Zakon o kritičnoj infrastrukturi

I. UVODNE ODREDBE

Predmet Zakona

Članak 1.

(1) Ovim se Zakonom uređuje zaštita nacionalne kritične infrastrukture i infrastrukture od posebnog europskog značaja, načela zaštite i mjere otpornosti, koordinacija zaštite kritične infrastrukture, nacionalni okvir za otpornost kritičnih subjekata, utvrđivanje i potvrđivanje kritičnih subjekata, i kritičnih subjekata od posebnog europskog značaja, obveze kritičnih subjekata, definira sadržaj sigurnosnog plana, certificiranje pravnih osoba i obrta koji pružaju privatnu zaštitu kritične infrastrukture, obavješćivanje o incidentima, provjera podobnosti te uloga i obveze sigurnosnog koordinatora, postupanje s podacima o kritičnoj infrastrukturi te nadzor nad provedbom ovoga Zakona.

(2) Ovaj se Zakon, u dijelu provedbe zaštite nacionalnih kritičnih infrastruktura, ne primjenjuje na tijela državne uprave i druga državna tijela u čijoj su nadležnosti poslovi nacionalne sigurnosti, javne sigurnosti, obrane ili poslovi provedbe zakona u svrhu sprječavanja, otkrivanja i istraživanja kaznenih djela.

Usklađivanje propisa s pravnim aktima Europske unije

Članak 2.

Ovim se Zakonom u hrvatsko zakonodavstvo preuzima Direktiva (EU) 2022/2557 Europskog parlamenta i Vijeća od 14. prosinca 2022. o otpornosti kritičnih subjekata i o stavljanju izvan snage Direktive Vijeća 2008/114/EZ (SL L 333, 27. 12. 2022.) te osigurava provedba Delegirane uredbe Komisije (EU) 2023/2450 оd 25. srpnja 2023. o dopuni Direktive (EU) 2022/2557 Europskog parlamenta i Vijeća utvrđivanjem popisa ključnih usluga (Tekst značajan za EGP) (SL L 2023/2450, 30. 10. 2023.).

Pojmovi

Članak 3.

(1) Pojedini pojmovi u smislu ovoga Zakona imaju sljedeće značenje:

1. analiza rizika je dio procesa procjene rizika, a označava razmatranje mogućih scenarija prijetnji kako bi se ocijenile ranjivosti i mogući učinak poremećaja u radu kritične infrastrukture ili njezina uništenja

2. CSIRT (Computer Security Incident Response Team) je nadležno tijelo za prevenciju i zaštitu od kibernetičkih incidenata

3. država članica je država članica Europske unije te država potpisnica Ugovora o Europskom gospodarskom prostoru

4. incident je događaj koji bi mogao znatno poremetiti ili koji je poremetio pružanje ključne usluge, među ostalim kada utječe na nacionalne sustave kojima se štiti vladavina prava, te bi u slučaju incidenta došlo do znatnih negativnih učinaka na pružanje ključnih usluga

5. javni subjekti su tijela državne uprave, druga državna tijela, jedinice lokalne i područne (regionalne) samouprave, pravne osobe i druga tijela koja imaju javne ovlasti, pravne osobe čiji je osnivač Republika Hrvatska ili jedinica lokalne ili područne (regionalne) samouprave, pravne osobe koje obavljaju javnu službu, pravne osobe koje se na temelju posebnog propisa financiraju pretežito ili u cijelosti iz državnog proračuna ili iz proračuna jedinica lokalne i područne (regionalne) samouprave odnosno iz javnih sredstava i trgovačka društva u kojima Republika Hrvatska i jedinice lokalne i područne (regionalne) samouprave imaju zasebno ili zajedno većinsko vlasništvo, ne uključujući Hrvatsku narodnu banku

6. ključna usluga je usluga ključna za održavanje vitalnih društvenih funkcija, gospodarskih djelatnosti, javnog zdravlja i sigurnosti te okoliša

7. kontinuitet poslovanja kritičnog subjekta je neprekinutost pružanja ključne usluge, što se osigurava planiranjem i provođenjem mjera pripravnosti za nepredviđene situacije te povećanjem otpornosti i brzine oporavka

8. kritična infrastruktura je imovina, objekt, oprema, mreža ili sustav odnosno dio imovine, objekta, opreme, mreže ili sustava koji je potreban za pružanje ključne usluge

9. kritični subjekt je javni ili privatni subjekt koji pruža jednu ili više ključnih usluga

10. kritični subjekt od posebnog europskog značaja je kritični subjekt koji pruža iste ili slične ključne usluge za šest ili više država članica ili u šest ili više država članica, utvrđen, potvrđen i obaviješten u skladu s odredbama ovoga Zakona

11. međusektorska mjerila označavaju skup općih, brojčanih i opisnih mjerila na temelju kojih se procjenjuje rizik za pojedinu imovinu, objekte, sustave i mreže koji predstavljaju kritičnu infrastrukturu te provodi utvrđivanje kritičnih subjekata i kritičnih subjekata od europskog značaja u svim sektorima kritičnih subjekata

12. nadležna tijela su tijela državne uprave, nadležna tijela za provedbu posebnih propisa te druga državna tijela i pravne osobe s javnim ovlastima nadležne za pojedini sektor ili pojedine kategorije subjekata za koje se sukladno ovom Zakonu provodi postupak utvrđivanja kritičnih subjekata

13. nadležna tijela za provedbu posebnih propisa su Hrvatska narodna banka i Hrvatska agencija za nadzor financijskih usluga

14. otpornost je sposobnost kritičnog subjekta da spriječi incident, osigura zaštitu od incidenta, odgovori na njega, odupre se, ublaži ga, apsorbira, prilagodi se i oporavi od incidenta kako bi mogao nastaviti s pružanjem ključne usluge

15. provjera podobnosti osobe je provjera identiteta te provjera evidentiranosti u kaznenim evidencijama i evidencijama Sigurnosno-obavještajne agencije za osobe koje su zaposlene ili se razmatraju za zapošljavanje u kritičnom subjektu na osjetljive funkcije ili koje imaju ovlaštenje za izravan ili daljinski pristup prostorima, informacijskim ili kontrolnim sustavima povezanim sa sigurnošću ili obavljaju poslove za kritični subjekt, u svrhu evaluacije potencijalnog sigurnosnog rizika za kritični subjekt

16. prijetnja je vjerojatnost događaja i negativnih posljedica za kritičnu infrastrukturu koje u opsegu mogu biti antropogene, tehničko-tehnološke i prirodne, a koje mogu uzrokovati bitne poremećaje funkcioniranja društva

17. privatna zaštita je djelatnost koja je definirana zakonom kojim se uređuje privatna zaštita

18. procjena rizika je cjelokupni postupak utvrđivanja prirode i opsega rizika utvrđivanjem i analizom potencijalnih relevantnih prijetnji, ranjivosti i opasnosti koje bi mogle dovesti do incidenta te evaluacijom mogućeg gubitka ili poremećaja u pružanju ključne usluge uzrokovanog tim incidentom

19. ranjivost je slabost organizacije, sustava, imovine ili procesa koja ih čini podložnim prijetnjama ili događajima koji mogu izazvati štetu ili poremećaj u isporuci ključnih usluga

20. regulatorno tijelo je pravna osoba s javnim ovlastima koja obavlja regulatorne i druge poslove u djelokrugu i s nadležnostima u skladu s odgovarajućim zakonima

21. rizik je mogućnost gubitka ili poremećaja uzrokovana incidentom i treba ga izražavati kao kombinaciju opsega takvog gubitka ili poremećaja i vjerojatnosti pojave incidenta

22. sektorska mjerila su skup specifičnih, brojčanih i opisnih mjerila na temelju kojih se procjenjuje rizik i utvrđuju ključne usluge u pojedinom sektoru kritičnih subjekata

23. sigurnosni koordinator za kritičnu infrastrukturu je zaposlenik nadležnog tijela koji koordinira i usmjerava aktivnosti vezane uz zaštitu i otpornost kritičnih subjekata pojedinog sektora odnosno zaposlenik kritičnog subjekta koji te aktivnosti usmjerava sukladno svojoj organizacijskoj strukturi

24. sigurnosni plan kritičnog subjekta označava dokument koji osigurava povjerljivost, cjelovitost i raspoloživost organizacijskih, kadrovskih, materijalnih, informacijsko-komunikacijskih i drugih rješenja te stalnih i stupnjevanih sigurnosnih mjera potrebnih za neprekidno funkcioniranje kritične infrastrukture i isporuka ključnih usluga kritičnog subjekta

25. tehnička specifikacija je dokument kojim se propisuju tehnički zahtjevi, kako je definirano u članku 2. točki 4. Uredbe (EU) br. 1025/2012 Europskog parlamenta i Vijeća od 25. listopada 2012 o europskoj normizaciji, izmjeni direktiva Vijeća 89/686/EEZ i 93/15/EEZ i direktiva 94/9/EZ, 94/25/EZ, 95/16/EZ, 97/23/EZ, 98/34/EZ, 2004/22/EZ, 2007/23/EZ, 2009/23/EZ i 2009/105/EZ Europskog parlamenta i Vijeća te o stavljanju izvan snage Odluke Vijeća 87/95/EEZ i Odluke br. 1673/2006/EZ Europskog parlamenta i Vijeća (Tekst značajan za EGP) (SL L 316/12, 14. 11. 2012., u daljnjem tekstu: Uredba (EU) br. 1025/2012)

26. treća zemlja je strana država koja nije država članica

27. upravljanje rizicima je proces utvrđivanja, procjene, vrednovanja i određivanja prioriteta rizika radi osiguravanja uvjeta za rad i kontinuirano poslovanje kritičnog subjekta

28. zaštita kritične infrastrukture je skup aktivnosti koje provode kritični subjekt i nadležna tijela, a kojima je cilj osigurati funkcionalnost, održati kontinuitet u pružanju ključnih usluga, spriječiti odnosno umanjiti posljedice ugrožavanja kritične infrastrukture i osigurati otpornost.

(2) Izrazi koji se koriste u ovom Zakonu, a imaju rodno značenje odnose se jednako na muški i ženski rod.

Primjena posebnih propisa u pitanjima otpornosti kritičnih subjekata

Članak 4.

Ako su za pojedini sektor ili subjekte iz pojedinih sektora iz Priloga I. ovoga Zakona propisima Europske unije ili zakonima Republike Hrvatske propisani zahtjevi za jačanje otpornosti subjekata, koji po svom sadržaju i svrsi odgovaraju mjerama za osiguranje otpornosti kritičnih subjekata iz ovoga Zakona ili predstavljaju strože zahtjeve, sukladno ocjeni nadležnog tijela, na te se subjekte primjenjuju odgovarajuće odredbe tih posebnih propisa, uključujući odredbe o nadzoru provedbe zahtjeva.

Izuzeća od primjene ovoga Zakona u sektorima bankarstva, infrastruktura financijskog tržišta i digitalne infrastrukture

Članak 5.

Na kritične subjekte i nadležna tijela u sektorima bankarstva, infrastruktura financijskog tržišta i digitalne infrastrukture iz Priloga I. ovoga Zakona ne primjenjuju se članak 20., članci od 22. do 43. i članci od 45. do 48. ovoga Zakona.

Odnos sa zakonom kojim se uređuje područje kibernetičke sigurnosti

Članak 6.

(1) Odredbe ovoga Zakona ne odnose se na pitanja koja su predmet zakona kojim se uređuje područje kibernetičke sigurnosti.

(2) Kritični subjekti, uz obveze propisane ovim Zakonom, provode postupke i mjere koje su, sukladno zakonu kojim se uređuje područje kibernetičke sigurnosti, dužni primjenjivati radi postizanja visoke razine kibernetičke sigurnosti u pružanju svojih usluga odnosno obavljanju svojih djelatnosti.

(3) U svrhu provedbe stavka 2. ovoga članka u odnosu na kritične subjekte iz sektora, podsektora ili posebnih kategorija subjekata koje nisu obuhvaćene sektorima, podsektorima i vrstama subjekata iz zakona kojim se uređuje područje kibernetičke sigurnosti, zadaće nadležnog tijela za provedbu zahtjeva kibernetičke sigurnosti i nadležnog CSIRT-a obavlja središnje državno tijelo za kibernetičku sigurnost, sukladno zakonu kojim se uređuje područje kibernetičke sigurnosti.

Popis sektora, podsektora, kategorija subjekata i ključnih usluga

Članak 7.

Sektori i podsektori u kojima se utvrđuju kritični subjekti, kategorije subjekata te ključne usluge navedeni su u Prilogu I. ovoga Zakona, koji čini njegov sastavni dio.

Načela zaštite kritične infrastrukture

Članak 8.

Načela zaštite kritične infrastrukture su:

– načelo zaštite od svih oblika prijetnji podrazumijeva da svi kritični subjekti i sva nadležna tijela u osiguranju neprekidnog rada u isporuci ključnih usluga kritičnog subjekta uzimaju u obzir različite oblike prijetnji

– načelo cjelovitog pristupa znači zaštitu kritične infrastrukture od poremećaja ili prekida rada i isporuke ključnih usluga u koju su uključena sva nadležna tijela i institucije, pri čemu se u obzir uzimaju svi relevantni oblici prijetnji, a koja proizlazi iz procjene rizika i uzima u obzir međuovisnost sektora kritičnih subjekata i njihovu interakciju

– načelo kontinuiranog planiranja zaštite kritične infrastrukture podrazumijeva kontinuiranu procjenu prijetnji i rizika poslovanja, kao i ocjenu planova za njezinu zaštitu, a planiranje zaštite dio je trajnog poslovnog procesa kritičnog subjekta

– načelo razmjene informacija i podataka te zaštite podataka podrazumijeva da sva nadležna tijela i institucije redovito i pravodobno razmjenjuju podatke i informacije te se razmjena temelji na povjerenju i na zaštiti podataka povezanih s radom kritičnog subjekta u skladu s odredbama ovoga Zakona i zakona kojim se uređuje zaštita tajnosti i povjerljivosti podataka.

II. KOORDINACIJA ZAŠTITE KRITIČNE INFRASTRUKTURE

Koordinativno tijelo za zaštitu kritične infrastrukture

Članak 9.

(1) Koordinativno tijelo za zaštitu kritične infrastrukture (u daljnjem tekstu: Koordinativno tijelo) je tijelo državne uprave nadležno za poslove civilne zaštite čija je zadaća koordiniranje aktivnosti dionika u zaštiti kritične infrastrukture i jačanja otpornosti kritičnih subjekata.

(2) U ostvarivanju zadaća iz stavka 1. ovoga članka Koordinativno tijelo:

– izrađuje i predlaže propise koji se odnose na zaštitu nacionalne kritične infrastrukture i povećanje otpornosti kritičnih subjekata

– predlaže Vladi Republike Hrvatske na usvajanje dokumente u vezi sa zaštitom nacionalne kritične infrastrukture i povećanjem otpornosti kritičnih subjekata

– nadzire i usmjerava proces utvrđivanja kritičnih subjekata

– prikuplja, analizira i razmjenjuje informacije s nadležnim tijelima, regulatornim tijelima i kritičnim subjektima, jedinicama lokalne i područne (regionalne) samouprave i drugim dionicima u sustavu

– izrađuje smjernice za poboljšanje stanja zaštite kritične infrastrukture i jačanje otpornosti kritičnih subjekata

– vodi i ažurira popis kritičnih subjekata u Republici Hrvatskoj

– vodi i ažurira popis sigurnosnih koordinatora u nadležnim tijelima i kritičnim subjektima

– u suradnji s nadležnim tijelima redovito prati i procjenjuje prijetnje te predlaže mjere za jačanje otpornosti i zaštitu kritične infrastrukture

– u suradnji s nadležnim tijelima izrađuje međusektorska mjerila

– koordinira organizaciju i provedbu edukacija i vježbi u području zaštite kritične infrastrukture i jačanja otpornosti kritičnih subjekata

– surađuje sa znanstvenoistraživačkim institucijama u području unaprjeđenja mjera i postupaka za smanjenje rizika i povećanja otpornosti kritičnih subjekata

– sudjeluje u organizaciji, koordinaciji i provedbi mjera suradnje između javnog i privatnog sektora radi zaštite i jačanja otpornosti kritičnih subjekata

– provodi postupak izdavanja i ukidanja certifikata pravnim osobama i obrtima za zaštitu kritične infrastrukture

– surađuje s Europskom komisijom i trećim zemljama te kao jedinstvena kontaktna točka obavlja prekograničnu suradnju i surađuje s jedinstvenim kontaktnim točkama drugih država članica, kao i Skupinom za otpornost kritičnih subjekata koju čine predstavnici država članica i Europske komisije

– radi jačanja otpornosti kritičnih subjekata i smanjenja njihova administrativnog opterećenja provodi savjetovanja s državama članicama u pogledu kritičnih subjekata koji upotrebljavaju fizički povezanu kritičnu infrastrukturu, koji su dio korporativnih struktura povezanih ili u vezi s kritičnim subjektima drugih država članica te koji su utvrđeni kao kritični subjekti u jednoj državi članici, a pružaju ključne usluge drugim državama članicama ili u drugim državama članicama

– svake dvije godine podnosi Europskoj komisiji i Skupini za otpornost kritičnih subjekata sažeto izvješće o utvrđenim incidentima, uključujući broj obavijesti o incidentima, prirodi prijavljenih incidenata i poduzetim mjerama

– koordinira procese i sudjeluje u utvrđivanju kritičnih subjekata od posebnog europskog značaja i njihovoj zaštiti u suradnji s nadležnim tijelima

– zaprima zahtjeve i koordinira postupak provjere podobnosti u skladu sa zahtjevima sigurnosnih koordinatora u kritičnim subjektima

– u roku od tri mjeseca nakon imenovanja ili uspostavljanja obavještava Europsku komisiju o imenovanim nadležnim tijelima i jedinstvenoj kontaktnoj točki, o njihovim zadaćama i odgovornostima te o svakoj promjeni u imenovanju, zadaćama i odgovornostima.

