SMĚRNICE EVROPSKÉHO PARLAMENTU A RADY (EU) 2022/2557 ze dne 14. prosince 2022 o odolnosti kritických subjektů a o zrušení směrnice Rady 2008/114/ES (Text s významem pro EHP)

(1)

V ekonomice Unie charakterizované stále větší vzájemnou závislostí mají kritické subjekty jakožto poskytovatelé základních služeb nepostradatelnou úlohu při zachování životně důležitých společenských funkcí nebo hospodářských činností na vnitřním trhu. Má proto zásadní význam vytvořit unijní rámec, jehož cílem je posílit odolnost kritických subjektů na vnitřním trhu stanovením harmonizovaných minimálních pravidel, jakož i pomoci těmto subjektům prostřednictvím ucelených a specializovaných opatření podpory a dohledu.

(2)

Směrnice Rady 2008/114/ES (4) stanoví postup pro označování evropské kritické infrastruktury v odvětví energetiky a dopravy, jejíž narušení nebo zničení by mělo závažný přeshraniční dopad na nejméně dva členské státy. Uvedená směrnice se zaměřuje výlučně na ochranu takové infrastruktury. Z hodnocení směrnice 2008/114/ES provedeného v roce 2019 však vyplynulo, že vzhledem ke stále více propojené a přeshraniční povaze činností využívajících kritickou infrastrukturu nejsou ochranná opatření týkající se jednotlivých aktiv sama o sobě dostatečná k tomu, aby zabránila vzniku veškerých narušení. Proto je nutné změnit přístup směrem k zajištění toho, aby byla lépe zohledněna rizika, aby byla lépe definována úloha a povinnosti kritických subjektů jakožto poskytovatelů základních služeb nezbytných pro fungování vnitřního trhu a aby byla za účelem posílení odolnosti kritických subjektů přijata jednotná unijní pravidla. Kritické subjekty by tak měly dostat možnost posílit své schopnosti předcházet incidentům, které mohou narušit poskytování základních služeb, chránit se před těmito incidenty, reagovat na ně, odolávat jim, zmírňovat a absorbovat je, přizpůsobovat se jim a zotavit se z nich.

(3)

Ačkoli je cílem řady opatření na úrovni Unie, jako je Evropský program na ochranu kritické infrastruktury, a na vnitrostátní úrovni podpora ochrany kritické infrastruktury v Unii, je třeba učinit více, aby mohly být subjekty provozující takovou infrastrukturu lépe vybaveny k řešení rizik pro jejich provoz, které by mohly vést k narušení poskytování základních služeb. Je třeba rovněž učinit více s cílem zlepšit vybavení těchto subjektů z důvodu dynamického vývoje v oblasti hrozeb, který zahrnuje vyvíjející se hybridní a teroristické hrozby, a narůstající vzájemnou závislost mezi infrastrukturou a odvětvími. Kromě toho existuje zvýšené fyzické riziko, pokud jde o přírodní katastrofy a změny klimatu, což zintenzivňuje frekvenci a rozsah extrémních povětrnostních jevů a přináší dlouhodobé změny průměrných klimatických podmínek, které mohou snížit kapacitu, účinnost a životnost určitých typů infrastruktury, pokud nebudou zavedena opatření pro přizpůsobení se změně klimatu. Pokud jde o určení kritických subjektů, panuje dále na vnitřním trhu roztříštěnost, jelikož relevantní odvětví a kategorie subjektů nejsou shodně uznávány jako kritické ve všech členských státech. Tato směrnice by tudíž měla dosáhnout stabilní úrovně harmonizace, pokud jde o odvětví a kategorie subjektů, jež spadají do její oblasti působnosti.

(4)

Ačkoli některá odvětví hospodářství, jako jsou odvětví energetiky a dopravy, již jsou regulována odvětvovými právními akty Unie, tyto právní akty obsahují ustanovení týkající se pouze určitých aspektů odolnosti subjektů působících v těchto odvětvích. Aby bylo možné komplexně řešit odolnost subjektů, které jsou kritické pro řádné fungování vnitřního trhu, tvoří tato směrnice zastřešující rámec, který řeší odolnost kritických subjektů vůči všem nebezpečím, bez ohledu na to, zda se jedná o nebezpečí přírodní, způsobená člověkem, neúmyslná či úmyslná.

(5)

Narůstající vzájemná závislost mezi infrastrukturou a odvětvími je výsledkem stále častější přeshraniční a vzájemně závislé sítě poskytování služeb využívající klíčovou infrastrukturu v celé Unii v odvětvích energetiky, dopravy, bankovnictví, pitné vody, odpadních vod, produkce, zpracování a distribuce potravin, zdravotnictví, v kosmickém odvětví, v odvětvích infrastruktury finančních trhů a digitální infrastruktury a v některých prvcích veřejné správy. Kosmické odvětví spadá do oblasti působnosti této směrnice, pokud jde o poskytování určitých služeb závislých na pozemních infrastrukturách, které jsou vlastněny, spravovány a provozovány buď členskými státy, nebo soukromými subjekty, a tudíž infrastruktura vlastněná spravovaná nebo provozovaná Unií nebo jejím jménem v rámci jejího kosmického programu do oblasti působnosti této směrnice nespadá.

