FR Journal officiel de l'Union européenne L 108/4

RÈGLEMENT (CE) N o 352/2009 DE LA COMMISSION

du 24 avril 2009

concernant l’adoption d’une méthode de sécurité commune relative à l'évaluation et à l'appréciation des risques visée à l’article 6, paragraphe 3, point a), de la directive 2004/49/CE du Parlement européen et du Conseil

(Texte présentant de l'intérêt pour l'EEE)

LA COMMISSION DES COMMUNAUTÉS EUROPÉENNES,

vu le traité instituant la Communauté européenne,

vu la directive 2004/49/CE du Parlement européen et du Conseil du 29 avril 2004 concernant la sécurité des chemins de fer communautaires et modifiant la directive 95/18/CE du Conseil concernant les licences des entreprises ferroviaires, ainsi que la directive 2001/14/CE concernant la répartition des capacités d'infrastructure ferroviaire, la tarification de l'infrastructure ferroviaire, et la certification en matière de sécurité (directive sur la sécurité ferroviaire) (1), et notamment son article 6, paragraphe 1,

considérant ce qui suit:

(1) Conformément à l’article 6, paragraphe 1, de la directive 2004/49/CE, la Commission doit adopter la première série de méthodes de sécurité communes (ci-après «MSC») couvrant au moins les méthodes d’évaluation et d'appréciation des risques mentionnées à l’article 6, paragraphe 3, point a), de ladite directive, sur la base d'une recommandation de l'Agence ferroviaire européenne.

(2) L'Agence ferroviaire européenne a formulé une recommandation sur la première série de méthodes de sécurité communes (ERA-REC-02-2007-SAF) le 6 décembre 2007.

(3) Conformément à la directive 2004/49/CE, des MSC doivent être introduites progressivement pour assurer qu'un niveau élevé de sécurité est maintenu et, lorsque cela est nécessaire et raisonnablement réalisable, amélioré.

(4) L’article 9, paragraphe 1, de la directive 2004/49/CE impose aux entreprises ferroviaires et aux gestionnaires de l’infrastructure d’établir leur système de gestion de la sécurité de manière à ce que le système ferroviaire soit en mesure d’atteindre au moins les objectifs de sécurité communs (OSC). Conformément à l’annexe III, point 2 d), de la directive 2004/49/CE, le système de gestion de la sécurité doit comporter des procédures et méthodes d’évaluation des risques et de mise en œuvre de mesures de maîtrise des risques chaque fois qu’un changement des conditions d’exploitation ou l’introduction de nouveau matériel comporte de nouveaux risques pour l’infrastructure ou l’exploitation. Cet élément fondamental du système de gestion de la sécurité est couvert par le présent règlement.

(5) Il résulte de l’application de la directive 91/440/CEE du Conseil du 29 juillet 1991 sur le développement de chemins de fer communautaires (2) et de l’article 9, paragraphe 2, de la directive 2004/49/CE, qu'une attention particulière doit être accordée à la gestion des risques aux interfaces entre les acteurs participant à l'application du présent règlement.

(6) L’article 15 de la directive 2008/57/CE du Parlement européen et du Conseil du 17 juin 2008 relative à l'interopérabilité du système ferroviaire au sein de la Communauté (3) impose aux États membres de prendre toutes les mesures appropriées pour que les sous-systèmes de nature structurelle constitutifs du système ferroviaire ne puissent être mis en service que s'ils sont conçus, construits et installés de façon à satisfaire aux exigences essentielles les concernant, lorsqu'ils sont intégrés dans le système ferroviaire. En particulier, les États membres doivent vérifier la compatibilité technique de ces sous-systèmes avec le système ferroviaire dans lequel ils s'intègrent ainsi que l'intégration en toute sécurité de ces sous-systèmes conformément au présent règlement.

(7) L’absence d’une approche commune pour la définition et la démonstration de la conformité aux niveaux et exigences de sécurité du système ferroviaire s'est avérée être l'un des obstacles à la libéralisation du marché ferroviaire. Par conséquent, dans le passé, les États membres effectuaient leurs propres évaluations pour accepter des systèmes, ou des parties de ceux-ci, qui avaient déjà été développés et dont la sécurité avait été démontrée dans d'autres État membres.

(8) Pour faciliter la reconnaissance mutuelle entre États membres, il convient d’harmoniser les méthodes d’identification et de gestion des risques qu'utilisent les acteurs participant au développement et à l'exploitation du système ferroviaire, ainsi que les méthodes permettant de démontrer que le système ferroviaire situé sur le territoire de la Communauté est conforme aux exigences de sécurité. Dans un premier temps, il est nécessaire d’harmoniser les procédures et méthodes d’évaluation des risques et de mise en œuvre de mesures de maîtrise des risques chaque fois qu’un changement des conditions d’exploitation ou l’introduction de nouveau matériel comporte de nouveaux risques pour l’infrastructure ou l’exploitation conformément à l’annexe III, point 2 d), de la directive 2004/49/CE.

(9) S’il n’existe pas de règle nationale notifiée visant à déterminer si un changement est significatif ou non dans un État membre, la personne chargée de mettre en œuvre le changement (ci-après «le proposant») doit en premier lieu prendre en compte l’incidence potentielle du changement en question sur la sécurité du système ferroviaire. Si le changement proposé a une incidence sur la sécurité, le proposant doit évaluer, sur avis d'expert, l'importance du changement sur la base d'une série de critères qui doivent être définis dans le présent règlement. Cette évaluation doit déboucher sur l’une des trois conclusions suivantes. Dans le premier cas, le changement n’est pas considéré comme significatif et le proposant doit le mettre en œuvre en appliquant sa propre méthode de sécurité. Dans le deuxième cas, le changement est considéré comme significatif et le proposant doit le mettre en œuvre en appliquant le présent règlement, sans qu'une intervention spécifique de l'autorité de sécurité soit nécessaire. Dans le troisième cas, le changement est considéré comme significatif mais des dispositions communautaires exigent une intervention spécifique de l’autorité de sécurité concernée, telle qu’une nouvelle autorisation de mise en service d’un véhicule, une révision/actualisation du certificat de sécurité d’une entreprise ferroviaire ou une révision/actualisation de l’autorisation de sécurité d’un gestionnaire de l’infrastructure.