Suradnja nadležnih tijela s tijelima iz zakona kojim se uređuje područje kibernetičke sigurnosti

Članak 10.

(1) Nadležna tijela i nadležna tijela za provedbu zahtjeva kibernetičke sigurnosti međusobno surađuju i razmjenjuju relevantne informacije, i to informacije o:

– utvrđivanju kritičnih subjekata na temelju ovoga Zakona

– rizicima, prijetnjama i incidentima kojima su izloženi kritični subjekti, kao i poduzetim mjerama kao odgovoru na rizike, prijetnje i incidente, neovisno o tome potječu li ti rizici, prijetnje i incidenti iz kibernetičkog ili fizičkog prostora

– fizičkim mjerama zaštite i zahtjevima kibernetičke sigurnosti koje ti subjekti provode

– rezultatima nadzornih aktivnosti provedenih nad postupanjem kritičnih subjekata sukladno ovom Zakonu odnosno zakonu kojim se uređuje područje kibernetičke sigurnosti.

(2) Nadležna tijela mogu zatražiti od tijela nadležnih za provedbu zahtjeva kibernetičke sigurnosti da izvršavaju svoje nadzorne ovlasti i nad subjektima koji su utvrđeni kao kritični subjekti.

(3) Koordinativno tijelo i središnje državno tijelo za kibernetičku sigurnost sporazumom uređuju sva bitna pitanja koja se odnose na razmjenu informacija i koordinaciju nadležnih tijela, uključujući način razmjene informacija iz stavka 1. ovoga članka.

III. NACIONALNI OKVIR ZA OTPORNOST KRITIČNIH SUBJEKATA

Akt strateškog planiranja za otpornost kritičnih subjekata

Članak 11.

(1) Akt strateškog planiranja za otpornost kritičnih subjekata je srednjoročni akt strateškog planiranja kojim se utvrđuju posebni ciljevi i mjere temeljeni na relevantnim nacionalnim, višesektorskim i sektorskim strategijama, radi postizanja i održavanja visoke razine otpornosti kritičnih subjekata, a koji obuhvaća sve sektore propisane Prilogom I. ovoga Zakona.

(2) Akt strateškog planiranja iz stavka 1. ovoga članka donosi se nakon savjetovanja sa svim relevantnim dionicima, a sadrži sljedeće elemente:

– posebne ciljeve i prioritete u svrhu jačanja opće otpornosti kritičnih subjekata, uzimajući u obzir prekogranične i međusektorske ovisnosti i međuovisnosti

– upravljački okvir za postizanje posebnih ciljeva i prioriteta, uključujući opis uloga i odgovornosti nadležnih tijela, kritičnih subjekata i drugih strana uključenih u provedbu akta

– opis mjera potrebnih za jačanje opće otpornosti kritičnih subjekata

– opis postupka kojim se utvrđuju kritični subjekti

– opis postupka kojim se podupiru kritični subjekti, uključujući mjere za poboljšanje suradnje između javnih i privatnih dionika

– popis glavnih tijela i relevantnih dionika koji nisu kritični subjekti, a koji su uključeni u provedbu akta

– okvir politike za koordinaciju među nadležnim tijelima na temelju ovoga Zakona i nadležnim tijelima na temelju zakona kojim se uređuje područje kibernetičke sigurnosti, u svrhu dijeljenja informacija o kibernetičkim sigurnosnim rizicima, kibernetičkim prijetnjama i kibernetičkim incidentima te rizicima, prijetnjama i incidentima izvan kibernetičkog prostora te izvršavanja nadzornih zadaća

– opis već uspostavljenih mjera čiji je cilj malim i srednjim poduzećima, u smislu Priloga Preporuke Europske komisije 2003/361/EZ o definiciji mikro, malih i srednjih poduzeća (SL L 124, 20. 5. 2003.), a koje je Republika Hrvatska utvrdila kao kritične subjekte, olakšati provedbu procjene rizika i implementaciju tehničkih, sigurnosnih i organizacijskih mjera kako bi se osigurala njihova otpornost.

(3) Akt strateškog planiranja iz stavka 1. ovoga članka izrađuje Koordinativno tijelo, a donosi Vlada Republike Hrvatske (u daljnjem tekstu: Vlada).

(4) Izvještavanje, praćenje i vrednovanje akta strateškog planiranja iz stavka 1. ovoga članka provodi se u skladu s propisom kojim se uređuje područje strateškog planiranja i upravljanja razvojem Republike Hrvatske.

(5) Koordinativno tijelo obavještava Europsku komisiju o donesenom nacionalnom aktu strateškog planiranja iz stavka 1. ovoga članka i o svakoj njegovoj izmjeni odnosno ažuriranju, najkasnije u roku od tri mjeseca od dana donošenja, izmjene odnosno ažuriranja.

(6) Akt strateškog planiranja iz stavka 1. ovoga članka ažurira se najmanje svake četiri godine, pri čemu se na postupak ažuriranja na odgovarajući način primjenjuje stavak 3. ovoga članka.

Nacionalna procjena rizika kritične infrastrukture

Članak 12.

(1) Nacionalnu procjenu rizika kritične infrastrukture koju izrađuje Koordinativno tijelo donosi Vlada, na prijedlog ministra nadležnog za poslove civilne zaštite (u daljnjem tekstu: ministar).

(2) Nacionalna procjena rizika kritične infrastrukture predstavlja podlogu za utvrđivanje kritičnih subjekata u skladu s člankom 17. ovoga Zakona i određivanje mjera za otpornost kritičnih subjekata.

(3) U Nacionalnoj procjeni rizika kritične infrastrukture uzimaju se u obzir relevantni rizici uzrokovani prirodnim i ljudskim djelovanjem, uključujući rizike međusektorske ili prekogranične prirode, nesreće, prirodne katastrofe, izvanredna stanja u području javnog zdravlja, hibridne ili druge prijetnje i kaznena djela terorizma.

(4) Pri izradi Nacionalne procjene rizika kritične infrastrukture u obzir se uzimaju:

– opća procjena rizika provedena na temelju članka 6. stavka 1. Odluke br. 1313/2013/EU Europskog parlamenta i Vijeća od 17. prosinca 2013. o Mehanizmu Unije za civilnu zaštitu (SL L 347, 20. 12. 2013.)

– druge relevantne procjene rizika provedene u skladu s odredbama posebnih propisa koji se odnose na procjenu rizika od poplava te sprječavanje velikih nesreća koje uključuju opasne tvari, te odredbe Uredbe (EU) 2017/1938 Europskog parlamenta i Vijeća od 25. listopada 2017. o mjerama zaštite sigurnosti opskrbe plinom i stavljanju izvan snage Uredbe (EU) br. 994/2010 (SL L 280, 28. 10. 2017.) i Uredbe (EU) 2019/941 Europskog parlamenta i Vijeća od 5. lipnja 2019. o pripravnosti na rizike u sektoru električne energije i stavljanju izvan snage Direktive 2005/89/EZ (SL L 158, 14. 6. 2019.)

– relevantni rizici koji proizlaze iz opsega ovisnosti među sektorima propisanih u Prilogu I. ovoga Zakona, među ostalim, njihov opseg ovisnosti o subjektima koji se nalaze unutar drugih država članica i trećih zemalja te utjecaj koji znatan poremećaj u jednom sektoru može imati na druge sektore, uključujući sve znatne rizike za građane i unutarnje tržište. U tu svrhu Koordinativno tijelo surađuje s nadležnim tijelima drugih država članica i nadležnim tijelima trećih zemalja

– sve informacije o incidentima koji su prijavljeni u skladu s člankom 32. ovoga Zakona.

(5) U roku od tri mjeseca od izrade Nacionalne procjene rizika kritične infrastrukture Koordinativno tijelo dostavlja Europskoj komisiji relevantne informacije o utvrđenim vrstama rizika, kao i ishodima Nacionalne procjene rizika, po sektorima i podsektorima kritičnih subjekata.

(6) Nacionalna procjena rizika kritične infrastrukture izrađuje se najmanje svake četiri godine.

(7) Koordinativno tijelo i nadležna tijela potvrđenim kritičnim subjektima stavljaju na raspolaganje relevantne informacije i elemente iz Nacionalne procjene rizika kritične infrastrukture, radi lakše provedbe njihovih vlastitih procjena rizika i poduzimanja mjera za osiguravanje njihove otpornosti u skladu s ovim Zakonom.

IV. UTVRĐIVANJE I POTVRĐIVANJE KRITIČNIH SUBJEKATA

Nadležna tijela

Članak 13.

(1) Nadležna tijela utvrđuju kritične subjekte u sektorima iz svoje nadležnosti.

(2) Za sektore navedene u Prilogu I. ovoga Zakona nadležna tijela su:

– tijelo državne uprave nadležno za energetiku za sektor »energetika«

– tijelo državne uprave nadležno za promet za sektor »promet«

– Hrvatska narodna banka za sektor »bankarstvo«

– Hrvatska agencija za nadzor financijskih usluga za sektor »infrastrukture financijskog tržišta«

– tijelo državne uprave nadležno za zdravstvo za sektor »zdravstvo« i sektor »voda namijenjena za ljudsku potrošnju«

– tijelo državne uprave nadležno za vodno gospodarstvo za sektor »otpadne vode« i sektor »voda namijenjena za ljudsku potrošnju«

– tijelo državne uprave nadležno za vodno gospodarstvo za sektor »regulacijske i zaštitne vodne građevine za obranu od poplava«

– za sektor »digitalna infrastruktura«:

a) tijelo državne uprave nadležno za digitalnu transformaciju za kategoriju subjekta »pružatelji usluga povjerenja«

b) Hrvatska regulatorna agencija za mrežne djelatnosti za kategorije subjekata »pružatelji javnih elektroničkih komunikacijskih mreža« i »pružatelji elektroničkih komunikacijskih usluga«

c) središnje državno tijelo za kibernetičku sigurnost za kategorije subjekata: »pružatelji središta za razmjenu internetskog prometa«, »pružatelji usluga DNS-a, osim operatora korijenskih poslužitelja naziva«, »pružatelji usluga računalstva u oblaku«, »pružatelji usluga podatkovnog centra« te »pružatelji mreže za isporuku sadržaja«

d) tijelo državne uprave nadležno za znanost i obrazovanje za kategoriju subjekta »registar naziva vršne nacionalne internetske domene«

– za sektor »javni sektor«:

a) tijela državne vlasti

b) druga državna tijela

c) tijela državne uprave svako u svom djelokrugu za područje koje nije obuhvaćeno nekim od posebnih sektora propisanih ovim Zakonom

– tijelo državne uprave nadležno za poljoprivredu za sektor »proizvodnja, prerada i distribucija hrane«

– tijelo državne uprave nadležno za industriju za sektor »proizvodnja, skladištenje i prijevoz opasnih tvari«

– tijelo državne uprave nadležno za obrazovne ustanove i ustanove koje provode ključne istraživačke aktivnosti za sektor »znanost i obrazovanje« i »svemir«

– tijelo državne uprave nadležno za kulturu i medije za sektor »kultura i mediji«.

Analiza rizika

Članak 14.

(1) Nadležna tijela u postupku utvrđivanja kritičnih subjekata provode sektorsku analizu rizika kojom se utvrđuju ukupni učinci prekida i/ili prestanka rada kritičnog subjekta, a koja se provodi uz poštivanje međusektorskih i sektorskih mjerila za analizu rizika, uz primjenu utvrđene metodologije izrade analize rizika.

(2) Ministar pravilnikom propisuje metodologiju za izradu analize i procjene rizika.

Međusektorska mjerila

Članak 15.

(1) Koordinativno tijelo u suradnji s nadležnim tijelima izrađuje opće, brojčane i opisne pokazatelje međusektorskih mjerila za analizu rizika.

(2) Ministar odlukom utvrđuje međusektorska mjerila za analizu rizika subjekata u svim sektorima koja uključuju:

– ljudske gubitke, pri čemu se procjenjuje mogući broj smrtno stradalih i/ili ozlijeđenih osoba zbog prekida rada pojedine kritične infrastrukture

– gospodarske posljedice koje se procjenjuju s obzirom na pokazatelj gospodarskog gubitka i/ili smanjenje kvalitete usluga, uključujući i moguće učinke na okoliš

– utjecaj na javnost koji se procjenjuje s obzirom na utjecaj na povjerenje javnosti, tjelesne i duševne patnje i remećenje svakodnevnog života, uključujući i gubitak osnovnih javnih usluga.

Sektorska mjerila

Članak 16.

(1) Sektorska mjerila za analizu rizika utvrđuju nadležna tijela u suradnji s regulatornim tijelima i strukovnim udruženjima za svaki pojedini sektor, sukladno njegovim specifičnostima.

(2) Nadležna tijela dužna su Koordinativnom tijelu dostaviti sektorska mjerila za analizu rizika iz stavka 1. ovoga članka.

Utvrđivanje kritičnih subjekata

Članak 17.

(1) Pri utvrđivanju kritičnih subjekata nadležna tijela u obzir uzimaju ishode sektorske analize rizika iz članka 14. stavka 1. ovoga Zakona, akta strateškog planiranja za otpornost kritičnih subjekata iz članka 11. ovoga Zakona i Nacionalne procjene rizika kritične infrastrukture iz članka 12. ovoga Zakona, uz dodatno razmatranje sljedećih kriterija:

– pruža li subjekt jednu ili više ključnih usluga

– posluje li subjekt odnosno obavlja li djelatnost na području Republike Hrvatske i nalazi li se kritična infrastruktura kojom upravlja na području Republike Hrvatske

– ima li incident na kritičnoj infrastrukturi subjekta znatne negativne učinke na pružanje ključnih usluga ili međusektorske negativne učinke.

(2) Pri utvrđivanju značaja negativnog učinka incidenta iz stavka 1. podstavka 3. ovoga članka u obzir se uzimaju sljedeći kriteriji:

– broj korisnika koji se oslanjaju na ključne usluge koje pruža subjekt

– opseg ovisnosti drugih sektora i podsektora o ključnim uslugama

– stupanj i trajanje učinka koje bi incidenti mogli imati na gospodarske i društvene aktivnosti, na okoliš, javnu zaštitu i sigurnost ili zdravlje stanovništva

– tržišni udio subjekta na tržištu ključne usluge ili ključnih usluga

– geografsko područje na koje bi incident mogao utjecati, uključujući sve prekogranične učinke, uzimajući u obzir ranjivost povezanu sa stupnjem izolacije određenih vrsta geografskih područja, kao što su otočne regije, udaljene regije ili planinska područja

– važnost kritičnog subjekta u održavanju dostatne razine ključne usluge, uzimajući u obzir raspoloživost alternativnih načina pružanja te ključne usluge.

(3) U postupku utvrđivanja subjekti koji pružaju ključne usluge dužni su, na zahtjev nadležnog tijela, dostaviti podatke nužne za utvrđivanje značaja negativnog učinka incidenta na pružanje ključnih usluga ili međusektorskih negativnih učinaka.

(4) Pragove za utvrđivanje značaja negativnog učinka propisuje ministar pravilnikom iz članka 14. stavka 2. ovoga Zakona.

Potvrđivanje kritičnih subjekata

Članak 18.

(1) Koordinativno tijelo izrađuje prijedlog o potvrđivanju kritičnih subjekata na temelju prijedloga utvrđenih kritičnih subjekata od strane nadležnih tijela iz područja svoje odgovornosti.

(2) Prijedlozi nadležnih tijela iz stavka 1. ovoga članka moraju sadržavati sljedeće podatke:

– naziv subjekta

– adresu i ažurirane podatke za kontakt, uključujući adresu elektroničke pošte i telefonske brojeve

– opis ključne usluge koju subjekt pruža.

(3) Na prijedlog Koordinativnog tijela Vlada odlukom potvrđuje kritične subjekte.

(4) Koordinativno tijelo dužno je u roku od 30 dana od dana donošenja dostaviti nadležnim tijelima odluku iz stavka 3. ovoga članka, u dijelu koji se odnosi na sektor odnosno kategoriju subjekata iz njihove nadležnosti.

