23.12.2008   

FR

Journal officiel de l'Union européenne

L 345/75

(1)

En juin 2004, le Conseil européen a demandé qu’une stratégie globale de protection des infrastructures critiques soit élaborée. En réponse, la Commission a adopté, le 20 octobre 2004, une communication intitulée «Protection des infrastructures critiques dans le cadre de la lutte contre le terrorisme», dans laquelle elle a proposé des mesures en vue de renforcer la prévention, la préparation et la réponse de l’Union européenne face aux attaques terroristes contre des infrastructures critiques.

(2)

Le 17 novembre 2005, la Commission a adopté un Livre vert sur un programme européen de protection des infrastructures critiques, présentant différents scénarios pour la mise en place de ce programme et du réseau d’alerte concernant les infrastructures critiques. Les réponses à ce livre vert ont mis en exergue la valeur ajoutée d’un cadre communautaire en matière de protection des infrastructures critiques. La nécessité de renforcer la capacité de protection des infrastructures critiques en Europe et de réduire les vulnérabilités de ces infrastructures a été reconnue. L’importance des principes clés de subsidiarité, de proportionnalité et de complémentarité ainsi que du dialogue avec les acteurs concernés a été soulignée.

(3)

En décembre 2005, le Conseil «Justice et affaires intérieures» a demandé à la Commission de présenter une proposition de programme européen de protection des infrastructures critiques (EPCIP) et a décidé que ce programme devait être fondé sur une approche tous risques conjuguée avec la priorité donnée à la lutte contre la menace terroriste. Cette approche tient compte des risques d’origine humaine, des menaces technologiques et des catastrophes naturelles dans le processus de protection des infrastructures critiques, mais donne la priorité à la menace terroriste.

(4)

En avril 2007, le Conseil a adopté des conclusions sur l’EPCIP, dans lesquelles il souligne que c’est aux États membres qu’incombe en dernier ressort la gestion de dispositifs de protection des infrastructures critiques sur leur territoire national, tout en se félicitant des efforts déployés par la Commission en vue d’élaborer une procédure à l’échelle européenne aux fins du recensement et de la désignation des infrastructures critiques européennes (ICE) ainsi que de l’évaluation de la nécessité d’améliorer leur protection.

(5)

La présente directive constitue la première étape d’une approche progressive visant à recenser et désigner les ICE, ainsi qu’à évaluer la nécessité d’améliorer leur protection. Cette directive se concentre sur le secteur de l’énergie et sur celui des transports, et devrait être réexaminée en vue d’en évaluer les effets et d’apprécier la nécessité d’inclure d’autres secteurs dans son champ d’application, notamment le secteur des technologies de l’information et de la communication (TIC).

(6)

La responsabilité de la protection des infrastructures critiques européennes incombe essentiellement et en dernier ressort aux États membres et aux propriétaires/opérateurs de ces infrastructures.

(7)

Il existe un certain nombre d’infrastructures critiques dans la Communauté, dont l’arrêt ou la destruction aurait un impact transfrontalier significatif. Il pourrait s’agir d’effets intersectoriels transfrontaliers résultant des dépendances entre infrastructures interconnectées. Il convient de recenser ces ICE et de les désigner comme telles selon une procédure commune. L’évaluation des impératifs de sécurité concernant ces infrastructures devrait être effectuée selon des critères minimaux communs. Les programmes bilatéraux de coopération entre États membres dans le domaine de la protection des infrastructures critiques constituent un moyen bien établi et efficace de protéger les infrastructures critiques transfrontalières. L’EPCIP devrait s’appuyer sur cette forme de coopération. Les informations relatives à la désignation d’une infrastructure donnée comme ICE devraient recevoir un niveau de classification approprié, conformément à la législation communautaire et nationale applicable.

(8)

Dans la mesure où différents secteurs possèdent une expérience, une expertise et des exigences particulières en matière de protection des infrastructures critiques, il convient d’élaborer et de mettre en œuvre une approche communautaire dans ce domaine, en tenant compte des spécificités et des mesures sectorielles existantes, notamment celles en vigueur au niveau communautaire, national ou régional, y compris où il existe déjà des accords transfrontaliers d’assistance mutuelle entre propriétaires/opérateurs d’infrastructures critiques. Compte tenu du rôle très important joué par le secteur privé dans la surveillance et la gestion des risques, la planification de la continuité de l’exploitation et la reprise d’activité après une catastrophe, l’approche communautaire doit encourager une participation pleine et entière de ce secteur.