Pokud jde o odvětví energetiky, a zejména způsoby výroby a přenosu elektřiny (ve vztahu k jejím dodávkám), rozumí se, že tam, kde je to považováno za vhodné, může výroba elektřiny zahrnovat přenosové součásti jaderných elektráren, avšak s vyloučením specificky jaderných prvků, na něž se vztahují mezinárodní úmluvy a právo Unie, včetně příslušných právních předpisů Unie v oblasti jaderné energie. Proces určování kritických subjektů v odvětví výroby, zpracování a distribuce potravin by měl odpovídajícím způsobem odrážet povahu vnitřního trhu v tomto odvětví a obsáhlá pravidla Unie týkající se obecných zásad a požadavků potravinového práva a bezpečnosti potravin. V zájmu zajištění přiměřeného přístupu a náležitého zohlednění úlohy a významu těchto subjektů na vnitrostátní úrovni by proto kritické subjekty měly být určovány pouze mezi potravinářskými podniky, bez ohledu na, zda jsou provozovány za účelem dosažení zisku či nikoli a zda jsou veřejnými či soukromými podniky, a jež se zabývají výhradně logistikou a velkoobchodní distribucí a rozsáhlou průmyslovou výrobou a zpracováním s významným podílem na trhu zjištěným na vnitrostátní úrovni. Tyto vzájemné závislosti znamenají, že jakékoli narušení základních služeb, dokonce i když se původně omezilo na jeden subjekt nebo jedno odvětví, může mít v širším měřítku kaskádové účinky, což může mít za následek dalekosáhlý a dlouhodobý nepříznivý dopad na poskytování služeb na vnitřním trhu. Závažné krize, jako byla pandemie COVID-19, ukázaly zranitelnost našich stále více vzájemně závislých společností vůči rizikům s velkým dopadem a nízkou pravděpodobností.

(6)

Na subjekty zapojené do poskytování základních služeb se stále více vztahují odlišné požadavky stanovené vnitrostátním právem. Skutečnost, že některé členské státy mají na tyto subjekty méně přísné bezpečnostní požadavky, nejenže vede k různým úrovním odolnosti, ale může mít nepříznivý dopad na zachování nejdůležitějších společenských funkcí nebo hospodářských činností v celé Unii, a vede také k překážkám řádného fungování vnitřního trhu. Investoři a společnosti mohou vložit svou důvěru ve spolehlivé a odolné kritické subjekty a spolehlivost a důvěra jsou základními kameny dobře fungujícího vnitřního trhu. Podobné typy subjektů jsou v některých členských státech považovány za kritické, v jiných nikoli, a na ty, které jsou určeny jakožto kritické, se v různých členských státech vztahují odlišné požadavky. To má za následek další a zbytečnou administrativní zátěž pro společnosti působící přeshraničně, zejména pro společnosti působící v členských státech s přísnějšími požadavky. Unijní rámec by proto měl rovněž vést k vytvoření rovných podmínek pro kritické subjekty v celé Unii.

(7)

Je nezbytné stanovit harmonizovaná minimální pravidla, která zajistí poskytování základních služeb na vnitřním trhu, posílí odolnost kritických subjektů a zlepší přeshraniční spolupráci příslušných orgánů. Je důležité, aby tato pravidla obstála i v budoucnu, pokud jde o jejich koncepci a provádění, a aby zároveň umožňovala nezbytnou flexibilitu. Je rovněž zásadní zlepšit schopnost kritických subjektů poskytovat základní služby v kontextu působení rozmanitého souboru rizik.

(8)

K dosažení vysoké míry odolnosti by členské státy měly určit kritické subjekty, které budou podléhat zvláštním požadavkům a dohledu a jimž bude poskytována zvláštní podpora a vedení ve vztahu ke všem příslušným rizikům.

(9)

Vzhledem k důležitosti kybernetické bezpečnosti pro odolnost kritických subjektů a v zájmu konzistentnosti by měl být zajištěn, je-li to možné, ucelený přístup mezi touto směrnicí a směrnicí Evropského parlamentu a Rady (EU) 2022/2555 (5), Vzhledem k vyšší frekvenci a zvláštním rysům kybernetických rizik stanoví směrnice (EU) 2022/2555 komplexní požadavky na velkou skupinu subjektů za účelem zajištění jejich kybernetické bezpečnosti. Vzhledem k tomu, že kybernetická bezpečnost je dostatečně řešena ve směrnici (EU) 2022/2555, měly by být záležitosti, na které se vztahuje, vyloučeny z oblasti působnosti této směrnice, aniž by byl dotčen zvláštní režim pro subjekty v odvětví digitální infrastruktury.

(10)

Pokud ustanovení odvětvových právních aktů Unie vyžadují, aby kritické subjekty přijaly opatření k posílení své odolnosti, a pokud jsou tyto požadavky uznány členskými státy za přinejmenším rovnocenné odpovídajícím povinnostem stanoveným v této směrnici, neměla by se příslušná ustanovení této směrnice uplatnit, aby se zabránilo zdvojování a zbytečné zátěži. V takovém případě by se měla použít příslušná ustanovení těchto právních aktů Unie. Pokud se nepoužijí příslušná ustanovení této směrnice, neměla by se použít ani ustanovení o dohledu a vymáhání stanovená v této směrnici.

(11)

Tato směrnice se nedotýká pravomoci členských států a jejich orgánů, pokud jde o správní autonomii, ani jejich odpovědnosti za zajištění národní bezpečnosti a obrany nebo jejich pravomoci chránit jiné základní funkce státu, zejména pokud jde o veřejnou bezpečnost, územní celistvost a udržování veřejného pořádku. Vynětí subjektů veřejné správy z oblasti působnosti této směrnice by se mělo vztahovat na subjekty, jež vykonávají svou činnost převážně v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů. Nicméně do oblasti působnosti této směrnice by měly spadat subjekty veřejné správy, jejichž činnosti souvisejí s těmito oblastmi pouze okrajově. Pro účely této směrnice se subjekty s regulačními pravomocemi nepovažují za subjekty vykonávající činnost v oblasti prosazování práva, a tudíž nejsou z uvedeného důvodu z oblasti působnosti této směrnice vyloučeny. Z oblasti působnosti této směrnice jsou vyňaty subjekty veřejné správy, které jsou zřízeny společně se třetí zemí v souladu s mezinárodní dohodou. Tato směrnice se nevztahuje na diplomatické a konzulární mise členských států ve třetích zemích.

