commerciaux et d'affaires, le droit d'être entendu, les droits de la défense et le droit à un recours effectif devant une juridiction indépendante.\"
\n
19bis, para. 4, de la loi du 19 mai 1999 ayant pour objet a) de réglementer l'accès au marché de l'assistance en escale à l'aéroport de Luxembourg, b) de créer un cadre réglementaire dans le domaine de la sûreté de l'aviation civile, et c) d'instituer une Direction de l'Aviation Civile, Mém. A n°57, 21 mai 1999, p. 1339.
\n
42 Loi modifiée du 23 juillet 2016, o. c., (v. note 6), art. 6, al. le'.
\n
43 Loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148, o. c., (v. note 3).
\n
44 Art. 21, para. 4, directive CER.
\n
41 Art.
\n
43 Le paragraphe 4 de l'article 18 prévoit que lorsqu'elles évaluent le respect par les entités critiques des obligations que leur impose la présente loi sous projet, les autorités compétentes peuvent demander aux autorités compétentes en vertu de la directive NIS 2 d'exercer leurs pouvoirs de supervision et d'exécution à l'égard d'une entité relevant de ladite directive qui a été désignée en tant qu'entité critique en vertu du présent projet de loi.
\n
Ad art. 19 Afin d'assurer que la présente loi soit appliquée en pratique, il y a lieu de l'assortir de sanctions administratives adéquates. Ainsi, l'autorité compétente peut décider des sanctions à l'encontre des entités critiques si elles ne se conforment pas aux prescriptions des articles 11, 12, 16 et 18.
\n
Remarquons que les sanctions administratives énumérées dans l'article 19 et la procédure y relative s'inspirent fortement de la législation existante dans le secteur des opérateurs des services essentiels.45 Ad art. 20 Alors que le la loi du 17 juin 202246 avait introduit la possibilité d'allouer une prime d'astreinte d'une valeur de 12 points indiciaires au personnel du Haut-Commissariat à la Protection nationale, il s'est avéré nécessaire de préciser cette disposition davantage. En effet, ne sont visés par cette disposition uniquement les agents qui assurent que le Centre national de crise, qui accueille les cellules de crise en cas d'urgence, soit en tout temps opérationnel.
\n
Ad art. 21 L'article 21 du projet de loi procède à des modifications de la loi-cadre du Haut-Commissariat à la Protection nationale afin d'y intégrer le nouveau vocabulaire, d'une part, et de procéder à des adaptations ponctuelles devenues nécessaires, d'autre part.
\n
En ce qui concerne les entités critiques, l'article 21 remplace d'abord la notion d'« infrastructure critique » par celle d' «entité critique » à travers le texte de la loi du HautCommissariat à la Protection nationale, afin d'accorder une suite au nouveau vocabulaire introduit par la directive CER. Dans la même optique, le point 3 de l'article 21 reformule et adapte les missions du HCPN en matière d'entités critiques à la terminologie instaurée par la directive. Enfin, le projet de loi abroge les articles 4 à 8 relatifs aux infrastructures critiques.
\n
En effet, alors que la législation sur les infrastructures critiques faisait, depuis 2016, partie intégrante de la loi organique du Haut-Commissariat à la Protection nationale, il a été jugé plus 45 Art. 14 de la loi du 28 mai 2019 portant transposition de la directive (UE) 2016/1148, o. c., (v. note 3).
\n
46 Loi du 17 juin 2022 modifiant : 10 la loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale ; 2° la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État ; 3° la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État ; 4° la loi modifiée du 8 avril 2018 sur les marchés publics, Mém. A n° 315, 29 juin 2022.
\n
44 logique de transposer la directive CER avec une loi spéciale à part entière, d'autant plus que le HCPN se partagera dorénavant le rôle de l'autorité compétente avec la Commission de surveillance du secteur financier. L'article 9, dernière disposition du chapitre relatif aux infrastructures critiques, restera dans la loi organique du HCPN, puisqu'il règle la situation des entités critiques en cas de crise.
\n
Ad art. 22 Finalement, l'article 22 introduit un intitulé de citation, afin de faciliter la référence à la présente loi sous projet.
\n
Annexe L'annexe du projet de loi a été repris de l'annexe de la directive CER. L'unique différence consiste dans le fait qu'au-delà des secteurs prévus par la directive, l'annexe du projet ajoute la «gestion des déchets» comme douzième secteur. Comme ce secteur est déjà à l'heure actuelle un secteur dans lequel sont recensées des infrastructures critiquese et comme ce secteur joue et continuera à jouer un rôle essentiel, il a été décidé de l'ajouter à la liste des secteurs.
\n
47 Art. 1\", point 6, du règlement grand-ducal du 21 février 2018 déterminant les modalités du recensement et de la désignation des infrastructures critiques, Mém. A n°152, l er mars 2018.
\n
45 Textes léEislatifs coordonnés Loi modifiée du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale et modifiant
\n
a)la loi modifiée du 23 juillet 1952 concernant l'organisation militaire;
\n
b)la loi du 8 décembre 1981 sur les réquisitions en cas de conflit armé, de crise internationale grave ou de catastrophe;
\n
c)la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel;
\n
d)la loi modifiée du 25 juin 2009 sur les marchés publics;
\n
e)la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État;
\n
f)la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État Chapitre ler — Objet Art. ler. Il est créé une administration dénommée Haut-Commissariat à la Protection nationale, dont les compétences et les mécanismes selon lesquels elle intervient sont déterminés par la présente loi qui règle également l'organisation de la protection des infrastructures critiques entités critiques.
\n
Le Haut-Commissariat à la Protection nationale est placé sous l'autorité du membre du Gouvernement ayant dans ses attributions la Protection nationale.
\n
Chapitre 2 — Définitions
\n
Art. 2Pour l'application de la présente loi, on entend par
\n
1.« concept de protection nationale » : un concept qui consiste à prévenir les crises, respectivement à protéger le pays et la population contre les effets d'une crise. En cas de survenance d'une crise, il comprend la gestion des mesures et activités destinées à faire face à la crise et à ses effets et à favoriser le retour à l'état normal ;
\n
2.« crise » : tout évènement qui, par sa nature ou ses effets, porte préjudice aux intérêts vitaux ou aux besoins essentiels de tout ou partie du pays ou de la population, qui requiert des décisions urgentes et qui exige une coordination au niveau national des actions du Gouvernement, des administrations, des services et organismes relevant des pouvoirs publics, et, si besoin en est, également au niveau international;
\n
3.« gestion de crises »: l'ensemble des mesures et activités que le Gouvernement initie, le cas échéant avec le concours des autorités communales concernées, pour faire face à la crise et à ses effets et pour favoriser le retour à l'état normal;
\n
1.« infrastructure critique» : tout point, système ou partie de celui ci qui est indispensable à , la population 4. «entité critique » : une entité au sens de la loi du XXX sur la résilience des entités critiques ;
\n
46 4bis. « sécurité de l'information » : sécurité autour *des réseaux et systèmes d'information non classifiés installés et exploités par les administrations et services de l'État ;
\n
5.« stratégie nationale en matière de sécurité des réseaux et des systèmes d'information » : un cadre prévoyant des objectifs et priorités stratégiques en matière de sécurité des réseaux et des systèmes d'information au niveau national.
\n
Chapitre 3— Mission et attributions du Haut-Commissariat à la Protection nationale
\n
Art. 3(1) Le Haut-Commissariat à la Protection nationale a pour mission de mettre en œuvre
\n
le concept de protection nationale tel que défini à l'article 2. Dans le cadre de cette mission, le Haut-Commissariat à la Protection nationale a pour attributions
\n
a)quant aux mesures de prévention de crises:
\n
1.de coordonner les contributions des ministères, administrations et services de l'État;
\n
2.de coordonner les politiques, les projets et les programmes de recherche;
\n
3.de procéder à l'analyse des risques et à l'organisation d'une veille ;
\n
4.de coordonner l'organisation des cours de formation et des exercices ;
\n
b)quant aux mesures d'anticipation de crises:
\n
1.de développer et de coordonner une stratégie nationale de gestion de crises;
\n
2.de définir la typologie, la structure, le corps et le format des plans déclinant les mesures et activités de prévention et de gestion de crises et de coordonner la planification ;
\n
3.de veiller à l'exécution des mesures relatives à la résilience des entités critiques en application de la loi du XXX sur la résilience des entités critiques ; d'initier, de à la désignation et à la protection des infrantr-uc-tures-cpitiqncs, qu'elles soient publiques ou privées, 4. de coordonner et d'élaborer une stratégie nationale en matière de sécurité des réseaux et des systèmes d'information ;
\n
c)quant aux mesures de gestion de crises:
\n
1.d'initier, de conduire et de coordonner les tâches de gestion de crises;
\n
2.de veiller à l'exécution de toutes les décisions prises;
\n
3.de favoriser le plus rapidement possible le retour à l'état normal;
\n
4.de préparer un budget commun pour la gestion de crises et de veiller à son exécution ;
\n
5.de veiller à la mise en place et au fonctionnement du Centre national de crise.
\n
Dans le cadre de ses attributions, le Haut-Commissariat à la Protection nationale est le point de contact du Luxembourg auprès des institutions et organisations européennes et internationales et veille à une coopération efficace avec ces entités. (ibis) Le Haut-Commissariat à la Protection nationale est encore chargé des missions suivantes :
\n
a)attributions dans sa fonction d'Agence nationale de la sécurité des systèmes d'information, ci-après « ANSSI »;
\n
47
\n
b)attributions dans sa fonction de Centre de traitement des urgences informatiques, ci-après « CERT Gouvernemental »;
\n
c)attributions dans sa fonction de Service de la communication de crise, ci-après « SCC ». (lter) Dans sa fonction d'ANS SI, le Haut-Commissariat à la Protection nationale a pour missions :
\n
a)de contribuer à la mise en oeuvre de la politique générale de sécurité de l'information de l'État
\n
b)de contribuer à la mise en oeuvre, en concertation avec les administrations et services de l'État, des politiques et lignes directrices de sécurité de l'information portant sur les domaines de la politique générale de sécurité de l'information de l'État et des nouvelles technologies de l'information et de la communication;
\n
c)d'émettre des recommandations d'implémentation des politiques et lignes directrices de sécurité de l'information et d'assister les administrations et services de l'État au niveau de l'implémentation des mesures proposées ;
\n
d)de définir, en concertation avec les administrations et services de l'État, une approche de gestion des risques, en vue de constituer un plan d'évaluation et d'identification des risques concernant la sécurité de l'information et d'accompagner, à leur demande, les administrations et services de l'État dans l'analyse et la gestion des risques ;
\n
e)de conseiller l'Institut national d'administration publique, respectivement, à leur demande, les administrations et services de l'État dans la définition d'un programme de formation dans le domaine de la sécurité de l'information ;
\n
0 de promouvoir la sécurité de l'information par le biais de mesures de sensibilisation ;
\n
g)de conseiller, à leur demande, les établissements publics et les entités critiques infrastructures critiques en matière de sécurité des réseaux et systèmes d'information et des risques y liés ;
\n
h)d'assurer la fonction d'autorité TEMPEST en veillant à la conformité des réseaux et systèmes d'information classifiés aux stratégies et lignes directrices TEMPEST et en approuvant les contre-mesures TEMPEST pour les installations et les produits destinés à protéger des pièces classifiées jusqu'à un certain niveau de classification dans leur environnement opérationnel. (lquater) Dans sa fonction de CERT Gouvernemental, le Haut-Commissariat à la Protection nationale a pour missions:
\n
a)de constituer le point de contact unique dédié au traitement des incidents de sécurité d'envergure affectant les réseaux et les systèmes d'information des administrations et services de l'État et, à leur demande, des établissements publics et des entités critiques infrastructures critiques ;
\n
b)d'assurer un service de veille, de détection, d'alerte et de réaction aux attaques informatiques et aux incidents de sécurité d'envergure affectant les réseaux et systèmes d'information des administrations et services de l'État et, à leur demande, des établissements publics et des entités critiques infrastructures critiques;
\n
c)d'assurer la fonction de centre national de traitement des urgences informatiques, dénommé CERT National, en 48 1. opérant comme le point de contact officiel national pour les CERTs nationaux et gouvernementaux étrangers ;
\n
2.opérant comme le point de contact officiel national pour la collecte et la distribution d'informations relatives aux incidents de sécurité qui concernent les réseaux et systèmes d'information implantés au Luxembourg;
\n
3.relayant les informations collectées aux CERTs sectoriels en charge de la cible d'une attaque ou à défaut de CERT sectoriel, directement à la cible.
\n
d)d'assurer la fonction de centre militaire de traitement des urgences informatiques, dénommé CERT Militaire, en 1. opérant comme le point de contact officiel national pour les CERTs militaires étrangers ;
\n
2.assurant un service de veille, de détection, d'alerte et de réaction aux attaques informatiques et aux incidents de sécurité d'envergure affectant les réseaux et les systèmes d'information de l'armée à partir du territoire du Grand-Duché;
\n
3.opérant, à partir du territoire du Grand-Duché, une équipe d'intervention spécialisée capable de prendre en charge la réponse aux incidents de sécurité d'envergure liés à ces réseaux et systèmes d'information.
\n
Le Haut-Commissaire à la Protection nationale peut, dans l'intérêt de l'exécution des missions du CERT Gouvernemental, demander leur concours aux agents des administrations et services de l'État. (lquinquies) Dans sa fonction de Service de la communication de crise, le Haut-Commissariat à la Protection nationale a pour missions:
\n
a)de coordonner la communication de crise avant, pendant et après des situations de crise pouvant frapper le territoire national, par l'intermédiaire des médias, l'internet et les réseaux sociaux ;
\n
b)d'effectuer une communication préventive et pédagogique en sensibilisant les médias et le public sur les questions relevant de la protection du pays, de ses sites sensibles et de sa population;
\n
c)de créer et de maintenir des contacts étroits et réguliers avec les services de communication de crise étrangers.
\n
(2)Les autorités administratives et judiciaires, la Police grand-ducale et le Haut-Commissariat à la Protection nationale veillent à assurer une coopération efficace en matière de communication des informations susceptibles d'avoir un rapport avec leurs missions.
