Source: OJ L 333, 27.12.2022, pp. 164–198

Article 8 Entités critiques des secteurs des banques, des infrastructures des marchés financiers et des infrastructures numériques

Summary What does Article 8 of the CER directive say?

Article 8 functions as a carve-out provision, establishing that certain critical entities are exempt from key obligations that apply to critical entities more broadly under this Directive.

Specifically, critical entities identified in the banking, financial market infrastructure, and digital infrastructure sectors (points 3, 4 and 8 of the Annex) are excluded from the cross-border consultation requirements of Article 11 and from the resilience obligations, incident notification rules, and supervision and enforcement provisions found in Chapters III, IV and VI.

This exemption exists because those sectors are already subject to equivalent obligations under other Union legal acts, notably DORA and NIS2.

Member States retain the ability to go further under national law, provided they stay within the bounds of applicable Union law.

Important points:

Member States are required to ensure that critical entities in the banking, financial market infrastructure, and digital infrastructure sectors are not subject to Article 11 or Chapters III, IV and VI of this Directive.
This article acts as an exception to the general obligations placed on critical entities throughout the Directive, reflecting that these sectors are governed by sector-specific Union rules.
Member States may adopt or maintain national provisions to achieve a higher level of resilience for these entities, as long as those provisions are consistent with applicable Union law.

Springlex's summary of the article, a reading aid, not a substitute for the legal text.

Les États membres veillent à ce que l’article 11 et les chapitres III, IV et VI ne s’appliquent pas aux entités critiques qu’ils ont recensées dans les secteurs figurant aux points 3, 4 et 8 du tableau de l’annexe. Les États membres peuvent adopter ou maintenir des dispositions de droit national afin d’atteindre un niveau de résilience plus élevé pour ces entités critiques à condition que ces dispositions soient compatibles avec le droit de l’Union applicable.

Relevant recitals

Considérant 20 All-hazards approach of the NIS 2 directive

La directive (UE) 2022/2555 impose aux entités appartenant au secteur des infrastructures numériques qui pourraient être recensées en tant qu’entités critiques en vertu de la présente directive de prendre des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information et de signaler les cybermenaces et les incidents importants. Étant donné que les menaces pesant sur la sécurité des réseaux et des systèmes d’information peuvent avoir des origines différentes, la directive (UE) 2022/2555 applique une approche tous risques qui inclut la résilience des réseaux et des systèmes d’information ainsi que des composants et environnements physiques de ces systèmes.

Les exigences établies par la directive (UE) 2022/2555 à cet égard étant au moins équivalentes aux obligations correspondantes établies par la présente directive, les obligations établies à l’article 11 et aux chapitres III, IV et VI de la présente directive ne devraient pas s’appliquer aux entités appartenant au secteur des infrastructures numériques de manière à éviter tout double emploi et des charges administratives inutiles. Toutefois, compte tenu de l’importance des services fournis par les entités appartenant au secteur des infrastructures numériques à des entités critiques appartenant à tous les autres secteurs, les États membres devraient recenser, sur la base des critères et selon la procédure prévus dans la présente directive, les entités appartenant au secteur des infrastructures numériques en tant qu’entités critiques. Par conséquent, les stratégies, les évaluations des risques d’États membres et les mesures de soutien énoncées au chapitre II de la présente directive devraient s’appliquer. Les États membres devraient pouvoir adopter ou maintenir des dispositions de droit national afin d’atteindre un niveau de résilience plus élevé pour ces entités critiques, à condition que ces dispositions soient compatibles avec le droit de l’Union applicable.

Considérant 21 Exemptions for financial entities under the DORA regulation

Le droit de l’Union relatif aux services financiers impose aux entités financières des exigences étendues visant à ce que tous les risques auxquels elles sont confrontées soient gérés, y compris les risques opérationnels, et à garantir la continuité des activités. Ce droit comprend les règlements (UE) n^o 648/2012(⁸), (UE) n^o 575/2013(⁹) et (UE) n^o 600/2014(¹⁰) du Parlement européen et du Conseil et les directive 2013/36/UE(¹¹) et 2014/65/UE(¹²) du Parlement européen et du Conseil. Ce cadre juridique est complété par le règlement (UE) 2022/2554 du Parlement européen et du Conseil(¹³), qui fixe des exigences applicables aux entités financières en matière de gestion des risques liés aux technologies de l’information et de la communication (TIC), y compris en matière de protection des infrastructures physiques des TIC. Étant donné que la résilience de ces entités est dès lors entièrement couverte, l’article 11 et les chapitres III, IV et VI de la présente directive ne devraient pas s’appliquer à ces entités, afin d’éviter des doubles emplois et des charges administratives inutiles.

Toutefois, compte tenu de l’importance des services fournis par les entités du secteur financier à des entités critiques appartenant à tous les autres secteurs, les États membres devraient recenser, sur la base des critères et selon la procédure prévus dans la présente directive, les entités du secteur financier en tant qu’entités critiques. Par conséquent, les stratégies, les évaluations des risques d’États membres et les mesures de soutien énoncées au chapitre II de la présente directive devraient s’appliquer. Les États membres devraient pouvoir adopter ou maintenir des dispositions de droit national afin d’atteindre un niveau de résilience plus élevé pour ces entités critiques, à condition que ces dispositions soient compatibles avec le droit de l’Union applicable.

Table of contents

Springlex and this text is meant purely as a documentation tool and has no legal effect. No liability is assumed for its content. The authentic version of this act is the one published in the Official Journal of the European Union.