Některé kritické subjekty vykonávají činnosti v oblasti národní bezpečnosti, veřejné bezpečnosti, obrany nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů, či poskytují služby výhradně subjektům veřejné správy, které vykonávají činnosti převážně v uvedených oblastech. S ohledem na odpovědnost členských států za zajištění národní bezpečnosti a obrany by členské státy měly mít možnost rozhodnout, že povinnosti kritických subjektů stanovené v této směrnici by se na tyto kritické subjekty neměly zcela nebo zčásti vztahovat, pokud služby, které poskytují, nebo činnosti, které vykonávají, souvisejí převážně s oblastmi národní bezpečnosti, veřejné bezpečnosti obrany, nebo prosazování práva, včetně vyšetřování, odhalování a stíhání trestných činů. Kritické subjekty, jejichž služby nebo činnosti souvisejí s těmito oblastmi pouze okrajově, by měly spadat do oblasti působnosti této směrnice. Žádný členský stát by neměl být povinen poskytovat informace, jejichž zpřístupnění by bylo v rozporu se základními zájmy jeho národní bezpečnosti. Uplatní se unijní nebo vnitrostátní pravidla o ochraně utajovaných informací nebo dohody o zachování důvěrnosti.

(12)

Aby nebyla ohrožena národní bezpečnost nebo bezpečnost a obchodní zájmy kritických subjektů, měly by být přístup k citlivým informacím, jejich výměna a nakládání s nimi prováděny obezřetně a se zvláštní pozorností věnovanou přenosovým kanálům a skladovacím kapacitám, které využívají.

(13)

S cílem zajistit komplexní přístup k odolnosti kritických subjektů by každý členský stát měl mít zavedenou strategii pro posílení odolnosti kritických subjektů (dále jen „strategie“). Strategie by měly stanovit strategické cíle a opatření politik, která mají být provedena. V zájmu soudržnosti a účinnosti by strategie měla být navržena tak, aby hladce integrovala stávající politiky, pokud možno na základě příslušných stávajících vnitrostátních a odvětvových strategií, plánů nebo podobných dokumentů. Za účelem dosažení komplexního přístupu by členské státy měly zajistit, aby jejich strategie poskytovaly rámec politik pro lepší koordinaci mezi příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2555 v souvislosti se sdílením informací o kybernetických bezpečnostních rizicích, kybernetických hrozbách a kybernetických incidentech a o jiných než kybernetických rizicích, hrozbách a incidentech a při výkonu úkolů dohledu. Při zavádění svých strategií by členské státy měly náležitě zohlednit hybridní povahu hrozeb pro kritické subjekty.

(14)

Členské státy by měly Komisi sdělit své strategie a jejich významné aktualizace, zejména s cílem umožnit Komisi posoudit správné uplatňování této směrnice, pokud jde o přístupy politik k odolnosti kritických subjektů na vnitrostátní úrovni. Strategie by mohly být v případě potřeby sdělovány jako utajované informace. Komise by měla vypracovat souhrnnou zprávu o strategiích oznámených členskými státy, která by sloužila jako základ pro výměny informací za účelem určení osvědčených postupů a otázek společného zájmu v rámci skupiny pro posílení odolnosti kritických subjektů. Vzhledem k citlivé povaze souhrnných informací obsažených v souhrnné zprávě, ať už utajovaných, či nikoli, by Komise měla spravovat tuto souhrnnou zprávu s náležitou úrovní informovanosti, pokud jde o bezpečnost kritických subjektů, členských států a Unie. Souhrnná zpráva a strategie by měly být chráněny před protiprávním nebo zlovolným jednáním a v zájmu splnění cílů této směrnice by měly být přístupné pouze oprávněným osobám. Sdělení strategií a jejich významných aktualizací by rovněž mělo přispět u Komise k porozumění, pokud jde o vývoj v rámci přístupů k odolnosti kritických subjektů, a k monitorování dopadu a přidané hodnoty této směrnice, kterou má Komise pravidelně přezkoumávat.

(15)

Opatření členských států zaměřená na určení a pomoc při zajišťování odolnosti kritických subjektů by se měla řídit přístupem založeným na analýze rizik, který je zaměřen na subjekty, jež mají nevyšší míru relevantnosti pro výkon nejdůležitějších společenských funkcí nebo hospodářských činností. V zájmu zajištění takového cíleného přístupu by měl každý členský stát v harmonizovaném rámci provést posouzení příslušných přírodních rizik a rizik způsobených člověkem, včetně meziodvětvových nebo přeshraničních rizik, která by mohla poskytování základních služeb ovlivnit, včetně havárií, přírodních katastrof, mimořádných událostí v oblasti veřejného zdraví, jako jsou pandemie, a hybridních hrozeb či jiných antagonistických hrozeb, včetně teroristických trestných činů, pronikání trestné činnosti a sabotáže (dále jen „posouzení rizik členského státu“). Při provádění posouzení rizik členského státu by členské státy měly vzít v úvahu další obecné nebo odvětvové posouzení rizik provedené podle jiných právních aktů Unie a měly by zohlednit, do jaké míry na sobě odvětví závisí, mimo jiné i ve vztahu k odvětvím, jež se nacházejí v jiných členských státech či třetích zemích. Výsledek posouzení rizik členského státu by měl být použit k určování kritických subjektů a pomáhat těmto subjektům při plnění jejich požadavků týkajících se odolnosti. Tato směrnice se vztahuje pouze na členské státy a kritické subjekty, které působí v Unii. Odborné znalosti a poznatky, jež získaly příslušné orgány, zejména díky posouzení rizik, a Komise, zejména prostřednictvím různých forem podpory a spolupráce, by však mohly být ve vhodných případech a v souladu s platnými právními nástroji využity ve prospěch třetích zemí, zejména zemí v přímém sousedství Unie, a to jejich využitím v rámci stávající spolupráce v oblasti odolnosti.

