нести обязанности по анализу таких рисков. Для этих целей они должны проводить оценки рисков с учетом конкретных обстоятельств и меняющегося характера таких рисков, но в любом случае, каждые четыре года, чтобы оценить соответствующие риски, которые могут нарушить предоставление основных услуг ("оценка риска критически важной организации"). В случаях, когда критически важные организации уже провели другие оценки рисков или разработали документы в соответствии с обязательствами, установленными в других законодательных актах, касающихся оценки рисков критически важных организаций, они могут использовать такие оценки и документы для соблюдения требований, установленных в настоящей Директиве, касающихся оценки рисков критически важных организаций. Компетентный орган вправе декларировать, что имеющаяся оценка рисков, проведенная критически важной организацией, в которой рассмотрены соответствующие риски и соответствующая степень зависимости, соответствует полностью или в части обязательствам, установленным в настоящей Директиве. (29) Критически важные организации должны принимать технические и организационные меры, меры безопасности, которые соответствуют и пропорциональны рискам, которым они подвергаются, с тем чтобы предотвращать, смягчать, противостоять воздействию, нейтрализовывать и улаживать инциденты. При принятии критически важными организациями таких мер в соответствии с настоящей Директивой детали и масштаб таких мер должны отражать различные риски, которые критически важная организация идентифицировала в качестве составной части оценки риска критической организации, а также особенности такой организации надлежащим и пропорциональным образом. Чтобы содействовать реализации последовательного подхода Союза, Европейская Комиссия после консультаций с Группой по устойчивости критически важных организаций должна принять не имеющие обязательной силы руководства для дальнейшей конкретизации этих технических и организационных мер и мер безопасности. Государства-члены ЕС гарантируют, что каждая критически важная организация назначает сотрудника по связи или эквивалентного сотрудника в качестве единого контактного пункта для связи с компетентными органами. (30) В интересах эффективности и подотчетности критические организации должны описывать меры, которые они принимают, с таким уровнем детализации, который в достаточной мере достигает целей эффективности и подотчетности с учетом выявленных рисков, в плане по устойчивости или в другом документе или документах, которые эквивалентны плану по устойчивости, и применяют этот план на практике. В случае если критически важная организация уже приняла технические организационные меры и меры безопасности и разработала документы согласно другим законодательным актам, которые соответствуют мерам по повышению устойчивости согласно настоящей Директиве, то она должна иметь возможность во избежание дублирования применять эти меры и документы для соблюдения требований к мерам по устойчивости в соответствии с настоящей Директивой. Компетентный орган вправе декларировать, что имеющиеся меры по устойчивости, принятые критически важной организацией во исполнение обязанности по принятию технических и организационных мер и мер безопасности в соответствии с настоящей Директивой, соответствуют полностью или в части требованиям настоящей Директивы. (31) Регламенты (ЕС) 725/2004 <1> и (ЕС) [300/2008](https://bukva.ai/docs/reglament-3002008/statya-1) <2> Европейского Парламента и Совета ЕС и [Директива](https://bukva.ai/docs/direktiva-200565es/statya-1) 2005/65/EC Европейского Парламента и Совета ЕС <3> устанавливают требования, применяемые к организациям в отраслях воздушного и морского транспорта, чтобы предотвращать инциденты, вызванные незаконными актами, и противодействовать и смягчать последствия таких инцидентов. Поскольку меры, требования о которых содержатся в настоящей Директиве, являются более общими в значении рассматриваемых рисков и видов принимаемых мер, критически важные организации в этих отраслях должны отразить в своем плане по устойчивости или эквивалентных документах меры, принимаемые в соответствии с другими законодательными актами Союза. Критически важные организации также должны учитывать [Директиву](https://bukva.ai/docs/direktiva-200896es/statya-1) 2008/96/EC Европейского Парламента и Совета ЕС <4>, которая вводит оценку состояния сети дорог для определения рисков несчастных случаев и целевую проверку безопасности дорожного движения для выявления опасных условий, дефектов и проблем, которые увеличивают риск несчастных случаев и травм, основанную на посещениях существующих дорог или дорожных участков. Обеспечение защиты и устойчивости критически важных организаций имеет первостепенное значение для железнодорожного сектора, и при имплементации мер по устойчивости в соответствии с настоящей Директивой критически важным организациям рекомендуется ссылаться на не имеющие обязательной силы руководства и лучшие практики, разработанные в рамках отраслевых направлений работы, таких как Платформа безопасности на железнодорожном транспорте ЕС, установленная Решением Европейской Комиссии 2018/C 232/03 <5>. --- <1> Регламент (ЕС) 725/2004 Европейского Парламента и Совета ЕС от 31 марта 2004 г. о повышении безопасности судов и портовых средств (ОЖ N L 129, 29.4.2004, стр. 6). <2> [Регламент](https://bukva.ai/docs/reglament-3002008/statya-1) (ЕС) 300/2008 Европейского Парламента и Совета ЕС от 11 марта 2008 г. об общих правилах в области безопасности гражданской авиации и об отмене Регламента (ЕС) 2320/2002 (ОЖ N L 97, 9.4.2008, стр. 72). <3> [Директива](https://bukva.ai/docs/direktiva-200565es/statya-1) 2005/65/EC Европейского Парламента и Совета ЕС от 26 октября 2005 г. о повышении безопасности портов (ОЖ N L 310, 25.11.2005, стр. 28) <4> [Директива](https://bukva.ai/docs/direktiva-200896es/statya-1) 2008/96/EC Европейского Парламента и Совета ЕС от 19 ноября 2008 г. об управлении безопасностью автодорог (ОЖ N L 310, 25.11.2005, стр. 28). <5> Решение Европейской Комиссии от 29 июня 2018 г. о создании Платформы безопасности на железнодорожном транспорте ЕС 2018/C 232/03 (ОЖ N C 232, 3.7.2018, стр. 10) (32) Риск ненадлежащего использования сотрудниками или их контрагентами, например, прав доступа на предприятии критически важной организации в целях причинения вреда и нанесения убытков вызывает все большую обеспокоенность. Таким образом, государства-члены ЕС должны определить условия, при которых критически важным организациям разрешено в надлежаще обоснованных случаях и с учетом оценок рисков государств-членов ЕС подавать запросы для проверок анкетных данных лиц, входящих в особые категории их персонала. Необходимо гарантировать, что соответствующие органы рассматривают такие запросы в разумный срок и обрабатывают их в соответствии с национальным законодательством и процедурами, соответствующими действующему законодательству Союза, в том числе о защите персональных данных. Чтобы подтвердить личность лица, являющегося объектом проверки анкетных данных, целесообразно, чтобы государства-члены ЕС запрашивали удостоверение личности, такое как паспорт, национальная ID-карта или цифровая форма идентификации, в соответствии с действующим законодательством. Проверки анкетных данных должны включать проверку информации о судимости рассматриваемого лица. Государства-члены ЕС используют Европейскую информационную систему учета судимостей в соответствии с процедурами, установленными в Рамочном [Решении](https://bukva.ai/docs/reshenie-2009315pvd/statya-1) Совета ЕС 2009/315/ПВД <*>, и, когда это уместно и применимо, Регламент (ЕС) 2019/816 Европейского Парламента и Совета ЕС <**> для получения информации из баз данных судимостей других государств-членов ЕС. Государства-члены ЕС также могут, когда это уместно и применимо, воспользоваться вторым поколением Шенгенской информационной системы (SIS II), установленной Регламентом (ЕС) 2018/1862 Европейского Парламента и Совета ЕС <***>, оперативной и другой доступной информацией, необходимой для определения пригодности рассматриваемого лица занимать должность, в связи с которой критически важная организация запрашивает проверку анкетных данных. --- <*> Рамочное [Решение](https://bukva.ai/docs/reshenie-2009315pvd/statya-1) Совета ЕС 2009/315/ПВД от 26 февраля 2009 г. об организации и содержании обмена информацией из уголовных досье между государствами-членами ЕС (ОЖ N L 93, 7.4.2009, стр. 23). <**> Регламент (ЕС) 2019/816 Европейского Парламента и Совета ЕС от 17 апреля 2019 г. о создании централизованной системы идентификации государств-членов ЕС, содержащей информацию о судимостях граждан третьих стран и лиц без гражданства (ECRIS-TCN), в целях дополнения Европейской информационной системы учета криминального прошлого и об изменении Регламента (ЕС) 2018/1726 (ОЖ N L 135, 22.5.2019, стр. 1). <***> Регламент (ЕС) 2018/1862 от 28 ноября 2018 г. об учреждении, функционировании и использовании Шенгенской информационной системы (SIS) в сфере полицейского и судебного сотрудничества по уголовным делам, о внесении изменений и отмене Решения Совета ЕС 2007/533/ПВД и об отмене Регламента (EC) 1986/2006 Европейского Парламента и Совета ЕС и Решения Европейской Комиссии 2010/261/ЕС (ОЖ N L 312, 7.12.2018, стр. 56). (33) Необходимо создать механизм уведомления об определенных инцидентах, который бы позволил компетентным органам реагировать на инциденты своевременно и надлежаще провести всесторонний обзор влияния, характера, причины и возможных последствий инцидентов, с которыми сталкиваются критически важные организации. Критически важные организации должны незамедлительно сообщать компетентным органам об инцидентах, которые в значительной степени нарушают или потенциально могут в значительной степени нарушить предоставление основных услуг. Кроме случаев, когда в оперативном отношении это невозможно, критически важные организации должны представить первоначальное уведомление не позднее 24 часов с момента, как им стало известно об инциденте. Первоначальное уведомление включает только информацию, строго необходимую для извещения компетентного органа об инциденте, и позволяет критически важной организации при необходимости обратиться за помощью. В таком уведомлении по возможности должна указываться предполагаемая причина инцидента. Государства-члены ЕС гарантируют, что требование о представлении первоначального уведомления не отвлекает ресурсы критически важной организации от действий по улаживанию инцидента, которые являются приоритетными. После первоначального уведомления, если это применимо, не позднее одного месяца после инцидента направляется подробный отчет. Подробный отчет включает в себя первоначальное уведомление и более полный обзор инцидента. (34) Стандартизация должна по-прежнему оставаться процессом, управляемым свободным рынком. Однако все еще могут возникать ситуации, в которых целесообразно требовать соблюдения определенных стандартов. Государства-члены ЕС, когда это эффективно, должны поощрять использование европейских и международных стандартов и технических спецификаций, касающихся мер безопасности и устойчивости, применимых к критически важным организациям. (35) Тогда как критически важные организации в основном функционируют в качестве составной части взаимосвязанной сети предоставления услуг и инфраструктуры, а также часто предоставляют услуги в нескольких государствах-членах ЕС, некоторые из этих критически важных организаций имеют особое значение для Европейского Союза и его внутреннего рынка, поскольку предоставляют основные услуги шести и более государствам-членам ЕС или в шести и более государствах-членах ЕС, и следовательно, могут пользоваться преимуществами специальной поддержки на уровне Союза. Таким образом, необходимо установить правила о консультативных миссиях в отношении таких критически важных организаций особого европейского значения. Эти правила применяются без ущерба правилам о надзоре и обеспечении применения, установленным в настоящей Директиве. (36) По мотивированному запросу Европейской Комиссии или одного или нескольких государств-членов ЕС, которым или в которых предоставляется основная услуга, в случае если необходима дополнительная информация для консультирования критически важной организации по вопросу выполнения обязательств согласно настоящей Директиве или для оценки соблюдения критически важной организацией особого европейского значения этих обязательств, государство-член ЕС, которое идентифицировало организацию особого европейского значения в качестве критически важной организации, предоставляет Европейской Комиссии определенную информацию, как установлено в настоящей Директиве. По согласованию с государством-членом ЕС, которое идентифицировало организацию особого европейского значения в качестве критически важной организации, Европейская Комиссия вправе организовать консультативную миссию для оценки мер, принимаемых этой организацией. Чтобы обеспечить надлежащее функционирование таких консультативных миссий необходимо установить дополнительные правила, в частности, об организации и проведении консультативных миссий, о необходимых последующих мерах и об обязанностях соответствующих критически важных организаций особого европейского значения. Без ущерба для необходимости соблюдения правил, установленных в настоящей Директиве государством-членом ЕС, в котором проводится консультативная миссия, и заинтересованной критически важной организацией, консультативная миссия должна проводиться с учетом подробных правил законодательства этого государства-члена ЕС, например, о соблюдении четких условий для получения доступа к соответствующим помещениям или документам и о судебном порядке правовой защиты. Специальная экспертиза, необходимая для таких консультативных миссий, в соответствующих случаях может быть запрошена посредством Координационного центра реагирования на чрезвычайные ситуации, созданного Решением 1313/2013/ЕС Европейского Парламента и Совета ЕС <*>. --- <*> Решение 1313/2013/ЕС Европейского Парламента и Совета ЕС от 17 декабря 2013 г. о Механизме гражданской защиты Союза (ОЖ N L 347, 20.12.2013, стр. 924). (37) Для оказания содействия Европейской Комиссии и обеспечения сотрудничества между государствами-членами ЕС и обмена информацией, включая лучшие практики, по вопросам, относящимся к настоящей Директиве, необходимо создать Группу по устойчивости критически важных организаций в качестве экспертной группы Европейской Комиссии. Государства-члены ЕС должны стремиться обеспечить действенное и эффективное сотрудничество назначенных представителей компетентных органов в Группе по устойчивости критически важных организаций, в том числе посредством назначения представителей, которые, при необходимости, прошли проверку безопасности. Группа по устойчивости критически важных организаций должна приступить к работе в кратчайший срок, чтобы обеспечить дополнительные средства для надлежащего сотрудничества на протяжении срока преобразования в национальное право настоящей Директивы. Группа по устойчивости критически важных организаций должна взаимодействовать с другими отраслевыми экспертными рабочими группами. (38) Группа по устойчивости критически важных организаций сотрудничает с Группой по сотрудничеству, учрежденной в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555 в целях поддержания всеобъемлющей основы для цифровой и нецифровой устойчивости критически важных организаций. Группа по устойчивости критически важных организаций и Группа по сотрудничеству, созданные в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, должны вести регулярный диалог для поощрения сотрудничества между компетентными органами, назначенными согласно настоящей Директиве и компетентными органами, назначенными согласно [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, а также чтобы обеспечить обмен информацией, в частности, по темам, имеющим отношение к обеим группам. (39) Для достижения целей настоящей Директивы и без ущерба для правовой ответственности государств-членов ЕС и критически важных организаций по обеспечению соблюдения соответствующих обязательств, установленных Директивой, Европейская Комиссия, если сочтет это целесообразным, оказывает содействие компетентным органам и критически важным организациям с целью обеспечения соблюдения ими соответствующих обязательств. При оказании содействия государствам-членам ЕС и критически важным организациям в имплементации обязательств в соответствии с настоящей Директивой Европейская Комиссия опирается на существующие структуры и инструменты, такие как созданные в соответствии с Механизмом гражданской защиты ЕС, учрежденным Решением 1313/2013/ЕС, а также Европейская справочная сеть для защиты критической инфраструктуры. В дополнение, она информирует государства-члены ЕС о ресурсах, имеющихся на уровне Союза, например, в рамках Фонда внутренней безопасности, учрежденного Регламентом (ЕС) 2021/1149 Европейского Парламента и Совета ЕС <*>, Горизонт Европа, созданный Регламентом (ЕС) 2021/695 Европейского Парламента и Совета ЕС <**> или другие инструменты, относящиеся к устойчивости критически важных организаций. --- <*> Регламент (ЕС) 2021/1149 Европейского Парламента и Совета ЕС от 7 июля 2021 г. о создании Фонда внутренней безопасности (ОЖ N L 251, 15.7.2021, стр. 94). <**> Регламент (ЕС) 2021/695 Европейского Парламента и Совета ЕС от 28 апреля 2021 г. об учреждении Рамочной Программы по научным исследованиям и инновациям "Горизонт Европа", устанавливающей правила участия и распределения результатов, и об отмене Регламентов (ЕС) 1290/2013 и (ЕС) 1291/2013 (ОЖ N L 170, 12.5.2021, стр. 1). (40) Государства-члены ЕС гарантируют, что их компетентные органы обладают специальными полномочиями для надлежащего применения и обеспечения исполнения настоящей Директивы в отношении критически важных организаций, в случаях, когда такие организации подпадают под их юрисдикцию как установлено в настоящей Директиве. Такие полномочия должны включать, в частности, право проведения проверок и аудитов, полномочия по надзору, право запрашивать в критически важных организациях предоставление информации и доказательств, касающихся мер, принятых ими для соблюдения своих обязательств, и, при необходимости, полномочия по выдаче предписаний об устранении выявленных нарушений. При выдаче таких предписаний государства-члены ЕС не должны требовать принятия мер, выходящих за рамки того, что необходимо и пропорционально для обеспечения соответствия критически важной организации с учетом, в частности, серьезности нарушения и экономической возможности заинтересованной критически важной организации. В целом эти полномочия должны сопровождаться надлежащими и эффективными гарантиями, предусматриваемыми в национальном законодательстве в соответствии с [Хартией](https://bukva.ai/docs/hartiya-2007s-30301/statya-1) основных прав Европейского Союза. При оценке соблюдения критически важной организацией своих обязательств, как установлено в настоящей Директиве, компетентные органы, назначенные в соответствии с настоящей Директивой, вправе запросить в компетентных органах, назначенных в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, сведения о применении их надзорных и правоприменительных полномочий в отношении организации, которая подпадает под действие указанной Директивы и которая была идентифицирована как критически важная организация в соответствии с настоящей Директивой. Для этих целей компетентные органы, назначенные согласно настоящей Директиве, и компетентные органы, назначенные согласно [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, должны сотрудничать и обмениваться информацией. (41) Для эффективного и последовательного применения настоящей Директивы полномочия по принятию актов в соответствии со [Статьей 290](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-290#p101973) TFEU, должны быть делегированы Европейской Комиссии для дополнения настоящей Директивы путем составления перечня основных услуг. Данный перечень используется компетентными органами для целей проведения оценок рисков государств-членов ЕС и идентификации критически важных организаций в соответствии с настоящей Директивой. В свете минимального гармонизированного подхода настоящей Директивы этот перечень не является исчерпывающим, и государства-члены ЕС могут дополнять его на национальном уровне и вносить в него основные услуги с тем, чтобы учесть национальные особенности при предоставлении основных услуг. Крайне важно, чтобы Европейская Комиссия проводила соответствующие консультации в ходе подготовительной работы, в том числе на уровне экспертов, а также, чтобы эти консультации проводились в соответствии с принципами, установленными в Межинституциональном соглашении от 13 апреля 2016 г. по совершенствованию законодательной работы <*>. В частности, чтобы обеспечить равное участие в подготовке делегированных актов, Европейский Парламент и Совет ЕС получают все документы одновременно с экспертами государств-членов ЕС. Их эксперты должны иметь систематический доступ на совещания экспертных групп Европейской Комиссии, занимающихся разработкой делегированных актов. --- <*> ОЖ N L 123, 12.5.2016, стр. 1 (42) Чтобы обеспечить единые условия для имплементации настоящей Директивы, имплементационные полномочия должны быть возложены на Европейскую Комиссию. Указанные полномочия осуществляются в соответствии с [Регламентом](https://bukva.ai/docs/reglament-1822011/statya-1) (ЕС) 182/2011 Европейского Парламента и Совета ЕС <*>. --- <*> [Регламент](https://bukva.ai/docs/reglament-1822011/statya-1) (ЕС) 182/2011 Европейского Парламента и Совета ЕС от 16 февраля 2011 г., устанавливающий правила и общие принципы относительно механизмов контроля государствами-членами ЕС выполнения Европейской Комиссией имплементационных полномочий (ОЖ N L 55, 28.2.2011, стр. 13). (43) Поскольку цели настоящей Директивы, а именно: обеспечение бесперебойного предоставления услуг, имеющих важное значение для поддержания жизненно важных социальных функций или экономической деятельности на внутреннем рынке, и повышение устойчивости критически важных организаций, предоставляющих такие услуги, не могут быть в достаточной степени достигнуты на уровне государств-членов ЕС, но ввиду последствий предполагаемых действий могут быть эффективнее достигнуты на уровне Союза, Союз может принять меры в соответствии с принципом субсидиарности, как установлено в [Статье 5](https://bukva.ai/docs/dogovor-o-evropeyskom-soyuze-rus-angl/statya-5#p100099) Договора о Европейском Союзе. В соответствии с принципом пропорциональности, как установлено в данной [Статье 5](https://bukva.ai/docs/dogovor-o-evropeyskom-soyuze-rus-angl/statya-5#p100099), настоящая Директива не выходит за пределы того, что необходимо для достижения указанных целей. (44) В соответствии со [Статьей 42(1)](https://bukva.ai/docs/reglament-20181725/statya-42#p100564) Регламента (ЕС) 2018/1725 Европейского Парламента и Совета ЕС <*> проведены консультации Европейским инспектором по защите данных и получено заключение от 11 августа 2021 г. --- <*> [Регламент](https://bukva.ai/docs/reglament-20181725/statya-1) (ЕС) 2018/1725 Европейского Парламента и Совета ЕС от 23 октября 2018 г. о защите физических лиц при обработке персональных данных, осуществляемой учреждениями, органами, службами и агентствами Союза, и о свободном обращении таких данных, а также об отмене Регламента (ЕС) 45/2001 и Решения 1247/2002/EC (ОЖ N L 295, 21.11.2018, стр. 39). (45) [Директива](https://bukva.ai/docs/direktiva-2008114es/statya-1) 2008/114/ЕС подлежит отмене,
