Директива Європейського Парламенту і Ради (ЄС) 2022/2557 від 14 грудня 2022 року про стійкість критично важливих суб'єктів та скасування Директиви Ради 2008/114/ЄС

27.12.2022

UA

Офіційний вісник Європейського Союзу

L 333/164

(До Кластеру 1. Основи процесу вступу до ЄС

Розділ 24. Юстиція, свобода та безпека)

ДИРЕКТИВА ЄВРОПЕЙСЬКОГО ПАРЛАМЕНТУ І РАДИ (ЄС) 2022/2557

від 14 грудня 2022 року

про стійкість критично важливих суб'єктів та скасування Директиви Ради 2008/114/ЄС

(Текст стосується ЄЕП)

ЄВРОПЕЙСЬКИЙ ПАРЛАМЕНТ І РАДА ЄВРОПЕЙСЬКОГО СОЮЗУ,

Беручи до уваги Договір про функціонування Європейського Союзу, зокрема його статтю 114,

Беручи до уваги пропозицію Європейської Комісії,

Після передачі проєкту законодавчого акта національним парламентам,

Беручи до уваги висновок Європейського економічно-соціального комітету (1),

Беручи до уваги висновок Комітету регіонів (2),

Діючи згідно зі звичайною законодавчою процедурою (3),

Оскільки:

(1) Критично важливі суб'єкти, як-от надавачі основних послуг, відіграють невід'ємну роль у підтриманні життєво важливих суспільних функцій або економічній діяльності на внутрішньому ринку в економіці Союзу, яка стає дедалі більш взаємозалежною. Тому принципово важливо створити рамку Союзу з метою як посилення стійкості критично важливих суб'єктів на внутрішньому ринку шляхом установлення гармонізованих мінімальних правил, так і надання їм допомоги у формі послідовних і цільових заходів із підтримки та нагляду.

(2) Директива Ради 2008/114/ЄС (4) передбачає процедуру призначення європейської критичної інфраструктури в енергетичному і транспортному секторах, порушення роботи або знищення якої матиме значний транскордонний вплив на принаймні дві держави-члени. Зазначена директива зосереджена виключно на захисті такої інфраструктури. Однак оцінювання Директиви 2008/114/ЄС, проведене у 2019 році, показало, що з огляду на дедалі більше взаємопов'язаний і транскордонний характер операцій з використанням критичної інфраструктури самі лише захисні заходи стосовно окремих активів є недостатніми для запобігання всім порушенням. Тому чином, необхідно переорієнтувати підхід на забезпечення кращого врахування ризиків, кращого визначення й узгодження ролей та зобов'язань критично важливих суб'єктів як надавачів послуг, які є принципово важливими для функціонування внутрішнього ринку, а також ухвалення правил Союзу з метою посилення стійкості критично важливих суб'єктів. Критично важливі суб'єкти повинні бути спроможними посилювати свою здатність запобігати інцидентам, що можуть порушити надання основних послуг, захищати від них, реагувати на них, протистояти їм, пом'якшувати їхні наслідки, сприймати їх, адаптуватися до них або відновлюватися від них.

(3) Хоча низка заходів на рівні ЄС, як-то Європейська програма захисту критичної інфраструктури, та на національному рівні спрямовані на підтримку захисту критичної інфраструктури в Союзі, слід докласти більше зусиль, щоб краще підготувати суб'єкти, які експлуатують таку інфраструктуру, до подолання ризиків для їхньої діяльності, які можуть призвести до порушення надання основних послуг. Слід також докласти більше зусиль для кращого оснащення таких суб'єктів, оскільки ландшафт загроз є динамічним і демонструє еволюцію гібридних і терористичних загроз, а також зростання взаємозалежності між інфраструктурою і секторами. Крім того, зростає фізичний ризик через стихійні лиха та зміну клімату, що збільшує частоту та масштаби екстремальних погодних явищ і призводить до довгострокових змін середніх кліматичних умов, які можуть призвести до зменшення пропускної спроможності, ефективності та строку експлуатації певних видів інфраструктури, якщо не запровадити заходів із адаптації до клімату. Крім того, внутрішній ринок характеризує фрагментарність щодо визначення критично важливих суб'єктів, оскільки відповідні сектори та категорії суб'єктів не в усіх державах-членах послідовно визнані критично важливими. Отже, ця Директива повинна досягти високого рівня гармонізації секторів і категорій суб'єктів, які належить до сфери її застосування.

(4) Хоча певні сектори економіки, як-то енергетика та транспорт, уже врегульовано секторальними правовими актами Союзу, такі правові акти містять положення, які стосуються лише окремих аспектів стійкості суб'єктів, що працюють у цих секторах. З метою комплексного розв'язання питання стійкості тих суб'єктів, які є критично важливими для належного функціонування внутрішнього ринку, ця Директива створює всеосяжну рамку, що врегульовує питання стійкості критично важливих суб'єктів до всіх загроз: як природних, так і антропогенних - випадкових або навмисних.

(5) Зростання взаємозалежності між інфраструктурою та секторами є результатом дедалі більш транскордонної та взаємозалежної мережі надання послуг із використанням ключової інфраструктури у всьому Союзі в секторах енергетики, транспорту, банківської справи, постачання питної води, водовідведення, виробництва, перероблення та розподілу харчових продуктів, охорони здоров'я, космосу, інфраструктури фінансового ринку й цифрової інфраструктури, а також у деяких аспектах сектора публічного адміністрування. Космічний сектор належить до сфери застосування цієї Директиви щодо надання певних послуг, які залежать від наземної інфраструктури, що перебуває у власності, під управлінням та в експлуатації або держав-членів, або приватних сторін; тобто інфраструктура, що перебуває у власності, під управлінням і в експлуатації Союзу або від його імені як частина його космічної програми, не належить до сфери застосування цієї Директиви.

Щодо енергетичного сектора та, зокрема, методів виробництва й передавання електроенергії (стосовно постачання електроенергії), існує розуміння того, що, у разі доцільності, виробництво електроенергії може включати електропередавальні частини атомних електростанцій, але виключає безпосередньо ядерні елементи, на які поширено дію договорів і права Союзу, включно з відповідними правовими актами Союзу, що стосуються атомної енергетики. Процес визначення критично важливих суб'єктів у продовольчому секторі повинен адекватно відображати характер внутрішнього ринку в цьому секторі та широкі правила Союзу, що стосуються загальних принципів і вимог харчового права та безпечності харчових продуктів. Тобто для забезпечення пропорційного підходу та адекватного відображення ролі й важливості таких суб'єктів на національному рівні, критично важливими суб'єктами повинні бути визначені серед суб'єктів господарювання, чия діяльність пов'язана з харчовими продуктами, незалежно від того, чи є вони прибутковими, публічними чи приватними, лише ті, що займаються виключно логістикою та гуртовою торгівлею, а також масштабним промисловим виробництвом і переробленням та мають значну частку ринку, яку спостерігають на національному рівні. Така взаємозалежність означає, що будь-яке порушення в наданні основних послуг, навіть таке, що спочатку обмежене одним суб'єктом або одним сектором, може мати каскадні наслідки в ширшому масштабі, що потенційно може призвести до далекосяжного й довгострокового негативного впливу на надання послуг на всьому внутрішньому ринку. Великі кризи, як-то пандемія COVID-19, продемонстрували вразливість наших дедалі більш взаємозалежних суспільств до потужних малоймовірних ризиків.

(6) До суб'єктів, які беруть участь у наданні основних послуг, дедалі частіше висувають різні вимоги, передбачені національним правом. Той факт, що деякі держави-члени мають менш суворі вимоги щодо безпеки таких суб'єктів, не тільки призводить до різних рівнів стійкості, але й створює ризик негативного впливу на підтримку життєво важливих суспільних функцій або економічної діяльності у всьому Союзі, а також призводить до перешкод для належного функціонування внутрішнього ринку. Інвестори та компанії можуть покладатися на критично важливі суб'єкти, які є стійкими, і довіряти їм, а надійність і довіра є наріжними каменями належного функціонування внутрішнього ринку. Подібні типи суб'єктів вважають критично важливими в одних державах-членах, але не в інших, а до тих, що визначені критично важливими, в різних державах-членах висувають різні вимоги. Це призводить до додаткового й непотрібного адміністративного тягаря для компаній, що здійснюють транскордонну діяльність, зокрема для компаній, що працюють у державах-членах із суворішими вимогами. Отже, рамки Союзу також матимуть ефект вирівнювання правил гри для критично важливих суб'єктів у всьому Союзі.

(7) Необхідно встановити гармонізовані мінімальні правила, щоб забезпечити надання основних послуг на внутрішньому ринку, посилити стійкість критично важливих суб'єктів та покращити транскордонну співпрацю між компетентними органами. Важливо, щоб такі правила були розраховані на майбутнє з погляду їх розробки та впровадження, а також передбачали необхідну гнучкість. Також вкрай важливо підвищити спроможність критично важливих суб'єктів надавати основні послуги в умовах різноманітних ризиків.

(8) Щоб досягти високого рівня стійкості, держави-члени повинні визначити критично важливі суб'єкти, до яких застосовуватимуть особливі вимоги та нагляд і яким надаватимуть особливу підтримку й наставництво в умовах існування всіх відповідних ризиків.

(9) Враховуючи важливість кібербезпеки для стійкості критично важливих суб'єктів і в інтересах узгодженості, за можливості, слід забезпечити узгоджений підхід до цієї Директиви та Директиви Європейського Парламенту і Ради (ЄС) 2022/2555 (5). З огляду на більшу частоту й особливі характеристики кіберризиків, Директива (ЄС) 2022/2555 встановлює комплексні вимоги до широкого кола суб'єктів щодо забезпечення їхньої кібербезпеки. Оскільки питання кібербезпеки достатньою мірою врегульовані в Директиві (ЄС) 2022/2555, питання, охоплені зазначеною директивою, повинні бути виключені зі сфери застосування цієї Директиви без обмеження особливого режиму для суб'єктів у секторі цифрової інфраструктури.

(10) Якщо положення секторальних правових актів Союзу вимагають від критично важливих суб'єктів вживати заходів для посилення їхньої стійкості та якщо такі вимоги визнано державами-членами як такі, що є принаймні рівноцінними відповідним зобов'язанням, встановленим у цій Директиві, відповідні положення цієї Директиви не застосовують для уникнення дублювання та непотрібного тягаря. У такому випадку застосовують відповідні положення таких правових актів Союзу. Якщо відповідні положення цієї Директиви не застосовують, положення про нагляд та правозастосування, встановлені в цій Директиві, також не повинні застосовуватися.

(11) Ця Директива не впливає на компетенцію держав-членів та їхніх органів з погляду адміністративної автономії або їхньої відповідальності за забезпечення національної безпеки й оборони або на їхні повноваження щодо забезпечення інших основних державних функцій, зокрема щодо громадської безпеки, територіальної цілісності та підтримання правопорядку. Виключення суб'єктів публічного адміністрування зі сфери застосування цієї Директиви повинно стосуватися суб'єктів, які здійснюють діяльність переважно у сферах національної безпеки, громадської безпеки, оборони чи правоохоронної діяльності, включно з розслідуванням, виявленням кримінальних правопорушень та притягненням до відповідальності за їх вчинення. Однак суб'єкти публічного адміністрування, чия діяльність лише незначною мірою пов'язана з цими сферами, належать до сфери застосування цієї Директиви. Для цілей цієї Директиви суб'єктів із регулятивними компетенціями не вважають такими, що здійснюють діяльність у сфері правоохоронної діяльності, тому їх не виключають на цій підставі зі сфери застосування цієї Директиви. Суб'єкти публічного адміністрування, засновані спільно з третьою країною відповідно до міжнародної угоди, виключені зі сфери застосування цієї Директиви. Цю Директиву не застосовують до дипломатичних і консульських представництв держав-членів у третіх країнах.

Певні критично важливі суб'єкти здійснюють діяльність у сферах національної безпеки, громадської безпеки, оборони або правоохоронної діяльності, включно з розслідуванням, виявленням кримінальних правопорушень та притягненням відповідальності за їх вчинення, або надають послуги виключно суб'єктам публічного адміністрування, які діяльність переважно в цих сферах. З огляду на відповідальність держав-членів за забезпечення національної безпеки й оборони держави-члени повинні бути в змозі ухвалити рішення про повне або часткове незастосування зобов'язань критично важливих суб'єктів, встановлених у цій Директиві, до таких критично важливих суб'єктів, якщо послуги, які вони надають, або діяльність, яку вони здійснюють, переважно пов'язані зі сферами національної безпеки, громадської безпеки, оборони або правоохоронної діяльності, включно з розслідуванням, виявленням кримінальних правопорушень та притягненням до відповідальності за їх вчинення. Критично важливі суб'єкти, чиї послуги або діяльність лише незначною мірою пов'язані з цими сферами, належать до сфери застосування цієї Директиви. Жодна держава-член не повинна бути зобов'язаною надавати інформацію, розкриття якої суперечитиме суттєвим інтересам її національної безпеки. Слід враховувати правила Союзу або національні правила щодо захисту секретної інформації та угоди про нерозголошення.

(12) Щоб не ставити під загрозу національну безпеку або безпеку та комерційні інтереси критично важливих суб'єктів, доступ до чутливої інформації, обмін нею та поводження з нею необхідно здійснювати зважено, з особливою увагою до використовуваних каналів передавання та потужностей для зберігання інформації.

(13) Щоб забезпечити комплексний підхід до стійкості критично важливих суб'єктів кожна держава-член повинна мати стратегію посилення стійкості критично важливих суб'єктів («стратегія»). Така стратегія повинна визначати стратегічні цілі та інструменти політики, які потрібно реалізувати. В інтересах узгодженості й ефективності така стратегія повинна бути розроблена таким чином, щоб органічно інтегрувати наявні політики, спираючись, за можливості, на відповідні наявні національні та секторальні стратегії, плани або аналогічні документи. Щоб досягти комплексного підходу держави-члени мають забезпечити, щоб їхні стратегії встановлювали рамку політики щодо посилення координації між компетентними органами згідно з цією Директивою та компетентними органами згідно з Директивою (ЄС) 2022/2555 в контексті обміну інформацією щодо ризиків для кібербезпеки, кіберзагроз і кіберінцидентів, а також ризиків, загроз та інцидентів, не пов'язаних із кібербезпекою, і в контексті виконання наглядових завдань. Впроваджуючи свої стратегії, держави-члени повинні належним чином враховувати гібридний характер загроз для критично важливих суб'єктів.

(14) Держави-члени повинні повідомляти Комісії про свої стратегії та суттєві оновлення до них, зокрема щоб Комісія могла оцінити правильність застосування цієї Директиви стосовно підходів політики до забезпечення стійкості критично важливих суб'єктів на національному рівні. За необхідності такі стратегії можуть передаватися як секретна інформація. Комісія повинна скласти зведений звіт про стратегії, що їх передали держави-члени, який слугуватиме основою для обміну досвідом з метою виявлення найкращих практик і питань, що становлять спільний інтерес, у рамках Групи з питань стійкості критично важливих суб'єктів. Зважаючи на чутливий характер агрегованої інформації, включеної до такого зведеного звіту, незалежно від того, чи така інформація є секретною, Комісія повинна поводитися з таким зведеним звітом з належним рівнем обізнаності щодо безпеки критично важливих суб'єктів, держав-членів і Союзу. Такий зведений звіт і стратегії повинні бути захищені від незаконних або зловмисних дій і бути доступними лише для уповноважених осіб з метою реалізації цілей цієї Директиви. Повідомлення про стратегії та суттєві оновлення до них також повинні допомагати Комісії зрозуміти розвиток підходів до забезпечення стійкості критично важливих суб'єктів і сприяти моніторингу впливу й доданої цінності цієї Директиви, яку Комісії належить періодично переглядати.

