RADA UNII EUROPEJSKIEJ,

uwzględniając Traktat ustanawiający Wspólnotę Europejską, w szczególności jego art. 308,

uwzględniając wniosek Komisji,

uwzględniając opinię Parlamentu Europejskiego (¹),

uwzględniając opinię Europejskiego Banku Centralnego (²),

a także mając na uwadze, co następuje:

(1) W czerwcu 2004 roku Rada Europejska wezwała do przygotowania ogólnej strategii ochrony infrastruktury krytycznej. Odpowiadając na ten apel, w dniu 20 października 2004 r. Komisja przyjęła komunikat w sprawie ochrony infrastruktury krytycznej w walce z terroryzmem zawierający propozycje sposobów usprawnienia europejskich systemów zapobiegania atakom terrorystycznym wymierzonym przeciwko infrastrukturze krytycznej, a także zwiększenia gotowości i zdolności reagowania na takie ataki.

(2) W dniu 17 listopada 2005 r. Komisja przyjęła zieloną księgę w sprawie europejskiego programu ochrony infrastruktury krytycznej, w której przedstawiono opcje polityczne dotyczące opracowywania tego programu oraz sieci ostrzegania o zagrożeniach dla infrastruktury krytycznej. Opinie uzyskane w odpowiedzi na wspomnianą zieloną księgę podkreślały wartość dodaną wspólnotowego zbioru przepisów regulujących ochronę infrastruktury krytycznej. Uznano potrzebę zwiększenia zdolności w zakresie ochrony infrastruktury krytycznej w Europie oraz wsparcia działań na rzecz ograniczenia słabych punktów takiej infrastruktury. Podkreślono znaczenie podstawowych zasad pomocniczości, proporcjonalności oraz komplementarności, jak również dialogu zainteresowanych stron.

(3) W grudniu 2005 roku Rada ds. Wymiaru Sprawiedliwości i Spraw Wewnętrznych wezwała Komisję do przygotowania wniosku dotyczącego europejskiego programu ochrony infrastruktury krytycznej („EPOIK”) i zdecydowała, że program ten powinien opierać się na stosowaniu podejścia obejmującego wszystkie rodzaje ryzyka, traktując jednak przeciwdziałanie zagrożeniom terrorystycznym jako priorytet. Zgodnie z takim podejściem w procesie ochrony infrastruktury należy uwzględniać zagrożenia wywołane działalnością człowieka, zagrożenia technologiczne i katastrofy naturalne, największą uwagę poświęcając jednak zagrożeniom terrorystycznym.

(4) W kwietniu 2007 roku Rada przyjęła konkluzje w sprawie EPOIK, w których podkreśliła, że to państwa członkowskie ponoszą ostateczną odpowiedzialność za koordynację przygotowań do ochrony infrastruktury krytycznej znajdującej się na ich terytorium, a jednocześnie z zadowoleniem przyjęła starania Komisji na rzecz opracowania europejskiej procedury rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej („EIK”) oraz oceny potrzeb w zakresie zwiększenia jej ochrony.

(5) Niniejsza dyrektywa stanowi pierwszy krok w etapowym podejściu do rozpoznania i wyznaczenia EIK oraz do oceny potrzeb w zakresie poprawy ich ochrony. Dyrektywa jako taka koncentruje się na sektorach energii i transportu i powinna zostać poddana przeglądowi, aby ocenić jej skutki oraz potrzebę objęcia jej zakresem innych sektorów, m.in. sektora technologii informacyjno-komunikacyjnych („TIK”).

(6) Zasadnicza i ostateczna odpowiedzialność za ochronę EIK spoczywa głównie na państwach członkowskich i właścicielach/operatorach tych infrastruktur.

(7) Na terenie Wspólnoty znajduje się pewna liczba infrastruktur krytycznych, których zakłócenie lub zniszczenie miałoby istotne transgraniczne skutki. Chodzi między innymi o transgraniczne skutki międzysektorowe wynikające ze współzależności powiązanych ze sobą infrastruktur. Tego typu EIK należy rozpoznać i wyznaczyć za pomocą wspólnej procedury. Ocenę wymogów bezpieczeństwa w odniesieniu do takiej infrastruktury należy przeprowadzać zgodnie ze wspólnym podejściem minimalnym. Sprawdzonym i skutecznym środkiem rozwiązywania kwestii związanych z transgraniczną infrastrukturą krytyczną są dwustronne programy współpracy państw członkowskich w dziedzinie ochrony infrastruktury krytycznej. EPOIK powinien opierać się na takiej właśnie współpracy. Informacje dotyczące wyznaczenia określonej infrastruktury jako EIK powinny zostać opatrzone klauzulą tajności na odpowiednim poziomie, zgodnie z obowiązującym prawodawstwem Wspólnoty i państwa członkowskiego.