**Приняли настоящую Директиву:**
## Статья 1 ### Глава I. ОБЩИЕ ПОЛОЖЕНИЯ ### Статья 1
**Предмет и сфера применения**
1. Настоящая Директива: (a) устанавливает обязательства государств-членов ЕС по принятию специальных мер, направленных на беспрепятственное предоставление услуг, которые имеют существенное значение для поддержания жизненно необходимых социальных функций или экономической деятельности в рамках [Статьи 114](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-114#p100757) TFEU, на внутреннем рынке, в частности, обязательства по идентификации критически важных организаций и поддержки критически важных организаций в выполнении возложенных на них обязательств; (b) устанавливает обязательства для критически важных организаций, направленные на повышение их устойчивости и способности предоставлять услуги на внутреннем рынке, как указано в [пункте (a)](https://bukva.ai/docs/direktiva-20222557/statya-1#p100114); (c) устанавливает правила: (i) по надзору за критически важными организациями; (ii) по обеспечению применения; (iii) для идентификации критически важных организаций особого европейского значения и для консультативных миссий для оценки мер, которые такие организации ввели в действие для соблюдения обязательств согласно [Главе III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248); (d) устанавливает общие процедуры для сотрудничества и отчетности по применению настоящей Директивы; (e) устанавливает меры в целях достижения высокого уровня устойчивости критически важных организаций для обеспечения предоставления основных услуг на территории Союза и улучшения функционирования внутреннего рынка. 2. Настоящая Директива не применяется к вопросам, затрагиваемым [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, без ущерба действию [Статьи 8](https://bukva.ai/docs/direktiva-20222557/statya-8#p100220) настоящей Директивы. С учетом взаимосвязи между физической безопасностью и кибербезопасностью критически важных организаций, государства-члены ЕС должны обеспечить имплементацию настоящей Директивы и [Директивы](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555 на согласованной основе. 3. В тех случаях, когда положения отраслевых законодательных актов Союза требуют, чтобы критически важные организации принимали меры для повышения своей устойчивости, и когда эти требования признаются государствами-членами ЕС как минимум эквивалентными соответствующим обязательствам, установленным в настоящей Директиве, соответствующие положения настоящей Директивы, включая положения по надзору и обеспечению применения, указанные в [Главе VI](https://bukva.ai/docs/direktiva-20222557/statya-21#p100352), не применяются. 4. Без ущерба действию [Статьи 346](https://bukva.ai/docs/dogovor-o-funktsionirovanii-evropeyskogo-soyuza/statya-346#p102317) TFEU обмен информацией, являющейся конфиденциальной согласно правилам Союза или национальным правилам, такой, как правила о коммерческой тайне, производится с Европейской Комиссией и с другими соответствующими органами согласно настоящей Директиве только в случаях, когда такой обмен необходим для применения настоящей Директивы. Информационный обмен должен быть ограничен рамками соответствия и пропорциональности целям указанного обмена. Указанный обмен информацией должен соблюдать режим конфиденциальности информации и охранять безопасность и коммерческие интересы критически важных организаций, при соблюдении безопасности государств-членов ЕС. 5. Настоящая Директива действует без ущерба для ответственности государств-членов ЕС за обеспечение национальной безопасности и обороны и для их полномочий по охране других основных функций государства, включая обеспечение территориальной целостности и поддержание правопорядка. 6. Настоящая Директива не применяется к государственным административным учреждениям, которые осуществляют деятельность в сфере национальной безопасности, государственной безопасности, обороны или охраны правопорядка, в том числе расследования, выявления и судебного преследования уголовных преступлений. 7. Государства-члены ЕС могут принять решение о том, что [Статья 11](https://bukva.ai/docs/direktiva-20222557/statya-11#p100241) и [Главы III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248), [IV](https://bukva.ai/docs/direktiva-20222557/statya-17#p100296) и [VI](https://bukva.ai/docs/direktiva-20222557/statya-21#p100352) полностью или в части не применяются к критически важным организациям, которые осуществляют деятельность в сфере национальной безопасности, государственной безопасности, обороны или охраны правопорядка, в том числе расследования, выявления и судебного преследования уголовных преступлений, или которые предоставляют услуги исключительно государственным административным учреждениям, указанным в [параграфе 6](https://bukva.ai/docs/direktiva-20222557/statya-1#p100126) настоящей Статьи. 8. Обязательства, установленные в настоящей Директиве, не влекут за собой предоставление информации, разглашение которой противоречило бы существенным интересам национальной безопасности, государственной безопасности или обороны государств-членов ЕС. 9. Настоящая Директива применяется без ущерба действию законодательства Союза о защите персональных данных, в частности, [Регламента](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679 Европейского Парламента и Совета ЕС <*> и [Директивы](https://bukva.ai/docs/direktiva-200258es/statya-1) 2022/58/ЕС Европейского Парламента и Совета ЕС <**>. --- <*> [Регламент](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679 Европейского Парламента и Совета ЕС от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных и о свободном обращении таких данных, а также об отмене Директивы 95/46/EC (Общий Регламент о защите персональных данных) (ОЖ N L 119, 4.5.2016, стр. 1). <**> [Директива](https://bukva.ai/docs/direktiva-200258es/statya-1) 2002/58/ЕС Европейского Парламента и Совета ЕС от 12 июля 2002 г. в отношении обработки персональных данных и защиты конфиденциальности в секторе электронных средств связи (Директива о конфиденциальности и электронных средствах связи) (ОЖ N L 201, 31.7.2002, стр. 37). ## Статья 2 ### Статья 2
**Определения**
Для целей настоящей Директивы применяются следующие определения: (1) "критически важная организация" означает государственную или частную организацию, которая была идентифицирована государством-членом ЕС в соответствии со [Статьей 6](https://bukva.ai/docs/direktiva-20222557/statya-6#p100192) как принадлежащая к одной из категорий, установленных в [третьем столбце таблицы](https://bukva.ai/docs/direktiva-20222557/statya-29#p100407) в Приложении; (2) "устойчивость" означает способность критически важной организации предотвращать, защищаться, противостоять воздействию, реагировать, смягчать, нейтрализовывать и улаживать инциденты; (3) "инцидент" означает событие, которое может существенно нарушить, или которое нарушает предоставление основной услуги, в том числе, когда оно воздействует на национальные системы, гарантирующие верховенство закона; (4) "критически важная инфраструктура" означает актив, объект, оборудование, сеть или систему, или часть актива, объекта, оборудования, сети или системы, которые необходимы для предоставления основной услуги; (5) "основная услуга" означает услугу, которая является крайне важной для поддержания жизненно необходимых социальных функций, экономической деятельности, обеспечения здоровья и безопасности населения, или окружающей среды; (6) "риск" означает возможность утраты или нарушения в результате инцидента и выражается как комбинация величины такой потери или нарушения и вероятности возникновения инцидента; (7) "оценка риска" означает общий процесс определения характера и степени риска посредством выявления и анализа потенциальных соответствующих угроз, уязвимостей и опасностей, которые могут привести к инциденту, а также посредством оценки потенциальной утраты или нарушения предоставления основной услуги, вызванных этим инцидентом; (8) "стандарт" означает стандарт, как определено в [пункте (1) Статьи 2](https://bukva.ai/docs/reglament-10252012/statya-2#p100131) Регламента (ЕС) 1025/2012 Европейского Парламента и Совета ЕС <*>; --- <*> [Регламент](https://bukva.ai/docs/reglament-10252012/statya-1) (ЕС) 1025/2012 Европейского Парламента и Совета ЕС от 25 октября 2012 г. о европейской стандартизации, об изменении Директив 89/686/ЕЭС и 93/15/ЕЭС Совета ЕС и Директив 94/9/EC, 94/25/EC, 95/16/EC, 97/23/EC, 98/34/EC, 2004/22/EC, 2007/23/EC, 2009/23/EC и 2009/105/EC Европейского Парламента и Совета ЕС, а также отмене Решения 87/95/ЕЭС Совета ЕС и Решения 1673/2006/EC Европейского Парламента и Совета ЕС (ОЖ N L 316, 14.11.2012, стр. 12). (9) "техническая спецификация" означает техническую спецификацию как определено в [пункте (4) Статьи 2](https://bukva.ai/docs/reglament-10252012/statya-2#p100138), Регламента (ЕС) 1025/2012; (10) "государственное административное учреждение" означает учреждение, признанное таковым в государстве-члене ЕС в соответствии с национальным законодательством, за исключением судов, парламентов или центральных банков, которое соответствует следующим критериям: (a) учреждено для целей удовлетворения потребностей общего значения, не имеющих промышленного или коммерческого характера; (b) является юридическим лицом или уполномочено законом действовать от имени другой организации, являющейся юридическим лицом; (c) финансируется в основном государственными органами или другими органами центрального уровня, регулируемыми публичным правом, является предметом контроля со стороны этих органов, или более половины членов его административного, управленческого или наблюдательного совета назначаются государственными органами или другими органами центрального уровня, регулируемыми публичным правом; (d) обладает полномочиями выносить в отношении физических или юридических лиц административные или нормативные решения, затрагивающие их права в сфере трансграничного перемещения лиц, товаров, услуг или капитала. ## Статья 3 ### Статья 3
**Минимальная гармонизация**
Настоящая Директива не препятствует государствам-членам ЕС принимать или продолжать применять положения национального законодательства для достижения более высокого уровня устойчивости критических организаций, при условии, что такие положения соответствуют обязательствам государств-членов ЕС, установленным законодательством Союза. ## Статья 4 ### Глава II. НАЦИОНАЛЬНЫЕ РАМКИ ОБЕСПЕЧЕНИЯ УСТОЙЧИВОСТИ КРИТИЧЕСКИ ВАЖНЫХ ОРГАНИЗАЦИЙ ### Статья 4
**Стратегия устойчивости критически важных организаций**
1. После консультаций, открытых, насколько практически возможно, для всех заинтересованных сторон, каждое государство-член ЕС принимает в срок до 17 января 2026 г. стратегию по повышению устойчивости критически важных организаций ("стратегия"). Стратегия устанавливает стратегические объекты и политические меры, на основе соответствующих действующих национальных и отраслевых стратегий, планов или аналогичных документов, в целях достижения и сохранения высокого уровня устойчивости со стороны критически важных организаций и для охвата по крайней мере отраслей, установленных в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404). 2. Каждая стратегия должна включать как минимум следующие элементы: (a) стратегические объекты и приоритеты для целей повышения общей устойчивости критически важных организаций с учетом трансграничных и межотраслевых зависимостей и взаимозависимостей; (b) система управления для достижения стратегических целей и приоритетов, включая описание ролей и ответственности различных органов, критически важных организаций и других сторон, участвующих в имплементации стратегии; (c) описание мер, необходимых для повышения общей устойчивости критически важных организаций, включая описание оценки рисков, указанной в [Статье 5](https://bukva.ai/docs/direktiva-20222557/statya-5#p100172); (d) описание процесса, посредством которого идентифицируются критически важные организации; (e) описание процесса оказания содействия критически важным организациям в соответствии с настоящей Главой, включая меры по укреплению сотрудничества между государственным сектором, с одной стороны, и частным сектором и частными и государственными организациями с другой стороны. (f) перечень основных органов и соответствующих сторон, кроме критически важных организаций, участвующих в имплементации стратегии; (g) рамочная политика для координации между компетентными органами, назначенными согласно настоящей Директиве ("компетентные органы") и компетентными органами, назначенными согласно [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, для обмена информацией о рисках кибербезопасности, цифровых угрозах и цифровых инцидентах, и о нецифровых рисках и угрозах и инцидентах, а также для исполнения задач по надзору; (h) описание уже введенных в действие мер, которые направлены на обеспечение имплементации обязательств согласно [Главе III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248) настоящей Директивы малыми и средними предприятиями в значении Приложения к Рекомендациям Европейской Комиссии, 2003/361/ЕС <*>, которые рассматриваемое государство-член ЕС идентифицировало в качестве критически важных организаций. --- <*> Рекомендация Европейской Комиссии 2003/361/ЕС от 6 мая 2003 г. относительно определения микропредприятий, малых и средних предприятий (ОЖ N L 124, 20.5.2003, стр. 36). После консультаций, открытых насколько практически возможно, с соответствующими сторонами государства-члены ЕС приводят свои стратегии в соответствие как минимум каждые четыре года. 3. Государства-члены ЕС Европейской Комиссии сообщают о своих стратегиях и существенных изменениях в них в течение трех месяцев с момента их принятия. ## Статья 5 ### Статья 5
**Оценка риска государствами-членами ЕС**
1. Европейская Комиссия наделяется полномочиями по принятию делегированного акта в соответствии со [Статьей 23](https://bukva.ai/docs/direktiva-20222557/statya-23#p100369) в срок до 17 ноября 2023 г. для дополнения настоящей Директивы путем принятия открытого перечня основных услуг в отраслях и подотраслях, указываемого в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404). Компетентные органы применяют данный перечень основных услуг с целью проведения оценки рисков ("оценка рисков государства-члена ЕС") до 17 января 2026 г., впоследствии всякий раз, когда это необходимо, и не реже, чем каждые четыре года. Компетентные органы используют оценки рисков государств-членов ЕС для целей идентификации критически важных организаций в соответствии со [Статьей 6](https://bukva.ai/docs/direktiva-20222557/statya-6#p100192) и оказания содействия этим критически важным организациям в принятии мер согласно [Статье 13](https://bukva.ai/docs/direktiva-20222557/statya-13#p100254). Оценки рисков государств-членов ЕС учитывают соответствующие природные и антропогенные риски, включая риски межотраслевого и трансграничного характера, несчастные случаи, природные катастрофы, чрезвычайные ситуации в сфере здравоохранения и угрозы смешанного характера или другие антагонистические угрозы, в том числе террористические преступления, как предусмотрено в Директиве (ЕС) 2017/541 Европейского Парламента и Совета ЕС <*>. --- <*> Директива (ЕС) 2017/541 Европейского Парламента и Совета ЕС от 15 марта 2017 г. о противодействии терроризму, о замене Рамочного Решения 2002/475/ПВД Совета ЕС и об изменении Решения 2005/671/ПВД Совета ЕС (ОЖ N L 124, 20.5.2003, p. 36). 2. Государства-члены ЕС при проведении оценок рисков государств-членов ЕС учитывают как минимум следующее: (a) общие оценки рисков, проводимые согласно Статье 6(1) Решения 1313/2013/ЕС; (b) другие соответствующие оценки рисков, проводимые согласно требованиям соответствующих отраслевых законодательных актов Союза, включая Регламенты (ЕС) 2017/1938 <1> и (ЕС) 2019/941 <2> Европейского Парламента и Совета ЕС и Директивы [2007/60/EC](https://bukva.ai/docs/direktiva-200760es/statya-1) <3> и [2012/18/ЕС](https://bukva.ai/docs/direktiva-201218es/statya-1) <4> Европейского Парламента и Совета ЕС; --- <1> Регламент (ЕС) 2017/1938 Европейского Парламента и Совета ЕС от 25 октября 2017 г. о мерах по обеспечению безопасности поставок газа и об отмене Регламента (ЕС) 994/2010 (ОЖ N L 280, 28.10.2017, стр. 1). <2> Регламент (ЕС) 2019/941 Европейского Парламента и Совета ЕС о подготовленности к рискам в секторе электроэнергетики, а также об отмене Директивы 2005/89/EC (ОЖ N L 158, 14.6.2019, стр. 1). <3> [Директива](https://bukva.ai/docs/direktiva-200760es/statya-1) (ЕС) 2007/60/EC Европейского Парламента и Совета ЕС от 23 октября 2007 г. об оценке и управлении рисками, связанными с наводнениями (ОЖ N L 288, 6.11.2007, стр. 27). <4> [Директива](https://bukva.ai/docs/direktiva-201218es/statya-1) (ЕС) 2012/18/ЕС Европейского Парламента и Совета ЕС от 4 июля 2012 г. о контроле крупных аварий, связанных с опасными веществами, изменяющая и впоследствии отменяющая Директиву 96/82/EC Совета ЕС (ОЖ N L 197, 24.7.2012, стр. 1). (c) соответствующие оценки рисков, возникающих в связи с масштабом зависимости отраслей, указанных в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404), друг от друга, в том числе в связи с масштабом их зависимости от организаций, расположенных в других государствах-членах ЕС и третьих странах, а также с воздействием, которое, вызвав существенное нарушение в одной отрасли, может сказаться и на других отраслях, включая любые существенные риски для граждан и внутреннего рынка; (d) любую информацию об инцидентах, о которых уведомляют в соответствии со [Статьей 15](https://bukva.ai/docs/direktiva-20222557/statya-15#p100282). Для целей [пункта (c) первого подпараграфа](https://bukva.ai/docs/direktiva-20222557/statya-5#p100186), государства-члены ЕС сотрудничают с компетентными органами других государств-членов ЕС и компетентными органами третьих стран в установленном порядке. 3. Государства-члены ЕС предоставляют доступ к соответствующим элементам оценок рисков государств-членов ЕС, в необходимых случаях через единые контактные пункты, критически важным организациям, которые они идентифицировали в соответствии со [Статьей 6](https://bukva.ai/docs/direktiva-20222557/statya-6#p100192). Государства-члены ЕС гарантируют, что предоставленная критически важным организациям информация содействует им в проведении собственных оценок рисков в соответствии со [Статьей 12](https://bukva.ai/docs/direktiva-20222557/statya-12#p100249) и в принятии мер по обеспечению их устойчивости согласно [Статье 13](https://bukva.ai/docs/direktiva-20222557/statya-13#p100254). 4. Государство-член ЕС в течение трех месяцев после проведения оценки рисков государства-члена ЕС предоставляет Европейской Комиссии соответствующую информацию о видах выявленных рисков в ходе и по результатам этой оценки государства-члена ЕС, с разбивкой по отраслям и подотраслям, указанным в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404). 5. Европейская Комиссия в сотрудничестве с государствами-членами ЕС разрабатывает добровольную единую форму отчетности с целью соблюдения [параграфа 4](https://bukva.ai/docs/direktiva-20222557/statya-5#p100190). ## Статья 6 ### Статья 6
**Идентификация критически важных организаций**
1. В срок до 17 июля 2026 г. государство-член ЕС идентифицирует критически важные организации для отраслей и подотраслей, указанных в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404). 2. При проведении идентификации в соответствии с [параграфом 1](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194) государство-член ЕС учитывает результаты оценки рисков государства-члена ЕС и свою стратегию, а также применяет все следующие критерии: (a) организация предоставляет одну или более основных услуг; (b) организация ведет деятельность и имеет критически важную инфраструктуру на территории этого государства-члена ЕС; и (c) инцидент оказал бы существенное негативное воздействие, как определено в соответствии со [Статьей 7(1)](https://bukva.ai/docs/direktiva-20222557/statya-7#p100206), на предоставление организацией одной или нескольких основных услуг или на предоставление других основных услуг в отраслях, указанных в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404), которые зависят от основной услуги или услуг. 3. Каждое государство-член ЕС составляет перечень критически важных организаций, идентифицированных в соответствии с [параграфом 2](https://bukva.ai/docs/direktiva-20222557/statya-6#p100195), и обеспечивает уведомление этих организаций о том, что они были идентифицированы в качестве критически важных организаций, в течение одного месяца после идентификации. Государства-члены ЕС информируют эти критически важные организации об их обязательствах согласно [Главам III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248) и [IV](https://bukva.ai/docs/direktiva-20222557/statya-17#p100296), о дате, с которой эти обязательства к ним применяются, без ущерба действию [Статьи 8](https://bukva.ai/docs/direktiva-20222557/statya-8#p100220). Государства-члены ЕС информируют критически важные организации в отраслях, указанных в [пунктах 3](https://bukva.ai/docs/direktiva-20222557/statya-29#p100449), [4](https://bukva.ai/docs/direktiva-20222557/statya-29#p100451) и [8 таблицы](https://bukva.ai/docs/direktiva-20222557/statya-29#p100465) в Приложении, о том, что к ним не применяются обязательства согласно [Главам III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248) и [IV](https://bukva.ai/docs/direktiva-20222557/statya-17#p100296), кроме случаев, когда национальные меры предусматривают иное. К рассматриваемым критически важным организациям [Глава III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248) применяется по истечении 10 месяцев после даты уведомления, указанного в [подпараграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-6#p100199) настоящего параграфа. 4. Государства-члены ЕС гарантируют, что их компетентные органы, назначенные согласно настоящей Директиве, сообщают компетентным органам, назначенным согласно [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, данные критически важных организаций, которых они идентифицировали в соответствии с настоящей Статьей, в течение одного месяца после идентификации. В таком уведомлении указывается, если это применимо, что рассматриваемые критически важные организации являются организациями в отраслях, указанных в [пунктах 3](https://bukva.ai/docs/direktiva-20222557/statya-29#p100449), [4](https://bukva.ai/docs/direktiva-20222557/statya-29#p100451) и [8 таблицы](https://bukva.ai/docs/direktiva-20222557/statya-29#p100465) в Приложении к настоящей Директиве, и к ним не применяются обязательства согласно [Главам III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248) и [IV](https://bukva.ai/docs/direktiva-20222557/statya-17#p100296). 5. Государства-члены ЕС при необходимости и в любом случае каждые четыре года пересматривают и, в соответствующих случаях, вносят изменения в перечень идентифицированных критически важных организаций, указанных в [параграфе 3](https://bukva.ai/docs/direktiva-20222557/statya-6#p100199). В случаях, когда такие изменения приводят к идентификации дополнительных критически важных организаций, к ним применяются [параграфы 3](https://bukva.ai/docs/direktiva-20222557/statya-6#p100199) и [4](https://bukva.ai/docs/direktiva-20222557/statya-6#p100201). В дополнение, государства-члены ЕС обеспечивают уведомление организаций, которые больше не идентифицируются как критически важные после внесения изменений, об этом факте в разумный срок, а также о том, что к ним более не применяются обязательства согласно [Главе III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248) с даты получения уведомления. 6. Европейская Комиссия в сотрудничестве с государствами-членами ЕС разрабатывает рекомендации и не имеющие обязательной силы руководства для оказания содействия государствам-членам ЕС в идентификации критически важных организаций. ## Статья 7 ### Статья 7
**Существенное негативное воздействие**
1. При определении существенности негативного воздействия как указано в [пункте (c) Статьи 6(2)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100198), государства-члены ЕС учитывают следующие критерии: (a) количество пользователей основной услуги, предоставляемой рассматриваемой организацией; (b) степень зависимости отраслей и подотраслей, как указано в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404), от рассматриваемой основной услуги; (c) влияние, которое могли бы оказать инциденты по показателю степени и продолжительности на экономическую и социальную деятельность, окружающую среду, общественный порядок и безопасность, или на здоровье населения; (d) доля организации на рынке рассматриваемой основной услуги или основных услуг; (e) географическая зона, которая может быть затронута инцидентом, включая любое трансграничное влияние, с учетом уязвимости, связанной со степенью изоляции некоторых видов географических зон, таких как островные районы, отдаленные регионы или горные районы; (f) значимость организации в поддержании достаточного уровня основной услуги, с учетом доступности альтернативных средств предоставления основной услуги. 2. После идентификации критически важных организаций в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194), каждое государство-член ЕС незамедлительно представляет Европейской Комиссии следующую информацию: (a) перечень основных услуг в этом государстве-члене ЕС, в случаях, когда существуют дополнительные основные услуги в сравнении с перечнем основных услуг, указанных в [Статье 5(1)](https://bukva.ai/docs/direktiva-20222557/statya-5#p100174); (b) количество критически важных организаций, идентифицированных для каждой отрасли и подотрасли, указанной в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404), и для каждой основной услуги; (c) все пороговые значения, применяемые для определения одного или более критериев в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-7#p100206). Пороговые значения, как указано в [пункте (c) первого подпараграфа](https://bukva.ai/docs/direktiva-20222557/statya-7#p100216), могут быть представлены как таковые или в сводной форме. Государства-члены ЕС впоследствии представляют информацию, указанную в [первом подпараграфе](https://bukva.ai/docs/direktiva-20222557/statya-7#p100213), в необходимых случаях и не реже, чем каждые четыре года. 3. Европейская Комиссия после консультаций с Группой по устойчивости критически важных организаций, указанной в [Статье 19](https://bukva.ai/docs/direktiva-20222557/statya-19#p100327), принимает не имеющие обязательной силы руководства для обеспечения применения критериев, указанных в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-7#p100206) настоящей Статьи, с учетом информации, указанной в [параграфе 2](https://bukva.ai/docs/direktiva-20222557/statya-7#p100213) настоящей Статьи. ## Статья 8 ### Статья 8
