art. 4

Artykuł 4 Strategia w zakresie odporności podmiotów krytycznych 1.   Po przeprowadzeniu konsultacji otwartych – w zakresie, w jakim jest to praktycznie możliwe – dla odpowiednich zainteresowanych stron każde państwo członkowskie przyjmuje w terminie do dnia 17 stycznia 2026 r. strategię mającą na celu zwiększenie odporności podmiotów krytycznych (zwaną dalej „strategią”). W strategii określa się, w oparciu o odpowiednie istniejące strategie krajowe i sektorowe, plany lub podobne dokumenty, cele strategiczne i środki polityczne służące osiągnięciu i utrzymaniu wysokiego poziomu odporności po stronie podmiotów krytycznych oraz obejmujące co najmniej sektory określone w załączniku. 2.   Każda strategia zawiera co najmniej następujące elementy: a) cele strategiczne i priorytety służące zwiększeniu ogólnej odporności podmiotów krytycznych, biorąc pod uwagę transgraniczne i międzysektorowe zależności i współzależności; b) ramy zarządzania służące osiągnięciu celów strategicznych i priorytetów, w tym opis ról i obowiązków poszczególnych organów, podmiotów krytycznych i innych stron zaangażowanych we wdrażanie strategii; c) opis środków niezbędnych do zwiększenia ogólnej odporności podmiotów krytycznych, w tym opis oceny ryzyka, o której mowa w art. 5; d) opis procesu, w ramach którego identyfikuje się podmioty krytyczne; e) opis procesu wspierania podmiotów krytycznych zgodnie z niniejszym rozdziałem, w tym środków służących zacieśnieniu współpracy między sektorem publicznym, z jednej strony, a sektorem prywatnym oraz podmiotami publicznymi i prywatnymi, z drugiej strony; f) wykaz głównych organów i odpowiednich zainteresowanych stron, innych niż podmioty krytyczne, zaangażowanych we wdrażanie strategii; g) ramy polityczne umożliwiające koordynację między właściwymi organami na podstawie niniejszej dyrektywy (zwanymi dalej „właściwymi organami”) oraz właściwymi organami na podstawie dyrektywy (UE) 2022/2555 na potrzeby wymiany informacji na temat ryzyk w cyberprzestrzeni, cyberzagrożeń i cyberincydentów oraz ryzyk, zagrożeń i incydentów poza cyberprzestrzenią oraz wykonywania zadań nadzorczych; h) opis już wprowadzonych środków mających na celu ułatwienie wypełniania obowiązków wynikających z rozdziału III niniejszej dyrektywy przez małe i średnie przedsiębiorstwa w rozumieniu załącznika do zalecenia Komisji 2003/361/WE (31), które to przedsiębiorstwa dane państwo członkowskie zidentyfikowało jako podmioty krytyczne. Po przeprowadzeniu konsultacji otwartych – w zakresie w jakim jest to praktycznie możliwe – dla odpowiednich zainteresowanych stron państwa członkowskie aktualizują swoje strategie co najmniej raz na cztery lata. 3.   Państwa członkowskie przekazują Komisji swoje strategie i istotne aktualizacje tych strategii w terminie trzech miesięcy od ich przyjęcia.