(8) Poszczególne sektory mają własne doświadczenia, wiedzę fachową i wymagania w odniesieniu do ochrony infrastruktury krytycznej, dlatego należy opracować i zrealizować wspólnotowe podejście do ochrony infrastruktury krytycznej, z uwzględnieniem specyfiki poszczególnych sektorów i dotychczasowych środków sektorowych, w tym środków już stosowanych na poziomie Wspólnoty, na poziomie krajowym lub regionalnym oraz, w stosownych przypadkach, transgraniczne porozumienia o wzajemnej pomocy obowiązujące właścicieli/operatorów infrastruktury krytycznej. Wspólnotowe podejście wymaga założenia pełnego zaangażowania sektora prywatnego z uwagi na bardzo istotny udział tego sektora w nadzorowaniu ryzyka, zarządzaniu ryzykiem, planowaniu ciągłości działania i w procesie przywracania stanu sprzed katastrofy.

(9) Jeżeli chodzi o sektor energetyczny i w szczególności metody wytwarzania i przesyłania energii elektrycznej (w odniesieniu do dostaw energii elektrycznej), rozumie się, że w stosownych przypadkach wytwarzanie energii elektrycznej może obejmować części elektrowni jądrowych zajmujące się przesyłaniem energii elektrycznej, ale nie obejmuje elementów wyraźnie jądrowych, które są objęte odpowiednim prawodawstwem jądrowym, w tym traktatami i prawem wspólnotowym.

(10) Niniejsza dyrektywa jest uzupełnieniem istniejących środków sektorowych, które obowiązują na poziomie wspólnotowym i w państwach członkowskich. Tam, gdzie działają już odpowiednie mechanizmy wspólnotowe, należy nadal z nich korzystać i traktować jako wkład w ogólny proces wdrażania niniejszej dyrektywy. Należy unikać powielania aktów prawnych lub przepisów oraz sprzeczności między nimi.

(11) Dla wszystkich wyznaczonych EIK należy ustalić plany ochrony infrastruktury („POI”) lub środki im odpowiadające obejmujące rozpoznawanie ważnych składników infrastruktury, ocenę ryzyka oraz rozpoznanie, selekcję i ustalenie hierarchii ważności środków przeciwdziałania i procedur. Aby uniknąć niepotrzebnych prac i ich powielania, państwa członkowskie powinny najpierw ocenić, czy właściciele/operatorzy wyznaczonych EIK posiadają odpowiednie POI lub środki im odpowiadające. W przypadku gdy takie plany nie istnieją, każde państwo członkowskie powinno podjąć niezbędne kroki w celu zapewnienia, aby odpowiednie środki zostały opracowane. Od poszczególnych państw członkowskich zależy decyzja o najodpowiedniejszej formie działania w odniesieniu do ustalenia POI.

(12) Należy uznać, że środki, zasady i wytyczne, w tym środki wspólnotowe, oraz programy współpracy dwustronnej lub wielostronnej, które przewidują plan podobny do POI lub odpowiadający temu planowi lub przewidują urzędnika łącznikowego ds. ochrony lub osobę mu odpowiadającą, spełniają wymogi niniejszej dyrektywy dotyczące, odpowiednio, POI i urzędnika łącznikowego ds. ochrony.

(13) Dla każdej wyznaczonej EIK należy powołać urzędnika łącznikowego ds. ochrony odpowiedzialnego za współpracę i komunikację z właściwymi krajowymi organami ds. ochrony infrastruktury krytycznej. Aby uniknąć niepotrzebnych prac i ich powielania, państwa członkowskie powinny najpierw ocenić, czy właściciele/operatorzy wyznaczonych EIK powołali już urzędnika łącznikowego ds. ochrony lub osobę mu odpowiadającą. W przypadku gdy urzędnik łącznikowy ds. ochrony nie został powołany, każde państwo członkowskie powinno podjąć niezbędne kroki w celu zapewnienia, aby odpowiednie środki zostały przyjęte. Od poszczególnych państw członkowskich zależy decyzja o najodpowiedniejszej formie działania w odniesieniu do wyznaczenia urzędnika łącznikowego ds. bezpieczeństwa.

