Directive (UE) 2022/2557 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil (Texte présentant de l’intérêt pour l’EEE)

1 La présente directive: a) impose aux États membres l’obligation d’adopter des mesures spécifiques visant à garantir que les services qui sont essentiels au maintien de fonctions sociétales ou d’activités économiques vitales, dans le champ d’application de l’article 114 du traité sur le fonctionnement de l’Union européenne, soient fournis sans entrave dans le marché intérieur, en particulier l’obligation de recenser les entités critiques et l’obligation d’ aider les entités critiques à s’acquitter des obligations qui leur incombent; b) impose aux entités critiques des obligations visant à renforcer leur résilience et leur capacité à fournir les services visés au point a) dans le marché intérieur; c) établit des règles relatives: i) à la supervision des entités critiques; ii) à l’exécution des règles; iii) au recensement des entités critiques d’importance européenne particulière, ainsi qu’aux missions de conseil pour évaluer les mesures que ces entités ont mises en place pour satisfaire aux obligations qui leur incombent en vertu du chapitre III; d) établit des procédures communes en matière de coopération et d’établissement de rapports sur l’application de la présente directive; e) prévoit des mesures visant à atteindre un niveau élevé de résilience des entités critiques afin de garantir la fourniture de services essentiels dans l’Union et d’améliorer le fonctionnement du marché intérieur.

2 La présente directive ne s’applique pas aux questions couvertes par la directive (UE) 2022/2555, sans préjudice de l’article 8 de la présente directive. La sécurité physique et la cybersécurité des entités critiques étant liées, les États membres veillent à ce que la présente directive et la directive (UE) 2022/2555 soient mises en œuvre de manière coordonnée.

3 Lorsque des dispositions d’actes juridiques sectoriels de l’Union exigent des entités critiques qu’elles adoptent des mesures pour renforcer leur résilience, et lorsque ces exigences sont reconnues par les États membres comme étant au moins équivalentes aux obligations correspondantes prévues par la présente directive, les dispositions pertinentes de la présente directive, y compris les dispositions relatives à la supervision et à l’exécution prévues au chapitre VI, ne s’appliquent pas.

4 Sans préjudice de l’article 346 du traité sur le fonctionnement de l’Union européenne, les informations qui sont confidentielles en application de règles de l’Union ou de règles nationales, telles que les règles relatives au secret des affaires, ne peuvent faire l’objet d’un échange avec la Commission et d’autres autorités concernées conformément à la présente directive que si cet échange est nécessaire à l’application de la présente directive. Les informations échangées se limitent à ce qui est nécessaire et proportionné à l’objectif de cet échange. L’échange d’informations préserve la confidentialité desdites informations ainsi que la sécurité et les intérêts commerciaux des entités critiques, tout en respectant la sécurité des États membres.

5 La présente directive est sans préjudice de la responsabilité des États membres en matière de sauvegarde de la sécurité nationale et de la défense et de leur pouvoir de garantir d’autres fonctions essentielles de l’État, notamment celles qui ont pour objet d’assurer l’intégrité territoriale de l’État et le maintien de l’ordre public.

6 La présente directive ne s’applique pas aux entités de l’administration publique qui exercent leurs activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi, y compris la détection des infractions pénales ainsi que les enquêtes et les poursuites en la matière.

7 Les États membres peuvent décider que l’article 11 et les chapitres III, IV et VI, en tout ou en partie, ne s’appliquent pas à certaines entités critiques qui exercent des activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l’application de la loi, y compris la détection des infractions pénales ainsi que les enquêtes et les poursuites en la matière, ou qui fournissent des services exclusivement aux entités de l’administration publique visées au paragraphe 6 du présent article.

8 Les obligations prévues dans la présente directive n’impliquent pas la fourniture d’informations dont la divulgation serait contraire aux intérêts essentiels des États membres en matière de sécurité nationale, de sécurité publique ou de défense.

9 La présente directive est sans préjudice du droit de l’Union relatif à la protection des données à caractère personnel, en particulier le règlement (UE) 2016/679 du Parlement européen et du Conseil et la directive 2002/58/CE du Parlement européen et du Conseil .

Aux fins de la présente directive, on entend par: 1) «entité critique», une entité publique ou privée qui a été désignée par un État membre conformément à l’article 6 comme appartenant à l’une des catégories qui figurent dans la troisième colonne du tableau de l’annexe; 2) «résilience», la capacité d’une entité critique à prévenir tout incident, à s’en protéger, à y réagir, à y résister, à l’atténuer, à l’absorber, à s’y adapter et à s’en rétablir; 3) «incident», un événement qui perturbe ou est susceptible de perturber de manière importante la fourniture d’un service essentiel, y compris lorsqu’il affecte les systèmes nationaux qui préservent l’état de droit; 4) «infrastructure critique», un bien, une installation, un équipement, un réseau ou un système, ou une partie d’un bien, d’une installation, d’un équipement, d’un réseau ou d’un système, qui est nécessaire à la fourniture d’un service essentiel; 5) «service essentiel», un service qui est crucial pour le maintien de fonctions sociétales ou d’activités économiques vitales, de la santé publique et de la sûreté publique, ou de l’environnement; 6) «risque», le potentiel de perte ou de perturbation causé par un incident, à exprimer comme la combinaison de l’ampleur de cette perte ou de cette perturbation et la probabilité que l’incident se produise; 7) «évaluation des risques», l’ensemble du processus permettant de déterminer la nature et l’étendue d’un risque en déterminant et en analysant les menaces, les vulnérabilités et les dangers potentiels pertinents qui pourraient conduire à un incident et en évaluant la perte ou la perturbation potentielle de la fourniture d’un service essentiel causée par cet incident; 8) «norme», une norme au sens de l’article 2, point 1), du règlement (UE) no 1025/2012 du Parlement européen et du Conseil ; 9) «spécification technique», une spécification technique au sens de l’article 2, point 4), du règlement (UE) no 1025/2012; 10) «entité de l’administration publique», une entité reconnue comme telle dans un État membre conformément au droit national, à l’exclusion de l’organisation judiciaire, des parlements et des banques centrales, qui satisfait aux critères suivants: a) elle a été créée pour satisfaire des besoins d’intérêt général et n’a pas de caractère industriel ou commercial; b) elle est dotée de la personnalité juridique ou est juridiquement habilitée à agir pour le compte d’une autre entité dotée de la personnalité juridique; c) elle est financée majoritairement par les autorités de l’État ou d’autres organismes de droit public de niveau central, ou sa gestion est soumise à un contrôle de la part de ces autorités ou organismes, ou son organe d’administration, de direction ou de surveillance est composé, pour plus de la moitié, de membres désignés par les autorités de l’État ou d’autres organismes de droit public de niveau central; d) elle a le pouvoir d’adresser à des personnes physiques ou morales des décisions administratives ou réglementaires affectant leurs droits en matière de mouvements transfrontières des personnes, des biens, des services ou des capitaux.

