RO    RO RO 
RO    RO  COMISIA COMUNIT ĂȚILOR EUROPENE 
Bruxelles, 30.3.2009 
SEC(2009) 400  
  
DOCUMENT DE LUCRU AL SERVICIILOR COMISIEI 
Document de înso țire pentru 
   
COMUNICAREA COMISIEI C ĂTRE CONSILIU, PARL AMENTUL EUROPEAN, 
COMITETUL ECONOMIC ȘI SOCIAL EUROPEAN ȘI COMITETUL 
REGIUNILOR 
 
privind protec ția infrastructurilor critice de informa ție  
„Protejarea Europei de atacuri cibernetice și perturba ții de amploare:  
ameliorarea gradului de preg ătire, a securit ății și a rezilien ței” 
   
REZUMATUL EVALU ĂRII IMPACTULUI 
 
{COM(2009) 149} 
{SEC(2009) 399} 
RO 2   RO REZUMATUL EVALU ĂRII IMPACTULUI  
1. ÎN CE CONST Ă PROBLEMA ? 
Sectorul TIC este esen țial pentru economia și societatea european ă  
Tehnologiile informa ției și comunica țiilor (TIC) au devenit axul central al economiei și 
societății UE în ansamblul s ău. Sectorul TIC este esen țial pentru toate zonele societ ății. 
Întreprinderile se bazeaz ă pe sectorul TIC atât în ceea ce prive ște vânzările directe, cât și 
în privința eficienței/eficacit ății proceselor interne. Prezen ța TIC este din ce în ce mai 
puternic resim țită în funcționarea administra țiilor publice locale și centrale : utilizarea 
serviciilor de guvernare electronic ă la toate nivelurile garanteaz ă proceduri mai eficiente, îns ă 
face totodat ă ca sectorul public s ă devină foarte dependent de TIC pentru multe dintre 
activități. Nu în ultimul rând, cetățenii se bazeaz ă din ce în ce mai mult pe serviciile 
societății informa ționale și utilizeaz ă TIC în activit ățile zilnice : în afara efectelor negative 
pe care ciber-perturba țiile le-ar avea asupra acestor activit ăți, din ce în ce mai multe informa ții 
personale ale cet ățenilor sunt comunicate și transmise electronic. M ăsurile inadecvate de 
securitate ar putea conduce la pierderea de informa ții personale sensibile și ar putea fi la 
originea furturilor de identitate și a altor fraude1. Ameliorarea securit ății și a rezilien ței 
acestor infrastructuri este, prin urmare, absolut necesar ă pentru protec ția informa țiilor 
personale ale cet ățenilor și pentru respectarea dreptului la via ță privată. 
Sistemele și serviciile TIC reprezint ă în sine o structur ă esențială, dar și o platform ă de bază 
pentru alte infras tructuri tehnologice și sociale de o importan ță critică. Acest lucru a fost 
recunoscut în cartea verde a Comisiei Europene  privind un program european de protejare a 
infrastructurii critice care înglobeaz ă în conceptul de infrastructuri critice de informa ție 
toate „sistemele TIC care reprezint ă în sine infrastructuri critice sau care sunt esen țiale 
pentru func ționarea infrastructurilo r critice (telecomunica ții, calculatoare/programe 
informatice, internet, sateli ți etc.)”2, în mod similar abord ării OCDE3.  
În ciuda diferen țelor terminologice existente, este important faptul c ă noțiunea de 
infrastructuri critice de informa ție conduce la o abordare sistemic ă a politicilor 
destinate s ă garanteze securitatea și funcționarea continu ă a sistemelor, serviciilor, 
rețelelor și infrastructurilor TIC  (denumite în continuare „inf rastructuri TIC”), în care 
internetul este o parte component ă foarte important ă datorită răspândirii sale largi și 
procesului de convergen ță tehnologic ă. 
