Artykuł 1

1. Niniejsze rozporządzenie ma zastosowanie do cyberataków wywołujących poważne skutki – w tym do usiłowania przeprowadzenia cyberataków mogących wywoływać poważne skutki – które to ataki stanowią zewnętrzne zagrożenie dla Unii lub jej państw członkowskich.

2. Cyberataki stanowiące zewnętrzne zagrożenie obejmują cyberataki, które:

a) zostały przygotowane poza terytorium Unii lub są przeprowadzane spoza terytorium Unii;

b) wykorzystują infrastrukturę znajdującą się poza terytorium Unii;

c) są przeprowadzane przez osobę fizyczną lub prawną, podmiot lub organ, które mają siedzibę lub prowadzą działalność poza terytorium Unii; lub

d) są przeprowadzane przy wsparciu, na zlecenie lub pod kontrolą osoby fizycznej lub prawnej, podmiotu lub organu, które prowadzą działalność poza terytorium Unii.

3. W związku z powyższym cyberataki są działaniami obejmującymi co najmniej jeden z następujących elementów:

a) dostęp do systemów informacyjnych;

b) ingerencja w systemy informacyjne;

c) ingerencja w dane; lub

d) przechwytywanie danych,

i przy założeniu że działania takie nie są prowadzone na podstawie należytego upoważnienia wydanego przez właściciela lub inny podmiot mający prawa do systemu lub danych lub ich części lub nie są dozwolone na mocy prawa Unii lub danego państwa członkowskiego.

4. Cyberataki stanowiące zagrożenie dla państw członkowskich obejmują cyberataki na systemy informacyjne związane, między innymi, z:

a) infrastrukturą krytyczną – w tym podmorskie kable i obiekty wystrzelone w przestrzeń kosmiczną – która jest niezbędna do utrzymania podstawowych funkcji społecznych lub zdrowia, bezpieczeństwa, ochrony i dobrobytu materialnego lub społecznego ludności;

b) usługami niezbędnymi do utrzymania podstawowej działalności społecznej lub gospodarczej, w szczególności w sektorze energii (energii elektrycznej, ropy naftowej i gazu), transportu (lotniczego, kolejowego, wodnego i drogowego), bankowości, infrastruktury rynków finansowych, zdrowia (ośrodki opieki zdrowotnej, szpitale i prywatne kliniki), zaopatrzenia w wodę pitną i jej dystrybucji, infrastruktury cyfrowej, oraz w każdym innym sektorze, który ma podstawowe znaczenie dla danego państwa członkowskiego;

c) krytycznymi funkcjami państwa, w szczególności w obszarze obrony, zarządzania instytucjami i ich funkcjonowania, w tym wyborów państwowych lub procesu głosowania, funkcjonowania infrastruktury gospodarczej i cywilnej, bezpieczeństwa wewnętrznego i stosunków zewnętrznych, w tym za pośrednictwem misji dyplomatycznych;

d) przechowywaniem lub przetwarzaniem informacji niejawnych; lub

e) rządowymi zespołami reagowania kryzysowego.

5. Cyberataki stanowiące zagrożenie dla Unii obejmują cyberataki przeprowadzane przeciwko jej instytucjom, organom i jednostkom organizacyjnym, jej delegaturom w państwach trzecich lub w organizacjach międzynarodowych, jej operacjom i misjom w dziedzinie wspólnej polityki bezpieczeństwa i obrony (WPBiO) oraz jej specjalnym przedstawicielom.

6. Jeżeli uznaje się to za konieczne do osiągnięcia celów wspólnej polityki zagranicznej i bezpieczeństwa (WPZiB) określonych w odpowiednich postanowieniach art. 21 Traktatu o Unii Europejskiej, środki ograniczające na mocy niniejszego rozporządzenia można również stosować w odpowiedzi na wywołujące poważne skutki cyberataki wymierzone przeciwko państwom trzecim lub organizacjom międzynarodowym.

7. Do celów niniejszego rozporządzenia stosuje się następujące definicje:

a) „systemy informacyjne” oznaczają urządzenie lub grupę wzajemnie połączonych lub powiązanych ze sobą urządzeń, z których przynajmniej jedno, zgodnie z programem, dokonuje automatycznego przetwarzania danych cyfrowych, jak również danych cyfrowych przechowywanych, przetwarzanych, wyszukiwanych lub przekazywanych przez to urządzenie lub tę grupę urządzeń, w celach eksploatacji, użycia, ochrony lub utrzymania tego urządzenia lub tej grupy urządzeń;

b) „ingerencja w system informacyjny” oznacza utrudnienie lub przerwanie funkcjonowania systemu informacyjnego przez wprowadzenie danych cyfrowych, przekazanie takich danych, ich uszkodzenie, usunięcie, pogorszenie ich jakości, ich zmianę lub wyeliminowanie bądź przez uczynienie ich niedostępnymi;

c) „ingerencja w dane” oznacza usunięcie, uszkodzenie, pogorszenie jakości, zmianę lub wyeliminowanie danych cyfrowych w systemie informacyjnym, bądź uczynienie ich niedostępnymi. Obejmuje również kradzież danych, środków finansowych, zasobów gospodarczych lub praw własności intelektualnej;

d) „przechwycenie danych” oznacza przechwycenie, za pomocą środków technicznych, niepublicznych przekazów danych cyfrowych do systemu informacyjnego, z systemu informacyjnego lub w ramach takiego systemu, w tym emisji elektromagnetycznych z systemu informacyjnego zawierających takie dane cyfrowe.