(14) Skuteczne rozpoznanie ryzyka, zagrożeń i słabych punktów w poszczególnych sektorach wymaga komunikacji zarówno między właścicielami/operatorami EIK a państwami członkowskimi, jak i między państwami członkowskimi a Komisją. Każde państwo członkowskie powinno gromadzić informacje dotyczące EIK zlokalizowanej na swoim terytorium. Komisja powinna otrzymywać od państw członkowskich ogólne informacje na temat ryzyka, zagrożeń i słabych punktów w sektorach, w których rozpoznano EIK, w tym w stosownych przypadkach informacje na temat ewentualnych ulepszeń w EIK i zależności międzysektorowych, które mogłyby stanowić w razie konieczności podstawę opracowania przez Komisję konkretnych propozycji dotyczących poprawy ochrony EIK.

(15) W celu ułatwienia wprowadzania ulepszeń w ochronie EIK można opracować wspólne metody rozpoznawania i klasyfikowania ryzyka, zagrożeń i słabych punktów związanych z poszczególnymi składnikami infrastruktury.

(16) Właściciele/operatorzy EIK powinni uzyskać dostęp, głównie za pośrednictwem właściwych organów państw członkowskich, do najlepszych praktyk i metod w dziedzinie ochrony infrastruktury krytycznej.

(17) Skuteczna ochrona EIK wymaga komunikacji, koordynacji i współpracy na poziomie krajowym i wspólnotowym. Najlepszym sposobem osiągnięcia tego celu jest wyznaczenie w każdym państwie członkowskim punktów kontaktowych ds. ochrony europejskiej infrastruktury krytycznej („punktów kontaktowych ds. ochrony EIK”), które powinny koordynować sprawy związane z ochroną europejskiej infrastruktury krytycznej na terenie tego państwa, a także odpowiadać za współpracę w tym względzie z innymi państwami członkowskimi i Komisją.(18) Aby możliwe było prowadzenie działań służących ochronie europejskiej infrastruktury krytycznej w obszarach wymagających zachowania określonego stopnia poufności, celowe jest zapewnienie w ramach niniejszej dyrektywy spójnej i bezpiecznej wymiany informacji. Ważne jest przestrzeganie zasad dotyczących poufności określonych w obowiązującym prawie krajowym lub rozporządzeniu (WE) nr 1049/2001 Parlamentu Europejskiego i Rady z dnia 30 maja 2001 r. w sprawie publicznego dostępu do dokumentów Parlamentu Europejskiego, Rady i Komisji (³) w odniesieniu do konkretnych faktów dotyczących składników infrastruktury krytycznej, które można by wykorzystać do planowania i prowadzenia działań w celu spowodowania niedopuszczalnego uszkodzenia urządzeń infrastruktury krytycznej. Informacje niejawne powinny podlegać ochronie zgodnie ze stosownym prawodawstwem wspólnotowym i ustawodawstwem państw członkowskich. Każde państwo członkowskie i Komisja powinny respektować odpowiednią klauzulę tajności nadaną przez autora dokumentu.

(19) Wymiana informacji dotyczących EIK powinna odbywać się w warunkach zaufania i bezpieczeństwa. Wymiana taka musi opierać się na wzajemnym zaufaniu, tak, aby firmy i organizacje miały pewność, że dotyczące ich dane wymagające szczególnej ochrony i dane poufne są odpowiednio chronione.

(20) Ponieważ cele niniejszej dyrektywy, a mianowicie stworzenie procedury rozpoznawania i wyznaczania EIK oraz opracowanie wspólnego podejścia do oceny potrzeb w zakresie poprawy ochrony takiej infrastruktury, nie mogą być osiągnięte w sposób wystarczający przez państwa członkowskie, natomiast z uwagi na rozmiary działania możliwe jest lepsze ich osiągnięcie na poziomie Wspólnoty, Wspólnota może przyjąć środki zgodnie z zasadą pomocniczości, określoną w art. 5 Traktatu. Zgodnie z zasadą proporcjonalności, określoną w tym artykule, niniejsza dyrektywa nie wykracza poza to, co jest konieczne do osiągnięcia tych celów.