(10) À chaque changement d’un système ferroviaire déjà utilisé, l’importance du changement doit être évaluée en tenant compte de toutes les modifications liées à la sécurité qui ont été apportées à la partie du système en question depuis l’entrée en vigueur du présent règlement ou, si elle est ultérieure, depuis la dernière application du processus de gestion des risques décrit dans le présent règlement. L’objectif est de déterminer si ces modifications constituent ou non, dans leur ensemble, un changement significatif nécessitant l’application complète de la MSC relative à l’évaluation et à l'appréciation des risques.

(11) L’acceptabilité des risques d’un changement significatif doit être mesurée au moyen d'un ou de plusieurs des principes d’acceptation des risques suivants: l’application de codes de pratique, une comparaison avec des parties similaires du système ferroviaire, une estimation de risque explicite. Tous les principes ont été appliqués avec succès dans plusieurs applications ferroviaires ainsi que dans d’autres modes de transports et dans d’autres secteurs. Le principe de l’«estimation de risque explicite» est fréquemment utilisé pour les changements complexes ou innovants. Le proposant doit être responsable du choix du principe à appliquer.

(12) Conformément au principe de proportionnalité énoncé à l'article 5 du traité, le présent règlement ne doit pas aller au-delà de ce qui est nécessaire pour réaliser son objectif, qui consiste à établir une MSC relative à l’évaluation et à l'appréciation des risques. Lorsqu’un code de pratique largement reconnu est appliqué, il doit par conséquent être possible de réduire l’incidence de l’application de la MSC. De même, lorsque des dispositions communautaires exigent son intervention spécifique, l’autorité de sécurité doit être autorisée à agir en tant qu'organisme d’évaluation indépendant afin de réduire les doubles vérifications, les coûts injustifiés pour le secteur d'activité et le délai de mise sur le marché.

(13) L’article 6, paragraphe 5, de la directive 2004/49/CE impose aux États membres d’apporter à leurs règles de sécurité nationales toutes les modifications nécessaires pour qu’elles soient conformes aux MSC.

(14) Eu égard aux différentes approches actuellement suivies pour évaluer la sécurité, il est nécessaire de prévoir une période transitoire afin de laisser suffisamment de temps aux acteurs concernés pour, le cas échéant, se familiariser avec la nouvelle approche commune, l'appliquer et se forger une expérience.

(15) Étant donné qu'une approche formalisée fondée sur les risques constitue une mesure relativement nouvelle dans certains États membres, la MSC relative à l'évaluation et à l'appréciation des risques doit demeurer facultative en ce qui concerne les changements opérationnels ou organisationnels jusqu'au 1er juillet 2012. Cela doit permettre à l'Agence ferroviaire européenne d'aider, dans la mesure du possible, ces États membres à appliquer la MSC et de proposer, le cas échéant, des améliorations de la MSC avant le 1er juillet 2012.

(16) Les mesures prévues par le présent règlement sont conformes à l'avis du comité institué par l'article 27, paragraphe 1, de la directive 2004/49/CE,

A ARRÊTÉ LE PRÉSENT RÈGLEMENT:

Article premier

Objet

1. Le présent règlement établit une méthode de sécurité commune (MSC) relative à l'évaluation et à l'appréciation des risques telle que visée à l’article 6, paragraphe 3, point a), de la directive 2004/49/CE.

2. La MSC relative à l’évaluation et à l'appréciation des risques a pour objet de maintenir ou, lorsque cela est nécessaire et raisonnablement réalisable, d’améliorer le niveau de sécurité des chemins de fer de la Communauté. La MSC facilite l’accès au marché des services de transport ferroviaire par l'harmonisation:

a) des processus de gestion des risques utilisés pour évaluer les niveaux de sécurité et la conformité avec les exigences de sécurité;

b) de l’échange d'informations relatives à la sécurité entre les différents acteurs du secteur ferroviaire afin de gérer la sécurité entre les différentes interfaces qui existent dans ce secteur;

c) des preuves résultant de l’application du processus de gestion des risques.

Article 2

Champ d'application

1. La MSC relative à l’évaluation et à l'appréciation des risques s’applique à tout changement du système ferroviaire d’un État membre, tel que visé à l’annexe III, point 2 d), de la directive 2004/49/CE, qui est considéré comme significatif au sens de l'article 4 du présent règlement. Ces changements peuvent être de nature technique, opérationnelle ou organisationnelle. En qui concerne les changements organisationnels, seules ceux susceptibles d'avoir une incidence sur les conditions d'exploitation sont pris en compte.

2. Lorsque les changements significatifs concernent des sous-systèmes structurels auxquels s’applique la directive 2008/57/CE, la MSC relative à l’évaluation et à l'appréciation des risques s'applique:

a) si une appréciation des risques est requise par la spécification technique d'interopérabilité (STI) concernée. Dans ce cas, la STI précise, le cas échéant, quelles parties de la MSC s'appliquent;

b) pour garantir l’intégration en toute sécurité des sous-systèmes structurels auxquels s’appliquent les STI dans un système existant, en vertu de l’article 15, paragraphe 1, de la directive 2008/57/CE.

Cependant, l’application de la MSC dans le cas visé au premier alinéa, point b), ne doit pas aboutir à des exigences contraires à celles établies par les STI concernées qui sont obligatoires.

Néanmoins, si l’application de la MSC aboutit à une exigence contraire à celle établie par la STI concernée, le proposant informe l’État membre concerné, qui peut décider de demander une révision de la STI conformément à l'article 6, paragraphe 2, ou à l'article 7 de la directive 2008/57/CE ou une dérogation conformément à l'article 9 de ladite directive.

