INDOKOLÁS

1.A JAVASLAT HÁTTERE

·A javaslat indokai és céljai

Az európaiak hatékony védelme érdekében az Európai Uniónak továbbra is csökkentenie kell a sebezhetőségeket, többek között a társadalmaink és gazdaságunk működéséhez nélkülözhetetlen kritikus infrastruktúrák tekintetében. Az európai polgárok megélhetése és a belső piac megfelelő működése a kritikus fontosságú társadalmi és gazdasági tevékenységek fenntartásához szükséges megbízható szolgáltatásnyújtást segítő különböző infrastruktúráktól függ. Ezek a szolgáltatások, amelyek rendes körülmények között is nélkülözhetetlenek, még fontosabbá váltak, mivel Európa jelenleg a Covid19-világjárvány hatásait kezeli és pandémia utáni talpra állásra koncentrál. Ebből következik, hogy az alapvető szolgáltatásokat nyújtó szervezeteknek rezilienseknek kell lenniük, azaz képeseknek kell lenniük arra, hogy ellenálljanak a súlyos, akár több ágazatot érintő és határokon átnyúló zavarokat előidéző biztonsági eseményekkel szemben, elnyeljék azok hatását, alkalmazkodjanak azokhoz, majd helyreállítsák a szervezet működését.

E javaslat célja, hogy az ilyen szolgáltatásokat nyújtó kritikus fontosságú szervezetek rezilienciájának fokozása révén javítsa az alapvetően fontos társadalmi funkciók vagy gazdasági tevékenységek fenntartásához nélkülözhetetlen szolgáltatások nyújtását a belső piacon. A javaslat a Tanács és az Európai Parlament közelmúltbeli cselekvési felhívásait tükrözi, amelyek arra ösztönözték a Bizottságot, hogy vizsgálja felül a jelenlegi megközelítést annak érdekében, hogy az jobban tükrözze a kritikus fontosságú szervezetek előtt álló megnövekedett kihívásokat, és biztosítson szorosabb összhangot a hálózati és információs rendszerek biztonságáról szóló irányelvvel (a továbbiakban: kiberbiztonsági irányelv). Ez a javaslat következetes és szoros szinergiákat alakít ki a kiberbiztonság Unió-szerte egységesen magas szintjének megvalósítására irányuló intézkedésekről szóló irányelvjavaslattal (a továbbiakban: második kiberbiztonsági irányelv), amely felváltja a kiberbiztonsági irányelvet annak érdekében, hogy a biztonsági unióra vonatkozó stratégiába foglalt számítástechnikai és fizikai elemekre is kiterjedő, határozott rezilienciafejlesztési intézkedéseket tartalmazó jogszabályi keret révén kezelje a fizikai és a digitális szféra fokozott összekapcsoltságát.

Emellett a javaslat egyre több tagállam nemzeti megközelítését tükrözi, amelyek jellemzően az ágazatok közötti és a határokon átnyúló kölcsönös függőségekre helyezik a hangsúlyt, és egyre inkább a rezilienciára összpontosító szemléletre támaszkodik, amelynek a védelem csak az egyik eleme a kockázatmegelőzés és -csökkentés, az üzletmenet-folytonosság és a helyreállítás mellett. Mivel a kritikus infrastruktúrák esetében annak is fennáll a kockázata, hogy a terroristák célpontjaivá válhatnak, az e javaslatban szereplő, a kritikus fontosságú szervezetek rezilienciájának biztosítására irányuló intézkedések hozzájárulnak az EU nemrégiben elfogadott, terrorizmus elleni küzdelmet célzó programjának célkitűzéseihez.

Az Európai Unió (EU) már régóta elismeri a kritikus infrastruktúrák páneurópai jelentőségét. Például az EU 2006-ban létrehozta a kritikus infrastruktúrák védelmével foglalkozó európai referenciahálózat vonatkozó európai programot, 2008-ban pedig elfogadta az európai kritikus infrastruktúrákról szóló irányelvet. A kizárólag az energia- és a közlekedési ágazatra alkalmazandó, az európai kritikus infrastruktúrákról szóló irányelv előírja az azon európai kritikus infrastruktúrák azonosítására és kijelölésére szolgáló eljárást, amelyek zavarának vagy megrongálódásának jelentős határokon átnyúló hatása lehet legalább két tagállamban. Emellett konkrét védelmi követelményeket határoz meg az európai kritikus infrastruktúrák üzemeltetőire és a tagállamok illetékes hatóságaira vonatkozóan. Mostanáig 94 európai kritikus infrastruktúrát jelöltek ki, amelyek kétharmada három közép- és kelet-európai tagállamban található. A kritikus infrastruktúrák rezilienciájára irányuló uniós fellépés hatóköre azonban túlmutat ezeken az intézkedéseken, és magában foglalja többek között az éghajlatváltozási rezilienciavizsgálatra, a polgári védelemre, a közvetlen külföldi befektetésekre és a kiberbiztonságra vonatkozó ágazati és ágazatközi intézkedéseket is. Időközben a tagállamok maguk is hoztak saját – egymástól eltérő – intézkedéseket ezen a területen.

