1. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2557 1 w sprawie odporności podmiotów krytycznych ("dyrektywa") ma na celu zapewnienie niezakłóconego świadczenia na rynku wewnętrznym usług kluczowych dla utrzymania niezbędnych funkcji społecznych lub niezbędnej działalności gospodarczej. Dyrektywa zwiększa odporność podmiotów krytycznych świadczących takie usługi i tworzy nadrzędne ramy odporności podmiotów krytycznych w odniesieniu do wszystkich zagrożeń (naturalnych i spowodowanych przez człowieka, przypadkowych lub zamierzonych).
2. Aby osiągnąć wysoki poziom odporności, państwa członkowskie mają obowiązki wynikające z dyrektywy. Komisja została upoważniona do opracowania zaleceń, niewiążących wytycznych i dobrowolnego wspólnego formularza sprawozdawczego, aby wesprzeć je w wypełnianiu niektórych z tych obowiązków. W szczególności niniejszy komunikat pozwoli wdrożyć art. 5 ust. 5 dyrektywy w odniesieniu do opracowania formularza służącego przekazywaniu Komisji określonych informacji, art. 6 ust. 6 dyrektywy w odniesieniu do opracowania zaleceń i wytycznych wspierających państwa członkowskie w identyfikowaniu podmiotów krytycznych oraz art. 7 ust. 3 dyrektywy w odniesieniu do przyjęcia wytycznych mających na celu ułatwienie stosowania kryteriów służących określaniu istotności skutku zakłócającego, z uwzględnieniem informacji, które państwa członkowskie muszą przedłożyć zgodnie z art. 7 ust. 2 dyrektywy.
3. Przed przyjęciem niniejszego komunikatu, zgodnie z wyżej wymienionymi przepisami, przeprowadzono konsultacje z państwami członkowskimi podczas warsztatów, które odbyły się w dniach 3-4 października 2024 r., a w dniu 12 lutego 2025 r. skonsultowano się z Grupą ds. Odporności Podmiotów Krytycznych (CERG). Dalsze dwustronne konsultacje z delegatami CERG odbyły się w formie pisemnej w marcu 2025 r., a zaktualizowana wersja została udostępniona CERG w dniu 7 kwietnia 2025 r.
4. Niniejszy komunikat nie jest prawnie wiążący i nie ma wpływu na wykładnię prawa UE przez Trybunał Sprawiedliwości Unii Europejskiej.
II. DOBROWOLNY WSPÓLNY FORMULARZ SPRAWOZDAWCZY
5. W załączniku zamieszczono dobrowolny wspólny formularz sprawozdawczy, w którym państwa członkowskie będą przekazywać Komisji określone informacje związane z oceną ryzyka, jak przewidziano w art. 5 ust. 5 dyrektywy.
6. Chociaż korzystanie z tego formularza sprawozdawczego ma charakter dobrowolny, zachęca się państwa członkowskie do stosowania go przy przekazywaniu informacji zgodnie z art. 5 ust. 4 dyrektywy.
III. NIEWIĄŻĄCE WYTYCZNE SŁUŻĄCE WSPARCIU W IDENTYFIKACJI PODMIOTÓW KRYTYCZNYCH
Rys. 1
Proces identyfikacji podmiotów krytycznych 2
7. W związku ze wsparciem w identyfikacji podmiotów krytycznych, w świetle motywów 3 3 i 16 4 dyrektywy, te niewiążące wytyczne mają w szczególności na celu wspieranie spójnego stosowania kryteriów identyfikacji podmiotów krytycznych na szczeblu UE.
8. Zgodnie z art. 6 ust. 2 dyrektywy, "[i]dentyfikując podmioty krytyczne zgodnie z dyrektywą, państwo członkowskie bierze pod uwagę wyniki swojej oceny ryzyka państwa członkowskiego i strategię oraz stosuje wszystkie następujące kryteria:
a) podmiot świadczy co najmniej jedną usługę kluczową;
b) podmiot prowadzi działalność na terytorium tego państwa członkowskiego i jego infrastruktura krytyczna znajduje się na terytorium tego państwa członkowskiego; oraz
c) ustalono, zgodnie z art. 7 ust. 1, że incydent miałby istotne skutki zakłócające dla świadczenia przez podmiot co najmniej jednej usługi kluczowej lub dla świadczenia innych usług kluczowych w sektorach określonych w załączniku, które zależą od tej usługi kluczowej lub tych usług kluczowych".
9. Z powyższego wynika, że w procesie identyfikacji podmiotów krytycznych państwa członkowskie powinny wziąć pod uwagę trzy główne elementy: wyniki oceny ryzyka, wyniki strategii krajowej oraz łączne zastosowanie kryteriów, o których mowa w pkt 8 powyżej.
III.1. Wynik oceny ryzyka
10. W motywie 15 dyrektywy wyjaśniono, że "[d]ziałania państw członkowskich mające na celu identyfikację podmiotów krytycznych i przyczynienie się do zapewniania ich odporności powinny być zgodne z podejściem opierającym się na analizie ryzyka skoncentrowanym na podmiotach najważniejszych dla pełnienia niezbędnych funkcji społecznych lub prowadzenia niezbędnej działalności gospodarczej".
11. Zachęca się państwa członkowskie do wykorzystania wyników oceny ryzyka przeprowadzonej zgodnie z art. 5 dyrektywy w celu identyfikacji podmiotów krytycznych pod względem:
a) wielkości straty lub zakłócenia (duży lub niewielki wpływ) w świadczeniu usługi kluczowej przez dany podmiot; oraz
b) prawdopodobieństwa wystąpienia straty lub zakłócenia (wysokie lub niskie prawdopodobieństwo) w świadczeniu usługi kluczowej przez dany podmiot.
