Artykuł 15 Zgłaszanie incydentów

1.   Państwa członkowskie zapewniają, aby podmioty krytyczne bez zbędnej zwłoki zgłaszały właściwemu organowi incydenty, które istotnie zakłócają lub mogą istotnie zakłócać świadczenie usług kluczowych. Państwa członkowskie zapewniają, aby podmioty krytyczne dokonały, chyba że jest to niemożliwe z operacyjnego punktu widzenia, zgłoszenia wstępnego –nie później niż 24 godziny od chwili uzyskania wiedzy o zaistnieniu incydentu, a następnie, w stosownych przypadkach, przedłożyły szczegółowe sprawozdanie w terminie nie dłuższym niż jeden miesiąc od zaistnienia incydentu. W celu określenia wagi zakłócenia uwzględnia się w szczególności następujące parametry:

W przypadku gdy incydent ma lub może mieć znaczący wpływ na ciągłość świadczenia usług kluczowych na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach członkowskich, właściwe organy państw członkowskich, których incydent ten dotyczy, powiadamiają o tym incydencie Komisję.

2.   Zgłoszenia, o których mowa w ust. 1 akapit pierwszy, muszą zawierać wszelkie dostępne informacje, których właściwy organ potrzebuje, aby zrozumieć charakter, przyczynę i ewentualne konsekwencje incydentu, w tym wszelkie dostępne informacje niezbędne do ustalenia, czy dany incydent ma wpływ transgraniczny. Zgłoszenia takie nie mogą narażać podmiotów krytycznych na zwiększoną odpowiedzialność.

3.   Na podstawie informacji przekazanych przez podmiot krytyczny w zgłoszeniu, o którym mowa w ust. 1, odpowiedni właściwy organ – za pośrednictwem pojedynczego punktu kontaktowego – informuje o tym incydencie pojedynczy punkt kontaktowy innego państwa członkowskiego, którego dotyczy incydent, jeżeli incydent ma lub może mieć istotny wpływ na podmioty krytyczne oraz na ciągłość świadczenia usług kluczowych na rzecz co najmniej jednego innego państwa członkowskiego lub w co najmniej jednym innym państwie członkowskim.

Pojedyncze punkty kontaktowe wysyłając i otrzymując informacje zgodnie z akapitem pierwszym traktują te informacje w sposób zapewniający zachowanie ich poufności zgodnie z prawem Unii lub prawem krajowym, chroniąc tym samym bezpieczeństwo i interesy handlowe danego podmiotu krytycznego.

4.   Jak najszybciej po otrzymaniu zgłoszenia, o którym mowa w ust. 1, zainteresowany właściwy organ przekazuje zainteresowanemu podmiotowi krytycznemu odpowiednie informacje zwrotne, w tym informacje, które mogą pomóc podmiotowi krytycznemu w skutecznej odpowiedzi na dany incydent. Państwa członkowskie informują opinię publiczną, jeżeli stwierdzą, że leży to w interesie publicznym.