3. Le présent règlement ne s'applique pas:

a) aux métros, tramways et autres systèmes ferroviaires légers;

b) aux réseaux qui sont séparés sur le plan fonctionnel du reste du système ferroviaire et qui sont destinés uniquement à l'exploitation de services de transport de passagers locaux, urbains ou suburbains, ainsi qu'aux entreprises ferroviaires opérant uniquement sur ces réseaux;

c) aux infrastructures ferroviaires privées qui sont utilisées uniquement par leur propriétaire pour ses propres opérations de transport de marchandises;

d) aux véhicules historiques qui circulent sur les réseaux nationaux, à condition qu'ils soient conformes aux règles et aux réglementations nationales en matière de sécurité visant à garantir la circulation de ces véhicules en toute sécurité;

e) aux chemins de fer à caractère historique, muséologique et touristique qui exploitent leurs propres réseaux, y compris les ateliers, le matériel roulant et le personnel.

4. Le présent règlement ne s’applique pas aux systèmes et changements qui, à la date d’entrée en vigueur du présent règlement, constituent des projets se trouvant à un stade avancé de développement au sens de l'article 2, point t) de la directive 2008/57/CE.

Article 3

Définitions

Aux fins du présent règlement, les définitions figurant à l'article 3 de la directive 2004/49/CE s'appliquent.

En outre, on entend par:

1) «risque», le taux d’occurrence d’accidents et d’incidents causant un dommage (dû à un danger) et le degré de gravité de ce dommage;

2) «analyse de risque», l’utilisation systématique de toutes les informations disponibles pour identifier les dangers et estimer le risque;

3) «évaluation des risques», une procédure fondée sur l’analyse de risque pour déterminer si un niveau de risque acceptable a été atteint;

4) «appréciation des risques», le processus global comprenant une analyse de risque et une évaluation du risque;

5) «sécurité», l’absence de risque inacceptable de dommage;

6) «gestion des risques», l’application systématique de politiques, procédures et pratiques de gestion aux tâches d’analyse, d'évaluation et de contrôle des risques;

7) «interfaces», tous les points d’interaction au cours du cycle de vie d’un système ou sous-système, y compris l’exploitation et l’entretien, où différents acteurs du secteur ferroviaire collaborent pour gérer les risques;

8) «acteurs», toutes les parties qui participent, directement ou par des accords contractuels, à l'application du présent règlement en application de l'article 5, paragraphe 2;

9) «exigences de sécurité», les caractéristiques de sécurité (qualitatives ou quantitatives) d’un système et de son exploitation (y compris les règles d’exploitation) qui sont nécessaires pour atteindre les objectifs de sécurité établis par la législation ou l'entreprise;

10) «mesures de sécurité», une série de mesures réduisant le taux d’occurrence d’un danger ou atténuant ses conséquences afin d'atteindre et/ou de maintenir un niveau de risque acceptable;

11) «proposant», les entreprises ferroviaires ou les gestionnaires de l'infrastructure dans le cadre des mesures de maîtrise des risques qu'ils sont tenus de mettre en œuvre conformément à l'article 4 de la directive 2004/49/CE, les entités adjudicatrices ou les fabricants lorsqu'ils invitent un organisme notifié à appliquer la procédure de vérification «CE» conformément à l'article 18, paragraphe 1, de la directive 2008/57/CE, ou le demandeur d'une autorisation de mise en service de véhicules;

12) «rapport d’évaluation de la sécurité», le document contenant les conclusions de l’évaluation du système en cause effectuée par un organisme d’évaluation;

13) «danger», une circonstance pouvant mener à un accident;

14) «organisme d’évaluation», la personne, l’organisation ou l'entité indépendante et compétente qui procède à des investigations pour formuler un jugement, fondé sur des preuves, au sujet de la capacité d’un système à respecter les exigences de sécurité qui lui sont applicables;

15) «critères d’acceptation des risques», les éléments au regard desquels l’acceptabilité d’un risque particulier est évaluée; ces critères sont utilisés pour déterminer si le niveau d’un risque est suffisamment bas pour qu’il ne soit pas nécessaire de prendre des mesures immédiates pour le réduire davantage;

16) «registre des dangers», le document dans lequel sont consignés et référencés les dangers identifiés, les mesures qui y sont liées, leur origine et les coordonnées de l’organisation qui doit les gérer;

17) «identification des dangers», le processus consistant à détecter, inventorier et caractériser les dangers;

18) «principe d’acceptation des risques», les règles utilisées pour déterminer si le risque lié à un ou plusieurs dangers particuliers est acceptable ou non;

19) «code de pratique», un ensemble de règles écrites qui, si elles sont appliquées correctement, peuvent être utilisées pour maîtriser un ou plusieurs dangers particuliers;

20) «système de référence», un système en usage dont il est prouvé qu’il présente un niveau de sécurité acceptable et par rapport auquel il est possible d’évaluer, par comparaison, l’acceptabilité des risques que présente un système en cours d’évaluation;

21) «estimation du risque», le processus utilisé pour aboutir à une mesure du niveau des risques analysés et comprenant les étapes suivantes: estimation de la fréquence, analyse des conséquences et leur intégration;

22) «système technique», un produit ou un ensemble de produits, y compris la conception, la mise en œuvre et la documentation; le développement d’un système technique débute par la spécification de ses exigences et se termine par son acceptation; bien que la conception des interfaces pertinentes avec le comportement humain soit prise en considération, les opérateurs humains et leurs actions ne font pas partie du système technique; le processus de maintenance est décrit dans les manuels d’entretien mais ne fait pas en soi partie du système technique.

23) «conséquence catastrophique», les décès et/ou les blessures graves multiples et/ou les dommages importants à l’environnement résultant d’un accident;

24) «acceptation de la sécurité», le statut donné par le proposant au changement sur la base du rapport d’évaluation de la sécurité fourni par l'organisme d'évaluation.

