Directiva (UE) 2022/2557 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 relativa a la resiliencia de las entidades críticas y por la que se deroga la Directiva 2008/114/CE del Consejo (Texto pertinente a efectos del EEE)

1 La presente Directiva: a) obliga a los Estados miembros a adoptar medidas específicas destinadas a garantizar la prestación sin obstrucciones en el mercado interior de servicios esenciales para el mantenimiento de funciones sociales o actividades económicas vitales dentro del ámbito de aplicación del artículo 114 del TFUE, en particular las obligaciones de identificar las entidades críticas y de apoyarlas en el cumplimiento de las obligaciones impuestas a estas últimas; b) establece obligaciones a fin de que las entidades críticas aumenten su resiliencia y capacidad de prestar los servicios mencionados en la letra a) en el mercado interior; c) establece normas: i) sobre la supervisión de las entidades críticas, ii) sobre la ejecución, iii) para la identificación de las entidades críticas de especial importancia europea y sobre misiones de asesoramiento para evaluar las medidas adoptadas por tales entidades con el fin de cumplir sus obligaciones con arreglo al capítulo III; d) establece procedimientos comunes de cooperación e información sobre la aplicación de la presente Directiva; e) establece medidas con vistas a lograr un alto nivel de resiliencia de las entidades críticas a fin de garantizar la prestación de servicios esenciales dentro de la Unión y mejorar el funcionamiento del mercado interior.

2 La presente Directiva no se aplicará a las materias reguladas por la Directiva (UE) 2022/2555, sin perjuicio de lo dispuesto en el artículo 8 de la presente Directiva. Habida cuenta de la relación entre la seguridad física y la ciberseguridad de las entidades críticas, los Estados miembros garantizarán que la presente Directiva y la Directiva (UE) 2022/2555 se apliquen de manera coordinada.

3 Las disposiciones pertinentes de la presente Directiva, incluidas las disposiciones sobre supervisión y ejecución establecidas en el capítulo VI, no serán de aplicación en caso de que las disposiciones de actos jurídicos sectoriales de la Unión obliguen a las entidades críticas a adoptar medidas para aumentar su resiliencia y cuando tales obligaciones sean reconocidas por los Estados miembros como al menos equivalentes a las obligaciones correspondientes establecidas en la presente Directiva.

4 Sin perjuicio de lo dispuesto en el artículo 346 del TFUE, la información que se considere confidencial de acuerdo con las normas de la Unión o nacionales, como las normas sobre confidencialidad empresarial, se intercambiará con la Comisión y otras autoridades pertinentes de conformidad con la presente Directiva únicamente cuando tal intercambio sea necesario para la aplicación de la presente Directiva. La información que se intercambie se limitará a aquella que resulte pertinente y proporcionada para la finalidad del intercambio. El intercambio de información preservará la confidencialidad de esta y la seguridad y los intereses comerciales de las entidades críticas, respetando al mismo tiempo la seguridad de los Estados miembros.

5 La presente Directiva se entenderá sin perjuicio de la responsabilidad de los Estados miembros de salvaguardar la seguridad nacional y la defensa y de su competencia para salvaguardar otras funciones esenciales del Estado, como garantizar la integridad territorial del Estado y mantener el orden público.

6 La presente Directiva no se aplicará a entidades de la administración pública que realicen sus actividades en los ámbitos de la seguridad nacional, la seguridad pública, la defensa o la aplicación de la ley, con inclusión de la investigación, la detección y el enjuiciamiento de infracciones penales.

7 Los Estados miembros podrán decidir que el artículo 11 y los capítulos III, IV y VI, en parte o en su totalidad, no se apliquen a entidades críticas específicas que realizan actividades en los ámbitos de la seguridad nacional, la seguridad pública, la defensa o la aplicación de la ley, con inclusión de la investigación, la detección y el enjuiciamiento de infracciones penales, o que presten servicios exclusivamente a las entidades de la administración pública a que hace referencia el apartado 6 del presente artículo.

8 Las obligaciones establecidas en la presente Directiva no implicarán el suministro de información cuya divulgación fuera contraria a los intereses esenciales de seguridad nacional, seguridad pública o defensa de los Estados miembros.

9 La presente Directiva se entiende sin perjuicio del Derecho de la Unión en materia de protección de datos personales, en particular el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo y la Directiva 2002/58/CE del Parlamento Europeo y del Consejo .

A los efectos de la presente Directiva, se entenderá por: 1) «entidad crítica»: una entidad pública o privada identificada por un Estado miembro de conformidad con el artículo 6 como perteneciente a una de las categorías establecidas en la tercera columna del cuadro del anexo; 2) «resiliencia»: la capacidad de una entidad crítica para la prevención, la protección, la respuesta, la resistencia, la mitigación, la absorción, la adaptación y la recuperación en caso de un incidente; 3) «incidente»: un acontecimiento que tiene el potencial de perturbar significativamente, o que perturbe, la prestación de un servicio esencial, en particular cuando afecte a los sistemas nacionales que salvaguardan el Estado de Derecho; 4) «infraestructura crítica»: un elemento, instalación, equipo, red o sistema, o parte de un elemento, instalación, equipo, red o sistema, que es necesario para la prestación de un servicio esencial; 5) «servicio esencial»: un servicio que es crucial para el mantenimiento de funciones sociales vitales, las actividades económicas, la salud pública y la seguridad, o el medio ambiente; 6) «riesgo»: la posible pérdida o perturbación causada por un incidente expresada como una combinación de la magnitud de tal pérdida o perturbación y la probabilidad de que se produzca tal incidente; 7) «evaluación de riesgos»: el proceso general dirigido a determinar la naturaleza y el alcance de un riesgo mediante la identificación y el análisis de potenciales amenazas, vulnerabilidades y peligros pertinentes que puedan dar lugar a un incidente y mediante la evaluación de las posibles pérdidas o perturbaciones en la prestación de un servicio esencial causadas por dicho incidente; 8) «norma»: una norma tal como se define en el artículo 2, apartado 1, del Reglamento (UE) n.o 1025/2012 del Parlamento Europeo y del Consejo ; 9) «especificación técnica»: una especificación técnica tal como se define en el artículo 2, punto 4, del Reglamento (UE) n.o 1025/2012; 10) «entidad de la administración pública»: una entidad reconocida como tal en un Estado miembro de conformidad con el Derecho nacional, con excepción del poder judicial, los parlamentos o los bancos centrales, que cumple los criterios siguientes: a) se ha creado para satisfacer necesidades de interés general y no tiene carácter industrial o mercantil; b) está dotada de personalidad jurídica o está autorizada por la ley a actuar en nombre de otra entidad dotada de personalidad jurídica; c) está financiada mayoritariamente por autoridades estatales u otras entidades de Derecho público a nivel central, cuya gestión se halla sometida a un control por parte de estas autoridades o entidades, o tiene órganos de administración, de dirección o de supervisión más de la mitad de cuyos miembros los nombran las autoridades estatales u otras entidades de Derecho público a nivel central; d) esté facultada para dirigir a las personas físicas o jurídicas resoluciones administrativas o reglamentarias que afecten a sus derechos en la circulación transfronteriza de personas, mercancías, servicios o capitales.