La présente directive ne fait pas obstacle à l’adoption ou au maintien par les États membres de dispositions de droit national afin d’atteindre un niveau plus élevé de résilience des entités critiques, à condition que ces dispositions soient compatibles avec les obligations des États membres prévues par le droit de l’Union.

1 À la suite d’une consultation qui est, dans la mesure du possible en pratique, ouverte aux parties prenantes concernées, chaque État membre adopte, au plus tard le 17 janvier 2026, une stratégie visant à renforcer la résilience des entités critiques (ci-après dénommée «stratégie»). La stratégie définit des objectifs stratégiques et des mesures politiques, en s’appuyant sur des stratégies nationales et sectorielles, des plans ou des documents similaires pertinents existants, en vue d’atteindre et de maintenir un niveau élevé de résilience des entités critiques et de couvrir au moins les secteurs figurant à l’annexe.

2 Chaque stratégie contient au moins les éléments suivants: a) les objectifs stratégiques et les priorités aux fins de renforcer la résilience globale des entités critiques, compte tenu des dépendances et des interdépendances transfrontières et transsectorielles; b) un cadre de gouvernance permettant d’atteindre les objectifs stratégiques et les priorités, y compris une description des rôles et des responsabilités des différentes autorités, entités critiques et autres parties participant à la mise en œuvre de la stratégie; c) une description des mesures nécessaires pour renforcer la résilience globale des entités critiques, y compris une description de l’évaluation des risques visée à l’article 5; d) une description du processus par lequel les entités critiques sont recensées; e) une description du processus de soutien aux entités critiques conformément au présent chapitre, y compris les mesures visant à renforcer la coopération entre le secteur public, d’une part, et le secteur privé et les entités publiques et privées, d’autre part; f) une liste des principales autorités et parties prenantes concernées, autres que les entités critiques, participant à la mise en œuvre de la stratégie; g) un cadre d’action pour la coordination entre les autorités compétentes en vertu de la présente directive (ci-après dénommées «autorités compétentes») et les autorités compétentes en vertu de la directive (UE) 2022/2555 aux fins du partage d’informations sur les risques, menaces et incidents en matière de cybersécurité ainsi que sur les risques, menaces et incidents non liés à la cybersécurité, et de l’exercice des tâches de supervision; h) une description des mesures déjà en place visant à faciliter la mise en œuvre des obligations prévues au chapitre III de la présente directive par les petites et moyennes entreprises au sens de l’annexe de la recommandation 2003/361/CE de la Commission que les États membres concernés ont recensées en tant qu’entités critiques. À la suite d’une consultation qui est, dans la mesure du possible en pratique, ouverte aux parties prenantes concernées, les États membres mettent à jour leur stratégie au moins tous les quatre ans.

3 Les États membres communiquent leur stratégie et leurs mises à jour substantielles à la Commission dans un délai de trois mois à compter de leur adoption.

1 La Commission est habilitée à adopter un acte délégué, conformément à l’article 23, au plus tard le 17 novembre 2023, afin de compléter la présente directive en établissant une liste non exhaustive de services essentiels dans les secteurs et les sous-secteurs figurant à l’annexe. Les autorités compétentes utilisent ladite liste des services essentiels pour effectuer une évaluation des risques (ci-après dénommée «évaluation des risques d’État membre») au plus tard le 17 janvier 2026, puis selon les besoins, et au moins tous les quatre ans. Les autorités compétentes utilisent les évaluations des risques d’États membres aux fins de recenser les entités critiques conformément à l’article 6 et pour aider les entités critiques à adopter des mesures en vertu de l’article 13. Les évaluations des risques d’États membres rendent compte des risques naturels et d’origine humaine pertinents, y compris ceux qui revêtent un caractère transsectoriel ou transfrontière, des accidents, des catastrophes naturelles, des urgences de santé publique et des menaces hybrides ou autres menaces antagonistes, lesquelles comprennent les infractions terroristes prévues par la directive (UE) 2017/541 du Parlement européen et du Conseil .

2 Lorsqu’ils procèdent à des évaluations des risques d’États membres, les États membres tiennent compte au moins des éléments suivants: a) l’évaluation des risques générale effectuée en vertu de l’article 6, paragraphe 1, de la décision no 1313/2013/UE; b) d’autres évaluations des risques pertinentes effectuées conformément aux exigences des actes juridiques sectoriels pertinents de l’Union, y compris les règlements (UE) 2017/1938 et (UE) 2019/941 du Parlement européen et du Conseil, ainsi que les directives 2007/60/CE et 2012/18/UE du Parlement européen et du Conseil; c) les risques pertinents découlant de la mesure dans laquelle les secteurs figurant à l’annexe dépendent les uns des autres, y compris de la mesure dans laquelle ils dépendent d’entités situées dans d’autres États membres et des pays tiers, et l’incidence qu’une perturbation importante dans un secteur peut avoir sur d’autres secteurs, y compris tout risque importante pour les citoyens et le marché intérieur; d) toute information sur les incidents notifiés conformément à l’article 15. Aux fins du premier alinéa, point c), les États membres coopèrent avec les autorités compétentes d’autres États membres et les autorités compétentes de pays tiers, s’il y a lieu.

3 Les États membres mettent à la disposition des entités critiques qu’ils ont recensées conformément à l’article 6, s’il y a lieu par l’intermédiaire de leur point de contact unique, les éléments pertinents des évaluations des risques d’États membres. Les États membres veillent à ce que les informations fournies aux entités critiques aident ces dernières à réaliser leurs évaluations des risques en vertu de l’article 12, et à adopter des mesures pour garantir leur résilience en vertu de l’article 13.

4 Dans un délai de trois mois à compter de la réalisation d’une évaluation des risques d’État membre, l’État membre fournit à la Commission des informations pertinentes sur les types de risques recensés suivant cette évaluation des risques d’État membre et les résultats de l’évaluation des risques d’État membre, par secteur et sous-secteur figurant à l’annexe.

5 La Commission, en coopération avec les États membres, élabore un modèle commun facultatif de rapport aux fins du respect du paragraphe 4.

1 Au plus tard le 17 juillet 2026, chaque État membre recense les entités critiques pour les secteurs et sous-secteurs figurant à l’annexe.

