Artykuł 3

1. Do celów niniejszej dyrektywy następujące podmioty uznaje się za podmioty kluczowe:

a) podmioty w rodzaju tych, o których mowa w załączniku I, przekraczające pułapy dla średnich przedsiębiorstw, określone w art. 2 ust. 1 załącznika do zalecenia 2003/361/WE;

b) kwalifikowanych dostawców usług zaufania i rejestry nazw domen najwyższego poziomu, a także dostawców usług DNS, niezależnie od ich wielkości;

c) dostawców publicznych sieci łączności elektronicznej lub dostawców publicznie dostępnych usług łączności elektronicznej, które kwalifikują się jako średnie przedsiębiorstwa na podstawie art. 2 załącznika do zalecenia 2003/361/WE;

d) podmioty administracji publicznej, o których mowa w art. 2 ust. 2 lit. f) ppkt (i);

e) inne podmioty w rodzaju tych, o których mowa w załączniku I lub II, które zostały wskazane przez państwo członkowskie jako podmioty kluczowe zgodnie z art. 2 ust. 2 lit. b)–e);

f) podmioty wskazane jako podmioty krytyczne na podstawie dyrektywy (UE) 2022/2557, o których mowa w art. 2 ust. 3 niniejszej dyrektywy;

g) jeżeli państwo członkowskie tak postanowi, podmioty, które to państwo członkowskie wskazało przed 16 stycznia 2023 r. jako operatorów usług kluczowych zgodnie z dyrektywą (UE) 2016/1148 lub prawem krajowym.

2. Do celów niniejszej dyrektywy podmioty w rodzaju tych, o których mowa w załączniku I lub II, które nie kwalifikują się jako podmioty kluczowe zgodnie z ust. 1 niniejszego artykułu, uznaje się za podmioty ważne. Odnosi się to również do podmiotów, które zostały wskazane przez państwa członkowskie jako podmioty ważne zgodnie z art. 2 ust. 2 lit. b)–e).

3. Do dnia 17 kwietnia 2025 r. państwa członkowskie ustanawiają wykaz podmiotów kluczowych i ważnych, a także podmiotów świadczących usługi rejestracji nazw domen. Państwa członkowskie regularnie, i nie rzadziej niż co dwa lata po wyżej wymienionej dacie, dokonują przeglądu i – w stosownych przypadkach – aktualizacji tego wykazu.

4. W celu ustanowienia wykazu, o którym mowa w ust. 3, państwa członkowskie wymagają od podmiotów, o których mowa w tym ustępie, przedłożenia właściwym organom co najmniej następujących informacji:

a) nazwy podmiotu;

b) adresu i aktualnych danych kontaktowych, w tym adresów poczty elektronicznej, zakresów adresów IP i numerów telefonów;

c) w stosownych przypadkach, odpowiedniego sektora i podsektora, o których mowa w załączniku I lub II; oraz

d) w stosownych przypadkach, wykazu państw członkowskich, w których świadczą one usługi objęte zakresem stosowania niniejszej dyrektywy.

Podmioty, o których mowa w ust. 3, niezwłocznie powiadamiają o zmianach danych przedłożonych zgodnie z akapitem pierwszym niniejszego ustępu, a w każdym razie w terminie dwóch tygodni od dnia, w którym nastąpiła zmiana.

Komisja, z pomocą Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), bez zbędnej zwłoki podaje wytyczne i wzory dokumentów związane z obowiązkami ustanowionymi w niniejszym ustępie.

Państwa członkowskie mogą ustanowić krajowe mechanizmy umożliwiające podmiotom samodzielną rejestrację.

5. Do dnia 17 kwietnia 2025 r., a następnie co dwa lata właściwe organy powiadamiają:

a) Komisję i Grupę Współpracy o liczbie podmiotów kluczowych i ważnych wymienionych w wykazie zgodnie z ust. 3 dla każdego sektora i podsektora, o których mowa w załączniku I lub II; oraz

b) Komisję o istotnych informacjach na temat liczby podmiotów kluczowych i ważnych wskazanych na podstawie art. 2 ust. 2 lit. b)–e), sektora i podsektora, o których mowa w załączniku I lub II i do których podmioty te należą, rodzaju świadczonej przez nie usługi oraz przepisu spośród tych ustanowionych na podstawie art. 2 ust. 2 lit. b)–e), na podstawie którego zostały one wskazane.

6. Do dnia 17 kwietnia 2025 r. i na wniosek Komisji państwa członkowskie mogą zgłaszać Komisji nazwy podmiotów kluczowych i ważnych, o których mowa w ust. 5 lit. b).