La presente Directiva no será óbice para que los Estados miembros adopten o mantengan disposiciones de Derecho nacional con el objeto de alcanzar un mayor nivel de resiliencia de las entidades críticas, siempre y cuando tales disposiciones sean compatibles con las obligaciones que el Derecho de la Unión impone a los Estados miembros.

1 Tras una consulta que, en la medida de lo posible, esté abierta a las partes interesadas pertinentes, cada Estado miembro adoptará a más tardar el 17 de enero de 2026 una estrategia para aumentar la resiliencia de las entidades críticas (en lo sucesivo, «estrategia»). La estrategia establecerá objetivos estratégicos y medidas de actuación, basándose en estrategias nacionales y sectoriales, planes o documentos similares existentes en la materia, con vistas a alcanzar y mantener un alto nivel de resiliencia por parte de las entidades críticas y abarcará, como mínimo, los sectores indicados en el anexo.

2 Cada estrategia incluirá, como mínimo, los elementos siguientes: a) los objetivos estratégicos y las prioridades con el fin de aumentar la resiliencia global de las entidades críticas, teniendo en cuenta las dependencias e interdependencias transfronterizas e intersectoriales; b) un marco de gobernanza para alcanzar los objetivos estratégicos y las prioridades, incluida una descripción de las funciones y responsabilidades de las diferentes autoridades, entidades críticas y otras partes implicadas en la aplicación de la estrategia; c) una descripción de las medidas necesarias para aumentar la resiliencia global de las entidades críticas, incluida una descripción de la evaluación de riesgos a que se refiere el artículo 5; d) una descripción del proceso por el que se identifican las entidades críticas; e) una descripción del proceso de apoyo a las entidades críticas de conformidad con el presente capítulo, incluidas las medidas para mejorar la cooperación entre el sector público, por una parte, y el sector privado y las entidades públicas y privadas, por otra; f) una lista de las principales autoridades y partes interesadas pertinentes, distintas de las entidades críticas, que participen en la ejecución de la estrategia; g) un marco de actuación a efectos de la coordinación entre las autoridades competentes con arreglo a la presente Directiva (en lo sucesivo, «autoridades competentes») y las autoridades competentes con arreglo a la Directiva (UE) 2022/2555 a efectos del intercambio de información sobre los riesgos, amenazas e incidentes relacionados con la ciberseguridad y los riesgos, amenazas e incidentes no relacionados con ella y el ejercicio de las tareas de supervisión; h) una descripción de las medidas ya adoptadas con el fin de facilitar el cumplimiento de las obligaciones con arreglo al capítulo III de la presente Directiva por parte de las pequeñas y medianas empresas en el sentido del anexo de la Recomendación 2003/361/CE de la Comisión identificadas como entidades críticas por el Estado miembro en cuestión. Tras una consulta que, en la medida de lo posible, esté abierta a las partes interesadas pertinentes, los Estados miembros actualizarán sus estrategias como mínimo cada cuatro años.

3 Los Estados miembros comunicarán a la Comisión sus estrategias, así como sus actualizaciones sustanciales, en el plazo de tres meses a partir de la fecha de su adopción.

1 La Comisión estará facultada para adoptar un acto delegado con arreglo al artículo 23, a más tardar el 17 de noviembre de 2023, que complete la presente Directiva mediante el establecimiento de una lista no exhaustiva de servicios esenciales en los sectores y subsectores indicados en el anexo. Las autoridades competentes recurrirán a dicha lista con el fin de realizar una evaluación de riesgos (en lo sucesivo, «evaluación de riesgos del Estado miembro») a más tardar el 17 de enero de 2026, y posteriormente siempre que sea necesario y como mínimo cada cuatro años. Las autoridades competentes utilizarán las evaluaciones de riesgos del Estado miembro con el fin de identificar las entidades críticas de conformidad con el artículo 6 y ayudar a dichas entidades críticas a adoptar medidas con arreglo al artículo 13. Las evaluaciones de riesgos del Estado miembro tendrán en cuenta los riesgos naturales y de origen humano pertinentes, incluidos los de naturaleza intersectorial o transfronteriza, los accidentes, las catástrofes naturales, las emergencias de salud pública y las amenazas híbridas u otras amenazas antagónicas, incluidos los delitos de terrorismo s según lo dispuesto en la Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo .

2 Al realizar las evaluaciones de riesgos del Estado miembro, los Estados miembros tendrán en cuenta como mínimo lo siguiente: a) la evaluación general de riesgos realizada de conformidad con el artículo 6, apartado 1, de la Decisión n.o 1313/2013/UE; b) otras evaluaciones de riesgos pertinentes realizadas de conformidad con los requisitos de los actos jurídicos sectoriales de la Unión pertinentes, incluidos los Reglamentos (UE) 2017/1938 y (UE) 2019/941 del Parlamento Europeo y del Consejo y las Directivas 2007/60/CE y 2012/18/UE del Parlamento Europeo y del Consejo; c) los riesgos pertinentes derivados del grado de interdependencia de los sectores indicados en el anexo, incluido el grado en que dependen de entidades situadas en otros Estados miembros y terceros países, y las repercusiones que una perturbación significativa en un sector pueda tener en otros sectores, incluido cualquier riesgo significativo para los ciudadanos y el mercado interior; d) cualquier información sobre incidentes notificados de conformidad con el artículo 15. A efectos del párrafo primero, letra c), los Estados miembros cooperarán con las autoridades competentes de otros Estados miembros y las autoridades competentes de terceros países, según proceda.

3 Los Estados miembros pondrán los elementos pertinentes de las evaluaciones de riesgos del Estado miembro a disposición de las entidades críticas que los Estados miembros hayan identificado con arreglo al artículo 6, a través, cuando proceda, de sus puntos de contacto únicos. Los Estados miembros garantizarán que la información facilitada a las entidades críticas ayude a estas en la realización de sus evaluaciones de riesgos de conformidad con el artículo 12 y en la adopción de medidas para garantizar su resiliencia de conformidad con el artículo 13.

4 En un plazo de tres meses tras la realización de la evaluación de riesgos del Estado miembro, este facilitará a la Comisión información pertinente sobre los tipos de riesgos determinados a raíz de dicha evaluación y los resultados de esta, por sectores y subsectores indicados en el anexo.

5 La Comisión, en cooperación con los Estados miembros, elaborará un modelo común voluntario de presentación de informes a efectos del cumplimiento de lo dispuesto en el apartado 4.

1 A más tardar el 17 de julio de 2026, los Estados miembros identificarán las entidades críticas para los sectores y subsectores indicados en el anexo.

2 Cuando un Estado miembro identifique entidades críticas con arreglo al apartado 1, tendrá en cuenta los resultados de su evaluación de riesgos del Estado miembro y su estrategia y aplicará todos los criterios siguientes: a) la entidad presta uno o más servicios esenciales; b) la entidad opera en el territorio de dicho Estado miembro y su infraestructura crítica está situada en él, y c) un incidente tendría efectos perturbadores significativos, determinados de conformidad con el artículo 7, apartado 1, en la prestación por la entidad de uno o más servicios esenciales, o en la prestación de otros servicios esenciales en los sectores indicados en el anexo que dependen de dicho o dichos servicios esenciales.