                                                 
1 http://www.times online.co.uk/tol/news/uk/crime/article4211711.ece 
2 COM(2005) 576 final. 
3 http://www.oecd.org/dataoecd/1/13/40825404.pdf  
RO 3   RO Implicații 
Răspândirea infrastructurilor critice de informa ție implică că efectele ciber-perturba țiilor sunt 
resimțite la scar ă largă în întreaga societate .  
Riscurile datorate atacurilor provocate de  factorul uman, catas trofelor naturale și deficien țelor 
tehnice nu sunt de cele ma i multe ori pe deplin în țelese și/sau analizate. Prin urmare, nivelul 
de sensibilizare al p ărților interesate este insuficient pentru elaborarea de m ăsuri de protec ție 
și de contram ăsuri adecvate.  
Atacurile cibernetice au ajuns la un nivel de complexitate f ără precedent  și sunt adesea 
întreprinse de indivizi sau grup ări criminale în scopul ob ținerii de profituri sau în scopuri 
politice. Atacurile cibernetice de amploa re împotriva Estoniei, Lituaniei și Georgiei sunt 
exemple ale unei tendin țe generale.  Numărul foarte mare de viru și, viermi și programe 
malware, r ăspândirea botneturilor și creșterea num ărului de spamuri confirm ă gravitatea 
problemei4. Infrastructurile TIC sunt supuse unor atacuri constante  și dacă Europa nu se 
pregătește, efectul acestora va fi mult mai grav.  
Dependen ța mare de infrastructurile critice de informa ție, interconectarea transfrontalier ă a 
acestora și interdependen ța cu alte infrastructuri sporesc necesitatea abordării problemei 
securității și rezilien ței acestora printr-o abordare sistemic ă, ca prim ă linie de ap ărare 
împotriva deficien țelor și atacurilor, pe lâng ă și în completarea m ăsurilor de prevenire, lupt ă 
și urmărire în justi ție a activit ăților criminale și teroriste care vizeaz ă aceste infrastructuri.  
Natura problemei 
În momentul de fa ță, problema securit ății și rezilien ței infrastructurilor critice de 
informație este tratat ă în principal la nivel na țional, coordonarea paneuropean ă fiind 
minimă. Lipsa cooper ării transfrontaliere reduce în mod substan țial eficacitatea 
contramăsurilor na ționale. În plus, nivelul redus de securitate și rezilien ță al 
infrastructurilor critice de informa ție într-o țară ar putea duce la cre șterea 
vulnerabilit ății și a riscurilor în alte țări.  
Deoarece infrastructurile  critice de informa ție au o dimensiune planetar ă, sunt strâns 
interconectate și interdependente  cu alte infrastructur i, garantarea securit ății și rezilienței 
acestora nu poate fi realizat ă doar prin abord ări strict na ționale și necoordonate . În plus, 
este cunoscut faptul pia ța nu ofer ă suficiente stimulente pentru  a stimula sectorul privat 
să investeasc ă în protec ția infrastructurilor critice de informa ție la nivelul solicitat în 
mod normal de sectorul public. 
Cauzele care stau la baza problemei generale  descrise anterior sunt: 
• Abordări disparate ale statelor membre privit oare la politicile publice de securitate și 
reziliență a infrastructurilor critice de informa ție. Există diferențe între politicile de 
securitate și reziliență a infrastructurilor de informa ție între statele membre. În plus, nivelul 
de expertiz ă și gradul de preg ătire nu par s ă fie distribuite uniform, a șa cum se subliniaz ă 
                                                 