**Критически важные организации в банковском секторе, секторе**
**инфраструктуры финансовых рынков и секторе цифровой**
**инфраструктуры**
Государства-члены ЕС гарантируют, что [Статья 11](https://bukva.ai/docs/direktiva-20222557/statya-11#p100241) и [Главы III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248), [IV](https://bukva.ai/docs/direktiva-20222557/statya-17#p100296) и [V](https://bukva.ai/docs/direktiva-20222557/statya-19#p100326) не применяются к критически важным организациям, которые они идентифицировали в отраслях, указанных в [пунктах 3](https://bukva.ai/docs/direktiva-20222557/statya-29#p100449), [4](https://bukva.ai/docs/direktiva-20222557/statya-29#p100451) и [8 таблицы](https://bukva.ai/docs/direktiva-20222557/statya-29#p100465) в Приложении. Государства-члены ЕС могут принять или продолжать применять положения национального законодательства для достижения более высокого уровня устойчивости данных критически важных организаций, при условии, что такие положения соответствуют действующему законодательству Союза. ## Статья 9 ### Статья 9
**Компетентные органы и единый контактный пункт**
1. Каждое государство-член ЕС назначает или учреждает один или несколько компетентных органов, ответственных за правильное применение и при необходимости обеспечение применения правил, установленных в настоящей Директиве, на национальном уровне. В том, что касается критически важных организаций в отраслях, указанных в [пунктах 3](https://bukva.ai/docs/direktiva-20222557/statya-29#p100449) и [4 таблицы](https://bukva.ai/docs/direktiva-20222557/statya-29#p100451) в Приложении к настоящей Директиве, компетентные органы в принципе являются компетентными органами, указанными в Статье 46 Регламента (ЕС) 2022/2555. Относительно критически важных организаций в отрасли, указанной в [пункте 8 таблицы](https://bukva.ai/docs/direktiva-20222557/statya-29#p100465) в Приложении к настоящей Директиве, компетентные органы в принципе являются компетентными органами, назначенными в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-1) 2022/2555. Государства-члены ЕС могут назначить другой компетентный орган для отраслей, установленных в [пунктах 3](https://bukva.ai/docs/direktiva-20222557/statya-29#p100449), [4](https://bukva.ai/docs/direktiva-20222557/statya-29#p100451) и [8 таблицы](https://bukva.ai/docs/direktiva-20222557/statya-29#p100465) в Приложении к настоящей Директиве, в соответствии с действующей национальной правовой базой. В тех случаях, когда государства-члены ЕС создают несколько компетентных органов, они должны четко определить задачи каждого из рассматриваемых органов и обеспечить их эффективное сотрудничество по выполнению задач в соответствии с настоящей Директивой, в том числе в отношении назначения и деятельности единого контактного пункта, указанного в [параграфе 2](https://bukva.ai/docs/direktiva-20222557/statya-9#p100228). 2. Каждое государство-член ЕС назначает или учреждает единый контактный пункт для выполнения функции связи в целях обеспечения трансграничного сотрудничества с едиными контактными пунктами других государств-членов ЕС и Группой по устойчивости критически важных организаций, указанной в [Статье 19](https://bukva.ai/docs/direktiva-20222557/statya-19#p100327) ("единый контактный пункт"). Если это целесообразно, государство-член ЕС назначает единый контактный пункт в рамках в структуры компетентного органа. В соответствующих случаях государство-член ЕС может предусмотреть в рамках полномочий единого контактного пункта осуществление связи с Европейской Комиссией и обеспечение сотрудничества с третьими странами. 3. В срок до 17 июля 2028 г. и каждые два года после единые контактные пункты представляют краткий отчет Европейской Комиссии и Группе по устойчивости критически важных организаций, указанной в [Статье 19](https://bukva.ai/docs/direktiva-20222557/statya-19#p100327), о полученных уведомлениях, включая их количество, характер инцидентов и действия, предпринятые в соответствии со [Статьей 15(3)](https://bukva.ai/docs/direktiva-20222557/statya-15#p100290). Европейская Комиссия в сотрудничестве с Группой по устойчивости критически важных организаций разрабатывают единую форму отчетности. Компетентные органы могут использовать эту единую форму отчетности на добровольной основе для целей представления кратких отчетов как указано в [первом подпараграфе](https://bukva.ai/docs/direktiva-20222557/statya-9#p100229). 4. Каждое государство-член ЕС гарантирует, что компетентный орган и единый контактный пункт наделены полномочиями и обеспечены соответствующими финансовыми, человеческими и техническими ресурсами для выполнения возложенных на них задач эффективным и действенным способом. 5. Каждое государство-член ЕС гарантирует, что его компетентный орган по мере необходимости и в соответствии с законодательством Союза и национальным законодательством консультируется и сотрудничает с другими соответствующими национальными органами, в том числе ответственными за гражданскую защиту, правоохранительную деятельность и защиту персональных данных, а также с критически важными организациями и соответствующими заинтересованными участниками. 6. Каждое государство-член ЕС гарантирует, что его компетентный орган, назначенный в соответствии с настоящей Директивой, сотрудничает и обменивается информацией с компетентными органами, назначенными в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555 о рисках кибербезопасности, цифровых угрозах и цифровых инцидентах и нецифровых рисках, угрозах и инцидентах, затрагивающих критически важные организации, в том числе относительно соответствующих мер, принятых компетентным органом и компетентными органами, назначенными в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555. 7. В течение трех месяцев с даты назначения или учреждения компетентного органа или единого контактного пункта каждое государство-член ЕС сообщает Европейской Комиссии их данные, их задачи и обязанности в соответствии с настоящей Директивой, их контактные данные и любые последующие изменения. Государства-члены ЕС информируют Европейскую Комиссию в случаях, когда они решают назначить другой орган, помимо компетентных органов, указанных во [втором подпараграфе параграфа 1](https://bukva.ai/docs/direktiva-20222557/statya-9#p100226), в качестве компетентных органов в отношении критически важных организаций в отраслях, указанных в [пунктах 3](https://bukva.ai/docs/direktiva-20222557/statya-29#p100449), [4](https://bukva.ai/docs/direktiva-20222557/statya-29#p100451) и [8 таблицы](https://bukva.ai/docs/direktiva-20222557/statya-29#p100465) в Приложении. Каждое государство-член ЕС опубликовывает данные компетентного органа и единого контактного пункта. 8. Европейская Комиссия составляет и публикует перечень единых контактных пунктов. ## Статья 10 ### Статья 10
**Содействие, оказываемое государствами-членами ЕС критически**
**важным организациям**
1. Государства-члены ЕС поддерживают критически важные организации в повышении устойчивости. Такое содействие может включать разработку материалов руководств и методологий, содействие в организации мероприятий по тестированию устойчивости, рекомендации и обучение сотрудников критически важной организации. Без ущерба действию существующих правил о государственной поддержке, государства-члены ЕС могут предоставлять критически важным организациям финансовые ресурсы в необходимых и оправданных общественным интересом случаях. 2. Каждое государство-член ЕС гарантирует, что его компетентный орган сотрудничает и обменивается информацией и лучшими практиками с критически важными организациями в отраслях, установленных в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404). 3. Государства-члены ЕС обеспечивают добровольный обмен информацией между критически важными организациями в отношении вопросов, затрагиваемых настоящей Директивой, в соответствии с национальным законодательством и законодательством Союза, в частности, о секретной информации, конкуренции и защите персональных данных. ## Статья 11 ### Статья 11
**Сотрудничество между государствами-членами ЕС**
1. В необходимых случаях государства-члены ЕС консультируют друг друга в отношении критически важных организаций, чтобы обеспечить согласованное применение настоящей Директивы. Такие консультации проводятся, в частности, в отношении критически важных организаций, которые: (a) используют критически важную инфраструктуру, которая физически связана между двумя или более государствами-членами ЕС; (b) являются частью корпоративных структур, которые связаны или соединены с критически важными организациями в других государствах-членах ЕС; (c) были идентифицированы в качестве критически важных организаций в одном государстве-члене ЕС и предоставляют услуги в других или другим государствам-членам ЕС. 2. Консультации, указанные в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-11#p100243), направлены на повышение устойчивости критически важных организаций и, если это применимо, на сокращение административной нагрузки. ## Статья 12 ### Глава III. УСТОЙЧИВОСТЬ КРИТИЧЕСКИ ВАЖНЫХ ОРГАНИЗАЦИЙ ### Статья 12
**Оценка рисков критически важными организациями**
1. Несмотря на срок, установленный во [втором подпараграфе Статьи 6(3)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100200), государства-члены ЕС гарантируют, что критически важные организации проводят оценку рисков в течение девяти месяцев с даты получения уведомления, указанного в [Статье 6(3)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100199), и впоследствии по мере необходимости, но не реже чем каждые четыре года, основываясь на оценках рисков государств-членов ЕС и других соответствующих источниках информации, чтобы оценить все соответствующие риски, которые могут нарушить предоставление основных услуг ("оценка риска критически важной организации"). 2. Оценки рисков критически важных организаций должны учитывать все соответствующие природные и антропогенные риски, которые могут привести к инциденту, включая риски трансграничного или межотраслевого характера, несчастные случаи, природные катастрофы, чрезвычайные ситуации в сфере здравоохранения и смешанные угрозы и другие антагонистические угрозы, в том числе террористические преступления, как предусмотрено в Директиве (ЕС) 2017/541. Оценка рисков критической организации должна учитывать степень зависимости других отраслей, установленных в [Приложении](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404), от основной услуги, предоставляемой критически важной организацией, и степень зависимости критически важной организации от основных услуг, предоставляемых другими организациями, в том числе, если это применимо, в соседних государствах-членах ЕС и третьих странах. В тех случаях, когда критически важная организация провела оценку рисков или разработала документы в соответствии с обязательствами, установленными в других законодательных актах, которые применимы к оценке рисков критически важной организации, она может использовать такие оценки и документы для выполнения требований, установленных в настоящей Статье. При выполнении надзорных функций компетентный орган вправе декларировать, что существующая оценка рисков, проведенная критически важной организацией, которая рассматривает риски и степень зависимости, указанную в [первом подпараграфе](https://bukva.ai/docs/direktiva-20222557/statya-12#p100252) настоящего параграфа, соответствует полностью или в части обязательствам согласно настоящей Статье. ## Статья 13 ### Статья 13
**Меры по устойчивости критически важных организаций**
1. Государства-члены ЕС гарантируют, что критически важные организации принимают надлежащие и пропорциональные технические и организационные меры и меры безопасности для обеспечения их устойчивости, основываясь на соответствующей информации, предоставляемой государствами-членами ЕС об оценках рисков государств-членов ЕС и о результатах оценок критически важных организаций, включая меры, необходимые: (a) для предотвращения возникновения инцидентов, надлежащим образом учитывая необходимость сокращения риска катастроф и принятия климатических мер; (b) для обеспечения физической защиты помещений и критически важной инфраструктуры, надлежащим образом рассматривая необходимость, например, ограждения забором, барьерами, средств и процедур наблюдения за периметром, оборудования обнаружения и контроля доступа; (c) чтобы реагировать, противодействовать и смягчать последствия инцидентов, надлежащим образом учитывая процедуры и протоколы управления рисками и кризисами, процедуры оповещения; (d) чтобы улаживать инциденты, надлежащим образом учитывая необходимость непрерывности бизнес-процессов и выявления альтернативных продовольственных цепей для возобновления предоставления основной услуги; (e) чтобы обеспечить соответствующее управление безопасностью сотрудников, надлежащим образом учитывая меры, такие как установление категорий сотрудников, которые выполняют критически важные функции, установление прав доступа к помещениям, критически важной инфраструктуре и конфиденциальной информации, установление процедур проверок анкетных данных в соответствии со [Статьей 14](https://bukva.ai/docs/direktiva-20222557/statya-14#p100269) и назначение категорий лиц, которые должны проходить проверки анкетных данных, а также установление соответствующих требований к подготовке и квалификации; (f) для повышения осведомленности о мерах, указанных в [пунктах с (a)](https://bukva.ai/docs/direktiva-20222557/statya-13#p100257) по [(e)](https://bukva.ai/docs/direktiva-20222557/statya-13#p100261) соответствующих сотрудников, надлежащим образом рассматривая необходимость курсов подготовки, информационных материалов и учебных мероприятий. Для целей [пункта (e) первого подпараграфа](https://bukva.ai/docs/direktiva-20222557/statya-13#p100261) государства-члены ЕС гарантируют, что критически важные организации учитывают внешних поставщиков услуг при установлении категорий сотрудников, выполняющих критически важные функции. 2. Государства-члены ЕС гарантируют, что критически важные организации вводят в действие и применяют план по устойчивости или эквивалентный документ или документы, которые описывают меры, принимаемые в соответствии с [параграфом 1](https://bukva.ai/docs/direktiva-20222557/statya-13#p100256). В случаях, когда критически важные организации уже разработали документы или приняли меры согласно обязательствам, установленным в других законодательных актах, которые соответствуют мерам, указанным в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-13#p100256), они могут использовать данные документы и меры для соблюдения требований, установленных в настоящей Статье. При выполнении надзорных функций компетентный орган может декларировать, что существующие меры по повышению устойчивости, принятые критически важной организацией, которые рассматривают надлежащим и пропорциональным образом технические и организационные меры, меры безопасности, указанные в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-13#p100256), являются соответствующими полностью или в части, обязательствам согласно настоящей Статье. 3. Государства-члены ЕС гарантируют, что каждая критически важная организация назначает сотрудника по связи или эквивалентную должность в качестве единого контактного пункта для связи с компетентными органами. 4. По запросу государства-члена ЕС, которое идентифицировало критически важную организацию и по согласованию с заинтересованной критически важной организацией Европейская Комиссия организовывает консультативные миссии в соответствии с положениями [Статьи 18(6)](https://bukva.ai/docs/direktiva-20222557/statya-18#p100321), [(8)](https://bukva.ai/docs/direktiva-20222557/statya-18#p100323) и [(9)](https://bukva.ai/docs/direktiva-20222557/statya-18#p100324) для предоставления рекомендаций заинтересованной критически важной организации по выполнению обязательств согласно Главе III. Консультативная миссия сообщает о результатах Европейской Комиссии, данному государству-члену ЕС и заинтересованной критически важной организации. 5. Европейская Комиссия после консультаций с Группой по устойчивости критически важных организаций, указанной в [Статье 19](https://bukva.ai/docs/direktiva-20222557/statya-19#p100327), принимает не имеющие обязательной силы руководства для дальнейшей детализации технических и организационных мер, мер безопасности, которые могут быть приняты в соответствии с [параграфом 1](https://bukva.ai/docs/direktiva-20222557/statya-13#p100256) настоящей Статьи. 6. Европейская Комиссия принимает имплементационные акты, чтобы установить технические и методологические спецификации, касающиеся применения мер, указанных в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-13#p100256) настоящей Статьи. Такие имплементационные акты принимаются в соответствии с процедурой рассмотрения, указанной в [Статье 24(2)](https://bukva.ai/docs/direktiva-20222557/statya-24#p100380). ## Статья 14 ### Статья 14
**Проверки анкетных данных**
1. Государства-члены ЕС определяют условия, в соответствии с которыми критически важная организация вправе в надлежаще обоснованных случаях и с учетом оценки риска государства-члена ЕС представлять запросы по анкетным данным лиц, которые: (a) занимают должности, связанные с конфиденциальной информацией, в критически важной организации или работают с конфиденциальной информацией в интересах критически важной организации, в частности, относительно ее устойчивости; (b) имеют право прямого или удаленного доступа к ее помещениям, к информации или системам контроля, в том числе связанным с безопасностью критически важной организации; (c) рассматриваются для занятия должностей, которые подпадают под критерии [пунктов (a)](https://bukva.ai/docs/direktiva-20222557/statya-14#p100272) и [(b)](https://bukva.ai/docs/direktiva-20222557/statya-14#p100273). 2. Запросы, указанные в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-14#p100271) настоящей Статьи, должны быть оценены в разумный срок и обработаны в соответствии с национальным законодательством и процедурами и соответствующим действующим законодательством Союза, включая [Регламент](https://bukva.ai/docs/reglament-2016679/statya-1) (ЕС) 2016/679 и [Директиву](https://bukva.ai/docs/direktiva-2016680/statya-1) (ЕС) 2016/680 Европейского Парламента и Совета ЕС <*>. Проверки анкетных данных должны быть пропорциональными и не выходить за рамки того, что необходимо. Они должны проводиться исключительно с целью оценки потенциального риска для безопасности критически важной организации. --- <*> [Директива](https://bukva.ai/docs/direktiva-2016680/statya-1) (ЕС) 2016/680 Европейского Парламента и Совета ЕС от 27 апреля 2016 г. о защите физических лиц при обработке персональных данных компетентными органами в целях предотвращения, расследования, выявления или уголовного преследования преступлений или исполнения уголовных наказаний, о свободном обращении таких данных, а также об отмене Рамочного Решения Совета ЕС 2008/977/ПВД (ОЖ N L 119, 4.5.2016, стр. 89). 3. Проверка анкетных данных, как указано в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-14#p100271), должна, как минимум: (a) подтверждать личность лица, которое является объектом проверки анкетных данных; (b) проверять данные о судимости этого лица в отношении преступлений, относимых к соответствующей должности. При проведении проверок анкетных данных государства-члены ЕС используют Европейскую информационную систему учета судимостей в соответствии с процедурами, установленными в Рамочном [Решении](https://bukva.ai/docs/reshenie-2009315pvd/statya-1) Совета ЕС 2009/315/ПВД, и, если это уместно и применимо, Регламент (ЕС) 2019/816 для целей получения информации из баз данных о судимостях других государств-членов ЕС. Центральные органы, указанные в [Статье 3(1)](https://bukva.ai/docs/reshenie-2009315pvd/statya-3#p100061) Рамочного Решения 2009/315/ПВД и в пункте (5) Статьи 3 Регламента (ЕС) 2019/816, предоставляют ответы на запросы о такой информации в течение 10 рабочих дней с даты, когда был получен запрос, в соответствии со [Статьей 8(1)](https://bukva.ai/docs/reshenie-2009315pvd/statya-8#p100096) Рамочного Решения 2009/315/ПВД. ## Статья 15 ### Статья 15
**Уведомление об инцидентах**
1. Государства-члены ЕС гарантируют, что критически важные организации незамедлительно уведомляют компетентный орган об инцидентах, которые значительно нарушают или потенциально могут нарушить предоставление основных услуг. Государства-члены ЕС гарантируют, что кроме случаев, когда это невозможно в оперативном плане, критически важные организации представляют первоначальное уведомление не позднее 24 часов после того, как им стало известно об инциденте, с последующим представлением, если это применимо, подробного отчета не позднее одного месяца после этого. Чтобы определить существенность нарушения, необходимо учитывать, в частности, следующие параметры: (a) количество и доля получателей услуг, затронутых нарушением; (b) продолжительность нарушения; (c) географическая зона, затрагиваемая нарушением, с учетом географической изолированности зоны. В тех случаях, когда инцидент имеет или может иметь существенное влияние на непрерывность предоставления основных услуг в шести и более государствах-членах ЕС или шести и более государствам-членам ЕС, компетентные органы государств-членов ЕС, затронутых инцидентом, уведомляют Европейскую Комиссию об этом инциденте. 2. Уведомления, указанные в [первом подпараграфе параграфа](https://bukva.ai/docs/direktiva-20222557/statya-15#p100284), должны содержать всю имеющуюся информацию, необходимую для понимания компетентным органом характера, причины и возможных последствий инцидента, включая любую доступную информацию, необходимую для определения какого-либо трансграничного влияния инцидента. Такие уведомления не влекут повышенной ответственности для критически важных организаций. 3. На основе информации, предоставленной критически важной организацией в уведомлении, указанном в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-15#p100284), компетентный орган посредством единого контактного пункта информирует единый контактный пункт других затрагиваемых государств-членов ЕС, в которых инцидент имеет или может иметь существенное влияние на критически важные организации и бесперебойность предоставления основных услуг одному или нескольким государствам-членам ЕС или в одном или нескольких государствах-членах ЕС. Единые контактные пункты, направляющие и получающие информацию в соответствии с [первым подпараграфом](https://bukva.ai/docs/direktiva-20222557/statya-15#p100290), должны согласно национальному законодательству или законодательству Союза обрабатывать такую информацию способом, не нарушающим ее конфиденциальность и защищающим безопасность и коммерческие интересы рассматриваемой критически важной организации. 4. Как можно скорее после получения уведомления, указанного в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-15#p100284), заинтересованный компетентный орган предоставляет заинтересованной критически важной организации соответствующую информацию по последующему контролю, включая информацию, которая могла бы оказать содействие в эффективном реагировании критически важной организации на рассматриваемый инцидент. Государства-члены ЕС информируют общественность, в случае, когда они сочтут, что этого требуют общественные интересы. ## Статья 16 ### Статья 16
**Стандарты**
В целях содействия согласованной имплементации настоящей Директивы государства-члены ЕС, если это эффективно, без навязывания или дискриминации в пользу использования конкретного вида технологии, поощряют использование европейских и международных стандартов и технических спецификаций, касающихся мер безопасности и устойчивости, применимых к критически важным организациям. ## Статья 17 ### Глава IV. КРИТИЧЕСКИ ВАЖНЫЕ ОРГАНИЗАЦИИ ОСОБОГО ЕВРОПЕЙСКОГО ЗНАЧЕНИЯ ### Статья 17
**Идентификация критически важных организаций особого**
**европейского значения**
1. Организация считается критически важной организацией особого европейского значения, если она: (a) идентифицирована в качестве критически важной организации согласно [Статье 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194); (b) предоставляет такие же или похожие основные услуги в шести или более государствах-членах ЕС или шести или более государствам-членам ЕС; и (c) уведомлена в соответствии с [параграфом 3](https://bukva.ai/docs/direktiva-20222557/statya-17#p100305) настоящей Статьи. 2. Государства-члены ЕС гарантируют, что критически важная организация после уведомления, указанного в [Статье 6(3)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100199), информирует свой компетентный орган по месту, где она предоставляет основные услуги в шести или более государствах-членах ЕС или шести или более государствам-членам ЕС. В таком случае государства-члены ЕС гарантируют, что критически важная организация информирует свой компетентный орган о предоставляемых в этих государствах-членах ЕС или этим государствам-членам ЕС основных услугах, и о государствах-членах ЕС, которым или в которых она предоставляет эти основные услуги. Государства-члены ЕС незамедлительно сообщают Европейской Комиссии данные таких критически важных организаций и предоставленную ими в соответствии с настоящим параграфом информацию. Европейская Комиссия консультируется с компетентным органом государства-члена ЕС, которое идентифицировало критически важную организацию, как указано в [первом подпараграфе](https://bukva.ai/docs/direktiva-20222557/statya-17#p100303), с компетентным органом других заинтересованных государств-членов ЕС и с рассматриваемой критически важной организацией. В ходе консультаций каждое государство-член ЕС сообщает Европейской Комиссии, если услуги, предоставляемые этому государству-члену ЕС данной критически важной организацией, являются основными. 3. В том случае, когда Европейская Комиссия устанавливает, основываясь на консультациях, указанных в [параграфе 2](https://bukva.ai/docs/direktiva-20222557/statya-17#p100303) настоящей Статьи, что заинтересованная критически важная организация предоставляет основные услуги в шести или более государствах-членах ЕС или шести или более государствам-членам ЕС, Европейская Комиссия уведомляет эту критически важную организацию через ее компетентный орган о том, что она считается критически важной организацией особого европейского значения, и информирует ее об обязательствах согласно настоящей Главе и о дате, с которой эти обязательства к ней применяются. После сообщения Европейской Комиссией компетентному органу о своем решении признать критически важную организацию критически важной организацией особого европейского значения компетентный орган незамедлительно направляет это уведомление данной критически важной организации. 4. Настоящая Глава применяется к заинтересованной критически важной организации особого европейского значения с даты получения уведомления, указанного в [параграфе 3](https://bukva.ai/docs/direktiva-20222557/statya-17#p100305) настоящей Статьи. ## Статья 18 ### Статья 18
