Artykuł 5

1. Komisja jest uprawniona do przyjęcia aktu delegowanego zgodnie z art. 23 do dnia 17 listopada 2023 r. w celu uzupełnienia niniejszej dyrektywy przez ustanowienie niewyczerpującego wykazu usług kluczowych w sektorach i podsektorach, określonych w załączniku. Właściwe organy wykorzystują ten wykaz usług kluczowych do celu przeprowadzenia oceny ryzyka (zwanej dalej „oceną ryzyka państwa członkowskiego”) do dnia 17 stycznia 2026 r., a następnie w razie potrzeby, co najmniej raz na cztery lata. Właściwe organy wykorzystują oceny ryzyka państw członkowskich do celów identyfikacji podmiotów krytycznych zgodnie z art. 6 i udzielania pomocy tym podmiotom krytycznym we wprowadzaniu środków zgodnie z art. 13.

Oceny ryzyka państw członkowskich muszą uwzględniać istotne czynniki ryzyka, naturalne i spowodowane przez człowieka, w tym zagrożenia mające charakter międzysektorowy i transgraniczny, wypadki, klęski żywiołowe, stany zagrożenia zdrowia publicznego i zagrożenia hybrydowe lub inne zagrożenia związane z konfliktem, w tym przestępstwa terrorystyczne przewidziane w dyrektywie Parlamentu Europejskiego i Rady (UE) 2017/541 (32).

2. Przeprowadzając oceny ryzyka państw członkowskich, państwa członkowskie biorą pod uwagę co najmniej:

a) ogólną ocenę ryzyka przeprowadzoną na podstawie art. 6 ust. 1 decyzji nr 1313/2013/UE;

b) inne istotne oceny ryzyka przeprowadzone zgodnie z wymogami właściwych sektorowych aktów prawnych Unii, w tym rozporządzeń Parlamentu Europejskiego i Rady (UE) 2017/1938 (33) i (UE) 2019/941 (34) oraz dyrektyw Parlamentu Europejskiego i Rady 2007/60/WE (35) i 2012/18/UE (36);

c) istotne ryzyka wynikające ze stopnia wzajemnej zależności między sektorami określonymi w załączniku, w tym od stopnia ich zależności od podmiotów znajdujących się w innych państwach członkowskich i państwach trzecich, oraz wpływ, jaki znaczące zakłócenie w jednym sektorze może mieć na inne sektory, w tym wszelkie istotne czynniki ryzyka dla obywateli i rynku wewnętrznego;

d) wszelkie informacje na temat incydentów zgłoszonych zgodnie z art. 15.

Do celów akapitu pierwszego lit. c) państwa członkowskie współpracują w stosownych przypadkach z właściwymi organami innych państw członkowskich i właściwymi organami państw trzecich.

3. Państwa członkowskie udostępniają, w stosownych przypadkach za pośrednictwem swoich pojedynczych punktów kontaktowych, odpowiednie elementy ocen ryzyka państw członkowskich podmiotom krytycznym, które zostały przez nie zidentyfikowane zgodnie z art. 6. Państwa członkowskie zapewniają, aby informacje przekazane podmiotom krytycznym pomagały im w przeprowadzaniu ich własnych ocen ryzyka, zgodnie z art. 12, oraz we wprowadzaniu środków służących zapewnieniu ich odporności, zgodnie z art. 13.

4. W terminie trzech miesięcy od przeprowadzenia oceny ryzyka państwa członkowskiego dane państwo członkowskie przekazuje Komisji odpowiednie informacje dotyczące rodzajów ryzyka stwierdzonych na podstawie oceny ryzyka państwa członkowskiego oraz wyników tej oceny w odniesieniu do poszczególnych sektorów i podsektorów określonych w załączniku.

5. Komisja – we współpracy z państwami członkowskimi – opracowuje dobrowolny wspólny formularz sprawozdawczy do celów wykonania ust. 4.