4 COM(2006)688 final.  
RO 4   RO în analiza abord ărilor naționale efectuat ă de Comisie și confirmat ă de Agenția European ă 
pentru Securitatea Re țelelor Informatice și a Datelor (ENISA)5; 
• Adoptarea dificil ă a noilor modele de guvernan ță la scară european ă. Ameliorarea 
securității și fiabilității infrastructurilor critice de informa ție ridică probleme speciale de 
guvernan ță. Administra țiile publice centrale  sunt responsabile  de definirea politicilor 
legate de infrastructurile critice de informa ție, însă implicarea sectorului privat este 
primordial ă pentru implementarea acestora. Parteneriate public-privat (PPP) au ap ărut 
la nivel na țional ca modele de referin ță pentru gestionarea acestei îmbin ări de 
responsabilit ăți. Cu toate acestea, în ciuda unui cons ens general cu privire la faptul c ă 
parteneriatele public-privat ar fi de dorit și la nivel european, acest lucru nu s-a materializat 
încă;  
• La nivel european, capacitate limitat ă alertă rapidă și de reac ție la incidente . 
Consultările au pus în eviden ță diferențele dintre sistemele na ționale de alert ă rapidă și de 
reacție la incidente. Unele state membre nu primesc în mod regulat rapoarte privind 
incidentele legate de securitatea re țelelor (de și este posibil ca anumi ți operatori s ă facă 
acest lucru între ei în mod informal) și/sau nu au creat o organiza ție care să centralizeze 
acest gen de rapoarte. Cooperarea și schimbul de informa ții dintre organismele 
guvernamentale  este subdezvoltat ă și periclitat ă de lipsa unor mecanisme fiabile de 
schimb de informa ții și coordonare, care ar necesita buna func ționare a tuturor 
echipelor na ționale/guvernamentale de r ăspuns la incidente de securitate în domeniul 
IT (CERT), altfel spus o baz ă comună în ceea ce prive ște capabilit ățile. În plus, 
exercițiile și simulările practice la nivelul UE , un element-cheie pentru ameliorarea 
securității și rezilien ței infrastructurilor critice de informa ție sunt înc ă în stadiu 
embrionar ;  
• Grad redus de con știentizare a riscurilor legate de securitatea și rezilien ța 
internetului . Internetul, datorit ă structurii sale distribuite și redundante s-a dovedit a fi 
până acum o infrastructur ă destul de robust ă și rezilient ă. Este îns ă normal să punem 
la îndoial ă capacitatea sa de a re zista în continuare numărului mare  de perturba ții și 
atacuri cibernetice, având în vedere evoluția sa fenomenal ă, complexitatea crescând ă și 
apariția de noi servicii .  
Nicio țară nu este izolat ă. Caracterul global al infrastructurilor critice de informa ție și în 
special al internetului, impun o abordare comun ă globală a securit ății și rezilienței. Doar 
printr-o coordonare puternic ă la european se va putea ob ține un impact direct la nivel 
internațional.   
2. CARE SUNT ARGUMENTELE UNEI AC țIUNI LA NIVELUL UE? 
Este posibil ca o abordare pur na țională a problemelor descrise anterior s ă nu fie 
suficientă. Efectele transfrontaliere neputând fi neglijate, multe amenin țări la adresa 
securității rețelelor și informațiilor pot avea externalit ăți transfrontaliere ne gative, care nu pot 
fi rezolvate în mod eficient la nivel na țional și pot cauza perturba ții în alte țări.  
O abordare integrat ă la nivel european pentru ameliorarea securit ății și rezilien ței 
infrastructurilor critice de informa ție ar completa în mod util și ar reprezenta o valoare 
                                                 
5 http://www.enisa.europa.eu/d oc/pdf/resilience/stock_taki ng_final_report_2008.pdf 
RO 5   RO adăugată european ă pentru programele de protejare a acestor infrastructuri  și pentru 
sistemele de cooperare existente într e statele membre. O abordare comun ă ar fi benefic ă 
tuturor, deoarece multe dintre probleme și dificultăți sunt comune.  
Discuțiile de dup ă atacul cibernetic din Estonia sugereaz ă că efectele unor evenimente 
similare pot fi limitate cu ajutorul unor măsuri preventive , cum ar fi un schimb de informa ții 
mult mai structurat la nivel european și prin acțiuni coordonate  pe perioada desf ășurării 
efective a crizei . Respectând în totalitate principiul subsidiarit ății, Comisia este plasat ă în 
mod ideal pentru a coordona asemenea eforturi în strâns ă cooperare cu statele membre și alte 
organizații internaționale. 