(15) Дії держав-членів, спрямовані на виявлення та сприяння забезпеченню стійкості критично важливих суб'єктів, повинні ґрунтуватися на підході, основаному на оцінці ризиків і зосередженому на суб'єктах, що мають найбільше значення для виконання життєво важливих суспільних функцій або здійснення економічної діяльності. Для забезпечення такого цілеспрямованого підходу кожна держава-член у межах гармонізованої рамки повинна виконати оцінювання відповідних природних і антропогенних ризиків, включно з тими, що мають міжсекторальний або транскордонний характер, які можуть вплинути на надання основних послуг, включно з ризиками нещасних випадків, стихійних лих, надзвичайних ситуацій у сфері громадського здоров'я, як-то пандемій і гібридних загроз, або інших ворожих загроз, включно з терористичними нападами, злочинним проникненням і саботажем («оцінювання ризиків державою-членом»). Оцінюючи ризики, держави-члени повинні брати до уваги результати інших загальних або секторальних оцінювань ризиків, проведених відповідно до інших правових актів Союзу, а також враховувати ступінь взаємозалежності секторів, зокрема їх залежності від секторів у інших державах-членах і третіх країнах. Результати оцінювань ризиків державами-членами потрібно використовувати для того, щоб визначати критично важливі суб'єкти і надавати допомогу таким суб'єктам у виконанні їхніх вимог щодо забезпечення стійкості. Цю Директиву застосовують лише до держав-членів та критично важливих суб'єктів, що здійснюють діяльність у межах Союзу. Однак експертний досвід і знання, здобуті компетентні органи, зокрема шляхом оцінювання ризиків, і Комісія, зокрема шляхом підтримки і співпраці у різних формах, можуть бути використані, де це доцільно, і відповідно до застосовних правових інструментів на користь третіх країн, зокрема тих, які безпосередньо сусідять із Союзом, вливаючись в наявну співпрацю у сфері стійкості.

(16) Щоб забезпечити застосовність до всіх відповідних суб'єктів вимог цієї Директиви щодо забезпечення стійкості та зменшити розбіжності в цьому плані, важливо встановити гармонізовані правила, які давали б змогу в узгоджений спосіб визначати критично важливі суб'єкти на всій території Союзу, водночас даючи змогу державам-членам адекватно відображати роль і важливість таких суб'єктів на національному рівні. Застосовуючи критерії, викладені в цій Директиві, кожна держава-член повинна визначити суб'єкти, які надають одну або декілька основних послуг, функціонують на її території та мають критичну інфраструктуру, розташовану на її території. Вважають, що суб'єкт функціонує на території держави-члена, в якій він здійснює діяльність, необхідну для надання відповідної основної послуги або відповідних основних послуг, і в якій розташована його критична інфраструктура, яку він використовує для надання такої послуги або таких послуг. Якщо жоден суб'єкт не відповідає таким критеріям у державі-члені, така держава-член не повинна бути зобов'язана визначати критично важливий суб'єкт у відповідному секторі або підсекторі. В інтересах дієвості, ефективності, послідовності та правової визначеності слід встановити відповідні правила щодо повідомлення суб'єктів про те, що їх було визначено критично важливими суб'єктами.

(17) Держави-члени повинні подавати Комісії у спосіб, що реалізує цілі цієї Директиви, перелік основних послуг, кількість критично важливих суб'єктів, визначених у кожному із секторів і підсекторів, визначених у додатку, а також стосовно основної послуги або основних послуг, надаваним кожним суб'єктом, та, у відповідних випадках, порогові значення. Повинна існувати можливість представлення порогових значень як таких або в агрегованій формі, тобто інформація може бути усереднена за географічним районом, роками, секторами, підсекторами або іншими критеріями, а також може включати інформацію про діапазон наданих показників.

(18) Слід установити критерії для визначення значущості руйнівного впливу, спричиненого інцидентом. Такі критерії повинні ґрунтуватися на критеріях, визначених у Директиві Європейського Парламенту і Ради (ЄС) 2016/1148 (6), для отримання вигоди від зусиль, докладених державами-членами для визначення операторів основних послуг, наведених у згаданій Директиві, та досвіду, набутого в цьому питанні. Великі кризи, як-то пандемія COVID-19, показали важливість забезпечення безпеки ланцюга постачань і продемонстрували, як його порушення може мати негативний економічний та соціальний вплив у великій кількості секторів та в транскордонній площині. Тому державам-членам слід також враховувати, наскільки це можливо, вплив на ланцюг постачань, коли вони визначають ступінь залежності інших секторів і підсекторів від основних послуг, надаваних критично важливими суб'єктами.

(19) Відповідно до застосовного права Союзу та національного права, зокрема Регламенту Європейського Парламенту і Ради (ЄС) 2019/452 (7), який встановлює рамку щодо скринінгу прямих іноземних інвестицій в Союзі, слід визнати потенційну загрозу, яку становить іноземна власність для об'єктів критичної інфраструктури в межах Союзу, оскільки від належного функціонування критичної інфраструктури залежать послуги, економіка, а також вільне пересування й безпека громадян Союзу.

(20) Директива (ЄС) 2022/2555 вимагає від суб'єктів, які належать до сектора цифрової інфраструктури та які можуть бути визначені як критично важливі суб'єкти відповідно до цієї Директиви, вживати належних і пропорційних технічних, операційних та організаційних заходів для управління ризиками, що становлять загрозу безпеці мережевих та інформаційних систем, а також повідомляти про значні інциденти й кіберзагрози. Оскільки загрози безпеці мережевих та інформаційних систем можуть мати різне походження, Директива (ЄС) 2022/2555 застосовує комплексний підхід, який охоплює всі загрози та спрямований на забезпечення стійкості мережевих та інформаційних систем, а також фізичних компонентів і середовища таких систем.

З огляду на те, що вимоги, встановлені в Директиві (ЄС) 2022/2555, щонайменше рівноцінні відповідним зобов'язанням, встановленим у цій Директиві, зобов'язання, встановлені у статті 11 і главах III, IV та VI цієї Директиви, не мають застосовуватися до суб'єктів, що належать до сектора цифрової інфраструктури, для уникнення дублювання й непотрібного адміністративного тягаря. Однак, враховуючи важливість послуг, надаваних суб'єктами, що належать до сектора цифрової інфраструктури, критично важливим суб'єктам у всіх інших секторах, держави-члени повинні визначити, на основі критеріїв і з використанням процедури, передбаченої цією Директивою, суб'єктів сектора цифрової інфраструктури критично важливими суб'єктами. Відповідно, потрібно застосовувати стратегії, оцінки ризиків держава-членів і заходи підтримки, визначені у главі II цієї Директиви. Держави-члени повинні бути в змозі ухвалювати або зберігати положення національного права для досягнення вищого рівня стійкості таких критично важливих суб'єктів за умови, що такі положення узгоджені із застосовним правом Союзу.

(21) Право Союзу у сфері фінансових послуг встановлює комплексні вимоги до фінансових суб'єктів щодо управління всіма ризиками, які перед ними постають, включно з операційними ризиками, та щодо забезпечення безперервної діяльності. Таке право включає регламенти Європейського Парламенту і Ради (ЄС) № 648/2012 (8), (ЄС) № 575/2013 (9) та (ЄС) № 600/2014 (10) і директиви Європейського Парламенту і Ради 2013/36/ЄС (11) та 2014/65/ЄС (12). Ця правова рамка доповнена Регламентом Європейського Парламенту і Ради (ЄС) 2022/2554 (13), який встановлює вимоги, застосовні до фінансових суб'єктів щодо управління ризиками, пов'язаними з інформаційно-комунікаційними технологіями (ІКТ), зокрема щодо захисту фізичної інфраструктури ІКТ. Оскільки таким чином стійкість таких суб'єктів всебічно врегульована, стаття 11 і глави III, IV та VI цієї Директиви не повинні застосовуватися до таких суб'єктів для уникнення дублювання й непотрібного адміністративного тягаря.

Однак, враховуючи важливість послуг, надаваних суб'єктами у фінансовому секторі критично важливим суб'єктам у всіх інших секторах, держави-члени повинні визначити, на основі критеріїв і з використанням процедури, передбаченої цією Директивою, суб'єктів у фінансовому секторі критично важливими суб'єктами. Відповідно, повинні застосовуватися стратегії, оцінки ризиків держава-членів та заходи підтримки, встановлені в главі II цієї Директиви. Держави-члени повинні бути в змозі ухвалювати або зберігати положення національного права для досягнення вищого рівня стійкості таких критично важливих суб'єктів за умови, що такі положення узгоджені із застосовним правом Союзу.

(22) Державам-членам слід визначити або створити органи, уповноважені здійснювати нагляд за застосуванням і, за необхідності, забезпечувати дотримання правил цієї Директиви, а також забезпечити, щоб такі органи мали достатні повноваження та ресурси. З огляду на відмінності в національних структурах врядування, з метою захисту наявних секторальних механізмів або наглядових і регуляторних органів Союзу, а також щоб уникнути дублювання, держави-члени повинні бути в змозі визначати або створювати декілька компетентних органів. Якщо держави-члени визначають або створюють кілька компетентних органів, вони повинні чітко розмежовувати відповідні завдання таких органів і забезпечувати їхню безперебійну та дієву співпрацю. Усі компетентні органи повинні також співпрацювати в ширшому розумінні з іншими відповідними органами як на рівні Союзу, так і на національному рівні.

(23) З метою сприяння транскордонній співпраці та комунікації, а також для забезпечення дієвої імплементації цієї Директиви кожна держава-член повинна, без обмеження вимог секторальних правових актів Союзу, визначити єдиний контактний пункт, який відповідатиме за координацію питань, пов'язаних із забезпеченням стійкості критично важливих суб'єктів і транскордонною співпрацею на рівні Союзу («єдиний контактний пункт»), у відповідних випадках у межах компетентного органу. Кожен єдиний контактний пункт повинен підтримувати зв'язок і координувати комунікацію, у відповідних випадках із компетентними органами своєї держави-члена, з єдиними контактними пунктами інших держав-членів і з Групою з питань стійкості критично важливих суб'єктів.

(24) Компетентні органи відповідно до цієї Директиви та компетентні органи відповідно до Директиви (ЄС) 2022/2555 повинні співпрацювати й обмінюватися інформацією щодо ризиків для кібербезпеки, кіберзагроз та кіберінцидентів, а також щодо ризиків, загроз та інцидентів, не пов'язаних із кібербезпекою, що впливають на критично важливі суб'єкти, а також щодо відповідних заходів, ужитих компетентними органами відповідно до цієї Директиви та компетентними органами відповідно до Директиви (ЄС) 2022/2555. Важливо, щоб держави-члени забезпечили, щоб вимоги, передбачені цією Директивою та Директивою (ЄС) 2022/2555, впроваджували у взаємодоповнювальний спосіб і щоб критично важливі суб'єкти не зазнавали адміністративного тягаря, який виходить за межі необхідного для досягнення цілей цієї Директиви та Директиви (ЄС) 2022/2555.

(25) Держави-члени повинні надавати підтримку критично важливим суб'єктам, включно тим, які належать до малих або середніх підприємств, у посиленні їхньої стійкості на виконання зобов'язань держав-членів, встановлених у цій Директиві, без обмеження власної юридичної відповідальності критично важливих суб'єктів за забезпечення виконання таких зобов'язань, таким чином запобігаючи надмірному адміністративному тягарю. Держави-члени можуть, зокрема, розробляти настановчі матеріали й методології, підтримувати організацію практичних сесій для випробування стійкості критично важливих суб'єктів, а також надавати поради та проводити навчання персоналу критично важливих суб'єктів. Якщо це необхідно і виправдано цілями суспільного інтересу, держави-члени можуть надавати фінансові ресурси і повинні сприяти добровільному обміну інформацією та належними практиками між критично важливими суб'єктами, без обмеження застосування правил щодо конкуренції, встановлених у Договорі про функціонування Європейського Союзу (ДФЄС).

(26) З метою посилення стійкості критично важливих суб'єктів, визначених державами-членами, та зменшення адміністративного тягаря для таких критично важливих суб'єктів компетентні органи повинні консультуватися між собою, у відповідних випадках із метою забезпечення послідовного застосування цієї Директиви. Такі консультації потрібно проводити на запит будь-якого заінтересованого компетентного органу і повинні бути спрямовані на забезпечення збіжного підходу до взаємопов'язаних критично важливих суб'єктів, які використовують критичну інфраструктуру, що має фізичне сполучення між двома або більше державами-членами, належать до тих самих груп або корпоративних структур або які були визначені в одній державі-члені й надають основні послуги іншим державам-членам або в інших державах-членах.

(27) Якщо положення права Союзу або національного права вимагають від критично важливих суб'єктів оцінювати ризики, що стосуються цілей цієї Директиви, та вживати заходів для забезпечення власної стійкості, такі вимоги повинні бути належним чином враховані з метою забезпечення нагляду за дотриманням критично важливими суб'єктами положень цієї Директиви.

(28) Критично важливі суб'єкти повинні мати всебічне розуміння відповідних ризиків, яким вони піддаються, та бути зобов'язаними аналізувати такі ризики. Для цього вони повинні за необхідності проводити оцінювання ризиків з огляду на їхні конкретні обставини й еволюцію таких ризиків, але в будь-якому разі що чотири роки, щоб оцінювати всі відповідні ризики, які можуть порушити надання ними основних послуг («оцінювання ризиків критично важливим суб'єктом»). Якщо критично важливі суб'єкти виконали інші оцінювання ризиків або розробили документи на виконання зобов'язань, встановлених в інших правових актах, які є релевантними для їхнього оцінювання ризиків критично важливими суб'єктами, вони повинні бути в змозі використовувати такі оцінки й документи для виконання вимог, встановлених у цій Директиві щодо оцінювання ризиків критично важливими суб'єктами. Компетентний орган повинен мати можливість визнати наявні результати виконаного критично важливим суб'єктом оцінювання ризиків, в яких визначено відповідні ризики та відповідний ступінь залежності, такими, що повністю або частково відповідають зобов'язанням, встановленим у цій Директиві.

(29) Критично важливі суб'єкти повинні вживати технічних, безпекових та організаційних заходів, які є доцільними та пропорційними з огляду на ризики, які перед ними постають, з метою запобігати інциденту, захищати від нього, реагувати на нього, протистояти йому, пом'якшувати його наслідки, сприймати його, адаптуватися до нього або відновлюватися від нього. Хоча критично важливі суб'єкти повинні вживати таких заходів відповідно до цієї Директиви, деталі й обсяг таких заходів повинні відображати різні ризики, які кожен критично важливий суб'єкт визначив у рамках свого оцінювання ризиків критично важливим суб'єктом, а також специфіку такого суб'єкта в належний і пропорційний спосіб. Для сприяння узгодженому підходу Союзу Комісія повинна - за результатами консультацій із Групою з питань стійкості критично важливих суб'єктів - ухвалити незобов'язальні настанови для подальшого визначення технічних, безпекових та організаційних заходів. Держави-члени повинні забезпечити, щоб кожен критично важливий суб'єкт призначив відповідального за взаємодію або іншого фахівця з рівноцінними зобов'язаннями контактною особою в компетентних органах.

(30) В інтересах дієвості та підзвітності критично важливі суб'єкти повинні описати заходи, яких вони вживають, з рівнем деталізації, який є достатнім для досягнення цілей дієвості та підзвітності, з урахуванням виявлених ризиків у плані забезпечення стійкості або в документі чи документах, який(- і) є еквівалентним(и) плану забезпечення стійкості, та застосовувати такий план на практиці. Якщо критично важливий суб'єкт уже вжив технічних, безпекових та організаційних заходів і склав документи відповідно до інших правових актів, які є релевантними для заходів з посилення стійкості відповідно до цієї Директиви, він повинен бути в змозі, з метою уникнення дублювання, використовувати такі заходи й документи для виконання вимог щодо заходів із забезпечення стійкості відповідно до цієї Директиви. Для уникнення дублювання компетентний орган повинен бути в змозі визнати вжиті критично важливим суб'єктом наявні заходи із забезпечення стійкості, які стосуються його зобов'язання вживати технічних, безпекових та організаційних заходів відповідно до цієї Директиви, такими, що повністю або частково відповідають вимогам цієї Директиви.