12. W procesie identyfikacji podmiotów krytycznych należy nadać szczególną wagę ryzykom o charakterze międzysektorowym lub transgranicznym, biorąc pod uwagę ich potencjał wywołania szerszego efektu kaskadowego dla świadczenia usług kluczowych przez inne podmioty w sektorach określonych w załączniku do dyrektywy.
III.2. Strategia mająca na celu zwiększenie odporności podmiotów krytycznych
13. W motywie 13 dyrektywy wyjaśniono, że w "celu zapewnienia kompleksowego podejścia do odporności podmiotów krytycznych każde państwo członkowskie powinno dysponować strategią mającą na celu zwiększenie odporności podmiotów krytycznych". W tym samym motywie wyjaśniono, co powinna obejmować strategia, tj. "cele strategiczne i środki z zakresu polityki, które należy wdrożyć. Dla zachowania spójności i efektywności strategia powinna zostać opracowana w taki sposób, aby sprawnie zintegrować istniejące polityki, w miarę możliwości opierając się na odpowiednich istniejących strategiach krajowych i sektorowych, planach lub podobnych dokumentach". Strategia ma zostać przyjęta zgodnie z art. 4 dyrektywy.
14. W celu wypracowania kompleksowego podejścia do identyfikacji podmiotów krytycznych państwa członkowskie powinny zapewnić, aby ich strategie przewidywały ramy polityczne umożliwiające zwiększoną koordynację między właściwymi organami na mocy dyrektywy i właściwymi organami na mocy dyrektywy Parlamentu Europejskiego i Rady (UE) 2022/2555 5 , w kontekście wymiany informacji na temat ryzyk w cyberprzestrzeni, cyberzagrożeń i cyberincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią oraz w kontekście wykonywania zadań nadzorczych 6 . Ponieważ może to mieć wpływ na identyfikację podmiotów krytycznych w sektorach szczególnie narażonych na zagrożenia hybrydowe, państwa członkowskie powinny należycie uwzględnić hybrydowy charakter zagrożeń dla podmiotów krytycznych przy wdrażaniu swoich strategii i wykorzystywaniu ich do celów identyfikacji podmiotów krytycznych. Zachęca się państwa członkowskie do przeanalizowania norm europejskich i międzynarodowych istotnych dla środków bezpieczeństwa i odporności mających zastosowanie do podmiotów krytycznych, które to normy mogą stanowić podstawę strategii państw członkowskich, a następnie ich procesów wyznaczania i podejmowania decyzji.
15. Zgodnie z art. 4 ust. 2 dyrektywy strategia musi zawierać określone elementy, takie jak cele strategiczne i priorytety mające na celu zwiększenie ogólnej odporności podmiotów krytycznych oraz opis procesu, w ramach którego identyfikuje się podmioty krytyczne. Cele i priorytety strategiczne mogą być przydatne w procesie identyfikacji podmiotów krytycznych. Na przykład w ramach wyznaczania priorytetów w strategii można ustalić progi ryzyka dopuszczalnego, tolerowanego i niedopuszczalnego. Mogłoby to wesprzeć proces identyfikacji podmiotów krytycznych przez właściwe organy oraz pomóc w określaniu istotności skutków zakłócających.
III.3. Kryteria identyfikacji podmiotów krytycznych
16. Z art. 6 ust. 2 dyrektywy wynika, że trzy kryteria określone w tym przepisie muszą być stosowane łącznie, tj. jedynie podmiot, który spełnia wszystkie trzy kryteria, może zostać uznany za podmiot krytyczny na podstawie dyrektywy.
17. W związku z tym, a także biorąc pod uwagę niestosowanie dyrektywy przewidziane w art. 1 ust. 6, jak również w art. 5 ust. 1 i art. 7 ust. 1 tej dyrektywy, w celu zidentyfikowania podmiotów krytycznych należy przeprowadzić analizę w pięciu poniższych krokach (zob. rys. 1):
(a) Czy podmiot należy do jednego z sektorów lub podsektorów oraz kategorii podmiotów wymienionych w załączniku do dyrektywy?
(b) Czy podmiot świadczy co najmniej jedną usługę kluczową?
(c) Czy podmiot prowadzi działalność na terytorium tego państwa członkowskiego i jego infrastruktura krytyczna znajduje się na terytorium tego państwa członkowskiego?
(d) Czy incydent miałby istotne skutki zakłócające 7 dla świadczenia przez podmiot co najmniej jednej usługi kluczowej lub dla świadczenia innych usług kluczowych w sektorach określonych w załączniku, które zależą od tej usługi kluczowej lub tych usług kluczowych?
(e) Czy podmiot jest wyłączony z zakresu stosowania dyrektywy 8 ?
18. Państwa członkowskie mogą wybrać kolejność, w jakiej podejmują te kroki. Dyrektywa nie wymaga przestrzegania określonej kolejności.
19. W przypadku gdy po wykonaniu tych kroków okaże się, że podmiot spełnia łącznie trzy kryteria, zgodnie z art. 6 ust. 1 dyrektywy państwo członkowskie musi zidentyfikować go jako podmiot krytyczny. W motywie 16 dyrektywy wyjaśniono, że "[j]eżeli w danym państwie członkowskim nie ma podmiotu spełniającego te kryteria, to państwo członkowskie nie powinno mieć obowiązku identyfikacji podmiotu krytycznego w odnośnym sektorze lub podsektorze".