(16)

Aby bylo zajištěno, že požadavky této směrnice týkající se odolnosti se vztahují na všechny příslušné subjekty, a aby se v tomto ohledu omezily rozdíly, je důležité stanovit harmonizovaná pravidla umožňující jednotné určování kritických subjektů v celé Unii, která zároveň umožní členským státům odpovídajícím způsobem zohlednit úlohu a význam těchto subjektů na vnitrostátní úrovni. Při uplatňování kritérií stanovených v této směrnici by každý členský stát měl určit subjekty, které poskytují jednu nebo více základních služeb a které provozují a mají k dispozici kritickou infrastrukturu nacházející se na jeho území. Subjekt by měl být považován za subjekt působící na území členského státu, v němž vykonává činnosti nezbytné pro danou základní službu nebo služby a v němž se nachází kritická infrastruktura tohoto subjektu, která je používána k poskytování dané služby nebo služeb. Pokud v členském státě neexistuje žádný subjekt splňující tato kritéria, neměl by mít tento členský stát povinnost určit kritický subjekt v odpovídajícím odvětví nebo pododvětví. V zájmu účinnosti, účelnosti, soudržnosti a právní jistoty by měla být rovněž stanovena vhodná pravidla pro oznamování subjektům, že byly určeny jakožto kritické subjekty.

(17)

Členské státy by měly předložit Komisi způsobem, který splňuje cíle této směrnice, seznam základních služeb, počet kritických subjektů určených pro každé odvětví a pododvětví, jež jsou stanoveny v příloze, a pro základní službu nebo služby, které každý subjekt poskytuje, a jsou-li uplatňovány, prahové hodnoty. Tyto prahové hodnoty by mohly být uvedeny jako takové nebo v souhrnné podobě, což znamená, že dané informace lze zprůměrovat za určitou zeměpisnou oblast, rok, odvětví, pododvětví, nebo v jiném členění a že mohou zahrnovat informace o škále uvedených ukazatelů.

(18)

Měla by být stanovena kritéria pro určení závažnosti narušení vyvolaného incidentem. Tato kritéria by měla vycházet z kritérií stanovených ve směrnici Evropského parlamentu a Rady (EU) 2016/1148 (6), aby bylo možné využít úsilí vynaloženého členskými státy na určení provozovatelů základních služeb podle uvedené směrnice a zkušeností získaných v tomto ohledu. Závažné krize, jako pandemie COVID-19, ukázaly, jak je důležité zajistit bezpečnost dodavatelského řetězce, a prokázaly, že jeho narušení může mít negativní hospodářské a společenské dopady v řadě odvětví a přes hranice. Členské státy by proto měly při určování míry závislosti jiných odvětví a pododvětví na základní službě poskytované kritickým subjektem v co největším možném rozsahu zvážit dopady na dodavatelský řetězec.

(19)

V souladu s platnými právními předpisy Unie a členských států, včetně nařízení Evropského parlamentu a Rady 2019/452 (7), kterým se stanoví rámec pro prověřování přímých zahraničních investic směřujících do Unie, musí být uznána potenciální hrozba, kterou představuje zahraniční vlastnictví kritických infrastruktur v Unii, neboť na řádném fungování kritické infrastruktury závisí služby, hospodářství a volný pohyb a bezpečnost občanů Unie.

(20)

Směrnice (EU) 2022/2555 vyžaduje, aby subjekty náležející do odvětví digitální infrastruktury, které by mohly být určeny jakožto kritické subjekty podle této směrnice, přijaly vhodná a přiměřená technická, provozní a organizační opatření k řízení bezpečnostních rizik, jimž čelí sítě a informační systémy, jakož i k oznamování závažných incidentů a kybernetických hrozeb. Vzhledem k tomu, že hrozby pro bezpečnost sítí a informačních systémů mohou mít různý původ, uplatňuje směrnice (EU) 2022/2555 přístup zohledňující všechna rizika, který zahrnuje odolnost sítí a informačních systémů, jakož i fyzických součástí a prostředí těchto systémů.

Vzhledem k tomu, že požadavky stanovené ve směrnici (EU) 2022/2555 jsou v tomto ohledu přinejmenším rovnocenné odpovídajícím povinnostem stanoveným touto směrnicí, neměly by se na subjekty náležející do odvětví digitální infrastruktury použít povinnosti stanovené v článku 11 a kapitol III, IV a VI této směrnice, aby se zabránilo zdvojování a zbytečné administrativní zátěži. Vzhledem k významu služeb poskytovaných subjekty náležejícími do odvětví digitální infrastruktury kritickým subjektům náležejícím do všech ostatních odvětví by však členské státy měly na základě kritérií a obdobně s použitím postupu stanoveného v této směrnici určit subjekty náležející do odvětví digitální infrastruktury jakožto kritické subjekty. Měly by se tudíž uplatňovat strategie, posouzení rizik členského státu a podpůrná opatření uvedená v kapitole II této směrnice. Členské státy by měly mít možnost přijmout nebo ponechat v platnosti ustanovení vnitrostátního práva s cílem dosáhnout vyšší úrovně odolnosti těchto kritických subjektů za předpokladu, že jsou tyto předpisy v souladu s platným právem Unie.

(21)

Právní předpisy Unie pro finanční služby stanoví komplexní požadavky na finanční subjekty, a to za účelem řešení všech rizik, jimž čelí, včetně provozních rizik a zajištění kontinuity činnosti. Tyto právní předpisy zahrnují nařízení Evropského parlamentu a Rady (EU) č. 648/2012 (8), (EU) č. 575/213 (9) a (EU) č. 600/2014 (10) a směrnice Evropského parlamentu a Rady 2013/36/EU (11) a 2014/65/EU (12). Uvedený právní rámec je doplněn nařízením Evropského parlamentu a Rady (EU) 2022/2554.. (13), které stanoví požadavky na finanční subjekty za účelem řízení rizik v oblasti informačních a komunikačních technologií (dále jen „IKT“), včetně ochrany fyzické infrastruktury IKT. Vzhledem k tomu, že odolnost uvedených subjektů je tudíž upravena komplexně, článek 11 a kapitoly III, IV a VI této směrnice by se na tyto subjekty neměly vztahovat, aby se zabránilo zdvojování a zbytečné administrativní zátěži.