3 Cada Estado miembro elaborará una lista de las entidades críticas identificadas con arreglo al apartado 2 y garantizará que se les notifique, en el plazo de un mes a partir de su identificación, que han sido identificadas como entidades críticas. Los Estados miembros informarán a esas entidades críticas de las obligaciones que les incumben con arreglo a los capítulos III y IV y de la fecha a partir de la cual dichas obligaciones les son aplicables, sin perjuicio de lo dispuesto en el artículo 8. Los Estados miembros informarán a las entidades críticas en los sectores indicados en los puntos 3, 4 y 8 del cuadro del anexo de que no están sometidas a ninguna obligación con arreglo a los capítulos III y IV, a menos que las medidas nacionales dispongan otra cosa. El capítulo III se aplicará a las entidades críticas de que se trate a partir de diez meses después de la fecha de la notificación a que se refiere el párrafo primero del presente apartado.

4 Los Estados miembros garantizarán que sus autoridades competentes con arreglo a la presente Directiva notifiquen a las autoridades competentes con arreglo a la Directiva (UE) 2022/2555 la identidad de las entidades críticas que hayan identificado con arreglo al presente artículo, en el plazo de un mes a partir de la identificación. Dicha notificación especificará, cuando proceda, que las entidades críticas de que se trate son entidades de los sectores indicados en los puntos 3, 4 y 8 del cuadro anexo de la presente Directiva y que no están sometidas a ninguna obligación con arreglo a sus capítulos III y IV.

5 Cuando sea necesario y, en cualquier caso, como mínimo cada cuatro años, los Estados miembros revisarán y, en su caso, actualizarán la lista de las entidades críticas identificadas a que se refiere el apartado 3. Cuando tales actualizaciones conduzcan a la identificación de entidades críticas adicionales, los apartados 3 y 4 se aplicarán a dichas entidades críticas adicionales. Además, los Estados miembros garantizarán que las entidades que, después de tal actualización, ya no estén identificadas como entidades críticas reciban a su debido tiempo la notificación a este respecto y de que ha dejado de estar sometidas a las obligaciones con arreglo al capítulo III desde la fecha de recepción de dicha notificación.

6 La Comisión, en cooperación con los Estados miembros, elaborará recomendaciones y directrices no vinculantes con el fin de ayudar a estos últimos a identificar entidades críticas.

1 Al determinar el carácter significativo de un efecto perturbador a que se refiere el artículo 6, apartado 2, letra c), los Estados miembros tendrán en cuenta los criterios siguientes: a) el número de usuarios que dependen del servicio esencial prestado por la entidad de que se trate; b) el grado en que otros sectores y subsectores indicados en el anexo dependen del servicio esencial en cuestión; c) las repercusiones que los incidentes podrían tener, en términos de grado y duración, en las actividades económicas y sociales, el medio ambiente, la seguridad y la protección públicas o la salud de la población; d) la cuota de mercado de la entidad en el mercado del servicio o servicios esenciales de que se trate; e) la zona geográfica que podría verse afectada por un incidente, incluido cualquier repercusión transfronteriza, teniendo en cuenta la vulnerabilidad asociada al grado de aislamiento de ciertos tipos de zonas geográficas, como las regiones insulares, las regiones remotas o las zonas montañosas; f) la importancia de la entidad para mantener un nivel suficiente de servicio esencial, teniendo en cuenta la disponibilidad de medios alternativos para la prestación de dicho servicio esencial.

2 Una vez identificadas las entidades críticas con arreglo al artículo 6, apartado 1, cada Estado miembro presentará a la Comisión sin demora indebida la siguiente información: a) una lista de servicios esenciales en ese Estado miembro en caso de contar con servicios esenciales adicionales en comparación con la lista de servicios esenciales a que se refiere el artículo 5, apartado 1; b) el número de entidades críticas identificadas para cada sector y subsector indicado en el anexo y para cada servicio esencial; c) los umbrales aplicados para especificar uno o varios de los criterios del apartado 1. Los umbrales a que se refiere el párrafo primero, letra c), podrán presentarse como tales o de forma agregada. Los Estados miembros presentarán posteriormente la información indicada en el párrafo primero en caso de que sea necesario y como mínimo cada cuatro años.

3 La Comisión, previa consulta al Grupo de Resiliencia de las Entidades Críticas a que se refiere el artículo 19, adoptará directrices no vinculantes para facilitar la aplicación de los criterios a que se refiere el apartado 1 del presente artículo, teniendo en cuenta la información a que se refiere el apartado 2 del presente artículo.

Los Estados miembros se asegurarán de que el artículo 11 y los capítulos III, IV y VI no se apliquen a las entidades críticas que hayan identificado en los sectores indicados en los puntos 3, 4 y 8 del cuadro del anexo. Los Estados miembros podrán adoptar o mantener disposiciones de Derecho nacional a fin de alcanzar un mayor nivel de resiliencia de dichas entidades críticas, a condición de que tales disposiciones sean coherentes con el Derecho de la Unión aplicable.

1 Cada Estado miembro designará o establecerá una o varias autoridades competentes responsables de la correcta aplicación y, en caso necesario, ejecución a escala nacional de las disposiciones establecidas en la presente Directiva. Con respecto a las entidades críticas en los sectores indicados en los puntos 3 y 4 del cuadro del anexo de la presente Directiva, las autoridades competentes serán, en principio, las autoridades competentes a que se refiere el artículo 46 del Reglamento (UE) 2022/2554. Con respecto a las entidades críticas en el sector indicado en el punto 8 del cuadro del anexo de la presente Directiva, las autoridades competentes serán, en principio, las autoridades competentes con arreglo a la Directiva (UE) 2022/2555. Los Estados miembros podrán designar una autoridad competente diferente para los sectores indicados en los puntos 3, 4 y 8 del cuadro del anexo de la presente Directiva, de conformidad con los marcos nacionales vigentes. Cuando designen o establezcan más de una autoridad competente, los Estados miembros fijarán claramente las tareas de cada una de las autoridades interesadas y se asegurarán de que cooperen eficazmente para desempeñar las funciones con arreglo a la presente Directiva, también en lo que se refiere a la designación y las actividades del punto de contacto único a que se refiere el apartado 2.

2 Cada Estado miembro designará o establecerá un punto de contacto único para que ejerza una función de enlace con el fin de garantizar la cooperación transfronteriza con los puntos de contacto únicos de otros Estados miembros y con el Grupo de Resiliencia de las Entidades Críticas a que se refiere el artículo 19 (en lo sucesivo, «punto de contacto único»). Cuando proceda, el Estado miembro designará su punto de contacto único en el seno de una autoridad competente. Cuando proceda, el Estados miembro podrá disponer que su punto de contacto único también ejerza una función de enlace con la Comisión y garantice la cooperación con terceros países.