25) «système», toute partie du système ferroviaire qui fait l'objet d'un changement;

26) «règle nationale notifiée», toute règle nationale notifiée par les États membres en vertu de la directives 96/48/CE du Conseil (4), de la directive 2001/16/CE du Parlement européen et du Conseil (5), et des directives 2004/49/CE et 2008/57/CE.

Article 4

Changements significatifs

1. S'il n'existe pas de règle nationale notifiée visant à déterminer si un changement est significatif ou non dans un État membre, le proposant prend en compte l’incidence potentielle du changement en question sur la sécurité du système ferroviaire.

Lorsque le changement proposé n'a pas d'incidence sur la sécurité, il n'est pas nécessaire d'appliquer le processus de gestion des risques décrit à l'article 5.

2. Lorsque le changement proposé a une incidence sur la sécurité, le proposant détermine, sur avis d'expert, l'importance du changement sur la base des critères suivants:

a) la conséquence d’une défaillance: le scénario réaliste le plus défavorable en cas de défaillance du système évalué, compte tenu de l’existence de mesures de sécurité en dehors du système;

b) l'innovation utilisée dans la mise en œuvre du changement Il s’agit tant de ce qui est innovant dans le secteur ferroviaire que de ce qui est nouveau uniquement pour l’organisation mettant en œuvre le changement;

c) la complexité du changement;

d) le suivi: l'impossibilité de suivre le changement mis en œuvre tout au long du cycle de vie du système et de prendre des mesures adéquates;

e) la réversibilité: l'impossibilité de rétablir le système tel qu’il existait avant le changement;

f) l'additionnalité: l'évaluation de l'importance du changement en tenant compte de toutes les modifications liées à la sécurité qui ont été apportées récemment au système évalué et qui n'ont pas été considérées comme significatives.

Le proposant conserve une documentation appropriée pour justifier sa décision.

Article 5

Processus de gestion des risques

1. Le processus de gestion des risques décrit à l’annexe I s’applique:

a) en cas de changement significatif tel que précisé à l'article 4, y compris la mise en service de sous-systèmes structurels visée à l'article 2, paragraphe 2, point b);

b) lorsqu’une STI telle que visée à l’article 2, paragraphe 2, point a), renvoie au présent règlement afin de prescrire le processus de gestion des risques décrit à l’annexe I;

2. Le processus de gestion des risques décrit à l’annexe I est appliqué par le proposant.

3. Le proposant veille à la gestion des risques introduits par les fournisseurs et les prestataires de services, y compris leurs sous-traitants. À cette fin, il peut demander que ceux-ci participent au processus de gestion des risques décrit à l'annexe I.

Article 6

Évaluation indépendante

1. Une évaluation indépendante de l’application correcte du processus de gestion des risques décrit à l’annexe I et des résultats de cette application est effectuée par un organisme qui satisfait aux critères énumérés à l’annexe II. Lorsque l’organisme d’évaluation n’est pas déjà indiqué dans la législation communautaire ou nationale, le proposant désigne son propre organisme d’évaluation, qui peut être une autre organisation ou un service interne.

2. Tout double emploi entre l’évaluation de la conformité du système de gestion de la sécurité requise par la directive 2004/49/CE, l’évaluation de conformité effectuée par un organisme notifié ou un organisme national telle qu'exigée par la directive 2008/57/CE et toute évaluation indépendante de la sécurité effectuée par l'organisme d'évaluation conformément au présent règlement doit être évité.

3. L'autorité de sécurité peut agir en tant qu'organisme d'évaluation lorsque les changements significatifs concernent les cas suivants:

a) lorsqu'un véhicule requiert une autorisation de mise en service, conformément à l'article 22, paragraphe 2, et à l'article 24, paragraphe 2, de la directive 2008/57/CE;

b) lorsqu'un véhicule requiert une autorisation supplémentaire de mise en service, conformément à l'article 23, paragraphe 5, et à l'article 25, paragraphe 4, de la directive 2008/57/CE;

c) lorsque le certificat de sécurité doit être mis à jour à la suite d'une modification du type ou de la portée des activités, telle que visée à l'article 10, paragraphe 5, de la directive 2004/49/CE;

d) lorsque le certificat de sécurité doit être révisé à la suite de modifications substantielles du cadre réglementaire en matière de sécurité, telles que visées à l'article 10, paragraphe 5, de la directive 2004/49/CE;

e) lorsque l'agrément de sécurité doit être mis à jour à la suite de modifications substantielles de l'infrastructure, de la signalisation, de l'approvisionnement en énergie ou des principes applicables à son exploitation et à son entretien, telles que visées à l'article 11, paragraphe 2, de la directive 2004/49/CE;

f) lorsque l'agrément de sécurité doit être révisé à la suite de modifications substantielles du cadre réglementaire en matière de sécurité, telles que visées à l'article 11, paragraphe 2, de la directive 2004/49/CE.

4. Lorsque les changements significatifs concernent un sous-système structurel qui requiert une autorisation de mise en service telle que visée à l'article 15, paragraphe 1, ou à l'article 20 de la directive 2008/57/CE, l'autorité de sécurité peut agir en tant qu'organisme d'évaluation à moins que le proposant n'ait déjà confié cette tâche à un organisme notifié conformément à l'article 18, paragraphe 2, de ladite directive.

Article 7

Rapports d’évaluation de la sécurité

1. L’organisme d’évaluation fournit au proposant un rapport d’évaluation de la sécurité.

2. Dans le cas visé à l’article 5, paragraphe 1, point a), l’autorité nationale de sécurité tient compte du rapport d’évaluation de la sécurité lorsqu'elle décide d’autoriser la mise en service de sous-systèmes et de véhicules.

3. Dans le cas visé à l’article 5, paragraphe 1, point b), l’évaluation indépendante fait partie des tâches de l’organisme notifié, sauf prescription contraire de la STI.

Si l'évaluation indépendante ne fait pas partie des tâches de l'organisme notifié, l’organisme notifié chargé de délivrer le certificat de conformité ou l’entité adjudicatrice chargée d’établir la déclaration CE de vérification tient compte du rapport d'évaluation de la sécurité.

