RELAZIONE

1.CONTESTO DELLA PROPOSTA

·Motivi e obiettivi della proposta

Per proteggere efficacemente i cittadini europei, l'Unione europea deve continuare a ridurre le vulnerabilità, anche delle infrastrutture critiche che sono essenziali per il funzionamento delle nostre società e della nostra economia. Il sostentamento dei cittadini europei e il buon funzionamento del mercato interno dipendono da diverse infrastrutture e dall'affidabilità della loro fornitura di servizi necessari per il mantenimento di attività sociali ed economiche fondamentali. Tali servizi, vitali in circostanze normali, sono tanto più importanti ora che l'Europa si trova a dover gestire gli effetti della COVID-19 e guarda verso una ripresa dalla pandemia. Ne consegue che i soggetti che forniscono servizi essenziali devono essere resilienti, vale a dire in grado di resistere ad incidenti che possono causare gravi perturbazioni intersettoriali e transfrontaliere, di assorbirli, di adattarvisi e di riprendersi.

La presente proposta mira a rafforzare la fornitura, nel mercato interno, di servizi essenziali per il mantenimento di funzioni vitali della società o di attività economiche, aumentando la resilienza dei soggetti critici che somministrano tali servizi. Essa rispecchia i recenti inviti ad agire da parte del Consiglio e del Parlamento europeo, che hanno entrambi esortato la Commissione a rivedere l'approccio attuale allo scopo di tenere maggiormente conto delle accresciute sfide per i soggetti critici e di garantire un più stretto allineamento con la direttiva sulla sicurezza delle reti e dei sistemi informativi (Network and Information Systems, direttiva NIS). La presente proposta è coerente e stabilisce strette sinergie con la proposta di direttiva relativa a misure per un livello comune elevato di cibersicurezza nell'Unione ("direttiva NIS 2"), che sostituirà la direttiva NIS al fine di affrontare la crescente interconnessione tra il mondo fisico e quello digitale attraverso un quadro legislativo con solide misure di resilienza, sia per gli aspetti informatici che per quelli fisici, come stabilito nella strategia per l'Unione della sicurezza.

La proposta rispecchia inoltre gli approcci nazionali in un numero crescente di Stati membri, che tendono a porre l'accento sulle interdipendenze intersettoriali e transfrontaliere e che sono sempre più improntati al concetto di resilienza, in cui la protezione è solo uno degli elementi accanto alla prevenzione e all'attenuazione dei rischi, alla continuità operativa e alla ripresa. Dato che le infrastrutture critiche corrono anche il rischio di essere potenziali bersagli terroristici, le misure volte a garantire la resilienza dei soggetti critici contenute nella presente proposta contribuiscono alla realizzazione degli obiettivi della recentemente adottata agenda dell'UE per la lotta al terrorismo.

L'Unione europea riconosce da tempo la rilevanza paneuropea delle infrastrutture critiche. Nel 2006 ha ad esempio elaborato il programma europeo per la protezione delle infrastrutture critiche (European Programme for Critical Infrastructure Protection, EPCIP) e nel 2008 ha adottato la direttiva sulle infrastrutture critiche europee (European Critical Infrastructure, ECI). La direttiva ECI, che si applica solo ai settori dell'energia e dei trasporti, stabilisce una procedura di individuazione e designazione delle infrastrutture critiche europee, il cui danneggiamento o la cui distruzione avrebbe un significativo impatto su almeno due Stati membri. Dispone inoltre requisiti specifici di protezione per gli operatori ECI e per le autorità competenti degli Stati membri. Ad oggi sono state designate 94 ECI, due terzi delle quali sono situate in tre Stati membri dell'Europa centrale e orientale. La portata dell'azione dell'UE sulla resilienza delle infrastrutture critiche si estende tuttavia al di là di tali misure e include misure settoriali e intersettoriali riguardanti fra l'altro la capacità di reagire ai cambiamenti climatici, la protezione civile, gli investimenti esteri diretti e la cibersicurezza. Nel frattempo, gli stessi Stati membri hanno adottato misure proprie in questo settore che divergono le une dalle altre.

