Zwiększanie odporności UE: krok naprzód w kierunku zidentyfikowania podmiotów kluczowych

Dziś Komisja Europejska przyjęła listę usług kluczowych w jedenastu sektorach objętych Dyrektywą o odporności podmiotów krytycznych (CER), która weszła w życie 16 stycznia 2023 r. Podmioty krytyczne świadczą usługi kluczowe dla podtrzymywania podstawowych funkcji społecznych, wspierania gospodarki, zapewnienia zdrowia publicznego i bezpieczeństwa oraz ochrony środowiska.

Państwa członkowskie będą musiały zidentyfikować podmioty krytyczne dla sektorów określonych w Dyrektywie CER do 17 lipca 2026 r. Skorzystają z tej listy usług kluczowych, aby przeprowadzić oceny ryzyka, a następnie zidentyfikować podmioty krytyczne. Po ich zidentyfikowaniu, podmioty krytyczne będą musiały podjąć działania mające na celu zwiększenie ich odporności.

Lista usług kluczowych

Komisja zaproponowała niewyczerpującą listę usług, które są kluczowe dla utrzymania podstawowych funkcji społecznych, działalności gospodarczej, zdrowia publicznego i bezpieczeństwa lub środowiska w jedenastu sektorach i podsektorach objętych Dyrektywą, w następujący sposób:

• Sektor energetyczny, z usługami takimi jak produkcja energii elektrycznej i magazynowanie energii;
• Sektor transportu, z usługami takimi jak zarządzanie i utrzymanie infrastruktury lotniskowej lub kolejowej;
• Sektor bankowy, z usługami kluczowymi takimi jak przyjmowanie depozytów i udzielanie kredytów;
• Sektor infrastruktury rynku finansowego, z usługami takimi jak prowadzenie platformy obrotu i systemów rozliczeniowych;
• Sektor zdrowia, z dystrybucją, produkcją, świadczeniem opieki zdrowotnej i usługami medycznymi;
• Sektor wody pitnej, z dostawą wody pitnej i jej dystrybucją;
• Sektor ścieków, z usługami zbierania, oczyszczania i utylizacji ścieków;
• Sektor infrastruktury cyfrowej, z usługami takimi jak świadczenie i obsługa punktu wymiany ruchu internetowego, system nazw domen, domeny najwyższego poziomu, przetwarzanie w chmurze i centrum danych;
• Usługi sektora administracji publicznej;
• Sektor kosmiczny, z obsługą naziemnych usług infrastrukturalnych;
• Produkcja, przetwarzanie i dystrybucja żywności, z dużą skalą przemysłowej produkcji i przetwarzania żywności, usługami łańcucha dostaw żywności oraz usługami hurtowej dystrybucji żywności.

Kolejne kroki

Akt delegowany przyjęty przez Komisję wejdzie w życie, o ile Parlament Europejski lub Rada nie zgłoszą sprzeciwu w terminie dwóch miesięcy od jego notyfikacji lub jeśli, przed upływem tego okresu, Parlament Europejski i Rada poinformują Komisję, że nie zamierzają zgłaszać sprzeciwu. Ten okres może zostać przedłużony o dwa miesiące z inicjatywy Parlamentu Europejskiego lub Rady.

Tło

W 2020 roku Komisja zaproponowała znaczną aktualizację przepisów UE dotyczących odporności podmiotów krytycznych oraz bezpieczeństwa sieci i systemów informatycznych. 16 stycznia weszły w życie dwie kluczowe dyrektywy dotyczące infrastruktury krytycznej i cyfrowej, mające na celu wzmocnienie odporności UE na zagrożenia online i offline, od cyberataków po przestępczość, zagrożenia zdrowia publicznego lub klęski żywiołowe – Dyrektywa o odporności podmiotów krytycznych (Dyrektywa CER) oraz Dyrektywa w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w całej Unii (Dyrektywa NIS 2), która weszła w życie 16 stycznia 2023 r.