4. Lorsqu’un système, ou une partie d’un système, a déjà été accepté à la suite du processus de gestion des risques défini dans le présent règlement, le rapport d'évaluation de la sécurité qui en résulte n'est pas remis en question par un autre organisme d'évaluation chargé d'effectuer une nouvelle évaluation du même système. La reconnaissance est subordonnée à la démonstration que le système sera utilisé dans les mêmes conditions fonctionnelles, opérationnelles et environnementales que le système déjà accepté, et que des critères d’acceptation des risques équivalents ont été appliqués.

Article 8

Gestion de la maîtrise des risques/audits internes et externes

1. Les entreprises ferroviaires et les gestionnaires d’infrastructures incluent des audits de l’application de la MSC relative à l’évaluation et à l'appréciation des risques dans leur programme d’audit périodique du système de gestion de la sécurité visé à l'article 9 de la directive 2004/49/CE.

2. Dans le cadre des tâches définies à l’article 16, paragraphe 2, point e), de la directive 2004/49/CE, l’autorité nationale de sécurité surveille l’application de la MSC relative à l’évaluation et à l'appréciation des risques.

Article 9

Retour d’information et progrès technique

1. Chaque gestionnaire de l'infrastructure et chaque entreprise ferroviaire fait état, dans leur rapport annuel sur la sécurité visé à l’article 9, paragraphe 4, de la directive 2004/49/CE, de leur expérience concernant l'application de la MSC relative à l'évaluation et à l'appréciation des risques. Ce rapport contient également un résumé des décisions relatives au niveau d'importance des changements.

2. Chaque autorité nationale de sécurité fait état, dans son rapport annuel sur la sécurité visé à l’article 18 de la directive 2004/49/CE, de l'expérience des proposants concernant l'application de la MSC relative à l'évaluation et à l'appréciation des risques et, le cas échéant, de sa propre expérience.

3. L'Agence ferroviaire européenne surveille et collecte tout retour d'information sur l'application de la MSC relative à l'évaluation et à l'appréciation des risques et, le cas échéant, fait des recommandations à la Commission en vue de l’améliorer.

4. Le 31 décembre 2011 au plus tard, l'Agence ferroviaire européenne soumet à la Commission un rapport comprenant:

a) une analyse de l'expérience concernant l'application de la MSC relative à l'évaluation et à l'appréciation des risques, notamment les cas dans lesquels les proposants ont appliqué volontairement la MSC avant la date d'application pertinente prévue à l'article 10;

b) une analyse de l'expérience des proposants concernant les décisions relatives au niveau d'importance des changements;

c) une analyse des cas dans lesquels des codes de pratique ont été utilisés conformément à la section 2.3.8 de l'annexe I;

d) une analyse de l'efficacité globale de la MSC relative à l'évaluation et à l'appréciation des risques.

Les autorités de sécurité assistent l'Agence dans l'identification des cas d'application de la MSC relative à l'évaluation et à l'appréciation des risques.

Article 10

Entrée en vigueur

1. Le présent règlement entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne.

2. Le présent règlement s’applique à partir du 1er juillet 2012.

Toutefois, il s'applique à partir du 19 juillet 2010:

a) à tous les changements techniques significatifs concernant les véhicules, tels que définis à l’article 2, point c), de la directive 2008/57/CE;

b) à tous les changements significatifs concernant les sous-systèmes structurels, lorsque l'article 15, paragraphe 1, de la directive 2008/57/CE ou une STI le requièrent.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre. Fait à Bruxelles, le 24 avril 2009. Par la Commission Antonio TAJANI Vice-président

(1) JO L 164 du 30.4.2004, p. 44, rectifiée au JO L 220 du 21.6.2004, p. 16.

(2) JO L 237 du 24.8.1991, p. 25.

(3) JO L 191 du 18.7.2008, p. 1.

(4) JO L 235 du 17.9.1996, p. 6.

(5) JO L 110 du 20.4.2001, p. 1.