**Консультативные миссии**
1. По запросу государства-члена ЕС, которое идентифицировало критически важную организацию особого европейского значения в качестве критически важной организации в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194), Европейская Комиссия организует консультативную миссию для оценки мер, которые данная критически важная организация ввела в действие для соблюдения обязательств согласно [Главе III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248). 2. По собственной инициативе или по запросу одного или нескольких государств-членов ЕС, которым или в которых предоставляется основная услуга, и при условии согласия данного государства-члена ЕС, которое идентифицировало критически важную организацию особого европейского значения в качестве критически важной организации в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194), Европейская Комиссия организует консультативную миссию, как указано в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-18#p100309) настоящей Статьи. 3. По мотивированному запросу Европейской Комиссии или одного или нескольких государств-членов ЕС, которым или в которых предоставляется основная услуга, государство-член ЕС, которое идентифицировало критически важную организацию особого европейского значения в качестве критической организации в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194), предоставляет Европейской Комиссии следующую информацию: (a) соответствующие разделы оценки рисков критически важной организации; (b) перечень соответствующих мер, принятых согласно [Статье 13](https://bukva.ai/docs/direktiva-20222557/statya-13#p100254); (c) действия по надзору или обеспечению применения, включая оценки соответствия или выданные предписания, которые компетентный орган предпринял в соответствии со [Статьями 21](https://bukva.ai/docs/direktiva-20222557/statya-21#p100353) и [22](https://bukva.ai/docs/direktiva-20222557/statya-22#p100365) в отношении этой критически важной организации. 4. Консультативная миссия сообщает о своих результатах Европейской Комиссии, государству-члену ЕС, которое идентифицировало критически важную организацию особого европейского значения в качестве критически важной организации в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194), государствам-членам ЕС, которым или в которых предоставляется основная услуга, и заинтересованной критически важной организации в течение трех месяцев после завершения консультативной миссии. Государства-члены ЕС, которым или в которых предоставляется основная услуга, анализируют отчет, указанный в [первом подпараграфе](https://bukva.ai/docs/direktiva-20222557/statya-18#p100315) и, при необходимости, информируют Европейскую Комиссию о том, что заинтересованная критически важная организация особого европейского значения выполняет свои обязательства согласно [Главе III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248) и, если это применимо, относительно мер, которые могут быть приняты для повышения устойчивости данной критически важной организации. Европейская Комиссия на основании информации, указанной во [втором подпараграфе](https://bukva.ai/docs/direktiva-20222557/statya-18#p100316) настоящего параграфа, сообщает свое заключение государству-члену ЕС, которое идентифицировало критически важную организацию особого европейского значения в качестве критически важной организации в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194), государствам-членам ЕС, которым или в которых предоставляется основная услуга, и данной критически важной организации, о том, соблюдены ли данной критически важной организацией обязательства согласно [Главе III](https://bukva.ai/docs/direktiva-20222557/statya-12#p100248) и, если это применимо, о мерах, которые могут быть приняты для повышения устойчивости данной критически важной организации. Государство-член ЕС которое идентифицировало критически важную организацию особого европейского значения в качестве критически важной организации в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194), гарантирует, что его компетентный орган и заинтересованная критически важная организация учитывают заключение, указанное в [третьем подпараграфе](https://bukva.ai/docs/direktiva-20222557/statya-18#p100317) настоящего параграфа и предоставляют информацию Европейской Комиссии и государствам-членам ЕС, которым или в которых предоставляется основная услуга, о мерах, которые приняты согласно этому заключению. 5. Каждая консультативная миссия состоит из экспертов государства-члена ЕС, в котором расположена критически важная организация особого европейского значения, экспертов государств-членов ЕС, которым или в которых предоставляется основная услуга, и представителей Европейской Комиссии. Эти государства-члены ЕС могут предлагать кандидатов для участия в консультативной миссии. Европейская Комиссия после консультаций с государством-членом ЕС, которое идентифицировало критически важную организацию особого европейского значения в качестве критически важной организации в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194), выбирает и назначает членов каждой консультативной миссии в соответствии с их профессиональными данными и обеспечивая, по возможности, географически сбалансированное представительство всех этих государств-членов ЕС. В необходимых случаях члены консультативной миссии должны иметь действительный и соответствующий допуск по безопасности. Расходы, связанные с участием в консультативных миссиях, возлагаются на Европейскую Комиссию. Европейская Комиссия организует программу каждой консультативной миссии после консультаций с членами рассматриваемой миссии и с согласия государства-члена ЕС, которое идентифицировало критически важную организацию особого европейского значения в качестве критически важной организации в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194). 6. Европейская Комиссия принимает имплементационный акт, устанавливающий правила о процедурных механизмах для запросов на организацию консультативных миссий, для обработки таких запросов, для проведения и отчетов консультативных миссий и для сообщения Европейской Комиссии заключения, указанного в [параграфе 4 третьего подпараграфа](https://bukva.ai/docs/direktiva-20222557/statya-18#p100317) настоящей Статьи, а также для сообщения о принятых мерах, надлежащим образом учитывая конфиденциальность и коммерческую тайну указанной информации. Такой имплементационный акт принимается в соответствии с процедурой рассмотрения, указанной в [Статье 24(2)](https://bukva.ai/docs/direktiva-20222557/statya-24#p100380). 7. Государства-члены ЕС гарантируют, что критически важные организации особого европейского значения предоставляют консультативным миссиям доступ к информации, системам и объектам, связанным с предоставлением основных услуг, необходимый для проведения рассматриваемой консультативной миссии. 8. Консультативные миссии проводятся в соответствии с действующим национальным законодательством государства-члена ЕС, в котором они находятся, с учетом ответственности этого государства-члена ЕС за обеспечение национальной безопасности и защиты его интересов по безопасности. 9. При организации консультативных миссий Европейская Комиссия учитывает отчеты о всех проверках, проводимых Европейской Комиссией в соответствии с Регламентами (ЕС) 725/2004 и (ЕС) [300/2008](https://bukva.ai/docs/reglament-3002008/statya-1), а также отчеты всех мониторингов, проводимых Европейской Комиссией согласно [Директиве](https://bukva.ai/docs/direktiva-200565es/statya-1) 2005/65/ЕС в отношении заинтересованной критически важной организации. 10. Европейская Комиссия информирует Группу по устойчивости критически важных организаций, указанную в [Статье 19](https://bukva.ai/docs/direktiva-20222557/statya-19#p100327), по результатам организации консультативной миссии. Государство-член ЕС, в котором проходила консультативная миссия, и Европейская Комиссия также информируют Группу по устойчивости критически важных организаций об основных результатах консультативной миссии и полученном опыте в целях содействия взаимному обучению. ## Статья 19 ### Глава V. СОТРУДНИЧЕСТВО И ОТЧЕТНОСТЬ ### Статья 19
**Группа по устойчивости критически важных организаций**
1. Настоящим создается Группа по устойчивости критически важных организаций. Группа по устойчивости критически важных организаций оказывает содействие Европейской Комиссии и обеспечивает сотрудничество между государствами-членами ЕС и обмен информацией по вопросам, касающимся настоящей Директивы. 2. Группа по устойчивости критически важных организаций состоит из представителей государств-членов ЕС и Европейской Комиссии, которые имеют допуск по безопасности, при необходимости. В случаях, когда это уместно для выполнения задач, Группа по устойчивости критически важных организаций может приглашать соответствующие стороны для участия в работе. По запросу Европейского Парламента Европейская Комиссия может пригласить экспертов Европейского Парламента для участия в заседаниях Группы по устойчивости критически важных организаций. Представители Европейской Комиссии председательствуют в Группе по устойчивости критически важных организаций. Группа по устойчивости критически важных организаций выполняет следующие задачи: (a) содействие Европейской Комиссии при оказании поддержки государствам-членам ЕС в расширении их возможностей в плане вклада в обеспечение устойчивости критически важных организаций в соответствии с настоящей Директивой; (b) анализ стратегий для выявления лучших практик относительно стратегий; (c) обеспечение обмена лучшими практиками в отношении идентификации критически важных организаций государствами-членами ЕС в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194), в том числе в отношении трансграничных и межотраслевых зависимостей и относительно рисков и инцидентов; (d) если это целесообразно, внесение вклада в решение вопросов в отношении настоящей Директивы, связанных с документами, касающимися устойчивости на уровне Союза; (e) внесение вклада в подготовку руководств, указанных в [Статье 7(3)](https://bukva.ai/docs/direktiva-20222557/statya-7#p100219) и [Статье 13(5)](https://bukva.ai/docs/direktiva-20222557/statya-13#p100267), и, по запросу, любых делегированных или имплементационных актов, принятых в соответствии с настоящей Директивой; (f) анализ сводных отчетов, указанных в [Статье 9(3)](https://bukva.ai/docs/direktiva-20222557/statya-9#p100229), в целях содействия обмену лучшими практиками о действиях, предпринятых в соответствии со [Статьей 15(3)](https://bukva.ai/docs/direktiva-20222557/statya-15#p100290); (g) обмен лучшими практиками в отношении уведомлений об инцидентах, указанных в [Статье 15](https://bukva.ai/docs/direktiva-20222557/statya-15#p100282); (h) обсуждение сводных отчетов консультативных миссий и опыта, полученного в соответствии со [Статьей 18(10)](https://bukva.ai/docs/direktiva-20222557/statya-18#p100325); (i) обмен информацией и лучшими практиками по инновациям, исследованиям и разработкам, касающимся устойчивости критически важных организаций, в соответствии с настоящей Директивой; (j) в соответствующих случаях обмен информацией по вопросам, касающимся устойчивости критически важных организаций, с соответствующими институтами Союза, органами, ведомствами и агентствами. 4. В срок до 17 января 2025 г. и каждые два года после Группа по устойчивости критически важных организаций принимает рабочую программу в отношении действий, которые должны быть предприняты для выполнения ее целей и задач. Эта рабочая программа должна соответствовать требованиям и целям настоящей Директивы. 5. Группа по устойчивости критически важных организаций собирается на регулярной основе и в любом случае не реже чем раз в год, вместе с Группой по сотрудничеству, учрежденной в соответствии с [Директивой](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555 для содействия и обеспечения сотрудничества и обмена информацией. 6. Европейская Комиссия может принимать имплементационные акты, устанавливающие процедурные мероприятия, необходимые для функционирования Группы по устойчивости критически важных организаций с соблюдением [Статьи 24(2)](https://bukva.ai/docs/direktiva-20222557/statya-24#p100380). 7. Европейская Комиссия предоставляет Группе по устойчивости критически важных организаций сводный отчет по информации, предоставленной государствами-членами ЕС в соответствии со [Статьей 4(3)](https://bukva.ai/docs/direktiva-20222557/statya-4#p100171) и [Статьей 5(4)](https://bukva.ai/docs/direktiva-20222557/statya-5#p100190), в срок до 17 января 2017 г., впоследствии при возникновении необходимости, и не реже, чем каждые четыре года. ## Статья 20 ### Статья 20
**Оказание содействия Европейской Комиссией компетентным**
**органам и критически важным организациям**
1. Европейская Комиссия при необходимости оказывает содействие государствам-членам ЕС и критически важным организациям в выполнении их обязательств в соответствии с настоящей Директивой. Европейская Комиссия готовит обзор на уровне Союза по трансграничным и межотраслевым рискам для предоставления основных услуг, организует консультативные миссии, как указано в [Статье 13(4)](https://bukva.ai/docs/direktiva-20222557/statya-13#p100266) и [Статье 18](https://bukva.ai/docs/direktiva-20222557/statya-18#p100307), и обеспечивает информационный обмен между государствами-членами ЕС и экспертами на территории Союза. 2. Европейская Комиссия дополняет деятельность государств-членов ЕС, как указано в [Статье 10](https://bukva.ai/docs/direktiva-20222557/statya-10#p100236), посредством разработки лучших практик, материалов руководств и методологий, а также трансграничного обучения и учебных мероприятий по тестированию устойчивости критически важных организаций. 3. Европейская Комиссия информирует государства-члены ЕС о финансовых ресурсах на уровне Союза, доступных государствам-членам ЕС для целей повышения устойчивости критически важных организаций. ## Статья 21 ### Глава VI. НАДЗОР И ОБЕСПЕЧЕНИЕ ИСПОЛНЕНИЯ ### Статья 21
**Надзор и обеспечение исполнения**
1. Чтобы оценить соблюдение организациями, идентифицированными государствами-членами ЕС в качестве критически важных организаций в соответствии со [Статьей 6(1)](https://bukva.ai/docs/direktiva-20222557/statya-6#p100194), обязательств, установленных в настоящей Директиве, государства-члены ЕС гарантируют, что компетентные органы обладают полномочиями и средствами для: (a) проведения проверок на местах критически важной инфраструктуры и помещений, которые критически важная организация использует для предоставления основных услуг, и дистанционного надзора за мерами, принимаемыми критически важными организациями в соответствии со [Статьей 13](https://bukva.ai/docs/direktiva-20222557/statya-13#p100254); (b) проведения аудита или запроса на его проведение в отношении критически важных организаций. 2. Государства-члены ЕС гарантируют, что компетентные органы обладают полномочиями и средствами для требования, при необходимости выполнения задач согласно настоящей Директиве, к организациям, на которые распространяется [Директива](https://bukva.ai/docs/direktiva-20222555/statya-1) 2022/2555, и которые государства-члены ЕС идентифицировали в качестве критически важных организаций в соответствии с настоящей Директивой, о предоставлении в разумный срок, установленный данными органами: (a) информации, необходимой для оценки соответствия мер, принятых этими организациями для повышения устойчивости, требованиям, установленным в [Статье 13](https://bukva.ai/docs/direktiva-20222557/statya-13#p100254); (b) доказательств эффективной имплементации этих мер, включая результаты аудита, проводимого независимым и квалифицированным аудитором, выбранным этой организацией, и за ее счет. В требовании о предоставлении информации компетентные органы указывают причину требования и необходимую информацию, подлежащую предоставлению. 3. Без ущерба для возможности применения санкций в соответствии со [Статьей 22](https://bukva.ai/docs/direktiva-20222557/statya-22#p100365), компетентные органы могут, после надзорных действий, указанных в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-21#p100355) настоящей Статьи, или оценки информации, указанной в [параграфе 2](https://bukva.ai/docs/direktiva-20222557/statya-21#p100358) настоящей Статьи, вынести заинтересованным критически важным организациям предписание о принятии необходимых и пропорциональных мер для устранения выявленного нарушения настоящей Директивы в течение разумного срока, установленного этими органами, а также о предоставлении информации о принятых мерах. Такие предписания должны учитывать, в частности, серьезность нарушения. 4. Государства-члены ЕС гарантируют, что полномочия, предусмотренные в [параграфах 1](https://bukva.ai/docs/direktiva-20222557/statya-21#p100355), [2](https://bukva.ai/docs/direktiva-20222557/statya-21#p100358) и [3](https://bukva.ai/docs/direktiva-20222557/statya-21#p100362), могут осуществляться только с соответствующими гарантиями. Такие гарантии обеспечивают, в частности, что полномочия осуществляются объективно, прозрачно и соразмерно, а также что права и законные интересы затрагиваемых критически важных организаций, такие как защита торговли и коммерческой тайны, охраняются надлежащим образом, включая право быть заслушанным, право на защиту и право на эффективные средства правовой защиты в независимом суде. 5. Государства-члены ЕС гарантируют, что в случае, когда компетентный орган, назначенный согласно настоящей Директиве, оценивает соответствие критически важной организации настоящей Статье, этот компетентный орган информирует компетентные органы заинтересованных государств-членов ЕС, назначенные согласно [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555. Для этой цели государства-члены ЕС гарантируют, что компетентные органы, назначенные согласно настоящей Директиве, вправе запросить у компетентных органов, назначенных согласно [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555, исполнение надзорных полномочий и полномочий по обеспечению применения в отношении организации, на которую распространяется указанная Директива, и которая была идентифицирована в качестве критически важной организации в соответствии с настоящей Директивой. Для этой цели, государства-члены ЕС гарантируют, что компетентные органы, назначенные согласно настоящей Директиве, сотрудничают и обмениваются информацией с компетентными органами, назначенными согласно [Директиве](https://bukva.ai/docs/direktiva-20222555/statya-1) (ЕС) 2022/2555. ## Статья 22 ### Статья 22
**Санкции**
Государства-члены ЕС устанавливают правила о санкциях, применяемых за нарушения национальных мер, принятых в соответствии с настоящей Директивой, и принимают все необходимые меры, чтобы обеспечить их имплементацию. Предусмотренные санкции должны быть эффективны, пропорциональны и должны оказывать сдерживающее воздействие. Государства-члены ЕС в срок до 17 октября 2024 г. уведомляют Европейскую Комиссию о таких правилах и мерах, а также незамедлительно сообщают о любых последующих изменениях. ## Статья 23 ### Глава VII. ДЕЛЕГИРОВАННЫЕ И ИМПЛЕМЕНТАЦИОННЫЕ АКТЫ ### Статья 23
**Осуществление делегирования**
1. Полномочия по принятию делегированных актов возлагаются на Европейскую Комиссию с соблюдением условий, установленных в настоящей Статье. 2. Полномочия по принятию делегированных актов, указанных в [Статье 5(1)](https://bukva.ai/docs/direktiva-20222557/statya-5#p100174), возлагаются на Европейскую Комиссию на срок пять лет с 16 января 2023 г. 3. Делегирование полномочий, указанное в [Статье 5(1)](https://bukva.ai/docs/direktiva-20222557/statya-5#p100174), может быть отменено в любое время Европейским Парламентом или Советом ЕС. Решение об отмене прекращает действие делегированного полномочия, указанного в таком решении. Оно вступает в силу на следующий день после опубликования в Официальном Журнале Европейского Союза или в более поздний срок, указанный в решении. Решение не прекращает действия других делегированных актов, уже вступивших в силу. 4. Перед принятием делегированного акта Европейская Комиссия проводит консультации с экспертами, назначенными каждым государством-членом ЕС в соответствии с принципами, установленными в Межинституциональном соглашении от 13 апреля 2016 г. по совершенствованию законодательной работы. 5. После принятия делегированного акта Европейская Комиссия информирует одновременно Европейский Парламент и Совет ЕС. 6. Делегированный акт, принятый в соответствии со [Статьей 5(1)](https://bukva.ai/docs/direktiva-20222557/statya-5#p100174), вступает в силу только в том случае, если не будут представлены возражения Европейским Парламентом или Советом ЕС в течение двух месяцев со дня их извещения о принятии данного акта или до истечения указанного срока, если Европейский Парламент и Совет ЕС уведомили Европейскую Комиссию об отсутствии у них намерений представлять возражения. Указанный период может быть продлен на два месяца по инициативе Европейского Парламента или Совета ЕС. ## Статья 24 ### Статья 24
**Порядок работы комитета**
1. Европейской Комиссии оказывает содействие комитет. Указанным комитетом является комитет в значении [Регламента](https://bukva.ai/docs/reglament-1822011/statya-1) (ЕС) 182/2011. 2. При ссылке на настоящий параграф применяется [Статья 5](https://bukva.ai/docs/reglament-1822011/statya-5#p100078) Регламента (ЕС) 182/2011. ## Статья 25 ### Глава VIII. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ ### Статья 25
**Отчетность и пересмотр**
В срок до 17 июля 2027 г. Европейская Комиссия представляет Европейскому Парламенту и Совету ЕС отчет с оценкой степени, в которой каждое государство-член ЕС приняло необходимые меры для выполнения настоящей Директивы. Европейская Комиссия периодически пересматривает действие настоящей Директивы и предоставляет отчет Европейскому Парламенту и Совету ЕС. В этом отчете, в частности, дается оценка эффективности настоящей Директивы, ее влияния на обеспечение устойчивости критически важных организаций и необходимости внесения изменений в [Приложение](https://bukva.ai/docs/direktiva-20222557/statya-29#p100404) к настоящей Директиве. Европейская Комиссия представляет первый такой отчет в срок до 17 июня 2029 г. Для целей отчетности в соответствии с настоящей Статьей Европейская Комиссия принимает во внимание соответствующие документы Группы по устойчивости критических организаций. ## Статья 26 ### Статья 26
**Преобразование в национальное право**
**1. В срок до 17 октября 2024 г. государства-члены ЕС принимают и публикуют меры, необходимые для выполнения настоящей Директивы. Они незамедлительно сообщают об этом Европейской Комиссии.**
**Государства-члены ЕС применяют эти меры, начиная с 18 октября 2024 г.**
2. Когда государства-члены ЕС принимают меры, указанные в [параграфе 1](https://bukva.ai/docs/direktiva-20222557/statya-26#p100388), в них должна содержаться ссылка на настоящую Директиву или они должны сопровождаться такой ссылкой при официальном опубликовании. Способы указания такой ссылки определяются государствами-членами ЕС. ## Статья 27 ### Статья 27 **Отмена [Директивы](https://bukva.ai/docs/direktiva-2008114es/statya-1) 2008/114/ЕС** [Директива](https://bukva.ai/docs/direktiva-2008114es/statya-1) 2008/114/ЕС утрачивает силу с 18 октября 2024 г. Ссылки на утратившую силу [Директиву](https://bukva.ai/docs/direktiva-2008114es/statya-1) считаются ссылками на настоящую Директиву. ## Статья 28 ### Статья 28
**Вступление в силу**
Настоящая Директива вступает в силу на двадцатый день после ее опубликования в Официальном Журнале Европейского Союза. ## Статья 29 ### Статья 29
**Адресаты**
Государства-члены ЕС являются адресатами настоящей Директивы. Совершено в Страсбурге 14 декабря 2022 г.
