[pic] | KOMMISSIONEN FOR DE EUROPÆISKE FÆLLESSKABER |

Bruxelles, den 12.12.2006

SEK(2006) 1648

ARBEJDSDOKUMENT FRA KOMMISSIONENS TJENESTEGRENE

Ledsagedokument til Forslag til RÅDETS DIREKTIV om indkredsning og klassificering af europæisk kritisk infrastruktur og vurdering af behovet for at beskytte den RESUMÉ AF KONSEKVENSANALYSEN

{KOM(2006) 787 endelig}{SEK(2006) 1654}

RESUMÉ AF KONSEKVENSANALYSEN

Baggrund

EU's sikkerhed og økonomi såvel som EU-borgernes velfærd afhænger af bestemte former for infrastruktur og de tjenester, de leverer. Hvis infrastruktur, der leverer en række meget vigtige tjenester, ødelægges eller afbrydes, kan det medføre tab af menneskeliv, tab af ejendom og sammenbrud i EU-befolkningens tillid og moral.

Kritisk infrastruktur kan beskadiges, ødelægges eller afbrydes på grund af en lang række menneskeskabte begivenheder eller naturkatastrofer. Alle afbrydelser af kritisk infrastruktur eller alle utilsigtede ændringer, som ikke afbryder den, bør så vidt muligt kun forekomme kortvarigt og sjældent, være relativ lette at forvalte, være geografisk afgrænsede og skade medlemsstaternes, deres borgeres og EU's velfærd mindst muligt.

Hvad er problemet?

Det problem, der skal løses, vedrører sårbarheden ved kritisk infrastruktur i EU og dermed sårbarheden af de tjenesteydelser, den leverer. Det bagvedliggende problem er, at en lav beskyttelsesgrad i visse medlemsstater kan øge sårbarheden i andre medlemsstater.

Hvem påvirkes?

Problemet kan potentielt påvirke alle indbyggere i EU, erhvervslivet, medlemsstaternes regeringer og EU som helhed. Virkningerne kan være både direkte (f.eks. tab af menneskeliv som følge af et terrorangreb) og indirekte (f.eks. afbrydelse af visse tjenester, efter at der er opstået problemer med særlig infrastruktur).

Hvorfor er det så presserende med en indsats på EU-plan?

- Et stigende antal medlemsstater er ved at forberede deres egne strategier for beskyttelse af kritisk infrastruktur og venter på, at Kommissionen fremsætter forslag om et generelt europæisk program til beskyttelse af kritisk infrastruktur, således at de kan tage hensyn til den fælles EU-strategi. En udskydelse af vedtagelsen af fælles regler vil øge risikoen for, at medlemsstaterne udvikler forskellige uforenelige strategier for så vidt angår beskyttelse af kritisk infrastruktur.

- Svage led må fjernes, navnlig når der er risiko for konsekvenser på tværs af grænserne. Det er nødvendigt at minimere risikoen for, at en medlemsstat kommer til at lide, fordi en anden ikke har gjort nok for i tilstrækkelig grad at beskytte infrastruktur på sit område.

- Det er nødvendigt at minimere de supplerende udgifter for virksomheder, der fungerer i mere end én medlemsstat, som følge af forskelle i sikkerhedsforanstaltningerne.

- Nogle former for infrastruktur bliver i stadig højere grad europæiske, hvilket betyder, at det er utilstrækkeligt med en ren national strategi, f.eks. energipipelines og transmissionsnet.

- Noget af arbejdet vedrørende de nærmere detaljer for, hvordan kritisk infrastruktur i EU bedre kan beskyttes (navnlig for så vidt angår indkredsning af indbyrdes afhængighed) kan med rimelighed forventes at tage lang tid. Dette arbejde bør indledes snarest muligt og tage udgangspunkt i en fælles strategi.