(5) Koordinativno tijelo dužno je o potvrđivanju kritičnih subjekata obavijestiti tijelo nadležno za provedbu zahtjeva kibernetičke sigurnosti u roku od 30 dana od donošenja odluke iz stavka 3. ovoga članka.

(6) Ako se na neki od potvrđenih kritičnih subjekata odnose izuzeća od primjene ovoga Zakona navedene u članku 5. ovoga Zakona, Koordinativno tijelo će u obavijesti iz stavka 4. ovoga članka navesti postojanje tih izuzeća.

(7) Nakon donošenja odluke o potvrđivanju kritičnih subjekata Koordinativno tijelo kao jedinstvena kontaktna točka, bez nepotrebne odgode te, nakon toga, prema potrebi, a najmanje svake četiri godine, Europskoj komisiji dostavlja sljedeće podatke:

– popis ključnih usluga kada postoje bilo koje dodatne ključne usluge u odnosu na popis ključnih usluga koje je propisala Europska komisija

– broj kritičnih subjekata utvrđenih za svaki sektor i podsektor naveden u Prilogu I. ovoga Zakona te za svaku ključnu uslugu

– međusektorska mjerila koja se primjenjuju za utvrđivanje jednog ili više kriterija iz članka 17. stavaka 2. i 3. ovoga Zakona, a koja mogu biti prikazana u nepromijenjenom ili u agregiranom obliku.

Obavještavanje kritičnih subjekata

Članak 19.

(1) Odluku iz članka 18. stavka 3. ovoga Zakona nadležna tijela dužna su u roku od 30 dana od donošenja dostaviti kritičnim subjektima te ih obavijestiti o obvezama koje kritični subjekti imaju na temelju ovoga Zakona i rokovima za provedbu tih obveza.

(2) Ako se na kritični subjekt odnose izuzeća iz članka 5. ovoga Zakona, nadležno tijelo dužno je postojanje izuzeća navesti u obavijesti iz stavka 1. ovoga članka.

Izvještavanje o procjenama rizika i sigurnosnim planovima

Članak 20.

(1) Nadležna tijela dostavljaju Koordinativnom tijelu izvješće o stanju izrade procjena rizika i sigurnosnih planova za sektore iz svoje nadležnosti, u prvom tromjesečju tekuće godine za proteklu godinu.

(2) Koordinativno tijelo na temelju dostavljenih izvješća iz stavka 1. ovoga članka izrađuje i dostavlja Vladi godišnje izvješće o izrađenosti procjena rizika i sigurnosnih planova / planova otpornosti kritičnih subjekata, najkasnije do 30. lipnja tekuće godine za prethodnu godinu.

Ažuriranje popisa kritičnih subjekata

Članak 21.

(1) Nadležna tijela po potrebi, a najmanje svake četiri godine preispituju i ažuriraju popis kritičnih subjekata potvrđenih odlukom iz članka 18. stavka 3. ovoga Zakona te Koordinativnom tijelu dostavljaju podatke o utvrđenim novim kritičnim subjektima iz svoje nadležnosti odnosno prijedlog da se određeni subjekt više ne smatra kritičnim subjektom.

(2) Postupak utvrđivanja i potvrđivanja subjekata iz stavka 1. ovoga članka provodi se u skladu s člancima 17., 18. i 19. ovoga Zakona.

(3) Nadležno tijelo dužno je obavijestiti kritične subjekte iz svoje nadležnosti o početku ili prestanku provođenja obveza iz ovoga Zakona.

V. OBVEZE KRITIČNIH SUBJEKATA

Procjena rizika koju provode kritični subjekti

Članak 22.

(1) Kritični subjekt dužan je u roku od devet mjeseci od zaprimanja obavijesti iz članka 19. stavka 1. ovoga Zakona, a zatim najmanje svake četiri godine izraditi procjenu rizika kako bi procijenio sve relevantne rizike koji bi mogli poremetiti pružanje njegovih ključnih usluga.

(2) U izradi procjene rizika kritični subjekt surađuje s nadležnim tijelom, regulatornim tijelom i Koordinativnim tijelom.

(3) Prilikom izrade procjene rizika u obzir se uzimaju svi relevantni prirodni i ljudskim djelovanjem uzrokovani rizici koji bi mogli dovesti do incidenta, osobito oni koji su međusektorske ili prekogranične prirode, kao i nesreće, prirodne katastrofe, izvanredna stanja u području javnog zdravlja te hibridne prijetnje i druge neprijateljske prijetnje, uključujući kaznena djela terorizma i s njime povezana kaznena djela.

(4) Kritični subjekt dužan je prilikom izrade procjene rizika uzeti u obzir opseg u kojem drugi sektori navedeni u Prilogu I. ovoga Zakona ovise o ključnoj usluzi koju pruža i opseg u kojem taj kritični subjekt ovisi o ključnim uslugama koje pružaju drugi kritični subjekti u takvim drugim sektorima, uključujući prema potrebi i one u susjednim državama članicama i trećim zemljama.

(5) Kritični subjekti putem nadležnog tijela dostavljaju procjenu rizika Koordinativnom tijelu.

(6) Kritični subjekti su izravno odgovorni za provedbu obveza u upravljanju rizicima te za zaštitu i osiguranje kontinuiteta poslovanja, pri čemu je nužna suradnja s nadležnim tijelima.

Sigurnosni plan kritičnog subjekta

Članak 23.

(1) Kritični subjekt je dužan, na temelju procjene rizika iz članka 22. ovoga Zakona, izraditi sigurnosni plan koji obuhvaća mjere zaštite i osiguranja kontinuiteta poslovanja i isporuke usluga za svaku ključnu uslugu te mjere za osiguravanje otpornosti.

(2) Kritični subjekt je dužan sigurnosni plan izraditi u roku od 12 mjeseci od zaprimanja obavijesti iz članka 19. stavka 1. ovoga Zakona te ga ažurirati najmanje jednom godišnje i o tome obavijestiti nadležno tijelo.

(3) Sigurnosni plan iz stavka 1. ovoga članka kritični subjekt donosi uz prethodnu suglasnost nadležnog tijela, a pri davanju suglasnosti nadležno tijelo dužno je samostalno ili u suradnji s regulatornim tijelom utvrditi je li sigurnosni plan izrađen u skladu s procjenom rizika.

(4) Obavijest o donošenju sigurnosnog plana kritični subjekt je dužan dostaviti nadležnom tijelu u roku od 30 dana od njegova donošenja.

(5) Nadležna tijela i kritični subjekti dužni su, na zahtjev Koordinativnog tijela, dostaviti podatke i informacije u vezi s upravljanjem rizicima i osiguranjem kontinuiteta poslovanja kritičnih subjekata.

Sadržaj sigurnosnog plana

Članak 24.

Sigurnosni plan kritičnog subjekta sadrži:

– utvrđene prioritete zaštite ključnih dijelova, sustava, mreža i objekata (kritične infrastrukture)

– popis prijetnji koje mogu ugroziti kritični subjekt

– analize rizika temeljene na scenarijima realnih prijetnji (najgori slučaj i najvjerojatniji slučaj), ranjivosti svakog objekta, sustava, mreža i funkcionalnosti i mogućim posljedicama u redovitom radu te u slučaju većeg poremećaja i/ili prestanka rada/korištenja kritične infrastrukture, uključujući i rizik od napuštanja lokacije kritične infrastrukture, a uzimajući u obzir sve prijetnje iz podstavka 2. ovoga stavka

– utvrđene mjere i postupke za smanjenje ranjivosti i osiguranje djelovanja svih utvrđenih kritičnih dijelova ili objekata mreže ili sustava, uz primjenu:

a) stalnih sigurnosnih mjera koje uključuju fizičke, tehničke i organizacijske mjere te postupaka ranog upozoravanja i jačanja svijesti

b) stupnjevanih sigurnosnih mjera koje se aktiviraju ovisno o intenzitetu i/ili jačini prijetnji

c) mjera za otpornost kritičnih subjekata koje se odnose na:

1. sprječavanje nastanka svih oblika incidenata, smanjenje rizika i utjecaja prijetnji i mjere za prilagodbu klimatskim promjenama

2. osiguravanje odgovarajuće fizičke zaštite prostora i kritične infrastrukture, uzimajući u obzir, primjerice, ograde, pregrade, alate za nadzor područja i rutinske postupke za nadzor područja, opremu za otkrivanje i kontrolu pristupa

3. odgovaranje na posljedice incidenata, odupiranje njima i njihovo ublažavanje, uzimajući u obzir provedbu postupaka i protokola za upravljanje rizicima i kriznim situacijama te rutinske postupke upozoravanja

4. oporavak od incidenata, uzimajući u obzir mjere za kontinuitet poslovanja i utvrđivanje alternativnih lanaca opskrbe kako bi se nastavilo s pružanjem ključne usluge

5. osiguravanje odgovarajućeg upravljanja sigurnošću zaposlenika i vanjskih pružatelja usluga, uzimajući u obzir mjere kao što su utvrđivanje kategorija osoblja koje obavlja kritične funkcije, utvrđivanje prava na pristup prostorima, kritičnoj infrastrukturi i osjetljivim informacijama, uspostavljanje postupaka za provjere podobnosti i određivanje kategorija osoba koje moraju proći te provjere podobnosti te utvrđivanje odgovarajućih kvalifikacija i zahtjeva u pogledu osposobljavanja

6. informiranje relevantnog osoblja o mjerama navedenima u podtočkama od 1. do 5. ove točke, uzimajući u obzir tečajeve osposobljavanja, informativne materijale i vježbe

– popis odgovornih osoba za kontakt, popis institucija i službi koje se pozivaju u hitnom slučaju i druge podatke vezane uz provedbu sigurnosnog plana u hitnim situacijama

– popis radnih mjesta, funkcija i poslova koje obavljaju osobe za koje se provodi provjera podobnosti.

Drugi odgovarajući dokumenti i mjere

Članak 25.

(1) Ako je kritični subjekt, na temelju posebnih propisa, proveo druge procjene rizika ili izradio dokumente koji su značajni za procjenu rizika kritičnog subjekta, može se koristiti tim procjenama i dokumentima u svrhu procjene rizika iz članka 22. ovoga Zakona.

(2) Smatra se da je kritični subjekt izvršio obvezu izrade sigurnosnog plana ako je, na temelju posebnih propisa, izradio drugi planski dokument koji sadrži elemente propisane člankom 24. ovoga Zakona.

(3) Nadležno tijelo utvrđuje usklađenost procjena odnosno dokumenata iz stavaka 1. i 2. ovoga članka s odredbama ovoga Zakona te dostavlja pisanu obavijest o jednakovrijednosti dokumenata kritičnom subjektu i Koordinativnom tijelu.

(4) Pri izvršavanju nadzornih funkcija koje nadležna tijela provode na temelju posebnih propisa kojima se uređuje područje pružanja određenih ključnih usluga nadležno tijelo može utvrditi da su postojeće mjere za jačanje otpornosti koje je poduzeo kritični subjekt i koje se na odgovarajući i razmjeran način odnose na tehničke, sigurnosne i organizacijske mjere iz stavka 1. ovoga članka djelomično ili u cijelosti sukladne mjerama određenim nacionalnim aktom strateškog planiranja iz članka 11. stavka 1. ovoga Zakona.

Norme

Članak 26.

Na sva sredstva, uređaje i ostalu opremu koja se koristi u zaštiti kritičnih subjekata, kao i kvalitetu i sigurnost poslovanja primjenjuju se hrvatske norme, a u izostanku hrvatskih normi primjenjuju se europske norme kako je definirano u članku 2. točki 1. Uredbe (EU) br. 1025/2012 odnosno druge specijalizirane norme i prihvaćena pravila struke.

VI. PRIVATNA ZAŠTITA KRITIČNIH SUBJEKATA

Ugovaranje poslova i usluga

Članak 27.

(1) Kritični subjekti mogu obavljanje poslova privatne zaštite kritične infrastrukture ugovorom povjeriti pravnim osobama i obrtima koji posjeduju certifikat iz članka 28. ovoga Zakona.

(2) O ugovorima iz stavka 1. ovoga članka kritični subjekt izvješćuje nadležno tijelo i Koordinativno tijelo.

Certifikat za provedbu privatne zaštite kritičnih subjekata

Članak 28.

(1) Pravna osoba i obrt koji obavlja poslove privatne zaštite u objektima, sustavima i mrežama kritičnih subjekata mora biti certificiran sukladno uvjetima i na način propisan ovim Zakonom.

(2) Certifikat za provedbu privatne zaštite kritične infrastrukture iz stavka 1. ovoga članka izdaje se pravnim osobama i obrtima rješenjem tijela državne uprave nadležnog za poslove civilne zaštite.

(3) Certifikat se izdaje s rokom važenja od četiri godine, nakon čega se može obnoviti.

(4) Protiv rješenja iz stavka 2. ovoga članka ne može se izjaviti žalba, ali se može pokrenuti upravni spor.

Uvjeti za ishođenje certifikata

Članak 29.

(1) Pravnoj osobi i obrtu može se izdati certifikat za provedbu privatne zaštite kritične infrastrukture ako ispunjava sve sljedeće uvjete:

– posjeduje odobrenje nadležnog tijela državne uprave za poslove privatne zaštite za obavljanje djelatnosti privatne zaštite – tjelesne zaštite ili privatne zaštite – tehničke zaštite ili za izradu prosudbe ugroženosti

– posjeduje potvrdu da od dana izdavanja odobrenja iz podstavka 1. ovoga stavka nije bilo zabrane rada zbog nezakonitosti poslovanja

– posjeduje najmanje dvije godine radnog iskustva u zaštiti objekata najvišeg ili visokog stupnja razine rizika odnosno istovjetnih objekata sukladno drugim propisima

– posjeduje jedan ili više ISO certifikata vezanih uz upravljanje kvalitetom poslovanja u okviru zaštite i sigurnosti

– ima najmanje jednog ili više zaposlenika koji imaju najmanje dvije godine radnog iskustva u zaštiti objekata i prostora više i visoke razine rizika sukladno posebnom propisu kojim se uređuje djelatnost privatne zaštite odnosno istovjetnih objekata sukladno drugim propisima te su za njih provedene provjere iz kaznene i prekršajne evidencije

– posjeduje dokaz o pozitivnom poslovanju u posljednje tri godine

– vlasnik obrta te osnivač, predsjednik i članovi uprave, kao i osobe ovlaštene za zastupanje trgovačkog društva i njihovi zaposlenici nisu osuđivani za kaznena djela protiv čovječnosti i ljudskog dostojanstva, kaznena djela protiv Republike Hrvatske, kaznena djela protiv zdravlja ljudi, kaznena djela počinjena u sastavu zločinačkog udruženja, kaznena djela protiv javnog reda, koruptivnih kaznenih djela, kaznenih djela prijevare, pranja novca, financiranja terorizma, utaje poreza ili carine, kaznena djela protiv radnih odnosa i socijalnog osiguranja te kaznenih djela protiv računalnih sustava, programa i podataka.

(2) Zahtjev za izdavanje certifikata podnosi se tijelu državne uprave nadležnom za poslove civilne zaštite.

(3) Uz zahtjev za izdavanje certifikata za provedbu privatne zaštite kritične infrastrukture prilažu se dokazi o ispunjavanju uvjeta iz stavka 1. podstavaka 3. do 6. ovoga članka.

(4) Tijelo iz stavka 2. ovoga članka pribavit će po službenoj dužnosti dokaze o ispunjavanju uvjeta iz stavka 1. podstavaka 1., 2. i 7. ovoga članka.

(5) Pravnoj osobi i obrtu tijelo državne uprave nadležno za poslove civilne zaštite rješenjem će ukinuti certifikat u sljedećim slučajevima:

– ako se utvrdi da su pravna osoba i obrt prestali udovoljavati propisanim uvjetima iz stavka 1. ovoga članka

– kada kritični subjekt izvijesti tijelo državne uprave nadležno za poslove civilne zaštite da je za pravnu osobu i obrt zbog nepoštivanja obveza preuzetih ugovorom vođen sudski postupak i donesena pravomoćna presuda u korist kritičnog subjekta

– ako se protiv vlasnika, osnivača pravne osobe, obrta i/ili odgovorne osobe u pravnoj osobi i obrtu vode kazneni ili prekršajni postupci koji su zapreka prema posebnom propisu kojim se uređuje djelatnost privatne zaštite

– ako postoje sigurnosne zapreke sukladno propisu kojim se uređuje područje sigurnosnih provjera.

(6) Protiv rješenja iz stavka 5. ovoga članka ne može se izjaviti žalba, ali se može pokrenuti upravni spor.

(7) O izdanim certifikatima za pružanje usluge privatne zaštite kritične infrastrukture Koordinativno tijelo vodi registar koji sadrži: naziv pravne osobe i obrta, popis zaposlenika koji provode zaštitu kritične infrastrukture, datum izdavanja i važenja certifikata.