În plus, preocup ările legate de securitatea na țională, deși joacă un rol important în definirea 
politicilor și obligațiilor legate de securitatea re țelelor și informa ților, pot avea ca efect 
fragmentarea reglement ării și pot afecta competitivitatea Uniunii Europene în ansamblul s ău, 
precum și capacitatea pie ței unice europene de a crea valoare. 
În 2006 Comisia și-a anunțat6 intenția de a elabora, în cadrul Programului european privind 
protecția infrastructurilor critice7 (PEPIC), o politic ă specifică sectorului TIC „în vederea 
ameliorării securit ății și rezilienței rețelelor și a sistemelor informa ționale” . Intenția a fost 
salutată de Consiliul European în 20078. 
Această inițiativă va lua în considerare dimensiunea interna țională, bazându-se pe principii 
recunoscute cum ar fi princip iile G8 cu privire la protec ția infrastructurilor critice de 
informație, rezolu ția 58/199 a Adun ării generale a ONU privind cr earea unei culturi globale a 
securității cibernetice și a protec ției infrastructurilor critice de informa ție și recenta 
recomandare a OCDE privind protec ția infrastructurilor critice de informa ție.  
Nu în cele din urm ă, inițiativa de politic ă propusă ia în considerare și nu reprezint ă o dublare 
a activităților NATO din domeniul securit ății cibernetice, care se concentreaz ă asupra 
aspectelor militare - i.e. politica comun ă de apărare împotriva criminalit ății informatice și 
activitățile Autorit ății de Management pentru Ap ărare împotriva Criminalit ății Cibernetice 
(CDMA), precum și rezultatele Centrul de Excelen ță pentru Ap ărare împotriva Criminalit ății 
Cibernetice(CCD-COE).  
3. CARE SUNT OBIECTIVELE ?  
Scopul acestei ini țiative este creșterea gradului de preg ătire și reacție în Europa  în ceea ce 
privește riscurile și amenințările descrise, evitând o abordare fragmentat ă din partea statelor 
membre. Se pune accentul pe definirea de procese comune care s ă permită abordarea flexibil ă 
a amenințărilor cunoscute și a celor înc ă necunoscute. P ărțile interesate din sectorul public și 
privat se vor implica în asigurarea implement ării unor m ăsuri preventive, de detectare, de 
urgență și de redresare adecvate și coerente, în vederea atingerii unui nivel adecvat de 
securitate și rezilien ță a infrastructurilor critice de informa ție și a garant ării 
continuit ății serviciilor.  Ameliorarea securit ății și rezilien ței ar avea efecte pozitive și 
asupra protec ției informa țiilor personale și a dreptului la via ță privată a cetățenilor 
europeni . 
                                                 
6 COM(2006) 251 
7 COM(2006) 786 
8 Rezolu ția 2007/C 68/01 a Consiliului. 
RO 6   RO Obiectivul general al acestei propuneri, asigurarea securit ății și rezilien ței 
infrastructurilor critice de informa ție, ca o prim ă linie de ap ărare,  poate fi realizat prin 
intermediul a patru obiective specifice:  
(1) eliminarea lacunelor din politicile na ționale privind securitatea și rezilien ța 
infrastructurilor critice de informa ție;  
(2) consolidarea guvernan ței europene în privin ța securității și rezilienței infrastructurilor 
critice de informa ție;  
(3) îmbunătățirea capacit ății de reacție operațională la incidente a Europei; 
(4) ameliorarea securit ății și rezilienței. 