- Der har siden 2004 være afholdt høringer af de berørte parter, og der er bl.a. blevet afholdt tre seminarer på EU-plan vedrørende beskyttelse af kritisk infrastruktur, vedtaget en grønbog og afholdt to uformelle møder for kontaktpunkterne for beskyttelse af kritisk infrastruktur samt adskillige bilaterale møder med repræsentanter for regeringen og den private sektor.

- Truslerne fra kriminalitet og terrorangreb forsvinder ikke, og det er i medlemsstaternes og Kommissionens interesse at beskytte infrastrukturen herimod og sikre synergi i deres bestræbelser.

Mål

Det generelle mål for den foreslåede politik vedrørende beskyttelse af kritisk infrastruktur er at forbedre beskyttelsen af kritisk infrastruktur i EU.

Fordelene og ulemperne af fire særskilte politiske løsningsmodeller

Der er indkredset en række mulige politiske løsningsmodeller med henblik på at nå ovennævnte mål:

1. Afstå fra at tage fat på spørgsmål vedrørende beskyttelse af kritisk infrastruktur på EU-plan. Dette vil medføre, at der ingen generelle foranstaltninger træffes på EU-plan.

Ikke at ændre på tingenes tilstand har ingen klare fordele for så vidt angår forbedring af beskyttelsen af kritisk infrastruktur i EU. Det giver imidlertid en række ulemper for så vidt angår konkurrencespørgsmål, større udgifter til erhvervslivet og utilstrækkelig sikkerhed. Denne løsningsmodel har alle medlemsstater afvist, idet de generelt finder, at der er behov for at tage fat på problemet med beskyttelse af kritisk infrastruktur ud fra et europæisk perspektiv.

2. Udformning af ikke-bindende regler, hvilket indebærer, at medlemsstaterne vil være frit stillet til at beslutte, om de vil anvende dem eller ej.

Den klare fordel ved denne løsningsmodel vil være, at der udformes regler, der har til formål at skabe tillid mellem alle berørte parter. Denne fordel opvejer dog ikke de store ulemper som følge af bl.a. de øgede udgifter, konkurrencespørgsmålet og den øgede sikkerhedsrisiko. Sikkerhedsspørgsmålet er et af nøgleproblemerne i forbindelse med denne løsningsmodel. Ikke-bindende regler vil ikke sikre det nødvendige grundlag for, at alle medlemsstater gennemfører tilstrækkelige beskyttelsesforanstaltninger i forbindelse med deres kritiske infrastruktur.

3. Udformning af fleksible regler. Dette medfører, at der skal træffes en række bindende foranstaltninger på EU-plan. Medlemsstaterne vil blive underkastet visse generelle forpligtelser, men der vil stadig blive lagt stor vægt på udveksling af bedste praksis, dialog og opbygning af tillid på EU-plan.

Fleksible regler giver den bedste afvejning af fordele og ulemper. Denne fremgangsmåde vil sikre konkurrencen, give virksomheder, der arbejder i mere end én medlemsstat, lavere udgifter og øge sikkerheden i EU. Disse klare fordele synes at opveje ulemperne på udgiftssiden. En anden mulig ulempe er, at der indføres endnu et sæt regler på EU-plan. Ud fra hensynet til sikkerheden synes det dog at være begrundet.

4. Fuld harmonisering på EU-plan. I medfør af denne løsningsmodel vil der på EU-plan blive foreslået foranstaltninger for så vidt angår tilrettelæggelsen af spørgsmål vedrørende beskyttelse af kritisk infrastruktur i medlemsstaterne og beskyttelseskravene til ejere/operatører af kritisk infrastruktur.

En fuldstændig harmonisering giver flere klare fordele og ulemper. Det positive vil være, at kritisk infrastruktur i EU i højere grad vil blive beskyttet. Til gengæld vil dette medføre høje udgifter, og det vil være svært at opbygge et tillidsforhold mellem de berørte parter. Derudover har de medlemsstater, der ønsker, at EPCIP-programmet skal bygge videre på og supplere de resultater, de allerede har nået, forkastet denne løsningsmodel. Løsningsmodellen kan være i strid med subsidiaritetsprincippet og proportionalitetsprincippet og vil sandsynligvis blive afvist af alle medlemsstater.