Obnova certifikata

Članak 30.

(1) Zahtjev za obnovu certifikata za provedbu privatne zaštite kritične infrastrukture pravna osoba i obrt dužni su podnijeti najkasnije tri mjeseca prije isteka roka na koji je izdan važeći certifikat.

(2) Na postupak obnove certifikata odgovarajuće se primjenjuju odredbe članka 29. ovoga Zakona.

Obveze pravne osobe i obrta i njihovih zaposlenika koji provode privatnu zaštitu kritične infrastrukture

Članak 31.

(1) Zaposlenici pravnih osoba i obrta koji provode privatnu zaštitu kritične infrastrukture dužni su čuvati i zaštititi poslovnu tajnu i osobne podatke naručitelja usluga, sukladno propisima iz područja zaštite tajnosti podataka i zaštite osobnih podataka, što se utvrđuje ugovorom iz članka 27. stavka 1. ovoga Zakona.

(2) Zaposlenici u pravnim osobama i obrtima za provedbu privatne zaštite kritične infrastrukture te zaposlenici unutarnje službe zaštite kritičnog subjekta moraju najmanje jednom u tri godine pohađati edukaciju koju organizira Koordinativno tijelo, o čemu se vodi evidencija u tijelu državne uprave nadležnom za poslove civilne zaštite.

(3) Edukacija iz stavka 2. ovoga članka provodi se iz sljedećih tematskih cjelina:

– metodologija za izradu analiza i procjenjivanje rizika od katastrofa za Republiku Hrvatsku

– posljedice velikih nesreća i katastrofa za stanovništvo, materijalna i kulturna dobra i okoliš

– sadržaj procjene rizika i planova djelovanja civilne zaštite jedinica lokalne i područne (regionalne) samouprave

– ugroženost i zaštita kritičnih infrastruktura

– obilježja prirodnih i tehničko-tehnoloških velikih nesreća i katastrofa

– postupanje u odgovoru na prijetnje i incidente

– način izrade planskih dokumenata i informiranja javnosti u postupku donošenja

– sadržaj procjene rizika i operativnih planova civilne zaštite pravnih osoba

– sadržaj procjene rizika i operativnih planova pravnih osoba koje obavljaju djelatnost s opasnim tvarima

– vanjski planovi jedinica područne (regionalne) samouprave za područja postrojenja koja obavljaju djelatnost s opasnim tvarima.

(4) Sadržaj i termini edukacija objavljuju se na mrežnim stranicama tijela državne uprave nadležnog za poslove civilne zaštite.

VII. OBAVJEŠTAVANJE O INCIDENTIMA

Obavijest i utvrđivanje značaja incidenta

Članak 32.

(1) U slučaju incidenta kritični subjekt je dužan, bez odgađanja, poduzeti mjere i aktivnosti za zaštitu kritične infrastrukture i ključnih usluga.

(2) Sigurnosni koordinator za kritičnu infrastrukturu kod kritičnog subjekta dužan je o incidentu koji ima značajan učinak na pružanje usluge i kontinuitet poslovanja, bez odgađanja, izvijestiti nadležno tijelo i Koordinativno tijelo, a ako to nije moguće, prva obavijest mora biti dostavljena najkasnije u roku od 24 sata od saznanja da se dogodio incident.

(3) Kritični subjekt dužan je, najkasnije u roku od 30 dana od dostave obavijesti o incidentu, dostaviti detaljno izvješće nadležnom tijelu.

(4) Obavijest o incidentu iz stavka 2. ovoga članka mora sadržavati detaljan opis incidenta, podatke o posljedicama incidenta te sažetak mjera koje su primijenjene za ublažavanje incidenta ili će se primjenjivati radi otklanjanja uočene ranjivosti i sprječavanja pojave budućih incidenata.

(5) U obavijesti iz stavka 2. ovoga članka moraju se navesti svi dostupni podaci koji su potrebni kako bi nadležno tijelo moglo utvrditi prirodu, uzrok i moguće posljedice incidenta, među ostalim sve dostupne podatke koji su potrebni za utvrđivanje svih prekograničnih učinaka incidenta.

(6) Pri utvrđivanju značaja incidenta posebno se uzimaju u obzir sljedeći kriteriji:

– broj i udio korisnika na koje poremećaj utječe

– trajanje poremećaja

– geografsko područje pogođeno poremećajem, uzimajući u obzir moguću geografsku izoliranost područja.

(7) Nakon primitka obavijesti iz stavka 2. ovoga članka nadležno tijelo će u najkraćem roku kritičnom subjektu dostaviti relevantne podatke koji se odnose na daljnje postupanje, uključujući podatke kojima bi se mogao poduprijeti djelotvoran odgovor kritičnog subjekta na incident.

(8) Kada se utvrdi da se radi o javnom interesu, Koordinativno tijelo će, uz prethodnu suglasnost nadležnog tijela i kritičnog subjekta, o incidentu obavijestiti javnost.

Prekogranični učinci incidenta

Članak 33.

(1) Na temelju podataka o incidentu koje je kritični subjekt dostavio putem nadležnog tijela Koordinativno tijelo obavješćuje jedinstvene kontaktne točke drugih pogođenih država članica ako incident ima ili može imati znatan utjecaj na kritične subjekte i kontinuitet pružanja ključnih usluga jednoj ili više drugih država članica ili u jednoj ili u više drugih država članica.

(2) Ako incident ima ili bi mogao imati znatan učinak na kontinuitet pružanja ključnih usluga za šest ili više država članica ili u njima, Koordinativno tijelo je o incidentu dužno obavijestiti Europsku komisiju.

(3) Koordinativno tijelo dužno je s podacima iz stavka 1. ovoga članka postupati u skladu s pravnim aktima Europske unije odnosno posebnim propisima Republike Hrvatske, na način kojim se poštuje njihova povjerljivost te štiti sigurnost i komercijalni interes kritične infrastrukture na kojoj se dogodio incident.

VIII. PROVJERA PODOBNOSTI

Zahtjev za provjeru podobnosti

Članak 34.

(1) Sigurnosni koordinator za kritičnu infrastrukturu kod kritičnog subjekta može podnijeti zahtjev Koordinativnom tijelu za provjeru podobnosti osoba koje:

– imaju osjetljive funkcije u kritičnom subjektu ili obavljaju poslove za kritični subjekt, posebno u vezi s mjerama otpornosti i zaštite kritične infrastrukture

– imaju ovlaštenje za izravan ili daljinski pristup prostorima, informacijskim ili kontrolnim sustavima povezanim sa sigurnošću

– se razmatraju za zapošljavanje na prethodno navedene funkcije.

(2) Zahtjev iz stavka 1. ovoga članka podnosi se sukladno procjeni rizika kritičnog subjekta iz članka 22. ovoga Zakona i sigurnosnom planu iz članka 23. ovoga Zakona.

(3) Zahtjevi iz stavka 1. ovoga članka ocjenjuju se u razumnom roku i obrađuju u skladu s nacionalnim pravom i postupcima o obradi i zaštiti osobnih podataka te u skladu s relevantnim pravom Europske unije o obradi osobnih podataka, a provjere podobnosti su razmjerne i strogo ograničene na nužne potrebe, isključivo u svrhu evaluacije potencijalnog sigurnosnog rizika za dotični kritični subjekt.

(4) Koordinativno tijelo dostavlja odgovor na zahtjev iz stavka 1. ovoga članka u roku od deset radnih dana od datuma njegova primitka.

Provjera podobnosti

Članak 35.

(1) Provjera podobnosti obuhvaća:

– provjeru identiteta osobe za koju se provodi provjera podobnosti

– evidentiranost u kaznenim evidencijama i u Europskom informacijskom sustavu kaznene evidencije osobe u pogledu kažnjivih djela koja se progone po službenoj dužnosti, osim za kazneno djelo izazivanja prometne nesreće iz nehaja čija je posljedica tjelesna ozljeda ili materijalna šteta odnosno za istovjetno djelo u zemlji čiji je državljanin ili u kojoj ima prebivalište te prekršaj protiv javnog reda i mira s elementima nasilja, a koja su relevantna za specifično radno mjesto kod kritičnog subjekta

– evidentiranost u evidencijama Sigurnosno-obavještajne agencije u pogledu aktivnosti ili radnji koje se poduzimaju radi ugrožavanja Ustavom Republike Hrvatske utvrđenog poretka, ugrožavanja sigurnosti državnih tijela, građana i nacionalnih interesa.

(2) U svrhu provođenja provjere podobnosti iz stavka 1. ovoga članka Koordinativno tijelo će od osobe za koju se provjera provodi, a koja je strani državljanin zatražiti podatke iz stavka 1. podstavka 2. ovoga članka o evidentiranosti u kaznenim evidencijama matične države.

(3) Provjere podobnosti iz stavka 1. ovoga članka razmjerne su i strogo ograničene na ono što je nužno.

IX. SIGURNOSNI KOORDINATORI ZA KRITIČNU INFRASTRUKTURU

Sigurnosni koordinator

Članak 36.

Poslove koordiniranja provedbe svih mjera i postupaka u zaštiti kritične infrastrukture i jačanju otpornosti kritičnih subjekata u nadležnom tijelu i kritičnom subjektu obavlja sigurnosni koordinator za kritičnu infrastrukturu i njegov zamjenik.

Sigurnosni koordinator u nadležnom tijelu

Članak 37.

(1) Čelnik nadležnog tijela odnosno druga ovlaštena osoba ili tijelo u nadležnom tijelu odlukom određuje sigurnosnog koordinatora za kritičnu infrastrukturu i njegova zamjenika za svaki sektor iz svoga djelokruga te o tome obavještava Koordinativno tijelo.

(2) Poslovi sigurnosnog koordinatora za kritičnu infrastrukturu u nadležnom tijelu obuhvaćaju:

– upravljanje, rukovođenje i nadzor rada sigurnosnog stručnog tima u tijelu

– provođenje edukacije tima vezano uz procese procjene rizika, upravljanja rizicima i zaštite kritičnih subjekata

– koordiniranje provedbe postupka utvrđivanja kritičnih subjekata

– sastavljanje prijedloga utvrđenih kritičnih subjekata i dostava koordinativnom tijelu

– po utvrđenim kritičnim subjektima ostvarivanje kontinuirane suradnje i komunikacije s kritičnim subjektima

– iniciranje, sudjelovanje i provedbu edukacije kritičnih subjekata

– sudjelovanje u izradi procjene rizika kritičnog subjekta i nacionalne procjene rizika kritične infrastrukture

– provođenje stručnog nadzora uspostave mjera zaštite sukladno provedbenim dokumentima.

(3) Za sigurnosnog koordinatora za kritičnu infrastrukturu u nadležnom tijelu i njegova zamjenika provodi se temeljna sigurnosna provjera sukladno propisu kojim se uređuju sigurnosne provjere.

(4) Nadležno tijelo podnosi zahtjev za provođenje sigurnosne provjere za sigurnosnog koordinatora za kritičnu infrastrukturu i njegova zamjenika Sigurnosno-obavještajnoj agenciji.

Sigurnosni koordinator kritičnog subjekta

Članak 38.

(1) Kritični subjekt dužan je u roku od 30 dana od zaprimanja odluke iz članka 18. stavka 3. ovoga Zakona odrediti i nadležnom tijelu dostaviti prijedlog za imenovanje sigurnosnog koordinatora za kritičnu infrastrukturu i njegova zamjenika, koji je u provedbi mjera i postupaka u zaštiti i jačanja otpornosti odgovoran za komunikaciju između kritičnog subjekta i nadležnog tijela.

(2) Sigurnosni koordinator za kritičnu infrastrukturu kod kritičnog subjekta obavlja sljedeće poslove:

– upravlja, rukovodi i nadzire rad sigurnosnog tima

– sastavlja i nadzire provedbu sigurnosnih dokumenata

– komunicira i koordinira aktivnosti s nadležnim tijelima i drugim službama

– u suradnji s nadležnim tijelima i regulatornim tijelima izrađuje procjenu rizika

– osigurava i nadzire uspostavu, funkcionalnost, ispravnost i pravodobno servisiranje sustava tehničke zaštite te ostalih sustava zaštite

– nadzire provedbu svih oblika zaštite.

Sigurnosna provjera za sigurnosnog koordinatora u kritičnom subjektu

Članak 39.

(1) Za sigurnosnog koordinatora za kritičnu infrastrukturu i njegova zamjenika prije njihova imenovanja provodi se temeljna sigurnosna provjera sukladno propisu kojim se uređuju sigurnosne provjere.

(2) Nadležno tijelo na temelju zaprimljenog prijedloga iz članka 38. stavka 1. ovoga Zakona, a čiji je sastavni dio ispunjen i potpisan upitnik za sigurnosnu provjeru, podnosi zahtjev za provođenje sigurnosne provjere.

(3) Nakon zaprimljenog izvješća o rezultatima sigurnosne provjere nadležno tijelo imenuje sigurnosnog koordinatora za kritičnu infrastrukturu, o čemu obavještava podnositelja prijedloga iz članka 38. stavka 1. ovoga Zakona i Koordinativno tijelo.

Osposobljavanje sigurnosnog koordinatora za kritičnu infrastrukturu

Članak 40.

(1) Nadležna tijela i kritični subjekti dužni su omogućiti osposobljavanje sigurnosnih koordinatora za kritičnu infrastrukturu.

(2) Osposobljavanje iz stavka 1. ovoga članka provodi Koordinativno tijelo, u suradnji sa znanstvenim i stručnim institucijama.

(3) Sigurnosnom koordinatoru, nakon završetka osposobljavanja, Koordinativno tijelo izdaje potvrdu koja vrijedi za razdoblje od četiri godine.

(4) Nakon isteka roka iz članka 3. ovoga članka sigurnosni koordinator je u obvezi obnoviti potvrdu.

(5) Ministar pravilnikom propisuje program i način provedbe osposobljavanja za obavljanje poslova sigurnosnog koordinatora za kritičnu infrastrukturu.

X. KRITIČNI SUBJEKTI OD POSEBNOG EUROPSKOG ZNAČAJA

Utvrđivanje kritičnih subjekata od posebnog europskog značaja

Članak 41.

(1) Ako kritični subjekt pruža ključne usluge sukladno popisu iz Priloga I. ovoga Zakona za šest ili više država članica ili u šest ili više država članica, dužan je obavijestiti nadležno tijelo o ključnim uslugama koje pruža za takve države članice ili u takvim državama članicama te za koje države članice odnosno u kojim državama članicama pruža takve ključne usluge.

(2) Nadležno tijelo obavješćuje Koordinativno tijelo o utvrđivanju kritičnih subjekata iz stavka 1. ovoga članka, a Koordinativno tijelo obavijest o utvrđivanju takvih kritičnih subjekata i o uslugama koje oni pružaju bez nepotrebne odgode dostavlja Europskoj komisiji.

(3) Kada Europska komisija, na temelju savjetovanja s nadležnim tijelima država članica u kojima ili za koje se pružaju ključne usluge te s kritičnim subjektom utvrdi da kritični subjekt pruža ključne usluge za šest ili više država članica ili u šest ili više država članica, obavijestit će Koordinativno tijelo da se kritični subjekt smatra kritičnim subjektom od europskog značaja te o njegovim obvezama.

(4) Koordinativno tijelo obavijest iz stavka 3. ovoga članka dostavlja kritičnom subjektu i nadležnom tijelu.

(5) Kritični subjekt smatra se kritičnim subjektom od europskog značaja od datuma primitka obavijesti iz stavka 4. ovoga članka.

Savjetodavne misije

Članak 42.

(1) Koordinativno tijelo, na zahtjev nadležnog tijela i uz prethodnu suglasnost Vlade, može podnijeti Europskoj komisiji zahtjev za organiziranje savjetodavne misije kako bi se procijenile mjere otpornosti i zaštite kritične infrastrukture koje uspostavlja kritični subjekt koji je potvrdila Republika Hrvatska, a utvrđen je kao kritični subjekt od posebnog europskog značaja.

(2) Europska komisija može, i na vlastitu inicijativu, kao i na zahtjev jedne ili više država članica kojima ili u kojima se pruža ključna usluga, organizirati savjetodavnu misiju, ako je s time suglasna država koja je utvrdila kritični subjekt.

(3) Na obrazloženi zahtjev Europske komisije ili jedne ili više država kojima se pruža ili u kojima se pruža ključna usluga, Koordinativno tijelo će za potvrđeni kritični subjekt koji je od posebnog europskog značaja dostaviti:

– relevantne dijelove procjene rizika kritičnog subjekta

– popis relevantnih mjera za otpornost kritičnih subjekata poduzetih u skladu s člankom 24. ovoga Zakona

– nadzorne ili mjere izvršavanja, uključujući procjene usklađenosti ili izdane naloge koje je njezino nadležno tijelo poduzelo na temelju članaka 45. do 48. ovoga Zakona u pogledu tog kritičnog subjekta.

