Критически важные организации: кого страны ЕС должны выбрать к 17 июля

К 17 июля государства Евросоюза должны определить организации, остановка которых способна серьёзно нарушить предоставление жизненно важных услуг, следует из директивы ЕС об устойчивости критических субъектов — CER. Речь идёт не только об энергетике и транспорте, но и о здравоохранении, водоснабжении, государственных службах, цифровой инфраструктуре, космических системах и продовольствии.

Официальный термин директивы — «критические субъекты». Ими могут быть государственные или частные организации, от которых зависит сохранение жизненно важных общественных функций, экономической деятельности, здоровья и безопасности населения или окружающей среды.

Единого общеевропейского перечня таких организаций не существует. Евросоюз установил общие секторы и критерии отбора, однако конкретные списки формируют власти каждой страны.

Какие организации могут признать критическими

Директива CER распространяется на 11 секторов: энергетику, транспорт, банковскую сферу, инфраструктуру финансового рынка, здравоохранение, питьевое водоснабжение, сточные воды, цифровую инфраструктуру, государственное управление, космос, а также производство, переработку и дистрибуцию продовольствия.

Однако принадлежность к одному из этих секторов сама по себе не означает, что компания или учреждение получит критический статус. Организация должна предоставлять жизненно важную услугу, работать на территории соответствующей страны ЕС и использовать расположенную там инфраструктуру. Кроме того, её остановка должна привести к значительным последствиям для самой услуги или других зависящих от неё отраслей.

При оценке возможного ущерба власти учитывают число пользователей, продолжительность и территорию сбоя, зависимость других секторов, влияние на экономику, общественную безопасность, здоровье населения и окружающую среду. Значение также имеют доля организации на рынке и наличие альтернативного поставщика услуги.

Например, критической может быть признана больница, прекращение работы которой оставит значительную часть региона без неотложной помощи. Однако не каждая больница автоматически попадёт в перечень: власти должны оценить число зависящих от неё пациентов, доступность других медицинских учреждений и возможные последствия длительного сбоя.

Критическим может оказаться и менее заметный для населения объект — например, инфраструктура дата-центра, от которой зависит работа государственных цифровых сервисов. Это позволяет учитывать цепную реакцию, когда авария в одном секторе нарушает работу сразу нескольких связанных с ним служб.

Ранее RTVI рассказывал, почему британские регуляторы отнесли крупнейших облачных провайдеров к критически важным сторонним поставщикам для банков и финансовых компаний.

Что изменится для выбранных организаций

После идентификации национальные власти должны уведомить организацию о присвоенном ей статусе в течение месяца. Вместе с уведомлением ей должны сообщить, какие требования к ней применяются и с какой даты они начинают действовать.

В общем случае критическая организация должна провести собственную оценку рисков в течение девяти месяцев после получения уведомления. Ей необходимо учитывать природные катастрофы, аварии, чрезвычайные ситуации в области здравоохранения, терроризм, саботаж, гибридные угрозы и другие события, способные нарушить предоставление жизненно важных услуг.

Затем организация должна принять соразмерные рискам технические, организационные и защитные меры. Среди них могут быть предотвращение инцидентов, физическая защита объектов, реагирование на чрезвычайные ситуации, восстановление работы, обучение сотрудников и определение ответственных за взаимодействие с властями.

Об основных инцидентах, нарушивших или способных серьёзно нарушить предоставление услуг, необходимо сообщать компетентным органам. Первичное уведомление, если это возможно, должно поступить не позднее чем через 24 часа после обнаружения инцидента.

Большинство основных обязанностей начинает применяться через десять месяцев после уведомления организации о критическом статусе, а не непосредственно 17 июля. Конкретные требования также могут различаться в зависимости от национального законодательства, сектора, масштаба деятельности и выявленных рисков.

Для банков, инфраструктуры финансового рынка и цифровой инфраструктуры действует особый порядок. Страны должны идентифицировать критические организации и в этих секторах, но значительная часть требований CER к их устойчивости не применяется: соответствующие риски регулируются другими нормами ЕС, включая DORA и NIS2. Государства при этом могут устанавливать дополнительные национальные требования, если они соответствуют законодательству Евросоюза.

Почему в разных странах списки будут отличаться

Еврокомиссия утвердила перечень жизненно важных услуг, который государства используют при оценке рисков и выборе критических организаций. Однако этот перечень не является исчерпывающим, а директива оставляет национальным властям возможность учитывать особенности экономики, инфраструктуры и рисков в каждой стране.

В одном государстве критическое значение может иметь крупный морской порт, в другом — система централизованного отопления или единственный крупный поставщик определённой услуги. Национальные власти также вправе вводить требования для организаций из других секторов, не включённых в общеевропейский перечень.

В продовольственном секторе речь идёт не о любом магазине или ресторане. Согласно рекомендациям Еврокомиссии, критические организации следует выбирать среди крупных предприятий, занимающихся логистикой, оптовым распределением, промышленным производством и переработкой продуктов и занимающих значительную долю национального рынка.

Отдельные исключения предусмотрены и для государственного управления. Директива не распространяется на органы, работающие в сфере национальной и общественной безопасности, обороны и правоохранительной деятельности. Это, однако, не мешает государствам защищать такие учреждения на основании национального законодательства.

Страны должны передать Еврокомиссии не названия всех выбранных компаний и учреждений, а обобщённые сведения, в том числе количество критических организаций в каждом секторе и по каждой жизненно важной услуге. Поэтому 17 июля не следует ожидать публикации единого открытого реестра на уровне ЕС.

Как проходит отбор в Финляндии

Одной из стран, публично сообщивших о ходе отбора, стала Финляндия. В мае 2026 года правительство страны утвердило национальный план устойчивости критических организаций, определивший приоритеты, меры и порядок взаимодействия властей с государственными и частными структурами.

Ответственность за идентификацию организаций распределили между профильными министерствами. В начале июля финское МВД сообщило, что процесс приближается к завершению и должен закончиться к установленному законом сроку — 17 июля.

Финские власти объясняют необходимость новых правил стремлением обеспечить работу энергетики, водоснабжения, канализации, транспорта и здравоохранения при различных кризисах. Выбранные организации должны будут проводить оценку рисков, готовить планы устойчивости и сообщать властям о серьёзных инцидентах.

Решение о присвоении критического статуса в Финляндии будет действовать не более четырёх лет. Такой же периодический пересмотр предусматривает директива ЕС: государства должны обновлять национальные перечни не реже одного раза в четыре года.

При этом финский пример не означает, что остальные страны выберут аналогичные компании и учреждения. Директива CER создаёт общую европейскую рамку, но конкретная архитектура защиты критических услуг остаётся национальной.