(a) Czy podmiot należy do jednego z sektorów lub podsektorów oraz kategorii podmiotów wymienionych w załączniku do dyrektywy?
20. W załączniku do dyrektywy w trzeciej kolumnie wymieniono kategorie podmiotów, które odpowiadają wykazowi sektorów i podsektorów objętych dyrektywą. Prawie wszystkie kategorie odnoszą się do odpowiednich przepisów sektorowych UE, które definiują daną kategorię podmiotów. Przepisy te należy dokładnie przeanalizować w procesie identyfikacji, aby zrozumieć kategorię podmiotów objętą danym sektorem lub podsektorem.
21. W procesie identyfikacji należy uwzględnić specyfikę niektórych sektorów. W odniesieniu do sektora energetycznego w motywie 5 dyrektywy wyjaśniono, że "[j]eżeli chodzi o sektor energii, a w szczególności metody wytwarzania i przesyłania energii elektrycznej (w odniesieniu do dostaw energii elektrycznej), rozumie się, że w stosownych przypadkach wytwarzanie energii elektrycznej może obejmować części elektrowni jądrowych zajmujące się przesyłaniem energii elektrycznej, z wyłączeniem elementów wyraźnie jądrowych, które są objęte umowami międzynarodowymi i prawem Unii, w tym odpowiednimi aktami prawnymi Unii dotyczącymi energii jądrowej".
22. W odniesieniu do sektora spożywczego w tym samym motywie 5 dyrektywy wyjaśniono, że "w celu zapewnienia proporcjonalnego podejścia oraz odpowiedniego odzwierciedlenia roli i znaczenia tych podmiotów na poziomie krajowym, podmioty krytyczne należy identyfikować jedynie spośród tych przedsiębiorstw spożywczych, które zajmują się wyłącznie logistyką, dystrybucją hurtową oraz produkcją przemysłową i przetwórstwem przemysłowym na dużą skalę i o znaczącym udziale w rynku na poziomie krajowym - przy czym nie ma znaczenia, czy działają one w celach zarobkowych czy nie i czy mają charakter publiczny czy prywatny".
23. Identyfikując podmioty krytyczne, państwa członkowskie powinny wziąć pod uwagę szczególne znaczenie niektórych sektorów, takich jak transport, w odniesieniu do kluczowej roli portów morskich lub śródlądowych, dróg, portów lotniczych i kolei, w szczególności jeżeli są wykorzystywane jako infrastruktura podwójnego zastosowania do celów mobilności wojskowej i celów cywilnych, infrastruktury wodnej, energetycznej i cyfrowej dla świadczenia usług kluczowych w innych sektorach, ze względu na ich strategiczną rolę w zapewnianiu odporności łańcucha dostaw oraz na zwalczanie nielegalnego handlu oraz przestępczości zorganizowanej.
24. W odniesieniu do podmiotów w sektorze bankowym, sektorze infrastruktury rynku finansowego i sektorze infrastruktury cyfrowej, zgodnie z art. 8 dyrektywy i wyjaśnieniami zawartymi w motywach 20 i 21 państwa członkowskie muszą zidentyfikować, na podstawie tych samych kryteriów i przy zastosowaniu tej samej procedury przewidzianej w dyrektywie, podmioty krytyczne należące do tych sektorów. Odpowiednie właściwe organy powinny w stosownych przypadkach informować się wzajemnie i konsultować się ze sobą w sprawie identyfikacji podmiotów w tych trzech sektorach, zgodnie ze spoczywającym na nich ogólnym obowiązkiem skutecznej współpracy w wypełnianiu ich zadań na mocy dyrektywy, określonym w jej art. 9 ust. 1.
25. Wskazując podmioty krytyczne zgodnie z art. 6 dyrektywy, państwa członkowskie powinny należycie uwzględnić podmioty świadczące usługi kluczowe w zakresie podmorskiej łączności elektronicznej i przesyłu energii elektrycznej 9 .
(b) Czy podmiot świadczy co najmniej jedną usługę kluczową?
26. Chociaż głównym celem rozporządzenia delegowanego Komisji 2023/2450 10 ("rozporządzenie delegowane Komisji") jest ustanowienie wykazu usług kluczowych w sektorach i podsektorach określonych w załączniku do dyrektywy, który ma być wykorzystywany przez właściwe organy do celów przeprowadzania ocen ryzyka, ten sam wykaz powinien być również wykorzystywany w późniejszym procesie identyfikacji w celu podjęcia decyzji, czy podmiot spełnia pierwsze kryterium, tj. czy podmiot świadczy co najmniej jedną usługę kluczową.
27. W motywie 4 rozporządzenia delegowanego Komisji wskazano, że "z wykazu usług kluczowych należy korzystać zgodnie ze wszystkimi odpowiednimi przepisami dyrektywy". Obejmują one definicję usług kluczowych jako usług, które mają decydujące znaczenie dla utrzymania niezbędnych funkcji społecznych, niezbędnej działalności gospodarczej, zdrowia i bezpieczeństwa publicznego lub środowiska, a także definicję podmiotu administracji publicznej 11 oraz przepisy dotyczące zakresu stosowania dyrektywy 12 , które mają znaczenie między innymi przy stosowaniu pierwszego z wyżej wymienionych kryteriów.