\n
(3)Le Haut-Commissaire à la Protection nationale ou son délégué peuvent, par demande écrite, demander à tout détenteur d'un secret professionnel ou d'un secret protégé par une clause contractuelle la communication des informations couvertes par ce secret si la révélation dudit secret est nécessaire à l'exercice de sa mission de gestion de crises ou de protection des . - entités critiques. Une divulgation d'informations en réponse à une telle demande n'entraîne pour l'organisme ou la personne détenteur des informations secrètes aucune responsabilité.
\n
49
\n
(4)Les informations qui sont couvertes par le secret de l'instruction relative à une enquête judiciaire concomitante ne peuvent être transmises qu'avec l'accord de la juridiction ou du magistrat saisi du dossier.
\n
Chapitre 4 — La protection des entités critiques Chapitre-4—lia-proteetion-des
\n
Art. 4La protection de l'infrastructure critique comprend l'ensemble des activités visant à
\n
prévenir, à atténuer eu à neutraliser le risque d'une réduction ou d'une discontinuité de la disponibilité de fournitures ou de services indispensables à la sauvegarde des intérêts vitaux ou •
\n
•• $ ;.. de l'infrastructure ainsi que le risque externe dont l'infrastructure est susceptible de faire l'objet.
\n
Un point, système ou partie de celui ci ne répondant pas à la définition donnée à l'article 2, peut être recensé et classifié comme infrastructure critique lorsque le fonctionnement d'une infrastructure critique en dépend.
\n
De même peut être recensé et désigné comme infrastructure critique un secteur ou une partie de secteur dont tous les éléments ne répondent pas nécessairement à la définition donnée à l'article 2, mais dont l'ensemble est considéré comme tel. fixées par règlement grand ducal.
\n
Art. 6Le propriétaire ou opérateur d'une infrastructure critique est tenu de mettre à la
\n
disposition du Haut Commissariat à la Protection nationale toutes les données sollicitées aux fins du recensement, de la désignation et de la protection des infrastructures critiques. Ces données comprennent toutes les informations qui sont nécessaires dans le contexte de la prévention ou de la gestion d'une crise.
\n
Les données relatives à l'infrastructure critique faisant l'objet d'un enregistrement, d'une communication, d'une déclaration, d'un recensement, d'un classement, d'une autorisation ou d'une notification imposés par la loi ou par la réglementation afférente sont communiquées au Haut Commissariat à la Protection nationale, sur sa demande, par les départements ministériels, les administrations et services de l'État qui détiennent ces données.
\n
Art. 7La désignation d'une infrastructure critique fait l'objet d'un arrêté grand ducal
\n
Art. 8(1) Le propriétaire ou opérateur d'une infrastructure critique est tenu d'élaborer un plan
\n
comporte les mesures de sécurité pour la protection de l'infrastructure. Le Haut Commissariat à la Proteci sécurité qui permettent d'en assurer 1 résilience et de faciliter la gestion d'une crise.
\n
50
\n
(2)Le propriétaire ou opérateur d'une infrastructure critique est tenu de désigner un correspondant pour la sécurité qui exerce la sécurité dc l'infrastructure avec lc Haut Co
\n
(3)Le propriétaire ou opérateur d'une infrastruct pérennité du fonctionnement de l'infrastructure.
\n
(1)La structure des plans de sécurité et de continuité de l'activ. est fixée par règlement grand ducal.
\n
Art. 9En cas d'imminence ou de survenance d'une crise, le propriétaire ou opérateur d'une
\n
entité critique infrastructure critique, qui doit être, sauf en cas d'extrême urgence, dûment averti, est tenu de donner libre accès aux agents du Haut-Commissariat à la Protection nationale aux installations, locaux, terrains, aménagements faisant partie de l'infrastructure l'entité visée par la présente loi et les règlements à prendre en vue de son application.
\n
Les actions de visite ou de contrôle entreprises sur place respectent le principe de proportionnalité.
\n
Les dispositions reprises aux alinéas qui précèdent ne sont pas applicables aux locaux qui servent à l'habitation.
\n
Chapitre 4bis - La stratégie nationale en matière de sécurité des réseaux et des systèmes (l'information
\n
Art. 9bisLe Haut-Commissariat à la Protection nationale élabore une stratégie nationale en
\n
matière de sécurité des réseaux et des systèmes d'information, qui porte, en particulier, sur les points suivants :
\n
a)les objectifs et les priorités de la stratégie nationale en matière de sécurité des réseaux et des systèmes d'information ;
\n
b)un cadre de gouvernance permettant d'atteindre les objectifs et les priorités de la stratégie nationale en matière de sécurité des réseaux et des systèmes d'information, prévoyant notamment les rôles et les responsabilités des organismes publics et des autres acteurs pertinents ;
\n
c)l'inventaire des mesures en matière de préparation, d'intervention et de récupération, y compris la coopération entre les secteurs public et privé ;
\n
d)un aperçu des programmes d'éducation, de sensibilisation et de formation en rapport avec la stratégie nationale en matière de sécurité des réseaux et des systèmes d'information ;
\n
e)un aperçu des plans de recherche et de développement en rapport avec la stratégie nationale en matière de sécurité des réseaux et des systèmes d'information ;
\n
f)un plan d'évaluation des risques permettant d'identifier les risques ;
\n
g)une liste des différents acteurs concernés par la mise en oeuvre de la stratégie nationale en matière de sécurité des réseaux et des systèmes d'information.
\n
51
\n
Chapitre 5 — Le personnel du Haut-Commissariat à la Protection nationale
\n
Art. 10La nomination aux fonctions de Haut-Commissaire à la Protection nationale et de
\n
Haut-Commissaire à la Protection nationale adjoint se fait par arrêté grand-ducal sur proposition du membre du Gouvernement ayant dans ses attributions la Protection nationale.
\n
Le Haut-Commissaire à la Protection nationale est responsable de la gestion de l'administration. Il en est le chef hiérarchique. Il est assisté d'un Haut-Commissaire à la Protection nationale adjoint auquel il peut déléguer certaines de ses attributions et qui le remplace en cas d'absence.
\n
Art. 11
\n
(1)Le cadre du personnel comprend un Haut-Commissaire à la Protection nationale, un Haut-Commissaire à la Protection nationale adjoint et des fonctionnaires des différentes catégories de traitement telles que prévues par la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État.
\n
(2)Le cadre du personnel peut être complété par des employés et salariés de l'État dans la limite des crédits budgétaires.
\n
Art. 12Un règlement grand-ducal détermine les modalités d'organisation des stages, des
\n
examens de fin de stage et des examens de promotion pour le personnel du Haut-Commissariat à la Protection nationale.
\n
Chapitre 6 — Dispositions spéciales
\n
Art. 13En cas d'imminence ou de survenance d'une crise, le Conseil de Gouvernement assure
\n
la coordination des mesures de réquisition prévues par la loi du 8 décembre 1981 sur les réquisitions en cas de conflit armé, de crise internationale grave ou de catastrophe, par le titre V de la loi modifiée du 31 mai 1999 portant création d'un corps de police grand-ducale et d'une inspection générale de la police, ainsi que par le chapitre 4 de la loi communale modifiée du 13 décembre 1988.
\n
Art. 14Le Haut-Commissariat à la Protection nationale peut traiter les données personnelles
\n
nécessaires à l'exécution de la mission définie à l'article 3. Ces traitements sont soumis à la procédure d'autorisation préalable de la Commission nationale pour la protection des données telle que prévue à l'article 14 de la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel.
\n
Chapitre 7 — Dispositions modificatives, transitoires et spéciales
\n
Art. 15(1) Les fonctionnaires et employés visés à l'article 11 et relevant de la rubrique
\n
«Administration générale » telle qu'énoncée à l'article 12 de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État, en service auprès du Haut-Commissariat à la Protection nationale au moment de l'entrée en vigueur de la présente loi, sont intégrés dans le cadre du personnel du Haut- 52 Commissariat à la Protection nationale aux grade et échelon atteints au moment de l'entrée en vigueur de la présente loi.
\n
(2)Les fonctionnaires détachés au Haut-Commissariat à la Protection nationale au moment de la mise en vigueur de la présente loi, intégrés dans le cadre du personnel du Haut-Commissariat à la Protection nationale, et qui d'après la législation en vigueur dans leur service d'origine au moment de leur détachement avaient une perspective de carrière plus favorable pour l'accès aux différentes fonctions de leur carrière, conservent leurs anciennes possibilités d'avancement.
\n
Art. 15bis(1) Le personnel de l'ANSSI, du CERT Gouvernemental et du SCC est repris dans
\n
le cadre du personnel du Haut-Commissariat à la Protection nationale.
\n
(2)Les fonctionnaires disposant d'un grade de substitution ou d'une majoration d'échelon pour postes à responsabilités particulières avant la reprise continuent à en bénéficier par dépassement du nombre limite fixé en vertu des dispositions de l'article 16 de la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État aussi longtemps qu'ils restent titulaires d'un poste à responsabilités particulières. Il en est de même des employés qui bénéficient d'une telle majoration sur la base de l'article 29 de la loi modifiée du 25 mars 2015 déterminant le régime et les indemnités des employés de l'État.
\n
Art. 16À l'article 16 de la loi du 23 juillet 1952 concernant l'organisation militaire, telle qu'elle
\n
a été modifiée dans la suite, il est inséré un nouveau point libellé comme suit: «2) les officiers, les sous-officiers et les caporaux de carrière employés par ordre du Gouvernement auprès du Haut-Commissariat à la Protection nationale.»
\n
L'actuel point 2) devient le point 3).
\n
Art. 17La loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et
\n
modalités d'avancement des fonctionnaires de l'État est modifiée comme suit:
\n
(1)à l'article 12, paragraphe 1 er, alinéa 7, point 110, les termes « de Haut-Commissaire à la Protection nationale, » sont insérés avant les termes « et de directeur de différentes administrations » ;
\n
(2)dans l'annexe A « Classification des fonctions », Catégorie de traitement A, Groupe de traitement Al, Sous-groupe à attributions particulières, il est ajouté la mention « HautCommissaire à la Protection nationale » au grade 17;
\n
(3)au paragraphe b) de l'article 17, il est inséré, à la suite des termes « inspecteur général de la sécurité dans la Fonction publique », la mention « Haut-Commissaire à la Protection nationale ».
\n
Art. 18La loi du 8 décembre 1981 sur les réquisitions en cas de conflit armé, de crise
\n
internationale grave ou de catastrophe, est modifiée comme suit:
\n
1)au chapitre Ier, article 1 er, dernière phrase, il est ajouté en fin de phrase: «ou d'une crise, au sens de la loi portant création d'un Haut-Commissariat à la Protection nationale et 53 modifiant a) la loi modifiée du 23 juillet 1952 concernant l'organisation militaire, b) la loi du 8 décembre 1981 sur les réquisitions en cas de conflit armé, de crise internationale grave ou de catastrophe, c) la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, d) la loi modifiée du 25 juin 2009 sur les marchés publics, e) la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État, 0 la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État ».
\n
2)au chapitre IV, article 8 b) in fine, il est ajouté : « 5) Les agents du Haut-Commissariat à la Protection nationale ».
\n
Art. 19Au chapitre III, article 14 (1) de la loi modifiée du 2 août 2002 relative à la protection
\n
des personnes à l'égard du traitement des données à caractère personnel, il est ajouté in fine un point (h) : «h) les traitements concernant la prévention et la gestion de crises conformément à l'article 14 de la loi du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale et modifiant a) la loi modifiée du 23 juillet 1952 concernant l'organisation militaire, b) la loi du 8 décembre 1981 sur les réquisitions en cas de conflit armé, de crise internationale grave ou de catastrophe, c) la loi modifiée du 2 août 2002 relative à la protection des personnes à l'égard du traitement des données à caractère personnel, d) la loi modifiée du 25 juin 2009 sur les marchés publics, e) la loi modifiée du 9 décembre 2005 déterminant les conditions et modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État, 0 la loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État. »
\n
Art. 20À l'article 1' de la loi modifiée du 9 décembre 2005 déterminant les conditions et
\n
modalités de nomination de certains fonctionnaires occupant des fonctions dirigeantes dans les administrations et services de l'État, telle qu'elle a été modifiée dans la suite, il est inséré un tiret supplémentaire libellé comme suit: «- de Haut-Commissaire à la Protection nationale. »
\n
Art. 21Au livre F, titre III, chapitre III, article 8 (1) de la loi modifiée du 25 juin 2009 sur les
\n
marchés publics, il est ajouté in fine un point I) : «I) pour les marchés de la protection nationale :
\n
a)pour les fournitures ou services qui sont déclarés secrets;
\n
b)pour les fournitures ou services nécessaires à la protection des intérêts vitaux ou des besoins essentiels de tout ou partie du pays ou de la population, et en particulier les fournitures ou services relatifs à la prévention et la gestion de crises;
\n
c)pour les fournitures d'effets d'équipement et de matériel d'intervention ainsi que d'effets personnels de protection et de sécurité des membres des unités d'intervention.»
\n
Art. 22La référence à la présente loi pourra se faire sous une forme abrégée en utilisant les
\n
termes «loi du 23 juillet 2016 portant création d'un Haut-Commissariat à la Protection nationale ».
\n
54
\n
Art. 23La présente loi entre en vigueur le premier jour du deuxième mois qui suit sa
\n
publication au Mémorial.
\n
55 Loi modifiée du 25 mars 2015 fixant le régime des traitements et les conditions et modalités d'avancement des fonctionnaires de l'État
\n
Art. 22[...]
\n
(10)Une prime d'astreinte d'une valeur de 12 points indiciaires peut être allouée au personnel du Haut-Commissariat à la Protection nationale soumis à une obligation de permanence ou de présence pour assurer l'opérationnalité permanente du Centre national de crise. Cette prime est attribuée par décision du ministre du ressort et sur proposition du Haut-Commissaire à la Protection nationale.
