Rozporządzenie delegowane 2023/2450 przekłada dyrektywę CER na język konkretnych branż gospodarki i nie tylko. Dyrektywa CER definiuje 11 sektorów objętych regulacją i wskazuje kategorie podmiotów, które mogą zostać uznane za krytyczne. Jednak sama dyrektywa nie odpowiada wprost na pytanie, które konkretnie usługi spośród całego spektrum działalności prowadzonej w tych sektorach są usługami kluczowymi w rozumieniu regulacji. Tę lukę wypełnia Rozporządzenie Delegowane Komisji (UE) 2023/2450 z dnia 25 lipca 2023 r., opublikowane 30 października 2023 r. To krótki, ale niezwykle praktyczny akt prawny, zaledwie pięć stron, które mają bezpośredni wpływ na to, kto w praktyce może zostać uznany za podmiot krytyczny i jakie obowiązki na nim spoczną.
Czym jest rozporządzenie delegowane i skąd się wzięło?
Dyrektywa CER upoważniła Komisję Europejską do przyjęcia aktu delegowanego ustanawiającego niewyczerpujący wykaz usług kluczowych w sektorach i podsektorach określonych w załączniku do dyrektywy (art. 5 ust. 1 dyrektywy CER). Komisja skorzystała z tego upoważnienia i przyjęła rozporządzenie 2023/2450. Akt ten ma charakter wiążący i jest bezpośrednio stosowany we wszystkich państwach członkowskich, w przeciwieństwie do dyrektywy, nie wymaga transpozycji do prawa krajowego. Oznacza to, że obowiązuje on wprost, bez pośrednictwa ustawodawcy krajowego, choć jego praktyczne zastosowanie w procesie identyfikacji podmiotów krytycznych odbywa się za pośrednictwem krajowych organów właściwych. Znaczenie praktyczne rozporządzenia jest duże. Właściwe organy krajowe korzystają z wykazu usług kluczowych przy przeprowadzaniu krajowych ocen ryzyka, a te z kolei stanowią podstawę identyfikacji podmiotów krytycznych. Innymi słowy, jeśli działalność danego podmiotu nie mieści się w wykazie usług kluczowych, podmiot ten zasadniczo nie powinien zostać uznany za krytyczny. Wykaz jest zatem pierwszym i podstawowym filtrem w całym procesie identyfikacji. Jednocześnie rozporządzenie wyraźnie zastrzega, że wykaz ma charakter niewyczerpujący. Państwa członkowskie mogą i powinny, gdy tego wymaga specyfika ich gospodarki lub infrastruktury uzupełniać go o dodatkowe usługi kluczowe na poziomie krajowym. To kolejny przejaw zasady minimalnej harmonizacji, charakterystycznej dla całej dyrektywy CER: Komisja wyznacza unijne minimum, pozostawiając państwom swobodę jego rozszerzenia. Rozporządzenie wchodzi w życie dwudziestego dnia po opublikowaniu w Dzienniku Urzędowym UE i wiąże w całości we wszystkich państwach członkowskich.
Jak czytać wykaz usług kluczowych?
Zanim przejdziemy do omówienia poszczególnych sektorów, warto wyjaśnić logikę wykazu. Przy każdej usłudze rozporządzenie wskazuje w nawiasie kategorię podmiotu, który tę usługę świadczy, co pozwala precyzyjnie połączyć usługę z konkretnym typem operatora. Ważne zastrzeżenie: sam fakt świadczenia usługi wymienionej w wykazie nie oznacza automatycznie, że podmiot zostanie uznany za krytyczny. Musi on spełnić łącznie trzy kryteria z art. 6 dyrektywy CER: świadczyć usługę kluczową, prowadzić działalność na terytorium danego państwa i spełniać kryterium istotności skutku zakłócającego. Wykaz jest warunkiem koniecznym, ale niewystarczającym.
Sektor energii
Energetyka to sektor o największej liczbie wymienionych usług kluczowych, co odzwierciedla jej fundamentalne znaczenie dla funkcjonowania całej gospodarki i społeczeństwa.
W podsektorze energii elektrycznej za usługi kluczowe uznano: dostawę energii elektrycznej przez przedsiębiorstwa energetyczne, eksploatację, utrzymanie i rozwój systemu dystrybucji przez operatorów systemów dystrybucyjnych, eksploatację i utrzymanie systemu przesyłowego przez operatorów systemów przesyłowych, wytwarzanie energii przez wytwórców, usługi wyznaczonych operatorów rynku energii elektrycznej oraz usługi uczestników rynku w zakresie odpowiedzi odbioru, agregacji energii i magazynowania energii.
