Direttiva 2008/114

Direttiva 2008/114/CE sulle infrastrutture critiche europee

La direttiva costituisce il primo passo di un approccio graduale dell’Unione alla protezione delle infrastrutture critiche europee (ECI), con l’obiettivo di rafforzarne la resilienza rispetto a minacce, rischi e vulnerabilità, in particolare di matrice terroristica, ma con impostazione multirischio. Il testo si fonda sul principio che la responsabilità primaria della protezione ricade sugli Stati membri e sui proprietari/operatori, mentre il livello UE fornisce una cornice comune minima di individuazione, designazione e cooperazione.

Obiettivi e impianto generale

La direttiva mira a:

• individuare le infrastrutture critiche europee;
• designarle tramite una procedura comune;
• valutare la necessità di migliorare la loro protezione;
• favorire cooperazione, scambio di informazioni e uso di best practices.

I considerando chiariscono che l’azione dell’Unione è giustificata dalla natura transfrontaliera di talune infrastrutture e dal fatto che gli Stati membri, singolarmente, non sarebbero in grado di conseguire in misura sufficiente il risultato perseguito. Viene anche sottolineata la necessità di evitare duplicazioni con misure settoriali già esistenti e di rispettare sussidiarietà, proporzionalità, riservatezza e coinvolgimento del settore privato.

Ambito materiale e definizioni

L’articolo 2 fornisce le definizioni centrali. In particolare:

• "infrastruttura critica" è un elemento, sistema o parte di esso ubicato negli Stati membri essenziale per le funzioni vitali della società, della salute, della sicurezza e del benessere economico e sociale;
• "ECI" è un’infrastruttura critica il cui danneggiamento o distruzione avrebbe un impatto significativo su almeno due Stati membri;
• l’impatto è valutato anche in termini di interdipendenze intersettoriali;
• "analisi dei rischi" riguarda scenari di minaccia, vulnerabilità e impatto potenziale;
• "informazioni sensibili" sono i fatti la cui divulgazione potrebbe agevolare azioni dannose contro l’infrastruttura;
• "protezione" comprende tutte le attività per assicurare funzionalità, continuità e integrità dell’infrastruttura;
• i "proprietari/operatori" sono i soggetti responsabili degli investimenti e/o della gestione quotidiana.

Settori interessati

L’atto si applica inizialmente solo ai settori dell’energia e dei trasporti, con i sottosettori indicati nell’allegato I:

• energia: elettricità, petrolio, gas;
• trasporti: trasporto stradale, ferroviario, aereo, vie di navigazione interna, trasporto oceanico, trasporto marittimo a corto raggio e porti.

Il testo precisa che l’elenco dei settori non implica di per sé l’obbligo di designare una ECI in ciascun settore. Il riesame potrà valutare l’inclusione di altri settori, con priorità alle tecnologie dell’informazione e della comunicazione (ICT).

Procedura di individuazione delle ECI

L’articolo 3 affida a ciascuno Stato membro il compito di individuare, secondo la procedura dell’allegato III, le potenziali ECI che soddisfano criteri settoriali e intersettoriali.

I criteri intersettoriali includono:

• numero di vittime;
• conseguenze economiche, comprese eventuali conseguenze ambientali;
• conseguenze per i cittadini, quali impatto sulla fiducia, sofferenze fisiche e perturbazione della vita quotidiana, inclusa la perdita di servizi essenziali.

Le soglie dei criteri intersettoriali sono determinate caso per caso dagli Stati membri interessati dalla specifica infrastruttura. La Commissione, in collaborazione con gli Stati membri, elabora linee guida e soglie approssimative, ma il loro uso resta facoltativo. Gli Stati membri informano annualmente la Commissione del numero di infrastrutture per settore oggetto di discussioni sulle soglie.

L’allegato III dettaglia una procedura in quattro tappe:

• prima selezione tramite criteri settoriali;
• applicazione della definizione di infrastruttura critica nazionale;
• verifica dell’elemento transfrontaliero della definizione di ECI;
• applicazione finale dei criteri intersettoriali.

Le infrastrutture che non superano una tappa non sono considerate ECI.

Designazione e cooperazione tra Stati membri

L’articolo 4 disciplina la designazione vera e propria. Lo Stato membro in cui è ubicata la potenziale ECI deve:

• informare gli altri Stati membri significativamente interessati;
• avviare discussioni bilaterali e/o multilaterali;
• ottenere il consenso degli Stati interessati e, in ogni caso, del proprio Stato ospitante.

La Commissione può partecipare alle discussioni, ma non accede alle informazioni che consentirebbero di identificare inequivocabilmente la specifica infrastruttura. Una volta designata, l’ECI viene comunicata annualmente alla Commissione in termini numerici e per settore; solo gli Stati membri significativamente interessati possono conoscerne l’identità.

Il processo di individuazione e designazione deve essere completato entro il 12 gennaio 2011 ed è soggetto a riesame periodico.

Piani di sicurezza per gli operatori (PSO)

L’articolo 5 impone, per ciascuna ECI, la presenza di un piano di sicurezza per gli operatori (PSO) o di misure equivalenti. Il PSO deve individuare gli elementi critici e le soluzioni di sicurezza esistenti o in corso di attuazione; il contenuto minimo è fissato nell’allegato II.