(21) Niniejsza dyrektywa nie narusza praw podstawowych i przestrzega zasad ustanowionych w szczególności w Karcie Praw Podstawowych Unii Europejskiej,

PRZYJMUJE NINIEJSZĄ DYREKTYWĘ:

Artykuł 1

Przedmiot

Niniejsza dyrektywa ustanawia procedurę rozpoznawania i wyznaczania europejskiej infrastruktury krytycznej („EIK”) oraz wspólne podejście do oceny potrzeb w zakresie poprawy ochrony takiej infrastruktury w celu lepszej ochrony ludności.

Artykuł 2

Definicje

W rozumieniu niniejszej dyrektywy:

a) „infrastruktura krytyczna” oznacza składnik, system lub część infrastruktury zlokalizowane na terytorium państw członkowskich, które mają podstawowe znaczenie dla utrzymania niezbędnych funkcji społecznych, zdrowia, bezpieczeństwa, ochrony, dobrobytu materialnego lub społecznego ludności oraz których zakłócenie lub zniszczenie miałoby istotny wpływ na dane państwo członkowskie w wyniku utracenia tych funkcji;

b) „europejska infrastruktura krytyczna” lub „EIK” oznacza infrastrukturę krytyczną zlokalizowaną na terytorium państw członkowskich, której zakłócenie lub zniszczenie miałoby istotny wpływ na co najmniej dwa państwa członkowskie. To, czy wpływ jest istotny, ocenia się w odniesieniu do kryteriów przekrojowych. Obejmuje to skutki wynikające z międzysektorowych współzależności z innymi rodzajami infrastruktury;

c) „analiza ryzyka” oznacza uwzględnianie stosownych metod postępowania w przypadku zaistnienia zagrożeń, aby ocenić słabe punkty i potencjalne skutki zakłócenia lub zniszczenia infrastruktury krytycznej;

d) „szczególnie chronione informacje dotyczące ochrony infrastruktury krytycznej” oznaczają fakty dotyczące infrastruktury krytycznej, które w przypadku ujawnienia mogłyby zostać wykorzystane do zaplanowania i przeprowadzenia działań zmierzających do spowodowania zakłócenia lub zniszczenia urządzeń infrastruktury krytycznej;

e) „ochrona” oznacza wszelkie działania zmierzające do zapewnienia funkcjonalności, ciągłości działań i integralności infrastruktury krytycznej w celu zapobiegania zagrożeniom, ryzykom lub słabym punktom oraz ograniczenia i neutralizacji ich skutków;

f) „właściciele/operatorzy europejskiej infrastruktury krytycznej” oznaczają podmioty odpowiedzialne za inwestycje lub bieżącą działalność danego składnika, systemu lub części infrastruktury wyznaczonej jako EIK na mocy niniejszej dyrektywy oraz za związane z nimi inwestycje.

Artykuł 3

Rozpoznawanie EIK

1. Zgodnie z procedurą przewidzianą w załączniku III każde państwo członkowskie rozpoznaje potencjalną EIK, która zarówno spełnia kryteria przekrojowe i sektorowe, jak i jest zgodna z definicjami zawartymi w art. 2 lit. a) i b).

Komisja może pomóc państwom członkowskim, na ich wniosek, w rozpoznaniu potencjalnej EIK.

Komisja może zwrócić uwagę odpowiednich państw członkowskich na istnienie potencjalnej infrastruktury krytycznej, wobec której można uznać, że spełnia ona kryteria wymagane do wyznaczenia jej jako EIK.

Każde państwo członkowskie i Komisja będą na bieżąco rozpoznawać potencjalną EIK.

2. Kryteria przekrojowe, o których mowa w ust. 1, są następujące:

a) kryterium ofiar w ludziach (oceniane w odniesieniu do ewentualnej liczby ofiar śmiertelnych lub liczby rannych);

b) kryterium skutków ekonomicznych (oceniane w odniesieniu do wielkości strat ekonomicznych lub pogorszenia towarów lub usług, w tym potencjalnych skutków ekologicznych);

c) kryterium skutków społecznych (oceniane w odniesieniu do wpływu na zaufanie opinii publicznej, cierpień fizycznych i zakłócenia codziennego życia, w tym utraty podstawowych usług).