Vzhledem k významu služeb poskytovaných subjekty ve finančním odvětví kritickým subjektům náležejícím do všech ostatních odvětví by však členské státy měly na základě kritérií a s použitím postupu stanoveného v této směrnici určit subjekty ve finančním odvětví jakožto kritické subjekty. Měly by se tudíž uplatňovat strategie, posouzení rizik členských států a podpůrná opatření podle kapitoly II této směrnice. Členské státy by měly mít možnost přijmout nebo ponechat v platnosti ustanovení vnitrostátního práva s cílem dosáhnout vyšší úrovně odolnosti těchto kritických subjektů za předpokladu, že jsou tyto předpisy v souladu s platným právem Unie.

(22)

Členské státy by měly určit nebo zřídit orgány příslušné k dohledu nad uplatňováním této směrnice a v případě nutnosti k prosazování jejích pravidel a zajistit, aby tyto orgány měly odpovídající zmocnění a zdroje. S ohledem na rozdíly ve vnitrostátních řídících strukturách, v zájmu ochrany existujících odvětvových ujednání nebo kontrolních a regulačních orgánů Unie a za účelem zamezení zdvojování by členské státy měly mít možnost určit nebo zřídit více než jeden příslušný orgán. Pokud členské státy určí nebo zřídí více než jeden příslušný orgán, měly by jasně vymezit příslušné úkoly dotčených orgánů a zajistit jejich hladkou a účinnou spolupráci. Všechny příslušné orgány by rovněž měly obecněji spolupracovat s dalšími příslušnými orgány, a to na unijní i vnitrostátní úrovni.

(23)

Aby se usnadnila přeshraniční spolupráce a komunikace a umožnilo se účinné provádění této směrnice, měl by každý členský stát, aniž by byly dotčeny požadavky odvětvových právních aktů Unie, určit v relevantních případech v rámci příslušného orgánu jedno jednotné kontaktní místo odpovědné za koordinaci záležitostí souvisejících s odolností kritických subjektů a přeshraniční spoluprací v tomto ohledu na úrovni Unie (dále jen „jednotné kontaktní místo“). Každé jednotné kontaktní místo by mělo udržovat styky a koordinovat případnou komunikaci s příslušnými orgány svého členského státu, s jednotnými kontaktními místy ostatních členských států a se skupinou pro odolnost kritických subjektů.

(24)

Příslušné orgány podle této směrnice a příslušné orgány podle směrnice (EU) 2022/2555 by měly spolupracovat a vyměňovat si informace ohledně kybernetických bezpečnostních rizik, kybernetických hrozeb a kybernetických incidentů a jiných než kybernetických rizik, hrozeb a incidentů, jež mají vliv na kritické subjekty, jakož i ohledně relevantních opatřeních přijatých příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2555Je důležité, aby členské státy zajistily, že požadavky stanovené v této směrnici a ve směrnici (EU) 2022/2555 budou prováděny doplňkovým způsobem a že kritické subjekty nebudou vystaveny administrativní zátěži nad rámec toho, co je nezbytné pro dosažení cílů podle této směrnice a podle uvedené směrnice.

(25)

Členské státy by měly podporovat kritické subjekty, včetně těch, které byly zařazeny do kategorie malých nebo středních podniků, v posilování vlastní odolnosti, v souladu s povinnostmi členských států stanovenými v této směrnici, aniž je dotčena vlastní právní odpovědnost kritických subjektů za zajištění tohoto dodržování, a zároveň předcházet nadměrné administrativní zátěži. Členské státy by mohly vypracovat zejména manuály a metodiky, podporovat organizování cvičení sloužícího k otestování odolnosti kritických subjektů a pracovníkům kritických subjektů poskytovat poradenství a školení. Je-li to nezbytné a odůvodněné cíli veřejného zájmu, mohly by členské státy poskytnout finanční zdroje a měly by usnadnit dobrovolné sdílení informací a výměnu osvědčených postupů mezi kritickými subjekty, aniž je dotčeno uplatňování pravidel hospodářské soutěže stanovených ve Smlouvě o fungování Evropské unie (dále jen „Smlouva o fungování EU“).

(26)

S cílem posílit odolnost kritických subjektů určených členskými státy a snížit administrativní zátěž těchto kritických subjektů by příslušné orgány měly ve vhodných případech vést vzájemné konzultace za účelem zajištění jednotného uplatňování této směrnice. Tyto konzultace by měly být zahájeny na žádost kteréhokoli zúčastněného příslušného orgánu a měly by se zaměřit na zajištění konvergentního přístupu, pokud jde o vzájemně propojené kritické subjekty, které využívají kritickou infrastrukturu, jež je fyzicky propojena mezi dvěma nebo více členskými státy, které patří do stejných skupin nebo podnikových struktur, nebo které byly určeny v jednom členském státě a poskytují základní služby do jiných členských států nebo v jiných členských státech.

(27)

Pokud ustanovení vnitrostátního nebo unijního práva vyžadují, aby kritické subjekty posoudily rizika relevantní pro účely této směrnice a přijaly opatření k zajištění své odolnosti, měly by být uvedené požadavky odpovídajícím způsobem zohledněny pro účel dohledu nad dodržováním ustanovení této směrnice ze strany kritických subjektů.