Analysen af de fire politiske løsningsmodeller, der nævnes ovenfor bekræfter, at en indsats på EU-plan vil give en merværdi, og at der i høj grad er behov for denne indsats. Løsningsmodel 3 synes at give de største fordele.

Under hensyn til, at EPCIP-programmet udgør en fuldstændig ny politik, og at der derfor er brug for en fremgangsmåde, hvor der skridt for skridt tages fat på problemerne på området beskyttelse af kritisk infrastruktur, vil den bedst gennemførlige løsningsmodel imidlertid være en kombination af løsningsmodel 2 og 3. De overordnede regler for EPCIP-programmet skal derfor være indeholdt i et ikke-bindende instrument, mens nogle få nøglekrav vedrørende europæisk kritisk infrastruktur skal indføres ved hjælp af bindende foranstaltninger.

Virkningerne af den anbefalede politik med bindende og ikke-bindende foranstaltninger

Behovet for en overordnet og sammenhængende løsningsmodel med flere trin for at fastsætte EPCIP-programmet fortjener en kombination af bindende og ikke-bindende foranstaltninger.

I forbindelse med hver af disse nøgleelementer vurderes virkningerne af bindende og ikke-bindende instrumenter[1]. Da det generelle mål for EPCIP-programmet er at forbedre beskyttelsen af kritisk infrastruktur i EU, afvejes de positive virkninger for sikkerheden ved nøgleelementerne mod de potentielle udgifter.

1. Deltagelse i ekspertgrupper på EU-plan vedrørende beskyttelse af kritisk infrastruktur. Det er yderst vigtigt at opbygge et tillidsforhold mellem alle, der er involveret i beskyttelsen af kritisk infrastruktur, for at sikre, at projektet bliver en succes på lang sigt. Sådanne ekspertgrupper vedrørende beskyttelse af kritisk infrastruktur vil have en meget positiv virkning for så vidt angår sikkerheden. Udgifterne kan begrænses, da ekspertgrupperne kun skal nedsættes, når der er behov herfor, og de arbejder uden beregning. Da disse ekspertgrupper vil fungere på frivillig basis, bør de være omfattet af de ikke-bindende regler for EPCIP-programmet.

2. Anvendelse af sikker informationsdeling vedrørende beskyttelse af kritisk infrastruktur. Informationsdelingen om beskyttelse af kritisk infrastruktur mellem de berørte parter kræver, at der består et tillidsforhold mellem dem. Det er ikke muligt at støtte den frivillige informationsdeling ved brug af bindende foranstaltninger, da de ville have den modsatte virkning og hverken opbygge et tillidsforhold eller lette dialogen. Virkningerne for sikkerheden vil selvfølgelig være positive. Det kan forventes, at udgifterne fortsat er lave, da foranstaltningerne er ikke-bindende og er mere relevante for at skabe en mere sikkerhedsorienteret måde at tænke på.

3. Indkredsning og analyse af den indbyrdes afhængighed. Indkredsningen og analysen af den indbyrdes afhængighed, både geografisk og sektormæssigt, vil udgøre et vigtigt element for at forbedre beskyttelsen af kritisk infrastruktur i EU. Der kan ikke pålægges bindende foranstaltninger i den forbindelse, da indkredsningen af indbyrdes afhængighed indgår som en del af en større proces, der kræver samarbejde og koordinering mellem flere berørte parter. Det er ikke muligt på nuværende tidspunkt at foretage et skøn over udgifterne, da der er tale om en fortløbende proces. EU kan bidrage med midler til processen.

