Το έγγραφο αυτό έχει ληφθεί από τον ιστότοπο EUR-Lex
Rendere i soggetti critici più resilienti
SINTESI DI:
Direttiva 2022/2557 relativa alla resilienza dei soggetti critici
QUAL È L’OBIETTIVO DELLA DIRETTIVA?
La direttiva si propone di:
- ridurre le vulnerabilità e rafforzare la resilienza1 fisica dei soggetti critici nell’Unione europea (Unione) al fine di garantire una prestazione senza impedimenti di servizi essenziali per l’economia e la società nel suo complesso;
- aumentare la resilienza dei soggetti critici che forniscono tali servizi.
PUNTI CHIAVE
Gli Stati membri dell’Unione devono, a seguito di una valutazione dei rischi, individuare i soggetti critici che forniscono servizi essenziali per il mantenimento di funzioni vitali per la società, l’economia, la sanità pubblica e la sicurezza o l’ambiente, e individuare i casi in cui un incidente potrebbe avere notevoli effetti negativi su tali servizi essenziali. Ciò riguarda soggetti operanti nei seguenti settori:
- energia, compresi gli operatori dei settori dell’energia elettrica, del teleriscaldamento, del petrolio, del gas e dell’idrogeno;
- trasporto aereo, ferroviario, per via d’acqua e su strada, compresi i trasporti pubblici;
- banche, soggetti anche al regolamento (UE) 2022/2554 (regolamento sulla resilienza operativa digitale — si veda la sintesi);
- infrastrutture dei mercati finanziari, comprese le sedi di negoziazione, soggette anch’esse al regolamento sulla resilienza operativa digitale;
- sanità, compresi i prestatori di assistenza sanitaria, i produttori di articoli farmaceutici di base e di dispositivi critici, nonché le infrastrutture di ricerca e sviluppo di medicinali;
- fornitori e distributori di acqua potabile;
- smaltimento e trattamento delle acque reflue;
- infrastrutture digitali, compresi i servizi di comunicazione elettronica e i centri di calcolo, soggetti anche alla direttiva (UE) 2022/2555 (si veda la sintesi);
- enti della pubblica amministrazione a livello di governo centrale, esclusi la sicurezza nazionale, la pubblica sicurezza, la difesa e l’applicazione della legge;
- operatori spaziali di infrastrutture terrestri; e
- imprese del settore alimentare impegnate esclusivamente nella logistica, nella distribuzione all’ingrosso e nella produzione e trasformazione industriali su larga scala.
Si noti che determinate parti della direttiva non si applicano ai soggetti dei settori bancario, delle infrastrutture dei mercati finanziari e delle infrastrutture digitali.
Ciascuno Stato membro deve:
- adottare una strategia nazionale ed effettuare valutazioni periodiche dei rischi;
- tenendo conto dei risultati di tali valutazioni, individuare i soggetti che fanno affidamento sulle infrastrutture critiche per fornire servizi essenziali alla società, all’economia, alla sanità pubblica e alla sicurezza o all’ambiente;
- sostenere i soggetti critici individuati nel miglioramento della propria resilienza, ad esempio con materiali di orientamento, esercitazioni, consulenze e formazione;
- garantire che le autorità nazionali abbiano i poteri, le risorse e i mezzi per effettuare i propri compiti di vigilanza, compreso lo svolgimento di ispezioni in loco di soggetti critici e l’introduzione di sanzioni in caso di mancato rispetto nell’ambito di un meccanismo di applicazione della legge;
- specificare le condizioni in base alle quali un soggetto critico può presentare richieste di controlli dei precedenti sul personale che detiene ruoli sensibili.
Gli Stati membri devono individuare i soggetti critici per i settori e i sottosettori di cui all’allegato della direttiva entro il .
I soggetti critici devono:
- effettuare valutazioni dei propri rischi per individuare quelli che potrebbero ostacolarne la capacità di fornire servizi essenziali;
- adottare misure tecniche, organizzative e di sicurezza per aumentare la resilienza;
- riferire gli incidenti negativi di rilievo alle autorità nazionali.
Se i soggetti critici forniscono servizi essenziali in o a sei o più Stati membri, possono godere di consulenze aggiuntive sotto forma di missioni consultive che forniscano un parere sulla valutazione dei rischi e le misure che rafforzano la resilienza messe in atto dal soggetto.
La Commissione europea ha adottato il regolamento delegato (UE) 2023/2450, che stabilisce un elenco non esaustivo di servizi essenziali nei settori e sottosettori sopra menzionati. Le autorità competenti degli Stati membri devono utilizzare questo elenco per effettuare una valutazione dei rischi, che dovrà successivamente essere impiegata ai fini dell’identificazione dei soggetti critici.
Il gruppo per la resilienza dei soggetti critici agevola la cooperazione fra gli Stati membri, compresa la condivisione di informazioni e di buone pratiche.
La Commissione fornisce sostegno, anche in materia di rischi transettoriali, migliori pratiche, metodologie, formazione ed esercitazioni transfrontaliere per verificare la resilienza dei soggetti critici.
A PARTIRE DA QUANDO SI APPLICANO LE NORME?
La direttiva deve essere recepita nel diritto nazionale entro il . Le norme si applicano a partire dal .
CONTESTO
La strategia dell’Unione per l’Unione della sicurezza e il programma di lotta al terrorismo della Commissione sottolineano l’importanza di garantire la resilienza dei soggetti critici ai rischi fisici e digitali.
La presente direttiva fa parte di un pacchetto di misure legislative volte a migliorare la resilienza e le capacità di reazione agli incidenti dei soggetti pubblici e privati dell’Unione nel settore della sicurezza informatica e in quello della protezione delle infrastrutture critiche.
Inoltre, nel gennaio 2023, il Consiglio ha rilasciato una raccomandazione su un approccio coordinato a livello dell’Unione per rafforzare la resilienza delle infrastrutture critiche.
Per ulteriori informazioni, si veda:
- L’azione dell’UE per rispondere alle crisi e costruire la resilienza (Consiglio europeo, Consiglio dell’Unione europea)
- Infrastrutture critiche (Commissione europea)
TERMINI CHIAVE
- Resilienza. La capacità di prevenire, proteggere da, reagire a, resistere a, mitigare, assorbire, alleviare e recuperare dagli incidenti, che possono essere provocati, fra l’altro, da catastrofi naturali, come le emergenze di sanità pubblica, o da minacce di origine antropica, quali il terrorismo, il sabotaggio o le minacce ibride. Le minacce ibride si presentano quando attori statali o non statali cercano di sfruttare le vulnerabilità delle infrastrutture critiche utilizzando una miscela di misure (diplomatiche, militari, economiche, tecnologiche) in modo coordinato, come ad esempio le campagne di disinformazione di massa che ostacolano il processo democratico durante le elezioni, pur rimanendo al di sotto della soglia della guerra formale.
DOCUMENTO PRINCIPALE
Direttiva (UE) 2022/2557 del Parlamento europeo e del Consiglio, del , relativa alla resilienza dei soggetti critici e che abroga la direttiva 2008/114/CE del Consiglio (GU L 333 del , pag. 164).
ultimo aggiornamento