ANNEXE I 1. PRINCIPES GÉNÉRAUX APPLICABLES AU PROCESSUS DE GESTION DES RISQUES 1.1. Principes généraux et obligations 1.1.1. Le processus de gestion des risques couvert par le présent règlement se fonde sur la définition du système évalué et comprend les activités suivantes: a) le processus d'appréciation des risques, qui identifie les dangers, les risques, les mesures de sécurité associées et les exigences de sécurité résultantes qui doivent être remplies par le système faisant l’objet de l’évaluation; b) la démonstration de la conformité du système avec les exigences de sécurité identifiées; c) la gestion de tous les dangers identifiés et les mesures de sécurité associées. Ce processus de gestion des risques est itératif. Il est décrit dans le diagramme de l’appendice. Le processus prend fin avec la démonstration que le système est conforme à toutes les exigences de sécurité nécessaires pour accepter les risques liés aux dangers identifiés. 1.1.2. Ce processus itératif de gestion des risques: a) comporte des mesures appropriées d’assurance de la qualité et est mené par du personnel compétent; b) est évalué de façon indépendante par un ou plusieurs organismes d’évaluation. 1.1.3. Le proposant chargé du processus d'appréciation des risques requis par le présent règlement tient un registre des dangers conformément à la section 4. 1.1.4. Les acteurs qui ont déjà mis en place des méthodes ou instruments d'appréciation des risques peuvent continuer à les utiliser pour autant qu’ils soient compatibles avec les dispositions du présent règlement et que les conditions suivantes soient remplies: a) les méthodes ou instruments d'appréciation des risques sont décrits dans un système de gestion de la sécurité accepté par une autorité nationale de sécurité conformément à l’article 10, paragraphe 2, point a), ou à l'article 11, paragraphe 1, point a), de la directive 2004/49/CE; ou b) les méthodes ou instruments d'appréciation des risques sont requis par une STI ou respectent des normes publiques reconnues spécifiées dans des règles nationales notifiées. 1.1.5. Sans préjudice de la responsabilité civile conformément aux prescriptions juridiques des États membres, le processus d'appréciation des risques relève de la responsabilité du proposant. En particulier, le proposant décide, en accord avec les acteurs concernés, qui sera chargé de remplir les exigences de sécurité résultant de l'évaluation des risques. Cette décision dépend du type de mesures de sécurité sélectionnées pour maintenir les risques à un niveau acceptable. Le respect des exigences de sécurité doit être démontré conformément à la section 3. 1.1.6. La première étape du processus de gestion des risques consiste à indiquer dans un document rédigé par le proposant les tâches des différents acteurs ainsi que leurs mesures de gestion des risques. Le proposant agit en collaboration étroite avec les différents acteurs concernés, en fonction de leurs tâches respectives, pour gérer les dangers et les mesures de sécurité associées. 1.1.7. L’évaluation de l’application correcte du processus de gestion des risques décrit dans le présent règlement est de la responsabilité du ou des organismes d'évaluation. 1.2. Gestion des interfaces 1.2.1. Pour chaque interface à prendre en considération pour le système en cours d’évaluation, et sans préjudice des spécifications ou interfaces définies dans les STI pertinentes, les acteurs du secteur ferroviaire concernés coopèrent pour identifier et gérer conjointement les dangers et mesures de sécurité associées qui doivent être pris en charge à ces interfaces. La gestion des risques partagés aux interfaces est coordonnée par le proposant. 1.2.2. Lorsque, pour remplir une exigence de sécurité, un acteur estime nécessaire une mesure de sécurité qu’il ne peut mettre en œuvre lui-même, il transfère, en accord avec un autre acteur, la gestion du danger associé à ce dernier par le processus décrit à la section 4. 1.2.3. Pour le système faisant l’objet d’une évaluation, tout acteur qui découvre qu’une mesure de sécurité est non conforme ou inadéquate a la responsabilité d’avertir le proposant, qui informe l’acteur mettant en œuvre la mesure de sécurité. 1.2.4. L’acteur mettant en œuvre la mesure de sécurité informe alors tous les acteurs concernés par le problème soit dans le système évalué, soit, pour autant que l’acteur en ait connaissance, dans les autres systèmes existants qui appliquent la même mesure de sécurité. 1.2.5. Lorsqu’un accord ne peut être trouvé entre deux ou plusieurs acteurs, le proposant a la responsabilité de trouver une solution adéquate. 1.2.6. Lorsqu’une exigence prévue par une règle nationale notifiée ne peut pas être remplie par un acteur, le proposant sollicite l’avis de l’autorité compétente concernée. 1.2.7. Indépendamment de la définition du système faisant l’objet de l’évaluation, le proposant a la responsabilité de veiller à ce que la gestion des risques couvre le système lui-même et son intégration dans l'ensemble du système ferroviaire. 2. DESCRIPTION DU PROCESSUS D'APPRÉCIATION DES RISQUES 2.1. Description générale 2.1.1. Le processus d'appréciation des risques est le processus global itératif qui comprend: a) la définition du système; b) l’analyse de risque, y compris l'identification des dangers; c) l’évaluation des risques. Le processus d'appréciation des risques se fait en interaction avec la gestion des dangers conformément au point 4.1. 2.1.2. La définition du système doit préciser au moins les points suivants: a) l’objet du système, c’est-à-dire sa destination; b) les fonctionnalités du système et ses composantes, si elles sont pertinentes (y compris, par exemple, les composantes humaines, techniques et opérationnelles); c) les limites du système, y compris les autres systèmes interagissant avec celui-ci; d) les interfaces physiques (telles que les systèmes interagissant) et fonctionnelles (telles que les entrées et sorties fonctionnelles); e) l’environnement du système (par exemple, les flux énergétiques et thermiques, les chocs, les vibrations, les interférences électromagnétiques, l’exploitation opérationnelle); f) les mesures de sécurité existantes et, après les itérations, la définition des exigences de sécurité identifiées par le processus d'appréciation des risques; g) les hypothèses qui détermineront les limites de l’appréciation des risques. 2.1.3. Une identification des dangers est effectuée sur le système défini conformément au point 2.2. 2.1.4. L’acceptabilité des risques du système évalué est mesurée au moyen des principes d’acceptation des risques suivants: a) l’application des codes de pratique (point 2.3); b) une comparaison avec des systèmes similaires (point 2.4); c) une estimation de risque explicite (point 2.5). Conformément au principe général visé au point 1.1.5, l'organisme d'évaluation renonce à imposer le principe d'acceptation des risques au proposant. 2.1.5. Le proposant démontre dans l’évaluation des risques que le principe d’acceptation des risques choisi est appliqué correctement. Il vérifie en outre que les principes d’acceptation des risques sont utilisés de manière cohérente. 