1. Komisja jest uprawniona do przyjęcia aktu delegowanego zgodnie z art. 23 do dnia 17 listopada 2023 r. w celu uzupełnienia niniejszej dyrektywy przez ustanowienie niewyczerpującego wykazu usług kluczowych w sektorach i podsektorach, określonych w załączniku. Właściwe organy wykorzystują ten wykaz usług kluczowych do celu przeprowadzenia oceny ryzyka (zwanej dalej „oceną ryzyka państwa członkowskiego”) do dnia 17 stycznia 2026 r., a następnie w razie potrzeby, co najmniej raz na cztery lata. Właściwe organy wykorzystują oceny ryzyka państw członkowskich do celów identyfikacji podmiotów krytycznych zgodnie z art. 6 i udzielania pomocy tym podmiotom krytycznym we wprowadzaniu środków zgodnie z art. 13.
Oceny ryzyka państw członkowskich muszą uwzględniać istotne czynniki ryzyka, naturalne i spowodowane przez człowieka, w tym zagrożenia mające charakter międzysektorowy i transgraniczny, wypadki, klęski żywiołowe, stany zagrożenia zdrowia publicznego i zagrożenia hybrydowe lub inne zagrożenia związane z konfliktem, w tym przestępstwa terrorystyczne przewidziane w dyrektywie Parlamentu Europejskiego i Rady (UE) 2017/541 (32).