2 Lorsqu’un État membre recense les entités critiques en vertu du paragraphe 1, il tient compte des résultats de son évaluation des risques d’État membre et de sa stratégie et applique tous les critères suivants: a) l’entité fournit un ou plusieurs services essentiels; b) l’entité exerce ses activités sur le territoire dudit État membre et son infrastructure critique est située sur ledit territoire; et c) un incident aurait des effets perturbateurs importants, déterminés conformément à l’article 7, paragraphe 1, sur la fourniture par l’entité d’un ou de plusieurs services essentiels ou sur la fourniture d’autres services essentiels dans les secteurs figurant à l’annexe qui dépendent dudit ou desdits services essentiels.

3 Chaque État membre dresse une liste des entités critiques recensées en vertu du paragraphe 2 et veille à ce que ces entités critiques reçoivent notification de ce qu’elles ont été recensées en tant qu’entités critiques dans un délai d’un mois à compter de ce recensement. Les États membres informent ces entités critiques des obligations qui leur incombent en vertu des chapitres III et IV et de la date à partir de laquelle ces obligations leur sont applicables, sans préjudice de l’article 8. Les États membres informent les entités critiques des secteurs figurant aux points 3, 4 et 8 du tableau de l’annexe qu’elles ne sont soumises à aucune des obligations prévues aux chapitres III et IV, sauf mesures nationales contraires. Le chapitre III s’applique aux entités critiques concernées dix mois suivant la date de la notification visée au premier alinéa du présent paragraphe.

4 Les États membres veillent à ce que leurs autorités compétentes en vertu de la présente directive notifient aux autorités compétentes en vertu de la directive (UE) 2022/2555 l’identité des entités critiques qu’ils ont recensées en vertu du présent article dans un délai d’un mois à compter dudit recensement. Cette notification précise, le cas échéant, que les entités critiques concernées sont des entités des secteurs figurant aux points 3, 4 et 8 du tableau de l’annexe de la présente directive et qu’elles ne sont soumises à aucune des obligations prévues aux chapitres III et IV de la présente directive.

5 Si nécessaire et en tout état de cause au moins tous les quatre ans, les États membres réexaminent et, s’il y a lieu, mettent à jour la liste des entités critiques recensées visées au paragraphe 3. Lorsque ces mises à jour entraînent le recensement d’entités critiques supplémentaires, les paragraphes 3 et 4 s’appliquent à ces entités critiques supplémentaires. En outre, les États membres veillent à ce que les entités qui ne sont plus recensées en tant qu’entités critiques à la suite d’une telle mise à jour reçoivent notification en temps utile de ce fait et du fait qu’elles ne sont plus soumises aux obligations prévues au chapitre III à compter de la date de réception de cette notification.

6 La Commission élabore, en coopération avec les États membres, des recommandations et des lignes directrices non contraignantes pour soutenir les États membres dans leur recensement des entités critiques.

1 Lorsqu’ils déterminent l’importance d’un effet perturbateur visé à l’article 6, paragraphe 2, point c), les États membres prennent en compte les critères suivants: a) le nombre d’utilisateurs tributaires du service essentiel fourni par l’entité concernée; b) la mesure dans laquelle les autres secteurs et sous-secteurs figurant à l’annexe dépendent du service essentiel en question; c) l’impact que des incidents pourraient avoir, du point de vue de l’ampleur et de la durée, sur les activités économiques et sociétales, l’environnement, la sûreté et la sécurité publiques, ou la santé de la population; d) la part de marché de l’entité sur le marché du ou des services essentiels concernés; e) la zone géographique susceptible d’être affectée par un incident, y compris toute incidence transfrontière, compte tenu de la vulnérabilité associée au degré d’isolement de certains types de zones géographiques, telles que les régions insulaires, les régions éloignées ou les zones montagneuses; f) l’importance que revêt l’entité pour le maintien d’un niveau suffisant de service essentiel, compte tenu de la disponibilité de solutions de rechange pour la fourniture de ce service essentiel.

2 Après le recensement des entités critiques en vertu de l’article 6, paragraphe 1, chaque État membre communique les informations suivantes à la Commission, sans retard injustifié: a) une liste de services essentiels dans ledit État membre lorsqu’il existe des services essentiels supplémentaires par rapport à la liste des services essentiels visée à l’article 5, paragraphe 1; b) le nombre d’entités critiques recensées pour chaque secteur et sous-secteur figurant à l’annexe et pour chaque service essentiel; c) les seuils éventuellement appliqués en vue de préciser un ou plusieurs des critères du paragraphe 1. Les seuils visés au premier alinéa, point c), peuvent être présentés tels quels ou sous une forme agrégée. Les États membres communiquent ensuite les informations visées au premier alinéa, chaque fois que cela est nécessaire et au moins tous les quatre ans.

3 Après consultation du groupe sur la résilience des entités critiques visé à l’article 19, la Commission adopte des lignes directrices non contraignantes pour faciliter l’application des critères visés au paragraphe 1 du présent article, en tenant compte des informations visées au paragraphe 2 du présent article.

Les États membres veillent à ce que l’article 11 et les chapitres III, IV et VI ne s’appliquent pas aux entités critiques qu’ils ont recensées dans les secteurs figurant aux points 3, 4 et 8 du tableau de l’annexe. Les États membres peuvent adopter ou maintenir des dispositions de droit national afin d’atteindre un niveau de résilience plus élevé pour ces entités critiques à condition que ces dispositions soient compatibles avec le droit de l’Union applicable.

1 Chaque État membre désigne ou met en place une ou plusieurs autorités compétentes chargées de veiller à l’application correcte des règles énoncées dans la présente directive au niveau national et, si nécessaire, de les faire respecter. En ce qui concerne les entités critiques des secteurs figurant aux points 3 et 4 du tableau de l’annexe de la présente directive, les autorités compétentes sont, en principe, les autorités compétentes visées à l’article 46 du règlement (UE) 2022/2554 En ce qui concerne les entités critiques du secteur figurant au point 8 du tableau de l’annexe de la présente directive, les autorités compétentes sont, en principe, les autorités compétentes en vertu de la directive (UE) 2022/2555. Les États membres peuvent désigner une autorité compétente différente pour les secteurs figurant aux points 3, 4 et 8 du tableau de l’annexe de la présente directive conformément aux cadres nationaux existants. Lorsqu’ils désignent ou mettent en place plus d’une autorité compétente, les États membres définissent clairement les tâches de chacune des autorités concernées et veillent à ce qu’elles coopèrent efficacement pour accomplir les tâches qui leur incombent en vertu de la présente directive, y compris en ce qui concerne la désignation et les activités du point de contact unique visé au paragraphe 2.

2 Chaque État membre désigne ou met en place un point de contact unique, chargé d’exercer une fonction de liaison afin d’assurer la coopération transfrontière avec les points de contact uniques des autres États membres et avec le groupe sur la résilience des entités critiques visé à l’article 19 (ci-après dénommé «point de contact unique»). S’il y a lieu, un État membre désigne son point de contact unique au sein d’une autorité compétente. S’il y a lieu, un État membre peut prévoir que son point de contact unique exerce également une fonction de liaison avec la Commission et assure la coopération avec les pays tiers.

