Il Consiglio Europeo del giugno 2004 ha chiesto la preparazione di una strategia globale per la protezione

Transcript

1 Sintesi essenziale sulla Direttiva UE per la protezione delle infrastrutture critiche Il Consiglio Europeo del giugno 2004 ha chiesto la preparazione di una strategia globale per la protezione delle Infrastrutture Critiche. Il 20 ottobre 2004 la Commissione ha adottato una comunicazione relativa alla protezione delle Infrastrutture Critiche nella lotta contro il terrorismo [EU1], che presenta una serie di proposte per incrementare la prevenzione, la preparazione e la risposta a livello europeo in caso di attentati terroristici che coinvolgono le Infrastrutture Critiche. Nel dicembre 2004 il Consiglio ha approvato, nelle sue conclusioni sulla prevenzione, la preparazione e la risposta in caso di attentati terroristici, la proposta della Commissione di istituire un programma europeo per la protezione delle Infrastrutture Critiche (European Programme for Critical Infrastructure Protection, EPCIP), ed una rete informativa di allarme sulle Infrastrutture Critiche (Critical Infrastructure Warning Information Network, CIWIN). Nel novembre 2005 la Commissione ha adottato un Libro Verde [EU2] che raccoglie indicazioni sulle diverse alternative strategiche possibili in materia di EPCIP. Nelle conclusioni relative alla protezione delle Infrastrutture Critiche, il Consiglio "Giustizia e affari interni" (GAI) del dicembre 2005 ha invitato la Commissione a presentare una proposta di programma europeo per la protezione delle Infrastrutture Critiche. La Comunicazione della Commissione st16932 [EU3] presenta i principi, le procedure e gli strumenti proposti per attuare l'epcip. Tale attuazione sarà completata, se del caso, da specifiche comunicazioni settoriali relative all'approccio della Commissione in particolari settori di Infrastrutture Critiche. La proposta di Direttiva [EU4] espone le misure previste dalla Commissione ai fini dell'individuazione e della designazione delle Infrastrutture Critiche Europee e della valutazione della necessità di migliorarne la protezione. Partendo dalla considerazione che nell'unione Europea vi sono varie infrastrutture il cui malfunzionamento o distruzione può avere un impatto su vari Stati Membri, la proposta di Direttiva fornisce le seguenti definizioni: 1. Infrastruttura Critica (IC): a. quei beni, sistemi o parti di essi collocati negli Stati Membri della UE, che sono essenziali per il mantenimento delle funzioni sociali vitali, della salute, della sicurezza (security e safety), del benessere economico e sociale della popolazione, e la cui distruzione o il cui malfunzionamento avrebbe come diretta conse 1 di 7