3 A más tardar el 17 de julio de 2028, y posteriormente cada dos años, los puntos de contacto únicos presentarán a la Comisión y al Grupo de Resiliencia de las Entidades Críticas a que se refiere el artículo 19 un informe de síntesis sobre las notificaciones recibidas, incluido el número de notificaciones, la naturaleza de los incidentes notificados y las medidas adoptadas de conformidad con el artículo 15, apartado 3. La Comisión, en cooperación con el Grupo de Resiliencia de las Entidades Críticas, elaborará un modelo común para la presentación de informes. Las autoridades competentes podrán utilizar con carácter voluntario dicho modelo común para la presentación de los informes de síntesis a que se refiere el párrafo primero.

4 Cada Estado miembro garantizará que su autoridad competente y el punto de contacto único tengan las competencias y los recursos financieros, humanos y técnicos adecuados para llevar a cabo, de manera eficaz y eficiente, las tareas que se les asignen.

5 Cada Estado miembro garantizará que su autoridad competente, cuando proceda y de conformidad con el Derecho de la Unión y nacional aplicable, consulte y coopere con otras autoridades nacionales pertinentes, incluidas las encargadas de la protección civil, la aplicación de la ley y la protección de datos personales, así como con las entidades críticas y las partes interesadas pertinentes.

6 Cada Estado miembro garantizará que su autoridad competente con arreglo a la presente Directiva coopere e intercambie información con las autoridades competentes con arreglo a la Directiva (UE) 2022/2555 en relación con los riesgos, amenazas e incidentes relacionados con la ciberseguridad y los riesgos, amenazas e incidentes no relacionados con ella que afecten a entidades críticas, así como sobre las medidas pertinentes adoptadas por su autoridad competente y las autoridades competentes con arreglo a la Directiva (UE) 2022/2555.

7 En el plazo de tres meses a partir de la designación o el establecimiento de la autoridad competente y del punto de contacto único, cada Estado miembro notificará a la Comisión su identidad y sus tareas y responsabilidades con arreglo a la presente Directiva, así como sus datos de contacto y cualquier modificación posterior de estos. Los Estados miembros informarán a la Comisión en caso de que decidan designar autoridades competentes en relación con las entidades críticas en los sectores indicados en los puntos 3, 4 y 8 del cuadro del anexo a una autoridad distinta de las autoridades competentes a que se refiere el apartado 1, párrafo segundo. Cada Estado miembro hará pública la identidad de su autoridad competente y punto de contacto único.

8 La Comisión elaborará una lista de los puntos de contacto únicos de acceso público.

1 Los Estados miembros ayudarán a las entidades críticas a aumentar su resiliencia. Este apoyo podrá incluir el desarrollo de materiales y metodologías de orientación, el apoyo a la organización de ejercicios para probar su resiliencia y la prestación de asesoramiento y formación al personal de las entidades críticas. Sin perjuicio de las normas aplicables en materia de ayudas estatales, los Estados miembros podrán proporcionar recursos financieros a las entidades críticas cuando sea necesario y esté justificado por objetivos de interés público.

2 Cada Estado miembro garantizará que su autoridad competente coopere e intercambie información y buenas prácticas con las entidades críticas de los sectores indicados en el anexo.

3 Los Estados miembros facilitarán el intercambio voluntario de información entre las entidades críticas en relación con las materias reguladas por la presente Directiva, de conformidad con el Derecho de la Unión y nacional, en particular sobre información clasificada y delicada, competencia y protección de datos personales.

1 Cuando proceda, los Estados miembros se consultarán mutuamente en relación con las entidades críticas con el fin de garantizar que la presente Directiva se aplique de manera coherente. Dichas consultas tendrán lugar, en particular, en relación con las entidades críticas que: a) utilicen infraestructuras críticas que estén físicamente conectadas entre dos o más Estados miembros; b) formen parte de estructuras corporativas que estén conectadas o vinculadas a entidades críticas de otros Estados miembros; c) hayan sido identificadas como entidades críticas en un Estado miembro y presten servicios esenciales a otros Estados miembros o en otros Estados miembros.

2 Las consultas a que se refiere el apartado 1 tendrán como objetivo aumentar la resiliencia de las entidades críticas y, en la medida de lo posible, reducir la carga administrativa que soportan.

1 No obstante el plazo establecido en el artículo 6, apartado 3, párrafo segundo, los Estados miembros garantizarán que las entidades críticas realicen una evaluación de riesgos en el plazo de nueve meses a partir de la recepción de la notificación a que se refiere el artículo 6, apartado 3, y posteriormente siempre que sea necesario y como mínimo cada cuatro años, sobre la base de las evaluaciones de riesgos del Estado miembro y otras fuentes de información pertinentes, a fin de evaluar todos los riesgos pertinentes que puedan perturbar la prestación de sus servicios esenciales (en lo sucesivo, «evaluación de riesgos de la entidad crítica»).

2 La evaluación de riesgos de la entidad crítica tendrá en cuenta los riesgos naturales y de origen humano pertinentes que puedan dar lugar a un incidente, entre ellos los de naturaleza intersectorial o transfronteriza, los accidentes, las catástrofes naturales, las emergencias de salud pública y las amenazas híbridas y otras amenazas antagónicas, incluidos los delitos de terrorismo establecidos en la Directiva (UE) 2017/541. La evaluación de riesgos de la entidad crítica tendrá en cuenta el grado en que otros sectores indicados en el anexo dependen del servicio esencial prestado por dicha entidad crítica y el grado en que esta depende de otros servicios esenciales prestados por otras entidades en esos otros sectores, también, cuando proceda, en Estados miembros vecinos y terceros países. Cuando haya realizado otras evaluaciones de riesgos o elaborado documentos en virtud de obligaciones establecidas en otros actos jurídicos que sean pertinentes para su evaluación de riesgos de la entidad crítica, la entidad crítica podrá utilizar esas otras evaluaciones y documentos para cumplir los requisitos establecidos en el presente artículo. En el ejercicio de sus funciones de supervisión, la autoridad competente podrá declarar conforme, total o parcialmente, con las obligaciones en virtud del presente artículo una evaluación de riesgos existente realizada por una entidad crítica que aborde los riesgos y el grado de dependencia a que se refiere el párrafo primero del presente apartado.

1 Los Estados miembros se asegurarán de que las entidades críticas adopten medidas técnicas, organizativas y de seguridad adecuadas y proporcionadas para garantizar su resiliencia, sobre la base de la información pertinente aportada por ellos en la evaluación de riesgos del Estado miembro y de los resultados de la evaluación de riesgos de la entidad crítica, incluidas las medidas necesarias para: a) evitar que se produzcan incidentes, considerando con la debida atención medidas de reducción del riesgo de catástrofes y de adaptación al cambio climático; b) garantizar una protección física adecuada de sus instalaciones y de la infraestructura crítica, considerando con la debida atención, a título de ejemplo, las vallas, las barreras, las herramientas y rutinas de vigilancia perimetral, los equipos de detección y los controles de acceso; c) responder y resistir a las consecuencias de los incidentes y mitigarlas, considerando con la debida atención la aplicación de procedimientos y protocolos de gestión de riesgos y crisis y rutinas de alerta; d) recuperarse de incidentes, considerando con la debida atención medidas de continuidad de las actividades y la identificación de cadenas de suministro alternativas, a fin de retomar la prestación del servicio esencial; e) garantizar una gestión adecuada de la protección de los empleados, considerando con la debida atención medidas como la determinación de las categorías del personal que ejerce funciones esenciales, el establecimiento de derechos de acceso a instalaciones, infraestructuras críticas e información delicada, el establecimiento de procedimientos de comprobación de antecedentes personales de conformidad con el artículo 14 y la designación de las categorías de personas que están obligadas a someterse a dicha comprobación de antecedentes, así como el establecimiento de requisitos adecuados en materia de formación y cualificaciones; f) concienciar al personal pertinente acerca de las medidas mencionadas en las letras a) a e), considerando con la debida atención medidas como la organización de cursos de formación y ejercicios y la elaboración de material de información. A efectos del párrafo primero, letra e), los Estados miembros se asegurarán de que las entidades críticas tengan en cuenta al personal de los proveedores de servicios externos a la hora de establecer categorías de personal que ejerza funciones esenciales.