4. CARE SUNT OP țIUNILE DE POLITIC Ă? 
Opțiunea 1:  Menținerea situa ției actuale  
Opțiunea de a nu propune nicio ac țiune nu ar fi o op țiune viabil ă. Fără acțiuni orizontale 
la nivelul UE, statele membre ar continua s ă acționeze individual sau în cadru bilateral sau 
multilateral restrâns. Ar exista un risc legat de evolu ția diferitelor abord ări naționale , care 
ar putea fi incompatibile. În plus, cooperarea transfrontalier ă ar fi una ad hoc  și s-ar putea 
dovedi ineficient ă din cauza complexit ății și a amplorii atacur ilor cibernetice.  
Deoarece statele membre ar continua astfel s ă abordeze aceste probleme în ritmuri diferite, s-
ar putea ca p ărțile interesate să fie reticente în a in vesti în securitate și reziliență, deoarece 
multitudinea de norme și obligații le-ar diminua competitivitatea. Natura transfrontalier ă a 
problemei ar accentua diferen țele dintre țările europene în ceea ce prive ște securitatea, 
reziliența și gradul de preg ătire. În ciuda eforturilor individuale, vulnerabilitatea 
infrastructurilor critice de informa ție europene ar r ămâne ridicat ă și ar putea chiar continua s ă 
crească.  
Opțiunea 2: un cadru f ără caracter obligatoriu  
Comisia va asigura cadrul pentru coordonare și cooperare , sub forma unei comunic ări și al 
unui plan de ac țiune la care ar participa stat ele membre, sectorul privat și societatea civil ă. 
Consiliul UE ar putea sus ține comunicarea iar Parlamentul European ar putea s ă decidă să 
contribuie la dezbateri. 
Inițiativa s-ar axa pe obiectivele men ționate anterior și ar propune în special: 
(1) Promovarea coeren ței între politicile na ționale de securitate și rezilien ță a 
infrastructurilor critice de informa ție prin: 
• identificarea de exemple transferab ile de practici de politici publice și puncte 
comune; 
• inițierea unui forum european în cadrul c ăruia statele membre s ă poată face 
schimb de informa ții și bune practic i de politic ă de securitate și rezilien ță a 
infrastructurilor critice de informa ție.  
RO 7   RO (2) Consolidarea guvernan ței europene în privin ța securit ății și rezilien ței 
infrastructurilor critice de informa ție prin:  
• lansarea unui parteneriat european public-privat pentru rezilien ță (E3PR)  în 
vederea încuraj ării cooper ării dintre sectorul public și cel privat în privin ța 
obiectivelor de securitate și reziliență, a cerințelor de baz ă, a bunelor practici și 
măsuri de politic ă.  
(3) Îmbunătățirea capacit ății de reac ție operațională la incidente a Europei  prin: 
• crearea de CERT9 naționale/guvernamentale func ționale, ca și componente-cheie 
ale capacit ății naționale în materie de preg ătire, schimb de informa ții, coordonare 
și reacție; 
• găsirea unui acord cu privire la nivelul minim al capacit ăților și serviciilor pentru 
CERT naționale/guvernamentale;  
• încurajarea cooper ării europene a CERT na ționale/guvernamentale, facilitarea 
contactelor și a cooper ării dintre capacit ățile naționale de reac ție, organizarea de 
exerciții paneuropene și/sau regionale pentru incide nte de amploare simulate; 
• promovarea elabor ării de planuri de urgen ță pentru a reac ționa în caz de incidente 
de rețea și pentru redresare dup ă dezastre;  
• finanțarea dezvolt ării de exerci ții europene de simulare a incidentelor de amploare 
de securitate a re țelelor; 
• susținerea dezvolt ării și utilizării unui sistem european de alert ă și schimb de 
informații (EISAS) care s ă se adreseze în mod egal și eficient atât cet ățenilor, cât 
și IMM-urilor.  
(4) Ameliorarea securit ății și rezilienței internetului prin:   
• definirea de priorit ăți UE pentru stabilitatea și rezilien ța pe termen lung a 
internetului;  
• găsirea unui acord referitor la un set de principii europene și apoi interna ționale 
privind securitatea și reziliența internetului.  
