[pic] | COMISIÓN DE LAS COMUNIDADES EUROPEAS |

Bruselas, 12.12.2006

SEC(2006) 1648

DOCUMENTO DE TRABAJO DE LOS SERVICIOS DE LA COMISIÓN Documento de acompañamiento a la

Propuesta de DIRECTIVA DEL CONSEJO sobre la identificación y designación de las infraestructuras críticas europeas y la evaluación de la necesidad de mejorar su protección RESUMEN DE LA EVALUACIÓN DE IMPACTO

{COM(2006) 787 final}{SEC(2006) 1654}

RESUMEN DE LA EVALUACIÓN DE IMPACTO

Antecedentes

La seguridad y la economía de la Unión Europea, así como el bienestar de sus ciudadanos, dependen de determinadas infraestructuras y de los servicios que éstas prestan. La destrucción o la interrupción de infraestructuras que prestan servicios clave podría provocar la pérdida de vidas humanas y bienes, así como el hundimiento de la moral y la confianza públicas.

Las infraestructuras críticas pueden ser dañadas, destruidas o interrumpidas por una diversidad de causas que pueden ser naturales o provocadas por el hombre. Cualquier interrupción o manipulación de las infraestructuras críticas debe ser, en la medida de lo posible, breve, infrecuente, gestionable, aislada geográficamente y lo menos perjudicial posible para el bienestar de los Estados miembros, sus ciudadanos y la Unión Europea.

¿Cuál es el problema?

El problema que se plantea es la vulnerabilidad de las infraestructuras críticas en Europa y la consiguiente vulnerabilidad de los servicios que éstas prestan. El problema de fondo es que el bajo nivel de protección de las infraestructuras críticas en determinados Estados miembros puede aumentar la vulnerabilidad de otros Estados miembros.

¿Quiénes son los afectados?

El problema afecta, potencialmente, a todos los habitantes de la Unión Europea, las empresas, los gobiernos de los Estados miembros y el conjunto de la Unión Europea. Los efectos pueden ser tanto directos (por ejemplo, víctimas de atentados terroristas) como indirectos (por ejemplo, interrupción de determinados servicios tras la declaración de los problemas de una infraestructura particular).

¿Porqué se necesitan urgentemente medidas a nivel de la UE?

- Cada vez son más los Estados miembros que están adoptando sus propios enfoques de protección de infraestructuras críticas y esperan que la Comisión presente un programa europeo general de PIC que les permita tener en cuenta el enfoque común de la UE. Si la adopción del marco común se retrasa, se corre el riesgo de que los Estados miembros adopten enfoques PIC diferentes e incompatibles.

- Deberán eliminarse los eslabones más débiles, especialmente cuando se producen efectos transfronterizos. Hay que reducir al mínimo el riesgo de que un Estado miembro resulte perjudicado porque otro no haya protegido adecuadamente las infraestructuras situadas en su territorio.

- Hay que reducir al mínimo los costes adicionales de las empresas que actúan en más de un Estado miembro, derivados de medidas de seguridad diferentes.

- Algunas infraestructuras son cada vez más europeas, lo cual significa que un enfoque meramente nacional es insuficiente, como ocurre con las redes de transporte y transmisión de energía.

- Hay motivos razonables para suponer que algunas tareas relacionadas con los detalles de la mejora de la protección de las infraestructuras públicas en Europa (cuestiones como la identificación de interdependencias, por ejemplo) pueden requerir mucho tiempo. Tales tareas deberían comenzar lo antes posible y basarse en un enfoque común.

- Desde 2004 se han celebrado consultas con los agentes a través de tres seminarios de la UE sobre la PIC, la adopción de un Libro Verde, la celebración de dos reuniones informales de los puntos de contacto PIC y numerosas reuniones bilaterales con representantes de los gobiernos y del sector privado.

- Las amenazas terroristas y criminales no disminuyen y los Estados miembros y la Comisión tienen sinergias y están interesados en la cooperación para protegerse contra ellas.

Objetivo

El objetivo general de la política de protección de infraestructuras críticas propuesta es mejorar la protección de las infraestructuras críticas en la UE.