\n
56 Tableau de concordance Directive 2022/2557 Projet de loi Art. 1, (1) Art. 1, (2) Art. 1, (3) Art. 2, al. 1,10 Art. 2, al. 1, 2° Art. 2, al. 1,3° Art. 2, al. 1, 4° Art. 2, al. 1, 5° Art. 2, al. 1,6° Art. 2, al. 1, 7° Art. 2, al. 1, 8° Art. 2, al. 1, 9° Art. 3, al. 1 Art. 3, al. 2 Art. 3, al. 3
\n
Art. 4Art. 5, al. 1
\n
Art. 5, al. 2, 1° Art. 5, al. 2, 2° Art. 5, al. 2, 30 Art. 5, al. 2, 4° Art. 5, al. 2, 5° Art. 5, al. 2, 6° Art. 5, al. 2, 7° Art. 5, al. 2, 8° Art. 5, al. 3 Art. 6, (1) Art. 6, (2), al. 1,1° Art. 6, (2), al. 1, 2° Art. 6, (2), al. 1, 3° Art. 6, (2), al. 1, 4° Art. 6, (2), al. 1, 5° Art. 6, (2), al. 2 Art. 6, (3) Art. 7, (1), al. 1 Art. 7, (1), al. 2 Art. 7, (2), al. 1 Art. 7, (2), al. 1, 1° Art. 7, (2), al. 1, 2° Art. 7, (2), al. 1, 30 Art. 7, (2), al. 2 Art. 7, (3) Art. 7, (3), 1° Art. 7, (3), 2° Art. 7, (3), 3° Art. 1, (2) Art. 1, (3) Art. 1, (9) Art. 2, 1) Art. 2, 2) Art. 2, 3) Art. 2, 4) Art. 2, 5) Nouveau Art. 2, 6) Art. 2, 7) Art. 2, 10) Art. 9, (1) Art. 9, (1) Nouveau Art. 9, (2) Art. 4, (1) Art. 4, (2), al. 1,a) Art. 4, (2), al. 1, b) Art. 4, (2), al. 1, c) Art. 4, (2), al. 1, d) Art. 4, (2), al. 1, e) Art. 4, (2), al. 1, f) Art. 4, (2), al. 1, g) Art. 4, (2), al. 1,h) Art. 4, (2), al. 2 Art. 5, (1), al. 1 Art. 5, (1), al. 2 Art. 5, (2), al. 1, a) Art. 5, (2), al. 1, b) Art. 5, (2), al. 1, c) Art. 5, (2), al. 1, d) Art. 5, (2), al. 2 Art. 5, (3) Art. 6, (1) Nouveau Art. 6, (2) Art. 6, (2), a) Art. 6, (2), b) Art. 6, (2), c) Nouveau Art. 7, (1) Art. 7, (1), a) Art. 7, (1), b) Art. 7, (1),c) 57 Projet de loi Art. 7, (3), 40 Art. 7, (3), 50 Art. 7, (3), 6° Art. 7, (4), al. 1 Art. 7, (4), al. 2 Art. 7, (5) Art. 7, (6) Art. 7, (7)
\n
Art. 8Art. 9, (1)
\n
Art. 9, (2) Art. 10,1° Art. 10, 2° Art. 10, 3° Art. 11, (1) Art. 11 (2), al. 1 Art. 11(2), al. 2 Art. 12, (1), al. 1 Art. 12, (1), al. 1, 1° Art. 12, (1), al. 1,2° Art. 12, (1), al. 1,3° Art. 12, (1), al. 1,4° Art. 12, (1), al. 1,5° Art. 12, (1), al. 1,6° Art. 12, (1), al. 2 Art. 12, (2) Art. 12, (3) Art. 13, (1), al. 1 Art. 13, (1), al. 1,1° Art. 13, (1), al. 1, 2° Art. 13, (1), al. 1, 3° Art. 13, (1), al. 2 Art. 13, (2), al. 1, 1° Art. 13, (2), al. 1, 2° Art. 13, (2), al. 1, 3° Art. 13, (2), al. 1,4° Art. 13, (2), al. 1, 5° Art. 13, (2), al. 1, 6° Art. 13, (2), al. 1, 7° Art. 13, (2), al. 1, 8° Art. 13, (2), al. 1, 9° Art. 13, (2), al. 1, 10° Art. 13, (2), al. 1, 11° Art. 13, (2), al. 2 Art. 13, (2), al. 3 Art. 13, (3) Directive 2022/2557 Art. 7, (1), d) Art. 7, (1), e) Art. 7, (1), f) Art. 6, (3), al. 1 Art. 6, (3), al. 2 Art. 17, (2), al. 1 Art. 6, (4) Art. 6, (5)
\n
Art. 8Art. 10, (1)
\n
Art. 10, (2) Art. 11, (1), a) Art. 11, (1), b) Art. 11, (1), c) Art. 12, (1) Art. 12, (2), al. 1 Art. 12, (2), al. 2 Art. 13, (1), al. 1 Art. 13, (1), al. 1, a) Art. 13, (1), al. 1,b) Art. 13, (1), al. 1, c) Art. 13, (1), al. 1,d) Art. 13, (1), al. 1, e) Art. 13, (1), al. 1, 0 Art. 13, (1), al. 2 Art. 13, (2) Art. 13, (3) Art. 14, (1) & (2) Art. 14, (1), a) Art. 14, (1), b) Art. 14, (1), c) Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau 58 Projet de loi Art. 13, (4), al. 1 Art. 13, (4), al. 2 Art. 14, (1) Art. 14, (2) Art. 14, (3) Art. 14, (4), 10 Art. 14, (4), 2° Art. 14, (4), 3° Art. 15, (1) Art. 15, (2) Art. 16, (1), al. 1 Art. 16, (1), al. 1,10 Art. 16, (1), al. 1,2° Art. 16, (1), al. 1,3° Art. 16, (1), al. 2 Art. 16, (2) Art. 16, (3), al. 1 Art. 16, (3), al. 2 Art. 16, (4) Art. 17, (1), 1° Art. 17, (1), 2° Art. 17, (1), 3° Art. 17,(2) Art. 18, (1), al. 1, 10 Art. 18, (1), al. 1,2° Art. 18, (1), al. 1,30 Art. 18, (1), al. 2 Art. 18, (1), al. 3 Art. 18, (1), al. 4 Art. 18, (2), al. 1, 1° Art. 18, (2), al. 1, 2° Art. 18, (2), al. 2 Art. 18, (2), al. 3 Art. 18, (3) Art. 18, (4) Art. 19, (1), 1° Art. 19, (1), 2° Art. 19, (1), 3° Art. 19, (2) Art. 19, (3) Art. 19, (4) Art. 19, (5)
\n
Art. 20Art. 21, 1°
\n
Art. 21, 2° Art. 21, 3° Directive 2022/2557 Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Nouveau Art. 15, (1), al. 1 Art. 15, (1), al. 1,a) Art. 15, (1), al. 1,b) Art. 15, (1), al. 1,c) Nouveau Art. 15, (2) Art. 15, (3), al. 1 Art. 15, (3), al. 2 Art. 15, (4) Art. 17, (1), a) Art. 17, (1), b) Art. 17, (1), c) Art. 18,(7) Art. 21, (1), a) Art. 21, (1), a) Art. 21, (1), b) Nouveau Nouveau Nouveau Art. 21, (2), al. 1, a) Art. 21, (2), al. 1, b) Nouveau Art. 21, (2), al. 2 Art. 21, (3) Art. 21, (5)
\n
Art. 22
\n
Art. 22
\n
Art. 22
\n
Art. 22
\n
Art. 22
\n
Art. 22
\n
Art. 22Nouveau
\n
Nouveau Nouveau Nouveau 59 Projet de loi Art. 21,40 Art. 21, 5° Art. 21, 6°
\n
Art. 22Directive 2022/2557
\n
Nouveau Nouveau Nouveau Nouveau ' 60 Directive 2022/2557 Art. 1, (1), a) Art. 1, (1), b) Art. 1, (1), c), i) Art. 1, (1), c), ii) Art. 1, (1), c), iii) Art. 1, (1), d) Art. 1, (1), e) Art. 1, (2) Art. 1, (3) Art. 1, (4) Art. 1, (5) Art. 1, (6) Art. 1, (7) Art. 1, (8) Art. 1,(9) Art. 2, 1) Art. 2, 2) Art. 2, 3) Art. 2, 4) Art. 2, 5) Art. 2, 6) Art. 2, 7) Art. 2, 8) Art. 2, 9) Art. 2, 10)
\n
Art. 3Art. 4, (1)
\n
Art. 4, (2), al. 1, a) Art. 4, (2), al. 1, b) Art. 4, (2), al. 1, c) Art. 4, (2), al. 1,d) Art. 4, (2), al. 1, e) Art. 4, (2), al. 1, f) Art. 4, (2), al. 1,g) Art. 4, (2), al. 1, h) Art. 4, (2), al. 2 Art. 4, (3) Art. 5, (1), al. 1 Art. 5, (1), al. 2 Art. 5, (2), all, a) Art. 5, (2), all, b) Art. 5, (2), all, c) Art. 5, (2), all, d) Art. 5, (2), al. 2 Art. 5, (3) Art. 5, (4) Projet de loi Art. 1, (1) Art. 1, (2) Art. 1,(3) Art. 2, 1° Art. 2, 2° Art. 2, 3° Art. 2, 4° Art. 2, 5° Art. 2, 7° Art. 2, 8° Art. 2, 9° Art. 5, al. 1 Art. 5, al. 2, 1° Art. 5, al. 2, 2° Art. 5, al. 2, 3° Art. 5, al. 2, 4° Art. 5, al. 2, 5° Art. 5, al. 2, 6° Art. 5, al. 2, 7° Art. 5, al. 2, 8° Art. 5, al. 3 Art. 6, (1) Art. 6, (2), al. 1, 1° Art. 6, (2), al. 1, 2° Art. 6, (2), al. 1, 3° Art. 6, (2), al. 1, 4° Art. 6, (2), al. 1, 5° Art. 6, (2), al. 2 Art. 6, (3) 61 Directive 2022/2557 Art. 5,(5) Art. 6, (1) Art. 6, (2), a) Art. 6, (2), b) Art. 6, (2), c) Art. 6, (3), al. 1 Art. 6, (3), al. 2 Art. 6, (4) Art. 6, (5) Art. 6, (6) Art. 7, (1), a) Art. 7, (1), b) Art. 7, (1), c) Art. 7, (1), d) Art. 7, (1), e) Art. 7, (1), f) Art. 7, (2), al. 1, a) Art. 7, (2), al. 1, b) Art. 7, (2), al. 1, c) Art. 7, (2), al. 2 Art. 7, (2), al. 3 Art. 7,(3)
\n
Art. 8Art. 9, (1), al. 1
\n
Art. 9, (1), al. 2 Art. 9, (1), al. 3 Art. 9, (2) Art. 9, (3), al. 1 Art. 9, (3), al. 2 Art. 9, (4) Art. 9, (5) Art. 9, (6) Art. 9, (7) Art. 9, (8) Art. 10, (1) Art. 10, (2) Art. 10, (3) Art. 11, (1), a) Art. 11, (1), b) Art. 11, (1), c) Art. 11,(2) Art. 12, (1) Art. 12, (2), al. 1 Art. 12, (2), al. 2 Art. 13, (1), al. 1, a) Art. 13, (1), al. 1,b) Projet de loi Art. 7, (1), al. 1 Art. 7, (2), al. 1, 10 Art. 7, (2), al. 1, 2° Art. 7, (2), al. 1, 30 Art. 7, (4), al. 1 Art. 7, (4), al. 2 Art. 7, (6) Art. 7, (7) Art. 7,(3), 10 Art. 7, (3), 2° Art. 7, (3), 30 Art. 7, (3), 40 Art. 7, (3), 50 Art. 7, (3), 6°
\n
Art. 8Art. 3, al. 1, al. 2
\n
Art. 4Art. 9, (1)
\n
Art. 9, (2) Art. 10, 10 Art. 10, 2° Art. 10, 3° Art. 11, (1) Art. 11, (2), al. 1 Art. 11, (2), al. 2 Art. 12, (1), al. 1, 1° Art. 12, (1), al. 1,2° 62 Directive 2022/2557 Art. 13, (1), al. 1,c) Art. 13, (1), al. 1,d) Art. 13, (1), al. 1,e) Art. 13, (1), al. 1,f) Art. 13, (1), al. 2 Art. 13, (2) Art. 13, (3) Art. 13, (4) Art. 13, (5) Art. 13, (6) Art. 14, (1), a) Art. 14, (1), b) Art. 14, (1), c) Art. 14, (2) Art. 14, (3), al. 1, a) Art. 14, (3), al. 1, b) Art. 14, (3), al. 2 Art. 15, (1), al. 1,a) Art. 15, (1), al. 1,b) Art. 15, (1), al. 1,c) Art. 15, (1), al. 2 Art. 15, (2) Art. 15, (3), al. 1 Art. 15, (3), al. 2 Art. 15, (4)
\n
Art. 16Art. 17, (1), a)
\n
Art. 17, (1), b) Art. 17, (1), c) Art. 17, (2), al. 1 Art. 17, (2), al. 2 Art. 17, (3) Art. 17, (4) Art. 18, (1) Art. 18, (2) Art. 18, (3), a) Art. 18, (3), b) Art. 18, (3), c) Art. 18, (4), al. 1 Art. 18, (4), al. 2 Art. 18, (4), al. 3 Art. 18, (4), al. 4 Art. 18, (5), al. 1 Art. 18, (5), al. 2 Art. 18, (6) Art. 18, (7) Projet de loi Art. 12, (1), al. 1,3° Art. 12, (1), al. 1,4° Art. 12, (1), al. 1,5° Art 12, (1), al. 1,6° Art. 12, (1), al. 2 Art. 12, (2) Art. 12, (3) Art. 13, (1), al. 1, 1° Art. 13, (1), al. 1, 1° Art. 13, (1), al. 1, 3°
\n
Art. 13art. 15
\n
Art. 13art. 15
\n
Art. 13art. 15
\n
Art. 13art. 15
\n
Art. 16, (1), al. 1,1° Art. 16, (1), al. 1,2° Art. 16, (1), al. 1,3° Art. 16, (2) Art. 16, (3), al.
\n
Art. 16, (3), al.
