Artykuł 6

1. Do dnia 17 lipca 2026 r. każde państwo członkowskie identyfikuje podmioty krytyczne dla sektorów i podsektorów określonych w załączniku.

2. Identyfikując podmioty krytyczne zgodnie z ust. 1, państwo członkowskie bierze pod uwagę wyniki swojej oceny ryzyka państwa członkowskiego i strategię oraz stosuje wszystkie następujące kryteria:

a) podmiot świadczy co najmniej jedną usługę kluczową;

b) podmiot prowadzi działalność na terytorium tego państwa członkowskiego i jego infrastruktura krytyczna znajduje się na terytorium tego państwa członkowskiego; oraz

c) ustalono, zgodnie z art. 7 ust. 1, że incydent miałby istotne skutki zakłócające dla świadczenia przez podmiot co najmniej jednej usługi kluczowej lub dla świadczenia innych usług kluczowych w sektorach określonych w załączniku, które zależą od tej usługi kluczowej lub tych usług kluczowych.

3. Każde państwo członkowskie sporządza wykaz zidentyfikowanych podmiotów krytycznych zgodnie z ust. 2 i zapewnia, aby te podmioty krytyczne były powiadamiane o tym zidentyfikowaniu w terminie jednego miesiąca od jego dokonania. Państwa członkowskie informują te podmioty krytyczne o ich obowiązkach przewidzianych w rozdziałach III i IV oraz o dacie, począwszy od której obowiązki te mają do nich zastosowanie, bez uszczerbku dla art. 8. Państwa członkowskie informują podmioty krytyczne w sektorach określonych w pkt 3, 4 i 8 tabeli w załączniku, że nie spoczywają na nich obowiązki przewidziane w rozdziałach III i IV, chyba że środki krajowe stanowią inaczej.

W przypadku odnośnych podmiotów krytycznych rozdział III stosuje się po 10 miesiącach od daty powiadomienia, o którym mowa w akapicie pierwszym niniejszego ustępu.

4. Państwa członkowskie zapewniają, aby ich właściwe organy na podstawie niniejszej dyrektywy przekazywały właściwym organom na podstawie dyrektywy (UE) 2022/2555 dane identyfikacyjne podmiotów krytycznych, które państwa te zidentyfikowały na podstawie niniejszego artykułu, w terminie jednego miesiąca od takiego zidentyfikowania. W stosownych przypadkach powiadomienie to zawiera informację, że odnośne podmioty krytyczne to podmioty z sektorów określonych w pkt 3, 4 i 8 tabeli w załączniku do niniejszej dyrektywy i że nie spoczywają na nich obowiązki przewidziane w rozdziałach III i IV niniejszej dyrektywy.

5. W razie potrzeby, a w każdym przypadku co najmniej co cztery lata państwa członkowskie dokonują przeglądu wykazu zidentyfikowanych podmiotów krytycznych, o którym mowa w ust. 3, oraz, w stosownych przypadkach, aktualizują go. Jeżeli takie aktualizacje prowadzą do zidentyfikowania dodatkowych podmiotów krytycznych, w odniesieniu do tych dodatkowych podmiotów krytycznych stosuje się ust. 3 i 4. Ponadto państwa członkowskie zapewniają, aby podmioty, które wskutek takiej aktualizacji nie są już zidentyfikowane jako podmioty krytyczne, zostały w odpowiednim terminie powiadomione o tym fakcie oraz o facie, że od dnia otrzymania takiego powiadomienia nie podlegają już obowiązkom określonym w rozdziale III.

6. Komisja we współpracy z państwami członkowskimi opracowuje zalecenia i niewiążące wytyczne, aby wesprzeć państwa członkowskie w identyfikowaniu podmiotów krytycznych.