28. Art. 5 ust. 1 dyrektywy wyraźnie wskazuje jednak, że wykaz zawarty w rozporządzeniu delegowanym Komisji nie jest wyczerpujący. Mogą zatem istnieć inne usługi kluczowe, które są objęte dyrektywą, ale które nie są wymienione w tym wykazie. W związku z tym, mimo że wymienione usługi kluczowe stanowią ważny punkt odniesienia, nie są one jedynymi usługami, które państwa członkowskie muszą wziąć pod uwagę przy stosowaniu art. 6 ust. 2 lit. a) dyrektywy. Przepis ten odnosi się ogólnie do "usług kluczowych" zdefiniowanych w art. 2 pkt 5 dyrektywy, nie ograniczając się wyłącznie do usług kluczowych wymienionych w rozporządzeniu delegowanym Komisji.
(c) Czy podmiot prowadzi działalność na terytorium tego państwa członkowskiego i jego infrastruktura krytyczna znajduje się na terytorium tego państwa członkowskiego?
29. W ramach tego kroku państwo członkowskie powinno sprawdzić, czy dany podmiot faktycznie prowadzi działalność, tj. czy realizuje swoje działania, na terytorium tego państwa oraz czy infrastruktura krytyczna podmiotu znajduje się na terytorium tego państwa, tj. czy znajduje się tam fizycznie. Te dwa elementy (działalność podmiotu krytycznego i lokalizacja infrastruktury krytycznej) wyjaśniono w motywie 16 dyrektywy, w którym wskazano, że należy uznać, iż dany podmiot prowadzi działalność na terytorium tego państwa członkowskiego, jeżeli podmiot ten prowadzi działania niezbędne do świadczenia danej usługi kluczowej lub danych usług kluczowych w tym państwie członkowskim oraz jeżeli infrastruktura krytyczna tego podmiotu wykorzystywana do świadczenia tej usługi lub tych usług fizycznie znajduje się w tym państwie członkowskim.
30. Do celów stosowania art. 6 ust. 2 lit. b) dyrektywy należy uznać, że terytorium państwa członkowskiego obejmuje, z zastrzeżeniem ograniczeń wynikających z art. 355 TFUE, terytorium lądowe i śródlądowe drogi wodne tego państwa członkowskiego, a także morze terytorialne (oraz jego dno i podglebie) ustanowione przez to państwo członkowskie zgodnie z Konwencją Narodów Zjednoczonych o prawie morza (UNCLOS). Ponadto obejmuje ono wyłączną strefę ekonomiczną (w.s.e.) ustanowioną przez to państwo członkowskie oraz szelf kontynentalny, jednak tylko w zakresie, w jakim istnieje związek między infrastrukturą krytyczną znajdującą się w jego w.s.e. lub na szelfie kontynentalnym a suwerennymi prawami lub jurysdykcją, które państwo nadbrzeżne wykonuje zgodnie z UNCLOS w tych częściach morza, bez naruszania praw i wolności innych państw, zagwarantowanych w UNCLOS. W związku z tym, stosując art. 6 ust. 2 lit. b) dyrektywy, państwa członkowskie powinny, w stosownych przypadkach, dokonać indywidualnej oceny, aby określić zakres, w jakim dyrektywa obejmuje infrastrukturę krytyczną znajdującą się w ich w.s.e. i na szelfie kontynentalnym.
31. Na przykład w przypadku kabli lub rurociągów podmorskich ułożonych przez inne państwa w ramach wykonywania praw przysługujących im na mocy art. 58 ust. 1 i art. 79 ust. 1 UNCLOS i przechodzących przez w.s.e. lub szelf kontynentalny nadbrzeżnego państwa członkowskiego, to państwo członkowskie nie jest zobowiązane do wykonywania swoich obowiązków wynikających z dyrektywy w odniesieniu do tej infrastruktury krytycznej, o ile nie podlega ona jego suwerenności funkcjonalnej i jurysdykcji w w.s.e. i na szelfie kontynentalnym na mocy UNCLOS. Natomiast podmorskie kable lub rurociągi znajdujące się w w.s.e. lub na szelfie kontynentalnym nadbrzeżnego państwa członkowskiego powinny podlegać w tym państwie obowiązkom określonym w dyrektywie, jeżeli ta infrastruktura krytyczna jest połączona z działalnością, w ramach której państwo to sprawuje swoją suwerenność lub jurysdykcję w w.s.e. lub na szelfie kontynentalnym na mocy art. 56 i 77 UNCLOS.
32. Ponieważ nie zostało to wymienione w art. 6 ust. 2 lit. b) dyrektywy, miejsce siedziby podmiotu nie powinno być uznawane za część tego kryterium. W związku z tym element ten należy uznać za nieistotny dla procesu identyfikacji podmiotów krytycznych na podstawie dyrektywy.
(d) Czy incydent miałby istotne skutki zakłócające dla świadczenia przez podmiot co najmniej jednej usługi kluczowej lub dla świadczenia innych usług kluczowych w sektorach określonych w załączniku, które zależą od tej usługi kluczowej lub tych usług kluczowych?
33. Kwestia określenia istotności skutku zakłócającego została szerzej omówiona w art. 7 ust. 1 dyrektywy, w którym wymieniono kryteria, które należy uwzględnić w tym celu. Kryteria te wyjaśniono bardziej szczegółowo w sekcji IV niniejszych wytycznych.
(e) Czy podmiot jest wyłączony z zakresu stosowania dyrektywy?