2 Los Estados miembros se asegurarán de que las entidades críticas tengan y apliquen un plan de resiliencia o documentos equivalentes que describan las medidas adoptadas con arreglo al apartado 1. Cuando hayan elaborado documentos o tomado medidas en virtud de obligaciones establecidas en otros actos jurídicos que sean pertinentes para las medidas a que se refiere el apartado 1, las entidades críticas podrán utilizar dichos documentos y medidas para cumplir los requisitos establecidos en el presente artículo. En el ejercicio de sus funciones de supervisión, la autoridad competente podrá declarar conformes, total o parcialmente, con las obligaciones establecidas en el presente artículo las medidas existentes de mejora de la resiliencia tomadas por una entidad crítica que aborden, de forma adecuada y proporcionada, las medidas técnicas, organizativas y de seguridad y a que se refiere el apartado 1.

3 Los Estados miembros garantizarán que cada entidad crítica designe a un agente de enlace o equivalente como punto de contacto con las autoridades competentes.

4 A petición del Estado miembro que haya identificado la entidad crítica y con el acuerdo de esta, la Comisión organizará misiones de asesoramiento, de conformidad con las disposiciones establecidas en el artículo 18, apartados 6, 8 y 9, para asesorar a la entidad crítica de que se trate en el cumplimiento de sus obligaciones con arreglo al capítulo III. La misión de asesoramiento informará de sus conclusiones a la Comisión, al Estado miembro y a la entidad crítica de que se trate.

5 La Comisión, previa consulta al Grupo de Resiliencia de las Entidades Críticas a que se refiere el artículo 19, adoptará directrices no vinculantes para especificar con más detalle las medidas técnicas, organizativas y de seguridad que se pueden adoptar con arreglo al apartado 1 del presente artículo.

6 La Comisión adoptará actos de ejecución para establecer las especificaciones técnicas y metodológicas necesarias relativas a la aplicación de las medidas a que se refiere el apartado 1 del presente artículo. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 24, apartado 2.

1 Los Estados miembros especificarán las condiciones en las cuales, en casos debidamente motivados y teniendo en cuenta la evaluación de riesgos del Estado miembro, se permita a una entidad crítica presentar solicitudes de comprobación de los antecedentes personales de quienes: a) desempeñen tareas delicadas en la entidad crítica o para su beneficio, en particular en relación con la resiliencia de la entidad crítica; b) estén autorizados a disponer de acceso directo o remoto a sus instalaciones, información o sistemas de control, también por lo que respecta a la seguridad de la entidad crítica; c) estén siendo considerados para su contratación en puestos que cumplan los criterios establecidos en las letras a) o b).

2 Las solicitudes a que se refiere el apartado 1 del presente artículo se evaluarán en un plazo razonable y se tramitarán de conformidad con el Derecho y los procedimientos nacionales y con el Derecho de la Unión pertinente y aplicable, incluidos el Reglamento (UE) 2016/679 y la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo . Estas comprobaciones de antecedentes serán proporcionadas y se limitarán estrictamente a lo necesario. Se realizarán con el único fin de evaluar un posible riesgo para la seguridad de la entidad crítica de que se trate.

3 La comprobación de antecedentes a que se refiere el apartado 1 incluirá, como mínimo, las siguientes tareas: a) corroborar la identidad de la persona objeto de la comprobación de antecedentes; b) comprobar en el registro de antecedentes penales de dicha persona la existencia de delitos que sean significativos para un puesto concreto. Al efectuar las comprobaciones de antecedentes, los Estados miembros utilizarán el Sistema Europeo de Información de Antecedentes Penales de conformidad con los procedimientos establecidos en la Decisión Marco 2009/315/JAI y, cuando proceda y sea aplicable, en el Reglamento (UE) 2019/816 a efectos de la obtención de información del registro de antecedentes penales de otros Estados miembros. Las autoridades centrales a que se refieren el artículo 3, apartado 1, de la Decisión Marco 2009/315/JAI y el artículo 3, punto 5, del Reglamento (UE) 2019/816 responderán a las solicitudes de información en el plazo de diez días hábiles a partir de la fecha de recepción de la solicitud de conformidad con el artículo 8, apartado 1, de la Decisión Marco 2009/315/JAI.

1 Los Estados miembros se asegurarán de que las entidades críticas notifiquen sin demora indebida a la autoridad competente los incidentes que perturben o puedan perturbar de forma significativa la prestación de servicios esenciales. Los Estados miembros se asegurarán de que, salvo que sean incapaces de hacerlo desde el punto de vista operativo, las entidades críticas presenten, en un plazo de veinticuatro horas a partir del momento en que tengan conocimiento de un incidente, una notificación inicial seguida, en su caso, de un informe detallado en el plazo de un mes, a más tardar. A fin de determinar la magnitud de la perturbación, se tendrán en cuenta, en particular, los parámetros siguientes: a) el número y el porcentaje de usuarios afectados por la perturbación; b) la duración de la perturbación; c) la zona geográfica afectada por la perturbación, teniendo en cuenta si la zona está aislada geográficamente. Cuando un incidente tenga o pueda tener repercusiones significativas en la continuidad de la prestación de servicios esenciales en seis Estados miembros o más, las autoridades competentes de los Estados miembros afectados por el incidente lo notificarán a la Comisión.

2 Las notificaciones a que se refiere el apartado 1, párrafo primero, incluirán toda la información disponible necesaria para que la autoridad competente pueda comprender la naturaleza, la causa y las posibles consecuencias del incidente, incluida cualquier información disponible que sea necesaria para determinar las posibles repercusiones transfronterizas del incidente. Tales notificaciones no acarrearán una mayor responsabilidad para las entidades críticas.

3 Sobre la base de la información facilitada por una entidad crítica en una notificación a que se refiere el apartado 1, la autoridad competente correspondiente, a través del punto de contacto único, informará a los puntos de contacto únicos de los demás Estados miembros afectados en caso de que el incidente tenga o pueda tener repercusiones significativas en las entidades críticas y en la continuidad de la prestación de servicios esenciales para o en uno o varios Estados miembros. El punto de contacto único que envíe y reciba información con arreglo al párrafo primero tratará dicha información, de conformidad con el Derecho de la Unión o nacional, de forma que se respete su confidencialidad y se protejan la seguridad y los intereses comerciales de la entidad crítica de que se trate.