4. Udformning af nationale programmer til beskyttelse af kritisk infrastruktur. Selv om det klart er ejerne/operatørerne af national kritisk infrastruktur og medlemsstaterne, der har ansvaret for denne infrastruktur, vil det på fællesskabsplan være nyttigt at sikre, at hver medlemsstat i tilstrækkelig grad tager sig af spørgsmålet om beskyttelse af national kritisk infrastruktur. Det vil måske ikke være muligt fra begyndelsen at indføre bindende foranstaltninger for så vidt angår de nationale programmer til beskyttelse af kritisk infrastruktur, selv om der er klare sikkerhedsmæssige fordele herved. Subsidiaritetsprincippet og behovet for en løsningsmodel bestående af flere trin i forbindelse med EPCIP-programmet kan begrunde, at der indføres bindende foranstaltninger i tilknytning til spørgsmål om europæisk kritisk infrastruktur. Det kan begrundes, at der anvendes ikke-bindende foranstaltninger i forbindelse med de nationale programmer for beskyttelse af kritisk infrastruktur. Det vil imidlertid være nødvendigt at tage denne løsning op til fornyet vurdering, efterhånden som der gøres fremskridt i spørgsmål vedrørende europæisk kritisk infrastruktur.

5. Hver medlemsstats indkredsning af national kritisk infrastruktur. En forudsætning for at sikre, at national kritisk infrastruktur er tilstrækkelig beskyttet, er, at den er indkredset. Bindende foranstaltninger i forbindelse med indkredsning af national kritisk infrastruktur vil give større sikkerhedsmæssige fordele end ikke-bindende. Som følge af subsidiaritetsprincippet og behovet for først at koncentrere sig om spørgsmål i forbindelse med europæisk kritisk infrastruktur, kan anvendelsen af ikke-bindende foranstaltninger til indkredsning af national kritisk infrastruktur være begrundet. I takt med at EU's erfaringer på området beskyttelse af kritisk infrastruktur vokser, kan det imidlertid være nødvendigt at tage denne beslutning op til fornyet vurdering.

6. Udpegelse i hver medlemsstat af et kontaktpunkt for beskyttelse af kritisk infrastruktur. Der er brug for, at hver medlemsstat udpeger et kontaktpunkt for beskyttelse af kritisk infrastruktur, som skal have et generelt overblik over aktiviteterne i forbindelse med beskyttelse af kritisk infrastruktur i medlemsstaten og koordinere denne beskyttelse internt i medlemsstaten og med andre medlemsstater, Rådet og Kommissionen. Kun bindende foranstaltninger vil sikre, at hver medlemsstat udfører de nødvendige opgaver. Ikke-bindende foranstaltninger kan i nogen grad være velegnede, men de kan på ingen måde garantere, at hver medlemsstat udpeger et kontaktpunkt. Det er derfor at foretrække, at der vedtages bindende bestemmelser for så vidt angår udpegelse af et kontaktpunkt vedrørende beskyttelse af kritisk infrastruktur.

7. Indkredsning og klassificering af europæisk kritisk infrastruktur. Indkredsning og klassificering af europæisk kritisk infrastruktur er selve kernen i EPCIP-programmet, da det kun er muligt at sikre en bedre beskyttelse af kritisk infrastruktur, når den relevante infrastruktur er blevet indkredset. Det skal gøres på en koordineret måde, og processen kan kun blive vellykket, hvis det sker på EU-plan.

Kun bindende bestemmelser for så vidt angår indkredsning og klassificering af europæisk kritisk infrastruktur kan sikre, at målene for EPCIP-programmet med stor sandsynlighed vil blive nået. Bindende bestemmelser vil derudover i denne forbindelse have to andre positive konsekvenser:

- Gennemsigtighed – Hvis indkredsningen og klassificeringen er omfattet af en juridisk procedure, skal medlemsstaterne – og eventuelt andre - overvåge den, hvorved der sikres størst mulig gennemsigtighed.

- Sammenlignelighed – Ved at sikre, at der anvendes fælles procedurer og metoder, vil de former for europæisk kritisk infrastruktur, der indkredses, være sammenlignelige og ikke eventuelt være genstand for meget forskellige fortolkninger i medlemsstaterne.

Hvis der for denne proces blev anvendt ikke-bindende bestemmelser, ville EU komme i en situation, hvor kun bestemte former for europæisk kritisk infrastruktur, der er af betydning på EU-plan, ville blive indkredset. Det er i hele EU's interesse at fjerne sådanne svage led.