\n
Art. 16, (4) Art. 17,(1), 1° Art. 17, (1), 2° Art. 17, (1), 3° Art. 7, (5) Art. 17, (2) 63 Directive 2022/2557 Art. 18, (8) Art. 18, (9) Art. 18, (10) Art. 19, (1) Art. 19, (2), al. 1 Art. 19, (2), al. 2 Art. 19, (3), a) Art. 19, (3), b) Art. 19, (3), c) Art. 19, (3), d) Art. 19, (3), e) Art. 19, (3), f) Art. 19, (3), g) Art. 19, (3), h) Art. 19, (3), i) Art. 19, (3),j) Art. 19,(4) Art. 19, (5) Art. 19, (6) Art. 19, (7) Art. 20, (1) Art. 20, (2) Art. 20, (3) Art. 21, (1), a) Art. 21, (1), b) Art. 21, (2), al. 1, a) Art. 21, (2), al. 1, b) Art. 21, (2), al. 2 Art. 21, (3) Art. 21, (4) Art. 21,(5)
\n
Art. 22Art. 23, (1)
\n
Art. 23, (2) Art. 23, (3) Art. 23, (4) Art. 23, (5) Art. 23, (6) Art. 24, (1) Art. 24, (2) Art. 25, al. 1 Art. 25, al. 2 Art. 26, (1), al. 1 Art. 26, (1), al. 2 Art. 26, (2)
\n
Art. 27Projet de loi
\n
Art. 18, (1), al. 1, 1° et 2° Art. 18, (1), al. 1,3° Art. 18, (2), al. 1, 1° Art. 18, (2), al. 1,2° Art. 18, (2), al. 3 Art. 18,(3) Art. 18,(4)
\n
Art. 1964
\n
Directive 2022/2557 Projet de loi
\n
Art. 28
\n
Art. 2965
\n
Fiche financière (article 79 de la loi modifiée du 8 juin 1999 sur le Budget, la Comptabilité et la Trésorerie de l'État) Les frais supplémentaires engendrés par le projet de loi sont :
\n
1.les frais liés au recrutement de personnel au sein de la Police grand-ducale afin de procéder aux vérifications des antécédents. Le nombre d'agents à recruter auprès de la Police grand-ducale pour effectuer les vérifications des antécédents est évaluée à ce stade à trois personnes. Le nombre exact ne pourra être précisé qu'ultérieurement, au moment de la mise en oeuvre du système et du volume de demandes à traiter ;
\n
2.les frais en relation avec la mise en place d'un système informatique centralisé pour la gestion des demandes de vérification des antécédents (autour de 230 000 EUR) ;
\n
3.les frais liés au recrutement de personnel afin de compléter le service chargé de la protection des entités critiques auprès du HCPN. Ce besoin en personnel est évalué à 3 fonctionnaires/employés Al pour l'année 2024, 4 fonctionnaires/employés Al pour l'année 2025, 3 fonctionnaires/employés Al pour l'année 2026 et 1 fonctionnaire/employé Al pour l'année 2027. Ces renforcements en effectif ont été demandés dans le cadre du numerus clausus.
\n
66 L 33 3/1 64 Journal officiel de l'Union européenne FR 27.12.2022 DIRECTIVE (UE) 2022/2557 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 14 décembre 2022 sur la résilience des entités critiques, et abrogeant la directive 2008/114/CE du Conseil (Texte présentant de l'intérêt pour l'EEE) LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE, vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 114, vu la proposition de la Commission européenne, après transmission du projet d'acte législatif aux parlements nationaux, vu l'avis du Comité économique et social européen ('), vu l'avis du Comité des régions (2), statuant conformément à la procédure législative ordinaire (3), considérant ce qui suit:
\n
(1)Les entités critiques, en tant que fournisseurs de services essentiels, jouent un rôle indispensable dans le maintien de fonctions sociétales ou d'activités économiques vitales dans le marché intérieur, dans le contexte d'une économie de l'Union de plus en plus interdépendante. Par conséquent, il est essentiel de fixer un cadre de l'Union visant tant à renforcer la résilience des entités critiques dans le marché intérieur en établissant des règles minimales harmonisées qu'à les aider au moyen de mesures de soutien et de supervision cohérentes et spécifiques.
\n
(2)La directive 2008/114/CE (4) du Conseil établit une procédure de désignation des infrastructures critiques européennes dans les secteurs de l'énergie et des transports dont la perturbation ou la destruction aurait un impact transfrontière significatif sur deux États membres au moins. Cette directive vise exclusivement la protection de ces infrastructures. Toutefois, l'évaluation de la directive 2008/114/CE réalisée en 2019 a montré qu'en raison de la nature de plus en plus interconnectée et transfrontière des activités faisant appel à des infrastructures critiques, les mesures de protection portant sur des biens individuels ne suffisent pas à elles seules pour empêcher toute perturbation. Par conséquent, il est nécessaire de réorienter l'approche en vue de faire en sorte que les risques soient mieux pris en compte, que le rôle et les obligations des entités critiques, en tant que fournisseurs de services essentiels au fonctionnement du marché intérieur, soient mieux définis et cohérents, et que des règles de l'Union
\n
(2)JO C 286 du 16.7.2021, p. 170.
\n
(2)JO C 440 du 29.10.2021, p. 99.
\n
(3)Position du Parlement européen du 22 novembre 2022 (non encore parue au Journal officiel) et décision du Conseil du 8 décembre 2022.
\n
(4)Directive 2008/114/CE du Conseil du 8 décembre 2008 concernant le recensement et la désignation des infrastructures critiques européennes ainsi que l'évaluation de la nécessité d'améliorer leur protection (JO L 345 du 23.12.2008, p. 75).
\n
27.12.2022 FR Journal officiel de l'Union européenne L 333/165 soient adoptées afin de renforcer la résilience des entités critiques. Les entités critiques devraient être en mesure de renforcer leur capacité à prévenir les incidents susceptibles de perturber la fourniture de services essentiels, à s'en protéger, à y réagir, à y résister, à les atténuer, à les absorber, à s'y adapter et à s'en remettre.
\n
(3)Si un certain nombre de mesures prises au niveau de l'Union, telles que le programme européen de protection des infrastructures critiques, et au niveau national visent à soutenir la protection des infrastructures critiques dans l'Union, il convient d'en faire davantage pour que les entités qui exploitent ces infrastructures soient mieux équipées pour faire face aux risques pesant sur leurs activités qui pourraient entraîner une perturbation de la fourniture de services essentiels. Il convient aussi d'en faire davantage pour mieux équiper ces entités, car les menaces forment un paysage dynamique, qui comprend des menaces hybrides et terroristes en évolution, et des interdépendances croissantes entre les infrastructures et les secteurs. En outre, il existe un risque physique accru lié aux catastrophes naturelles et au changement climatique, qui augmente la fréquence et l'ampleur des phénomènes météorologiques extrêmes et entraîne des changements à long terme des conditions climatiques moyennes, susceptibles de réduire la capacité, l'efficacité et la durée de vie de certains types d'infrastructures si des mesures d'adaptation au changement climatique ne sont pas mises en place. De plus, le marché intérieur est caractérisé par une fragmentation en ce qui concerne le recensement des entités critiques, les secteurs et les catégories d'entités concernés n'étant pas systématiquement reconnus comme critiques dans tous les États membres. La présente directive devrait donc instaurer un niveau élevé d'harmonisation en ce qui concerne les secteurs et les catégories d'entités relevant de son champ d'application.
\n
(4)Si certains secteurs de l'économie, tels que les secteurs de l'énergie et des transports, sont déjà réglementés par des actes juridiques sectoriels de l'Union, ces actes juridiques contiennent des dispositions qui portent uniquement sur certains aspects de la résilience des entités actives dans ces secteurs. Afin de traiter de manière globale la résilience des entités qui sont critiques pour le bon fonctionnement du marché intérieur, la présente directive crée un cadre général applicable à la résilience des entités critiques en ce qui concerne tous les risques, qu'ils soient naturels ou d'origine humaine, accidentels ou intentionnels.
\n
(5)Les interdépendances croissantes entre les infrastructures et les secteurs sont le résultat d'un réseau de fourniture de services de plus en plus transfrontière et interdépendant, qui utilise des infrastructures clés dans toute l'Union dans les secteurs de l'énergie, des transports, des banques, de l'eau potable, des eaux usées, de la production, de la transformation et de la distribution de denrées alimentaires, de la santé, de l'espace, des infrastructures du marché financier et des infrastructures numériques, et de certains aspects du secteur de l'administration publique. Le secteur spatial relève du champ d'application de la présente directive pour ce qui est de la fourniture de certains services qui dépendent d'infrastructures terrestres détenues, gérées et exploitées par des États membres ou par des parties privées; par conséquent, les infrastructures détenues, gérées ou exploitées par ou au nom de l'Union dans le cadre de son programme spatial ne relèvent pas du champ d'application de la présente directive.
\n
En ce qui concerne le secteur de l'énergie, et plus particulièrement les procédés de production et de transport de l'électricité (en ce qui concerne la fourniture d'électricité), il est entendu que, lorsque cela est jugé approprié, la production d'électricité peut englober les éléments des centrales nucléaires servant au transport de l'électricité, tout en excluant les éléments strictement nucléaires, qui relèvent du droit de l'Union, y compris les actes juridiques pertinents de l'Union concernant l'énergie nucléaire, et des traités. Le processus de recensement des entités critiques dans le secteur alimentaire devrait refléter de manière adéquate la nature du marché intérieur dans ce secteur et les règles étendues de l'Union relatives aux principes généraux et aux prescriptions générales de la législation alimentaire et à ceux en matière de sécurité des denrées alimentaires. Par conséquent, afin de garantir une approche proportionnée et de tenir dûment compte du rôle et de l'importance de ces entités au niveau national, il convient de ne recenser parmi les entreprises du secteur alimentaire que les entités critiques, qu'elles soient à but lucratif ou non et qu'elles soient publiques ou privées, qui se consacrent exclusivement à la logistique, à la distribution en gros, ainsi qu'à la production et à la transformation industrielles à grande échelle et détenant une part de marché importante, comme observé au niveau national. Ces interdépendances signifient que toute perturbation de services essentiels, même initialement limitée à une entité ou un secteur, peut produire des effets en cascade plus larges, entraînant éventuellement une incidence négative à long terme et de grande ampleur sur la fourniture de services dans l'ensemble du marché intérieur. Les crises majeures, telles que la pandémie de COVID-19, ont mis en évidence la vulnérabilité de nos sociétés de plus en plus interdépendantes face à des risques à faible probabilité de survenance, mais à fort impact.
\n
L 333/166 FR Journal officiel de l'Union européenne 27.12.2022
\n
(6)Les entités participant à la fourniture de services essentiels sont de plus en plus soumises à des exigences divergentes imposées par le droit national. Le fait que certains États membres imposent des exigences de sécurité moins strictes à ces entités non seulement entraîne des niveaux de résilience différents mais risque également d'avoir une incidence négative sur le maintien de fonctions sociétales ou d'activités économiques vitales dans l'ensemble de l'Union, et entrave le bon fonctionnement du marché intérieur. Les investisseurs et les entreprises peuvent se fier et faire confiance aux entités critiques qui sont résilientes, et la fiabilité et la confiance constituent la clé de voûte d'un marché intérieur performant. Des types d'entités similaires sont considérés comme critiques dans certains États membres mais pas dans d'autres, et ceux qui sont recensés comme critiques sont soumis à des exigences différentes selon les États membres. Il en résulte une charge administrative supplémentaire et inutile pour les entreprises exerçant des activités transfrontières, notamment pour les entreprises actives dans des États membres imposant des exigences plus strictes. Un cadre de l'Union aurait donc également pour effet de créer des conditions équitables pour les entités critiques dans toute l'Union.
\n
(7)Il est nécessaire d'établir des règles minimales harmonisées afin de garantir la fourniture de services essentiels dans le marché intérieur, de renforcer la résilience des entités critiques et d'améliorer la coopération transfrontière entre les autorités compétentes. Il importe que ces règles soient à l'épreuve du temps en ce qui concerne leur conception et leur mise en oeuvre, tout en offrant la souplesse nécessaire. Il est également crucial d'améliorer la capacité des entités critiques à fournir des services essentiels face à un ensemble diversifié de risques.
\n
(8)Afin d'atteindre un niveau élevé de résilience, les États membres devraient recenser les entités critiques qui seront soumises à des exigences et à une supervision spécifiques, et qui bénéficieront d'un soutien et de conseils particuliers face à tous les risques pertinents.
\n
(9)Compte tenu de l'importance de la cybersécurité pour la résilience des entités critiques et dans un souci d'uniformité, il convient de veiller à une approche cohérente, chaque fois que cela est possible, entre la présente directive et la directive (UE) 2022/2555 du Parlement européen et du Conseil (5). Compte tenu de la fréquence plus élevée et des caractéristiques particulières des risques en matière de cybersécurité, la directive (UE) 2022/2555 impose des exigences complètes à un grand nombre d'entités afin de garantir leur cybersécurité. Étant donné que la cybersécurité est suffisamment traitée dans la directive (UE)2022/2555, les questions qu'elle couvre devraient être exclues du champ d'application de ladite directive, sans préjudice du régime particulier applicable aux entités du secteur des infrastructures numériques.
\n
(10)Lorsque des dispositions d'actes juridiques sectoriels de l'Union exigent des entités critiques qu'elles prennent des mesures pour renforcer leur résilience et lorsque ces exigences sont reconnues par les États membres comme étant au moins équivalentes aux obligations correspondantes prévues par la présente directive, les dispositions pertinentes de la présente directive ne devraient pas s'appliquer, de manière à éviter tout double emploi et une charge inutile. Dans un tel cas, les dispositions pertinentes de ces actes juridiques de l'Union devraient s'appliquer.
\n
Lorsque les dispositions pertinentes de la présente directive ne s'appliquent pas, les dispositions relatives à la supervision et à l'exécution des règles prévues par la présente directive ne devraient pas non plus s'appliquer.
\n
(11)La présente directive n'affecte pas la compétence des États membres et de leurs autorités pour ce qui est de l'autonomie administrative ou la responsabilité qui leur incombe en matière de sauvegarde de la sécurité nationale et de la défense ou leur pouvoir de garantir d'autres fonctions essentielles de l'État, notamment celles qui ont pour objet d'assurer la sécurité publique, l'intégrité territoriale et le maintien de l'ordre public. L'exclusion des entités de l'administration publique du champ d'application de la présente directive devrait s'appliquer aux entités qui exercent leurs activités principalement dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l'application de la loi, y compris la détection des infractions pénales ainsi que les enquêtes et les poursuites en la matière. Toutefois, les entités de l'administration publique dont les activités ne sont que marginalement liées à ces domaines devraient relever du champ d'application de la présente directive. Aux fins de la présente directive, les entités disposant de compétences réglementaires ne sont pas considérées comme exerçant des activités dans le domaine de l'application de la loi et elles ne sont, par conséquent, pas exclues du champ d'application de la présente directive pour ce motif. Les entités de l'administration publique qui sont établies conjointement avec un pays tiers conformément à un accord international sont exclues du champ d'application de la présente directive. La présente directive ne s'applique pas aux missions diplomatiques et consulaires des États membres dans les pays tiers.