Ventajas y desventajas de cuatro opciones políticas diferentes

Con el fin de alcanzar el objetivo anteriormente mencionado, se ha seleccionado una serie de opciones políticas posibles:

1. Abstenerse de abordar las cuestiones PIC a nivel europeo. Esta opción supone no adoptar medidas horizontales a nivel europeo.

La opción de no cambiar nada no ofrece ninguna ventaja clara en lo que respecta a la mejora de la protección de las infraestructuras críticas en Europa. Supone, no obstante, una serie de desventajas en el ámbito de la competencia, costes más altos para las empresas y seguridad insuficiente. Este enfoque ha sido rechazado por todos los Estados miembros, que generalmente consideran que es necesario abordar la protección de las infraestructuras críticas desde la perspectiva europea.

2. Creación de un marco no obligatorio. Esta opción supone crear un marco horizontal no obligatorio que los Estados miembros serían libres de utilizar o no.

La opción del "marco no obligatorio" tiene la clara ventaja de crear un marco concebido para consolidar la confianza entre todos los agentes. No obstante, esta ventaja no puede compensar las grandes desventajas derivadas de esta opción en términos de elevación de costes, competencia y aumento de los riesgos de seguridad. La seguridad es el problema clave de esta opción. Un marco no obligatorio no ofrecería la base necesaria para que todos los Estados miembros apliquen medidas de protección suficientes de sus infraestructuras críticas.

3. Creación de un marco normativo flexible. Esta opción supone aplicar a nivel europeo una serie de medidas obligatorias. Los Estados miembros estarían sometidos a determinadas obligaciones generales, pero se seguiría haciendo hincapié en el intercambio de las mejores prácticas, el diálogo y el refuerzo de la confianza a nivel de la UE.

La opción del "marco normativo flexible" ofrece la mejor combinación de ventajas y desventajas. Este enfoque garantizaría la competencia, la disminución de costes de las empresas que actúan en más de un Estado miembro, y mayor seguridad en la Unión Europea. Estas claras ventajas parece compensar las desventajas relativas a los costes. Otra posible desventaja de esta opción es que crea un nuevo marco normativo en la UE. Sin embargo, desde el punto de vista de la seguridad, este enfoque está justificado.

4. Armonización plena a nivel de la UE. Esta opción supone proponer medidas de plena armonización a nivel de la UE en materia de organización de cuestiones PIC en los Estados miembros, así como en lo que respecta a requisitos de protección aplicables a los propietarios/operadores de infraestructuras críticas.

La opción de "plena armonización" tiene varias ventajas y desventajas claras. Lo positivo de esta opción es que las infraestructuras críticas de la UE tendrían un alto nivel de protección. Sin embargo, los costes serán elevados y surgirán dificultades para generar confianza entre los agentes. Por último, esta opción ya ha sido descartada por los Estados miembros, que desean que el PEPIC se base en lo ya logrado y lo complemente. Este enfoque podría ser contrario a los principios de subsidiaridad y proporcionalidad y, con toda probabilidad, sería rechazado por todos los Estados miembros.

El análisis de las cuatro opciones políticas mencionadas confirma que la acción a nivel europeo aportaría un valor añadido y es realmente necesaria. La opción 3 parece ser la que ofrece más ventajas.

No obstante, si se tiene en cuenta el hecho de que el PEPIC constituye una política completamente nueva y que, por tanto, es necesario adoptar un enfoque paso a paso en materia de PIC, la mejor opción posible consistirá en una combinación de las opciones 2 y 3. De esta forma, el marco global del PEPIC estará regulado por un instrumento no obligatorio, mientras que se introducirían unos pocos requisitos clave en materia de PIC a través de medidas obligatorias.

Repercusiones de la política recomendada de medidas obligatorias y no obligatorias

La necesidad de adoptar un enfoque paso a paso, global y coherente, con vistas a establecer el PEPIC, requiere una combinación de medidas obligatorias y no obligatorias.

Se evalúan[1] las repercusiones de los instrumentos obligatorios y no obligatorios con respecto a cada elemento clave. Dado que el objetivo general del PEPIC es mejorar la protección de las infraestructuras críticas en la UE, el impacto positivo de los elementos clave en la seguridad se ponderará según los costes potenciales.