(4) Nalazi savjetodavne misije dostavljaju se Europskoj komisiji, Koordinativnom tijelu te državama kojima se pruža ili u kojima se pruža ključna usluga i kritičnom subjektu u roku od tri mjeseca nakon zaključenja savjetodavne misije.

(5) Koordinativno tijelo, u suradnji s nadležnim tijelom, analizira nalaz iz stavka 4. ovoga članka i, ako je potrebno, savjetuje Europsku komisiju o tome ispunjava li kritični subjekt od posebnog europskog značaja svoje obveze i, prema potrebi, koje bi se mjere mogle poduzeti radi poboljšanja otpornosti tog kritičnog subjekta.

(6) Europska komisija na temelju savjeta iz stavka 5. ovoga članka dostavlja mišljenje Koordinativnom tijelu o ispunjavanju obveza kritičnog subjekata i poboljšanju mjera.

(7) Nadležno tijelo i kritični subjekt od posebnog europskog značaja dužni su uzeti u obzir mišljenje iz stavka 6. ovoga članka te Europskoj komisiji i državama članicama kojima se pruža ili u kojima se pruža ključna usluga dostavljati informacije o mjerama poduzetima na temelju tog mišljenja.

(8) Ako je Republika Hrvatska potvrdila kritični subjekt od europskog značaja ili takav subjekt pruža usluge u Republici Hrvatskoj ili za Republiku Hrvatsku, u savjetodavnim misijama iz stavaka 1. i 2. ovoga članka sudjeluju i stručnjaci iz Republike Hrvatske, koje imenuje Europska komisija, u skladu s njihovim stručnim sposobnostima, nakon savjetovanja s državom članicom koja je utvrdila kritični subjekt.

(9) Članovi savjetodavne misije moraju imati valjano i odgovarajuće uvjerenje o sigurnosnoj provjeri.

(10) Europska komisija snosi troškove sudjelovanja u savjetodavnim misijama te organizira program svake savjetodavne misije, uz savjetovanje s članovima savjetodavne misije i u dogovoru s Koordinativnim tijelom.

(11) Kritični subjekti od posebnog europskog značaja moraju omogućiti savjetodavnim misijama pristup informacijama, sustavima i objektima povezanima s pružanjem njihovih ključnih usluga potrebnim za provedbu savjetodavne misije.

(12) Savjetodavne misije provode se u skladu s važećim nacionalnim pravom, poštujući odgovornost Republike Hrvatske za nacionalnu sigurnost i zaštitu sigurnosnih interesa.

Jedinstvena kontaktna točka

Članak 43.

(1) Jedinstvena kontaktna točka za razmjenu informacija i koordiniranje aktivnosti u vezi s europskom kritičnom infrastrukturom s drugim državama članicama i tijelima Europske unije je Koordinativno tijelo.

(2) Podaci o jedinstvenoj kontaktnoj točki (telefonski broj i adresa elektroničke pošte) i upute za prijavu iznenadnih događaja u kritičnim infrastrukturama dostupni su na službenim mrežnim stranicama Koordinativnog tijela i nadležnih tijela.

(3) Jedinstvena kontaktna točka iz stavka 1. ovoga članka do 17. srpnja 2028., te nakon toga svake dvije godine, podnosi Europskoj komisiji i Skupini za otpornost kritičnih subjekata sažeto izvješće o primljenim obavijestima o izvanrednim događajima u kritičnim infrastrukturama, uključujući broj obavijesti, prirodu prijavljenih incidenata i poduzete mjere.

(4) Razmjena informacija o kritičnim subjektima od posebnog europskog značaja putem jedinstvenih kontaktnih točaka država članica ne isključuje prava i obveze drugih tijela državne uprave za razmjenu informacija, znanja i iskustava s nadležnim tijelima drugih država članica.

XI. POSTUPANJE S PODACIMA O KRITIČNOJ INFRASTRUKTURI

Članak 44.

(1) Popis kritičnih subjekata, podaci o kritičnim subjektima, kao i svi drugi podaci koji nastaju u svrhu provedbe ovoga Zakona koriste se isključivo u svrhu provedbe zahtjeva iz ovoga Zakona i javno se ne objavljuju.

(2) Popis i podaci iz stavka 1. ovoga članka predstavljaju informacije u odnosu na koje je moguće ograničiti pravo pristupa korisniku informacija, ovisno o rezultatima testa razmjernosti i javnog interesa koji se provodi prema odredbama zakona kojim se uređuje pravo na pristup informacijama.

(3) Nadležna tijela dužna su pri razmjeni podataka iz stavka 1. ovoga članka voditi računa o potrebi ograničavanja pristupa podacima, kada je to potrebno, u svrhu sprječavanja, otkrivanja, provođenja istraživanja i vođenja kaznenog postupka.

(4) U postupanju s klasificiranim podacima i podacima označenim oznakom »NEKLASIFICIRANO« primjenjuju se mjere i standardi informacijske sigurnosti, čiju primjenu nadzire središnje državno tijelo nadležno za informacijsku sigurnost, sukladno propisima kojima se uređuje informacijska sigurnost.

(5) U postupanju s podacima koji se odnose na kritične subjekte od posebnog europskog značaja primjenjuju se odredbe međunarodnog sporazuma država članica kojim se kritičnoj infrastrukturi određuje taj status, a razmjena, uzajamna zaštita te drugo postupanje s klasificiranim podacima iz stavka 4. ovoga članka provodi se u skladu s odredbama sklopljenog međunarodnog ugovora država članica o razmjeni i uzajamnoj zaštiti klasificiranih podataka.

(6) Ministar pravilnikom propisuje klasificiranje podataka i kriterije za određivanje stupnjeva tajnosti za podatke iz područja kritičnih infrastruktura te za druge podatke povezane s pojedinačnim kritičnim subjektom, ako je klasificiranje takvih podataka potrebno radi zaštite vrijednosti štićenih propisom o tajnosti podataka.

XII. NADZOR

Inspekcijski nadzor

Članak 45.

(1) Inspekcijski nadzor nad provedbom ovoga Zakona i na temelju njega donesenih propisa provode inspektori državnog tijela nadležnog za poslove civilne zaštite.

(2) U inspekcijskom nadzoru inspektori nadziru ispunjavanje uvjeta i način rada osoba koje su obvezne provoditi mjere i aktivnosti ovoga Zakona, obavljaju izravan uvid u prostore koje kritični subjekti upotrebljavaju za pružanje svojih usluga na lokaciji, kao i uvid u opće i pojedinačne akte kojima se osigurava otpornost kritičnih subjekata.

(3) Ako se inspekcijskim nadzorom utvrdi povreda ovoga Zakona, inspektor ima pravo i obvezu:

– narediti otklanjanje utvrđenih nedostataka odnosno nepravilnosti u određenom roku

– pokrenuti prekršajni postupak ako se nepravilnosti ne otklone u određenom roku

– zatražiti od nadležnog tijela provedbu revizije u pogledu kritičnih subjekata

– poduzeti druge mjere i izvršiti druge radnje koje je ovlašten poduzeti i izvršiti na temelju ovoga Zakona i posebnog propisa.

(4) Ako tijekom inspekcijskog nadzora inspektor utvrdi da nije ovlašten izravno postupati, izvijestit će nadležno tijelo ili regulatorno tijelo te zatražiti pokretanje postupka i poduzimanje mjera u skladu s posebnim propisima.

Utvrđivanje primjene međusektorskih i sektorskih mjerila

Članak 46.

Radi osiguranja jedinstvenog pristupa analizi rizika kritičnih subjekata primjenu međusektorskih mjerila iz članka 15. ovoga Zakona kod svih sudionika provedbe Zakona utvrđuje Koordinativno tijelo, a primjenu sektorskih mjerila kritičnih subjekata u analizi rizika utvrđuju nadležna tijela i regulatorna tijela u sektorima iz svoga djelokruga.

XIII. PREKRŠAJNE ODREDBE

Članak 47.

(1) Novčanom kaznom u iznosu od 65.000,00 do 130.000,00 eura kaznit će se za prekršaj pravna osoba – kritični subjekt ako:

– ne izradi procjenu rizika kritičnog subjekta u propisanom roku (članak 22. stavak 1.)

– ne izradi sigurnosni plan u propisanom roku, a nema drugi odgovarajući dokument koji zamjenjuje sigurnosni plan sukladno članku 25. ovoga Zakona (članak 23. stavak 2.)

– obavljanje poslova zaštite kritične infrastrukture ugovorom povjeri pravnoj osobi i obrtu koji ne posjeduje certifikat za provedbu privatne zaštite kritične infrastrukture (članak 27. stavak 1.)

– u slučaju incidenta ne poduzme bez odgađanja mjere i aktivnosti za zaštitu kritične infrastrukture (članak 32. stavak 1.).

(2) Za prekršaj iz stavka 1. ovoga članka novčanom kaznom u iznosu od 1300,00 do 6000,00 eura kaznit će se i odgovorna osoba u pravnoj osobi – kritičnom subjektu.

Članak 48.

(1) Novčanom kaznom u iznosu od 20.000,00 do 64.000,00 eura kaznit će se za prekršaj pravna osoba – kritični subjekt ako:

– nadležnom tijelu u propisanom roku ne dostavi obavijest o donošenju sigurnosnog plana (članak 23. stavak 4.)

– nadležnom i koordinativnom tijelu u propisanom roku ne dostavi izvješće o incidentu (članak 32. stavak 3.)

– ne odredi sigurnosnog koordinatora za kritičnu infrastrukturu (članak 38. stavak 1.).

(2) Za prekršaj iz stavka 1. ovoga članka novčanom kaznom u iznosu od 1300,00 do 6000,00 eura kaznit će se i odgovorna osoba u pravnoj osobi – kritičnom subjektu.

Članak 49.

Za prekršaje iz ovoga Zakona može odgovarati samo prekršajno odgovorna pravna osoba.

XIV. PRIJELAZNE I ZAVRŠNE ODREDBE

Članak 50.

(1) Vlada će do 17. siječnja 2026. donijeti akt strateškog planiranja za otpornost kritičnih subjekata iz članka 11. ovoga Zakona.

(2) Vlada će do 17. siječnja 2026. donijeti Nacionalnu procjenu rizika kritične infrastrukture iz članka 12. ovoga Zakona.

(3) Nadležna tijela dužna su Koordinativnom tijelu dostaviti prijedlog popisa kritičnih subjekata za sektore iz svoje nadležnosti u roku od tri mjeseca od dana donošenja Nacionalne procjene rizika kritične infrastrukture.

Članak 51.

(1) Ministar će pravilnike iz članka 14. stavka 2. i članka 44. stavka 6. ovoga Zakona donijeti u roku od šest mjeseci od dana stupanja na snagu ovoga Zakona.

(2) Ministar će pravilnik iz članka 40. stavka 5. ovoga Zakona donijeti u roku od godinu dana od stupanja na snagu ovoga Zakona.

(3) Do stupanja na snagu pravilnika iz članka 14. stavka 2. ovoga Zakona ostaje na snazi Pravilnik o metodologiji za izradu analize rizika poslovanja kritičnih infrastruktura (»Narodne novine«, br. 47/16. i 93/17.).

(4) Do stupanja na snagu odluke iz članka 18. stavka 3. ovoga Zakona ostaje na snazi Odluka o potvrđivanju identificiranih kritičnih infrastruktura klasa: 022-03/23-04/137, urbroj: 50301-29/24-23-6, od 20. ožujka 2024.

(5) Danom stupanja na snagu ovoga Zakona prestaje važiti Odluka o određivanju sektora iz kojih središnja tijela državne uprave identificiraju nacionalne kritične infrastrukture te liste redoslijeda sektora kritičnih infrastruktura (»Narodne novine«, br. 108/13.).

Članak 52.

(1) Ministar će donijeti odluku o međusektorskim mjerilima iz članka 15. stavka 2. ovoga Zakona u roku od tri mjeseca od dana stupanja na snagu ovoga Zakona.

(2) Nadležna tijela dužna su donijeti sektorska mjerila iz članka 16. stavka 1. ovoga Zakona u roku od tri mjeseca od dana donošenja odluke iz stavka 1. ovoga članka.

Članak 53.

(1) Danom stupanja na snagu ovoga Zakona pravne osobe i obrti koji obavljaju poslove privatne zaštite kritične infrastrukture na temelju ugovora sklopljenih do dana stupanja na snagu ovoga Zakona nastavljaju obavljati te poslove do isteka roka na koji je ugovor zaključen.

(2) Do izdavanja certifikata iz članka 29. ovoga Zakona, a najdulje u razdoblju od godine dana od dana stupanja na snagu ovoga Zakona kritični subjekt može ugovorom povjeriti obavljanje poslova privatne zaštite objekata, mreža i sustava pravnoj osobi ili obrtu koji su podnijeli zahtjev za izdavanje certifikata iz članka 29. ovoga Zakona.

Članak 54.

Danom stupanja na snagu ovoga Zakona prestaje važiti Zakon o kritičnim infrastrukturama (»Narodne novine«, br. 56/13. i 114/22.).

Članak 55.

Ovaj Zakon stupa na snagu osmoga dana od dana objave u »Narodnim novinama«.