2.1.6. L’application de ces principes aboutit à l'identification des éventuelles mesures de sécurité rendant acceptables le ou les risques que présente le système évalué. Parmi ces mesures de sécurité, celles choisies pour maîtriser le ou les risques deviennent des exigences de sécurité que le système doit respecter. Le respect de ces exigences est démontré conformément à la partie 3. 2.1.7. Le processus itératif d’appréciation des risques peut être considéré comme achevé une fois qu’il a été démontré que toutes les exigences de sécurité sont remplies et qu'aucun autre danger raisonnablement prévisible ne doit être pris en considération. 2.2. Identification des dangers 2.2.1. Le proposant identifie systématiquement, grâce à la vaste expertise d'une équipe compétente, tous les dangers raisonnablement prévisibles pour tout le système évalué, ses fonctions, le cas échéant, et ses interfaces. Tous les dangers identifiés sont portés au registre des dangers conformément à la section 4. 2.2.2. Afin de concentrer l’appréciation des risques sur les principaux risques, les dangers sont classifiés conformément à l’estimation du risque qu’ils représentent. Conformément à l’avis d’un expert, les dangers associés à un risque largement acceptable ne continuent pas à être analysés mais sont portés au registre des dangers. Leur classification est justifiée afin de permettre à un organisme d'évaluation de procéder à une évaluation indépendante. 2.2.3. Un critère est que les risques résultant de dangers peuvent être classifiés comme largement acceptables lorsque le risque est tellement faible qu'il n'est pas raisonnable de mettre en œuvre des mesures de sécurité supplémentaires. L’avis de l’expert tient compte du fait que la contribution de tous les risques largement acceptables ne dépasse pas une proportion définie du risque global. 2.2.4. Au cours de l’identification des dangers, des mesures de sécurité peuvent être identifiées. Elles sont portées au registre des dangers conformément à la section 4. 2.2.5. L’identification des dangers ne doit être effectuée qu’au niveau de détail nécessaire pour déterminer l'endroit où les mesures de sécurité sont supposées maîtriser les risques conformément à l’un des principes d’acceptation des risques mentionnés au point 2.1.4. L’itération peut donc être nécessaire entre les phases d’analyse des risques et d’évaluation des risques jusqu’à ce qu’un niveau de détail suffisant soit atteint pour permettre l’identification des dangers. 2.2.6. Lorsqu'un code de pratique ou un système de référence est utilisé pour maîtriser le risque, l'identification des dangers peut être limitée à: a) la vérification de la pertinence du code de pratique ou du système de référence; b) l'identification des différences par rapport au code de pratique ou au système de référence. 2.3. Utilisation des codes de pratique et évaluation des risques 2.3.1. Le proposant évalue, avec l'aide des autres acteurs concernés et sur la base des exigences énumérées au point 2.3.2, si un ou plusieurs dangers sont adéquatement couverts par l’application des codes de pratique pertinents. 2.3.2. Les codes de pratique répondent au minimum aux exigences suivantes: a) être largement reconnus dans le domaine ferroviaire. Si tel n'est pas le cas, les codes de pratique doivent être justifiés et être acceptables pour l’organisme d’évaluation; b) présenter un lien avec la maîtrise des dangers pris en compte dans le système évalué; c) être accessibles publiquement pour tous les acteurs désireux de les utiliser. 2.3.3. Lorsque la directive 2008/57/CE requiert la conformité avec les STI et que les STI en question n'imposent pas le processus d'appréciation des risques établi par le présent règlement, les STI peuvent être considérées comme des codes de pratique pour la maîtrise des dangers, à condition que l’exigence c) du point 2.3.2 soit remplie. 2.3.4. Les règles nationales notifiées conformément à l’article 8 de la directive 2004/49/CE et à l’article 17, paragraphe 3, de la directive 2008/57/CE peuvent être considérées comme des codes de pratique à condition que les exigences du point 2.3.2 soient remplies. 2.3.5. Si un ou plusieurs dangers sont maîtrisés par des codes de pratique remplissant les exigences du point 2.3.2, les risques liés à ces dangers sont considérés comme acceptables. Cela signifie que: a) ces risques ne doivent pas continuer à être analysés; b) l’utilisation des codes de pratique est mentionnée dans le registre des dangers en tant qu'exigence de sécurité pour les dangers concernés. 2.3.6. Si la stratégie de rechange n'est pas pleinement conforme à un code de pratique, le proposant démontre qu'elle aboutit au moins au même niveau de sécurité. 2.3.7. Si le risque lié à un certain danger ne peut être rendu acceptable par l’application de codes de pratique, des mesures de sécurité supplémentaires sont identifiées en appliquant un des deux autres principes d’acceptation des risques. 2.3.8. Lorsque tous les dangers sont maîtrisés par des codes de pratique, le processus de gestion des risques peut être limité à: a) l'identification des dangers conformément à la partie 2.2.6; b) l'enregistrement de l'utilisation des codes de pratique dans le registre des dangers conformément au point 2.3.5; c) la documentation relative à l'application du processus de gestion des risques conformément au point 5; d) une évaluation indépendante conformément à l'article 6. 2.4. Utilisation du système de référence et évaluation de risque 2.4.1. Le proposant évalue, avec l'aide des autres acteurs concernés, si un ou plusieurs dangers sont couverts par un système similaire pouvant servir de système de référence. 2.4.2. Tout système de référence remplit au moins les exigences suivantes: a) il a déjà été prouvé qu’il présente un niveau de sécurité acceptable lors de son utilisation et il pourrait encore être accepté dans l’État membre où la modification doit être introduite; b) ses fonctions et interfaces sont semblables à celles du système évalué; c) il est utilisé dans des conditions opérationnelles semblables à celles du système évalué; d) il est utilisé dans des conditions environnementales semblables à celles du système évalué. 2.4.3. Si un système de référence remplit les exigences énumérées au point 2.4.2, alors, pour le système faisant l'objet d'une évaluation: a) les risques liés aux dangers couverts par le système de référence sont considérés comme acceptables; b) les exigences de sécurité pour les dangers couverts par le système de référence peuvent dériver des analyses de sécurité ou d’une évaluation des registres de sécurité du système de référence; c) ces exigences de sécurité sont portées au registre des dangers en tant qu’exigences de sécurité pour les dangers concernés. 2.4.4. Si le système évalué diffère du système de référence, l’évaluation des risques doit démontrer que le système évalué atteint au moins le même niveau de sécurité que le système de référence. Les risques liés aux dangers couverts par le système de référence sont, dans ce cas, considérés comme acceptables. 