1. Participación en grupos de expertos PIC a nivel de la UE. La creación de un clima de confianza entre todos los agentes que intervienen en el proceso PIC es de capital importancia para lograr resultados a largo plazo. Los grupos de expertos PIC ejercerán un impacto positivo en el ámbito de la seguridad. Para limitar los costes, los grupos de expertos CIP sólo se crearán cuando sean necesarios y existan buenos motivos para ello. Los grupos de expertos a nivel de la UE se reunirán con carácter voluntario, por lo que deberían formar parte del marco no obligatorio del PEPIC.

2. Utilizar un procedimiento seguro de intercambio de información PIC. El proceso de intercambio de información PIC entre los agentes interesados debe realizarse en un clima de confianza. El intercambio voluntario de información PIC no puede fomentarse mediante medidas obligatorias, ya que éstas pueden ser contraproducentes para el clima de confianza y diálogo. Es evidente que el impacto en términos de seguridad sería positivo. Es de esperar que los costes se mantengan bajos si las medidas se mantienen no obligatorias y se dirigen sobre todo a crear cierta "mentalidad" en relación con la seguridad.

3. Identificación y análisis de interdependencias. La identificación y el análisis de las interdependencias, tanto de naturaleza geográfica como sectorial, constituirá un aspecto importante de la mejora de la protección de las infraestructuras críticas en la UE. A este respecto, no pueden imponerse medidas obligatorias, dado que la identificación de interdependencias forma parte de un proceso más amplio que requiere la cooperación y coordinación entre varios agentes. En la fase actual no puede efectuarse una estimación de costes dado que el proceso de identificación de interdependencias es de carácter continuo. La financiación comunitaria podría contribuir a este proceso.

4. Elaboración de programas nacionales PIC. Mientras que la responsabilidad de proteger las infraestructuras nacionales recae, evidentemente, en los propietarios/operadores de las ICN y los Estados miembros, la Comunidad también sale beneficiada si se garantiza el tratamiento adecuado de la cuestión de las infraestructuras críticas nacionales en cada Estado miembro. A pesar de sus evidentes ventajas en términos de seguridad, la introducción de un enfoque obligatorio para los programas nacionales PIC puede no ser posible al principio. La subsidiariedad y la necesidad de un enfoque paso a paso del PEPIC pueden justificar la concentración de medidas obligatorias en cuestiones relativas a las ICE. La adopción de un enfoque no obligatorio de los programas PIC nacionales puede estar justificada. Ahora bien, este enfoque se debería reevaluar a medida que progresen los trabajos en materia de ICE.

5. Identificación de infraestructuras críticas nacionales por cada Estado miembro La identificación de infraestructuras críticas nacionales es un requisito previo para garantizar su adecuada protección. La adopción de un enfoque obligatorio para identificar las ICN traerá consigo más ventajas en términos de seguridad que un enfoque no obligatorio. No obstante, la subsidiariedad y la necesidad de concentrarse en un principio en cuestiones de ICE pueden justificar la aplicación de un enfoque no obligatorio para la identificación de ICN. A medida que la UE adquiera más experiencia en materia de PIC, este enfoque podrá ser objeto de una nueva evaluación.

6. Designación por cada Estado miembro de un punto de contacto PIC. Es necesario que cada Estado miembro designe un punto de contacto PIC que tenga una visión general de las actividades PIC en el Estado miembro y coordine la PIC dentro del Estado miembro, con los demás Estados miembros, el Consejo y la Comisión. Sólo un enfoque obligatorio garantizará que cada Estado miembro realiza los trabajos necesarios. Con medidas no obligatorias podrían obtenerse resultados moderados, pero de ninguna manera podría garantizarse que cada Estado miembro designara un punto de contacto PIC. En consecuencia, es preferible un enfoque obligatorio de la designación del punto de contacto PIC.

7. Identificación y designación de infraestructuras críticas europeas. La identificación y designación de ICE es la parte central del PEPIC, ya que la mejora de la protección de las infraestructuras críticas sólo es posible una vez hayan sido identificadas las estructuras en cuestión. Este proceso debe completarse de forma coordinada y sólo llegará a buen término si se aborda a nivel de la UE.

