Odporność infrastruktury krytycznej to nie tylko sprawa krajowa. Jak więc działa europejski system współpracy? Dyrektywa CER wyraźnie wychodzi z założenia, że infrastruktura krytyczna nie zna granic. Gazociąg przesyłający gaz przez kilka państw, sieć elektroenergetyczna połączona z systemami sąsiednich krajów, dostawca usług chmurowych obsługujący podmioty w całej Unii… Zakłócenie w jednym miejscu natychmiast przenosi się na inne. Dlatego dyrektywa nie ogranicza się do regulacji na poziomie krajowym, lecz buduje rozbudowany system współpracy między państwami członkowskimi i instytucjami unijnymi. System ten obejmuje stałą wymianę informacji, mechanizmy koordynacji w sytuacjach kryzysowych, misje doradcze dla największych operatorów oraz grupę ekspercką działającą przy Komisji Europejskiej.
Pojedynczy punkt kontaktowy (art. 9 dyrektywy CER)
Podstawowym elementem architektury współpracy transgranicznej jest obowiązek wyznaczenia przez każde państwo członkowskie jednego pojedynczego punktu kontaktowego. Jego zadaniem jest koordynacja kwestii związanych z odpornością podmiotów krytycznych na poziomie krajowym oraz zapewnienie współpracy transgranicznej na poziomie unijnym (art. 9 ust. 2 dyrektywy CER). Pojedynczy punkt kontaktowy pełni funkcję łącznika między właściwymi organami krajowymi, punktami kontaktowymi innych państw członkowskich oraz Grupą ds. Odporności Podmiotów Krytycznych (CERG). W stosownych przypadkach może też pełnić funkcję łącznika z Komisją Europejską i państwami trzecimi. To rozwiązanie praktyczne, zamiast sieci bilateralnych kontaktów między organami różnych państw, dyrektywa tworzy jeden, czytelny punkt wejścia dla każdego państwa. Do 17 lipca 2028 r., a następnie co dwa lata, każdy pojedynczy punkt kontaktowy przekazuje Komisji i Grupie ds. Odporności Podmiotów Krytycznych sprawozdanie podsumowujące na temat otrzymanych zgłoszeń incydentów, w tym ich liczby, charakteru i podjętych działań (art. 9 ust. 3 dyrektywy CER). Komisja podaje do wiadomości publicznej wykaz wszystkich pojedynczych punktów kontaktowych (art. 9 ust. 8 dyrektywy CER).
Współpraca między państwami członkowskimi (art. 11 dyrektywy CER)
Poza stałym mechanizmem punktów kontaktowych dyrektywa przewiduje obowiązek wzajemnych konsultacji między państwami członkowskimi w odniesieniu do podmiotów krytycznych o charakterze transgranicznym. Konsultacje te są szczególnie istotne w trzech sytuacjach (art. 11 ust. 1 dyrektywy CER). Po pierwsze, gdy podmiot krytyczny korzysta z infrastruktury fizycznie połączonej na terytorium co najmniej dwóch państw, jak ma to miejsce w przypadku wielu systemów energetycznych, gazowych czy kolejowych. Po drugie, gdy podmiot jest częścią struktur przedsiębiorstw połączonych lub powiązanych z podmiotami krytycznymi w innych państwach członkowskich. Po trzecie, gdy podmiot został zidentyfikowany jako krytyczny w jednym państwie, ale świadczy usługi kluczowe na rzecz innych państw lub w innych państwach. Celem tych konsultacji jest zapewnienie spójnego stosowania dyrektywy oraz, w miarę możliwości, zmniejszenie obciążenia administracyjnego podmiotów działających transgranicznie (art. 11 ust. 2 dyrektywy CER). To ważna zasada: harmonizacja powinna ułatwiać życie operatorom, a nie generować dodatkowe warstwy biurokracji.