3 Au plus tard le 17 juillet 2028, et tous les deux ans par la suite, les points de contact uniques présentent à la Commission et au groupe sur la résilience des entités critiques visé à l’article 19 un rapport de synthèse sur les notifications qu’ils ont reçues, mentionnant le nombre de notifications, la nature des incidents signalés et les mesures prises conformément à l’article 15, paragraphe 3. La Commission, en coopération avec le groupe sur la résilience des entités critiques, élabore un modèle commun de rapport. Les autorités compétentes peuvent utiliser, à titre volontaire, ce modèle commun de rapport aux fins de la présentation des rapports de synthèse visés au premier alinéa.

4 Chaque État membre veille à ce que son autorité compétente et son point de contact unique disposent des pouvoirs et des ressources financières, humaines et techniques nécessaires pour accomplir, de manière efficace et efficiente, les tâches qui leur sont assignées.

5 Chaque État membre veille à ce que son autorité compétente consulte, chaque fois que cela est approprié, et conformément au droit de l’Union et au droit national, les autres autorités nationales concernées, y compris celles chargées de la protection civile, de l’application de la loi et de la protection des données à caractère personnel, et les entités critiques et les parties intéressées concernées, et à ce qu’elle coopère avec celles-ci.

6 Chaque État membre veille à ce que son autorité compétente en vertu de la présente directive coopère et échange des informations avec les autorités compétentes en vertu de la directive (UE) 2022/2555 sur les risques, menaces et incidents en matière de cybersécurité et sur les risques, menaces et incidents non liés à la cybersécurité affectant les entités critiques, y compris en ce qui concerne les mesures pertinentes que son autorité compétente et les autorités compétentes en vertu de la directive (UE) 2022/2555 ont prises.

7 Dans les trois mois à compter de la désignation ou de la mise en place de l’autorité compétente et du point de contact unique, chaque État membre notifie à la Commission leur identité et les tâches et responsabilités qui leur incombent en vertu de la présente directive, leurs coordonnées, ainsi que toute modification ultérieure y relative. Les États membres informent la Commission lorsqu’ils décident de désigner une autorité autre que les autorités compétentes visées au paragraphe 1, deuxième alinéa, en tant qu’autorités compétentes à l’égard des entités critiques des secteurs figurant aux points 3, 4 et 8 du tableau de l’annexe. Chaque État membre rend publique l’identité de son autorité compétente et de son point de contact unique.

8 La Commission met une liste des points de contact uniques à la disposition du public.

1 Les États membres aident les entités critiques à renforcer leur résilience. Dans ce cadre, ils peuvent élaborer des documents d’orientation et des méthodologies, apporter leur soutien à l’organisation d’exercices visant à tester leur résilience et dispenser des conseils et des formations au personnel des entités critiques. Sans préjudice des règles applicables en matière d’aides d’État, les États membres peuvent fournir des ressources financières aux entités critiques, lorsque cela est nécessaire et justifié par des objectifs d’intérêt général.

2 Chaque État membre veille à ce que son autorité compétente coopère et échange des informations et des bonnes pratiques avec les entités critiques des secteurs figurant à l’annexe.

3 Les États membres facilitent le partage volontaire d’informations entre les entités critiques sur les questions couvertes par la présente directive, conformément au droit de l’Union et au droit national en matière, en particulier, d’informations classifiées et sensibles, de concurrence et de protection des données à caractère personnel.

1 Chaque fois que cela est approprié, les États membres se consultent mutuellement au sujet des entités critiques aux fins d’assurer l’application cohérente de la présente directive. Ces consultations ont lieu en particulier au sujet des entités critiques qui: a) utilisent des infrastructures critiques qui sont physiquement connectées entre deux États membres ou plus; b) font partie de structures d’entreprise qui sont connectées ou liées à des entités critiques dans d’autres États membres; c) ont été recensées en tant qu’entités critiques dans un État membre et fournissent des services essentiels à ou dans d’autres États membres.

2 Les consultations visées au paragraphe 1 visent à renforcer la résilience des entités critiques et, si possible, à réduire la charge administrative pesant sur celles-ci.

1 Nonobstant le délai énoncé à l’article 6, paragraphe 3, deuxième alinéa, les États membres veillent à ce que les entités critiques procèdent à une évaluation des risques dans un délai de neuf mois suivant la réception de la notification visée à l’article 6, paragraphe 3, selon les besoins par la suite et au moins tous les quatre ans, sur la base des évaluations des risques d’États membres et d’autres sources d’informations pertinentes, afin d’évaluer tous les risques pertinents qui pourraient perturber la fourniture de leur services essentiels (ci-après dénommée «évaluation des risques d’entité critique»).

2 Les évaluations des risques d’entités critiques rendent compte de tous les risques naturels et d’origine humaine pertinents, susceptibles d’entraîner un incident, y compris ceux qui revêtent un caractère transsectoriel ou transfrontière, des accidents, des catastrophes naturelles, des urgences de santé publique et des menaces hybrides et autres menaces antagonistes, lesquelles comprennent les infractions terroristes prévues par la directive (UE) 2017/541. Une évaluation des risques d’entité critique tient compte de la mesure dans laquelle d’autres secteurs figurant à l’annexe dépendent du service essentiel fourni par l’entité critique et de la mesure dans laquelle cette entité critique dépend des services essentiels fournis par d’autres entités de ces autres secteurs, y compris s’il y a lieu, dans les États membres voisins et les pays tiers. Lorsqu’une entité critique a réalisé d’autres évaluations des risques ou établi des documents en vertu d’obligations prévues dans d’autres actes juridiques qui sont pertinents pour son évaluation des risques d’entité critique, elle peut utiliser ces évaluations et documents pour satisfaire aux exigences énoncées dans le présent article. Dans l’exercice de ses fonctions de supervision, l’autorité compétente peut déclarer qu’une évaluation des risques existante réalisée par une entité critique qui porte sur les risques et le degré de dépendance visés au premier alinéa du présent paragraphe respecte, en tout ou en partie, les obligations prévues par le présent article.