PRILOG I.  POPIS SEKTORA, PODSEKTORA I KATEGORIJA IZ KOJIH SE UTVRĐUJU KRITIČNI SUBJEKTI TE KLJUČNE USLUGE KOJE PRUŽAJU

Redni broj	Sektor	Podsektor	Kategorije subjekata	Ključne usluge
1.	Energetika	(a) električna energija	– elektroenergetski subjekti koji obavljaju funkciju opskrbe električnom energijom, uključujući opskrbu električnom energijom koja se obavlja kao javna usluga Pojam elektroenergetski subjekt u smislu ovoga Zakona znači pravna ili fizička osoba koja nije krajnji kupac, a koja obavlja najmanje jednu od elektroenergetskih djelatnosti i koja je odgovorna za komercijalne i tehničke zadaće i zadaće održavanja koje su povezane s tim djelatnostima. Pojam opskrba električnom energijom u smislu ovoga Zakona znači kupnja i prodaja električne energije na veleprodajnom tržištu, prodaja električne energije krajnjim kupcima i skladištima energije, otkup električne energije od aktivnih kupaca, skladišta energije i proizvođača te agregiranje. Pojam opskrba električnom energijom koja se obavlja kao javna usluga u smislu ovoga Zakona znači opskrba električnom energijom onih krajnjih kupaca koji imaju pravo na takav način opskrbe i slobodno ga izaberu ili koriste po automatizmu.	a) električna energija: (I) opskrba električnom energijom (elektroenergetski subjekti) (II) rad, održavanje i razvoj sustava za distribuciju električne energije (operatori distribucijskih sustava) (III) rad, održavanje i razvoj prijenosnog sustava za električnu energiju (operatori prijenosnog sustava) (IV) proizvodnja električne energije (proizvođači) (V) usluga nominiranog operatora tržišta električne energije (nominirani operatori tržišta električne energije)
1.	Energetika	(a) električna energija	Pojmovi elektroenergetski subjekt, opskrba električnom energijom i opskrba električnom energijom koja se obavlja kao javna usluga istovjetni su pojmovima iz članka 3. stavka 1. točaka 17., 77. i 78. Zakona o tržištu električne energije (»Narodne novine«, br. 111/21., 83/23. i 17/25.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva (EU) 2019/944 Europskog parlamenta i Vijeća od 5. lipnja 2019. o zajedničkim pravilima za unutarnje tržište električne energije i izmjeni Direktive 2012/27/EU (SL L 158, 14. 6. 2019.).	(VI) upravljanje potrošnjom (sudionici na tržištu električne energije) (VII) agregiranje električne energije (sudionici na tržištu električne energije) (VIII) skladištenje energije (sudionici na tržištu električne energije)
			– operatori distribucijskog sustava Pojam operator distribucijskog sustava u smislu ovoga Zakona znači fizička ili pravna osoba odgovorna za pogon i vođenje, održavanje, razvoj i izgradnju distribucijske mreže na danom području, kao i zajedničkih postrojenja prema prijenosnoj mreži i, kada je to primjenjivo, međusobno povezivanje s drugim distribucijskim sustavima te za osiguravanje dugoročne sposobnosti distribucijske mreže da zadovolji razumne zahtjeve za distribuciju električne energije. Pojam operator distribucijskog sustava istovjetan je pojmu iz članka 3. stavka 1. točke 71. Zakona o tržištu električne energije (»Narodne novine«, br. 111/21., 83/23.i 17/25.). – operatori prijenosnog sustava
			Pojam operator prijenosnog sustava u smislu ovoga Zakona znači fizička ili pravna osoba odgovorna za pogon i vođenje, održavanje, razvoj i izgradnju prijenosne mreže na danom području, prekograničnih prijenosnih vodova prema drugim prijenosnim mrežama, kao i zajedničkih postrojenja prema distribucijskoj mreži te za osiguravanje dugoročne sposobnosti prijenosne mreže da zadovolji razumne zahtjeve za prijenos električne energije. Pojam operator prijenosnog sustava istovjetan je pojmu iz članka 3. stavka 1. točke 72. Zakona o tržištu električne energije (»Narodne novine«, br. 111/21., 83/23.i 17/25.). – proizvođač električne energije Pojam proizvođač električne energije u smislu ovoga Zakona znači fizička ili pravna osoba koja proizvodi električnu energiju. Pojam proizvođač električne energije istovjetan je pojmu iz članka 3. stavka 1. točke 90. Zakona o tržištu električne energije (»Narodne novine«, br. 111/21., 83/23. i 17/25.). – nominirani operator tržišta električne energije je operator tržišta kojeg je nadležno tijelo odredilo za obavljanje zadaća povezanih s jedinstvenim povezivanjem dan unaprijed ili jedinstvenim unutardnevnim povezivanjem, sukladno članku 2. točki 8. Uredbe (EU) 2019/943 Europskog parlamenta i Vijeća od 5. lipnja 2019. o unutarnjem tržištu električne energije (SL L 158, 14. 6. 2019.) Pojmovi agregiranje, upravljanje potrošnjom i skladištenje energije istovjetni su pojmovima iz članka 3. stavka 1. točaka 4., 93. i 109. Zakona o tržištu električne energije (»Narodne novine«, br. 111/21., 83/23.i 17/25.). – sudionici na tržištu kako su definirani u članku 2. točki 25. Uredbe (EU) 2019/943 koji pružaju usluge agregiranja, upravljanja potrošnjom ili skladištenja energije kako je definirano u članku 2. točkama 18., 20. i 59. Direktive (EU) 2019/944
		(b) centralizirano grijanje i hlađenje	– operator sustava centraliziranog grijanja ili centraliziranog hlađenja Pojam centralizirano grijanje ili centralizirano hlađenje u smislu ovoga Zakona znači distribucija toplinske energije u obliku pare, vruće vode ili pothlađenih tekućina iz centralnih ili decentraliziranih proizvodnih postrojenja putem centralnih i zatvorenih toplinskih sustava u više zgrada ili na više lokacija radi uporabe za zagrijavanje ili hlađenje prostora ili procesa. Pojam centralizirano grijanje ili centralizirano hlađenje istovjetan je pojmu iz članka 4. stavka 1. točke 4. Zakona o obnovljivim izvorima energije i visokoučinkovitoj kogeneraciji (»Narodne novine«, br. 138/21., 83/23. i 78/25.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2018/2001 Europskog parlamenta i Vijeća od 11. prosinca 2018. o promicanju uporabe energije iz obnovljivih izvora (preinaka) (Tekst značajan za EGP) (SL L 328, 21. 12. 2018.).	(b) centralizirano grijanje i hlađenje: (I) pružanje centraliziranoga grijanja ili centraliziranog hlađenja (operatori centraliziranog grijanja ili hlađenja)
		(c) nafta	– operatori naftovoda – operatori proizvodnje nafte, rafinerija i tvornica nafte, skladištenja i prijenosa – središnja tijela za zalihe Pojam središnje tijelo za zalihe u smislu ovoga Zakona znači Agencija za ugljikovodike, kao središnje tijelo u Republici Hrvatskoj za obvezne zalihe nafte i naftnih derivata, koja je jedinstveno tijelo ovlašteno formirati, održavati i prodavati obvezne zalihe. Pojam središnje tijelo za zalihe istovjetan je pojmu iz članka 3. stavka 2. točke 5. Zakona o tržištu nafte i naftnih derivata (»Narodne novine«, br. 19/14., 73/17. i 96/19.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2009/119/EZ Europskog parlamenta i Vijeća od 14. rujna 2009., a kojom se države članice obvezuju održavati minimalne zalihe sirove nafte i/ili naftnih derivata (SL L 265/9 od 9. 10. 2009.).	(c) nafta: (I) prijenos nafte (operatori naftovoda) (II) proizvodnja nafte (operatori proizvodnje nafte) (III) rafiniranje i obrada nafte (operatori postrojenja za rafiniranje i obradu nafte) (IV) skladištenje nafte (operatori skladištenja nafte) (V) upravljanje naftnim zalihama, uključujući zalihe za slučaj nužde i posebne zalihe nafte (središnja tijela za zalihe nafte)
		(d) plin	– opskrbljivači plinom, uključujući opskrbljivače u obvezi javne usluge Pojam opskrbljivač plinom u smislu ovoga Zakona znači energetski subjekt koji obavlja energetsku djelatnost opskrbe plinom. Pojam opskrbljivač plinom u obvezi javne usluge u smislu ovoga Zakona znači opskrbljivač plinom koji obavlja energetsku djelatnost opskrbe u obvezi javne usluge. Pojam opskrba plinom u smislu ovoga Zakona znači prodaja ili preprodaja plina kupcu, uključujući prodaju ili preprodaju UPP-a i SPP-a. Pojam opskrba plinom u obvezi javne usluge u smislu ovoga Zakona znači opskrba plinom koja se u općem gospodarskom interesu obavlja po reguliranim uvjetima radi osiguravanja sigurnosti, redovitosti, kvalitete i cijene opskrbe kućanstava. Pojmovi opskrbljivač plinom, opskrbljivač plinom u obvezi javne usluge, opskrba plinom i opskrba plinom u obvezi javne usluge istovjetni su pojmovima iz članka 3. stavka 2. točaka 36., 37., 38. i 39. Zakona o tržištu plina (»Narodne novine«, br. 18/18. i 23/20.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2009/73/EZ Europskog parlamenta i Vijeća od 13. srpnja 2009. o zajedničkim pravilima za unutarnje tržište prirodnog plina i stavljanju izvan snage Direktive 2003/55/EZ (Tekst značajan za EGP) (SL L 211, 14. 8. 2009.).
			– operatori distribucijskog sustava Pojam operator distribucijskog sustava u smislu ovoga Zakona znači energetski subjekt koji obavlja energetsku djelatnost distribucije plina i odgovoran je za rad, održavanje i razvoj distribucijskog sustava na svom distribucijskom području i, gdje je izvodivo, njegovo povezivanje s drugim sustavima te za osiguranje dugoročne sposobnosti sustava da zadovoljava razumne potrebe za distribucijom plina. Pojam distribucija plina u smislu ovoga Zakona znači razvod plina distribucijskim sustavom visoke, srednje i niske tlačne razine radi isporuke plina krajnjim kupcima, uključujući pomoćne usluge, a isključujući opskrbu plinom. Pojam distribucijski sustav u smislu ovoga Zakona znači sustav plinovoda i ostalih pripadajućih objekata i opreme koji su u vlasništvu i/ili kojima upravlja operator distribucijskog sustava, a koji se koristi za distribuciju plina, nadzor i upravljanje, mjerenje i prijenos podataka. Pojmovi operator distribucijskog sustava, distribucija plina i distribucijski sustav istovjetni su pojmovima iz članka 3. stavka 2. točaka 5., 6. i 30. Zakona o tržištu plina (»Narodne novine«, br. 18/18. i 23/20.). – operatori transportnog sustava	(d) plin: (I) opskrba plinom (poduzeće za opskrbu) (II) distribucija plina (operatori distribucijskog sustava) (III) prijenos plina (operatori transportnog sustava) (IV) skladištenje plina (operatori sustava skladišta plina) (V) rad sustava ukapljenog prirodnog plina (UPP) (operatori terminala za UPP) (VI) proizvodnja prirodnog plina (poduzeća za prirodni plin) (VII) kupnja prirodnog plina (poduzeća za prirodni plin) (VIII) rafiniranje i obrada prirodnog plina (operatori postrojenja za rafiniranje i obradu prirodnog plina)
			Pojam operator transportnog sustava u smislu ovoga Zakona znači energetski subjekt koji obavlja energetsku djelatnost transporta plina i odgovoran je za rad, održavanje i razvoj transportnog sustava na određenom području i gdje je izvodivo, njegovo povezivanje s drugim sustavima te za osiguranje dugoročne sposobnosti sustava da zadovoljava razumne potrebe za transportom plina. Pojam transport plina u smislu ovoga Zakona znači prijenos plina kroz transportni sustav, isključujući opskrbu plinom i trgovinu plinom, a uključujući tranzit plina i pomoćne usluge. Pojam transportni sustav u smislu ovoga Zakona znači objekt koji je u vlasništvu i/ili kojim upravlja operator transportnog sustava, a koji čine sustav visokotlačnih plinovoda, kompresorske stanice, mjerne stanice, mjerno-redukcijske stanice, plinski čvorovi i ostali tehnološki objekti i oprema koji se koriste za transport plina, nadzor i upravljanje, mjerenje i prijenos podataka, isključujući mrežu proizvodnih plinovoda i visokotlačne distribucijske plinovode, uključujući plin za tehnološke kapacitete kojima se isključivo koristi operator transportnog sustava i operativnu akumulaciju. Pojmovi operator transportnog sustava, transport plina i transportni sustav istovjetni su pojmovima iz članka 3. stavka 2. točaka 34., 58. i 59. Zakona o tržištu plina (»Narodne novine«, br. 18/18. i 23/20.). – operatori sustava skladišta plina Pojam operator sustava skladišta plina u smislu ovoga Zakona znači energetski subjekt koji obavlja energetsku djelatnost skladištenja plina i odgovoran je za rad, održavanje i razvoj sustava skladišta plina. Pojam skladištenje plina u smislu ovoga Zakona znači utiskivanje plina u sustav skladišta plina, skladištenje plina u radnom volumenu sustava skladišta plina i povlačenje plina iz sustava skladišta plina, uključujući pomoćne usluge. Pojmovi operator sustava skladišta plina i skladištenje plina istovjetni su pojmovima iz članka 3. stavka 2. točaka 54. i 56. Zakona o tržištu plina (»Narodne novine«, br. 18/18. i 23/20.). – operatori terminala za UPP Pojam operator terminala za UPP u smislu ovoga Zakona znači energetski subjekt koji obavlja energetsku djelatnost upravljanja terminalom za UPP i odgovoran je za rad, održavanje i razvoj terminala za UPP.
			Pojam terminal za UPP u smislu ovoga Zakona znači terminal koji se koristi za ukapljivanje prirodnog plina ili prihvat, iskrcaj i ponovno uplinjavanje UPP-a, uključujući pomoćne usluge i privremeno skladištenje potrebno za postupak ponovnog uplinjavanja i daljnju otpremu u transportni sustav, ali isključujući dijelove terminala za UPP koji se koriste za skladištenje. Pojmovi operator terminala za UPP i terminal za UPP istovjetni su pojmovima iz članka 3. stavka 2. točaka 33. i 57. Zakona o tržištu plina (»Narodne novine«, br. 18/18. i 23/20.). – poduzeća za prirodni plin Pojam poduzeće za prirodni plin u smislu ovoga Zakona, a u skladu sa zakonom kojim se uređuje tržište plina, znači fizička ili pravna osoba koja obavlja najmanje jednu od sljedećih funkcija: proizvodnju, transport, distribuciju, opskrbu, nabavu ili skladištenje prirodnog plina, uključujući UPP, a odgovorna je za komercijalne i tehničke zadatke i/ili zadatke održavanja, koji su povezani s tim funkcijama, isključujući krajnje kupce. – operatori postrojenja za rafiniranje i obradu prirodnog plina
		(e) vodik	– operatori proizvodnje, skladištenja i prijenosa vodika	(e) vodik: (I) proizvodnja vodika (operatori proizvodnje vodika) (II) skladištenje vodika (operatori skladištenja vodika) (III) prijenos vodika (operatori prijenosa vodika)
2.	Promet	(a) zračni promet	– zračni prijevoznici znači poduzeće za zračni prijevoz koje posjeduje valjanu operativnu licenciju ili istovrijedni dokument, sukladno članku 3. točki 4. Uredbe (EZ) br. 300/2008 Europskog parlamenta i Vijeća od 11. ožujka 2008. o zajedničkim pravilima u području zaštite civilnog zračnog prometa i stavljanju izvan snage Uredbe (EZ) br. 2320/2002 (SL L 97, 9. 4. 2008.) koji se upotrebljavaju u komercijalne svrhe – upravna tijela zračne luke, zračne luke, uključujući osnovne zračne luke navedene u odjeljku 2. Priloga II. Uredbi (EU) br. 1315/2013 Europskog parlamenta i Vijeća od 11. prosinca 2013. o smjernicama Unije za razvoj transeuropske prometne mreže i stavljanju izvan snage Odluke br. 661/2010/EU (Tekst značajan za EGP) te tijela koja upravljaju pomoćnim objektima u zračnim lukama Pojam upravno tijelo zračne luke u smislu ovoga Zakona znači tijelo koje, pored drugih aktivnosti ili ne, ima prema nacionalnim propisima ili ugovorima za cilj rukovođenje i upravljanje infrastrukturom zračne luke, te koordinaciju i nadzor djelatnosti različitih operatora u dotičnoj zračnoj luci. Pojam zračna luka u smislu ovoga Zakona znači svaka površina koja je posebno prilagođena za slijetanje, uzlijetanje i manevriranje zrakoplova, uključujući i pripadajuće objekte, sredstva i uređaje namijenjene za odvijanje zračnog prometa i pružanje usluga, te objekte, sredstva i uređaje za pomoć u pružanju usluga komercijalnog zračnog prijevoza.	(a) zračni promet: (I) usluge zračnog prometa koje se koriste u komercijalne svrhe (putnici i teret) (zračni prijevoznici) (II) rad, upravljanje i održavanje zračnih luka i mrežne infrastrukture zračnih luka (upravna tijela zračne luke) (III) usluge kontrole zračnog prometa (operatori kontrole upravljanja prometom)
			Pojmovi upravno tijelo zračne luke i zračna luka istovjetni su pojmovima iz članka 3. točaka 1. i 2. Pravilnika o naknadama zračnih luka (»Narodne novine«, br. 65/15.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2009/12/EZ Europskog parlamenta i Vijeća od 11. ožujka 2009. o naknadama zračnih luka. – pružatelji usluga kontrole zračnog prometa (ATC) kako su definirani u članku 2. točki 1. Uredbe (EZ) br. 549/2004 Europskog parlamenta i Vijeća od 10. ožujka 2004. o definiranju pravnog okvira za stvaranje jedinstvenog europskog neba (Okvirna uredba) i Izjava država članica o vojnim pitanjima u svezi s jedinstvenim europskim nebom