(9)

En ce qui concerne le secteur de l’énergie, et plus particulièrement les procédés de production et de transport de l’électricité (en ce qui concerne la fourniture d’électricité), il est entendu que, lorsque cela est jugé nécessaire, la production d’électricité peut englober les éléments des centrales nucléaires servant au transport de l’électricité, tout en excluant les éléments strictement nucléaires, qui relèvent de la réglementation pertinente en matière nucléaire, notamment les traités et le droit communautaire.

(10)

La présente directive complète les mesures sectorielles existant au niveau communautaire et dans les États membres. Dans les cas où des mécanismes communautaires sont déjà en place, ils devraient continuer à être utilisés et ainsi à contribuer à la mise en œuvre globale de la présente directive. Il y a lieu d’éviter les doubles emplois, voire les contradictions, entre différents actes ou différentes dispositions.

(11)

Toutes les ICE désignées comme telles devraient être dotées de plans de sécurité d’opérateurs (PSO) ou de mesures équivalentes comportant un recensement des points importants, une évaluation des risques, ainsi que l’identification, la sélection et le classement par ordre de priorité des contre-mesures et des procédures. Afin d’éviter des travaux inutiles ou les doubles emplois, chaque État membre devrait en premier lieu établir si les propriétaires/opérateurs d’ICE désignées comme telles disposent de PSO ou de mesures similaires. En l’absence de tels plans, chaque État membre devrait prendre les dispositions nécessaires afin que des mesures appropriées soient prévues. Il appartient à chaque État membre de décider de la forme d’action la plus opportune en ce qui concerne l’établissement de PSO.

(12)

Les mesures, principes et orientations, y compris des mesures communautaires, ainsi que les programmes de coopération bilatéraux et/ou multilatéraux qui prévoient un plan similaire ou équivalent à un PSO ou la présence d’un correspondant pour la sécurité ou d’une personne ayant une fonction équivalente, devraient être réputés satisfaire aux obligations imposées par la présente directive en ce qui concerne respectivement le PSO ou la présence d’un correspondant pour la sécurité.

(13)

Des correspondants pour la sécurité devraient être désignés pour chaque ICE désignée comme telle afin de faciliter la coopération et la communication avec les autorités nationales compétentes en matière de protection des infrastructures critiques. Afin d’éviter des travaux inutiles ou les doubles emplois, chaque État membre devrait en premier lieu établir si les propriétaires/opérateurs d’ICE désignées comme telles disposent déjà d’un correspondant pour la sécurité ou d’un équivalent. En l’absence d’un correspondant, chaque État membre devrait prendre les dispositions nécessaires afin que des mesures appropriées soient prévues. Il appartient à chaque État membre de décider de la forme d’action la plus opportune en ce qui concerne la désignation de correspondants pour la sécurité.

(14)

Une détermination efficace des risques, des menaces et des vulnérabilités dans les différents secteurs exige une communication à la fois entre les propriétaires ou opérateurs d’ICE et les États membres, et entre les États membres et la Commission. Chaque État membre devrait recueillir des informations sur les ICE qui se trouvent sur son territoire. La Commission devrait recevoir des informations génériques des États membres sur les risques, menaces et vulnérabilités qui existent dans les secteurs où ont été recensées des ICE, y compris, le cas échéant, des informations sur les améliorations pouvant éventuellement être apportées aux ICE et les éventuelles dépendances intersectorielles, qui pourraient au besoin servir de base à l’élaboration de propositions spécifiques de la Commission en vue d’améliorer la protection des ICE.

(15)

Afin de faciliter l’amélioration de la protection des ICE, des méthodes communes de recensement et de désignation des risques, menaces et vulnérabilités touchant les points d’infrastructure peuvent être définies.

(16)

Il y a lieu de donner aux propriétaires/opérateurs d’ICE accès, principalement par l’intermédiaire des autorités compétentes des États membres, aux bonnes pratiques et méthodes en matière de protection des infrastructures critiques.