Podmioty krytyczne o szczególnym znaczeniu europejskim (art. 17–18 dyrektywy CER)
Dyrektywa CER wprowadza szczególną kategorię podmiotów krytycznych o szczególnym znaczeniu europejskim. Status ten uzyskują podmioty świadczące usługi kluczowe na rzecz co najmniej sześciu państw członkowskich lub w co najmniej sześciu państwach członkowskich (art. 17 ust. 1 dyrektywy CER). Chodzi o największych, najbardziej strategicznych operatorów infrastruktury, tych, których ewentualne zakłócenie mogłoby dotknąć znaczną część Unii Europejskiej. Procedura uzyskania tego statusu angażuje Komisję Europejską bezpośrednio. Po zidentyfikowaniu przez państwo członkowskie podmiotu krytycznego, który świadczy usługi na rzecz co najmniej sześciu państw, informacja ta trafia do Komisji. Komisja przeprowadza konsultacje z właściwymi organami zainteresowanych państw i jeśli stwierdzi spełnienie kryterium, powiadamia podmiot o nadaniu mu statusu podmiotu o szczególnym znaczeniu europejskim (art. 17 ust. 3 dyrektywy CER). Od tego momentu podmiot podlega przepisom rozdziału IV dyrektywy, w tym możliwości przeprowadzenia misji doradczej.
Misje doradcze to jedno z najbardziej oryginalnych narzędzi dyrektywy CER (art. 18 dyrektywy CER). Komisja Europejska może zorganizować misję doradczą na wniosek państwa członkowskiego, które zidentyfikowało podmiot o szczególnym znaczeniu europejskim, lub z własnej inicjatywy, za zgodą tego państwa (art. 18 ust. 1 i 2 dyrektywy CER). Misja ma na celu ocenę środków wdrożonych przez podmiot w celu wypełnienia obowiązków wynikających z rozdziału III dyrektywy. W skład misji wchodzą eksperci z państwa, w którym podmiot ma siedzibę, eksperci z państw, na rzecz których świadczy usługi, oraz przedstawiciele Komisji (art. 18 ust. 5 dyrektywy CER). Koszty misji pokrywa Komisja. W ciągu trzech miesięcy od zakończenia misji sporządzane jest sprawozdanie, które trafia do Komisji, zainteresowanych państw oraz samego podmiotu (art. 18 ust. 4 dyrektywy CER). Na podstawie sprawozdania Komisja wydaje opinię dotyczącą tego, czy podmiot wywiązuje się ze swoich obowiązków i jakie środki można wprowadzić, by zwiększyć jego odporność. Misje doradcze są prowadzone zgodnie z prawem krajowym państwa, w którym się odbywają — z poszanowaniem jego odpowiedzialności za bezpieczeństwo narodowe i ochronę interesów bezpieczeństwa (art. 18 ust. 8 dyrektywy CER). Podmiot ma obowiązek zapewnić misji dostęp do informacji, systemów i obiektów niezbędnych do jej przeprowadzenia (art. 18 ust. 7 dyrektywy CER).
CERG: Grupa ds. Odporności Podmiotów Krytycznych (art. 19 dyrektywy CER)
Centralnym forum współpracy na poziomie unijnym jest Grupa ds. Odporności Podmiotów Krytycznych (CERG), ustanowiona na mocy art. 19 dyrektywy CER. To grupa ekspercka Komisji Europejskiej, w skład której wchodzą przedstawiciele wszystkich państw członkowskich oraz Komisji. W stosownych przypadkach mogą być do niej zapraszane odpowiednie zainteresowane strony, a także eksperci Parlamentu Europejskiego (art. 19 ust. 2 dyrektywy CER). Zadania Grupy są rozbudowane i obejmują wiele wymiarów współpracy (art. 19 ust. 3 dyrektywy CER). Grupa wspiera Komisję w pomocy państwom członkowskim w zwiększaniu ich zdolności zapewniania odporności podmiotów krytycznych. Analizuje strategie krajowe w celu identyfikacji najlepszych praktyk. Ułatwia wymianę informacji o identyfikacji podmiotów krytycznych, transgranicznych zależnościach i incydentach. Wnosi wkład w przygotowywanie wytycznych Komisji. Omawia sprawozdania z misji doradczych. Wymienia informacje i dobre praktyki dotyczące innowacji i badań w zakresie odporności. Co istotne, Grupa spotyka się regularnie, co najmniej raz w roku z Grupą Współpracy ustanowioną na podstawie dyrektywy NIS2, w celu promowania współpracy i wymiany informacji między obydwoma reżimami regulacyjnymi (art. 19 ust. 5 dyrektywy CER). To instytucjonalne potwierdzenie, że fizyczna odporność i cyberbezpieczeństwo muszą być traktowane jako dwie strony tej samej monety. Grupa opracowuje program prac co dwa lata, pierwszy do 17 stycznia 2025 r. (art. 19 ust. 4 dyrektywy CER). Komisja przekazuje Grupie sprawozdanie podsumowujące informacje otrzymane od państw członkowskich w zakresie strategii i krajowych ocen ryzyka, pierwsze do 17 stycznia 2027 r., a następnie co najmniej raz na cztery lata (art. 19 ust. 7 dyrektywy CER).