1 Les États membres veillent à ce que les entités critiques prennent des mesures techniques, des mesures de sécurité et des mesures organisationnelles appropriées et proportionnées pour garantir leur résilience, sur la base des informations pertinentes fournies par les États membres concernant l’évaluation des risques d’État membre et les résultats de l’évaluation des risques d’entité critique, y compris des mesures nécessaires pour: a) prévenir la survenance d’incidents, en tenant dûment compte de mesures de réduction des risques de catastrophe et d’adaptation au changement climatique; b) assurer une protection physique adéquate de leurs locaux et infrastructures critiques, en prenant dûment en considération, par exemple, des clôtures, des barrières, des outils et procédures de surveillance des enceintes, et des équipements de détection et de contrôle des accès; c) réagir et résister aux conséquences des incidents et les atténuer, en prenant dûment en considération la mise en œuvre de procédures et protocoles de gestion des risques et des crises et de procédures d’alerte; d) se rétablir d’incidents, en prenant dûment en considération des mesures assurant la continuité des activités et la détermination d’autres chaînes d’approvisionnement, afin de reprendre la fourniture du service essentiel; e) assurer une gestion adéquate de la sécurité liée au personnel, en prenant dûment en considération des mesures telles que la définition des catégories de personnel qui exerce des fonctions critiques, l’établissement de droits d’accès aux locaux, aux infrastructures critiques et aux informations sensibles, la mise en place de procédures de vérification des antécédents conformément à l’article 14, la désignation des catégories de personnes tenues de faire l’objet de telles vérifications des antécédents et la définition d’exigences et de qualifications appropriées en matière de formation; f) sensibiliser le personnel concerné aux mesures visées aux points a) à e), en tenant dûment compte des séances de formation, du matériel d’information et des exercices. Aux fins du premier alinéa, point e), les États membres veillent à ce que les entités critiques tiennent compte du personnel des prestataires de services extérieurs lorsqu’ils définissent les catégories de personnel qui exerce des fonctions critiques.

2 Les États membres veillent à ce que les entités critiques aient mis en place et appliquent un plan de résilience ou un ou plusieurs documents équivalents, qui décrivent les mesures prises en application du paragraphe 1. Lorsque les entités critiques ont élaboré des documents ou pris des mesures en vertu d’obligations prévues dans d’autres actes juridiques qui sont pertinents pour les mesures visées au paragraphe 1, elles peuvent utiliser ces documents et mesures pour satisfaire aux exigences énoncées dans le présent article. Dans l’exercice de ses fonctions de supervision, l’autorité compétente peut déclarer que des mesures existantes de renforcement de la résilience prises par une entité critique qui portent, de manière appropriée et proportionnée, sur les mesures techniques, les mesures de sécurité et les mesures organisationnelles visées au paragraphe 1 respectent, en tout ou en partie, les obligations prévues par le présent article.

3 Les États membres veillent à ce que chaque entité critique désigne un agent de liaison ou une personne ayant une fonction équivalente en tant que point de contact avec les autorités compétentes.

4 À la demande de l’État membre qui a déterminé l’entité critique et avec l’accord de l’entité critique concernée, la Commission organise des missions de conseil, conformément aux modalités prévues à l’article 18, paragraphes 6, 8 et 9, afin de conseiller l’entité critique concernée en vue du respect des obligations qui lui incombent en vertu du chapitre III. La mission de conseil communique ses conclusions à la Commission, audit État membre et à l’entité critique concernée.

5 Après consultation du groupe sur la résilience des entités critiques visé à l’article 19, la Commission adopte des lignes directrices non contraignantes afin de préciser davantage les mesures techniques, les mesures de sécurité et les mesures organisationnelles qui peuvent être prises en vertu du paragraphe 1 du présent article.

6 La Commission adopte des actes d’exécution afin d’établir les spécifications techniques et méthodologiques nécessaires relatives à l’application des mesures visées au paragraphe 1 du présent article. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 24, paragraphe 2.

1 Les États membres précisent les conditions dans lesquelles une entité critique est autorisée, dans des cas dûment motivés et compte tenu de l’évaluation des risques d’État membre, à présenter des demandes de vérification des antécédents des personnes: a) qui occupent des fonctions sensibles au sein de l’entité critique ou au bénéfice de celle-ci, notamment en ce qui concerne la résilience de l’entité critique; b) qui sont autorisées à avoir un accès direct ou à distance aux locaux et aux systèmes d’information ou de contrôle de l’entité critique, y compris en lien avec sa sécurité; c) dont le recrutement est envisagé à des postes répondant aux critères énoncés au point a) ou b).

2 Les demandes visées au paragraphe 1 du présent article sont évaluées dans un délai raisonnable et traitées conformément au droit national et aux procédures nationales, ainsi qu’au droit de l’Union pertinent et applicable, y compris le règlement (UE) 2016/679 et la directive (UE) 2016/680 du Parlement européen et du Conseil . Les vérifications des antécédents sont proportionnées et strictement limitées à ce qui est nécessaire. Elles sont effectuées dans le seul but d’évaluer un risque potentiel pour la sécurité de l’entité critique concernée.

3 À tout le moins, une vérification des antécédents visée au paragraphe 1: a) corrobore l’identité de la personne qui fait l’objet d’une demande de vérification des antécédents; b) vérifie les casiers judiciaires de cette personne en ce qui concerne des infractions qui seraient pertinentes pour un poste déterminé; Lors de la vérification des antécédents, les États membres, recourent au système européen d’information sur les casiers judiciaires conformément aux procédures prévues dans la décision-cadre 2009/315/JAI et, si cela est pertinent et applicable, dans le règlement (UE) 2019/816, aux fins de l’obtention des informations issues des casiers judiciaires détenus par d’autres États membres. Les autorités centrales visées à l’article 3, paragraphe 1, de la décision-cadre 2009/315/JAI et à l’article 3, point 5, du règlement (UE) 2019/816 répondent aux demandes d’informations dans un délai de dix jours ouvrables à compter de la date de réception de la demande conformément à l’article 8, paragraphe 1, de la décision-cadre 2009/315/JAI.

1 Les États membres veillent à ce que les entités critiques notifient sans retard injustifié à l’autorité compétente les incidents qui perturbent ou sont susceptibles de perturber de manière importante la fourniture de services essentiels. Les États membres veillent à ce que, sauf à être dans l’incapacité de le faire pour des raisons opérationnelles, les entités critiques présentent une première notification au plus tard 24 heures après avoir pris connaissance d’un incident, suivie, s’il y a lieu, d’un rapport détaillé au plus tard un mois après. Afin de déterminer l’importance de la perturbation, les paramètres suivants sont, en particulier, pris en compte: a) le nombre et la proportion d’utilisateurs affectés par la perturbation; b) la durée de la perturbation; c) la zone géographique concernée par la perturbation, en tenant compte de son éventuel isolement géographique. Lorsqu’un incident a ou pourrait avoir un impact important sur la continuité de la fourniture de services essentiels à ou dans six États membres ou plus, les autorités compétentes des États membres affectés par l’incident notifient ledit incident à la Commission.

2 Les notifications visées au paragraphe 1, premier alinéa, comprennent toutes les informations disponibles nécessaires pour permettre à l’autorité compétente de comprendre la nature, la cause et les conséquences possibles de l’incident, y compris toute information disponible nécessaire pour déterminer tout impact transfrontière de l’incident. Ces notifications n’ont pas pour effet de soumettre les entités critiques à une responsabilité accrue.