8. Gennemførelse af sårbarheds-, trussels- og risikovurderinger i forbindelse med europæisk kritisk infrastruktur. Hver medlemsstat bør gennemføre en risiko- og trusselsvurdering i forbindelse med relevant europæisk kritisk infrastruktur. Formålet er at forbedre beskyttelsen af denne infrastruktur. Som følge af betydningen af denne indsats i forbindelse med hele processen med at øge beskyttelsen af europæisk kritisk infrastruktur, vil det være begrundet at anvende et bindende instrument. Hvis det ikke sikres, at alle medlemsstater gennemfører de relevante vurderinger, vil ejere/operatører af europæisk kritisk infrastruktur ikke få tilstrækkelig mange oplysninger om potentielle trusler, og der vil ikke kunne gennemføres en vurdering på EU-plan af manglerne ved beskyttelsen.

9. Forpligtelser for ejere/operatører af europæisk kritisk infrastruktur. For at nå målet om at forbedre beskyttelsen af europæisk kritisk infrastruktur bør det overvejes at pålægge ejere/operatører af denne infrastruktur to forpligtelser: at udpege en sikkerhedsforbindelsesofficer og at udarbejde en sikkerhedsplan for operatører. Det er begrundet i forbindelse med disse to forpligtelser at anvende et bindende instrument, da det ellers ikke ville være muligt at sikre sammenhæng i beskyttelsen af europæisk kritisk infrastruktur i hele EU. Hvis der blev anvendt ikke-bindende bestemmelser, ville kun noget af al europæisk kritisk infrastruktur overholde dem. De mulige udgifter skal mindst vejes op mod den øgede sikkerhed, som indebærer større stabilitet, forudsigelighed og forbrugertillid til erhvervslivet, hvilket vil medføre øgede erhvervsmuligheder og –investeringer.

Konklusion

Det fremgår af analysen af de særlige virkninger af de ni nøgleforanstaltninger, at en kombination af bindende og ikke-bindende foranstaltninger vil være bedst egnet til at nå målene for EPCIP-programmet og give den bedste omkostningseffektivitet. Ud af de ni nøgleforanstaltninger vil det være bedst, at de fem er omfattet af ikke-bindende regler, mens fire bør gøres obligatoriske:

I) Ikke-bindende foranstaltninger:

a) deltagelse i ekspertgrupperne på EU-plan vedrørende beskyttelse af kritisk infrastruktur

b) anvendelse af informationsdeling vedrørende beskyttelse af kritisk infrastruktur

c) indkredsning og analyse af den indbyrdes afhængighed

d) udformning af nationale programmer til beskyttelse af kritisk infrastruktur

e) indkredsning af national kritisk infrastruktur.

II) Bindende foranstaltninger:

a) udpegelse af kontaktpunkter for beskyttelse af kritisk infrastruktur

b) indkredsning og klassificering af europæisk kritisk infrastruktur

c) gennemførelse af trussels- og risikovurderinger i forbindelse med europæisk kritisk infrastruktur

d) udarbejdelse af sikkerhedsplaner for operatører; udpegelse af sikkerhedsforbindelsesofficerer.

Som følge heraf vil den anbefalede politik for indførelsen af EPCIP-programmet være:

1. Generelle ikke-bindende regler for beskyttelse af europæisk kritisk infrastruktur som fastsat i Kommissionens meddelelse.

2. Et bindende instrument, der specifikt vedrører europæisk kritisk infrastruktur (direktiv). I dette instrument skal der fastsættes en fælles strategi for indkredsning og klassificering af europæisk kritisk infrastruktur og for vurdering af behovet for at forbedre beskyttelsen af den.

[1] Visse elementer kan på grund af deres art kun være omfattet af ikke-bindende foranstaltninger, f.eks. nedsættelse af ekspertgrupper. I disse tilfælde vil det ikke være bindende at foretage en vurdering.