La procedura minima comprende:

• individuazione degli elementi importanti;
• analisi dei rischi basata sulle minacce più gravi, sulla vulnerabilità e sull’impatto potenziale;
• selezione e prioritarizzazione di contromisure e procedure, distinguendo tra misure permanenti e misure graduali.

Gli Stati membri devono verificare se il PSO o l’equivalente esiste già e, in caso affermativo, non sono necessarie ulteriori azioni. Se non esiste, devono adottare i provvedimenti necessari affinché sia predisposto. Il PSO deve essere adottato e periodicamente riesaminato entro un anno dalla designazione della infrastruttura come ECI; tale termine può essere prorogato in circostanze eccezionali previo accordo con l’autorità competente e notifica alla Commissione.

La direttiva precisa inoltre che si considerano conformi i meccanismi settoriali già esistenti che impongono un piano simile o equivalente e il relativo controllo da parte dell’autorità competente.

Funzionari di collegamento in materia di sicurezza

L’articolo 6 prevede che ogni ECI disponga di un funzionario di collegamento in materia di sicurezza, o di figura equivalente, quale punto di contatto tra proprietario/operatore e autorità competente.

Gli Stati membri devono verificare la presenza di tale figura e, se assente, adottare le misure necessarie per la sua nomina. Deve inoltre essere istituito un meccanismo di comunicazione idoneo allo scambio di informazioni utili su rischi e minacce, senza pregiudizio delle norme nazionali sull’accesso alle informazioni sensibili e classificate.

Anche qui vale la clausola di equivalenza: l’osservanza di misure settoriali o comunitarie che prevedano un funzionario o piano equivalente è considerata sufficiente.

Comunicazioni, valutazioni e supporto della Commissione

L’articolo 7 impone agli Stati membri una valutazione delle minacce entro un anno dalla designazione dell’ECI nei sottosettori interessati. Ogni due anni devono poi trasmettere alla Commissione dati sintetici su rischi, minacce e vulnerabilità per settore di ECI situato nel loro territorio.

La Commissione può predisporre un modello comune di comunicazione e, con gli Stati membri, linee guida metodologiche comuni per la valutazione dei rischi; l’uso di tali linee guida è facoltativo. Sulla base delle informazioni ricevute, Commissione e Stati membri valutano eventuali ulteriori misure di protezione a livello UE, in connessione con il riesame della direttiva.

L’articolo 8 prevede che la Commissione sostenga proprietari/operatori tramite le autorità nazionali competenti, offrendo accesso a best practices, metodologie, formazione e scambio di informazioni sugli sviluppi tecnici.

Riservatezza e uso delle informazioni sensibili

L’articolo 9 disciplina il trattamento delle informazioni classificate e sensibili. Il personale che tratta informazioni classificate per conto di uno Stato membro o della Commissione è soggetto a un’adeguata indagine di sicurezza. Le informazioni sensibili comunicate nell’ambito della direttiva non possono essere usate per finalità diverse dalla protezione delle infrastrutture critiche.

La tutela si estende anche allo scambio di informazioni non scritte durante riunioni su temi sensibili. La riservatezza deve essere assicurata nel rispetto della normativa nazionale e del regolamento (CE) n. 1049/2001, oltre che delle regole UE e nazionali in materia di classificazione.

Punti di contatto PICE

L’articolo 10 impone a ciascuno Stato membro di nominare un punto di contatto per la protezione delle infrastrutture critiche europee (punto di contatto PICE). Tale soggetto coordina le questioni relative alle ECI all’interno dello Stato membro e nei rapporti con gli altri Stati membri e con la Commissione, senza escludere il coinvolgimento di altre autorità nazionali.

Riesame, recepimento ed entrata in vigore

L’articolo 11 stabilisce che il riesame della direttiva è avviato il 12 gennaio 2012.

L’articolo 12 fissa il termine di recepimento al 12 gennaio 2011. Gli Stati membri devono comunicare immediatamente alla Commissione il testo delle misure nazionali adottate e la relativa corrispondenza con la direttiva. Le misure di recepimento devono contenere un riferimento alla direttiva o esserne corredate all’atto della pubblicazione ufficiale.

L’articolo 13 dispone che la direttiva entri in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea; l’articolo 14 indica gli Stati membri come destinatari.

Allegati: contenuti operativi rilevanti

Gli allegati hanno rilievo pratico per la trasposizione nazionale.

L’allegato II definisce il contenuto minimo del PSO, includendo misure permanenti di sicurezza, come:

• strumenti tecnici di rilevazione, controllo accessi, protezione e prevenzione;
• misure organizzative, incluse procedure di allarme e gestione delle crisi;
• controlli e verifiche;
• comunicazioni;
• sensibilizzazione e addestramento;
• sicurezza dei sistemi informativi.

Prevede inoltre misure graduali attivabili in funzione dei livelli di rischio e minaccia.

L’allegato III scandisce in modo sequenziale la procedura di identificazione delle ECI, precisando che le infrastrutture potenziali che non soddisfano una delle tappe non possono essere designate. Il risultato finale della procedura è condiviso solo con gli Stati membri significativamente interessati, in linea con l’impostazione di riservatezza della direttiva.