2 guenza un impatto significativo su uno Stato Membro, come risultato del mancato svolgimento di queste funzioni (loss of service); oppure b. quei beni, sistemi o parti di essi collocati negli Stati Membri della UE, che sono potenzialmente dannosi (hazardous) e la cui distruzione o il cui malfunzionamento avrebbe come diretta conseguenza un impatto significativo su uno Stato Membro, indipendentemente da qualsiasi impatto arrecato dalla perdita del servizio relativo all infrastruttura. 2. Infrastruttura Critica Europea (ICE) a. infrastruttura critica collocata negli Stati Membri della EU e la cui distruzione o il cui malfunzionamento avrebbe come diretta conseguenza un impatto significativo su due o più Stati Membri, o un unico Stato Membro se l infrastruttura è collocata in un altro Stato Membro. Questo comprende gli effetti derivanti da dipendenze intersettoriali su altri tipi di infrastrutture. Si osservi che la definizione di Infrastruttura Critica data nella Direttiva si concentra unicamente sugli aspetti di mancato servizio (loss of service) o di danno derivante dalla compromissione di beni o impianti potenzialmente dannosi (hazardous). Un altro concetto spesso utilizzato in ambito di Infrastrutture Critiche è quello di misuse (uso improprio). Con questo termine si intende un uso improprio, accidentale o deliberato, di un infrastruttura; tale concetto può essere applicato tanto a infrastrutture hazardous (ad esempio un impianto nucleare che può essere sfruttato per un attacco terroristico oppure può essere soggetto ad un malfunzionamento non intenzionale) quanto a infrastrutture che non presentano elementi intrinseci di rischio in condizioni normali d utilizzo o di funzionamento, ma che se utilizzati intenzionalmente o accidentalmente in modo improprio possono arrecare danno a cose e/o persone (si pensi alla rete di distribuzione dell acqua potabile in cui vengano disperse sostanze tossiche). In altri termini, il concetto di misuse implica che, accanto all infrastruttura che provvede all erogazione del prodotto o servizio, si consideri l integrità del prodotto o servizio stesso, intendendo con integrità il fatto che non venga arrecato un danno alterando le caratteristiche del prodotto o servizio. Nel caso di un prodotto, tornando all esempio della rete di distribuzione dell acqua potabile, il misuse si configura nella dispersione di sostanze tossiche, senza un danneggiamento dell infrastruttura fisica della rete; nel caso di un servizio, un possibile misuse della rete internet è un attacco che consiste nell inondare di richieste di visita un server web, non danneggiando l infrastruttura fisica della rete ma rendendo impossibile la navigazione del sito sotto attacco. Il tema chiave affrontato dalla proposta di Direttiva è quello della definizione di un approccio comune per l individuazione delle Infrastrutture Critiche Europee e per la loro protezione. Poiché vari settori dispongono di un'esperienza, di una competenza e di requisiti particolari in materia di protezione delle Infrastrutture Critiche, la Direttiva è concepita su base settoriale e sarà attuata secondo un elenco stabilito di settori IC (la cui proposta è riportata nella tab.3.1). 2 di 7

3 Tab.3.1 Settori e sottosettori di Infrastrutture Critiche individuati dall UE Settore Sottosettore I Energy Oil and gas production, refining, treatment, storage and distribution by pipelines All methods of electricity generation and transmission including oil, gas, solar, wind, water and nuclear power, but only in respect of supply of electricity II Nuclear fuel cycle industry Production and storage/processing of nuclear fuel cycle (for radiological hazard) substances, including within nuclear power stations III Information, Communication Technologies, ICT IV Water Drinking water Control of water quality V Food European Information systems Instrumentation automation and control systems (SCADA etc.) Internet Provision of fixed telecommunications Provision of mobile telecommunications Radio communication and navigation Satellite communication Broadcasting Stemming and control of water quantity Provision of food and safeguarding food safety and security VI Health Medical and hospital care Medicines, serums, vaccines and pharmaceuticals Bio laboratories and bio agents VII Financial Trading, payment clearing and settlement infrastructures and systems for financial instruments VIII Transport Road transport Rail transport Air transport Inland waterways transport Ocean and short sea shipping IX Chemical industry Production and storage/processing of chemical substances Pipelines of dangerous substances X Space Space La proposta di Direttiva prevede l applicazione di una procedura in quattro passi affinché un infrastruttura sia designata ICE (o l equivalente acronimo anglosassone ECI: European Critical Infrastructure); tale procedura è illustrata nella fig di 7