(31) Регламенти Європейського Парламенту і Ради (ЄС) № 725/2004 (14) та (ЄС) № 300/2008 (15), а також Директива Європейського Парламенту і Ради 2005/65/ЄС (16) встановлюють вимоги, застосовні до суб'єктів у секторах авіаційного та морського транспорту для запобігання інцидентам, спричиненим протиправними діями, а також для протистояння таким інцидентам і пом'якшення їхніх наслідків. Хоча заходи, що їх вимагають відповідно до цієї Директиви, є ширшими з точки зору розглядуваних ризиків і типів заходів, яких належить вжити, критично важливі суб'єкти в цих секторах повинні відобразити у своєму плані забезпечення стійкості або рівноцінних документах заходи, вжиті відповідно до таких правових актів Союзу. Критично важливі суб'єкти також повинні враховувати Директиву Європейського Парламенту і Ради 2008/96/ЄС (17), яка запроваджує оцінювання стану доріг у масштабах всієї мережі для картування ризиків аварій та цільового інспектування дорожньої безпеки з метою виявлення небезпечних умов, дефектів і проблем, що підвищують ризик аварій і травматизму, за результатами відвідування наявних доріг або ділянок доріг. Забезпечення захисту і стійкості критично важливих суб'єктів є надзвичайно важливим для залізничного сектора, і під час впровадження заходів із забезпечення стійкості відповідно до цієї Директиви критично важливим суб'єктам рекомендовано дотримуватися незобов'язальних настанов і документів, що відображають належні практики, які розроблено в рамках секторальних напрямків роботи, як-то Платформи безпеки залізничних пасажирських перевезень ЄС, створеної Рішенням Комісії 2018/C 232/03 (18).

(32) Ризик того, що працівники критично важливих суб'єктів або їхні підрядники зловживатимуть, наприклад, своїми правами доступу в організації критично важливого суб'єкта з метою заподіяння шкоди, викликає дедалі більше занепокоєння. Тому держави-члени повинні визначити умови, за яких критично важливим суб'єктам дозволено, у належним чином обґрунтованих випадках і з урахуванням результатів оцінювань ризиків державами-членами, подавати запити про проведення перевірок анкетних даних осіб, які належать до певних категорій їхнього персоналу. Слід забезпечити, щоб відповідні органи оцінювали такі запити в межах розумних строків та опрацьовували їх відповідно до національного права і національних процедур, а також відповідно до застосовного права Союзу, включно з правом про захист персональних даних. Щоб підтвердити ідентифікаційні дані особи, яка підлягає перевірці анкетних даних, державам-членам доцільно вимагати посвідчення особи, як-то паспорт, національне посвідчення особи або цифрову форму ідентифікації, відповідно до застосовного права.

Перевірка анкетних даних повинна включати перевірку інформації про судимості дотичної особи. Держави-члени повинні використовувати Європейську систему інформації про судимості згідно з процедурами, визначеними в Рамковому рішенні Ради 2009/315/ЮВС (19) та, у відповідних випадках, коли це застосовно, в Регламенті Європейського Парламенту і Ради (ЄС) 2019/816 (20), для отримання інформації з реєстрів судимостей, які ведуть інші держави-члени. Держави-члени можуть також, у відповідних випадках, коли це застосовно, використовувати Шенгенську інформаційну систему другого покоління (SIS II), створену Регламентом Європейського Парламенту і Ради (ЄС) 2018/1862 (21), розвідувальні дані та будь-яку іншу наявну об'єктивну інформацію, яка може бути необхідною для визначення придатності до роботи на посаді дотичної особи, щодо якої критично важливий суб'єкт запитує перевірку анкетних даних.

(33) Слід створити механізм повідомлення про певні інциденти, який дасть змогу компетентним органам швидко й адекватно реагувати на інциденти, а також мати повне уявлення про вплив, характер, причину та можливі наслідки інцидентів, з якими мають справу критично важливі суб'єкти. Критично важливі суб'єкти повинні без необґрунтованої затримки повідомляти компетентним органам про інциденти, які суттєво порушують або можуть суттєво порушити надання основних послуг. Крім випадків, коли вони не мають операційної можливості це зробити, критично важливі суб'єкти повинні подавали початкове повідомлення не пізніше ніж через 24 години після того, як їм стане відомо про інцидент. Таке початкове повідомлення повинно містити лише ту інформацію, яка є суворо необхідною для того, щоб компетентний орган дізнався про інцидент і дати можливість критично важливому суб'єкту за потреби звернутися по допомогу. У такому повідомленні повинна бути за можливості вказана ймовірна причина інциденту. Держави-члени повинні забезпечити, щоб вимога подавати таке початкове повідомлення не відволікала ресурси критично важливого суб'єкта від діяльності, пов'язаної зі врегулюванням інциденту, яка повинна бути пріоритетною. Після такого початкового повідомлення у відповідних випадках необхідно подати детальний звіт не пізніше ніж через місяць після інциденту. Такий детальний звіт повинен доповнювати початкове повідомлення і надавати повніший огляд інциденту.

(34) Стандартизація повинна залишатися процесом, обумовленим насамперед ринком. Однак усе одно можуть виникати ситуації, в яких доречно вимагати дотримання конкретних стандартів. Держави-члени повинні у випадках, коли це корисно, заохочувати використання європейських або міжнародних стандартів і технічних специфікацій, які стосуються заходів із забезпечення безпеки і стійкості, застосовні до критично важливих суб'єктів.

(35) Хоча критично важливі суб'єкти, зазвичай, функціонують як частина дедалі взаємопов'язанішої мережі надання послуг та інфраструктури і часто надають основні послуги в декількох державах- членах, деякі з таких критично важливих суб'єктів мають особливе значення для Союзу та його внутрішнього ринку, оскільки вони надають основні послуги не менше ніж шістьом державам-членам і не менше ніж в шести державах-членах, а отже, можуть користуватися конкретною підтримкою на рівні Союзу. Тому слід встановити правила щодо дорадчих місій стосовно таких критично важливих суб'єктів, що мають особливе значення для Європи. Такі правила не обмежують правил щодо нагляду та правозастосування, встановленим у цій Директиві.

(36) На обґрунтований запит Комісії або однієї чи декількох держав-членів, яким або в яких надають основні послуги, якщо необхідна додаткова інформація для надання порад критично важливому суб'єкту щодо виконання ним своїх зобов'язань відповідно до цієї Директиви або для оцінювання виконання критично важливим суб'єктом, що має особливе значення для Європи, таких зобов'язань, держава-член, яка визначила критично важливий суб'єкт, що має особливе значення для Європи, критично важливим суб'єктом, повинна надати Комісії певну інформацію, визначену в цій Директиві. За погодженням з державою-членом, яка визначила критично важливий суб'єкт, що має особливе значення для Європи, критично важливим суб'єктом, Комісія повинна мати можливість організувати дорадчу місію для оцінювання заходів, запроваджених таким суб'єктом. Щоб забезпечити належне проведення таких дорадчих місій, слід установити додаткові правила, зокрема щодо організації та проведення таких дорадчих місій, подальших дій, яких належить вжити, та зобов'язань для відповідних критично важливих суб'єктів, що мають особливе значення для Європи. Дорадчу місію, без обмеження потреби в дотриманні державою-членом, в якій проводять дорадчу місію, та відповідним критично важливим суб'єктом правил, встановлених у цій Директиві, слід проводити згідно з детальними нормами права такої держави-члена, наприклад, щодо точних умов, які необхідно виконати для отримання доступу до відповідних приміщень або документів, та щодо судового захисту. Конкретні експертні знання, необхідні для таких дорадчих місій, можуть, у відповідних випадках, бути запитані через Координаційний центр реагування на надзвичайні ситуації, створений Рішенням Європейського Парламенту і Ради № 1313/2013/ЄС (22).

(37) З метою підтримки Комісії та сприяння співпраці між державами-членами й обміну інформацією, включно з найкращими практиками, з питань, що стосуються цієї Директиви, слід створити Групу з питань стійкості критично важливих суб'єктів як експертну групу Комісії. Держави-члени повинні докладати зусиль для забезпечення дієвої та ефективної співпраці між призначеними представниками своїх компетентних органів у Групі з питань стійкості критично важливих суб'єктів, зокрема, де це доцільно, шляхом призначення представників, які мають допуск до секретної інформації. Група з питань стійкості критично важливих суб'єктів повинна розпочати виконання своїх завдань якомога швидше, щоб забезпечити додаткові засоби для належної співпраці протягом періоду транспонування цієї Директиви. Група з питань стійкості критично важливих суб'єктів повинна взаємодіяти з іншими відповідними секторальними експертними робочими групами.

(38) Група з питань стійкості критично важливих суб'єктів повинна співпрацювати з Групою співпраці, створеною відповідно до Директиви (ЄС) 2022/2555, для підтримки всеосяжних рамок щодо забезпечення кіберстійкості та інших видів стійкості критично важливих суб'єктів. Група з питань стійкості критично важливих суб'єктів та Група співпраці, створена відповідно до Директиви (ЄС) 2022/2555, повинні вести регулярний діалог для сприяння співпраці між компетентними органами відповідно до цієї Директиви та компетентними органами відповідно до Директиви (ЄС) 2022/2555, а також для сприяння обміну інформацією, зокрема з питань, що стосуються обох груп.

(39) Для досягнення цілей цієї Директиви та без обмеження юридичної відповідальності держав-членів і критично важливих суб'єктів за забезпечення дотримання їхніх відповідних зобов'язань, встановлених у цій Директиві, Комісія повинна, якщо вважає це доцільним, надавати підтримку компетентним органам і критично важливим суб'єктам для сприяння виконанню ними своїх відповідних зобов'язань. Надаючи підтримку державам-членам і критично важливим суб'єктам у виконанні зобов'язань за цією Директивою, Комісія повинна спиратися на наявні структури та інструменти, як-то передбачені Механізмом цивільного захисту Союзу, запровадженого Рішенням № 1313/2013/ЄС, та Європейською референтною мережею з питань захисту критичної інфраструктури. Крім того, вона повинна інформувати держави-члени про ресурси, доступні на рівні Союзу, як-то Фонд внутрішньої безпеки, створений Регламентом Європейського Парламенту і Ради (ЄС) 2021/1149 (23), програму «Горизонт Європа», запроваджену Регламентом Європейського Парламенту і Ради (ЄС) 2021/695 (24), або інші інструменти, які є релевантними для забезпечення стійкості критично важливих суб'єктів.

(40) Держави-члени повинні забезпечити, щоб їхні компетентні органи мали певні конкретні повноваження для належного застосування та забезпечення виконання цієї Директиви стосовно критично важливих суб'єктів, якщо такі суб'єкти належать до їхньої юрисдикції, як зазначено в цій Директиві. Такі повноваження повинні включати, зокрема, повноваження проводити інспекції й аудити, повноваження здійснювати нагляд, повноваження вимагати від критично важливих суб'єктів надавати інформацію й докази стосовно заходів, вжитих ними на виконання своїх зобов'язань, а також, за необхідності, повноваження видавати приписи щодо усунення виявлених порушень. Видаючи такі приписи, держави-члени не повинні вимагати вжиття заходів, які виходять за межі того, що є необхідним і пропорційним для забезпечення дотримання вимог відповідними критично важливими суб'єктами, беручи до уваги, зокрема, серйозність порушення й економічну спроможність відповідного критично важливого суб'єкта. Загалом такі повноваження повинні супроводжуватися належними та дієвими гарантіями, які повинні бути визначені в національному праві відповідно до Хартії фундаментальних прав Європейського Союзу. Оцінюючи дотримання критично важливим суб'єктом своїх зобов'язань, встановлених у цій Директиві, компетентні органи відповідно до цієї Директиви повинні бути в змозі звернутися до компетентних органів відповідно до Директиви (ЄС) 2022/2555 із запитом про здійснення своїх наглядових і правозастосовних повноважень стосовно суб'єкта відповідно до цієї Директиви, якого визначено критично важливим суб'єктом відповідно до цієї Директиви. Для цього компетентні органи відповідно до цієї Директиви та компетентні органи відповідно до Директиви (ЄС) 2022/2555 повинні співпрацювати й обмінюватися інформацією.

(41) Щоб застосовувати цю Директиву в дієвий та узгоджений спосіб, Комісії слід делегувати повноваження ухвалювати акти відповідно до статті 290 ДФЄС для доповнення цієї Директиви шляхом складення переліку основних послуг. Компетентні органи повинні використовувати такий перелік для цілей оцінювання ризиків державами-членами та визначення критично важливих суб'єктів відповідно до цієї Директиви. З огляду на підхід мінімальної гармонізації цієї Директиви, такий перелік не є повним, і держави-члени можуть доповнювати його додатковими основними послугами на національному рівні з метою врахування національних особливостей у наданні основних послуг. Особливо важливо, щоб Комісія проводила належні консультації під час своєї підготовчої роботи, зокрема на експертному рівні, та щоб такі консультації проводили згідно з принципами, встановленими у Міжінституційній угоді про краще законотворення від 13 квітня 2016 року (25). Зокрема для забезпечення рівної участі в підготовці делегованих актів Європейський Парламент і Рада отримують усі документи одночасно з експертами держав-членів, а їхні експерти мають систематичний доступ до засідань груп експертів Комісії, які займаються підготовкою делегованих актів.

(42) Щоб забезпечити однакові умови імплементації цієї Директиви, слід надати Комісії виконавчі повноваження. Такі повноваження потрібно здійснювати згідно з Регламентом Європейського Парламенту і Ради (ЄС) № 182/2011 (26).

(43) Оскільки держави-члени не можуть достатньою мірою досягти цілей цієї Директиви, а саме забезпечення безперешкодного надання послуг, які є критично важливими для підтримки життєво важливих суспільних функцій або економічної діяльності, на внутрішньому ринку та посилення стійкості критично важливих суб'єктів, що надають такі послуги, а радше, з огляду на наслідки дії, такі цілі можуть бути краще досягнуті на рівні Союзу, Союз може ухвалювати інструменти відповідно до принципу субсидіарності, визначеного у статті 5 Договору про Європейський Союз. Згідно з принципом пропорційності, визначеним у зазначеній статті 5, ця Директива не виходить за межі необхідного для досягнення таких цілей.

(44) Було проведено консультації з Європейським інспектором із захисту даних відповідно до статті 42(1) Регламенту Європейського Парламенту і Ради (ЄС) № 2018/1725 (27), який 11 серпня 2021 року надав свій висновок.

(45) Тому Директиву 2008/114/ЄС слід скасувати,

УХВАЛИЛИ ЦЮ ДИРЕКТИВУ:

ГЛАВА I

ЗАГАЛЬНІ ПОЛОЖЕННЯ

Стаття 1

Предмет і сфера застосування

1. Ця Директива:

(a) встановлює зобов'язання держав-членів щодо вжиття конкретних заходів, спрямованих на забезпечення надання послуг, які є основними для підтримання життєво важливих суспільних функцій або економічної діяльності у сфері застосування статті 114 ДФЄС, безперешкодно на внутрішньому ринку, зокрема зобов'язання з визначення критично важливих суб'єктів, а також підтримувати критично важливі суб'єкти у виконанні покладених на них зобов'язань;

(b) встановлює зобов'язання критично важливих суб'єктів, спрямовані на посилення їхньої стійкості та здатності надавати послуги, згадані в пункті (a), на внутрішньому ринку;

(c) встановлює правила:

(i) щодо нагляду за критично важливими суб'єктами;

(ii) щодо правозастосування;

(iii) щодо визначення критично важливих суб'єктів, що мають особливе значення для Європи, та щодо дорадчих місій для оцінювання заходів, які такі суб'єкти запровадили для виконання своїх зобов'язань відповідно до глави III;

(d) встановлює спільні процедури співпраці та звітування щодо застосування цієї Директиви;

(e) встановлює заходи з метою досягнення високого рівня стійкості критично важливих суб'єктів, щоб забезпечити надання основних послуг у межах Союзу і покращити функціонування внутрішнього ринку.

2. Цю Директиву не застосовують до питань, що їх охоплює Директива (ЄС) 2022/2555, без обмеження статті 8 цієї Директиви. З огляду на пов'язаність фізичної безпеки та кібербезпеки критично важливих суб'єктів, держави-члени повинні забезпечити узгоджену імплементацію цієї Директиви та Директиви (ЄС) 2022/2555.

3. Якщо положення секторальних правових актів Союзу вимагають від критично важливих суб'єктів вживати заходів для посилення їхньої стійкості та якщо такі вимоги визнано державами-членами як такі, що є принаймні рівноцінними відповідним зобов'язанням, встановленим у цій Директиві, відповідні положення цієї Директиви, включно з положеннями про нагляд та правозастосування, встановлену главі VI, не застосовують.