Rola Komisji Europejskiej (art. 20 dyrektywy CER)
Komisja Europejska pełni w systemie dyrektywy CER rolę znacznie szerszą niż tylko strażnika przestrzegania przepisów. Dyrektywa przyznaje jej aktywną rolę wspierającą, zarówno wobec państw członkowskich, jak i bezpośrednio wobec podmiotów krytycznych (art. 20 dyrektywy CER). Komisja przygotowuje ogólnounijny przegląd transgranicznych i międzysektorowych czynników ryzyka związanych ze świadczeniem usług kluczowych (art. 20 ust. 1 dyrektywy CER). To unikalne narzędzie, żadne pojedyncze państwo nie jest w stanie samodzielnie uchwycić pełnego obrazu ryzyk, które przekraczają granice i sektory. Komisja uzupełnia działania państw, opracowując najlepsze praktyki, materiały z wytycznymi i metodyki, a także organizując transgraniczne ćwiczenia sprawdzające odporność podmiotów krytycznych (art. 20 ust. 2 dyrektywy CER). Komisja informuje też państwa o dostępnych instrumentach finansowania na poziomie unijnym m.in. w ramach Funduszu Bezpieczeństwa Wewnętrznego, programu Horyzont Europa czy Unijnego Mechanizmu Ochrony Ludności (art. 20 ust. 3 dyrektywy CER). To praktyczny wymiar wsparcia, wiele podmiotów krytycznych, zwłaszcza tych o mniejszej skali, może nie być świadomych dostępnych źródeł finansowania inwestycji w odporność.
Sprawozdawczość i przegląd dyrektywy (art. 25 dyrektywy CER)
Dyrektywa CER nie jest aktem zamkniętym. Komisja ma obowiązek złożenia Parlamentowi Europejskiemu i Radzie sprawozdania oceniającego, w jakim zakresie każde państwo członkowskie przyjęło niezbędne środki wdrożeniowe, pierwsze sprawozdanie powinno powstać do 17 lipca 2027 r. (art. 25 dyrektywy CER). Komisja dokonuje też okresowego przeglądu funkcjonowania dyrektywy, pierwsze sprawozdanie z przeglądu powinno powstać do 17 czerwca 2029 r. Przegląd obejmuje ocenę wartości dodanej dyrektywy, jej wpływ na odporność podmiotów krytycznych oraz ocenę konieczności zmiany załącznika do dyrektywy, czyli katalogu sektorów objętych regulacją.
Co to oznacza dla Polski?
Polska jako państwo członkowskie, uczestniczy w całym systemie współpracy transgranicznej, jej przedstawiciele zasiadają w Grupie ds. Odporności Podmiotów Krytycznych, a wyznaczony pojedynczy punkt kontaktowy koordynuje wymianę informacji z innymi państwami. Dla polskich podmiotów krytycznych szczególne znaczenie ma mechanizm misji doradczych, jeśli dany operator spełnia kryterium sześciu państw członkowskich i uzyska status podmiotu o szczególnym znaczeniu europejskim, może stać się przedmiotem misji oceniającej jego poziom odporności przez zespół ekspertów z całej Unii. Warto też pamiętać, że współpraca transgraniczna ma bezpośrednie przełożenie na codzienne obowiązki operatorów. Incydent, który może dotknąć inne państwa członkowskie, musi być zgłoszony nie tylko krajowemu organowi, ale za pośrednictwem punktów kontaktowych również organom tych państw. To wymóg, który w polskich przepisach implementacyjnych zostanie szczegółowo uregulowany przez nowelizację ustawy o zarządzaniu kryzysowym.
Źródło: Dyrektywa CER https://eur-lex.europa.eu/eli/dir/2022/2557/oj/pol