W podsektorze systemu ciepłowniczego i chłodniczego usługą kluczową jest dostarczanie systemów ciepłowniczych lub chłodniczych przez ich operatorów.
W podsektorze ropy naftowej wykaz obejmuje: przesył ropy naftowej przez operatorów ropociągów, produkcję ropy przez operatorów instalacji wydobywczych, rafinację i przetwarzanie ropy przez operatorów instalacji przetwórczych, magazynowanie ropy przez operatorów magazynów oraz zarządzanie zapasami naftowymi, w tym zapasami interwencyjnymi i specjalnymi przez krajowe centrale zapasów.
W podsektorze gazu usługami kluczowymi są: dostawa gazu przez przedsiębiorstwa dostarczające, dystrybucja przez operatorów systemów dystrybucyjnych, przesył przez operatorów systemów przesyłowych, magazynowanie przez operatorów systemów magazynowania, eksploatacja systemu skroplonego gazu ziemnego (LNG), produkcja i zakup gazu ziemnego przez przedsiębiorstwa gazowe oraz rafinacja i przetwarzanie gazu przez operatorów odpowiednich instalacji.
W podsektorze wodoru, jednym z nowszych elementów unijnego systemu energetycznego, usługami kluczowymi są produkcja, magazynowanie i przesył wodoru. Włączenie wodoru do wykazu sygnalizuje, że prawodawca unijny już na tym etapie uwzględnia rosnące znaczenie gospodarki wodorowej dla bezpieczeństwa energetycznego Europy.
Sektor transportu
Transport to drugi co do złożoności sektor w wykazie, obejmujący pięć podsektorów i szeroki wachlarz usług.
W podsektorze transportu lotniczego usługami kluczowymi są: usługi pasażerskiego i towarowego transportu lotniczego do celów handlowych świadczone przez przewoźników lotniczych, obsługa i utrzymanie portów lotniczych oraz zarządzanie nimi przez organy zarządzające portami lotniczymi, a także służby kontroli ruchu lotniczego świadczone przez operatorów zarządzających ruchem lotniczym.
W podsektorze transportu kolejowego wykaz obejmuje: usługi transportu kolejowego pasażerskiego i towarowego przez przedsiębiorstwa kolejowe, eksploatację i utrzymanie infrastruktury kolejowej w tym stacji, terminali towarowych, stacji rozrządowych i centrów sterowania ruchem przez zarządców infrastruktury, eksploatację obiektów kolejowej infrastruktury usługowej przez ich operatorów, a także eksploatację systemów zarządzania i sterowania ruchem kolejowym oraz telekomunikacji przez zarządców infrastruktury.
W podsektorze transportu wodnego za usługi kluczowe uznano: śródlądowy, morski i przybrzeżny transport pasażerski i towarowy, eksploatację i utrzymanie portów oraz obiektów portowych, w tym bunkrowanie, przeładunek ładunku, cumowanie, usługi pilotażu i holowania oraz systemy kontroli ruchu statków.
W podsektorze transportu drogowego usługami kluczowymi są zarządzanie ruchem drogowym przez organy administracji drogowej oraz usługi związane z inteligentnymi systemami transportowymi.
Podsektor transportu publicznego obejmuje usługi publiczne w zakresie kolejowego i drogowego transportu pasażerskiego oraz inne środki transportu szynowego.
Sektor bankowości i infrastruktury rynków finansowych
W sektorze bankowości usługami kluczowymi są przyjmowanie depozytów oraz udzielanie pożyczek i kredytów przez instytucje kredytowe. To stosunkowo wąski zakres, co jest zgodne z logiką dyrektywy CER, która dla tego sektora przewiduje stosowanie przede wszystkim przepisów sektorowych, w szczególności rozporządzenia DORA.
W sektorze infrastruktury rynków finansowych usługami kluczowymi są obsługa systemu obrotu przez operatorów systemów obrotu oraz obsługa systemów rozliczeniowych przez kontrahentów centralnych. Podobnie jak w bankowości, podmioty z tego sektora identyfikowane są jako krytyczne na podstawie dyrektywy CER, jednak szczegółowe wymogi odporności regulują wobec nich przepisy sektorowe.