34. Jeżeli podmiot należy do jednej z kategorii podmiotów, do których dyrektywa nie ma zastosowania, jak określono w art. 1 ust. 6 dyrektywy, nie ma obowiązku wskazania go jako podmiotu krytycznego na mocy dyrektywy.
35. Niezależnie od prawnego wymogu stosowania przez państwa członkowskie kryteriów przewidzianych w dyrektywie, jak wyjaśniono w sekcji III.3 (A-D) niniejszych wytycznych, mogą one również stosować, na mocy prawa krajowego i działając zgodnie z prawem Unii, obowiązki dotyczące podmiotów krytycznych do podmiotów działających w innych sektorach uznanych za krytyczne zgodnie z prawem krajowym, do których nie ma odniesienia w załączniku do dyrektywy.
36. Jak wyjaśniono w pkt 28 powyżej, chociaż rozporządzenie delegowane Komisji jest ważnym punktem odniesienia, państwa członkowskie mogą być zmuszone do uwzględnienia usług kluczowych innych niż usługi wymienione w rozporządzeniu delegowanym Komisji. Ponadto państwa członkowskie mogą, na mocy prawa krajowego i działając zgodnie z prawem Unii, podjąć decyzję o nałożeniu obowiązków w zakresie zwiększania odporności na podmioty świadczące usługi inne niż usługi kluczowe objęte dyrektywą.
37. Państwa członkowskie mogą zatem zidentyfikować, na mocy prawa krajowego i działając zgodnie z prawem Unii, podmioty krytyczne inne niż te, które zidentyfikowano na podstawie dyrektywy 13 . W związku z tym, ponieważ takie podmioty byłyby identyfikowane na podstawie prawa krajowego, nie muszą one spełniać łącznych kryteriów, o których mowa w art. 6 ust. 2 dyrektywy i które zostały wyjaśnione powyżej.
IV. NIEWIĄŻĄCE WYTYCZNE UŁATWIAJĄCE STOSOWANIE KRYTERIÓW UMOŻLIWIAJĄCYCH OKREŚLENIE ISTOTNOŚCI SKUTKU ZAKŁÓCAJĄCEGO
38. Chociaż z art. 7 ust. 1 dyrektywy wynika, że przy określaniu istotności skutku zakłócającego należy uwzględnić wszystkie kryteria, państwa członkowskie mogą dodatkowo ocenić konkretne znaczenie tych kryteriów w świetle szczególnych okoliczności danego przypadku.
IV.1. Liczba użytkowników zależnych od usługi kluczowej 39. Przy stosowaniu tego kryterium zachęca się państwa członkowskie do uwzględnienia:
a) zarówno osób fizycznych, jak i prawnych jako użytkowników;
b) innych podmiotów krytycznych jako użytkowników;
c) całkowitej liczby użytkowników bezpośrednio zależnych od usługi kluczowej lub, w miarę możliwości, użytkowników pośrednich usługi kluczowej, tj. osób, które nie są bezpośrednio zależne od tej usługi, ale na które jej zakłócenie miałoby wpływ.
40. Przy stosowaniu progu do oceny liczby użytkowników wybrany próg powinien uwzględniać, czy:
a) użytkownicy są skoncentrowani na określonym obszarze lub rozproszeni w danym regionie;
b) użytkownicy należą do grup szczególnie wrażliwych, na przykład są osobami starszymi, niepełnosprawnymi lub dziećmi;
c) istnieje zależność od danej usługi kluczowej, która wymaga szybkiej reakcji, na przykład przez operatorów naziemnej infrastruktury kosmicznej;
d) liczba użytkowników danej usługi kluczowej nie jest duża, ale użytkownicy ci są w dużej mierze uzależnieni od usługi kluczowej, na przykład świadczeniodawcy opieki zdrowotnej.
IV.2. Stopień, w jakim inne sektory i podsektory określone w załączniku do dyrektywy zależą od danej usługi kluczowej
41. Podmioty krytyczne są często silnie powiązane i wzajemnie zależne w złożony sposób. Zależności i współzależności stanowią czynnik zwielokrotniający ryzyko, który może zwiększyć istotność skutku zakłócającego.
42. Przy stosowaniu tego kryterium zachęca się państwa członkowskie do uwzględnienia:
a) czy od danej usługi kluczowej zależą co najmniej dwa sektory;
b) czy podmioty krytyczne działające w innych sektorach i podsektorach niż ten, którego dotyczy dana usługa, mają alternatywę dla tej usługi kluczowej;
c) czy skutek zakłócający incydentu związanego ze świadczeniem usługi kluczowej rozprzestrzeniłby się szybko i doprowadziłby do efektu kaskadowego w innych sektorach i podsektorach.
43. W motywie 18 dyrektywy wyjaśniono, że "państwa członkowskie przy ustalaniu stopnia zależności innych sektorów i podsektorów od usługi kluczowej świadczonej przez podmiot krytyczny powinny również w miarę możliwości uwzględniać wpływ na łańcuch dostaw".
44. Aby zaradzić takim skutkom w łańcuchu dostaw, zachęca się państwa członkowskie do wykorzystywania istniejących zestawień lub mapowania łańcuchów dostaw usług kluczowych świadczonych przez podmioty w sektorach objętych zakresem stosowania dyrektywy, takich jak bezpośredni dostawcy i odbiorcy, pośredni dostawcy i odbiorcy, zależności międzysektorowe i transgraniczne, w tym podmioty spoza UE.