4 Fig.3.1 Procedura per la designazione delle ICE Step 1: facendo riferimento ai settori definiti nella tab.3.1, il primo passo richiede agli Stati Membri di verificare se le infrastrutture potenzialmente critiche soddisfino i criteri settoriali relativi. La proposta di Direttiva stabilisce che i criteri settoriali vengano definiti con il contributo e il consenso delle parti coinvolte, compresi gli operatori, prendendo atto del fatto che spesso nell ambito dei settori individuati come critici esistono già criteri consolidati per l analisi dei rischi e l individuazione delle criticità. L applicazione del primo passo consente di effettuare una prima cernita all interno di ogni settore. Step 2: ogni Stato Membro dovrà verificare se le infrastrutture selezionate nel primo passo soddisfino la definizione di infrastruttura critica riportata ai punti 1.a o 1.b precedentemente illustrati in questo paragrafo. Step 3: ogni Stato Membro dovrà verificare se le infrastrutture selezionate nel secondo passo soddisfino la definizione di trans nazionalità riportata al punto 2.a precedentemente illustrato, vale a dire, se un potenziale malfunzionamento o distruzione dell infrastruttura può avere un impatto su almeno uno Stato Membro diverso da quello in cui è situata. 4 di 7

5 Step 4: occorre quindi effettuare un livellamento delle infrastrutture individuate, per garantire che vengano designate come ICE tutte e sole quelle infrastrutture che soddisfano un criterio comune e omogeneo di criticità. A tal fine, devono essere applicati criteri intersettoriali (crosscutting) che tengono in considerazione i seguenti aspetti: 1. conseguenze per i cittadini (potenzialità di causare incidenti e danni alla salute pubblica); 2. conseguenze economiche (entità delle perdite economiche e/o del deterioramento di prodotti o servizi); 3. conseguenze sull opinione pubblica (di carattere socio politico o psicologico); 4. conseguenze ambientali (con l eccezione dell inquinamento causato da attività industriale ordinaria). Come illustrato nella fig.3.1, nel caso in cui un infrastruttura superi i quattro passi della procedura, segue una fase di natura politica, in cui spetta comunque allo Stato Membro nel cui territorio risiede l infrastruttura la decisione finale di designare tale infrastruttura come ICE. Allo stato attuale della discussione, i criteri intersettoriali in corso di definizione si occupano unicamente degli aspetti di loss of service e di protezione dall hazard, mentre non prendono in considerazione in modo esplicito l aspetto del misuse di beni e impianti. Questo è riconducibile al fatto che, come già osservato, ciò richiederebbe di occuparsi dell integrità dei prodotti o servizi erogati mediante l infrastruttura, oltre che dell infrastruttura stessa. La gamma variegata dei possibili tipi di misuse e delle loro conseguenze rende particolarmente complesso effettuare una valutazione ex ante dei possibili danni derivanti e quindi definire dei criteri trasversali con metriche quantificabili. La procedura descritta per l individuazione delle ICE si basa su due capisaldi: il primo caposaldo, definito in maniera assiomatica (come verrà discusso più approfonditamente nel par.5), è costituito dai settori di tab.3.1. Il secondo è costituito dai criteri cross cutting: si osservi che questi ultimi comprendono sia dei riferimenti numerici assoluti (come nel caso degli effetti sulla salute o di quelli economici), che sono quindi difficilmente scalabili alle diversificate realtà nazionali nella UE, sia dei parametri di carattere socio politico e psicologico, che sono fortemente dipendenti dalla singole realtà nazionali. 1.1 Gli adempimenti imposti dalla proposta di Direttiva UE Come si è detto, la proposta di Direttiva stabilisce una serie di procedure e azioni per l individuazione e la protezione delle Infrastrutture Critiche Europee, individuando le parti coinvolte e attribuendo specifiche responsabilità. In particolare, l attuazione della proposta di Direttiva comporta una serie di adempimenti per i Paesi Membri, riassunti nel seguito. Gli Stati Membri debbono contribuire a definire i criteri, settoriali e intersettoriali, per l individuazione delle Infrastrutture Critiche Europee. A tal fine è necessario che ogni Stato disponga di una struttura UNICA (in seguito denominata struttura designata ) in grado di acquisire le informazioni e le istanze da parte delle parti in gioco, siano esse operatori di Infrastrutture Critiche, organi istituzionali, organizzazioni di tutela dei cittadini o altro. 5 di 7