\n
(5)Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) (voir page 80 du présent Journal officiel).
\n
27.12.2022 FR Journal officiel de l'Union européenne L 333/167 Certaines entités critiques exercent des activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l'application de la loi, y compris la détection des infractions pénales ainsi que les enquêtes et les poursuites en la matière, ou fournissent des services exclusivement à des entités de l'administration publique qui exercent des activités principalement dans ces domaines. Compte tenu de la responsabilité qui incombe aux États membres en matière de sauvegarde de la sécurité nationale et de la défense, les États membres devraient pouvoir décider que les obligations incombant aux entités critiques prévues dans la présente directive ne s'appliquent pas, en tout ou en partie, auxdites entités critiques si les services qu'elles fournissent ou les activités qu'elles exercent sont principalement liés aux domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l'application de la loi, y compris la détection des infractions pénales ainsi que les enquêtes et les poursuites en la matière. Les entités critiques dont les services ou les activités ne sont que marginalement liés à ces domaines devraient relever du champ d'application de la présente directive. Aucun État membre ne devrait être tenu de fournir des informations dont la divulgation serait contraire aux intérêts essentiels de sa sécurité nationale. Les règles de l'Union ou les règles nationales visant à protéger les informations classifiées et les accords de non-divulgation sont pertinents à cet égard.
\n
(12)Afin de ne pas compromettre la sécurité nationale ou la sécurité et les intérêts commerciaux des entités critiques, les informations sensibles devraient être consultées, échangées et traitées avec prudence et en accordant une attention particulière aux canaux de transmission et aux capacités de stockage utilisés.
\n
(13)Afin de garantir une approche globale de la résilience des entités critiques, chaque État membre devrait disposer d'une stratégie pour renforcer la résilience des entités critiques (ci-après dénommée «stratégie»). La stratégie devrait définir les objectifs stratégiques et les mesures politiques à mettre en oeuvre. Dans un souci de cohérence et d'efficacité, la stratégie devrait être conçue de manière à intégrer harmonieusement les politiques existantes, en s'appuyant, chaque fois que cela est possible, sur des stratégies nationales et sectorielles, des plans ou des documents similaires existants pertinents. Afin de mettre en place une approche globale, les États membres devraient veiller à ce que leur stratégie prévoie un cadre d'action pour une coordination renforcée entre les autorités compétentes en vertu de la présente directive et les autorités compétentes en vertu de la directive (UE) 2022/2555 dans le contexte du partage d'informations sur les risques, menaces et incidents en matière de cybersécurité et les risques, menaces et incidents non liés à la qbersécurité, et dans le contexte de l'exercice des tâches de supervision. Lorsqu'ils mettent en place leur stratégie, les Etats membres devraient tenir dûment compte de la nature hybride des menaces pesant sur les entités critiques.
\n
(14)Les États membres devraient communiquer leur stratégie et les mises à jour substantielles de celle-ci à la Commission, notamment pour permettre à cette dernière d'évaluer la bonne application de la présente directive en ce qui concerne les approches stratégiques à l'égard de la résilience des entités critiques à l'échelon national. Les stratégies pourraient être communiquées en tant qu'informations classifiées. La Commission devrait établir un rapport de synthèse sur les stratégies communiquées par les États membres, qui servirait de base aux échanges visant à recenser les bonnes pratiques et les questions d'intérêt commun dans le cadre d'un groupe sur la résilience des entités critiques. Les informations agrégées figurant dans le rapport de synthèse, qu'elles soient classifiées ou non, étant par nature sensibles, la Commission devrait gérer le rapport de synthèse en étant dûment consciente de la question de la sécurité des entités critiques, des États membres et de l'Union. Le rapport de synthèse et les stratégies devraient être protégés contre les actes illicites ou malveillants et ne devraient être accessibles qu'aux personnes autorisées afin d'atteindre les objectifs de la présente directive. La communication des stratégies et de leurs mises à jour substantielles devrait également aider la Commission à comprendre l'évolution des approches à l'égard de la résilience des entités critiques et à alimenter le suivi de l'impact et de la valeur ajoutée de la présente directive, que la Commission doit réexaminer périodiquement.
\n
(15)Les mesures prises par les États membres pour recenser les entités critiques et contribuer à garantir leur résilience devraient suivre une approche fondée sur les risques qui se concentre sur les entités les plus importantes pour l'exercice de fonctions sociétales ou d'activités économiques vitales. Afin de garantir une telle approche ciblée, chaque État membre devrait procéder, dans un cadre harmonisé, à une évaluation des risques naturels et d'origine humaine pertinents, y compris les risques de nature transsectorielle ou transfrontière, pouvant affecter la fourniture de services essentiels, y compris les accidents, les catastrophes naturelles, les urgences de santé publique telles que les pandémies et les menaces hybrides ou autres menaces antagonistes, lesquelles comprennent les infractions terroristes, l'infiltration par les réseaux criminels et le sabotage (ci-après dénommée «évaluation des risques d'État membre»). Lorsqu'ils procèdent à une telle évaluation, les États membres devraient tenir compte d'autres évaluations des risques générales ou sectorielles effectuées en vertu d'autres actes juridiques de l'Union et examiner la mesure dans laquelle les secteurs dépendent les uns des autres, y compris de secteurs d'autres États membres et de pays tiers.
\n
Les résultats de l'évaluation des risques d'État membre devraient être utilisés aux fins de recenser les entités critiques L 333/168 FR Journal officiel de l'Union européenne 27.12.2022 et d'aider ces entités à satisfaire aux exigences auxquelles elles sont soumises en matière de résilience. La présente directive ne s'applique qu'aux États membres et aux entités critiques qui exercent leurs activités au sein de l'Union.
\n
Néanmoins, l'expertise et les connaissances générées par les autorités compétentes, notamment au moyen d'évaluations des risques, et par la Commission, notamment au moyen de diverses formes de soutien et de coopération, pourraient être utilisées, le cas échéant et conformément aux instruments juridiques applicables, dans l'intérêt des pays tiers, notamment ceux qui se trouvent dans le voisinage direct de l'Union, en alimentant la coopération existante en matière de résilience.
\n
(16)Afin de garantir que toutes les entités concernées sont soumises aux exigences en matière de résilience de la présente directive et de réduire les divergences à cet égard, il importe d'établir des règles harmonisées permettant un recensement cohérent des entités critiques dans l'ensemble de l'Union, tout en permettant aux États membres de tenir suffisamment compte du rôle et de l'importance de ces entités à l'échelon national. Lorsqu'il applique les critères établis dans la présente directive, chaque État membre devrait recenser les entités qui fournissent un ou plusieurs services essentiels et qui exploitent et possèdent des infrastructures critiques situées sur son territoire. Une entité devrait être considérée comme exerçant des activités sur le territoire de l'État membre dans lequel elle exerce les activités nécessaires pour le ou les services essentiels en question et dans lequel se trouve l'infrastructure critique de cette entité, qui est utilisée pour fournir ce ou ces services. Lorsqu'aucune entité ne remplit ces critères dans un État membre, cet État membre ne devrait pas être tenu de recenser des entités critiques dans le secteur ou soussecteur correspondant. Dans un souci d'efficacité, d'efficience, de cohérence et de sécurité juridique, il convient d'établir des règles appropriées en ce qui concerne la notification des entités qui ont été recensées en tant qu'entités critiques.
\n
(17)Les États membres devraient communiquer à la Commission, selon des modalités qui répondent aux objectifs de la présente directive, une liste des services essentiels, le nombre d'entités critiques recensées pour chacun des secteurs et sous-secteurs figurant en annexe et pour le ou les services essentiels fournis par chaque entité et, s'ils sont appliqués, les seuils. Il devrait être possible de présenter les seuils tels quels ou sous une forme agrégée, c'est-à-dire que les informations peuvent prendre la forme de moyennes par zone géographique, par année, par secteur, par sous-secteur, ou par tout autre critère, et peuvent comporter des données sur la portée des indicateurs fournis.
\n
(18)Des critères devraient être fixés afin de déterminer l'importance de l'effet perturbateur causé par un incident. Ces critères devraient se fonder sur les critères énoncés dans la directive (UE) 201 6/11 48 du Parlement européen et du Conseil (6) afin de tirer parti des efforts déployés par les États membres pour recenser les opérateurs de services essentiels tels qu'ils sont définis dans ladite directive et de l'expérience acquise à cet égard. Des crises majeures, telles que la pandémie de COVID-19, ont mis en lumière l'importance de garantir la sécurité de la chaîne d'approvisionnement et ont montré comment sa perturbation peut avoir des incidences économiques et sociétales négatives dans un grand nombre de secteurs et au-delà des frontières. Par conséquent, les États membres devraient également tenir compte des effets sur la chaîne d'approvisionnement, dans la mesure du possible, lorsqu'ils déterminent la mesure dans laquelle d'autres secteurs et sous-secteurs dépendent du service essentiel fourni par une entité critique.
\n
(19)Conformément au droit de l'Union et au droit national applicables, y compris le règlement (UE) 2019/452 du Parlement européen et du Conseil (7), qui établit un cadre pour le filtrage des investissements directs étrangers dans l'Union, il convient de reconnaître la menace potentielle que représente la participation étrangère dans des infrastructures critiques au sein de l'Union, parce que les services, l'économie, la liberté de circulation et la sécurité des citoyens de l'Union dépendent du bon fonctionnement des infrastructures critiques.
\n
(20)La directive (UE) 2022/2555 impose aux entités appartenant au secteur des infrastructures numériques qui pourraient être recensées en tant qu'entités critiques en vertu de la présente directive de prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d'information et de signaler les cybermenaces et les incidents importants.
\n
Étant donné que les menaces pesant sur la sécurité des réseaux et des systèmes d'information peuvent avoir des origines différentes, la directive (UE) 2022/2555 applique une approche tous risques qui inclut la résilience des réseaux et des systèmes d'information ainsi que des composants et environnements physiques de ces systèmes.
\n
(6)Directive (UE) 2016/1148 du Parlement européen et du Conseil du 6 juillet 2016 concernant des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et des systèmes d'information dans l'Union Go L 194 du 19.7.2016, p. 1). (') Règlement (LIE) 2019/452 du Parlement européen et du Conseil du 19 mars 2019 établissant un cadre pour le filtrage des investissements directs étrangers dans l'Union (JO L 79! du 21.3.2019, p. 1).
\n
27.12.2022 FR Journal officiel de l'Union européenne L 333/169 Les exigences établies par la directive (UE) 2022/2555 à cet égard étant au moins équivalentes aux obligations correspondantes établies par la présente directive, les obligations établies à l'article 11 et aux chapitres III, IV et VI de la présente directive ne devraient pas s'appliquer aux entités appartenant au secteur des infrastructures numériques de manière à éviter tout double emploi et des charges administratives inutiles. Toutefois, compte tenu de l'importance des services fournis par les entités appartenant au secteur des infrastructures numériques à des entités critiques appartenant à tous les autres secteurs, les États membres devraient recenser, sur la base des critères et selon la procédure prévus dans la présente directive, les entités appartenant au secteur des infrastructures numériques en tant qu'entités critiques. Par conséquent, les stratégies, les évaluations des risques d'États membres et les mesures de soutien énoncées au chapitre II de la présente directive devraient s'appliquer. Les États membres devraient pouvoir adopter ou maintenir des dispositions de droit national afin d'atteindre un niveau de résilience plus élevé pour ces entités critiques, à condition que ces dispositions soient compatibles avec le droit de l'Union applicable.
\n
(21)Le droit de l'Union relatif aux services financiers impose aux entités financières des exigences étendues visant à ce que tous les risques auxquels elles sont confrontées soient gérés, y compris les risques opérationnels, et à garantir la continuité des activités. Ce droit comprend les règlements (UE) n° 648/2012 (8), (UE) n° 575/2013 (9) et (UE) n° 600/2014 (w) du Parlement européen et du Conseil et les directive 2013/36/UE (\") et 2014/65/UE (\") du Parlement européen et du Conseil. Ce cadre juridique est complété par le règlement (11E) 2022/2554 du Parlement européen et du Conseil (\"), qui fixe des exigences applicables aux entités financières en matière de gestion des risques liés aux technologies de l'information et de la communication (TIC), y compris en matière de protection des infrastructures physiques des TIC. Étant donné que la résilience de ces entités est dès lors entièrement couverte, l'article 11 et les chapitres III, IV et VI de la présente directive ne devraient pas s'appliquer à ces entités, afin d'éviter des doubles emplois et des charges administratives inutiles.
\n
Toutefois, compte tenu de l'importance des services fournis par les entités du secteur financier à des entités critiques appartenant à tous les autres secteurs, les États membres devraient recenser, sur la base des critères et selon la procédure prévus dans la présente directive, les entités du secteur financier en tant qu'entités critiques. Par conséquent, les stratégies, les évaluations des risques d'États membres et les mesures de soutien énoncées au chapitre II de la présente directive devraient s'appliquer. Les États membres devraient pouvoir adopter ou maintenir des dispositions de droit national afin d'atteindre un niveau de résilience plus élevé pour ces entités critiques, à condition que ces dispositions soient compatibles avec le droit de l'Union applicable.
\n
(22)Les États membres devraient désigner ou mettre en place des autorités chargées de surveiller l'application des règles de la présente directive et, si nécessaire, de les faire respecter, et veiller à ce que ces autorités disposent des pouvoirs et des ressources adéquats. Compte tenu des différences entre les structures de gouvernance nationales, afin de préserver les dispositifs sectoriels existants ou les organismes de surveillance et de réglementation de l'Union, et afin d'éviter les doubles emplois, les États membres devraient pouvoir désigner ou mettre en place plus d'une autorité compétente. Lorsque les États membres désignent ou mettent en place plusieurs autorités compétentes, ils devraient définir clairement les tâches respectives des autorités concernées et veiller à ce qu'elles coopèrent de manière harmonieuse et efficace. Toutes les autorités compétentes devraient également coopérer plus généralement avec d'autres autorités concernées, tant au niveau de l'Union qu'au niveau national.
