prawo
dyrektywa CER
Dyrektywa UE o odporności podmiotów krytycznych: ryzyko fizyczne, operacyjne i ludzkie u operatorów wskazanych przez państwo członkowskie. Identyfikacja miała nastąpić do 17 lipca 2026 r., a obowiązki biegną od powiadomienia, które dostaje każdy podmiot.
w skrócie
- czym jest
- Dyrektywa (UE) 2022/2557 w sprawie odporności podmiotów krytycznych. Jako dyrektywa dociera do Ciebie przez prawo krajowe. Dotyczy ryzyka fizycznego, operacyjnego i ludzkiego dla usług kluczowych.
- kogo dotyczy
- Podmiotów, które państwo członkowskie zidentyfikuje jako krytyczne w sektorach z załącznika. Sama wielkość nikogo nie obejmuje: decyduje państwo i powiadamia podmiot.
- próg wielkości
- Brak. Podmiot zidentyfikowany jako krytyczny podlega też NIS2, bez względu na wielkość.
- górne granice kar
- Brak kwoty w prawie UE. Każde państwo członkowskie ustala sankcje skuteczne, proporcjonalne i odstraszające.
- terminy
- 17 października 2024 r. prawo krajowe. 17 lipca 2026 r. identyfikacja. Potem, licząc od powiadomienia: ocena ryzyka w ciągu 9 miesięcy, obowiązki w zakresie odporności po 10 miesiącach.
- stan
- W mocy od 16 stycznia 2023 r. Od 18 października 2024 r. zastąpiła dyrektywę z 2008 r. o europejskiej infrastrukturze krytycznej.
podstawa CER art. 2(1), 6(1), 6(3), 12(1), 22, 26(1), 27, 28; NIS2 art. 2(3)
czy Cię dotyczy?
Kilka pytań, z odpowiedziami w przeglądarce, wskazuje, które przepisy są Twoje. Nic nie jest nigdzie wysyłane.
znajdź moje przepisyczy jesteś podmiotem krytycznym w rozumieniu CER?
- Czy Twoja działalność należy do kategorii podmiotów z załącznika do CER?taknieNie jesteś podmiotem krytycznym. Możesz jednak być dostawcą takiego podmiotu, a NIS2 może Cię obejmować.
- Czy państwo członkowskie powiadomiło Cię, że zidentyfikowało Cię jako podmiot krytyczny?taknieNa razie brak obowiązków z CER. Państwo przegląda swój wykaz co najmniej co cztery lata.
- Czy działasz w bankowości, infrastrukturze rynków finansowych albo infrastrukturze cyfrowej?nietakObowiązki CER w zakresie odporności Cię nie dotyczą. Prawo krajowe może jednak coś dodać.
- Ocena ryzyka w ciągu 9 miesięcy od powiadomienia, obowiązki w zakresie odporności 10 miesięcy po nim. Obejmuje Cię też NIS2, bez względu na wielkość.
podstawa CER art. 2(1), 6(3), 6(5), 8, 12(1); NIS2 art. 2(3)
terminy CER i ten, od którego liczysz swoje obowiązki
- 116 stycznia 2023 dyrektywa wchodzi w życie
- 217 października 2024 termin wdrożenia do prawa krajowego
- 317 stycznia 2026 termin na krajową strategię i ocenę ryzyka państwa
- 417 lipca 2026 państwa identyfikują podmioty krytyczne
podstawa CER art. 4(1), 5(1), 6(1), 6(3), 12(1), 26(1), 28
cała praca, po kolei
Fazy, z właścicielem każdego kroku i dowodem, który zostaje. Otwórz fazę, żeby zobaczyć jej kroki.
- potwierdź swój status i terminy
Wiedzieć, czy jesteś podmiotem krytycznym, które obowiązki Cię dotyczą i od kiedy oraz kto Cię reprezentuje wobec organu.
- oceń ryzyko dla swoich usług kluczowych
Mieć ocenę ryzyka podmiotu krytycznego, która obejmuje wszystkie zagrożenia i zależności, wykonaną w terminie i aktualną.
- wprowadź środki w zakresie odporności
Wprowadzić odpowiednie i proporcjonalne środki w każdym obszarze wymienionym w dyrektywie i opisać je w planie zwiększania odporności.
- przygotuj się do zgłoszenia incydentu
Wysłać zgłoszenie wstępne w ciągu 24 godzin i szczegółowe sprawozdanie w terminie oraz nie mylić zgłoszeń z CER i z NIS2.
- bądź gotowy na nadzór i przenieś obowiązki na dostawców
Trzymać dowody, które inspektor może sprawdzić, przeglądać je cyklicznie i uzgodnić z dostawcami to, czego wymaga od Ciebie dyrektywa.
terminy
Co od kiedy obowiązuje. Odwołanie stoi pod każdą datą.
- 16 stycznia 2023dyrektywa CER wchodzi w życieCER art. 28obowiązuje
- 17 października 2024termin na wdrożenie CER do prawa krajowego i powiadomienie Komisji o przepisach o sankcjachCER art. 22, 26(1)obowiązuje
- 17 stycznia 2026termin na krajową strategię odporności i ocenę ryzyka państwa członkowskiegoCER art. 4(1), 5(1)obowiązuje
- 17 lipca 2026termin na zidentyfikowanie podmiotów krytycznych; każdy dostaje powiadomienie w ciągu miesiąca, ocena ryzyka jest wymagana w ciągu 9 miesięcy, a obowiązki w zakresie odporności stosuje się 10 miesięcy po nimCER art. 6(1), 6(3), 12(1)obowiązuje
górne granice kar
Górne granice, które ustala każdy tekst. Odwołanie stoi pod każdą.
- CERbrak kwoty w prawie UE; sankcje ustalają państwa członkowskieCER art. 22
Sankcje muszą być skuteczne, proporcjonalne i odstraszające. Sprawdź je w ustawie krajowej.
czego wymaga i czym to spełnić
Przepis opisuje, co ma być prawdą w firmie. Nie wskazuje narzędzi ani metod: wybierasz je Ty, a za wybór odpowiadają wdrażający i zarząd. Pod każdym wymaganiem stoją zabezpieczenia, którymi najczęściej się je spełnia. To nasze odczytanie przepisu, nie lista z aktu.
pełny przewodnik
Pełne wyjaśnienie, sekcja po sekcji, ze źródłami.
twój następny krok
Nie wiesz, które z nich Cię obejmują? Kilka pytań to rozstrzygnie.