Zwiększanie odporności UE: krok naprzód w kierunku zidentyfikowania podmiotów kluczowych

Dziś Komisja Europejska przyjęła listę usług kluczowych dla jedenastu sektorów objętych Dyrektywą o Odporności Krytycznych Jednostek (CER), która weszła w życie 16 stycznia 2023 roku. Krytyczne jednostki zapewniają usługi niezbędne do utrzymania kluczowych funkcji społecznych, wspierania gospodarki, zapewnienia zdrowia i bezpieczeństwa publicznego oraz ochrony środowiska.

Państwa członkowskie będą musiały zidentyfikować krytyczne jednostki w sektorach określonych w Dyrektywie CER do 17 lipca 2026 roku. Będą korzystać z tej listy usług kluczowych do przeprowadzania ocen ryzyka i identyfikacji krytycznych jednostek. Po ich zidentyfikowaniu, jednostki te będą zobowiązane do podjęcia działań w celu zwiększenia swojej odporności.

Lista usług kluczowych

Komisja zaproponowała niepełną listę usług, które są kluczowe dla utrzymania istotnych funkcji społecznych, działalności gospodarczej, zdrowia i bezpieczeństwa publicznego oraz ochrony środowiska, obejmującą następujące sektory i podsektory:

• Sektor energetyczny: usługi takie jak produkcja energii elektrycznej i magazynowanie energii;
• Sektor transportowy: usługi takie jak zarządzanie i utrzymanie infrastruktury lotniskowej i kolejowej;
• Sektor bankowy: usługi takie jak przyjmowanie depozytów i udzielanie kredytów;
• Sektor infrastruktury rynków finansowych: usługi takie jak funkcjonowanie miejsc handlu i systemów rozliczeniowych;
• Sektor zdrowia: dystrybucja, produkcja, świadczenie usług medycznych i opieki zdrowotnej;
• Sektor wody pitnej: dostarczanie i dystrybucja wody pitnej;
• Sektor ścieków: zbieranie, oczyszczanie i usuwanie ścieków;
• Sektor infrastruktury cyfrowej: usługi takie jak zapewnianie i obsługa punktów wymiany internetowej, systemu nazw domen, domen najwyższego poziomu, chmury obliczeniowej i centrów danych;
• Sektor administracji publicznej;
• Sektor kosmiczny: obsługa infrastruktury naziemnej;
• Sektor produkcji, przetwarzania i dystrybucji żywności: wielkoskalowa produkcja i przetwarzanie żywności, usługi łańcucha dostaw żywności oraz dystrybucja hurtowa żywności.

Kolejne kroki

Akt delegowany przyjęty przez Komisję wejdzie w życie dopiero, jeśli w ciągu dwóch miesięcy od jego powiadomienia nie zostanie zgłoszony sprzeciw ani przez Parlament Europejski, ani przez Radę. Alternatywnie, jeśli przed upływem tego okresu Parlament Europejski i Rada poinformują Komisję, że nie zgłaszają sprzeciwu, akt ten wejdzie w życie. Okres ten może być przedłużony o dwa miesiące na inicjatywę Parlamentu Europejskiego lub Rady.

Tło

W 2020 roku Komisja zaproponowała znaczną aktualizację unijnych przepisów dotyczących odporności krytycznych jednostek i bezpieczeństwa systemów sieciowych i informacyjnych. 16 stycznia weszły w życie dwie kluczowe dyrektywy dotyczące infrastruktury krytycznej i cyfrowej, mające na celu wzmocnienie odporności UE na zagrożenia online i offline, od cyberataków po przestępczość, ryzyka dla zdrowia publicznego i katastrofy naturalne – Dyrektywa o odporności krytycznych jednostek (Dyrektywa CER) oraz Dyrektywa o środkach na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w Unii (Dyrektywa NIS 2).