Progi kryteriów przekrojowych opierają się na rozmiarze strat wynikłych z zakłócenia lub zniszczenia danej infrastruktury. Dokładne progi mające zastosowanie do kryteriów przekrojowych określane są w poszczególnych przypadkach przez państwa członkowskie, których dotyczy dana infrastruktura krytyczna. Każde państwo członkowskie informuje co roku Komisję o liczbie infrastruktur w poszczególnych sektorach, w odniesieniu do których prowadzono dyskusje na temat progów kryteriów przekrojowych.

Kryteria sektorowe uwzględniają cechy charakterystyczne poszczególnych sektorów EIK.

Komisja wraz z państwami członkowskimi opracowuje wytyczne w sprawie stosowania kryteriów przekrojowych i sektorowych oraz ustala przybliżone progi, które mają być stosowane do rozpoznawania EIK. Kryteria te są niejawne. Używanie takich wytycznych jest fakultatywne dla państw członkowskich.

3. Do celów wdrażania niniejszej dyrektywy wykorzystuje się sektor energetyczny i transportowy. Podsektory określono w załączniku I.

W stosownym przypadku i w połączeniu z przeglądem niniejszej dyrektywy, jak określono w art. 11, można określić kolejne

sektory, które będą wykorzystane do celów wprowadzenia niniejszej dyrektywy w życie. Priorytet nadaje się sektorowi ICT.

Artykuł 4

Wyznaczanie EIK

1. Każde państwo członkowskie informuje inne państwa członkowskie, na które potencjalna EIK może mieć istotny wpływ, o tożsamości tej infrastruktury i przyczynach wyznaczenia jej jako potencjalnej EIK.

2. Każde państwo członkowskie, na którego terytorium zlokalizowana jest potencjalna EIK, prowadzi dwustronne lub wielostronne rozmowy z innymi państwami członkowskimi, na które potencjalna EIK może mieć istotny wpływ. Komisja może uczestniczyć w tych dyskusjach, ale nie ma dostępu do szczegółowych informacji, które umożliwiłyby jej jednoznaczne rozpoznanie danej infrastruktury.

Każde państwo członkowskie, które ma podstawy, by sądzić, że może mieć na nie istotny wpływ potencjalna EIK, która jednak nie została rozpoznana jako taka przez państwo członkowskie, na którego terytorium jest zlokalizowana, może poinformować Komisję o chęci przeprowadzenia dwustronnych lub wielostronnych rozmów na ten temat. Komisja niezwłocznie powiadamia o takiej chęci państwo członkowskie, na którego terytorium zlokalizowana jest potencjalna EIK, i stara się ułatwić osiągnięcie porozumienia między stronami.

3. Państwo członkowskie, na którego terytorium zlokalizowana jest potencjalna EIK, wyznacza ją jako EIK po osiągnięciu porozumienia z państwami członkowskimi, na które dana infrastruktura może mieć istotny wpływ.

Wymagana jest akceptacja państwa członkowskiego, na którego terytorium zlokalizowana jest infrastruktura, która ma być wyznaczona jako EIK.

4. Państwo członkowskie, na którego terytorium zlokalizowana jest wyznaczona EIK, informuje co roku Komisję o liczbie wyznaczonych EIK w poszczególnych sektorach oraz o liczbie państw członkowskich zależnych od każdej wyznaczonej EIK. Tożsamość danej EIK znana jest jedynie państwom członkowskim, na które może ona mieć istotny wpływ.

5. Państwa członkowskie, na których terytorium zlokalizowana jest EIK, informują właściciela/operatora tej infrastruktury o jej wyznaczeniu jako EIK. Informacje dotyczące wyznaczenia infrastruktury jako EIK należy opatrzyć klauzulą tajności na odpowiednim poziomie.6. Proces rozpoznawania i wyznaczania EIK zgodnie z art. 3 i niniejszym artykułem zostaje zakończony w terminie do dnia 12 stycznia 2011 r. i jest poddawany regularnemu przeglądowi.