(28)

Kritické subjekty by měly mít komplexní povědomí o všech příslušných rizicích, jimž jsou vystavovány, a povinnost tato rizika analyzovat. Za tímto účelem by měly provádět posouzení rizik, kdykoli je to nutné s ohledem na jejich konkrétní situaci a vývoj těchto rizik, a každopádně každé čtyři roky s cílem posoudit všechna relevantní rizika, která by mohla narušit poskytování jejich základních služeb (dále jen „posouzení rizik kritického subjektu“). Pokud kritické subjekty provedly jiná posouzení rizik nebo vypracovaly dokumenty podle povinností stanovených v jiných právních předpisech, které jsou relevantní pro jejich posouzení rizik kritického subjektu, měly by mít možnost tato posouzení a dokumenty použít ke splnění požadavků stanovených v této směrnici týkajících se posouzení rizik kritického subjektu. Za stejným účelem by měl mít příslušný orgán možnost prohlásit, že stávající posouzení rizik provedené kritickým subjektem, které se zabývá relevantními riziky a relevantním rozsahem závislostí, zcela nebo zčásti splňuje povinnosti stanovené v této směrnici.

(29)

Kritické subjekty by měly přijmout technická, bezpečnostní a organizační opatření, která jsou vhodná a přiměřená rizikům, jimž čelí, aby předcházely incidentům, chránily se před nimi, reagovaly na ně, odolávaly jim, zmírňovaly je, absorbovaly je, přizpůsobily se jim a zotavily se z nich. Přestože by kritické subjekty měly přijmout uvedená opatření v souladu s touto směrnicí, podrobnosti a rozsah takových opatření by měly vhodným a přiměřeným způsobem odrážet různá rizika, která každý kritický subjekt zjistil v rámci svého posouzení rizik kritického subjektu, a zvláštnosti tohoto subjektu. Na podporu soudržného unijního přístupu by Komise měla po konzultaci se skupinou pro odolnost kritických subjektů přijmout nezávazné pokyny k dalšímu upřesnění těchto technických, bezpečnostních a organizačních opatření. Členské státy by měly zajistit, aby každý kritický subjekt určil styčnou osobu nebo jiný ekvivalent pro účely kontaktu s příslušnými orgány.

(30)

V zájmu účinnosti a odpovědnosti by kritické subjekty měly opatření, která přijímají, popsat v plánu odolnosti nebo v dokumentu či dokumentech, které jsou rovnocenné plánu odolnosti, a to dostatečně podrobně a s ohledem na zjištěná rizika, aby bylo možné cílů účinnosti a odpovědnosti dosáhnout a tento plán uplatnit v praxi. Pokud kritický subjekt již přijal technická, bezpečnostní a organizační opatření a vypracoval dokumenty podle jiných právních předpisů, které jsou relevantní pro opatření na posílení odolnosti podle této směrnice, měl by mít možnost tato opatření a dokumenty použít ke splnění požadavků týkajících se opatření k zajištění odolnosti podle této směrnice s cílem zabránit zbytečnému zdvojování činností. S cílem zabránit zbytečnému zdvojování činnosti by měl mít příslušný orgán možnost prohlásit, že stávající opatření, která kritický subjekt přijal za účelem splnění své povinnosti přijmout technická, bezpečnostní a organizační opatření podle této směrnice, zcela nebo zčásti splňují požadavky této směrnice.

(31)

Nařízení Evropského parlamentu a Rady (ES) č. 725/2004 (14) a (ES) č. 300/2008 (15) a směrnice Evropského parlamentu a Rady 2005/65/ES (16) stanoví požadavky použitelné na subjekty v odvětví letectví a námořní dopravy za účelem předcházení incidentům způsobeným protiprávními činy a odolávání a zmírňování následků těchto incidentů. Opatření požadovaná podle této směrnice jsou sice širší, pokud jde o řešená rizika a typy opatření, která mají být přijata, ale kritické subjekty v těchto odvětvích by měly ve svém plánu odolnosti nebo v rovnocenných dokumentech zohlednit opatření přijatá na základě těchto jiných právních aktů Unie. Kritické subjekty by měly zohlednit směrnici Evropského parlamentu a Rady 2008/96/ES (17), která zavádí posouzení silniční sítě jako celku za účelem zmapování nebezpečí nehod a cílené kontroly bezpečnosti silničního provozu, jež umožní po prohlídkách stávajících silnic nebo úseků silnic provedených na místě identifikovat nebezpečné podmínky, závady a problémy, jež zvyšují riziko nehod a zranění. Zajištění ochrany a odolnosti kritických subjektů je nanejvýš důležité pro železniční dopravu a kritické subjekty jsou při provádění opatření na posílení odolnosti podle této směrnice vybízeny, aby konzultovaly nezávazné pokyny a dokumenty s osvědčenými postupy vypracované v rámci odvětvových pracovních postupů, jako je platforma EU pro bezpečnost cestujících v železniční dopravě zřízená rozhodnutím Komise 2018/C 232/03 (18).

(32)

Riziko, že zaměstnanci kritických subjektů nebo jejich dodavatelé zneužijí například svá přístupová práva v rámci organizace kritického subjektu k poškození a způsobení škody, vzbuzuje stále větší obavy. Členské státy by proto měly upřesnit podmínky, podle nichž je kritickým subjektům umožněno v řádně odůvodněných případech a s přihlédnutím k posouzení rizik členského státu podávat žádosti o ověření spolehlivosti u osob, které spadají do určitých kategorií jejich pracovníků. Mělo by se zajistit, aby příslušné orgány posuzovaly tyto žádosti v přiměřeném časovém rámci a vyřizovaly je v souladu s vnitrostátním právem a postupy, jakož i v souladu s relevantním a platným právem Unie, včetně předpisů v oblasti ochrany osobních údajů. Za účelem potvrzení totožnosti osoby, která podléhá ověření spolehlivosti, je vhodné, aby členské státy vyžadovaly doklad totožnosti, jako je cestovní pas, vnitrostátní průkaz totožnosti nebo digitální způsob identifikace, v souladu s platným právem.