(Подписи)
Приложение
ОТРАСЛИ, ПОДОТРАСЛИ И КАТЕГОРИИ ОРГАНИЗАЦИЙОтрасли
ПодотраслиКатегории организаций1. Энергетика
(a) Электроэнергетика
- Электроэнергетические предприятия, как определено в пункте (57) Статьи 2 Директивы (ЕС) 2019/944 Европейского Парламента и Совета ЕС <1>, которые выполняют функцию "поставки", как определено в пункте (12) Статьи 2 данной Директивы
- Операторы распределительной системы, как определено в пункте (29) Статьи 2 Директивы (ЕС) 2019/944
- Операторы системы передачи электроэнергии, как определено в пункте (35) Статьи 2 Директивы (ЕС) 2019/944
- Производители, как определено в пункте (38) Статьи 2 Директивы (ЕС) 2019/944- Назначенные операторы рынка электроэнергии, как определено в пункте (8) Статьи 2 Регламента (ЕС) 2019/943 Европейского Парламента и Совета ЕС <2>
- Участники рынка, как определено в пункте (25) Статьи 2 Регламента (ЕС) 2019/943, осуществляющие агрегирование, управление спросом, накопление и хранение электроэнергии, как определено в пунктах (18), (20) и (59) Директивы (ЕС) 2019/944
(b) Центральное теплоснабжение и охлаждение- Операторы центрального теплоснабжения или охлаждения, как определено в пункте (19) Статьи 2 Директивы (ЕС) 2018/2001 Европейского Парламента и Совета ЕС <3>
(c) Нефть
- Операторы нефтепроводов
- Операторы нефтедобывающих, перерабатывающих и очистных сооружений, хранилищ и систем транспортировки- Центральная структура по поддержанию запасов, как определено в пункте (f) Статьи 2 Директивы 2009/119/ЕС Совета ЕС <4>
(d) Газ- Предприятия-поставщики, как определено в пункте (8) Статьи 2 Директивы 2009/73/ЕС Европейского Парламента и Совета ЕС <5>
- Операторы газораспределительной системы, как определено в пункте (6) Статьи 2 Директивы 2009/73/ЕС
- Операторы газотранспортной системы, как определено в пункте (4) Статьи 2 Директивы 2009/73/ЕС
- Операторы системы хранения, как определено в пункте (10) Статьи 2 Директивы 2009/73/ЕС
- Операторы системы LNG, как определено в пункте (12) Статьи 2 Директивы 2009/73/ЕС
- Предприятия, работающие с природным газом, как определено в пункте (1) Статьи 2 Директивы 2009/73/ЕС- Операторы сооружений по переработке и очистке природного газа
(e) Водород- Операторы по производству, хранению и транспортировке водорода2. Транспорт
(a) Воздушный транспорт
- Авиаперевозчики, как определено в пункте (4) Статьи 3 Регламента (ЕС) 300/2008, используемые в коммерческих целях
- Органы управления аэропортом, как определено в пункте (2) Статьи 2 Директивы 2009/12/ЕС Европейского Парламента и Совета ЕС <6>, аэропорты, как определено в пункте (1) Статьи 2 Директивы 2009/12/ЕС, включая аэропорты опорной сети, перечисленные в Разделе 2 Приложения II к Регламенту (ЕС) 1315/2013 Европейского Парламента и Совета ЕС <7>, и лица, эксплуатирующие вспомогательные установки в аэропортах- Операторы диспетчерского обслуживания воздушного движения, как определено в пункте (1) Статьи 2 Регламента (ЕС) 549/2004 Европейского Парламента и Совета ЕС <8>
(b) Железнодорожный транспорт
- Операторы инфраструктуры, как определено в пункте (2) Статьи 3 Директивы 2012/34/ЕС Европейского Парламента и Совета ЕС <9>- Железнодорожные предприятия, как определено в пункте (1) Статьи 3 Директивы 2012/34/ЕС, и операторы обслуживающих мощностей, как определено в пункте (12) Статьи 3 указанной Директивы
(c) Водный транспорт
- Внутренние, морские и прибрежные пассажирские и грузовые компании водного транспорта, как определено для морского транспорта в Приложении I к Регламенту (ЕС) 725/2004, не включая отдельные суда, эксплуатируемые этими компаниями
- Органы управления портов, как определено в пункте (1) Статьи 3 Директивы 2005/65/ЕС, включая портовые сооружения, как определено в пункте (11) Статьи 2 Регламента (ЕС) 725/2004, и лица, выполняющие работы и эксплуатирующие оборудование в портах- Операторы служб движения судов (VTS), как определено в пункте (o) Статьи 3 Директивы 2002/59/ЕС Европейского Парламента и Совета ЕС <10>
(d) Автотранспорт- Дорожные службы, как определено в пункте (12) Статьи 2 Делегированного Регламента (ЕС) 2015/962 <11> Европейской Комиссии, ответственные за управление дорожным движением, за исключением органов государственной власти, для которых управление дорожным движением или эксплуатация интеллектуальных транспортных систем является несущественной частью их общей деятельности
- Операторы интеллектуальных транспортных систем, как определено в пункте (1) Статьи 4 Директивы 2010/40/ЕС Европейского Парламента и Совета ЕС <12>
(e) общественный транспорт- Операторы общественных услуг, как определено в пункте (d) Статьи 2 Регламента (ЕС) 1370/2007 Европейского Парламента и Совета ЕС <13>3. Банковский сектор
- Кредитные организации, как определено в пункте (1) Статьи 4 Регламента (ЕС) 575/20134. Сектор инфраструктуры финансовых рынков
- Операторы торговых площадок, как определено в пункте (24) Статьи 4 Директивы 2014/65/ЕС
- Центральные контрагенты (CCPs), как определено в пункте (1) Статьи 2 Регламента (ЕС) 648/20125. Здравоохранение
- Поставщики медицинских услуг, как определено в пункте (g) Статьи 3 Директивы 2011/24/ЕС Европейского Парламента и Совета ЕС <14>
- Справочные лаборатории Союза, как определено в Статье 15 Регламента (ЕС) 2022/2371 Европейского Парламента и Совета ЕС <15>- Организации, осуществляющие научно-исследовательскую деятельность в области лекарственных средств, как определено в пункте (2) Статьи 1 Директивы 2001/83/ЕС Европейского Парламента и Совета ЕС <16>
- Предприятия по производству основных фармацевтических продуктов и фармацевтических препаратов, как указано в Разделе C, 21 NACE Rev.2
- Предприятия, производящие медицинские приборы, считающиеся критически важными во время чрезвычайных ситуаций в области здравоохранения ("перечень критически важных медицинских приборов во время чрезвычайной ситуации в сфере здравоохранения" в значении Статьи 22 Регламента (ЕС) 2022/123 Европейского Парламента и Совета ЕС <17>- Организации, имеющие разрешение на реализацию, как указано в Статье 79 Директивы 2001/83/ЕС6. Сектор питьевого водоснабжения
- Поставщики и дистрибьюторы воды, предназначенной для потребления людьми, как определено в пункте (1)(a) Статьи 2 Директивы (ЕС) 2020/2184 Европейского Парламента и Совета ЕС <18>, за исключением дистрибьюторов, для которых распределение воды, предназначенной для потребления людьми, является несущественной частью их общей деятельности по распределению других товаров и сырья7. Водоотведение
- Предприятия по сбору, удалению и очистке городских, бытовых и промышленных сточных вод, как определено в пунктах (1), (2) и (3) Статьи 2 Директивы 91/271/ЕЭС <19> Совета ЕС, кроме предприятий, для которых сбор, удаление и очистка городских, бытовых и промышленных сточных вод является несущественной частью общей деятельности8. Сектор цифровой инфраструктуры
- Поставщики точек обмена интернет-трафиком, как определено в пункте (18) Статьи 6 Директивы (ЕС) 2022/2555
- Поставщики услуг DNS, как определено в пункте (20) Статьи 6 Директивы 2022/2555, кроме операторов корневых серверов имен
- Реестры доменных имен высшего уровня, как определено в пункте (21) Статьи 6 Директивы (ЕС) 2022/2555
- Поставщики услуг облачных вычислений, как определено в пункте (3) Статьи 6 Директивы (ЕС) 2022/2555
- Поставщики центров обработки данных, как определено в пункте (31) Директивы (ЕС) 2022/2555
- Поставщики сетей доставки контента, как определено в пункте (32) Статьи 6 Директивы (ЕС), как определено в пункте (19) Статьи 3 Регламента (ЕС) 2022/2555
- Поставщики удостоверительных сервисов, как определено в пункте (19) Статьи 3 Регламента (ЕС) 910/2014 Европейского Парламента и Совета ЕС <20>
- Поставщики общественных электронных коммуникационных сетей, как определено в пункте (8) Статьи 2 Директивы (ЕС) 2018/1972 Европейского Парламента и Совета ЕС <21>
- Поставщики услуг электронной связи, как определено в пункте (4) Статьи 2 Директивы (ЕС) 2018/1972, в той мере, в которой их услуги являются общедоступными
9. Государственное управление- Государственные административные учреждения центральных правительств, как определено государствами-членами ЕС в соответствии с национальным законодательством
10. Космический сектор- Операторы наземной инфраструктуры, принадлежащей, управляемой и эксплуатируемой государствами-членами ЕС или частными лицами, которые оказывают содействие в предоставлении космических услуг, за исключением поставщиков общественных электронных коммуникационных сетей, как определено в пункте (8) Статьи 2 Директивы (ЕС) 2018/1972
11. Производство, переработка и дистрибуция пищевых продуктов- Операторы пищевого сектора, как определено в пункте (2) Статьи 3 Регламента (ЕС) 178/2002 Европейского Парламента и Совета ЕС <22>, которые занимаются исключительно логистикой, оптовой торговлей и крупномасштабным промышленным производством и переработкой
--- <1> Директива (ЕС) 2019/944 Европейского Парламента и Совета ЕС от 5 июня 2019 г. об общих правилах внутреннего рынка электроэнергии и изменении Директивы 2012/27/ЕС (ОЖ NL 158, 14.6.2019, стр. 125). <2> Регламент (ЕС) 2019/943 Европейского Парламента и Совета ЕС от 5 июня 2019 г. о внутреннем рынке электроэнергии (ОЖ N L 158, 14.6.2019, стр. 54). <3> Директива (ЕС) 2018/2001 Европейского Парламента и Совета ЕС от 11 декабря 2018 г. о стимулировании использования энергии из возобновляемых источников (ОЖ N L 328, 21.12.2018, стр. 82). <4> [Директива](https://bukva.ai/docs/direktiva-2009119es/statya-1) 2009/119/ЕС Совета ЕС от 14 сентября 2009 г. об обязательстве государств-членов ЕС по поддержанию минимальных запасов сырой нефти и/или нефтепродуктов (ОЖ N L 265, 9.10.2009, стр. 9). <5> [Директива](https://bukva.ai/docs/direktiva-200973es/statya-1) 2009/73/ЕС Европейского Парламента и Совета ЕС от 13 июля 2009 г. об общих правилах внутреннего рынка природного газа и об отмене Директивы 2003/55/EC (ОЖ N L 211, 14.08.2009, стр. 94) <6> [Директива](https://bukva.ai/docs/direktiva-200912ec/statya-1) 2009/12/ЕС Европейского Парламента и Совета ЕС от 11 марта 2009 г. о сборах на услуги аэропортов (ОЖ N L 70, 14.3.2009, стр. 11). <7> Регламент (ЕС) 1315/2013 Европейского Парламента и Совета ЕС от 11 декабря 2013 г. о руководящих принципах Союза, касающихся развития трансъевропейской транспортной сети, и об отмене Решения 661/2010/ЕС (ОЖ N L 348, 20.12.2013, стр. 1). <8> [Регламент](https://bukva.ai/docs/reglament-5492004/statya-1) (ЕС) 549/2004 Европейского Парламента и Совета ЕС от 10 марта 2004 г., устанавливающий правовую базу для создания единого Европейского неба (рамочный Регламент) (ОЖ N L 96, 31.03.2004, стр. 1). <9> [Директива](https://bukva.ai/docs/direktiva-201234es/statya-1) 2012/34/ЕС Европейского Парламента и Совета ЕС от 21 ноября 2012 г. о создании единого Европейского железнодорожного пространства (ОЖ N L 343, 14.12.2012, стр. 32). <10> Директива 2002/59/ЕС Европейского Парламента и Совета ЕС от 27 июня 2002 г. о создании в Сообществе системы мониторинга и информирования о движении судов, а также об отмене Директивы 93/75/ЕЭС Совета ЕС (ОЖ N L 208, 05.08.2002, стр. 10). <11> Делегированный Регламент (ЕС) 2015/962 Европейской Комиссии от 18 декабря 2014 г. о дополнении Директивы 2010/40/ЕС Европейского Парламента и Совета ЕС о службах ЕС, предоставляющих информацию о дорожном движении в режиме реального времени (ОЖ N L 157, 23.6.2015, стр. 21). <12> [Директива](https://bukva.ai/docs/direktiva-201040es/statya-1) 2010/40/ЕС Европейского Парламента и Совета ЕС от 7 июля 2010 г. об общих рамках для размещения ITS (Intelligent Transport Systems) в сфере дорожного транспорта и взаимодействия с другими видами транспорта (ОЖ N L 207, 6.8.2010, стр. 1). <13> [Регламент](https://bukva.ai/docs/reglament-13702007/statya-1) (ЕС) 1370/2007 Европейского Парламента и Совета ЕС от 23 октября 2007 г. об услугах общественного пассажирского железнодорожного и автодорожного транспорта и об отмене Регламентов (ЕЭС) 1191/69 и 1107/70 Совета ЕС (ОЖ N L 315, 3.12.2007, стр. 1). <14> [Директива](https://bukva.ai/docs/direktiva-201124es/statya-1) 2011/24/ЕС Европейского Парламента и Совета ЕС от 9 марта 2011 г. о правах пациентов в трансграничном медицинском обслуживании (ОЖ N L 88, 4.4.2011, стр. 45). <15> Регламент (ЕС) 2022/2371 Европейского Парламента и Совета ЕС от 23 ноября 2022 г. о серьезных трансграничных угрозах для здоровья и отмене Решения 1082/2013/ЕС (ОЖ N L 314, 6.12.2022, стр. 26). <16> [Директива](https://bukva.ai/docs/direktiva-200183es/statya-1) 2001/83/ЕС Европейского Парламента и Совета ЕС от 6 ноября 2001 г. о Кодексе Сообщества о лекарственных средствах для использования человеком (ОЖ N L 311, 28.11.2001, стр. 67). <17> Регламент (ЕС) 2022/123 Европейского Парламента и Совета ЕС об усилении роли Европейского Агентства по лекарственным средствам в предотвращении кризисных ситуаций и управлении ими в отношении лекарственных средств и медицинских изделий (ОЖ N L 20, 31.1.2022, стр. 1). <18> [Директива](https://bukva.ai/docs/direktiva-20202184/statya-1) (ЕС) 2020/2184 Европейского Парламента и Совета ЕС от 16 декабря 2020 г. о качестве воды, предназначенной для употребления людьми (ОЖ N L 435, 23.12.2020, стр. 1). <19> [Директива](https://bukva.ai/docs/direktiva-91271ees/statya-1) 91/271/ЕЭС Совета ЕС от 21 мая 1991 г. об очистке городских сточных вод (ОЖ N L 135, 30.5.1991, стр. 40). <20> [Регламент](https://bukva.ai/docs/reglament-9102014/statya-1) (ЕС) 910/2014 Европейского Парламента и Совета ЕС от 23 июля 2014 г. об электронной идентификации и удостоверительных сервисах для электронных трансакций на внутреннем рынке и об отмене Директивы 1999/93/ЕС (ОЖ N L 257, 28.8.2014, стр. 73). <21> [Директива](https://bukva.ai/docs/direktiva-20181972/statya-1) (ЕС) 2018/1972 Европейского Парламента и Совета ЕС от 11 декабря 2018 г. об установлении Европейского Кодекса электронных коммуникаций (ОЖ N L 321, 17.12.2018, стр. 36). <22> [Регламент](https://bukva.ai/docs/reglament-1782002/statya-1) (ЕС) 178/2002 Европейского Парламента и Совета ЕС от 28 января 2002 г. об установлении общих принципов и требований продовольственного законодательства, об учреждении Европейского органа по безопасности пищевых продуктов, а также об установлении процедур в отношении безопасности пищевых продуктов (ОЖ N L 31, 1.2.2002, стр. 1).
**DIRECTIVE (EU) No. 2022/2557**
**OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL ON THE**
**RESILIENCE OF CRITICAL ENTITIES AND REPEALING COUNCIL**
**DIRECTIVE 2008/114/EC**
**(Strasbourg, 14.XII.2022)**
(Text with EEA relevance)
The European Parliament and the Council of the European Union, Having regard to the Treaty on the Functioning of the European Union, and in particular Article 114 thereof, Having regard to the proposal from the European Commission, After transmission of the draft legislative act to the national parliaments, Having regard to the opinion of the European Economic and Social Committee <*>, --- <*> OJ C 286, 16.7.2021, p. 170. Having regard to the opinion of the Committee of the Regions <*>, --- <*> OJ C 440, 29.10.2021, p. 99. Acting in accordance with the ordinary legislative procedure <*>, --- <*> Position of the European Parliament of 22 November 2022 (not yet published in the Official Journal) and Council decision of 8 December 2022. Whereas: (1) Critical entities, as providers of essential services, play an indispensable role in the maintenance of vital societal functions or economic activities in the internal market in an increasingly interdependent Union economy. It is therefore essential to set out a Union framework with the aim of both enhancing the resilience of critical entities in the internal market by laying down harmonised minimum rules and assisting them by means of coherent and dedicated support and supervision measures. (2) Council Directive 2008/114/EC <*> provides for a procedure for designating European critical infrastructure in the energy and transport sectors the disruption or destruction of which would have a significant cross-border impact on at least two Member States. That Directive focuses exclusively on the protection of such infrastructure. However, the evaluation of Directive 2008/114/EC conducted in 2019 found that, due to the increasingly interconnected and cross-border nature of operations using critical infrastructure, protective measures relating to individual assets alone are insufficient to prevent all disruptions from taking place. Therefore, it is necessary to shift the approach towards ensuring that risks are better accounted for, that the role and duties of critical entities as providers of services essential to the functioning of the internal market are better defined and coherent, and that Union rules are adopted to enhance the resilience of critical entities. Critical entities should be in a position to reinforce their ability to prevent, protect against, respond to, resist, mitigate, absorb, accommodate and recover from incidents that have the potential to disrupt the provision of essential services. --- <*> Council Directive 2008/114/EC of 8 December 2008 on the identification and designation of European critical infrastructures and the assessment of the need to improve their protection (OJ L 345, 23.12.2008, p. 75). (3) While a number of measures at Union level, such as the European Programme for Critical Infrastructure Protection, and at national level aim to support the protection of critical infrastructure in the Union, more should be done to better equip the entities operating such infrastructure to address the risks to their operations that could result in the disruption of the provision of essential services. More should also be done to better equip such entities because there is a dynamic threat landscape, which includes evolving hybrid and terrorist threats, and growing interdependencies between infrastructure and sectors. Moreover, there is an increased physical risk due to natural disasters and climate change, which intensifies the frequency and scale of extreme weather events and brings long-term changes in average climate conditions that can reduce the capacity, efficiency and lifespan of certain infrastructure types if climate adaptation measures are not in place. In addition, the internal market is characterised by fragmentation in respect of the identification of critical entities because relevant sectors and categories of entities are not recognised consistently as critical in all Member States. This Directive should therefore achieve a solid level of harmonisation in terms of the sectors and categories of entities falling within its scope. (4) While certain sectors of the economy, such as the energy and transport sectors, are already regulated by sector-specific Union legal acts, those legal acts contain provisions which relate only to certain aspects of resilience of entities operating in those sectors. In order to address in a comprehensive manner the resilience of those entities that are critical for the proper functioning of the internal market, this Directive creates an overarching framework that addresses the resilience of critical entities in respect of all hazards, whether natural or man-made, accidental or intentional. (5) The growing interdependencies between infrastructure and sectors are the result of an increasingly cross-border and interdependent network of service provision using key infrastructure across the Union in the energy, transport, banking, drinking water, waste water, production, processing and distribution of food, health, space, financial market infrastructure and digital infrastructure sectors and in certain aspects of the public administration sector. The space sector falls within the scope of this Directive with respect to the provision of certain services that depend on ground-based infrastructure owned, managed and operated either by Member States or by private parties; consequently, infrastructure owned, managed or operated by or on behalf of the Union as part of its space programme does not fall within the scope of this Directive. In terms of the energy sector and in particular the methods of electricity generation and transmission (in respect of supply of electricity), it is understood that, where deemed appropriate, electricity generation can include electricity transmission parts of nuclear power plants but excludes the specifically nuclear elements covered by treaties and Union law, including relevant legal acts of the Union concerning nuclear power. The process for identifying critical entities in the food sector should adequately reflect the nature of the internal market in that sector and the extensive Union rules relating to the general principles and requirements of food law and food safety. Therefore, in order to ensure that there is a proportionate approach and to adequately reflect the role and importance of those entities at national level, critical entities should only be identified among food businesses, whether for profit or not and whether public or private, that are engaged exclusively in logistics and wholesale distribution and large-scale industrial production and processing with a significant market share as observed at national level. Those interdependencies mean that any disruption of essential services, even one which is initially confined to one entity or one sector, can have cascading effects more broadly, potentially resulting in a far-reaching and long-term negative impact on the delivery of services across the internal market. Major crises, such as the COVID-19 pandemic, have shown the vulnerability of our increasingly interdependent societies in the face of high-impact low-probability risks. (6) The entities involved in the provision of essential services are increasingly subject to diverging requirements imposed under national law. The fact that some Member States have less stringent security requirements on those entities not only leads to various levels of resilience but also risks negatively impacting the maintenance of vital societal functions or economic activities across the Union and leads to obstacles to the proper functioning of the internal market. Investors and companies can rely on and trust critical entities that are resilient, and reliability and trust are the cornerstones of a well-functioning internal market. Similar types of entities are considered as critical in some Member States but not in others, and those which are identified as critical are subject to divergent requirements in different Member States. That results in an additional and unnecessary administrative burden for companies operating across borders, in particular for companies active in Member States with more stringent requirements. A Union framework would therefore also have the effect of levelling the playing field for critical entities across the Union. (7) It is necessary to lay down harmonised minimum rules to ensure the provision of essential services in the internal market, to enhance the resilience of critical entities and to improve cross-border cooperation between competent authorities. It is important that those rules be future proof in terms of their design and implementation while allowing for necessary flexibility. It is also crucial to improve the capacity of critical entities to provide essential services in the face of a diverse set of risks. (8) In order to achieve a high level of resilience, Member States should identify critical entities that will be subject to specific requirements and supervision and that will be provided with particular support and guidance in the face of all relevant risks. (9) Given the importance of cybersecurity for the resilience of critical entities and in the interests of consistency, a coherent approach should be ensured, wherever possible, between this Directive and Directive (EU) 2022/2555 of the European Parliament and of the Council <*>. In light of the higher frequency and particular characteristics of cyber risks, Directive (EU) 2022/2555 imposes comprehensive requirements on a large set of entities to ensure their cybersecurity. Given that cybersecurity is addressed sufficiently in Directive (EU) 2022/2555, the matters covered by that Directive should be excluded from the scope of this Directive, without prejudice to the particular regime for entities in the digital infrastructure sector. --- <*> Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (see page 80 of this Official Journal). (10) Where provisions of sector-specific Union legal acts require critical entities to take measures to enhance their resilience, and where those requirements are recognised by Member States as at least equivalent to the corresponding obligations laid down in this Directive, the relevant provisions of this Directive should not apply, so as to avoid duplication and unnecessary burden. In that case, the relevant provisions of such Union legal acts should apply. Where the relevant provisions of this Directive do not apply, the provisions on supervision and enforcement laid down in this Directive should not apply either. (11) This Directive does not affect the competence of Member States and their authorities in terms of administrative autonomy or their responsibility for safeguarding national security and defence or their power to safeguard other essential State functions, in particular concerning public security, territorial integrity and the maintenance of law and order. The exclusion of public administration entities from the scope of this Directive should apply to entities whose activities are predominantly carried out in the areas of national security, public security, defence or law enforcement, including the investigation, detection and prosecution of criminal offences. However, public administration entities whose activities are only marginally related to those areas should fall within the scope of this Directive. For the purposes of this Directive, entities with regulatory competences are not considered to be carrying out activities in the area of law enforcement and are therefore not excluded on that ground from the scope of this Directive. Public administration entities that are jointly established with a third country in accordance with an international agreement are excluded from the scope of this Directive. This Directive does not apply to Member States' diplomatic and consular missions in third countries. Certain critical entities carry out activities in the areas of national security, public security, defence or law enforcement, including the investigation, detection and prosecution of criminal offences, or provide services exclusively to public administration entities that carry out activities predominantly in those areas. In light of the Member States' responsibility for safeguarding national security and defence, Member States should be able to decide that the obligations on critical entities laid down in this Directive do not apply, in whole or in part, to those critical entities if the services they provide or the activities they perform are predominantly related to the areas of national security, public security, defence or law enforcement, including the investigation, detection and prosecution of criminal offences. Critical entities whose services or activities are only marginally related to those areas should fall within the scope of this Directive. No Member State should be required to supply information the disclosure of which would be contrary to the essential interests of its national security. Union or national rules for the protection of classified information and non-disclosure agreements are of relevance. (12) In order not to jeopardise national security or the security and commercial interests of critical entities, sensitive information should be accessed, exchanged and handled prudently and with particular attention to the transmission channels and storage capacities used. (13) With a view to ensuring a comprehensive approach to the resilience of critical entities, each Member State should have in place a strategy for enhancing the resilience of critical entities (the "strategy"). The strategy should set out the strategic objectives and policy measures to be implemented. In the interests of coherence and efficiency, the strategy should be designed to seamlessly integrate existing policies, building, wherever possible, upon relevant existing national and sectoral strategies, plans or similar documents. In order to achieve a comprehensive approach, Member States should ensure that their strategies provide for a policy framework for enhanced coordination between the competent authorities under this Directive and the competent authorities under Directive (EU) 2022/2555 in the context of information sharing on cybersecurity risks, cyber threats and cyber incidents and non-cyber risks, threats and incidents and in the context of the exercise of supervisory tasks. When putting in place their strategies, Member States should take due account of the hybrid nature of threats to critical entities. (14) Member States should communicate their strategies and substantial updates thereto to the Commission, in particular to enable the Commission to assess the correct application of this Directive as regards policy approaches to the resilience of critical entities at national level. Where necessary, the strategies could be communicated as classified information. The Commission should draw up a summary report of the strategies communicated by Member States to serve as a basis for exchanges to identify best practices and issues of common interest in the framework of a Critical Entities Resilience Group. Due to the sensitive nature of the aggregated information included in the summary report, whether classified or not, the Commission should manage the summary report with the appropriate level of awareness with respect for the security of critical entities, Member States and the Union. The summary report and the strategies should be safeguarded against unlawful or malicious action and should be accessible only to authorised persons in order to fulfil the objectives of this Directive. The communication of the strategies and substantial updates thereto should also help the Commission to understand developments in approaches to the resilience of critical entities and feed into the monitoring of the impact and added value of this Directive, which the Commission is to review periodically. (15) The actions of Member States to identify and help ensure the resilience of critical entities should follow a risk-based approach that focuses on the entities most relevant for the performance of vital societal functions or economic activities. In order to ensure such a targeted approach, each Member State should carry out, within a harmonised framework, an assessment of the relevant natural and man-made risks, including those of a cross-sectoral or cross-border nature, that could affect the provision of essential services, including accidents, natural disasters, public health emergencies such as pandemics and hybrid threats or other antagonistic threats, including terrorist offences, criminal infiltration and sabotage ("Member State risk assessment"). When carrying out Member State risk assessments, Member States should take into account other general or sector-specific risk assessments carried out pursuant to other Union legal acts and should consider the extent to which sectors depend on one another, including on sectors in other Member States and third countries. The outcome of Member State risk assessments should be used for the purposes of identifying critical entities and assisting those entities in meeting their resilience requirements. This Directive applies only to Member States and critical entities that operate within the Union. Nevertheless, the expertise and knowledge generated by competent authorities, in particular through risk assessments, and by the Commission, in particular through various forms of support and cooperation, could be used, where appropriate and in accordance with the applicable legal instruments, for the benefit of third countries, in particular those in the direct neighbourhood of the Union, by feeding into existing cooperation on resilience. (16) In order to ensure that all relevant entities are subject to the resilience requirements of this Directive and to reduce divergences in that respect, it is important to lay down harmonised rules allowing for a consistent identification of critical entities across the Union, while also allowing Member States to adequately reflect the role and importance of those entities at national level. When applying the criteria laid down in this Directive, each Member State should identify entities that provide one or more essential services and that operate and have critical infrastructure located on its territory. An entity should be considered to operate on the territory of a Member State in which it carries out activities necessary for the essential service or services in question and in which that entity's critical infrastructure, which is used to provide that service or those services, is located. Where no entity meets those criteria in a Member State, that Member State should be under no obligation to identify a critical entity in the corresponding sector or subsector. In the interests of effectiveness, efficiency, consistency and legal certainty, appropriate rules should be established as regards notifying entities that they have been identified as critical entities. (17) Member States should submit to the Commission, in a manner that fulfils the objectives of this Directive, a list of essential services, the number of critical entities identified for each of the sectors and subsectors set out in the Annex and for the essential service or services that each entity provides and, if applied, thresholds. It should be possible to present thresholds as such or in aggregated form, meaning that the information can be averaged by geographic area, by year, by sector, by subsector or by other means, and can include information on the range of the indicators provided. (18) Criteria should be established to determine the significance of a disruptive effect produced by an incident. Those criteria should build on the criteria set out in Directive (EU) 2016/1148 of the European Parliament and of the Council <*> in order to capitalise on the efforts carried out by Member States to identify operators of essential services as defined in that Directive and the experience gained in that regard. Major crises, such as the COVID-19 pandemic, have shown the importance of ensuring the security of the supply chain and have demonstrated