Ezért nyilvánvaló, hogy a kritikus infrastruktúrák védelmére vonatkozó jelenlegi keret nem elegendő a kritikus infrastruktúrákat és az azokat üzemeltető szervezeteket érintő jelenlegi kihívások kezeléséhez. Mivel az alapvető szolgáltatásokat nyújtó infrastruktúrák, hálózatok és üzemeltetők egyre inkább összekapcsolódnak egymással a belső piacon, a jelenlegi megközelítést alapjaiban kell megváltoztatni: a konkrét eszközök védelméről az azokat üzemeltető kritikus fontosságú szervezetek rezilienciájának megerősítésére kell áttérni.

Az elmúlt években jelentősen megváltozott a kritikus fontosságú szervezetek működését övező működési környezet. Először is, a kockázati környezet összetettebb, mint 2008-ban, ugyanis napjainkban természeti veszélyeket (melyeket sok esetben az éghajlatváltozás is tovább súlyosbít), államilag támogatott hibrid tevékenységeket, terrorizmust, belső fenyegetéseket, járványokat és baleseteket (például ipari baleseteket) is felölel. Másodszor, az üzemeltetők nehézségekkel szembesülnek, amikor olyan új technológiákat integrálnak a tevékenységükbe, mint az 5G és a személyzet nélküli járművek, és ezzel párhuzamosan foglalkozniuk kell az ilyen technológiák által esetlegesen okozott sebezhetőségekkel. Harmadszor, e technológiák és egyéb tendenciák miatt az üzemeltetők egyre inkább egymásra vannak utalva. Ennek következményei egyértelműek – egy adott ágazatban működő adott gazdasági szereplő által nyújtott szolgáltatást érintő zavarok továbbgyűrűző hatást gyakorolhatnak a szolgáltatásnyújtásra más ágazatokban, valamint esetlegesen más tagállamokban vagy akár az Unió egész területén.

Amint azt az európai kritikus infrastruktúrákról szóló irányelv 2019. évi értékelése is bizonyítja, a meglévő európai és nemzeti intézkedések csak korlátozott mértékben segítik az üzemeltetőket abban, hogy megbirkózzanak a jelenleg előttük álló működési kihívásokkal és a kölcsönösen függő helyzetükből fakadó sebezhetőségekkel.

Ennek több oka is van, amint abban a hatásvizsgálatban is szerepel, amely alátámasztotta a javaslat kidolgozását. Először is, az üzemeltetők nincsenek teljesen tudatában annak, illetve nem látják tejesen tisztán, hogy milyen következményekkel jár a működésüket övező dinamikus kockázati környezet. Másodszor, a rezilienciára irányuló erőfeszítések tagállamoként és az ágazatoként jelentősen eltérőek. Harmadszor, a hasonló típusú szervezeteket egyes tagállamok kritikus fontosságúnak ismerik el, mások azonban nem, tehát hasonló szervezetek különböző mértékű hivatalos kapacitásépítési támogatásban részesülnek (pl. iránymutatás, képzések és gyakorlatok szervezése formájában) attól függően, hogy hol működnek az Unión belül, és eltérő követelmények vonatkoznak rájuk. Akadályozza az üzemeltetők – különösen a szigorúbb kereteket meghatározó tagállamokban működő kritikus fontosságú szervezetek – határokon átnyúló tevékenységét, hogy tagállamonként eltérőek a követelmények és az üzemeltetőknek nyújtott kormányzati támogatások. Mivel a tagállamokban és az EU-n belül a szolgáltatásnyújtás és az ágazatok egyre inkább összekapcsolódnak egymással, az egyik üzemeltető elégtelen rezilienciája komoly kockázatot jelent a belső piac más részein működő szervezetek számára.

A zavarok – különösen a határokon átnyúló és potenciálisan páneurópai következményekkel járó fennakadások – amellett, hogy veszélyeztetik a belső piac zavartalan működését, számottevő negatív hatást gyakorolhatnak a polgárokra, a vállalkozásokra, a kormányokra és a környezetre nézve. Az egyének szintjén a zavarok azt is befolyásolhatják, hogy az európaiak képesek-e szabadon utazni, munkát vállalni, és igénybe venni olyan alapvető közszolgáltatásokat, mint az egészségügyi ellátás. Sok esetben európai vállalkozások szorosan összekapcsolt hálózatai nyújtják ezeket és a mindennapi életet elősegítő egyéb alapvető szolgáltatásokat, ezért az egyik ágazat egyik vállalkozását érintő zavar továbbgyűrűző hatásokat válthat ki számos más gazdasági ágazatban. Végezetül az olyan zavarok, mint például a kiterjedt feszültség-kimaradások és a súlyos közlekedési balesetek, ronthatják a biztonságot és a közvédelmet, bizonytalanságot kelthetnek és megrendíthetik a kritikus fontosságú szervezetekbe, valamint az azok felügyeletéért és a lakosság biztonságáért felelős hatóságokba vetett bizalmat.