Artykuł 5

Plany ochrony infrastruktury

1. W ramach procedury związanej z planem ochrony infrastruktury („POI”) określa się składniki infrastruktury krytycznej należące do EIK oraz istniejące lub wdrażane rozwiązania służące ochronie tych składników. W załączniku II określono minimalny zakres elementów, które należy uwzględnić w procedurze związanej z POI dla EIK.

2. Każde państwo członkowskie ocenia, czy każda wyznaczona EIK zlokalizowana na jego terytorium posiada POI lub dysponuje odpowiadającymi mu środkami, które uwzględniają kwestie określone w załączniku II. Jeżeli dane państwo członkowskie uzna, że POI lub odpowiadający mu środek istnieje i jest regularnie aktualizowany, dalsze działania w zakresie wdrażania są zbędne.

3. Jeżeli państwo członkowskie uzna, że nie przygotowano takiego POI ani odpowiadającego mu środka, zapewnia za pomocą wszelkich środków uznanych za odpowiednie, aby POI lub odpowiadający mu plan został przygotowany z uwzględnieniem kwestii wymienionych w załączniku II.

Każde państwo członkowskie upewnia się, czy POI lub odpowiadające mu plany istnieją i są poddawane regularnym przeglądom, w ciągu roku od daty wyznaczenia danej infrastruktury krytycznej jako EIK. Okres ten może zostać przedłużony w wyjątkowych okolicznościach po osiągnięciu porozumienia z organem państwa członkowskiego i powiadomieniu Komisji.

4. Jeżeli istnieją już ustalenia dotyczące nadzoru lub nadzoru systemowego nad daną EIK, niniejszy artykuł nie narusza ich, a właściwy organ państwa członkowskiego, o którym mowa w niniejszym artykule, jest organem nadzorczym na mocy tych istniejących ustaleń.

5. W przypadku zgodności ze środkami, w tym środkami wspólnotowymi, które w danym sektorze wymagają lub odnoszą się do wymogu posiadania planu podobnego do POI lub odpowiadającego temu planowi oraz nadzoru systemowego nad takim planem przez właściwy organ, uznaje się, że spełnione są wszystkie wymogi państw członkowskich określone w niniejszym artykule lub przyjęte na jego mocy. Wytyczne w sprawie stosowania, o których mowa w art. 3 ust. 2, zawierają orientacyjny wykaz takich środków.

Artykuł 6

Urzędnicy łącznikowi ds. ochrony

1. Urzędnik łącznikowy ds. ochrony pełni w sprawach związanych z ochroną funkcję punktu kontaktowego między właścicielem/operatorem EIK a właściwym organem państwa członkowskiego.

2. Każde państwo członkowskie ocenia, czy każda wyznaczona EIK zlokalizowana na jego terytorium powołała urzędnika łącznikowego ds. ochrony lub osobę mu odpowiadającą. Jeżeli dane państwo członkowskie uzna, że powołano urzędnika łącznikowego ds. ochrony lub osobę mu odpowiadającą, dalsze działania w zakresie wdrażania są zbędne.

3. Jeżeli państwo członkowskie uzna, że w odniesieniu do wyznaczonej EIK nie powołano urzędnika łącznikowego ds. ochrony ani osoby mu odpowiadającej, zapewnia za pomocą wszelkich środków uznanych za odpowiednie, aby został powołany urzędnik łącznikowy ds. ochrony lub osoba mu odpowiadająca.

4. Każde państwo członkowskie wprowadza odpowiedni mechanizm umożliwiający komunikację między właściwym organem państwa członkowskiego a urzędnikiem łącznikowym ds. ochrony lub osobą mu odpowiadającą w celu wymiany istotnych informacji dotyczących rozpoznanych zagrożeń i ryzyka dla danej EIK. Mechanizm komunikacji nie narusza wymogów krajowych dotyczących dostępu do informacji szczególnie chronionych i niejawnych.

5. W przypadku zgodności ze środkami, w tym środkami wspólnotowymi, które w danym sektorze nakładają wymóg lub odnoszą się do wymogu powołania urzędnika łącznikowego ds. ochrony lub osoby mu odpowiadającej, uznaje się, że spełnione są wszystkie wymogi państw członkowskich określone w niniejszym artykule lub przyjęte na jego mocy. Wytyczne w sprawie stosowania, o których mowa w art. 3 ust. 2, zawierają orientacyjny wykaz takich środków.