		(b) željeznički promet	– upravitelji infrastrukture Pojam upravitelj infrastrukture u smislu ovoga Zakona znači pravna osoba ili u vertikalno integriranom trgovačkom društvu organizacijska jedinica odgovorna za upravljanje, održavanje i obnovu željezničke infrastrukture, kao i za sudjelovanje u razvoju željezničke infrastrukture na način koji je određen u okviru opće politike razvoja i financiranja željezničke infrastrukture Republike Hrvatske. Pojam upravitelj infrastrukture istovjetan je pojmu iz članka 5. stavka 1. točke 36. Zakona o željeznici (»Narodne novine«, br. 32/19., 20/21. i 114/22.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2012/34/EU Europskog parlamenta i Vijeća od 21. studenoga 2012. o uspostavi jedinstvenog Europskog željezničkog prostora (preinačena) (SL L 343, 14. 12. 2012.), kako je posljednji put izmijenjena Direktivom (EU) 2016/2370 Europskog parlamenta i Vijeća od 14. prosinca 2016. o izmjeni Direktive 2012/34/EU u pogledu otvaranja tržišta za usluge domaćeg željezničkog prijevoza putnika i upravljanja željezničkom infrastrukturom (Tekst značajan za EGP) (SL L 352, 23. 12. 2016.). – željeznički prijevoznici, među ostalim i operatori uslužnih objekata Pojam željeznički prijevoznik u smislu ovoga Zakona znači svaka pravna osoba koja ima dozvolu za obavljanje usluga željezničkog prijevoza i čija je glavna djelatnost pružanje usluga željezničkog prijevoza putnika i/ili tereta, uz uvjet da ta pravna osoba osigura vuču vlakova; to uključuje i pravnu osobu koja pruža samo uslugu vuče vlakova. Pojam operator uslužnih objekata u smislu ovoga Zakona znači pravna osoba odgovorna za upravljanje jednim ili više uslužnih objekata (upravitelj uslužnog objekta) ili za pružanje željezničkim prijevoznicima jedne ili više usluga iz Priloga 2. točaka 2. do 4. Zakona o željeznici (»Narodne novine«, br. 32/19., 20/21. i 114/22.) (pružatelj usluga). Pojmovi željeznički prijevoznik i operator uslužnih objekata istovjetni su pojmovima iz članka 5. stavka 1. točaka 22. i 46. Zakona o željeznici (»Narodne novine«, br. 32/19., 20/21. i 114/22.).	(b) željeznički promet: (I) usluge željezničkog prijevoza (putnički i teretni) (željeznički prijevoznici) (II) rad, upravljanje i održavanje željezničke infrastrukture, uključujući putničke kolodvore, teretne terminale, ranžirne kolodvore i centre za nadzor prometa (upravitelji infrastrukture) (III) rad, upravljanje i održavanje željezničkih uslužnih objekata (operatori uslužnih objekata) (IV) rad, upravljanje i održavanje upravljanja željezničkim prometom, prometno-upravljačkim i signalno-sigurnosnim podsustavima te telekomunikacijskim postrojenjima i sustavima koji se upotrebljavaju za prometno-upravljački i signalno-sigurnosni podsustav (upravitelji infrastrukture)
		(c) pomorski promet i promet unutarnjim plovnim putovima	– kompanije za prijevoz putnika unutarnjim plovnim putovima, morem i duž obale te kompanije za prijevoz tereta unutarnjim plovnim putovima, morem i duž obale, kako su definirane za pomorski promet u Prilogu I. Uredbi (EZ) br. 725/2004 Europskog parlamenta i Vijeća od 31. ožujka 2004. o jačanju sigurnosne zaštite brodova i luka (Tekst značajan za EGP), ne uključujući pojedinačna plovila kojima upravljaju te kompanije
			– upravljačka tijela luka, uključujući njihove luke kako su definirane u članku 2. točki 11. Uredbe (EZ) br. 725/2004, te subjekti koji upravljaju postrojenjima i opremom u lukama Pojam luka u smislu ovoga Zakona znači »morsku luku« i »luku na unutarnjim plovnim putovima«. Pod pojmom morska luka podrazumijeva se morski i s morem neposredno povezan kopneni prostor u utvrđenim granicama lučkog područja s izgrađenim i neizgrađenim obalama; lukobranima, uređajima, postrojenjima i drugim objektima i sustavima namijenjenim za pristajanje, sidrenje i zaštitu brodova, jahti i brodica, ukrcaj i iskrcaj putnika i tereta, uskladištenje i drugo rukovanje teretom, proizvodnju, oplemenjivanje i doradu tereta te ostale gospodarske djelatnosti koje su s tim djelatnostima u međusobnoj ekonomskoj, prometnoj ili tehnološkoj vezi. Pojam morska luka istovjetan je pojmu iz članka 3. točke 1. Zakona o sigurnosnoj zaštiti pomorskih brodova i luka (»Narodne novine«, br. 108/17. i 30/21.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2005/65/EZ Europskog parlamenta i Vijeća od 26. listopada 2005. o jačanju sigurnosne zaštite luka (Tekst značajan za EGP) (SL L 320, 25. 11. 2005.).	(c) pomorski promet i promet unutarnjim plovnim putovima: (I) usluge prijevoza unutarnjim plovnim putovima, morem i duž obale (putnički i teretni promet) (kompanije za prijevoz putnika i tereta kopnom, morem i duž obale) (II) rad, upravljanje i održavanje luka i lučkih objekata te upravljanje poslovima i postrojenjima unutar luka, uključujući opskrbu gorivom, rukovanje teretom, vezivanje, putničke usluge, sakupljanje brodskog otpada i ostataka tereta, peljarenje i tegljenje (upravljačka tijela luka i subjekti koji upravljaju postrojenjima i opremom u lukama) (III) službe za nadzor i upravljanje pomorskim prometom (operatori službi za nadzor i upravljanje pomorskim prometom)
			Pojam luka na unutarnjim plovnim putovima znači vodeni i s njim neposredno povezan kopneni prostor koji je namijenjen i opremljen za pristajanje, sidrenje i zaštitu polovila, ukrcaj, iskrcaj, prekrcaj ili skladištenje robe i/ili ukrcaj i iskrcaj putnika, u kojem se obavljaju različite komplementarne djelatnosti koje su s robom ili s plovilom u neposrednoj ekonomskoj, prometnoj ili tehnološkoj vezi. Pojam luka na unutarnjim plovnim putovima istovjetan je pojmu iz članka 5. točke 27. Zakona o plovidbi i lukama unutarnjih voda (»Narodne novine«, br. 144/21.). – služba za nadzor i upravljanje pomorskim prometom (VTS) kako je definirana u članku 75.a stavku 1. i članku 75.b stavku 1. Pomorskog zakonika (»Narodne novine«, br. 181/04., 76/07., 146/08., 61/11., 56/13., 26/15. i 17/19.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2002/59/EZ Europskog parlamenta i Vijeća od 27. lipnja 2002. o uspostavi sustava nadzora plovidbe i informacijskog sustava Zajednice i stavljanju izvan snage Direktive Vijeća 93/75/EEZ
		(d) cestovni promet	– tijela nadležna za ceste kako su definirana u članku 2. točki 12. Delegirane uredbe Komisije (EU) 2015/962 оd 18. prosinca 2014. o dopuni Direktive 2010/40/EU Europskog parlamenta i Vijeća u pogledu pružanja usluga prometnih informacija u cijeloj Europskoj uniji u realnom vremenu (Tekst značajan za EGP), odgovorna za kontrolu upravljanja prometom, osim javnih subjekata kojima upravljanje prometom ili rad inteligentnih prometnih sustava nisu ključni dio njihove opće djelatnosti Prema članku 2. točki 12. Delegirane uredbe Komisije (EU) 2015/962, pojam tijelo nadležno za ceste znači svako javno tijelo koje je nadležno za planiranje, nadzor ili upravljanje cestama u okviru svoje mjesne nadležnosti. – operatori inteligentnih prometnih sustava
			Pojam inteligentni prometni sustavi (ITS) u smislu ovoga Zakona znači informacijsko-komunikacijska nadgradnja klasičnog sustava cestovnog prometa kojim se postiže znatno poboljšanje učinaka cjelokupnog prometnog sustava. ITS uključuje ceste, vozila i korisnike cesta, a primjenjuje se u upravljanju prometom, upravljanju mobilnosti, upravljanju prometnim incidentima te za veze s ostalim vrstama prijevoza. Pojam inteligentni prometni sustavi (ITS) istovjetan je pojmu iz članka 72. stavka 1. Zakona o cestama (»Narodne novine«, br. 84/11., 22/13., 54/13., 148/13., 92/14., 110/19., 144/21., 114/22., 114/22., 4/23., 133/23.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2010/40/EZ Europskog parlamenta i Vijeća od 7. srpnja 2010. o okviru za uvođenje inteligentnih transportnih sustava u cestovnom prometu i za veze s ostalim vrstama prijevoza (Tekst značajan za EGP) (SL L 207 od 6. 8. 2010.).	(d) cestovni promet: (I) kontrola upravljanja prometom, uključujući aspekte povezane s planiranjem cestovne mreže, službama kontrole i upravljanja, osim upravljanja prometom ili rada inteligentnih prometnih sustava ako oni nisu glavni dio opće djelatnosti javnih tijela (tijela nadležna za ceste) (II) usluge inteligentnih prometnih sustava (operatori inteligentnih prometnih sustava)
		(e) javni prijevoz	– operateri javne usluge kako su definirani u članku 2. točki (d) Uredbe (EZ) br. 1370/2007 Europskog parlamenta i Vijeća Prema članku 2. točki (d) Uredbe (EZ) br. 1370/2007 Europskog parlamenta i Vijeća, pojam operateri javne usluge znači svaki javni ili privatni prijevoznik ili skupina takvih prijevoznika koji obavljaju usluge javnog prijevoza putnika ili svako javno tijelo koje pruža usluge javnog prijevoza putnika.	(e) javni prijevoz: (I) usluge javnog cestovnog i željezničkog prijevoza putnika i druge vrste prijevoza tračnicama (operateri javne usluge)
3.	Bankarstvo		– kreditne institucije kako su definirane u članku 4. točki 1. Uredbe (EU) br. 575/2013 Europskog parlamenta i Vijeća od 26. lipnja 2013. o bonitetnim zahtjevima za kreditne institucije i investicijska društva i o izmjeni Uredbe (EU) br. 648/2012 (Tekst značajan za EGP) Prema članku 4. točki 1. Uredbe (EU) br. 575/2013 Europskog parlamenta i Vijeća od 26. lipnja 2013. o bonitetnim zahtjevima za kreditne institucije i investicijska društva i o izmjeni Uredbe (EU) br. 648/2012, pojam kreditna institucija znači društvo čija je djelatnost primanje depozita ili ostalih povratnih sredstava od javnosti te odobravanje kredita za vlastiti račun.	(I) primanje depozita (kreditne institucije) (II) kreditiranje (kreditne institucije)
4.	Infrastrukture financijskog tržišta		– operatori mjesta trgovanja Pojam mjesta trgovanja u smislu ovoga Zakona znači uređeno tržište, MTP ili OTP. Pojam multilateralna trgovinska platforma ili MTP u smislu ovoga Zakona znači multilateralni sustav kojim upravlja investicijsko društvo ili tržišni operater, koji u sustavu i prema unaprijed poznatim i nediskrecijskim pravilima spaja ili omogućuje spajanje ponuda za kupnju i ponuda za prodaju financijskih instrumenata trećih tako da nastaje ugovor u skladu s odredbama dijela drugoga glave III. poglavlja VII. Zakona o tržištu kapitala (»Narodne novine«, br. 65/18., 17/20., 83/21., 151/22. i 85/24.). Pojam organizirana trgovinska platforma ili OTP u smislu ovoga Zakona znači multilateralni sustav, koji nije uređeno tržište ili MTP, koji omogućuje da se u tom sustavu susretnu ponude za kupnju i ponude za prodaju obveznica, strukturiranih financijskih proizvoda, emisijskih jedinica ili izvedenica više zainteresiranih trećih strana tako da nastaje ugovor u skladu s odredbama dijela drugoga glave III. poglavlja VII. Zakona o tržištu kapitala (»Narodne novine«, br. 65/18., 17/20., 83/21., 151/22. i 85/24.).	(I) poslovanje mjesta trgovanja (operatori mjesta trgovanja) (II) rad klirinških sustava (središnje druge ugovorne strane)
			Pojmovi mjesta trgovanja, multilateralna trgovinska platforma ili MTP i organizirana trgovinska platforma ili OTP istovjetni su pojmovima iz članka 3. točaka 61., 65. i 77. Zakona o tržištu kapitala (»Narodne novine«, br. 65/18., 17/20., 83/21., 151/22. i 85/24.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2014/65/EU Europskog parlamenta i Vijeća od 15. svibnja 2014. o tržištu financijskih instrumenata i izmjeni Direktive 2002/92/EZ i Direktive 2011/61/EU (preinačena) (Tekst značajan za EGP) (SL L 173, 12. 6. 2014.). – središnje druge ugovorne strane (CCP-i) kako su definirane u članku 2. točki 1. Uredbe (EU) br. 648/2012 Europskog parlamenta i Vijeća od 4. srpnja 2012. o OTC izvedenicama, središnjoj drugoj ugovornoj strani i trgovinskom repozitoriju (SL L 201, 27. 7. 2012.) Prema članku 2. točki 1. Uredbe (EU) br. 648/2012, pojam središnja druga ugovorna strana znači pravnu osobu koja posreduje između drugih ugovornih strana u ugovorima kojima se trguje na jednom ili više financijskih tržišta te postaje kupac svakom prodavatelju i prodavatelj svakom kupcu.
5.	Zdravstvo		– pružatelji zdravstvene zaštite Pojam pružatelj zdravstvene zaštite u smislu ovoga Zakona znači svaka fizička ili pravna osoba ili bilo koji subjekt koji obavlja zdravstvenu djelatnost u Republici Hrvatskoj u skladu sa zakonom kojim se uređuje zdravstvena zaštita. Pojam pružatelj zdravstvene zaštite ne odnosi se na ustrojstvene jedinice Ministarstva obrane i Oružanih snaga Republike Hrvatske i ministarstva nadležnog za pravosuđe koje obavljaju zdravstvenu djelatnost prema posebnim propisima. – referentni laboratoriji Europske unije iz članka 15. Uredbe (EU) 2022/2371 Europskog parlamenta i Vijeća od 23. studenoga 2022. o ozbiljnim prekograničnim prijetnjama zdravlju i o stavljanju izvan snage Odluke br. 1082/2013/EU (Tekst značajan za EGP) – subjekti koji obavljaju djelatnosti istraživanja i razvoja lijekova Pojam lijek u smislu ovoga Zakona znači: – svaka tvar ili kombinacija tvari prikazana sa svojstvima liječenja ili sprječavanja bolesti kod ljudi ili – svaka tvar ili kombinacija tvari koja se može upotrijebiti ili primijeniti na ljudima u svrhu obnavljanja, ispravljanja ili prilagodbe fizioloških funkcija farmakološkim, imunološkim ili metaboličkim djelovanjem ili za postavljanje medicinske dijagnoze. Pojam lijek istovjetan je pojmu iz članka 3. stavka 1. točke 1. Zakona o lijekovima (»Narodne novine«, br. 76/13., 90/14. i 100/18.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2001/83/EZ Europskog parlamenta i Vijeća od 6. studenoga 2001., o Zakoniku Zajednice koji se odnosi na lijekove za primjenu kod ljudi (SL L 311, 28. 11. 2001.). – subjekti koji proizvode osnovne farmaceutske proizvode i farmaceutske pripravke iz područja C odjeljka 21. Nacionalne klasifikacije djelatnosti 2025. – NKD 2025. (»Narodne novine«, br. 47/24.)	(I) pružanje zdravstvenih usluga (pružatelji zdravstvene zaštite) (II) analiza koju provodi referentni laboratorij Europske unije (referentni laboratoriji EU-a) (III) istraživanje i razvoj lijekova (subjekti koji obavljaju aktivnosti istraživanja i razvoja lijekova) (IV) proizvodnja osnovnih farmaceutskih proizvoda i osnovnih farmaceutskih pripravaka (subjekti koji proizvode osnovne farmaceutske proizvode i pripravke) (V) proizvodnja medicinskih proizvoda koji se smatraju ključnima tijekom izvanrednog stanja u području javnog zdravlja (subjekti koji proizvode medicinske proizvode) (VI) distribucija lijekova (subjekti koji imaju dozvolu za obavljanje prometa na veliko lijekovima)
			– subjekti koji proizvode medicinske proizvode koji se smatraju ključnima tijekom izvanrednog stanja u području javnog zdravlja (»popis ključnih medicinskih proizvoda u slučaju izvanrednog stanja u području javnog zdravlja«) u smislu članka 22. Uredbe (EU) 2022/123 Europskog parlamenta i Vijeća od 25. siječnja 2022. o pojačanoj ulozi Europske agencije za lijekove u pripravnosti za krizne situacije i upravljanju njima u području lijekova i medicinskih proizvoda (Tekst značajan za EGP) – subjekti koji imaju dozvolu za obavljanje prometa na veliko lijekovima Pojam dozvola za obavljanje prometa na veliko lijekovima istovjetan je pojmu iz članka 120. stavka 1. Zakona o lijekovima (»Narodne novine«, br. 76/13., 90/14. i 100/18.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva 2001/83/EZ Europskog parlamenta i Vijeća od 6. studenoga 2001., o Zakoniku Zajednice koji se odnosi na lijekove za primjenu kod ljudi (SL L 311, 28. 11. 2001.).