6 Gli Stati Membri debbono comunicare alla Commissione Europea l elenco delle infrastrutture potenzialmente critiche, individuate mediante l applicazione dei criteri stabiliti. E possibile che altri Stati Membri indichino nostre IC come transnazionali; tali IC andranno quindi tutelate rispetto alle pressioni esercitate dalle atre Nazioni. D altro canto è possibile che l Italia indichi IC straniere come potenzialmente dannose per il nostro Paese, e tali indicazioni andranno supportate da un azione autorevole (soprattutto nella fase politica della fig. 3.1). Come discusso in precedenza, oltre all attività tecnica necessaria all individuazione delle Infrastrutture Critiche, è richiesta un azione politica per una definizione coordinata e organica del quadro delle infrastrutture Nazionali designate come ICE e delle loro dipendenze da quelle estere. A tal fine è necessario che esista una struttura in grado di interpellare gli operatori nazionali di potenziali Infrastrutture Critiche Europee e di verificare la corretta applicazione dei criteri stabiliti dall Unione, oltre che di rappresentare il Paese verso gli altri Stati Membri dell Unione. Gli Stati Membri debbono accertarsi che ogni proprietario/operatore di Infrastruttura designata come ICE disponga di un Piano di Sicurezza dell Operatore (PSO). La Direttiva fornisce un indicazione dei contenuti minimi che dovranno essere trattati nel Piano; in particolare, il PSO deve identificare i beni dell infrastruttura critica e le soluzioni in atto o in corso di implementazione per la loro protezione. Le procedure dovranno coprire almeno: o l identificazione dei beni critici; o un analisi dei rischi che comprenda le minacce, le vulnerabilità e l impatto potenziale per ogni bene; o l identificazione, la selezione e la prioritarizzazione delle contromisure, suddivise tra quelle permanenti e quelle attuabili gradualmente. Ciascuno Stato Membro dovrà quindi identificare un organismo di riferimento nazionale che svolga un censimento dei piani di sicurezza e una verifica della rispondenza dei loro contenuti a quanto richiesto nella Direttiva. Tutti i proprietari/operatori di IC designate come ICE hanno l'obbligo di nominare un funzionario di collegamento in materia di sicurezza che agisca come punto di contatto per le questioni di sicurezza fra l'ice e l autorità nazionale competente per la protezione delle Infrastrutture Critiche. Il funzionario di collegamento riceve tutte le informazioni rilevanti sulla protezione delle Infrastrutture Critiche dalle autorità nazionali ed è responsabile della trasmissione di informazioni rilevanti dalla ICE allo Stato Membro. Ogni Stato Membro deve pertanto designare un autorità che mantenga i contatti con i funzionari di collegamento, raccogliendo e distribuendo informazioni alle parti in causa. Ogni Stato Membro è tenuto ad effettuare una valutazione dei rischi e delle minacce riguardanti le ICE situate nel proprio territorio nazionale. Viene chiesto a ogni Stato Membro di elaborare un quadro generale delle vulnerabilità, minacce e rischi riscontrati in ogni settore, e di fornire tali informazioni alla Commissione. 6 di 7

7 È richiesto ad ogni Stato Membro che le informazioni non siano usate per scopi diversi dalla protezione delle Infrastrutture Critiche. Per garantire la cooperazione e il coordinamento per le questioni legate alla protezione delle Infrastrutture Critiche, ciascuno Stato Membro è tenuto a designare un Punto di Contatto unico. Compito di tale punto di contatto è il coordinamento delle questioni legate alla protezione delle Infrastrutture Critiche all'interno dello Stato Membro, con gli altri Stati Membri e con la Commissione. In fase di recepimento a livello nazionale della Direttiva (fase discendente) gli organi legislativi dovranno, quindi, porsi il problema di come implementare, nella realtà nazionale italiana, le azioni implicate dalla Direttiva stessa. 7 di 7