- Unia Europejska dostrzega problem braku odporności podmiotów świadczących usługi w określonych dziedzinach. Nowa dyrektywa będzie wprowadzana w życie przez 3 lata.
Kolejny dokument opublikowany przez administrację Unii Europejskiej znalazł się w strefie naszego zainteresowania z oczywistego powodu: nakłada na administrację rządową i wskazane podmioty pewne obowiązki w sferze zarządzania ryzykiem.
W połowie grudnia, na stronach internetowych UE pojawił się projekt nowej dyrektywy:
Proposal for a Directive of the European Parliament and of the Council on the resilience of critical entities
Dwa pojęcia są tu kluczowe:
– podmioty krytyczne,
– odporność.
Definicja podmiotu krytycznego /critical entity/ jest teoretycznie bardzo prosta: jest to podmiot, który został wskazany przez władze krajowe na bazie zestawienia sektorów i podsektorów wskazanych w załączniku do (projektu) Dyrektywy. I już. Trudność polega na tym, że to poszczególne kraje będą same wskazywać (na podstawie pewnych ogólnych kryteriów) te podmioty, które będą podlegać wymaganiom określonym w Dyrektywie.
Odporność została zdefiniowana jako
zdolność do zapobiegania, opierania się, łagodzenia, absorbowania, dostosowywania się i odbudowy po incydencie, który zakłóca lub może zakłócić działalność podmiotu krytycznego.
Natomiast ryzyko, które nas szczególnie interesuje, zostało zdefiniowane następująco:
każda okoliczność lub zdarzenie, które może mieć negatywny wpływ na odporność krytycznych podmiotów (any circumstance or event having a potential adverse effect on the resilience of critical entities).
Jeżeli skonsolidujemy obie definicje, wówczas ryzyko – wedle projektu Dyrektywy – należy rozumieć jako:
każdą okoliczność lub zdarzenie, które może mieć negatywny wpływ na zdolność (podmiotu krytycznego) do zapobiegania, opierania się, łagodzenia, absorbowania, dostosowywania się i odbudowy po incydencie, który zakłóca lub może zakłócić działalność tego podmiotu.
Trochę nam się ta definicja nie podoba, ale o tym napiszemy przy innej okazji.
Projekt Dyrektywy nakłada na państwa członkowskie i podmioty krytyczne prowadzące działalność na ich terenie pewne obowiązki. Nie zamierzamy omawiać ich wszystkich, koncentrujemy się na obowiązkach podmiotów. Teoretycznie tych obowiązków nie jest dużo, chcemy zwrócić uwagę Czytelników na kilka z nich.
Ocena ryzyka
Podmioty krytyczne będą zobowiązane do przeprowadzenia – również na bazie oceny dokonanej przed administrację rządową – oceny ryzyka w terminie 6 miesięcy po otrzymaniu powiadomienia o wpisie do rejestru podmiotów krytycznych a także następnie, co najmniej raz na cztery lata (i w razie potrzeby). Ocena ryzyka winna uwzględniać zagrożenia naturalne jak i te spowodowane przez człowieka, w tym: wypadki, klęski żywiołowe, sytuacje nadzwyczajne, konflikty a także zagrożenia terrorystyczne. Ocena ta powinna uwzględniać również zależności podmiotu od zakłóceń usług innych podmiotów; zakłóceń mogących mieć potencjalny wpływ na usługi świadczone przez dany podmiot krytyczny.
Plan odporności
Podmioty krytyczne będą zobowiązane do opracowania i utrzymania planu odporności (lub równoważnego dokumentu) opisującego stosowane środki organizacyjne i techniczne mające na celu m.in.:
– zapobieganie incydentom,
– zapewnienie ochrony fizycznej wrażliwych obiektów i instalacji,
– zapewnienie bezpieczeństwa personelu,
– łagodzenie skutków zdarzeń,
– alarmowania,
– utrzymanie ciągłości działania ,
– wspieranie zarządzania kryzysowego.
Sprawdzanie przeszłości personelu lub rekrutowanych osób
Podmioty krytyczne będą miały możliwość (zapewne traktowaną jako obowiązek) do sprawdzenia (weryfikacji) – poprzez organy państwa – „historii” osób zajmujących określone stanowiska między innymi w zakresie:
– karalności
– wykształcenia
– zatrudnienia
również na bazie danych wywiadowczych.