Artykuł 7

Sprawozdawczość

1. Każde państwo członkowskie przeprowadza ocenę zagrożenia w odniesieniu do podsektorów EIK w ciągu roku od daty wyznaczenia na jego terytorium danej infrastruktury krytycznej jako EIK w ramach tych podsektorów.

2. Każde państwo członkowskie co 2 lata przekazuje Komisji podsumowujące sprawozdanie zawierające ogólne dane dotyczące rodzajów ryzyka, zagrożeń i słabych punktów stwierdzonych w każdym z sektorów EIK, w których EIK została wyznaczona zgodnie z art. 4 i jest zlokalizowana na jego terytorium.

Komisja może opracować wspólny wzór takich sprawozdań we współpracy z państwami członkowskimi.

Każde sprawozdanie zostaje opatrzone klauzulą tajności na poziomie uznanym za odpowiedni przez państwo członkowskie pochodzenia.3. Na podstawie sprawozdań, o których mowa w ust. 2, Komisja i państwa członkowskie oceniają, czy w poszczególnych sektorach należy na poziomie Wspólnoty rozważyć dalsze środki ochrony EIK. Działania te podejmowane są w połączeniu z przeglądem niniejszej dyrektywy, ustanowionym w art. 11.

4. Komisja we współpracy z państwami członkowskimi może opracować wspólne wytyczne w sprawie metod przeprowadzania analiz ryzyka w odniesieniu do EIK. Używanie takich wytycznych będzie fakultatywne dla państw członkowskich.

Artykuł 8

Wsparcie Komisji dla EIK

Za pośrednictwem właściwego organu państwa członkowskiego Komisja udziela właścicielom/operatorom wyznaczonej EIK wsparcia polegającego na udostępnianiu im najlepszych praktyk i metod oraz dodatkowych szkoleń i wymiany informacji na temat innowacji technicznych w zakresie ochrony infrastruktury krytycznej.

Artykuł 9

Szczególnie chronione informacjedotyczące ochrony infrastruktury krytycznej

1. Każda osoba, która zgodnie z niniejszą dyrektywą ma w imieniu danego państwa członkowskiego lub Komisji dostęp do informacji niejawnych, podlega postępowaniu sprawdzającemu przeprowadzanemu na właściwym poziomie.

Państwa członkowskie, Komisja i właściwe organy nadzorcze zapewniają, aby szczególnie chronione informacje dotyczące ochrony EIK przekazywane państwom członkowskim lub Komisji nie były wykorzystywane do celów innych niż ochrona infrastruktury krytycznej.

2. Niniejszy artykuł stosuje się również do informacji nieprzekazywanych na piśmie, a wymienianych podczas spotkań, na których omawiane są kwestie wymagające szczególnej ostrożności.

Artykuł 10

Punkty kontaktowe ds. ochrony europejskiej infrastruktury krytycznej

1. Każde państwo członkowskie wyznacza punkt kontaktowy ds. ochrony europejskiej infrastruktury krytycznej („punkty kontaktowe ds. ochrony EIK”).

2. Punkt kontaktowy ds. ochrony EIK koordynuje kwestie związane z ochroną europejskiej infrastruktury krytycznej na swoim własnym terytorium, a także z innymi państwami członkowskimi i Komisją. Wyznaczenie punktu kontaktowego ds. ochrony EIK nie wyklucza uczestnictwa innych organów państw członkowskich w sprawach związanych z ochroną EIK.

Artykuł 11

Przegląd

Przegląd niniejszej dyrektywy rozpocznie się w dniu 12 stycznia 2012 r.

Artykuł 12

Wdrażanie

Państwa członkowskie przyjmują niezbędne przepisy w celu wdrożenia niniejszej dyrektywy do dnia 12 stycznia 2011 r. Niezwłocznie informują one o tym fakcie Komisję oraz przekazują jej teksty tych przepisów oraz tabelę korelacji między tymi przepisami a niniejszą dyrektywą.

Przepisy przyjęte przez państwa członkowskie zawierają odniesienie do niniejszej dyrektywy lub odniesienie takie towarzyszy ich urzędowej publikacji. Sposób dokonania takiego odniesienia ustalany jest przez państwa członkowskie.

Artykuł 13

Wejście w życie

Niniejsza dyrektywa wchodzi w życie dwudziestego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Artykuł 14

Adresaci

Niniejsza dyrektywa skierowana jest do państw członkowskich.