4 Tan pronto como sea posible tras haber recibido la notificación a que se refiere el apartado 1, la autoridad competente correspondiente facilitará a la entidad crítica afectada información de seguimiento pertinente, incluida la información que pueda respaldar una respuesta eficaz de la entidad crítica al incidente en cuestión. Los Estados miembros informarán al público cuando consideren que sea de interés público hacerlo.

A fin de promover una aplicación convergente de la presente Directiva, los Estados miembros, cuando resulte útil y sin imponer ni favorecer el uso de un tipo específico de tecnología, fomentarán la utilización de normas y especificaciones técnicas europeas e internacionales que sean pertinentes para las medidas de seguridad y resiliencia aplicables a las entidades críticas.

1 Se considerará que una entidad es una entidad crítica de especial importancia europea cuando: a) haya sido identificada como entidad crítica de conformidad con el artículo 6, apartado 1; b) preste los mismos o similares servicios esenciales a o en seis o más Estados miembros, y c) haya sido notificada de conformidad con el apartado 3 del presente artículo.

2 Los Estados miembros garantizarán que, tras la notificación a que se refiere el artículo 6, apartado 3, la entidad crítica informe a su autoridad competente en caso de que preste servicios esenciales a o en seis o más Estados miembros. En ese caso, los Estados miembros garantizarán que la entidad crítica informe a su autoridad competente de los servicios esenciales que presta a y en tales Estados miembros y de los Estados miembros a o en los que presta tales servicios esenciales. Los Estados miembros comunicarán sin demora indebida a la Comisión la identidad de dichas entidades críticas y la información facilitada con arreglo al presente apartado. La Comisión consultará a la autoridad competente del Estado miembro que haya identificado a una entidad crítica a que se refiere el párrafo primero, a la autoridad competente de los demás Estados miembros de que se trate y a la entidad crítica en cuestión. Durante dichas consultas, cada Estado miembro informará a la Comisión en caso de considerar esenciales los servicios prestados a dicho Estado miembro por la entidad crítica.

3 Cuando, a partir de las consultas mencionadas en el apartado 2 del presente artículo, la Comisión determine que la entidad crítica en cuestión presta servicios esenciales a o en seis o más Estados miembros, notificará a dicha entidad crítica, a través de su autoridad competente, que se la considera una entidad crítica de especial importancia europea y le informará de las obligaciones que le incumben en virtud del presente capítulo y de la fecha a partir de la cual le serán exigibles. Una vez que la Comisión informe a la autoridad competente de su decisión de considerar que una entidad crítica es una entidad crítica de especial importancia europea, la autoridad competente transmitirá dicha notificación a la entidad crítica sin demora indebida.

4 El presente capítulo se aplicará a la entidad crítica de especial importancia europea de que se trate a partir de la fecha de recepción de la notificación mencionada en el apartado 3 del presente artículo.

1 A petición del Estado miembro que haya identificado que una entidad crítica de especial importancia europea es una entidad crítica con arreglo al artículo 6, apartado 1, la Comisión organizará una misión de asesoramiento a fin de evaluar las medidas adoptadas por dicha entidad crítica con el fin de cumplir sus obligaciones con arreglo al capítulo III.

2 A iniciativa propia o a petición de uno o más Estados miembros a o en los que se preste el servicio esencial y siempre que cuente con el acuerdo del Estado miembro que haya identificado una entidad crítica de especial importancia europea como entidad crítica con arreglo al artículo 6, apartado 1, la Comisión organizará una misión de asesoramiento a tenor del apartado 1 del presente artículo.

3 Previa solicitud motivada de la Comisión o de uno o varios de los Estados miembros a o en los que se preste el servicio esencial, el Estado miembro que haya identificado una entidad crítica de especial importancia europea como entidad crítica con arreglo al artículo 6, apartado 1, facilitará a la Comisión la siguiente información: a) las partes pertinentes de la evaluación de riesgos de la entidad crítica; b) una lista de las medidas pertinentes tomadas de conformidad con el artículo 13; c) las medidas de supervisión o ejecución, incluidas las evaluaciones del cumplimiento o las órdenes emitidas, que su autoridad competente haya emprendido con arreglo a los artículos 21 y 22 con respecto a dicha entidad crítica.

4 La misión de asesoramiento informará de sus conclusiones a la Comisión, al Estado miembro que haya identificado una entidad crítica de especial importancia europea como entidad crítica con arreglo al artículo 6, apartado 1, a los Estados miembros a o en los que se preste el servicio esencial y a la entidad crítica en cuestión en el plazo de tres meses a partir de la conclusión de la misión de asesoramiento. Los Estados miembros a o en los que se preste el servicio esencial analizarán el informe mencionado en el párrafo primero y, en caso necesario, informarán a la Comisión sobre el cumplimiento o no por la entidad crítica de especial importancia europea de que se trate de sus obligaciones con arreglo al capítulo III y, si ha lugar, sobre las medidas que podrían adoptarse para aumentar la resiliencia de dicha entidad crítica. Sobre la base de la información mencionada en el párrafo segundo del presente apartado, la Comisión comunicará al Estado miembro que haya identificado una entidad crítica de especial importancia europea como entidad crítica con arreglo al artículo 6, apartado 1, a los Estados miembros a o en los que se preste el servicio esencial y a dicha entidad crítica su dictamen sobre el cumplimiento o no por la entidad crítica de sus obligaciones con arreglo al capítulo III y, si ha lugar, sobre las medidas que podrían adoptarse para aumentar la resiliencia de dicha entidad crítica. El Estado miembro que haya identificado a una entidad crítica de especial importancia europea como entidad crítica con arreglo al artículo 6, apartado 1, se asegurará de que su autoridad competente y la entidad crítica de que se trate tengan debidamente en cuenta el dictamen mencionado en el párrafo tercero del presente apartado e informará a la Comisión y a los Estados miembros a o en los que se preste el servicio esencial de las medidas adoptadas de conformidad con dicho dictamen.

5 Cada misión de asesoramiento estará compuesta por expertos del Estado miembro en el que esté situada la entidad crítica de especial importancia europea, expertos de los Estados miembros a o en los que se preste el servicio esencial y por representantes de la Comisión. Dichos Estados miembros podrán proponer candidatos a formar parte de una misión de asesoramiento. La Comisión, tras consultar al Estado miembro que haya identificado una entidad crítica de especial importancia europea como entidad crítica con arreglo al artículo 6, apartado 1, seleccionará y nombrará a los miembros de cada misión de asesoramiento en función de su capacidad profesional y garantizando, cuando sea posible, una representación geográficamente equilibrada de todos esos Estados miembros. Cuando sea necesario, los miembros de la misión de asesoramiento deberán disponer de una habilitación de seguridad adecuada y en vigor. La Comisión sufragará los gastos relacionados con la participación en la misión de asesoramiento. La Comisión organizará el programa de cada misión de asesoramiento, en consulta con los miembros de la misión de asesoramiento en cuestión y de acuerdo con el Estado miembro que haya identificado una entidad crítica de especial importancia europea como entidad crítica con arreglo al artículo 6, apartado 1.