how its disruption can have a negative economic and societal impact across a large number of sectors and across borders. Therefore, Member States should also consider effects on the supply chain, to the extent possible, when determining the extent to which other sectors and subsectors depend on the essential service provided by a critical entity. --- <*> Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union (OJ L 194, 19.7.2016, p. 1). (19) In accordance with applicable Union and national law, including Regulation (EU) 2019/452 of the European Parliament and of the Council <*>, which establishes a framework for the screening of foreign direct investments in the Union, the potential threat posed by foreign ownership of critical infrastructure within the Union is to be acknowledged because services, the economy and the free movement and safety of Union citizens depend on the proper functioning of critical infrastructure. --- <*> Regulation (EU) 2019/452 of the European Parliament and of the Council of 19 March 2019 establishing a framework for the screening of foreign direct investments into the Union (OJ L 79 I, 21.3.2019, p. 1). (20) Directive (EU) 2022/2555 requires entities belonging to the digital infrastructure sector, which might be identified as critical entities under this Directive, to take appropriate and proportionate technical, operational and organisational measures to manage the risks posed to the security of network and information systems and to notify significant incidents and cyber threats. Since threats to the security of network and information systems can have different origins, Directive (EU) 2022/2555 applies an all-hazards approach that includes the resilience of network and information systems, as well as the physical components and environment of those systems. Given that the requirements laid down in Directive (EU) 2022/2555 in that regard are at least equivalent to the corresponding obligations laid down in this Directive, the obligations laid down in Article 11 and Chapters III, IV and VI of this Directive should not apply to entities belonging to the digital infrastructure sector in order to avoid duplication and unnecessary administrative burden. However, considering the importance of the services provided by entities belonging to the digital infrastructure sector to critical entities belonging to all other sectors, Member States should identify, based on the criteria and using the procedure provided for in this Directive, entities belonging to the digital infrastructure sector as critical entities. Consequently, the strategies, the Member State risk assessments and the support measures set out in Chapter II of this Directive should apply. Member States should be able to adopt or maintain provisions of national law to achieve a higher level of resilience for those critical entities, provided that those provisions are consistent with applicable Union law. (21) Union financial services law establishes comprehensive requirements on financial entities to manage all risks they face, including operational risks, and to ensure business continuity. Such law includes Regulations (EU) No 648/2012 <1>, (EU) No 575/2013 <2> and (EU) No 600/2014 <3> of the European Parliament and of the Council and Directives 2013/36/EU <4> and 2014/65/EU <5> of the European Parliament and of the Council. That legal framework is complemented by Regulation (EU) 2022/2554 of the European Parliament and of the Council <6>, which lays down requirements applicable to financial entities to manage Information and Communication Technology (ICT) risks, including concerning the protection of physical ICT infrastructure. Since the resilience of those entities is therefore comprehensively covered, Article 11 and Chapters III, IV and VI of this Directive should not apply to those entities in order to avoid duplication and unnecessary administrative burden. --- <1> Regulation (EU) No 648/2012 of the European Parliament and of the Council of 4 July 2012 on OTC derivatives, central counterparties and trade repositories (OJ L 201, 27.7.2012, p. 1). <2> Regulation (EU) No 575/2013 of the European Parliament and of the Council of 26 June 2013 on prudential requirements for credit institutions and amending Regulation (EU) No 648/2012 (OJ L 176, 27.6.2013, p. 1). <3> Regulation (EU) No 600/2014 of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments and amending Regulation (EU) No 648/2012 (OJ L 173, 12.6.2014, p. 84). <4> Directive 2013/36/EU of the European Parliament and of the Council of 26 June 2013 on access to the activity of credit institutions and the prudential supervision of credit institutions and investment firms, amending Directive 2002/87/EC and repealing Directives 2006/48/EC and 2006/49/EC (OJ L 176, 27.6.2013, p. 338). <5> Directive 2014/65/EU of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments and amending Directive 2002/92/EC and Directive 2011/61/EU (OJ L 173, 12.6.2014, p. 349). <6> Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU) No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011 (see page 1 of this Official Journal). However, considering the importance of the services provided by entities in the financial sector to critical entities belonging to all other sectors, Member States should identify, based on the criteria and using the procedure provided for in this Directive, entities in the financial sector as critical entities. Consequently, the strategies, the Member State risk assessments and the support measures set out in Chapter II of this Directive should apply. Member States should be able to adopt or maintain provisions of national law to achieve a higher level of resilience for those critical entities provided that those provisions are consistent with applicable Union law. (22) Member States should designate or establish authorities competent to supervise the application of and, where necessary, enforce the rules of this Directive and ensure that those authorities are adequately empowered and resourced. In light of the differences in national governance structures, in order to safeguard existing sectoral arrangements or Union supervisory and regulatory bodies, and in order to avoid duplication, Member States should be able to designate or establish more than one competent authority. Where Member States designate or establish more than one competent authority, they should clearly delineate the respective tasks of the authorities concerned and ensure that they cooperate smoothly and effectively. All competent authorities should also cooperate more generally with other relevant authorities, at both Union and national level. (23) In order to facilitate cross-border cooperation and communication and to enable the effective implementation of this Directive, each Member State should, without prejudice to the requirements of sector-specific Union legal acts, designate one single point of contact responsible for coordinating issues related to the resilience of critical entities and cross-border cooperation at Union level ("single point of contact"), where relevant within a competent authority. Each single point of contact should liaise and coordinate communication, where relevant, with the competent authorities of its Member State, with the single points of contact of other Member States and with the Critical Entities Resilience Group. (24) The competent authorities under this Directive and the competent authorities under Directive (EU) 2022/2555 should cooperate and exchange information in relation to cybersecurity risks, cyber threats and cyber incidents and non-cyber risks, threats and incidents affecting critical entities as well as in relation to relevant measures taken by competent authorities under this Directive and competent authorities under Directive (EU) 2022/2555. It is important that Member States ensure that the requirements provided for in this Directive and in Directive (EU) 2022/2555 are implemented in a complementary manner and that critical entities are not subject to an administrative burden beyond that which is necessary to achieve the objectives of this Directive and that Directive. (25) Member States should support critical entities, including those that qualify as small or medium-sized enterprises, in strengthening their resilience, in compliance with Member State obligations laid down in this Directive, without prejudice to the critical entities' own legal responsibility to ensure such compliance and, in so doing, prevent excessive administrative burden. Member States could, in particular, develop guidance materials and methodologies, support the organisation of exercises to test the resilience of critical entities and provide advice and training to the personnel of critical entities. Where necessary and justified by public interest objectives, Member States could provide financial resources and should facilitate voluntary information sharing and the exchange of good practices between critical entities, without prejudice to the application of competition rules laid down in the Treaty on the Functioning of the European Union (TFEU). (26) With the aim of enhancing the resilience of critical entities identified by Member States and in order to reduce the administrative burden on those critical entities, the competent authorities should consult one another, whenever appropriate, for the purpose of ensuring that this Directive is applied in a consistent manner. Those consultations should be entered into at the request of any interested competent authority and should focus on ensuring a convergent approach regarding interlinked critical entities that use critical infrastructure which is physically connected between two or more Member States, that belong to the same groups or corporate structures, or that have been identified in one Member State and that provide essential services to or in other Member States. (27) Where provisions of Union or national law require critical entities to assess risks relevant for the purposes of this Directive and to take measures to ensure their own resilience, those requirements should be adequately considered for the purpose of supervising the compliance of critical entities with this Directive. (28) Critical entities should have a comprehensive understanding of the relevant risks to which they are exposed and a duty to analyse those risks. To that end, they should carry out risk assessments whenever necessary in view of their particular circumstances and the evolution of those risks and, in any event, every four years, in order to assess all relevant risks that could disrupt the provision of their essential services ("critical entity risk assessment"). Where critical entities have carried out other risk assessments or drawn up documents pursuant to obligations laid down in other legal acts that are relevant for their critical entity risk assessment, they should be able to use those assessments and documents to meet the requirements set out in this Directive concerning critical entity risk assessments. A competent authority should be able to declare that an existing risk assessment carried out by a critical entity that addresses the relevant risks and the relevant extent of dependence is compliant, in whole or in part, with the obligations laid down in this Directive. (29) Critical entities should take technical, security and organisational measures that are appropriate and proportionate to the risks they face so as to prevent, protect against, respond to, resist, mitigate, absorb, accommodate and recover from an incident. While critical entities should take those measures in accordance with this Directive, the details and extent of such measures should reflect the different risks that each critical entity has identified as part of its critical entity risk assessment and the specificities of such entity in an appropriate and proportionate way. To promote a coherent Union approach, the Commission should, after consulting the Critical Entities Resilience Group, adopt non-binding guidelines to further specify those technical, security and organisational measures. Member States should ensure that each critical entity designate a liaison officer or equivalent as point of contact with the competent authorities. (30) In the interests of effectiveness and accountability, critical entities should describe the measures they take, with a level of detail that sufficiently achieves the aims of effectiveness and accountability, having regard to the risks identified, in a resilience plan or in a document or documents that are equivalent to a resilience plan, and apply that plan in practice. Where a critical entity has already taken technical, security and organisational measures and drawn up documents pursuant to other legal acts that are relevant for resilience-enhancing measures under this Directive, it should be able, in order to avoid duplication, to use those measures and documents to meet the requirements as regards resilience measures under this Directive. In order to avoid duplication, a competent authority should be able to declare existing resilience measures taken by a critical entity that address its obligation to take technical, security and organisational measures pursuant to this Directive as compliant, in whole or in part, with the requirements of this Directive. (31) Regulations (EC) No 725/2004 <1> and (EC) No 300/2008 <2> of the European Parliament and of the Council and Directive 2005/65/EC of the European Parliament and of the Council <3> establish requirements applicable to entities in the aviation and maritime transport sectors to prevent incidents caused by unlawful acts and to resist and mitigate the consequences of such incidents. While the measures required under this Directive are broader in terms of risks addressed and types of measures to be taken, critical entities in those sectors should reflect in their resilience plan or equivalent documents the measures taken pursuant to those other Union legal acts. Critical entities are also to take into consideration Directive 2008/96/EC of the European Parliament and of the Council <4>, which introduces a network-wide road assessment to map the risk of accidents and a targeted road safety inspection to identify hazardous conditions, defects and problems that increase the risk of accidents and injuries, based on site visits of existing roads or sections of roads. Ensuring the protection and resilience of critical entities is of the utmost importance for the railway sector and, when implementing resilience measures under this Directive, critical entities are encouraged to refer to non-binding guidelines and good practices documents developed under sectorial workstreams, such as the EU Rail Passenger Security Platform set up by Commission Decision 2018/C 232/03 <5>. --- <1> Regulation (EC) No 725/2004 of the European Parliament and of the Council of 31 March 2004 on enhancing ship and port facility security (OJ L 129, 29.4.2004, p. 6). <2> Regulation (EC) No 300/2008 of the European Parliament and of the Council of 11 March 2008 on common rules in the field of civil aviation security and repealing Regulation (EC) No 2320/2002 (OJ L 97, 9.4.2008, p. 72). <3> Directive 2005/65/EC of the European Parliament and of the Council of 26 October 2005 on enhancing port security (OJ L 310, 25.11.2005, p. 28). <4> Directive 2008/96/EC of the European Parliament and of the Council of 19 November 2008 on road infrastructure safety management (OJ L 319, 29.11.2008, p. 59). <5> Commission Decision of 29 June 2018 setting up the EU Rail Passenger Security Platform 2018/C 232/03 (OJ C 232, 3.7.2018, p. 10). (32) The risk of employees of critical entities or their contractors misusing, for instance, their access rights within the critical entity's organisation to harm and cause damage is of increasing concern. Member States should therefore specify the conditions under which critical entities are permitted, in duly reasoned cases and taking into account Member State risk assessments, to submit requests for background checks on persons falling within specific categories of its personnel. It should be ensured that the relevant authorities assess such requests within a reasonable timeframe and process them in accordance with national law and procedures and relevant and applicable Union law, including on the protection of personal data. In order to corroborate the identity of a person who is the subject of a background check, it is appropriate for Member States to require proof of identity, such as a passport, a national identity card or a digital form of identification, in accordance with applicable law. Background checks should include a check of the criminal records of the person concerned. Member States should use the European Criminal Records Information System in accordance with the procedures set out in Council Framework Decision 2009/315/JHA <*> and, where relevant and applicable, Regulation (EU) 2019/816 of the European Parliament and of the Council <**> for the purpose of obtaining information from criminal records held by other Member States. Member States might also, where relevant and applicable, draw on the Second Generation Schengen Information System (SIS II) established by Regulation (EU) 2018/1862 of the European Parliament and of the Council <***>, intelligence and any other objective information available that might be necessary to determine the suitability of the person concerned to work in the position in relation to which the critical entity has requested a background check. --- <*> Council Framework Decision 2009/315/JHA of 26 February 2009 on the organisation and content of the exchange of information extracted from the criminal record between Member States (OJ L 93, 7.4.2009, p. 23). <**> Regulation (EU) 2019/816 of the European Parliament and of the Council of 17 April 2019 establishing a centralised system for the identification of Member States holding conviction information on third-country nationals and stateless persons (ECRIS-TCN) to supplement the European Criminal Records Information System and amending Regulation (EU) 2018/1726 (OJ L 135, 22.5.2019, p. 1). <***> Regulation (EU) 2018/1862 of the European Parliament and of the Council of 28 November 2018 on the establishment, operation and use of the Schengen Information System (SIS) in the field of police cooperation and judicial cooperation in criminal matters, amending and repealing Council Decision 2007/533/JHA, and repealing Regulation (EC) No 1986/2006 of the European Parliament and of the Council and Commission Decision 2010/261/EU (OJ L 312, 7.12.2018, p. 56). (33) A mechanism for the notification of certain incidents should be established to allow the competent authorities to respond to incidents rapidly and adequately and to have a comprehensive overview of the impact, nature, cause and possible consequences of incidents with which the critical entities deal. Critical entities should notify, without undue delay, the competent authorities of incidents that significantly disrupt or have the potential to significantly disrupt the provision of essential services. Unless operationally unable to do so, critical entities should submit an initial notification no later than 24 hours after becoming aware of an incident. The initial notification should only include the information strictly necessary to make the competent authority aware of the incident and allow the critical entity to seek assistance, if required. Such a notification should indicate, where possible, the presumed cause of the incident. Member States should ensure that the requirement to submit that initial notification does not divert the critical entity's resources from activities related to incident handling, which should be prioritised. The initial notification should be followed, where relevant, by a detailed report no later than one month after the incident. The detailed report should complement the initial notification and provide a more complete overview of the incident. (34) Standardisation should remain primarily a market-driven process. However, there might still be situations in which it is appropriate to require compliance with specific standards. Member States should, where useful, encourage the use of European and international standards and technical specifications relevant to the security and resilience measures applicable to critical entities. (35) While critical entities generally operate as part of an increasingly interconnected network of service provision and infrastructure and often provide essential services in more than one Member State, some of those critical entities are of particular significance for the Union and its internal market because they provide essential services to or in six or more Member States and, therefore, could benefit from specific support at Union level. Rules on advisory missions in respect of such critical entities of particular European significance should therefore be established. Those rules are without prejudice to the rules on supervision and enforcement set out in this Directive. (36) On a reasoned request from the Commission or from one or more Member States to or in which the essential service is provided, where additional information is necessary to be able to advise a critical entity in meeting its obligations under this Directive or to assess the compliance of a critical entity of particular European significance with those obligations, the Member State that has identified a critical entity of particular European significance as a critical entity should provide the Commission with certain information as set out in this Directive. In agreement with the Member State that has identified the critical entity of particular European significance as a critical entity, the Commission should be able to organise an advisory mission to assess the measures put in place by that entity. In order to ensure that such advisory missions are carried out properly, complementary rules should be established, in particular on the organisation and conduct of the advisory missions, the follow-up actions to be taken and the obligations for the critical entities of particular European significance concerned. The advisory mission should, without prejudice to the need for the Member State in which the advisory mission is conducted and the critical entity concerned to comply with the rules laid down in this Directive, be conducted subject to the detailed rules of the law of that Member State, for instance on the precise conditions to be fulfilled in order to obtain access to relevant premises or documents and on judicial redress. Specific expertise required for such advisory missions could, where relevant, be requested through the Emergency Response Coordination Centre established by Decision No 1313/2013/EU of the European Parliament and of the Council <*>. --- <*> Decision No 1313/2013/EU of the European Parliament and of the Council of 17 December 2013 on a Union Civil Protection Mechanism (OJ L 347, 20.12.2013, p. 924). (37) In order to support the Commission and facilitate cooperation among Member States and the exchange of information, including best practices, on issues relating to this Directive, a Critical Entities Resilience Group should be established as a Commission expert group. Member States should endeavour to ensure that the designated representatives of their competent authorities in the Critical Entities Resilience Group effectively and efficiently cooperate, including by designating representatives who hold security clearance, where appropriate. The Critical Entities Resilience Group should begin to perform its tasks as soon as possible, so as to provide additional means for appropriate cooperation during the transposition period of this Directive. The Critical Entities Resilience Group should interact with other relevant sector-specific expert working groups. (38) The Critical Entities Resilience Group should cooperate with the Cooperation Group established under Directive (EU) 2022/2555 with a view to supporting a comprehensive framework for cyber and non-cyber resilience of critical entities. The Critical Entities Resilience Group and the Cooperation Group established under Directive (EU) 2022/2555 should engage in a regular dialogue to promote cooperation between the competent authorities under this Directive and the competent authorities under Directive (EU) 2022/2555 and to facilitate the exchange of information, in particular on topics of relevance to both groups. (39) In order to achieve the objectives of this Directive and without prejudice to the legal responsibility of Member States and critical entities to ensure compliance with their respective obligations laid down therein, the Commission should, where it considers it appropriate, support competent authorities and critical entities with the aim of facilitating their compliance with their respective obligations. When providing support to Member States and critical entities in the implementation of obligations under this Directive, the Commission should build on existing structures and tools, such as those under the Union Civil Protection Mechanism, established by Decision No 1313/2013/EU, and the European Reference Network for Critical Infrastructure Protection. In addition, it should inform Member States about resources available at Union level, such as within the Internal Security Fund, established by Regulation (EU) 2021/1149 of the European Parliament and of the Council <*>, Horizon Europe, established by Regulation (EU) 2021/695 of the European Parliament and of the Council <**>, or other instruments relevant for the resilience of critical entities. --- <*> Regulation (EU) 2021/1149 of the European Parliament and of the Council of 7 July 2021 establishing the Internal Security Fund (OJ L 251, 15.7.2021, p. 94). <**> Regulation (EU) 2021/695 of the European Parliament and of the Council of 28 April 2021 establishing Horizon Europe - the Framework Programme for Research and Innovation, laying down its rules for participation and dissemination, and repealing Regulations (EU) No 1290/2013 and (EU) No 1291/2013 (OJ L 170, 12.5.2021, p. 1). (40) Member States should ensure that their competent authorities have certain specific powers for the proper application and enforcement of this Directive in relation to critical entities, where those entities fall under their jurisdiction as specified in this Directive. Those powers should include, in particular, the power to conduct inspections and audits, the power to supervise, the power to require critical entities to provide information and evidence relating to the measures they have taken to comply with their obligations and, where necessary, the power to issue orders to remedy identified infringements. When issuing such orders, Member States should not require measures which go beyond what is necessary and proportionate to ensure the compliance of the critical entity concerned, taking account of, in particular, the seriousness of the infringement and the economic capacity of the critical entity concerned. More generally, those powers should be accompanied by appropriate and effective safeguards to be specified in national law in accordance with the Charter of Fundamental Rights of the European Union. When assessing the compliance of a critical entity with its obligations as laid down in this Directive, the competent authorities under this Directive should be able to request the competent authorities under Directive (EU) 2022/2555 to exercise their supervisory and enforcement powers in relation to an entity under that Directive that has been identified as a critical entity under this Directive. The competent authorities under this Directive and the competent authorities under Directive (EU) 2022/2555 should cooperate and exchange information for that purpose. (41) In order to apply this Directive in an effective and consistent manner, the power to adopt acts in accordance with Article 290 TFEU should be delegated to the Commission to supplement this Directive by drawing up a list of essential services. That list should be used by competent authorities for the purpose of conducting Member State risk assessments and identifying critical entities pursuant to this Directive. In light of the minimum harmonisation approach of this Directive, that list is non-exhaustive, and Member States could complement it with additional essential services at national level in order to take into account national specificities in the provision of essential services. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making <*>. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States' experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts. --- <*> OJ L 123, 12.5.2016, p. 1. (42) In order to ensure uniform conditions for the implementation of this Directive, implementing powers should be conferred on the Commission. Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council <*>. --- <*> Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by the Member States of the Commission's exercise of implementing powers (OJ L 55, 28.2.2011, p. 13). (43) Since the objectives of this Directive, namely to ensure that services essential for the maintenance of vital societal functions or economic activities are provided in an unobstructed manner in the internal market and to enhance the resilience of critical entities providing such services, cannot be sufficiently achieved by the Member States, but can rather, by reason of the effects of the action, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on the European Union. In accordance with the principle of proportionality as set out in that Article 5, this Directive does not go beyond what is necessary in order to achieve those objectives. (44) The European Data Protection Supervisor was consulted in accordance with Article 42(1) of Regulation (EU) 2018/1725 of the European Parliament and of the Council <*> and delivered an opinion on 11 August 2021. --- <*> Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (OJ L 295, 21.11.2018, p. 39). (45) Directive 2008/114/EC should therefore be repealed,
**Have adopted this Directive:**
**Article 1**
**Subject matter and scope**
1. This Directive: (a) lays down obligations on Member States to take specific measures aimed at ensuring that services which are essential for the maintenance of vital societal functions or economic activities within the scope of Article 114 TFEU are provided in an unobstructed manner in the internal market, in particular obligations to identify critical entities and to support critical entities in meeting the obligations imposed on them; (b) lays down obligations for critical entities aimed at enhancing their resilience and ability to provide services as referred to in point (a) in the internal market; (c) establishes rules: (i) on the supervision of critical entities; (ii) on enforcement; (iii) for the identification of critical entities of particular European significance and on advisory missions to assess the measures that such entities have put in place to meet their obligations under Chapter III; (d) establishes common procedures for cooperation and reporting on the application of this Directive; (e) lays down measures with a view to achieving a high level of resilience of critical entities in order to ensure the provision of essential services within the Union and to improve the functioning of the internal market. 2. This Directive shall not apply to matters covered by Directive (EU) 2022/2555, without prejudice to Article 8 of this Directive. In light of the relationship between the physical security and cybersecurity of critical entities, Member States shall ensure that this Directive and Directive (EU) 2022/2555 are implemented in a coordinated manner. 3. Where provisions of sector-specific Union legal acts require critical entities to take measures to enhance their resilience and where those requirements are recognised by Member States as at least equivalent to the corresponding obligations laid down in this Directive, the relevant provisions of this Directive, including the provisions on supervision and enforcement laid down in Chapter VI, shall not apply. 4. Without prejudice to Article 346 TFEU, information that is confidential pursuant to Union or national rules, such as rules on business confidentiality, shall be exchanged with the Commission and other relevant authorities in accordance with this Directive only where that exchange is necessary for the application of this Directive. The information exchanged shall be limited to that which is relevant and proportionate to the purpose of that exchange. The exchange of information shall preserve the confidentiality of that information and the security and commercial interests of critical entities, while respecting the security of Member States. 5. This Directive is without prejudice to the Member States' responsibility for safeguarding national security and defence and their power to safeguard other essential State functions, including ensuring the territorial integrity of the State and maintaining law and order. 6. This Directive does not apply to public administration entities that carry out their activities in the areas of national security, public security, defence or law enforcement, including the investigation, detection and prosecution of criminal offences. 7. Member States may decide that Article 11 and Chapters III, IV and VI, in whole or in part, do not apply to specific critical entities which carry out activities in the areas of national security, public security, defence or law enforcement, including the investigation, detection and prosecution of criminal offences, or which provide services exclusively to the public administration entities referred to in paragraph 6 of this Article. 8. The obligations laid down in this Directive shall not entail the supply of information the disclosure of which would be contrary to the essential interests of Member States' national security, public security or defence. 9. This Directive is without prejudice to Union law on the protection of personal data, in particular Regulation (EU) 2016/679 of the European Parliament and of the Council <*> and Directive 2002/58/EC of the European Parliament and of the Council <**>. --- <*> Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 4.5.2016, p. 1). <**> Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (OJ L 201, 31.7.2002, p. 37).