\n
Cl Règlement (UE) n° 648/2012 du Parlement européen et du Conseil du 4 juillet 2012 sur les produits dérivés de gré à gré, les contreparties centrales et les référentiels centraux (10 L 201 du 27.7.2012, p. 1).
\n
(9)Règlement (UE) n° 575/2013 du Parlement européen et du Conseil du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et modifiant le règlement (UE) n° 648/2012 (jo L 176 du 27.6.2013, p. 1). ( II) Règlement (UE) n° 600/2014 du Parlement européen et du Conseil du 15 mai 2014 concernant les marchés d'instruments financiers et modifiant le règlement (LIE) n°648/2012 CIO L 173 du 12.6.2014, p. 84).
\n
(11)Directive 2013/36/UE du Parlement européen et du Conseil du 26 juin 2013 concernant l'accès à l'activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d'investissement, modifiant la directive 2002/87/CE et abrogeant les directives 2006/48/CE et 2006/49/CE go L 176 du 27.6.2013, p. 338).
\n
(12)Directive 2014/65/UE du Parlement européen et du Conseil du 15 mai 2014 concernant les marchés d'instruments financiers et modifiant la directive 2002/92/CE et la directive 2011/61/UE (l0 L 173 du 12.6.2014, p. 349).
\n
(13)Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) n° 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (LM) n° 909/2014 et (LIE) 2016/1011 (voir page 1 du présent journal officiel).
\n
L 333/170 FR journal officiel de l'Union européenne 27.12.2022
\n
(23)Afin de faciliter la coopération et la communication transfrontières et de permettre la mise en œuvre effective de la présente directive, et sans préjudice des exigences posées par des actes juridiques sectoriels de l'Union, chaque État membre devrait désigner un point de contact unique chargé de coordonner les questions liées à la résilience des entités critiques et à la coopération transfrontière au niveau de l'Union (ci-après dénommé «point de contact unique»), s'il y a lieu au sein d'une autorité compétente. Il convient que chaque point de contact unique assure la coordination de la communication et la liaison, s'il y a lieu, avec les autorités compétentes de son État membre, avec les points de contact uniques des autres États membres et avec le groupe sur la résilience des entités critiques.
\n
(24)Les autorités compétentes en vertu de la présente directive et les autorités compétentes en vertu de la directive (UE) 2022/2555 devraient coopérer et échanger des informations sur les risques, menaces et incidents en matière de cybersécurité ainsi que sur les risques, menaces et incidents non liés à la cybersécurité affectant les entités critiques, et sur les mesures pertinentes prises par les autorités compétentes en vertu de la présente directive et les autorités compétentes en vertu de la directive (UE) 2022/2555 il importe que les États membres veillent à ce que les exigences prévues par la présente directive et la directive (UE) 2022/2555 soient mises en oeuvre de manière complémentaire et à ce que les entités critiques ne soient pas soumises à une charge administrative supérieure à ce qui est nécessaire pour atteindre les objectifs de la présente directive et de ladite directive.
\n
(25)Les États membres devraient aider les entités critiques, y compris celles qui sont qualifiées de petites ou moyennes entreprises, à renforcer leur résilience, dans le respect des obligations qui incombent aux États membres en vertu de la présente directive, sans préjudice de la propre responsabilité juridique qui incombe aux entités critiques de garantir le respect de ces obligations et, ce faisant, éviter d'imposer une charge administrative excessive. En particulier, les États membres pourraient élaborer des documents d'orientation et des méthodologies, apporter leur soutien à l'organisation d'exercices visant à tester la résilience des entités critiques et dispenser des formations et fournir des conseils au personnel des entités critiques. Lorsque cela est nécessaire et justifié par des objectifs d'intérêt public, les États membres pourraient fournir des ressources fmancières et devraient faciliter le partage volontaire d'informations et l'échange de bonne pratiques entre les entités critiques, sans préjudice de l'application des règles de concurrence prévues par le traité sur le fonctionnement de l'Union européenne.
\n
(26)En vue de renforcer la résilience des entités critiques recensées par les États membres et afin de réduire la charge administrative qui pèse sur ces entités critiques, les autorités compétentes devraient se consulter, chaque fois que cela est approprié, aux fins d'assurer l'application cohérente de la présente directive. Ces consultations devraient être engagées à la demande de toute autorité compétente concernée, et viser à assurer une approche convergente en ce qui concerne les entités critiques interconnectées qui utilisent des infrastructures critiques physiquement connectées entre deux ou plusieurs États membres, qui appartiennent aux mêmes groupes ou structures d'entreprise, ou qui ont été recensées dans un État membre et qui fournissent des services essentiels à ou dans d'autres États membres.
\n
(27)Lorsque des dispositions du droit de l'Union ou du droit national exigent que les entités critiques évaluent les risques pertinents aux fins de la présente directive et qu'elles prennent des mesures pour garantir leur propre résilience, ces exigences devraient être suffisamment prises en considération aux fins de surveiller le respect de la présente directive par les entités critiques.
\n
(28)Les entités critiques devraient avoir une connaissance approfondie des risques pertinents auxquels elles sont exposées et être tenues de les analyser. À cette fin, elles devraient procéder à des évaluations des risques chaque fois que cela s'avère nécessaire compte tenu de leurs circonstances particulières et de l'évolution de ces risques et, en tout cas, tous les quatre ans, afin d'évaluer tous les risques pertinents qui pourraient perturber la fourniture de leurs services essentiels (ci-après dénommée «évaluation des risques d'entité critique»). Lorsque les entités critiques ont procédé à d'autres évaluations des risques ou établi des documents en vertu d'obligations prévues par d'autres actes juridiques qui sont pertinents pour leur évaluation des risques d'entité critique, elles devraient pouvoir utiliser ces évaluations et documents pour satisfaire aux exigences énoncées dans la présente directive en ce qui concerne les évaluations des risques d'entités critiques. Une autorité compétente devrait pouvoir déclarer qu'une évaluation des risques existante réalisée par une entité critique qui porte sur les risques pertinents et le degré pertinent de dépendance respecte, en tout ou en partie, les obligations prévues par la présente directive.
\n
27.12.2022 FR Journal officiel de l'Union européenne L 333/171
\n
(29)Les entités critiques devraient adopter des mesures techniques, des mesures de sécurité et des mesures organisationnelles appropriées et proportionnées aux risques auxquels elles sont confrontées, de manière à prévenir tout incident, à s'en protéger, à y réagir, à y résister, à l'atténuer, à l'absorber, à s'y adapter et à s'en remettre. Bien que les entités critiques soient tenues de prendre ces mesures conformément à la présente directive, les détails et la portée de ces mesures devraient refléter de manière appropriée et proportionnée les différents risques que chaque entité critique a recensés dans le cadre de son évaluation des risques d'entité critique et les spécificités de cette entité. Pour favoriser une approche cohérente de l'Union, la Commission devrait, après consultation du groupe sur la résilience des entités critiques, adopter des lignes directrices non contraignantes afin de préciser davantage ces mesures techniques, ces mesures de sécurité et ces mesures organisationnelles. Les États membres devraient veiller à ce que chaque entité critique désigne un agent de liaison ou une personne ayant une fonction équivalente en tant que point de contact avec les autorités compétentes.
\n
(30)Dans un souci d'efficacité et de responsabilité, les entités critiques devraient décrire les mesures qu'elles prennent avec un niveau de détail suffisant pour atteindre les objectifs d'efficacité et de responsabilité, eu égard aux risques identifiés, dans un plan de résilience ou dans un ou plusieurs documents équivalents, et appliquer ce plan dans la pratique. Lorsqu'une entité critique a déjà pris des mesures techniques, des mesures de sécurité et des mesures organisationnelles et établi des documents en vertu d'autres actes juridiques qui sont pertinents aux fins des mesures de renforcement de la résilience au titre de la présente directive, elle devrait pouvoir, afin d'éviter les doubles emplois, utiliser ces mesures et documents pour satisfaire aux exigences en ce qui concerne les mesures de résilience au titre de la présente directive. Afin d'éviter les doubles emplois, une autorité compétente devrait pouvoir déclarer comme conformes, en tout ou en partie, aux exigences de la présente directive des mesures de résilience existantes prises par une entité critique qui répondent à son obligation de prendre des mesures techniques, des mesures de sécurité et des mesures organisationnelles.
\n
(31)Les règlements (CE) n° 725/2004 (\") et (CE) n° 300/2008 (\") du Parlement européen et du Conseil et la directive 2005/65/CE du Parlement européen et du Conseil (\") définissent des exigences applicables aux entités des secteurs de l'aviation et du transport maritime afin de prévenir les incidents causés par des actes illicites, d'y résister et d'en atténuer les conséquences. Bien que les mesures requises par la présente directive soient plus larges en ce qui concerne les risques pris en compte et les types de mesures devant être prises, les entités critiques de ces secteurs devraient prendre en considération dans leur plan de résilience ou dans des documents équivalents les mesures prises en application de ces autres actes juridiques de l'Union. Les entités critiques doivent également prendre en considération la directive 2008/96/CE du Parlement européen et du Conseil (\"), qui instaure une évaluation de l'ensemble du réseau routier pour cartographier les risques d'accidents et une inspection de sécurité routière ciblée, afin de déterminer les conditions dangereuses, les défauts et les problèmes qui augmentent le risque d'accidents et de blessures, sur la base de visites sur place de routes existantes ou de tronçons de route existants. Veiller à la protection et à la résilience des entités critiques est de la plus haute importance pour le secteur ferroviaire et, lorsqu'elles mettent en oeuvre des mesures de résilience au titre de la présente directive, les entités critiques sont encouragées à se référer aux lignes directrices non contraignantes et aux documents de bonnes pratiques élaborés dans le cadre de groupes de travail sectoriels, tels que la plateforme de l'Union européenne en matière de sûreté des voyageurs ferroviaires créée par la décision 2018/C 232/03 de la Commission (\").
\n
(32)Le risque que des membres du personnel des entités critiques ou de leurs contractants utilisent de manière abusive, par exemple leurs droits d'accès au sein de l'organisation de l'entité critique pour nuire et causer un préjudice est de plus en plus préoccupant. Les États membres devraient par conséquent préciser les conditions dans lesquelles les entités critiques sont autorisées, dans des cas dûment motivés et compte tenu des évaluations des risques d'États membres, à présenter des demandes de vérification des antécédents des personnes appartenant à des catégories spécifiques de leur personnel. Il convient de veiller à ce que les autorités concernées évaluent ces demandes dans un délai raisonnable et les traitent conformément au droit national et aux procédures nationales, et au droit de l'Union pertinent et applicable, y compris en matière de protection des données à caractère personnel. Aim de confirmer l'identité d'une personne faisant l'objet d'une vérification des antécédents, il convient que les États membres exigent une preuve de son identité, comme un passeport, une carte d'identité nationale ou une forme d'identification numérique, conformément au droit applicable. (\") Règlement (CE) n° 725/2004 du Parlement européen et du Conseil du 31 mars 2004 relatif à l'amélioration de la sûreté des navires et des installations portuaires (ro L 129 du 29.4.2004, p. 6). (\") Règlement (CE) no 300/2008 du Parlement européen et du Conseil du 11 mars 2008 relatif à l'instauration de règles communes dans le domaine de la sûreté de l'aviation civile et abrogeant le règlement (CE) n° 2320/2002 (jo L 97 du 9.4.2008, p. 72).
\n
Cl Directive 2005/65/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à l'amélioration de la sûreté des ports go L 310 du 25.11.2005, p. 28). (\") Directive 2008/96/CE du Parlement européen et du Conseil du 19 novembre 2008 concernant la gestion de la sécurité des infrastructures routières (JO L 319 du 29.11.2008, p. 59). (\") Décision de la Commission du 29 juin 2018 portant création de la plateforme de l'Union européenne en matière de sûreté des voyageurs ferroviaires 2018/C 232/03 (JO C 232 du 3.7.2018, p. 10).
\n
L 333/172 FR Journal officiel de l'Union européenne 27.12.2022 Les vérifications des antécédents devraient également comprendre une vérification des casiers judiciaires de la personne concernée. Les États membres devraient utiliser le système européen d'information sur les casiers judiciaires conformément aux procédures prévues dans la décision-cadre 2009/315/JAI du Conseil (\") et, si cela est pertinent et applicable, dans le règlement (UE) 2019/816 du Parlement européen et du Conseil (2°) aux fins d'obtenir des informations provenant des casiers judiciaires détenus par d'autres États membres. Les États membres pourraient aussi, et si cela est pertinent et applicable, s'appuyer sur le système d'information Schengen de deuxième génération (SIS II) établi par le règlement (UE) 2018/1862 du Parlement européen et du Conseil (\"), sur des éléments de renseignement et sur toutes autres informations objectives disponibles qui pourraient être nécessaires pour déterminer si la personne concernée convient pour le poste pour lequel l'entité critique a demandé une vérification des antécédents.
\n
(33)Il convient de mettre en place un mécanisme de notification de certains incidents afin de permettre aux autorités compétentes de réagir rapidement et de manière adéquate aux incidents et de disposer d'une vue d'ensemble complète de l'impact, de la nature, de la cause et des conséquences éventuelles d'incidents auxquels les entités critiques sont confrontées. Les entités critiques devraient notifier sans retard injustifié aux autorités compétentes les incidents qui perturbent ou sont susceptibles de perturber de manière importante la fourniture de services essentiels. A moins qu'elles n'en soient empêchées sur le plan opérationnel, les entités critiques devraient présenter une notification initiale au plus tard vingt-quatre heures après avoir pris connaissance d'un incident. La notification initiale ne devrait inclure que les informations strictement nécessaires pour porter l'incident à la connaissance de l'autorité compétente et permettre à l'entité critique de demander une assistance, si nécessaire. Une telle notification devrait indiquer, lorsque cela est possible, la cause présumée de l'incident. Les États membres devraient veiller à ce que l'obligation de présenter cette notification initiale ne détourne pas les ressources de l'entité critique des activités liées à la gestion de l'incident, qui devraient être prioritaires. La notification initiale devrait être suivie, s'il y a lieu, d'un rapport détaillé au plus tard un mois après l'incident. Le rapport détaillé devrait compléter la notification initiale et fournir une vue d'ensemble plus complète de l'incident.
