Artykuł 4

1. W przypadku gdy na podstawie sektorowych aktów prawnych Unii wymaga się od podmiotów kluczowych lub ważnych przyjęcia środków zarządzania ryzykiem w cyberbezpieczeństwie lub zgłaszania poważnych incydentów i w przypadku gdy wymogi te są co najmniej równoważne pod względem skutku obowiązkom określonym w niniejszej dyrektywie, nie stosuje się do takich podmiotów odpowiednich przepisów niniejszej dyrektywy, w tym przepisów dotyczących nadzoru i egzekwowania przepisów określonych w rozdziale VII. Jeżeli sektorowe akty prawne Unii nie obejmują wszystkich podmiotów w konkretnym sektorze, objętych zakresem stosowania niniejszej dyrektywy, odpowiednie przepisy niniejszej dyrektywy nadal mają zastosowanie do podmiotów nieobjętych tymi sektorowymi aktami prawnymi Unii.

2. Wymogi, o których mowa w ust. 1 niniejszego artykułu, uznaje się za równoważne pod względem skutku obowiązkom określonym w niniejszej dyrektywie, jeżeli:

a) środki zarządzania ryzykiem w cyberbezpieczeństwie są co najmniej równoważne pod względem skutku środkom określonym w art. 21 ust. 1 i 2; lub

b) sektorowy akt prawny Unii przewiduje natychmiastowy dostęp CSIRT, właściwych organów lub pojedynczych punktów kontaktowych na mocy niniejszej dyrektywy do zgłoszeń incydentów – w stosownych przypadkach automatycznie i bezpośrednio, oraz w przypadkach, gdy wymogi dotyczące zgłaszania poważnych incydentów są co najmniej równoważne pod względem skutku wymogom określonym w art. 23 ust. 1–6 niniejszej dyrektywy.

3. Komisja do dnia 17 lipca 2023 r. podaje wytyczne wyjaśniające stosowanie ust. 1 i 2. Komisja regularnie dokonuje przeglądu tych wytycznych. Przygotowując te wytyczne, Komisja bierze pod uwagę uwagi Grupy Współpracy i ENISA.