**Article 2** **Definitions**
For the purposes of this Directive, the following definitions apply: (1) "critical entity" means a public or private entity which has been identified by a Member State in accordance with Article 6 as belonging to one of the categories set out in the third column of the table in the Annex; (2) "resilience" means a critical entity's ability to prevent, protect against, respond to, resist, mitigate, absorb, accommodate and recover from an incident; (3) "incident" means an event which has the potential to significantly disrupt, or that disrupts, the provision of an essential service, including when it affects the national systems that safeguard the rule of law; (4) "critical infrastructure" means an asset, a facility, equipment, a network or a system, or a part of an asset, a facility, equipment, a network or a system, which is necessary for the provision of an essential service; (5) "essential service" means a service which is crucial for the maintenance of vital societal functions, economic activities, public health and safety, or the environment; (6) "risk" means the potential for loss or disruption caused by an incident and is to be expressed as a combination of the magnitude of such loss or disruption and the likelihood of occurrence of the incident; (7) "risk assessment" means the overall process for determining the nature and extent of a risk by identifying and analysing potential relevant threats, vulnerabilities and hazards which could lead to an incident and by evaluating the potential loss or disruption of the provision of an essential service caused by that incident; (8) "standard" means a standard as defined in Article 2, point (1), of Regulation (EU) No 1025/2012 of the European Parliament and of the Council <*>; --- <*> Regulation (EU) No 1025/2012 of the European Parliament and of the Council of 25 October 2012 on European standardisation, amending Council Directives 89/686/EEC and 93/15/EEC and Directives 94/9/EC, 94/25/EC, 95/16/EC, 97/23/EC, 98/34/EC, 2004/22/EC, 2007/23/EC, 2009/23/EC and 2009/105/EC of the European Parliament and of the Council and repealing Council Decision 87/95/EEC and Decision No 1673/2006/EC of the European Parliament and of the Council (OJ L 316, 14.11.2012, p. 12). (9) "technical specification" means a technical specification as defined in Article 2, point (4), of Regulation (EU) No 1025/2012; (10) "public administration entity" means an entity recognised as such in a Member State in accordance with national law, not including the judiciary, parliaments or central banks, which complies with the following criteria: (a) it is established for the purpose of meeting needs in the general interest and does not have an industrial or commercial character; (b) it has legal personality or is entitled by law to act on behalf of another entity with legal personality; (c) it is financed, for the most part, by the State authorities or by other central-level bodies governed by public law, is subject to management supervision by those authorities or bodies, or has an administrative, managerial or supervisory board, more than half of whose members are appointed by the State authorities or by other central-level bodies governed by public law; (d) it has the power to address to natural or legal persons administrative or regulatory decisions affecting their rights in the cross-border movement of persons, goods, services or capital.
**Article 3** **Minimum harmonisation**
This Directive shall not preclude Member States from adopting or maintaining provisions of national law with a view to achieving a higher level of resilience of critical entities, provided that such provisions are consistent with Member States' obligations laid down in Union law.
**Article 4** **Strategy on the resilience of critical entities**
1. Following a consultation that is, to the extent practically possible, open to relevant stakeholders, each Member State shall adopt by 17 January 2026 a strategy for enhancing the resilience of critical entities (the "strategy"). The strategy shall set out strategic objectives and policy measures, building upon relevant existing national and sectoral strategies, plans or similar documents, with a view to achieving and maintaining a high level of resilience on the part of critical entities and covering at least the sectors set out in the Annex. 2. Each strategy shall contain at least the following elements: (a) strategic objectives and priorities for the purposes of enhancing the overall resilience of critical entities, taking into account cross-border and cross-sectoral dependencies and interdependencies; (b) a governance framework to achieve the strategic objectives and priorities, including a description of the roles and responsibilities of the different authorities, critical entities and other parties involved in the implementation of the strategy; (c) a description of measures necessary to enhance the overall resilience of critical entities, including a description of the risk assessment referred to in Article 5; (d) a description of the process by which critical entities are identified; (e) a description of the process supporting critical entities in accordance with this Chapter, including measures to enhance cooperation between the public sector, on the one hand, and the private sector and public and private entities, on the other hand; (f) a list of the main authorities and relevant stakeholders, other than critical entities, involved in the implementation of the strategy; (g) a policy framework for coordination between the competent authorities under this Directive ("competent authorities") and the competent authorities under Directive (EU) 2022/2555 for the purposes of information sharing on cybersecurity risks, cyber threats and cyber incidents and non-cyber risks, threats and incidents and the exercise of supervisory tasks; (h) a description of measures already in place which aim to facilitate the implementation of obligations under Chapter III of this Directive by small and medium-sized enterprises within the meaning of the Annex to Commission Recommendation 2003/361/EC <*> that the Member State in question has identified as critical entities. --- <*> Commission Recommendation 2003/361/EC of 6 May 2003 concerning the definition of micro, small and medium-sized enterprises (OJ L 124, 20.5.2003, p. 36). Following a consultation that is, to the extent practically possible, open to relevant stakeholders, Member States shall update their strategies at least every four years. 3. Member States shall communicate their strategies, and substantial updates thereto, to the Commission within three months of their adoption.
**Article 5** **Risk assessment by Member States**
1. The Commission is empowered to adopt a delegated act, in accordance with Article 23, by 17 November 2023 to supplement this Directive by establishing a non-exhaustive list of essential services in the sectors and subsectors set out in the Annex. The competent authorities shall use that list of essential services for the purpose of carrying out a risk assessment ("Member State risk assessment") by 17 January 2026, whenever necessary subsequently, and at least every four years. The competent authorities shall use Member State risk assessments for the purpose of identifying critical entities in accordance with Article 6 and assisting those critical entities to take measures pursuant to Article 13. Member State risk assessments shall account for the relevant natural and man-made risks, including those of a cross-sectoral or cross-border nature, accidents, natural disasters, public health emergencies and hybrid threats or other antagonistic threats, including terrorist offences as provided for in Directive (EU) 2017/541 of the European Parliament and of the Council <*>. --- <*> Directive (EU) 2017/541 of the European Parliament and of the Council of 15 March 2017 on combating terrorism and replacing Council Framework Decision 2002/475/JHA and amending Council Decision 2005/671/JHA (OJ L 88, 31.3.2017, p. 6). 2. In carrying out Member State risk assessments, Member States shall take into account at least the following: (a) the general risk assessment carried out pursuant to Article 6(1) of Decision No 1313/2013/EU; (b) other relevant risk assessments, carried out in accordance with the requirements of the relevant sector-specific Union legal acts, including Regulations (EU) 2017/1938 <1> and (EU) 2019/941 <2> of the European Parliament and of the Council and Directives 2007/60/EC <3> and 2012/18/EU <4> of the European Parliament and of the Council; --- <1> Regulation (EU) 2017/1938 of the European Parliament and of the Council of 25 October 2017 concerning measures to safeguard the security of gas supply and repealing Regulation (EU) No 994/2010 (OJ L 280, 28.10.2017, p. 1). <2> Regulation (EU) 2019/941 of the European Parliament and of the Council of 5 June 2019 on risk-preparedness in the electricity sector and repealing Directive 2005/89/EC (OJ L 158, 14.6.2019, p. 1). <3> Directive 2007/60/EC of the European Parliament and of the Council of 23 October 2007 on the assessment and management of flood risks (OJ L 288, 6.11.2007, p. 27). <4> Directive 2012/18/EU of the European Parliament and of the Council of 4 July 2012 on the control of major-accident hazards involving dangerous substances, amending and subsequently repealing Council Directive 96/82/EC (OJ L 197, 24.7.2012, p. 1). (c) the relevant risks arising from the extent to which the sectors set out in the Annex depend on one another, including from the extent to which they depend on entities located within other Member States and third countries, and the impact that a significant disruption in one sector may have on other sectors, including any significant risks to citizens and the internal market; (d) any information on incidents notified in accordance with Article 15. For the purposes of the first subparagraph, point (c), Member States shall cooperate with the competent authorities of other Member States and the competent authorities of third countries, as appropriate. 3. Member States shall make the relevant elements of Member State risk assessments available, where relevant through their single points of contact, to the critical entities that they have identified in accordance with Article 6. Member States shall ensure that the information provided to critical entities assists them in carrying out their risk assessments pursuant to Article 12 and in taking measures to ensure their resilience pursuant to Article 13. 4. Within three months of carrying out a Member State risk assessment, a Member State shall provide the Commission with relevant information on the types of risks identified following, and the outcomes of, that Member State risk assessment, per sector and subsector set out in the Annex. 5. The Commission shall, in cooperation with the Member States, develop a voluntary common reporting template for the purpose of complying with paragraph 4.
**Article 6** **Identification of critical entities**
1. By 17 July 2026, each Member State shall identify the critical entities for the sectors and subsectors set out in the Annex. 2. When a Member State identifies critical entities pursuant to paragraph 1, it shall take into account the outcomes of its Member State risk assessment and its strategy and shall apply all of the following criteria: (a) the entity provides one or more essential services; (b) the entity operates, and its critical infrastructure is located, on the territory of that Member State; and (c) an incident would have significant disruptive effects, as determined in accordance with Article 7(1), on the provision by the entity of one or more essential services or on the provision of other essential services in the sectors set out in the Annex that depend on that or those essential services. 3. Each Member State shall establish a list of the critical entities identified pursuant to paragraph 2 and ensure that those critical entities are notified that they have been identified as critical entities within one month of that identification. Member States shall inform those critical entities of their obligations under Chapters III and IV and the date from which those obligations apply to them, without prejudice to Article 8. Member States shall inform critical entities in the sectors set out in points 3, 4 and 8 of the table in the Annex that they have no obligations under Chapters III and IV, unless national measures provide otherwise. For the critical entities concerned, Chapter III shall apply from 10 months after the date of the notification referred to in the first subparagraph of this paragraph. 4. Member States shall ensure that their competent authorities under this Directive notify the competent authorities under Directive (EU) 2022/2555 of the identity of the critical entities that they have identified under this Article within one month of that identification. That notification shall specify, where applicable, that the critical entities concerned are entities in the sectors set out in points 3, 4 and 8 of the table in the Annex to this Directive and have no obligations under Chapters III and IV thereof. 5. Member States shall, where necessary and in any event at least every four years, review and, where appropriate, update the list of identified critical entities referred to in paragraph 3. Where those updates lead to the identification of additional critical entities, paragraphs 3 and 4 shall apply to those additional critical entities. In addition, Member States shall ensure that entities that are no longer identified as critical entities following any such update are notified in due time of that fact and the fact that they are no longer subject to the obligations under Chapter III from the date of receipt of that notification. 6. The Commission shall, in cooperation with the Member States, develop recommendations and non-binding guidelines to support Member States in identifying critical entities.
**Article 7** **Significant disruptive effect**
1. When determining the significance of a disruptive effect as referred to in Article 6(2), point (c), Member States shall take into account the following criteria: (a) the number of users relying on the essential service provided by the entity concerned; (b) the extent to which other sectors and subsectors as set out in the Annex depend on the essential service in question; (c) the impact that incidents could have, in terms of degree and duration, on economic and societal activities, the environment, public safety and security, or the health of the population; (d) the entity's market share in the market for the essential service or essential services concerned; (e) the geographic area that could be affected by an incident, including any cross-border impact, taking into account the vulnerability associated with the degree of isolation of certain types of geographic areas, such as insular regions, remote regions or mountainous areas; (f) the importance of the entity in maintaining a sufficient level of the essential service, taking into account the availability of alternative means for the provision of that essential service. 2. After the identification of the critical entities under Article 6(1), each Member State shall submit the following information to the Commission without undue delay: (a) a list of essential services in that Member State where there are any additional essential services as compared to the list of essential services referred to in Article 5(1); (b) the number of critical entities identified for each sector and subsector set out in the Annex and for each essential service; (c) any thresholds applied to specify one or more of the criteria in paragraph 1. Thresholds as referred to in the first subparagraph, point (c), may be presented as such or in aggregated form. Member States shall subsequently submit information referred to in the first subparagraph whenever necessary and at least every four years. 3. The Commission shall, after consulting the Critical Entities Resilience Group referred to in Article 19, adopt nonbinding guidelines to facilitate the application of the criteria referred to in paragraph 1 of this Article, taking into account the information referred to in paragraph 2 of this Article.
**Article 8** **Critical entities in the banking, financial market**
**infrastructure and digital infrastructure sectors**
Member States shall ensure that Article 11 and Chapters III, IV and VI do not apply to critical entities that they have identified in the sectors set out in points 3, 4 and 8 of the table in the Annex. Member States may adopt or maintain provisions of national law to achieve a higher level of resilience for those critical entities, provided that those provisions are consistent with applicable Union law.
**Article 9** **Competent authorities and single point of contact**
1. Each Member State shall designate or establish one or more competent authorities responsible for the correct application and, where necessary, enforcement of the rules set out in this Directive at national level. As regards the critical entities in the sectors set out in points 3 and 4 of the table in the Annex to this Directive, the competent authorities shall, in principle, be the competent authorities referred to in Article 46 of Regulation (EU) 2022/2554. As regards the critical entities in the sector set out in point 8 of the table in the Annex to this Directive, the competent authorities shall, in principle, be the competent authorities under Directive (EU) 2022/2555. Member States may designate a different competent authority for the sectors set out in points 3, 4 and 8 of the table in the Annex to this Directive in accordance with existing national frameworks. Where Member States designate or establish more than one competent authority, they shall clearly set out the tasks of each of the authorities concerned and ensure that they cooperate effectively to fulfil their tasks under this Directive, including with regard to the designation and activities of the single point of contact referred to in paragraph 2. 2. Each Member State shall designate or establish one single point of contact to exercise a liaison function for the purpose of ensuring cross-border cooperation with the single points of contact of other Member States and the Critical Entities Resilience Group referred to in Article 19 ("single point of contact"). Where relevant, a Member State shall designate its single point of contact within a competent authority. Where relevant, a Member State may provide that its single point of contact also exercise a liaison function with the Commission and ensure cooperation with third countries. 3. By 17 July 2028, and every two years thereafter, the single points of contact shall submit a summary report to the Commission and to the Critical Entities Resilience Group referred to in Article 19 on the notifications they have received, including the number of notifications, the nature of notified incidents and the actions taken in accordance with Article 15(3). The Commission shall, in cooperation with the Critical Entities Resilience Group, develop a common reporting template. The competent authorities may use, on a voluntary basis, that common reporting template for the purpose of submitting summary reports as referred to in the first subparagraph. 4. Each Member State shall ensure that its competent authority and single point of contact have the powers and the adequate financial, human and technical resources to carry out, in an effective and efficient manner, the tasks assigned to them. 5. Each Member State shall ensure that its competent authority, whenever appropriate, and in accordance with Union and national law, consults and cooperates with other relevant national authorities, including those in charge of civil protection, law enforcement and the protection of personal data, and with critical entities and relevant interested parties. 6. Each Member State shall ensure that its competent authority under this Directive cooperates and exchanges information with competent authorities under Directive (EU) 2022/2555 on cybersecurity risks, cyber threats and cyber incidents and non-cyber risks, threats and incidents affecting critical entities, including with regard to relevant measures its competent authority and competent authorities under Directive (EU) 2022/2555 have taken. 7. Within three months of the designation or establishment of the competent authority and the single point of contact, each Member State shall notify the Commission of their identity and their tasks and responsibilities under this Directive, their contact details and any subsequent change thereto. Member States shall inform the Commission where they decide to designate an authority other than the competent authorities referred to in paragraph 1, second subparagraph, as the competent authorities in respect of the critical entities in the sectors set out in points 3, 4 and 8 of the table in the Annex. Each Member State shall make public the identity of its competent authority and single point of contact. 8. The Commission shall make a list of the single points of contact publicly available.
**Article 10** **Member States' support to critical entities**
1. Member States shall support critical entities in enhancing their resilience. That support may include developing guidance materials and methodologies, supporting the organisation of exercises to test their resilience and providing advice and training to the personnel of critical entities. Without prejudice to applicable rules on State aid, Member States may provide financial resources to critical entities, where necessary and justified by public interest objectives. 2. Each Member State shall ensure that its competent authority cooperates and exchanges information and good practices with critical entities of the sectors set out in the Annex. 3. Member States shall facilitate voluntary information sharing between critical entities in relation to matters covered by this Directive, in accordance with Union and national law on, in particular, classified and sensitive information, competition and protection of personal data.
**Article 11** **Cooperation between Member States**
1. Whenever appropriate, Member States shall consult one another regarding critical entities for the purpose of ensuring that this Directive is applied in a consistent manner. Such consultations shall take place, in particular, regarding critical entities that: (a) use critical infrastructure which is physically connected between two or more Member States; (b) are part of corporate structures that are connected with, or linked to, critical entities in other Member States; (c) have been identified as critical entities in one Member State and provide essential services to or in other Member States. 2. The consultations referred to in paragraph 1 shall aim at enhancing the resilience of critical entities and, where possible, reducing the administrative burden on them.
**Article 12** **Risk assessment by critical entities**
1. Notwithstanding the deadline set out in Article 6(3), second subparagraph, Member States shall ensure that critical entities carry out a risk assessment within nine months of receiving the notification referred to in Article 6(3), whenever necessary subsequently, and at least every four years, on the basis of Member State risk assessments and other relevant sources of information, in order to assess all relevant risks that could disrupt the provision of their essential services ("critical entity risk assessment"). 2. Critical entity risk assessments shall account for all the relevant natural and man-made risks which could lead to an incident, including those of a cross-sectoral or cross-border nature, accidents, natural disasters, public health emergencies and hybrid threats and other antagonistic threats, including terrorist offences as provided for in Directive (EU) 2017/541. A critical entity risk assessment shall take into account the extent to which other sectors as set out in the Annex depend on the essential service provided by the critical entity and the extent to which that critical entity depends on essential services provided by other entities in such other sectors, including, where relevant, in neighbouring Member States and third countries. Where a critical entity has carried out other risk assessments or drawn up documents pursuant to obligations laid down in other legal acts that are relevant for its critical entity risk assessment, it may use those assessments and documents to meet the requirements set out in this Article. When exercising its supervisory functions, the competent authority may declare an existing risk assessment carried out by a critical entity that addresses the risks and extent of dependence referred to in the first subparagraph of this paragraph as compliant, in whole or in part, with the obligations under this Article.
**Article 13** **Resilience measures of critical entities**
1. Member States shall ensure that critical entities take appropriate and proportionate technical, security and organisational measures to ensure their resilience, based on the relevant information provided by Member States on the Member State risk assessment and on the outcomes of the critical entity risk assessment, including measures necessary to: (a) prevent incidents from occurring, duly considering disaster risk reduction and climate adaptation measures; (b) ensure adequate physical protection of their premises and critical infrastructure, duly considering, for example, fencing, barriers, perimeter monitoring tools and routines, detection equipment and access controls; (c) respond to, resist and mitigate the consequences of incidents, duly considering the implementation of risk and crisis management procedures and protocols and alert routines; (d) recover from incidents, duly considering business continuity measures and the identification of alternative supply chains, in order to resume the provision of the essential service; (e) ensure adequate employee security management, duly considering measures such as setting out categories of personnel who exercise critical functions, establishing access rights to premises, critical infrastructure and sensitive information, setting up procedures for background checks in accordance with Article 14 and designating the categories of persons who are required to undergo such background checks, and laying down appropriate training requirements and qualifications; (f) raise awareness about the measures referred to in points (a) to (e) among relevant personnel, duly considering training courses, information materials and exercises. For the purposes of the first subparagraph, point (e), Member States shall ensure that critical entities take into account the personnel of external service providers when setting out categories of personnel who exercise critical functions. 2. Member States shall ensure that critical entities have in place and apply a resilience plan or equivalent document or documents which describe the measures taken pursuant to paragraph 1. Where critical entities have drawn up documents or taken measures pursuant to obligations laid down in other legal acts that are relevant for the measures referred to in paragraph 1, they may use those documents and measures to meet the requirements set out in this Article. When exercising its supervisory functions, the competent authority may declare existing resilience-enhancing measures taken by a critical entity that address, in an appropriate and proportionate manner, the technical, security and organisational measures referred to in paragraph 1 as compliant, in whole or in part, with the obligations under this Article. 3. Member States shall ensure that each critical entity designates a liaison officer or equivalent as the point of contact with the competent authorities. 4. At the request of the Member State that has identified the critical entity and with the agreement of the critical entity concerned, the Commission shall organise advisory missions, in accordance with the arrangements set out in Article 18(6), (8) and (9), to provide advice to the critical entity concerned in meeting its obligations under Chapter III. The advisory mission shall report its findings to the Commission, that Member State and the critical entity concerned. 5. The Commission shall, after consulting the Critical Entities Resilience Group referred to in Article 19, adopt non-binding guidelines to further specify the technical, security and organisational measures that may be taken pursuant to paragraph 1 of this Article. 6. The Commission shall adopt implementing acts in order to set out the necessary technical and methodological specifications relating to the application of the measures referred to in paragraph 1 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 24(2).
**Article 14** **Background checks**
1. Member States shall specify the conditions under which a critical entity is permitted, in duly reasoned cases and taking into account the Member State risk assessment, to submit requests for background checks on persons who: (a) hold sensitive roles in or for the benefit of the critical entity, in particular in relation to the resilience of the critical entity; (b) are authorised to directly or remotely access its premises, information or control systems, including in connection with the security of the critical entity; (c) are under consideration for recruitment to positions that fall under the criteria set out in point (a) or (b). 2. Requests as referred to in paragraph 1 of this Article shall be assessed within a reasonable timeframe and processed in accordance with national law and procedures and relevant and applicable Union law, including Regulation (EU) 2016/679 and Directive (EU) 2016/680 of the European Parliament and of the Council <*>. Background checks shall be proportionate and strictly limited to what is necessary. They shall be carried out for the sole purpose of evaluating a potential security risk to the critical entity concerned. --- <*> Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data, and repealing Council Framework Decision 2008/977/JHA (OJ L 119, 4.5.2016, p. 89). 3. A background check as referred to in paragraph 1 shall, at least: (a) corroborate the identity of the person who is the subject of the background check; (b) check the criminal records of that person with regards to offences which would be relevant for a specific position. When carrying out background checks, Member States shall use the European Criminal Records Information System in accordance with the procedures set out in Framework Decision 2009/315/JHA and, where relevant and applicable, Regulation (EU) 2019/816 for the purpose of obtaining information from criminal records held by other Member States. The central authorities referred to in Article 3(1) of Framework Decision 2009/315/JHA and in Article 3, point (5), of Regulation (EU) 2019/816 shall provide replies to requests for such information within 10 working days from the date on which the request was received in accordance with Article 8(1) of Framework Decision 2009/315/JHA.
**Article 15** **Incident notification**
1. Member States shall ensure that critical entities notify the competent authority, without undue delay, of incidents that significantly disrupt or have the potential to significantly disrupt the provision of essential services. Member States shall ensure that, unless operationally unable to do so, critical entities submit an initial notification no later than 24 hours after becoming aware of an incident, followed, where relevant, by a detailed report no later than one month thereafter. In order to determine the significance of a disruption, the following parameters shall, in particular, be taken into account: (a) the number and proportion of users affected by the disruption; (b) the duration of the disruption; (c) the geographical area affected by the disruption, taking into account whether the area is geographically isolated. Where an incident has or might have a significant impact on the continuity of the provision of essential services to or in six or more Member States, the competent authorities of the Member States affected by the incident shall notify the Commission of that incident. 2. Notifications as referred to in paragraph 1, first subparagraph, shall include any available information necessary to enable the competent authority to understand the nature, cause and possible consequences of the incident, including any available information necessary to determine any cross-border impact of the incident. Such notifications shall not subject critical entities to increased liability. 3. On the basis of the information provided by a critical entity in a notification as referred to in paragraph 1, the relevant competent authority, via the single point of contact, shall inform the single point of contact of other affected Member States where the incident has or might have a significant impact on critical entities and the continuity of the provision of essential services to or in one or more other Member States. Single points of contact sending and receiving information pursuant to the first subparagraph shall, in accordance with Union or national law, treat that information in a way that respects its confidentiality and protects the security and commercial interest of the critical entity concerned. 4. As soon as possible following a notification as referred to in paragraph 1, the competent authority concerned shall provide the critical entity concerned with relevant follow-up information, including information that could support that critical entity's effective response to the incident in question. Member States shall inform the public where they determine that it would be in the public interest to do so.
**Article 16** **Standards**
In order to promote the convergent implementation of this Directive, Member States shall, where useful and without imposing or discriminating in favour of the use of a particular type of technology, encourage the use of European and international standards and technical specifications relevant to the security and resilience measures applicable to critical entities.