Sektor zdrowia
Włączenie sektora zdrowia do dyrektywy CER to jedna z kluczowych nowości w stosunku do poprzednich regulacji; pandemia COVID-19 dobitnie pokazała, jak krytyczna jest ciągłość usług zdrowotnych. Wykaz obejmuje: świadczenie usług opieki zdrowotnej przez świadczeniodawców, przeprowadzanie analiz przez laboratoria referencyjne UE, badania i rozwój produktów leczniczych, produkcję podstawowych produktów farmaceutycznych i leków, produkcję wyrobów medycznych o krytycznym znaczeniu podczas stanów zagrożenia zdrowia publicznego oraz dystrybucję produktów leczniczych przez podmioty posiadające odpowiednie pozwolenia.
Sektor wody pitnej i sektor ścieków
W sektorze wody pitnej usługą kluczową jest dostarczanie i dystrybucja wody pitnej przez dostawców i dystrybutorów wody przeznaczonej do spożycia przez ludzi, z wyłączeniem podmiotów, dla których dystrybucja wody stanowi jedynie marginalną część szerszej działalności dystrybucyjnej.
W sektorze ścieków usługą kluczową jest zbieranie, oczyszczanie i odprowadzanie ścieków komunalnych, bytowych i przemysłowych, z analogicznym wyłączeniem podmiotów, dla których działalność ta nie jest istotną częścią ich ogólnej działalności.
Sektor infrastruktury cyfrowej
Sektor infrastruktury cyfrowej jest objęty wykazem, choć, jak wspomniano, wobec jego podmiotów stosuje się przede wszystkim przepisy dyrektywy NIS2. Usługami kluczowymi są: dostarczanie i obsługa punktów wymiany ruchu internetowego, świadczenie usług DNS z wyłączeniem głównych serwerów nazw, obsługa rejestrów nazw domen najwyższego poziomu (TLD), świadczenie usług chmurowych, usług centrów przetwarzania danych, sieci dostarczania treści, usług zaufania oraz dostarczanie publicznych sieci łączności elektronicznej.
Sektor administracji publicznej, przestrzeni kosmicznej i żywności
W sektorze administracji publicznej usługami kluczowymi są usługi świadczone przez podmioty administracji publicznej w ramach instytucji rządowych na szczeblu centralnym zdefiniowane przez państwa członkowskie zgodnie z prawem krajowym. To celowo elastyczne sformułowanie, które daje państwom swobodę w określeniu, które konkretnie usługi administracyjne mają charakter kluczowy w ich realiach.
W sektorze przestrzeni kosmicznej usługą kluczową jest obsługa naziemnej infrastruktury, będącej własnością państw członkowskich lub podmiotów prywatnych, wspierającej świadczenie usług kosmicznych, z wyłączeniem dostawców publicznych sieci łączności elektronicznej.
W sektorze produkcji, przetwarzania i dystrybucji żywności wykaz obejmuje trzy usługi: produkcję przemysłową i przetwórstwo przemysłowe żywności na dużą skalę, usługi związane z łańcuchem dostaw żywności, w tym przechowywanie i logistykę oraz dystrybucję hurtową żywności. Wszystkie te usługi dotyczą wyłącznie przedsiębiorstw spożywczych prowadzących te działalności jako swoją podstawową działalność, co odzwierciedla proporcjonalne podejście do sektora o rozproszonym charakterze.
Co to oznacza dla polskich podmiotów?
Rozporządzenie 2023/2450 obowiązuje w Polsce bezpośrednio, nie wymaga implementacji. Jednocześnie nowelizacja ustawy o zarządzaniu kryzysowym może, zgodnie z zasadą minimalnej harmonizacji, rozszerzyć wykaz usług kluczowych o pozycje istotne z krajowej perspektywy. Warto zatem śledzić nie tylko sam wykaz z rozporządzenia, ale też krajowy proces legislacyjny. Dla każdego operatora działającego w sektorach objętych dyrektywą CER pierwszym krokiem powinna być prosta analiza: czy świadczone przeze mnie usługi mieszczą się w wykazie z rozporządzenia 2023/2450? Jeśli tak, kolejnym krokiem jest ocena, czy spełnione są pozostałe kryteria identyfikacji jako podmiot krytyczny. Jeśli nie, warto mimo to monitorować sytuację, ponieważ krajowy ustawodawca może rozszerzyć ten katalog. Co istotne, wykaz usług kluczowych to nie tylko narzędzie dla organów państwowych. To również praktyczny dokument dla samych operatorów, pozwala im zrozumieć, przez jaką optykę patrzą na nich regulatorzy, i odpowiednio wcześnie przygotować się na ewentualną identyfikację jako podmiot krytyczny.
Dokument można przeczytać tutaj: https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=OJ:L_202302450&qid=1779281202743