2.4.5. S’il ne peut pas être démontré que le système évalué atteint le même niveau de sécurité que le système de référence, des mesures complémentaires sont identifiées pour les différences constatées, en appliquant l'un des deux autres principes d'acceptation des risques. 2.5. Estimation et évaluation des risques explicites 2.5.1. Lorsque les dangers ne sont pas couverts par l’un des deux principes d’acceptation des risques décrits aux points 2.3 et 2.4, l’acceptabilité des risques est démontrée par l’estimation et l’évaluation des risques explicites. Les risques découlant de ces dangers sont estimés soit quantitativement soit qualitativement, compte tenu des mesures de sécurité existantes. 2.5.2. L’acceptabilité des risques estimés est évaluée au moyen de critères d'acceptation des risques soit dérivés des exigences juridiques de la législation européenne ou fondés sur celle-ci, soit mentionnés dans les règles nationales notifiées. En fonction du critère d’acceptation des risques, l’acceptabilité du risque peut être évaluée soit séparément pour chaque danger associé, soit globalement pour la combinaison de tous les dangers pris en compte dans l’estimation de risque explicite. Si le risque estimé n’est pas acceptable, des mesures de sécurité supplémentaires sont identifiées et mises en œuvre afin de ramener le risque à un niveau acceptable. 2.5.3. Lorsque le risque associé à un danger ou à une combinaison de dangers est considéré comme acceptable, les mesures de sécurité identifiées sont portées au registre des dangers. 2.5.4. Lorsque des dangers sont dus à des défaillances de systèmes techniques non couverts par des codes de pratique ou par le recours à un système de référence, le critère suivant d'acceptation des risques s'applique à la conception du système technique: Pour les systèmes techniques où une défaillance fonctionnelle présente un potentiel direct crédible de conséquence catastrophique, le risque associé ne doit pas être réduit davantage si le taux de défaillance est inférieur ou égal à 10-9 par heure d’exploitation. 2.5.5. Sans préjudice de la procédure prévue à l'article 8 de la directive 2004/49/CE, un critère plus strict peut être exigé, au moyen d'une règle nationale, pour maintenir un niveau de sécurité national. Toutefois, dans le cas des autorisations supplémentaires de mise en service de véhicules, les procédures prévues aux articles 23 et 25 de la directive 2008/57/CE s'appliquent. 2.5.6. Si un système technique est développé en appliquant le critère 10-9 défini au point 2.5.4, le principe de reconnaissance mutuelle est applicable conformément à l'article 7, paragraphe 4, du présent règlement. Néanmoins, si le proposant peut démontrer que le niveau de sécurité national dans l'État membre où il est appliqué peut être maintenu avec un taux de défaillance supérieur à 10 – 9 par heure d'exploitation, il peut utiliser ce critère dans cet État. 2.5.7. L’estimation et l’évaluation des risques explicites satisfont au moins aux exigences suivantes: a) les méthodes utilisées pour l’estimation de risque explicite reflètent correctement le système évalué et ses paramètres (y compris tous les modes opérationnels); b) les résultats sont suffisamment précis pour servir de base de décision solide. Autrement dit, des modifications légères dans les hypothèses de base ou les prérequis n'engendrent pas des exigences significativement différentes. 3. DÉMONSTRATION DE LA CONFORMITÉ AUX EXIGENCES DE SÉCURITÉ 3.1. Préalablement à l’acceptation de la sécurité des modifications, il est démontré, sous la supervision du proposant, que les exigences de sécurité résultant de la phase d'appréciation des risques sont remplies. 3.2. Cette démonstration est effectuée par chacun des acteurs responsables du respect des exigences de sécurité, comme décidé conformément au point 1.1.5. 3.3. La stratégie choisie pour démontrer le respect des exigences de sécurité ainsi que la démonstration elle-même sont évaluées indépendamment par un organisme d’évaluation. 3.4. Toute inadéquation des mesures de sécurité destinées à assurer le respect des exigences de sécurité ou tout danger découvert au cours de la démonstration de conformité avec les exigences de sécurité imposent au proposant d'apprécier à nouveau et d’évaluer les risques associés conformément à la section 2. Les nouveaux dangers identifiés sont portés au registre des dangers conformément à la section 4. 4. GESTION DES DANGERS 4.1. Processus de gestion des dangers 4.1.1. Les registres des dangers sont créés ou mis à jour (s’ils existent déjà) par le proposant durant les phases de conception et de mise en œuvre, jusqu'à l'acceptation de la modification ou la transmission du rapport d’évaluation de la sécurité. Le registre des dangers fait état de l’avancement de la surveillance des risques liés aux dangers identifiés. Conformément au point 2 g) de l’annexe III de la directive 2004/49/CE, après l'acceptation et la mise en service du système, le registre des dangers continue à être tenu à jour par le gestionnaire de l’infrastructure ou par l’entreprise ferroviaire chargé(e) de l'exploitation du système évalué comme une partie intégrante de son système de gestion de la sécurité. 4.1.2. Le registre des dangers comporte tous les dangers ainsi que toutes les mesures de sécurité associées et les hypothèses relatives au système identifiées au cours du processus d'appréciation des risques. En particulier, il contient une référence claire à l’origine et aux principes d’acceptation des risques sélectionnés et identifie clairement le ou les acteurs chargés de maîtriser chaque danger. 4.2. Échange d’informations Tous les dangers et les exigences de sécurité associées qui ne peuvent être maîtrisés par un seul acteur sont communiqués à un autre acteur concerné dans le but de trouver conjointement une solution adéquate. Les dangers portés au registre des dangers de l’acteur qui les transfère ne sont «maîtrisés» que lorsque l'évaluation des risques liés à ces dangers est effectuée par l'autre acteur et qu'une solution est adoptée par tous les acteurs concernés. 5. PREUVE DE L’APPLICATION DU PROCESSUS DE GESTION DES RISQUES 5.1. Le processus de gestion des risques utilisé pour évaluer les niveaux de sécurité et la conformité avec les exigences de sécurité est étayé par le proposant de manière à ce que toutes les preuves nécessaires démontrant l’application correcte du processus de gestion des risques soient accessibles à un organisme d’évaluation. L’organisme d’évaluation établit ses conclusions dans un rapport d’évaluation de la sécurité. 5.2. Le document établi par le proposant conformément au point 5.1 comprend au moins: a) une description de l'organisation et des experts désignés pour mener à bien le processus d'appréciation des risques; b) les résultats des différentes phases de l'appréciation des risques et une liste de toutes les exigences de sécurité qu'il est nécessaire de remplir pour maintenir le risque à un niveau acceptable. Appendice Processus de gestion des risques et évaluation indépendante