**Article 17** **Identification of critical entities of particular**
**European significance**
1. An entity shall be considered a critical entity of particular European significance where it: (a) has been identified as a critical entity pursuant to Article 6(1); (b) provides the same or similar essential services to or in six or more Member States; and (c) has been notified pursuant to paragraph 3 of this Article. 2. Member States shall ensure that a critical entity, following the notification referred to in Article 6(3), informs its competent authority where it provides essential services to or in six or more Member States. In such a case, Member States shall ensure that the critical entity informs its competent authority of the essential services it provides to or in those Member States and of the Member States to which or in which it provides such essential services. Member States shall notify the Commission, without undue delay, of the identity of such critical entities and of the information they provide under this paragraph. The Commission shall consult the competent authority of the Member State which identified a critical entity as referred to in the first subparagraph, the competent authority of other Member States concerned and the critical entity in question. During those consultations, each Member State shall inform the Commission where it deems that the services provided to that Member State by the critical entity are essential services. 3. Where the Commission establishes, on the basis of the consultations referred to in paragraph 2 of this Article, that the critical entity concerned provides essential services to or in six or more Member States, the Commission shall notify that critical entity, through its competent authority, that it is considered a critical entity of particular European significance and inform that critical entity of its obligations under this Chapter and the date from which those obligations apply to it. Once the Commission informs the competent authority of its decision to consider a critical entity as a critical entity of particular European significance, the competent authority shall forward that notification to that critical entity without undue delay. 4. This Chapter shall apply to the critical entity of particular European significance concerned from the date of receipt of the notification referred to in paragraph 3 of this Article.
**Article 18** **Advisory missions**
1. At the request of the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1), the Commission shall organise an advisory mission to assess the measures that that critical entity has put in place to meet its obligations under Chapter III. 2. On its own initiative or at the request of one or more Member States to or in which the essential service is provided, and provided that the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1) so agrees, the Commission shall organise an advisory mission as referred to in paragraph 1 of this Article. 3. On a reasoned request from the Commission or from one or more Member States to or in which the essential service is provided, the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1) shall provide the following to the Commission: (a) the relevant parts of the critical entity risk assessment; (b) a list of relevant measures taken in accordance with Article 13; (c) supervisory or enforcement actions, including assessments of compliance or orders issued, that its competent authority has undertaken pursuant to Articles 21 and 22 in respect of that critical entity. 4. The advisory mission shall report its findings to the Commission, to the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1), to the Member States to or in which the essential service is provided and to the critical entity concerned within three months of the conclusion of the advisory mission. The Member States to or in which the essential service is provided shall analyse the report referred to in the first subparagraph and, where necessary, shall advise the Commission as to whether the critical entity of particular European significance concerned complies with its obligations under Chapter III and, where appropriate, as to the measures which could be taken to improve the resilience of that critical entity. The Commission shall, based on the advice referred to in the second subparagraph of this paragraph, communicate its opinion to the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1), to the Member States to or in which the essential service is provided and to that critical entity as to whether that critical entity complies with its obligations under Chapter III and, where appropriate, as to the measures which could be taken to improve the resilience of that critical entity. The Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1) shall ensure that its competent authority and the critical entity concerned take into account the opinion referred to in the third subparagraph of this paragraph and provide information to the Commission and the Member States to or in which the essential service is provided on the measures it has taken pursuant to that opinion. 5. Each advisory mission shall consist of experts from the Member State in which the critical entity of particular European significance is located, experts from the Member States to or in which the essential service is provided, and Commission representatives. Those Member States may propose candidates to be part of an advisory mission. The Commission shall, following a consultation with the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1), select and appoint the members of each advisory mission in accordance with their professional capacity and ensuring, where possible, a geographically balanced representation from all those Member States. Whenever necessary, members of the advisory mission shall have valid and appropriate security clearance. The Commission shall bear the costs related to participation in advisory missions. The Commission shall organise the programme of each advisory mission, in consultation with the members of the advisory mission in question and in agreement with the Member State that has identified a critical entity of particular European significance as a critical entity pursuant to Article 6(1). 6. The Commission shall adopt an implementing act laying down rules on the procedural arrangements for requests to organise advisory missions, for handling such requests, for the conduct and reports of advisory missions and for handling the communication of the Commission's opinion referred to in paragraph 4, third subparagraph, of this Article and of the measures taken, duly taking into account the confidentiality and commercial sensitivity of the information concerned. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 24(2). 7. Member States shall ensure that critical entities of particular European significance provide advisory missions with access to information, systems and facilities relating to the provision of their essential services necessary for carrying out the advisory mission concerned. 8. Advisory missions shall be carried out in compliance with the applicable national law of the Member State in which they take place, with respect for that Member State's responsibility for national security and the protection of its security interests. 9. When organising advisory missions, the Commission shall take into account the reports of any inspections carried out by the Commission under Regulations (EC) No 725/2004 and (EC) No 300/2008 and the reports of any monitoring carried out by the Commission under Directive 2005/65/EC in respect of the critical entity concerned. 10. The Commission shall inform the Critical Entities Resilience Group referred to in Article 19 whenever an advisory mission is organised. The Member State in which the advisory mission took place and the Commission shall also inform the Critical Entities Resilience Group of the main findings of the advisory mission and the lessons learned with a view to promoting mutual learning.
**Article 19** **Critical Entities Resilience Group**
1. A Critical Entities Resilience Group is hereby established. The Critical Entities Resilience Group shall support the Commission and facilitate cooperation among Member States and the exchange of information on issues relating to this Directive. 2. The Critical Entities Resilience Group shall be composed of representatives of the Member States and the Commission who hold security clearance, where appropriate. Where relevant for the performance of its tasks, the Critical Entities Resilience Group may invite relevant stakeholders to participate in its work. Where requested by the European Parliament, the Commission may invite experts from the European Parliament to attend meetings of the Critical Entities Resilience Group. The Commission's representative shall chair the Critical Entities Resilience Group. 3. The Critical Entities Resilience Group shall have the following tasks: (a) supporting the Commission in assisting Member States in reinforcing their capacity to contribute to ensuring the resilience of critical entities in accordance with this Directive; (b) analysing the strategies in order to identify best practices in respect of the strategies; (c) facilitating the exchange of best practices with regard to the identification of critical entities by the Member States pursuant to Article 6(1), including in relation to cross-border and cross-sectoral dependencies and regarding risks and incidents; (d) where appropriate, contributing on issues relating to this Directive to documents concerning resilience at Union level; (e) contributing to the preparation of the guidelines referred to in Article 7(3) and Article 13(5) and, upon request, any delegated or implementing acts adopted pursuant to this Directive; (f) analysing the summary reports referred to in Article 9(3) with a view to promoting the sharing of best practices on the action taken in accordance with Article 15(3); (g) exchanging best practices related to the notification of incidents referred to in Article 15; (h) discussing the summary reports of advisory missions and the lessons learned in accordance with Article 18(10); (i) exchanging information and best practices on innovation, research and development relating to the resilience of critical entities in accordance with this Directive; (j) where relevant, exchanging information on matters concerning the resilience of critical entities with relevant Union institutions, bodies, offices and agencies. 4. By 17 January 2025 and every two years thereafter, the Critical Entities Resilience Group shall establish a work programme in respect of actions to be undertaken to implement its objectives and tasks. That work programme shall be consistent with the requirements and objectives of this Directive. 5. The Critical Entities Resilience Group shall meet on a regular basis and in any event at least once a year with the Cooperation Group established under Directive (EU) 2022/2555 to promote and facilitate cooperation and the exchange of information. 6. The Commission may adopt implementing acts laying down procedural arrangements necessary for the functioning of the Critical Entities Resilience Group, respecting Article 1(4). Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 24(2). 7. The Commission shall provide the Critical Entities Resilience Group with a summary report of the information provided by the Member States pursuant to Article 4(3) and Article 5(4) by 17 January 2027, whenever necessary subsequently, and at least every four years.
**Article 20** **Commission support to competent authorities**
**and critical entities**
1. The Commission shall, where appropriate, support Member States and critical entities in complying with their obligations under this Directive. The Commission shall prepare a Union-level overview of cross-border and cross-sectoral risks to the provision of essential services, organise advisory missions as referred to in Article 13(4) and Article 18 and facilitate information exchange among Member States and experts across the Union. 2. The Commission shall complement Member States' activities as referred to in Article 10 by developing best practices, guidance materials and methodologies, and cross-border training activities and exercises to test the resilience of critical entities. 3. The Commission shall inform Member States about financial resources at Union level available to Member States for enhancing the resilience of critical entities.
**Article 21** **Supervision and enforcement**
1. In order to assess the compliance of the entities identified by Member States as critical entities pursuant to Article 6(1) with the obligations laid down in this Directive, Member States shall ensure that the competent authorities have the powers and means to: (a) conduct on-site inspections of the critical infrastructure and the premises that the critical entity uses to provide its essential services, and off-site supervision of measures taken by critical entities in accordance with Article 13; (b) conduct or order audits in respect of critical entities. 2. Member States shall ensure that the competent authorities have the powers and means to require, where necessary for the performance of their tasks under this Directive, that the entities under Directive (EU) 2022/2555 that Member States have identified as critical entities under this Directive provide, within a reasonable time limit set by those authorities: (a) the information necessary to assess whether the measures taken by those entities to ensure their resilience meet the requirements set out in Article 13; (b) evidence of the effective implementation of those measures, including the results of an audit conducted by an independent and qualified auditor selected by that entity and conducted at its expense. When requiring that information, the competent authorities shall state the purpose of the requirement and specify the information required. 3. Without prejudice to the possibility to impose penalties in accordance with Article 22, the competent authorities may, following the supervisory actions referred to in paragraph 1 of this Article or the assessment of the information referred to in paragraph 2 of this Article, order the critical entities concerned to take the necessary and proportionate measures to remedy any identified infringement of this Directive, within a reasonable time limit set by those authorities, and to provide those authorities with information on the measures taken. Those orders shall take into account, in particular, the seriousness of the infringement. 4. Member State shall ensure that the powers provided for in paragraphs 1, 2 and 3 can only be exercised subject to appropriate safeguards. Those safeguards shall guarantee, in particular, that such exercise takes place in an objective, transparent and proportionate manner, and that the rights and legitimate interests of the critical entities affected, such as the protection of trade and business secrets, are duly safeguarded, including the right to be heard, the right of defence and the right to an effective remedy before an independent court. 5. Member States shall ensure that, where a competent authority under this Directive assesses the compliance of a critical entity pursuant to this Article, that competent authority informs the competent authorities of the Member States concerned under Directive (EU) 2022/2555. For that purpose, Member States shall ensure that competent authorities under this Directive can request the competent authorities under Directive (EU) 2022/2555 to exercise their supervisory and enforcement powers in relation to an entity under that Directive that has been identified as a critical entity under this Directive. For that purpose, Member States shall ensure that competent authorities under this Directive cooperate and exchange information with the competent authorities under Directive (EU) 2022/2555.
**Article 22** **Penalties**
Member States shall lay down the rules on penalties applicable to infringements of the national measures adopted pursuant to this Directive and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive. Member States shall, by 17 October 2024, notify the Commission of those rules and of those measures and shall notify it, without delay, of any subsequent amendment affecting them.
**Article 23** **Exercise of the delegation**
1. The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article. 2. The power to adopt delegated acts referred to in Article 5(1) shall be conferred on the Commission for a period of five years from 16 January 2023. 3. The delegation of power referred to in Article 5(1) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the Official Journal of the European Union or at a later date specified therein. It shall not affect the validity of any delegated acts already in force. 4. Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making. 5. As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council. 6. A delegated act adopted pursuant to Article 5(1) shall enter into force only if no objection has been expressed either by the European Parliament or by the Council within a period of two months of notification of that act to the European Parliament and the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by two months at the initiative of the European Parliament or of the Council.
**Article 24** **Committee procedure**
1. The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011. 2. Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
**Article 25** **Reporting and review**
By 17 July 2027, the Commission shall submit to the European Parliament and to the Council a report assessing the extent to which each Member State has taken the necessary measures to comply with this Directive. The Commission shall periodically review the functioning of this Directive and report to the European Parliament and to the Council. That report shall, in particular, assess the added value of this Directive, its impact on ensuring the resilience of critical entities and whether the Annex to this Directive should be modified. The Commission shall submit the first such report by 17 June 2029. For the purpose of reporting under this Article, the Commission shall take into account relevant documents of the Critical Entities Resilience Group.
**Article 26** **Transposition**
1. By 17 October 2024, Member States shall adopt and publish the measures necessary to comply with this Directive. They shall immediately inform the Commission thereof. They shall apply those measures from 18 October 2024. 2. When Member States adopt the measures referred to in paragraph 1, they shall contain a reference to this Directive or be accompanied by such reference on the occasion of their official publication. The methods of making such reference shall be laid down by Member States.
**Article 27** **Repeal of Directive 2008/114/EC**
Directive 2008/114/EC is repealed with effect from 18 October 2024. References to the repealed Directive shall be construed as references to this Directive.
**Article 28** **Entry into force**
This Directive shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union.
**Article 29**
**Addressees**
**This Directive is addressed to the Member States.**
Done at Strasbourg, 14 December 2022. Annex
SECTORS, SUBSECTORS AND CATEGORIES OF ENTITIES
SectorsSubsectorsCategories of entities
1. Energy(a) Electricity- Electricity undertakings as defined in Article 2, point (57), of Directive (EU) 2019/944 of the European Parliament and of the Council <1>, which carry out the function of "supply" as defined in Article 2, point (12), of that Directive
- Distribution system operators as defined in Article 2, point (29), of Directive (EU) 2019/944
- Transmission system operators as defined in Article 2, point (35), of Directive (EU) 2019/944
- Producers as defined in Article 2, point (38), of Directive (EU) 2019/944
- Nominated electricity market operators as defined in Article 2, point (8), of Regulation (EU) 2019/943 of the European Parliament and of the Council <2>
- Market participants as defined in Article 2, point (25), of Regulation (EU) 2019/943 providing aggregation, demand response or energy storage services as defined in Article 2, points (18), (20) and (59), of Directive (EU) 2019/944
(b) District heating and cooling- Operators of district heating or district cooling as defined in Article 2, point (19), of Directive (EU) 2018/2001 of the European Parliament and of the Council <3>
(c) Oil- Operators of oil transmission pipelines
- Operators of oil production, refining and treatment facilities, storage and transmission
- Central stockholding entities as defined in Article 2, point (f), of Council Directive 2009/119/EC <4>
(d) Gas- Supply undertakings as defined in Article 2, point (8), of Directive 2009/73/EC of the European Parliament and of the Council <5>
- Distribution system operators as defined in Article 2, point (6), of Directive 2009/73/EC
- Transmission system operators as defined in Article 2, point (4), of Directive 2009/73/EC
- Storage system operators as defined in Article 2, point (10), of Directive 2009/73/EC
- LNG system operators as defined in Article 2, point (12), of Directive 2009/73/EC
- Natural gas undertakings as defined in Article 2, point (1), of Directive 2009/73/EC
- Operators of natural gas refining and treatment facilities
(e) Hydrogen- Operators of hydrogen production, storage and transmission
2. Transport(a) Air- Air carriers as defined in Article 3, point (4), of Regulation (EC) No 300/2008 used for commercial purposes
- Airport managing bodies as defined in Article 2, point (2), of Directive 2009/12/EC of the European Parliament and of the Council <6>, airports as defined in Article 2, point (1), of that Directive, including the core airports listed in Section 2 of Annex II to Regulation (EU) No 1315/2013 of the European Parliament and of the Council <7>, and entities operating ancillary installations contained within airports
- Traffic management control operators providing air traffic control (ATC) services as defined in Article 2, point (1), of Regulation (EC) No 549/2004 of the European Parliament and of the Council <8>
(b) Rail- Infrastructure managers as defined in Article 3, point (2), of Directive 2012/34/EU of the European Parliament and of the Council <9>
- Railway undertakings as defined in Article 3, point (1), of Directive 2012/34/EU and operators of service facilities as defined in Article 3, point (12), of that Directive
(c) Water- Inland, sea and coastal passenger and freight water transport companies, as defined for maritime transport in Annex I to Regulation (EC) No 725/2004, not including the individual vessels operated by those companies
- Managing bodies of ports as defined in Article 3, point (1), of Directive 2005/65/EC, including their port facilities as defined in Article 2, point (11), of Regulation (EC) No 725/2004, and entities operating works and equipment contained within ports
- Operators of vessel traffic services (VTS) as defined in Article 3, point (o), of Directive 2002/59/EC of the European Parliament and of the Council <10>
(d) Road- Road authorities as defined in Article 2, point (12), of Commission Delegated Regulation (EU) 2015/962 <11> responsible for traffic management control, excluding public entities for whom traffic-management or the operation of intelligent transport systems is a non-essential part of their general activity
- Operators of Intelligent Transport Systems as defined in Article 4, point (1), of Directive 2010/40/EU of the European Parliament and of the Council <12>
(e) public transport- Public service operators as defined in Article 2, point (d), of Regulation (EC) No 1370/2007 of the European Parliament and of the Council <13>
3. Banking- Credit institutions as defined in Article 4, point (1), of Regulation (EU) No 575/2013
4. Financial market infrastructure- Operators of trading venues as defined in Article 4, point (24), of Directive 2014/65/EU
- Central counterparties (CCPs) as defined in Article 2, point (1), of Regulation (EU) No 648/2012
5. Health- Healthcare providers as defined in Article 3, point (g), of Directive 2011/24/EU of the European Parliament and of the Council <14>
- EU reference laboratories as referred to in Article 15 of Regulation (EU) 2022/2371 of the European Parliament and of the Council <15>
- Entities carrying out research and development activities of medicinal products as defined in Article 1, point (2), of Directive 2001/83/EC of the European Parliament and of the Council <16>
- Entities manufacturing basic pharmaceutical products and pharmaceutical preparations as referred to in Section C division 21 of NACE Rev. 2
- Entities manufacturing medical devices considered as critical during a public health emergency ("public health emergency critical devices list") within the meaning of Article 22 of Regulation (EU) 2022/123 of the European Parliament and of the Council <17>
- Entities holding a distribution authorisation as referred to in Article 79 of Directive 2001/83/EC
6. Drinking water- Suppliers and distributors of water intended for human consumption as defined in Article 2, point (1)(a), of Directive (EU) 2020/2184 of the European Parliament and of the Council <18>, excluding distributors for which distribution of water for human consumption is a non-essential part of their general activity of distributing other commodities and goods
7. Waste water- Undertakings collecting, disposing of or treating urban waste water, domestic waste water or industrial waste water as defined in Article 2, points (1), (2) and (3), of Council Directive 91/271/EEC <19>, excluding undertakings for which collecting, disposing of or treating urban waste water, domestic waste water or industrial waste water is a non-essential part of their general activity
8. Digital infrastructure- Providers of internet exchange points as defined in Article 6, point (18), of Directive (EU) 2022/2555
- DNS service providers as defined in Article 6, point (20), of Directive (EU) 2022/2555, excluding operators of root name servers
- top-level-domain name registries as defined in Article 6, point (21), of Directive (EU) 2022/2555
- Providers of cloud computing services as defined in Article 6, point (30), of Directive (EU) 2022/2555
- Providers of data centre services as defined in Article 6, point (31), of Directive (EU) 2022/2555
- Providers of content delivery networks as defined in Article 6, point (32), of Directive (EU) 2022/2555
- Trust service providers as defined in Article 3, point (19), of Regulation (EU) No 910/2014 of the European Parliament and of the Council <20>
- Providers of public electronic communications networks as defined in Article 2, point (8), of Directive (EU) 2018/1972 of the European Parliament and of the Council <21>
- Providers of electronic communications services as defined in Article 2, point (4), of Directive (EU) 2018/1972 insofar as their services are publicly available
9. Public administration- Public administration entities of central governments as defined by Member States in accordance with national law
10. Space- Operators of ground-based infrastructure, owned, managed and operated by Member States or by private parties, that support the provision of space-based services, excluding providers of public electronic communications networks as defined in Article 2, point (8), of Directive (EU) 2018/1972
11. Production, processing and distribution of food- Food businesses as defined in Article 3, point (2), of Regulation (EC) No 178/2002 of the European Parliament and of the Council <22> which are engaged exclusively in logistics and wholesale distribution and large scale industrial production and processing
--- <1> Directive (EU) 2019/944 of the European Parliament and of the Council of 5 June 2019 on common rules for the internal market for electricity and amending Directive 2012/27/EU (OJ L 158, 14.6.2019, p. 125). <2> Regulation (EU) 2019/943 of the European Parliament and of the Council of 5 June 2019 on the internal market for electricity (OJ L 158, 14.6.2019, p. 54). <3> Directive (EU) 2018/2001 of the European Parliament and of the Council of 11 December 2018 on the promotion of the use of energy from renewable sources (OJ L 328, 21.12.2018, p. 82). <4> Council Directive 2009/119/EC of 14 September 2009 imposing an obligation on Member States to maintain minimum stocks of crude oil and/or petroleum products (OJ L 265, 9.10.2009, p. 9). <5> Directive 2009/73/EC of the European Parliament and of the Council of 13 July 2009 concerning common rules for the internal market in natural gas and repealing Directive 2003/55/EC (OJ L 211, 14.8.2009, p. 94). <6> Directive 2009/12/EC of the European Parliament and of the Council of 11 March 2009 on airport charges (OJ L 70, 14.3.2009, p. 11). <7> Regulation (EU) No 1315/2013 of the European Parliament and of the Council of 11 December 2013 on Union guidelines for the development of the trans-European transport network and repealing Decision No 661/2010/EU (OJ L 348, 20.12.2013, p. 1). <8> Regulation (EC) No 549/2004 of the European Parliament and of the Council of 10 March 2004 laying down the framework for the creation of the single European sky (the framework Regulation) (OJ L 96, 31.3.2004, p. 1). <9> Directive 2012/34/EU of the European Parliament and of the Council of 21 November 2012 establishing a single European railway area (OJ L 343, 14.12.2012, p. 32). <10> Directive 2002/59/EC of the European Parliament and of the Council of 27 June 2002 establishing a Community vessel traffic monitoring and information system and repealing Council Directive 93/75/EEC (OJ L 208, 5.8.2002, p. 10). <11> Commission Delegated Regulation (EU) 2015/962 of 18 December 2014 supplementing Directive 2010/40/EU of the European Parliament and of the Council with regard to the provision of EU-wide real-time traffic information services (OJ L 157, 23.6.2015, p. 21). <12> Directive 2010/40/EU of the European Parliament and of the Council of 7 July 2010 on the framework for the deployment of Intelligent Transport Systems in the field of road transport and for interfaces with other modes of transport (OJ L 207, 6.8.2010, p. 1). <13> Regulation (EC) No 1370/2007 of the European Parliament and of the Council of 23 October 2007 on public passenger transport services by rail and by road and repealing Council Regulations (EEC) Nos 1191/69 and 1107/70 (OJ L 315, 3.12.2007, p. 1). <14> Directive 2011/24/EU of the European Parliament and of the Council of 9 March 2011 on the application of patients' rights in cross-border healthcare (OJ L 88, 4.4.2011, p. 45). <15> Regulation (EU) 2022/2371 of the European Parliament and of the Council of 23 November 2022 on serious cross-border threats to health and repealing Decision No 1082/2013/EU (OJ L 314, 6.12.2022, p. 26). <16> Directive 2001/83/EC of the European Parliament and of the Council of 6 November 2001 on the community code relating to medicinal products for human use (OJ L 311, 28.11.2001, p. 67). <17> Regulation (EU) 2022/123 of the European Parliament and of the Council of 25 January 2022 on a reinforced role for the European Medicines Agency in crisis preparedness and management for medicinal products and medical devices (OJ L 20, 31.1.2022, p. 1). <18> Directive (EU) 2020/2184 of the European Parliament and of the Council of 16 December 2020 on the quality of water intended for human consumption (OJ L 435, 23.12.2020, p. 1). <19> Council Directive 91/271/EEC of 21 May 1991 concerning urban waste water treatment (OJ L 135, 30.5.1991, p. 40). <20> Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC (OJ L 257, 28.8.2014, p. 73). <21> Directive (EU) 2018/1972 of the European Parliament and of the Council of 11 December 2018 establishing the European Electronic Communication Code (OJ L 321, 17.12.2018, p. 36). <22> Regulation (EC) No 178/2002 of the European Parliament and of the Council of 28 January 2002 laying down the general principles and requirements of food law, establishing the European Food Safety Authority and laying down procedures in matters of food safety (OJ L 31, 1.2.2002, p. 1). ---