IV.3. Wpływ, jaki incydenty - jeżeli chodzi o ich skalę i czas trwania - mogłyby mieć na działalność gospodarczą i społeczną, środowisko, bezpieczeństwo publiczne lub na zdrowie ludności
45. Aby ocenić skalę i czas trwania incydentu, każdy z elementów wymienionych w art. 7 ust. 1 lit. c) dyrektywy należy wziąć pod uwagę oddzielnie. Im dłuższy czas trwania incydentu i im większa jego intensywność, tym większy wpływ należy uwzględnić na działalność gospodarczą i społeczną, środowisko, bezpieczeństwo publiczne lub na zdrowie ludności.
46. Przy stosowaniu tego kryterium zachęca się państwa członkowskie do uwzględnienia następujących elementów.
47. W odniesieniu do wpływu, jaki incydenty mogą mieć na działalność gospodarczą, zachęca się państwa członkowskie do uwzględnienia:
a) szacunkowych kosztów bezpośrednio związanych ze szkodami fizycznymi spowodowanymi zakłóceniami, zakresu i czasu trwania przerwy w działalności po wstrzymaniu operacji, utraty dochodów, potencjalnego zamknięcia i kosztów ubezpieczenia, jeżeli ich skutki są na tyle istotne, że mogą potencjalnie wpłynąć na makroekonomię;
b) szacunkowych kosztów spowodowanych zakłóceniami w łańcuchu dostaw prowadzącymi do opóźnień i niedoborów w świadczeniu usług kluczowych, zmniejszenia wydatków konsumentów oraz utraty zaufania obywateli;
c) szacunkowych kosztów spowodowanych wpływem na inwestycje, handel i długoterminowy wzrost gospodarczy.
48. W odniesieniu do wpływu, jaki incydenty mogą mieć na działalność społeczną, zachęca się państwa członkowskie do oceny istotności zakłóceń działalności instytucji rządowych na szczeblu centralnym, regionalnym lub lokalnym oraz zakłóceń działalności sektora prywatnego, które ograniczają ogólną zdolność do świadczenia usług kluczowych, w tym zakłóceń w życiu codziennym.
49. W odniesieniu do wpływu, jaki incydenty mogą mieć na środowisko, zachęca się państwa członkowskie do uwzględnienia:
a) szacunkowych szkód w ekosystemach i dostępności usług ekosystemowych zdefiniowanych w art. 2 pkt 14 rozporządzenia Parlamentu Europejskiego i Rady 2020/852 14 w sprawie ustanowienia ram ułatwiających zrównoważone inwestycje;
b) wpływu na jakość powietrza (stężenia zanieczyszczeń powietrza, wskaźniki jakości powietrza, zmiany w ekosystemie wodnym), jakość wody (zmiany stężenia zanieczyszczeń wody i mórz, jakość wody, wpływ na zdrowie ludzi, szkody dla różnorodności biologicznej), grunty (gleba, wylesianie, urbanizacja, rolnictwo, zmiany w różnorodności biologicznej);
c) wpływu na zmianę klimatu, w tym zmiany emisji gazów cieplarnianych;
d) urzeczywistnienia się ostrego lub długotrwałego ryzyka związanego z klimatem.
50. Ocena wpływu, jaki incydenty mogą mieć na środowisko, powinna opierać się na kompleksowym podejściu uwzględniającym zarówno skutki bezpośrednie, jak i pośrednie, a także konsekwencje krótko- i długoterminowe. Zachęca się państwa członkowskie do korzystania z istniejących ocen oddziaływania na środowisko lub do przeprowadzania takich ocen bądź strategicznych ocen oddziaływania na środowisko lub ocen cyklu życia.
51. W odniesieniu do wpływu, jaki incydenty mogą mieć na bezpieczeństwo publiczne, zachęca się państwa członkowskie do uwzględnienia:
a) skutków różnych rodzajów incydentów i konsekwencji dla świadczenia usług kluczowych, pod względem skali i czasu trwania, dla dostępności i skuteczności służb rządowych zajmujących się bezpieczeństwem publicznym, takich jak służby policyjne, służby pożarnicze, sądy i więzienia, dla wskaźnika przestępczości, dla potencjału niepokojów społecznych spowodowanych niedoborem podstawowych usług lub towarów lub dla zmian w postrzeganiu bezpieczeństwa przez społeczeństwo;
b) wpływu na dostępność i skuteczność zdolności reagowania służb rządowych zajmujących się bezpieczeństwem publicznym.
52. Aby ocenić wpływ, jaki incydenty mogą mieć na bezpieczeństwo publiczne, zachęca się państwa członkowskie do wykorzystywania wyników ocen ryzyka, zagrożeń i podatności na zagrożenia, analiz i mapowania przestępczości, planowania i ćwiczeń w zakresie zarządzania kryzysowego oraz zaangażowania zainteresowanych stron.
53. W odniesieniu do wpływu, jaki incydenty mogą mieć na zdrowie ludności, zachęca się państwa członkowskie do uwzględnienia:
a) utraty dostępu do opieki zdrowotnej ze względu na opóźnienia w leczeniu, niemożności dotarcia do placówek medycznych, niedoborów personelu, niemożności reagowania na stany zagrożenia zdrowia publicznego, ograniczenia lub utraty możliwości produkcji podstawowych substancji farmaceutycznych, podstawowych leków i pozostałych wyrobów farmaceutycznych, medycznych środków przeciwdziałania i wyrobów medycznych, które uznaje się za krytyczne podczas stanu zagrożenia zdrowia publicznego, niedoborów produktów leczniczych, skutków dla zdrowia psychicznego, zwiększonej zachorowalności i śmiertelności (wyższy wskaźnik chorób przewlekłych, rozprzestrzenianie się chorób zakaźnych, urazy, zgony);
b) zakłócenia łańcucha dostaw żywności, zakłócenia lub zanieczyszczenia dostaw wody (pitnej);
c) skutków dla zdrowia grup szczególnie wrażliwych (osoby starsze, dzieci, osoby o niskich dochodach, pacjenci z chorobami współistniejącymi).