Sólo un enfoque obligatorio de la identificación y designación de ICE ofrece grandes probabilidades de realizar plenamente los objetivos del PEPIC. Además, el enfoque obligatorio en esta materia tendrá otras dos consecuencias positivas:

- Transparencia – si la identificación y la designación se someten a un procedimiento legal también estárán sometidas al control de los Estados miembros y, potencialmente, de otros, de forma que la transparencia será máxima.

- Comparabilidad - garantizar métodos y procedimientos comunes supondrá que las ICE identificadas serán comparables y no serán objeto de interpretaciones muy divergentes por los Estados miembros.

Si se aplica el enfoque no obligatorio a este proceso, la UE se enfrentará a una situación en la que sólo estarán identificadas algunas infraestructuras críticas europeas de importancia para la UE. El interés del conjunto de la UE es eliminar los eslabones débiles.

8. Evaluaciones de vulnerabilidad, amenazas y riesgos de las ICE. Cada Estado miembro deberá realizar una evaluación de riesgos y amenazas relativa a las ICE importantes. Las evaluaciones se realizarán con el objetivo de mejorar la protección de las ICE. Dada la función que cumple esta medida en el conjunto del proceso de refuerzo de la protección de las ICE, la utilización de un instrumento obligatorio estaría justificada en este caso. Si no se garantiza que todos los Estados miembros realizan estas evaluaciones, los propietarios/operadores de las ICE no dispondrán de información suficiente sobre potenciales amenazas y no podrá llevarse a cabo una evaluación de las deficiencias en la protección a nivel de la UE.

9. Obligaciones de las infraestructuras críticas europeas. Para alcanzar el objetivo de mejorar la protección de las ICE, se considera que los propietarios/operadores de ICE deberán adoptar tres medidas: designación de un funcionario de enlace para la seguridad y elaboración de un plan de seguridad. La utilización de un instrumento obligatorio para estas dos obligaciones se justifica porque no sería posible adoptar un enfoque coherente de la protección de ICE en el conjunto de la UE de otra manera. Si se utilizaran medidas no obligatorias, sólo las cumplirían algunas ICE. Los posibles costes resultantes se compensarían al menos con una mayor seguridad, lo cual supone más estabilidad, previsibilidad y mayor confianza del consumidor en el entorno empresarial, con el resultado de mayores oportunidades comerciales y de inversión.

Conclusión

Del análisis de las repercusiones específicas de las nueve medidas clave se deduce que una combinación de medidas obligatorias y no obligatorias sería lo más adecuado para lograr los objetivos del PEPIC, al mismo tiempo que se lograría la mejor relación costes/beneficios. De las nueve medidas clave, cinco resultan más adecuadas para ser aplicadas en un marco no obligatorio, mientras que las otras cuatro deberían ser obligatorias.

(I) Medidas no obligatorias:

a) participación en grupos de expertos PIC a nivel de la UE;

b) uutilización de un procedimiento de intercambio de información PIC;

c) identificación y análisis de interdependencias;

d) elaboración de programas nacionales PIC;

e) identificación de infraestructuras críticas nacionales.

(II) Medidas obligatorias:

a) designación de puntos de contacto;

b) identificación y designación de infraestructuras críticas europeas;

c) realización de evaluaciones de amenazas y riesgos de las ICE;

d) elaboración de planes de seguridad para los operadores; designación de funcionarios de enlace para la seguridad.

En consecuencia, la política recomendada para crear el PEPIC consistirá en:

1. Un marco general del PEPIC no obligatorio que se establecerá en una Comunicación de la Comisión.

2. Un instrumento obligatorio que regulará específicamente las ICE (Directiva ICE). Este instrumento adoptará un enfoque común para la identificación y designación de las ICE y la evaluación de la necesidad de mejorar su protección.

[1] Algunos elementos, por su propia naturaleza, sólo pueden ser regulados por medidas no obligatorias; por ejemplo, la creación de grupos de expertos. En estos casos, la evaluación se hará únicamente con arreglo a un enfoque no obligatorio.