4. Без обмеження статті 346 ДФЄС, інформацією, яка є конфіденційною відповідно до правил Союзу чи національних правил, як-то правил щодо комерційної таємниці, належить обмінюватися з Комісією та іншими відповідними органами згідно з цією Директивою тільки у випадках, коли такий обмін необхідний для застосування цієї Директиви. Обсяг інформації, що підлягає обміну, повинен бути обмежений до рівня, який є доцільним і пропорційним з погляду мети такого обміну. Обмінюючись інформацією, належить зберігати її конфіденційність і захищати безпекові та комерційні інтереси критично важливих суб'єктів, поважаючи при цьому безпеку держав-членів.

5. Ця Директива не обмежує відповідальність держав-членів за забезпечення національної безпеки й оборони та їхніх повноважень щодо забезпечення інших основних функцій держави, включно із забезпеченням територіальної цілісності та підтриманням правопорядку.

6. Цю Директиву не застосовують до суб'єктів публічного адміністрування, які здійснюють діяльність у сферах національної безпеки, громадської безпеки, оборони та правоохоронної діяльності, включно з розслідуванням, виявленням кримінальних правопорушень та притягненням до відповідальності за їх вчинення.

7. Держави-члени можуть вирішити, що статтю 11 і глави III, IV та VI повністю або частково не застосовують до конкретних критично важливих суб'єктів, які здійснюють діяльність у сферах національної безпеки, громадської безпеки, оборони чи правоохоронної діяльності, включно з розслідуванням, виявленням кримінальних правопорушень та притягненням до відповідальності за їх вчинення, або які надають послуги виключно суб'єктам публічного адміністрування, згаданим у параграфі 6 цієї статті.

8. Зобов'язання, встановлені в цій Директиві, не передбачають надання інформації, розкриття якої суперечитиме суттєвим інтересам національної безпеки, громадської безпеки чи оборони держав-членів.

9. Ця Директива не обмежує дію права Союзу про захист персональних даних, зокрема Регламенту Європейського Парламенту і Ради (ЄС) 2016/679 (28) і Директиви Європейського Парламенту і Ради 2002/58/ЄС (29).

Стаття 2

Терміни та означення

Для цілей цієї Директиви застосовують такі терміни та означення:

(1) «критично важливий суб'єкт» означає публічний або приватний суб'єкт, визначений державою-членом відповідно до статті 6 як такий, що належить до однієї з категорій, визначених у третьому стовпці в таблиці у додатку;

(2) «стійкість» означає здатність критично важливого суб'єкта запобігати інциденту, захищати від нього, реагувати на нього, протистояти йому, пом'якшувати його наслідки, сприймати його, адаптуватися до нього, або відновлюватися від нього;

(3) «інцидент» означає подію, яка потенційно може суттєво порушити або яка порушує надання основних послуг, зокрема коли це стосується національних систем, що забезпечують верховенство права;

(4) «критична інфраструктура» означає актив, об'єкт, обладнання, мережу чи систему або частину такого активу, об'єкта, обладнання, мережі або системи, що є необхідною(-им) для надання основної послуги;

(5) «основна послуга» означає послугу, яка має вирішальне значення для підтримування життєво важливих суспільних функцій, економічної діяльності, громадського здоров'я та громадської безпеки або довкілля;

(6) «ризик» означає можливість втрати або порушення внаслідок інциденту, виражену як сполука масштабу такої втрати або порушення та ймовірності виникнення інциденту;

(7) «оцінювання ризику» означає повний процес визначення характеру і масштабу ризику шляхом виявлення й аналізу потенційних відповідних загроз, вразливостей і небезпечних чинників, які можуть призвести до інциденту, а також шляхом оцінювання потенційної втрати або потенційного порушення надання основної послуги внаслідок такого інциденту;

(8) «стандарт» означає стандарт у розумінні пункту (1) статті 2 Регламенту Європейського Парламенту і Ради (ЄС) № 1025/2012 (30);

(9) «технічна специфікація» означає технічну специфікацію в розумінні пункту (4) статті 2 Регламенту (ЄС) № 1025/2012;

(10) «суб'єкт публічного адміністрування» означає суб'єкт, визнаний таким у державі-члені відповідно до національного права, за винятком органів судової влади, парламентів або центральних банків, який відповідає таким критеріям:

(a) його створено з метою задоволення потреб, що становлять загальний інтерес, і він не має промислового або комерційного характеру;

(b) він має правосуб'єктність або наділений правом згідно із законом діяти від імені іншого суб'єкта з правосуб'єктністю;

(c) він отримує фінансування переважно від органів державної влади або від інших органів публічного права центрального рівня, перебуває під управлінським наглядом зазначених органів або має адміністративну, наглядову раду чи раду правління, в якій більше ніж половину членів призначають органи державної влади або інші органи публічного права центрального рівня;

(d) до його повноважень належить ухвалення щодо фізичних та юридичних осіб адміністративних чи регуляторних рішень, які визначають їхні права у сфері транскордонного руху осіб, товарів, послуг або капіталу.

Стаття 3

Мінімальна гармонізація

Ця Директива не перешкоджає державам-членам ухвалювати чи зберігати положення національного права з метою досягнення вищого рівня стійкості критично важливих суб'єктів за умови, що такі положення узгоджені з зобов'язаннями держав-членів, встановленими у праві Союзу.

ГЛАВА II

НАЦІОНАЛЬНІ РАМКИ СТІЙКОСТІ КРИТИЧНО ВАЖЛИВИХ СУБ'ЄКТІВ

Стаття 4

Стратегія стійкості критично важливих суб'єктів

1. За результатами консультацій, які, наскільки це можливо з практичного погляду, відкриті для відповідних стейкхолдерів, кожна держава-член повинна до 17 січня 2026 року ухвалити стратегію посилення стійкості критично важливих суб'єктів («стратегія»). Така стратегія повинна визначати стратегічні цілі та інструменти політики, спираючись на релевантні наявні національні та секторальні стратегії, плани чи подібні документи, з метою досягнення та підтримування високого рівня стійкості з боку критично важливих суб'єктів та охоплення принаймні секторів, визначених у додатку.

2. Кожна стратегія повинна містити принаймні такі елементи:

(a) стратегічні цілі та пріоритети для посилення загальної стійкості критично важливих суб'єктів з урахуванням транскордонних і міжсекторальних залежностей та взаємозалежностей;

(b) рамка врядування для досягнення таких стратегічних цілей і пріоритетів, включно з описом ролей та зобов'язань різних органів, критично важливих суб'єктів та інших сторін, що беруть участь у реалізації цієї стратегії;

(c) опис заходів, необхідних для посилення загальної стійкості критично важливих суб'єктів, включно з описом оцінювання ризиків, згаданим у статті 5;

(d) опис процедури визначення критично важливих суб'єктів;

(e) опис процесу надання підтримки критично важливим суб'єктам відповідно до цієї глави, включно із заходами для посилення співпраці між публічним сектором, з одного боку, і приватним сектором та публічними й приватними суб'єктами, з іншого боку;

(f) перелік основних органів і відповідних стейкхолдерів, окрім критично важливих суб'єктів, що беруть участь у реалізації стратегії;

(g) рамку політики щодо координації між компетентними органами згідно з цією Директивою («компетентні органи») та компетентними органами згідно з Директивою (ЄС) 2022/2555 з метою обміну інформацією щодо ризиків для кібербезпеки, кіберзагроз та кіберінцидентів, а також не пов'язаних із кібербезпекою ризиків, загроз та інцидентів і виконання наглядових завдань;

(h) опис уже запроваджених заходів, спрямованих на сприяння виконанню зобов'язань відповідно до глави III цієї Директиви малими й середніми підприємствами у розумінні додатка до Рекомендації Комісії 2003/361/ЄС (31), які відповідна держава-член визначила як критично важливі суб'єкти.

За результатами консультацій, які, наскільки це можливо з практичного погляду, відкриті для відповідних стейкхолдерів, держави-члени повинні оновлювати свої стратегії принаймні один раз на чотири роки.

3. Держави-члени повинні надавати свої стратегії та їхні суттєві оновлення Комісії впродовж трьох місяців з моменту їх ухвалення.

Стаття 5

Оцінювання ризиків державами-членами

1. Комісія уповноважена до 17 листопада 2023 року ухвалити делегований акт відповідно до статті 23 на доповнення цієї Директиви шляхом установлення неповного переліку основних послуг у секторах і підсекторах, визначених у додатку. Компетентні органи повинні використовувати такий перелік основних послуг для цілей оцінювання ризиків («оцінювання ризиків державою-членом») до 17 січня 2026 року, після того - за необхідності та принаймні один раз на чотири роки. Компетентні органи повинні використовувати оцінки ризиків держав-членів для цілей визначення критично важливих суб'єктів відповідно до статті 6 та надання допомоги таким критично важливим суб'єктам у вжитті заходів відповідно до статті 13.

Оцінки ризиків держав-членів повинні враховувати відповідні природні й антропогенні ризики, включно з тими, що мають міжсекторальний або транскордонний характер, нещасні випадки, стихійні лиха, надзвичайні ситуації у сфері громадського здоров'я та гібридні загрози чи інші ворожі загрози, включно з терористичними нападами, як передбачено в Директиві Європейського Парламенту і Ради (ЄС) 2017/541 (32).

2. Під час оцінювання ризиків держави-члени повинні враховувати принаймні таке:

(a) результати загального оцінювання ризиків, виконаного відповідно до статті 6(1) Рішення 1313/2013/ЄС;

(b) результати інших релевантних оцінювань ризиків, виконаних відповідно до вимог відповідних секторальних правових актів Союзу, включно з регламентами Європейського Парламенту і Ради (ЄС) 2017/1938 (33) та (ЄС) 2019/941 (34) і директивами Європейського Парламенту і Ради 2007/60/ЄС (35) та 2012/18/ЄС (36);

(c) відповідні ризики, що виникають у зв'язку зі ступенем взаємозалежності секторів, визначених у додатку, зокрема у зв'язку зі ступенем їхньої залежності від суб'єктів, розташованих у межах інших держав-членів і третіх країн, а також зі впливом, який суттєве порушення роботи в одному секторі може мати на інші сектори, включно з будь-якими значними ризиками для громадян і внутрішнього ринку;

(d) будь-яка інформація про інциденти, про які сповіщено відповідно до статті 15.

Для цілей пункту (c) першого підпараграфа, держави-члени повинні співпрацювати з компетентними органами інших держав-членів і компетентними органами третіх країн, залежно від випадку.

3. Держави-члени повинні надавати доступ до відповідних елементів оцінок ризиків держав-членів, у відповідних випадках через свої єдині контактні пункти, критично важливим суб'єктам, яких вони визначили відповідно до статті 6. Держави-члени повинні забезпечити, щоб інформація, надана критично важливим підприємствам, допомагала їм у виконанні їхніх оцінювань ризиків відповідно до статті 12 та у вжитті заходів для забезпечення їхньої стійкості відповідно до статті 13.

4. Протягом трьох місяців із моменту виконання державою-членом оцінювання ризиків держава-член повинна надати Комісії відповідну інформацію про типи ризиків, виявлених за результатами оцінювання ризиків державою-членом, та про результати такого оцінювання ризиків з розподілом за секторами й підсекторами, визначеними в додатку.

5. Комісія повинна у співпраці з державами-членами розробити рекомендовану спільну форму звітності для цілей досягнення відповідності положенням параграфа 4.

Стаття 6

Визначення критично важливих суб'єктів

1. До 17 липня 2026 року кожна держава-член повинна визначити критично важливі суб'єкти в секторах і підсекторах, визначених у додатку.

2. Якщо держава-член визначає критично важливі суб'єкти відповідно до параграфа 1, вона повинна враховувати результати оцінювання ризиків державою-членом та її стратегію і застосовувати всі зазначені нижче критерії:

(a) суб'єкт надає одну або декілька основних послуг;

(b) суб'єкт здійснює діяльність на території такої держави-члена, і його критична інфраструктура розташована на території такої держави-члена; та

(c) інцидент мав би значні негативні наслідки, визначені у статті 7(1), для надання таким суб'єктом однієї або кількох основних послуг або для надання інших основних послуг у визначених у додатку секторах, які залежать від такої основної послуги або таких основних послуг.

3. Кожна держава-член складає перелік критично важливих суб'єктів, визначених відповідно до параграфа 2, і забезпечує повідомлення таким критично важливим суб'єктам про те, що їх визначено критично важливими суб'єктами, протягом одного місяця з моменту такого визначення. Держави-члени інформують такі критично важливі суб'єкти про їхні зобов'язання відповідно до глав III та IV, а також про дату, з якої до них застосовні такі зобов'язання, без обмеження положень статті 8. Держави-члени інформують критично важливі суб'єкти в секторах, визначених у пунктах 3, 4 та 8 таблиці в додатку, про те, що вони не мають зобов'язань відповідно до глав III та IV, крім випадків, коли національними інструментами передбачено інше.

Для відповідних критично важливих суб'єктів главу III починають застосовувати через 10 місяців після дати повідомлення, згаданого в першому підпараграфі цього параграфа.

4. Держави-члени забезпечують, щоб їхні компетентні органи відповідно до цієї Директиви повідомляли компетентні органи згідно з Директивою (ЄС) 2022/2555 про критично важливі суб'єкти, яких вони визначили згідно з цією статтею, протягом одного місяця з моменту такого визначення. У такому повідомленні вказують, у відповідних випадках, що відповідні критично важливі суб'єкти є суб'єктами в секторах, визначених у пунктах 3, 4 та 8 таблиці в додатку до цієї Директиви, та не мають зобов'язань відповідно до глав III та IV цієї Директиви.

5. Держави-члени, за необхідності та в будь-якому випадку принаймні що чотири роки, переглядають і, у відповідних випадках, оновлюють перелік визначених критично важливих суб'єктів, згаданий у параграфі 3. Якщо такі оновлення спричиняють визначення додаткових критично важливих суб'єктів, до таких додаткових критично важливих суб'єктів застосовують параграфи 3 та 4. Крім того, держави-члени забезпечують, щоб суб'єкти, які більше не визначені як критично важливі суб'єкти за результатами будь-якого такого оновлення, отримували відповідне повідомлення про це і про те, що на них більше не поширено зобов'язання відповідно до глави III з дати отримання такого повідомлення.

6. Комісія, у співпраці з державами-членами, розробляє рекомендації та незобов'язальні настанови для надання підтримки державам-членам у визначенні критично важливих суб'єктів.

Стаття 7

Значні негативні наслідки

1. Визначаючи ступінь значності негативних наслідків, згаданих у пункті (c) статті 6(2), держави-члени враховують такі критерії:

(a) кількість користувачів, які покладаються на основну послугу, яку надає відповідний суб'єкт;

(b) ступінь залежності інших секторів і підсекторів, визначених у додатку, від відповідної основної послуги;

(c) вплив, який можуть мати інциденти, з погляду ступеня й тривалості, на економічну та суспільну діяльність, довкілля, громадську безпеку та безпеку або на здоров'я населення;

(d) ринкова частка суб'єкта на ринку відповідної основної послуги або відповідних основних послуг;

(e) географічний район, на який може вплинути інцидент, включно з будь-яким транскордонним впливом, з урахуванням вразливості, пов'язаної зі ступенем ізоляції певних типів географічних районів, як-то острівних регіонів, віддалених регіонів або гірських районів;

(f) важливість суб'єкта для підтримання достатнього рівня основної послуги з урахуванням доступності альтернативних засобів для надання такої основної послуги.

2. Після визначення критично важливих суб'єктів відповідно до статті 6(1) кожна держава-член невідкладно подає Комісії зазначену нижче інформацію:

(a) перелік основних послуг у такій державі-члені за наявності будь-яких додаткових основних послуг порівняно з переліком основних послуг, згаданим у статті 5(1);

(b) кількість критично важливих суб'єктів у кожному секторі та підсекторі, визначеному в додатку, та стосовно кожної основної послуги;

(c) будь-які порогові значення, застосовані для визначення одного чи кількох критеріїв у параграфі 1.

Порогові значення, згадані в пункті (c) першого підпараграфа, можуть бути представлені як такі або в агрегованій формі.

Держави-члени в подальшому подають інформацію, згадану в першому підпараграфі, за необхідності та принаймні один раз на чотири роки.

3. Комісія, за результатами консультацій із Групою з питань стійкості критично важливих суб'єктів, згаданою у статті 19, ухвалює незобов'язальні настанови для сприяння застосуванню критеріїв, згаданих у параграфі 1 цієї статті, з урахуванням інформації, згаданої в параграфі 2 цієї статті.