3 Sur la base des informations fournies par une entité critique dans une notification visée au paragraphe 1, l’autorité compétente concernée, par l’intermédiaire du point de contact unique, informe le point de contact unique des autres États membres affectés lorsque l’incident a ou pourrait avoir un impact important sur les entités critiques et sur la continuité de la fourniture de services essentiels à ou dans un ou plusieurs autres États membres. Les points de contact uniques qui envoient et reçoivent des informations en vertu du premier alinéa traitent ces informations, conformément au droit de l’Union ou au droit national, de manière à en respecter la confidentialité et à préserver la sécurité et les intérêts commerciaux de l’entité critique concernée.

4 Dès que possible après la réception d’une notification visée au paragraphe 1, l’autorité compétente concernée fournit à l’entité critique concernée des informations de suivi pertinentes, y compris des informations qui pourraient aider ladite entité critique à réagir efficacement à l’incident en question. Les États membres informent le public lorsqu’ils estiment qu’il serait dans l’intérêt général de le faire.

Afin de favoriser la mise en œuvre convergente de la présente directive, les États membres encouragent, lorsque c’est utile et sans imposer ni créer de discriminations en faveur de l’utilisation d’un type particulier de technologie, le recours à des normes et des spécifications techniques européennes et internationales pertinentes pour les mesures de sécurité et les mesures de résilience applicables aux entités critiques.

1 Une entité est considérée comme une entité critique d’importance européenne particulière lorsqu’elle: a) a été désignée en tant qu’entité critique conformément à l’article 6, paragraphe 1; b) fournit les mêmes services essentiels ou des services essentiels similaires à ou dans six États membres ou plus; et c) elle a fait l’objet d’une notification conformément au paragraphe 3 du présent article.

2 Les États membres veillent à ce qu’une entité critique, à la suite de la notification visée à l’article 6, paragraphe 3, informe son autorité compétente lorsqu’elle fournit des services essentiels à ou dans six États membres ou plus. En pareil cas, les États membres veillent à ce que l’entité critique informe son autorité compétente au sujet des services essentiels qu’elle fournit à ou dans ces États membres et au sujet des États membres auxquels ou dans lesquels elle fournit ces services essentiels. Les États membres notifient à la Commission, sans retard injustifié, l’identité de ces entités critiques et les informations qu’elles fournissent au titre du présent paragraphe. La Commission consulte l’autorité compétente de l’État membre qui a déterminé une entité critique visée au premier alinéa, l’autorité compétente des autres États membres concernés et l’entité critique en question. Lors de ces consultations, chaque État membre informe la Commission lorsqu’il estime que les services qui sont fournis audit État membre par l’entité critique sont des services essentiels.

3 Lorsque la Commission établit, sur la base des consultations visées au paragraphe 2 du présent article, que l’entité critique concernée fournit des services essentiels à ou dans six États membres ou plus, la Commission notifie à ladite entité critique, par l’intermédiaire de son autorité compétente, qu’elle est considérée comme une entité critique d’importance européenne particulière et l’informe des obligations qui lui incombent en vertu du présent chapitre et de la date à partir de laquelle ces obligations lui sont applicables. Une fois que la Commission informe l’autorité compétente de sa décision de considérer une entité critique comme une entité critique d’importance européenne particulière, l’autorité compétente transmet ladite notification à ladite entité critique sans retard injustifié.

4 Le présent chapitre s’applique à l’entité critique d’importance européenne particulière concernée à compter de la date de réception de la notification visée au paragraphe 3 du présent article.

1 À la demande de l’État membre qui a désigné une entité critique d’importance européenne particulière en tant qu’entité critique en vertu de l’article 6, paragraphe 1, la Commission organise une mission de conseil afin d’évaluer les mesures mises en place par ladite entité pour satisfaire aux obligations qui lui incombent en vertu du chapitre III.

2 De sa propre initiative ou à la demande d’un ou de plusieurs États membres auxquels ou dans lesquels le service essentiel est fourni et à condition que l’État membre qui a désigné une entité critique d’importance européenne particulière en tant qu’entité critique en vertu de l’article 6, paragraphe 1, y consente, la Commission organise une mission de conseil visée au paragraphe 1.

3 Sur demande motivée de la Commission ou d’un ou de plusieurs des États membres auxquels ou dans lesquels le service essentiel est fourni, l’État membre qui a désigné une entité critique d’importance européenne particulière en tant qu’entité critique en vertu de l’article 6, paragraphe 1, communique à la Commission ce qui suit: a) les éléments pertinents de l’évaluation des risques d’entité critique; b) une liste des mesures pertinentes prises conformément à l’article 13; c) toute mesure de supervision ou d’exécution, y compris des évaluations du respect des obligations qui ont été faites ou des injonctions qui ont été émises, prise par son autorité compétente en vertu des articles 21 et 22 à l’égard de ladite entité critique.

4 La mission de conseil communique ses conclusions à la Commission, à l’État membre qui a désigné une entité critique d’importance européenne particulière en tant qu’entité critique en vertu de l’article 6, paragraphe 1, aux États membres auxquels ou dans lesquels le service essentiel est fourni et à l’entité critique concernée, dans un délai de trois mois à compter de la fin de la mission de conseil. Les États membres auxquels ou dans lesquels le service essentiel est fourni analysent le rapport visé au premier alinéa et, lorsque cela est nécessaire, conseillent la Commission quant à la question du respect par l’entité critique d’importance européenne particulière concernée des obligations qui lui incombent en vertu du chapitre III et, s’il y a lieu, quant aux mesures qui pourraient être prises pour améliorer la résilience de ladite entité critique. Sur la base des conseils visés au deuxième alinéa du présent paragraphe, la Commission communique à l’État membre qui a désigné une entité critique d’importance européenne particulière en tant qu’entité critique en vertu de l’article 6, paragraphe 1, aux États membres auxquels ou dans lesquels le service essentiel est fourni et à ladite entité critique son avis quant à la question du respect par ladite entité critique des obligations qui lui incombent en vertu du chapitre III et, le cas échéant, quant aux mesures qui pourraient être prises pour améliorer la résilience de ladite entité critique. L’État membre qui a désigné une entité critique d’importance européenne particulière en tant qu’entité critique en vertu de l’article 6, paragraphe 1, veille à ce que son autorité compétente et l’entité critique concernée tiennent compte de l’avis visé au troisième alinéa du présent paragraphe, et fournit à la Commission et aux États membres auxquels ou dans lesquels le service essentiel est fourni des informations sur les mesures qu’il a adoptées à la suite de cet avis.