È quindi evidente che il quadro vigente sulla protezione delle infrastrutture critiche non è sufficiente per affrontare le attuali sfide di tali infrastrutture e dei soggetti che le gestiscono. Data la crescente interconnessione tra infrastrutture, reti e operatori che forniscono servizi essenziali nel mercato interno, è necessario cambiare radicalmente l'impostazione attuale e passare dalla protezione di strutture specifiche al rafforzamento della resilienza dei soggetti critici che le gestiscono.

Negli ultimi anni l'ambiente operativo in cui lavorano i soggetti critici è cambiato considerevolmente. In primo luogo il panorama dei rischi è più complesso che nel 2008 e comporta oggi pericoli naturali (in molti casi accentuati dal cambiamento climatico), azioni ibride sostenute dallo Stato, terrorismo, minacce interne, pandemie e sinistri (come quelli industriali). In secondo luogo, gli operatori si trovano ad affrontare le sfide dell'integrazione delle nuove tecnologie, come il 5G e i veicoli senza pilota, nelle loro attività, affrontando al tempo stesso le vulnerabilità che tali tecnologie potrebbero potenzialmente creare. In terzo luogo, queste tecnologie e altre tendenze rendono gli operatori sempre più dipendenti gli uni dagli altri. Le implicazioni di questa situazione sono chiare: una perturbazione che interessa la fornitura dei servizi di un operatore può generare effetti a cascata sulla fornitura di servizi in altri settori, e forse anche in altri Stati membri o in tutta l'Unione.

Come emerso dalla valutazione del 2019 della direttiva ECI, le vigenti misure europee e nazionali mostrano dei limiti nell'aiutare gli operatori ad affrontare le sfide operative che oggi incontrano e le vulnerabilità che la loro interdipendenza comporta.

Le ragioni sono molteplici, come illustra la valutazione d'impatto su cui si basa l'elaborazione della proposta in oggetto. In primo luogo, gli operatori non sono del tutto consapevoli o non capiscono appieno le implicazioni del dinamico panorama dei rischi in cui lavorano. In secondo luogo, gli sforzi di resilienza divergono significativamente fra Stati membri e fra settori. In terzo luogo, tipi di soggetti simili vengono riconosciuti come critici da alcuni Stati membri ma non da altri. Questo significa che soggetti analoghi ricevono il sostegno pubblico allo sviluppo delle capacità secondo gradi diversi (nella forma, ad esempio, di orientamenti, formazione e organizzazione di attività) a seconda del luogo in cui operano, e che sono soggetti a requisiti diversi. Il fatto che i requisiti e il sostegno pubblico agli operatori varino da uno Stato membro all'altro crea ostacoli agli operatori quando intervengono a livello transfrontaliero, in particolare per quei soggetti critici che operano in Stati membri con un quadro più rigoroso. Data l'interconnessione sempre maggiore della fornitura di servizi e dei settori negli Stati membri e nell'UE nel suo complesso, un livello di resilienza insufficiente da parte di un operatore pone un serio rischio per soggetti situati altrove nel mercato interno.

Oltre a compromettere il corretto funzionamento del mercato interno le perturbazioni, specialmente quelle con implicazioni transfrontaliere e potenzialmente paneuropee, possono avere gravi ripercussioni negative per i cittadini, le imprese, i governi e l'ambiente. A livello individuale, infatti, le perturbazioni possono incidere sulla capacità degli Europei di viaggiare liberamente, lavorare e ricorrere a servizi pubblici fondamentali come l'assistenza sanitaria. In molti casi, questi e altri servizi centrali alla base della vita quotidiana sono forniti da reti di imprese europee strettamente interconnesse: una perturbazione di un'attività in un settore può avere effetti a cascata in molti altri settori economici. Infine, perturbazioni come, ad esempio, blackout elettrici su larga scala e gravi sinistri nei trasporti, possono contribuire a intaccare la sicurezza e l'incolumità delle persone, inducendo incertezza e minando la fiducia nei soggetti critici così come nelle autorità responsabili della loro sorveglianza e della protezione e sicurezza della popolazione.