Стаття 8

Критично важливі суб'єкти в банківському секторі, секторах інфраструктури фінансових ринків і цифрової інфраструктури

Держави-члени забезпечують, щоб стаття 11 і глави III, IV та VI не застосовувалися до критично важливих суб'єктів, яких вони визначили в секторах, визначених у пунктах 3, 4 та 8 таблиці в додатку. Держави-члени можуть ухвалювати або зберігати положення національного права для досягнення вищого рівня стійкості таких критично важливих суб'єктів за умови, що такі положення узгоджені із застосовним правом Союзу.

Стаття 9

Компетентні органи та єдині контактні пункти

1. Кожна держава-член визначає або створює один або кілька компетентних органів, відповідальних за правильне застосування та, за необхідності, забезпечення застосування правил, визначених у цій Директиві, на національному рівні.

Що стосується критично важливих суб'єктів у секторах, визначених у пунктах 3 та 4 таблиці в додатку до цієї Директиви, компетентні органи повинні, в принципі, бути компетентними органами, згаданими у статті 46 Регламенту (ЄС) 2022/2554. Що стосується критично важливих суб'єктів у секторі, визначеному в пункті 8 таблиці в додатку до цієї Директиви, компетентні органи повинні, в принципі, бути компетентними органами відповідно до Директиви (ЄС) 2022/2555. Держави-члени можуть визначити інший компетентний орган у секторах, визначених у пунктах 3, 4 та 8 таблиці в додатку до цієї Директиви, відповідно до наявних національних рамок.

Якщо держави-члени визначають або створюють декілька компетентних органів, вони повинні чітко визначити завдання кожного з відповідних органів і забезпечити, щоб вони дієво співпрацювали для виконання своїх завдань відповідно до цієї Директиви, зокрема й стосовно визначення та діяльності єдиного контактного пункту, згаданого в параграфі 2.

2. Кожна держава-член визначає або створює єдиний контактний пункт для виконання функції взаємодії для цілей забезпечення транскордонної співпраці з єдиними контактними пунктами інших держав-членів і Групи з питань стійкості критично важливих суб'єктів, згаданої у статті 19 («єдиний контактний пункт»). У відповідних випадках держава-член визначає свій єдиний контактний пункт у межах компетентного органу. У відповідних випадках держава-член може передбачити, що її єдиний контактний пункт виконує функцію взаємодії з Комісією та забезпечує співпрацю з третіми країнами.

3. До 17 липня 2028 року та що два роки після зазначеної дати єдині контактні пункти подають зведений звіт Комісії та Групі з питань стійкості критично важливих суб'єктів, згаданій у статті 19, про сповіщення, які вони отримали, зокрема про кількість сповіщень, характер сповіщених інцидентів та дії, виконані відповідно до статті 15(3).

Комісія, у співпраці з Групою з питань стійкості критично важливих суб'єктів, розробляє спільну форму звітності. Компетентні органи можуть добровільно використовувати таку спільну форму звітності для цілей подання зведених звітів, згаданих у першому підпараграфі.

4. Кожна держава-член забезпечує, щоб її компетентний орган та єдиний контактний пункт мали повноваження та достатні фінансові, людські й технічні ресурси для дієвого й ефективного виконання доручених їм завдань.

5. Кожна держава-член забезпечує, щоб її компетентний орган, у відповідних випадках та згідно з правом Союзу і національним правом, консультувався та співпрацював з іншими відповідними національними органами, включно з тими, що відповідають за цивільний захист, правоохоронну функцію і захист персональних даних, а також із критично важливими суб'єктами й відповідними заінтересованими сторонами.

6. Кожна держава-член забезпечує, щоб її компетентний орган відповідно до цієї Директиви співпрацював та обмінювався інформацією з компетентними органами відповідно до Директиви (ЄС) 2022/2555 про ризики для кібербезпеки, кіберзагрози й кіберінциденти, а також про не пов'язані з кібербезпекою ризики, загрози й інциденти, що впливають на критично важливі суб'єкти, зокрема стосовно відповідних заходів, ужитих її компетентним органом та компетентними органами відповідно до Директиви (ЄС) 2022/2555.

7. Протягом трьох місяців з моменту визначення або створення компетентного органу та єдиного контактного пункту кожна держава-член повідомляє Комісію про їхні ідентифікаційні дані, завдання й зобов'язання відповідно до цієї Директиви, їхні контактні дані та будь-які подальші зміни до них. Держави-члени інформують Комісію у випадках, коли вони вирішують визначити орган, який не є компетентним органом, згаданим у другому підпараграфі параграфа 1, компетентним органом стосовно критично важливих суб'єктів у секторах, визначених у пунктах 3, 4 та 8 таблиці в додатку. Кожна держава-член оприлюднює ідентифікаційні дані свого компетентного органу та єдиного контактного пункту.

8. Комісія оприлюднює перелік єдиних контактних пунктів.

Стаття 10

Підтримки державами-членами критично важливих суб'єктів

1. Держави-члени надають підтримку критично важливим суб'єктам у посиленні їхньої стійкості. Така підтримка може включати розробку настановчих матеріалів і методологій, підтримку в організації практичних сесій для випробування їхньої стійкості та надання рекомендацій і навчання персоналу критично важливих суб'єктів. Без обмеження застосовних правил щодо державної допомоги, держави-члени можуть надавати фінансові ресурси критично важливим суб'єктам у випадках, коли це необхідно та виправдано цілями суспільних інтересів.

2. Кожна держава-член забезпечує, щоб її компетентний орган співпрацював та обмінювався інформацією й належними практиками з критично важливими суб'єктами із секторів, визначених у додатку.

3. Держави-члени сприяють добровільному обміну інформацією між критично важливими суб'єктами з питань, охоплених цією Директивою, згідно з правом Союзу та національним правом щодо, зокрема, секретної та чутливої інформації, конкуренції та захисту персональних даних.

Стаття 11

Співпраця між державами-членами

1. У відповідних випадках держави-члени консультуються одна з одною щодо критично важливих суб'єктів для забезпечення узгодженого застосування цієї Директиви. Такі консультації повинні відбуватися, зокрема, стосовно критично важливих суб'єктів, які:

(a) користуються критичною інфраструктурою, що є фізично сполученою між двома або декількома державами-членами;

(b) є частиною корпоративних структур, які сполучені з критично важливими суб'єктами в інших державах-членах або під'єднані до них;

(c) визначено як критично важливі суб'єкти в одній держав-члені та надають основні послуги іншим державам-членам або в інших державах-членах.

2. Консультації, згадані в параграфі 1, повинні бути спрямовані на посилення стійкості критично важливих суб'єктів та за можливості на зменшення адміністративного тягаря для них.

ГЛАВА III

СТІЙКІСТЬ КРИТИЧНО ВАЖЛИВИХ СУБ'ЄКТІВ

Стаття 12

Оцінювання ризиків критично важливими суб'єктами

1. Незважаючи на термін, установлений у другому підпараграфі статті 6(3), держави-члени повинні забезпечити, щоб критично важливі суб'єкти виконували оцінювання ризиків впродовж дев'яти місяців з моменту отримання повідомлення, згаданого у статті 6(3), в подальшому за необхідності та принаймні один раз на чотири роки на основі результатів оцінювання ризиків держав-членів та інших відповідних джерел інформації, щоб оцінити всі релевантні ризики, які можуть призвести до порушення надання їхніх основних послуг («оцінювання ризиків критично важливим суб'єктом»).

2. Оцінки ризиків критично важливих суб'єктів повинні враховувати всі відповідні природні та антропогенні ризики, які можуть призводити до інцидентів, у тому числі ті, що мають міжсекторальний або транскордонний характер, нещасні випадки, стихійні лиха, надзвичайні ситуації у сфері громадського здоров'я, гібридні загрози та інші ворожі загрози, у тому числі терористичні напади, як передбачено в Директиві (ЄС) 2017/541. Оцінки ризиків критично важливих суб'єктів повинні враховувати ступінь залежності інших секторів, визначених у додатку, від основних послуг, надаваних такими критично важливими суб'єктами, і ступінь залежності таких критично важливих суб'єктів від основних послуг, надаваних іншими суб'єктами в таких інших секторах, зокрема, у відповідних випадках, у сусідніх державах-членах і третіх країнах.

Якщо критично важливий суб'єкт виконав інші оцінювання ризиків або розробив документи на виконання зобов'язань, встановлених в інших правових актах, які є релевантними для його оцінювання ризиків критично важливим суб'єктом, він може використовувати такі оцінки й документи для виконання вимог, визначених у цій статті. Виконуючи свої наглядові функції, компетентний орган може визнати наявну оцінку ризиків критично важливих суб'єктів, у якій визначено ризики та ступінь залежності, згаданий у першому підпараграфі цього параграфа, такими, що повністю або частково відповідають зобов'язанням відповідно до цієї статті.

Стаття 13

Заходи із забезпечення стійкості критично важливих суб'єктів

1. Держави-члени забезпечують, щоб критично важливі суб'єкти вживали належних і пропорційних технічних, безпекових та організаційних заходів для забезпечення їхньої стійкості на основі релевантної інформації, надаваної державами-членами щодо оцінювання ризиків державами-членами та щодо результатів оцінювання ризиків критично важливими суб'єктами, включно із заходами, необхідними для:

(a) запобігання інцидентам з належним урахуванням можливості вжиття заходів зі зменшення ризику катастроф і з адаптації до змін клімату;

(b) забезпечення належного фізичного захисту їхніх приміщень та критичної інфраструктури з належним урахуванням можливості, наприклад, встановлення огорож, бар'єрів, використання інструментів і порядків спостереження за периметром, апаратури виявлення і засобів контролю доступу;

(c) реагування на інциденти, протистояння їм, пом'якшення їхніх наслідків з належним урахуванням можливості реалізації процедур і протоколів управління ризиками й кризами та порядків оповіщення;

(d) відновлення після інцидентів із належним урахуванням можливості вжиття заходів із забезпечення безперервної роботи і визначення альтернативних ланцюгів постачань із метою відновлення надання основних послуг;

(e) забезпечення адекватного управління безпекою персоналу з належним урахуванням можливості вжиття таких заходів, як визначення категорій персоналу, що виконують критично важливі функції, встановлення прав доступу до приміщень, критичної інфраструктури й чутливої інформації, визначення процедур перевірки анкетних даних відповідно до статті 14 та призначення категорій осіб, зобов'язаних проходити перевірки анкетних даних, а також встановлення належних вимог щодо підготовки та кваліфікацій;

(f) підвищення рівня обізнаності щодо заходів, згаданих у пунктах (a)-(e), серед відповідного персоналу з належним урахуванням можливості організації навчальних курсів, забезпечення інформаційними матеріалами та проведення інформаційних заходів.

Для цілей пункту (e) першого підпараграфа, держави-члени забезпечують, щоб критично важливі суб'єкти враховували персонал зовнішніх надавачів послуг під час визначення категорій персоналу, що виконує критично важливі функції.

2. Держави-члени забезпечують, щоб критично важливі суб'єкти мали в наявності та застосовували план забезпечення стійкості або рівноцінний документ чи рівноцінні документи з описом заходів, ужитих відповідно до параграфа 1. Якщо критично важливі суб'єкти розробили документи або вжили заходів на виконання зобов'язань, встановлених в інших правових актах, які є релевантними стосовно заходів, згаданих у параграфі 1, вони можуть використовувати такі документи й заходи для виконання вимог, визначених у цій статті. Виконуючи свої наглядові функції, компетентний орган може визнати наявні вжиті критично важливим суб'єктом заходи з посилення стійкості, що в належний і пропорційний спосіб врегульовують технічні, безпекові й організаційні заходи, згадані в параграфі 1, такими, що повністю або частково відповідають зобов'язанням відповідно до цієї статті.

3. Держави-члени повинні забезпечити, щоб кожен критично важливий суб'єкт призначив відповідального за взаємодію або іншого фахівця з рівноцінними зобов'язаннями контактною особою з компетентними органами.

4. На запит держави-члена, яка визначила критично важливий суб'єкт, та за згодою відповідного критично важливого суб'єкта Комісія організує дорадчі місії згідно з механізмами, визначеними у статті 18(6), (8) та (9), для надання рекомендацій відповідному критично важливому суб'єкту стосовно виконання зобов'язань відповідно до глави III. Така дорадча місія звітує про отримані результати Комісії, відповідній державі-члену та дотичному критично важливому суб'єкту.

5. Комісія, за результатами консультацій із Групою з питань стійкості критично важливих суб'єктів, згаданою у статті 19, ухвалює незобов'язальні настанови для подальшого визначення технічних, безпекових та організаційних заходів, які можуть бути вжиті відповідно до параграфа 1 цієї статті.

6. Комісія ухвалює імплементаційні акти для визначення необхідних технічних і методологічних специфікацій, що стосуються застосування заходів, згаданих у параграфі 1 цієї статті. Такі імплементаційні акти ухвалюють згідно з експертною процедурою, зазначеною у статті 24(2).

Стаття 14

Перевірки анкетних даних

1. Держави-члени визначають умови, за яких критично важливому суб'єкту дозволено, в належним чином обґрунтованих випадках та з урахуванням результатів оцінювання ризиків державами- членами, подавати запити про проведення перевірок анкетних даних стосовно осіб, які:

(a) виконують чутливі функції в критично важливих суб'єктах або на їхню користь, зокрема щодо забезпечення стійкості критично важливого суб'єкта;

(b) уповноважені мати прямий або віддалений доступ до його приміщень, інформаційних систем або систем контролю, зокрема у зв'язку із забезпеченням безпеки критичного важливого суб'єкта;

(c) є претендентами на посади, на які поширені критерії, визначені в пункті (a) або (b).

2. Запити, згадані в параграфі 1 цієї статті, оцінюють у межах розумного строку та опрацьовують відповідно до національного права та національних процедур і релевантного й застосовного права Союзу, включно з Регламентом (ЄС) 2016/679 і Директивою Європейського Парламенту і Ради (ЄС) 2016/680 (37). Перевірки анкетних даних повинні бути пропорційними та суворо обмеженими до необхідного. Їх проводять виключно з метою оцінювання потенційного безпекового ризику для дотичного критично важливого суб'єкта.

3. Перевірка анкетних даних, згадана в параграфі 1, повинна досягати принаймні таких цілей:

(a) підтвердити ідентифікаційні дані особи, стосовно якої проводять таку перевірку анкетних даних;

(b) перевірити наявність судимостей у такої особи щодо правопорушень, які є релевантними для конкретної посади.

Під час проведення перевірок анкетних даних держави-члени використовують Європейську систему інформації про судимості згідно з процедурами, визначеними в Рамковому рішенні 2009/315/ЮВС та, у відповідних випадках, коли це застосовно, в Регламенті (ЄС) 2019/816, для отримання інформації з реєстрів судимостей, які ведуть інші держави-члени. Центральні органи, згадані у статті 3(1) Рамкового рішення 2009/315/ЮВС та в пункті (5) статті 3 Регламенту (ЄС) 2019/816, повинні відповідати на запити про надання такої інформації протягом 10 робочих днів із дати, коли такий запит було отримано, відповідно до статті 8(1) Рамкового рішення 2009/315/ЮВС.

Стаття 15

Повідомлення про інциденти

1. Держави-члени забезпечують, щоб критично важливі суб'єкти без невиправданої затримки повідомляли компетентний орган про інциденти, що призводять або можуть призвести до серйозних порушень у наданні основних послуг. Держави-члени забезпечують, щоб критично важливі суб'єкти, крім випадків, коли вони не мають операційної можливості це зробити, подавали початкове повідомлення не пізніше ніж через 24 години після того, як їм стане відомо про інцидент, з подальшим поданням, у відповідних випадках, детального звіту впродовж не більше ніж одного місяця. Щоб визначити серйозність порушення, повинні бути враховані, зокрема, зазначені нижче чинники:

(a) кількість і частка користувачів, які зазнали впливу внаслідок такого порушення;

(b) тривалість такого порушення;

(c) географічний район, який зазнав впливу внаслідок такого порушення, з урахуванням того, чи є такий район географічно ізольованим.