5 Chaque mission de conseil est composée d’experts de l’État membre dans lequel se situe l’entité critique d’importance européenne particulière, d’experts des États membres auxquels ou dans lesquels le service essentiel est fourni et de représentants de la Commission. Ces États membres peuvent proposer des candidats à la participation à une mission de conseil. À la suite d’une consultation de l’État membre qui a désigné une entité critique d’importance européenne particulière en tant qu’entité critique en vertu de l’article 6, paragraphe 1, la Commission sélectionne et nomme les membres de chaque mission de conseil sur la base de leurs compétences professionnelles et en veillant, lorsque cela est possible, à une représentation géographique équilibrée de tous ces États membres. Chaque fois que cela est nécessaire, les membres de la mission de conseil disposent d’une habilitation de sécurité en cours de validité et au niveau approprié. La Commission prend en charge les coûts liés à la participation à des missions de conseil. La Commission organise le programme de chaque mission de conseil, en concertation avec les membres de la mission de conseil en question et en accord avec l’État membre qui a désigné une entité critique d’importance européenne particulière en tant qu’entité critique en vertu de l’article 6, paragraphe 1.

6 La Commission adopte un acte d’exécution établissant les règles relatives aux modalités de procédure pour les demandes d’organisation de missions de conseil, le traitement de ces demandes, la conduite et les rapports des missions de conseil et pour le traitement de la communication de l’avis de la Commission visé au paragraphe 4, troisième alinéa, et des mesures prises, en tenant dûment compte de la confidentialité et du caractère commercial sensible des informations concernées. Cet acte d’exécution est adopté en conformité avec la procédure d’examen visée à l’article 24, paragraphe 2.

7 Les États membres veillent à ce que les entités critiques d’importance européenne particulière accordent aux missions de conseil l’accès aux informations, systèmes et installations relatifs à la fourniture de leurs services essentiels nécessaires à l’exécution de la mission de conseil concernée.

8 Les missions de conseil sont menées dans le respect du droit national applicable de l’État membre dans lequel elles ont lieu, en respectant la responsabilité de cet État membre en matière de sécurité nationale et la protection de ses intérêts dans le domaine de la sécurité.

9 Lorsqu’elle organise des missions de conseil, la Commission tient compte des rapports de toute inspection qu’elle a effectuée en vertu des règlements (CE) no 725/2004 et (CE) no 300/2008, ainsi que des rapports de tout suivi qu’elle a effectué en vertu de la directive 2005/65/CE à l’égard de l’entité critique concernée.

10 La Commission informe le groupe sur la résilience des entités critiques visé à l’article 19 chaque fois qu’une mission de conseil est organisée. L’État membre dans lequel la mission de conseil a été menée et la Commission informent également le groupe sur la résilience des entités critiques des principales conclusions de la mission de conseil et des enseignements tirés en vue de favoriser l’apprentissage mutuel.

1 Un groupe sur la résilience des entités critiques est institué. Le groupe sur la résilience des entités critiques soutient la Commission et facilite la coopération entre les États membres et l’échange d’informations sur les questions relatives à la présente directive.

2 Le groupe sur la résilience des entités critiques est composé de représentants des États membres et de la Commission qui, s’il y a lieu, disposent d’une habilitation de sécurité. Lorsque cela est pertinent pour l’exécution de ses tâches, le groupe sur la résilience des entités critiques peut inviter des parties prenantes concernées à participer à ses travaux. Lorsque le Parlement européen le demande, la Commission peut inviter des experts du Parlement européen à assister aux réunions du groupe sur la résilience des entités critiques. Le représentant de la Commission préside le groupe sur la résilience des entités critiques.

3 Le groupe sur la résilience des entités critiques est chargé des tâches suivantes: a) soutenir la Commission pour ce qui est d’aider les États membres à renforcer leur capacité à contribuer à garantir la résilience des entités critiques conformément à la présente directive; b) analyser les stratégies afin de recenser les bonnes pratiques en ce qui concerne les stratégies; c) faciliter l’échange de bonnes pratiques concernant le recensement des entités critiques par les États membres en vertu de l’article 6, paragraphe 1, y compris pour ce qui est des dépendances transfrontières et transsectorielles et en ce qui concerne les risques et incidents; d) s’il y a lieu, contribuer, sur les questions relatives à la présente directive, aux documents relatifs à la résilience au niveau de l’Union; e) contribuer à l’élaboration des lignes directrices visées à l’article 7, paragraphe 3, et à l’article 13, paragraphe 5, et, sur demande, de tout acte délégué ou de tout acte d’exécution adopté en vertu de la présente directive; f) analyser les rapports de synthèse visés à l’article 9, paragraphe 3, en vue de promouvoir le partage des bonnes pratiques concernant les mesures prises conformément à l’article 15, paragraphe 3; g) échanger les bonnes pratiques concernant la notification d’incidents visée à l’article 15; h) examiner les rapports de synthèse des missions de conseil et les enseignements tirés conformément à l’article 18, paragraphe 10; i) échanger des informations et les bonnes pratiques en matière d’innovation, de recherche et de développement concernant la résilience des entités critiques conformément à la présente directive; j) s’il y a lieu, procéder à des échanges d’informations sur des questions relatives à la résilience des entités critiques avec les institutions, organes et organismes de l’Union concernés.

4 Au plus tard le 17 janvier 2025, puis tous les deux ans, le groupe sur la résilience des entités critiques établit un programme de travail prévoyant les actions à entreprendre pour réaliser ses objectifs et ses tâches. Ce programme de travail est cohérent avec les exigences et les objectifs de la présente directive.

5 Le groupe sur la résilience des entités critiques se réunit régulièrement et en tout état de cause au moins une fois par an avec le groupe de coopération institué en vertu de la directive (UE) 2022/2555 afin de promouvoir et de faciliter la coopération et l’échange d’informations.

6 La Commission peut adopter des actes d’exécution fixant les modalités de procédure nécessaires au fonctionnement du groupe sur la résilience des entités critiques, dans le respect de l’article 1er, paragraphe 4. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 24, paragraphe 2.

7 La Commission remet au groupe sur la résilience des entités critiques un rapport de synthèse concernant les informations communiquées par les États membres en vertu de l’article 4, paragraphe 3, et de l’article 5, paragraphe 4, au plus tard le 17 janvier 2027, puis chaque fois que cela est nécessaire et au moins tous les quatre ans.

1 La Commission aide, s’il y a lieu, les États membres et les entités critiques à respecter les obligations qui leur incombent en vertu de la présente directive. La Commission élabore une vue d’ensemble, au niveau de l’Union, des risques transfrontières et transsectoriels pesant sur la fourniture de services essentiels, organise les missions de conseil visées à l’article 13, paragraphe 4, et à l’article 18, et facilite l’échange d’informations entre États membres et experts dans l’ensemble de l’Union.