Powiadamianie o incydentach
Podmioty, które będą podlegać regulacjom Dyrektywy będą miały obowiązek niezwłocznego powiadamiania organów państwa (i w określonych sytuacjach UE) o incydentach znacząco zakłócających lub mogących zakłócić działalność podmiotów.
No i na koniec lista kategorii podmiotów, które będą podlegać regulacjom zawartym w Dyrektywie – póki co w jej projekcie.
Sektor energetyczny
Podsektor „Elektryczność”:
- Przedsiębiorstwa energetyczne
- Operatorzy systemów dystrybucyjnych / przesyłowych
- Wytwórcy
- Nominowani operatorzy rynku energii elektrycznej
- Uczestnicy rynku energii elektrycznej
Podsektor „Centralne ogrzewanie i chłodzenie”
- Operatorzy systemów lokalnego ogrzewania i chłodzenia
Podsektor „Paliwowy”
- Operatorzy rurociągów przesyłowych ropy naftowej
- Operatorzy instalacji wydobywczych, rafineryjnych, przeróbczych, magazynowych i przesyłowych
- Podmioty składujące ropę naftową
Podsektor „Gazowy”
- Przedsiębiorstwa dostawcze
- Operatorzy systemów dystrybucyjnych / przesyłowych
- Operatorzy systemów magazynowania
- Operatorzy systemów LNG
- Przedsiębiorstwa gazowe
- Operatorzy instalacji rafinacji i oczyszczania gazu ziemnego
Podsektor „Wodorowy”
- Operatorzy produkcji, magazynowania i przesyłu wodoru
Sektor transportowy
Podsektor „Transport powietrzny”
- Przewoźnicy lotniczy
- Operatorzy portów lotniczych oraz podmioty obsługujące instalacje pomocnicze znajdujące się na terenie portów lotniczych
- Operatorzy systemów kontroli zarządzania ruchem lotniczym
Podsektor „Transport szynowy”
- Zarządcy infrastruktury
- Przedsiębiorstwa kolejowe
Podsektor „Transport wodny”
- Przedsiębiorstwa transportu wodnego pasażerskiego i towarowego: śródlądowego, morskiego i przybrzeżnego
- Podmioty zarządzające portami oraz operatorzy usług ruchu statków
Podsektor „Transport drogowy”
- Podmioty odpowiedzialne za kontrolę zarządzania ruchem
- Operatorzy inteligentnych systemów transportowych
Sektor bankowy
- Instytucje kredytowe
Sektor infrastruktura rynku finansowego
- Operatorzy systemów obrotu
- Kontrahenci centralni
Sektor zdrowia
- Świadczeniodawcy
- Laboratoria referencyjne UE
- Podmioty prowadzące działalność badawczo-rozwojową w zakresie produktów leczniczych
- Podmioty wytwarzające podstawowe produkty farmaceutyczne i preparaty farmaceutyczne
- Podmioty wytwarzające wyroby medyczne uważane za krytyczne podczas stanu zagrożenia zdrowia publicznego
Sektor wody pitnej
- Dostawcy i dystrybutorzy wody przeznaczonej do spożycia przez ludzi
Sektor odbioru ścieków
- Przedsiębiorstwa zbierające, unieszkodliwiające lub oczyszczające ścieki komunalne, bytowe i przemysłowe
Sektor infrastruktury cyfrowej
- Dostawcy internetowego punktu wymiany
- Dostawcy usług DNS
- Operatorzy Rejestrów nazw TLD
- Dostawcy usług przetwarzania w chmurze
- Dostawcy usług centrum danych
- Dostawcy sieci dostarczania treści
- Dostawcy usług zaufania
- Dostawcy publicznych sieci łączności elektronicznej
Sektor administracji publicznej
- Podmioty administracji rządowej
- Podmioty administracji regionalnej
Sektor zarządzania przestrzenią
- Operatorzy infrastruktury naziemnej
Zachęcamy, aby zainteresowani Czytelnicy uważnie zapoznali się z treścią załącznika do projektu Dyrektywy albowiem poszczególne podmioty zostały wskazane poprzez odesłanie do innych przepisów unijnych.