54. Aby ocenić wpływ, jaki incydenty mogą mieć na zdrowie ludności, zachęca się państwa członkowskie do stosowania nadzoru zdrowia publicznego w celu śledzenia ognisk chorób i zmian śmiertelności oraz monitorowania środowiska; ankiet i wywiadów mających na celu gromadzenie danych na temat dostępu do opieki zdrowotnej oraz doświadczeń zebranych przed wystąpieniem zakłóceń i po ich ustaniu; oraz analizy geoprzestrzennej mającej na celu mapowanie grup szczególnie wrażliwych i obszarów o ograniczonym dostępie do opieki zdrowotnej.
IV.4. Udział podmiotu w rynku odnośnej usługi kluczowej lub odnośnych usług kluczowych
55. Udział w rynku odzwierciedla względną pozycję dostawców na rynku i zasadniczo opiera się na sprzedaży lub zakupie odnośnych produktów na danym obszarze geograficznym. Ogólnie rzecz biorąc, zarówno wartość sprzedaży lub zakupów, jak i wielkość sprzedaży lub zakupów dostarczają użytecznych informacji 15 . Państwa członkowskie zachęca się również do zapoznania się z sektorowymi danymi statystycznymi lub do przeprowadzania badań rynkowych w celu określenia udziału danego podmiotu w rynku.
56. Kryterium udziału w rynku należy zawsze rozpatrywać w połączeniu z innymi kryteriami, ponieważ niski stopień zależności od usługi kluczowej lub dostępność alternatywnych dostawców usług może znacznie zmniejszyć istotność efektu zakłócającego. Zależność może być kluczowym czynnikiem w ocenie wpływu udziału w rynku, ponieważ może wyjaśniać, w jakim stopniu społeczeństwo, konkretne sektory lub inne podmioty są zależne od danej usługi kluczowej. Przy ocenie wpływu udziału w rynku zależność pozwala na wgląd we względne znaczenie systemowe i krytyczność roli podmiotu na rynku danej usługi kluczowej lub danych usług kluczowych.
57. Zakłócenie świadczenia usług kluczowych przez podmiot posiadający duży udział w rynku może stwarzać większe ryzyko wystąpienia efektu kaskadowego w zakresie świadczenia innych usług kluczowych, zwłaszcza jeżeli dana usługa kluczowa jest świadczona w sektorze, który charakteryzuje się wieloma współzależnościami z innymi sektorami, takimi jak sektor energetyczny lub transportowy. Zakłócające skutki incydentu mającego wpływ na świadczenie usługi kluczowej przez podmiot o niskim udziale w rynku mogą być również istotne, jeżeli świadczy on unikalną lub niezastąpioną usługę kluczową, od której zależy dany sektor.
58. Jeżeli chodzi o modele lub metody oceny rynku, można zastosować różne techniki analizy biznesowej, takie jak pięć sił Portera 16 , analiza SWOT 17 , PESTLE 18 , strategia segmentacji rynku 19 , mapowanie podróży klientów 20 i model biznesowy Canvas 21 .
IV.5. Obszar geograficzny, którego mógłby dotyczyć incydent, z uwzględnieniem wszelkiego wpływu transgranicznego
59. Zachęca się państwa członkowskie do uwzględnienia podatności na zagrożenia związanej ze stopniem odizolowania niektórych rodzajów obszarów geograficznych, takich jak regiony wyspiarskie, regiony oddalone lub obszary górskie, zgodnie z art. 7 ust. 1 lit. e) dyrektywy. Tego rodzaju obszary geograficzne mają zazwyczaj szczególne potrzeby w zakresie usług kluczowych i ograniczone możliwości radzenia sobie z zakłóceniami.
60. Ponadto dla zastosowania tego kryterium istotne mogą być inne elementy:
a) bezpośredni lub pośredni wpływ incydentu na obszar geograficzny, wyrażony w powierzchni;
b) bezpośredni lub pośredni wpływ incydentu na dany obszar, tj. czy incydent ma charakter lokalny, regionalny,
krajowy czy transgraniczny;
c) charakterystyka obszaru geograficznego, taka jak grunty, przestrzeń powietrzna, woda, obszary miejskie, wiejskie lub leśne.
61. Aby ocenić obszar geograficzny, który może zostać dotknięty skutkami incydentu, zachęca się państwa członkowskie do prowadzenia obserwacji w terenie, gromadzenia danych z obrazów satelitarnych i lotniczych, wykorzystywania danych ze spisów powszechnych, map infrastruktury przesyłu energii, map infrastruktury transportowej, sieci monitorowania środowiska i baz danych GIS 22 .