2 La Commission complète les activités des États membres visées à l’article 10 en élaborant des bonnes pratiques, des documents d’orientation et des méthodes, et des activités de formation et des exercices transfrontières pour tester la résilience des entités critiques.

3 La Commission informe les États membres des ressources financières à leur disposition au niveau de l’Union pour renforcer la résilience des entités critiques.

1 Afin d’évaluer le respect des obligations découlant de la présente directive par les entités qu’ils ont recensées en tant qu’entités critiques en vertu de l’article 6, paragraphe 1, de la présente directive, les États membres veillent à ce que les autorités compétentes disposent des pouvoirs et des moyens nécessaires pour: a) procéder à des inspections sur place de l’infrastructure critique et des locaux utilisés par l’entité critique pour fournir ses services essentiels et à la supervision à distance des mesures prises par les entités critiques conformément à l’article 13; b) effectuer ou ordonner des audits portant sur ces entités critiques.

2 Les États membres veillent à ce que les autorités compétentes disposent des pouvoirs et des moyens pour exiger que, lorsque l’exécution des tâches qui leur incombent en vertu de la présente directive le requiert, les entités en vertu de la directive (UE) 2022/2555 que les États membres ont recensées en tant qu’entités critiques en vertu de la présente directive fournissent, dans un délai raisonnable fixé par ces autorités: a) les informations nécessaires pour évaluer si les mesures prises par ces entités pour garantir leur résilience satisfont aux exigences énoncées à l’article 13; b) la preuve de la mise en œuvre effective de ces mesures, y compris les résultats d’un audit effectué par un auditeur indépendant et qualifié sélectionné par ladite entité et effectué à ses frais. Lorsqu’elles requièrent ces informations, les autorités compétentes mentionnent la finalité de la demande et précisent les informations exigées.

3 Sans préjudice de la possibilité d’imposer des sanctions conformément à l’article 22, les autorités compétentes peuvent, à la suite des mesures de supervision visées au paragraphe 1 du présent article ou de l’évaluation des informations visées au paragraphe 2 du présent article, enjoindre aux entités critiques concernées de prendre les mesures nécessaires et proportionnées pour remédier à toute violation constatée de la présente directive, dans un délai raisonnable fixé par lesdites autorités, et de leur fournir des informations sur les mesures prises. Ces injonctions tiennent compte, notamment, de la gravité de la violation.

4 Les États membres veillent à ce que les pouvoirs prévus aux paragraphes 1, 2 et 3 ne puissent être exercés que sous réserve de garanties appropriées. Ces garanties font en sorte, en particulier, que les pouvoirs soient exercés de manière objective, transparente et proportionnée et que les droits et les intérêts légitimes des entités critiques concernées, tels que la protection des secrets commerciaux et d’affaires, soient dûment préservés, ce qui comprend le droit d’être entendu, les droits de la défense et le droit à un recours effectif devant une juridiction indépendante.

5 Les États membres veillent à ce que, lorsqu’une autorité compétente en vertu de la présente directive évalue le respect par une entité critique de ses obligations en vertu du présent article, ladite autorité compétente en informe les autorités compétentes des États membres concernés en vertu de la directive (UE) 2022/2555 À cette fin, les États membres veillent à ce que les autorités compétentes en vertu de la présente directive puissent demander aux autorités compétentes en vertu de la directive (UE) 2022/2555 d’exercer leurs pouvoirs de supervision et d’exécution à l’égard d’une entité relevant de ladite directive qui a été désignée en tant qu’entité critique en vertu de la présente directive. À cette fin, les États membres veillent à ce que les autorités compétentes en vertu de la présente directive coopèrent et échangent des informations avec les autorités compétentes en vertu de la directive (UE) 2022/2555

Les États membres déterminent le régime des sanctions applicables aux violations des dispositions nationales adoptées conformément à la présente directive et prennent toutes les mesures nécessaires pour assurer la mise en œuvre de ces sanctions. Ces sanctions doivent être effectives, proportionnées et dissuasives. Les États membres informent la Commission, au plus tard le 17 octobre 2024 du régime ainsi déterminé et des mesures ainsi prises, de même que, sans retard, de toute modification apportée ultérieurement à ce régime ou à ces mesures.

1 Le pouvoir d’adopter des actes délégués conféré à la Commission est soumis aux conditions fixées au présent article.

2 Le pouvoir d’adopter des actes délégués visé à l’article 5, paragraphe 1, est conféré à la Commission pour une période de cinq ans à compter du 16 janvier 2023.

3 La délégation de pouvoir visée à l’article 5, paragraphe 1, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l’Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur.

4 Avant l’adoption d’un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes définis dans l’accord interinstitutionnel du 13 avril 2016 «Mieux légiférer».

5 Aussitôt qu’elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément.

6 Un acte délégué adopté en vertu de l’article 5, paragraphe 1, n’entre en vigueur que si le Parlement européen ou le Conseil n’a pas exprimé d’objections dans un délai de deux mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l’expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d’objections. Ce délai est prolongé de deux mois à l’initiative du Parlement européen ou du Conseil.

1 La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) no 182/2011.

2 Lorsqu’il est fait référence au présent paragraphe, l’article 5 du règlement (UE) no 182/2011 s’applique.

Au plus tard le 17 juillet 2027, la Commission présente au Parlement européen et au Conseil un rapport évaluant la mesure dans laquelle chaque État membre a pris les dispositions nécessaires pour se conformer à la présente directive. La Commission réexamine périodiquement le fonctionnement de la présente directive et fait rapport au Parlement européen et au Conseil. Ce rapport évalue en particulier la valeur ajoutée de la présente directive, son impact en vue de garantir la résilience des entités critiques et détermine si l’annexe de la présente directive devrait être modifiée. La Commission présente le premier rapport de ce type au plus tard le 17 juin 2029. Aux fins de l’établissement des rapports au titre du présent article, la Commission tient compte des documents pertinents du groupe sur la résilience des entités critiques.

1 Les États membres adoptent et publient, au plus tard le 17 octobre 2024, les dispositions nécessaires pour se conformer à la présente directive. Ils en informent immédiatement la Commission. Ils appliquent ces dispositions à partir du 18 octobre 2024.

2 Lorsque les États membres adoptent les dispositions visées au paragraphe 1, celles-ci contiennent une référence à la présente directive ou sont accompagnées d’une telle référence lors de leur publication officielle. Les modalités de cette référence sont arrêtées par les États membres.

La directive 2008/114/CE est abrogée avec effet au 18 octobre 2024. Les références faites à la directive abrogée s’entendent comme faites à la présente directive.

La présente directive entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Les États membres sont destinataires de la présente directive.