Ověření spolehlivosti by měla rovněž zahrnovat kontrolu rejstříku trestů dotčené osoby. K získání informací z rejstříků trestů vedených jinými členskými státy by členské státy měly použít Evropský informační systém rejstříků trestů v souladu s postupy stanovenými v rámcovém rozhodnutí Rady 2009/315/SVV (19) a v příslušných situacích případně v nařízení Evropského parlamentu a Rady (EU) 2019/816 (20). Členské státy by rovněž mohly, je-li to relevantní a použitelné, využívat Schengenský informační systém druhé generace (SIS II) zřízený nařízením Evropského parlamentu a Rady (EU) 2018/1862 (21), zpravodajské informace a jakékoli další dostupné objektivní informace, které by mohly být nezbytné k určení vhodnosti dotčené osoby pro práci v pozici, v souvislosti s níž kritický subjekt požádal o ověření spolehlivosti.

(33)

Měl by být zaveden mechanismus pro oznamování určitých incidentů, který by příslušným orgánům umožnil na incidenty reagovat rychle a odpovídajícím způsobem a mít komplexní přehled o dopadu, povaze, příčinách a možných důsledcích incidentů, které kritické subjekty řeší. Kritické subjekty by měly bez zbytečného odkladu oznamovat příslušným orgánům incidenty, které významně narušují nebo mohou významně narušit poskytování základních služeb. V případě, že toho nejsou z důvodu řešení incidentu schopny, měly by kritické subjekty předložit prvotní oznámení nejpozději 24 hodin poté, co se o incidentu dozvěděly. Prvotní oznámení by mělo obsahovat pouze informace, které jsou zcela nezbytné k vyrozumění příslušného orgánu o incidentu, a které kritickému subjektu umožňují v případě potřeby požádat o pomoc. Toto oznámení by mělo uvádět předpokládanou příčinu incidentu, je-li to v daném případě možné. Členské státy by měly zajistit, aby požadavek na předložení tohoto prvotního oznámení neodváděl zdroje kritického subjektu od činností souvisejících s řešením incidentu, které by měly mít přednost. Je-li to relevantní, měla by po prvotním oznámení následovat podrobná zpráva, a to nejpozději jeden měsíc po incidentu. Podrobná zpráva by měla doplnit prvotní oznámení a poskytnout úplnější přehled o incidentu.

(34)

Standardizace by se měla řídit především tržními potřebami. Nicméně mohou nastat situace, kdy je vhodné používat specifické standardy. Členské státy by měly tam, kde je to užitečné, podporovat užívání evropských a mezinárodní standardů, norem a technických specifikací relevantních pro opatření v oblasti bezpečnosti a odolnosti, která jsou použitelná pro kritické subjekty.

(35)

Zatímco kritické subjekty obecně působí jako součást stále více propojené sítě v oblasti poskytování služeb a infrastruktury a často poskytují základní služby ve více než jednom členském státě, některé z těchto kritických subjektů mají pro Unii a její vnitřní trh zvláštní význam, protože poskytují základní služby v šesti nebo více členských státech nebo do těchto států, a mohly by proto získat zvláštní podporu na úrovni Unie. Pro tyto kritické subjekty zvláštního evropského významu by proto měla být stanovena pravidla pro poradní mise. Těmito pravidly nejsou dotčena pravidla pro dohled a vymáhání stanovená v této směrnici.

(36)

Na základě odůvodněné žádosti Komise nebo jednoho nebo více členských států, jimž nebo v nichž je poskytována základní služba, pokud jsou nezbytné další informace za účelem poskytnutí poradenství kritickému subjektu v rámci plnění jeho povinností podle této směrnice nebo posouzení dodržování těchto povinností kritickým subjektem zvláštního evropského významu, členský stát, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt, by měl poskytnout Komisi určité informace podle této směrnice. Se souhlasem členského státu, který určil kritický subjekt zvláštního evropského významu jakožto kritický subjekt, by Komise měla mít možnost zorganizovat poradní misi s cílem posoudit opatření zavedená tímto subjektem. Aby byl zajištěn řádný průběh těchto poradních misí, měla by být stanovena doplňková pravidla, týkající se zejména organizování a průběhu poradních misí, následných opatření a povinností dotčených kritických subjektů zvláštního evropského významu. Aniž je dotčena potřeba, aby členský stát, v němž je poradní mise zorganizována, a dotčený kritický subjekt dodržovaly pravidla stanovená v této směrnici, měla by se poradní mise řídit právními předpisy daného členského státu, například o přesných podmínkách, které je třeba splnit za účelem získání přístupu do relevantních prostor nebo k dokumentům, a o prostředcích soudní nápravy. Konkrétní odborné znalosti potřebné pro tyto poradní mise by mohly být případně vyžádány prostřednictvím Střediska pro koordinaci odezvy na mimořádné události zřízeného rozhodnutím Evropského parlamentu a Rady č. 1313/2013/EU (22).

(37)

S cílem podpořit Komisi a usnadnit spolupráci mezi členskými státy a výměnu informací, včetně osvědčených postupů, ohledně otázek týkajících se této směrnice, by měla být zřízena skupina pro odolnost kritických subjektů jakožto expertní skupina Komise. Členské státy by se měly ve skupině pro odolnost kritických subjektů snažit zajistit účinnou a účelnou spolupráci určených zástupců svých příslušných orgánů, mimo jiné tím, že do ní jmenují zástupce, kteří mají v případě potřeby bezpečnostní prověrku. Skupina pro odolnost kritických subjektů by měla začít plnit své úkoly co nejdříve, aby poskytla další prostředky pro vhodnou spolupráci během období provádění této směrnice. Skupina pro odolnost kritických subjektů by měla spolupracovat s dalšími relevantními odvětvovými odbornými pracovními skupinami.