IV.6. Znaczenie podmiotu w utrzymywaniu wystarczającego poziomu usługi kluczowej przy uwzględnieniu dostępności alternatywnych sposobów świadczenia tej usługi kluczowej
62. Kryterium to ma znaczenie między innymi w odniesieniu do świadczenia usług stwarzających warunki do życia, takich jak dostawy wody pitnej, kanalizacja, energia, opieka zdrowotna, produkcja i dystrybucja żywności oraz transport, w tym usługi zarządzania ruchem, ponieważ bez tych usług gospodarka i społeczeństwo uległyby załamaniu. Oceniając znaczenie podmiotu dla utrzymania wystarczającego poziomu usługi kluczowej, państwa członkowskie muszą, zgodnie z art. 7 ust. 1 lit. f) dyrektywy, wziąć pod uwagę dostępność możliwych alternatywnych sposobów świadczenia tej usługi kluczowej. W tym kontekście zachęca się państwa do rozważenia takich rozwiązań alternatywnych pod względem dostępności, szybkości, z jaką można korzystać z rozwiązania alternatywnego, jakości usługi alternatywnej oraz poniesionych dodatkowych kosztów. Jeżeli użytkownicy nie mają realnej alternatywy dla usługi kluczowej, wpływ skutku zakłócającego jest zasadniczo bardziej istotny niezależnie od liczby użytkowników dotkniętych zakłóceniem. Ponadto należy wziąć pod uwagę charakter usługi kluczowej pod względem jej krytyczności, jej charakterystyki i głównego celu.
Komitet Stały Rady Ministrów wprowadził bardzo istotne zmiany do projektu ustawy przygotowanego przez Ministerstwo Rodziny, Pracy i Polityki Społecznej – poinformował minister Maciej Berek w czwartek wieczorem, w programie „Pytanie dnia” na antenie TVP Info. Jak poinformował, projekt nowelizacji ustawy o PIP powinien trafić do Sejmu w grudniu 2025 roku, aby prace nad nim w Parlamencie trwały w I kwartale 2026 r.
05.12.2025
4 grudnia Komitet Stały Rady Ministrów przyjął projekt zmian w ustawie o PIP - przekazało w czwartek MRPiPS. Nie wiadomo jednak, jaki jest jego ostateczny kształt. Jeszcze w środę Ministerstwo Zdrowia informowało Komitet, że zgadza się na propozycję, by skutki rozstrzygnięć PIP i ich zakres działał na przyszłość, a skutkiem polecenia inspektora pracy nie było ustalenie istnienia stosunku pracy między stronami umowy B2B, ale ustalenie zgodności jej z prawem. Zdaniem prawników, to byłaby kontrrewolucja w stosunku do projektu resortu pracy.
05.12.2025
Przygotowany przez ministerstwo pracy projekt zmian w ustawie o PIP, przyznający inspektorom pracy uprawnienie do przekształcania umów cywilnoprawnych i B2B w umowy o pracę, łamie konstytucję i szkodzi polskiej gospodarce – ogłosili posłowie PSL na zorganizowanej w czwartek w Sejmie konferencji prasowej. I zażądali zdjęcia tego projektu z dzisiejszego porządku posiedzenia Komitetu Stałego Rady Ministrów.
04.12.2025
Prezydent Karol Nawrocki podpisał we wtorek ustawę z 7 listopada 2025 r. o zmianie ustawy o ochronie zwierząt. Jej celem jest wprowadzenie zakazu chowu i hodowli zwierząt futerkowych w celach komercyjnych, z wyjątkiem królika, w szczególności w celu pozyskania z nich futer lub innych części zwierząt. Zawetowana została jednak ustawa zakazująca trzymania psów na łańcuchach. Prezydent ma w tym zakresie złożyć własny projekt.
02.12.2025
Resort pracy nie podjął nawet próby oszacowania, jak reklasyfikacja umów cywilnoprawnych i B2B na umowy o pracę wpłynie na obciążenie sądów pracy i długość postępowań sądowych. Tymczasem eksperci wyliczyli, że w wariancie skrajnym, zakładającym 150 tys. nowych spraw rocznie, skala powstałych zaległości rośnie do ponad 31 miesięcy dodatkowej pracy lub koniecznego zwiększenia zasobów sądów o 259 proc. Sprawa jest o tyle ważna, że na podobnym etapie prac są dwa projekty ustaw, które – jak twierdzą prawnicy – mogą zwiększyć obciążenie sądów.
25.11.2025
Rada Ministrów przyjęła projekt nowelizacji ustawy o Funduszu Medycznym - poinformował w środę rzecznik rządu Adam Szłapka. Przygotowana przez resort zdrowia propozycja zakłada, że Narodowy Fundusz Zdrowia będzie mógł w 2025 r. otrzymać dodatkowo około 3,6 mld zł z Funduszu Medycznego. MZ chce również, by programy inwestycyjne dla projektów strategicznych były zatwierdzane przez ministra zdrowia, a nie jak dotychczas, ustanawiane przez Radę Ministrów. Zamierza też umożliwić dofinansowanie programów polityki zdrowotnej realizowanych przez gminy w całości ze środków Funduszu Medycznego.
19.11.2025| Identyfikator: | Dz.U.UE.C.2025.4990 |
| Rodzaj: | Komunikat |
| Tytuł: | Komunikat Komisji - Wytyczne i formularz sprawozdawczy Komisji opracowane zgodnie z art. 5 ust. 5, art. 6 ust. 6 i art. 7 ust. 3 dyrektywy (UE) 2022/2557 w sprawie odporności podmiotów krytycznyc |
| Data aktu: | 12/09/2025 |
| Data ogłoszenia: | 12/09/2025 |
| Data wejścia w życie: | 12/09/2025 |