\n
(34)Il convient que la normalisation demeure un processus essentiellement conduit par le marché. Toutefois, il pourrait être approprié dans certaines situations d'exiger le respect de certaines normes. Les États membres devraient, lorsque cela est utile, promouvoir l'utilisation de normes européennes et internationales et de spécifications techniques pertinentes pour les mesures de sécurité et les mesures de résilience applicables aux entités critiques.
\n
(35)Si les entités critiques exercent généralement leurs activités dans le cadre d'un réseau de fourniture de services et d'infrastructures de plus en plus interconnecté et fournissent souvent des services essentiels dans plus d'un État membre, certaines de ces entités critiques revêtent une importance particulière pour l'Union et son marché intérieur car elles fournissent des services essentiels à ou dans six États membres ou plus, et pourraient donc bénéficier d'un soutien spécifique au niveau de l'Union. II y a donc lieu d'établir des règles relatives aux missions de conseil destinées à ces entités critiques d'importance européenne particulière. Ces règles sont sans préjudice des dispositions relatives à la supervision et à l'exécution des règles énoncées dans la présente directive.
\n
(36)Sur demande motivée de la Commission ou d'un ou de plusieurs États membres auxquels ou dans lesquels le service essentiel est fourni, lorsque des informations supplémentaires sont nécessaires pour pouvoir conseiller une entité critique en vue du respect de ses obligations au titre de la présente directive ou pour évaluer le respect de ces obligations par une entité critique d'importance européenne particulière, l'État membre qui a désigné une entité critique d'importance européenne particulière en tant qu'entité critique devrait fournir certaines informations à la Commission, conformément à la présente directive. En accord avec l'État membre qui a désigné l'entité critique d'importance européenne particulière en tant qu'entité critique, la Commission devrait pouvoir organiser une mission de conseil afin d'évaluer les mesures mises en place par cette entité. Afin de garantir la bonne exécution de ces missions de conseil, il convient d'établir des règles complémentaires, notamment en ce qui concerne l'organisation et le déroulement des missions de conseil, les actions de suivi à entreprendre et les obligations incombant aux entités critiques d'importance européenne particulière concernées. Sans préjudice de la nécessité
\n
(19)Décision-cadre 2009/315/JAI du Conseil du 26 février 2009 concernant l'organisation et le contenu des échanges d'informations extraites du casier judiciaire entre les États membres (JO L 93 du 7.4.2009, P. 23). (\") Règlement (UE) 2019/816 du Parlement européen et du Conseil du 17 avril 2019 portant création d'un système centralisé permettant d'identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides (ECRIS-TCN), qui vise à compléter le système européen d'information sur les casiers judiciaires, et modifiant le règlement (UE) 2018/1726 (JO L 135 du 22.5.2019, p. 1).
\n
Règlement (UE) 2018/1862 du Parlement européen et du Conseil du 28 novembre 2018 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, modifiant et abrogeant la décision 2007/533/JAI du Conseil, et abrogeant le règlement (CE) n° 1986/2006 du Parlement européen et du Conseil et la décision 2010/261/UE de la Commission (J0 L 312 du 7.12.2018, p. 56).
\n
27.12.2022 FR Journal officiel de l'Union européenne L 3 33/1 7 3 pour l'État membre dans lequel la mission de conseil est menée et pour l'entité critique concernée de respecter les règles prévues par la présente directive, les missions de conseil devraient être menées sous réserve des règles détaillées du droit dudit État membre, par exemple en ce qui concerne les conditions précises à remplir pour obtenir l'accès aux locaux ou aux documents pertinents et les voies de recours juridictionnel. L'expertise spécifique requise pour de telles missions de conseil pourrait, selon les besoins, être demandée par l'intermédiaire du centre de coordination de la réaction d'urgence institué par la décision n° 1313/2013/UE du Parlement européen et du Conseil (\").
\n
(37)Afin de soutenir la Commission et de faciliter la coopération entre les États membres et l'échange d'informations, y compris des bonnes pratiques, sur les questions liées à la présente directive, il convient de créer un groupe sur la résilience des entités critiques, en tant que groupe d'experts de la Commission. Les États membres devraient s'efforcer de veiller à ce que les représentants désignés de leurs autorités compétentes au sein du groupe sur la résilience des entités critiques coopèrent de manière efficace et efficiente, y compris en désignant des représentants qui disposent d'une habilitation de sécurité, s'il y a lieu. Le groupe sur la résilience des entités critiques devrait commencer à s'acquitter de ses tâches dès que possible, de manière à mettre à disposition des moyens supplémentaires pour une coopération appropriée pendant la période de transposition de la présente directive. Le groupe sur la résilience des entités critiques devrait interagir avec d'autres groupes de travail d'experts sectoriels pertinents.
\n
(38)Le groupe sur la résilience des entités critiques devrait coopérer avec le groupe de coopération créé par la directive (UE) 2022/2555 afin de soutenir un cadre global pour la cyberrésilience et la résilience non liée à la cybersécurité des entités critiques. Le groupe sur la résilience des entités critiques et le groupe de coopération institué par la directive (UE) 2022/2555 devraient entretenir un dialogue régulier afin de promouvoir la coopération entre les autorités compétentes en vertu de la présente directive et les autorités compétentes en vertu de la directive (UE) 2022/2555 et de faciliter l'échange d'informations, notamment sur des sujets présentant un intérêt pour les deux groupes.
\n
(39)Afin d'atteindre les objectifs de la présente directive, et sans préjudice de la responsabilité juridique qui incombe aux États membres et aux entités critiques de veiller au respect de leurs obligations respectives qui y sont énoncées, la Commission devrait, lorsqu'elle le juge approprié, soutenir les autorités compétentes et les entités critiques afin de faciliter le respect par celles-ci de leurs obligations respectives. Lorsqu'elle apporte un soutien aux États membres et aux entités critiques dans la mise en oeuvre des obligations prévues dans la présente directive, la Commission devrait s'appuyer sur les structures et outils existants, tels que ceux relevant du mécanisme de protection civile de l'Union, établi par la décision n° 1313/2013/UE, et du réseau européen de référence pour la protection des infrastructures critiques. En outre, elle devrait informer les États membres des ressources disponibles au niveau de l'Union, par exemple au sein du Fonds pour la sécurité intérieure, établi par le règlement (UE) 2021/1149 du Parlement européen et du Conseil (\"), d'Horizon Europe, établi par le règlement (UE) 2021/695 du Parlement européen et du Conseil (24), ou d'autres instruments pertinents pour la résilience des entités critiques.
\n
(40)Les États membres devraient veiller à ce que leurs autorités compétentes disposent de certains pouvoirs spécifiques pour assurer la bonne application et l'exécution de la présente directive à l'égard des entités critiques, lorsque ces entités relèvent de leur compétence comme il est précisé dans la présente directive. Ces pouvoirs devraient comprendre notamment le pouvoir d'effectuer des inspections et des audits, le pouvoir de superviser, le pouvoir d'exiger des entités critiques qu'elles fournissent des informations et des éléments de preuve concernant les mesures qu'elles ont prises pour respecter leurs obligations et, lorsque c'est nécessaire, le pouvoir d'adresser des injonctions afin qu'il soit remédié aux violations constatées. Lorsqu'ils adressent de telles injonctions, les États membres ne devraient pas exiger de mesures allant au-delà de ce qui est nécessaire et proportionné pour garantir le respect par l'entité critique concernée des obligations qui lui incombent, compte tenu, notamment, de la gravité de la violation et de la capacité économique de l'entité critique concernée. Plus généralement, ces pouvoirs devraient (\") Décision n° 1313/2013/UE du Parlement européen et du Conseil du 17 décembre 2013 relative au mécanisme de protection civile de l'Union (JO L 347 du 20.12.2013, p. 924). (\") Règlement (UE) 2021/1149 du Parlement européen et du Conseil du 7 juillet 2021 établissant le Fonds pour la sécurité intérieure (JO L 251 du 15.7.2021, p. 94). (\") Règlement (UE) 2021/695 du Parlement européen et du Conseil du 28 avril 2021 portant établissement du programme-cadre pour la recherche et l'innovation «Horizon Europe» et définissant ses règles de participation et de diffusion, et abrogeant les règlements (UE) n°1290/2013 et (UE) n° 1291/2013 (JO L 170 du 12.5.2021, p. 1).
\n
L 333/174 FR Journal officiel de l'Union européenne 27.12.2022 s'accompagner de garanties appropriées et effectives, devant être précisées dans le droit national conformément à la Charte des droits fondamentaux de l'Union européenne. Lorsqu'elles évaluent le respect par les entités critiques des obligations que leur impose la présente directive, les autorités compétentes en vertu de la présente directive devraient pouvoir demander aux autorités compétentes en vertu de la directive (UE) 2022/2555 d'exercer leurs pouvoirs de supervision et d'exécution à l'égard d'une entité relevant de ladite directive qui a été désignée en tant qu'entité critique en vertu de la présente directive. Les autorités compétentes en vertu de la directive (UE) 2022/ 2555 devraient coopérer et échanger des informations à cette fin.
\n
(41)Afin que la présente directive soit appliquée de manière effective et cohérente, il convient de déléguer à la Commission le pouvoir d'adopter des actes conformément à l'article 290 du traité sur le fonctionnement de l'Union européenne en vue de compléter la présente directive en dressant une liste des services essentiels. Cette liste devrait être utilisée par les autorités compétentes aux fins de la réalisation d'évaluations des risques d'États membres et du recensement des entités critiques en vertu de la présente directive. Compte tenu de l'approche fondée sur une harmonisation minimale suivie par la présente directive, cette liste n'est pas exhaustive et les États membres pourraient la compléter en y ajoutant d'autres services essentiels au niveau national afin de tenir compte des spécificités nationales en ce qui concerne la fourniture de services essentiels. Il importe particulièrement que la Commission procède aux consultations appropriées durant son travail préparatoire, y compris au niveau des experts, et que ces consultations soient menées conformément aux principes définis dans l'accord interinstitutionnel du 13 avril 2016 «Mieux légiférer» (\"). En particulier, pour assurer leur égale participation à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents au même moment que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d'experts de la Commission traitant de la préparation des actes délégués.
\n
(42)Afin d'assurer des conditions uniformes d'exécution de la présente directive, il convient de conférer des compétences d'exécution à la Commission. Ces compétences devraient être exercées conformément au règlement (UE) n° 182/2011 du Parlement européen et du Conseil (\").
\n
(43)Étant donné que les objectifs de la présente directive, à savoir garantir que les services essentiels au maintien de fonctions sociétales ou d'activités économiques vitales soient fournis sans entrave dans le marché intérieur et améliorer la résilience des entités critiques qui fournissent de tels services, ne peuvent pas être atteints de manière suffisante par les États membres mais peuvent en raison des effets de l'action l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité énoncé audit article, la présente directive n'excède pas ce qui est nécessaire pour atteindre ces objectifs.
\n
(44)Le Contrôleur européen de la protection des données a été consulté conformément à l'article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (\") et a rendu un avis le 11 août 2021.
\n
(45)Il convient donc d'abroger la directive 2008/114/CE, (\") JO L 123 du 12.5.2016, p. 1. (\") Règlement (UE) n° 182/2011 du Parlement européen et du Conseil du 16 février 2011 établissant les règles et principes généraux relatifs aux modalités de contrôle par les États membres de l'exercice des compétences d'exécution par la Commission go L 55 du 28.2.2011, p. 13).
\n
(27)Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 124712002/CE (jo L 295 du 21.11.2018, p. 39).
\n
27.12.2022 FR Journal officiel de l'Union européenne L 333/175 ONT ADOPTÉ LA PRÉSENTE DIRECTIVE:
\n
CHAPITRE I
\n
DISPOSMONS GÉNÉRALES Article premier Objet et champ d'application 1.
\n
La présente directive:
\n
a)impose aux États membres l'obligation d'adopter des mesures spécifiques visant à garantir que les services qui sont essentiels au maintien de fonctions sociétales ou d'activités économiques vitales, dans le champ d'application de l'article 114 du traité sur le fonctionnement de l'Union européenne, soient fournis sans entrave dans le marché intérieur, en particulier l'obligation de recenser les entités critiques et l'obligation d' aider les entités critiques à s'acquitter des obligations qui leur incombent;
\n
b)impose aux entités critiques des obligations visant à renforcer leur résilience et leur capacité à fournir les services visés au point a) dans le marché intérieur;
\n
c)établit des règles relatives:
\n
i)à la supervision des entités critiques;
\n
ii)à l'exécution des règles; iii) au recensement des entités critiques d'importance européenne particulière, ainsi qu'aux missions de conseil pour évaluer les mesures que ces entités ont mises en place pour satisfaire aux obligations qui leur incombent en vertu du chapitre III;
\n
d)établit des procédures communes en matière de coopération et d'établissement de rapports sur l'application de la présente directive;
\n
e)prévoit des mesures visant à atteindre un niveau élevé de résilience des entités critiques afin de garantir la fourniture de services essentiels dans l'Union et d'améliorer le fonctionnement du marché intérieur.
\n
2.
\n
La présente directive ne s'applique pas aux questions couvertes par la directive (UE) 2022/2555, sans préjudice de l'article 8 de la présente directive. La sécurité physique et la cybersécurité des entités critiques étant liées, les États membres veillent à ce que la présente directive et la directive (UE) 2022/2555 soient mises en œuvre de manière coordonnée.
\n
3.
\n
Lorsque des dispositions d'actes juridiques sectoriels de l'Union exigent des entités critiques qu'elles adoptent des mesures pour renforcer leur résilience, et lorsque ces exigences sont reconnues par les États membres comme étant au moins équivalentes aux obligations correspondantes prévues par la présente directive, les dispositions pertinentes de la présente directive, y compris les dispositions relatives à la supervision et à l'exécution prévues au chapitre VI, ne s'appliquent pas.
\n
4.