(38)

Skupina pro odolnost kritických subjektů by měla spolupracovat se skupinou pro spolupráci zřízenou podle směrnice (EU) 2022/2555 s cílem podpořit komplexní rámec pro kybernetickou a jinou než kybernetickou odolnost kritických subjektů. Skupina pro odolnost kritických subjektů a skupina pro spolupráci zřízená podle směrnice (EU) 2022/2555 by měly vést pravidelný dialog s cílem podpořit spolupráci mezi příslušnými orgány podle této směrnice a příslušnými orgány podle směrnice (EU) 2022/2555 a usnadnit výměnu informací, zejména pokud jde o témata týkající se obou skupin.

(39)

Za účelem dosažení cílů této směrnice, a aniž je dotčena právní odpovědnost členských států a kritických subjektů za zajištění dodržování jejich příslušných povinností stanovených v této směrnici, by měla Komise, pokud to považuje za vhodné, podporovat příslušné orgány a kritické subjekty s cílem usnadnit jim dodržování jejich příslušných povinností. Při poskytování podpory členským státům a kritickým subjektům při plnění povinností podle této směrnice by Komise měla stavět na stávajících strukturách a nástrojích, například v rámci mechanismu civilní ochrany Unie zřízeného rozhodnutím č. 1313/2013/EU a Evropské referenční sítě pro ochranu kritické infrastruktury. Kromě toho by měla informovat členské státy o zdrojích, které jsou k dispozici na úrovni Unie, například v rámci Fondu pro vnitřní bezpečnost zřízeného nařízením Evropského parlamentu a Rady (EU) 2021/1149 (23), programu Horizont Evropa zavedeného nařízením Evropského parlamentu a Rady (EU) 2021/695 (24) nebo jiných nástrojů relevantních pro odolnost kritických subjektů.

(40)

Členské státy by měly zajistit, aby jejich příslušné orgány měly ve vztahu ke kritickým subjektům určité zvláštní pravomoci pro řádné uplatňování a prosazování této směrnice, pokud tyto subjekty spadají do jejich působnosti stanovené v této směrnici. Mezi tyto pravomoci by měla patřit zejména pravomoc provádět inspekce, audity, pravomoc vykonávat dohled, pravomoc vyžadovat, aby kritické subjekty poskytly informace a důkazy o opatřeních, která přijaly za účelem splnění svých povinností, a v případě potřeby pravomoc vydávat příkazy k nápravě zjištěných porušení těchto povinností. Při vydávání těchto příkazů by členské státy neměly vyžadovat opatření, která jdou nad rámec toho, co je nezbytné a přiměřené k zajištění toho, aby dotčený kritický subjekt dodržoval pravidla uvedená v této směrnici, přičemž vezmou v úvahu zejména závažnost porušení a ekonomické možnosti dotčeného kritického subjektu. Obecněji by tyto pravomoci měly být doprovázeny vhodnými a účinnými zárukami, které budou upřesněny ve vnitrostátním právu v souladu s Listinou základních práv Evropské unie. Při posuzování dodržování povinností kritického subjektu stanovených v této směrnici by příslušné orgány podle této směrnice měly mít možnost požádat příslušné orgány podle směrnice (EU) 2022/2555, aby vůči subjektu podle uvedené směrnice, který byl rovněž určen jakožto kritický subjekt podle této směrnice, vykonávaly své pravomoci v oblasti dohledu a vymáhání. Příslušné orgány podle této směrnice a příslušné orgány podle směrnice (EU) 2022/2555 by za tímto účelem měly spolupracovat a vyměňovat si informace.

(41)

Za účelem účinného a jednotného uplatňování této směrnice by měla být na Komisi přenesena pravomoc přijímat akty v souladu s článkem 290 Smlouvy o fungování EU s cílem doplnit tuto směrnici vypracováním seznamu základních služeb. Tento seznam by měly příslušné orgány používat pro účely provádění posouzení rizik členského státu a pro určení kritických subjektů podle této směrnice. S ohledem na přístup spočívající v minimální harmonizaci, který je uplatňován v této směrnici, je tento seznam demonstrativní a členské státy by jej mohly doplnit o další základní služby na vnitrostátní úrovni s cílem zohlednit vnitrostátní specifika při poskytování základních služeb. Je obzvláště důležité, aby Komise v rámci přípravné činnosti vedla odpovídající konzultace, a to i na odborné úrovni, a aby tyto konzultace probíhaly v souladu se zásadami stanovenými v interinstitucionální dohodě ze dne 13. dubna 2016 o zdokonalení tvorby právních předpisů (25). Pro zajištění rovné účasti na vypracovávání aktů v přenesené pravomoci obdrží Evropský parlament a Rada veškeré dokumenty současně s odborníky z členských států a jejich odborníci mají automaticky přístup na setkání skupin odborníků Komise, jež se věnují přípravě aktů v přenesené pravomoci.

(42)

V zájmu zajištění jednotných podmínek provádění této směrnice by měly být Komisi svěřeny prováděcí pravomoci. Tyto pravomoci by měly být vykonávány v souladu s nařízením Evropského parlamentu a Rady (EU) č. 182/2011 (26).

(43)

Jelikož cílů této směrnice, totiž zajistit, aby služby nezbytné pro zachování nejdůležitějších společenských funkcí nebo hospodářských činností byly na vnitřním trhu poskytovány bez narušení a aby byla posílena odolnost kritických subjektů poskytujících tyto služby, nemůže být uspokojivě dosaženo členskými státy, ale spíše jich z důvodu účinků této směrnice může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku 5 nepřekračuje tato směrnice rámec toho, co je nezbytné pro dosažení těchto cílů.

(44)

Evropský inspektor ochrany údajů byl konzultován v souladu s čl. 42 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (27) a vydal své stanovisko dne 11. srpna 2021.

(45)

Směrnice 2008/114/ES by proto měla být zrušena,