Якщо інцидент має або може мати значний вплив на безперервність надання основних послуг не меншеніж шістьом державам-членам або не менше ніж у шести державах-членах, компетентні органи таких держав-членів, які зазнали впливу внаслідок такого порушення, повідомляють Комісію про такий інцидент.

2. Повідомлення, згадані в першому підпараграфі параграфа 1, повинні включати будь-яку доступну інформацію, необхідну для того, щоб дати можливість компетентному органу зрозуміти характер, причину та можливі наслідки такого інциденту, включно з будь-якою доступною інформацією, необхідною для визначення будь-якого транскордонного впливу такого інциденту. Такі повідомлення не мають наслідком збільшення відповідальності для критично важливих суб'єктів.

3. На основі інформації, наданої критично важливим суб'єктом у повідомленні, згаданому в параграфі 1, відповідний компетентний орган через єдиний контактний пункт інформує єдиний контактний пункт інших відповідних держав-членів, якщо інцидент має або може мати значний вплив на критично важливі суб'єкти та на безперервність надання основних послуг одній чи декільком державам-членам або в одній чи кількох державах-членах.

Єдині контактні пункти, які надсилають і отримують інформацію відповідно до першого підпараграфа, повинні, згідно з правом Союзу або національним правом, поводитися з такою інформацією в такий спосіб, щоб зберігати її конфіденційність та захищати безпекові й комерційні інтереси відповідних критично важливих суб'єктів.

4. Якнайшвидше після повідомлення, згаданого в параграфі 1, дотичний компетентний орган надає дотичному критично важливому суб'єкту відповідну подальшу інформацію, включно з інформацією, яка може сприяти дієвому реагуванню таким критично важливим суб'єктом на відповідний інцидент. Держави-члени інформують суспільство у випадках, коли вони вирішать, що це буде в суспільних інтересах.

Стаття 16

Стандарти

Для сприяння збіжній імплементації цієї Директиви, якщо це корисно і без нав'язування або дискримінації на користь використання технології певного типу, держави-члени заохочують використання європейських або міжнародних стандартів і технічних специфікацій, які стосуються заходів із забезпечення безпеки та стійкості, застосовні до критично важливих суб'єктів.

ГЛАВА IV

КРИТИЧНО ВАЖЛИВІ СУБ'ЄКТИ, ЩО МАЮТЬ ОСОБЛИВЕ ЗНАЧЕННЯ ДЛЯ ЄВРОПИ

Стаття 17

Визначення критично важливих суб'єктів, які є особливо значущими для Європи

1. Суб'єкт вважають критично важливим суб'єктом, який є особливо значущим для Європи, якщо він:

(a) визначений як критично важливий суб'єкт відповідно до статті 6(1);

(b) надає такі самі або подібні основні послуги не менше ніж шістьом державам-членам або не менше ніж у шести державах-членах;

(c) отримав повідомлення відповідно до параграфа 3 цієї статті.

2. Держави-члени забезпечують, щоб критично важливий суб'єкт після отримання повідомлення, згаданого у статті 6(3), поінформував свій компетентний орган про те, що він надає основні послуги не менше ніж шістьом державам-членам або не менше ніж у шести державах-членах. У такому випадку держави-члени забезпечують, щоб критично важливий суб'єкт поінформував свій компетентний орган про основні послуги, які він надає таким державам-членам або в таких державах-членах, та про держави-члени, яким або в яких він надає такі основні послуги. Держави-члени без невиправданої затримки надають Комісії ідентифікаційні дані таких критично важливих суб'єктів та інформацію, яку вони надають відповідно до цього параграфа.

Комісія проводить консультації з компетентним органом держави-члена, яка визначила критично важливий суб'єкт, згаданий у першому підпараграфі, компетентним органом інших дотичних держав-членів і відповідним критично важливим суб'єктом. Під час таких консультацій кожна держава-член інформує Комісію, якщо вона вважає, що послуги, надавані такій державі-члену таким критично важливим суб'єктом, є основними послугами.

3. Якщо Комісія за результатами консультацій, згаданих у параграфі 2 цієї статті, встановлює, що відповідний критично важливий суб'єкт надає основні послуги не менше ніж шістьом державам-членам або не менше ніж у шести державах-членах, Комісія повідомляє такого критично важливого суб'єкта через свій компетентний орган про те, що його вважають критично важливим суб'єктом, який є особливо значущим для Європи, та інформує такий критично важливий суб'єкт про його зобов'язання відповідно до цієї глави та про дату, з якої до нього застосовні такі зобов'язання. Після того, як Комісія поінформує компетентний орган про своє рішення вважати критично важливий суб'єкт критично важливим суб'єктом, який є особливо значущим для Європи, такий компетентний орган без невиправданої затримки передає таке повідомлення такому критично важливому суб'єкту.

4. Цю главу застосовують до дотичних критично важливих суб'єктів, які є особливо значущими для Європи, з дати отримання повідомлення, згаданого в параграфі 3 цієї статті.

Стаття 18

Дорадчі місії

1. На запит держави-члена, яка визначила критично важливий суб'єкт, який є особливо значущим для Європи, критично важливим суб'єктом відповідно до статті 6(1), Комісія організовує дорадчу місію для оцінювання заходів, які такий критично важливий суб'єкт запровадив на виконання своїх зобов'язань відповідно до глави III.

2. З власної ініціативи або на запит однієї чи кількох держав-членів, яким або в яких надають основну послугу, а також за умови, що держава-член, яка визначила критично важливий суб'єкт, який є особливо значущим для Європи, критично важливим суб'єктом відповідно до статті 6(1), надає свою згоду, Комісія організовує дорадчу місію, згадану в параграфі 1 цієї статті.

3. На обґрунтований запит Комісії або однієї чи декількох держав-членів, яким або в яких надають основну послугу, держава-член, яка визначила критично важливий суб'єкт, який є особливо значущим для Європи, критично важливим суб'єктом відповідно до статті 6(1), надає Комісії таку інформацію:

(a) відповідні частини оцінки ризиків критично важливих суб'єктів;

(b) перелік відповідних заходів, ужитих відповідно до статті 13;

(c) наглядові або правозастосовні дії, включно з оцінками відповідності або виданими приписами, які її компетентний орган виконав/видав відповідно до статті 21 та 22 стосовно такого критично важливого суб'єкта.

4. Дорадча місія звітує про отримані результати Комісії державі-члену, яка визначила критично важливий суб'єкт, який є особливо значущим для Європи, критично важливим суб'єктом відповідно до статті 6(1), державам-членам, яким або в яких надають основну послугу, і дотичному критично важливому суб'єкту впродовж трьох місяців з моменту завершення такої дорадчої місії.

Держави-члени, яким або в яких надають основну послугу, аналізують звіт, згаданий у першому підпараграфі, та за необхідності консультують Комісію щодо того, чи критично важливий суб'єкт, який є особливо значущим для Європи, виконує свої зобов'язання відповідно до глави III, а також, у відповідних випадках, щодо заходів, яких можна вжити для покращення стійкості такого критично важливого суб'єкта.

Комісія на основі консультації, згаданої в другому підпараграфі цього параграфа, передає свій висновок державі-члену, яка визначила критично важливий суб'єкт, який є особливо значущим для Європи, критично важливим суб'єктом відповідно до статті 6(1), державам-членам, яким або в яких надають основну послугу, і такому критично важливому суб'єкту щодо того, чи такий критично важливий суб'єкт виконує свої зобов'язання відповідно до глави III, та, у відповідних випадках, щодо заходів, яких можна вжити для покращення стійкості такого критично важливого суб'єкта.

Держава-член, яка визначила критично важливий суб'єкт, який є особливо значущим для Європи, критично важливим суб'єктом відповідно до статті 6(1), забезпечує, щоб її компетентний орган і дотичний критично важливий суб'єкт врахували висновок, згаданий у третьому підпараграфі цього параграфа, та надали інформацію Комісії та державам-членам, яким або в яких надають основну послугу, щодо заходів, яких він ужив відповідно до такого висновку.

5. Кожна дорадча місія складається з експертів з держави-члена, в якій розташований критично важливий суб'єкт, який є особливо значущим для Європи, експертів з держав-членів, яким або в яких надають основну послугу, і представників Комісії. Такі держави-члени можуть пропонувати кандидатів до складу дорадчої місії. Комісія, за результатами консультації з державою-членом, яка визначила критично важливий суб'єкт, який є особливо значущим для Європи, критично важливим суб'єктом відповідно до статті 6(1), вибирає та призначає членів кожної дорадчої місії відповідно до їхньої професійної спроможності та за можливості забезпечує географічно збалансоване представлення всіх держав-членів. За необхідності члени дорадчої місії повинні мати дійсний допуск до секретної інформації належного рівня. Комісія несе витрати, пов'язані з участю в дорадчих місіях.

Комісія організовує програму кожної дорадчої місії у консультації з членами відповідної дорадчої місії та за згоди держави-члена, яка визначила критично важливий суб'єкт, який є особливо значущим для Європи, критично важливим суб'єктом відповідно до статті 6(1)

6. Комісія ухвалює імплементаційний акт, який встановлює процедурний порядок стосовно запитів на організацію дорадчих місій, опрацювання таких запитів, проведення та звітів дорадчих місій і виконання передачі висновку Комісії, згаданого в третьому підпараграфі параграфа 4 цієї статті, а також про вжиті заходи з належним урахуванням конфіденційності та комерційної чутливості дотичної інформації. Такий імплементаційний акт ухвалюють згідно з експертною процедурою, зазначеною у статті 24(2).

7. Держави-члени забезпечують, щоб критично важливі суб'єкти, які є особливо значущими для Європи, надавали дорадчим місіям доступ до інформації, систем та об'єктів, пов'язаних з наданням їхніх основних послуг, необхідних для здійснення відповідної дорадчої місії.

8. Дорадчі місії реалізовують згідно із застосовним національним правом держави-члена, в якій вони відбуваються, з дотриманням відповідальності держав-членів за національну безпеку та захист її безпекових інтересів.

9. Організовуючи дорадчі місії, Комісія враховує звіти про результати будь-яких інспекцій, проведених Комісією відповідно до Регламентів (ЄС) № 725/2004 та (ЄС) № 300/2008, а також звіти про результати будь-якого моніторингу, який здійснює Комісія відповідно до Директиви 2005/65/ЄС стосовно відповідного критичного важливого суб'єкта.

10. Комісія інформує Групу з питань стійкості критично важливих суб'єктів, згадану в статті 19, щоразу коли організовують дорадчу місію. Держава-член, у якій відбулася дорадча місія, і Комісія також інформують Групу з питань стійкості критично важливих суб'єктів про основні результати роботи дорадчої місії та набутий досвід з метою сприяння взаємному навчанню.

ГЛАВА V

СПІВПРАЦЯ ТА ЗВІТУВАННЯ

Стаття 19

Група з питань стійкості критично важливих суб'єктів

1. Групу з питань стійкості критично важливих суб'єктів створено цією Директивою. Група з питань стійкості критично важливих суб'єктів надає підтримку Комісії та сприяє співпраці між державами-членами й обміну інформацією з питань, що стосуються цієї Директиви.

2. Група з питань стійкості критично важливих суб'єктів складається з представників держав-членів і Комісії, які, у відповідних випадках, мають допуск до секретної інформації. Якщо це доречно для виконання її завдань, Група з питань стійкості критично важливих суб'єктів може запросити відповідних стейкхолдерів взяти участь у її роботі. На запит Європейського Парламенту Комісія може запропонувати експертам з Європейського Парламенту відвідати засідання Групи з питань стійкості критично важливих суб'єктів.

Очолює Групу з питань стійкості критично важливих суб'єктів представник Комісії.

3. Група з питань стійкості критично важливих суб'єктів має такі завдання:

(a) підтримка Комісії в наданні допомоги державам-членам у посиленні їхньої спроможності сприяти забезпеченню стійкості критично важливих суб'єктів відповідно до цієї Директиви;

(b) аналіз стратегій для визначення найкращих практик стосовно таких стратегій;

(c) сприяння обміну найкращими практиками стосовно визначення критично важливих суб'єктів державами-членами відповідно до статті 6(1), зокрема стосовно транскордонних та міжсекторальних залежностей і стосовно ризиків та інцидентів;

(d) у відповідних випадках сприяння в питаннях, пов'язаних із цією Директивою, стосовно документів щодо стійкості на рівні Союзу;

(e) сприяння підготовці настанов, згаданих у статті 7(3) та статті 13(5), а також, за запитом, будь-яких делегованих або імплементаційних актів, ухвалюваних відповідно до цієї Директиви;

(f) аналіз зведених звітів, згаданих у статті 9(3), з метою сприяння поширенню найкращих практик щодо дій, виконуваних відповідно до статті 15(3);

(g) обмін найкращими практиками щодо повідомлення про інциденти, згаданого у статті 15;

(h) обговорення зведених звітів дорадчих місій та набутий досвід відповідно до статті 18(10);

(i) обмін інформацією та найкращими практиками щодо інновацій, досліджень і розробок, пов'язаних зі стійкістю критично важливих суб'єктів відповідно до цієї Директиви;

(j) у відповідних випадках обмін інформацією з питань, що стосуються стійкості критично важливих суб'єктів, з відповідними установами, органами, офісами й агентствами Союзу.

4. До 17 січня 2025 року та що два роки після того Група з питань стійкості критично важливих суб'єктів створює робочу програму стосовно дій, які належить виконувати для досягнення її цілей та реалізації її завдань. Така робоча програма повинна відповідати вимогам та цілям цієї Директиви.

5. Група з питань стійкості критично важливих суб'єктів проводить регулярні зустрічі, в будь-якому разі щонайменше раз на рік, з Групою співпраці, створеною відповідно до Директиви (ЄС) 2022/2555, щоб сприяти співпраці й обміну інформацією і полегшувати їх.

6. Комісія може ухвалювати імплементаційні акти, які б установлювали процедурні порядки, необхідні для функціонування Групи з питань стійкості критично важливих суб'єктів, з дотриманням положень статті 1(4). Такі імплементаційні акти ухвалюють згідно з експертною процедурою, зазначеною у статті 24(2).

7. Комісія надає Групі з питань стійкості критично важливих суб'єктів зведений звіт, що містить інформацію, надавану державами-членами відповідно до статті 4(3) та статті 5(4), до 17 січня 2027 року, а в подальшому - за необхідності та принаймні один раз на чотири роки.

Стаття 20

Підтримка Комісією компетентних органів і критично важливих суб'єктів

1. Комісія, де це доцільно, надає підтримку державам-членам і критично важливим суб'єктам у виконанні їхніх зобов'язань відповідно до цієї Директиви. Комісія повинна підготувати огляд транскордонних і міжсекторальних ризиків для надання основних послуг на рівні Союзу, організовувати дорадчі місії, згадані у статті 13(4) та статті 18, а також сприяти обміну інформацією між державами-членами та експертами у всьому Союзі.

2. Комісія доповнює діяльність держав-членів, згадану у статті 10, шляхом розроблення найкращих практик, настановчих матеріалів і методологій, а також проведення транскордонних навчань і практичних сесій для випробовування стійкості критично важливих суб'єктів.

3. Комісія інформує держави-члени про фінансові ресурси на рівні Союзу, доступні державам-членам для посилення стійкості критично важливих суб'єктів.

ГЛАВА VI

НАГЛЯД І ЗАБЕЗПЕЧЕННЯ ВИКОНАННЯ

Стаття 21

Нагляд і забезпечення виконання

1. Щоб оцінити, чи виконують суб'єкти, визначені державами-членами як критично важливі суб'єкти відповідно до статті 6(1), зобов'язання, встановлені в цій Директиві, держави-члени повинні забезпечити, щоб компетентні органи мали повноваження та засоби, щоб:

(a) проводити виїзні огляди об'єктів критичної інфраструктури та приміщень, які використовує критично важливий суб'єкт для надання своїх основних послуг, а також виїзний нагляд за заходами, яких критично важливі суб'єкти вживають відповідно до статті 13;

(b) проводити або доручати проведення аудиторських перевірок стосовно критично важливих суб'єктів.