Sporządzono w Brukseli, dnia 8 grudnia 2008 r.

ZAŁĄCZNIK I

Wykaz sektorów EIK

ZAŁĄCZNIK II

PROCEDURA DOTYCZĄCA POI DLA EIK

W POI określa się składniki infrastruktury krytycznej oraz istniejące lub wdrażane rozwiązania służące ich ochronie. Procedura dotycząca POI dla EIK obejmuje co najmniej:

1) rozpoznanie ważnych składników infrastruktury;

2) przeprowadzenie analizy ryzyka opartej na scenariuszach postępowania w przypadku zaistnienia poważnych zagrożeń, analizie słabych punktów każdego ze składników infrastruktury i analizie potencjalnych skutków; oraz

3) rozpoznanie, selekcję i ustalenie hierarchii ważności środków przeciwdziałania i procedur z podziałem na:

- stałe środki bezpieczeństwa, określające niezbędne inwestycje i środki w dziedzinie bezpieczeństwa, które powinny być stale stosowane. W tej części planu znajdą się informacje dotyczące środków ogólnych, takich jak środki techniczne (w tym instalacje urządzeń wykrywających, kontrola dostępu, środki zabezpieczające i zapobiegawcze); środków organizacyjnych (w tym procedur sygnalizowania zagrożeń i zarządzania kryzysowego); środków kontrolno-weryfikacyjnych; komunikacji; podnoszenia świadomości i szkolenia oraz bezpieczeństwa systemów informacyjnych,

- zróżnicowane środki ochrony, które mogą zostać uruchomione w zależności od zmieniającego się poziomu ryzyka i zagrożenia.

ZAŁĄCZNIK IIl

Procedura rozpoznawania przez państwa członkowskie infrastruktury krytycznej, która może być wyznaczona jako EIK zgodnie z art. 3

Artykuł 3 wymaga, aby każde państwo członkowskie rozpoznało infrastrukturę krytyczną, która może być wyznaczona jako EIK. Procedurę tę wdraża każde państwo członkowskie w następującym ciągu kolejnych etapów.

Potencjalna EIK niespełniająca wymogów jednego z następujących kolejnych etapów uznawana jest za „niebędącą EIK” i zostaje wyłączona z procedury. Potencjalna EIK, które jest zgodna z definicjami, przechodzi następne etapy tej procedury.

Etap 1

Każde państwo członkowskie stosuje kryteria sektorowe w celu dokonania pierwszej selekcji infrastruktury krytycznej w danym sektorze.

Etap 2

Każde państwo członkowskie stosuje definicje infrastruktury krytycznej zgodnie z art. 2 lit. a) w odniesieniu do potencjalnej EIK rozpoznanej w etapie 1.

To, czy wpływ jest istotny, określa się przy użyciu krajowych metod rozpoznawania infrastruktury krytycznej lub w odniesieniu do kryteriów przekrojowych, na odpowiednim szczeblu krajowym. W przypadku infrastruktury świadczącej niezbędne usługi bierze się pod uwagę to, czy dostępne są alternatywy, a także czas trwania zakłócenia/naprawy.

Etap 3

Każde państwo członkowskie stosuje transgraniczny element definicji EIK zgodnie z art. 2 lit. b) w odniesieniu do potencjalnej EIK, która przeszła dwa pierwsze etapy tej procedury. Potencjalna EIK, która jest zgodna z tą definicją, przechodzi następny etap tej procedury. W przypadku infrastruktury świadczącej niezbędne usługi bierze się pod uwagę to, czy dostępne są alternatywy, a także czas trwania zakłócenia/naprawy.

Etap 4

Każde państwo członkowskie stosuje kryteria przekrojowe w odniesieniu do pozostałej potencjalnej EIK. Kryteria przekrojowe uwzględniają: rozmiar strat oraz - w przypadku infrastruktury świadczącej niezbędne usługi - to, czy dostępne są alternatywy, a także czas trwania zakłócenia/naprawy. Potencjalna EIK, która nie spełnia kryteriów przekrojowych, nie będzie uważana za EIK.

O potencjalnej EIK, która przeszła tę procedurę, informowane są tylko te państwa członkowskie, na które potencjalna EIK może mieć istotny wpływ.