1. De Commissie is bevoegd uiterlijk op 17 november 2023 overeenkomstig artikel 23 een gedelegeerde handeling vast te stellen om deze richtlijn aan te vullen met een niet-uitputtende lijst van essentiële diensten in de in de bijlage genoemde sectoren en deelsectoren. De bevoegde autoriteiten voeren uiterlijk op 17 januari 2026 en vervolgens wanneer dat nodig is en ten minste om de vier jaar, een risicobeoordeling (“lidstaat-risicobeoordeling”) uit, waarbij ze gebruikmaken van die lijst van essentiële diensten. De bevoegde autoriteiten gebruiken lidstaat-risicobeoordelingen om kritieke entiteiten te identificeren overeenkomstig artikel 6 en die kritieke entiteiten te assisteren bij het nemen van maatregelen op grond van artikel 13.
In lidstaat-risicobeoordelingen wordt rekening gehouden met relevante natuurlijke en door de mens veroorzaakte risico's, met inbegrip van intersectorale of grensoverschrijdende risico's, ongevallen, natuurrampen, noodsituaties op het gebied van de volksgezondheid en hybride dreigingen of andere antagonistische dreigingen, waaronder terroristische misdrijven als voorzien in Richtlijn (EU) 2017/541 van het Europees Parlement en de Raad (32).