2. Держави-члени забезпечують, щоб компетентні органи мали повноваження та засоби вимагати, якщо це необхідно для виконання їхніх завдань відповідно до цієї Директиви, від суб'єктів, що їх держави-члени визначили критично важливими суб'єктами відповідно до Директиви (ЄС) 2022/2555, відповідно до цієї Директиви надавати протягом розумного строку, встановленого такими органами:

(a) інформацію, необхідну для оцінювання того, чи заходи, вжиті такими суб'єктами для забезпечення своєї стійкості, відповідають вимогам, встановленим у статті 13;

(b) докази дієвої реалізації таких заходів, включно з результатами аудиторської перевірки, проведеної незалежним і кваліфікованим аудитором, вибраним таким суб'єктом, та за рахунок такого суб'єкта.

Вимагаючи таку інформацію, компетентні органи повинні зазначати мету такої вимоги та конкретизувати, яку саме інформацію вони вимагають.

3. Без обмеження можливості накладати санкції відповідно до статті 22, компетентні органи можуть за результатами наглядових дій, згаданих у параграфі 1 цієї статті, або оцінювання інформації, згаданої в параграфі 2 цієї статті, видати дотичним критично важливим суб'єктам розпорядження вжити необхідних і пропорційних заходів для усунення будь-яких виявлених порушень цієї Директиви протягом розумного строку, встановленого такими органами, і надати таким органам інформацію про вжиті заходи. У таких розпорядженнях повинна бути врахована, зокрема, серйозність порушення.

4. Держави-члени забезпечують, щоб повноваження, передбачені в параграфах 1, 2 та 3, можна було здійснювати лише за умови дотримання відповідних гарантій. Такі гарантії повинні забезпечувати, зокрема, щоб такі повноваження здійснювали в об'єктивний, прозорий і пропорційний спосіб та щоб права й законні інтереси відповідних критично важливих суб'єктів, як-то захист комерційної та промислової таємниці, були належним чином гарантовані, включно з правом бути заслуханим, правом на захист та правом на ефективний засіб правового захисту у незалежному суді.

5. Держави-члени забезпечують, щоб коли компетентний орган згідно з цією Директивою оцінює відповідність критично важливого суб'єкта на основі цієї статті, цей компетентний орган інформував компетентні органи дотичних держав-членів згідно з Директивою (ЄС) 2022/2555. Для цього держави-члени забезпечують, щоб компетентні органи згідно з цією Директивою мали можливість звернутися до компетентних органів згідно з Директивою (ЄС) 2022/2555 із запитом про здійснення своїх наглядових та правозастосовних повноважень стосовно суб'єкта згідно з цією Директивою, якого визначено критично важливим суб'єктом згідно з цією Директивою. Для цього держави-члени забезпечують, щоб компетентні органи згідно з цією Директивою співпрацювали та обмінювалися інформацією з компетентними органами згідно з Директивою (ЄС) 2022/2555.

Стаття 22

Санкції

Держави-члени встановлюють правила щодо санкцій, застосовних у разі недотримання національних положень, ухвалених згідно з цією Директивою, та вживають всіх необхідних заходів для забезпечення їх виконання. Передбачені санкції повинні бути дієвими, пропорційними та стримувальними. Держави-члени повинні до 17 жовтня 2024 року повідомити Комісію про такі правила й заходи, а також повинні невідкладно повідомляти її про будь-які подальші зміни, які на них впливають.

ГЛАВА VII

ДЕЛЕГОВАНІ ТА ІМПЛЕМЕНТАЦІЙНІ АКТИ

Стаття 23

Здійснення делегованих повноважень

1. Повноваження ухвалювати делеговані акти надано Комісії відповідно до умов, встановлених у цій статті.

2. Повноваження ухвалювати делеговані акти, згадані у статті 5(1), надано Комісії на п'ятирічний період, починаючи з 16 січня 2023 року.

3. Делеговані повноваження, згадані у статті 5(1), можуть бути в будь-який час відкликані Європейським Парламентом або Радою. Рішення про відкликання припиняє дію делегованих повноважень, зазначених у такому рішенні. Таке рішення набуває чинності на наступний день після його опублікування в Офіційному віснику Європейського Союзу або з пізнішої дати, вказаної в ньому. Воно не впливає на чинність будь-яких делегованих актів, які вже набули чинності.

4. Перед ухваленням делегованого акта Комісія проводить консультації з експертами, визначеними кожною державою-членом відповідно до принципів, встановлених у Міжінституційній угоді від 13 квітня 2016 року про краще законотворення.

5. Щойно Комісія ухвалює делегований акт, вона одночасно повідомляє про це Європейському Парламенту і Раді.

6. Делегований акт, ухвалений відповідно до статті 5(1), набуває чинності, тільки якщо ані Європейський Парламент, ані Рада не висловили жодних заперечень протягом двомісячного періоду з моменту повідомлення про такий акт Європейському Парламенту і Раді або якщо до закінчення такого періоду Європейський Парламент і Рада поінформували Комісію про те, що вони не заперечуватимуть. Такий період продовжують іще на два місяці з ініціативи Європейського Парламенту або Ради.

Стаття 24

Процедура комітету

1. Комісії допомагає комітет. Таким комітетом є комітет у розумінні Регламенту (ЄС) № 182/2011.

2. У разі покликання на цей параграф застосовують статтю 5 Регламенту (ЄС) № 182/2011.

ГЛАВА VIII

ПРИКІНЦЕВІ ПОЛОЖЕННЯ

Стаття 25

Звітування та перегляд

Комісія повинна до 17 липня 2027 року подати до Європейського Парламенту і Ради звіт з оцінкою того, якою мірою кожна держава-член вжила необхідних заходів для дотримання цієї Директиви.

Комісія періодично переглядає функціонування цієї Директиви та звітує Європейському Парламенту і Раді. Такий звіт повинен, зокрема, містити оцінку доданої цінності цієї Директиви, її впливу на забезпечення стійкості критично важливих суб'єктів та потребу у внесенні змін до додатку до цієї Директиви. Комісія повинна подати перший такий звіт до 17 червня 2029 року. Для цілей звітування відповідно до цієї статті Комісія повинна враховувати відповідні документи Групи з питань стійкості критично важливих суб'єктів.

Стаття 26

Транспозиція

1. До 17 жовтня 2024 року держави-члени повинні ухвалити й опублікувати інструменти, необхідні для виконання цієї Директиви. Вони повинні невідкладно інформувати про них Комісію.

Вони повинні почати застосовувати зазначені інструменти з 18 жовтня 2024 року.

2. Ухвалені державами-членами інструменти, згадані в параграфі 1, повинні містити покликання на цю Директиву або супроводжуватися таким покликанням у разі їх офіційної публікації. Методи здійснення такого покликання визначають держави-члени.

Стаття 27

Скасування Директиви 2008/114/ЄС

Директиву 2008/114/ЄС скасовано з 18 жовтня 2024 року.

Покликання на скасовану директиву тлумачать як покликання на цю Директиву.

Стаття 28

Набуття чинності

Ця Директива набуває чинності на двадцятий день після дня її опублікування в Офіційному віснику Європейського Союзу.

Стаття 29

Адресати

Цю Директиву адресовано державам-членам.

Вчинено в Страсбурзі 14 грудня 2022 року.

За Європейський Парламент

Президент

R. METSOLA

За Раду

Президент

M. BEK

__________

(1) ОВ C 286, 16.07.2021, с. 170.

(2) ОВ C 440, 29.10.2021, с. 99.

(3) Позиція Європейського Парламенту від 22 листопада 2022 року (ще не опубліковано в Офіційному віснику) та рішення Ради від 8 грудня 2022 року.

(4) Директива Ради 2008/114/ЄС від 8 грудня 2008 року про ідентифікацію і визначення європейських критичних інфраструктур та оцінювання необхідності покращення їх охорони та захисту (ОВ L 345, 23.12.2008, с. 75).

(5) Директива Європейського Парламенту і Ради (ЄС) 2022/2555 від 14 грудня 2022 року про заходи для високого спільного рівня кібербезпеки на всій території Союзу, внесення змін до Регламенту (ЄС) № 910/2014 та Директиви (ЄС) 2018/1972 і скасування Директиви (ЄС) 2016/1148 (Директива NIS 2) (див. сторінку 80 цього Офіційного вісника).

(6) Директива Європейського Парламенту і Ради (ЄС) 2016/1148 від 6 липня 2016 року про заходи для забезпечення високого загального рівня безпеки мережевих та інформаційних систем на території Союзу (ОВ L 194, 19.07.2016, с. 1).

(7) Регламент Європейського Парламенту і Ради (ЄС) 2019/452 від 19 березня 2019 року про встановлення рамки для скринінгу прямих іноземних інвестицій у Союз (ОВ L 79 I, 21.03.2019, с. 1).

(8) Регламент Європейського Парламенту і Ради (ЄС) № 648/2012 від 4 липня 2012 року про позабіржові деривативи, центральних контрагентів та торгові репозиторії (OB L 201, 27.07.2012, с. 1).

(9) Регламент Європейського Парламенту і Ради (ЄС) № 575/2013 від 26 червня 2013 року про пруденційні вимоги для кредитних установ та про внесення змін до Регламенту (ЄС) № 648/2012 (ОВ L 176, 27.06.2013, с. 1).

(10) Регламент Європейського Парламенту і Ради (ЄС) № 600/2014 від 15 травня 2014 року про ринки фінансових інструментів та про внесення змін до Регламенту (ЄС) № 648/2012 (ОВ L 173, 12.06.2014, с. 84).

(11) Директива Європейського Парламенту і Ради 2013/36/ЄС від 26 червня 2013 року про доступ до діяльності кредитних установ і пруденційний нагляд за кредитними установами та інвестиційними фірмами, про внесення змін до Директиви 2002/87/ЄС і про скасування директив 2006/48/ЄС та 2006/49/ЄС (ОВ L 176, 27.06.2013, с. 338).

(12) Директива Європейського Парламенту і Ради (ЄС) 2014/65/ЄС від 15 травня 2014 року про ринки фінансових інструментів та про внесення змін до Директиви 2002/92/ЄС та Директиви 2011/61/ЄС (Ob L 173, 12.06.2014, с. 349).

(13) Регламент Європейського Парламенту і Ради (ЄС) 2022/2554 від 14 грудня 2022 року про цифрову операційну стійкість фінансового сектора та внесення змін до регламентів (ЄС) № 1060/2009, (ЄС) № 648/2012, (ЄС) № 600/2014, (ЄС) № 909/2014 та (ЄС) 2016/1011 (див. сторінку 1 цього Офіційного вісника).

(14) Регламент Європейського Парламенту і Ради № 725/2004 від 31 березня 2004 року про посилення охорони суден і портових засобів (ОВ L 129, 29.04.2004, с. 6).

(15) Регламент Європейського Парламенту і Ради (ЄС) № 300/2008 від 11 березня 2008 року про спільні правила у сфері авіаційної безпеки цивільної авіації та про скасування Регламенту (ЄС) № 2320/2002 (ОВ L 97, 09.04.2008, с. 72).

(16) Директива Європейського Парламенту і Ради 2005/65/ЄС від 26 жовтня 2005 року про посилення безпеки портів (ОВ L 310, 25.11.2005, с. 28).

(17) Директива Європейського Парламенту і Ради 2008/96/ЄС від 19 листопада 2008 року про управління безпечністю дорожньої інфраструктури (ОВ L 319, 29.11.2008, с. 59).

(18) Рішення Комісії від 29 червня 2018 року про створення Платформи безпеки залізничних пасажирських перевезень ЄС 2018/C 232/03 (ОВ C 232, 03.07.2018, с. 10).

(19) Рамкове рішення Ради 2009/315/ЮВС від 26 лютого 2009 року про організацію та зміст обміну інформацією, отриманою з реєстру судимостей, між державами-членами (ОВ L 93, 07.04.2009, с. 23).

(20)Регламент Європейського Парламенту і Ради (ЄС) 2019/816 від 17 квітня 2019 року про створення централізованої системи ідентифікації держав-членів, які мають інформацію про судимості громадян третіх країн та осіб без громадянства (ECRIS-TCN), для доповнення Європейської системи інформації про судимості та про внесення змін до Регламенту (ЄС) 2018/1726 (ОВ L 135, 22.05.2019, с. 1).

(21) Регламент Європейського Парламенту і Ради (ЄС) 2018/1862 від 28 листопада 2018 року про створення, функціонування та використання Шенгенської інформаційної системи (SIS) у сфері поліцейської та судової співпраці у кримінальних справах, внесення змін і скасування Рішення Ради 2007/533/ЮВС та скасування Регламенту Європейського Парламенту і Ради (ЄС) № 1986/2006 та Рішення Комісії 2010/261/ЄС (ОВ L 312, 07.12.2018, с. 56).

(22) Рішення Європейського Парламенту і Ради № 1313/2013/ЄС від 17 грудня 2013 року про механізм цивільного захисту Союзу (ОВ L 347, 20.12.2013, с. 924).

(23) Регламент Європейського Парламенту і Ради (ЄС) 2021/1149 від 7 липня 2021 року про створення Фонду внутрішньої безпеки (ОВ L 251, 15.07.2021, с. 94).

(24) Регламент Європейського Парламенту і Ради (ЄС) 2021/695 від 28 квітня 2021 року про запровадження «Горизонт Європа» - рамкової програми з досліджень та інновацій і про встановлення її правил щодо участі та розповсюдження, а також скасування регламентів (ЄС) № 1290/2013 та (ЄС) № 1291/2013 (ОВ L 170, 12.05.2021, с. 1).

(25) ОВ L 123, 12.05.2016, с. 1.

(26) Регламент Європейського Парламенту і Ради (ЄС) № 182/2011 від 16 лютого 2011 року про встановлення правил і загальних принципів стосовно механізмів контролю державами-членами за здійсненням Комісією виконавчих повноважень (ОВ L 55, 28.02.2011, с. 13).

(27) Регламент Європейського Парламенту і Ради (ЄС) 2018/1725 від 23 жовтня 2018 року про захист фізичних осіб у зв'язку з опрацюванням персональних даних установами, органами, офісами та агентствами Союзу, та про вільний рух таких даних, а також про скасування Регламенту (ЄС) № 45/2001 та Рішення № 1247/2002/ЄС (ОВ L 295, 21.11.2018, с. 39).

(28) Регламент Європейського Парламенту і Ради (ЄС) 2016/679 від 27 квітня 2016 року про захист фізичних осіб у зв'язку з опрацюванням персональних даних і про вільний рух таких даних та про скасування Директиви 95/46/ЄС (Загальний регламент про захист даних) (ОВ L 119, 04.05.2016, с. 1).

(29) Директива Європейського Парламенту і Ради 2002/58/ЄС від 12 липня 2002 року про опрацювання персональних даних і захист приватності у секторі електронних комунікацій (Директива про приватність та електронні засоби зв'язку) (ОВ L 201, 31.07.2002, с. 37).

(30) Регламент Європейського Парламенту і Ради (ЄС) № 1025/2012 від 25 жовтня 2012 року про європейську стандартизацію та про внесення змін до директив Ради 89/686/ЄЕС та 93/15/ЄЕС та директив Європейського Парламенту і Ради 94/9/ЄС, 94/25/ЄС, 95/16/ ЄС, 97/23/ЄС, 98/34/ЄС, 2004/22/ЄС, 2007/23/ЄС, 2009/23/ЄС та 2009/105/ЄС, а також про скасування Рішення Ради 87/95/ЄЕС та Рішення Європейського Парламенту і Ради № 1673/2006/ЄС (ОВ L 316, 14.11.2012, с. 12).

(31) Рекомендація Комісії 2003/361/ЄС від 6 травня 2003 року щодо визначення мікропідприємств, малих і середніх підприємств (ОВ L 124, 20.05.2003, с. 36).

(32) Директива Європейського Парламенту і Ради (ЄС) 2017/541 від 15 березня 2017 року про боротьбу з тероризмом, про заміну Рамкового рішення Ради 2002/475/ЮВС та внесення змін до Рішення Ради 2005/671/ЮВС (ОВ L 88, 31.03.2017, с. 6).

(33) Регламент Європейського Парламенту і Ради (ЄС) 2017/1938 від 25 жовтня 2017 року про заходи для гарантування безпеки постачання газу та про скасування Директиви (ЄС) № 994/2010 (ОВ L 280, 28.10.2017, с. 1).

(34) Регламент Європейського Парламенту і Ради (ЄС) 2019/941 від 5 червня 2019 року про готовність до ризиків у секторі електроенергетики та про скасування Директиви 2005/89/ЄС (ОВ L 158, 14.06.2019, с. 1).