6.	Voda namijenjena za ljudsku potrošnju		– dobavljači i distributeri vode namijenjene za ljudsku potrošnju, isključujući distributere kojima distribucija vode za ljudsku potrošnju nije ključni dio njihove općenite djelatnosti distribucije druge robe i proizvoda Pojam voda namijenjena za ljudsku potrošnju u smislu ovoga Zakona znači: – sva voda, bilo u njezinu izvornom stanju ili nakon obrade, koja je namijenjena za piće, kuhanje, pripremu hrane ili druge potrebe kućanstva i u javnim i u privatnim prostorima, neovisno o njezinu podrijetlu te o tome isporučuje li se iz vodoopskrbne mreže, isporučuje li se iz cisterne ili se stavlja u boce ili ambalažu, uključujući izvorsku i stolnu vodu – sva voda koja se u poslovanju s hranom upotrebljava za proizvodnju, obradu, očuvanje ili stavljanje na tržište proizvoda ili tvari namijenjenih za ljudsku potrošnju. Pojam voda namijenjena za ljudsku potrošnju istovjetan je pojmu iz članka 3. stavka 1. točke 1. Zakona o vodi za ljudsku potrošnju (»Narodne novine«, br. 30/23.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva (EU) 2020/2184 Europskog parlamenta i Vijeća od 16. prosinca 2020. o kvaliteti vode namijenjene za ljudsku potrošnju (preinaka) (Tekst značajan za EGP) (SL L 435, 23. 12. 2020.) te sukladno Direktivi Vijeća 2013/51/Euratom od 22. listopada 2013. o utvrđivanju zahtjeva za zaštitu zdravlja stanovništva od radioaktivnih tvari u vodi namijenjenoj za ljudsku potrošnju (SL L 296, 7. 11. 2013.).	(I) opskrba vodom za piće i distribucija vode za piće, osim distribucije vode za ljudsku potrošnju ako ta usluga nije glavni dio opće djelatnosti distributera koji distribuiraju drugu robu i proizvode (dobavljači i distributeri vode namijenjene za ljudsku potrošnju)
7.	Otpadne vode		– poduzeća koja prikupljaju, odlažu ili pročišćavaju komunalne otpadne vode, sanitarne otpadne vode ili industrijske otpadne vode, isključujući poduzeća kojima prikupljanje, odlaganje ili pročišćavanje komunalnih otpadnih voda, otpadnih voda iz kućanstva ili industrijskih otpadnih voda nije ključni dio njihove općenite djelatnosti Pojam komunalne otpadne vode u smislu ovoga Zakona znači otpadne vode sustava javne odvodnje koje čine sanitarne otpadne vode ili otpadne vode koje su mješavina sanitarnih otpadnih voda s industrijskim otpadnim vodama i/ili oborinskim vodama određene aglomeracije.	(I) prikupljanje, pročišćavanje i odlaganje otpadnih voda, osim prikupljanja, odlaganja ili pročišćavanja komunalnih otpadnih voda, otpadnih voda iz kućanstava ili industrijskih otpadnih voda ako one nisu glavni dio općih djelatnosti poduzeća (poduzeća koja prikupljaju, odlažu ili pročišćavaju komunalne otpadne vode, otpadne vode iz kućanstava i industrijske otpadne vode)
			Pojam sanitarne otpadne vode u smislu ovoga Zakona znači otpadne vode koje se nakon korištenja ispuštaju iz stambenih objekata i uslužnih objekata te koje uglavnom potječu iz ljudskog metabolizma i aktivnosti kućanstava. Pojam industrijske otpadne vode u smislu ovoga Zakona znači sve otpadne vode, osim sanitarnih otpadnih voda i oborinskih voda, koje se ispuštaju iz prostora korištenih za obavljanje trgovine ili industrijske djelatnosti. Pojmovi komunalne otpadne vode, sanitarne otpadne vode i industrijske otpadne vode istovjetni su pojmovima iz članka 4. stavka 1. točaka 25., 34. i 81. Zakona o vodama (»Narodne novine«, br. 66/19., 84/21. i 47/23.) kojim je u hrvatsko zakonodavstvo preuzeta Direktiva Vijeća 91/271/EEZ od 21. svibnja 1991. o pročišćavanju komunalnih otpadnih voda (SL L 135, 30. 5. 1991.), dopunjena Direktivom Komisije 98/15/EZ od 27. veljače 1998. s obzirom na određene zahtjeve utvrđene u Dodatku I. (Tekst značajan za EGP) (SL L 67, 7. 3. 1998.).
8.	Regulacijske i zaštitne vodne građevine za obranu od poplava		Tijela/institucije koje su po Zakonu o vodama nadležne za upravljanje rizicima od poplava, što uključuje izgradnju, pogon i održavanje građevina/sustava za smanjenje rizika od poplava i građevina za osnovnu meliorizacijsku odvodnju koje izravno štite, smanjuju rizike i umanjuju štetu od poplava na poljoprivrednom zemljištu. Pojam poplava u smislu ovoga Zakona znači privremenu pokrivenost vodom zemljišta, koje obično nije prekriveno vodom, uzrokovana izlijevanjem rijeka, bujica, privremenih vodotoka, jezera i nakupljanja leda, kao i morske vode u priobalnim područjima i suvišnim podzemnim vodama; ovim pojmom nisu obuhvaćene poplave iz sustava javne odvodnje i istovjetan je pojmu određenom u članku 4. stavku 1. točki 64. Zakona o vodama (»Narodne novine«, br. 66/19., 84/21. i 47/23.). Pojam upravljanje rizicima od poplava u smislu ovoga Zakona znači izradu prethodne procjene rizika od poplava, izradu i provedbu planova upravljanja rizicima od poplava i Državnoga plana obrane od poplave, provedbenih i logističkih planova uz taj plan, uređenje voda, provedbu redovite i izvanredne obrane od poplava, provedbu obrane od leda na vodotocima, zaštitu od erozija i bujica, osnovnu melioracijsku odvodnju i provedbu ograničenja prava vlasnika i drugih posjednika zemljišta i istovjetan je pojmu određenom u članku 119. stavku 2. Zakona o vodama (»Narodne novine«, br. 66/19., 84/21. i 47/23.).	Izgradnja i održavanje građevina i sustava zaštite od štetnog djelovanja voda radi zaštite (zdravlja i života) ljudi, njihove imovine te zaštite gospodarstva, okoliša i kulturnog nasljeđa od poplava i drugih oblika štetnog djelovanja voda, uključujući i pravodobno upozoravanje na opasnost (sustavi dojavljivanja i prognoziranja) te pravodobno obavještavanje (uzbunjivanje)
			Pojam uređenje voda u smislu ovoga Zakona podrazumijeva: gradnju regulacijskih i zaštitnih vodnih građevina, gradnju građevina za osnovnu melioracijsku odvodnju i usluge održavanja voda, sve u svrhu neškodljivog protoka voda i istovjetan je pojmu određenom u članku 120. stavku 1. Zakona o vodama (»Narodne novine«, br. 66/19., 84/21. i 47/23.). Pojam održavanje voda u smislu ovoga Zakona znači: održavanje prirodnih i umjetnih vodotoka i drugih voda (čišćenje i uklanjanje nanosa, zemljani i slični radovi uređenja i održavanja obala, zemljani radovi u inundacijskom području manjeg opsega, krčenje i košenje raslinja, održavanje propusnosti propusta i prijelaza preko vodotoka), održavanje regulacijskih i zaštitnih vodnih građevina (popravci na kruni i pokosima nasipa, krčenje, košnja i radovi na vegetativnoj zaštiti vodnih građevina, popravci oštećenih dijelova vodnih građevina), održavanje građevina za osnovnu melioracijsku odvodnju (čišćenje, tehničko i vegetativno održavanje građevina i pojasa uz građevine, zemljani radovi na manjim izmjenama na kanalskoj mreži, održavanje izljeva ispusta drenažnih cijevi), održavanje građevina za sprječavanje i otklanjanje erozija i sprječavanje djelovanja bujica i istovjetan je pojmu određenom u članku 121. stavku 1. Zakona o vodama (»Narodne novine«, br. 66/19., 84/21. i 47/23.).
9.	Digitalna infrastruktura		– pružatelji središta za razmjenu internetskog prometa kako je definirano u članku 6. točki 18. Direktive (EU) 2022/2555 Prema članku 6. točki 18. Direktive (EU) 2022/2555, pojam središte za razmjenu internetskog prometa znači mrežni instrument koji omogućuje međupovezivanje više od dviju neovisnih mreža (autonomnih sustava), prvenstveno u svrhu olakšavanja razmjene internetskog prometa, koji omogućuje međupovezivanje samo za autonomne sustave i za koji nije potrebno da internetski promet između bilo kojih dvaju autonomnih sustava sudionika prođe kroz bilo koji treći autonomni sustav te koji takav promet ne mijenja i ne utječe na njega ni na koji drugi način. – pružatelji usluge DNS-a kako su definirani u članku 6. točki 20. Direktive (EU) 2022/2555, osim operatora korijenskih poslužitelja naziva Prema članku 6. točki 20. Direktive (EU) 2022/2555, pojam pružatelj usluga DNS-a znači subjekt koji pruža: a) javno dostupne rekurzivne usluge razlučivanja naziva domena krajnjim korisnicima interneta; ili (b) mjerodavne usluge razlučivanja naziva domena za upotrebu trećih strana, uz iznimku korijenskih poslužitelja naziva. – registri naziva vršnih domena kako su definirani u članku 6. točki 21. Direktive (EU) 2022/2555. Prema članku 6. točki 21. Direktive (EU) 2022/2555, pojam registar naziva vršnih domena znači subjekt kojem je delegirana određena vršna domena i koji je odgovoran za upravljanje njome, uključujući registraciju naziva domena u okviru vršne domene i tehničko upravljanje vršnom domenom, uključujući upravljanje njezinim poslužiteljima naziva, održavanje njezinih baza podataka i distribuciju datoteka iz zone vršne domene u poslužitelje naziva, neovisno o tome obavlja li sam subjekt bilo koju od tih operacija ili njihovo obavljanje eksternalizira, ali su isključene situacije u kojima registar koristi nazive vršnih domena samo za vlastitu upotrebu. – pružatelji usluga računalstva u oblaku kako su definirani u članku 6. točki 30. Direktive (EU) 2022/2555 Prema članku 6. točki 30. Direktive (EU) 2022/2555, pojam usluga računalstva u oblaku znači digitalna usluga koja omogućuje administraciju na zahtjev i širok daljinski pristup nadogradivom i elastičnom skupu djeljivih računalnih resursa, među ostalim kad su takvi resursi raspoređeni na nekoliko lokacija. – pružatelji usluga podatkovnog centra kako su definirani u članku 6. točki 31. Direktive (EU) 2022/2555	(I) pružanje i rad središta za razmjenu internetskog prometa (pružatelji središta za razmjenu internetskog prometa) (II) pružanje usluge sustava naziva domena (DNS), osim usluga povezanih s korijenskim poslužiteljima naziva (pružatelji DNS usluga) (III) rad registara naziva vršnih domena i upravljanje njima (registri naziva vršnih domena) (IV) pružanje usluga računalstva u oblaku (pružatelji usluga računalstva u oblaku) (V) pružanje usluga podatkovnog centra (pružatelji usluga podatkovnog centra) (VI) pružanje mreža za isporuku sadržaja (pružatelji mreža za isporuku sadržaja) (VII) pružanje usluga povjerenja (pružatelji usluga povjerenja) (VIII) pružanje javno dostupnih elektroničkih komunikacijskih usluga (pružatelji elektroničkih komunikacijskih usluga) (IX) pružanje javnih elektroničkih komunikacijskih mreža (pružatelji javnih elektroničkih komunikacijskih mreža)
			Prema članku 6. točki 31. Direktive (EU) 2022/2555, pojam usluga podatkovnog centra znači usluga koja uključuje strukture ili skupine struktura namijenjenih centraliziranom smještaju, međupovezivanju i radu opreme informacijske tehnologije i mreža za usluge pohrane, obrade i prijenosa podataka, uključujući sve objekte i infrastrukturu za distribuciju električne energije i kontrolu okoliša – pružatelji mreža za isporuku sadržaja kako su definirani u članku 6. točki 32. Direktive (EU) 2022/2555 Prema članku 6. točki 32. Direktive (EU) 2022/2555, pojam mreža za isporuku sadržaja znači mreža zemljopisno raspoređenih poslužitelja u svrhu osiguravanja visoke dostupnosti, pristupačnosti ili brze isporuke digitalnog sadržaja i usluga korisnicima interneta u ime pružatelja sadržaja i usluga.
			– pružatelji usluga povjerenja kako su definirani u članku 3. točki 19. Uredbe (EU) br. 2024/1183 Europskog parlamenta i Vijeća Prema članku 3. točki 19. Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća, pojam pružatelj usluga povjerenja znači fizička ili pravna osoba koja pruža jednu ili više usluga povjerenja bilo kao kvalificirani ili nekvalificirani pružatelj usluga povjerenja. – pružatelji javnih elektroničkih komunikacijskih mreža kako su definirani u članku 2. točki 8. Direktive (EU) 2018/1972 Europskog parlamenta i Vijeća Prema članku 2. točki 8. Direktive (EU) 2018/1972 Europskog parlamenta i Vijeća, pojam javna elektronička komunikacijska mreža znači elektronička komunikacijska mreža koja se u cijelosti ili većim dijelom upotrebljava za pružanje javno dostupnih elektroničkih komunikacijskih usluga, koje podržavaju prijenos informacija među završnim točkama mreže. – pružatelji elektroničkih komunikacijskih usluga kako su definirani u članku 2. točki 4. Direktive (EU) 2018/1972 u mjeri u kojoj su njihove usluge javno dostupne Prema članku 2. točki 4. Direktive (EU) 2018/1972 Europskog parlamenta i Vijeća, pojam elektronička komunikacijska usluga znači usluga koja se uobičajeno pruža uz naknadu putem elektroničkih komunikacijskih mreža, a obuhvaća, uz izuzetak usluga pružanja sadržaja ili obavljanja uredničkog nadzora nad sadržajem koji se prenosi uporabom elektroničkih komunikacijskih mreža i usluga, sljedeće vrste usluga: (a) »uslugu pristupa internetu« kao javno dostupna elektronička komunikacijska usluga kojom se omogućuje pristup internetu te time povezivanje s gotovo svim krajnjim točkama interneta, bez obzira na mrežnu tehnologiju i terminalnu opremu koja se upotrebljava; (b) »interpersonalnu komunikacijsku uslugu«; i (c) usluge koje se sastoje u cijelosti, ili većim dijelom, od prijenosa signala kao što su usluge prijenosa koje se upotrebljavaju za pružanje usluga komunikacije između strojeva i za radiodifuziju – u mjeri u kojoj su njihove usluge javno dostupne.
10.	Javni sektor		– tijela državne vlasti – druga državna tijela – tijela državne uprave i pravne osobe s javnim ovlastima
11.	Proiz­vodnja, prerada i distribucija hrane		– subjekti u poslovanju s hranom znači »bilo koje poduzeće, bez obzira na to ostvaruje li dobit ili ne i je li javno ili privatno, u sklopu kojeg se izvršavaju poslovi vezani za bilo koju fazu proizvodnje, prerade i distribucije hrane«, sukladno članku 3. točki 2. Uredbe (EZ) br. 178/2002 Europskog parlamenta i Vijeća. Odnosi se na subjekte koji se bave isključivo logistikom i veleprodajnom distribucijom te masovnom industrijskom proizvodnjom i preradom.	(I) masovna industrijska proizvodnja i prerada hrane (II) usluge lanca opskrbe hranom, uključujući skladištenje i logistiku (III) masovna distribucija hrane
12.	Proizvodnja, skladištenje i prijevoz opasnih tvari	a) proiz­vodnja, skladištenje i distribucija opasnih tvari – kemijskih	– kemijski subjekti koji se bave proizvodnjom, korištenjem, distribucijom opasnih tvari – kemikalijama Pojam proizvodnja u smislu ovoga Zakona znači tvorbu putem kemijske reakcije, izradu i doradu, oblikovanje, preradu, punjenje, pretakanje, miješanje kemikalija u međuproizvode i konačne proizvode, uz kemijske, fizikalne ili biološke procese i postupke te prijenos i međuskladištenje unutar proizvodne lokacije. Proizvodnjom u smislu ove točke smatra se proizvodnja tvari i smjesa.	a) proizvodnja, korištenje, skladištenje, distribucija kemikalija i kemijskih proizvoda b) proizvodnja, korištenje, skladištenje, distribucija farmaceutskih proizvoda
			Pojam korištenje u smislu ovoga Zakona znači pretvorbu u drugu kemikaliju kemijskom reakcijom, preradu, potrošnju, obradu, uporabu ili miješanje. Pojam distribucija u smislu ovoga Zakona znači uvoz, unos, kupnju i prodaju kemikalije na malo i na veliko te obavljanje posredovanja.
		b) proizvodnja, skladištenje i distribucija opasnih tvari – bioloških	– biološki subjekti koji se bave proizvodnjom, preradom, korištenjem, distribucijom opasnih tvari – bioloških Pojam proizvodnja i/ili prerada u smislu ovoga Zakona znači tvar koja se proizvodi ili izlučuje iz biološkog izvora (ljudskog, životinjskog, biljnog ili mikrobiološkog) te prijenos i međuskladištenje unutar proizvodne lokacije. Proizvodnjom u smislu ove točke smatra se proizvodnja tvari ili smjesa tvari. Pojam korištenje u smislu ovoga Zakona znači prerada, potrošnja, obrada, uporaba ili miješanje. Pojam distribucija u smislu ovoga Zakona znači uvoz, unos, kupnja i prodaja bioloških tvari na malo i na veliko te obavljanje posredovanja.	a) proizvodnja, prerada, korištenje, distribucija opasnih tvari – bioloških
13.	Znanost i obrazovanje	a) znanstveni instituti b) visoka učilišta
14.	Svemir		– operatori zemaljske infrastrukture, koji su u vlasništvu, kojima upravljaju i koje vode države članice ili privatne strane te koji podupiru pružanje usluga u svemiru, isključujući pružatelje javnih elektroničkih komunikacijskih mreža	(I) rad zemaljske infrastrukture, koja je u vlasništvu, kojom upravljaju i koju vode države članice ili privatne osobe te koja podupire pružanje usluga u svemiru, isključujući pružatelje javnih elektroničkih komunikacijskih mreža (operatori zemaljske infrastrukture)
15.	Kultura i mediji	a) središnje nacionalne ustanove u kulturi	– središnje ustanove za čuvanje i upravljanje arhivskom i knjižnom građom	– prikupljanje, trajno čuvanje i pružanje usluge korištenja građe
		b) nacionalne medijske ustanove	– središnja novinska agencija i Hrvatska radiotelevizija	– pružanje usluge informiranja i trajno čuvanje informacija