8. Do celów niniejszego rozporządzenia stosuje się następujące dodatkowe definicje:

a) „roszczenie” oznacza dowolne roszczenie, niezależnie od tego, czy jest dochodzone w postępowaniu sądowym, zgłoszone przed dniem wejścia w życie niniejszego rozporządzenia lub po tym dniu, wynikające z umowy lub transakcji lub pozostające w związku z umową lub transakcją, w szczególności obejmujące:

(i) roszczenie o wykonanie zobowiązania wynikającego z umowy lub transakcji lub pozostającego w związku z umową lub transakcją;

(ii) roszczenie o przedłużenie terminu płatności lub spłatę obligacji, gwarancji finansowej lub zabezpieczenia w jakiejkolwiek formie;

(iii) roszczenie o odszkodowanie z tytułu umowy lub transakcji;

(iv) powództwo wzajemne;

(v) roszczenie uznania lub wykonania, łącznie z uznaniem na podstawie procedury exequatur, wyroku, orzeczenia arbitrażowego lub równoważnej decyzji, niezależnie od miejsca ich wydania;

b) „umowa lub transakcja” oznacza dowolną transakcję, niezależnie od jej formy i mającego zastosowanie prawa, obejmującą jedną lub kilka umów lub podobnych zobowiązań zawartych przez te same lub różne strony; do celów niniejszej definicji „umowa” obejmuje obligacje, gwarancje lub zabezpieczenia, w szczególności gwarancje finansowe lub finansowe listy gwarancyjne, oraz kredyty, prawnie niezależne lub nie, a także wszelkie postanowienia z nimi związane, których źródłem jest taka transakcja lub które są z nią związane;

c) „właściwe organy” oznaczają właściwe organy państw członkowskich wskazane na stronach internetowych wymienionych w załączniku II;

d) „zasoby gospodarcze” oznaczają aktywa wszelkiego rodzaju, rzeczowe i niematerialne, ruchome i nieruchome, które nie są środkami pieniężnymi, ale mogą być użyte do pozyskania środków pieniężnych, towarów lub usług;

e) „zamrożenie zasobów gospodarczych” oznacza uniemożliwienie wykorzystania zasobów gospodarczych do uzyskiwania środków pieniężnych, towarów lub usług w jakikolwiek sposób, między innymi przez ich sprzedaż, wynajem lub obciążenie hipoteką;

f) „zamrożenie środków pieniężnych” oznacza zapobieganie wszelkim ruchom tych środków, ich przenoszeniu, zmianom, wykorzystaniu, udostępnianiu lub dokonywaniu nimi transakcji w jakikolwiek sposób, który powodowałby jakąkolwiek zmianę ich wielkości, wartości, lokalizacji, własności, posiadania, charakteru lub przeznaczenia lub każdą inną zmianę, która umożliwiłaby korzystanie z nich, w tym zarządzanie portfelem;

g) „środki pieniężne” oznaczają aktywa finansowe i wszelkiego rodzaju korzyści, między innymi:

(i) gotówkę, czeki, roszczenia pieniężne, polecenia zapłaty, przekazy pieniężne i inne instrumenty płatnicze;

(ii) depozyty złożone w instytucjach finansowych lub innych podmiotach, salda na rachunkach, długi i zobowiązania dłużne;

(iii) papiery wartościowe i papiery dłużne w obrocie publicznym lub niepublicznym, w tym akcje i udziały, certyfikaty papierów wartościowych, obligacje, weksle, warranty, skrypty dłużne, kontrakty na instrumenty pochodne;

(iv) odsetki, dywidendy lub inne przychody z aktywów oraz wartości narosłe z aktywów lub wytwarzane przez aktywa;

(v) kredyty, tytuły do przeprowadzania kompensat, gwarancje, gwarancje należytego wykonania umów lub inne zobowiązania finansowe;

(vi) akredytywy, konosamenty oraz umowy sprzedaży; oraz

(vii) dokumenty poświadczające udział w środkach pieniężnych lub zasobach finansowych;

h) „terytorium Unii” oznacza terytoria państw członkowskich, do których ma zastosowanie Traktat, na warunkach określonych w Traktacie, w tym ich przestrzeń powietrzną.