(35) Директива Європейського Парламенту і Ради 2007/60/ЄС від 23 жовтня 2007 року про оцінювання ризиків повені та управління ними (ОВ L 288, 06.11.2007, с. 27).

(36) Директива Європейського Парламенту і Ради 2012/18/ЄС від 4 липня 2012 року про контроль небезпеки значних аварій, пов'язаних із небезпечними речовинами, внесення змін до Директиви Ради 96/82/ЄС та її подальше скасування (ОВ L 197, 24.07.2012, с. 1).

(37) Директива Європейського Парламенту і Ради (ЄС) 2016/680 від 27 квітня 2016 року про захист фізичних осіб у зв'язку з опрацюванням персональних даних компетентними органами для цілей запобігання, розслідування, виявлення або кримінального переслідування злочинів або виконання покарань у кримінальних справах, і про вільний рух таких даних, а також скасування Рамкового рішення Ради 2008/977/ЮВС (ОВ L 119, 04.05.2016, с. 89).

ДОДАТОК

СЕКТОРИ, ПІДСЕКТОРИ ТА КАТЕГОРІЇ СУБ'ЄКТІВ

Сектори

Підсектори

Категорії суб'єктів

1. Енергетика

(a) Електроенергія

- Електроенергетичні підприємства, як означено в пункті (57) статті 2 Директиви Європейського Парламенту і Ради (ЄС) 2019/944 (1), що виконують функцію «постачання», як означено в пункті (12) статті 2 зазначеної директиви

- Оператори системи розподілу, як означено в пункті (29) статті 2 Директиви (ЄС) 2019/944

- Оператори системи передачі, як означено в пункті (35) статті 2 Директиви (ЄС) 2019/944

- Виробники, як означено в пункті (38) статті 2 Директиви (ЄС) 2019/944

- Номіновані оператори ринку електроенергії, як означено у пункті (8) статті 2 Регламенту Європейського Парламенту і Ради (ЄС) 2019/943 (2)

- Учасники ринку, як означено у пункті (25) статті 2 Регламенту (ЄС) 2019/943, що надають послуги агрегації, регулювання попиту і пропозиції чи зберігання енергії, як означено у пунктах (18), (20) та (59) статті 2 Директиви (ЄС) 2019/944

(b) Централізоване теплопостачання та охолодження

- Оператори централізованого теплопостачання та централізованого охолодження, як означено в пункті (19) статті 2 Директиви Європейського Парламенту і Ради (ЄС) 2018/2001 (3)

(c) Нафта

- Оператори нафтопроводів

- Оператори нафтовидобувного, нафтопереробного устатковання, установок підготовки нафти, нафтозберігальних та нафтопередавальних потужностей

- Центральні резервні організації, як означено в пункті (f) статті 2 Директиви Ради 2009/119/ЄС (4)

(d) Газ

- Постачальні підприємства, як означено в пункті (8) статті 2 Директиви Європейського Парламенту і Ради 2009/73/ЄС (5)

- Оператори системи розподілу, як означено в пункті (6) статті 2 Директиви 2009/73/ЄС

- Оператори системи передачі, як означено в пункті (4) статті 2 Директиви 2009/73/ЄС

- Оператори газосховищ, як означено в пункті (10) статті 2 Директиви 2009/73/ЄС

- Оператори установок LNG, як означено в пункті (12) статті 2 Директиви 2009/73/ЄС

- Суб'єкти ринку природного газу, як означено в пункті (1) статті 2 Директиви 2009/73/ЄС

- Оператори устатковання для перероблення та підготовки природного газу

(e) Водень

- Оператори потужностей із виробництва, зберігання та передачі водню

2. Транспорт

(a) Повітряний

- Авіаперевізники, як означено в пункті (4) статті 3 Регламенту (ЄС) № 300/2008, що використовуються для комерційних цілей

- Органи управління аеропортами, як означено в пункті (2) статті 2 Директиви Європейського Парламенту і Ради 2009/12/ЄС (6), аеропорти, як означено в пункті (1) статті 2 зазначеної директиви, у тому числі основні аеропорти, перелічені в секції 2 додатка II до Регламенту Європейського Парламенту і Ради (ЄС) № 1315/2013 (7), та суб'єкти, що експлуатують допоміжне обладнання, розташоване в аеропортах

- Оператори управління рухом, що надають послуги диспетчерського управління повітряним рухом, як означено в пункті (1) статті 2 Регламенту Європейського Парламенту і Ради (ЄС) № 549/2004 (8)

(b) Залізничний

- Менеджери інфраструктури, як означено в пункті (2) статті 3 Директиви Європейського Парламенту і Ради 2012/34/ЄС (9)

- Залізничні підприємства, як означено в пункті (1) статті 3 Директиви 2012/34/ЄС, у тому числі оператори сервісних об'єктів, як означено в пункті (12) статті 3 зазначеної директиви

(c) Водний

- Компанії-оператори внутрішнього, морського, каботажного пасажирського та вантажного водного транспорту, як означено для морських перевезень в додатку I до Регламенту (ЄС) № 725/2004, за винятком окремих суден, які експлуатують такі компанії

- Органи управління портами, як означено в пункті (1) статті 3 Директиви 2005/65/ЄС, у тому числі їхні портові засоби, як означено в пункті (11) статті 2 Регламенту (ЄС) № 725/2004, та суб'єкти, які експлуатують установки та обладнання, розташовані в портах

- Оператори служб регулювання руху суден, як означено в пункті (o) статті 3 Директиви Європейського Парламенту і Ради 2002/59/ЄС (10)

(d) Дорожній

- Дорожні органи, як означено в пункті (12) статті 2 Делегованого регламенту Комісії (ЄС) 2015/962 (11), відповідальні за управління рухом, крім публічних суб'єктів, для яких управління рухом або експлуатація розумних транспортних систем не є основною частиною їхньої загальної діяльності

- Оператори розумних транспортних систем, як означено в пункті (1) статті 4 Директиви Європейського Парламенту і Ради 2010/40/ЄС (12)

(e) громадський транспорт

- Оператори громадських послуг, як означено в пункті (d) статті 2 Регламенту Європейського Парламенту і Ради (ЄС) № 1370/2007 (13)

3. Банківська справа

- Кредитні установи, як означено в пункті (1) статті 4 Регламенту (ЄС) № 575/2013

4. Інфраструктура фінансових ринків

- Постачальники торговельних майданчиків, як означено в пункті (24) статті 4 Директиви 2014/65/ЄС

- Центральні контрагенти, як означено в пункті (1) статті 2 Регламенту (ЄС) № 648/2012

5.Охорона здоров'я

- Надавачі послуг охорони здоров'я, як означено в пункті (g) статті 3 Директиви Європейського Парламенту і Ради 2011/24/ЄС (14)

- Референс-лабораторії ЄС, згадані у статті 15 Регламенту Європейського Парламенту і Ради (ЄС) 2022/2371 (15)

- Суб'єкти, що здійснюють діяльність із досліджень і розробок стосовно лікарських засобів, як означено в пункті (2) статті 1 Директиви Європейського Парламенту і Ради 2001/83/ЄС (16)

- Суб'єкти, що виробляють базові фармацевтичні продукти і фармацевтичні препарати, згадані в частині 21 секції С NACE (Rev. 2)

- Суб'єкти, що виробляють медичні вироби, які вважаються критично важливими під час надзвичайної ситуації у сфері громадського здоров'я (згідно з переліком критично важливих медичних виробів для надзвичайної ситуації у сфері громадського здоров'я), у розумінні статті 22 Регламенту Європейського Парламенту і Ради (ЄС) 2022/123 (17)

- Суб'єкти, що мають дозвіл на розподілення, згаданий у статті 79 Директиви 2001/83/ЄС

6. Питна вода

- Постачальники та розповсюджувачі води для споживання людиною, як означено в пункті (1)(a) статті 2 Директиви Європейського Парламенту і Ради (ЄС) 2020/2184 (18), за винятком розповсюджувачів, для яких розповсюдження води для споживання людиною є неосновною частиною їхньої загальної діяльності з розповсюдження інших виробів широкого споживання та товарів

7. Стічні води

- Підприємства, що здійснюють збір, скидання та оброблення міських стічних вод, побутових стічних вод та промислових стічних вод, як означено в пунктах (1), (2) та (3) статті 2 Директиви Ради 91/271/ЄЕС (19), за винятком підприємств, для яких збір, скидання та оброблення міських стічних вод, побутових стічних вод та промислових стічних вод є неосновною частиною їхньої загальної діяльності

8. Цифрова інфраструктура

- Постачальники точок обміну Інтернет-трафіком, як означено в пункті (18) статті 6 Директиви (ЄС) 2022/2555

- Надавачі послуг DNS, як означено в пункті (20) статті 6 Директиви (ЄС) 2022/2555, за винятком операторів серверів кореневих імен

- Реєстри доменних імен верхнього рівня, як означено в пункті (21) статті 6 Директиви (ЄС) 2022/2555

- Надавачі послуг хмарних обчислень, як означено в пункті (30) статті 6 Директиви (ЄС) 2022/2555

- Надавачі послуг дата-центрів, як означено в пункті (31) статті 6 Директиви (ЄС) 2022/2555

- Постачальники мереж постачання контенту, як означено в пункті (32) статті 6 Директиви (ЄС) 2022/2555

- Надавачі довірчих послуг, як означено в пункті (19) статті 3 Регламенту Європейського Парламенту і Ради (ЄС) № 910/2014 (20)

- Постачальники публічних електронних комунікаційних мереж, як означено в пункті (8) статті 2 Директиви Європейського Парламенту і Ради (ЄС) 2018/1972 (21)

- Надавачі електронних комунікаційних послуг, як означено в пункті (4) статті 2 Директиви (ЄС) 2018/1972, якщо їхні послуги доступні для широкого загалу

9. Публічне адміністрування

- Суб'єкти публічного адміністрування центральних урядів, як означено державами-членами відповідно до національного права

10. Космічна галузь

- Оператори наземної інфраструктури, яка належить, управляється і експлуатується державами-членами або приватними суб'єктами, що підтримують надання космічних послуг, за винятком постачальників публічних електронних комунікаційних мереж, як означено в пункті (8) статті 2 Директиви (ЄС) 2018/1972

11. Виробництво, перероблення та розповсюдження харчових продуктів

- Суб'єкти господарювання, чия діяльність пов'язана з харчовими продуктами, як означено в пункті (2) статті 3 Регламенту Європейського Парламенту і Ради (ЄС) № 178/2002 (22), та які займаються виключно логістикою та гуртовим розповсюдженням і масштабним промисловим виробництвом та переробленням

__________

(1) Директива Європейського Парламенту і Ради (ЄС) 2019/944 від 5 червня 2019 року про спільні правила для внутрішнього ринку електроенергії та про внесення змін до Директиви 2012/27/ЄС (ОВ L 158, 14.06.2019, с. 125).

(2) Регламент Європейського Парламенту і Ради (ЄС) 2019/943 від 5 червня 2019 року про внутрішній ринок електроенергії (ОВ L 158, 14.06.2019, с. 54).

(3) Директива Європейського Парламенту і Ради (ЄС) 2018/2001 від 11 грудня 2018 року про стимулювання використання енергії з відновлюваних джерел (ОВ L 328, 21.12.2018, с. 82).

(4) Директива Ради 2009/119/ЄС від 14 вересня 2009 року про покладення зобов'язання на держави-члени щодо підтримання мінімальних запасів сирої нафти та/або нафтопродуктів (ОВ L 265, 09.10.2009, с. 9).

(5) Директива Європейського Парламенту і Ради № 2009/73/ЄС від 13 липня 2009 року про спільні правила для внутрішнього ринку природного газу та про скасування Директиви 2003/55/ЄС (ОВ L 211, 14.08.2009, с. 94).

(6) Директива Європейського Парламенту і Ради 2009/12/ЄС від 11 березня 2009 року про аеропортові збори (ОВ L 70, 14.03.2009, с. 11).

(7) Регламент Європейського Парламенту і Ради (ЄС) № 1315/2013 від 11 грудня 2013 року про настанови Союзу для розвитку транс'європейської транспортної мережі та про скасування Рішення № 661/2010/ЄС (ОВ L 348, 20.12.2013, с. 1).

(8) Регламент Європейського Парламенту і Ради (ЄС) № 549/2004 від 10 березня 2004 року про встановлення рамки для створення Єдиного європейського неба (рамковий Регламент) (ОВ L 96, 31.03.2004, с. 1).

(9) Директива Європейського Парламенту і Ради 2012/34/ЄС від 21 листопада 2012 року про створення єдиного європейського залізничного простору (ОВ L 343, 14.12.2012, с. 32).

(10) Директива Європейського Парламенту і Ради 2002/59/ЄС від 27 червня 2002 року про інформаційну систему Співтовариства з моніторингу руху суден та про скасування Директиви Ради 93/75/ЄЕС (ОВ L 208, 05.08.2002, с. 10).

(11) Делегований Регламент Комісії (ЄС) 2015/962 від 18 грудня 2014 року про доповнення Директиви Європейського Парламенту і Ради 2010/40/ЄС стосовно надання інформаційних послуг щодо руху у всьому ЄС у реальному часі (ОВ L 157, 23.06.2015, с. 21).

(12) Директива Європейського Парламенту і Ради 2010/40/ЄС від 7 липня 2010 року про рамки розгортання розумних транспортних систем у секторі дорожнього транспорту та взаємодію з іншими видами транспорту (ОВ L 207, 06.08.2010, с. 1).

(13) Регламент Європейського Парламенту і Ради (ЄС) № 1370/2007 від 23 жовтня 2007 року про громадські послуги пасажирських перевезень залізничним і дорожнім транспортом та скасування регламентів Ради (ЄЕС) № 1191/69 та № 1107/70 (ОВ L 315, 03.12.2007, с. 1).

(14) Директива Європейського Парламенту і Ради 2011/24/ЄС від 9 березня 2011 року про застосування прав пацієнтів у транскордонній системі охорони здоров'я (ОВ L 88, 04.04.2011, с. 45).

(15) Регламент Європейського Парламенту і Ради (ЄС) 2022/2371 від 23 листопада 2022 року про серйозні транскордонні загрози для здоров'я та скасування Рішення № 1082/2013/ЄС (ОВ L 314, 06.12.2022, с. 26).

(16) Директива Європейського Парламенту і Ради 2001/83/ЄС від 6 листопада 2001 року про Кодекс Співтовариства щодо лікарських засобів, призначених для застосування людиною (ОВ L 311, 28.11.2001, с. 67).

(17) Регламент Європейського Парламенту і Ради (ЄС) 2022/123 від 25 січня 2022 року про посилену роль Європейського агентства з лікарських засобів в готовності до криз та управлінні лікарськими засобами і медичними виробами (ОВ L 20, 31.01.2022, с. 1).

(18) Директива Європейського Парламенту і Ради (ЄС) 2020/2184 від 16 грудня 2020 року про якість води, призначеної для споживання людиною (ОВ L 435, 23.12.2020, с. 1).

(19) Директива Ради 91/271/ЄЕС від 21 травня 1991 року про очищення міських стічних вод (ОВ L 135, 30.05.1991, с. 40).

(20) Регламент Європейського Парламенту і Ради (ЄС) № 910/2014 від 23 липня 2014 року про електронну ідентифікацію та довірчі послуги для електронних транзакцій на внутрішньому ринку та про скасування Директиви 1999/93/ЄС (ОВ L 257, 28.08.2014, с. 73).

(21) Директива Європейського Парламенту і Ради (ЄС) 2018/1972 від 11 грудня 2018 року про запровадження Європейського кодексу електронних комунікацій (ОВ L 321, 17.12.2018, с. 36).

(22) Регламент Європейського Парламенту і Ради (ЄС) № 178/2002 від 28 січня 2002 року про встановлення загальних принципів і вимог харчового права, створення Європейського органу з безпечності харчових продуктів та встановлення процедур у питаннях, пов'язаних із безпечністю харчових продуктів (ОВ L 31, 01.02.2002, с. 1).

{Текст Директиви українською мовою додано до Листа Урядового офісу координації європейської та євроатлантичної інтеграції Секретаріату Кабінету Міністрів України № 20257/0/2-26 від 17.07.2026}

{Джерело: https://eur-lex.europa/eu/. Текст Директиви англійською мовою.}