6 La Comisión adoptará un acto de ejecución por el que se establezcan normas sobre las disposiciones de procedimiento aplicables a las solicitudes de organización de misiones de asesoramiento, a la tramitación de tales solicitudes, a la realización de las misiones de asesoramiento y la elaboración de sus informes y al tratamiento de la comunicación del dictamen de la Comisión a que se refiere el apartado 4, párrafo tercero, del presente artículo y a las medidas adoptadas, teniendo debidamente en cuenta la confidencialidad y la sensibilidad comercial de la información en cuestión. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 24, apartado 2.

7 Los Estados miembros se asegurarán de que las entidades críticas de especial importancia europea proporcionen a la misión de asesoramiento acceso a la información, los sistemas y las instalaciones relacionados con la prestación de sus servicios esenciales necesarios para llevar a cabo la misión de asesoramiento de que se trate.

8 Las misiones de asesoramiento se llevarán a cabo de conformidad con el Derecho nacional aplicable del Estado miembro en el que tengan lugar, con respecto a la responsabilidad del Estado miembro en materia de seguridad nacional y la protección de sus intereses de seguridad.

9 Al organizar las misiones de asesoramiento, la Comisión tendrá en cuenta los informes de todas las inspecciones realizadas por la Comisión con arreglo a los Reglamentos (CE) n.o 725/2004 y (CE) n.o 300/2008, así como los informes de cualquier supervisión efectuada por la Comisión en virtud de la Directiva 2005/65/CE en relación con la entidad crítica de que se trate.

10 La Comisión informará al Grupo de Resiliencia de las Entidades Críticas a que se refiere el artículo 19 cada vez que se organice una misión de asesoramiento. Además, el Estado miembro en el que tuvo lugar la misión de asesoramiento y la Comisión informarán al Grupo de Resiliencia de las Entidades Críticas acerca de las conclusiones principales de la misión de asesoramiento y de la experiencia adquirida, con vistas a fomentar el aprendizaje mutuo.

1 Se establece un Grupo de Resiliencia de las Entidades Críticas. El Grupo de Resiliencia de las Entidades Críticas apoyará a la Comisión y facilitará la cooperación entre los Estados miembros y el intercambio de información sobre cuestiones relacionadas con la presente Directiva.

2 El Grupo de Resiliencia de las Entidades Críticas estará compuesto por representantes de los Estados miembros y de la Comisión que dispongan de habilitación de seguridad, cuando proceda. Cuando sea pertinente para el desempeño de sus funciones, el Grupo de Resiliencia de las Entidades Críticas podrá invitar a partes interesadas pertinentes a participar en su trabajo. Si así lo solicita el Parlamento Europeo, la Comisión también podrá invitar a expertos del Parlamento Europeo a asistir a las reuniones del Grupo de Resiliencia de las Entidades Críticas. El representante de la Comisión presidirá el Grupo de Resiliencia de las Entidades Críticas.

3 El Grupo de Resiliencia de las Entidades Críticas desempeñará las siguientes funciones: a) asistir a la Comisión en la prestación de ayuda a los Estados miembros para que refuercen su capacidad de contribuir a garantizar la resiliencia de las entidades críticas de conformidad con la presente Directiva; b) analizar las estrategias para determinar las mejores prácticas con respecto a ellas; c) facilitar el intercambio de mejores prácticas en lo que respecta a la identificación de las entidades críticas por parte de los Estados miembros con arreglo al artículo 6, apartado 1, también en relación con las dependencias transfronterizas e intersectoriales y en lo referente a los riesgos e incidentes; d) cuando proceda, realizar contribuciones, en torno a cuestiones relacionadas con la presente Directiva, a documentos relativos a la resiliencia a escala de la Unión; e) contribuir a la preparación de las directrices a que se refieren el artículo 7, apartado 3, y el artículo 13, apartado 5, y, previa solicitud, de cualquier acto delegado o de ejecución adoptado en virtud de la presente Directiva; f) analizar los informes de síntesis a que se refiere el artículo 9, apartado 3, con vistas a promover el intercambio de mejores prácticas sobre las medidas adoptadas de conformidad con el artículo 15, apartado 3; g) intercambiar información sobre las mejores prácticas relacionadas con la notificación de incidentes a que se refiere el artículo 15; h) debatir los informes de síntesis de las misiones de asesoramiento y la experiencia adquirida de conformidad con el artículo 18, apartado 10; i) intercambiar información sobre las actividades y las mejores prácticas en materia de innovación, investigación y desarrollo en relación con la resiliencia de las entidades críticas de conformidad con la presente Directiva; j) cuando proceda, intercambiar información sobre cuestiones relativas a la resiliencia de las entidades críticas con las instituciones, órganos y organismos pertinentes de la Unión.

4 A más tardar el 17 de enero de 2025, y posteriormente cada dos años, el Grupo de Resiliencia de las Entidades Críticas establecerá un programa de trabajo en el que exponga las acciones que deban emprenderse para cumplir sus objetivos y tareas. Dicho programa de trabajo deberá ser coherente con los requisitos y objetivos de la presente Directiva.

5 El Grupo de Resiliencia de las Entidades Críticas se reunirá periódicamente, y como mínimo una vez al año, con el Grupo de Cooperación establecido en virtud de la Directiva (UE) 2022/2555 a fin de fomentar y facilitar la cooperación y el intercambio de información.

6 La Comisión podrá adoptar actos de ejecución que establezcan las disposiciones de procedimiento necesarias para el funcionamiento del Grupo de Resiliencia de las Entidades Críticas, de conformidad con el artículo 1, apartado 4. Dichos actos de ejecución se adoptarán de conformidad con el procedimiento de examen a que se refiere el artículo 24, apartado 2.

7 La Comisión presentará al Grupo de Resiliencia de las Entidades Críticas un informe de síntesis de la información facilitada por los Estados miembros de conformidad con el artículo 4, apartado 3, y el artículo 5, apartado 4, a más tardar el 17 de enero de 2027, y posteriormente siempre que sea necesario y como mínimo cada cuatro años.

1 La Comisión apoyará, cuando proceda, a los Estados miembros y a las entidades críticas en el cumplimiento de sus obligaciones en virtud de la presente Directiva. La Comisión elaborará una visión de conjunto a escala de la Unión de los riesgos transfronterizos e intersectoriales para la prestación de servicios esenciales, organizará las misiones de asesoramiento a que se refieren el artículo 13, apartado 4, y el artículo 18, y facilitará el intercambio de información entre Estados miembros y expertos en toda la Unión.

2 La Comisión complementará las actividades de los Estados miembros a que se refiere el artículo 10 mediante el desarrollo de mejores prácticas, materiales y metodologías de orientación, y actividades y ejercicios de formación transfronterizos para poner a prueba la resiliencia de las entidades críticas.

3 La Comisión informará a los Estados miembros sobre los recursos financieros a escala de la Unión puestos a disposición de los Estados miembros para aumentar la resiliencia de las entidades críticas.