Opțiunea 3: cadru cu caracter obligatoriu  
Majoritatea problemelor men ționate anterior ar fi tratate printr-o serie de m ăsuri cu caracter 
obligatoriu, sub forma unei direct ive, regulament sau decizie, dup ă caz. 
Comisia ar putea propune m ăsuri speciale pentru: 
(1) Definirea unei baze de armonizare a politicilor na ționale.  Asemenea m ăsuri s-ar 
putea axa pe securitatea și reziliența mai mare a infrastructurilor critice de informa ție, 
în plus față de cadrul legisla ției de piață deja propuse; 
                                                 
9 Echipe de r ăspuns la incidente de securitate în domeniul IT.  
RO 8   RO (2) Definirea rolului și responsabilit ății părților interesate din sectorul public și 
privat  în domeniul securit ății și rezilienței infrastructurilor critice de informa ție;  
(3) Îmbunătățirea gradului de preg ătire opera țională, de exemplu prin: 
(a) un ansamblu minim de standarde referitoare la func ții și servicii de nivel 
armonizat pentru CERT na ționale/guvernamentale; 
(b) un cadru pentru elaborar ea de planuri de urgen ță la nivel na țional în vederea 
elaborării de planuri com unitare de urgen ță. 
5. COMPARAREA DIVERSELOR OP țIUNI  
Opțiunea de men ținere a situa ției actuale nu prezint ă niciun avantaj clar  în ceea ce prive ște 
îmbunătățirea securit ății și rezilienței infrastructurilor critice de informa ție în Europa. Prin 
urmare, alegerea trebuie s ă se facă între cadrul f ără caracter obligatoriu și cel cu caracter 
obligatoriu. În acest moment, cadrul cu caracter obligatoriu nu pare fezabil, inter alia  datorită:  
• realității politice  de existen ță a statelor suverane , de care orice politic ă de securitate a 
rețelelor și informației trebuie s ă țină seama;  
• nevoia de a ține cont de responsabilitatea opera țională foarte distribuit ă din sectorul privat;  
• lipsa de experien ță în schimbul de informa ții și cooperare între sectorul public și cel privat 
în domeniul politicilor referitoare la infrastructurile critice de informa ție.  
În plus, slaba calitate a informa țiilor referitoare la incidentele de securitate disponibile în 
momentul de fa ță – datorat ă asimetriei informa țiilor și preocup ărilor legate de securitate la 
nivel național – reprezint ă un obstacol în calea posibilit ății de a elabora m ăsuri de 
reglementare într-o perspectiv ă economic ă și de politic ă publică coerentă. De asemenea, 
aceasta ridic ă problema respect ării principiului propor ționalității, având în vedere c ă este 
imposibil ă propunerea de ac țiuni propor ționale atunci când nu se cunoa ște amploarea exact ă a 
problemei.  
În cele din urm ă, orizontul de timp al procesului de adoptare a unui eventual  cadru obligatoriu 
ar fi incompatibil ă cu necesitatea ca toate p ărțile interesate s ă acționeze rapid. 
În concluzie, aceast ă evaluare a impactului sugereaz ă că, pe termen scurt și mediu, este 
preferabil ă opțiunea 2, cu o lansare imediat ă a acțiunilor propuse și examinarea rezultatelor în 
timp util, inclusiv a rezultatelor dezbaterii publice referitoare la o politic ă d e  s e c u r i t a t e  a  
rețelelor și a informa ției în UE mai sus ținută și mai modern ă. Aceasta va putea ulterior 
constitui baza pentru  evaluarea nevoilor și opțiunilor referitoare la posibile m ăsuri viitoare cu 
caracter obligatoriu. 
Ar putea fi apoi posibil ă recomandarea implement ării unor ac țiuni similare celor descrise la 
opțiunea 3.