\n
Sans préjudice de l'article 346 du traité sur le fonctionnement de l'Union européenne, les informations qui sont confidentielles en application de règles de l'Union ou de règles nationales, telles que les règles relatives au secret des affaires, ne peuvent faire l'objet d'un échange avec la Commission et d'autres autorités concernées conformément à la présente directive que si cet échange est nécessaire à l'application de la présente directive. Les informations échangées se limitent à ce qui est nécessaire et proportionné à l'objectif de cet échange. L'échange d'informations préserve la confidentialité desdites informations ainsi que la sécurité et les intérêts commerciaux des entités critiques, tout en respectant la sécurité des États membres.
\n
5.
\n
La présente directive est sans préjudice de la responsabilité des États membres en matière de sauvegarde de la sécurité nationale et de la défense et de leur pouvoir de garantir d'autres fonctions essentielles de l'État, notamment celles qui ont pour objet d'assurer l'intégrité territoriale de l'État et le maintien de l'ordre public.
\n
6.
\n
La présente directive ne s'applique pas aux entités de l'administration publique qui exercent leurs activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l'application de la loi, y compris la détection des infractions pénales ainsi que les enquêtes et les poursuites en la matière.
\n
L 333/176 FR Journal officiel de l'Union européenne 27.12.2022 7. Les États membres peuvent décider que l'article 11 et les chapitres III, N et VI, en tout ou en partie, ne s'appliquent pas à certaines entités critiques qui exercent des activités dans les domaines de la sécurité nationale, de la sécurité publique, de la défense ou de l'application de la loi, y compris la détection des infractions pénales ainsi que les enquêtes et les poursuites en la matière, ou qui fournissent des services exclusivement aux entités de l'administration publique visées au paragraphe 6 du présent article.
\n
8.Les obligations prévues dans la présente directive n'impliquent pas la fourniture d'informations dont la divulgation serait contraire aux intérêts essentiels des États membres en matière de sécurité nationale, de sécurité publique ou de défense.
\n
La présente directive est sans préjudice du droit de l'Union relatif à la protection des données à caractère personnel, en 9. particulier le règlement (UE) 2016/679 du Parlement européen et du Conseil (\") et la directive 2002/58/CE du Parlement européen et du Conseil (\").
\n
Article 2Définitions
\n
Aux fins de la présente directive, on entend par:
\n
1)«entité critique», une entité publique ou privée qui a été désignée par un État membre conformément à l'article 6 comme appartenant à l'une des catégories qui figurent dans la troisième colonne du tableau de l'annexe;
\n
2)«résilience», la capacité d'une entité critique à prévenir tout incident, à s'en protéger, à y réagir, à y résister, à l'atténuer, à l'absorber, à s'y adapter et à s'en rétablir;
\n
3)«incident», un événement qui perturbe ou est susceptible de perturber de manière importante la fourniture d'un service essentiel, y compris lorsqu'il affecte les systèmes nationaux qui préservent l'état de droit;
\n
4)«infrastructure critique», un bien, une installation, un équipement, un réseau ou un système, ou une partie d'un bien, d'une installation, d'un équipement, d'un réseau ou d'un système, qui est nécessaire à la fourniture d'un service essentiel;
\n
5)«service essentiel», un service qui est crucial pour le maintien de fonctions sociétales ou d'activités économiques vitales, de la santé publique et de la sûreté publique, ou de l'environnement;
\n
6)«risque», le potentiel de perte ou de perturbation causé par un incident, à exprimer comme la combinaison de l'ampleur de cette perte ou de cette perturbation et la probabilité que l'incident se produise;
\n
7)«évaluation des risques», l'ensemble du processus permettant de déterminer la nature et l'étendue d'un risque en déterminant et en analysant les menaces, les vulnérabilités et les dangers potentiels pertinents qui pourraient conduire à un incident et en évaluant la perte ou la perturbation potentielle de la fourniture d'un service essentiel causée par cet incident;
\n
8)«norme», une norme au sens de l'article 2, point 1), du règlement (UE) n° 1025/2012 du Parlement européen et du Conseil (\"); (\") Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (j0 L 119 du 4.5.2016, p. 1). (\") Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) Q0 L 201 du 31.7.2002, p. 37). (\") Règlement (UE) n° 1025/2012 du Parlement européen et du Conseil du 25 octobre 2012 relatif à la normalisation européenne, modifiant les directives 89/686/CEE et 93/15/CEE du Conseil ainsi que les directives 94/9/CE, 94/25/CE, 95/16/CE, 97/23/CE, 98/34/CE, 2004/22/CE, 2007/23/CE, 2009/23/CE et 2009/105/CE du Parlement européen et du Conseil et abrogeant la décision 87/95/CEE du Conseil et la décision n° 1673/2006/CE du Parlement européen et du Conseil QO L 316 du 14.11.2012, p. 12).
\n
27.12.2022 FR journal officiel de l'Union européenne L 333/177
\n
9)«spécification technique», une spécification technique au sens de l'article 2, point 4), du règlement (UE) n° 1025/2012;
\n
10)«entité de l'administration publique», une entité reconnue comme telle dans un État membre conformément au droit national, à l'exclusion de l'organisation judiciaire, des parlements et des banques centrales, qui satisfait aux critères suivants:
\n
a)elle a été créée pour satisfaire des besoins d'intérêt général et n'a pas de caractère industriel ou commercial;
\n
b)elle est dotée de la personnalité juridique ou est juridiquement habilitée à agir pour le compte d'une autre entité dotée de la personnalité juridique;
\n
c)elle est financée majoritairement par les autorités de l'État ou d'autres organismes de droit public de niveau central, ou sa gestion est soumise à un contrôle de la part de ces autorités ou organismes, ou son organe d'administration, de direction ou de surveillance est composé, pour plus de la moitié, de membres désignés par les autorités de l'État ou d'autres organismes de droit public de niveau central;
\n
d)elle a le pouvoir d'adresser à des personnes physiques ou morales des décisions administratives ou réglementaires affectant leurs droits en matière de mouvements transfrontières des personnes, des biens, des services ou des capitaux.
\n
Article 3Harmonisation minimale
\n
La présente directive ne fait pas obstacle à l'adoption ou au maintien par les États membres de dispositions de droit national afin d'atteindre un niveau plus élevé de résilience des entités critiques, à condition que ces dispositions soient compatibles avec les obligations des États membres prévues par le droit de l'Union.
\n
CHAPITRE!!
\n
CADRES NATIONAUX POUR LA RÉSII1ENCE DES ENTITÉS CRITIQUES
\n
Article 4Stratégie pour la résilience des entités critiques
\n
1.À la suite d'une consultation qui est, dans la mesure du possible en pratique, ouverte aux parties prenantes concernées, chaque État membre adopte, au plus tard le 17 janvier 2026, une stratégie visant à renforcer la résilience des entités critiques (ci-après dénommée «stratégie»). La stratégie définit des objectifs stratégiques et des mesures politiques, en s'appuyant sur des stratégies nationales et sectorielles, des plans ou des documents similaires pertinents existants, en vue d'atteindre et de maintenir un niveau élevé de résilience des entités critiques et de couvrir au moins les secteurs figurant à l'annexe.
\n
2.
\n
Chaque stratégie contient au moins les éléments suivants:
\n
a)les objectifs stratégiques et les priorités aux fins de renforcer la résilience globale des entités critiques, compte tenu des dépendances et des interdépendances transfrontières et transsectorielles;
\n
b)un cadre de gouvernance permettant d'atteindre les objectifs stratégiques et les priorités, y compris une description des rôles et des responsabilités des différentes autorités, entités critiques et autres parties participant à la mise en œuvre de la stratégie;
\n
c)une description des mesures nécessaires pour renforcer la résilience globale des entités critiques, y compris une description de l'évaluation des risques visée à l'article 5;
\n
d)une description du processus par lequel les entités critiques sont recensées;
\n
L 333/178 FR Journal officiel de l'Union européenne 27.12.2022
\n
e)une description du processus de soutien aux entités critiques conformément au présent chapitre, y compris les mesures visant à renforcer la coopération entre le secteur public, d'une part, et le secteur privé et les entités publiques et privées, d'autre part;
\n
f)une liste des principales autorités et parties prenantes concernées, autres que les entités critiques, participant à la mise en œuvre de la stratégie; un cadre d'action pour la coordination entre les autorités compétentes en vertu de la présente directive (ci-après dénommées «autorités compétentes») et les autorités compétentes en vertu de la directive (UE) 2022/2555 aux fins du partage d'informations sur les risques, menaces et incidents en matière de cybersécurité ainsi que sur les risques, menaces et incidents non liés à la cybersécurité, et de l'exercice des tâches de supervision;
\n
h)une description des mesures déjà en place visant à faciliter la mise en œuvre des obligations prévues au chapitre III de la présente directive par les petites et moyennes entreprises au sens de l'annexe de la recommandation 2003/361/CE de la Commission (31) que les Etats membres concernés ont recensées en tant qu'entités critiques.
\n
À la suite d'une consultation qui est, dans la mesure du possible en pratique, ouverte aux parties prenantes concernées, les États membres mettent à jour leur stratégie au moins tous les quatre ans.
\n
Les États membres communiquent leur stratégie et leurs mises à jour substantielles à la Commission dans un délai de 3. trois mois à compter de leur adoption.
\n
Article 5Évaluation des risques par les États membres
\n
1.La Commission est habilitée à adopter un acte délégué, conformément à l'article 23, au plus tard le 17 novembre 2023, afin de compléter la présente directive en établissant une liste non exhaustive de services essentiels dans les secteurs et les sous-secteurs figurant à l'annexe. Les autorités compétentes utilisent ladite liste des services essentiels pour effectuer une évaluation des risques (ci-après dénommée «évaluation des risques d'État membre») au plus tard le 17 janvier 2026, puis selon les besoins, et au moins tous les quatre ans. Les autorités compétentes utilisent les évaluations des risques d'États membres aux fins de recenser les entités critiques conformément à l'article 6 et pour aider les entités critiques à adopter des mesures en vertu de l'article 13.
\n
Les évaluations des risques d'États membres rendent compte des risques naturels et d'origine humaine pertinents, y compris ceux qui revêtent un caractère transsectoriel ou transfrontière, des accidents, des catastrophes naturelles, des urgences de santé publique et des menaces hybrides ou autres menaces antagonistes, lesquelles comprennent les infractions terroristes prévues par la directive (UE) 2017/541 du Parlement européen et du Conseil (\").
\n
2.Lorsqu'ils procèdent à des évaluations des risques d'États membres, les États membres tiennent compte au moins des éléments suivants:
\n
a)l'évaluation des risques générale effectuée en vertu de l'article 6, paragraphe 1, de la décision n° 1313/2013/13E;
\n
b)d'autres évaluations des risques pertinentes effectuées conformément aux exigences des actes juridiques sectoriels pertinents de l'Union, y compris les règlements (UE) 2017/1938 (\") et (UE) 2019/941() du Parlement européen et du Conseil, ainsi que les directives 2007/60/CE (\") et 2012/18/UE (\") du Parlement européen et du Conseil;
\n
(31)Recommandation 2003/361/CE de la Commission du 6 mai 2003 concernant la définition des micro, petites et moyennes entreprises (JO L 124 du 20.5.2003, p. 36).
\n
(32)Directive (UE) 2017/541 du Parlement européen et du Conseil du 15 mars 2017 relative à la lutte contre le terrorisme et remplaçant la décision-cadre 2002/4750AI du Conseil et modifiant la décision 2005/6710AI du Conseil go L 88 du 31.3.2017, p. 6).
\n
(33)Règlement (UE) 2017/1938 du Parlement européen et du Conseil du 25 octobre 2017 concernant des mesures visant à garantir la sécurité de l'approvisionnement en gaz naturel et abrogeant le règlement (UE) n° 994/2010 go L 280 du 28.10.2017, p. 1).
\n
(34)Règlement (UE) 2019/941 du Parlement européen et du Conseil du 5 juin 2019 sur la préparation aux risques dans le secteur de l'électricité et abrogeant la directive 2005/89/CE (I0 L 158 du 14.6.2019, p. 1).
\n
(31)Directive 2007/60/CE du Parlement européen et du Conseil du 23 octobre 2007 relative à l'évaluation et à la gestion des risques d'inondation go L 288 du 6.11.2007, p. 27).
\n
(36)Directive 2012/18/LTE du Parlement européen et du Conseil du 4 juillet 2012 concernant la maîtrise des dangers liés aux accidents majeurs impliquant des substances dangereuses, modifiant puis abrogeant la directive 96/82/CE du Conseil 00 L 197 du 24.7.2012, p. 1).
\n
27.12.2022 FR Journal officiel de l'Union européenne L 333/179
\n
c)les risques pertinents découlant de la mesure dans laquelle les secteurs figurant à l'annexe dépendent les uns des autres, y compris de la mesure dans laquelle ils dépendent d'entités situées dans d'autres États membres et des pays tiers, et l'incidence qu'une perturbation importante dans un secteur peut avoir sur d'autres secteurs, y compris tout risque importante pour les citoyens et le marché intérieur,
\n
d)toute information sur les incidents notifiés conformément à l'article 15.
\n
Aux fins du premier alinéa, point c), les États membres coopèrent avec les autorités compétentes d'autres États membres et les autorités compétentes de pays tiers, s'il y a lieu.
\n
3.Les États membres mettent à la disposition des entités critiques qu'ils ont recensées conformément à l'article 6, s'il y a lieu par l'intermédiaire de leur point de contact unique, les éléments pertinents des évaluations des risques d'États membres.
\n
Les États membres veillent à ce que les informations fournies aux entités critiques aident ces dernières à réaliser leurs évaluations des risques en vertu de l'article 12, et à adopter des mesures pour garantir leur résilience en vertu de l'article 13.
\n
4.Dans un délai de trois mois à compter de la réalisation d'une évaluation des risques d'État membre, l'État membre fournit à la Commission des informations pertinentes sur les types de risques recensés suivant cette évaluation des risques d'État membre et les résultats de l'évaluation des risques d'État membre, par secteur et sous-secteur figurant à l'annexe.
\n
5.La Commission, en coopération avec les États membres, élabore un modèle commun facultatif de rapport aux fins du respect du paragraphe 4.
\n
Article 6Recensement des entités critiques
\n
1.Au plus tard le 17 juillet 2026, chaque État membre recense les entités critiques pour les secteurs et sous-secteurs figurant à l'annexe.
\n
2.Lorsqu'un État membre recense les entités critiques en vertu du paragraphe 1, il tient compte des résultats de son