1 A fin de evaluar el cumplimiento de las obligaciones establecidas en la presente Directiva por parte de las entidades identificadas por los Estados miembros como entidades críticas con arreglo al artículo 6, apartado 1, los Estados miembros garantizarán que las autoridades competentes dispongan de las facultades y medios necesarios para: a) realizar inspecciones in situ de las infraestructuras críticas y de las instalaciones que utilice la entidad crítica para prestar sus servicios esenciales y actividades de supervisión externa de las medidas adoptadas por las entidades críticas con arreglo al artículo 13; b) realizar u ordenar auditorías con respecto a entidades críticas.

2 Los Estados miembros garantizarán que las autoridades competentes dispongan de las facultades y medios necesarios para exigir, cuando sea necesario para el desempeño de sus funciones con arreglo a la presente Directiva, que las entidades con arreglo a la Directiva (UE) 2022/2555 que los Estados miembros hayan identificado como entidades críticas con arreglo a la presente Directiva faciliten, en un plazo razonable fijado por dichas autoridades: a) la información necesaria para evaluar si las medidas adoptadas por las citadas entidades para garantizar su resiliencia cumplen los requisitos establecidos en el artículo 13; b) pruebas de la aplicación efectiva de dichas medidas, incluidos los resultados de una auditoría realizada por un auditor cualificado e independiente seleccionado por la entidad y a expensas de esta. Cuando exijan dicha información, las autoridades competentes indicarán con qué objeto la piden y especificarán la información requerida.

3 Sin perjuicio de la posibilidad de imponer sanciones de conformidad con el artículo 22, las autoridades competentes, tras las medidas de supervisión a que se refiere el apartado 1 del presente artículo o la evaluación de la información a que se refiere su apartado 2, podrán requerir a las entidades críticas correspondientes que adopten las medidas necesarias y proporcionadas para subsanar cualquier incumplimiento detectado de la presente Directiva, en un plazo razonable fijado por tales autoridades, y que les faciliten información sobre las medidas adoptadas. Dichos requerimientos tendrán en cuenta, en particular, la gravedad del incumplimiento.

4 Los Estados miembros garantizarán que las facultades establecidas en los apartados 1, 2 y 3 únicamente puedan ejercerse con las salvaguardias adecuadas. Dichas salvaguardias garantizarán, en particular, que dichas facultades se ejerzan de manera objetiva, transparente y proporcionada, y que los derechos e intereses legítimos de las entidades críticas interesadas, como la protección de los secretos comerciales y empresariales, estén debidamente protegidos, incluidos su derecho a ser oídas y su derecho de defensa y de tutela judicial efectiva ante un órgano jurisdiccional independiente.

5 Los Estados miembros garantizarán que, cuando una autoridad competente con arreglo a la presente Directiva evalúe el cumplimiento de las obligaciones de una entidad crítica con arreglo al presente artículo, dicha autoridad competente informe a las autoridades competentes de los Estados miembros de que se trate con arreglo a la Directiva (UE) 2022/2555. A tal fin, los Estados miembros garantizarán que las autoridades competentes con arreglo a la presente Directiva puedan solicitar a las autoridades competentes con arreglo a la Directiva (UE) 2022/2555 que ejerzan sus facultades de supervisión y ejecución en relación con una entidad con arreglo a dicha Directiva que haya sido identificada como entidad crítica con arreglo a la presente Directiva. A tal efecto, los Estados miembros garantizarán que las autoridades competentes con arreglo a la presente Directiva cooperen e intercambien información con las autoridades competentes con arreglo a la Directiva (UE) 2022/2555.

Los Estados establecerán el régimen de sanciones aplicables a cualquier incumplimiento de las medidas nacionales adoptadas al amparo de la presente Directiva y adoptarán todas las medidas necesarias para garantizar su ejecución. Tales sanciones serán efectivas, proporcionadas y disuasorias. Los Estados miembros comunicarán a la Comisión el régimen establecido y las medidas adoptadas, a más tardar el 17 de octubre de 2024, y le notificarán sin demora toda modificación posterior.

1 Se otorgan a la Comisión los poderes para adoptar actos delegados en las condiciones establecidas en el presente artículo.

2 Los poderes para adoptar actos delegados mencionados en el artículo 5, apartado 1, se otorgan a la Comisión por un período de dos años a partir del 16 de enero de 2023.

3 La delegación de poderes mencionada en el artículo 5, apartado 1, podrá ser revocada en cualquier momento por el Parlamento Europeo o por el Consejo. La decisión de revocación pondrá término a la delegación de los poderes que en ella se especifiquen. La decisión surtirá efecto el día siguiente al de su publicación en el Diario Oficial de la Unión Europea o en una fecha posterior indicada en ella. No afectará a la validez de los actos delegados que ya estén en vigor.

4 Antes de la adopción de un acto delegado, la Comisión consultará a los expertos designados por cada Estado miembro de conformidad con los principios establecidos en el Acuerdo interinstitucional de 13 de abril de 2016 sobre la mejora de la legislación.

5 Tan pronto como la Comisión adopte un acto delegado lo notificará simultáneamente al Parlamento Europeo y al Consejo.

6 Los actos delegados adoptados en virtud del artículo 5, apartado 1, entrarán en vigor únicamente si, en un plazo de dos meses a partir de su notificación al Parlamento Europeo y al Consejo, ninguna de estas instituciones formula objeciones o si, antes del vencimiento de dicho plazo, ambas informan a la Comisión de que no las formularán. El plazo se prorrogará dos meses a iniciativa del Parlamento Europeo o del Consejo.

1 La Comisión estará asistida por un comité. Dicho comité será un comité en el sentido del Reglamento (UE) n.o 182/2011.

2 En los casos en que se haga referencia al presente apartado, se aplicará el artículo 5 del Reglamento (UE) n.o 182/2011.

A más tardar el 17 de julio de 2027, la Comisión presentará un informe al Parlamento Europeo y al Consejo en el que se evalúe en qué medida cada Estado miembro ha adoptado las medidas necesarias para dar cumplimiento a lo dispuesto en la presente Directiva. La Comisión revisará periódicamente el funcionamiento de la presente Directiva e informará al Parlamento Europeo y al Consejo. En dicho informe se evaluará, en particular, el valor añadido de la presente Directiva, su impacto a la hora de garantizar la resiliencia de las entidades críticas y la conveniencia de modificar el anexo de la presente Directiva. La Comisión presentará el primer informe a más tardar el 17 de junio de 2029. A efectos de la presentación de informes con arreglo al presente artículo, la Comisión tendrá en cuenta los documentos pertinentes del Grupo de Resiliencia de las Entidades Críticas.

1 Los Estados miembros adoptarán y publicarán a más tardar el 17 de octubre de 2024 las disposiciones necesarias para dar cumplimiento a lo establecido en la presente Directiva. Informarán de ello inmediatamente a la Comisión. Aplicarán dichas disposiciones a partir del 18 de octubre de 2024.

2 Cuando los Estados miembros adopten las disposiciones a que se refiere el apartado 1, estas incluirán una referencia a la presente Directiva o irán acompañadas de dicha referencia en su publicación oficial. Los Estados miembros establecerán las modalidades de la mencionada referencia.

Queda derogada la Directiva 2008/114/CE con efecto a partir del 18 de octubre de 2024. Las referencias a la Directiva derogada se entenderán hechas a la presente Directiva.

La presente Directiva entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

Los destinatarios de la presente Directiva son los Estados miembros.