(17)

Une protection efficace des ICE exige une communication, une coordination et une coopération au niveau national et au niveau communautaire. Le meilleur moyen d’y parvenir consiste à désigner des points de contact pour la protection des infrastructures critiques européennes (ci-après dénommés «points de contact PICE»), dans chaque État membre, chargés de coordonner les questions européennes liées à la protection de ces infrastructures au niveau national, ainsi qu’avec les autres États membres et la Commission.

(18)

Afin de développer les mesures de protection des infrastructures critiques européennes dans les domaines qui requièrent un certain degré de confidentialité, il convient de veiller à ce qu’un échange d’informations cohérent et sûr s’effectue dans le cadre de la présente directive. Il est important que les règles de confidentialité prévues par le droit national applicable ou le règlement (CE) no 1049/2001 du Parlement européen et du Conseil du 30 mai 2001 relatif à l’accès du public aux documents du Parlement européen, du Conseil et de la Commission (3) soient appliquées aux informations spécifiques sur des points d’infrastructure critique qui pourraient être utilisées pour planifier et mettre en œuvre des actions visant à entraîner des conséquences inacceptables pour les installations concernées. Les informations classifiées devraient être protégées conformément à la législation communautaire et nationale applicable. Chaque État membre et la Commission devraient respecter la classification de sécurité attribuée à un document par son émetteur.

(19)

Le partage des informations sur les ICE devrait s’effectuer dans un climat de confiance et de sécurité. Le partage des informations exige en effet une relation de confiance dans laquelle les entreprises et organisations savent que leurs données sensibles et confidentielles seront suffisamment protégées.

(20)

Étant donné que les objectifs de la présente directive, à savoir l’instauration d’une procédure de recensement et de désignation des ICE et la définition d’une approche commune pour évaluer la nécessité d’améliorer la protection de ces infrastructures, ne peuvent pas être réalisés de manière suffisante par les États membres et peuvent donc, en raison des dimensions de l’action, être mieux réalisés au niveau communautaire, la Communauté peut prendre des mesures, conformément au principe de subsidiarité consacré à l’article 5 du traité. Conformément au principe de proportionnalité tel qu’énoncé audit article, la présente directive n’excède pas ce qui est nécessaire pour atteindre ces objectifs.

(21)

La présente directive respecte les droits fondamentaux et observe les principes reconnus notamment par la charte des droits fondamentaux de l’Union européenne,

a)

«infrastructure critique»: un point, système ou partie de celui-ci, situé dans les États membres, qui est indispensable au maintien des fonctions vitales de la société, de la santé, de la sûreté, de la sécurité et du bien-être économique ou social des citoyens, et dont l’arrêt ou la destruction aurait un impact significatif dans un État membre du fait de la défaillance de ces fonctions;

b)

«infrastructure critique européenne» ou «ICE»: une infrastructure critique située dans les États membres dont l’arrêt ou la destruction aurait un impact considérable sur deux États membres au moins. L’importance de cet impact est évaluée en termes de critères intersectoriels. Cela inclut les effets résultant des dépendances intersectorielles par rapport à d’autres types d’infrastructures;

c)

«analyse de risques»: examen des scénarios de menace pertinents destiné à évaluer les vulnérabilités d’infrastructures critiques et les impacts potentiels de leur arrêt ou destruction;

d)

«informations sensibles relatives à la protection des infrastructures critiques»: les informations sur une infrastructure critique qui, en cas de divulgation, pourraient être utilisées pour planifier et mettre en œuvre des actions visant à provoquer l’arrêt ou la destruction d’installations d’infrastructures critiques;

e)

«protection»: l’ensemble des activités visant à garantir le bon fonctionnement, la continuité et l’intégrité d’une infrastructure critique afin de prévenir, d’atténuer ou de neutraliser une menace, un risque ou une vulnérabilité;

f)

«propriétaires/opérateurs d'ICE»: les entités responsables des investissements relatifs à / de la gestion quotidienne d’un point, d’un système ou d’une partie de celui-ci, désigné comme ICE en vertu de la présente directive.

a)

le nombre de victimes (nombre potentiel de morts ou de blessés);

b)

l’incidence économique (ampleur des pertes économiques et/ou de la dégradation de produits ou de services, y compris l’incidence potentielle sur l’environnement);

c)

incidence sur la population (incidence sur la confiance de la population, souffrances physiques et perturbation de la vie quotidienne, y compris disparition de services essentiels).